Lov om styrket beredskab i energisektoren § 35

Efter gældende ret i elforsyningslovens § 84, varmeforsyningslovens § 23 d, fjernkølingslovens § 8 c, olieberedskabslovens § 17, stk. 2, undergrundslovens § 26 og gasforsyningslovens § 45, kan klima-, energi- og forsyningsministeren indhente oplysninger som er nødvendige for varetagelsen af alle opgaver eller nogle specifikke opgaver ministeren har efter disse love, fra virksomheder omfattet af disse love. I forarbejderne til de nævnte paragraffer fremgår det, at der bl.a. er tale om regnskaber, regnskabsmateriale, udskrift af bøger, andre forretningspapirer og elektronisk lagrede data.

Det foreslås i § 35, stk. 1, at klima-, energi- og forsyningsministeren og Energinet kan fra virksomheder omfattet af loven indhente oplysninger, der er nødvendige for varetagelsen af deres opgaver efter loven, efter bestemmelser fastsat i medfør af loven eller efter EU-retsakter eller internationale forpligtelser om forhold omfattet af loven.

Klima-, energi- og forsyningsministeren og Energinet kan med hjemmel i den foreslåede bestemmelse kræve alle oplysninger, som skønnes nødvendige for deres virksomhed efter loven, eller til afgørelse af om et forhold er omfattet af lovens bestemmelser, herunder regnskaber, regnskabsmateriale, udskrift af bøger, andre forretningspapirer, elektronisk lagrede data m.m. Med den foreslåede bestemmelse kan ministeren og Energinet også kræve sammenstilling af eksisterende data, således det gøres tilgængelig og forståelig og således anvendelig ift. den opgave der skal varetages. Endelig kan den foreslåede bestemmelse også bruges til at kræve generering af nye oplysninger hos virksomheden, såfremt virksomheden ikke allerede har gjort sig bekendt med egne forhold. Her tænkes således på situationer, hvor virksomheden fx ikke allerede måtte være bekendt med hvor meget salg, kapacitet, produktion etc. virksomheden har/har haft, som er data der er nødvendigt for at klima-, energi- og forsyningsministeren kan determinere om virksomheden er omfattet af loven eller ej.

Endelig bemærkes det, at bestemmelsens anvendelse er afgrænset af retssikkerhedslovens § 10 om forbud mod selvinkriminering. Virksomheden vil aldrig være forpligtiget til at aflevere informationer til klima-, energi- og forsyningsministeren og Energinet efter den foreslåede bestemmelse, der vil kunne inkriminere virksomheden. Dette vil skulle oplyses til virksomheden ved fremsendelse af anmodningen om oplysningerne, medmindre det efter klima-, energi- og forsyningsministerens eller Energinets vurdering vil være garanteret at de oplysninger der efterspørges ikke kan inkriminere virksomheden.

Det foreslås i § 35, stk. 2, at klima-, energi- og forsyningsministeren fastsætter regler om, at virksomheder omfattet af loven skal registrere sig, og om hvilke oplysningerne som virksomheder i den forbindelse skal oplyse, herunder de i nr. 1-4 oplistede oplysninger.

Bestemmelsen gennemfører NIS 2-direkitvets artikel 3, stk. 3 og 4, hvorefter medlemsstaterne senest den 17. april 2025 udarbejder en liste over væsentlige og vigtige enheder samt enheder, der leverer domænenavnsregistreringstjenester. Medlemsstaterne reviderer og, hvor det er relevant, ajourfører derefter listen med jævne mellemrum, mindst hvert andet år. Med henblik på udarbejdelsen af listes pålægger medlemsstaterne enhederne, at indgive mindst følgende oplysninger til de kompetente myndigheder; a) enhedens navn, b) ajourførte kontaktoplysninger, herunder e-mailadresser, IP-intervaller og telefonnumre, c) i givet fald den relevante sektor og delsektor i bilag I eller II, samt d) i givet fald en liste over de medlemsstater, hvor enheden leverer tjenester, der er omfattet af dette direktivs anvendelsesområde. De omhandlede enheder skal i tilfælde af ændringer af de oplysninger, de har indgivet, straks give underretning herom og under alle omstændigheder senest to uger efter datoen for ændringen.

Efter den foreslåede bestemmelse vil klima-, energi- og forsyningsministeren fastsætte regler for, hvilke virksomheder der skal registrere sig, og hvordan registreringen skal foregå.

Ministeren vil på baggrund af den foreslåede bestemmelse kunne fastsætte den nærmere dato for, hvornår virksomheder senest skal indgive oplysninger efter bestemmelsen og regler udsted i medfør af bestemmelsen. Virksomheder, der omfattes af denne lov, efter den fastsatte dato, vil skulle indgive oplysninger efter en nærmere angiven frist.

Bestemmelsen vil gennemføre dele af NIS 2-direktivets artikel 3, stk. 3, hvorefter medlemsstaterne senest den 17. april 2025 skal udarbejde en liste over væsentlige og vigtige enheder samt enheder, der leverer domænenavnsregistreringstjenester.

