# Hva er hendelseshåndtering, og hvordan gjør dere det

> Hva som teller som en sikkerhetshendelse, hva dere gjør den første timen, og hvem dere må varsle i Norge, med fristene som gjelder nå.

Source: https://fmcybersecurity.com/insights/endpoint/hva-er-hendelseshandtering/
Locale: Norwegian (nb-NO)
Other locale: https://fmcybersecurity.com/en/insights/endpoint/what-incident-response-is-and-how-to-run-it/

## Metadata

- Date: 2026-08-02
- Author: kenny-le
- Topic: endpoint
- Format: guide

Her er hva hendelseshåndtering er, hva dere gjør den første timen, og hvem dere har plikt til å varsle i Norge.

I regelverket settes IKT-prefikset foran det samme, så dere møter også ikt-hendelseshåndtering og ikt-hendelser i dokumenter fra NSM og Finanstilsynet. Engelsktalende leverandører kaller det incident response. Uansett hvilket ord revisor bruker, er arbeidet det samme: avgjør om noe reelt har skjedd, stopp spredningen, finn ut hvordan de kom inn, og varsle dem loven sier at dere skal varsle.

## 1. Hva som teller som en sikkerhetshendelse

En sikkerhetshendelse er enhver hendelse med negativ virkning på sikkerheten i nettverks- og informasjonssystemer. Den definisjonen står i [digitalsikkerhetsloven § 4](https://lovdata.no/dokument/NL/lov/2023-12-20-108), og den favner bredere enn de fleste IT-ansvarlige regner med.

Bredere betyr likevel ikke alt. En phishing-e-post som havnet i en karantene ingen åpnet, viser at kontrollen virker. En fil som endepunktsagenten stoppet ved skriving, viser det samme. Ingen av delene trenger et hendelsesnummer, og en godt tunet [EDR](/insights/endpoint/edr-og-antivirus/) produserer en jevn strøm av begge deler.

I konsollen bruker jeg ett spørsmål med tre deler. Kjørte noe, autentiserte noe seg, eller forlot noe virksomheten? En deteksjon som rakk å kjøre før den ble drept, en pålogging fra et land brukeren ikke var i, en dataoverføring til et mål dere ikke klarer å navngi: slår ett av dem inn, oppretter dere en hendelse. Det samme gjelder kryptering dere ikke startet selv, og kontoer som oppfører seg klokken 03:00 slik de aldri gjør klokken 13:00.

Skriv regelen ned før dere trenger den. Team som begynner å diskutere om noe teller, mister de første tretti minuttene på diskusjonen.

## 2. Den første timen avgjør mesteparten av skaden

Den første timen gjør dere fire ting, i denne rekkefølgen: start klokka, isoler maskinen, kutt tilgangen, sikre sporene.

**Start klokka og skriv det ned.** Opprett ett dokument. Loggfør hver observasjon med tidsstempel og tidssone (CET eller CEST, skrevet ut). Tidspunktet dere noterer som "vi ble kjent med det", er tidspunktet tre ulike lovfrister begynner å løpe fra. Noter det derfor bevisst, i stedet for å rekonstruere det en uke senere.

**Isoler i nettverket, ikke slå av maskinen.** Slår dere maskinen av, mister dere minnet og deres egen innsikt akkurat når dere trenger den. I [CrowdStrike Falcon](/partners/crowdstrike/) bruker vi Network Contain i stedet: [den isolerte maskinen beholder forbindelsen til CrowdStrike-skyen og til IP-adresser en administrator har godkjent på forhånd, og mister resten](https://www.crowdstrike.com/en-us/blog/tech-center/network-contain-endpoint-falcon/). Maskinen blir stående isolert, men fortsatt lesbar.

**Kutt tilgangen, ikke bare passordet.** Nullstill kontoen, og trekk deretter tilbake aktive sesjoner og tokener. Et passordbytte alene lar angriperen sitte igjen med en gyldig sesjon. Sett så opp hva den kontoen ellers når fram til, og gå ut fra at noen har sett seg om der.

