Cyber- og informationssikkerhedstrusler: Fra forebyggelse til en robust organisation

Cybersikkerhed er ikke længere blot et spørgsmål for IT-afdelingen. Efterhånden som organisationer bliver mere afhængige af cloudmiljøer, AI, digitale tjenester og forbundne leverandørkæder, kan en cyberhændelse hurtigt udvikle sig til en større driftsmæssig krise.

Det er fortsat afgørende at forebygge angreb, men det er urealistisk at forhindre alle hændelser. Organisationer er derfor nødt til at se ud over forebyggelse og stille sig selv et mere grundlæggende spørgsmål: Kan organisationen fortsætte driften, hvis et angreb lykkes?

Organisationer kommer sjældent i alvorlige vanskeligheder, alene fordi en cyberhændelse indtræffer. Den største risiko opstår, hvis organisationen ikke kan opretholde sine kritiske aktiviteter, koordinere sin indsats og genoprette driften effektivt, mens hændelsen udvikler sig.

Forestil dig, at din organisation bliver udsat for et cyberangreb, der kompromitterer medarbejdernes arbejdstelefoner og computere. Findes der en alternativ måde at kommunikere på? Ved medarbejderne, hvem de skal kontakte, hvordan de får fat i vedkommende, og hvem der har mandat til at træffe kritiske beslutninger? Hvis din egen arbejdstelefon ikke fungerer, kan det samme være tilfældet for de personer, der skal koordinere indsatsen.

Det er et enkelt eksempel, men det illustrerer en større udfordring. En beredskabsplan kan se dækkende ud, indtil de systemer og kommunikationskanaler, som planen afhænger af, ikke længere er tilgængelige. Uden afprøvede alternativer kan værdifuld tid gå tabt netop på det tidspunkt, hvor organisationen har størst behov for at handle hurtigt.

At en plan findes, er derfor ikke i sig selv et bevis på organisatorisk robusthed. Den reelle prøve er, om medarbejderne kan følge planen, når de systemer, informationer, leverandører og kolleger, de normalt er afhængige af, ikke er tilgængelige.

Teknologi alene skaber ikke robusthed

Organisationer er afhængige af digitale systemer, softwareleverandører, API’er og outsourcede tjenester i næsten alle dele af deres drift. Teknologierne giver betydelige fordele, men de skaber samtidig flere afhængigheder og potentielle indgangspunkter, som skal håndteres.

Samtidig ændrer AI både cyberangreb og cyberforsvar. Trusselsaktører kan bruge AI til at udvikle mere overbevisende phishingangreb, forbedre social engineering, fremstille deepfakes og identificere sårbarheder mere effektivt. Organisationer kan på den anden side anvende AI til at styrke trusselsidentifikation, sikkerhedsovervågning og håndtering af hændelser.

Det er fortsat afgørende at investere i effektive teknologier til cybersikkerhed. Teknologi kan dog ikke alene afgøre, hvilke aktiviteter der skal prioriteres under en driftsforstyrrelse, hvem der har mandat til at træffe kritiske beslutninger, hvordan leverandører skal inddrages, eller hvordan erfaringer fra en hændelse skal omsættes til konkrete forbedringer.

Det er ledelsesmæssige opgaver.

Selv organisationer med avancerede sikkerhedsteknologier kan få vanskeligt ved at håndtere en hændelse, hvis:

• Ansvar, roller og beslutningskompetencer er uklare
• Kritiske systemer og afhængigheder ikke er tilstrækkeligt identificeret
• Beredskabs- og genopretningsplaner ikke er blevet afprøvet
• Alternative kommunikationskanaler ikke er tilgængelige
• Leverandører ikke er blevet inddraget i relevante øvelser
• Medarbejderne ikke ved, hvad der forventes af dem
• Erfaringer fra tidligere hændelser eller nærved-hændelser ikke er blevet omsat til forbedringer

Cyberrobusthed afhænger derfor af mere end evnen til at opdage og forebygge angreb. Det kræver ledelse, koordinering og ensartede processer på tværs af organisationen.

