Cybersäkerhetsläget augusti 2025
Kommunstyrelsen · 12 augusti 2025 · § 255 · Dnr KS-2025-000483
Kommunstyrelsens beslut
1. Rapporten noteras.
2. Kommunledningskontoret får i uppdrag att utifrån den nya lagstiftningens krav genomföra en utbildning riktad till kommunstyrelsen under år 2026.
Utan votering. Ingen begärde att rösterna skulle räknas, så protokollet säger inte hur varje parti ställde sig.
Sammanfattning
Kommunstyrelsen uppdrog i februari 2025 kommunledningskontoret att rapportera cybersäkerhetslagens konsekvenser för Skellefteå kommunkoncern samt kommunkoncernens nuläge senast innan cybersäkerhetslagen träder i kraft. Den nya cybersäkerhetslagen föreslås träda i kraft 15 januari 2026
I detta ärende rapporterar kommunledningskontoret utifrån det tilldelade uppdraget.
Regeringen har föreslagit att en ny lag, cybersäkerhetslagen, ska träda i kraft den 15 januari 2026. Lagen gäller för enskilda verksamhetsutövare inom vissa utpekade sektorer (bland annat vissa kommunala bolag) samt den verksamhet som bedrivs av bland annat kommuner och flera andra offentliga verksamhetsutövare. Lagen ställer krav på att verksamhetsutövarna bland annat ska vidta åtgärder för att skydda sina nätverks- och informationssystem, samt rapportera betydande incidenter.
Läs hela sammanfattningen
Lagen innehåller även bestämmelser om tillsyn och möjligheter för tillsynsmyndigheter att ingripa mot verksamhetsutövare genom bland annat sanktioner, och, avseende enskilda verksamhetsutövare, även förbjuda befattningshavare att inneha ledningsfunktioner.
Lagen ställer höga krav på den högsta ledningen att efterleva lagens krav och den högsta ledningen ska bland annat godkänna och övervaka genomförandet av säkerhetsåtgärder. För att kunna fullgöra sina skyldigheter krävs vidare att högsta ledningen utbildas inom detta.
Högsta ledningen i cybersäkerhetslagens mening avser för kommuner som offentlig verksamhetsutövare kommunstyrelsen. Detta innebär att det är kommunstyrelsen, och inte till exempel respektive nämnd eller förvaltning, som ytterst ansvarar för att lagstiftningen efterlevs i hela kommunen. För de kommunala bolag som är enskilda verksamhetsutövare anses bolagets styrelse utgöra högsta ledningen.
Regeringen remitterade lagförslaget till lagrådet den 12 juni 2025 och ändringar kan ske innan lagen träder i kraft. Eftersom lagförslaget avser implementering av ett EU-direktiv (NIS 2-direktivet) förväntas dock eventuella ändringar vara begränsade.
Nuläge och behov framåt för Skellefteå kommunkoncern
Bedömningen nedan fokuserar på nuläget för Skellefteå kommuns förvaltningar, vilka är de som kommunstyrelsen i lagens mening är ytterst ansvariga för. De kommunala bolag som bedriver verksamhet enligt cybersäkerhetslagen som enskilda verksamhetsutövare bör redovisa motsvarande rapporter till sina bolagsstyrelser. Det övergripande behovet om fortsatta satsningar inom informationssäkerhetsområdet gäller dock även för de kommunala bolagen och flera av de förslag på prioriteringar som tagits fram skulle även få positiv verkan för kommunkoncernens bolags informationssäkerhet.
Skellefteå kommun har de senaste åren genomfört flera åtgärder som på betydande sätt stärker kommunens informationssäkerhet. Åtgärderna gör kommunen mer förberedda inför den kommande cybersäkerhetslagens krav. Till exempel har kommunen infört ett arbetssätt, som samtliga förvaltningar och bolag inom kommunkoncernen aktivt arbetar med, för att identifiera skyddsbehoven för de informationssystem kommunen utnyttjar och inom ramen för detta mäta systemens efterlevnad till den av kommunstyrelsen beslutade kravkatalogen för informationssäkerhet. Skellefteå kommun har också implementerat flera gemensamma tekniska lösningar som stärker förmågan att motstå cyberangrepp.
Kommunledningskontoret har via ärendena dnr KS-2025-000392 samt KS-2025-000445 äskat om utökade medel för att bland annat stödja mindre kommunala bolag i leverantörsstyrning, möjliggöra ändamålsenlig förvaltning av information och etablera flera gemensamma säkerhetslösningar. Åtgärderna som äskandet avser är nödvändiga för att efterleva cybersäkerhetslagens krav och är även i övrigt väsentliga för att hantera de informationssäkerhetsrisker som identifierats som störst av kommunen.