Redaktionen
Stærkere cybersikkerhed er målet, når kommunalbestyrelsen i aften skal tage stilling til et nyt fælles it-selskab. Men den samlede regning for samarbejdet er endnu ukendt.
Kommunens server- og netværksdrift kan fremover blive en del af et fælles selskab for alle 22 syddanske kommuner.
På aftenens kommunalbestyrelsesmøde skal politikerne behandle forslaget om at etablere KIT Syd I/S. Selskabet skal styrke cybersikkerheden og overtage ansvaret for en række opgaver, som kommunerne i dag selv løser.
Økonomiudvalget anbefalede på sit møde den 22. oktober, at indstillingen godkendes.
Baggrunden er økonomiaftalerne mellem regeringen og KL. Her er det aftalt, at kommunerne skal samle server- og netværksdriften i større it-serviceorganisationer.
Netværk først – servere følger frem mod 2030
Efter planen skal KIT Syd etableres den 1. januar 2027. Kommunernes netværksdrift skal overdrages i løbet af 2027, mens serverdriften flyttes trinvist frem mod udgangen af 2030.
Fra den 1. januar 2028 må kommunerne efter vedtægtsudkastet ikke selv etablere ny serverkapacitet.
Der er ikke tale om, at hele kommunens it-afdeling bliver samlet i det nye selskab. Kommunerne beholder blandt andet som udgangspunkt ansvaret for indhold og software på deres servere samt en række lokale, praktiske opgaver.
KIT Syd skal blandt andet stå for fælles drift, overvågning og sikkerhed på server- og netværksområdet. Materialet stiller krav om døgnbemandet vagtberedskab og overvågning samt mulighed for at isolere kommunernes systemer fra hinanden, så en sikkerhedshændelse ikke spreder sig på tværs.
Tekniske barrierer mod smitte mellem kommunerne
Spørgsmålet om, hvorvidt et hackerangreb kan lamme alle 22 kommuner på én gang, er direkte adresseret i aftalegrundlagets tekniske kravspecifikationer.
For at forhindre kædereaktioner forpligtes KIT Syd til at etablere logisk isolering og såkaldt mikrosegmentering. Det betyder, at de enkelte kommuners servere og netværk skal holdes adskilt i lukkede miljøer, så et digitalt indbrud hos én kommune ikke automatisk kan sprede sig til nabokommunernes data og drift. Samtidig skal etableringen af et døgnbemandet sikkerhedscenter sikre, at eventuelle trusler opdages og afskæres i realtid.
Selvom de enkelte kommuners systemer isoleres fra hinanden, vil et målrettet angreb mod selve KIT Syds centrale overordnede infrastruktur eller adgangsveje dog i yderste konsekvens kunne få konsekvenser på tværs af hele regionen. Desuden har selskabet beføjelse til at lukke eller begrænse systemer, hvis en hændelse truer den samlede driftsstabilitet.
Opstart koster 14 millioner kroner
Budgettet for KIT Syds første år er anslået til 14 millioner kroner. Udgiften skal fordeles mellem kommunerne efter indbyggertal.
Pengene bliver en ekstra udgift i 2027. Ifølge sagsfremstillingen forventes selskabet ikke at overtage væsentlige driftsopgaver i opstartsåret. Opgaver, der alligevel overtages i 2027, skal afregnes særskilt.
Hvad samarbejdet samlet kommer til at koste kommunerne fremover, er endnu ikke afklaret.
I løbet af 2027 skal KIT Syd udarbejde prislister med udgangspunkt i en undersøgelse af kommunernes nuværende drift og udgifter. Priserne skal indgå i grundlaget for budgettet for 2028.
Fremover skal betalingen bestå af et grundbidrag, betaling efter den enkelte kommunes forbrug og betaling for eventuelle supplerende opgaver. Selskabet skal ikke skabe overskud.
Kommunen afgiver ansvaret for driften
KIT Syd foreslås organiseret som et såkaldt § 60-fællesskab. Det betyder, at kommunerne overdrager kompetencen til at løse de omfattede opgaver til selskabet – ikke blot køber en ydelse hos en leverandør.
Når opgaverne er overdraget, kan kommunen derfor ikke længere selv varetage dem.
Bestyrelsen skal efter forslaget bestå af syv embedsfolk: tre kommunaldirektører, to it-chefer og to økonomichefer.
Kommunalbestyrelserne skal fortsat godkende blandt andet budgetter og lån. Det kræver tilslutning fra mindst 19 kommuner, som tilsammen repræsenterer mindst 75 procent af indbyggerne i ejerkommunerne. Ændringer af vedtægterne kræver enighed mellem alle 22 kommuner.
Fælles hæftelse og lang binding
Kommunerne skal hæfte direkte, ubegrænset og solidarisk for KIT Syds forpligtelser over for tredjeparter. Internt mellem kommunerne fordeles hæftelsen efter ejerandel.
Hæftelsen indebærer, at hvis selskabet ifalder et økonomisk ansvar, eksempelvis i form af GDPR-bøder eller sanktioner efter NIS 2-lovgivningen i kølvandet på et alvorligt sikkerhedsbrud, deles regningen mellem alle 22 kommuner efter indbyggertal.
En kommune kan efter vedtægtsudkastet tidligst udtræde ved udgangen af 2032 og skal varsle det mindst 24 måneder i forvejen. Der kan desuden følge betalinger efter udtræden for kapacitet, selskabet har etableret til kommunen.
KIT Syd skal have hjemsted og administration i Vejle samt en afdeling i Odense. Både server- og netværksopgaver skal løses på de to lokationer.
Aftenens behandling handler dermed både om at styrke sikkerheden omkring kommunens digitale infrastruktur og om at tilslutte sig et flerårigt samarbejde, hvor de samlede økonomiske konsekvenser endnu ikke er kendt.
