Beredskabsplan på 1 side til SMV: fra kaos til kontrol

Executive Summary

Phishing, konto-overtagelser og leverandørnedbrud rammer også velopdaterede virksomheder. I går udgav vi en artikel om patching den 26. januar 2026. Patching er vigtigt, men hændelser forsvinder ikke. NIS2 gør håndtering og rapportering til et ledelsesansvar, og GDPR kræver hurtige beslutninger når persondata er berørt. Uden en enkel rutine ender beslutninger i panik og forretningstab.

Løsningen er en incident response der er ledelsesvenlig og kan dokumenteres: en plan på én side, en opdateret kontaktliste og en fast øvelsesrytme. Det tager kaos ud af krisen, reducerer tab og skaber beviser til bestyrelse, kunder og forsikring. Denne guide viser, hvordan du gør det i en dansk SMV med minimal administration og tydelige roller.

Med Forkant™ kan din virksomhed arbejde proaktivt, så beredskab bliver en forretningsdisciplin på linje med økonomi og drift. Artiklen kobler konkrete skridt til relevante krav i NIS2 og GDPR og trækker på anerkendte rammer som NIST SP 800-61, ENISA, NCSC og CISA.

Hvorfor en 1-sides plan virker i praksis

Ledelsen har brug for klarhed, ikke tykke manualer. Når noget går galt, er opgaven at tage de rigtige beslutninger hurtigt, kommunikere roligt og starte forretningen op igen. En 1-sides plan fungerer, fordi den kun rummer det, der bruges i realtid: hvem der leder indsatsen, hvem vi ringer til, hvad vi altid gør de første 60 minutter, og hvordan vi informerer kunder, medarbejdere og myndigheder.

Planen skal være i øjenhøjde med forretningen. Derfor oversætter vi it-sprog til roller og ansvar, som enhver leder kender. Det skaber tryghed og gør det nemt at træne. Samtidig er det dokumenterbart over for bestyrelse og kunder, og det hjælper jer med at blive NIS2-klar. Hvis I mangler et overblik over jeres nuværende sikkerhedsopsætning, så start med et sikkerhedstjek og byg planen ovenpå.

Roller og beslutningsret på én side

Udpeg få navngivne roller med klare beslutningsrammer. Navne og telefonnumre står i kontaktlisten, ikke i planen. Sådan undgår du versionering og dobbeltarbejde. Rollenavne går igen på tværs af hændelsestyper, så du kan træne dem kvartalsvis.

Et simpelt rolleopslag kan se sådan ud:

Incident Lead. Styrer beslutninger og prioriterer indsatsen. Aktiverer planen, godkender kommunikation og eskalering.
IT-ansvarlig. Koordinerer tekniske tiltag. Afskærmer, indsamler beviser, genskaber drift og logning.
Kommunikationsansvarlig. Udarbejder beskeder til kunder, medarbejdere og pressen. Sikrer ét talerør.
Juridisk og GDPR. Vurderer persondata, notifikationspligt og dokumentation. Forbereder anmeldelse til Datatilsynet.
Leverandør- og forsikringskontakt. Tager dialogen med kritiske leverandører og cyberforsikring.

Rollerne kan bæres af få personer i en SMV. Det vigtigste er, at det er klart hvem der siger go, og hvornår der eskaleres til direktør eller bestyrelse. For ledelsesforankring og governance kan en målrettet workshop for ledelse og bestyrelse skabe fælles sprog og ansvar.

De første 60 minutter ved en hændelse

Det første kvarter sætter tonen. Din plan bør indeholde en kort tjekliste, som alle kender. Den bør være uafhængig af hændelsestype og kompatibel med kendte rammer som NIST SP 800-61 og vejledninger fra NCSC og CISA.

