CIS Controls v8.1 deler sine foranstaltninger i tre implementeringsgrupper, IG1, IG2 og IG3, efter virksomhedens risikoprofil og ressourcer. CIS anbefaler, at alle starter med IG1, og det gør grupperne brugbare som et fælles gulv i en koncern, hvor enhederne ellers er meget forskellige.
Grupperne er CIS’ vejledning i at prioritere. At bruge dem som differentieret minimumskrav pr. enhed er vores anvendelse, og den skal beskrives tydeligt, før enhederne måles efter den.
Hvad version 8.1 er
CIS Controls består af 18 Controls med i alt 153 Safeguards, både i version 8 og 8.1. CIS beskriver v8.1 som en gentagende opdatering af v8. Den har fået en ny sikkerhedsfunktion, Govern, og tilknytningen til funktioner er lagt om efter NIST CSF 2.0. Aktivklasserne er revideret, ordlisten har fået nye definitioner, og en række Safeguards er præciseret. Ifølge CIS vil de fleste brugere næppe mærke forskel. Siden om v8.1 angiver ingen udgivelsesdato.
For en koncern, der allerede måler efter v8, betyder det, at måleserien kan fortsætte. Ændringen af funktionerne har dog betydning, hvis rapporten grupperer resultaterne efter funktion. Hvordan et versionsskift håndteres i en serie, står i skift af ramme midt i en måleserie.
De tre grupper
- IG1 · CIS’ beskrivelse: Væsentlig cyberhygiejne · Anvendelse i en koncern (vores forslag): Gulv for alle enheder, uanset størrelse
- IG2 · CIS’ beskrivelse: Bygger oven på IG1 · Anvendelse i en koncern (vores forslag): Enheder med større risiko, flere systemer eller særlige krav
- IG3 · CIS’ beskrivelse: Omfatter alle Controls og Safeguards · Anvendelse i en koncern (vores forslag): Enheder med kritisk drift eller høj eksponering
CIS kalder grupperne den anbefalede vejledning i at prioritere gennemførelsen. Grundlaget er den risikoprofil og de ressourcer, virksomheden har til rådighed. Grupperne er kumulative: IG2 indeholder IG1, og IG3 indeholder det hele.
Hvor mange Safeguards der hører til hver gruppe, står kun i en grafik på CIS’ side. Vi har ikke kunnet læse tallene i tekst og gengiver dem ikke. Slå dem op i den aktuelle udgave, før I bruger dem i en rapport.
IG1 som gulv for alle
CIS’ anbefaling om, at enhver virksomhed bør starte med IG1, passer godt til en koncerns behov for et fælles minimum. Et salgskontor med få ansatte og en fabrik med kritisk produktion skal begge kunne vise den grundlæggende hygiejne. IG1 giver en ens liste, som kan måles ens.
Det følgende er praksis. Vil koncernen bruge IG1 som gulv, skal tre ting fastlægges:
- Hvad opfyldt betyder. Skal en Safeguard være gennemført fuldt ud i hele enheden, eller tæller delvis gennemførelse? Skriv reglen ned, før målingen starter.
- Hvilket bevis der kræves. Et ja i et skema, en gennemgået procedure eller en stikprøve i systemerne. Bevisniveauet skal være det samme i alle enheder.
- Hvad der sker, når gulvet ikke nås. En plan med frist, en registreret dispensation eller en eskalering til koncernledelsen.
Uden de tre regler bliver IG1 en fælles liste, som hver enhed læser på sin egen måde.
IG2 og IG3 efter risikoprofil
Koncernen kan tildele hver enhed en målgruppe ud over gulvet. CIS knytter valget til risikoprofil og ressourcer. I en koncern er det naturligt at lægge beslutningen centralt, så en enhed ikke selv vælger den laveste gruppe for at stå pænt.
En mulig fremgangsmåde er at vurdere hver enhed på få faste kriterier, fx kritikaliteten af dens drift, mængden af følsomme data, eksponeringen mod internettet og de krav, enheden er omfattet af. Vurderingen afgør, om enheden skal stile mod IG2 eller IG3. Kriterierne er vores forslag, ikke CIS’. Begrundelsen skal stå ved enheden, så tildelingen kan efterprøves og genovervejes ved næste måling.
Ens måling på tværs af forskellige mål
Når enhederne har forskellige målgrupper, kan scoren ikke vises som ét tal pr. enhed uden forklaring. En enhed, der har nået hele IG1 og intet mere, kan være i mål, hvis IG1 er dens målgruppe. En anden enhed kan have nået mere og stadig være bagud, fordi den skal nå IG3.
Vis derfor to ting pr. enhed: graden af opfyldelse af gulvet og graden af opfyldelse af den tildelte målgruppe. Så kan bestyrelsen se, at alle har den fælles hygiejne, og hvor langt hver enhed er fra sit eget mål. Den tekniske kontrol af de enkelte Safeguards hører til de tekniske kontrolpunkter. Den almene auditmetode ligger i sikkerhedsauditten.
Hvad grupperne ikke afgør
Implementeringsgrupperne siger, hvilke Safeguards der bør prioriteres. De siger ikke, hvor godt en Safeguard virker, eller om den dækker hele enheden. To enheder kan begge have opfyldt en Safeguard om opdatering af software, mens den ene dækker alle systemer og den anden kun kontorets pc’er. Det er afgrænsningen og bevisreglerne, der fanger forskellen, ikke grupperne.
Hvad det kræver, og hvad det koster at lade være
Det kræver en central beslutning om gulvet, en begrundet tildeling af målgruppe til hver enhed, fælles bevisregler og en rapport, der viser opfyldelse af gulvet adskilt fra opfyldelse af målet. Desuden skal en navngiven person følge CIS’ udgivelser og rette koncernens liste til.
Uden det vælger enhederne selv deres ambition, og koncernen får et billede, hvor lav ambition ligner høj opfyldelse. Den fælles hygiejne bliver ikke målt ens, og de enheder med størst risiko kan gemme sig bag en pæn procentdel af en for lille liste.
Det skal I lade være med
- At lade enhederne vælge deres egen implementeringsgruppe · tildelingen hører til koncernen.
- At gengive antal Safeguards pr. gruppe uden at have læst den aktuelle udgave · tallet står kun i en grafik.
- At vise ét samlet tal pr. enhed · gulv og målgruppe skal ses hver for sig.
Det skal gennemgangen kunne vise
- ☐ En koncernbeslutning om IG1 som gulv og reglen for, hvornår en Safeguard er opfyldt.
- ☐ En begrundet målgruppe for hver enhed.
- ☐ Bevisniveauet bag hver vurdering.
- ☐ Opfyldelse af gulv og målgruppe vist hver for sig.
- ☐ Den CIS-version, målingen bygger på.
Kilder
- Center for Internet Security, CIS Controls v8.1, læst 14. november 2026.
- Center for Internet Security, CIS Controls Implementation Groups, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv for hver enhed, hvilken implementeringsgruppe den i dag reelt måles mod, og hvem der har besluttet det.
Læs også: CIS CSAT og hvad en score fra værktøjet dækker · Små enheder i en stor koncern
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
