NBS 1 Sikring av regnskapsmateriale
Reglene om sikring av regnskapsmateriale
Det er et grunnleggende bokføringsprinsipp at regnskapsmaterialet skal sikres på en forsvarlig måte mot urettmessig endring, sletting eller tap, jf. bokføringsloven § 4 nr. 9. Prinsippet gjentas og utdypes i bokføringsloven § 13 tredje og fjerde ledd:
«Oppbevaringspliktig regnskapsmateriale skal oppbevares ordnet og være betryggende sikret mot ødeleggelse, tap og endring. Regnskapsmaterialet skal kunne fremlegges for offentlig kontrollmyndighet i hele oppbevaringstiden i en form som muliggjør etterkontroll.
Regnskapsmaterialet skal være tilgjengelig i lesbar form og skal kunne skrives ut på papir i hele oppbevaringsperioden.»
Nærmere bestemmelser finnes i bokføringsforskriften § 7-1, § 7-2 og § 7-6. Disse lov- og forskriftskravene utfylles av NBS 1 Sikring av regnskapsmateriale.
Definisjoner av begreper
NBS 1 har fått definisjoner av noen sentrale begreper som benyttes i standarden, i tillegg til de felles definisjonene som er nevnt innledningsvis i artikkelen. Definisjonene i punkt 3 knytter seg til bruk av teknologi i oppbevaringen og sikringen av regnskapsmaterialet:
- Oppbevaringsløsning: System bestående av en eller flere komponenter som benyttes til oppbevaring av regnskapsmateriale som skal sikres i samsvar med NBS 1, enten som en integrert del av regnskapssystemet eller som en selvstendig løsning.
- Skyløsning: En oppbevaringsløsning der det ikke er nødvendig å laste ned eller installere programvare, men der løsningen kan benyttes direkte på internett
- Multisky-løsning: Å benytte skyløsninger fra mer enn én leverandør i den samlede oppbevaringsløsningen.
- Blokkjedeteknologi (blockchain): En måte å lagre data på i en digital journal som er spredt over mange datamaskiner, der hver «blokk» i «kjeden» inneholder en rekke godkjente transaksjoner, koblet sammen gjennom bruk av kryptografiske elementer (hash). Hver gang en ny transaksjon utføres, registreres den på hver brukers kopi av journalen, noe som gjør det nesten umulig å endre tidligere poster uten at alle kopier endres samtidig.
- ASP (Application Service Provider): Aktør som tilbyr digitale tjenester, for eksempel regnskapssystem og oppbevaringsløsning, samlet via internett på servere som ASP-leverandøren kontrollerer. Brukeren får tilgang til flere tjenester via ASP-innloggingen, i motsetning til skyløsninger der brukeren går til de enkelte leverandørenes websider.
- Logisk tilgang: Tilgang til elektronisk regnskapsmateriale gjennom et nettverk, herunder over internett, uten at vedkommende nødvendigvis har fysisk tilgang til oppbevaringsmediet.
- Logisk sikring: Teknologibaserte tilgangskontroller til elektronisk regnskapsmateriale, normalt gjennom tilgangskontroller som styres av brukeridentifikasjon og tilhørende passord, eventuelt kombinert med biometriske kontroller og multifaktorautentisering.
Noen presiseringer
Det har aldri vært tvil om at regnskapsmateriale som kreves oppbevart etter god bokføringsskikk, også kreves sikret i samsvar med NBS 1. I tidligere versjoner har imidlertid ikke dette kravet fremgått uttrykkelig av standarden. En slik presisering er derfor tatt inn i punkt 4.
På samme måte har det aldri vært usikkerhet knyttet til at det kun kreves sikring mot urettmessig endring, sletting, tap og ødeleggelse av oppbevaringspliktig regnskapsmateriale. For eksempel er sletting eller makulering etter utløpet av oppbevaringstiden, selvsagt helt uproblematisk. Nå er også dette tydelig presisert gjennom hele standarden.
Mulighetene til å produsere pliktig regnskapsrapportering og spesifikasjoner, og mulighetene til å kunne kontrollere bokføringen, svekkes normalt ikke ved at uautoriserte personer får innsyn i regnskapsmaterialet. Sikring av konfidensialitet er derfor ikke et formål etter NBS 1. Begrunnelsen for dette er nå utdypet i standardens punkt 5. Standarden minner imidlertid fortsatt om at andre regelverk kan inneholde krav til konfidensialitet knyttet til opplysninger i regnskapsmaterialet, for eksempel personopplysningsloven.
Teknologiens betydning for risikovurderingen
Ved elektronisk oppbevaring av regnskapsmateriale skal det, som før, gjennomføres en risikovurdering. Risikovurderingen skal bestå av en oversikt over uønskete hendelser som truer regnskapsmaterialets tilgjengelighet og integritet, med beskrivelse av sannsynligheten for og konsekvensene av at hendelsene inntreffer. I tillegg skal risikovurderingen beskrive iverksatte tiltak for å redusere risikoen til et akseptabelt nivå. Dette utgangspunktet er ikke endret.
Standarden har imidlertid blitt tydeligere på at risikovurderingen må ta høyde for den underliggende teknologien, med følgende eksempler i punkt 7.1:
- En multisky-løsning kan være risikoreduserende fordi regnskapsmaterialet er spredt på flere løsninger (mindre sårbart), men kan også være risikoøkende fordi det kan være uklart for den bokføringspliktige hvor oppbevaringsstedet er for de enkelte skyløsningene.
- Bruk av standardiserte oppbevaringsløsninger som er anerkjente i markedet, har ofte en lavere risiko enn bruk av egenutviklede løsninger eller løsninger med liten utbredelse.
- Oppbevaring på blokkjedeteknologi kan styrke integriteten til regnskapsmaterialet, med lavere risiko for manipulering av innholdet.
- Bruk av systemer for logging av endringer i regnskapsmaterialet kan være et risikoreduserende tiltak.
- Risiko for tap av regnskapsmateriale kan oppstå som en effekt av trussel om cyberangrep. Løsepengevirus kan gjøre regnskapsmateriale utilgjengelig, herunder kanskje også sikkerhetskopien. Rutiner og verktøy for å hindre cyberangrep er risikoreduserende tiltak.
- Hacking av IT-løsninger kan medføre endring i, ødeleggelse eller tap av regnskapsmateriale, både for originaler og sikkerhetskopier. Sikkerhetsløsninger mot hacking og atskilte sikkerhetskopier er risikoreduserende tiltak.

Bokføringspliktige skal gjennomføre en risikovurdering knyttet til oppbevaringen av elektronisk regnskapsmateriale (kilde: NBS 1 Sikring av regnskapsmateriale punkt 7.3.4).
Dokumentasjon av risikovurderinger og sikringstiltak
Det er fortsatt slik at den bokføringspliktige selv er ansvarlig for at det utføres en risikovurdering knyttet til elektronisk oppbevaring av regnskapsmateriale. Fordi utkontraktering av oppbevaringen har blitt vanligere, presiserer standarden nå at det er naturlig å ta utgangspunkt i systemleverandørens beskrivelse av risikoer og sikringstiltak, som grunnlag for den bokføringspliktiges egen risikovurdering.
NBS 1 har i tillegg blitt enda tydeligere på at de sikringstiltakene som gjennomføres, skal dokumenteres som en del av risikovurderingen, se punkt 7.3.4 og 7.3.6.
«Papirlignende medier» finnes ikke lenger
Tidligere versjoner av NBS 1 inneholdt egne regler om oppbevaring av regnskapsmateriale på såkalte «papirlignende medier». Dette var, litt enkelt sagt, definert som elektronisk oppbevaring av ikke direkte redigerbare filer på ikke slettbare medier. Et eksempel var oppbevaring av bildefiler på DVD-R plater. Tanken var at risikoen ved slik oppbevaring var tilnærmet lik som ved oppbevaring på papir, slik at det ikke var nødvendig å gjøre en risikovurdering. Det var i stedet tilstrekkelig å gjennomføre et sett med nærmere definerte sikringstiltak.
Oppbevaring på slike «papirlignende medier» anses ikke lenger som like relevant, og omtalen er derfor tatt ut av standarden. Eventuell slik oppbevaring må nå skje i samsvar med punkt 7.3 om elektronisk oppbevaring – altså slik at det kreves en dokumentert risikovurdering mv.
Bærbare lagringsenheter
Såkalte «bærbare lagringsenheter» har i tidligere versjoner av NBS 1 også blitt omtalt som «portable lagringsmedier». Eksempler på slike kan være eksterne harddisker og minnepinner.
Standarden er nå tydelig på at det ikke anbefales å oppbevare regnskapsmateriale på bærbare lagringsenheter utenfor nettverk, siden dette øker risikoen for at regnskapsmaterialet ikke er tilgjengelig ved behov. Hvis regnskapsmateriale likevel oppbevares på bærbare lagringsenheter utenfor nettverk, kan både fysisk og logisk sikring være aktuelt. Standarden gir nærmere veiledning om dette.
Den bokføringspliktiges ansvar ved utkontraktering
Som nevnt ovenfor, har utkontraktering av oppbevaringen blitt stadig vanligere. Utkontraktering kan typisk skje til et regnskapsforetak , en systemleverandør eller en leverandør av skyløsninger. Det er likevel alltid den bokføringspliktige selv som har ansvaret for at oppbevaringen og sikringen av regnskapsmaterialet skjer i samsvar med lov, forskrifter og god bokføringsskikk.
