Red teaming i offentlige myndigheder: politisk ledelse, aktindsigt og tilladelser

En kommune, en region eller en styrelse kan have samme grund som en virksomhed til at afprøve sit forsvar: Kan en målrettet angriber komme ind, og opdager vi det i tide? Men tre ting er anderledes i det offentlige. Ledelsen har både en administrativ og en politisk top, dokumenter om øvelsen kan blive omfattet af retten til aktindsigt, og borgerne er afhængige af systemer, som ikke må svigte. Svaret er at afklare de tre spørgsmål, før øvelsen planlægges: hvem der godkender, hvordan dokumenterne skal håndteres, og hvad der skal holdes helt uden for.

Teksten beskriver spørgsmål, I skal afklare med jeres egne jurister. Den er ikke juridisk rådgivning.

Kort om øvelsen

En red team-øvelse er en aftalt, skjult efterligning af et målrettet angreb. Et eksternt hold, red team, forsøger over en periode at nå et mål, fx adgang til et fagsystem med borgeroplysninger. Kun en lille kontrolgruppe, white team, kender til øvelsen og styrer den. Resten af organisationen, herunder IT og sikkerhed, reagerer som på en rigtig hændelse. Det er det, der gør resultatet brugbart: det viser, hvad der faktisk sker. → Hvad er red teaming?

Øvelsen kan omfatte telefonopkald og mails til medarbejdere og forsøg på at komme ind i bygninger. Derfor kræver den en klar ledelsesbeslutning.

Hvem der kan sige ja

I en virksomhed er det direktionen, der godkender. I en myndighed er billedet mere sammensat. Den administrative ledelse, fx kommunaldirektøren, regionsdirektøren eller styrelsens direktør, har ansvaret for driften og kan træffe beslutninger om sikkerhedsarbejdet inden for de rammer, den har fået delegeret. Den politiske ledelse, kommunalbestyrelse, regionsråd eller minister, har det overordnede ansvar.

Hvem der formelt kan godkende en øvelse, afhænger af jeres styrelsesvedtægt, delegationer og interne regler. Spørgsmålet skal afklares skriftligt, og svaret skal stå i beslutningen. Uanset hvem der siger ja, skal godkendelsen nævne de valg, der kan få konsekvenser: om medarbejdere kontaktes, om bygninger indgår, og hvad der er udelukket. → Ledelsens godkendelse

Indgår lejede lokaler, fælles it-løsninger eller leverandørers systemer, skal deres ejere også give tilladelse. Det er en særskilt opgave for white team. Bruger I løsninger, der drives i fællesskab med andre myndigheder, skal øvelsen afgrænses, så den ikke rammer de andre myndigheders medarbejdere, data eller borgere. En godkendelse hos jer dækker ikke dem.

Den politiske ledelse: orientering uden at afsløre

En øvelse, der holdes hemmelig for politikerne, kan blive en politisk sag, hvis den bliver kendt. En øvelse, som en hel kommunalbestyrelse kender detaljerne i, er svær at holde skjult. Mellemvejen kan være, at den politiske ledelse orienteres om, at administrationen gennemfører øvelser som led i sikkerhedsarbejdet, uden tidspunkt og detaljer, mens borgmesteren, regionsrådsformanden eller ministeren orienteres mere konkret under need to know.

Aftal på forhånd, hvem der skal fortælle hvad, hvis øvelsen opdages udefra, fx hvis en medarbejder ringer til politiet, eller en journalist hører om et forsøg på at komme ind på rådhuset. → Når øvelsen bliver opdaget udefra

Rapporten og aktindsigt

Offentlighedsloven giver efter § 7 enhver ret til at få indsigt i dokumenter, der er indgået til eller oprettet af en myndighed som led i administrativ sagsbehandling. Dokumenter om en øvelse kan derfor blive omfattet af en anmodning om aktindsigt, og § 15 indeholder regler om journalisering.

Loven har undtagelser. § 31 gør det muligt at begrænse aktindsigten, i det omfang det er af væsentlig betydning for statens sikkerhed eller rigets forsvar, og § 33 nævner bl.a. hensynet til forebyggelse af lovovertrædelser og til private og offentlige interesser, hvor hemmeligholdelse er påkrævet. § 34 betyder, at hvis undtagelsen kun gælder en del af et dokument, skal der gives indsigt i resten. Om en konkret rapport eller dele af den kan undtages, afgøres ved en konkret vurdering, når en anmodning kommer.

