Ekstern sikkerhetsrapport for norske bedrifter

Vit nøyaktig hva som er sårbart hos dere —
før noen andre finner det.

Vi analyserer bedriften din utenfra, akkurat slik en angriper ville gjort — lekkede passord, e-postsikkerhet, domene og datahåndtering. Du får en grundig rapport på vanlig norsk med de viktigste tiltakene du bør ta først. Ingen passord, ingen systemtilgang, ferdig på 7 dager.

Book en samtale → Se eksempelrapport
// Utenfra-perspektivVi analyserer fra utsiden — akkurat slik en kriminell ville sett det
Ekstern analyse. Ingen passord. Ingen løfter om nullrisiko.
nobreach-rapport · eksempel
$ eksempel på funn i rapport
! 4 ansatte-passord funnet i kjente datainnbrudd
! Klientdata i ugodkjente verktøy uten regler for hva som kan deles
! E-postoppsett lar andre sende faktura i deres navn
OK SSL-sertifikat og HTTPS er på plass
→ Prioritet: 3 tiltak denne uken · 7 tiltak neste 30 dager
Leveranse
Rapport på 7 dager
Alle funn, forklaringene og de prioriterte tiltakene i ett dokument.
Tilgang
Ingen passord
Vi bruker domenet og offentlig tilgjengelig informasjon.
Fokus
Cybersikkerhet
Lekkede passord, e-postsikkerhet, eksponerte domener og dokumentasjon.
Neste steg
Hva dere gjør først
Hvert tiltak har en rekkefølge, en begrunnelse og en ansvarlig.
nobreach-rapport · anonymisert eksempel Klikk på et funn
// Utdrag fra rapportmalen · anonymiserte eksempeldata
Slik ser funnene ut når du åpner rapporten
Hvert funn står med en risikoklasse, hva det betyr i praksis og hva som bør gjøres først. Klikk deg gjennom listen.
68/100
Middels risiko
Høyere tall betyr mer å rydde opp i. Scoren er vår samlede vurdering av funnene under — den er et utgangspunkt for prioritering, ikke en karakter eller en sertifisering. Klikk et nivå for å se hvordan måleren endrer seg.
!

Klientdata havner i ugodkjente verktøy

Kritisk · sensitive data uten kontroll

Ansatte tar i bruk nettbaserte verktøy for å spare tid, men det finnes ingen regler for hva som kan lastes opp og hvilke tjenester som er godkjent. Uten en policy og en databehandleravtale er det ingen som vet hvor klientopplysningene havner, hvor lenge de lagres eller hvem som har ansvaret hvis de lekker. Hver ansatt må gjette hva som er lov — også de som gjerne vil gjøre det riktig.

Bestem hvilke verktøy som er godkjent, forby klientnavn og personopplysninger i åpne nettjenester, og gi ansatte én side med ja/nei-eksempler.
!

4 av 8 ansattpassord ligger i kjente datalekkasjer

Høy · identitetstyveri

Vi fant ansattes e-postadresser i databrudd som er offentlig kjent. Er passordet gjenbrukt et annet sted, kan noen prøve det direkte mot e-post, økonomisystem og skylagring — automatisk, og uten at det ser ut som et angrep.

Funnene kommer fra HaveIBeenPwned. Vi henter aldri passordene selv — bare hvilke adresser som er berørt, og i hvilke brudd.
Bytt passordene, slå på tofaktor på e-post og økonomisystem først, og innfør en passordmanager slik at gjenbruk ikke skjer på nytt.
!

Kan sende falske fakturaer i deres navn

Høy · svindel mot kunder og ansatte

E-postoppsettet forteller ikke mottakerens e-postserver hvem som har lov til å sende post på vegne av domenet deres. I praksis betyr det at en utenforstående kan sende e-post som ser ut som den kommer fra dere — for eksempel en faktura med eget kontonummer til en av kundene deres. Regningen ser riktig ut, og den blir ofte betalt.

