Efter flere års advarsler og kritik af et manglende kommunalt fokus i landets nationale indsat- ser for it-sikkerhed har kursen nu ændret sig. Kommunerne har endelig fået en plads ved det nationale it-bord. 

I december blev kommunerne nemlig indlemmet i det nationale Cybersikkerhedsråd. 

Og det er tiltrængt.

Det mener Bjarke Alling, der er formand for organisationen IT-Branchens sikkerhedsudvalg og formand for Cybersikkerhedsrådet. 

- Det er en positiv overraskelse. Efter flere år, hvor der ikke har været et stort pres for at få kommunerne til at højne cybersikkerheden, er de nu med i rådet. Og det forpligter, siger han. 

Lignede gentagelse af fejl 

December så ellers kortvarigt ud til at blive en skuffende måned for de mange it-eksperter, der siden den første nationale strategi på it-sikkerhedsområdet har råbt op om, at kommunerne skulle inkluderes. 

Den 15. december præsenterede regeringen en ny national strategi for landets cyber- og informationssikkerhed med flere konkrete initiativer og en pengepose på 270 mio. kr. til at implementere dem. 

Men kommunerne blev kun nævnt med to ord i teksten for strategien, der har til formål at styrke det danske it-forsvar, for- hindre it-kriminalitet og afværge hackerangreb. 

Det manglende fokus vakte kritik fra it-ekspert Bjarke Alling. 

- I strategien står staten nævnt flere gange, men det er problematisk, at kommunerne ikke i højere grad er tænkt ind i den nationale strategi. For de bliver angrebet i mindst lige så høj grad som alle andre. Skal vi have en bred og god cyberstrategi, er vi nødt til at have alle med, lød det fra Bjarke Alling i en pressemeddelelse. 

Han og andre it-eksperter kritiserede også sidste år tilsidesættelsen af kommunal sikkerhed i en artikel i Kommunen.dk. Her kaldte eksperter det manglende fokus for en “fejl” og en “stor mangel”, der i sidste ende ville kunne gå ud over borgerne.

Hvad der kunne ligne en gentagelse af fortidens fejl ændrede sig på to dage. Den 17. december sendte Digitaliseringsstyrelsen en pressemeddelelse om det nye cybersikkerhedsråd ud.

Og her var der et kommunalt navn på et af bordkortene. 

- Hvis jeg havde vidst, at kommunerne ville blive inkluderet i rådet, så havde jeg ikke udtalt den samme kritik, siger Bjarke Alling. 

Selvom en plads ved bordet umiddelbart ikke lyder af meget, så mener han, at det er et vigtigt skridt i retning mod mere kommunal it-sikkerhed. 

- At de nu sidder med i rådet, sætter forhåbentligt gang i en udvikling af kommunernes it-sikkerhed. Man kan jo ikke bare sidde med i rådet og lukke ørerne for samtalerne om de mange cybertrusler og sikkerhedsudfordringer, siger Bjarke Alling. 

It-manden fra kommunen 

De næste to år vil Stig Lundbech, der er direktør for Koncern IT i Københavns Kommune, repræsentere kommunernes sag i Cybersikkerhedsrådet. 

Han mener, at det er positivt, at der er kommet mere fokus på at inkludere kommunerne i de nationale visioner for it-sikkerheden. 

- Kommunerne har de seneste år været under et stigende pres på sikkerheden. Antallet af hackerangreb og it-kriminaliteten er vokset. Hackere går ikke kun efter staten, store virksomheder og regionerne. 

- Derfor er det vigtigt, at kommunerne kommer med i rådet, hvor man diskuterer strategier for at holde hackerne ude, siger Stig Lundbech. 

Kommunerne ligger inde med et hav af data om borgerne. Følsomme data, der i de forkerte hænder kan udnyttes og misbruges. Derfor understreger Stig Lundbech, at det er vigtigt at skabe tryghed om kommunernes it-sikkerhed. 

For borgerne skal kunne betro deres data til hele den offentlige sektor og ikke blot de statslige myndigheder og regionerne, som hidtil har været regeringens fokus. 

Den kommende tid vil han være vagthund i rådet og minde om kommunernes perspektiv på it-sikkerhed. 

- Strategierne skal tage højde for kommunernes opgaver. Jeg mener, at det er vigtigt, at implementeringen af it-sikkerhed skal være risikostyret. 

- Som kommune skal man ikke begynde at implementere sikkerhed for at ruste sig mod usandsynlige angreb fra fremmede efterretningstjenester. Så går det også for meget ud over servicen til borgerne i kommunen. Det er vigtigt at styre efter en kommunal trusselsvurdering. For man kan købe sig fattig i it-sikkerhed, siger Stig Lundbech. 

Han håber, at man den kommende tid sætter fokus på, at kommunerne har store udfordringer med at tiltrække medarbejdere og tilegne sig kompetencer på området. 

- I København er vi langt fremme. Men vi er også meget eksponerede for angreb. Mindre kommuner skal have bedre muligheder for at tilegne sig de nødvendige kompetencer. 

- Tidligere er der blevet investeret mange penge i cybersik- kerhed. De penge skal også komme kommunerne til gavn, siger Stig Lundbech. 

Intet overblik 

Ifølge Center for Cybersikkerhed er det alle danske myndigheder, der er udsat for cyber-trusler. 

I sin seneste trusselsvurdering redegør centret for, at truslen for cyberkriminalitet er “meget høj”. 

“Alle danske myndigheder, virksomheder og borgere er udsat for en vedvarende og aktiv trussel fra cyberkriminelle,” lyder det. 

Men it-sikkerheden i landets kommuner er et ujævnt landskab, der kan være svært at få overblik over. Selv for de myndigheder, der til daglig arbejder med digitaliseringen og at beskytte landet mod angreb. 

For hverken Center for Cyber- sikkerhed eller Digitaliseringsstyrelsen har et klart billede af kommunernes it-sikkerhed. 

Det fremgik i december i et folketingssvar, hvor minister Nicolai Wammen var blevet bedt om at redegøre for kommunernes it-indsats. Her skrev begge myndigheder, at de ikke havde noget samlet billede eller overblik over kommunernes it-sikkerhed. 

Det voksende antal angreb og tilfælde af it-kriminalitet mod de 98 kommuner, der har vidt forskellige ambitioner i forhold til sikkerhed, kræver handling. 

Hvem betaler? 

Bjarke Alling understreger, at det er uklart, hvad indlemmelsen af kommunerne i rådet konkret vil medføre. 

- Men jeg håber på, at der kommer mere regulering og krav til kommunernes sikkerhed. It-sikkerheden er et ujævnt landskab på tværs af de 98 kommuner, siger han. 

Bjarke Alling har tidligere problematiseret, hvordan den politiske kamp om, hvor en regning for at inkludere kommunerne i de nationale planer for it-sikkerhed skal lande, kan gå ud over borgerne. 

- Cybersikkerheden i kommunerne handler om at sikre borgernes data, og det handler om tillid. Men så snart man sætter kommunerne, regionerne og staten i et lokale, så starter der en økonomidiskussion, sagde Bjarke Alling om den nationale plan for 2021. 

Derfor tolker Bjarke Alling inkluderingen af kommunerne i rådet som en opblødning i de politiske forhandlinger om kommunernes sikkerhed. 

- Nu er kommunerne skubbet i en positiv retning, siger han.