Virksomheten din har akkurat overlevd et løsepengeangrep. Kundedata er kryptert, omdømmet ditt er under press, og nedetid koster penger. Du ringer en sikkerhetskontakt du kjenner, og får høre: «Folkens, jeg er fullbooket tre måneder frem i tid.»

Mer: Duda Development Services.

Etterspørselen etter cybersikkerhetsfolk overstiger tilbudet med god margin. Ifølge ISC2-studien for 2024 nådde det globale gapet mellom arbeidsstyrkebehov og faktisk antall ansatte 4,8 millioner mennesker, 19% mer enn året før. Dette er et strukturelt skifte i arbeidsmarkedet, ikke en midlertidig mangel.

Vi har samlet de ferskeste tallene, de virkelige årsakene bak talenttørken, og strategier som hjelper selskaper med å sikre seg sterke sikkerhetsfolk selv i en hard konkurranse om talentene.

💡 Hurtigoversikt:

• Globalt gap i cybersikkerhetsarbeidsstyrken: 4,8 millioner fagfolk, og gapet fortsetter å vokse.
• Viktigste ansettelsesbarrierer: mangel på budsjett, lang tid fra utlysning til ansettelse, og hard konkurranse med teknologiselskaper.
• Hva som virker: hybrid arbeidsform, intern opplæring, revurdering av kandidatkrav, og innbygging av sikkerhet i tilstøtende IT-roller.
• Fremtidsutsikter: KI overtar førstelinjeoppgaver, men etterspørselen etter arkitekter, skysikkerhetsfolk og KI-sikkerhetsingeniører bare øker.

Hvorfor cybersikkerhet ble en kritisk forretningsverdi

Digitalisering spiser seg inn i den ene bransjen etter den andre. Finans, detaljhandel, helsevesen, logistikk drives av programvare, skyer og API-er. Hvert nytt digitalt inngangspunkt er en potensiell angrepsvektor. Phishing, løsepengevirus, angrep på leverandørkjeder, trusselaktører jobber raskere og mer kreativt enn for fem år siden.

Samtidig strammes det regulatoriske grepet til. GDPR i Europa, lignende lover i dusinvis av jurisdiksjoner, bransjestandarder som PCI DSS krever at virksomheter ikke bare «installerer et antivirus», men bygger et fullverdig forsvarssystem. En bot for brudd på personopplysninger kan sammenlignes med en forretningsenhets årsomsetning.

Konklusjonen: cybersikkerhet er ikke lenger domenet til en systemadministrator i serverrommet. Det er en funksjon på styrenivå som direkte påvirker et selskaps overlevelsesevne.

Omfanget av mangelen: tall og reelle risikoer

Ifølge ISC2 Cybersecurity Workforce Study for 2024 er den aktive globale cybersikkerhetsarbeidsstyrken på 5,5 millioner mennesker, mens behovet overstiger 10 millioner. Gapet på 4,8 millioner er ikke en abstraksjon: hver ubesatte stilling betyr ukontrollerte logger, tapte varsler og forsinket hendelseshåndtering.

ISACA-studien for 2025, som undersøkte nesten 4000 fagfolk, viste: 55% av teamene er underbemannet, og 65% av organisasjonene har ubesatte stillinger. Samtidig rapporterte 38% av respondentene at ansettelser selv for stillinger på inngangsnivå tar tre til seks måneder.

World Economic Forum registrerte i Global Cybersecurity Outlook 2025: bare 14% av organisasjonene har det nødvendige antallet kvalifiserte fagfolk. De resterende 86% jobber med det de har, under forhold der annenhver virksomhet opplevde en hendelse på grunn av manglende kompetanse i sikkerhetsteamet.

Hvorfor selskaper taper kampen om talentene

Det er flere årsaker, og budsjett er bare én av dem. Ifølge ISC2 gikk «mangel på budsjett» for første gang forbi «mangel på kvalifiserte kandidater» som hovedårsak til mangelen på arbeidskraft. 33% av organisasjonene har ikke råd til markedslønn for sikkerhetsfolk, og 29% kan ikke finansiere det nødvendige antallet stillinger.

Et annet problem er konkurransen om talentene. Spesialiserte teknologiselskaper og internasjonale konsern tilbyr lønninger og betingelser som mellomstore bedrifter ikke kan matche. Median årslønn for en informasjonssikkerhetsanalytiker i USA, ifølge Bureau of Labor Statistics for mai 2024, er 124 910 dollar, nesten tre ganger medianen for alle yrker. Den 90. persentilen overstiger 186 000 dollar.

