Et lille kontor kan ikke have samme sikkerhedsorganisation som hovedkontoret, men det kan godt leve op til et fælles minimum og måles på samme skala. Løsningen er at differentiere målniveauet efter enhedens størrelse og risiko, at lade de små enheder hvile på fælles tjenester, hvor det er muligt, og at gøre målingen lettere uden at gøre den blødere.
Det, der ikke virker, er at lade de små enheder falde helt ud, fordi målingen virker for tung til dem. De bliver ofte de svageste, og har de forbindelse til resten af koncernen, bliver deres svaghed alles.
Differentiering efter risiko og ressourcer
CIS Controls bruger en model, der passer godt her. CIS deler sine 153 safeguards i version 8.1 i tre implementeringsgrupper efter organisationens risikoprofil og ressourcer. Den første gruppe, IG1, kalder CIS “essential cyber hygiene”, og den er grundlaget for alle. IG2 bygger oven på IG1, og IG3 omfatter alle kontroller. Det var stadig den gældende version pr. 14. november 2026.
En koncern kan bruge samme tanke uden at bruge CIS som sin model: et fælles grundlag for alle enheder og højere niveauer for de enheder, hvis størrelse, data eller forbindelser kræver det.
Tre niveauer i praksis
- Lille kontor med få ansatte og fælles IT · Målniveau: Grundlaget (fx svarende til IG1) · Typisk løsning: Klienter, mail og identitet leveres centralt. Enheden ejer få kontroller selv
- Mellemstor enhed med egen drift · Målniveau: Grundlaget og udvalgte områder højere · Typisk løsning: Egen IT-ansvarlig med fælles politikker og værktøjer
- Stor eller kritisk enhed · Målniveau: Højere niveau på alle relevante områder · Typisk løsning: Egen sikkerhedsfunktion eller dedikeret ressource
Tabellen er en tænkt opdeling. Koncernen skal selv fastsætte kriterierne og skrive dem ned, fx antal brugere, hvilke data enheden håndterer, og hvor tæt den er forbundet med resten.
Fælles tjenester er den store hjælp
Det mest effektive, en koncern kan gøre for de små enheder, er at tage kontrollerne fra dem. Leveres klienter, identitetsstyring, backup og mail centralt, behøver det lille kontor ikke selv at kunne. Så ejer enheden få kontroller, typisk dem der handler om at melde ændringer i medarbejdere og om fysisk sikring af lokalerne.
Målingen skal afspejle det. En lille enhed, der bruger koncernens fælles løsninger, bør ikke måles på kontroller, som servicecentret ejer. Den måles på sine egne, og servicecentret måles for sig. Hvordan ansvaret deles, er beskrevet i fælles tjenester og shared service.
En lettere måling med samme skala
En lille enhed har ikke tid til et skema med to hundrede spørgsmål. Målingen kan gøres lettere på flere måder:
- Færre spørgsmål, fordi enheden ejer færre kontroller.
- Et kortere interview, evt. på afstand.
- Fælles bevis, hvor det kommer fra centrale systemer.
- Efterprøvning efter tur i stedet for hvert år.
Det, der ikke må ændres, er skalaen og kravet til bevis. De lettere former for måling skal give samme slags svar, bare med færre spørgsmål og mindre besvær for enheden. Et trin betyder det samme i den lille og den store enhed. Ellers kan tallene ikke sammenlignes, og de små enheder får en score, der ser bedre ud, end den er.
Et tænkt eksempel
En koncern har et kontor med ti ansatte i en provinsby (tænkt eksempel). Kontoret bruger koncernens klienter, mail og identitetsstyring. Det har en lokal printer, et netværksskab og en adgangskontrol til døren. Kontorets egne kontroller er få: at lederen melder nye og fratrådte medarbejdere til tiden, at netværksskabet er låst, at gæster ikke kommer på det interne net, og at medarbejderne har gennemført koncernens træning.
Målingen af kontoret tager en time og kan klares på afstand med et par billeder som bevis. Kontoret får sin egen score på sine egne kontroller og en samlet score, der også rummer de fælles tjenester. Begge tal kan sammenlignes med de andre kontorer, og ingen har bedt kontoret om at have en sikkerhedsfunktion.
NIS 2 og de små datterselskaber
NIS 2-loven vurderer størrelse pr. enhed, men ifølge myndighedens vejledning gælder det, at partnervirksomheder og tilknyttede virksomheder kan tælle med i vurderingen. Lidenhed alene holder altså ikke et datterselskab uden for loven. Lovens rækkevidde og grænserne for en audit efter den er forklaret under audit efter NIS2.
For koncernens måling betyder det, at et lille selskab kan have et højere målniveau, end dets størrelse alene tilsiger, hvis det er omfattet.
Hvad det kræver, og hvad det koster at lade være
Det kræver kriterier for, hvilken enhed der hører til hvilket niveau, fælles tjenester, der tager kontrollerne fra de små enheder, og en målemetode, der er lettere uden at ændre skalaen. Det kræver også, at koncernen accepterer, at de små enheder ikke skal kunne alt.
Uden differentiering står koncernen med to dårlige valg. Enten stiller den krav, de små enheder ikke kan opfylde, og de giver op eller svarer pænt. Eller den lader dem falde ud, og så har den blinde pletter netop dér, hvor angribere ofte prøver først.
Det skal I lade være med
- At stille samme krav til et lille kontor som til hovedkontoret · så giver det lille kontor op.
- At lade små enheder falde helt ud af målingen · de bliver blinde pletter.
- At gøre skalaen blødere for de små · målingen må gerne være lettere, men et trin skal betyde det samme.
Det skal gennemgangen kunne vise
- ☐ Kriterier for, hvilket målniveau hver enhed har, og hvem der har fastsat dem.
- ☐ En oversigt over, hvilke kontroller de små enheder selv ejer.
- ☐ Samme skala og samme krav til bevis for alle enheder.
- ☐ Små enheder med i måleserien, også når de ikke besøges hvert år.
Kilder
- Center for Internet Security, CIS Critical Security Controls Implementation Groups, læst 14. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Anvendelsesområdet, maj 2025, kap. 3, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find jeres mindste enheder, og skriv for hver, hvilke kontroller den selv ejer, og hvilke koncernen leverer.
Læs også: Den svageste enhed · Målniveau pr. område
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
