En beredskabsplan for it-nedbrud skal fortælle, hvilke opgaver organisationen fortsætter med, hvordan de udføres under begrænsede forhold, og hvem der beslutter, hvornår normal drift kan genoptages. Den skal fungere, når systemer, kommunikation eller nøglepersoner ikke er tilgængelige. En plan, der alene beskriver gendannelse af servere, løser kun en del af opgaven.
Denne guide tager udgangspunkt i en fiktiv dansk grossist, hvis ordresystem bliver utilgængeligt en mandag morgen. Eksemplet viser konkrete valg om ordreoptagelse, levering og kundekommunikation. Tidsmål og kapacitet er valgte forudsætninger i eksemplet, som illustrerer hvordan en virksomhed kan begrunde sin egen plan.
Kontinuitet og teknisk genopretning har forskellige resultater
Forretningskontinuitet handler om at opretholde prioriterede aktiviteter. Teknisk genopretning handler om at få systemer og data tilbage i en kontrolleret tilstand. Et genstartet ordresystem er ikke i sig selv bevis for, at bestillinger modtaget under nedbruddet er registreret korrekt eller kan leveres.
Sikkerdigital beskriver beredskabsplanens organisering og nødprocedurer med udgangspunkt i kritiske processer og systemer. Siden er rettet mod myndigheders arbejde med informationssikkerhed; dens organisatoriske fremgangsmåde kan også inspirere en virksomhed. Den er ikke i sig selv en universel lovpligtig virksomhedsskabelon.
Datatilsynets vejledning om backup forklarer sammenhængen mellem kopieringsinterval, muligt datatab og den tid, det tager at genetablere. Brug den til at forbinde forretningens behov med en realistisk genopretningsplan med RTO og RPO.
1. Beslut hvilke aktiviteter planen omfatter
Sæt navne på de ydelser, der skal beskyttes. Grossistens plan omfatter modtagelse af ordrer, kundebeskeder, vareudlevering og afstemning efter nedbrud. Den omfatter ikke automatisk enhver intern rapport. Den afgrænsning gør det muligt at placere medarbejdere og systemressourcer efter det vigtigste behov.
En ansvarlig fra forretningen skal forklare konsekvenserne over tid. Efter en times nedbrud kan kunder måske vente. Efter en halv dag kan manglende leveringsbeskeder påvirke deres bemanding. Efter flere dage kan virksomheden mangle overblik over lager og betalingsforpligtelser. Konsekvenserne kan også ramme personer, eksempelvis hvis oplysninger om en vigtig levering ikke længere er tilgængelige.
Kortlæg derefter afhængighederne. Ordreoptagelse kan kræve kundereferencer, telefoni, en formular og medarbejdere med viden om produkterne. Vareudlevering kan derudover kræve opdateret lagerstatus. Systemkortlægningen hjælper med at afsløre, om nødløsningen bruger den samme identitetstjeneste eller netværksforbindelse som det system, der er nede.
2. Udfyld analysen af afbrydelsens konsekvenser
En konsekvensanalyse for kontinuitet, ofte kaldet BIA, kan holdes overskuelig ved at beskrive aktivitet, konsekvens, minimumsydelse og forudsætninger i samme række. Den er forskellig fra en GDPR-konsekvensanalyse, selv om vigtige risici for personer kan indgå i begge.
| Aktivitet hos grossisten | Konsekvens ved længere afbrydelse | Valgt minimumsydelse i eksemplet |
|---|---|---|
| Ordremodtagelse | Kunder kan ikke planlægge leverancer | Modtag foreløbige bestillinger med reference og forbehold |
| Lagerbekræftelse | Forkerte løfter eller dobbeltsalg | Bekræft kun beholdning, som lageransvarlig kan kontrollere |
| Vareudlevering | Forkert vare eller modtager | Udlever kun efter den godkendte manuelle kontrol |
| Fakturering | Ophobede opgaver og risiko for dubletter | Udskyd nye fakturaer og bevar koblingen til nødordrer |
Ledelsen vælger i eksemplet, at modtagelse af foreløbige bestillinger skal kunne begynde inden to timer. Det er et driftsmål, som virksomheden skal afprøve. Det siger ikke, at systemet kan gendannes inden to timer, eller at GDPR fastsætter netop denne frist.
Noter også kapaciteten. Hvis to medarbejdere kan behandle 20 nødordrer i timen, men normalt modtager 80, er løsningen ikke fuld normaldrift. Planen skal derfor prioritere henvendelser og kommunikere forventet ventetid. Ellers flyttes køen blot fra en applikation til en telefon, uden at nogen har besluttet konsekvensen.
3. Vælg scenarier, der udfordrer forskellige antagelser
Begynd med et afgrænset scenarie, og udvid derefter. I det første er ordresystemet nede, mens telefoni og mail fungerer. I det næste er identitetstjenesten også utilgængelig. I et tredje kan it-leverandøren ikke kontaktes, eller virksomhedens normale kontor kan ikke benyttes.
En cyberhændelse kan kræve, at nogle systemer bevidst holdes isoleret. Planen må derfor ikke forudsætte, at en medarbejder må genåbne en forbindelse for at fremskynde arbejdet. Den sikkerhedsansvarlige og driftslederen skal have en aftalt måde at træffe beslutning om teknisk frigivelse på.
Undersøg også fravær af nøglepersoner. Hvis kun lagerchefen kender den manuelle kontrol, er beredskabet sårbart selv med fungerende teknik. En stedfortræder skal kunne finde instruktionen og udføre opgaven uden at få udleveret flere oplysninger eller rettigheder end nødvendigt.
