Om budgettet følger fundene, kan ses ved at lægge årets planlagte sikkerhedsindsatser ved siden af de områder, hvor modenhedsvurderingen viser de største gab. Hvis de største indsatser ligger i områder med høje scorer, og de laveste scorer ikke får noget, er det et tegn på, at noget andet end målingen styrer prioriteringen.
Metoden er praksis og kræver ingen beløb. Den kræver kun en liste over indsatser og en kobling til områderne i vurderingen.
Hvad ENISA fandt om drivkræfterne
ENISA har til sin undersøgelse NIS Investments 2025 spurgt 1.080 fagfolk, mest fra store virksomheder i EU’s kritiske sektorer. Undersøgelsen viser, at efterlevelse af regler er den vigtigste drivkraft for sikkerhedsinvesteringer hos 70 procent af organisationerne.
Spurgt til udbyttet peger flest på bedre efterlevelse. Derefter følger bedre risikostyring, hurtigere detektion og bedre respons.
Tallene er andele af organisationer, ikke af budgetter, og de er selvrapporterede. Stikprøven skifter fra år til år. De siger ikke, at efterlevelse er en dårlig drivkraft. De viser, at regelværket ofte er det, der sætter retningen, og det kan være en anden retning end den, egne fund peger på.
Metoden
Det er sitets forslag at gøre det i fire trin.
Første trin er at liste årets planlagte sikkerhedsindsatser. Det kan være projekter, ansættelser, kurser, indkøb og hjælp udefra.
Andet trin er at knytte hver indsats til et eller flere områder i modenhedsvurderingen. Et projekt om fælles logning hører til detektion og overvågning. Et kursusprogram for ledere hører til styring og kultur.
Tredje trin er at markere, hvilke områder der har de største gab mellem nuværende niveau og målniveau.
Fjerde trin er at se, om de største indsatser ligger i de områder, hvor gabet er størst. Det gøres uden tal: en simpel markering af stor, mellem eller lille indsats er nok.
Det, sammenligningen kan vise
Der er typisk tre mønstre.
Indsatserne ligger, hvor gabene er. Det er det, man håber på. Det betyder, at vurderingen bruges.
Indsatserne ligger, hvor regelværket kræver noget nyt. Det kan være fuldt berettiget, fordi et krav skal opfyldes. Men hvis de største gab samtidig ikke får noget, bør det forelægges ledelsen som et valg.
Indsatserne ligger, hvor scoren allerede er høj. Det kan skyldes, at projekterne blev besluttet før vurderingen, eller at det er lettere at investere i noget, der allerede fungerer. Det er værd at stille spørgsmålstegn ved.
Når et område ikke får noget
Et område med et stort gab og ingen indsats er en risiko, nogen har valgt at acceptere, bevidst eller ubevidst. Det er praksis at gøre valget bevidst ved at forelægge det for den, der har mandat til at acceptere risikoen.
Ofte er forklaringen enkel: der mangler folk med de rette kompetencer, eller området afhænger af noget andet, der skal på plads først. Det er gode grunde, men de skal stå i planen. Hvem i koncernen der må tage den beslutning, gennemgås i risikoaccept af fund.
I en koncern
I en koncern kan sammenligningen laves på to niveauer. På koncernniveau viser den, om de fælles indsatser rammer de fælles svagheder. Pr. selskab viser den, om det enkelte selskabs plan passer til dets egne fund.
Det er ofte her, de største forskelle viser sig. Et selskab kan bruge sine ressourcer på det, koncernen beder om, mens dets egne laveste scorer ligger et helt andet sted. Hvem der skal betale for at lukke enhedens fund, er emnet i central pulje eller lokalt budget.
Når planen blev lagt før vurderingen
Mange koncerner lægger årets plan, før årets modenhedsvurdering er færdig. Så er det naturligt, at planen bygger på sidste års fund, på nye krav og på projekter, der allerede er i gang.
Det er praksis at genbesøge planen, når vurderingen kommer. Formålet er at se, om der er gab, der er blevet større, eller nye områder, der kræver handling nu. Ofte kan en del af planen flyttes uden de store omkostninger, fordi projekter endnu ikke er sat i gang.
Det er også praksis at lægge tidspunktet for vurderingen, så resultatet er klar i god tid før næste års planlægning. Så kan fundene komme med fra starten, og sammenligningen mellem indsatser og gab bliver en del af selve planlægningen frem for en efterkontrol.
En simpel tabel med områder, gab og planlagte indsatser kan være nok til at gøre sammenligningen til en fast del af processen.
Hvad det kræver, og hvad det koster at lade være
Det kræver en liste over årets indsatser, en vurdering med områder, der kan genkendes, og en person, der en gang om året lægger de to ved siden af hinanden.
Uden den sammenligning kan koncernen bruge mange ressourcer på sikkerhed og alligevel se de samme laveste scorer i rapporten år efter år. Bestyrelsen får at vide, at der investeres, men ikke om det rammer.
Det skal I lade være med
- At bruge ENISA’s andele som budgetnorm · de tæller organisationer.
- At lade regelværket være eneste begrundelse · egne fund skal også styre.
- At sammenligne beløb pr. område · en grov markering af indsatsen er nok.
Det skal gennemgangen kunne vise
- ☐ En liste over årets sikkerhedsindsatser knyttet til vurderingens områder.
- ☐ De største gab markeret ved siden af indsatserne.
- ☐ En forklaring for hvert stort gab uden indsats.
- ☐ En beslutning om accept, hvor gabet bevidst står åbent.
Kilder
- ENISA, NIS Investments 2025, hovedrapport, resumé og afsnit II, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læg årets planlagte indsatser ved siden af de tre laveste scorer i jeres seneste vurdering, og se, om de mødes.
Læs også: ENISA’s NIS Investments 2025 som benchmark · Gentagne fund
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