Robusthed begynder med at forstå, hvad der er vigtigst

Ikke alle cyberhændelser har de samme konsekvenser.

For en produktionsvirksomhed kan et angreb standse produktionen og få direkte betydning for omsætningen og leverancerne til kunderne. For en energi- eller vandforsyning kan en driftsforstyrrelse afbryde kritiske samfundsfunktioner. 

Organisationer i andre brancher kan opleve økonomiske tab, lovgivningsmæssige konsekvenser, utilgængelige kundeservices eller skade på omdømmet. I visse situationer kan sikkerhed og menneskeliv også være i fare.

Arbejdet med robusthed begynder med at forstå, hvilke aktiviteter der er afgørende for organisationens evne til at levere sine produkter og ydelser.

Det indebærer, at organisationen stiller en række praktiske spørgsmål:

• Hvilke forretningsaktiviteter skal kunne fortsætte under en driftsforstyrrelse?
• Hvilke systemer, informationer, medarbejdere og faciliteter understøtter disse aktiviteter?
• Hvilke leverandører og tjenesteudbydere er kritiske?
• Hvor længe kan en aktivitet være utilgængelig, før konsekvenserne bliver uacceptable?
• Hvem har ansvaret for at håndtere og eskalere en hændelse?
• Hvordan skal medarbejderne kommunikere, hvis de normale kanaler ikke er tilgængelige?
• I hvilken rækkefølge skal systemer og aktiviteter genoprettes?
• Hvordan skal kunder, myndigheder og andre relevante interessenter informeres?

Det er ikke udelukkende tekniske spørgsmål. De kræver input og beslutninger fra ledelsen, driftsfunktioner, informationssikkerhed, kommunikation, indkøb og andre relevante dele af organisationen.

Et ledelsessystem omsætter intentioner til handling

Mange organisationer anerkender betydningen af cyberrobusthed, men har svært ved at arbejde ensartet med området på tværs af funktioner, lokationer og leverandører.

Et ledelsessystem skaber den nødvendige struktur til at omsætte gode intentioner til en systematisk og gentagelig arbejdsform. Det forbinder risikovurdering, ledelsesansvar, operationelle styringsforanstaltninger, håndtering af hændelser, intern audit, ledelsens evaluering og løbende forbedringer.

Ledelsessystemet kan især bidrage til at samle aktiviteter, som ellers ofte håndteres hver for sig, herunder:

• Informationssikkerhed
• Håndtering af hændelser
• Beredskabs- og kontinuitetsstyring
• Genopretning efter driftsforstyrrelser
• Krisekommunikation
• Leverandørstyring
• Styring af operationelle risici

Uden en fælles struktur kan disse aktiviteter eksistere som separate planer, risikoregistre eller afdelingsspecifikke ansvarsområder. Hullerne mellem dem bliver ofte først synlige, når en reel hændelse indtræffer.

En ledelsessystembaseret tilgang får organisationen til at undersøge, hvordan aktiviteterne hænger sammen. I eksemplet med kommunikationen opstår robustheden ikke blot ved at have en dokumenteret liste over nødkontakter. Den skabes ved at placere et tydeligt ansvar, etablere alternative kommunikationskanaler, opbevare informationerne, så de også er tilgængelige under en driftsforstyrrelse, og afprøve løsningen under realistiske forhold.

Ledelsessystemet skaber dermed en sammenhængende proces:

1. Identificér de vigtigste risici og afhængigheder.
2. Fastlæg ansvar, styringsforanstaltninger og beredskabsprocedurer.
3. Sørg for, at de involverede personer har den nødvendige kompetence.
4. Afprøv, om løsningerne fungerer i praksis.
5. Evaluér resultaterne, og identificér svagheder.
6. Gennemfør korrigerende handlinger og forbedringer.
7. Gentag processen, efterhånden som risici og organisatoriske forhold ændrer sig.

