De færreste firmatelefoner blir kompromittert av avansert hacking. De blir det fordi operativsystemet er for gammelt til å få sikkerhetsoppdateringer, fordi en ansatt tastet passordet sitt inn på en falsk innloggingsside, eller fordi enheten aldri var meldt inn i noe system som kunne sperre den da den forsvant. Det viktigste enkelttiltaket i 2026 er derfor ikke å kjøpe et sikkerhetsprodukt, men å slutte å bruke telefoner som ikke lenger får oppdateringer. Siden 20. juni 2025 har EU-regelverket krevd minst fem års sikkerhetsoppdateringer etter at en modell tas ut av markedet – og de beste produsentene gir sju.
Av redaksjonen i Firmatelefon.no. Vi har kontrollert oppdateringskravene mot forordning (EU) 2023/1670, produsentenes egne støtteoversikter hos Google og Samsung, Apples dokumentasjon av Beskyttelse av stjålet enhet, NSMs 13 råd for mobile enheter (oppdatert 22.04.2024) og Nkoms sider om digital svindel (oppdatert 30.01.2026) og 2G-avviklingen. Alle kilder er kontrollert 24.08.2026 og lenket inline i teksten.
Kort fortalt
- Sikkerhetsoppdateringer er tiltaket med best effekt per krone. Fra 20. juni 2025 krever EU minst fem år med oppdateringer etter at siste enhet av en modell er satt på markedet.
- Google gir sju år på Pixel 8 og nyere, fem år på Pixel 6 og 7. Samsung gir inntil sju år på utvalgte serier.
- Skjermlås er det som gjør kryptering reell. Uten skjermlås er en moderne telefon i praksis et ukryptert lager.
- NSM anbefaler 4G/5G framfor offentlig wifi, VPN administrert av virksomheten, og apper med minst mulig tilganger.
- Mobilkapring er angrepet mot nummeret, ikke telefonen. Får noen overtatt abonnementet, følger passordgjenoppretting og SMS-koder med.
- Tyveribeskyttelse må være slått på før noe skjer. Apples «Beskyttelse av stjålet enhet» virker bare når den er aktivert på forhånd, og fjernsletting må være testet før enheten forsvinner.
Hva som faktisk kompromitterer en firmatelefon
Angrepene følger fire spor. Det første er innloggingen, ikke telefonen: en ansatt får en melding som ser ut til å komme fra Microsoft, banken eller en kollega, og taster inn brukernavn og passord på en side som ser riktig ut. Da er ikke enheten tatt, men kontoen – og med Microsoft 365-kontoen følger e-post, filer, kalender og muligheten til å svindle videre i virksomhetens navn.
Det andre sporet er utdatert programvare, som samler opp kjente sårbarheter måned for måned. Det tredje er fysisk tap: en telefon som blir liggende igjen i en drosje er et databeskyttelsesproblem hvis den er ulåst, og et ubetydelig utstyrsproblem hvis den er låst, kryptert og kan fjernslettes. Forskjellen besluttes måneder i forveien. Det fjerde er appene – en app med tilgang til SMS, varsler og skjerminnhold kan lese engangskoder.
Legg merke til hva som ikke står på listen: målrettede angrep med ukjente sårbarheter. De finnes, men er dyre og forbeholdt mål med høy verdi. For de aller fleste norske virksomheter er trusselen billig, industriell og rettet mot mennesket bak skjermen.
Oppdateringer: hvor lenge produsentene faktisk leverer
Fra 20. juni 2025 gjelder forordning (EU) 2023/1670 om økodesignkrav til smarttelefoner og nettbrett. Produsenten skal gjøre sikkerhetsoppdateringer tilgjengelig gratis i minst fem år regnet fra datoen da siste enhet av modellen ble satt på markedet, og funksjonalitetsoppdateringer i samme periode.
Det er en gulvstandard, ikke et tak. Google oppgir i sin støtteoversikt for Pixel at Pixel 8 og nyere får sju år med OS- og sikkerhetsoppdateringer regnet fra lansering i Google Store i USA, mens Pixel 6- og 7-serien og den første Pixel Fold får fem år. Samsung skriver i sin oversikt over sikkerhetsoppdateringer at selskapet fra januar 2024 utvider støtten til inntil sju år for utvalgte modeller, og publiserer løpende hvilke modeller som får månedlige, kvartalsvise og halvårlige oppdateringer.
Kadensen er verdt å merke seg ved innkjøp. En mellomklassemodell kan ha lang formell støtteperiode, men kvartalsvis eller halvårlig leveranse. For roller med tilgang til betalingsløsninger, helseopplysninger eller taushetsbelagte kundedata bør dere velge månedlig syklus.
| Plattform | Oppgitt oppdateringsperiode | Utgangspunkt for perioden |
|---|---|---|
| Google Pixel 8 til og med Pixel 11-serien | 7 år, OS og sikkerhet | Fra modellen ble tilgjengelig i Google Store i USA |
| Google Pixel 6, 6a, 7, 7a, Pixel Fold (1. gen.) | 5 år, OS og sikkerhet | Fra modellen ble tilgjengelig i Google Store i USA |
| Samsung Galaxy, utvalgte serier | Inntil 7 år, levert månedlig, kvartalsvis eller halvårlig | Utvidet støtte annonsert januar 2024 |
| Alle smarttelefoner solgt i EØS | Minst 5 år sikkerhetsoppdateringer | Fra siste enhet av modellen ble satt på markedet |
Konsekvensen for innkjøp er enkel: levetiden i bedriften bør ikke settes lengre enn produsentens oppdateringsperiode. Kjøper dere en modell som har vært to år i markedet, har dere ikke sju år igjen – dere har det som gjenstår. Det er en av grunnene til at valget mellom kjøp og leasing av firmatelefoner ikke bare er et regnskapsspørsmål.
Skjermlås og kryptering: det ene forutsetter det andre
Moderne iPhone og Android krypterer lagringen som standard, men krypteringen har bare reell verdi når enheten er låst med en kode som ikke er triviell. NSMs 13 råd for mobile enheter, sist oppdatert 22.04.2024, åpner med nettopp dette: bruk biometri eller minst en sekssifret PIN-kode for å låse enheten og sensitive apper.
Fire innstillinger følger av samme prinsipp, og alle kan settes sentralt. Varsler bør ikke vise innhold på låst skjerm, siden en engangskode i klartekst gjør skjermlåsen delvis irrelevant. Automatisk låsing bør settes kort. SIM-PIN bør være aktiv, slik at et SIM-kort som flyttes til en annen telefon ikke uten videre kan motta bedriftens SMS-koder. NSM anbefaler dessuten å være oppmerksom på hvilket nett enheten bruker, og helst 5G. Og fjernsletting må være satt opp og testet i forkant – NSMs råd nummer 6 er å kryptere enheten og sette opp sletting av innhold før den forsvinner, ikke etterpå. Enheten kan i tillegg settes til å slette innholdet etter et gitt antall mislykkede kodeforsøk.
NSM legger til et poeng som er lett å overse: når koden må tastes på et offentlig sted, skal skjermen skjermes mot innsyn. Kameraovervåking er utbredt, og en kode som er observert én gang, er nok til å låse opp en stjålet telefon. Derfor bør biometri også kreves på nytt etter kort dødtid, ikke bare ved oppstart.
Når telefonen forsvinner: det som må være gjort på forhånd
Utfallet av et tyveri avgjøres av innstillinger satt måneder i forveien. Apple har lagt inn et eget lag for tilfellet der tyven har sett koden bli tastet inn. Med Beskyttelse av stjålet enhet kreves Face ID eller Touch ID uten mulighet for å falle tilbake på koden når enheten er utenfor kjente steder som hjem og arbeidsplass – blant annet for å hente lagrede passord og betalingskort, slå av Mistet-modus eller slette enheten. Enkelte endringer, som å bytte passord til Apple-kontoen, utløser i tillegg en times forsinkelse etterfulgt av ny biometrisk bekreftelse – tid eieren kan bruke til å merke enheten som mistet.
Forutsetningen er avgjørende: funksjonen må være slått på før enheten forsvinner, og krever tofaktorautentisering, kode, biometri, Finn-tjenesten og stedsdata. Den kan settes til alltid å kreve de ekstra trinnene, også på kjente steder – et fornuftig valg for roller med tilgang til betalingsløsninger. Slike innstillinger bør uansett plattform settes gjennom administrasjonsløsningen.
