En ministeriel gennemgang og årelange Rigsrevisions-beretninger dokumenterer, at statens it-systemer er forældede og sikkerhedsmæssigt utilstrækkelige — men hvad ved vi egentlig om omfang og konsekvenser?
Konklusion
Statens it-systemer er forældede, dårligt vedligeholdt og lever ikke op til grundlæggende sikkerhedskrav. Det er ikke en ny opdagelse. Rigsrevisionen har dokumenteret problemet i årevis, og en ny ministeriel gennemgang bekræfter billedet. Alligevel har handling ladet vente på sig. Resultatet er systemer, der udgør en reel risiko — både for driften af den offentlige sektor og for sikkerheden af borgernes data.
Nøglepunkter:
- Rigsrevisionen fandt i 2021, at statslige myndigheder ikke efterlevede selv de mest grundlæggende tekniske minimumskrav til it-sikkerhed.
- Statens eget it-revisionsprogram fra 2025 peger på forældede systemer bygget på gammel teknologi som en konkret og alvorlig mangel.
- Problemet er strukturelt: Vedligeholdelse og modernisering er politisk usynligt — indtil noget går galt.
- Der eksisterer ikke offentligt tilgængelige, samlede opgørelser over, hvad forsømmelserne koster skatteyderne.
Baggrund
Når staten digitaliserer en opgave, er det sjældent for sjov. Digital sagsbehandling, elektronisk kommunikation med borgere og automatiserede udbetalingssystemer er forudsætninger for, at den offentlige sektor overhovedet kan fungere i det omfang og tempo, samfundet forventer. Danmark betragter sig selv som en digital frontløber — og på visse parametre er det ikke ubegrundet. MitID, Digital Post og NemKonto er eksempler på infrastruktur, der fungerer for de fleste borgere det meste af tiden.
Men bag facaden gemmer sig et andet billede. Mange af de systemer, der faktisk holder hjulene i gang i ministerier, styrelser og statslige institutioner, er gamle. Nogle er bygget på teknologi fra 1980'erne og 1990'erne. De er lapset sammen over årtier, og vedligeholdelsen er systematisk blevet nedprioriteret, fordi det er svært at vise politisk afkast af at opgradere noget, der tilsyneladende virker.
Det er denne virkelighed, som Rigsrevisionen og nu en ny ministeriel gennemgang har sat ord på — igen.
Hvad sker der
I 2021 offentliggjorde Rigsrevisionen en beretning om fem statslige myndigheders efterlevelse af 20 tekniske minimumskrav til it-sikkerhed. Kravene er ikke avancerede. De dækker basale forhold som adgangsstyring, logning, opdatering af software og håndtering af sårbarheder. Det er det, man med rimelighed kan kalde it-sikkerhedens gulv.
Resultatet var nedslående. Myndighederne levede ikke op til kravene. Statens It — den fælles it-driftsenhed for en stor del af statens institutioner — spillede en central rolle i undersøgelsen og havde selv udfordringer med at dokumentere, at minimumskravene blev overholdt.
I 2025 fortsætter historien. Rigsrevisionens gennemgang af statens forvaltning dette år peger eksplicit på, at ét it-system er forældet og bygger på gammel teknologi. Det beskrives som en alvorlig mangel — og alvoren forstærkes af, at der samtidig er usikkerhed om, hvad der sker, hvis systemet fejler. Det er ikke bare et spørgsmål om ineffektivitet. Det er et spørgsmål om, hvad der sker ved et nedbrud.
Parallelt hermed har lederen i Ingeniøren sat ord på en frustration, der deles bredt i it-faglige miljøer: En samlet it-redningsplan er velkommen, men den kommer mindst ti år for sent. Og uden en form for offentlig ansvarlighed — en "digital gabestok", som lederen kalder det — er der ingen garanti for, at historien ikke gentager sig.
De centrale spørgsmål
Hvor stort er problemet egentlig?
