Den nationale CSIRT tager imod underretningerne om væsentlige hændelser og skal efter NIS2-lovens § 13, stk. 3, svare virksomheden inden for 24 timer efter en tidlig varsling. Beder virksomheden om det, skal CSIRT’en også vejlede, rådgive operativt om, hvordan hændelsen kan afbødes, og give supplerende teknisk bistand. Uden for hændelserne kan væsentlige og vigtige enheder efter § 17 bede om bistand til overvågning og om en proaktiv scanning af deres systemer. I Danmark varetager Forsvarets Efterretningstjeneste opgaven som national CSIRT. Ledelsen bør vide, hvad der kan bedes om, og hvem i virksomheden der beder om det.
Hvem CSIRT’en er
På engelsk hedder enheden et Computer Security Incident Response Team. Ifølge ordlisten i Styrelsen for Samfundssikkerheds vejledning om hændelsesunderretning er CSIRT’en i Danmark en national enhed med ansvar for at forebygge, opdage og håndtere cybersikkerhedshændelser. I styrelsens spørgsmål og svar om NIS2 står det, at Forsvarets Efterretningstjeneste varetager opgaven.
For virksomheden er det vigtigste, at underretningen ikke sendes direkte til CSIRT’en. Den indgives via den fælles digitale indgang på virk.dk, og derfra går den både til den sektoransvarlige myndighed og til CSIRT’en. Det betyder, at den person, der underretter, skal have adgang til virk.dk på virksomhedens vegne, også om natten. Hvem der sender hvad og hvornår, er gennemgået i Fra tidlig varsling til endelig rapport.
Svaret efter den tidlige varsling
§ 13, stk. 3, pålægger CSIRT’en at sikre, at virksomheden inden for 24 timer efter modtagelsen af den tidlige varsling får et svar med indledende tilbagemeldinger om hændelsen. Svaret kan rumme oplysninger, der hjælper kriseledelsen, fx om lignende angreb, som CSIRT’en kender til.
Den, der modtager svaret, skal vide, at det kommer, og hvem der skal læse det. Kommer svaret i en indbakke, som ingen kigger i under hændelsen, er det spildt. Udpeg derfor en modtager i ledelsens del af beredskabsplanen, typisk den samme person, der har sendt varslingen, eller CISO. Beder CSIRT’en senere om en foreløbig rapport, kontakter den ifølge SAMSIK-vejledningen virksomheden gennem de kontaktoplysninger, der er angivet ved underretningen. Angiv derfor en kontaktperson og et telefonnummer, der kan nås under hændelsen, frem for en fælles postkasse på et mailsystem, der måske er ramt. Planens øvrige roller er beskrevet i Beredskabsplan: ledelsens del af planen.
Samme bestemmelse giver virksomheden ret til at bede om vejledning, om operativ rådgivning om tiltag, der kan begrænse skaden, og om yderligere teknisk hjælp. Lovens § 17, stk. 1, nr. 2, nævner også, at CSIRT’en reagerer på hændelser og yder bistand til de berørte enheder.
Hvad CSIRT’en ikke overtager
CSIRT’en er ingen erstatning for jeres egen driftsleverandør eller det firma, I har aftale med om håndtering af hændelser. Efter § 17, stk. 2, kan CSIRT’en prioritere sine opgaver ud fra en risikobaseret tilgang, og efter § 14, stk. 2, kan obligatoriske underretninger blive prioriteret frem for frivillige. Ledelsen kan derfor ikke regne med en bestemt indsats på et bestemt tidspunkt.
Beredskabsplanen skal fortsat bygge på jeres egne aftaler om undersøgelse og genetablering. CSIRT’ens bistand er et supplement, der kan bidrage med viden om trusler og om, hvad andre har set.
Tag den NIS2-omfattede transportvirksomhed, der rammes af et angreb på planlægningssystemet. Den tidlige varsling sendes efter otte timer. Næste formiddag kommer CSIRT’ens svar med oplysninger om, at samme type angreb er set hos andre i sektoren. Kriseledelsen beslutter at bede om operativ rådgivning om, hvilke afbødende foranstaltninger der har virket andre steder, og giver driftsleverandøren besked om, at rådene skal indgå i genetableringen.
