- Betydning
- Regelsæt og standarder for sikkerhed og compliance
- Eksempler
- ISO 27001, den tyske standard IT-Grundschutz, NIST CSF
- Nytte
- En gennemprøvet, anerkendt ramme
- Forhold til NIS2
- Gør gennemførelsen lettere
- Opdateret
- juni 2026
- Redaktion
- Compliance Compass
Hvad er rammeværker?
Rammeværker giver en gennemprøvet ramme, virksomheder kan rette sig efter i stedet for at opfinde den dybe tallerken. De fastlægger krav, foranstaltninger og fremgangsmåder og samler mange organisationers erfaring i en standard, andre kan følge. Hvor et enkelt værktøj kun løser en del af problemet, beskriver et rammeværk samspillet mellem risikovurdering, Kontroller, roller og dokumentation gennem hele livscyklussen. Netop dér ligger forskellen fra en ren liste over foranstaltninger: rammeværket leverer strukturen og revisionslogikken med.
Kendte rammeværker
- ISO 27001 – international anerkendt ISMS-standard, som kan certificeres
- IT-Grundschutz – den tyske standard, som lader sig kombinere godt med ISO 27001
- NIST Cybersecurity Framework – udbredt internationalt, bygget op om funktioner (Identify, Protect, Detect, Respond, Recover)
Rammeværker og NIS2
NIS2 er selv en lovgivningsmæssig ramme, men kræver ikke et bestemt rammeværk. Etablerede rammeværker gør det lettere at opfylde kravene struktureret og dokumenterbart – opfylder I for eksempel ISO 27001, er mange af NIS2-punkterne i artikel 21 (risikostyringsforanstaltninger) allerede dækket. Det afgørende er, at pligterne gælder uanset valget af rammeværk: underretningskæden med tidlig varsling inden for 24 timer, hændelsesunderretning inden for 72 timer og endelig rapport efter en måned samt registreringen via virk.dk, hvor fristen var den 1. oktober 2025.
Hvilket rammeværk passer?
Det afhænger af størrelse, branche og mål. Det afgørende er mindre det „perfekte“ rammeværk end den konsekvente gennemførelse – samlet i et ISMS. Eksempel: Et dansk energiselskab med internationale kunder vælger ISO 27001 for den certificerbare udadvendte virkning og bruger den tyske standard IT-Grundschutz som detaljeret katalog over foranstaltninger til den konkrete gennemførelse. De to supplerer hinanden, sparer dobbeltarbejde og leverer tilsammen den dokumentation, NIS2 og den kompetente myndighed forlanger. En mindre virksomhed kan derimod pragmatisk begynde med byggestenene fra IT-Grundschutz og certificere sig senere.
Læs mere: IT-Grundschutz – den tyske standard og dens certificering
Ofte stillede spørgsmål
Hvad er et rammeværk i it-sikkerhed?
Et rammeværk i it-sikkerhed er et gennemprøvet regelsæt eller en standard, der angiver, hvordan sikkerhed og compliance bygges struktureret op. Rammeværket fastlægger konkrete krav, foranstaltninger og fremgangsmåder og samler mange organisationers erfaring i en struktur, der kan efterprøves. Kendte eksempler er ISO 27001, den tyske standard IT-Grundschutz og NIST Cybersecurity Framework. I modsætning til et enkelt værktøj beskriver et rammeværk samspillet mellem risikovurdering, kontroller, roller og dokumentation gennem hele livscyklussen.
Hvilke rammeværker hjælper med NIS2?
Til NIS2 hjælper først og fremmest ISO 27001 som international, certificerbar ISMS-standard og den tyske standard IT-Grundschutz som detaljeret supplement. Begge dækker allerede en stor del af NIS2-kravene i artikel 21 til risikostyring og tekniske sikkerhedsforanstaltninger. Også NIST Cybersecurity Framework er udbredt. Opfylder I et af dem, kan mange lovpligter dokumenteres struktureret i stedet for at skulle beskrives forfra krav for krav.
Kræver NIS2 et bestemt rammeværk?
Nej. NIS2-direktivet, som i Danmark er gennemført med NIS 2-loven i kraft siden den 1. juli 2025, kræver ikke et bestemt rammeværk. Etablerede rammeværker som ISO 27001 eller den tyske standard IT-Grundschutz gør det dog lettere at opfylde pligterne struktureret og dokumenterbart, fordi de leverer afprøvede foranstaltninger og en revisionslogik. Pligterne gælder uanset valget af rammeværk: underretningskæden med tidlig varsling inden for 24 timer, hændelsesunderretning inden for 72 timer og endelig rapport efter en måned samt registreringen via virk.dk, hvor den første frist var den 1. oktober 2025.