...
Alle artikler
Oversigten rummer hver artikel på cybermodenhed.dk, delt i de ti grupper, temasiderne bygger på. Grupperne følger den rækkefølge, en måling typisk bevæger sig i. Først hvad der måles, og hvilken målestok der bruges. Så koncernen med dens mange selskaber, opkøbene og ejerne. Dernæst den interne audit-funktion, programmet over flere år og de fund, der går igen. Til sidst rapporteringen til bestyrelsen, benchmark mod branchen, prioriteringen af indsatsen og en måleserie, der holder. Inden for hver gruppe står artiklerne efter nummer.
A. Modenhed: hvad der måles, og hvordan (001 til 017)
Temasiden: Modenhed: hvad der måles, og hvordan
- Modenhedsvurdering, audit eller teknisk gennemgang i en koncern: tre spørgsmål, tre leverancer
- Modenhedstrinene i praksis: det, der skal kunne vises, før et område rykker et trin op
- Målniveau pr. område: hvorfor højeste trin overalt er det forkerte mål
- Høj modenhed er ikke det samme som høj sikkerhed
- Selvevaluering eller ekstern vurdering: hvor meget kan I stole på egne tal?
- Spørgeskema, interview eller stikprøve: tre måder at måle modenhed på
- De områder, en modenhedsvurdering dækker, og hvad der ses på i hvert
- Hvor ofte skal modenheden måles i en stor organisation?
- Fra modenhedsscore til risiko: koblingen til koncernens risikoregister
- Den første måling: en baseline med faste begreber, der kan gentages
- Vægtning: skal alle områder tælle lige meget i den samlede score?
- Skalaen: tre, fire eller fem trin, eller opnået og delvist opnået
- Proces eller resultat: måler I, om det gøres systematisk, eller om det virker?
- Modenhed i produktion og OT, når modellen er skrevet til kontor-IT
- Sikkerhedskultur som modenhedsområde: kan den måles?
- Modenhed i detektion og overvågning: vurdering af SOC-funktionen som proces
- Driften ligger ude: hvad scorer I hos jer selv, når kontrollen udføres af en leverandør?
B. Rammeværk som målestok (018 til 038)
Temasiden: Rammeværk som målestok
- NIST CSF 2.0 som måleramme: nuværende profil, målprofil og gabet imellem
- Er CSF Tiers modenhedstrin? Hvad de fire tiers i NIST CSF 2.0 beskriver
- Govern i CSF 2.0: den funktion, hvor ledelsen selv bliver målt
- Community Profiles: en færdig målprofil for sektoren eller koncernens egen
- CIS Controls v8.1 og implementeringsgrupperne som differentieret minimumskrav pr. enhed
- CIS CSAT: selvevalueringsværktøjet til CIS Controls, og hvad en score fra det dækker
- ISO 27001 som måleramme uden certificering: intern audit og ledelsens gennemgang som målepunkter
- ISO 27002-kontrollerne som tjekliste i en audit: styrker og fælder
- C2M2 version 2.1: modenhedsmodellen fra energisektoren, og hvem der kan bruge den
- Ét framework for hele koncernen eller flere?
- Mål én gang, rapportér mod flere krav: mapping mellem rammer, og hvor den ikke holder
- Egen modenhedsmodel: hvornår giver det mening at bygge sin egen?
- COBIT 2019 og sikkerhedsmålingen: undgå at måle styringen to gange
- Skift af ramme midt i en måleserie
- Modenhedsmodeller for enkeltområder ved siden af den brede måling
- D-mærket i en stor virksomhed: gruppe III og IV, otte kriterier og årligt tilsyn
- D-mærkets NIS2-modul som målestok: hvad der er dækket, og hvad mærket ikke kan garantere
- Statens ISO 27001-modenhedsmåling som sammenligning: selvvurdering, handleplaner og kritikken af opfølgningen
- Den britiske Cyber Assessment Framework som målestok: fire mål, profiler og faglig vurdering
- Certificerede enheder i koncernmålingen: hvad kan et ISO 27001-certifikat erstatte i scoren?
- Klar til ISO 27001? Forundersøgelsens indhold: omfang, anvendelseserklæring og afstand til certificering
C. Koncernen: på tværs af enheder og lokationer (041 til 057)
Temasiden: Koncernen: på tværs af enheder og lokationer
- Benchmark på tværs af forretningsenheder: sådan bliver tallene sammenlignelige
- Datterselskaber med egen IT: mandat, adgang og omfang, når koncernen ikke har indsigt i det hele
- Datterselskabets egen bestyrelse: selskabslovens § 115 gælder i hvert selskab
- Udenlandske enheder i målingen: sprog, lokal ledelse og sammenlignelighed
- Hvor mange enheder skal besøges? Stikprøve af lokationer og selskaber
- Koncernpolitik og lokal praksis: sådan måles afstanden
- Fælles tjenester og shared service: hvem ejer kontrollen, og hvem ejer fundet?
