Vi skal kunne forvente, at myndighedernes indsats gør os bedre beskyttet før et angreb og bedre informeret, mens det står på. Det er en rimelig målestok for dansk cybersikkerhed. Og det er den målestok, regeringen og Styrelsen for Samfundssikkerhed, SAMSIK, bør vurderes efter.

Når myndighederne selv beskriver truslerne som alvorlige, må det også kunne mærkes på tempoet i deres egen indsats. Situationen tillader ikke, at nødvendig beskyttelse udskydes med henvisning til flere års opbygning, organisering og forberedelse. Langsigtede investeringer skal følges af en tydelig indsats mod de risici, vi allerede kender.

Min kritik er ikke, at råd om adgangskoder, opdateringer og sikker fjernadgang er forkerte. Kritikken er, at sådanne råd ikke besvarer spørgsmålet om, hvad myndighederne selv gør for at opdage farerne i tide, hjælpe de udsatte og sikre, at kendte mangler bliver rettet.

Den 4. november henviste SAMSIK efter meldinger om angreb mod køle- og frysesystemer til råd om blandt andet at skifte standardadgangskoder og sikre fjernadgang.

HVilken konkret indsats?

To dage senere opfordrede styrelsen virksomhederne til at styrke deres cyberforsvar. Det er relevant information. Men offentligheden bør samtidig kunne få at vide, hvilken konkret indsats myndighederne sætter i gang, og hvordan den følges til dørs.

Virksomhedernes ledelser har ansvar for deres systemer. Det samme har ledelserne i den offentlige sektor. Det ansvar fritager imidlertid ikke tilsynsmyndighederne eller regeringen for deres eget. Henvisninger til, hvad andre bør gøre, kan ikke stå alene som svar på spørgsmål om myndighedernes indsats.

SAMSIK begynder heller ikke på bar bund. Styrelsen har samlet opgaver og kompetencer fra blandt andet dele af det tidligere Center for Cybersikkerhed.

Der er videreført et fagligt ansvar, som må følges af krav om handling og resultater. En ny organisering nulstiller ikke behovet for at løse de opgaver, der allerede fandtes.

Beføjelserne findes allerede

NIS 2-loven giver tilsynsmyndighederne mulighed for kontrol, sikkerhedsaudits og scanninger hos væsentlige enheder. De kan udstede bindende instrukser og påbud samt fastsætte frister for udbedring. Der er altså mulighed for at handle, før et angreb indtræffer.

Loven omfatter også praktisk bistand gennem den nationale CSIRT-funktion, som håndterer cyberhændelser. Efter anmodning fra omfattede enheder indgår proaktiv scanning og bistand til realtids- eller nærrealtidsmonitorering i opgaverne. Beføjelserne er afgrænsede og giver ikke staten fri adgang til alle virksomheders systemer.

Men de rækker langt ud over at offentliggøre generelle vejledninger.

SAMSIK har faktisk indledt tilsyn. Styrelsen oplyser, at alle 98 kommuner i maj 2026 blev omfattet af et spørgeskemabaseret tilsyn, som skal følges af dybere undersøgelser hos udvalgte kommuner.

Det skal anerkendes. Men et besvaret spørgeskema er ikke dokumentation for, at sikkerheden virker. Hvor mange svar er efterprøvet? Hvilke mangler er fundet? Hvor mange er rettet?

Behovet for opfølgning er veldokumenteret. Statsrevisorerne påpegede i august 2026 blandt andet forældet teknologi, manglende test og ufuldstændige reetableringsplaner i to samfundskritiske systemer under Ministeriet for Samfundssikkerhed og Beredskab.

De beskrev også mangler i Børne- og Undervisningsministeriets system CØSA, som ikke var rettet, selv om Rigsrevisionen havde påpeget dem siden 2020.

Det er svært at kræve større omhu af virksomheder og borgere uden samtidig at stille skarpe krav til statens egen opfølgning. Kendte sikkerhedsmangler må ikke kunne overleve år efter år gennem nye planer og løfter om forbedring.

Bevillinger skal omsættes til beskyttelse

Regeringen meddelte den 30. juni 2026, at de første 130 millioner kroner udmøntes i år til et fælles døgnbemandet situationscenter, et cyberoperationscenter og et nyt cybermonitoreringsnetværk. Der er afsat én milliard kroner over fire år til indsatsen.

Hele milliarden er naturligvis ikke allerede brugt, og opbygning af tekniske kapaciteter tager tid. Netop derfor bør regeringen fremlægge en forståelig status: Hvad fungerer nu? Hvilke tjenester leveres døgnet rundt? Hvem er dækket? Hvornår er de resterende funktioner klar? Og hvordan håndteres risikoen indtil da?

En flerårig bevilling må ledsages af en plan for beskyttelsen i overgangsperioden. Truslerne følger ikke statens projektplaner. Hvis en nødvendig kapacitet først bliver klar om flere år, skal ministeren forklare, hvilke midlertidige løsninger der beskytter samfundet i mellemtiden.

SAMSIK, FE og sektormyndighederne har forskellige roller. FE oplyser fortsat at varetage den nationale CSIRT-funktion. Den fordeling skal respekteres, men den må ikke betyde, at ansvaret bliver uklart for dem, der har brug for hjælp. Regeringen må sikre, at opgaverne hænger sammen, og at der er en tydelig vej fra opdaget fare til konkret handling.

Varsling skal komme, mens den kan bruges

NIS2-direktivets artikel 11 omfatter tidlig varsling og information om trusler, sårbarheder og hændelser til berørte enheder og relevante myndigheder og interessenter, om muligt i nærrealtid. Hurtig varsling er dermed allerede en del af den opgave, medlemsstaterne skal sikre bliver løst.

Det er ikke et krav om at offentliggøre alle detaljer om ethvert angreb øjeblikkeligt. Men det understreger, at information skal nå frem, mens modtagerne stadig kan bruge den til at beskytte sig.

Der er også hjemmel i dansk lov til under bestemte betingelser at informere offentligheden om væsentlige hændelser. Og SAMSIK beskriver selv hurtig, koordineret og handlingsanvisende information som en central opgave for det nationale kommunikationsberedskab.

Befolkningen behøver ikke kende angriberens identitet eller alle tekniske detaljer for at få nyttig information. Myndighederne kan fortælle, hvilke tjenester der er berørt, hvad borgerne bør gøre, hvad man endnu ikke ved, og hvornår der kommer en ny opdatering. Nødvendig fortrolighed kan begrænse indholdet. Den bør ikke automatisk lukke kommunikationen.

Jeg efterlyser derfor en løbende offentlig redegørelse for myndighedernes resultater: gennemførte kontroller, udbedrede mangler, varslingstider og operative kapaciteter. Oplysningerne kan gives samlet, så følsomme forhold beskyttes. Antallet af vejledninger og afholdte møder fortæller ikke i sig selv, hvor meget sikrere Danmark er blevet.

Vi kan ikke kræve, at myndighederne forhindrer ethvert cyberangreb. Vi kan kræve, at de bruger de beføjelser, den viden og de ressourcer, de har fået, med en hastighed, der svarer til truslen.

Ministeren og SAMSIK bør forklare, hvad der kan leveres nu, hvad der mangler, og hvem der har ansvaret for at få det på plads.

Danmarks cybersikkerhed kan ikke sættes på vent, mens myndighederne gør sig klar.

John Michael Foley er pensioneret major og ekspert i it- og cybersikkerhed.