CER-loven § 3

EPCIP-direktivet fandt anvendelse for energi- og transportsektorerne.

Direktivets artikel 4 fastsatte nærmere regler om udpegning af europæisk kritisk infrastruktur.

Dette er gennemført i bekendtgørelse nr. 7 af 6. januar 2011 om kritisk europæisk infrastruktur på vejområdet (EPCIP-direktivet), bekendtgørelse nr. 1461 af 14. december 2010 om europæisk kritisk infrastruktur på jernbaneområdet (EPCIP-direktivet) og bekendtgørelse nr. 1726 af 22. december 2010 om europæisk kritisk infrastruktur på havneområdet (EPCIP-direktivet) for så vidt angår transportsektoren. For en nærmere gennemgang heraf henvises til pkt. 2.4.

Det følger af den foreslåede § 3, stk. 1, at vedkommende minister træffer afgørelse om identifikation og afidentifikation af kritiske enheder, der er omfattet af enhedskategorierne i lovens bilag, og opstiller en liste over de kritiske enheder, der er blevet identificeret. Listen over identificerede kritiske enheder skal gennemgås og ajourføres, hvor det er nødvendigt, dog mindst hvert fjerde år.

Den foreslåede bestemmelse vil indebære, at vedkommende minister træffer afgørelse om identifikation og afidentifikation af kritiske enheder, der er omfattet af enhedskategorierne i lovens bilag, ligesom vedkommende minister vil skulle opstille en liste over de identificerede kritiske enheder. Listen over identificerede kritiske enheder vil skulle gennemgås og ajourføres, hvor det er nødvendigt, dog mindst hvert fjerde år.

Den foreslåede bestemmelse vil gennemføre artikel 6, stk. 1, i CER-direktivet, hvoraf det fremgår, at hver medlemsstat senest den 17. juli 2026 skal have identificeret kritiske enheder for de sektorer og delsektorer, der er anført i bilaget til CER-direktivet.

Om baggrunden for artikel 6, stk. 1, beskrives det i CER-direktivets præambelbetragtning nr. 8, at medlemsstaterne for at opnå en høj grad af modstandsdygtighed bør identificere kritiske enheder, som vil være underlagt specifikke krav og specifikt tilsyn, og som vil ydes særlig støtte og vejledning over for alle relevante risici.

Det følger af CER-direktivets artikel 6, stk. 3, at medlemsstaterne skal føre en liste over identificerede kritiske enheder, og efter artikel 6, stk. 5, skal listen, hvor det er nødvendigt og under alle omstændigheder mindst hvert fjerde år, gennemgås og i relevant omfang ajourføres. Vedkommende minister er derfor forpligtet til at revidere oversigten over udpegede enheder, når det er nødvendigt og mindst én gang hvert fjerde år.

Hvis disse ajourføringer fører til identifikation af yderligere kritiske enheder, finder CER-direktivets artikel 6, stk. 3 og 4, om underretning om identifikation, anvendelse for de yderligere kritiske enheder.

Det følger desuden af CER-direktivets artikel 6, stk. 5, at medlemsstaterne sikrer, at enheder, der ikke længere identificeres som kritiske enheder som følge af en ajourføring, rettidigt underrettes herom og om, at de ikke længere er omfattet af forpligtelserne i henhold til CER-direktivets kapitel III (om kritiske enheders modstandsdygtighed) fra datoen for modtagelsen af denne orientering.

Det bemærkes, at vedkommende minister i overensstemmelse med de almindelige forvaltningsretlige principper om delegation kan beslutte at delegere sin kompetence til en underliggende myndighed, herunder en udpeget kompetent myndighed.

Identifikation og afidentifikation af en kritisk enhed vil være en afgørelse i forvaltningsretlig forstand. Det medfører, at de almindelige forvaltningsretlige regler og principper vil være gældende. Det medfører også, at en enhed inden for de almindelige forvaltningsretlige principper om administrativ rekurs vil have adgang til at påklage en afgørelse om identifikation og afidentifikation som kritisk enhed.

