Issuu

WE MAKE SPACE YOURS Læs om overvågning og sikkerhed fra rummet på side 4-5

ANNONCETILLÆG TIL BØRSEN

SAMFUNDSSIKKERHED

ROBUSTHED KRÆVER MERE END TEKNOLOGI NIS2, CER og Cyber Resilience Act stiller nye krav til virksomheder. Men reel robusthed opstår først, når strategi, ledelse, processer og teknologi arbejder sammen.

VANDFORSYNINGEN UNDER PRES

Cyberangreb, sabotage og klimaforandringer ændrer forudsætningerne for Danmarks vandforsyning. Carl-Emil Larsen efterlyser et stærkere beredskab og samarbejde på tværs af sektorer.

NLOGIC: DIGITAL ROBUSTHED

Hvordan bygger man en digital infrastruktur, der både beskytter virksomheden og understøtter drift, innovation og fremtidig udvikling? Jeppe Ruokokoski fra nLogic deler sit perspektiv. ANNONCETILLÆG

DISTRIBUERET MED BØRSEN

Powered by Knowledge. Driven by Trust. nLogic er en pålidelig nordisk partner inden for netværks- og sikkerhedsløsninger. Vi sikrer vores kunders kritiske infrastruktur. Læs mere på side 18 og 19.

18 PRODUCERET AF

SAMFUNDSSIKKERHED Account Managers Christopher Juhl

Omslagsfoto Gomspace

Content Coordinator Maja Friberg

Distribution Børsen, Oktober 2026

Graphic Design Content Studio

Trykkeri Bold Printing Malmö, Bold printing Stockholm, Gota Media Borås & Bold Printing Sundsvall. Med forbehold for evt. tryk- og farvefejl.

Journalister Kristine Buske Matilde Sigersted Pernille Witt Caroline Mørk Casper Ulsøe Adresse Contentway A/S Vesterbrogade 10 1620 København

Kontakt os +45 89 87 10 25 www.contentway.dk contentstudio@contentway.dk

Robusthed skabes ikke af teknologi alene LEDER

Europa står i en ny sikkerhedspolitisk virkelighed. Samtidig møder virksomheder en bølge af krav fra blandt andet NIS2, CER og Cyber Resilience Act. Men compliance handler ikke kun om dokumentation. Robusthed opstår først, når strategi, ledelse og teknologi omsættes til konkrete handlinger i organisationen.

år vi taler om kritisk infrastruktur, falder diskussionen ofte hurtigt på cybertrusler, ransomware og avancerede angreb. Trusselsbilledet er vigtigt, men det er ikke den største udfordring for mange virksomheder. Den største udfordring er at forstå kravene, omsætte dem til konkrete leverancer, risici og ambitioner, til en praksis, der fungerer i hverdagen.

Contentway Contentway er specialister i content marketing og producerer tematiske cross-media kampagner med distribution gennem førende dagblade og medieplatforme. Det redaktionelle indhold i denne publikation er produceret til generelle informationsformål. Partner Content, advertorials og annoncer er produceret af eller i samarbejde med deltagende virksomheder og organisationer. Indholdet afspejler de respektive afsenderes egne synspunkter, analyser og konklusioner og deles ikke nødvendigvis af Contentway. Contentway er ikke ansvarlig for indholdets nøjagtighed og fraskriver sig ethvert ansvar for eventuelle faktuelle fejl, trykfejl eller farveafvigelser. Følg os @contentwaydk

SAMFUNDSSIKKERHED

René Matthiassen Partner, Frontdoor Security

I disse år mødes virksomheder af omfattende krav fra EU. NIS2, CER og Cyber Resilience Act stiller nye forventninger til sikkerhed, robusthed og ansvarlig ledelse. Mange ledelser

oplever dog, at reglerne kan være vanskelige at navigere i. Resultatet bliver ofte enten overimplementering med unødige omkostninger eller underimplementering med betydelige risici. Vejen frem er operationel compliance.

Det gælder ikke mindst i en tid, hvor digital transformation accelererer, og hvor forsyningskæder, energi, transport og produktion bliver stadig mere sammenhængende. Her er robust hed ikke et projekt, men en ledelsesdisciplin.

Operationel compliance handler om at skabe den rette balance mellem forretning, sikkerhed og regulering. Det betyder for eksempel, at en øvelse i et strømsvigt ikke kun tester it-bered skabet, men om driftsledelse, sikkerheds ansvarlige og topledelse kan træffe fælles beslutninger under pres.

Et modstandsdygtigt samfund forudsætter, at vi flytter fokus fra compliance som kontrol til compliance som kapacitet. For det er ikke teknologien alene, der beskytter kritisk infrastruktur.

I samfundskritiske funktioner er OT, IT og fysisk sikkerhed tæt forbundne discipliner, som må styres under en fælles governance-model. Erfaringen viser, at robuste organisationer ikke nødvendigvis er dem med flest sikkerhedsværktøjer.

René Matthiassen er en af Danmarks førende eksperter inden for regulering af cybersikkerhed, og som medlem af EU’s Workgroup 9 har han bidraget til udviklingen af kravene i Cyber Resilience Act for Europa-Kommissionen. Derudover er han medforfatter på ISO 27001:2013-standarden.

Det er de organisationer, der har klare ansvarsforhold, velfungerende processer, regelmæssige øvelser og ledelser, der forstår deres rolle i krisestyringen.

Han har næsten 30 års erfaring med at levere komplekse sikkerhedsløsninger til IT/OT- systemer og omsætte forretningskrav til sikre og compliant resultater.

Robusthed opstår, når mennesker, processer, ledelse og teknologi arbejder sammen.

Assa Abloy – Partner Content

Digital adgang er blevet en del af samfundets sikkerhed Kritisk infrastruktur som vandværker, energiforsyning og telekommunikation skal ikke kun beskyttes mod digitale angreb. Digitale nøgler og intelligent adgangskontrol skal samtidig forhindre, at uvedkommende får fysisk adgang til kritiske anlæg.

år kritisk infrastruktur skal beskyttes, er cybersikkerhed en side af opgaven. Digitale systemer kan være godt sikret, men det hjælper ikke, hvis uvedkom mende kan åbne døren til et teknikrum eller en pumpestation. Derfor skal den fysiske og digitale sikkerhed tænkes sammen, mener Steen Larsen, Sales Manager for adgangs kontrol hos ASSA ABLOY. ”De rigtige mennesker skal kunne komme ind de rigtige steder, mens alle andre bliver holdt ude. Samtidig skal du kunne dokumentere, hvem der har haft adgang, hvor og hvornår,” siger han. Netop her adskiller digital adgangskontrol sig fra den traditionelle nøgle. Den traditionelle, mekaniske nøgle giver adgang, mens digitale nøgler gør det muligt løbende at styre og dokumentere, hvem der kommer og kan komme ind.

Assa Abloy assaabloy.com/dk/da

Steen Larsen Sales Manager for adgangskontrol hos ASSA ABLOY

Fra mekanisk nøgle til digitale rettigheder En mekanisk nøgle kan blive kopieret eller forsvinde. Hvis den giver adgang til flere lokationer, kan det blive nødvendigt at om lægge og udskifte låse. En digital nøgle kan derimod spærres, mens adgangsrettigheder kan ændres centralt.

”Samfundskritiske virksomheder har ofte mange geografisk spredte lokationer. Derfor skal rettighederne kunne tilpasses og ændres hurtigt, når en medarbejder skifter funktion eller en leverandør har afsluttet sit arbejde,” siger Steen Larsen. Et eksempel stammer fra et større svensk forsyningsselskab, der distribuerer drikkevand til fire kommuner. Da selskabet gennemgik sit 20 år gamle låsesystem, kunne det ikke længere med sikkerhed fastslå, hvor alle udleverede nøgler befandt sig. Det udgjorde en alvorlig risiko, fordi en nøgle i de forkerte hænder kunne give adgang til blandt andet pumpestationer og andre følsomme dele af vandforsyningen.

Derfor blev det gamle system erstattet med en digital løsning, hvor adgangen kan styres på individniveau og nøglernes gyldighed kan tids begrænses. Bortkomne nøgler kan dermed gøres ubrugelige, uden at alle låse skal udskiftes. En løsning, der giver bedre overblik For virksomheder med mange bygninger kan

adgangskontrollen hurtigt blive fragmenteret. ASSA ABLOY integrerer derfor adgangskon trol, mekaniske og digitale låse samt adminis trationen heraf, så adgangsrettigheder nemt kan håndteres fra samme grænseflade. ”De fleste virksomheder ønsker ikke selv at være eksperter i låse og sikkerhedsniveauer. De har brug for en dokumenteret løsning, som er godkendt af forsikringsselskaberne, og som er enkel at administrere, så de kan koncentrere sig om deres kerneopgave,” siger Steen Larsen.

DLA Piper – Partner Content

SAMFUNDSSIKKERHED

AI i forsvarssektoren kræver kontrol med data Kunstig intelligens kan hjælpe virksomheder i forsvarssektoren med at gennemgå teknisk dokumentation, analysere data og effektivisere arbejdsgange. Men når medarbejdere indsætter tekst i en prompt, uploader dokumenter eller giver et AI-værktøj adgang til virksomhedens systemer, kan fortrolige oplysninger blive tilgængelige for uvedkommende. Risikoen gælder ikke kun producenter af militært materiel, men hele leverandørkæden, herunder underleverandører, software- og teknologivirksomheder, dual-use-virksomheder og rådgivere. Hvad forstås ved fortrolige data i en forsvarskontekst? I denne artikel anvendes ”fortrolige data” som en samlet betegnelse for oplysninger, der kræver særlig beskyttelse. Forsvarsvirksomheder vil alene behandle oplysninger klassificeret efter sikkerhedscirkulæret, hvis disse overlades til dem fra en myndighed, der er underlagt sikkerhedscirkulæret, eller hvis en sådan myndighed generelt angiver, at kunderelationer, produktet mv. skal anses for klassificeret. At håndtere klassificerede oplysninger – især i itsystemer – er en særdeles bebyrdende opgave, der både forudsætter sikkerhedsgodkendelse af relevante medarbejdere samt akkreditering af it-systemer, der eventuelt skal behandle oplysningerne. Reglerne herom har vi beskrevet i en tidligere artikel.

Christian Wiese Svanberg Advokat, Director, LL.M.

For en virksomhed i forsvarssektoren kan fortrolige data herudover være angivet som sådan i en aftale med en kunde eller anden part. Alt efter omstændighederne kan begrebet derfor dække over klassificerede oplysninger, tekniske specifikationer, tegninger, testresultater, oplysninger om sårbarheder og sikkerhedsforanstaltninger samt oplysninger om systemers anvendelse. Det kan også være forretningshemmeligheder, udviklingsplaner, kunde- og leverandørforhold eller oplysninger, der er fortrolige i henhold til kontrakter eller fortrolighedsaftaler. Endelig kan materialet indeholde personoplysninger om medarbejdere, leverandører eller brugere, der er reguleret af databeskyttelsesreglerne.

DLA Piper

denmark.dlapiper.com

Nick Bronstein Advokat, Partner

Det afgørende er ikke kun den enkelte oplysning. Oplysninger, der hver for sig virker harmløse, kan tilsammen afsløre væsentlige forhold om et system, et projekt eller en operation. Fjernelse af et kundenavn eller projektnummer er derfor ikke nødvendigvis tilstrækkeligt, hvis projektet eller f.eks. en kapacitet fortsat kan identificeres. En teknisk tegning eller kravspecifikation er for eksempel ikke nødvendigvis sikkerhedsklassificeret, men kan stadig indeholde forretningshemmeligheder eller oplysninger underlagt en non-disclosure agreement (NDA). Kend opgaven, dataene og værktøjet Før et AI-værktøj tages i brug, bør virksomheden afklare formålet, hvilke oplysninger der er nødvendige, og hvilke sikkerhedskrav der gælder. Der er stor forskel på at forbedre en generisk tekst og at lade et værktøj gennemgå en kravspecifikation til et militært kommunikationssystem. Virksomheden bør tage udgangspunkt i egne klassifikationsregler, kundens sikkerhedsinstrukser, kontrakten og eventuelle eksportkontrolforpligtelser. Hvis løsningen behandler personoplysninger, skal behandlingen risikovurderes. Ved høj risiko kræver GDPR en konsekvensanalyse. Virksomheden skal også kende værktøjet. Det skal blandt andet afklares, hvor data opbevares, om input gemmes eller anvendes til træning, og om værktøjet er godkendt til den konkrete anvendelse. Og som nævnt gælder der omfattende krav om akkreditering af it-systemer til klassificeret brug. For de fleste virksomheder er det derfor umiddelbart ikke muligt at anvende AI-systemer til behandling af klassificerede oplysninger.

Begræns input og adgang AI-værktøjer bør kun modtage de oplysninger, der er nødvendige for opgaven. Hvis en skabelon kan udarbejdes uden kunde-, produkt- eller projektnavne, bør disse erstattes med neutrale betegnelser, forudsat at sammenhængen ikke fortsat gør oplysningerne identificerbare. Adgangen bør bygge på princippet om mindst mulige privilegier. Miljøer, integrationer og adgangsrettigheder bør segmenteres efter anvendelse og risikoniveau. Oplysninger skal beskyttes under overførsel, behandling og opbevaring. Det gælder også logs, som selv kan indeholde fortrolige oplysninger. Efter brugen bør prompts, dokumenter, output og logs ikke gemmes længere end nødvendigt. Virksomheden bør desuden kende den forsyningskæde, AI-værktøjet bygger på, herunder modeludbydere, cloudleverandører og underleverandører. AI-systemer ændrer sig løbende. En godkendelse bør derfor ikke betragtes som permanent. Nye modeller, datatyper, leverandører eller adgangsrettigheder kan kræve en ny vurdering. Hvis oplysninger alligevel deles forkert, skal brugen stoppes, omfanget afdækkes og de relevante funktioner involveres hurtigt. Ledelsen skal skabe rammerne Sikker anvendelse af AI kan ikke overlades til den enkelte medarbejder. Ledelsen bør fastlægge, hvilke værktøjer der er godkendt, hvilke data de må anvendes til, hvem der godkender nye anvendelser, og hvordan hændelser rapporteres mv. Ansvaret bør fordeles tydeligt, og uddannelsen tilpasses den enkelte rolle.

EN OPERATIONEL TJEKLISTE Før forsvarsrelaterede oplysninger anvendes i et AI-værktøj, bør virksomheden som minimum afklare følgende:

• Kommer oplysningerne fra Forsvaret, en anden forsvarsmyndighed, en hovedleverandør eller en samarbejdspartner? • Er oplysningerne omfattet af klassifikation, sikkerhedsinstrukser, kontraktuelle fortrolighedskrav eller eksportkontrolregler?

• Kan opgaven løses uden kundenavn, projektnavn, systembetegnelse, lokation, komponentnumre eller andre identificerende oplysninger? • Kan oplysningerne afsløre forhold om et militært system, en sårbarhed eller en forsyningskæde, selv om de ikke er klassificerede?

• Er AI-værktøjet godkendt til netop denne type oplysninger og den konkrete anvendelse? • Hvordan skærmes oplysningerne effektfuldt og sikkert fra tredjeparter og internettet?

• Er det klart, hvem der skal kontaktes ved tvivl om klassifikation, eksportkontrol, kontraktuelle begrænsninger eller informationssikkerhed? • Er virksomheden forberedt på at håndtere en situation, hvor oplysninger deles forkert eller kompromitteres?

AI kan skabe betydelig værdi i forsvarssektoren, men kun hvis virksomhederne bevarer kontrollen over deres data. Udfordringen er derfor ikke alene at vælge et sikkert AI-værktøj. Det handler om at etablere en løbende proces, hvor data klassificeres, leverandører vurderes, adgang begrænses, ændringer genvurderes, og hændelser håndteres effektivt. Det kræver samarbejde mellem ledelse, forretning, it, informationssikkerhed, compliance, juridiske funktioner og brugere. Har I spørgsmål til håndtering af fortrolige data ved brug af AI, eller ønsker I bistand til at etablere interne retningslinjer, risikovurderinger og operationelle processer, er I velkomne til at kontakte os. Læs den fulde artikel på DLA Pipers hjemmeside.

GomSpace – Partner Content GomSpace – Partner Content

SAMFUNDSSIKKERHED

Sat Beh rum udv ligg fra af m sab

Hv der må sig de

Ing sva sam

”V vi i Sat om

DIREKTØR I GOMSPACE: DIREKTØR I GOMSPACE:

Samfundssikkerhedstopper stopper Samfundssikkerhed ikkeved vedjordoverfladen jordoverfladen ikke

De der ven litæ bliv bliv mu

He må

Kri på Da Forestil dig et cyberangreb, sabotage eller kan få sværere ved at navigere. Og præcis tid Satellitter er ikke længere kun et spørgsmål om rumforskning og teknologi. Krigen i Ukraine Forestil dig et cyberangreb, sabotage eller kan få sværere ved at navigere. Og præcis tid alv Satellitter er ikke længere kun et spørgsmål om rumforskning og teknologi. Krigen i Ukraine strømsvigt, hvor mobilnet og fiberforbindelser fra satellitsystemer indgår i en række digi strømsvigt, hvor mobilnet og fiberforbindelser fra satellitsystemer indgår i en række digi ble harat vist, at adgang til kommunikation, overvågning og fra data fra rummet kan være afgørende har vist, adgang til kommunikation, overvågning og data rummet kan være afgørende kan blive sat ud af drift. Her kan satellit tale og tekniske systemer, som samfundet er kan blive sat ud af drift. Her kan satellit tale og tekniske systemer, som samfundet er for både forsvar og samfundssikkerhed. For Europa handler det i stigende gradselv omat selv at for både forsvar og samfundssikkerhed. For Europa handler det i stigende grad om kommunikation en alternativ kommuni Uk afhængigt kommunikation skabeskabe en alternativ kommuni afhængigt af. af. kontrollere de systemer, derholde skal holde samfundet kørende i en krise. kunnekunne kontrollere de systemer, der skal samfundet kørende i en krise. kationsvej for myndigheder, beredskab kationsvej for myndigheder, beredskab og og mu kritiske funktioner. Men satellitter handler ikkeom kunkommu om kommukritiske funktioner. Men satellitter handler ikke kun Me nikation og navigation. er med også til med skib forsøger at skjule sig i danske Men en stadig den infrastrukturnikation og navigation. De erDe også at til at læg vis et vis skibetforsøger at skjule sig i danske Men en stadig størrestørre del afdel denafinfrastruktur Det samme ved naturkatastrofer. et billede af, hvad der foregår omkring Det samme farvande, kan det slukke foridenti sine identi er afhængig af systemer i rummet”, gældergælder ved naturkatastrofer. Efter Efter god billede af, hvad der foregår omkring farvande, kan det slukke for sine er afhængig af systemer i rummet”, siger siger give etgive en stormflod, oversvømmelse eller skovbrand kon Danmark ogvære kan afgørende, være afgørende, hvis sam en stormflod, fikationssignaler. Men det betyder Carsten Drachmann, direktør den danske Danmark oversvømmelse eller skovbrand og kan hvis sam fikationssignaler. Men det betyder ikke ikke Carsten Drachmann, direktør i den idanske kan satellitdata hurtigt et overblik en krise. rumvirksomhed GomSpace, der udvikler nødvendigvis, det forsvinder. Hersatel har satelrumvirksomhed kan satellitdata hurtigt give etgive overblik over over bliverbliver ramt ramt af en af krise. GomSpace, der udvikler og ogfundetfundet nødvendigvis, at detat forsvinder. Her har skader, berørte områder og mulige adgangsveje.For leverer satellitløsninger. litter en uvurderlig Defra kan fra rummet leverer skader, berørte områder og mulige adgangsveje. satellitløsninger. litter en uvurderlig rolle. rolle. De kan rummet Carsten Drachmann detather, at væretil med til at skibets følge skibets bevægelser og give IfølgeIfølge Carsten Drachmann er deterher, len være med at følge bevægelser og give For Carsten Drachmann skal rumteknologi rummet afgørende for samfundets Satellitter kan blandt billeder myndigheder et overblik over, der hvadforegår der foregår For Carsten Drachmann skal rumteknologi bliverbliver afgørende for samfundets situasitua Satellitter kan blandt andetandet leverelevere billeder af afrummet myndigheder et overblik over, hvad som resiliens: tionsforståelse: områder på og land og registrere omkring Danmark, selvaktører når aktører på jordenområder forståsforstås som resiliens: ”H på land havogoghav registrere for for tionsforståelse: omkring Danmark, selv når på jorden skellige former for signaler. Kombineret forsøger at skjule bevægelser. er a skellige former for signaler. Kombineret med med forsøger at skjule deres deres bevægelser. ”Resiliens handler at en have en B. plan B. Hvis Ca ”Rummet bidrager med data fra skibe, radarer og andre sensorer handler om atom have plan Hvis bidrager rigtigrigtig megetmeget med at få at få ”Resiliens data fra skibe, radarer og andre sensorer kan kan”Rummet den jordbaserede kommunikation forsvinder, kri data og informationer om, hvad deri sker informationerne være til med til atmyn give myn data og den jordbaserede kommunikation forsvinder, informationer om, hvad der sker det i det informationerne være med at give skal myndigheder og kritiske samfunds her situational awareness. Detrummet gør rummet dighederne et samlet billede af forskellige her situational skal myndigheder og kritiske samfunds awareness. Det gør til til dighederne et samlet billede af forskellige funktioner kommunikere.” infrastruktur”. situationer over geografiske store geografiske områder. kritiskkritisk funktioner stadigstadig kunnekunne kommunikere.” infrastruktur”. I fr situationer over store områder. elle Som Carsten Drachmann formulerer Me Som Carsten Drachmann formulerer det: det: ”Samfundssikkerhed stopper ikke længere inte ”Samfundssikkerhed stopper ikke længere ved jordoverfladen.” ved jordoverfladen.” ”H Rummet er blevet kritisk infrastruktur lan Rummet er blevet kritisk infrastruktur vi åbner kort på telefonen og finder du Når viNår åbner et kortetpå telefonen og finder vej vej ved hjælp af en GPS, er det nemt at forstå satel info ved hjælp af en GPS, er det nemt at forstå satel Carsten Drachmann Carsten Drachmann littens funktion. Men satellitnavigation handler ger littens funktion. Men satellitnavigation handler i den danske rumvirksomhed CEO i CEO den danske rumvirksomhed om langt mere end at finde vej fra A til B. om langt mere end at finde vej fra A til B. GomSpace GomSpace De du bruger navigation din telefon, log ”Når ”Når du bruger navigation på dinpåtelefon, kan kan du direkte se satellitternes betydning. For rumteknologi handler i daglængere ikke længere du direkte hvo se satellitternes betydning. Det, Det, For rumteknologi handler i dag ikke manser, ikkeer,ser, er, mange hvor mange kritiske systemer kunatom at udforske universet. Den er blevet den man ikke hvor kritiske systemer kun om udforske universet. Den er blevet en en der er også er afhængige af deres præcise den infrastruktur, som moderne samfund afh der også afhængige af deres præcise positipositi del afdel denafinfrastruktur, som moderne samfund og forklarer tid”, forklarer Carsten Drachmann. og forsvar er afhængige on ogon tid”, Carsten Drachmann. og forsvar er afhængige af. af. Ca Hvis satellitsignaler forstyrret, ”Vi tænker normalt på kritisk infrastruktur Hvis satellitsignaler bliverbliver forstyrret, kan kan ”Vi tænker normalt på kritisk infrastruktur konsekvenserne som noget, der ligger på jorden: elnettet, ”N derforderfor rækkerække langt langt viderevidere end end som noget, der ligger på jorden: elnettet, tele telekonsekvenserne en forkert prik dit digitale kort. Skibe kommunikation, og kabler. kap en forkert prik på ditpå digitale kort. Skibe og flyog fly kommunikation, broer,broer, havnehavne og kabler.

GomSpace GomSpace gomspace.com gomspace.com

GomSpace – Partner Content GomSpace – Partner Content

SAMFUNDSSIKKERHED

Fra store investeringer til operationelle Satellitter udvider synsfeltet Fra store investeringer til operationelle Satellitter udvider synsfeltet kapaciteter Behovet at kunne se og kommunikere Behovet for at for kunne se og kommunikere fra fra kapaciteter Europa er allerede med at opbygge rummet ikke mindre den aktuelle Europa er allerede i gangi gang med at opbygge rummet bliverbliver ikke mindre af denafaktuelle egne rumkapaciteter. Satellitsystemet Galileo udvikling i Østersøen. havoverfladen egne rumkapaciteter. Satellitsystemet Galileo udvikling i Østersøen. UnderUnder havoverfladen har Europa givet Europa en selvstændig undersøiske og anden en selvstændig globalglobal liggerligger undersøiske kablerkabler og anden kritiskkritisk in in har givet satellitnavigation. EU arbejder samtidig frastruktur, samtidig med at området er præget satellitnavigation. EU arbejder samtidig med med frastruktur, samtidig med at området er præget deretablere skal etablere en europæisk af militær aktivitet og stigende bekymring der skal en europæisk sikkersikker af militær aktivitet og stigende bekymring for forIRIS²,IRIS², satellitkommunikationsinfrastruktur, sabotage og andre hybride trusler. satellitkommunikationsinfrastruktur, mens mens sabotage og andre hybride trusler. i stigende grad arbejder med såkaldt ESA iESA stigende grad arbejder med såkaldt dualuseteknologi, hvor rumteknologi Hvis et kabel beskadiget, skal myndighe dualuseteknologi, hvor rumteknologi Hvis et kabel bliverbliver beskadiget, skal myndighe kan anvendes til sikkerheds hurtigt en række spørgs både både kan anvendes civilt civilt og til og sikkerheds dernederne hurtigt kunnekunne svare svare på en på række spørgs og forsvarsformål. mål. Hvad der Hvilke sket? Hvilke fartøjer befandtog forsvarsformål. mål. Hvad er derersket? fartøjer befandt sig i området? kom fra? Hvor bevæge sig i området? Hvor Hvor kom de fra?deHvor bevæge ”Jeg synes faktisk, Europa har flyttet sig meget. sig Og hen?hvad Og foregår hvad foregår dernu? lige nu? ”Jeg synes faktisk, Europa har flyttet sig meget. de de de sigde hen? der lige Spørgsmålet ikke længere, Spørgsmålet er ikkeerlængere, om viom harvi har forstået problemet. Spørgsmålet om vores kan nødvendigvis problemet. Spørgsmålet er, omer,vores IngenIngen enkeltenkelt sensorsensor kan nødvendigvis give give forstået beslutningsprocesser og indkøbssystemer men satellitter kan en være og indkøbssystemer svaret,svaret, men satellitter kan være delen afdel detaf det beslutningsprocesser kan med følgetrusselsudviklingen”, med trusselsudviklingen”, samlede billede. kan følge siger siger samlede billede. Carsten Drachmann. Carsten Drachmann. ”Viikke kanbeskytte ikke beskytte infrastruktur, ”Vi kan kritiskkritisk infrastruktur, hvis hvis Samtidig han, er vigtigt ikkehvad ved, der hvadforegår der foregår omkring menermener han, at detat erdet vigtigt ikke atikke at vi ikkevived, omkring den. den. Samtidig se Europas investeringer i rumkapacitet, Satellitter osog øjne ogover ørerenorme over enorme se Europas investeringer i rumkapacitet, som som Satellitter giver giver os øjne ører et argument Tværtimod områder”, siger Carsten Drachmann. et argument imod imod USA.USA. Tværtimod kan enkan en områder”, siger Carsten Drachmann. stærkere europæisk rumindustri gøre Europa stærkere europæisk rumindustri gøre Europa til til en stærkere partner i NATO: er netop den for form for situationsforståelse,en stærkere partner i NATO: Det erDet netop den form situationsforståelse, der bliver afgørende, når truslerne ikke nød der bliver afgørende, når truslerne ikke nød ”Europa en stærkere partner i NATO, vendigvis kommer form af et traditionelt bliverbliver en stærkere partner i NATO, vendigvis kommer i formi af et traditionelt mi mi”Europa selvlevere kan levere flere af de kritiske angreb. I en hybrid konflikt et kabelhvis vihvis selvvikan flere af de kritiske litært litært angreb. I en hybrid konflikt kan etkan kabel udvikle, producere, opsende og løbende Det rejser samtidig spørgsmålet om, hvordan udvikle, kapabiliteter, vi er afhængige af,” forklarer Det rejser blive beskadiget et kommunikationssystem producere, opsende og løbende samtidig spørgsmålet om, hvordan kapabiliteter, vi er afhængige af,” forklarer blive beskadiget eller eteller kommunikationssystem opgradere systemerne hurtigere. Det giver oghurtigt hvor hurtigt Europa kan opbygge rumkapaopgradere Carsten og uddyber: blive forstyrret, detdet med det samme systemerne hurtigere. Det giver og hvor Europa kan opbygge rumkapa og uddyber: blive forstyrret, uden uden at detat med samme er erCarsten fleksibilitet og resiliens”, forklarer Hermindre kan mindre satellitter en rolle. at fastslå, derbag. står bag. både både fleksibilitet og resiliens”, forklarer citeter.citeter. Her kan satellitter spille spille en rolle. muligtmuligt at fastslå, hvemhvem der står Carsten Drachmann. ”Det er i virkeligheden essensen af europæisk Carsten Drachmann. ”Det er i virkeligheden essensen af europæisk små frem én stor resiliens. Vikunne skal kunne stå mere på ben egne ben FlereFlere Hersærligt har særligt i Ukraine ændret små frem for énfor stor Vi skal stå mere på egne Her har krigenkrigen i Ukraine ændret den den resiliens. Danmarks i rumteknologiske Traditionelt har satellitter ofte været forbundet at vende ryggen til vores allierede”. Europa på rummet. Danmarks rolle rolle i rumteknologiske Traditionelt har satellitter ofte været forbundet uden uden at vende ryggen til vores allierede”. måde,måde, Europa ser påser rummet. investeringer med enorme og ekstremt dyre systemer, med enorme og ekstremt dyre systemer, der der investeringer Når Europa investerer massivt i forsvar, mange år at udvikle og sende i kredsløb.Når Europa næste knaphed kan blive Krigen i Ukraine har ændret investerer massivt i forsvar, sik sik tager tager mange år at udvikle og sende i kredsløb. ”Den”Den næste knaphed kan blive tid” tid” Krigen i Ukraine har ændret synetsynet kerhed og rumteknologi, der samtidig Men udviklingen for mindre satellitter kerhed Carsten Drachmann er Europa allerede på rummet og rumteknologi, opståropstår der samtidig Men udviklingen indeninden for mindre satellitter IfølgeIfølge Carsten Drachmann er Europa allerede på rummet en konkurrence om, hvem derlevere skal levere gør det muligt at tænke anderledes. godt Da Rusland invaderede Ukraine, blev en konkurrence om, hvem der skal den den gør det muligt at tænke anderledes. vej:på vej: Da Rusland invaderede Ukraine, blev det fordet forgodt på infrastruktur, som Europas fremtidige sikker tydeligt, at satellitkommunikation infrastruktur, som Europas fremtidige sikker alvor alvor tydeligt, at satellitkommunikation er er hedbygges skal bygges I stedet at basere en kapacitet én enkelthed skal ”Europa har virksomhederne. Teknologien I stedet er blevetblevet af moderne krigsførelse. på. på. for at for basere en kapacitet på én på enkelt ”Europa har virksomhederne. Teknologien en delen afdel moderne krigsførelse. stor satellit kan opbygge man opbygge distribuerede Og kapitalen begynder at komme.” stor satellit kan man distribuerede findes.findes. Og kapitalen begynder at komme.” For Carsten Drachmann handler det ikke konstellationer bestående afmindre flere mindre ni Ukraine Ukraine Starlink til kom For Carsten Drachmann handler det ikke konstellationer bestående af flere satel satel brugerbruger blandtblandt andetandet Starlink til kom nødvendigvis at Danmark skal kunne er blandt denteknologi, type teknologi,nødvendigvis Menkan dervære kan langt være langt en politisk munikation ved fronten til at droner. styre droner.Men der om, atom, Danmark skal kunne Det erDet blandt andetandet den type fra enfra politisk beslutbeslutlitter. litter. munikation ved fronten og til og at styre udvikle alle teknologier selv. når MenEuropa når Europa GomSpace arbejder Det betyder ning en kapacitet, derbruges kan bruges i aktuelleGomSpace Men systemet har samtidig en grund ning til alle teknologier selv. Men arbejder med. med. Det betyder ikke ikke udvikle en til kapacitet, der kan i aktuelle Men systemet har samtidig vist envist grund står for over for investeringer store investeringer i nye sik at satellitterne er mindre. Det betyder, forsvarssituationer og sikkerhedskriser eksembare, bare, læggende udfordring og sårbarhed: Man kanforsvarssituationer står over store i nye sik at satellitterne er mindre. Det betyder, at at og sikkerhedskriser eksem læggende udfordring og sårbarhed: Man kan kerheds og rumkapaciteter, det en også en selve kapaciteten kan bygges fleksibelt. kerheds i Ukraine. godt adgang have adgang en kapacitet og rumkapaciteter, er deterogså selve kapaciteten kan bygges mere mere fleksibelt. i Ukraine. godt have til en til kapacitet uden uden selv atselv atpelvispelvis mulighed at styrke den danske industri kontrollere mulighed for at for styrke den danske industri og og kontrollere den. den. at danske virksomheder Hvis én satellit svigter, behøver hele systemet sikre,sikre, knaphed kan tid”, blivesiger tid”, siger at danske virksomheder bliverbliver en delenafdel af Hvis én satellit svigter, behøver hele systemet ”Den ”Den næstenæste knaphed kan blive den europæiske infrastruktur. ikke nødvendigvis at bryde sammen. Nye satel Carsten Drachmann og uddyber, at trussels ikke nødvendigvis je.For Carsten For Carsten Drachmann det netop forskelCarsten den europæiske infrastruktur. at bryde sammen. Nye satel Drachmann og uddyber, at trussels Drachmann er deter netop forskel litterløbende kan løbende tilføjes, og teknologien billedet kan ændre sig hurtigere, de traditio len mellem adgang og kontrol, er central.billedet litter kan tilføjes, og teknologien kan kan kan ændre sig hurtigere, end deend traditio len mellem adgang og kontrol, der erder central. ”Danmark skal selvfølgelig de kapabi opgraderes taktudviklingen. med udviklingen. nelle offentlige indkøbsprocesser kan med. følge med. ”Danmark skal selvfølgelig købe købe de kapabi opgraderes i takt imed nelle offentlige indkøbsprocesser kan følge har for. brugMen for. vi Men bør samtidig Elon Musk slukker for netværket, liteter,liteter, vi harvibrug børvisamtidig ”Hvis”Hvis Elon Musk slukker for netværket, så så industripolitisk. Når Europa nu bygger af styrkerne ved mindre satellitter ”I en sikkerhedskrise en kapabilitet, der først er adgangen til uvurderlig data væk”, industripolitisk. Når Europa nu bygger ”En af”En styrkerne ved mindre satellitter og og tænketænke har enhar kapabilitet, der først er adgangen til uvurderlig data væk”, siger siger ”I en sikkerhedskrise ny sikkerheds og spaceinfrastruktur, distribuerede konstellationer at vi kan en nyen klar omår, fem år, meget begrænset værdi.” distribuerede is Carsten Carsten Drachmann om erfaringerne sikkerheds og spaceinfrastruktur, bør bør konstellationer er, at er, vi kan fem meget begrænset værdi.” Drachmann om erfaringerne fra fra er klarerom ambitionen at danske virksomheder , krigenkrigen i Ukraine. ambitionen være,være, at danske virksomheder og og i Ukraine. teknologi af den”, danskdansk teknologi bliverbliver en delenafdel den”, siger siger Carsten Drachmann og uddyber: I fredstid kanlande flere lande godten dele en satellit Carsten Drachmann og uddyber: I fredstid kan flere godt dele satellit eller adgang købe adgang en bestemt tjeneste. eller købe til en til bestemt tjeneste. ”Diskussionen børalene ikke alene Menen hvis en konflikt kan landenes ”Diskussionen bør ikke være,være, hvad hvad vi vi Men hvis konflikt opstår,opstår, kan landenes skal købe, men hvad også hvad vi strategisk interesser skal købe, men også vi strategisk ønskerønsker interesser ændreændre sig. sig. at kunne at kunne selv.” selv.” du udelukkende af andre ”Hvis”Hvis du udelukkende lænerlæner dig opdig af op andre Det handler dermed ikkeatom at gøre i konflikttider, så er detsikkert, ikke sikkert, Det handler dermed ikke om gøre landelande i konflikttider, så er det ikke at at Danmark uafhængigt sine allierede, fårinformation den information ellerkorrekte den korrekte Danmark uafhængigt af sineafallierede, men men du fårdu den ellerden at sikre, at landet har handlemulig egne handlemulig information som duhave skal til have dendutid, du om atom sikre, at landet har egne information , som,du skal dentiltid, hvis en opstår, krise opstår, elleradgan hvis adgan vil have”. heder,heder, hvis en krise eller hvis gernegerne vil have”. til bestemte teknologier eller kapaciteter gen tilgen bestemte teknologier eller kapaciteter begrænset. Detsatellitkapacitet gør satellitkapacitet til mere et tekno bliverbliver begrænset. Det gør til mere end etend tekno spørgsmål. Det bliver et spørgsmål logisklogisk spørgsmål. Det bliver et spørgsmål om, om, For i sidste ende handler Europas hvor meget kontrol Europa selvhave skal over have over For i sidste ende handler Europas rum rum hvor meget kontrol Europa selv skal strategi Carsten Drachmann ikke om den infrastruktur, som forsvar og samfund strategi ifølgeifølge Carsten Drachmann ikke om den infrastruktur, som forsvar og samfund er er at kunne alt selv: afhængige at kunne alt selv: afhængige af. af. Carsten Drachmann tvivlsvaret: om svaret: Carsten Drachmann er ikkeeri ikke tvivliom forsvaret i stigende grad afhænger ”Når ”Når forsvaret i stigende grad afhænger af af kapaciteter i rummet, bør Europa følge med.” kapaciteter i rummet, bør Europa følge med.”

”Forhandler mig handler europæisk suverænitet ”For mig europæisk suverænitet ikke ikke at vikunne skal kunne altDet selv.handler Det handler om, atom, vi skal alt selv. om, om, at vimå ikkevære må ude væreafude af stand til at handle at vi ikke stand til at handle selv,det nårbliver det bliver nødvendigt”. selv, når nødvendigt”.

ACI Risk – Partner Content ACIMeasure Risk Measure – Partner Content

SAMFUNDSSIKKERHED

Cyberrisiko skal ikke måles i farver Cyberrisiko skal ikke måles i farver

De spø me red

”D ret bus end Ga

Skal vi have et opgør med den praksis som 90% af alle organisationer har for risikostyring? En praksis er etsom 5x590% heatmap røde, gule og grønne Skal vihvor havedet et væsentlige opgør med værktøj den praksis af allemed organisationer har for risikostyring? felter.En ACI Risk Measure at vi trænger praksis hvor detmener væsentlige værktøj til er det. et 5x5 heatmap med røde, gule og grønne

felter. ACI Risk Measure mener at vi trænger til det. ange virksomheder har efterhånden cybersikkerhed højt på dagsordenen. ange virksomheder har efterhånden De har kortlagt truslerne, vurderet cybersikkerhed højt på dagsordenen. deres beredskab præsenteret resultatetvurderet Deoghar kortlagt truslerne, for ledelsen. Men ofte ender den komplekse deres beredskab og præsenteret resultatet virkelighed i en stærkt model, hvor for ledelsen. Menforenklet ofte ender den komplekse et rødt, gultlighed eller grønt felt skal fortælle, hvor hvor virke i en stærkt forenklet model, alvorlig risikoen et rødt, gulter. eller grønt felt skal fortælle, hvor alvorlig risikoen er.

Vir for Ber enk Me de ran ned hed sam

GaffriGaffri Johnson Johnson IT RiskITSpecialist og partner i ACI Risk Risk Specialist og partner i ACIMeasure Risk Measure

De san sen mu til hed

den reelt Risikoen kan både dener. reelt er. Risikoen kan være både større være større og mindre, end virksomheden tror. Men og mindre, end virksomheden tror. det Men det afgørende er, at er, man en forstået afgørende at reducerer man reducerer en forstået risikorisiko frem for enfor risiko, der bygger på frygt frem en risiko, der bygger på frygt og usikkerhed,” fortæller Bo Thygesen. og usikkerhed,” fortæller Bo Thygesen.

”H pla væ MestMest risikoreduktion for pengene risikoreduktion for pengene Bo Thygesen Bo Thygesen forventede årligeårlige tab ogtab forog konsekvenserne af underunder vurderingen. Det Det Udfordringen ved deved traditionelle modeller er fast CTO og partner i ACI Risk forventede for konsekvenserne afen fast metodegrundlag vurderingen. Udfordringen de traditionelle modeller er metodegrundlag CTO og partner i ACIMeasure Risk Measure men særlig alvorlig hændelse. svært at forklare, hvorfor en risiko ikke kun, farverne er upræcise. Vurderin en sjældnere, men særlig alvorlig hændelse. må gør det svært at forklare, hvorfor en risiko en sjældnere, ikke at kun, at farverne er upræcise. Vurderingør det Ga i netop det ene andet gen kan af, hvem der foretager er placeret i netop deteller enedet eller det andet genogså kan afhænge også afhænge af, hvem der foretagerer placeret udviklingen letterelettere at følge. Johnson, som ersom IT er Risk den. To personer kan forstå betegnelser som somfelt,” siger Det erDet bemærkelsesværdigt, menermener Bo Bo Detsamtidig gør samtidig udviklingen at følge. felt,” Gaffri siger Gaffri Johnson, IT Risk Det gør den. To personer kan forstå betegnelser er bemærkelsesværdigt, en gulenrisikovurdering kan sekan uændret Specialist og partner i ACI iRisk ‘sandsynlig’ forskelligt Thygesen, der erder CTO og partner i ACI i ACI ‘lav’, ‘høj gul risikovurdering se uændret Vir Specialist og partner ACI Measure. Risk Measure. Hvor Hvor ‘lav’,og ‘høj og ‘sandsynlig’ forskelligt Thygesen, er CTO og partner ud fraud årfra til år, kan økonomiske tal vise, og derfor placere den samme risikorisiko i Risk Measure. Den danske cyberrisiko år til år,dekan de økonomiske tal vise, sta og derfor placere den samme i Risk Measure. Den danske cyberrisiko eksponering reelt er faldet. Hos ACI forsøger de i stedet kategori. virksomhed var devar første i Danmark til at til at hver sin om virksomhedens eksponering reelt er faldet.fra HosRisk ACI Measure Risk Measure forsøger de i stedet om virksomhedens hver sin kategori. virksomhed de første i Danmark bliv at beregne både sandsynligheden for, atfor, en at en kvantificere cyberrisici. at beregne både sandsynligheden kvantificere cyberrisici. sige, at virksomhedens indtræffer, samt det økono ”Man”Man kan have personer, der vurderer ”Vieksempelvis kan eksempelvis sige, at virksomhedens vir cyberhændelse indtræffer, samt det økono ”Vi kan kan to have to personer, der vurderer cyberhændelse årligeårlige tab i år en tab hændelsen kan medføre. På den forhold og kommer frem til vidttil vidt miskemiske ”Ingen bestyrelse ville formentlig acceptere et de forventede taberi to år millioner er to millioner tab hændelsen kan medføre. På den forventede de samme forhold og kommer frem ”Ingen bestyrelse ville formentlig acceptere et samme kroner, mens mens det sidste år varår2,5 kan kunderne få et estimat for deres resultater, fordi der et tilsvarende grundlag, hvis de skulle inve inve forskellige kroner, det sidste varmillioner. 2,5 millioner. den baggrund kan kunderne få et estimat for deres forskellige resultater, fordiikke derligger ikke ligger et baggrund tilsvarende grundlag, hvis de skulle Så kan se, omse,risikoen bevæger sig sig stere istere en nyi en fabrik, lancere et produkt eller eller Såbestyrelsen kan bestyrelsen om risikoen bevæger ny fabrik, lancere et produkt i den rigtige retning,” siger Gaffri Johnson. bevæge sig indsigpåind et nyt Her ville i den rigtige retning,” siger Gaffri Johnson. bevæge på etmarked. nyt marked. Her ville ledelsen efterspørge konkrete tal fortal både ledelsen efterspørge konkrete for både omkost ninger, forventet afkastafkast og økonomisk omkost ninger, forventet og økonomisk risikorisiko – ikke–blot ikkefarver.” blot farver.” Alligevel bliverbliver store investeringer i cyber Alligevel store investeringer i cyber sikkerhed ofte besluttet på baggrund af sikkerhed ofte besluttet på baggrund af upræcise vurderinger. upræcise vurderinger. For hvad den røde egentlig? Er Er For betyder hvad betyder den farve røde farve egentlig? sandsynligheden for enfor alvorlig hændelse 30 30 sandsynligheden en alvorlig hændelse eller 70 procent? Kan den virksomheden eller 70 procent? Kankoste den koste virksomheden to millioner eller 200 kroner? Og Og to millioner ellermillioner 200 millioner kroner? bør virksomheden så bruge fem millioner på på bør virksomheden så bruge fem millioner at reducere risikoen? at reducere risikoen? Det erDet netop disse adskillige usikkerheder, er netop disse adskillige usikkerheder, ACI Risk forsøger at mindske for sine ACIMeasure Risk Measure forsøger at mindske for sine kunder. Virksomheden oversætter cyberrisici til til kunder. Virksomheden oversætter cyberrisici sandsynligheder og forventede økonomiske tab, tab, sandsynligheder og forventede økonomiske så ledelser og bestyrelser kan vurdere dem på så ledelser og bestyrelser kan vurdere dem på linje med forretningsmæssige risici. risici. linjeandre med andre forretningsmæssige Metoden, som visom også fra forsikrings Metoden, vi kender også kender fra forsikrings branchen, er nemlig med til at konkretisere branchen, er nemlig med til at konkretisere de potentielle konsekvenser af detaf specifikke de potentielle konsekvenser det specifikke trusselsniveau – og dermed beror beror beslutninger trusselsniveau – og dermed beslutninger ikke på følelser og frygt men–på statistiske ikke på følelser og – frygt men på statistiske sandsynligheder. sandsynligheder. ”Vi ønskede egentligt at tageatfølelserne ud ud ”Vi ønskede egentligt tage følelserne af cyber og præsentere risikoen, sådansådan som som af cyber og præsentere risikoen,

ACI Risk ACI Measure Risk Measure acirm.dk acirm.dk

HvisHvis en virksomhed ikke ikke har har en virksomhed beredskabsplaner ellereller aldrig beredskabsplaner aldrig har testet dem,dem, kan det har testet kanvære det være forskellen på, om håndforskellen på,den om den håndtererterer en hændelse på en en hændelse påuge en uge ellereller bruger tre måneder på på bruger tre måneder at komme tilbage at komme tilbage For selv ideelt ideelt set kunne Forom selvvirksomheder om virksomheder set kunne sikre sig mod tænkelig trussel, er deres sikre sig enhver mod enhver tænkelig trussel, er deres sikkerhedsbudgetter sjældent uudtømmelige. sikkerhedsbudgetter sjældent uudtømmelige. DerforDerfor handler det også bruge pengene handler det om ogsåatom at bruge pengene dér, hvor reducerer risikoen mest muligt. dér, de hvor de reducerer risikoen mest muligt. Beregningerne kan derfor brugesbruges til at til at Beregningerne kan derfor vurdere konkrete investeringer. Hvis virk vurdere konkrete investeringer. Hvis virk somheden eksempelvis risikerer et tabetpåtab på somheden eksempelvis risikerer 50 millioner kroner, kan modellen fra ACI 50 millioner kroner, kan modellen fra ACI Risk Measure vise, om investering på firepå fire Risk Measure vise,enom en investering millioner vil kunne reducere eksponeringen millioner vil kunne reducere eksponeringen til 30 til millioner. 30 millioner.

ACI Risk Measure – Partner Content

Model bygger på transparens og nyeste viden Når eksperterne i ACI Risk Measure udarbejder deres modeller, ender det aldrig med en facitliste. Beregningerne bygger på den tilgængelige viden og vil derfor altid indeholde en vis usikkerhed. Forskellen er, at forud sætningerne er synlige og kan efterprøves.

”Det betyder, at vi kan begynde at tale om return on investment og opstille egentlige businesscases på en langt bedre måde, end man tidligere har kunnet,” forklarer Gaffri Johnson. Virksomheder har vidt forskellige risici Beregningerne tager udgangspunkt i den enkelte virksomheds virkelighed. ACI Risk Measure begynder derfor med at identificere de mest relevante scenarier – eksempelvis ransomware, sabotage, datalæk eller nedbrud – ud fra blandt andet virksom hedens branche, markeder, data og samfundsmæssige betydning.

Den transparente tilgang har fra begyndelsen væ ret central for den danske cyberrisikovirksomhed. ”Der skal være transparens i modelapparatet og de statistiske metoder, så man kan dykke ned i vurderingen, udfordre den og se, hvad den bygger på,” siger Gaffri Johnson. Samtidig gennemgår ACI Risk Measure flere gange om året ny litteratur, hændelser og statistik og opdaterer på den baggrund modellernes centrale parametre, herunder myndighedernes trusselsvurderinger fra FE og Styrelsen for Samfundssikkerhed.

Derefter vurderes de forhold, som påvirker sandsynligheden for en hændelse og størrel sen på det mulige tab. Det kan være alt fra multifaktorgodkendelse og databeskyttelse til backup, kritiske leverandører og virksom hedens evne til at genetablere driften.

e. t

et.

sig

Virksomhedens oplysninger kombineres med statistik om tidligere hændelser og erfaringer fra sammenlignelige virksomheder. Dermed bliver vurderingen tilpasset den enkelte virksomhed frem for at tage udgangspunkt i en generel forestilling om, at alle står over for den samme trussel.

Et fælles sprog i bestyrelseslokalet Når risikoen udtrykkes i kroner og sandsynlig heder, bliver den samtidig lettere for ledelsen at forholde sig til. Bestyrelsen behøver ikke kende de tekniske detaljer bag en bestemt sik kerhedsløsning, men skal kunne vurdere, hvor stor en risiko virksomheden vil acceptere og hvor meget den vil betale for at reducere den. Det gælder også virksomhedens cyberforsikring. En økonomidirektør kan eksempelvis bruge beregningerne til at vurdere, om en dækning på

ti millioner kroner er tilstrækkelig, om den bør hæves til 50 millioner eller om virksomheden med fordel kan bære en del af risikoen selv. Det forklarer CTO og partner i ACI Risk Measure, Bo Thygesen: ”Bestyrelsen skal have noget på bordet, der kan sammenlignes med almindeligt køb mandskab: Hvor mange penge skal vi bruge på at sikre os? Og hvad skal en forsikring koste, før den er en god handel?”

res . ne .

På den måde kan ITspecialister, økonomi direktion og bestyrelse diskutere cyberrisiko ud fra det samme grundlag.

Dermed bliver cybersikkerhed ikke alene et spørgsmål om at være bedst muligt beskyttet, men om hvor virksomheden får størst risiko reduktion for pengene.

”Hvis en virksomhed ikke har beredskabs planer eller aldrig har testet dem, kan det være forskellen på, om den håndterer en hændelse på en uge eller bruger tre måneder på at komme tilbage,” fortæller Gaffri Johnson.

SAMFUNDSSIKKERHED

Så kan vi beslutte, hvor meget det er værd at investere i at sænke den – i stedet for at gætte.

Som en af de første danske virksomheder med speciale i at kvantificere cyberrisici har ACI Risk Measure desuden opbygget et stadig større datagrundlag på tværs af virksomheder og brancher. Det styrker mulighederne for både at sammenligne virksomheder med relevante branchefæller og kvalificere vurderingen af den enkelte kundes risici. Målet er derfor ikke at fjerne enhver usikkerhed om den næste cyberhændelse. Det er at gøre usikkerheden konkret nok til, at virksomhederne kan handle på den – og bruge deres begrænsede ressourcer dér, hvor de gør størst forskel.

Danmark er endelig vågnet – nu mangler strategien 8

SAMFUNDSSIKKERHED

Virksomhederne har længe været parate til at bidrage til samfundssikkerheden, siger Rasmus Dahlberg. Nu giver EU-krav og ministerium endelig mulighed for at omsætte viljen til et stærkere samarbejde mellem myndigheder og erhvervsliv om et mere robust Danmark. Tekst: Kristine Buske Foto: Ole Joern

anmark er kommet langsomt ud af startboksen. Sådan lyder det fra lektor i samfundssikkerhed Rasmus Dahlberg. På hans trøje står ”Fordi noget er værd at kæmpe for,” sammen med Forsvarets logo. Og den kamp har han om nogen taget. I mange år har Rasmus Dahlberg advaret om, at Danmark ikke var rustet til de kriser, der før eller siden ville ramme. Fra 2004 til 2024 lå beredskabet under Forsvarsministeriet, hvor han efterlyste organisatorisk retning og mere fokus på det civile beredskab, som tabte i konkurrencen om opmærksomhed til det militære forsvar. Først da krigen vendte tilbage til Europa, rykkede samfundssikkerhed for alvor op på den politiske dagsorden. Oprettelsen af Ministeriet for Samfundssikkerhed og Beredskab i 2024 blev et vigtigt skridt fremad. Samtidig har EU's NIS2- og CER-regler gjort robusthed til et fælles ansvar for myndigheder og virksomheder med skærpede krav til risikostyring, cybersikkerhed og beskyttelse af kritisk infrastruktur.