Resten er organisatorisk: hvem som varsles, hvor raskt SIM-kortet sperres, hvem som utløser fjernsletting og hvem som vurderer om hendelsen skal meldes videre. Rekkefølgen står i rutinen ved mistet eller stjålet firmatelefon.
Offentlig wifi, VPN og nettverk du ikke kjenner
NSM formulerer rådet tydelig: bruk bare kjente nettverk, og foretrekk 4G eller 5G framfor offentlig wifi. Grunnen er ikke først og fremst avlytting – nesten all trafikk er kryptert i transport – men at et nettverk du ikke kontrollerer kan manipulere navneoppslag og vise falske innloggingsportaler. Slå også av automatisk tilkobling til nettverk utenfor jobb og hjem.
NSM anbefaler i tillegg VPN for all nettverkstrafikk, fra en anerkjent leverandør og helst administrert av virksomhetens IT-organisasjon. Det siste er poenget: en gratis VPN-app den ansatte har lastet ned selv, flytter tilliten fra et kafénett til en leverandør ingen har vurdert. Har virksomheten ikke et VPN, er mobildata et bedre valg enn et tilfeldig trådløst nett.
For ansatte som reiser mye er dette også et kostnadsspørsmål. Hva som er inkludert av data i og utenfor EØS, har vi gjennomgått i guiden om roaming for bedrifter, og hvordan forbruket følges opp, i artikkelen om kostnadskontroll på mobil i bedriften.
To fysiske råd hører til samme kapittel. NSM fraråder ukjent tilleggsutstyr – minnepenner, ladere, kabler – og offentlige USB-kontakter på fly, tog og hoteller, fordi skadevare også kan installeres over kabel. Og blåtann bør bare kobles mot enheter man stoler på: en tilkobling til underholdningssystemet i en leiebil kan overføre kontakter og anropslogg til bilens datamaskin, og de dataene er vanskelige å fjerne igjen.
Apper og tilganger
To av NSMs råd handler om apper: installer bare nødvendige apper fra offisielle appbutikker, og gi dem minimalt med tilganger. Tre tilganger fortjener spesiell oppmerksomhet på en firmatelefon.
SMS-tilgang er den mest kritiske, fordi den lar appen lese engangskoder. Tilgjengelighetstjenester på Android er den nest mest kritiske, fordi de lar appen lese og styre skjermbildet i andre apper – legitimt for skjermlesere, svært kraftig for skadevare. Posisjon er den tredje, og her kommer personvernreglene inn: kontinuerlig posisjonssporing av ansatte er et kontrolltiltak, ikke en teknisk detalj. Grensene er gjennomgått i artikkelen om GDPR og ansattes mobil.
Et fjerde punkt gjelder sikkerhetskopiering. NSM peker på at kopiering til sky er god beskyttelse mot tap, men øker risikoen dersom virksomhetsdata havner i tjenester utenfor virksomhetens kontroll – typisk når kameraet brukes til jobb og bildene lastes opp til den ansattes private konto. NSMs siste råd, nummer 13, er å skille mellom jobb og privatliv ved å bruke dedikerte apper for arbeidsoppgaver. Det er i realiteten en anbefaling om arbeidsprofil eller administrerte apper – teknologien som beskrives nærmere i guiden om BYOD i Norge.
Hva MDM løser – og hva det ikke løser
En administrasjonsløsning (MDM) gjør tiltakene over til noe som faktisk gjelder alle enheter, ikke bare de ansatte som husker det. Men MDM er ikke et sikkerhetsprodukt i seg selv.
