En fundliste bliver til en plan, når hvert fund er sorteret efter, hvad det kræver at rette det. Nogle fund rettes med en ændret indstilling i løbet af en dag. Andre kræver nyt udstyr, en ny arkitektur eller en leverandør, og de skal have budget, ejer og tidsplan som et projekt.
Sorteringen efter teknisk indgreb er sitets forslag og praksis. Den har en fordel frem for at sortere efter alvorlighed alene. Den viser, hvad der kan rettes med det samme, mens de store beslutninger bliver forberedt.
Det, målestokkene siger om planen
Punkt 6.10.3 i bilaget til forordning 2024/2690 kræver af de omfattede enheder en plan for at afhjælpe en sårbarhed, hvor den potentielle indvirkning berettiger det. Ellers dokumenteres og begrundes det, hvorfor den ikke kræver afhjælpning. Punkt 6.6.2 tillader at fravælge en opdatering, når ulemperne er større end fordelene, hvis valget dokumenteres og begrundes.
I NIST SP 800-115 fra 2008 kan anbefalinger være tekniske eller ikke-tekniske. Eksempler på afhjælpning er ændringer af politik, proces og procedure, ændret sikkerhedsarkitektur, ny sikkerhedsteknologi og opdateringer. Afhjælpningen skal afvejes mod driftens krav.
De statslige tekniske minimumskrav kræver, at myndigheder, der ikke er i mål, laver en handlingsplan. Det gælder kun statslige myndigheder, men viser, at planen er den naturlige form for opfølgning.
Fire grupper
En brugbar sortering har fire grupper. Grupperne er praksis og kan tilpasses.
Opsætning nu. Fund, der rettes med en ændret indstilling, en slettet konto eller en lukket regel, uden nyt udstyr og uden stor risiko for driften. De kan ofte rettes inden for den normale ændringsproces i løbet af få uger.
Opsætning med forberedelse. Fund, der rettes med opsætning, men hvor ændringen kan stoppe noget, fx når en gammel protokol slås fra. De kræver måling af brugen, test og en plan for tilbagerulning, før de gennemføres.
Projekt. Fund, der kræver nyt udstyr, ny software, en ny arkitektur eller ekstern hjælp. Eksempler kan være segmentering af et fladt net eller udskiftning af udstyr uden support. De kræver budget, ejer og tidsplan.
Accept med begrundelse. Fund, der efter en vurdering ikke rettes, fordi ulemperne er større end fordelene, eller fordi en anden foranstaltning dækker risikoen. Her er det forordningens krav om dokumentation og begrundelse, der er målestokken.
Alvorligheden går på tværs
Sorteringen efter indgreb erstatter ikke alvorligheden. Den går på tværs. Inden for hver gruppe ordnes fundene efter alvorlighed, og et alvorligt fund i projektgruppen skal have en midlertidig foranstaltning, mens projektet kører.
Et tænkt eksempel: et fladt net, hvor klienter kan nå alle servere, er et projekt. Men en midlertidig regel, der lukker administrationsflader fra klientnettet, kan være opsætning nu. Planen kan derfor have to linjer for samme fund: den hurtige afskærmning og det egentlige projekt.
Planens felter
En plan, der kan følges op, har for hvert fund disse felter: fundets nummer fra rapporten, gruppe, alvorlighed, ejer, frist, eventuel midlertidig foranstaltning og status. Ejeren skal være en navngiven person. Fristen skal være en dato.
For projektgruppen kommer et felt mere: hvem der træffer beslutningen om budgettet, og hvornår. Det er her, planen møder ledelsen.
Når fundet ligger hos en anden
Nogle fund kan ikke rettes af jeres egen drift, fordi systemet drives af en leverandør eller ejes af en anden afdeling. De får samme felter i planen, men ejeren er den person hos jer, der skal sikre, at rettelsen sker, og fristen er den dato, I har aftalt med den, der skal udføre den. Skriv aftalen ind i planen, så den kan følges op. Om rettelsen er en del af det aftalte, eller om den kræver en ny aftale, er et spørgsmål for sig, som afgøres af kontrakten.
Planen skal kunne læses af andre
Planen bliver læst af flere end dem, der skrev den: ledelsen, revisor og den, der laver den næste gennemgang. Skriv derfor fundene, så de kan forstås uden rapporten ved siden af, og hold nummereringen fra rapporten, så sporet kan følges begge veje.
Afvejningen mod driften
NIST’s bemærkning om at afveje afhjælpningen mod driftskrav er vigtig for planens rækkefølge. En rettelse, der kræver nedetid på et kritisk system, skal planlægges, så den passer med forretningen. Det er en grund til at flytte den til gruppen med forberedelse, ikke en grund til at lade den ligge.
Hvordan planen indgår i den samlede opfølgning på en audit, er beskrevet på sitet om sikkerhedsaudit.
Hvad det kræver, og hvad det koster at lade være
Sorteringen kræver en person, der kender både fundene og driften, og en halv dag med fundlisten. Projektgruppen kræver derefter beslutninger, som IT-chefen ikke altid kan træffe alene.
Uden sortering bliver fundlisten ofte behandlet i rapportens rækkefølge. De lette rettelser venter på de svære, og efter et halvt år er kun få fund lukket, også dem, der kunne have været rettet på en eftermiddag.
Det skal I lade være med
- At lade lette rettelser vente på store projekter · ret opsætningen nu.
- At sætte et alvorligt projektfund i kø uden midlertidig foranstaltning · afskærm, mens projektet kører.
- At acceptere et fund uden skrevet begrundelse · forordningen kræver den for de enheder, den gælder for.
Det skal gennemgangen kunne vise
- ☐ En plan, hvor hvert fund har gruppe, alvorlighed, ejer og frist.
- ☐ Midlertidige foranstaltninger for alvorlige fund i projektgruppen.
- ☐ Dokumenteret begrundelse for hvert accepteret fund.
- ☐ Status for planen med dato for seneste opdatering.
Kilder
- Gennemførelsesforordning (EU) 2024/2690, dansk tekst, bilagets punkt 6.6.2 og 6.10.3, læst 13. november 2026.
- NIST SP 800-115, september 2008, afsnit 8.1, læst 13. november 2026.
- Vejledning til de tekniske minimumskrav til it-sikkerhed i staten, september 2025, afsnit 4.1, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Gå jeres fundliste igennem, og markér hvert fund med en af de fire grupper.
Læs også: Undtagelseslisten · IT-chefens resumé til ledelsen
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
