C2M2 er en modenhedsmodel for cybersikkerhed fra det amerikanske energiministerium. Version 2.1 fra juni 2022 har ti domæner, 356 praksisser og fire niveauer fra MIL0 til MIL3, og ministeriet skriver, at den kan bruges af enhver organisation, uanset størrelse, type eller branche.
Modellen er udviklet med energisektoren, og det kan ses i eksemplerne. Det gør den særlig relevant for koncerner, der har både kontor-IT og anlæg, produktion eller forsyning, og som vil måle de to verdener med samme målestok.
Opbygningen
- Udgiver · U.S. Department of Energy
- Version og dato · 2.1, juni 2022
- Domæner · 10
- Praksisser · 356
- Niveauer · MIL0, MIL1, MIL2, MIL3 pr. domæne
- Svarskala pr. praksis · Not, Partially, Largely, Fully Implemented
- Vurderingsform · Selvevaluering i workshop
- Værktøjer · Uden licensbetaling for alle organisationer
Domænerne spænder fra styring af aktiver og konfiguration over arkitektur, identitet, trusler og tredjeparter til hændelser, kontinuitet, risiko, medarbejdere og selve sikkerhedsprogrammet. Programsiden blev senest opdateret den 8. oktober 2026 og omtaler fortsat version 2.1.
Niveauerne
Modellen har fire niveauer for hvert domæne. På MIL0 sker der intet af det, domænet beskriver. MIL1 svarer til, at de grundlæggende ting gøres, gerne uden fast form. MIL2 lægger dokumentation og ressourcer til og kræver mere fuldstændige praksisser. MIL3 kræver desuden politik, placeret ansvar, de rette kompetencer og en løbende vurdering af, om indsatsen virker.
Niveauerne er kumulative. Et domæne er først på MIL2, når praksisserne på både MIL1 og MIL2 er udført. Kun svarene Largely og Fully Implemented får en praksis til at tælle med. Niveauerne gælder hvert domæne for sig, så en organisation kan stå på MIL3 i ét domæne og MIL1 i et andet.
Modellen skelner mellem to former for udvikling. Den ene handler om, hvor komplet en praksis er. Den anden handler om, hvor godt den er forankret i ledelse og styring. Begge indgår i niveauerne.
Ad hoc og de dygtige folk
Ad hoc betyder i C2M2, at det står og falder med den enkelte medarbejder. Modellen lægger ikke skjul på, at en dygtig og erfaren person kan levere gode resultater på den måde. Svagheden er, at viden ikke samles op i organisationen, og at praksis forsvinder, når personen gør.
For en koncern er det en vigtig pointe. Et lille selskab kan have en sikker drift, fordi én person gør tingene rigtigt. Det vil stå lavt i C2M2. Den lave score siger noget om sårbarheden ved personafhængighed. Den siger ikke, at driften i dag er usikker.
Målprofilen
C2M2 er tydelig om ambitionen. Ifølge modellen er topniveauet i hvert eneste domæne ikke altid det rigtige mål, og prisen for et givet niveau bør vejes mod gevinsten. Alle virksomheder bør efter modellen kunne nå MIL1 i alle domæner.
En målprofil er det ønskede niveau for hvert domæne. Ved første brug fastsættes den typisk efter den første selvevaluering. Det gør modellen brugbar i en koncern, hvor enhederne kan have forskellige mål, så længe MIL1 er det fælles gulv.
Hvad der vurderes
Det, C2M2 vurderer, kalder modellen en function. Det kan være en afdeling, et forretningsområde, et anlæg eller aktiver, processer og ressourcer, der styres eksternt, fx i en cloud. Modellen anbefaler et omfang, der styres ensartet, og at man finder det mindste antal selvevalueringer, der stadig giver et retvisende billede.
Omfanget kan omfatte IT, OT og informationsaktiver. I arkitekturdomænet findes fx en praksis om, at driften af OT kan fortsætte uafhængigt af IT. Det er den slags praksis, der gør modellen relevant for koncerner med produktion.
Selvevalueringen
Vurderingen sker i en workshop med åben dialog og konsensus. Rapporten giver et øjebliksbillede, og modellen gør opmærksom på, at den kan være følsom. Selvevalueringen bør gentages periodisk og ved store ændringer.
Værktøjerne er ifølge modellen til rådighed uden licensbetaling for alle organisationer og gemmer data lokalt. Energiministeriets vederlagsfrie støtte til at gennemføre vurderingen gælder amerikanske energivirksomheder og er derfor ikke relevant for en dansk koncern.
Hvor modellen passer i en koncern
C2M2 passer godt, når koncernen har enheder med anlæg eller produktion og vil undgå at måle dem med en ramme, der er skrevet til kontoret. Den passer også, når koncernen vil have et niveau pr. domæne frem for en profil pr. resultat. Modellen er mere omfattende end mange alternativer, og en workshop pr. function kræver tid fra både drift og ledelse.
Danske energiselskaber er underlagt egne regler med egne niveauer. Sektorregler med tilsyn fra det offentlige gennemgås under det offentliges regler og tilsyn. C2M2 er en frivillig målestok ved siden af dem. Hvordan OT måles, så fabrik og kontor kan sammenlignes, står i modenhed i produktion og OT.
Hvad det kræver, og hvad det koster at lade være
Det kræver en beslutning om, hvilke functions der vurderes, deltagere fra både drift og ledelse i workshoppen og en målprofil, som ledelsen har godkendt. Det kræver også, at konsensus i workshoppen suppleres med bevis, hvis resultatet skal sammenlignes på tværs af enheder.
Vælges modellen uden at afgrænse omfanget, ender koncernen med for mange eller for få vurderinger. For mange tager tid uden at give mere viden. For få blander enheder, der styres forskelligt, og så siger niveauet ikke noget præcist om nogen af dem.
Det skal I lade være med
- At sætte MIL3 som mål i alle domæner · modellen fraråder det selv.
- At læse et lavt niveau som usikker drift · det kan være personafhængighed i en drift, der virker.
- At regne med energiministeriets støtte · den gælder amerikanske energivirksomheder.
Det skal gennemgangen kunne vise
- ☐ En begrundet afgrænsning af de functions, der er vurderet.
- ☐ Niveau pr. domæne og den målprofil, ledelsen har godkendt.
- ☐ Deltagerlisten fra workshoppen.
- ☐ Bevis for de praksisser, der er vurderet som Fully eller Largely Implemented.
- ☐ Dato for næste selvevaluering.
Kilder
- U.S. Department of Energy, Cybersecurity Capability Maturity Model (C2M2) Version 2.1, juni 2022, afsnit 3.1, 3.2, 4 og 5, læst 14. november 2026.
- U.S. Department of Energy, programside for C2M2, opdateret 8. oktober 2026, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv de enheder op, der har anlæg eller produktion, og vurder, om de måles med en ramme, der passer til dem.
Læs også: Målniveau pr. område · Skalaen: tre, fire eller fem trin
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
