Ministerens udspil om at udskifte forældede it-systemer kan hurtigt brede sig til skærpede krav i udbud, leverandørkæder og NIS2-compliance.
Danmarks it-sikkerhed er så presset, at regeringen nu varsler en ”digital genopretningsplan”, der blandt andet skal få udfaset forældede systemer i det offentlige.
Det er ikke bare et ministerielt opråb, men et signal om, at cybersikkerhed flytter fra it-afdelingen til topledelsen.
For virksomheder kan planen blive et nyt pejlemærke: Når staten strammer op om egne systemer, følger typisk krav til leverandører, dokumentation og beredskab.
Samtidig ruller EU’s NIS2-regler ind over langt flere brancher, hvilket gør 2026 til et skæringsår for compliance og investeringer.
Det oplyser Finans.
Forældede systemer er en forretningsrisiko
Når ministeren peger på udskiftning af ”forældede IT-systemer”, handler det i praksis om mere end teknikgæld.
Gamle platforme betyder ofte, at sikkerhedsopdateringer udebliver, at logning er mangelfuld, og at adgangsstyring er svær at modernisere.
Resultatet er højere risiko for datalæk og driftsstop, men også dyrere forsikringer og hårdere krav fra kunder.
Det er værd at hæfte sig ved timingen: Udmeldingen kommer i kølvandet på en sag, hvor en hacker fik adgang til navne, adresser og CPR-numre, som Finans omtaler.
Den type hændelser har en kaskadeeffekt.
Når tillid først er brudt, bliver omkostningen ikke kun juridisk, men også kommerciel.
NIS2 flytter ansvaret til ledelsen
En genopretningsplan vil ramme virksomhederne via to spor.
Først gennem offentlige udbud, hvor krav til sikkerhed, incident response og leverandørkæder typisk skærpes.
Dernæst gennem NIS2-direktivet, som er vedtaget i EU og udvider kredsen af omfattede sektorer og virksomheder markant.
Direktivet stiller krav om risikostyring og rapportering af hændelser, og det er designet til at presse sikkerhed op på bestyrelsesniveau.
Det fremgår af NIS2-direktivet, der netop skal løfte et ”højt fælles niveau” af cybersikkerhed på tværs af EU.
Tre ting virksomheder bør måle nu
For topledelsen er det afgørende at gøre cybersikkerhed målbart, før nye krav lander.
Tre indikatorer går igen i modenhedsmodeller:
1) Hvor hurtigt kritiske systemer kan patches.
2) Om der findes et testet beredskab for gendannelse.
3) Om leverandører kan dokumentere deres sikkerhedsniveau.
Samtidig bør man følge trusselsbilledet.
Styrelsen for Samfundssikkerhed vurderer, at det er sandsynligt, at Rusland vil forsøge at udføre destruktive cyberangreb mod Danmark, ifølge en trusselsvurdering.
Konsekvensen er, at ”digital genopretning” ikke kun bliver et offentligt oprydningsprojekt, men en ny baseline for, hvad kunder og myndigheder forventer af danske virksomheder.
Christian Pedersen er journalist på FinansFokus og dækker markeder, investering og erhvervsliv.
