Hjem » Blog » Dagen efter et cyberangreb

IT-sikkerhed

Hvad gør I dagen EFTER et cyberangreb?

Oktober 2026 · IT-sikkerhed · Beredskab

Det er sjældent selve angrebet, der bliver dyrest. Det er de beslutninger, I træffer de næste 24 timer.

Klokken er 07.45. Angrebet blev opdaget i går, og jeres IT-partner har fået lukket ned for det værste. Men nu ringer telefonen. Medarbejderne kan ikke logge på. En kunde spørger, om deres data er i sikkerhed. Og nogen i ledelsen vil vide, om I skal betale.

Mange beredskabsplaner handler om de første minutter: Træk kablet, ring til IT. Det er vigtigt. Men det er dagen efter, der afgør, hvor lang tid I er nede, hvor meget det koster, og om I overholder jeres lovkrav.

Her er, hvad I skal gøre, i den rækkefølge vi anbefaler.

ER I RAMT LIGE NU?

Ring til os, før I genstarter noget

Vi hjælper med at begrænse skaden og bevare sporene.

Kunde hos Azend: 69 88 49 88 Ikke kunde endnu: 69 88 49 39

Hvorfor dagen efter er så afgørende

Når det akutte er overstået, opstår der et tomrum. Alle vil gerne tilbage til normal drift så hurtigt som muligt. Det er forståeligt, men det er også her, de dyre fejl sker: Systemer bliver gendannet, før man ved, hvordan angriberen kom ind. Beviser bliver slettet. Og frister for indberetning løber, uden at nogen holder øje med uret.

MEGET HØJ

trusselsniveau for cyberkriminalitet mod Danmark (SAMSIK, 2025)

24 timer

til en tidlig varsling, hvis I er omfattet af NIS2

72 timer

til at anmelde brud på persondatasikkerheden til Datatilsynet

Ifølge Styrelsen for Samfundssikkerhed er det ofte små og mellemstore virksomheder, der bliver ramt af ransomware, fordi de ikke har de samme ressourcer som de store. Derfor betaler det sig at have en plan, også for dagen efter.

De første 24 timer: 7 opgaver

Saml krisestaben, og udpeg én beslutningstager

Ledelse, IT og den der står for kommunikation. Én person træffer beslutningerne, og én person fører log over, hvad der sker og hvornår. Loggen får I brug for senere.

Bevar sporene

Isolér de ramte maskiner fra netværket, men sluk dem ikke og geninstallér dem ikke. Logfiler og hukommelse er ofte det eneste, der kan vise, hvordan angriberen kom ind.

Find ud af, hvad der er ramt

Hvilke systemer, hvilke brugere og hvilke data? Er der personoplysninger involveret? Svaret afgør både, hvem I skal underrette, og hvad I skal gendanne først.

Luk adgangene

Skift adgangskoder på administrator- og nøglekonti fra en maskine, I ved er ren. Tjek MFA, fjern ukendte konti, og spær de adgange, angriberen kan have brugt.

Ring til forsikringsselskabet

Har I en cyberforsikring, så kontakt dem med det samme. Mange policer stiller krav til, hvem der må håndtere hændelsen, og hvordan den dokumenteres.

Anmeld og indberet

Til politiet, og til de myndigheder I er forpligtet over for. Fristerne starter, når I bliver opmærksomme på hændelsen, ikke når I er færdige med at rydde op.

Fortæl det, I ved, og kun det

Medarbejderne skal vide, hvad de må og ikke må. Kunder og samarbejdspartnere skal høre det fra jer, ikke fra andre. Hold det faktuelt, og lov ikke mere, end I kan holde.

Den mest almindelige fejl

At gendanne alt med det samme

Det føles som handlekraft, men hvis I ikke ved, hvordan angriberen kom ind, står døren stadig åben. I værste fald gendanner I fra en backup, der selv er inficeret, og så starter det hele forfra. Find hullet først. Luk det. Gendan bagefter.

Hvem skal have besked, og hvornår?

Det her er en af de opgaver, der oftest bliver glemt i kaosset. Brug oversigten som udgangspunkt, og tjek jeres egne forpligtelser i beredskabsplanen.

72t

Datatilsynet

Hvis personoplysninger kan være berørt (GDPR)

Brud på persondatasikkerheden skal anmeldes senest 72 timer efter, at I er blevet opmærksomme på det. Er I i tvivl, så anmeld. I kan supplere med flere oplysninger senere.

