Vurderingerne bliver sammenlignelige, når metoden ligger fast, før analysen begynder. Det betyder de samme skalaer for sandsynlighed og konsekvens, de samme kriterier for, hvornår en risiko er for høj, og den samme kreds af roller omkring bordet. Metoden skrives ned i en kort politik, som ledelsen godkender. Først da kan direktion og bestyrelse se, om en risiko er vokset, fordi forholdene har ændret sig, eller blot fordi en ny person har vurderet den.
Lovens krav til metoden
NIS2-loven er lov nr. 434 af 6. maj 2025. Det første af de ti minimumsområder i § 6, stk. 1, nr. 1, er politikker for risikoanalyse og informationssystemsikkerhed. Loven foreskriver ingen bestemt metode. Valget ligger hos virksomheden, og efter § 7, stk. 1, skal ledelsesorganet godkende foranstaltningerne og føre tilsyn med, at de gennemføres. Metoden er dermed en del af det, ledelsen siger god for.
Styrelsen for Samfundssikkerhed (SAMSIK) beskriver i sin vejledning om implementering af foranstaltningerne, hvad en politik for risikostyring bør rumme. Der skal være en fastlagt proces, kriterier for at evaluere risici og navngivne risikoejere med et beskrevet ansvar. Vejledningen peger desuden på, at analysen skal omfatte alle typer farer, fra menneskelige fejl og svigt hos leverandører til skybrud og bevidste angreb.
Skalaer med ord, som forretningen kender
En skala med tallene 1 til 5 uden forklaring giver forskellige svar, alt efter hvem der sidder med blyanten. Hvert trin skal derfor beskrives med ord, der hører til virksomheden. For konsekvens kan trin 4 i produktionsvirksomheden med 40 ansatte betyde, at produktionen står stille i mere end to arbejdsdage, eller at en vigtig kunde kan hæve aftalen. For sandsynlighed kan trin 4 betyde, at hændelsen må forventes inden for det kommende år.
Fire eller fem trin er som regel nok. Flere trin giver en falsk præcision, som ingen i ledelsen kan forholde sig til. Konsekvensskalaen bør have flere spor, fx drift, økonomi, kunder og omdømme samt lovkrav, og den højeste værdi på tværs af sporene tæller. NIS2-loven lægger vægt på følgerne for dem, der modtager virksomhedens tjenester. Det er en grund til at give kundernes situation sit eget spor.
Kriterier, der afgør, hvad der sker bagefter
En risikoscore uden en regel for, hvad den udløser, fører sjældent til handling. Kriterierne for risikoevaluering bestemmer, hvilke scorer der kræver en plan, og hvem der må acceptere resten. Et eksempel på tre niveauer:
- Høj: kræver en handlingsplan med ansvarlig og frist, og planen forelægges ledelsesorganet.
- Middel: kan accepteres af direktionen for et år ad gangen med en begrundelse.
- Lav: kan accepteres af risikoejeren og registreres.
Kriterierne ændres kun ved en ledelsesbeslutning, der står i referatet med dato. Ellers flytter grænsen sig ubemærket, og sammenligningen mister sin værdi. Reglerne for selve accepten er uddybet i Hvem må acceptere en risiko?.
Hvem der sidder med ved vurderingen
Deltagerne skal dække både forretningen og teknikken, og rollerne skal være de samme fra år til år, også når personerne skifter. En typisk kreds består af direktøren eller økonomichefen, ejerne af de vigtigste forretningsprocesser, IT-leverandørens kontaktperson og den, der leder arbejdet med informationssikkerhed. Leverandøren bidrager med fakta om systemerne. Konsekvensen for forretningen vurderes af dem, der ejer processerne.
Den, der leder workshoppen, skal holde metoden og stille de samme spørgsmål til hvert scenarie. En CISO, intern eller ekstern, er ofte den naturlige person til opgaven, fordi rollen kan holde afstand til både driften og budgettet. Referatet fra workshoppen bør nævne, hvem der deltog, og hvilke scenarier der blev vurderet, så næste års kreds kan se, hvad der lå til grund.
Det gør år to sammenligneligt med år et
Nogle få vaner gør forskellen:
- En fast liste af grundscenarier, fx ransomware, langvarigt svigt hos driftsleverandøren, fejlsendte persondata og længere strømafbrydelse. Nye scenarier kommer til, gamle bliver stående med deres historik.
- Risikoen før og efter foranstaltninger registreres hver for sig, så effekten af årets arbejde kan ses.
- Metodens versionsnummer står på hver rapport.
- Ændringer i skalaen følges af en omregning af sidste års vigtigste risici, så tallene stadig kan stilles op ved siden af hinanden.
- Fast tidspunkt, én gang om året og desuden ved væsentlige ændringer i forretningen eller trusselsbilledet. Hvor punktet falder i løbet af året, kan I se i årshjulet for sikkerhed.
Ledelsen har mest gavn af en side med de vigtigste risici, en pil for udviklingen siden sidst og én linje om årsagen. Brugen af vurderingen, når ledelsen skal beslutte, er gennemgået under risikovurdering for ledelsen.
Det skal I lade være med
- At købe en skabelon og tage dens skala for givet. Trinnene skal beskrive jeres forretning, ellers giver de tilfældige svar.
- At lade IT-leverandøren vurdere konsekvensen. Leverandøren kender systemerne, mens forretningens tab kun kan vurderes af jer.
- At ændre metoden hvert år. Hver ændring gør det sværere at se, om sikkerheden bliver bedre.
- At regne en score med decimaler. Præcisionen er indbildt og flytter opmærksomheden fra beslutningen.
- At glemme de hændelser, der ikke er cyberangreb. Strømsvigt, brand og fejl hos en leverandør hører også med.
Det skal I kræve af den eksterne
- ☐ En skriftlig metode på få sider med skalaer, kriterier og roller, klar til ledelsens godkendelse.
- ☐ Beskrivelser af hvert trin, der bruger jeres egne forretningsbegreber.
- ☐ En registrering, hvor sidste års vurdering kan stilles op mod årets.
- ☐ En begrundelse for hver væsentlig ændring i en risikos placering.
- ☐ Henvisning til § 6, stk. 1, nr. 1, og til SAMSIK’s vejledning, når metoden beskrives.
De øvrige beslutninger i risikoarbejdet finder I under risiko og strategi. Næste skridt er at finde jeres seneste risikovurdering og se, om nogen uden for IT kan forklare, hvad et 3-tal betyder i den.
Kilder
- NIS2-loven, lov nr. 434 af 6. maj 2025: § 6, stk. 1, nr. 1 (politikker for risikoanalyse), § 7, stk. 1 (godkendelse og tilsyn).
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger: kapitel 1.b om politik for risikostyring, kriterier, risikoejere og alle typer farer.
- NIS2-direktivet, (EU) 2022/2555: artikel 21, stk. 2, litra a.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvem må acceptere en risiko? · Informationssikkerhedspolitik: hvad skal den indeholde, og hvem skriver under?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
