Dataangrep: Dette må bedriften gjøre de første 72 timene

Datatilsynet publiserte 27. august nye råd til virksomheter som rammes av dataangrep. Hovedpoenget er at et innbrudd kan ramme både driften og menneskene bak personopplysningene. Derfor må teknisk håndtering, dokumentasjon og personvernvurdering starte parallelt.

Første time: Begrens og loggfør

Varsle den som har ansvar for IT og ledelsen. Noter nøyaktig når hendelsen ble oppdaget, hvem som oppdaget den og hvilke tegn som finnes. Ta vare på skjermbilder, logger og meldinger fra angriperen.

Berørte maskiner og kontoer bør isoleres for å begrense spredning, men unngå å slette, reinstallere eller endre mer enn nødvendig før fagfolk har sikret spor. Har bedriften ekstern IT-drift, sikkerhetsleverandør eller cyberforsikring, bør avtalt kontaktpunkt brukes med én gang.

NSM understreker at virksomheter under angrep må handle raskt for å stoppe angriperen og gjenopprette systemer. Akutt hjelp kan komme fra blant andre IKT- eller sikkerhetsleverandør, sektor-CERT, Nasjonalt cybersikkerhetssenter eller politiet.

Første døgn: Finn omfanget

Lag en foreløpig oversikt over berørte systemer, tjenester, kontoer og leverandører. Avklar om opplysninger kan være lest, endret, stjålet, slettet eller gjort utilgjengelige. Et løsepengeangrep kan være et personopplysningsbrudd selv om data ikke er publisert, fordi tilgjengeligheten også kan være rammet.

Registrer beslutninger og tiltak fortløpende. Politiet sier at datakriminalitet bør anmeldes. En anmeldelse erstatter ikke eventuell melding til Datatilsynet, og melding til Datatilsynet erstatter ikke teknisk hendelseshåndtering.

72 timer: Vurder meldeplikten

Hvis personopplysninger er berørt, skal den behandlingsansvarlige vurdere risikoen for menneskene det gjelder. Etter personvernforordningen artikkel 33 skal et meldepliktig brudd varsles uten ugrunnet opphold og, når det er mulig, senest 72 timer etter at virksomheten fikk kjennskap til det.

Melding sendes gjennom Altinn. Hvis alle fakta ikke er klare innen fristen, åpner Datatilsynet for trinnvis melding: Send det som er kjent innen fristen, opplys at mer informasjon kommer, og følg opp så snart den foreligger. Også hendelser som vurderes som ikke meldepliktige, skal dokumenteres med virkninger, risikovurdering og tiltak.

Dersom bruddet sannsynligvis innebærer høy risiko for de berørte, kan virksomheten også måtte informere dem uten unødig opphold. Informasjonen bør være konkret: hva som har skjedd, mulige følger, kontaktpunkt og hva mottakeren kan gjøre for å beskytte seg.

Dette bør du gjøre nå

• Utpek én hendelsesleder og én stedfortreder.
• Legg kontaktinformasjon til IT-leverandør, forsikring, politi og relevante sikkerhetsmiljøer utenfor virksomhetens IT-system.
• Kontroller hvem som har Altinn-tilgang til skjemaet for personvernbrudd.
• Test at sikkerhetskopier kan gjenopprettes, ikke bare at de blir tatt.
• Lag en enkel loggmal for tidspunkt, system, personopplysninger, risiko, tiltak og beslutning.

Dette betyr for bedriften

De første timene handler ikke om å ha alle svarene. De handler om å stanse spredning, bevare spor og etablere en dokumentert vurdering. En ferdig kontaktliste og en øvd beslutningsrekkefølge kan spare kritisk tid når både kunder, drift og en 72-timersfrist krever oppmerksomhet.

Kilder

Hovedkilde: Datatilsynet – Beskytt deg selv eller virksomheten mot dataangrep, 27. august 2026

Tilleggskilder: Datatilsynet – melde avvik, Det europeiske personvernrådet – databrudd for små bedrifter, NSM – digital utpressing og Politiet – datakriminalitet.