Det er denne systematik, der kan gøre robusthed til en reel organisatorisk kapacitet frem for blot en ambition.

Informationssikkerhed og forretningskontinuitet skal fungere sammen

Forskellige ledelsessystemstandarder understøtter forskellige dele af organisationens samlede robusthed.

ISO/IEC 27001 udgør en struktureret og risikobaseret ramme for styring af informationssikkerhed på tværs af mennesker, processer og teknologi. Standarden understøtter tydeligt ansvar for informationssikkerheden, ensartede sikkerhedsforanstaltninger, løbende overvågning og kontinuerlig forbedring. Den kan samtidig bidrage til at begrænse sandsynligheden for og konsekvenserne af sikkerhedshændelser samt understøtte kontinuitet og robusthed.

ISO 22301 har et bredere fokus på forretningskontinuitet. Standarden hjælper organisationer med at identificere kritiske aktiviteter og afhængigheder, forberede sig på forstyrrende hændelser, opretholde væsentlige aktiviteter og genoprette driften på en kontrolleret og rettidig måde.

Forskellen er vigtig. ISO/IEC 27001 hjælper organisationen med at beskytte information og styre risici for informationssikkerheden. ISO 22301 hjælper organisationen med at opretholde kritiske aktiviteter og genoprette driften efter en bredere vifte af forstyrrende hændelser, herunder cyberhændelser, IT-nedbrud og afbrydelser i leverandørkæden.

Når ledelsessystemerne anvendes i sammenhæng, kan de forbinde informationssikkerhed med den bredere operationelle robusthed. Da standarderne følger ISO’s harmoniserede struktur, kan de desuden integreres med eksisterende ledelsessystemer som ISO 9001, ISO 14001 og ISO 45001.

Cyberrobusthed skal omfatte leverandørkæden

En organisations evne til at reagere og genoprette driften kan afhænge af systemer og tjenester, som organisationen ikke selv kontrollerer.

Cloudleverandører, softwareleverandører, logistikpartnere, databehandlere og outsourcede tjenesteudbydere er ofte afgørende for den daglige drift. Samarbejdet skaber forretningsmæssig værdi, men medfører også afhængigheder, som organisationen skal forstå og styre.

En stor organisation kan have et modent sikkerhedsniveau og stærke interne styringsforanstaltninger, men samtidig være afhængig af mindre leverandører med færre ressourcer og en lavere modenhed inden for informationssikkerhed. Hvis en leverandør bliver kompromitteret, kan hændelsen afbryde kritiske tjenester, eksponere information eller skabe en alternativ adgangsvej til forbundne systemer.

Et højt sikkerhedsniveau i én organisation fjerner ikke sårbarheder andre steder i leverandørkæden.

Organisationer skal derfor identificere deres kritiske leverandører, forstå konsekvenserne, hvis leverandørernes tjenester bliver utilgængelige, og fastlægge relevante krav til sikkerhed, rapportering af hændelser, kontinuitet og genopretning.

Ledelsessystemer kan understøtte dette gennem systematiske processer for at:

• Vurdere leverandører, før et samarbejde indledes
• Fastlægge krav til informationssikkerhed og kontinuitet
• Overvåge leverandørernes præstation og ændringer i risikobilledet
• Etablere procedurer for kommunikation og eskalering
• Inddrage kritiske leverandører i relevante øvelser
• Evaluere afhængigheder og alternative løsninger

Anerkendte standarder og ordninger kan også understøtte arbejdet med leverandørsikkerhed. Organisationer kan eksempelvis stille krav om, at leverandører dokumenterer overensstemmelse med ISO/IEC 27001 eller en branchespecifik ordning som TISAX® inden for bilindustrien. En certificering bør dog indgå som en del af en bredere, risikobaseret leverandørstyring og ikke betragtes som en erstatning for organisationens egen vurdering og opfølgning.

AI medfører nye afhængigheder og risici

Efterhånden som AI bliver integreret i forretningskritiske aktiviteter, skal organisationer forholde sig til både de muligheder og risici, teknologien medfører.
AI-systemer kan skabe nye angrebsflader og øge organisationens afhængighed af datakvalitet og dataintegritet. De rejser samtidig spørgsmål om modellernes sikkerhed, placering af ansvar, menneskeligt tilsyn og konsekvenserne af forkerte eller manipulerede resultater.

Spørgsmålet er ikke kun, om et AI-system er teknisk sikkert. Organisationer skal også forstå:

• Hvilke forretningsprocesser der er afhængige af systemet
• Hvem der er ansvarlig for anvendelsen
• Hvilke data og eksterne leverandører systemet er afhængigt af
• Hvordan systemets resultater overvåges og kontrolleres
• Hvad der sker, hvis systemet bliver utilgængeligt eller upålideligt
• Om der findes en alternativ proces

Ledelse og styring skal derfor følge med den teknologiske udvikling.

ISO/IEC 42001 kan supplere et ledelsessystem for informationssikkerhed ved at skabe en ledelsesmæssig ramme for ansvarlig udvikling og anvendelse af AI. Sammen med ISO/IEC 27001 og, hvor det er relevant, ISO 22301 kan standarden hjælpe organisationer med at koordinere AI-ledelse, informationssikkerhed og operationel robusthed frem for at behandle områderne som separate initiativer.

Lovgivningen fastlægger målet, men organisationen skal stadig finde vejen dertil

Regler og lovgivning som NIS2, DORA og EU’s AI-forordning øger opmærksomheden på blandt andet risikostyring, ledelsesansvar, robusthed, hændelseshåndtering og tredjepartsafhængigheder.

Lovgivningsmæssige krav kan fastlægge de resultater og forpligtelser, som organisationer skal leve op til. Organisationen har dog stadig brug for praktiske processer til at placere ansvar, vurdere risici, opretholde dokumentation, evaluere indsatsen og forbedre sine styringsforanstaltninger.

Et ledelsessystem kan skabe dette operationelle fundament. Det sikrer ikke automatisk, at organisationen overholder al relevant lovgivning, og en certificering bør ikke præsenteres som dokumentation for, at alle lovgivningsmæssige forpligtelser er opfyldt. Et ledelsessystem kan imidlertid hjælpe organisationen med at styre relevante risici og krav gennem en ensartet, dokumenteret og auditérbar struktur.

Det er især værdifuldt, når en organisation er underlagt flere standarder, kundekrav og lovgivningsmæssige krav. I stedet for at etablere en særskilt proces for hver enkelt forpligtelse kan organisationen koble kravene til fælles processer for ledelse, risikostyring, leverandørstyring, evaluering og forbedring.

Planer skal afprøves og ikke kun dokumenteres

En plan kan se dækkende ud på papiret og alligevel svigte under en reel hændelse.

Kontaktoplysninger kan være gemt i et system, der ikke længere er tilgængeligt. Medarbejderne ved måske ikke, hvor de kan finde alternative instruktioner. En udpeget beslutningstager kan være utilgængelig. En leverandør kan være udeladt fra en øvelse, selv om leverandøren leverer en kritisk tjeneste. Prioriteringen af genopretningen kan desuden være baseret på tekniske antagelser frem for organisationens reelle forretningsmæssige behov.

Øvelser og afprøvninger kan afdække disse svagheder, før en virkelig hændelse gør det.

Afprøvningen bør ikke kun undersøge, om et teknisk system kan genoprettes. Den bør også vise, om organisationen kan træffe beslutninger, koordinere sin indsats, kommunikere med relevante parter og opretholde prioriterede aktiviteter, mens genopretningen finder sted.

