CER-loven § 15

Rådets direktiv 2008/114/EF af 8. december 2008 om indkredsning og udpegning af europæisk kritisk infrastruktur og vurdering af behovet for at beskytte den bedre (EPCIP-direktivet) indeholdt ikke generelle regler om tilsyn og håndhævelse.

Det fulgte imidlertid af EPCIP-direktivets artikel 5, stk. 2, at hver enkelt medlemsstat kontrollerede, at alle udpegede europæiske kritiske infrastrukturer, der var beliggende på dens område, havde en sikkerhedsplan for operatører eller havde iværksat tilsvarende foranstaltninger, der dækkede de punkter, der var opstillet i direktivets bilag II.

Af EPCIP-direktivets artikel 5, stk. 3, 1. pkt., fremgik yderligere, at hvis en medlemsstat konstaterede, at der ikke var udarbejdet en sådan sikkerhedsplan for operatører eller tilsvarende, sikrer den ved hjælp af hensigtsmæssige foranstaltninger, at sikkerhedsplanen for operatører eller tilsvarende udarbejdes og dækkede de punkter, der var opstillet i direktivets bilag II.

EPCIP-direktivet er i dansk ret implementeret sektorvist for energi- og transportsektorerne, som var de to sektorer, der er omfattet af direktivet.

For en nærmere gennemgang af den sektorvise implementering af EPCIP-direktivet henvises til pkt. 2.4 i lovforslagets bemærkninger.

Det følger af den foreslåede § 15, at den kompetente myndighed kan påbyde en kritisk enhed at træffe nødvendige og forholdsmæssige foranstaltninger for at afhjælpe en konstateret overtrædelse af loven eller regler fastsat i medfør af loven.

Den foreslåede bestemmelse indebærer, at den kompetente myndighed ved påbud vil kunne angive, hvilke nærmere foranstaltninger enheden skal træffe i tilfælde af, at en kritisk enhed eksempelvis ikke lever op til de krav, der er fastsat i loven om udarbejdelse af risikovurderinger eller om modstandsdygtighedsforanstaltninger.

Den foreslåede bestemmelse vil gennemføre artikel 21, stk. 3, i CER-direktivet, hvoraf det fremgår, at uden at det berører muligheden for at pålægge sanktioner i overensstemmelse med CER-direktivets artikel 22, kan de kompetente myndigheder efter de i CER-direktivets artikel 21, stk. 1, omhandlede tilsynsforanstaltninger eller vurderingen af de i CER-direktivets artikel 21, stk. 2, omhandlede oplysninger pålægge de berørte kritiske enheder at træffe de nødvendige og forholdsmæssige foranstaltninger for at afhjælpe enhver konstateret overtrædelse af dette direktiv inden for en rimelig frist, der fastsættes af disse myndigheder, og give disse myndigheder oplysninger om de trufne foranstaltninger.

Ved den kompetente myndigheds valg om at anvende håndhævelsesforanstaltninger over for en kritisk enhed, herunder om der bør udstedes et påbud efter den foreslåede bestemmelse, vil den kompetente myndighed navnlig skulle tage hensyn til overtrædelsens grovhed.

Det følger bl.a. af CER-direktivets artikel 21, stk. 4, at medlemsstaterne skal sikre, at håndhævelsesbeføjelser kun kan udøves med forbehold af passende beskyttelsesforanstaltninger. Disse beskyttelsesforanstaltninger skal navnlig sikre, at en sådan udøvelse finder sted på en objektiv, gennemsigtig og forholdsmæssig måde, og at de berørte kritiske enheders rettigheder og legitime interesser såsom beskyttelse af forretningshemmeligheder garanteres behørigt, herunder deres ret til at blive hørt, til et forsvar og til effektive retsmidler ved en uafhængig domstol.

CER-direktivets artikel 21, stk. 4, skal læses i lyset af præambelbetragtning nr. 40, hvorefter medlemsstaterne bl.a., når de udsteder påbud, ikke bør kræve foranstaltninger, der går ud over, hvad der er nødvendigt og rimeligt for at sikre, at den pågældende kritiske enhed opfylder forpligtelserne, navnlig under hensyntagen til overtrædelsens alvor og den pågældende kritiske enheds økonomiske formåen.

Disse beskyttelsesforanstaltninger sikres ved, at et påbud efter den foreslåede § 15 vil være omfattet af forvaltningslovens almindelige regler, herunder bestemmelserne i kapitel 3 (om vejledning og repræsentation m.v.), kapitel 5 (om partshøring), kapitel 6 (om begrundelse m.v.) og kapitel 7 (om klagevejledning).

Derudover vil der være mulighed for at påklage afgørelsen i medfør af det almindelige ulovbestemte princip om administrativ rekurs, ligesom afgørelsen vil kunne indbringes for domstolene.

Det forudsættes endvidere, at de kompetente myndigheder efter henholdsvis CER-direktivet og NIS 2-direktivet samarbejder i overensstemmelse med forudsætningerne i CER-direktivets artikel 21, stk. 5, som uddybet i præambelbetragtning nr. 40, in fine. Det beskrives heri, at de kompetente myndigheder ved vurderingen af, om en kritisk enhed opfylder sine forpligtelser som fastsat i CER-direktivet, bør kunne anmode de kompetente myndigheder i henhold til NIS 2-direktivet om at udøve deres tilsyns- og håndhævelsesbeføjelser over for en enhed i henhold til nævnte direktiv, som er identificeret som kritisk enhed i henhold til CER-direktivet. De kompetente myndigheder i henhold til CER-direktivet og de kompetente myndigheder i henhold til NIS 2-direktivet bør samarbejde og udveksle oplysninger med henblik herpå.

Der henvises i øvrigt til pkt. 3.4 i lovforslagets bemærkninger.