Lov om supplerende bestemmelser til forordningen om ENISA (Den Europæiske Unions Agentur for Cybersikkerhed), om cybersikkerhedscertificering af informations- og kommunikationsteknologi og om ophævelse af forordning (EU) nr. 526/2013 (forordningen om cybersikkerhed) (lov om cybersikkerhedscertificering) § 9

Det følger af artikel 58, stk. 8, litra a, i forordningen om cybersikkerhed, at cybersikkerhedscertificeringsmyndigheden skal kunne anmode overensstemmelsesvurderingsorganer, indehavere af en europæisk cybersikkerhedsattest og udstedere af EU-overensstemmelseserklæringer om at forelægge alle oplysninger, som er nødvendige for udførelsen af dens opgaver.

Det foreslås i § 9, at Sikkerhedsstyrelsen fra overensstemmelsesvurderingsorganer, indehavere af en europæisk cybersikkerhedsattest og udstedere af EU-overensstemmelseserklæringer kan kræve alle oplysninger, som er nødvendige for udførelsen af opgaven som national cybersikkerhedscertificeringsmyndighed, herunder til afgørelse af om et forhold er omfattet af bestemmelserne i forordningen om cybersikkerhed, regler fastsat i medfør af forordningen, denne lov eller regler fastsat i medfør af denne lov.

Med bestemmelsen forpligtes de nævnte aktører til efter anmodning at stille alle de oplysninger til rådighed for Sikkerhedsstyrelsen, som er nødvendige for at påse overholdelse af kravene i de nævnte retsakter. Alle oplysninger, der er nødvendige og kræves til udførelse af myndighedens opgaver, er omfattet.

Sikkerhedsstyrelsen kan f.eks. kræve af indehavere og udstedere at få tilsendt dokumentation for et IKT-produkt, en IKT-tjeneste eller en IKT-proces' udformning, fremstilling eller konstruktion, markedsføring, installation, konfiguration, anvendelse, drift og vedligeholdelse. Oplysningerne kan bl.a. også omfatte oplysninger om overensstemmelse, risiko- og sikkerhedsvurderinger, testresultater, fagtekniske vurderinger og oplysninger om, hvor mange eksemplarer, der er bragt i omsætning, hvordan og til hvem. Videre kan der, hvad angår overensstemmelsesvurderingsorganerne, være tale om dokumentation for uddannelse, løn, forsikring, ansættelsesvilkår, arbejdsgange, kvalitetsledelsessystemer, procedurer- og arbejdsprocesser.

I de nævnte tilfælde kan der være tale om behandling af personoplysninger. Det er Erhvervsministeriets vurdering, at denne behandling af oplysninger kan ske efter databeskyttelsesforordningens artikel 6, stk. 1, litra e, da behandlingen er nødvendig af hensyn til udførelsen af Sikkerhedsstyrelsens opgave som cybersikkerhedscertificeringsmyndighed.

Oplysningspligten er af væsentlig betydning for, at Sikkerhedsstyrelsen kan udføre et effektivt tilsyn. Vurderingen af, hvilke oplysninger der vil blive indhentet, vil altid bero på en proportionalitetsvurdering og karakteren af den dokumentation, der kan kræves, vil variere fra sag til sag. De oplysninger, Sikkerhedsstyrelsen vil kunne kræve, skal være relevante for den arbejdsopgave, Sikkerhedsstyrelsen varetager, og være tilgængelige for producenter og udbydere. Der er således ikke tale om, at Sikkerhedsstyrelsen kan kræve, at producenter og udbydere generer ny data og dokumentation. Udbydere og producenter kan ikke nægte at meddele Sikkerhedsstyrelsen oplysningerne under henvisning til, at der er tale om forretningshemmeligheder. De almindelige bestemmelser om tavshedspligt for offentligt ansatte i straffelovens 16. kapitel finder anvendelse.

Bestemmelsen afgrænses af det almindelige forbud mod at udsætte andre for selvinkriminering, som det bl.a. kan udledes af Den Europæiske Menneskerettighedskonventions artikel 6 og § 10 i lov nr. 442 af 9. juni 2004 om retssikkerhed ved forvaltningens anvendelse af tvangsindgreb og oplysningspligter (retssikkerhedsloven). Er der konkret mistanke om, at det af oplysningerne vil fremgå, at den pågældende har begået noget strafbart, kan det således ikke kræves, at oplysningerne udleveres.

Sikkerhedsstyrelsen har ansvaret for, at oplysningerne behandles på en forsvarlig og korrekt måde. Dette gælder således for alle slags oplysninger, der behandles, herunder f.eks. personoplysninger og forretningshemmeligheder. Det gælder også, hvis der er tale om klassificeret information, hvor en særlig sikkerhedsbeskyttelse af informationen er påkrævet. I så fald er Sikkerhedsstyrelsen forpligtet til at kunne sikkerhedsbeskytte den klassificerede information, jf. nærmere Justitsministeriets cirkulære af 17. december 2014 om sikkerhedsbeskyttelse af informationer af fælles interesse for landene i NATO eller EU, andre klassificerede informationer samt informationer af sikkerhedsmæssig beskyttelsesinteresse i øvrigt.

Endelig skal oplysningerne, der modtages i henhold til bestemmelsen, som udgangspunkt indsendes digitalt, jf. lovforslagets § 15, og eventuelt inden for en nærmere angivet tidsfrist.