**Sikre sporene før dere rydder.** Ingen reinstallerer før noen har skrevet ned hvordan angriperen kom inn. Reinstallering først er den ryddigste måten å miste svaret på, og i sakene jeg har jobbet med, blir samme vei tatt i bruk igjen noen uker etter.

## 3. Hvem bestemmer, hvem gjør jobben, og hvem snakker utad

En navngitt hendelsesleder bestemmer. Alle andre utfører eller venter. Der ligger hele styringsspørsmålet, og en slik avklaring er verdt mer klokken 02:00 enn et hvilket som helst rammeverksdiagram.

Fire roller, fire navn, skrevet ned på ett ark mens alt er rolig:

- **Hendelsesleder.** Som regel IT-ansvarlig. Har ansvaret for tidslinjen, eskaleringen og avgjørelsen om når dere henter inn hjelp utenfra.
- **Tekniske ressurser.** Isolerer, samler inn, gjenoppretter. De avgjør ikke når virksomheten går ut offentlig.
- **Ledelsen.** Har ansvaret for pengebeslutningene og for varslingsbeslutningen. Å stanse produksjonen er en ledelsesavgjørelse, ikke en analytikeravgjørelse.
- **En stemme utad.** Bare en navngitt person snakker med kunder, presse og myndigheter. Alle andre sier "vi kommer tilbake til deg", og mener det.

NSM setter det samme først. Grunnprinsipp 4.1 i [NSMs grunnprinsipper for IKT-sikkerhet](https://nsm.no/regelverk-og-hjelp/grunnprinsipper/grunnprinsipper-for-ikt-sikkerhet), versjon 2.1, heter "Forbered virksomheten på håndtering av hendelser", og det kommer før prinsippene om å vurdere, kontrollere og lære. Forberedelse er altså et tiltak, ikke en bonus.

## 4. Hendelseshåndtering etter den første timen

Resten av arbeidet deler seg i tre trinn, og NSMs grunnprinsipper navngir dem i den rekkefølgen dere møter dem.

**Vurder og klassifiser hendelser (4.2).** Hvor langt inn kom de, hvilke data var tilgjengelige, og er tilgangen fortsatt aktiv. Klassifiseringen styrer alt videre, blant annet hvilken varslingsfrist som gjelder for dere.

**Kontroller og håndter hendelser (4.3).** Fjern tilgangen, steng veien inn, og gjenopprett fra en sikkerhetskopi dere har gjenopprettet fra før. En sikkerhetskopi ingen har testet, er et håp og ikke et tiltak.

**Evaluer og lær av hendelser (4.4).** Ett ark: hvordan de kom inn, hva som oppdaget det, hva som tok lengst tid, og hva som endres på mandag. Dette trinnet hopper nesten alle over, og det er det eneste som gjør neste hendelse lettere.

I gjennomgangene jeg har kjørt, ligger den lengste strekningen på tidslinja nesten aldri mellom første menneskelige handling og isolering. Den ligger mellom første signal og det første mennesket som så på signalet. Det gapet er det døgnkontinuerlig overvåking kjøper dere, og det er tallet dere bør måle først.

## 5. Hvem dere må varsle i Norge, og innen når

Norge har tre separate varslingsregimer med tre ulike klokker. Hvilke som gjelder, avhenger av hva som ble rammet og hvilken sektor dere er i.

**Personopplysninger var involvert.** Meld til Datatilsynet innen 72 timer etter at dere ble kjent med bruddet, dersom det sannsynligvis medfører middels eller høy risiko for dem det gjelder (personvernforordningen artikkel 33). Datatilsynet er tydelig på at [den første meldingen kan inneholde foreløpig og ufullstendig informasjon](https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/avvik/digitale-angrep/), og at dere supplerer den etter hvert som bildet klarner. Vent altså ikke på sikkerhet og bom på fristen. Er risikoen for de berørte høy, skal dere også informere dem direkte (artikkel 34).

