Styrelsen for Samfundssikkerhed udgiver trusselsvurderinger for en række sektorer og en samlet vurdering af cybertruslen mod Danmark. Ingen regel kræver, at I bruger dem. Men vejledningen anbefaler, at risikoanalysen tager højde for cybertrusler, og sektorens egen vurdering er et oplagt sted at begynde.
En audit kan efterprøve, om vurderingen er fundet, læst og omsat til noget i jeres risikovurdering. Det er et af de punkter, hvor forskellen mellem en risikovurdering skrevet ved skrivebordet og en, der bygger på det aktuelle trusselsbillede, bliver synlig.
Hvad kilderne siger
Vejledningen om cybersikkerhedsforanstaltninger (1. udgave juni 2025) anbefaler i afsnit 1.b, at risikoanalysen sker under iagttagelse af cybertrusler og sårbarheder. Afsnit 3.d anbefaler, at viden fra CSIRT’en og myndigheden har en fast vej ind i virksomheden. Et af vejledningens tænkte eksempler om krisestyring spørger, hvordan virksomheden integrerer trusselsvurderinger i krisestyringen.
Under andre relevante materialer skriver vejledningen, at styrelsen løbende udgiver sektorspecifikke trusselsvurderinger, som enheder kan bruge i deres risikostyring. Den nævner også emnespecifikke vurderinger, den nationale vurdering “Cybertruslen mod Danmark” og “Nationalt Risikobillede”.
Vejledningen tilføjer, at materialet er til inspiration og ikke er udviklet med henblik på at opfylde specifikke lovkrav. Brugen er altså et valg, som vejledningens anbefaling om at iagttage trusler taler for.
Hvilke vurderinger der findes
Styrelsens publikationsside viste ved gennemgangen den 12. november 2026 sektorvurderinger for bl.a. energisektoren (februar 2023), søfart og havne (februar 2023), danske havne og logistikvirksomheder (april 2023), finanssektoren (november 2024), vandsektoren (januar 2025), telesektoren (marts 2025), transportsektoren (april 2025), universitetssektoren (april 2025) og rumsektoren (juni 2025). Den seneste udgave af “Cybertruslen mod Danmark” er fra november 2025.
Vurderingen af transportsektoren beskriver sit eget formål sådan, at den kan styrke risikoejeres forståelse af cybertruslen og indgå som en del af grundlaget for risikovurderingsarbejdet i sektoren. Søfart er ikke med i den, fordi søfart betragtes som en selvstændig sektor.
Datoerne er vigtige. Flere sektorvurderinger er fra 2023. Styrelsen har siden udsendt særskilte vurderinger. I juni 2026 kom en vurdering af en skærpet trussel fra destruktive cyberangreb, og i september 2026 kom en vurdering, hvor trusselsniveauet for destruktive cyberangreb mod Danmark blev hævet fra middel til høj. En risikovurdering, der kun læner sig op ad en sektorvurdering fra 2023, kan derfor bygge på et forældet billede. Tjek publikationssiden for nye udgaver, før I bruger listen her.
Hvad “brugt” betyder i en audit
Det følgende er praksis. At vurderingen skal være læst, dateret og omsat til scenarier, står ikke i nogen kilde. Det er den målestok, en auditor kan lægge.
Læst. Risikovurderingen henviser til den eller de trusselsvurderinger, der er brugt, med titel og dato. Har sektoren ingen egen vurdering, henviser den til den nationale.
Dateret. Det fremgår, hvornår vurderingen sidst blev holdt op mod risikovurderingen. Kommer der en ny vurdering eller et ændret trusselsniveau, er det en anledning til at se risikovurderingen igen. Et fast punkt i årshjulet kan sikre, at det sker.
Omsat. Trusselsbilledet er blevet til konkrete scenarier i risikovurderingen. Peger sektorvurderingen fx på, at leverandører til en bestemt kundegruppe kan være særligt udsatte, og er I sådan en leverandør, forventer auditor at kunne se det i jeres scenarier.
Sådan efterprøver en audit punktet
Auditor beder om risikovurderingen og leder efter henvisningen til trusselsvurderingerne. Findes den, sammenholder auditor datoen med de vurderinger, der er udgivet siden.
Dernæst vælger auditor en eller to af de trusler, sektorvurderingen fremhæver, og ser, om de findes som scenarier med sandsynlighed og konsekvens. Er de fravalgt, ser auditor efter begrundelsen.
Til sidst ser auditor på processen. Hvem holder øje med nye vurderinger, og hvordan når de frem til risikoejerne? Det hænger sammen med vejledningens anbefaling om en proces for oplysninger fra CSIRT’en og myndigheden og med krisestyringen.
Hvis I er en transportvirksomhed, kan NIS2-audit i transport give mere om sektorens forhold. Offentlige enheder bruger de samme vurderinger, og deres forhold er beskrevet under audit i kommuner, regioner og stat.
Hvad det kræver, og hvad det koster at lade være
At bruge trusselsvurderingen kræver, at den risikoansvarlige læser den, der passer til sektoren, og den nationale. Derefter skal de relevante trusler skrives ind som scenarier. For de fleste er det et par timers læsning og en revision af scenarierne.
Uden den bygger risikovurderingen på egne antagelser om truslerne. Det er lovligt, men det gør det sværere at forklare tilsynet, hvorfor netop de scenarier er valgt, og det gør det let at overse en trussel, myndigheden har peget på.
Det skal I lade være med
- At citere et trusselsniveau uden dato · niveauerne ændres, og et udateret niveau vildleder.
- At bruge en vurdering fra en anden sektor uden at sige det · scenarierne passer ikke nødvendigvis.
- At læse vurderingen som et lovkrav · styrelsen kalder materialet inspiration.
Det skal auditten kunne vise
- ☐ Henvisning i risikovurderingen til den brugte trusselsvurdering med titel og dato.
- ☐ Dato for, hvornår trusselsbilledet sidst blev holdt op mod risikovurderingen.
- ☐ Scenarier, der afspejler de trusler, sektorvurderingen fremhæver, eller en begrundelse for fravalg.
- ☐ En ansvarlig for at følge nye udgivelser.
Kilder
- Styrelsen for Samfundssikkerhed, Vejledning til implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, afsnit 1.b og 3.d, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Publikationer, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Cybertruslen mod transportsektoren, 23. april 2025, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find jeres sektors seneste trusselsvurdering på styrelsens publikationsside, og se, om den er nævnt i jeres risikovurdering.
Læs også: Frivillig underretning og cybersikkerhedsfællesskaber · Tallene bag ledelsesrapporteringen
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
