Indeholder illustrationer skabt med AI
Et it-nedbrud føles først som en teknisk fejl. Få minutter senere kan det blive et forretningsproblem, hvis medarbejderne ikke ved, hvem der træffer beslutninger, eller hvordan kunderne skal informeres. En IT-beredskabsøvelse gør jeres plan praktisk, før situationen bliver alvorlig.
For små og mellemstore virksomheder behøver øvelsen ikke tage flere dage. En realistisk tabletop-øvelse på et par timer kan afsløre uklare roller, manglende kontaktoplysninger og svage punkter i reetableringen. Start med en enkel plan, og test den trin for trin.
Kort fortalt
Brug denne tjekliste til at:
- Vælge ét realistisk scenarie, for eksempel ransomware, kompromitterede konti eller et længerevarende it-nedbrud.
- Beskrive roller, beslutninger og kontaktveje på korte action cards.
- Teste både den tekniske gendannelse og virksomhedens kommunikation.
- Notere alle problemer under øvelsen og give hvert punkt en ansvarlig og en frist.
- Gentage øvelsen, når systemer, leverandører eller medarbejderansvar ændrer sig.
Hvorfor skal en SMV gennemføre en IT-beredskabsøvelse?
En beredskabsplan, der kun ligger i en mappe, er ikke dokumenteret beredskab. I en krise skal medarbejderne hurtigt finde de rigtige oplysninger, også hvis mail, fildrev eller Teams ikke virker. Planen skal også beskrive, hvordan organisationen håndterer cyberangreb.
Øvelsen viser, om organisationen kan:
- opdage og eskalere en hændelse
- prioritere forretningskritiske it-funktioner og tilhørende it-systemer
- holde driften i gang med manuelle arbejdsgange
- kontakte leverandører og relevante samarbejdspartnere
- informere medarbejdere, kunder og ledelse
- gendanne data og systemer i den rigtige rækkefølge
En test afslører ofte praktiske problemer, som en skrivebordsanalyse ikke finder. Måske står leverandørens gamle telefonnummer stadig i planen. Måske ved ingen, hvem der må lukke en bruger eller afbryde et system. Den slags fejl er værdifulde at opdage under kontrollerede forhold.
En god øvelse tester ikke, om medarbejderne kan huske planen. Den tester, om it-beredskabet hjælper dem med at træffe beslutninger i en beredskabssituation under pres.
Start med en enkel og brugbar beredskabsplan
En beredskabsplan skal kunne læses af ledelsen, en systemejer og en medarbejder uden daglig it-erfaring. Lange beskrivelser af alle tænkelige hændelser gør det sværere at finde det relevante under en krise.
Beskriv formål, omfang og kritiske systemer
Start med at beslutte, hvad øvelsen skal teste. Vil I undersøge jeres reaktion på et cyberangreb med ransomware, manglende adgang til en cloudbaseret kontorpakke eller et totalt netværksnedbrud?
Afgræns derefter øvelsen. Vælg de it-systemer, der er afgørende for salg, produktion, økonomi, kundeservice eller lovpligtig drift. Skriv også, hvor længe virksomheden kan arbejde uden hvert system, og hvilke manuelle forretningsgange der findes.
En enkel risikovurdering bør mindst fungere som en tjekliste med:
- det mulige scenarie og dets sandsynlige konsekvenser
- systemets ejer og vigtigste leverandør
- nødvendige kontaktpersoner
- ønsket tid for genoprettelse
- afhængigheder til andre systemer eller data
Fordel roller og ansvar tydeligt
En mindre virksomhed har ofte få personer med flere roller. Det gør ansvarsfordelingen ekstra vigtig. Udpeg en indsatskoordinator, som samler information og sørger for fremdrift. Ledelsen skal kunne træffe beslutninger om prioritering, økonomi og ekstern kommunikation.
Systemejerne har ansvar for deres egne løsninger. De skal vide, hvordan systemet lukkes ned, hvem der kan gendanne det, og hvilke oplysninger der skal bruges ved fejlsøgning. Eksterne leverandører skal fremgå med navn, telefonnummer, aftaleniveau og eskaleringsvej.
Tydelige serviceaftaler kan gøre kontaktveje og ansvar mere overskuelige, især hvis virksomheden ikke har egne it-specialister. Aftalerne bør også beskrive responstider og eskalering. Det sikrer hurtigere hjælp, når en hændelse rammer.
Brug action cards og visuelle hjælpemidler
Et action card er en kort instruktion til en bestemt rolle. Det kan for eksempel beskrive de første fem handlinger for indsatskoordinatoren eller systemejeren. Hold hvert kort på én side, hvis det er muligt.
Action cards kan indeholde:
- Hvad skal rollen gøre først?
- Hvem skal kontaktes?
- Hvilke oplysninger skal samles?
