...
Spørgsmål om cybermodenhed
Spørgsmålene her er dem, CISO’er, IT-direktører, revisionschefer og bestyrelsesmedlemmer typisk stiller, når sikkerhedsmodenheden skal måles og forklares. Hvert svar er kort, og pilen fører til artiklen, der går i dybden og nævner kilden. Svarene forenkler, og hvor en regel kun gælder en bestemt sektor eller et børsnoteret selskab, står det.
Modenhed og måling
Hvad er forskellen på en modenhedsvurdering, en audit og en teknisk gennemgang?
Hver besvarer sit eget spørgsmål. Modenhedsvurderingen placerer koncernen på en model, auditten efterprøver bestemte krav, og den tekniske gennemgang undersøger konfigurationen af konkrete systemer.
→ Tre spørgsmål, tre leverancer
Betyder en høj modenhedsscore, at vi er godt beskyttet?
Ikke nødvendigvis. Scoren fortæller, at arbejdet er dokumenteret og styret. Den lover intet om, at alle kontroller virker i dag, eller at et angreb ikke lykkes.
→ Høj modenhed og høj sikkerhed
Hvad kræves der, før et område rykker et trin op?
Praksis skal kunne vises med bevis. Når den er beskrevet, har en ejer og ressourcer og bliver evalueret, afhænger den ikke længere af enkeltpersoner.
Skal alle områder nå det højeste trin?
Nej. Målet bør afspejle risiko, krav og udbytte pr. område. De store rammer anbefaler selv at vælge forskellige målniveauer.
Kan vi stole på en selvevaluering?
Delvist. Tallene bliver troværdige, når skalaen er fælles, beviskravene er tydelige, og nogen følger op på handleplanerne bagefter.
→ Selvevaluering eller ekstern vurdering
Hvilken metode giver det mest præcise billede?
Stikprøven med bevis er mest præcis, interviewet forklarer, og spørgeskemaet er lettest for enhederne. Mange koncerner blander de tre og vælger dybde pr. enhed.
Hvor tit skal vi måle modenheden?
Ingen lov fastsætter en frekvens. En årlig måling er et rimeligt udgangspunkt, og en ekstra måling giver mening efter store ændringer.
Hvad er det vigtigste ved den første måling?
Reglerne. Omfang, skala, begreber og beviskrav skal skrives ned, så måling nummer to kan bruge dem igen.
Skal alle områder vægte lige meget?
Lige vægt er enklest, men den lader et område med lav risiko tælle som det mest kritiske. Vælges vægte, skal det ske før målingen og efter en fast regel.
→ Vægtning
Hvordan bliver en lav score til noget, direktionen kan handle på?
Den skal oversættes til en risiko med konsekvens, sandsynlighed og ejer og stå i koncernens risikoregister.
Kan produktion og OT måles med samme model som kontor-IT?
Ja, hvis spørgsmål og bevis oversættes til anlæggenes virkelighed. Ellers bliver OT straffet for at være anderledes eller holdt ude af målingen.
Hvem får scoren, når en leverandør udfører kontrollen?
Enheden, fordi den ejer risikoen. Scoren skal afspejle udførelsen og enhedens egen styring af leverandøren.
Rammeværk
Hvordan måler NIST CSF 2.0?
Rammen sammenligner en nuværende profil med en målprofil på samme liste af resultater. Gabet mellem dem er målingen.
Er CSF Tiers det samme som modenhedstrin?
Nej. De fire tiers beskriver, hvor stringent organisationen som helhed styrer cyberrisiko. De er valgfrie og skal supplere egen risikostyring.
Hvad er nyt med Govern i CSF 2.0?
Funktionen kom til med version 2.0 i februar 2024 og måler ledelsens egen styring: strategi, ansvar, forventninger og politik.
Hvad bruges implementeringsgrupperne i CIS Controls til?
De tre grupper fordeler foranstaltningerne efter risiko og ressourcer. I en koncern kan IG1 bruges som fælles gulv for alle enheder.
→ Implementeringsgrupperne pr. enhed
Kan ISO 27001 bruges uden certificering?
Ja. Standardens egen opfølgning med løbende måling, intern audit og ledelsens gennemgang giver målepunkter, der kan gentages hvert år.
Hvad er C2M2?
En model udgivet af USA’s energiministerium. Den gældende version 2.1 er fra juni 2022, og ministeriet skriver, at den passer til organisationer af enhver type. Modellen er delt i ti domæner med fire niveauer.
