Cyberangreb: Kan virksomheden fungere, når IT er nede?

En dansk cyberstresstest viser, at modstandsdygtighed ikke kun handler om at holde angribere ude.

Virksomheden skal kunne fortsætte kritiske funktioner, træffe beslutninger og kommunikere, når centrale systemer er utilgængelige eller data ikke kan stoles på.

Artiklen giver en praktisk ramme for at teste it-beredskabet som en forretningsplan under pres.

En cyberstresstest undersøger, om organisationen kan håndtere følgerne af et omfattende og længerevarende it-nedbrud. Antagelsen er, at forebyggelse og detektion ikke har været tilstrækkeligt. Det tvinger ledelsen til at afklare, hvilke ydelser der skal fortsætte først, hvilke data der er troværdige, hvem der kan godkende nøddrift, og hvordan kunder, myndigheder og leverandører koordineres, når de sædvanlige kanaler ikke virker.

Finanstilsynet og Danmarks Nationalbank offentliggjorde i juli 2026 resultaterne af en stresstest med 11 centrale aktører i finanssektoren. Scenariet omfattede manipulation af data, der skabte tvivl om ejerskab af værdipapirer, så handel og afvikling måtte stoppes. Øvelsen kombinerede forberedt analyse med fælles kriseøvelser i realtid og førte blandt andet til initiativer om fælles playbook og koordineret krisekommunikation.

Tre antagelser, som øvelsen bør udfordre

Backup er ikke det samme som genopretning. Kopier af data har kun værdi, hvis virksomheden kan fastslå, at de er rene og korrekte, gendanne dem i den rigtige rækkefølge og kontrollere resultatet. Et integritetsbrud kan være vanskeligere end et synligt nedbrud, fordi forkerte data kan ligne rigtige data.

Kontaktlister virker ikke nødvendigvis. En krisestab, der kun kan indkaldes via mail, chat eller identitetsplatform, kan blive tavs netop i den situation, planen skal håndtere. Alternative kontaktveje og kopier af nøgleoplysninger bør være tilgængelige uden for de berørte systemer.

Leverandører kan ikke behandles som en fodnote. Cloud, løn, logistik, betaling og driftsleverandører skaber gensidige afhængigheder. Øvelsen bør afklare både virksomhedens egne prioriteringer og leverandørernes realistiske kapacitet under en fælles hændelse.

Sådan gennemfører I en enkel cyberøvelse

En første øvelse kan gennemføres på to til tre timer med ledelse, it, drift, kommunikation, jura og de vigtigste forretningsejere. Vælg ét scenarie, der rammer en reel afhængighed, eksempelvis mistillid til kundedata, utilgængelig identitetsplatform, nedbrud hos en kritisk leverandør eller tab af både mail og telefoni.

1. Fastlæg målet, fx evnen til at fortsætte to prioriterede ydelser i 24 timer uden normale it-systemer.
2. Beskriv starttilstanden: hvad er utilgængeligt, hvilke data er usikre, og hvad ved I endnu ikke?
3. Tilføj realistiske konsekvenser over tid, fx kundehenvendelser, fraværende nøglepersoner eller en leverandør uden kendt genetableringstid.
4. Registrér beslutninger, antagelser og mangler på data, mandat eller fungerende kanaler.
5. Udpeg ejere og frister for højst fem forbedringer.

Ledelsen skal teste prioriteringer, ikke manuskript

En moden øvelse må ikke blive en oplæsning af beredskabsplanen. Den skal afdække, om prioriteringerne holder, når informationen er ufuldstændig, tiden er knap, og flere hensyn kolliderer. Et effektivt kriseberedskab skal være operationelt, ajourført, afprøvet og ledelsesgodkendt med klare aktiveringskriterier og mandat i krisestaben.

Et cyberangreb bliver hurtigt en forretningskrise, hvor data, leverandører, kommunikation og beslutningskraft hænger sammen. Næste øvelse bør derfor begynde med at afklare, hvad virksomheden skal kunne levere, mens it stadig er nede.

Når svaret er klart, kan it-beredskabsplanen omsættes til roller, alternative arbejdsgange og målbare genopretningsprioriteter. En kort, realistisk cyberøvelse giver ledelsen et bedre beslutningsgrundlag og synliggør afhængigheder, som sjældent kan ses i en mappe med procedurer.