Riktig ISACA-sertifisering er et karrierevalg for norske sikkerhets-, revisjons- og risikofagfolk som bør bygge på arbeidsoppgaver og mål, ikke bare stillingstittel.
CISA, CISM, CRISC og CGEIT dekker ulike deler av arbeidet med informasjonssikkerhet, risikostyring og IT-styring. Det mest praktiske valget handler derfor om hvilke leveranser en person skal eie de neste 12 til 24 månedene, hvor moden virksomhetens styringsmodell er, og hvilken type dokumentert erfaring arbeidsgiveren faktisk trenger.
Publisert: 2026. Sist oppdatert: 2026. Ved sist oppdatering er hovedrådet uendret: eksamensformat, språk, CPE-regler og sertifiseringskrav bør alltid kontrolleres hos ISACA før påmelding, fordi ordninger og policyer kan endres.
Hvor ISACA-sertifiseringer passer i norsk sikkerhetsarbeid
ISACA-sertifiseringer brukes ofte som en felles faglig referanse i miljøer som arbeider med IT-revisjon, informasjonssikkerhetsledelse, risikostyring og virksomhetsstyring av teknologi. De erstatter ikke erfaring, men de kan gjøre erfaringen lettere å dokumentere overfor arbeidsgivere, kunder, revisorer og styringsfora.
I norsk sammenheng blir dette særlig relevant når virksomheter skal svare på kravbilder fra NIS2, NSMs grunnprinsipper for IKT-sikkerhet, ISO/IEC 27001-programmer og internkontrollkrav. CISA støtter kontroll- og revisjonsperspektivet, CISM passer der sikkerhetsprogrammet skal styres som en forretningsfunksjon, CRISC retter seg mot risiko og kontrollutforming, mens CGEIT ligger nærmere styre- og ledelsesnivåets ansvar for verdiskaping, prioritering og tilsyn med IT.
En vanlig feil er å velge sertifisering ut fra hva som ser mest attraktivt ut i stillingsannonser. Norske arbeidsgivere vurderer ofte sertifisering sammen med konkrete prosjekteksempler: gjennomført internrevisjon, ledet risikoworkshop, etablert målbilde for sikkerhetsprogram, forbedret kontrollrapportering eller forankret teknologiportefølje i ledelsen. Sertifiseringen får mest verdi når den forklarer hva personen kan bidra med i slike leveranser.
CISA, CISM, CRISC og CGEIT sammenlignet
CISA passer best for fagfolk som vurderer om kontroller virker, om systemer er tilstrekkelig styrt, og om dokumentasjonen tåler revisjon. Den er særlig relevant for IT-revisorer, internrevisorer, konsulenter og sikkerhetsroller som arbeider tett med kontrolltesting, revisjonsplaner, funn, tiltak og ledelsesrapportering.
Et norsk eksempel kan være en internrevisjon av en skyløsning der virksomheten må dokumentere tilgangsstyring, logging, endringskontroll og leverandøroppfølging. En CISA-profil vil typisk bidra med revisjonsmetodikk, vurdering av kontrollbevis og en strukturert rapport som skiller mellom avvik, risiko og forbedringstiltak. Lesere som har revisjonsansvar og ønsker strukturert forberedelse, kan se nærmere på CRISC-sertifisering dersom rollen egentlig dreier seg mer om risiko og kontroll enn tradisjonell revisjon.
CISM passer bedre når hovedoppgaven er å bygge, styre eller forbedre et informasjonssikkerhetsprogram. Rollen handler ofte om policy, organisering, målinger, hendelsesberedskap, sikkerhetsstrategi og prioriteringer som må fungere sammen med virksomhetens mål. For en sikkerhetsleder i en kommune, bank, leverandørkjede eller helsevirksomhet kan CISM være mer relevant enn en ren teknisk sertifisering fordi fokuset ligger på styring, ansvar og programledelse.
CRISC er mest treffsikker når arbeidet dreier seg om å identifisere, analysere og håndtere IT-risiko gjennom praktiske kontroller. Den passer for risikostyrere, sikkerhetsarkitekter, kontrollansvarlige, prosjektledere og rådgivere som skal oversette risiko til tiltak virksomheten kan prioritere. I et NIS2-forberedende prosjekt kan en CRISC-profil for eksempel bidra til gapvurdering, risikoworkshops, kontrollkartlegging og en tiltaksliste som ledelsen kan bruke i budsjett- og prioriteringsarbeid.
