Ny cyberstrategi 2026-2029: Hvad betyder den for SMV'er?

Hvordan beskytter I jeres data, mail og systemer?

Med den nationale strategi for cyber- og informationssikkerhed 2026-2029 får små og mellemstore virksomheder samtidig en tydelig plads i Danmarks samlede indsats for cybersikkerhed.

Strategien betyder ikke, at alle SMV’er pludselig bliver mødt af nye lovkrav. Men den understreger en udvikling, som mange virksomheder allerede mærker: Din IT-sikkerhed handler ikke længere kun om din egen virksomhed. Den har også betydning for kunder, leverandører og den værdikæde, du er en del af.

Her ser vi på, hvad strategien betyder for en virksomhed med eksempelvis 10-70 medarbejdere, og hvad du med fordel kan få styr på, før en kunde begynder at stille spørgsmål.

Hvad betyder den nye cyberstrategi for SMV’er?

Aftalen om strategi for cyber- og informationssikkerhed 2026-2029 blev indgået den 28. januar 2026 mellem regeringen og en bred kreds af Folketingets partier.

Strategien arbejder med fire overordnede pejlemærker:

1. Borgernes digitale sikkerhed
2. Virksomhedernes sikkerhed med særligt fokus på små og mellemstore virksomheder
3. Håndtering af hændelser i kritisk infrastruktur
4. Cybersikkerhedskompetencer

For mindre virksomheder er det især det andet punkt, der er interessant.

Udgangspunktet er blandt andet, at virksomheder indgår i værdikæder, hvor et cyberangreb ikke nødvendigvis stopper ved den virksomhed, der først bliver ramt.

Derfor indeholder strategien flere initiativer rettet mod små og mellemstore virksomheder.

Det gælder blandt andet:

• En offentlig-privat SMV-CERT, der skal give virksomheder adgang til varsler, viden og relevante værktøjer.
• Nationale råd målrettet de mindste virksomheder og en videreudvikling af varsling om cyberhændelser.
• Beredskabsøvelser og konkrete værktøjer, der skal styrke SMV’ernes cyberberedskab.
• Øget kendskab til Cyberhotline for digital sikkerhed og D-mærket, der er en frivillig mærkningsordning.

Aftalen afsætter 211 mio. kr. i perioden 2026-2029 til initiativerne.

Betyder strategien nye krav til din virksomhed?

Ikke i sig selv.

Cyberstrategien er en ramme for en række initiativer. Den er ikke en ny lov, der automatisk pålægger alle danske SMV’er nye sikkerhedskrav.

Flere af initiativerne skal desuden udvikles i løbet af strategiperioden.

De konkrete krav til en virksomhed kan i stedet komme fra blandt andet eksisterende lovgivning, kontrakter eller kunder.

Her er NIS2 relevant.

For virksomheder, der er omfattet af NIS2-reglerne, indgår sikkerheden i forsyningskæden som en del af arbejdet med cybersikkerhedsrisici. Det kan betyde, at de stiller sikkerhedskrav til deres leverandører og samarbejdspartnere.

Din virksomhed kan derfor blive mødt af spørgsmål om IT-sikkerhed fra en kunde, selv om virksomheden ikke selv er direkte omfattet af NIS2.

Det er netop her, cyberstrategien bliver interessant for den almindelige SMV.

Den viser en retning, hvor små og mellemstore virksomheder i stigende grad betragtes som en del af det samlede digitale sikkerhedsarbejde og den værdikæde, de indgår i.

Hvorfor din plads i leverandørkæden betyder noget

Forestil dig, at en kunde er afhængig af jer for en bestemt service, produktion eller adgang til data.

Så er det ikke kun jeres egen drift, der kan blive påvirket, hvis I bliver ramt af et cyberangreb. Hændelsen kan også få konsekvenser for kunden.

Det samme gælder den anden vej.

Hvis en af jeres kritiske leverandører bliver ramt, hvor længe kan jeres virksomhed så fortsætte?

