Den bedste måde at sikre virksomhedens driftssammenhæng på

Indholdsfortegnelse

• Hvad er forretningskontinuitet, og hvorfor er det vigtigt?
• Risikovurdering og analyse af potentielle forstyrrelser
• Business Impact Analysis (BIA) og prioritering af kritisk aktivitet
• Forretningskontinuitetsplan trin for trin
• Databackup til virksomheder og datagendannelse
  • Hvor ofte skal man tage backup, og hvordan tester man gendannelse
• Beredskabsplan for cyberangreb og systemfejl
• Hvordan din virksomhed starter i dag
• Ofte stillede spørgsmål

Databackup og forretningskontinuitet: hvor starter du?

Sidst opdateret: 7. november 2026

Hvad er forretningskontinuitet, og hvorfor er det vigtigt?

Driftskontinuitet er en virksomheds evne til at opretholde vigtige funktioner, når der opstår en forstyrrelse, hvad enten det er en serverfejl, et cyberangreb eller et strømsvigt.

Når systemerne går ned, stopper salg, levering og kundekontakt ofte. Omkostningerne begynder hurtigt at løbe op, både i tabt indtjening og i medarbejdertid, der bruges på at forsøge at få tingene i gang igen. Derfor er driftskontinuitet ikke kun en teknisk opgave, men en ledelsesmæssig.

Virksomheder, der har defineret, hvilke funktioner der ikke må stoppe, og hvor hurtigt de skal være i gang igen, reagerer mere målrettet, når noget går galt. Det er grundlaget for alt, hvad der følger i denne vejledning.

Risikovurdering og analyse af potentielle forstyrrelser

Risikovurdering besvarer spørgsmålet om, hvad der kan stoppe driften, hvor sandsynligt det er, og hvor slemt det vil påvirke virksomheden. Begynd med at opregne de vigtigste trusler i en tabel, hvor hver trussel får en score for sandsynlighed og konsekvens på en skala fra et til fem. Gang scorerne sammen for at få risikoniveauet og ranger truslerne efter det. Trusler med en høj score i begge faktorer skal prioriteres i planen og budgettet.

Opdel truslerne i tre kategorier for at sikre, at ingen bliver glemt:

1. Tekniske trusler: serverfejl, diskfejl, ransomware, cyberangreb, netværksudstyrsfejl og fejl i opdateringer.
2. Ikke-tekniske trusler: strømsvigt, vandskader, brand, tyveri, menneskelige fejl og sygdom hos nøglemedarbejdere.
3. Eksterne trusler: fejl hos leverandører, net- og telekommunikationsfejl, transportproblemer og ændringer i lovgivningen.

For hver trussel skal du angive, hvilke systemer og processer den påvirker, hvem der ejer truslen, og hvilken forebyggende handling der allerede er på plads. Dette gør risikovurderingen til et levende dokument, der kan opdateres, ikke en engangsøvelse.

Praktisk eksempel: en virksomhed med 25 ansatte, der registrerer 15 trusler, opdager ofte, at tre til fire af dem udgør størstedelen af risikoen. Det gør allokeringen af ressourcer meget klarere end at forsøge at forsvare sig mod alt på samme tid.

Advarsel: En almindelig fejl er kun at vurdere de trusler, der allerede er sket. Spørg også, hvad der ville ske, hvis en nøglemedarbejder var fraværende i to uger, hvis en serviceudbyder stoppede driften, eller hvis et strømsvigt varede en hel arbejdsdag. Disse scenarier viser sig ofte at være de største risici.

Islandsk kontekst: her i landet skal man huske, at jordskælv, vulkanudbrud og stormvejr kan forårsage strøm- og kommunikationsforstyrrelser ét sted, men have kædeeffekter i hele landet. Virksomheder, der er afhængige af én internetforbindelse eller ét datacentre, bør vurdere dette særligt. Det er også værd at undersøge, om leverandører og serviceudbydere har deres egen driftskontinuitetsplan, da fejl hos dem kan stoppe din drift, selvom intet er gået galt hos dig.

Registrer resultaterne i et simpelt dokument med kolonner for trussel, sandsynlighed, konsekvenser, risikoniveau, systempåvirkning, ejer og handling. Gennemgå vurderingen mindst én gang årligt og når nye systemer, leverandører eller medarbejdere kommer ind i driften.

Business Impact Analysis (BIA) og prioritering af kritisk aktivitet

Business Impact Analysis (BIA) måler, hvad hver forstyrrelse koster. For hver kritisk service skal du definere to værdier: RTO, som er den maksimale tid, før servicen skal være operationel igen, og RPO, som er det maksimale datatab, virksomheden tåler, målt i tid.

