Krisestyring

ISO 22361:2022 beskriver en krise som en unormal og ustabil situation, der truer en organisations strategiske mål, omdømme eller levedygtighed, og skelner mellem krisestyring og hændelseshåndtering ud fra problemets karakter frem for dets størrelse. Hændelser håndteres med forberedte procedurer; en krise er kendetegnet ved stor usikkerhed, noget nyt, tidspres og modstridende interesser, så den skal styres med dømmekraft og beslutninger frem for ved at følge en plan trin for trin. Mange cyberhændelser bliver aldrig til kriser, mens et beskedent datalæk kan blive det, hvis det rammer sårbare personer, skaber offentlig harme eller trækker tilsynsmyndigheder til.

Den typiske struktur er lagdelt. En strategisk krisestab af topledere beslutter prioriteter, afvejninger og eksterne holdninger; et taktisk niveau koordinerer ressourcer på tværs af funktioner; og operative teams, herunder teamet for hændelseshåndtering, udfører arbejdet. De britiske beredskabers gold-, silver- og bronze-kommandomodel er en udbredt reference for de tre niveauer. Krisestaben arbejder i en fast mødekadence, hvor hvert møde åbner med et fælles situationsbillede, gennemgår handlingerne fra sidste runde og slutter med beslutninger, der skrives i en beslutningslog med begrundelse, så valg truffet under usikkerhed senere kan forklares for bestyrelse, revisorer og tilsynsmyndigheder.

Cyberkriser bringer særlige beslutninger på bordet: om organisationen skal kobles fra internettet eller produktionen standses, om der skal betales eller forhandles om en løsesum (med begrænsninger fra sanktioner, lovgivning og forsikring), hvornår politiet og det nationale CSIRT skal inddrages, hvad kunderne skal have at vide, før fakta kendes, og hvordan kritiske ydelser fortsat leveres. Norsk Hydros håndtering af ransomwaren LockerGoga i 2019 med manuel produktion og daglige åbne pressebriefinger og Maersks genopretning efter NotPetya i 2017 nævnes ofte som eksempler på krisestyring, der bevarede tilliden trods alvorlig driftsskade.

NIS2 artikel 21, stk. 2, litra c, nævner krisestyring sammen med driftskontinuitet som en påkrævet foranstaltning, og artikel 20 gør ledelsesorganet ansvarligt for at godkende og føre tilsyn med foranstaltningerne til styring af cybersikkerhedsrisici og kræver, at dets medlemmer deltager i uddannelse. På EU-niveau opretter artikel 16 EU-CyCLONe til at koordinere cybersikkerhedshændelser og -kriser i stor skala mellem medlemslandene. Krisestyring adskiller sig fra hændelseshåndtering ved, at hændelseshåndteringen inddæmmer og fjerner den tekniske årsag, mens krisestyringen styrer organisationen gennem de forretningsmæssige, juridiske og omdømmemæssige konsekvenser; de to kører parallelt og kræver en klar snitflade, typisk en hændelsesleder, der orienterer krisestaben.