En ekstra måling af en enkelt enhed er berettiget, når enheden ligger klart under resten af koncernen i områder med høj risiko, og når koncernen har brug for at vide, om handlingerne virker, før næste fulde runde. Målingen bør afgrænses til de områder, der haltede, og til de handlinger, der er sat i gang.
Det er praksis. Ingen regel kræver opfølgende målinger. NIST CSF 2.0 har dog en underkategori om forbedringer, der kommer ud af evalueringer.
Rammen i CSF 2.0
NIST CSF 2.0 har under Identify underkategorien ID.IM-01, der handler om, at forbedringer identificeres ud fra evalueringer. En opfølgende måling er en måde at se, om de forbedringer, en tidligere vurdering pegede på, er blevet til noget.
Rammeværket siger ikke, hvornår en opfølgning skal ske, eller hvor stor den skal være. Det er op til organisationen.
Hvornår en ekstra måling er berettiget
Det er sitets forslag at se på fire forhold.
Afstanden til resten. Ligger enheden et godt stykke under koncernens øvrige selskaber i flere områder, er der grund til at følge tættere op.
Risikoen. En enhed med lav score i områder med høj risiko, fx adgangsstyring eller beredskab, vejer tungere end en med lav score i områder med lav risiko. Hvordan den svageste enhed kan bære koncernens risiko, er beskrevet i den svageste enhed.
Forbindelsen til andre. Har enheden adgang til fælles systemer eller netværk, kan dens svagheder ramme hele koncernen. Det taler for en tættere opfølgning.
Handlingerne. Har enheden sat konkrete handlinger i gang, giver en opfølgning mening, når de burde være gennemført. Er intet sat i gang, viser en ny måling bare det samme igen.
Hvad målingen afgrænses til
En opfølgende måling er ikke en ny fuld vurdering. Det er praksis at afgrænse den til:
- De områder, hvor enheden lå lavest.
- De handlinger, enheden har lovet at gennemføre.
- De fund i fundregistret, der er meldt lukket, men ikke verificeret.
Metoden bør være den samme som ved den fulde vurdering, så resultatet kan sammenlignes. Bruges en lettere metode, kan forbedringen se større ud, end den er.
Hvem der måler
Den opfølgende måling kan laves af anden linje i koncernen, af intern revision eller af en ekstern part. Det er praksis at vælge den samme, som lavede den oprindelige vurdering, hvis sammenligneligheden er det vigtigste. Er der tvivl om, hvor uafhængig den første vurdering var, kan en anden part være bedre.
Enheden bør ikke måle sig selv i en opfølgning. Formålet er netop at se, om den forbedring, enheden melder, også kan efterprøves. Den almene metode for opfølgning efter en audit er beskrevet under opfølgningsaudit og den almene metode.
Sådan vises resultatet
En opfølgende måling af én enhed giver nye tal for den enhed i få områder. Det er praksis at vise dem ved siden af de oprindelige tal og med dato, men ikke at regne dem ind i koncernens samlede score. Ellers ser koncernen ud til at have forbedret sig, fordi én enhed er blevet målt igen, mens de andre står med gamle tal.
Resultatet bør også gå til enhedens ledelse og til den, der i koncernen har ansvaret for enheden. Det er dem, der skal handle, hvis forbedringen udebliver.
Når forbedringen udebliver
Viser opfølgningen, at enheden stadig halter, er der grund til at spørge hvorfor. Mangler enheden folk, kompetencer eller ressourcer? Er handlingerne afhængige af noget, koncernen skulle levere? Eller er det et spørgsmål om lokal prioritering?
Svaret afgør, om sagen skal løftes til koncernledelsen, og om finansieringen af fundene skal ændres. Det er emnet i hvem betaler for at lukke enhedens fund.
Enhedens egen rolle
En opfølgende måling kan opleves som mistillid. Det er praksis at forklare enheden på forhånd, hvorfor den er udvalgt, hvad målingen dækker, og hvad resultatet skal bruges til.
Enheden kan også selv bede om en opfølgning. En enhed, der har arbejdet hårdt med sine fund, kan have interesse i at få det dokumenteret før næste fulde runde. Det er en god grund til at sige ja, hvis handlingerne er gennemført.
Det er sitets anbefaling at give enheden mulighed for at kommentere resultatet, før det går videre, så misforståelser kan rettes. Kommentaren ændrer ikke vurderingen, men den kan stå ved siden af i rapporten.
Hvad det kræver, og hvad det koster at lade være
Det kræver en regel for, hvornår en enhed får en opfølgende måling, en afgrænsning til de relevante områder og samme metode som den fulde vurdering.
Uden opfølgning kan en enhed, der halter, ligge stille i flere år, mens koncernen venter på næste fulde runde. Med for mange opfølgninger kan enheden bruge mere tid på at blive målt end på at forbedre sig.
Det skal I lade være med
- At lade enheden måle sin egen opfølgning · forbedringen skal efterprøves.
- At regne opfølgningens tal ind i koncernscoren · de andre enheder står med gamle tal.
- At bruge en lettere metode i opfølgningen · forbedringen ser større ud, end den er.
Det skal gennemgangen kunne vise
- ☐ En regel for, hvornår en opfølgende måling sættes i gang.
- ☐ En afgrænsning til de områder og handlinger, der er relevante.
- ☐ Samme metode og skala som den fulde vurdering.
- ☐ Resultatet ved siden af de oprindelige tal og med dato.
Kilder
- NIST CSF 2.0 (NIST CSWP 29), 26. februar 2024, bilag A, ID.IM-01, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find de to enheder, der ligger lavest i områder med høj risiko, og tjek, om deres handlinger er gennemført nok til en opfølgning.
Læs også: Rangliste over enhederne · Lukning af fund i tre linjer
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
