Kend dit udgangspunkt: Sådan bruger du en modenhedsvurdering til at sætte realistiske mål for din ISO 27001-certificering

Hvis du ville løbe et halvmaraton om 12 uger, ville du så starte med at købe de dyreste løbesko og melde dig til et hårdt program—uden at vide, om din krop kan holde til det?

Alligevel er det præcis sådan mange organisationer i 2026 går til ISO 27001: Man forpligter sig til et ambitiøst certificeringsforløb uden et ærligt, målbart billede af udgangspunktet. Resultatet bliver ofte ressourcespild, forsinkelser og et projektteam, der brænder ud, fordi man forsøger at “træne alt på én gang” i stedet for at starte med et helbredstjek og en realistisk plan.

I denne artikel får du en praktisk, erfaren gennemgang af, hvordan du kortlægger din sikkerhedsmæssige modenhed, identificerer de vigtigste mangler og omsætter analysen til en prioriteret roadmap. Du får også konkrete eksempler på typiske faldgruber, hvad en gap-analyse typisk indeholder, og hvad det koster i tid og penge—så du kan holde momentum hele vejen til certificering.

Hvad “modenhed” betyder i informationssikkerhed (og hvorfor det er vigtigt)

En modenhedsvurdering i informationssikkerhed er en struktureret vurdering af, hvor konsekvent og effektivt jeres sikkerhedskontroller er implementeret og efterleves—ikke bare om de “findes” på papir. Det betyder noget, fordi ISO 27001 i praksis belønner stabil drift og dokumenteret styring: politikker, risikovurderinger, kontroller, målinger og forbedringer, der hænger sammen og kan gentages.

Parallellen til sundhed er direkte: En person kan eje et fitnesskort (politik), have læst om kost (procedure) og have løbesko (værktøj) uden at være i form. På samme måde kan en virksomhed have et sæt sikkerhedsdokumenter, men stadig være sårbar, hvis kontrollerne ikke er operationaliseret, målt og forankret.

Fra “vi har en politik” til “vi kan bevise, det virker”

Modenhed handler om evidens og adfærd: Kan I dokumentere, at adgangsstyring faktisk håndhæves? At ændringer i systemer går gennem change management? At hændelser registreres og behandles ensartet? At leverandører vurderes, før data deles?

ISO 27001 er et ledelsessystem—ikke et dokumentprojekt

ISO 27001 bygger på et ISMS (Information Security Management System). Det er et styringssystem, hvor risici identificeres, kontroller vælges, implementeres, overvåges og forbedres løbende. Når modenheden er lav, bliver certificeringsforløbet typisk et “dokument-maraton”, hvor teamet producerer politikker i højt tempo, men bagefter mangler tid til at få praksis til at følge med.

Hvorfor så mange går skævt i 2026: ambition uden baseline

Jeg ser det samme mønster igen og igen: Ledelsen sætter en deadline (“vi skal være certificeret inden Q4”), fordi kunder eller udbud kræver det. Projektet starter med stor energi, men uden et tydeligt billede af, hvor meget der allerede er på plads, og hvad der reelt mangler. Det svarer til at sætte et mål om 10% fedttab uden at kende sin nuværende vægt, kondition eller skadeshistorik.

De typiske symptomer i et ISO 27001-projekt uden baseline

Man bruger måneder på at skrive politikker, men glemmer at etablere målinger, logning og opfølgning.
Man forsøger at implementere “alle kontroller” på én gang og mister overblik over afhængigheder.
Man undervurderer tid til at indsamle evidens (tickets, logs, træningsdata, reviewreferater).
Man opdager sent, at scope er uklart (hvilke systemer, lokationer og processer er med?).
Man rammer flaskehalse i IT-drift og forretningen, fordi opgaverne ikke er prioriteret efter risiko.
Projektteamet kører i høj belastning i lange perioder—og kvaliteten falder.

Det er sjældent vilje eller kompetence, der mangler. Det er manglen på en realistisk startmåling og en plan, der beskytter teamets energi over tid.

