Politik for informationssikkerhed og risikostyring 2026/27

Indstilling

Forvaltningen foreslår, at Politik for informationssikkerhed og risikostyring 2026/27 godkendes.

Problemstilling

Kommunen er som offentlig myndighed forpligtet til at arbejde systematisk og dokumenteret
med informationssikkerhed og risikostyring.
Den nye politik:
Indarbejder kravene i NIS2-direktivet.
Understøtter kravene i databeskyttelsesforordningen og databeskyttelsesloven.
Beskriver de overordnede principper for kommunens arbejde med informationssikkerhed.
Danner grundlag for underliggende retningslinjer, procedurer og kontroller.
Der gennemføres løbende instruktion, undervisning og kommunikation internt i LyngbyTaarbæk Kommune om arbejdsgange, sikkerhedsrutiner og balancen mellem et nødvendigt
sikkerhedsniveau og hensynet til brugervenlighed. Dette sker med henblik på at sikre:
Overholdelse af gældende lovgivning.
Efterlevelse af it-revisionens anbefalinger.
Fastholdelse af god forvaltningsskik og almindelig praksis.
Kontinuerlig drift og understøttelse af kommunens kerneopgaver.
Arbejdet er forankret i området Teknologi og Sikkerhed i Center for Politik og Organisation.

Løsninger
Vedlagt som bilag findes udkast til politikken. Da der ikke alene er tale om en revision af den
tidligere Informationssikkerhedspolitik, er ændringer ift. den tidligere politik ikke markeret.
Politikken fastlægger de overordnede rammer, mens den konkrete efterlevelse sker gennem

underliggende styringsdokumenter, herunder procedurer, kontroller og beredskabsplaner.

Strategisk ramme
Arbejdet med informationssikkerhed og databeskyttelse sker inden for følgende retlige rammer:
Databeskyttelsesforordningen.
Databeskyttelsesloven.
NIS2-direktivet og den nationale implementering heraf.
eIDAS-forordningen, som danner grundlag for identitetssikring i EU.
EU AI Act (forordningen om kunstig intelligens), i det omfang kommunen anvender eller
anskaffer AI-løsninger.
EU Data Act for at sikre, at kommunen har styring over egne data i relation til
leverandører.
NSIS-rammeværket ligger i forlængelse af eIDAS-forordningen og fastlægger krav til
identitetssikringsniveauer ved brug af digitale løsninger.
Politikken understøtter kommunens samlede governance på informationssikkerhedsområdet
og bidrager til en risikobaseret og dokumenterbar tilgang.
NIS2-loven (lov om foranstaltninger til sikring af et højt cybersikkerhedsniveau) fastsætter i § 6
krav om, at omfattede enheder etablerer passende organisatoriske foranstaltninger til styring af
cybersikkerhedsrisici.
Det fremgår bl.a. af § 6, stk. 1, nr. 1, at foranstaltningerne som minimum skal omfatte
politikker for risikoanalyse og informationssikkerhed.
På den baggrund er Lyngby-Taarbæk Kommunes politik for risikostyring og
informationssikkerhed udarbejdet som et samlet styringsdokument, der fastlægger de
overordnede principper og rammer for kommunens arbejde med cybersikkerhed og
risikostyring.

Videre proces

Såfremt politikken godkendes, publiceres den på kommunens intranet.
Der udsendes en intern nyhed med orientering om den nye politik og opfordring til
gennemlæsning. Medarbejdere skal via kommunens kursusplatform logge ind og kvittere for, at
politikken er læst. Gennemlæsning er obligatorisk
Ligeledes følges den obligatoriske gennemlæsning af politikken op med yderligere
kommunikative tiltag, tilbud om webinarer og dialogrunder til centrene, så spørgsmål,
kommentarer og eventuelle ændringer i arbejdsgange mv. kan afklares med Teknologi og
Sikkerhed.

Økonomi

Sagen har ingen direkte bevillingsmæssige konsekvenser.
Arbejdet med informationssikkerhed udføres indenfor de økonomiske rammer af det af staten
tildelte og det af Økonomiudvalget og direktionen besluttede niveau for håndtering af
opgaverne.

Beslutningskompetence
Økonomiudvalget beslutter.

Beslutning

Godkendt.