Når EU’s NIS2-direktiv skal være fuldt implementeret i medlemslandene i oktober 2024, bliver det ikke bare en teknisk milepæl. Det bliver en organisatorisk og politisk øvelse – også for landets 98 kommuner. Direktivet udvider nemlig rækkevidden af EU’s cybersikkerhedsregler og sætter kommunale myndigheder og institutioner under nye krav til både risikostyring, beredskab og ledelsesansvar.
Det er slut med at betragte cybersikkerhed som en teknisk disciplin i IT-afdelingen. NIS2 placerer et betydeligt ansvar hos direktion og politisk ledelse – og det skaber nye dilemmaer i den kommunale virkelighed, hvor ressourcer, kompetencer og organisatorisk modenhed er under pres.
Et paradigmeskifte for informationssikkerhed i det kommunale Danmark
NIS2 (Network and Information Security Directive 2) er EU’s bud på en samlet tilgang til digital robusthed i lyset af et stigende trusselsbillede. Direktivet skærper kravene til en lang række sektorer – herunder offentlige myndigheder, energiforsyning, vandværker, affaldshåndtering, sundhedssektoren og digital infrastruktur.
Flere kommunale opgaver og selskaber falder nu under de såkaldte ”vigtige enheder”, hvilket betyder, at både skoler, plejehjem, vandværker og driftsorganisationer i stigende grad er omfattet af krav til cyberberedskab, hændelseshåndtering og rapportering til nationale myndigheder.
Fem centrale udfordringer for kommunerne
- Ressourceknaphed
Mange kommuner opererer med begrænsede IT- og sikkerhedsbudgetter. Med NIS2 skal de nu håndtere krav, der tidligere primært var forbeholdt nationale aktører og større private virksomheder. - Forankring i ledelsen
Direktivet kræver, at sikkerhed forankres på direktionsniveau, og at der er klare procedurer og ansvar for cybersikkerhed. Det betyder nye krav til governance, ledelsesinformation og strategisk styring. - Juridisk og kontraktuel kompleksitet
Kommunerne skal sikre, at deres leverandører og databehandlere også lever op til NIS2-krav. Det stiller nye krav til kontraktstyring, udbud og tilsyn. - Trusselslandskabet ændrer sig konstant
Kommuner er i stigende grad mål for cyberangreb, særligt ransomware. Angreb mod fx ældreområdet eller borgerrettede systemer kan hurtigt lamme centrale velfærdsydelser. - Behov for kompetenceudvikling og samarbejde
Mange kommuner har ikke de nødvendige specialister in-house. Der er behov for opkvalificering – og for at kommuner går sammen i fælles løsninger og samarbejder via fx KOMBIT, KL eller fælleskommunale datacentre.
Et politisk ansvar, der rækker videre end IT
NIS2 er en test på, hvorvidt kommunerne – og staten – formår at løfte cybersikkerhed op som en samfundsmæssig kerneopgave. Det handler ikke blot om at beskytte data, men om at sikre kontinuitet i velfærdsydelser og opretholde tilliden til det offentlige system.
Samtidig sætter direktivet staten under pres: Kommunerne skal understøttes gennem vejledning, tilsyn, investeringer og fælles infrastruktur, hvis implementeringen skal lykkes i praksis.
Kommunerne bør handle nu
Hvis ikke kommunerne allerede er i gang, bør de:
- gennemføre en gap-analyse af, hvor de står i forhold til NIS2,
- sikre politisk og ledelsesmæssig forankring,
- opdatere beredskabsplaner og hændelseshåndtering,
- sikre tilstrækkelig logning, dokumentation og leverandørkontrol,
- og ikke mindst investere i fælles løsninger og kompetencer.
Konklusion: Cybersikkerhed er blevet en demokratisk infrastruktur
Cybersikkerhed er ikke længere et spørgsmål for teknikere alene. Det er et spørgsmål om demokratisk robusthed og politisk prioritering. Med NIS2-direktivet er bolden spillet over på kommunernes banehalvdel – og det er nu, at ledelsen skal gribe ansvaret.
