Den britiske Cyber Assessment Framework, CAF, spørger, om en organisation når bestemte resultater, og lader den, der vurderer, bruge bevis og fagligt skøn. I stedet for modenhedstrin har den en minimumsprofil, som fastsættes af det organ, der fører tilsyn.
For en dansk koncern er CAF et alternativ til trinmodellerne. Den er skrevet til et andet land og en anden tilsynsordning, så brugen herhjemme er en frivillig målestok og vores anvendelse.
Version og opbygning
Rammen udgives af det britiske National Cyber Security Centre, NCSC. Den aktuelle udgave er version 4.0. NCSC’s samlingsside angiver en udgivelse den 18. april 2024, mens et blogindlæg fra den 6. august 2025 omtaler, at version 4.0 er udgivet. Datoerne stemmer ikke overens, og vi angiver derfor ingen udgivelsesdato. Siden blev senest gennemgået af NCSC den 30. oktober 2026.
- Udgiver · NCSC, Storbritannien
- Mål · 4
- Principper · 14
- Bidragende resultater · 41
- Bedømmelse · Achieved, partially achieved, not achieved
- Vurderingsform · Bevis og faglig vurdering
- Profil · Minimumsniveau fastsat af tilsynsorganet
- Certificering · Nej
De fire mål er at styre sikkerhedsrisikoen, at beskytte mod cyberangreb, at opdage cybersikkerhedshændelser og at begrænse virkningen af hændelser. Under dem ligger 14 principper og 41 individuelle vurderinger, som rammen kalder bidragende resultater.
Resultater frem for trin
NCSC beskriver CAF som en resultatbaseret ramme. Bedømmelsen hviler på dokumentation og den vurderendes skøn og er ikke tænkt som afkrydsning. Rammen har vejledende indikatorer for god praksis, men NCSC skriver, at de ikke er en tjekliste til brug i en ufleksibel vurderingsproces.
Hvert bidragende resultat bedømmes som opnået, delvis opnået eller ikke opnået. Det er en anden form for skala end i trinmodellerne. Den spørger ikke, hvor forankret en praksis er. Den spørger, om resultatet er nået. Forskellen mellem at måle proces og at måle resultat er emnet i proces eller resultat.
Profilerne
En CAF-profil fastsætter et minimumsniveau for, hvad der skal være opnået. NCSC har en Core Profile, som er udviklet af tilsynsmyndigheder, regering og NCSC. Målene fastsættes af det relevante tilsynsorgan for cybersikkerhed.
NCSC skriver to ting om profilerne, som er værd at bemærke. At opnå Core Profile fjerner ikke cyberrisikoen. Og profilen er noget, der skal holdes ved lige år efter år. Desuden udsteder ingen et certifikat på baggrund af CAF.
CAF i en dansk koncern
CAF er lavet til britiske udbydere af væsentlige tjenester og deres tilsyn. En dansk koncern er ikke underlagt den. Den kan alligevel bruge rammen som målestok, og det kan give mening i tre situationer. Situationerne er vores vurdering.
Når koncernen vil måle resultater. CAF egner sig, når ledelsen spørger, om koncernen kan opdage og begrænse en hændelse, og mindre, om processerne er dokumenteret.
Når faglig vurdering er en del af metoden. CAF forudsætter, at den, der vurderer, har faglig indsigt og bruger sit skøn. Det passer til en vurdering med erfarne interne eller eksterne vurderingsfolk.
Når koncernen har britiske selskaber. Et selskab, der i forvejen arbejder med CAF over for en britisk tilsynsmyndighed, kan bruge sine resultater i koncernens måling, hvis koblingen til koncernens ramme er beskrevet.
Profilen som koncernens gulv
Tanken bag CAF-profilen kan overføres til en koncern. Koncernen kan fastsætte en minimumsprofil, som alle enheder skal opnå, og eventuelt en skærpet profil for de mest kritiske. Det svarer til den måde, NCSC lader tilsynsorganet sætte niveauet. I koncernen er det ledelsen, der sætter det. Det er vores overførsel af tanken og ikke noget, CAF beskriver for virksomheder.
En fordel ved denne model er, at den tvinger koncernen til at beskrive, hvad der er godt nok, i stedet for at stile mod det højeste trin. En ulempe er, at en tredelt bedømmelse giver færre nuancer i en måleserie end en skala med flere trin. Det kan gøre det svært at se små forbedringer fra år til år.
Faglig vurdering og sammenlignelighed
Rammens styrke er også dens udfordring i en koncern. Faglig vurdering giver et mere retvisende billede af den enkelte enhed, men den kan variere mellem dem, der vurderer. Det følgende er praksis. Vil koncernen sammenligne enheder efter CAF, bør den sikre, at de samme personer eller et fast hold vurderer alle enheder, at bevisgrundlaget for hver bedømmelse dokumenteres, og at grænsetilfælde drøftes på tværs, før bedømmelsen låses.
CAF ved siden af en trinmodel
CAF kan også bruges sammen med en trinmodel i stedet for at erstatte den. En mulig fordeling er, at trinmodellen bruges til at følge forankringen af processerne år for år, mens CAF’s resultatspørgsmål bruges til at teste, om de vigtigste resultater faktisk er nået. Så kan bestyrelsen se både, om organisationen bliver bedre til at styre sikkerheden, og om den kan det, der betyder mest, når en hændelse rammer. Det kræver en kobling mellem de to, så de samme områder ikke vurderes to gange med forskelligt bevis.
Hvad det kræver, og hvad det koster at lade være
Det kræver vurderingsfolk med faglig indsigt, en profil, som ledelsen har fastsat, og en dokumentation af beviset bag hver bedømmelse. Det kræver også, at koncernen accepterer, at rammen ikke er lavet til danske forhold, og beskriver, hvordan den bruges.
Bruges CAF uden faste vurderingsfolk og dokumenteret bevis, kan to enheder med samme virkelighed få forskellige bedømmelser. Så mister koncernen den sammenlignelighed, en fælles målestok skulle give.
Det skal I lade være med
- At bruge de vejledende indikatorer som tjekliste · NCSC fraråder det.
- At læse en opnået profil som fravær af risiko · NCSC skriver, at den ikke fjerner risikoen.
- At angive en bestemt udgivelsesdato for version 4.0 · NCSC’s egne kilder er uens.
Det skal gennemgangen kunne vise
- ☐ Den profil, koncernen har fastsat, med begrundelse.
- ☐ Bedømmelsen af hvert bidragende resultat med dokumenteret bevis.
- ☐ Hvem der har vurderet, og hvordan grænsetilfælde er afgjort.
- ☐ En kobling til koncernens øvrige ramme, hvis CAF bruges ved siden af.
Kilder
- NCSC, Cyber Assessment Framework, læst 14. november 2026.
- NCSC, Introduction to the CAF, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv for jeres fem vigtigste sikkerhedsområder, hvilket resultat der ville være godt nok, uden at bruge et trin.
Læs også: Høj modenhed er ikke det samme som høj sikkerhed · Ét framework for hele koncernen eller flere?
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
