Lov om styrket beredskab i energisektoren § 9

Gældende beredskabsregulering indeholder ikke regler om brug af særlige informations- og kommunikationstjenester (IKT)-produkter, -tjenester og -processer.

Det følger af det foreslåede § 9, at klima-, energi- forsyningsministeren, efter forhandling med ministeren for samfundssikkerhed og beredskab, kan fastsætte regler om, at virksomheder skal anvende særlige IKT-produkter, -tjenester og -processer, der er udviklet af virksomheden eller indkøbt fra tredjeparter, og som er certificeret i henhold til en europæisk cybersikkerhedscertificeringsordning for at påvise overensstemmelse med bestemte krav i § 8, stk. 1, eller regler om krav til foranstaltninger fastsat i medfør af § 8, stk. 2.

Den foreslåede bemyndigelse vil kunne udmøntes ved nærmere regler på bekendtgørelsesniveau, der vil kunne implementere artikel 24, stk. 1, i NIS 2-direktivet og som vil skulle forstås og anvendes i overensstemmelse med direktivets forudsætninger.

Det følger af bestemmelsen, at der kan fastsættes nærmere krav om, at virksomheder for at påvise overholdelsen af bestemte krav fastsat i medfør af § 8, stk. 2 ved at bruge særlige IKT-produkter, -tjenester og -processer, der er udviklet af virksomheden, eller indkøbt fra tredjeparter, og som er certificeret i henhold til europæiske cybersikkerhedscertificeringsordninger, der er vedtaget i henhold til artikel 49 i Europa-Parlamentets og Rådets forordning (EU) 2019/881 af 17. april 2019 om ENISA (Den Europæiske Unions Agentur for Cybersikkerhed), om cybersikkerhedscertificering af informations- og kommunikationsteknologi og om ophævelse af forordning (EU) nr. 526/2013 (forordningen om cybersikkerhed).

Bestemmelsen kan udmøntes, således at der også kan benyttes IKT-produkter, -tjenester og –processer som stilles gratis til rådighed af tredjeparter, da det er Klima-, Energi- og Forsyningsministeriets vurdering, at dette vil være i overensstemmelse med intentionen bag artikel 24, stk. 1, i NIS 2-direktivet.

For i videst muligt omfang at sikre ensartethed på tværs af sektorer, foreslås det, at eventuelle regler, der udstedes i medfør af den foreslåede bestemmelse, fastsættes efter forhandling med ministeren for samfundssikkerhed og beredskab.

Bestemmelsen er udformet som en kan bestemmelse, da det af NIS-direktivets artikel 24, stk. 1 fremgår, at medlemsstaten kan vælge at fastsætte regler. Da der således ikke består en forpligtigelse, men artiklen kun bestemmer, at der skal være en mulighed for at fastsætte nærmere regler, er bestemmelsen i det foreslåede § 9 ligeledes udformet som en kan bestemmelse.

Såfremt bestemmelsen ønskes anvendt, vil det være på baggrund at konkrete behov for at øge cybersikkerheden i sektoren i tillæg til, hvad der allerede skal gøres efter de regler der fastsættes i medfør af dette lovforslags § 6, stk. 2 og § 8, stk. 2. Det kan eksempelvis være i tilfælde af, at virksomhederne for at nedbringe deres omkostninger anvender IKT-produkter, -tjenester og -processer, som efter Klima-, Energi- og Forsyningsministeriets eller andre myndigheders rådgivning vurderes at være usikre pga. kvaliteten, eller hvor produktet er fremstillet eller hvorfra en IKT-tjeneste/-proces leveres eller gennemføres fra. Således vil der kunne opstå et behov for at bringe virksomhedernes cybersikkerhedsniveau yderligere op, ved at tvinge dem til at bruge IKT-produkter, -tjenester og -processer, som virksomheden selv har udviklet eller købt fra en tredjepart, og vigtigst af alt er certificeret efter en europæiske cybersikkerhedscertificeringsordning.

Reglerne kan potentielt differentieres således, at de afhænger af virksomhedens niveau eller systemets eller anlæggets klassificering efter reglerne fastsat i medfør af lovforslagets § 4, stk. 2.