Knap et år efter NIS 2-loven skærpede kravene til cybersikkerhed, bliver området stadig ikke prioriteret højt nok i kommunerne.

Det mener professor i cybersikkerhed ved Aarhus Universitet, Jens Myrup Pedersen, efter at have gennemgået Gentofte og Odense kommuners årsberetninger om cybersikkerhed.

"Man forstår måske ikke vigtigheden af cybersikkerhed, før det er gået galt. Der skal åbenbart lig på bordet, før der sker noget," siger han.

NIS 2-direktivet fra EU trådte i kraft i Danmark i juli 2025. Populært sagt handler loven om, at ansvaret for cybersikkerhed flyttes fra it-afdelingen til ledelsen i offentlige myndigheder.

Derfor stiller loven også krav til, at ledelsen bliver uddannet i NIS 2-krav. Men ledelsen i Gentofte Kommune har endnu ikke fået målrettet træning i kravene, fremgår det af kommunens årsberetning. Det er et problem, mener Jens Myrup Pedersen.

"Cybersikkerheden starter i ledelsen. Flere af it-systemerne er kritiske for samfundets funktion, og derfor er det vigtigt, at ledelsen kan reagere ved angreb," siger han.

44 procent har ikke fået obligatorisk træning

Danmark står overfor det mest alvorlige trusselsbillede siden Anden Verdenskrig, og det gælder ikke mindst i forhold til cyberangreb, vurderer Styrelsen for Samfundssikkerhed. En undersøgelse fra HK Kommunal viser, at hver fjerde kommune oplever 200 cyberangreb om ugen.

Konsekvenserne kan være, at hackere lammer systemer i hjemmeplejen, så det ikke er muligt at se, hvem der skal have medicin, som det skete i en norsk kommune, fortæller Jens Myrup Pedersen.

"I Danmark har vi haft eksempler på, at en skole er blevet hacket, og personfølsomme oplysninger om elever er blevet delt," siger han.

Derfor undrer det professoren, at 44 procent af medarbejderne i Gentofte Kommune ikke har modtaget den obligatoriske træning i cybersikkerhed.

"Uddannelse af medarbejderne er helt afgørende, for deres adfærd skal sikre, at man ikke bliver ramt af angreb. Jeg kan ikke se nogen undskyldning for, at det ikke er sket endnu," siger Jens Myrup Pedersen.

NB-Kommune har anmodet Gentofte Kommune om et interview, men det har ikke været muligt inden artiklens deadline.

IT-køb uden godkendelse

Uddannelse af medarbejdere og ledelse er vigtigt, fordi loven stiller krav til, at ledelsen og de rette fagligheder skal inddrages, når kommunerne køber og anvender it-løsninger.

I Odense har der dog været flere tilfælde, hvor der er blevet købt og startet IT-projekter uden den nødvendige godkendelse, fremgår det af årsberetningen. Det skyldes et ønske fra ledelsen om, at "tingene skal gøres hurtigere". Men den begrundelse køber Jens Myrup Pedersen ikke.

"Den effektive måde at gøre det på er at tænke sikkerhed ind fra starten. Man sparer måske tid i starten, men sætter det hele over styr igen, hvis systemet senere viser sig ikke at være sikkert," siger han.

NB-Kommune har også anmodet om interview med Odense Kommune uden held.