Tiden fra en kritisk sårbarhed er kendt, til den er lukket, er et af de få sikkerhedsnøgletal, der både er let at forstå og siger noget om, hvorvidt processen virker. Men tallet kan kun sammenlignes mellem enheder, hvis alle regner på samme måde.
Definitionen er derfor det vigtigste. Hvad er kritisk, hvornår starter uret, hvornår stopper det, og hvilke systemer tæller med? Ingen regel fastlægger det. Det er praksis, og koncernen må beslutte det selv.
Hvad kilderne siger
Hos NIST fremhæves rettetiden netop som et tal, der siger mere end en optælling af lukkede sårbarheder. Vejledningen placerer den slags tal blandt målinger af effektivitet i tid, der viser, hvor hurtigt noget sker.
I NIS 2-vejledningen om ledelsens opgaver nævner Styrelsen for Samfundssikkerhed måltal for håndteringen af kritiske sårbarheder som et eksempel på det, ledelsen kan få rapporteret. Det er et eksempel i vejledningen, ikke et krav.
Hvad europæiske tal viser
Grundlaget for ENISA’s NIS Investments 2025 er telefoninterview med 1.080 fagfolk i alle EU-lande, fra sektorer med høj kritikalitet under NIS2, og langt de fleste kommer fra store virksomheder. Svarene er selvrapporterede, og ENISA skriver selv, at stikprøven skifter fra år til år, hvilket kan påvirke resultaterne.
Med det forbehold viser undersøgelsen følgende:
- 28 procent svarer, at det tager dem over tre måneder at rette kritiske sårbarheder.
- 63 procent bruger en måned eller mere på kritiske rettelser på kritiske systemer.
- Blandt SMV’erne svarer 51 procent, at de bruger over tre måneder.
- 27 procent peger på ældre systemer og OT som årsag.
Tallene kan ikke sammenlignes direkte med en koncerns egne. Spørgsmålene er stillet på én måde, populationen er bred, og definitionen af kritisk er respondentens egen. De kan bruges til at vise bestyrelsen, at lange rettetider er almindelige, ikke til at sige, om koncernen ligger over eller under et gennemsnit.
En definition, der kan sammenlignes
Det er sitets forslag at fastlægge fire ting skriftligt, før tallet rapporteres.
- Hvad er kritisk · Et fast kriterium for alvorlighed (højeste kategori i den fælles skala, eller kendt udnyttet)
- Hvornår starter uret · Når sårbarheden er offentliggjort, eller når den er fundet i miljøet (fundet i miljøet)
- Hvornår stopper uret · Når rettelsen er installeret, eller når den er bekræftet ved ny scanning (bekræftet)
- Hvilke systemer · Alle, eller kun en afgrænset gruppe (internetvendte og forretningskritiske)
Valgene er ikke rigtige eller forkerte i sig selv. Det afgørende er, at de er ens i alle selskaber og ligger fast over tid. Skifter et selskab startpunkt, kan tallet halveres uden at noget er blevet bedre.
Median, gennemsnit eller andel
Et gennemsnit trækkes op af få meget gamle sårbarheder. En median viser det typiske forløb. En andel lukket inden for en frist er let at sætte tolerance på. Det er almindelig praksis at rapportere to af dem sammen, fx median og andel over fristen, så både det typiske og de lange haler kan ses.
Sårbarheder, der ikke kan lukkes, fordi systemet er ude af support, bør tælles for sig. Ellers trækker de tallet op i det uendelige, og de forsvinder samtidig fra den beslutning, de kræver. Den tekniske side af sårbarhedsstyringen er beskrevet på sitet om tekniske kontrolpunkter.
Sammenligning mellem enhederne
Med en fælles definition kan tallet vises pr. selskab. Det er praksis at vise antallet af kritiske sårbarheder ved siden af tiden. Et selskab med to sårbarheder og lang tid har et andet problem end et selskab med tre hundrede og kort tid.
Det er også nyttigt at notere, hvem der lukker. Har et selskab outsourcet driften, afhænger tallet af leverandørens proces, og så skal opfølgningen ske gennem kontrakten. Hvordan en audit generelt ser på sårbarhedsprocessen, står på sitet om auditmetode og NIS2-audit.
Tallet i rapporten til bestyrelsen
I rapporten til bestyrelsen er det nok at vise medianen og andelen over fristen pr. selskab og samlet, med udviklingen over de seneste kvartaler. Detaljerne om enkelte sårbarheder hører til i driften. Det er praksis at sætte en tolerance på andelen over fristen, så bestyrelsen ved, hvornår tallet kræver en drøftelse. Er tallet rødt, bør rapporten sige, om årsagen er mangel på folk, gamle systemer eller afhængighed af en leverandør, fordi de tre kræver forskellige beslutninger.
Hvad det kræver, og hvad det koster at lade være
Det kræver en skriftlig definition, data fra scanning og ændringsstyring i alle selskaber, og én funktion, der beregner tallet ens for alle. Første gang afslører det ofte, at data mangler i nogle selskaber.
Uden en fælles definition rapporterer hvert selskab det tal, der ser bedst ud. Bestyrelsen ser tider, der ikke kan sammenlignes, og lange rettetider gemmer sig i en gunstig regnemåde.
Det skal I lade være med
- At lade hvert selskab vælge sit startpunkt · så kan tallene ikke sammenlignes.
- At bruge ENISA’s tal som mål for koncernen · de er selvrapporterede og EU-brede.
- At blande systemer uden support ind i tallet · de kræver en særskilt beslutning.
Det skal gennemgangen kunne vise
- ☐ En skriftlig definition af kritisk, start og stop.
- ☐ Tal pr. selskab beregnet efter samme definition.
- ☐ Median og andel over frist ved siden af gennemsnittet.
- ☐ En særskilt liste over sårbarheder, der ikke kan lukkes.
Kilder
- ENISA, NIS Investments 2025, indsigt 5 og grundlag, læst 14. november 2026.
- NIST SP 800-55v1, december 2024, afsnit 2.2 og 3.3.3, læst 14. november 2026.
- Styrelsen for Samfundssikkerhed, Ledelsens rolle og opgaver, maj 2025, kapitel 4, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bed to selskaber beskrive, hvornår deres ur starter og stopper. Er svarene forskellige, er tallene det også.
Læs også: Tolerancer · Dækningsgrad som nøgletal
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
