Der er to grundmodeller for, hvem der betaler, når en enhed i koncernen skal lukke fund fra modenhedsvurderingen: en central pulje, som koncernen styrer, eller enhedens eget budget. Den centrale pulje får typisk de fælles og store fund lukket hurtigere, mens det lokale budget giver enheden ejerskab, men risikerer, at fundene venter på næste budgetår.
Ingen regel afgør valget. Det er et spørgsmål om koncernens styringsmodel, og mange koncerner ender med en blanding.
Det, der findes af vejledning
I NIST IR 8286, revideret i december 2025, kobles cyberrisiko til den øvrige risikostyring. Vejledningen lægger op til, at topledelsen giver de underliggende enheder vejledning om blandt andet “capital and operating budgets to manage known risks”, sammen med prioritet, risikoappetit og tolerance.
Vejledningen er skrevet med amerikanske føderale organisationer i tankerne, men tanken er generel: det er topledelsen, der sætter rammen for, hvordan enhederne finansierer håndteringen af kendte risici. Den siger ikke, om pengene skal ligge centralt eller lokalt.
Model 1: central pulje
I den centrale model afsætter koncernen en pulje til at lukke fund fra vurderingen. Enhederne søger om midler, eller puljen fordeles efter en fast prioritering.
Fordelene er, at de største risici kan prioriteres på tværs af koncernen, og at fund, der går igen i flere selskaber, kan løses én gang. Et lille selskab med et stort fund behøver ikke vente, til det selv har råd.
Ulemperne er, at enhederne kan opfatte fundene som koncernens problem. Når nogen andre betaler, er der mindre grund til at holde fast i løsningen bagefter. Puljen kan også blive en flaskehals, hvis alle søger på samme tid.
Model 2: lokalt budget
I den lokale model skal hver enhed selv finde midlerne til at lukke sine fund inden for sit eget budget.
Fordelen er ejerskab. Enhedens ledelse skal selv prioritere, og løsningen bliver deres. Det passer godt til koncerner, hvor datterselskaberne i forvejen har stor selvstændighed.
Ulemperne er, at fund kan blive skubbet, fordi enheden har andre presserende opgaver, og at små enheder med store fund kan have svært ved at løfte dem. Det kan også føre til, at flere selskaber løser det samme problem hver for sig.
Virkningen på, hvor hurtigt fund lukkes
Det er sitets vurdering, ud fra modellernes opbygning og uden en kilde, der har målt det, at forskellen viser sig i to typer fund.
De fælles fund, der går igen i mange enheder, lukkes typisk hurtigere med en central pulje, fordi løsningen kan laves én gang. De lokale fund, der kun gælder én enhed og kræver lokale ændringer i processer, kan lukkes lige så hurtigt med et lokalt budget, hvis ledelsen lokalt tager dem alvorligt.
Den største forsinkelse opstår, når ingen af modellerne er valgt, og hver enhed venter på, at koncernen betaler, mens koncernen venter på, at enheden gør det.
En mellemvej
Mange koncerner bruger en blanding. Det er praksis at dele fundene i tre grupper:
- Fælles fund i mange enheder · Hvem betaler: Koncernen · Begrundelse: Én løsning til alle
- Lokale fund over tolerancen · Hvem betaler: Koncernen med lokal medfinansiering · Begrundelse: Risikoen er koncernens, ejerskabet enhedens
- Øvrige lokale fund · Hvem betaler: Enheden · Begrundelse: Lokal prioritering
Opdelingen er sitets forslag. Det vigtigste er, at den er besluttet og skrevet ned, før fundene kommer. Så ved enhederne, hvad de kan forvente, og koncernen kan følge med i, om fundene bliver lukket.
Opfølgning i fundregistret
Uanset model skal finansieringen kunne ses ved hvert fund. Det er praksis at have et felt i fundregistret, der viser, om fundet lukkes med centrale eller lokale midler. Så kan revisionsudvalget se, hvor fund går i stå, og om det skyldes finansieringen. Hvilke felter registret ellers bør have, står i fundregistret for hele koncernen.
Små selskaber og nyopkøbte
To grupper fortjener særlig opmærksomhed. Små selskaber i koncernen har ofte få folk og stramme rammer. Et stort fund kan være uoverskueligt for dem, selv om løsningen er enkel for koncernen.
Nyopkøbte selskaber er i en særlig situation efter handlen. Deres første måling i koncernen viser ofte mange fund, fordi de er målt mod koncernens målestok for første gang. Det kan være urimeligt at lade dem bære alle fundene selv fra dag ét.
Det er praksis at give begge grupper en overgang, hvor koncernen dækker en større del. For de nyopkøbte kan overgangen knyttes til integrationsplanen, så det er klart, hvornår de overgår til den almindelige model. Selskabets første måling efter handlen gennemgås for sig i det opkøbte selskab i måleserien.
Overgangen bør have en slutdato, så den ikke bliver en varig ordning uden at nogen har besluttet det.
Hvad det kræver, og hvad det koster at lade være
Det kræver en beslutning i koncernledelsen om modellen, en klar regel for, hvilke fund der hører til hvor, og et felt i fundregistret, der viser det.
Uden en beslutning bliver spørgsmålet om betaling en grund til, at fund ikke lukkes. Bestyrelsen ser de samme fund i rapporten igen og igen uden at kunne se, at årsagen er uklarhed om finansieringen.
Det skal I lade være med
- At lade spørgsmålet stå åbent til fundene er der · aftal modellen på forhånd.
- At lade små enheder bære store fælles fund alene · risikoen er koncernens.
- At løse det samme fund i hvert selskab · fælles fund løses én gang.
Det skal gennemgangen kunne vise
- ☐ En besluttet model for finansiering af fund.
- ☐ En regel for, hvilke fund der finansieres centralt og lokalt.
- ☐ Finansieringen ved hvert fund i registret.
- ☐ Fund, der er gået i stå på grund af finansiering.
Kilder
- NIST IR 8286 Rev. 1, december 2025, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Del jeres åbne fund i de tre grupper, og bring modellen op i koncernledelsen, før næste vurdering kommer.
Læs også: Den svageste enhed · Datterselskaber med egen IT
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
