Cyber- og informationssikkerhedspolitik 2026

Indstilling

Staben for Politik, Strategi og Digitalisering indstiller,
at Cyber- og Informationssikkerhedspolitikken for Rødovre Kommune godkendes.

Beslutning fra Økonomiudvalget, 17. juni 2026, pkt. 143:
Indstilles godkendt.

Sagsfremstilling

Rødovre Kommune løser opgaver, som borgerne er afhængige af hver dag – fx sociale og
sundhedydelser, skole- og dagtilbud til børn og unge, hjælp til sårbare borgere,
myndighedsudøvelse, udbetalinger, drift og beredskab. Disse opgaver er i dag tæt knyttet til
digitale systemer og data. Hvis systemer er nede, hvis data går tabt, eller hvis kommunen
bliver ramt af et cyberangreb, kan det få direkte konsekvenser for borgere og for kommunens
mulighed for at levere ydelser.
NIS2 er EU’s fælles regelsæt for cybersikkerhed, som er lavet for at styrke robusthed og
ensarte niveauet i hele EU – både hos virksomheder og offentlige myndigheder, som anses for
kritiske for samfundet. NIS2 er gennemført i dansk lov og medfører tydeligere krav til, at
kommunen arbejder systematisk og risikobaseret med cybersikkerhed og kan håndtere
alvorlige hændelser.

For kommunen betyder det i praksis, at vi skal kunne vise, at vi:
arbejder struktureret med at forebygge og reducere digitale risici,
har beredskab og planer for at holde driften kørende og genskabe drift hurtigt,
stiller krav til leverandører, fordi en stor del af kommunens it og systemer leveres af
eksterne parter,

Cyber- og informationssikkerhedspolitikken (se bilag) fastlægger de politiske rammer for dette
arbejde og beskriver således:
kommunens mål og principper for at beskytte borgernes oplysninger og sikre stabil drift,
at indsatsen styres efter risiko (vi bruger mest kræfter der, hvor konsekvensen er størst),
at der er en klar organisering og opfølgning i kommunen, så arbejdet ikke bliver “en
engangsøvelse”, men noget der følges løbende.
Politikken er bevidst skrevet som en rammepolitik, der skal kunne holde i en
kommunalbestyrelsesperiode. Den konkrete udmøntning – fx præcise krav, processer,
kontroller, rapporteringsformater og årshjul – fastlægges administrativt i operationelle politikker,
retningslinjer og procedurer. På den måde kan kommunen løbende tilpasse sig ændringer i
risikobilledet og i den teknologiske udvikling uden at skulle have en ny politisk behandling hver
gang.
Udmøntningen sker primært i den eksisterende linjeledelse med en koordinerende enhed, som
sikrer, at kommunen arbejder samlet på tværs med cyber- og informationssikkerhed og sikre at
status og risici bliver samlet op, og at direktionen får et tydeligt grundlag for at prioritere og
følge op. Det understøtter de krav, NIS2 stiller til ledelsesforankring og løbende opfølgning.

Lov- og plangrundlag
Rødovre Kommune er omfattet af lov nr. 434 af 06/05/2025 – Lov om foranstaltninger til
sikring af et højt cybersikkerhedsniveau. Loven kaldes i daglig tale blot NIS2-loven, der er
en udmønting af NIS2-direktivet.
De af KL anbefalede tekniske minimumskrav samt ISO 27001 og ISO 27002 anvendes
som reference og grundlag for kommunens sikkerhedsindsats (principper).
Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016,
Databeskyttelsesforordningen/GDPR.
Databeskyttelsesloven, lov nr. 502 af 23/05/2018 om supplerende bestemmelser til
ovennævnte forordning.

Økonomiske konsekvenser
Udgifter til databeskyttelsesrådgiver, GDPR-rådgivning, informationssikkerhedsfunktion og det
løbende arbejde med cyber- og informationssikkerhed forudsættes afholdt inden for
eksisterende budget.

Generelle sikkerhedstiltag samt projektnære sikkerhedstiltag vil løbende blive afklaret og
prioriteret som led i risikostyring, drift og konkrete projekter. Eventuelle merudgifter vil i givet
fald blive forelagt i forbindelse med konkrete sager og prioriteringer.

Tidsplan
Cyber- og informationssikkerhedspolitikken er gældende fra beslutningstidspunktet og som
udgangspunkt fire år frem (kommunalbestyrelsesperiode). En opdatering kan ske tidligere, hvis
væsentlige ændringer i lovgivning, trusselsbillede, kommunens opgaver eller it-landskab gør
det nødvendigt.

Beslutning

Godkendt.