| MDM løser | MDM løser ikke |
|---|---|
| Tvungen skjermlås, kodekrav og kryptering på alle enheter | At en ansatt taster passordet sitt på en falsk innloggingsside |
| Minimumskrav til OS-versjon og blokkering av enheter som ligger for langt bak | At produsenten har sluttet å levere oppdateringer til modellen |
| Sperring og fjernsletting av jobbdata eller hele enheten | Sletting av data som allerede er kopiert ut av enheten |
| Oversikt over hvilke enheter som finnes og hvem som har dem | SIM-kortet – det må sperres hos operatøren |
| Skille mellom jobbprofil og privat profil på samme enhet | Innsyn i private meldinger og bilder, som uansett er rettslig begrenset |
Det siste punktet er den vanligste misforståelsen. En riktig satt opp MDM gir ikke arbeidsgiver et vindu inn i den ansattes private liv: Microsoft skiller mellom bedriftseide enheter, der administrator styrer hele enheten, og personlig eide enheter med arbeidsprofil, der styringen er avgrenset til profilen. Plattformene er gjennomgått i guiden til mobiladministrasjon av firmatelefoner.
Phishing via SMS: hvorfor mobil er det svakeste punktet
Nkom beskriver smishing som svindel der angriperen forsøker å lure fram sensitiv informasjon over SMS, og oppgir at ni av ti nordmenn har vært utsatt for forsøk på digital svindel. Mobil er en gunstig angrepsflate: skjermen skjuler avsenderadresser og lenkemål, meldingen leses ofte i farta, og SMS oppleves som mer personlig enn e-post.
Kanalene er flere enn SMS. Vishing er samme angrep over telefon, der noen utgir seg for å ringe fra banken eller en offentlig etat. Quishing bruker QR-koder, og fungerer fordi mottakeren ikke kan se hvor koden fører før den er skannet; Nkom advarer særlig mot QR-koder i uventede meldinger og fysiske oppslag. Wangiri er ett ring og kutt fra et høykostnummer, der målet er at mottakeren ringer tilbake. Nkoms huskeregel er kort: stopp, tenk, sjekk – og be om å få ringe tilbake gjennom et nummer du selv har funnet.
Motmidlene er velkjente, men må være innført og ikke bare kjent. Flerfaktorautentisering på alle jobbkontoer stopper de aller fleste kontoovertakelsene selv om passordet lekker, og autentiseringsapp eller passnøkkel er bedre enn SMS-kode. Og terskelen for å melde fra må være lav: den som varsler om en mistenkelig melding, skal møtes med takk.
Mobilkapring: angrepet retter seg mot nummeret
Den mest undervurderte trusselen mot en bedriftsflåte rammer ikke selve telefonen. Nkom definerer mobilkapring som at uvedkommende får opprettet et abonnement i ditt navn, ved nyetablering eller portering, og peker på konsekvensen: nummeret er knyttet til en rekke tjenester og brukes blant annet til å gjenopprette passord. Kapring kan dermed gi kontroll over kontoer med mye personlig informasjon, og tilgang til tofaktorautentisering. Norske tilbydere er underlagt strenge identifiseringskrav for å hindre det, men kravene fjerner ikke risikoen for den enkelte virksomhet.
Fire tiltak reduserer eksponeringen, og alle er gratis. Flytt tofaktorautentisering bort fra SMS der tjenesten støtter autentiseringsapp eller passnøkkel; da har et kapret nummer langt mindre verdi. Aktiver SIM-PIN, slik at et SIM-kort som flyttes over i en annen telefon ikke uten videre kan motta bedriftens meldinger. Avklar med operatøren hvem som har fullmakt til å bestille nytt SIM-kort, portere numre eller endre abonnement på bedriftsavtalen, og begrens fullmakten til navngitte personer. Og behandle uventet tap av dekning som en hendelse: forsvinner nettet på en jobbtelefon uten forklaring, kan nummeret være flyttet til et annet SIM-kort.
Beslektet er nummerforfalskning. Telenor opplyser at spoofing utgjør rundt halvparten av alle svindelanrop i Norge, og at operatørenes felles filter i innføringsfasen blokkerte mellom 200 000 og 250 000 unike forfalskede numre i døgnet, med topper på rundt 500 anrop i sekundet. Filteret beskytter også bedrifter mot å få sitt eget nummer misbrukt, men er ikke et forsvar virksomheten kan basere seg på alene. Hvordan angrepene er bygd opp, står i artikkelen om mobilsvindel mot bedrifter.
Hvor mye sikkerhet trenger dere?
