Tilgangsstyring i kommunen: hva loven faktisk krever, og hva den ikke sier noe om

Likevel er tilgangsstyring det første en forvaltningsrevisor spør om, det første Datatilsynet ser på etter et avvik, og det som utløste fire av de største overtredelsesgebyrene som er ilagt norske kommuner og helseforetak.

Her er det ærlige svaret på hvorfor: kravet finnes, men det står spredt over fem regelverk som alle er teknologinøytrale med vilje. Ingen av dem forteller deg hva du skal gjøre. Alle forteller deg at du må kunne dokumentere at du har gjort noe.

De fem stedene kravet faktisk står

1. Kommuneloven § 25-1 — internkontroll

Bestemmelsen trådte i kraft 1. januar 2021 og er den mest oversette av de fem, fordi den ikke handler om personvern og derfor sjelden havner på personvernombudets bord.

Første ledd:

«Kommuner og fylkeskommuner skal ha internkontroll med administrasjonens virksomhet for å sikre at lover og forskrifter følges. Kommunedirektøren i kommunen og fylkeskommunen er ansvarlig for internkontrollen.»

Tredje ledd konkretiserer hva kommunedirektøren skal gjøre. To av punktene treffer tilgangsstyring direkte: «ha nødvendige rutiner og prosedyrer», og «dokumentere internkontrollen i den formen og det omfanget som er nødvendig».

Merk hvem ansvaret ligger hos. Ikke IT-sjefen. Ikke personvernombudet. Kommunedirektøren. Det har betydning når kontrollutvalget stiller spørsmålet, fordi svaret ikke kan delegeres nedover uten at ansvaret følger med.

2. Personvernforordningen artikkel 32 nr. 4

Artikkel 32 handler om sikkerhet ved behandlingen. Fjerde ledd er den bestemmelsen som er nærmest en tilgangsstyringsplikt i norsk rett:

«Den behandlingsansvarlige og databehandleren skal treffe tiltak for å sikre at enhver fysisk person som handler for den behandlingsansvarlige eller databehandleren, og som har tilgang til personopplysninger, behandler nevnte opplysninger bare etter instruks fra den behandlingsansvarlige.»

Legg merke til hva bestemmelsen faktisk krever. Ikke at tilgangen er teknisk begrenset. At behandlingen skjer etter instruks. Det er et strengere krav, ikke et mildere — fordi det ikke er nok å kunne vise at en tilgang var teknisk avgrenset. Du må kunne vise at bruken av den var begrunnet.

3. Artikkel 5 nr. 2 og artikkel 24 — ansvarlighet

Artikkel 5 nr. 2 er ni ord som gjør resten av forordningen til en dokumentasjonsøvelse:

«Den behandlingsansvarlige er ansvarlig for og skal kunne påvise at nr. 1 overholdes.»

«Skal kunne påvise» er kjernen. En kommune som har god tilgangsstyring, men ikke kan dokumentere den, er i samme rettslige posisjon som en kommune som ikke har den. Det høres urimelig ut helt til man har sett hvordan en tilsynssak faktisk går: Datatilsynet ber om dokumentasjon, ikke om en beskrivelse.

4. Artikkel 30 — protokoll over behandlingsaktiviteter

Artikkel 30 nr. 5 gjør unntak for virksomheter med under 250 ansatte. Unntaket faller bort dersom behandlingen ikke er leilighetsvis, eller omfatter særlige kategorier personopplysninger.

For en kommune faller unntaket alltid bort. Barnevern, helsestasjon, PPT, sosialtjeneste og skolehelsetjeneste behandler særlige kategorier daglig. En kommune med 90 ansatte har derfor nøyaktig samme protokollplikt som en kommune med 9 000.

Protokollen skal blant annet inneholde «en generell beskrivelse av de tekniske og organisatoriske sikkerhetstiltakene» — altså tilgangsstyringen.

5. NSMs grunnprinsipper for IKT-sikkerhet

Grunnprinsippene er ikke rettslig bindende for kommuner med mindre virksomheten er underlagt sikkerhetsloven ved eget vedtak. De brukes likevel som målestokk i praktisk talt hver eneste forvaltningsrevisjon av informasjonssikkerhet i kommunal sektor. I praksis er de derfor kravet, uansett hva de formelt er.

To prinsipper er relevante. Prinsipp 1.3 «Kartlegg brukere og behov for tilgang» ligger i kategorien identifisering: virksomheten skal ha oversikt over brukergrupper, tilgangsbehov og behov for spesialrettigheter. Prinsipp 2.6 «Ha kontroll på identiteter og tilganger» er selve tiltaket, med mål om at «virksomheten har oversikt over identiteter og kontoer i informasjonssystemene og styrer tilgang til ressurser effektivt og i henhold til virksomhetens retningslinjer».

Under 2.6 ligger tiltak om minste privilegium, formaliserte prosesser for administrasjon av kontoer og rettigheter, sentraliserte verktøy for konto- og tilgangsstyring, minimering av administrative rettigheter, og flerfaktorautentisering.

For helse- og omsorgstjenesten kommer Normen i tillegg. Versjon 7.0 ble godkjent 25. september 2025 og bygger på tjenstlig behov: tilgang gis bare til personell med konkret behov, og virksomheten skal ha rutiner for tildeling, endring og avslutning av tilganger. Normen presiserer at kravene gjelder teknologiuavhengig, uttrykkelig også ved bruk av enkeltpålogging.

Hva loven ikke sier

Dette er den delen leverandører sjelden skriver om, fordi den er ubekvem.

Ingen av de fem regelverkene krever flerfaktorautentisering for kommunale ansatte generelt. NSM anbefaler det. Datatilsynet har trukket fram fravær av det som skjerpende i minst én sak. Men det finnes ingen norsk lovbestemmelse som pålegger en kommune å slå det på.

Ingen av dem sier noe om hvor lenge en tilgangslogg skal bevares. NSM anbefaler minst ett år. Normen anbefaler minst tre år for helsesektoren. Verdipapirhandelloven og hvitvaskingsloven krever fem år på helt andre områder. For en kommunal fagapplikasjon utenfor helse finnes det ingen tallfestet frist — bare en plikt til å gjøre en begrunnet vurdering som balanserer dokumentasjonsbehov mot lagringsminimering.

Ingen av dem krever et bestemt verktøy, en bestemt modell eller en bestemt leverandør. En kommune som styrer tilganger i et regneark med kvartalsvis gjennomgang og fører den gjennomgangen skriftlig, oppfyller kravene bedre enn en kommune med avansert programvare og ingen dokumentasjon på at den brukes.

Det er verdt å si høyt: du kan oppfylle alle fem kravene uten å kjøpe noe. Det er dyrere i arbeidstimer, og det skalerer dårlig, men det er mulig.

Hva som faktisk blir spurt om

Regelverket er abstrakt. Spørsmålene som stilles er det ikke. På tvers av forvaltningsrevisjoner av informasjonssikkerhet i norske kommuner de siste årene går fire spørsmål igjen nesten ordrett:

«Hvem har administratorrettigheter, og hvorfor?» Ikke hvor mange. Hvem, med navn, og med en begrunnelse per person. En kommune som svarer med et tall har ikke svart.

«Hva skjer teknisk når en ansatt slutter, og hvem utløser det?» Det interessante er ikke rutinen. Det er hvem som må huske noe for at rutinen skal starte. Er svaret «lederen sender en e-post til servicedesk», er svaret i praksis at det ikke skjer noe i de tilfellene lederen glemmer det.

«Kan dere vise hvem som ga denne tilgangen, når, og på hvilket grunnlag?» Dette er spørsmålet som avgjør saken, og det er det de færreste kan svare på. Ikke fordi tilgangen var feil, men fordi begrunnelsen ligger i en e-post, godkjenningen i en sak, og selve endringen i en teknisk logg fra et tredje system. De tre er sjelden koblet.