- Hvilke beslutninger kræver ledelsens godkendelse?
- Hvornår skal næste status gives?
Forbered også kommunikationsskabeloner til medarbejdere, kunder og leverandører. I kan bruge farvede kasketter, bordkort eller andre synlige markeringer til krisestaben. Det virker enkelt, men hjælper deltagerne med at se, hvem der har hvilken rolle.
Sådan planlægger I selve øvelsen
En god øvelse kræver en kort drejebog. Den behøver ikke beskrive alle svar på forhånd. Den skal fastlægge rammerne, så deltagerne kan reagere naturligt. Drejebogen kan kobles til de eksisterende rollebeskrivelser og action cards.
Vælg et realistisk scenarie
Tag udgangspunkt i virksomhedens faktiske afhængigheder og den seneste risikovurdering. Et scenarie kan begynde med, at flere medarbejdere ikke kan logge ind. Senere opdager I, at en administratorkonto er kompromitteret, og situationen udvikler sig til et cyberangreb. Backupstatus er uklar, og en vigtig leverandør svarer ikke.
Andre relevante scenarier er:
- et nedbrud i internetforbindelsen
- tab af adgang til filer og økonomisystem
- ransomware på flere arbejdsstationer
- fejl i en cloudtjeneste
- en medarbejder, der har delt oplysninger med en angriber
Start med få oplysninger. Tilføj nye hændelser undervejs, så deltagerne skal prioritere ud fra den information, de faktisk har.
Inviter de rigtige deltagere
Deltagerne bør afspejle den virkelige organisation. Saml en it-beredskabsgruppe med for eksempel en direktør, en økonomiansvarlig, en systemejer og en medarbejder fra kundeservice.
En ekstern facilitator kan styre tiden og stille opfølgende spørgsmål uden selv at være en del af beslutningskæden. Hvis virksomheden bruger eksterne leverandører, bør de deltage i en del af øvelsen. Det viser, om samarbejdet fungerer, når presset stiger, og om serviceaftalerne giver klare kontakt- og eskaleringsveje.
Leverandører kan have teknisk adgang til systemerne, men ledelsen har stadig ansvaret for de forretningsmæssige prioriteringer. Den skelnen skal være tydelig under øvelsen.
Aftal spilleregler og succesmål
Fortæl deltagerne, at øvelsen ikke ændrer produktion eller systemer. Ingen skal lukke konti, slette data eller kontakte kunder uden en forudgående aftale. Brug i stedet fiktive beskeder, og markér tydeligt, når en handling kun er en del af scenariet. Det forebygger misforståelser i en beredskabssituation.
Sæt tre til fem mål for øvelsen. Det kan være, at virksomheden skal identificere beslutningstageren inden for ti minutter, finde et nødnummer eller formulere den første medarbejderinformation. Målene gør evalueringen mere konkret.
Gennemfør en tabletop-øvelse uden at skabe kaos
En tabletop-øvelse foregår typisk rundt om et bord. Deltagerne får scenariet i etaper og forklarer, hvad de vil gøre. Facilitatoren noterer beslutninger, spørgsmål og blokeringer.
Begynd med alarmering og første beslutninger
Start med en kort hændelse, for eksempel at økonomiafdelingen ikke kan åbne filer. Spørg, hvem der modtager alarmen, hvem der vurderer situationen, og hvem der fungerer som indsatskoordinator.
Efterhånden kan et cyberangreb udvikle sig. Flere brugere mister adgang, en leverandør bekræfter mistænkelig aktivitet, og virksomhedens normale kommunikationskanal er utilgængelig. Deltagerne skal vise, hvordan de eskalerer hændelsen og begrænser skaden.
Notér både gode og dårlige beslutninger. Målet er at undersøge arbejdsgangen, ikke at udstille en bestemt medarbejder.
Test kommunikation og risikovurdering
Bed deltagerne formulere den første besked til medarbejderne. Den skal være kort, præcis og fri for unødvendige tekniske detaljer. Medarbejderne skal vide, hvad de skal gøre, hvad de skal undgå, og hvor næste opdatering kommer fra.
Test også kommunikation uden mail. Brug telefonkæde, SMS eller en separat kontaktliste, hvis de normale kanaler er ramt. Aftal, hvem der kommunikerer med kunder og leverandører.
Undervejs skal teamet løbende vurdere:
- hvilke it-systemer der er ramt
- hvilke data der kan være berørt
- hvilke it-funktioner inden for drift, kundeservice og økonomi der skal prioriteres
- hvilke aktiviteter der kan fortsætte manuelt som en del af virksomhedens nødberedskab
- hvornår hændelsen kræver ekstern rådgivning
Gennemgå backup og reetablering
En backup er først værdifuld, når den kan gendannes. Brug en kort tjekliste til at kontrollere adgang, den seneste brugbare sikkerhedskopi og den forventede gendannelsestid.
Planlæg reetablering i en fast rækkefølge. Det kan være identitetsstyring først, derefter netværk, filadgang og forretningssystemer. Den rigtige rækkefølge afhænger af jeres drift.
Dokumentér og test backup regelmæssigt, så I kender både procedurer og ansvar. Under selve øvelsen bør I også kontrollere de praktiske forhold, for eksempel adgangskoder, kontaktpersoner og afhængigheder mellem systemerne.
Evaluer øvelsen og luk hullerne
Evalueringen skal begynde, mens detaljerne stadig er friske. Saml alle deltagere kort efter øvelsen, og spørg, hvor planen hjalp, og hvor den skabte tvivl.
Find de konkrete problemer
Skriv hvert fund som en opgave med en ejer og en frist, og brug en tjekliste til at følge op på status. “Bedre kommunikation” er for upræcist. “Opdater kontaktlisten for internetleverandøren og gem den offline” kan derimod følges op på.
Vurder hvert punkt efter konsekvens og indsats. Manglende backup, uklare administratorrettigheder og svage kontrolpunkter bør normalt prioriteres højere, fordi de kan få større konsekvenser ved et cyberangreb og svække virksomhedens it-sikkerhed.
Brug Plan-Do-Check-Act
DI anbefaler Plan-Do-Check-Act som arbejdsmodel for beredskab. I kan læse DI’s vejledning om beredskab og tilpasse modellen til jeres størrelse.
Planlæg de kritiske systemer og roller. Gennemfør øvelsen. Kontrollér resultaterne gennem evaluering, og kobl fundene til relevante action cards og rollebeskrivelser. Luk derefter hullerne, og opdatér jeres beredskabsplan.
En ny øvelse bør følge, når større systemer, leverandører eller organisatoriske ansvarsområder ændrer sig. Gennemgå også serviceaftaler, kontaktveje og eskaleringskrav ved sådanne ændringer.
Sådan deltager I i Hele Danmark Øver 2026
Virksomheder kan også deltage i Hele Danmark Øver, den nationale cyberberedskabsøvelse i oktober 2026. Ifølge oplysningerne om arrangementet er øvelsen fysisk, interaktiv, gratis og varer tre timer. Deltagerne kan blandt andet træne håndtering af et cyberangreb. Der kan deltage op til to personer fra samme virksomhed pr. arrangement.
Kickoff er angivet til 8. oktober 2026 i Pakhus 11 i København. Oplysninger om lokale arrangementer og tilmelding findes på SikkerDigital.dk’s aktiviteter i cybersikkerhedsmåneden 2026.
Kilderne angiver forskelligt antal lokale aktiviteter, henholdsvis 20 events på 10 lokationer og 35 lokale øvelser. Tjek derfor den aktuelle arrangørside, før I planlægger transport og deltagere.
Brug gerne den nationale øvelse som supplement til jeres egen interne test. Den kan give ledelsen og medarbejderne et fælles sprog for cyberberedskab, mens den interne øvelse viser, om jeres egne kontaktveje og systemer fungerer.
Ofte stillede spørgsmål om it-beredskabsøvelser
Hvor ofte bør en SMV teste sit it-beredskab?
Gennemfør en større øvelse mindst én gang om året. Lav også mindre tests, når der sker væsentlige ændringer. Det kan være en ny it-leverandør, et nyt økonomisystem, ændrede roller eller en større flytning til cloudtjenester.
Hvad skal en it-beredskabsplan som minimum indeholde?
Planen bør indeholde kritiske systemer, systemejere, kontaktoplysninger, serviceaftaler, eskaleringsveje, nødkommunikation, manuelle arbejdsgange, backupoplysninger og en prioriteret plan for reetablering. Hold informationen opdateret, og gem en kopi, der kan tilgås uden virksomhedens normale systemer.
Hvem har ansvaret for internt it-nødberedskab?
Ledelsen har det overordnede ansvar for virksomhedens it-beredskab, prioriteringer og beslutninger. Systemejerne har ansvar for deres løsninger, mens en indsatskoordinator samler hændelsen og sikrer fremdrift. En ekstern leverandør kan bistå med teknik og drift, men ansvaret skal være aftalt på forhånd.
En IT-beredskabsøvelse skal føre til konkrete ændringer
En god øvelse handler ikke om at skrive den længste plan. Den handler om at gøre de første beslutninger tydelige, teste arbejdet med reetablering og finde de problemer, som ellers først ville vise sig under et cyberangreb.
Start med ét scenarie, få de rigtige personer med, og brug resultaterne til at forbedre planen. Når roller, kontaktveje og backup er afprøvet i praksis, får virksomheden større digital modstandskraft og står bedre rustet til at holde driften i gang, selv når it-systemerne svigter.