Styrelsen for Samfundssikkerhed (SAMSIK) udgiver trusselsvurderingen “Cybertruslen mod Danmark”, og myndigheden skriver selv, at den kan tjene som input til organisationers risikovurderinger. Ledelsen bruger den bedst i tre trin. Den eksterne CISO oversætter de nationale trusselsniveauer og angrebstyper til scenarier for netop jeres virksomhed. Scenarierne indgår i jeres egen risikovurdering. Og når et niveau ændres, eller en ny sektorvurdering udkommer, tager ledelsen stilling til, om planen skal justeres. Trusselsvurderingen erstatter aldrig jeres egen vurdering, men den giver et fælles og sagligt udgangspunkt for samtalen i bestyrelsen.
Dokumentet og afsenderen
Udgaven fra november 2025 er den første, SAMSIK har udgivet. Den afløser Center for Cybersikkerheds udgave fra september 2024 og er skrevet i samarbejde med blandt andet Forsvarets Efterretningstjeneste. Formålet er ifølge SAMSIK at informere beslutningstagere i det danske samfund om cybertruslen.
Vurderingen fra 2025 er bygget op om de angrebstyper, organisationerne skal forholde sig til, frem for om hackernes motiver. SAMSIK forklarer, at den underliggende analyse følger de samme metodiske principper som før, så udgaverne stadig kan sammenlignes. Trusselsniveauerne for de fem formålskategorier er de samme som i udgaven fra 2024.
Niveauerne, og hvad de betyder
SAMSIK bruger fem trusselsniveauer: ingen, lav, middel, høj og meget høj. Niveauet udtrykker en vurdering af aktørernes intention, kapacitet og aktivitet. Højeste niveau betyder, at en eller flere aktører løbende angriber, eller at der er oplysninger om tid og mål for et angreb.
I 2025-udgaven er truslen fra cyberkriminalitet og fra cyberspionage vurderet som meget høj. Truslen fra cyberaktivisme er høj, truslen fra destruktive cyberangreb er middel, og truslen fra cyberterror er vurderet til ingen.
Seks angrebstyper beskrives som de mest aktuelle for danske organisationer: ransomware, datatyveri, digital svindel, DDoS-angreb, manipulation af operationel teknologi (OT, de systemer, der styrer maskiner og anlæg) og wiper-angreb, der sletter data. For de fire første vurderer SAMSIK, at det er meget sandsynligt, at danske organisationer vil blive udsat for forsøg. For OT og wiper-angreb er vurderingen, at det er muligt.
For ledelsen er niveauerne et udtryk for sandsynligheden for, at nogen forsøger. De siger intet om, hvad et angreb vil koste netop jer. Den del skal jeres egen vurdering levere, ud fra hvilke systemer forretningen hviler på, og hvor længe I kan undvære dem.
Fra national vurdering til jeres egne scenarier
Trinnet fra et nationalt dokument til en virksomhed med 40 ansatte er det, de fleste springer over. Den eksterne CISO kan gøre det i en kort øvelse.
- Vælg de angrebstyper, der passer. Et softwarehus med kundedata vil vægte datatyveri højt. En produktionsvirksomhed med styringssystemer på fabriksgulvet vil have OT med, selvom SAMSIK vurderer den angrebstype som mindre sandsynlig.
- Skriv et scenarie for hver. Hvad vil et ransomware-angreb ramme hos jer, hvor længe vil produktionen stå, og hvem skal have besked?
- Sæt scenariet ind i risikovurderingen. Sandsynligheden kan støtte sig til SAMSIKs vurdering, mens konsekvensen bygger på jeres egen forretning.
- Se på foranstaltningerne. Hvilke af dem dæmper netop dette scenarie, og hvor er hullerne?
SAMSIKs vejledning til implementering af NIS2-foranstaltningerne nævner, at risici skal analyseres under iagttagelse af cybertrusler og sårbarheder, og at politikken for risikostyring bør ajourføres, når trusselsbilledet ændrer sig. Trusselsvurderingen er et af de mest direkte grundlag for den del. Hvordan selve risikovurderingen bliver brugbar for ledelsen, er beskrevet i risikovurdering for ledelsen, og metoden for at gøre den sammenlignelig fra år til år i risikoanalysemetode.
