En skrivebordsøvelse, på engelsk ofte kaldet en tabletop-øvelse, er en samtale om en tænkt hændelse, hvor ledelsen gennemspiller de beslutninger, den ville skulle træffe. Ingen systemer berøres, og ingen skal kunne teknikken. Øvelsen tager typisk to til tre timer, ledes af en facilitator og bygger på jeres egen beredskabsplan. Den afslører næsten altid huller i kontaktlister, mandater og antagelser om leverandører og backup, og værdien ligger i, at hullerne bliver rettet bagefter.
Hvad en skrivebordsøvelse er
Deltagerne sidder om et bord, fysisk eller online, og får et scenarie præsenteret i trin. Hvert trin bringer nye oplysninger: en medarbejder ringer, driftsleverandøren melder om krypterede servere, en kunde spørger, en journalist skriver. For hvert trin drøfter deltagerne, hvad de gør, hvem der beslutter, og hvem der skal kontaktes.
Øvelsen tester planen og de mennesker, der skal bruge den. Den svarer på spørgsmål som: Ved vi, hvem der bestemmer? Kan vi nå driftsleverandøren uden for arbejdstid? Ved vi, om hændelsen skal underrettes, og af hvem? Hvordan en teknisk sikkerhedstest og beredskabet hænger sammen, er beskrevet på sikkerhedstesten.dk.
Hvem deltager
Deltagerne bør være dem, der står i beredskabsplanen som kriseledelse:
- direktøren og eventuelt et bestyrelsesmedlem
- den, der har ansvaret for økonomi og betalinger
- den, der står for kommunikation
- en repræsentant for driften eller driftsleverandøren
- CISO
Dertil kommer en facilitator, der leder øvelsen, og en observatør, der skriver ned, hvad der bliver sagt og besluttet. Facilitatoren bør ikke selv være en af dem, der skal træffe beslutningerne. En ekstern CISO kan påtage sig rollen, hvis en anden deltager tager CISO’s plads i scenariet.
Valg af scenarie
Scenariet skal være realistisk for netop jeres virksomhed og ramme det, der vil gøre mest ondt. Tre eksempler:
- Ransomware hos driftsleverandøren. Leverandøren meddeler mandag morgen, at deres egne systemer er ramt, og at de ikke kan sige, om jeres data er berørt.
- Kompromitteret mailkonto. Økonomichefens konto er overtaget, og en kunde har betalt en større faktura til et forkert kontonummer.
- Datalæk. En ukendt person kontakter jer og påstår at have kundedata.
Tag produktionsvirksomheden med 40 ansatte. Her kunne scenariet være, at ERP-løsningen hos den eksterne udbyder er utilgængelig, og at produktionsplanerne for ugen ligger i systemet. Øvelsen vil hurtigt vise, om nogen ved, hvordan forretningen kører uden.
Facilitatoren forbereder et kort oplæg til hvert trin og et par ekstra oplysninger, der kan bruges, hvis drøftelsen går i stå eller bliver for let. Deltagerne bør have læst beredskabsplanen inden mødet, men de skal ikke kende scenariet på forhånd.
Scenariet bør bygges på jeres egen beredskabsplan og jeres egne leverandører, så diskussionen handler om det, der faktisk findes.
Forløbet på et par timer
En øvelse på cirka to og en halv time kan se sådan ud:
- Indledning, 15 minutter. Formål, regler og scenariet i hovedtræk. Det understreges, at det er planen, der testes.
- Første trin, 30 minutter. Hændelsen opdages. Hvem får besked, og hvad besluttes i den første time?
- Andet trin, 30 minutter. Omfanget vokser. Skal noget lukkes ned, skal forsikringen kontaktes, og er hændelsen væsentlig efter NIS2-loven?
- Tredje trin, 30 minutter. Omverdenen reagerer. Kunder, medarbejdere og presse spørger.
- Opsamling, 30 minutter. Hvad virkede, hvad manglede, og hvad skal rettes?
NIS2-lovens § 13 giver et døgn til den tidlige varsling, regnet fra kendskabet til en væsentlig hændelse, og fristen er en god anledning til at lade tiden i scenariet springe frem. Ledelsens beslutninger under en virkelig hændelse er samlet i artiklen om de første timer.
Hvad øvelsen typisk afslører
Fundene ligner hinanden fra virksomhed til virksomhed. Kontaktoplysninger er forældede, eller de ligger i et system, der er nede i scenariet. Det er uklart, hvem der må beslutte at lukke systemer. Ingen ved præcis, hvad aftalen med driftsleverandøren siger om svartid. Backup antages at virke, men ingen kan sige, hvornår gendannelse senest blev prøvet. Og kommunikationen til kunderne har ingen ejer.
Den slags fund er netop det, øvelsen skal frembringe, og de siger intet om, at nogen har svigtet.
Opfølgningen bagefter
Øvelsen har kun værdi, hvis fundene bliver til handlinger. Observatørens noter samles i en kort rapport med tre dele: hvad der virkede, hvad der skal rettes, og hvem der gør hvad inden hvornår. Rapporten forelægges ledelsen, og rettelserne følges op på de næste ledelsesmøder.
Planen opdateres med det samme, og den næste øvelse planlægges, typisk et år senere og med et andet scenarie. Øvelsen kan lægges ind i årshjulet for sikkerhedsarbejdet, og resultatet kan indgå i sikkerhedsrapporten til bestyrelsen.
For NIS2-omfattede virksomheder kan en øvelse også give ledelsen indsigt i styring af cybersikkerhedsrisici. Om den kan indgå i opfyldelsen af kravet om kurser for ledelsesorganet i § 7, stk. 2, bør vurderes ud fra indholdet, se NIS2-uddannelse af ledelsen.
Det skal I lade være med
- At vælge et scenarie, der er let at løse · øvelsen skal presse planen.
- At lade den, der skrev planen, lede øvelsen alene · en anden facilitator ser hullerne lettere.
- At gøre øvelsen til en eksamen · deltagerne skal turde sige, at de ikke ved det.
- At springe opsamlingen over, fordi tiden løb ud · den er det vigtigste.
- At øve og så lade rapporten ligge · rettelserne skal have en ejer og en frist.
Det skal I kræve af den eksterne
- ☐ Et scenarie, der bygger på jeres egne systemer, leverandører og plan.
- ☐ En drejebog med trin, nye oplysninger og spørgsmål til hvert trin.
- ☐ En skriftlig rapport med fund, ansvarlige og frister.
- ☐ Forslag til konkrete rettelser i beredskabsplanen.
- ☐ Et forslag til næste øvelse og dens scenarie.
Næste skridt er at sætte to til tre timer af i ledelsens kalender og vælge det scenarie, der vil ramme jer hårdest. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Kilder
- Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 7, stk. 2, om kurser for ledelsesorganet og § 13 om frister for underretning.
Senest gennemgået: november 2026.
Næste skridt
Læs også: De første timer efter en sikkerhedshændelse · Cybersikkerhed som fast punkt på bestyrelsesmødet
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
