Virksomheder må gerne dele viden om cybertrusler med hinanden, og NIS2-loven lægger op til det. Efter § 19 faciliterer CSIRT’en, at virksomheder frivilligt kan udveksle oplysninger i cybersikkerhedsfællesskaber. Væsentlige og vigtige enheder, der træder ind i eller ud af et sådant fællesskab, skal give den kompetente myndighed besked. Virksomheder uden for loven kan også være med. For ledelsen handler det om tre beslutninger: om virksomheden skal deltage, hvad den vil dele, og hvem der må tale på dens vegne.
Hvad loven siger
§ 19 i lov nr. 434 af 6. maj 2025 har tre stykker. Stk. 1 siger, at CSIRT’en faciliterer frivillig udveksling af oplysninger mellem enheder i cybersikkerhedsfællesskaber, også fællesskaber på europæisk niveau. Stk. 2 pålægger væsentlige og vigtige enheder at underrette den kompetente myndighed, når de indgår i eller udtræder af et fællesskab. Stk. 3 åbner for, at offentlige og private enheder uden for lovens anvendelsesområde kan deltage i udvekslingen.
Loven fastsætter ikke, hvad der skal deles, eller hvordan et fællesskab skal være organiseret. Den eneste pligt i paragraffen er meddelelsen til myndigheden om ind- og udtræden. Resten er frivilligt. CSIRT betyder Computer Security Incident Response Team, den enhed, der efter loven håndterer it-sikkerhedshændelser og modtager underretninger.
Hvad et fællesskab kan give jer
Et cybersikkerhedsfællesskab er i praksis en kreds af virksomheder, ofte i samme branche eller region, der fortæller hinanden om de angreb og forsøg, de ser. Det kan være en ny type falsk faktura, et domæne, der efterligner en fælles leverandør, eller et mønster i forsøg på at logge ind.
For en mindre virksomhed er værdien, at man hører om truslen, før den rammer en selv. Den nationale trusselsvurdering beskriver det store billede, mens et fællesskab fortæller, hvad nabovirksomheden så i tirsdags. Begge dele kan bruges i jeres egen risikovurdering. Hvordan myndighedernes vurdering bruges i ledelsen, står i den nationale trusselsvurdering.
Tænk på en NIS2-underleverandør i fødevarebranchen, der deltager i en kreds med fem andre virksomheder i samme område. En af dem fortæller om mails, der efterligner en fælles transportør og beder om at bekræfte en ændret leveringsadresse. Underleverandøren advarer sit eget ordrekontor samme dag og tilføjer domænet til mailfilteret. Ingen af virksomhederne har delt andet end afsenderadressen og en beskrivelse af mailens indhold.
Det, ledelsen skal beslutte, før I deltager
Deltagelse er en ledelsesbeslutning, fordi den handler om, hvad virksomheden fortæller om sig selv. Ledelsen bør tage stilling til fire spørgsmål.
- Formål. Hvad vil I have ud af det? Tidlige varsler, sparring med ligestillede eller adgang til viden, I ikke selv har?
- Hvad må deles. Tekniske kendetegn ved et angreb, fx afsenderadresser, domæner og filnavne, er som regel ufarlige at dele. Oplysninger om kunder, medarbejdere eller kontrakter er det sjældent.
- Hvem må tale. En navngiven person, typisk den, der leder sikkerhedsarbejdet, med en stedfortræder. Andre medarbejdere deler ikke på egen hånd.
- Fællesskabets regler. Hvem er med, hvad lover deltagerne hinanden om fortrolighed, og hvad sker der med oplysningerne?
Beslutningen og reglerne skrives ned i et kort notat, så det er tydeligt, hvem der har mandatet. Hvordan roller og ansvar fordeles i sikkerhedsarbejdet, står i sikkerhedsorganisationen.
Hvad man ikke deler
Forsigtighed hører med. Personoplysninger om berørte medarbejdere eller kunder deles ikke i et fællesskab; de er omfattet af databeskyttelsesreglerne. Oplysninger, I har lovet kunder at holde fortrolige, deles heller ikke. Og detaljer om jeres egne svagheder, fx et system, der endnu ikke er opdateret, bør I holde for jer selv, indtil hullet er lukket.
En god tommelfingerregel er at dele det, en angriber allerede ved: hvordan angrebet så ud, og hvordan I opdagede det. Det, angriberen ikke ved, om jeres systemer og jeres folk, bliver hjemme. Er I i tvivl om en konkret oplysning, er det et spørgsmål til jeres juridiske rådgiver.
Meddelelsen til myndigheden
Er virksomheden en væsentlig eller vigtig enhed, skal den kompetente myndighed have besked, når I indgår i et fællesskab, og igen når I træder ud. Pligten er let at overse, fordi deltagelsen ofte starter uformelt, fx med en invitation fra brancheforeningen eller en anden virksomhed.
Læg derfor pligten ind i jeres egen procedure. Den person, der har mandatet til at melde jer ind, giver samtidig besked til myndigheden og noterer datoen i jeres kravregister. Samme procedure gælder, når I melder jer ud. Hvordan et register over lovkrav og frister kan se ud, står i kravregister.
Deling og underretning er to spor
Det, I fortæller et fællesskab, erstatter ikke de underretninger, loven kræver ved en væsentlig hændelse. De går til CSIRT’en og den kompetente myndighed efter reglerne i lovens kapitel 3. Virksomheder uden pligter kan også frivilligt underrette CSIRT’en om hændelser, nærvedhændelser og cybertrusler efter § 14. Begge spor beskrives i frivillig underretning og i hvad national CSIRT kan hjælpe med.
Det skal I lade være med
- At lade medarbejdere dele på eget initiativ. Velmente opslag kan afsløre mere, end I ønsker.
- At glemme meddelelsen om ind- og udtræden. For væsentlige og vigtige enheder er den en pligt.
- At dele kundedata eller personoplysninger. Tekniske kendetegn er nok til at advare andre.
- At tage imod uden at give. Fællesskaber lever af, at alle bidrager med noget.
- At bruge fællesskabet i stedet for underretningen. Det er to forskellige spor.
Det skal I kræve af den eksterne
- ☐ Et notat til ledelsen om formål, deling og mandat, før I melder jer ind.
- ☐ En klar grænse for, hvilke oplysninger der må deles, og hvilke der bliver hjemme.
- ☐ Besked til myndigheden om ind- og udtræden, når I er omfattet, med datoen noteret.
- ☐ En kort status til ledelsen om, hvad fællesskabet har givet af varsler.
- ☐ Varsler fra fællesskabet omsat til konkrete opgaver i jeres egen plan.
Sådan kommer I i gang
Spørg i jeres brancheforening eller hos jeres største samarbejdspartnere, om der findes en kreds, der deler viden om trusler. Lad den, der leder sikkerhedsarbejdet, skrive et notat på en side om formål og grænser, og tag beslutningen på næste ledelsesmøde. Risikoarbejdet, som varslerne skal føde ind i, er beskrevet under risikovurdering og sikkerhedsstrategi.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 19, stk. 1-3, om cybersikkerhedsfællesskaber og meddelelse om ind- og udtræden, § 14 om frivillig underretning og § 3, nr. 4, om cybertrusler.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvem vil angribe os? · Hvad national CSIRT kan hjælpe med
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