Den tredje faktoren er oppblåste ansettelseskrav. Selskaper ser etter en «enhjørning»: en som kan kjøre penetrasjonstester, kan skyarkitektur og lede et team på fem. Det finnes bare en håndfull slike folk på markedet. En mer pragmatisk tilnærming, å ansette for spesifikke domener og bygge kompetanse internt, brukes fortsatt av få.

Hvordan cybersikkerhet siver inn i tilstøtende IT-roller

En trend de siste to årene: sikkerhetskrav i stillingsannonser som tidligere ikke hadde noe overlapp med det. En SharePoint-utvikler, en integrasjonsingeniør, en DevOps-spesialist, alle trenger nå et grunnleggende sikkerhetsnivå.

Ta rollen som SharePoint Developer Job Description: en moderne mal for denne stillingen inkluderer kunnskap om databeskyttelsesprinsipper og tilgangsstyring. SharePoint-plattformen er mye brukt til å lagre sensitiv bedriftsinformasjon, fra finansrapporter til HR-dokumenter. Virksomheter vil være sikre på at utvikleren som konfigurerer disse systemene forstår hvordan tillatelser, kryptering og tilgangsrevisjon fungerer.

En lignende historie gjelder webutvikling. Digitale plattformer er under konstant angrepspress, fra DDoS til utnyttelse av sårbarheter i programtillegg. Å integrere beskyttelse i utviklingsfasen, ikke i etterkant, har blitt en standard for leverandører og byråer.

Mer om «SharePoint Developer Job Description» finnes på lenken.

Poenget er at etterspørselen etter sikkerhetskompetanse vokser ikke bare gjennom dedikerte stillinger. Den sprer seg over hele IT-organisasjonen, noe som forsterker den totale mangelen.

Strategier: hvordan finne og beholde sikkerhetsfolk akkurat nå

Den gode nyheten: selv med dagens ubalanse kan selskaper vinne kampen om talentene. Her er hva som virker.

Invester i opplæring, ikke bare ansettelser. Partnerskap med universiteter, sponsing av sertifiseringer (CISSP, CEH, CompTIA Security+) og internship-programmer gir en pipeline av kandidater som er lojale spesifikt mot din bedrift. Ifølge ISC2 bemerker 95% av organisasjonene mangel på minst én ferdighet i teamet sitt, og 59% rapporterer om kritiske eller betydelige hull. Intern opplæring lukker disse hullene raskere enn å søke etter en ferdig spesialist.

Tilby fleksibel arbeidsform. Hjemmekontor og hybridløsninger har blitt et must for IT-folk. Selskaper som insisterer på fem dager på kontoret, kutter bort en betydelig andel potensielle kandidater allerede ved CV-screeningen. For en sikkerhetsproff som overvåker logger fra hvor som helst i verden, er fysisk tilstedeværelse sjelden en operasjonell nødvendighet.

Dyrk frem sikkerhetsfolk internt. En DevOps-ingeniør som ønsker å gå dypere inn i skysikkerhet, eller en systemadministrator med interesse for hendelseshåndtering, er klare kandidater for reskolering. De kjenner allerede infrastrukturen din. Det eneste som gjenstår er å gi dem tid til opplæring, et budsjett for sertifisering og en mentor blant det nåværende sikkerhetspersonalet.

Hvor markedet er på vei: KI, automatisering og nye roller

Fremtiden for arbeidsmarkedet innen cybersikkerhet formes av tre krefter.

For det første, kunstig intelligens. Gartner spår at innen 2028 vil mer enn 50% av førstelinjeoppgavene til SOC-analytikere utføres av KI. Ifølge Splunk State of Security 2025 planlegger 33% av teamene å tette hull i arbeidsstyrken med KI og automatisering. Etterspørselen skifter fra varseloperatører til KI-sikkerhetsingeniører som designer og overvåker disse systemene.

For det andre, utbrenthet som en operasjonell risiko. Sophos for 2025 registrerte et tap på 4,8 arbeidstimer per uke per spesialist på grunn av utbrenthet (en økning på over 25% fra året før). 63% av CISO-er, ifølge Proofpoint, har personlig opplevd utbrenthet eller observert det i teamet sitt. Selskaper som ignorerer dette problemet, mister folk raskere enn de ansetter nye.

For det tredje, etterspørselsvekst det neste tiåret. US Bureau of Labor Statistics anslår en økning på 29 prosent i antall stillinger som informasjonssikkerhetsanalytiker fra 2024 til 2034, mye raskere enn gjennomsnittet for alle yrker. Om lag 16 000 åpne stillinger årlig bare i USA.

⁉️🤔 Vanlige spørsmål

Hvorfor er det så få cybersikkerhetsfolk?

Hovedårsaken er hastigheten på etterspørselsveksten. Trusler formerer seg raskere enn universiteter uteksaminerer ferdig utdannede spesialister. En høy inngangsbarriere: en nykommer forventes å forstå nettverk, operativsystemer, skyer og regulatoriske krav, et sett som krever årevis med praksis.

