Lov om styrket beredskab i energisektoren § 16

Det foreslås i § 16, stk. 1, at klima-, energi- og forsyningsministeren efter forhandling med justitsministeren kan fastsætte nærmere regler om, på hvilke betingelser en virksomhed kan få foretaget baggrundskontrol af personer i energisektoren, der: 1) varetager følsomme opgaver i eller til fordel for en kritisk enhed, navnlig vedrørende den kritiske enheds modstandsdygtighed, 2) er bemyndiget til at få direkte adgang, indirekte adgang eller fjernadgang til en kritisk enheds lokaler, oplysninger eller kontrolsystemer, herunder i forbindelse med den kritiske enheds sikkerhed eller 3) overvejes ansat i stillinger, der indebærer opgavevaretagelse efter nr. 1 og/eller nr. 2.

Den foreslåede bestemmelse har til formål at implementere artikel 14 i Europa-Parlamentets og Rådets direktiv (EU) 2022/2557 af 14. december 2022 om kritiske enheders modstandsdygtighed og om ophævelse af Rådets direktiv 2008/114/EF (CER-direktivet), hvorefter medlemsstaterne efter artiklens stk. 1 angiver, på hvilke betingelser en kritisk enhed i behørigt begrundede tilfælde og under hensyntagen til medlemsstatsrisikovurderingen har tilladelse til at indgive anmodninger om baggrundskontrol af personer, der a) varetager følsomme opgaver i eller til fordel for en kritisk enhed, navnlig vedrørende den kritiske enheds modstandsdygtighed, b) er bemyndiget til at få direkte adgang eller fjernadgang til en kritisk enheds lokaler, oplysninger eller kontrolsystemer, herunder i forbindelse med den kritiske enheds sikkerhed, c) overvejes ansat i stillinger, der hører under kriterierne i litra a) eller b).

Den foreslåede bestemmelse svarer i det væsentlige indholdsmæssigt til CER-direktivets artikel 14, stk. 1, og skal forstås og anvendes i overensstemmelse med direktivets forudsætninger.

Det fremgår af CER-direktivets præambelbetragtning nr. 32, at risikoen for at ansatte i kritiske enheder eller deres kontrahenter misbruger for eksempel deres adgangsret inden for den kritiske enheds organisation til at skade og forvolde skade, giver anledning til stigende bekymring. Derfor bør medlemsstaterne angive de betingelser, på hvilke kritiske enheder i behørigt begrundede tilfælde og under hensyntagen til medlemsstatsrisikovurderinger har tilladelse til at indgive anmodninger om baggrundskontrol af personer, der tilhører specifikke kategorier af deres personale.

Det foreslås, at klima-, energi- og forsyningsministeren bemyndiges til at fastsætte nærmere regler om, på hvilke betingelser en virksomhed i energisektoren vil kunne anmode om baggrundskontrol af visse personer i energisektoren.

Efter den foreslåede bestemmelse vil klima-, energi- og forsyningsministeren efter forhandling med justitsministeren kunne fastsætte nærmere regler, der vil udmønte den nærmere ordning for gennemførelse af CER-direktivets artikel 14 om baggrundskontrol i energisektoren.

Det bemærkes, at gennemførelse af baggrundskontrol vil ske på baggrund af en ansøgning fra en virksomhed i energisektoren og forudsætter, at den pågældende person har meddelt samtykke dertil.

Det fremgår bl.a. af CER-direktivets artikel 14, stk. 2, at anmodninger om baggrundskontrol vurderes inden for en rimelig frist og behandles i overensstemmelse med national ret og nationale procedurer samt relevant og gældende EU-ret, herunder EU-regulering om beskyttelse af personoplysninger. Baggrundskontrol skal være forholdsmæssig og strengt begrænset til, hvad der er nødvendigt. Den foretages udelukkende med henblik på at vurdere en potentiel sikkerhedsrisiko for den berørte kritiske enhed.

