En evaluering efter en sikkerhedshændelse er først færdig, når den har ført til beslutninger. Erfaringerne skal omsættes til konkrete ændringer i sikkerhedspolitikken, i beredskabsplanen og i aftalerne med leverandørerne, hver med en ejer og en frist, og bestyrelsen skal have konklusionerne forelagt. Arbejdet foregår i tre trin: et evalueringsmøde kort efter hændelsen, et beslutningsoplæg til direktionen og en opfølgning, der viser, om ændringerne er gennemført. Spørgsmålet om, hvilken rolle virksomheden manglede, er behandlet i Efter en alvorlig IT-hændelse. Her handler det om resten af evalueringen.
Hvad lovgivningen og vejledningen forudsætter
For virksomheder omfattet af NIS2-loven er evalueringen tæt knyttet til underretningen. Efter § 13, stk. 1, nr. 4, skal den endelige rapport om en væsentlig hændelse sendes senest en måned efter hændelsesunderretningen og blandt andet beskrive den type trussel eller grundlæggende årsag, der sandsynligvis udløste hændelsen, og de afbødende foranstaltninger. SAMSIK’s vejledning om implementering anbefaler desuden en gennemgang efter en væsentlig hændelse med det formål at finde den grundlæggende årsag, og at planerne for driftens opretholdelse ses igen efter væsentlige hændelser.
Evalueringen og den endelige rapport kan derfor med fordel laves i samme forløb. Ledelsesorganet har efter § 7 ansvaret for at godkende foranstaltningerne og følge deres gennemførelse, og en hændelse er netop den situation, hvor tilsynet skal vise sin værdi. Hvordan hændelseshåndteringen er organiseret mellem hændelserne, står i Hændelseshåndtering: hvem ejer processen mellem hændelserne?.
Evalueringsmødet
Mødet holdes, når driften er stabil, og mens hukommelsen er frisk. To til tre uger efter hændelsen er et realistisk tidspunkt. Deltagerne er dem, der tog beslutninger under hændelsen, de leverandører, der hjalp, og den, der ejer beredskabsplanen.
Et godt evalueringsmøde følger tidslinjen. Hvornår blev hændelsen opdaget, af hvem, og hvor lang tid gik der, før den rette person vidste besked? Hvornår blev de første beslutninger truffet, og på hvilket grundlag? Hvornår var driften tilbage? Tidslinjen gør det lettere at se, hvor tiden gik tabt, uden at nogen skal forsvare sig.
Mødets resultat er en liste over iagttagelser. Hver iagttagelse beskriver, hvad der skete, hvad der burde være sket, og hvad forskellen skyldtes. Listen er råmaterialet til beslutningsoplægget. Den, der leder mødet, bør ikke selv have haft en hovedrolle under hændelsen. En ekstern CISO eller en leder fra en anden afdeling kan stille de spørgsmål, som de involverede er tilbøjelige til at springe over, og holde mødet på iagttagelser frem for forklaringer.
Fra iagttagelse til beslutning
Iagttagelserne sorteres efter, hvor ændringen skal ske. Fire steder går igen:
- Sikkerhedspolitikken. Viste hændelsen, at en regel manglede eller ikke blev fulgt, skal politikken eller reglerne for medarbejderne ændres.
- Beredskabsplanen. Manglede telefonnumre, var rollerne uklare, eller tog det for lang tid at samle krisestaben, skal planen rettes. Hvad der hører til ledelsens del af planen, er beskrevet i ledelsens del af beredskabsplanen.
- Leverandøraftalerne. Leverede en leverandør ikke det aftalte, eller manglede aftalen et krav om svartid eller besked, skal aftalen genforhandles. Kravene er beskrevet i krav til IT-leverandøren.
- Risikovurderingen. Var risikoen undervurderet, skal vurderingen opdateres, og ledelsen skal tage stilling til, om den fortsat vil acceptere den.
