Det finnes 11 akkrediterte organisasjoner i Norge som kan sertifisere virksomheter etter ISO/IEC 27001:2022. Likevel kan en liten bedrift fortsatt ende opp med en IT-revisor som i praksis bare krysser av for oppdaterte systemer, sterke passord og installert antivirus.
Det er nettopp her mange virksomheter bommer. De kjøper en «IT-sjekk» når de egentlig trenger en uavhengig vurdering av hele sikkerhetsstyringen. Forskjellen er større enn den høres ut. En teknisk gjennomgang kan avdekke feilkonfigurerte brannmurer. En revisjon av et styringssystem skal også undersøke hvem som har ansvaret, hvilke risikoer virksomheten har identifisert, hvordan tiltakene følges opp, og om ledelsen faktisk bruker sikkerhetsarbeidet til å styre bedriften.
Start med standarden – ikke leverandøren
ISO/IEC 27001:2022 er et naturlig utgangspunkt for virksomheter som vil ha en strukturert og etterprøvbar tilnærming til informasjonssikkerhet. Men standarden gjør ikke alle revisorer like. Før en avtale signeres, bør bedriften kontrollere at revisjons- eller sertifiseringsorganet er akkreditert for akkurat denne standarden.
I den norske akkrediteringsdatabasen er det registrert 11 akkrediterte organisasjoner for ISO/IEC 27001:2022. Det gir et konkret kontrollpunkt i en ellers uoversiktlig leverandørjakt. Be om å få vite hvilken akkreditering oppdraget bygger på, og om den gjelder hele virksomhetens behov eller bare en avgrenset sertifiseringstjeneste.
Det neste spørsmålet er om leverandøren arbeider etter ISO/IEC 17021-1:2015. Denne standarden stiller krav til organer som reviderer og sertifiserer styringssystemer. Den sier blant annet noe om kompetanse, uavhengighet og hvordan revisjoner skal gjennomføres. En konsulent som hjelper virksomheten med å skrive rutiner, er ikke nødvendigvis den samme typen aktør som en uavhengig sertifiseringsrevisor. Hvis begge rollene blandes sammen, blir det vanskeligere å vite hvor kritisk vurderingen egentlig er.
Hva skal revisoren faktisk undersøke?
Et tilbud med formuleringen «kontroll av IT-sikkerheten» er for tynt. Det kan bety nesten hva som helst – fra en kort samtale med daglig leder til en detaljert gjennomgang av tilgangsstyring, logger og beredskapsplaner.
Ved en ISO/IEC 27001:2022-revisjon skal revisoren blant annet vurdere ledelsens ansvar, omfanget av virksomhetens styringssystem for informasjonssikkerhet, dokumentasjonen, risikostyringen og den interne revisjonen. Dette er områder som ofte blir skjøvet til siden fordi de er mindre synlige enn teknologien. Samtidig er det her svakhetene gjerne blir liggende. En bedrift kan ha gode sikkerhetsprodukter, men manglende oversikt over hvem som kan åpne kundedata, hvorfor tilgangen er nødvendig og hva som skjer når en ansatt slutter.
Spør derfor om revisjonsplanen beskriver disse delene konkret. Be også om eksempler på hvilke bevis revisoren vil kreve. Skal det legges frem møtereferater, risikovurderinger, tilgangslister, avviksbehandling og resultater fra interne kontroller? Hvis svaret bare handler om skanning og tekniske tester, er oppdraget trolig smalere enn bedriften tror.
En revisjon uten tydelig mandat er som å lete etter vann med et kompass: Utstyret kan være avansert, men det svarer ikke på spørsmålet du egentlig stiller.
De kjedelige hullene er ofte inngangen
Nasjonale risikovurderinger har pekt på betydelige mangler i det forebyggende sikkerhetsarbeidet på tvers av norske sektorer. Sikkerhetsstyring blir trukket frem som det viktigste verktøyet. Det burde få småbedrifter til å se mindre på revisjonen som en engangskontroll og mer som en prøve på om virksomheten faktisk har kontroll over egne beslutninger.
Før revisoren kommer, bør bedriften spørre om leverandøren tester svake passord, kjente sårbarheter, logging og overvåking. Dette er gjentakende inngangspunkter for angripere, nettopp fordi de ofte blir behandlet som detaljer. Fra august 2025 har norske virksomheter også hatt tilgang til verktøyet Cybersjekk, som kan brukes til en første vurdering. Det erstatter ikke en uavhengig revisjon, men kan gjøre det vanskeligere for leverandøren å gjemme en overflatisk gjennomgang bak uklare formuleringer.
Her bør bedriften være litt brysom. Hvor mange systemer skal testes? Skal skytjenester og underleverandører omfattes? Blir det gjennomført intervjuer med ansatte, eller baserer revisoren seg utelukkende på dokumenter? Hvordan klassifiseres funnene, og hvem følger opp fristene etterpå?
Finansbedrifter har et ekstra regelverk å ta hensyn til
For små og mellomstore finansvirksomheter kommer DORA i tillegg. Regelverket gjelder for de fleste finansielle foretak og krever blant annet at ledelsen godkjenner og jevnlig reviderer planene for IKT-revisjon.
Det betyr at styret og ledelsen ikke kan overlate hele spørsmålet til IT-ansvarlig. En revisor som kjenner ISO/IEC 27001, men ikke forstår kravene til digital operasjonell motstandsdyktighet i finanssektoren, kan gi en rapport som ser grundig ut uten å dekke det virksomheten faktisk må dokumentere.
Be om en beskrivelse av hvordan revisjonen kobles til DORA, dersom virksomheten er omfattet. Finn ut om revisoren vurderer kritiske tredjepartsleverandører, hendelseshåndtering, testing og rapportering – ikke bare interne rutiner.
Sjekk hva sertifikatet egentlig gjelder
Et sertifikat forteller ikke nødvendigvis at hele virksomheten er sikker. Det forteller hva som er revidert innenfor det definerte omfanget. Hvis kundesystemet er inkludert, men lønnssystemet, hjemmekontorene eller en sentral skytjeneste er holdt utenfor, må det stå tydelig i dokumentasjonen.
Bedrifter med sertifikater etter 2013-versjonen av ISO/IEC 27001 skulle ha gjennomført overgangen til 2022-versjonen senest 31. oktober 2025. Et gammelt sertifikat bør derfor ikke brukes som bevis på at dagens krav er oppfylt.
Den beste revisoren er ikke nødvendigvis den som lover raskest rapport eller færrest avvik. Se etter en aktør som stiller ubehagelige, presise spørsmål, forklarer hva som faktisk skal undersøkes og skiller tydelig mellom rådgivning og uavhengig kontroll. Når revisoren spør hvem som tar beslutningen når et sikkerhetstiltak koster mer enn budsjettert, begynner den reelle testen av virksomhetens sikkerhet.