Tilstandsrapporten 2026: Sikkerhet, e-postbeskyttelse og § 3-15-etterlevelse hos 160 norske regnskapsbyråer
En passiv teknisk gjennomgang av offentlige HTTP-endepunkter, DNS-poster og samtykkeflater hos 160 norske regnskapsbyråer viser et tydelig gap mellom regnskapsbransjens lovpålagte taushetsplikt og den faktiske sikringen av byråenes egne domener: kun 1 av 160 byråer (0,6 %) besto samtlige krav til sikkerhetshoder, DMARC og ny ekomlov § 3-15.
Slå opp deres tekniske bevisrapport eller bestill sanntidsmåling
Skriv inn byråets 9-sifrede organisasjonsnummer for å åpne den ferdigberegnede rapporten dersom dere inngikk i utvalget på 160 byråer — eller start en direkte måling dersom dere ikke var med i første pulje. Individuelle firmanavn listes aldri offentlig på denne siden.
Teknisk tilstand per kontrollpunkt (160 byråer)
Gjennomsnittlig vektet avviksskår i utvalget er 4,5 poeng (beregnet fra manglende HTTP-hoder, manglende DMARC og antall tredjeparts sporingsdomener som fyrer før samtykke). Kun 1 virksomhet hadde 0 feil på tvers av alle målepunkter.
| Kontrollpunkt | Andel med avvik | Antall bestått | Operasjonell og regulatorisk risiko |
|---|---|---|---|
| Content-Security-Policy (CSP) | 82,5 % (132 / 160) | 28 / 160 | Åpner for uautorisert skriptkjøring (XSS) og ukontrollert tredjepartsinnlasting i kundeportaler. |
| X-Frame-Options | 82,5 % (132 / 160) | 28 / 160 | Nettstedet kan rammes inn eksternt (clickjacking) i falske innloggings- eller samtykkeflater. |
| X-Content-Type-Options (nosniff) | 68,8 % (110 / 160) | 50 / 160 | Nettlesere kan feiltolke filtyper (MIME-sniffing) ved opplasting eller mellomlagring. |
| Strict-Transport-Security (HSTS) | 61,9 % (99 / 160) | 61 / 160 | Første anrop kan nedgraderes til ukryptert HTTP på åpne nettverk. |
| DMARC (_dmarc i DNS) | 23,8 % (38 / 160) | 122 / 160 | Angripere kan sende falske fakturaer og skattemeldinger fra byråets eksakte e-postdomene. |
| SPF (v=spf1 i DNS) | 5 % (8 / 160) | 152 / 160 | Mangler liste over godkjente e-posttjener-IP-er i offentlig DNS. |
| Ekomloven § 3-15 (0 sporing før samtykke) | 54,4 % (87 / 160) | 73 / 160 | Tredjeparts annonsenettverk og analyseplattformer mottar IP-adresse og sidebesøk før brukeren har samtykket. |
Tredjeparts sporingsdomener observert før brukerinteraksjon
Fra 1. januar 2025 skjerpet ny ekomlov § 3-15 kravet til gyldig samtykke etter GDPR-standard: ingen ikke-nødvendige sporingskapsler eller nettverkskall til annonsenettverk kan utløses ved første sideinnlasting før besøkende aktivt har valgt «Godta». Tabellen viser hvilke tredjepartsdomener som ble fyrt av automatisk ved passiv sidelasting uten samtykke:
| Tredjeparts sporingsdomene | Antall byråer før samtykke | Andel av utvalget |
|---|---|---|
| googletagmanager.com | 80 byråer | 50 % |
| google-analytics.com | 54 byråer | 33,8 % |
| connect.facebook.net | 20 byråer | 12,5 % |
| doubleclick.net | 15 byråer | 9,4 % |
| clarity.ms | 3 byråer | 1,9 % |
| snap.licdn.com | 3 byråer | 1,9 % |
| hotjar.com | 2 byråer | 1,3 % |
Slik lukkes avvikene på CDN-kanten uten å bytte CMS
Autoriserte regnskapsforetak er underlagt Finanstilsynets IKT-forskrift og skjerpede krav til leverandør- og domenekontroll. De fleste avvikene i studien skyldes eldre publiseringssystemer (WordPress, Webflow, Squarespace) der sikkerhetshoder aldri er satt på revers-proxy/CDN-kanten, kombinert med Google Tag Manager-containere som fyrer før samtykkelag 1.
Med Steg 1: Edge Sikkerhets- og § 3-15-sikring (19 500 kr fastpris) låser vi HSTS, CSP, X-Frame-Options, nosniff, SPF/DMARC og samtykkeblokkering på CDN-kanten innen 48 timer — uten nedetid og uten å skrive om eksisterende nettside. Ønsker byrået også å regne på bilags- og ERP-automasjon mot Tripletex, PowerOffice Go eller Fiken, se vår dedikerte lønnsomhetskalkulator for regnskapsbyråer og full oversikt over leveransetrinn og priser.