Hændelsesrapportering i øvelsen: hvad må øves, og hvad må ikke indberettes

En realistisk red team-øvelse kan få forsvaret til at tro, at organisationen er ramt af en alvorlig hændelse. Hvis forløbet følger beredskabsplanen, nærmer det sig før eller siden det punkt, hvor nogen skal vurdere, om hændelsen skal meldes til en myndighed, til kunder eller til samarbejdspartnere. Grænsen hviler på et enkelt princip: den interne vurdering må gerne øves fuldt ud, men en ekstern indberetning om noget, der viser sig at være en øvelse, skal standses af white team, før den sendes. Hvordan reglerne om indberetning forholder sig til en øvelse, organisationen selv har bestilt, er en vurdering, juristen skal foretage på forhånd.

Teksten er ikke juridisk rådgivning. Den peger på de spørgsmål, sikkerhedsfunktionen bør have afklaret.

Den interne kæde er værd at afprøve

Indberetning begynder længe før selve meldingen. Nogen skal opdage, nogen skal vurdere alvoren, nogen skal beslutte, om kriterierne for indberetning kan være opfyldt, og nogen skal formulere meldingen. Hvert led kan svigte, og en øvelse er en af de få lejligheder, hvor det kan ses under realistisk pres. → Eskalering

Det, en øvelse kan vise, er fx:

Om vurderingen bliver foretaget · bliver spørgsmålet om indberetning overhovedet stillet, og af hvem?
Om de rette folk bliver inddraget · juridisk funktion, compliance, databeskyttelsesrådgiver og ledelse.
Om tiden bliver holdt øje med · bliver det noteret, hvornår organisationen blev bekendt med hændelsen?
Om udkastet kan skrives · findes skabeloner og oplysninger, eller skal alt findes frem under pres?

Ingen af disse led kræver, at en melding faktisk sendes. → Beredskabsplanen under en red team-øvelse

Reglerne, der kan blive aktuelle

Hvilke regler der gælder, afhænger af organisationen. Tre regelsæt kan være i spil.

DORA · finansielle enheder indberetter større IKT-relaterede hændelser til den kompetente myndighed (artikel 19, stk. 1). Forordningen definerer en IKT-relateret hændelse som en hændelse, der ikke har været planlagt af den finansielle enhed (artikel 3, nr. 8).
NIS2 · direktivet pålægger medlemsstaterne at sikre, at væsentlige og vigtige enheder underretter CSIRT’en eller den kompetente myndighed om væsentlige hændelser (artikel 23, stk. 1). Den danske gennemførelse afgør de konkrete regler.
Databeskyttelsesforordningen · brud på persondatasikkerheden anmeldes som udgangspunkt til tilsynsmyndigheden (artikel 33, stk. 1), og forordningen definerer et brud i artikel 4, nr. 12.

Definitionerne er ikke skrevet med øvelser for øje. At DORA’s definition taler om hændelser, der ikke har været planlagt af enheden, er relevant for en øvelse, organisationen selv har bestilt, men hvad det betyder i det konkrete tilfælde, er en juridisk vurdering. Det samme gælder spørgsmålet om, hvorvidt holdets adgang til personoplysninger inden for aftalte rammer kan udgøre et brud. → Persondata i øvelsen

Spørgsmål til juristen før øvelsen

Sikkerhedsfunktionen bør bede den juridiske funktion om at vurdere en række konkrete spørgsmål, inden rammerne godkendes. Svarene skrives ind i planen.

☐ Kan forløbet i øvelsen udløse en pligt til indberetning, og under hvilke omstændigheder?
☐ Skal en myndighed orienteres om øvelsen på forhånd, eller skal det undgås?
☐ Hvordan dokumenteres det, at aktiviteten var en del af en godkendt øvelse?
☐ Hvad sker der, hvis holdet får adgang til personoplysninger ud over det aftalte?
☐ Hvad gælder, hvis en leverandør, der selv er omfattet af regler om indberetning, opdager aktiviteten?
☐ Hvordan håndteres en indberetning, hvis den alligevel bliver sendt?

