Kommunerne skal ikke gennemføre baggrundstjek af alle ansatte. Men de skal kunne dokumentere, at de har vurderet risikoen ved de mennesker, der får adgang til kritiske systemer, følsomme oplysninger og kommunens digitale infrastruktur.
Cybersikkerhed bliver ofte gjort til et spørgsmål om teknologi.
- Firewall.
- Backup.
- Multifaktorlogin.
- Overvågning.
Men kommunernes ansvar efter NIS2 stopper ikke ved serverrummet.
Det omfatter også menneskene.
Den danske NIS2-lov stiller direkte krav om personalesikkerhed. Det betyder, at kommunerne skal forholde sig systematisk til, hvem der får adgang til kommunens systemer, data og kritiske funktioner – og hvilken risiko den adgang indebærer.
Det er ikke længere tilstrækkeligt at sige:
“Vi regner med, at HR har styr på det.”
Personalesikkerhed er blevet en del af kommunens samlede cyberforsvar.
Hele kommunen er som udgangspunkt omfattet
Kommunerne blev omfattet af NIS2-lovgivningen den 1. juli 2025.
Selvom det kun er dele af kommunens opgaver, der ligger inden for de sektorer, som er oplistet i NIS2-loven, er udgangspunktet, at alle de net- og informationssystemer, kommunen bruger til sin opgavevaretagelse, er omfattet.
Det betyder ikke, at sikkerhedsniveauet skal være ens overalt.
Det betyder, at kommunen skal kende forskellen på risikoen ved forskellige systemer, medarbejdere og adgangsrettigheder.
En pædagog, der anvender et almindeligt vagtplansystem, har ikke nødvendigvis samme risikoprofil som en it-administrator med adgang til kommunens servere.
En medarbejder med begrænset adgang til et enkelt fagsystem udgør ikke nødvendigvis den samme risiko som en ekstern konsulent med fjernadgang til centrale dele af kommunens infrastruktur.
NIS2 kræver netop en risikobaseret tilgang.
Baggrundstjek er ikke et generelt krav til alle
Det er vigtigt at være præcis.
NIS2 siger ikke, at samtlige kommunale medarbejdere skal have kontrolleret deres baggrund.
Styrelsen for Samfundssikkerheds vejledning siger derimod, at kommunen kan gennemføre baggrundskontrol af nyansatte og, hvor det er relevant, af konsulenter og direkte leverandører, når kontrollen er påkrævet ud fra en vurdering af personens:
- rolle
- ansvar
- beføjelser
- adgang til net- og informationssystemer.
Et baggrundstjek kan blandt andet bestå i at kontrollere identitet, uddannelsespapirer, jobreferencer, certificeringer eller andre oplysninger, som er relevante for den konkrete funktion.
Det afgørende er derfor ikke, om kommunen kontrollerer alle.
Det afgørende er, om kommunen kan dokumentere, hvem den har besluttet at kontrollere, hvem den ikke kontrollerer – og hvorfor.
Kommunaldirektøren kan ikke parkere ansvaret i it-afdelingen
NIS2 gør ledelsesansvaret tydeligt.
Kommunens foranstaltninger skal godkendes af ledelsen, og ledelsen skal føre tilsyn med, at de bliver gennemført. KL understreger tilsvarende, at ansvaret for kommunens efterlevelse og sikkerhedsniveau ligger hos kommunen selv, og at direktionen har en central rolle i forankringen.
Det gør spørgsmålet relevant for kommunaldirektøren og den samlede direktion:
- Har vi defineret de funktioner, der giver adgang til vores mest kritiske systemer?
- Har vi taget stilling til eksterne konsulenter og leverandørpersonale?
- Ved vi, om uddannelser og certificeringer er blevet kontrolleret?
- Har vi procedurer for personer med administrative og privilegerede rettigheder?
- Har vi dokumenteret, hvorfor bestemte stillinger kræver eller ikke kræver et baggrundstjek?
Hvis svaret er nej, har kommunen sandsynligvis et hul i sin NIS2-implementering.
Det handler ikke kun om kriminalitet
Begrebet baggrundstjek bliver ofte reduceret til en straffeattest.