4. Den udfyldte nødprocedure for nye ordrer
Grossistens salgsmedarbejder tager imod en bestilling klokken 09.25 og opretter nødreference N014. Formularen indeholder kundereference, kontaktperson, nødvendige varer, ønsket leveringsdato og tidspunkt for modtagelse. Der registreres ingen betalingskortoplysninger. Kunden får at vide, at lager og levering endnu ikke er bekræftet.
Lageransvarlig kontrollerer to af de tre ønskede varer fysisk. Disse kan reserveres efter nødproceduren, mens den tredje afventer sikker lagerstatus. Salgsmedarbejderen meddeler kunden præcis denne opdeling. Ordren markeres derfor som delvist bekræftet, ikke som fuldt accepteret.
Når systemet genetableres, indtastes ordren med samme nødreference. En anden medarbejder kontrollerer, at der ikke allerede findes en ordre med den reference. Vareudleveringen kobles til ordren, og de midlertidige oplysninger afvikles efter den besluttede procedure. Den kontrol forebygger både manglende leverancer og dobbelte fakturaer.
Dette er beredskabets konkrete leverance: en forsvarlig ordrevej gennem afbrydelsen. Antallet af tilgængelige reservecomputere kan være en forudsætning, men er ikke i sig selv resultatet.
5. Fordel mandat og kommunikation
Planen skal angive, hvem der aktiverer nødarbejdet, hvem der kommunikerer til kunder, og hvem der vurderer tekniske oplysninger. I eksemplet aktiverer driftsdirektøren beredskabet, salgslederen styrer ordrekøen, og it-ansvarlig koordinerer leverandøren. Juridisk eller databeskyttelsesansvarlig vurderer, om hændelsen også berører anmeldelses- og underretningspligter.
En kundemeddelelse kan i eksemplet lyde: Vores ordresystem er midlertidigt utilgængeligt. Vi modtager foreløbige bestillinger telefonisk, men bekræfter først levering efter lagerkontrol. Vi giver næste status klokken 13. Meddelelsen lover ikke, at systemet er gendannet på det tidspunkt; den lover en status, som virksomheden selv kan levere.
Forbind planen med håndtering af brud på persondatasikkerheden. En driftsafbrydelse er ikke automatisk anmeldelsespligtig, men utilgængelighed kan være et brud, og risikovurderingen skal gennemføres, når betingelserne er til stede. Beredskabets interne statusmøder ændrer ikke lovbestemte frister.
6. Beskyt oplysningerne i nødløsningen
Nødarbejde kan skabe nye kopier og delingsveje. En privat mailkonto eller et offentligt regneark kan virke hurtigt, men medfører en ny risiko. Udpeg på forhånd en godkendt løsning med passende adgang, de nødvendige felter og en procedure for tilbageførsel og sletning.
Ved papirformularer skal det fremgå, hvor de opbevares, hvem der må se dem, og hvordan de afstemmes. En kontaktliste til kriseledelsen kan være nødvendig uden for den normale portal, men behøver ikke indeholde hele personalekartoteket. Begræns den til de aktuelle roller og nødvendige kontaktoplysninger.
Adgangskodepolitikken og nødadgange skal hænge sammen med beredskabet. En adgang, der kun virker, hvis en utilgængelig identitetstjeneste godkender den, løser ikke netop dét scenarie. Omvendt må en nødadgang ikke stå åbent til rådighed for almindelig daglig drift.
7. Afprøv planen med et målbart resultat
Grossisten gennemfører en øvelse med 12 fiktive ordrer. Målet er at starte nødmodtagelsen inden to timer og føre alle ordrer sikkert tilbage til det gendannede system. Øvelsen måler faktisk opstart, registrerede oplysninger, kundebeskeder og afstemning. Den afbryder ikke produktionssystemet uden et særskilt godkendt teknisk forløb.
Resultatet er, at nødmodtagelsen starter efter 75 minutter, men to af de 12 ordrer mangler en entydig reference. Opstartsmålet er nået, mens afstemningen ikke er sikker. Salgslederen får ansvar for at ændre formularen, så referencen tildeles før udfyldelse. Den næste afprøvning følger netop de to fejlscenarier og dokumenterer, om rettelsen virker.
Brug sikkerhedslogs, leverandørstatus og medarbejdernes observationer til at forstå tidslinjen. Hold observerede hændelser adskilt fra antagelser. En efterfølgende forklaring om, at systemet nok var tilgængeligt, er svagere end et dokumenteret login og en kontrolleret ordrebehandling.
Godkend tilbagevenden og hold planen ajour
Normal drift genoptages først, når de relevante systemer er frigivet, køen er afstemt, og forretningen kan arbejde forsvarligt. Beslut hvem der giver beskeden, og hvad der sker med midlertidige adgange, kopier og udstyr. En teknisk status som online bør ikke automatisk afslutte beredskabet.
Forankr planen i informationssikkerhedspolitikken og gennemgå den ved ændring af kritiske systemer, leverandører eller aktiviteter. Organisationer omfattet af NIS2 eller DORA skal desuden knytte planen til de konkrete gældende krav i deres område. De to regelsæt har forskellige anvendelsesområder og må ikke sammenblandes til et fælles standardkrav for alle virksomheder.
Gem den aktuelle plan, kontaktveje, øvelsesresultater og de udestående rettelser på et sted, som også er anvendeligt i de valgte scenarier. Referencerne er kontrolleret 8. september 2026; de udfyldte driftsmål er eksempler på organisationens egne valg.