Under et cyberangreb bør virksomheden sige det, den ved, til dem, der er berørt, i en rækkefølge, der er aftalt på forhånd, og gennem én talsperson, som ledelsen har udpeget. Medarbejderne skal som regel høre det først, derefter de kunder og samarbejdspartnere, hvis leverancer er påvirket, og pressen, når den spørger, eller når sagen er kendt udadtil. Budskaberne kan langt hen ad vejen skrives, før noget sker, og ligge som skabeloner i beredskabsplanen. Det, der skal skrives under hændelsen, er de konkrete oplysninger og tidspunktet for næste besked.
Kommunikation er en del af planen
I mange beredskabsplaner fylder teknikken det meste, og kommunikationen står som én linje: “Direktøren informerer.” Det holder sjældent, når telefonen ringer fra både kunder, leverandører og en journalist inden for samme time.
Ledelsens del af planen bør i stedet svare på fire ting. Hvem må udtale sig, og hvem er stedfortræder? Hvem godkender en besked, før den sendes? Hvilke målgrupper findes der, og i hvilken rækkefølge får de besked? Og hvilke kanaler bruges, hvis mail, intranet og hjemmeside ligger ned? Resten af planens indhold er gennemgået i Beredskabsplan: ledelsens del af planen.
Kanalerne skal kunne bruges uden virksomhedens egne systemer. En liste over kontaktpersoner hos kunder og leverandører med telefonnumre, gemt uden for det fælles drev, gør det muligt at ringe, når mailen ikke virker. Har virksomheden mange kunder, kan en sms-tjeneste eller en midlertidig side hos en ekstern udbyder være en løsning, men den skal være sat op og afprøvet i forvejen.
Godkendelsesvejen skal være kort. To personer er nok: talspersonen, der skriver, og direktøren, der godkender. Hvis CISO er med i kriseledelsen, læser CISO beskeden igennem for faktuelle fejl, fx om der står “ingen data er berørt”, når det endnu ikke er undersøgt.
Målgrupperne og rækkefølgen
Medarbejderne er både berørte og budbringere. De skal vide, hvad de må gøre med deres udstyr, hvordan de kommunikerer internt, mens systemerne er nede, og hvad de svarer, hvis en kunde ringer. Et kort svar, de kan give videre, og et navn, de kan henvise til, forhindrer, at ti forskellige versioner af sagen går ud i markedet.
Kunder med påvirkede leverancer skal høre fra virksomheden selv. Er virksomheden omfattet af NIS2-loven, kræver § 15, stk. 1, at modtagerne af dens tjenester orienteres uden unødigt ophold, hvis en væsentlig hændelse formentlig vil forringe det, de modtager. Mange kontrakter har desuden egne krav. Hvem der skal have besked, og hvad pligten indebærer, står i Når kunderne skal have besked om en hændelse.
Leverandører og samarbejdspartnere med forbindelse til jeres systemer skal vide, om de skal afbryde integrationer eller være på vagt over for mails, der ser ud til at komme fra jer.
Pressen får en kort, faktuel udtalelse. En virksomhed, der ikke selv har gjort sagen offentlig, behøver ikke opsøge pressen, men den skal være klar, hvis den bliver spurgt. Har I anmeldt angrebet, oplyser sikkerdigital.dk, at politiet ikke selv orienterer pressen, og at politiet gerne vil kende jeres kommunikationsstrategi, se Politianmeldelse efter et cyberangreb.
Budskaber, der kan skrives i dag
En god skabelon har faste afsnit og huller til det konkrete. Den første besked til kunderne kan fx bestå af:
- Hvad der er sket, i én sætning og uden gæt om årsagen.
- Hvilke tjenester eller leverancer der er påvirket.
- Hvad kunden selv bør gøre, hvis noget.
- Hvornår næste besked kommer, og hvem kunden kan kontakte.
Tilsvarende skabeloner kan laves til medarbejdere, til leverandører og til en pressehenvendelse. Skriv dem i et almindeligt sprog og læs dem højt i en øvelse. En beredskabsøvelse for ledelsen er et godt sted at prøve, om de holder.
Tag softwarehuset med fem udviklere og én stor kunde, der kræver ISO 27001-dokumentation. Platformen er utilgængelig, og det er uklart, om data er kopieret. Den første besked til den store kunde siger, at platformen er nede efter et angreb, at det undersøges, om data er berørt, og at næste opdatering kommer klokken 15. Den lover ikke, at data er i sikkerhed, fordi ingen ved det endnu.
Samspillet med underretningerne
Det, der siges udadtil, skal passe med det, der meldes til myndighederne. Har virksomheden i den tidlige varsling efter NIS2-lovens § 13 skrevet, at hændelsen mistænkes at være ondsindet, kan pressemeddelelsen ikke kalde det et teknisk nedbrud. Er der anmeldt et brud på persondatasikkerheden til Datatilsynet, skal kundebeskeden ikke påstå, at ingen personoplysninger er berørt.
Myndighederne kan også selv gå ud. § 16, stk. 1, giver den kompetente myndighed adgang til at orientere offentligheden om en væsentlig hændelse, når virksomheden er hørt, og offentliggørelsen er nødvendig for at forebygge eller håndtere hændelsen eller af andre grunde tjener offentligheden. I de samme situationer kan myndigheden efter stk. 2 pålægge virksomheden selv at gå ud med oplysningerne og fastlægge formen. Ledelsen bør derfor vide, hvem der svarer, hvis myndigheden henvender sig for at høre virksomheden.
Én person i kriseledelsen bør holde styr på, hvad der er sagt til hvem og hvornår. Det er en del af den log, der føres under hændelsen, og den gør det lettere at holde budskaberne ens.
Når den akutte fase er ovre
Kommunikationen slutter ikke, når systemerne kører igen. Kunder og samarbejdspartnere vil vide, hvad der er rettet, og om det kan ske igen. Hvordan en sikkerhedstest kan indgå i den forklaring, er beskrevet på sikkerhedstesten.dk. Ledelsens egen gennemgang af forløbet, herunder kommunikationen, hører hjemme i evalueringen efter hændelsen.
Det skal I lade være med
- At love noget, I ikke ved endnu · “ingen data er tabt” er svært at trække tilbage.
- At lade leverandøren tale på jeres vegne over for jeres kunder · kunden har aftalen med jer.
- At glemme medarbejderne · de bliver spurgt, før pressen ringer.
- At skrive skabeloner, der kun ligger på det ramte fildrev · de skal kunne findes uden systemerne.
- At give forskellige forklaringer til myndighed og kunder · uoverensstemmelser bliver opdaget.
Det skal I kræve af den eksterne
- ☐ Et afsnit om kommunikation i ledelsens del af planen med talsperson, stedfortræder og godkendelse.
- ☐ Skabeloner til medarbejdere, kunder, leverandører og presse.
- ☐ En kontrol af, at beskederne stemmer med underretningerne til myndighederne.
- ☐ Kanaler, der virker, når mail og hjemmeside er nede.
- ☐ Afprøvning af budskaberne i en øvelse.
Næste skridt er at skrive den første kundebesked som skabelon og lade direktøren godkende den nu, så den kun skal udfyldes, den dag det sker.
Kilder
- Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 13 om den tidlige varsling, § 15, stk. 1, om besked til modtagerne af tjenesterne og § 16, stk. 1 og 2, om information af offentligheden.
- Sikkerdigital.dk: Du kan anmelde cyberangreb til politiet: politiets pressehåndtering, når en virksomhed har anmeldt et angreb.
Senest gennemgået: november 2026.
Næste skridt
Læs også: De første timer efter en sikkerhedshændelse · Bestyrelsen under en alvorlig hændelse
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
