Er et cyberangreb force majeure? Det, ledelsen ikke bør regne med, og hvor testen kommer ind

Efter et cyberangreb kan der lyde en tanke i ledelsen: angrebet var uden for vores kontrol, så kunderne kan vel ikke holde os ansvarlige for forsinkelser og nedetid. Tanken er forståelig, men den er ikke et svar. Om et angreb fritager virksomheden, hviler på to forhold: hvad den konkrete aftale siger, og hvordan det vurderes, om virksomheden kunne have forudset og forebygget det, der skete. Begge dele er juridiske spørgsmål, som ledelsen skal have afklaret med virksomhedens advokat. Det, ledelsen selv kan gøre, er at kende sine aftaler og kunne vise, hvad den har gjort for at forebygge. Teksten er ikke juridisk rådgivning og drager ingen konklusion om jeres aftaler.

Hvad force majeure er, set fra ledelsen

Force majeure bruges om begivenheder, der ligger uden for en parts kontrol, og som kan fritage parten for ansvar for ikke at opfylde en aftale. Kontrakter kan have en klausul om det, men ordlyden er forskellig fra aftale til aftale, og det er ordlyden, der er udgangspunktet.

Dansk lovgivning har regler, der afspejler den samme tankegang på bestemte områder. Købeloven § 24 siger for eksempel om køb af genstande bestemt efter art, at sælgeren er ansvarlig for forsinkelse, medmindre sælgeren har taget forbehold, eller opfyldelsen må anses for udelukket ved omstændigheder, som sælgeren ved købets afslutning ikke burde have taget i betragtning, såsom krig eller indførselsforbud. Efter § 1 gælder lovens regler kun, i det omfang andet ikke er aftalt. Reglen handler om køb af varer og kan ikke uden videre overføres til en IT-ydelse, men den viser to spørgsmål, der går igen: hvad står der i aftalen, og hvad burde parten have taget i betragtning.

Hvorfor ledelsen ikke bør regne med fritagelse

Der er flere grunde til, at ledelsen ikke bør bygge på en antagelse om, at et angreb er force majeure:

Klausulen nævner måske ikke angreb · eller den kræver, at begivenheden var uforudsigelig og uundgåelig.
Angreb er en kendt risiko · det kan gøre det sværere at hævde, at et angreb ikke burde være taget i betragtning.
Forebyggelse spiller ind · det kan få betydning, om virksomheden havde truffet rimelige forholdsregler.
Andre bestemmelser kan gælde · aftalen kan have særskilte løfter om sikkerhed, oppetid eller beredskab.
Kundens tillid er ikke en klausul · selv hvis aftalen fritager, kan kunden vælge en anden leverandør bagefter.

Hvordan de forhold vurderes i et konkret tilfælde, afhænger af aftalen, den lov, der gælder for aftalen, og de faktiske omstændigheder. Det kan kun en advokat vurdere. Hvilke løfter virksomheden selv giver om sikkerhed, er beskrevet i → Løfter om sikkerhed til kunderne.

Hvor sikkerhedstesten kommer ind

Hvis spørgsmålet om forudsigelighed og forebyggelse bliver relevant, vil det kunne have betydning, hvad virksomheden har gjort før angrebet. En dokumenteret sikkerhedstest og en dokumenteret opfølgning er en del af det billede. Den viser, at virksomheden har afprøvet sine systemer, kendte sine svagheder og har prioriteret at rette dem.

En test garanterer ikke en bestemt vurdering, og en test, hvis fund ikke er fulgt op, kan pege den modsatte vej. Det vigtige er sporet: hvad blev testet, hvad blev fundet, hvad blev besluttet, og hvad blev gjort. Et spor, der kun findes i nogle få personers hoveder eller mailbokse, er svært at bruge, når det skal fremlægges for en rådgiver måneder senere. → Har vi gjort, hvad vi kunne?

Kend jeres aftaler, før noget sker

Ledelsen behøver ikke at læse alle kontrakter selv, men den bør vide, hvordan de vigtigste aftaler håndterer en IT-hændelse. Det gælder både aftaler med kunder og aftaler med leverandører, for en leverandør kan også påberåbe sig force majeure over for jer.

