Rammeaftalebilag E Databehandleraftale

Transkript

1 Rammeaftalebilag E Databehandleraftale Myntevej 5, 8920 Randers NV H. C. Ørsteds Vej 50C, 1879 Frederiksberg Tolstrup & Hvilsted ApS Side 1 af 6

2 1 Indledning Nærværende bilag indeholder følgende dokumenter: Procedure for indgåelse af databehandleraftale Databehandleraftale Bilag A til databehandleraftale Bilag B til databehandleraftale Bilag C til databehandleraftale Bilag D til databehandleraftale Myntevej 5, 8920 Randers NV H. C. Ørsteds Vej 50C, 1879 Frederiksberg Tolstrup & Hvilsted ApS Side 2 af 6

3 Procedure for indgåelse af databehandleraftale Du skal altid forholde dig til, om der skal indgås en databehandleraftale mv., inden du indgår et samarbejde med en ekstern partner uden for Aarhus Kommune. Hvornår skal jeg indgå en Der skal indgås en databehandleraftale, når: databehandleraftale med en samarbejdspartner? En virksomhed skal drifte et it-system for kommunen En virksomhed skal udføre en opgave for kommunen, som kræver at virksomheden får adgang til kommunes lokaliteter, systemer, data, manuelle registre og/eller netværk Et analysebureau skal foretage en undersøgelse iblandt borgere på vegne af kommunen Hvad siger lovgivningen? Ifølge Sikkerhedsbekendtgørelsen (kap. 2, 7) og Persondataloven ( 42) skal der indgås en skriftlig aftale imellem den dataansvarlige og databehandleren, når en offentlige myndighed (den dataansvarlige) overlader behandling af personoplysninger til en databehandler. Databehandleraftalen er altså et krav så snart data er personhenførbare. Personhenførbare oplysninger Når en person eller en biperson kan identificeres direkte/indirekte ved navn, adresse, personnummer eller andet nummer, fx løbenummer og/eller billede. Enkeltmandsejede virksomheder og interessentskaber, der er en sammenslutning af fysiske personer. Virksomhedsoplysninger, der kan identificere enkeltpersoner, fx aktionærer, anpartshavere, kommanditister og/eller om en person har en bestemt stilling i en virksomhed eller er kontaktperson. Myntevej 5, 8920 Randers NV H. C. Ørsteds Vej 50C, 1879 Frederiksberg Tolstrup & Hvilsted ApS Side 3 af 6

4 Hvad er formålet med at indgå en databehandler-aftale? Hvor finder jeg databehandleraftalen og bilag? Formålet med en databehandleraftale er at sikre mod, at oplysninger Hændeligt eller ulovligt tilintetgøres, fortabes eller forringes Kommer til uvedkommendes kendskab eller misbruges Behandles i strid med lov om behandling af personoplysninger Skabelon og bilag findes på edoc-sag nr. 14/ eller i ITsikkerhedshåndbogens mappe med Bilag. Databehandleraftalen Bilag A: Aarhus Kommunes IT-sikkerhedspolitik Bilag B: Krav til databehandler Bilag C: Kvitteringsbilag Bilag D: Oversigt over tilknyttede medarbejdere Hvad skal jeg være opmærksom på i forhold til aftalen og bilag? Databehandleraftalen: Udfyld alt med rød skrift og ret dato. Vær opmærksom på, at databehandleraftalen kun dækker de kontrakter/aftaler, som angives i indledningen. Bilag A skal udleveres til samarbejdspartneren. Der henvises en del til it-sikkerhedshåndbogen. Samarbejdspartneren kan eventuelt få et udskrift af håndbogen. Bilag B skal udfyldes af Samarbejdspartneren, da kontraktholderen kan vælge at det udfyldte Bilag B skal indgå i en risikovurdering. Der kan dog være nogle af felterne, som ikke er relevante. ikke relevant påføres i så fald ud for de pågældende felter. Udfyld alt med rød skrift. Myntevej 5, 8920 Randers NV H. C. Ørsteds Vej 50C, 1879 Frederiksberg Tolstrup & Hvilsted ApS Side 4 af 6

5 Bilag C udfyldes af samarbejdspartneren, hvis der er udleveret personhenførbart og/eller fortroligt materiale til samarbejdspartneren. Udfyld alt med rød skrift og ret dato. Bilag D udfyldes af samarbejdspartneren, hvis der er medarbejdere tilknyttet samarbejdspartneren, der skal have adgang til Aarhus Kommunes lokaliteter/netværk/data. Hvad skal jeg gøre, når tilbuddene er modtaget? Det er et krav fra Datatilsynet, at der skal foretages en risikovurdering af løsningen og leverandørerne, fx når løsningen er skybaseret, når data opbevares i et andet land eller der er tale om kritiske kerneydelser. Den udbudsansvarlige skal sammen med den lokale ITsikkerhedsansvarlige risikovurdere løsningen og den valgte leverandør eller evt. to leverandører, hvis man er splittet imellem to tilbud. Hvordan laver jeg risikovurderingen? Risikovurderingen foretages i Risk-modulet i ITsikkerhedshåndbogen. Du skal sende følgende oplysninger til Brugerservice via ITsikkerhedspostkassen (itsikkerhed@aarhus.dk) Navn på den/de udvalgte leverandører Data for deadline for risikovurdering Navn på opgaven/udbuddet Navn/navne på de vurderingsansvarlige (fx kontraktholder og systemejer), der skal deltage i risikovurderingen Herefter klargør Brugerservice vurderingsprojektet og sender et link til de vurderingsansvarlige. Når vurderingen er foretaget (kan evt. ske i samarbejde med Brugerservice), udarbejder Brugerservice i Myntevej 5, 8920 Randers NV H. C. Ørsteds Vej 50C, 1879 Frederiksberg Tolstrup & Hvilsted ApS Side 5 af 6

6 samarbejde med de vurderingsansvarlige en risikovurderingsrapport, som giver et billede af leverandørens modenhed på ITsikkerhedsområdet i forhold til opgaven/udbuddet. Hvornår databehandleraftalen underskrives? skal Databehandleraftalen skal underskrives samtidig med kontraktindgåelse. Hvis databehandleraftalen undtagelsesvis ikke har været en del af anskaffelsesprocessen, skal det efterfølgende sikres, at databehandleraftalen bliver indgået, inden der kan gives adgang til kommunale data. Hvor skal jeg journalisere databehandleraftalen? Du skal journalise den underskrevne databehandleraftale med bilag i edoc på afdelingens sag under projektnr Opret et dokument pr. databehandleraftale. Skal jeg gøre andet end at indgå en databehandler-aftale? Du skal indgå en skriftlig kontrakt/driftsaftale med den eksterne samarbejdspartner. Databehandleraftalen gør det ikke ud for sådanne. Vær opmærksom på, at leverandøren er forpligtet til løbende at tilmelde nye medarbejdere og afmelde medarbejdere, der ikke længere har behov for adgang, til kontraktholder hos Aarhus Kommune. Du skal oprette en intern anmeldelse se vejledningen Opret en anmeldelse på Anmeldelsesportalen. Myntevej 5, 8920 Randers NV H. C. Ørsteds Vej 50C, 1879 Frederiksberg Tolstrup & Hvilsted ApS Side 6 af 6

7 Databehandleraftale om udførelse af opgaver for Aarhus Kommune Version 1.0 4/ Databehandleraftale mellem Aarhus Kommune, afdelingsnavn indsættes og leverandørnavn indsættes Det er jf. - kontrakt/driftsaftale/anden aftale + titel - aftalt, at - leverandørnavn indsættes - skal udføre følgende opgave for Aarhus Kommune:. Indledning På denne baggrund indgås denne databehandleraftale mellem Aarhus Kommune som dataansvarlig og med - leverandørnavn indsættes (herefter databehandleren) som databehandler for Aarhus Kommune, idet der jf. Persondatalovens 42, stk. 2, skal indgås en skriftlig aftale, når Aarhus Kommune overlader en behandling af personoplysninger til en databehandler. Der aftales herved følgende: 1. Efter instruks Databehandleren handler alene efter instruks fra Aarhus Kommune i forbindelse med udførelse af de aftalte opgaver. Oplysninger må ikke videregives til tredjepart eller behandles til andre formål, medmindre dette sker efter aftale med Aarhus Kommune. 2. Databeskyttelseslovgivning Databehandleren overholder den til enhver tid gældende persondatalovgivning og herunder sikkerhedsbekendtgørelse nr. 528 af 15. juni 2000 og de sikkerhedsregler, der følger af sikkerhedsbekendtgørelsen. 2.1 Databehandleren sikrer herunder, at der er truffet de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes samt mod, at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med persondataloven eller Aarhus Kommunes IT-sikkerhedspolitik 1 (Bilag A) og herunder den offentlige standard for informationssikkerhed DS 484:2005 eller tilsvarende standard for informationssikkerhed. Databehandleren skal ved tilbudsafgivelsen bekræfte at kunne leve op til kravene i bilag B 2. Det skal fremhæves, at bilag B ikke er en udtømmende liste over sikkerhedskrav. Udfyldelsen af bilag B skal foretages af databehandleren og godkendes af Aarhus Kommune inden kontraktindgåelsen. 2.2 Hvis databehandleren er etableret i et andet land, skal databehandler sikre, at de ud over den danske lovgivning også lever op til dette lands databeskyttelseslovgivning. 1 Bilag A Aarhus Kommunes IT-sikkerhedspolitik 2 Bilag B Krav til databehandlere 1

8 Databehandleraftale om udførelse af opgaver for Aarhus Kommune Version 1.0 4/ Hvis det drejer sig om databehandling i et usikkert tredjeland 3, skal kommissionens standardkontrakt 4 indgås. Hvis andre myndigheder fremlægger en kendelse om adgang til Aarhus Kommunes data, skal databehandler gøre indsigelse mod en kendelse og oplyse Aarhus Kommune herom. 2.3 Databehandleren skal levere en oversigt over datacentre og backup centre med præcis adresseangivelse af, hvor Aarhus Kommunes data behandles. Der sendes en ny oversigt til Aarhus Kommune ved ændringer. Der kan ikke uden forudgående aftale med Aarhus Kommune placeres data i et andet land. 2.4 Databehandleren er forpligtet til straks at give Aarhus Kommune (den kontraktansvarlige) meddelelse om driftsforstyrrelser, mistanke om brud på IT-sikkerhedsreglerne eller andre væsentlige uregelmæssigheder i forbindelse med udførelsen af opgaven. 3 Adgang til data Ved adgang til sikrede lokaler i Aarhus Kommune, kan den enkelte kommunale afdeling udlevere et adgangskort med en personlig kode eller en nøgle mod kvittering. Databehandleren har det ledelsesmæssige ansvar for, at databehandlerens medarbejdere overholder kommunens IT-sikkerhedsregler. 3.1 Databehandlerens medarbejdere må alene have adgang til data og/eller udføre jobs i det omfang, det er nødvendigt for udførelsen af arbejdet. Data må ikke lagres lokalt på medarbejderens udstyr. Databehandlerens medarbejdere må ikke behandle fortrolige data uden for det aftalte driftsmiljø uden forudgående godkendelse af den pågældende afdeling 5. Kvitteringsbilag C kan anvendes. Opbevaring af data skal ske under sikrede forhold, og sådan at der herunder alene er adgang for de involverede. Databehandleren garanterer, at nødvendig kopiering og backup af data sker under fuldt betryggende forhold. Efter endt brug skal udleveret datamateriale enten returneres tilstrækkeligt sikkert til Aarhus Kommune eller destrueres forsvarligt, så det ikke er muligt at genskabe dem. Eventuel destruktion skal aftales nærmere med den dataansvarlige i Aarhus Kommune. 3.2 Databehandlerens medarbejdere, som har behov for adgang til Aarhus Kommunes netværk skal forsynes med digital virksomhedssignatur (medarbejder NemID) af databehandleren. Medarbejderne skal være tilknyttet et sikkerhedsområde i Aarhus Kommunes IT-sikkerhedsorganisation. 3 Under Erhverv, Tredjelande, Sikre tredjelande 4 Under Erhverv, Tredjelande, Kommissionens standardkontrakt 5 Bilag C - Kvitteringsbilag 2

9 Databehandleraftale om udførelse af opgaver for Aarhus Kommune Version 1.0 4/ Medarbejdere tildeles en brugerident samt en personlig og fortrolig adgangskode i h.t. gældende standarder i Aarhus Kommune. Bestilling af ny kode - ved glemt kode - skal så vidt muligt ske via Aarhus Kommunes ITsikkerhedsorganisation. 4 Tavshedspligt Databehandleren forpligter sig over for uvedkommende til at hemmeligholde alle oplysninger modtaget fra og om Aarhus Kommune, som databehandleren får kendskab til i forbindelse med udførelsen af arbejdet for Aarhus Kommune. 4.1 Databehandleren sikrer, at deres medarbejdere, der får adgang til oplysninger fra Aarhus Kommune har underskrevet en tavshedserklæring om, at de har tavshedspligt over for uvedkommende med hensyn til deres adgang til kunders/samarbejdspartneres data. Tavshedspligten er gældende såvel under ansættelsen som efter ansættelsens ophør. Databehandler skal levere en kopi af disse erklæringer efter anmodning fra Aarhus Kommune. 4.2 Ved indgåelse af aftalen vedlægges et bilag D med en oversigt over de tilknyttede medarbejdere 6, der skal have adgang til Aarhus Kommunes lokaliteter/netværk. Leverandøren er forpligtet til at løbende at tilmelde nye medarbejdere og afmelde medarbejdere, der ikke længere har behov for adgang, til kontraktholder hos Aarhus Kommune. 5. Underdatabehandlere (underleverandører) Hvis databehandleren anvender underdatabehandlere er det databehandlerens ansvar, at underdatabehandleren efterlever databehandleraftalen, idet aftalen også gælder for disse. Databehandleren skal informere Aarhus Kommune om evt. underdatabehandlere samt sikre, at også deres underdatabehandleres medarbejdere har underskrevet en tavshedserklæring. Efter anmodning fra Aarhus Kommune skal databehandler levere en kopi af underdatabehandleraftalen. 6 Tilsyn Aarhus Kommune fører tilsyn med, at databehandleren har truffet de fornødne sikkerhedsforanstaltninger. Dette kan ske ved et besøg hos databehandleren og/eller hos evt. underdatabehandlere. Aarhus Kommune kan også lade andre (f.eks. revisor) gennemføre tilsyn. Aarhus Kommune er til enhver tid berettiget til at gennemføre yderligere kontrolforanstaltninger, herunder at begrænse databehandlers adgangsmuligheder til Aarhus Kommunes netværk og data. Databehandleren skal på Aarhus Kommunes anmodning, give Aarhus Kommune tilstrækkelige oplysninger til, at denne kan påse, at de krævede tekniske og organisatoriske sikkerhedsforanstaltninger er truffet Bilag D Oversigt over tilknyttede medarbejdere 3

10 Databehandleraftale om udførelse af opgaver for Aarhus Kommune Version 1.0 4/ Hvis det fremgår af kontrakten, skal der ved underskrift af databehandleraftalen leveres den seneste revisorerklæring, og herunder evt. baggrundsmateriale til erklæringen. Herefter leveres en årlig revisorerklæring, der er udarbejdet i overensstemmelse med de gældende branchestandarder på området (f.eks. ISAE 3000 vedrørende overholdelse af persondataloven). Dette gælder også for evt. underdatabehandlere. 7. Øvrige forhold Hvis Aarhus Kommune oplyser, at der foretages videoovervågning i de lokaliteter, hvor databehandlerens medarbejdere færdes hos Aarhus Kommune, skal databehandleren sikre, at deres medarbejdere samt underdatabehandleres medarbejdere gøres bekendt med dette. Databehandleren skal endvidere informere de pågældende medarbejdere om, at der sker registrering (logning) af alle anvendelser af fortrolige personoplysninger samt registrering af afviste adgangsforsøg i kommunens IT-systemer. De pågældende medarbejdere skal herunder gøres bekendt med, at der foretages kontrol med alle anvendelser af systemer med fortrolige personoplysninger. Loggen gemmes i 6 måneder, hvorefter den slettes. 8. Overtrædelse af databehandleraftalen Parternes erstatningspligt efter dansk rets almindelige regler skal være reguleret i kontrakten. 9. Databehandleraftalens ophør Aftalen kan genforhandles, hvis der sker ændring af det i punkt 2 anførte juridiske grundlag for aftalen. 9.1 Databehandleraftalen træder ud af funktion, når det samarbejde, der er en forudsætning for aftalen, ikke længere er gældende. 9.2 Tavshedspligten for databehandleren/underdatabehandlere og deres medarbejdere ophører ikke, selv om databehandleraftalen træder ud af kraft Databehandleren må kun behandle personoplysninger, som Aarhus Kommune er ansvarlig for, så længe det er nødvendigt for udførelse af den aftalte opgave Ved ophør skal det aftales med Aarhus Kommune, at data skal leveres tilbage til Aarhus Kommune eller der skal ske uoprettelig sletning punkt 3.1. For leverandørnavn indsættes Aarhus Kommune, Dato: / - 201_ Dato: / - 201_ 4

11 Databehandleraftale om udførelse af opgaver for Aarhus Kommune Version 1.0 4/ (Underskrift) (Underskrift) Bilagsoversigt: Bilag A Aarhus Kommunes IT-sikkerhedspolitik Bilag B Krav til databehandlere Bilag C Kvitteringsbilag Bilag D Oversigt over tilknyttede medarbejdere 5