”Vi står langt bedre end for bare to år siden. Der er blevet taget politisk ansvar og tunge processer er sat i system. I mange år har jeg ønsket totalberedskab til jul, og nu har jeg fået det,” siger Rasmus Dahlberg og tilføjer: ”Det løser ikke noget i sig selv, men giver en spilleplade at rykke på. Nu kan jeg opdatere min ønskeliste med håbet om en national beredskabsstrategi. Myndigheder og erhvervsliv har forskellige interesser, og derfor kræver samarbejdet en fælles strategisk retning,” siger Rasmus Dahlberg og fortæller, at Danmark fortsat er det eneste land i Norden uden en samfundsrobusthedsstrategi. Erhvervslivet er parat

Og samarbejdet med erhvervslivet er vigtigt. Efter Den Kolde Krig blev store dele af den kritiske infrastruktur privatiseret. Det skabte vækst, men også sårbarheder. Derfor efterlyser blandt andet Dansk Industri nu bindende aftaler, før krisen rammer.

Rasmus Dahlberg Lektor, Institut for Samfundsvidenskab og Erhverv

”Det er en forståelig frustration fra erhvervslivet, som skal tages seriøst,” siger Rasmus Dahlberg og forklarer vigtigheden af civilt beredskab. ”Et resilient civilsamfund handler om, at du ikke kan understøtte de militære enheders mobilitets- og kampevne uden robuste og hele samfund. Nato's forventninger og EU's lovgivning har været afgørende for den udvikling, vi ser i Danmark nu,” fortæller Rasmus Dahlberg.

Han oplever, at staten typisk har under vurderet virksomhedernes velvillighed.

”Myndighederne har fejlagtigt troet, at virksomheder ikke vil bidrage til samfundssikkerhed. Erhvervslivet kender godt nødvendigheden af sikkerhed og robusthed og har hele tiden været klar til at bidrage, men ønskede fair vilkår og klare og transparente forventninger fra myndighedernes side. Nu er det endelig ved at ske, og det tyder på, at myndigheder og erhvervsliv bliver medspillere og ikke modspillere.”

Entreprenørfirmaet Nordkysten A/S – Partner Content

Nordkysten etablerer næsten 70 kilometer nyt 400 kV-kabelanlæg for Energinet Den hovedentreprise, som Entreprenørfirmaet Nordkysten A/S har fået tildelt af Energinet, omfatter i alt 69,5 kilometer kabelanlæg. Dette skal etableres på Midt- og Østsjælland som et led i udbygningen af Danmarks el-transmissionsnet.

ntreprenørfirmaet Nordkysten har vundet endnu en hovedentreprise for Energinet og skal i løbet af 2027 og 2028 etablere i alt 69,5 kilometer nyt 400 kV-kabelanlæg som led i udbygningen af Danmarks el-transmissionsnet.

Projektet er en del af Energinets langsigtede arbejde med at forstærke og modernisere den del af det danske elnet, der transporterer elektricitet mellem landsdele, transformerstationer og produktionsanlæg.

Opgaven omfatter en 7,5 kilometer kabelstrækning mellem Bjæverskov og den kommende transformerstation ved Ringsbjerg samt et dobbelttracé på i alt 62 kilometer mellem Ringsbjerg og Lindehøj med videre forbindelse til Ishøj-linjen.

Nordkysten er allerede i gang med anlægsarbejdet i forbindelse med ilandføringen af de nye Øresundskabler i Nordsjælland. Med den nye entreprise arbejder virksomheden derfor parallelt på to af Energinets store 400 kV-projekter i de kommende to og et halvt år.

400 kV-projekter to og et halvt år frem

"Vi er stolte over, at Energinet igen har valgt Nordkysten til et større 400 kV-projekt, som er en del af den strategiske udbygning af det danske elnet. Det nye her er, at vi også får mulighed for at bringe vores erfaring i spil i detailprojekteringen, hvor vi sammen med bygherren skal medvirke til at skabe de bedste løsninger," siger Nordkystens divisionsdirektør Anders Michael Holmstrøm. ”Samtidig giver de to projekter kontinuitet i vores organisation og mulighed for at udvikle endnu flere medarbejdere med specialkompetencer inden for 400 kV-anlæg," tilføjer han. Meget mere end kabelgrave

Projektet indledes med detailprojektering og planlægning, mens de egentlige anlægsarbejder gennemføres i 2027 og 2028. I udførelsesfasen forventes omkring 25-30 medarbejdere at være beskæftiget med projektet. Entreprisen omfatter meget mere end etablering af kabelgrave.

Med den nye entreprise arbejder Nordkysten parallelt på to af Energinets store 400 kV-projekter i de kommende to og et halvt år.

Nordkysten får f.eks. ansvar for detailprojektering, myndighedsbehandling, etablering af byggepladser, jordarbejder, styrede underboringer, kabeltræk, installation af fiberinfrastruktur, jordingsanlæg, reetablering samt kvalitetssikring, dokumentation og arbejdsmiljøledelse.

Et job for specialister

Ifølge Nordkystens tilbudschef Jesper Skovgaard Madsen er netop den samlede projektgennemførelse afgørende ved denne type anlægsprojekter. "400 kV-projekter stiller helt særlige krav til planlægning, dokumentation, sikkerhed og koordinering. Der er relativt få entreprenører, der som Nordkysten har mange års erfaring og en lang vellykket referenceliste for den type opgaver. Vores samarbejde med Energinet er et, vi værner om. Så vores organisation, tekniske kompetencer og sikkerhedskulturen er på plads fra første dag," siger han. Nordkysten har gennem årtier arbejdet med elforsyningsprojekter og udfører i dag opgaver på alle spændingsniveauer fra distributionsnet til 400 kV-transmissionsnet. Virksomheden har gennem en årrække samarbejdet med Energinet om både drifts- og anlægsopgaver, og den nye hovedentreprise bidrager til den fortsatte udvikling af Nordkystens specialiserede kompetencer inden for kritisk el-infrastruktur.

Scanpotec – Partner Content

SAMFUNDSSIKKERHED

Nødstrøm er ikke længere en ”Plan B”

Virksomheder undervurderer risikoen for strømsvigt og utilsigtede hændelser. Et mere sårbart elnet, cyberangreb og nye nationale krav til kritisk infrastruktur gør nødstrøm til langt mere end en forsikring mod mørklagte bygninger. Ifølge nødstrømsekspert Michael Petersen bør virksomheder i dag også se på strømforsyningens kvalitet – en tilgang, der både kan styrke robustheden og forbedre business casen.

ngang handlede strømafbrydelser primært om lokale nedbrud forårsaget af gravearbejde, tekniske fejl eller voldsomt vejr mv. Nu rækker risikoen langt bredere. Angreb på kritisk infrastruktur er blevet et hyp pigt benyttet våben, og det stiller større krav end nogensinde til virksomhedernes strømforsyning.

Samtidig har den grønne omstilling ændret måden, hvorpå strømmen produceres og distribueres på. Ifølge Michael Petersen har det skabt et mere decentraliseret elsystem, som kan give større udsving i elnettet nogle steder men mere stabilitet andre steder – alt sammen forbrugsafhængigt.

Michael Petersen, indehaver af Scanpotec, der specialiserer sig i nødstrømsløsninger og sikker strømforsyning til virksomheder, beredskabet og andre kritiske sektorer, peger på, at konsekvenserne kan brede sig gennem hele fødekæden.

”Produktionsanlæg og kritiske forbrugere kan i dag ikke nødvendigvis tåle de udsving og spikes, der kan opstå. Derfor er det vigtigt, at virksomheder beskytter sig mod ”støjen” på elnettet, som i værste fald kan skade deres installationer.”

En hybridløsning kan samtidig bruges til at stabi lisere elnettet samt nødforsyne virksomheden. ”På den måde får virksomheden en dobbelt effekt, hvor samme løsning både leverer nød strøm og stabiliserer strømforsyningen. Det kan være en god business case, men man skal altid overveje hvad anlæggets primære formål er og lade dette være den væsentlige del af business casen. Tommelfingerreglen er typisk at ”Første gang, man får brug for anlægget, kan det i princippet have tjent sig selv hjem.” Indbyg driftssikkerhed, ikke fejl En ting, nogle virksomheder måske overser, er, at nødstrømsanlægget skal tilpasses virksom hedens eksisterende og/eller nye installationer. Michael Petersen understreger, at det kræver mere end blot at installere et anlæg.

”Risikoen for strømnedbrud er alvorlig med stigende tendens. Ikke kun for den enkelte forbruger, men også for den kritiske infrastruk tur og hele værdikæden. Det gælder eksem pelvis produktionsmiljøer, distributionscentre, plejecentre med storkøkkener og fødevare virksomheder. Der er mange kritiske led, hvor det tidligere primært var hospitaler og data centre som traditionelt havde nødstrøm .” Et sårbart elnet i Europa Samtidig med truslerne udefra er elnettet mere presset end nogensinde. Som eksempel skal man ikke længere tilbage end april 2025, hvor Spanien og Portugal i tæt på et døgn blev ramt af total blackout. Hændelsen viste, hvordan en række tekniske forhold i et sammenkoblet elsystem kan udvikle sig til et omfattende strømnedbrud. Ligeledes har Grønland de seneste år oplevet flere alvorlige driftsforstyrrel ser over flere dage.

”Ved at investere i en stabil strømforsyning kan virksomheden undgå at miste produkter, data oppetid og meget andet.”

”Installationen skal understøtte det eksiste rende/nye udstyr og være projekteret således at personsikkerhed og kortslutninger under støttes. Ellers risikerer man at indbygge fejl frem for sikkerhed. Ved nødstrømsløsninger skal forretningsperspektivet og sikkerheds perspektivet hænge tæt sammen.” Michael Petersen Indehaver af Scanpotec

Hybridløsning giver dobbelteffekt For virksomheder er der grundlæggende to indsatser, der kan reducere konsekvenserne af strømnedbrud. Den første er nødstrømsanlæg, der kan holde driften kørende, når strømmen går eller sikre en kontrolleret proces.

Michael Petersen vurderer, at erfaringerne fra udlandet bør få danske virksomheder til at tage risikoen alvorligt. Ligeledes har Energinet samt flere danske eldistributionsselskaber lukket ned for nye tilslutninger for at sikre mod overbelastning.

Den anden indsats er at se på spændings kvaliteten og sikre, at støj og udsving bliver sorteret fra på elnettet. Det kan være med til at minimere både nedetid, driftsforstyr relser og den økonomiske konsekvens for genopretning.

”Elnettet i Europa hænger sammen og kan have en dominoeffekt. Selvom risikoen for et lignende scenarie er mindre i Danmark, er det stadig vigtigt at være forberedt.”

Michael Petersen fremhæver, at stabile strøm forsyningsløsninger ikke kun handler om at holde lyset tændt, men også om at beskytte virksomhedens værdier.

Keep it simple Men en nødstrømsinstallation er i sig selv ikke nok. Uden regelmæssig service og fore byggende vedligeholdelse kan nødstrøms løsningen ende med at give en falsk tryghed. Michael Petersen peger på, at regelmæssig afprøvning er afgørende – også selvom det kan føles risikabelt at teste et system, der netop skal beskytte virksomheden mod et nedbrud, da det kan have en konsekvens. ”Det er vigtigt at teste løsningen ”live”, men mange virksomheder tøver med at stole på, at installationerne og teknikken virker. Det er en uhensigtsmæssig tilgang. Risikoen ved at stå med et ikkefunktionelt nødstrømsanlæg, når strømmen pludselig går, er altid større end risikoen ved selv at fremprovokere et kontrol leret nedbrud for at teste systemet og sikre, at det fungerer, som det skal.” Ifølge Michael Petersen er der samtidig tegn på, at virksomhedernes syn på beredskab er ved at ændre sig. ”Tendensen blandt danske virksomheder har længe været, at hvis man ikke har oplevet et nedbrud i lang tid, tænker man heller ikke så meget over risikoen. Heldigvis ser vi, at den tilgang er begyndt at ændre sig.” Hans anbefaling er enkel: ”Nødstrøm skal virke, når alt andet ikke virker. Keep it simple.” I forlængelse af det er det vigtigt at have en klar plan for, hvordan virksomheden hånd terer et strømnedbrud.

Scanpotec scanpotec.dk

I Scanpotec anbefaler vi, at virksomheder både forholder sig til de helt korte udfald og de længerevarende nedbrud. ”Der er både de korte nedbrud på millisekun der og de længerevarende i timer, og det er klogt at sikre sig mod begge. Læg en plan og overvej, om dele af driften kan omlægges til andre virksomheder for at reducere tabet af oppetid eller vurder, om det skal løses lokalt.” Nødstrøm er en del af cybersikkerheden – og omvendt En ting er at sikre strømforsyningen ved et nedbrud. Men cybersikkerhed og strøm forsyning hænger uløseligt sammen. Derfor er det også vigtigt at sikre, at nødstrøms løsningerne understøtter virksomhedens cybersikkerhed og ikke åbner nye sårbarheder i forbindelse med et strømnedbrud. Michael Petersen ser sikker strømforsyning og cybersikkerhed, som to sider af samme beredskab. ”Cybersikkerhed beskytter mod angreb på strømforsyningen, ligesom en sikker og stabil strømforsyning er med til at opretholde cybersikkerheden. Det er en synergi, der skal spille sammen.”

SAMFUNDSSIKKERHED

Carl-Emil Larsen Administrerende direktør i DANVA

Vandhanen er rykket ind i trusselsbilledet VA N D FO R SY N I N G E N

Danmark har længe taget rent vand for givet. Men cyberangreb, sabotage, krig og klimaforandringer gør vandforsyningen til en stadig vigtigere del af samfundets beredskab. Ifølge DANVAs direktør Carl-Emil Larsen skal hele vandsektorens sikkerhed løftes – også de små vandværker, som ellers kan blive den nemmeste vej ind. Tekst: Kristine Buske

år du sætter vand over til kartoflerne, brygger en kop kaffe eller slukker tørsten med et glas vand, kommer det direkte fra hanen. Det samme gør vandet, når gulvet skal vaskes, eller en virksomhed skal holde produktionen kørende. Vi tænker sjældent over det. Vand er bare en ressource, der er der. Netop derfor er det blevet et sikkerhedspolitisk spørgsmål. De seneste år er vandforsyningen rykket op på dagsordenen som en del af den kritiske infrastruktur. Ikke kun, fordi rent drikkevand er afgørende for folkesundheden, men fordi næsten alle dele af det moderne samfund er afhængige af, at vandet bliver ved med at løbe.

Vandforsyningen kommer primært fra grundvand. Det skaber en robust struktur, som er svær at forurene. ”Mange vandværker har i forvejen et nødstrømsanlæg og er gearet til korte afbrydelser på et par døgn,” fortæller Carl-Emil Larsen. Men med krigen i Europa har trusselsbilledet ændret sig. Cyberangreb, droner, sabotage og andre hændelser kræver helt andre sikkerhedsforanstaltninger. Med CER-direktivet og NIS2-loven har man indsat skærpede krav til risikostyring, sikkerhedsforanstaltninger og modstandsdygtighed for de vandforsyninger og spildevandsselskaber, der er omfattet.

”Det er vigtigt, at der er kommet opmærksomhed på vand som en del af kritisk infrastruktur. Vand er nødvendigt for vores sundhed – ikke kun, når vi drikker vand derhjemme, men også i sundhedssektoren, hvor vi skal bruge vand til at behandle syge mennesker på hospitalerne, i fødevaresektoren og i industrien. Det vil få omfattende konsekvenser i hele samfundet, hvis vi begynder at mangle vand,” siger Carl-Emil Larsen, der er administrerende direktør i DANVA, branche- og interesseorganisation for den danske vandsektor og om nogen har fingeren på vandhanen.

Et vigtigt skridt, spørger man Carl-Emil Larsen. Men ifølge ham, kan sikkerhed ikke tænkes sektor for sektor. Han kalder på en styret koordinering.

Robust men ikke usårligt Selvom Carl-Emil Larsen ser situationen som alvorlig, mener han ikke, at der er grund til panik. Den danske vandforsyning er bygget op omkring en decentraliseret struktur med indvinding af vand fra ca. 5.000 boringer, og en segmentering af vandforsyningsledningerne.

For et hospital hjælper det ikke meget, at dets egne nødprocedurer er på plads, hvis vandforsyningen ikke kan levere.

”Man sætter krav til vandsektoren, men glemmer, at sundhedssektoren, der hører under andre krav, er afhængig af vand. For eksempel skal hospitalerne sikre sterile instrumenter, men steriliseringsapparaterne kræver vand. Derfor er der behov for et samarbejde på tværs af sektorer for at kunne leve op til sikkerhedskravene hele vejen rundt,” siger han.

Det samme gælder fødevarevirksomheder, medicinalproduktion, plejehjem og en lang række industrielle processer.

”Jeg tror på, at totalberedskabsbegrebet, som er undervejs, kan være løsningen.”

