ENISA’s NIS Investments 2025 giver et billede af, hvordan organisationer i de kritiske sektorer i EU bemander sikkerheden, hvilke kompetencer de mangler, og hvad der driver deres prioriteringer. En koncern kan bruge tallene som baggrund for egne drøftelser om bemanding og fokus. Som mål, koncernen skal ramme, duer de ikke.
Denne artikel ser kun på bemanding, organisering og prioriteringer. Rapporten indeholder også tal om økonomi, som ikke gengives her.
Grundlaget for undersøgelsen
Bag tallene står 1.080 fagfolk fra organisationer i alle 27 medlemslande og i alle de sektorer med høj kritikalitet, som NIS2 omfatter. Store virksomheder udgør 83 procent af organisationerne, resten er små og mellemstore. Interviewene blev taget over telefon fra maj til august 2025, og de adspurgte var blandt andre CISO, CIO, COO og risikochefer.
Deltagelsen er frivillig. ENISA skriver selv, at stikprøvens størrelse og sammensætning skifter fra år til år, og at det kan påvirke resultaterne. Tallene er derfor et øjebliksbillede af dem, der svarede, og ikke en fast målestok, der kan følges præcist år for år.
Bemanding og rekruttering
Det tydeligste fund handler om folk. Tre ud af fire organisationer, nærmere bestemt 76 procent, melder om problemer med at skaffe sikkerhedsfolk, og 71 procent kæmper med at holde på dem. Den største barriere er at finde kandidater med de rette kompetencer, som 45 procent nævner.
Rapporten oplyser også, at sikkerhedsfolkene hos de adspurgte står for 10,6 procent af årsværkene i IT, den laveste andel ENISA har set i undersøgelsen. ENISA forklarer selv tallet med, at IT-teams vokser hurtigere end sikkerhedsfunktionen, og at der mangler folk. Tallet beskriver altså en udvikling hos de adspurgte. Det er ikke en anbefaling, og en koncern bør ikke bruge det som norm for sin egen bemanding.
For de kommende tolv måneder svarer 38 procent, at de vil holde bemandingen, 33 procent, at de vil ansætte, og 24 procent, at de vil opkvalificere egne medarbejdere.
De kompetencer, der mangler
ENISA har spurgt, hvilke kompetencer organisationerne efterspørger mest. Detektion og respons ligger øverst med 38 procent, fulgt af cloud (37), sikkerhedsarkitektur (35), identitet og adgang (34), OT (33) og netværk (31).
For en koncern er listen mest nyttig som tjekliste. Den kan holdes op mod egne modenhedsresultater: ligger de laveste scorer i de samme områder, hvor det er svært at rekruttere, er det et argument for at planlægge med længere tid eller med opkvalificering frem for ansættelse.
Hvad der driver prioriteringerne
70 procent af organisationerne angiver efterlevelse af regler som den vigtigste drivkraft for deres sikkerhedsinvesteringer. Når de bliver spurgt om udbyttet, nævner de bedre efterlevelse (45 procent), bedre risikostyring (41), hurtigere detektion (35) og bedre respons (26).
Fremadrettet peger de adspurgte på opgradering af værktøjer (47 procent), resiliens (34), uddannelse og awareness (33) og flere sikkerhedsfolk (31). ENISA skriver selv om disse svar, at de foreløbig er hensigter.
Praksis i organisationerne
Indsigt 5 i rapporten handler om praksis. 30 procent af organisationerne har ikke gennemført en vurdering af cybersikkerheden inden for de seneste tolv måneder, og 28 procent er længere end tre måneder om at få kritiske sårbarheder rettet. Blandt de små og mellemstore er andelene højere.
Tallene kan bruges til at stille spørgsmål til egne enheder. Hvornår blev hver enhed senest vurderet? Hvor lang tid tager det at lukke en kritisk sårbarhed hos dem? Svaret skal komme fra koncernens egne data.
Sådan bruger en koncern tallene
Det er sitets anbefaling at bruge undersøgelsen på tre måder.
Som baggrund for bemandingsdrøftelser. Når bestyrelsen spørger, hvorfor en stilling har stået ubesat i et halvt år, kan ENISA’s tal om rekruttering sætte det i perspektiv.
Som tjek af egne prioriteringer. Hvis koncernens plan næsten kun består af værktøjer, kan det være værd at spørge, om kompetencer og bemanding er glemt.
Som spejl for drivkræfterne. Hvis efterlevelse er den eneste begrundelse i koncernens egen plan, kan det være et tegn på, at modenhedsvurderingens fund ikke styrer prioriteringerne. Det er emnet i følger pengene fundene.
Bemanding i en koncern med mange selskaber
ENISA’s tal handler om den enkelte organisation. En koncern har en ekstra udfordring: sikkerhedsfolkene er ofte fordelt på mange selskaber, nogle steder med en enkelt person, andre steder med et helt team.
Det er praksis at lave en samlet oversigt over, hvem der arbejder med sikkerhed i hvert selskab, hvilke kompetencer de har, og hvor mange stillinger der står ubesatte. Oversigten kan holdes op mod ENISA’s liste over de mest efterspurgte kompetencer. Mangler den samme kompetence i flere selskaber, kan det tale for en fælles løsning i koncernen frem for, at hvert selskab rekrutterer for sig.
Oversigten bør opdateres ved hver modenhedsvurdering, så bemanding og modenhed kan ses i sammenhæng.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at tallene gengives med år, population og ENISA’s egne forbehold, og at de aldrig optræder som mål i koncernens plan.
Bruges tallene som mål, kan bemanding og prioriteringer blive styret af et EU-gennemsnit for andre virksomheder i stedet for af koncernens egne risici og egne fund.
Det skal I lade være med
- At gøre andelen af IT-årsværk til en norm · ENISA beskriver en udvikling, ikke et anbefalet niveau.
- At sammenligne år for år som en fast serie · stikprøven skifter.
- At læse hensigter som handling · de fremadrettede svar er planer.
Det skal gennemgangen kunne vise
- ☐ Kilde, år og population ved hvert ENISA-tal, der bruges.
- ☐ Koncernens egen opgørelse af bemanding og ubesatte stillinger.
- ☐ En kobling mellem rekrutteringsrisiko og planens tidsplan.
- ☐ At prioriteringerne også begrundes i egne fund.
Kilder
- ENISA, NIS Investments 2025, hovedrapport, resumé, indsigt 2, 3 og 5 og afsnit II, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læg ENISA’s kompetenceliste ved siden af jeres laveste modenhedsscorer, og se, om de falder i de samme områder.
Læs også: Sikkerhedsfunktionen er for lille til opgaven · Prioritering af anbefalinger
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