Det er svært at svare præcist på, fordi der ikke eksisterer en samlet, offentligt tilgængelig opgørelse over statens forældede it-systemer. Det vi ved, kommer fra Rigsrevisionens stikprøver og sektorspecifikke undersøgelser. Vi ved altså, at problemet eksisterer og er alvorligt de steder, vi har kigget. Vi ved ikke med sikkerhed, hvor mange steder vi ikke har kigget.
Hvad er sikkerhedsrisikoen?
Forældet teknologi er ikke bare ineffektivt. Det er usikkert. Gammel software modtager ikke længere sikkerhedsopdateringer fra producenten. Kendte sårbarheder forbliver urettede. Det giver angribere — hvad enten de er kriminelle eller statslige aktører — et forudsigeligt angrebspunkt. Rigsrevisionens 2021-beretning dokumenterer, at selv grundlæggende krav til adgangsstyring og logning ikke var opfyldt. Det betyder, at man i mange tilfælde hverken kan forhindre uautoriseret adgang eller opdage den i tide.
Hvem har ansvaret?
Her bliver det kompliceret. Ansvaret er fordelt mellem de enkelte myndigheder, Statens It som driftsenhed, Digitaliseringsstyrelsen som koordinerende myndighed og de respektive ministerier som politisk ansvarlige. Denne spredning af ansvar er en del af forklaringen på, hvorfor problemet har fået lov at vokse. Når alle har et stykke af ansvaret, er det nemt for ingen at tage det hele.
Hvad koster det?
Det koster noget at modernisere. Men det koster også noget at lade være. Driftsomkostninger på forældet infrastruktur er typisk højere end på moderne systemer, fordi vedligeholdelse kræver specialiseret ekspertise i teknologi, der ikke længere er mainstream. Hertil kommer risikoen for nedbrud og de følgeomkostninger, det medfører. Der foreligger dog ikke offentligt tilgængelige tal, der samler disse omkostninger på tværs af staten, så en præcis prissætning af forsømmelsen er ikke mulig på det foreliggende grundlag.
Analyse
Et strukturelt problem, ikke et tilfældigt
Det er fristende at behandle hvert enkelt forældet system som en isoleret fejl. Men mønsteret er for konsistent til, at det kan forklares med individuelle uheld. Rigsrevisionens gentagne kritik på tværs af myndigheder og år peger på et strukturelt problem i den måde, staten håndterer it på.
Kernen i problemet er, at it-vedligeholdelse er politisk usynligt. En politiker, der bevilger penge til at opgradere et 30 år gammelt sagsbehandlingssystem, kan ikke holde en pressekonference om det. Der er ingen bånd at klippe, ingen borgere, der spontant takker for bedre back-end-infrastruktur. Til gengæld er der altid andre politiske prioriteter, der er lettere at kommunikere og sælge til vælgerne.
Resultatet er, at vedligeholdelse systematisk nedprioriteres, indtil systemerne fejler — og fejlene sker på de værst mulige tidspunkter.
Minimumskrav der ikke er minimumskrav i praksis
Et af de mest slående fund i Rigsrevisionens 2021-beretning er netop, at de 20 tekniske minimumskrav, som myndigheder forventes at efterleve, ikke fungerer som reelle minimumskrav. De eksisterer, men efterlevelsen kontrolleres ikke systematisk, og konsekvenserne ved manglende overholdelse er begrænsede.
Det rejser et grundlæggende spørgsmål om, hvad et krav er, hvis det ikke håndhæves. I den private sektor gælder GDPR med potentielt store bøder som konsekvens. I den statslige sektor er sanktionsmekanismerne svagere, og den interne kontrol — som Rigsrevisionen påpeger — har ikke fungeret godt nok.