«Hvor mange kontoer er aktive uten at noen eier dem?» Foreldreløse kontoer, gjestekontoer uten pålogging på tolv måneder, systemkontoer opprettet av en konsulent som ikke lenger jobber der.

Tre av de fire spørsmålene handler om dokumentasjon, ikke om sikkerhet. Det er ikke tilfeldig. En revisor kan ikke måle om et miljø er sikkert. Hun kan måle om du vet hva som er i det.

Der de fleste kommuner faktisk står

Forvaltningsrevisjonen av informasjonssikkerhet i Bodø kommune, datert 16. september 2024, tallfestet noe de fleste kommunale IT-avdelinger vil kjenne igjen: kun rundt 22 prosent av systemansvarlige brukte katalogstyrt tilgang, mens 65 prosent ga og fjernet tilganger manuelt. Tilgangsrydding skjedde uregelmessig — 27 prosent månedlig, 27 prosent kvartalsvis, 33 prosent halvårlig.

Tallene er ikke et argument mot Bodø. De er et argument om hva som skjer når tilgangsstyring er en rutine som forutsetter at et menneske husker noe, i stedet for en mekanisme som utløses av seg selv.

Forskjellen mellom en kommune som svarer godt på de fire spørsmålene og en som ikke gjør det, er sjelden budsjett eller kompetanse. Den er om forespørsel, godkjenning og utførelse er tre separate hendelser i tre separate systemer, eller én hendelse med tre felter.

Fire ting å gjøre før kontrollutvalget spør

1. Tell kontoene med faste administratorrettigheter, og skriv en begrunnelse per konto. Ikke per rolle. Per konto. Øvelsen tar en halv dag og gir svaret på det første spørsmålet.

2. Finn ut hva som teknisk utløser en avslutning. Er det et menneske, er det ikke en rutine — det er en vane.

3. Sjekk hvor lenge revisjonsloggene faktisk lagres. I Microsoft Entra ID er standarden 7 dager på gratisnivået og 30 dager på P1 og P2. Det er kortere enn de fleste tror, og kortere enn en typisk revisjonsperiode.

4. Skriv ned den begrunnede vurderingen av loggoppbevaringstid. Den finnes sjelden skriftlig, og den er det første ansvarlighetsprinsippet krever.

Entra Logic er norsk programvare for styrt administrasjon av Microsoft Entra ID. Hver endring går gjennom en forespørsel som godkjennes én gang og utføres automatisk, med begrunnelse, godkjenning og teknisk utførelse i samme post. Vi tilbyr en gratis tilgangsgjennomgang av Entra ID-miljøet: vi ser gjennom stående rettigheter, kontoer som lever etter avgang, foreldreløse enheter og hva som faktisk logges i dag. Du får en skriftlig rapport med konkrete funn, uansett om du kjøper noe eller ikke. Vi endrer ingenting underveis.

Start gratis → · Les mer om Entra Logic for kommune og interkommunalt IT →

Kilder

• Kommuneloven (LOV-2018-06-22-83) § 25-1, jf. Kommunal- og distriktsdepartementets veileder «Internkontroll i kommunesektoren»
• Personopplysningsloven (LOV-2018-06-15-38) § 1, jf. personvernforordningen artikkel 5 nr. 2, 24, 30 og 32
• Datatilsynet: Protokoll over behandlingsaktiviteter
• NSMs grunnprinsipper for IKT-sikkerhet, prinsipp 1.3 og 2.6
• Helsedirektoratet: Normen for informasjonssikkerhet og personvern i helse- og omsorgssektoren, versjon 7.0 (godkjent 25.09.2025)
• Forvaltningsrevisjon «Informasjonssikkerhet», Bodø kommune, Sekretariatet for kontrollutvalgene, 16.09.2024
• Microsoft: Microsoft Entra-rapporter og oppbevaring av data (learn.microsoft.com), hentet 19.08.2026