NIS2 GAP-analyse Oppdatert 8. august 2026
En modenhetsvurdering beskriver hvor stringent dere styrer og håndterer sikkerhetsrisiko. Den teller ikke hvor mange tiltak som er på plass. To virksomheter med like mange avhukede punkter kan ligge på hvert sitt nivå, fordi det er arbeidsmåten som vurderes.
Kort fortalt
Hvor stringent virksomheten styrer og håndterer sikkerhetsrisiko. NIST Cybersecurity Framework 2.0 kaller nivåene Tiers, og sier at de gir kontekst for hvordan virksomheten ser på sikkerhetsrisiko, og hvilke prosesser den har for å håndtere den.
Det er en annen måling enn den en GAP-analyse gjør. GAP-analysen finner avstanden til et referansesett. Modenhetsvurderingen beskriver hvordan dere arbeider med sikkerhet i det hele tatt. Dere kan ha mange tiltak på plass og likevel ligge lavt, hvis tiltakene kom på plass tilfeldig og ingen følger dem opp.
NIST Cybersecurity Framework 2.0 bruker fire, og beskriver dem som en utvikling fra uformelle og ad hoc-svar til arbeidsmåter som er smidige, risikobaserte og under kontinuerlig forbedring.
| Nivå | Kjennetegn |
|---|---|
| Partial | Risikostrategien anvendes ad hoc. Prioritering er ikke formelt basert på mål eller trusselbilde. Sikkerhetsrisiko håndteres uregelmessig og fra sak til sak. |
| Risk Informed | Praksisen er godkjent av ledelsen, men ikke nødvendigvis etablert som retningslinje for hele virksomheten. Risikovurdering skjer, men er sjelden gjentakbar. Informasjon deles uformelt. |
| Repeatable | Praksisen er formelt godkjent og uttrykt som policy. Prosedyrer er definert, innført som tiltenkt og gjennomgått. Praksisen oppdateres jevnlig når krav, trusler eller teknologi endrer seg. |
| Adaptive | Tilnærmingen gjelder hele virksomheten. Ledelsen følger sikkerhetsrisiko i samme sammenheng som finansiell risiko, og budsjettet bygger på en forståelse av risikobildet og hva virksomheten tåler. |
Navnene er engelske i kilden, og vi lar dem stå. Oversatte nivånavn er vanskelige å spore tilbake til kilden, og da mister vurderingen etterprøvbarheten.
Om praksisen er nedfelt. Det er det skillet flest virksomheter står på, og det er verdt å forstå før noen setter et nivå på dere.
På Risk Informed er risikostyringen godkjent av ledelsen, men ikke nødvendigvis etablert som retningslinje for hele virksomheten, og sikkerhetsinformasjon deles uformelt. På Repeatable er praksisen formelt godkjent og uttrykt som policy, og prosedyrene er definert, innført som tiltenkt og gjennomgått.
Forskjellen er ikke hvor mye dere gjør. Den er om det dere gjør står skrevet, følges likt av alle, og blir sett etter i sømmene.
Forskjellen er ikke hvor mye dere gjør. Den er om det dere gjør står skrevet, følges likt av alle, og blir sett etter i sømmene.
Nei, og det er en av de nyttigste presiseringene i rammeverket. NIST oppfordrer til å bevege seg oppover når risikoen eller kravene er større, eller når en kost-nytte-vurdering tilsier at det gir en gjennomførbar og kostnadseffektiv reduksjon av risiko.
Nivået skal begrunnes, ikke maksimeres. En leverandør som setter Adaptive som mål uten å knytte det til risiko eller kostnad, har hoppet over den vurderingen NIST faktisk ber om.
Fordi nivåene beskriver to ting, ikke én. NIST skiller mellom styring av sikkerhetsrisiko og håndtering av sikkerhetsrisiko, og beskriver de to i hver sin kolonne for hvert nivå.
En virksomhet kan ha ryddig styring og svak håndtering. Ledelsen har vedtatt policyen, men ingen har prøvd om den virker i praksis. Det motsatte finnes også: dyktige folk som håndterer hendelser godt, uten at noe av det er nedfelt eller vil overleve at de slutter. Ett samlet tall skjuler begge deler.
Rammeverket sier dessuten at nivåene skal utfylle virksomhetens egen metodikk for risikostyring, ikke erstatte den.
Modenhetsvurdering er et ord uten vernet innhold, og tallene som kommer ut varierer med hvem som regner. Fire spørsmål avslører grunnlaget:
Vi beskriver nivået med ord før vi eventuelt setter et tall på det, og vi sier hvilken modell vi bruker. Målnivået begrunner vi i risiko, ikke i at høyere er bedre.
Vi holder oss til sikkerhetssiden. Vi tolker ikke regelverk og gir ingen juridiske vurderinger.
Vil dere ha et første inntrykk av hvor dere står? Sikkerhetsdiagnosen tar noen minutter, uten innlogging og uforpliktende.
Skal nivået settes skikkelig, med nåbilde, målbilde og en prioritert plan, gjør vi det under NIS2 GAP-analyse. Lurer dere heller på hva som skiller den fra en risikovurdering, står det i GAP-analyse eller risikovurdering.
FAQOfte stilte spørsmål
En beskrivelse av hvor stringent virksomheten styrer og håndterer sikkerhetsrisiko. NIST Cybersecurity Framework 2.0 kaller nivåene Tiers, og sier at de beskriver hvor stringent styringen og håndteringen av sikkerhetsrisiko er, og gir kontekst for hvordan virksomheten ser på risiko og hvilke prosesser den har for å håndtere den.
NIST Cybersecurity Framework 2.0 bruker fire: Partial, Risk Informed, Repeatable og Adaptive. De beskriver en utvikling fra uformelle og ad hoc-svar til arbeidsmåter som er smidige, risikobaserte og under kontinuerlig forbedring.
Om praksisen er nedfelt. På nivå to er risikostyringen godkjent av ledelsen, men ikke nødvendigvis etablert som retningslinje for hele virksomheten, og informasjon deles uformelt. På nivå tre er praksisen formelt godkjent og uttrykt som policy, og prosedyrene er definert, innført som tiltenkt og gjennomgått.
Nei. NIST Cybersecurity Framework 2.0 oppfordrer til å bevege seg oppover når risikoen eller kravene er større, eller når en kost-nytte-vurdering tilsier at det gir en gjennomførbar og kostnadseffektiv reduksjon av risiko. Nivået skal altså begrunnes, ikke maksimeres.
Fordi nivåene beskriver to ting hver for seg. NIST skiller mellom styring av sikkerhetsrisiko og håndtering av sikkerhetsrisiko, og beskriver dem i hver sin kolonne. En virksomhet kan ha god styring og svak håndtering, eller omvendt. Ett tall skjuler den forskjellen.
Nei. NIST Cybersecurity Framework 2.0 sier at nivåene skal utfylle virksomhetens egen metodikk for risikostyring, ikke erstatte den. De er et referansepunkt for å beskrive og kommunisere nivået, ikke en oppskrift på hvordan arbeidet skal gjøres.
VERNUM