Digitaliseringsstyrelsen og Erhvervsstyrelsen driver i fællesskab sikkerdigital.dk, som er det primære redskab til at understøtte myndighedernes it-sikkerhedsarbejde. Men vejledning og selvrapportering er ikke det samme som systematisk kontrol og håndhævelse.
Statens It som fælles sårbarhed
Statens It er i en paradoksal position. Det er oprettet for at samle og professionalisere it-driften for en lang række statslige institutioner — og det er en fornuftig tanke. Stordrift giver ressourcer til specialisering og investering, som den enkelte lille styrelse ikke selv ville have.
Men det betyder også, at Statens It er et fælles sårbarhedspunkt. Rigsrevisionens undersøgelse i 2021 viste, at Statens It selv havde udfordringer med at dokumentere efterlevelse af minimumskravene. Når den enhed, der er sat i verden for at løse it-sikkerhedsudfordringen, selv kæmper med den, er det et tegn på, at problemet er dybere end organisatorisk.
Hvad internationale erfaringer siger — med forbehold
Mange vestlige lande kæmper med lignende udfordringer. Det amerikanske Government Accountability Office har i årevis dokumenteret kritiske systemer, der kører på årtier gammel teknologi. Det britiske National Audit Office har rapporteret tilsvarende. Det er ikke en dansk særhed.
Men det er heller ikke en undskyldning. At problemet er udbredt, fortæller os, at det er svært at løse — ikke at det er acceptabelt at lade være. De lande, der har haft størst succes med modernisering, har typisk kombineret klar politisk prioritering, dedikeret finansiering og ekstern revision med reel konsekvens.
Det sidste element — reel konsekvens — er netop det, Ingeniørens leder efterlyser med begrebet om en "digital gabestok". Ikke nødvendigvis for at straffe enkeltpersoner, men for at skabe offentlig synlighed om, hvilke myndigheder der ikke lever op til kravene, og hvad det koster. Transparens som styringsredskab.
Usikkerhed og det vi ikke ved
Det er vigtigt at understrege, hvad vi ikke ved. Vi ved ikke, hvor mange statslige it-systemer der samlet set er forældede eller sikkerhedsmæssigt utilstrækkelige. Vi ved ikke præcis, hvad det koster — hverken i løbende driftsomkostninger eller i potentielle tab ved nedbrud eller brud på datasikkerheden. Og vi ved ikke, om de planer, der nu er lagt, vil blive gennemført fuldt ud, eller om de vil lide samme skæbne som tidligere initiativer.
Det er Rigsrevisionens stikprøvebaserede metode, der danner grundlag for det, vi ved. Det er en solid og anerkendt metode, men den giver per definition ikke et fuldstændigt billede. De systemer, Rigsrevisionen ikke har kigget på, kan være bedre — eller de kan være værre.
Konklusion
Danmark har et veldokumenteret problem med forældet og sikkerhedsmæssigt utilstrækkelig it-infrastruktur i staten. Problemet er ikke nyt, og det er ikke hemmeligt. Rigsrevisionen har peget på det gentagne gange. Den seneste gennemgang fra 2025 bekræfter, at forældede systemer stadig er en aktuel og alvorlig udfordring.
Den dybe forklaring er strukturel: It-vedligeholdelse er politisk usynligt og konkurrerer om ressourcer med prioriteter, der er langt nemmere at kommunikere. Uden mekanismer, der skaber reel synlighed og reel konsekvens, er der ikke grund til at tro, at mønsteret brydes af sig selv.
En samlet moderniseringsplan er et nødvendigt skridt. Men planen i sig selv løser ikke det underliggende styringsproblem. Det kræver, at vi som samfund beslutter, at digital infrastruktur ikke er noget, der kan udskydes, til det bryder sammen — og at vi er villige til at gøre det synligt, når det ikke passes ordentligt.
Hvad det konkret vil koste at rette op, og hvad det har kostet at lade det stå til, er spørgsmål, vi endnu ikke har fyldestgørende svar på. Det er i sig selv et problem.