Lov om sikkerhed og beredskab i telesektoren § 10

Det følger af den foreslåede bestemmelse i stk. 1, at teleudbydere kan underrette Styrelsen for Samfundssikkerhed og CSIRT’en om hændelser, nærvedhændelser og cybertrusler.

Bestemmelsen vil gennemføre artikel 30, stk. 1, i NIS 2-direktivet, som fastsætter en forpligtelse for medlemsstaterne til at sikre, at der ud over underretningsforpligtelsen i artikel 23 kan indgives underretninger til CSIRT’en eller i givet fald de kompetente myndigheder på frivillig basis af: a) væsentlige og vigtige enheder for så vidt angår hændelser, cybertrusler og nærvedhændelser og 2) enheder, udover dem der er omhandlet i litra a), uanset om de er omfattet af dette direktivs anvendelsesområde, for så vidt angår væsentlige hændelser, cybertrusler og nærvedhændelser.

Den foreslåede bestemmelse svarer indholdsmæssigt til bestemmelsen i NIS 2-direktivets artikel 30, stk. 1, og skal forstås og anvendes i overensstemmelse med direktivets forudsætninger.

Den foreslåede bestemmelse indebærer, at alle teleudbydere kan underrette Styrelsen for Samfundssikkerhed og CSIRT’en om hændelser, nærvedhændelser og cybertrusler.

Det følger af den foreslåede stk. 2, at Styrelsen for Samfundssikkerhed og CSIRT’en behandler underretninger efter stk. 1 på samme måde som underretninger modtaget i medfør af § 8. CSIRT’en kan prioritere håndteringen af underretninger, der er modtaget i medfør af § 8 frem for underretninger efter det foreslåede stk. 1.

Bestemmelsen vil gennemføre artikel 30, stk. 2, i NIS 2-direktivet. Det følger af NIS 2-direktivets artikel 30, stk. 2, at medlemsstaterne behandler de i artiklens stk. 1 omhandlede underretninger i overensstemmelse med proceduren, der er fastsat i artikel 23. Medlemsstaterne kan prioritere behandling af obligatoriske underretninger frem for frivillige underretninger. Hvor det er nødvendigt, giver CSIRT'erne og i givet fald de kompetente myndigheder det centrale kontaktpunkt de oplysninger om underretninger, de har modtaget i medfør af denne artikel, samtidig med at de sikrer fortroligheden og passende beskyttelse af de oplysninger, der er afgivet af den underrettende enhed. Uden at det berører forebyggelse, efterforskning, afsløring og retsforfølgning af strafbare handlinger, må frivillig rapportering ikke medføre, at den underrettende enhed pålægges nogen yderligere forpligtelser, som den ikke ville være omfattet af, hvis den ikke havde foretaget underretningen.

Den foreslåede bestemmelse svarer med sproglige tilpasninger uden indholdsmæssig betydning til bestemmelsen i NIS 2-direktivets artikel 30, stk. 2, og skal forstås og anvendes i overensstemmelse med direktivets forudsætninger.

Den foreslåede bestemmelse indebærer, at CSIRT’en og Styrelsen for Samfundssikkerhed vil skulle behandle frivillige underretninger, der er indgivet i medfør af den foreslåede bestemmelse i § 10, stk. 1, efter procedurebestemmelsen i den foreslåede § 9. De forpligtelser for myndigheder, der er angivet i § 9 og bemærkningerne hertil, vil således også gælde for underretninger, der indgives i medfør af den foreslåede bestemmelse i § 10, stk. 1.

Det bemærkes, at den foreslåede bestemmelse ikke indebærer, at teleudbyderen er forpligtet til at følge proceduren efter den foreslåede bestemmelse i § 9, når der indgives underretning efter den foreslåede § 10, stk. 1.

Den foreslåede bestemmelse indebærer desuden, at CSIRT’en kan prioritere at håndtere de underretninger, der er modtaget i medfør af § 8, før CSIRT’en og Styrelsen for Samfundssikkerhed behandler de underretninger, der er modtaget i medfør af § 10, stk. 1.

I stk. 3 foreslås det, at teleudbydere, uanset om de er omfattet af lovens anvendelsesområde, kan give frivillig underretning til Styrelsen for Samfundssikkerhed og CSIRT’en efter stk. 1.

Efter den foreslåede bestemmelse i § 10, stk. 3, kan alle teleudbydere underrette CSIRT’en om hændelser, der negativt påvirker eller vurderes at kunne påvirke tilgængeligheden, integriteten eller fortroligheden af data, informationssystemer, digitale netværk eller digitale servicer.

Den foreslåede bestemmelse indebærer, at enheder, der ellers ikke ville være omfattet af lovens anvendelsesområde, har mulighed for at give frivillig underretning til CSIRT’en om hændelser.

Den foreslåede bestemmelse vil delvist gennemføre NIS 2-direktivets artikel 29, stk. 2.