Cyberangreb kan lamme hele virksomheden: Professor advarer bestyrelser mod manglende beredskab

Cybertruslen er den største trussel, virksomheder står over for lige nu.

Det advarede Jamie Dimon, mangeårig topchef i JPMorgan Chase, om tidligere på året på Bernstein-konferencen, hvor han fremhævede, at truslen ikke længere er begrænset til den finansielle sektor. Den er aktuel i alle brancher. 

I oktober blev konsekvenserne af digitale sårbarheder tydelige i Danmark, da en formodet hacker fik adgang til CPR-oplysninger gennem en dansk virksomheds lovlige adgang til registret. Ifølge Politiken har en person, der hævder at stå bag, beskrevet, hvordan vedkommende fik adgang til oplysningerne. Hændelsen gav adgang til navne, adresser og CPR-numre på omkring 8,8 mio. registrerede personer. 

Skal man tro den formodede hacker, spillede kunstig intelligens en afgørende rolle og gjorde det overraskende let at trænge ind i systemet.

Bag sagen stod et angreb, hvor den Odense-baserede it-virksomhed Pays ApS' lovlige adgang til CPR-registret blev misbrugt. Det har virksomheden selv bekræftet over for TV 2. Ifølge Politiken hævder en person, der siger at stå bag angrebet, at vedkommende fik adgang ved hjælp af et lækket password fra en tidligere medarbejder. 

Sagen illustrerer dermed ikke blot, hvor store konsekvenser en cyberhændelser kan få for virksomheder og deres kunder, men også hvordan nye teknologier kan gøre det lettere at udnytte digitale sårbarheder.

Og truslen stopper ikke ved følsomme oplysninger. Den kan også ramme virksomhedernes daglige drift.

Samme måned blev både en række danske universiteter og Femern Bælt-projektet ramt af cyberangreb, mens et angreb på køle- og frysesystemer i franske supermarkeder viste, hvordan digitale angreb også kan forstyrre den fysiske drift.

I takt med at cybertruslerne udvikler sig, bliver et spørgsmål mere presserende: Er danske virksomheder rustet til at beskytte deres data, opretholde driften og håndtere konsekvenserne, når uheldet er ude?

Ikke alle danske virksomheder er parate

Nej. Det er det korte svar, hvis man skal tro en medlemsundersøgelse fra Dansk Erhverv fra januar 2026 blandt 695 virksomheder.

Kun fem pct. af virksomhederne vurderer, at de i høj grad kan opretholde deres kerneopgaver uden adgang til it. Samtidig peger to ud af tre virksomheder på barrierer for at styrke cybersikkerheden, blandt andet manglende kompetencer og viden om, hvilke løsninger der virker.

“Vi ser det særligt hos de virksomheder, der indtil nu ikke har været underlagt regulering på it-området, og så er det tydeligt, at økonomi er afgørende for, om virksomhederne investerer i deres cybersikkerhed,” siger Joen Magieres, der er chefkonsulent hos Dansk Erhverv med ansvar for digitalisering og teknologi. 

I de senere år er der dog kommet mere lovgivning på området, fortæller han. 

Blandt andet kræver NIS 2-reglerne, at ledelsen i omfattede virksomheder godkender foranstaltningerne til håndtering af cybersikkerhedsrisici og fører tilsyn med, at de bliver gennemført.

Det er nødvendigt, mener Joen Magieres, for konsekvenserne af et cyberangreb rækker langt ud over it-afdelingen: 

“I dag kan hele virksomheden gå i stå, hvis de digitale systemer svigter. Derfor bør beslutninger om it-sikkerhed og beredskab træffes på ledelsesniveau.”

Fra it-afdelingen til bestyrelseslokalet

Kira Vrist Rønn, professor ved Syddansk Universitet (SDU) og underviser på universitetets og Børsens bestyrelsesuddannelse, mener også, at cybersikkerhed er gået fra at være et teknisk spørgsmål til at være en strategisk udfordring.

