Efter afstemningen i Folketinget ved 2. behandling den 24. april 2025

Forslag

til

Lov om kritiske enheders modstandsdygtighed (CER-loven)1)

Kapitel 1

Anvendelsesområde og definitioner

§ 1. Loven finder anvendelse på enheder, der er omfattet af enhedskategorierne i lovens bilag, jf. dog stk. 2-7.

Stk. 2. Loven finder ikke anvendelse på forhold omfattet af NIS 2-loven.

Stk. 3. Loven finder ikke anvendelse på offentlige forvaltningsenheder, som udfører deres aktiviteter inden for national sikkerhed, offentlig sikkerhed, forsvar eller retshåndhævelse, herunder efterforskning, afsløring og retsforfølgning af strafbare handlinger.

Stk. 4. Vedkommende minister kan træffe afgørelse om helt eller delvis at undtage specifikke kritiske enheder, der udfører aktiviteter inden for national sikkerhed, offentlig sikkerhed, forsvar eller retshåndhævelse, herunder forebyggelse, efterforskning, afsløring og retsforfølgning af strafbare handlinger, eller som udelukkende leverer tjenester til offentlige forvaltningsenheder, der er omfattet af stk. 3, fra bestemmelserne i §§ 4-9 og 14-16.

Stk. 5. Loven finder ikke anvendelse på enheder, i det omfang de er omfattet af lov om styrket beredskab i energisektoren.

Stk. 6. §§ 4-9 og 14-16 finder ikke anvendelse på kritiske enheder i sektorerne bankvirksomhed, finansiel markedsinfrastruktur og digital infrastruktur i lovens bilag, punkt 3, 4 og 8.

Stk. 7. Vedkommende minister træffer afgørelse om, at loven helt eller delvis ikke finder anvendelse på kritiske enheder, hvor sektorspecifikke EU-retsakter og eventuel national gennemførelse heraf har mindst samme virkning som de tilsvarende forpligtelser efter denne lov og regler udstedt i medfør af denne lov.

§ 2. I denne lov forstås ved:

1) Centralt kontaktpunkt: Den myndighed, der udøver forbindelsesfunktionen for at sikre grænseoverskridende samarbejde mellem de danske myndigheder, myndigheder i andre medlemsstater i Den Europæiske Union og Den Europæiske Unions institutioner og for at sikre tværsektorielt samarbejde mellem de nationale kompetente myndigheder.

2) Hændelse: En begivenhed, der har potentiale til i betydelig grad at forstyrre, eller som forstyrrer, leveringen af en væsentlig tjeneste.

3) Kritisk enhed: En offentlig eller privat enhed, som er blevet identificeret efter § 3.

4) Kritisk infrastruktur: Et aktiv, en facilitet, udstyr, et netværk eller et system eller en del af et aktiv, en facilitet, udstyr, et netværk eller et system, som er nødvendig for leveringen af en væsentlig tjeneste.

5) Modstandsdygtighed: En kritisk enheds evne til at forebygge, beskytte mod, reagere på, modstå, afbøde, absorbere, tilpasse sig og sikre genopretning efter en hændelse.

6) Risiko: Potentialet for tab eller forstyrrelse som følge af en hændelse, der skal udtrykkes som en kombination af størrelsen af et sådant tab eller en sådan forstyrrelse og sandsynligheden for, at hændelsen indtræffer.

7) Risikovurdering: Den samlede proces med henblik på at bestemme arten og omfanget af en risiko ved at identificere og analysere potentielle relevante trusler, sårbarheder og farer, der kan føre til en hændelse, og ved at evaluere det potentielle tab eller den potentielle forstyrrelse af leveringen af en væsentlig tjeneste forårsaget af denne hændelse.

8) Væsentlig tjeneste: En tjeneste, der er afgørende for opretholdelsen af vitale samfundsmæssige funktioner, økonomiske aktiviteter, folkesundhed, offentlig sikkerhed eller miljøet.

