Sikkerhedshændelse

En sikkerhedshændelse skelnes formelt fra en sikkerhedsbegivenhed: en begivenhed er enhver observerbar hændelse i et system, mens en hændelse er en begivenhed, eller en række begivenheder, der faktisk eller potentielt skader fortrolighed, integritet eller tilgængelighed eller bryder politikken og derfor kræver en reaktion. NIST SP 800-61 beskriver livscyklussen for hændelseshåndtering i fire faser - forberedelse; detektion og analyse; inddæmning, udbedring og genopretning; samt aktivitet efter hændelsen - kørt som en løkke, hvor erfaringer føres tilbage i forberedelsen. Revisionen fra 2025 (Rev. 3) genindrammer dette omkring funktionerne i NIST Cybersecurity Framework 2.0 (Govern, Identify, Protect, Detect, Respond, Recover). Triage tildeler alvor og kategori, så reaktionen bliver forholdsmæssig, og driver typisk en eskaleringsvej og - i alvorlige tilfælde - aktivering af et CSIRT og kriseledelse.

Den mest konsekvensfyldte del i praksis er den lovpligtige indberetning, hvor forskellige regelsæt med forskellige udløsere og frister kører parallelt. Efter databeskyttelsesforordningen (GDPR) skal et brud på persondatasikkerheden anmeldes til tilsynsmyndigheden (i Danmark Datatilsynet) uden unødig forsinkelse og om muligt inden 72 timer efter, at man er blevet opmærksom på det (artikel 33), og de berørte personer skal underrettes, når bruddet sandsynligvis indebærer en høj risiko for deres rettigheder (artikel 34); 72-timers-fristen og dens indholdskrav er præcise. Efter NIS2 skal væsentlige og vigtige enheder sende en tidlig varsling inden for 24 timer efter at være blevet opmærksomme på en væsentlig hændelse, en fyldigere hændelsesunderretning inden for 72 timer og en endelig rapport inden for én måned (direktiv (EU) 2022/2555, artikel 23). I Danmark trådte disse NIS2-pligter i kraft med NIS2-loven pr. 1. juli 2025, hvor indberetning af væsentlige hændelser håndteres via Virk.dk og den nationale CSIRT-funktion. EU's Cyber Resilience Act tilføjer en yderligere produktrettet pligt for producenter til at indberette aktivt udnyttede sårbarheder og alvorlige hændelser, med indberetningspligter, der gælder fra 11. september 2026.

Regelsættene overlapper, men er ikke udskiftelige: den samme ransomwarehændelse på et dansk hospital kan samtidig være et GDPR-brud på persondatasikkerheden, en væsentlig NIS2-hændelse og eventuelt en sektorspecifik indberetning, hver med sin egen myndighed, tærskel og frist - derfor kortlægger planer for hændelseshåndtering pligterne i et beslutningstræ på forhånd frem for at afgøre det under pres.

Udbredte misforståelser gør reel skade. "At blive opmærksom" starter det lovpligtige ur på det tidspunkt, hvor der er rimelig sikkerhed for, at en hændelse er sket - ikke når hele undersøgelsen er færdig - så det at vente på vished om omfanget kan overtræde fristen; myndighederne forventer en indledende anmeldelse fulgt af opdateringer. Kryptering eller et afværget forsøg fjerner ikke automatisk indberetningspligten - et afværget angreb kan stadig være en anmeldelsespligtig NIS2-hændelse, og et brud, der rammer tilgængeligheden (som ransomware), tæller, selv om intet blev eksfiltreret. Endelig er en hændelse ikke en trussel: en trussel er en mulighed, der vurderes på forhånd, mens en hændelse er realiseret skade, der udløser reaktion og ofte lovbestemte tidsfrister.