Krisestab og ledelse i øvelsen: skal de spille med?

En red team-øvelse kan stoppe, før den når direktionens bord. Holdet bliver opdaget af SOC’en eller når sit mål uden at blive set, og krisestaben bliver aldrig kaldt sammen. Men hvis forløbet udvikler sig, kan eskaleringen nå helt op, og så skal det være besluttet, om krisestaben og ledelsen er en del af det forsvar, der afprøves, eller om de står udenfor. Valget hviler på en afvejning mellem realisme og risiko: jo mere ledelsen ved, desto tryggere er øvelsen, og desto mindre siger den om, hvordan krisestaben arbejder, når det gælder.

Nogen i toppen ved det altid

En øvelse kan ikke være helt skjult for ledelsen. Den skal godkendes, og den, der godkender, ved besked. I TIBER-DK, Nationalbankens ramme for regulerede test, er adgangen til oplysninger om en planlagt eller igangværende test begrænset til en lille kreds, som udtrykkeligt omfatter virksomhedens ledelsesorgan. Uden for de regulerede rammer er udgangspunktet det samme: mindst én person i direktionen er informeret. → Ledelsens godkendelse

Spørgsmålet er derfor ikke, om ledelsen skal vide det, men hvem i ledelsen og i krisestaben der skal være uvidende, og hvor langt deres del af forløbet må gå.

Hvorfor det kan være værd at tage dem med

Krisestaben er det sted, hvor tekniske observationer bliver til forretningsbeslutninger. Skal en tjeneste lukkes? Skal kunderne orienteres? Hvem taler udadtil? Hvordan prioriteres genopretningen? Den slags beslutninger kan øves rundt om et bord, men en tabletop kan ikke vise, hvordan staben arbejder, når oplysningerne er usikre, tiden er knap, og ingen ved, om det er alvor. → Red teaming, tabletop og beredskabsøvelse

For nogle organisationer er krisestyring også et krav. DORA artikel 11, stk. 7, kræver, at finansielle virksomheder, der ikke er mikrovirksomheder, har en krisestyringsfunktion med klare procedurer for intern og ekstern krisekommunikation, når planerne for driftsstabilitet og indsats aktiveres. NIS2-direktivets artikel 21, stk. 2, litra c, nævner krisestyring sammen med driftskontinuitet. En øvelse, der når krisestaben, kan give viden om, hvordan funktionen virker i praksis. Om den kan bruges som dokumentation over for tilsyn, er en særskilt vurdering. Teksten er ikke juridisk rådgivning.

Risikoen ved at tage dem med

Når krisestaben arbejder for alvor, træffer den rigtige beslutninger. Den kan beslutte at lukke en forretningskritisk tjeneste, at orientere kunder eller samarbejdspartnere, at indkalde ekstern bistand eller at kontakte myndigheder. Nogle af de beslutninger kan ikke gøres om. De kan også have betydning ud over organisationen, fx for kunder, der mister adgang til en tjeneste.

Der er også en menneskelig risiko. Direktører, der bagefter opdager, at de har brugt en nat på en konstrueret krise, kan opleve det som et tillidsbrud, især hvis øvelsen ikke var forankret ordentligt. Det kan skade opbakningen til sikkerhedsarbejdet i lang tid. Og ledelsens tid er knap; en krisestab, der er samlet i to dage, er ikke til rådighed for andet. → Direktion og bestyrelse som mål

Tre modeller at vælge imellem

Der er grundlæggende tre måder at håndtere krisestaben på:

Informeret og uden for spillet · krisestaben kender til øvelsen og bliver ikke kaldt sammen. Eskaleringen måles op til det niveau, hvor staben ville være blevet indkaldt, og stopper der. Det er den sikreste model, men krisestabens arbejde afprøves ikke.
Uvidende og med i spillet · krisestaben er en del af forsvaret og arbejder, som om forløbet var ægte. White team har en person i eller tæt på staben, og bestemte beslutninger standses. Modellen giver den mest realistiske afprøvning og den største risiko.
Afsløring ved indkaldelse · når krisestaben indkaldes, bliver den orienteret om øvelsen og fortsætter som en åben krisestabsøvelse med holdets faktiske forløb som scenarie. Modellen bevarer den skjulte afprøvning af eskaleringen og giver en kontrolleret øvelse af staben bagefter.

