ROS — Risiko- og Sårbarhetsanalyse · NS 5814

# M365 Copilot Enterprise — Lier kommune

ID `ROS-2026-LIER-COPILOT-01` Brukerantall 1 850 Sektor Kommune (~28 000) Sist oppdatert 1. mai 2026
GO med betingelser

## Organisasjonsprofil

Vi tilpasser ROS-malen til virksomheten din. Felter merket med skarpere ramme er obligatoriske for å sende inn til Datatilsynet.

Virksomhet Etat, kommune eller foretak
Antall ansattePåvirker brukerbase i scenarioer
Sektor
Kommune Fylkeskommune Statlig etat Helseforetak Statlig foretak
Eksisterende lisenserBrukes til å vurdere kapabilitetsmatrise
M365 E3 M365 E5 Purview Defender for Cloud Apps Cloud for Sovereignty
Lier har ikke aktivert Microsoft Cloud for Sovereignty. Vi vurderer Schrems II-eksponering som forhøyet inntil dette er på plass.
Identifiserte trusler
49
Av 64 i kanonisk katalog
Kritiske (rød sone)
7
Score 15–25 før tiltak
Mitigeringer planlagt
31
Reduserer 22 trusler
Restrisiko etter tiltak
2
Krever GO-betingelser

## 5×5 Risikomatrise

49 trusler plassert etter sannsynlighet × konsekvens. Klikk en celle for å se trusler.

Konsekvens
Sannsynlighet →
Lav (1–8) Middels (9–12) Høy (15–16) Kritisk (20–25)

### Dimensjons-radar

7 NS 5814-akser, vektet etter dataresidens og brukerantall.

Nåværende risiko
Etter mitigeringer

## Topp 5 risikoer

Sortert etter score før tiltak. Pil viser endring etter mitigering.

GO med betingelser

## Anbefaling

Utrullingen kan gå videre forutsatt at fire kontroller er på plass før første pilotgruppe får tilgang. To av de syv kritiske truslene har restrisiko som krever oppfølging på tertialvis nivå.

#### Betingelser

1. Sensitivity Labels aktivert på alle SharePoint-områder med personopplysninger (M-001).
2. EU Data Boundary bekreftet før første prompt (M-003).
3. Endpoint DLP rullet ut til alle 1 850 ansatte (M-002).
4. Tertialvis evaluering av T-007 og T-019 i sikkerhetsforum.

## Rammeverk-dekning

Hvilke krav ROS-en hjemler. Klikk for detaljer.

NS 5814:2021
Dekket — 7/7 dimensjoner
GDPR Art. 35
Krever DPIA — utløst
EU AI Act
Begrenset risiko (Art. 50)
Digitaliseringsdir.
Veileder fulgt

##