Kommunerne står over for en massiv opgave med at implementere NIS2-direktivet om cybersikkerhed.

Men ifølge Henrik Brix, formand for KITA – Foreningen af kommunale IT- og digitaliseringsansvarlige – og IT-chef i Favrskov Kommune, er der afsat for få penge til, at kommunerne kan løfte opgaven på det niveau, som truslerne egentlig kræver.

”Det er stadig ikke helt klart, hvad de præcise krav er. Vi har fået nogle vejledninger, men der er fortsat usikkerhed om, hvad vi helt konkret skal leve op til. Det giver selvfølgelig et spillerum, hvor vi kan være med til at definere noget selv – og det synes jeg egentlig er fint. Men økonomien er en reel udfordring,” siger Henrik Brix til NB-Økonomi.

For få midler til et godt produkt

I det oprindelige lovforslag til NIS2, der blev fremsat, før kommunerne var fuldt omfattet, stod der et beløbsspænd på mellem 95 og 280 millioner kroner.

”I sidste ende fik vi 150 millioner kroner. Men det er efter, at hele kommunen – altså hele kommunens forretning – blev omfattet. Det er jo lidt skuffende,” siger Henrik Brix og peger på, at loven samtidig lægger op til, at der alene skal gennemføres en minimumsimplementering.

Han understreger, at det er vigtigt, at kommunerne holder sig dette for øje:

”Det, vi er blevet bedt om, og det, vi har fået penge til, er en minimumsimplementering. Og det synes jeg er lidt ærgerligt, fordi mange af de hændelser, vi ser lige nu, viser, at cybersikkerhed er helt grundlæggende for samfundets fortsatte drift – også i krisesituationer. Derfor er det ærgerligt, at vi kun kan lave en minimumsimplementering.”

”Jem & Fix”-niveau af cybersikkerhed

Når Henrik Brix skal forklare udfordringen, sammenligner han situationen med at skulle handle i et lavprisbyggemarked:

”Hvis vi overfører det til den virkelige verden, så er det lidt som at handle i Jem & Fix eller Harald Nyborg. Man kan måske få det mest nødvendige, men ikke det, der for alvor ruster os til fremtiden.”

I vejledningerne til NIS2 skelnes der mellem, hvad kommunerne skal, bør og kan gøre.

”Når der står skal, så er der ingen diskussion. Det skal vi implementere. Når der står bør, så kan man diskutere det, men i en minimumsimplementering bliver det nok til et nej. Og kan-delen – ja, den bliver der nok ikke råd til,” siger Henrik Brix.

Ønske om bedre rammer

Selv om kommunernes IT-ansvarlige vil gøre deres yderste for at sikre en solid implementering, føler mange ifølge Henrik Brix sig fanget i en situation, hvor rammerne ikke matcher ambitionerne.

”De fleste af os vil rigtig gerne levere et godt stykke arbejde. Det gælder også mine kolleger rundt om i landet. Derfor er det ærgerligt ikke at have rammerne helt på plads, når vi i øvrigt står i en god økonomiaftale,” siger Henrik Brix.

Han understreger, at cybersikkerhed ikke længere er et sideområde, men en helt afgørende forudsætning for at drive kommunerne sikkert og stabilt – også under kriser.