Tre ganger på under tre måneder har Norges viktigste innloggingsløsning for offentlige tjenester ligget nede eller vært ustabil. ID-porten, som mer enn 4,5 millioner nordmenn bruker til å logge inn med BankID og MinID, ble truffet av det tredje eskalerende tjenestenektangrepet (DDoS) mot Digitaliseringsdirektoratet (Digdir) siden juni, med angrepet 31. august 2026 som holdt tjenesten nede eller ustabil i 64 timer. Saken reiser et spørsmål som færre vil like svaret på: hvor godt beskyttet er egentlig norsk offentlig skyinfrastruktur mot volumetriske angrep, og hvorfor traff samme trussel den samme løsningen tre ganger på rad?
For lesere som følger skysektoren er dette mer enn en isolert IT-hendelse i det offentlige. Det er en praktisk case-studie i hva som skjer når en enkelt driftspartner, uten synlig lagdelt DDoS-beskyttelse, blir eneste flaskehals for millioner av innlogginger. I denne analysen går vi gjennom tidslinjen, tallene, hvem som drifter løsningen, hvordan moderne skyplattformer normalt beskytter seg mot samme type angrep, og hva hendelsen betyr for investeringer i norsk og nordisk skyinfrastruktur fremover.
Hva er ID-porten, og hvorfor rammer ett angrep så mange tjenester
ID-porten er den felles identitetsportalen som gir innbyggere tilgang til statlige og kommunale digitale tjenester via BankID, MinID og andre elektroniske ID-er. Løsningen fungerer som en sentral inngangsdør: i stedet for at hver etat bygger sin egen innlogging, kobler de seg til ID-porten. Det gjør utrulling billigere og brukeropplevelsen mer enhetlig, men det skaper også et enkelt feilpunkt. Når ID-porten er nede, faller Altinn, Helsenorge, digital postkasse, reseptformidleren, Maskinporten og en rekke andre fellesløsninger ut i samme øyeblikk, fordi de er avhengige av samme autentiseringslag.
Millioner av innlogginger hver eneste dag
Med over 4,5 millioner brukere er ID-porten en av de mest trafikkerte offentlige innloggingstjenestene i Norden. Til sammenligning med kommersielle skytjenester tilsvarer det trafikkvolumet en mellomstor nasjonal nettbank eller en stor e-handelsplattform i høysesong, bare at ID-porten må holde oppetid for kritiske samfunnsfunksjoner som resepter, sykepenger og skattemelding, ikke bare handlekurver.
Løsningen driftes ikke av Digdir selv, men av driftspartneren Vivicta. Digdir har i sine egne oppdateringer bekreftet at «angrepet rammet ID-porten som driftes hos Digdirs driftspartner Vivicta», og at direktoratet jobber tett med partneren om avbøtende tiltak under hvert angrep, ifølge Digdirs egen driftsmelding.
Tidslinjen: tre angrep fra juni til august 2026
Det som startet som en enkeltstående driftsforstyrrelse tidlig i sommer, har utviklet seg til et mønster. Ifølge sikkerhetsanalyser og Digdirs egne meldinger er dette den tredje eskalerende bølgen av tjenestenektangrep mot direktoratets fellesløsninger siden juni 2026, og hvert angrep har vært mer alvorlig enn det forrige.
| Dato | Starttidspunkt | Varighet / status | Berørte tjenester (utvalg) |
|---|---|---|---|
| 3. august 2026 | Ca. kl. 01:00 mandag | Over ett døgn før stabilisering | ID-porten, MinID, Altinn, eFormidling, Maskinporten, ELMA, Kontakt- og reservasjonsregisteret |
| 24.–26. august 2026 | Kl. 03:38 mandag natt | Fortsatt ikke over tirsdag morgen, periodevis helt nede | ID-porten, MinID, Altinn, E-innsyn, Maskinporten, eSignering, Digital postkasse, Ansattporten |
| 31. august 2026 | Ca. kl. 01:00 mandag | 64 timer med nedetid og degradert ytelse | ID-porten, med vedvarende problemer for utenlandsk trafikk etter at norske brukere fikk tilgang igjen |
Mønsteret er tydelig: hvert angrep starter på en mandag, tidlig på morgenen, og rammer bredere enn bare selve innloggingsløsningen. Under angrepet 3. august opplevde brukere at de ble stengt ute fra reseptformidleren, trygdeytelser og egen helseinformasjon på Helsenorge, ifølge samtidige rapporter fra angrepets forløp. Under angrepet 24.–26. august var ti offentlige tjenester berørt samtidig, deriblant ID-porten, MinID, Altinn og E-innsyn, og angrepet varte fra natt til mandag til godt utpå tirsdag formiddag, ifølge Document News’ dekning av hendelsen.
