Virksomheder kan træne angreb i et kontrolleret miljø, men de største svagheder handler ofte om bemanding, ansvar og ledelsens beslutningsveje.
Inde i en grå container i Ballerup bliver danske it-folk sat under tidspres og udsat for et simuleret cyberangreb.
Pointen er ikke teknik for teknikens skyld, men at afsløre de huller i bemanding og beredskab, som mange virksomheder først opdager, når driften allerede er ramt.
Det kommer på et tidspunkt, hvor kravene skærpes, og konsekvensen af en fejl bliver dyrere.
IBM vurderer, at den globale gennemsnitsomkostning ved et databrud i 2024 var 4,88 mio. dollar, og at alvorlig bemandingsmangel i sikkerhedsfunktioner i snit løfter omkostningen med 1,76 mio. dollar.
Det oplyser Finans.
Kompetencemanglen rammer beredskabet direkte
Når angreb simuleres i et kontrolleret miljø, bliver det tydeligt, hvor afhængig responsen er af rutiner, rollefordeling og få nøglepersoner.
Manglen på cyberkompetencer bliver dermed en konkret flaskehals: Hvis SOC, it-drift og forretning ikke kan bemande hændelser 24/7, ender man med langsommere isolering, længere nedetid og højere tab.
Samtidig ændrer trusselsbilledet sig.
Center for Cybersikkerhed hævede i juni 2024 trusselsniveauet for destruktive cyberangreb mod Danmark fra lav til middel, og pegede på, at selv mindre angreb kan få betydelige konsekvenser for virksomheder og myndigheder.
Reglerne øger behovet for folk
Efter EU’s NIS2-direktiv er cyber ikke længere et it-projekt, men et ledelsesansvar med dokumentationskrav, leverandørstyring og rapportering af væsentlige hændelser.
I Danmark trådte NIS2-loven i kraft 1. juli 2025, oplyser Digitaliseringsstyrelsen.
På EU-niveau anslår Cyber Skills Academy, at der i 2024 manglede 299.000 cybersikkerhedsprofessionelle i EU.
ISC2 peger samtidig på et EU-gab på 274.000 specialister, opgjort i deres 2023-undersøgelse.
Det vigtigste signal for ledelsen
Det, man skal holde øje med nu, er ikke kun flere kurser, men om virksomheder får bygget en varig pipeline: juniorroller, intern opkvalificering og øvelser, der tester beslutningsveje og kommunikation.
Et praktisk tegn er, om øvelser ender i konkrete investeringer: flere logkilder, bedre identitetskontrol og aftaler om ekstern incident response.
For offentlige organisationer er der et ekstra pres.
Rigsrevisionen vurderede i en undersøgelse af 12 samfundskritiske it-systemer, at 7 ikke havde et tilfredsstillende it-beredskab, hvilket øger risikoen for, at samfundskritiske opgaver forstyrres ved større it-hændelser.
For når en hændelse rammer, er spørgsmålet sjældent om man havde en politik, men om man havde mennesker nok til at følge den.
Christian Pedersen er journalist på FinansFokus og dækker markeder, investering og erhvervsliv.
