Et nedbrud bliver en exit-situation på det tidspunkt, hvor det er dyrere at vente end at handle, og det tidspunkt skal skrives ned, før nedbruddet kommer. De fleste nedbrud løser sig selv, så I bør vente i langt de fleste tilfælde. Planen skal fastlægge, hvornår I holder op med at vente, og hvem der beslutter det.
Under et længerevarende nedbrud er det svært at tænke klart. Leverandøren skriver, at der arbejdes på sagen, og næste opdatering kommer om to timer. Sådan kan det gå i dage, og hver beslutning om at vente lidt endnu virker rimelig. Et mål, der er sat på forhånd, tager det pres væk.
Beredskabet, altså hvordan I arbejder under et nedbrud, hører til beredskabsplanen. Her handler det om grænsen mellem at vente og at handle, og om hvad der skal være tænkt igennem i exit-planen.
Tre faser og to grænser
Del et længerevarende nedbrud op i tre faser. Skriv tiden ind for hvert kritisk system.
- Vent. Leverandøren arbejder, forretningen klarer sig med manuelle rutiner, og I følger med.
- Mellemløsning. I tager reserveprocedurer eller en kopi af data i brug, mens I stadig regner med, at tjenesten kommer tilbage.
- Exit. I beslutter at aktivere planen for det pågældende system, fordi I ikke længere regner med tjenesten inden for den tid, forretningen kan tåle.
Det giver to grænser. Den første siger, hvornår I går fra at vente til at bruge mellemløsningen. Den anden siger, hvornår spørgsmålet om at forlade tjenesten kommer på bordet. Den anden grænse udløser en beslutning, og ingen flytter noget endnu. Ledelsen kan fint beslutte at vente videre, når den ved, hvad det koster.
Sådan finder I grænserne
Tiden kommer fra forretningen. Hvor længe kan I undvære systemet? Det spørgsmål er beskrevet i RTO og RPO for ledelsen, og de to fagudtryk betyder den tid, I kan undvære systemet, og den mængde nye data, I kan tåle at miste. Har I lavet en konsekvensanalyse, altså en gennemgang af hvad der sker dag for dag uden systemet, så ligger svaret dér.
Grænserne skal stå i dage eller timer. Sammenhold dem med to andre tal:
- Exit-tiden. Hvor lang tid tager det at få systemet op et andet sted? Tager det tre uger, nytter det ikke at træffe beslutningen dagen før, tolerancen er nået. Grænsen må lægges tidligere, eller også må mellemløsningen række længere.
- Mellemløsningens rækkevidde. Hvor længe kan I arbejde manuelt, før fejl og efterslæb bliver større end det, der vindes?
Et tænkt eksempel: En mindre produktionsvirksomhed planlægger i et system i skyen. Med papir og regneark kan den køre videre i tre dage. Exit-tiden til en reserveløsning er vurderet til ti dage. Virksomheden skriver derfor, at mellemløsningen tages i brug efter fire timer, og at ledelsen mødes efter ét døgn, hvis leverandøren ikke kan give et troværdigt tidspunkt. Tallene er tænkte, og jeres egne vil se anderledes ud.
Tegn på, at nedbruddet skifter karakter
Tid er det enkleste kriterium, men andre tegn kan sætte grænsen i spil tidligere. Skriv dem ind, så ingen behøver at tolke situationen alene:
- Leverandøren giver ingen tidsangivelse, eller den flytter sig igen og igen.
- Der er tvivl om, hvorvidt data er intakte.
- Årsagen er et sikkerhedsbrud, og leverandøren kan ikke sige, hvornår tjenesten er sikker.
- Leverandøren kan ikke selv gendanne, eller der er tegn på, at selskabet er i problemer.
DORA gælder kun finansielle enheder, og vi bruger det her som model. Delegeret forordning (EU) 2024/1774 art. 26, stk. 1, siger, at planer for indsats og genopretning skal præcisere, hvad der aktiverer og deaktiverer dem, og hvornår gennemførelsen kan erklæres for vellykket. Art. 26, stk. 3, siger, at alternative muligheder skal overvejes, hvis de primære foranstaltninger ikke kan gennemføres på kort sigt. NIS2-gennemførelsesforordning (EU) 2024/2690 gælder heller ikke almindelige virksomheder, men dens punkt 4.1.3 om forretningskonsekvensanalyse og punkt 4.1.4 om test og ajourføring af planer er også en god model.
Hvem beslutter, og hvad står der i beslutningen?
Skriv navne og stedfortrædere. Hos en mindre virksomhed kan det være direktøren sammen med den, der ejer systemet, og IT-leverandøren giver oplysninger. Beslutningen bør tages på et møde, I holder fast til tiden, så den ikke afhænger af, om nogen tager initiativ.
Mødets dagsorden er kort: Hvad ved vi? Hvad siger leverandøren? Hvor længe rækker mellemløsningen? Hvad koster en dag mere? Skal vi aktivere planen? Skriv resultatet ned med klokkeslæt. Vælger I at vente, så skriv det ned, og aftal et nyt tidspunkt. Bliver det til en aktivering, fører det over i planen for de første 48 timer.
Hele dette forløb hænger også sammen med, at mange afhænger af samme udbyder. En stor hændelse rammer jeres reserveløsning, hvis den ligger samme sted, og det er forklaret under koncentrationsrisiko.
Hvad det kræver, og hvad det koster at lade være
Grænserne kan skrives på et møde på under to timer pr. kritisk system, når konsekvensanalysen findes. Mangler den, så regn med en til to dage. Arbejdet får et nedre og et øvre skøn med dato.
Mangler grænserne, er det tid, I mister. Hver time med tvivl er en time, hvor mellemløsningen ikke er i gang. Regn med forretningens egne tal: hvad I mister pr. dag i tabt salg, ekstraarbejde og efterslæb, og hvor mange dage et nedbrud kan vare. Hold det op imod de få timers arbejde med at sætte grænserne. Læg til, at grænserne også gør beredskabsøvelser og kundesvar lettere, selv hvis nedbruddet aldrig kommer. I kan hurtigere fortælle kunderne, hvornår I gør hvad.
Det skal I lade være med
- At lade leverandørens statusside sætte tempoet · den fortæller, hvad leverandøren ved, og siger intet om, hvad I kan tåle.
- At aftale grænsen under nedbruddet · så bliver den flyttet, hver gang.
- At lægge reserveløsningen hos samme udbyder · en stor hændelse rammer dem begge.
Det skal planen kunne vise
- ☐ To grænser pr. kritisk system, angivet i tid, med kilden til tolerancen.
- ☐ Exit-tid og mellemløsningens rækkevidde, som hænger sammen med grænserne.
- ☐ Hvem der mødes, hvornår, og hvem der beslutter.
- ☐ Tegn, der bringer beslutningen frem, selv om tiden ikke er gået.
Kilder
- Delegeret forordning (EU) 2024/1774: art. 26. Model uden for finans.
- Gennemførelsesforordning (EU) 2024/2690: bilag, punkt 4.1.3 og 4.1.4. Model, gælder kun bestemte digitale udbydere.
Senest gennemgået: november 2026.
Næste skridt
Book et møde med forretningsejeren for jeres vigtigste system, og skriv de to grænser ned. Beslut samtidig, om ledelsen skal godkende dem.
Læs også: Hvad sker der dag 1, dag 3 og dag 10 uden systemet? · Reserveløsning
→ Kontakt · Tlf. 70 13 63 23 · Exit-plan og exit-rådgivning hos Nielco IT