Mangelen forverres av at 33% av organisasjonene mangler budsjett til markedslønn for sikkerhet, ifølge 2024 ISC2-data. Samtidig holder 65% av selskapene stillinger ubesatt i månedsvis. Markedet er overopphetet på begge sider: arbeidsgivere finner ikke folk, kandidater ser ikke tilstrekkelige tilbud fra ikke-monopolister.

Hvilke sertifiseringer hjelper faktisk ved ansettelse?

Arbeidsgivere verdsetter praksisorienterte sertifiseringer: CISSP for arkitekter og ledere, CEH og OSCP for penetrasjonstestere, CompTIA Security+ for nybegynnere. Ifølge Fortinet Skills Gap Report 2025 foretrekker 89% av ansettelsesansvarlige sertifiserte kandidater. Men et sertifikat uten reell erfaring er bare en linje på en CV.

Sertifiseringer fungerer som et filter på screeningsstadiet, ikke som en erstatning for praksis. Den beste strategien er å kombinere: én eller to anerkjente sertifiseringer pluss laboratoriearbeid, CTF-konkurranser eller bidrag til åpen kildekode som du kan vise frem på et intervju.

Kan man dyrke frem en sikkerhetsproff internt i selskapet?

Ja, og dette er en av de mest effektive tilnærmingene gitt dagens mangel. En systemadministrator, nettverksingeniør eller DevOps-spesialist med interesse for sikkerhet er en klar kandidat for reskolering. Tre ting trengs: betalt tid til opplæring, et budsjett for sertifisering og en mentor fra det nåværende infosec-teamet.

Etter vår erfaring når en intern kandidat produktivitet i en junior sikkerhetsrolle i løpet av 6-12 måneder.

Hvordan kan små og mellomstore bedrifter konkurrere om talentene med store konsern?

Ikke konkurrer direkte på lønn, men spill på andre arenaer. Fleksibel arbeidstid og full hjemmekontorløsning, en standard for små selskaper, som store konsern ofte ikke kan tilby på grunn av compliance-krav. Et bredt spekter av oppgaver i stedet for smal spesialisering tiltrekker dem som ønsker rask vekst. Pluss overskuddsdeling eller aksjeopsjoner i en oppstartsbedrift.

Praksis viser: en sikkerhetsproff som alene bygger forsvar for et selskap med 50 ansatte, har om to år en portefølje som kan sammenlignes med en konsernspesialist med dobbelt så lang ansiennitet. For mange veier dette opp for forskjellen i grunnlønn. Hovedsaken er å ikke spare på verktøy: et kuttet sikkerhetsbudsjett demotiverer raskere enn en lønn under markedsnivå.

Vil KI erstatte cybersikkerhetsfolk?

Det vil ikke erstatte dem, men det vil endre rolledynamikken. KI vil dekke rutinemessige førstelinjeoppgaver: varseltriage, innledende logganalyse, beriking av hendelser med kontekst. Gartner spår at innen 2028 vil mer enn halvparten av slike oppgaver være automatisert. Etterspørselen etter sikkerhetsarkitekter, skyingeniører og KI-sikkerhetsspesialister vil bare øke.

Risikoen er ikke at KI vil ta jobber fra sikkerhetsfolk, men at selskaper som kutter junioransettelser vil stå uten seniorer om 3-5 år. Den riktige strategien er å redesigne roller på inngangsnivå for KI-forsterket arbeid (trusseljakt med KI-hint, automatisert etterforskning), ikke å eliminere dem.

Hva man bør gjøre med talentmangelen innen cybersikkerhet: konklusjonen

Arbeidsmarkedet for cybersikkerhet vil forbli overopphetet frem til slutten av tiåret, dette er konsensus fra ISC2, ISACA og WEF. Selskaper som vinner dette kappløpet, gjør tre ting samtidig.

De slutter å lete etter «enhjørninger» og begynner å dyrke frem sikkerhetsfolk internt. En systemadministrator som er villig til å lære, er mer verdifull enn en kandidat med fem sertifiseringer som ikke er på markedet. For det andre aksepterer de fleksibel arbeidsform som en selvfølge. Og for det tredje bygger de sikkerhetskrav inn i hver eneste IT-rolle, fra en SharePoint-utvikler til en skyarkitekt.

Hvis du ser etter en sikkerhetsproff akkurat nå, start med en revisjon av kravene i stillingsannonsen din. Fjern tre valgfrie punkter, legg til et budsjett for sertifisering, og vis at dere løser reelle problemer, ikke skriver rapporter for skuffen. Forskjellen i tid fra utlysning til ansettelse vil overraske deg.