NIS2 trin for trin for offentlig forvaltning i Danmark

1. Er enheden omfattet af loven?

Bilag 1 til NIS2-loven nævner offentlig forvaltning som sektor og omfatter forvaltningsenheder under den centrale forvaltning samt forvaltningsenheder på regionalt plan, som defineret i national ret. Efter § 4, stk. 3, nr. 2, anses offentlige forvaltningsenheder under den centrale forvaltning for væsentlige enheder uanset deres størrelse. For øvrige enheder af en type i bilag 1 gælder tærsklerne i § 4, stk. 1: 250 personer eller derover, eller en årlig omsætning på over 50 mio. euro sammen med en årlig samlet balance på over 43 mio. euro; opfyldes disse ikke, kan enheden efter § 5, stk. 1, være en vigtig enhed ved 50 personer eller derover eller ved omsætning og balance på over 10 mio. euro. Kommuner og regioner er efter § 4, stk. 2, omfattet som væsentlige enheder, når de med et kommercielt formål udbyder offentlige elektroniske kommunikationsnet eller offentligt tilgængelige kommunikationstjenester og når en af de nævnte størrelsesbetingelser er opfyldt.

DB25 84.11.00 — Generelle offentlige forvaltningsaktiviteterDB25 84.12.00 — Administration af sundhedsvæsen, undervisning, kultur og sociale forholdDB25 84.13.00 — Administration af og bidrag til erhvervsfremmeDB25 84.21.00 — UdenrigsanliggenderDB25 84.22.00 — Aktiviteter inden for forsvarDB25 84.23.00 — Aktiviteter inden for retsvæsen

Se også sektorsiden: Offentlig forvaltning · NIS2-enhedskategorier — Danmark

Start det gratis anvendelsestjek

2. Ledelsesorganets godkendelse og kurser

Efter § 7, stk. 1, skal de foranstaltninger, som en væsentlig eller vigtig enhed træffer efter § 6, godkendes af enhedens ledelsesorgan, og ledelsesorganet fører tilsyn med, at foranstaltningerne bliver gennemført. Ifølge § 7, stk. 2, deltager medlemmerne af ledelsesorganet i relevante kurser om styring af cybersikkerhedsrisici og tilskynder til, at tilsvarende kurser tilbydes enhedens øvrige ansatte. Direktiv (EU) 2022/2555 art. 20(1) knytter et ansvar for overtrædelser til ledelsesorganet, men lader samtidig national ret om ansvar for offentlige institutioner og for offentligt ansatte og valgte eller udpegede personer være uberørt.

NIS2-uddannelsespligt for ledelsesorganer efter land

3. Grundlaget: risikoanalyse og sikkerhedspolitik

Efter § 6, stk. 1, skal væsentlige og vigtige enheder træffe passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger, der styrer risiciene for sikkerheden i de net- og informationssystemer, som enheden anvender til sin drift og sine tjenester. Det første punkt i katalogget, § 6, stk. 1, nr. 1, angår politikker for risikoanalyse og for sikkerheden i informationssystemer. Formålet med foranstaltningerne er efter samme bestemmelse også at forhindre hændelser eller at begrænse deres virkning på modtagerne af tjenesterne og på andre tjenester. Konstateres det, at et krav ikke er opfyldt, følger det af § 6, stk. 2, at nødvendige og forholdsmæssige korrigerende foranstaltninger træffes uden unødigt ophold.

Platformen genererer dette dokument automatisk — det indgår i dokumentpakken. Tjenester

4. Kataloget af sikkerhedsforanstaltninger

Kataloget i § 6, stk. 1, opregner ti minimumsområder: risikoanalyse og informationssystemsikkerhed, hændelseshåndtering, driftskontinuitet med backup, reetablering og krisestyring, forsyningskædesikkerhed over for direkte leverandører og tjenesteudbydere, sikkerhed ved erhvervelse, udvikling og vedligeholdelse af systemer inklusive sårbarhedshåndtering, vurdering af foranstaltningernes effektivitet, cyberhygiejne og cybersikkerhedsuddannelse, kryptografi og kryptering, personalesikkerhed, adgangskontrol og aktivforvaltning samt multifaktor- eller kontinuerlig autentificering og sikret kommunikation, hvor det er relevant. Loven stiller de samme minimumskrav til alle væsentlige og vigtige enheder og indeholder ingen særskilt foranstaltningsliste for sektoren offentlig forvaltning. Efter § 6, stk. 3, kan vedkommende minister efter forhandling med ministeren for samfundssikkerhed og beredskab fastsætte nærmere regler om foranstaltningerne. Sådanne nærmere regler kan dermed præcisere, hvordan kravene udmøntes på det enkelte sektorområde.

