Backup og beredskab

Hændelseshåndtering

Den måde, en virksomhed opdager, begrænser, fjerner og kommer sig over en sikkerhedshændelse på – fra første mistanke til læring bagefter.

Også kaldt: incident response, incident management, håndtering af sikkerhedshændelser, krisehåndtering ved cyberangreb

Kort svar

Hændelseshåndtering er den praktiske håndtering af en sikkerhedshændelse – fx en hacket mailkonto, ransomware eller en mail med persondata sendt til den forkerte. Det dækker at opdage og vurdere hændelsen, isolere de ramte systemer, fjerne årsagen, genetablere driften, indberette til de rette myndigheder og lære af forløbet. Beredskabsplanen er planen på forhånd; hændelseshåndteringen er det, I gør, når det sker.

Hændelseshåndtering i fem faser

Opdag og vurdérHvad er ramt, hvor alvorligt, og hvem skal involveres?
IsolérAfkobl ramte enheder og spær kompromitterede konti.
Fjern årsagenFind angriberens vej ind og luk den.
GenetablérGendan fra en ren backup og overvåg for nye tegn.
LærGennemgå forløbet og ret procedurer og opsætning.

Hændelseshåndtering vs. beredskabsplan

	Beredskabsplan	Hændelseshåndtering
Hvornår?	Før hændelsen	Under og efter hændelsen
Hvad er det?	Dokument med roller, kontakter og prioriteter	De konkrete handlinger
Hvem?	Ledelse og IT i fællesskab	De udpegede roller plus eksterne hjælpere

To sider af samme sag

Godt at vide: Sikkerdigital.dk anbefaler som minimum en nødplan, hvis I ikke har en egentlig IT-beredskabsplan. Styrelsen for Samfundssikkerhed og politiet har lavet en nødplan målrettet virksomheder med under 50 ansatte, som kan udfyldes på forhånd.

De første timer

Sikkerdigital.dk skriver, at det første er at finde omfanget af angrebet. Er det én computer, kan den ofte afkobles fra internettet og netværket, nulstilles og gendannes. Er flere systemer ramt, er opgaven større. Styrelsen for Samfundssikkerhed (SAMSIK) anbefaler i sin ransomware-vejledning bl.a.:

Isolér inficerede enheder ved at afkoble dem fra alle netværk – også enheder, der har været forbundet med dem.
Søg hjælp hos IT-sikkerhedseksperter. SAMSIK anbefaler eksterne konsulenter, hvis I ikke selv har kompetencer i efterforskning (forensics).
Bevar spor: Indsaml relevante logs fra alle systemer. De viser, hvad angriberen har gjort, og hvor langt tilbage I skal gendanne fra.
Skift adgangskoder, også for administratorer – men sørg for ikke at lukke jer selv ude.
Gendan kontrolleret fra en backup, der ikke er inficeret, gerne isoleret, før systemerne kobles på netværket igen.

Vær opmærksom: Sluk ikke bare alt i panik. Afkobling fra netværket stopper spredningen, mens slukning kan slette spor i hukommelsen. Følg jeres plan, og spørg en specialist, hvis I er i tvivl.

Hvem skal kontaktes?

Hvem	Hvornår
IT-leverandør eller -ansvarlig	Straks – de kender jeres systemer
Datatilsynet	Ved brud på persondatasikkerheden, om muligt inden 72 timer
Politiet	Ved kriminalitet, fx svindel eller afpresning
Styrelsen for Samfundssikkerhed	Via virk.dk; obligatorisk for virksomheder omfattet af NIS2
Bank	Straks, hvis der er overført penge
Forsikringsselskab	Efter policens vilkår, hvis I har en cyberforsikring

Typiske kontakter ved en hændelse

Godt at vide: Ifølge Datatilsynet skal et brud anmeldes uden unødig forsinkelse og om muligt inden 72 timer, medmindre det ikke indebærer en risiko for de berørtes rettigheder. Anmeldelsen sker via virk.dk. Gem en kopi af den indsendte formular.

Efter hændelsen

SAMSIK anbefaler, at krisestaben ikke opløses, før genetableringen er gennemført eller har en klar tidsplan, dokumentationen er sikret, og kommunikationen er afsluttet. Bagefter bør forløbet gennemgås, og læringen omsættes til konkrete ændringer – i opsætning, procedurer og træning.

Eksempel: En medarbejder hos en ejendomsadministrator opdager, at hendes mailkonto har sendt phishingmails til kunderne. IT spærrer kontoen, nulstiller adgangskode og MFA, fjerner en skjult videresendelsesregel og gennemgår loggen for, hvilke mails angriberen har kunnet læse. Fordi postkassen indeholdt lejeres persondata, vurderer virksomheden sammen med IT, om bruddet skal anmeldes til Datatilsynet.

Typiske fejl

Ingen ved, hvem der må beslutte, at systemer skal lukkes ned.
Kontaktoplysningerne ligger kun i de systemer, der er ramt. Hav dem også på papir.
Man gendanner fra en backup, der selv er inficeret – og bliver ramt igen.
Fristen for at anmelde til Datatilsynet bliver glemt i travlheden.

Spørgsmål I kan stille

Ved vi, hvem der gør hvad, hvis vi bliver ramt i morgen – og ligger listen også på papir?
Hvem hos os kan beslutte at lukke systemer ned?
Har vi adgang til logs, der rækker langt nok tilbage?
Er vi omfattet af NIS2, og hvilke indberetningsfrister gælder i så fald for os?
Har vi øvet et scenarie inden for det seneste år?

Hvornår giver det mening at få hjælp?

Er I ramt lige nu, så kontakt jeres IT-leverandør med det samme. Furesø Data hjælper kunder med akut håndtering og med at lave en IT-beredskabsplan på forhånd.

Spørgsmål og svar

Skal vi betale løsesum ved ransomware?

Myndighederne fraråder generelt at betale, bl.a. fordi der ikke er garanti for at få data tilbage. Beslutningen har også juridiske og økonomiske sider – tal med politiet, jeres rådgivere og eventuelt forsikringsselskab.

Skal vi anmelde til politiet, selvom vi har løst problemet?

Det anbefales at anmelde cyberkriminalitet. Det kan også være en forudsætning for dækning, hvis I har en cyberforsikring.

Forbehold: Teksten er en generel forklaring og ikke juridisk rådgivning. Anmeldelsespligten for persondatabrud følger af databeskyttelsesforordningen (art. 33–34); indberetningspligter for NIS2-omfattede virksomheder følger af cybersikkerhedsloven. Se datatilsynet.dk og samsik.dk.

Kilder (tjekket 31. oktober 2026)

Relaterede ord

Beredskabsplan Ransomware Logning Backup NIS2

Tilbage til IT-ordbogen