BEK 621/2025 ст. 21

Styrelsen for Samfundssikkerhed kan, såfremt det er af væsentlig samfundsmæssig betydning, eller hvis en betydelig trussel er identificeret, og det er nødvendigt for at afhjælpe en hændelse eller hindre en sådan i at forekomme, påbyde væsentlige og vigtige teleudbydere at træffe én eller flere af følgende foranstaltninger: 1) Gennemføre en risikovurdering, der tager stilling til risikoen for tab af tilgængelighed, autenticitet, integritet og fortrolighed i udbyderens net- og informationssystemer, jf. § 2, stk. 1. 2) Etablere eller styrke logisk adgangskontrol til nærmere angivne og særligt kritiske netkomponenter, systemer og værktøjer, herunder krav til proces for adgangsstyring og kontrol med leverandørers adgang, jf. §§ 9 og 10. 3) Etablere eller styrke foranstaltninger til fysisk sikring af nærmere angivne og særligt kritiske netkomponenter, systemer og værktøjer, herunder fysisk adgangskontrol, jf. § 9. 4) Sikre sporbarhed eller logning af fysisk eller logisk adgang til nærmere angivne og særligt kritiske netkomponenter, systemer og værktøjer, herunder krav om monitorering eller gennemgang af logfiler, jf. §§ 9 og 10. 5) Opdatere kritiske netkomponenter, systemer og værktøjer til en nyere software eller firmwareversion, jf. § 13, stk. 2. 6) Udskifte kritiske netkomponenter, systemer og værktøjer, der på grund af udstyrsleverandørens udmelding af stop for nye sikkerhedsopdateringer og generelle opdateringer må anses for at være forældet, jf. § 17. 7) Iværksætte kryptering efter internationale anerkendte standarder eller best practice på kritiske netkomponenter, systemer og værktøjer, jf. § 5, stk. 1, nr. 8), i lov om sikkerhed og beredskab i telesektoren. 8) Sikre at leverancer af hardware, firmware eller software, der kan udgøre en sårbarhed i den pågældende teleudbyders net- og informationssystemer undersøges for sårbarheder, jf. § 13, stk. 3. 9) Sikre nødstrøm og redundans for kritiske netkomponenter, systemer og værktøjer samt backup af konfigurationsdata. 10) Sikre at udstyr, der benyttes til at foretage indgreb i meddelelseshemmeligheden, skal opsættes i og drives fra Danmark. 11) Sikre, at udstyr, der benyttes til at foretage indgreb i meddelelseshemmeligheden, ikke må leveres af en leverandør, som er identisk med teleudbyderens primære leverandører af kritiske netkomponenter, systemer og værktøjer. 12) Sikre at indlejret funktionalitet, der vil kunne benyttes til at foretage indgreb i meddelelseshemmeligheden, fjernes fra en leverance af netkomponenter, systemer og værktøjer. 13) Indstationere personale, der er sikkerhedsgodkendt af Styrelsen for Samfundssikkerhed, hos udenlandske leverandører, som en teleudbyder har outsourcet hele eller dele af udbyderens net og tjenester eller varetagelsen af driften heraf til. Styrelsen for Samfundssikkerhed kan i den forbindelse stille krav om, at det indstationerede personale, såfremt dette er i overensstemmelse med national lovgivning, skal have adgang til alle relevante systemer og informationer hos leverandøren med henblik på at overvåge leverandørens varetagelse af driften og udføre sikkerhedskontrol for udbyderen.