Staten har målt sine myndigheders modenhed i ISO 27001 med en selvvurdering, et minimumsniveau og handleplaner for dem, der ikke når det. I januar 2026 påpegede Rigsrevisionen, at det ansvarlige ministerium ikke havde fulgt op på handleplanerne efter den seneste måling, der omfatter it-beredskabet.
For en koncern er statens model en nyttig sammenligning. Den ligner det, mange koncerner gør med deres enheder, og kritikken viser, hvor sådan en model er sårbar.
Forbehold
Statens målemetode er beskrevet i en nyhed fra Digitaliseringsstyrelsen fra den 4. marts 2020. Senere rapporter om målingen har vi ikke kunnet læse, fordi de gav fejl på Digitaliseringsstyrelsens side. Om metoden er den samme i dag, har vi altså ikke kunnet se. Rigsrevisionens bemærkning står i opfølgningen på sagen om statens it-beredskab og gælder målingen, der omfatter it-beredskabet. Den gælder ikke statens informationssikkerhed generelt. Statens brug af ISO 27001 har vi ikke fundet hjemmel til i en lov, og vi skriver derfor ikke, at loven kræver standarden.
Modellen, som den blev beskrevet i 2020
Digitaliseringsstyrelsen beskrev i 2020, at hver myndighed selv giver sig en karakter mellem 1 og 5 for syv centrale områder fra standarden. Fuld implementering kræver minimum 4 på alle syv områder. Målingen sker hvert halve år. Myndigheder, der ikke er i mål, laver handleplaner.
Nyheden nævner nogle af områderne som eksempler: risikovurderinger, leverandørstyring, beredskabsplaner og måling, audit og evaluering. Alle syv områder er ikke oplyst i den kilde, vi har læst.
- Vurderingsform · Statens model (beskrevet 2020): Egenvurdering · Spørgsmål til koncernens model: (Hvem vurderer enhederne, og efterprøves det?)
- Skala · Statens model (beskrevet 2020): 1 til 5 · Spørgsmål til koncernens model: (Er trinene beskrevet, så de læses ens?)
- Omfang · Statens model (beskrevet 2020): Syv områder · Spørgsmål til koncernens model: (Hvilke områder, og hvorfor dem?)
- Mål · Statens model (beskrevet 2020): Minimum 4 på alle områder · Spørgsmål til koncernens model: (Et fælles mål eller mål efter risiko?)
- Hyppighed · Statens model (beskrevet 2020): Hvert halve år · Spørgsmål til koncernens model: (Passer hyppigheden til, hvor hurtigt der kan ske ændringer?)
- Ved manglende opfyldelse · Statens model (beskrevet 2020): Handleplan · Spørgsmål til koncernens model: (Hvem følger op på planen?)
Kritikken af opfølgningen
Rigsrevisionens notat til Statsrevisorerne fra den 13. januar 2026 er en opfølgning på sagen om statens it-beredskab. Punkt 29 i notatet konstaterer, at det ansvarlige ministerium ikke har fulgt op på seneste ISO 27001-modenhedsmåling på det felt, der omfatter it-beredskabet. Myndigheder uden et tilstrækkeligt modenhedsniveau udarbejder handleplaner, som de sender til en styrelse under ministeriet. Ministeriet har oplyst, at det ikke har fulgt op på handleplanerne.
Ministeriet har iværksat generelle tiltag, blandt andet en dag med krisesimulering og et kursus i ISO. Det er efter Rigsrevisionens vurdering ikke en egentlig opfølgning. Rigsrevisionen følger sagen videre, herunder om ministeriet følger op på de modenhedsmålinger, hvor myndighederne selv vurderer deres it-beredskab.
Lærdommen for en koncern
Statens model har tre led: selvvurdering, mål og handleplan. Kritikken handler om det fjerde led, som mangler: at nogen følger op på planerne. Det er en svaghed, der let opstår i en koncern med samme opbygning. Det følgende er praksis.
Handleplanen er ikke målet. En handleplan viser, at enheden har set problemet. Den viser ikke, at problemet er løst. Koncernen bør have en ejer, der følger hver plan til den er gennemført eller lukket på anden måde.
Generelle tiltag er ikke opfølgning. Et kursus for alle eller en fælles øvelse kan være nyttigt. Det erstatter ikke opfølgningen på den enkelte enheds plan. Rigsrevisionens skelnen er værd at låne.
Selvvurdering kræver efterprøvning. En skala fra 1 til 5 udfyldt af enheden selv giver et billede, men ikke et kontrolleret billede. En stikprøve udefra kan vise, om enhederne læser skalaen ens.
Hyppigheden skal passe til opfølgningen. En halvårlig måling giver mange datapunkter, men kun værdi, hvis der er kapacitet til at følge op mellem målingerne. Måles der oftere, end der følges op, vokser bunken af planer.
Hvordan en selvevaluering vejes mod en ekstern vurdering, er emnet i selvevaluering eller ekstern vurdering. Regler og tilsyn, der kun gælder det offentlige, hører til audit i den offentlige sektor.
Et minimum på alle områder
Statens krav om mindst 4 på alle syv områder er et eksempel på et fælles gulv uden vægtning. Det har den fordel, at intet område kan skjules af et godt resultat i et andet. Ulempen er, at målet er det samme for alle, uanset risiko. En koncern kan overveje en kombination: et fælles gulv for alle og højere mål for de enheder, hvor risikoen taler for det. Mere om det står i målniveau pr. område.
Hvad en koncern kan låne direkte
Statens model har også styrker, som en koncern kan låne. Skalaen er kort og let at forklare. Målet er tydeligt: mindst 4 på alle områder. Og handleplanen er knyttet direkte til resultatet, så en enhed under målet ved, hvad der forventes. Det er gode egenskaber i en koncern med mange enheder og begrænset tid til hver.
Det, der skal lægges til, er de led, kritikken peger på. En navngiven ejer af opfølgningen, en fast rytme for at gennemgå planernes status og en regel for, hvornår en plan må lukkes. Med de tre led bliver selvvurderingen et redskab til forbedring frem for en indberetning.
Hvad det kræver, og hvad det koster at lade være
Det kræver en ejer af opfølgningen på handleplaner, en regel for, hvornår en plan er lukket, og en efterprøvning af selvvurderingerne. Det kræver også, at målingens hyppighed passer til den kapacitet, der er til at følge op.
Uden opfølgning bliver selvvurdering og handleplaner til en årlig eller halvårlig rutine, hvor de samme enheder melder de samme planer. Ledelsen ser, at der arbejdes, men kan ikke se, om noget bliver bedre.
Det skal I lade være med
- At regne en indsendt handleplan som en løsning · planen skal følges til den er gennemført.
- At erstatte opfølgning med generelle tiltag · Rigsrevisionen skelner mellem de to.
- At bruge statens tal eller myndighedernes navne som målestok · målingen fra 2020 er ikke læst i nyere udgave.
Det skal gennemgangen kunne vise
- ☐ En oversigt over handleplaner med ejer, frist og status.
- ☐ Dokumentation for opfølgning på hver plan.
- ☐ En efterprøvning af et udvalg af selvvurderingerne.
- ☐ En begrundelse for målingens hyppighed.
Kilder
- Rigsrevisionen, Opfølgning i sagen om statens it-beredskab II (beretning nr. 5/2023), RN 1102/26, 13. januar 2026, punkt 24 og 29, læst 14. november 2026.
- Digitaliseringsstyrelsen, Fremgang i statens arbejde med informationssikkerhed, 4. marts 2020, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tæl, hvor mange handleplaner fra jeres seneste måling der har en ejer, der har fulgt op siden.
Læs også: Opfølgende måling i de enheder, der halter · Gentagne fund
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
