Dagens trusselbilde mot norske virksomheter er i stadig endring, og det fremkommer kontinuerlig nye sårbarheter en må beskytte seg mot. Bedrifter må derfor opprettholde tilstrekkelig informasjonssikkerhet. Med informasjonssikkerhet menes sikring av måten en behandler en virksomhets informasjonsverdier, ved å ta vare på dens konfidensialitet, integritet og tilgjengelighet. For samfunnskritiske organisasjoner vil det være spesielt viktig å opprettholde tilstrekkelig datasikkerhet på et personlig nivå hos alle ansatte. En sikkerhetsinstruks presenterer de retningslinjene en må forholde seg til, og tar for seg de viktigste punktene en virksomhet anser som essensielt for å opprettholde god sikkerhet. Denne bør derfor være utarbeidet i takt med dagens endrede trusselbilde, men hvilken betydning har det dersom den ikke er det? Koronapandemien kom til Norge i mars 2020, og over natten ble store deler av Norges befolkning tvunget til å jobbe hjemmefra. Samtidig ble det registeret nye sårbarheter direkte rettet mot hjemmekontor og digital samhandling. Casebedriften oppgaven baserer seg på har samtidig gjennomgått en stor endringsprosess, og befinner seg nå i en transisjonsfase. Med denne oppgaven vil vi forsøke å besvare hvordan en sikkerhetsinstruks kan påvirke en organisasjon i endring under koronapandemien? Denne oppgaven tar utgangspunkt i casestudie som forskningsdesign, hvor vi har brukt kvalitative data i form av semistrukturerte intervju som vårt datagrunnlag. Dette skal i oppgaven settes i sammenheng med relevant teori, for å kunne besvare oppgavens problemstilling. Det er også for å knytte teorien til en kontekst, samtidig som teorien underbygger våre resultater. Da vi samtidig har benyttet oss av en abduktiv tilnærming har vi dynamisk beveget oss mellom empiri og teori gjennom forskningsprosessen. Dette har medført at arbeidet med utvikling av problemstilling har vært en iterativ og kontinuerlig prosess. På bakgrunn av hjemmekontor og mangelfull opplæring, i sammenheng med virksomhetens nåværende sikkerhetsinstruks, risikerer casebedriften at nyansatte ikke blir en del av sikkerhetskulturen. Vår oppgave fremmer viktigheten av en tydelig og godt formulert instruks, og rapporten retter et søkelys mot at hjemmekontor kan ha vært negativt for sikkerhetskulturen til virksomheter med sensitiv informasjon i sine systemer.