Skalaen bestemmer, hvor fint målingen kan skelne, og hvor let resultatet kan sammenlignes med andre. Få trin giver robuste svar og grove billeder. Mange trin giver flere nuancer, men også flere uenigheder om, hvor grænsen går.
De offentlige rammer har valgt meget forskelligt. Det er værd at kende forskellene, før koncernen vælger sin egen skala eller blander tal fra flere kilder.
Fire skalaer side om side
- C2M2 version 2.1 · Skala: MIL0 til MIL3 pr. domæne og fire svartrin pr. praksis · Hvad der vurderes: Hvor komplet og forankret praksis er
- NIST CSF 2.0 · Skala: Fire tiers fra Partial til Adaptive, valgfri · Hvad der vurderes: Stringensen i hele organisationens styring af cyberrisiko
- Britisk CAF version 4.0 · Skala: Opnået, delvist opnået, ikke opnået · Hvad der vurderes: Om et bidragende resultat er nået
- Statens ISO-måling (2020) · Skala: 1 til 5 på syv områder, mindst 4 for fuld implementering · Hvad der vurderes: Egenvurderet implementering
C2M2: fire niveauer, hvoraf tre kan opnås
C2M2 har niveauerne MIL0 til MIL3 for hvert domæne. Nulniveauet er fraværet af praksis, så kun tre af dem er noget, man kan opnå. Under niveauerne ligger en svarskala med fire trin for hver praksis: Not, Partially, Largely og Fully Implemented. En praksis regnes som udført ved Largely eller Fully. Modellen har altså to skalaer: én fin for den enkelte praksis og én grov for domænet.
CSF: tiers for hele organisationen
NIST CSF 2.0 har fire tiers: Partial, Risk Informed, Repeatable og Adaptive. De siger noget om, hvor stramt cyberrisikoen styres i hele organisationen, og de er frivillige. NIST SP 1302 anbefaler at vælge dem samlet eller på funktions- eller kategoriniveau frem for underkategorier. CSF’s egentlige måleredskab er profilerne, ikke tiers.
CAF: resultater frem for trin
Den britiske Cyber Assessment Framework vurderer 41 bidragende resultater som opnået, delvist opnået eller ikke opnået. Det er ikke en modenhedstrappe, men en vurdering af, om et resultat er nået. Rammen er bygget til faglig vurdering med bevis frem for en tjekliste.
Statens fem trin
Den danske stat brugte i 2020 ifølge Digitaliseringsstyrelsen en egenvurdering fra 1 til 5. Myndighederne vurderede syv områder, og 4 var grænsen for fuld implementering. Sitet har ikke kunnet bekræfte, at skalaen bruges i dag.
Hvad valget gør ved resultatet
NIST SP 800-55 kalder tal på sådanne skalaer semikvantitative. De har kun betydning inden for den vurdering, de kommer fra. Skalaen er ordinal, og trinene står i orden uden at have samme indbyrdes afstand. Kvalitative vurderinger kræver desuden, at alle har samme forståelse af skalaen.
Det har tre konsekvenser, som er sitets tolkning.
Tal fra to skalaer kan ikke sættes lig hinanden. Et 3 på en skala med fem trin er ikke det samme som MIL3, og et “delvist opnået” er ikke et 2.
Få trin giver store spring. En enhed kan arbejde et helt år uden at rykke et trin på en skala med tre niveauer, selv om praksis bliver bedre. Det kan tage modet fra enhederne.
Mange trin giver mere uenighed. Jo flere trin, jo sværere er det at forklare forskellen mellem nabotrin, og jo mere afhænger resultatet af, hvem der vurderer.
Valg af skala i en koncern
Det er almindelig praksis at vælge én skala for hele koncernen og holde fast i den, så måleserien kan bruges over flere år. Hvis koncernen måler mod en bestemt ramme, er rammens egen skala det naturlige valg, fordi den har beskrivelser, som andre også bruger.
En mulig løsning er at bruge en fin skala for de enkelte praksisser og en grov skala for områderne, som C2M2 gør. Den fine skala viser fremskridt undervejs. Den grove skala er den, bestyrelsen ser.
Hvis enheder allerede måler mod forskellige rammer, kan skalaerne ikke lægges direkte sammen. Det er praksis at oversætte dem via en fælles beskrivelse af, hvad der skal kunne vises på hvert trin, og at sige tydeligt, at der er tale om en oversættelse.
Halve trin og mellemtrin
Et tilbagevendende spørgsmål er, om der må gives halve trin. Det er fristende, fordi det viser fremskridt, før et helt trin er nået. Ulempen er, at halve trin sjældent har en beskrivelse, og så bliver de et skøn.
Det er praksis enten at forbyde halve trin eller at beskrive dem lige så præcist som de hele. C2M2 løser det på sin egen måde. Den fine svarskala pr. praksis viser fremskridtet, mens niveauet for domænet kun ændres, når alle praksisser på niveauet er på plads. Den model kan bruges, selv om koncernen måler mod en anden ramme.
Uanset valget er det praksis at teste skalaen i en pilot, før den bruges i hele koncernen. To vurderere bør kunne nå samme trin ud fra samme bevis. Gør de ikke det, skal beskrivelserne skærpes.
Hvad det kræver, og hvad det koster at lade være
Det kræver et skrevet valg af skala med en beskrivelse og et eksempel for hvert trin, og at alle enheder bruger samme skala. Det kræver også, at tal fra andre skalaer markeres og ikke blandes ind uden oversættelse.
Uden et klart valg bliver tal fra forskellige skalaer lagt sammen, som om de betød det samme. Bestyrelsen ser et samlet billede, der ikke findes, og en senere skift af skala bryder måleserien.
Det skal I lade være med
- At sætte tal fra forskellige skalaer lig hinanden · et 3 er ikke altid et 3.
- At bruge CSF’s tiers som skala pr. område · de er tænkt til organisationen som helhed.
- At skifte skala uden at regne de gamle tal om · så brydes måleserien.
Det skal gennemgangen kunne vise
- ☐ Den valgte skala med beskrivelse og eksempel for hvert trin.
- ☐ At alle enheder har brugt den samme skala.
- ☐ Hvordan tal fra andre skalaer er oversat, og at det er markeret.
- ☐ Hvilken skala bestyrelsen ser, og hvilken enhederne arbejder med.
Kilder
- U.S. Department of Energy, C2M2 version 2.1 (juni 2022), afsnit 4.2 og tabel 7, læst 14. november 2026.
- NIST, The NIST Cybersecurity Framework (CSF) 2.0 (februar 2024), afsnit 3.2, læst 14. november 2026.
- NIST SP 1302, Quick-Start Guide for Using the CSF Tiers (oktober 2024), læst 14. november 2026.
- NCSC, Cyber Assessment Framework, version 4.0, læst 14. november 2026.
- Digitaliseringsstyrelsen, Fremgang i statens arbejde med informationssikkerhed (4. marts 2020), læst 14. november 2026.
- NIST SP 800-55 vol. 1, Measurement Guide for Information Security (december 2024), afsnit 1.4 og 2.2, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Vælg én skala for hele koncernen, og skriv et eksempel for hvert trin.
Læs også: Vægtning · CSF Tiers er ikke modenhedstrin
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
