Miljøbeskrivelsen · Analyse
I 10 år har truslen været MEGET HØJ. Og det er derfor, den ikke kan fortælle dig, hvad du skal gøre.
Siden 2015 har Forsvarets Efterretningstjeneste vurderet truslen fra cyberspionage mod danske virksomheder og myndigheder til det højeste niveau på skalaen. Cyberkriminalitet fulgte året efter. Ingen af dem har flyttet sig siden.
Jeg har tidligere skrevet om, hvordan trusselsniveauer fungerer som ledelsessignaler — pejlemærker for, hvornår en organisation bør skifte fra monitorering til handling.
Men der er ét tilfælde, hvor den logik bryder sammen: når signalet aldrig ændrer sig.
Mange ledelser drager en af to konklusioner. Enten er situationen så alvorlig, at man burde være i konstant beredskab. Eller også har niveauet mistet sin betydning, fordi der jo ikke er sket noget hos os. Begge konklusioner hviler på den samme misforståelse.
Skalaen er ikke i stykker
Den oplagte indvending er, at en skala, der altid står på max, ikke måler noget.
Jeg har gennemgået FE's offentlige risikovurderinger tilbage til 2010 — fra de tidligere efterretningsmæssige risikovurderinger til UDSYN — og kortlagt hver formel niveauændring.
Billedet er entydigt: Instrumentet bevæger sig.
Cyberaktivisme er sænket og siden hævet ad to omgange i takt med Ruslands krig i Ukraine. Truslen fra destruktive cyberangreb blev hævet fra LAV til MIDDEL i juni 2024. Cyberterror står på det lavest mulige niveau: INGEN.
Fem formelle ændringer på 10 år. Skalaen reagerer, når miljøet ændrer sig. Så når cyberspionage og cyberkriminalitet alligevel har været konstant på MEGET HØJ i et årti, er det ikke et instrument, der sidder fast. Det er et miljø, der har fundet sit leje.
Hvad vurderingen faktisk beskriver
Trusselsvurderingen beskriver kapaciteten og intentionen hos de aktører, der opererer i det miljø, danske virksomheder befinder sig i. Den beskriver ikke situationen i jeres virksomhed. Det er ikke en svaghed ved vurderingen — det er dens mandat.
Vi bor i et land, hvor det regner. Meteorologerne kan fortælle dig det med stor præcision. Men de kan ikke fortælle dig, om dit tag er tæt.
Mange organisationer læser alligevel vurderingen som et varsel, der kræver en reaktion. Et varsel, der aldrig ændrer sig, mister sin funktion, og efter 10 år begynder nogle at efterspørge "en anden form for risikovurdering" — som om problemet var skalaen. Problemet er læsningen. En beskrivelse af miljøet bliver behandlet som en beskrivelse af ens egen situation. Og der er ikke sket noget hos os er ikke et argument mod trusselsvurderingen. Det er et udsagn om noget, som vurderingen aldrig har handlet om.
Andres krise er ikke jeres krise
Den samme fejllæsning sker i nyhedsstrømmen.
Når en dansk virksomhed bliver ramt, reagerer mange organisationer, som om det var deres egen hændelse. Der indkaldes til møde; nogen spørger Kunne det ske hos os?, og så vender man tilbage til driften. Indtil næste overskrift.
Men andres krise er ikke jeres krise. Den er noget mere anvendelig: en bekræftelse på, at miljøbeskrivelsen holder, og en påmindelse om, at I stadig har den arbejdsro, den ramte virksomhed netop har mistet. Det betyder ikke, at hændelsen er irrelevant — et brud i egen sektor eller hos en fælles leverandør er reel information om eksponering. Men dens funktion er ikke at udløse jeres beredskab.
Spørgsmålet Kunne det ske hos os? kan altid besvares med ja, og svaret ændrer ingenting.
Det mere brugbare spørgsmål er: Hvad kan vi nå at få efterset, mens det stadig er andres krise og ikke vores?
Hvad det betyder for ledelsen
Konsekvensen er ikke at ignorere niveauet, men at omklassificere det: fra alarmsignal til en baggrundsbetingelse. Klimaet bygger man efter — man reagerer ikke på det.
Et konstant højt trusselsmiljø kombineret med ro i egen organisation er ikke en modsætning. Det er et arbejdsvindue, og det har et konkret indhold. Fredstiden er der, hvor man kan nå at stille de spørgsmål, der ikke kan besvares under pres:
Ved vi, hvilke leverandører der reelt bærer vores kritiske processer — og hvad vores aftaler siger, hvis en af dem bliver ramt?
Er vores beredskabsplan et dokument eller en indøvet beslutningsgang, hvor mandaterne er afklaret, før det sker uden for åbningstid?
Hvornår har vi sidst testet, at det, vi tror, vi kan genskabe, faktisk kan genskabes?
Ingen af de spørgsmål kan besvares meningsfuldt midt i en hændelse. Alle tre kan besvares nu.
Spørgsmålet til bestyrelseslokalet
Hvem i din organisation ejer oversættelsen fra det nationale trusselsmiljø til jeres konkrete eksponering?
Mange vil svare: Det gør vores CISO. Måske. Men at udpege en CISO er et svar på, hvem der driver sikkerhedsarbejdet — ikke nødvendigvis på, hvem der ejer oversættelsen. Ejerskab kræver mandat til at flytte prioriteter, adgang til beslutninger, der ligger uden for IT-domænet — leverandøraftaler, budget, beredskabsmandater — og en risikoappetit fra forretningen, der faktisk er formuleret, så der er noget at oversætte til. En CISO, der mangler en af de tre, er ikke ejer af oversættelsen, men modtager af den.
Og hvis svaret er ingen, har man i praksis outsourcet sin risikovurdering til en institution, der aldrig har set ens tag. E-tjenesterne har leveret deres halvdel konsekvent i 10 år. Den anden halvdel kan kun laves indefra, af jer selv.
Det er den oversættelse, jeg arbejder med: at omsætte strukturelle trusselsbilleder til konkrete governance-beslutninger. Hvis spørgsmålet ovenfor ikke har et klart svar hos jer, er det formentlig det vigtigste sted at starte.
The Arx Insight Briefing isolerer hver måned ét forhold, der ændrer virksomheders eksponering. På dansk, ét emne ad gangen, cirka ti minutters læsning.
Først publiceret som perspektiv på LinkedIn, juli 2026.