Beslutningsoplægget samler ændringerne på få sider. For hver ændring står der, hvad der foreslås, hvem der ejer den, hvad den kræver af tid eller penge, og hvornår den skal være gennemført. Direktionen godkender, ændrer eller afviser hvert punkt. Afviste punkter bliver stående i oplægget med en begrundelse, så det senere kan ses, hvad ledelsen valgte fra.
Orientering af bestyrelsen
Bestyrelsen bør have en kort orientering, når hændelsen er overstået, og et fuldt referat af evalueringen på næste ordinære møde. Det fulde referat bør indeholde tidslinjen i kort form, den grundlæggende årsag, de godkendte ændringer og de afviste med begrundelse. Bestyrelsen skal kunne se, om virksomheden har lært noget, og om det har konsekvenser for den samlede risiko. Den videre opfølgning hører til det faste sikkerhedspunkt på møderne, se Cybersikkerhed som fast punkt på bestyrelsesmødet.
Opfølgningen, der lukker evalueringen
Mange evalueringer ender med gode beslutninger, som aldrig bliver gennemført. Derfor bør ledelsen sætte en dato, typisk tre til seks måneder senere, hvor hver ændring gennemgås. Er den gennemført, lukkes punktet. Er den forsinket, skal ejeren forklare hvorfor og foreslå en ny frist. Kan ændringen afprøves, fx en rettet beredskabsplan, bør den indgå i næste øvelse. Hvorvidt en test kan genskabe tilliden udadtil, er et spørgsmål for sig, gennemgået under tillid efter en hændelse.
Tænk på en rådgivningsvirksomhed med 45 ansatte, hvor en medarbejders mailkonto blev overtaget og brugt til at sende falske fakturaer til kunder. Evalueringsmødet viser, at kontoen manglede flerfaktorlogin, fordi den var oprettet før reglen blev indført, at IT-leverandøren først blev kontaktet næste morgen, og at ingen vidste, hvem der skulle orientere kunderne. Direktionen godkender fire ændringer: en gennemgang af alle ældre konti, et vagtnummer i leverandøraftalen, en skabelon til kundeorientering i beredskabsplanen og en opdateret risikovurdering for mailsystemet. Efter fire måneder er tre af fire gennemført.
Det skal I lade være med
- At afslutte evalueringen med en liste over erfaringer · uden ejer og frist sker der ingenting.
- At holde mødet, før driften er stabil · så handler mødet om at slukke ild.
- At lade leverandørens egen rapport stå alene · den beskriver leverandørens del af hændelsen.
- At skjule de afviste forslag · bestyrelsen skal kunne se fravalgene.
- At springe opfølgningen over · den er det, der viser, om evalueringen virkede.
Det skal I kræve af den eksterne
- ☐ En tidslinje for hændelsen, som deltagerne har godkendt.
- ☐ En liste over iagttagelser sorteret på politik, beredskabsplan, leverandøraftaler og risikovurdering.
- ☐ Et beslutningsoplæg med ejer, ressourcer og frist for hver ændring.
- ☐ Sammenhæng mellem evalueringen og den endelige rapport, hvis hændelsen er underrettet efter NIS2.
- ☐ En opfølgning på en aftalt dato med status på hver ændring.
Når evalueringen skal begynde
Sæt evalueringsmødet i kalenderen, så snart driften kører igen, og bed deltagerne skrive deres egen tidslinje inden mødet. Hvordan ledelsen arbejder med beredskabet i det hele taget, står under beredskab set fra ledelsen.
Kilder
- Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 7 om godkendelse og tilsyn og § 13, stk. 1, nr. 4, om den endelige rapport.
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger: gennemgang efter væsentlige hændelser og ajourføring af planer.
Senest gennemgået: november 2026.
Næste skridt
- De første timer efter en sikkerhedshændelse: ledelsens beslutninger
- Beredskabsøvelse for ledelsen: et par timer om bordet
Læs også: Hvem må acceptere en risiko? · Når et krav ikke er opfyldt: korrigerende foranstaltninger
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
