DDoS-angrep mot offentlig sektor: Er tilgjengelighet en del av risikobildet?

Tjenestenektangrep mot norske virksomheter har økt kraftig de siste årene. Samtidig gjør avhengigheten av felles digital infrastruktur at ett angrep kan få konsekvenser for en rekke tjenester. Hva betyr det for sikkerhetsrisikoanalysen – og hvilket ansvar har virksomheten?

Dette er del 2 av 4 i Daniel Robergs artikkelserie om testlederens rolle i arbeidet med å sikre offentlige IT-systemer. Les del 1 her. I del 1 så vi på hvorfor «har vi gjort en risikoanalyse» er et for enkelt spørsmål, og hvordan funksjonelle og sikkerhetsmessige risikoanalyser ofte forveksles. I denne delen ser vi på hvorfor trusselbildet har blitt mer akutt, med et konkret eksempel fra sommeren 2026, og hvilket ansvar regelverket legger på ledelsen.

Trusselbildet gjør spørsmålet mer akutt enn før

Dette er ikke et teoretisk problem. Nasjonal sikkerhetsmyndighet (NSM) har pekt på at antallet tjenestenektangrep (denial-of-service) mot norske virksomheter har økt kraftig de siste årene, og at angrepene i økende grad er profesjonaliserte og målrettede. NSM har også vist til at sektorer som tidligere ikke var typiske mål (som transport, finans og helse) nå rammes, og at motivasjonen ofte er politisk, blant annet knyttet til Norges støtte til Ukraina.

Siden sommeren 2022 har NSM registrert en seksdobling i antall tjenestenektangrep, sammenlignet med de tre foregående årene samlet.

Sommeren 2026: Ett angrep rammet en rekke offentlige tjenester

At dette ikke lenger er et teoretisk scenario, ble tydelig sommeren 2026. I juni ble en tredjepartsleverandør som leverer nettverksinfrastruktur til flere av Digitaliseringsdirektoratets (Digdirs) fellesløsninger, utsatt for et DDoS-angrep. Resultatet var at ni samfunnskritiske offentlige løsninger ble helt eller delvis utilgjengelige.

Bare seks uker senere ble leverandøren angrepet på nytt – denne gangen kraftigere. Angrepet fikk konsekvenser for sentrale tjenester som ID-porten, MinID, Altinn og Helsenorge, og førte blant annet til problemer for apotek over hele landet. Norske brukere fikk gjenopprettet normal drift i løpet av natten, mens enkelte brukere i Europa opplevde problemer lenger.

Sentralisering gjør ett angrep til et angrep på alt

Det som gjør sommerens hendelser særlig relevante for en testleder, er ikke bare at de skjedde, men hvordan konsekvensene spredte seg.

Tjenestene som falt ut, var ikke nødvendigvis direkte mål for angrepet. Angrepet rammet delt infrastruktur som en rekke offentlige tjenester er avhengige av, blant annet for innlogging og maskin-til-maskin-kommunikasjon. Da denne infrastrukturen ble utilgjengelig, fikk det konsekvenser for flere tjenester samtidig.

Det illustrerer en viktig bakside ved sentralisering. Fellesløsninger gjør digitaliseringen av offentlig sektor enklere og mer effektiv, men skaper samtidig avhengigheter. Når mange tjenester er avhengige av den samme infrastrukturen, kan et angrep på én komponent få konsekvenser langt utover selve målet.

For testlederen betyr det at en sikkerhetsrisikoanalyse ikke kan stoppe ved systemets egen infrastruktur. Kritiske eksterne avhengigheter må også kartlegges. Et sentralt spørsmål bør derfor være: Hvilke fellesløsninger er vi avhengige av for innlogging, oppslag og signering – og hva skjer med tjenesten vår dersom én av dem faller ut?

Svaret ligger ikke nødvendigvis innenfor virksomhetens egen kontroll. Nettopp derfor er det viktig å kjenne konsekvensene på forhånd og ha en plan for hvordan virksomheten skal håndtere dem. Tilgjengelighet bør med andre ord behandles som en sikkerhetsegenskap på linje med konfidensialitet og integritet. «Vi har ikke vært et mål før» er ikke et godt nok argument for å utelate DDoS- og tjenestenektangrep fra risikobildet.

Regelverket gjør dette til et ledelsesansvar

Trusselbildet er ikke den eneste grunnen til å ta dette på alvor. Regelverket stiller også krav til hvordan virksomheter arbeider med digital sikkerhet og risiko.

Sikkerhetsloven og virksomhetssikkerhetsforskriften stiller krav til risikovurderinger for virksomheter som omfattes av regelverket. I tillegg trådte digitalsikkerhetsloven og digitalsikkerhetsforskriften i kraft 1. oktober 2025. Regelverket gjennomfører EUs NIS-regelverk i norsk rett og stiller krav til virksomheter innen blant annet energi, transport, helse, vannforsyning, bank og digital infrastruktur. Virksomheter som omfattes, har blant annet plikt til å varsle om alvorlige hendelser som påvirker tjenesteleveransen.

For ledelsen betyr dette at spørsmålet «har vi gjennomført en sikkerhetsrisikoanalyse?» ikke bare handler om prosjektstyring. Virksomheten må forstå hvilke tjenester og avhengigheter som er kritiske, hva som kan gjøre dem utilgjengelige, og hvordan en hendelse skal oppdages og håndteres.

En sikkerhetsrisikoanalyse bør derfor ikke være et dokument som bare bekrefter at risiko er vurdert. Den skal gi virksomheten et reelt grunnlag for å forstå hva som kan skje – og være forberedt når det faktisk gjør det.