GRC 9.0: varför den sista generationen heter Embedded GRC – en prognos

Där Rasmussens modell slutar

Michael Rasmussen beskriver GRC-marknaden i generationer. GRC 7.0, ”GRC Orchestrate”, är för honom nuläget fram till omkring 2030: ett samspel mellan beslutsunderlag (Intelligence), agenter med tydligt reglerade befogenheter (Action) och förmågor som verksamhetsområdena själva bygger upp (Configuration). För tiden från omkring 2030 skissar han GRC 8.0, ”Quantum GRC”: digitala tvillingar av organisationen, med vilka organisationer spelar igenom möjliga framtider innan de beslutar – han kallar det ett ”Risk Holodeck”. GRC 20/20 Modellen i detalj har vi gått igenom i GRC 7.0: vad Michael Rasmussens GRC Orchestrate innebär för organisationer.

Därefter slutar modellen. Någon generation 9.0 beskriver Rasmussen inte, och såvitt vi vet har ingen annan heller definierat den.

Det här inlägget fyller luckan med en egen bedömning. Det är viktigt att säga från början: det som följer är ingen analytikermodell och ingen sammanfattning av andras forskning, utan vår motiverade prognos – härledd ur utvecklingar som redan i dag går att belägga. I slutet nämner vi de invändningar som talar emot.

En fråga ordnar alla generationer

Läser man generationerna 1.0 till 8.0 i följd besvarar de i grunden samma fråga: var äger styrningen rum?

Följer man den linjen finns det exakt en plats som ännu saknas: systemet självt. Inte ett GRC-verktyg vid sidan av verksamheten, utan styrning som en egenskap hos de system som driver verksamheten.

Vår tes: GRC 9.0 är Embedded GRC

Vi räknar med att nästa generation börjar från omkring 2035 och har tre kännetecken.

Efterlevnad blir en egenskap hos system

I dag belägger team i efterhand att systemen uppfyller kraven: de samlar in skärmdumpar, exporterar rapporter, fyller i revisionsmallar. I nästa generation föds applikationer med maskinläsbara kontrollåtaganden, och beviset uppstår i driften som en biprodukt. Byggstenarna finns redan: OSCAL beskriver krav, kontroller och bedömningar maskinläsbart (se Vad är OSCAL?), FedRAMP tar redan emot paket i det formatet (se FedRAMP blir maskinläsbart), SBOM:er och CBOM:er beskriver mjukvaru- och kryptokomponenter. En revision prövar då det system som skapar bevisen och dess konfiguration – inte längre tusen enskilda underlag.

Förtroende utbyts maskinellt mellan organisationer

Leverantörsbedömning betyder i dag: skicka ut frågeformulär, arkivera svar, upprepa årligen. NIS2 och DORA ålägger redan leveranskedjor skyldigheter, med riskhantering och avtalsenliga åtaganden, och Cyber Resilience Act inför från slutet av 2027 maskinläsbara SBOM:er som tillverkardokumentation. Nästa steg går att förutse: en leverantör belägger en kontroll en gång, kryptografiskt signerad, och alla mottagare övertar beviset maskinellt. Frågeformuläret dör inte av ett förbud, utan av sin egen överflödighet.

Den knappa resursen är ansvar

Rasmussens egen kärntes om GRC 7.0 lyder: AI gör mjukvarufunktioner billiga; värdefullt blir tillförlitlig information, kontext och ansvar. Tänkt till sitt slut betyder det: när agenter bedömer, simulerar och utför återstår som mänsklig kärna exakt en uppgift – att besluta vem som ansvarar för vad och vilken risk en organisation medvetet bär. Nästa generations System of Record är därför inte längre ett dokumentarkiv, utan ett register över beslut och befogenheter.

Varför från 2035

Ett årtal i en prognos är angripbart, därför motiverar vi det dubbelt.

