Måling af security awareness er den dokumentation, der viser om jeres træning faktisk ændrer adfærd – målt på klikrate, indrapporteringsrate og gentagne fejl over tid. NIS2’s gennemførelsesregler kræver, at awareness gentages, opdateres og testes for effekt – et kursusbevis er ikke nok. Samtidig steg andelen af ramte mellemstore danske virksomheder fra 5 % til 13 % på ét år. Med 6 KPI’er og en fast kvartalsrytme kan I fremlægge effekten for bestyrelse og revisor uden at opfinde tal.
Det vigtigste at vide:
- Indrapporteringsrate slår klikrate som KPI – mål begge, men prioriter den første i rapporten.
- Sæt baseline før første træning, ellers kan I aldrig bevise fremgang.
- Håndtér gentagne klikkere med ekstra træning og klare GDPR-regler for simulationsdata – ikke med udstilling.
- Fast kvartalsrapport på én side dækker NIS2’s krav om testet og opdateret awareness.
- Sammenlign kun med SMV-benchmarks – enterprise-tal gør jeres resultater kunstigt dårlige.
Hvorfor måling af security awareness er et NIS2-krav, ikke en luksus
NIS2’s gennemførelsesregler kræver, at awareness-træning gentages, omfatter nye medarbejdere og testes for effekt (EU-Kommissionen, 2024). En liste over, hvem der har set et e-læringsmodul, opfylder kun den første del. Revisor spørger: virkede det?
Her hjælper træningslogs ikke. Måling af security awareness handler om adfærdsdata – klikrater, rapporteringer og hændelser – ikke om deltagelse. Truslen er reel: phishing indgik i 60% af analyserede hændelser i Europa (ENISA, 2025), og andelen af ramte mellemstore danske virksomheder steg fra 5% i 2024 til 13% i 2025 (TDC Erhverv, 2026).
Kortlæg derfor jeres NIS2 awareness-krav først, og dokumentér effekten – fx som del af jeres NIS2-dokumentation i Microsoft 365.
De 6 security awareness KPI’er jeres dashboard skal vise
Seks security awareness KPI’er dækker både adfærd og effekt. Mål dem kvartalsvis og log tallene samme sted hver gang:
- Klikrate: klik ÷ udsendte simulationer. Kilde: simulationsværktøj. Mål: faldende kvartal for kvartal.
- Indrapporteringsrate: rapporterede mails ÷ udsendte. Kilde: rapportér-knap i Outlook.
- Tid-til-rapportering: minutter fra levering til første rapport. Under 30 min. er stærkt.
- Gennemførelsesgrad: fuldførte træninger ÷ ansatte. Under 90%? Håndhæv deadlines.
- Gentagne klikkere: medarbejdere med 2+ klik. Segmentér og giv målrettet phishing-træning.
- Reelle hændelser: antal bekræftede phishing-hændelser pr. kvartal. Kilde: jeres hændelseslog.
Et studie med 1.300+ medarbejdere viste usikker adfærd faldet fra 8,5% til 4,2% på seks måneder (Primion, 2025) – realistiske benchmarks findes altså.
Hvorfor indrapporteringsrate slår phishing simulation klikrate
Indrapporteringsraten måler aktivt forsvar – klikraten måler kun fravær af fejl. En phishing simulation klikrate kan pyntes ved at sende lette simulationer med stavefejl og tydelige afsendere. Indrapporteringsraten kan ikke manipuleres på samme måde, for den kræver, at medarbejderen handler.
Før: I fejrer en klikrate på få procent efter en nem kampagne, mens ingen rapporterer noget. → Efter: I måler, at halvdelen rapporterer svære simulationer inden for 30 minutter – det stopper reelle angreb.
Det haster: 40% i en HK-rundspørge havde oplevet forsøg på falske pengeoverførsler (HK, 2026). Gør måling af security awareness til en del af en stærk IT-sikkerhedskultur, hvor rapportering roses – aldrig straffes.
Få en baseline-måling af jeres medarbejderes sikkerhedsadfærd
Sådan sætter I realistiske benchmarks som SMV
Mål jer selv, før I sammenligner med andre. Kør en umeldt phishing-test af medarbejderne, inden træningen starter, og log klikrate og indrapporteringsrate som baseline. Uden den kan I ikke bevise fremgang.
Et realistisk awareness-benchmark for SMV’er er at halvere usikker adfærd på et halvt år – et longitudinalt studie med 13.000 simulationer viste et fald fra 8,5% til 4,2% på seks måneder (Primion, 2025). Sæt derfor trinmål pr. kvartal frem for et urealistisk nul.
Måling af security awareness kræver også et rapporteringsmål: Flere skal melde mistænkelige mails ind, end der klikker. Hvordan I træner frem mod målene, dækker vi i guiden til awareness-træning i SMV’er.
Fejl der koster: gentagne klikkere, frygtkultur og GDPR-fælder
Gentagne klikkere skal følges op trinvis, ikke udstilles. Før: navne på klikkere deles på afdelingsmødet → Efter: automatisk mikrotræning efter første klik, en kort 1:1 efter andet, og lederinddragelse først ved tredje. Frygtkultur dræber indrapporteringen – og netop indrapportering redder jer, når phishing indgik i 60% af analyserede hændelser i Europa (ENISA, 2025).
