Medarbejderne melder, når der er én enkel vej at gå, når de får et hurtigt svar, og når de oplever, at ledelsen tager imod meldingen med tak, også når den handler om en fejl, de selv har begået. De tre ting er ledelsens ansvar. CISO-rollen tilrettelægger ordningen, aftaler med IT-leverandøren, hvem der modtager og svarer, og rapporterer, hvordan den bruges. Ledelsen beslutter ordningen, sætter tonen og bruger selv meldevejen, når noget ser forkert ud.
Hvorfor det haster at få meldingen ind
En mistænkelig mail, en ukendt opringning eller en computer, der opfører sig mærkeligt, kan være det første tegn på et angreb. Jo hurtigere meldingen når frem, jo mindre skade kan der ske. For en NIS2-omfattet virksomhed er der også en frist. Efter NIS2-lovens § 13, stk. 1, nr. 1, skal en tidlig varsling om en væsentlig hændelse sendes uden unødigt ophold og senest 24 timer efter, at hændelsen er kommet til virksomhedens kendskab. En hurtig intern meldevej giver ledelsen tid til at vurdere, om hændelsen er væsentlig, og til at nå varslingen inden for fristen.
I Styrelsen for Samfundssikkerheds (SAMSIK) vejledning til implementering af foranstaltningerne fra juni 2025 anbefales en procedure, så medarbejdere, leverandører og kunder kan indberette mistænkelige hændelser internt. Ifølge vejledningen bør processen være så let som mulig, så der ikke opstår barrierer for at bruge den.
Én vej ind
Ordningen bør kunne forklares i én sætning. Det kan være en fast mailadresse, en knap i mailprogrammet, der sender den mistænkelige mail videre, eller et telefonnummer, der altid bliver taget. Mange steder findes der i dag tre eller fire veje: man skriver til en kollega i IT, ringer til leverandørens support, siger det til sin chef eller lader være. Meldinger, der går til en enkeltperson, ligger stille, når vedkommende er syg eller på ferie.
Ledelsen bør derfor beslutte én primær vej og en reserve, hvis mail og net er nede, fx et telefonnummer. Vejen skal stå i sikkerhedsreglerne for medarbejderne, på intranettet og i introduktionen for nye.
Hvad der skal meldes
Medarbejderne skal ikke selv afgøre, om noget er alvorligt. Budskabet bør være, at alt, der virker forkert, må meldes, og at en melding for meget er bedre end en for lidt. Eksempler, der gør det konkret:
- Mails, sms’er eller opkald, der beder om adgangskoder, betalinger eller ændrede kontonumre.
- En vedhæftet fil eller et link, der er åbnet, og som bagefter virker mistænkeligt.
- En bærbar computer eller telefon, der er bortkommet.
- Filer, der pludselig ikke kan åbnes, eller en skærm, der viser en ukendt besked.
- En leverandør eller besøgende, der beder om adgang uden aftale.
Svaret inden for kort tid
En melding, der aldrig bliver besvaret, er den sidste, medarbejderen sender. Ordningen skal derfor fastlægge, hvem der modtager, og hvor hurtigt der svares. I en virksomhed uden egen IT-afdeling er det ofte IT-leverandøren, der modtager i dagtimerne. Aftalen bør angive svartider og, hvad der sker uden for åbningstid, se Sikkerhedskrav til jeres IT-leverandør.
Svaret kan være kort: tak, vi kigger på det, og du hører fra os. Når meldingen er undersøgt, får medarbejderen besked om, hvad den førte til. Den lille opfølgning er det, der får folk til at melde igen.
Ledelsens reaktion
Den sværeste melding er den, hvor medarbejderen selv har klikket, oplyst sin kode eller godkendt en betaling. Hvis den melding fører til en irettesættelse, kommer den næste for sent. Ledelsen bør derfor sige klart, at det er rigtigt at melde egne fejl, og at det tæller positivt, at fejlen blev meldt hurtigt. Hvordan ledelsen undgår at gøre en testrapport til en jagt på skyldige, er beskrevet på sikkerhedstesten.dk. Her gælder det de daglige meldinger.
Ledelsen kan understøtte det på flere måder: takke for meldinger på personalemøder uden at nævne navne, fortælle om en melding, der stoppede noget i tide, og selv bruge meldevejen. Når direktøren videresender en mistænkelig mail til den fælles adresse, ser medarbejderne, at ordningen gælder alle.
Fra melding til beslutning
Meldingerne skal sorteres. De fleste er ufarlige, nogle er forsøg, der blev stoppet, og få er begyndelsen på en hændelse. Den videre håndtering hører under virksomhedens hændelseshåndtering, og når en melding kan være en væsentlig hændelse, træder ledelsens beslutninger i de første timer i kraft.
CISO-rollen kan samle meldingerne i en kort status: hvor mange der kom ind, hvor hurtigt de blev besvaret, og om nogen førte til en hændelse. Udviklingen i meldingerne er et af de tegn, ledelsen kan følge, se de tegn på kultur, ledelsen kan holde øje med.
Det skal I lade være med
- At have flere uofficielle meldeveje. Så ved ingen, hvem der har set hvad.
- At lade meldinger gå til én person. Fravær stopper ordningen.
- At svare med en løftet pegefinger. Så kommer næste melding senere eller aldrig.
- At lade medarbejderne vurdere alvoren selv. Det er modtagerens opgave.
- At glemme leverandører og kunder. De kan også se noget, virksomheden bør vide.
Det skal I kræve af den eksterne
- ☐ Et forslag til én meldevej og en reserve, der kan forklares i én sætning.
- ☐ En aftale med IT-leverandøren om modtagelse, svartider og håndtering uden for åbningstid.
- ☐ En skabelon til det korte svar og til opfølgningen bagefter.
- ☐ En kobling mellem meldevejen og procedurerne for væsentlige hændelser efter NIS2.
- ☐ En status til ledelsen på antal, svartid og udfald.
Sådan kommer I i gang
Spørg fem tilfældige medarbejdere, hvor de ville melde en mistænkelig mail i dag. Er svarene forskellige, er det første skridt en beslutning om én vej. Den eksterne CISO kan derefter aftale modtagelsen med leverandøren og skrive den korte vejledning, som ledelsen præsenterer på næste personalemøde.
Kilder
- NIS2-loven, lov nr. 434 af 6. maj 2025: § 6, stk. 1, nr. 2 (håndtering af hændelser), § 12 og § 13, stk. 1, nr. 1 (underretning og tidlig varsling inden for 24 timer).
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger, juni 2025: afsnit 2.a om en intern indberetningsprocedure, der er så let som mulig.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Awareness-træning · Direktørsvindel og betalinger
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
