Sikkerhedstrusler for virksomheder: tjekliste til SMV’er

Sikkerhedstrusler for virksomheder er de angreb og svagheder, der kan stoppe jeres drift: ransomware, phishing, forsyningskædeangreb og upatchede systemer. ENISA’s trusselsrapport fra 2025 peger på netop de tre første som topprioriteter, og NIS2 skærper samtidig kravene til risikostyring – også for underleverandører. For en ejerleder i Albertslund eller Vejle handler det ikke om teknik, men om nedetid, tabte ordrer og i værste fald konkurs. Her får I truslerne oversat til jeres risikobillede og en rækkefølge at lukke dem i.

Det vigtigste at vide:

• Ransomware er den dyreste trussel målt i nedetid – prioriter backup, der er testet og adskilt fra netværket.
• Phishing er den mest sandsynlige indgang – aktivér MFA og phishing-træning med de M365-licenser, I allerede betaler for.
• Er I underleverandør, er I et mål i forsyningskæden – jeres kunder vil snart kræve dokumentation via NIS2.
• Kortlæg jeres fem vigtigste systemer og patch dem først – ikke alt skal sikres lige hårdt.
• Lav en risikovurdering på én side: trussel, konsekvens i kroner, ansvarlig, deadline.

Hvorfor sikkerhedstrusler for virksomheder er et regnskabsspørgsmål, ikke et it-spørgsmål

Sikkerhedstrusler for virksomheder skal måles i kroner, ikke i teknik. 90 % af europæiske SMV’er vurderer, at et cyberproblem kan ramme forretningen alvorligt inden for én uge, og 57 % frygter konkurs (ENISA, 2024).

Stil derfor tre spørgsmål på næste ledelsesmøde: Hvad koster en dag uden drift? Hvor mange kunder tåler I at miste? Hvornår blev risikoen sidst vurderet? Næsten hver tredje organisation har ikke lavet en sikkerhedsvurdering de seneste 12 måneder (ENISA, 2025).

Cybertrusler mod SMV’er er altså en post i risikobudgettet – start med de 5 lag ledelsen skal have styr på, uanset om I sidder i Albertslund eller Vejle.

Ransomware: sådan beregner I jeres egen nedetidsrisiko

Regn jeres ransomware-risiko ud med én formel: omsætning pr. dag × realistisk gendannelsestid. En produktionsvirksomhed i Vejle med 80.000 kr. i dagsomsætning og 10 dages gendannelse står med 800.000 kr. i tabt salg – før løn og bøder. 55 % af organisationer peger på ransomware som den primære kommende trussel (ENISA, 2025), og 47 % på forsyningskædeangreb via leverandører.

To tiltag sænker tallet mest i jeres ransomware-beskyttelse som virksomhed:

• Testet offline-backup: Før: backup kører, men gendannelse er aldrig afprøvet → Efter: dokumenteret gendannelsestest hvert kvartal med målt tid.
• Segmentér netværket, så ét inficeret system ikke låser hele driften.

Læg en plan for de første 72 timer efter et brud, før I får brug for den.

Phishing angreb mod virksomheder: den billigste trussel at lukke først

Phishing-angreb mod virksomheder er den mest sandsynlige indgang – og den billigste at lukke. 35 % af organisationer peger på phishing som kommende hovedtrussel (ENISA, 2025), men forsvaret ligger ofte allerede i jeres Microsoft 365-licenser.

Tre ting kan aktiveres uden nye indkøb, typisk på 1-2 uger:

1. Håndhæv MFA for alle brugere via Entra ID.
2. Skærp mailfiltrering og afsendervalidering i Exchange Online.
3. Træn medarbejderne med simulerede phishingmails og mål klikraten.

God it-sikkerhed i små virksomheder starter her, fordi sikkerhedstrusler for virksomheder næsten altid begynder i indbakken. Se hvordan I sikrer hele virksomheden mod phishing, og dokumentér hvem der har MFA slået til – det er den hurtigste gevinst på tjeklisten.

Forsyningskædeangreb: hvad det betyder, når I selv er underleverandør

Forsyningskædeangreb rammer jer to gange: som offer og som angrebsvej ind til jeres større kunder. 47 % af organisationer peger på forsyningskæden som en af de største kommende sikkerhedstrusler for virksomheder (ENISA, 2025).

For SMV’er i Albertslund og Vejle, der leverer til industri, logistik eller det offentlige, er det blevet et salgsvilkår. NIS2 pålægger jeres store kunder at stille krav til underleverandører, og kan I ikke dokumentere jeres sikkerhed, ryger I af leverandørlisten. Dokumentation er ikke længere compliance – det er omsætning.

Start med at kortlægge, hvilke kunder der kan stille NIS2-krav til jer, og brug vores NIS2-guide med teknisk roadmap i M365 som skabelon.

