Digital sikkerhed i SMV’er kalder på stærkere ledelsesfokus

Verden er blevet mere uforudsigelig, og selv hvor der findes planer for at styrke virksomheders digitale resiliens, kan det ofte være uklart, hvilke hændelser der aktiverer dem, om de rent faktisk virker, og hvilke scenarier der slet ikke er blevet tænkt ind.
Og det er vigtigt at huske på, at digital resiliens ikke kun handler om at undgå hændelser, men om hvor hurtigt og kontrolleret virksomheden kan reagere, hvis (og når) noget går galt.

Digital resiliens bliver ofte omtalt som et teknisk emne. Men danske data viser, at det i lige så høj grad er et videns- og ledelsesmæssigt spørgsmål. Styrelsen for Samfundssikkerheds seneste årlige rapport Digital sikkerhed i danske SMV’er (2024) peger på flere strukturelle udfordringer, som mange virksomheder ikke er bevidste om, før de rammes.

Centrale indsigter fra rapporten

• 40 procent af danske SMV’er har ikke et digitalt sikkerhedsniveau, der matcher deres risikoprofil.

• 15 procent anvender ikke helt essentielle sikkerhedstiltag som løbende opdatering og backup.

• 60 procent af SMV’erne vil i lav eller meget lav grad kunne udføre deres kerneopgaver, hvis centrale it-systemer ikke er tilgængelige.

• 61 procent håndterer forretningskritiske data, mens 28 procent behandler data med særlig risiko (for eksempel personfølsomme oplysninger).

Rapporten peger ikke kun på tekniske mangler, men på en mere grundlæggende udfordring: at mange virksomheder mangler et fælles billede af, hvad der reelt er kritisk, og hvilke konsekvenser digitale hændelser vil have for forretningen.

Rapporten viser en sammenhæng mellem ledelsesfokus og virksomhedens sikkerhedsniveau:

• Kun 40 procent af SMV-ledelserne tager i høj grad stilling til it-sikkerhed

• 17 procent tager slet ikke, eller kun i lav grad, stilling hertil

Rapporten peger på, at virksomheder, hvor ledelsen aktivt prioriterer it-sikkerhed, generelt har et højere sikkerhedsniveau. Det understreger, at digital resiliens ikke kan outsources fuldt ud. Den skal forstås, prioriteres og forankres i hele organisationen.

Rapporten fremhæver også, at mange SMV’er oplever konkrete barrierer for at løfte sikkerheden:

• 22 procent angiver usikkerhed om gevinsten ved investering i it-sikkerhed

• 21 procent peger på manglende viden/kompetencer

• 15 procent nævner manglende økonomiske ressourcer.

Der er dog også positive tendenser:

94 procent tager backup af deres data, og andelen, der har gennemført en risikoanalyse, er steget fra 54 procent i 2021/22 til 59 procent i 2023. Men 41 procent foretager stadig ikke løbende risikoanalyser. Det peger på, at mange virksomheder investerer i tiltag men uden først at have et klart overblik over sandsynlighed og konsekvens og dermed uden et solidt beslutningsgrundlag.

Spørgsmål til refleksion

Hvis jeres vigtigste system var utilgængeligt i 24 timer:

Hvilke forretningsprocesser ville stoppe først?
Hvem træffer beslutningerne, og på hvilket grundlag?
Hvornår og hvordan informeres kunder og samarbejdspartnere?

For mange organisationer er svarene ikke entydige, og det er netop her, at arbejdet med digital resiliens bør starte: med viden, prioritering og ledelsesmæssig forankring.

Kilder: DigitalLead/Styrelsen for Samfundssikkerhed, “Digital sikkerhed i danske SMV’er 2024”.

/PiB