NIST CSF 2.0 har fire tiers, og de siger noget om, hvor stringent hele organisationen styrer sin cyberrisiko. De er valgfrie, og NIST skriver, at de bør supplere organisationens egen metode til risikostyring frem for at erstatte den.
Mange læser dem alligevel som en modenhedsskala, hvor hvert område får et tal fra 1 til 4. Vores læsning er, at de passer dårligt til den brug, og den læsning er en tolkning. NIST bruger selv ordet modning om tiers et andet sted, og det skal med, når I forklarer forskellen for ledelsen.
De fire tiers
CSF 2.0 fra februar 2024 har fire tiers: Partial (1), Risk Informed (2), Repeatable (3) og Adaptive (4). Rammen siger, at tiers karakteriserer stringensen i organisationens praksis for styring og håndtering af cyberrisiko. De giver en sammenhæng for, hvordan organisationen ser på cyberrisiko, og hvilke processer den har til at håndtere den.
Bilag B i rammen beskriver hver tier i to kolonner. Den ene handler om styring, svarende til funktionen Govern. Den anden handler om risikostyring, svarende til de fem øvrige funktioner. NIST kalder beskrivelserne en illustration, altså et eksempel, ikke en fast definition.
Det, rammen selv siger om brugen
Fem udsagn i rammen og i NIST’s hurtigstartguide til tiers, SP 1302 fra oktober 2024, er værd at have ordret for øje, når tiers skal bruges.
- Organisationen kan vælge at bruge tiers · Kilde: CSF 2.0, afsnit 3.2 · Betydning for en koncern: Ingen er forpligtet til at score efter dem
- Tiers bør supplere og ikke erstatte egen metode · Kilde: CSF 2.0, afsnit 3.2; SP 1302 · Betydning for en koncern: De er et pejlemærke ved siden af koncernens måling
- Højere tier tilskyndes ved større risiko eller krav, eller når en afvejning viser, at det kan betale sig · Kilde: CSF 2.0, afsnit 3.2 · Betydning for en koncern: Mål efter risiko, ikke efter højeste trin
- Valget foretages normalt af ledelsen · Kilde: SP 1302 · Betydning for en koncern: Målet er en ledelsesbeslutning
- Tiers vælges bedst samlet eller på funktions- eller kategoriniveau · Kilde: SP 1302 · Betydning for en koncern: Ikke pr. underkategori
Rammen nævner også, at tiers kan bruges internt som pejlemærke for en tilgang, der dækker hele organisationen. Det er den brug, de er skrevet til.
Hvorfor vi ikke bruger dem som trin pr. område
En modenhedsskala giver typisk hvert område sit eget niveau. Aktivstyring kan stå på 2, mens hændelseshåndtering står på 3. Tiers er beskrevet anderledes. De handler om organisationens samlede måde at styre risiko på: om prioriteringer bygger på risiko, om praksis er godkendt og udbredt, om organisationen lærer af hændelser, og om cyberrisiko indgår i virksomhedens øvrige risikostyring.
Derfor er vores tolkning, at tiers beskriver stringensen i hele styringen og ikke er et trin pr. område. SP 1302 peger i samme retning, når den fraråder at vælge tiers på underkategoriniveau.
NIST siger dog ikke, at tiers ikke er modenhedstrin. I NIST IR 8286r1 fra december 2025 om koblingen mellem cybersikkerhed og virksomhedens risikostyring står der, at CSF beskriver en udvikling gennem fire tiers, hvor processerne modnes fra ad hoc til formaliserede og smidige. Der er altså en udvikling i tiers. Forskellen ligger i, hvad der måles: organisationens samlede styring frem for de enkelte områders praksis.
Sådan kan tiers bruges i en koncern
Hvis I vil bruge tiers, kan det ske på tre måder, som alle er forenelige med rammen. Brugen i en koncern er vores forslag.
- Som ledelsens samlede pejlemærke. Direktionen og bestyrelsen vælger, hvilken tier koncernen skal stile mod for styring og for risikostyring, ud fra risiko og krav.
- Som pejlemærke pr. funktion. Koncernen kan sætte forskellige tiers for fx Govern og Recover, hvis risikobilledet taler for det.
- Med egne beskrivelser. Ifølge SP 1302 må beskrivelserne i bilag B bruges uændret, justeres eller skiftes helt ud med koncernens egne.
Selve målingen af områderne sker med en anden skala, fx en profil efter rammens Core. Hvordan en sådan skala vælges, er emnet i skalaen og antallet af trin. Hvordan profilerne bruges, står i NIST CSF 2.0 som måleramme.
Faktorerne bag valget
SP 1302 nævner de faktorer, ledelsen bør se på, når den vælger tiers: nuværende praksis, trusselsbilledet, lov og regulering, informationsdeling med andre, forretningens mål, forsyningskæden og de ressourcer, der er til rådighed. Listen er brugbar som dagsorden for det møde, hvor målet besluttes. Den sikrer, at målet hviler på en vurdering og ikke på et ønske om at stå højt.
I en koncern kan faktorerne pege forskellige veje for forskellige enheder. Et selskab med kritisk drift og mange krav kan have brug for en højere tier i risikostyringen end et lille salgskontor. Rammen åbner for det. Koncernen skal blot skrive ned, hvorfor målene er forskellige, så forskellen ikke senere læses som en skæv sammenligning.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at ledelsen tager stilling til, hvad tiers skal bruges til, før de dukker op i en rapport. Skal de være koncernens samlede pejlemærke, skal valget begrundes med risiko og krav. Skal områderne måles, skal det ske med en anden skala.
Bruges tiers som en karakter pr. område, opstår der en skala, rammen ikke beskriver. Tallene ser officielle ud, fordi de bærer NIST’s navn, men de kan ikke sammenlignes med andres brug af tiers, og de siger ikke det samme fra enhed til enhed.
Det skal I lade være med
- At give hver underkategori en tier · SP 1302 anbefaler samlet niveau eller funktions- eller kategoriniveau.
- At sætte tier 4 som mål overalt · rammen knytter højere tier til risiko og en afvejning af udbytte.
- At skrive, at NIST afviser tiers som modenhedstrin · det er en tolkning, og NIST bruger selv ordet modning.
Det skal gennemgangen kunne vise
- ☐ En ledelsesbeslutning om, hvad tiers bruges til, og på hvilket niveau.
- ☐ Begrundelsen for den valgte tier med de faktorer, SP 1302 nævner.
- ☐ En separat skala for målingen af de enkelte områder.
- ☐ Egne tierbeskrivelser, hvis bilag B er tilpasset.
Kilder
- NIST CSWP 29, The NIST Cybersecurity Framework (CSF) 2.0, 26. februar 2024, afsnit 3.2 og bilag B, læst 14. november 2026.
- NIST SP 1302, Quick-Start Guide for Using the CSF Tiers, oktober 2024, læst 14. november 2026.
- NIST IR 8286r1, Integrating Cybersecurity and Enterprise Risk Management (ERM), december 2025, fodnote 15, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find de steder i jeres rapportering, hvor en tier står ved et enkelt område, og beslut, om det skal være en anden skala.
Læs også: Govern i CSF 2.0 · Modenhedstrinene i praksis
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
