Fysisk sikkerhed hører med i det ansvar, ledelsen har for cybersikkerheden. Den vejledning, Styrelsen for Samfundssikkerhed har skrevet om foranstaltningerne i NIS2-loven, beskriver en risikostyring, der omfatter alle farer, også menneskelige fejl og vejrlig som skybrud. Hvem der kan gå ind i serverrummet, hvad der sker, når strømmen går, og hvordan gæster færdes i produktionen, er derfor beslutninger, der skal ligge samme sted som beslutningerne om adgangskoder og backup. Hos mange virksomheder ligger de i dag hos tre forskellige personer, som sjældent taler sammen.
Hvorfor bygningen hører med
NIS2-loven taler om sikkerhed i net- og informationssystemer, og det kan lyde, som om det kun handler om software og netværk. Systemerne står dog et sted. En server i et kosteskab uden lås, en netværksswitch i et uaflåst rum ved kantinen eller en maskinstyring på fabriksgulvet, som alle kan sætte en USB-nøgle i, er lige så meget en del af risikobilledet som en svag adgangskode.
Implementeringsvejledningen fra SAMSIK (juni 2025) siger direkte, at politikken for adgangskontrol skal kortlægge risikoen ved adgang til bygninger lige så vel som adgangen til systemerne. Under driftskontinuitet beder vejledningen enheden vurdere behovet for redundans i faciliteter og forsyninger, fx nødstrøm. Efter lovens § 7, stk. 1, er det ledelsesorganet, der godkender foranstaltningerne og fører tilsyn med dem. Den fysiske del er med i den godkendelse, uanset om nogen har tænkt over det.
Fire beslutninger, der ligger hos ledelsen
Den fysiske sikkerhed kan koges ned til fire områder, hvor ledelsen skal tage stilling.
- Adgang. Hvilke rum er kritiske, og hvem må komme ind i dem? Det gælder serverrum, rum med netværksudstyr, arkiver og styringen af produktionsanlæg. Ledelsen beslutter niveauet, fx nøgle, kort eller kort med kode, og hvem der fører listen over adgange.
- Gæster og håndværkere. Hvordan registreres besøgende, hvem følger dem, og hvad må en servicetekniker fra leverandøren gøre uden opsyn? Rengøring om natten hører også med.
- Strøm og forsyning. Hvor længe skal de vigtigste systemer kunne køre, hvis strømmen forsvinder? Det er en beslutning om nødstrøm og om, hvilke systemer der skal lukkes ned i en bestemt rækkefølge.
- Brand, vand og varme. Står udstyret, hvor et sprinkleranlæg, et utæt tag eller en kælder, der kan oversvømmes, kan ødelægge det? Er der overvågning af temperaturen i serverrummet?
Ingen af beslutningerne kræver teknisk viden. De kræver, at nogen har kortlagt, hvor udstyret står, og hvad det betyder for driften, hvis det forsvinder.
Hvem ejer hvad i dag
I en produktionsvirksomhed med 40 ansatte ser fordelingen ofte sådan ud. Driftschefen eller pedellen har nøglerne og alarmen. IT-leverandøren kender serverrummet, men har aldrig set produktionens styringer. Produktionslederen kender maskinerne, men regner dem ikke som IT. Direktøren går ud fra, at alle tre har styr på deres del.
Det, der mangler, er ét sted, hvor de fysiske forhold vurderes som en del af risikovurderingen. En ekstern CISO kan samle billedet: gå rundt i bygningen med driftschefen, notere hvor udstyret står, og hvem der har adgang, og lægge resultatet ind i den samme vurdering som resten af sikkerhedsarbejdet. Hvordan den vurdering bygges op, står i risikovurdering for ledelsen.
Adgang til rum følger samme regler som adgang til systemer
Når en medarbejder stopper, lukkes kontoen. Kortet til serverrummet bliver ofte glemt. Når en leverandør skifter, slettes fjernadgangen. Nøglen til tavlerummet hænger stadig hos den gamle elektriker.
Den nemmeste løsning er at lade de fysiske adgange følge den proces, der allerede gælder for systemadgange. Samme person godkender, samme tjekliste bruges ved fratrædelse, og samme gennemgang finder sted to gange om året. Hvordan politikken for adgange skrues sammen, står i adgangsstyring som politik, og fratrædelsen er beskrevet i når medarbejdere stopper.
Produktionen er sit eget kapitel
Maskinstyringer, skærme på fabriksgulvet og pc’er, der styrer et anlæg, står typisk i åbne rum, hvor mange færdes. De bliver sjældent opdateret, og de kan være forbundet til leverandørens fjernservice. Fysisk adgang til dem kan være nok til at stoppe produktionen.
For ledelsen er spørgsmålet, hvilke anlæg der må stå åbent, og hvilke der skal have en låst boks, et aflåst rum eller en regel om, at kun navngivne personer må betjene dem. Svaret afhænger af, hvad et stop koster i timer og leverancer. Hvordan sikkerheden ledes i produktionen mere bredt, står i sikkerhedsledelse i produktionen.
Det skal I lade være med
- At lade alarmen og nøglerne leve deres eget liv. Når de ligger uden for sikkerhedsarbejdet, bliver de ikke gennemgået.
- At stille serveren, hvor der er plads. Et depot med vandrør i loftet er et dårligt valg, selv om det er tæt på kontoret.
- At gå ud fra, at skyen har løst det hele. Netværksudstyr, printere, maskinstyringer og bærbare står stadig hos jer.
- At glemme de bærbare. En stjålet computer i en bil er et fysisk problem med digitale følger; kryptering og regler for transport hører med.
- At skrive en politik, ingen har gået efter i bygningen. Planen skal bygge på, hvad der faktisk står hvor.
Det skal I kræve af den eksterne
- ☐ En gennemgang på stedet, hvor kritiske rum, udstyr og adgange bliver noteret.
- ☐ De fysiske forhold vurderet i samme risikovurdering som resten af sikkerheden.
- ☐ Et forslag til, hvordan fysiske adgange følger processen for systemadgange.
- ☐ En vurdering af strøm, brand og vand for de systemer, der er vigtigst for driften.
- ☐ Anbefalinger, der tager højde for driftschefens og produktionens hverdag.
- ☐ Råd om låse, adgangskort og nødstrøm uden binding til en bestemt leverandør, uden provision og uden forhandleraftaler.
Første skridt
Bed driftschefen og den, der har ansvaret for IT, om at gå en runde sammen og skrive ned, hvor de fem vigtigste stykker udstyr står, og hvem der kan komme ind til dem. Den liste er et godt grundlag for næste ledelsesmøde. Ledelsens øvrige pligter efter loven er samlet under NIS2 og ledelsens ansvar.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 6, stk. 1, nr. 3 og 9, om driftskontinuitet og adgangskontrol, og § 7, stk. 1, om ledelsesorganets godkendelse og tilsyn.
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger (juni 2025): risikostyring, der omfatter alle farer, fysisk adgangskontrol og redundans i faciliteter og forsyninger.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Forvaltning af aktiver · Personalesikkerhed
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