24t

NIS2-myndigheden

Hvis jeres virksomhed er omfattet af NIS2-loven

Ved en væsentlig hændelse: tidlig varsling inden for 24 timer, en egentlig underretning inden for 72 timer og en endelig rapport senest en måned efter. Indberetningen sker via den fælles løsning på virk.dk.

Politiet

Så hurtigt som muligt

Et cyberangreb er en forbrydelse og kan anmeldes til politiet. Anmeldelsen er ofte også et krav fra forsikringen.

→

Forsikring, kunder og leverandører

Hurtigst muligt, og efter aftale

Tjek jeres forsikringspolice og kundekontrakter. Mange aftaler indeholder krav om, at I giver besked inden for en bestemt frist.

Gendannelse: Hvad skal i luften først?

Når hullet er lukket, og I ved, at angriberen er ude, kan I begynde at gendanne. Men ikke alt på én gang. Start med de systemer, forretningen ikke kan undvære. Det er typisk mail, økonomisystem, ERP og de filer, produktionen eller kundeservice afhænger af.

Gendan fra en backup, I har verificeret er ren, og helst en, der har været adskilt fra netværket. Det er her, forskellen mellem at have backup og at have en backup der virker bliver tydelig.

Og så spørgsmålet, der altid kommer: Skal vi betale løsesummen? Myndighederne fraråder det. Der er ingen garanti for, at I får jeres data tilbage, og I risikerer at blive et mål igen. Træf aldrig den beslutning alene eller under tidspres. Tal med jeres IT-partner, forsikring og politiet først.

Uge 2: Lær af det

Når driften kører igen, er det fristende at lægge hændelsen bag sig. Men den gennemgang, I laver nu, er det, der forhindrer, at det sker igen. Sæt en time af med de involverede, og gå disse spørgsmål igennem:

✓Hvordan kom de ind? Phishing, en sårbarhed der ikke var opdateret, eller en adgangskode uden MFA

✓Hvor længe var de inde, før vi opdagede det? Svaret siger meget om jeres overvågning

✓Virkede backuppen, som den skulle? Og hvor lang tid tog det reelt at gendanne

✓Vidste alle, hvad de skulle gøre? Hvor gik der tid tabt i beslutninger og kommunikation

✓Hvad ændrer vi i planen? Opdatér beredskabsplanen med det, I har lært, mens det stadig er frisk

Den bedste dag efter er den, I har øvet

Alt det her er langt nemmere, hvis det er besluttet på forhånd. Hvem sidder i krisestaben? Hvor ligger telefonlisten, når mailen er nede? Hvilke systemer gendanner I først? Hvem skriver til kunderne?

En IT-beredskabsplan giver jer svarene, og en simpel øvelse en gang om året viser, om de holder. Kombinér det med en plan for disaster recovery og løbende overvågning, så opdager I angrebet hurtigere og er hurtigere oppe igen.

Det kræver ikke en stor organisation. Det kræver, at nogen tager ejerskab, og at planen bliver skrevet ned, inden I får brug for den.

Ofte stillede spørgsmål

Skal vi slukke computerne, når vi opdager et angreb?

Nej, som udgangspunkt ikke. Afbryd forbindelsen til netværket, men lad maskinerne være tændt. Når de slukkes, forsvinder data i hukommelsen, som kan være vigtige for at finde ud af, hvad der er sket.

Skal vi altid anmelde et cyberangreb til Datatilsynet?

Kun hvis personoplysninger kan være berørt, men det er de næsten altid, fx i mails, HR-data eller kundekartoteker. Fristen er 72 timer fra, I bliver opmærksomme på bruddet.

Hvordan ved vi, om vi er omfattet af NIS2?

Det afhænger af jeres sektor og størrelse. Mange SMV'er er ikke direkte omfattet, men møder kravene gennem kunder, der er. Læs mere i vores guide til NIS2.

Hvor lang tid tager det at komme på fode igen?

Det svinger fra dage til uger. Det, der gør den største forskel, er en testet backup og en plan, alle kender.

IT-BEREDSKABSPLAN

Ved I, hvad I gør i morgen, hvis det sker i dag?

Vi hjælper jer med at lave en plan, der er til at bruge, når det gælder.

Få en beredskabsplan →