Det tredje angrepet: 64 timer med delvis utilgjengelighet
Det siste og mest alvorlige angrepet begynte natt til mandag 31. august 2026. Ifølge en gjennomgang av hendelsesforløpet ble ID-porten «slått ut i 64 timer» av det tredje eskalerende DDoS-angrepet mot Digdir siden juni, med spesielt vedvarende problemer for trafikk fra utlandet selv etter at norske brukere stort sett hadde fått tilbake normal tilgang. Det er en betydelig forverring fra angrepet tre uker tidligere, som varte i underkant av et døgn før tjenestene ble stabilisert.
Eskaleringen i varighet, fra rundt 24 timer i august til 64 timer i det tredje angrepet, tyder på at angriperne enten har økt kapasiteten sin eller funnet nye måter å omgå tiltakene Digdir og Vivicta har innført mellom angrepene. Det er et kjent mønster i DDoS-kriminalitet: angripere tester forsvaret, observerer hvilke mottiltak som settes inn, og justerer angrepstrafikken deretter. For en tjeneste med millioner av daglige autentiseringsforsøk er dette spesielt krevende å stoppe uten flerlags beskyttelse nær kanten av nettverket.
Digdirs offisielle respons: ingen tegn til datainnbrudd
Gjennom alle tre hendelsene har Digdir vært konsekvent i budskapet: dette er tjenestenektangrep rettet mot tilgjengelighet, ikke innbrudd som har kompromittert data. I sin oppdatering etter augustangrepet skrev direktoratet at «det er ingen indikasjoner på at angrepet har ført til sikkerhetsbrudd eller at personopplysninger er kommet på avveie», ifølge Digdirs driftsmelding. Samme formulering gikk igjen i oppdateringen «Digdir stabiliserer løsningene etter dataangrep», publisert 25. august.
Digdir har også anbefalt brukere å logge inn med alternative elektroniske ID-er der det er mulig, som en midlertidig omvei rundt overbelastningen på ID-porten. Det er i praksis en manuell versjon av det som i skybransjen kalles failover: å lede trafikk til en alternativ vei når hovedveien er overbelastet. Forskjellen er at en moderne skyarkitektur normalt gjør dette automatisk og på millisekundnivå, mens brukerne av ID-porten selv måtte velge en annen innloggingsmetode.
Digi.no omtalte 6. august regjeringens holdning til saken under overskriften «ID-porten er robust», der budskapet fra regjeringshold var at løsningen tåler press til tross for angrepet natt til mandag. Utviklingen tre uker senere, med et angrep som varte nesten tre ganger så lenge som det forrige, satte det utsagnet på en ny prøve.
Hvorfor et tjenestenektangrep mot en sentral skytjeneste er så effektivt
DDoS-angrep er verken nytt eller teknisk avansert sammenlignet med et databaseinnbrudd. Det som gjør dem farlige mot en tjeneste som ID-porten, er arkitekturen den sitter i. Fordi så mange fellesløsninger, fra Altinn til Helsenorge til digital postkasse, deler samme autentiseringslag, trenger en angriper bare å overbelaste ett knutepunkt for å slå ut titalls tjenester samtidig. Det er akkurat den kaskadeeffekten Norge har opplevd tre ganger på rad i sommer.
Moderne skyleverandører løser dette problemet med flere lag av beskyttelse plassert så nær angriperen som mulig, i stedet for å la all trafikk treffe opprinnelsesserveren direkte. Under er en oversikt over de vanligste lagene i en slik arkitektur, slik de typisk tilbys av globale CDN- og skysikkerhetsleverandører. Oversikten beskriver bransjepraksis generelt og er ikke en påstand om hva Vivicta eller Digdir konkret har eller ikke har på plass, ettersom verken Digdir eller Vivicta har navngitt sin DDoS-leverandør offentlig i de siterte kildene.
