Beredskap ved driftsavbrudd

Av Terje Moy, ansvarlig redaktør · Publisert 27. september 2026

Beredskap i en liten bedrift er ikke en perm. Det er ett ark med tre scenarier – systemet er nede, lokalet er utilgjengelig, nøkkelpersonen er borte – og for hvert av dem: hva gjør vi først, hvem ringer vi, og hva sier vi til kundene.

Nesten alle småbedrifter overlever avbruddet i seg selv. Det som koster, er de tre-fire timene med panikk i starten, der ingen vet hvem som gjør hva, og de to ukene etterpå der kundene får inntrykk av at dere ikke har kontroll. Planen skal ikke forutse katastrofer. Den skal fjerne panikkfasen.

Hva er de realistiske scenariene?

Glem flom og terror. For en bedrift med to til tjue ansatte er det disse tre som faktisk inntreffer:

Ingen av disse er dramatiske hendelser. En vannlekkasje fra etasjen over gir deg de samme problemene som en brann ville gitt – bare i en mildere utgave og med mindre sympati fra omverdenen.

Hvordan ser en beredskapsplan på én side ut?

Fem deler, og den skal kunne leses av en stresset person i dårlig lys.

1. Hvem leder. Én navngitt person og én stedfortreder. Ikke «ledelsen».
2. Varslingsliste. Alle ansatte med privat mobilnummer, og de tre viktigste eksterne: IT-leverandør, forsikringsselskap, regnskapsfører. Direktenummer, ikke sentralbord.
3. Førstetiltak per scenario. Tre–fem punkter for hvert scenario: hva gjør vi de første to timene.
4. Hva sier vi. Ferdigskrevet tekst til kunder i to varianter: «vi har et avbrudd og er tilbake» og «dette tar tid, her er alternativet».
5. Nødvendig informasjon. Hvor sikkerhetskopien ligger, hvem som har nøkler, hvem som kan bruke penger, hvor forsikringspolisen er.

Bruk maks én side. Den vanligste feilen er ikke for enkel beredskap – det er en 24-siders plan skrevet i januar, utdatert i mai og glemt i august.

Scenario 1: hva gjør du når IT-systemet står?

Første avgjørelse er å skille mellom nedetid og angrep. Er leverandørens tjeneste nede, er jobben å informere og vente. Er det løsepengevirus eller en kapret konto, er jobben å stoppe spredningen. Førstetiltakene som hører på arket:

• Sjekk leverandørens statusside før du ringer noen. Halvparten av «systemet er nede» er en driftsmelding som allerede finnes.
• Ved mistanke om angrep: koble berørte maskiner fra nett, bytt passord fra en annen maskin, og si til de ansatte at de ikke skal logge inn.
• Vurder om personopplysninger kan være berørt. Brudd på personopplysningssikkerheten skal som hovedregel meldes Datatilsynet, og fristen er kort – derfor må vurderingen skje i time én, ikke i uke to.
• Hent fram den manuelle reserveløsningen: papirblokk for ordrer, mobilen for betaling, notatbok for timer. Alltid dårlig, alltid bedre enn å stå stille.

Betal ikke løsepenger. Det finansierer neste angrep, gir ingen garanti, og du har et bedre alternativ hvis forarbeidet er gjort: en sikkerhetskopi du har testet. Hvordan du sikrer deg i forkant, står i IT-sikkerhet for småbedrifter.

Er sikkerhetskopien din faktisk testet?

Dette er enkeltpunktet som avgjør hvor ille et IT-avbrudd blir, og punktet folk tror de har på plass. Tre spørsmål – klarer du ikke å svare uten å sjekke, er kopien ikke testet:

1. Hvor gammel er den nyeste kopien – timer eller døgn?
2. Hvor lang tid tar det å hente den tilbake, i praksis?
3. Når hentet du sist noe fra den og åpnet filen?

Det siste spørsmålet er det viktige. En sikkerhetskopi som kjører grønt hver natt i to år uten at noen har gjenopprettet noe, er en antakelse med logg. Sett av tjue minutter to ganger i året: hent tilbake en tilfeldig mappe, åpne tre filer, skriv datoen i planen. Da vet du også hvor lang tid det tar – og det tallet er grunnlaget for det du lover kundene.

Kopien må dekke det som ikke er filer også: regnskapsdata, kundelister i fagsystemer, nettsiden. Oppbevaringsplikten på fem år bortfaller ikke fordi en harddisk døde – se dokumentstyring og arkiv.

Scenario 2: hva om du ikke kommer inn i lokalet?

Scenariet folk planlegger minst for, og det som gir de mest banale problemene. Verktøykassen er innelåst. Varelageret står bak sperrebåndet. Posten går til en adresse ingen tømmer.

• Hvor jobber vi i mellomtiden? For kontorbedrifter er svaret hjemmefra. For håndverk, verksted og butikk er svaret vanskeligere, og derfor mer verdt å ha tenkt gjennom: en kollega med ledig plass, et lager du kan låne, en avtale om å bruke andres utstyr.
• Hva må du kunne nå fysisk? De fem tingene du absolutt trenger – lader, nøkler, reservetelefon, forsikringspolise, kontonumre – skal ikke bare finnes i lokalet.
• Hva sier leiekontrakten? Utleier har plikter ved mangler, og du kan ha rett til avslag i leien når lokalet ikke kan brukes. Kjenn ordlyden før situasjonen oppstår.
• Hvem har nøkler og koder? Minst to personer, og adgangskoden skal ikke sitte i hodet på den som alltid åpner.

