Benchmark mod branchen

Før eller siden spørger et bestyrelsesmedlem, hvordan koncernen ligger i forhold til andre. Spørgsmålet er rimeligt, men svaret er sværere, end det lyder. De offentlige tal, der findes, måler andre ting end koncernens egen score, hos andre virksomheder og med en anden metode. Artiklerne her gennemgår de kilder, en dansk virksomhed kan bruge, og siger for hver, hvad den kan bære, og hvor den holder op med at sige noget. Kilderne beskrives med udgave og år, og tallene gengives kun, hvor de ikke handler om budget.

Temaet er skrevet til CISO, der skal svare på spørgsmålet, og til bestyrelsen, der skal forstå svaret.

De offentlige tal

• Sammenligning med andre virksomheder: hvilke tal findes, og hvad kan de bære? Tre offentlige kilder og deres grænser.
• ENISA’s NIS Investments 2025 som benchmark for bemanding og prioriteringer Bemanding og prioriteringer i EU.
• ENISA NIS360: sektorernes modenhed og kritikalitet som pejlemærke Sektorernes placering som pejlemærke.
• Danmarks Statistiks tal om virksomhedernes it-sikkerhed: hvad de siger om de største Tal, der mest siger noget om bunden.

Sådan bruges en sammenligning

En sammenligning med branchen kan give baggrund for en drøftelse. Den kan vise, at sektoren som helhed er svag på et område, eller at virksomheder af samme størrelse næsten alle har de grundlæggende tiltag på plads. Det er nyttigt, når bestyrelsen skal forstå omgivelserne. Det er mindre nyttigt som mål. Koncernens målniveau skal bygge på dens egen risiko og dens egne krav, og et gennemsnit for en sektor siger intet om den enkelte virksomheds forbindelser, leverandører eller historie.

Den mest pålidelige sammenligning er ofte den, koncernen laver med sig selv. En måleserie med fast metode viser udviklingen år for år, og en sammenligning mellem enhederne viser, hvor forskellene er størst. Det kræver, at metoden holdes fast, som beskrevet under måling over tid.

Hvad det kræver, og hvad det koster at lade være

En brugbar sammenligning kræver, at nogen har læst kilden og ved, hvem der er spurgt, hvad der er spurgt om, og hvornår. Den kræver også, at sammenligningen præsenteres med sine forbehold, så bestyrelsen ikke læser et sektortal som en karakter til koncernen.

Bruges branchetal uden forbehold, kan bestyrelsen få et falsk indtryk af at ligge godt eller skidt. Et gennemsnit kan blive til et mål, der hverken passer til koncernens risiko eller til dens krav, og indsatsen flyttes mod det, der er let at sammenligne.

Det skal I lade være med

• At sætte koncernens score ved siden af et sektortal · de er målt forskelligt.
• At bruge et gennemsnit som målniveau · målet følger egen risiko.
• At citere en undersøgelse uden udgave og år · tallene forældes.
• At bruge budgettal fra undersøgelser som rettesnor · prioriteringen hører til risikoen.

Det skal gennemgangen kunne vise

• ☐ Hvilke eksterne kilder der er brugt, med udgave og år.
• ☐ Hvilke forbehold der er nævnt over for bestyrelsen.
• ☐ Hvordan målniveauet er sat ud fra koncernens egen risiko.
• ☐ Hvordan den interne sammenligning mellem enhederne er lavet.

Senest gennemgået: november 2026.

Næste skridt

• Sammenligning med andre virksomheder
• ENISA NIS360

Læs også: Bestyrelse og revisionsudvalg · Koncernen på tværs af enheder

→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT