I de første timer efter en alvorlig sikkerhedshændelse har ledelsen fire opgaver: samle kriseledelsen, godkende de indgreb, der påvirker forretningen, styre kommunikationen og tage stilling til, om hændelsen skal underrettes til myndighederne. Teknikerne isolerer, undersøger og sikrer spor, men de har brug for beslutninger fra en, der kan tale på virksomhedens vegne. Er hændelsen væsentlig efter NIS2-loven, løber fristen for den tidlige varsling fra det øjeblik, virksomheden får kendskab til den. Derfor skal underretningen på bordet tidligt, også selv om billedet endnu er uklart.
Den første time
Alarmen kommer sjældent fra ledelsen selv. Den kommer fra en medarbejder, der ikke kan åbne sine filer, fra driftsleverandørens overvågning eller fra en kunde, der har fået en mærkelig mail. Det første spørgsmål er derfor, om alarmen når frem til de rigtige personer hurtigt.
Når den gør, bør ledelsen i løbet af den første time have:
- Samlet kriseledelsen efter beredskabsplanen, fysisk eller på en telefonforbindelse, der ikke afhænger af de ramte systemer.
- Fået en første vurdering fra driften eller CISO: hvad er ramt, og breder det sig?
- Godkendt de indgreb, der stopper forretningen, fx at afbryde forbindelsen til internettet eller lukke produktionsnettet.
- Udpeget én person, der fører log over beslutninger og tidspunkter.
Loggen bliver vigtig senere, når myndigheder, forsikringsselskab og måske politiet spørger, hvad der skete hvornår. Planen bag disse trin er beskrevet i Beredskabsplan: ledelsens del af planen.
Beslutninger, der ikke kan vente
Nogle beslutninger skal tages, før det fulde billede er kendt. Ledelsen bør være forberedt på at tage stilling til:
- om systemer skal lukkes ned, selv om det koster omsætning
- om ekstern hjælp til undersøgelse og genetablering skal tilkaldes, og om det skal ske via forsikringens skadeservice
- hvordan spor sikres, så det senere kan dokumenteres, hvad der skete
- hvem der må tale med kunder, medarbejdere og presse
CISO kan forberede beslutningerne og fremlægge konsekvenserne, men beslutningen om at stoppe forretningen ligger hos direktionen. Hvad en ekstern CISO må gøre på egen hånd, bør stå i mandatet til den eksterne CISO.
Ring tidligt til forsikringsselskabet, hvis I har en cyberforsikring. Policen kan stille betingelser for, hvordan og hvornår en skade anmeldes, og hvem der må hentes ind. Hvad selskabet spurgte om ved tegningen, er beskrevet i Cyberforsikring: de spørgsmål, ledelsen skal kunne svare på.
Underretning efter NIS2
For virksomheder omfattet af NIS2-loven skal væsentlige hændelser underrettes til den kompetente myndighed og CSIRT’en efter § 12. En hændelse er væsentlig efter § 12, stk. 2, hvis den har forårsaget eller kan forårsage alvorlige driftsforstyrrelser eller økonomiske tab for virksomheden, eller hvis den har påvirket eller kan påvirke andre ved at forvolde betydelig skade.
§ 13 fastsætter forløbet. Den tidlige varsling skal ud uden unødigt ophold og inden for et døgn fra det øjeblik, virksomheden blev bekendt med den væsentlige hændelse. Inden 72 timer skal der følge en hændelsesunderretning med en indledende vurdering, og den endelige rapport skal komme senest en måned efter, at hændelsesunderretningen er sendt. Efter § 15 skal modtagerne af virksomhedens tjenester desuden have besked uden unødigt ophold, hvis hændelsen sandsynligvis vil påvirke leveringen negativt.
Ledelsen bør i de første timer få svar på, hvem der vurderer, om hændelsen er væsentlig, og hvem der sender varslingen. Hvorfor leverandører til NIS2-virksomheder også bør kende begrebet væsentlig hændelse, er beskrevet på nis2-pentest.dk. Hvem der i lovens forstand udgør ledelsen, forklares i artiklen om ledelsesorganet efter NIS2.
Persondata og andre spor
Er personoplysninger berørt, gælder databeskyttelsesforordningens artikel 33. Den dataansvarlige skal som udgangspunkt anmelde bruddet til tilsynsmyndigheden, i Danmark Datatilsynet, uden unødig forsinkelse og om muligt senest 72 timer efter at have fået kendskab til det, medmindre bruddet sandsynligvis ikke indebærer en risiko for de berørte. Det er et selvstændigt spor ved siden af NIS2.
Der kan også være andre forpligtelser, fx over for kunder efter kontrakt. Kontrakternes krav om underretning bør derfor være samlet ét sted, før hændelsen sker.
Kommunikation i de første timer
Medarbejderne skal vide, hvad de må og ikke må: om de skal slukke computere, bruge telefon frem for mail og henvise henvendelser udefra til én person. Kunder, der er direkte berørt, bør høre fra jer, før de hører det andre steder. Udmeldingerne skal holde sig til det, der er kendt, og undgå gætterier om årsag eller omfang.
Tag softwarehuset med fem udviklere, hvor platformen bliver utilgængelig en tirsdag morgen. Direktøren skriver efter en time en kort besked til kunderne om, at der arbejdes på sagen, og at næste opdatering kommer klokken tolv. Beskeden lover intet om årsagen. CISO vurderer samtidig sammen med driftsleverandøren, om hændelsen kan være væsentlig, og forbereder en tidlig varsling til godkendelse.
Det skal I lade være med
- At vente med at samle ledelsen, til årsagen er kendt · fristerne løber fra kendskabet til hændelsen.
- At lade teknikerne træffe forretningsbeslutninger · de skal have et klart ja eller nej.
- At slette, genstarte eller geninstallere før aftale om sikring af spor · det kan fjerne det, der senere skal dokumenteres.
- At kommunikere gæt som fakta · at rette en udmelding bagefter er sværere end at vente en time.
- At glemme loggen · den er grundlaget for rapporter, forsikring og efterbehandling.
Det skal I kræve af den eksterne
- ☐ En tjekliste til de første timer, som kriseledelsen kan bruge uden forberedelse.
- ☐ Skabeloner til tidlig varsling og til besked til kunder og medarbejdere.
- ☐ En kontaktvej uden for almindelig arbejdstid, hvis det indgår i samarbejdet.
- ☐ Klar adskillelse mellem CISO’s beslutninger og ledelsens.
- ☐ En efterbehandling med læring og konkrete rettelser i planen.
Næste skridt er at kontrollere, at planen siger, hvem der ringer til hvem i den første time, og hvem der tager stilling til underretningen inden for 24 timer. Øv svaret i en beredskabsøvelse for ledelsen.
Kilder
- Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 12 om underretning og væsentlige hændelser, § 13 om frister og § 15 om besked til modtagere af tjenester.
- Direktiv (EU) 2022/2555 (eur-lex): artikel 23 om rapporteringsforpligtelser.
- Forordning (EU) 2016/679 (eur-lex): artikel 33 om anmeldelse af brud på persondatasikkerheden.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Beredskabsøvelse for ledelsen · NIS2 og ledelsens ansvar for cybersikkerhed
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