Scenario 3: hva om nøkkelpersonen blir borte?

I en bedrift med fire ansatte er nøkkelpersonrisikoen den største du har, og den blir nesten aldri skrevet ned. Ofte er nøkkelpersonen deg.

Gjør øvelsen konkret: hvis du selv er utilgjengelig i seks uker fra i morgen, hva stopper? Svaret er en kort og ubehagelig liste. Passordene. Kunderelasjonene. Bankfullmakten. Kunnskapen om hvilke priser som gjelder for hvilken kunde. Tiltakene er kjedelige og effektive:

• Passordhåndtering med nødtilgang. En passordmanager der en annen person kommer til de kritiske innloggingene. Ikke et ark i skuffen, og ikke et regneark som heter «passord».
• Fullmakter på plass før du trenger dem. I et AS bør minst to ha tilgang til bankkontoen, og signaturrett og prokura bør være registrert. Blir daglig leder borte over tid, kan styret sette inn en vikar – se konstituert daglig leder.
• Skriv ned det bare én person vet. Ikke alt – de fem prosessene som stopper, en halv side hver.
• To personer på de viktigste kundene, slik at én av dem har møtt kunden og kjenner avtalen.

For selvstendig næringsdrivende er dette dobbelt viktig, fordi inntekten stopper samtidig som arbeidskraften. Sykepengedekningen er svakere enn for ansatte – 80 prosent fra 17. dag – og kan forsikres opp gjennom NAV. Regnestykket står i sykepenger for selvstendig næringsdrivende.

Dekker forsikringen tapt inntekt?

Bare hvis du har kjøpt den dekningen. Dette er den vanligste overraskelsen etter et avbrudd: tingforsikringen erstatter maskinen som brant, men ikke omsetningen du mistet i de seks ukene det tok å erstatte den.

Driftsavbruddsforsikring dekker inntektstapet i en avtalt periode etter en dekningsmessig skade. Fire ting å forstå før du kjøper:

• Den utløses normalt av en skade som er dekket ellers i polisen. Er ikke hendelsen dekket, er avbruddet heller ikke det.
• Erstatningsperioden er avtalt, og må stå i forhold til hvor lang tid du realistisk trenger. Kort periode er billigere og kan være verdiløs.
• Cyberhendelser dekkes ofte ikke her, men av en egen cyberforsikring. Spør eksplisitt.
• Bortfall av en nøkkelperson dekkes normalt ikke, med mindre du har egen nøkkelpersonforsikring.

Premien avhenger av bransje, omsetning og erstatningsperiode, så be om tilbud og sammenlign dekningene. Hvilke dekninger bedriften trenger, og hvilke som er lovpålagte, er tema i forsikringene bedriften trenger.

Og så finansieringen, som ofte er den reelle beredskapen: en likviditetsreserve eller en ubrukt kassekreditt gjør at du klarer seks uker uten inntekt. Rammen bør avtales i godt vær – banken vurderer deg annerledes når du ringer midt i en krise. Holder ikke reserven, se når pengene tar slutt.

Hva sier du til kundene underveis?

Mer enn du har lyst til, tidligere enn du er klar, og med et konkret tidspunkt for neste oppdatering.

Kunder tåler at ting går galt. De tåler ikke stillhet, og de tåler særlig dårlig et løfte som brytes. «Vi er tilbake i morgen» sagt uten å vite, er setningen som gjør et driftsavbrudd til en tillitssak. Si i stedet: «Systemet vårt er nede. Vi vet ikke ennå hvor lenge. Du hører fra oss klokken 14 uansett.» Og hold klokken 14.

Oppskrift for de første timene: én hovedkanal, én person som skriver, en kort melding til alle berørte. Ring de tre viktigste kundene selv – det er de samtalene som avgjør hva de husker om et halvt år.

Ofte stilte spørsmål

Må en liten bedrift ha skriftlig beredskapsplan?

Det finnes ikke et generelt lovkrav for alle virksomheter, men internkontrollplikten i HMS-regelverket krever at du kartlegger risiko og har rutiner for å håndtere den – se HMS og internkontroll. Enkelte bransjer har i tillegg egne krav.

Hvor ofte bør planen oppdateres?

En gang i året, og alltid når innholdet endrer seg: ny ansatt, ny IT-leverandør, nytt lokale, nytt telefonnummer. Utdaterte numre er den vanligste grunnen til at en plan ikke virker.

Hva bør jeg gjøre først hvis jeg ikke har noe i dag?

Test sikkerhetskopien og skriv varslingslisten. Det tar en ettermiddag og dekker de to tingene du helt sikkert kommer til å trenge.

Er driftsavbruddsforsikring verdt pengene for en bedrift med tre ansatte?

Det avhenger av hvor mye faste kostnader som løper videre uten inntekt. Har du høy husleie, leasing og lønn, og utstyr du ikke kan erstatte på en uke, er dekningen ofte fornuftig. Har du lave faste kostnader og kan jobbe fra hvor som helst, veier den mindre. Sammenlign dekningsperiode, ikke bare pris.