Bistand før en hændelse
§ 17, stk. 1, nævner to opgaver, som CSIRT’en udfører efter anmodning fra en væsentlig eller vigtig enhed, og som kan bruges forebyggende:
- Overvågning. Efter nr. 1 kan CSIRT’en efter anmodning yde bistand vedrørende realtids- eller nærrealtidsmonitorering af enhedens net- og informationssystemer.
- Proaktiv scanning. Efter nr. 3 kan CSIRT’en efter anmodning scanne de systemer, der bruges til at levere enhedens tjenester, for at opdage sårbarheder med en potentielt væsentlig indvirkning.
En anmodning om scanning af virksomhedens systemer er en beslutning, ledelsen bør kende til, og driftsleverandøren skal orienteres, så scanningen ikke forveksles med et angreb. Resultatet skal have en ejer, der følger op på fundene. Hvordan fund følges op, er beskrevet i Korrigerende foranstaltninger.
CSIRT’en faciliterer også efter § 19 frivillig udveksling af oplysninger i cybersikkerhedsfællesskaber. Deltager en væsentlig eller vigtig enhed i et sådant fællesskab, skal den efter § 19, stk. 2, underrette den kompetente myndighed om det. Om deltagelse er værd at prioritere, er emnet for Informationsdeling om cybertrusler.
Når virksomheden ikke er omfattet
Virksomheder uden for NIS2-loven kan efter § 14, stk. 1, på frivillig basis melde hændelser, nærvedhændelser og cybertrusler til CSIRT’en. Frivillige underretninger behandles på samme måde som de obligatoriske, men kan blive prioriteret efter dem, og de er efter § 14, stk. 3, undtaget fra aktindsigt. Hvornår det giver mening for en underleverandør, er gennemgået i Frivillig underretning til CSIRT.
Har ledelsen brug for vejledning om sikkerhed og håndtering af angreb uden at underrette, nævner sikkerdigital.dk Cyberhotline for digital sikkerhed, som Styrelsen for Samfundssikkerhed står bag, på telefon 33 37 00 37.
Det skal I lade være med
- At bygge beredskabet på, at CSIRT’en rykker ud · den prioriterer efter risiko.
- At lade svaret efter den tidlige varsling ligge ulæst · udpeg en modtager.
- At bestille en scanning uden at orientere driftsleverandøren · den kan ligne et angreb.
- At sende underretningen et andet sted hen end virk.dk · indgangen er fælles.
- At glemme at melde deltagelse i et fællesskab til myndigheden · § 19, stk. 2, kræver det.
Det skal I kræve af den eksterne
- ☐ En beskrivelse i planen af, hvem der underretter via virk.dk, og hvem der læser CSIRT’ens svar.
- ☐ En vurdering af, om bistand til overvågning eller en proaktiv scanning giver mening for jer.
- ☐ En fremgangsmåde for at bede om vejledning eller teknisk bistand under en hændelse.
- ☐ Opfølgning på fund fra en scanning med ejer og frist.
- ☐ Kontrol af, at adgangen til virk.dk virker uden for arbejdstid.
Næste skridt er at tjekke, hvem i virksomheden der kan logge ind på virk.dk på virksomhedens vegne, og skrive navnet ind i beredskabsplanen.
Kilder
- Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 13, stk. 3, om CSIRT’ens svar og bistand, § 14 om frivillige underretninger, § 17 om CSIRT’ens opgaver og § 19 om cybersikkerhedsfællesskaber.
- Styrelsen for Samfundssikkerhed: Vejledning om hændelsesunderretning, juni 2025 (samsik.dk): ordlisten om CSIRT og kapitel 3 om underretning via virk.dk.
- Styrelsen for Samfundssikkerhed: Spørgsmål og svar om NIS2 (samsik.dk): Forsvarets Efterretningstjeneste som national CSIRT.
- Sikkerdigital.dk: Du kan anmelde cyberangreb til politiet: Cyberhotline for digital sikkerhed.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Er hændelsen væsentlig? · Politianmeldelse efter et cyberangreb
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