Domenet mangler DMARC, og SPF og DKIM er ikke strammet inn. Det er disse tre innstillingene som avgjør om falsk post i deres navn blir avvist eller levert.
Sett opp DMARC med avvisning, rydd i SPF og signer utgående post med DKIM. Endringene gjøres hos den som drifter domenet, ofte på en time.
!

Gammelt subdomene peker feil sted

Middels · eksponert infrastruktur

En gammel adresse under domenet deres peker på en tjeneste dere ikke bruker lenger. Slike rester kan overtas av andre og brukes til falske innloggingssider som ligger på deres eget domenenavn — noe som gjør svindelen mye lettere å tro på.

Utdaterte DNS-oppføringer som peker på tjenester som ikke lenger svarer. Rapporten lister hvilke adresser det gjelder.
Fjern DNS-oppføringene dere ikke bruker, dokumenter hvem som eier hvilke domener, og sjekk endringer ved oppsigelse av leverandører.
✓

HTTPS og SSL-sertifikat er i orden

Ingen funn · dette er på plass

Nettstedet bruker HTTPS med et gyldig sertifikat som fornyes automatisk. Trafikken mellom besøkende og serveren er kryptert. Rapporten sier også hva som fungerer — ikke bare hva som er galt.

Klienter ser hengelåsen i adresselinjen, og det de sender via kontaktskjemaet kan ikke leses av andre underveis.
Hva du får

Fire ting du har i hånden
når rapporten er levert.

Ikke adjektiver: hva som er eksponert, hva som haster denne uken, hvilke regler ansatte skal følge og hva dere kan vise fram hvis noen spør.

01
Funn

Vi finner synlig risiko

Lekkede passord, e-postoppsett som lar andre sende post i deres navn, gamle domener som peker feil, sensitive data i ugodkjente verktøy og dokumentasjon som mangler.

02
Prioritet

Du ser hva som haster

Hvert funn rangeres etter risiko og innsats, så du slipper å bruke tid på feil tiltak først.

03
Retningslinjer

Ansatte får regler de kan følge

En kort sikkerhetspolicy med ja/nei-eksempler — som å ikke laste klientdata opp i verktøy dere ikke har godkjent, og å anonymisere navn før noe deles utenfor egne systemer.

04
Dokumentasjon

Du får noe å vise til

Rapporten dokumenterer aktivt sikkerhetsarbeid for ledelse, revisor, forsikring og tilsyn.

Risiko

Tre måter små hull
blir store regninger.

Her går vi dypere enn rapportutdraget: hvorfor risikoen finnes, hvordan den utnyttes i praksis, og hva som reduserer den raskest.

01Kritisk

Identitetstyveri og svindel

Lekkede passord · gjenbruk · phishing

E-postadresser og passord lekker fra tjenester ansatte bruker både privat og på jobb. Gjenbrukes et passord, blir en gammel lekkasje en ny inngang til bedriften. Samtidig er svindelforsøkene blitt vanskeligere å gjenkjenne: korrekt norsk, riktige navn og en sammenheng som stemmer med det som faktisk skjer hos dere.

En økonomiansvarlig får en e-post som ligner intern kommunikasjon og ber om en hastebetaling. Språk, navn og kontekst virker riktig — og pengene går ut samme dag.
Reduseres raskest avTofaktor på e-post, økonomisystem og administratorbrukere · passordmanager i hele teamet · en fast regel om at endret kontonummer alltid bekreftes i en annen kanal.
02Kritisk

Sensitive data uten kontroll

Skytjenester · taushetsplikt · databehandleravtaler

Ansatte tar i bruk nye verktøy for å jobbe raskere. Uten regler kan klientopplysninger havne i tjenester dere aldri har vurdert, uten avtale om hvordan dataene lagres eller brukes. Da er det uklart både hvor opplysningene er og hvem som svarer for dem — og for advokater og regnskapsførere er terskelen for et brudd lav.

