NIS2 trin for trin for drikkevandssektoren i Danmark

1. Er virksomheden omfattet

Bilag 1 til NIS2-loven omfatter drikkevand og peger på leverandører og distributører af drikkevand i den betydning, der følger af artikel 2, nr. 1, litra a, i direktiv (EU) 2020/2184. Bilaget holder dog de distributører uden for, hvor distribution af drikkevand kun udgør en ikkevæsentlig del af den samlede aktivitet med andre varer. Efter § 4 er en enhed af en type i bilag 1 en væsentlig enhed, når den beskæftiger 250 personer eller derover, eller når den årlige omsætning overstiger 50 mio. euro og den årlige samlede balance overstiger 43 mio. euro. Opfyldes disse kriterier ikke, følger det af § 5, at enheden er en vigtig enhed ved 50 personer eller derover eller ved en årlig omsætning over 10 mio. euro og en årlig samlet balance over 10 mio. euro.

DB25 36.00.00 — Vandforsyning

Se også sektorsiden: Drikkevand · NIS2-enhedskategorier — Danmark

Start det gratis anvendelsestjek

2. Ledelsesorganets ansvar og kurser

Efter § 7 skal de foranstaltninger, der træffes efter § 6, være godkendt af enhedens ledelsesorgan. Samme bestemmelse pålægger ledelsesorganet at føre tilsyn med, hvordan foranstaltningerne bliver gennemført. Medlemmerne af ledelsesorganet skal deltage i relevante kurser om styring af cybersikkerhedsrisici og tilskynde til, at lignende kurser tilbydes til enhedens øvrige ansatte. Bag den nationale bestemmelse ligger artikel 20, stk. 1, i direktiv (EU) 2022/2555, hvorefter ledelsesorganer kan gøres ansvarlige for enhedens overtrædelser af risikostyringsforpligtelserne.

NIS2-uddannelsespligt for ledelsesorganer efter land

3. Risikoanalyse som grundlag

Grundlaget i § 6, stk. 1, er, at væsentlige og vigtige enheder træffer passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger til at styre risiciene for sikkerheden i de net- og informationssystemer, som anvendes i driften eller til levering af tjenesterne. Som det første minimumselement nævner § 6, stk. 1, nr. 1, politikker for risikoanalyse og informationssystemsikkerhed. Formålet er efter samme bestemmelse også at forhindre hændelser eller begrænse deres indvirkning på modtagerne af tjenesterne og på andre tjenester. Konstaterer en enhed, at et krav ikke er opfyldt, skal den efter § 6, stk. 2, uden unødigt ophold træffe de nødvendige, passende og forholdsmæssige korrigerende foranstaltninger.

Platformen genererer dette dokument automatisk — det indgår i dokumentpakken. Tjenester

4. Kataloget over sikkerhedsforanstaltninger

§ 6, stk. 1, opregner ti minimumselementer, som spænder fra risikoanalysepolitikker og håndtering af hændelser til driftskontinuitet med backupstyring, reetablering efter katastrofer og krisestyring. Kataloget omfatter desuden forsyningskædesikkerhed over for direkte leverandører og tjenesteudbydere, sikkerhed ved erhvervelse, udvikling og vedligeholdelse af systemer med håndtering af sårbarheder samt procedurer til vurdering af foranstaltningernes effektivitet. Hertil kommer grundlæggende cyberhygiejne og uddannelse, brug af kryptografi, personalesikkerhed med adgangskontrol og forvaltning af aktiver samt multifaktorautentificering og sikret kommunikation, hvor det er relevant. Lovteksten opstiller det samme katalog for alle væsentlige og vigtige enheder uden særskilte punkter for drikkevandssektoren, idet vedkommende minister efter § 6, stk. 3, kan fastsætte nærmere regler om foranstaltningerne.

NIS2-risikostyringsforanstaltninger vs. ISO 27001, DORA og GDPR

5. Underretning om væsentlige hændelser

Efter § 12 underretter væsentlige og vigtige enheder den relevante kompetente myndighed og CSIRT om enhver væsentlig hændelse, og underretningen skal gøre det muligt at fastslå eventuelle grænseoverskridende virkninger. En hændelse anses efter § 12, stk. 2, for væsentlig, når den har forårsaget eller kan forårsage alvorlige driftsforstyrrelser eller økonomiske tab, eller når den har påvirket eller kan påvirke andre med betydelig skade. § 13, stk. 1, opdeler underretningen i en tidlig varsling uden unødigt ophold og senest inden for 24 timer efter kendskab til hændelsen samt en hændelsesunderretning uden unødigt ophold og senest inden for 72 timer efter kendskab til hændelsen. Efter anmodning fra CSIRT'en sendes en foreløbig rapport med statusopdateringer, og en endelig rapport sendes senest 1 måned efter hændelsesunderretningen, mens en fortsat igangværende hændelse udløser en statusrapport og en endelig rapport senest 1 måned efter, at hændelsen er håndteret.

NIS2-frister for hændelsesunderretning pr. EU-land · Platformen genererer dette dokument automatisk — det indgår i dokumentpakken. Tjenester

6. Skriftligt grundlag og dokumentation

Kravene i § 6, stk. 1, er formuleret som politikker og procedurer, hvilket forudsætter et skriftligt og vedligeholdt grundlag for blandt andet risikoanalyse, hændelseshåndtering og vurdering af foranstaltningernes effektivitet. § 21, stk. 1, giver de kompetente myndigheder adgang til at kræve de oplysninger, der er nødvendige for at vurdere de indførte foranstaltninger til styring af cybersikkerhedsrisici. Samme bestemmelse omfatter adgang til data, dokumenter og oplysninger samt udlevering af dokumentation for gennemførelsen af cybersikkerhedspolitikker. Ved brug af disse tiltag skal myndigheden efter § 21, stk. 2, angive formålet og præcisere, hvilket materiale der kræves, og i hvilken form det skal udleveres.

Pakken omfatter:

• Politik for styring af cybersikkerhedsrisici
• Plan for håndtering af hændelser
• Forretningskontinuitetsplan
• Politik for forsyningskædesikkerhed
• Erklæring om ledelsesorganets ansvar og uddannelsesplan
• Udfyldningsguide i portalen

Vedligeholdelse (månedlig) — re-sign af dokumenter efter gældende ret — 290 EUR/måned — Tjenester

7. Bødeansvar efter loven

§ 32 fastsætter bødestraf for den, der overtræder blandt andet § 6, stk. 1 eller 2, § 12, stk. 1, og § 13, stk. 1 eller 2. Bødeansvaret omfatter også den, der undlader at efterkomme en kompetent myndigheds afgørelse, påbud eller forbud, eller som hindrer myndighederne i at føre tilsyn efter § 21, stk. 1, nr. 1-4, eller § 24, stk. 1, nr. 1-3. Efter § 32, stk. 2, kan selskaber og andre juridiske personer pålægges strafansvar efter reglerne i straffelovens 5. kapitel. Selve lovteksten angiver ikke beløbsgrænser eller procentsatser for bøderne, og § 32, stk. 3, giver mulighed for at fastsætte bødestraf i forskrifter udstedt i medfør af loven.

NIS2-administrative bøder efter land