Den tredje model kan være et godt kompromis, fordi den afprøver vejen op til staben uden at lade staben træffe uigenkaldelige beslutninger. Et tænkt eksempel: i en sparekasse når eskaleringen en søndag aften frem til den vagthavende direktør, som indkalder krisestaben. White teams leder hører om indkaldelsen via sin plads i kæden, orienterer direktøren, og staben mødes med besked om, at forløbet er en øvelse. De næste timer bruges på at træffe de beslutninger, staben ville have truffet, men som noter og udkast, ikke som handlinger. Sparekassen får både målt vejen op og øvet staben, uden at nogen kunde mærker det.

Valget skal træffes af den ledelse, der har godkendt øvelsen, og stå i rules of engagement.

Grænser, hvis krisestaben spiller med

Hvis I vælger den anden model, skal grænserne være præcise. Aftal, hvilke beslutninger staben må træffe og gennemføre, og hvilke white team skal standse, før de føres ud i livet. Henvendelser til myndigheder, kunder, medier og andre eksterne parter bør som udgangspunkt standses. Det samme gælder nedlukninger, der rammer kunderne. → Beredskabsplanen under en red team-øvelse

Sæt en tidsramme for, hvor længe staben må arbejde, før øvelsen afsløres. Sørg for, at white teams person i staben kan tale med lederen af white team uden at blive hørt. Og planlæg afsløringen omhyggeligt: hvem fortæller hvem, hvornår, og hvordan bliver stabens indsats anerkendt? → Kommunikationsplan

Det, der skal dokumenteres

Krisestabens arbejde giver kun læring, hvis det bliver dokumenteret. Aftal på forhånd, at staben fører en beslutningslog, som den ville gøre i en rigtig krise, og at udkast til kommunikation gemmes. Bagefter lægges stabens beslutninger ind i tidslinjen ved siden af holdets handlinger og forsvarets observationer. Det viser, hvor lang tid der gik fra første alarm til første forretningsbeslutning, og hvilke oplysninger beslutningerne byggede på.

Over for bestyrelsen er det ikke nødvendigvis relevant at tage medlemmerne med i spillet. Bestyrelsen har mere glæde af en kort fremlæggelse bagefter, der viser, hvordan krisestaben arbejdede, og hvad der skal ændres. → Afrapportering til ledelsen

Det skal I lade være med

At lade krisestaben spille med uden aftalte grænser · uigenkaldelige beslutninger kan blive truffet.
At glemme den menneskelige pris · ledere, der føler sig ført bag lyset, mister tilliden.
At lade eksterne henvendelser gå ud · myndigheder, kunder og medier skal ikke inddrages på grund af en øvelse.
At afsløre øvelsen uden plan · rækkefølgen og anerkendelsen skal være forberedt.
At springe beslutningsloggen over · uden den forsvinder læringen.
At vælge model uden ledelsens godkendelse · det er ledelsens egen tid og risiko.

Hvad kan og ikke kan konkluderes

En øvelse, der når krisestaben, kan vise, hvordan staben blev indkaldt, hvilke oplysninger den fik, og hvilke beslutninger den traf i et bestemt forløb. Den kan ikke vise, hvordan staben ville klare en krise af en anden art eller størrelse, og beslutninger, som white team standsede, er ikke afprøvet i praksis.

Kilder

Danmarks Nationalbank, TIBER-DK Implementation Document: adgang til oplysninger om testen begrænset efter need-to-know, herunder til ledelsesorganet.
DORA, forordning (EU) 2022/2554: artikel 11, stk. 7, om krisestyringsfunktion og krisekommunikation.
NIS2, direktiv (EU) 2022/2555: artikel 21, stk. 2, litra c, om driftskontinuitet og krisestyring.

Senest gennemgået: oktober 2026.