Når De tænker på omkostningerne ved et databrud, tænker De sandsynligvis på bøder fra tilsynsmyndigheder. Men realistisk set er bøder kun en del af de langt bredere økonomiske konsekvenser. Et databrud kan udløse juridiske og it-forensiske omkostninger, forstyrre forretningsaktiviteter, sinke teams, skade kundernes tillid og medføre måneders genopretningsarbejde.

Disse omkostninger er sjældent begrænset til én faktura eller ét overskriftstal. De viser sig i regninger for it-forensiske undersøgelser, juridisk rådgivning, arbejde med kundenotifikationer, systemgenopretning, forretningsafbrydelser, tabt produktivitet og den tid, ledelsesteams bruger på at inddæmme hændelsen i stedet for at drive virksomheden.

Vi vil undersøge, hvad et databrud reelt koster, med særligt fokus på Storbritannien, hvor databrud vokser betydeligt(nyt vindue). Vi forklarer, hvor disse omkostninger typisk lander, og hvorfor forebyggelse normalt er langt nemmere at kontrollere end reaktionen derpå.

Hvad et databrud koster i Storbritannien

Data fra den britiske regering giver os nyttig indsigt, men de kræver en omhyggelig rammesætning. I rapporten Cyber Security Breaches Survey 2025(nyt vindue) estimerede virksomheder de gennemsnitlige omkostninger ved deres mest forstyrrende databrud eller angreb inden for de seneste 12 måneder til £1.600 generelt, hvilket stiger til £3.550, når man udelukker organisationer, der rapporterede en omkostning på £0.

Den samme undersøgelse bemærker, at dette er selvrapporterede skøn og kan undervurdere de fulde økonomiske konsekvenser. Omkostninger ved databrud undervurderes ofte, når virksomheder kun fokuserer på den umiddelbare hændelse, fordi de reelle økonomiske konsekvenser strækker sig til forstyrrelser, genopretningsarbejde, tabt tid og langsigtede kommercielle konsekvenser.

For britiske virksomheder, især SMV’er, bliver ikke alle databrud til en krise i multinational skala. Men selv en mindre dramatisk hændelse kan skabe reelle økonomiske og operationelle belastninger. Protons Data Breach Observatory og dets analyse fra 2026, What Proton’s Data Breach Observatory reveals in 2026, understreger, hvor vedvarende og udbredt risikoen er. Der blev rapporteret 512 databrud, som eksponerede mere end 902 millioner poster siden starten af 2025, og SMV’er stod for 63 % af de sporede databrud.

De direkte økonomiske omkostninger ved et databrud er kun begyndelsen

De mest synlige omkostninger ved databrud er dem, som en virksomhed kan fakturere. Hvis f.eks. kunde- eller medarbejderdata er blevet eksponeret, kan organisationen være nødt til at rekruttere tredjepartstjenester. Dette kan omfatte juridisk rådgivning, it-forensisk undersøgelse, support til hændelseshåndtering, inddæmningsarbejde, systemgendannelse og kundekommunikation.

Hvis databruddet skal anmeldes, er der også de omfattende krav til selve den regulatoriske proces, herunder vurdering, dokumentation og rapportering. ICO oplyser, at organisationer skal underrette dem inden for 72 timer efter, at de er blevet opmærksomme på et brud på persondatasikkerheden, hvis det sandsynligvis vil medføre en risiko for personers rettigheder og friheder.

Disse direkte omkostninger eskalerer ofte, fordi flere arbejdsstrømme sker på samme tid. En virksomhed kan være nødt til at undersøge, hvad der skete, bevare beviser, involvere forsikringsselskaber, understøtte berørte brugere, patche systemer, nulstille legitimationsoplysninger, gennemgå adgangskontrol og holde den normale drift i gang sideløbende. Det er en af grundene til, at databrud sjældent opleves som en enkelt regning. De ankommer som en kaskade af presserende og overlappende arbejde.

Myndighedseksponering kan skabe yderligere omkostninger. Under den britiske GDPR og Data Protection Act 2018-ramme kan det højeste niveau af administrative bøder nå op på £17,5 millioner eller 4 % af den samlede årlige globale omsætning, alt efter hvad der er højest, afhængigt af overtrædelsen. ICO’s håndhævelsesside(nyt vindue) bemærker også, at der fortsat udstedes sanktioner for svigt i sikkerhed og databeskyttelse, så samtalen om omkostninger bør ikke behandle håndhævelse som noget rent teoretisk.

Det betyder ikke, at ethvert databrud fører til en bøde, eller at enhver bøde kommer i nærheden af det lovbestemte maksimum. Det betyder dog, at de direkte økonomiske omkostninger ved et databrud i Storbritannien hurtigt kan bevæge sig ud over udbedring og over i regulatorisk risiko, juridisk support og ekstern granskning.

De større omkostninger er ofte indirekte

Direkte omkostninger ved databrud er nemmere at kvantificere, fordi de er målelige. Det sværere aspekt at vurdere er den indirekte effekt, som ofte er større og mere vedvarende.

