En koncern kan måle sin sikkerhed én gang efter én ramme og bruge resultatet til at rapportere mod flere andre, hvis der findes en kobling mellem rammerne. NIST offentliggør sådanne koblinger til CSF 2.0, men tester ikke rigtigheden af dem, som andre har lavet, og står ikke inde for dem.
Koblingerne sparer derfor arbejde, men de flytter et ansvar over på jer. Den, der bruger en mapping som grundlag for en rapport, skal vide, hvor den holder, og hvor den skal efterprøves.
Hvad NIST tilbyder
NIST kalder koblingerne Informative References. Ifølge NIST’s side, opdateret den 9. november 2026 og læst den 14. november 2026, skal de gøre det lettere at se, hvordan resultaterne i CSF’s Core nås i praksis. De er udviklet af både NIST og andre.
Der er omkring 25 referencer. Blandt dem er koblinger til ISO/IEC 27001:2022, CIS Controls 8.1, NIST SP 800-53 rev. 5 og SP 800-171 rev. 3. Før en reference bliver endelig, er den i høring i 30 dage.
To forbehold står på siden. NIST tester ikke rigtigheden af koblinger, som andre har indsendt. Og at en reference er optaget, betyder ikke, at NIST står inde for den.
Rammerne bevæger sig mod hinanden
CIS Controls v8.1 har lagt sin tilknytning til sikkerhedsfunktioner om efter CSF 2.0 og har fået en ny funktion, Govern. Det gør det lettere at gå fra en måling efter CIS til en rapport efter CSF og omvendt. Det betyder ikke, at de to rammer måler det samme. CIS beskriver konkrete foranstaltninger. CSF beskriver resultater. En kobling siger, at en foranstaltning bidrager til et resultat, ikke at den alene opfylder det.
Fire typer kobling
Når to rammer kobles, kan forholdet mellem et punkt i den ene og et punkt i den anden være forskelligt. Inddelingen nedenfor er vores og ikke NIST’s, men den er nyttig, når koblingen skal vurderes.
- Ét til ét · Eksempel (tænkt): En foranstaltning svarer til et resultat · Hvad I kan rapportere: Resultatet direkte, med kilde
- Én til flere · Eksempel (tænkt): En foranstaltning bidrager til flere resultater · Hvad I kan rapportere: Bidraget, men hvert resultat skal vurderes for sig
- Flere til én · Eksempel (tænkt): Flere foranstaltninger er nødvendige for ét resultat · Hvad I kan rapportere: Først, når alle er vurderet
- Delvis · Eksempel (tænkt): Foranstaltningen dækker en del af resultatet · Hvad I kan rapportere: Kun den dækkede del; resten måles særskilt
Den sidste type er den farligste. En delvis kobling kan let blive læst som fuld dækning, og så rapporterer koncernen et krav som opfyldt på et halvt grundlag.
Hvor mapping holder
Mapping holder bedst, når den bruges til at finde, hvor et bevis fra den ene måling kan genbruges i den anden. Har en enhed dokumenteret sin adgangsstyring til en audit efter ISO 27001, kan det samme bevis bruges i en profil efter CSF. Beviset er det samme. Det er bare sorteret under et andet punkt.
Mapping holder også, når den bruges til at vise dækning. En koncern kan vise bestyrelsen, at dens fælles måling dækker de vigtigste resultater i flere rammer, og hvor der er huller.
Hvor mapping ikke holder
Mapping holder dårligt, når den bruges til at omregne en score. Står en enhed på et bestemt niveau i én ramme, kan det ikke oversættes til et niveau i en anden, fordi skalaerne er bygget forskelligt. C2M2 har niveauer pr. domæne, CSF har profiler pr. resultat, og den britiske ramme vurderer resultater som opnået, delvis opnået eller ikke opnået.
Mapping holder heller ikke, når den bruges som bevis for, at et lovkrav er opfyldt. En kobling mellem en ramme og en lov er en hjælp til at finde rundt, ikke en vurdering af efterlevelse. Lovkravene og deres audit hører til den almene sikkerhedsaudit og NIS2-auditten.
Sådan bruges en kobling forsvarligt
Det følgende er praksis.
- Brug den officielle udgave. Hent koblingen fra NIST’s side og notér version og dato.
- Kontroller de punkter, der betyder mest. Læs koblingen igennem for de resultater eller krav, der er kritiske for jeres rapport, og vurder, om forholdet er fuldt eller delvist.
- Marker delvise koblinger. Skriv i rapporten, hvor en kobling kun dækker en del, og hvad der er målt særskilt.
- Genbrug bevis, ikke score. Lad beviset gå på tværs, men vurder hvert punkt i den ramme, I rapporterer mod.
- Gennemgå koblingen ved nye versioner. Når en af rammerne opdateres, kan koblingen ændre sig.
Ejeren af koblingerne
I en koncern, der rapporterer mod flere krav, bør én funktion eje koblingerne. Den følger nye versioner, beslutter, hvilke koblinger koncernen bruger, og dokumenterer egne justeringer. Uden en ejer bliver koblingerne kopieret fra rapport til rapport, og ingen ved, hvem der har vurderet dem.
Hvad det kræver, og hvad det koster at lade være
Det kræver en ejer, en liste over de koblinger, koncernen bruger, med version og dato, og en gennemgang af de kritiske punkter, før koblingen bruges i en rapport. Det kræver også, at rapporten skelner mellem genbrugt bevis og særskilt vurdering.
Bruges koblinger ukritisk, kan koncernen rapportere krav som opfyldt, fordi en anden måling dækkede noget i nærheden. Det opdages først, når nogen efterprøver det, og så er det koncernens egen rapport, der ikke holder.
Det skal I lade være med
- At omregne en score fra én ramme til en anden · skalaerne er bygget forskelligt.
- At læse en kobling som NIST’s godkendelse · NIST står ikke inde for andres koblinger.
- At rapportere et krav som opfyldt på en delvis kobling · marker, hvad der er dækket.
Det skal gennemgangen kunne vise
- ☐ En liste over de koblinger, koncernen bruger, med version og dato.
- ☐ En vurdering af de kritiske punkter i hver kobling.
- ☐ Markering af delvise koblinger i rapporten.
- ☐ En navngiven ejer af koblingerne.
Kilder
- NIST, CSF 2.0 Informative References, opdateret 9. november 2026, læst 14. november 2026.
- Center for Internet Security, CIS Controls v8.1, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find de rapporter, hvor jeres resultater er overført fra én ramme til en anden, og notér, hvilken kobling der er brugt.
Læs også: NIST CSF 2.0 som måleramme · Skift af ramme midt i en måleserie
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
