EU-plan mod AI-drevne cyberangreb: Danmark mangler penge og beredskab

EU-Kommissionen har fremlagt en ny handlingsplan, der skal ruste unionen mod en bølge af AI-drevne cyberangreb. Planen, der blev offentliggjort den 7. juli 2026, kommer på et tidspunkt, hvor avancerede sprogmodeller og maskinlæringsalgoritmer i stigende grad bruges til at udforme overbevisende phishing-mails, automatisere rekognoscering og udnytte sårbarheder hurtigere, end menneskelige forsvarsteams kan nå at reagere. For danske virksomheder og offentlige institutioner er planen et signal om, at adgang til avanceret AI nu betragtes som en kritisk sikkerhedsparameter – men også en påmindelse om, at de økonomiske og organisatoriske rammer endnu ikke er på plads.

Hvorfor det er vigtigt nu

Trusselsbilledet har ændret sig markant inden for de seneste år. Hvor cyberangreb tidligere krævede specialiseret teknisk viden og manuel indsats, kan AI-modeller i dag automatisere store dele af angrebskæden. Det betyder, at selv mindre kriminelle grupper kan iværksætte sofistikerede kampagner mod danske virksomheder, hospitaler og forsyningsselskaber. Avancerede sprogmodeller kan generere phishing-mails på fejlfrit dansk, tilpasset modtagerens rolle og branche, hvilket markant øger sandsynligheden for, at medarbejdere klikker på ondsindede links. Samtidig kan AI-værktøjer scanne netværk for sårbarheder og foreslå exploits i et tempo, der presser selv velforberedte sikkerhedsteams.

Forsvaret er blevet tilsvarende komplekst. Sikkerhedsteams skal ikke blot reagere på kendte trusler, men også forudsige og imødegå angreb, der udvikler sig i realtid. Det kræver adgang til avancerede AI-modeller, der kan analysere store datamængder, identificere anomalier og automatisere dele af incidentresponsen. EU’s handlingsplan anerkender denne nye virkelighed ved at sætte fokus på fælles evaluering af AI-modeller, hurtigere sårbarhedshåndtering og sikker adgang til regnekraft. For danske ledere betyder det, at cybersikkerhed ikke længere kan behandles som en isoleret it-opgave, men skal integreres i forretningsstrategien på linje med forsyningssikkerhed og kapitaladgang. Adgang til avanceret AI er ved at blive en konkurrenceparameter, der kan afgøre, hvor hurtigt en virksomhed kan opdage og afværge et angreb.

Planens tre spor og de konkrete tiltag

Handlingsplanen er struktureret omkring tre hovedspor, der tilsammen skal skabe en mere modstandsdygtig europæisk cyberinfrastruktur. Planen bygger på eksisterende lovgivning som AI-forordningen og NIS2-direktivet og indeholder hverken ny lovgivning eller nye midler. Det første spor handler om adgang og evaluering. EU-Kommissionen vil etablere en fælles europæisk ramme – et såkaldt Blueprint – for sikker adgang til avancerede AI-cyberværktøjer. Målet er, at rammen skal være klar inden udgangen af 2026. Derudover planlægges en europæisk kapacitet til at evaluere avancerede AI-modeller, før de frigives til markedet, med en forventet operationel dato i 2027. En fælles testplatform i sikre miljøer skal give virksomheder og forskere mulighed for at afprøve modeller under kontrollerede forhold uden at eksponere produktionssystemer.

Det andet spor fokuserer på beredskab. Kommissionen vil udarbejde vejledninger til virksomheder om sikker brug af AI i cyberforsvar, fremskynde håndteringen af sårbarheder og styrke sikkerheden i open source-software, der understøtter kritisk infrastruktur. Det sidste punkt er særligt relevant for Danmark, hvor mange offentlige systemer og mindre virksomheder er afhængige af open source-komponenter, som ofte vedligeholdes af få frivillige udviklere. Når en kritisk sårbarhed opdages i et open source-bibliotek, kan det tage uger eller måneder at få en rettelse udbredt, fordi vedligeholdelsen er afhængig af frivillig arbejdskraft. Planens fokus på dette område er derfor velplaceret, men rejser spørgsmålet om, hvem der skal betale for den nødvendige kodegennemgang og sårbarhedsrettelse.

Det tredje spor sigter mod at opbygge en europæisk kapacitet inden for AI-drevet cybersikkerhed. Her indgår en såkaldt "Grand Challenge", hvor forskere og virksomheder konkurrerer om at udvikle AI-systemer, der automatisk kan identificere og udbedre sårbarheder. Planen lægger også op til sikker adgang til europæisk regnekraft, så modeller kan trænes og afprøves uden at være afhængige af tredjelandes cloud-tjenester. Det er et væsentligt punkt i en tid, hvor data suverænitet og kontrol over kritisk infrastruktur er højt på den politiske dagsorden i både Bruxelles og København.

ENISA får en central rolle – men ressourcerne mangler

EU’s cybersikkerhedsagentur ENISA bliver omdrejningspunktet for gennemførelsen af flere af planens elementer. Agenturet skal blandt andet drive testplatformen for AI-modeller og yde støtte til kritiske sektorer som energi, transport, sundhed, finans og offentlig forvaltning. Det er en markant udvidelse af ENISA’s mandat, som hidtil har været koncentreret om rådgivning, kapacitetsopbygning og koordinering mellem medlemsstaterne. Med de nye opgaver bevæger ENISA sig fra at være en koordinerende instans til at blive en operativ aktør i evalueringen af avancerede AI-modeller – en rolle, der kræver både teknisk ekspertise og betydelig regnekraft.