Tjekliste: prioriteret rækkefølge for jeres it-sikkerhed som lille virksomhed

Tag trinene i denne rækkefølge – hvert trin bygger på det forrige:

1. Kortlæg kritiske systemer (1-2 uger): Hvilke systemer stopper driften, hvis de falder? Prioriter dem.
2. Auditér adgange (1 uge): Fjern gamle konti og unødige admin-rettigheder.
3. Aktivér MFA på alt (1-2 dage): Billigste værn mod de fleste sikkerhedstrusler for virksomheder.
4. Test backup med en reel gendannelse (1 uge): En backup, I aldrig har gendannet fra, er en hypotese.
5. Patch sårbarheder løbende: 51 % af SMV’er ser patching som en vedvarende udfordring (ENISA, 2025).
6. Dokumentér jeres risikovurdering (2-4 uger): Skriv trusler, konsekvens og tiltag ned.

Få overblikket i de 5 lag ledelsen skal have styr på.

Fejl der koster dyrt: det ejerledere oftest overser i risikovurderingen

De dyreste fejl er sjældent tekniske – de er organisatoriske blinde vinkler. Næsten hver tredje organisation har ikke gennemført en cybersikkerhedsvurdering inden for 12 måneder, og 57 % af europæiske SMV’er frygter konkurs efter et alvorligt angreb (ENISA, 2024/2025). En risikovurdering af jeres it-sikkerhed er derfor ikke papirarbejde, men konkursforsikring.

De fire klassikere: utestet backup, gamle brugerkonti der stadig har adgang, forsinket patching af sårbarheder – og ingen plan for, hvem der ringer til hvem, når angrebet rammer. Før: backup kører automatisk, og ingen har prøvet en gendannelse. Efter: I tester gendannelse hvert kvartal og logger resultatet.

Læg en beredskabsplan nu – de første 72 timer afgør skadens omfang.

Ofte stillede spørgsmål

Hvad er de mest almindelige sikkerhedstrusler for virksomheder?

Phishing, ransomware, kompromitterede adgangskoder og CEO-fraud rammer flest danske SMV’er. Center for Cybersikkerhed (CFCS) vurderer truslen fra cyberkriminalitet mod Danmark som MEGET HØJ. Hertil kommer interne trusler: ansatte uden MFA, forældede systemer og manglende backup. Start med at kortlægge, hvilke af de fire eksterne trusler jeres setup reelt stopper i dag.

Hvordan beskytter vi vores virksomhed mod ransomware?

Fire lag stopper de fleste ransomware-angreb: MFA på alle konti, opdaterede systemer, backup efter 3-2-1-princippet (tre kopier, to medietyper, én offsite) og træning af medarbejdere i at spotte phishing. Test derefter jeres backup med en faktisk gendannelse mindst hvert kvartal – en backup, der aldrig er testet, er kun en antagelse.

Hvad koster et cyberangreb en lille virksomhed?

Regningen består af nedetid, genetablering af systemer, tabte ordrer og eventuelle bøder efter GDPR. For mange SMV’er er nedetiden den dyreste post: regn jeres egen eksponering ud ved at gange dagsomsætningen med 5-10 dage, som genetablering typisk tager uden testet backup. Forebyggelse koster næsten altid en brøkdel af oprydningen.

Hvor ofte skal vi lave en it-risikovurdering?

Mindst én gang om året – og altid ved større ændringer som nye systemer, flytning til cloud, opkøb eller nye lovkrav. En risikovurdering for en SMV tager typisk 1-2 uger: kortlæg aktiver, vurdér sandsynlighed og konsekvens, prioriter de tre største risici, og dokumentér beslutningerne, så I kan måle fremgang næste år.

Er vores virksomhed omfattet af NIS2?

NIS2-direktivet (vedtaget i EU i 2022) omfatter virksomheder i udvalgte sektorer – bl.a. energi, transport, fødevarer, affald og digital infrastruktur – typisk fra 50 ansatte eller 10 mio. EUR i omsætning (ca. 75 mio. kr.). Men er I underleverandør til en omfattet virksomhed, kan kravene ramme jer via kontrakten. Tjek jeres sektor hos Erhvervsstyrelsen.

Hvor lang tid tager det at få styr på it-sikkerheden?

De vigtigste tiltag – MFA, backup-tjek og patch-rutiner – kan være på plads på 2-4 uger. En fuld gennemgang med risikovurdering, politikker og medarbejdertræning tager typisk 4-8 uger. I behøver ikke stoppe driften: det meste udrulles løbende, og de største huller lukkes først.

Kan vi skifte it-leverandør uden nedetid?

Ja, et leverandørskifte planlægges, så driften kører videre. Kræv en overdragelsesplan med dokumentation af adgange, licenser og backup, inden I opsiger den gamle aftale. Et typisk skifte for en SMV tager 2-4 uger fra underskrift til fuld overtagelse, og kritiske systemer flyttes uden for arbejdstid.

Sådan kommer I videre

1. Kortlæg jeres systemer, data og adgange – hvem kan hvad, og hvor ligger det kritiske?
2. Slå MFA til på alle konti med adgang til mail, økonomi og kundedata.
3. Test jeres backup med en reel gendannelse, og dokumentér resultatet.
4. Træn medarbejderne i at genkende phishing – korte, jævnlige øvelser virker bedre end én årlig session.
5. Sæt en fast dato for næste risikovurdering, senest om 12 måneder.