Anycast, scrubbing og rate-limiting
| Beskyttelseslag | Hva det gjør | Hvorfor det hjelper mot volumetriske angrep |
|---|---|---|
| Anycast-nettverk | Sprer innkommende trafikk over mange geografisk spredte noder | Fordeler angrepstrafikken slik at ingen enkelt server tar hele lasten |
| Scrubbing-sentre | Filtrerer trafikk gjennom dedikerte renseanlegg før den når opprinnelsesserveren | Skiller ondsinnet trafikk fra ekte brukere før den belaster backend |
| Rate-limiting og WAF-regler | Begrenser antall forespørsler per klient og blokkerer mistenkelige mønstre | Stopper utmattelsesangrep på applikasjonslaget, ikke bare volumetriske angrep |
| Geografisk filtrering | Prioriterer eller begrenser trafikk basert på opprinnelsesland | Reduserer støy fra regioner uten legitim brukerbase, slik som i angrepet 31. august der utenlandsk trafikk fortsatt skapte problemer |
| Automatisk failover | Leder trafikk til reserveinfrastruktur ved overbelastning | Reduserer nedetid uten at brukeren må gjøre noe selv, i motsetning til å måtte bytte til alternativ eID manuelt |
Et forenklet eksempel på hvordan en rate-limiting-regel på kantnivå typisk defineres i en moderne sky- eller CDN-konfigurasjon, kan se slik ut. Dette er et generisk illustrasjonseksempel, ikke faktisk konfigurasjon fra Digdir eller Vivicta:
rule "beskytt-innloggingsendepunkt" {
match {
path = "/id-porten/authorize"
}
threshold {
requests_per_ip = 20
window_seconds = 10
}
action_over_threshold = "challenge" # CAPTCHA eller JS-utfordring
action_over_hard_limit = "block"
geo_priority = ["NO", "SE", "DK", "FI"]
}Poenget med et slikt regelsett er at 90–99 prosent av angrepstrafikken aldri når applikasjonsserveren i det hele tatt. Den stoppes eller bremses i et lag som er bygget nettopp for å absorbere spissbelastning, mens ekte brukere med normale trafikkmønstre slipper gjennom uten friksjon. Når et angrep i stedet varer i 64 timer og i perioder gjør tjenesten helt utilgjengelig, er det en indikasjon på at spissbelastningen ikke blir absorbert tidlig nok i kjeden.
Norden i sammenligning: hvor utsatt er norsk infrastruktur
ID-porten-hendelsene skjer ikke i et vakuum. De faller sammen med en bredere trend av cyberhendelser mot nordisk infrastruktur. Ifølge en 2026-rapport fra DNV om cyberrobusthet i Norden ble det registrert 21 cyberhendelser mot norske organisasjoner i 2025, sammenlignet med 60 i Sverige, 44 i Finland og 41 i Danmark, ifølge shattered.ios dekning av DNV-rapporten. Tallene er lave sammenlignet med naboland, men treffsikkerheten i angrepene mot norsk offentlig infrastruktur i 2026 viser at volumet av hendelser ikke nødvendigvis sier alt om alvorlighetsgraden.
| Land | Registrerte cyberhendelser 2025 |
|---|---|
| Sverige | 60 |
| Finland | 44 |
| Danmark | 41 |
| Norge | 21 |
Norge har historisk hatt færrest registrerte hendelser blant de fire nordiske landene i denne målingen. At tre av de mest alvorlige hendelsene i 2026 så langt har rammet nettopp den mest sentrale norske offentlige skytjenesten, tre ganger på under tre måneder, illustrerer hvor stor konsekvens ett enkelt sårbart knutepunkt kan ha selv i et land med relativt lavt totalvolum av hendelser. Rapporten inngår i en bredere kartlegging av 166 cyberangrep mot nordiske virksomheter som shattered.io tidligere har omtalt.
