Forsvarsindustrien: klassificerede oplysninger og krav til holdet

En virksomhed, der leverer til forsvaret, kan have to verdener under samme tag: en almindelig forretning med mail, økonomi og produktion og en klassificeret del, hvor særlige regler bestemmer, hvem der må se hvad. En red team-øvelse kan sagtens afprøve forsvaret, men den kan ikke behandle de to verdener ens. Svaret er at bygge øvelsen om den ikke-klassificerede del og lade grænsen til det klassificerede være målet, så holdet ikke får brug for adgang, det ikke må have. Grundlaget er sikkerhedscirkulæret og Forsvarets Efterretningstjenestes vejledning om virksomhedssikkerhed.

Gengivelsen er forenklet og er ikke juridisk rådgivning. Spørgsmål om klassificeret arbejde afklares med kunden og den ansvarlige myndighed.

To verdener i samme virksomhed

Sikkerhedscirkulæret, cirkulære nr. 10338 af 17. december 2014, fastlægger klassifikationsgraderne fra TIL TJENESTEBRUG til YDERST HEMMELIGT og reglerne for, hvem der må få indsigt. Efter § 12 må klassificerede informationer ikke gøres tilgængelige for personer, der ikke er sikkerhedsgodkendt til den pågældende grad, og efter § 16 kræver indsigt, at det er tjenstligt nødvendigt.

Cirkulæret retter sig mod offentlige myndigheder. Virksomheder, der udfører klassificeret arbejde for forsvaret, er underlagt FE’s vejledning om virksomhedssikkerhed og de krav, der følger af kontrakten. Vejledningen fra juli 2026 kræver bl.a., at kun sikkerhedsgodkendte medarbejdere med et arbejdsbetinget behov får adgang til systemer med klassificerede informationer.

For en øvelse betyder det, at den klassificerede del ikke bare er et fredet system blandt andre. Den er et område, hvor holdet efter reglerne ikke må være, medmindre det er særskilt aftalt og godkendt.

Hvem der må være på holdet

Når øvelsen holdes på den ikke-klassificerede side, er der ikke et generelt krav om, at holdet skal være sikkerhedsgodkendt. Men kunden i forsvaret kan stille krav i kontrakten, og virksomheden kan selv vælge at stille dem. Spørg, før holdet sammensættes.

Skal holdet alligevel i nærheden af klassificerede informationer, gælder andre regler. FE’s vejledning siger, at konsulenter, der arbejder med klassificerede informationer hos en myndighed, sikkerhedsgodkendes, og at arbejdet ikke må begynde, før de er godkendt. Efter cirkulærets § 13 træffer den offentlige myndighed afgørelse om sikkerhedsgodkendelse, også af ansatte i private firmaer, der arbejder for den, og godkendelsen gælder kun arbejdet for den myndighed. Det kræver forberedelse og en myndighed, der vil stå bag.

Et sådant krav skal i givet fald dække alle, der får adgang, også tilknyttede konsulenter og den, der leder white team. → Red team-holdet

Hvad der kan være i scope

Den ikke-klassificerede forretning er et realistisk mål i sig selv. En modstander, der vil have fat i forsvarsrelateret viden, vil også se efter tegninger, tilbud, leverandørlister og korrespondance, der ikke er klassificeret, men som stadig er værdifuld. → Spionage og statsaktører som scenarie

Klassificerede systemer holdes ude. Efter cirkulærets § 27 skal systemer, der behandler informationer klassificeret FORTROLIGT eller højere, sikkerhedsgodkendes af den nationale it-sikkerhedsmyndighed, og efter § 40 må eksterne systemer kun tilkobles dem efter godkendelse. Et red team, der forsøger at forbinde sig til sådan et system, vil gå imod selve formålet med reglerne.

Flaget kan i stedet sættes ved grænsen. Holdet kan vise, at det har nået en position på den ikke-klassificerede side, hvorfra næste skridt ville være at forsøge at krydse over. → Systemer, der ikke må røres

Tænk jer en producent af kommunikationsudstyr, hvor udviklingsafdelingen arbejder på et klassificeret projekt i et adskilt miljø. Øvelsen tager udgangspunkt i en phishingmail til en sælger og har som flag at nå en fil med en ikke-klassificeret kundeliste og at vise, hvilke medarbejdere i forretningen der også har adgang til det adskilte miljø. Holdet rører ikke selve miljøet. Eksemplet er tænkt.

