GDPR og informasjonssikkerhet: dette må bedriften ha på plass

GDPR krever at bedriften beskytter personopplysninger med tekniske og organisatoriske tiltak som passer til risikoen. Du må altså vite hvilke opplysninger dere har, vurdere hva som kan gå galt, sette inn tiltak, teste at de virker og dokumentere det hele. Loven gir ingen fast sjekkliste. Den krever et sikkerhetsnivå dere kan begrunne. Her går vi gjennom hva det betyr i praksis for en liten eller mellomstor norsk bedrift, også en uten egen IT-avdeling.

Kort oppsummert

• Artikkel 32 i GDPR krever et sikkerhetsnivå som står i forhold til risikoen. Det skal ivareta konfidensialitet, integritet, tilgjengelighet og robusthet, og dere skal kunne gjenopprette data etter en hendelse.
• Rekkefølgen er alltid den samme: kartlegg personopplysningene, gjør en risikovurdering, sett inn tiltak med en ansvarlig og en frist, og test jevnlig.
• Arbeidet skal dokumenteres i internkontrollen. Hvis det ikke er skrevet ned, kan dere ikke vise Datatilsynet at det er gjort.
• Kommer personopplysninger på avveie, skal bruddet som hovedregel meldes til Datatilsynet innen 72 timer.
• Datatilsynet har gitt norske bedrifter gebyrer i millionklassen for sen melding og for manglende risikovurdering og testing.

Innholdsfortegnelse

• Hva GDPR faktisk krever av sikkerheten
• Informasjonssikkerhet og personvern henger sammen, men er ikke det samme
• Tekniske og organisatoriske tiltak dere bør ha på plass
• Slik gjør en liten bedrift risikovurderingen
• Dokumentasjon og internkontroll
• Når personopplysninger kommer på avveie
• Hva det koster å ta feil
• Vårt syn: sikkerhet ledelsen forstår, og hull som faktisk blir tettet
• Slik kan vi hjelpe
• Ofte stilte spørsmål
• Kilder

Hva GDPR faktisk krever av sikkerheten

Kravet står i personvernforordningen artikkel 32, som gjelder som norsk lov gjennom personopplysningsloven. Bedriften skal gjennomføre «egnede tekniske og organisatoriske tiltak» for å oppnå et sikkerhetsnivå som passer til risikoen.

Hva som er egnet, avhenger ifølge Datatilsynets veiledning om internkontroll av flere forhold:

• behandlingens art, omfang, formål og sammenheng
• hvilken teknologi som er tilgjengelig
• hva tiltakene koster å gjennomføre
• hvor sannsynlig og hvor alvorlig risikoen er for personene opplysningene gjelder

Artikkel 32 nevner også noen tiltak direkte: pseudonymisering og kryptering, evne til å sikre vedvarende konfidensialitet, integritet, tilgjengelighet og robusthet, evne til å gjenopprette tilgangen til opplysningene etter en fysisk eller teknisk hendelse, og en prosess for regelmessig testing og vurdering av hvor godt tiltakene virker.

For de fleste små bedrifter er dette siste punktet lettest å overse. Det holder ikke å ha satt opp brannmur, tofaktorpålogging og sikkerhetskopi én gang. Loven forventer at dere jevnlig sjekker at det fortsatt virker.

Hva det betyr for en typisk bedrift

Tenk deg en regnskapsfirma med tolv ansatte i Bergen. De behandler lønnsdata, fødselsnumre og bankopplysninger for flere hundre kunder, lagret i skytjenester og sendt på e-post hver dag. Her er risikoen for kundene høy hvis noe lekker, og kravene til tilgangsstyring, kryptering og opplæring blir deretter. En frisørsalong med timebok og telefonnumre har et annet risikobilde, men må fortsatt kunne vise at den har tenkt gjennom sikkerheten.

Informasjonssikkerhet og personvern henger sammen, men er ikke det samme

Mange blander risikovurderingen etter artikkel 32 med personvernkonsekvensvurderingen (DPIA) etter artikkel 35. Ifølge Datatilsynets veiledning om DPIA innebærer både artikkel 24, 25, 32 og 35 risikovurderinger, men de har ulike formål:

Poenget er at god teknisk sikkerhet ikke gjør en inngripende behandling lovlig. Og en lovlig behandling er ikke trygg hvis opplysningene ligger åpent. Dere trenger begge deler, og risikovurderingen etter artikkel 32 er den alle bedrifter må ha.

Tekniske og organisatoriske tiltak dere bør ha på plass

Datatilsynet og EDPBs veiledning for små virksomheter deler sikkerheten i tre mål: konfidensialitet (bare de rette ser opplysningene), integritet (opplysningene er korrekte og ikke endret uten grunn) og tilgjengelighet (dere får tak i dem når dere trenger dem). Tiltakene under er de som går igjen i veiledningene.

Tiltakene skal tilpasses. EDPB understreker at de skal passe til konteksten, teknologien og risikoen for enkeltpersoner. Et lite firma trenger ikke et eget sikkerhetssenter, men det trenger tofaktorpålogging, sikkerhetskopi og ansatte som kjenner igjen en falsk faktura.

Systemer som håndterer ansattdata, som timeregistrering og lønn, er et godt sted å starte. Her ligger mye personinformasjon samlet, og spørsmålet om personvern og sikkerhet i HR-systemer handler om de samme tre målene: hvem har tilgang, er dataene korrekte, og kan de gjenopprettes.

E-post er den vanligste veien inn for angripere. Vi har skrevet mer om tiltakene som faktisk stopper dataangrep hvis du vil gå dypere i den tekniske delen.

Slik gjør en liten bedrift risikovurderingen

Datatilsynet definerer risiko som forholdet mellom sannsynligheten for en uønsket hendelse og konsekvensene av den. Vurderingen skal gjøres før dere begynner å behandle personopplysninger og før nye systemer tas i bruk, og den skal oppdateres når noe vesentlig endrer seg. En praktisk gjennomgang ser slik ut:

1. Kartlegg personopplysningene. Hvilke opplysninger har dere, om hvem, hvor ligger de, og hvem har tilgang? Behandlingsprotokollen er et naturlig utgangspunkt.
2. List opp verdiene. Kunderegister, e-postkontoer, nettbutikk, lønnssystem, delte mapper i skyen.
3. Tenk gjennom trusler og angrepsveier. Phishing, stjålne passord, løsepengevirus, en ansatt som sender feil vedlegg, en leverandør som blir hacket, en tapt bærbar PC.
4. Finn sårbarhetene. Kontoer uten tofaktor, gamle brukere som ikke er slettet, sikkerhetskopi som aldri er testet, en nettside med utdatert programvare.
5. Vurder sannsynlighet og konsekvens. Sett hver hendelse opp mot akseptkriteriene dere har bestemt. Hva tåler bedriften, og hva tåler kundene?
6. Bestem tiltak med ansvarlig og frist. Hvert tiltak får en eier og en dato. Det er dette som gjør vurderingen til et arbeidsverktøy og ikke et dokument i en skuff.

Nasjonal sikkerhetsmyndighets veileder i risikostyring, oppdatert i juni 2026, beskriver fire måter å håndtere en risiko på: unngå den, overføre den, akseptere den eller redusere den. Det er et ledelsesvalg. Lederen trenger derfor et beslutningsgrunnlag hun forstår, ikke bare en teknisk rapport.

Vi har laget en egen gjennomgang av GDPR-risikovurdering i bedriften med flere eksempler.

Dokumentasjon og internkontroll

GDPR bygger på ansvarlighet: bedriften skal kunne vise at den følger reglene. I praksis betyr det et lite styringssystem for informasjonssikkerhet. Det trenger ikke være stort, men det bør inneholde:

• en oversikt over hvilke personopplysninger dere behandler, og hvorfor
• risikovurderingen med tiltak, ansvarlige og frister
• rutiner for tilgangsstyring, sikkerhetskopi og oppdatering
• databehandleravtaler med leverandører som behandler data for dere
• rutine for avvikshåndtering og en logg over avvik
• resultater fra tester og gjennomganger, med dato

Dokumentasjonen skal speile hvordan dere faktisk jobber. En virksomhet som gjør regelmessig kontroll synlig, for eksempel gjennom en åpen side om sikkerhet, samsvar og databeskyttelse, viser kunder og samarbeidspartnere at kravet om testing og styring tas på alvor. For en mindre bedrift holder det ofte med et ryddig dokument som oppdateres hver gang noe endres, og som ledelsen går gjennom minst én gang i året.

Når personopplysninger kommer på avveie

Et brudd på personopplysningssikkerheten kan være alt fra et hacket e-postkonto til en kundeliste sendt til feil mottaker. Datatilsynet sier at alle brudd skal følges opp internt, også når de ikke meldes videre. Dere skal vurdere risikoen for de berørte og dokumentere vurderingen.

Meldeplikten fungerer slik:

• Til Datatilsynet: Bruddet skal meldes uten ugrunnet opphold og om mulig innen 72 timer etter at dere ble kjent med det, med mindre det er usannsynlig at det medfører risiko for de berørte. Ved digitale angrep sier Datatilsynet at dere skal sende melding innen 72 timer hvis dere mistenker brudd. Kommer meldingen senere, må forsinkelsen begrunnes.
• Til de berørte: Hvis bruddet sannsynligvis gir høy risiko for dem, skal de informeres uten ugrunnet opphold, på et klart og enkelt språk.

Meldingen bør så langt det er mulig beskrive hva som har skjedd, hvilke typer opplysninger og omtrent hvor mange personer som er berørt, hvem som er kontaktperson, sannsynlige konsekvenser og hva dere har gjort for å begrense skaden.

Vent ikke på at alle fakta er på bordet. Saken mot Argon Medical Devices viser hvorfor: bruddet ble oppdaget i juli 2021, men meldt først i september, og Datatilsynet ila et overtredelsesgebyr på 2,5 millioner kroner. Send heller en foreløpig melding og fyll på etter hvert.

Er dere utsatt for et pågående angrep og mangler kompetanse til å håndtere det selv, anbefaler Datatilsynet å vurdere hjelp fra tredjeparter. Ha navnet på hvem dere ringer klart før det skjer.

Hva det koster å ta feil

Overtredelsesgebyr er den mest synlige konsekvensen. Brudd på kravene i blant annet artikkel 25 til 39, der sikkerhetskravet og meldeplikten hører hjemme, kan etter artikkel 83 gi gebyr på opptil 10 millioner euro eller 2 % av global årsomsetning, det høyeste av de to.

Norske saker viser at det ikke bare rammer store selskaper. I tillegg til Argon-saken har Datatilsynet gitt BRAbank et gebyr på 400 000 kroner for manglende risikovurdering og testing før lanseringen av en kundeportal. Det er nøyaktig de to tingene artikkel 32 ber om.

Gebyret er likevel sjelden den største regningen. Driftsstans, tid brukt på opprydding, tapte kunder og skadet omdømme koster ofte mer. Derfor lønner det seg å se GDPR-kravene som en god arbeidsliste for sikkerheten, ikke som papirarbeid.

Vårt syn: sikkerhet ledelsen forstår, og hull som faktisk blir tettet

De fleste små og mellomstore bedrifter vi møter, vil gjøre det riktige. Problemet er sjelden viljen. Det er at sikkerhet blir presentert som tykke tekniske rapporter som ingen i ledelsen har tid til å lese, og som ender i en skuff.

