Lige vægt er det enkleste valg og det letteste at forklare, men det betyder, at et område med lav risiko tæller lige så meget som det mest kritiske. Vægte kan rette op på det, men de skal vælges før målingen og efter en regel, ellers bliver de et redskab til at pynte på resultatet.
Hvordan vægte vælges, er praksis. Ingen af de offentlige rammer foreskriver en vægtning.
Hvad rammerne siger om vigtighed
Ifølge NIST CSF 2.0 kan man hverken læse vigtighed eller rækkefølge ud af, hvor funktionerne står, eller hvor mange kategorier de har. At Protect har flere kategorier end Detect, betyder altså ikke, at beskyttelse skal tælle mest.
Rigsrevisionen gav et eksempel på det enkle valg i sit notat fra januar 2026 om statens it-beredskab. I en opgørelse skrev den, at punkterne var vægtet ligeligt, og at et punkt kun blev regnet som tilfredsstillende, hvis det var opfyldt. Delvist opfyldt talte som ikke tilfredsstillende. Det er en streng og gennemskuelig regel, og den er skrevet ned.
Gennemsnit af trin er usikkert
SP 800-55 fra NIST forklarer, at tal på en niveauskala er semikvantitative. Når en vurdering siger “level 3”, er 3 en samling egenskaber og ikke en værdi, man kan regne med. Skalaen er ordinal. Trin 2 kommer efter trin 1, men springet fra 1 til 2 behøver ikke være lige så stort som fra 3 til 4. Vejledningen peger på median og percentiler som de statistiske mål, der passer til ordinale data.
At et gennemsnit af trin derfor er usikkert, er sitets tolkning. Et gennemsnit på 2,5 kan dække over, at halvdelen af områderne står på trin 1 og resten på trin 4. Det er et helt andet billede end alle områder på trin 2 eller 3.
Tre måder at vægte
Lige vægt. Alle områder tæller ens. Fordelen er, at ingen kan beskylde målingen for at være tilrettet. Ulempen er, at bestyrelsen ikke kan se, at det kritiske område halter, hvis de andre trækker op.
Vægt efter risiko. Områder med høj risiko tæller mere. Vægtene kan tages fra koncernens risikovurdering, så de har et grundlag uden for målingen.
Ingen samlet score. Hvert område rapporteres for sig mod sit målniveau. Det undgår spørgsmålet om vægte helt, men giver bestyrelsen flere tal at forholde sig til.
Opdelingen er sitets.
Sådan vælges vægte uden at pynte
Det er praksis at følge nogle enkle regler, når vægte vælges.
Vægtene fastlægges før målingen og ændres ikke, når resultatet kendes.
Vægtene har en kilde uden for målingen, for eksempel risikovurderingen eller målprofilen.
Vægtene står i rapporten, så læseren kan regne efter.
Rapporten viser også den uvægtede score, så forskellen kan ses.
Et tænkt eksempel
- Identitet og adgang · Trin: 3 · Vægt efter risiko: Høj
- Hændelser og kontinuitet · Trin: 1 · Vægt efter risiko: Høj
- Awareness og træning · Trin: 3 · Vægt efter risiko: Lav
- Datasikkerhed · Trin: 3 · Vægt efter risiko: Lav
Med lige vægt bliver gennemsnittet 2,5, og billedet ser rimeligt ud. Med vægt efter risiko trækker hændelser og kontinuitet resultatet ned, fordi området er både kritisk og svagt. Medianen er 3 i begge tilfælde og fortæller heller ikke om det svage område. Eksemplet viser, hvorfor det svageste kritiske område bør stå særskilt i rapporten, uanset hvordan der vægtes.
Vægtning i en koncern
I en koncern kan der også vægtes mellem enhederne. Skal et lille salgskontor tælle lige så meget som den største fabrik i koncerntallet? Det er almindelig praksis at vægte efter enhedens betydning, for eksempel efter kritikalitet eller antal brugere, men kun når det er besluttet og skrevet ned. Et opkøbt selskab, der kommer ind i måleserien, kan flytte koncerntallet meget, hvis vægtene ikke er gennemtænkt.
Vægte i et opkøbt selskab
Når koncernen køber et selskab, kommer det ind i målingen med sin egen profil. Det er praksis at vise koncerntallet både med og uden det nye selskab det første år, så bestyrelsen kan se, om en ændring skyldes udviklingen i de gamle enheder eller blot, at et nyt selskab er kommet til. Det samme gælder, når et selskab sælges fra. Vægtene for enhederne bør derfor fastlægges efter en regel, der også virker, når koncernen ændrer sig.
Det er også praksis at gemme de uvægtede svar for hver enhed, sammen med datoen for målingen. Så kan koncerntallet regnes om med nye vægte, hvis koncernen senere beslutter at ændre dem, uden at måleserien går tabt.
Hvad det kræver, og hvad det koster at lade være
Det kræver en skrevet beslutning om vægtning før målingen, en kilde til vægtene uden for målingen og en rapport, der viser både den vægtede og den uvægtede score. Det kræver også, at det svageste kritiske område altid står for sig.
Uden faste regler kan vægtene flyttes, så resultatet ser bedre ud, og ingen opdager det. Selv uden onde hensigter giver et gennemsnit af trin et billede, der kan få bestyrelsen til at overse det område, hvor det haster mest.
Det skal I lade være med
- At ændre vægtene efter resultatet · så er de ikke længere vægte, men pynt.
- At rapportere kun et gennemsnit af trin · det skjuler de svage områder.
- At læse rammens rækkefølge som en vægtning · CSF afviser den læsning.
Det skal gennemgangen kunne vise
- ☐ En beslutning om vægtning fra før målingen.
- ☐ Kilden til vægtene uden for selve målingen.
- ☐ Både den vægtede og den uvægtede score i rapporten.
- ☐ Det svageste kritiske område vist særskilt.
Kilder
- NIST SP 800-55 vol. 1, Measurement Guide for Information Security (december 2024), afsnit 1.4 og 2.2, læst 14. november 2026.
- NIST, The NIST Cybersecurity Framework (CSF) 2.0 (februar 2024), afsnit 2, læst 14. november 2026.
- Rigsrevisionen, Opfølgning i sagen om statens it-beredskab II, RN 1102/26 (13. januar 2026), note til figur 2, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Beslut vægtningen før næste måling, og skriv kilden til vægtene ned.
Læs også: Skalaen · Den svageste enhed
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
