Rutin för Ledningens genomgång

Ledningens genomgång är en viktig del i det systematiska informationssäkerhetsarbetet då det ska ge högsta ledningen en bild av hur verksamhetens information skyddas. Det ska även ge ett underlag för beslut om hur arbetet ska bedrivas fortsättningsvis. De styrande dokumenten för informationssäkerhet, cybersäkerhet och dataskydd ställer krav på ett systematiskt informationssäkerhetsarbete. En gång per år ska en genomgång av informationssäkerhetsarbetet göras.

Syftet med rutinen är att beskriva hur ledningens genomgång av det systematiska informationssäkerhetsarbetet (LIS) ska genomföras.

Ledningens genomgång är även en del i att uppfylla kraven om uppsikt i exempelvis Kommunallagen (2017:725) samt i myndigheten för samhällsskydd och beredskaps föreskrifter (2008:8) om informationssäkerhet i samhällsviktiga tjänster.

Rutinen omfattar hela organisationen och samtliga nämnder/bolag och förbund ska bidra med nödvändigt underlag till ledningens genomgång som till exempel rapporter från genomförda riskanalyser, incidenter, status på det egna informationssäkerhetsarbetet, personuppgiftshanteringen och införda informationssäkerhetsåtgärder.

Ansvarig utförare är informationssäkerhetsansvarig som konsulterar olika relevanta befattningar samt informerar högsta ledning.

Vid ledningens genomgång av LIS är informationssäkerhetsansvarig föredragande för Kommunstyrelsen som också tar beslut.

Underlaget och genomgången kan komma att innehålla information som är sekretess under 18 kap. 8§ OSL (2009:400).

Agenda

• Föregående protokoll
• Uppföljning av tidigare beslut
• Resultat från interna och externa revisioner
• Status förebyggande och korrigerande åtgärder
• Incidenter
• Omvärldsanalys
• Riskarbete
• Informationssäkerhetsklassningar
• Reaktioner från intressenter
• Resultat från mätningar av informationssäkerhet
• Överensstämmelse med krav och mål
• Utvärdering av lagefterlevnad
• Utvärdering av informationssäkerhetsarbetets effektivitet
• Förändringar i verksamheten som påverkar informationssäkerhetsarbetet
• Förslag på förbättringar av ledningssystemet

Resultatet från ledningens genomgång ska innehålla beslut och åtgärder som ger förbättring av informationssäkerhetsarbetet med hänsyn till hotbild och risker samt externa krav. Resultatet ska även tydliggöra ledningens engagemang genom att till exempel tillhandahålla tillräckliga resurser, understryka betydelsen av informationssäkerhet och följa regelverket för informationssäkerhet. Rapporten diarieförs i sin helhet med sekretessmarkering vid behov.

Efter avslutad genomgång ska protokollet och rapporten publiceras på intranätet efter att en sekretessbedömning är gjord.