En exit-status er én side, der for hvert kritisk system viser, om der er en plan, hvornår den sidst er testet, og hvad ledelsen skal tage stilling til. Læseren skal kunne se på et minut, hvor I står, og hvad der mangler.
Rapportering af leverandørrisiko bliver hurtigt enten for teknisk eller for pæn. Siden nedenfor er enkel, og den er bygget på den testrapport og de planer, I allerede har. Den er sitets egen form. SAMSIK’s vejledning til NIS2-loven anbefaler, at resultater af test af backup og gendannelse skrives ned og godkendes af ledelsen. Den er skrevet til virksomheder under NIS2 og handler om gendannelse. Tanken er brugbar uden for det lovkrav, for ledelsen hører med i billedet.
Det, siden skal indeholde
Øverst: konklusionen. To eller tre sætninger. Hvor mange kritiske systemer har en plan, hvor mange er testet i år, og hvad er det vigtigste åbne punkt?
Tabellen. Én række pr. kritisk system med disse kolonner:
- System og forretningsfunktion.
- Plan: findes, er under arbejde, eller er fravalgt.
- Seneste gennemgang, med dato.
- Seneste test, med niveau og dato.
- Resultat af testen.
- Tid ud sammenholdt med tolerancen.
- Ejer.
- Status.
Nederst: det, ledelsen skal gøre. Højst tre punkter. Skriv, hvad der skal besluttes, og hvornår.
Rødt, gult og grønt uden falske tal
Farver er nyttige, så længe de betyder noget bestemt. Skriv reglerne på forhånd og sæt dem nederst på siden, så ingen kan vælge farve efter humør:
- Grøn: planen er gennemgået inden for den aftalte periode, seneste test er bestået, og tid ud ligger inden for tolerancen.
- Gul: planen findes, men en gennemgang eller test er forsinket, eller en test er bestået med fund, der endnu ikke er lukket.
- Rød: ingen plan for et kritisk system uden en bevidst accept, en test er ikke bestået, eller tid ud er længere end tolerancen.
Den sidste regel er vigtig. Et system kan have en flot plan og stadig være rødt, fordi vejen ud tager længere tid end det, forretningen kan klare. En status, hvor alt er grønt år efter år, bør vække mistanke, og det samme gør en procent for “exit-modenhed”. Et samlet tal lægger det hele sammen, og læseren kan ikke længere se, hvad der er galt. Brug hellere antal: tre af fem systemer har en testet plan.
Et fravalgt system står også på listen, med henvisning til den bevidste accept og udløbsdatoen. Fravalg er en lovlig status, og det må gerne ses.
Hvordan tallene hænger sammen med testen
Resultatkolonnen hentes fra testrapporten og bruger de samme tre ord: bestået, bestået med fund, ikke bestået. Kriterierne fra hvad er en bestået test? gør, at status kan efterprøves af andre. Den, der laver siden, skal kunne pege på et dokument bag hver celle. Står der “testet” uden en rapport, skal cellen ændres.
Datoer er det vigtigste. “Testet” betyder intet, og “testet marts 2026” fortæller, hvad læseren har brug for at vide. Marker det også, når en dato er ældre end det aftalte.
Ændringer siden sidst
Tilføj en kort linje med det, der er sket siden sidste status: en ny leverandør, en test, et fund, en lukket afvigelse eller et tegn hos leverandøren. Ledelsen husker ikke sidste side, og det er bevægelsen, der siger mest. Er der ingen ændringer, skal det også stå der.
Hvem får den, og hvor ofte
Direktionen ser siden, når den ændrer sig, og mindst en gang om året. Bestyrelsen får den ved det faste punkt i årshjulet, og sammen med den øvrige IT- eller sikkerhedsrapport, så den ikke står alene. Rapporteringens form og rytme er beskrevet mere generelt på ekstern-it-ledelse.dk. Siden kan også sendes videre til en kunde eller et tilsyn, hvis I fjerner det, der er internt.
Lad en kopi ligge sammen med planerne, med dato. Over tid viser rækken af sider, at arbejdet bliver gjort, og det er dokumentation i sig selv. Spørger bestyrelsen hvad gør vi, hvis vi mister systemet?, er siden grundlaget for svaret.
Hvad det kræver, og hvad det koster at lade være
Første side kræver, at planerne og testrapporterne findes, og tager en halv dag at sætte op. Derefter er det en time ved hver opdatering. Tag et dateret spænd i timer med i det løbende arbejde.
Uden status mister ledelsen forbindelsen til arbejdet, og så forsvinder prioriteringen. Budgettet til test bliver svært at forsvare, og ingen opdager, at et kritisk system har stået uden gennemgang i to år. Siden kan også afsløre, at noget er for dyrt at holde i gang i forhold til værdien. Vej da indsatsen mod dagstabet og mod planens værdi i det daglige. Det er en vurdering, ledelsen kun kan foretage, når den kan se tallene.
Det skal I lade være med
- At bruge farver uden regler · så er grøn en holdning.
- At lægge det hele sammen til ét tal · det skjuler, hvor problemet er.
- At skjule fravalg · de hører med i billedet.
- At skrive status uden dokument bag · hver celle skal kunne efterprøves.
Det skal planen kunne vise
- ☐ En side med én række pr. kritisk system.
- ☐ Datoer for gennemgang og test.
- ☐ Regler for farverne, skrevet på forhånd.
- ☐ Tid ud sammenholdt med tolerancen.
- ☐ Højst tre punkter, ledelsen skal tage stilling til.
- ☐ Tidligere status gemt med dato.
Kilder
- SAMSIK: Vejledning til NIS 2-loven, implementering af cybersikkerhedsforanstaltninger, juni 2025: s. 23. Vejledning til virksomheder under NIS2.
Senest gennemgået: november 2026.
Næste skridt
Skriv tabellen med de kritiske systemer i dag, også selv om mange celler er tomme. De tomme celler er årets arbejdsliste. Vis den til direktøren, og aftal, hvornår første status skal ligge klar.
Læs også: Årshjul for exit-arbejdet · Bestyrelsen spørger om plan B
→ Kontakt · Tlf. 70 13 63 23 · Exit-plan og exit-rådgivning hos Nielco IT
