Sådan laver du en IT-sikkerhedsplan for din virksomhed

En cyberangreb på din virksomhed kan koste millioner i tabt omsætning, datasikkerhedsbrud og ødelagt omdømme. Alligevel har kun 42% af danske virksomheder en opdateret IT-sikkerhedsplan ifølge Center for Cybersikkerheds seneste undersøgelse. Med det nye NIS2-direktiv står endnu flere virksomheder overfor lovkrav om systematisk cybersikkerhed.

Denne guide giver dig en konkret metode til at udvikle en IT-sikkerhedsplan, der både opfylder lovkrav og reelt beskytter din forretning.

Hvad er cybersikkerhed og hvorfor er det kritisk nu?

Cybersikkerhed dækker over de processer, teknologier og kompetencer, der beskytter computersystemer, netværk og data mod digitale angreb. Det handler ikke kun om firewall og antivirus – det er en strategisk opgave, der involverer hele organisationen.

I 2023 oplevede danske virksomheder et rekordhøjt antal cyberangreb. Center for Cybersikkerhed rapporterede en stigning på 67% i alvorlige hændelser sammenlignet med året før. Gennemsnitskostningen ved et databrud i Danmark ligger på 28 millioner kroner når man medregner produktionstab, juridiske omkostninger og tabt tillid.

Det er ikke længere et spørgsmål om, hvorvidt din virksomhed bliver angrebet – men hvornår.

Hvad er NIS2 og hvordan påvirker det din virksomhed?

NIS2 er EU's opdaterede direktiv for netværks- og informationssikkerhed, der træder i kraft i oktober 2024. NIS2 direktivet udvider kravene fra det oprindelige NIS-direktiv markant og omfatter nu langt flere sektorer og virksomheder.

Forskellen mellem det gamle og nye direktiv

Hvor det oprindelige NIS-direktiv primært ramte store infrastrukturvirksomheder, er NIS2 direktivet langt bredere. Det stiller konkrete krav til risikostyring, rapportering af sikkerhedshændelser og ledelsesansvar. Direktøren kan nu holdes personligt ansvarlig ved manglende efterlevelse.

Hvem er omfattet af NIS2?

NIS2 direktivet omfatter virksomheder i to kategorier: "væsentlige" og "vigtige" enheder. Du er omfattet hvis din virksomhed opererer i en af følgende sektorer og opfylder størrelseskravene:

Størrelseskravet er typisk virksomheder med minimum 50 medarbejdere eller en omsætning over 10 millioner euro. Men selv mindre virksomheder i kritiske sektorer kan være omfattet. Center for Cybersikkerhed estimerer at omkring 3.000-4.000 danske virksomheder falder ind under NIS2 direktivet.

De 7 trin til en effektiv IT-sikkerhedsplan

1. Kortlæg dine digitale aktiver

Før du kan beskytte noget, skal du vide hvad du ejer. Lav en komplet liste over:

Et konkret eksempel: En mellemstor produktionsvirksomhed opdagede gennem denne proces, at 23 forskellige cloud-tjenester var i brug – hvoraf ledelsen kun kendte til 8. Disse skygge-IT-løsninger var potentielle sikkerhedshuller.

2. Lav en risikovurdering

For hvert aktiv skal du vurdere:

Center for Cybersikkerhed anbefaler at bruge deres gratis risikovurderingsværktøj, som er specifikt udviklet til dansk it sikkerhed og tager højde for NIS2-kravene.

3. Fastlæg sikkerhedsmål baseret på risiko

Baseret på din risikovurdering skal du prioritere. Det handler ikke om at eliminere al risiko – det er umuligt – men om at reducere den til et acceptabelt niveau.

For eksempel: Hvis kundedata er jeres mest kritiske aktiv, kan et mål være: "Ingen uautoriseret adgang til kundedata gennem 2024 – målt ved nul sikkerhedshændelser i adgangsloggen."

4. Definer konkrete sikkerhedsforanstaltninger

Her er de mest effektive tiltag ifølge Center for Cybersikkerheds analyse af danske sikkerhedshændelser:

Tekniske foranstaltninger:

Organisatoriske foranstaltninger:

Et dansk logistikfirma reducerede deres sikkerhedshændelser med 78% på et år ved primært at implementere MFA og månedlige phishing-tests. De investerede 180.000 kr. – versus de 4,2 millioner deres sidste ransomware-angreb kostede.

