En koncern, der vil lægge tal sammen, har brug for én fælles målestok. Enheder med egne sektorkrav eller eksisterende certifikater har ofte brug for en anden. Løsningen er sjældent at vælge det ene, men at bestemme, hvilken ramme der er fælles, og hvordan de andre kobles på.
Ingen regel afgør, hvordan en koncern skal vælge. Det følgende er en afvejning, som bygger på praksis og på det, rammerne selv siger om brug og sammenhæng.
Hvorfor spørgsmålet opstår
I en voksende koncern samles der rammer op undervejs. Et selskab er certificeret efter ISO 27001, fordi kunderne krævede det. Et andet har en energisektor bag sig og kender C2M2. Et tredje bruger CIS Controls, fordi IT-chefen kom derfra. Et opkøbt selskab har sin egen model. Når koncernledelsen beder om et samlet billede, opdager den, at enhederne svarer på forskellige spørgsmål.
Rammerne er frivillige for en dansk virksomhed. NIST CSF 2.0, CIS Controls, C2M2 og den britiske Cyber Assessment Framework er målestokke, ikke krav. Det giver frihed, men også ansvar for at vælge bevidst.
Tre modeller
- Én ramme for alle · Hvad den giver: Direkte sammenlignelighed og ét sprog · Hvad den koster: Enheder med andre krav skal måles to gange
- Én fælles ramme plus lokale tillæg · Hvad den giver: Fælles kerne, lokale krav dækket · Hvad den koster: Tillæggene skal holdes ude af koncernscoren
- Hver enhed sin ramme, koblet via mapping · Hvad den giver: Mindst arbejde for enhederne · Hvad den koster: Sammenligningen hviler på koblingernes kvalitet
Den midterste model er den, mange koncerner ender med. Den er vores anbefaling som udgangspunkt, men valget afhænger af, hvor forskellige enhederne er, og hvor meget koncernen har brug for at sammenligne.
Hvad rammerne selv åbner for
CSF 2.0 sætter ingen grænse for antallet af profiler og lader hver profil have sin egen afgrænsning. En koncern kan derfor bruge CSF som fælles skelet og stadig give hver enhed sin egen profil.
NIST vedligeholder desuden en oversigt over såkaldte Informative References, som kobler CSF’s resultater til andre rammer. Ifølge NIST’s side, læst den 14. november 2026, findes der omkring 25, herunder koblinger til ISO/IEC 27001:2022 og CIS Controls 8.1. Formålet er at vise veje til rammens resultater. NIST efterprøver dog ikke de koblinger, som eksterne parter har sendt ind, og en plads på listen er ikke en anbefaling fra NIST. Det er et vigtigt forbehold, hvis koncernen vil sammenligne enheder via koblinger. Mere om det står i mapping mellem rammer.
D-mærket viser en anden tilgang. Mærket deler virksomhederne i fire grupper og lader nogle kriterier afhænge af virksomhedens aktiviteter. Samme ordning rummer altså forskellige krav afhængigt af gruppen. Den tanke kan overføres til en koncern som et fælles grundlag med forskellige niveauer.
Spørgsmål, der afgør valget
Det følgende er praksis. Fem spørgsmål hjælper koncernledelsen med at vælge.
- Hvad skal tallene bruges til? Skal bestyrelsen se enhederne side om side, kræver det en fælles målestok. Skal hver enhed blot følge sin egen udvikling, er kravet mindre.
- Hvilke enheder har krav udefra? En enhed, der skal leve op til sektorregler eller kunders krav om certifikat, skal måles mod dem under alle omstændigheder.
- Hvor meget overlapper rammerne? Er en enheds ramme tæt koblet til den fælles, kan én måling bruges to gange.
- Hvem skal vedligeholde koncernens metode? Flere rammer kræver mere vedligehold af koblinger og regler.
- Hvor længe skal måleserien holde? En fælles ramme, der skiftes ofte, giver ingen serie.
Den fælles ramme og dens tillæg
Vælger koncernen en fælles ramme med lokale tillæg, bør tre regler være skrevet ned.
Den første er, at koncernscoren kun bygger på den fælles ramme. Tillæggene vises i enhedens egen rapport, men blandes ikke ind i sammenligningen.
Den anden er, at en enhed må genbruge beviser fra en anden ramme, når de dækker et fælles resultat. Har et certificeret selskab en intern audit af adgangsstyring, kan den bruges som bevis i den fælles måling, hvis den dækker det samme. Hvordan certifikatet indgår i scoren, er emnet i certificerede enheder i koncernmålingen.
Den tredje er, at koblingen mellem den fælles ramme og tillæggene ejes af en bestemt funktion i koncernen og gennemgås, når en af rammerne kommer i ny version.
Opkøbte selskaber
Et opkøbt selskab kommer ofte med sin egen ramme. Det er fristende at lade det fortsætte, så det ikke forstyrres i integrationen. En mulig regel er, at selskabet måles efter sin egen ramme i første periode og efter koncernens fælles ramme fra næste periode, og at det først indgår i koncerntallet, når det er målt efter den fælles ramme.
Hvad det kræver, og hvad det koster at lade være
Det kræver en ledelsesbeslutning om, hvilken ramme der er fælles, en skriftlig regel for tillæg og genbrug af beviser og en ejer af koblingerne. Det kræver også, at beslutningen holdes i flere år, så måleserien kan bygges.
Uden en beslutning vokser antallet af rammer med hvert opkøb og hver ny IT-chef. Koncernen får mange målinger og intet samlet billede, og bestyrelsen får tal, der ikke kan lægges sammen.
Det skal I lade være med
- At lade hver enhed vælge ramme uden en fælles kerne · så kan intet sammenlignes.
- At blande lokale tillæg ind i koncernscoren · enheder med flere krav ser ud til at klare sig dårligere.
- At stole blindt på koblinger mellem rammer · NIST tester ikke andres koblinger.
Det skal gennemgangen kunne vise
- ☐ En beslutning om den fælles ramme med dato og begrundelse.
- ☐ En oversigt over enhedernes øvrige rammer og krav.
- ☐ Regler for tillæg og for genbrug af beviser.
- ☐ En ejer af koblingerne og dato for seneste gennemgang.
Kilder
- NIST CSWP 29, The NIST Cybersecurity Framework (CSF) 2.0, 26. februar 2024, afsnit 3.1, læst 14. november 2026.
- NIST, CSF 2.0 Informative References, læst 14. november 2026.
- D-mærket, Virksomhedsgrupper, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Lav en liste over de rammer, jeres enheder bruger i dag, og hvilke af dem der skyldes krav udefra.
Læs også: Egen modenhedsmodel · Skift af ramme midt i en måleserie
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