Eksempel: hvis ordresystemet ikke må være nede i mere end fire timer (RTO) og ikke må miste mere end en times data (RPO), så skal backup og gendannelse leve op til disse tal. Bogholderi, der kan vente i to dage, kræver ikke samme behandling.

Prioriter aktiviteterne efter disse værdier. Øverst er services med den korteste tilladte nedetid og den største økonomiske skade. Denne rækkefølge bestemmer, i hvilken rækkefølge systemerne genoprettes.

Forretningskontinuitetsplan trin for trin

Når risikovurdering og BIA foreligger, er det tid til at skrive selve planen. Den skal være kort, klar og tilgængelig for dem, der skal udføre den under pres.

Følg disse trin:

1. Definer ansvar. Angiv, hvem der træffer beslutning om aktivering af planen, og hvem der kommunikerer med medarbejdere og kunder.
2. Registrer arbejdsprocesser for hver kritisk service. Hver kræver trin, der kan følges uden at kende alt om systemet.
3. Angiv alternative løsninger. Herunder reservesystemer, manuelle processer og kontaktpersoner hos leverandører.
4. Definer kommunikationsveje. Hvem modtager information, hvornår og på hvilken kanal.
5. Test planen. En bordøvelse med nøglepersoner i en time afslører ofte huller, som en analyse på papir overser.
6. Gennemgå regelmæssigt. Ændringer i systemer og medarbejdere gør planen hurtigt forældet.

Databackup til virksomheder og datagendannelse

Backup er ofte den første og vigtigste beskyttelse i forretningskontinuitet. Når data går tabt uden backup, er der ingen vej tilbage, uanset hvor god planen ellers er.

Følg tredobbeltreglen, som mange eksperter anbefaler: tre kopier af data, på to forskellige medier, med en kopi opbevaret eksternt. Dette reducerer risikoen for, at brand, tyveri eller cyberangreb ødelægger alle backups på én gang.

Backup er kun nyttig, hvis dataene kan gendannes. Derfor skal det angives, hvilke data der tages backup af, hvor de opbevares, og hvor hurtigt de kan hentes.

Hvor ofte skal man tage backup, og hvordan tester man gendannelse

Hyppigheden af backups bestemmes af RPO-værdien. Hvis virksomheden ikke tåler mere end en times datatab, kræver det backup mindst hver time for kritiske data. For data, der sjældent ændres, er daglig backup tilstrækkelig.

En sikkerhedskopi, der aldrig er testet, er ikke pålidelig. Test gendannelsen af vigtige forretningsdata regelmæssigt og bekræft, at sikkerhedskopier og processer fungerer, før en fejl opstår. Test gendannelsen regelmæssigt, for eksempel ved at gendanne et valgt dokument eller en database i et testmiljø og kontrollere, om det åbner og indeholder de korrekte oplysninger. Gør dette til en fast rutine, ikke kun når noget er gået galt.

Følgende tabel opsummerer tre grundlæggende regler for sikkerhedskopiering af data.

Regel	Hvad indebærer det	Eksempel
Trefoldighedsreglen	Tre kopier af data	Tre kopier
Forskellige medier	Sikkerhedskopier på to forskellige medier	To medier
Offsite	En kopi gemt offsite	En kopi offsite

Beredskabsplan for cyberangreb og systemfejl

Cyberangreb, især ransomware, er en af de mest almindelige årsager til langvarige driftsstop for små og mellemstore virksomheder. En beredskabsplan skal præcisere, hvad personalet gør i de første timer, hvem der træffer beslutninger, og hvordan kommunikationen foregår. Den skal være printet og tilgængelig offline, da det ikke er sikkert, at den kan åbnes på computeren, når systemerne er nede.

De første timer er afgørende. Følg denne tidslinje:

1. Isolér inficerede systemer. Tag dem offline ved at slukke for den kablede eller trådløse forbindelse, men sluk ikke for dem, før beviser er sikret, hvis det er muligt.
2. Underret ansvarlig person. Den, der leder responsen, samler nøglepersonale og vurderer, om planen skal aktiveres.
3. Stop udbredelsen. Kontrollér, om flere systemer viser de samme symptomer, og isolér dem. Genstart ikke systemer, før det er klart, hvordan angrebet kom ind.
4. Vurdér effekten på kritisk drift. Brug BIA-resultaterne til at bestemme, hvilke tjenester der skal genstartes først, og om man kan bruge manuelle processer imens.
5. Gendan fra rene sikkerhedskopier. Gendannelse fra en sikkerhedskopi, der er blevet testet, er generelt en sikrere vej end at forsøge at rense inficerede systemer. Se trin-for-trin-vejledning til gendannelse af systemer efter et cyberangreb og deres prioritering.
6. Dokumentér hændelsen. Gem oplysninger om tidspunkter, handlinger og beslutninger til analyse og for at opfylde forsikringskrav, hvis relevant.

Advarsel: En almindelig fejl er at genstarte systemer, før det er klart, hvordan angrebet kom ind. Så kan infektionen komme igen med det samme, og den tabte tid kan blive værre end hvis man havde ventet. En anden almindelig fejl er at slette beviser ved at rense systemer eller installere et nyt operativsystem uden først at tage en sikkerhedskopi af situationen.

Kommunikation er en del af responsen. Beslut på forhånd, hvem der taler med medarbejdere, kunder og leverandører, på hvilken kanal og hvornår. Hvis personoplysninger kan være blevet kompromitteret i angrebet, skal anmeldelsespligten til Datatilsynet vurderes, og de berørte skal informeres uden unødig forsinkelse. Kontakt politiet i tilfælde af en forbrydelse, eller hvis der anmodes om assistance til en efterforskning (Det islandske politi). Klar kommunikation reducerer usikkerhed og beskytter omdømmet, mens problemet løses.

Til sidst: test beredskabsplanen med en bordøvelse, hvor nøglepersoner gennemgår et ransomware-scenarie i en time. En sådan øvelse afslører ofte huller, som en analyse på papiret overser, såsom hvem der har reel bemyndigelse til at lukke systemer ned, eller hvem der kontakter medierne.

Hvordan din virksomhed starter i dag

Begynd med tre trin, der tager mindre end en dag: registrer dine ti vigtigste tjenester, tjek om der findes sikkerhedskopier af dem, og hvornår de sidst blev testet, og udpeg en ansvarlig person for forretningskontinuitet. Lær om virksomheders forretningskontinuitet for at få et overblik over, hvad der kan fås hjælp til.

Hvis den interne IT-viden er begrænset, kan det være fornuftigt at få en ekstern part til at gennemgå risikovurderingen. Se hvilke endpointsikkerhedsløsninger der reducerer risikoen for ransomware og nedlukning i den daglige drift. Kontakt nexIT for at drøfte, hvad der passer til din virksomhed.

---

Ofte stillede spørgsmål

Hvad er forretningskontinuitet?

Forretningskontinuitet er en virksomheds evne til at holde vigtige aktiviteter i gang eller hurtigt genstarte dem, når der opstår en forstyrrelse, f.eks. på grund af systemfejl, cyberangreb, strømafbrydelse eller anden nødsituation. Den bygger på risikovurdering, prioritering af vigtige aktiviteter, beredskabsplaner og regelmæssige øvelser. Målet er at minimere økonomisk tab og midlertidig nedlukning af kundeservice. Forretningskontinuitet omfatter således både teknologi og mennesker, processer og kommunikation.

Hvordan udarbejder en virksomhed en plan for forretningskontinuitet?

Man starter med at analysere, hvilke aktiviteter der er vigtigst, og hvad der sker, hvis de stopper i en dag, tre dage eller en uge. Derefter defineres mål for maksimal nedetid (RTO) og maksimalt datatab (RPO) for hvert vigtigt system. Planen skal beskrive roller, kommunikationsveje med medarbejdere, kunder og myndigheder samt backup-veje. Planen gennemgås årligt og testes med bordøvelser.

Hvordan hjælper datakopiering med at sikre forretningskontinuitet?

Datasikkerhedskopiering er grundlaget for gendannelse efter nedbrud eller cyberangreb. Uden en gyldig sikkerhedskopi kan en virksomhed miste regnskaber, kontrakter og forretningsoplysninger, hvilket kan tage lang tid at genoprette driften. Et godt system følger 3-2-1-reglen: tre kopier, på to forskellige medier og en offsite eller i skyen. Sikkerhedskopier er adskilt fra hovedsystemet, så et cyberangreb ikke kan nå dem.

Hvor ofte skal en virksomheds data sikkerhedskopieres?

Frekvensen afhænger af, hvor meget datatab virksomheden kan tåle. Hvis det maksimale datatab (RPO) er en time, kræves der sikkerhedskopier hver time, men mange små virksomheder er tilfredse med daglige sikkerhedskopier, der kører uden for arbejdstid. Vigtige systemer kan kræve hyppigere sikkerhedskopier. Bemærk også, at en sikkerhedskopi er værdiløs, medmindre gendannelsen er blevet testet regelmæssigt.

Hvordan tester man, om sikkerhedskopiering og gendannelse virker?

Test gendannelsen regelmæssigt, for eksempel en gang om måneden, ved at gendanne udvalgte data til et testmiljø og kontrollere, at de kan åbnes og er intakte. Registrer, hvor lang tid gendannelsen tog, og sammenlign den med målet for maksimal nedetid. En årlig fuld test, hvor hele systemet gendannes, giver det sikreste resultat.