Savner en træningsplan Der er allerede jævnligt hackerangreb på den danske vandforsyning. Det stiller et krav til sektoren om ikke blot at have beredskabsplaner på papiret, men om løbende at træne, hvad der sker, når systemerne bliver ramt. ”Vi håber, vi kommer til at se mere af en indsats fra myndighedernes side, som træner vandforsyningerne i at øve sig på angreb. Vi mangler fortsat vejledning i risikovurdering, modstandsforanstaltninger, hændelsesunderretning og tilsyn af kritiske enheder,” siger han. Han savner en fælles kommandovej for, hvordan vandforsyningerne skal navigere mellem forskellige myndigheder og regler. ”Da der var droner, havde man ikke lovhjemmel til at bede vandværkerne om at skærpe overvågningen af anlæggene, ligesom man ikke havde hjemmel til at standse den skærpede overvågning igen. Der måtte DANVA gå ind og hjælpe og koordinere mellem myndigheder og vandværker. Det bliver en alt for kompliceret proces, når en krise rammer,” siger Carl-Emil Larsen. Større indsats mod svage led For at komme angreb i forkøbet har DANVA sammen med sine medlemmer etableret adgang til døgnbemandet overvågning af it-infrastrukturen gennem SektorCERT. Formålet er at opdage og reagere på cyberangreb, før de udvikler sig til et større driftsproblem. Nu efterlyser Carl-Emil Larsen en mere ensartet løsning på tværs af sektoren. ”Jeg håber, at vi får et ensartet overvågningssystem. Angriberen bruger altid det svageste led til at komme ind. Derfor har de mindre vandværker behov for den samme grad af overvågning. NIS2-lovens område blev udvi-

det til at omfatte vand med vandudpumpning på ned til 200.000 m3, men der er mange mindre vandværker. Det kan lyde som at skyde gråspurve med kanoner, men hvis ikke vi gør det, risikerer man, at det hele falder sammen,” siger han. Gentænk hver en dråbe Men forsvar mod angreb er ikke nok, hvis drikkevandet skal sikres i fremtiden. Carl-Emil Larsen peger på, at beskyttelsen af grundvandet er en mindst lige så vigtig opgave. Klimaforandringerne ændrer nemlig også forudsætningerne for vandforsyningen. Tørre perioder kan påvirke grundvandsdannelsen, og i flere europæiske lande har de seneste års tørke gjort vandtilgængelighed til et mere synligt samfundsproblem. I Tyskland har myndighederne blandt andet registreret markante regionale konsekvenser af tørke og lav grundvandsdannelse. Det betyder ikke, at Danmark står foran en akut landsdækkende vandmangel. Men det betyder, at grundvandet ikke kan betragtes som en uudtømmelig ressource som hidtil. ”Det er vigtigt, at vi bevarer vores grundvand. Det er en kritisk opgave, der kræver en stor indsats. Det må vi ikke negligere,” siger han. En del af svaret kan være at bruge vandet mere intelligent og se på, hvor den enkelte dråbe skaber mest værdi. ”Vi samarbejder med virksomheder om at inddele vand i forskellige kvaliteter, så grundvand kun bruges, hvor det er nødvendigt. For eksempel kan man bruge en anden vandkvalitet i produktion, som ikke indebærer fødevarer eller sundhed.” For Carl-Emil Larsen er opgaven derfor klar: Vi skal passe på den vandforsyning, vi har, og beskytte den strategisk både nu og i fremtiden. ”Vi ved ikke, hvornår det næste angreb kommer.”

Holtec – Partner Content

Virksomheder risikerer at falde i ‘papirsikkerhedsfælden’

SAMFUNDSSIKKERHED

Digitalisering og nye sikkerhedskrav har skærpet virksomhedernes fokus på cyber beredskab. Men planer og dokumentation kan skabe falsk tryghed, hvis ingen har testet, om produktionen faktisk kan fortsætte, når noget går galt, mener Jesper Rosleff fra Holtec.dk.

forretning, kan man ikke bare sige, at det er IT-afdelingens ansvar. Så er det et ledelsesansvar,” siger han.

”Man er nødt til at øve det. Det gælder både teknologien, medarbejderne og ledelsen,” siger han.

et teknikskab hos en dansk produktionsvirksomhed stod tre ældre controllere stadig tændt. Ingen turde slukke dem. Ikke fordi de med sikkerhed var nødvendige, men fordi ingen længere præcist vidste, hvad de styrede. Controllerne var installeret for omkring 30 år siden, og medarbejderne, der kendte systemet, var der ikke længere.

Virksomheder ryger i “papirsikkerhedsfælden” Med blandt andet NIS2 er kravene til sikkerhed, risikostyring og dokumentation blevet skærpet for en række virksomheder og organisationer.

Det kan eksempelvis ske ved at simulere et netværksnedbrud eller afbryde en del af produktionen og undersøge, hvad der faktisk sker.

Det lyder måske som en detalje fra en teknisk afdeling. Men ifølge Jesper Rosleff, Cloud Sales Manager hos automationsvirksomheden Holtec, illustrerer eksemplet en voksende udfordring for danske virksomheder: De har digitaliseret produktion og kritiske processer hurtigere, end de har opbygget robustheden omkring dem.

Jesper Rosleff fortæller blandt andet om en virksomhed, hvor IT- og produktionsnetværket var blevet koblet sammen, blandt andet for at gøre det muligt at bruge en printer fra produktionsområdet. Netværksswitchen til printeren begyndte imidlertid at tildele nye IP-adresser til enheder i produktionsmiljøet. Resultatet var, at produktionen gik i stå i flere dage.

Men dokumentationen kan samtidig give en falsk tryghed, hvis ingen har undersøgt, om

Hvor længe kan produktionen være nede? Hvor stort et økonomisk tab kan virksomheden acceptere? Hvilke systemer er så kritiske, at de skal kunne fortsætte, selv om resten bliver ramt? En måde at begrænse konsekvenserne på er at opdele produktionsmiljøet i adskilte netværk. Hos en større produktionsvirksomhed, som Holtec arbejder med, er anlægget eksempelvis opdelt i mindre ”øer”. Hvis en maskine eller produktionslinje bliver kompromitteret, kan den isoleres, mens resten af fabrikken fortsætter.

”I mange år handlede det om at effektivisere. Nu ser vi flere investeringer i langsigtet resiliens: Hvordan digitaliserer man, men sikrer samtidig, at driften kan fortsætte, hvis der opstår et kort- eller langvarigt nedbrud?” siger han. Effektiviteten må ikke tage overhånd Digitaliseringen har gjort dansk industri og kritisk infrastruktur mere effektiv, men også mere afhængig af systemer, netværk og eksterne forbindelser.

”Hvis man har en meget flad netværksstruktur, kan man have nok så god en firewall mod internettet. Hvis alt indenfor kan tale sammen, kan et problem stadig sprede sig,” siger han.

Produktionsanlæg, vandværker og energianlæg består ofte af systemer, der er bygget op over årtier, men som siden er blevet koblet tættere sammen med virksomhedens IT, cloudtjenester og eksterne serviceleverandører.

Robusthed er nu et konkurrenceparameter Samtidig oplever Jesper Rosleff, at sikkerhed og dokumenteret robusthed får større betydning i relationen mellem virksomheder.

”Det har givet store driftsmæssige fordele. Men det betyder også, at systemer, der tidligere var isolerede, i stigende grad får forbindelser til omverdenen,” siger han. OT-systemer kan være forældede Her skelner man typisk mellem IT og OT. Hvor IT blandt andet omfatter virksomhedens administrative systemer, er OT – operational technology – de systemer, der styrer de fysiske processer: Pumper, maskiner, produktionslinjer og procesanlæg. Problemet er ifølge Jesper Rosleff, at mange ældre OT-systemer ikke oprindeligt er udviklet med nutidens cybertrusler for øje. Produktionsanlæg kan være 10, 20 eller 30 år gamle, og undervejs er nye systemer, sensorer og forbindelser blevet bygget ovenpå. Samtidig kan den oprindelige dokumentation være mangelfuld, og de medarbejdere, der kendte anlægget fra begyndelsen, være væk. Konsekvenserne bliver meget konkrete, når en digital fejl rammer den fysiske produktion.

Holtec holtec.dk

Cybersikkerhed er blevet en ledelsesopgave For en direktion eller bestyrelse handler spørgsmålet ikke nødvendigvis om at kende forskel på PLC'er, SCADA-systemer eller industrielle netværksprotokoller. Det handler om at forstå forretningskonsekvensen.

Jesper Rosleff Cloud Sales Manager hos automationsvirksomheden Holtec

Fem timers nedbrud kan koste 100.000 kroner I et andet anonymiseret eksempel var en produktionslinje ude af drift i fem timer. Ifølge Jesper Rosleff lød et forsigtigt estimat på et tab på mindst 100.000 kr. Pointen er, at cyberrisiko ikke kun bør måles i stjålne data. For en produktionsvirksomhed kan den største konsekvens være, at maskinerne står stille, kunderne ikke får deres varer, og omsætningen forsvinder. ”Hvis det begynder at påvirke kunder, samarbejdspartnere og virksomhedens

planerne virker i praksis. Det er det, Jesper Rosleff kalder ”papirsikkerhedsfælden”. En virksomhed kan have en beredskabsplan, backup og dokumentation for sine procedurer og alligevel blive overrasket den dag, et kritisk system går ned. Derfor bør ledelsen ifølge ham stille nogle helt konkrete spørgsmål: Hvor længe kan virksomheden fungere uden sine vigtigste systemer? Kan produktionen fortsætte manuelt? Hvilke eksterne leverandører har adgang til netværket? Hvor hurtigt kan driften genetableres? Og hvornår blev beredskabet senest afprøvet?

Der stilles flere sikkerhedskrav i blandt andet offentlige udbud, ligesom virksomheder i stigende grad interesserer sig for sikkerheden hos deres leverandører. Corona, krigen i Ukraine og forstyrrelser i globale forsyningskæder har samtidig gjort virksomheder mere opmærksomme på deres afhængigheder. Virksomheder konkurrerer derfor ikke længere kun på pris, kvalitet og levering. Evnen til at holde produktionen kørende – og hurtigt få den i gang igen, hvis noget går galt – kan også få betydning for konkurrenceevnen. Hvis Jesper Rosleff selv sad som direktør i en større produktionsvirksomhed, ville hans første skridt være enkelt: Han ville bede om at se virksomhedens beredskabsplan. Men han ville ikke nøjes med at læse den. ”Jeg ville spørge: Hvor er det her beredskab testet? Har vi faktisk gennemført det, der står i planen, i praksis?” siger han.

SAMFUNDSSIKKERHED

Coromatic A/S – Partner Content

Tror I, der er styr på nødstrømmen? Truslen fra destruktive cyberangreb mod Danmark er nu vurderet som høj. Sabotage og ekstremvejr lægger yderligere pres på et elnet, vi tager for givet. Alligevel er den største risiko ikke nødvendigvis, at nødstrømmen mangler – men at man tror, den virker. For en generator, der aldrig er testet under reel belastning, er en antagelse og ikke et beredskab. Nu er det tid for både private og offentlige organisationer at gå energiberedskabet efter i sømmene.

AMSIK har i september hævet trusselsniveauet for destruktive cyberangreb fra middel til høj. Styrelsen vurderer nu, at det er sandsynligt, at Rusland vil forsøge at udføre destruktive cyberangreb mod Danmark. Cyberangreb, sabotage og ekstreme vejrforhold har allerede ramt landet hårdt, og med et elnet under pres kan længerevarende strømafbrydelser ikke længere afskrives som noget, der næsten aldrig sker. Samtidig løfter NIS2 og CER-lovgivningen robusthed op på øverste ledelsesniveau. Det er ikke længere nok, at de driftsansvarlige har styr på anlægget – ledelsen skal kunne stå inde for, at organisationen kan holde driften kørende, når det gælder. Mange er endnu ikke klar

Erhvervslivet mærker presset. I en undersøgelse fra Dansk Erhverv svarer 60 procent af virksomhederne, at de frygter afbrydelser i strøm, vand, varme eller internet. Alligevel har kun omkring en tredjedel en beredskabsplan, mens hver femte er ved at udarbejde en. Energisektoren har siden maj 2025 været på forhøjet beredskab, og myndighederne opfordrer virksomheder til at opdatere deres planer og holde øvelser.

produktion skal holdes i gang? Skal der være lys, varme, medicinsk udstyr, lifte, kommunikation, servere eller krisestyring? Og hvor længe? Timer, et døgn eller flere døgn? Organisationer, lokationer og afdelinger har vidt forskellige behov. Et hospital skal kunne operere videre, et datacenter skal forblive i drift, og mobilnettet skal fungere, når alt andet svigter. Kender man ikke behovet, risikerer man at købe en løsning, der ser fornuftig ud på papiret, men ikke løser problemet, når strømmen går. Derfor skal valget begynde med funktionen – ikke med generatoren. Det er dyrt at købe billigt

En stor faldgrube er selve indkøbet. De ansvarlige bliver ofte målt på at købe billigt her og nu – sjældent på, hvad løsningen koster over 10 eller 15 år. Men den billigste løsning kan blive den dyreste. Har anlægget kort levetid, er det dyrt i drift, bliver det ikke serviceret korrekt eller starter det ikke, når det gælder, er den lave pris ikke længere en besparelse, men en risiko. Det minder om at købe bolig. Den billige lejlighed med høje fællesudgifter kan ende med at koste mere end den dyrere med lave månedlige udgifter. Forskellen er bare, at når vi taler om nødstrøm, er det ikke kun økonomien, der er på spil. Det er også samfundssikkerheden.

En billig generator eller et sæt UPS-batterier er med andre ord ikke nok i sig selv. Løsningen skal dimensioneres, testes, serviceres og driftes, hvis den skal kunne yde, den dag trusselsbilledet bliver til virkelighed. Dimensioneret til en ny virkelighed

Vores infrastruktur er stadig dimensioneret efter en fredstidslogik. Ifølge Energinet har danske elforbrugere de seneste ti år i gennemsnit oplevet omkring 23 afbrudsminutter om året. Men det er ikke 23 minutter, vi skal ruste os imod nu. Det er sabotage, hybridangreb og udfald målt i døgn. Også på længere sigt er forsyningen under pres. Samfundet bliver stadig mere afhængigt af elektricitet, og Energinet advarer om, at Danmark fra 2034 kan opleve strømmangel i perioder uden sol og vind. For virksomhederne betyder det øget risiko for driftsstop og økonomiske tab. Et kvalificeret valg af nødstrøm handler derfor om dimensionering efter reel belastning, om udholdenhed i døgn frem for timer og om service, der sikrer, at anlægget stadig virker år senere. En løsning uden vedligehold ældes lige så hurtigt som en bil uden service.

Rettidig omhu er svaret

Det vigtigste er derfor ikke at købe hurtigt, men at få gennemtjekket sit energiberedskab: at kortlægge, hvad der skal virke, hvor længe, og om de nuværende løsninger reelt kan bære det – før leveringstiderne æder den tid, vi ikke har. Det kræver regelmæssige stresstests, opdaterede og realistiske beredskabsplaner og investeringer i løsninger, der styrker modstandsdygtigheden. At afsætte budget er den lette del. Den svære – og afgørende – er at bruge pengene med omtanke. En organisation, der skruer op for indkøbet, men køber forkert, står lige så stille som en organisation, der intet har købt. Coromatic har i mere end 35 år designet, bygget og serviceret kritisk infrastruktur for blandt andre hospitaler, lufthavne, teleudbydere, forsvaret og offentlige institutioner. Erfaringen er klar: Der findes ingen standardløsninger, og et samfund og dets virksomheder er kun så stærke som det svageste led i kæden.

FEM SPØRGSMÅL FØR I KØBER NØDSTRØM 1.

Hvor længe skal løsningen fungere?

Er løsningen testet under realisti-

Planlæg for timer, døgn eller længere. ske forhold? Et anlæg, der aldrig er

prøvekørt under reel belastning, er en antagelse – ikke et beredskab. 4.

Begynd med funktionen

Coromatic A/S coromatic.dk

Begynd med funktionen, ikke med generatoren.

Men en plan er kun så god som den strøm, der skal holde den i live. Når servere, kommunikation og styring går ned, står selv den bedste beredskabsplan stille. Mange kommuner, offentlige institutioner og virksomheder har investeret i nødstrøm. Men spørgsmålet er, om løsningen er dimensioneret, testet og vedligeholdt til den situation, den skal fungere i. Hvilke bygninger og hvilken

Hvilke funktioner skal holdes i gang?

Hvad koster løsningen over hele

levetiden? Drift, service, brændstof, reservedele og energiforbrug skal med.

Kan I dokumentere ansvar, test og

vedligehold? Robusthed er i stigende grad et ledelsesansvar.

SAMFUNDSSIKKERHED

TeamSafety – Partner Content

Det er hænder og fødder, der rykker, når det gælder Teknologi kan opdage en hændelse, men det kræver mennesker at handle på den. Øgede krav til beredskab og sikkerhed betyder, at sikkerheds- og brandvagter spiller en vigtigere rolle hos virksomheder, hvor få minutter kan gøre en forskel.

ybersikkerhed har fået en central plads på dagsordenen for samfundssikker hed. Det er med rette. Men teknolo gien kan ikke i sig selv vurdere situationen, træffe beslutninger eller gribe ind. I takt med, at virksomheder bliver mere opmærksomme på deres samlede risikobillede, begynder flere også at se på det fysiske bered skab. Det bliver særligt relevant i en tid, hvor virksomheder i stigende grad skal forholde sig til flere typer af risici på samme tid. Det kan være alt fra brand og tyveri til uvedkommende adgang og menneskelige trusler.

