Når går alarmen, og hvor moden er beredskapen?

Når en virksomhet oppdager et brudd på personopplysninger - et hackerangrep, en feilsendt e-post eller en mistet laptop - skal de melde fra til Datatilsynet innen 72 timer(GDPR artikkel 33). Antallet meldinger har økt fra 2 250 i 2022 til 3 191 i 2024 - en vekst på 42 prosent på tre år. Det er ikke nødvendigvis så mye flere brudd: økt rapportering og bedre rutiner spiller sannsynligvis inn.

Får en virksomhet eller borger et vedtak fra Datatilsynet de mener er feil, kan de klage. Antall klager har nær doblet seg siden 2022 - fra 38 til 73. Det kan tyde på at tilsynet nå tar avgjørelser på flere og mer omstridte saker, eller at virksomhetene har blitt mer aktive i å utfordre vedtak.

Datatilsynet kan velge å åpne tilsyn på eget initiativ - typisk når de ser et mønster i meldinger eller når en bransje peker seg ut. Tallene svinger kraftig: 28 i 2022 (ny tilsynsmetodikk innført), 119 i 2023 (et historisk høyt år), 18 i 2024. Datatilsynet forklarer 2024-tallet med at tilsyn ble omprioritert til større, mer dyptgående saker. Endring i antall sier mer om tilsynsstrategi enn om risiko ute i samfunnet.

SSB spør statlige virksomheter om de har 12 grunnleggende informasjonssikkerhetstiltak på plass - alt fra skriftlig policy og oppnevnt fagansvarlig til beredskapsøvelser, risikovurderinger og opplæring av ansatte. I 2024 ble 6 av de 12 målepunktene rapportert, med et snitt på 86 prosent innførte tiltak. Modenheten er ujevn: tiltak ved nye risikoer ligger på 94.7 %, mens årlig beredskapsøvelse kun er på plass hos 64.1 %.

I de 356 norske kommunene og 11 fylkeskommunene måler SSB de samme tiltakene som hos staten - men kun seks av dem. I 2024 ligger kommunene alene i snitt på 70 prosent (fylkeskommunene rapporteres separat i grafen under). Største enkeltforskjell er årlig opplæring av ansatte: fylkeskommunene ligger på 100 % mot 73.2 % hos den andre gruppen.