En måleserie er kun sammenlignelig, hvis metoden, omfanget og skalaen er de samme fra måling til måling, eller hvis ændringerne er beskrevet, så læseren kan se, hvad der skyldes dem. Skifter en af de tre uden at det fremgår, kan udviklingen se bedre eller værre ud, end den er.
Det gælder også de store målere. Både ENISA og NIST skriver selv om, hvor sammenligneligheden har sine grænser.
De store målere skriver deres egne forbehold
ENISA skriver om sin undersøgelse NIS Investments, at stikprøven ikke er den samme hvert år, og at det kan påvirke resultaterne. Det står i rapporten fra 2025 som et forbehold ved alle sammenligninger med tidligere udgaver.
I NIS360, ENISA’s vurdering af sektorernes modenhed, holdes et sæt kerneindikatorer fast netop for at kunne følge udviklingen fra udgave til udgave. Resten af modellen kan ændres, men kernen ligger fast.
NIST SP 800-55 fra 2024 lister de felter, en sikkerhedsmåling bør have. Blandt dem er en tidsreference, der angiver, hvornår og hvor ofte målingen foretages. Uden den kan to tal ikke placeres korrekt i forhold til hinanden.
Eksemplerne viser, at det er normalt at skrive sammenlignelighedens grænser ned. En koncerns egen måleserie bør gøre det samme.
Fem ting, der flytter scoren uden at sikkerheden flytter sig
Det er almindelig praksis at holde øje med fem forhold.
Metoden. Skifter vurderingen fra spørgeskema til interview med stikprøver, falder scoren typisk, fordi bevisdybden stiger. Det er tallet, der falder. Sikkerheden kan være den samme.
Skalaen. Ændres antallet af trin, eller ændres beskrivelsen af et trin, kan områder hoppe op eller ned uden reel ændring.
Omfanget. Kommer et opkøbt selskab med i målingen, eller tages et frasolgt ud, ændres koncerntallet. Det samme sker, når nye systemer eller lokationer kommer med.
Auditoren. En ny auditor vurderer anderledes end den forrige, selv med samme metode. Det er en kendt kilde til spring i serien.
Rammeværket. Skifter koncernen målestok midt i serien, fx fra én ramme til en anden, kan de gamle tal kun sammenlignes, hvis der er lavet en omsætning mellem de to. Den situation har sin egen artikel om rammeskift i serien.
Sådan holdes serien sammenlignelig
Det er praksis at gøre fire ting.
Lås en kerne. Ligesom NIS360 kan koncernen vælge et sæt områder og spørgsmål, der ikke ændres. Kernen giver serien, mens resten kan udvikles.
Skriv ændringerne ned. Hver måling får en kort metodenote, der beskriver, hvad der er ændret siden sidst: metode, skala, omfang, auditor og rammeværk.
Vis tallene på to måder ved store ændringer. Kommer et nyt selskab med, kan koncerntallet vises både med og uden det. Så kan bestyrelsen se, hvor meget af ændringen der skyldes omfanget.
Gentag en del af den gamle metode. Skiftes metoden, kan en stikprøve af områderne vurderes efter både den gamle og den nye. Forskellen giver et skøn over, hvor meget af ændringen der skyldes metoden.
Skalaen er ikke en lineal
En særlig fælde er at behandle trinene som tal med lige store afstande. NIST SP 800-55 regner trinskalaer som en rangordning. Det er sitets tolkning, at en stigning fra trin to til tre derfor ikke kan sammenlignes med en stigning fra tre til fire, og at gennemsnit af trin skal læses med forsigtighed.
For en måleserie betyder det, at det er mere ærligt at vise, hvilke områder der er rykket, end at vise en gennemsnitsscore, der stiger med en decimal.
Rapporten til bestyrelsen
Det er praksis at vise udviklingen sammen med metodenoten. En kort sætning om, at scoren er påvirket af et nyt selskab eller en ny auditor, kan spare en lang diskussion. Når scoren falder, er det særlig vigtigt, og det er emnet i når scoren falder.
Opkøb og frasalg i serien
En koncern, der køber og sælger selskaber, ændrer hele tiden det, der måles. Et opkøbt selskab med lav modenhed trækker koncerntallet ned. Et frasolgt selskab med lav modenhed får det til at stige. Ingen af delene siger noget om, hvorvidt sikkerheden i de øvrige selskaber har ændret sig.
Det er praksis at føre to tal: koncernen som den ser ud i dag, og en fast gruppe af selskaber, der har været med i hele perioden. Den faste gruppe viser den reelle udvikling, mens det samlede tal viser, hvor koncernen står lige nu.
Den første måling af et nyt selskab efter handlen har sin egen artikel om opkøbte selskaber i serien.
Hvad det kræver, og hvad det koster at lade være
Det kræver en fast kerne i målingen, en metodenote ved hver måling og en vilje til at vise tallene på to måder, når omfanget ændrer sig.
Uden det kan en koncern i årevis se en stigende kurve, der skyldes, at målingen er blevet lettere, eller en faldende, der skyldes, at den er blevet grundigere. Bestyrelsen beslutter så ud fra en kurve, der viser målingens udvikling frem for sikkerhedens.
Det skal I lade være med
- At skifte metode uden at skrive det · serien mister sin værdi.
- At regne gennemsnit af trin som en lineal · trinene er en rangordning.
- At lade nye selskaber gå direkte ind i koncerntallet · vis tallet med og uden.
Det skal gennemgangen kunne vise
- ☐ En fast kerne af områder og spørgsmål.
- ☐ En metodenote ved hver måling.
- ☐ Koncerntal med og uden ændringer i omfanget.
- ☐ En vurdering af, hvor meget en metodeændring har flyttet scoren.
Kilder
- ENISA, NIS Investments 2025, hovedrapport, afsnit om metode, læst 14. november 2026.
- ENISA, NIS360, tredje udgave, 28. maj 2026, bilag B, læst 14. november 2026.
- NIST SP 800-55v1, december 2024, afsnit 3.1.1, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv en metodenote til jeres seneste måling, der beskriver, hvad der er ændret siden den forrige.
Læs også: Den første måling · Samme auditor hvert år eller skift?
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
