Kommunen klarade cyberattacken delvis bra, visar granskning
Revisionsrapport, Granskning av cyberattack 2025
Kommunstyrelsen · 10 mars 2026 · § 92 · Dnr KS-2026-000002
I korthet
Revisorerna tycker kommunen delvis hanterade dataattacken bra men behöver bli bättre på bland annat krav på leverantörer. Kommunen ska redovisa vilka åtgärder som gjorts i början av 2027.
Kommunstyrelsens beslut
1. Kommunledningskontorets tjänsteskrivelse utgör kommunstyrelsens yttrade över rapporten.
2. Kommunledningskontoret får i uppdrag att återredovisa status på åtgärder utifrån revisionens rekommendationer under första kvartalet 2027.
Utan votering. Ingen begärde att rösterna skulle räknas, så protokollet säger inte hur varje parti ställde sig.
Sammanfattning
De förtroendevalda revisorerna i Skellefteå kommun har granskat hur kommunen hanterade den cyberattack som drabbade systemleverantören Miljödata AB och således även Skellefteå kommun. Deras sammanfattande bedömning är att kommunstyrelsen delvis hanterade konsekvenserna av cyberattacken på ett ändamålsenligt sätt.
Utifrån granskning har det i rapporten konstateras att kommunstyrelsen inom flera områden visat på målmedvetenhet och handlingskraft i sitt incidenthanteringsarbete. Kommunen har en väl etablerad krisorganisation med tydliga rutiner och riktlinjer för incidenthantering och granskningen visar att kommunen i ett tidigt skede av attacken aktiverade ett arbete för att förstå attackens omfattning och konsekvenser. Däremot noterar revisionen att det finns förbättringsåtgärder som kommunstyrelsen behöver vidta gällande bland annat kravställning på leverantörer, uppföljning och åtgärdshantering av informationssäkerhetsincidenter med mera.
Utifrån genomförd granskning rekommenderar revisionen kommunstyrelsen att ta fram relevanta styrdokument, rutiner och riktlinjer, säkerställa robusta säkerhetskrav och uppföljning av leverantörsavtal, implementera befattningsanpassade utbildningsinsatser samt att säkerställa kontinuerlig insyn i incidenthantering. En stor del av dessa rekommendationer har under år 2025 redan identifierats av förvaltningen för support och lokaler samt kommunledningskontoret, ett arbete pågår med att genomföra förbättringar i syfte att anpassa verksamheten till kraven i Cybersäkerhetslagen (2025:1506) som trädde i kraft 2026-01-15.
Förvaltningen framför att den inte delar kommunen revisionens synpunkt på att anmälan inte var i tid till Integritetsskyddsmyndigheten (IMY).