Orientering

Økonomiudvalget får en orientering om arbejdet med implementering af NIS2 loven.

NIS2-loven er den danske implementering af EU’s NIS2-direktiv om cybersikkerhed. Direktivet fastsætter fælles europæiske regler for at sikre et højt og ensartet niveau af cybersikkerhed i organisationer, der leverer samfundsvigtige og kritiske tjenester. NIS2 afløser det tidligere NIS-direktiv fra 2016 og indebærer en væsentlig skærpelse af kravene til både offentlige og private aktører. Loven trådte i kraft den 1. juli 2025.

Kommuner er som offentlige myndigheder omfattet af NIS2-loven og betragtes som væsentlige aktører i forhold til samfundets funktionsevne, borgernes sikkerhed og tilliden til den offentlige sektor. For at være omfattet skal det både handle om IT/ systemer og være samfundskritisk.

Baggrunden for NIS2 er et markant forværret og mere komplekst cybertrusselsbillede. Digitaliseringen af kommunernes opgaveløsning er vokset betydeligt, og centrale velfærdsopgaver som ældrepleje, socialområdet, skole, beredskab, forsyning og digitale borgerløsninger er i stigende grad afhængige af stabile og sikre it-systemer.

NIS2-loven indebærer en række forpligtelser, som har direkte betydning for kommunernes organisering, styring og prioritering af cybersikkerhed:

• Ledelsesansvar: Den øverste administrative ledelse får et tydeligt ansvar for, at kommunen lever op til kravene i NIS2. Cybersikkerhed skal dermed ses som et strategisk og ledelsesmæssigt anliggende – ikke alene et it-teknisk spørgsmål.
• Risikostyring og sikkerhedsforanstaltninger: Kommunerne skal arbejde systematisk med risikovurderinger og iværksætte passende tekniske og organisatoriske sikkerhedsforanstaltninger, der beskytter kommunens it-systemer og data.
• Hændelsesrapportering: Væsentlige cyberhændelser skal indberettes inden for fastsatte tidsfrister til de relevante nationale myndigheder. Det stiller krav til beredskab, procedurer og kompetencer.
• Tilsyn og efterlevelse: Myndighederne får styrkede muligheder for tilsyn med kommunernes efterlevelse af loven, herunder krav om dokumentation for sikkerhedsarbejdet.

For kommunerne betyder NIS2, at cybersikkerhed skal indtænkes mere systematisk i den samlede styring, herunder i it-strategier, indkøb, leverandørstyring, beredskabsplanlægning og kompetenceudvikling.

IT-Forsyningen, og øvrige §60 selskaber har et selvstændigt ansvar og har deres dermed egen NIS2 compliance, ligesom det er tilfældet for GDPR.

Status i Allerød Kommune

BDO har gennemført en gap-analyse, som viser kommunens modenhed i forhold til NIS2 foranstaltningerne. NIS2 foranstaltningerne er inddelt i SKAL, KAN og BØR. Modenheden vurderes som GRØN, GUL eller RØD afhængigt af graden af opfyldelse. RØD betyder, at kontrolaktiviteten opfyldes ikke og/eller dokumentation er ikke eksisterende, GUL betyder, at kontrolaktiviteten opfyldes delvist, der er en handlingsplan og/eller dokumentation er ikke fyldestgørende og GRØN betyder, at kontrolaktiviteten efterleves og dokumentation er fyldestgørende. Endelig betyder GRÅ, at kontrolaktiviteten ikke vurderes relevant.

På baggrund af den gennemførte gap-analyse er det BDO’s samlede vurdering, at Allerød Kommune på nuværende tidspunkt ikke fuldt ud er compliant med NIS 2-loven og den tilhørende vejledning. Allerød Kommune har dog allerede implementeret en række effektive foranstaltninger og har igangsat yderligere initiativer, som danner et solidt fundament for den videre efterlevelse af kravene. Figuren nedenfor viser en oversigt over dette.  

For at understøtte det videre arbejde med efterlevelse af NIS2 loven og håndtering af de identificerede gaps, er der ansat en NIS2 konsulent. Derudover er der etableret et Informationssikkerhedsudvalg (ISU), som understøtter kravet om øget ledelsesinvolvering jf. §7. Ressourcerne vurderes på nuværende tidspunkt at være tilstrækkelige.

NIS2 forudsætter en implementeringsfase, hvor politikker, procedurer og nødvendigt overblik etableres som grundlag for overgang til drift. Det indebærer, at ansvar for efterlevelse forankres bredt i organisationen.

ISU er i færd med at færdiggøre en risikostyringsprocedure (§6, 1.B), som understøtter en risikobaseret tilgang med fokus på de systemer og leverandører, der kan udgøre en risiko for samfundssikkerheden.

NIS2 kan ikke betragtes som et tidsbegrænset projekt, men kræver vedvarende organisatorisk forankring på tværs af kommunen. Der arbejdes i overensstemmelse med handleplaner og vil årligt ske en afrapporteres til Økonomiudvalget. Handleplanerne fokuserer i sagens natur på efterlevelse af forhold hvor kontrolaktiviteten ikke opfyldes ikke og/eller dokumentation ikke er eksisterende (røde).

Forvaltningen foreslår, at Økonomiudvalget tager orienteringen til efterretning.