IT-sikkerhetsfeilene som kan koste deg millioner – og hvordan ERP-systemet kan redusere risikoen

Det holder ikke lenger å beskytte bedriften mot trusler. I dag må virksomheter også jobbe systematisk med å bygge opp, dokumentere og opprettholde digital motstandsdyktighet. Det er ikke lenger et valg, men et lovkrav.

NIS2-regelverket, som i Norge er innført gjennom den nye cybersikkerhetsloven og trådte i kraft i januar 2026, markerer et tydelig skifte. Antallet virksomheter som omfattes direkte av regelverket, har økt kraftig – fra rundt 900 til om lag 8000. I tillegg kommer titusenvis av underleverandører som påvirkes indirekte.

{{textbox-1}}

Den største endringen ligger likevel i de økonomiske og juridiske konsekvensene av mangelfull internkontroll. Kort oppsummert innebærer de nye reglene følgende: [lenker til kortfattet informasjon til slutt i artikkelen]

• Millionbøter som standard. Brudd på NIS2-regelverket kan medføre overtredelsesgebyrer på opptil ti millioner euro eller to prosent av virksomhetens globale årsomsetning, avhengig av hvilket beløp som er høyest.
• Dobbel økonomisk risiko. Dersom bruddene også omfatter personopplysninger, kan GDPR komme i tillegg. Det kan utløse ytterligere gebyrer på opptil fire prosent av den globale omsetningen.
• Personlig ansvar. CEO og styret kan holdes personlig ansvarlige. Virksomheten trenger ikke engang å faktisk ha blitt utsatt for et cyberangrep – alvorlige mangler i rutiner og prosesser kan i seg selv være tilstrekkelig til å utløse sanksjoner.
• For virksomheter i finanssektoren gjelder DORA-forordningen i stedet for NIS2-regelverket. Prinsippene er de samme, men sanksjonene er annerledes, og hendelser skal rapporteres til Finanstilsynet innen 24 timer.

Det kan være lett å tenke at «det skjer nok ikke oss», særlig fordi tidligere EU-direktiver ofte har blitt oppfattet som lite håndfaste. Nå er situasjonen en annen. Feilkonfigurerte tilgangsrettigheter, mangelfulle rutiner og uklare ansvarsforhold er ikke lenger bare interne utfordringer, men representerer en reell forretningsrisiko.

I denne artikkelen viser vi deg tre vanlige organisatoriske feil som ofte henger sammen og forsterker hverandre, og hvordan et moderne ERP-system bidrar til å forhindre dem.

{{textbox-2}}

Fire øyne-prinsippet svikter – internkontrollen holder ikke tritt når virksomheten vokser

Når én og samme person kan kontrollere flere ledd i en kritisk økonomisk prosess, svekkes sporbarheten. Det øker risikoen for både interne misligheter og kostbare feil.

Hvis én person både kan registrere en leverandør og godkjenne fakturaer, eller opprette en ordre og deretter attestere betalingen, kan konsekvensene bli alvorlige. Likevel er dette fortsatt vanlig – også i større virksomheter som er lovpålagt å opprettholde funksjonsdeling (også kalt SoD – Segregation of Duties).

Når én person kontrollerer flere ledd i samme økonomiske prosess, øker risikoen for utilsiktede feil, misbruk og økonomisk kriminalitet. Slike forhold fanges sjelden opp av en alarmlogg eller en overfladisk revisjon.

En alarmlogg registrerer avvik fra systemets regler. Har en bruker legitim tilgang til å utføre begge handlingene, vil systemet imidlertid ikke registrere noe unormalt. En ordinær kontroll bekrefter gjerne at prosessen er gjennomført, men ikke nødvendigvis at den er utført av flere personer. Det som mangler, er et uavhengig kontrollledd – og det blir ofte først oppdaget når noen undersøker prosessen nærmere.

Dersom misbruket er bevisst, kan det pågå i måneder – noen ganger i flere år – før det blir avdekket. Bedragerier som skyldes manglende funksjonsdeling, oppdages i gjennomsnitt først etter 12 til 18 måneder. I tillegg til det direkte økonomiske tapet kommer kostnader til gransking, revisjon og juridisk bistand.

Mangelfull funksjonsdeling oppstår ofte gradvis. En kollega dekker inn for en annen, midlertidige løsninger blir permanente, og etablerte arbeidsvaner følger med når virksomheten vokser. Risikoen forsvinner ikke av seg selv, men må bygges bort gjennom tydelige strukturer og klare ansvarsforhold. Det krever et tydelig eierskap til tilgangsstyringen og en løpende oppfølging av roller og kontroller.

Det er også viktig å huske at funksjonsdeling ikke bare beskytter virksomheten. Det beskytter også den enkelte medarbeider. En person med for vide fullmakter er sårbar dersom noe går galt. Hvis penger forsvinner eller en leverandør viser seg å være fiktiv, vil mistanken raskt rettes mot den som hadde tilgang til hele prosessen – uavhengig av om vedkommende faktisk har gjort noe galt.

{{cta-1}}

Hva sier NIS2-regelverket om funksjonsdeling?

Funksjonsdeling (SoD) er et grunnleggende krav i EUs regelverk. Virksomheter som omfattes av NIS2-regelverket, må kunne dokumentere streng kontroll med tilgangsrettigheter og arbeidsprosesser. Ved en revisjon skal virksomheten kunne legge frem digitale logger og systemkontroller som dokumenterer at funksjonsdelingen etterleves.

De økonomiske konsekvensene av mangelfull funksjonsdeling

Mangelfull funksjonsdeling kan få betydelige økonomiske konsekvenser (i tillegg til eventuelle sanksjoner fra myndighetene):

• Direkte tap: økonomiske tap som følge av interne misligheter og kostbare feil knyttet til håndtering av fakturaer, lønn og lager.
• Skjulte kostnader: økte revisjonskostnader, høyere lånekostnader som følge av økt risikoprofil og tapte forretningsmuligheter når kunder velger leverandører med bedre internkontroll.

‍

Systemstøtte for sikker funksjonsdeling

Et moderne ERP-system bygger funksjonsdeling inn i arbeidsprosessene. I stedet for at de ansatte selv må huske reglene, sørger systemet for at én og samme person ikke kan få tildelt uheldige kombinasjoner av tilgangsrettigheter.

Systemet blokkerer kombinasjoner som kan åpne for misbruk, og varsler automatisk om avvik – uavhengig av ferieavvikling, høyt arbeidspress eller endringer i bemanningen.

Samtidig oppretter systemet detaljerte revisjonsspor (audit trails) som dokumenterer hvem som har gjort hva, når handlingen ble utført og hvilken enhet den ble utført fra. Ved en revisjon kan denne dokumentasjonen enkelt eksporteres som en ferdig rapport.

Ukontrollerte tilgangsrettigheter – manglende kontroll over hvem som har tilgang til hva

Mangelfull identitets- og tilgangsstyring kan bli en tikkende økonomisk bombe. Konsekvensene kan være alt fra store økonomiske tap til betydelige overtredelsesgebyrer.

Tilgangsrettigheter i ERP-systemer har en tendens til å vokse frem over tid. Medarbeidere får nye roller og flere ansvarsområder og beholder ofte gamle tilganger de ikke lenger trenger. Dersom virksomheten mister oversikten over hvem som har tilgang til hva, kan et eventuelt sikkerhetsbrudd få langt større konsekvenser enn nødvendig.

Manglende kontroll over digitale identiteter kan åpne døren for kontoovertakelser, datatyveri, manipulering av økonomiske data og installasjon av skadelig programvare.

