BEK 896/2019 Art. 2

Center for Cybersikkerhed kan i særlige tilfælde påbyde virksomheder, der har særligt samfundsvigtig karakter, samt regioner og kommuner at blive tilsluttet netsikkerhedstjenesten med henblik på monitorering af netværkskommunikation, jf. § 3, stk. 4, i lov om Center for Cybersikkerhed. Påbuddet kan kun omfatte de dele af virksomheden, regionen eller kommunen, der har en væsentlig betydning for Danmarks kritiske infrastruktur.

Stk. 2. Ved vurderingen af, om en virksomhed, region eller kommune er omfattet af stk. 1, skal Center for Cybersikkerhed lægge vægt på, om virksomheden, regionen eller kommunen beskæftiger sig med aktiviteter eller råder over informationssystemer og digital infrastruktur af en sådan betydning, at en sikkerhedshændelse vil kunne medføre konsekvenser for nationale sikkerhedsinteresser, jf. stk. 3.

Stk. 3. Ved nationale sikkerhedsinteresser, jf. stk. 2, forstås i denne bekendtgørelse landets suverænitet, territorielle integritet og demokratiske styreform samt interesser knyttet til: 1) de øverste statsorganers virksomhed, sikkerhed og handlefrihed, 2) forsvar, sikkerhed og beredskab, 3) forholdet til andre stater og internationale organisationer, 4) landets økonomiske stabilitet og handlefrihed, og 5) befolkningens grundlæggende sikkerhed og velfærd.

Stk. 4. Påbud kan kun meddeles, såfremt mindre indgribende midler, eksempelvis indgåelse af aftale om tilslutning efter § 1, ikke er tilstrækkelige, og påbuddet ikke står i misforhold til tilslutningens betydning for sikringen af Danmarks kritiske infrastruktur. Påbuddet må ikke gå videre end det, der er nødvendigt af hensyn til formålet med påbuddet.

Stk. 5. Afgørelse om påbud forudsætter enighed mellem Center for Cybersikkerhed og tilsynsmyndigheden i den relevante sektor.

Stk. 6. Påbud omfatter netsikkerhedstjenestens monitorering gennem opsætning og drift af en eller flere alarmenheder, jf. § 1, stk. 2, nr. 1.

Stk. 7. Afgørelsen om påbud skal mindst indeholde: 1) En begrundelse med henvisning til de retsregler, i henhold til hvilke afgørelsen er truffet, og angivelse af de hovedhensyn, der har været bestemmende for skøns­udøvelsen, samt en redegørelse for de oplysninger vedrørende sagens faktiske omstændigheder, som er tillagt betydning for afgørelsen, jf. principperne i forvaltningslovens §§ 22 og 24. 2) En vejledning om klageadgang med angivelse af klageinstans og oplysning om fremgangsmåden ved indgivelse af klage, jf. forvaltningslovens § 25. 3) Oplysning om, hvorvidt data hidrørende fra den pågældende virksomhed, region eller kommune er omfattet af slettereglerne i enten § 17, stk. 2, nr. 2 eller 3, i lov om Center for Cybersikkerhed. 4) En beskrivelse af Center for Cybersikkerheds behandling af personoplysninger, som virksomheden, regionen eller kommunen kan anvende til at informere organisationens medarbejdere.

Stk. 8. Center for Cybersikkerhed skal løbende vurdere, om forudsætningerne for et meddelt påbud fortsat er tilstede. Hvis det ikke er tilfældet, skal påbuddet tilbagekaldes eller justeres uden unødigt ophold. Center for Cybersikkerhed skal uanset 1. og 2. pkt. mindst hvert halve år vurdere, om et meddelt påbud skal opretholdes, jf. § 3, stk. 4, i lov om Center for Cybersikkerhed.