En beredskabsplan, der skal understøtte NIS2-kravene, må ikke være en isoleret procedure, som alene vedligeholdes af IT-afdelingen. Den skal bygge på en forretningskonsekvensanalyse og en risikoanalyse, fastlægge prioriteringen for genetablering af processer og afprøves regelmæssigt. Planens effektivitet dokumenteres ikke gennem hensigtserklæringer, men gennem organisationens faktiske evne til at træffe beslutninger, aktivere nøddrift, opnå et defineret minimumsniveau og vende sikkert tilbage til normal drift.
Driftskontinuitet er en ledelsesbeslutning
Arbejdet med driftskontinuitet begynder ikke med en procedureskabelon eller en fortegnelse over IT-systemer. Udgangspunktet er de ydelser, produkter og processer, hvor en afbrydelse kan true opfyldelsen af forpligtelser, sikkerheden, efterlevelsen af krav eller virksomhedens finansielle stabilitet. Planens omfang skal fastlægges ud fra en analyse af afbrydelsens konsekvenser for forretningen. Organisationen skal vurdere, hvordan konsekvenserne udvikler sig over tid, hvornår de overstiger det niveau, ledelsen har accepteret, og i hvilken rækkefølge de operationelle kapabiliteter skal genetableres.
IT-afdelingen bør ikke alene fastsætte den maksimalt acceptable afbrydelsestid eller det acceptable tabsniveau. Disse parametre godkendes af ledelsen på baggrund af input fra procesejerne og funktionerne for økonomi, compliance, sikkerhed og teknologi. Procesejeren fastlægger kravene til kontinuitet, mens planejeren koordinerer etablering og vedligeholdelse af løsningen. Uden en fælles beslutningsmekanisme vil IT beskytte infrastrukturen, driften varetage leverancerne, og ledelsen mangle et samlet billede af genetableringsprioriteter og acceptable afbrydelser.
I en produktionsvirksomhed betyder genetablering af planlægnings- eller styringssystemet ikke nødvendigvis, at leverancerne kan genoptages. Produktionen kan fortsat være stoppet på grund af manglende adgang til teknologiske data, fravær af autoriserede operatører, manglende strømforsyning, utilgængelig leverandørkommunikation eller fravær af en godkendt procedure for nøddrift. Operationel robusthed opstår først, når planen omfatter hele processens afhængighedskæde og ikke kun de ressourcer, som IT-afdelingen kontrollerer.
Det er desuden nødvendigt at skelne mellem driftskontinuitet, IT-genopretning, hændelseshåndtering og krisestyring. Driftskontinuitet vedrører opretholdelse eller genoptagelse af processer. IT-genopretning handler om genetablering af teknologi og data. Hændelseshåndtering skal begrænse og håndtere konsekvenserne af en hændelse, mens krisestyring omfatter beslutninger under alvorlige driftsforstyrrelser. Områderne bør anvende fælles scenarier, eskalationstærskler og ansvarsprincipper, men de kan ikke erstatte hinanden.
Først når denne driftsmodel er defineret, kan den holdes op mod de forpligtelser om risikostyring, driftskontinuitet, hændelseshåndtering og ledelsesansvar, der følger af NIS2 og relevant national lovgivning, under hensyntagen til om organisationen er omfattet. En bredere gennemgang findes i materialet NIS2 for produktionsvirksomheder: hvem er omfattet, hvilke forpligtelser indføres, og hvordan forberedes organisationen uden at reducere emnet til IT alene.
Risikoen skal omsættes til et scenarie
Et risikoregister styrer kun beredskabsplanen effektivt, hvis det viser sammenhængen mellem trussel, sårbarhed, aktiv, proces og forretningsmæssig konsekvens. En liste over cybertrusler forklarer ikke i sig selv, hvordan driften opretholdes. Scenarierne bør derfor bygges op omkring konsekvenserne af en afbrydelse, eksempelvis utilgængelighed af et styringssystem, datatab, afbrudt kommunikation, personalemangel eller en utilgængelig leverandør. Forskellige årsager kan føre til samme operationelle situation og kræve samme kontinuitetsstrategi.
Forretningskonsekvensanalysen og risikoanalysen har forskellige, men komplementære funktioner. Den første fastlægger afbrydelsens betydning, hvor hurtigt tabene vokser, og hvornår ledelsens accepterede niveau overskrides. Den anden identificerer mulige hændelseskilder, sårbarheder og effektiviteten af eksisterende kontroller. Den valgte metode og vurderingsskala skal gøre det muligt at sammenligne scenarier og bevidst acceptere restrisiko i overensstemmelse med organisationens risikoappetit.
Antallet af scenarier bør begrænses til særskilte konsekvenser, der kræver forskellige beslutninger, ressourcer eller genetableringsrækkefølger. En separat analyse af enhver teknisk variant gør sjældent planen mere anvendelig. Den gør den derimod vanskeligere at vedligeholde og bruge under tidspres.
| Proces og konsekvens | Scenarie | Kontinuitetsstrategi | Beslutningsejer | Aktiveringskriterium |
|---|---|---|---|---|
| Produktion: manglende linjestyring | Styringssystemet er utilgængeligt, uanset årsagen | Sikker nedlukning, nøddrift og genetablering af styringen efter den fastlagte prioritet | Den driftsansvarlige, som er udpeget i planen | Den forventede utilgængelighed overstiger den acceptable afbrydelsestid, eller arbejdet kan ikke fortsætte forsvarligt |
| Ordrebehandling: manglende data | Transaktionsdata er gået tabt eller er utilgængelige | Overgang til en aftalt alternativ registrering samt kontrol af integritet og genetablering af data | Procesejeren sammen med den person, der er bemyndiget til at godkende genetableringen | Manglende adgang til pålidelige data forhindrer opfyldelse af forpligtelser |
| Kundeservice: ekstern ydelse er utilgængelig | Kommunikationsforbindelsen eller leverandørens ydelse er afbrudt | Aktivering af en alternativ løsning, kontraktuel eskalation og begrænsning af servicens omfang | Ydelsesejeren | Der foreligger ingen bekræftet genetableringstid, før den kritiske tærskel nås |
For hvert scenarie skal organisationen fastlægge den maksimalt acceptable afbrydelsestid, minimumsniveauet for drift, nødvendige ressourcer, genetableringsrækkefølgen og den person, der er bemyndiget til at aktivere planen. Parametrene bør baseres på faktiske nedetider og genetableringstider fra hændelser, fejl og øvelser samt på kontraktkrav til tilgængelighed, leveringstider og rapportering af driftsforstyrrelser. På dette grundlag kan organisationen måle tiden frem til beslutning, opnåelse af minimumsniveauet og fuld genetablering.
Analysen skal omfatte processens faktiske afhængigheder af applikationer, data, infrastruktur, lokationer, forsyninger, nøglekompetencer, IT-leverandører, integratorer og underleverandører. Hvis strategien forudsætter støtte fra en tredjepart, skal dennes tilgængelighed, responstider, eskalationskanaler og alternative løsninger verificeres i praksis frem for alene at blive udledt af kontrakten. Emnet uddybes i NIS2 og forsyningskædesikkerhed: sådan vurderes IT-leverandører, integratorer og underleverandører.
Planen skal føre organisationen gennem afbrydelsen
En anvendelig beredskabsplan beskriver ikke alle tænkelige hændelser. Den guider de ansvarlige gennem de nødvendige beslutninger. Planen skal angive, hvem der konstaterer situationen, hvem der erklærer kontinuitetsberedskab, hvilke processer der skal opretholdes på minimumsniveau, i hvilken rækkefølge kapabiliteter skal genetableres, hvordan krisekommunikationen gennemføres, og på hvilket grundlag undtagelsesdriften afsluttes.
Detaljeringsgraden er passende, når planen reducerer behovet for fortolkning under tidspres uden at erstatte tekniske instruktioner og arbejdsinstruktioner. I større organisationer er en praktisk model at have en overordnet plan, der fastlægger ledelse, eskalation og tværgående samarbejde, suppleret af planer for de enkelte processer.
