Ordliste

Ordene her bruges, når sikkerhedsmodenheden i en større virksomhed skal måles, auditeres og forklares for bestyrelsen. Forklaringerne er korte og dermed forenklede. Den præcise betydning står i den ramme, standard eller lov, ordet stammer fra. Hvor en artikel uddyber ordet, fører linket dertil.

Måling og skala

• Modenhedsniveau · det trin på en skala, et område er nået til, fra tilfældig praksis til styret og evalueret praksis. Hvert trin bør have et beskrevet bevis. Læs mere.
• Målniveau · det trin, ledelsen har besluttet, at et område skal nå. Kan være forskelligt fra område til område. Læs mere.
• Målestok · den ramme, standard eller model, målingen bruger som reference, fx NIST CSF 2.0 eller C2M2. Læs mere.
• Skala · antallet af trin og reglerne for, hvornår et trin er nået. Bestemmer, hvor fint målingen kan skelne. Læs mere.
• Vægtning · den regel, der afgør, hvor meget hvert område tæller i den samlede score. Læs mere.
• Baseline · den første måling med fastlagte begreber, som senere målinger sammenlignes med. Læs mere.
• Måleserie · en række målinger med samme metode, omfang og skala, så udviklingen kan aflæses. Læs mere.
• Nuværende profil og målprofil · i NIST CSF 2.0 to beskrivelser af de samme resultater: hvor organisationen er, og hvor den vil hen. Afstanden er gabet. Læs mere.
• Tier · i NIST CSF 2.0 en valgfri beskrivelse af, hvor stringent organisationen styrer sin cyberrisiko. Ikke det samme som et modenhedstrin. Læs mere.
• Implementeringsgruppe · i CIS Controls v8.1 en af tre grupper, IG1 til IG3, der fordeler foranstaltningerne efter risikoprofil og ressourcer. Læs mere.
• Selvevaluering · en måling, hvor enheden selv svarer. Bliver mere pålidelig, når nogen efterprøver svarene. Læs mere.
• Stikprøve · et udvalg af svar, kontroller eller enheder, der efterprøves med bevis. Læs mere.

Koncern og styring

• Koncernbaseline · de minimumskrav, alle enheder i koncernen skal leve op til, med registrerede undtagelser. Læs mere.
• Dispensation · en tidsbegrænset undtagelse fra et krav med ejer og begrundelse. Læs mere.
• Fælles tjeneste · en ydelse, som et servicecenter leverer til flere selskaber, fx identitetsstyring eller backup. Læs mere.
• Skygge-IT · systemer og tjenester i brug ude i forretningen, som den centrale IT ikke kender til. Læs mere.
• Kontrolmål · det resultat, en kontrol skal sikre. Bruges i ledelsesrapporter sammen med udvalgte nøgletal. Læs mere.
• Anvendelseserklæring · i ISO 27001 den oversigt, hvor organisationen angiver, hvilke foranstaltninger den har valgt, og hvorfor. Afgør, hvad et certifikat dækker. Læs mere.
• Certificeringsorgan · det organ, der kan udstede et ISO 27001-certifikat efter en audit. Læs mere.

Tre linjer og revision

• Tre linjer · IIA’s model for fordeling af roller: ledelsen i driften ejer risikoen, funktioner som sikkerhed og compliance rådgiver og udfordrer, og intern revision giver bestyrelsen et uafhængigt blik. Modellen hed tidligere tre forsvarslinjer. Læs mere.
• Intern revision · den uafhængige funktion i virksomheden, der giver bestyrelsen sikkerhed for styring, risikostyring og kontrol. Kaldes også den interne audit-funktion. Læs mere.
• Global Internal Audit Standards · IIA’s standarder for intern revision med fem domæner, gældende fra 9. januar 2025 ifølge IIA. Læs mere.
• Topical Requirement · IIA’s særlige krav til et emne. Kravet om cybersikkerhed gælder fra 5. februar 2026 for funktioner, der følger standarderne. Læs mere.
• Revisionsudvalg · bestyrelsens udvalg med opgaver efter revisorlovens § 31, afgrænset til regnskab og bæredygtighedsrapportering. Bestyrelsen kan give det flere opgaver. Læs mere.
• Assurance-kort · et skema, der viser, hvilke funktioner der efterprøver hver risiko, og hvor grundigt. Læs mere.
• Revisors påtegning · revisors konklusion om regnskabet. Er ikke en vurdering af cybersikkerheden. Læs mere.

Nøgletal og risiko

• KPI og KRI · nøgletal for, hvordan en indsats præsterer, og nøgletal, der varsler en stigende risiko. Begge nævnes i NIST’s målevejledning. Læs mere.
• Tolerance · den grænse, ledelsen på forhånd har sat for, hvornår et nøgletal er uacceptabelt. Læs mere.
• Risikoappetit · den mængde risiko, ledelsen vil acceptere for at nå sine mål. Fastsættes ifølge Bestyrelsesforeningens vejledning mindst én gang om året. Læs mere.
• Risikoaccept · en beslutning om at leve med en risiko frem for at rette den, truffet af den, der har mandat til det. Læs mere.
• Fundregister · det fælles register med alle fund, deres ejer, frist og status. Læs mere.
• Dækningsgrad · et nøgletal, der viser, hvor stor en del af en population en kontrol omfatter. Afhænger af, at listen er komplet. Læs mere.
• Genvurdering · en ny måling, fuld eller delvis, der skal vise udviklingen siden sidst. Læs mere.

Senest gennemgået: november 2026.

Næste skridt

• Modenhed: hvad der måles, og hvordan
• Spørgsmål om cybermodenhed

Læs også: Den interne audit-funktion · Nøgletal og rapportering

→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT