Alle virksomheter som mistenker at uvedkommende på en eller annen måte har fått tak i personopplysninger i deres systemer, skal melde fra om dette til Datatilsynet. Det er mange grunner til at personopplysninger kan komme på avveier, og totalt sett mottar vi omtrent like mange avviksmeldinger som før. I kategorien tilsiktede angrep ser vi imidlertid en vekst. Med tilsiktede angrep mener vi en hendelse der uvedkommende bruker ulike metoder for å stjele, endre eller slette data, eller hindre driften til en virksomhet. Motivet kan variere, men ofte er målet økonomisk vinning, spionasje eller å skape mistillit til tjenesten.

Fra januar til juni 2026 mottok vi 282 meldinger fra virksomheter som opplyste om at personopplysninger var kommet på avveier etter et tilsiktet angrep. Dette er det høyeste antallet i første halvår siden vi startet å registrere denne kategorien i 2023. Til sammenligning mottok vi 103 meldinger i samme periode i 2025.

Ett angrep rammer mange

Årsaken til at tallene blir så høye, er ikke nødvendigvis at hver og en av virksomhetene er angrepet direkte. Ett angrep kan ramme mange virksomheter fordi de bruker samme tjeneste.

I vår opplevde for eksempel leverandøren av en læringsplattform et innbrudd. Det gjorde det mulig for angriperne å få tilgang til personopplysningene til ansatte og studenter i en lang rekke utdanningsinstitusjoner som bruker denne plattformen. Da en populær leverandør av tjenester for reiselivsaktører opplevde det samme i vinter, rant det inn meldinger fra hoteller som så at kundeopplysningene deres var kommet på avveie. Dette kalles et leverandørkjedeangrep.

Selv om èn virksomhet som leverer den samme tjenesten til mange kunder rammes, er det den enkelte virksomheten som bruker tjenesten som er ansvarlig for å melde avviket til Datatilsynet. Grunnen er at virksomheter bruker tjenestene til ulike formål og lagrer ulike typer personopplysninger. Det som får små eller ingen personvernkonsekvenser for èn virksomhet, kan få store konsekvenser for en annen.

Hvordan beskytte seg mot leverandørkjedeangrep?

Det er den enkelte virksomheten som er ansvarlig for å vurdere sikkerheten til leverandørene de velger å bruke. Dette er et konkret krav i personvernforordningen gjennom artikkel 28.1; «den behandlingsansvarlige (skal) bare bruke databehandlere som gir tilstrekkelige garantier for at de vil gjennomføre egnede tekniske og organisatoriske tiltak som sikrer at behandlingen oppfyller kravene.»

Kilde: Datatilsynet