KommuneCERT: Inkludér kommunerne i den nationale cybersikkerhedsstrategi

Det til trods mangler kommunerne fortsat at blive omfattet af en national strategi for cybersikkerhed.  

De mangler at blive omfattet af de minimumskrav og den regulering, der gælder for andre offentlige myndigheder. Og dermed omfattet af de krav og den ensretning på området, der kan være med til at højne modenheden i arbejdet med cybersikkerhed og i forlængelse heraf også borgerens tillid til de digitale borgernære løsninger. 

Det undrer: Dels fordi borgerne og borgerrettede awareness-initiativer spiller en stor rolle i strategierne, og endnu mere fordi det er i kommunerne, at danskerne dagligt møder resultatet af den gennemgribende digitalisering, der er rullet ud over den offentlige sektor, og som betyder, at Danmark år efter år hjemtager prisen som "Verdens bedste til offentlig digitalisering".

Kommunalt pilotprojekt

De 98 kommuner er forskellige – men også dybt forbundne. Derfor er der også behov for solidariske og fælles tilbud om øget støtte til bedste praksis i alle kommuner for at øge det generelle modenhedsniveau og blive stærkere sammen.

For at kunne have en balanceret tilgang til investering i sikkerhed er det nødvendigt at have viden om de trusler og sårbarheder, man bør handle på.

Lone Juric Sørensen, Lars Borg og Mille Østerlund

Næstved og Aarhus har over de seneste år investeret i cybersikkerhed og er samtidig frontløbere i et pilotprojekt.  

Vi er ved at teste, hvordan vi på tværs af kommunerne både kan få mere indsigt i, hvad der rammer den enkelte kommune, men i lige så høj grad indsigt i, hvordan vi kan berige videndeling og resiliens på tværs af kommunerne.  

Piloten gennemføres i regi af "KommuneCERT", der er en fælleskommunal cybersikkerhedsenhed. 

Enheden har som ambition at gennemføre forskellige kompetence-, awareness- og beredskabsmæssige initiativer for at øge den kommunale modstandsdygtighed over for cyberangreb og derigennem stå vagt om de borgervendte digitale ydelser og den danske velfærd.

Nødvendig viden

Kommunerne er kendetegnet ved at håndtere et stort antal personhenførbare data og ved at have en stor portefølje af IoT-produkter og -løsninger, en høj grad af automatisering i sagsbehandlingsløsninger, en stor, kompleks infrastruktur og systemlandskab på tværs af mange fagområder samt krav til beredskab på en række specifikke områder.

Alt sammen elementer, der i tidligere og nuværende nationale strategier for cyber- og informationssikkerhed har ført til konkrete krav om oprettelse af særlige cybersikkerhedsenheder og sektorstrategier, der skulle sikre "sektorvise trusselsvurderinger, styrke monitoreringen, sikkerheds- og kompetenceopbygge og rådgive og vejlede […] i sektorerne".  

Vi savner kommunerne i den ligning. 

For at kunne have en balanceret tilgang til investering i sikkerhed er det nødvendigt at have viden om de trusler og sårbarheder, man bør handle på. Den sektorspecifikke viden har kommunerne ikke i dag. Det skal KommuneCERT tilvejebringe i samarbejde med andre aktører på området.

Tag cybersikkerhed og borgernes retssikkerhed alvorligt

Men kommunerne bør også – som en væsentlig del af den nationale kritiske infrastruktur – omfattes af samme krav og tildeles samme støtte som de statslige myndigheder og de øvrige samfundskritiske sektorer.

Kan man tale om retssikkerhed der, hvor borgerne møder de offentlige digitale løsninger, uden samtidig at tale og støtte op om cybersikkerhed? 

Lone Juric Sørensen, Lars Borg og Mille Østerlund

Det er hidtil ikke sket, da kommunerne ikke er omfattet af de nationale strategier for cyber- og informationssikkerhed. 

Vi tager – som de samfundsansvarlige aktører, vi er – spørgsmålet om cybersikkerhed og borgernes retssikkerhed alvorligt ved at løfte i flok i KommuneCERT.

Regeringen bør stille sig selv spørgsmålet, om man kan tale om retssikkerhed der, hvor borgerne møder de offentlige digitale løsninger, uden samtidig at tale og støtte op om cybersikkerhed.  

Og regeringen bør samtidig spørge sig selv, om det ikke er på tide, at kommunerne bliver omfattet af en national cybersikkerhedsstrategi og anerkendt som en væsentlig del af et stærkt nationalt cyberforsvar. Vi bidrager gerne.