Styrket informationssikkerhed, digital parathed og robusthed

Baggrund

På foranledning af Økonomiudvalgets tidligere behandling af KL Baseline og DPO Audit 2025
(se sagerne her, Økonomiudvalget den 20. maj 2026 punkt 3,4 og 5) fremlægger forvaltningen
en sag om, hvordan informationssikkerheds- og databeskyttelsesområdet fremadrettet kan
organiseres og bemandes, så kommunen kan løfte opgaven og dokumentere efterlevelse af
gældende lovkrav.
KL Baseline og DPO Audit 2025 har tydeliggjort, at kommunen har etableret styringsrammer,
men at opgaverne ikke omsættes til tilstrækkelig og ensartet praksis. Der er fortsat mangler i
implementering, dokumentation, risikostyring, opfølgning og organisatorisk forankring.
Opgaverne følger blandt andet af lovkrav i GDPR, NSIS, NIS2-lovgivningen og AI-forordningen
og kan ikke fravælges eller udskydes permanent. De vedrører både beskyttelsen af borgernes
og kommunens oplysninger, kommunens evne til at opretholde sine kerneydelser ved cyber-

og driftsmæssige hændelser og kommunens bidrag til den samlede nationale digitale
robusthed.
Styrelsen for Samfundssikkerhed understreger i trusselsvurderingen Cybertruslen mod
Danmark 2025 jf. sagens bilag, at cybertruslen i dag må betragtes som et grundvilkår for den
offentlige sektor. Det betyder, at kommunen løbende skal have et opdateret trusselsbillede, så
indsatsen kan prioriteres og målrettes dér, hvor risikoen er størst. Det aktuelle
sikkerhedspolitiske og digitale trusselsbillede viser samtidig, at cyber- og informationssikkerhed
ikke kan håndteres som en enkeltstående projektopgave, men skal indgå som en permanent
ledelses- og driftsopgave.

Vurdering

Den nuværende organisering består af 1,8 centrale årsværk og (decentrale) lokale
informationssikkerhedskoordinatorer, der varetager opgaven som tillægsfunktion ved siden af
deres øvrige arbejdsopgaver. Den lokale opgavevaretagelse er derfor afhængig af tilgængelig
tid, kompetencer, lokal prioritering og enkeltpersoners engagement. Opgaven er i meget
varierende omfang bemandet lokalt ligesom den nødvendige viden og det nødvendige
kompetenceniveau ikke er tilstede i nødvendigt omfang.
Forvaltningens vurdering er, at de lovbundne og sikkerhedskritiske opgaver ikke kan løses
tilstrækkeligt gennem den nuværende decentrale organisering. Opgaverne kræver
specialiserede og løbende opdaterede kompetencer inden for blandt andet databeskyttelse,
cyber- og informationssikkerhed, NIS2, risikostyring, leverandørsikkerhed og sikker anvendelse
af kunstig intelligens. Disse kompetencer kan ikke realistisk etableres og vedligeholdes
parallelt i alle organisatoriske områder. Der er derfor behov for en permanent central
specialistkapacitet, kombineret med et målrettet kompetenceløft af systemejere og
systemansvarlige decentralt.
Forvaltningen vurderer, at det er nødvendigt at samle specialistopgaverne i et permanent
centralt informationssikkerhedsteam under digitaliseringschefen. Den nødvendige kapacitet
udgør fem årsværk. Teamet skal samle de specialistkompetencer, der er nødvendige for at
understøtte kommunens efterlevelse af lovkrav inden for informationssikkerhed,
databeskyttelse, cyberberedskab og kunstig intelligens. Teamet skal drive fælles metoder og
processer, udføre specialistopgaver, understøtte kommunens cyberberedskab samt sikre en
systematisk opfølgning på efterlevelse, risici, hændelser og fremdrift.
Modellen skal særligt bidrage til:
ensartet implementering og dokumenteret efterlevelse af lovgivningskrav,
et samlet risikobillede og bedre ledelsesgrundlag,
stærkere sammenhæng mellem digitale afhængigheder, cyberberedskab og kommunens
kerneydelser,
mindre personafhængighed og et bæredygtigt specialistmiljø, og
sikker, lovlig og skalerbar udvikling og implementering af AI og ny teknologi.

De organisatoriske områder bevarer ejerskab og beslutningsansvar for egne data, systemer,
processer, leverandører og risici. Men de konkrete opgaver vedr informations- og
cybersikkerhede herunder fx løbende risikovurdering af data og systemer ift. både informations
og cybersikkerhed, udarbejdelse af databehandleraftaler, dialog med leverandører i relation
hertil etc. varetages af den centrale enhed. Som en integreret del af den nye model skal
kompetencerne hos systemejere og systemansvarlige samtidig styrkes, så de kan løfte de ejer, dokumentations- og gennemførelsesopgaver, der fortsat ligger lokalt ift. de konkrete
fagsystemer.
Hvis budgetønsket ikke finansieres gennem budgetforhandlingerne, vil direktionen tilvejebringe
finansieringen og efterfølgende orientere Økonomiudvalget herom. Såfremt, at finansieringen
skal findes indenfor det nuværende budget, vil det reducere områdernes økonomiske råderum,
hvilket vil få konsekvenser for løsningen af kommunens kerneydelser.
Økonomi og personale

Løn, 3,2 årsværk

Overhead ved nye årsværk

Certificering og implementering m.v.

Samlet budgetbehov

Driftsudgifter, serviceramme:

Årsværk

Eksisterende central kapacitet

Fremtidig kapacitet
Merbehov

Indstilling

Direktionen foreslår, at sagen forelægges til orientering, og at evt. afsættelse af midler til
styrket informationssikkerhed oversendes til budgetforhandlingerne.

Beslutning

Økonomiudvalget tiltræder direktionens forslag.