  • Driftsstop i virksomheden: Et databrud kan afbryde salg, levering af tjenester, finansielle aktiviteter, kundesupport, lønudbetaling eller medarbejderes mulighed for at få adgang til kernesystemer. Selvom selve hændelsen inddæmmes relativt hurtigt, kan genopretningsperioden trække i langdrag, mens teams genopbygger systemer, verificerer dataintegritet, opdaterer legitimationsoplysninger, genopretter adgang og arbejder sig igennem en pukkel.
  • Kundeafgang: Det er ikke alle kunder, der forlader virksomheden umiddelbart efter et databrud, men nogle gør, og skaden kan strække sig langt ud over øjeblikkelige opsigelser. Virksomheder, der er meget afhængige af kundernes tillid, kan mærke konsekvenserne i form af fornyelser, kommercielle samtaler eller partneres tillid. Når teams udelukkende fokuserer på notifikation og udbedring, undervurderer de de økonomiske konsekvenser af et databrud.
  • Stigende forsikringsomkostninger: En alvorlig hændelse kan påvirke fremtidige premium-priser på cyberforsikring, dækningsvilkår eller forsikringsselskabets kontrol af sikkerhedsforanstaltninger. Selv når dækningen fortsat er tilgængelig, kan organisationen stå over for en mere krævende fornyelsesproces og ekstra sikkerhedskrav efter denne begivenhed. Dette er en del af de langsigtede omkostninger ved databrud, som mange virksomheder først indser, når den akutte krise er overstået.

Hvorfor SMV’er ofte mærker konsekvenserne hårdere

Det er nemt at antage, at større virksomheder altid lider mere, fordi de har mere at tabe. I rene penge er det ofte sandt. Men mindre organisationer kan blive uforholdsmæssigt hårdt ramt, fordi de samme omkostningskategorier rammer et langt tyndere driftsgrundlag.

Virksomheder med større operationelle og økonomiske ressourcer kan være bedre i stand til at absorbere juridiske udgifter, ekstern teknisk support, driftsstop og langvarige forstyrrelser. En lille virksomhed har måske ikke internt sikkerhedspersonale, krisekommunikationssupport eller ekstra operationel kapacitet. Hvis et lille team mister muligheden for at få adgang til e-mail, CRM-software, finanssystemer, lagerplads til filer eller kunderegistre, selv i en kort periode, kan skaden ramme omsætningen og driftskontinuiteten direkte.

Det er grunden til, at gennemsnitlige tal for omkostninger ved databrud skal ses i en sammenhæng. Et relativt beskedent overskriftstal kan stadig maskere alvorlige forstyrrelser for en lille virksomhed, især når den reelle byrde falder på tabt tid, afbrudt drift, nødberedskabsarbejde og intern kapacitet. Den britiske regerings rapport Cyber Security Breaches Survey 2025 bemærker udtrykkeligt, at dens selvrapporterede estimater for omkostninger ved databrud kan undervurdere de reelle økonomiske konsekvenser.

Protons Data Breach Observatory understreger denne pointe. Det viste, at SMV’er var de hyppigste ofre blandt de databrud, der er blevet sporet siden januar 2025, og tegnede sig for 63 % af hændelserne. Blandt databrud, der eksponerede mere end 100.000 registreringer, udgjorde SMV’er stadig 60 % af hændelserne, hvor små virksomheder – her defineret som organisationer med 1–49 medarbejdere – repræsenterede 42 %.

Mindre virksomheder udskyder ofte forebyggende investeringer, fordi de antager, at angribere er mere interesserede i større organisationer. Når en virksomhed ikke ser sig selv som et sandsynligt mål, kan centraliseret administration af legitimationsoplysninger, overvågning af databrud, adgangskontrol og stærkere godkendelse føles som omkostninger, der er svære at retfærdiggøre. Problemet er, at når først et databrud sker, kan manglen på disse kontroller gøre hændelsen mere forstyrrende og dyrere at inddæmme.

Risikoen er ikke teoretisk. VikingClouds undersøgelse 2025 SMB Threat Landscape viste, at næsten én ud af fem SMV’er sagde, at et succesfuldt cyberangreb ville tvinge dem til at lukke, mens Mastercard rapporterede, at næsten én ud af fem virksomheder, der allerede havde været udsat for et angreb, efterfølgende indgav konkursbegæring eller lukkede. Disse tal er med til at forklare, hvorfor konsekvenserne af databrud for mindre virksomheder ofte måles mindre i gennemsnitlige overskrifter og mere i, hvor megen forstyrrelse virksomheden realistisk set kan overleve.

Hvad britisk lovgivning og regulativer tilføjer til omkostningerne

Den britiske reguleringskontekst er ikke drivkraften bag alle omkostninger ved databrud, men den kan forstørre dem betydeligt.

Notifikation

Hvis et databrud med personoplysninger sandsynligvis vil medføre en risiko for fysiske personers rettigheder og frihedsrettigheder, skal ICO underrettes senest 72 timer efter, at man er blevet opmærksom på det. Hvis risikoen er høj, skal de berørte personer muligvis også informeres uden unødig forsinkelse. Det skaber omkostninger, selv før der er tale om håndhævelse, fordi organisationen skal vurdere hændelsen, forstå, hvilke data der blev berørt, dokumentere fakta og forberede kommunikation, der kan modstå myndighedernes og kundernes granskning.

