BOU, Alm.del - 2021-22 - Endeligt svar på spørgsmål 67: Spm., om det samlede billede af it-sikkerheden i landets 98 kommuner og 5 regioner m.v., til finansministeren

Indenrigs- og Boligudvalget 2021-22
BOU Alm.del
Offentligt

Folketingets Indenrigs- og Boligudvalg

Christiansborg

14. december 2021

Svar på Indenrigs- og Boligudvalgets spørgsmål nr. 67 (Alm. del)

af 3. november 2021 stillet efter ønske fra Preben Bang Henriksen

(V)

Spørgsmål

Vil ministeren 1) redegøre for det samlede billede af it-sikkerheden i landets 98

kommuner og 5 regioner, herunder hvilke elementer de enkelte kommuner og re-

gioner har etableret for at sikre et tilfredsstillende niveau af sikkerhed blandt deres

ansatte og folkevalgte og 2) redegøre for kendte sager, hvor it-kriminelle/hackere

har tilegnet sig adgang til en kommune eller regions personfølsomme oplysninger

eller anden data?

Svar

Jeg har til brug for besvarelsen af spørgsmålet indhentet bidrag fra Digitaliserings-

styrelsen, som oplyser følgende:

Ansvaret for at sikre et passende cyber- og informationssikkerhedsniveau i kom-

muner og regioner ligger hos den enkelte kommune eller region. Digitaliserings-

styrelsen er ikke bekendt med det samlede billede af cyber- og informationssikker-

heden i kommuner og regioner. I forhold til spørgsmålet om, hvilke elementer de

enkelte kommuner og regioner har etableret, tolkes spørgsmålet således, at det

vedrører konkrete tekniske og organisatoriske tiltag. Den internationale standard

for informationssikkerhed, ISO 27001, sætter de organisatoriske rammer for ar-

bejdet med informationssikkerhed i både kommuner og regioner. Det er på den

baggrund vurderingen, at kommuner og regioner har etableret et stort antal ele-

menter, men at det vil være vanskeligt at udarbejde et samlet overblik.

For så vidt angår kendte sager, hvor it-kriminelle/hackere har tilegnet sig adgang

til en kommune eller regions personfølsomme oplysninger eller anden data, er der

indhentet oplysninger fra Datatilsynet for, hvor mange anmeldelser de har modta-

get fra kommuner og regioner opdelt på hændelsestyper. Datatilsynets oplysninger

fremgår af tabel 1.

Finansministeriet · Christiansborg Slotsplads 1 · 1218 København K

BOU, Alm.del - 2021-22 - Endeligt svar på spørgsmål 67: Spm., om det samlede billede af it-sikkerheden i landets 98 kommuner og 5 regioner m.v., til finansministeren

Side 2 af 3

Tabel 1

Kommuner og regioners anmeldelser til Datatilsynet i perioden uge 17 2020 til oktober 2021

Kommuner

Hændelsestype

Brevpost bortkommet

Brute force/credential stuffing

Forkerte oplysninger / rigtig modtager

Hacking

Offentliggørelse

Ransomware

Rigtige oplysninger / forkert modtager

Social engineering

Tab/tyveri af (mobile) enheder

Usikker transmission

Andet

3915

425

812

1798

347

451

Regioner

400

159

111

Kilde: Datatilsynet.

Digitaliseringsstyrelsen vurderer, at hændelsestyperne ”brute force/credential stuf-

fing”, ”hacking”, ”ransomware” og ”social engineering” kan betegnes som it-kri-

minalitet/hacking. I kommunerne var der i alt 31 hændelser og i regionerne 3

hændelser af disse typer i perioden uge 17 2020 til og med oktober 2021. For både

kommuner og regioner svarer det til knap 1 pct. af anmeldelserne.

Der er desuden indhentet oplysninger fra Forsvarets Efterretningstjenestes Center

for Cybersikkerhed vedrørende de indberetninger, som de har modtaget om it-kri-

minalitet/hacking mod kommuner eller regioner. Center for Cybersikkerhed oply-

ser følgende:

”FE’s Center for Cybersikkerhed (CFCS) har ikke et samlet billede af it-sikkerhe-

den i landets 98 kommuner og fem regioner. I overensstemmelse med Den fælles-

offentlige digitaliseringsstrategi 2016-2020 underretter kommuner og regioner om

større sikkerhedshændelser, jf. aftale om ”Styr på informationssikkerhed i alle

myndigheder” af 4. maj 2016.

CFCS har gennem underretningsordningen for kommuner og regioner i 2021 ind-

til videre modtaget fire indberetninger fra kommuner om større sikkerhedshæn-

delser, hvoraf tre også er angivet at være indberettet til Datatilsynet. I 2020 mod-

tog CFCS syv indberetninger om større sikkerhedshændelser fra kommuner,

hvoraf én også er indberettet til Datatilsynet, samt én indberetning fra en region."

Med venlig hilsen

BOU, Alm.del - 2021-22 - Endeligt svar på spørgsmål 67: Spm., om det samlede billede af it-sikkerheden i landets 98 kommuner og 5 regioner m.v., til finansministeren

Side 3 af 3

Nicolai Wammen

Finansminister