Cyberrapporten oppsummert
Digital Trust Insights 2027 bygger på svar fra 3 934 ledere globalt, hvorav 36 % er fra Europa.
50 % rangerer angrep mot AI-systemer blant truslene de er minst forberedt på å håndtere.
84 % forventer økte cyberbudsjetter i 2027, men bare 39 % har en fullt integrert kontinuitetsplan.
54 % bruker multi-cloud eller hybrid cloud for å redusere avhengigheten av én leverandør.
Angriperne bruker AI Trussel- og hendelseshåndtering
Årets tydeligste funn er at angrep rettet mot AI-systemer peker seg ut som den trusselen du føler deg minst forberedt på å håndtere.
AI gjør det mulig for trusselaktører å finne svakheter raskere, utnytte dem i større skala og automatisere angrep mer effektivt enn før. Samtidig blir du mer sårbar når stadig flere systemer, data og brukere er koblet sammen gjennom sky, SaaS-løsninger, digitale identiteter og kritiske leverandører.
Trussel- og hendelseshåndtering må også være rigget for hendelser som oppstår i samspillet mellom egne løsninger, leverandører, data og ny teknologi. Når angrep gjennomføres raskere og i større skala enn tidligere, blir det vanskelig å møte dem med manuelle prosesser alene. Automatisering blir derfor en viktig del av forsvarsevnen.
– Du må prioritere rask deteksjon, tydelige eskaleringsløp og automatisering av respons som fungerer på tvers av sky, leverandører og forretningskritiske prosesser. I en tid der angriperne bruker AI for å vinne, må forsvarsevnen være både raskere og mer samordnet, sier Jan Henrik Schou Straumsheim, cyberpartner i PwC.
Tusenvis av digitale nyansatte Ingen har personalansvaret
Trusseldeteksjon og varsling er sikkerhetsledernes viktigste AI-prioritet: 50 % av respondentene rangerer den blant sine fem viktigste.
AI-agenter er en ny type arbeidskraft. De analyserer, prioriterer og handler på egen hånd. Den største feilen er å behandle dem som et vanlig verktøy. Du bør styre arbeidsstyrken litt som du styrer dine menneskelige ansatte: Hvem har tilgang til hva? Hvilke handlinger kan utføres autonomt? Og hvem har ansvaret når «de ansatte» ikke er mennesker?
Allerede i 1979 slo en IBM-manual fast: «En datamaskin kan aldri stilles til ansvar, og derfor må en datamaskin aldri ta en ledelsesbeslutning.» Prinsippet står fortsatt sterkt. Bare 22 % av deltakerne i undersøkelsen ville latt AI-agenter utføre defensive tiltak uten menneskelig godkjenning. 38 % ville tillatt delvis autonomi for tiltak med lav risiko, mens 36 % foretrekker at mennesker leder utførelsen, med støtte fra AI.
De viktigste hindringene for økt autonomi er teknologiens modenhet og pålitelighet (55 %), ansvar og innsikt i hvordan AI-beslutninger fattes (46 %), samt risiko for manipulasjon fra trusselaktører og manglende kompetanse til å kontrollere AI (begge 42 %). Forsiktigheten er velbegrunnet: Risikoen er ikke at agenten vil gjøre skade, men at den har vide tilganger og handler raskere enn mennesker rekker å gripe inn.
For å forsvare oss må vi i noen tilfeller la AI-agenter handle uten forhåndsgodkjenning. Men automatiske forsvarssystemer kan også stanse egen drift. Dilemmaet er: Risikoen for cyberangrep versus risiko for driftsstans.
Våre sju grunnleggende tiltak for databeskyttelse
Dataklassifiseringspolicyer
Tiltak mot datalekkasjer
Kryptering og anonymisering
Kontroller i datalivsløpet
Datakvalitet
Kartlegging og oversikt over data
Dataminimering
– Det viktigste er å bygge kontroll før du lar AI-agentene operere på egenhånd. Ha en navngitt leder med tydelig ansvar for agentene, ha riktige verktøy for å styre dem (som agentregister og identitetsstyring), lag klare prinsipper for data, tilgang og handlinger, og start i det små, sier Eldar som er cyberpartner i PwC og hjelper mange virksomheter med dette.
Å bruke AI ansvarlig betyr at du har en tydelig leder for AI-agentene
Tre av ti har etablert egne AI-roller for AI-styring og risikostyring. Men grunnmuren er svak. Undersøkelsen målte sju grunnleggende tiltak for å beskytte data, blant annet klassifisering, kryptering, tiltak mot datalekkasje og kontroll gjennom hele datalivsløpet. I snitt har virksomhetene innført bare tre av de sju i hele organisasjonen. Bare 5 % har innført alle sju fullt ut, ned fra 7 % i fjor. Agentene jobber dermed ofte med data som ikke er godt nok beskyttet.
Agenter bør behandles som nye kolleger ved å gi de et tydelig mandat, klare grenser og oppfølging. Der resultatet må være riktig hver gang, bør agentens handlinger gå gjennom en kontroll agenten selv ikke kan påvirke. Ikke-menneskelige identiteter, agent- og datatilganger, logging, avgrenset handlingsrom og nødstopp må inn i det ordinære kontrollregimet. Når noe går galt, er det ledelsen og ikke agenten som står til ansvar.