En ansatt laster opp klientinformasjon til en gratis nettjeneste for å bli fortere ferdig. Ingen mener noe galt, men dataene er ikke lenger under kontroll.
Reduseres raskest avEn liste over godkjente verktøy · forbud mot personopplysninger i åpne nettjenester · databehandleravtale der den finnes · anonymisering som vane.
03Høy

Eksponert infrastruktur

E-postoppsett · DNS · gamle subdomener

Det som er synlig fra internett forteller mer enn de fleste tror. Er e-postoppsettet ikke strammet, kan utenforstående sende post i deres navn. Gamle subdomener og glemte DNS-oppføringer kan overtas og brukes til falske innloggingssider på deres eget domene. Dette er ofte den delen som er raskest å rette.

En falsk faktura sendes fra en adresse som ligner deres. Riktig avsenderkontroll — SPF, DKIM og DMARC — gjør at slik post blir avvist før den når kunden.
Reduseres raskest avAvsenderkontroll på e-post satt til avvisning · opprydding i DNS-oppføringer dere ikke bruker · dokumentert eierskap til domener.
// Og det som ofte mangler til slutt: dokumentasjonen

Skjer det noe, må dere kunne vise hva som er vurdert, hva som ble funnet og hva som ble gjort med det. Uten dokumentasjon blir sikkerhetsarbeidet vanskelig å bevise overfor ledelse, revisor, forsikringsselskap og tilsyn — selv når jobben faktisk er gjort. Rapporten er datert og kan sendes videre som den er.

// Vil du lese fra kildene selv
Nasjonal sikkerhetsmyndighet: rapporter om det digitale risikobildet ↗ Datatilsynet: plikten til å håndtere og melde avvik ↗ Eksterne kilder, åpnes i ny fane. NoBreach er ikke tilknyttet eller godkjent av NSM eller Datatilsynet.
Dokumenterte hendelser

Dette er ikke hypotetisk.
Det har allerede skjedd.

Tre eksempler fra det siste året — norske virksomheter, reelle konsekvenser, offentlig dokumentert. Ikke konstruerte scenarier.

01Advokat · Apr 2025

E-postkonto hacket hos advokatfirma

Stiegler Advokatfirma· Bergen

En Outlook-konto hos et av Norges eldste advokatfirmaer ble kompromittert av en hackerkonto, og sensitiv informasjon lekket. Bruddet ble først oppdaget 19 dager senere — for en bransje bygget på taushetsplikt er det nesten tre uker for mye.

Kilde: AdvokatWatch, 26. april 2025 ↗
02Forbruker · Aug 2026

1,6 millioner kunder rammet i datainnbrudd

Ryde· Norge og Norden

Rundt 1,6 millioner norske kunder — og opptil 4,5 millioner på tvers av Norge, Sverige, Finland og Tyskland — fikk telefonnummer, e-post, fødselsdato og deler av betalingshistorikken eksponert. Meldt til Datatilsynet og politiet.

Kilde: Datatilsynet, 2026 ↗
03Offentlig · Nov 2025

Leverandørbrudd eksponerte ansattdata

Telia Norge → Bergen kommune

Et brudd hos leverandøren Telia eksponerte fakturadata, telefonnumre, navn og samtalelogger for ansatte og folkevalgte i Bergen kommune — lekket videre på dark web. Leverandørene deres er også en del av deres angrepsflate.

Kilde: Digi.no, november 2025 ↗
Tjenester

Velg en sjekk nå
eller løpende kontroll.

Start med én rapport som viser hvor dere står i dag. Fortsett med fast oppfølging hvis dere vil holde bildet oppdatert når verktøy, ansatte og krav endrer seg.

