En beredskabsplan for IT har to dele. Den tekniske del beskriver, hvordan systemer isoleres, undersøges og genetableres, og den ligger hos driften og leverandørerne. Ledelsens del beskriver, hvem der træffer hvilke beslutninger, hvem der skal kontaktes, hvordan der kommunikeres, og hvilke forretningsfunktioner der skal i gang først. Den del bør fylde få sider, være godkendt af ledelsen og kunne findes, også når mail og fildrev ikke virker. En CISO kan skrive udkastet og holde det ajour, men indholdet er ledelsens beslutninger.
Hvorfor ledelsen har sin egen del
Under en alvorlig hændelse skal der træffes beslutninger, som teknikerne ikke kan tage. Skal produktionen stoppe, mens angrebet undersøges? Skal kunderne orienteres nu eller om to timer? Skal en webshop lukkes? Hvem taler med pressen? Den slags beslutninger handler om forretning, økonomi og omdømme og hører hjemme hos ledelsen.
Hvis rollerne først aftales under hændelsen, går der kostbar tid med at afklare, hvem der bestemmer. Planen flytter de svære afklaringer til et roligt tidspunkt.
For virksomheder omfattet af NIS2-loven nævner § 6, stk. 1, både håndtering af hændelser og driftskontinuitet med backup, genetablering og krisestyring blandt de områder, foranstaltningerne som minimum skal dække. Efter § 7 skal ledelsesorganet godkende foranstaltningerne. Planen er dermed et af de dokumenter, ledelsen bør have set og godkendt, se NIS2 og ledelsens ansvar.
Kriseledelsen og dens mandat
Planen bør udpege en lille kriseledelse, typisk direktøren, en person fra økonomi eller drift, den, der står for kommunikation, og CISO. Hver rolle bør have en stedfortræder, fordi hændelser sjældent tager hensyn til ferier.
Lige så vigtigt er mandatet. Planen bør sige, hvad kriseledelsen må beslutte uden at vente på bestyrelsen, og hvornår bestyrelsen skal orienteres. Den bør også sige, hvad CISO og driftsleverandøren må gøre på egen hånd, fx at afbryde forbindelser til internettet eller lukke en konto, og hvad der kræver direktørens ja. Formuleringen af mandatet er emnet for artiklen om mandatet til en ekstern CISO.
Kontaktlisten
Kontaktlisten er den del af planen, der oftest viser sig at være forældet. Den bør indeholde navne og telefonnumre, gerne mobilnumre, på:
- kriseledelsen og stedfortræderne
- driftsleverandøren og andre leverandører med adgang til kritiske systemer, herunder deres vagtnummer
- forsikringsselskabets skadeanmeldelse og jeres forsikringsmægler
- advokat og eventuel rådgiver om kommunikation
- bank, hvis betalinger skal stoppes eller kontrolleres
- de myndigheder, der skal underrettes
Listen skal kunne bruges uden adgang til virksomhedens systemer. En udskrift i en mappe og en kopi på telefonerne hos kriseledelsen er en enkel løsning.
Underretning og kommunikation
Planen bør sige, hvem der vurderer, om en hændelse skal underrettes, og hvem der sender underretningen. For NIS2-omfattede virksomheder fastsætter § 12 pligten til at underrette om væsentlige hændelser, og § 13 fastsætter frister, hvor den tidlige varsling højst må vente 24 timer, efter at virksomheden er blevet bekendt med den væsentlige hændelse. Er personoplysninger berørt, gælder databeskyttelsesforordningens artikel 33 om anmeldelse til Datatilsynet. Begge spor bør stå i planen med navn på den ansvarlige.
Kommunikationen til medarbejdere, kunder og samarbejdspartnere bør også forberedes. Et par korte skabeloner med plads til det konkrete sparer tid og mindsker risikoen for forhastede udmeldinger.
Efter § 15 skal NIS2-omfattede virksomheder også give modtagerne af deres tjenester besked uden unødigt ophold, hvis en væsentlig hændelse sandsynligvis påvirker leverancen negativt. Mange kundekontrakter har desuden egne krav om besked inden for en frist. Saml de krav i et bilag til planen, så kriseledelsen ikke skal lede efter dem i kontraktmapperne under hændelsen.
Log og dokumentation under hændelsen
Planen bør pege på én person, der fører log fra første alarm: hvad der blev opdaget, hvad der blev besluttet, af hvem og hvornår. Loggen bruges senere i rapporten til myndighederne, i skadesagen hos forsikringen og i ledelsens egen efterbehandling. En simpel papirblok kan være det sikreste valg, hvis systemerne er ramt.
Prioriteringen af forretningen
Driftsleverandøren kan genetablere systemerne, men ledelsen skal bestemme rækkefølgen. Hvad skal i gang først: ordremodtagelsen, lønnen, produktionsplanlægningen eller kundeportalen? Og hvordan kan forretningen fungere i nogle dage uden IT?
Tag produktionsvirksomheden med 40 ansatte. Planen kan fx sige, at maskinerne kan køre videre på lokale programmer i to døgn, at ordrer i den periode noteres manuelt, og at ERP-løsningen er det første, der skal genetableres. De beslutninger bør træffes nu og afstemmes med driftsleverandørens tekniske plan. Hvordan opgaverne deles med leverandørerne, er gennemgået i artiklen om ansvar, når driften ligger ude af huset.
Planen skal kunne bruges
En plan, der ikke er afprøvet, indeholder næsten altid huller. Den bedste måde at finde dem på er en skrivebordsøvelse, hvor ledelsen gennemspiller et tænkt scenarie, se Beredskabsøvelse for ledelsen. Ledelsens beslutninger under en virkelig hændelse gennemgås i artiklen om de første timer.
Tag planen op til revision hvert år og efter hver ændring af leverandører, kritiske systemer eller kriseledelse. Forsikringsselskabet spørger ofte, om der findes en plan, se Cyberforsikring: de spørgsmål, ledelsen skal kunne svare på.
Det skal I lade være med
- At lade driftsleverandørens plan stå alene · den dækker teknikken og sjældent forretningens beslutninger.
- At gemme planen kun på fildrevet · den skal kunne findes, når netværket er nede.
- At skrive en plan på 40 sider · ledelsens del bør kunne læses på ti minutter.
- At udpege én person uden stedfortræder · hændelser kommer også i ferier.
- At lade planen stå uændret i årevis · numre, leverandører og systemer skifter.
Det skal I kræve af den eksterne
- ☐ Et udkast til ledelsens del, som kan godkendes på ét møde.
- ☐ En kontaktliste, der er kontrolleret ved opkald.
- ☐ Afstemning med driftsleverandørens tekniske plan.
- ☐ Klare regler for, hvad CISO må beslutte under en hændelse.
- ☐ En plan for årlig gennemgang og øvelse.
Næste skridt er at finde den plan, I har i dag, og spørge, om den svarer på, hvem der bestemmer, hvem der ringes til, og hvad der skal i gang først.
Kilder
- Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 6, stk. 1, nr. 2 og 3, om håndtering af hændelser og driftskontinuitet, § 7 om ledelsesorganets godkendelse, §§ 12 og 13 om underretning og frister.
- Forordning (EU) 2016/679 (eur-lex): artikel 33 om pligten til at anmelde brud til tilsynsmyndigheden.
Senest gennemgået: november 2026.
Næste skridt
Læs også: De første timer efter en sikkerhedshændelse · Cybersikkerhed som fast punkt på bestyrelsesmødet
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
