Sikkerhedsgabet vokser, og SMV'erne kan ikke lukke det alene

Skrevet d. 10-11-2026 af Erik Bandholm, Partner – Technology Services, Managed Services

Næsten halvdelen af de danske SMV'er har et sikkerhedsniveau, der ikke matcher deres risiko, og andelen er steget siden 2024. Det kalder på et fælles ansvar for at gøre cybersikkerhed tilgængelig for de små og mellemstore virksomheder.

Styrelsen for Samfundssikkerhed har netop offentliggjort analysen Digital sikkerhed i virksomheder 2026, som tegner et aktuelt billede af den digitale sikkerhed i danske virksomheder. Ét tal springer særligt i øjnene: 45 procent af de danske SMV'er har ikke et digitalt sikkerhedsniveau, der matcher deres risikoprofil.

Det er bekymrende i sig selv. Men udviklingen er mindst lige så interessant. I den tidligere analyse fra 2024 var tallet 40 procent. På to år er sikkerhedsgabet altså vokset med fem procentpoint.

Det betyder ikke nødvendigvis, at danske SMV'er er blevet dårligere til sikkerhed. Virksomhederne bliver hele tiden mere digitale og dermed også mere afhængige af teknologi. Cloud, Microsoft 365, ERP-systemer, digitale kundeplatforme, integrationer, automatisering og AI fylder stadig mere i kerneforretningen. Når den digitale afhængighed vokser hurtigere end sikkerhedsniveauet, opstår der et gab mellem den virksomhed, vi driver, og vores evne til at beskytte den.

Det kan betragtes som en form for digital sikkerhedsgæld. Den mærkes ikke nødvendigvis i dagligdagen, når systemerne virker, og kunderne bliver betjent, men konsekvensen vokser, hvis teknologien en dag ikke er tilgængelig.

Analysen viser også, at omkring seks ud af ti virksomheder i høj grad er afhængige af deres centrale IT-systemer.

Derfor bør spørgsmålet i ledelsen måske ikke længere være: Har vi styr på IT-sikkerheden? Det relevante spørgsmål er snarere: Matcher vores sikkerhedsniveau den digitale virksomhed, vi faktisk driver i dag?

Vi kender allerede en stor del af løsningen

Samtidig viser analysen, at nogle af udfordringerne fortsat er ganske grundlæggende. 38 procent af SMV'erne anvender ikke stærke adgangskoder til autentificering, og kun 63 procent foretager risikoanalyser. Der er samtidig en betydelig forskel på, hvor mange sikkerhedstiltag små og store virksomheder anvender.

Det interessante er, at vi allerede kender en stor del af løsningen. Stærk identitetsbeskyttelse, opdaterede systemer, backup, overvågning, risikoanalyse og et beredskab, der faktisk bliver testet, er ikke nye discipliner. Vi ved, at de virker.

Udfordringen er derfor ikke kun at fortælle SMV'erne, hvad de bør gøre. Vi skal også sikre, at der findes pragmatiske løsninger i markedet, som SMV'erne rent faktisk kan købe og bruge.

For en virksomhed med eksempelvis 50 medarbejdere skal ikke være nødt til at opbygge sin egen sikkerhedsorganisation for at opnå et fornuftigt sikkerhedsniveau. Den kommer næppe til at have sin egen CISO, et døgnbemandet Security Operations Center eller specialister inden for alle dele af cybersikkerhed, og det ville heller ikke give mening.

En SMV behøver ikke sit eget SOC, men den har brug for den overvågning og reaktionsevne, et SOC giver. Den behøver ikke egne Incident Response-specialister, men den skal vide, hvem der reagerer, når noget går galt. Og den behøver ikke selv følge alle nye sårbarheder og sikkerhedsalarmer, men den skal kunne stole på, at nogen gør det kontinuerligt og professionelt.

Det handler med andre ord ikke om at gøre SMV'erne til små udgaver af store virksomheder. Det handler om at designe sikkerhed på SMV'ernes præmisser.

Vi har også et ansvar

Det er her, jeg synes, diskussionen bliver interessant. For selvfølgelig har SMV'erne selv et ansvar. Ledelsen skal forstå virksomhedens risiko, prioritere sikkerheden og sikre, at der findes et beredskab, når noget går galt. Men vi kan ikke placere hele opgaven hos den enkelte virksomhed.

Vi, der udvikler, rådgiver om og driver teknologi, har også et ansvar for, at markedet tilbyder løsninger, som er til at forstå, købe og implementere. Det kræver, at vi standardiserer det, der kan standardiseres, automatiserer det, teknologien kan løse effektivt, og giver virksomhederne adgang til specialister dér, hvor der er behov for erfaring og menneskelig dømmekraft.

Det er i virkeligheden ikke så forskelligt fra den udvikling, vi allerede har gennemgået på andre områder. Cloud gjorde avanceret infrastruktur tilgængelig for mindre virksomheder, og Software as a Service gjorde ERP-, CRM- og produktivitetsplatforme tilgængelige uden behovet for en stor intern IT-organisation.

Vi bør have den samme ambition for cybersikkerhed

Professionel cybersikkerhed skal ikke være et privilegium for de virksomheder, der har størrelse og økonomi til at bygge det hele selv. Den skal være tilgængelig for den brede del af dansk erhvervsliv, og det kræver pragmatiske løsninger, som matcher både SMV'ernes risiko, økonomi og virkelighed

45 procent skal ned

Når andelen af SMV'er, hvor sikkerhedsniveauet ikke matcher risikoen, er gået fra 40 til 45 procent, bør vores svar derfor ikke være endnu en løftet pegefinger.

For ledelsen i den enkelte SMV begynder det med et enkelt spørgsmål: Matcher vores sikkerhedsniveau den digitale afhængighed og risiko, vi har i dag?

Men vi, der arbejder professionelt med teknologi og cybersikkerhed, skal stille os selv et lige så vigtigt spørgsmål: Har vi skabt pragmatiske løsninger, som mindre virksomheder faktisk kan købe og bruge uden først at skulle opbygge sin egen sikkerhedsorganisation?

Hvis svaret er nej, kan vi ikke nøjes med at pege på SMV'erne. Så har vi også selv en opgave.

De 45 procent bør derfor være et fælles call to action. Næste gang sikkerhedsgabet bliver målt, skal ambitionen ikke bare være, at stigningen er stoppet. Tallet skal ned.

For god cybersikkerhed bør ikke afhænge af virksomhedens størrelse. Det skal være en naturlig og tilgængelig del af det at drive en digital virksomhed i Danmark.

Kilde: Styrelsen for Samfundssikkerhed, Digital sikkerhed i virksomheder 2026 samt den tidligere analyse af danske SMV'ers digitale sikkerhed fra 2024