**Dere leverer en samfunnsviktig eller digital tjeneste etter digitalsikkerhetsloven.** Loven og forskriften trådte i kraft 1. oktober 2025 og gjennomfører EUs NIS-direktiv. Varsle tilsynsmyndigheten innen 24 timer etter at dere fikk kjennskap til hendelsen, oppdater varselet innen 72 timer, og lever en hendelsesrapport innen en måned ([digitalsikkerhetsforskriften § 17](https://lovdata.no/dokument/SF/forskrift/2025-06-20-1131/KAPITTEL_2)). Sektorene som omfattes er energi, transport, helse, vannforsyning, bank, finansmarkedsinfrastruktur og digital infrastruktur, i tillegg til tilbydere av digitale tjenester. Vi har gått gjennom virkeområdet i [hva digitalsikkerhetsloven er](/insights/compliance/hva-er-digitalsikkerhetsloven/).

**Dere er et finansforetak under DORA.** Rapporter en alvorlig hendelse til Finanstilsynet så snart som mulig og innen 4 timer etter at den ble klassifisert som alvorlig, og senest 24 timer etter at dere ble kjent med den. Første statusrapport innen 72 timer, og sluttrapport senest en måned etter siste statusrapport ([Finanstilsynets rundskriv om hendelsesrapportering etter DORA](https://www.finanstilsynet.no/nyhetsarkiv/rundskriv/2025/hendelsesrapportering-etter-dora/)).

**Alle andre.** Ingen generell plikt, men NCSC hos NSM tar imot varsler døgnet rundt på 02497 og cert@ncsc.no. Varsle dem uansett. NSMs nasjonale rammeverk for håndtering av digitale angrep og cyberhendelser, oppdatert i 2025, beskriver hvordan NCSC og de sektorvise responsmiljøene jobber sammen med dere. Anmeld dessuten forholdet til deres lokale politidistrikt.

NIS2 vil stramme inn dette videre. Norge er med i EØS, og innlemmelsen pågår fortsatt, så det finnes ingen norsk gjennomføringsdato å planlegge mot ennå. Planlegg mot fristene som allerede gjelder, for det er de som håndheves i år.

## 6. Når dere bør ha hendelseshåndtering internt, og når dere bør kjøpe den

Behold beslutningene internt. Kjøp timene.

Beslutningene kan ingen ta fra dere. Hvem som erklærer en hendelse, hvem som snakker med kundene, og hvem som signerer meldingen til Datatilsynet: det blir hos dere, og en leverandør som tilbyr seg å overta de valgene, tilbyr dere et problem.

Timene er et annet spørsmål. Rollen nesten ingen norsk SMB klarer å bemanne, er personen som ser på skjermen klokken 02:00 en søndag i juli. Vi regnet på hva døgnkontinuerlig bemanning koster i [hva et SOC er, og når dere trenger et eget](/insights/endpoint/hva-er-et-soc/), og for de fleste virksomheter under noen hundre ansatte er svaret å leie vakta i stedet for å bygge den.

Hos oss kan dere leie den på to måter, og de to er ulike produkter. Secured by FM CyberSecurity, utviklet for små og mellomstore virksomheter, kjører på vår egen SOC som overvåker døgnet rundt, bygget på CrowdStrike. [CrowdStrike Falcon Complete Next-Gen MDR](/services/mdr/), som vi leverer til større SMB-er og til enterprise, bemannes av CrowdStrikes egne analytikere, mens FM CyberSecurity tar seg av onboarding, tuning av deteksjoner og lokal eskalering.

Full håndtering av et brudd er en tredje ting igjen: etterforskning, krisehåndtering og juridisk koordinering. NSM har en egen kvalitetsordning for leverandører som håndterer IKT-hendelser, og det er lurt å sjekke den lista før dere signerer en beredskapsavtale. Deteksjon og førstelinjerespons, som er det MDR dekker, er ikke samme kjøp som et etterforskningsteam.

## Neste steg

Åpne et blankt ark i dag og fyll inn fire navn, nummeret til NCSC og varslingsfristene som gjelder for deres sektor. Finnes ikke det arket, er det jobben, og den tar en ettermiddag.

