“Ny teknologi styrker driftsstabiliteten – og stiller høje krav til genopretningsplaner og beredskab”

Digitalisering og ny teknologi, som fx kunstig intelligens og cloud-løsninger, rummer mange fordele og er bl.a. med til at styrke driftsstabiliteten i den finansielle sektor samt gøre det lettere at opdage svindel og kriminel aktivitet. Men den teknologiske udvikling rummer også nye risici – især for Danmark, et af verdens mest digitaliserede samfund. Med ansvar for at sikre stabile priser, effektive betalingssystemer og et solidt finansielt system er det derfor afgørende for Danmarks Nationalbank, at ny teknologi implementeres ansvarligt og reguleres efter klare retningslinjer, lyder vurderingen fra Ulrik Nødgaard:

“Den finansielle infrastruktur hviler i høj grad på avanceret teknologi. Derfor har sektoren fra begyndelsen været nødt til at opbygge høje mure i form af et stærkt digitalt forsvar. Digitaliseringen giver store fordele, men vi er samtidig meget opmærksomme på, at løsninger som AI og cloud både kan være en styrke og en sårbarhed. Vi vurderer løbende både gevinster og risici. Grundlæggende er vi teknologipositive – det handler om at bruge teknologien klogt og ansvarligt.”

Sikring af betalingsinfrastrukturen

Betalingsinfrastrukturen udgør rygraden i det finansielle system – uden den kan hverken borgere eller virksomheder gennemføre betalinger. For at imødekomme de stigende krav til cybersikkerhed, robusthed og teknologisk udvikling valgte Nationalbanken i foråret 2025 at lade driften af centrale betalingssystemer overgå til Den Europæiske Centralbank (ECB). Målet med det tætte samarbejde er at styrke både sikkerheden og innovationskraften i det digitale betalingslandskab.

“Vi er ikke en stor centralbank. Derfor giver det ikke mening at udvikle alt fra bunden i København. Ved at samle it-driften af de afgørende betalingssystemer centralt i Frankfurt og samarbejde tæt med vores europæiske kolleger i ECB kan vi opbygge et stærkere digitalt forsvar – med højere mure, der er sværere at trænge igennem,” siger Ulrik Nødgaard.

Ansvarlig sikkerhedsstyring i Danmarks Nationalbank handler ikke blot om at beskytte sig mod udefrakommende trusler. Lige så vigtigt er det at sikre robusthed og genopretningsevne, så systemerne hurtigt kan komme tilbage på sporet efter et potentielt nedbrud, pointerer Ulrik Nødgaard.

Som tilsynsmyndighed for Danmarks centrale betalingssystemer har Nationalbanken et særligt fokus på recovery – altså hvordan man hurtigt og sikkert genopretter normal drift, hvis et it-system kompromitteres. 

“Vi skal arbejde forebyggende – både for at mindske risikoen for nedbrud og for at sikre, at vi kan genoprette systemerne hurtigt, hvis de rammes af angreb eller fejl. Det er i de ekstreme – men plausible – scenarier, at beredskabet for alvor skal stå sin prøve. Vores klare anbefaling er, at sektoren investerer endnu mere i at styrke genopretningsplaner og sikre, at de er både realistiske og operationelle,” siger Ulrik Nødgaard.

Han kommer med et konkret og aktuelt eksempel fra Nationalbankens arbejde med at øge robustheden i betalingssystemerne: udviklingen af en offline betalingsløsning.

“I Danmark foregår kun omkring 10 pct. af betalingerne kontant, mens det til sammenligning er over halvdelen i eurozonen. Derfor er det afgørende, at Danmark har robuste digitale beredskabsløsninger, der fungerer, også når netværket er nede – ikke bare i banker og centralbank, men også ude i detailhandlen. Nationalbanken har derfor, i samarbejde med dagligvarekæder, kortselskaber og banker, udviklet en offline betalingsløsning, der netop nu bliver udrullet. Den gør det muligt at betale med kort eller Apple Pay i butikker uden netforbindelse i op til syv dage. Løsningen minder lidt om det, vi kender fra betaling ombord på et fly: Terminalen gemmer transaktionerne og sender dem først videre, når forbindelsen er tilbage. De første butikker er i gang med at blive koblet på systemet, og vi håber, at alle store dagligvarekæder og apoteker har taget systemet i brug inden sommeren 2026,” forklarer han.

Et øget trusselsbillede og fokus på hybridangreb

Siden Ruslands invasion af Ukraine i begyndelsen af 2022 har Nationalbanken observeret en betydelig stigning i cybertrusler, herunder både dataangreb og komplekse hybridangreb. Hybridangrebene adskiller sig fra traditionelle cyberangreb ved også at omfatte kritisk infrastruktur som el- og telekommunikation. Disse angreb udgør i dag en væsentlig del af trusselsbilledet.

