Beslutningen om at anmelde et cyberangreb til politiet ligger hos direktionen, og den bør træffes i løbet af de første timer. Politiet anbefaler virksomheder at anmelde angreb, og anmeldelsen sker via politi.dk eller på telefon 114. Anmeldelse og genopretning er to selvstændige spor. Politiet sikrer spor og efterforsker forbrydelsen, mens arbejdet med at få systemerne op at køre igen ligger hos jeres egen IT-funktion, IT-leverandøren eller et IT-sikkerhedsfirma. Ledelsens opgave er at styre de to spor på samme tid og afgøre, hvor de skal vige for hinanden.
To spor med hver sin dagsorden
Den, der genopretter, vil gerne rydde op hurtigt. Den, der efterforsker, vil gerne have, at intet bliver rørt. Begge hensyn er rimelige, og de kolliderer i de første døgn.
Sikkerdigital.dk beskriver, hvad politiet har brug for. Logs fra fx firewalls og netværksudstyr, kopier af ramt udstyr og gerne systemer, der ikke har været slukket, fordi der kan ligge vigtige spor i arbejdshukommelsen. Mistænker I, at angriberen stadig er i netværket, anbefales det at koble de ramte maskiner fra internettet og fra det interne netværk, men lade dem stå tændt. Politiet tager typisk en kopi af data frem for at tage udstyret med og forsøger at undgå at forstyrre genetableringen.
Der kan alligevel opstå et valg. Tag produktionsvirksomheden med 40 ansatte, hvor serverne er krypteret en søndag nat. Driftsleverandøren kan geninstallere fra backup i løbet af mandagen, hvis den må begynde med det samme. Skal der først tages kopier af de ramte servere, går der nogle timer mere. Den afvejning er en forretningsbeslutning om, hvor meget forsinkelse virksomheden vil acceptere for at bevare sporene, og den skal træffes af direktøren, når teknikerne har beskrevet konsekvenserne.
Hvem der har mandatet
I mange virksomheder står det ingen steder, hvem der må anmelde et angreb. Resultatet er, at alle venter på hinanden, eller at driftsleverandøren ringer på eget initiativ uden at vide, hvad virksomheden ønsker.
Ledelsens del af beredskabsplanen bør derfor nævne den person, der beslutter anmeldelsen, og en stedfortræder, der kan træffe beslutningen uden for arbejdstid. Planen bør også sige, om CISO eller driftsleverandøren må anmelde på virksomhedens vegne, hvis ingen fra direktionen kan nås inden for et bestemt antal timer. Hvordan planen i øvrigt er bygget op, står i Beredskabsplan: ledelsens del af planen. Grænserne for, hvad en ekstern CISO må på egen hånd, hører hjemme i mandatet til den eksterne CISO.
En ekstern CISO kan forberede beslutningen ved at samle det, der vides om angrebet, og beskrive, hvad sporsikring vil betyde for tidsplanen. Selve valget træffes af ledelsen.
Hvornår anmeldelsen bør ske
Jo før, desto bedre. Sikkerdigital.dk peger på, at mange digitale spor bliver overskrevet eller slettet af gerningspersonerne, og at anmeldelsen derfor bør ske hurtigst muligt. Pågår angrebet stadig, skal det fremgå af anmeldelsen. Politiet har så bedre mulighed for at sikre spor og disponerer hurtigere end ved et afsluttet angreb.
Via 114 kan I på hverdage mellem klokken 7 og 20 blive stillet videre til personale med særlig viden om cyberangreb. Politiets Nationale Cyber Crime Center, NC3, har en mailadresse til spørgsmål og tip, men den kan ikke bruges til anmeldelser. Anmeldelsen går gennem politi.dk eller 114.
Vent derfor ikke på, at genopretningen er afsluttet, eller på, at årsagen er klarlagt. Anmeldelsen kan suppleres, efterhånden som der kommer mere viden.
Hvad politiet skal bruge, og hvem der taler med dem
Politiet har ofte brug for en løbende dialog med en repræsentant for ledelsen eller en person med indsigt i IT og mandat til at træffe beslutninger om IT. I får tildelt et kontaktpunkt hos politiet. Udpeg på forhånd, hvem der er jeres kontakt, så politiet ikke skal forhandle med tre leverandører hver for sig.