- Koncernens baseline: minimumskrav til alle enheder og dispensationerne fra dem
- Den svageste enhed: når ét selskab bærer koncernens risiko
- Rangliste over enhederne: gavner eller skader den interne sammenligning?
- Kun nogle selskaber er NIS2-omfattede: ét målesystem med to niveauer
- Joint ventures og minoritetsposter: måling uden bestemmende indflydelse
- Enhederne med i målingen: det, I melder ud, og hvordan lokale IT-chefer bliver medspillere
- Selvrapportering fra enhederne med central stikprøvekontrol
- Skygge-IT i forretningsenhederne: det, ingen har meldt ind
- Små enheder i en stor koncern: hvor meget kan man kræve af et kontor med ti ansatte?
- Hvem må se enhedernes resultater? Fortrolighed inde i koncernen
D. Opkøbte selskaber, frasalg og ejere (058 til 061)
Temasiden: Opkøbte selskaber, frasalg og ejere
- Det opkøbte selskab i måleserien: første måling, målniveau og hvornår det tæller med i koncerntallet
- Opkøbte selskaber, der aldrig blev integreret
- Overgangsperioden efter et frasalg: hvem måler sikkerheden, mens systemerne stadig er delt?
- Kapitalfonden som ejer: ensartet måling af selskaber, der ikke deler IT
E. Den interne audit-funktion og de tre linjer (062 til 078)
Temasiden: Den interne audit-funktion og de tre linjer
- Tre linjer efter IIA’s model: hvor CISO, compliance, intern revision og den eksterne vurdering står
- Når anden linje måler sig selv: uafhængighed i modenhedsmålingen
- Intern revision og ekstern sikkerhedsvurdering: arbejdsdelingen
- IIA’s Cybersecurity Topical Requirement: det, intern revision skal vurdere fra 5. februar 2026
- Global Internal Audit Standards: fem domæner og bestyrelsens rolle over for intern revision
- Ekstern kvalitetsvurdering af intern revision hvert femte år: hvad den siger om cyberrevisionen
- Skal vi have intern revision? Revisionsudvalgets vurdering af behovet
- Revisorlovens § 31: hvad revisionsudvalget skal overvåge, og hvor cybersikkerheden falder udenfor
- Egen cyberrevisionskapacitet, fælles løsning med eksterne eller rent køb
- Må intern revision rådgive om det, den senere skal revidere?
- Assurance-kortet: hvem giver hvilken sikkerhed for hvilket område?
- Finansiel virksomhed: intern revision er pligt fra 125 fuldtidsansatte, og hvad den skal dække
- DORA artikel 6: årlig gennemgang, intern revision og opfølgningsproces, og hvad koncernens måling kan levere til dem
- DORA artikel 5, stk. 2, litra f: bestyrelsen godkender IKT-revisionsplanen
- Revisors påtegning og IT-revision: hvad bestyrelsen ikke kan slutte om cybersikkerheden
- CISO’s rapporteringslinje som auditpunkt: adgang til direktion og bestyrelse
- Lukning af fund i tre linjer: hvem verificerer hvad?
F. Auditprogram over flere år (079 til 094)
Temasiden: Auditprogram over flere år
- Flerårig auditplan: rullende dækning af koncernen
- Risikobaseret udvælgelse: sådan vælges årets auditområder
- ISO 19011:2026 for den, der styrer et auditprogram
- Auditprogrammets egne nøgletal: dækning, gennemløbstid og lukkede fund
- Afgrænsning af en koncernvurdering: enheder, systemer, lokationer og spørgsmål
- Bred eller dyb: hele koncernen let eller få enheder grundigt?
- Hvad påvirker omfanget af en koncernvurdering, og hvordan får I et tilbud?
- Hvem bestiller: bestyrelse, revisionsudvalg, direktion eller CISO?
