Melhus: Kommunen nekter innsyn i egen IT-sikkerhet – dette bekrefter den likevel

MELHUS: Melhus kommune ga 18. august 2026 faktasjekk-redaksjonen Faktisk.no delvis avslag på innsyn i kommunens IT-sikkerhetsløsninger. Brevet ble journalført 19. august 2026, og svarer punkt for punkt på hva kommunen vil – og ikke vil – opplyse om sitt eget digitale forsvar.

Dette bekrefter kommunen

Innsynsbegjæringen gjaldt kommunens bruk av IT- og sikkerhetsløsninger, og kommunen har delt svaret sitt i fem punkter.

På spørsmålet om såkalt SIEM – kort forklart et system for sentralisert sikkerhetsovervåking, som samler og analyserer hendelser fra hele IT-miljøet – skriver kommunen at «det benyttes løsninger for sentralisert overvåking og håndtering av sikkerhetshendelser». Kommunen bekrefter altså at kapasiteten finnes, men ikke hva den heter.

Det ene produktnavnet kommunen faktisk oppgir, er Microsoft Intune. Verktøyet brukes til administrasjon av klientenheter – altså PC-er, nettbrett og mobiler som er koblet til kommunens systemer.

Kommunen opplyser videre at det benyttes «moderne sikkerhetsløsninger for beskyttelse, overvåking og håndtering av sikkerhetshendelser» på klienter og øvrige digitale enheter, og at eksterne leverandører og samarbeidspartnere brukes på enkelte områder innen drift, forvaltning og informasjonssikkerhet.

Dette nektes det innsyn i

Fire typer opplysninger holdes tilbake, ifølge svarbrevet:

• Navn på konkrete SIEM-løsninger og leverandørene bak dem.
• Navn på konkrete antivirus-, EDR- eller XDR-løsninger. EDR og XDR er sikkerhetsprogramvare som overvåker og reagerer på mistenkelig aktivitet direkte på maskiner og enheter.
• Antall enheter som omfattes av de enkelte sikkerhetsløsningene, og kommunens samlede antall administrerte enheter.
• Navn på eventuelle leverandører som leverer operative sikkerhetstjenester og overvåking.

Begrunnelsen er den samme gjennom hele brevet: opplysningene regnes som en del av kommunens operative sikkerhetstiltak. Kommunen skriver at offentliggjøring «kan bidra til å gi innsikt i kommunens sikkerhetsarkitektur og dermed lette gjennomføringen av uønskede eller straffbare handlinger».

Om antallet enheter er argumentet noe annerledes: kommunen mener at slike tall, særlig sammenstilt med informasjon om sikkerhetsløsninger og administrasjonsplattformer, kan gi et detaljert bilde av dekningsgraden for sikkerhetstiltakene og av kommunenes «samlede angrepsflate».

Hvorfor nå?

Kommunen opplyser også at merinnsyn etter offentleglova § 11 er vurdert. Merinnsyn betyr at et organ kan gi ut opplysninger det egentlig har lov til å holde tilbake, dersom hensynet til åpenhet veier tyngst. Her landet kommunen på det motsatte: hensynet til informasjonssikkerheten og beskyttelsen av den digitale infrastrukturen veide tyngre enn hensynet til offentlig innsyn.

Den lokale kroken: én IT-avdeling for tre kommuner

Det mest konkrete nye i brevet handler ikke om avslaget, men om organiseringen. ITMidt er en felles interkommunal IT-avdeling for Melhus, Skaun og Midtre Gauldal, og har ansvar for drift, forvaltning og sikkerhet knyttet til kommunenes digitale tjenester og infrastruktur. Per 18. august 2026 består avdelingen av 21 fast ansatte.

Det betyr at de samme 21 personene sitter med den digitale beredskapen for hele dette dekningsområdet – fra Byneset i nord til Budal og Singsås i sør.

Veien videre

Svarbrevet er dokument nummer to i sak 2026/2484 og er undertegnet av Göran Johansson, rådgiver for digital tjenesteutvikling, med IT-sjef Geir Wormdal oppført. Det er godkjent med elektronisk signatur.

Brevet sier ikke noe om videre klagebehandling, og det inneholder ingen opplysninger om hendelser eller angrep mot kommunens systemer. Neste dokument i saken vil eventuelt dukke opp på kommunens postliste.

Har du tips til saker fra kommunens postliste? Send oss et tips.