Der er noget næsten imponerende ved dansk digitalisering. Vi kan ordne det meste fra sofaen og bryster os af at være blandt verdens mest digitaliserede samfund. Men hvad gør vi, når det hele går galt? I oktober kom det frem, at uvedkommende havde fået adgang til oplysninger om cirka 8,8 millioner registrerede personer gennem misbrug af en virksomheds lovlige CPR-adgang. Navne, adresser og CPR-numre var pludselig i de forkerte hænder. Det er ikke bare en teknisk fodfejl, men et alvorligt svigt i et system, vi har indrettet samfundet efter. Og det er langt fra første gang, vores digitale vidundere viser sig at have temmelig jordnære problemer.
Historien gentager sig med nærmest beundringsværdig konsekvens. I 2012 blev Rigspolitiets systemer kompromitteret i CSC-sagen. I 2022 gik NemID ned i fire dage, og samme år måtte togtrafikken indstilles efter et cyberangreb mod en leverandør. Selv nødprocedurerne svigtede. Nu har CPR-sagen vist, at omfattende misbrug kan foregå uden at blive standset i tide. Vi har oplevet databrud, nedbrud og svigtende beredskab. Alligevel synes vi bedre til at få systemerne op at køre igen end til at lære af det, der gik galt.
Her kommer Poul-Henning Kamp ind i billedet. Den danske programmør og IT-ekspert har i mere end et årti argumenteret for en egentlig IT-havarikommission. Han rejste idéen offentligt i 2012, og i 2014 blev den drøftet på Christiansborg. Finansminister Bjarne Corydon afviste behovet med henvisning til statens IT-projektråd. I 2015 kritiserede Kamp igen håndteringen af CSC-sagen, og i 2018 besluttede PROSAs delegeretforsamling at støtte idéen. I 2023 kunne PROSA stadig konstatere, at kampen fortsatte. Nu skriver vi 2026. Det er mindst 14 år siden, idéen blev rejst. Hvor mange digitale havarier skal der egentlig til, før nogen reagerer?
En IT-havarikommission skal ikke være endnu et kontor med et skilt på døren og en årsrapport, ingen læser. Den skal uafhængigt undersøge alvorlige hændelser, afdække tekniske og organisatoriske årsager og offentliggøre anbefalinger, der kan forhindre gentagelser. Når et fly styrter ned, to tog kolliderer, eller der sker større vejuheld, undersøger vi hvorfor. Men når kritiske IT-systemer svigter, overlader vi ofte forklaringen til myndigheder og leverandører, der selv har været involveret. Det svarer til at lade flyselskabet skrive havarirapporten og så håbe, at resten af branchen læser den.
Vores afhængighed rækker desuden langt ud over landets egne datacentre. En betydelig del af den digitale infrastruktur bygger på amerikanske platforme, cloudtjenester og software. Det er ikke et argument for at boykotte amerikansk teknologi, men for at stille nogle ubehagelige spørgsmål. Hvad sker der, hvis en leverandør lukker for adgangen, en geopolitisk konflikt ændrer spillereglerne, eller et angreb rammer vores systemer? Kan vi fortsætte driften og flytte vores data? Eller har vi købt os ind i en afhængighed, som først bliver synlig, når det er for sent? EU taler nu om teknologisk suverænitet. Danmark bør følge trop – uden at forveksle leverandørens nationalitet med en garanti for sikkerhed.
CPR-sagen må ikke ende med et par nye kontrolprocedurer og et løfte om, at det ikke sker igen. Vi har brug for at undersøge, hvordan adgange kontrolleres, usædvanlig aktivitet opdages, og nødprocedurer afprøves. En havarikommission skal kunne undersøge både offentlige myndigheder og private leverandører, når deres systemer er kritiske for samfundet. Den skal have adgang til dokumentation og ekspertise, og dens anbefalinger skal følges op. Ellers har vi blot opfundet endnu en måde at konstatere, at noget gik galt.
Som jeg ser det, er spørgsmålet ikke længere, om Danmark har råd til en IT-havarikommission. Det er, om vi har råd til fortsat at undvære den. Poul-Henning Kamp har brugt omkring 14 år på at forklare behovet. I mellemtiden har vi haft hackerangreb, nedbrud, svigtende nødprocedurer og nu et databrud af kolossale dimensioner. Vi behøver ikke vente på, at et angreb lammer sundhedsvæsenet, strømforsyningen eller betalingssystemerne. Advarslerne er der allerede. Det, vi mangler, er ikke endnu en strategi med pile og bokse, men viljen til at lære af vores fejl, før de gentages. Måske er det egentlige havari, at vi efter 14 år stadig diskuterer, om vi overhovedet har brug for at undersøge dem.
Kilder og baggrund
1. CPR-lækket i oktober 2026 – Forsknings-, Uddannelses- og Digitaliseringsministeriet: Omfattende uautoriseret adgang til borgeres CPR-oplysninger. Beskriver adgangen til oplysninger om cirka 8,8 millioner registrerede personer og myndighedernes håndtering af sagen. Læs pressemeddelelsen
2. Poul-Henning Kamps forslag om en IT-havarikommission – PROSAbladet: Den dag togene holdt stille, 8. februar 2023. Gennemgår Kamps mangeårige arbejde for en uafhængig kommission og beskriver blandt andet togstoppet i 2022, NemID-nedbruddet og problemer med nødprocedurer. Læs artiklen hos PROSAbladet
3. Forslaget blev rejst allerede i 2012 – Den historiske baggrund for Kamps forslag og den efterfølgende politiske debat om behovet for en IT-havarikommission er beskrevet i PROSAbladets artikel ovenfor. Artiklen dokumenterer, at Kamp allerede havde arbejdet for idéen i en årrække.
4. Datatilsynets behandling af CPR-sagen – Datatilsynet oplyser, at det modtog anmeldelse om hændelsen og undersøger de nærmere omstændigheder, herunder ansvar og behandling af personoplysninger. Læs Datatilsynets orientering
5. Europas teknologiske afhængighed – Europa-Kommissionen: Styrkelse af Europas teknologiske suverænitet, 3. juni 2026. Beskriver EU’s initiativer til at styrke europæisk kapacitet inden for blandt andet cloud, kunstig intelligens og halvledere og mindske afhængigheden af eksterne leverandører. Læs Europa-Kommissionens artikel
Redaktionel bemærkning: De cirka 14 år henviser til perioden fra Kamps offentlige forslag i 2012 til 2026. Det er en beregning ud fra tidslinjen – ikke en direkte formulering fra én enkelt kilde.