En skala for alvorlighed virker kun i en koncern, hvis et kritisk fund betyder det samme i alle selskaber. Det kræver skriftlige kriterier for hvert niveau, eksempler, der viser grænserne, og én funktion, der kalibrerer, når enhederne vurderer forskelligt.
Uden det kan to selskaber have samme svaghed, mens det ene kalder den kritisk og det andet mellem. Så kan koncernen ikke se, hvor de største risici er, og fundregistret kan ikke lægges sammen.
Hvad kilderne siger
I CSF 2.0 findes kontrolmålet GV.RM-06 om en standardiseret metode til at beregne, dokumentere, kategorisere og prioritere cybersikkerhedsrisici, som er fastlagt og kommunikeret. En fælles skala for alvorlighed af fund er en del af sådan en metode.
NIST’s vejledning om cybersikkerhed og virksomhedens samlede risikostyring lader registre på system- og enhedsniveau samle sig i ét register for hele virksomheden. Det kan kun lade sig gøre, når alle niveauer beskriver og vurderer risici ens.
Skalaens indhold er praksis. Ingen standard fastlægger, hvor mange niveauer der skal være, eller hvad de skal hedde.
Fire niveauer med kriterier
En almindelig skala har fire niveauer. Det er sitets forslag at definere hvert niveau ud fra to akser: hvad der kan ske, og hvor let det kan ske.
- Kritisk · Kriterium (tænkt): Kan stoppe kritisk drift eller kompromittere hele koncernen, og kan udnyttes let · Tænkt eksempel: Administratorkonto uden stærk godkendelse på et system med adgang til alle selskaber
- Høj · Kriterium (tænkt): Kan give alvorlig skade i ét selskab, eller kræver lidt mere for at udnytte · Tænkt eksempel: Ingen afprøvet gendannelse af et forretningskritisk system
- Mellem · Kriterium (tænkt): Svækker kontrollen, men skaden er begrænset eller usandsynlig · Tænkt eksempel: Adgangsrettigheder gennemgås sjældnere end politikken kræver
- Lav · Kriterium (tænkt): Afvigelse fra god praksis med lille betydning · Tænkt eksempel: Mangelfuld dokumentation af en proces, der fungerer
Kriterierne bør kobles til koncernens egen risikomatrix, så et fund kan føres direkte ind i risikoregistret.
Fund, der rammer flere selskaber
Et fund kan være lavt i ét selskab og kritisk for koncernen. En svag konto i et lille datterselskab kan være uden betydning, hvis selskabet er isoleret, men kritisk, hvis det deler netværk eller identitetssystem med resten. Det er derfor praksis at vurdere alvorligheden ud fra konsekvensen for hele koncernen.
Fund i fælles tjenester bør registreres én gang og knyttes til alle de selskaber, der er berørt. Ellers ser det ud, som om der er mange fund, når der i virkeligheden er ét.
Kalibrering
Selv med skriftlige kriterier vil vurderingerne glide fra hinanden. Det er god praksis at lade én funktion, fx anden linje eller den eksterne auditor, gennemgå alle fund på niveau kritisk og høj, før rapporten er færdig. Formålet er at sikre, at samme slags fund har fået samme niveau.
Det er også nyttigt at samle en kort liste over afgjorte eksempler. Når der er tvivl, kan man slå op, hvad man besluttede sidst. Listen gør skalaen mere stabil fra år til år, så udviklingen kan måles.
Skalaen hos leverandører og i andre rapporter
Koncernen modtager også fund fra andre kilder: revisors IT-gennemgang, leverandørers erklæringer og tekniske test. De bruger ofte deres egne skalaer. Det er praksis at oversætte dem til koncernens skala, når de føres ind i fundregistret, og at gemme den oprindelige vurdering ved siden af. Hvordan fund i leverandørers erklæringer læses, står på sitet om leverandøraudit. Klassifikation af auditfund i almindelighed gennemgås på sitet om auditmetoden, og den tekniske vurdering af enkelte sårbarheder på sitet om tekniske kontrolpunkter.
Skalaen og fristerne
Det er almindeligt at knytte en standardfrist til hvert niveau, så kritiske fund rettes hurtigere end lave. Fristerne er en ledelsesbeslutning og bør stå i samme dokument som skalaen. Kan et fund ikke rettes inden fristen, skal det enten have en ny frist med begrundelse eller accepteres formelt. Risikoaccept er beskrevet i risikoaccept af fund.
Skalaen over tid
Skalaen skal ligge fast i flere år, hvis udviklingen i antal og alvorlighed af fund skal kunne følges. Ændres kriterierne, bør gamle fund omklassificeres efter de nye, eller ændringen skal stå i rapporten. Ellers kan et fald i antallet af kritiske fund skyldes en mildere skala og ikke bedre sikkerhed.
Det er også god praksis at se på fordelingen af fund over niveauerne. Hvis næsten alle fund ender som mellem, er skalaen sandsynligvis for grov, eller vurderingerne er for forsigtige. En skala, der ikke skelner, hjælper ikke ledelsen med at prioritere.
Hvad det kræver, og hvad det koster at lade være
Det kræver et kort dokument med skalaen, kriterier, eksempler og frister, godkendt af direktionen og brugt i alle selskaber. Det kræver også én funktion, der kalibrerer.
Lader man være, kan fundregistret ikke bruges til at prioritere på tværs af koncernen. Selskaber, der vurderer strengt, ser dårligere ud end selskaber, der vurderer mildt, og ressourcerne havner forkert.
Det skal I lade være med
- At give selskaberne frihed til egne skalaer · fundene kan så ikke lægges sammen.
- At vurdere alvorlighed kun ud fra selskabets egen konsekvens · fælles systemer gør risikoen fælles.
- At registrere samme fund mange gange · så ser problemet større ud, end det er.
Det skal gennemgangen kunne vise
- ☐ En godkendt skala med kriterier og eksempler.
- ☐ Dokumenteret kalibrering af kritiske og høje fund.
- ☐ Standardfrister pr. niveau.
- ☐ Oversættelse af fund fra andre kilder til koncernens skala.
Kilder
- NIST CSF 2.0, GV.RM-06, læst 14. november 2026.
- NIST IR 8286 Rev. 1, december 2025, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag tre fund fra forskellige selskaber, der ligner hinanden, og se, om de har fået samme niveau.
Læs også: Lokale risikoregistre, der ikke kan lægges sammen · Når enheden er uenig i sin score
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
