Kultur kan ikke måles direkte, men den kan iagttages i adfærd, beslutninger og prioriteringer. En vurdering kan se på, hvordan ledelsen taler om risiko, hvad medarbejderne gør, når noget går galt, og om sikkerheden er med, når forretningen træffer beslutninger.
Klikrater i phishingøvelser og andelen, der har gennemført et kursus, er de tal, de fleste har. De er nemme at tælle, men de siger mest om aktivitet og mindre om kultur.
Hvad rammerne beder om
Den britiske Cyber Governance Code of Practice fra april 2025 er skrevet til mellemstore og store organisationer. Under emnet om mennesker beder den bestyrelsen fremme en sikkerhedskultur. Den beder også bestyrelsen skaffe sig sikkerhed, ved hjælp af egnede nøgletal, for at organisationen har en effektiv træning i cybersikkerhed. Kodeksen er britisk, og det fremgår ikke af den side, sitet har læst, om den er frivillig eller bindende. Den bruges her som inspiration og ikke som krav.
NIST CSF 2.0 placerer kulturen hos ledelsen. Underkategorien GV.RR-01 lægger ansvaret hos ledelsen og beder den fremme en kultur med blik for risiko. Kategorien PR.AT handler om awareness og træning.
Digitaliseringsstyrelsens vejledning i evaluering og opfølgning fra 2016 deler målepunkter i mennesker, processer og teknologi. Den nævner, at målepunkter om mennesker kan sige noget om adfærd, holdning og kultur.
Hvad en vurdering kan iagttage
Listen nedenfor er sitets forslag til, hvad der kan ses ud over klikrater. Det er praksis og ikke en standard.
Ledelsens adfærd. Står sikkerhed på direktionens og bestyrelsens dagsorden af egen drift, eller kun når der har været en hændelse? Følger ledelsen selv reglerne for adgang og udstyr?
Indberetninger. Melder medarbejderne mistænkelige mails og fejl? Stiger antallet af indberetninger efter en kampagne, og får de, der melder, et svar?
Undtagelser. Hvor ofte bliver der søgt om undtagelser fra sikkerhedsreglerne, hvem godkender dem, og bliver de lukket igen?
Projekter. Kommer sikkerheden med fra starten i nye projekter, eller bliver den kaldt ind til sidst?
Efter en hændelse. Bliver hændelser gennemgået for at lære, eller for at finde en skyldig? Ændrer gennemgangen noget?
Fra iagttagelse til score
Kultur passer dårligt til en skala, der kun spørger, om noget er dokumenteret. En mulig fremgangsmåde er at bruge de samme trin som for andre områder, men lade beviset være iagttagelser frem for dokumenter.
- Lavt · Sikkerhed er IT’s opgave, træning er et årligt kursus, hændelser bliver ikke meldt
- Mellem · Ledelsen nævner sikkerhed, medarbejdere melder hændelser, træningen er tilpasset roller
- Højt · Sikkerhed indgår i forretningens beslutninger, indberetninger bliver brugt, ledelsen følger op på træningens effekt
Tabellen er sitets tænkte eksempel. Den viser, at trinnene kan beskrives, så to vurderere kan blive enige.
Tal, der siger mere end klikrater
Klikraten kan stadig bruges, men den er stærkere sammen med andre tal. Hvor stor en del af de modtagne øvelsesmails blev meldt? Hvor lang tid gik der, før den første melding kom? Hvor mange af dem, der klikkede, meldte det selv? De spørgsmål siger mere om, hvad medarbejderne gør, end om de lod sig narre.
For kurser er det mere interessant, om indholdet passer til rollen, end om alle har gennemført. En udvikler, en bogholder og en maskinoperatør har brug for noget forskelligt.
Kultur i en koncern
I en koncern kan kulturen være meget forskellig fra enhed til enhed, også når politikken er den samme. Et opkøbt selskab bringer sin egen kultur med, og en fabrik har en anden end et hovedkontor. Det er praksis at måle kultur i hver enhed for sig og at være varsom med at rangere dem, fordi iagttagelserne er mere afhængige af den, der vurderer.
Hvad der gælder efter NIS2, findes under NIS2-audit. Myndighederne har deres egen side om IT-audit i det offentlige.
Vurdererens rolle
Kultur er det område, hvor resultatet afhænger mest af den, der vurderer. Det er praksis at lade to personer deltage i interviewene og at skrive iagttagelserne ned, før trinnet sættes. Det gør det lettere at forklare resultatet for enheden og at sammenligne med næste år.
Det er også praksis at stille de samme spørgsmål i alle enheder og til folk på flere niveauer, fra direktion til medarbejdere i driften. Svarene er mere værd, når de kan holdes op mod hinanden.
En sidste ting: Kulturmålingen bør ikke blive en bedømmelse af enkeltpersoner. Formålet er at forstå, hvordan organisationen fungerer. Hvis medarbejderne oplever interviewene som en kontrol af dem selv, bliver svarene forsigtige, og billedet bliver pænere end virkeligheden.
Hvad det kræver, og hvad det koster at lade være
Det kræver en beskrivelse af, hvad der iagttages på hvert trin, interview med både ledelse og medarbejdere og tal, der handler om adfærd frem for aktivitet. Det kræver også, at vurderingen er åben om, at den bygger på skøn.
Uden et kulturområde i målingen ser bestyrelsen kun processer og teknik. Den ser ikke, at en politik bliver omgået i hverdagen, eller at medarbejderne ikke tør melde en fejl. Det er ofte dér, en hændelse begynder.
Det skal I lade være med
- At måle kultur med kursusdeltagelse alene · det tæller aktivitet, ikke adfærd.
- At kalde den britiske kodeks for et krav · den bruges her som inspiration.
- At rangere enhederne på kultur uden fælles beskrivelser · så måler I vurderernes forskelle.
Det skal gennemgangen kunne vise
- ☐ En beskrivelse af, hvad der iagttages på hvert trin.
- ☐ Tal for indberetninger og undtagelser ud over klikrater.
- ☐ Hvordan ledelsen følger op på, om træningen virker.
- ☐ Hvem der er interviewet om kultur i hver enhed.
Kilder
- UK Department for Science, Innovation and Technology m.fl., Cyber Governance Code of Practice (8. april 2025), C1 og C4, læst 14. november 2026.
- NIST, The NIST Cybersecurity Framework (CSF) 2.0 (februar 2024), bilag A (GV.RR-01 og PR.AT), læst 14. november 2026.
- Digitaliseringsstyrelsen, Vejledning i evaluering og opfølgning (juni 2016), afsnit 1.3, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Beskriv, hvad der skal iagttages på hvert trin, før kultur tages med i næste måling.
Læs også: Den britiske Cyber Governance Code of Practice som målestok · Sikkerhed, der kommer for sent ind i projekter og ændringer
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