Michael Kristensen Driftschef i TeamSafety

Sikkerhedsvirksomheden TeamSafety tropper hver dag op på byggepladser, i produktions virksomheder eller hos virksomheder inden for kritisk infrastruktur for at skabe tryghed og sikkerhed. Her er deres vagter de første på stedet, når en nødsituation opstår. ”Overvågning er vigtig, men den kan ikke stå alene. Kameraer og teknologi kan give os information, men i sidste ende er der brug for mennesker, der kan reagere. Der skal være øjne på skærmene og fødder på jorden, som kan rykke, når alarmen går – og allerhelst være til stede, før situationen udvikler sig,” siger Michael Kristensen, driftschef i TeamSafety. Kompetencer, der gør en forskel Michael Kristensen har en baggrund i politiet, hvor han lærte vigtigheden af at kunne forstå og læse sine omgivelser. De samme kompe tencer er centrale hos TeamSafetys sikker hedsvagter. Og ligesom i politiet observerer vagterne ikke bare, de forebygger, vurderer og reagerer på det, der sker her og nu – og på det, der kan udvikle sig til et problem senere. ”Det handler ikke kun om muskler. Hovedet skal også være rustet. En dygtig vagt skal kunne læse en situation, reagere på de små tegn og tage tingene i opløbet, før de udvikler sig. Det kræver både erfaring, menneskelig forståelse og evnen til at handle, når det bliver nødvendigt,” siger han.

TeamSafety teamsafety.dk

Vagternes stærkeste ammunition er et bredt fundament af kompetencer. De får første hjælpskurser og en specialudviklet uddan nelse i brandsikkerhed, og for at sikre, at de altid er opdaterede og klædt på til forskellige opgaver, gennemgår de løbende efteruddan nelse. Samtidig understøtter klare procedurer indsatsen i det daglige. Nye vagter indgår i mentorordninger, hvor mere erfarne med arbejdere er med til at udvikle og løfte deres yngre kollegaer.

En dygtig vagt skal kunne læse en situation, reagere på de små tegn og tage tingene i opløbet, før de udvikler sig.

For virksomhederne handler det ikke mindst om tillid – om at kunne stole på, at den per son, der står på pladsen, i produktionshallen eller ved indgangen, kan læse situationen, træffe den rigtige beslutning og handle, når noget ændrer sig. ”Vi skal være forberedte på det uventede. Det handler ikke om at forvente, at noget går galt, men om at have tænkt situationerne igennem på forhånd, så vi ved, hvordan vi skal reagere, hvis det sker,” fortæller Michael Kristensen. Beredskab bliver en del af driften En vagtfunktion er dermed ikke kun en forma litet eller et spørgsmål om synlig tilstedeværelse. Det er en aktiv sikkerhedsforanstaltning, der både er til for at forebygge ulykker og angreb og samtidig sikrer, at der altid er dygtige vagter til stede til at reagere hurtigt. Altså en vigtig indsats i virksomhedens samlede beredskab.

I sidste ende handler det om virksomhedens robusthed. ”Vi har flere kunder, som er blevet opmærk somme på behovet for at styrke deres fysiske sikkerhed. Sikkerhed skal tænkes ind som en naturlig del af driften – ikke som noget, man først forholder sig til, når skaden er sket. I sidste ende handler det om virksomhedens robusthed. Jo bedre man er forberedt på det uforudsete, desto bedre står man, når noget sker – både i forhold til at opretholde driften og komme hurtigt tilbage til normalen,” siger Michael Kristensen.

HVEM ER TEAMSAFETY?

TeamSafety er et autoriseret vagtselskab,

der tilbyder en række sikkerhedsydelser og

har specialiseret sig i særligt brandsikkerhed. De stiller med erfarne vagter til både

forebyggende sikkerhed og akut indsats. Virksomheden tilbyder blandt andet: • Vagtservice

• Brandvagtsservice • Adgangskontrol

• Sikkerhedsreception

• Sikkerhedskoordinering • Rundering

• Facility management

• Salg og eftersyn af slukningsmateriel • Arbejdsmiljøkoordinatorer

SAMFUNDSSIKKERHED

Har din virksomhed en digital bagdør på klem? CYBERSIKKERHED

Cybertruslen mod danske virksomheder er fortsat høj. Samtidig gør AI-angriberne hurtigere og mere overbevisende, mens nye digitale produktionssystemer åbner helt nye døre ind til virksomhederne. Eksperter i cybersikkerhed advarer om, at små og mellemstore virksomheder kan blive valgt fra, hvis de ikke får styr på sikkerheden.

Tekst: Kristine Buske

or et par år siden var cybertruslen mod Danmark høj. Det er den stadig. Det digitaliserede samfund skaber en større angrebsflade, samtidig med at vi bliver mere afhængige af digitale systemer. Det fører til endnu større konsekvenser, når et angreb rammer. Vi står et sårbart og udsat sted. Jens Myrup er professor i cybersikkerhed ved Aarhus Universitet og fortæller at både angreb mod kritisk infrastruktur og gidseltagning af data er blevet en hyppig brugt metode.

”Alle virksomheder er i dag et mål for hackere. Oversete områder som pumper, robotter og andet produktionsudstyr er i stigende grad koblet til nettet, selv om de er bygget til lukkede systemer og derfor ikke har den nødvendige sikkerhed. Det er et stort problem, som gør produktionsvirksomheder sårbare,” fortæller han. Dygtigere, bedre og hurtigere

Det er ikke kun adgangen, der har ændret sig. Det har de kriminelle profiler også. Hackere er ikke længere alene kriminelle, der vil tjene penge. Aktivister og statsaktører bruger i stigende grad cyberangreb som våben i konflikter. Og her er modstanderen ofte både mere målrettet og langt mere avanceret.

En trussel mod dansk konkurrenceevne

”Er man udsat for avancerede grupper, er det et helt andet game. Hvis noget er vigtigt for dem, skal de nok komme ind. De bliver dygtigere, bedre og hurtigere og bruger nye teknologier som kunstig intelligens,” siger Jens Myrup.

”Den leverandørstyring er en kæmpe opgave. En lang række virksomheder skal leve op til kravene, selv om de ikke umiddelbart er omfattet af direktivet,” siger Jens Myrup.

Men AI er ikke kun et våben for angriberne. Teknologien kan også bruges til at teste, opdage sårbarheder og reagere hurtigere, når et angreb er i gang. Jens Myrup Professor, Aarhus Universitet

De bliver dygtigere, bedre og hurtigere og bruger nye teknologier som kunstig intelligens

”I takt med, at angriberne bliver dygtigere, skal vi også selv blive dygtigere til teknologien for at følge med,” siger Jens Myrup.

Nye krav til cybersikkerhed lægger samtidig pres på virksomhederne. NIS2-direktivet stiller ikke kun krav til de virksomheder og sektorer, der er direkte omfattet, men også til leverandørkæderne.

SÅDAN SIKRER DU DIN VIRKSOMHED MOD CYBERANGREB 1. Vurder risikoen Tag fat i forretningskritiske systemer og identificer sårbarheder, der kan blive en bagdør ind for hackeren.

Ifølge ham kan manglende cybersikkerhed også få konsekvenser for danske virksomheders muligheder for at drive forretning.

2. Sæt ledelsen i spidsen Cybersikkerhed kræver dyb indsigt i virksomheden og er derfor en ledelsesopgave.

”Hvis de små og mellemstore virksomheder ikke får styr på det i tide, risikerer de at blive valgt fra som leverandører. Det kan blive kritisk for vores land, så jeg håber, at myndigheder og virksomheder hjælper hinanden.”

3. Grib de lavthængende frugter Styr på passwords, to-faktor-godkendelse, backups og træning af medarbejdere er enkle, men vigtige indsatsområder.

Cyberjuice – Partner Content

Cybersikkerhed skal ud af mappen og ind i hverdagen

ISO 27001 handler ikke kun om politikker og dokumentation. Hvis virksomheder skal være klar til både kundekrav og nye sikkerhedsrisici, skal medarbejdernes faktiske adfærd også være en del af arbejdet.

Shadow-AI er dermed allerede udbredt, og i takt med at AI får større betydning for virksomheders arbejdsprocesser, vokser også de potentielle sikkerhedsrisici.

Ifølge Bodil Biering bliver arbejdet ofte først prioriteret, når der kommer et pres udefra – eksempelvis fra lovgivning eller kunder, der efterspørger en certificering.

En undersøgelse fra ManageEngine blandt IT-beslutningstagere i USA og Canada viser, at 70 % har identificeret medarbejdere, der bruger AI-værktøjer uden godkendelse. Samtidig svarer 85 %, at medarbejderne tager AI-værktøjer i brug, før IT-afdelingen når at vurdere dem.

Derfor er det aktuelt for virksomheder at få styr på informationssikkerheden. For mange SMV’er kan en ISO 27001-certificering dog virke som en uoverskuelig opgave – men faktisk behøver certificeringen ikke at kræve et langt og dyrt konsulentprojekt.

”Det er ikke bare en checkliste, du kan downloade og gennemgå. Der er mange ting, hvor man skal tage stilling til, hvornår man vurderer, at noget er godt nok.”

e fleste medarbejdere har formentlig prøvet at modtage en ny virksomhedspolitik, som man burde læse – men som hurtigt bliver arkiveret eller glemt. Det samme kan gøre sig gældende for virksomheders AI-politikker.

ISO 27001 er ikke bare en teknisk checkliste ”For mange små og mellemstore virksomheder bliver ISO 27001 en meget stor og kompleks opgave. De ved måske ikke helt, hvad det er, eller hvor de skal gå i gang,” siger Bodil Biering, CEO i CyberJuice. Virksomheden har udviklet en løsning, der hjælper SMV’er gennem certificeringsprocessen og samtidig giver et fundament for at håndtere kravene i NIS2.

Bodil Biering CEO, Cyberjuice

Løsningen bygger på en proces og en software, som gør, at virksomheden kan komme i mål både hurtigere og billigere, samtidig med at politikkerne kommer ud og leve i organisationen.

CyberJuice forsøger derfor at gøre kravene konkrete. Virksomhedens software guider brugeren trin for trin og viser blandt andet eksempler på, hvordan et korrekt resultat kan se ud. Men arbejdet stopper ikke ved dokumentationen. CyberJuice gennemfører også kontroller af, om medarbejderne rent faktisk har taget de ønskede sikkerhedsvaner til sig. Compliance handler også om kultur I en mellemstor virksomhed oplevede Bodil Biering eksempelvis, at få medarbejdere brugte passwordmanager, selv om det var anbefalet af ledelsen. ”Man skal ikke være ret mange i en virksomhed, før man mister blik for, hvilke vaner medarbejderne i den modsatte side af lokalet har.”

Derfor handler informationssikkerhed ifølge Bodil Biering ikke alene om systemer og dokumentation, men også om medarbejdernes adfærd. Arbejdet efter dokumentationen er nemlig mindst lige så vigtig, understreger hun: ”Det handler ikke kun om en teknisk tjekliste. At sikre virksomhedens systematiske styring og beskyttelse af informationssikkerhed handler om hele organisationen.” Når virksomheder får data på eksempelvis medarbejdernes AI-vaner, bliver det samtidig muligt at tage en konkret dialog om adfærden. Ifølge Bodil Biering kan det være med til at modne organisationens arbejde med informationssikkerhed og styrke virksomhedens processer. ”Værdien af arbejdet med compliancekravene giver først for alvor mening for virksomhederne efterfølgende – men herefter giver de udtryk for at have opnået en helt ny standard over for deres kunder og samarbejdspartnere.” VIL DU VIDE MERE OM OS?

Scan QR-koden eller besøg cyberjuice.io

BullWall – Partner Content

SAMFUNDSSIKKERHED

AI gør cybertruslen hurtigere – og flytter den ind bag virksomhedens mure

Kunstig intelligens gør cyberangreb billigere og lettere at skalere. Samtidig vurderer Forsvarets Efterretningstjeneste, at Rusland i de kommende måneder vil optrappe sin hybride krig mod Vesten – blandt andet med destruktive cyberangreb. Men teknologien skaber også en ny risiko, når virksomheder giver AI adgang til egne systemer og data. Derfor skal IT-sikkerheden ifølge BullWall bygges til, at skadelige hændelser sker, men skaden begrænses hurtigere, end et menneske kan reagere.

mkring 1.200 AI-agenter fik under en sikkerhedstest hos OpenAI til opgave at finde huller i software. Undervejs begyndte AI-agenterne at samarbejde, fordele opgaver og udveksle beskeder, selv om systemet ikke var indrettet til, at de skulle koordinere. Til sidst brød de ind på AI-platformen Hugging Face. Hændelsen var ikke et kriminelt angreb. Alligevel illustrerer den ifølge Christian Have, der er CTO hos den danske cybersikkerhedsvirksomhed BullWall, en ny virkelighed: AI kan udføre opgaver med en hastighed og selvstændighed, som virksomhedernes eksisterende sikkerhedssystemer ikke er bygget til. ”Vi spænder et uforudsigeligt lag oven på et IT-landskab, der er designet til mennesker. En medarbejder med de rigtige rettigheder kan frit slette filer, men gør det sjældent. Men hvad sker der, når vi giver AI-agenten de samme systemrettigheder som de menneskelige medarbejdere? En AI-agent, der handler langt hurtigere og på måder, vi slet ikke har forudset. Sikkerhedstesten hos OpenAI viser, hvor galt det kan gå,” fortæller Christian Have. AI åbner en ny front i kampen om data Truslen kommer nu fra to sider. Udefra bruger professionelle ransomware-grupper AI til at finde sårbarheder, udvikle målrettede angreb og ramme flere organisationer på kortere tid. Opgaver, som tidligere krævede mange specialister og store ressourcer, kan nu automatiseres. Med andre ord: Omkostningerne falder, mens volumen stiger. Når angreb kan gennemføres industrielt, kan både virksomheder, myndigheder og samfundskritisk infrastruktur blive mål. For forsyningsselskaber kan et vellykket angreb i yderste konsekvens forstyrre leveringen af eksempelvis vand, varme eller strøm. Truslen udefra er heller ikke længere kun kriminel. Forsvarets Efterretningstjeneste vurderede den 24. september, at Rusland i de kommende måneder vil intensivere sin hybridkrig med hyppigere angreb mod Vesten og NATO – og med større konsekvenser for de ramte Kilder:

Forsvarets Efterretningstjeneste, ”Vurdering af truslen fra Rusland”, 24. september 2026: https://www.fe-ddis.dk/globalassets/fe/dokumenter/ 2026/trusselsvurderinger/-vurdering-af-truslen-fra-rusland-.pdf UK National Crime Agency, ”Evil Corp: Behind the Screens”, oktober 2024: https://www.nationalcrimeagency.gov.uk/who-we-are/ publications/732-evil-corp-behind-the-screens/file

Ledelserne bør acceptere, at flere sikkerhedslag ikke længere fjerner risikoen. ”Man skal bygge sin sikkerhed til, når noget sker – ikke hvis det sker. Det handler både om at mindske sandsynligheden for et angreb og om at reducere konsekvensen, når noget alligevel slipper igennem,” siger han.

Christian Have CTO hos BullWall

lande end tidligere. Det kan ifølge tjenesten omfatte destruktive cyberangreb med alvorlige konsekvenser for samfundsvigtige funktioner. Rusland går nu direkte efter at forhindre støtten til Ukraine i at nå frem, eksempelvis ved at sabotere virksomheder i forsvarsindustrien eller jernbaner, der fragter militært materiel. Skellet mellem statslige aktører og kriminelle grupper er samtidig blevet uskarpt. Ifølge den britiske politimyndighed National Crime Agency satte de russiske efterretningstjenester før 2019 ransomwaregruppen Evil Corp til at udføre cyberangreb mod NATO-lande, og i juli indførte EU sanktioner mod et netværk af cyberkriminelle, hacktivister og private virksomheder, som EU mener arbejder efter instruks fra Rusland eller under russisk kontrol. ”Den russiske stat bruger især wipere mod kritisk infrastruktur. Ransomwaregrupperne angriber virksomheder i alle brancher og af alle størrelser,” siger Christian Have. Wipere er programmer, der sletter eller overskriver data, så de ikke kan gendannes. Samtidig opstår en ny trussel indefra. I jagten på effektiviseringer og konkurrencekraft giver virksomheder og offentlige institutioner AI-værktøjer adgang til dokumenter, databaser og forretningssystemer. Adgangen kan være legitim og passere alle normale sikkerhedskontroller. Men hvis en agent misforstår sin opgave, bliver manipuleret eller handler uventet, kan den beskadige eller slette store mængder data.

https://samsik.dk/wp-content/uploads/2026/09/Trusselsvurderingdestruktive-cyberangreb-september-2026.pdf Styrelsen for Samfundssikkerhed, Trusselsvurdering: HØJ trussel fra destruktive cyberangreb, 24. september 2026: https://samsik.dk/wp-content/uploads/2026/09/Trusselsvurderingdestruktive-cyberangreb-september-2026.pdf ; pressemeddelelse: https://via.ritzau.dk/pressemeddelelse/15180895/truslen-fradestruktive-cyberangreb-haeves-til-hoj?lang=da

EU (EEAS), ”Exposing Russia's malicious cyber ecosystem: the EU adopts its biggest cyber sanctions package”, 14. juli 2026: https://www.eeas.europa.eu/eeas/exposing-russias-malicious-cyberecosystem-eu-adopts-its-biggest-cyber-sanctions-package_en

Forsvarets Efterretningstjeneste, Vurdering af truslen fra Rusland, 24. september 2026: https://www.fe-ddis.dk/globalassets/fe/dokumenter/ 2026/trusselsvurderinger/-vurdering-af-truslen-fra-rusland-.pdf

Styrelsen for Samfundssikkerhed hævede den 24. september 2026 trusselsniveauet for destruktive cyberangreb mod Danmark fra middel til høj og peger særligt på wipere:

UK National Crime Agency, Evil Corp: Behind the Screens, oktober 2024: https://www.nationalcrimeagency.gov.uk/who-we-are/ publications/732-evil-corp-behind-the-screens/file

BullWall bullwall.com

Organisationerne kan ikke blot sige nej til AI, mener Christian Have. Gevinsterne er for store og konkurrenterne bevæger sig for hurtigt, og springer man ikke på vognen, risikerer man som virksomhed at blive efterladt på perronen.

