Før krisen skal ledelsen have besluttet tre ting. Den skal vide, hvor længe hver vigtig forretningsproces kan stå stille, før skaden bliver alvorlig. Den skal have fastlagt rækkefølgen, systemerne kommer tilbage i. Og den skal have udpeget, hvem der leder krisestaben, og hvem der træder til, hvis den person ikke kan. Den tekniske plan for genstart hører hjemme hos driften og leverandørerne. Prioriteringerne bag planen er ledelsens, og de kan ikke træffes godt midt i et nedbrud.
Lovens ord og SAMSIK’s læsning
Driftskontinuitet står i § 6, stk. 1, nr. 3, i NIS2-loven, herunder backupstyring og reetablering efter en katastrofe og krisestyring. Det er ledelsesorganet, der efter § 7, stk. 1, skal godkende de valgte foranstaltninger og følge, om de gennemføres som besluttet.
Ifølge SAMSIK’s implementeringsvejledning skal virksomheden have procedurer, der holder driften i gang under en alvorlig hændelse, og at genopretningen skal følge en plan, der bygger på risikovurderingen. Virksomheden skal også vurdere, om der er behov for en egentlig beredskabsplan for krisestyring, og om redundans, nødstrøm eller anden reserve er nødvendig. Vurderingen skal kunne dokumenteres, også hvis svaret bliver nej.
Konsekvensanalysen er ledelsens værktøj
Grundlaget er en konsekvensanalyse af forretningsprocesserne. For hver proces stilles de samme spørgsmål. Hvad sker der efter fire timer, efter en dag og efter en uge uden systemerne? Hvilke kunder, aftaler eller lovkrav rammes først? Findes der en manuel nødprocedure, og hvor længe kan den holde?
I produktionsvirksomheden med 40 ansatte kan svarene se sådan ud. Ordremodtagelsen kan klares med telefon og papir i to dage. Produktionsstyringen tåler få timer, fordi linjerne ellers står stille. Lønsystemet kan vente en uge, medmindre nedbruddet falder lige før lønkørslen. Den slags vurderinger kan kun forretningen lave. IT kan bidrage med, hvad der teknisk lader sig gøre, og hvad det kræver.
Tre beslutninger, der skal stå på skrift
Analysen fører frem til tre beslutninger, som ledelsen træffer og skriver i referatet:
- Den acceptable nedetid for hver vigtig proces. Fagudtrykket er RTO, recovery time objective, altså den tid, der må gå, før processen kører igen.
- Rækkefølgen for genstart. Når alt er nede, skal det stå klart, om mail, ordresystem eller produktionsstyring kommer først. SAMSIK nævner netop rækkefølgen som en del af planen for genopretning.
- Det acceptable datatab. Hvor mange timers arbejde må gå tabt? Den beslutning styrer backup og er uddybet under backup og reetablering.
Når beslutningerne ligger fast, kan driften og leverandørerne sige, hvad de koster at opfylde. Viser det sig, at kravet ikke kan nås med de nuværende aftaler, er det igen en ledelsesbeslutning at vælge mellem en ny aftale og en accepteret risiko.
Krisestaben skal kendes i forvejen
En krise er en situation, hvor almindelig ledelse ikke rækker, fordi flere ting går galt på én gang. Krisestaben er den lille gruppe, der i den situation træffer beslutninger og taler på virksomhedens vegne. Ledelsen skal på forhånd beslutte:
- Hvem leder staben, og hvem er stedfortræder?
- Hvem har mandat til at bruge penge uden den sædvanlige godkendelse, og op til hvilken grænse?
- Hvem taler med kunder, medarbejdere, presse og myndigheder?
- Hvornår aktiveres beredskabet, og hvem afgør, at det er slut?
- Hvordan kommunikerer staben, hvis mail og telefoner på netværket ikke virker?
Spørgsmålet om kanaler hænger sammen med kravet i § 6, stk. 1, nr. 10, om sikrede nødkommunikationssystemer, hvor det er relevant. Ledelsens del af planen er samlet i Beredskabsplan: ledelsens del af planen.
Leverandører og afprøvning
De fleste mindre virksomheder er afhængige af en driftsleverandør, et par cloudtjenester og måske en leverandør af produktionsudstyr. Kontinuitetsplanen virker kun, hvis leverandørernes aftaler passer til de tider, ledelsen har besluttet. Stemmer aftalens svartid ikke med den acceptable nedetid, er der et hul, som ledelsen bør kende. Hvordan kravene skrives ind og følges op, står under leverandørstyring.
En plan, der aldrig er afprøvet, er et udkast. SAMSIK anbefaler, at planerne gennemgås og afprøves med planlagte mellemrum og efter væsentlige hændelser eller større ændringer. For ledelsen er en skrivebordsøvelse den naturlige form, fordi den prøver beslutningerne uden at røre driften. Forløbet er beskrevet i Beredskabsøvelse for ledelsen. Efter øvelsen bør ledelsen tage stilling til de huller, den har vist, og give hvert af dem en ansvarlig og en frist. Ændringer i planen dateres, så det kan ses, hvilken version der gjaldt hvornår.
Det skal I lade være med
- At overlade prioriteringen til IT. IT kan genstarte systemer, men ved ikke, hvilken kunde der er vigtigst i næste uge.
- At sætte samme tid på alle processer. Når alt er lige vigtigt, bliver intet prioriteret.
- At glemme stedfortræderne. Krisen kan ramme, mens direktøren er på ferie.
- At gemme planen på det netværk, der er nede. En udskrift og en kopi uden for de normale systemer hører med.
- At skrive tider ind, som leverandøraftalerne ikke kan holde. Planen skal passe til virkeligheden.
Det skal I kræve af den eksterne
- ☐ En konsekvensanalyse, som forretningens procesejere har været med til at lave.
- ☐ Et beslutningsoplæg med acceptabel nedetid, datatab og rækkefølge for genstart.
- ☐ En sammenligning af ledelsens krav med leverandøraftalerne og en liste over hullerne.
- ☐ Et udkast til krisestabens sammensætning, mandater og kommunikationsveje.
- ☐ En plan for, hvornår beslutningerne afprøves og tages op igen.
Kontinuiteten er én del af ledelsens beredskab, og helheden står under beredskab og hændelser. Næste skridt er at spørge jer selv, hvilken proces der skal køre først efter et totalt nedbrud, og om alle i direktionen giver det samme svar.
Kilder
- NIS2-loven, lov nr. 434 af 6. maj 2025: § 6, stk. 1, nr. 3 (driftskontinuitet og krisestyring), § 6, stk. 1, nr. 10 (nødkommunikation), § 7, stk. 1 (godkendelse og tilsyn).
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger: kapitel 3 om driftskontinuitet, redundans og krisestyring, herunder rækkefølge for genopretning og afprøvning af planerne.
- NIS2-direktivet, (EU) 2022/2555: artikel 21, stk. 2, litra c.
Senest gennemgået: november 2026.
Næste skridt
- Beredskabsplan: ledelsens del af planen
- Backup og reetablering: hvad ledelsen skal vide om at komme op igen
Læs også: De første timer efter en sikkerhedshændelse · Hændelseshåndtering: hvem ejer processen mellem hændelserne?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
