Beredskab og hændelser set fra ledelsen

Ved en alvorlig sikkerhedshændelse skal ledelsen træffe beslutninger hurtigt og på et ufuldstændigt grundlag: om systemer skal lukkes ned, hvem der skal informeres, om der skal hentes hjælp udefra, og om myndighederne skal underrettes. Beredskabsplanen gør de beslutninger lettere, fordi rollerne, kontakterne og rækkefølgen er aftalt på forhånd. Den tekniske del af planen ligger hos driften. Ledelsens del kan en ekstern CISO hjælpe med at skrive, øve og holde opdateret.

Ledelsens del af planen

En beredskabsplan består typisk af to lag. Det tekniske lag beskriver, hvordan systemer isoleres, undersøges og gendannes, og det ejes af IT-leverandøren og de specialister, der hentes ind. Ledelseslaget beskriver, hvem der har ansvaret, hvem der må beslutte hvad, og hvordan kommunikationen foregår.

Ledelseslaget kan holdes kort. Det bør svare på, hvem der leder arbejdet, hvem der er stedfortræder, hvem der taler med kunder, medarbejdere og presse, og hvilke beslutninger der kræver direktørens eller bestyrelsens godkendelse. Planen skal kunne findes, også når e-mail og fildrev er nede, så en udskrevet kopi eller en kopi uden for virksomhedens egne systemer er en god idé.

Roller og kontaktliste

I praksis er det kontaktlisten, folk griber efter først. Den bør indeholde direktion, bestyrelsesformand, IT-leverandør, forsikringsselskab eller forsikringsmægler, advokat, de vigtigste kunder og leverandører samt en specialist i håndtering af hændelser. Kontaktlisten bør også rumme policenummeret på cyberforsikringen og selskabets nummer til anmeldelse af skader. Tjek, at numrene virker, og at aftalerne med de eksterne parter faktisk dækker en hændelse uden for normal arbejdstid.

De første timer

De første timer handler om at få overblik og undgå beslutninger, der gør skaden større. Typiske spørgsmål for ledelsen er:

• Hvad ved vi, og hvad ved vi ikke endnu?
• Skal systemer isoleres eller lukkes, og hvad betyder det for driften?
• Skal forsikringsselskabet kontaktes, før der hentes hjælp udefra?
• Hvem skal informeres internt og eksternt, og hvornår?
• Er der tale om en hændelse, der skal underrettes til myndighederne?

En ekstern CISO kan i den situation hjælpe ledelsen med at holde overblikket, koordinere med leverandøren og de specialister, der hentes ind, og sikre, at beslutningerne bliver skrevet ned. Hvordan fund og hændelser hos leverandører påvirker NIS2-omfattede kunder, er beskrevet på nis2-pentest.dk.

Underretning efter NIS2

For virksomheder omfattet af NIS2-loven gælder faste frister for at underrette myndighederne om væsentlige hændelser. Lovens § 13 opdeler underretningen i trin. Inden for 24 timer fra det tidspunkt, hvor virksomheden blev opmærksom på hændelsen, skal den tidlige varsling være sendt. Inden for 72 timer følger hændelsesunderretningen med en første vurdering af alvor og følger. Den afsluttende rapport skal indgives senest en måned efter hændelsesunderretningen. Ifølge § 15 skal også kunder og andre brugere af tjenesterne orienteres uden unødigt ophold om væsentlige hændelser, der sandsynligvis vil påvirke det, de får leveret.

Fristerne løber, mens virksomheden har travlt med at håndtere hændelsen. Det er derfor en fordel, at planen på forhånd beskriver, hvem der afgør, om hændelsen falder ind under reglerne, og hvem der indsender underretningen. Ledelsens øvrige pligter er gennemgået på NIS2 og ledelsens ansvar. Teksten er ikke juridisk rådgivning; lovteksten og myndighedens vejledning om underretning er grundlaget.