Stop skaden. Afbryd adgang der misbruges, isoler berørte enheder og konti, og deaktiver kompromitterede tokens. Bevar nødvendige logs.
Bevar beviser. Notér tidspunkter, skærmbilleder og relevante logs, så I kan forstå forløbet og dokumentere beslutninger.
Aktiver roller. Incident Lead samler de relevante personer og udpeger en kommunikationsansvarlig.
Overblik på 15 minutter. Hvad er påvirket, og hvad er ikke. Hvilke kritiske processer er berørt. Hvad kan holdes i gang.
Kommunikér kort. Informer internt med simple beskeder. Aftal, hvad siges til kunder, og hvem gør det. Brug kladde fra planen.

For ransomware og andre driftstruende angreb anbefaler CISA en kombination af isolering, kontakt til leverandører og bevidsthed om afpresningstaktikker. Se CISAs guide. NCSC har gode råd om at drive incident management som en disciplin, også i mindre organisationer. Se NCSC.

Kontaktliste der virker når det brænder

Kontaktlisten er brugsdelen af din plan. Den bør ligge i et delt ark og være tilgængelig offline. Hold den tæt på hændelsesforløbet, men adskilt fra selve planen, så opdateringer er nemme.

Internt. Incident Lead, it-ansvarlig, kommunikation, juridisk, HR, direktør og stedfortrædere.
Leverandører. Driftspartner, cloudtjenester, domæneregistrator, M365, tele, backup, SOC, hosting og udviklingshuse.
Myndigheder og netværk. Politiet, Datatilsynet, eventuel sektor-CERT eller CSIRT.
Forsikring. Policenummer, hotline og krav til dokumentation.
Kunder og partnere. Nøglekunder, aftalte kontaktveje og SLA.

Ved persondata skal I kunne vurdere anmeldelsespligt til Datatilsynet. GDPR kræver som udgangspunkt anmeldelse af brud på persondatasikkerheden uden unødig forsinkelse og senest 72 timer, hvis der er risiko for fysiske personers rettigheder. Se GDPR.

Tabletop-øvelse hver kvartal

Ingen plan overlever første kontakt med virkeligheden uden træning. En 90 minutters tabletop-øvelse hver kvartal gør en verden til forskel. Den giver jer fællestræning i roller, styrker samarbejdet på tværs og skaber beviser til ledelsen.

Byg øvelsen sådan:

Forberedelse. Vælg scenarie som phishing med kontoovertagelse, leverandørnedbrud eller ransomware.
Mål. Test beslutningsret, kommunikation og 60-minutters tjeklisten. Undgå tekniske detaljer.
Agenda. 10 min intro, 40 min scenarie i to akter, 30 min debrief, 10 min forbedringsliste med ansvar og deadline.
Bevis. Gem deltagerliste, beslutningslog og forbedringspunkter. Del kort status i ledelsen.
Følg op. 2 uger senere afrapporterer ansvarlige fremdrift. Justér plan og kontaktliste.

ENISA tilbyder vejledninger til etablering af beredskab og øvelser, som også er anvendelige for mindre virksomheder. Se ENISA. For planens struktur og livscyklus kan du hente inspiration i NIST SP 800-61.

Krav og forventninger fra NIS2, GDPR og cyberforsikring

NIS2 er implementeret i dansk lovgivning og placerer ledelsesansvar for cybersikkerhed hos den øverste ledelse. Der stilles krav om styring, beredskab og hurtig håndtering af væsentlige hændelser. En enkel og trænet proces gør jer mere klar til at leve op til krav om hurtig vurdering, eskalering og rapportering. Læs kildeteksten i NIS2.

For GDPR handler det om at kunne vurdere, om et brud medfører risiko for de registrerede og om der derfor skal anmeldes til Datatilsynet uden unødig forsinkelse og senest 72 timer. I skal kunne dokumentere beslutningen. Se kilden GDPR.

Mange cyberforsikringer forventer, at I har en dokumenteret beredskabsplan, træner den og kan fremlægge beslutningsjournal, kontaktliste og tekniske beviser. En fast øvelse gør det lettere at opfylde policens krav og at modtage hurtig assistance, hvis uheldet er ude.

1-sides skabelon du kan kopiere i dag

Kopier denne struktur ind i jeres intranet eller delte mappe. Print den og læg den i mødelokalet. Hold den fri for detaljer, og henvis i stedet til kontaktliste, playbooks og politikker.

