NSMs grunnprinsipper for IKT-sikkerhet som sjekkliste

Publisert 27. oktober 2026 · oppdatert 27. oktober 2026

NSMs grunnprinsipper for IKT-sikkerhet er 21 prinsipper fordelt på fire kategorier:

1. Identifisere og kartlegge
2. Beskytte og opprettholde
3. Oppdage
4. Håndtere og gjenopprette

Gjeldende versjon er 2.1, ferdigstilt 31. mai 2024. Under hvert prinsipp ligger konkrete tiltak, og NSM skriver at de er relevante for alle offentlige og private virksomheter, selv om hovedmålgruppen er de som forvalter kritiske samfunnsfunksjoner.

Dokumentet er 53 sider og skrevet for IT-ledere. Denne siden gjør det om til en sjekkliste for en virksomhet på 10-200 ansatte, der IT ofte er én person eller en ekstern leverandør. Til slutt skiller vi mellom prinsippene som kan måles fra utsiden og de som ikke kan det.

Grunnprinsippene er ikke lov. Men de er det nærmeste Norge har en felles tiltaksliste, og de dekker mye av det NIS2 og digitalsikkerhetsloven krever.

Når IT-en er satt bort

En virksomhet i denne størrelsen kjøper ofte e-post, lagring og drift som tjenester. NSM skriver at grunnprinsippene er like relevante for tjenester som er satt bort som for de dere drifter selv. Forskjellen er at kravene stilles til en leverandør i stedet for til egne ansatte.

NSM anbefaler blant annet god bestillerkompetanse, gode risikovurderinger før beslutningen og riktige krav til både tjenesten og leverandøren. Og en setning som er verdt å huske før neste kontrakt signeres: det man ikke får gjort i forkant, kan bli vanskelig å få gjennomført senere i kontraktens varighet.

Sjekklisten under fungerer derfor like godt som utgangspunkt for en samtale med leverandøren som for intern bruk.

Slik bruker du sjekklisten

Gå gjennom hvert punkt med den som drifter IT, intern eller ekstern. Svar ja eller nei, og bruk «delvis» når det er sant. Det er det ærligste svaret på mange av dem, og det er greit.

NSM sier selv at valg av tiltak skal bygge på virksomhetens egen risikovurdering, og at et tiltak man lar være å gjennomføre gir en risiko som må vurderes. Sjekklisten erstatter ikke det arbeidet. Den gjør det lettere å se hvor det mangler.

Tallene i parentes er NSMs egne prinsippnumre, så dere finner tilbake til tiltakene i originalen.

1. Identifisere og kartlegge

Kategorien handler om å vite hva dere har før dere prøver å beskytte det. NSM kaller den grunnlaget for resten.

• Vi vet hvilke tjenester som er viktigst, og hvilke systemer de hviler på (1.1). Typisk lønn, fakturering, e-post og kundesystemet. Skriv dem ned med navn på eier.
• Vi har en liste over enheter og programvare (1.2). NSM anbefaler automatiserte verktøy, og at gamle produkter uten støtte merkes eksplisitt. En PC med Windows 10 i resepsjonen hører på listen.
• Vi vet hvem som har tilgang til hva, og hvorfor (1.3). Hver bruker, hvor de jobber fra, og hvilke systemer de trenger. Ekstra rettigheter skal ha en grunn.

For en bedrift på 25 ansatte kan hele kategori 1 være ett regneark. Det viktige er at det finnes og at noen oppdaterer det.

2. Beskytte og opprettholde

Dette er den største kategorien, med ti prinsipper. Mye av det tekniske hører hjemme her, og det er her en IT-leverandør bør kunne svare raskt.

• Sikkerhet er et krav når vi kjøper eller utvikler noe (2.1). NSM anbefaler å kjøpe bare produkter som støttes og får sikkerhetsoppdateringer, og å fase ut eldre utstyr.
• Nettverket er delt opp, så ett angrep ikke når alt (2.2). Tiltak 2.2.3 foreslår soner, for eksempel eget gjestenett og egen sone for tjenester som er åpne mot internett.
• Systemene er satt opp sikkert og blir oppdatert (2.3). Sikkerhetsoppdateringer installeres raskt, og alle standardpassord er byttet før utstyret tas i bruk.
• Bare godkjente enheter kommer inn på nettverket (2.4). Tiltak 2.4.1 handler om tilgangskontroll på nettverksporter.
• Vi styrer hvilken data som går inn og ut (2.5).
• Identiteter og tilganger er under kontroll (2.6). Flerfaktorautentisering, så få upersonlige kontoer som mulig, og vanlige brukere er ikke administratorer på egen PC.
• Data er kryptert der den lagres og når den sendes (2.7). Bærbare maskiner har diskkryptering. Nettsiden og andre tjenester bruker TLS.
• E-post og nettleser er beskyttet (2.8). Tiltak 2.8.1 sier at innkommende e-post skal sjekkes mot DMARC, DKIM, SPF og DNSSEC for å avsløre forfalskede avsendere. 2.8.2 anbefaler STARTTLS mellom e-postservere.
• Vi har backup, og vi har prøvd å hente data tilbake fra den (2.9). NSM nevner også kopier av konfigurasjon og installasjonsprogramvare, ikke bare dokumenter.
• Endringer i IT gjøres etter en fast prosess (2.10).