Bredere trusselbilde: sårbarheter i skyverktøy samme periode
ID-porten-angrepene skjedde samtidig med at europeiske sikkerhetsmiljøer varslet om aktiv utnyttelse av sårbarheter i verktøy som brukes til å drifte og forvalte skyinfrastruktur. CERT-EUs trusselbrief for august 2026 melder at trusselaktører aktivt utnytter CVE-2026-64849, en kritisk SSRF-sårbarhet (server-side request forgery) i MLflow, en åpen kildekode-plattform for AI-utvikling som brukes i mange europeiske skymiljøer, ifølge CERT-EUs Cyber Brief 26-09.
I samme periode ble det også varslet om en autentiseringsomgåelse i N-able N-central, et administrasjonsverktøy som mange driftspartnere bruker til å styre kundemiljøer, sporet som CVE-2026-18577. Sårbarheten lar en angriper uten gyldig pålogging overta administrative kontoer, og oppstod fordi en tidligere feilretting av CVE-2026-18556 ikke lukket alle utnyttelsesveier. Kombinasjonen av tre DDoS-bølger mot ID-porten og aktiv utnyttelse av sårbarheter i driftsverktøy andre steder i Europa samme sommer, tegner et bilde av et trusselbilde som i økende grad retter seg mot driftslaget bak skytjenester, ikke bare mot sluttbrukerapplikasjoner. Den internasjonale sikkerhetspressen har også plukket opp saken, med Infosecurity Magazines dekning av angrepet mot norske myndigheter som eksempel på at nordisk offentlig sektor nå regnes som et internasjonalt observert mål.
Konkurrentsammenligning: hvordan store skyleverandører håndterer samme trussel
Det finnes i dag flere kommersielle tjenester som er bygget spesifikt for å absorbere den typen angrep ID-porten har blitt utsatt for. Cloudflare, som allerede drifter datasenter nummer 75 i sitt globale nettverk i Oslo, tilbyr Anycast-basert DDoS-beskyttelse som standard for all trafikk gjennom nettverket. AWS Shield og Azure DDoS Protection tilbyr tilsvarende alltid-på beskyttelse for kunder som kjører arbeidslaster i de respektive skyene. Felles for disse tjenestene er at beskyttelsen er innebygd i kantlaget av nettverket, ikke lagt til som et eget prosjekt etter at en tjeneste allerede er lansert.
Forskjellen mellom en slik arkitektur og det som tilsynelatende har skjedd med ID-porten, er ikke nødvendigvis at Vivicta mangler beskyttelse helt, men at responsen så langt har vært reaktiv: tiltak innføres etter at et angrep er i gang, tjenesten stabiliseres, og så kommer et nytt og kraftigere angrep uker senere som finner nye svakheter. Med en global Anycast-arkitektur og dedikerte scrubbing-sentre er målet i stedet å absorbere spissbelastningen automatisk, uavhengig av om angrepet er det første eller det tredje i rekken. Til sammenligning har shattered.io tidligere dekket hvordan Cloudflare og Akamai deler markedet for CDN- og DDoS-beskyttelse med henholdsvis 24,7 og 0,7 prosent markedsandel.
Det er samtidig verdt å nevne at overgang til en global kommersiell CDN- og DDoS-leverandør for en nasjonal identitetsløsning reiser egne spørsmål om digital suverenitet, noe som har vært et sentralt tema i Norges satsing på egne skyløsninger, blant annet gjennom Telenor og Red Hats sovereign AI-satsing og de store datasenterinvesteringene i Narvik. En løsning som ID-porten må balansere behovet for skalerbar, lagdelt DDoS-beskyttelse mot kravet om at sensitive identitetsdata og trafikkmønstre for norske innbyggere ikke skal forlate norsk eller europeisk jurisdiksjon.
Historisk kontekst: ikke første gang nordisk skyinfrastruktur svikter
Nordiske brukere har sett lignende scenarioer før, om enn av en annen art. Danske skyverter har tidligere mistet kundedata permanent etter løsepengevirus-angrep mot delte datasentre, en hendelse som fortsatt brukes som skoleeksempel på hvorfor offline, uforanderlige sikkerhetskopier er avgjørende i skyarkitektur. ID-porten-sakene er ikke et datatap på samme måte, Digdir har konsekvent bekreftet at ingen personopplysninger er kompromittert i noen av de tre angrepene, men de deler et fellestrekk: begge typer hendelser oppstår når kritisk infrastruktur er avhengig av én driftspartner eller ett datasenter uten tilstrekkelig geografisk eller arkitektonisk redundans.
Norge har samtidig hatt gjentatte runder med skyavbrudd fra internasjonale leverandører i 2026, inkludert en periode i august med 33 tjenester nede fordelt på 13 hendelser på tvers av Google Cloud, Cloudflare og AWS samme måned. Det underbygger et bredere poeng: selv de største kommersielle skyplattformene med enorme investeringer i redundans opplever av og til utfall, men forskjellen ligger typisk i hvor raskt de gjenoppretter tjenesten og hvor godt de kommuniserer underveis, noe som også blir et sentralt vurderingskriterium for hvordan Digdirs håndtering av ID-porten-angrepene vurderes i ettertid.
Markedskonsekvenser: press for å investere i lagdelt beskyttelse
Tre angrep på tre måneder mot Norges mest brukte offentlige innloggingstjeneste skaper et politisk og økonomisk press for å prioritere investeringer i skysikkerhet på nasjonalt nivå. Norge har allerede store pågående investeringer i skyinfrastruktur, fra Telenor og Red Hats sovereign AI-satsing til de store datasenterprosjektene i Narvik, men ID-porten-sakene viser at det ikke er nok å bygge ny kapasitet dersom driftslaget for eksisterende, kritiske fellesløsninger ikke har samme modenhet.
For leverandører av DDoS-beskyttelse, CDN-tjenester og skysikkerhet betyr hendelsen trolig økt etterspørsel fra offentlig sektor i Norden. Kommuner, direktorater og statlige etater som har outsourcet drift til en enkelt partner uten flerlags nettverksbeskyttelse, vil trolig se på ID-porten-saken som et argument for å legge inn krav om Anycast-basert DDoS-beskyttelse, scrubbing-kapasitet og dokumenterte responstider i fremtidige driftsavtaler.
Fem spådommer: hva skjer videre med ID-porten og norsk offentlig sky
- Flere angrep før arkitekturen endres. Mønsteret med eskalerende angrep hver tredje til fjerde uke tyder på at Digdir og Vivicta trolig vil oppleve minst ett nytt forsøk i løpet av høsten 2026 før en mer permanent flerlags løsning er på plass.
- Krav om ekstern DDoS-beskyttelse i fremtidige driftsavtaler. Det er sannsynlig at Digdir vil stille tydeligere krav til Anycast-basert beskyttelse og dokumenterte responstider når driftsavtalen med Vivicta reforhandles eller lyses ut på nytt.
- Sterkere kobling mellom NIS2-rapportering og hendelser i offentlig sektor. Med NIS2 innført i norsk rett vil hendelser av denne typen trolig utløse tydeligere rapporteringsplikter og granskning av hvorfor samme sårbarhet ble utnyttet flere ganger på rad.
- Økt oppmerksomhet på alternative eID-er som reell backup. Digdirs anbefaling om å bruke alternative elektroniske ID-er under angrepene vil trolig formaliseres til en offisiell, teknisk understøttet failover-mekanisme i stedet for en manuell nødløsning.
- Debatt om digital suverenitet versus global skybeskyttelse. Diskusjonen om hvorvidt Norge bør bruke globale CDN- og DDoS-leverandører for nasjonal identitetsinfrastruktur, eller bygge tilsvarende kapasitet nasjonalt gjennom satsinger som den norske sovereign AI-utviklingen, vil trolig tilta i styrke gjennom høsten.
Hva bedrifter og IT-avdelinger bør lære av ID-porten-sakene
For virksomheter som selv drifter kritiske tjenester i skyen, illustrerer ID-porten-hendelsene flere praktiske lærdommer utover den konkrete saken. For det første bør enhver tjeneste som fungerer som felles autentiseringslag for mange andre systemer, ha egen, dedikert DDoS-beskyttelse på kantnivå, ikke bare generell nettverkskapasitet. For det andre bør det finnes en automatisert, ikke manuell, failover-vei for brukere når hovedinnloggingen er overbelastet. For det tredje bør driftsavtaler med eksterne partnere inneholde eksplisitte krav til responstid og eskaleringsplan for tjenestenektangrep, testet gjennom øvelser og ikke bare beskrevet på papir.
