En medarbejder i bogholderiet får en mail fra “direktøren”: En leverandør skal betales i dag, beløbet er stort, og sagen er fortrolig. Om pengene bliver overført, afhænger af, om medarbejderen reagerer på presset eller stopper op og ringer direktøren op.
Det er den menneskelige side af cybersikkerheden. Og den er en del af NIS2.
Her gennemgår vi, hvad NIS2 kræver af træningen af medarbejdere og ledelse, hvordan I kan dokumentere indsatsen, og hvilke beslutninger I bør træffe, før det første kursus bliver sendt ud.
Hvad er NIS2?
NIS2 er EU’s direktiv om et fælles, højt cybersikkerhedsniveau og omfatter offentlige og private organisationer inden for en række samfundskritiske sektorer. I Danmark er direktivet gennemført med NIS2-loven, som trådte i kraft den 1. juli 2025.
Loven stiller blandt andet krav til risikostyring, håndtering af sikkerhedshændelser, forsyningskædesikkerhed og ledelsens ansvar. I kan læse NIS2-loven på Retsinformation.
Om jeres virksomhed er omfattet, afhænger blandt andet af dens sektor, størrelse og aktiviteter. På Styrelsen for Samfundssikkerheds NIS2-side finder I vejledninger og adgang til NIS2tjek.dk, som kan bruges til en indledende vurdering.
Hvad kræver NIS2 af medarbejdertræningen?
Kravet fremgår af NIS2-lovens § 6, stk. 1, nr. 7, hvor grundlæggende cyberhygiejne og cybersikkerhedsuddannelse indgår blandt de foranstaltninger, omfattede virksomheder skal arbejde med.
Loven udpeger hverken ét bestemt kursus eller et fast træningsinterval. I stedet skal virksomheden tage udgangspunkt i sine risici og i de arbejdssituationer, hvor medarbejdernes handlinger kan få betydning for sikkerheden.
For de fleste medarbejdere vil træningen derfor omfatte phishing og svindelbeskeder, sikker brug af adgangskoder og multifaktorgodkendelse, håndtering af følsomme oplysninger samt rapportering af mulige sikkerhedsbrud. I andre funktioner kan der være behov for mere specifik viden om eksempelvis betalinger, personoplysninger eller privilegerede systemadgange.
Indholdet skal kunne bruges i hverdagen. Hvad gør medarbejderen, når en leverandør pludselig ændrer kontonummer? Hvordan kontrollerer man en usædvanlig besked fra en leder? Og hvem skal kontaktes, hvis man allerede har klikket på et mistænkeligt link?
Klare svar på den type spørgsmål er ofte mere værdifulde end en lang gennemgang af virksomhedens sikkerhedspolitik.
Alle medarbejdere møder ikke de samme risici
En økonomimedarbejder kan blive udsat for falske betalingsanmodninger, mens HR ofte arbejder med personoplysninger, der har stor værdi for en angriber. Kundeservice har daglig kontakt med eksterne personer, og systemadministratorer kan have adgang til kritiske systemer, hvor en kompromitteret konto får langt større konsekvenser.
Alle har brug for et fælles sikkerhedsniveau, men træningen bør samtidig afspejle de risici, der følger med den enkelte rolle.
For mange virksomheder vil det være hensigtsmæssigt at begynde med en fælles grundtræning og supplere den for funktioner med særligt ansvar eller forhøjet risiko. Nye medarbejdere kan få træningen som en del af deres onboarding, mens medarbejdere, der får nye ansvarsområder eller systemadgange, kan få et målrettet supplement.
Den model er forholdsvis enkel at administrere og giver samtidig mulighed for at forklare, hvorfor forskellige medarbejdergrupper modtager forskellig træning.
Ledelsen har sin egen opgave
NIS2-lovens § 7, stk. 2 stiller krav om, at ledelsesorganet deltager i relevante kurser og tilskynder til, at medarbejderne regelmæssigt tilbydes relevant uddannelse.