To detaljer fra originalen er nyttige her. NSM anbefaler å gjøre 2.8 etter andre grunnleggende tiltak, som oppdatering og at brukere ikke har administratorrettigheter. Og 2.8.1 handler om å sjekke e-post dere mottar. At deres eget domene publiserer SPF, DKIM og DMARC er det som gjør at andre kan sjekke e-post som utgir seg for å komme fra dere. En mottaker kan bare avsløre en falsk avsender når avsenderdomenet har publisert reglene.

3. Oppdage

Her handler det om å se at noe er galt før det er for sent.

• Vi leter jevnlig etter kjente sårbarheter, med verktøy (3.1). Tiltak 3.1.1 anbefaler automatisert sårbarhetskartlegging av klienter, servere og nettverk, med prioritering og oppfølging av funnene.
• Vi overvåker sikkerheten, selv eller via en leverandør (3.2). NSM skriver at evnen kan kjøpes.
• Noen ser faktisk på varslene (3.3). En logg ingen leser, oppdager ingenting.
• Vi har testet om noen kan bryte seg inn (3.4). For en mindre virksomhet er en inntrengingstest noe man kjøper. Start med det som vender mot internett.

For en virksomhet på 40 ansatte med ekstern IT-drift er 3.2 og 3.3 i praksis et spørsmål til leverandøren: hva overvåker dere, og når ringer dere oss?

4. Håndtere og gjenopprette

Siste kategori er planen for når noe har skjedd.

• Vi har en plan for hendelser, og vet hva som må opp først (4.1). NSM nevner en analyse av hvilke funksjoner som er kritiske, og krav til hvor lang tid gjenoppretting kan ta.
• Vi kan vurdere hvor alvorlig en hendelse er (4.2). Dette blir viktig når loven krever varsel innen 24 timer.
• Vi vet hvordan vi stopper og rydder opp (4.3).
• Vi går gjennom hendelser i etterkant og endrer det som sviktet (4.4).

Kategori 4 er lett å ha bare i hodet til én person. Skriv den ned, også om det bare blir én side.

Hvor dere starter

21 prinsipper på én gang er for mye for en virksomhet uten egen sikkerhetsavdeling. NSM gir selv noen hint om rekkefølge. Kategori 1 kalles grunnlaget for resten, og ved prinsipp 2.8 skriver NSM at grunnleggende tiltak bør komme først: moderne og støttet programvare (2.1.2), sikkerhetsoppdateringer (2.3.1), kontroll på hvilke programmer som kjøres (2.3.2), at sluttbrukere ikke har administratorrettigheter (2.6.4) og styrt dataflyt (2.5.1).

For en virksomhet på 10-200 ansatte gir det en grei arbeidsrekkefølge:

1. Lag oversikten fra kategori 1. Uten den vet dere ikke hva resten skal beskytte.
2. Ta det grunnleggende i kategori 2: oppdatering, ingen administratorrettigheter for vanlige brukere, MFA og backup som er testet.
3. Skriv planen i kategori 4, selv om den blir kort.
4. Deretter kategori 3 og resten av kategori 2, helst sammen med IT-leverandøren.

Dette er vår lesning av NSMs dokument, ikke en prioritering NSM har gitt for små virksomheter.