Aktiveringsproceduren kræver målbare kriterier. Formuleringen »ved en alvorlig fejl« flytter diskussionen om betydningen af »alvorlig« til det værst tænkelige tidspunkt. Et kriterium kan være overskridelse af den acceptable afbrydelsestid, tab af datatroværdighed, manglende mulighed for forsvarlig drift, utilgængelighed af nøglepersoner eller et forventet fald under det minimumsniveau, procesejeren har godkendt. Hver afvigelse skal kobles til en handling, en beslutningsbemyndiget person, en frist for eskalation og den nødvendige registrering. En tilsvarende logik på et andet operationelt niveau beskrives i Reaktionsplan i kontrolplanen – sådan beskrives handlinger, når processen bevæger sig uden for grænserne.
Roller bør knyttes til funktioner og ikke kun til navngivne personer. Ansvarsmatricen skal omfatte stedfortrædere, mandat, tilgængelighed samt primære og alternative kontaktkanaler. En navngiven kontaktliste kan vedligeholdes som et styret bilag, så personaleændringer ikke kræver en fuld revision af planen.
Ledelsen bør træffe beslutninger, der ligger uden for det godkendte operationelle mandat, herunder accept af væsentlig forretningsrisiko, iværksættelse af ekstraordinære tiltag eller kommunikation af strategisk betydning. Beslutningen om at aktivere en på forhånd godkendt nøddrift bør derimod placeres så tæt på processen som muligt.
Hvis ordresystemet bliver utilgængeligt, kan den vagthavende bekræfte utilgængeligheden og den forventede afbrydelsestid, procesejeren aktivere den alternative registrering, og kontinuitetskoordinatoren eskalere hændelsen, når den fastlagte tærskel nås. Planen skal beskrive begrænsningerne ved en sådan omgåelse: kapacitet, maksimal anvendelsestid, krav til beskyttelse og dataintegritet, nødvendige manuelle afstemninger samt den efterfølgende registrering i systemet.
Normal drift må først genoptages, når løsningens stabilitet, dataenes fuldstændighed og afstemningen af manuelt gennemførte transaktioner er bekræftet. Registreringerne skal gøre det muligt at vurdere tiden frem til beslutning, opnåelse af minimumsniveauet og fuld genetablering.
De største tab opstår i grænsefladerne mellem planerne
Tabets omfang afgøres ikke alene af fejlens årsag. Afbrydelsen forlænges også af ventetid på godkendelser, uklar klassificering af hændelsen, modstridende genetableringsprioriteter og manglende viden om afhængigheder mellem processer, systemer og leverandører. Hændelseshåndteringsplanen skal først og fremmest understøtte registrering, vurdering, begrænsning og håndtering af hændelsen. Beredskabsplanen skal opretholde driften på det accepterede niveau. Begge mekanismer skal definere fælles overdragelsespunkter for information og beslutninger: hvem konstaterer, at kontinuiteten er truet, hvem aktiverer nøddriften, og hvem godkender tilbagevenden til normal drift.
Den tekniske genetableringsprioritet skal udspringe af procesprioriteten, men kan ikke altid afspejle den direkte. Et system, der understøtter den vigtigste proces, kan kræve, at identitets-, netværks-, database- eller integrationstjenester startes først. Samtidig skal dataintegritet, korrekt opstartssekvens og sikkerhedsmekanismer opretholdes. Sammenhængen mellem forretningsmæssige og tekniske prioriteter kontrolleres ved at sammenholde processens krav til tilgængelighed med de faktiske resultater fra test af backupgendannelse, det acceptable datatab og infrastrukturens afhængigheder.
Driften kan ønske at genoptage ordremodtagelsen før afregningen, mens IT planlægger at genetablere afregningssystemet først, fordi det indeholder det centrale kunderegister. Hvis afhængigheden ikke er afklaret på forhånd, træffes beslutningen under pres, og den manuelle løsning kan skabe data, som efterfølgende ikke kan afstemmes forsvarligt. Situationen skal vurderes ud fra faktiske tider for registrering, eskalation, beslutning og genetablering samt testresultater, der bekræfter dataenes fuldstændighed og integritet.
En tilsvarende mangel opstår ved grænsen til leverandørens ansvar. En kontraktuel tilgængelighedsforpligtelse kan ikke erstatte en navngiven eller funktionsbaseret eskalationsvej, aftalte genetableringsparametre, adgang til oplysninger om forstyrrelsens udvikling eller en forpligtelse til at deltage i øvelser. Kravene fra kritiske processer skal sammenholdes med kontraktvilkårene og leverandørens faktiske kapabilitet. Først derefter kan organisationen bevidst beslutte, om den vil opretholde en reserveløsning, acceptere nedetid eller anvende egne eller eksterne ressourcer.
Budgettet bør adressere mangler i kapabiliteter frem for at finansiere antallet af dokumenter. Investeringer kan vedrøre yderligere redundans, kortere beslutningsveje, hyppigere genetableringstest, ændrede kontraktvilkår eller en alternativ måde at gennemføre processen på. En metode til at strukturere disse omkostninger beskrives i Hvad koster implementering af NIS2 og uKSC – sådan opbygges et budget til audit, dokumentation, uddannelse og sikkerhedsforanstaltninger uden kostbare fejl.
Øvelsen skal afprøve beslutningerne
En kontinuitetsøvelse må ikke begrænses til oplæsning af proceduren eller registrering af deltagernes fremmøde. Den skal afprøve en klart formuleret hypotese, eksempelvis om organisationen kan aktivere en alternativ proces uden det primære system, bevare kontrollen med de registrerede data og afstemme dem forsvarligt, når ydelsen er genetableret.
Øvelsesprogrammet bør udvikles trinvist: fra gennemgang af roller og tabletop-øvelser over test af en udvalgt procedure eller genetablering til teknisk-operationelle øvelser med deltagelse af forretningen, IT, ledelsen og leverandører. Omfanget skal øges i takt med risikoen, processens betydning og organisationens modenhed.
Scenariet skal fremtvinge beslutninger under forhold, der ligner en reel driftsforstyrrelse. Det kan omfatte ufuldstændige oplysninger, tidspres, prioriteringskonflikter og utilgængelighed af en væsentlig afhængighed, eksempelvis en godkendelsesansvarlig, en leverandørydelse eller en ajourført kontaktliste. Øvelsen må dog ikke udformes som en fælde for deltagerne. Det er systemet, der vurderes: ansvarsfordelingen, informationskvaliteten, procedurernes gennemførlighed og evnen til at eskalere – ikke den enkelte medarbejder.
Ledelsen skal deltage, når scenariet kræver accept af risiko, ændring af prioriteter eller aktivering af en omkostningstung alternativ løsning. Leverandøren bør inddrages, hvis dennes reaktion er en forudsætning for processens kontinuitet.
En øvelse kan eksempelvis begynde med, at ordrebehandlingssystemet bliver utilgængeligt. Herefter oplyser øvelseslederen, at datakopien er ufuldstændig, og at tjenesteudbyderens svar er forsinket. Teamet skal beslutte, om manuel behandling skal aktiveres, hvilke ordrer der kan modtages, og hvordan registreringerne skal mærkes for at undgå dubletter og tab af dataintegritet efter genetableringen.
Under øvelsen skal tiden til registrering af afbrydelsen, eskalation, aktivering af kontinuitetsberedskabet, opnåelse af minimumsniveauet og genetablering måles. Samtidig vurderes kvaliteten af informationsflowet og registreringerne, brugen af forældede kontaktoplysninger, mislykkede eskalationer og de trin i planen, som ikke kunne gennemføres. De opnåede tider skal sammenholdes med de godkendte kontinuitetsmål.
