Novo-topchef bryder tavshed efter cyberangreb - peger på ny hackergruppe

Det har været usædvanligt stille fra Novo Nordisks ledelse, siden rygterne om et cyberangreb mod medicinalgiganten begyndte at cirkulere. Nu bryder topchef Mike Doustdar for første gang tavsheden - men ifølge Version2 rejser hans udmelding flere spørgsmål, end den besvarer.

Sagen kort: Novo Nordisk er efter alt at dømme blevet ramt af en sikkerhedshændelse, der har været alvorlig nok til, at selskabet nu er i gang med at genopbygge dele af sin IT-infrastruktur fra bunden. Det er ikke småting for en virksomhed af Novo Nordisks størrelse, hvor produktion, forskning og forsyningskæder i høj grad er afhængige af stabile IT-systemer.

Mistanken retter sig mod TeamPCP

Sikkerhedseksperter har tidligere forbundet angrebet med hackergruppen TeamPCP - en gruppe der ifølge de foreløbige oplysninger består af to unge australske hackere, som siden er blevet anholdt. Det er dog stadig uklart, præcis hvilken rolle gruppen har spillet i forhold til Novo Nordisk, og om anholdelserne reelt lukker sagen eller blot er en del af et større billede.

For virksomheder, der arbejder med følsomme data og kritisk infrastruktur, er den slags sager et påmindelse om, at selv velkonsoliderede aktører med store IT-budgetter kan blive ramt. Det er sjældent et spørgsmål om om man bliver forsøgt hacket, men hvornår - og hvor godt man er forberedt, når det sker.

NIS2 rejser spørgsmål om anmeldelsespligt

En central pointe i debatten om sagen er, hvorvidt Novo Nordisk er forpligtet til at rapportere hændelsen i henhold til NIS2-direktivet - EU's regelsæt for cyber- og netværkssikkerhed, som stiller skærpede krav til virksomheder inden for kritiske sektorer, herunder medicinalindustrien. Hvis en hændelse af denne kaliber ikke er blevet indberettet rettidigt, kan det få konsekvenser ud over selve angrebet.

Netop dét er en del af forklaringen på, hvorfor Doustdars kommentarer bliver læst så nøje. Både medarbejdere, aktionærer og medier har efterlyst klarhed om omfanget af hændelsen, og den relative tavshed frem til nu har skabt grobund for spekulation.

Hvad betyder det for andre selskaber?

Sagen er et godt eksempel på, hvordan store danske virksomheder håndterer - eller ikke håndterer - kommunikation omkring cybersikkerhedshændelser. For andre selskaber er der en klar læring: Jo længere man venter med at være transparent, desto mere fylder rygter og usikkerhed i offentligheden. Med NIS2 for alvor trådt i kraft er det ikke længere kun et omdømmespørgsmål, men også et juridisk spørgsmål, hvor hurtigt og hvor grundigt man melder ud.

Det er endnu uvist, hvor stor skaden reelt har været, og om flere detaljer om angrebet - eller om TeamPCPs eventuelle rolle - kommer frem i den kommende tid.