En dag får direktøren en besked fra en medarbejder: der er noget galt med sikkerheden, og ingen gør noget ved det. Advarslen kan komme direkte, i en samtale på gangen, eller gennem virksomhedens whistleblowerordning. Svaret på, hvad ledelsen skal gøre, hviler på tre ting: advarslen skal tages alvorligt og undersøges af nogen, der ikke selv er part, den, der advarer, skal beskyttes, og undersøgelsen skal handle om sikkerheden, ikke om at finde en skyldig. En uafhængig sikkerhedstest kan være en del af svaret, men det er ledelsens beslutning, hvornår den er det rette redskab.
Hvorfor advarslen fortjener en undersøgelse
En medarbejder, der advarer, kan have mere at tabe end at vinde. Det kan være en udvikler, en bogholder eller en IT-medarbejder, der har set noget, som ikke passer med det billede, ledelsen har fået. Advarslen kan vise sig at være ubegrundet, men den kan også være det første tegn på en alvorlig svaghed.
For ledelsen er udgangspunktet derfor ikke, om advarslen er rigtig, men om den er undersøgt ordentligt. Det gælder også, når advarslen modsiger det, IT eller en leverandør har sagt. Hvornår ledelsen bør bede om dokumentation i stedet for at nøjes med et mundtligt svar, er beskrevet i → IT siger, at alt er i orden.
Når advarslen kommer gennem whistleblowerordningen
Whistleblowerloven gælder efter § 1 for indberetninger om visse overtrædelser af EU-retten og for indberetninger, der i øvrigt vedrører alvorlige lovovertrædelser eller øvrige alvorlige forhold. Arbejdsgivere med 50 eller flere ansatte skal efter § 9 have en intern whistleblowerordning. Whistleblowerdirektivet nævner i artikel 2, stk. 1, litra a, nr. x, beskyttelse af privatlivets fred og personoplysninger og net- og informationssystemers sikkerhed som et af de områder, hvor overtrædelser af bestemte EU-regler er omfattet.
Justitsministeriets vejledning til private arbejdspladser nævner alvorlige fejl og alvorlige uregelmæssigheder forbundet med IT-drift eller IT-systemstyring som et eksempel på øvrige alvorlige forhold. Om en bestemt advarsel er omfattet af loven, afhænger af indholdet og afgøres efter lovens regler. Teksten er ikke juridisk rådgivning, og spørgsmål om ordningen og om, hvad loven kræver i et konkret tilfælde, bør afklares med virksomhedens rådgiver.
Er advarslen kommet gennem ordningen, er det ordningens procedurer, der gælder for behandlingen. Loven stiller i § 12 krav om fortrolighed om identiteten og om frister for bekræftelse og tilbagemelding. Ledelsens opgave er at sørge for, at den, der behandler sagen, har mulighed for at få det undersøgt, også teknisk.
Beskyt den, der advarer
Whistleblowerloven forbyder i § 8 repressalier mod en whistleblower, der har indberettet efter lovens regler, og § 26 begrænser, hvem der må få oplysninger om whistleblowerens identitet. Kommer advarslen uden for ordningen, for eksempel direkte til direktøren, er det ikke givet, at lovens beskyttelse gælder. Ledelsen kan alligevel vælge at behandle den, der advarer, på samme måde.
I praksis betyder det:
- Begræns kredsen · kun de, der skal bruge oplysningen til at undersøge sagen, får at vide, hvem der advarede.
- Ingen ændringer i arbejdet · den, der advarer, flyttes ikke, fratages ikke opgaver og udelukkes ikke fra møder på grund af advarslen.
- Tak for advarslen · uanset hvad undersøgelsen viser.
- Tilbagemelding · den, der advarer, får at vide, at sagen er undersøgt, også selv om detaljerne er fortrolige.
Gør det ikke til en sag mod IT
En advarsel om sikkerheden kan let blive opfattet som kritik af IT-chefen eller driftsleverandøren. Hvis ledelsen lader IT selv undersøge advarslen, risikerer den at få et svar fra den part, der har mest at forsvare. Hvis ledelsen omvendt behandler advarslen som en anklage, kan IT blive defensiv, og samarbejdet om at rette fejlen bliver sværere.
En bedre vej er at sige det højt: ledelsen har fået en advarsel, den vil have den undersøgt uafhængigt, og formålet er at finde ud af, om der er en svaghed, ikke at placere skyld. IT inddrages som den, der kender systemerne, og som skal rette det, der eventuelt findes. → Ingen syndebukke
Hvornår en uafhængig test er det rette svar
En sikkerhedstest kan afprøve, om en bestemt svaghed findes, og om den kan udnyttes. Den er et godt svar, når advarslen handler om et konkret system eller en konkret mangel, og når ledelsen har brug for et svar, der ikke kommer fra dem, der driver systemerne.
Testen er ikke det rette redskab, hvis advarslen handler om, at nogen allerede har misbrugt systemerne. Så er der tale om en mulig hændelse, og ledelsen bør aktivere beredskabet og søge hjælp til at undersøge hændelsen. → Tegn på indbrud
Hvis advarslen handler om bredere forhold, som manglende procedurer eller en kultur, hvor fejl ikke bliver meldt, kan testen være en del af svaret, men ikke hele svaret. Testen viser, om systemerne holder. Den viser ikke, hvorfor ingen reagerede tidligere. → Det uafhængige blik
Kommer meldingen om en svaghed ikke fra en medarbejder, men fra en udefrakommende, er situationen en anden. Den uopfordrede sårbarhedsmelding er beskrevet på penetrationtest.dk.
Et tænkt eksempel
En medarbejder i kundeservice hos et forsikringsformidlingsfirma skriver til direktøren, at kundeportalen ved en fejl har vist en kunde oplysninger om en anden kunde, og at det ser ud til at kunne ske igen. Medarbejderen har nævnt det for IT-leverandøren uden at få svar. Direktøren takker, beder medarbejderen om ikke at afprøve det igen og orienterer kun økonomichefen om, hvem beskeden kom fra.
Ledelsen beslutter samme dag at få portalen afprøvet af en uafhængig tester og beder samtidig rådgiveren vurdere, om der kan være tale om et brud på persondatasikkerheden. IT-leverandøren får besked om, at testen handler om portalen, ikke om leverandørens arbejde. Medarbejderen får efter testen at vide, at advarslen var begrundet, og at fejlen er rettet.
Det skal I lade være med
- At lade den part, der er kritiseret, undersøge sig selv · få et uafhængigt blik.
- At fortælle bredt, hvem der advarede · begræns kredsen til dem, der skal bruge oplysningen.
- At behandle advarslen som en anklage · formålet er at finde svagheden.
- At bruge en test, når der kan være tale om en hændelse · aktivér beredskabet i stedet.
- At glemme tilbagemeldingen · den, der advarer, skal vide, at sagen er undersøgt.
Hvad kan og ikke kan konkluderes
En advarsel, der undersøges uafhængigt og fair, giver ledelsen et bedre grundlag for at vurdere sikkerheden og viser medarbejderne, at det nytter at sige fra. En test kan bekræfte eller afkræfte en konkret svaghed, men den kan ikke afgøre, om advarslen er omfattet af whistleblowerloven, eller hvilke pligter virksomheden har i det konkrete tilfælde. Det skal afklares med rådgiver.
Tjekliste, når en advarsel kommer
- ☐ Ved vi, om advarslen er kommet gennem whistleblowerordningen eller direkte?
- ☐ Er kredsen, der kender identiteten, begrænset?
- ☐ Er det besluttet, hvem der undersøger, og er de uafhængige af det, der kritiseres?
- ☐ Har vi vurderet, om der kan være tale om en hændelse frem for en svaghed?
- ☐ Har den, der advarede, fået en tilbagemelding?
Kilder
- Whistleblowerloven, lov nr. 1436 af 29/06/2021: § 1, stk. 1, om lovens anvendelsesområde; § 8 om forbud mod repressalier; § 9 om pligt til intern ordning for arbejdsgivere med 50 eller flere ansatte; § 12 om fortrolighed og frister; § 26 om videregivelse af oplysninger om identitet.
- Direktiv (EU) 2019/1937 om beskyttelse af personer, der indberetter overtrædelser af EU-retten: artikel 2, stk. 1, litra a, nr. x, om beskyttelse af privatlivets fred og personoplysninger og net- og informationssystemers sikkerhed.
- Justitsministeriet, Vejledning for whistleblowerordninger på private arbejdspladser, VEJ nr. 9250 af 16/12/2021: afsnit 5.2 med alvorlige fejl og uregelmæssigheder forbundet med IT-drift eller IT-systemstyring som eksempel på øvrige alvorlige forhold.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til ledelsen
Læs også: Sikkerhedskultur i ledelsen · Beredskab og test
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