Hos Dansk Industri vækker planen både anerkendelse og bekymring. DI Digital roser det strategiske fokus og den klare arbejdsdeling mellem EU-institutionerne, men advarer om, at planen ikke er ledsaget af nye budgetmidler. "Det er fornuftig arbejdsdeling – men regningen mangler. Nye opgaver uden nye ressourcer ender som forsinkelser," siger Mette Finnemann, digitaliseringspolitisk chef i DI Digital. Kritikken rammer en central spænding i EU’s tilgang: Kommissionen har formuleret ambitiøse mål og tidsfrister, men har ikke afsat yderligere midler til hverken ENISA eller medlemsstaternes nationale cybermyndigheder. For danske aktører betyder det, at planens reelle effekt afhænger af, om de enkelte lande selv prioriterer investeringer i cybersikkerhed og AI-evaluering. Uden den nødvendige finansiering risikerer testplatformen og evalueringskapaciteten at blive forsinket, hvilket vil svække hele planens troværdighed.

Konsekvenser for danske virksomheder og iværksættere

For danske ledere og specialister indebærer handlingsplanen både muligheder og risici. På den positive side kan en fælles europæisk ramme for adgang til avancerede AI-værktøjer give mere stabile og gennemsigtige vilkår. Danske virksomheder, der i dag er afhængige af kommercielle leverandører eller usikre adgangsveje, kan få adgang til evaluerede og testede modeller i sikre miljøer. Det kan sænke barrieren for at anvende AI i cyberforsvaret – også for mindre virksomheder, der ikke har ressourcer til at opbygge egen kapacitet. For iværksættere inden for cybersikkerhed kan adgangen til europæisk regnekraft og fælles testfaciliteter være afgørende for at udvikle og validere nye løsninger uden at skulle investere i dyr infrastruktur fra dag ét.

Omvendt er der en betydelig risiko for, at planen bliver en papirtiger, hvis ikke medlemsstaterne følger op med konkrete investeringer. Uden tilstrækkelige ressourcer til ENISA og de nationale myndigheder vil testplatformen og evalueringskapaciteten sandsynligvis blive forsinket, hvilket efterlader danske aktører i en usikker mellemposition. Virksomheder, der allerede har investeret i AI-baserede sikkerhedsværktøjer, kan opleve, at de europæiske standarder kommer for sent til at påvirke deres indkøbsbeslutninger. Samtidig kan iværksættere inden for cybersikkerhed få svært ved at konkurrere, hvis adgangen til avanceret regnekraft og evalueringsfaciliteter ikke materialiserer sig som lovet. Konsekvensen kan blive, at danske aktører hænger fast i en ufuldstændig cybersikkerhedstransformation, hvor ambitionerne er høje, men de operationelle værktøjer mangler.

For den offentlige sektor i Danmark er perspektivet særligt presserende. Kommuner, regioner og statslige myndigheder er hyppige mål for cyberangreb, og mange systemer er bygget på open source-komponenter med begrænset sikkerhedsvedligeholdelse. Planens fokus på at styrke open source-sikkerhed er derfor relevant, men effekten afhænger af, om der afsættes midler til konkret kodegennemgang og sårbarhedsrettelser – ikke blot vejledninger og anbefalinger. Uden finansiering til at betale for vedligeholdelse af kritiske open source-projekter vil sårbarhederne fortsat bestå, uanset hvor mange strategidokumenter der udarbejdes i Bruxelles.

Fremadskuende perspektiv

EU’s handlingsplan for cybersikkerhed og AI er et vigtigt skridt mod en mere koordineret europæisk tilgang til en af de største sikkerhedstrusler i det digitale årti. Planen anerkender, at AI ikke blot er et værktøj for forsvarerne, men også en katalysator for angriberne, og at adgangen til avancerede modeller derfor skal reguleres og evalueres på europæisk niveau. Men planen er også et eksempel på den klassiske udfordring i EU-politik: ambitionerne overstiger de økonomiske rammer. Kommissionen har formuleret klare mål og tidsfrister – et Blueprint inden udgangen af 2026, en evalueringskapacitet i 2027 – men har ikke afsat nye midler til at nå dem.

For danske ledere og specialister er opgaven nu at følge implementeringen tæt – ikke mindst de kommende forhandlinger om EU’s flerårige budget, hvor spørgsmålet om finansiering af cyberkapacitet vil blive afgjort. Indtil da bør virksomheder og offentlige institutioner behandle planen som et signal om, at AI-drevet cybersikkerhed er på vej op ad dagsordenen, men ikke som en garanti for, at de nødvendige værktøjer og rammer er på plads inden for de annoncerede tidsfrister. Den reelle test bliver, om EU og medlemsstaterne i fællesskab kan omsætte strategiske ambitioner til operationel kapacitet – før den næste generation af AI-drevne angreb rammer europæisk infrastruktur. For danske virksomheder, myndigheder og iværksættere er konsekvensen klar: Cybersikkerhed og adgang til avanceret AI er ikke længere et spørgsmål om it-drift, men om konkurrenceevne, forsyningssikkerhed og samfundsmæssig robusthed.