Kommunikationsplan

NIST SP 800-34 Rev. 1 nævner krisekommunikationsplanen som en af de plantyper, der omgiver beredskabsplanen for et informationssystem, og ISO 22301:2019 afsnit 8.4.3 kræver procedurer for varsling og kommunikation, herunder kommunikation med interessenter, medier og, hvor det er relevant, nationale eller regionale myndigheder, samt hvordan kommunikationen registreres. NIST SP 800-61 dækker samme behov fra hændelseshåndteringens side: hvem der må dele hvad med politiet, andre responsteams, leverandører, kunder og medier, og princippet om, at deling af oplysninger besluttes på forhånd i stedet for at blive improviseret.

En brugbar plan indeholder et interessentkort (medarbejdere, ledelse, bestyrelse, kunder, borgere eller patienter, leverandører, forsikringsselskab, tilsynsmyndigheder, politi, medier, samarbejdspartnere), navngivne talspersoner med stedfortrædere, en godkendelsesgang med en maksimal svartid, forhåndsgodkendte standardudmeldinger for de mest sandsynlige scenarier og valg af kanal for hver målgruppe. Den fastlægger også én fælles sandhed, typisk en situationslog, som krisestaben ejer, og som alle budskaber udledes af, så presseafdelingen, kundeservice og tilsynsmyndigheden ikke får modstridende versioner.

De lovbestemte frister styrer timingen mere end nogen kommunikationsmæssig præference. Efter databeskyttelsesforordningens artikel 34 skal den dataansvarlige uden unødig forsinkelse underrette de registrerede, når et brud sandsynligvis indebærer en høj risiko for dem, i et klart og enkelt sprog, der beskriver bruddets karakter, de sandsynlige konsekvenser, de trufne foranstaltninger og et kontaktpunkt. Artikel 34, stk. 3, tillader en offentlig meddelelse i stedet, når individuel underretning vil kræve en uforholdsmæssig indsats. NIS2 artikel 23, stk. 1, kræver, at enheder, hvor det er relevant, underretter modtagerne af deres tjenester om væsentlige hændelser, der kan påvirke dem, og stk. 2, at modtagere, der kan blive berørt af en væsentlig cybertrussel, får at vide, hvilke foranstaltninger de kan træffe. Disse eksterne budskaber og indberetningerne til myndighederne skal hænge sammen, for både myndigheder og journalister sammenligner dem.

Cyberhændelser giver begrænsninger, som almindelig krisekommunikation ikke møder. Mail, Teams og intranettet kan være kompromitteret eller overvåget af angriberen, så planen skal have kanaler uden for det normale netværk, fx telefonkæder på papir, SMS-tjenester eller en separat beskedplatform, der er forberedt på forhånd. Udmeldinger bør undgå forhastede påstande som "der er ikke taget data", før den tekniske undersøgelse har bekræftet det, fordi rettelser skader tilliden mere end et ærligt "vi undersøger sagen". Ransomware-grupper kontakter desuden selv kunder og journalister, hvilket planen bør tage højde for.