GRC 9.0: hvorfor den sidste generation hedder Embedded GRC – en prognose

Hvor Rasmussens model slutter

Michael Rasmussen beskriver GRC-markedet i generationer. GRC 7.0, “GRC Orchestrate”, er for ham nutiden frem til omkring 2030: et samspil mellem beslutningskontekst (Intelligence), agenter med klart regulerede beføjelser (Action) og kapabiliteter, som fagområderne selv opbygger (Configuration). For tiden fra omkring 2030 skitserer han GRC 8.0, “Quantum GRC”: digitale tvillinger af virksomheden, som organisationer bruger til at spille mulige fremtider igennem, før de beslutter sig – han kalder det et “Risk Holodeck”. GRC 20/20 Modellen i detaljer har vi gennemgået i GRC 7.0: hvad Michael Rasmussens GRC Orchestrate betyder for virksomheder.

Derefter slutter modellen. En generation 9.0 beskriver Rasmussen ikke, og så vidt vi ved, har heller ingen andre defineret den.

Dette indlæg udfylder hullet med en egen vurdering. Det er vigtigt at sige på forhånd: Det følgende er ikke en analytikermodel og ikke et resumé af andres forskning, men vores begrundede prognose – udledt af udviklinger, der allerede kan dokumenteres i dag. Til sidst nævner vi de indvendinger, der taler imod.

Ét spørgsmål ordner alle generationerne

Læser man generationerne 1.0 til 8.0 i forlængelse af hinanden, besvarer de i kernen det samme spørgsmål: Hvor finder governance sted?

Følger man denne linje, er der præcis ét sted, der stadig mangler: systemet selv. Ikke et GRC-værktøj ved siden af forretningen, men governance som en egenskab ved de systemer, der driver forretningen.

Vores tese: GRC 9.0 er Embedded GRC

Vi forventer, at den næste generation begynder fra omkring 2035 og har tre kendetegn.

Compliance bliver en egenskab ved systemer

I dag dokumenterer teams efterfølgende, at systemerne opfylder kravene: De indsamler screenshots, eksporterer rapporter, udfylder revisionsskabeloner. I den næste generation kommer applikationer til verden med maskinlæsbare kontroltilsagn, og dokumentationen opstår i driften som et biprodukt. Byggestenene findes allerede: OSCAL beskriver krav, kontroller og vurderinger maskinlæsbart (se Hvad er OSCAL?), FedRAMP tager allerede imod pakker i dette format (se FedRAMP bliver maskinlæsbart), SBOM'er og CBOM'er beskriver software- og kryptokomponenter. En audit efterprøver så det system, der frembringer dokumentationen, og dets konfiguration – ikke længere tusind enkeltstående beviser.

Tillid udveksles maskinelt mellem organisationer

Leverandørvurdering betyder i dag: sende spørgeskemaer ud, arkivere svar, gentage årligt. NIS2 og DORA forpligter allerede forsyningskæder, med risikostyring og kontraktlige tilsagn, og Cyber Resilience Act bringer fra udgangen af 2027 maskinlæsbare SBOM'er som producentdokumentation. Det næste skridt er forudsigeligt: En leverandør dokumenterer en kontrol én gang, kryptografisk signeret, og alle aftagere overtager beviset maskinelt. Spørgeskemaet dør ikke af et forbud, men af sin egen overflødighed.

Den knappe ressource er ansvar

Rasmussens egen kernetese om GRC 7.0 lyder: AI gør softwarefunktioner billige; værdifulde bliver pålidelige oplysninger, kontekst og ansvar. Tænkt til ende betyder det: Når agenter vurderer, simulerer og udfører, er der som menneskelig kerne præcis én opgave tilbage – at beslutte, hvem der hæfter for hvad, og hvilken risiko en organisation bevidst bærer. Den næste generations System of Record er derfor ikke længere et dokumentarkiv, men et register over beslutninger og beføjelser.

Hvorfor fra 2035

Et årstal i en prognose er angribeligt, derfor begrunder vi det dobbelt.

