Godkendelse af politik og vision for databeskyttelse og informationssikkerhed

Indstilling

Administrationen indstiller, at Byrådet godkender
1. Databeskyttelses- og Informationssikkerhedspolitikken.
2. Databeskyttelses- og Informationssikkerhedsvisionen.

Sagsfremstilling

Baggrund og efterlevelse af eksterne krav
Administrationen har udarbejdet en Databeskyttelses- og Informationssikkerhedspolitik, som
fastlægger rammer og retning for arbejdet med databeskyttelse og informationssikkerhed i
Faxe Kommune. Politikken lever op til krav i ISO27001 (international standard for
informationssikkerhedsledelsessystemer), databeskyttelsesforordningen (GDPR) og NIS2 (EUdirektiv).
Administrationen har også formuleret en vision for arbejdet med databeskyttelse og
informationssikkerhed - "Vi ruster os til en sikker digital fremtid".
Kontekst for politikken og visionen
Visionen og politikken er udarbejdet i den kontekst, som Faxe Kommune indgår i, herunder
navnlig at:

Faxe Kommune er en offentlig myndighed og Databeskyttelses- og
Informationssikkerhedspolitikken skal understøtte kommunens generelle drift og
udvikling, herunder kommunens overordnede vision, strategi og politikker, herunder
særligt digitaliseringsstrategien.
Databeskyttelses- og Informationssikkerhedspolitikken skal understøtte de behov og
forventninger kommunens interessenter har til databeskyttelse og informationssikkerhed,
når kommunen behandler oplysninger om dem, eller som de er afhængige af.
Politikkens indhold
Databeskyttelses- og Informationssikkerhedspolitikken angiver de beslutninger, som ledelsen i
Faxe Kommune har truffet med henblik på nærmere at fastlægge det tilstrækkelige
sikkerhedsniveau samt definere de krav, der skal stilles, for at sikkerhedsniveauet
opretholdes.
Politikken indeholder syv målsætninger for informationssikkerhed, som understøtter
databeskyttelses- og informationssikkerhedsstrategien:
1. Vi ruster os mod den stigende trussel fra cyberangreb
2. Vi gør sikker adfærd nemt og har fokus på læring og hjælp til selvhjælp
3. Vi har formaliserede og kommunikerede arbejdsgange
4. Vi har professionel og datadrevet styring
5. Vi implementerer ekstra sikkerhed i kritisk infrastruktur
6. Vi er klar, når krisen rammer
7. Vi skaber en kultur, hvor data behandles sikkert og korrekt
For hver målsætning arbejder administrationen med strategiske indsatsområder og
udviklingsinitiativer og afrapporterer på såvel udvikling som nøgleparametre for drift til Data- og
Informationssikkerhedsudvalget.
Politikken understreger at arbejdet med databeskyttelse og informationssikkerhed i Faxe
Kommune er risikobaseret, hvilket vil sige, at implementering og vedligeholdelse af
databeskyttelses- og informationssikkerhedsforanstaltninger bygger på et afvejet helhedssyn,
dvs. en balance mellem beskyttelse og sikkerhed, brugervenlighed og ressourcer. Dertil
kommer, at indsatserne skal være proportionelle med det aktuelle trusselsbillede for Faxe
Kommune.
Politikken fastsætter, at Faxe Kommune har en lav risikovillighed på området for
databeskyttelse og informationssikkerhed. En lav risikovillighed afspejler, at kommunen som
offentlig myndighed har et særligt ansvar for at beskytte borgernes oplysninger, opretholde tillid
og sikre stabil drift af samfundskritiske services.
Håndtering af risici
Identificerede risici skal som udgangspunkt reduceres til et lavt niveau. Risikoejere – typisk den
relevante centerchef – kan i særlige tilfælde acceptere risici, der vurderes som middel. Høje

risici kan alene accepteres af Faxe Kommunes Databeskyttelses- og
informationssikkerhedsudvalg, hvilket afspejler at Faxe Kommune er en ansvarlig offentlig
myndighed, hvor der skal kunne træffes beslutninger, der bevæger kommunen sikkert ind i en
digital fremtid.

Lovgrundlag
Databeskyttelsesforordningen (GDPR) og NIS2-loven.

Økonomiske konsekvenser
Ingen bevillingsmæssige konsekvenser.

Sagen afgøres af
Sagen fremlægges for Økonomiudvalget til anbefaling.
Sagen afgøres af Byrådet.

Beslutning

Anbefalet.
Fraværende: Ingen.