Driftskontinuitet kort fortalt

Hvad er driftskontinuitet?

Driftskontinuitet er overbegrebet for en organisations evne til at arbejde videre selv under større forstyrrelser – cyberangreb, strømsvigt, nedbrud i et datacenter eller hos en vigtig leverandør – og til at holde de kritiske forretningsprocesser i gang eller få dem i gang igen inden for acceptabel tid. Hvor de enkelte beredskabsdokumenter regulerer konkrete forløb, beskriver driftskontinuitet det overordnede mål: at virksomheden hele vejen igennem forbliver handlekraftig. I centrum står spørgsmålet om, hvilke processer der er så vigtige, at deres udfald ville være eksistenstruende, og hvor længe en stilstand højst kan tolereres.

Byggestenene

Driftskontinuitet opnås ikke med et enkelt værktøj, men gennem et afstemt samspil mellem flere byggesten, som hver løser sin egen opgave:

• BCP: den konkrete, operative beredskabsplan for forretningsdriften.
• BCMS: det overordnede ledelsessystem, der holder beredskabsplanerne opdaterede, testede og virksomme.
• DRP: den tekniske plan for Genopretning af it-systemer og data.
• Krisestyring: styringen og kommunikationen på ledelsesniveau.

Skarpe grænser mellem begreberne: hele klyngen på én gang

De fem begreber blandes ofte sammen i hverdagen, selv om de ligger i hver sin højde. Tabellen nedenfor ordner dem efter fokus og standard. Kort sagt: driftskontinuitet er taget, alt det andet arbejder nedenunder.

Øv, planlæg ikke bare

Planer, der ligger ulæste i skuffen, hjælper ikke meget, når det gælder. Afgørende er regelmæssige test, beredskabsøvelser og realistiske scenarier – så alle kender deres rolle i en krise, og forløbene fungerer under pres. Følger I all hazards-tanken konsekvent, øver I ikke kun cyberangrebet, men også svigt i strømforsyningen eller hos en leverandør.

Et eksempel gør det håndgribeligt. Hos en mellemstor maskinproducent krypterer ransomware ERP-systemet om natten, og fordi der findes en beredskabsplan, som er spillet igennem flere gange, skifter produktionen om morgenen uden lang tøven til foruddefinerede nødprocesser med papirfølgesedler, mens krisestaben sideløbende informerer kunderne, underretter den myndighed, der fører tilsyn med sektoren, inden for underretningskæden efter NIS2, og katastrofeberedskabsplanen lægger ERP-systemet tilbage fra afprøvede offlinebackupper, der er koblet fra nettet. Leveringsevnen bevares. Netop den forskel – timer i stedet for dage – afgør hos en underleverandør ofte spørgsmålet om bod og om pladsen i leverandørkredsen.

Driftskontinuitet og NIS2

Modstandsdygtighed er ikke pynt, men en pligt. NIS 2-loven, der har været i kraft siden den 1. juli 2025, nævner udtrykkeligt opretholdelse af driften, backupstyring og krisestyring som obligatoriske risikostyringsforanstaltninger. Afgørende er, at ledelsen ikke blot godkender foranstaltningerne, men hæfter personligt for, at de virker – det punkt løfter driftskontinuitet fra et it-emne til en ledelsessag. Opstår der en forstyrrelse med underretningspligt, gælder den tretrinnede kæde: tidlig varsling inden for 24 timer, hændelsesunderretning inden for 72 timer og endelig rapport inden for en måned. Overtrædelse straffes med bøde. NIS 2-loven fastsætter ikke et maksimumsbeløb; bødens størrelse fastsættes af domstolene efter en konkret vurdering. Rammen er den samme for væsentlige og vigtige enheder; forskellen ligger alene i, hvor tæt myndigheden fører tilsyn.

Fristen for den første registrering (1. oktober 2025) er passeret; omfattede virksomheder kan dog fortsat registrere sig på virk.dk, uden at pligterne af den grund bortfalder.

Hvad skal I helt konkret gøre?

• Udpeg de kritiske forretningsprocesser, og fastlæg den højst tolerable nedetid pr. proces (BIA).
• Fastlæg beredskabsplan, katastrofeberedskabsplan og kriseroller skriftligt, og øv dem realistisk mindst en gang om året.
• Opret offlinebackupper og uforanderlige backupper, og test genopretningen regelmæssigt – ikke kun selve sikringen.
• Byg kæden med 24 og 72 timer ind i beredskabsplanen, med navngivne kontaktpersoner over for den myndighed, der fører tilsyn med jeres sektor.
• Dokumentér beviserne revisionssikkert (øvelsesreferater, testrapporter, ledelsens godkendelser) – er I endnu ikke registreret på virk.dk, så sæt registreringen i gang.

Læs mere: ISO 22301 – Business Continuity Management Systems (oversigt over standarden)