Et nøgletal er rødt, når det ligger uden for en grænse, som ledelsen på forhånd har besluttet. Uden den grænse er farven et skøn fra den, der laver rapporten, og så er det rapportens forfatter, der reelt fastsætter risikoappetitten.
Tolerancer flytter den beslutning tilbage til bestyrelsen. De gør det muligt at se, hvornår en afvigelse er så stor, at den skal drøftes, og hvornår den kan klares i driften.
Hvad kilderne siger
Den britiske regering har udgivet Cyber Governance Code of Practice, og i den beder i handling E2 bestyrelsen om at kræve formel rapportering mindst hvert kvartal, fastsætte egnede målinger og aftale tolerancer for hver af dem. Kodeksen er britisk og frivillig og bruges her som målestok.
Tolerancer optræder to steder i Bestyrelsesforeningens vejledning til bestyrelse og direktion. Tjeklisten til tema 2 om risikoappetit spørger til toleranceværdien for de enkelte risici. Tema 4 om rapportering nævner fravigelser fra de risikotolerancer, bestyrelsen har fastsat, som et punkt i de faste rapporter.
NIST har i IR 8286 Rev. 1 beskrevet, hvordan cybersikkerhed integreres i virksomhedens samlede risikostyring, og her skilles risikoappetit og risikotolerance ad. Appetitten er, hvor meget risiko organisationen vil påtage sig. Tolerancen er parathed til at leve med restrisikoen, når risikoen er håndteret. Vejledningen siger, at tolerancer bør have klare og målbare grænser, og at topledelsen normalt kommunikerer appetit og tolerance i skriftlige erklæringer. Det går igen i kontrolmålet GV.RM-02 i CSF 2.0, og NIST SP 800-55 har target som eget felt i hver måling.
Der er ingen dansk regel, der kræver tolerancer for sikkerhedsnøgletal.
Fra appetit til grænse
Risikoappetitten er et overordnet udsagn. Tolerancen er det konkrete tal, der gør udsagnet målbart. En tænkt kæde kan se sådan ud.
- Strategi · Kritiske forretningssystemer skal kunne køre uden længere afbrud
- Risikoappetit · Lav appetit for risici, der kan stoppe produktionen
- Nøgletal · Tid til at lukke kritiske sårbarheder på produktionssystemer
- Mål · Lukket inden for en fastsat frist
- Tolerance · Rødt, når en bestemt andel står åben ud over fristen
Grænserne i eksemplet er tænkte. Det vigtige er, at hvert trin kan føres tilbage til det forrige. Kan en tolerance ikke forklares ud fra risikoappetitten, er den enten for løs eller for stram, og så bliver den enten ignoreret eller overskredet hele tiden.
Hvem bestemmer hvad i en koncern
Hvem der fastsætter hvad, er praksis og ikke fastlagt i en dansk regel. En almindelig arbejdsdeling er denne.
- Bestyrelsen · godkender risikoappetitten og tolerancerne for de få nøgletal, der rapporteres til den.
- Direktionen · foreslår tolerancerne og fastsætter grænser for de operative nøgletal under bestyrelsesniveau.
- CISO eller anden linje · beregner tallene, rapporterer fravigelser og foreslår justeringer.
- Enhederne · kan få egne grænser, hvis deres risiko er anderledes, men kun inden for koncernens rammer.
NIST IR 8286 nævner, at tolerance i amerikansk føderal sammenhæng kan fastsættes på program- eller komponentniveau. Det er ikke en regel for danske koncerner, men det viser, at tolerancer kan differentieres.
Gul, rød og en grænse, der flytter sig
Mange rapporter bruger tre farver. Det er praksis at definere både grøn og gul, så gul bliver et varsel og ikke en undskyldning. En tolerance, der justeres, hver gang tallet nærmer sig den, er ingen tolerance. Det er god praksis at ændre tolerancer én gang om året sammen med strategien og risikoappetitten, og at notere ændringen i rapporten.
Bestyrelsesforeningen lægger op til, at strategi og risikoappetit fastsættes af bestyrelsen hvert år og oftere ved behov. Det er et naturligt tidspunkt også at se tolerancerne igennem.
Tolerancer i koncernrapporten
I en koncern kan et samlet tal ligge inden for tolerancen, mens et enkelt selskab ligger langt uden for. Det er derfor praksis at vise fravigelser både samlet og pr. selskab. Et selskab, der ligger rødt i to kvartaler i træk, bør nævnes ved navn i rapporten, også selvom koncerntallet er grønt.
Det kan også være relevant med forskellige tolerancer for forskellige typer selskaber. Et selskab med kritisk produktion kan have en strammere grænse for tid til rettelse end et salgskontor. Det er en beslutning, bestyrelsen eller direktionen bør træffe bevidst, og den skal fremgå af rapporten, så ingen tror, at grænserne er ens.
Endelig bør det stå i rapporten, hvad der sker, når et tal er rødt. Det kan være, at direktionen fremlægger en handlingsplan på næste møde, eller at en leder med det rette mandat formelt accepterer risikoen.
Når tolerancen overskrides
En overskridelse er ikke i sig selv en fejl. Den er et signal om, at bestyrelsen skal tage stilling. Derfor bør rapporten ved hver overskridelse sige tre ting: hvor stor afvigelsen er, hvad direktionen mener er årsagen, og hvad den foreslår. Forslaget kan være at rette forholdet, at acceptere risikoen for en periode eller at justere grænsen ved næste årlige gennemgang.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at bestyrelsen træffer en egentlig beslutning om grænser og skriver den ned. Direktionen skal foreslå tal, der hænger sammen med strategien, og CISO skal kunne beregne dem ens over tid.
Uden tolerancer bliver farverne i rapporten forhandlet. Et tal kan være rødt i ét kvartal og gult i det næste, uden at noget er ændret ud over stemningen.
Det skal I lade være med
- At lade rapportens forfatter vælge farven · grænsen skal være besluttet på forhånd.
- At flytte grænsen, når tallet nærmer sig · så måler tolerancen ingenting.
- At sætte tolerancer på alle tal · kun de nøgletal, bestyrelsen faktisk ser.
Det skal gennemgangen kunne vise
- ☐ En godkendt risikoappetit med tolerancer for bestyrelsens nøgletal.
- ☐ En sporbar kæde fra strategi til grænse.
- ☐ Rapporter, der viser fravigelser fra tolerancerne.
- ☐ Dato og begrundelse for hver ændring af en tolerance.
Kilder
- UK, Cyber Governance Code of Practice, 8. april 2025, handling E2, læst 14. november 2026.
- Bestyrelsesforeningens Center for Cyberkompetencer, september 2023, tema 2 og 4, læst 14. november 2026.
- NIST IR 8286 Rev. 1, december 2025, læst 14. november 2026.
- NIST CSF 2.0, GV.RM-02, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Vælg de tre vigtigste nøgletal i bestyrelsesrapporten, og bed direktionen foreslå en grøn, gul og rød grænse for hvert.
Læs også: Nøgletal, ingen kan handle på · Den britiske Cyber Governance Code of Practice
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
