Success stories security awareness er dokumenterede forløb, hvor virksomheder kan vise målbar effekt af træning – lavere klikrater på phishing-simuleringer, hurtigere rapportering og færre sikkerhedshændelser. Mange ejerledere har hørt salgstalerne, men mangler bevis for, at træning virker i en virksomhed med 10-50 ansatte. Her får I tre anonymiserede danske SMV-cases med før/efter-tal og ærlige læringer fra forløb, der fejlede. Med NIS2-loven (lov nr. 434 af 6. maj 2025) er cybersikkerhedsuddannelse desuden et krav, ikke et tilvalg.
Det vigtigste at vide:
- Mål klikrate og rapporteringsgrad FØR træningen starter – uden baseline kan I ikke dokumentere ROI over for ledelsen eller tilsyn.
- De bedste SMV-resultater kom fra korte, hyppige simuleringer over 3-6 måneder – ikke ét årligt kursus.
- Rapporteringsgrad er en bedre KPI end klikrate: medarbejdere der melder hurtigt, stopper angreb tidligt.
- NIS2 kræver, at ledelsen selv gennemfører uddannelse – log deltagelse og gem dokumentationen.
- Fejlede forløb havde én fællesnævner: ingen ledelsesopbakning og ingen opfølgning efter første simulering.
Hvorfor ledelser kræver bevis før de køber awareness-træning
Ejerledere køber ikke længere awareness-træning på mavefornemmelse – de kræver tal. NIS2-loven (lov nr. 434 af 6. maj 2025) stiller krav om cybersikkerhedsuddannelse og hændelseshåndtering, og 47 % af virksomhederne forventede at øge investeringerne i cybersikkerhed (Dansk Erhverv, 2026). Så budgettet skal prioriteres skarpt.
Success stories security awareness handler derfor om målbar effekt: klikrate på phishing-simuleringer, rapporteringsgrad og responstid. Det er de tre tal, en ledelse kan bruge til at vurdere ROI på security awareness-træning – ikke antal gennemførte e-learningmoduler.
Er I i tvivl om, hvad træningen dækker, så start med vores forklaring af hvad security awareness-træning er, og kortlæg jeres baseline, før I køber noget.
Case 1: Produktionsvirksomhed i Vejle – klikrate fra høj til lav på 6 måneder
En produktionsvirksomhed i Vejle med 35 ansatte halverede sin klikrate på phishing-simuleringer flere gange over 6 måneder. Forløbet er en klassisk security awareness case study: baseline-simulering i måned 1, derefter månedlige mikrotræninger på 5-10 minutter – også til folk i produktionen uden fast pc.
Før: ingen test, ingen data, og phishingmails blev slettet i stilhed. Efter: kvartalsvise simuleringer, målbar klikrate og en fast rapportér-knap i Outlook. Det afgørende var ikke mængden af træning, men at ledelsen selv deltog og delte resultaterne åbent.
Vil I samme vej, så test først, segmentér derefter træningen efter rolle – og kombinér med teknisk phishing-beskyttelse i hele virksomheden.
Case 2: Administrativ SMV i Albertslund – rapporteringsgrad som den skjulte gevinst
Rapporteringsgraden er ofte den vigtigste gevinst i success stories security awareness – ikke klikraten. En administrativ SMV i Albertslund oplevede, at medarbejderne efter awareness-træning begyndte at rapportere mistænkelige mails inden for minutter i stedet for aldrig. Det forkortede responstiden markant og sparede administrative timer på hændelseshåndtering, fordi IT kunne blokere afsenderen, før flere klikkede.
Tallene bakker behovet op: kun 30 % af danske virksomheder havde øvet deres beredskabsplan (DI Digital, 2026). Hurtig rapportering er jeres billigste beredskab.
Mål derfor rapporteringsgrad på hver simulering, ros dem der melder ind, og dokumentér effekten. Det er sådan I bygger en stærk IT-sikkerhedskultur, der holder – også i en SMV.
Få medarbejdere der spotter phishing i tide
Fejl der koster: security awareness case study fra et mislykket forløb
Ikke alle success stories security awareness starter som succeser. En handelsvirksomhed med 35 ansatte købte et e-læringsforløb, satte det i gang via mail – og ledelsen deltog aldrig selv. Klikraten på phishing-simuleringer faldt den første måned, men var tilbage på udgangspunktet efter tre måneder.
Hvorfor? Ingen fulgte op, ingen talte om de mails folk klikkede på, og nye medarbejdere blev aldrig onboardet i forløbet. Træning uden ledelsesopbakning og opfølgning forsvinder på et kvartal.
Først da direktøren selv begyndte at dele sine egne fejlklik på månedsmøderne, vendte kurven. Det matcher erfaringerne fra arbejdet med at bygge en IT-sikkerhedskultur der holder: kultur slår kursus.
Sådan måler I security awareness træning ROI i jeres egen virksomhed
Mål effekten i fem trin – ellers ved I ikke, om pengene virker. Kun 30 % af danske virksomheder havde øvet deres beredskabsplan (DI Digital, 2026), så målinger alene sætter jer foran.