12 Aarhus Kommune Politik

13 Politik Indledning IT-sikkerhedspolitikken blev vedtaget i byrådets møde den 24. juni 2009 Revisionsdato: 11. marts 2016 IT-sikkerhedspolitikken er den overordnede ramme for IT-sikkerheden i kommunens informationsbehandling generelt. IT-sikkerhedspolitikken og den tilhørende IT-sikkerhedshåndbog skal være tilgængelig for alle medarbejdere/itbrugere i Aarhus Kommune. IT-sikkerhedspolitikken er udarbejdet på baggrund af den offentlige standard for informationssikkerhed DS 484:2005, lov om behandling af personoplysninger, Lov nr. 429 af 31. maj 2000 samt kommunens hidtidige ITsikkerhedspolitik. Formål Det er af vital betydning for Aarhus Kommune, at informationer behandles sikkerhedsmæssigt forsvarligt, idet informationer og informationssystemer (herunder netværk og telefoni) er særdeles vigtige for kommunens virksomhed. IT-sikkerhedspolitikken definerer en ramme for beskyttelse af kommunens informationer (herunder personoplysninger og andre fortrolige oplysninger f.eks. om økonomiske forhold) og sikrer hermed særligt, at følsomme og kritiske informationer bevarer deres fortrolighed, integritet og tilgængelighed. IT-sikkerhedsniveauet vil være afstemt efter risiko, væsentlighed, lovkrav, Aarhus Kommunes IT-strategi og god IT-skik m.v. IT-sikkerhedspolitikken skal være med til at forebygge sikkerhedsproblemer, begrænse skader samt sikre retablering af informationer og de forvaltningsprocesser, informationerne indgår i. Politikkens omfang IT-sikkerhedspolitikken omfatter alle informationer, der behandles i Aarhus Kommune, uanset i hvilken form de modtages, opbevares og formidles. Herunder omfatter politikken systemer, netværk, telefoni m.v. IT-sikkerhedspolitikken gælder for alle medarbejdere/it-brugere, uanset ansættelsesform samt selvejende institutioner eller andre samarbejdspartnere, som kommunen har indgået driftsoverenskomst med. Ved udlicitering af opgaver samt hvor leverandører udfører opgaver for kommunen, skal systemejerne sikre, at kommunens IT-sikkerhedsniveau overholdes. Leverandøren skal således mindst leve op til kommunens ITsikkerhedsniveau. Ledelsesansvar SecureAware Side 1 af 7

14 Politik Det følger af kommunens styrelsesvedtægt, at Aarhus Byråd er ansvarlig myndighed og herunder, at Borgmesteren har det overordnede ledelsesansvar for IT-sikkerhedspolitikken. Rådmænd og direktører har ledelsesansvaret for udmøntningen af sikkerhedspolitikken i den enkelte magistratsafdeling, herunder selvejende institutioner, som magistratsafdelingen har indgået driftsoverenskomst med. Forvaltningschefer har ledelsesansvaret for sikkerhedspolitikken i den enkelte forvaltning, og chefer for de enkelte enheder har ledelsesansvaret for sikkerhedspolitikken i den enkelte afdeling, område, institution m.v. IT-sikkerhedsorganisationen Det er af stor betydning for overholdelse af IT-sikkerhedspolitikken, at denne har en ledelsesmæssig forankring. Til støtte for dette har følgende en særlig rolle i IT-sikkerhedsorganisationen. IT-sikkerhedschefen er den øverste ansvarlige for administration, håndhævelse, tilsyn m.v. af ITsikkerhedsreglerne i Aarhus Kommune og herunder godkendelse af sikkerhedsområder og sikkerhedsansvarlige. Det nærmere indhold af opgaverne fremgår af bilag 1 samt IT-sikkerhedshåndbogen. Direktørerne er overordnet ansvarlige for, at magistratsafdelingen overholder sikkerhedsreglerne. IT-cheferne fungerer som stedfortræder for direktørerne i forhold til denne opgave. De forvaltningsansvarlige og de afdelingsansvarlige (forvaltningschefer og afdelingschefer) er ansvarlige for, at forvaltningen/afdelingen overholder sikkerhedsreglerne og herunder, at der etableres en hensigtsmæssig sikkerhedsstruktur med et passende antal sikkerhedsansvarlige i forhold til organisationens størrelse. De forvaltningsansvarlige udpeger de sikkerhedsansvarlige og stedfortrædere, der skal forestå de daglige sikkerhedsopgaver i sikkerhedsområderne. De sikkerhedsansvarlige er ansvarlige for udførelse af de daglige sikkerhedsopgaver i de respektive sikkerhedsområder, herunder at informere sikkerhedsområdets medarbejdere om sikkerhedsreglerne samt at medarbejderne alene autoriseres til oplysninger, der er relevante for vedkommendes arbejdsområde. IT-sikkerhedsudvalg IT-sikkerhedsudvalget består af en repræsentant og en backup-repræsentant fra hver magistratsafdeling samt fra Brugerservice, der har den fornødne beslutningskompetence og gerne en særlig interesse for ITsikkerhedsområdet. Emner, der har særlig betydning for medarbejderne, skal også behandles i kommunens Med-system, jf. Lokalaftale om medindflydelse og medbestemmelse i Aarhus Kommune. Formandskabet for ITsikkerhedsudvalget varetages af IT-sikkerhedschefen. Sekretariatsfunktionen varetages af Borgmesterens Afdeling. IT-sikkerhedsudvalgets opgave er at behandle principielle sikkerhedsspørgsmål og være rådgivende organ for IT-sikkerhedsarbejdet i IT-sikkerhedsorganisationen. SecureAware Side 2 af 7

15 Politik Udvalget refererer til IT-styregruppen, der sætter rammer for det IT-sikkerhedsmæssige arbejde og følger kommunens efterlevelse heraf. Der skal foreligge et kommissorium for IT-sikkerhedsudvalgets arbejde. IT-sikkerhedsniveau Det er Aarhus Kommunes politik at beskytte informationer, sikre tilgængelighed og udelukkende tillade brug, adgang og offentliggørelse af informationer under hensyntagen til den til enhver tid gældende lovgivning. På denne baggrund fastlægger Aarhus Kommune en afbalanceret risiko- og konsekvensvurdering under hensyntagen til de basale sikkerhedsforanstaltninger i DS 484, persondatalovens bestemmelser samt Aarhus Kommunes IT-strategi. Den overordnede risikovurdering skal fremgå af IT-sikkerhedshåndbogen, der er gældende for kommunens informationsbehandling og har samme status som instrukser. Der skal foretages en årlig gennemgang af den overordnede risikovurdering. IT-sikkerhedschefen gennemfører i samarbejde med magistratsafdelingerne et passende antal risikoanalyser i forbindelse med større forandringer i organisationen eller ved væsentlige ændringer i risikobilledet. IT-sikkerhedshåndbogen IT-sikkerhedshåndbogen indeholder de konkrete retningslinier om IT-sikkerhed. Det nærmere indhold af ITsikkerhedshåndbogen fremgår af bilag 1. IT-infrastruktur Borgmesterens Afdeling skal sikre, at kommunen har en IT-infrastruktur, der understøtter de fastsatte sikkerhedsregler. IT-drift Systemejerne skal sikre, at driftsaftaler, der indgås, tilsvarende understøtter de fastsatte sikkerhedsregler. IT-sikkerhedsbevidsthed Det er vigtigt, at alle ansatte er bevidste omkring IT-sikkerheden i kommunen. Til brug for dette udarbejder ITsikkerhedschefen i samarbejde med de øvrige magistratsafdelinger informations- og undervisningsmateriale, der vil blive publiceret til medarbejderne via IT-sikkerhedsorganisationen. IT-sikkerhedsorganisationen skal løbende følge op på, at medarbejderne er bevidste omkring IT-sikkerhedsreglerne. IT-sikkerhedsorganisationen skal sikre, at alle medarbejdere er gjort bekendt med IT-sikkerhedsreglerne og kontrol f.eks. i forbindelse med brug af systemer, E-post, Internet, videoovervågning og øvrige kontrolforanstaltninger. Dette skal ske på en klar og utvetydig måde. Kontrolforanstaltningerne i forhold til medarbejderne er i øvrigt omfattet af "Aftale om kontrolforanstaltninger OK-08". IT-beredskab IT-sikkerhedschefen skal sikre, at kommunens informationer, herunder data og systemer, der er kritiske for kommunens informationsbehandling, håndteres efter en særlig risikovurdering. Det skal også sikres, at kommunens driftsmiljø, kommunikationsforbindelser m.v. håndteres efter en særlig risikovurdering. Dette skal ske i sammenhæng med de kommunale Indsatsplaner for fortsat drift. SecureAware Side 3 af 7

16 Politik Brud på eller trusler mod IT-sikkerheden Konstaterede IT-sikkerhedsmæssige brud på eller trusler mod IT-sikkerheden skal registreres og dokumenteres, og alle væsentlige brud skal rapporteres til IT-sikkerhedschefen til vurdering samt til den løbende opsamling af sikkerhedsproblemer til brug for revurdering af IT-sikkerhedsbestemmelserne. Tilsyn og rapportering IT-sikkerhedschefen fører tilsyn med overholdelsen af IT-sikkerhedspolitikken og de herunder fastsatte ITsikkerhedsbestemmelser. Tilsynet foregår ved stikprøvekontroller, udsendelse af screeningsskema til ITsikkerhedsområder samt eventuelle efterfølgende besøg. IT-sikkerhedschefen rapporterer løbende om IT-sikkerheden i Aarhus Kommune og herunder om eventuelle ændringer i IT-sikkerhedspolitikken via IT-sikkerhedsportalen. En gang årligt foretages en risikovurdering og herunder en vurdering af, om der skal ske ændring af de gældende IT-sikkerhedsregler og tilhørende procedurer. Aarhus Byråd orienteres om status for IT-sikkerhedsarbejdet i Aarhus Kommune via ITsikkerhedsportalen. Vedligeholdelse Som et led i den overordnede IT-sikkerhedsstyring samt på grundlag af den løbende overvågning og rapportering tages IT-sikkerhedspolitikken op til en årlig revurdering i IT-sikkerhedsudvalget. IT-sikkerhedshåndbogen vedligeholdes af IT-sikkerhedschefen i samarbejde med IT-sikkerhedsudvalget. Bilag 1 til IT-sikkerhedspolitik for Aarhus Kommune Dette bilag definerer det nærmere indhold af IT-sikkerhedspolitikken, der anvendes som grundlag for de konkrete retningslinier om IT-sikkerhed i IT-sikkerhedshåndbogen. Retningslinierne og deres operationalisering skal være med til at forhindre, at kommunens informationer, herunder særligt følsomme og kritiske, hændeligt eller ulovligt tilintetgøres, fortabes eller forringes eller kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med lov om behandling af personoplysninger. Håndbogens opbygning skal følge den samme punktinddeling, som anvendes i standarden DS 484:2005 med tilføjelse af yderligere punkter til opfyldelse af regler på persondatalovens område. IT-sikkerhedschefen er ansvarlig for udarbejdelse af de konkrete retningslinier om IT-sikkerhed. 1. IT-sikkerhedshåndbogen Indeholder en beskrivelse af IT-sikkerhedshåndbogens opbygning og indhold. 2. Definitioner Indeholder en beskrivelse af anvendte definitioner. 3. Særligt vedrørende persondatalovens område SecureAware Side 4 af 7

17 Politik Indeholder en nærmere beskrivelse af persondatalovens bestemmelser, som ikke direkte fremgår af DS 484, herunder regler for hvilke oplysninger, der er omfattet af persondataloven, anmeldelse af behandlinger, videregivelse af personhenførbare oplysninger, sammenstilling af personhenførbare oplysninger, kurser i brugen af systemer med personhenførbare oplysninger, opfyldelse af oplysningspligten og tv-overvågning. 4. Risikovurdering og -h åndtering Indeholder en overordnet risikovurdering, herunder konsekvens- og sårbarhedsvurdering. Den overordnede vurdering anvendes bl.a. i forbindelse med IT- beredskabet samt den årlige revurdering af ITsikkerhedspolitikken i Aarhus Kommune. Det er målet, at kommunen har et forsvarligt sikkerhedsniveau for de aktiver, kommunen har ansvaret for at behandle set i forhold til mulige sikkerhedstruende hændelser. 5. Tilsyn med IT-sikkerheden Indeholder en nærmere beskrivelse af kontrolprocedurer i forbindelse med tilsynet med overholdelse af kommunens IT-sikkerhedsregler. 6. Organisering af informationssikkerhed Placering af ansvar er vitalt for at sikre kommunens informationer og informationssystemer. ITsikkerhedschefen vedligeholder IT-sikkerhedsorganisationen, som skal varetage de IT-sikkerhedsmæssige opgaver, både i forhold til interne organisatoriske forhold og eksterne samarbejdspartnere/leverandører. Kontrakter med selvejende institutioner eller andre samarbejdspartnere og andre aftaler er ligeledes et område, der har indflydelse på informationssikkerheden. Interne organisatoriske forhold: Indeholder en nærmere beskrivelse af IT-sikkerhedsorganisationen og herunder IT-sikkerhedsudvalgets samt IT-sikkerhedschefens opgaver. Eksterne samarbejdspartnere/leverandører: Systemejerne skal sikre, at IT-sikkerhedsniveauet hos eksterne samarbejdsparter/leverandører mindst er på niveau med kommunens IT-sikkerhedsniveau. Dette dokumenteres ved indgåelse af databehandlingsaftaler samt ved aflevering af relevante revisionserklæringer. 7. Styring af informationsrelaterede aktiver Alle kommunens fysiske og funktionsmæssige informationsrelaterede aktiver skal beskyttes, uanset om det er fysiske aktiver som dokumenter, der er udskrevet, produktionsudstyr eller IT-systemer. Det er derfor nødvendigt at identificere, klassificere og placere ejerskab for alle aktiver. De enkelte magistratsafdelinger samt Fælles IT skal vedligeholde fortegnelser over alle væsentlige aktiver, herunder IT-udstyr og informationssystemer. Der skal udpeges en ejer som ansvarlig for hvert aktiv. Borgmesterens Afdeling udarbejder retningslinier for accepteret brug af kommunens informationsaktiver. 8. Medarbejdersikkerhed Informationssikkerheden i kommunen afhænger i høj grad af medarbejderne. Medarbejdere skal derfor uddannes i IT-sikkerhed i relation til deres jobfunktion og modtage de nødvendige informationer. Endvidere er det nødvendigt med regler, der beskriver sikkerhedsforhold, når et ansættelsesforhold slutter. IT-sikkerhedschefen udarbejder en nærmere beskrivelse af sikkerhedsprocedurerne. SecureAware Side 5 af 7

