Hvor meget cybersikkerhed en lille virksomhed har, afhænger ikke kun af budgettet. Det afhænger af, hvor mange af beslutningerne ledelsen overhovedet har taget stilling til. To nye undersøgelser sætter tal på forskellen mellem de mindste og de største virksomheder.
Mikrovirksomheder har taget stilling til 2,5 af 12 tiltag
Dansk Erhvervs medlemsundersøgelse “Cybersikkerhed i erhvervslivet” fra december 2025 bygger på svar fra 695 medlemsvirksomheder, indsamlet i november og december 2025.
Mikrovirksomheder med op til ni ansatte har i gennemsnit taget stilling til 2,5 af 12 sikkerhedstiltag. De store virksomheder ligger på 7,7. Det er ikke et spørgsmål om, hvor meget sikkerhed der er købt, men om hvor mange af spørgsmålene ledelsen har forholdt sig til.
66 procent af virksomhederne oplever barrierer for at styrke deres cybersikkerhed. 23 procent peger på manglende viden og kompetencer.
“Mange er leverandører til kritisk infrastruktur men mangler både ressourcer og kompetencer,” siger Brian Mikkelsen, administrerende direktør i Dansk Erhverv, i organisationens pressemeddelelse.
At tage stilling er en ledelsesbeslutning
Det kræver ikke en specialist at beslutte, at backup skal testes, eller at en tidligere medarbejders adgang skal lukkes. Men det kræver nogen, der ved, hvilke beslutninger der skal træffes, og som har fået ansvaret for at træffe dem.
Forskellen på at have en beredskabsplan og at have afprøvet den er sjældent teknisk. Den er ledelsesmæssig. Det samme mønster går igen i gennemgangen af
beredskabsplaner, der aldrig blev afprøvet: planen fandtes, men ingen havde taget stilling til, om den virkede.
Tallene siger ikke noget om, hvor mange specialister der mangler på arbejdsmarkedet. De viser, at ledelsen i den mindste virksomhed har forholdt sig til langt færre af de spørgsmål, som de store virksomheder har taget stilling til.
Også store organisationer mangler kompetencerne
EU-agenturet ENISA har målt noget andet. I undersøgelsen NIS Investments 2025 blandt 1.080 organisationer i sektorer af høj kritikalitet under NIS2, overvejende store, har 76 procent svært ved at tiltrække og 71 procent svært ved at fastholde cybersikkerhedsfolk.
Det er en anden population end Dansk Erhvervs, og tallene kan ikke lægges sammen. Men de viser, at kompetencerne er svære at skaffe og fastholde, også for de organisationer, der har både budget og en egen sikkerhedsfunktion.
Hvor skal kompetencen hentes?
For en virksomhed med fem ansatte handler beslutningen derfor ikke om at ansætte en specialist. Den handler om, hvor kompetencen skal hentes: hos it-leverandøren, hos en uafhængig rådgiver, i et fagligt netværk eller hos en medarbejder, der får tid og uddannelse til opgaven.
Uanset valget ligger ansvaret i ledelsen. Den skal vide, hvem der løser opgaven, og hvem der kontrollerer, at den bliver løst.
Tre beslutninger, ledelsen kan træffe nu
Udpeg én ansvarlig i ledelsen. Én person ejer cybersikkerhed og beredskab. Skriv det ind i stillingsbeskrivelsen eller i bestyrelsens forretningsorden, så ansvaret ikke forsvinder mellem drift og indkøb.
Placér hver opgave. For backup, adgangsstyring og beredskabsplan beslutter I, om opgaven løses internt, af it-leverandøren eller af en uafhængig rådgiver. Skriv et navn på ved hver af dem.
Kræv årlig rapportering. Den, der løser opgaverne, rapporterer mindst én gang om året til ledelsen, hvad der ikke virker. Ikke hvad der er på plads, men hvad der stadig mangler.
Få overblik over, hvad I mangler at tage stilling til
En vurdering af jeres
sikkerhedsmodenhed viser, hvilke af de beslutninger ledelsen endnu ikke har taget stilling til, og hvilke der haster. Det giver et grundlag, ledelsen kan handle på, uden at det kræver en egen sikkerhedsfunktion.
Cybersikkerhed i en lille virksomhed er en ledelsesbeslutning, før det er en teknisk opgave.
Har I brug for at få overblik over, hvad jeres ledelse mangler at tage stilling til?
Kontakt Nielco IT på telefon
70 13 63 23 eller via kontaktformularen.
