En lav score bliver først til noget, direktionen kan prioritere, når den er oversat til en risiko med en konsekvens, en sandsynlighed og en ejer. Så kan den stå i koncernens risikoregister ved siden af risici fra markedet, leverandørerne og produktionen.
NIST beskrev i december 2025 i rapporten IR 8286 rev. 1, hvordan cyberrisiko kan indgå i virksomhedens samlede risikostyring. Rapporten handler om risikoregistre og ikke om modenhedsscorer. Oversættelsen fra score til risiko nedenfor er derfor sitets metode, med NIST som støtte.
Hvorfor en score ikke er en risiko
En score siger, hvor forankret praksis er på et område. Den siger ikke, hvad der kan gå galt, hvor slemt det bliver, eller hvor sandsynligt det er. Direktionen kan ikke veje “trin 1 på hændelser” mod “en vigtig kunde kan gå konkurs”. Den kan veje to risici, der er beskrevet på samme måde.
Hvad NIST siger om registrene
IR 8286 rev. 1 beskriver risikoregistre på tre niveauer: system, organisation og virksomhed. Registrene på de lavere niveauer bør ifølge rapporten samles, normaliseres, analyseres og prioriteres på de højere niveauer. Resultatet er virksomhedens risikoprofil, en prioriteret oversigt over de væsentligste risici.
Et risikoregister indeholder typisk en beskrivelse af risikoen, konsekvensen, sandsynligheden, de planlagte tiltag, en ejer og en rangering. Rapporten holder desuden sikkerhedskontroller adskilt fra de interne kontroller, COSO beskriver.
NIST CSF 2.0 har samme tanke i Govern-funktionen. Underkategorien GV.RM-03 handler om, at cyberrisiko indgår i virksomhedens risikostyring. GV.RM-06 handler om en standardiseret metode til at beregne og prioritere risici.
Fra score til risiko i fire trin
Metoden er sitets forslag.
Første trin: Find gabet. Sammenhold scoren med målniveauet for området. Det er gabet, der er interessant, ikke scoren alene.
Andet trin: Beskriv, hvad gabet kan føre til. Spørg, hvilken hændelse der bliver mere sandsynlig eller mere alvorlig, fordi praksis ikke er på plads. Skriv det som en hændelse med en konsekvens for forretningen.
Tredje trin: Vurder sandsynlighed og konsekvens på koncernens egen risikoskala. Brug den skala, risikofunktionen bruger i forvejen, så cyberrisikoen kan sammenlignes med andre risici.
Fjerde trin: Giv risikoen en ejer i forretningen og et tiltag, der lukker gabet. Tiltaget er typisk at løfte området et trin.
Et tænkt eksempel
- Score og mål · Hændelser og kontinuitet i produktionsselskabet: trin 1, mål trin 3
- Risiko · Et angreb på produktionsnetværket stopper leverancer i flere dage, fordi der ikke er en øvet plan
- Konsekvens · Høj på koncernens skala: tabt omsætning og forsinkede ordrer
- Sandsynlighed · Mellem
- Ejer · Direktøren for produktionsselskabet
- Tiltag · Skriv og øv en beredskabsplan, og få den evalueret af koncernens sikkerhedsfunktion
Eksemplet er tænkt. Det viser, at risikoen er beskrevet, så en direktør uden teknisk baggrund kan tage stilling til den.
Op gennem niveauerne i koncernen
Ofte fører hvert selskab sine egne cyberrisici, mens koncernen samler dem. NIST’s anbefaling om at normalisere registrene på højere niveau betyder i praksis, at alle bruger samme skala for sandsynlighed og konsekvens. Ellers kan to selskabers “høje” risici ikke sammenlignes.
Koncernens risikoprofil bør vise de få cyberrisici, der er væsentlige for hele koncernen. Det kan være én risiko, der går igen i mange selskaber, eller én risiko i et enkelt selskab, som rammer alle de andre.
Hvad der går tabt i oversættelsen
En score dækker mange praksisser, og en risiko beskriver én hændelse. Nogle svagheder bliver derfor ikke til en risiko i registret, fordi de hver især er små. Det er praksis at samle sådanne svagheder i én risiko for området, så de ikke forsvinder.
Omvendt kan en høj score på et område skjule en stor risiko, hvis området er særligt udsat. Oversættelsen bør derfor også se på områder med høj score, hvor konsekvensen ved fejl er stor.
Hvem gør arbejdet
Oversættelsen kræver to slags viden. Sikkerhedsfunktionen kender gabet og ved, hvilke hændelser det kan føre til. Forretningen ved, hvad en hændelse betyder for kunder, leverancer og omdømme. Det er praksis at lave oversættelsen i fællesskab, for eksempel på et kort møde mellem sikkerhedsfunktionen, enhedens ledelse og den, der ejer koncernens risikostyring.
Resultatet bør godkendes af risikoejeren. Det er ejeren, der skal stå på mål for vurderingen af konsekvens og sandsynlighed, og det er ejeren, der skal beslutte, om risikoen skal reduceres, accepteres eller overføres.
Når næste måling kommer, er det praksis at se de oversatte risici igen. Er gabet lukket, kan risikoen nedskrives eller fjernes. Er det ikke, viser registret det, uden at nogen skal huske det.
En sidste pointe: Registret er ikke stedet for alle detaljer fra målingen. Det er praksis at lade registret pege tilbage på rapporten, så den, der vil vide mere, kan finde beviset og de enkelte svagheder bag risikoen.
Hvad det kræver, og hvad det koster at lade være
Det kræver et samarbejde mellem sikkerhedsfunktionen og den, der ejer koncernens risikostyring, en fælles risikoskala og en fast rutine, hvor nye scorer fører til en opdatering af registret.
Uden koblingen lever modenhedsmålingen sit eget liv i sikkerhedsfunktionen. Direktionen ser scorer, men kan ikke prioritere dem mod andre risici, og cyberrisikoen bliver enten overvurderet eller glemt, når ressourcerne fordeles.
Det skal I lade være med
- At sætte scoren direkte i risikoregistret · en score er ikke en hændelse med en konsekvens.
- At bruge en egen risikoskala for cyber · så kan risikoen ikke vejes mod andre.
- At give sikkerhedsfunktionen ejerskabet af forretningens risici · ejeren sidder i forretningen.
Det skal gennemgangen kunne vise
- ☐ For hvert større gab den risiko, gabet er oversat til.
- ☐ At cyberrisici står i samme register og på samme skala som koncernens andre risici.
- ☐ En ejer i forretningen og et tiltag for hver risiko.
- ☐ Hvordan selskabernes registre er samlet til koncernens risikoprofil.
Kilder
- NIST IR 8286 rev. 1, Integrating Cybersecurity and Enterprise Risk Management (december 2025), resumé og afsnit 1 til 3, læst 14. november 2026.
- NIST, The NIST Cybersecurity Framework (CSF) 2.0 (februar 2024), bilag A (GV.RM-03 og GV.RM-06), læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Oversæt de tre største gab fra sidste måling til risici på koncernens egen skala.
Læs også: Målniveau pr. område · Prioritering af anbefalinger
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
