Effektiv security awareness: jeres 90-dages drejebog

Effektiv security awareness er en målbar proces, hvor I løbende træner, tester og dokumenterer medarbejdernes evne til at spotte og rapportere angreb – ikke et årligt kursus med quiz. AI-genereret phishing og deepfake-opkald rammer nu også mindre virksomheder i Albertslund og Vejle, og NIS2 kræver dokumenteret træning. Den gode nyhed: På 90 dage kan I gå fra ingen baseline til øvet beredskab med faste KPI’er. Denne drejebog viser jer præcis hvordan, uge for uge.

Det vigtigste at vide:

• Mål en baseline med en phishing-simulering i uge 1-2 – uden den kan I ikke dokumentere fremgang over for ledelse eller NIS2-tilsyn.
• Rapportér på 3-4 KPI’er kvartalsvist: klikrate, rapporteringsrate, tid til rapportering og gennemførelsesgrad.
• Gør AI-trusler (deepfake-opkald, falske fakturaer) til et fast modul – generisk phishing-træning dækker dem ikke.
• Budgettér både licens pr. bruger og medarbejdernes tidsforbrug – de skjulte timer er typisk den største post.
• Afslut de 90 dage med en beredskabsøvelse på 2-3 timer, og log resultatet som NIS2-dokumentation.

Hvorfor et kursus om året ikke er effektiv security awareness

Et årligt e-læringskursus ændrer ikke adfærd – det producerer et flueben. Effektiv security awareness kræver gentagelse, måling og dokumentation, og det er præcis dét, NIS2 forlanger: at ledelsen kan fremvise løbende træning og effekt, ikke bare deltagerlister.

Før: alle gennemfører samme kursus i januar, og ingen måler noget. Efter: I måler rapporteringsrate hver måned og træner målrettet dem, der klikker. Ifølge DI Digital (2026) har 35 % af små virksomheder ingen beredskabsplan, og kun 30 % har øvet den – dokumenteret øvelse er altså selve forskellen på compliance-teater og reel modstandskraft.

Jeres security awareness strategi skal derfor bygges som en proces med KPI’er, ikke som en kalenderbegivenhed. Mere baggrund finder I i vores guide til awareness-træning for medarbejdere i SMV’er.

Sådan ser 90-dages planen ud: fra baseline til øvet beredskab

Drejebogen har tre faser à 30 dage – hver med et klart leverancekrav, før I går videre.

1. Dag 1-30: Baseline. Kortlæg adgange, send en umarkeret phishing-test, log klik- og rapporteringsrate. Kriterium: I kender jeres udgangspunkt i tal.
3. Dag 31-60: Træning.

Udrul korte moduler (10-15 min.), segmentér efter risiko, kør anden simulering. Kriterium: rapporteringsraten stiger målbart.

4. Dag 61-90: Beredskab. Øv et realistisk scenarie efter planen i de første 72 timer efter et sikkerhedsbrud, og dokumentér læringspunkter.

Budgettet er overskueligt: awareness-platforme koster typisk ca. 12-27 kr. pr. bruger/md. (KnowBe4, 2026 – €1,55-3,56). Prisen på security awareness træning er sjældent barrieren – det er disciplinen.

Phishing simulering af medarbejdere: sådan gør I det uden at skabe frygt

Phishing simulering af medarbejdere virker kun, hvis ingen bliver hængt ud. Meld åbent ud, at der kommer simuleringer, men ikke hvornår – og brug resultaterne til træning, aldrig til sanktioner. Segmentér afdelinger: økonomi testes med fakturasvindel, HR med falske ansøgninger, ledelsen med CEO-fraud.

Mål på rapporteringsrate frem for klikrate. Klikraten falder naturligt mod nul og siger lidt; en stigende rapporteringsrate viser, at folk aktivt melder ind – den bedste security awareness KPI, ledelsen kan følge kvartalsvist. Supplér med AI-genereret phishing-træning, der efterligner virkelige angreb på dansk; 51 % prioriterer allerede AI i sikkerhedsstrategien (PwC Danmark, 2026).

Sådan bliver effektiv security awareness en del af kulturen – ikke en kontrol. Læs også, hvordan I bygger en IT-sikkerhedskultur der holder.

AI phishing, deepfakes og falske fakturaer som fast træningsmodul

Træn de tre AI-scenarier, der rammer SMV’er hårdest: hyperpersonlige phishing-mails, deepfake-stemmer fra ‘direktøren’ og falske fakturaer med ændret kontonummer. 51 % af danske virksomheder prioriterer nu AI i sikkerhedsstrategien – en stigning på 25 procentpoint på ét år (PwC Danmark, 2026).

Indfør en fast verifikationsrutine: alle betalingsændringer og hastehenvendelser fra ledelsen bekræftes via en anden kanal, fx opkald til et kendt nummer. Før: bogholderen betaler en haste-faktura efter én mail → Efter: to-personers godkendelse og telefonisk verifikation ved alle kontoændringer.

Effektiv security awareness kræver, at scenarierne øves kvartalsvis – se vores guide til phishing-beskyttelse af hele virksomheden.

