Det er tryggere ikke at vide det

Bag en udskudt sikkerhedstest kan der ligge en tanke, som ikke nødvendigvis bliver sagt højt: hvis vi tester, finder vi noget, og så har vi et problem. Så længe ingen har set efter, kan ledelsen sige, at den ikke kendte til noget. Tanken er menneskelig og fortjener at blive taget alvorligt. Men den bygger på en forkert antagelse. Svaghederne findes, uanset om nogen har set efter, og andre end virksomheden selv kan finde dem. Det, ledelsen opnår ved ikke at vide, er ikke tryghed, men færre muligheder for at handle. Teksten er ikke juridisk rådgivning.

Hvor bekymringen kommer fra

Bekymringen har flere lag. Det ene er praktisk: en rapport med fund skaber arbejde, som skal prioriteres og betales. Det andet handler om ansvar: hvis ledelsen kender til en svaghed og ikke retter den, kan det se værre ud end ikke at have kendt til den. Det tredje er mere personligt. Ingen bryder sig om at få at vide, at noget, man har ansvaret for, ikke holder.

Alle tre lag er forståelige. De peger bare ikke på at lade være med at teste. De peger på at være forberedt på, hvad testen viser, og på at have en plan for at følge op. Når bekymringen bliver sagt højt i ledelsen, kan den blive til konkrete spørgsmål: hvor meget er vi parat til at bruge på rettelser, hvem skal stå for opfølgningen, og hvad gør vi med det, vi ikke når? De spørgsmål kan besvares, før testen bestilles. → Kan testresultatet bruges imod os?

Svaghederne findes alligevel

En sikkerhedstest skaber ikke svagheder. Den finder dem, der allerede er der. Når ledelsen vælger ikke at teste, forsvinder svaghederne ikke; de bliver bare ikke opdaget af virksomheden selv.

Styrelsen for Samfundssikkerhed beskriver i sin vurdering af cybertruslen mod Danmark, at danske myndigheder, virksomheder og borgere udsættes for cyberangreb dagligt, og at truslen er blevet et grundvilkår. Det betyder, at spørgsmålet ikke er, om nogen leder efter svagheder, men hvem der finder dem først. Hvis det er virksomheden selv, kan den vælge, hvad der skal ske. Hvis det er en anden, er valget ikke længere virksomhedens. → Hvis vi ikke tester

Uvidenhed er ikke det samme som uskyld

Tanken om, at det er bedre ikke at vide, hviler på en forestilling om, at uvidenhed fritager. For personoplysninger peger databeskyttelsesforordningen i en anden retning. Efter artikel 24, stk. 1, skal den dataansvarlige gennemføre passende tekniske og organisatoriske foranstaltninger for at sikre og for at være i stand til at påvise, at behandlingen er i overensstemmelse med forordningen, og foranstaltningerne skal om nødvendigt revideres og ajourføres.

Det er svært at påvise noget, man ikke har undersøgt. Hvordan bestemmelsen gælder i en konkret virksomhed, afhænger af forholdene, og det kan ledelsen få vurderet af en rådgiver. Men princippet er værd at tage med ud over persondata: en ledelse, der bevidst undlader at se efter, står ikke stærkere end en, der har set efter og handlet. → Persondata og sikkerhedstest

Viden giver handlemuligheder

Det, en test giver ledelsen, er ikke kun en liste over problemer. Det er muligheden for at vælge. Med viden kan ledelsen:

Prioritere · bruge pengene på det, der betyder mest, i stedet for at sprede dem.
Planlægge · rette i et tempo, der passer til driften, frem for i hast efter en hændelse.
Acceptere bevidst · leve med en kendt risiko og skrive ned hvorfor.
Svare ærligt · give kunder, bank og forsikring svar, der bygger på faktiske forhold.
Forberede sig · vide, hvad der skal ske, hvis en svaghed bliver udnyttet.

Uden viden har ledelsen ingen af de muligheder. Den kan kun håbe. Og håb er en dårlig ramme for at fordele et begrænset budget mellem flere gode formål. → Fra fund til forretningsrisiko

Ansvaret for det, der bliver kendt

Bekymringen for at kende til svagheder uden at rette dem er reel. Svaret er ikke at undgå viden, men at håndtere den ordentligt. Når testen har vist noget, kan ledelsen sikre, at hvert fund får en beslutning: rettes, med en ansvarlig og en frist, eller accepteres, med en begrundelse. Det giver et spor, der viser, at ledelsen har taget stilling.

Det er ikke nødvendigt at rette alt med det samme. Det er nødvendigt at have besluttet noget. Beslutningen kan godt være, at et fund venter til næste budgetår, så længe den er truffet af den, der har mandat til det, og skrevet ned. En ledelse, der kan vise sine overvejelser, er i en anden situation end en, der har lagt rapporten i en skuffe. → Bliver fundene rettet?

Et tænkt eksempel

Ejerlederen af en virksomhed, der fremstiller specialfoder til dyrehandlere, har udskudt en sikkerhedstest i et par år. En dag siger ejerlederen åbent til økonomichefen, at det måske er bedre ikke at vide, hvor slemt det står til, når der alligevel ikke er penge til at rette det hele.

Økonomichefen foreslår en anden vej: en afgrænset test af webshoppen og ordresystemet, som virksomheden er mest afhængig af, og et budget til at rette det mest alvorlige. Resten skal vente til næste regnskabsår, men med en beslutning for hvert fund. Testen viser nogle alvorlige fund i webshoppen og en række mindre. De alvorlige rettes inden for kvartalet, og de mindre får en plan. Ejerlederen siger bagefter, at det var lettere at sove med en plan end med en mistanke.

Det skal I lade være med

At udskyde testen af frygt for resultatet · svaghederne findes alligevel.
At bestille en test uden plan for opfølgning · beslut på forhånd, hvordan fund behandles.
At tro, at alt skal rettes med det samme · en beslutning for hvert fund er nok til at begynde.
At gemme rapporten væk · fund uden beslutning er det svage punkt.
At lade frygten styre omfanget · test det, virksomheden er mest afhængig af.

Hvad kan og ikke kan konkluderes

Ledelsen bliver ikke bedre stillet af ikke at vide, hvor svaghederne er. En test giver viden og dermed mulighed for at prioritere, rette og acceptere bevidst. Den fjerner ikke ansvaret for at følge op, og den er ikke en garanti mod hændelser. Hvordan ansvaret for kendte svagheder vurderes i en bestemt sag, kræver en særskilt juridisk vurdering.

Tjekliste til ledelsen

☐ Er det drøftet åbent i ledelsen, hvorfor testen er blevet udskudt?
☐ Er der afsat budget til at rette det mest alvorlige, før testen bestilles?
☐ Er det besluttet, hvordan hvert fund skal behandles?
☐ Bliver accepterede risici skrevet ned med begrundelse?
☐ Er testen rettet mod det, virksomheden er mest afhængig af?

Kilder

Styrelsen for Samfundssikkerhed, Cybertruslen mod Danmark (25. november 2025): at danske myndigheder, virksomheder og borgere udsættes for cyberangreb dagligt, og at truslen er blevet et grundvilkår.
Databeskyttelsesforordningen (EU) 2016/679: artikel 24, stk. 1, om den dataansvarliges foranstaltninger, evnen til at påvise overholdelse og revision og ajourføring af foranstaltningerne.

Senest gennemgået: oktober 2026.