AI gør cyberangreb personlige: Danske SMV'er er det svageste led

Danske virksomheder står over for en ny generation af cybertrusler, hvor kunstig intelligens ikke længere blot er et værktøj for forsvarerne, men i stigende grad et våben for angriberne. Ifølge World Economic Forums Global Cybersecurity Outlook peger 94 procent af erhvervsledere på AI som den mest påvirkende faktor for cybersikkerheden i 2026. For danske SMV’er, der ofte udgør de svageste led i større digitale værdikæder, kan konsekvenserne blive alvorlige. Mens store virksomheder typisk har dedikerede sikkerhedsteams og avancerede overvågningssystemer, opererer mange mindre virksomheder med begrænsede it-budgetter og uden specialiseret sikkerhedskompetence. Det gør dem til oplagte mål for angribere, der søger den nemmeste vej ind i større systemer.

Udviklingen sker samtidig med, at Danmark oplever et markant fald i digitaliseringsparathed. På IMD’s årlige liste over lande klar til digitalisering er Danmark rykket fra en førsteplads til en sjetteplads. Faldet er ikke blot en symbolsk nedtur; det afspejler en reel udfordring i forhold til hastigheden af digital transformation i både offentlig og privat sektor. Det skaber et pres på både politikere og erhvervsliv for at handle hurtigere – ikke kun på regulering, men også på konkret implementering af AI-baserede sikkerhedsløsninger. For danske virksomheder betyder det, at evnen til at reagere på angreb og udnytte AI proaktivt er afgørende for både konkurrenceevne og driftssikkerhed.

AI ændrer trusselsbilledet fundamentalt

Trusselsaktører anvender i stigende grad kunstig intelligens til at automatisere og målrette angreb. Hvor phishing tidligere var præget af generiske beskeder med stavefejl og manglende kontekst, kan AI nu generere troværdige, personligt tilpassede henvendelser på flydende dansk – ofte baseret på offentligt tilgængelige oplysninger om virksomheden og dens medarbejdere. Angribere kan trække data fra sociale medier, virksomhedsregistre og nyhedsartikler for at konstruere beskeder, der refererer til konkrete projekter, kolleger eller begivenheder. Det gør det vanskeligere for både medarbejdere og traditionelle sikkerhedssystemer at skelne mellem legitime henvendelser og svindel. Konsekvensen er, at den menneskelige faktor bliver en stadig større sårbarhed, samtidig med at teknologien gør angrebene sværere at opdage.

Over 60 procent af organisationer inddrager nu risikoen for statssponsorerede cyberangreb i deres sikkerhedsstrategi, fremgår det af WEF-rapporten. For danske virksomheder betyder det, at truslen ikke længere primært kommer fra individuelle kriminelle, men fra organiserede, statsstøttede aktører med betydelige ressourcer. Disse aktører har kapacitet til at udvikle avancerede angrebsværktøjer, der kan omgå selv moderne sikkerhedssystemer, og de opererer ofte med langsigtede mål om industrispionage, sabotage eller geopolitisk indflydelse. For SMV’er, der måske ikke ser sig selv som oplagte mål for statslige aktører, er risikoen reel, netop fordi de indgår som leverandører eller samarbejdspartnere i større forsyningskæder. Et vellykket angreb på en mindre virksomhed kan fungere som indgang til langt større mål – en udvikling, der bekymrer sikkerhedseksperter.

CyberNordic, en dansk it-sikkerhedsleverandør, fremhæver særligt SMV’ernes sårbarhed. Mange mindre virksomheder har begrænsede it-budgetter og mangler dedikerede sikkerhedsmedarbejdere, men fungerer samtidig som leverandører eller samarbejdspartnere til større organisationer. Ifølge CyberNordic er overvåget antivirus og robuste backup-løsninger blandt de mest effektive værktøjer for SMV’er, der ønsker at styrke deres modstandskraft uden at investere i omfattende sikkerhedsafdelinger. Pointen er, at selv relativt enkle tiltag kan reducere risikoen betydeligt, hvis de implementeres konsekvent og kombineres med løbende overvågning. Men udfordringen er, at mange mindre virksomheder ikke har tradition for at prioritere it-sikkerhed, før et angreb har fundet sted.

