Hjem » Blog » CIS18

IT-sikkerhed

CIS18: Hvad er det, og hvordan kommer I i gang?

Oktober 2026 · IT-sikkerhed · CIS18

De fleste virksomheder ved godt, at IT-sikkerhed er vigtigt. Det svære er at finde ud af, hvor man skal starte.

Antivirus er på plads. Der bliver taget backup. Medarbejderne har fået at vide, at de skal passe på mistænkelige mails. Men er det nok?

Spørgsmålet er svært at svare på, fordi der ikke findes et tydeligt facit. Der er altid mere, man kunne gøre. Og uden en ramme at måle sig op imod bliver IT-sikkerhed hurtigt til mavefornemmelser og enkeltstående indkøb.

Det er præcis det problem, CIS18 løser.

CIS18 HOS AZEND

Sådan hjælper vi jer med CIS18

Læs om vores gennemgang, og hvad I får med hjem.

Læs mere om CIS18 →

Hvad er CIS18?

CIS18 er 18 konkrete sikkerhedskontroller udviklet af Center for Internet Security, en amerikansk non-profit organisation. Kontrollerne bygger på analyser af, hvordan cyberangreb faktisk forløber i virkeligheden, og de opdateres løbende i takt med at trusselsbilledet ændrer sig.

Styrken ved CIS18 er ikke, at den er omfattende. Det er mange standarder. Styrken er, at den er prioriteret. Kontrollerne står ikke i tilfældig rækkefølge. De er sorteret efter, hvor meget beskyttelse de giver i forhold til indsatsen.

kontroller der tilsammen dækker et komplet cyberforsvar

grupper der angiver, hvad I bør tage først

153

underliggende sikringstiltag på tværs af de 18 kontroller

CIS18 fortæller jer ikke bare hvad I skal gøre. Den fortæller jer, hvad I skal gøre først.

De tre grupper, og hvad de faktisk betyder

Kontrollerne er inddelt i tre såkaldte Implementation Groups. Her opstår den mest udbredte misforståelse, så lad os få den ryddet af vejen med det samme.

Alle 18 kontroller er relevante for alle virksomheder. Grupperne fortæller jer noget om rækkefølge, ikke om hvem der er omfattet. En virksomhed med 20 medarbejdere skal også forholde sig til hændelsesrespons. Den skal bare have styr på adgangsstyring først.

Grundlæggende kontroller

Kontrol 01 til 06

Overblik over hardware og software, databeskyttelse, sikker konfiguration, konto- og adgangsstyring. Det er fundamentet. Uden det giver resten begrænset mening.

Mellemliggende kontroller

Kontrol 07 til 12

Sårbarhedsstyring, logning, mail- og webbeskyttelse, malwareforsvar, datagendannelse og netværksstyring. Særligt vigtigt hvis I håndterer kundedata eller er underlagt lovkrav.

Avancerede kontroller

Kontrol 13 til 18

Netværksovervågning, awareness-træning, leverandørstyring, applikationssikkerhed, hændelsesrespons og penetrationstest. Det fulde forsvar for virksomheder med høj risikoeksponering.

Hvorfor CIS18 og ikke bare NIS2?

Mange virksomheder møder først CIS18, fordi de er i gang med NIS2. Og det er der en god grund til.

NIS2 er et direktiv. Det beskriver, hvilke krav I skal opfylde, men ikke hvordan I gør det i praksis. Kravene er formuleret bredt, fordi de skal kunne dække alt fra energiselskaber til produktionsvirksomheder. Det efterlader en tolkningsopgave hos den enkelte virksomhed.

CIS18 er det modsatte. Her er kontrollerne konkrete og operationelle. De fortæller, hvad der skal være på plads, og hvordan man kommer derhen.

NIS2 siger hvad. CIS18 siger hvordan. Derfor fungerer de rigtig godt sammen.

Det samme gælder ISO 27001. Arbejder I hen mod en certificering, vil de emner CIS18 dækker næsten altid være nødvendige alligevel. Så I bygger ikke noget, I skal rive ned igen.

Sådan kommer I i gang

Det første skridt er ikke at købe noget. Det er at finde ud af, hvor I står.

Kortlæg jeres nuværende niveau

Gå de 18 kontroller igennem og vurdér ærligt, hvilke I har på plads. Ikke hvilke I gerne vil have, men hvilke der faktisk fungerer i hverdagen i dag.

Start med gruppe 1

Hvis der er huller i de seks grundlæggende kontroller, er det der, I begynder. Det giver sjældent mening at investere i netværksovervågning, hvis I ikke ved, hvilke enheder der er på netværket.

Prioritér efter risiko, ikke efter nummerrækkefølge

Kontrollerne er nummererede, men jeres virkelighed er ikke lineær. Hvis backup er jeres største risiko, så tag den først, uanset at den står som nummer 11.

Få ledelsen med fra starten

IT-sikkerhed er ikke kun en teknisk opgave. Det kræver beslutninger om budget, prioritering og ansvar. Under NIS2 er det desuden et personligt ledelsesansvar.

Gør det til en løbende proces

Et sikkerhedsniveau er ikke noget, man opnår én gang. Systemer ændrer sig, medarbejdere skifter, og truslerne udvikler sig. Sæt en fast kadence for at genbesøge kontrollerne.

Den mest almindelige fejl

At gå efter alle 18 kontroller på én gang

Vi ser det ofte. En virksomhed beslutter sig for at tage CIS18 seriøst, kaster sig over hele rammen og går i stå efter tre måneder, fordi opgaven blev for stor. Tag seks kontroller ad gangen. Bliv færdig. Gå videre.

Hvad får I ud af det?

Det åbenlyse svar er bedre beskyttelse. Men i praksis er der flere gevinster, som virksomheder ofte først opdager undervejs.

✓ Et fælles sprog internt. IT og ledelse taler om det samme, med de samme begreber

✓ Dokumentation I kan vise frem. Til kunder, partnere og forsikringsselskaber der stiller krav

✓ Et grundlag for budgettering. I ved hvad der mangler og kan planlægge investeringerne

✓ Et forspring på NIS2 og ISO. Arbejdet tæller med, hvis I senere skal dokumentere compliance

GRATIS TJEKLISTE

Se hvor mange af de 18 kontroller I har på plads

Hent tjeklisten og få overblik på under 15 minutter.

Hent tjeklisten →

Er I i tvivl om, hvor I skal begynde?

Book en gratis og uforpligtende samtale på 30 minutter. Vi gennemgår jeres tjekliste sammen og giver jer konkrete anbefalinger med hjem. Uanset om I ender med at bruge os eller ej.