Digital resiliens er blevet en driftsdisciplin
– er din forsyningskæde klar?

 

 

Vi hører ofte, at Danmark er et af verdens mest digitaliserede lande. Men jo mere effektiv den digitale infrastruktur gør os, jo mere afhængig vi bliver af forbundne systemer internt i virksomheden og ud igennem vores supply chain, desto dyrere bliver det, når den digitale infrastruktur svigter. Tre nyere rapporter tegner tilsammen et billede af den nationale sårbarhed, og de globale mønstre bag den sårbarhed. Rapporterne giver samtidig et billede af, hvor langt de danske produktions-SMV’er reelt er fra at være klar. Artiklen gennemgår de tre rapporter og opsummerer til sidst med bud på handling.

Når strømmen går – for hele landet
Forestil dig en helt almindelig onsdag. Du afleverer børnene i børnehave og skole, kører på arbejde, tjekker mobilen, og pludselig er der intet, der virker. Ingen mobildækning, ingen betalingskort der virker, ingen adgang til kundeordresystemet. I løbet af få timer går lagerstyringen i stå, leverandørerne kan ikke kontaktes, og produktionen kører på reservekapacitet, hvis den overhovedet kører.(1)

Det er ikke science fiction. Det er scenariet, som GlobalConnect tegner i rapporten Digital Resilience: Securing Denmark’s Digital Infrastructure Amid Growing Uncertainty and Geopolitical Risks fra oktober 2025 (1). Rapportens gennemgående case illustrerer en fiktiv families oplevelse af et længerevarende nedbrud af elnettet med familiens udfordringer på jobbet og i hjemmet. Rapporten er interessant læsning for enhver, der arbejder med forsyningskæder og operations, fordi den viser noget, som vi måske nok har tænkt, men endnu ikke har taget fuldt ind, nemlig at den digitale infrastruktur er blevet en kritisk og sårbar del af en forsyningskæde.

Samtidig udkommer to andre rapporter, der supplerer GlobalConnects nationale perspektiv. OECD’s Supply Chain Resilience Review fra 2025 (2) har fokus på den globale handelspolitik, og den viser, hvordan digitalisering er blevet en systemisk risikofaktor i alle verdens forsyningskæder. Den danske forskningsrapport fra Syddansk Universitet, SMV’ers cybersikkerhed og forretningskontinuitet (3) er formidlingen af et projekt med støtte fra Industriens Fond. Projektet har undersøgt status for danske produktionsvirksomheder i forhold til, hvor godt de reelt er forberedt med cybersikkerhed. Rapporten peger på, at virksomhederne generelt ikke er godt forberedt. De tre rapporter peger samlet på, at digital modstandsdygtighed (resiliens) ikke er et spørgsmål, IT-afdelingen kan klare alene. Det er en driftsdisciplin på linje med ansvar for produktion, indkøb og kvalitet.

Danmark som digital motorvej – og et attraktivt mål
GlobalConnects rapport(1) beskriver Danmark som en digital frontløber. 84 % af de danske hjem har fibernet indlagt, mod et EU-gennemsnit på 64 %, og vi fungerer som digital bro mellem Norden og det kontinentale Europa via 14 søkabler til Sverige og Norge samt transatlantiske forbindelser(1). Den styrke, som forbundetheden giver med hurtig kommunikation, er samtidig en sårbarhed. Rapporten opstiller tre scenarier for forstyrrelser af den digitale infrastruktur, fra en firetimers regional afbrydelse til et landsdækkende nedbrud på op til en uge. Rapporten beregner, at et større, landsdækkende nedbrud kan koste mellem 500 millioner og 1 milliard euro i timen, afhængigt af omfang og hvilke sektorer, der rammes(1).

Det mest interessante er ikke en strømafbrydelse i sig selv, men rapporten peger på kaskadeeffekter, som supply chain ledere skal være særligt opmærksomme på. GlobalConnect(1) viser, hvordan et nedbrud spreder sig gennem sammenkoblede systemer. ERP-systemer vil f.eks. miste forbindelsen internt til administrative systemer, produktionssystemer og eksternt til f.eks. leverandørportaler og banker. Produktionen vil mange steder gå i stå uden strøm, og de administrative processer vil ikke kunne afvikles. Selv virksomheder med lokale nødprocedurer og back-up systemer oplever, at cirka 30-40 % af medarbejderne reelt er låst ude af kernesystemerne efter få dages strømafbrydelse(1). Global Connect rapporten peger på, at Danmarks nuværende beredskab – bygget på EU’s NIS2(7)- og CER-direktiver(6) – sætter en vigtig ramme, men det er ikke testet til at holde under et flerdages nedbrud på tværs af sektorer.

OECD ser det samme mønster i alle forsyningskæder
Hvor GlobalConnect(1) har fokus på den danske infrastruktur, peger OECD på, at problemet er strukturelt og globalt. I Supply Chain Resilience Review(2) peger OECD på, at i hypen over produktivitetseffekten af den digitale transformation, er der også en bagside for forsyningskæder. Robotteknologi, IoT-sensorer, digitale tvillinger og AI-drevne planlægningsprocesser og forecasting skaber nye afhængigheder og gør cyberangreb til en risiko, der kan sprede sig gennem hele forsyningskæden(2).

________________

Amazon Webservices – AWS-nedbruddet i 2020(8) fik effekt for mange.

I forsøget på at skabe mere kapacitet forud for Black Friday og julehandlen forsøgte AWS-teknikere at tilføje en smule ekstra serverkapacitet til den tjeneste, der styrer web-trafikken. Der skete desværre en teknisk fejl, der fik front-end-serverne til at fejle fuldstændigt, hvilket betød, at de ikke længere kunne håndtere indkommende trafik (kundeordrer). Umiddelbart var fejlen isoleret til en bestemt tjeneste, men fejlen lammede store dele af AWS, fordi mange andre centrale AWS-tjenester internt er dybt forbundne, og der opstod flaskehalse, som fik de andre systemer til at fejle.
________________

AWS casen er et godt eksempel på det, som Global Connect peger på som ”kaskade effekter”, at en fejl et sted kan skabe fejl i mange andre systemer. OECD-rapportens afsnit om risikostyring på virksomhedsniveau er vigtig læsning med fokus på Supply Chain Management. I rapporten undersøger OECD den klassiske erkendelse, at modstandsdygtige forsyningskæder bygger på tre grundpiller: redundans (sikkerhedslagre, backup-leverandører, overkapacitet), fleksibilitet (organisatorisk læring og evnen til hurtigt at omstille indkøb, produktion og distribution) og som det tredie en kultur præget af handlekraft, hvor medarbejdere er trænet til at reagere på tidlige advarselssignaler(2). I mange år har redundans (eller buffer) ikke været det gængse ved drift af supply chain.

OECD-rapporten fremhæver, at fleksibilitet generelt slår ren redundans, fordi redundans er dyrt at holde ”på lager”, mens fleksibilitet både styrker robusthed og konkurrenceevne på samme tid. De virksomheder, der klarer sig bedst, formår at kombinere alle tre elementer i såkaldte ”Triple-A”-forsyningskæder: agile (hurtige til at reagere), tilpasningsdygtige/adjusting (justerer sig over tid) og alignede (koordinerer interesser med leverandører og partnere).(2)

En vigtig pointe fra OECD-rapporten er, at der ikke findes noget ”sikkert sted at producere”. Risici findes lige så vel hjemme som i udlandet, og strategier som hjemtagning eller dobbelt sourcing løser sjældent problemet alene. Ofte flytter risikoen blot længere op i kæden, eller øger kompleksiteten og omkostningerne, uden at øge den reelle robusthed(2). OECD anbefaler i stedet, at politikere og virksomheder arbejder målrettet med at understøtte adgang til pålidelig telekommunikation og cloud-infrastruktur, og – ikke mindst – med at hjælpe mindre virksomheder med at omsætte principper for digital sikkerhed til konkret praksis, fordi omkostningerne ved compliance og sikkerhedsforanstaltninger rammer SMV’erne hårdt.(2)