Formålet er ikke at bevise, at planen er fejlfri. Formålet er at identificere svagheder, placere ansvaret for korrigerende handlinger og løbende styrke organisationens beredskab.

Her skaber ledelsessystemets mekanismer, såsom intern audit, ledelsens evaluering og korrigerende handlinger, konkret værdi. De bidrager til at sikre, at erfaringer fra øvelser, hændelser og nærved-hændelser fører til beslutninger og målbare forbedringer frem for at ende som enkeltstående observationer.

Certificering skaber uafhængig tillid

Et ledelsessystem skaber strukturen for arbejdet med informationssikkerhed og robusthed. En standard opstiller anerkendte krav, som ledelsessystemet kan udvikles og implementeres efter. En certificering indebærer en uafhængig vurdering af, om ledelsessystemet opfylder kravene i den relevante standard.

En certificering betyder ikke, at organisationen aldrig bliver udsat for en cyberhændelse. Den garanterer heller ikke, at enhver hændelse vil blive håndteret fejlfrit.

En certificering kan derimod give uafhængig tillid til, at organisationen har etableret en systematisk tilgang, placeret ansvar, vurderet relevante risici og indført processer til overvågning, evaluering og forbedring.

Det kan styrke tilliden blandt kunder, leverandører, myndigheder og andre relevante interessenter. Certificeringsprocessen kan samtidig give ledelsen et eksternt perspektiv på, om ledelsessystemet er implementeret og fungerer efter hensigten.

Opbygning af robusthed er en kontinuerlig proces

Cyberrobusthed er ikke noget, en organisation opnår én gang for alle.
Trusler ændrer sig. Teknologier udvikler sig. Organisationer implementerer nye systemer. Leverandører bliver udskiftet. AI integreres i flere processer. Lovgivningsmæssige og kontraktlige forventninger udvikler sig.

En beredskabsløsning, der fungerede sidste år, afspejler derfor ikke nødvendigvis længere organisationens systemer, afhængigheder eller aktuelle risikobillede.

Robuste organisationer er ikke nødvendigvis dem, der oplever færrest hændelser. Det er ofte de organisationer, der identificerer svagheder tidligt, reagerer koordineret, lærer af driftsforstyrrelser og systematisk styrker deres beredskab.

Ledelsessystemer understøtter denne kontinuerlige proces ved at integrere ansvar, risikovurderinger, kompetenceudvikling, afprøvning, intern audit, ledelsens evaluering, korrigerende handlinger og løbende forbedringer i organisationens daglige arbejde.

Teknologier til cybersikkerhed er fortsat afgørende. Teknologien kan dog ikke alene fastlægge prioriteter, koordinere medarbejdere og leverandører, afprøve beslutningsprocesser eller sikre, at erfaringer fører til reelle forandringer. Det er ledelsesmæssige opgaver.

Cyberrobusthed handler derfor ikke alene om at være forberedt i dag. Det handler om at udvikle en systematisk og gentagelig tilgang, der hjælper organisationen med at opretholde driften, genoprette effektivt og tilpasse sig, efterhånden som trusselsbilledet ændrer sig.

Når forebyggelse ikke længere er tilstrækkeligt, skaber et ledelsessystem den struktur, der er nødvendig for at reagere, genoprette driften og stå stærkere bagefter.

Tag næste skridt med DNV

Vil I styrke organisationens arbejde med cyber- og informationssikkerhed? Kontakt DNV for at høre mere om certificering og få et tilbud, der tager udgangspunkt i jeres organisation og det relevante ledelsessystem.

I kan også opbygge de nødvendige kompetencer gennem DNV’s kurser inden for blandt andet ISO/IEC 27001, NIS2, IT-beredskab, forretningskontinuitet og krisestyring. Kurserne giver deltagerne viden og praktiske værktøjer til at arbejde mere systematisk med cyber- og informationssikkerhed og bidrage til udviklingen og forbedringen af organisationens ledelsessystem.

21.10.2026 11.30.00