Informationssikkerhedspolitik

Denne Informationssikkerhedspolitik er fastlagt af direktionen i Esbjerg Kommune og udgør den overordnede ramme for informationssikkerheden, databeskyttelsen og cybersikkerheden i kommunen.

Kommunen behandler en stor mængde informationer, herunder både fortrolige og følsomme personoplysninger. Det er af afgørende betydning, at borgere, virksomheder og den øvrige offentlige sektor har tillid til, at den nødvendige sikkerhed omkring disse informationer bliver opretholdt.

Informationssikkerheden er fundamentet for, at kommunen kan opnå de mål, der er fastsat i kommunens Digitaliseringspolitik og i et større perspektiv også for kommunens visioner generelt.

Hvis informationssikkerheden er utilstrækkelig, kan det skade kommunens omdømme og medføre, at effektiviseringer og kvalitetsforbedringer må opgives. I nogle tilfælde kan brud på informationssikkerhed også få menneskelige konsekvenser. Informationssikkerhed har således i mere end én forstand vital betydning for kommunen.

Esbjerg Kommune er omfattet af NIS 2-loven, og dermed skærpede krav til cybersikkerhed, da kommunen udfører samfundskritiske funktioner. Generelt er de samfundskritiske funktioner helt afhængige af it. Hvis it-systemerne svigter, både dem kommunen selv drifter og dem leverandører eller samarbejdspartnere drifter, kan det betyde alvorlige konsekvenser for borgere og virksomheder og for samfundet som helhed.

Politikkens bestemmelser er udarbejdet med afsæt i:

• Principperne i de internationale sikkerhedsstandarder ISO 27001:2023 og ISO 27002:2022.
• EU’s databeskyttelsesforordning (GDPR) og den afledte nationale lovgivning på området.
• EU’s NIS2-direktiv og den afledte nationale lovgivning (NIS2).

Informationssikkerheden er bygget op i tre niveauer:

• En Informationssikkerhedspolitik (denne politik), der beskriver rammer, mål og overordnet organisering af informationssikkerhedsindsatsen.
• Regler for informationssikkerhed, som beskriver risikohåndtering på udvalgte områder med udgangspunkt i organisatoriske-, personrelaterede-, fysiske- og tekniske foranstaltninger.
• Procedurer og vejledninger på områder, hvor der er behov herfor.

Informationssikkerhedspolitikken har til formål at beskytte informationer, systemer samt underliggende informations- og kommunikationsteknologisk infrastruktur uafhængigt af hvor disse findes, oparbejdes og drives, så kommunen er en troværdig og kompetent samarbejdspartner og myndighed. Indsatsen skal tilgodese følgende behov:

• at følsomme og fortrolige informationer beskyttes, så de forbliver hemmelige for alle personer, der ikke har ret til at kende dem,
• at informationer er korrekte og fuldstændige, at anvendte it-services fungerer korrekt, og
• at informationer og it-services er tilgængelige, når autoriserede brugere har behov for det.

Politikken skal bidrage til at opretholde fortrolighed, integritet og tilgængelighed (FIT) af kommunens informationer, minimere risikoen for sikkerhedsbrud samt understøtte de forpligtelser, der følger af GDPR og NIS2.

Politikken gælder for alle kommunens direktørområder, institutioner og selvejende institutioner samt for eksterne brugere, politikere, samarbejdspartnere og leverandører.

Politikken omfatter alle former for informationer, der ejes, opbevares eller behandles af kommunen og kommunens databehandlere. Dette gør sig gældende uanset på hvilket medie, informationerne er lagret på og uanset hvordan de fremstår.

Det er en ledelsesmæssig opgave at sikre informationssikkerheden, databeskyttelsen og cybersikkerheden i kommunen. Derfor er ansvaret entydigt forankret hos kommunens ledelse på lige fod med ansvaret for eksempelvis økonomi og personale.

Kommunaldirektøren er den øverste informationssikkerhedsansvarlige og del af direktionen jf. beskrivelse af roller og ansvar for direktionen i dette afsnit.

Direktionen med kommunaldirektøren som den øverste sikkerhedsansvarlige, har det overordnede ansvar for at fastlægge de overordnede rammer for informationssikkerhedsarbejdet. Rammerne fastlægges i Informationssikkerhedspolitikken, som vedligeholdes af direktionen.

Direktionen har også det overordnede ansvar for, at informationssikkerhedsopgaverne i kommunen bliver løst i overensstemmelse med de bestemmelser, der er er fastlagt i Informationssikkerhedspolitikken.

Direktionen har tilmed det overordnede ansvar for at kommunen efterlever NIS2. Gennem strategisk risikostyring sikrer direktionen, at kommunens arbejde med informationssikkerhed og cybersikkerhed lever op til gældende lovgivning. Direktionen har blandt andet ansvar for at overvåge risici på strategisk niveau, fastsætte en risikotolerance, føre overordnet tilsyn, afsætte nok ressourcer til sikkerhedsarbejdet og gennemføre relevant ledelsestræning i cybersikkerhed.

Direktører og afdelingschefer har inden for eget område ansvar for implementering og opfølgning på efterlevelse af Informationssikkerhedspolitikken og regler for informationssikkerhed. Direktørerne prioriterer og fastlægger de nødvendige sikringsforanstaltninger til opretholdelse af kommunens ønskede sikkerhedsniveau med udgangspunkt i de risikovurderinger, der er godkendt af informationssikkerhedsudvalget.