Kapitel 2

Kritiske enheder

Identifikation af kritiske enheder

§ 3. Vedkommende minister træffer afgørelse om identifikation og afidentifikation af kritiske enheder, der er omfattet af enhedskategorierne i lovens bilag, og opstiller en liste over de kritiske enheder, der er blevet identificeret. Listen over identificerede kritiske enheder skal gennemgås og ajourføres, hvor det er nødvendigt, dog mindst hvert fjerde år.

Stk. 2. Ved identifikation af kritiske enheder lægges der vægt på følgende:

1) Den nationale strategi for styrkelse af kritiske enheders modstandsdygtighed.

2) Den nationale risikovurdering med henblik på identifikation af kritiske enheder.

3) Om enheden leverer en eller flere væsentlige tjenester.

4) Om enheden opererer i og har sin kritiske infrastruktur beliggende på dansk territorium.

5) Om en hændelse vil have betydelig forstyrrende virkning, jf. stk. 3, på enhedens levering af en eller flere væsentlige tjenester eller på leveringen af andre væsentlige tjenester i sektorer omfattet af CER-direktivet, som er afhængige af denne eller disse væsentlige tjenester.

Stk. 3. Ved fastlæggelse af, om en hændelse vil have betydelig forstyrrende virkning, jf. stk. 2, nr. 5, lægges der vægt på følgende:

1) Antal brugere, der er afhængige af den væsentlige tjeneste, som udbydes af den berørte enhed.

2) Omfanget af andre sektorers og delsektorers afhængighed af den pågældende væsentlige tjeneste.

3) Den indvirkning, som hændelser kan have med hensyn til omfang og varighed på økonomiske og samfundsmæssige aktiviteter, miljøet, den offentlige sikkerhed eller befolkningens sundhed.

4) Enhedens markedsandel på markedet for den eller de berørte væsentlige tjenester.

5) Det geografiske område, der kan blive berørt af en hændelse, herunder eventuel grænseoverskridende indvirkning.

6) Enhedens betydning med hensyn til at opretholde et tilstrækkeligt niveau for den væsentlige tjeneste under hensyntagen til tilgængelighed af alternative måder at levere denne væsentlige tjeneste på.

Stk. 4. Vedkommende minister kan kræve, at en enhed fremlægger materiale og oplysninger, der er nødvendige for stillingtagen til, hvorvidt denne skal identificeres som kritisk.

Stk. 5. Vedkommende minister orienterer inden for 1 måned efter identifikation efter stk. 1 den kritiske enhed om dennes forpligtelser og om, fra hvilken dato forpligtelserne finder anvendelse. §§ 6-9 finder herefter anvendelse, 10 måneder efter at den kritiske enhed har modtaget en sådan orientering.

Stk. 6. Ministeren for samfundssikkerhed og beredskab kan fastsætte nærmere regler om identifikation af kritiske enheder efter stk. 1, og hvad der forstås ved en hændelses betydelige forstyrrende virkning efter stk. 3 i en given sektor.

Kritiske enheder af særlig europæisk betydning

§ 4. Enheder betragtes som kritiske enheder af særlig europæisk betydning, hvis

1) enheden er identificeret som kritisk enhed efter § 3,

2) enheden leverer de samme eller lignende væsentlige tjenester til eller i seks eller flere EU-medlemsstater og

3) enheden gennem den relevante kompetente myndighed har modtaget en underretning fra Europa-Kommissionen om, at den anses som kritisk enhed af særlig europæisk betydning.

Stk. 2. Kritiske enheder skal underrette den relevante kompetente myndighed, såfremt de leverer væsentlige tjenester til eller i seks eller flere EU-medlemsstater. Enhederne skal i den forbindelse oplyse, hvilke væsentlige tjenester de leverer, og hvilke EU-medlemsstater tjenesterne leveres til eller i.

Stk. 3. Den relevante kompetente myndighed underretter uden unødigt ophold en kritisk enhed om, at den anses som en kritisk enhed af særlig europæisk betydning, og om dens forpligtelser efter § 16, herunder fra hvilken dato disse finder anvendelse.

Kritiske enheders risikovurdering

§ 5. Kritiske enheder skal foretage en risikovurdering med henblik på at vurdere alle relevante risici, der kan forstyrre leveringen af deres væsentlige tjenester.

