Hva må fungere når alt annet stopper?

Hvorfor noen virksomheter kommer seg raskere gjennom en krise enn andre

Er vi egentlig forberedt, og prioriterer vi det som betyr mest? Disse spørsmålene møter vi stadig oftere i ledergrupper og styrer. Dagens virkelighet er at cyberangrep, geopolitisk uro, leverandøravhengigheter og ekstremvær kan ramme samtidig. Da holder det ikke å være forberedt på én krise av gangen. Likevel oppgir bare 6 prosent at de har svært god evne til å håndtere alvorlige cyberhendelser på tvers av alle sentrale områder (PwC’s 2026 Global Digital Trust Insights).

Vårt svar er tydelig: Vit hva virksomheten må beskytte først.

Dette er vårt utgangspunkt for konseptet vi kaller minimumsorganisasjon, oversatt fra Minimum Viable Company (MVC). Ved å identifisere og sikre denne kjernen i forkant, kan virksomheter handle raskt og målrettet når det gjelder som mest, og dermed beskytte omsetning, omdømme og tillit.

Hva er en minimumsorganisasjon?

En minimumsorganisasjon er det minste settet av funksjoner og kapabiliteter som må være operative for at virksomheten skal forbli levedyktig gjennom en alvorlig krise. Den består av tre deler som til sammen gjør virksomheten i stand til å opprettholde sine mest kritiske leveranser:

• Kritiske produkter og tjenester: Produktene og tjenestene som kunder, markedet og myndigheter raskest merker konsekvensene av dersom de faller bort.

• Kritiske interne prosesser og aktiviteter: Det virksomheten er avhengig av for å kunne fortsette driften, blant annet sikkerhet, lønnsutbetalinger, kontroll mot misligheter, kommunikasjon og beslutningstaking i kriser.

• Grunnleggende avhengigheter: Teknologi, data, mennesker, tredjeparter og kritisk infrastruktur som resten av virksomheten er avhengig av. Dette omfatter både interne ressurser og eksterne avhengigheter som sky- og programvareleverandører, andre leverandører, finansiell infrastruktur og samfunnskritiske tjenester.

En minimumsorganisasjon er ikke en oversikt over tjenester, en regulatorisk rapport eller en plan for gjenoppretting av IT. Det er ledelsens felles bilde av hva som må fungere for at virksomheten skal forbli levedyktig gjennom en alvorlig krise. Det innebærer å definere de mest kritiske leveransene, prioritere når de må være tilgjengelige gjennom kriseforløpet og teste dem mot alvorlige, men realistiske scenarioer. 

Hvordan bygge en effektiv minimumsorganisasjon?  

For å bygge en effektiv minimumsorganisasjon arbeider vi med fire kjerneelementer:

• Identifisere kritiske tjenester: Hvilke produkter, prosesser eller tjenester må fortsette, selv i begrenset form, for at virksomheten skal overleve?
• Kartlegge avhengigheter: Hvilke mennesker, teknologi, data og tredjeparter er avgjørende for å opprettholde disse tjenestene?
• Sekvensere prioriteringer: I hvilken rekkefølge bør tjenester gjenopprettes for å minimere langsiktig skade?
• Teste motstandskraften i modellen: Er systemene, teamene og prosessene som støtter minimumsorganisasjonen robuste nok til å fungere under press?

Dette er ikke lenger teoretisk for norske virksomheter

Vi ser en økende norsk relevans for dette arbeidet, av flere grunner.

For det første øker cybertrusselen mot norsk kritisk infrastruktur. Sommeren 2025 ble en norsk demning i Bremanger utsatt for et prorussisk cyberangrep. PST og Etterretningstjenesten er tydelige på at norsk kraftinfrastruktur er et attraktivt mål for fremmed stats sabotasje og etterretning. Fra 1. juli 2026 skjerper NVE beredskapsforskriften, med krav om at kraftselskaper faktisk øver på «øydrift», det vil si å drive isolert dersom resten av nettet svikter. Dette er ett av flere grep for å teste egen minimumsorganisasjon.

For det andre skjerper nytt regelverk kravene til alle kritiske virksomheter. DORA og NIS2 gjør det tydelig at ansvaret for digital og operasjonell motstandskraft ikke kan delegeres bort, og vi ser at dette i økende grad blir et personlig ansvar for styrer, ikke bare noe administrasjonen rapporterer om. 

For det tredje mener vi norsk næringsliv må ta konsekvensen av sin egen rolle i samfunnet, og at myndighetene må bidra gjennom tilrettelegging og midler. Uten strøm, mat, drivstoff, transport, telekommunikasjon, havner, logistikk og handel stopper både samfunnet og totalforsvaret opp. Norsk næringsliv er derfor ikke bare en støttefunksjon i en krise, det er en sentral del av totalforsvaret. Vi ser at Storbritannia nylig har tatt konseptet videre på nasjonalt nivå, med et forslag om å definere et eget «Minimum Viable UK», et nasjonalt minimumsnivå for kritisk infrastruktur. Vi mener dette er et relevant perspektiv norske myndigheter og næringsliv bør diskutere sammen.

Verdien kommer lenge før krisen gjør det

Det mest interessante vi ser i arbeidet med minimumsorganisasjonen, er at arbeidet gir verdi uansett om krisen kommer eller ikke. Når en virksomhet tvinges til å definere det absolutte minimumet for å levere, dukker det ofte opp overraskende svar. En avdeling som viser seg å ikke være strengt nødvendig for kjernedriften. Et system som er dyrere enn det er nyttig. En vane som aldri har blitt utfordret, fordi ingen har stilt spørsmålet.

Vi mener derfor at arbeidet med minimumsorganisasjonen er like relevant som effektiviseringsverktøy som beredskapsøvelse. Det tvinger frem en ærlig samtale om hva virksomheten faktisk lever av: gjør vi dette fordi det er lønnsomt eller nødvendig for at vi kan operere i et marked, eller fordi alle andre gjør det?

Vår erfaring, blant annet fra arbeid med virksomheter i energi, industri, telekom, matvare- og næringsmiddelindustrien, er at denne samtalen sjelden handler om mangel på informasjon. De fleste ledergrupper vet innerst inne hva som er kritisk. Utfordringen er at den største barrieren mot god beredskap sjelden er teknisk. Den er kulturell. Mange organisasjoner mangler prosessen og mandatet til faktisk å prioritere hardt, spesielt når alle deler av virksomheten oppleves som viktige.

Vanlige utfordringer vi ser i praksis

Selv om bevisstheten øker, ser vi at mange virksomheter fortsatt sliter med å omsette konseptet til praksis, blant annet på grunn av:

• Uklart eierskap til nøkkelprosesser på tvers av forretningsenheter

• Tredjepartsavhengigheter som er dårlig forstått eller fulgt opp

• Kulturell motstand mot prioritering, spesielt i regulerte miljøer

• Gammel infrastruktur som ikke skiller mellom kritiske og ikke-kritiske systemer

Å overkomme disse barrierene krever en strukturert metodikk, tverrfaglig forankring, og ofte et utenforstående perspektiv som kan utfordre interne antakelser.

Hvordan vi arbeider med dette

Vi bringer en strukturert, forretningsledet metodikk for å hjelpe virksomheter med å definere, bygge og teste sin egen minimumsorganisasjon. Vår tilnærming følger fire trinn:

1. Forstå omverdenen og egen rolle, gjennom analyse av megatrender og makrorisiko som er relevante for bransjen
2. Vurdere modenhet, ved å kartlegge dagens situasjon opp mot hva som faktisk er kritisk
3. Definere minimumsnivået, det vil si å fastsette hva som er essensielt for overlevelse
4. Lage strategi, øve og teste, gjennom konkrete gjenopprettingsplaner og simulering av dilemmaer som styrker beredskapen i praksis

Vi arbeider tett med toppledelse og styrer for å forankre denne tenkningen i virksomhetens bredere arbeid med risiko og kontinuitet, slik at den utvikler seg i takt med virksomheten selv.