Cyberangrepene mot kommune-Norge er bare oppvarmingen

Hans-Petter Nygård-Hansen

Hans-Petter Nygård-Hansen er teknologihumanist, forfatter og foredragsholder med fokus på teknologiens påvirkning på mennesker, samfunn og arbeidsliv. Han er fast kommentator i Computerworld.

LES OGSÅ:

• 

  Kjell Rusti: Nyutdannede gir verdi fra dag én

• 

  Computerworld og Coxit kjører IT-debatter i Arendal

• 

  Google gjør omrokkeringer i KI-toppen

• 

  Har cyberplanen klar – men øver ikke på angrepet

• 

  Computerworld og Coxit kjører IT-debatter i Arendal

Med 357 kommuner som i stor grad mangler penger, folk og kompetanse står den digitale grunnmuren i velferdsstaten farlig ustøtt. Med kunstig intelligens vil både de profesjonelle angriperne og amatørene utvikle verktøy til å slå til raskere, billigere og i langt større skala enn før.

En sommer med gjentatte angrep

Denne sommeren har gitt oss en generalprøve på hvor sårbare vi har gjort oss. I mai ble Lørenskog kommune rammet av et alvorlig dataangrep, kriseledelsen ble satt, og innbyggerne fikk sin egen hjelpetelefon. Da omfanget etter hvert ble kjent, viste det seg at kriminelle hadde hentet ut rundt 1,8 terabyte med sensitive personopplysninger om både ansatte og innbyggere, og la dataene ut på det mørke nettet. En kommune med god økonomi og relativt solide fagmiljøer ble altså satt ut av spill.

Natt til mandag 3. august, forsvant plutselig inngangen til hele det offentlige Norge. Et tjenestenektangrep mot ID-porten tok med seg Altinn, Skatteetaten, Nav og Helsenorge i fallet. Det var andre gang på snaue seks uker at den samme driftsleverandøren ble tatt ned, og i samme periode måtte også Norsk Tipping stenge tjenester etter angrep av samme type.

Dette er ikke enkeltstående hendelser, men et mønster som peker i én retning.

Kunstig intelligens senker terskelen dramatisk

Her kommer den delen som burde få alarmklokkene til å ringe i hver eneste norske kommune. Frem til nå har det å gjennomføre et virkelig sofistikert angrep krevd et dyktig team, tid og ressurser. Den barrieren er i ferd med å forsvinne.

I november 2025 kunne Anthropic fortelle at selskapet hadde stanset det som beskrives som det første dokumenterte, storstilte cyberspionasjeangrepet styrt av kunstig intelligens. En statlig støttet gruppe lurte KI-modellen Claude til å tro at den utførte lovlig sikkerhetstesting, og lot den deretter gjøre mellom åtti og nitti prosent av arbeidet på egen hånd mot rundt tretti mål verden over, deriblant store teknologiselskaper, finansinstitusjoner og offentlige etater. Menneskene bak grep bare inn i noen få nøkkeløyeblikk.

Sommeren 2026 fikk vi et nytt eksempel som traff enda nærmere kjernen av hva dette handler om. Hugging Face ble kompromittert av OpenAIs sine autonome AI-agenter som utførte mange tusen handlinger på egen hånd. Poenget er ubehagelig konkret. Kompetansen som før satt i hodet på noen få spesialister, ligger nå i verktøy nesten hvem som helst kan bruke. En angriper trenger ikke lenger å kunne skrive skadevaren selv. Det holder å be en KI-modell om hjelp. I Nasjonal sikkerhetsmyndighets ferske trusselvurdering Risiko 2026 slår de fast at kunstig intelligens vil spille en stadig større rolle i angrepene fremover, samtidig som det forebyggende sikkerhetsarbeidet svikter bredt på tvers av norske virksomheter.

Konsekvensene hvis vi lar det skure

Ta så denne utviklingen og legg den opp på et kommune-Norge som allerede står med lua i hånda. Vi har 357 kommuner med 357 ulike nivåer av sikkerhet og digital modenhet. De største har egne sikkerhetsmiljøer. De minste deler på knappe ressurser, kjøper IT-tjenester fra de samme leverandørene og har verken folk eller budsjett til å følge med på et trusselbilde som endrer seg fra måned til måned.