Risiko for håndhævelse

For virksomheder, der behandler store mængder personoplysninger eller er meget afhængige af kundernes tillid, stopper den økonomiske risiko ikke ved teknisk udbedring. Den strækker sig til konsekvenserne af at blive opfattet som havende fejlet i at beskytte personlige oplysninger.

Omkostninger til regulatoriske processer

Når ICO først er involveret, kan virksomheder have brug for juridisk support, tid til intern efterforskning, rapportering til bestyrelsen, planlægning af ekstern kommunikation og bevis på udbedring. Selv hvor et databrud ikke resulterer i en større bøde, forbruger processen stadig betydelig tid og penge.

Forebyggelsesomkostninger er normalt nemmere at kontrollere end omkostninger ved databrud

Forretningscasen for forebyggende sikkerhed is enkel: Forebyggelse er normalt mere kontrollerbar end reaktionen på databrud.

En virksomhed kan budgettere med en adgangskodeadministrator til virksomheder, bedre adgangskontrol, håndhævelse af to-faktor-godkendelse (2FA), overvågning af databrud, planlægning af hændelsesrespons samt brugertræning. Den kan ikke budgettere nær så præcist med et reelt databrud, der afbryder driften, fremtvinger nødudgifter og skader tilliden. ROI-argumentet handler om at reducere risikoen for, at en almindelig, forebyggelig svaghed udvikler sig til en dyr og forstyrrende begivenhed.

Det er grunden til, at sikkerheden omkring legitimationsoplysninger er særlig vigtig. Eksponeringen af e-mailadresser, brugernavne og adgangskoder på tværs af hændelser er en betydelig trussel mod virksomheden. Når legitimationsoplysninger kompromitteres, strækker skaden sig ofte ud over selve det oprindelige databrud. Svage, genbrugte eller dårligt kontrollerede adgangskoder kan give angribere mulighed for at få adgang til andre konti, systemer og tjenester, hvilket øger sandsynligheden for efterfølgende kompromittering. Det er grunden til, at Deres organisations samtale om omkostninger bør fokusere på forebyggelse, ikke kun på reaktion.

Hvis en af de mest almindelige angrebsveje ved databrud involverer kompromitterede legitimationsoplysninger eller data, der muliggør misbrug af legitimationsoplysninger, så vil investeringer, der forhindrer genbrug af adgangskoder, forbedrer synligheden og forbedrer hygiejnen omkring legitimationsoplysninger, adressere en direkte omkostningsdriver frem for en teoretisk en af slagsen.

Proton Pass for Business er en adgangskodeadministrator til virksomheder, der er bygget op omkring netop den form for praktisk kontrol: at hjælpe teams med at oprette, gemme og administrere stærke, unikke legitimationsoplysninger mere sikkert på tværs af organisationen.

Kom databrud i forkøbet, før de koster Deres virksomhed

Omkostninger ved databrud forstås bedst som kumulative. En del af dem opstår hurtigt i form af juridisk rådgivning, retsmedicinsk efterforskning, notifikationsarbejde og genopretning af systemer. Men en stor del opbygges mere gradvist gennem tabt produktivitet, forsinket arbejde, kommerciel og omdømmemæssig belastning samt den længerevarende indsats, der kræves for at genoprette tilliden. Navnlig for mindre organisationer kan denne mere omfattende forstyrrelse være eksistentiel snarere end blot ubelejlig: VikingClouds undersøgelse 2025 SMB Threat Landscape viste, at næsten én ud af fem SMV’er sagde, at et succesfuldt cyberangreb ville tvinge dem til at lukke.

Det er grunden til, at samtalen om omkostninger ikke kan ende med bøder eller notifikationskrav. Den bør føre til mere praktiske spørgsmål: Hvilke risici kan reduceres, før en hændelse sker? Og hvilke kontroller gør konsekvenserne lettere at inddæmme, når den gør?

Forebyggelse er normalt mere overkommelig end reaktion. Sikkerhed omkring legitimationsoplysninger er Deres organisations bedste bud, når det handler om at minimere omkostningerne. Hvis Deres organisation bliver ramt af et databrud, vil det føre til gentagen eksponering af e-mailadresser, brugernavne og adgangskoder på tværs af hændelser. Svage eller genbrugte legitimationsoplysninger kan gøre det nemmere for angribere at få adgang til yderligere konti eller tjenester efter den oprindelige kompromittering.

Stærkere hygiejne omkring legitimationsoplysninger, bedre adgangskontrol og praktiske sikkerhedsværktøjer vil ikke eliminere enhver risiko, men de kan mindske sandsynligheden for, at én eksponeret eller genbrugt adgangskode udvikler sig til en større og dyrere hændelse. Begynd at overvåge eksponerede legitimationsoplysninger, og reducer risikoen for databrud relateret til legitimationsoplysninger i Deres organisation med vores sikre adgangskodeadministrator til virksomheder, eller kontakt vores salgsteam for at få mere at vide.