Når angrebet accelererer, bliver mennesket en flaskehals Mange sikkerhedsprocedurer bygger på, at et system registrerer mistænkelig aktivitet, hvorefter et menneske undersøger alarmen og beslutter, hvad der skal ske. Det kaldes human in the loop. Modellen giver menneskelig kontrol, men den koster tid. Det er et voksende problem, når ransomware kan kryptere filer på sekunder og AI-agenter kan ændre eller slette data hurtigere, end en sikkerhedsmedarbejder kan nå at vurdere situationen. Når den potentielle skade både er stor og sker hurtigt, skal reaktionen derfor kunne sættes i gang automatisk, mener de hos BullWall. ”Angriberne opfører sig som almindelige brugere. Det gælder både de avancerede angreb, som Forsvarets Efterretningstjeneste taler om, og ransomware i det hele taget. Derfor opdager meget af virksomhedernes overvågning ikke den skade, angriberne gør. Man skal være sikkerhedsekspert for at afgøre, om en brugers ændringer i filerne er ondsindede, og der er ikke tid til at vente på en vurdering, når et moderne angreb kan ødelægge hundredtusindvis af filer i minuttet,” siger Christian Have. Virksomhedens løsning overvåger aktiviteten omkring organisationens data og har en stående autorisation til at gribe ind, når en destruktiv hændelse bliver registreret. Systemet kan afbryde skadelige skrivninger og isolere kompromitterede brugere eller enheder. Mennesket er fortsat on the loop og kan overvåge forløbet, men inddæmningen afventer ikke en manuel godkendelse. Ifølge Christian Have gør det ingen forskel, om det er en angriber eller en AI-agent,

EU (EEAS), Exposing Russia's malicious cyber ecosystem: the EU adopts its biggest cyber sanctions package, 14. juli 2026: https://www.eeas.europa.eu/eeas/exposing-russias-malicious-cyber -ecosystem-eu-adopts-its-biggest-cyber-sanctions-package_en Styrelsen for Samfundssikkerhed om, at truslen især gælder kritisk infrastruktur med OT-systemer: samme trusselsvurdering som ovenfor. Gartner Security & Risk Management Summit, London, 22. til 24. september 2026: https://www.gartner.com/en/conferences/emea/ security-risk-management-uk . Paul Furtado, "Ransomware Reloaded": s. 2 (citatet), s. 10 (tallene, "Source: Sophos/Secureworks"), s. 39 ("Under what conditions must a human approve (or veto) high-impact actions (isolation, kill process, credential reset)?"). Arthur Sivanathan, "Outlook for Cyber Resilience": s. 21 (n = 307, 2026 Gartner Cybersecurity Controls

der står bag skaden. ”Når en konto sletter, overskriver eller krypterer mange filer på kort tid, kan systemet se skaden, mens den sker, og kontoen skal stoppes med det samme. Hvis en indlogget bruger begynder at ødelægge filer midt om natten, opdager ingen det i de fleste virksomheder,” siger han. ”Det, der tiltrak mig ved BullWall, er det problem, virksomheden har valgt at løse. Når ransomware rammer, står kunderne over for standsede driftsprocesser, svære beslutninger og et reelt pres på forretningen. BullWall eksisterer for at forhindre netop den forstyrrelse,” siger Christian Have. BullWall beskytter i dag mere end én million virksomhedsbrugere. Ud over at standse skaden samler løsningen den viden og de arbejdsgange, organisationen har brug for bagefter: Hvilke data er berørt, hvilke skridt skal tages, og hvornår er det forsvarligt at genstarte? For genopretter man for eksempel for tidligt, risikerer man blot at lukke angriberen direkte ind igen og gøre endnu mere skade. Europæisk sikkerhed kræver europæisk kontrol For europæiske virksomheder og myndigheder handler robusthed også om, hvem der kontrollerer den teknologi, de er afhængige af. En stor del af Europas cloud- og AIinfrastruktur leveres af amerikanske selskaber og er dermed underlagt amerikanske beslutninger og lovgivning. BullWall er udviklet og ejet i Europa og kan fungere uden en amerikansk cloudleverandør. Samtidig bygger virksomheden sine systemer efter et princip om, at den underliggende AI-model skal kunne udskiftes. Kunderne skal kunne vælge en europæisk eller åben AI-model og i nogle tilfælde køre den på egen infrastruktur. Det betyder ikke, at virksomheder skal fravælge de stærkeste amerikanske modeller. Men afhængigheden bør være et bevidst valg og ikke en teknisk låsning, lyder rådet fra Christian Have. For når både eksterne angreb og interne AI-systemer kan bevæge sig hurtigere end mennesker, handler samfundssikkerhed ikke længere kun om at holde truslen ude. Det handler også om at bevare kontrollen, når den allerede er kommet indenfor.

Assessment Edition 2). Peter Firstbrooks keynote: s. 38 ("There will never be an autonomous SOC."). NIS 2-loven, lov nr. 434 af 6. maj 2025, § 3, nr. 20, og § 7: https://www.retsinformation.dk/api/pdf/249467 ; Dansk Erhverv, 1. juli 2025: https://www.danskerhverv.dk/presse-og-nyheder/nyheder/ 2025/juli/nye-cybersikkerhedsregler-fra-eu-galder-fra-i-dag-mendanmarks-sikkerhedsniveau-skal-styrkes/ Styrelsen for Samfundssikkerhed, Beskyt dig mod destruktive cyberangreb, 30. juni 2026 (afsnit "Håndtér angreb": "Isolér ramte klienter og systemer fra det øvrige netværk"): https://samsik.dk/ cyb-publikationer/beskyt-dig-mod-destruktive-cyberangreb/ BullWalls produkt: Christian Have, 24. september 2026; BullWalls produktdokumentation (masse-sletning, DeletedFilesPerInterval; kryptering; spærring inden for sekunder; genåbning kræver en person).

SAMFUNDSSIKKERHED

Klar på papiret, men ikke i praksis RESILIENS

Compliance er ikke det samme som at være klar på kriser - vores samfund og virksomheder har brug for resiliens. Det mener Jorge Contreras-Cardeño, der er ekspert inden for samfundssikkerhed.

Tekst: Peter William Ege

or 30 år siden dræbte et jordskælv på 6.2 på richterskalaen mere end 30.000 mennesker i Colombia. Da endnu et jordskælv ramte landet i august 2026 mistede ‘kun’ 300 mennesker livet. Forskellen er ikke tilfældig, men kommer af 30 års læring og forberedelse på den næste katastrofe. Bedre regler, bygninger og forberedelse er bevis på, at ændringerne virkede. Jorge Contreras-Cardeño, der selv er colombianer, kalder den udvikling for resiliens. Jorge er Principal Consultant CI i DBI og Resilienscenter Danmark, og han rejser spørgsmålet om, hvorvidt Danmark er lige så godt forberedt, hvis en stor krise skulle ramme os. Mere end papirarbejde Resiliens er ifølge Jorge Contreras-Cardeño nemlig noget andet end at have styr på papirene. Det handler om at forstå, hvor sårbare vi reelt er - og hvordan vi afhænger af hinanden. Både som samfund og som virksomheder.

Resiliens har én klar fjende: traditionel effektivitet. Resiliens kræver, at man investerer tid, før krisen rammer. Ikke bagefter. ”Resiliens rækker ud over compliance. Man er nødt til at forstå, at man er en del af et enormt netværk af gensidige afhængigheder. Er man ikke bevidst om, at ens egen dråbe ender i havet, er man fortabt.” Og hvor galt det kan gå, når en plan findes på papir, men ikke er afprøvet i praksis, oplevede Jorge selv, da Nets sidste år brød sammen ved Storebæltsbroen. Kø og ventetid stak af, selvom nødplanen for et sådant nedbrud fandtes. Problemet var, at de ansatte ved betalingsanlægget ikke var trænet i situationen, hvilket endte i lang ventetid, og at frustrerede bilister brød igennem anlægget.

Jorge Contreras-Cardeño Head of Impact Area Resilience, DBI

”Resiliens handler om det uventede. Alt andet: beredskabsplaner, kontinuitetsplaner og krisehåndteringsplaner handler om det, man kan forudse,” forklarer Jorge. Og den største hindring for reel resiliens er ikke manglende viden, men en modsatrettet prioritering, som Jorge peger på, findes i de fleste virksomheder.

Sikkerheden drukner i bureaukrati:

”Det har vi ikke tid til, hvis russerne banker på!” N AT I O N A L B E R E D S K A B

Mens kritisk infrastruktur skal rustes mod nye trusler, mangler virksomhederne klare svar fra myndighederne, mener branchedirektør for danske sikkerheds- og sikringsvirksomheder. Han efterlyser et stærkere samarbejde på tværs og vil have sikkerhedsbranchen langt tættere på det nationale beredskab. Tekst: Kristine Buske

er sker ikke en pind, siger Kasper Skov-Mikkelsen. Han er direktør for brancheforeningen SikkerhedsBranchen, der repræsenterer virksomheder, som arbejder professionelt med sikkerhed og sikring herunder indtrængning, brand, vagt, terror og rådgivning. ”For en gangs skyld tager jeg hatten af for EU. Med NIS2 og CER-direktivet sammenkobler de fysisk sikkerhed og cybersikkerhed rigtig fint. Men det går for langsomt hos de danske myndigheder. Set fra mine briller, som er helt tæt på samfundssikkerhed, mangler vi klare svar og retningslinjer,” uddyber han.

Kasper Skov-Mikkelsen Direktør, SikkerhedsBranchen

Det er et kæmpe problem, at vi ikke får at vide, hvilket sikkerhedsniveau der gælder hvor og hvornår. Det er ikke det samme at sikre Ørsted som at sikre en vandboring i Thy,” fortæller Kasper Skov-Mikkelsen. Ikke tid til bureaukrati Han oplever velvilje fra de kritiske enheder, som selv har smøget ærmerne op for at finde vej i lovgivningen, og fra de rådgivende virksomheder og brancher, som hjælper, så godt de kan.

Alle skal involveres, og vi bidrager gerne.

Han henviser til, at Styrelsen for Samfundssikkerhed ikke er kommet med en konkret vejledning til CER-direktivet. Det efterlader både kritisk infrastruktur og rådgiverne i uvished om, hvordan kravene skal opfyldes.

”Det danske embedsværk er 50 år bagud i måden at tænke på. Vi har et privat erhvervsliv og eksperter, der ved rigtig meget, som vi skal have meget tættere på. Vi har ikke tid til at vente, hvis russerne banker på i morgen,” siger han.

”Vi bliver kontaktet både af vores egne medlemmer og af virksomheder, der arbejder med kritisk infrastruktur, med spørgsmål: Hvor højt skal hegnet være? Hvilke krav er der til krypteringen? Hvor meget brandsikring skal vi have? Vi leder dem i blinde.

Kasper Skov-Mikkelsen finder det uholdbart over for de kritiske enheder, som skal løfte sikkerhedsopgaven. Myndighederne skal samtidig kontrollere enhederne. Men hvordan kan man leve op til lovgivningen uden fælles retningslinjer?

”Resiliens har én klar fjende, som er traditionel effektivitet. Virksomheder søger altid efter det hurtigere og billigere. Men resiliens kræver, at man investerer tid, nye strukturer og en anden form for ledelse, når krisen rammer. Nogle virksomheder vil ikke investere den tid, før det er for sent.” Og så er spørgsmålet ifølge Jorge, om danske virksomheder er villige til at investere i noget, de håber, de aldrig får brug for.

”Sikring er en enormt vigtig, men også stor investering for den enkelte virksomhed. Når man skal sikre sig uden tydelige retningslinjer, risikerer man at bruge mange penge på en løsning, som myndighederne måske ikke godkender, så virksomheden skal begynde forfra. Det kan blive en meget stor post,” forklarer han. Ingen sikkerhed uden samarbejde SikkerhedsBranchen forsøger at guide virk somhederne med egne, internationalt baserede sikkerhedsstandarder, blandt andet PLOV-beredskabsplaner, der er udarbejdet til alvorlige hændelser som væbnet indtrængning og skoleskyderi. Men Kasper Skov-Mikkelsen forstår ikke, hvorfor branchen skal prøve sig frem, når myndighederne kunne inddrage den i arbejdet med en ensrettet vejledning. ”Vi har tilbudt Styrelsen for Samfundssikkerhed vores viden og ekspertise, men vi er ikke blevet mødt. Hvis de ringer i morgen, tager vi telefonen, så vi kan skabe den bedst mulige tryghed og sikkerhed for danskerne.” Kasper Skov-Mikkelsen mener, at samfundssikkerhed er druknet i bureaukrati og kompleksitet frem for at være bygget op om samarbejde på tværs af brancher, myndigheder og sektorer. ”Man skal have fat helt ude ved Røde Kors’ besøgsvenner, hos Fru Jensen, hos virksomheder der ejer en gravko, hos sikkerhedsbranchen, hos myndighederne. Alle skal involveres, og vi bidrager gerne.”

SAMFUNDSSIKKERHED

Penta Sikring – Partner Content

Fysisk sikkerhed er en løbende disciplin Behovet for at beskytte virksomheder, medarbejdere og værdier stiller stadig større krav til moderne sikringsløsninger. Det er et marked, som Penta Sikring har gjort til sin forretning. Den danske sikringsvirksomhed leverer løsninger inden for blandt andet alarm, videoovervågning, adgangskontrol og mekanisk sikring til erhvervslivet. Men ambitionen er ikke blot at levere teknisk udstyr. Penta Sikring vil være en samarbejdspartner, der rådgiver virksomheder om den samlede sikring og finder løsninger, der tager udgangspunkt i den enkelte kundes behov. Med fokus på personlig rådgivning, kvalitet og langsigtede kunderelationer ønsker Penta Sikring at skabe sin position i en branche, hvor både teknologi og kundernes krav til sikkerhed løbende udvikler sig.

mange år var sikkerhed noget, man tog fat på, når skaden var sket. Et indbrud, en stjålet computer eller et datalæk kunne få virksomheder til at investere i bedre låse, en alarm eller overvågning. I dag er tilgangen i stigende grad en anden: Sikkerheden skal tænkes ind, før hændelsen rammer.

Nikki Hundborg Ejer & teknisk ansvarlig for Penta Sikring

Virksomhederne har ændret deres mindset, og myndighedernes krav til særligt store virksomheder er blevet strengere. En afgørende, positiv udvikling, mener sikkerhedsekspert Nikki Hundborg. ”Desværre halter de mindre virksomheder fortsat efter og er lidt af den gamle skole. De henvender sig først, når de har haft indbrud eller datalæk. Det er en risikabel tilgang, for alle virksomheder kan blive ramt i dag,” siger Nikki Hundborg, der er indehaver og teknisk ansvarlig for Penta Sikring og tilføjer: ”Samtidig er de mindre virksomheder ofte leverandører til de større, og det betyder, at de skal leve op til samme krav. Det bliver ofte overset.” Begræns adgangen Nikki Hundborg forklarer, at sikkerheden starter med det helt basale: Det skal være svært for uvedkommende at komme ind. Det handler blandt andet om at installere rullegitre, opdatere låse og sikre, at nøgler og adgangsmidler ikke let kan kopieres.

Penta Sikring pentasikring.dk

Næste sikkerhedslag er overvågning. Kameraer kan både dokumentere over for forsikringsselskaberne at der rent faktisk har været et indbrud, og i nogle tilfælde gøre det muligt at identificere gerningspersonerne. Og så er der sidste og tredje lag: alarmer. Ifølge Nikki Hundborg er det en undervurderet løsning. ”En alarm er en vigtig tryghed. Det kan være en røgkanon eller en sirene, som giver en stressfaktor, så indbrudstyvene hurtigt stikker af igen. Mindre virksomheder mener ofte, at de ikke behøver en alarm, men de tænker ikke over, at hvis der for eksempel har været indbrud en fredag, og medarbejderne først er tilbage mandag, vil en virksomhed uden alarm risikere at stå åben en hel weekend. Det kan mange heldigvis godt se ikke er en god idé,” fortæller han. Hvert led tæller Enkelte sikkerhedsløsninger er altså gode, men de er stærkest sammen. Det er også vigtigt at huske, hvis du vil være dækket hos forsikringen. ”Det kan godt være, at din alarm lever op til forsikringsselskabets sikkerhedsniveau, men hvis den mekaniske sikkerhed ikke gør, dækker forsikringen ikke,” siger Nikki Hundborg. Derfor bør virksomhederne se på sikkerheden som en kæde, hvor hvert led har en vigtig funktion. ”Sikkerhed virker bedst i samspil.” Forældet teknologi Hvis din virksomhed allerede har investeret i et sikkerhedssystem, er det alligevel vigtigt at spidse øre. For ligesom alt andet teknologi, går udviklingen lynhurtigt. Og at systemet var sikkert sidste år, er ikke det samme som, at det er sikkert i dag.

”Det er vigtigt at opdatere sine systemer. For eksempel kan hackere jamme de helt gamle trådløse alarmer og slå dem ud af spil, helt uden du opdager det. Der er de nyere systemer svære at jamme, og sker det, får du besked,” fortæller Nikki Hundborg. Opdateringen af teknologi er kun blevet et vigtigere fokusområde, efter at der med CER-direktivet er kommet skærpede krav til adgangskontrol og dokumentation af lokaler og kritisk infrastruktur. Her kan ældre systemer også være en udfordring. ”Mange gamle systemer har ikke de tilstrækkelige logmuligheder, så det er vigtigt at sørge for, at virksomheden er gearet til at leve op til kravene,” siger Nikki Hundborg. Udskift de gamle adgangskort Når det kommer til adgangskontrol, er der de klassiske adgangskort, hvor medarbejderne får en brik eller et kort, og når en medarbejder stopper, kan adgangen lukkes. Men her er fælden, at nogle ældre typer adgangskort kan kopieres– blandt andet ved hjælp af en mobiltelefon. Hvis virksomheden fortsat anvender gamle korttyper, kan en uvedkommende derfor i værste fald skaffe sig nem adgang uden at skulle bryde en dør eller forcere en lås.

