Kommunene får statlig hjelp mot dataangrep

Stadig flere norske kommuner og fylkeskommuner opplever at de blir utsatt for digitale trusler. Antall angrep har økt betraktelig siden Ukraina-krigens start våren 2022. En spent geopolitisk situasjon ser ut til å gjøre vondt verre, både for kommunesektoren og privat næringsliv.

Nå styrkes altså den digitale sikkerheten i kommunesektoren.

Ba om hjelp mot trusler

– Flere kommuner har signalisert et behov for mer hjelp mot digitale trusler fra nasjonale myndigheter fordi deres datasikkerhet er under press, sa digitaliserings- og forvaltningsminister Karianne Tung (Ap) da hun slapp nyheten om etablering av et digitalt sikkerhetsmiljø for kommunene.

Nyvinningen heter KommuneCERT – Computer Emergency Response Team. Det blir del av helsesektorens allerede eksisterende responsmiljø, HelseCERT.

• LES OGSÅ:Stadig flere dataangrep– NSM redd for at åpne demokratier ikke greier å henge med i svingene

HelseCERT, som er del av Helsenett SF, har som oppgave å øke helsesektorens evne til å oppdage, forebygge og håndtere digitale angrep (les mer om HelseCERT i egen faktaboks i slutten av artikkelen).

Det digitale sikkerhetsmiljøet har lang erfaring med å bistå helse- og omsorgssektoren på dette området. Nå skal også kommunene og fylkeskommuner få samme type hjelp.

Førstelinje for kommunene

KommuneCERT får funksjonen som et sektorvist responsmiljø for kommunesektoren – i tråd med Nasjonal sikkerhetsmyndighets (NSM) rammeverk for håndtering av sikkerhetshendelser innen IKT.

KommuneCERT skal fungere som en førstelinje for kommunene og fylkeskommunene og samordne henvendelser med andre responsmiljøer. På denne måten sikres kommunesektoren ett kontaktpunkt, opplyste Helse- og omsorgsdepartementet og Kommunal- og distriktsdepartementet under kunngjøringen for noen dager siden.

Særlig små og mellomstore kommuner har ofte begrenset tilgang til nødvendig IT-kompetanse og kapasitet for å takle digitale trusler alene. Det er her KommuneCERT skal bidra og blant annet være knutepunkt for både veiledning og informasjonsflyt.

HelseCERT leverer allerede i dag tjenester til helse- og omsorgstjenestene i kommunene. Miljøet har bistått mange kommuner med forebyggende tiltak og håndtering av uønskede, digitale hendelser. De som jobber i HelseCERT kjenner altså kommunesektoren godt, opplyser departementene.

HelseCERT vil bygge videre på allerede etablerte tjenester som sårbarhetsscanning, råd og anbefalinger, varsling ved ondsinnede dataangrep og oppdatert situasjons- og trusselbilde – for å nevne noe.

Et virksomhetsansvar

«En slik utvidet rolle for HelseCERT, med en etablering av KommuneCERT, vil medføre en oppskalering av dagens kapasitet og tilbud ut mot kommunene», poengterer departementene.

Samtidig understreker de at digital sikkerhet er et virksomhetsansvar.

Det betyr at hver enkelt kommune (og fylkeskommune) i utgangspunktet selv har ansvar for å sikre dataene sine mot data cyberangrep.

Under et ekstraordinært foretaksmøte i Norsk Helsenett SF 24. november hvor kun etableringen av KommuneCERT var tema, ble det også understreket at kommunene har et selvstendig ansvar «for å oppdage dataangrep internt i egen IKT-infrastruktur, og at de også må bygge opp egen kapasitet».

KommuneCERT vil imidlertid kunne bistå med håndtering av kritiske hendelser, altså digitale angrep, ble det slått fast. Etableringen skal skje per 1. desember i år, altså om noen få dager.

Kommunene «eier» hendelsen

Videre ble det presisert at ansvarsprinsippet skal legges til grunn, på samme måte som i helse- og omsorgssektoren.

«Det innebærer at virksomheter som har ansvaret i en normalsituasjon, også har ansvaret for nødvendige beredskapsforberedelser – og for å håndtere ekstraordinære IKT sikkerhetshendelser», heter det i den foreløpige protokollen fra foretaksmøtet.

«Kommunene og/eller virksomhetene som eventuelt rammes av en hendelse, vil være de som eier hendelsen og som også er ansvarlig for kommunikasjon, varsling og rapportering i egen styringslinje, i henhold til nasjonale beredskapsprinsipper».

Stortingsproposisjon

Etableringen av KommuneCERT var tema i stortingsproposisjonen «Økonomiske tiltak som følge av krigen i Ukraina».

Der ble det bevilget «midler til tiltak som skal øke den digitale sikkerheten og beredskapen i kommunene, herunder sikre at kommunene er tilknyttet et responsmiljø».

I proposisjonen ble det foreslått at det skulle legges til rette for at kommunene kan knytte seg til et cybersikkerhetssamarbeid (CERT eller tilsvarende). Dessuten en tilskuddordning for å styrke kommunenes kompetanse og kapasitet til å forebygge og håndtere digitale hendelser.

På bakgrunn av dette ble Norsk helsenett SF bedt om å vurdere om HelseCERT kunne ta en større rolle som sektorvis responsmiljø (SRM) for kommunesektoren, under forutsetning av varig finansiering.

KS er glad

Kommunesektorens organisasjon (KS) har lenge ivret for at myndighetene etablerer et slikt støttemiljø som kan hjelpe kommunene ved digitale trusler eller angrep. Styreleder Gunn Marit Helgesen er derfor glad for at det nå skjer.

– Å styrke kommuner og fylkeskommuner på dette området er en viktig oppgave. Det må gjøres samordnet og på kommunenes premisser. Derfor er det veldig gledelig at signalene fra KS og kommunesektoren er blitt tatt på alvor, sier Helgesen.