Tre måneder etter: 851 offentlige virksomheter avviser fortsatt ikke falske e-poster

Avdekk har målt e-post- og nettsidesikkerheten til 1341 offentlige virksomheter, først 6. juli og på nytt 5. oktober. Av dem har 851 fortsatt ikke satt DMARC til «avvis».¹

DMARC er sperren som ber mottakerens e-postserver stoppe post som utgir seg for å komme fra virksomheten, men som ikke består ekthetskontrollen. Uten den kan svindlere sende e-post fra den ekte adressen til en kommune eller etat, ikke bare fra en adresse som ligner. Nasjonal sikkerhetsmyndighet regner DMARC som ett av de grunnleggende tiltakene for å sikre e-post,² og Digitaliseringsdirektoratet har gjort det til en anbefalt standard for det offentlige.³

Dette har endret seg siden juli

Tabellen viser hvor mange av de 1341 virksomhetene som har hvert tiltak på plass.

DNSSEC hindrer at noen forfalsker hvor e-posten og nettsiden skal gå. MTA-STS tvinger andre e-postservere til å levere post kryptert, og TLS-rapportering sier fra når det ikke lykkes.

Alle tallene går i riktig retning, men sakte. På tre måneder har 21 flere satt DMARC til «avvis». Fortsetter det i samme tempo, tar det rundt ti år før alle er der.⁴

Virket brevene?

Siden juli har vi sendt hver virksomhet vi fant en adresse til, en e-post med deres egne funn og hva de bør gjøre. Av de 1341 virksomhetene fikk 1072 brevet. De andre 269 fikk det ikke, fordi vi ikke fant noen adresse.

Vi har sjekket hvem som har fått bedre e-postsikkerhet fra juli til oktober. Bare de delene som ligger i DNS er tatt med, fordi de gir samme svar fra måling til måling.⁴

• Av de 1072 som fikk brevet, har 82 blitt bedre. Det er 7,6 prosent.
• Av de 269 som ikke fikk det, har 14 blitt bedre. Det er 5,2 prosent.

Forskjellen er så liten at den kan skyldes tilfeldigheter, så vi kan ikke si at brevene har virket. Gruppen uten brev er heller ikke valgt ut tilfeldig. At vi ikke fant noen e-postadresse, kan i seg selv si noe om virksomheten.

Én virksomhet sier at brevet bidro. «Vi gjorde endringer etter anbefaling av dere og etter vurdering av vår leverandør», opplyser Kristiansund og Nordmøre Havn IKS. Havneselskapet kjøper IT og sikkerhet fra en ekstern leverandør, som gjorde endringene. I juli fikk de B. Nå har de A, med DMARC satt til «avvis» og MTA-STS slått på.

Fem virksomheter i Helse Sør-Øst har slått på DNSSEC siden august, blant dem Akershus universitetssykehus. Alle fem har domenene sine hos Norsk Helsenett. Sykehuspartner, som svarte på vegne av sykehuset, opplyser at de over tid har jobbet med Norsk Helsenett for å få DNSSEC på plass, og at det ikke ble endret noe internt hos dem.

Kommunene ligger best an

Kommunene har kommet lengst. Seks av ti kommuner har satt DMARC til «avvis», mot drøyt én av tre virksomheter totalt. Svakest står helseforetakene på DNSSEC, der under én av fem har det på plass.

Se hvordan din kommune ligger an

Hver virksomhet har sin egen side med karakter, alle funn og datoen vi målte. Se rangeringen. Har en virksomhet rettet noe etter målingen, måler vi på nytt når den ber om det. Lyngen kommune gjorde det i september og gikk fra B til A. Vil dere vite hvordan funnene rettes, står det i guiden vår.

Slik målte vi: Vi måler bare det som er offentlig synlig utenfra, i DNS og på nettsidene, etter samme metode som testverktøyet internet.nl.⁵ Tallene i saken sammenligner målingene 6. juli og 5. oktober 2026.

1. Avdekks egen måling av offentlige virksomheter, 6. juli og 5. oktober 2026 (resultater og metode)
2. Nasjonal sikkerhetsmyndighet, «Grunnleggende tiltak for sikring av e-post» (nsm.no)
3. Norid, «Norid legger inn DMARC med SPF for kommunenavn», om Digitaliseringsdirektoratets anbefaling (norid.no)
4. Avdekks egen beregning. Sammenligningen omfatter de 1341 virksomhetene vi har målt på samme domene både 6. juli og 5. oktober 2026. Tempoanslaget forutsetter at 21 nye virksomheter per kvartal holder seg. Alle brevene ble sendt etter julimålingen.
5. internet.nl, testverktøyet målingen bygger på (internet.nl)