Skal hele koncernen bruge samme ramme?
Tallene kan kun lægges sammen med en fælles målestok. Enheder med sektorkrav kan kobles på, så de ikke måles to gange.
Kan vi måle én gang og rapportere mod flere krav?
Ja, med en kobling mellem rammerne. NIST står ikke inde for koblinger, andre har lavet, så de skal efterprøves.
Hvad sker der med serien, hvis vi skifter ramme?
De gamle tal kan stadig bruges, hvis I bygger en bro: en kobling, en måling efter begge rammer på ét tidspunkt og en markering i rapporten.
Hvor meget kan et ISO 27001-certifikat erstatte i koncernmålingen?
Kun det, der ligger inden for certifikatets omfang og anvendelseserklæring. Resten af selskabet måles som de andre.
Kan D-mærket bruges af en stor virksomhed?
Ja, som dansk målestok. De største virksomheder ligger typisk i gruppe III eller IV, og mærket har otte kriterier og årligt tilsyn.
→ D-mærket i en stor virksomhed
Hvad er den britiske Cyber Assessment Framework?
En britisk ramme, hvor vurderingen bygger på resultater, bevis og fagligt skøn. I stedet for trin bruger den profiler fastsat af tilsynet.
Koncernen
Hvornår kan to forretningsenheder sammenlignes?
Når skala, spørgsmål, beviskrav, afgrænsning og tidspunkt er de samme. Mangler én af delene, afspejler forskellen mest metoden.
→ Benchmark på tværs af enheder
Har koncernen ret til at måle i et datterselskab med egen IT?
Det skal aftales gennem ejerstyringen, typisk via koncernpolitikken, en bestyrelsesbeslutning i datterselskabet eller en skriftlig aftale.
Har datterselskabets bestyrelse sit eget ansvar?
Ja. Selskabslovens § 115 gælder i hvert selskab, og datterbestyrelsen skal have resultater, den kan handle på.
→ Datterselskabets egen bestyrelse
Hvor mange enheder skal besøges?
Der er intet fast tal. Udvælgelsen bør bygge på risiko og størrelse, de kritiske enheder ses hvert år, og resten roterer.
Virker selvrapportering fra enhederne?
Det gør den, når en uafhængig part efterprøver et udsnit med bevis, og når resultatet af efterprøvningen får konsekvens.
→ Selvrapportering med stikprøve
Hvordan måler vi afstanden mellem koncernpolitik og lokal praksis?
I tre lag: om politikken er kendt, om den er omsat til procedurer, og om procedurerne følges. Hvert lag har sit eget bevis.
→ Koncernpolitik og lokal praksis
Hvem ejer fundet i en fælles tjeneste?
Servicecentret, der driver tjenesten. Enheden skal kende fundet og vide, hvad det betyder for dens egen risiko.
Er en rangliste over enhederne en god idé?
Den kan skabe fremdrift, men kun hvis scorerne bygger på efterprøvet bevis, bruges til læring og kun ses af dem, der er aftalt.
Hvad gør vi, når kun nogle selskaber er omfattet af NIS 2?
Mål alle på samme skala og giv de omfattede et højere målniveau på de relevante områder. Så kan tallene stadig sammenlignes.
→ Ét målesystem med to niveauer
Hvor meget kan man kræve af et lille kontor?
Et fælles minimum, målt på samme skala. Målniveauet differentieres efter størrelse og risiko, og de små enheder kan læne sig op ad fælles tjenester.
→ Små enheder i en stor koncern
Hvem må se enhedernes resultater?
Det aftales, før målingen begynder. Samlede scorer, enhedernes scorer og detaljerede fund har forskellig følsomhed.
Opkøb, frasalg og ejere
Hvornår skal et opkøbt selskab tælle med i koncerntallet?
Når en på forhånd aftalt regel siger det. Indtil da rapporteres selskabet separat.
→ Det opkøbte selskab i måleserien
Hvorfor er gamle opkøb ofte et problem?
De efterlader domæner, konti, servere og forbindelser, ingen længere holder øje med. De findes ved at holde historikken op mod det nuværende overblik.
→ Opkøb, der aldrig blev integreret
Hvem måler sikkerheden i overgangsperioden efter et frasalg?
Det skal stå i aftalen mellem sælger og køber. Ellers måler ingen af dem de systemer, der stadig er delt.
