EU’s cyberalarm virker ikke – virksomhederne står med risikoen
En ny beretning fra EU-Revisionsretten viser, at det fælles europæiske cyberberedskab er præget af manglende informationsdeling, forsinket implementering og utilstrækkelig koordinering. Det har konkrete konsekvenser for danske virksomheder.
I september 2025 lammede et ransomwareangreb lufthavne i London, Bruxelles, Berlin og Dublin, men EU's alarm gik aldrig i gang. Angrebet ramte Collins Aerospace, en leverandør af check-in-software til luftfarten. Konsekvenserne var synlige for alle: aflysninger og forsinkelser i flere lande samtidig. Alligevel behandlede ingen af de berørte medlemsstater hændelsen som væsentlig og grænseoverskridende. Ingen underrettede ENISA. Ingen underrettede hinanden. CSIRT-netværket gav ikke besked videre til EU-CyCLONe, som derfor ikke kunne koordinere noget som helst.
Dette er blot ét af efterhånden mange eksempler på EU’s fejlslagende cyberberedskab.
EU-Revisionsretten har gennemgået Europas evne til at opdage og reagere på store cyberangreb. Konklusionen er tydelig: Varslingssystemet er ikke i drift, landene deler ikke oplysninger med hinanden, og siden 2016 har intet medlemsland erklæret en eneste hændelse for "omfattende" – heller ikke det angreb, der i september 2025 tvang europæiske lufthavne tilbage til manuel passagerhåndtering.
Tallene er til at tage og føle på
I 2025 indberettede syv medlemsstater i alt 14 væsentlige grænseoverskridende cyberhændelser. Året før var tallet to. I 2023 var det nul. Til sammenligning identificerede ENISA alene i sin trusselsrapport for 2024 hele 322 hændelser rettet mod to eller flere medlemsstater.
Revisionsretten peger på flere årsager. NIS2 skulle være gennemført i national ret senest i oktober 2024, men kun to lande nåede fristen. Danmark var ikke blandt dem. Vores NIS2-lov trådte først i kraft den 1. juli 2025. Indtil direktivet er gennemført nationalt, er virksomhederne i det pågældende land ikke retligt forpligtet til at underrette om hændelser. Med implementeringen af NIS2 ventes et stort spring: fra omkring 15.500 omfattede virksomheder og organisationer under det gamle NIS-direktiv til over 110.000 under NIS2.
Et andet problem er, at de hændelsesdata, medlemsstaterne faktisk sender til ENISA, kommer kvartalsvis og i anonymiseret form. De egner sig til statistik om året, der gik. De egner sig ikke til at opdage et angreb, mens det står på.
Det europæiske cybersikkerhedsvarslingssystem, som netop skulle løse dét problem, er endnu ikke kommet i luften. De to første grænseoverskridende knudepunkter, ATHENA og ENSOC, begyndte at arbejde i januar 2024, men halvandet år efter udbuddenes start var ikke en eneste delkontrakt underskrevet. Revisionsretten beskriver knudepunkterne som operationelt på standby.
Særberetning 19/2026 i tal
| Væsentlige grænseoverskridende hændelser rapporteret i 2025 | 14 (fra syv medlemsstater) |
| Hændelser mod to eller flere medlemsstater ifølge ENISA (2024) | 322 |
| Medlemsstater der nåede NIS2-fristen i oktober 2024 | 2 |
| Hændelser erklæret "omfattende" siden 2016 | 0 |
| Medlemsstater i varslingssystemet ved revisionen | 13 |
| EU-midler til cybersikkerhed under DEP 2021-2027 | 1,4 mia. euro |
Hvad det betyder for danske virksomheder
En dansk virksomhed, der rammes af et angreb med rod i en leverandør i et andet EU-land, kan i dag ikke regne med, at oplysningen om angrebet er nået frem til danske myndigheder ad europæisk vej. Beretningen viser, at den kanal reelt ikke fungerer endnu.
Det stiller underretningspligten i et ubehageligt lys. Danske virksomheder er i gang med at opbygge processer for at kunne underrette inden for 24 og 72 timer. Den investering giver kun fuld mening, hvis oplysningerne rent faktisk bliver brugt til at advare andre. Lige nu ender de i vidt omfang i et kvartalsvist statistikgrundlag.
Der er også en udfordring i fordelingen af ressourcer. EU's cybersikkerhedsreserve har 36 mio. euro for perioden 2025-2027, fordelt ligeligt mellem medlemsstaterne. Fordelingen tager ikke hensyn til, hvor behovet opstår, og et lands ubrugte midler kan ikke bruges til at hjælpe et andet land, der står i en krise. Erfaringerne fra forløberen er ikke opløftende: 84 pct. af pengene gik til beredskab frem for indsats, og af de 1.376 persondage, der var afsat til egentlig hændelseshåndtering, blev kun 156 brugt.
Revisionsretten giver fem anbefalinger med måldatoer fra 2026 til 2028. Det betyder, at selv hvis Kommissionen leverer til tiden, går der år, før det europæiske lag kan bære vægt. Indtil da hviler opdagelsen og håndteringen af cybertrusler på virksomhedernes egne evner og det nationale samarbejde.
Hvordan indberetter I selv en cyberhændelse?
Bedre europæiske håndtering af cyberhændelse starter nationalt - og den danske indgang til registrering af hændelserne fungerer.
Brug virk.dk: Alle NIS2-underretninger sker ét sted, på virk.dk, og derfra går de automatisk videre til både jeres sektoransvarlige myndighed og CSIRT'en. I samme underretning kan I krydse af, om Datatilsynet skal orienteres om et brud på persondatasikkerheden.
Vær opmærksom på grænseoverskridende hændelser: Ét felt fortjener særlig opmærksomhed efter denne beretning: når I underretter, kan I oplyse, at hændelsen kan have grænseoverskridende konsekvenser. Det er den markering, der sætter CSIRT'en i stand til at advare kolleger i andre medlemsstater. Bliver den ikke sat, stopper oplysningen ved grænsen.
Kend dine frister: Fristerne er tidlig varsling inden for 24 timer, hændelsesunderretning inden for 72 timer og endelig rapport inden for en måned.
Tjek om jeres virksomheden er registreret: Registrering og underretning ligger begge på Virks side for Styrelsen for Samfundssikkerhed.
→ Gå til selvbetjening hos Styrelsen for Samfundssikkerhed på Virk
Vil du vide mere, kan du læse særberetningen eller gå på opdagelse i NIS2-guiden.
