En modenhedsvurdering kan bruges som begrundelse for en investering, når gabet mellem nuværende og ønsket niveau kobles til en risiko, ledelsen har sagt, den ikke vil acceptere. Sagen handler om, hvad der skal nås og hvorfor, og den skal kunne stå, før nogen har sat tal på.
Denne artikel beskriver sagens opbygning. Beløb og budgetter hører til i virksomhedens egen økonomistyring og behandles ikke her.
Hvad målestokkene siger om ressourcer
Flere målestokke forventer, at ressourcerne følger risikoen.
NIST CSF 2.0 har under Govern underkategorien GV.RR-03, som handler om ressourcer i forhold til strategien for cyberrisiko.
Storbritanniens frivillige kodeks for bestyrelsers cyberstyring, Cyber Governance Code of Practice, udgivet i april 2025 til britiske organisationer, har under princip B en handling om, at bestyrelsen sikrer, at ressourcerne fordeles effektivt til de risici, der er aftalt.
I sin vejledning fra september 2023 lægger Bestyrelsesforeningens Center for Cyberkompetencer op til, at bestyrelsen mindst én gang om året fastsætter strategien for cybersikkerhed, herunder risikoappetit, ud fra blandt andet forretningsstrategi og “sikkerhedsbudget og investeringsvilje”. Den nævner også, at rapporteringen til bestyrelsen kan indeholde “anbefalinger til forbedringer og investeringer”.
Ingen af dem er krav for en dansk virksomhed. De er målestokke, der viser, at bestyrelsen forventes at se ressourcer og risiko i sammenhæng.
Sagens fire dele
Det er almindelig praksis at bygge en investeringssag om et modenhedsgab i fire dele.
Gabet. Hvor ligger området i dag, hvor skal det hen, og hvornår? Tallene kommer fra vurderingen og målprofilen.
Risikoen. Hvilken risiko står åben, så længe gabet findes, og ligger den inden for eller uden for den tolerance, ledelsen har fastsat? Det er koblingen til risikoen, der gør gabet til et ledelsesspørgsmål. Et område på trin to er ikke i sig selv et problem, hvis risikoen er lav.
Løsningen. Hvad skal der til for at lukke gabet: folk, kompetencer, processer, værktøjer eller hjælp udefra? Det er praksis at beskrive løsningen i de termer, vurderingen bruger, så næste måling kan vise, om den virkede.
Alternativet. Hvad sker der, hvis sagen ikke godkendes? Så skal risikoen enten bæres efter en beslutning hos den, der må tage den, eller begrænses på anden vis.
Koblingen til risikoappetitten
Den stærkeste sag bygger på en beslutning, bestyrelsen allerede har truffet. Har bestyrelsen fastsat, at en bestemt type risiko kun accepteres op til et vist niveau, og viser vurderingen, at koncernen ligger over, er investeringen en konsekvens af bestyrelsens egen beslutning.
Uden en skriftlig risikoappetit bliver sagen et skøn. Hvordan vurderingen kobles til koncernens risikoregister, er beskrevet i fra modenhedsscore til risiko.
Det, der gør sagen svag
En sag, der kun siger, at et område scorer lavt, er svag. Bestyrelsen kan med rette spørge, hvorfor det betyder noget.
En sag, der lover et bestemt trin efter investeringen, er også svag, hvis den ikke beskriver, hvad der skal kunne vises på det trin. Trinene er en rangordning og ikke en målestok med faste afstande, så det er de konkrete ændringer, der overbeviser.
En sag, der blander mange områder, gør det svært at vælge. Det er praksis at lave én sag pr. område eller pr. sammenhængende gruppe af områder, så bestyrelsen kan sige ja til nogle og nej til andre.
Efter godkendelsen
Når sagen er godkendt, skal den kunne følges op. Det er praksis at skrive delmålene ind i køreplanen og at vise dem i rapporteringen til bestyrelsen ved hver måling. Så kan bestyrelsen se, om pengene gav det lovede, uden at nogen skal finde sagen frem igen.
Samme spørgsmål set fra kommuner og regioner behandles under revision i det offentlige.
Sagen set fra bestyrelsens stol
Et bestyrelsesmedlem, der skal sige ja til en investering, vil typisk stille få, men skarpe spørgsmål. Hvad sker der, hvis vi siger nej? Hvordan ved vi, at det virker? Hvornår ser vi resultatet?
En sag bygget på en modenhedsvurdering kan svare på alle tre. Konsekvensen af et nej er den risiko, der står åben. Om det virker, kan næste måling vise. Hvornår resultatet ses, følger af delmålene i køreplanen.
Det er praksis at skrive svarene ind i sagen, før den sendes. Det gør det lettere for bestyrelsen at beslutte og lettere for den ansvarlige at følge op. En sag, der allerede har svaret på de spørgsmål, bestyrelsen vil stille, bliver sjældnere udskudt til næste møde.
Hvad det kræver, og hvad det koster at lade være
Det kræver en målprofil, en skriftlig risikoappetit og en vurdering, der er lavet, så den kan gentages. Sagen bliver ikke stærkere end den måling, den bygger på.
Uden en sag, der kobler gab og risiko, bliver prioriteringen afgjort af den, der argumenterer bedst, eller af det, regelværket kræver lige nu. Det kan betyde, at de største risici aldrig får ressourcer.
Det skal I lade være med
- At begrunde en sag med en lav score alene · koblingen til risiko er det, der tæller.
- At love et trin uden at sige, hvad der kan vises · trinene er en rangordning.
- At samle alle områder i én sag · bestyrelsen skal kunne vælge.
Det skal gennemgangen kunne vise
- ☐ En kobling mellem hvert gab og en risiko i koncernens register.
- ☐ En skriftlig risikoappetit, sagen henviser til.
- ☐ Delmål, der kan vises ved næste måling.
- ☐ En beslutning om accept for de sager, der ikke blev godkendt.
Kilder
- NIST CSF 2.0 (NIST CSWP 29), 26. februar 2024, bilag A, GV.RR-03, læst 14. november 2026.
- UK, Cyber Governance Code of Practice, 8. april 2025, princip B, læst 14. november 2026.
- Bestyrelsesforeningens Center for Cyberkompetencer, Cybersikkerhed for bestyrelse og direktion, september 2023, tema 2 og 4, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Vælg det gab, der ligger længst uden for tolerancen, og skriv sagen i de fire dele, før økonomien regnes ud.
Læs også: Modenhedsvurderingen i bestyrelsen · Målniveau pr. område
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
