Systemer, der ikke længere får sikkerhedsopdateringer fra producenten, er en risiko, som ledelsen skal forholde sig til, ikke et teknisk problem, som IT kan løse i det stille. En god vurdering gør hvert system til en risiko med en ejer, en plan og en beslutning: udskiftning inden en dato, afskærmning i mellemtiden eller en dokumenteret accept af restrisikoen.
I en koncern er udfordringen ofte, at ingen har overblikket. Hvert selskab kender sine egne ældre systemer, men koncernledelsen ser kun et samlet tal, hvis den ser noget.
Hvorfor det er et ledelsesspørgsmål
Teknisk gæld opstår, fordi udskiftning koster og forstyrrer, og fordi systemet stadig virker. Beslutningen om at lade et gammelt system køre videre er derfor en prioritering mellem forretningshensyn og sikkerhed. Den prioritering hører hjemme hos ledelsen, ikke hos den driftsansvarlige, der bare lader systemet stå.
Offentlige kilder viser, at opdateringer er et svagt punkt i mange organisationer. ENISA’s undersøgelse NIS Investments 2025, som overvejende bygger på svar fra store virksomheder, angiver patching som den hyppigst nævnte udfordring ved NIS2 (50 procent), og 28 procent lader kritiske sårbarheder stå åbne i over tre måneder. ENISA’s trusselsbillede for 2025 angiver, at udnyttelse af sårbarheder står for 21,3 procent af den første adgang ved de hændelser, ENISA har registreret, ofte inden for få dage efter, at sårbarheden er offentliggjort. ENISA tager selv forbehold for, at tallene bygger på åbne kilder.
CISA og NSA har dårlig patchstyring med på deres liste over ti systemiske svagheder i store organisationer.
Hvad målestokkene siger
I forordning 2024/2690 står der i bilagets punkt 6.1.2, litra b, at der ved erhvervelse af IKT-produkter og -tjenester stilles krav om sikkerhedsopdateringer i hele levetiden eller om udskiftning, når produktet ikke længere understøttes. Forordningen gælder kun de digitale udbydere i dens artikel 1. For alle andre er punktet en målestok, der flytter spørgsmålet frem til købet: Hvornår holder support op, og hvad er planen så?
Punkt 2.3.3 i samme bilag siger, at resultaterne af en uafhængig gennemgang rapporteres til ledelsesorganerne, hvorefter enheden enten retter op eller tager imod den resterende risiko efter sine egne kriterier for accept. Det er præcis den beslutning, et system uden support kræver.
Rigsrevisionens opfølgning fra 2025 viser, at manglende sikkerhedsopdateringer var blandt fundene i en beretning fra 2018 og delvist stod åbne syv år senere.
Sådan vurderes det i en koncern
Det er praksis at bede hvert selskab om en liste over systemer, hvor producentens support er ophørt eller ophører inden for en kendt periode, med oplysning om, hvad systemet bruges til, og hvem der ejer det. Listen lægges sammen på koncernniveau.
Vurderingen ser derefter på tre ting for hvert system:
- Hvor kritisk er systemet for forretningen? · Hvor stor skaden er, hvis det fejler eller kompromitteres
- Hvor eksponeret er det? · Om det kan nås udefra eller fra resten af netværket
- Findes der en plan og en ejer? · Om risikoen er styret eller bare til stede
Opdelingen er sitets. Den gør det muligt at skelne mellem et gammelt system, der står afskærmet med en dato for udskiftning, og et, der står åbent uden plan. Begge er teknisk gæld, men kun det ene er et alvorligt fund.
Sådan rapporteres det til ledelsen
En liste over systemnavne siger ikke meget til en bestyrelse. Det er praksis at rapportere teknisk gæld som et lille antal risici, der er grupperet efter forretningsproces eller selskab, og som hver har en ejer, en plan og en status. Det er også praksis at vise, hvor mange systemer der har en dokumenteret accept, og hvem der har givet den.
Det er sitets anbefaling, at accepten gives af en med myndighed til at påtage sig risikoen, og at den har en udløbsdato. En accept uden udløbsdato bliver i praksis permanent. Hvem der må acceptere hvad i en koncern, er beskrevet i risikoaccept af fund.
Teknisk gæld i koncernscoren
I en modenhedsmåling kan teknisk gæld gemme sig. Et selskab kan have en fin proces for opdateringer og alligevel køre kritiske systemer, der ikke kan opdateres. Sitet anbefaler et særskilt spørgsmål i målingen om systemer uden support, så processen og den faktiske tilstand vises hver for sig.
Detaljerne om, hvordan opdateringstilstanden kontrolleres teknisk, står under tekniske kontrolpunkter. Ældre systemer i stat, regioner og kommuner er et emne for IT-audit i det offentlige. En tænkt koncern kan have tre selskaber med samme gamle lagersystem, hvert med sin lokale forklaring på, hvorfor det ikke kan skiftes. Samlet på koncernniveau bliver de tre forklaringer til én risiko med én ejer og én beslutning.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at hvert selskab kender sine systemer uden support, at listen samles på koncernniveau, og at ledelsen tager stilling til hver af de kritiske. Det kræver også, at supportperioden bliver et spørgsmål ved hvert nyt køb.
Lader man det være, ligger risikoen hos den, der tilfældigvis driver systemet. Ledelsen har ikke truffet en beslutning, men bærer konsekvensen, hvis systemet bliver vejen ind.
Det skal I lade være med
- At rapportere teknisk gæld som en systemliste · ledelsen skal se risici med ejer og plan.
- At give risikoaccept uden udløbsdato · så bliver den permanent.
- At lade en god opdateringsproces skjule gamle systemer · de skal vises særskilt.
Det skal gennemgangen kunne vise
- ☐ En samlet liste over systemer uden support på tværs af koncernen.
- ☐ En ejer og en plan for hvert kritisk system.
- ☐ Dokumenterede risikoaccepter med udløbsdato og ansvarlig.
- ☐ Krav om supportperiode i nye indkøb.
Kilder
- Gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilagets punkt 2.3.3 og 6.1.2, læst 14. november 2026.
- ENISA, 2025 NIS Investments, main report, læst 14. november 2026.
- ENISA Threat Landscape 2025, revideret udgave v1.3, læst 14. november 2026.
- CISA og NSA, Top Ten Cybersecurity Misconfigurations (AA23-278A), 5. oktober 2023, læst 14. november 2026.
- Rigsrevisionen, Fortsat notat til Statsrevisorerne om beskyttelse mod ransomwareangreb, RN 1406/25, september 2025, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bed hvert selskab om en liste over systemer, hvor supporten er ophørt, med ejer og forretningsformål.
Læs også: Tid til at lukke kritiske sårbarheder som nøgletal · Gentagne fund
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