Engangsanalyse
Cybersikkerhetssjekk
kr 14 900
For bedrifter som vil vite hvor de står nå. Vi finner synlig risiko, forklarer funnene og gir en prioritert handlingsliste.
// Hva du konkret mottar
✓En grundig rapport med alle funn, forklaring på hva de betyr og en samlet risikovurdering
✓De viktigste tiltakene rangert etter risiko og innsats — opptil 10 i rapporten
✓Sjekk av lekkede passord, e-postoppsett, domene og datahåndtering
✓30 min gjennomgang og 30 dagers e-postsupport
✓Dokumentasjon for ledelse, revisor, forsikring og tilsyn
Book en samtale →
Anbefalt
Månedlig abonnement
Løpende cybersikkerhet
kr 7 900/mnd
For bedrifter som vil vite med én gang når noe endrer seg — ikke bare hver gang dere husker å sjekke.
// Hva abonnementet inneholder
✓Kontinuerlig passordovervåking — nye lekkasjer på ansattes e-post fanges opp mellom skanningene, ikke bare ved neste sjekk
✓DNS- og e-postvarsling — beskjed med én gang hvis SPF, DKIM eller DMARC brytes, eller domenet havner på en svarteliste
✓Løpende re-skanning av digitalt fotavtrykk — nye åpne porter, utløpende sertifikater og eksponerte tjenester fanges opp fortløpende
✓Månedlig statusrapport — én side som viser hva som er endret siden sist, og hva dere bør gjøre nå
✓Sikkerhetspolicy oppdateres når dere tar i bruk nye verktøy eller krav endrer seg
✓Fast e-postsupport med svar innen én virkedag
Book en samtale →

Fast pris, ingen skjulte kostnader · MVA tilkommer ikke · 6 mnd binding på abonnement

Slik jobber vi

Fra bestilling til
ferdig rapport på 7 dager.

Klikk på hvert steg for å se hva som faktisk skjer.

01
Bestill
5 minutter
02
Vi skanner
1–2 dager
03
Rapport
5–7 dager
04
Gjennomgang
30 minutter

Du fyller ut et kort skjema

Alt vi trenger er bedriftens domenenavn (f.eks. dinbedrift.no) og noen korte spørsmål om hvilke verktøy og systemer dere bruker. Det tar fem minutter. Vi ber aldri om passord, intern systemtilgang eller sensitiv informasjon.

// Vi spør om
Domenenavn
Bransje og antall ansatte
Hvilke systemer og nettjenester som brukes
Kontaktinfo for levering

Vi analyserer fra utsiden

Vi gjennomfører en ekstern skanning av bedriftens digitale fotavtrykk. Vi bruker etablerte verktøy som HaveIBeenPwned, MXToolbox, SSL Labs og Mozilla Observatory. Alt skjer mot offentlig tilgjengelig informasjon — vi logger oss aldri inn hos dere.

// Vi sjekker
Lekkede passord og e-poster
E-postkonfigurasjon (SPF, DKIM, DMARC)
SSL-sertifikat og domenesikkerhet
Datahåndtering basert på skjemasvaret ditt

Du mottar rapporten

Rapporten er grundig og skrevet på vanlig norsk — uten teknisk sjargong. Den kan deles direkte med de som trenger å se den. Hvert funn er forklart med et eksempel på hva det betyr i praksis, og et tiltak som sier hva dere gjør med det.

// Rapporten inneholder
Sammendrag og risikoscore
Alle funn forklart med eksempler
Tiltakene rangert etter viktighet
Dokumentasjon klar for revisor og forsikring

Vi går gjennom alt sammen

I et 30-minutters møte tar vi deg gjennom funnene. Du stiller spørsmål, vi forklarer konkret hva som bør gjøres og i hvilken rekkefølge. Møtet avsluttes med en prioritert handlingsliste: hva dere gjør denne uken, og hva som trygt kan vente til neste måned.

// Etter møtet
Klar plan med prioriterte tiltak
30 dagers e-postsupport inkludert
Tilbud om abonnement hvis ønskelig
Ingen forpliktelse til videre kjøp
Hvem vi hjelper

Spesielt viktig for bransjer som
forvalter andres hemmeligheter.

Vi spesialiserer oss på bransjer med strenge lovkrav — men tjenestene er åpne for alle norske bedrifter med noe å beskytte.

JUS

Advokatkontorer

Taushetsplikt er absolutt. Havner et saksdokument i en nettjeneste dere ikke har vurdert, kan det utgjøre et brudd — selv om ingenting skjer og ingen får vite om det. Vi kartlegger risikoen og gir dere dokumentasjon.

// Advokatforskriften § 3-5 · GDPR · Advokatforeningens IT-retningslinjer
ØKO

Regnskapsbyråer

Dere håndterer klienters mest sensitive økonomidata. Hvitvaskingsloven og regnskapsførerloven stiller krav til informasjonssikkerhet — og Finanstilsynet kan trekke autorisasjonen ved alvorlige brudd.

// Hvitvaskingsloven · Regnskapsførerloven · Finanstilsynets krav
SMB

Alle andre med noe å beskytte

Eiendomsmeglere, HR-konsulenter, finansrådgivere og andre som håndterer personopplysninger eller forretningshemmeligheter. Alle har mye å tape på et datainnbrudd.

// Personopplysningsloven · GDPR · Bransjespecifikke krav
Hvorfor NoBreach

Forskjellen ligger i
hva du kan gjøre med rapporten.

Vi har ingen kundesitater å vise fram ennå. Så i stedet: her er hva du får fra en typisk teknisk sikkerhetsrapport, og hva du får fra oss — punkt for punkt.

En typisk sikkerhetsrapport slik den ofte ser ut

✕Utskrift fra et skanneverktøy: CVE-numre, CVSS-score og engelske feilmeldinger.
✕«DMARC-policy: none» — teknisk korrekt, men sier ingenting om hva som kan skje.
✕Alle funn i én lang liste, i verktøyets rekkefølge, uten at noe er viktigere enn noe annet.
✕Noen internt må først oversette funnene før ledelsen kan bestemme noe.
✕Krever ofte agenter, installasjon eller tilgang inn i systemene deres.

Rapporten fra NoBreach slik vi gjør det

✓Hvert funn har én setning om konsekvensen: «noen kan sende falske fakturaer i deres navn».
✓Det tekniske står også der — SPF, DKIM og DMARC — men som detalj for den som skal fikse det, ikke som overskrift.
✓Tiltakene er rangert etter risiko og innsats, så det er tydelig hva som bør gjøres denne uken og hva som kan vente.
✓Kan sendes videre som den er til ledelse, revisor eller forsikring: datert, med funn, vurdering og tiltak.
✓Ekstern analyse: vi trenger domenet deres — ikke passord, tilganger eller installasjon.
Etter rapporten

Du står ikke alene
med funnene.

Vi går gjennom rapporten med deg, svarer på spørsmål og hjelper deg forstå hva som bør tas først.

E
E-post — alltid
hei@nobreach.no · svar innen én virkedag
S
Slack — for faste kunder
Direkte linje til teamet vårt, uten omveier
30
Book en samtale
Gratis innledende prat — ingen forpliktelse
Eksempler på konkrete råd
✓
Ikke last klientdata opp i ugodkjente nettjenester. Hold alt som identifiserer en person eller bedrift innenfor systemer dere faktisk har avtale på.
✓
Aktiver passordmanager i teamet. Det reduserer passordgjenbruk og gjør 2FA enklere å innføre.
✓
Sett opp tofaktorautentisering. Start med e-post, økonomisystemer og administratorbrukere.
✓
Snakk med ansatte om sikkerhet hvert kvartal. Hold reglene korte, konkrete og enkle å følge.
NB
Samtalen gjør neste steg tydelig.
Du får vite om en engangssjekk er nok, eller om løpende oppfølging gir mer mening.
Spørsmål og svar

Det folk spør om
før de kjøper.

