Govern er den funktion i NIST CSF 2.0, der måler, hvordan ledelsen fastsætter strategi, forventninger, ansvar og politik for cyberrisiko. Den kom til i version 2.0 fra februar 2024, og den flytter en del af målingen fra IT-afdelingen op til direktion og bestyrelse.
Det betyder, at en vurdering efter CSF 2.0 skal tale med ledelsen og se ledelsens egne dokumenter. Svarene derfra er ikke pynt i rapporten. De afgør, om resten af målingen har et fundament.
Hvorfor Govern står i midten
Rammen tegner de seks funktioner som et hjul med Govern i midten. NIST begrunder placeringen med, at Govern informerer, hvordan organisationen gennemfører de fem andre funktioner. Identify, Protect, Detect, Respond og Recover beskriver, hvad der gøres. Govern beskriver, hvem der har besluttet det, ud fra hvilken strategi og med hvilket tilsyn.
For en koncern er det en hjælp. Mange målinger finder huller i enhederne, som i virkeligheden skyldes, at koncernen aldrig har fastlagt, hvad der forventes. Govern giver et sted at registrere den slags fund, så de ikke skrives på enhedernes regning.
De seks kategorier
Govern har seks kategorier og 31 underkategorier i rammens bilag A.
- GV.OC Organizational Context · Hvad den handler om: Mission, interessenter, krav og afhængigheder · Typisk bevis i en koncern: (Oversigt over lovkrav og kontraktkrav pr. selskab)
- GV.RM Risk Management Strategy · Hvad den handler om: Prioriteter, risikoappetit og metode · Typisk bevis i en koncern: (Bestyrelsens beslutning om risikoappetit)
- GV.RR Roles, Responsibilities, and Authorities · Hvad den handler om: Ansvar, myndighed og ressourcer · Typisk bevis i en koncern: (Ansvarsfordeling mellem koncern og enheder)
- GV.PO Policy · Hvad den handler om: Politik, der fastlægges, kommunikeres og håndhæves · Typisk bevis i en koncern: (Koncernpolitik med godkendelse og revisionsdato)
- GV.OV Oversight · Hvad den handler om: Ledelsens opfølgning og justering af strategien · Typisk bevis i en koncern: (Referater fra direktion eller revisionsudvalg)
- GV.SC Cybersecurity Supply Chain Risk Management · Hvad den handler om: Risiko i forsyningskæden · Typisk bevis i en koncern: (Krav til leverandører og opfølgning på dem)
To underkategorier rammer ledelsen direkte. GV.RR-01 placerer ansvaret for cyberrisiko hos organisationens ledelse og forventer, at ledelsen fremmer en risikobevidst kultur. GV.OV-03 siger, at organisationens præstation i styringen af cyberrisiko evalueres og gennemgås. Den sidste er en underkategori om selve målingen: at ledelsen faktisk kigger på resultaterne og handler på dem.
Ledelsens egne svar
I rammens afsnit om kommunikation beskriver NIST, hvordan ledelsen fastsætter mål og forventninger, som føres videre til ledere og forretningsenheder, og hvordan praktikere leverer nøgletal tilbage. Govern måler, om den bevægelse fungerer. Det kan kun afgøres ved at spørge dem, der fastsætter målene.
Et interview med direktion eller bestyrelse er derfor en almindelig del af en vurdering efter CSF 2.0. Rammen foreskriver ikke metoden, så det følgende er praksis. Interviewet kan dække spørgsmål som disse:
- Hvilken risikoappetit har bestyrelsen besluttet for cyberrisiko, og hvornår blev den sidst taget op?
- Hvem i direktionen har ansvaret, og hvordan er det fordelt mellem koncern og selskaber?
- Hvilke nøgletal modtager ledelsen, og hvad er der besluttet på baggrund af dem det seneste år?
- Hvordan kender ledelsen kravene til de selskaber, der er omfattet af særlig regulering?
Svarene skal holdes op mod dokumenterne. Siger direktionen, at risikoappetitten er besluttet, skal beslutningen kunne findes i et referat. Er der forskel på det, der siges, og det, der kan vises, er det i sig selv et fund i Govern.
Hvad Govern-svarene bruges til
Svarene fra ledelsen har tre anvendelser i en koncernmåling.
Den første er at fastlægge målestokken. Målprofilen for de andre funktioner bør bygge på ledelsens risikoappetit og prioriteter. Uden dem har den, der måler, intet grundlag for at sige, om et resultat er godt nok.
Den anden er at placere fund rigtigt. Mangler en enhed en beredskabsplan, fordi koncernen aldrig har besluttet, hvem der ejer beredskabet, er fundet et Govern-fund på koncernniveau. Det ændrer, hvem der skal handle.
Den tredje er at give bestyrelsen et billede af sin egen del. En rapport, der kun beskriver IT-driften, lader bestyrelsen tro, at sikkerheden er en driftssag. En rapport med Govern viser, hvad der afhænger af ledelsens egne beslutninger. Ledelsens spor i en NIS2-audit er et beslægtet emne, som hører til den almene audit og NIS2-auditten.
Govern i en koncern med mange selskaber
I en koncern findes Govern på flere niveauer. Koncernens bestyrelse fastsætter den overordnede strategi. Datterselskabernes ledelser har deres eget ansvar. En måling skal derfor afgøre, hvilke Govern-underkategorier der måles centralt, og hvilke der måles i hvert selskab. En mulig regel er at måle strategi og risikoappetit centralt og politikkens udbredelse, ansvar og opfølgning både centralt og lokalt. Det er et forslag og ikke rammens krav.
Reglen har en praktisk side. Et datterselskab kan have en fin lokal politik, som ingen i koncernen kender til, eller omvendt en koncernpolitik, som den lokale direktør aldrig har set. Måles Govern kun centralt, ser begge dele ens ud. Måles den også lokalt, bliver afstanden synlig, og den kan følges fra år til år. Resultatet bør vises i to kolonner, så bestyrelsen kan se, om et hul ligger hos koncernen, i selskabet eller begge steder.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at direktion og bestyrelse afsætter tid til at blive interviewet, og at de dokumenter, der viser deres beslutninger, kan fremlægges. Det kræver også, at den, der måler, har mandat til at skrive fund om ledelsen selv.
Springes Govern over, eller udfyldes den af IT-afdelingen på ledelsens vegne, mister målingen sit anker. Målprofilen bliver et teknisk ønske, og fund, der skyldes manglende beslutninger, ender som enhedernes problem.
Det skal I lade være med
- At lade IT-afdelingen udfylde Govern · funktionen handler om ledelsens beslutninger.
- At acceptere mundtlige svar uden dokumenter · forskellen er selv et fund.
- At placere alle fund i enhederne · nogle hører hjemme på koncernniveau.
Det skal gennemgangen kunne vise
- ☐ En besluttet risikoappetit med dato og referat.
- ☐ En ansvarsfordeling mellem koncern og selskaber.
- ☐ Dokumentation for, at ledelsen har gennemgået resultaterne af målingen.
- ☐ Fund i Govern adskilt fra fund i de øvrige funktioner.
Kilder
- NIST CSWP 29, The NIST Cybersecurity Framework (CSF) 2.0, 26. februar 2024, afsnit 2 og 5.1 samt bilag A, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find det referat, hvor bestyrelsen senest besluttede risikoappetit for cyberrisiko, og notér datoen.
Læs også: Modenhedsvurderingen i bestyrelsen · Uklart ansvar mellem koncern-CISO og enhederne
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
