CISM-forberedelse er en målrettet proces, hvor du træner ledelsestænkning, prioritering og eksamensdisciplin uden at gøre læsningen tungere end nødvendigt. Den kræver ikke sene aftener, endeløse noter eller et tempo, der ikke kan holde i en almindelig arbejdsuge; en rolig plan beskytter den restitution, der gør stoffet brugbart på eksamensdagen.
CISM, Certified Information Security Manager, er en ISACA-certificering for fagfolk, der arbejder med ledelse, styring, risiko og drift af informationssikkerhed. Den passer især til personer, der bevæger sig fra tekniske eller analytiske roller mod ansvar for politikker, risikobeslutninger, sikkerhedsprogrammer, rapportering til ledelsen og håndtering af hændelser.
Hvor CISM passer ind i en sikkerhedskarriere
CISM bør vælges ud fra arbejdsopgaver, ikke ud fra navnegenkendelse alene. Certificeringen lægger vægt på at styre informationssikkerhed som en forretningsfunktion: hvordan risici prioriteres, hvordan politikker godkendes, hvordan sikkerhedsprogrammer bygges op, og hvordan organisationen reagerer efter en hændelse.
Det betyder også, at CISM ikke er det samme valg som CISSP for alle. Hvis rollen på kort sigt handler om arkitektur, infrastruktur, sikkerhedsteknologi og dyb teknisk implementering, kan CISSP ofte være et mere naturligt næste skridt. Hvis rollen derimod bevæger sig mod governance, risikoregistre, compliance-dialoger, ledelsesrapportering og beslutninger om sikkerhedsprogrammer, er CISM normalt bedre afstemt med opgaven.
Den skelnen er vigtig, fordi mange kandidater forbereder sig forkert. De læser CISM som en teknisk eksamen og leder efter det mest teknisk avancerede svar. CISM-spørgsmål belønner oftere det svar, der bedst understøtter styring, risiko, politik og forretningsmål, selv når et teknisk svar også ser plausibelt ud.
Efterspørgslen efter denne type kompetence hænger sammen med, at sikkerhedsledelse i stigende grad vurderes som forretningsrisiko. Gartner har eksempelvis peget på, at cybersikkerhedslederens rolle skal ændre sig i takt med kravene fra organisationen og bestyrelsen: Gartners omtale af cybersikkerhedslederens rolle. Det gør CISM relevant for profiler, der skal oversætte sikkerhed til beslutninger, budgetter og ansvar.
Fakta om CISM-eksamenen
ISACA beskriver CISM-eksamenen som en computerbaseret multiple choice-eksamen, der kan planlægges online eller hos en godkendt testudbyder. Den bør derfor ikke planlægges ud fra den gamle antagelse om, at eksamen kun udbydes i faste juni- eller decembervinduer. Kandidater bør altid kontrollere den aktuelle tilgængelighed, registrering og omprøvepolitik direkte hos ISACA, fordi regler og gebyrer kan ændre sig.
Ifølge ISACAs eksamensoplysninger består CISM-eksamenen af 150 multiple choice-spørgsmål, og kandidaten har 240 minutter. Scoren ligger på en skala fra 200 til 800, hvor 450 er beståelsesgrænsen. Den officielle eksamensside bør bruges som primær kilde til format, registrering, omprøvevilkår og eventuelle ændringer: ISACAs CISM-eksamensside.
Den oprindelige eksamensoversigt fra 1. juni 2022 fordelte vægten på fire CISM-domæner: informationssikkerhedsstyring, informationsrisikostyring, udvikling og styring af informationssikkerhedsprogrammer samt incident management. Domænevægtene bør bruges som pejlemærke for læseplanen, men ikke som en undskyldning for at springe mindre domæner over. Et svagt område kan koste dyrt, fordi spørgsmålene ofte blander governance, risiko og hændelseshåndtering i samme situation.
Priser bør behandles forsigtigt. Den oprindelige kilde angav en eksamenspris på 760 USD for ikke-medlemmer og 575 USD for ISACA-medlemmer samt et årligt medlemsgebyr på 130 USD plus et engangsgebyr ved indmeldelse. Da takster ændrer sig, bør kandidater ikke budgettere ud fra ældre blogindlæg alene, men kontrollere den aktuelle pris hos ISACA, før eksamen bookes.
En rolig 6-ugers plan, der holder
En CISM-plan behøver ikke være aggressiv for at være seriøs. Fire til seks uger er ofte nok for en erfaren informationssikkerhedsprofil, hvis læsningen er struktureret, gentagelsen er planlagt, og øvelsesspørgsmål bruges til at træne dømmekraft frem for udenadslære. Kandidater med mindre erfaring i governance eller risiko bør give sig mere tid.
Planen nedenfor er bygget til en normal arbejdsuge. Den antager korte, fokuserede studieblokke, en ugentlig opsamling og en bevidst beslutning om ikke at ofre søvn for ekstra gennemlæsning. Aktiv genkaldelse, hvor kandidaten forsøger at forklare et begreb uden at kigge i materialet, virker ofte bedre end passiv genlæsning.
- Uge 1: Læs eksamensoversigten, kortlæg de fire domæner, og tag en kort diagnostisk quiz for at finde svage områder.
- Uge 2: Arbejd med informationssikkerhedsstyring og risikostyring, og skriv korte egne forklaringer på governance, ansvar, risikotolerance og politikker.
- Uge 3: Gennemgå udvikling og styring af informationssikkerhedsprogrammer med fokus på prioritering, metrikker, ledelsesrapportering og programmodenhed.
- Uge 4: Arbejd med incident management, post-incident reviews, eskalering, læring efter hændelser og sammenhængen mellem beredskab og forretningsmål.
- Uge 5: Brug øvelsesspørgsmål til at træne BEST- og FIRST-beslutninger, og skriv begrundelser for både rigtige og forkerte svar.
- Uge 6: Gentag svage områder, gennemfør en realistisk tidsøvelse, reducer ny læsning og prioriter søvn, pauser og rolige repetitionssessioner.
Et struktureret kursus kan være nyttigt, hvis kandidaten har brug for en fastere rytme eller vil have domænerne forklaret samlet frem for at bygge planen alene. Et eksempel er Readynez' CISM-certificeringskursus, men kursusvalg bør altid vurderes ud fra kalender, forkundskaber og behovet for instruktion frem for selvstudie.
Uanset metode bør øvelsesspørgsmål bruges klogt. ISACAs gratis quiz kan give en fornemmelse af spørgsmålsformen og forklaringsniveauet: ISACAs CISM practice quiz. Pointen er ikke at memorere formuleringer, men at lære at se, hvorfor et svar er bedre end et andet i en ledelseskontekst.
Sådan tænkes der på eksamensdagen
CISM-spørgsmål har ofte flere svar, der virker rimelige. Det er netop derfor, teknisk erfaring både kan hjælpe og forstyrre. En kandidat, der arbejder med incident response eller sikkerhedsteknologi til daglig, kan hurtigt genkende en teknisk handling, men eksamen spørger ofte efter det første eller bedste ledelsesmæssige skridt.
Ved FIRST-spørgsmål bør kandidaten lede efter det svar, der etablerer forståelse, ansvar eller prioritering, før løsningen iværksættes. Ved BEST-spørgsmål bør kandidaten spørge, hvilket svar der mest direkte understøtter forretningsmålet, risikoreduktionen eller governance-processen. Hvis et svar springer direkte til værktøjer uden at afklare risiko, ejerskab eller politik, er det ofte værd at være skeptisk.
Tidsstyring bør være enkel. Lette spørgsmål besvares først, tvivlsspørgsmål markeres, og lange scenarier læses med fokus på forretningskonteksten: hvem ejer risikoen, hvad er målet, hvilken proces er allerede etableret, og hvad er det mest ansvarlige næste skridt. Det er bedre at vende tilbage til et markeret spørgsmål med frisk blik end at bruge uforholdsmæssigt meget tid på én formulering.
En praktisk fejl er at bruge sidste uge på at presse nye materialer ind. Den sidste uge bør i stedet samle begreberne, rette kendte svagheder og træne eksamensrytme. Kandidaten skal kunne forklare, hvordan et risikoregister bruges, hvorfor en politik skal godkendes på rette niveau, hvilke metrikker ledelsen faktisk kan handle på, og hvordan et post-incident review forbedrer programmet.
Efter bestået eksamen: vedligeholdelse uden overarbejde
CISM stopper ikke ved eksamensresultatet. For at vedligeholde certificeringen skal indehaveren følge ISACAs krav til Continuing Professional Education, betale relevante vedligeholdelsesgebyrer og efterleve ISACAs professionelle etiske kodeks. Den oprindelige kilde angav 120 CPE-timer over en treårig rapporteringscyklus med mindst 20 timer om året samt et årligt vedligeholdelsesgebyr på 85 USD eller 45 USD for ISACA-medlemmer, men aktuelle krav og beløb bør altid kontrolleres hos ISACA.
Den mest holdbare CPE-strategi er at koble læring til arbejde, der alligevel skal udføres. Interne risikoworkshops, relevante webinars, faglige meetups, sikkerhedskonferencer, formel træning, politikarbejde og læring i forbindelse med projekter kan i mange tilfælde bidrage til vedligeholdelsen, hvis de passer til ISACAs regler og dokumenteres korrekt.
Det praktiske problem er sjældent at finde læring; det er at huske dokumentation og rapportering. En årlig kalenderpåmindelse, et simpelt arkiv til kursusbeviser og en kvartalsvis gennemgang af CPE-status reducerer risikoen for panik tæt på rapporteringsfristen. CPE bør behandles som en del af rollen, ikke som et ekstra projekt, der først opdages ved årets afslutning.
Ofte stillede spørgsmål om CISM-forberedelse
Hvor lang tid bør man bruge på CISM-forberedelse?
Mange erfarne sikkerhedsprofessionelle kan arbejde seriøst med stoffet over fire til seks uger, hvis de læser fokuseret og allerede kender governance, risiko og incident management. Kandidater med en mere teknisk baggrund bør ofte give sig mere tid til ledelses- og risikoperspektivet.
Kan CISM-eksamenen tages hele året?
ISACA beskriver CISM som en computerbaseret eksamen, der kan planlægges online eller via testcenter afhængigt af tilgængelighed. Kandidater bør kontrollere den aktuelle registrering og planlægning hos ISACA i stedet for at antage faste eksamensvinduer.
Hvad er den største fejl i CISM-forberedelse?
Den største fejl er at læse som om eksamen primært tester tekniske løsninger. CISM tester i høj grad dømmekraft i styring, risiko, politik, programledelse og forretningsmæssig prioritering.
Skal man vælge CISM eller CISSP?
CISM passer bedst til roller med ansvar for ledelse, governance, risiko, politikker og sikkerhedsprogrammer. CISSP passer ofte bedre til kandidater, der vil dokumentere bred teknisk sikkerhedsviden på tværs af arkitektur, infrastruktur og sikkerhedskontroller.
Hvad bør man gøre, hvis man ikke består?
En ikke-bestået eksamen bør behandles som feedback. Gennemgå svage domæner, analyser hvilke spørgsmålsformer der skabte tvivl, og kontroller ISACAs aktuelle omprøvepolitik, før en ny dato bookes.
Kilder, opdatering og næste skridt
Opdateret: 2026. Faktuelle oplysninger om eksamensformat, registrering, priser, omprøver og vedligeholdelse bør kontrolleres hos ISACA, da regler og gebyrer kan ændre sig. Denne artikel bruger ISACAs officielle CISM-eksamensside og practice quiz som centrale referencer samt Gartner-kilden ovenfor til kontekst om sikkerhedslederens rolle.
Den vigtigste beslutning er at forberede sig som den rolle, CISM afspejler: en person, der prioriterer risiko, styring og forretningsværdi frem for hurtige tekniske reflekser. En praktisk næste handling er at vælge eksamensvindue, afsætte seks rolige uger og bygge repetition ind fra første dag.
Readynez kan være relevant, hvis forberedelsen skal samles i et struktureret forløb med tydelig eksamensretning. Se det danske CISM-uddannelseskursus, hvis et kursusforløb passer bedre end selvstudie.
