Danmark topper cyber-resiliens – men truslen mod kritisk infrastruktur vokser

Danmark er for andet år i træk kåret som verdens mest modstandsdygtige land i FM Global’s Resilience Index 2025, der omfatter 130 lande. Men bag topplaceringen ulmer et skærpet trusselsbillede: I november 2025 hævede Center for Cybersikkerhed (CFCS) under Forsvarets Efterretningstjeneste trusleniveauet mod telekommunikationssektoren til ”højt”. Det er et paradoks, der indrammer state of cyber security i Danmark – en nation med stærke digitale muskler, men også voksende sårbarheder i kritisk infrastruktur.

For danske ledere, specialister og iværksættere er cybersikkerhed ikke længere et teknisk støtteområde. Med EU’s NIS2-direktiv, der trådte i kraft 1. juli 2025, risikerer virksomheder bøder på op til 10 millioner euro eller to procent af den globale omsætning ved manglende overholdelse. Samtidig har angreb mod vandforsyningen i december 2024 og koordinerede DDoS-angreb mod 17 kommuner i efteråret 2025 vist, at konsekvenserne kan ramme borgernes dagligdag direkte. Cybersikkerhed er dermed rykket ind i bestyrelseslokalerne som et strategisk anliggende.

Global førerposition og et marked i vækst

FM Global’s Resilience Index 2025 placerer Danmark øverst blandt 130 lande for andet år i træk. Det bemærkelsesværdige ved årets udgave er, at FM Global for første gang anvender egne data til cybersikkerheds-rankingen, hvilket ifølge analysen øger validiteten af resultatet. En tidligere nævnt placering fra Comparitech, hvor Danmark også blev fremhævet som førende, kan ikke bekræftes via troværdige kilder og betragtes derfor som usikker.

Den danske cybersikkerhedsindustri afspejler den stærke position med en forventet vækst fra 480,7 millioner USD i 2025 til 716,9 millioner USD i 2031, svarende til en årlig vækst på 6,9 procent ifølge Mordor Intelligence. Men væksten støder mod en alvorlig flaskehals: Der forventes et underskud på 19.000 dansktalende cybersikkerhedsprofessionelle i 2030. Det tal understreger, at Danmarks førerposition ikke kan tages for givet, hvis ikke kompetencegabet lukkes.

Trusselsbilledet skærpes mod kritisk infrastruktur

CFCS’ beslutning i november 2025 om at hæve trusleniveauet mod telekommunikationssektoren til ”højt” er et konkret signal om, at statslige og kriminelle aktører i stigende grad retter blikket mod samfundskritiske systemer. Hændelserne taler deres eget sprog: I december 2024 blev vandforsyningen ramt af et angreb, og i efteråret 2025 blev 17 kommuner udsat for koordinerede DDoS-angreb.

Disse episoder har afsløret sårbarheder i den danske model, hvor ansvaret for cybersikkerhed er fordelt efter sektoransvarsprincippet. Kritikken går på, at denne tilgang ikke altid sikrer tilstrækkelig koordination og gennemslagskraft på tværs af sektorer. Der er desuden bekymring over, at sektorregulatorer – eksempelvis Fødevarestyrelsen – mangler de nødvendige kompetencer til at vurdere virksomheders cybersikkerhed. Det skaber en risiko for, at kritiske huller ikke opdages i tide.

Ny regulering og nationale initiativer

Reguleringen strammer markant. NIS2-direktivet, der trådte i kraft 1. juli 2025, udvider kravene til cybersikkerhed til en bredere kreds af virksomheder og indfører sanktioner på op til 10 millioner euro eller to procent af den globale omsætning. For mange danske virksomheder – også mindre – betyder det et markant løft i compliance-byrdens tyngde.

Den danske regering har reageret med en investering på 270 millioner kroner i 34 nye cybersikkerhedsinitiativer og har genlanceret Det Nationale Råd for Cybersikkerhed med et udvidet mandat. Den nuværende indsats bygger på en bred politisk aftale fra 2021 og en cyberreserve på 500 millioner kroner, efter at den tidligere Cyber- og informationsstrategi 2018-2021 udløb. Den nye strategi for 2022-2024 danner rammen, men implementeringen af NIS2 og de mange initiativer er stadig i gang.

Under det danske EU-formandskab blev der den 27. november 2025 afholdt en konference i København med fokus på offentlig-private partnerskaber og europæisk teknologisouverænitet. Det signalerer en ambition om at tage førerskab i den europæiske cybersikkerhedsdagsorden.

Reaktioner, kompetencepres og små virksomheders byrde

Fagmiljøet er aktivt. ISACA Danmark spiller en rolle i den faglige debat, blandt andet gennem blogindlæg af Samuel Ayodele Adewole, der har fokus på at opbygge modstandsdygtighed mod statsstøttede trusler. Private aktører som Truesec er centrale ved konferencer og i implementeringen af konkrete løsninger, hvilket afspejler et tæt samspil mellem offentlige myndigheder og erhvervslivet.

Kompetencemanglen på 19.000 dansktalende specialister i 2030 skaber dog et dobbelt pres. På den ene side ser specialister et ekspanderende jobmarked med store karrieremuligheder. På den anden side står især små og mellemstore virksomheder over for en vanskelig opgave: NIS2 dækker nu omkring en tredjedel af mindre virksomheder, hvilket øger behovet for effektive og skalerbare sikkerhedsløsninger, som mange ikke har ressourcer til at udvikle eller drive internt. Det kan føre til en skævvridning, hvor de største aktører klarer sig bedst, mens de mindre sakker bagud.

Danmark står ved en skillevej. Den globale førerposition og det voksende marked giver et solidt fundament, men trusselsbilledet, kompetencemanglen og implementeringsbyrden fra NIS2 kræver vedholdende handling. For ledere betyder det, at cybersikkerhed skal integreres i forretningsstrategien – ikke som en omkostning, men som en forudsætning for kontinuitet. For iværksættere og mindre virksomheder bliver adgangen til skalerbare, managed sikkerhedsløsninger afgørende. Og for myndighederne handler det om at styrke sektorregulatorernes kompetencer og sikre, at sektoransvarsprincippet ikke efterlader blinde vinkler. Med EU-formandskabet og de nye initiativer har Danmark en mulighed for at sætte en ambitiøs kurs – men det kræver, at ord omsættes til kapacitet på jorden.