- Betydning
- Struktureret omgang med hændelser
- Faser
- Opdage, inddæmme, udbedre, genoprette
- Værktøj
- Hændelsesresponsplan
- Beslægtet
- Hændelsesrespons, CSIRT
- Opdateret
- juni 2026
- Redaktion
- Compliance Compass
Hvad er hændelseshåndtering?
Hændelseshåndtering beskriver den operative livscyklus, som en sikkerhedshændelse behandles i fra start til slut. Typiske faser er: forberedelse, opdagelse og analyse, inddæmning, fjernelse af årsagen og til sidst Genopretning af normal drift samt evaluering. Begrebet lægger vægten på den sammenhængende, gentagelige proces – altså på, at hver Hændelse afvikles i ordnede, sporbare skridt frem for ad hoc og improviseret.
Håndtering over for respons
Begreberne overlapper meget, men vægten er forskudt. „Hændelseshåndtering“ er selve arbejdsgangen og forløbet, „hændelsesrespons“ er derimod evnen og funktionen bag den hurtige reaktion. I praksis bruges de ofte i flæng; navngiver I faserne præcist, kommunikerer I dog klarere i en alvorlig situation om, hvilket skridt der er i gang.
Vigtigt: dokumentation i hver fase
Hvert skridt bør dokumenteres med tidsstempel – hvem der har besluttet og gjort hvad hvornår. Den rene beviskæde er ikke kun grundlag for den tekniske efterforskning, men også for deunderretninger NIS2 kræver (tidlig varsling efter 24 t, hændelsesunderretning efter 72 t) og for den Endelig rapport efter en måned. Uden gennemgående registrering kan pligterne næppe opfyldes på et holdbart grundlag.
Hændelseshåndtering og NIS2
NIS 2-loven (i kraft siden den 1. juli 2025) kræver, at væsentlige og vigtige enheder har processer til behandling af hændelser. En klart defineret hændelseshåndtering – ofte båret af et CSIRT – er grundlaget for at overholde underretningsfristerne og begrænse skaden. Forsømmes det, straffes overtrædelse med bøde. NIS 2-loven fastsætter ikke et maksimumsbeløb; bødens størrelse fastsættes af domstolene efter en konkret vurdering. Rammen er den samme for væsentlige og vigtige enheder – forskellen ligger i, hvor tæt myndigheden fører tilsyn. For eksempel: Opdages en trojansk hest, isolerer holdet først den berørte server (inddæmning), fjerner derefter skadesoftwaren og lukker indgangshullet (udbedring) og lægger så rene backupper på plads (genopretning) – og fører logbog over hvert skridt til den senere underretning.
Læs mere: ENISA – EU-agenturet for cybersikkerhed (Incident Management)
Ofte stillede spørgsmål
Hvad er hændelseshåndtering?
Hændelseshåndtering er den strukturerede, sammenhængende omgang med en sikkerhedshændelse gennem alle faser: fra forberedelse over opdagelse og analyse, inddæmning og fjernelse af årsagen til genopretning af normal drift og den afsluttende evaluering. Begrebet lægger vægten på en gentagelig proces, hvor hver hændelse afvikles i ordnede, sporbare skridt frem for ad hoc og improviseret. Det forkorter reaktionstiden og sikrer dokumentationen til NIS2.
Hvordan adskiller det sig fra hændelsesrespons?
Hændelseshåndtering handler om selve arbejdsgangen fra opdagelse til genopretning, altså om hvad der konkret gøres. Hændelsesrespons betegner derimod evnen og funktionen bag: at enheden overhovedet kan reagere hurtigt og planlagt. I praksis bruges de to ord ofte i flæng om den samme operative omgang med hændelser. Navngiver I faserne præcist, kommunikerer I klarere i en alvorlig situation om, hvilket skridt der er i gang, og undgår misforståelser i krisestaben.
Hvorfor er dokumentation vigtig?
En lækagefri dokumentation af hvert skridt med tidsstempel udgør beviskæden for, hvem der har besluttet og gjort hvad hvornår. Den er grundlag for den tekniske efterforskning og for underretningspligten efter NIS2: tidlig varsling inden for 24 timer, hændelsesunderretning inden for 72 timer og endelig rapport efter en måned. Uden gennemgående registrering kan fristerne næppe overholdes på et holdbart grundlag. Samtidig gør dokumentationen det muligt at lære af hændelsen og lukke sårbarhederne fremadrettet.