For ledelsen betyder det to ting. For det første skal I gå ud fra, at dele af materialet kan blive offentligt, og skrive det med den bevidsthed. For det andet kan det hjælpe at holde de detaljerede tekniske beskrivelser adskilt fra ledelsesresuméet, så vurderingen af hver del bliver lettere. Drøft opbygningen med jurister, før rapporten skrives. → Hvem må kende resultatet?

Behandler myndigheden klassificerede informationer, gælder sikkerhedscirkulæret også. Efter cirkulærets § 12 må klassificerede informationer ikke gøres tilgængelige for personer, der ikke er sikkerhedsgodkendt til den pågældende grad, og det gælder også holdet. → Klassificerede oplysninger og krav til holdet

Borgerne står uden for

Borgere er aldrig mål i øvelsen. Det gælder også borgere, der ringer til borgerservice, møder op i et ekspeditionslokale eller bruger en selvbetjeningsløsning, mens øvelsen står på. → Personer, der ikke må være mål

De systemer, borgerne er afhængige af, skal behandles som fredede. Det kan være selvbetjening, udbetaling af ydelser, systemer til børn og ældre og alarmer i hjemmeplejen. Holdet kan godt vise, at det kunne nå frem til dem, uden at røre dem. Læg den risikable del af øvelsen uden for perioder, hvor et nedbrud ville ramme særligt hårdt, og sørg for, at white team kan stoppe øvelsen med det samme.

Medarbejdere og samarbejdsorganer

Offentlige arbejdspladser har faste samarbejdsorganer, og en øvelse med telefonopkald eller forsøg på at komme ind i bygninger berører medarbejderne direkte. Overvej, hvem i HR og samarbejdssystemet der skal orienteres under need to know, og hvordan medarbejdere, der blev narret, får en ordentlig opfølgning. Fund om mennesker skal i rapporten handle om processer, ikke personer. → HR, tillidsrepræsentanter og samarbejdsudvalg

Det skal I lade være med

At lade it-chefen godkende alene · beslutningen hører til den øverste ledelse.
At holde den politiske top helt uvidende · det kan blive en sag i sig selv.
At skrive rapporten, som om den aldrig bliver læst af andre · dele kan blive omfattet af aktindsigt.
At lade borgerrettede systemer indgå i selve angrebet · vis vejen, ikke påvirkningen.
At glemme samarbejdsorganerne · medarbejderne skal kunne have tillid til arbejdspladsen bagefter.

Hvad kan og ikke kan konkluderes

Øvelsen kan vise, om myndighedens forsvar opdager og stopper en målrettet angriber, og hvor beredskabet halter. Den kan ikke vise, at myndigheden opfylder sine forpligtelser efter NIS 2-loven eller andre regler. Hvordan NIS2 rammer kommuner og statslige myndigheder, beskrives på nis2-pentest.dk.

Spørgsmål til direktionen

☐ Er det afklaret skriftligt, hvem der kan godkende øvelsen?
☐ Er det besluttet, hvem i den politiske ledelse der orienteres, og hvor meget?
☐ Har juristerne vurderet, hvordan dokumenter om øvelsen journaliseres og håndteres ved en anmodning om aktindsigt?
☐ Er borgerrettede systemer fredet, og står borgerne uden for?
☐ Er HR og samarbejdssystemet tænkt ind?
☐ Er der en plan, hvis øvelsen bliver kendt i offentligheden?

Kilder

Offentlighedsloven, lovbekendtgørelse nr. 145 af 24. februar 2020: § 7 om retten til aktindsigt, § 15 om journalisering, § 31 og § 33 om undtagelser og § 34 om delvis aktindsigt.
Sikkerhedscirkulæret, cirkulære nr. 10338 af 17. december 2014: § 12 om indsigt i klassificerede informationer. Ændret ved cirkulære nr. 9281 af 23. februar 2026.

Senest gennemgået: oktober 2026.