Et fund kan accepteres i stedet for at blive rettet, når risikoen ligger inden for den tolerance, ledelsen har fastsat, og når den, der accepterer, har mandat til det. I en koncern betyder det, at små risici kan accepteres i enheden, mens risici tæt på eller over tolerancen skal op til koncernledelsen eller bestyrelsen.
Beslutningsniveauerne er praksis. Rammen kommer fra NIST og fra Bestyrelsesforeningens anbefalinger.
Accept som en af fire responser
Revision 1 af NIST IR 8286 nævner fire måder at reagere på en cyberrisiko: acceptere, overføre, begrænse eller undgå. Om accept skriver vejledningen, at risici inden for tolerancen kan accepteres, og at der så ikke kræves anden handling end overvågning.
Risikotolerance er i vejledningen organisationens parathed til at leve med den rest af risikoen, som står tilbage, når der er reageret. Vejledningen skriver, at tolerancen ofte fastsættes på virksomhedsniveau, men at den efter amerikanske føderale regler også kan fastsættes for et program, et mål eller en komponent. Det er føderal sammenhæng og ikke en regel for en dansk koncern, men tanken er brugbar: tolerancen kan være forskellig for forskellige dele af organisationen.
Under Govern i NIST CSF 2.0 findes GV.RM-02, der handler om organisationens risikoappetit og risikotolerance.
Kontrollerer risikoejeren sig selv?
Bestyrelsesforeningens Center for Cyberkompetencer stiller i sin tjekliste fra september 2023 spørgsmålet, om risikoejeren kontrollerer sig selv. Vejledningen anbefaler uafhængige risikostyringskontroller efter tankegangen om lines of defence.
For risikoaccept betyder det, at den, der accepterer et fund, ikke bør være den samme, som skulle have rettet det, uden at nogen anden ser beslutningen. En lokal IT-chef, der accepterer sine egne fund, kontrollerer sig selv.
En model med tre niveauer
Det er sitets forslag at placere accepten på tre niveauer efter, hvor risikoen ligger i forhold til tolerancen:
- Enhed · Hvem accepterer: Enhedens ledelse, ikke den driftsansvarlige alene · Hvilke fund: Lav risiko, klart inden for tolerancen, kun gælder enheden
- Koncern · Hvem accepterer: Koncernledelsen eller koncernens CISO efter mandat · Hvilke fund: Risici tæt på tolerancen eller med virkning på andre enheder
- Bestyrelse · Hvem accepterer: Bestyrelsen eller det udvalg, den har givet opgaven · Hvilke fund: Risici over tolerancen, der ikke kan bringes ned
Modellen forudsætter, at tolerancen er skrevet ned, og at der er en fælles skala for risikoens størrelse. Uden dem kan ingen afgøre, hvilket niveau et fund hører til.
Fund, der rammer flere enheder
En særlig udfordring i en koncern er fund, der ser lokale ud, men har virkning på andre. Et selskab, der accepterer svag adgangsstyring på et system med forbindelse til koncernens fælles netværk, accepterer også en risiko for de andre selskaber.
Det er praksis at lade alle fund med virkning ud over enheden gå til koncernniveauet, uanset hvor lille risikoen er lokalt. Hvordan alvorlighedsgrader gøres ens på tværs af enhederne, er beskrevet i alvorlighedsgrader for fund på tværs af enheder.
Hvad en accept skal indeholde
Accepten skal kunne findes frem igen, ligesom alle andre ledelsesbeslutninger. Det er praksis, at den indeholder:
- Fundet og den risiko, det medfører.
- Begrundelsen for at acceptere frem for at rette.
- Hvem der har accepteret, og med hvilket mandat.
- En udløbsdato, hvor accepten skal vurderes igen.
- Den overvågning, der skal holde øje med risikoen imens.
Uden en udløbsdato bliver accepten varig, også når forholdene skifter. Det er almindeligt at lade accepten udløbe ved næste modenhedsvurdering, så den genovervejes med nye tal.
Leverandørens fund og accept i forholdet mellem kunde og leverandør behandles under kontrol af leverandøren, og den almene håndtering af auditfund under den almene auditmetode.
Når en accept udløber
Når udløbsdatoen nås, skal accepten vurderes igen. Der er tre udfald. Risikoen er uændret, og accepten forlænges af den samme beslutningstager. Risikoen er vokset, og sagen skal op på et højere niveau. Eller fundet er blevet nemmere at rette, fordi forholdene har ændret sig, og så bør det rettes.
Det er praksis at lade fundregistret give besked, når en accept nærmer sig udløb, så beslutningen ikke glemmes. En accept, der stille løber videre, er i praksis blevet permanent uden at nogen har besluttet det.
Rapportering af accepterede risici
Bestyrelsen bør kunne se de risici, koncernen bærer efter accept. Det er praksis at vise antallet af aktive accepter pr. niveau, de største accepterede risici og de accepter, der udløber inden næste møde. Så kan bestyrelsen se, om accepten bruges med måde, eller om den er blevet en genvej udenom fundene.
Accept og målingens score
Et accepteret fund er stadig et svagt punkt i målingen. Det er praksis at lade accepten fremgå af rapporten, men ikke at hæve scoren for området, fordi fundet er accepteret. Accepten ændrer, hvem der bærer risikoen. Den ændrer ikke, hvor modent området er. Ellers kan en enhed forbedre sin score ved at få sine fund accepteret i stedet for at rette dem, og så mister målingen sin værdi.
Hvad det kræver, og hvad det koster at lade være
Det kræver en skriftlig tolerance, en fælles risikoskala og en beslutning om, hvem der har mandat til at acceptere på hvert niveau.
Uden en model bliver fund enten liggende som åbne i årevis, eller de bliver lukket som accepteret af den, der helst vil være fri for dem. I begge tilfælde ved bestyrelsen ikke, hvilke risici koncernen faktisk bærer.
Det skal I lade være med
- At lade den driftsansvarlige acceptere sine egne fund · risikoejeren kontrollerer sig selv.
- At acceptere uden udløbsdato · accepten skal genovervejes.
- At acceptere lokalt, når fundet rammer andre · det hører til koncernniveauet.
Det skal gennemgangen kunne vise
- ☐ En skriftlig tolerance og en fælles risikoskala.
- ☐ Mandat til accept på hvert niveau.
- ☐ Accepterede fund med begrundelse, beslutningstager og udløbsdato.
- ☐ Overvågning af de accepterede risici.
Kilder
- NIST IR 8286 Rev. 1, december 2025, læst 14. november 2026.
- NIST CSF 2.0 (NIST CSWP 29), 26. februar 2024, bilag A, GV.RM-02, læst 14. november 2026.
- Bestyrelsesforeningens Center for Cyberkompetencer, Cybersikkerhed for bestyrelse og direktion, september 2023, tema 6 og tjeklisten, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Gennemgå jeres accepterede fund, og tjek, om hver accept har en beslutningstager med mandat og en udløbsdato.
Læs også: Prioritering af anbefalinger · Lukning af fund i tre linjer
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