Ledelsens træning bør afspejle det ansvar, der følger med rollen. Hvor medarbejdernes træning typisk handler om konkrete arbejdssituationer, skal ledelsen blandt andet kunne forstå virksomhedens væsentligste cybersikkerhedsrisici, prioritere sikkerhedsforanstaltninger og følge op på, om risikostyringen fungerer.
Det kræver et andet perspektiv.
Ledelsen bør kende fordelingen af ansvar, vide hvilke risici virksomheden har accepteret, og kunne stille kvalificerede spørgsmål til rapportering om sikkerhedshændelser, leverandører og træningsindsatser. Styrelsen for Samfundssikkerheds vejledning om ledelsens rolle og opgaver uddyber kravene.
Hvad skal I kunne dokumentere?
Virksomheden bør kunne vise, hvem der har fået tildelt træningen, hvem der har gennemført den, hvornår det skete, og hvilket indhold eller hvilken kursusversion medarbejderen modtog. Der bør også være en fast proces for påmindelser og opfølgning, så manglende gennemførelse ikke forsvinder i en rapport.
Dokumentationen bliver stærkere, når den kan kobles til virksomhedens risikovurdering. Hvis økonomiafdelingen eksempelvis er særligt udsat for CEO-svindel og falske fakturaer, bør det være tydeligt, hvordan træningen adresserer netop den risiko, og hvorfor denne medarbejdergruppe eventuelt modtager andet indhold end resten af organisationen.
Et LMS kan samle tildeling, påmindelser, kursusversioner og gennemførelsesdata, så HR, compliance og IT arbejder ud fra det samme overblik. Inden I vælger en løsning, bør I dog undersøge, hvilke oplysninger systemet registrerer, hvor længe de opbevares, og hvordan de kan eksporteres i forbindelse med kontrol eller revision.
En gennemførelsesprocent fortæller, om medarbejderne har afsluttet forløbet. Testresultater, phishingøvelser og antallet af rapporterede mistænkelige henvendelser kan give et bredere billede af, om træningen også påvirker adfærden.
Sådan kommer I i gang
Placér ansvaret
Træningsindsatsen vil ofte involvere flere fagområder. IT eller informationssikkerhed kan definere de relevante risici og sikkerhedskrav, mens HR eller L&D kan stå for tildeling, kommunikation og opfølgning. Compliance kan bidrage med krav til dokumentation og kontrollere, om den aftalte proces bliver fulgt.
Der bør dog være én tydelig ejer. Uden et samlet ansvar risikerer træningen at falde mellem flere afdelinger, især når indhold skal opdateres, eller manglende gennemførelse skal følges op.
Definér den ønskede adfærd
Beskriv så præcist som muligt, hvad medarbejderen skal kunne gøre efter træningen. Et læringsmål kan lyde sådan:
Medarbejderen kan genkende typiske tegn på phishing, kontrollere en mistænkelig henvendelse gennem en anden kanal og rapportere den via virksomhedens godkendte proces.
Med et konkret læringsmål bliver det lettere at vælge indhold, udvikle relevante scenarier og vurdere, om medarbejderne har forstået budskabet.
Vælg situationer fra arbejdsdagen
Virkelighedsnære scenarier er lettere at overføre til praksis end abstrakte sikkerhedsregler. Brug derfor situationer, som medarbejderne kan genkende: Et ændret kontonummer, en falsk loginside, en hastende besked fra ledelsen eller en ukendt person, der beder om fortrolige oplysninger.
Grapes IT-sikkerhedskursus til medarbejdere er udviklet i samarbejde med BDO. Det anbefalede program består af ni moduler om blandt andet phishing, adgangskoder, mobile enheder, datadeling og sikkerhedsbrud, og indholdet kan tilpasses organisationens målgruppe og arbejdssituationer.
Planlæg opfølgningen fra begyndelsen
Træningen kan med fordel indgå i onboarding og gentages, når medarbejdere får nye ansvarsområder, eller når virksomheden ændrer systemer og arbejdsgange. Nye angrebsmetoder, erfaringer fra phishingøvelser eller en konkret sikkerhedshændelse kan også vise, at bestemte emner bør tages op igen.
Der findes ikke ét interval, der passer til alle organisationer. Virksomheden bør vælge en frekvens, der afspejler dens risici, og dokumentere, hvorfor den valgte model er relevant.
Hvem bør eje træningsindsatsen?
Det afhænger af virksomhedens organisering, men ejerskabet ligger ofte hos IT-sikkerhed, compliance, HR eller L&D. Den bedste løsning er som regel et samarbejde, hvor én funktion har det samlede ansvar, mens de øvrige bidrager med faglig viden og praktisk gennemførelse.
IT-sikkerhed kender trusselsbilledet. HR og L&D ved, hvordan træningen kan gennemføres på tværs af organisationen, og compliance har fokus på krav, kontroller og dokumentation.
Ansvar, frister og opfølgning bør skrives ned. Det skaber fremdrift og gør det lettere at forklare processen under et internt eller eksternt tilsyn.
Kan I bruge jeres eksisterende LMS?
Et eksisterende LMS kan ofte bruges til at tildele kurser, sende påmindelser og registrere gennemførelse. Det kan være en fordel, fordi medarbejderne allerede kender platformen, og fordi data om sikkerhedstræningen kan indgå i virksomhedens øvrige læringsrapportering.
Undersøg på forhånd, om kurset understøtter jeres LMS-format, om kursusversionen bliver registreret, og om rapporteringen kan fordeles på teams og roller. Det skal også være muligt at eksportere relevante data, hvis virksomheden senere skal dokumentere sin indsats.
Det tekniske setup bør vælges ud fra den dokumentation, I ønsker at kunne fremvise, frem for alene ud fra hvor hurtigt kurset kan blive lanceret.
Fra kursus til en fast del af sikkerhedsarbejdet
Medarbejdertræning kan mindske risikoen for, at en almindelig mail eller telefonsamtale udvikler sig til en sikkerhedshændelse. Den største effekt opstår, når træningen hænger sammen med klare rapporteringsveje, tekniske sikkerhedsforanstaltninger og ledelsesmæssig opfølgning.
Et kursus er derfor én del af NIS2-indsatsen. Det giver medarbejderne et fælles udgangspunkt, men virksomhedens sikkerhed afhænger også af, om de ved, hvor de skal henvende sig, når noget virker forkert, og om organisationen reagerer hurtigt på deres observationer.
Grapes online IT-sikkerhedskursus er udviklet sammen med BDO og kan tilpasses virksomhedens arbejdssituationer, målgruppe og visuelle identitet. Det anbefalede program omfatter ni moduler, fra phishing og adgangskoder til datadeling og håndtering af sikkerhedsbrud.
Se Grapes IT-sikkerhedskursus og book en demo
Ofte stillede spørgsmål
Hvor ofte skal medarbejderne have NIS2-træning?
NIS2 fastsætter ikke ét bestemt træningsinterval for alle virksomheder. Hyppigheden bør følge virksomhedens risikovurdering, medarbejdernes roller og ændringer i trusselsbilledet. Træning ved onboarding og ved væsentlige ændringer i ansvar eller systemadgang bør indgå i planen.
Er et onlinekursus nok til at overholde NIS2?
Nej. Et onlinekursus kan understøtte virksomhedens arbejde med cyberhygiejne og cybersikkerhedsuddannelse, mens den samlede NIS2-indsats også omfatter tekniske, operationelle og organisatoriske sikkerhedsforanstaltninger.
Skal leverandører også trænes?
Det afhænger af leverandørens rolle og adgang. Hvis eksterne medarbejdere har adgang til virksomhedens data, systemer eller kritiske processer, bør krav til deres kompetencer og sikkerhedsadfærd indgå i vurderingen af forsyningskædesikkerheden og, hvor det er relevant, i leverandørkontrakten.