Regeringen vil fra regulatør til udvikler

Regeringen har i sit arbejdsprogram for efteråret 2026 lagt vægt på digitalisering og AI-anvendelse. Ved et pressemøde den 19. august præsenterede statsminister Mette Frederiksen og øvrige ministre programmet, der bygger videre på regeringsgrundlaget fra juni samme år. Programmet indeholder en række initiativer, der skal styrke Danmarks digitale infrastruktur og fremme anvendelsen af kunstig intelligens i både offentlig og privat sektor. Ambitionen er klar: Danmark skal ikke blot regulere AI-teknologi, men aktivt udvikle og anvende den. Det markerer et skifte i den politiske tilgang, hvor fokus tidligere har været på at sætte rammer og begrænsninger for teknologien, mens man nu i højere grad vil positionere Danmark som en aktiv spiller i udviklingen.

Christina Egelund, minister for forskning, uddannelse og digitalisering, understregede budskabet ved DI Digitals Årsdag den 26. august. Her bekræftede hun regeringens ambitioner om at gøre Danmark til en aktiv udvikler af AI-baseret teknologi frem for en passiv regulatør. Udtalelsen kom som svar på en voksende kritik af, at Danmark sakker bagud i forhold til sammenlignelige lande, og at den politiske debat i for høj grad har fokuseret på risici og begrænsninger frem for muligheder. Egelund fremhævede, at Danmark har stærke forudsætninger for at indtage en førende rolle, herunder en veluddannet arbejdsstyrke, en højt digitaliseret offentlig sektor og en tradition for tillid mellem myndigheder og erhvervsliv. Men hun anerkendte også, at der er behov for at øge hastigheden markant, hvis potentialet skal indfries.

Kritikken er ikke ubegrundet. Faldet fra første- til sjettepladsen på IMD’s digitaliseringsindeks er blevet fremhævet som et konkret tegn på, at hastigheden mangler. Indekset måler blandt andet landes evne til at udnytte digitale teknologier til økonomisk vækst, offentlig service og konkurrenceevne. Mens andre lande implementerer AI-løsninger i både offentlig og privat sektor, risikerer Danmark at blive hægtet af – med konsekvenser for både konkurrenceevne og cybersikkerhed. For danske virksomheder betyder det, at de kan stå over for en dobbelt udfordring: dels skal de håndtere et stadig mere komplekst trusselsbillede, dels skal de navigere i et digitaliseringslandskab, hvor Danmark ikke længere er frontløber.

Erhvervslivet kræver handling frem for ambitioner

Ved DI Digitals Årsdag var stemningen præget af utålmodighed. Thomas Jul fra KMD formulerede det direkte: Danmark skal "køre hjemlen" for at komme i gang. Udtalelsen peger på en frustration over, at politiske ambitioner ikke omsættes til konkrete initiativer hurtigt nok. For erhvervsledere handler det ikke kun om at have de rette strategier på papiret, men om at skabe de juridiske og økonomiske rammer, der gør det muligt at implementere AI-løsninger i praksis. Christian Thrane fra TDC Brands supplerede med at understrege behovet for både hastighed og infrastruktur, hvis AI’s potentiale skal realiseres. Uden en robust digital infrastruktur – herunder højhastighedsnetværk, datacentre og cloud-kapacitet – risikerer selv de bedste AI-strategier at forblive teoretiske øvelser.