Pas på, at målingen ikke selv bliver en GDPR-risiko. Simulationsdata på personniveau er persondata: begræns adgang, rapportér aggregeret til ledelsen, og slet individdata efter en fast frist. Dokumentér formålet i jeres it-sikkerhedspolitik, så måling af security awareness står på et lovligt grundlag.
Tjekliste: kvartalsrapporten til bestyrelse og revisor
Én side pr. kvartal er nok – hvis den er ens hver gang. NIS2’s gennemførelsesregler kræver, at awareness gentages, omfatter nye medarbejdere og testes for effekt (EU-Kommissionen, 2024), og denne rapport er jeres bevis.
- Vis de 6 KPI’er: klikrate, indrapporteringsrate, gentagne klikkere, gennemførselsgrad på træning, tid-til-rapportering og onboarding-dækning.
- Sæt trendpil (op/ned/flad) mod forrige kvartal og baseline.
- List 2-3 handlinger med ansvarlig og deadline.
- Notér datakilde og dato, så revisor kan efterprøve.
- Arkivér PDF’en samme sted som jeres øvrige NIS2-dokumentation i Microsoft 365.
Fremlæg rapporten fast på bestyrelsesmødet – så bliver sikkerhedskultur målt, ikke bare omtalt.
Ofte stillede spørgsmål
Hvordan måler man effekten af security awareness-træning?
Mål på adfærd, ikke på gennemførte kurser. Kør en baseline-phishing-simulation før træningen, og gentag den hver 4.-6. uge. Følg seks KPI’er: klikrate, rapporteringsrate, tid til rapportering, gennemførelsesgrad, antal reelle hændelser og gentagne klikkere. Log resultaterne pr. afdeling, så I kan prioritere opfølgning dér, hvor risikoen er størst.
Hvad er en god klikrate i en phishing-simulation?
Der findes ingen universel grænse, for klikraten afhænger af, hvor svær simulationen er. Brug derfor jeres egen baseline som målestok: Første test sætter niveauet, og målet er en faldende kurve over 3-6 måneder. Vigtigere end klikraten er rapporteringsraten — en medarbejder, der rapporterer mailen, stopper angrebet for hele virksomheden.
Hvilke KPI’er skal vi rapportere til ledelsen om security awareness?
Rapportér maksimalt seks tal kvartalsvist: klikrate i simulationer, rapporteringsrate, mediantid fra modtagelse til rapportering, gennemførelsesgrad på træning, antal gentagne klikkere og antal reelle phishing-hændelser. Vis udviklingen over tid frem for øjebliksbilleder. Ledelsen skal kunne se én ting: Falder risikoen for de penge, vi bruger?
Kræver NIS2 at vi tester effekten af vores awareness-træning?
NIS2 kræver, at ledelsen sikrer og fører tilsyn med cybersikkerhedstræning — og tilsyn forudsætter dokumentation. Direktivet (vedtaget 2022) nævner ikke specifikke KPI’er, men uden målinger kan I ikke vise, at træningen virker. Log gennemførelse og simulationsresultater, så I kan dokumentere effekten over for både ledelse og myndigheder.
Hvor ofte skal vi gennemføre phishing-simulationer?
Kør simulationer hver 4.-6. uge i varierende sværhedsgrad og på skiftende tidspunkter. Kvartalsvise test er for sjældne til at ændre vaner, og ugentlige skaber træthed. Segmentér gerne: Økonomi og ledelse rammes oftere af CEO-fraud og bør testes med målrettede scenarier. Efter 2-3 runder har I en pålidelig trend at rapportere på.
Hvad koster security awareness-træning pr. medarbejder?
Prisen afhænger af platform, simulationsfrekvens og om rapportering er inkluderet. Har I Microsoft 365 Business Premium, ligger værktøjet til phishing-simulationer (Attack Simulation Training) allerede i licensen — så start med at auditere, hvad I betaler for i dag. Bed om en pris, der dækker både simulationer, træningsindhold og kvartalsrapport til ledelsen.
Hvor hurtigt kan vi komme i gang med målbar awareness-træning?
Typisk 2-4 uger fra beslutning til første baseline-måling. Uge 1: kortlæg brugere og segmentér afdelinger. Uge 2: opsæt platform og whiteliste simulationsmails. Uge 3-4: kør baseline-simulation og udrul første træningsmodul. Herefter kører programmet løbende med minimal administration fra jeres side.
Kan vi skifte fra vores nuværende awareness-leverandør uden at miste data?
Ja, men eksportér jeres historik først. Bed den nuværende leverandør om klikrater, rapporteringsrater og gennemførelsesdata pr. medarbejder som CSV, inden kontrakten udløber. Så bevarer I jeres baseline og kan sammenligne på tværs af leverandørskiftet. Tjek også opsigelsesvarslet — mange aftaler løber i 12 måneder med 3 måneders varsel.
Sådan kommer I videre
- Kortlæg hvilke awareness-data I allerede har: kursusgennemførelser, hændelseslog og eventuelle tidligere simulationer.
- Kør en baseline-phishing-simulation, før I ændrer noget — ellers kan I ikke dokumentere effekt.
- Vælg de seks KPI’er fra artiklen og sæt dem ind i en fast kvartalsrapport til ledelsen.
- Segmentér medarbejderne efter risiko, og test økonomi og ledelse med sværere scenarier.
- Gentag simulationen hver 4.-6. uge, og håndhæv opfølgende træning for gentagne klikkere.
