Revisionsberetning nr. 3 vedrørende revision af årsregnskabet for 2024

Revisionsbemærkning

Henstilling/Anbefaling

Handleplan

Bemærkning Nr. 1. Ibrugtagningstilladelser på it-systemer

(alle forvaltninger)

I lighed med tidligere år henstilles det, at

► at der udføres en tilpasset sikkerhedsvurdering af systemer ibrugtaget før 2018, samt, at de systemer, der har status ”ikke godkendt” eskaleres, jf. anskaffelsescirkulæret, og der træffes de nødvendige foranstaltninger, bl.a. om udfasning, idet disse, jf. kommunes regler, udgør en sikkerhedsrisiko.

Teknik- og Miljøforvaltningen

Teknik- og Miljøforvatningen følger de aktiviteter, som Økonomiforvaltningen (Koncern-IT) har igangsat. Teknik- og Miljøforvaltningens handleplan ligger hermed i forlængelse af disse aktiviteter:

1. Opdatere oplysninger på systemer i FISKK uden ibrugtagningsstatus (maj 2024). Indsats afsluttet maj 2024.
2. Udføre kritikalitetsscoring for systemer udvalgt af Koncern-IT (Q3 2024).
3. Igangsætte sikkerhedsvurdering af systemer med kritikalitet 3 og 4 (efter den nye kritikalitetsscoring) i samarbejde med KIT (Q2 2025).
4. Igangsættelse af enten godkendelse eller udfasning af systemer med status ’ikke godkendt’ i samarbejde med Koncern-IT (Q4 2024).

Deadline for handleplan:

Det forventes, at samtlige indsatser i handleplanen for håndtering af revisionsbemærkningen er afsluttet i 3. kvartal 2025

Bemærkning Nr. 3 Informationssikkerhed

(alle forvaltninger)

Der er udarbejdet en handleplan for første fase frem til marts 2026, der afsluttes med et ’stop and go’ med beslutning om næste fase. Det er forventningen, at ISMS-implementeringen vil forløbe over 3 år, hvor delelementer løbende vil overgå til drift og øge den ledelsesmæssige gennemsigtighed omkring informationssikkerheden.

Det henstilles, at arbejdet gennemføres hurtigst muligt således at den periode hvor den øverste ledelse må acceptere et ”uklart” billede af den samlede informationssikkerhed, herunder manglende viden om foranstaltninger og effektiviteten af kontroller samt residualrisikoen reduceres mest muligt.

Det henstilles endvidere, at:

► implementering af CIS 18 kontroller på cybersikkerheds- området sker hurtigst muligt og omfatter den samlede it-infrastruktur i Københavns Kommune

• it-anskaffelsesprocessen følger de krav der stilles i ISO’erne, herunder 27001 Anneks A. Anneks A omhandler de sikkerhedskontroller, som Københavns Kommune bør implementere i forbindelse med en it-anskaffelsesproces der skal sikre en sammenhængende informationssikkerhed i Københavns Kommune baseret på standarder og best practice.

Tværgående handleplan

Forvaltningen følger den tværgående handleplan fastlagt af Økonomiforvaltningen for hele kommunen. Handleplanen består af tre delelementer: 1) ISMS, 2) Implementering af CIS18-kontroller, 3) It-anskaffelsesprocessen.

1. ISMS
Implementeringen af et ISMS i Københavns Kommune følger den vedtagne handleplan som beskrevet i revisionsbemærkningen.

Arbejdet ledes af CISO-funktionen i Økonomiforvaltningen, og der nedsættes arbejdsgrupper med repræsentanter fra forvaltningerne med ansvar for at omsætte de af ledelsen udpegede fokusområder til konkrete initiativer, der skal implementeres i forvaltningerne.

Deadline for første fase: Q1-2026. Forventet deadline for den samlede implementering af et ISMS i Københavns Kommune: Q3 2028.

2. Implementering af CIS18-kontroller

CIS18 er målrettet it-infrastruktur og er et rammeværk, som Økonomiforvaltningen har arbejdet med i vurderingen af den tværgående it-infrastruktur i Københavns Kommune, som forvaltningen varetager. Med handleplanen sættes fokus på at sikre en standardiseret tilgang til al it-infrastruktur i Københavns Kommune, herunder implementering af kontroller.

3. It-anskaffelsesprocessen

Økonomiforvaltningen har igangsat et projekt, der skal genbesøge it-anskaffelsesmodellen i kommunen mhp. at skabe bedre forudsætninger for at arbejde differentieret og risikobaseret med it-anskaffelser. Inden udgangen af Q3-2025 vil det blive undersøgt, hvordan kravene fra ISO’erne, herunder 27001 Anneks A, kan blive indarbejdet i den nye model.

Deadline for samlet handleplan: Q3-2028.

Bemærkning Nr. 7 Revision af balancen (alle forvaltninger)

Det henstilles, at de respektive forvaltninger udarbejder specifikke handleplaner, som sikrer berigtigelse af de konstaterede fejl og mangler samt får etableret processer, der fremadrettet sikrer, at områderne administreres betryggende.

Der er i Teknik- og Miljøforvaltningen konstateret en fejlkategoriseret konto på balancen på 39.232 kr. vedrørende Barselsfonden.

Teknik- og Miljøforvaltningen er i dialog med Koncernservice om sagen og det forventes rettet ultimo juli 2025

Deadline for handleplan: Afsluttet 3. kvartal 2025

Bemærkning nr. 8. Anlægsprojekter

(Teknik- og Miljøforvaltningen, Økonomiforvaltningen, Socialforvaltningen, Kultur- og Fritidsforvaltningen, Beskæftigelses- og Integrationsforvaltningen)

Det henstilles, at lovgivning og kommunens regler vedrørende aflæggelse af anlægsregnskaber efterleves.

Teknik- og Miljøforvaltningen mangler at aflægge 34 anlægsregnskaber med ibrugtagning i 2023, der skulle have være aflagt senest i maj 2025.

13 af de 34 udestående anlægsregnskaber er behandlet i Teknik- og Miljøudvalget 16. juni 2025. De resterende 21 anlægsregnskaber forventes behandlet i Teknik- og Miljøudvalget i oktober 2025.

Deadline for handleplan: 4. kvartal 2025