Kommuner er i dag avhengige av svært mange digitale tjenester, fra skole- og helsesystemer til bygg, vann og avløp. Når et cyberangrep inntreffer, kan flere kommunale tjenester rammes samtidig og sette hele den kommunale driften i fare.
I en god og realistisk øvelse får deltakerne kjenne litt på hvordan en ekte hendelse kan oppleves[1]. Mange ting skjer samtidig, pulsen går opp, man blir stresset, og kanskje også litt irritert på kollegaen som ikke svarer raskt nok. Opplevelsen av å stå i kaoset, og deretter jobbe seg tilbake til kontroll, gjør læringen mer konkret, minneverdig og relevant enn det som ofte er mulig gjennom tradisjonelle foredrag eller e-læringskurs.
Cybertruslene mot kommuner er reelle
Lørenskog og Østre Toten er to kommuner som begge har måttet lære på den harde måten etter faktiske cyberangrep. I Lørenskog ble cyberangrepet i mai 2026 først omtalt i media som en IT‑hendelse og kommunen satte krisestab[2]. Da hackerne publiserte en filoversikt fra det mørke nettet, ble det klart at de hadde fått tilgang til et eldre fellesområde som inneholdt både sensitive personopplysninger samt informasjon fra vann‑ og avløpssystemer[3].
Kommunen har siden mobilisert sine ressurser for å kartlegge hvilke data som er stjålet, informere innbyggere og håndtere de langvarige konsekvensene[4]. Dette er et arbeid som fortsatt pågår flere måneder etter hendelsen og som vil medføre flere titalls millioner i kostnader[5].
I Østre Toten ble ansatte 9. januar 2021 møtt av et løsepengevirus som rammet store deler av kommunens digitale infrastruktur[6]. Angrepet viste hvordan en trussel kan starte usynlig i bakgrunnen, og så slå til med full kraft. Etterpå måtte også Østre Toten bruke lang tid og store ressurser på gjenoppretting, kartlegging av skadeomfang og oppfølging av konsekvenser.
Forskning på helhetlige cybersikkerhetsøvelser for kommuner
Våren 2024 gjennomførte et stort samarbeidsprosjekt fire realistiske cyberøvelser for fire ulike kommuner på Norwegian Cyber Range ved NTNU[7]. Ett år etter øvelsen rapporterte deltakerne at rutiner ble forbedret, strukturer ble omorganisert og ansvarsforståelsen ble tydeligere i tiden etter øvelsen[1]. To av kommunene innførte nye eller endret roller for å sikre bedre flyt mellom IT-avdelingen og kriseledelsen. Deltakerne fikk også et mer realistisk bilde av hvilke tjenester som faktisk er kritiske. Noen ble overrasket over at det de hadde antatt var mest kritisk på forhånd ikke samsvarte helt med den «virkeligheten» de opplevde gjennom øvelsen[8].
Sosiotekniske cybersikkerhetsøvelser trener ikke bare de tekniske systemene, men også menneskene, prosessene og beslutningene som inngår i håndteringen av en cyberhendelse. Slike øvelser setter hele organisasjonen på prøve ved å teste roller, ansvar, kommunikasjon, samarbeid og teknisk oppfølging under realistiske forhold.
Dette understreker hvorfor det er verdifullt for kommuner å bruke tid og ressurser på godt planlagte og gjennomførte øvelser, samt grundig etterarbeid. Cyberøvelser kan hjelpe ledelsen å få en mer konkret forståelse av både de tekniske og organisatoriske konsekvensene av alvorlige hendelser, og kan gjøre det lettere å prioritere og begrunne investeringer i forebyggende og langsiktige sikkerhetstiltak.
Olsborg, Østby, Abomhara og Yildirim definerer sosiotekniske øvelser som «combined crisis management and information security exercises that engage both the technical infrastructure and the organisational structures, people and processes that operate them» [1]. Med andre ord setter man ikke kun IT‑systemene eller de IT-ansatte på prøve i slike øvelser, men hele kriseorganisasjonen med flere ulike roller, ansvar og prioriteringer blir satt på prøve samtidig.
Forskningen fra studien vår viser at «det realistiske presset gjør at deltakerne må handle i stedet for å diskutere seg frem til løsninger, og planlagte stopp underveis gir rom for refleksjon og justering idet situasjonen utvikler seg»[8].
Øvelser som dette gir både individuell læring for deltakerne og, dersom alle relevante ressurspersoner i kommunen deltar, er øvelsene en sjelden og verdifull arena for å trene på samspill og felles refleksjon blant kolleger. Slike store øvelser er ressurskrevende, men til gjengjeld kan de hjelpe organisasjonene å oppnå «triple‑loop‑læring», det vil si endring av underliggende antakelser og institusjonelle rammer[1].