Stk. 2. Risikovurderingen skal foretages på grundlag af den nationale risikovurdering og andre relevante informati‍onskilder, og den skal tage højde for alle relevante naturlige og menneskeskabte risici, der kan føre til en hændelse. Risikovurderingen skal tage hensyn til, i hvilket omfang andre sektorer nævnt i lovens bilag afhænger af den kritiske enheds væsentlige tjeneste. Risikovurderingen skal endvidere tage hensyn til, i hvilket omfang den kritiske enhed afhænger af væsentlige tjenester, der leveres af enheder i andre sektorer omfattet af lovens bilag, herunder i andre lande.

Stk. 3. Risikovurderingen nævnt i stk. 1 skal være foretaget, 9 måneder efter at den kritiske enhed har modtaget en orientering i medfør af § 3, stk. 5, 1. pkt. Risikovurderingen skal opdateres, når det er nødvendigt, og mindst hvert fjerde år.

Stk. 4. Vedkommende minister kan efter forhandling med ministeren for samfundssikkerhed og beredskab fastsætte nærmere regler om kritiske enheders risikovurdering.

Kritiske enheders modstandsdygtighedsforanstaltninger

§ 6. Kritiske enheder skal træffe passende og forholdsmæssige tekniske, sikkerhedsmæssige og organisatoriske foranstaltninger for at sikre enhedernes modstandsdygtighed på grundlag af den nationale risikovurdering og den kritiske enheds egen risikovurdering, herunder foranstaltninger, der er nødvendige for at

1) forhindre hændelser i at indtræffe under behørig hensyntagen til katastroferisikoreduktions- og klimatilpasningsforanstaltninger,

2) sikre tilstrækkelig fysisk beskyttelse af enhedens lokaler og kritiske infrastruktur under behørig hensyntagen til f.eks. hegn, barrierer, værktøjer og rutiner til overvågning af perimetre, detektionsudstyr og adgangskontrol,

3) reagere på, modstå og afbøde følgerne af hændelser under behørig hensyntagen til gennemførelsen af risiko- og krisestyringsprocedurer, risiko- og krisestyringsprotokoller og varslingsrutiner,

4) sikre genopretning efter hændelser under behørig hensyntagen til foranstaltninger vedrørende forretningskontinuitet og identifikation af alternative forsyningskæder for at genoptage leveringen af væsentlige tjenester,

5) sikre passende medarbejdersikkerhedsstyring under behørig hensyntagen til foranstaltninger såsom fastsættelse af kategorier af eget og eksternt personale, der udø‍ver kritiske funktioner, fastlæggelse af adgangsrettigheder til lokaler, kritisk infrastruktur og følsomme oplysninger, fastsættelse af procedurer for baggrund‍skontrol, jf. § 9, og udpegelse af kategorier af personer, som er forpligtet til at gennemgå en sådan baggrund‍skontrol, og fastlæggelse af passende uddannelseskrav og kvalifikationer og

6) øge bevidstheden blandt det relevante personale om de foranstaltninger og hensyn, der er beskrevet i nr. 1-5, under behørig hensyntagen til kurser, informationsmateriale og øvelser.

Stk. 2. Kritiske enheder skal have og anvende en plan for modstandsdygtighed, der beskriver, hvilke foranstaltninger der er truffet i henhold til stk. 1.

Stk. 3. Vedkommende minister kan efter forhandling med ministeren for samfundssikkerhed og beredskab fastsætte nærmere regler om kritiske enheders modstandsdygtighedsforanstaltninger.

Kritiske enheders oplysnings- og underretningspligter

§ 7. Kritiske enheder skal udpege en kontaktperson og meddele dennes relevante kontaktoplysninger til den relevante kompetente myndighed. Den kritiske enhed skal underrette den kompetente myndighed om ændringer i kontaktoplysningerne.

§ 8. Kritiske enheder skal underrette den relevante kompetente myndighed om hændelser, der i betydelig grad forstyrrer eller har potentiale til i betydelig grad at forstyrre leveringen af enhedens væsentlige tjenester.

Stk. 2. Ved vurdering af en forstyrrelses omfang indgår navnlig

1) antallet og andelen af brugere, der er berørt af forstyrrelsen,

2) forstyrrelsens varighed og

3) det geografiske område, der er berørt af forstyrrelsen, idet der tages hensyn til, om det er et geografisk isoleret område.

Stk. 3. Underretninger efter stk. 1 skal indeholde alle tilgængelige oplysninger, der er nødvendige for, at den kompetente myndighed kan forstå hændelsens art, årsag og mulige konsekvenser, herunder alle tilgængelige oplysninger, der er nødvendige for at fastslå hændelsens eventuelle grænseo‍verskridende indvirkning.

Stk. 4. Underretningen skal ske uden unødigt ophold og, medmindre det operationelt ikke er muligt, senest 24 timer efter at den kritiske enhed er blevet opmærksom på hændelsen. Den kritiske enhed skal på anmodning fra den kompetente myndighed sende en detaljeret rapport til den kompetente myndighed senest 1 måned efter hændelsen.

Stk. 5. Den kompetente myndighed giver snarest muligt efter modtagelse af en underretning efter stk. 1 den berørte kritiske enhed relevante opfølgende oplysninger, herunder oplysninger, som kan understøtte en effektiv reaktion fra den kritiske enhed på den pågældende hændelse.

Stk. 6. Den kompetente myndighed kan orientere offentligheden om en hændelse, hvis det vil være i offentlighedens interesse.

Stk. 7. Vedkommende minister kan efter forhandling med ministeren for samfundssikkerhed og beredskab fastsætte nærmere regler om vurderingen af en forstyrrelses omfang efter stk. 2 og de oplysninger, der skal indgå i en underretning efter stk. 3.

Baggrundskontrol af personer

§ 9. Vedkommende minister fastsætter efter forhandling med justitsministeren nærmere regler om, på hvilke betingelser kritiske enheder i behørigt begrundede tilfælde og under hensyn til den nationale risikovurdering hos den kompetente myndighed kan få foretaget baggrundskontrol af personer, der opfylder en af følgende betingelser:

1) Personen varetager følsomme opgaver i eller til fordel for en kritisk enhed, navnlig vedrørende den kritiske enheds modstandsdygtighed.

2) Personen er bemyndiget til at få direkte adgang eller fjernadgang til den kritiske enheds lokaler, oplysninger eller kontrolsystemer, herunder i forbindelse med den kritiske enheds sikkerhed.

3) Personen overvejes ansat i stillinger, der indebærer opgavevaretagelse efter nr. 1 eller bemyndigelse efter nr. 2.

Kapitel 3

Videregivelse af oplysninger og digital kommunikation

§ 10. De relevante myndigheder kan videregive oplysninger til andre medlemsstaters myndigheder og til institutioner i Den Europæiske Union for at varetage de opgaver, som følger af denne lov eller regler udstedt i medfør af loven.

§ 11. De forpligtelser, der er fastsat i denne lov eller i regler udstedt i medfør af loven, omfatter ikke meddelelse af oplysninger, hvis videregivelse ville stride mod væsentlige interesser af hensyn til den nationale sikkerhed, offentlige sikkerhed eller forsvar.

Stk. 2. Oplysninger, der modtages eller hidrører fra myndigheder i andre EU-medlemsstater, behandles som fortrolige, såfremt den relevante myndighed er blevet oplyst om, at den afgivende myndighed betragter oplysningerne som fortrolige i henhold til EU-regler eller nationale regler.

§ 12. Ministeren for samfundssikkerhed og beredskab kan fastsætte regler om digital kommunikation, herunder om anvendelsen af bestemte it-systemer, særlige digitale formater og digital signatur og fritagelse fra digital kommunikation el.lign.

Kapitel 4

Tilsyn og håndhævelse m.v.

§ 13. Ministeren for samfundssikkerhed og beredskab fastsætter efter forhandling med vedkommende minister regler om, hvilken myndighed der skal varetage funktionen som kompetent myndighed inden for en given sektor eller delsektor som nævnt i lovens bilag.