For det første modellens egen takt: GRC 7.0 løber ifølge Rasmussen fra 2025 til 2030, GRC 8.0 begynder omkring 2030. De seneste generationer varer omkring fem år, så den næste ville begynde omkring 2035.

For det andet peger reguleringen uafhængigt heraf på det samme år. Inden 2035 skal den EU-dækkende overgang til post-kvante-kryptografi i det væsentlige være afsluttet, og NIST-udkastet IR 8547 udfaser RSA og ECC efter 2035 (fristerne i detaljer: Post-kvante-kryptografi: fristerne 2026, 2030 og 2035, og hvad der er bindende). På vejen derhen opstår kryptoinventarer, CBOM'er og maskinlæsbar dokumentation over hele linjen – som en indtrængende anbefaling fra EU-køreplanen og den tyske retningslinje, for NIS2-enheder også retligt underbygget via det aktuelle tekniske niveau. Netop den infrastruktur, som Embedded GRC forudsætter, er altså ved at opstå – ikke ud af en vision, men drevet af regulering.

Mere præcise end “fra omkring 2035” vil vi ikke være. At forsyne en prognose over otte år med et årstal på året præcist ville være skinpræcision.

To indvendinger, vi tager alvorligt

Holodeck-indvendingen. GRC 8.0 forudsætter en datakvalitet, som mange organisationer i dag ikke engang når for deres kryptoinventar – det, som EU-køreplanen lægger op til inden udgangen af 2026, og som mange steder først er ved at opstå. Vi forventer derfor, at simulering først bærer i snævre, let modellerbare udsnit, for eksempel forsyningskæde- eller nedbrudsscenarier, og ikke som en tvilling af den samlede virksomhed. Den, der fordeler budget i dag, bør snarere lægge det i datakvalitet end i simuleringsværktøjer.

Modtesen: fragmentering i stedet for sammensmeltning. Det kan også gå anderledes. Reguleringen vokser i øjeblikket hurtigere end dens harmonisering: AI-forordningen, DORA, NIS2, Cyber Resilience Act og nationale særveje stiller hver deres egne krav med egne indberetningsveje. I stedet for en konvergerende disciplin kunne der igen opstå siloer pr. retsområde – denne gang med hver deres egne agenter. Det ville være GRC 1.0 på et højere niveau. Hvilken af de to retninger der vinder, afgøres af, om de maskinlæsbare formater bliver fælles på tværs af retsområder eller egne pr. regulering.

Hvad der allerede bærer i dag

Det praktiske ved denne prognose: Forberedelsen er den samme, uanset om den slår til. Den, der i dag holder krav, foranstaltninger og dokumentation struktureret og maskinlæsbart, står rigtigt for begge retninger – for Embedded GRC under alle omstændigheder, og i en fragmenteret verden er en struktureret bestand den eneste realistiske chance for at betjene flere retsområder uden dobbeltarbejde. Det samme gælder afgrænsningen af beføjelser: Den, der i dag fastholder, hvad en agent må foreslå, og hvad et menneske skal beslutte, bygger det beslutningsregister, der senere udgør kernen.

Derfor forsvinder arbejdet ikke med kategorien GRC. Det forskyder sig, hvad mennesker laver: mindre indsamling af beviser, flere beslutninger, der skal træffes og stås til ansvar for.

Konklusion

Vores prognose i én sætning: GRC 9.0 begynder omkring 2035, hedder i realiteten Embedded GRC – governance som en egenskab ved systemerne, føderet tillid mellem organisationer, ansvar som den sidste menneskelige instans – og er den sidste generation, fordi governance derefter ikke længere er en selvstændig kategori. Sikkert er der ikke andet end infrastrukturens retning: Maskinlæsbare krav, inventarer og dokumentation vinder frem, drevet af regulering. Om det ender i sammensmeltning eller fragmentering, er åbent. Forberedelsen er den samme i begge tilfælde.

Kilder

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, oktober 2026)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14. oktober 2026)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream under NIS-samarbejdsgruppen, juni 2025)
• NIST IR 8547: Transition to Post-Quantum Cryptography Standards (Initial Public Draft, 12.11.2024)