En svag enhed bliver et koncernproblem i det øjeblik, den er forbundet med resten. Fælles netværk, fælles identiteter, fælles systemer og tillid mellem domæner gør, at en angriber, der kommer ind ét sted, kan komme videre. Målingen skal derfor kortlægge forbindelserne og ikke nøjes med at give hver enhed en score.
En gennemsnitsscore for koncernen skjuler netop dette. Tyve stærke enheder og én svag giver et pænt gennemsnit, men risikoen bestemmes af den svage, hvis den har adgang til resten.
Hvorfor gennemsnittet snyder
Modenhed bliver ofte lagt sammen som et vægtet gennemsnit. Det er nyttigt til at følge udviklingen, men det siger intet om, hvor let et angreb spreder sig. En lille enhed med gammelt udstyr og svag adgangsstyring vægter lidt i gennemsnittet. Har den samme netværk og samme brugerkatalog som hovedkontoret, vejer den tungt i risikoen.
Vis derfor altid den laveste score ved siden af gennemsnittet, og vis hvilke forbindelser den svageste enhed har til resten.
De forbindelser, der skal kortlægges
- Netværk · Spørgsmål: Er enhedens net adskilt fra resten, eller er der fri trafik? · Hvad den betyder: Fri trafik lader et angreb bevæge sig
- Identiteter · Spørgsmål: Deler enheden brugerkatalog eller administratorkonti med koncernen? · Hvad den betyder: En kompromitteret konto kan give adgang alle steder
- Systemer · Spørgsmål: Bruger enheden fælles forretningssystemer med skriveadgang? · Hvad den betyder: Fejl eller misbrug lokalt rammer fælles data
- Leverandører · Spørgsmål: Har enhedens leverandør adgang videre ind i koncernen? · Hvad den betyder: Leverandørens adgang er en vej ind
- Tillid · Spørgsmål: Er der tillidsforhold mellem enhedens og koncernens domæner? · Hvad den betyder: Tillid kan udnyttes i én retning eller begge
Kortlægningen er praksis. Start med de forbindelser, der giver bredest adgang: delte administratorkonti og fri netværkstrafik til hovedkontoret. De to alene forklarer ofte, hvorfor en lille hændelse kan blive stor. Kortlægningen kræver typisk, at både enhedens IT og koncernens netværks- og identitetsfolk er med, fordi ingen af dem alene har hele billedet.
Myndighederne ser også på forbundne systemer
I SAMSIK’s vejledning om lovens rækkevidde står der, at en enhed, som i høj grad fungerer adskilt fra partner- og tilknyttede virksomheder, især i net- og informationssystemer, kan regnes for at ligge under størrelsestærsklen. Reglen gælder lovens anvendelse og siger intet om risiko. Den nævnes her kun som en illustration af, at myndigheden selv lægger vægt på, om systemerne hænger sammen. Den kan ikke bruges til at vurdere en enheds sikkerhed.
Fra kortlægning til prioritering
Når forbindelserne er kortlagt, kan enhederne placeres i to dimensioner: deres egen modenhed og deres forbindelse til resten. En enhed med lav modenhed og få forbindelser er en lokal risiko. En enhed med lav modenhed og mange forbindelser er en koncernrisiko.
Prioriteringen følger af det, og den er ofte en anden end den, scoren alene peger på. Der er to måder at mindske risikoen fra en svag og forbundet enhed: at løfte dens modenhed eller at mindske forbindelserne, fx ved at adskille netværket eller fjerne delte administratorkonti. Den anden vej kan ofte gennemføres hurtigere, og den kan sættes i gang, mens enheden arbejder på sin modenhed.
Den svage enhed er ofte den mindste
I mange koncerner er de svageste enheder små kontorer, nyligt opkøbte selskaber eller lokationer langt fra hovedkontoret. De har få ressourcer og ingen lokal sikkerhedsfunktion. De er også dem, der oftest bliver udeladt af målingen. Det er en grund til, at udvælgelsen af enheder bør have forbindelser med som kriterium ved siden af størrelse.
Hvordan koncernen stiller krav til små enheder uden at gøre dem urimelige, er beskrevet i små enheder i en stor koncern. Hvordan netværksadskillelse og delte konti efterprøves teknisk, beskrives under de tekniske kontrolpunkter.
Et tænkt eksempel
En koncern har et lille salgsselskab i udlandet med fem ansatte (tænkt eksempel). Det scorer lavest i målingen, men vægter næsten intet i gennemsnittet. Kortlægningen viser, at selskabets medarbejdere logger ind i koncernens fælles brugerkatalog, at den lokale IT-leverandør har en administratorkonto med rettigheder i hele kataloget, og at kontorets net har en åben forbindelse til hovedkontoret.
Selskabets egen modenhed kan ikke løftes på kort tid. Men leverandørens rettigheder kan begrænses til selskabets egne brugere på få dage, og forbindelsen kan lukkes ned til de tjenester, kontoret faktisk bruger. Risikoen for koncernen falder markant, før selskabet har rykket sig et eneste trin.
I rapporten til bestyrelsen
Bestyrelsen bør se den svageste enhed med navn og forbindelser ved siden af gennemsnittet. Et enkelt billede, hvor enhederne er vist efter modenhed og forbindelse, siger mere end en tabel med tyve tal. Det gør det også muligt at spørge, hvorfor en svag enhed stadig har fri adgang til koncernens net. Følg billedet over tid: rykker de svage og forbundne enheder ikke, eller bliver forbindelserne ikke mindre, er det et emne for næste bestyrelsesmøde.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at målingen også kortlægger netværk, identiteter, fælles systemer og leverandøradgange pr. enhed, og at rapporten viser den laveste score ved siden af gennemsnittet. Det kræver samarbejde mellem enhederne og de centrale tekniske funktioner.
Uden kortlægningen kan koncernen have et pænt gennemsnit og en åben dør. Et angreb på en lille enhed kan blive til en hændelse for hele koncernen, og efterfølgende viser det sig, at forbindelsen var kendt lokalt, men aldrig blev vist for ledelsen.
Det skal I lade være med
- At rapportere et gennemsnit uden den laveste score · gennemsnittet skjuler den svage enhed.
- At bruge NIS 2-reglerne om uafhængighed som mål for risiko · de handler om, hvem der er omfattet.
- At udelade små enheder, fordi de vægter lidt · det er forbindelsen, der afgør risikoen.
Det skal gennemgangen kunne vise
- ☐ En kortlægning af netværk, identiteter, systemer og leverandøradgange pr. enhed.
- ☐ Den laveste score vist ved siden af koncernens gennemsnit.
- ☐ En placering af enhederne efter modenhed og forbindelse.
- ☐ Tiltag, der mindsker forbindelser fra svage enheder.
Kilder
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Anvendelsesområdet, maj 2025, kap. 3, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find jeres laveste enhedsscore, og undersøg om enheden deler netværk eller administratorkonti med resten af koncernen.
Læs også: Hvor mange enheder skal besøges? · Vægtning i den samlede score
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