Leverandørkæden gør derfor IT-sikkerhed til mere end et internt IT-spørgsmål.

Et konkret eksempel finder vi i den danske forsvarsindustri.

280 forsvars- og sikkerhedsvirksomheder: Et konkret eksempel

IT-firmaet Auroa undersøgte for Ingeniøren maildomænerne hos 280 danske forsvars- og sikkerhedsvirksomheder.

Undersøgelsen så blandt andet på DMARC.

DMARC er en teknisk mekanisme, der sammen med SPF og DKIM bruges til at beskytte et maildomæne mod, at uvedkommende udgiver sig for at sende mails fra virksomhedens domæne.

Ifølge undersøgelsen kunne 144 af de 280 undersøgte virksomheder misbruges som afsender af falske mails, mens kun omkring hver fjerde var fuldt beskyttet.

Tallene dækkede dog over forskellige situationer.

Mere end hver fjerde af virksomhederne havde ifølge undersøgelsen slet ingen DMARC-politik. Omtrent lige så mange havde konfigureret DMARC med politikken p=none.

Og den forskel er vigtig.

Hvad betyder DMARC: none, quarantine og reject?

p=none
DMARC bruges til overvågning og rapportering, men politikken afviser ikke i sig selv de mails, der fejler kontrollen.

p=quarantine
Mails, der ikke består DMARC-kontrollen, kan behandles som mistænkelige og eksempelvis ende i spam.

p=reject
Mails, der ikke består kontrollen, kan afvises.

p=none kan være et fornuftigt trin under implementeringen af DMARC. Problemet opstår, hvis virksomheden tror, at arbejdet dermed er afsluttet.

Før man bevæger sig til en strengere politik, skal man have overblik over de systemer, der legitimt sender mail på virksomhedens vegne. Det kan for eksempel være økonomisystemet, CRM-systemet og platformen til nyhedsbreve.

Ellers risikerer man at blokere legitime mails sammen med de falske.

Hvad fortæller undersøgelsen egentlig?

Der er nogle vigtige forbehold.

Auroa sælger selv løsninger inden for mailsikkerhed. Analysen kommer altså fra en virksomhed med en kommerciel interesse på området.

Ingeniøren oplyser imidlertid, at resultaterne kan efterprøves ved hjælp af offentligt tilgængelige værktøjer, og at mediet har foretaget stikprøver.

DI Forsvar og Sikkerhed har desuden peget på, at virksomheder kan have andre sikkerhedsforanstaltninger. En virksomhed omtalt i forbindelse med undersøgelsen oplyste eksempelvis, at den anvender lukkede, krypterede systemer til følsom kommunikation.

DMARC-status kan derfor ikke bruges som mål for en virksomheds samlede cybersikkerhed.

Men undersøgelsen illustrerer noget andet, som er relevant langt ud over forsvarsindustrien:

En relativt basal sikkerhedskonfiguration kan have betydning for andre virksomheder i værdikæden.

Hvorfor betyder din mailsikkerhed noget for andre?

DMARC beskytter ikke kun virksomheden selv.

Hvis nogen kan sende en mail, der ser ud til at komme fra dit domæne, kan dit firmanavn og din troværdighed blive brugt over for kunder og samarbejdspartnere.

Det kan eksempelvis være en falsk faktura eller en mail, der forsøger at få modtageren til at udlevere oplysninger.

Mailmodtagerens sikkerhed og din egen kommer derfor til at hænge sammen.

Det er særligt tydeligt i leverandørkæder med høje sikkerhedskrav, men princippet er ikke begrænset til forsvarsindustrien.

Det kan lige så godt være relevant for en producent, rådgivningsvirksomhed eller softwareleverandør, der arbejder for en større kunde.

Tjek jeres egen mailsikkerhed

Du behøver ikke være IT-specialist for at stille de første spørgsmål.

