En lang liste af anbefalinger bliver til en rækkefølge ved at vurdere hver anbefaling på tre akser: hvor meget risiko den fjerner, hvor stor indsatsen er, og hvad den afhænger af. Den rækkefølge skal derefter holdes op mod den risikoappetit, ledelsen har fastsat, så det er ledelsen, der afgør, hvad der kommer først.
Akserne er almindelig praksis. NIST CSF 2.0 og NIST’s vejledning om cyberrisiko i virksomhedens samlede risikostyring giver rammen omkring dem.
Rammen fra NIST CSF 2.0
CSF 2.0 beskriver fem trin for at arbejde med organisationsprofiler. I trin 4 analyseres gabet mellem nuværende profil og målprofil, og der laves en handlingsplan. Rammeværket kalder den en “prioritized action plan” og nævner som eksempler et risikoregister, en risikorapport eller en plan med handlinger og milepæle.
Rammeværket siger altså, at planen skal være prioriteret. Det siger ikke, hvordan. Det er op til organisationen.
Rammen fra NIST IR 8286
Den reviderede NIST IR 8286, udgivet i december 2025, handler om at få cyberrisiko ind i virksomhedens samlede risikostyring. Vejledningen beskriver fire måder at reagere på en risiko: acceptere, overføre, begrænse eller undgå. Topledelsen giver vejledning om prioritet, risikoappetit og risikotolerance, typisk gennem skriftlige erklæringer om appetit og tolerance.
For prioriteringen betyder det, at en anbefaling, der handler om en risiko inden for tolerancen, kan vente eller helt fravælges. En anbefaling, der handler om en risiko langt uden for tolerancen, skal frem.
Tre akser
Det er almindelig praksis at vurdere hver anbefaling på tre akser.
Risiko. Hvor meget af den samlede risiko fjerner anbefalingen, og hvor langt uden for tolerancen ligger den risiko i dag? En anbefaling om at lukke adgang for fratrådte medarbejdere i alle selskaber vægter tungere end en om at opdatere en politik, der allerede følges.
Indsats. Hvor meget arbejde kræver anbefalingen, og af hvem? Indsatsen kan angives i grove klasser som lille, mellem og stor, uden at oversætte den til beløb.
Afhængigheder. Hvad skal være på plads først? En anbefaling om fælles logning forudsætter ofte, at koncernen har en samlet oversigt over systemerne. Den kan ikke komme før oversigten.
Fra akser til rækkefølge
En gængs fremgangsmåde er at sortere i fire grupper:
- Hurtige gevinster · Kendetegn: Høj risiko, lille indsats · Typisk placering: Første halvår
- Store projekter · Kendetegn: Høj risiko, stor indsats · Typisk placering: Planlægges over flere år
- Opsamling · Kendetegn: Lav risiko, lille indsats · Typisk placering: Når der er plads
- Fravalg · Kendetegn: Lav risiko, stor indsats · Typisk placering: Forelægges som risikoaccept
Derefter lægges afhængighederne ind. En hurtig gevinst, der forudsætter et stort projekt, flytter med projektet. Trinnet er let at springe over, og så går planen i stå, fordi forudsætningerne ikke er på plads, når arbejdet skal begynde.
Den fjerde gruppe bør ikke stryges i stilhed. En anbefaling, koncernen vælger ikke at gennemføre, er en risiko, nogen skal acceptere. Hvem der må det, er beskrevet i risikoaccept af fund.
Prioritering af målinger som analogi
NIST SP 800-55 fra 2024 beskriver, hvordan en organisation prioriterer sine sikkerhedsmålinger. Faktorerne er blandt andet risikostrategi, mål, datatilgængelighed, aktivets værdi og krav, og vejledningen foreslår en vægtningsskala for at gøre prioriteringen ensartet.
Vejledningen handler om målinger og ikke om anbefalinger. Det er sitets tolkning, at tanken kan overføres: en fast vægtningsskala gør det lettere at forklare, hvorfor anbefaling A kom før anbefaling B, og den gør det muligt at prioritere på samme måde fra år til år.
Koncernens særlige udfordring
I en koncern skal prioriteringen ske på to niveauer. Nogle anbefalinger gælder hele koncernen og kræver en central beslutning. Andre gælder et enkelt selskab og kan prioriteres lokalt.
Det er praksis at holde de to lister adskilt, men med samme akser og samme skala. Så kan koncernen se, om en lokal anbefaling i virkeligheden er en del af et fælles problem, og om flere selskaber venter på den samme centrale løsning. De tekniske kontrolpunkter bag anbefalingerne gennemgås for sig under teknisk gennemgang af kontrollerne.
Anbefalinger fra mange kilder
En koncern får anbefalinger fra flere steder end modenhedsvurderingen: intern revision, revisors bemærkninger, tilsyn, tekniske test og egne hændelser. Hver kilde har sin egen rækkefølge og sit eget sprog for alvorlighed.
Inden prioriteringen er det praksis at føre alle anbefalinger ind på én fælles liste og at give dem samme skala for risiko og indsats. Så kan det ses, når to kilder peger på det samme, og en anbefaling, der går igen fra flere kilder, bør vægtes højere.
Det kræver, at nogen ejer listen. Typisk er det anden linje i koncernen, som også ejer fundregistret. Hvor listen bliver lang, kan det være en hjælp at prioritere i to omgange: først en grov sortering efter risiko, derefter en finere ordning inden for hver gruppe, hvor indsats og afhængigheder lægges ind.
Den grove sortering kan ofte laves på et enkelt møde, mens den finere kræver mere tid med de ansvarlige.
Hvad det kræver, og hvad det koster at lade være
Det kræver en skriftlig risikoappetit og tolerance fra ledelsen, en fast skala for risiko og indsats og en oversigt over afhængigheder mellem anbefalingerne.
Uden prioritering bliver anbefalingerne gennemført i den rækkefølge, de er nemmest. De små og lette ting bliver lukket, mens de store risici står uændret til næste måling.
Det skal I lade være med
- At prioritere efter rapportens rækkefølge · den er sjældent sorteret efter risiko.
- At oversætte indsats til beløb i prioriteringen · grove klasser er nok til at sortere.
- At stryge de fravalgte anbefalinger · de skal accepteres af den rette.
Det skal gennemgangen kunne vise
- ☐ En dokumenteret risikoappetit og tolerance, prioriteringen bygger på.
- ☐ En fast skala for risiko og indsats.
- ☐ Afhængigheder mellem anbefalingerne.
- ☐ Fravalgte anbefalinger med dokumenteret risikoaccept.
Kilder
- NIST CSF 2.0 (NIST CSWP 29), 26. februar 2024, afsnit 3, læst 14. november 2026.
- NIST IR 8286 Rev. 1, december 2025, læst 14. november 2026.
- NIST SP 800-55v1, december 2024, afsnit 4, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Sæt de tre akser på hver anbefaling i den seneste rapport, og læg afhængighederne ind, før rækkefølgen fastlægges.
Læs også: Tolerancer · Fra modenhedsscore til risiko
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
