En modenhedsrapport bliver til en flerårig køreplan, når hvert område får et målniveau, en dato for, hvornår niveauet skal være nået, og de handlinger, der skal føre derhen. Køreplanen skal være bygget, så næste måling kan vise, om koncernen er på sporet.
NIST CSF 2.0 beskriver forløbet som trin 4 og 5 i arbejdet med organisationsprofiler. Køreplanens form er almindelig praksis.
Trin 4 og 5 i CSF 2.0
Profilarbejdet i CSF 2.0 er delt i fem trin. De tre første handler om at afgrænse profilen, samle information og lave den nuværende profil og målprofilen. Trin 4 er at analysere gabet mellem de to og lave en handlingsplan, som rammeværket beskriver som prioriteret. Trin 5 er at gennemføre planen og opdatere profilen.
Ifølge rammeværket må forløbet gentages, når der er behov for det. Det er netop det, der gør en køreplan flerårig: hver ny måling er et nyt trin 3, der viser, hvor langt planen er nået, og som giver grundlaget for at justere den.
Målniveau pr. område
Køreplanen starter med målprofilen. Det er almindelig praksis at fastsætte et målniveau pr. område i stedet for et samlet mål for hele koncernen. Nogle områder skal højt op, fordi risikoen er stor. Andre kan ligge lavere, fordi risikoen er lille eller dækkes på anden vis.
Hvorfor det højeste trin overalt sjældent er det rigtige mål, er beskrevet i målniveau pr. område. For køreplanen betyder det, at gabet er forskelligt fra område til område, og at nogle områder slet ikke kræver handling.
Køreplanens felter
En køreplan, der kan følges op, har som minimum disse felter pr. område:
- Område · (Adgangsstyring)
- Nuværende niveau · (Trin 2 ved måling i år 1)
- Målniveau · (Trin 3)
- Frist for målniveau · (Måling i år 3)
- Delmål · (Fælles proces for fratrædelser i alle selskaber ved måling i år 2)
- Handlinger · (Fælles fratrædelsesproces, kvartalsvis gennemgang af rettigheder)
- Ejer · (Koncernens CISO, med lokale ejere pr. selskab)
- Afhængigheder · (Samlet oversigt over brugerkonti)
Felterne er sitets forslag. Det vigtigste er, at frister og delmål knyttes til målingerne frem for alene til kalenderen. Så kan næste måling vise, om delmålet er nået.
Delmål, der kan måles
Et målniveau tre år frem er svært at styre efter. Derfor er det praksis at sætte delmål for hver måling på vejen. Et delmål kan være et trin, men det kan også være en konkret ting, der skal kunne vises: en proces, en oversigt, et nøgletal.
Delmål, der kan vises, gør det lettere at forklare fremdriften for bestyrelsen, også i år, hvor scoren ikke flytter sig. Et område kan godt stå stille på skalaen, mens det, der skal til for at nå næste trin, er på plads.
Når planen møder virkeligheden
Køreplanen ændrer sig. Nye risici dukker op, selskaber købes eller sælges, og nogle handlinger tager længere tid end planlagt. CSF 2.0 lægger op til, at profilen opdateres i trin 5, og at forløbet gentages.
Det er praksis at gennemgå køreplanen efter hver måling og notere, hvad der er ændret og hvorfor. Ændres et målniveau, skal det fremgå, hvem der har besluttet det. Uden den historik kan bestyrelsen ikke se forskel på en plan, der er justeret af gode grunde, og en plan, der er sænket, fordi målet ikke blev nået.
Koncernen og de enkelte selskaber
I en koncern er det almindeligt at have én køreplan for koncernen og en kortere udgave pr. selskab. Koncernens plan viser de fælles områder og de fælles handlinger. Selskabernes planer viser, hvad hvert selskab selv skal nå, og hvornår.
Planerne skal hænge sammen. Et selskab kan ikke nå et målniveau, der forudsætter en fælles løsning, før koncernen har leveret den. Opfølgning på en enkelt audit hører til den almene auditmetode, mens køreplanen her handler om koncernens forløb over flere år.
Køreplanen i bestyrelsen
Bestyrelsen har sjældent brug for alle felterne. Det er praksis at vise den en kort udgave: områderne, nuværende niveau, målniveau, frist og en markering af, om området er på sporet.
Markeringen kan være enkel, fx på sporet, forsinket eller standset. Det vigtige er, at den bygger på de delmål, der er skrevet ind i planen, og ikke på en fornemmelse. Er et område forsinket, skal årsagen stå ved siden af.
Køreplanen kan også bruges, når bestyrelsen skal tage stilling til nye ønsker. Kommer der et nyt krav eller en ny risiko, kan planen vise, hvad der må vente, hvis det nye skal frem. Så bliver prioriteringen synlig, og bestyrelsen kan træffe valget med åbne øjne. Det er sitets anbefaling at gennemgå køreplanen med bestyrelsen mindst én gang om året, gerne i forlængelse af den årlige risikovurdering.
Når køreplanen bruges på den måde, bliver den et redskab til at sige nej lige så meget som ja.
Hvad det kræver, og hvad det koster at lade være
Det kræver en målprofil med niveau pr. område, en ejer for hvert område og en fast rytme, hvor køreplanen gennemgås efter hver måling.
Uden køreplan bliver hver ny rapport en ny liste. Fundene fra sidste år blandes med de nye, og ingen kan se, om koncernen bevæger sig mod et mål eller bare reagerer på den seneste rapport.
Det skal I lade være med
- At sætte samme målniveau for alle områder · gabet skal afspejle risikoen.
- At knytte frister til kalenderen alene · knyt dem til målingerne.
- At ændre målniveauer uden at skrive hvorfor · historikken er en del af planen.
Det skal gennemgangen kunne vise
- ☐ En målprofil med niveau pr. område.
- ☐ Delmål knyttet til de kommende målinger.
- ☐ En ejer og afhængigheder for hvert område.
- ☐ En historik over ændringer i planen med begrundelse og beslutningstager.
Kilder
- NIST CSF 2.0 (NIST CSWP 29), 26. februar 2024, afsnit 3, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv målniveauet ind for hvert område i den seneste rapport, og sæt et delmål, der kan vises ved næste måling.
Læs også: NIST CSF 2.0 som måleramme · Genvurdering
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
