Geopolitik kan vurderes som IT-risiko, når I skriver den om til en konkret hændelse med tre svar: hvad falder bort, hvor hurtigt sker det, og hvad gør I så. En linje i risikoregistret med ordet “geopolitik” giver ledelsen intet at tage stilling til. Tre korte scenarier for de systemer, forretningen hviler på, gør det muligt at beslutte, om risikoen kan accepteres, eller om den kræver en plan.
Mange ledelser står et sted, hvor bekymringen er større end overblikket. Dansk Industri spurgte 357 medlemsvirksomheder i marts 2026 om deres forretningskritiske IT-systemer. To tredjedele vurderede deres mulighed for at skifte leverandør uden større barrierer som lille eller fraværende, og to pct. vurderede den som høj. Dansk Erhvervs medlemsundersøgelse fra december 2025 med 695 svar viste, at 23 pct. ikke ved, hvilken cloudleverandør de bruger. Dansk Erhverv bemærker selv, at tallet også kan afspejle, hvem der har svaret. De to undersøgelser har hver sin målgruppe og spørgsmål og kan ikke lægges sammen.
Artiklen forklarer ikke loven. Hvad Cloud Act og lignende regler betyder juridisk, står i artiklen om Cloud Act. Her bruges reglerne som råmateriale til et scenarie, og en Cloud Act-risiko behandles på samme måde som enhver anden hændelse, der kan ramme driften.
Fra overskrift til hændelse
En nyhed om handelskonflikt eller sanktioner er en begivenhed i verden. Et scenarie beskriver, hvad der sker hos jer. Forskellen ligger i det første spørgsmål: hvad holder op med at virke, eller hvad må vi ikke længere gøre?
For de fleste virksomheder dækker tre scenarier det meste:
- Adgangen stopper. En tjeneste kan ikke længere bruges, fordi leverandøren ikke må eller ikke vil levere til jer eller til jeres land.
- Vilkårene skifter. Tjenesten kører videre, men en ny regel eller beslutning ændrer, hvad I må bruge den til, eller hvor data må ligge.
- Data bliver tilgængelige for andre, end I havde regnet med. Her er spørgsmålet, hvilke oplysninger der er så følsomme, at I vil kunne flytte dem, hvis vurderingen ændrer sig.
Det er sitets egen opdeling og intet myndighedskrav. Den ses som model i den delegerede forordning (EU) 2024/1774 under DORA, der kun gælder finansielle enheder. Art. 26, stk. 2, litra h, beder dem overveje politisk og social ustabilitet, også i udbyderens jurisdiktion og der, hvor data lagres. SAMSIK’s vejledning til NIS2-loven nævner leverandørens geopolitiske risici blandt kriterierne for valg af leverandør. Heller ikke det er en pligt til at skrive scenarier.
Felterne i registret
Skriv hvert scenarie pr. system med de samme felter, så ledelsen kan sammenligne dem:
- System og forretningsfunktion. Hvad bruges det til, og hvem mærker det først?
- Hændelse. Én sætning om, hvad der sker.
- Tid. Kommer det med varsel, eller sker det fra dag til dag?
- Første tegn. Hvad ville I se, før det sker, fx en ny regel eller en meddelelse fra leverandøren?
- Hvad falder bort. Funktioner, data og koblinger til andre systemer.
- Tab pr. dag. Regnet med forretningens egne tal.
- Første handling. Hvem gør hvad den første dag?
- Ejer og dato. Hvem holder scenariet ajour?
Et tænkt eksempel på en grossist: Ordresystemet ligger hos en udbyder uden for EU. Hændelsen er, at adgangen stopper. Tiden sættes til uden varsel, fordi en sanktion ikke venter på en opsigelsesperiode. Salg og lager mærker det først. Grossisten ser, at ordrer kan tages telefonisk i et par dage, og at den største udfordring er kundernes aftalepriser, der kun ligger i systemet. Så står der en konkret mangel i registret, og den kan løses med en kopi af prisdata uden for systemet, længe før nogen taler om at flytte.
Sandsynlighed bør stå i ord, som “lav” eller “kan ikke vurderes”. Et tal ville give en præcision, som ingen har. Det er konsekvensen, I kan arbejde med, for den kender I selv. Hvordan afhængighed kan drøftes som ledelsesemne, er beskrevet under afhængighed som strategisk risiko.
Det, ledelsen skal tage stilling til
Scenarierne fører til ét af tre svar pr. system. Risikoen kan accepteres, og det skrives ned. Risikoen kan mindskes med små greb, fx en kopi af data eller en reserveprocedure. Eller systemet får en egentlig exit-plan, altså en beskrivelse af, hvordan I kan komme ud, uden at I behøver at gøre det.
Svaret må gerne være, at systemet bliver, hvor det er. Scenariet er et redskab til at se konsekvensen og siger intet om, at en bestemt leverandør er dårlig. Mange virksomheder vil ende med én eller to planer og resten som bevidst accept.
Hvad det kræver, og hvad det koster at lade være
Et scenarie tager kort tid, når systemlisten findes. Regn med en halv til en hel arbejdsdag pr. kritisk system som jeres egen lave vurdering, og sæt en høj vurdering ved siden af, hvis oplysningerne ligger spredt. Skriv datoen på, for vurderingen ældes. Det er forretningsejeren, IT og én fra ledelsen, der skal bruge tiden.
Lad I være, er prisen sjældent en regning. Den viser sig som tid brugt på at diskutere nyheder uden noget at holde dem op imod, og som beslutninger taget i hast, hvis noget sker. Hold tre ting op mod hinanden i jeres eget regneark: arbejdet med scenarierne, tabet pr. dag gange det antal dage, et stop kan vare, og udbyttet, selv om intet sker. Det sidste er et overblik, I kan bruge over for kunder og bestyrelse, og et hurtigere svar, næste gang nogen spørger.
Det skal I lade være med
- At skrive “geopolitik” som én samlet risiko · ingen kan beslutte noget på så bredt et grundlag.
- At sætte tal på sandsynligheden · ingen kender den, og tallet flytter opmærksomheden væk fra konsekvensen.
- At lade scenariet blive et argument for at forlade en leverandør · det skal vise jeres handlemuligheder.
Det skal planen kunne vise
- ☐ Tre scenarier for hvert kritisk system, med hændelse, tid og første tegn.
- ☐ Hvad der falder bort, og hvad det koster pr. dag i egne tal.
- ☐ Ledelsens svar pr. system: accept, små greb eller plan.
- ☐ En ejer og en dato for det næste gennemsyn.
Kilder
- Delegeret forordning (EU) 2024/1774: art. 26, stk. 2, litra h. Model uden for finans.
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger: s. 30.
- Dansk Industri: Geopolitisk uro sætter fokus på digital suverænitet i virksomhederne, maj 2026: 357 medlemmer, 25. til 31. marts 2026.
- Dansk Erhverv: Vil virksomheder skifte væk fra ikke-europæiske cloudleverandører?: 695 svar, medlemmer, ikke hele erhvervslivet.
Senest gennemgået: november 2026.
Næste skridt
Tag det system, I ville savne først, og skriv ét scenarie denne uge. Beslut derefter, om systemet skal have en plan.
Læs også: Kontoen lukkes uden varsel · Hvor meget afhængighed vil ledelsen acceptere?
→ Kontakt · Tlf. 70 13 63 23 · Exit-plan og exit-rådgivning hos Nielco IT
