Cybersikkerhed i Danmark

Name: Cybersikkerhed er afgørende for et trygt digitalt samfund og virksomheders modstandskraft
Uploaded: 2024-02-29T00:23:29-08:00
Duration: 25 s
Description: I PwC bidrager vi til at styrke din virksomheds cybersikkerhed. Vi hjælper med alt fra strategi til uddannelse, sikkerhedstest og indsigt i lovkrav. Og ved d...

juli 1, 2026 19:52

Af L. Agerholm — Redaktionen Tech

Sidst opdateret: juli 1, 2026

11 min. læsning

Der er en forskel på at være robust og at ikke være blevet ramt endnu. Danmark elsker at kalde sig en digital nation i front, og det er vi da også, på papir. Men bag de pæne procenter og de veludformede EU-direktiver gemmer der sig en ubehagelig sandhed: Vores digitale forsvar er bygget til gårsdagens trusler. Og ingen i det politiske system ser ud til at ville sige det højt.

Indholdsfortegnelse

Det er ikke et IT-problem
Rusland ved, hvad de gør. Det gør vi ikke
Specialisterne mangler, og ingen ved, hvad de skal tilbyde dem
NIS2 er ikke en løsning. Det er et startskud
Hvem betaler, når det går galt?
Det politiske tomrum
Hvad der faktisk skal til

Det er ikke et IT-problem

Lad mig sige det klart fra starten: Cybersikkerhed er ikke et IT-problem. Det er et samfundsproblem. Når Nationalt Risikobillede 2025 fra Styrelsen for Samfundssikkerhed vurderer cyberkriminalitet og cyberspionage som “meget høj” trussel (den højeste kategori) er det ikke en teknisk vurdering. Det er en politisk kendsgerning, der endnu ikke er blevet behandlet med den politiske alvor, den fortjener.

Læs også: Kvantumcomputing: Den nye trussel mod bankernes kryptering

Antallet af angreb mod danske virksomheder steg 49 procent i 2023. Hver fjerde virksomhed med mere end ti ansatte oplevede et brud inden for det seneste år. Hos de større virksomheder var det over halvdelen. Og alligevel er cybersikkerhed stadig noget, der behandles i IT-afdelingen og ikke i Finansministeriet. Det er omtrent som at overlade trafiksikkerheden til autoværkstedet.

Rusland ved, hvad de gør. Det gør vi ikke

86 procent af danske ledere peger på geopolitik som den primære driver bag den øgede trussel, ifølge PwC’s Cybercrime Survey 2025. Det er ikke paranoia, men en rimelig reaktion på kendte fakta. Rusland og Kina målretter systematisk danske og nordeuropæiske forsvars-, energi- og forskningsmiljøer. Det er ikke tilfældigt, og det er ikke opportunistisk. Det er strategi.

Problemet er, at vores modreaktion ikke er en strategi. Den er en reaktion. Vi bygger vores forsvar op, efter vi er blevet ramt, ikke før. CFCS koordinerer trusselsinfo, NIS2-direktivet er ved at blive implementeret, DORA-forordningen rammer finanssektoren. Alt sammen fornuftigt. Alt sammen for langsomt og for fragmenteret til at matche en modstander, der tænker i årtier og ikke i fireårige valgperioder.

Specialisterne mangler, og ingen ved, hvad de skal tilbyde dem

Her er det konkrete problem, som ingen politiker rigtig vil forholde sig til: Vi har ikke nok folk. Slet ikke. En typisk dansk virksomheds sikkerhedsafdeling har 2-3 analytikere til at håndtere det, der egentlig kræver 20. Budgettet alene løser det ikke. Problemet er strukturelt. Der er simpelthen ikke nok uddannede specialister i landet.

Den mand, der sidder i et kommunalt it-system og kigger på alarmer, han ikke har kapacitet til at reagere på, er ikke doven. Han er alene. Og bag ham er der en kommunaldirektør, der ved at det er et problem, men ikke ved, hvad han skal gøre ved det, og over ham er der et Folketing, der har vedtaget en digitaliseringsstrategi, men ikke en plan for, hvem der skal eksekvere den. Det er ikke ondskab, men systemisk blindhed.

Læs også: Er AI en trussel mod cybersikkerheden?

Danmarks Statistik viser, at it-branchen allerede kæmper med rekruttering på tværs af discipliner. Inden for cybersikkerhed er det endnu mere udtalt, fordi det er et nichefelt med et uddannelsessystem, der producerer generalister, ikke specialister. Og de specialister, der er, bliver hurtigt opkøbt af de store private aktører, fordi det offentlige simpelthen ikke kan følge med lønmæssigt.

NIS2 er ikke en løsning. Det er et startskud

NIS2-direktivet, som Danmark er i gang med at implementere, udvider kravene til kritisk infrastruktur markant. Implementeringsgraden er ifølge tilgængelige opgørelser sprunget fra 2 til 13 procent, og det præsenteres som fremskridt. Og det er det da også, på en måde.

Men lad os ikke forveksle lovgivning med beredskab. NIS2 siger, hvad virksomheder skal gøre. Det siger ikke, hvem der skal hjælpe dem med at gøre det, når de mangler kompetencerne. Det siger ikke, hvad der sker, når en mellemstor dansk producent med 80 ansatte modtager kravene og opdager, at de ikke har en CISO, og ikke har råd til en. Det siger ikke, hvad vi gør, når en leverandør i supply chainen (den IT-udbyder, der håndterer data for 300 kommunale institutioner) ikke er dækket af direktivet.

72 procent af virksomheder er i gang med at implementere AI til detektion og forsvar, ifølge PwC’s undersøgelse. Det lyder godt. Men AI-systemer detekterer mønstre i kendte trusler. De er kun så gode som de data, de er trænet på, og kun så effektive som de mennesker, der fortolker deres output. Uden specialister bag skærmen er AI et alarmsystem i et hus, ingen bor i.

Hvem betaler, når det går galt?

Det er det spørgsmål, de fleste artikler om cybersikkerhed aldrig stiller. Ikke på en reel måde. Et ransomware-angreb på et hospital koster ikke bare penge. Det koster behandlinger, sundhedsdata og i yderste konsekvens liv. Et cyberangreb på en bank koster ikke bare oprydning. Det koster borgernes tillid til systemer, de ikke kan undvære.

I England førte et ransomware-angreb på et laboratorium til tusindvis af udskudte behandlinger og fire måneders kaos. Det er ikke et hypotetisk scenarie. Det er en dokumenteret begivenhed. Danmark er ikke England, men Danmark er heller ikke immunt. Og spørgsmålet er ikke om, men hvornår. Jeg kan ikke bevise, at det sker inden for de næste tolv måneder. Men jeg kan konstatere, at sandsynligheden stiger for hvert år, vi underinvesterer.

36 procent af Dansk Erhvervs medlemmer oplevede cyberudfordringer inden for det seneste år. 42 procent forventer, at situationen forværres. Det er ikke pessimisme, det er en brancheorganisations kolde regneøvelse. Og den peger i én retning.

Det politiske tomrum

Her er det, der irriterer mig mest: Ingen er i tvivl om, hvad problemet er. Problemet er veldokumenteret, velanalyseret og velformidlet, og at det alligevel ikke oversættes til politisk prioritet i det omfang, situationen kræver.

CFCS udgiver trusselsvurderinger. Styrelsen for Samfundssikkerhed udgiver risikobilleder. PwC laver undersøgelser. Dansk Erhverv kræver bedre koordinering. NATO-topmødet i 2025 understregede behovet for investeringer. Alle ved det. Og så sker der… en lovimplementering her, en strategi der, et udvalg hist. Det er ikke handling, det er processuering af handling.

Det politiske Danmark har en tendens til at behandle cybersikkerhed som infrastruktur: noget, der skal vedligeholdes og reguleres, men ikke noget, der kræver et egentligt løft. Men infrastruktur kan man se og røre. Et cyberangreb er usynligt, indtil det ikke er mere. Og på det tidspunkt er det for sent at begynde at bygge kapaciteten.

Hvad der faktisk skal til

Jeg er ikke interesseret i at slutte med en huskeliste. Men der er tre strukturelle ændringer, som ingen seriøs debat om dansk cybersikkerhed kan undgå at forholde sig til.

For det første: Uddannelse. Ikke endnu en masteruddannelse i informationssikkerhed for 40 studerende om året. En reel national satsning på at producere specialister i et omfang, der modsvarer behovet. Det kræver penge, politisk vilje og et opgør med den forestilling om, at markedet nok klarer det selv.

For det andet: Offentlig-privat koordinering med tænder. Ikke en taskforce. Ikke et netværk. En reel mekanisme, der sikrer, at trusselsinformation deles hurtigt nok til, at den er brugbar, og at det offentlige beredskab kan aktivere privat kapacitet, når krisen rammer.

For det tredje: Ansvarlighed. Når et angreb rammer, er der i dag ingen klar linje for, hvem der bærer ansvaret: politisk, institutionelt, ledelsesmæssigt. Det er ikke et juridisk spørgsmål alene. Det er et spørgsmål om incitamenter. Og i dag er incitamentet til at underinvestere i sikkerhed langt stærkere end incitamentet til at prioritere det.

Danmark er ikke dårligt rustet i absolut forstand. Vi har institutioner, vi har direktiver, vi har kompetente folk i de rigtige stillinger. Men vi er en digital nation, der lever af sin infrastruktur, sine data og sin evne til at fungere sammenhængende, og vi beskytter det med et beredskab, der er dimensioneret til et lavere trusselsniveau end det, vi aktuelt befinder os i.

Det er ikke en katastrofe. Endnu. Men det er en gamble, vi tager hver eneste dag, og vi kalder det beredskab.

ExtraFokus.com: Dybere blik på det danske samfund.