CER-direktivets artikel 14, stk. 3, fastsætter bl.a., at baggrundskontrollen mindst skal bekræfte identiteten af den person, som er genstand for baggrundskontrollen, og at der skal foretages en kontrol af strafferegistre for den pågældende person for lovovertrædelser, der er relevante for en bestemt stilling.

Det er forventningen, at den nærmere udmøntning af ordningen for baggrundskontrol som udgangspunkt vil ske i overensstemmelse med kravene i CER-direktivets artikel 14, stk. 2 og 3, men at der i den nærmere udmøntning vil kunne være mulighed for, at indføre krav om udvidet baggrundskontrol, i lighed med ordningen for udvidet baggrundskontrol på luftfartsområdet, jf. pkt. 3.4.1 ovenfor. Som det også fremgår af CER-direktivets præambelbetragtninger, vil udformningen af baggrundskontrollen desuden skulle fastsættes under hensyntagen til medlemsstaternes risikovurderinger.

Det bemærkes i den forbindelse, at CER-direktivets krav om baggrundskontrol har til formål at imødegå risikoen for, at ansatte i kritiske enheder misbruger eksempelvis deres adgangsret inden for den kritiske enheds organisation til at forvolde skade. Dette vil derfor også være styrende for den nærmere vurdering af, hvilke kriterier der skal indgå i overvejelserne om godkendelsesniveauet, samt hvilke strafbare eller personlige forhold, der skal have betydning for baggrundskontrollen i forhold til den konkrete stilling.

Som beskrevet i pkt. 3.1.3 og de specielle bemærkninger til § 4, stk. 2 forventes det, at de af loven omfattede virksomheder inddeles i fem niveauer på baggrund af deres forsyningsstørrelse og kritikalitet for forsyningssikkerheden i energisektoren. Niveau 1–virksomheder forventes at være de mindst kritiske for forsyningssikkerheden og niveau 5-virksomheder forventes at være det mest kritiske.

Efter den foreslåede bestemmelse forventes der fastsat nærmere regler om, at personale med en indirekte mulighed for at påvirke forsyningssikkerheden i virksomheder i niveau 3, 4 og 5 skal have opnået tilfredsstillende resultat ved udvidet baggrundskontrol. Indirekte mulighed for at påvirke energiforsyningen forventes eksempelvis at være personer med uledsaget adgang til virksomhedens kontrolcenter (fx rengøringspersonale eller konsulenter) eller adgang til anlæg (fx gartnere og vagter) samt softwareudviklere og andre personer som sidder med fx test og udvikling af systemer, som anvendes til at styre produktion, lagring, transmissionen eller distribution af energi.

For virksomheder i niveau 2, som har betydning for energiforsyningen på regionalt eller lokalt niveau, forventes der i relevant omfang fastsat nærmere regler om, at personale som enten har direkte eller indirekte mulighed for at påvirke forsyningssikkerheden, omfattes af krav om udvidet baggrundskontrol.

For virksomheder i niveau 1 lægges der op til, at virksomheden ikke omfattes af krav om udvidet baggrundskontrol, men at virksomheden i relevant omfang selv foretager baggrundskontrol i form af ID/CV-kontrol.

Afgørelser om, hvorvidt en person har gennemgået en udvidet baggrundskontrol med et tilfredsstillende resultat og om tilbagekaldelse af en afgørelse om udvidet baggrundskontrol, vil skulle træffes af Energistyrelsen. Disse afgørelser vil træffes på baggrund af oplysninger om pågældende person, som politiet tilvejebringer.

Det foreslås i stk. 2, 1. pkt., at klima-, energi- og forsyningsministeren efter forhandling med justitsministeren og ministeren for samfundssikkerhed og beredskab kan fastsætte regler om, at personer, der er omfattet af stk. 1, skal sikkerhedsgodkendes af Klima-, Energi- og Forsyningsministeriet.

Med den foreslåede bestemmelse vil der således i loven være en særskilt hjemmel til fastsættelse af regler om sikkerhedsgodkendelse af ansatte i energisektoren.

Baggrunden for det foreslåede stk. 2, er, at Klima-, Energi- og Forsyningsministeriet vurderer, at udvidet baggrundskontrol i visse tilfælde ikke vil være tilstrækkelig til at sikre den fornødne personelsikkerhed i energisektoren. Det skyldes bl.a., at nogle ansatte i energisektoren i deres konkrete opgaveløsning har mulighed for potentielt at påvirke energiforsyningen på fx regionalt, nationalt eller europæisk niveau, og at der derfor for disse ansatte er behov for en mere omfattende personelsikkerhedsundersøgelse end fx udvidet baggrundskontrol. Efter den foreslåede bestemmelse forventes der fastsat nærmere regler om, at ansatte i virksomheder i niveau 3, 4 og 5, som har direkte adgang til at påvirke energiforsyningen i energisektoren, skal sikkerhedsundersøges af Politiets Efterretningstjeneste med henblik på afgørelse om vedkommende kan sikkerhedsgodkendes til graden FORTROLIGT.

Der lægges op til, at sikkerhedsundersøgelsen i udgangspunktet er til klassifikationsgraden FORTROLIGT, medmindre der er en konkret og særlig begrundelse for at foretage en undersøgelse til klassifikationsgraden HEMMELIG eller YDERST HEMMELIGT. Ved valg undersøgelse til klassifikationsgraden HEMMELIGT eller YDERST HEMMELIGT i stedet for FORTROLIGT lægges der vægt på, at virksomheden indgår i fx samarbejde med efterretningstjenesterne eller indgår i tværgående beredskabsarbejde, hvor der kan være krav om godkendelse til klassifikationsgraden HEMMELIGT eller YDERST HEMMELIGT for deltagelse.

Det lægges op til, at det er Energistyrelsen, som har kompetence til at vælge om sikkerhedsundersøgelsen i særlige tilfælde er til HEMMELIGT eller YDERST HEMMELIGT i stedet for FORTROLIGT.

Ved direkte adgang til at påvirke energiforsyningen forstås, at den pågældende ansatte eller konsulent har væsentlige fysiske eller logiske adgange og rettigheder, fx at vedkommende har ubegrænset fysisk adgang til virksomhedens anlæg eller kontrolrum eller at vedkommende har domænerettigheder eller lign. privilegerede rettigheder til virksomhedens kritiske systemer.

Efter den foreslåede bestemmelse forventes der endvidere fastsat nærmere regler om kriterier for, på hvilke betingelser en virksomhed i energisektoren vil kunne anmode om sikkerhedsgodkendelse. Det bemærkes i den forbindelse, at gennemførelse af sikkerhedsgodkendelse vil ske på grundlag af en ansøgning fra virksomheden og forudsætter, at vedkommende har meddelt samtykke dertil.

Efter det foreslåede stk. 2, 2. pkt., kan klima-, energi- og forsyningsministeren efter forhandling med justitsministeren og ministeren for samfundssikkerhed og beredskab fastsætte regler om ansøgninger om sikkerhedsgodkendelser, herunder betingelser for indgivelse af sådanne ansøgninger samt meddelelse og tilbagekaldelse af sikkerhedsgodkendelser.

Det forventes, at der fastsættes nærmere regler om ansøgning og afgørelser om sikkerhedsgodkendelser, samt meddelelse om og tilbagekaldelse af afgørelser om sikkerhedsgodkendelser. Dette omfatter bl.a. administrative krav i forbindelse med indgivelse af en ansøgning, hvilken myndighed der træffer afgørelse, krav om afmelding, hvis en person ikke længere har en funktion, som forudsætter en sikkerhedsgodkendelse, og bestemmelser om, at afgørelsen tilbagekaldes, hvis en person ikke længere opfylder kravene til godkendelsen.

Det bemærkes i forlængelse heraf, at ansøgninger om sikkerhedsgodkendelse – i overensstemmelse med den gældende praksis på området – vil skulle indgives til Klima-, Energi- og Forsyningsministeriet, som træffer afgørelse på baggrund af en sikkerhedsundersøgelse foretaget af Politiets Efterretningstjeneste.

For så vidt angår de persondataretlige overvejelser, henvises der til pkt. 4 i de almindelige bemærkninger.