GDPR legger ansvaret på ledelsen. Da må ledelsen også få et beslutningsgrunnlag den forstår. Derfor gir vi alltid en kort oppsummering av funnene: hva som er galt, hvor alvorlig det er, og hva som bør gjøres først.

Vi mener også at en liste over sikkerhetshull bare er halve jobben. Artikkel 32 krever tiltak og regelmessig testing, og det er tiltakene som beskytter kundene deres. Derfor er vi selv med på å rette hullene vi finner, i stedet for å overlate dem til dere.

Og dere snakker direkte med fagpersonen som gjør jobben, uten selgere eller mellomledd. Når en bedrift uten egen IT-avdeling skal ta valg om risiko, er det den korte veien som gir trygghet.

Sejad

Slik kan vi hjelpe

Vil du vite hvor bedriften står i dag? Med tjenesten Risiko og regler går vi gjennom risikovurdering, GDPR og rutiner sammen med dere, og gir ledelsen en kort oppsummering med konkrete tiltak.

Trenger dere å teste at tiltakene virker, slik artikkel 32 krever, gjør vi en sikkerhetstest av nettside, app og systemer. Vi tilbyr også gjennomgang av sky og e-post og opplæring og phishing-test for ansatte. Vil du starte enkelt, kan du ta vår gratis sjekk av e-posten din.

Ofte stilte spørsmål

Gjelder GDPRs krav til informasjonssikkerhet også små bedrifter?

Ja. Kravet i artikkel 32 gjelder alle som behandler personopplysninger, uansett størrelse. Det som varierer, er hvilke tiltak som er egnet, fordi de skal stå i forhold til risikoen. En liten bedrift med sensitive kundedata kan derfor trenge strengere tiltak enn en større bedrift med få opplysninger.

Hvor ofte må vi oppdatere risikovurderingen?

Datatilsynet sier at vurderingen skal oppdateres ved relevante endringer, for eksempel nye systemer, nye leverandører eller nye typer opplysninger. I tillegg krever artikkel 32 regelmessig testing av tiltakene. Mange bedrifter går gjennom vurderingen minst én gang i året og etter hver større endring.

Må alle avvik meldes til Datatilsynet?

Nei. Dere skal melde med mindre det er usannsynlig at bruddet medfører risiko for de berørte. Alle brudd skal likevel følges opp og dokumenteres internt, også de dere ikke melder.

Er kryptering påbudt etter GDPR?

Artikkel 32 nevner kryptering som et eksempel på et egnet tiltak, men gjør det ikke til et absolutt krav i alle tilfeller. Om dere må kryptere, avhenger av risikovurderingen. For bærbare enheter, sikkerhetskopier og sensitive opplysninger er kryptering i praksis et naturlig tiltak.

Hvem i bedriften har ansvaret for informasjonssikkerheten?

Det overordnede ansvaret ligger hos ledelsen, fordi bedriften som behandlingsansvarlig må kunne vise at den følger reglene. Praktiske oppgaver kan fordeles, og hvert tiltak bør ha en navngitt ansvarlig og en frist.

Kilder

Lovdata: personvernforordningen artikkel 32 Datatilsynet: Etablere internkontroll Datatilsynet: Veiledning om DPIA Datatilsynet: Risikovurdering EDPB: Sikring av personopplysninger NSM: Veileder i risikostyring Datatilsynet: Hvordan følge opp bruddet internt? Datatilsynet: Håndtering av personvernet ved digitale angrep Datatilsynet: Overtredelsesgebyr til Argon Medical Devices Datatilsynet: Sentrale avgjørelser GDPR artikkel 83: Generelle vilkår for ilegging av overtredelsesgebyr

Anbefalinger

• GDPR-risikovurdering i bedriften: slik gjør dere det
• Risiko og regler: GDPR, NIS2 og sikkerhetsrutiner
• Slik beskytter du bedriften mot dataangrep: tiltakene som virker
• Sikkerhet for bedrifter uten egen IT-avdeling