För det första modellens egen takt: GRC 7.0 löper enligt Rasmussen från 2025 till 2030, GRC 8.0 börjar omkring 2030. De senare generationerna varar ungefär fem år, nästa skulle alltså börja omkring 2035.

För det andra pekar regleringen oberoende av detta mot samma år. Till 2035 ska den EU-omfattande övergången till postkvantkryptografi i allt väsentligt vara avslutad, och NIST-utkastet IR 8547 fasar ut RSA och ECC efter 2035 (tidsfristerna i detalj: Postkvantkryptografi: tidsfristerna 2026, 2030 och 2035 och vad som är bindande). På vägen dit uppstår kryptoinventeringar, CBOM:er och maskinläsbara bevis på bred front – som en enträgen rekommendation i EU:s färdplan och den tyska riktlinjen, för NIS2-entiteter också rättsligt underbyggd via den aktuella tekniska nivån. Just den infrastruktur som Embedded GRC förutsätter håller alltså på att uppstå – inte ur en vision, utan driven av reglering.

Mer exakta än ”från omkring 2035” vill vi inte vara. Att förse en prognos över åtta år med ett årtal på året när vore skenprecision.

Två invändningar som vi tar på allvar

Holodeck-invändningen. GRC 8.0 förutsätter en datakvalitet som många organisationer i dag inte ens når för sin kryptoinventering – den som EU:s färdplan förutser till slutet av 2026 och som på många håll först nu håller på att byggas upp. Vi räknar därför med att simulering först bär i snäva, väl modellerbara utsnitt, till exempel leveranskedje- eller avbrottsscenarier, och inte som en tvilling av hela organisationen. Den som fördelar budget i dag bör hellre lägga den på datakvalitet än på simuleringsverktyg.

Mottesen: fragmentering i stället för sammansmältning. Det kan också gå åt andra hållet. Regleringen växer för närvarande snabbare än harmoniseringen av den: AI-förordningen, DORA, NIS2, Cyber Resilience Act och nationella särvägar ställer var sina egna krav med egna rapporteringsvägar. I stället för en konvergerande disciplin skulle silor per rättsområde kunna uppstå igen – den här gången med var sina egna agenter. Det vore GRC 1.0 på en högre nivå. Vilken av de två riktningarna som vinner avgörs av om de maskinläsbara formaten blir rättsområdesövergripande eller egna per reglering.

Vad som bär redan i dag

Det praktiska med den här prognosen: förberedelsen är densamma, oavsett om den slår in. Den som redan i dag håller krav, åtgärder och bevis strukturerade och maskinläsbara står rätt rustad för båda riktningarna – för Embedded GRC i vilket fall som helst, och i en fragmenterad värld är ett strukturerat bestånd den enda realistiska chansen att hantera flera rättsområden utan dubbelarbete. Detsamma gäller avgränsningen av befogenheter: den som i dag dokumenterar vad en agent får föreslå och vad en människa måste besluta bygger det beslutsregister som senare utgör kärnan.

Därför försvinner inte arbetet med kategorin GRC. Det som förskjuts är vad människor gör: mindre insamling av underlag, fler beslut att fatta och ansvara för.

Slutsats

Vår prognos i en mening: GRC 9.0 börjar omkring 2035, heter i sak Embedded GRC – styrning som en egenskap hos systemen, federerat förtroende mellan organisationer, ansvar som den sista mänskliga instansen – och är den sista generationen, eftersom styrning därefter inte längre är en egen kategori. Säkert i detta är ingenting utom infrastrukturens riktning: maskinläsbara krav, inventeringar och bevis vinner mark, drivna av reglering. Om det slutar i sammansmältning eller fragmentering är öppet. Förberedelsen är densamma i båda fallen.

Källor

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, oktober 2026)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14 oktober 2026)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream inom NIS-samarbetsgruppen, juni 2025)
• NIST IR 8547: Transition to Post-Quantum Cryptography Standards (Initial Public Draft, 2024-11-12)