Øvelser - en naturlig del av kommunenes arbeid med cybersikkerhet
God oppfølging av cybersikkerhet i en kommune består av mange aktiviteter. Blant annet risikovurdering, kompetansebygging for ansatte, kriseplaner, tekniske sikkerhetstiltak, policystyring, og internkontroll og rapportering. Inn blant alle disse aktivitetene er det viktig å inkludere cybersikkerhetsøvelser.
Risikovurderinger kartlegger trusler og sårbarheter, mens øvelser tester om organisasjonen faktisk er forberedt på å håndtere dem i mer praktiske situasjoner. Kompetansebygging i form av kurs og foredrag gir kunnskap, mens en øvelse kan gi den enkelte og kollektive grupper muligheten til å omsette kunnskapen til handling. Planer og dokumenter gir et rammeverk, men uten øvelser forblir de teoretiske fram til det uønskede eventuelt har skjedd. Etter øvelsen bør organisasjonen bruke funn fra øvelsen som grunnlag for forbedringer og videre arbeid.
Kompetansebygging i form av kurs og foredrag gir kunnskap, mens en øvelse kan gi den enkelte og kollektive grupper muligheten til å omsette kunnskapen til handling.
For å gi reell verdi må øvelsene være relevante, godt planlagt og godt gjennomført. Sosiotekniske cyberøvelser gjør det mulig å observere hvordan teknologi, mennesker og organisasjon fungerer sammen når en digital krise oppstår. Slike øvelser gir realistiske erfaringer som ofte setter dypere spor enn tradisjonell opplæring. De kan avdekke forbedringsområder, styrke beredskapen og øke ledelsens forståelse for hvorfor cybersikkerhet må prioriteres. Derfor er sosiotekniske øvelser et viktig verktøy for kommuner som ønsker å stå bedre rustet mot framtidige cyberangrep.
Noter:
[1] G. B. Olsborg, G. Østby, M. Abomhara, and S. Y. Yayilgan, ‘An Empirical Study of Socio-Technical Information Security Exercises as a Tool to Foster Organizational Learning and Information Security Readiness Development in Norwegian Municipalities’, in Proceedings of the 11th International Workshop on Socio-Technical Perspectives in Information Systems (STPIS 2025), M. T. Latkovikj, P. Bednar, M. Rajanen, J. Kävrestad, H. V. Hult, and A. Elbanna, Eds, in CEUR Workshop Proceedings, vol. 4134. Hybrid workshop at the Institute for Sociological, Political and Juridical Research: CEUR, Dec. 2025. Accessed: Jun. 30, 2026. [Online]. Available: https://ceur-ws.org/Vol-4134/#paper8
[2] NRK, ‘Lørenskog kommune har satt krisestab etter alvorlig IT-hendelse’, NRK. Accessed: Aug. 18, 2026. [Online]. Available: https://www.nrk.no/stor-oslo/lorenskog-kommune- har-satt-krisestab-etter-alvorlig-it-hendelse-1.17879636 har-satt-krisestab-etter-alvorlig-it-hendelse-1.17879636
[3] K. Klokkervold, ‘Store mengder data ble stjålet - dette gjør kommunen nå - Lørenskog kommune’. Accessed: Aug. 18, 2026. [Online]. Available: https://www.lorenskog.kommune. no/it-hendelse/store-mengder-data-ble-stjalet-dette-gjor- kommunen-na/
[4] ‘IT-hendelse - Lørenskog kommune’. Accessed: Aug. 18, 2026. [Online]. Available: https://www.lorenskog.kommune. no/it-hendelse/
[5] NRK, ‘Datainnbrudd i Lørenskog kan koste over 20 millioner’, NRK. Accessed: Aug. 18, 2026. [Online]. Available: https://www.nrk.no/stor-oslo/datainnbrudd-i-lorenskogkan- koste-over-20-millioner_-1.17988872
[6] G. Østby and S. J. Kowalski, ‘Hendelseshåndtering ved cyber-angrepet mot Østre Toten kommune Hva kan vi lære fra håndteringen?’, 2022.
[7] ‘Norwegian Cyber Range - NTNU’. Accessed: Aug. 18, 2026. [Online]. Available: https://www.ntnu.no/ncr/
[8] M. Lillemoen, ‘Derfor må kommuner øve mer på cyberangrep’, Gemini.no. Accessed: Aug. 18, 2026. [Online]. Available: https://gemini.no/2026/05/derfor-ma-kommuner-ove-mer-pa-cyberangrep/
_________________________________________
Lenke til kontroll & revisjon nr. 5/2026: