At lade være med at lave en exit-plan er for de fleste private virksomheder en lovlig beslutning, når den er truffet af den rette og skrevet ned. En risikoaccept beskriver systemet, det accepterede, begrundelsen, beslutningstageren og datoen for næste vurdering.
Der er stor forskel på at have valgt fra og på aldrig at have tænkt over det. På papiret ser de ens ud: der er ingen plan. Kommer spørgsmålet udefra eller fra bestyrelsen, er kun den ene et svar. Sitet er ikke et argument for at forlade nogen, og for mange systemer er accept det rigtige resultat.
Hvornår accept er det rigtige svar
Accept passer, når et af disse forhold gælder:
- Konsekvensen er lille, fordi systemet kan undværes eller købes igen hurtigt.
- Indsatsen står ikke mål med det, der skal beskyttes.
- Systemet skal alligevel skiftes inden for kort tid, og en plan ville forælde.
- Der findes intet alternativ, og I har valgt en reserveprocedure og ingen plan. Se der findes ikke noget alternativ.
- I har andre risici, der skal løses først, og beslutningen er derfor en udskydelse med dato.
Filteret for planer, der er spild hjælper med sorteringen.
Hvornår accept ikke er nok
Accept må ikke gøres bredere, end den er. Tre forhold skal I holde adskilt.
Finansielle enheder. DORA art. 28, stk. 8, kræver exitstrategier, når IKT-tjenester bærer kritiske eller vigtige funktioner. En finansiel enhed kan derfor ikke uden videre vælge det fra. Omfanget af kravet følger proportionalitet, og det er et emne for DORA og exitstrategien.
Virksomheder under NIS2. Loven nævner ikke exit. Efter § 6, stk. 1, skal virksomheden dog have foranstaltninger, der passer til risikoen, blandt andet om driftskontinuitet og forsyningskæde. Ledelsesorganet godkender dem og følger gennemførelsen, jf. § 7, stk. 1. En accept om, at der ikke er en exit-plan for et system, ophæver ikke de krav. Vores vurdering er, at den kan stå som en del af ledelsens stillingtagen, når kontinuiteten er dækket på anden vis. Om det rækker i jeres konkrete tilfælde, er et spørgsmål til advokat eller den sektoransvarlige myndighed.
Kundekontrakter. Har I lovet en kunde en plan eller dokumentation, kan en intern accept ikke ændre aftalen.
Felterne i en bevidst accept
Dokumentet skal fylde en halv side. Skriv det pr. system eller som en række i planens oversigt:
- System og funktion. Hvad accepten gælder.
- Det, I accepterer. Skriv det rent ud. Tænkt eksempel: “Vi kender ikke tiden ud af systemet, og vi har ingen egen kopi uden for leverandøren.”
- Scenarier. Hvilke hændelser I har overvejet, fx svigt hos leverandøren eller opsigelse.
- Konsekvens. Tab pr. dag og tid i egne tal, som et groft skøn.
- Begrundelse. Hvorfor det er rimeligt, herunder indsatsen ved en plan i tid og arbejde.
- Det, I gør i stedet. Fx en papirprocedure, en enkel eksport eller ingenting. Skriv det, der er sandt.
- Det, der ændrer beslutningen. De hændelser, der gør, at I tager spørgsmålet op igen.
- Beslutning. Navn, rolle og dato.
- Gyldig til. En dato for ny vurdering.
Den sidste linje er vigtigst. En accept uden udløb bliver til glemsel.
Hvem der skriver under
Den, der skriver under, skal kunne bære konsekvensen. For et system, forretningen kan undvære, kan det være systemejeren. For de kritiske systemer er det direktionen, og for de allervigtigste bør bestyrelsen orienteres. IT-chefen eller IT-leverandøren bør ikke acceptere på forretningens vegne, for det er ikke deres omsætning, der står på spil.
Hvem der må acceptere en risiko, er beskrevet mere generelt på ciso-as-a-service.dk. Her gælder det alene spørgsmålet om plan B.
Hvornår den tages op igen
Sæt en fast dato, fx ved den årlige gennemgang, og lad disse hændelser udløse en ny vurdering før tid: ejerskifte hos leverandøren, en ny kunde med krav, en fornyelse af aftalen, stærkt ændrede vilkår, et større nedbrud, eller at systemet er blevet vigtigere for forretningen. Listen ligner udløserne i planen, og det er med vilje. Accepten er en plan, der siger “ikke nu”.
Hvad det kræver, og hvad det koster at lade være
En accept kræver en halv times skrivearbejde pr. system, når vurderingen er lavet, og et kort punkt på et ledelsesmøde. Det fravalgte arbejde kan stå som et dateret spænd i timer, så næste vurdering har noget at sammenligne med.
Lader I være med at dokumentere, ender I med samme risiko og uden forsvar. Svaret til kunden bliver “det har vi ikke kigget på”, og spørgsmålet skal vurderes igen hver gang. Med en accept har I brugt en brøkdel af planens indsats og kan vise, at nogen har taget stilling. Hold det op mod dagstabet og planens øvrige værdi. Så er valget åbent og kan ændres.
Det skal I lade være med
- At kalde glemsel for en accept · uden dato og navn er der ingen beslutning.
- At lade IT acceptere på forretningens vegne · risikoen ligger hos dem, der mister omsætningen.
- At bruge accept mod et lovkrav · en intern beslutning fjerner ikke en pligt.
- At lade den stå uden udløb · forholdene ændrer sig.
Det skal planen kunne vise
- ☐ En oversigt over systemer uden plan.
- ☐ Hvad der er accepteret, skrevet rent ud.
- ☐ Begrundelse og groft skøn over konsekvensen.
- ☐ Navn, rolle og dato for beslutningen.
- ☐ Udløbsdato og hændelser, der udløser ny vurdering.
Kilder
- NIS2-loven, lov nr. 434 af 6. maj 2025: § 6, stk. 1, og § 7, stk. 1.
- DORA, forordning (EU) 2022/2554: art. 28, stk. 8.
Senest gennemgået: november 2026.
Næste skridt
Tag de systemer, der ikke har en plan, og beslut, om det er et valg. Skriv en accept for dem, hvor det er, og lav en plan for resten. Læg en dato på begge dele.
Læs også: Beslutningsnotat om exit-planen · Sjældent, men alvorligt
→ Kontakt · Tlf. 70 13 63 23 · Exit-plan og exit-rådgivning hos Nielco IT