Formål. Minimere forretningstab og sikre hurtig, koordineret indsats.
Aktivering. Incident Lead kan aktivere planen. Eskalering til direktør ved påvirkning af kritiske processer eller omdømme.
Roller. Incident Lead, IT-ansvarlig, Kommunikation, Juridisk, Leverandørkontakt. Se kontaktliste.
De første 60 minutter. Brug tjeklisten. Start loggen, isoler påvirkede systemer, bevar beviser, overblik, kommunikation.
Kommunikation. Én kanal internt. Kladder til kunder og medarbejdere. Presseafklaring via kommunikationsansvarlig.
Dokumentation. Beslutningslog, tidslinje, kontaktpersoner, indsatser og næste skridt.
Rapportering. Kriterier for notifikation efter GDPR. Vurdering af væsentlig hændelse efter NIS2. Forberedelse af myndighedsdialog.
Genskabelse. Prioriter forretningsprocesser. Verificér backup og adgangsrettigheder. Plan for gradvis genåbning.
Efterbehandling. Læring, forbedringer, opfølgende kommunikation og evidens til ledelse og bestyrelse.

Hvis I ønsker løbende støtte, dokumentation og awareness som samlet pakke, kan Forkant™ være en enkel vej til at holde beredskabet i gang til fast pris. Læs mere på Forkant™, og supplér med awareness træning og en modenhedsanalyse, der adresserer NIS2 og ISO 27001.

Målepunkter der gør beredskab til ledelsesdisciplin

Målepunkter skal være få, men meningsfulde. Det gør det let at rapportere til ledelse og bestyrelse og giver jer en konkret følelse af fremdrift.

MTTD og MTTR. Tid til opdagelse og tid til genskabelse. Rapporter kvartalsvis.
Tabeltop-dækning. Minimum fire om året. Deltagergrad fra ledelse og nøgleleverandører.
Planopdatering. Kontaktliste revideres hver måned. Plan og skabeloner opdateres efter hver øvelse.
Træning. Awareness kvittering og phishing-scorer pr. kvartal.
Evidens. Repository med beslutningslog, øvelsesrapporter og forbedringer. Gennemgås i ledelsen.

Praktisk implementering i en dansk SMV på 30 dage

Det kræver ikke et stort projekt at komme i gang. På 30 dage kan I få en fungerende plan, en kontaktliste og en første øvelse. Brug interne kræfter, og hent sparring hvor det giver mest værdi. Start med et sikkerhedstjek, hvis I mangler overblik over nuværende opsætning.

Dag 1 til 3. Udpeg roller og godkend beslutningsret. Lav komprimeret udkast til 1-sides plan med 60-minutters tjekliste.
Dag 4 til 10. Opbyg kontaktlisten. Indhent aftaler og SLA fra nøgleleverandører. Aftal policy for kommunikation.
Dag 11 til 20. Kør første tabletop på 90 minutter. Vælg scenarie, gennemfør, lær og opdater plan og liste.
Dag 21 til 30. Indfør målepunkter. Aftal kadence for øvelser, rapportering og opdateringer. Læg beviser i fælles mappe.

Når I arbejder struktureret med beredskab, styrker I forretningens modstandskraft, lever op til forventninger fra kunder og myndigheder og giver jer selv ro i maven. Det er kerneidéen i Forkant™. Beredskab er ikke et dokument. Det er en vane.

Næste skridt

Hent denne struktur, udpeg en Incident Lead og planlæg jeres første 90 minutters tabletop i næste kvartal. Inviter en repræsentant fra ledelsen og en kritisk leverandør, og aftal, at I låser 30 minutter i næste bestyrelsesmøde til at gennemgå læringen. Hvis I vil have en faciliteret start, så kig på vores workshop for ledelse og bestyrelse og læs mere om vores tilgang på om os. Når I er klar til at udvide det forebyggende arbejde og dokumentationen, så se Forkant™ og de øvrige ydelser. Find flere artikler og guides på indlæg eller book en dialog via kontakt os.