“Vi har selv oplevet en øget mængde angreb mod både vores egen hjemmeside og finansielle institutioner. De hybride angreb, vi har set i den nordisk-baltiske region og andre steder i Europa, understreger, hvor hurtigt trusselslandskabet udvikler sig. For blot fem år siden var der ikke samme fokus på hybridtrusler, hvilket illustrerer, hvorledes nye angrebsteknikker opstår i takt med den teknologiske udvikling,” forklarer han.

Selvom el- og telekommunikation ligger uden for finanssektorens umiddelbare ansvarsområde, udgør de fundamentale elementer for den finansielle sektors funktion. Derfor påpeger Ulrik Nødgaard vigtigheden af at inkludere disse sektorer i Nationalbankens strategiske arbejde og styrke samarbejdet på tværs af beredskabsmyndigheder, energisektoren og andre relevante aktører.

Den aktuelle geopolitiske situation har samtidig rettet opmærksomheden mod finanssektorens afhængighed af amerikanske it-løsninger. Det har fået Nationalbanken til at overveje alternative strategier for at styrke sektorens teknologiske selvstændighed på sigt.

“Amerikanske it-løsninger fylder meget i den finansielle sektor – og det vil de fortsat gøre. Men den nuværende situation har sat gang i overvejelser om, hvordan vi håndterer den afhængighed. Hvad er vores exitplan, og hvad er plan B? Spørgsmålet er, om EU på sigt kan tillade sig at være så afhængig af udenlandske teknologier. It er i dag rygraden i næsten alt, og derfor bliver det her en afgørende tematik i de kommende år,” siger Ulrik Nødgaard.

Stærkt samarbejde styrker robustheden i finanssektoren

Selvom Ulrik Nødgaard understreger behovet for, at finanssektoren investerer endnu mere i realistiske og operationelle genopretningsplaner, peger han også på, at der allerede i dag gøres en stor indsats for at styrke den operationelle robusthed. Den danske finanssektor samarbejder tæt for at ruste sig mod både cyberangreb og driftsforstyrrelser. Siden 2016 har centrale aktører været samlet i Finansielt Sektorforum for Operationel Robusthed (FSOR), der har til formål at dele viden, identificere sårbarheder og gennemføre tværgående beredskabsøvelser. FSOR bygger på frivillighed, men er i dag en central platform for sektorens samlede robusthed. Her deles erfaringer åbent – også når enkelte aktører har været ramt – for at sikre fælles læring og et styrket beredskab. Nationalbanken bidrager med såvel formandskab som sekretariat til samarbejdet.

Som en del af FSOR-samarbejdet gennemføres der regelmæssige kriseøvelser, hvor man simulerer konkrete scenarier: Hvad sker der, hvis en kritisk funktion svigter? Hvem kontakter hvem – og i hvilken rækkefølge?

Til efteråret 2025 gennemføres en større cyberrobusthedstest i samarbejde med Finanstilsynet. Her vil der være fokus på, hvordan aktører i sektoren reagerer i en fiktiv – men realistisk – krisesituation. Hvem handler hvornår? Og er der en klar plan for genopretning? Derudover bliver sektoren løbende testet med tekniske stresstests som TIBER-DK – Danmarks nationale program for trusselsbaserede simulationer af cyberangreb, som Nationalbanken har koordineret siden opstarten i 2019. Her forsøger etiske hackere under kontrollerede forhold at finde og udnytte sårbarheder i centrale aktørers it-systemer. Testene er frivillige, men udbredte i sektoren – og også Nationalbanken har deltaget.

“Det har givet os værdifuld indsigt i, hvor vi er sårbare, og hvordan vi bedst kan lukke hullerne. Der er stor læring i at se sine egne systemer gennem eksterne eksperters øjne,” forklarer Ulrik Nødgaard.

Sideløbende arbejder Nationalbanken med interne nødplaner, der kan aktiveres ved alvorlige nedbrud. En særlig taskforce undersøger i øjeblikket, hvilke ekstra sikkerhedsnet der kan etableres – og hvordan de bedst forankres både teknisk og organisatorisk.

Den frivillige tilgang i Danmark er i dag suppleret af regulering. Med indførelsen af EU’s DORA-forordning (Digital Operational Resilience Act) er det nu obligatorisk for større finansielle aktører at gennemføre avancerede tests og leve op til nye krav om digital robusthed.

“DORA-forordningen sætter i dag strøm til noget, vi allerede har arbejdet med i årevis. Det er nu formaliseret, men bygger på en samarbejdsmodel, vi har gode erfaringer med. Og så er det vigtigt at huske, at cybersikkerhed ikke er et parameter, forskellige aktører i den danske finanssektor konkurrerer på. Det handler om at gøre hele systemet så robust som muligt i fællesskab,” siger Ulrik Nødgaard.