- Auditkalenderen: koordinering med intern revision, revisor og kunders kontrolbesøg
- Måling midt i en forandring: ERP-skifte, reorganisering eller outsourcing
- Forretningsprocesser som udgangspunkt for omfanget i stedet for systemlisten
- Dokumentanmodningen til en koncernvurdering: det materiale, der bedes om først
- Vurdering uden en samlet aktivoversigt
- Samme auditor hvert år eller skift? Kontinuitet i måleserien mod friske øjne
- Valg af auditor til en koncernvurdering: spørgsmål til tilbuddet
- Tilbud på en modenhedsvurdering: skala, bevisdybde, antal enheder og leverancer
G. Typiske fund i store organisationer (095 til 106)
Temasiden: Typiske fund i store organisationer
- De hyppigste fund i modenhedsvurderinger af koncerner
- Uklart ansvar mellem koncern-CISO og enhederne
- Adgangsstyring i stor skala som procesfund: rolleskift og rettigheder, der hober sig op
- Systemer uden for support og teknisk gæld: sådan vurderes og rapporteres det til ledelsen
- Leverandørlandskabet i koncernen: ingen har det samlede overblik
- Beredskabsplaner pr. enhed, der ikke hænger sammen på koncernniveau
- Hændelser, der ikke når koncernen: eskalering fra enhed til hovedkontor
- Lokale risikoregistre, der ikke kan lægges sammen
- Sikkerhed, der kommer for sent ind i projekter og ændringer
- Overvågning med huller: enheder og systemer, ingen holder øje med
- Sikkerhedsfunktionen er for lille til opgaven
- Gentagne fund: hvorfor det samme står i rapporten år efter år
H. Nøgletal og rapportering til bestyrelse og revisionsudvalg (107 til 128)
Temasiden: Nøgletal og rapportering til bestyrelse og revisionsudvalg
- Nøgletal, ingen kan handle på
- Nøgletal mellem to vurderinger
- NIST SP 800-55 fra 2024: sådan vælges og prioriteres målinger
- ISO/IEC 27004: standarden om overvågning, måling, analyse og evaluering
- Tolerancer: hvornår er et nøgletal rødt, og hvem bestemmer det?
- Kvartalsrapporten om cybersikkerhed i en koncern: fast struktur og fast måleserie
- Dækningsgrad som nøgletal: nævneren er problemet
- Tid til at lukke kritiske sårbarheder som nøgletal
- Rapportens opbygning: koncernbillede, enhedsbilleder og fundliste
- Spindelvæv og heatmap: hvad de viser, og hvor de vildleder
- Ét tal til bestyrelsen: kan modenhed koges ned til én score?
- Modenhedsvurderingen i bestyrelsen: beslutninger om målniveau og ressourcer
- Scoren i revisionsudvalget: opfølgning mellem bestyrelsesmøderne
- Én vurdering, flere rapporter: bestyrelse, direktion, enhedsledere og teknikere
- Alvorlighedsgrader for fund, der virker på tværs af enheder
- Når enheden er uenig i sin score
- Modenhedsprofilen udadtil: en nuværende profil som svar til kunder og partnere
- Bestyrelsesforeningens anbefalinger om cybersikkerhed som tjekliste for rapporteringen
- Den britiske Cyber Governance Code of Practice som målestok for bestyrelsens eget arbejde
- Selskabslovens § 115: risikostyring og interne kontroller som bestyrelsens opgave, og hvad en måling dokumenterer
- Redegørelsen for virksomhedsledelse efter årsregnskabslovens § 107 b: hvad der skal stå om kontrol- og risikostyringssystemer
- Dansk koncern med notering i USA: de årlige oplysninger om cyberrisiko, styring og bestyrelsens tilsyn
I. Benchmark mod branchen (130 til 133)
Temasiden: Benchmark mod branchen
- Sammenligning med andre virksomheder: hvilke tal findes, og hvad kan de bære?
- ENISA’s NIS Investments 2025 som benchmark for bemanding og prioriteringer
- ENISA NIS360: sektorernes modenhed og kritikalitet som pejlemærke
- Danmarks Statistiks tal om virksomhedernes it-sikkerhed: hvad de siger om de største
J. Budget, prioritering og måling over tid (135 til 148)
Temasiden: Budget, prioritering og måling over tid
- Prioritering af anbefalinger: risiko, indsats og afhængigheder
- Fra rapport til flerårig køreplan med målniveauer
- Fra modenhedsgab til investeringssag
- Følger pengene fundene? Sikkerhedsbudgettet holdt op mod de laveste scorer
- Hvem betaler for at lukke enhedens fund: central pulje eller lokalt budget?
- Risikoaccept af fund: hvem må acceptere hvad i en koncern?
- Fundregistret for hele koncernen: ejer, frist og status ét sted
- Måling over tid: sammenlign år for år uden at snyde jer selv
- Når scoren falder: sådan forklares et tilbageskridt
- Genvurdering: fuld gentagelse eller kun de områder, der har flyttet sig?
- Opfølgende måling i de enheder, der halter
- Modenhedsscore i enhedsledernes mål og bonus
- Outsourcing af driften: mål niveauet før og efter overdragelsen
- Centralisering af IT og sikkerhed: mål før og efter
Senest gennemgået: november 2026.
Næste skridt
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
Skal modenheden i jeres koncern måles?
Skriv kort, hvilke enheder det drejer sig om, og hvad der sætter det i gang. Så vender jeg tilbage. Målingen er uvildig og uafhængig, og Nielco IT har ingen forhandleraftaler.