Det siste punktet er kanskje det viktigste. Digdirs kommunikasjon under alle tre angrepene har vært ryddig og rask til å avkrefte datainnbrudd, men gjentakelsen av samme sårbarhet tre ganger på rad tyder på at selve mottiltakene ikke har vært tilstrekkelig testet mot en angriper som lærer og justerer seg mellom hver runde. Det er en generell lærdom for alle som drifter skytjenester med offentlig, kritisk funksjon: å stoppe ett angrep er ikke det samme som å ha bygget et forsvar som holder mot det neste.
Ofte stilte spørsmål om ID-porten-angrepene
Hva er ID-porten, og hvorfor er den så viktig?
ID-porten er Norges felles innloggingsløsning for offentlige digitale tjenester, brukt av over 4,5 millioner mennesker til å logge inn med BankID og MinID på tjenester som Altinn, Helsenorge, skatteetaten og digital postkasse. Fordi så mange fellesløsninger deler samme autentiseringslag, får en nedetid i ID-porten umiddelbare ringvirkninger for titalls andre offentlige tjenester.
Hvor mange ganger har ID-porten vært utsatt for DDoS-angrep i 2026?
Minst tre ganger siden juni 2026: 3. august, 24.–26. august og 31. august, der det siste angrepet holdt tjenesten nede eller ustabil i om lag 64 timer, ifølge tilgjengelige rapporter om hendelsesforløpet.
Ble persondata eller innloggingsdata kompromittert i angrepene?
Nei. Digdir har etter alle tre angrepene bekreftet at det ikke er indikasjoner på sikkerhetsbrudd eller at personopplysninger har kommet på avveie. Angrepene har vært rettet mot tilgjengelighet, ikke mot å stjele eller endre data.
Hvem drifter ID-porten, og hvem har ansvaret for sikkerheten?
ID-porten driftes av Digdirs driftspartner Vivicta. Digdir har det overordnede ansvaret for løsningen og kommuniserer status under hendelser, mens den tekniske driften og de tekniske mottiltakene håndteres i samarbeid med Vivicta.
Hva kan innbyggere gjøre hvis ID-porten er nede?
Digdir har anbefalt å bruke alternative elektroniske ID-er der det er teknisk mulig, som en midlertidig løsning når ID-porten er overbelastet. Utover det er det få egentiltak innbyggere kan gjøre, siden problemet ligger i infrastrukturen som mottar innloggingsforespørslene, ikke hos den enkelte bruker.
Hvordan skiller DDoS-angrep seg fra datainnbrudd?
Et tjenestenektangrep (DDoS) har som mål å overbelaste en tjeneste med trafikk slik at den blir utilgjengelig for vanlige brukere. Et datainnbrudd handler derimot om å få uautorisert tilgang til data. De tre angrepene mot ID-porten har vært av den første typen, og har ikke ifølge Digdir ført til datainnbrudd.
Hvordan beskytter kommersielle skyleverandører seg mot lignende angrep?
Store skyleverandører som Cloudflare, AWS og Azure bruker Anycast-nettverk, dedikerte scrubbing-sentre, rate-limiting og automatisk failover for å absorbere angrepstrafikk nær kanten av nettverket, før den når applikasjonsserveren. Slike løsninger er innebygd som standard i infrastrukturen, i motsetning til å legges til reaktivt etter at et angrep allerede er i gang.
Kan flere norske offentlige tjenester rammes av lignende angrep fremover?
Ja, det er sannsynlig. Mønsteret med gjentatte, eskalerende angrep mot samme mål viser at trusselaktører aktivt tester og justerer seg mot norsk offentlig infrastruktur. Så lenge sentrale fellesløsninger som ID-porten forblir et attraktivt mål med stor samfunnsmessig påvirkning, må norske myndigheter regne med at flere angrep kan komme, og bygge beredskap deretter.