→ Overgangsperioden efter et frasalg
Kan en kapitalfond måle sine selskaber ens?
Ja, med samme skala, spørgsmål og beviskrav i alle selskaber, besluttet gennem ejerstyringen og behandlet i hver bestyrelse.
Intern audit og de tre linjer
Hvad er de tre linjer?
IIA’s model fordeler roller. Første linje ejer risikoen, anden linje støtter og udfordrer, og intern revision giver bestyrelsen uafhængig sikkerhed.
→ Tre linjer efter IIA’s model
Er det et problem, at sikkerhedsfunktionen måler sig selv?
Målingen er så ikke uafhængig. Den kan stadig bruges, hvis bestyrelsen ved det, og opdraget siger, hvordan konflikten håndteres.
→ Når anden linje måler sig selv
Hvordan deler intern revision og en ekstern vurdering arbejdet?
Konklusionen over for bestyrelsen forbliver intern revisions. Den eksterne vurdering er et input, som revisionen selv har vurderet.
Hvad kræver IIA’s Cybersecurity Topical Requirement?
Fra 5. februar 2026 skal funktioner, der følger IIA’s standarder, vurdere cybersikkerhed inden for styring, risikostyring og kontrol og begrunde fravalg skriftligt.
Hvor ofte skal intern revision have en ekstern kvalitetsvurdering?
Mindst hvert femte år efter IIA’s standarder. Vurderingen ser nu også på, hvordan funktionen har håndteret cyberkravene.
Skal vi have intern revision?
Uden for den finansielle sektor findes der i de gennemgåede kilder ingen generel pligt. For børsnoterede selskaber anbefales det, at revisionsudvalget vurderer behovet.
→ Revisionsudvalgets vurdering
Skal revisionsudvalget overvåge cybersikkerheden?
Ikke efter revisorlovens § 31, som handler om regnskab og bæredygtighedsrapportering. Bestyrelsen kan selv vælge at give udvalget opgaven.
Må intern revision rådgive om cybersikkerhed?
Ja efter IIA’s standarder, men objektiviteten skal bekræftes, før der senere gives sikkerhed på samme område. Finansielle virksomheder har strengere regler.
Hvad er et assurance-kort?
Et overblik, der parrer hver cyberrisiko med de funktioner, som efterprøver den, og vurderer, hvor stærk efterprøvningen er. Så ses dobbeltarbejde og blinde pletter.
Siger revisors påtegning noget om cybersikkerheden?
Nej. Påtegningen gælder regnskabet, og revisors arbejde med IT-kontroller sker som led i regnskabsrevisionen.
→ Revisors påtegning og IT-revision
Hvornår skal en finansiel virksomhed have intern revision?
Revisionsbekendtgørelsen kræver det fra 125 fuldtidsansatte i gennemsnit over de to seneste regnskabsår.
Hvad kræver DORA af bestyrelsen om IKT-revision?
Ledelsesorganet godkender de interne IKT-revisionsplaner og ser dem jævnligt igennem, også ved væsentlige ændringer.
→ DORA artikel 5, stk. 2, litra f
Hvad betyder det, når et fund er lukket?
Enten har enheden selv meldt det klaret, anden linje har kontrolleret dokumentationen, eller intern revision har testet det. Registret skal oplyse, hvilken slags lukning der er tale om.
→ Lukning af fund i tre linjer
Auditprogram
Hvorfor en flerårig auditplan?
Fordi en koncern sjældent kan se det hele hvert år. Planen fordeler selskaber og områder over en cyklus, så bestyrelsen ved, hvad der ikke blev set.
Hvordan vælges årets auditområder?
Efter få kriterier, der vægtes ens: risiko, ændringer, åbne fund og tid siden sidste gennemgang. Valget skal kunne forklares.
Er ISO 19011 et krav?
Nej. Standarden er en vejledning i audit af ledelsessystemer og kom i en ny udgave i 2026. Den er et godt referencepunkt for programstyring.
Hvordan måler vi selve auditprogrammet?
Med få nøgletal som dækning mod plan, andel af nøglerisici gennemgået, tid fra fund til lukning og fund lukket til tiden.
Hvad skal afgøres, før en koncernvurdering kan afgrænses?
Fire ting: selskaberne, systemerne og de fælles tjenester, lokationerne til besøg og de spørgsmål, bestyrelsen ønsker besvaret.
