Årsplan for informationssikkerhed og databeskyttelse med afsæt i DPO-rapport 2025

Sagsfremstilling

I 2025 gennemførte databeskyttelsesrådgiveren (DPO) en modenhedsmåling af databeskyttelsen (GDPR, EU-persondataforordningen) i Glostrup Kommune. Målingen er et led i DPO’ens lovpligtige opgave med at kontrollere overholdelsen af GDPR-reglerne i kommunen. Rapporten konkluderer en stor fremgang ift. GDPR-modenhed, hvor udvalgte anbefalinger fra tidligere år er blevet implementeret. Rapporten viser ligeledes, at der fortsat er lovpligtige områder, som Glostrup Kommune bør gennemføre.

Målingen omfatter 37 modenhedskriterier – fordelt på fire hovedområder – som afspejler krav direkte efter GDPR eller forhold af betydning for GDPR. Målingen baseres på en skala fra 1-5, hvor niveau 1 er lavest og 5 er højest. Årsrapporten fremlægges til efterretning.

Modenhedsniveauet er samlet set fastholdt på 4,1 som sidste år.

Administrationen har udarbejdet en handleplan for at følge op på anbefalingerne i rapporten.

Handleplan

Med afsæt i DPO-rapportens anmærkninger, anbefaler DPO følgende indsatsområder, som Administrationen udmønter således:

• NIS2-direktiv – afklaring og implementering

• Governance og ledelsesansvar

• Risikostyring

• Uddannelse og awareness

• Forsyningskædesikkerhed

• Teknisk sikkerhed

• Fysisk sikkerhed

• Øge Procesmodenheden via Risikovurderinger af systemer.

• Igangsætte risikovurderingsarbejdet ifm. DPR’[1]s godkendelse af nye IT-systemer.

• Gennemførsel af risikovurderinger ud fra den DSD-udviklede model for risikovurderinger i fællesskab med de øvrige Kommuner.

• Gennemførsel af risikovurdering på KOMBIT systemer, efter udlevering af KOMBIT’s compliancepakker (forventeligt modtaget i september 2023)

• Tilretninger af øvrige kommuners risikovurderinger samt journalisering heraf.

• Opsætning af løbende opfølgning på risikovurderinger ud fra en risikobaseret tilgang.

• Øge Procesmodenheden gennem fortegnelser og risikovurderinger.

- Implementering af nye KL art. 30 fortegnelser og risikovurderinger.

• Afholdelse af møder med fagområderne for at gennemgå og tilpasse de eksisterende fortegnelser og risikovurderinger, der pt. ligger i Cerivo[2].

• Bibeholdelse af modenhedsniveau gennem fokus på bevaring af nylige indsatser.

• Forsat drifte eksisterende driftsopgaver afledt af tidligere projektgennemførsler.

• Afsætte tid til nytilkomne driftsopgaver afledt af projektindsatser fra tidligere årsplaner.

• Øge Awareness på ledelses- og medarbejderniveau

- Styrkelse af vidensniveauet omkring GDPR på for ledelse og medarbejdere.

• Udskiftning af leverandør af awareness-platform.

• Gennemførsel af SAMSIK’s spil i samarbejde med Forsvarets Efterretningstjeneste omkring risikostyring, IT-beredskabsplan og adfærdsaspekter der gennemføres i workshopformat for relevante målgrupper.

Gennemførsel af ovenstående fokusområder vil, efter GDPR-enhedens vurdering, øge compliance-niveauet i Glostrup Kommune, og vil danne forudsætningen for, at den positive udvikling kan fortsættes. Effekten af indsatserne vil fremgå i de kommende DPO-rapporter, og ligeledes i dialog med Datatilsynet, som ligeledes efterspørger indsatserne.

[1] Digitaliserings -og Porteføljeråd.

[2] Kommunens system til GDPR og Informationssikkerhed

Økonomi

Handleplanen gennemføres inden for det afsatte budget og organisationens ressourceramme.

Indstilling

Center for Organisation og Styring indstiller:

• at Databeskyttelsesrådgiverens årsrapport tages til orientering.

• at handlingsplanen for informationssikkerhed og databeskyttelse godkendes.

Beslutning

• Til orientering.

• Indstillingen anbefales godkendt.

Fraværende:
Torben Martinsen, Dan Kornbek Christiansen,
Selim Baran

Bilag

• DPO-rapport 2025 - Glostrup Kommune.PDF