Det rigtige målniveau er forskelligt fra område til område, fordi risiko, krav og udbytte er forskellige. Både C2M2 og NIST CSF 2.0 siger, at det højeste trin overalt sjældent er den bedste brug af kræfterne.
For en større virksomhed eller koncern betyder det, at målprofilen er en ledelsesbeslutning. Den skal kunne forklares for bestyrelsen, og den skal kunne ændres, når risikoen ændrer sig.
Hvad rammerne selv siger
C2M2 version 2.1 skriver ligeud, at topniveauet i hvert eneste domæne “may not be optimal”. Virksomheder bør vurdere, hvad et bestemt niveau koster, sammenholdt med det mulige udbytte. Modellen tilføjer, at alle bør kunne nå MIL1 i alle domæner. Målet sættes som en målprofil med et ønsket niveau pr. domæne, og ved første brug fastsættes målprofilen typisk efter den første selvevaluering.
NIST CSF 2.0 bruger en målprofil, en Target Profile, ved siden af den nuværende profil. Om tiers skriver rammen, at et højere tier tilskyndes, når risici eller krav er større, eller når en cost-benefit-analyse viser, at en mærkbar og omkostningseffektiv reduktion af risikoen er mulig. Hurtigguiden SP 1302 fra NIST tilføjer, at valget normalt foretages af organisationens ledelse.
Tre spørgsmål pr. område
Det er almindelig praksis at sætte målniveauet ud fra tre spørgsmål. De er sitets opdeling.
Hvor stor er risikoen? Et område, hvor en fejl kan standse produktion eller levering, fortjener et højere mål end et område, hvor konsekvensen er begrænset.
Hvilke krav gælder? Lovkrav, kontrakter med kunder og koncernens egne politikker kan sætte et gulv. Gulvet er det mindste, ikke målet.
Hvad giver et trin mere? Hvis det næste trin kræver meget arbejde og kun mindsker risikoen lidt, er det ofte bedre at bruge kræfterne et andet sted.
En analogi fra ENISA
ENISA’s rapport NIS360 fra maj 2026 sammenligner modenhed og kritikalitet for hele sektorer. Sektorer, hvor kritikaliteten er højere end modenheden, ligger i det, ENISA kalder en “risk zone”. Rapporten handler om sektorer og ikke om den enkelte virksomhed. Tanken kan alligevel overføres som analogi: Et område i koncernen, hvor kritikaliteten er høj, og modenheden lav, er dér, målniveauet bør sættes højest først. Analogien er sitets.
Et tænkt eksempel
En koncern med en produktionsenhed, en salgsenhed og en fælles IT-funktion sætter målprofil.
- Hændelser og kontinuitet i produktionen · Målniveau: Højt · Begrundelse: Et stop rammer leverancer til kunderne
- Identitet og adgang i den fælles IT · Målniveau: Højt · Begrundelse: Én fejl rammer alle enheder
- Situationsbillede i salgsenheden · Målniveau: Mellem · Begrundelse: Få systemer, begrænset konsekvens
- Arkitektur i salgsenheden · Målniveau: Mellem · Begrundelse: Bygger på den fælles IT
Tabellen er tænkt og viser kun princippet. Pointen er, at hvert målniveau har en begrundelse, som ledelsen kan stå på mål for.
Hvem beslutter
CSF og SP 1302 placerer valget hos ledelsen, “executives” og “organization leadership”. I en større virksomhed er det praksis, at direktionen foreslår målprofilen, og at bestyrelsen godkender den, fordi den er en del af koncernens risikoappetit. Det er ikke et krav i rammerne.
Det er også praksis at genoverveje målprofilen ved større ændringer, for eksempel et opkøb, en ny forretning eller nye krav fra kunder.
Målprofilen i en koncern
I en koncern kan målprofilen sættes på to niveauer. Koncernen sætter et fælles gulv for alle enheder, og hver enhed får derudover sit eget målniveau efter sin risiko. Det giver mulighed for at sammenligne enhederne på gulvet og samtidig acceptere, at en lille salgsenhed ikke skal nå samme niveau som en stor fabrik.
Det kræver, at forskellen på gulv og mål står tydeligt i rapporten. Ellers bliver en enhed, der lever op til sit eget mål, læst som svag, fordi den ligger under en anden enheds mål.
Målniveau og ressourcer
Et målniveau er også en beslutning om ressourcer. Hvert trin op kræver tid hos folk i enhederne, hos sikkerhedsfunktionen og ofte hos ledelsen selv. Det er praksis at lægge målprofilen og planen for at nå den frem samtidig, så bestyrelsen kan se, hvad målet kræver, før den godkender det.
En målprofil, der ikke kan nås inden for den tid og de folk, koncernen har, giver et permanent gab. Det er ærligere at sætte et lavere mål for et område med lav risiko og bruge kræfterne der, hvor risikoen er størst. C2M2’s råd om at veje udbytte mod indsats gælder også her.
Det er også værd at sætte en tidshorisont. Et mål om trin 3 på hændelser kan være rimeligt om tre år og urealistisk om et. Tidshorisonten gør det muligt at følge, om koncernen er på vej.
Hvad det kræver, og hvad det koster at lade være
Det kræver en målprofil med et niveau og en kort begrundelse for hvert område, en klar beslutning om, hvem der godkender den, og en fast anledning til at se den igen. Det kræver også, at målingen rapporterer gabet til målet frem for gabet til det højeste trin.
Uden målprofil bliver det højeste trin det stiltiende mål. Så bruges kræfterne jævnt over alle områder, og de kritiske områder får ikke nok. Bestyrelsen ser et gab overalt og kan ikke se, hvor det haster.
Det skal I lade være med
- At gøre højeste trin til mål overalt · rammerne fraråder det selv.
- At forveksle et lovkrav med målet · kravet er gulvet.
- At sætte målprofilen uden begrundelse · så kan ingen forklare den for bestyrelsen.
Det skal gennemgangen kunne vise
- ☐ En godkendt målprofil med et målniveau pr. område.
- ☐ En begrundelse for hvert målniveau ud fra risiko, krav og udbytte.
- ☐ Hvem der har godkendt målprofilen, og hvornår den sidst blev set igen.
- ☐ Forskellen på koncernens fælles gulv og den enkelte enheds mål.
Kilder
- U.S. Department of Energy, C2M2 version 2.1 (juni 2022), afsnit 4.2 og 5.2, læst 14. november 2026.
- NIST, The NIST Cybersecurity Framework (CSF) 2.0 (februar 2024), afsnit 3.1 og 3.2, læst 14. november 2026.
- NIST SP 1302, Quick-Start Guide for Using the CSF Tiers (oktober 2024), læst 14. november 2026.
- ENISA, NIS360 2026 (maj 2026), afsnit 1.1 og 1.2, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Sæt et målniveau og en begrundelse for hvert område, og få målprofilen godkendt.
Læs også: Fra modenhedsscore til risiko · Modenhedsvurderingen i bestyrelsen
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
