Når et datterselskab håndterer en sikkerhedshændelse selv og aldrig melder den videre, ved koncernen ikke, at den er sket. Koncernens hændelsesregister ser roligt ud, bestyrelsen får et pænt billede, og de samme svagheder kan blive udnyttet i andre selskaber. En vurdering finder disse hændelser ved at sammenligne selskabernes egne spor med koncernens register, og fundet lukkes med klare regler for, hvad der skal eskaleres, hvor hurtigt og til hvem.
Det er sitets vurdering, at fundet er almindeligt i koncerner, hvor selskaberne har deres egen IT-drift, og hvor koncernens politik siger “væsentlige hændelser” uden at definere dem.
Hvorfor hændelser bliver lokale
Der er flere grunde til, at en hændelse bliver i selskabet. Den lokale IT-chef vurderer, at den er løst og ikke vigtig nok. Koncernens regler siger ikke præcist, hvad der skal meldes. Der findes ingen enkel vej at melde ad. Eller der er en kultur, hvor det opleves som et nederlag at melde en hændelse til hovedkontoret.
Hver af grundene er forståelig. Men samlet betyder de, at koncernen mister den viden, der kunne vise et mønster. Tre små hændelser i tre selskaber med samme årsag er et koncernfund. Hver for sig er de tre lokale sager, som ingen forbinder.
Lovens pligt ligger hos den omfattede enhed
NIS 2-loven kræver i §§ 12 og 13, at en omfattet enhed underretter om væsentlige hændelser, og at en tidlig varsling sendes senest et døgn efter, at enheden har opdaget, at hændelsen er væsentlig. Pligten ligger hos den enhed, der er omfattet.
Loven nævner ikke koncerner. At en hændelse i et omfattet datterselskab dermed kan udløse en pligt til at underrette myndighederne, uden at hovedkontoret er inde over, følger ikke direkte af ordlyden, men af en læsning af ordet enhed. Tolkningen gør eskaleringen vigtigere, ikke mindre vigtig. Koncernen skal kunne vide, at en underretning er sendt, eller burde være sendt, fra et af dens selskaber.
Hvad målestokkene siger om eskalering
I bilaget til forordning 2024/2690 skal hændelsespolitikkens planer for kommunikation efter punkt 3.1.2, litra b, også dække eskalering og rapportering. Punkt 3.3.1 beder om en enkel mekanisme, så ansatte, leverandører og kunder kan indberette mistænkelige begivenheder. Forordningen binder kun en række digitale tjenesteudbydere. For andre viser den, at eskalering er en del af hændelsespolitikken, og at det skal være enkelt at melde.
Sådan finder en vurdering de lokale hændelser
Det er praksis at sammenligne flere kilder. I hvert selskab kan vurderingen se på den lokale servicedesks sager, lokale hændelseslogge, rapporter fra leverandører, der driver selskabets IT, og referater fra lokale ledelsesmøder. Disse spor holdes op mod koncernens hændelsesregister for den samme periode.
Forskellen mellem de to er fundet. En hændelse, der står i et selskabs sager som et sikkerhedsproblem, men ikke i koncernens register, er ikke nødvendigvis forkert håndteret lokalt. Men den viser, at eskaleringen ikke virker. Det er også praksis at spørge de lokale IT-chefer direkte, hvilke hændelser de har håndteret det seneste år, og hvilke de har meldt videre.
Fremgangsmåden er en sammenligning af spor, ikke en teknisk undersøgelse. Den tekniske side af logning og overvågning er beskrevet i overvågning med huller.
Kulturen bag tavsheden
En regel om eskalering virker kun, hvis de lokale tør bruge den. Det er sitets vurdering, at den hyppigste grund til tavshed er frygten for at blive set som det svage selskab. Koncernen kan modvirke det ved at takke for meldinger, ved at dele, hvad den lærer af dem, og ved at lade antallet af meldinger stå som et tegn på opmærksomhed frem for et tegn på svaghed.
Regler, der lukker fundet
Det er praksis at lukke fundet med en kort aftale mellem koncern og selskaber:
- Hvad · Konkrete typer hændelser, der altid skal meldes, med tænkte eksempler
- Hvor hurtigt · En frist for første melding, kortere end lovens frist for omfattede selskaber
- Til hvem · En navngiven funktion i koncernen, der kan nås uden for arbejdstid
- Hvordan · En enkel kanal, der ikke kræver, at den lokale ved, hvem der skal kontaktes
- Opfølgning · Hvem der vurderer, om hændelsen skal underrettes til myndighederne
Det er sitets anbefaling, at aftalen også siger, at det er bedre at melde for meget end for lidt, og at en melding ikke i sig selv er et tegn på, at selskabet har fejlet.
Fundet og scoren
I en modenhedsmåling scorer selskaberne ofte hændelseshåndtering ud fra, hvordan de selv håndterer hændelser. Et selskab, der håndterer alt godt lokalt, får en høj score. Eskaleringsfundet ligger mellem selskab og koncern og bliver ikke synligt i selskabets score. Det er sitets vurdering, at eskalering bør være et særskilt punkt i målingen, og at det bør scores ud fra sammenligningen af spor, ikke ud fra selskabets egen beskrivelse.
Gennemgangen af hændelseshåndtering i et enkelt selskab hører under den almene auditmetode. Her er det overgangen fra selskab til koncern, der er emnet.
Hvad det kræver, og hvad det koster at lade være
Det kræver en aftale om, hvad der skal meldes, en enkel kanal, en funktion i koncernen, der tager imod, og en kultur, hvor det ikke straffes at melde. Det kræver også, at koncernen bruger meldingerne til noget og giver selskaberne tilbagemelding.
Lader man det være, ser koncernen kun de hændelser, der er så store, at de ikke kan skjules. Mønstrene i de små bliver ikke set, og koncernen kan ikke vide, om dens omfattede selskaber har overholdt deres pligt til at underrette.
Det skal I lade være med
- At skrive “væsentlige hændelser” i politikken uden eksempler · så afgør hver lokal IT-chef det selv.
- At gøre kanalen kompliceret · den lokale skal kunne melde uden at kende organisationen.
- At bruge selskabets egen beskrivelse som bevis for eskalering · sammenlign sporene.
Det skal gennemgangen kunne vise
- ☐ En aftale om, hvilke hændelser der eskaleres, hvor hurtigt og til hvem.
- ☐ En sammenligning af lokale spor med koncernens register for en periode.
- ☐ En enkel meldekanal, der kan nås uden for arbejdstid.
- ☐ En procedure for, hvem der vurderer underretning til myndighederne.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 12 og 13, læst 14. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilagets punkt 3.1.2 og 3.3.1, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bed to selskaber om deres sikkerhedssager fra det seneste halve år, og se, hvor mange af dem der står i koncernens register.
Læs også: Beredskabsplaner pr. enhed, der ikke hænger sammen · Kun nogle selskaber er NIS2-omfattede
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