Underretning og kommunikation

En alvorlig hændelse udløser en række meldinger og beskeder, som hver har sin modtager, sin frist og sin afsender. Beslutningerne bør være forberedt i planen, så ledelsen ikke skal finde ud af dem under pres:

• Er hændelsen væsentlig? Hvem i ledelsen beslutter, at der skal underrettes Kriterierne for en væsentlig hændelse og den, der træffer beslutningen.
• Fra tidlig varsling til endelig rapport: ledelsens første måned efter en hændelse Varsling inden 24 timer, underretning inden 72 timer, statusrapport og endelig rapport.
• Én hændelse, to underretninger: persondatabrud og NIS2 Når både Datatilsynet og myndigheden efter NIS2 skal have besked.
• Når kunderne skal have besked om en hændelse Pligten over for dem, der modtager jeres tjenester.
• Når de berørte personer selv skal underrettes om et brud Hvem vurderer den høje risiko, og hvem skriver beskeden.
• Frivillig underretning til CSIRT: også for virksomheder uden for NIS2 Når det kan betale sig at melde en hændelse eller en nærvedhændelse uden pligt.
• Skal vi betale løsesummen? Den beslutning ledelsen bør tage, før det sker En principbeslutning, der træffes i ro.
• Politianmeldelse efter et cyberangreb: hvem beslutter, og hvornår Anmeldelsen og genopretningen som to spor.
• Hvad siger vi til kunder, medarbejdere og presse under et cyberangreb? Hvem taler, og hvilke budskaber der er skrevet på forhånd.
• IT-leverandøren er ramt af et angreb: ledelsens beslutninger hos jer Forbindelser, information og jeres egen vurdering af underretning.
• Cyberforsikringen i beredskabsplanen: hvem ringer I til først? Anmeldelse til selskabet og de eksperter, policen forudsætter.
• Bestyrelsen under en alvorlig hændelse: hvornår og hvordan den inddrages Tærsklen for at orientere formanden og de beslutninger, der kræver bestyrelsen.
• Hvad national CSIRT kan hjælpe med før og under en hændelse Hvornår ledelsen beder om bistand.

Øvelse

En plan, der aldrig er øvet, rummer næsten altid overraskelser. En skrivebordsøvelse, hvor ledelsen gennemgår et tænkt scenarie omkring et bord, tager et par timer og afslører typisk huller som manglende telefonnumre, uklare beslutningsveje eller en antagelse om, at backup kan gendannes hurtigere, end den kan. Resultatet bliver en liste over rettelser, som følges op i planen for risikostyring. En øvelse om året er et naturligt punkt i årshjulet for bestyrelsen.

Artikler om beredskab

• Beredskabsplan: ledelsens del af planen Beslutninger, roller og kontaktliste for ledelsen.
• De første timer efter en sikkerhedshændelse: ledelsens beslutninger Hvem der beslutter hvad, og hvornår underretning kommer på bordet.
• Beredskabsøvelse for ledelsen: et par timer om bordet Hvordan en skrivebordsøvelse forløber, og hvad der følges op.

Det skal I lade være med

• At lade planen ligge på det drev, der kan blive ramt · den skal kunne findes, når systemerne er nede.
• At betale eller forhandle med angribere uden rådgivning · beslutningen har juridiske og forsikringsmæssige følger.
• At vente med at kontakte forsikringen · betingelserne kan stille krav til, hvem der hentes ind.

Det skal I kræve af den eksterne

• ☐ En ledelsesdel af beredskabsplanen på få sider.
• ☐ En kontaktliste, der kontrolleres mindst en gang om året.
• ☐ En beskrivelse af, hvem der vurderer og sender underretninger efter NIS2.
• ☐ En årlig øvelse med ledelsen og en opfølgning på det, den afslører.
• ☐ Aftalt tilgængelighed under en hændelse.

Kilder

• NIS2-loven: § 12 og § 13 fastlægger underretningen og fristerne; § 15 handler om at orientere modtagerne af tjenesterne.
• NIS2-direktivet, (EU) 2022/2555: artikel 23 rummer rapporteringspligterne.

Senest gennemgået: november 2026.

Flere artikler om beredskab

• Hændelseshåndtering: hvem ejer processen mellem hændelserne?
• Driftskontinuitet og krisestyring: de beslutninger, der skal tages før krisen
• Backup og reetablering: hvad ledelsen skal vide om at komme op igen
• Hvordan får vi medarbejderne til at melde det mistænkelige?
• Logning: hvad ledelsen skal beslutte om opbevaring og adgang
• Evaluering efter en hændelse: fra læring til ledelsesbeslutninger

Næste skridt

• De første timer efter en sikkerhedshændelse
• Beredskabsplan: ledelsens del af planen

Læs også: Beredskabsøvelse for ledelsen · Cyberforsikring og sikkerhedsarbejdet

→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT