En selvevaluering kan give et brugbart billede, hvis skalaen er fælles, beviskravene er klare, og nogen følger op på handleplanerne. Den største svaghed er sjældent selve tallet, men at ingen ser efter bagefter.
Der er også en risiko for, at enheder vurderer sig selv for højt. Det har ingen kilde som generel sandhed, men det er netop den risiko, en ekstern efterprøvning kan afdække eller afvise.
Statens selvmåling som sammenligning
Den danske stat har i en årrække målt myndighedernes informationssikkerhed med en selvvurdering. Ifølge en nyhed fra Digitaliseringsstyrelsen fra marts 2020 gav myndighederne sig selv en karakter fra 1 til 5 for syv udvalgte dele af ISO-standarden. Kravet for at være i mål var 4 eller mere overalt, målingen blev gentaget hvert halvår, og myndigheder, der ikke var i mål, skulle lave handleplaner. Det er ikke undersøgt, om målingen stadig foregår sådan.
I januar 2026 skrev Rigsrevisionen et notat til Statsrevisorerne i sagen om statens it-beredskab. Notatet gælder it-beredskab for samfundskritiske systemer og ikke statens informationssikkerhed generelt. Kritikken er konkret: Det ansvarlige ministerium havde ikke fulgt op på den nyeste ISO 27001-modenhedsmåling, som også dækker it-beredskabet. De myndigheder, der lå for lavt, havde lavet handleplaner, men ministeriet oplyste, at det ikke havde fulgt op på dem. Generelle tiltag som en krisesimuleringsdag og et kursus var efter Rigsrevisionens vurdering ikke en egentlig opfølgning.
Selvmålingen blev altså gennemført. Det, der manglede, var den næste del af kæden.
Det samme kan ske i en koncern
Overført til en koncern med mange enheder ser mønstret sådan ud. Enhederne udfylder et skema, koncernens sikkerhedsfunktion samler tallene, og de enheder, der ligger lavt, skriver en handleplan. Året efter gentages øvelsen. Hvis ingen har set, om handleplanerne blev gennemført, er det svært at vide, om de nye tal betyder fremskridt eller bare en ny vurdering.
Eksemplet bruges kun til sammenligning. Reglerne og tilsynet i staten, kommuner og regioner hører under IT-audit i det offentlige.
Hvad en selvevaluering er god til
C2M2 bygger selv på selvevaluering. Modellen anbefaler en workshop med åben dialog og konsensus mellem dem, der kender praksis. Den form har klare fordele: Den er hurtig, den involverer enhederne, og den giver et fælles sprog om svagheder.
En selvevaluering er særligt brugbar til at finde de områder, enhederne selv ser som svage, til at følge udviklingen mellem to større vurderinger og til at forberede en ekstern vurdering.
Hvor egne tal kan skride
Nogle risici går igen, når enheder vurderer sig selv. De er sitets opdeling og bygger ikke på målinger.
Skalaen bliver læst forskelligt. En enhed regner en plan som delvis gennemført, en anden kræver, at praksis har kørt et år.
Beviset bliver ikke set. Svaret bygger på, hvad den ansvarlige mener, frem for på dokumenter og stikprøver.
Tallet får konsekvenser. Hvis scoren indgår i ledelsens mål eller i en rangliste, kan det trække svarene op.
Hvornår en ekstern vurdering giver noget
En ekstern vurdering kan bringe tre ting, som den interne selvevaluering har svært ved. Den læser skalaen ens på tværs af enheder. Den ser beviset bag svaret. Og den er uafhængig af de mennesker, der har ansvaret for praksis.
Det er almindelig praksis at kombinere de to: Enhederne evaluerer sig selv hvert år, og en ekstern part efterprøver et udvalg af enheder og områder. Afvigelsen mellem enhedernes egne tal og de efterprøvede tal er i sig selv et nyttigt nøgletal. Er afvigelsen lille, kan koncernen lægge mere vægt på selvevalueringen. Er den stor, skal metoden strammes. Hvordan en selvevaluering bruges som forberedelse til en NIS2-audit, er et emne for sig.
Opfølgningen er den svære del
Rigsrevisionens notat viser, hvor kæden brister. Det er praksis at give hver handleplan en ejer, en frist og et kriterium for, hvornår den er gennemført, og at nogen uden for enheden kontrollerer, at kriteriet er opfyldt. Rapporten til bestyrelsen kan med fordel vise, hvor mange handleplaner fra sidste måling der er lukket og efterprøvet.
Hvem kan efterprøve inde i koncernen
En ekstern part er ikke den eneste mulighed. Den interne revision kan efterprøve et udvalg af enheder, hvis den har kompetencerne. En enhed kan også efterprøve en anden enhed, så længe ingen vurderer sit eget arbejde. Digitaliseringsstyrelsens vejledning nævner netop, at auditører ikke må auditere eget arbejde. Det afgørende er, at den, der efterprøver, ikke har ansvaret for den praksis, der vurderes.
Hvad det kræver, og hvad det koster at lade være
Det kræver en fælles skala med beviskrav, en workshop eller et skema, som alle enheder bruger ens, en plan for, hvilke enheder der efterprøves, og en fast opfølgning på handleplanerne.
Uden opfølgning bliver selvevalueringen et ritual. Tallene ændrer sig fra år til år, men ingen ved, om praksis gør. Bestyrelsen risikerer at få samme kritik, som Rigsrevisionen gav: at målingen fandt svaghederne, men at ingen fulgte dem til dørs.
Det skal I lade være med
- At lukke en handleplan uden at se beviset · en lukket plan er ikke det samme som en gennemført.
- At sammenligne enheder, der har læst skalaen forskelligt · det giver en rangliste uden værdi.
- At kalde generelle tiltag for opfølgning · kursus og øvelser erstatter ikke kontrol af den enkelte plan.
Det skal gennemgangen kunne vise
- ☐ En fælles skala med beviskrav, som alle enheder har brugt.
- ☐ Hvilke enheder og områder der er efterprøvet, og afvigelsen fra deres egne tal.
- ☐ Status på hver handleplan fra sidste måling med ejer, frist og kriterium.
- ☐ Hvem uden for enheden der har kontrolleret de lukkede handleplaner.
Kilder
- Rigsrevisionen, Opfølgning i sagen om statens it-beredskab II, RN 1102/26 (13. januar 2026), pkt. 24 og 29, læst 14. november 2026.
- Digitaliseringsstyrelsen, Fremgang i statens arbejde med informationssikkerhed (4. marts 2020), læst 14. november 2026.
- U.S. Department of Energy, C2M2 version 2.1 (juni 2022), afsnit 5.1, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Gør status på handleplanerne fra sidste måling, før næste selvevaluering sendes ud.
Læs også: Statens ISO 27001-modenhedsmåling som sammenligning · Når anden linje måler sig selv
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
