Høyt cyberrisikonivå – informasjon til kunder
Denne artikkelen inneholder informasjon fra Visma Flyt AS, relatert til at Nasjonal sikkerhetsmyndighet hevet det nasjonale cyberrisikonivået 2.10.2026.
Visma Flyt AS, 29. oktober 2026
Hva har skjedd
Nasjonal sikkerhetsmyndighet (NSM) hevet 27. oktober 2026 det nasjonale cyberrisikonivået fra MODERAT til HØYT, og ber norske virksomheter sette i verk forebyggende tiltak umiddelbart.
Hva det betyr for dere
Dere trenger ikke gjøre noe i Visma Flyt sine løsninger som følge av varselet. Unntaket er de som ennå ikke har aktivert to-faktor-autentisering på alle løsningene. Vi anbefaler at dere gjør dette omgående.
Tiltakene NSM peker på er allerede en del av hvordan vi utvikler, drifter og følger opp tjenestene våre, og vi følger situasjonen tett sammen med Visma-konsernet og NSM.
NSM retter seg spesielt mot samfunnskritisk infrastruktur og leverandørene deres. Som leverandør til kommuner tar vi dette på alvor.
Slik har Visma Flyt løst NSMs tiltak
Visma Flyt er sertifisert etter ISO/IEC 27001 og ISO 9001, og tjenestene inngår i ISAE 3402 Type 2-revisjon. Sikkerhetsarbeidet følger Visma Security Program, som bygger på NSMs grunnprinsipper for IKT-sikkerhet.
|
NSMs tiltak |
Slik har vi løst det |
|
Styring og risikostyring |
Styringssystem for informasjonssikkerhet (ISMS) etter ISO 27001. Risikovurderinger minst årlig og ved vesentlige endringer. Sikkerhetsnivået måles løpende i Visma Index og eskaleres til ledelsen ved avvik. |
|
Kartlegging av enheter og programvare |
Eiendelsregister for systemer og enheter. Kontinuerlig skanning av egen kode og tredjepartsbiblioteker for kjente sårbarheter. Ansattes PC-er og mobiler er sentralt styrt i en løsning for enhetsstyring (MDM), som håndhever sikkerhetsinnstillinger, kryptering og oppdateringer. |
|
Oppdatering og herding |
Sentralt styrt sårbarhetshåndtering. Tredjepartsprogramvare patches og oppgraderes så snart det er nødvendig. |
|
Segmentering og styring av dataflyt |
Driftsmiljøet er delt i sikkerhetssoner. Trafikk mellom sonene er stengt med brannmur. Det er også satt opp tre separate miljøer for henholdsvis test, staging og produksjon. All data i ro er kryptert med AES-256 og data i transit er kryptert med minimum TLS1.2. |
|
Tilgangsstyring og flerfaktorautentisering |
Innlogging via Feide, ID-porten eller Entra ID. OBS! Som nevnt over: Kunder som ikke har aktivert flerfaktor autentifisering, bør gjøre det omgående Vismas ansatte har kun tjenstlig nødvendig tilgang (minste privilegium), support krever kundens godkjenning, og tilganger gjennomgås jevnlig. |
|
Logging, overvåking og avdekking |
Sikkerhetslogger samles og lagres sikkert. Vismas Global Security Operations Center overvåker, avdekker og responderer døgnet rundt, støttet av eget miljø for trusseletterretning. |
|
Validering av at tiltak virker |
Automatiserte sikkerhetstester, manuelle penetrasjonstester fra Vismas sikkerhetsteam og eksterne etiske hackere (bug bounty). Uavhengig revisjon gjennom ISO 27001 og ISAE 3402. |
|
Sikkerhetskopiering |
Planlagte sikkerhetskopieringer som er krypterte og uforanderlige(immutable), med fast lagringstid og rutiner for gjenoppretting. Backup- og kontinuitetsplaner gjennomgås og testes jevnlig. |
|
Hendelseshåndtering og beredskap |
Fast prosess for sikkerhets- og personvernhendelser (SPIP) med eget hendelsesteam. Kunder varsles direkte og via status.visma.com. |
|
Leverandørkjeden |
Sikkerhetsvurdering av leverandører og underbehandlere, med krav i avtaler og databehandleravtale. |
Kilde: NSM hever det nasjonale cyberrisikonivået til HØYT, 27. oktober 2026.