Har koncernen allerede en måling af IT-styringen efter COBIT 2019, overlapper den med en del af det, en sikkerhedsvurdering vil se på. Grænsen bør trækkes, før sikkerhedsmålingen starter, så de samme ledere ikke svarer på de samme spørgsmål to gange, og så de to resultater ikke modsiger hinanden.
COBIT og sikkerhedsrammerne har hver deres formål. Overlappet ligger især i styringen: strategi, ansvar, politik og ledelsens opfølgning.
Hvad vi ved om COBIT 2019
ISACA, som udgiver COBIT, beskriver på sin side, læst den 14. november 2026, COBIT 2019 som en ramme for styring af virksomhedens IT. Rammen har 40 mål for styring og ledelse. Den har også et fokusområde for informationssikkerhed med sikkerhedsspecifikke praksisser og målepunkter. Siden nævner ingen nyere version end 2019.
Selve COBIT-materialet har vi ikke læst. Det er medlems- eller købsmateriale. Vi har heller ikke set rammens skala for kapabilitet eller modenhed i kilden og beskriver den derfor ikke. Digitaliseringsstyrelsens vejledning fra 2016 nævner modenhedsniveauer i COBIT, men henvisningen gælder en ældre udgave og bruges ikke her.
Det betyder, at det følgende handler om, hvordan en koncern afgrænser to målinger mod hinanden. Det handler ikke om COBIT’s indhold i detaljer. Den, der ejer koncernens COBIT-måling, kender de mål og praksisser, den bygger på, og kan bruge fremgangsmåden nedenfor.
Hvor overlappet typisk ligger
Sikkerhedsrammerne har fået et stærkere styringsspor. NIST CSF 2.0 fra februar 2024 har funktionen Govern med kategorier om kontekst, risikostrategi, roller og ansvar, politik, tilsyn og forsyningskæde. CIS Controls v8.1 har også fået en Govern-funktion. Det er områder, som en måling af IT-styringen ofte også dækker.
- Strategi og mål · Typisk i IT-styringsmålingen: IT’s bidrag til forretningen · Typisk i sikkerhedsmålingen: Risikoappetit og prioriteter for cyberrisiko
- Roller og ansvar · Typisk i IT-styringsmålingen: Ejerskab af IT-processer · Typisk i sikkerhedsmålingen: Ansvar for cyberrisiko på alle niveauer
- Politik · Typisk i IT-styringsmålingen: IT-politikker generelt · Typisk i sikkerhedsmålingen: Sikkerhedspolitik og dens håndhævelse
- Leverandører · Typisk i IT-styringsmålingen: Styring af IT-leverandører · Typisk i sikkerhedsmålingen: Sikkerhedskrav i forsyningskæden
- Ledelsens opfølgning · Typisk i IT-styringsmålingen: IT-præstation · Typisk i sikkerhedsmålingen: Præstation i styringen af cyberrisiko
Tabellen er vores illustration og ikke en kobling mellem rammerne. Den viser, at overlappet sjældent er fuldt. De to målinger spørger om de samme emner, men med forskellig vinkel.
Tre måder at undgå dobbeltmåling
Det følgende er praksis.
- Fælles bevis, separat vurdering. De samme dokumenter, fx referater fra ledelsens møder og ansvarsfordelingen, indsamles én gang og bruges i begge målinger. Hver måling vurderer dem efter sin egen målestok.
- Klar fordeling af emner. Koncernen beslutter, at nogle emner kun vurderes i den ene måling. Fx kan ejerskabet af IT-processer ligge i styringsmålingen, mens ansvaret for cyberrisiko ligger i sikkerhedsmålingen.
- Fælles interview. Ledelsesinterviewet planlægges, så spørgsmålene fra begge målinger stilles i samme samtale, og svarene noteres til begge.
Den første er den mest robuste. Den sparer ledelsens tid uden at blande målestokkene sammen.