Stk. 2. Ministeren for samfundssikkerhed og beredskab kan fastsætte nærmere regler om koordinering, ansvar og udveksling af oplysninger mellem de kompetente myndigheder og Ministeriet for Samfundssikkerhed og Beredskab, herunder i forhold til hændelsesunderretning efter § 8, videregivelse af oplysninger efter §§ 10 og 11 og tilsyn og håndhævelse efter dette kapitel.

§ 14. Den kompetente myndighed fører på sit område tilsyn med kritiske enheders overholdelse af denne lov og regler udstedt i medfør af loven. Den kompetente myndighed kan som led i dette tilsyn

1) uden retskendelse og mod behørig legitimation foretage inspektioner på stedet af den kritiske infrastruktur og de lokaler, som den kritiske enhed anvender til at levere sine væsentlige tjenester, og eksternt tilsyn med de foranstaltninger, som kritiske enheder har truffet i overensstemmelse med § 6,

2) foretage en audit af en kritisk enhed eller stille krav om, at enheden får et kvalificeret, uafhængigt organ til at foretage denne, og at resultaterne heraf stilles til rådighed for den kompetente myndighed,

3) kræve at få udleveret oplysninger, der er nødvendige for at vurdere, hvorvidt de modstandsdygtighedsforanstaltninger, som den berørte enhed har indført, opfylder kravene i § 6,

4) kræve at få adgang til data, dokumenter og oplysninger, der er nødvendige for udførelsen af tilsynsopgaven, og

5) kræve at få udleveret dokumentation for faktisk gennemførelse af modstandsdygtighedsforanstaltninger, herunder resultaterne af en audit.

Stk. 2. Ved anvendelsen af tiltagene i stk. 1, nr. 3-5, skal den kompetente myndighed angive formålet med tiltaget og præcisere, hvilke oplysninger der kræves udleveret.

Stk. 3. Den kompetente myndighed kan stille krav til, hvordan og i hvilken form oplysningerne og materialet nævnt i stk. 1, nr. 3-5, skal afgives.

§ 15. Den kompetente myndighed kan påbyde en kritisk enhed at træffe nødvendige og forholdsmæssige foranstaltninger for at afhjælpe en konstateret overtrædelse af loven eller regler fastsat i medfør af loven.

§ 16. Kritiske enheder af særlig europæisk betydning, jf. § 4, skal give rådgivende EU-delegationer adgang til oplysninger, systemer og faciliteter, der vedrører levering af deres væsentlige tjenester, og som er nødvendige for at gennemføre den pågældende rådgivende aktivitet.

Kapitel 5

Straf

§ 17. Med bøde straffes den, der

1) overtræder § 4, stk. 2, § 5, stk. 1 eller 2 eller stk. 3, 2. pkt., § 6, stk. 1 eller 2, § 7, § 8, stk. 1, 3 eller 4, eller § 16,

2) undlader at efterkomme krav efter § 3, stk. 4, eller § 14, stk. 1, nr. 2-5, eller stk. 3,

3) undlader at efterkomme påbud efter § 15 eller

4) hindrer den kompetente myndighed i at føre tilsyn efter § 14, stk. 1, nr. 1 eller 2.

Stk. 2. Der kan pålægges selskaber m.v. (juridiske personer) strafansvar efter reglerne i straffelovens 5. kapitel.

Stk. 3. I forskrifterne udstedt i medfør af loven kan der fastsættes straf af bøde for overtrædelse af bestemmelser i forskrifterne.

Kapitel 6

Ikrafttræden

§ 18. Loven træder i kraft den 1. juli 2025.

Kapitel 7

Territorialbestemmelse

§ 19. Loven gælder ikke for Færøerne og Grønland, men kan ved kongelig anordning helt eller delvis sættes i kraft for Færøerne og Grønland med de ændringer, som henholdsvis de færøske og de grønlandske forhold tilsiger. Lovens bestemmelser kan sættes i kraft på forskellige tidspunkter.

1) Loven gennemfører Europa-Parlamentets og Rådets direktiv (EU) 2022/2557 af 14. december 2022 om kritiske enheders modstandsdygtighed og om ophævelse af Rådets direktiv 2008/114/EF (CER-direktivet), EU-Tidende 2022, nr. L 333, side 164.