I de fleste sager indsamler virksomheden selv data til politiet, eventuelt sammen med et IT-sikkerhedsfirma. Det kræver orden. Notér, hvilke data der er indsamlet, hvordan det skete, og hvordan de er opbevaret frem til udleveringen. Ender sagen i retten, kan virksomheden blive indkaldt som vidne og blive spurgt netop om det og om, hvilken virkning angrebet har haft, herunder et eventuelt økonomisk tab. Hvor længe logs gemmes, og hvem der har adgang til dem, er en beslutning, der skal være taget i forvejen, se Logning: hvad ledelsen skal beslutte. Nielco IT har erfaring med hackerangreb og incident response og kan som IT-sagkyndig sikre spor uvildigt ved siden af den leverandør, der genopretter.
Ifølge sikkerdigital.dk går politiet ikke selv til pressen med oplysninger om, at en virksomhed er angrebet. Fortæl politiet, hvordan jeres egen kommunikation om angrebet er lagt an, så efterforskningen og pressehåndteringen kan afstemmes. Selve budskaberne er emnet for artiklen om krisekommunikation ved et cyberangreb.
Anmeldelsen ved siden af de andre meldinger
En politianmeldelse erstatter ingen af de andre meldinger. For en NIS2-omfattet virksomhed gælder, at en væsentlig hændelse skal underrettes til myndigheden og CSIRT’en efter § 12 via den fælles indgang på virk.dk. Den tidlige varsling skal efter § 13, stk. 1, nr. 1, oplyse, om der er mistanke om en ulovlig eller ondsindet handling bag hændelsen. Det er samme vurdering, der ligger bag beslutningen om at anmelde, og de to bør derfor tages på samme møde. Er personoplysninger berørt, kan Datatilsynet også skulle have en anmeldelse.
Har I en cyberforsikring, så læs policens vilkår om skadeanmeldelse. Nogle policer stiller betingelser om anmeldelse til politiet, og hvad jeres police kræver, står kun i jeres egne vilkår. Hvordan forsikringen skrives ind i planen, er beskrevet i Cyberforsikringen i beredskabsplanen. Står angrebet sammen med et krav om løsesum, anbefaler sikkerdigital.dk at kontakte politiet og ikke foretage yderligere skridt, før kontakten er etableret, se Skal vi betale løsesummen?.
Det skal I lade være med
- At udskyde anmeldelsen, til driften er genoprettet · imens bliver spor overskrevet.
- At geninstallere de ramte maskiner uden en beslutning om sporsikring · det kan ikke gøres om bagefter.
- At bruge NC3’s mailadresse som anmeldelse · den er til spørgsmål og tip.
- At sende politiet videre til hver leverandør for sig · én kontaktperson giver et samlet billede.
- At tro, at anmeldelsen klarer NIS2-underretningen · den går en anden vej og til andre modtagere.
Det skal I kræve af den eksterne
- ☐ En navngiven beslutningstager og stedfortræder for anmeldelsen i ledelsens del af planen.
- ☐ En kort vejledning til driftsleverandøren om, hvad der skal bevares, før der geninstalleres.
- ☐ En skabelon til notater om indsamlede data, tidspunkter og opbevaring.
- ☐ Afstemning af anmeldelsen med NIS2-underretningen og forsikringens vilkår.
- ☐ Telefonnummer og fremgangsmåde for anmeldelse på kontaktlisten.
Næste skridt er at slå op i jeres beredskabsplan og se, om den nævner politiet med navn på den, der beslutter, og på den, der taler med politiet bagefter.
Kilder
- Sikkerdigital.dk: Du kan anmelde cyberangreb til politiet: anmeldelse via politi.dk eller 114, politiets opgaver, data til efterforskningen, pressehåndtering og vidneforklaring.
- Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 12 om underretning og § 13, stk. 1, nr. 1, om indholdet af den første varsling.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Skal vi betale løsesummen? · Beredskabsplan: ledelsens del af planen
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