Start med disse tre:

1. Har jeres domæne DMARC?
Domænets offentlige DNS-oplysninger kan vise, om der findes en DMARC-post.

2. Hvilken politik anvender I?
Se efter p=none, p=quarantine eller p=reject.

3. Er SPF og DKIM konfigureret korrekt?
DMARC hænger sammen med SPF og DKIM, så de tre teknologier bør ses i sammenhæng.

Hvis I ikke har DMARC, eller stadig anvender p=none, er næste skridt ikke nødvendigvis bare at skifte direkte til reject.

Bed i stedet jeres IT-partner om at gennemgå, hvilke systemer der sender mail på jeres vegne og lægge en plan for at komme frem til en politik, der aktivt beskytter domænet.

Og husk begrænsningen:

DMARC beskytter jeres eget domæne mod bestemte former for misbrug. Det kan ikke forhindre kriminelle i at registrere et domæne, der ligner jeres, og det erstatter hverken beskyttelse af indgående mails eller medarbejdernes opmærksomhed på phishing.

5 ting du bør have styr på, før kunden spørger

Cyberstrategien betyder ikke, at alle mindre virksomheder skal gennemføre et stort sikkerhedsprojekt.

Men det er en god anledning til at stille fem enkle spørgsmål.

1. Ved I, hvad der skal beskyttes?

Har I overblik over medarbejdere, computere, systemer, data og de leverandører, virksomheden er afhængig af?

Hvis I ikke ved, hvad I har, er det svært at vide, hvad der er mest kritisk at beskytte.

2. Kan I forklare jeres grundlæggende sikkerhed?

Kan I dokumentere, hvordan I arbejder med eksempelvis:

• adgangsstyring
• multifaktorgodkendelse
• backup
• opdateringer
• brugerrettigheder?

Når en kunde spørger, er det en fordel at kunne vise, hvad I rent faktisk gør.

3. Er jeres maildomæne beskyttet?

Få undersøgt, om SPF, DKIM og DMARC er konfigureret korrekt, og om jeres DMARC-politik aktivt beskytter domænet.

4. Ved I, hvad der sker den første time efter et angreb?

Hvem opdager problemet?

Hvem ringer til IT-leverandøren?

Hvem kan beslutte at lukke adgangen til et system?

Og hvem kontakter kunder eller samarbejdspartnere, hvis det bliver nødvendigt?

En kort og brugbar beredskabsplan er bedre end et omfattende dokument, ingen kan finde, når problemet opstår.

5. Ved I, hvilke leverandører I selv er afhængige af?

Sikkerhed i leverandørkæden går begge veje.

Identificér derfor de leverandører, der kan påvirke jeres drift, data eller kommunikation, hvis de bliver kompromitteret.

Det kan være jeres IT-leverandør, cloudplatform, økonomisystem eller andre leverandører med adgang til virksomhedens systemer og data.

Du behøver ikke vente, til kunden spørger

Den nationale cyberstrategi ændrer ikke fra den ene dag til den anden kravene til alle danske SMV’er.

Men den peger på en udvikling, der allerede er i gang.

Cyber- og IT-sikkerhed handler ikke længere kun om at beskytte sin egen virksomhed. Det handler også om at kunne være en sikker kunde, leverandør og samarbejdspartner.

Og jo bedre overblik du har over virksomhedens nuværende sikkerhed, desto nemmere bliver det at prioritere de områder, der faktisk kræver handling.

Ved du, hvad andre kan se om jeres IT-sikkerhed?

Når en kunde eller samarbejdspartner begynder at stille spørgsmål til IT-sikkerheden, er det en fordel at kende svarene på forhånd.

MainBrain tilbyder en gratis og uforpligtende gennemgang, hvor vi ser på jeres nuværende udgangspunkt og giver et konkret billede af, hvad der allerede er på plads, og hvor det kan være relevant at sætte ind.

Book en gratis og uforpligtende gennemgang hos MainBrain