Kommunen er som offentlig myndighed forpligtet til at arbejde systematisk og dokumenteret med informationssikkerhed og risikostyring.

Den nye politik:

• Indarbejder kravene i NIS2-direktivet.
• Understøtter kravene i databeskyttelsesforordningen og databeskyttelsesloven.
• Beskriver de overordnede principper for kommunens arbejde med informationssikkerhed.
• Danner grundlag for underliggende retningslinjer, procedurer og kontroller.

Der gennemføres løbende instruktion, undervisning og kommunikation internt i Lyngby-Taarbæk Kommune om arbejdsgange, sikkerhedsrutiner og balancen mellem et nødvendigt sikkerhedsniveau og hensynet til brugervenlighed. Dette sker med henblik på at sikre:

• Overholdelse af gældende lovgivning.
• Efterlevelse af it-revisionens anbefalinger.
• Fastholdelse af god forvaltningsskik og almindelig praksis.
• Kontinuerlig drift og understøttelse af kommunens kerneopgaver.

Arbejdet er forankret i området Teknologi og Sikkerhed i Center for Politik og Organisation.

Vedlagt som bilag findes udkast til politikken. Da der ikke alene er tale om en revision af den tidligere Informationssikkerhedspolitik, er ændringer ift. den tidligere politik ikke markeret.

Politikken fastlægger de overordnede rammer, mens den konkrete efterlevelse sker gennem underliggende styringsdokumenter, herunder procedurer, kontroller og beredskabsplaner.

Arbejdet med informationssikkerhed og databeskyttelse sker inden for følgende retlige rammer:

• Databeskyttelsesforordningen.
• Databeskyttelsesloven.
• NIS2-direktivet og den nationale implementering heraf.
• eIDAS-forordningen, som danner grundlag for identitetssikring i EU.
• EU AI Act (forordningen om kunstig intelligens), i det omfang kommunen anvender eller anskaffer AI-løsninger.
• EU Data Act for at sikre, at kommunen har styring over egne data i relation til leverandører.

NSIS-rammeværket ligger i forlængelse af eIDAS-forordningen og fastlægger krav til identitetssikringsniveauer ved brug af digitale løsninger.

Politikken understøtter kommunens samlede governance på informationssikkerhedsområdet og bidrager til en risikobaseret og dokumenterbar tilgang.

NIS2-loven (lov om foranstaltninger til sikring af et højt cybersikkerhedsniveau) fastsætter i § 6 krav om, at omfattede enheder etablerer passende organisatoriske foranstaltninger til styring af cybersikkerhedsrisici.

Det fremgår bl.a. af § 6, stk. 1, nr. 1, at foranstaltningerne som minimum skal omfatte politikker for risikoanalyse og informationssikkerhed.

På den baggrund er Lyngby-Taarbæk Kommunes politik for risikostyring og informationssikkerhed udarbejdet som et samlet styringsdokument, der fastlægger de overordnede principper og rammer for kommunens arbejde med cybersikkerhed og risikostyring.

Såfremt politikken godkendes, publiceres den på kommunens intranet.

Der udsendes en intern nyhed med orientering om den nye politik og opfordring til gennemlæsning. Medarbejdere skal via kommunens kursusplatform logge ind og kvittere for, at politikken er læst. Gennemlæsning er obligatorisk

Ligeledes følges den obligatoriske gennemlæsning af politikken op med yderligere kommunikative tiltag, tilbud om webinarer og dialogrunder til centrene, så spørgsmål, kommentarer og eventuelle ændringer i arbejdsgange mv. kan afklares med Teknologi og Sikkerhed.