- Kortlæg baseline: kør én umeldt phishing-simulering og log klikrate og rapporteringsgrad.
- Segmentér medarbejdere efter risiko – bogholderi og ledelse først.
- Kør simuleringer hver 4-6 uger med stigende sværhedsgrad.
- Mål rapporteringsgrad, ikke kun klik: Før: 5 % rapporterer mistænkelige mails → Efter: 40-60 % rapporterer inden for en time.
- Dokumentér til NIS2 – loven (lov nr. 434 af 6. maj 2025) kræver cybersikkerhedsuddannelse, se vores NIS2-roadmap med M365.
Suppler med sparede supporttimer pr. kvartal – det er jeres ROI-tal.
Hvordan vælger I et security awareness program som SMV med 10-50 ansatte
Et security awareness program til SMV’er skal kunne fire ting – resten er enterprise-overkill. De success stories security awareness vi ser hos mindre virksomheder, bygger på disse krav:
- Dansk indhold med danske phishing-eksempler – MitID, e-Boks og fakturasvindel, ikke oversatte amerikanske scenarier.
- Simuleringer mindst hver 4-6 uger, styret automatisk.
- Rapportering pr. afdeling: klikrate, rapporteringsgrad og gennemførsel.
- Eksportérbar dokumentation til NIS2-tilsyn og bestyrelsen.
Test leverandøren med et pilotforløb på 4-8 uger, før I binder jer for et år. Og afklar først, hvad security awareness-træning egentlig dækker – 47 % af virksomhederne forventede at øge cybersikkerhedsinvesteringerne (Dansk Erhverv, 2026), men kun målrettet træning giver afkast.
Kilde og videre læsning: nis2europe.eu.
Ofte stillede spørgsmål
Hvordan måler man effekten af security awareness-træning?
Mål på klikrate i phishing-simuleringer, rapporteringsrate og gennemførelsesprocent. Kør en baseline-simulering før træningen starter, og gentag den hver 3. måned. Log også hvor hurtigt medarbejdere rapporterer mistænkelige mails – reaktionstid er ofte en bedre indikator end klikrate alene. Dokumentér tallene, så I kan vise fremgang over for ledelse og revisor.
Hvor hurtigt kan man se resultater af awareness-træning?
Typisk inden for 3-6 måneder. De første phishing-simuleringer viser ofte en tydelig forskel allerede efter anden runde, fordi medarbejderne ved, at de bliver testet. Varig adfærdsændring kræver dog løbende træning i 6-12 måneder. Sæt derfor et måleprogram op med simuleringer hvert kvartal, før I konkluderer noget.
Hvad koster security awareness-træning for en SMV?
Prisen afhænger af antal medarbejdere, om phishing-simuleringer er med, og om træningen drives som managed service. Mange SMV’er har allerede adgang til basisfunktioner via Microsoft 365, fx Attack Simulation Training i visse licenser. Bed om en pris pr. bruger pr. måned inklusive rapportering, så I kan sammenligne på ens vilkår.
Er security awareness-træning et krav under NIS2?
Ja, for omfattede virksomheder. NIS2-direktivet fra 2022 kræver, at både ledelse og medarbejdere trænes i cybersikkerhed, og ledelsen kan holdes ansvarlig. Selv hvis jeres virksomhed ikke er direkte omfattet, kan I blive mødt med krav fra kunder i forsyningskæden. Dokumentér derfor træningen med deltagerlister og datoer.
Hvor ofte skal medarbejdere trænes i security awareness?
Som minimum årligt, men korte månedlige eller kvartalsvise moduler virker bedre end én lang årlig session. En velafprøvet model er 10-15 minutters mikrotræning hver måned kombineret med phishing-simuleringer hvert kvartal. Nye medarbejdere bør trænes inden for de første 14 dage af ansættelsen.
Hvor lang tid tager det at komme i gang?
Typisk 2-4 uger fra beslutning til første træningsrunde. Processen er: kortlæg medarbejdergrupper, vælg platform, kør baseline-simulering og udrul første modul. Det administrative arbejde for jer er begrænset – ofte et par timer til at godkende indhold og segmentere brugerlister.
Kan vi skifte fra vores nuværende awareness-leverandør uden at miste data?
Ja, i de fleste tilfælde. Eksportér jeres historiske rapporter og gennemførelsesdata, før aftalen udløber, så I beholder dokumentationen til revision og NIS2. Et skifte tager typisk 2-3 uger inklusive ny baseline-måling. Tjek opsigelsesvarslet i den nuværende aftale – ofte 1-3 måneder.
Sådan kommer I videre
- Kør en baseline phishing-simulering, før I køber noget – ellers kan I ikke måle effekten.
- Segmentér medarbejderne efter risiko: økonomi, HR og ledelse testes først og oftest.
- Vælg en model med månedlig mikrotræning og kvartalsvise simuleringer.
- Log deltagelse og resultater, så I kan dokumentere træningen over for kunder og NIS2-tilsyn.
- Mål klikrate og rapporteringsrate hvert kvartal, og juster indholdet efter de svageste punkter.
