Mer enn halvparten (55 %) av norske toppledere som jobber i virksomheter med kritisk infrastruktur, er trygge på organisasjonens evne til å håndtere cybertrusler. Den viktigste årsaken til denne tryggheten er imidlertid tidligere suksess med å respondere raskt og effektivt på angrep. Det kan bidra til en falsk trygghet, ifølge rapporten «How Cyber Resilient is Norway?».

– Det som sikret oss i går, vil ikke sikre oss i morgen. To tredeler av norske toppledere i våre mest samfunnskritiske industrier rapporterer økning i cyberangrep. Samtidig blir truslene mer sofistikerte, med angrep som utnytter sårbarheter i leverandørkjeder og forsterkes av kunstig intelligens, sier Arve Johan Kalleklev, direktør i DNV Cyber.

Den nye rapporten fra DNV Cyber baserer seg på en spørreundersøkelse blant 200 toppledere i norske virksomheter innen kritisk infrastruktur og 500 personer i befolkningen. Kritisk infrastruktur omfatter blant annet energi, transport, vann, helse, finansielle tjenester og andre systemer som er avgjørende for samfunnet, økonomien og nasjonal sikkerhet.

Norge skiller seg positivt ut

DNV Cyber Threat Intelligence sporer påståtte, mistenkte og bekreftede angrep og datainnbrudd. I 2025 ble det observert 21 cyberhendelser som rammet norske organisasjoner, sammenlignet med 60 i Sverige, 44 i Finland og 41 i Danmark.

– Å basere seg på tidligere sikkerhetstiltak kan være farlig. Vi har ikke opplevd like mange vellykkede angrep mot vår kritiske infrastruktur som våre nordiske naboer, men tidligere suksess garanterer ikke robusthet i fremtiden. Med økende geopolitiske spenninger og stadig mer sofistikerte angripere er trusselen mot kritisk infrastruktur grunnleggende annerledes enn før, sier Kalleklev.

Antallet cyberhendelser som DNV Cyber registrerte i Norge i 2025, kan reelt gjenspeile færre hendelser, men det kan også handle om en lavere vilje til å offentliggjøre og fortelle om angrep. Begge deler kan skape en falsk trygghet, ifølge DNV Cyber.

En av fire toppledere (26 %) i virksomheter innen kritisk infrastruktur mener at det er sannsynlig at et cyberangrep vil ramme Norges økonomi med omfattende konsekvenser for næringslivet i 2026. En like stor andel tror at et angrep kan føre til midlertidig bortfall av en samfunnskritisk funksjon.

KI- og leverandørkjedeangrep

Nesten to av tre (65 %) topplederne mener det ville fått umiddelbare konsekvenser for driften dersom deres viktigste eksterne leverandører ble kompromittert. Samtidig er bare fire av ti (40 %) trygge på cybersikkerheten til sine kritiske leverandører.

– Leverandørkjeder er akilleshælen i cybersikkerheten. Virksomheter med samfunnskritisk infrastruktur må håndtere geopolitisk risiko i leverandørkjeder, men også adressere et bredere problem knyttet til leverandørkonsentrasjon og avhengighet. Hvis alle selskaper har avtaler med et begrenset antall leverandører og IT-aktører, blir vår kritiske infrastruktur mer sårbar, sier Anne Wahlstrøm, Head of OT Cybersecurity Advisory i DNV Cyber.

Bare to av fem norske toppledere (38 %) sier at organisasjonene deres er forberedt på hackernes økende bruk av KI sammenlignet med 47 % i Danmark og 52 % i Finland. KI senker allerede terskelen for både nye og etablerte angripere.

– Det er lett å undervurdere hvor raskt angripernes kapasitet utvikler seg. Cybercrime-as-a-service gjør at selv personer med begrensede tekniske ferdigheter kan gjennomføre angrep. Der det tidligere kunne ta hackere uker fra å oppdage en sårbarhet til å utnytte den, tar det med bruk av KI bare noen få dager. KI kan også redusere tiden det tar å kartlegge mål for sofistikerte phishing-forsøk betydelig, sier Wahlstrøm.

Hull i beredskapen

Over halvparten av de norske topplederne (52 %) ser robustheten i kritisk infrastruktur som noen andres ansvar. Dette utgjør et hull i den nasjonale beredskapen, som DNV Cyber påpekte i en pressemelding 5. februar – i forkant av at norske myndigheter publiserer sine trusselvurderinger for 2026.

Ifølge DNV Cybers kartlegging er norske innbyggere de mest tilbøyelige i Norden til å tro at landets kritiske infrastruktursystemer er trygge mot cyberangrep (57 % mot et nordisk snitt på 48 %). Omtrent halvparten av den norske befolkningen sier de er forberedt på et større cyberangrep som forstyrrer internett (46 %), elektroniske betalinger (47 %), strøm (49 %), tilgang til dagligvarebutikker (55 %) og vann (57 %). Den norske befolkningen er også mindre tilbøyelig enn folk i nabolandene til å tro at en samfunnsforstyrrende cyberhendelse kan ramme landet i løpet av de neste to årene (47 % i Norge mot 60 % i Sverige).

Rapporten How Cyber Resilient is Norway? gir syv anbefalinger for å styrke Norges evne til å respondere på cybertrusler:

• Ikke la tidligere suksess bli en falsk trygghet mot morgendagens trusler.

• Klargjør ansvarsfordelingen i den nasjonale cyberberedskapen .

• Kartlegg sårbarheter i leverandørkjeder og synliggjør tredjeparter.

• Håndter den økende trusselen fra mer sofistikerte cyberangripere.

• Engasjer befolkningen som en naturlig del av cyber robusthet.

• Samarbeid aktivt og bredt for å styrke cybersikkerhet i alle ledd.
• Vurder hvordan regulering kan ha størst mulig effekt.