18 Politik Medarbejderne skal kvittere for at have set og forstået IT-sikkerhedsfilmen og at de vil overholde kommunens gældende IT-sikkerhedsregler. Den enkelte magistratsafdeling vurderer behovet for baggrundscheck og straffeattest. 9. Fysisk sikkerhed Kommunens IT-infrastruktur, lokaler, informationsbehandlingsudstyr og kommunikationsudstyr skal beskyttes mod uautoriseret fysisk adgang samt fysiske skader og uønskede hændelser. IT-sikkerhedschefen beskriver retningslinier for fysisk afgrænsning af områder, fysisk adgangskontrol, sikring af kontorer, lokaler og udstyr, beskyttelse mod eksterne trusler, forsyningssikkerhed, sikker bortskaffelse eller genbrug af udstyr m.v. 10. Styring af netværk og drift Borgmesterens Afdeling beskriver operationelle procedurer og ansvarsområder. Herunder driftsafviklingsprocedurer, beskyttelse mod skadevoldende programmer og mobil kode, sikkerhedskopiering, netværkssikkerhed, databærende medier, informationsudveksling, elektroniske forretningsydelser samt overvågning og registrering af sikkerhedsrelaterede hændelser. Systemejerne skal sikre en korrekt og betryggende driftsafvikling af kommunens informationssystemer. 11. Adgangsstyring Adgangen til at udføre handlinger på kommunens IT-systemer beskyttes af adgangskontrolsystemer. Systemerne har til formål at sikre mod uautoriserede ændringer, ordrer, fejl og svindel. Kommunens medarbejdere skal medvirke til beskyttelse af informationsaktiverne gennem korrekt brug af systemerne. IT-sikkerhedschefen beskriver retningslinier for adgangsstyring, administration af brugeradgang, brugernes ansvar, styring af netværksadgang, styring af systemadgang, styring af adgang til brugersystemer og informationer samt mobilt udstyr og fjernarbejdspladser. 12. Anskaffelse, udvikling og vedligeholdelse af informationsbehandlingssystemer Det er vigtigt, at indkøb, udvikling og implementering af nye systemer foregår kontrolleret for at undgå unødvendige risici for kommunens informationsbehandling. Når løsninger implementeres skal sikkerhedsovervejelser altid indgå som en integreret del af processen. Systemejerne skal derfor sikre, at krav til sikkerhed bliver identificeret i forbindelse med udarbejdelse af kravspecifikationen ved anskaffelsen af et nyt system IT-sikkerhedschefen beskriver sikkerhedskravene til informationsbehandlingssystemer, herunder korrekt informationsbehandling, kryptering, logning, styring af driftsmiljøet, sikkerhed i udviklings- og hjælpeprocesser og sårbarhedsstyring. 13. Styring af sikkerhedshændelser Alle medarbejdere, samarbejdspartnere og øvrige brugere skal være bekendt med forretningsgangene for rapportering af forskellige typer hændelser og svagheder, der kan have indflydelse på sikkerheden for kommunens aktiver. Væsentlige sikkerhedshændelser og svagheder skal hurtigst muligt rapporteres til ITsikkerhedschefen. IT-sikkerhedschefen beskriver procedurer for rapportering af sikkerhedshændelser, svagheder, håndtering af sikkerhedsbrud og forbedringer. SecureAware Side 6 af 7

19 Politik 14. Beredskabsstyring Risikostyring og katastrofeplanlægning er nødvendige for at sikre mod uforudsete hændelser. Nødplanerne skal være med til at opretholde driften, således at skaderne for kommunen minimeres. Borgmesterens Afdeling beskriver IT-beredskabet og herunder plan for periodisk afprøvning. 15. Overensstemmelse med lovbestemte og kontraktlige krav Kommunens virke er omfattet af lovgivning og/eller påvirket af kontrakter eller eksterne parters rettigheder. Borgmesterens Afdeling beskriver overensstemmelsen med lovbestemte krav, sikkerhedspolitik og retningslinier samt beskyttelsesforanstaltninger ved revision af informationsbehandlingssystemer. Persondataloven gælder for behandling af oplysninger om identificerbare personer, når denne behandling helt eller delvis foretages ved hælp af elektronisk databehandling og ved ikke-elektronisk behandling af personoplysninger, der indeholdes i et register. I forhold til persondataloven skal ansatte i kommunen særlig være opmærksomme på: Hvornår en behandling er omfattet af persondataloven, Eventuel anmeldelsespligt, Den registreredes rettigheder (oplysningspligt, indsigtsret, indsigelsesret) og Aftaler med eventuelle leverandører. SecureAware Side 7 af 7

20 Bilag B Krav til databehandleraftale 5/ Krav til databehandlere I dette bilag beskriver databehandlernavn indsættes, hvordan nedenstående krav opfyldes. Nr. Krav Hvordan opfyldes dette? 1 Lagring af fortrolige data på datacentre skal sikres forsvarligt mod uvedkommendes adgang 2 Der skal anvendes en anerkendt kryptering ved transport af fortrolige data mellem datacentre indbyrdes og ved transport mellem datacentre og brugerne 3 Oversigt over datacentre og back-up centre med præcis adresseangivelse af hvor data findes 4 Der må ikke være udokumenterede adgange (bagdøre) til ITleverancen 5 Andre kunder må ikke kunne få adgang til Aarhus Kommunes data 6 Aarhus Kommunes data skal kunne adskilles fra andre kunders data og fremsøges 7 Løbende rapportering om sikkerhedsmæssige forhold - herunder brud/trusler/andre hændelser og gentagne afviste adgangsforsøg skal sendes til systemejer/kontraktholder i Aarhus Kommune 8 Der skal foretages tilstrækkelig 1 sletning af back-up, log og andre uddata, efter den aftalte opbevaringsperiode 9 Hvis der behandles fortrolige oplysninger, skal der ske log- 1 Definition: At data ikke kan genskabes

21 ning af dataanvendelsen jf. Datatilsynets sikkerhedsbekendtgørelse Aktiviteter udført af superadministratorer 2 skal logges 11 Administratorkodeord skal ændres når en administrator fratræder 12 Hvis det f.eks. 3 drejer sig om Saas (Software as a service) skal Aarhus Kommune kunne administrere egne brugere og egne data 13 I SLA-aftalen skal indgå en beskrivelse af styring af bl.a. drifts-, udviklings- og testmiljøer 2 Person, der kan delegere administratorrettigheder 3 Det kan også gælde i andre tilfælde

22 Bilag C Kvitteringsbilag databehandlernavn indsættes 5/ Kvitteringsbilag for udleveret materiale Under henvisning til indgået databehandleraftale mellem databehandlernavn indsættes og Aarhus Kommune kvitterer undertegnede herved for, at medarbejdere ikke må behandle fortrolige data uden for det aftalte driftsmiljø uden forudgående godkendelse af den pågældende afdeling. Opbevaring af data skal ske under sikrede forhold, og sådan at der herunder alene er adgang for de involverede. Beskrivelse af modtaget materiale: Udleveret af: Undertegnede indestår for, at det modtagne materiale behandles i overensstemmelse med den indgåede databehandleraftale, herunder at materialet returneres tilstrækkeligt sikkert til den udleverende afdeling. Kvittering for ovenstående: Dato: Navn: Underskrift:

23 Databehandleraftale om udførelse af opgaver for Aarhus Kommune Version 1.0 4/ Databehandleraftale mellem Aarhus Kommune, afdelingsnavn indsættes og leverandørnavn indsættes Det er jf. - kontrakt/driftsaftale/anden aftale + titel - aftalt, at - leverandørnavn indsættes - skal udføre følgende opgave for Aarhus Kommune:. Indledning På denne baggrund indgås denne databehandleraftale mellem Aarhus Kommune som dataansvarlig og med - leverandørnavn indsættes (herefter databehandleren) som databehandler for Aarhus Kommune, idet der jf. Persondatalovens 42, stk. 2, skal indgås en skriftlig aftale, når Aarhus Kommune overlader en behandling af personoplysninger til en databehandler. Der aftales herved følgende: 1. Efter instruks Databehandleren handler alene efter instruks fra Aarhus Kommune i forbindelse med udførelse af de aftalte opgaver. Oplysninger må ikke videregives til tredjepart eller behandles til andre formål, medmindre dette sker efter aftale med Aarhus Kommune. 2. Databeskyttelseslovgivning Databehandleren overholder den til enhver tid gældende persondatalovgivning og herunder sikkerhedsbekendtgørelse nr. 528 af 15. juni 2000 og de sikkerhedsregler, der følger af sikkerhedsbekendtgørelsen. 2.1 Databehandleren sikrer herunder, at der er truffet de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes samt mod, at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med persondataloven eller Aarhus Kommunes IT-sikkerhedspolitik 1 (Bilag A) og herunder den offentlige standard for informationssikkerhed DS 484:2005 eller tilsvarende standard for informationssikkerhed. Databehandleren skal ved tilbudsafgivelsen bekræfte at kunne leve op til kravene i bilag B 2. Det skal fremhæves, at bilag B ikke er en udtømmende liste over sikkerhedskrav. Udfyldelsen af bilag B skal foretages af databehandleren og godkendes af Aarhus Kommune inden kontraktindgåelsen. 2.2 Hvis databehandleren er etableret i et andet land, skal databehandler sikre, at de ud over den danske lovgivning også lever op til dette lands databeskyttelseslovgivning. 1 Bilag A Aarhus Kommunes IT-sikkerhedspolitik 2 Bilag B Krav til databehandlere 1

24 Databehandleraftale om udførelse af opgaver for Aarhus Kommune Version 1.0 4/ Hvis det drejer sig om databehandling i et usikkert tredjeland 3, skal kommissionens standardkontrakt 4 indgås. Hvis andre myndigheder fremlægger en kendelse om adgang til Aarhus Kommunes data, skal databehandler gøre indsigelse mod en kendelse og oplyse Aarhus Kommune herom. 2.3 Databehandleren skal levere en oversigt over datacentre og backup centre med præcis adresseangivelse af, hvor Aarhus Kommunes data behandles. Der sendes en ny oversigt til Aarhus Kommune ved ændringer. Der kan ikke uden forudgående aftale med Aarhus Kommune placeres data i et andet land. 2.4 Databehandleren er forpligtet til straks at give Aarhus Kommune (den kontraktansvarlige) meddelelse om driftsforstyrrelser, mistanke om brud på IT-sikkerhedsreglerne eller andre væsentlige uregelmæssigheder i forbindelse med udførelsen af opgaven. 3 Adgang til data Ved adgang til sikrede lokaler i Aarhus Kommune, kan den enkelte kommunale afdeling udlevere et adgangskort med en personlig kode eller en nøgle mod kvittering. Databehandleren har det ledelsesmæssige ansvar for, at databehandlerens medarbejdere overholder kommunens IT-sikkerhedsregler. 3.1 Databehandlerens medarbejdere må alene have adgang til data og/eller udføre jobs i det omfang, det er nødvendigt for udførelsen af arbejdet. Data må ikke lagres lokalt på medarbejderens udstyr. Databehandlerens medarbejdere må ikke behandle fortrolige data uden for det aftalte driftsmiljø uden forudgående godkendelse af den pågældende afdeling 5. Kvitteringsbilag C kan anvendes. Opbevaring af data skal ske under sikrede forhold, og sådan at der herunder alene er adgang for de involverede. Databehandleren garanterer, at nødvendig kopiering og backup af data sker under fuldt betryggende forhold. Efter endt brug skal udleveret datamateriale enten returneres tilstrækkeligt sikkert til Aarhus Kommune eller destrueres forsvarligt, så det ikke er muligt at genskabe dem. Eventuel destruktion skal aftales nærmere med den dataansvarlige i Aarhus Kommune. 3.2 Databehandlerens medarbejdere, som har behov for adgang til Aarhus Kommunes netværk skal forsynes med digital virksomhedssignatur (medarbejder NemID) af databehandleren. Medarbejderne skal være tilknyttet et sikkerhedsområde i Aarhus Kommunes IT-sikkerhedsorganisation. 3 Under Erhverv, Tredjelande, Sikre tredjelande 4 Under Erhverv, Tredjelande, Kommissionens standardkontrakt 5 Bilag C - Kvitteringsbilag 2

