En modenhedsvurdering svarer på, hvor langt koncernen er nået mod en model. En audit svarer på, om et fastlagt sæt krav bliver opfyldt, og en teknisk gennemgang svarer på, hvordan konkrete systemer er sat op.
Bestyrelsen får derfor det bedste svar, når den først skriver sit eget spørgsmål ned og bagefter vælger ydelsen. Opdelingen i tre ydelser er sitets praksis og bygger ikke på en regel. Den hjælper til at undgå, at en koncern bestiller en grundig audit og får en score, eller bestiller en score og forventer en kontrol af hver enhed.
Det første spørgsmål: hvor langt er vi nået?
En modenhedsvurdering lægger koncernens praksis ved siden af en model og placerer hvert område på en skala. C2M2 fra det amerikanske energiministerium beskriver resultatet som et øjebliksbillede, “a point-in-time view”. NIST CSF 2.0 arbejder med en nuværende profil og en målprofil, som tilsammen viser, hvor organisationen står, og hvor den vil hen.
Leverancen er typisk en profil pr. område og pr. enhed, et gab til målniveauet og en prioriteret liste over det, der skal løftes. Den passer til bestyrelsen, der vil følge udviklingen over flere år og sammenligne datterselskaber på samme målestok. Den siger mindre om, hvorvidt en bestemt kontrol virker i en bestemt enhed i dag.
Det andet spørgsmål: bliver kravene opfyldt?
En audit tager udgangspunkt i krav, som er fastlagt på forhånd. Det kan være koncernens egen politik, et ledelsessystem efter ISO 27001 eller et lovkrav. Digitaliseringsstyrelsens vejledning i evaluering og opfølgning beskriver intern audit som en proces, der er planlagt, dokumenteret og udført af nogen, der står uden for det, de ser på. Den skriver også, at intern audit ikke må forveksles med revision. Revisor skal være langt mere sikker i sin sag og bruger derfor mange stikprøver. Intern audit er efter vejledningen nærmere en gennemgang, et review.
Den gældende vejledning for audit af ledelsessystemer er ISO 19011 i udgaven fra 2026, som afløser udgaven fra 2018. Den dækker blandt andet auditprincipper, styring af et auditprogram og gennemførelse af den enkelte audit.
Leverancen fra en audit er fund og afvigelser målt mod kravene, med en handlingsplan, frister og ansvar. Den passer, når bestyrelsen eller revisionsudvalget vil vide, om koncernpolitikken faktisk følges i enhederne. Den almene metode for en sikkerhedsaudit er beskrevet under sikkerhedsaudit og NIS2-audit.
Det tredje spørgsmål: hvordan er systemerne sat op?
En teknisk gennemgang ser på konfiguration, adgange, logning og opdateringer i udvalgte systemer. Her findes ingen fælles ramme i de kilder, sitet bygger på, så beskrivelsen er praksis. Leverancen er tekniske fund med anbefalinger til den, der driver systemet.
Penetrationstest og red teaming er andre ydelser igen. De prøver at bryde ind og beskrives ikke her.
Bevisdybde skiller dem ad
Sitet bruger ordet bevisdybde om, hvor meget der skal til, før en påstand regnes som vist. Ordet er sitets eget.
- Modenhedsvurdering · Spørgsmål: Hvor langt er vi nået mod en model? · Typisk bevis: Interview, dokumenter, udvalgte stikprøver · Leverance: Profil pr. område og enhed, gab og prioriteter
- Audit · Spørgsmål: Bliver de fastlagte krav opfyldt? · Typisk bevis: Dokumenter og stikprøver mod hvert krav · Leverance: Fund og afvigelser med handlingsplan
- Teknisk gennemgang · Spørgsmål: Hvordan er systemerne sat op? · Typisk bevis: Konfiguration og tekniske data · Leverance: Tekniske fund til driften
Mange koncerner blander de tre ydelser. En modenhedsvurdering af hele koncernen kan suppleres med en audit i to selskaber og en teknisk gennemgang af de mest kritiske systemer. Det vigtige er, at rapporten siger, hvilket bevis der ligger bag hvert tal.