I oppdatert NBS 1 punkt 7.3.7.4, presiseres den bokføringspliktiges ansvar for at tilgangen til regnskapsmaterialet ikke begrenses i løpet av oppbevaringstiden, verken for den bokføringspliktige selv eller for offentlige kontrollmyndigheter. Standarden henviser videre til at slik sikring av tilgang vanligvis skjer gjennom tydelig avtaleregulering, herunder av hvordan tilgangen til regnskapsmaterialet skal sikres ved eventuell oppsigelse av avtalen.
Bruk av skyløsninger
NBS 1 har fått et helt nytt punkt 7.3.7.6 om bruk av skyløsninger.
I punktet omtales særlige forhold ved bruk av skyløsninger, som påvirker risikovurderingen ved elektronisk oppbevaring av regnskapsmateriale. Dette omfatter primært risikoreduserende faktorer knyttet til at leverandører av skyløsninger er profesjonelle aktører med gode systemer, rutiner og kontroller, sammenlignet med å ha egen server i egne lokaler eller å oppbevare regnskapsmateriale på andre elektroniske medier som harddisker.
Det presiseres igjen at den bokføringspliktige gjennom avtale må sørge for at tilgangen til regnskapsmaterialet ikke begrenses.
Oppbevaring i utlandet
I noen tilfeller tillates oppbevaring av elektronisk regnskapsmateriale i utlandet, både gjennom forskriftsbestemte unntak og etter dispensasjon fra skattekontoret, jf. bokføringsloven § 13 og bokføringsforskriften § 7-5. Les mer om dette i artikkelen «Endrede bokføringsregler: Oppbevaring i utlandet» i Revisjon og Regnskap nr. 2 2025.
Verden preges i dag av uro. Nytt punkt 7.3.7.7 i NBS 1 minner derfor om at hvis elektronisk regnskapsmateriale oppbevares i utlandet, bør den bokføringspliktige vurdere om den sikkerhetspolitiske situasjonen tilsier at ytterligere sikringstiltak iverksettes for å forhindre urettmessig endring, sletting, tap og ødeleggelse av det aktuelle regnskapsmaterialet.
Lukking av regnskapsperioder
Bokføringsloven § 7-6 krever at regnskapsperiodene som hovedregel skal lukkes innen de ajourholdsfristene som følger av bokføringsloven § 7 annet ledd og bokføringsforskriften § 4-1. Lukkingen skal skje på en måte som gir betryggende sikring mot endring eller sletting av bokførte opplysninger. Det skal foreligge en beskrivelse av regnskapssystemets funksjonalitet for lukking av regnskapsperioder.
Bestemmelsen utdypes i NBS 1 punkt 9. Det er ikke gjort mange endringer på dette området. Punkt 9.6 presiserer imidlertid tydeligere at pliktig regnskapsrapportering i form av a-meldinger i seg selv ikke medfører plikt til å lukke regnskapsperiodene, all den tid slik rapportering kan skje fra et ajourført lønnssystem uten at det er behov for å bokføre opplysningene.
Eksempler – lukking i flere deler
NBS 1 punkt 9.6 gir nå eksempler på hvordan en regnskapsperiode kan lukkes i flere deler når det er ulike frister for pliktig regnskapsrapportering. Dette gjelder typisk ved årsslutt, når mva.-meldingen for 6. termin skal leveres senest 10. februar, skattemeldingen skal leveres senest 31. mai og årsregnskapet skal sendes inn senest 31. juli.
Fristen for siste pliktige regnskapsrapportering styrer som hovedregel tidspunktet for lukking av regnskapsperioden. De deler av regnskapsperioden som inneholder bokførte opplysninger som inngår i spesifikasjonen av merverdiavgift, skal imidlertid lukkes innen fristen for mva.-meldingen. Standarden angir to mulige løsninger:
- Regnskapssystemet har en «periode 12» som lukkes når mva.-meldingen for 6. termin leveres. Regnskapssystemet har i tillegg en «periode 13» som benyttes til bokføring av årsoppgjørsdisposisjoner mv. og som lukkes innen fristen for den siste pliktige regnskapsrapportering for perioden, normalt senest når årsregnskapet sendes inn.
- Spesifikasjonene av pliktig regnskapsrapportering som nevnt i bokføringsloven § 5 første ledd og spesifikasjonen av merverdiavgift etter annet ledd nr. 1, utarbeides som ferdige rapporter for 6. termin og oppbevares utenfor regnskapssystemet, typisk i form av utskrift til PDF-filer. Lukking av regnskapsperioden som en helhet gjennomføres deretter innen fristen for siste pliktige regnskapsrapportering, normalt senest når årsregnskapet sendes inn.
Ikrafttredelse
Oppdatert NBS 1 Sikring av regnskapsmateriale får virkning for regnskapsår som begynner 01.01.26 eller senere, men det oppfordres til tidligere anvendelse.