Ministeren vil derudover, for at sikre, at oplysningerne er tilstrækkeligt ajourførte, kunne fastsatte en frist for, hvornår virksomheder skal oplyse om ændringer af oplysninger. Ministeren vil fastsætte en frist for virksomheder, for underretning om ændringer i oplysninger.

Bestemmelsen vil gennemføre NIS 2-direktivets artikel 3, stk. 4, 2. pkt., som fastsætter, at væsentlige og vigtige enheder, samt enheder, der leverer domænenavnsregistreringstjenester, i tilfælde af ændringer af de oplysninger, de har indgivet i henhold til artikel 3, stk. 4, 1. pkt., straks skal give underretning herom og under alle omstændigheder senest to uger efter datoen for ændringen.

Klima-, energi- og forsyningsministeren vil derfor som minimum fastsætte en frist på to uger for nye virksomheder at indgive oplysninger. Ministeren vil desuden som minimum fastsætte en frist på to uger for underretning om ændringer i oplysninger til brug for registrering af virksomheden.

Klima-, energi- og forsyningsministeren vil kunne fastsætte en kortere frist for virksomheder på baggrund af deres betydning for energiforsyningen. Ministeren vil dermed kunne fastsætte en differentieret frist for virksomhederne på baggrund af kritikalitet. Denne differentierede frist vil som udgangspunkt kun gælde for den underretning, som virksomhederne skal foretage om ændringer i allerede indmeldte oplysninger.

Baggrunden for registreringspligten i artikel 3, stk. 4, er, at medlemsstaterne efter NIS 2-direktivets artikel 3, stk. 3, senest den 17. april 2025 skal udarbejde en liste over væsentlige og vigtige enheder samt enheder, der leverer domænenavnsregistreringstjenester.

Med de indsamlede oplysninger sikres der således et overblik over de energivirksomhederne, som er omfattet af lovens anvendelsesområde. Det forudsættes, at virksomheder, der leverer tjenester i flere sektorer, vil skulle foretage én samlet registrering via en fælles digital indgang, såsom Virk.dk. Dette vil sikre, at disse enheder alene skal foretage én indledende registrering, som fordeles samtidigt til de relevante myndigheder. Det forudsættes, at CSIRT’en kan tilgå oplysningerne, således at CSIRT’en har et samlet overblik over de registrerede enheder på tværs af sektorer.

De kompetente myndigheder, herunder Klima-, Energi- og Forsyningsministeriet vil, via det centrale kontaktpunkt, i overensstemmelse med NIS 2-direktivets artikel 3, stk. 5, bl.a. orientere EU-Kommissionen og Samarbejdsgruppen om antallet af virksomheder, som opfylder kravene for væsentlige og vigtige enheder for hver sektor og delsektor.

Det foreslås i § 35, stk. 2, nr. 1, at virksomheden skal oplyse virksomhedens navn. Det forudsættes, at der vil blive fastsat regler om, at virksomheden skal oplyse det navn på virksomheden, som virksomheden er registeret under i CVR-registeret, herunder andre navne virksomheden er kendt under. Såfremt virksomheden er udenlandsk, registreres det navn virksomheden er registreret under det pågældendes lands udgave af CVR-registret og hvor disse ikke findes det navn som virksomheden benytter på andre officielle dokumenter.

Det foreslås i § 35, stk. 2, nr. 2, at virksomheden skal oplyse adresse og ajourførte kontaktoplysninger, herunder e-mailadresser, IP-intervaller og telefonnumre. Det forudsættes, at der vil blive fastsat regler om, at virksomheden skal oplyse virksomhedens adresse og ajourførte kontaktoplysninger på ledelsen og andre relevante personer med ansvar for organisatorisk beredskab, fysisk sikring og cybersikkerhed, herunder e-mailadresser og telefonnumre samt hvor det er relevant IP-intervaller, som virksomheden anvender.

Det foreslås i § 35, stk. 2, nr. 3, at virksomheden skal oplyse den relevante sektor og delsektor, som virksomheden er omfattet af. Det forudsættes, at der vil blive fastsat regler om, at virksomheden skal oplyse, at virksomheden er omfattet af energisektoren, og at virksomheden agerer i en eller flere af følgende delsektorer, elektricitet, fjernvarme, fjernkøling, olie, gas og brint.

Det foreslås i § 35, stk. 2, nr. 4, at virksomheden skal oplyse de medlemsstater i Den Europæiske Union, hvor virksomheden leverer tjenester. Det forudsættes, at der vil blive fastsat regler om, at virksomheden skal oplyse om de medlemsstater i Den Europæiske Union, hvor virksomheden også eventuelt måtte levere deres tjenester.

For så vidt angår de persondataretlige overvejelser, henvises der til pkt. 4 i de almindelige bemærkninger.