Ny national strategi placerer kommunerne i frontlinjen for Danmarks samfundssikkerhed

Cyber- og informationssikkerhed er ikke længere et teknisk IT-anliggende, der kan håndteres i en kælder med servere og firewalls. Med den nye nationale strategi for cyber- og informationssikkerhed 2026–2029 er cyber blevet et kommunalt ledelses- og beredskabsansvar – med direkte betydning for borgernes hverdag.

Det er et markant skifte, som kommunerne ikke kan vælge fra.

Kommunerne er ikke længere en del af problemet – men en del af løsningen

Den nye strategi gør op med en gammel forestilling om, at cyber primært er et statsligt specialistområde. I stedet placeres kommunerne tydeligt som ejere af samfundskritiske funktioner og som frontlinjeaktører, når digitale kriser rammer.

Det handler ikke om abstrakte trusler, men om helt konkrete kommunale kerneopgaver:

• udbetaling af ydelser
• drift af ældrepleje og sundhed
• forsyning, affald og beredskab
• borgerkommunikation i krisesituationer

Når kommunale systemer rammes, rammes borgernes tillid – og i sidste ende kommunens evne til at fungere.

Fra IT-projekt til direktionens ansvar

Et af de vigtigste signaler i strategien er, at cyber ikke længere kan isoleres som et IT-ansvar. Cyberrobusthed bliver i praksis:

• et direktionsansvar
• et politisk ansvar
• et beredskabsansvar

Et alvorligt cyberangreb er ikke en teknisk hændelse, men en ledelseskrise, hvor beslutninger skal træffes hurtigt, kommunikationen skal fungere, og kernevelfærden skal opretholdes.

Det stiller nye krav til kommunal ledelse:
Cyber skal tænkes ind i risikostyring, beredskabsplaner og politiske prioriteringer – på linje med klimahændelser, forsyningssvigt og andre kriser.

NIS2 er minimum – ikke målstregen

Mange kommuner har allerede fokus på NIS2-direktivet og de juridiske krav, der følger med. Men den nye strategi går videre end compliance.

Hvor NIS2 handler om:

• krav
• tilsyn
• dokumentation

handler strategien om:

• funktionsevne under pres
• krisehåndtering på tværs
• samspil mellem stat, kommune og private aktører

Budskabet er klart:
Det er ikke nok, at systemerne lever op til reglerne. Kommunerne skal kunne holde samfundet kørende, også når noget går galt.

Staten koordinerer – men konsekvenserne er kommunale

Strategien lægger op til nationale cyberoperationscentre, fælles varsling og bedre koordinering. Men uanset hvor stærk den nationale kapacitet er, kan den ikke erstatte lokal robusthed.

Det er i kommunerne, at:

• borgerne møder problemerne
• velfærden skal fungere
• krisen skal forklares og håndteres

Derfor bliver samarbejdet mellem stat og kommuner afgørende. Staten kan sætte rammerne og koordinere – kommunerne står med ansvaret i praksis.

Cyber som en del af kommunalt beredskab

Med strategien bliver cyber tydeligt en del af den samlede beredskabstænkning. Ligesom oversvømmelser, storme og strømsvigt skal cyberangreb nu indtænkes i kommunale beredskabsplaner.

Det rejser nye spørgsmål for kommunalbestyrelser og direktioner:

• Er cyber en fast del af beredskabsøvelser?
• Er roller og ansvar klare, når IT-systemer svigter?
• Er den politiske ledelse forberedt på at træffe beslutninger under digitalt pres?

Det er spørgsmål, som strategien indirekte tvinger kommunerne til at forholde sig til.

Kommunalt.dk’s vurdering

Den nye cyber- og informationssikkerhedsstrategi markerer et tydeligt skifte:
Cyber er ikke længere noget, der kan håndteres i en silo. Det er blevet en forudsætning for, at den kommunale velfærd kan fungere.

Spørgsmålet er ikke, om kommunerne får et større ansvar. Det har de allerede fået.
Det afgørende spørgsmål er, om cyber bliver prioriteret som det, det nu er: kritisk kommunal infrastruktur.

For når cyberkriser rammer, rammer de lokalt.
Og derfor skal robustheden også bygges lokalt.