Ta så direkte kontakt med Kenny for en halvtime på hva endepunktene deres oppdager i dag, og hva som skjer klokken 02:00 når de gjør det. Ta med siste hendelseslogg hvis dere har en. Vi leser den før vi anbefaler noe.

Underveis er [oversikten vår over bekreftede angrep mot norske virksomheter](/insights/attacks/) en grei måte å se hva som treffer selskaper på deres størrelse, og [guiden vår om datainnbrudd og løsepengevirus](/insights/endpoint/datainnbrudd-og-losepengevirus/) dekker de to hendelsestypene som utløser flest av varslene over.

## Spørsmål vi får

### Hva er forskjellen på en sikkerhetshendelse og et brudd på personopplysningssikkerheten?

En sikkerhetshendelse er enhver hendelse med negativ virkning på sikkerheten i systemene deres. Et brudd etter personvernforordningen er snevrere: en sikkerhetshendelse som fører til utilsiktet eller ulovlig tilintetgjøring, tap, endring eller uautorisert utlevering av eller tilgang til personopplysninger. Alle brudd er hendelser. De fleste hendelser er ikke brudd. Skillet avgjør om 72-timersfristen til Datatilsynet løper, så ta avgjørelsen eksplisitt og skriv ned hvem som tok den.

### Må vi melde alle hendelser til Datatilsynet?

Nei. Meldeplikten gjelder brudd på personopplysningssikkerheten som sannsynligvis gir middels eller høy risiko for dem det gjelder. Er risikoen lav eller fraværende, går det ingen melding til Datatilsynet, men dere fører likevel vurderingen internt. Datatilsynet forventer å se at dere vurderte spørsmålet, og hvorfor dere konkluderte som dere gjorde.

### Bør vi betale løsepenger?

NSM fraråder det, fordi betaling finansierer alvorlig kriminalitet og markerer virksomheten som en som betaler, noe som har ført til gjentatt utpressing. Kripos gir samme råd. Betaling fritar dere heller ikke fra varslingspliktene over. Blir dere utpresset, ring NCSC på 02497 før dere snakker med angriperen.

### Trenger vi egen beredskapsplan når vi kjøper MDR?

Ja, men den blir kortere. MDR dekker deteksjon, triage og første isolering døgnet rundt. Den dekker ikke hvem som ringer deres største kunde, hvem som stanser produksjonen, eller hvem som signerer meldingen til Datatilsynet. Planen krymper til beslutningene, navnene og fristene. Det blir omtrent ett ark, og det er arket som teller klokken 02:00.

### Endrer NIS2 fristene i Norge?

Ikke ennå. Norge er med i EØS, og innlemmelsen pågår, så ingen norsk gjennomføringsdato er satt. Digitalsikkerhetsloven, i kraft siden 1. oktober 2025, er loven som gjelder nå for tilbydere av samfunnsviktige og digitale tjenester. Bygger dere mot strukturen på 24 timer, 72 timer og en måned, ligger dere nær der NIS2 lander når den trer i kraft.

### Er det verdt å anmelde til politiet?

Ja. Anmeld til deres lokale politidistrikt. Politidirektoratet har pekt på at de fleste sakene aldri blir anmeldt, og det er hovedgrunnen til at de nasjonale tallene viser mindre enn det som skjer ([politiet.no om datakriminalitet](https://www.politiet.no/rad/datakriminalitet)). Forsikringsselskapet vil dessuten som regel ha et saksnummer. Anmeldelse kommer i tillegg til, og erstatter ikke, varsel til Datatilsynet, tilsynsmyndigheten i sektoren eller Finanstilsynet.

Skrevet med AI-assistanse, gjennomgått og redigert av Kenny Le og redaksjonen i FM CyberSecurity.

---

For the full documentation index, see https://fmcybersecurity.com/llms.txt
For the complete corpus as a single document, see https://fmcybersecurity.com/llms-full.txt