Har I en integration, et supportlogin eller en løbende dataforbindelse ind hos jeres kunder, har I selv lovlig adgang ind hos dem, og jeres leverandører kan have lovlig adgang ind hos jer. Den 5. oktober oplyste CPR-administrationen, at nogen havde misbrugt “en dansk virksomheds lovlige adgang”, og at oplysninger om ca. 8,8 millioner registrerede personer i CPR-systemet var berørt, blandt andet navne, adresser og CPR-numre. Ifølge ministeriet var det et meget stort fakturabeløb, der gjorde opmærksom på aktiviteten. Jeg var ikke involveret i sagen.

Jeg har selv været på den anden side og fundet en leverandør med fast adgang ind i vores systemer, hvor vi hverken kunne vise en gennemgang af adgangen eller en sammenligning af forbruget med det normale. Detaljerne er ændret. Så hvem hos jer får alarmen før fakturaen?

Blev CPR-registret hacket?

Nej. De offentlige kilder siger ikke, at selve CPR-systemet blev kompromitteret. CPR-administrationen skrev i sin meddelelse af 5. oktober, at det var en dansk virksomheds lovlige adgang, der blev misbrugt, at administrationen havde stoppet virksomhedens adgang, og at politiet efterforskede sagen. Datatilsynet oplyste samme dag, at tilsynet havde modtaget anmeldelsen den 4. oktober. En afdelingschef i ministeriet nævnte fakturaen på pressebriefingen den 6. oktober, ifølge Ritzau. Det er, hvad der er bekræftet offentligt, og jeg tager ikke stilling til, hvad virksomheden gjorde eller ikke gjorde.

Man kan med god grund diskutere, hvad registret selv burde have fanget, for eksempel med et loft over antallet af opslag. Den debat kan I ikke afgøre. Det, I kan styre, er jeres egen del af adgangen: hvem der må bruge den, hvad normalt forbrug er, og hvem der opdager det, når forbruget ikke længere er normalt. Det gælder både den adgang, I giver andre, og den, I selv har hos kunderne.

Dokumentation bagefter er ikke kontrol undervejs

CPR's standardvilkår for dataleverancer til private, dateret 16. juni 2026 og altså fra før lækket, kræver i afsnit 4 for system-til-system-løsninger, at kunden udpeger en sikkerhedsansvarlig, som fører en fortegnelse over autoriserede medarbejdere med start- og slutdato, og at hvert opslag logges til den enkelte medarbejder. Kunden skal også lave en månedlig transaktionsstatistik, som den sikkerhedsansvarlige skal kontrollere, og som vilkårene beskriver som en statistik, “der skal bruges i tilfælde, hvor der er mistanke om misbrug”. CPRWeb har sine egne vilkår, og det fremgår ikke af de offentlige kilder, hvilken adgangskanal der blev misbrugt.

Efter lækket blev der sendt en indskærpelse af sikkerhedsreglerne til 1.039 virksomheder med adgang til registret. Ifølge Ritzau nævnte brevet blandt andet krav om en sikkerhedsansvarlig, løbende kontrol med medarbejdernes adgang og opfølgning på antallet af månedlige transaktioner. Brevet indskærpede altså regler, der allerede gjaldt.

En fortegnelse og en månedlig statistik kan I vise frem bagefter, men ingen af dem er en alarm, der når en person i tide. En månedlig statistik er et tilbageblik. Ledelsens opgave er at sørge for, at nogen får et signal, mens det sker.

Er I omfattet af NIS 2-loven, har ledelsen konkrete pligter efter den lov. Uden for NIS2 kan GDPR, sektorregler og kontrakter stadig stille krav; den konkrete pligt afhænger af adgangen og dataene. For ledelsen er spørgsmålet enklere: Hvilke adgangsveje mangler en ejer, en grænse for normal brug eller en navngiven person, der får alarmen?

Tre ting, jeg ville tjekke i denne uge

  1. Kortlæg adgangsvejene. Der er to retninger, og den ene er den adgang, I giver: leverandører, integrationer, servicekonti og tidligere medarbejdere, hvis adgang aldrig blev lukket. Den anden er den adgang, I selv har ind hos jeres kunder. For hver vej skal der stå én ansvarlig ejer og den godkendte kreds af brugere og systemer. Leverandøren, jeg nævnte ovenfor, havde netop sådan en vej: en fast adgang uden en gennemgang, vi kunne vise, og uden en sammenligning med normal brug.
  2. Fastlæg normal brug og alarmgrænser. Skriv for hver vej ned, hvordan normalt forbrug ser ud, og hvem der får en alarm ved hvilken tærskel. Det kan være antal opslag pr. dag, datamængde eller tidspunkt på døgnet, men alarmen skal gå til en navngiven person, før økonomiafdelingen ser en regning. Hos CPR var det regningen for opslagene, der fik nogen til at reagere. Hos jer kan det være en leverandørfaktura, en kunde, der ringer, eller ingenting. Notér også for hver adgang signalet, modtageren, svarfristen og den første handling, herunder hvem der kan suspendere adgangen. Stil det samme spørgsmål til den leverandør, der har adgang ind hos jer, og regn med, at jeres kunder stiller det til jer. Om leverandørens hændelse også er jeres, er et andet spørgsmål, og jeg har tidligere skrevet om, hvem der må erklære en hændelse hos leverandøren for jeres egen.
  3. Stop med at bruge kendte oplysninger som identitetsbevis. Godtager support eller økonomi et CPR-nummer eller andre oplysninger, som en svindler kan kende, skal proceduren ændres, for som DI Digital skriver: “Et CPR-nummer identificerer, men det beviser ingenting.”

Det samme ejerskabsspørgsmål gælder kundevendte AI-funktioner, I selv udbyder: AI-forordningens artikel 50 kræver som udgangspunkt, at brugerne får at vide, at de interagerer med AI (medmindre det er åbenlyst), og at syntetisk output mærkes maskinlæsbart, og for generative systemer bragt i omsætning før 2. august 2026 skal udbyderen efter forordning (EU) 2026/1744 tage de nødvendige skridt til at overholde mærkningskravet senest 2. december 2026. Hvem der ejer det hos jer, er en ledelsesbeslutning, og jeg har skrevet om, hvem der ejer AI-governance.

Ledelsen fører registret. Bestyrelsen ser undtagelserne.

Registret har én række pr. system, leverandørforbindelse eller adgangsvej til kundedata og en særskilt række for hver kundevendt AI-funktion. For hver adgangsvej står der en ansvarlig ejer, den godkendte kreds, normalt forbrug, hvem der får alarmen, og hvornår vejen sidst blev gennemgået, mens rækken for en AI-funktion viser ejeren og status på kravene i artikel 50.

I PwC's Cybercrime Survey 2026 blandt 326 topledere, sikkerhedschefer og specialister i Danmark har 84 procent cybersikkerhed fast på bestyrelsens årshjul, men kun 37 procent behandler cyberrisici mindst hvert kvartal. Bestyrelsen får et fast overblik og de væsentlige undtagelser: adgangsveje, hvor ingen får alarmen, gennemgange, der er forsinket, og de beslutninger, bestyrelsen selv skal træffe. Når et ledelsesteam udfylder registret første gang, er det efter min erfaring ofte kolonnen om, hvem der får alarmen, der står tom. Udfyld den først.

Et navn i en fortegnelse er dokumentation. En alarm, der når det navn før fakturaen, er kontrol.