BEK 1275/2023 Art. 15

Offentlige myndigheder og offentligretlige organer skal straks underrette relevante privatpersoner og erhvervsbrugere samt underrette henholdsvis Digitaliseringsstyrelsen i Danmark og Center for Cybersikkerhed ved mistanke om it-sikkerhedsbrud, jf. stk. 2.

Stk. 2. Et it-sikkerhedsbrud er en hændelse, som negativt påvirker eller vurderes at ville kunne påvirke tilgængelighed, integritet eller fortrolighed af data, informationssystemer, digitale netværk eller digitale tjenester, og derved udgør en sikkerhedsmæssig brist eller risiko for brist med konsekvenser for driften af NemLog-in og MitID-løsningen.

Stk. 3. I forbindelse med generelle trusler eller angreb mod NemLog-in og tilknyttede sikkerhedsinfrastrukturer er offentlige myndigheder og offentligretlige organer forpligtet til i rimeligt omfang at bidrage til fejlsøgning og håndtering, også selvom den offentlige myndighed eller det offentligretlige organ ikke er omfattet af den pågældende trussel eller et konkret angreb.

Stk. 4. Offentlige myndigheder og offentligretlige organer skal varsle Digitaliseringsstyrelsen i Danmark ved tilslutning af en digital selvbetjeningsløsning med stort kapacitetsforbrug eller ved væsentlig tilvækst i en tilsluttet selvbetjeningsløsnings kapacitetsforbrug, som nærmere beskrevet i de tekniske standarder og politikker, der udstedes i medfør af § 12.

Stk. 5. Digitaliseringsstyrelsen i Danmark kan teknisk begrænse offentlige myndigheders og offentligretlige organers ressourcetræk på NemLog-in, såfremt ressourcetrækket negativt påvirker den samlede kapacitet i NemLog-in og den offentlige myndighed eller offentligretlige organ ikke inden rimelig tid varsler Digitaliseringsstyrelsen i Danmark herom, jf. stk. 4.

Stk. 6. Teknisk begrænsning af offentlige myndigheders og offentligretlige organers ressourcetræk kan uden varsel foretages af Digitaliseringsstyrelsen i Danmark af hensyn til opretholdelse af stabil drift af NemLog-in.