Vi tilbyr to tjenester. Cybersikkerhetssjekk koster 14 900 kr — en fullstendig gjennomgang av sikkerhetsbildet ditt levert som en grundig rapport med alle funn, forklaring på hva de betyr og de viktigste tiltakene rangert etter risiko og innsats (opptil 10). I tillegg får du et 30-minutters gjennomgangsmøte og 30 dagers e-postsupport. Løpende cybersikkerhet koster 7 900 kr per måned (minimum 6 måneder) og gir deg kontinuerlig passordovervåking, DNS- og e-postvarsling, løpende re-skanning, månedlig statusrapport, oppdatert sikkerhetspolicy og e-postsupport.
Ingen kan gi en slik garanti — heller ikke verdens største sikkerhetsselskaper. Det vi kan garantere er at du vet hva du står overfor. Bedrifter som har oversikt over sikkerhetsbildet sitt er dokumentert bedre rustet til å unngå og begrense brudd. Tenk på det som regelmessig legesjekk: du kan fortsatt bli syk, men du oppdager det tidligere og er bedre forberedt.

Incident response — altså aktiv hjelp dersom noe faktisk skjer — er en tjeneste vi jobber med å lansere. Den er ikke på plass ennå, men vi er i full gang med å designe den. Meld deg på nyhetsbrevet så varsler vi deg når den er klar.
Det første og viktigste er å ha oversikt — og det er akkurat det vi hjelper deg med. Bedrifter som vet hva de har eksponert, hvem som har tilgang og hvilke systemer som er sårbare, er langt bedre rustet til å reagere raskt.

Vi jobber med å lansere en incident response-tjeneste som hjelper kunder aktivt gjennom en hendelse. Den er under utvikling — men alle NoBreach-kunder vil bli prioritert når den er klar. I mellomtiden anbefaler vi at dere har en cyberforsikring som dekker krisehåndtering — og vår rapport er utformet for å støtte akkurat den type forsikringsavtaler.
Nei. Vi gjennomfører kun ekstern analyse mot offentlig tilgjengelig informasjon — det samme en kriminell ville sett fra internett. Vi ber aldri om passord, intern systemtilgang, klientdata eller sensitiv forretningsinformasjon. Alt vi trenger er domenenavnet ditt og svar på noen korte spørsmål.
Skygge-IT er når ansatte tar i bruk nettjenester og apper på egen hånd, uten at ledelsen har sagt god for det og uten retningslinjer. Problemet oppstår når sensitiv informasjon havner i tjenester bedriften ikke har vurdert. Konkret eksempel: en advokat laster opp saksdokumenter til en gratis fildelings- eller oversettelsestjeneste for å bli fortere ferdig. Tjenesten kan lagre innholdet. Det finnes ingen databehandleravtale. Taushetsplikten er brutt — selv om hensikten bare var å spare litt tid. Vi kartlegger dette og gir dere en klar policy.
Ja — rapporten er nettopp bygget for dette formålet. Den dokumenterer at dere har gjennomført en systematisk risikovurdering av informasjonssikkerheten, med konkrete funn og prioriterte tiltak. Det er akkurat det revisorer og tilsynsmyndigheter forventer å se.

Rapporten er et dokumentasjonsgrunnlag, ikke en formell sertifisering. Den sidestilles ikke med ISO 27001, men den er solid nok til å vise revisor, forsikringsselskap og Finanstilsynet at dere tar sikkerhet på alvor — noe som i praksis er det de fleste SMB-er faktisk trenger. For full juridisk vurdering anbefaler vi å involvere en jurist.
Cybersikkerhetssjekken gir deg et øyeblikksbilde — nyttig for å forstå utgangspunktet og å ha dokumentasjon på plass. Problemet er at trusselbildet endrer seg mellom skanninger: nye passordlekkasjer dukker opp, e-postoppsettet kan brytes, ansatte tar i bruk nye verktøy. Løpende cybersikkerhet overvåker dette fortløpende og varsler deg med én gang — du er ikke avhengig av å huske å sjekke selv. Vi anbefaler å starte med en cybersikkerhetssjekk, og deretter vurdere abonnement basert på hva vi finner.

Få vite hva som er eksponert
før noen misbruker det.

// Gratis samtale · Ingen passord · Svar innen én virkedag

Book en samtale →

Informasjonskapsler
Vi bruker nødvendige cookies og analyse-cookies med ditt samtykke. Les personvern.