I en produktionsvirksomhed bør sikkerheden for kontorets IT og for de systemer, der styrer maskiner og anlæg, ledes af den samme person og rapporteres i den samme rapport. Produktionschefen ejer risikoen for, at linjerne står stille, og skal derfor være med, når risikoen vurderes. Sikkerhedslederen, intern eller ekstern, holder metoden, overblikket og opfølgningen samlet. Uden den sammenkobling ender virksomheden typisk med en sikkerhedsplan for kontoret og en uskreven antagelse om, at fabrikken klarer sig selv.
To verdener med hver sin logik
Fagfolk taler om IT og OT. IT er de administrative systemer: mail, økonomi, ERP og filer. OT, operationel teknologi, er de styringer, skærme og netværk, der får maskiner, robotter, kølerum og doseringsanlæg til at køre. De to områder har ofte forskellige ejere. IT ligger hos økonomichefen og en IT-leverandør, mens OT ligger hos produktionschefen, vedligeholdelsesafdelingen og maskinleverandørerne.
Prioriteterne er også forskellige. På kontoret er fortrolighed ofte det vigtigste. På fabrikken er det, at anlægget kører sikkert og uden afbrydelser. Et anlæg kan have en styring, der ikke kan opdateres uden leverandørens medvirken, og en planlagt genstart kan koste en hel produktionsdag. Derfor skal risici og tiltag på fabrikken vurderes sammen med folk, der kender anlæggene, og indgå i det samme sikkerhedsarbejde som kontoret.
Er virksomheden omfattet af NIS2?
NIS2-lovens bilag 2 nævner under fremstilling bl.a. virksomheder, der fremstiller computere og elektronik, elektrisk udstyr, maskiner, motorkøretøjer og andre transportmidler samt medicinsk udstyr. Bilaget omfatter også fremstilling af kemikalier og industriel produktion og tilvirkning af fødevarer. Om en virksomhed af en af disse typer er omfattet, afhænger desuden af størrelsen efter lovens § 5. Virksomheder med anden produktion står ikke i bilagene, men kan møde de samme krav gennem kunder, der selv er omfattet.
Vurderingen af, om virksomheden selv er omfattet, bør laves én gang og skrives ned. For sikkerhedsledelsen er pointen, at ledelsens opgaver efter § 7 gælder hele virksomheden. Ledelsesorganet godkender foranstaltningerne og fører tilsyn med dem, og der står intet om, at produktionen er undtaget. Mere om pligterne står under NIS2 og ledelsens ansvar.
Hvem ejer risikoen for anlæggene
En klar fordeling ser sådan ud:
- Direktionen godkender risikovurderingen og beslutter, hvilke risici der skal håndteres, og hvilke der accepteres.
- Produktionschefen er risikoejer for anlæggene. Han eller hun ved, hvad et stop koster, og hvilke anlæg der er flaskehalse.
- Sikkerhedslederen fører metoden, sørger for, at OT vurderes på samme skala som IT, og følger op.
- Vedligehold og maskinleverandører leverer viden om, hvad der kan ændres, og hvornår.
Det vigtigste ord er samme skala. Når et nedbrud på en pakkelinje og et nedbrud i økonomisystemet vurderes efter de samme kriterier, kan ledelsen sammenligne dem og prioritere. Hvordan en vurdering bygges op, så den kan bruges til beslutninger, står i risikovurdering for ledelsen.
Fabrikken i overblikket, beredskabet og rapporten
Tre steder skal produktionen konkret ind.
Overblikket over aktiver. Styringer, betjeningspaneler, servere i produktionen og fjernadgange fra maskinleverandører hører med på listen. Mange virksomheder opdager først her, hvor mange forbindelser der går ud af huset fra fabrikken. Se forvaltning af aktiver.
Beredskabet. Planen skal svare på, om produktionen kan køre videre, hvis kontorets systemer er nede, og omvendt. Kan ordrer og recepter hentes, hvis ERP er utilgængeligt? Hvem beslutter at standse en linje af sikkerhedshensyn, og hvem må starte den igen? Ledelsens del af planen er beskrevet under beredskabsplan for ledelsen.
Rapporten. Rapporten til direktion og bestyrelse skal have et afsnit om produktionen med de samme nøgletal og den samme status som resten: åbne risici, gennemførte tiltag og hændelser. Står fabrikken ikke i rapporten, er der ingen, der fører tilsyn med den.
Et nøgletal, der giver mening for begge verdener, er den tid, en linje eller et system kan stå stille, før det rammer leverancerne. Når tallet er aftalt med produktionschefen for de vigtigste anlæg, kan ledelsen se, om beredskab og backup lever op til det, og bestyrelsen kan forstå rapporten uden at kende teknikken bag.
Hvilken rolle der skal lede arbejdet, og om den skal hentes udefra, er en anden diskussion, som behandles på ekstern-it-ledelse.dk.
Et tænkt eksempel
Forestil jer en fabrik med 40 ansatte, en IT-leverandør til kontoret og to maskinleverandører med fjernadgang til hver sin linje. Den eksterne CISO starter med at kortlægge forbindelserne og finder, at den ene fjernadgang altid er åben. Produktionschefen vurderer, at et stop på den linje vil ramme leverancerne til den største kunde inden for et døgn. Direktøren beslutter, at fjernadgangen fremover kun åbnes efter aftale, og at leverandøren skal bekræfte det skriftligt. Tiltaget kommer på listen i den næste rapport til bestyrelsen.
Det skal I lade være med
- At lade fabrikken stå uden for risikovurderingen, fordi IT-leverandøren ikke har ansvar for den.
- At gennemføre ændringer på anlæg uden produktionens accept. En velment opdatering kan standse en linje.
- At lade maskinleverandørernes fjernadgange leve deres eget liv uden registrering og aftaler.
- At have to beredskabsplaner, der ikke kender hinanden. Kontor og fabrik påvirker hinanden under en hændelse.
- At rapportere sikkerhed til bestyrelsen uden et ord om produktionen.
Det skal I kræve af den eksterne
- ☐ Erfaring med at tale med både produktionsfolk og IT-leverandører og forstå deres forskellige hensyn.
- ☐ En risikovurdering, hvor anlæg og kontorsystemer måles på samme skala.
- ☐ Et overblik over fjernadgange og leverandører med adgang til produktionen.
- ☐ Et beredskab, der dækker samspillet mellem kontor og fabrik.
- ☐ Ét samlet afsnit om produktionen i rapporten til ledelsen.
- ☐ Respekt for, at tekniske ændringer på anlæg aftales med produktionen og leverandøren.
Hvad I kan gøre nu
Sæt produktionschefen og den, der har ansvaret for IT, ved samme bord, og bed dem lave en fælles liste over de anlæg og systemer, hvor et stop koster mest. Den liste er begyndelsen på en fælles risikovurdering. Test af produktionsmiljøet hører til et senere trin og er beskrevet på nis2-pentest.dk. Hvordan en ekstern sikkerhedsleder arbejder, står under hvad er CISO as a Service. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Kilder
- NIS2-loven (lov 434/2025) på retsinformation.dk: fremstillingsvirksomhederne i bilag 2, nr. 3 til 5, om kemikalier, fødevarer og fremstilling, § 5 om vigtige enheder og § 7, hvor ledelsesorganets pligter står.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Sikkerhedsledelse i fødevareproduktion · Sikkerhedsrapport til bestyrelsen
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
