Leverandørkjedeangrep: 282 meldinger på et halvår – fem spørsmål foreningen bør stille leverandøren

Datatilsynet mottok 282 meldinger om personopplysninger på avveier etter tilsiktede angrep i første halvår 2026, mot 103 i samme periode i 2025. En viktig forklaring er leverandørkjedeangrep: ett innbrudd hos én leverandør rammer alle kundene som bruker samme tjeneste. For en forening betyr det at styret må vite hvilke leverandører som har medlemsopplysningene – og stille dem fem konkrete spørsmål.

• 282 meldinger om tilsiktede angrep i januar–juni 2026, mot 103 i samme periode i 2025 – omtrent 2,7 ganger så mange (Datatilsynet, 20. oktober 2026).
• Andre kvartal 2026 er det høyeste kvartalet tilsynet har registrert i kategorien, som ble innført i 2023.
• Totalt kommer det omtrent like mange avviksmeldinger som før – veksten gjelder tilsiktede angrep.
• Foreningen melder avviket selv når det er leverandøren som er rammet, som hovedregel senest 72 timer etter at den fikk kjennskap til bruddet.
• GDPR artikkel 28 krever at foreningen bare bruker leverandører som gir «tilstrekkelige garantier» for sikkerheten.

Hvor mange dataangrep ble meldt til Datatilsynet i første halvår 2026?

Ifølge Datatilsynet (20. oktober 2026) kom det 282 meldinger fra virksomheter som opplyste at personopplysninger hadde kommet på avveier etter et tilsiktet angrep. Det er det høyeste tallet for et første halvår siden tilsynet begynte å registrere kategorien i 2023. Tilsynet skriver også at det aldri før har registrert så mange som i andre kvartal i år.

Tallet må leses riktig: 282 er antall meldinger, ikke antall angrep, og det totale antallet avviksmeldinger er omtrent som før. Tilsiktede angrep er ifølge Datatilsynet hendelser der uvedkommende prøver å stjele, endre eller slette data, eller hindre driften til en virksomhet.

Hva er et leverandørkjedeangrep, og hvorfor rammer det små organisasjoner?

Et leverandørkjedeangrep er et angrep der angriperen bryter seg inn hos en leverandør av en tjeneste og derfra får tilgang til opplysningene til mange kunder samtidig. Datatilsynet nevner to eksempler fra 2026: en læringsplattform der ansatte og studenter ved en lang rekke utdanningsinstitusjoner ble berørt i vår, og en populær tjeneste for reiselivet der hoteller i vinter meldte at kundeopplysninger var kommet på avveie.

Små organisasjoner er utsatt fordi de nesten alltid kjøper ferdige skytjenester i stedet for å drifte egne systemer. Da avgjøres sikkerheten rundt medlemsregisteret i praksis hos leverandøren – og rammes en tjeneste mange lag bruker, får mange styrer samme problem samme dag.

Hvem må melde avviket når det er leverandøren som blir hacket?

Svaret overrasker mange: Det er foreningen. Datatilsynet skriver at selv om én leverandør rammes, er det «den enkelte virksomheten som bruker tjenesten som er ansvarlig for å melde avviket til Datatilsynet». Grunnen er at kundene lagrer ulike typer opplysninger – et medlemsregister i en pasientforening er noe annet enn en dugnadsliste.

Fristen står i personvernforordningen (GDPR) artikkel 33: Bruddet skal meldes «uten ugrunnet opphold og når det er mulig, senest 72 timer etter å ha fått kjennskap til det», med mindre det sannsynligvis ikke gir risiko for de registrerte. Leverandøren skal varsle foreningen «uten ugrunnet opphold». 72 timer går fort når ingen vet hvem i styret som skal melde.

Hva sier GDPR artikkel 28 i klarspråk?

Ifølge GDPR artikkel 28 nr. 1 (Lovdata) skal den behandlingsansvarlige «bare bruke databehandlere som gir tilstrekkelige garantier for at de vil gjennomføre egnede tekniske og organisatoriske tiltak». I klarspråk: Foreningen får bare bruke leverandører som kan vise at de beskytter medlemsopplysningene godt nok – og det er foreningen som må vurdere det.

Hvem er hvem?

Behandlingsansvarlig er den som bestemmer formålet med behandlingen og hvilke hjelpemidler som brukes – i en forening er det foreningen, ved styret. En databehandler er den som behandler personopplysninger på vegne av den behandlingsansvarlige, typisk leverandøren av medlemssystem, regnskap, nyhetsbrev eller skylagring.

Hva er en databehandleravtale?

Artikkel 28 nr. 3 krever en bindende avtale mellom foreningen og leverandøren – en databehandleravtale. Ifølge Datatilsynets veileder om databehandleravtale (åpnet oktober 2026) må en virksomhet inngå en slik avtale hvis den bruker en annen virksomhets skytjeneste til å lagre kundeopplysninger. Avtalen kan være en del av leverandørens øvrige avtaleverk, så den ligger ofte allerede i standardvilkårene – den må bare finnes og lagres.

Hvilke spørsmål bør en forening stille leverandøren av medlemssystem og regnskap?

Spørsmålene gjelder medlemssystem, regnskap, e-post, nyhetsbrev og skylagring, og bygger på artikkel 28 og 33 og på myndighetenes felles råd om anskaffelser og leverandørstyring på sikkert.no, som Datatilsynet, NSM, Digdir, KS, DFØ og Helsedirektoratet står bak. Rådene er skrevet for offentlig sektor, men passer like godt for et styre.

1. Har vi en databehandleravtale med dere, og hvor ligger den? Lagre den i styrets felles mappe.
2. Hvilke underleverandører bruker dere, og hvor behandles dataene? Nye underleverandører krever foreningens skriftlige tillatelse, og samme forpliktelser skal gjelde hele kjeden (artikkel 28 nr. 2 og 4).
3. Hvor raskt varsler dere oss hvis dere blir rammet – og hvem varsler dere? Avtal et fast kontaktpunkt begge veier.
4. Hvilke sikkerhetstiltak har dere, og kan dere dokumentere dem? Datatilsynet ser særlig på leverandørens «dybdekunnskap, pålitelighet og ressurser». Spør også om tofaktorinnlogging for foreningens brukere – et av tiltakene i vår grunnpakke for sikkerhet i små organisasjoner.
5. Hva skjer med dataene våre når vi slutter som kunde? Avtalen skal sikre at opplysningene slettes eller leveres tilbake, etter foreningens valg (artikkel 28 nr. 3 bokstav g).

Lag leverandørlisten først

Sikkert.no sier at virksomheten skal «holde oversikt over alle leverandører», sortert etter «kritikalitet og omfang». For en forening holder et enkelt dokument: tjenesten, hvilke opplysninger den har, kontaktperson, hvor avtalen ligger og hvem i styret som følger opp. Bruker dere Microsoft 365, hører den også med – se guiden kom i gang med Microsoft 365 for ideelle organisasjoner.

Finnes det en gratis mal for databehandleravtale?

Ja. Datatilsynet viser til det danske datatilsynets standardavtale, gjennomgått av Personvernrådet (EDPB), i en uoffisiell norsk oversettelse. Bruken er frivillig.

Hva betyr «digital dømmekraft» for styret?

Nasjonal sikkerhetsmåned, som NorSIS i NSM koordinerer for 16. gang og som avsluttes 31. oktober, har temaet «Digital dømmekraft – Små valg. Store konsekvenser.» En Opinion-undersøkelse for NorSIS i NSM (juni 2026) blant 722 heltidsansatte i virksomheter med 11–50 ansatte viser at nær tre av ti er usikre på egen evne til å håndtere digitale trusler.

19 prosent er usikre på om de kan melde fra om digitale hendelser uten frykt for skyld, og 11 prosent vet ikke hvordan eller hvor de skal melde. Tallene gjelder småbedrifter, ikke foreninger, men spørsmålet passer i ethvert styre: Vet kassereren og de frivillige hvem de skal si fra til – og tør de?

«Digital dømmekraft er ikke bare et individuelt ansvar», sier seniorrådgiver Marius Storsveen Rødsand i NorSIS i NSM. For et styre betyr det tre ting: én navngitt person som melder avvik, en kultur der det er greit å si «jeg trykket på noe rart», og systemer der én feil ikke åpner alt. Samme styreansvar ligger bak rådene om foretakskapring og varsling fra Brønnøysund.

Leverandørspørsmålene gjelder også KI-verktøy. På AI-fagdagen for ideelle organisasjoner 20. november, som InfoDesk AS og Skjld Labs arrangerer og der OpenInfo bidrar med teknologi, handler programposten kl. 10.35 om «Trygg AI: EU AI Act, personvern og sikkerhet».

Ofte stilte spørsmål

Hvor mange dataangrep ble meldt til Datatilsynet i første halvår 2026?

282 meldinger om tilsiktede angrep i januar–juni 2026, mot 103 året før. Ett angrep kan gi mange meldinger.

Hva er et leverandørkjedeangrep?

Et innbrudd hos én leverandør som gir angriperne tilgang til opplysningene til mange kunder av samme tjeneste.

Trenger en liten forening databehandleravtale?

Ja, hvis en leverandør behandler personopplysninger på vegne av foreningen, for eksempel i et skybasert medlemssystem.

Hvem melder avviket hvis leverandøren blir hacket?

Foreningen, som behandlingsansvarlig – som hovedregel senest 72 timer etter at den fikk kjennskap til bruddet.

Hva bør styret gjøre først?

Lag en liste over alle leverandører som har medlemsopplysninger, finn databehandleravtalene og send de fem spørsmålene. Bestem også hvem i styret som melder avvik.