25 Databehandleraftale om udførelse af opgaver for Aarhus Kommune Version 1.0 4/ Medarbejdere tildeles en brugerident samt en personlig og fortrolig adgangskode i h.t. gældende standarder i Aarhus Kommune. Bestilling af ny kode - ved glemt kode - skal så vidt muligt ske via Aarhus Kommunes ITsikkerhedsorganisation. 4 Tavshedspligt Databehandleren forpligter sig over for uvedkommende til at hemmeligholde alle oplysninger modtaget fra og om Aarhus Kommune, som databehandleren får kendskab til i forbindelse med udførelsen af arbejdet for Aarhus Kommune. 4.1 Databehandleren sikrer, at deres medarbejdere, der får adgang til oplysninger fra Aarhus Kommune har underskrevet en tavshedserklæring om, at de har tavshedspligt over for uvedkommende med hensyn til deres adgang til kunders/samarbejdspartneres data. Tavshedspligten er gældende såvel under ansættelsen som efter ansættelsens ophør. Databehandler skal levere en kopi af disse erklæringer efter anmodning fra Aarhus Kommune. 4.2 Ved indgåelse af aftalen vedlægges et bilag D med en oversigt over de tilknyttede medarbejdere 6, der skal have adgang til Aarhus Kommunes lokaliteter/netværk. Leverandøren er forpligtet til at løbende at tilmelde nye medarbejdere og afmelde medarbejdere, der ikke længere har behov for adgang, til kontraktholder hos Aarhus Kommune. 5. Underdatabehandlere (underleverandører) Hvis databehandleren anvender underdatabehandlere er det databehandlerens ansvar, at underdatabehandleren efterlever databehandleraftalen, idet aftalen også gælder for disse. Databehandleren skal informere Aarhus Kommune om evt. underdatabehandlere samt sikre, at også deres underdatabehandleres medarbejdere har underskrevet en tavshedserklæring. Efter anmodning fra Aarhus Kommune skal databehandler levere en kopi af underdatabehandleraftalen. 6 Tilsyn Aarhus Kommune fører tilsyn med, at databehandleren har truffet de fornødne sikkerhedsforanstaltninger. Dette kan ske ved et besøg hos databehandleren og/eller hos evt. underdatabehandlere. Aarhus Kommune kan også lade andre (f.eks. revisor) gennemføre tilsyn. Aarhus Kommune er til enhver tid berettiget til at gennemføre yderligere kontrolforanstaltninger, herunder at begrænse databehandlers adgangsmuligheder til Aarhus Kommunes netværk og data. Databehandleren skal på Aarhus Kommunes anmodning, give Aarhus Kommune tilstrækkelige oplysninger til, at denne kan påse, at de krævede tekniske og organisatoriske sikkerhedsforanstaltninger er truffet Bilag D Oversigt over tilknyttede medarbejdere 3

26 Databehandleraftale om udførelse af opgaver for Aarhus Kommune Version 1.0 4/ Hvis det fremgår af kontrakten, skal der ved underskrift af databehandleraftalen leveres den seneste revisorerklæring, og herunder evt. baggrundsmateriale til erklæringen. Herefter leveres en årlig revisorerklæring, der er udarbejdet i overensstemmelse med de gældende branchestandarder på området (f.eks. ISAE 3000 vedrørende overholdelse af persondataloven). Dette gælder også for evt. underdatabehandlere. 7. Øvrige forhold Hvis Aarhus Kommune oplyser, at der foretages videoovervågning i de lokaliteter, hvor databehandlerens medarbejdere færdes hos Aarhus Kommune, skal databehandleren sikre, at deres medarbejdere samt underdatabehandleres medarbejdere gøres bekendt med dette. Databehandleren skal endvidere informere de pågældende medarbejdere om, at der sker registrering (logning) af alle anvendelser af fortrolige personoplysninger samt registrering af afviste adgangsforsøg i kommunens IT-systemer. De pågældende medarbejdere skal herunder gøres bekendt med, at der foretages kontrol med alle anvendelser af systemer med fortrolige personoplysninger. Loggen gemmes i 6 måneder, hvorefter den slettes. 8. Overtrædelse af databehandleraftalen Parternes erstatningspligt efter dansk rets almindelige regler skal være reguleret i kontrakten. 9. Databehandleraftalens ophør Aftalen kan genforhandles, hvis der sker ændring af det i punkt 2 anførte juridiske grundlag for aftalen. 9.1 Databehandleraftalen træder ud af funktion, når det samarbejde, der er en forudsætning for aftalen, ikke længere er gældende. 9.2 Tavshedspligten for databehandleren/underdatabehandlere og deres medarbejdere ophører ikke, selv om databehandleraftalen træder ud af kraft Databehandleren må kun behandle personoplysninger, som Aarhus Kommune er ansvarlig for, så længe det er nødvendigt for udførelse af den aftalte opgave Ved ophør skal det aftales med Aarhus Kommune, at data skal leveres tilbage til Aarhus Kommune eller der skal ske uoprettelig sletning punkt 3.1. For leverandørnavn indsættes Aarhus Kommune, Dato: / - 201_ Dato: / - 201_ 4

27 Databehandleraftale om udførelse af opgaver for Aarhus Kommune Version 1.0 4/ (Underskrift) (Underskrift) Bilagsoversigt: Bilag A Aarhus Kommunes IT-sikkerhedspolitik Bilag B Krav til databehandlere Bilag C Kvitteringsbilag Bilag D Oversigt over tilknyttede medarbejdere 5