Kortlæg de vigtigste aftaler · hvilke kunde- og leverandøraftaler har størst betydning, hvis driften stopper?
Få klausulerne gennemgået · lad advokaten se på force majeure, ansvarsbegrænsning og løfter om sikkerhed eller oppetid.
Spørg til leverandørerne · hvad betyder deres klausuler for jer, hvis de bliver ramt? → Leverandørrisiko set fra ledelsen
Koble til beredskabet · ved beredskabsplanen, hvilke kunder der skal have besked, og hvad aftalerne kræver?

Hvis gennemgangen viser, at virksomheden har lovet mere, end den kan stå inde for, er det et spørgsmål til ledelsen, ikke kun til advokaten. → IT-kontrakten og test

Når angrebet er sket

Hvis virksomheden allerede er ramt, er det første at få styr på hændelsen og på kommunikationen med kunderne. Spørgsmålet om ansvar og force majeure bør ikke afgøres i en presset e-mail til en kunde. Lad advokaten vurdere, hvad aftalen siger, og hvad der skal meddeles, før virksomheden henviser til en klausul.

Ledelsen kan samtidig sikre, at dokumentationen om test, opfølgning og beslutninger er samlet, så den kan bruges, hvis spørgsmålet bliver aktuelt. Hvordan beredskab og test spiller sammen, er beskrevet i → Beredskab og test.

Et tænkt eksempel

En virksomhed, der leverer lønadministration til andre firmaer, bliver ramt af et angreb og kan ikke køre lønninger i fire dage. En direktør foreslår at skrive til kunderne, at angrebet var force majeure. Den juridiske rådgiver beder om at se kundeaftalerne først. De indeholder en klausul, der ikke nævner IT-angreb, og et særskilt løfte om oppetid.

Ledelsen sender i stedet en saglig orientering om hændelsen og genopretningen uden at tage stilling til ansvar. Rådgiveren får samtidig virksomhedens seneste testrapport, opfølgningsplanen og referaterne fra ledelsens beslutninger. Bagefter beslutter ledelsen, at de vigtigste kundeaftaler skal gennemgås, og at næste test skal omfatte de systemer, der stoppede.

Det skal I lade være med

At antage, at et angreb altid er force majeure · det afhænger af aftalen og omstændighederne.
At henvise til en klausul over for kunder uden juridisk vurdering · det kan skabe nye problemer.
At glemme leverandøraftalerne · de kan påberåbe sig det samme over for jer.
At teste uden at følge op · uopfulgte fund kan pege den forkerte vej.
At lade dokumentationen ligge spredt · saml test, opfølgning og beslutninger.

Hvad kan og ikke kan konkluderes

En ledelse, der kender sine aftaler og kan dokumentere test og opfølgning, står bedre, hvis spørgsmålet om fritagelse bliver aktuelt. Det kan ikke konkluderes, at et cyberangreb er eller ikke er force majeure i en bestemt aftale, eller at en test fritager virksomheden for ansvar. Det afgøres af aftalens ordlyd, den lov, der gælder, og de konkrete omstændigheder, og skal vurderes af en advokat.

Tjekliste til ledelsen

☐ Ved vi, hvilke kunde- og leverandøraftaler der betyder mest, hvis driften stopper?
☐ Har advokaten gennemgået klausulerne om force majeure og ansvar?
☐ Er test, opfølgning og beslutninger dokumenteret og samlet ét sted?
☐ Ved beredskabet, hvem der vurderer aftalerne, før kunderne får besked?

Kilder

Købeloven, LBK nr. 1853 af 24/09/2021: § 1, stk. 1, om at lovens regler kun gælder, i det omfang andet ikke er aftalt; § 24 om sælgerens ansvar for forsinkelse ved køb af genstande bestemt efter art og om omstændigheder, sælgeren ikke burde have taget i betragtning.

Senest gennemgået: oktober 2026.