NIS2-risikostyringsforanstaltninger vs. ISO 27001, DORA og GDPR

5. Underretning om væsentlige hændelser

Efter § 12, stk. 1, underretter væsentlige og vigtige enheder den relevante kompetente myndighed og Computer Security Incident Response Team (CSIRT) om enhver væsentlig hændelse, og underretningen skal gøre det muligt at fastslå eventuelle grænseoverskridende virkninger. En hændelse er efter § 12, stk. 2, væsentlig, når den har forårsaget eller kan forårsage alvorlige driftsforstyrrelser eller økonomiske tab for enheden, eller når den har påvirket eller kan påvirke andre fysiske eller juridiske personer med betydelig skade. Efter § 13, stk. 1, nr. 1, sendes en tidlig varsling uden unødigt ophold og senest inden for 24 timer efter, at enheden har fået kendskab til hændelsen, og efter nr. 2 sendes en hændelsesunderretning med en indledende vurdering senest inden for 72 timer. En foreløbig rapport sendes efter anmodning fra CSIRT’en, og en endelig rapport sendes senest 1 måned efter hændelsesunderretningen; pågår hændelsen fortsat på det tidspunkt, indsendes en statusrapport og derefter en endelig rapport senest 1 måned efter, at hændelsen er håndteret.

NIS2-frister for hændelsesunderretning pr. EU-land · Platformen genererer dette dokument automatisk — det indgår i dokumentpakken. Tjenester

6. Skriftligt grundlag og dokumentation

Kravene i § 6, stk. 1, er formuleret som politikker og procedurer, blandt andet for risikoanalyse, for vurdering af foranstaltningernes effektivitet og for brug af kryptografi, hvilket forudsætter et skriftligt og vedligeholdt grundlag. Under tilsynet kan den kompetente myndighed efter § 21, stk. 1, nr. 5-7, kræve oplysninger om de indførte foranstaltninger, adgang til data, dokumenter og oplysninger samt dokumentation for gennemførelsen af cybersikkerhedspolitikker. Efter § 21, stk. 2, angiver myndigheden formålet og præciserer, hvilke oplysninger der kræves udleveret, og i hvilken form det skal ske. Også § 13, stk. 1, nr. 4, forudsætter skriftligt materiale, idet den endelige rapport beskriver hændelsens forløb og alvor, den sandsynlige årsag, de anvendte og igangværende afbødende foranstaltninger samt eventuelle grænseoverskridende virkninger.

Pakken omfatter:

• Politik for styring af cybersikkerhedsrisici
• Plan for håndtering af hændelser
• Forretningskontinuitetsplan
• Politik for forsyningskædesikkerhed
• Erklæring om ledelsesorganets ansvar og uddannelsesplan
• Udfyldningsguide i portalen

Vedligeholdelse (månedlig) — re-sign af dokumenter efter gældende ret — 290 EUR/måned — Tjenester

7. Bødestraf efter loven

Efter § 32, stk. 1, straffes med bøde blandt andet overtrædelse af § 6, stk. 1 eller 2, af § 12, stk. 1, og af § 13, stk. 1 eller 2, samt manglende efterkommelse af afgørelser, påbud eller forbud fra en kompetent myndighed og hindring af myndighedens tilsyn. Efter § 32, stk. 2, kan selskaber og andre juridiske personer pålægges strafansvar efter reglerne i straffelovens 5. kapitel. Efter § 32, stk. 3, kan der i forskrifter udstedt i medfør af loven fastsættes bødestraf for overtrædelse af forskrifternes bestemmelser. Lovteksten fastsætter ikke selv beløbsrammer for bøderne, og der angives derfor ingen faste beløb eller procentsatser her.

NIS2-administrative bøder efter land