Kapitel II – Koordinerede rammer for cybersikkerhed

Kapitel II handler om de nationale strukturer, som hvert EU-land skal have på plads: en cybersikkerhedsstrategi, kompetente myndigheder, beredskabsplaner og de specialiserede hændelseshåndteringsenheder kaldet CSIRT'er. Kapitlet er i høj grad rettet mod stater og myndigheder, men det har direkte konsekvenser for din virksomhed, fordi det definerer, hvem der fører tilsyn med dig, hvem der hjælper dig ved en hændelse, og hvem du skal rapportere til.

Artikel 7 kræver, at hvert land vedtager en sammenhængende national cybersikkerhedsstrategi, der bl.a. skal adressere forsyningskæder, cyberhygiejne og håndteringen af ransomware. 

Artikel 8 slår fast, at der skal udpeges kompetente myndigheder og centrale kontaktpunkter – i dansk kontekst er det Forsvarets Efterretningstjeneste og en lang række styrelser, der spiller disse roller. Det skyldes, at vi i Danmark har valgt en sektorspecifik tilgang, hvor Trafikstyrelsen fører til syn med transportområdet, Energistyrelsen med Energiområdet osv.

Artikel 9 drejer sig om krisestyring: hvert land skal have en plan for, hvad der sker, når cyberhændelserne vokser til en national krise. Artikel 10 og artikel 11 beskriver CSIRT'ernes rolle og krav til dem. CSIRT'erne er dit første kontaktpunkt, når noget går galt – de hjælper med hændelseshåndtering, tidlige advarsler og sårbarhedsopfølgning.

Artikel 12 introducerer koordineret offentliggørelse af sårbarheder – en struktureret proces, hvor de sikkerhedshuller, man opdager, kan rapporteres til en CSIRT-koordinator, der derefter hjælper med ansvarlig videreformidling til leverandøren. ENISA opretter i den forbindelse en europæisk sårbarhedsdatabase. 

Artikel 13 kræver, at myndigheder på nationalt plan samarbejder med hinanden.