Når bestyrelsen spørger om noget andet end det bestilte
Et tænkt eksempel: Bestyrelsen i en koncern med fem selskaber spørger, om koncernen er sikker nok til at vokse. Der bliver bestilt en teknisk gennemgang af det største selskabs netværk. Rapporten er grundig, men den svarer på, hvordan ét netværk er sat op. Spørgsmålet om hele koncernens evne til at styre risiko står ubesvaret.
Det modsatte sker også. En modenhedsvurdering giver selskabet en høj score på adgangsstyring, og direktionen læser det som en bekræftelse af, at ingen har for mange rettigheder. Scoren siger noget om, at processen findes og bliver fulgt. Den siger ikke, at hver konto er gennemgået.
Et enkelt greb hjælper. Skriv spørgsmålet i én sætning, før opgaven bestilles, og lad leverandøren svare skriftligt på, hvilket af de tre spørgsmål tilbuddet besvarer.
Hvem bestiller hvad
I praksis bestiller anden linje, ofte koncernens CISO, modenhedsvurderingen, fordi den bruges til at styre programmet. Den interne revision bestiller eller udfører audits, fordi den skal give bestyrelsen uafhængig sikkerhed. Den tekniske gennemgang ligger tættest på driften. Fordelingen er praksis og kan se anderledes ud i den enkelte koncern.
Når flere parter bestiller hver sin ydelse, er det en god vane at samle dem i én oversigt over året. Så kan revisionsudvalget se, hvilke spørgsmål der bliver besvaret, af hvem og med hvilken dybde, og hvor der er huller eller dobbeltarbejde mellem enhederne.
Det er også værd at aftale, hvordan resultaterne fra de tre ydelser skal læses sammen. En audit kan bekræfte eller svække en score, og en teknisk gennemgang kan vise, hvorfor et område står lavt.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at bestyrelsen eller revisionsudvalget formulerer spørgsmålet, før ydelsen vælges, og at opdraget skriver, hvilken bevisdybde der forventes. Det kræver også, at rapporten skelner mellem det, der er set, og det, der er fortalt.
Uden den afklaring svarer rapporten på noget, ledelsen ikke spurgte om. Det koster tid i enhederne, og det kan give en falsk tryghed, når en score bliver læst som en kontrol.
Det skal I lade være med
- At bestille ydelsen før spørgsmålet · så styrer leverandørens vane, hvad I får svar på.
- At læse en modenhedsscore som en kontrol af hver enhed · scoren beskriver praksis, ikke hver enkelt konto eller server.
- At kalde en audit for revision · en revisor arbejder efter andre regler og med en højere grad af overbevisning.
Det skal gennemgangen kunne vise
- ☐ Det spørgsmål, bestyrelsen eller direktionen ønsker besvaret, skrevet i én sætning.
- ☐ Hvilken ydelse eller kombination der svarer på spørgsmålet, og hvorfor.
- ☐ Den bevisdybde, hvert resultat bygger på.
- ☐ Hvem der har bestilt opgaven, og hvem rapporten går til.
Kilder
- Digitaliseringsstyrelsen, Vejledning i evaluering og opfølgning (juni 2016), afsnit 2.1, læst 14. november 2026.
- EVS, EVS-EN ISO 19011:2026, katalogside, læst 14. november 2026.
- U.S. Department of Energy, C2M2 version 2.1 (juni 2022), afsnit 5.1, læst 14. november 2026.
- NIST, The NIST Cybersecurity Framework (CSF) 2.0 (februar 2024), afsnit 3.1, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv bestyrelsens spørgsmål i én sætning, og vælg derefter ydelsen.
Læs også: Høj modenhed er ikke det samme som høj sikkerhed · Hvem bestiller
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