“Førhen har vi tænkt og talt om cybersikkerhed som et anliggende for it-afdelingen, men nu har ansvaret taget elevatoren helt op til øverste ledelsesniveau, fordi emnet har en afsmittende effekt på hele organisationen.” 

Trusselsbilledet handler nemlig ikke længere kun om kriminelle, der låser systemer og kræver løsepenge. 

De geopolitiske spændinger har føjet en ny dimension til truslen. Virksomheder må i stigende grad forholde sig til risikoen for angreb, der ikke alene er økonomisk motiverede, men også kan have politiske og strategiske formål.

En pro-russisk hackergruppe menes eksempelvis at stå bag et cyberangreb på Tureby-Alkestrup Vandværk i Køgeområdet. Her ændrede hackerne vandtrykket, hvilket førte til brud på vandledninger og betød, at en række hustande stod uden vand. 

Derfor er digital suverænitet rykket højere op på dagsordenen, vurderer Kira Vrist Rønn.

Tag stilling til risici og konsekvenser

Cybertruslerne ser dog ikke ens ud for alle virksomheder.

For en virksomhed som Pays ApS, der var involveret i sagen om adgangen til millioner af danskeres CPR-oplysninger, kan cyberhændelsen få alvorlige konsekvenser for kundetilliden. 

For virksomheder, der leverer teknologi til kritisk infrastruktur, kan truslerne have en helt anden karakter. Eksempelvis i form af sabotage eller spionage med en geopolitisk dimension. 

“Truslen og konsekvenserne afhænger af organisationens rolle i samfundet, og derfor er det vigtigt, at bestyrelsen zoomer ind på den pågældende virksomhed og identificerer, hvor det er vigtigt at sætte ind,” vurderer Kira Vrist Rønn. 

Ingen virksomheder kan beskytte sig mod alt, og investeringer i cybersikkerhed skal balanceres med virksomhedens økonomi. 

Beredskabet skal afprøves inden ulykken

Men selv de bedste sikkerhedsforanstaltninger kan ikke garantere, at et angreb aldrig finder sted. Derfor er det mindst lige så vigtigt, at virksomheden ved, hvad den skal gøre, når systemerne svigter.

Ifølge Joen Magieres fra Dansk Erhverv er et velfungerende beredskab afgørende for, om en virksomhed kan holde driften i gang under et cyberangreb. 

“Cyberangreb er ikke længere et spørgsmål om, hvorvidt det sker – men hvornår, det sker,” siger Kira Vrist Rønn. Derfor er beredskabet afgørende, fastslår hun. 

På fjerde modul af Børsens og SDU’s bestyrelsesuddannelse arbejder deltagerne derfor med at identificere digitale sårbarheder, prioritere sikkerhedstiltag og håndtere konkrete scenarier, hvor uvedkommende får adgang til virksomhedens systemer og forstyrrer driften. 

I en sådan situation er det afgørende, at ledelsen er forberedt og på den måde kan stille de rette spørgsmål til it-funktionen, vurderer hun. 

 Ledelsen skal afklare, hvilke dele af virksomheden der er ramt, hvem der har ansvaret for at håndtere situationen, hvilke myndigheder og samarbejdspartnere der skal involveres, og hvornår kunder og medarbejdere potentielt skal informeres.

Beslutningerne skal træffes under tidspres, og en uklar ansvarsfordeling kan gøre situationen vanskeligere at håndtere, siger Kira Vrist Rønn.

“Der skal være en handlingsplan, som er afprøvet, inden hændelsen indtræffer. Det er her, det bliver synligt, hvor beredskabet er utilstrækkeligt, og hvilke beslutninger der bør være afklaret på forhånd,” fortæller hun.

Det kræver en løbende dialog mellem bestyrelse, direktion og it-ansvarlige, vurderer professoren.

Bestyrelsens opgave er ikke at løse de tekniske problemer, men at sikre, at virksomheden kender sine risici, har et afprøvet beredskab og er klar til at træffe beslutninger, når et angreb rammer.

Bliv bedre rustet til arbejdet i bestyrelseslokalet. Læs mere om Børsens og SDU's bestyrelsesuddannelse her.