De fund, der går igen i store organisationer, handler ifølge offentlige kilder især om sikkerhedsopdateringer, adgangsrettigheder, overvågning, driftskontinuitet og leverandører. I en koncern er det mest interessante sjældent det enkelte fund, men hvad det siger om styringen: at ingen ejer opgaven på tværs, at selskaberne bruger hver sin skala, eller at et krav fra koncernen aldrig er nået ud i de enkelte selskaber.
Der findes ingen samlet statistik over fund i danske koncerner. Artiklen bygger på offentlige kilder om store organisationer og markerer, hvor koncernvinklen er sitets vurdering.
Hvad de offentlige kilder peger på
Den amerikanske cybersikkerhedsmyndighed CISA og NSA udgav i oktober 2023 en fælles rådgivning med ti fejlopsætninger, som de kalder systemiske svagheder i mange store organisationer. Rådgivningen understreger, at heller ikke organisationer med en moden cybersikkerhed går fri. Rådgivningen siger, at listen ikke er prioriteret. Overskrifterne er:
- standardopsætninger af software og applikationer
- utilstrækkelig adskillelse af bruger- og administratorrettigheder
- utilstrækkelig overvågning af det interne netværk
- manglende netværkssegmentering
- dårlig patchstyring
- omgåelse af adgangskontroller
- svage eller forkert opsatte metoder til multifaktorautentificering
- utilstrækkelige adgangslister på netværksdrev og -tjenester
- dårlig hygiejne omkring legitimationsoplysninger
- ubegrænset kodeafvikling
Bag ENISA’s NIS Investments 2025 står 1 080 fagfolk fra hele EU, de fleste ansat i store virksomheder. De største udfordringer ved NIS2 er ifølge undersøgelsen patching (50 procent), driftskontinuitet (49 procent) og forsyningskæderisiko (37 procent). Næsten hver tredje organisation (30 procent) havde ikke gennemført nogen form for sikkerhedsvurdering de seneste 12 måneder.
Rigsrevisionens opfølgninger på statslige myndigheder viser fund om manglende sikkerhedsopdateringer, risikovurderinger, der ikke dækker, og manglende evne til at genetablere driften, som har stået åbne i årevis, og om beredskabsplaner, der er skrevet, men ikke testet.
Fra tekniske fund til styringsfund
Listen fra CISA og NSA er teknisk. Men når den beskriver svaghederne som systemiske, også i modne organisationer, er pointen, at det ikke er manglende viden, der skaber dem. Det er manglende styring: opgaver uden ejer, processer, der ikke når hele organisationen, og kontroller, ingen følger op på.
Standard 11.3 i IIA’s regelsæt fra januar 2024 beskriver, at fund og konklusioner fra flere opgaver tilsammen kan vise mønstre eller bagvedliggende årsager, og at revisionschefen skal meddele bestyrelse og direktion sådanne temaer rettidigt. Standard 14.3 siger, at revisorerne sammen med ledelsen skal finde de bagvedliggende årsager, når det er muligt. Standarderne gælder interne revisionsfunktioner, men vinklen passer til enhver vurdering af en koncern.
Hvordan fundene ser ud i en koncern
Det er sitets vurdering, at de offentlige kilders fund i en koncern typisk ser sådan ud:
- Dårlig patchstyring · Sådan viser det sig i koncernen: Store forskelle i opdateringstid mellem selskaberne · Hvad det siger om styringen: Ingen fælles frist eller ingen opfølgning på den
- Rettigheder, der ikke adskilles · Sådan viser det sig i koncernen: Medarbejdere, der skifter selskab, beholder gamle rettigheder · Hvad det siger om styringen: Ingen proces på tværs af selskaber
- Huller i overvågningen · Sådan viser det sig i koncernen: Nogle selskaber er uden for den centrale overvågning · Hvad det siger om styringen: Ingen har ansvaret for dækningen
- Kontinuitet · Sådan viser det sig i koncernen: Planer pr. selskab, der ikke hænger sammen · Hvad det siger om styringen: Koncernens afhængigheder er ikke kortlagt
- Forsyningskæden · Sådan viser det sig i koncernen: Ingen samlet oversigt over leverandører · Hvad det siger om styringen: Hvert selskab køber selv
- Ingen vurdering · Sådan viser det sig i koncernen: Selskaber, der aldrig er målt · Hvad det siger om styringen: Auditprogrammet dækker ikke hele koncernen
Hvert af fundene er behandlet i sin egen artikel i dette afsnit, fx uklart ansvar mellem koncern-CISO og enhederne og overvågning med huller.
Hvad fundene betyder for scoren
En modenhedsmåling kan godt give en koncern en pæn samlet score, selv om de offentlige kilders klassiske fund er til stede. Det sker, når målingen spørger til, om der findes politikker og processer, men ikke til, om de når alle selskaber. Det er sitets vurdering, at en måling i en koncern bør have et lille sæt spørgsmål, der netop går efter de gennemgående fund: dækningen af opdateringer, rettigheder ved rolleskift, overvågningens rækkevidde og sammenhængen i beredskabet. Svarene vises pr. selskab, så forskellene bliver synlige.
Den slags spørgsmål giver også bestyrelsen et sprog for fundene. I stedet for en lang liste over tekniske mangler kan rapporten sige, at fire af otte selskaber mangler en fælles proces for det samme, og at det er en beslutning for koncernen, ikke for hvert selskab.
Fund, der går igen
Det mest alvorlige mønster er ikke et bestemt fund, men at de samme fund står i rapporten år efter år. Rigsrevisionens opfølgning fra 2025 på en beretning fra 2018 viser, at tiltag mod en kendt sårbarhed stadig ikke var fuldt gennemført efter flere opfølgninger. Hvorfor det sker, og hvad ledelsen kan gøre, er beskrevet i gentagne fund.
Andre vinkler på de samme fund
Typiske fund ses forskelligt afhængigt af, hvad der vurderes. Fund i en almindelig sikkerhedsaudit er samlet under den almene auditmetode. De tekniske fund ét for ét står under tekniske kontrolpunkter, og fund hos leverandørerne under kontrol af leverandører. Her handler det om, hvad fundene siger om styringen af en koncern.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at fundene i en koncernvurdering grupperes efter, hvad de siger om styringen, ved siden af den tekniske opdeling. Det kræver også, at nogen ser på tværs af selskaberne og spørger, hvorfor det samme fund dukker op flere steder.
Rapporteres fundene ét for ét, lukkes de ét for ét, og den bagvedliggende årsag bliver stående. Næste år står de samme fund i rapporten igen, nu i andre selskaber.
Det skal I lade være med
- At kalde fundene de hyppigste i danske koncerner · der findes ingen samlet statistik.
- At lukke styringsfund som tekniske fund · årsagen bliver stående.
- At læse CISA-listen som en opskrift · brug den som spejl for styringen.
Det skal gennemgangen kunne vise
- ☐ Fund grupperet efter, hvad de siger om styringen.
- ☐ En oversigt over fund, der optræder i flere selskaber.
- ☐ Et bud på, hvorfor de gennemgående fund opstår, skrevet sammen med ledelsen.
- ☐ Fund fra tidligere vurderinger, der stadig står åbne.
Kilder
- CISA og NSA, Top Ten Cybersecurity Misconfigurations (AA23-278A), 5. oktober 2023, læst 14. november 2026.
- ENISA, 2025 NIS Investments, main report, læst 14. november 2026.
- Rigsrevisionen, Fortsat notat til Statsrevisorerne om beskyttelse mod ransomwareangreb, RN 1406/25, september 2025, læst 14. november 2026.
- Rigsrevisionen, Fortsat notat til Statsrevisorerne om statens it-beredskab II, RN 1102/26, januar 2026, læst 14. november 2026.
- IIA, Global Internal Audit Standards, januar 2024, standard 11.3 og 14.3, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læg fundene fra jeres seneste vurdering i en tabel, og markér dem, der optræder i mere end ét selskab.
Læs også: Adgangsstyring i stor skala som procesfund · Fundregistret for hele koncernen
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
