Principper for informationssikkerhed for Viborg Kommune

Indstilling

Kommunaldirektøren indstiller til Økonomi- og Erhvervsudvalget,
1. at forslaget til principper for informationssikkerhed for Viborg Kommune godkendes.

Sagsfremstilling

Historik
Intet.
Inddragelse og høring
Intet.

Beskrivelse
Fokus på I-sikkerhedsområdet er steget kraftigt gennem de seneste år. Ikke bare stiger mængden og karakteren af de trusler, kommunen står over for, de samme gør kravene fra EU og de danske myndigheder.
Det er senest understreget af KLs seneste undersøgelse af arbejdet med cybersikkerhed i kommunerne, der netop er udgivet.
Det har tydeliggjort behovet for at nytænke kommunens principper for informationssikkerhed.
Formålet med at have principper for informationssikkerhed er at beskytte kommunens data mod tab, misbrug og uautoriseret adgang skabe tillid hos borgere og samarbejdspartnere understøtte stabil og sikker myndighedsdrift sikre overholdelse af lovgivning (f.eks. GDPR, NIS2 og NSIS) fastlægge roller og ansvar og etablere en fælles ramme for informationssikkerhedsarbejdet.
Informationssikkerhed er ikke kun it og teknik. Det omfatter også mennesker (adfærd, uddannelse, roller), processer (styring, kontroller, opfølgning), ledelse og ansvar og fysiske forhold (bygninger, adgang, opbevaring).
Viborg Kommunes nuværende informationssikkerhedspolitik er opbygget i flere dokumenter og afspejler i begrænset grad den udvikling, der er sket inden for risikostyring, NIS2 og moderne krav til informationssikkerhed. Der er derfor behov for at tilpasse niveauet, så det understøtter den nuværende praksis og skaber en tydelig strategisk ramme.
Forslaget til nye principper for informationssikkerhed samler principperne i ét kort og ledelsesorienteret dokument tydeliggør den risikobaserede tilgang til informationssikkerhed (indsatser prioriteres efter risici) styrker ledelsesforankringen og beslutningsgrundlaget.
Principperne for informationssikkerhed er baseret på ISO 27000 og strukturerer sikkerhedsarbejdet ud fra fire overordnede risikokategorier:
Strategiske risici Finansielle risici

Operationelle risici Juridiske risici.
Dette giver et mere klart og ledelsesrelevant grundlag for prioritering og styring af kommunens samlede informationssikkerhed.
Det betyder også, at der er mulighed for at anlægge et bredt perspektiv på begrebet risiko og ikke alene inddrage hensyn til dokumentation og formel overholdelse af regler.
Principperne for informationssikkerhed kan ikke stå alene. Den skal udmøntes i mere konkrete bestemmelser i en ny sikkerhedshåndbog, der skal udarbejdes som opfølgning på vedtagelsen af selve principperne for informationssikkerhed. Det skal bemærkes, at kommunen allerede har en række eksisterende bestemmelser og retningslinjer, der kan bearbejdes og indgå i håndbogen.
Denne struktur gør informationssikkerhedsarbejdet mere overskuelig, styringsvenlig og relevant for ledelsen.
Samtidig sikres bedre sammenhæng mellem strategi, krav og praksis samt et styrket grundlag for efterlevelse af NIS2 og øvrige myndighedskrav.
Direktionen har behandlet forslaget til principper for informationssikkerhed for Viborg Kommune den 24. september 2026.
Byrådet vil på temamødet forud for byrådsmødet den 7. oktober 2026 få en orientering om status på i-sikkerhed, cybersikkerhed og etablering af fælles it-driftsenhed i Midtjylland. Her inddrages endvidere KLs seneste undersøgelse af arbejdet med cybersikkerhed kommunerne, der netop er udgivet.
It-og digitaliseringschef Anders Kollin er indbudt til at deltage i dette temamøde.
Alternativer
Intet.
Tidsperspektiv
Intet.
Økonomiske forhold og konsekvenser
Intet.

Juridiske og planmæssige forhold
Intet.

Beslutning

Indstillingen fra kommunaldirektøren godkendes. Fraværende: Marie-Louise Høgh