NIS 2-loven § 5

Der er i artikel 5, stk. 1, i Europa-Parlamentets og Rådets direktiv (EU) 2016/1148 af 6. juli 2016 om foranstaltninger, der skal sikre et højt fælles sikkerhedsniveau for net- og informationssystemer i hele Unionen (NIS 1-direktivet) en forpligtelse for medlemsstaterne til at identificere operatører af væsentlige tjenester, der opererer på deres område for en række nærmere angivne sektorer og delsektorer.

Efter NIS 1-direktivets artikel 5, stk. 2, er operatører af væsentlige tjenester følgende: a) En enhed der leverer en tjeneste, der er væsentlig for opretholdelsen af kritiske samfundsmæssige og/eller økonomiske aktiviteter, b) leveringen af denne tjeneste afhænger af net- og informationssystemer, og c) en hændelse ville få væsentlige forstyrrende virkninger for leveringen af den nævnte tjeneste.

NIS 1-direktivet omfatter også udbydere af digitale tjenester, som er visse udbydere af onlinemarkedspladser, onlinesøgemaskiner og cloud-computing-tjenester, jf. direktivets artikel 4, nr. 5.

NIS 1-direktivet blev i dansk ret gennemført sektorvist i regulering gældende for de specifikke sektorer, hvor direktivet finder anvendelse. For en nærmere gennemgang af den sektorvise implementering af NIS 1-direktivet henvises til afsnit 2.4 i lovforslagets almindelige bemærkninger.

Det følger af det foreslåede stk. 1, at enheder, som er omfattet af lovens bilag 1 eller 2, anses for at vigtige enheder, hvis enheden1) beskæftiger mere end 50 personer, eller 2) enheden har en årlig omsætning på over 10 mio. EUR og en årlig samlet balance på over 10 mio. EUR.

Den foreslåede bestemmelse vil delvist gennemføre NIS 2-direktivets artikel 3, stk. 2, 1. pkt., som fastsætter, at enheder af en type omhandlet af direktivets bilag I eller II, der ikke opfylder kriterierne for at være væsentlige enheder i henhold til artikel 3, stk. 1, anses for at være vigtige enheder.

Den foreslåede bestemmelse svarer med sproglige tilpasninger uden indholdsmæssig betydning til NIS 2-direktivets artikel 3, stk. 2, 1. pkt., og skal forstås og anvendes i overensstemmelse med direktivets forudsætninger.

Den foreslåede bestemmelse indebærer således to kumulative kriterier for, hvornår en enhed anses for at være en vigtig enhed: 1) enheden skal være af en type, der er omfattet af lovens bilag 1 eller 2, og 2) enheden skal enten beskæftige mere end 50 personer eller have en årlig omsætning på 10 mio. EUR og en årlig balance på over 10 mio. EUR.

Af lovens bilag 1 fremgår følgende sektorer af særlig kritisk betydning: 1) transport med delsektorerne: a) luft, b) jernbane, c) vand og d) vejtransport, 2) sundhed, 3) drikkevand, 4) spildevand, 5) digital infrastruktur, 6) forvaltning af informations- og kommunikationstjenester (IKT-tjenester) (buisness-to-buisness), 7) offentlig forvaltning og 8) rummet.

Af lovens bilag 2 fremgår følgende andre kritiske sektorer: 1) post og kurertjenester, 2) affaldshåndtering, 3) fremstilling produktion og distribution af kemikalier, 4) produktion, tilvirkning og distribution af fødevarer, 5) fremstilling med delsektorerne: a) Fremstilling af medicinsk udstyr og medicinsk udstyr til in vitro-diagnostik, b) fremstilling af computere og elektroniske og optiske produkter, c) fremstilling af elektrisk udstyr, d) fremstilling af maskiner og udstyr intet andetsteds nævnt, e) fremstilling af motorkøretøjer, påhængsvogne og sættevogne og f) fremstilling af andre transportmidler, 6) digitale udbydere og 7) forskning.

Det følger af det foreslåede stk. 2, at den kompetente myndighed kan træffe afgørelse om, at en enhed uanset størrelse, som er omfattet af § 4, stk. 3, nr. 4 eller 5, skal anses for at være en vigtig enhed.