Spørsmål å stille IT-leverandøren

Har dere ekstern IT-drift, kan mye av sjekklisten besvares av leverandøren. Disse spørsmålene dekker de viktigste prinsippene og er lette å følge opp skriftlig:

• Har dere en oppdatert liste over alle våre PC-er, servere og programvare, og hvilke som ikke lenger får oppdateringer? (1.2, 2.1)
• Hvor lang tid går det fra en kritisk sikkerhetsoppdatering kommer til den er installert hos oss? (2.3)
• Har noen av våre vanlige brukere administratorrettigheter? (2.6)
• Er flerfaktorautentisering påkrevd på alle e-postkontoer, også for administratorer? (2.6)
• Når testet dere sist at vi kan hente data tilbake fra backup, og hva var resultatet? (2.9)
• Hvilke av våre tjenester er åpne mot internett, og hvorfor? (2.2, 2.4)
• Hva overvåker dere, og hvem varsler oss hvis dere ser noe? (3.2, 3.3)
• Hvem gjør hva hos dere og hos oss hvis vi blir rammet av løsepengevirus en lørdag? (4.1)

Et svar som «det har vi kontroll på» uten tall eller dato er et svar dere bør følge opp.

Hvilke prinsipper kan måles utenfra?

Et teknisk skann ser det en angriper ser: det domenet og nettsiden viser til internett. Det dekker en liten, men konkret del av grunnprinsippene.

Seks av 21 prinsipper har en del som kan måles utenfra, og ingen av dem fullt ut. De andre 15 kan ikke måles fra utsiden i det hele tatt. Et grønt skann betyr altså at døren mot gaten er låst. Det sier ingenting om hvem som har nøkkel.

Det gjør skannet nyttig på en annen måte: det er en uavhengig kontroll av det dere svarer selv. Svarer dere ja på 2.7, og skannet finner en nettside uten HSTS, er det et konkret avvik å følge opp.

Hvor ofte det skjer, ser vi i tall fra ismycodesafe. I mai 2026 kjørte vi skanneren mot 2 211 offentlige nettsteder, og 933 av dem ga et svar vi kunne lese. 557 av de 933 manglet HSTS, og 137 sendte headeren X-Powered-By, som forteller hvilken programvare siden kjører på. Dette er intern data fra ismycodesafe, utvalget er nettsteder over hele verden og ikke norske bedrifter, og ingen enkeltsider navngis. Men det sier noe om hvor ofte et punkt som virker ferdig ikke er det.

Grunnprinsippene og NIS2

NIS2 har ti tiltaksområder i artikkel 21(2). NSM har ikke laget en offisiell kobling mellom dem og grunnprinsippene, men de overlapper mye. Tabellen er vår egen kobling, ment som et sted å starte:

Koblingen har to hull. Opplæring av ansatte, som NIS2 nevner eksplisitt, er bare så vidt dekket av grunnprinsippene, siden NSM sier at det menneskelige perspektivet omtales i liten grad. Og NIS2 krever at ledelsen godkjenner tiltakene og får opplæring selv, noe grunnprinsippene anbefaler, men ikke kan kreve.

Når prinsippene ikke er nok

NSM skriver tydelig at grunnprinsippene ikke er en garanti mot å bli rammet, og at de ikke erstatter virksomhetens eget sikkerhetsstyringsarbeid. De handler mest om teknologi og organisering. Fysisk sikkerhet og det menneskelige perspektivet er bare så vidt omtalt.

Er dere omfattet av digitalsikkerhetsloven, gjelder lovens og forskriftens krav i tillegg. Er dere omfattet av sikkerhetsloven, peker NSM selv på at den har flere og strengere krav enn grunnprinsippene.

NSM har regneark med alle tiltakene og en mal for risikovurdering på nsm.no. De er gratis, og verdt å laste ned før dere kjøper noe.

Vil dere se hvordan domenet står på det som kan måles, kan dere sjekke nettsiden gratis. Skannet viser funnene per prinsipp, og hva det ikke kan se. E-postdelen henger tett sammen med direktørsvindel, om dere lurer på hvorfor DMARC er med.

Claude AI hjalp meg med formuleringer og korrektur i denne artikkelen.

Kilder

• NSM, Grunnprinsipper for IKT-sikkerhet versjon 2.1 (PDF): https://nsm.no/getfile.php/1313975-1717589722/NSM/Filer/Dokumenter/Veiledere/NSMs%20Grunnprinsipper%20for%20IKT-sikkerhet%20v2.1.pdf
• NSM, ta i bruk grunnprinsippene: https://nsm.no/regelverk-og-hjelp/rad-og-anbefalinger/ta-i-bruk-grunnprinsippene/
• NSM, ny digitalsikkerhetslov i Norge: https://nsm.no/aktuelt/ny-digitalsikkerhetslov-i-norge
• RFC 9989, DMARC: https://www.rfc-editor.org/rfc/rfc9989
• Intern data: ismycodesafe forskningsskann 15.-18. mai 2026, aggregerte tall