Nivået bør stå i forhold til hva som ligger på telefonene, ikke til antall ansatte. Likevel finnes det praktiske terskler.
| Situasjon | Minimumsnivå | Hva som utløser mer |
|---|---|---|
| 1–5 ansatte, jobb-e-post og kalender som eneste bedriftsdata | Skjermlås, automatiske oppdateringer, MFA på alle kontoer, nedskrevet rutine for tap | Kundedata på enheten, betalingsfullmakt, taushetsbelagt informasjon |
| 5–25 ansatte med kundedata i mobile apper | Som over, pluss MDM med tvungne krav, appadministrasjon og fjernsletting | Helseopplysninger, personopplysninger i stor skala, flere lokasjoner |
| 25+ ansatte, eller sensitive opplysninger i noen rolle | MDM med betinget tilgang, styrt VPN, krav til OS-versjon, dokumentert offboarding | Regulatoriske krav i bransjen, kunder som stiller sikkerhetskrav i avtale |
For bransjer med særlige krav har vi gått nærmere inn på behovene i egne artikler, blant annet for helse og omsorg og advokat- og regnskapsvirksomheter. Hvem som bør ha firmaeid telefon, er behandlet i artikkelen om firmatelefon til ansatte.
Ofte stilte spørsmål
Er iPhone tryggere enn Android for bedrifter?
Begge har solid sikkerhetsarkitektur. Forskjellen ligger i hvor lenge modellen får oppdateringer, og i hvor godt enhetene er styrt – en oppdatert Android under MDM er tryggere enn en gammel, ustyrt iPhone. Plattformene er sammenlignet i artikkelen om iPhone mot Android i bedrift.
Hvor lenge kan vi bruke en firmatelefon før den bør byttes?
Sett utskiftingsintervallet etter produsentens oppdateringsperiode, ikke etter batterikapasiteten. EU-kravet er minst fem år etter at modellen tas ut av markedet, og Google og Samsung oppgir sju år på sine nyeste toppmodeller. Kontroller den konkrete modellens sluttdato hos produsenten før innkjøp.
Trenger vi MDM når vi bare er fem ansatte?
Ikke nødvendigvis, hvis den eneste bedriftsdataen er e-post og kalender og alle kontoer har flerfaktorautentisering. Så snart kundedata, betalingsfullmakter eller taushetsbelagt informasjon er i bildet, blir MDM det praktiske svaret – både på sikkerhet og på dokumentasjonskravet.
Hva betyr 2G-stengingen for oss?
For vanlige mobiltelefoner lite. For alarmer, sporingsenheter, heiser, betalingsterminaler og eldre M2M-utstyr kan det bety at utstyret slutter å fungere. Nkom opplyser i veiledningen om at 2G-nettet stenger at Telia stengte sitt nett i 2025 og at Telenor stenger 31. desember 2027. Kontroller at SIM-kort, enheter og VoLTE-støtte er på plass – og at løsningen faktisk er konfigurert for 4G eller 5G.
Hva gjør vi hvis en ansatt har tastet passordet sitt på en falsk side?
Tilbakestill passordet umiddelbart, logg ut alle aktive økter, kontroller om det er opprettet videresendingsregler i e-postkontoen, og varsle IT-ansvarlig. Er kortopplysninger eller BankID involvert, kontakt banken samme time – se rutinen ved mistet eller stjålet firmatelefon.
Hva er mobilkapring, og hvordan stopper vi det?
Uvedkommende får opprettet abonnement eller portert nummeret i noens navn, og overtar dermed SMS-koder og passordgjenoppretting. Flytt tofaktor bort fra SMS der det er mulig, slå på SIM-PIN, begrens hvem som kan bestille SIM-bytte på bedriftsavtalen, og behandle uventet tap av dekning som en hendelse.
Er det trygt å lade telefonen på flyplassen?
NSM fraråder både ukjent tilleggsutstyr og offentlige USB-kontakter, fordi skadevare også kan installeres over kabel. Bruk egen lader mot stikkontakt, eller et powerbank-alternativ.
Les også: Mobiladministrasjon (MDM) av firmatelefoner · GDPR og ansattes mobil · Mistet eller stjålet firmatelefon · Mobilsvindel mot bedrifter · Telefonpolicy for ansatte · BYOD i Norge · Robust telefon til bedrift · Forsikring av firmatelefoner