I maj 2023 blev 22 danske energiselskaber hacket i et koordineret angreb.
11 af dem havde fået advarslen to uger før. De havde bare ikke reageret og lukket sikkerhedshullet.
Det største cyberangreb mod dansk kritisk infrastruktur
Angrebet kom i to bølger. Først 11. maj. Så 22. maj.
Hackerne vidste præcis, hvem de skulle ramme. Ikke én gang skød de ved siden af.
I nogle tilfælde fik de adgang til kontrolsystemerne. Flere selskaber måtte slukke for IT og køre anlæggene manuelt.
I værste fald kunne 100.000 danskere have mistet strøm eller varme.
SektorCERT kalder det det største cyberangreb mod dansk kritisk infrastruktur nogensinde. Der er tegn på, at en russisk statslig aktør stod bag.
Sammenhængen med de øvrige sager står under mønstret bag beredskabsplaner, der ikke holdt.
Advarslen var der. Handlingen udeblev
Sårbarheden havde en score på 9,8 ud af 10. Det betyder: Patch med det samme.
Nogle troede, deres leverandør tog sig af det. Andre prioriterede at undgå nedetid.
To uger senere var de kompromitteret.
Reglerne har ændret sig
1. juli i år trådte NIS2 i kraft i Danmark.
Ca. 1.400 virksomheder er direkte omfattet. Det er ti gange flere end før.
Og loven rammer ikke kun virksomheden. Den rammer ledelsen.
Ledelsen hæfter personligt
Direktører og bestyrelsesmedlemmer skal nu godkende cybersikkerhedsforanstaltninger. Og føre tilsyn med implementeringen. Og deltage i kurser om cybersikkerhed.
Gør de ikke det, kan de i yderste konsekvens suspenderes.
Bøderammen går op til 10 millioner euro eller 2% af den globale omsætning.
93% af danske topchefer siger, at cybersikkerhed er strategisk vigtigt. 3% er klar til at opfylde NIS2-kravene.
Gabet mellem erkendelse og handling er massivt.
24 timer til at rapportere
Bliver I hacket i dag, har I 24 timer til at rapportere det til myndighederne.
Ikke 24 timer til at finde ud af, hvad der skete. 24 timer til at ringe og sige: Vi er ramt.
Har I en plan for det? Ved I, hvem der skal kontaktes? Hvilke oplysninger der skal indsamles? Hvem der har mandatet til at træffe beslutninger midt om natten?
De fleste virksomheder har ikke en plan, der kan aktiveres på 24 timer. De har måske en IT-sikkerhedspolitik i en skuffe, men ikke en operationel beredskabsplan.
Fem spørgsmål til næste bestyrelsesmøde
Ved jeres bestyrelse, at de nu kan holdes personligt ansvarlig for cybersikkerheden? NIS2 placerer ansvaret hos ledelsen. Ikke IT-afdelingen. Ikke den eksterne leverandør. Ledelsen.
Hvornår fik jeres ledelse sidst en briefing om trusselsbilledet? Ikke en generisk præsentation, men en konkret gennemgang af de trusler, der rammer jeres branche og jeres type virksomhed.
Har I en plan for at rapportere en hændelse inden for 24 timer? En plan, der er testet. Med kontaktlister, der er opdateret. Med roller, der er fordelt.
Hvem hos jer sørger for, at advarslen ikke bare bliver liggende? De 11 energiselskaber modtog advarslen. Den blev bare ikke handlet på. Hvem i jeres organisation har ansvaret for at sikre, at kritiske patches bliver implementeret?
Hvornår fik I sidst foretaget en professionel cybersikkerhedsaudit? Ikke af jeres egen IT-afdeling eller jeres leverandør, men af en uafhængig part, der tør sige sandheden.
Fra erkendelse til handling
Et NIS2-audit afklarer, om I er omfattet af direktivet, og hvor I står i forhold til kravene. I får en konkret liste over, hvad der mangler, og hvad der skal prioriteres først.
En cybersikkerhedsaudit giver jer det samlede billede af jeres sikkerhedsposition. Teknisk, organisatorisk og processuel.
Og et leverandøraudit sikrer, at I ikke ender som de energiselskaber, der troede, deres leverandør tog sig af det.
Se mere om indberetning af hændelser under NIS2 på Digitaliseringsstyrelsens hjemmeside.
De 11 energiselskaber havde fået advarslen. De handlede bare ikke på den. Hvornår handlede I sidst på en advarsel?
Har du brug for at vide, hvor I står i forhold til NIS2? Kontakt Nielco IT på telefon 70 13 63 23 eller via kontaktformularen.