– De som etablerer tydelig styring av AI-agenter vil ikke bare redusere risiko, men også kunne ta i bruk teknologien raskere og i større skala, sier Eldar.
Les mer i DN: Hvem holder agentene i ørene?
Sikkerhetssjef bruker AI-agenter
– Vi justerer strategien flere ganger i året fordi alt går så fort, sier CISO i Montel.
KI-agenter blir stadig mer integrert i forretningsprosessene våre. Samtidig som vi skal legge til rette for at virksomheten kan utnytte mulighetene teknologien gir, utfordrer dette oss til å tenke nytt om hvordan vi jobber med sikkerhet. Vi må i større grad klare å se rundt neste hjørne, fordi utviklingen går raskt og nye muligheter og risikoer treffer virksomheten nesten samtidig
Kontroll over fremtidens sky Leverandøravhengighet handler om hvor robust du er
Geopolitisk usikkerhet gjør at skystrategi i økende grad handler om robusthet og handlefrihet, ikke bare teknologi- og kostnadsoverslag. Spørsmålet er: Hvor stor kontroll har du over dine data, digitale tjenester og kritiske leverandører? 54 % svarer at de tar i bruk multi-cloud eller hybrid cloud for å redusere avhengigheten til én leverandør. 47 % bygger regional redundans, og like mange peker på oppfølging av kritiske leverandører som en topputfordring.
Samtidig svarer 50 % at de endrer håndteringen av leverandør-, tredjeparts- og forsyningskjederisiko som følge av geopolitikk, og 47 % innfører kontinuerlig overvåking av leverandørers cyberrisiko.
For deg er kontroll over digitale avhengigheter et lederansvar. Hvilke data, tjenester og kapabiliteter må være under tilstrekkelig kontroll? Hvor tåler virksomheten konsentrasjonsrisiko, og hvor må det vurderes alternativer? Hvilke deler av skystrategien krever regional robusthet, og hvilke leverandørkjeder må overvåkes tettere?
Det er også her budsjett og robusthet må kobles tettere sammen. 84 % forventer økte cyberbudsjetter i 2027, men bare 39 % har en fullt formalisert og integrert kontinuitetsplan.
Les mer: Minimum Viable Company: Hva må fungere når alt annet svikter?
– Kontroll betyr ikke bare at data lagres her eller der. Det handler om din reelle evne til å opprettholde drift, bytte leverandør ved behov og redusere sårbarhet når omgivelsene endrer seg, sier Lars Erik Fjørtoft som leder cyberavdelingen i PwC i Norge.
Råd fra Lars Erik om neste trekk du bør ta om skysuverenitet
- Kartlegg hvilke leverandører, plattformer og infrastrukturtjenester som er forretningskritiske.
- Vurder risiko knyttet til geografi, jurisdiksjon, eierskap og tilgjengelighet.
- Sørg for at exit-strategier, redundans og kontinuitetskrav er bygget inn i arkitekturen, ikke bare i kontrakten.
Les mer: Skysuverenitet i praksis
Ledelse og styring Strukturene finnes men rutinene henger etter
47 % er sterkt enige i at cyberrisiko er et fast punkt på styreagendaen, og 45 % sier det samme om ledermøter. Samtidig er det langt færre som kobler cyber tydelig til prestasjonsmåling og forretningsbeslutninger.
Dette viser at mange virksomheter har fått cyber inn i styringsstrukturen, men ikke fullt ut inn i styringsrutinene. I en tid med AI-drevne angrep, nye digitale aktører og større avhengighet til sky og leverandører, må cyber påvirke beslutninger om virksomhetsmodell, investeringer og drift. Ikke bare rapporteres som risiko.
Tre av ti norske toppledere mener virksomheten er svært eller ekstremt eksponert for cyberrisiko det neste året.
Les mer: PwCs CEO Survey 2026
Kompetansegapet består
59 % rangerer vekstmuligheter blant sine viktigste strategier for å beholde cyberkompetanse. 53 % peker på sterk cyberkultur, og like mange trekker frem investering i AI-verktøy og opplæring.
Det viser at fremtidens cyberforsvar ikke bare handler om teknologi. Det handler om å bygge en driftsmodell der mennesker, maskiner og leverandører fungerer sammen under tydelig ledelse og styring.
Les også: Fem cybertrender
Ditt neste trekk
Digital Trust Insights 2027 peker mot én tydelig konklusjon: Cybersikkerhet må i økende grad forstås som virksomhetsstyring og virksomhetens evne til å bygge robusthet. Trussel- og hendelseshåndtering må styrkes for å holde tritt med trusselaktører som bruker AI for å vinne. AI må bringes under kontroll som en ny arbeidsstyrke av ikke-menneskelige aktører. Og kontroll over fremtidens sky må bygges inn i leverandørvalg, arkitektur og kontinuitetsplanlegging.
For norske virksomheter handler digital tillit i 2027 derfor om mer enn beskyttelse. Det handler om evnen til å bygge kontroll, kontinuitet og handlefrihet i en tid der både truslene og teknologien er i rask bevegelse. De som lykkes, vil stå bedre rustet til å møte endringer, opprettholde tillit og skape vekst i en mer uforutsigbar verden.
Les hele rapporten her: Digital Trust Insights 2027
Les om våre tjenester her
Vi hjelper deg med alt fra tilgangsstyring til penetrasjonstesting.
Kontakt oss gjerne
Vi vil gjerne høre om dine utfordringer i din virksomhet.