Den 7. oktober lagde TRYG lokaler til Hele Danmark Øver – en simuleret cyberangrebsøvelse faciliteret af Jens Nielsen fra Secure Practice og Lars M. Nielsen fra KPMG. Omkring 30 deltagere fra små og mellemstore virksomheder, offentlige organisationer og NGO’er deltog aktivt i scenariet via mobiltelefoner og fælles diskussioner.
For mig som psykolog var det oplagt at observere, hvordan kriseledelse og psykologisk tryghed blev håndteret – hvordan usikkerhed blev mødt, og hvordan ledere forsøgte at genetablere struktur og tillid.
Centrale pointer fra dagen:
- Den nye virkelighed er svær at acceptere. Flere udtrykte håbløshed over en verden, hvor Rusland, Kina, Nordkorea og Iran (og også USA med handelsbarrierer) er med til at skabe ustabilitet.
- Hvem tager ansvaret i en krise? SMV’er har ofte ikke en fuldt udbygget IT-sikkerhedsorganisation, men er afhængige af leverandører. Det skaber usikkerhed og forsinkelser, når myndigheder og partnere skal orienteres inden for 72 timer.
- Backup er ikke nok. Det afgørende er at kende tidshorisonten for, hvornår systemer reelt kan genskabes.
- 55 % af SMV’er har aldrig øvet en cyberkrise. Det betyder, at mange ikke har en fungerende krisestab at trække på. Minimum bør en krisestab bestå af: kriseleder, logfører, IT-fagligt ansvar, system/procesejer, jura, HR og kommunikation.
- Tidsfaktoren er kritisk. Perioder som fredage og lønudbetalinger kan øge sårbarheden markant.
- NIS2 forpligter. Ikke kun kritisk infrastruktur, men også leverandører i værdikæden bærer et skærpet ansvar. Dokumenterede procedurer og standarder (fx ISO 27001/27005) bliver afgørende.
- Topledelsen skal sætte sig for bordenden. Både for at være orienteret og for at tage ejerskab.
Mit råd er, at virksomheder organiserer en krisestab som en styregruppe med en kriseleder som projektansvarlig og deltagelse fra IT, drift, jura, HR og kommunikation. For de 55 % uden erfaring kan startpunktet være at introducere ISO 27000-serien og begynde en implementering, samtidig med at man indgår i netværk på tværs af værdikæden.
Øvelsen viste, at teknologien kun er én del af ligningen.
Lige så vigtigt er det, hvordan vi som ledere håndterer usikkerhed, kommunikerer klart og skaber psykologisk tryghed i krisesituationer.