Struktureret kortlægning er første skridt: gap-analysen som “helbredstjek”

Hvis du vil undgå at træne forkert, starter du med et helbredstjek: blodtryk, kondition, bevægelighed, skadeshistorik. I ISO 27001 er det tilsvarende første skridt en struktureret kortlægning af, hvad I allerede gør, og hvad der mangler for at leve op til kravene—både i standardens ledelseskrav og i de relevante kontroller.

En ISO 27001 gap-analyse er typisk en gennemgang af jeres nuværende ISMS-setup, scope, risikoproces, politikker, roller/ansvar, samt implementeringsstatus og evidens for udvalgte sikkerhedskontroller (fx adgangsstyring, logging, leverandørstyring, incident management). Den fungerer som et helbredstjek, fordi den gør forskellen mellem “vi tror, vi er godt med” og “vi kan dokumentere, at vi er det”.

Det afgørende er, at analysen ikke bare peger på mangler, men også vurderer modenhed og prioritet: Hvad er kritisk for at reducere risiko og komme igennem audit—og hvad kan planlægges i en senere forbedringscyklus?

Hvad en god gap-analyse konkret bør indeholde

Scope-afklaring: Hvilke produkter, systemer, lokationer, teams og datatyper er omfattet?
Review af ledelseskrav: mål, politik, roller, kompetencer, intern audit, ledelsens evaluering.
Risikovurdering: metode, risikokriterier, behandling, risikoejer, opfølgning.
Kontrolmapping: hvilke kontroller er relevante, og hvordan er de implementeret?
Evidens-check: kan I fremvise beviser fra drift (ikke kun dokumenter)?
Prioriteret gap-liste med anbefalede næste skridt, ansvar og realistiske estimater.

Hvorfor “evidens” er jeres puls og blodtryk

Audit handler i høj grad om at kunne vise spor: adgangsreviews, change tickets, hændelsesrapporter, træningslog, leverandørvurderinger, backup- og restore-tests, sårbarhedsscanninger og opfølgning på afvigelser. Mange teams undervurderer, at evidens ofte skal opbygges over tid (fx månedlige reviews), og at det derfor er en fordel at starte tidligt med de rytmer, I vil kunne gentage.

Sådan vurderer du modenhed i praksis (uden at gøre det akademisk)

Modenhed kan vurderes på flere skalaer, men det vigtigste er, at I bruger en simpel, ensartet model, som alle forstår. I praksis arbejder mange med en 0–5 eller 1–5 skala, hvor forskellen især ligger i, om kontrollen er ad hoc, dokumenteret, implementeret, målt og forbedret.

En pragmatisk måde at gøre det på er at stille de samme spørgsmål for hver kontrol:

Er der en beskrevet forventning (politik/standard)?
Er der en procedure, som folk faktisk kan følge?
Er kontrollen implementeret teknisk og organisatorisk?
Bliver den udført konsekvent (ikke kun når nogen husker det)?
Bliver den målt og fulgt op (KPI’er, afvigelser, forbedringer)?

Hvis I fx har MFA på “nogle systemer”, men ikke en standard for, hvilke systemer der kræver MFA, og ingen proces for undtagelser, er modenheden lavere, end mange tror. Det er lidt som at træne tre uger op til sommerferien: Der er aktivitet, men ikke en stabil vane eller et program, der kan holde i længden.

Prioritér de kritiske mangler: træn det, der giver mest effekt først

Den største fejl efter en gap-analyse er at lave en lang to-do-liste og forsøge at lukke alt parallelt. Det skaber kontekstskift, møde-overload og stress. I stedet skal I prioritere efter risiko, afhængigheder og audit-relevans—som et træningsprogram, der starter med teknik, mobilitet og grundform, før man læsser vægt på.

En enkel prioriteringsmodel, der virker i virkeligheden

Jeg anbefaler ofte at score hver gap på tre akser og så sortere:

Risikoreduktion: Hvor meget reducerer det sandsynlighed/konsekvens for hændelser?
Audit-kritikalitet: Er det en “showstopper”, hvis den mangler (fx scope, risikoproces, intern audit)?
Implementeringsfriktion: Hvor svært er det i praksis (afhængigheder, ændringer i adfærd, teknisk kompleksitet)?

Det giver et billede af, hvad der bør gøres nu, og hvad der kan planlægges. Typisk vil “lav friktion + høj effekt” være hurtige gevinster, der bygger momentum, mens “høj friktion + høj effekt” kræver tydelig sponsorering og realistisk tid.

Eksempel: Leverandørstyring vs. logning

Hvis I deler data med mange leverandører, kan manglende leverandørvurdering og kontraktuelle sikkerhedskrav være en stor risiko og et audit-fokus. Omvendt kan forbedret central logning og alarmering også være kritisk, men kræver ofte teknisk design, licenser og driftstid. En modenhedsbaseret plan kan derfor starte med at standardisere leverandørprocessen (skabeloner, risikoklassificering, godkendelsesflow) samtidig med at I laver et realistisk design for logning, der implementeres i faser.

Hvad koster det: tid, penge og den skjulte belastning

“Hvad koster en gap-analyse?” bliver ofte stillet som et indkøbsspørgsmål, men det er i lige så høj grad et planlægningsspørgsmål. Omkostningen afhænger af scope, kompleksitet og hvor meget dokumentation og evidens der allerede findes.

Som tommelfingerregel ser jeg ofte, at en fokuseret gap-analyse for en mindre/mellemstor organisation kan gennemføres på få uger, mens større, komplekse miljøer (flere lokationer, mange systemer, høj regulering) kræver mere tid til interviews, systemgennemgang og evidensprøver. Den største “skjulte” omkostning er ikke analysen i sig selv, men at starte et certificeringsprojekt uden den og senere skulle lave om, rydde op og genplanlægge.

På samme måde som et helbredstjek kan forebygge en skade, kan en tidlig modenhedsvurdering forebygge, at I investerer i kontroller, der enten ikke passer til jeres risikobillede, eller som ikke kan driftes stabilt.

De mest almindelige faldgruber (og hvordan du undgår dem)

1) For stort scope fra dag ét

Hvis I inkluderer alt i scope fra start, øger I kravene til evidens, processer og koordinering dramatisk. Start med et scope, der matcher forretningens behov og kan driftes. Udvid senere, når ISMS’et kører stabilt.

2) Dokumenter uden drift

En politik uden efterlevelse er som en kostplan uden indkøb og madlavning. Sørg for at knytte hver kontrol til en ejer, en kadence (fx månedligt review) og en måde at gemme evidens på.

3) Risikoarbejde som skrivebordsøvelse

Risikostyring skal være forankret i virkelige aktiver, dataflows og hændelser. Brug konkrete scenarier: “Hvad sker der, hvis en leverandør kompromitteres?” “Hvad hvis en udviklerkonto misbruges?” Det gør behandlingsplaner mere præcise og lettere at prioritere.

4) Teamet løber tør for energi

ISO 27001 er et langt forløb. Planlæg i sprinter med tydelige leverancer, og beskyt nøglepersoner mod at være flaskehalse. Et godt greb er at standardisere artefakter: skabeloner til risikovurdering, leverandørreview, change-klassificering og incident-rapportering.

Sådan bruger du analysen til at holde momentum hele vejen til certificering

Den mentale effekt af en god gap-analyse er undervurderet. Når projektteamet ved, hvad der er vigtigt, og hvad der kan vente, falder stressniveauet, og kvaliteten stiger. Det svarer til at få et træningsprogram, der passer til din krop og din hverdag: Du ved, hvad du skal gøre i dag, og hvorfor det virker på lang sigt.

Omsæt analysen til en roadmap med klare milepæle, og gør den operationel:

Definér “Definition of Done” for hver leverance (dokument + proces + evidens).
Lav en enkel governance: ugentlig status, beslutningslog, risikolog.
Byg rytmer: månedlige adgangsreviews, kvartalsvise leverandørreviews, faste restore-tests.
Træn organisationen: korte, målrettede awareness-moduler frem for én stor årlig session.
Planlæg intern audit tidligt nok til at nå korrigerende handlinger.

Hvis I gør det rigtigt, bliver certificeringen ikke et “projekt, der slutter”, men en måde at drive sikkerhed på, der kan holde til vækst, nye kunder og nye krav.