Tjek printeren, før hackerne gør

Den 11. september træder den første konkrete frist i EU’s Cyber Resilience Act i kraft. Producenter af digitale produkter, der er koblet til nettet, skal bl.a. kunne varsle aktivt udnyttede sårbarheder og alvorlige sikkerhedshændelser inden for 24 timer.

Kravet gælder producenterne, men budskabet til virksomhedsledere er bredere: Man kan ikke beskytte et digitalt miljø, man ikke har overblik over.

Det er fristende at rette blikket mod AI, kvantecomputere og morgendagens trusler. Men angribere behøver ikke vente på fremtiden, hvis vi stadig efterlader et vindue åbent i nutiden. Det er netop problemet med printeren: Den velkendte risiko taber prioriteringskampen til de nye og mere spektakulære trusler.

Når jeg gennemgår sikkerhedsberedskabet med danske virksomheder, handler samtalen næsten altid om firewalls, vpn, adgangsstyring og medarbejdertræning. Bekymrende sjældent nævner nogen printeren, selvom den har eget styresystem, firmware, brugerkonti og adgang til netværk og dokumenter.

Alvoren er svær at overse. Styrelsen for Samfundssikkerhed vurderer i Cybertruslen mod Danmark 2025, at truslen fra både cyberkriminalitet og cyberspionage er meget høj, og at danske myndigheder, virksomheder og borgere udsættes for cyberangreb hver dag. Printerrisikoen er heller ikke teoretisk.

Den uafhængige analysevirksomhed Quocircas Print Security Landscape 2025 bygger på svar fra 500 IT-beslutningstagere i Storbritannien, Frankrig, Tyskland og USA. 56 pct. havde oplevet mindst ét printrelateret datatab det seneste år, og den gennemsnitlige omkostning var 820.000 pund – godt 7 mio. kr. Printeren er langt fra uskyldigt kontorudstyr. Den kan være en åben bagdør.

For virksomheder omfattet af NIS2 er cybersikkerhed et ledelsesansvar. Alligevel er ejerskabet ofte uklart. It tror, at leverandøren håndterer sikkerheden. Indkøb ser en maskine til papir. Og ledelsen får aldrig det samlede billede af enheder, software, adgange og ansvar. Det er præcis sådanne uklarheder, som gør en hændelse dyrere og reaktionen langsommere.

CRA’s 24-timersfrist viser, hvor lidt plads der er til improvisation. Tænk, hvis hackerne allerede har lukket sig ind, og I først dér skal finde ud af, hvem der ejer printeren, hvilken firmwareversion den kører, og hvem der må lukke den ned? Så er I allerede bagud.

Derfor er min opfordring til direktioner og bestyrelser enkel: Stil det ubehagelige spørgsmål: Har vi faktisk styr på alle netværksenheder? Hvis svaret er uklart, er printeren et godt sted at begynde.

Brug CRA-fristen til at kræve et reelt overblik – også over printere og multifunktionsmaskiner. Spørg leverandørerne, hvordan de opdager og håndterer sårbarheder. Kræv klare roller, løbende opdateringer og overvågning.

Ja, det kræver overblik. Ja, det kræver klare roller. Og ja, det kræver, at printeren bliver behandlet som den netværksenhed, den er. Men første skridt er enkelt: Skriv printeren ind i beredskabet.