Digitaliserings- og It-chefen fastlægger regler for informationssikkerhed og er ansvarlig for den daglige operationelle ledelse af arbejdet med informationssikkerhed, GDPR og cybersikkerhed, herunder at sikre prioritering og opfølgning på de opgaver, der er forbundet hermed. Digitaliserings- og It-chefen rapporterer årligt status på arbejdet med Informationssikkerhedspolitikken til direktionen.

Informationssikkerhedsudvalget fastlægger kommunens risikotolerance og risikostyringsaktiviteter på taktisk niveau inden for de rammer, der er fastsat af direktionen. Informationssikkerhedsudvalget sikrer et samlet ledelsessystem med tværgående samarbejde ved behandling af ledelsesmæssige problemstillinger inden for informationssikkerhed, databeskyttelse og cybersikkerhed samt ved koordinering og prioritering af informationssikkerhedsaktiviteter.

Systemejere er risikoejere for egne systemer og har ansvar for at sikre, at systemerne lever op til Informationssikkerhedspolitikken, regler for informationssikkerhed samt evt. yderligere, relevante vejledninger og håndbøger. Systemejer er herunder bl.a. ansvarlig for at godkende ændringer og autorisationer på deres systemer samt for udarbejdelse af nødplaner for egne systemer i det omfang det vurderes relevant.

Databeskyttelsesrådgiveren (DPO) har en rådgivende funktion i informationssikkerhedsarbejdet. DPO’ens funktion består i at rådgive, vejlede og overvåge, at organisationen efterlever reglerne om databeskyttelse samt at sikre afrapportering herom til kommunens øverste ledelse.

Ledere har ansvar for, at deres medarbejdere kender til Informationssikkerhedspolitikken og arbejder ud fra de regler og procedurer, der er fastsat heraf. De har desuden ansvar for, at deres medarbejdere løbende modtager relevant information og vejledning om informationssikkerhed, databeskyttelse og cybersikkerhed, som svarer til de opgaver, de varetager. Ledere har derudover ansvar for deres medarbejderes autorisationer til kommunens netværk og it-systemer.

Alle ansatte er ansvarlige for at efterleve regler og procedurer for informationssikkerhed i det daglige arbejde samt at rapportere risici og hændelser, herunder brud på persondatasikkerheden.

Kommunes informationssikkerhedsniveau skal efterleve den til enhver tid gældende lovgivning og leve op til gældende sikkerhedspraksis i den kommunale sektor.

Sikkerhedsniveauet skal stå mål med risikoen, og derfor skal kommunen ikke sikre sig for enhver pris, men være bevidst om enhver risiko. Kommunen fastlægger sikkerhedsniveauet på baggrund af risiko- og konsekvensvurderinger, som svarer til betydningen af de pågældende informationer og systemer for borgerne, samfundet og kommunen.

Der skal på alle niveauer forebygges mod risici ved manglende funktionsadskillelse (autorisation/attestation og udøvelse/kontrol). I situationer, hvor der ikke er funktionsadskillelse, er den pågældende ledelse ansvarlig for, at der kompenseres med andre sikkerhedsforanstaltninger, som udmøntes konkret i procedurer.

De internationale sikkerhedsstandarder ISO 27001:2023 og ISO 27002:2022 skal anvendes som vejledende udgangspunkt for de grundlæggende sikkerhedsforanstaltninger, som kommunen indfører. Standarderne skal anvendes som reference i vurderinger af sikkerheden på områder, hvor kommunen ikke har formuleret og vedtaget egne regler.

Når kommunen har vedtaget egne sikkerhedsregler, skal der søges midlertidig dispensation ved fravigelse, hos den ledelse, der har vedtaget reglerne.

Alle, som har adgang til, anvender eller behandler data i Esbjerg Kommune har et medansvar for at beskytte kommunens data mod uautoriseret adgang, ændring og ødelæggelse samt tyveri.

Alle medarbejdere skal derfor løbende modtage relevant uddannelse i informationssikkerhed, databeskyttelse og cybersikkerhed.

Der skal foreligge en opdateret beredskabsplan for relevante områder og systemer i Esbjerg Kommune til brug i de situationer, hvor systemer eller områder rammes af forhold, der aktiverer beredskabet.

Beredskabsplaner skal øves regelmæssigt, for at forbedre kommunens håndtering af krisesituationer, så konsekvenser for samfundet, borgere og kommunen minimeres.

Informationssikkerhedspolitikken fastlægges af direktionen, og revideres hvert fjerde år eller ved væsentlige organisatoriske forandringer.

Digitaliserings- og It-chefen rapporterer én gang årligt status på Informationssikkerhedspolitikken til direktionen.

Kommunaldirektøren beslutter i samråd med Digitaliserings- og It-chefen og direktionen, på hvilken måde informationssikkerhed og databeskyttelse skal indarbejdes i direktionens og andre relevante årsplaner, og hvordan informationssikkerhedsindsatsen konkret skal evalueres.

Direktionen beslutter desuden på hvilken måde efterlevelse af cybersikkerhedskrav, som følger af NIS2-loven, skal indarbejdes i årsplaner samt hvordan indsatsen løbende skal evalueres.

Overtrædelser af kommunens informationssikkerhed eller andre bestemmelser, som er udmøntet heraf, vil blive behandlet af ledelsen afhængig af karakteren af overtrædelsen.

Informationssikkerhedspolitikken skal formidles til alle relevante interessenter herunder samtlige medarbejdere i kommunen og offentliggøres på esbjerg.dk.

Version 1.0 Godkendt af byrådet den 7. marts 2022.

Version 2.0 Godkendt af direktionen den 26. august 2026. Erstatter version 1.0.