Samtidig advarede Christoffer Melson fra Venstre mod regulatoriske barrierer, der kan forsinke implementeringen yderligere. Han pegede på, at komplekse og uklare regler kan afholde virksomheder fra at investere i nye teknologier, fordi de frygter at løbe ind i juridiske problemer. Steffen Helledie fra Radikale Venstre pegede på en udbredt frygt i politiske kredse for at begå fejl – en frygt, der ifølge ham risikerer at lamme beslutningsprocesserne. Kritikken rammer en central udfordring: Hvordan balancerer man behovet for ansvarlig regulering med nødvendigheden af hurtig handling? For virksomheder, der opererer i et marked præget af hastig teknologisk udvikling, er svaret på det spørgsmål afgørende for deres evne til at konkurrere internationalt.

Der er dog ingen konkrete beløbsmæssige tildelinger eller tidsfrister for AI- eller cybersikkerhedsinitiativer i de gennemgåede kilder. Det efterlader et åbent spørgsmål om, hvorvidt regeringens ambitioner vil blive omsat til målbar handling inden for en overskuelig tidshorisont. For virksomheder, der står over for konkrete trusler nu, er det en væsentlig usikkerhedsfaktor. Uden klare økonomiske rammer og tidsplaner risikerer initiativerne at blive forsinket eller udvandet, hvilket kan efterlade danske virksomheder i en sårbar position i forhold til internationale konkurrenter, der allerede har investeret massivt i AI-drevet sikkerhed.

Cyberresiliens som konkurrenceparameter

For danske ledere, specialister og iværksættere handler udviklingen ikke kun om at undgå angreb. Det handler i stigende grad om at opbygge cyberresiliens – evnen til at fortsætte driften, selv når noget går galt. Det kræver en grundlæggende ændring i tilgangen til it-sikkerhed, hvor sikkerhed ikke længere betragtes som en teknisk detalje, men som en strategisk ledelsesopgave. Virksomheder, der formår at integrere sikkerhed i deres forretningsstrategi, kan ikke blot reducere risikoen for nedbrud og datatab, men også styrke deres position over for kunder og samarbejdspartnere, der i stigende grad stiller krav om dokumenteret sikkerhed.

CyberNordic peger på overvåget antivirus og robuste backup-løsninger som konkrete værktøjer for SMV’er, der ønsker at styrke deres modstandskraft. Overvåget antivirus indebærer, at en ekstern leverandør løbende overvåger systemerne for mistænkelig aktivitet og reagerer hurtigt på potentielle trusler, hvilket kan kompensere for manglen på interne sikkerhedsmedarbejdere. Robuste backup-løsninger sikrer, at virksomheden kan genskabe sine data og systemer hurtigt efter et angreb, hvilket reducerer nedetid og økonomiske tab. Men teknologien alene løser ikke problemet. Organisationer skal også investere i medarbejdernes kompetencer til at genkende AI-genereret svindel og etablere klare procedurer for håndtering af sikkerhedshændelser. Det kræver løbende træning og en kultur, hvor medarbejdere tør rapportere mistænkelige henvendelser uden frygt for repressalier.

Det danske udgangspunkt er på mange måder gunstigt. Landet har en højt digitaliseret offentlig sektor, en veluddannet arbejdsstyrke og en tradition for tillid mellem myndigheder og erhvervsliv. Disse faktorer kan udgøre et stærkt fundament for at opbygge cyberresiliens i både offentlige institutioner og private virksomheder. Men fordelene kan hurtigt blive til sårbarheder, hvis ikke de kombineres med investeringer i sikkerhed og en politisk vilje til at handle hurtigt. Tillid kan eksempelvis udnyttes af angribere, der udgiver sig for at være autoritative kilder, og en højt digitaliseret offentlig sektor kan blive et attraktivt mål for statsstøttede aktører. Spørgsmålet er ikke, om cybertruslerne vil ændre form i 2026 – det gør de allerede. Spørgsmålet er, om danske virksomheder og myndigheder kan ændre sig hurtigt nok til at følge med og udnytte de muligheder, som AI også bringer med sig.