CGEIT-sertifisering passer for mer erfarne fagfolk som arbeider med styring av enterprise IT, porteføljeprioritering, gevinstrealisering og ledelsesforankring. Den er relevant når spørsmålet ikke bare er om en kontroll fungerer, men om virksomheten styrer teknologi på en måte som støtter strategi, risikoappetitt og verdiskaping. For IT-ledere, rådgivere og styringsansvarlige kan CGEIT være særlig aktuell når sikkerhet, digitalisering og økonomi må behandles i samme styringsmodell.
Et praktisk valgrammeverk
Et enkelt rammeverk er å starte med arbeidsoppgavene som faktisk ligger foran kandidaten. Dersom de neste månedene handler om revisjon, kontrolltesting og assurance, peker valget ofte mot CISA. Dersom ansvaret er å etablere eller forbedre et sikkerhetsprogram, er CISM vanligvis mer relevant. Dersom rollen krever at risikoer kobles til kontroller og forretningsbeslutninger, passer CRISC bedre. Dersom hovedarenaen er portefølje, styringskomiteer, gevinstrealisering og virksomhetsledelse, er CGEIT normalt mer naturlig.
Modenhet spiller også inn. I en virksomhet som fortsatt bygger grunnleggende styring, kan CISM eller CRISC gi mest umiddelbar nytte fordi policy, risikoregister, kontrollbibliotek og eierskap må på plass. I en mer moden organisasjon med etablert ISMS etter ISO/IEC 27001 kan CISA bidra til bedre revisjon og kontrollbevis, mens CGEIT kan styrke koblingen mellom teknologiinvesteringer, risiko og strategiske mål.
En praktisk progresjon kan derfor være at revisorer starter med CISA og senere går mot CRISC når de får mer ansvar for risikodesign og kontrollforbedring. Sikkerhetsledere går ofte mot CISM først, og vurderer CGEIT senere dersom rollen beveger seg mot virksomhetsstyring, portefølje og ledergrupper. Dette er ikke en regel, men det gir en mer realistisk rekkefølge enn å samle sertifiseringer uten en tydelig jobbfunksjon bak.
Norsk bruk i prosjekter og leveranser
ISACA-sporene blir mest konkrete når de knyttes til faktiske leveranser. I en NIS2-gapvurdering kan CISM-perspektivet brukes til å vurdere styring, roller, rapportering og beredskap, mens CRISC-perspektivet hjelper teamet å prioritere risikoer og tiltak. CISA-perspektivet blir viktig når virksomheten skal dokumentere at kontrollene er testet, mens CGEIT-perspektivet hjelper ledelsen å se tiltakene i sammenheng med investeringer, avhengigheter og ansvar.
Et annet scenario er en virksomhet som skal forbedre etterlevelsen av NSMs grunnprinsipper. Her vil arbeidet sjelden være rent teknisk. Noen må oversette prinsippene til styrende dokumenter, kontrollmål, eierskap, modenhetsvurderinger og rapportering. En kombinasjon av CISM- og CRISC-kompetanse kan gjøre arbeidet mer gjennomførbart, mens CISA-kompetanse kan bidra til at virksomheten senere kan teste om tiltakene faktisk virker.
ISO/IEC 27001-programmer viser samme mønster. Standarden gir rammen for et styringssystem for informasjonssikkerhet, men rollene rundt den varierer. CISM støtter ledelse av programmet, CRISC støtter risikobehandling og kontrollvalg, CISA støtter revisjon og verifikasjon, og CGEIT støtter ledelsesforankring når sikkerhet skal prioriteres sammen med andre teknologiinvesteringer.
Eksamen, språk og vedlikehold
ISACA-eksamener gjennomføres normalt som computer-based testing, og kandidater bør kontrollere gjeldende alternativer for testsenter, fjernlevering, språk og tilgjengelighet direkte hos ISACA før de planlegger dato. Det er særlig viktig å ikke anta at en eksamen er tilgjengelig på norsk. Mange kandidater bør forberede seg på engelsk terminologi, også når de til daglig arbeider på norsk.
