2. I - Ny cyber- og informationssikkerhedspolitik for Høje-Taastrup Kommune - ØU

Indstilling

at Økonomiudvalget og Byrådet
1. godkender Høje-Taastrup Kommunes nye cyber- og informationssikkerhedspolitik
2. tager til efterretning, at Direktionen som kommunens ledelsesorgan efter NIS 2loven fremover har ansvaret for at godkende politikken

Sagsfremstilling

Høje-Taastrup Kommunes cyber- og informationssikkerhedspolitik beskriver kommunens overordnede grundlag for sikker anvendelse af digitale systemer og beskyttelse af oplysninger. Politikken er rammesættende for arbejdet med cyber- og informationssikkerhed i kommunen og fungerer som lederes og medarbejderes fælles rettesnor. Politikken har samtidig betydning for borgernes informationssikkerhed i deres kontakt med kommunen. Borgernes henvendelser og kommunens sagsbehandling indebærer ofte behandling af personoplysninger, herunder i mange tilfælde fortrolige eller følsomme oplysninger. Politikken skal derfor være med til at sikre, at borgernes oplysninger behandles og

beskyttes forsvarligt gennem hele kontakten med kommunen.
Høje-Taastrup Kommunes cyber- og informationssikkerhedspolitik hviler på fire målsætninger: (1) fortrolighed, (2) integritet, (3) tilgængelighed og (4) lovmedholdelighed. Det betyder, at oplysninger skal behandles fortroligt, at data og systemer skal være korrekte og pålidelige, at digitale tjenester skal være tilgængelige, når der er behov for dem, og at kommunen skal efterleve relevante lovkrav på området.
Politikken rummer derudover principper for arbejdet med cyber- og informationssikkerhed. Høje-Taastrup Kommune sidestiller informationssikkerhed med forretningssikkerhed, så arbejdet understøtter stabil drift og levering af vigtige kommunale tjenester. Kommunen prioriterer troværdighed over for borgere og samarbejdspartnere, velafprøvede og forsvarlige løsninger, relevant uddannelse og træning af medarbejdere og ledere samt troværdig og rettidig kommunikation, hvis borgere eller eksterne parter påvirkes af en sikkerhedshændelse. Cyber- og informationssikkerhed er vigtig, fordi kommunens opgaver i stigende grad understøttes af digitale løsninger. Hvis sikkerheden er utilstrækkelig, kan det forstyrre driften, få menneskelige konsekvenser og skade kommunens omdømme. Det kan f.eks. være, hvis oplysninger om borgere kommer i de forkerte hænder, eller hvis vigtige kommunale tjenester såsom hjemmepleje, undervisning eller behandling af ansøgninger om hjælp og støtte ikke kan leveres som følge af systemnedbrud, cyberangreb eller andre digitale hændelser.
Den nye politik tager udgangspunkt i det aktuelle trusselsbillede, hvor cyberangreb, digital kriminalitet og andre digitale trusler i stigende grad rammer offentlige myndigheder og kan påvirke kommunens oplysninger, it-understøttelse og levering af vigtige kommunale tjenester. Det gør cyber- og informationssikkerhed til en del af kommunens samlede beredskab.
Politikken er samtidig opdateret i lyset af NIS 2-loven, som stiller skærpede krav til arbejdet med cyber- og informationssikkerhed. Det betyder blandt andet, at kommunen skal arbejde systematisk og risikobaseret med sikkerhed, have klare rammer for at vurdere risici, håndtere hændelser, sikre fortsat drift og stille krav til leverandører samt sikre en tydelig ledelsesmæssig forankring. Som led i denne forankring har SAMSIK udpeget Direktionen som kommunens ledelsesorgan efter NIS 2-loven. Direktionen har dermed fremadrettet ansvaret for at godkende politikken og føre tilsyn med kommunens gennemførelse af sikkerhedsforanstaltningerne.
Databeskyttelsesforordningen stiller krav om, at kommunen som dataansvarlig arbejder med sikkerhed ud fra de risici, der er forbundet med behandlingen af personoplysninger. Det betyder blandt andet, at kommunen skal gennemføre passende tekniske og organisatoriske sikkerhedsforanstaltninger og kunne dokumentere arbejdet med sikkerhed, adgang, behandling af oplysninger og håndtering af brud på persondatasikkerheden.
Sammenhæng til beredskabsindsatsen Cyber- og informationssikkerhed indgår i kommunens samlede beredskab, hvor ITberedskabsplanen er en delplan under den fælles beredskabsplan. Indsatsen organiseres med tydelig ledelse og klare ansvarsområder, så kommunen hurtigt kan reagere og opretholde driften under en kritisk hændelse.

Som en del af beredskabet skal der også på cyber- og informationssikkerhedsområdet udarbejdes handlekort, som beskriver de mest nødvendige handlinger i tilfælde af en krisesituation. Desuden skal plan og handlekort afprøves årligt og suppleres efter behov med andre øvelser. Dermed bliver cyber- og informationssikkerhed en integreret del af kommunens samlede beredskabsindsats.