Der findes tre offentlige kilder, en større dansk virksomhed kan holde sig op imod: ENISA’s NIS Investments, ENISA’s NIS360 og Danmarks Statistiks tal om virksomhedernes it-sikkerhed. Ingen af dem kan sættes direkte ved siden af koncernens egen modenhedsscore, fordi de måler noget andet, hos nogle andre og på en anden måde.
Det betyder ikke, at tallene er ubrugelige. De kan give bestyrelsen en ramme om egne resultater og pege på spørgsmål, der er værd at stille. De kan ikke afgøre, om koncernen ligger over eller under gennemsnittet.
Tre kilder med hver sin population
Når en bestyrelse spørger, hvordan koncernen klarer sig i forhold til andre, er det første spørgsmål tilbage: andre hvem? De tre kilder svarer forskelligt.
- ENISA, NIS Investments 2025 · Hvem der indgår: Organisationer i NIS2-sektorer i alle 27 medlemslande, overvejende store · Hvad der måles: Bemanding, drivere, prioriteringer og praksis · Hvordan: Telefoninterview, frivillig deltagelse
- ENISA, NIS360 (tredje udgave, maj 2026) · Hvem der indgår: Sektorer og delsektorer, ikke virksomheder · Hvad der måles: Sektorens samlede modenhed og kritikalitet · Hvordan: Surveys, rapporter og en scoringsmodel
- Danmarks Statistik, tabel ITAV26 · Hvem der indgår: Danske private, ikke-finansielle byerhverv med mindst ti fuldtidsansatte · Hvad der måles: Om bestemte sikkerhedstiltag findes · Hvordan: Virksomhedernes egne svar
Kun Danmarks Statistik fordeler tallene på størrelse, så de største virksomheder kan ses for sig. ENISA’s undersøgelse lægger stikprøven på store virksomheder, men dækker hele EU. NIS360 vurderer sektorer som helhed og siger intet om den enkelte virksomhed.
Selvrapporteret og skiftende
Alle tre bygger helt eller delvist på det, virksomhederne selv svarer. ENISA gør selv opmærksom på, at deltagerne ikke er de samme hvert år, hvilket kan flytte tallene. NIS360 kalibrerer sin model for blandt andet skævheder i selvvurderinger. Danmarks Statistiks tal er virksomhedernes egne svar på, om de gør bestemte ting.
En koncerns egen modenhedsvurdering bygger forhåbentlig på mere end selvrapportering, fx interview, dokumenter og stikprøver. Allerede der ligger et skel. To tal, der ser ens ud, kan stå for vidt forskellig bevisdybde.
Hvorfor tallene ikke kan stilles op mod jeres score
Der er tre grunde, og de virker sammen.
Spørgsmålene er forskellige. Danmarks Statistik spørger, om virksomheden foretager en risikoanalyse. En modenhedsvurdering spørger, hvor systematisk risikoanalysen er, hvem der bruger den, og om den gentages. Et ja i den ene og et trin tre i den anden er ikke samme oplysning.
Populationerne er forskellige. En dansk produktionskoncern med selskaber i flere lande passer ikke ind i nogen af de tre grupper. Den er dels dansk, dels europæisk, og måske kun delvist omfattet af NIS2.
Skalaerne er forskellige. NIST SP 800-55 fra 2024 regner trinskalaer som en rangordning og ikke som en måling i streng forstand. Tal på sådan en skala beholder ikke deres værdi uden for den vurdering, de kommer fra. Sitet læser vejledningen sådan, at et trin i koncernens egen model så heller ikke kan stå side om side med et tal fra en anden undersøgelse.
Det, tallene kan bruges til
Tallene er nyttige på tre måder, så længe populationen står ved siden af.
De kan vise, hvad der er almindeligt. Hvis næsten alle store danske virksomheder svarer, at de laver risikoanalyser, er det svært at forklare, hvorfor et datterselskab ikke gør det.
De kan pege på spørgsmål. Hvis ENISA skriver, at en stor del af de adspurgte organisationer er over et kvartal om at lukke kritiske sårbarheder, er det relevant at spørge, hvordan koncernens egne enheder ligger, målt med egne data.
De kan give sektorkontekst. NIS360 placerer sektorer efter modenhed og kritikalitet. En koncern i en sektor, ENISA lægger i risikozonen, har en grund til at se ekstra efter i sin egen leverandørkæde og sine egne afhængigheder.
Når bestyrelsen beder om en placering
Et ærligt svar til bestyrelsen er, at der ikke findes en offentlig målestok, der placerer koncernen præcist. Det, der kan leveres, er tre ting: koncernens egen udvikling over tid, forskellen mellem koncernens enheder og en beskrivelse af, hvad de offentlige tal siger om lignende virksomheder.
Den interne sammenligning er ofte den mest brugbare. Metoden til at gøre enhederne sammenlignelige står i benchmark på tværs af forretningsenheder. Kommuner og regioner har deres egne kilder og egne sammenligninger, som gennemgås under revision af den offentlige IT.
Når en enhed selv henviser til tal udefra
I en koncern sker det, at et datterselskab forklarer en lav score med, at det ligger på niveau med branchen. Argumentet kan lyde rimeligt, men det hviler på de samme svage sammenligninger som ovenfor.
Det er praksis at svare med koncernens egen målestok. Selskabet måles mod det målniveau, koncernen har sat for det, og ikke mod et gennemsnit for andre virksomheder. Et tal fra en offentlig undersøgelse kan indgå i dialogen som baggrund, men det ændrer ikke målniveauet.
Omvendt kan et selskab, der ligger over koncernens niveau, bruge offentlige tal til at vise, at det har taget et skridt, mange andre endnu ikke har taget. Også her skal populationen stå ved siden af, så argumentet holder, når nogen spørger ind til det.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at hver gang et eksternt tal bruges, står kilden, året og populationen ved siden af. Det kræver også, at koncernens egen skala er beskrevet, så læseren kan se, hvad et trin betyder.
Bruges eksterne tal uden forbehold, kan bestyrelsen tro, at koncernen ligger godt, fordi den ser bedre ud end et EU-gennemsnit, der bygger på helt andre spørgsmål. Det kan føre til, at et reelt hul bliver nedprioriteret.
Det skal I lade være med
- At sætte jeres score og et ENISA-tal i samme søjlediagram · de to tal har intet fælles grundlag.
- At bruge EU-tal som dansk målestok · populationen er en anden.
- At udelade året · stikprøverne skifter, og tallene forældes.
Det skal gennemgangen kunne vise
- ☐ Kilde, år og population ved hvert eksternt tal i rapporten.
- ☐ En beskrivelse af koncernens egen skala og bevisdybde.
- ☐ En intern sammenligning af enhederne efter samme metode.
- ☐ En tydelig markering af, hvad der er sammenligning, og hvad der er kontekst.
Kilder
- ENISA, NIS Investments 2025, hovedrapport, resumé og afsnit II, læst 14. november 2026.
- ENISA, NIS360, tredje udgave, 28. maj 2026, læst 14. november 2026.
- Danmarks Statistik, Statistikbanken, tabel ITAV26, læst 14. november 2026.
- NIST SP 800-55v1, december 2024, afsnit 1 til 3, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv populationen ved hvert eksternt tal i jeres næste bestyrelsesrapport, og flyt sammenligningen over på jeres egne enheder.
Læs også: ENISA’s NIS Investments 2025 som benchmark · Måling over tid
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
