Når en kunde eller partner spørger til jeres sikkerhed, er det sjældent en god idé at sende rapporten fra modenhedsvurderingen. Den indeholder fund og detaljer, der kan misbruges. En nuværende profil, som NIST CSF 2.0 beskriver den, kan i stedet vise niveauet og de kendte forbedringsområder uden at udlevere selve rapporten.
NIST nævner selv denne brug af profilen. Hvad der holdes ude, og hvordan profilen præsenteres, er praksis.
Hvad CSF 2.0 siger
Organisationsprofiler findes i to former i CSF 2.0: en nuværende profil, der viser, hvor organisationen står, og en målprofil, der viser, hvor den vil hen. I afsnit 3.1 står, at en nuværende profil kan bruges til at dokumentere og kommunikere organisationens cybersikkerhedskapaciteter og kendte forbedringsmuligheder over for eksterne interessenter som forretningspartnere eller potentielle kunder.
Formuleringen er værd at bemærke. Den nævner både kapaciteter og forbedringsmuligheder. En profil, der kun viser det gode, er en brochure, ikke en profil.
Hvorfor ikke sende rapporten
En vurderingsrapport er skrevet til intern brug. Den har fund med alvorlighed, beskrivelser af svagheder, navne på systemer og ofte oplysninger om enkelte selskaber. Sendt ud af huset kan den give en angriber et kort over svagheder. Den kan også blive læst forkert af en modtager, der ikke kender skalaen eller metoden.
Rapporten er desuden et øjebliksbillede med en dato. Mange af fundene kan være rettet, når kunden læser den, og det fremgår ikke af rapporten.
Hvad en profil udadtil kan indeholde
Det er sitets forslag at lave profilen udadtil som et kort dokument med disse dele.
- Rammeværk og version · fx NIST CSF 2.0, så modtageren ved, hvad niveauet er målt mod.
- Omfang · hvilke selskaber og tjenester profilen dækker, og hvilke den ikke dækker.
- Niveau pr. funktion · fx for de seks funktioner i CSF 2.0, med en kort tekst om hvert.
- Kendte forbedringsområder · overordnet beskrevet, uden tekniske detaljer.
- Dato og grundlag · hvornår vurderingen er lavet, og om den er intern eller ekstern.
- Kontakt · hvem modtageren kan spørge.
Det, der holdes ude, er fund med alvorlighed, systemnavne, beskrivelser af konkrete svagheder og resultater for enkelte selskaber, medmindre et selskab selv er modtagerens leverandør.
Ærlighed om forbedringsområderne
Det kan føles risikabelt at nævne forbedringsområder over for en kunde. Men CSF’s formulering lægger op til det, og det gør profilen troværdig. En kunde, der kun får positive udsagn, vil typisk stille flere spørgsmål. En kunde, der får et ærligt billede med en plan, har noget at forholde sig til.
Det er praksis at beskrive forbedringsområder på samme abstraktionsniveau som funktionerne i CSF, fx at detektion i nogle selskaber er under udbygning, og hvornår det forventes at være på plads. Det sidste skal være en realistisk plan, ikke et løfte.
Andre måder at vise et niveau
Der findes også mærkningsordninger. D-mærket beskriver sig selv som Danmarks mærkningsordning for it-sikkerhed og ansvarlig dataanvendelse, med selvevaluering, tilsyn og årlig fornyelse. Det er en anden måde at vise et niveau udadtil, og samspillet med en stor virksomheds egen måling gennemgås i D-mærket i en stor virksomhed. Artiklen her handler om koncernens egen profil.
Spørgsmålet om at dele auditrapporter med andre i almindelighed tages op på sitet om auditmetoden.
Hvem godkender profilen
Profilen udadtil er et udsagn fra virksomheden. Det er praksis, at direktionen godkender den, og at juridisk funktion ser på formuleringerne, så profilen ikke kan læses som en garanti. Den bør have en udløbsdato, fx når næste vurdering er færdig, så en gammel profil ikke cirkulerer i årevis.
Har en kunde ret til at se mere efter en kontrakt, fx revisionsret, er det en anden situation. Så gælder kontraktens vilkår, og profilen er et supplement.
Profilen i en koncern med mange selskaber
En koncern har ofte kunder, der kun handler med ét af selskaberne. Det er praksis at lave profilen på koncernniveau og supplere med en kort tekst om det selskab, kunden handler med, hvis selskabet ligger væsentligt anderledes. Selskabets egne fund skal stadig holdes ude. Det giver kunden et billede af både rammen og det konkrete selskab uden at udlevere detaljer om resten af koncernen.
Hvad det kræver, og hvad det koster at lade være
Det kræver en vurdering efter et kendt rammeværk, et kort dokument, der skrives ud fra den, og en godkendelse i direktionen. Når vurderingen gentages, opdateres profilen.
Lader man være, ender det ofte med, at den fulde rapport sendes ud, når en vigtig kunde presser på. Eller at salgsafdelingen skriver sine egne udsagn om sikkerheden, som ingen har kontrolleret.
Det skal I lade være med
- At sende den fulde vurderingsrapport · den kan give et kort over svagheder.
- At udelade forbedringsområderne · det gør profilen mindre troværdig.
- At lade profilen leve uden dato · den skal udløbe ved næste vurdering.
Det skal gennemgangen kunne vise
- ☐ En godkendt profil med rammeværk, omfang og dato.
- ☐ Niveau pr. funktion og kendte forbedringsområder.
- ☐ En beslutning om, hvad der holdes ude.
- ☐ En oversigt over, hvem profilen er sendt til.
Kilder
- NIST CSF 2.0 (NIST CSWP 29), 26. februar 2024, afsnit 3.1, læst 14. november 2026.
- D-mærket, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv et udkast til en profil på én side ud fra jeres seneste vurdering, og vis det til direktionen.
Læs også: Én vurdering, flere rapporter · Community Profiles
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