Det femte punkt er let at overse. En driftsleverandør eller en SOC-leverandør kan have egne forpligtelser, og den skal derfor vide, hvem den kontakter, før den handler på egen hånd. → SOC-leverandøren og øvelsen

Stoppunktet før meldingen

I praksis skal white team have et fast stoppunkt i forløbet: før en indberetning eller en meddelelse til kunder sendes, skal en person i white team være orienteret. Det kan ske ved, at den, der har ansvaret for at godkende meldinger, er en del af white team, eller ved at proceduren for godkendelse i øvelsesperioden har en ekstra kontrol, som white team kender.

Stoppunktet må ikke kunne bruges til at standse en melding om en rigtig hændelse. Hvis white team ikke kan bekræfte, at det observerede stammer fra øvelsen, følger meldingen de almindelige regler. → Øvelse eller rigtigt angreb?

Kunder, partnere og medarbejdere

Indberetning til myndigheder er kun den ene del. Beredskabsplanen kan også indeholde meddelelser til kunder, samarbejdspartnere, forsikringsselskab eller hele organisationen. Også her må forberedelsen gerne øves, men intet må sendes ud af huset om en hændelse, der ikke findes.

Det kræver, at kommunikationsfunktionen er med i overvejelserne. Hvis den ikke er en del af white team, skal der være en aftale om, at udgående meddelelser om sikkerhedshændelser i øvelsesperioden passerer en person, der kender til øvelsen. Det samme gælder interne meddelelser til alle medarbejdere, som hurtigt kan nå uden for organisationen.

Et udkast, der blev skrevet, men aldrig sendt, er et godt resultat. Det viser, at organisationen kunne kommunikere, og det kan gennemgås bagefter for indhold og tone. → Kommunikationsplan

En ægte hændelse midt i øvelsen

Hvis der under øvelsen opstår en rigtig hændelse, gælder de almindelige regler fuldt ud. Øvelsen sættes på pause eller afbrydes efter stopreglerne, og indberetningen handler om den rigtige hændelse, ikke om øvelsen. Det skal være klart på forhånd, så ingen tøver, fordi de tror, det hele er planlagt. → En ægte hændelse midt i øvelsen

De regulerede test er en anden situation

I de regulerede test efter TIBER-DK og DORA er myndigheden en del af forløbet fra start og følger testen gennem testledere. Erfaringerne derfra kan ikke uden videre overføres til en frivillig øvelse, hvor myndighederne ikke er involveret. For en frivillig øvelse er det derfor juristens vurdering og white teams stoppunkt, der bærer.

Det skal I lade være med

At antage, at en øvelse aldrig kan udløse en pligt · det er en juridisk vurdering, ikke en selvfølge.
At lade forløbet stoppe, før den interne vurdering er nået · så afprøves den del ikke.
At lade en ekstern melding om øvelsen blive sendt · stoppunktet skal være på plads.
At bruge stoppunktet til at holde en rigtig hændelse tilbage · tvivl betyder almindelige regler.
At glemme leverandørernes egne forpligtelser · de skal vide, hvem de kontakter.
At skrive reglerne ind i planen uden juristens gennemgang · sikkerhedsfunktionen skal ikke afgøre det alene.

Hvad kan og ikke kan konkluderes

En øvelse kan vise, om organisationen vurderer, dokumenterer og forbereder en indberetning, som den skal. Den kan ikke vise, hvordan en myndighed eller en kunde ville modtage meldingen, og den kan ikke afgøre, hvordan reglerne om indberetning skal forstås. Det sidste kræver en juridisk vurdering, som bør ligge før øvelsen og ikke efter.

Kilder

Forordning (EU) 2022/2554 (DORA): artikel 3, nr. 8, definition af IKT-relateret hændelse, og artikel 19, stk. 1, om indberetning af større IKT-relaterede hændelser.
Direktiv (EU) 2022/2555 (NIS2): artikel 23, stk. 1, om underretning om væsentlige hændelser.
Forordning (EU) 2016/679 (databeskyttelsesforordningen): artikel 4, nr. 12, og artikel 33, stk. 1, om brud på persondatasikkerheden.

Senest gennemgået: oktober 2026.