Processen skal have én navngiven ejer, som ledelsen har udpeget, og som holder den ved lige i de mange uger, hvor intet alvorligt sker. Ejeren holder øje med, at alle hændelser bliver registreret og klassificeret på samme måde, at hver sag bliver fulgt til dørs, og at ledelsen jævnligt hører, hvad sagerne har lært virksomheden. Ledelsen godkender proceduren og følger med i resultatet. Rollen passer ofte til den, der leder sikkerhedsarbejdet, men den kan ikke ligge hos en leverandør alene, fordi beslutningerne om virksomhedens egen drift skal træffes internt.
Det siger loven
Efter § 6, stk. 1, nr. 2, i NIS2-loven skal foranstaltningerne som minimum omfatte håndtering af hændelser. Ledelsesorganet skal efter § 7, stk. 1, godkende foranstaltningerne og føre tilsyn med dem. SAMSIK’s vejledning om implementering af foranstaltningerne uddyber, at virksomheden skal have procedurer for at opdage, analysere og reagere på hændelser, og at den selv eller gennem aftale med en tredjepart skal have kompetence til at afgøre, om en hændelse er væsentlig.
Spørgsmålet om væsentlighed er vigtigt, fordi det udløser underretningspligten. Efter § 12 skal væsentlige hændelser meldes til den kompetente myndighed og CSIRT, og § 13 fastsætter fristerne. Den første besked, en tidlig varsling, skal afsendes inden for et døgn fra det tidspunkt, hvor hændelsen kom til virksomhedens kendskab. Ledelsens beslutninger i det første døgn er samlet under de første timer. Resten af året kræver en proces, der kører, også når intet brænder.
Fire dele af den faste proces
En proces, der kun bliver brugt under en krise, bliver glemt mellem kriserne. Derfor skal den være så enkel, at små sager også kommer igennem den.
- Modtagelse. Medarbejdere, leverandører og kunder skal vide, hvor de melder noget mistænkeligt, og det skal være let. Ledelsens del af den vane er emnet under medarbejdere, der melder.
- Klassificering. Hver sag får en kategori og en alvorsgrad efter en fast skala. Kriterierne for, hvornår en sag kan være væsentlig efter § 12, stk. 2, står i skalaen, så vurderingen ikke skal opfindes under pres.
- Opfølgning. Sagen lukkes først, når årsagen er fundet eller begrundet ukendt, og når de aftalte handlinger har en ansvarlig.
- Læring. Gentagne mønstre, fx flere sager om svigagtige fakturamails, bliver til forslag om nye foranstaltninger.
Logbogen er dokumentationen
Logbogen er en simpel liste med dato, hvem der meldte, hvad der skete, klassificering, beslutninger og status. Den er det sted, virksomheden kan vise frem, hvis myndigheden spørger, hvordan hændelser bliver håndteret. Den er også grundlaget for den endelige rapport, som § 13 kræver senest en måned efter hændelsesunderretningen, og som blandt andet skal beskrive den sandsynlige grundlæggende årsag.
Hos en grossist med 30 ansatte, én driftsleverandør og to cloudtjenester kan logbogen sagtens være et regneark med adgangsbegrænsning. Det afgørende er, at alle leverandører ved, at deres hændelser skal ind i virksomhedens logbog, også når de selv har løst sagen. Ellers ser ledelsen kun den del af billedet, som den interne IT-koordinator tilfældigvis hører om.
Logbogen indeholder ofte oplysninger om medarbejdere, kunder og svagheder i systemerne. Derfor skal ledelsen beslutte, hvem der må læse og skrive i den, og hvor længe sagerne gemmes. Det er også en god idé at aftale, hvor logbogen opbevares, hvis de almindelige systemer er nede under en hændelse.
Hvad ejeren gør, og hvad ledelsen gør
Ejeren af processen holder proceduren opdateret, sikrer at klassificeringen bliver brugt ens, samler logbogen fra alle kilder og rapporterer til ledelsen. Ejeren aftaler også med leverandørerne, hvordan og hvor hurtigt de melder hændelser videre. Det krav hører hjemme i leverandøraftalerne og er beskrevet under leverandørstyring.
Ledelsen beslutter tre ting. Den godkender proceduren og klassificeringen, den udpeger ejeren og dennes stedfortræder, og den fastsætter, hvilke sager der skal forelægges med det samme, og hvilke der kan vente til den faste rapport. I det kvartalsvise punkt bør ledelsen se antal sager pr. kategori, sager der stadig er åbne, og de forslag, læringen har givet.
Procedurer bliver gamle
SAMSIK anbefaler, at proceduren afprøves med planlagte mellemrum og opdateres ved væsentlige ændringer i forretningen eller trusselsbilledet. En skrivebordsøvelse med et realistisk scenarie viser hurtigt, om kontaktlisten passer, og om klassificeringen kan bruges. Et forløb for ledelsen er beskrevet i Beredskabsøvelse for ledelsen. Efter en større sag hører en evaluering til, som ejeren tilrettelægger og ledelsen læser.
Det skal I lade være med
- At antage, at leverandøren håndterer hændelserne for jer. Leverandøren løser sin del, mens beslutningen om væsentlighed og underretning ligger hos jer.
- At registrere kun de store sager. De små sager viser mønstrene, før de bliver store.
- At lukke sager uden en årsag. En sag uden forklaring dukker op igen i en anden form.
- At lægge ejerskabet hos en person uden stedfortræder. Hændelser tager ikke hensyn til ferier.
- At gemme logbogen hos IT alene. Ledelsen skal kunne se den, ellers kan den ikke føre tilsyn.
Det skal I kræve af den eksterne
- ☐ Et udkast til procedure og klassificering på få sider, klar til ledelsens godkendelse.
- ☐ Kriterier for væsentlige hændelser, der tager udgangspunkt i § 12, stk. 2.
- ☐ En logbog, der samler hændelser fra alle leverandører.
- ☐ En kvartalsvis opgørelse med åbne sager og forslag til forbedringer.
- ☐ Formuleringer til leverandøraftalerne om, hvordan hændelser meldes videre til jer.
Hændelseshåndteringen er en del af ledelsens beredskab, som er samlet under beredskab. Næste skridt er at spørge jer selv, hvor den seneste sikkerhedshændelse er registreret, og hvem der besluttede, at den var lukket.
Kilder
- NIS2-loven, lov nr. 434 af 6. maj 2025: § 6, stk. 1, nr. 2 (håndtering af hændelser), § 7, stk. 1 (godkendelse og tilsyn), § 12 og § 13 (væsentlige hændelser og frister for underretning).
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger: kapitel 2 om håndtering af hændelser, indberetning fra medarbejdere og leverandører og test af procedurerne.
- NIS2-direktivet, (EU) 2022/2555: artikel 21, stk. 2, litra b, og artikel 23 om underretning.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Evaluering efter en hændelse: fra læring til ledelsesbeslutninger · De første timer efter en sikkerhedshændelse
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
