NSMs årlige risikovurdering, Risiko 2026, slår fast at det er vesentlige mangler i det forebyggende sikkerhetsarbeidet hos virksomheter i Norge. Blant NSMs råd for å redusere risikoen for cyberoperasjoner står to punkter som angår patching direkte: å redusere unødvendig eksponering mot internett, og å etablere en fast rutine for regelmessig å identifisere og lukke kjente tekniske sårbarheter som aktivt utnyttes. På klientene havner det andre punktet rett i endepunktdriften.
NSM publiserte Risiko 2026 6. februar 2026. Rapporten bygger på trusselbildet som Etterretningstjenesten og PST beskriver, og NSM kaller både den sikkerhetspolitiske situasjonen og trusselbildet alvorlig: Trusselaktørene tar større sjanser, og metodene blir mer sofistikerte. For IT-ledere er det praktiske spørsmålet smalere enn overskriftene: Kan teamet vise hvor endepunktene står på det andre punktet i dag?
Hva risikobildet betyr
Rapporten trekker fram flere signaler, og tre av dem sier mye. Etterretningstjenesten understreker at Russland er forberedt på en varig konflikt med Vesten. Ifølge PST kan russisk etterretning se seg tjent med å utføre sabotasjeaksjoner mot mål i Norge i 2026. Og ifølge PST gjennomførte en pro-russisk hacktivistgruppe i 2025 en cyberoperasjon mot et damanlegg i Bremanger, der gruppen fikk tilgang til et kontrollpanel via fjernaksess.
Løsepengeangrep er ifølge NSM en av de mest utbredte angrepsmetodene mot norske virksomheter, og i flere tilfeller er det observert «dobbelt utpressing», der angriperne ikke bare krypterer data, men også truer med å offentliggjøre sensitiv informasjon. NSMs beskjed til virksomhetene er tydelig: Reduser konsekvensene av eventuelle ondsinnede handlinger, og etabler redundans og reserveløsninger.
Hvorfor risikobildet gjelder langt utover kritisk infrastruktur
Risiko 2026 beskriver operasjonell teknologi (OT) som den digitale ryggraden i noen av samfunnets viktigste prosesser, som styring av kraftproduksjon, vann- og avløpssystemer, transportsystemer og industriproduksjon. Det kunne være fristende å lese rapporten som en sak bare for kraft- og vannverk.
NSM sier noe annet. Risikovurderingen gjelder ifølge NSM alle virksomheter, men særlig dem som er omfattet av sikkerhetsloven og annet sikkerhetsregelverk. NSM ser også at cyberoperasjoner fortsatt rammer bredt, og at både små og store virksomheter på tvers av sektorer må være forberedt på å håndtere hendelser i cyberdomenet. Tjenestenektangrep krever ifølge rapporten tilnærmet ingen teknisk kompetanse og kan utføres av omtrent hvem som helst.
Én presisering er viktig her. I eksemplene NSM trekker fram, kom angriperne inn via systemer som kunne nås utenfra: i Bremanger via fjernaksess til et kontrollpanel, og i operasjonene som kinesiske trusselaktører har gjennomført, via kjente sårbarheter i nettverksutstyr. Rekkevidden er bred, men inngangen NSM beskriver i disse eksemplene, er ikke den ansattes PC.
Hva NSM anbefaler – og hvilken del som havner på endepunktet
I Risiko 2026 samler NSM anbefalingene for å redusere risikoen for cyberoperasjoner i én liste. De to punktene som angår patching, står på den samme listen, uten noen rangering mellom dem.
Resten av listen handler om segmentering mellom IT og OT, minst mulig internetteksponering av OT, utskifting av utstyr som ikke lenger mottar sikkerhetsoppgraderinger, sikre overføringsprotokoller og overvåking av egne systemer med sikker lagring av logger, med henvisning til NSMs grunnprinsipper for IKT-sikkerhet. Disse tiltakene er viktige, og de fleste ligger utenfor patching av endepunkter – selv om utskiftingen også gjelder utstyr for sluttbrukere.
Det andre punktet er der endepunktteamene har et direkte driftsansvar. NSM skiller ikke mellom operativsystem og programmer i dette rådet. Sett fra endepunktadministrasjon bør kontrollen ikke stoppe ved Windows: Tredjepartsprogrammer, kjøretidsmiljøer, nettlesere og verktøy øker alle eksponeringen på klientene.
Klientene dukker også opp i NSMs egne testfunn. NSM gjennomførte i 2025 flere inntrengingstester i statlige virksomheters kontorsystemer, og i de aller fleste tilfellene fikk NSM fullstendig kontroll over informasjonssystemet. Blant svakhetene som gikk igjen, var svake administratorpassord, bred gjenbruk av passord for lokaladministratorer og manglende applikasjonskontroll. Den ansattes PC er kanskje ikke inngangen i NSMs eksempler, men funnene viser hvor mye svakheter i kontormiljøet betyr når en angriper først er inne.
Fem spørsmål å svare på denne uken
NSM skriver at selv om trusselnivået kan variere over tid, ligger behovet for risikoreduserende tiltak fast. For endepunktdelen av rådene viser fem spørsmål hvor teamet står.
Vet vi hva som kjører på klientene?
Et team kan ikke oppdatere programvare det ikke vet at finnes. Det er utgangspunktet for en løpende programvareoversikt som tetter blindsonen der eksponeringen vokser: Windows-oppdateringer er enkle å se sentralt, mens programversjoner som regel ikke er det.
Er tredjepartsprogrammene oppdatert?
Å kjenne versjonene besvarer halve spørsmålet. Den andre halvdelen er om oppdateringene når hvert endepunkt uten manuell pakking, og om teamet kan se hvilke endepunkter som fortsatt henger etter. Må hver nye versjon fortsatt pakkes for hånd, vokser etterslepet akkurat når trusselbildet skjerpes – et argument for å automatisere patching av Windows og programmer før neste varsel. NSMs råd nevner ikke drivere, men de hører til den samme endepunkthygienen, fordi drivere som var riktige ved utrulling, over tid glir over i krasj og supportsaker.
Hvilke hull lukker vi først?
Få team kan patche alt på én gang, og et alvorlig trusselbilde gjør rekkefølgen viktigere. NSM rangerer ikke de to punktene. Rapporten beskriver et mønster der trusselaktører utnytter kjente sårbarheter i nettverksutstyr, og det taler for å ta systemene som kan nås fra internett, først – med klientene på samme liste, ikke etterpå. I klientparken er kjent utnyttelse, for eksempel en oppføring i CISAs Known Exploited Vulnerabilities-katalog, et sterkere signal enn en CVSS-score alene, og å prioritere etter risiko i stedet for å arbeide seg nedover en liste som aldri blir tom, holder innsatsen på feilene angriperne utnytter.
Hva skjer med det vi ikke kan patche?
Noen endepunkter vil ikke ta imot ukens oppdatering: Et fagsystem slutter å virke, eller rettelsen fra leverandøren er ikke sluppet ennå. For disse maskinene holder kompenserende tiltak eksponeringen på et akseptert nivå til den permanente rettelsen er på plass, og tiltakene er midlertidige av design.
Kan vi vise hvor vi står?
Når ledelsen spør hva NSMs risikobilde betyr for virksomheten, er «vi patcher jevnlig» ikke et svar på spørsmålet. Svaret er en oppdatert oversikt over patchstatus i hele enhetsparken: hvilke endepunkter som kjører oppdaterte versjoner, hvilke som fortsatt har åpen eksponering, og hva teamet lukker som det neste.
Hvor CapaOne-plattformen for endepunktadministrasjon passer inn
CapaOne Security Monitor, en del av plattformen, kobler CVE-risiko i programmer, drivere og konfigurasjoner til endepunktene den berører, og eksporterer rapporter teamet kan gi videre til ledelsen eller revisorer. NSM ber også virksomheter ha god beredskap for reserveløsninger og reparasjon, slik at de kan gjenopprette et forsvarlig sikkerhetsnivå etter en hendelse. Å finne sårbarheten som ble utnyttet, er hendelseshåndtering, men å lukke den i hele enhetsparken krever at du vet hvilke endepunkter som fortsatt har den – og det viser Security Monitor.
For tredjepartsprogramvare automatiserer Application Manager patching på tvers av en kuratert katalog: Løsningen hopper over endepunkter som allerede er oppdatert, og utbedrer dem som ikke er det. Provision Manager holder produsentgodkjente driverversjoner oppdatert etter utrulling. For sårbarheter i programmer kan teamet starte oppdateringer direkte fra et funn i Security Monitor, slik at utbedringen skjer i den samme plattformen som fant eksponeringen – tilnærmingen bak å finne all eksponering og rette det viktigste først.
CapaOne dekker synligheten og tredjepartspatchingen i den delen av NSMs råd som gjelder klientene. Resten av listen, fra segmentering og sikre overføringsprotokoller til overvåking, logging og reserveløsninger, krever andre tiltak, og en troverdig plan navngir dem hver for seg.
Et alvorlig risikobilde er en test av synlighet
Risiko 2026 endrer ikke hva god patching av endepunkter er. Men et alvorlig trusselbilde gjør det dyrere å la patchingen henge etter. En virksomhet som kan svare raskt på de fem spørsmålene, ut fra oppdaterte data, har operativ synlighet. En virksomhet som må sette sammen svarene manuelt fra flere systemer, har et synlighetsproblem – og risikobildet gjør nettopp det til det mest presserende gapet å lukke. For å se hvordan den oversikten ser ut i din egen enhetspark, kan du booke en demo av CapaOne-plattformen for endepunktadministrasjon.
