Et nøgletal er kun brugbart, hvis den, der læser det, ved, hvad der skal ske, når det bevæger sig. Mange ledelsesrapporter om cybersikkerhed viser tal, som ingen ejer, ingen har sat et mål for, og som ingen beslutning hænger på.
Når det sker, bliver rapporteringen selv et fund i en modenhedsvurdering. Det er sitets vurdering, og den bygger på, at tilsynet med sikkerheden går gennem rapporteringen. Er rapporten tom for beslutninger, er tilsynet det også.
Hvad kilderne siger om brugbar rapportering
Bestyrelsesforeningens Center for Cyberkompetencer kræver af en god rapport til bestyrelsen, at den er forståelig og målbar. Den er kun værdiskabende, hvis modtagerne kan agere relevant på den, og den skal være retvisende, fyldestgørende og muliggøre konkrete tiltag. Centret erkender samtidig, at området mangler en fælles standard, og at rapporter let bliver subjektive.
Den amerikanske standardiseringsmyndighed NIST når frem til det samme i sin målevejledning. Et tal, der står alene, kan efter vejledningen få folk til at gøre det forkerte eller ingenting. Derfor kan rapporten sætte tallet i forhold til risikoen og risikoappetitten og sige, hvad modtageren skal tage stilling til. NIST råder også til at nøjes med få kvantitative målinger i starten, fordi et dårligt tal kan koste tillid til resten af rapporten.
Styrelsen for Samfundssikkerhed har en NIS 2-vejledning fra maj 2025, der som et eksempel beskriver periodiske ledelsesrapporter med status på strategiske målsætninger, handleplaner og udvalgte nøgletal og kontrolmål. Her hænger tallene sammen med noget, ledelsen har besluttet. Vejledningen gælder enheder under NIS 2-loven, men tanken kan bruges af alle.
Fire kendetegn ved tal, der virker
NIST’s vejledning har en fast liste af felter for hver måling, bl.a. mål, formel, target, ansvarlige, datakilde og rapportformat. Ud fra den er det almindelig praksis at kræve fire ting af et nøgletal, før det kommer i bestyrelsesrapporten.
- Ejer · Hvem skal handle, når tallet ændrer sig?
- Mål · Hvilket niveau har ledelsen besluttet at nå (fx andel af kritiske systemer med logning)?
- Tolerance · Hvornår er afvigelsen så stor, at bestyrelsen skal have besked?
- Beslutning · Hvilket valg står modtageren over for, hvis tallet er rødt?
Mangler ét af felterne, er tallet information, ikke styring. Et tal for antal blokerede angreb har sjældent en ejer, et mål eller en beslutning knyttet til sig. Et tal for, hvor stor en del af de kritiske sårbarheder der blev rettet til tiden, har alle fire.
Sådan ser fundet ud i en vurdering
Når en modenhedsvurdering ser på ledelsesrapporteringen, er der tre typiske mønstre. Det første er tal, der kun beskriver aktivitet: antal kurser, antal scanninger, antal sager. De siger noget om travlhed, men intet om, hvorvidt risikoen er faldet.
Det andet mønster er tal uden nævner eller uden afgrænsning. Andelen af servere med opdateret software siger lidt, hvis ingen ved, om listen over servere er komplet. Det er beskrevet nærmere i dækningsgrad som nøgletal.
Det tredje mønster er rapporter, der skifter tal fra gang til gang. Når hvert kvartal har nye målinger, kan bestyrelsen ikke se en udvikling, og ingen kan holde direktionen fast på et mål.
I en koncern kommer et fjerde mønster til. Enhederne rapporterer hver sine tal efter hver sin definition, og koncernrapporten lægger dem sammen, som om de var ens. Resultatet ser præcist ud, men det kan ikke bruges til at prioritere mellem selskaberne.
Fra tal til beslutning
En enkel prøve er at læse rapporten og skrive den beslutning ned, hvert tal kan føre til. Kan der ikke skrives en beslutning, hører tallet til i et bilag eller hos den operative ledelse.
Det er også god praksis at lade rapporten ende med de beslutninger, der faktisk kræves af bestyrelsen på mødet. Så bliver det tydeligt, om tallene bærer en anbefaling, eller om de bare fylder.
Hvordan en audit generelt griber ledelsesrapporteringen an, står på sitet om den almene auditmetode. Her er vinklen koncernens tal og bestyrelsens brug af dem.
Et tænkt eksempel på en oprydning
Forestil jer en tænkt koncern med fem selskaber, hvor kvartalsrapporten til bestyrelsen har vokset sig til tre sider med tal. Den indeholder antal blokerede mails, antal gennemførte kurser, antal åbne sager i servicedesken og en samlet modenhedsscore.
Ved en gennemgang af rapporten viser det sig, at kun to af tallene har en ejer, og at ingen af dem har en grænse. Direktionen foreslår derfor at skære rapporten ned til fem nøgletal: rettetid for kritiske sårbarheder, hvor stor en del af kritiske systemer med logning, andel af privilegerede konti med stærk godkendelse, antal væsentlige hændelser og status på de åbne fund fra seneste vurdering. Hvert tal får en ejer i direktionen, et mål og en grænse, og tallene vises pr. selskab og samlet.
De gamle tal forsvinder ikke. De flytter til CISO’s driftsrapport, hvor de giver mening for dem, der skal handle på dem. Bestyrelsen får færre tal, men kan nu se, hvilket selskab der trækker ned, og hvad direktionen foreslår at gøre ved det.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen ejer listen over nøgletal og tør skære den ned. Hvert tal skal have en definition, en ejer, et mål og en grænse, og listen skal holdes stabil fra kvartal til kvartal.
Lader man være, får bestyrelsen en rapport, den ikke kan bruge til at prioritere. Tilsynet bliver en gennemlæsning, og de svage steder dukker først op, når der sker noget.
Det skal I lade være med
- At måle aktivitet som succes · antal kurser og scanninger siger intet om risiko.
- At tilføje tal hvert kvartal · få faste tal giver mere end mange skiftende.
- At lægge enhedernes tal sammen uden fælles definition · summen bliver meningsløs.
Det skal gennemgangen kunne vise
- ☐ En liste over nøgletal med ejer, mål og tolerance for hvert.
- ☐ Den beslutning, hvert tal kan føre til.
- ☐ Ens definitioner på tværs af enhederne.
- ☐ Referater, hvor bestyrelsen har handlet på et tal.
Kilder
- Bestyrelsesforeningens Center for Cyberkompetencer, Cybersikkerhed for bestyrelse og direktion, september 2023, tema 4, læst 14. november 2026.
- NIST SP 800-55v1, Measurement Guide for Information Security, december 2024, afsnit 3.1, læst 14. november 2026.
- Styrelsen for Samfundssikkerhed, Ledelsens rolle og opgaver, maj 2025, kapitel 4, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag den seneste rapport til bestyrelsen, og skriv ud for hvert tal, hvem der ejer det, og hvilken beslutning det kan føre til.
Læs også: Nøgletal mellem to vurderinger · Kvartalsrapporten om cybersikkerhed i en koncern
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