Det er vanligere enn mange tror at tilgangsrettigheter gradvis utvides. For eksempel kan en ansatt bytte rolle og få nye tilganger uten at de gamle blir fjernet. Eller så kan en konsulent få midlertidig tilgang, og så blir kontoen stående aktiv etter at oppdraget er avsluttet. Dette er bare to typiske eksempler. Mangler man tydelig eierskap til tilgangsstyringen og automatiserte kontrollmekanismer, kan slike svakheter bygge seg opp over tid uten at noen oppdager dem før skaden har skjedd.

Ifølge sikkerhetsselskapet Truesecs erfaring fra håndtering av reelle sikkerhetshendelser starter over 70 prosent av vellykkede cyberangrep med at en brukerkonto blir kompromittert, eller at angriperen utnytter svake eller feilkonfigurerte tilgangsrettigheter.

Hva sier NIS2-regelverket om identitets- og tilgangsstyring?

Identitetsforvaltning og streng tilgangskontroll er grunnleggende krav i NIS2-regelverket. Virksomheter som omfattes av regelverket, må kunne dokumentere full kontroll over digitale identiteter og hvem som har tilgang til hvilke systemer og data.

Ved en revisjon skal virksomheten kunne legge frem digitale logger, sikre autentiseringsløsninger og systemkontroller som dokumenterer at uautorisert tilgang blir forhindret.

De økonomiske konsekvensene av mangelfull identitets- og tilgangsstyring

Mangelfull kontroll over digitale identiteter og tilgangsrettigheter kan utløse både sanksjoner etter NIS2 og gebyrer etter GDPR. I tillegg kommer de indirekte kostnadene.

• Direkte tap: En kompromittert brukerkonto eller et datainnbrudd kan påføre virksomheten store økonomiske tap – ofte på et tidspunkt der organisasjonen allerede er under betydelig press.
• Skjulte kostnader: IT-tekniske undersøkelser etter et sikkerhetsbrudd, gjenoppretting av systemer og økte forsikringspremier kan bli kostbare. I tillegg risikerer virksomheten å tape kontrakter når kunder og samarbeidspartnere stiller stadig strengere krav til sikker identitets- og tilgangsstyring.

Systemstøtte for sikker identitets- og tilgangsstyring

Et moderne ERP-system gir virksomheten full kontroll over digitale identiteter gjennom en rollebasert modell for tilgangsstyring. Tilganger knyttes til roller, ikke til enkeltpersoner. Når en medarbeider slutter, bytter stilling eller avslutter et oppdrag, oppdateres tilgangene automatisk.

Samtidig reduseres behovet for risikofylte løsninger som delte brukerkontoer (shared accounts). Slike kontoer er fortsatt utbredt i mange virksomheter, men gjør det nærmest umulig å dokumentere hvem som faktisk har utført en handling.

Systemet oppretter også detaljerte revisjonsspor som viser hvem som har hatt tilgang til hvilke data, når endringer er gjort, og hvilken enhet de er utført fra. Dermed har virksomheten til enhver tid oppdatert dokumentasjon som enkelt kan eksporteres ved en revisjon.

{{textbox-3}}

Sårbarhet ved endringer – når sikkerheten ikke holder tritt

Perioder med omstilling er ofte de tidspunktene hvor virksomheten er mest sårbar. Det er ikke tilfeldig.

Ved omorganiseringer, sterk vekst, oppkjøp og systembytter rettes oppmerksomheten naturlig nok mot det som skal bygges. Samtidig øker risikoen for at etablerte sikkerhetsrutiner blir nedprioritert eller glemt. Mange sikkerhetshendelser i ERP-systemer skjer nettopp i forbindelse med større organisatoriske endringer.

Internasjonale analyser av datainnbrudd viser at mellom 20 og 25 prosent av sikkerhetshendelsene involverer ansatte eller innleide konsulenter. Dette skjer som regel ikke av vond vilje, men fordi roller, ansvar og tilgangsrettigheter blir uklare når organisasjonen er i endring.

Når prosesser er midlertidige og ansvarsfordelingen er uklar, blir de daglige sikkerhetsrutinene lett nedprioritert. Legges det samtidig stadig nye lag med tilgangsrettigheter oppå de gamle uten at noe ryddes opp, oppstår det raskt «blinde soner» i systemet – områder der ingen lenger har full oversikt. 

Slike svakheter kan bli både tidkrevende og kostbare å avdekke i etterkant. Resultatet blir det stikk motsatte av det virksomheten ønsket å oppnå gjennom vekst eller digitalisering.

Hva sier NIS2-regelverket om risikostyring ved endringer?

NIS2-regelverket stiller tydelige krav til at virksomheter skal opprettholde systematisk risikostyring og nødvendige sikkerhetstiltak også når organisasjonen er i endring. Kravene gjelder ikke bare under normal drift, men også ved omorganiseringer, oppkjøp og innføring av nye systemer.

Mangelfull risikostyring i slike situasjoner kan i seg selv utgjøre et brudd på regelverket. Det er altså ikke nødvendig at et cyberangrep faktisk har funnet sted før virksomheten kan bli møtt med sanksjoner.

De økonomiske konsekvensene av mangelfull risikostyring ved endringer

Når sikkerhetsrutinene svekkes i perioder med omstilling, kan de økonomiske konsekvensene bli betydelige (i tillegg til eventuelle sanksjoner etter NIS2):

• Direkte tap: Når gamle tilgangsrettigheter blir liggende samtidig som nye legges til, får angripere langt større handlingsrom dersom en brukerkonto kompromitteres. Et sikkerhetsbrudd i en slik situasjon kan få langt større konsekvenser enn det ellers ville hatt.
• Skjulte kostnader: Mangelfull oversikt fører ofte til omfattende granskinger for å kartlegge hvem som gjorde hva og når. I tillegg kan svak internkontroll under vekst eller oppkjøp føre til merknader fra revisor, høyere forsikringspremier og tapte kontrakter når kunder og samarbeidspartnere stiller krav til dokumentert sikkerhetsstyring.

Systemstøtte ved organisatoriske endringer

Endringer i organisasjonen er en av de vanligste årsakene til at virksomheter mister kontroll over tilgangsrettigheter. Et moderne ERP-system reduserer denne risikoen ved å knytte tilganger til roller fremfor enkeltpersoner.

Når en medarbeider enten slutter, får nye arbeidsoppgaver eller avslutter et prosjekt, oppdateres tilgangsrettighetene automatisk.

I stedet for å rydde opp manuelt etter hver omorganisering eller virksomhetsoverdragelse, bygger systemet en sikker struktur som følger organisasjonen også når den utvikler seg og vokser.

Hva som avgjør hvor dyrt det blir, og hvem må ta ansvaret

De tre risikoområdene vi har sett på, henger tett sammen og forsterker hverandre. Hver for seg kan de virke håndterbare, men dersom flere svakheter opptrer samtidig, kan konsekvensene bli betydelige.

Det som avgjør om en sikkerhetshendelse blir et mindre avvik eller utvikler seg til en alvorlig krise, er om virksomheten i etterkant kan dokumentere hva som skjedde, når det skjedde, og hvem som hadde ansvaret.

Virksomheter som ikke kan dokumentere dette, står svakt både overfor revisorer, tilsynsmyndigheter og forsikringsselskaper. Etter NIS2-regelverket er manglende sporbarhet og internkontroll ikke bare en operasjonell svakhet, men kan også innebære et brudd på regelverket. Konsekvensene kan bli både økonomiske sanksjoner for virksomheten og et personlig ansvar for ledelsen.

Det finnes ingen snarveier. Ledelsen må ta eierskap til sikkerhetsarbeidet, definere tydelige ansvarsområder og stille klare krav til hvordan virksomheten skal arbeide med internkontroll og tilgangsstyring.

Et moderne ERP-system kan bygge inn kontrollmekanismene, automatisere oppfølgingen og sørge for den sporbarheten NIS2-regelverket krever. Men teknologien alene er ikke nok. Gevinsten kommer først når virksomheten har etablert gode rutiner og lar systemet håndheve dem i praksis.

‍