Sektorvurderingerne
Ud over den nationale vurdering udgiver SAMSIK sektorspecifikke og emnespecifikke trusselsvurderinger. Der findes blandt andet vurderinger for transportsektoren, telesektoren, sundhedssektoren, finanssektoren og universiteterne. Hører I til en af de sektorer, eller leverer I til virksomheder i dem, er sektorvurderingen ofte mere brugbar end den nationale, fordi den beskriver de aktører og metoder, der rammer netop den branche.
Et eksempel på en ændring kom i marts 2025, hvor SAMSIK hævede trusselsniveauet for cyberspionage mod telesektoren fra middel til høj. For en underleverandør til et teleselskab er sådan en ændring værd at tage op, også selvom virksomheden ikke selv er omfattet.
Trusselsvurderingen på bestyrelsesmødet
Bestyrelsen har sjældent brug for hele dokumentet. Den har brug for en side, der forbinder det med virksomhedens egen situation. En god opbygning er:
- De to eller tre angrebstyper, der betyder mest for jer, med SAMSIKs vurdering i én linje hver.
- De scenarier, de har givet anledning til i jeres risikovurdering.
- Hvad der er gjort siden sidst, og hvad der mangler.
- Eventuelle beslutninger, ledelsen skal træffe.
Siden kan med fordel indgå i den årlige gennemgang af risikovurderingen, så bestyrelsen ser trusselsbilledet og jeres egne risici i sammenhæng. Opbygningen af selve rapporten gennemgås i sikkerhedsrapport til bestyrelsen.
Når niveauet ændres
En ændring i et trusselsniveau er en anledning til at stille tre spørgsmål. Ændrer det sandsynligheden i nogen af vores scenarier? Rammer det en sektor, vi selv er i eller leverer til? Og har vi foranstaltninger, der bør fremrykkes?
Svaret er ofte, at planen holder. Så skrives det i referatet, med dato og kilde, at ændringen er vurderet, og hvorfor planen fortsætter uændret. Det dokumenterer, at ledelsen følger med, og er nyttigt ved et tilsyn. Er svaret, at noget skal fremrykkes, går forslaget gennem den almindelige prioritering, som beskrevet under risikovurdering og sikkerhedsstrategi.
Det skal I lade være med
- At citere trusselsniveauet som begrundelse for et indkøb. Et nationalt niveau siger intet om, hvilken løsning jeres risiko kræver.
- At bruge kilder fra leverandørernes markedsføring i stedet. Myndighedernes egne vurderinger er skrevet uden salgsinteresse.
- At lægge hele dokumentet frem for bestyrelsen. En side, der er oversat til jeres virksomhed, bliver læst.
- At glemme at se efter en ny udgave. Vurderingen og sektorvurderingerne opdateres løbende.
- At lade et uændret niveau betyde, at intet skal vurderes. Jeres egne systemer og leverandører ændrer sig alligevel.
Det skal I kræve af den eksterne
- ☐ Kildehenvisning til SAMSIKs egne dokumenter, når trusler omtales.
- ☐ En oversættelse af angrebstyperne til jeres egne scenarier.
- ☐ Overvågning af nye udgaver og sektorvurderinger, der er relevante for jer.
- ☐ En kort vurdering skrevet ned, hver gang et relevant niveau ændres.
- ☐ En side til bestyrelsen, der forbinder trusselsbilledet med jeres risici.
- ☐ En rådgiver uden indtjening på de løsninger, der anbefales.
Kilder
- SAMSIK: Cybertruslen mod Danmark 2025: formål, hovedvurderinger, angrebstyper og definitionen af trusselsniveauerne.
- SAMSIK: Alvorlig cybertrussel mod Danmark (25. november 2025): vurderingen udgives i 2025 for første gang af SAMSIK.
- SAMSIK: Ny trusselsvurdering, cybertruslen mod telesektoren: niveauet for cyberspionage hævet fra middel til høj i marts 2025.
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger: risikoanalyse under iagttagelse af cybertrusler, ajourføring ved ændret trusselsbillede og SAMSIKs trusselsvurderinger som materiale.
Senest gennemgået: november 2026.
Næste skridt
- Risikovurdering og sikkerhedsstrategi
- Risikovillighed: sådan formulerer ledelsen, hvor meget den vil tåle
Læs også: Hvem vil angribe os? · Cybersikkerhed i bestyrelseslokalet
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
