Der er ingen lovkrav om, hvor ofte en virksomhed skal måle sin sikkerhedsmodenhed. En årlig måling er et naturligt udgangspunkt for en større virksomhed, suppleret med en ny måling, når noget stort ændrer sig.
Rytmen skal passe til, hvor hurtigt koncernen kan flytte sig. Måler I oftere, end praksis kan nå at ændre sig, måler I mest støj. Måler I sjældnere, opdager bestyrelsen for sent, at et område er gået i stå.
Hvad kilderne siger
C2M2 version 2.1 anbefaler at gentage selvevalueringen periodisk og ved store ændringer. NIST CSF 2.0 beskriver sine fem trin fra afgrænsning til handlingsplan og skriver, at de kan gentages “as often as needed”. Ingen af rammerne sætter et fast interval.
Bestyrelsesforeningens Center for Cyberkompetencer udgav i september 2023 vejledningen “Cybersikkerhed for bestyrelse og direktion” (version 4.3). Den anbefaler, at bestyrelsen så ofte som relevant og mindst én gang om året modtager en opdateret risikovurdering. Det er en risikovurdering og ikke en modenhedsmåling. De to hænger sammen, fordi en måling af modenheden kan være et af grundlagene for risikovurderingen, men anbefalingen siger intet om, hvor ofte modenheden skal måles.
Den danske stat lod i 2020 myndighederne vurdere deres ISO 27001-modenhed hvert halve år, ifølge Digitaliseringsstyrelsen. Om rytmen er den samme i dag, er ikke bekræftet.
Hvor mange der faktisk måler
ENISA’s rapport NIS Investments 2025 bygger på svar fra 1.080 organisationer i EU, hvoraf de fleste er store virksomheder. 30 procent af alle svarede, at de ikke havde gennemført nogen form for cybersikkerhedsvurdering de seneste 12 måneder. Blandt de store virksomheder var tallet 24 procent. Spørgsmålet omfatter både vurderinger og test, så tallet siger ikke direkte, hvor mange der måler modenhed. Det viser dog, at en årlig rytme ikke er en selvfølge, heller ikke i store organisationer.
Tre måder at lægge rytmen
Årlig måling af alt. Alle enheder og områder måles samme tid hvert år. Fordelen er et samlet billede til bestyrelsen på et fast tidspunkt. Ulempen er en stor belastning på én gang og et billede, der er næsten et år gammelt, før det næste kommer.
Rullende måling. En del af enhederne eller områderne måles hvert kvartal eller halvår, så hele koncernen er dækket over en periode. Fordelen er, at belastningen fordeles, og at bestyrelsen får nye tal løbende. Ulempen er, at tallene ikke er fra samme tidspunkt, og det skal stå tydeligt, når de lægges sammen.
Hændelsesudløst måling. En enhed måles igen efter en alvorlig hændelse, et opkøb, en reorganisering eller en stor ændring i driften. Den passer som supplement til en af de to andre og svarer til C2M2’s anbefaling om at måle ved store ændringer.
De tre betegnelser er sitets opdeling.
Hvor hurtigt kan koncernen flytte sig?
Det er almindelig praksis at lade rytmen følge den tid, det tager at gennemføre et typisk tiltag. Et tænkt eksempel: Hvis det tager koncernen et år at indføre en ny proces i alle enheder og et år mere at få den evalueret, viser en halvårlig måling på det område mest, at arbejdet er i gang. En årlig måling med kvartalsvise nøgletal imellem giver et mere retvisende billede.
Andre områder flytter sig hurtigere. Tid til at lukke kritiske sårbarheder kan følges hver måned som nøgletal, uden at hele området skal måles igen. Hvordan driftens tekniske kontroller følges løbende, er beskrevet under de tekniske kontrolpunkter.
Måling og lovens rytme
Hvad loven kræver af de virksomheder, der er omfattet af NIS2, er en anden sag end modenhedsmålingen. Det beskrives under NIS2-audit og lovens krav. Koncernen kan med fordel lægge målingen, så den leverer til det arbejde, loven kræver, men målingen bliver ikke lovpligtig af den grund.
Rytmen i årshjulet
Det er praksis at placere målingen, så resultatet er klar til det møde, hvor bestyrelsen ser på risikovurderingen og strategien for det kommende år. Måles der for sent, kommer tallene efter beslutningerne. Måles der for tidligt, er de forældede, når de bruges. En fast plads i årshjulet gør det også lettere for enhederne at planlægge.
Hændelsesudløste målinger passer sjældent ind i årshjulet. Det er praksis at give dem en kort, fast form, så de kan sættes i gang hurtigt, og at lade deres resultat indgå i den næste faste måling, så måleserien ikke får to parallelle spor.
Hvad det kræver, og hvad det koster at lade være
Det kræver en beslutning om rytmen, skrevet ind i koncernens årshjul, med en regel for, hvornår en hændelse eller ændring udløser en ny måling. Det kræver også, at rapporten viser, hvornår hvert tal er målt.
Uden en fast rytme bliver målingen gennemført, når nogen får tid. Måleserien får huller, og bestyrelsen kan ikke se, om et område har stået stille i et år eller i tre.
Det skal I lade være med
- At kalde Bestyrelsesforeningens anbefaling for et krav om modenhedsmåling · den gælder en risikovurdering.
- At måle oftere, end praksis kan ændre sig · det giver støj i måleserien.
- At lægge tal fra forskellige tidspunkter sammen uden at sige det · så ser billedet mere aktuelt ud, end det er.
Det skal gennemgangen kunne vise
- ☐ En besluttet rytme for målingen og hvem der har besluttet den.
- ☐ En regel for, hvilke hændelser og ændringer der udløser en ny måling.
- ☐ Datoen for hver måling i rapporten.
- ☐ Hvordan målingen leverer til den årlige risikovurdering til bestyrelsen.
Kilder
- ENISA, NIS Investments 2025, hovedrapport, resumé og indsigt 5, læst 14. november 2026.
- Bestyrelsesforeningens Center for Cyberkompetencer, Cybersikkerhed for bestyrelse og direktion (september 2023, V4.3), tema 1, læst 14. november 2026.
- U.S. Department of Energy, C2M2 version 2.1 (juni 2022), afsnit 5.4, læst 14. november 2026.
- NIST, The NIST Cybersecurity Framework (CSF) 2.0 (februar 2024), afsnit 3.1, læst 14. november 2026.
- Digitaliseringsstyrelsen, Fremgang i statens arbejde med informationssikkerhed (4. marts 2020), læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv målingens rytme og reglen for ekstra målinger ind i koncernens årshjul.
Læs også: Nøgletal mellem to vurderinger · Måling over tid
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