Virkeligheden hos de danske SMVer
Mens GlobalConnect(1) og OECD(2) beskriver risikoen i det store perspektiv, har forskere fra SDU – i samarbejde med Forsvarsakademiet og med støtte fra Industriens Fond – i et treårigt projekt spurgt danske produktions-SMV’er, hvordan de reelt håndterer cybersikkerhed og forretningskontinuitet i deres forsyningskæder(3). I den afsluttende rapport fra projektet har forskerne fundet, at andelen af virksomheder, der har oplevet et cyberangreb inden for de seneste år, er steget fra 20 % i 2024 til 25 % i 2026(3). Undersøgelsen viser også, at mange af virksomhederne strukturelt set stadig betragter cybersikkerhed som et internt anliggende i virksomheden, frem for et fælles ansvar i værdikæden.

Forskningsprojektet introducerer begrebet dynamiske kapabiliteter(3) som virksomhedernes evne til at opdage trusler, handle på dem og løbende omstille sig, når det handler om cybersikkerhed og geopolitik. I undersøgelsen er billedet entydigt svagt for virksomhedernes evne til at opdage cybertrusler i egen forsyningskæde, og evnen til at handle hurtigt på dem er ligeledes ringe. Den bedst scorende kategori er evnen til at tilpasse sig over tid, og her når virksomhederne kun op på en middel score(3). Med fokus på det geopolitiske område er billedet det samme. Virksomhederne scorer også lavt omkring brugen af digitale værktøjer til at opdage tidlige tegn på geopolitisk relaterede forstyrrelser, såsom energikriser eller sanktioner(3).

Undersøgelsen finder, at årsagen til den relativt lave parathed overfor cybertrusler er en lav organisatorisk modenhed i arbejdet med cybersikkerhed som en del af virksomhedernes ledelse af forsyningskæderne(3), og ikke dårlig teknisk sikkerhed. Virksomhedernes svar peger på årsager som ressourceknaphed, kompleks leverandørstruktur og en fortsat opfattelse af cybersikkerhed som ”et IT-anliggende” frem for et fælles ledelsesansvar(3). Mange SMV’er har endnu ikke en formel strategi og rutiner for, hvordan leverandører vurderes og forpligtes kontraktuelt, når det handler om cybersikkerhed, på trods af at cyberangreb i stigende grad opleves gennem forsyningskæden(3).

Det svageste led…..
Det, der gør digital modstandsdygtighed til et vigtigt emne i en supply chain kontekst, er netop, at alle vores systemer og processer er forbundne, og en fejl på en opdatering eller noget hardware et sted i netværket vil få betydning for mange andre i netværket. Derfor er den digitale modstandsdygtighed heller ikke kun en opgave for IT afdelingen. Styrelsen for Samfundssikkerhed har den 30. juni 2026 hævet trusselsniveauet for cyberspionage(4) med henvisning til statsstøttet spionage og en skærpet trussel fra destruktive angreb mod dansk kritisk infrastruktur. Desuden fremhæves i den politiske aftale om en dansk strategi for cyber- og informationssikkerhed 2026-2029 behovet for at løfte cybersikkerheden i SMV’erne og for at skabe en fælles forståelse af, at cybersikkerhed ikke kun handler om at beskytte egen forretning, men også hele den forsyningskæde, som virksomheden indgår i(5).

Fællesnævneren for cyberangreb, naturkatastrofer, kabelbrud og strømsvigt er, at det ikke nødvendigvis rammer den største eller mest modne supply chain aktør direkte. AWS eksemplet(1) viser, hvordan et enkelt system eller en softwareopdatering, der fejler, får globale effekter. Det Danske eksempel fra Nets i juli 2025, der lukkede Storebæltsbroen i flere timer – og igen i maj i år -, kan lamme kommunikation og produktion på tværs af hele sektorer, selv hvor den fysiske supply chain infrastruktur er intakt(1).

