Faldgruber, hændelser og officielle kilder
Ved et cyberangreb: hvem gør hvad – og hvornår skal der anmeldes?
Rollefordeling mellem virksomhed, MSSP, forsikring og myndigheder ved en sikkerhedshændelse, med fristerne efter NIS2-loven (24 t, 72 t, 1 md.) og GDPR (72 t).
Når et angreb rammer, skal fire ting ske parallelt: inddæmning (stoppe angrebet), beslutninger (hvad lukkes, hvad holdes kørende), anmeldelser (myndigheder, forsikring, politi) og kommunikation (medarbejdere, kunder). MSSP'en står typisk for den tekniske del, men virksomheden træffer beslutningerne og har pligterne: Er I omfattet af NIS2-loven, skal en væsentlig hændelse varsles inden for 24 timer, underrettes inden for 72 timer og afsluttes med en endelig rapport senest 1 måned efter underretningen. Er personoplysninger berørt, skal I efter GDPR anmelde bruddet til Datatilsynet uden unødig forsinkelse og om muligt inden 72 timer. Fristerne løber fra kendskab – også i weekenden.
Guiden hører under faldgruber og officielle kilder. Indholdet er generel information, ikke juridisk rådgivning.
Rollerne
| Rolle | Opgaver |
|---|---|
| Ledelsen | Kriseledelse, beslutninger om drift og betaling, godkendelse af kommunikation |
| Intern ansvarlig (it eller sikkerhed) | Koordinering, kontakt til leverandører, overblik over systemer |
| MSSP / MDR | Opdagelse, analyse, isolering, teknisk dokumentation, udkast til tekniske oplysninger til anmeldelser |
| Beredskabsleverandør | Forensics, genopretning, rådgivning – se beredskabsaftale og retainer |
| Forsikringsselskab | Dækning, evt. anvisning af beredskabsleverandør og advokat |
| Advokat | Vurdering af anmeldelsespligter, kontrakter og kommunikation |
| Myndigheder | Modtager anmeldelser; politiet efterforsker |
Skriv navne og telefonnumre ind i en offline kontaktliste. Er e-mail og netværk nede, skal I kunne ringe.
Tidslinje for de første timer og dage
| Tidspunkt | Hvad | Hvem |
|---|---|---|
| 0–1 time | Inddæm: isolér ramte enheder, spær konti. Ring til intern ansvarlig og ledelse | MSSP + intern ansvarlig |
| 0–4 timer | Aktivér beredskabsaftale og kontakt forsikring. Sikr spor (sluk ikke uden aftale) | Intern ansvarlig |
| Inden 24 timer | NIS2: tidlig varsling ved væsentlig hændelse | Virksomheden (med data fra MSSP) |
| Inden 72 timer | NIS2: hændelsesunderretning. GDPR: anmeldelse til Datatilsynet, hvis personoplysninger er berørt, og der er risiko | Virksomheden |
| Løbende | Information til kunder, der kan blive påvirket. Anmeldelse til politiet | Ledelse |
| Senest 1 måned efter underretning | NIS2: endelig rapport | Virksomheden |
NIS2: hvad skal med i hvert trin
Efter NIS2-loven § 13, stk. 1 skal en omfattet virksomhed:
- Tidlig varsling senest 24 timer efter kendskab: om hændelsen mistænkes at skyldes ulovlige eller ondsindede handlinger, eller kan have grænseoverskridende virkning.
- Hændelsesunderretning senest 72 timer efter kendskab: opdatering og indledende vurdering af alvor og indvirkning samt kompromitteringsindikatorer, hvis de findes.
- Foreløbig rapport efter anmodning fra CSIRT'en.
- Endelig rapport senest 1 måned efter underretningen: detaljeret beskrivelse, sandsynlig årsag, tiltag og eventuel grænseoverskridende virkning. Pågår hændelsen stadig, sendes en statusrapport og derefter en endelig rapport senest 1 måned efter, at hændelsen er håndteret.
Underretningen går til den kompetente myndighed og CSIRT'en (§ 12, stk. 1). Ifølge samsik.dk er Forsvarets Efterretningstjeneste national CSIRT, og indberetning sker via virk.dk. CSIRT'en skal svare inden for 24 timer efter den tidlige varsling og kan efter anmodning give vejledning (§ 13, stk. 3). Virksomheden skal desuden underrette modtagerne af sine tjenester uden unødigt ophold om væsentlige hændelser, der sandsynligvis påvirker leveringen negativt (§ 15).
Ikke omfattet? Virksomheder uden for loven kan frivilligt underrette CSIRT'en om hændelser, nærvedhændelser og cybertrusler (§ 14).
GDPR: brud på persondatasikkerheden
- Anmeldelse til Datatilsynet (art. 33): uden unødig forsinkelse og om muligt senest 72 timer efter, at I er blevet bekendt med bruddet – medmindre det er usandsynligt, at bruddet indebærer en risiko for personers rettigheder. Kommer anmeldelsen senere, skal forsinkelsen begrundes. Anmeldelsen sker digitalt; se vejledningen på datatilsynet.dk.
- Leverandørens pligt (art. 33, stk. 2): Er MSSP'en databehandler, skal den underrette jer uden unødig forsinkelse, når den bliver opmærksom på et brud.
- Underretning af de registrerede (art. 34): Er der sandsynligvis en høj risiko for personerne, skal de underrettes uden unødig forsinkelse.
- Dokumentation: Alle brud skal dokumenteres internt, også dem, der ikke anmeldes.
Se GDPR, databehandleraftale og brud.
Politi og forsikring
Politiet: Angreb og svindel kan anmeldes til politiet. En anmeldelse kan også være et krav fra forsikringen.
Forsikring: Kontakt forsikringsselskabet tidligt. Mange cyberforsikringer kræver, at I anmelder skaden hurtigt og bruger anviste leverandører. Betal ikke løsepenge og indgå ikke aftaler med angriberne uden at have talt med forsikring og rådgivere. Se cyberforsikring og krav.
Det skal stå i aftalen med MSSP'en
- Tidsfrist for, hvornår leverandøren skal underrette jer om en mulig væsentlig hændelse – fx inden for 1 time.
- At leverandøren leverer de tekniske oplysninger, I skal bruge til NIS2-varsling og GDPR-anmeldelse.
- Hvem der indsender – og at den endelige beslutning er jeres.
- Hvordan spor (logdata, billeder af diske) sikres og udleveres.
Ofte stillede spørgsmål
Hvad er en "væsentlig" hændelse efter NIS2?
En hændelse, der har forårsaget eller kan forårsage alvorlige driftsforstyrrelser eller økonomiske tab for virksomheden, eller som kan påvirke andre ved at forårsage betydelig fysisk eller ikkefysisk skade (§ 12, stk. 2). Ved tvivl er det klogt at varsle.
Skal vi både anmelde efter NIS2 og GDPR?
Ja, hvis begge betingelser er opfyldt. Det er to forskellige pligter til forskellige myndigheder.
Hvem kan hjælpe, hvis vi ikke har en beredskabsaftale?
SikkerDigital har en cyberhotline og råd om, hvad man gør, når skaden er sket. Kontakt også forsikringen, hvis I har en cyberforsikring.
Kilder
- Retsinformation – NIS2-loven §§ 12–15
- Styrelsen for Samfundssikkerhed – NIS2-vejledning om hændelsesunderretning
- Virk – indberetning af hændelser
- Datatilsynet – anmeldelse af brud på persondatasikkerheden
- SikkerDigital – cyberhotline og hjælp, når skaden er sket
- Politi – anmeldelse af it-kriminalitet