Når resultaterne peger hver sin vej
Det sker, at styringsmålingen giver et godt resultat for politik og ansvar, mens sikkerhedsmålingen finder huller i de samme emner. Det behøver ikke være en fejl. Styringsmålingen kan have set, at politikken findes og er godkendt. Sikkerhedsmålingen kan have set, at den ikke er kendt eller fulgt i enhederne.
Forklaringen skal stå i rapporten. Ellers ser bestyrelsen to tal, der modsiger hinanden, og mister tilliden til begge. En note, der siger, hvad hver måling har set, og hvorfor resultaterne er forskellige, er ofte nok.
Hvem ejer grænsen
Grænsen mellem de to målinger bør ejes af én funktion. Ofte ligger IT-styringsmålingen hos IT-direktøren eller intern revision, mens sikkerhedsmålingen ligger hos CISO. Uden en fælles aftale planlægger de hver for sig, og enhederne oplever to målinger, der stiller næsten de samme spørgsmål med få måneders mellemrum.
En mulig regel er, at de to målinger har en fælles plan for dokumentanmodning og interviews, og at ejerne mødes, før rapporterne går til ledelsen, for at afstemme forskelle. Hvordan målingerne lægges i en fælles kalender med intern revision og revisor, står i auditkalenderen.
Interne kontroller og sikkerhedskontroller
NIST IR 8286r1 fra december 2025 holder to slags kontroller ude fra hinanden: de interne kontroller, som COSO beskriver, og sikkerhedskontrollerne. Skelnen er nyttig her. En IT-styringsmåling er ofte tæt knyttet til de interne kontroller, revisionen interesserer sig for. En sikkerhedsmåling ser på kontroller, der beskytter mod cyberrisiko. De to kan pege på det samme, men de svarer på forskellige spørgsmål.
Et tænkt forløb
En koncern måler IT-styringen hvert andet år og sikkerhedsmodenheden hvert år (tænkt eksempel). Det år, hvor begge målinger falder, aftaler ejerne én fælles dokumentanmodning og ét interview med direktionen. Styringsmålingen vurderer, om ansvaret for IT-processerne er fordelt og fulgt. Sikkerhedsmålingen vurderer, om ansvaret for cyberrisiko er fordelt, og om ledelsen har fulgt op på sidste års fund. Begge rapporter henviser til samme bilag med referater og ansvarsfordeling. Direktionen bruger én samtale i stedet for to, og bestyrelsen får to rapporter, der forklarer hinanden.
Hvad det kræver, og hvad det koster at lade være
Det kræver en aftale mellem dem, der ejer de to målinger, om fælles bevis, fordeling af emner og afstemning af resultater. Det kræver også, at den, der leder sikkerhedsmålingen, kender indholdet af koncernens COBIT-måling.
Uden aftalen bruger ledelsen og enhederne tid på at svare to gange. Værre er, at koncernen kan få to resultater for de samme emner uden forklaring på forskellen, og så ved bestyrelsen ikke, hvilket tal den skal handle på.
Det skal I lade være med
- At gengive COBIT’s skala uden at have den foran jer · den er ikke beskrevet i de offentlige kilder, vi har læst.
- At lade to målinger interviewe de samme ledere om det samme hver for sig · planlæg samtalerne sammen.
- At sende to modstridende resultater til bestyrelsen uden forklaring · afstem dem først.
Det skal gennemgangen kunne vise
- ☐ En aftale om grænsen mellem IT-styringsmålingen og sikkerhedsmålingen.
- ☐ En liste over fælles bevis, der bruges i begge.
- ☐ En afstemning af resultater for de overlappende emner.
- ☐ Navngivne ejere af begge målinger.
Kilder
- ISACA, COBIT, læst 14. november 2026.
- NIST CSWP 29, The NIST Cybersecurity Framework (CSF) 2.0, 26. februar 2024, bilag A, læst 14. november 2026.
- NIST IR 8286r1, Integrating Cybersecurity and Enterprise Risk Management (ERM), december 2025, afsnit 3, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Sæt koncernens seneste IT-styringsmåling og sikkerhedsmåling ved siden af hinanden og marker de emner, begge har spurgt om.
Læs også: Ét framework for hele koncernen eller flere? · Assurance-kortet
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
