En fuld genvurdering gentager hele målingen med samme metode og giver det mest sammenlignelige billede, men den er den største indsats. En delvis genvurdering ser kun på de områder, hvor der er sket noget, og er lettere, men den efterlader resten af billedet med gamle tal. Mange koncerner veksler mellem de to.
NIST CSF 2.0 lægger op til, at arbejdet med profilerne gentages så ofte, det er nødvendigt. Hvordan det tilrettelægges, er praksis.
Hvad rammeværket siger
Rammeværket deler profilarbejdet i fem trin, fra afgrænsning over nuværende profil og gabanalyse til gennemførelse og opdatering. Rammeværket skriver, at trinene kan gentages “as often as needed”.
Det giver frihed. Rammeværket kræver hverken en årlig fuld gentagelse eller en bestemt rytme. Organisationen vælger selv, hvor ofte og hvor meget der skal gentages.
Den fulde genvurdering
Ved en fuld genvurdering måles alle områder igen i alle enheder efter samme metode og skala som sidst.
Fordelene er, at hele billedet er fra samme tidspunkt, og at udviklingen kan sammenlignes område for område. Områder, ingen troede havde flyttet sig, kan vise sig at være gledet tilbage. Det fanger en delvis genvurdering ikke.
Ulemperne er tid og belastning. I en stor koncern kræver en fuld genvurdering interview og dokumentation fra mange selskaber. Gøres det hvert år, kan enhederne opleve målingen som en byrde, der tager tid fra at lukke fundene.
Den delvise genvurdering
Ved en delvis genvurdering måles kun de områder, hvor der er sket noget: hvor fund er meldt lukket, hvor der er gennemført projekter, eller hvor der er kommet nye risici.
Fordelen er, at indsatsen samles, hvor der er noget at se. Den kan også laves oftere og give hurtigere tilbagemelding på, om handlingerne virker.
Ulempen er sammenligneligheden. Områder, der ikke måles, beholder deres gamle score, og det samlede billede bliver en blanding af nye og gamle tal. Hvis det ikke fremgår tydeligt, kan læseren tro, at hele billedet er opdateret.
En gængs rytme
Mange koncerner veksler mellem fuld og delvis runde. Et eksempel på en rytme, markeret som tænkt:
- 1 · Type: Fuld · Indhold: Baseline for alle områder og enheder
- 2 · Type: Delvis · Indhold: Områder med lukkede fund og projekter, enheder med lave scorer
- 3 · Type: Fuld · Indhold: Hele billedet igen; ny baseline for næste periode
Rytmen er et tænkt eksempel. Den rette afhænger af, hvor hurtigt koncernen ændrer sig, og af om der er særlige krav fra regelværk eller ejere. Hvor ofte en stor organisation bør måle, er beskrevet i hvor ofte skal modenheden måles.
Hvornår den delvise ikke er nok
Nogle hændelser gør en fuld genvurdering nødvendig, selv om rytmen siger delvis. Det gælder typisk, når koncernen er reorganiseret, når driften er flyttet til en leverandør, når et større selskab er købt, eller når målestokken er skiftet. I de tilfælde er det gamle billede ikke længere et godt udgangspunkt.
Det er praksis at skrive disse hændelser ind i programmet som udløsere, så beslutningen ikke skal træffes fra bunden hver gang.
Sådan vises en blandet serie
Når billedet består af nye og gamle tal, er det praksis at markere hvert område med datoen for den seneste vurdering. Områder, der ikke er vurderet i år, kan vises med en anden farve eller en markering.
Det er også praksis ikke at beregne en ny samlet koncernscore efter en delvis genvurdering. En samlet score, der blander tal fra forskellige år, siger mindre end den ser ud til. Hvordan serien ellers holdes ærlig, står i måling over tid.
Hvad en delvis runde skal indeholde
En delvis genvurdering kræver lige så meget omhu i udvælgelsen som en fuld. Det er praksis at vælge områderne efter faste regler, så udvælgelsen ikke afhænger af, hvad der er bekvemt.
Gode grunde til at tage et område med er, at der er meldt fund lukket, at et projekt er afsluttet, at der er sket en hændelse, eller at området lå lavt i en enhed med høj risiko. Det er også praksis at tage nogle få områder med, som ikke er valgt efter disse regler, fx efter tur. Så fanger koncernen områder, der langsomt glider, uden at nogen har lagt mærke til det.
Også i en delvis runde bruges den metode, den fulde runde bruger. Bruges en lettere metode i den delvise runde, bliver tallene ikke sammenlignelige, og fordelen ved at måle oftere forsvinder. Udvælgelsen og reglerne bag den bør stå i metodenoten, så læseren kan se, hvorfor netop disse områder er målt.
Det gør det også lettere for intern revision at vurdere, om programmet dækker det, det skal.
Hvad det kræver, og hvad det koster at lade være
Det kræver en beslutning om rytmen, en liste over udløsere for en fuld genvurdering og en markering af datoen for hvert område i rapporten.
Gentages alt hvert år, kan målingen tage så meget tid, at den fortrænger arbejdet med at lukke fund. Gentages kun det, der har flyttet sig, kan koncernen overse områder, der langsomt er gledet tilbage.
Det skal I lade være med
- At beregne en samlet score efter en delvis genvurdering · tallene er fra forskellige år.
- At vise gamle tal uden dato · læseren tror, de er nye.
- At holde fast i rytmen efter en reorganisering · en fuld genvurdering er nødvendig.
Det skal gennemgangen kunne vise
- ☐ En besluttet rytme for fuld og delvis genvurdering.
- ☐ En liste over udløsere for en fuld genvurdering.
- ☐ Datoen for seneste vurdering ved hvert område.
- ☐ En begrundelse for de områder, der er udvalgt i en delvis runde.
Kilder
- NIST CSF 2.0 (NIST CSWP 29), 26. februar 2024, afsnit 3, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Beslut rytmen for de næste tre år, og skriv de hændelser ned, der udløser en fuld genvurdering.
Læs også: Fra rapport til flerårig køreplan · Flerårig auditplan
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
