BEK 621/2025 Art. 22

Styrelsen for Samfundssikkerhed kan, såfremt det er af væsentlig samfundsmæssig betydning, efter en konkret vurdering påbyde væsentlige teleudbydere at foretage en eller flere af følgende foranstaltninger: 1) Gennemføre uafhængig sikkerhedsevaluering i forbindelse med leverancer af kritiske netkomponenter, systemer og værktøjer fra en specifik leverandør, såfremt den pågældende leverandør eller den pågældende leverance ud fra en generel sikkerhedsmæssig betragtning eller det aktuelle trusselsbillede vurderes at udgøre en særlig sikkerhedsrisiko. Styrelsen for Samfundssikkerhed kan i den forbindelse stille krav om, at sikkerhedsevalueringen gennemføres af et anerkendt evalueringsorgan, efter en anerkendt international standard og inden for nærmere fastsatte rammer. 2) Gennemføre intern eller ekstern teknisk sikkerhedsanalyse ved begrundet mistanke om en konkret sikkerhedshændelse. 3) Sikre at der ikke kan etableres direkte elektroniske supportforbindelser mellem en leverandør og en væsentlig teleudbyder, såfremt den pågældende leverandør ud fra en generel sikkerhedsmæssig betragtning eller det aktuelle trusselsbillede vurderes at udgøre en særlig trussel. 4) Sikre at der på den væsentlige teleudbyders foranstaltning i tilfælde af misligholdelse af en kontrakt om outsourcing kan ske hjemtagning af opgaver, der er outsourcede til en udenlandsk leverandør. Der kan herunder stilles krav om, at den væsentlige teleudbyder skal have procedurer for hjemtagning af outsourcede områder. 5) Sikre at der på den væsentlige teleudbyders foranstaltning, i tilfælde af risiko for en konflikt i de områder eller lande, hvortil der er sket outsourcing, kan ske hjemtagning af outsourcede opgaver. Der kan herunder stilles krav om, at den væsentlige teleudbyder skal have procedurer for hjemtagning af outsourcede områder. 6) Sikre at alle foranstaltninger i medfør af denne bekendtgørelse, der udføres af eksterne leverandører i forbindelse med outsourcing, skal godkendes af den væsentlige teleudbyder. 7) Fastholde de nødvendige kompetencer hos den væsentlige teleudbyder, hvis drift af net- og informationssystemer outsources, til at kunne foretage en kvalitativ validering af, at den leverede driftsydelse svarer til det aftalte. Der kan herunder stilles krav om, at den væsentlige teleudbyder skal fastholde de nødvendige kompetencer til at gennemføre risikovurdering efter § 2. 8) Sikring af, at konfiguration af nærmere bestemte kritiske netkomponenter, systemer og værktøjer på baggrund af nærmere angivne konkrete trusler og sårbarheder sker i henhold til nærmere fastsatte internationale standarder eller anbefalinger fra Styrelsen for Samfundssikkerhed.