En rapport fra en modenhedsvurdering af en koncern bør have tre dele: et billede af koncernen samlet, et billede af hver enhed og en liste over fund med alvorlighed, ejer og forslag. Med de tre dele kan bestyrelsen se helheden, direktionen kan se, hvor der skal handles, og enhederne kan se deres egne resultater.
Opdelingen er sitets. Den bygger på det, kilderne nævner som indhold i rapportering til bestyrelsen, og på NIST’s beskrivelse af profiler og gab. Formålet med artiklen er, at I kan stille krav til rapporten, før vurderingen går i gang.
Hvad kilderne nævner
Bestyrelsesforeningens vejledning har en liste over det, faste rapporter kan rumme. Blandt punkterne er risikostatus, hændelser, test af beredskab, fravigelser fra tolerancer, et heatmap, anbefalinger til forbedringer og et punkt om begrænsninger og udeladelser. Listen er tænkt til den løbende rapportering, men flere af punkterne passer også til en vurderingsrapport.
I CSF 2.0 findes både en nuværende profil, en målprofil og en analyse af gabet imellem dem, som munder ud i en prioriteret handlingsplan. NIST’s målevejledning tilføjer, at rapporten bør sætte resultatet i forhold til appetitten og sige, hvad der skal besluttes.
Del 1: Koncernbilledet
Koncernbilledet er til bestyrelse og direktion. Det er praksis, at det indeholder:
- En kort konklusion · hvor står koncernen, og hvad er de vigtigste beslutninger.
- Nuværende niveau mod målniveau · pr. område, med den skala og version af rammeværket, der er brugt.
- Udvikling siden sidst · hvis der er en tidligere måling med samme metode.
- Spredning · hvor stor forskellen er mellem den bedste og den svageste enhed.
- De største risici · koblet til koncernens risikoregister.
- Begrænsninger · enheder, systemer eller områder, der ikke er dækket, og hvorfor.
Begrænsninger står med, fordi Bestyrelsesforeningens liste nævner dem, og fordi en læser ellers kan tro, at billedet er fuldstændigt.
Del 2: Enhedsbillederne
Hver enhed får samme opbygning: niveau pr. område holdt op mod målniveau og baseline, de væsentligste fund og en kort tekst om, hvad der er godt og svagt. Opbygningen skal være ens, så en enhedsleder kan sammenligne sit selskab med de andre, hvis koncernen vælger at vise det.
Det er en beslutning for sig, hvem der må se hvilke enhedsbilleder. Nogle koncerner viser alle enheder for alle. Andre viser hver enhed kun sin egen side og koncerngennemsnittet.
Del 3: Fundlisten
Fundlisten er den del, der bliver arbejdet med efter rapporten. Det er praksis, at hvert fund har disse felter.
- ID · Fast nummer, der kan følges i senere rapporter
- Enhed og område · Hvor fundet er, og hvilket område i rammeværket det hører til
- Beskrivelse · Hvad der er observeret, og hvilket bevis det bygger på
- Alvorlighed · Efter en skala, der betyder det samme i alle enheder
- Forslag · Hvad der kan rette fundet
- Ejer og frist · Udfyldes af ledelsen efter rapporten
Fundlisten bør kunne overføres direkte til koncernens fundregister, så den ikke skal skrives om. Fælles alvorlighed er beskrevet i alvorlighedsgrader for fund.
Det, I kan kræve på forhånd
Rapportens indhold kan med fordel aftales, før arbejdet begynder. Det gælder skala og rammeværk med version, hvordan scoren beregnes, hvordan alvorlighed defineres, hvilke enheder der får eget billede, og i hvilket format fundlisten leveres. Hvordan en audit afgrænses i almindelighed, står på sitet om auditmetoden. Rapporten fra en teknisk gennemgang behandles på sitet om tekniske kontrolpunkter.
Det er også rimeligt at kræve et bilag om metoden: hvilke beviser der er set, hvilke interviews der er holdt, og hvilke stikprøver der er taget. Uden det kan ingen efterprøve resultatet eller gentage målingen.
Når rapporten er en del af en måleserie
Er vurderingen ikke den første, bør rapporten også vise, hvad der har ændret sig siden sidst, og hvorfor. Det gælder både resultaterne og metoden. Har koncernen skiftet rammeværk, ændret skalaen eller fået nye selskaber med, skal det stå tydeligt, og det er god praksis at genberegne det forrige resultat efter den nye metode, hvis det kan lade sig gøre. Ellers kan bestyrelsen tro, at et fald eller en stigning skyldes sikkerheden, når det i virkeligheden skyldes målingen.
Fundlisten bør også vise, hvilke fund fra sidste rapport der er lukket, hvilke der står åbne, og hvilke der er kommet igen. Fund, der går igen år efter år, er ofte det vigtigste signal i hele rapporten, fordi de viser, hvor organisationen ikke får rettet op.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at bestilleren tænker rapporten igennem før vurderingen og skriver kravene ind i opgavebeskrivelsen. Det kræver også, at koncernen har et sted at lægge fundene bagefter.
Uden krav på forhånd får I den rapport, auditoren plejer at skrive. Den kan være god, men den passer måske ikke til jeres register, jeres skala eller jeres bestyrelse, og så skal den skrives om.
Det skal I lade være med
- At acceptere en rapport uden afsnit om begrænsninger · læseren tror, at alt er dækket.
- At lade hver enhed få sin egen opbygning · så kan de ikke sammenlignes.
- At få fundene som løbende tekst · de skal kunne overføres til registret.
Det skal gennemgangen kunne vise
- ☐ En rapport med koncernbillede, enhedsbilleder og fundliste.
- ☐ Skala og rammeværk med version.
- ☐ Fund med fast ID, alvorlighed og bevis.
- ☐ Et metodebilag, der gør målingen mulig at gentage.
Kilder
- Bestyrelsesforeningens Center for Cyberkompetencer, september 2023, tema 4, læst 14. november 2026.
- NIST CSF 2.0, afsnit 3, læst 14. november 2026.
- NIST SP 800-55v1, december 2024, afsnit 3.1.2, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv de tre dele og felterne i fundlisten ind i opgavebeskrivelsen til næste vurdering.
Læs også: Fundregistret for hele koncernen · Spindelvæv og heatmap
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
