NIS 2 i kommunerne

For at skære ind til benet er det følgende tre pointer, du skal være opmærksom på:

1) Du skal vide, hvad det vil sige at sikre et højt cybersikkerhedsniveau 

2) Du skal vide, at direktionen har ansvaret, og at direktionen skal styre indsatsen 

3) Du skal kunne identificere, vurdere og håndtere risici, eksempelvis sårbarheder i kommunens IT-systemer

Kommunerne skal således styrke arbejdet med cybersikkerhed. Det handler primært om at beskytte de IT-systemer og de data, kommunen bruger til at træffe afgørelser og levere service til borgerne med.

 De kommunale aktiviteter skal ikke stoppe på grund af et cyberangreb. Og skulle det værste ske, skal kommunerne hurtigt kunne komme i gang med sine aktiviteter igen, så borgerne ikke svigtes.

 Den kommunale direktions ansvar indebærer, at nye arbejdsopgaver kommer til i de kommende år. Det gælder navnlig disse:

 Direktionen skal fastlægge politikker for, hvad kommunens organisation skal gøre i forhold til at sikre et passende cybersikkerhedsniveau

1. Direktionen skal udpege nye roller og/eller styrke eksisterende, så de fastlagte politikker kan efterleves i dagligdagen
2. Direktionen skal sikre, at den øvrige organisation identificerer cyberrisici og præsenterer dem for direktionen, som herefter beslutter, om de kan accepteres eller skal adresseres
3. Direktionen skal sikre, at både tekniske og organisatoriske kapaciteter styrkes, herunder evnen til at reagere effektivt på hændelser gennem fastlagte politikker.
4. Direktionen skal sikre, at kritiske leverandører har og løbende opretholder et højt niveau af informationssikkerhed.
5. Direktionen skal vedtage, at arbejdet skal planlægges i et årshjul, og at der skal ske løbende opfølgning på, om politikkerne efterleves, så direktionen altid har et ajourført billede af de cyberrisici, som kommunen har valgt at leve med.

Kort fortalt: Kommunens cybersikkerhedsindsats løber med andre ord fra den kommunale direktions politikker ned gennem forvaltningen og – da kommunerne er så digitaliserede – i vidt omfang ud til leverandørerne via udbud og tilbage til direktionen i form af risikovurderinger. Direktionen skal løbende have at vide, om der er en passende grad af cybersikkerhed, der beskytter borgernes informationer og data.

De fleste kommuner har allerede godt styr på cybersikkerheden, hvis de eksempelvis arbejder systematisk og bredt med ISO 27001-standarden. I de kommende år må det dog forventes, at en del kommuner skal styrke den eksisterende indsats.

Vi hjælper jer gerne fra start til slut – vi er nemlig på SKI-aftalerne 02.14 (direkte) og 02.15 (EPICO som konsortieholder)

Du er nu klar til at fortsætte fra start: NIS2 – UNITAS