Den 24. september 2026 hævede Styrelsen for Samfundssikkerhed (SAMSIK) trusselsniveauet for destruktive cyberangreb mod Danmark fra middel til høj. Niveauet gælder på tværs af samfundet, og særligt for organisationer med ansvar for samfundsvigtige funktioner i kritisk infrastruktur. For ledelsen er det relevante spørgsmål enkelt: kan vi komme tilbage, hvis vores data bliver slettet, eller vores anlæg ikke længere kan styres? Artiklen forklarer, hvad niveauet betyder, hvem der bør reagere, og hvilke fem ting ledelsen kan efterse uden at købe noget nyt. Hvordan trusselsvurderinger generelt bruges, står i den nationale trusselsvurdering.
Hvad høj betyder
SAMSIK bruger en skala fra ingen til meget høj. Høj betyder, at en eller flere aktører har kapacitet og planlægger konkret, eller at de allerede har gennemført eller forsøgt angreb. SAMSIK vurderer nu, at det er sandsynligt, at Rusland vil forsøge at udføre destruktive cyberangreb mod Danmark. I sprogbrugen er sandsynligt et skøn og ingen beregning.
Baggrunden er ifølge vurderingen Ruslands øgede risikovillighed, Forsvarets Efterretningstjenestes forventning om mere hybridkrig de kommende måneder og Politiets Efterretningstjenestes oplysninger om konkret planlægning af sabotage. Allerede i juni 2026 havde SAMSIK skærpet truslen inden for niveauet middel. SAMSIK nævner også hackergrupper med forbindelse til Iran som en del af billedet, særligt for israelske og amerikanske virksomheder i Danmark.
Niveauet siger noget om, at nogen forsøger. Det siger intet om netop jeres virksomhed. Den vurdering skal I selv lave.
To former for angreb
Wiper-angreb. Hackerne forsøger at slette eller overskrive data, så de bliver utilgængelige eller umulige at genskabe. Formålet er ødelæggelse. Ved et almindeligt ransomware-angreb findes der en modtager af en løsesum, men her er der ikke noget at forhandle om. Det er derfor, gendannelse fylder mest på ledelsens liste.
Manipulation af operationel teknologi (OT). OT er de systemer, der styrer og overvåger fysiske processer, fx pumper, køleanlæg og produktionsmaskiner. Hackerne forsøger at få adgang og ændre, hvad anlægget gør. SAMSIK nævner et mindre dansk vandværk, hvor pro-russiske hackere i slutningen af 2024 manipulerede vandtrykket. Den 4. november 2026 omtalte SAMSIK meldinger om angreb på køle- og frysesystemer i europæiske supermarkeder.
Hvem bør reagere
SAMSIK skelner mellem to spor. Russiske statslige grupper kan ramme selv velbeskyttet infrastruktur, og truslen gælder særligt energi, vand og transport, hvor driften bygger på OT. Pro-russiske grupper går efter det, der er let: udstyr med lav beskyttelse, som kan nås direkte fra internettet. Det spor rammer bredt.
Hører I til kritisk infrastruktur, skal spørgsmålet på ledelsens bord nu. Det samme gælder, hvis I leverer til sådanne organisationer. Har I blot et køleanlæg, en pumpestyring eller en ventilation med fjernadgang, er det sidste spor jeres.
Fem ting ledelsen bør efterse
1. Gendannelse fra en kopi, angriberen ikke kan nå. SAMSIK anbefaler offlinebackup af data og kritiske systemer og test af, at der kan reetableres. Spørg: hvornår har nogen sidst hentet et helt system tilbage, og hvor længe tog det? Kan kopien slettes med de samme administratorkonti som resten? Se backup og reetablering.
2. Manuel drift. Det er vores vurdering og ingen myndighedsregel, at den her øvelse er den mest oversete. Hvilke processer kan køre uden systemerne, hvor længe, og hvem ved hvordan? Kan ordrer tages på papir, kan anlægget styres lokalt? Prøv det af ét sted, i stedet for at antage det. Se driftskontinuitet og krisestyring.
3. Det, der kan nås fra internettet. Få en liste over tekniske anlæg med fjernadgang, også dem, en installatør har sat op. SAMSIK peger på standard-passwords og usikre fjernadgange som de mest udnyttede huller. Anbefalingen er at skifte standard-passwords, sikre fjernadgang med VPN og flerfaktorlogin og holde OT adskilt fra kontorets systemer. Spørg, hvem der ejer anlægget, og hvem leverandøren er.
4. Beslutningen om at koble fra. Hvem må tage systemer af internettet, og hvornår? I en hændelse går tiden, og beslutningen bør være placeret, før den skal træffes. SAMSIK anbefaler også, at alle ved, hvornår beredskabet skal sættes i gang. Se beredskabsplan: ledelsens del og øv den om bordet.
5. Rækkefølgen ved genopretning. SAMSIK anbefaler, at de udnyttede sårbarheder findes og lukkes, inden der reetableres fra backup. Under pres vil alle gerne op at køre hurtigt, så aftal rækkefølgen på forhånd med IT-leverandøren.
Sådan bliver det til en beslutning
Læg emnet på næste ledelsesmøde med en side, der svarer på tre spørgsmål: Ændrer det sandsynligheden i vores scenarier? Rammer det en sektor, vi er i eller leverer til? Skal noget i planen rykkes frem? Forklaringen i referatet skal indeholde dato og kilde. Er svaret, at planen holder, så skriv hvorfor.
Et tænkt eksempel: en fødevarevirksomhed med 60 ansatte finder ud af, at kølelageret kan fjernstyres via en leverandørs login, som ingen har gennemgået. Ledelsen beder leverandøren om at dokumentere adgangen, og at standardkoden er skiftet, og lader IT-ansvarlig vise en gendannelse af ordresystemet. Begge punkter får en dato.
SAMSIKs vejledning til NIS2-foranstaltningerne anbefaler at opdatere politikken for risikostyring ved ændringer i trusselsbilledet. En ny vurdering kan derfor være grund til at se prioriteringen af sikkerhedsarbejdet igennem.
Det skal I lade være med
- At købe en løsning, fordi niveauet er steget · begynd med det, I allerede har, og efterse om det virker.
- At antage, at backup er det samme som gendannelse · kun en afprøvning viser det.
- At glemme bygningens tekniske anlæg · de står sjældent på IT-listen.
- At lade sensation styre dagsordenen · niveauet er en anledning til et sagligt eftersyn.
Det skal I kræve af den eksterne
- ☐ En kort vurdering af, hvad det nye niveau betyder for jeres scenarier, med kilde.
- ☐ En liste over anlæg med fjernadgang og deres ejere.
- ☐ Dokumentation for den seneste afprøvede gendannelse.
- ☐ En plan for at prøve manuel drift ét sted.
- ☐ Punkter i referatet med ejer og dato.
Kilder
- SAMSIK: Truslen fra destruktive cyberangreb hæves til høj (24. september 2026).
- SAMSIK: Trusselsvurdering, HØJ trussel fra destruktive cyberangreb: hovedvurdering, aktører og niveauernes betydning.
- SAMSIK: Skærpet trussel fra destruktive cyberangreb (30. juni 2026).
- SAMSIK: Beskyt dig mod destruktive cyberangreb: råd om at forebygge, opdage og håndtere.
- SAMSIK: Beskyttelse af OT og Beskyt jeres tekniske systemer mod cyberangreb (4. november 2026).
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger: ajourføring ved ændret trusselsbillede.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Sikkerhedsledelse i produktionsvirksomheden · Sikkerhedsledelse i mindre forsyningsselskaber
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
