Er ledelsen klar, hvis testen viser det værste?

En ledelse kan bestille en sikkerhedstest i forventning om en liste over ting, der skal rettes, og ikke om en krise. Om ledelsen er klar til det værste, afhænger mindre af testen end af beredskabet: om der findes en plan, om den er kendt, og om ledelsen ved, hvem der må beslutte hvad, når det haster. Testen er en god anledning til at få svaret, fordi den sætter en dato, hvor et alvorligt resultat er en reel mulighed.

Hvad “det værste” kan betyde

Det værste er ikke det samme i alle virksomheder. Det er nyttigt at have gjort sig klart på forhånd, hvilke udfald der ville kræve mere end en almindelig handlingsplan.

En åben vej til kronjuvelerne · en svaghed, der giver adgang til de data eller systemer, virksomheden ikke kan undvære. → Kronjuvelerne
Tegn på, at nogen allerede er inde · spor, der peger på, at en uvedkommende har haft adgang.
Et system, der ikke tåler testen · en driftsforstyrrelse, som viser, hvor sårbar driften er over for selv kontrolleret aktivitet.
En svaghed hos en leverandør · et forhold, virksomheden ikke selv kan rette, men som rammer egne kunder.
Et resultat, der skal fortælles videre · til bestyrelse, kunder, forsikring eller myndigheder.

Hver af dem kalder på beslutninger, som ikke bør improviseres. Et beredskab er netop aftalen om, hvem der træffer dem.

Beredskabsplanen set fra ledelsen

En beredskabsplan for IT er ikke et teknisk dokument, selvom den indeholder tekniske dele. For ledelsen handler den om få, tydelige spørgsmål. Hvordan vurderes, hvor alvorlig en situation er? Hvem har mandat til at træffe de store beslutninger, også uden for normal arbejdstid? Hvem kontakter bestyrelse, leverandører, forsikring og myndigheder?

NCSC’s vejledning til bestyrelser peger på, at bestyrelsen selv bør se planen og sikre, at den holdes opdateret, når virksomheden ændrer sig. Vejledningen understreger også, at planen skal hænge sammen med, hvordan forretningen holder gang i den daglige drift, og hvordan systemerne bringes tilbage. En plan for IT, der ikke kender forretningens nødprocedurer, efterlader ledelsen med et hul, netop når der er brug for svar. → Hvad står stille, hvis systemerne er nede?

Fire spørgsmål før testen går i gang

Før testen starter, kan ledelsen bruge et kvarter på et møde til at stille fire spørgsmål. Svarene viser, om beredskabet er reelt eller kun findes på papir.

Kan vi finde planen · ligger den et sted, hvor den kan læses, også hvis de almindelige systemer ikke virker?
Står de rigtige navne i den · har der været udskiftning i ledelsen, hos IT eller hos leverandøren siden sidst?
Ved vi, hvem der må lukke for hvad · hvem kan beslutte at tage en webshop eller et produktionssystem ned?
Hvem ringer vi til · er der aftaler med driftsleverandør, specialister i hændelseshåndtering og forsikring, og kender vi numrene?

Hvis svaret på et af dem er usikkert, er det bedre at opdage det nu end midt i et forløb, hvor der er travlt.

Øv planen med testen som oplæg

Det britiske regeringskodeks for ledelse af cyberrisici har et særskilt princip om planlægning, håndtering og genopretning efter hændelser. Det omfatter at have en plan for de forretningskritiske dele, at øve den med interne og eksterne parter og at lade erfaringerne føre tilbage til planen. NCSC sammenligner det at øve hændelseshåndtering med brandøvelser.

En sikkerhedstest giver et oplagt scenarie til en kort bordøvelse. Ledelsen kan tage udgangspunkt i spørgsmålet: hvad nu, hvis testeren ringer på tredjedagen og fortæller, at der er spor af en fremmed i økonomisystemet? Hvem gør hvad i den første time? Øvelsen kræver ingen teknik, kun at de rette personer sidder om bordet og svarer ærligt. → Tegn på indbrud: ledelsens første beslutninger

Ledelsens egne roller

I en krise ser medarbejdere mod ledelsen. Det kræver ikke, at ledelsen kan løse problemet, men at den kan træffe beslutninger, prioritere og kommunikere.

Direktionen · beslutter om drift, ressourcer og kommunikation og holder bestyrelsen orienteret.
Bestyrelsen · skal kende planen i hovedtræk og vide, hvornår den bliver kaldt ind. → Når resultatet er dårligt
Den, der leder håndteringen · samler informationen og har mandat til de løbende beslutninger.
Kommunikationsansvarlig · godkender, hvad der siges internt og eksternt.

I en mindre virksomhed kan flere af rollerne ligge hos samme person. Det vigtige er, at det er besluttet, og at der er en stedfortræder. Tænk også over, hvordan ledelsen får fat i hinanden, hvis mail og kalender ikke kan bruges. En telefonliste på papir og en aftale om, hvor man mødes, lyder gammeldags, men den virker, når de almindelige systemer er ude af drift.

Et tænkt eksempel

Bestyrelsen i en virksomhed, der driver en kæde af fitnesscentre med medlemssystem og online booking, godkender en sikkerhedstest. Formanden spørger, hvad der sker, hvis testen viser noget alvorligt. Ingen kan svare præcist.

Direktionen finder beredskabsplanen frem. Den er tre år gammel, nævner en IT-chef, der er stoppet, og en leverandør, som ikke længere bruges. Planen bliver opdateret, før testen begynder, og ledelsen holder en kort øvelse med testen som scenarie. Det viser sig, at ingen havde tænkt over, hvem der kan beslutte at lukke for bookingen.

Testen finder ikke tegn på indbrud, men en alvorlig svaghed i medlemssystemet. Den bliver håndteret efter planen, og bestyrelsen får besked samme uge. Den største gevinst var dog, at beredskabet nu passer til den virksomhed, der findes i dag.

Det skal I lade være med

At antage, at beredskabsplanen virker, fordi den findes · navne og leverandører ændrer sig.
At lade planen være IT’s dokument alene · forretningens beslutninger skal stå i den.
At vente med at aftale mandater til det sker · krisen er det dårligste tidspunkt at forhandle roller.
At springe øvelsen over, fordi den føles kunstig · den viser huller, ingen ellers ser.
At glemme stedfortrædere · den, der står i planen, kan være på ferie.

Hvad kan og ikke kan konkluderes

En sikkerhedstest kan give anledning og et konkret scenarie til at afprøve beredskabet, og den kan vise, hvor alvorlige forhold kan opstå. Den afprøver ikke i sig selv, om virksomheden kan opdage, håndtere og komme sig efter en hændelse. Det kræver planlægning og øvelse, som ledelsen må tage initiativ til. → Kan en test vise, om vi kan modstå et ransomwareangreb?

Tjekliste: beredskabet før testen

☐ Har ledelsen set den aktuelle beredskabsplan?
☐ Står de rigtige navne og leverandører i den?
☐ Er det besluttet, hvem der må lukke kritiske systemer?
☐ Er der stedfortrædere for nøglerollerne?
☐ Er planen øvet, eventuelt med testen som scenarie?
☐ Ved bestyrelsen, hvornår den bliver kaldt ind?

Kilder

NCSC, Cyber Security Toolkit for Boards: Planning your response to cyber incidents: bestyrelsen bør se planen og holde den opdateret; sammenhæng med forretningens kontinuitet og genopretning; øvelse sammenlignet med brandøvelser.
NCSC og UK Government, Cyber Governance Code of Practice: princip D om planlægning, håndtering og genopretning efter hændelser.

Senest gennemgået: oktober 2026.