Når koncernen skifter ramme, eller rammen kommer i en ny version, kan de ældre målinger stadig bruges, hvis broen mellem gammel og ny målestok bygges bevidst. Det kræver en kobling mellem de to, en måling efter begge på mindst ét tidspunkt og en tydelig markering i rapporten af, hvor serien skifter.
Uden broen begynder måleserien forfra. Bestyrelsen mister flere års udvikling, og et fald eller en stigning i det første år efter skiftet kan ikke tolkes.
Hvorfor skift sker
Der er to slags skift. Det ene er versionsskiftet, hvor den samme ramme kommer i en ny udgave. Det andet er rammeskiftet, hvor koncernen vælger en anden ramme, fx fordi et opkøb har ændret koncernens profil, eller fordi et nyt krav gør en anden ramme mere relevant.
Versionsskift sker jævnligt. CIS Controls v8.1 er en opdatering af v8 med en ny Govern-funktion, en ny tilknytning af funktioner efter NIST CSF 2.0, reviderede aktivklasser og præciserede Safeguards. Ifølge CIS mærker de fleste brugere kun lidt til opdateringen. NIST CSF 2.0 fra februar 2024 afløste version 1.1, og i rammens bilag står der, at nummereringen af underkategorier med vilje ikke er fortløbende. Hullerne viser underkategorier fra 1.1, der er flyttet i 2.0.
To eksempler på, hvad en ny version gør
- CIS Controls v8 til v8.1 · Ændring: Funktionerne lagt om efter CSF 2.0; ny Govern-funktion · Betydning for serien: Resultater pr. Safeguard kan fortsætte; grupperinger efter funktion ændres
- NIST CSF 1.1 til 2.0 · Ændring: Ny funktion Govern; underkategorier flyttet · Betydning for serien: Resultater skal flyttes til nye placeringer; Govern har ingen historik
Eksemplerne viser to forskellige situationer. I det første kan serien fortsætte næsten uændret, hvis rapporten bygger på de enkelte foranstaltninger. I det andet skal hvert resultat flyttes, og en hel funktion er ny.
C2M2 har løst en del af problemet i selve værktøjet. Ifølge ændringsoversigten i version 2.1 kan værktøjet indlæse resultater fra tidligere versioner. Det gør det lettere at bevare serien, men koncernen skal stadig vurdere, om de ændrede praksisser betyder, at gamle svar skal tages op igen.
Sådan bygges broen
Det følgende er praksis.
Lav koblingen før skiftet. Beskriv for hvert punkt i den gamle målestok, hvor det hører til i den nye. Brug en offentliggjort kobling, hvor den findes, og marker delvise koblinger. Mere om koblingernes styrker og svagheder står i mapping mellem rammer.
Mål efter begge i overgangsåret. Hvis det er muligt, måles et udvalg af enheder efter både den gamle og den nye målestok i samme periode. Så kan koncernen se, hvor meget skiftet i sig selv flytter resultatet, adskilt fra den reelle udvikling.
Omregn de gamle resultater, hvor koblingen er fuld. Hvor et punkt svarer direkte til et punkt i den nye målestok, kan de gamle resultater flyttes. Hvor koblingen er delvis, skal de stå med en markering eller udelades.
Marker skiftet i rapporten. Grafer over udviklingen skal vise, hvor serien skifter målestok. En lodret streg med en note er nok. Uden den læser bestyrelsen et spring som en reel ændring.
Gem de oprindelige målinger. De gamle data skal bevares i deres oprindelige form, så omregningen kan efterprøves eller laves om.
Når en del er helt ny
Nogle gange tilføjer den nye målestok noget, der slet ikke var med før. Govern i CSF 2.0 er et eksempel. Her er der ingen historik at omregne. Den nye del skal vises for sig, med den første måling som baseline. Det er ærligt at sige, at koncernen ikke ved, hvordan den ville have stået for to år siden.
En nærliggende fejl er at give den nye del et skønnet historisk resultat for at få grafen til at se sammenhængende ud. Det giver et billede af udvikling, der aldrig er målt.
Hvornår skiftet skal ske
Et rammeskift er en stor beslutning, og det bør ske på et tidspunkt, hvor serien kan tåle det. En mulig regel er at skifte ved begyndelsen af en ny flerårig plan og aldrig midt i en måleperiode. Versionsskift kan følge udgiverens tempo, men koncernen bør beslutte, om den skifter med det samme eller venter til næste måleperiode, så alle enheder måles efter samme version.
Hvad bestyrelsen skal have at vide
Et skift af målestok bør forklares for bestyrelsen, før de første tal efter skiftet præsenteres. Forklaringen kan være kort: hvorfor der skiftes, hvad der er sammenligneligt med de tidligere år, hvad der er nyt, og hvordan det første år efter skiftet skal læses. Får bestyrelsen forklaringen først, når tallene er faldet, lyder den som en undskyldning. Får den den på forhånd, er den en del af planen.
Hvad det kræver, og hvad det koster at lade være
Det kræver en kobling mellem gammel og ny målestok, helst en dobbeltmåling i overgangsåret, bevarede originaldata og en rapport, der viser skiftet. Det kræver også en beslutning om, hvornår alle enheder går over, så ingen måles efter forskellige versioner i samme periode.
Uden en bro starter serien forfra, og årene før skiftet bliver ubrugelige som sammenligning. Bestyrelsen får en ny kurve og ingen mulighed for at se, om sikkerheden er blevet bedre eller blot er målt anderledes.
Det skal I lade være med
- At skifte ramme midt i en måleperiode · enhederne ender med at blive målt efter forskellige målestokke.
- At give en ny del et skønnet historisk resultat · det viser en udvikling, der ikke er målt.
- At slette de oprindelige målinger efter omregningen · så kan omregningen ikke efterprøves.
Det skal gennemgangen kunne vise
- ☐ En kobling mellem gammel og ny målestok med markering af delvise koblinger.
- ☐ Resultatet af en dobbeltmåling i overgangsåret, hvis den er lavet.
- ☐ De oprindelige målinger bevaret i deres egen form.
- ☐ En markering af skiftet i rapportens grafer og tabeller.
- ☐ Den version af rammen, hver måling bygger på.
Kilder
- Center for Internet Security, CIS Controls v8.1, læst 14. november 2026.
- NIST CSWP 29, The NIST Cybersecurity Framework (CSF) 2.0, 26. februar 2024, bilag A, læst 14. november 2026.
- U.S. Department of Energy, C2M2 Version 2.1, juni 2022, ændringsoversigt, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Notér, hvilken version af jeres ramme hver af de seneste tre målinger bygger på.
Læs også: Den første måling · Når scoren falder
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