5. Implementer i faser

Lav en realistisk implementeringsplan. NIS2 direktivet kræver at foranstaltningerne er "passende og proportionale", hvilket betyder at du kan tage højde for din virksomheds størrelse og ressourcer.

En typisk faseopdeling:

6. Etabler overvågning og rapportering

NIS2 kræver at "væsentlige sikkerhedshændelser" rapporteres til myndighederne inden for 24 timer. Det betyder du skal have systemer, der kan opdage og alarmere ved unormal aktivitet.

Center for Cybersikkerhed tilbyder en gratis "Varslingssystemet for Digital Infrastruktur" som danske virksomheder kan tilslutte sig for automatisk at modtage trusselsinformation.

Minimum skal du implementere:

7. Test og vedligehold planen

En IT-sikkerhedsplan er aldrig færdig. Cybertrusler udvikler sig konstant, og det samme skal din beskyttelse.

Konkrete aktiviteter:

Ledelsens rolle i cybersikkerhed

NIS2 direktivet placerer eksplicit ansvar hos ledelsen. Direktøren skal godkende sikkerhedsforanstaltningerne og kan straffes personligt ved grov forsømmelse. Det betyder cybersikkerhed skal behandles som enhver anden virksomhedsrisiko – ikke kun som en IT-opgave.

Bestyrelsen og direktionen skal:

Ressourcer fra Center for Cybersikkerhed

Center for Cybersikkerhed, som er Danmarks nationale myndighed for cybersikkerhed, tilbyder omfattende gratis ressourcer til danske virksomheder:

Center for Cybersikkerhed afholder også regelmæssige gratis webinarer om NIS2 implementering og dansk it sikkerhed. Deres hjemmeside opdateres løbende med nye værktøjer og checklister.

De største udfordringer (og hvordan du tackler dem)

Manglende ressourcer

Mange virksomheder føler sig overvældede af kravene. Start småt – selv basale tiltag som MFA og medarbejderuddannelse giver massiv effekt. NIS2 direktivet anerkender at proportionalitet er nøglen.

Kompleks leverandørkæde

Hvis I bruger cloud-tjenester eller outsourcer IT, skal jeres sikkerhedsplan inkludere disse. Stil konkrete spørgsmål til leverandører om deres sikkerhedscertificeringer og incidenthåndtering. Kræv årlig dokumentation.

Medarbejdermodstand

Sikkerhedsforanstaltninger opleves ofte som besværlige. Løsningen er transparens – forklar hvorfor det er nødvendigt med konkrete eksempler på hvad der går galt hos andre. En dansk kommune fik 96% deltagelse i frivillige sikkerhedskurser efter de viste en case om en nabokommunen der måtte lukke i tre dage efter et angreb.

At holde planen opdateret

Book faste datoer i kalenderen nu til de kvartalsvise revisioner. Gør en specifik person ansvarlig. Center for Cybersikkerhed anbefaler at koble det til eksisterende møderækker i stedet for at skabe nye strukturer.

Hvad der sker hvis du ikke har en plan

Konsekvenserne ved ikke at efterleve NIS2 direktivet er betydelige:

Men vigtigst: Statistikken viser at virksomheder uden IT-sikkerhedsplan har 3,7 gange højere sandsynlighed for at opleve et alvorligt databrud. Omkostningen ved at implementere en plan er brøkdele af omkostningen ved et enkelt større angreb.

Start i dag

Du behøver ikke løse alt på én gang. Her er tre ting du kan gøre i denne uge:

  1. Book 2 timer i morgen: Lav din første grove liste over IT-systemer og kritiske data
  2. Kontakt Center for Cybersikkerhed: Tilmeld dig deres nyhedsbrev og tjek om I er omfattet af NIS2
  3. Planlæg første møde: Få IT-ansvarlig og en fra ledelsen i samme rum til at diskutere de største bekymringer

En effektiv IT-sikkerhedsplan handler ikke om at skabe perfekt beskyttelse – det findes ikke. Det handler om at være tilstrækkeligt forberedt til at opdage, håndtere og komme videre fra de uundgåelige forsøg på at trænge ind i jeres systemer.

Med NIS2 direktivet er det ikke længere en frivillig opgave for mange tusinde danske virksomheder. Men uanset om I er direkte omfattet, så er principperne de samme: Systematisk risikostyring, involveret ledelse og løbende forbedring.

Start med det grundlæggende, byg videre løbende, og husk at selv store forbedringer i it sikkerhed kan opnås med målrettede, konkrete tiltag.