### | | | | --- | --- | | | | | --- | | **Byråd** 24. april 2018 Sagsnr. 710-2015-22850 Dok.nr. 710-2018-100186 Sagsbehandler DPCGNI | | 56.                 Politik for informationssikkerhed i [adresse] - Åbent

###

|  |  |
| --- | --- |
| Tidl. politisk behandling |  |
| Forventet sagsgang | ØK, BY |
| Lovgrundlag | EU databeskyttelsesforordning |

###

**SAGENS INDHOLD**

Byrådet skal i denne sag tage stilling til en revideret
politik for informationssikkerhed i [adresse].

Formålet med politikken er at fastlægge rammerne for informationssikkerhed
i [adresse].

Den reviderede politik for informationssikkerhed erstatter
den nuværende It-sikkerhedspolitik fra 2007.

Behovet for en revideret politik for informationssikkerhed er
foranlediget af vedtagelsen af en ny EU databeskyttelsesforordning og den nye
danske databeskyttelseslov, som begge træder i kraft 25. maj 2018. Forordningen
og databeskyttelsesloven erstatter persondataloven fra 2000.

Af forordningen fremgår det, at den dataansvarlige
organisation skal implementere passende politikker til sikring af persondata.

Herudover er Favrskov Kommune i medfør af aftalen om Den Fællesoffentlige
Digitaliseringsstrategi 2016-2020 mellem regeringen, KL og Danske Regioner
pålagt at følge principperne i den internationale standard for
informationssikkerhed ISO27001 i arbejdet med informationssikkerhed.

Den reviderede politik for informationssikkerhed medfører
en omorganisering og styrkelse af informationssikkerhedsarbejdet.

Det overordnede ansvar for informationssikkerheden er placeret
hos direktionen, som udpeger et informationssikkerhedsudvalg, der varetager de
daglige opgaver.

Informationssikkerhedsudvalget er ansvarlig for at udmønte
politikken om informationssikkerhed i en intern vejledning *Regler for
informationssikkerhed*. Ud fra disse regler skal fagchefer, system- og
dataejere udarbejde relevante *procedurebeskrivelser,* så det daglige
arbejde med kommunens informationer sker i overensstemmelse med det ønskede
sikkerhedsniveau.

I henhold til EU databeskyttelsesforordningen udpeges
endvidere en databeskyttelsesrådgiver. Databeskyttelsesrådgiveren underretter
og rådgiver den dataansvarlige eller databehandleren og de ansatte, der
behandler persondata, om deres forpligtelser efter forordningen, og som fører
tilsyn med, om virksomheden overholder reglerne.

Den reviderede politik om informationssikkerhed og den hidtidige
it-sikkerheds-politik er begge vedlagt denne sag.

**VURDERING**

Udmøntningen af politikken for informationssikkerhed skal sikre,
at Favrskov Kommune overholder relevant lovgivning og andre udefra kommende
krav til håndtering af informationer.

Det samlede arbejde med informationssikkerhed skal bevirke,
at borgere, virksomheder, samarbejdspartnere, medarbejdere og politikere
fortsat kan være trygge ved, at Favrskov Kommune håndterer informationer på
lovlig og betryggende vis.

Informationssikkerheden skal være på et niveau, der
tilgodeser lov- og myndighedskrav, kontraktlige forpligtelser samt
forpligtelser over for de borgere, virksomheder, medarbejdere, politikere og
andre aktører, som kommunen håndterer informationer for og udveksler
informationer med.

Væsentlige informationsaktiver skal risikovurderes mindst én
gang årligt. Risikovurderingen skal fastlægge det ønskede sikkerhedsniveau for
de væsentligste informationsaktiver med udgangspunkt i aktivernes betydning i
forhold til tilgængelighed, fortrolighed og integritet.

**ØKONOMI**

Implementeringen af informationspolitikken og ISO27001
kræver, at der anvendes øgede ressourcer i hele organisationen til opgaven vedrørende
informationssikkerhed. Indtil videre søges opgaverne løst inden for den
nuværende budgetramme gennem omprioritering af opgaverne. Det forventes, at KL
vil rejse spørgsmålet om kompensation til kommunerne i forbindelse med
økonomiaftalen for 2019 mellem Regeringen og KL (jf. DUT-princippet).

**INDSTILLING**

Direktøren for Job og Økonomi indstiller til Byrådet:

1.    At udkast til Politik for informationssikkerhed i [adresse]
Kommune godkendes.

**BESLUTNING**

***Økonomiudvalget, 17. april 2018:***

Fraværende:Ingen

Indstilles godkendt med den tilføjelse, at Økonomiudvalget
forelægges en status på den videre implementering af it-sikkerhedsarbejdet
ultimo 2018.

**Bilag**

|  |  |
| --- | --- |
| Politik for informationssikkerhed i [adresse] | 710-2018-101561 |
| Nuværende it-sikkerhedspolitik fra 2007 | 710-2018-80940 |