Forberedelsen bør gå dypere enn spørsmålsbanker. En vanlig svakhet er å pugge enkeltspørsmål uten å forstå sammenhengen mellom styring, risiko, kontroll og revisjonsbevis. Det kan fungere i korte økter, men faller ofte sammen når eksamensspørsmålene tester vurderingsevne og prioritering mellom flere plausible svar. Bedre forberedelse bygger domeneforståelse, begrepspresisjon og evnen til å tenke slik rollen er definert i ISACA-konteksten.
Sertifiseringene må også vedlikeholdes. ISACA har krav til Continuing Professional Education, etiske regler og rapportering, og detaljene bør alltid sjekkes hos ISACA. I praksis er det klokt å bygge CPE inn i årsplanen: fagfora, relevante kurs, interne presentasjoner, policyarbeid, revisjonsforberedelser og dokumentert kompetansedeling kan ofte inngå dersom de oppfyller gjeldende regler. Det viktigste er å føre logg jevnlig, ikke rekonstruere aktiviteten rett før fristen.
Readynez kan være et alternativ for kandidater som ønsker instruktørledet forberedelse i stedet for å lese alt alene, særlig der målet er å knytte eksamensdomener til praktiske scenarioer. For vedlikehold og bredere sikkerhetslæring kan Unlimited Security Training være relevant som én måte å planlegge jevn kompetanseutvikling gjennom året.
Hvordan arbeidsgivere bør lese sertifiseringene
For HR, ledere og ansettende fagpersoner er det nyttig å se ISACA-sertifiseringene som signaler om faglig retning, ikke som komplette stillingsbeskrivelser. En CISA-kandidat bør kunne forklare revisjonsplanlegging, kontrolltesting og funnhåndtering. En CISM-kandidat bør kunne diskutere sikkerhetsstyring, programprioritering og målinger. En CRISC-kandidat bør kunne vise hvordan risikoer blir til kontroller, beslutninger og oppfølging. En CGEIT-kandidat bør kunne beskrive hvordan teknologi styres på virksomhetsnivå.
Intervjusamtaler bør derfor be om prosjekteksempler. Det kan være en risikovurdering som endret prioriteringer, en revisjon som avdekket svakheter i tilgangsstyring, en hendelsesøvelse som forbedret beredskap, eller et styringsforum som gjorde teknologibeslutninger mer transparente. Slik blir sertifiseringen koblet til faktisk leveranseevne.
Vanlige spørsmål om ISACA-sertifiseringer
Hvilken ISACA-sertifisering bør man ta først?
Det kommer an på rollen. CISA passer ofte først for revisorer og kontrollroller, CISM for sikkerhetsledere, CRISC for risikofokuserte roller og CGEIT for erfarne ledere som arbeider med enterprise IT-styring.
Finnes ISACA-eksamenene på norsk?
Kandidater bør kontrollere språk direkte hos ISACA før de bestiller eksamen. Det tryggeste planleggingsutgangspunktet er å beherske engelsk fagterminologi, fordi mye av pensum, praksis og internasjonal dokumentasjon bruker engelske begreper.
Hvordan fungerer CPE for ISACA-sertifiseringer?
ISACA krever løpende faglig vedlikehold gjennom CPE og etterlevelse av etiske regler. Kandidater bør lese gjeldende ISACA-policy, planlegge CPE-aktiviteter gjennom året og dokumentere aktivitetene fortløpende.
Er sertifisering nok for å få en ny rolle?
Vanligvis ikke alene. Sertifisering styrker dokumentasjonen av kompetanse, men norske arbeidsgivere legger stor vekt på relevant erfaring, gode prosjekteksempler og evnen til å forklare risiko, styring og kontroll i virksomhetens kontekst.
Å velge en sertifisering som støtter arbeidet
Det mest robuste valget er å koble sertifiseringen til oppgaver, ikke ambisjon alene. CISA, CISM, CRISC og CGEIT peker mot forskjellige ansvarsområder, og forskjellen blir tydeligst når de settes inn i norske prosjekter som NIS2-forberedelser, NSM-tiltak, ISO/IEC 27001-programmer, skyrevisjoner og styringskomiteer.
En praktisk neste handling er å beskrive tre leveranser kandidaten skal bidra til det neste året, og deretter velge sertifiseringen som best støtter disse leveransene. Readynez tilbyr sertifiseringsforberedelse for ISACA-sporene, men verdien avhenger først og fremst av at læringen brukes i reelle beslutninger, kontroller og styringsprosesser.