4 områder for handling
Det gode budskab er, at SMVerne kan gøre noget, både hver for sig og i de forsyningskæder, de indgår i. De følgende 4 områder for handling giver bud på konkrete og gennemførlige tiltag, som ikke kræver et stort IT-budget for at komme i gang.

  1. Forankring i ledelse og bestyrelse
    • Løft cybersikkerhed fra IT-afdelingen til ledelsen og bestyrelsen. SDU-rapporten viser, at bestyrelsens engagement fortsat er moderat, og at arbejdet primært drives af den daglige ledelse(3). I SMV virksomhedens bestyrelse behøver der ikke sidde tekniske specialister, men bestyrelsen bør fastlægge virksomhedens risikovillighed, modtage regelmæssig rapportering om trusselsbilledet og hændelser og via virksomhedens beredskabsplan sikre, at der er aftaler om ”hvis dette sker – så gør vi…”. Bestyrelsen skal sørge for, at der er afsat de nødvendige ressourcer og kompetencer.
    • Afklar jeres regulatoriske forpligtelse. Det skal sikres, at virksomhedens forpligtelser f.eks. ift. NIS2, og CER er kendte – både direkte og indirekte – f.eks. som underleverandør til større virksomheder, der er omfattet af direktiverne(3).
  2. Leverandørstyring og kontrakter
    • Indbyg cybersikkerhedskrav i leverandørkontrakter. Skab klarhed over de aktuelle kontrakter og indholdet af cybersikkerhedskrav. Opdatér kontrakterne, så de er dækkende for virksomhedens samarbejde og risici. Brug f.eks. kontraktskabeloner og en fast tjekliste.
    • Prioritér leverandører efter kritikalitet og lav due diligence, før I skriver under. OECD’s pointe om, at der ikke findes noget ”sikkert sted at producere”, gælder også i Danmark. Risikoen flytter sig ikke bare, fordi leverandøren er dansk(2). Lav en analyse over de leverandører, der er de kritiske og evaluér deres systemsikkerhed. SDU-forskerne har udviklet en analyse, som er frit tilgængelig(3).
    • Byg redundans ind – men bevidst og målrettet. Følg OECD’s anbefaling om at balancere redundans (f.eks. backup-leverandører eller ekstra lager på kritiske komponenter) med fleksibilitet, frem for at forsøge at eliminere al risiko med dyre dobbeltløsninger, der aldrig bruges(2).
  3. Beredskab og forretningskontinuitet
    • Lav en Business Impact analyse, hvis I ikke allerede har en. Formålet er at afklare hvilke processer og systemer, der er mest kritiske, og hvad et nedbrud reelt koster.
    • Øv jer på et nedbrud, før det sker. SDU-værktøjskassen indeholder scenarieplanlægning og ”tabletop-øvelser”, hvor ledelse, IT og produktion sammen gennemgår et cyberangreb trin for trin, uden det påvirker den daglige drift(3). Det svarer i miniformat til GlobalConnects(1) forslag om en national ”Black Sky”-øvelsesserie, bare i jeres egen virksomhed og med jeres egne kritiske leverandører.
    • Udarbejd planer for drift uden IT – ikke kun drift med reserve-IT. Flere af GlobalConnects nedbrudsscenarier viser, at selv gode back-up systemer typisk kun holder i timer, ikke i dage(1). Hvad gør produktionen, lageret og ordremodtagelsen, når systemerne reelt er væk i et eller flere døgn?
  4. Mennesker og kultur
    • Byg en sikkerhedskultur. Ifølge SDU-forskerne lykkes de fleste cyberangreb, ikke fordi teknologien fejler og skaber adgang, men fordi mennesker under travlhed og pres handler hurtigt og ureflekteret(3). En tryg organisationskultur, hvor fejl og nærved-hændelser kan rapporteres uden frygt, giver god og hurtigere læring.

 

Opsummering
De tre rapporter(1),(2),(3) belyser samme problem fra tre forskellige højder. GlobalConnect viser, hvad der sker, når strømmen og dermed forbindelsen til ”nettet” forsvinder for hele landet. OECD viser, at digitalisering af forsyningskæder globalt set både er en styrke og en systemisk sårbarhed, som kræver bevidst balancering af redundans, fleksibilitet og samarbejdskultur. SDU’s SMV-rapport viser, at det arbejde langt fra er gjort i de danske produktionsvirksomheder endnu – hverken hos den enkelte virksomhed eller i det samlede leverandørnetværk.

For alle, der arbejder med supply chain, ledelse, distribution, indkøb, planlægning og produktion, er pointen enkel, men vigtig: digital resiliens kan ikke længere behandles som et IT-projekt, der køres én gang og derefter glemmes. Det er en driftsdisciplin, der skal læres og vedligeholdes med samme systematik som kvalitetsstyring, lean, leverandørudvikling og lagerstyring. Der skal trænes ”hvad nu hvis scenarier”. Cybersikkerhed skal ikke kun beskrives i en politik og derefter gemmes i skuffen.

_____________________________________

Referencer:

  1. GlobalConnect (2025). Digital Resilience: Securing Denmark’s Digital Infrastructure Amid Growing Uncertainty and Geopolitical Risks. Oktober 2025.
  2. OECD (2025). OECD Supply Chain Resilience Review: Navigating Risks. OECD Publishing, Paris. https://doi.org/10.1787/94e3a8ea-en
  3. Stentoft, J., Mikkelsen, O.S., Wickstrøm, K.A., Keating, V., Tumchewics, L., Schmitt, O., Theussen, A., Peressotti, M., Mayer, P. & Kankam-Boateng, J. (2026). SMV’ers cybersikkerhed og forretningskontinuitet: Resultater og perspektiver. Institut for Erhverv og Bæredygtighed, Center for War Studies og Institut for Matematik og Datalogi, Syddansk Universitet, samt Forsvarsakademiet. Udgivet med støtte fra Industriens Fnd. www.cyber-smv.dk
  4. Styrelsen for Samfundssikkerhed (SAMSIK). Skærpet trussel fra destruktive cyberangreb (hentet 5.juli.26) https://samsik.dk/publikation/skaerpet-trussel-fra-destruktive-cyberangreb/
  5. Ministeriet for Samfundssikkerhed og Beredskab (2026). Aftale om strategi for cyber- og informationssikkerhed 2026-2029. https://mssb.dk/nyheder/nyhedsarkiv/2026/januar/aftale-ny-strategi-for-cyber-og-informationssikkerhed/ (hentet 25.juni.2026)
  6. Dansk Industri, Hvad er CER-direktivet? (hentet 25.juni.26) https://www.danskindustri.dk/vi-radgiver-dig/virksomhedsregler-og-varktojer/beredskab/cer-direktivet/
  7. PWC, NIS2 – hvad betyder det for din virksomhed? (hentet 25.juni.26) https://www.pwc.dk/da/services/consulting/cyber-transformation/viden/nis2.html?icid=paid_search_google_cyber_nis2&gad_source=1&gad_campaignid=21830786078&gbraid=0AAAAADp6R_r4h6oMC9iXkqoPevj4-xrwJ&gclid=Cj0KCQjw7eXTBhDBARIsAKF-w45JnLpQDTIkKFUio92uDnoY-GOGS7iWJ-zFeMyZ7XLw_pS50mDQ5bMaAqXNEALw_wcB
  8. AWS (2022) Summary of the Amazon Kinesis Event in the Northern Virginia (US-EAST-1) Region (hentet 24,juni.26) https://aws.amazon.com/message/11201/