Der mangler ressourcer til at imødekomme de hundredevis af cyberangreb, som rammer kommuner hver uge.

En af kommunernes mest krævende opgaver er at føre tilsyn med, om datasikkerheden er robust nok hos de it-leverandører, som varetager opgaver lige fra opbevaring af følsomme personoplysninger til drift af vandværker.

En kommune kan have op mod næsten 400 forskellige it-systemer. Derfor er en stor del af tilsynet outsourcet til Det fælleskommunale Databehandlersekretariat (DBS), der med syv medarbejdere fører datatilsyn for 76 kommuner.

Men det er alt for få medarbejdere til en enorm opgave. Det påpeger Jan Lemnitzer, der er assisterende professor i cybersikkerhed ved CBS.

"Når ansvarligheden kun findes på papiret, hvor 76 kommuner reelt skriver sig ud af ansvaret, og opgaven i praksis ligger hos et kontor med syv medarbejdere, så er det uansvarligt," siger han til NB-Kommune.

Jens Myrup Pedersen, der er professor i cybersikkerhed ved Aarhus Universitet, er også bekymret ved det lave antal af medarbejdere.

"Syv medarbejdere virker som et lavt antal til at kunne føre datatilsyn for 76 kommuner," siger han.

Tusindvis fik hacket følsomme personoplysninger

Hver fjerde kommune oplever mere end 200 cyberangreb om ugen, viser en undersøgelse fra HK Kommunal. Samtidig svarer 97 procent af landets kommunale it-chefer i en Momentum-rundspørge, at truslen fra hackergrupper og fjendtlige nationer er større, end hvad kommunerne har ressourcer til at modstå.

Senest gik det galt i Lejre Kommune, hvor 23.000 nuværende og tidligere borgere fik lækket navne, adresser og CPR-numre, og i nogle tilfælde også telefonnumre og e-mailadresser. Det svarer til omtrent 75 procent af indbyggertallet i kommunen.

"Det her er et eksempel på en sag, hvor man som kommune bør gå langt for at kontrollere, at data bliver behandlet ordentligt," siger Jens Myrup Pedersen.

Kommunen er stadig ved at undersøge, hvordan det kunne gå så galt, fortæller vicekommunaldirektør Tina Lykkegaard Marker til NB-Kommune.

"Vi vil gerne påtage os det ansvar, som er kommunens – blandt andet ansvaret for at hjælpe borgerne godt igennem den situation, de er blevet bragt i. Samtidig kigger vi nu ind i, hvad der er gået galt, og hvorfor det kunne ske. Evalueringen må vise, hvor det juridiske og tekniske ansvar ligger," siger hun.

It-fællesskab skal øge cybersikkerheden

Det er DBS, der fører tilsyn med datasikkerheden hos en del af Lejre Kommunes cirka 375 it-leverandører, oplyser kommunen. Og selv om der ikke er kommet en konklusion på, hvordan hackerne kunne trænge ind, så er kontrollen med datasikkerheden ikke i stand til at følge med truslen, mener Jan Lemnitzer.

"I det mindste er kommunen nu endt i en diskussion, som de burde have haft for længe siden: Nemlig, om datasikkerheden hos leverandøren er god nok," siger han.

Netop cybersikkerhed er en del af den seneste økonomiaftale for 2026 mellem regeringen og KL.

Kommunerne skal senest 1. januar 2027 samles i 4-5 tværkommunale it-serviceorganisationer med udgangspunkt i regionerne for at styrke sikkerheden og samle specialistkompetencerne, som der er mangel på.

De nye enheder skal overtage driften af blandt andet servere og netværk og senere også brugerstyring, support og monitorering. Til implementeringen af enhederne er der afsat 45 millioner kroner i 2026, som stiger til 50 millioner kroner årligt i 2027-2029.

Desuden er der i følge økonomiaftalen afsat en lånepulje på 90 millioner kroner i 2026 samt en lånepulje på 100 millioner kroner i 2027-2029.

Regeringen og KL vurderer, at samlingen kan give årlige gevinster på mellem 210 og 265 millioner kroner.