En fuld modenhedsvurdering dækker styring, overblik, beskyttelse, opdagelse, reaktion og genopretning. NIST CSF 2.0 deler det op i seks funktioner og 22 kategorier, C2M2 i ti domæner, og den britiske Cyber Assessment Framework i fire mål.
Kortet nedenfor kan bruges til at læse et tilbud eller en rapport. Hvis et område mangler, bør der stå hvorfor. Kortet som redskab til tilbud er sitets.
NIST CSF 2.0: seks funktioner og 22 kategorier
CSF 2.0 fra februar 2024 har seks funktioner. Govern står i midten, fordi den former, hvordan de fem andre bliver gennemført. Rammen gælder IT, IoT og OT og alle teknologimiljøer, også cloud. Rækkefølgen og størrelsen af funktioner og kategorier siger ifølge rammen ikke noget om, hvad der er vigtigst, og Core er ikke en tjekliste.
- Govern · Organisationens kontekst · strategi for risikostyring · roller, ansvar og beføjelser · politik · tilsyn · risiko i forsyningskæden
- Identify · Aktiver · risikovurdering · forbedring
- Protect · Identitet, autentificering og adgang · awareness og træning · datasikkerhed · platformssikkerhed · robust teknisk infrastruktur
- Detect · Løbende overvågning · analyse af uønskede hændelser
- Respond · Styring af hændelser · analyse af hændelser · rapportering og kommunikation · begrænsning
- Recover · Gennemførelse af genopretningsplan · kommunikation under genopretning
Under kategorierne ligger 106 underkategorier. En vurdering behøver ikke gå ned på det niveau i alle enheder, men en rapport, der kun dækker fire af funktionerne, bør sige det.
C2M2: ti domæner
C2M2 version 2.1 har ti domæner med i alt 356 praksisser. Modellen er udviklet med energisektoren, men kan ifølge energiministeriet bruges af enhver organisation, uanset størrelse og branche.
Domænerne dækker, i sitets oversættelse: medarbejdere, risiko, trusler og sårbarheder, tredjeparter, arkitektur, programledelse, identitet og adgang, situationsbillede, hændelser og kontinuitet samt aktiver, ændringer og konfiguration.
Hvor CSF samler ledelsens rolle i Govern, har C2M2 et selvstændigt domæne for programledelse og et for medarbejdere. Arkitektur er et eget domæne, hvilket gør modellen nyttig, hvor IT og anlæg skal ses sammen.
Den britiske CAF: fire mål
NCSC’s Cyber Assessment Framework, version 4.0, har fire mål: at styre sikkerhedsrisiko, at beskytte mod angreb, at opdage sikkerhedshændelser og at begrænse virkningen af hændelser. Under målene ligger 14 principper. CAF kalder sig resultatbaseret, og vurderingen bygger på bevis og skøn.
Hvad der ses på i hvert område
Uanset ramme går nogle spørgsmål igen. Listen er sitets sammenfatning og ikke rammernes ordlyd.
Styring: Er der en strategi, en politik, klare roller og et tilsyn, som bestyrelsen kan følge? Indgår cyberrisiko i virksomhedens samlede risikostyring?
Overblik: Findes der en opdateret oversigt over systemer, data og leverandører? Bliver risikoen vurderet, og fører vurderingen til forbedringer?
Beskyttelse: Hvordan styres adgange, data, platforme og robusthed? Får medarbejderne den træning, deres roller kræver?
Opdagelse: Hvad bliver overvåget, og hvem ser på det, der dukker op?
Reaktion og genopretning: Findes der planer, er de øvet, og ved alle, hvem der kommunikerer hvad?
Kortet brugt på et tilbud
Et tænkt eksempel: En koncern får to tilbud på en modenhedsvurdering. Det ene dækker beskyttelse og opdagelse grundigt, men nævner hverken styring eller leverandører. Det andet dækker alle seks funktioner, men går kun i dybden i tre af dem og siger det. Det første ser mere grundigt ud. Det andet giver bestyrelsen et ærligere billede.
Det er almindelig praksis at bede leverandøren vise, hvilke kategorier eller domæner tilbuddet dækker, og hvor dybt. Så kan to tilbud sammenlignes på samme kort.
Når koncernen har flere slags enheder
I en koncern med både kontorer, fabrikker og fælles IT er det ikke sikkert, at alle områder vejer lige tungt i alle enheder. Kortet hjælper også her. Det viser, hvilke områder der er dækket for hver enhed, og hvor koncernen har valgt at gå let hen over et område. Fravalget skal stå i rapporten med en begrundelse.
Dækning og dybde i samme rapport
Et kort over områderne er kun halvdelen af svaret. Det er lige så vigtigt at vide, hvor dybt hvert område er undersøgt. En rapport kan dække alle seks funktioner i CSF og alligevel kun have spurgt overfladisk til de fleste.
Det er praksis at vise to ting for hvert område: om det er dækket, og med hvilken metode. Et område kan være dækket med spørgeskema i alle enheder og med stikprøver i de tre mest kritiske. Så kan bestyrelsen se, hvilke tal der står stærkest.
Kortet kan også bruges over tid. Hvis et område kun blev dækket let det ene år, kan det få en dybere gennemgang det næste. På den måde bliver hele kortet dækket grundigt i løbet af en periode, uden at hver måling bliver uoverskuelig.
Et sidste råd: Hold kortet stabilt. Skifter koncernen ramme hvert andet år, bliver det svært at se, om et område er blevet bedre, eller om det blot er blevet beskrevet på en ny måde. Kortet er mest værd, når det bruges over flere målinger i træk.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at koncernen vælger ét kort, typisk en af rammerne, og bruger det fast, når tilbud, rapporter og måleserier skal læses. Det kræver også, at fravalg af områder står skrevet med en begrundelse.
Uden et kort er det svært at se, hvad en vurdering ikke har set på. Bestyrelsen får en score, som ser fuldstændig ud, men som måske ikke dækker leverandører, genopretning eller ledelsens egen rolle.
Det skal I lade være med
- At læse rækkefølgen i rammen som en prioritering · rammen tager selv afstand fra den læsning.
- At acceptere et tilbud uden et kort over dækningen · så kan det ikke sammenlignes.
- At udelade Govern · ledelsens rolle er en del af målingen.
Det skal gennemgangen kunne vise
- ☐ Hvilket kort over områder vurderingen bygger på.
- ☐ For hver enhed, hvilke områder der er dækket, og hvor dybt.
- ☐ En begrundelse for hvert område, der er valgt fra.
- ☐ Hvordan ledelsens egen rolle er vurderet.
Kilder
- NIST, The NIST Cybersecurity Framework (CSF) 2.0 (februar 2024), afsnit 2, tabel 1 og bilag A, læst 14. november 2026.
- U.S. Department of Energy, C2M2, programside og version 2.1, læst 14. november 2026.
- NCSC, Cyber Assessment Framework, version 4.0, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Vælg ét kort over områderne, og læg næste tilbud eller rapport ind på det.
Læs også: NIST CSF 2.0 som måleramme · Govern i CSF 2.0
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