Den foreslåede bestemmelse vil delvist gennemføre NIS 2-direktivets artikel 3, stk. 2, jf. artikel 3, stk. 1, litra e og g.

Det følger af artikel 3, stk. 2, at enheder af en type omhandlet i direktivets bilag I eller II, der ikke opfylder kriterierne for at være væsentlige enheder i henhold til artikel 3, stk. 1, anses for at være vigtige enheder. Dette indbefatter enheder, som medlemsstaterne har identificeret som vigtige enheder i medfør af artikel 2, stk. 2, litra b-e.

Det følger endvidere af artikel 3, stk. 1, litra e, at alle andre enheder af en type, som omhandlet i direktivets bilag I eller II, som en medlemsstat har identificeret som væsentlige enheder i medfør af artikel 2, stk. 2, litra b-e, anses for at være væsentlige enheder. Det følger endvidere af NIS 2-direktivets artikel 3, stk. 1, litra g, at hvis medlemsstaten træffer afgørelse herom anses enheder, som den pågældende medlemsstat inden den 16. januar 2023 har identificeret som operatører af væsentlige tjenester i overensstemmelse med NIS 1-direktivet eller national ret, for at være væsentlige enheder.

Den foreslåede bestemmelse svarer med sproglige tilpasninger uden indholdsmæssig betydning til NIS 2-direktivets artikel 3, stk. 2, jf. artikel 3, stk. 1, litra e og g, og skal forstås og anvendes i overensstemmelse med direktivets forudsætninger.

Det er Ministeriet for Samfundssikkerhed og Beredskabs opfattelse, at enheder, der er identificeret som operatører af væsentlige tjenester i overensstemmelse med NIS 1-direktivet som udgangspunkt må anses for at være væsentlige enheder.

Den foreslåede bestemmelse indebærer, at den relevante kompetente myndighed kan træffe afgørelse om, at en enhed, der er identificeret som operatør af væsentlige tjenester efter den danske gennemførelse af NIS 1-direktivet, skal anses for at være en vigtig enhed uanset udgangspunktet i det foreslåede § 4, stk. 3, nr. 4. For en nærmere gennemgang af den sektorvise implementering af NIS 1-direktivet henvises til lovforslagets pkt. 2.4.

Den foreslåede bestemmelse er navnlig tiltænkt den situation, hvor der siden 16. januar 2023 er indtrådt sådanne ændringer i enhedens forhold, at enheden ikke længere ville blive anset som en operatør af væsentlige tjenester i medfør af den regulering, der gennemførte NIS 1-direktivets artikel 5 om identificering af operatører af væsentlige tjenester.

Særligt i relation til de enheder, der uanset deres størrelse omfattes af direktivet på baggrund af mere kvalitative kriterier i relation til deres samfundsmæssige betydning, jf. NIS 2-direktivets artikel 2, stk. 2, litra b-e, bemærkes det, at direktivet både nævner disse som væsentlige og vigtige enheder. Det er Ministeriet for Samfundssikkerhed og Beredskabs opfattelse, at disse enheder henset til deres samfundsmæssige betydning som udgangspunkt må anses for at være væsentlige enheder, men at der kan være situationer, hvor dette ikke bør være tilfældet.

Den foreslåede bestemmelse indebærer, at den relevante kompetente myndighed kan træffe afgørelse om, at en enhed, der er omfattet af loven på baggrund af de kvalitative kriterier i relation til deres samfundsmæssige betydning, jf. NIS 2-direktivets artikel 2, stk. 2, litra b-e, skal anses for at være en vigtig enhed uanset udgangspunktet i det foreslåede § 4, stk. 3, nr. 5.

Såfremt en enhed i medfør af øvrige dele af lovforslagets § 4 ud over det foreslåede stk. 2, nr. 4 eller 5, må anses for at være en væsentlig enhed, vil der ikke kunne ske ændring af enhedens status fra væsentlig til vigtig efter den foreslåede bestemmelse.

Det bemærkes, at der vil være tale om en forvaltningsretlig afgørelse, der vil være omfattet af forvaltningslovens almindelige regler, herunder bestemmelserne i kapitel 3 (om vejledning og repræsentation mv.), kapitel 5 (om partshøring), kapitel 6 (om begrundelse mv.) og kapitel 7 (om klagevejledning).

Der henvises i øvrigt til lovforslagets pkt. 3.1.