En ledelses- og beredskabstjekliste for kommuner
Denne tjekliste er ikke teknisk.
Den er lavet til borgmestre, kommunalbestyrelser, kommunaldirektører og direktioner.
Cyber er i dag en ledelseskrise – ikke en IT-fejl.
1. Politisk og ledelsesmæssigt ansvar
☐ Har kommunalbestyrelsen formelt drøftet cyber- og informationssikkerhed det seneste år?
☐ Er cyber tydeligt forankret i direktionen – ikke kun i IT-afdelingen?
☐ Er der udpeget en entydig ansvarlig leder for kommunens cyberberedskab?
☐ Indgår cyber som fast punkt i risikostyring og ledelsesrapportering?
Advarselssignal:
Hvis cyber kun omtales i tekniske termer, mangler det politiske ejerskab.
2. Sammenhæng mellem IT, beredskab og forretning
☐ Er cyber integreret i kommunens samlede beredskabsplan?
☐ Ved alle relevante chefer, hvad deres rolle er under et cyberangreb?
☐ Er der klare beslutningsgange, hvis kritiske systemer er utilgængelige?
☐ Er der sammenhæng mellem IT-beredskab og drift af kernevelfærd?
Spørg jer selv:
Hvad gør vi, hvis systemerne er nede i 24, 48 eller 72 timer?
3. Drift af kritiske funktioner under pres
☐ Har kommunen identificeret sine samfundskritiske funktioner?
☐ Findes der manuelle eller alternative procedurer for:
- udbetaling af ydelser
- pleje og sundhed
- forsyning og beredskab
- borgerkommunikation
☐ Er disse procedurer testet i praksis – ikke kun på papir?
4. Kriseledelse og kommunikation
☐ Er cyberangreb en del af kommunens kriseledelsesberedskab?
☐ Er rollerne klare mellem direktion, fagchefer og kommunikationsenhed?
☐ Har kommunen skabeloner og planer for borger- og pressekommunikation?
☐ Er der taget stilling til, hvornår staten og andre myndigheder inddrages?
Husk:
Manglende kommunikation er ofte mere skadelig end selve angrebet.
5. Øvelser og læring
☐ Har kommunen gennemført ledelsesøvelser med cyber-scenarier?
☐ Deltager direktionen og den politiske ledelse i øvelserne?
☐ Bliver erfaringer systematisk opsamlet og brugt til forbedringer?
☐ Er cyber tænkt ind i tværkommunale og regionale øvelser?
6. Leverandører og afhængigheder
☐ Har kommunen overblik over kritiske leverandører og systemer?
☐ Er der klare krav til leverandørers cyberberedskab?
☐ Er der plan for, hvad kommunen gør, hvis en leverandør rammes?
☐ Er kontrakter og samarbejdsaftaler opdateret i lyset af NIS2?
7. Samarbejde med staten og omverdenen
☐ Ved kommunen, hvem der kontaktes ved alvorlige cyberhændelser?
☐ Deltager kommunen aktivt i nationale og fælles initiativer?
☐ Er der klare snitflader til statslige myndigheder og sektorsamarbejder?
☐ Er kommunen klar til at indgå i fælles situationsforståelse?
8. Kultur og opmærksomhed
☐ Er cyber en del af lederuddannelse og onboarding?
☐ Arbejdes der systematisk med awareness – også uden for IT?
☐ Er der en kultur, hvor hændelser rapporteres tidligt?
☐ Forstår medarbejdere, at cyber er en del af kommunens beredskab?
Den korte bundlinje
Hvis kommunalbestyrelsen ikke kan svare klart på disse tre spørgsmål, er der et problem:
- Hvem leder kommunen under en cyberkrise?
- Hvordan opretholder vi kernevelfærd, hvis systemerne er nede?
- Hvordan kommunikerer vi klart og troværdigt til borgerne?
Cyberkriser rammer lokalt.
Derfor skal ledelsen også være lokal – og forberedt.