→ Afgrænsning af en koncernvurdering
Skal vi gå bredt eller dybt?
Det afhænger af, hvad bestyrelsen skal kunne konkludere. Bredt dækker alle selskaber let, dybt efterprøver få grundigt.
Hvem bør bestille vurderingen?
Bestilleren bestemmer mandat, modtager og hvor frit folk taler. Bestiller bestyrelsen eller revisionsudvalget, omfatter tilsynet også CISO.
Hvad gør vi uden en samlet aktivoversigt?
Vurderingen kan gennemføres med flere ufuldstændige kilder og tydelige forbehold. Manglen bliver i sig selv et vigtigt fund.
→ Vurdering uden aktivoversigt
Skal vi skifte auditor?
Ingen regel afgør det for cybersikkerhed. Samme auditor gør serien mere sammenlignelig, en ny ser det, den gamle er holdt op med at se.
Hvordan sammenligner vi to tilbud på en modenhedsvurdering?
Læg skala, bevisdybde, antal enheder og leverancer side om side. Overskriften alene siger intet om, hvad der måles.
→ Tilbud på en modenhedsvurdering
Typiske fund
Hvilke fund går igen i store organisationer?
Opdateringer, rettigheder, overvågning, kontinuitet og leverandører. I en koncern siger fundene ofte mest om manglende ejerskab på tværs.
Hvordan lukkes et fund om uklart ansvar?
Med beslutninger om mandat, rapportering og tilsyn mellem koncern-CISO og selskaberne. Flere dokumenter løser det sjældent.
Hvorfor kommer fund om rettigheder igen hvert år?
Fordi de beskrives som lister over brugere frem for som en proces, der ikke følger folk ved rolleskift. Procesfundet kan lukkes.
Hvordan rapporteres systemer uden support?
Som risici med ejer, plan og beslutning: udskiftning til en dato, afskærmning imens eller en dokumenteret accept.
Hvorfor hænger beredskabsplanerne ikke sammen?
Hvert selskab har lavet sin egen, og ingen har lagt dem ved siden af hinanden. Sammenhængen ses kun, når planerne læses og afprøves samlet.
Hvorfor når nogle hændelser aldrig koncernen?
Selskaberne håndterer dem selv uden at melde videre. Klare regler for eskalering lukker fundet.
→ Hændelser, der ikke når koncernen
Kan lokale risikoregistre lægges sammen?
Det kræver samme skala og samme kategorier i alle selskaber og en aftalt metode til sammenlægning. Ellers betyder en høj risiko noget forskelligt fra selskab til selskab.
Hvorfor står de samme fund i rapporten år efter år?
Ofte mangler nogen mandat, en beslutning er ikke truffet, eller kun symptomet bliver rettet. Ledelsen kan kræve en beslutning om hvert gammelt fund.
Nøgletal og bestyrelse
Hvornår er et nøgletal brugbart?
Når læseren ved, hvad der skal ske, hvis det bevæger sig. Det kræver en ejer, et mål og en beslutning knyttet til tallet.
→ Nøgletal, ingen kan handle på
Hvem bestemmer, hvornår et nøgletal er rødt?
Ledelsen, ved at fastsætte en tolerance på forhånd. Ellers er det rapportens forfatter, der reelt sætter risikoappetitten.
Hvad er NIST SP 800-55?
NIST’s vejledning i at vælge sikkerhedsmålinger. Bind 1 udkom i december 2024 og afløser udgaven fra 2008.
Hvorfor kan et højt tal for dækning snyde?
Fordi det kun er så godt som listen bag det. Mangler systemer på listen, kan tallet være højt og hullet stort.
Kan modenheden koges ned til én score?
Ja, men tallet skal ledsages af spredningen, de laveste værdier og udviklingen over tid.
Hvad skal bestyrelsen beslutte, når modenhedsvurderingen er på dagsordenen?
Hvilket niveau koncernen sigter mod, hvilke gab der kommer først, og om planen har de nødvendige ressourcer.
→ Modenhedsvurderingen i bestyrelsen
Hvordan bør rapporten fra en koncernvurdering være opbygget?
Med et koncernbillede, et billede pr. enhed og en fundliste med alvorlighed, ejer og forslag.
Hvad gør vi, når en enhed er uenig i sin score?
Følg faste regler. Overset bevis giver en rettet score, utilfredshed uden bevis giver en begrundet afvisning, og begge dokumenteres.
Kan vi sende modenhedsrapporten til en kunde?