Sikrede områder og fysisk adgang

FE’s vejledning beskriver sikrede områder til opbevaring af materiale klassificeret FORTROLIGT og højere, med mekanisk sikring, elektronisk overvågning og alarmoverførsel til en døgnbemandet vagtbygning eller godkendt kontrolcentral. En fysisk øvelse, der går mod sådan et område, vil udløse et beredskab, som ikke kun er virksomhedens eget.

Det taler for, at den fysiske del stopper ved yderdøren til det sikrede område, og at den afprøver det, der ligger før: reception, adgangskort, besøgsprocedurer og opmærksomheden over for fremmede. → Fysisk adgang i red teaming

Kunden og myndigheden skal spørges

Den klassificerede del af virksomheden tilhører i en vis forstand kunden. Det er kundens informationer, og det er kundens regler. Derfor skal sikkerhedschefen, som FE’s vejledning knytter til virksomhedsgodkendelsen, være med i planlægningen, og kunden skal kende til øvelsen, hvis den kan berøre klassificerede forhold. FE’s Sektion for Industrisikkerhed kan give vejledning. Arbejder virksomheden også med klassificeret materiale fra NATO, EU eller udenlandske kunder, kan andre landes regler spille ind, og vejledningen beskriver egne procedurer for klassificerede besøg.

Det svarer til tilladelserne fra andre ejere af systemer og lokaler, men med den forskel, at et nej her ikke kan forhandles. → Tilladelser til en red team-øvelse

Rapporten kan selv blive følsom

En rapport, der beskriver vejen til grænsen af det klassificerede, kan indeholde oplysninger, der bør beskyttes. Cirkulærets § 57 giver myndigheder mulighed for at lade reglerne gælde andre informationer af sikkerhedsmæssig betydning. Aftal med kunden, om rapporten skal klassificeres, og hvem der må modtage den. FE henstiller desuden til, at en virksomhed ikke reklamerer med sin sikkerhedsgodkendelse, og rapporten bør heller ikke sendes bredt. → Opbevaring af materiale

Leverandørens NIS2-krav i forsvarsindustrien er beskrevet på nis2-pentest.dk.

Det skal I lade være med

At lade holdet nærme sig klassificerede systemer uden godkendelse · reglerne tillader det ikke.
At sammensætte holdet, før kundens krav er kendt · kontrakten kan kræve godkendte personer.
At lade den fysiske del gå ind i sikrede områder · stop ved grænsen.
At holde sikkerhedschefen uden for · rollen er knyttet til godkendelsen.
At sende rapporten bredt · den kan selv være følsom.

Hvad kan og ikke kan konkluderes

Øvelsen kan vise, hvor tæt en modstander kunne komme på det klassificerede, og hvor godt den ikke-klassificerede forretning er beskyttet. Den kan ikke vise, om de klassificerede systemer og områder lever op til kravene. Det er myndighedernes godkendelse og tilsyn, der afgør det, og øvelsen erstatter heller ikke de kontroller, kunden selv foretager.

Tjekliste før en øvelse i forsvarsindustrien

☐ Er grænsen mellem klassificeret og ikke-klassificeret beskrevet, så holdet kan overholde den?
☐ Kender I kundens krav til holdets sikkerhedsgodkendelse?
☐ Er sikkerhedschefen med i planlægningen?
☐ Ved kunden besked, hvis øvelsen kan berøre klassificerede forhold?
☐ Stopper den fysiske del før sikrede områder?
☐ Er det aftalt, hvordan rapporten klassificeres og opbevares?

Kilder

Sikkerhedscirkulæret, cirkulære nr. 10338 af 17. december 2014: § 1 om klassifikationsgrader, §§ 12, 13 og 16 om sikkerhedsgodkendelse og need to know, § 27 og § 40 om elektroniske informationssystemer og § 57 om andre informationer. Ændret ved cirkulære nr. 9281 af 23. februar 2026.
Forsvarets Efterretningstjeneste, Vejledning om virksomhedssikkerhed, version 2.90 (juli 2026): sikkerhedsgodkendelse af virksomheder og konsulenter, adgangsstyring, sikrede områder og henstilling om ikke at reklamere med godkendelsen.

Senest gennemgået: oktober 2026.