Baggrund og efterlevelse af eksterne krav

Administrationen har udarbejdet en Databeskyttelses- og Informationssikkerhedspolitik, som fastlægger rammer og retning for arbejdet med databeskyttelse og informationssikkerhed i Faxe Kommune. Politikken lever op til krav i ISO27001 (international standard for informationssikkerhedsledelsessystemer), databeskyttelsesforordningen (GDPR) og NIS2 (EU-direktiv).

Administrationen har også formuleret en vision for arbejdet med databeskyttelse og informationssikkerhed - "Vi ruster os til en sikker digital fremtid".

Kontekst for politikken og visionen

Visionen og politikken er udarbejdet i den kontekst, som Faxe Kommune indgår i, herunder navnlig at:

• Faxe Kommune er en offentlig myndighed og Databeskyttelses- og Informationssikkerhedspolitikken skal understøtte kommunens generelle drift og udvikling, herunder kommunens overordnede vision, strategi og politikker, herunder særligt digitaliseringsstrategien.
• Databeskyttelses- og Informationssikkerhedspolitikken skal understøtte de behov og forventninger kommunens interessenter har til databeskyttelse og informationssikkerhed, når kommunen behandler oplysninger om dem, eller som de er afhængige af.

Politikkens indhold

Databeskyttelses- og Informationssikkerhedspolitikken angiver de beslutninger, som ledelsen i Faxe Kommune har truffet med henblik på nærmere at fastlægge det tilstrækkelige sikkerhedsniveau samt definere de krav, der skal stilles, for at sikkerhedsniveauet opretholdes. 

Politikken indeholder syv målsætninger for informationssikkerhed, som understøtter databeskyttelses- og informationssikkerhedsstrategien:

1. Vi ruster os mod den stigende trussel fra cyberangreb
2. Vi gør sikker adfærd nemt og har fokus på læring og hjælp til selvhjælp
3. Vi har formaliserede og kommunikerede arbejdsgange
4. Vi har professionel og datadrevet styring
5. Vi implementerer ekstra sikkerhed i kritisk infrastruktur
6. Vi er klar, når krisen rammer
7. Vi skaber en kultur, hvor data behandles sikkert og korrekt

For hver målsætning arbejder administrationen med strategiske indsatsområder og udviklingsinitiativer og afrapporterer på såvel udvikling som nøgleparametre for drift til Data- og Informationssikkerhedsudvalget. 

Politikken understreger at arbejdet med databeskyttelse og informationssikkerhed i Faxe Kommune er risikobaseret, hvilket vil sige, at implementering og vedligeholdelse af databeskyttelses- og informationssikkerhedsforanstaltninger bygger på et afvejet helhedssyn, dvs. en balance mellem beskyttelse og sikkerhed, brugervenlighed og ressourcer. Dertil kommer, at indsatserne skal være proportionelle med det aktuelle trusselsbillede for Faxe Kommune.

Politikken fastsætter, at Faxe Kommune har en lav risikovillighed på området for databeskyttelse og informationssikkerhed. En lav risikovillighed afspejler, at kommunen som offentlig myndighed har et særligt ansvar for at beskytte borgernes oplysninger, opretholde tillid og sikre stabil drift af samfundskritiske services.

Håndtering af risici
Identificerede risici skal som udgangspunkt reduceres til et lavt niveau. Risikoejere – typisk den relevante centerchef – kan i særlige tilfælde acceptere risici, der vurderes som middel. Høje risici kan alene accepteres af Faxe Kommunes Databeskyttelses- og informationssikkerhedsudvalg, hvilket afspejler at Faxe Kommune er en ansvarlig offentlig myndighed, hvor der skal kunne træffes beslutninger, der bevæger kommunen sikkert ind i en digital fremtid.