Tilstandsrapporten 2026: Rådgiving og konsulent — leverandørsikkerhet, DMARC og § 3-15 hos 160 norske konsulentselskaper
Norske rådgivnings- og konsulenthus møter stadig strengere leverandørkontroller fra offentlige oppdragsgivere (SSA-B/FOA) og virksomheter underlagt digitalsikkerhetsloven. Vår passive tekniske kartlegging av 160 norske konsulentselskaper (NACE 70.200) viser at 149 av 160 mangler sentrale nettleserhoder, mens kun 6 av 160 (3,8 %) besto samtlige krav til sikkerhetshoder, DMARC og ekomlov § 3-15.
Slå opp deres tekniske bevisrapport eller bestill sanntidsmåling
Skriv inn selskapets 9-sifrede organisasjonsnummer for å åpne den ferdigberegnede rapporten dersom dere inngikk i utvalget på 160 selskaper — eller start en direkte måling dersom dere ikke var med i første pulje. Individuelle firmanavn listes aldri offentlig på denne siden.
Teknisk tilstand per kontrollpunkt (160 konsulentselskaper)
Gjennomsnittlig vektet avviksskår blant kartlagte rådgivnings- og konsulentmiljøer er 3,4 poeng. Når innkjøpsavdelinger bruker automatiserte tredjepartsverktøy til å vurdere underleverandørers domenehygiene før kontraktsinngåelse, slår manglende CSP, HSTS og DMARC direkte ut.
| Kontrollpunkt | Andel med avvik | Antall bestått | Betydning i anbud, sikkerhetsvurdering og drift |
|---|---|---|---|
| Content-Security-Policy (CSP) | 78,1 % (125 / 160) | 35 / 160 | Mangler nettleserpolise mot skriptinjeksjon og gir rødt utslag i automatiserte leverandørskanninger før rammeavtaler. |
| X-Frame-Options | 68,8 % (110 / 160) | 50 / 160 | Selskapets rekrutterings-, seminar- og kontaktsider kan rammes inn på fremmede domener (clickjacking). |
| X-Content-Type-Options (nosniff) | 53,1 % (85 / 160) | 75 / 160 | Nettlesere kan feiltolke filtyper ved nedlasting av rapporter, whitepapers og tilbudsdokumenter. |
| Strict-Transport-Security (HSTS) | 33,8 % (54 / 160) | 106 / 160 | Åpner for protokoll-nedgradering på første kall og trekker ned sikkerhetsskåren hos konsern- og offentlige innkjøpere. |
| DMARC (_dmarc i DNS) | 20 % (32 / 160) | 128 / 160 | Muliggjør fakturasvindel og falske kontonummerendringer i konsulentoppdrag fra selskapets eksakte e-postdomene. |
| SPF (v=spf1 i DNS) | 3,1 % (5 / 160) | 155 / 160 | Mangler gyldig v=spf1-avgrensning av utgående e-posttjenere og nyhetsbrevplattformer i DNS. |
| Ekomloven § 3-15 (0 sporing før samtykke) | 36,3 % (58 / 160) | 102 / 160 | B2B-sporings- og annonsepiksler (LinkedIn, Google, Meta) utløses ved første besøk før oppdragsgiver eller kandidat har samtykket. |
Tredjeparts sporingsdomener som utløses ved passiv sidelasting
Konsulent- og rådgivningshus bruker ofte Tag Manager, LinkedIn Insight Tag og varmekart for rekruttering og B2B-markedsføring. Når disse fyrer før besøkende har gitt aktivt samtykke, sendes tredjepartskall uten det forutgående samtykket ekomloven § 3-15 oppstiller som hovedregel:
| Tredjeparts sporingsdomene | Antall selskaper før samtykke | Andel av utvalget |
|---|---|---|
| googletagmanager.com | 47 selskaper | 29,4 % |
| google-analytics.com | 36 selskaper | 22,5 % |
| connect.facebook.net | 6 selskaper | 3,8 % |
| snap.licdn.com | 5 selskaper | 3,1 % |
| hs-scripts.com | 2 selskaper | 1,3 % |
| clarity.ms | 1 selskaper | 0,6 % |
| hotjar.com | 1 selskaper | 0,6 % |
Bestå kundenes leverandørsjekk på 48 timer og automatiser WBS- til EHF-flyten
Oppdragsgivere i offentlig sektor og konsern som omfattes av digitalsikkerhetsloven stiller konkrete krav til leverandørers e-postautentisering, kryptering og personvernhygiene etter NSMs grunnprinsipper for IKT-sikkerhet.
Med Steg 1: Edge Sikkerhets- og § 3-15-sikring (19 500 kr fastpris) herder vi HSTS, CSP, X-Frame-Options, nosniff, SPF/DMARC og samtykkeblokkering på CDN-kanten innen 48 timer uten å bytte publiseringsløsning. Vil konsulenthuset samtidig fjerne administrativ tidstyv mellom timefangst (Bokføringsforskriften § 5-14), WBS-rammevarsling og EHF-fakturering i Tripletex, PowerOffice Go eller Fiken, se vår faktureringsgradskalkulator for rådgiving og konsulent, konsulentautomatisering og AI-arbeidsflyt, herdet webarkitektur, teknisk B2B-SEO og leveransetrinn og priser.