Nasjonal sikkerhetsmyndighet oppfordret 15. september 2026 norske virksomheter til å forberede seg på tjenestenektangrep. Rådene omfatter både teknisk beskyttelse og hvordan virksomheten skal håndtere bortfall av tjenester.
NSM peker på at alle med offentlig tilgjengelige nettsider eller andre nettjenester i utgangspunktet kan rammes. Konsekvensene avhenger blant annet av om virksomheten fortsatt klarer å levere tjenestene sine.
Kartlegg avhengighetene
Virksomheten bør vite hvilke tjenester som er åpne mot internett, og hvilke nettverk og systemer de er avhengige av. Oversikten må holdes oppdatert når infrastrukturen endres.
NSM anbefaler også å kontrollere at interne tjenester ikke utilsiktet er tilgjengelige utenfra. Enkelte systemer kan bli satt ut av spill med relativt lite trafikk, noe som kan gjøre angrepet vanskeligere å oppdage.
Avtal hvem som gjør hva
Avtaler med IKT-leverandører bør avklare ansvaret ved et angrep. Beredskapsplanen må beskrive roller og hvem som kan ta beslutninger.
Myndigheten anbefaler regelmessig testing av filtrering og andre beskyttelsestiltak. Øvelser skal også vise om planen fungerer i praksis.
Et driftsproblem som flere enn IT må håndtere
For en norsk nettbutikk kan en nyttig skrivebordsøvelse være at kundene ikke kommer gjennom til kassen en travel formiddag. Dette er et tenkt scenario. Poenget er å finne ut hva virksomheten gjør mens teknikere undersøker feilen.
Hvem kontakter driftsleverandøren? Hvordan får kundeservice vite hva de skal svare? Hvem bestemmer om kampanjer som sender kunder til en utilgjengelig butikk, skal settes på pause? Og hvor kan bedriften gi en oppdatering dersom også nettsiden med driftsmeldinger er nede?
Slike spørsmål gjør beredskapen konkret. De kan avdekke manglende telefonnumre, uklare fullmakter og avhengigheter som ikke er synlige når alt fungerer. Øvelsen bør ende med navngitte ansvarlige og oppgaver som skal lukkes, ikke bare et referat.
Mål om dere kan holde virksomheten i gang
En teknisk test og en beredskapsøvelse svarer på forskjellige spørsmål. Den ene undersøker beskyttelsen. Den andre undersøker om menneskene vet hva de skal gjøre når en tjeneste likevel blir borte.
Ved en øvelse kan bedriften registrere tiden frem til leverandøren er kontaktet, første kundemelding er klar og en eventuell reserveløsning er i bruk. Da får neste øvelse et konkret sammenligningsgrunnlag.
NSMs råd er generelle. Omtalen er ikke et varsel om at akkurat din virksomhet er angrepet. Hvilke tiltak som trengs, må vurderes opp mot tjenestene virksomheten faktisk er avhengig av.