Det er sjældent klogt, fordi den rummer detaljer, der kan misbruges. En nuværende profil kan vise niveauet uden selve rapporten.
Hvilken udgave af Bestyrelsesforeningens vejledning gælder?
Den nyeste er fra september 2023 (V4.3) og samler anbefalingerne i seks temaer, der kan bruges som tjekliste for rapporteringen.
→ Bestyrelsesforeningens anbefalinger
Nævner selskabslovens § 115 cybersikkerhed?
Nej. Bestyrelsen skal påse fornødne procedurer for risikostyring og interne kontroller. Det er en tolkning, at væsentlige cyberrisici er omfattet.
Skal redegørelsen for virksomhedsledelse handle om cybersikkerhed?
Kravet i årsregnskabslovens § 107 b gælder kontrol og risikostyring omkring regnskabsaflæggelsen, ikke cyber i almindelighed.
Benchmark
Hvilke tal kan vi sammenligne os med?
To rapporter fra ENISA, NIS Investments og NIS360, og de årlige tal fra Danmarks Statistik. Ingen af dem kan sættes direkte op mod koncernens egen score.
→ Sammenligning med andre virksomheder
Hvad viser ENISA NIS360?
Hvor modne og kritiske de sektorer er, som NIS2 udpeger. Det er et pejlemærke for omgivelserne og siger intet om den enkelte virksomhed.
Hvad siger Danmarks Statistik om de store virksomheder?
Næsten alle med 250 ansatte eller flere har de grundlæggende tiltag. Tallene siger derfor mest om bunden.
Budget og måling over tid
Hvordan prioriterer vi en lang liste af anbefalinger?
Vurder hver på risiko, indsats og afhængigheder, og hold rækkefølgen op mod ledelsens risikoappetit.
→ Prioritering af anbefalinger
Hvordan bliver en modenhedsrapport til en køreplan?
Hvert område får et målniveau, en dato og de handlinger, der skal føre derhen. Næste måling skal kunne vise, om planen holder.
Hvordan ser vi, om budgettet følger fundene?
Læg årets planlagte indsatser ved siden af de områder, hvor gabene er størst. Uden indsats i de laveste scorer styrer noget andet prioriteringen.
Hvem må acceptere en risiko i en koncern?
Små risici inden for tolerancen kan accepteres i enheden. Risici tæt på eller over tolerancen hører til koncernledelsen eller bestyrelsen.
Hvad skal et fælles fundregister indeholde?
Alle fund fra vurderinger, audits og intern revision med samme felter: hvad, hvem ejer det, frist og status.
→ Fundregistret for hele koncernen
Hvordan sammenligner vi år for år uden at snyde os selv?
Hold metode, omfang og skala fast. Ændres noget, skal rapporten sige det, så udviklingen ikke blandes sammen med ændringen.
Hvad gør vi, når scoren falder?
Gå faldet igennem område for område, og hold det op mod ændringer i metode, omfang og auditor siden sidst.
Skal en genvurdering være fuld eller delvis?
Den fulde er mest sammenlignelig og størst. Den delvise er lettere, men efterlader resten med gamle tal. Mange veksler mellem dem.
Er det klogt at knytte modenhedsscoren til bonus?
Kun med efterprøvelige mål, en måler uafhængig af den, der belønnes, og en fast metode. Ellers bliver tallet pænere end virkeligheden.
Hvordan ser vi, om en outsourcing gjorde sikkerheden bedre?
Der skal være en måling fra før overdragelsen og en fra efter, begge med samme metode og de samme områder. Uden et før-billede bliver det et skøn.
Hjælp udefra
Kan vi få en uafhængig måling af modenheden?
Ja. Målingen laves uvildigt og uafhængigt uden forhandleraftaler med en skala og ramme, der aftales med jer. Revision og erklæringer indgår ikke.
→ Få hjælp
Er en modenhedsvurdering det samme som en penetrationstest?
Nej. Vurderingen ser på styring, praksis og bevis mod en målestok. En penetrationstest forsøger at udnytte svagheder og er en anden opgave.
→ Få hjælp
Senest gennemgået: november 2026.
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
Skal modenheden i jeres koncern måles?
Skriv kort, hvilke enheder det drejer sig om, og hvad der sætter det i gang. Så vender jeg tilbage. Målingen er uvildig og uafhængig, og Nielco IT har ingen forhandleraftaler.