Identifikationen af en kritisk enhed vil ske ved, at vedkommende minister træffer en afgørelse herom, som vil skulle meddeles enheden for at få retsvirkning. Underretningen af den kritiske enhed vil derfor ske som led i meddelelsen af afgørelsen om identifikation. I praksis vil orienteringen om den kritiske enheds forpligtelser, samt om fra hvilken dato forpligtelserne finder anvendelse, typisk fremgå af afgørelsen om identifikation.

Det følger af det foreslåede stk. 2, at der ved identifikation af kritiske enheder lægges vægt på følgende: 1) den nationale strategi for styrkelse af kritiske enheders modstandsdygtighed, 2) den nationale risikovurdering med henblik på identifikation af kritiske enheder, 3) om enheden leverer en eller flere væsentlige tjenester, 4) om enheden opererer i og har sin kritiske infrastruktur beliggende på dansk territorium og 5) om en hændelse vil have betydelig forstyrrende virkning, jf. stk. 3, på enhedens levering af en eller flere væsentlige tjenester eller på leveringen af andre væsentlige tjenester i sektorer omfattet af CER-direktivet, som er afhængige af denne eller disse væsentlige tjenester.

Det foreslåede i nr. 1, vil indebære, at der ved identifikation af kritiske enheder vil blive lagt vægt på den nationale strategi for styrkelse af kritiske enheders modstandsdygtighed.

Det fremgår af CER-direktivets artikel 4, stk. 1, at hver medlemsstat senest den 17. januar 2026 vedtager en strategi for styrkelse af kritiske enheders modstandsdygtighed. For så vidt angår den nationale strategi og -risikovurdering henvises til pkt. 2.2.2.1 i lovforslagets bemærkninger.

Det foreslåede i nr. 2, vil medføre, at der ved identifikation af kritiske enheder vil blive lagt vægt på den nationale risikovurdering med henblik på identifikation af kritiske enheder.

Det følger af CER-direktivets artikel 5, stk. 1, den nationale risikovurdering skal være foretaget senest den 17. januar 2026. For så vidt angår den nationale strategi og -risikovurdering henvises til pkt. 2.2.2.1 i lovforslagets bemærkninger.

Det foreslåede i nr. 3, vil indebære, at der ved identifikation af kritiske enheder vil blive lagt vægt på enheden leverer en eller flere væsentlige tjenester.

Der henvises i den forbindelse til den foreslåede § 2, nr. 8, hvoraf det fremgår, at en væsentlig tjeneste er en tjeneste, der er afgørende for opretholdelsen af vitale samfundsmæssige funktioner, økonomiske aktiviteter, folkesundhed, offentlig sikkerhed eller miljøet.

Det foreslåede i nr. 4, vil medføre, at der ved identifikation af kritiske enheder vil blive lagt vægt på om enheden opererer i og har sin kritiske infrastruktur beliggende på dansk territorium.

Det bemærkes i den forbindelse, at den danske sprogversions gengivelse af direktivets kriterier for identificering af kritiske enheder omtaler, hvorvidt »enheden opererer og dens kritiske infrastruktur er beliggende på denne medlemsstats område«. Den engelske sprogversion anvender derimod »territory«.

Henset til, at der vurderes at være en indholdsmæssig forskel på »område« og »territory«, har Ministeriet for Samfundssikkerhed og Beredskab i nærværende lovforslag lagt sig op ad den engelske sprogversion. Det indebærer, at der ved identificering af kritiske enheder bl.a. vil skulle lægges vægt på, om enheden opererer i og har sin kritiske infrastruktur beliggende på dansk territorium.

Dette skal i øvrigt også forstås i lyset af territorialbestemmelsen i den foreslåede § 19, hvorefter loven ikke gælder for Færøerne og Grønland, men ved kongelig anordning helt eller delvist kan sættes i kraft for Færøerne og Grønland med de ændringer, som de henholdsvis færøske og grønlandske forhold tilsiger.

I overensstemmelse med direktivets forudsætninger, som udtrykt i præambelbetragtning nr. 16, vil en enhed skulle anses for at operere på en medlemsstats område (forstået som territorium), hvor den udfører de aktiviteter, der er nødvendige for den eller de pågældende væsentlige tjenester, og hvor enhedens kritiske infrastruktur, som anvendes til at levere den eller de pågældende tjenester, er beliggende. Hvis der ikke er nogen enhed, der opfylder disse kriterier i en medlemsstat, bør den pågældende medlemsstat ikke være forpligtet til at identificere en kritisk enhed i den tilsvarende sektor eller delsektor.

Det foreslåede i nr. 5, vil indebære, at der ved identifikation af kritiske enheder vil blive lagt vægt på om en hændelse vil have betydelig forstyrrende virkning, jf. stk. 3, på enhedens levering af en eller flere væsentlige tjenester eller på leveringen af andre væsentlige tjenester i sektorer omfattet af CER-direktivet, som er afhængige af denne eller disse væsentlige tjenester.

For vurderingen af, om en hændelse vil have betydelig forstyrrende virkning, henvises til bemærkningerne til § 3, stk. 3.

Den foreslåede bestemmelse gennemfører CER-direktivets artikel 6, stk. 2, hvoraf det fremgår, at når en medlemsstat identificerer kritiske enheder, tager den hensyn til resultaterne af dens medlemsstatsrisikovurdering og dens strategi og anvender alle følgende kriterier: a) enheden leverer en eller flere væsentlige tjenester, b) enheden opererer og dens kritiske infrastruktur er beliggende på denne medlemsstats område, og c) en hændelse vil have betydelige forstyrrende virkninger som fastslået i overensstemmelse med artikel 7, stk. 1, (om betydelige forstyrrende virkninger) på enhedens levering af en eller flere væsentlige tjenester eller på leveringen af andre væsentlige tjenester i sektorerne anført i direktivets bilag, som er afhængige af denne eller disse væsentlige tjenester.

Den foreslåede bestemmelse vil indebære, at de opregnede elementer alle skal inddrages, når vedkommende minister skal træffe afgørelse om, hvorvidt en enhed skal identificeres som kritisk.

Det følger af det foreslåede stk. 3, at ved fastlæggelse af, om en hændelse vil have betydelig forstyrrende virkning, jf. stk. 2, nr. 5, lægges der vægt på følgende: 1) antal brugere, der er afhængige af den væsentlige tjeneste, som udbydes af den berørte enhed, 2) omfanget af andre sektorers og delsektorers afhængighed af den pågældende væsentlige tjeneste, 3) den indvirkning, som hændelser kan have med hensyn til omfang og varighed på økonomiske og samfundsmæssige aktiviteter, miljøet, den offentlige sikkerhed eller befolkningens sundhed, 4) enhedens markedsandel på markedet for den eller de berørte væsentlige tjenester, 5) det geografiske område, der kan blive berørt af en hændelse, herunder eventuel grænseoverskridende indvirkning, 6) enhedens betydning med hensyn til at opretholde et tilstrækkeligt niveau for den væsentlige tjeneste under hensyntagen til tilgængelighed af alternative måder at levere denne væsentlige tjeneste på.

Den foreslåede bestemmelse vil indebære, at der ved vurderingen af, om en hændelse vil have betydelig forstyrrende virkning, vil blive lagt vægt på kriterierne opstillet i nr. 1-6.

Den foreslåede bestemmelse vil gennemføre CER-direktivets artikel 7, stk. 1, hvoraf det fremgår, at medlemsstaterne ved fastlæggelsen af betydningen af en forstyrrende virkning, skal tage hensyn til følgende kriterier: 1) Antal brugere, der er afhængige af den væsentlige tjeneste, som udbydes af den berørte enhed, 2) omfanget af andre i bilaget anførte sektorers og delsektorers afhængighed af den pågældende væsentlige tjeneste, 3) den indvirkning som hændelser kunne have med hensyn til omfang og varighed på økonomiske og samfundsmæssige aktiviteter, miljøet, den offentlige sikkerhed eller befolkningens sundhed, 4) enhedens markedsandel på markedet for den berørte væsentlige tjeneste eller de berørte væsentlige tjenester, 5) det geografiske område, der kunne blive berørt af en hændelse, herunder eventuel grænseoverskridende indvirkning, under hensyntagen til den sårbarhed, som er forbundet med den grad af afsondrethed, der kendetegner visse typer af geografiske områder, såsom ø-regioner, afsidesliggende regioner eller bjergområder, 6) enhedens betydning med hensyn til at opretholde et tilstrækkeligt niveau for den væsentlige tjeneste under hensyntagen til tilgængelighed af alternative måder at levere denne væsentlige tjeneste på.

Baggrunden for artikel 7, stk. 1, beskrives i CER-direktivets præambelbetragtning nr. 18, hvoraf bl.a. fremgår, at der bør fastlægges kriterier for bestemmelse af betydningen af en forstyrrende virkning som følge af en hændelse, og at disse kriterier bør være baseret på kriterierne i Europa-Parlamentets og Rådets direktiv (EU) 2016/1148 af 6. juli 2016 om foranstaltninger, der skal sikre et højt fælles sikkerhedsniveau for net- og informationssystemer i hele Unionen (NIS 1-direktivet). Det fremgår videre, at større kriser, såsom covid-19-pandemien, har vist, hvor vigtigt det er at sørge for forsyningskædesikkerhed, og hvordan forstyrrelse heraf kan have negativ økonomisk og samfundsmæssig indvirkning inden for en lang række sektorer og på tværs af grænserne. Medlemsstaterne bør derfor også i det omfang, det er muligt, overveje virkningerne på forsyningskæden, når de fastslår i hvilket omfang andre sektorer og delsektorer afhænger af de væsentlige tjenester, der udbydes af en kritisk enhed.

Den foreslåede bestemmelse vil indebære, at de opregnede kriterier alle skal inddrages, når vedkommende minister skal vurdere, om en hændelse vil have betydelige forstyrrende virkninger på enhedens levering af en eller flere væsentlige tjenester eller på leveringen af andre væsentlige tjenester i sektorer omfattet af CER-direktivet, som er afhængige af denne eller disse væsentlige tjenester. Ud over de sektorer, der omfattes af nærværende lovforslag, vil dette også omfatte energisektoren, som reguleres særskilt.

Det følger af det foreslåede stk. 4, at vedkommende minister kan kræve, at en enhed fremlægger materiale og oplysninger, der er nødvendige for stillingtagen til, om denne skal identificeres som kritisk.

Den foreslåede bestemmelse vil medføre, at vedkommende minister til brug for vurderingen af, hvorvidt en enhed skal identificeres som en kritisk enhed, vil kunne kræve, at enheder fremlægger materiale og oplysninger, der er nødvendige for stillingtagen til, om den pågældende enhed skal identificeres som kritisk.

Dette vil eksempelvis kunne omfatte oplysninger om, hvorvidt enheden leverer en eller flere væsentlige tjenester, eller om enheden opererer i og har sin kritiske infrastruktur beliggende i Danmark.

Det vil også kunne omfatte oplysninger og materiale, der kan belyse antal brugere, der er afhængige af den væsentlige tjeneste, som udbydes af den berørte enhed.

Det bemærkes, at der vil være tale om en oplysningspligt omfattet af lov om retssikkerhed ved forvaltningens anvendelse af tvangsindgreb og oplysningspligter for så vidt angår enhedens pligt til at fremlægge oplysninger og materiale, der er nødvendig for stillingtagen til, om enheden identificeres som kritisk. Dette indebærer, at retten til ikke at inkriminere sig selv, jf. kapitel 4 i nævnte lov, skal overholdes. Det bemærkes dog, at det af bemærkningerne til § 10 i lov om retssikkerhed ved forvaltningernes anvendelse af tvangsindgreb og oplysningspligter fremgår, at bestemmelsen om forbud mod selvinkriminering ikke er til hindre for, at den mistænkte kan pålægges at give (faktuelle) oplysninger, som er uden betydning for bedømmelsen af, hvorvidt den pågældende har begået en lovovertrædelse, der kan medføre straf. Bestemmelsen vil således ikke være til hinder for at anvende en oplysningspligt til at kræve oplysninger om navn, adresse mv., jf. herved også retsplejelovens § 750, hvorefter enhver på forlangende er forpligtet til over for politiet at opgive navn, adresse og fødselsdato. Der henvises til Folketingstidende 2003-04, tillæg A, side 3097. Der vil med den foreslåede bestemmelse være tale om oplysningspligt, som beskrevet ovenfor. Det er derfor Ministeriet for Samfundssikkerhed og Beredskabs opfattelse, at kapitel 4 i lov om retssikkerhed ved forvaltningens anvendelse af tvangsindgreb og oplysningspligter alene vil være relevant i praksis i yderst sjældne tilfælde.

Det følger af det foreslåede stk. 5, at vedkommende minister inden for én måned efter identifikation efter stk. 1, orienterer den kritiske enhed om dennes forpligtelser, og om fra hvilken dato forpligtelserne finder anvendelse. Lovens §§ 6-9 finder herefter anvendelse ti måneder efter, at den kritiske enhed har modtaget en sådan orientering.

Den foreslåede bestemmelse vil for det første indebære, at ministeren inden én måned efter identifikation skal orientere den kritiske enhed om lovens forpligtelser, og om fra hvilken dato forpligtelserne finder anvendelse.

Der stilles ikke særlige krav til orienteringens form. Det er derfor op til den enkelte minister at tilrettelægge sagsgangen og administrationen, men under forudsætning af, at orienteringen finder sted inden for en måned efter, at enheden er identificeret som kritisk enhed.

Den foreslåede bestemmelse vil gennemføre CER-direktivets artikel 6, stk. 3 og 5. Af CER-direktivets artikel 6, stk. 3 følger det bl.a., at hver medlemsstat sikrer, at identificerede kritiske enheder inden for en måned efter denne identifikation underrettes om, at de er blevet identificeret som kritiske enheder.

Den foreslåede bestemmelse vil for det andet indebære, at lovens §§ 6-9 finder anvendelse ti måneder efter, at den kritiske enhed har modtaget en sådan orientering.

Det bemærkes i den forbindelse, at det følger af CER-direktivets artikel 6, stk. 3, at direktivets kapitel III om kritiske enheders modstandsdygtighed – der bl.a. omhandler kritiske enheders risikovurdering og modstandsdygtighedsforanstaltninger, baggrundskontrol, og enhedernes underretning om hændelser finder anvendelse fra ti måneder efter datoen for underretningen om, at enheden er identificeret som kritisk enhed. Det fremgår dog særskilt af CER-direktivets artikel 12, stk. 1, at kritiske enheder inden ni måneder efter datoen for underretningen skal have foretaget deres risikovurdering.

For så vidt angår kritiske enheder i sektorerne bankvirksomhed, finansiel markedsinfrastruktur og digital infrastruktur følger det endvidere af CER-direktivets artikel 6, stk. 3, at medlemsstaten skal orientere disse enheder om, at de ikke har forpligtelser i henhold til CER-direktivets kapitel III om kritiske enheders modstandsdygtighed og kapitel IV om kritiske enheder af særlig europæisk betydning, medmindre andet er fastsat i national ret.

Det følger af det foreslåede stk. 6, at ministeren for samfundssikkerhed og beredskab kan fastsætte nærmere regler om identifikation af kritiske enheder efter stk. 1, og hvad der forstås ved en hændelses betydelige forstyrrende virkninger efter stk. 3 i en given sektor.

Den foreslåede bestemmelse vil indebære, at der kan fastsættes nærmere regler om identifikation af kritiske enheder. Anvendelsen af modellen med en tværgående hovedlov, der suppleres af bekendtgørelser, vil i øvrigt sikre, at der i nødvendigt omfang kan ske hurtig ændring af reglerne på baggrund af eksempelvis ændringer i risiko- og trusselsbilledet.

De nærmere regler vil skulle udarbejdes inden for den ramme, som de foreslåede stk. 2 og 3 udgør. Der vil i den forbindelse f.eks. kunne fastsættes bestemmelser om de kompetente myndigheders nærmere tilrettelæggelse af proceduren med at identificere kritiske enheder. Der vil endvidere kunne fastsættes bestemmelser, som angiver, hvilke specifikke forhold, herunder antallet af brugere, den kritiske enheds markedsandel og det relevante geografiske område, der kan inddrages i vurderingen af, om en hændelse vil kunne have væsentlig forstyrrende virkning på leveringen af en væsentlig tjeneste.

Der henvises i øvrigt til pkt. 3.1 i lovforslagets bemærkninger.