”Det er vigtigt at få opdateret adgangskortene. Vi ser mange virksomheder, der stadig kører med gammel sikkerhed, og det øger virksomhedens risiko væsentligt,” siger Nikki Hundborg. Eftersyn er vigtigt At sikkerhedsteknologien udvikler sig, betyder dog ikke nødvendigvis, at du skal kassere hele din virksomheds eksisterende system. Nogle gange er det tilstrækkeligt at opdatere bestemte dele eller supplere med nye installationer, så det eksisterende system kan leve op til nutidens krav og risiko. ”Det er en god idé at have en serviceaftale med faste eftersyn. Det er der mange, der glemmer, og når man ikke kontrollerer, om systemet virker, bliver det en falsk tryghed,” forklarer Nikki Hundborg. Han slår fast: ”Sikkerhed er en løbende disciplin, hvor både trusler, teknologi og krav ændrer sig.”

nLogicnLogic – Partner – Partner Content Content

SAMFUNDSSIKKERHED

Dit Ditnetværk netværkerervirksomhedens virksomhedens digitale digitalerygrad rygrad

infrastruktur handler SikkerSikker digitaldigital infrastruktur handler om om langt end mere end lovgivning og compliance. langt mere lovgivning og compliance. Her du et overblik over, hvilke områder Her får dufår et overblik over, hvilke områder bør prioritere, og hvordan du bygger et du børdu prioritere, og hvordan du bygger et netværk, der understøtter drift, forretning netværk, der understøtter drift, forretning den teknologiske udvikling. og denog teknologiske udvikling.

vad koster vad koster det? det? Det spørgsmål Det spørgsmål har hidtil har ligget hidtil øverst ligget øverst på prioriteringslisten, på prioriteringslisten, når virksomnår virksomheder heder skulle skulle investere investere i sikkerheden i sikkerheden af deres af deres digitale digitale infrastruktur infrastruktur og netværk. og netværk. Men EUMen EUdirektivet direktivet for cybersikkerhed, for cybersikkerhed, NIS2, NIS2, har fået har fået flere virksomheder flere virksomheder til i højere til i højere grad atgrad investere at investere efter kritikalitet. efter kritikalitet. En vigtig En vigtig udvikling, udvikling, som som handler handler om langt ommere langtend mere lovgivning, end lovgivning, spørgerspørger man Jeppe man Ruokokoski, Jeppe Ruokokoski, der er der rådgivningschef er rådgivningschef hos IT-sikkerhedsvirksomheden hos IT-sikkerhedsvirksomheden nLogic. nLogic.

Digitale Digitale adgangskort adgangskort – en overset – en overset disciplin disciplindisc hedssystemet fungerer fungerer som ensom første en barriere, første barriere, dem, der dem, hører der under hører under kritiskkritisk infrastruktur, infrastruktur, hedssystemet De fleksible løsninger, løsninger, han taler hanom, talerkan om, kan der kontrollerer trafik ind trafik ogind ud af og virksomud af virksom-De fleksible men også menindirekte også indirekte deres leverandører. deres leverandører. Det Detder kontrollerer med sammenlignes sammenlignes med fysiske med fysiske adgangskort. adgangskort. netværk. netværk. Men den Men kan den ikke kanstå ikke alene. stå alene. kan efterlade kan efterlade mangemange virksomheder virksomheder med uro med urohedenshedens men Hver medarbejder Hver medarbejder har sithar ID sit i enID snor i enom snor om mat i maven. i maven. Men har Men dinhar virksomhed din virksomhed i forvejen i forvejen halsenhalsen klar tilklar at blive til atscannet, blive scannet, når denår bevæde bevæ- sikre erfaring erfaring med den med internationale den internationale standard standard for for JeppeJeppe Ruokokoski Ruokokoski ger sigger indsig ogind ud af og virksomhedens ud af virksomhedens interneinterne over ledelsessystemer ledelsessystemer for informationssikkerhed for informationssikkerhed Rådgivningschef Rådgivningschef nLogicnLogic områder. områder. En sikkerhedsforanstaltning, En sikkerhedsforanstaltning, hos hos ISO 27001, ISO 27001, er du allerede er du allerede mangemange skridt skridt foran. foran. især større især større virksomheder, virksomheder, som ingen som sætter ingen sætter Hve Dualdrig ville aldrig give adgang give adgang til, til, spørgsmålstegn spørgsmålstegn ved. ved. ”Standarden ”Standarden ligger ligger tæt optæt ad op NIS2 ad og NIS2 bygger og byggerDu ville Nu på sund påfornuft. sund fornuft. Det handler Det handler ikke om ikke at om tageat tageat enat skru gæst en gæst kan gå kan direkte gå direkte fra fra ”Du ville ”Dualdrig ville aldrig give adgang give adgang til, at en til, at en en aluminiumshat en aluminiumshat på og spilde på og spilde en masse en masse find lobbyen lobbyen og opogpåop direktørens på direktørens gæst kan gæst gå kan direkte gå direkte fra lobbyen fra lobbyen og op på og op på penge penge bare for bare sikkerhedens for sikkerhedens skyld. skyld. alle. Det er Det min eroverbevisning, min overbevisning, at at kontor kontor udenuden aftale, aftale, så hvorfor så hvorfor direktørens direktørens kontorkontor uden aftale, uden aftale, så hvorfor så hvorfor mas Det handler Det handler om at om tageatstilling, tage stilling, indføreindføre mange mange virksomheder virksomheder kan bruge kan brugevigtigevigtige tilladetillade den adgang den adgang digitalt? digitalt? Digitale Digitale adgangsadgangs-prim processer processer og sikre ogdin sikre virksomhed,” din virksomhed,” tillade tillade den adgang den adgang digitalt? digitalt? deresderes egeteget netværk netværk og data og data til at til atsiger Jeppe kort sikrer, kort sikrer, at Ib fra at Ib bogholderiet fra bogholderiet ikke har ikke har som siger Jeppe Ruokokoski Ruokokoski og tilføjer: og tilføjer: adgangadgang til samme til samme netværk netværk som direktøren,” som direktøren,” auto skabe skabe en konkurrencefordel. en konkurrencefordel. forklarer Jeppe Jeppe Ruokokoski. Ruokokoski. Herefter kommer kommer segmenteringen. segmenteringen. Hvis alle Hvis alleforklarer ”De mange ”De mange processer processer kan godt kanvirke godtovervirke over- Herefter hvil enheder enheder og systemer og systemer kan tale kan frittale med frithinanden, med hinanden, vældende vældende set udefra, set udefra, men det men er det ikkeertilikke for at til for at Han ser Han desværre, ser desværre, at det er at det et område, er et område, hvor hvor computer en computer med enmed uopen daget uopvirus dageti virus prin- i prinbelemre. belemre. I stedetI stedet er formålet er formålet at gøreattingene gøre tingenekan enkan ”At sikkerhed ”At sikkerhed indtil nu indtil primært nu primært har afhængt har afhængt mangemange virksomheder virksomheder fortsatfortsat er bagud. er bagud. cippet cippet blive en blive genvej en genvej videre videre ind i virksomheden. ind i virksomheden. nemmere. nemmere. Jeg vilJeg anbefale vil anbefale at kontakte at kontakte en virken virkaf budget, af budget, betyder, betyder, at mange at mange virksomheder virksomheder i i Ved atVed deleatnetværket dele netværket op i zoner op i kan zoner man kan man somhed, somhed, der er der specialister er specialister i IT-sikkerhed, i IT-sikkerhed, og og dag ikke dagkan ikke leve kanopleve til NIS2-kravene. op til NIS2-kravene. Konse-Konse”Digitale ”Digitale adgangskort adgangskort bør komme bør komme lang højere lang højere begrænse, hvor langt hvor et langt angreb et angreb kan sprede kan sprede sig. sig. tage entage ærlig ensnak ærligom snak hullerne om hullerne i sikkerhedsi sikkerheds-begrænse, kvenserne kvenserne er ikkeerbare ikkeen bare risiko en for risiko bøder. for bøder. Det Det på dagsordenen. på dagsordenen. Systemer Systemer som for som eksempel for eksempel D nettet.nettet. Så kommer Så kommer I godt Ifra godt start.” fra start.” er ogsåeren også risiko en for risiko at få forubudne at få ubudne gæstergæster i sin i sin ClearPass ClearPass betyder, betyder, at dit personale at dit personale ”Det kræver ”Det kræver adgangskontroller adgangskontroller og access og access ArubaAruba virksomhed, virksomhed, siger Jeppe siger Jeppe Ruokokoski. Ruokokoski. et ikke skal ikkekonfigurere skal konfigurere IT-udstyr IT-udstyr til det til rigtige det rigtige lister. Det lister. erDet en statisk, er en statisk, manuel manuel og meget og meget tung tung Skab først Skab en først barriere en barriere netværk. Et eksempel Et eksempel kunnekunne være etvære hospital, et hospital, ne proces,proces, som ikke somerikke skalerbar, er skalerbar, men heldigvis men heldigvisnetværk. Når duNår skaldu skabe skal et skabe sikkert et sikkert digitaltdigitalt netværk netværk og og ISO 27001 ISO 27001 er en god er enstart god start der skal derflytte skal en flytte blodtransfusionspumpe en blodtransfusionspumpe fra fra ro kommet der kommet nye systemer nye systemer og mere og fleksible mere fleksible infrastruktur infrastruktur er første er skridt, første skridt, og en afgørende og en afgørende del er delder er Det erDet en stor er en delstor af danske del af danske virksomheder, virksomheder, der der et hospital et hospital til et andet. til et andet. Det kan Det være kanen være kritisk en kritisk løsninger,” løsninger,” fortæller fortæller Jeppe Jeppe Ruokokoski. Ruokokoski. af fundamentet, den klassiske den klassiske firewall. firewall. Sikker-Sikkerskal leve skalopleve til NIS2. op til NIS2. Det påvirker Det påvirker ikke bare ikke bareaf fundamentet,

5 SKRIDT. 5 SKRIDT. SÅDAN SÅDAN LUKKER LUKKER DU HULLERNE DU HULLERNE I DITI DIT DIGITALE DIGITALE SIKKERHEDSNET SIKKERHEDSNET

sikkerhed Byg sikkerhed ind i ind i 4. Overvåg 4. Overvåg – og vær – og klar vær tilklar at reagere til at reagere 5. Byg5. fremtidens fremtidens infrastruktur infrastruktur Sikkerhed er ikkeer enikke engangsen engangsBehandl digitale digitale adgange adgange som som Sikkerhed Segmentér netværket, netværket, Behandl Kortlæg Kortlæg netværk, netværk, enheder, enheder, Segmentér Sikkerhed Sikkerhed skal tænkes skal tænkes ind, nårind, når investering. Overvåg Overvåg netværk, netværk, fysiskefysiske adgangskort: adgangskort: Brugere Brugere og oginvestering. så en kompromitteret data og data systemer og systemer – og identi– og identi-så en kompromitteret virksomheden virksomheden tager ny tager teknologi ny teknologi i i endpoints og cloud og for cloud mistænkelig for mistænkelig enheder skal kun skal have kunadgang have adgang endpoints computer eller enhed eller enhed ikke ikke enheder ficér deficér største de største sårbarsårbar heder.heder. computer fra cloud – fra og cloud AI til ogIoT AI og til IoT nyeog nye aktivitet, aktivitet, og sørg ogfor sørg at kunne for at kunne opdage, opdage, brug – brug dedet, har de brug harfor. brug Netfor. Netautomatisk automatisk giver adgang giver adgang til det,til En opdateret En opdateret firewallfirewall er er 2. Del netværket op op 1. Få fundamentet 1. Få fundamentet på plads på plads 2. Del netværket

3. Gør 3. adgang Gør adgang personlig personlig

Mikrosegmentering kan kan forsvarsværk, forsvarsværk, men den men skal den skal Mikrosegmentering

Trust-principper Trust-principper kan sikre, kanat sikre, at

arbejdsformer. Vælg en Vælg arkitektur, en arkitektur, håndtere håndtere og gendanne og gendanne efter et efter angreb. et angreb. arbejdsformer. hvor netværk, hvor netværk, sikkerhed sikkerhed og data og data Løbende Løbende sårbarhedsscanning sårbarhedsscanning og og

angrebangreb kan sprede kan sprede sig. sig.

ficeret,ficeret, før derfør gives deradgang. gives adgang.

af fundamentet. af fundamentet.

et grundlæggende et grundlæggende første første

work Access Control Control og Zero og Zero til resten til resten af virksomheden. af virksomheden.work Access

begrænse, hvor langt hvoret langt et konfigureres, konfigureres, overvåges overvåges og og begrænse, vedligeholdes vedligeholdes løbende. løbende.

nLogic nLogic nlogic.dk nlogic.dk

centraliseret logning logning kan være kanen være del en del identitet identitet og enhed og enhed bliver veribliver veri- centraliseret

spiller spiller sammen, sammen, og hvor ogløsningen hvor løsningen kan kan udvikles udvikles i takt med i taktvirksomheden. med virksomheden.

”Sik være men arki

Dit Jepp kerh Han brug

”Vir være femt

nLogic – Partner Content

SAMFUNDSSIKKERHED

1. FIREWALL – HOLD UBUDNE GÆSTER UDE

En digital portvagt ved netværkets ydre

grænse, som kontrollerer trafik ind og ud.

2. SEGMENTERING – BEGRÆNS SKADEN

Del netværket op i separate zoner, så et

angreb ét sted ikke kan sprede sig til hele virksomheden.

e l,

disciplin, hvis du manuelt skal åbne adgang til medicinsk-IT hvor menneskefejl ikke må ske, men med ClearPass følger adgangen dig automatisk. Det gør mange processer nemmere og sikrere i hverdagen, så du slet ikke skal tænke over det,” siger Jeppe Ruokokoski. Hver virksomhed sit sikkerhedsbehov Nu er baseline på plads, og det er tid til at skrue op for og forfine sikkerheden. Der findes ikke én sikkerhedsmodel, der passer til alle. En produktionsvirksomhed med store maskiner har andre risici end et kontor med primært cloudbaserede tjenester. Og en virksomhed, der anvender AI-agenter eller andre automatiserede systemer, skal forholde sig til, hvilke data og systemer de får adgang til.

Det gælder om at skabe et forsvar i alle lag af dit netværk for også at være robust i fremtiden. ”Sikkerhed og netværksløsninger bør ikke være en samling af standardprodukter, men en del af virksomhedens samlede ITarkitektur,” siger Jeppe Ruokokoski. Dit netværk, dine fordele Jeppe Ruokokoski ser ikke bare netværkssikkerhed som en pragmatisk foranstaltning. Han mener i langt højere grad, at det kan bruges som en værdiskabende investering. ”Virksomhedens netværk skal ikke bare være en passiv investering, som fornyes hvert femte år. Det kan blive en indtjeningskilde.

Et eksempel kunne være, hvis du arbejder med retail. Her kan du bruge dine data til at kortlægge hotspots i butikken, hvor kunderne bruger mest tid. Med den viden kan du få flere varer hen til kunden og sælge mere. Det er min overbevisning, at mange virksomheder kan bruge deres eget netværk og data til at skabe en konkurrencefordel,” fortæller han. Det kræver dog, at data kan bruges på tværs af infrastrukturen, og at sikkerhed og adgang tænkes ind fra begyndelsen. Et holistisk netværk er et robust netværk Kigger man få år frem, ser Jeppe Ruokokoski en udvikling, der kommer til at stille endnu større krav til virksomheders netværk. AI udvider konstant sine muligheder og kvantetek-

nologi bliver snart en naturlig del af samfundets teknologi-værktøjskasse. Og sikkerheden? Ja den får kun et endnu større trusselsbillede. ”Udviklingen af kunstig intelligens øger konstant risikoen for hacking. Det gælder om at skabe et forsvar i alle lag af dit netværk for også at være robust i fremtiden. Hver gang du som virksomhed foretager en investering i dit netværk og datasikkerhed, skal det passe ind i det eksisterende IT-økosystem. Det nytter ikke noget, at din data kun kan bruges af en enkel komponent, det skal rundt i hele netværket.” ”Virksomheder der tænker netværk holistisk formår at styrke deres drift, sikkerhed, og evne til innovation. Det er fremtidens konkurrencemodel”

3. DIGITALE ADGANGSKORT – GIV KUN ADGANG TIL DE RETTE

Vis brugere og enheder med forskellige adgangsniveauer – kun særligt godkendte får adgang til kritisk infrastruktur.

4. OVERVÅGNING – HOLD ØJE MED TRAFIKKEN

Et overvågningslag følger aktiviteten i hele netværket og reagerer på mistænkelig adfærd.

5. KRITISK INFRASTRUKTUR – BESKYT DET VIGTIGSTE

Placér virksomhedens vigtigste data og systemer inderst, beskyttet af de øvrige sikkerhedslag.

HVEM ER NLOGIC?

nLogic specialiserer sig i tilgængelige

og robuste netværk, datacentre og IT-

infrastruktur. Virksomheden er grund-

lagt i Norge og blev etableret i Danmark i 2022 med hovedkontor i København.

Som en del af løsningerne tilbyder nLogic også rådgivning, konsulentydelser og

support. Løsningerne er målrettet service provider-segmentet og virksomheder,

kommuner og regioner, som håndterer kritisk infrastruktur.

Når kompleksiteten vokser, mister du let overblikket Men sikkerhed handler ikke om mere støj, det handler om kontrol. Vi hjælper dig med at gøre cloud-, data- og AI-sikkerhed forståelig og håndterbar.

Fra cloud-arkitektur til AI bygger vi sikkerhed ind i alt. Zure er Microsoft-specialiseret partner med avancerede kompetencer i Cloud Security, Microsoft Fabric og AI-sikkerhed.

Microsoft AI Cloud Partner

Skal vi snakke? Kontakt Christian eller Kenneth via +45 88 74 65 75 eller scan koden for at lære, hvordan din organisation kan opnå ro i en kompleks sikkerhedsverden.