Beredskabsaftale (IR-retainer): hvad koster akut hjælp ved et cyberangreb?

En beredskabsaftale (incident response retainer) er en forhåndsaftale med en specialist om akut hjælp, hvis I bliver ramt af et angreb: eksperter, der går i gang inden for en aftalt tid, til en aftalt pris, med kendskab til jeres miljø på forhånd. Den prissættes typisk som et årligt gebyr, der enten er en ren beredskabsbetaling eller kan omsættes til timer i en timebank, plus en timepris for timer ud over banken. Som illustrativt spænd kan en SMV-aftale koste 20.000–100.000 kr. om året ekskl. moms. Uden aftale skal I finde hjælp midt i krisen, ofte til højere timepriser og uden garanti for, hvornår nogen kan starte.

Guiden hører under valg af leverandør trin for trin. Alle beløb er illustrative.

Hvad en beredskabsaftale typisk indeholder

Del	Indhold
Svartid	Fx telefonisk kontakt inden for 1 time og fjernassistance inden for 4 timer, døgnet rundt
Timebank	Et antal forudbetalte timer, der kan bruges til hændelser
Timepris	Aftalt pris for timer ud over banken, evt. med nattillæg
Forberedelse	Onboarding: gennemgang af netværk, kontakter og adgang, så eksperterne kan starte hurtigt
Forensics	Indsamling og analyse af spor, fx til politi og forsikring
Rådgivning	Hjælp til kommunikation, rapportering til myndigheder og beslutninger om genopretning
Øvelse	En årlig skrivebordsøvelse (tabletop), hvor ledelsen gennemgår et scenarie

Prismodeller

Ren beredskabsbetaling: I betaler for, at leverandøren står klar. Alle timer ved en hændelse faktureres separat. Billigst i årsgebyr, dyrest ved en hændelse.

Timebank: Årsgebyret svarer til fx 20–40 timer. Brug af timerne til hændelser er "gratis". Spørg om ubrugte timer kan bruges til andet – fx øvelser, sårbarhedsgennemgang eller penetrationstest – eller om de forfalder.

Kombineret med MDR: Nogle MDR-aftaler har et antal timers hændelseshåndtering med. Det er sjældent nok til et større angreb, men dækker de mindre.

Regneeksempel: med og uden aftale

Illustrativt eksempel. En virksomhed med 45 ansatte bliver ramt af ransomware. Hændelsen kræver 80 ekspert-timer.

Uden aftale:

Timepris ved akut bestilling: 2.400 kr.
80 × 2.400 = 192.000 kr.
Starttid: usikker – eksperterne kan være optaget hos andre kunder.

Med timebank:

Årsgebyr 50.000 kr. svarende til 30 timer (ca. 1.667 kr. pr. time)
50 timer ud over banken × 1.800 kr. = 90.000 kr.
I alt i hændelsesåret: 50.000 + 90.000 = 140.000 kr.
Starttid: aftalt i SLA, fx inden for 4 timer.

Forskellen i hændelsesåret er 52.000 kr. – men i år uden hændelser betaler virksomheden 50.000 kr. for beredskabet. Den egentlige værdi ligger i, at eksperterne starter hurtigt og kender miljøet. Hver time med stoppet produktion kan koste mere end selve hjælpen.

Vil I sammenligne økonomien over flere år, kan I bruge tilbagebetalingsberegneren til illustrative scenarier – men husk, at sandsynligheden for en hændelse ikke kan forudsiges præcist.

Samspil med forsikring

Har virksomheden en cyberforsikring, kan policen indeholde adgang til et beredskabspanel – en eller flere leverandører, forsikringsselskabet samarbejder med. Tjek før I køber en separat aftale:

Skal I bruge forsikringsselskabets panel for at få dækning?
Dækker forsikringen også en leverandør, I selv har valgt?
Hvem skal kontaktes først – forsikringen eller leverandøren?
Er selvrisikoen højere, hvis I bruger egen leverandør?

Se cyberforsikring og krav.

Hvad I skal tjekke i aftalen

Svartid: Hvornår starter de, og gælder det også i weekender og ferier?
Fjern eller på stedet: Kan eksperterne arbejde fjern, og hvad koster det at få nogen ud?
Timebank: Forfalder ubrugte timer? Kan de bruges til forebyggelse?
Kapacitet: Hvad sker der, hvis mange kunder rammes samtidig, fx ved et bredt angreb?
Onboarding: Er en indledende gennemgang af jeres miljø med?
Myndigheder: Hjælper de med NIS2-varsling og anmeldelse til Datatilsynet? Se ved en hændelse: hvem gør hvad.
Kontaktliste: Hvem hos jer må aktivere aftalen?

Forberedelse, der gør aftalen mere værd

Opdateret netværksoversigt og liste over kritiske systemer.
Adgang i nødsituationer: Hvordan får eksperterne adgang, hvis jeres egne systemer er nede?
Offline kontaktliste: telefonnumre på ledelse, it, leverandør, forsikring og advokat – på papir.
Backup, der er testet: Den hurtigste genopretning kommer fra en backup, angriberen ikke har kunnet slette.

Sådan aktiveres aftalen – de første 30 minutter

Når I ringer til beredskabsleverandøren, vil de typisk spørge om det samme. Hav svarene klar:

Hvad er observeret, og hvornår? (fx krypterede filer, løsesumsbesked, usædvanlige logins)
Hvilke systemer og lokationer er berørt – og hvilke ser ud til ikke at være det?
Hvad er allerede gjort? (isoleret enheder, spærret konti, slukket maskiner)
Hvem er kontaktperson hos jer, og hvem har beslutningskompetence?
Er MSSP, forsikring og it-partner orienteret?
Er I omfattet af NIS2, og er der personoplysninger involveret? Det styrer fristerne for anmeldelse.

Skriv spørgsmålene ind i jeres beredskabsplan, så den, der tager telefonen, ikke skal improvisere.

Ofte stillede spørgsmål

Er en beredskabsaftale nødvendig, hvis vi har MDR?

MDR opdager og stopper mange angreb tidligt. Men går et angreb igennem, kræver genopretning, forensics og rådgivning ofte flere timer, end MDR-aftalen indeholder. Mange kombinerer de to.

Kan vi få en beredskabsaftale uden at have en MSSP?

Ja. Beredskabsaftaler sælges også selvstændigt. Det kan være en god første investering for en virksomhed uden døgnovervågning.

Hvad koster en tabletop-øvelse?

Som illustrativt eksempel ½–1 dags konsulentarbejde, ofte 8.000–20.000 kr. Nogle beredskabsaftaler har en øvelse med i årsgebyret.

Kilder

SikkerDigital – når skaden er sket: råd og cyberhotline
Styrelsen for Samfundssikkerhed – NIS2-vejledning om hændelser
Politi – anmeldelse af it-kriminalitet
Forsikring & Pension – information om forsikring