Det er for snævert.
I mange kommunale funktioner vil det være mindst lige så relevant at kontrollere:
- om personens identitet er korrekt
- om uddannelsen faktisk er gennemført
- om tekniske certificeringer er gyldige
- om tidligere ansættelser og funktioner er korrekte
- om personen har de nødvendige tilladelser
- om der er interessekonflikter
- om en konsulent reelt er ansat hos den virksomhed, som kommunen har indgået aftale med.
En straffeattest er et særligt indgribende element og skal have et sagligt og nødvendigt formål.
Kommunen bør derfor ikke etablere en bred kontrolmaskine. Den bør etablere en præcis og risikobaseret proces.
Leverandørerne skal også ind i vurderingen
Kommunernes it-drift er i høj grad afhængig af eksterne virksomheder.
- Konsulenter.
- Cloudleverandører.
- Driftspartnere.
- Systemhuse.
- Vikarer og underleverandører.
NIS2 stiller også krav til forsyningskædesikkerheden. Kommunen kan derfor ikke nøjes med at undersøge egne medarbejdere, hvis eksterne personer i praksis har de samme eller større adgangsrettigheder.
En konsulent, der arbejder hjemmefra og har administratoradgang til et kommunalt system, kan udgøre en større potentiel risiko end mange fastansatte.
Det bør afspejles i kommunens kontrakter og procedurer.
Kravene kan eksempelvis omfatte dokumentation for:
- identitetskontrol
- adgangsstyring
- uddannelse og sikkerhedstræning
- kontrol af relevante kvalifikationer
- håndtering ved jobskifte eller fratrædelse
- underleverandører
- tilbagekaldelse af adgang.
Markedet tilbyder allerede løsninger
Flere virksomheder tilbyder i dag systemer til automatiseret og dokumenteret baggrundskontrol.
En af dem er danske P-Secure, som har udviklet en platform til kontrol af blandt andre ansøgere, medarbejdere, konsulenter og leverandører. Kontrollen kan tilpasses forskellige roller og risikoniveauer.
Det interessante for kommunerne er ikke nødvendigvis den enkelte leverandør.
Det interessante er, at området nu kan sættes i system.
Men kommunen kan ikke købe sig fra ansvaret.
Det er fortsat kommunen, der skal definere:
- Hvilke risici har vi?
- Hvilke roller er kritiske?
- Hvilke oplysninger er nødvendige?
- Hvad har vi lov til at kontrollere?
- Hvor længe må oplysningerne opbevares?
- Hvem må se resultaterne?
GDPR gælder stadig
NIS2 ophæver ikke databeskyttelsesreglerne.
Tværtimod.
En kommune må ikke indsamle flere oplysninger end nødvendigt, og oplysningerne må ikke opbevares længere end nødvendigt. Det gælder ikke mindst straffeattester og andre oplysninger om strafbare forhold.
Kommunen bør derfor have klare politikker for:
- behandlingsgrundlag
- proportionalitet
- information til ansøgeren eller medarbejderen
- adgang til kontrolresultater
- slettefrister
- håndtering af urigtige oplysninger
- brug af eksterne databehandlere.
En god personalesikkerhedsproces beskytter ikke kun kommunen.
Den beskytter også medarbejderen mod vilkårlig og unødvendig kontrol.
Det spørgsmål, direktionen skal stille nu
Kommunerne skal ikke gå i panik og bestille straffeattester på tusindvis af medarbejdere.
Men de skal vågne op.
For NIS2 gør det nødvendigt at stille et spørgsmål, som mange kommuner formentlig endnu ikke har besvaret systematisk:
Ved vi reelt, hvem vi giver adgang til vores vigtigste systemer – og har vi dokumenteret, hvorfor vi stoler på dem?
Det spørgsmål kan ikke længere parkeres hos HR.
Det kan heller ikke alene parkeres hos it-chefen.
Det hører hjemme hos direktionen.
For firewalls beskytter kun mod dem, der står udenfor.
Personalesikkerhed handler om dem, vi allerede har lukket ind.
