CIS Controls er en liste over 18 sikkerhedskontroller, og implementeringsgruppe 1, kaldet IG1, er det grundlæggende udsnit, der er skrevet til virksomheder med begrænset IT- og sikkerhedsekspertise. Som kriterium i en audit giver IG1 den mindre virksomhed en konkret og afgrænset målestok, der kan sammenlignes fra år til år.
Senest læst 12. november 2026. Felterne bygger på udgiverens egne sider.
Den mindre virksomhed har sjældent en sikkerhedspolitik, der er konkret nok til at blive auditeret imod. Et rammeværk kan udfylde hullet. Artiklen beskriver CIS Controls i de felter, sitet bruger for alle rammer, og viser, hvordan IG1 kan bruges som kriterium.
CIS Controls i faste felter
Udgiver. Center for Internet Security, Inc., en amerikansk nonprofitorganisation.
Version og dato. Version 8.1, en opdatering af version 8, hvor bl.a. sikkerhedsfunktionen “Govern” fra NIST Cybersecurity Framework 2.0 er føjet til. Udgivelsesdatoen for 8.1 står ikke i den tekst, vi har læst, og er derfor ikke oplyst her.
Hvad den måler. Om virksomheden har indført en række konkrete sikkerhedsforanstaltninger, som CIS kalder safeguards, fordelt på 18 kontroller. Blandt kontrollerne er en om styring af serviceudbydere. De øvrige kontrollers indhold står på CIS’ egne sider.
Hvem den er skrevet til. Virksomheder af alle størrelser, inddelt i tre implementeringsgrupper efter ressourcer og risiko. IG1 er ifølge CIS rettet mod den lille til mellemstore virksomhed med begrænset IT- og sikkerhedsekspertise.
Hvad den ikke er. En lov eller en certificering. Det er vores tolkning, at den heller ikke erstatter virksomhedens egen vurdering af, hvilke risici der er de vigtigste.
Brug som auditkriterium. Hver safeguard kan bruges som et krav, der er opfyldt, delvist opfyldt eller ikke opfyldt. Auditor beder om bevis for hver.
Hvad IG1 er
CIS beskriver IG1 som grundlæggende cyberhygiejne. Den består af et grundlæggende sæt på 56 safeguards. De skal kunne gennemføres med begrænset ekspertise og er rettet mod de generelle angreb, der ikke er målrettet en bestemt virksomhed.
Det gør IG1 velegnet til den mindre virksomhed. Kravene er konkrete nok til at blive auditeret, og de kræver ikke en egen sikkerhedsafdeling at opfylde.
Hvad rammen dækker
Det er en almindelig misforståelse, at CIS Controls kun handler om teknik. Version 8.1 har en kontrol om styring af serviceudbydere, der handler om at udvikle en proces til at vurdere leverandører, som har følsomme data eller ansvar for kritiske systemer eller processer. Og med “Govern” fra NIST’s rammeværk er styringen også med.
Hvor mange af leverandørkontrollens safeguards der indgår i IG1, er ikke læst til denne artikel. I bør derfor ikke regne med, at IG1 alene dækker leverandørstyringen fuldt ud. Tjek listen selv, før I bruger den.
Sådan bruges IG1 som kriterium
En almindelig fremgangsmåde i en mindre virksomheds audit er denne:
- Opdraget nævner CIS Controls version 8.1, IG1, som kriterium.
- Auditor og virksomheden gennemgår de 56 safeguards og markerer dem, der ikke er relevante, med en begrundelse.
- Auditor indsamler bevis for hver af de relevante: et udtræk, en skærm, en procedure, en stikprøve.
- Rapporten viser hver safeguard som opfyldt, delvist opfyldt eller ikke opfyldt, med bevis og anbefaling.
Det er en god idé at supplere med et par spørgsmål om ledelse og risiko, fx om ledelsen har godkendt prioriteringen, og om der er en plan for de safeguards, der mangler. Valget af kriterier er beskrevet i auditkriterier.
Hvad en mindre virksomhed kan forventes at opfylde
Ingen regel fastsætter, hvor mange safeguards en mindre virksomhed bør opfylde. Vores skøn er, at en første audit mod IG1 sjældent ender med alt opfyldt, og at det vigtigste resultat er en plan for resten. Ved næste audit kan fremskridtet så måles mod den plan. Se andet sikkerhedstjek et år efter.
Hvor andre bruger rammen anderledes
I større virksomheder og koncerner bruges implementeringsgrupperne til at sætte forskellige niveauer for forskellige enheder, hvilket er beskrevet under rammeværk som målestok i koncernen. Den tekniske påvisning af hver safeguard, med udtræk og konfigurationer, er emnet for de tekniske kontrolpunkter. Her er IG1 et kriterium for den samlede audit.
Hvad det kræver, og hvad det koster at lade være
At bruge IG1 som kriterium kræver, at nogen gennemgår listen og vurderer, hvad der er relevant, og at der kan findes bevis for de relevante safeguards. For en mindre virksomhed med en IT-leverandør er det typisk et samarbejde, hvor leverandøren leverer udtræk.
Uden et rammeværk eller en konkret politik er der intet, auditten kan måle den mindre virksomhed imod. Resultatet bliver en vurdering, der ikke kan sammenlignes med næste år og ikke kan vises til en kunde som noget bestemt.
Det skal I lade være med
- At udelade safeguards uden begrundelse · et hul i listen ligner et fravalg.
- At læse IG1 som en certificering · det er et rammeværk, ingen udsteder certifikater på.
- At antage, at IG1 dækker leverandørerne fuldt ud · tjek listen selv.
Det skal auditten kunne vise
- ☐ Hvilken version af CIS Controls og hvilken implementeringsgruppe der er brugt.
- ☐ Safeguards, der er valgt fra, med begrundelse.
- ☐ Bevis bag hver safeguard, der er vurderet opfyldt.
- ☐ En plan for de safeguards, der mangler.
Kilder
- Center for Internet Security, CIS Controls v8.1, https://www.cisecurity.org/controls/v8-1, læst 12. november 2026.
- Center for Internet Security, Implementation Group 1, https://www.cisecurity.org/controls/implementation-groups/ig1, læst 12. november 2026.
- Center for Internet Security, Service Provider Management, https://www.cisecurity.org/controls/service-provider-management, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: D-mærket eller en sikkerhedsaudit · IT-sikkerhedstjek
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