Dette er ikke en ny bekymring fra min side. Allerede i våres skrev jeg at «357 kommuner er blitt en risiko for velferdsstaten». Der advarte jeg om at grunnmuren rett og slett er for ujevn. Lørenskog-angrepet er den konkrete illustrasjonen. Når kriminelle har klart å slå ut en velstående kommune ut av spill i månedsvis, hva skjer da den dagen de minste og fattigste kommunene står for tur, med kunstig intelligens som gjør angrepet både billigere og kraftigere?

Konsekvensene rammer det mest sårbare vi har. Kommunene forvalter helseopplysninger, barnevernssaker, skatt og skole. Når slike data havner på det mørke nettet, kan de ikke hentes tilbake. Og hver gang det skjer, forvitrer litt av den tilliten hele den digitale velferdsstaten faktisk hviler på. Uten tillit fungerer ingenting av digitaliseringen vi har brukt tjue år på å bygge.

Det jeg mener må skje

Løsningen er ubehagelig, fordi den er strukturell. Vi kan ikke fortsette å be nesten seks hundre små fagmiljøer om å forsvare seg hver for seg mot angripere som samarbeider og deler verktøy på tvers av landegrenser. Den viktigste kuren handler om å samle ressursene.

Det betyr færre og sterkere kommuner, sterkere interkommunalt samarbeid om beredskap, og tydelige nasjonale krav til hvordan innbyggernes data skal sikres. Staten må stille opp med både finansiering og kompetanse gjennom Nasjonal sikkerhetsmyndighet og KS, slik at avstanden mellom de best og dårligst rustede kommunene krymper i stedet for å vokse. Færre og sterkere kommuner er ikke et angrep på distriktene. Det er selve forutsetningen for at de skal overleve med verdige og trygge tjenester. Jeg har utdypet dette i «Kommunekartet tåler ikke fremtiden», og virkeligheten har dessverre ikke blitt mildere siden.

Neste uke er det Arendalsuka

Mandag 10. august åpner den 15. utgaven av Arendalsuka, den største noensinne, med godt over to tusen arrangementer. Teknologien har endelig inntatt programmet. Det finnes til og med et arrangement som direkte spør «Kommunene mangler kompetanse på digital sikkerhet. En sårbarhet?». Men søker du gjennom hele programmet etter ordet kommunesammenslåing, får du null treff. Ikke ett eneste. Symptomene skal debatteres, og regningen skal debatteres, men den strukturelle kuren skal vi tydeligvis fortsatt ikke snakke høyt om.

Ved inngangen til 2026 kommenterte jeg statsminister Jonas Gahr Støres nyttårstale og NHO-tale i kronikken «Det er alvor nå, Jonas». Det er mulig han forstår alvoret, men det er lite som tyder på at bekymringen er blitt til konkret handling og ny politikk. Under årets Arendalsuka er det heller ikke mye som tyder på at det skjer der heller.

Prat eller politikk

Så hva blir resultatet? Gjør vi jobben, kan Norge komme ut av dette med en robust, felles og godt sikret digital velferdsstat, der en liten kommune ikke lenger er det svakeste leddet hele landet henger etter. Lar vi det skure, får vi flere Lørenskog og flere nedslåtte fellesløsninger, bare hyppigere og kraftigere, ettersom kunstig intelligens gjør hvert angrep enklere å gjennomføre.

Min tredje bok, spenningsromanen Friksjonsindeksen, ligger nå hos forlaget. Den handler om et Norge som rammes av digitale forstyrrelser, der betalingsløsninger svikter og kritisk infrastruktur begynner å hakke. Da jeg skrev åpningsscenen, var den ren fiksjon. Etter denne sommeren føles den betydelig mindre oppdiktet. Jeg håper inderlig den forblir fiksjon. Men det kommer ikke til å avgjøres av flaks, men om vi har politikere som tør å ta de strukturelle grepene mens det fortsatt er tid.