Øvelsernes hyppighed og form bør fastlægges ud fra risiko, procesændringer, resultater fra tidligere test og afhængighedernes betydning – ikke alene ud fra en årsplan. En varslet øvelse er bedst egnet til læring og rolleafklaring. En uvarslet øvelse kan afdække den faktiske beredskabsevne, men kræver styring af den operationelle risiko. Produktionssystemet bør kun anvendes, hvis omfang, sikkerhedsforanstaltninger og muligheden for at afbryde testen er godkendt på et oplyst grundlag. I andre tilfælde er et testmiljø mere hensigtsmæssigt.
Hver øvelse skal afsluttes med tiltag, der har en ansvarlig, en frist, et effektivitetskriterium og en beslutning om opfølgende test. Andelen af rettidigt afsluttede tiltag er en nyttig indikator, men statussen »gennemført« dokumenterer ikke i sig selv en forbedring. Resultatet af den opfølgende test er afgørende. En systematisk tilgang til scenarier, protokoller, korrigerende handlinger og målepunkter beskrives i Sådan opbygges et bibliotek af kvalitetsskabeloner: FMEA, Control Plan, 8D, audit, CAPA og KPI.
Luk styringssløjfen med evidens og ledelsens evaluering
Et komplet sæt procedurer dokumenterer ikke i sig selv organisationens evne til at opretholde driften. En troværdig evidenskæde skal forbinde de godkendte forudsætninger fra risiko- og kontinuitetsanalyserne, procesejernes beslutninger, testregistreringer, øvelsesresultater, konstaterede afvigelser, korrigerende handlinger og vurderingen af deres effektivitet. Beredskabsplanens revisionshistorik bør ikke kun angive dato og forfatter, men også den hændelse, beslutning eller analyse, der begrundede ændringen.
Planens evalueringsfrekvens skal tilpasses processernes kritikalitet og risikoens foranderlighed. En fast periodisk dato er ikke tilstrækkelig. Planen bør også evalueres efter en hændelse, en øvelse eller en væsentlig ændring i proces, teknologi, lokation, leverandør, organisationsstruktur eller risikoprofil. Acceptkriterierne for øvelsen skal fastlægges, før den begynder, så vurderingen ikke reduceres til en subjektiv konklusion om, at organisationen »klarede sig«.
Den månedlige overvågning kan vise, at øvelsesprogrammet er gennemført som planlagt, men samtidig afdække, at én proces ikke nåede den krævede genetableringstid, og at der fortsat mangler en alternativ løsning for en kritisk leverandørydelse. Et sådant resultat må ikke gemmes i en teknisk rapport. Ledelsen skal informeres om processer, der ikke opfylder den krævede kapabilitet, uaccepterede afvigelser, bevidst accepterede risici og nødvendige investeringer eller organisatoriske beslutninger. Ledelsens evaluering skal afsluttes med dokumenterede beslutninger og ikke blot med, at informationen tages til efterretning.
Intern audit bør undersøge sammenhængen mellem det beskrevne og den faktiske praksis: om processer, der er klassificeret som kritiske, reelt indgår i øvelserne, om de tekniske genetableringsmål svarer til de operationelle behov, og om tiltag efter test er afsluttet og deres effektivitet bekræftet. Auditoren eller tilsynsmyndigheden bør præsenteres for en sammenhængende dokumentationskæde fra identificeret risiko over beslutning og test til verificeret forbedring. Relevante støtteindikatorer er gennemførelsesgraden for det godkendte øvelsesprogram, rettidigheden af korrigerende handlinger og antallet af ikke-accepterede afvigelser mellem den krævede og den dokumenterede kontinuitetskapabilitet.
Den afsluttende handlingsliste kan indarbejdes i den bredere tidsplan, der er beskrevet som Implementering af NIS2 efter optagelse i KSC-registret – handlingsplan frem til 3. april 2027. Frister, forpligtelsernes omfang og relevante foranstaltninger skal dog i hvert enkelt tilfælde verificeres i forhold til gældende ret, organisationens status i det nationale cybersikkerhedssystem og dens faktiske risikoprofil.
Masz pytania? Porozmawiajmy.
Bezpłatna konsultacja – bez zobowiązań.