Hvad koster security awareness-træning – realistisk budget pr. bruger

Budgettet har tre poster: platformslicens, internt tidsforbrug og øvelser. Awareness-platforme koster typisk ca. 12–27 kr. pr. bruger pr. måned (KnowBe4, 2026). Har I 142,27 kr. pr. bruger/md. for Microsoft 365 Business Premium, er attack simulation training allerede inkluderet via Defender for Office 365.

Regn med 20-30 minutters træning pr. medarbejder pr. måned plus 2-4 timers administration. En beredskabsplan-øvelse tager typisk en halv dag pr. kvartal – og den mangler hos mange: 35 % af små virksomheder har ingen beredskabsplan, og kun 30 % har øvet den (DI Digital, 2026).

NIS2 stiller desuden awareness-krav til ledelsen selv – træningen er ikke kun for medarbejderne. Se vores gennemgang af awareness-træning for medarbejdere i SMV.

Security awareness KPI’er: de 4 tal ledelsen skal se hvert kvartal

Mål effektiv security awareness på fire tal: klikrate på phishing-simuleringer (mål: under 5 % efter 90 dage), rapporteringsrate (mål: over 50 %), tid til første rapportering (mål: under 15 minutter) og gennemførelsesgrad på træning (mål: over 90 %).

Byg en kvartalsrapport på én side: de fire tal, udvikling siden sidste kvartal og én besluttet handling. Log resultaterne pr. afdeling, så I kan segmentere opfølgningen – økonomi og ledelse rammes oftest.

Rapporteringsraten er det vigtigste tal, for den viser om sikkerhedskulturen lever i hverdagen. Falder klikraten, men rapporteringen står stille, har I compliance uden adfærd – læs hvordan I bygger en IT-sikkerhedskultur der holder.

Kilde og videre læsning: growthmarketreports.com.

Ofte stillede spørgsmål

Hvad koster en security awareness-platform pr. medarbejder?

Prisen afhænger af funktioner som phishing-simulering, rapportering og sprog, og afregnes typisk pr. bruger pr. måned. Bed altid om en pris, hvor simulationer og dansk indhold er med fra start. Har I Microsoft 365 Business Premium, er grundlæggende angrebssimulering allerede inkluderet via Defender for Office 365 – start der, før I køber ekstra.

Hvor ofte skal medarbejdere trænes i security awareness?

Kort og hyppigt slår lange årlige kurser. Kør korte moduler på 5-10 minutter hver måned eller hvert kvartal, suppleret med løbende phishing-simulationer. Et realistisk rul for en SMV: onboarding-modul i uge 1, første simulation inden for 30 dage og derefter mindst fire simulationer om året. Dokumentér deltagelsen, så I kan vise det ved audit.

Hvordan måler man effekten af security awareness-træning?

Mål på tre tal: klikrate i phishing-simulationer, rapporteringsrate (hvor mange melder mails til IT) og gennemførelsesprocent på moduler. Etabler en baseline i måned 1, og sammenlign efter 90 dage. Faldende klikrate og stigende rapporteringsrate er det vigtigste signal. Log resultaterne pr. afdeling, så I kan målrette opfølgning i stedet for at gentræne alle.

Er security awareness-træning et krav under NIS2?

Ja, for omfattede virksomheder. NIS2-direktivet (2022) kræver, at både ledelse og medarbejdere trænes i cybersikkerhed, og ledelsen kan holdes ansvarlig. Selv hvis I ikke er direkte omfattet, kan I blive mødt med kravet som underleverandør til en omfattet kunde. Dokumentér derfor træningsplan, deltagelse og resultater – det er beviset, der tæller.

Hvordan træner man medarbejdere i AI-genereret phishing og deepfakes?

Flyt fokus fra stavefejl til verifikation. AI-genereret phishing er fejlfrit dansk, så træn medarbejderne i at tjekke afsenderdomæne, bekræfte betalingsændringer via en kendt telefonnummer og aldrig handle på hast. Indfør en fast regel: alle ændringer af kontonumre verificeres mundtligt. Kør simulationer med AI-skrevne mails, så baseline afspejler det reelle trusselsbillede.

Hvor lang tid tager det at komme i gang med security awareness-træning?

Typisk 2-4 uger fra beslutning til første simulation. Uge 1: kortlæg brugere og vælg platform. Uge 2: opsæt whitelisting og importér medarbejdere fra Microsoft 365. Uge 3-4: kør baseline-simulation og udrul første modul. Herefter kører programmet stort set automatisk med måneders indhold planlagt forud.

Kan vi skifte leverandør af awareness-træning uden at miste historik?

Ja. Eksportér jeres rapporter (klikrater, gennemførelser) som baseline, før I opsiger. En ny platform kan typisk sættes op parallelt i opsigelsesperioden, så I undgår huller i dokumentationen – vigtigt ved NIS2-audit. Afklar opsigelsesvarsel og dataeksport i kontrakten, inden I skriver under, så skiftet kan klares på 2-3 uger.

Sådan kommer I videre

1. Kortlæg alle brugere og roller i Microsoft 365 – inkl. eksterne og deltidsansatte.
2. Kør en baseline phishing-simulation inden for de første 30 dage.
3. Udrul korte månedlige moduler og håndhæv gennemførelse via ledelsen.
4. Mål klikrate og rapporteringsrate efter 90 dage, og sammenlign med baseline.
5. Dokumentér plan, deltagelse og resultater, så I er klar til NIS2-spørgsmål.