Målestokke: det, hver indstilling bliver holdt op imod

En indstilling er først forkert, når det er aftalt, hvad den skulle have været. Derfor vælges målestokken pr. platform, før nogen tæller afvigelser, og valget skrives ind i planen. Artiklerne her gennemgår de målestokke, en dansk drift typisk vælger imellem, og siger for hver, hvem den binder, hvad den indeholder, og hvordan den omsættes til noget, der kan læses i systemerne. De fleste er frivillige for en privat virksomhed; nogle få er lovkrav for bestemte sektorer.

Valget og de tekniske benchmarks

• Valg af målestok: benchmark, producentens baseline eller myndighedens vejledning Ét valg pr. platform, skrevet ned før start.
• CIS Benchmarks Level 1 og Level 2: hvad profilerne betyder for jeres afvigelsesliste Profilen afgør antallet af fund.
• Microsofts sikkerhedsbaselines: principperne bag, og hvordan en sammenligning dokumenteres Producentens egne anbefalede indstillinger.
• CIS Controls som disposition for en teknisk gennemgang En fast rækkefølge til arbejde og rapport.

Danske og udenlandske myndigheders målestokke

• De statslige tekniske minimumskrav som tjekliste i en privat virksomhed Konkrete parametre, frivillige uden for staten.
• SAMSIK’s vejledninger læst som kontrolpunkter: fra anbefaling til udtræk Ti områder og elleve anbefalinger omsat til bevis.
• CISA’s SCuBA-baselines som målestok for Microsoft 365 og Google Workspace Lejerens indstillinger punkt for punkt.
• Cyber Essentials’ fem tekniske kontroller som sammenligning En kort britisk liste over grundopsætningen.
• Datatilsynets katalog over foranstaltninger som teknisk målestok Fælles sprog, når personoplysninger er med.

Målt automatisk

• Automatisk måling mod benchmark: hvad rapporten viser, og hvad der stadig skal læses i hånden Bestået og ikke bestået er begyndelsen.
• Secure Score: hvad tallet viser, og hvad det ikke måler Point for handlinger, ingen garanti.

Når reglerne nævner teknikken

• NIS2 set fra driften: fra lovens § 6 og forordningens tekniske punkter til konfigurationsbevis Lovens områder koblet til udtræk.
• Konfigurationsstyring efter punkt 6.3 i forordning 2024/2690: fastlæg, håndhæv, gennemgå Tre led, der hver kan vises.
• DORA og driften: ugentlig sårbarhedsscanning, firewallregler hvert halve år og en konfigurationsstandard De faste tal for kritiske funktioner.

Sådan kommer I i gang

Lav en tabel med en række pr. platform: katalog, lejer, Windows-servere, Linux-servere, klienter, netværksudstyr og cloudkonti. Skriv i næste kolonne den målestok, I vil bruge, med version og dato, og i tredje kolonne, om den er et krav for jer eller et valg. Er I væsentlig eller vigtig enhed efter NIS 2-loven, eller finansiel enhed under DORA, står der noget i tredje kolonne, som ikke kan vælges fra. For alle andre er tabellen jeres eget valg, og det skal blot kunne begrundes. Tabellen bliver planens første side, og den gør det muligt at sammenligne en senere gennemgang med den første.

Bland ikke to målestokke for samme platform uden at skrive, hvilken der vinder, når de er uenige. Det sker oftere, end man tror, fx om passwordlængde eller hvor længe logs gemmes.

Hvad det kræver, og hvad det koster at lade være

At vælge målestok kræver, at nogen i driften læser de mulige kilder og tager stilling til, hvilken profil eller hvilket niveau der passer til miljøet. Det tager få dage og kan gøres uden hjælp udefra. Vælges der ikke, bliver hvert fund til en diskussion om, hvad der var forventet, og to gennemgange med forskellig målestok kan ikke sammenlignes. Det kan også ende med, at en anbefaling i en vejledning bliver behandlet som et lovkrav, eller omvendt.

Det skal I lade være med

• At skrive et “bør” fra en vejledning ind som et lovkrav · gengiv kildens ord præcist.
• At vælge den strengeste profil overalt · forsvar i dybden kan stoppe drift.
• At bruge et samlet tal som bevis · tallet skal brydes ned til indstillinger.
• At glemme versionen og datoen · målestokke ændres.

Det skal gennemgangen kunne vise

• ☐ Målestokken pr. platform med version, dato og profil.
• ☐ For hver målestok, om den er et krav eller et frivilligt valg.
• ☐ Hvilken målestok der vinder, hvor to er uenige.
• ☐ En begrundelse for hver afvigelse, der er valgt med vilje.

Senest gennemgået: november 2026.

Næste skridt

• Valg af målestok
• De statslige tekniske minimumskrav som tjekliste

Læs også: Bevis og metode · Undtagelseslisten

→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT