Artikel 9 – Nationale rammer for cyberkrisestyring

Hvert EU-land skal udpege en eller flere myndigheder til at styre større cyberkriser. Myndighederne skal have de ressourcer, der er nødvendige for at løse opgaverne.

Hvert land udpeger et centralt koordineringspunkt på forhånd. Det koordinerer håndteringen af større hændelser og kriser.

Hvert land vedtager en national beredskabsplan. Planen fastlægger mål, procedurer og ansvar for at forebygge, reagere på og genoprette sig efter større cyberhændelser. Den beskriver også, hvordan planen koordineres med EU-CyCLONe.

Inden for tre måneder efter udpegning underretter landet Kommissionen og Samarbejdsgruppen om myndighedernes mål og planens vigtigste elementer.

Eksempler

Danmark opretter en national beredskabsplan, der beskriver, hvem der reagerer ved et større angreb på kritisk infrastruktur. Planen angiver, at Styrelsen for Samfundssikkerhed koordinerer med EU-CyCLONe, og at Politiets Efterretningstjeneste inddrages ved kriminelle handlinger.

Et EU-land opdager et koordineret angreb mod sit energinet. Landet aktiverer sin kriseplan, udpeger et centralt koordineringspunkt og varsler Kommissionen inden for den fastsatte frist.

Relevante præambler: Betragtning 56, Betragtning 57

Ofte stillede spørgsmål

Det er de myndigheder, planer og procedurer, et EU-land bruger til at håndtere store cyberhændelser. Rammen sikrer, at landet kan reagere koordineret og effektivt, når kritiske tjenester er truet.

En CSIRT er et team, der håndterer IT-sikkerhedshændelser. CSIRT'en modtager anmeldelser, yder teknisk bistand og koordinerer med internationale partnere ved grænseoverskridende angreb.

En større hændelse forårsager alvorlige forstyrrelser af tjenester eller store økonomiske tab. Den kan også ramme andre virksomheder eller borgere med betydelige tab. Det er denne type hændelser, kriseplanen skal dække.

Planen fastlægger mål, procedurer og ansvarsfordeling for at håndtere cyberkriser. Den beskriver beredskabsplaner, offentlig-privat samarbejde og koordinering med EU-CyCLONe. Den angiver også, hvordan klassificerede oplysninger beskyttes under en krise.

Den originale tekst fra direktivet

Stk. 1.

Hver medlemsstat udpeger eller opretter en eller flere kompetente myndigheder med ansvar for styring af omfattende cybersikkerhedshændelser og kriser (cyberkrisestyringsmyndigheder). Medlemsstaterne sikrer, at disse myndigheder har tilstrækkelige ressourcer til at udføre de opgaver, de pålægges, på en virkningsfuld og effektiv måde. Medlemsstaterne sikrer sammenhængen med de eksisterende rammer for generel national krisestyring.

Stk. 2.

Hvor en medlemsstat udpeger eller opretter mere end én cyberkrisestyringsmyndighed i henhold til stk. 1, skal den klart angive, hvilken af disse myndigheder der skal fungere som koordinator for styringen af omfattende cybersikkerhedshændelser og kriser.

Stk. 3.

Hver medlemsstat identificerer kapaciteter, aktiver og procedurer, der kan indsættes i tilfælde af en krise inden for rammerne af dette direktiv.

Stk. 4.

Hver medlemsstat vedtager en national beredskabsplan for omfattende cybersikkerhedshændelser og kriser, hvor målene og ordningerne for håndtering af omfattende cybersikkerhedshændelser og kriser er fastsat. Denne plan skal navnlig fastlægge:

målene for de nationale beredskabsforanstaltninger og -aktiviteter
cyberkrisestyringsmyndighedernes opgaver og ansvarsområder
cyberkrisestyringsprocedurerne, herunder deres integration i den generelle nationale krisestyringsramme, og kanalerne for udveksling af oplysninger
nationale beredskabsforanstaltninger, herunder øvelses- og uddannelsesaktiviteter
de relevante involverede offentlige og private interessenter og infrastrukturer
nationale procedurer og ordninger mellem relevante nationale myndigheder og organer for at sikre medlemsstatens effektive deltagelse i og støtte til den koordinerede håndtering af omfattende cybersikkerhedshændelser og kriser på EU-plan.

Stk. 5.

Senest tre måneder efter udpegelsen eller oprettelsen af den i stk. 1 omhandlede cyberkrisestyringsmyndighed underretter hver medlemsstat Kommissionen om sin myndigheds identitet og om eventuelle senere ændringer heraf. Medlemsstaterne forelægger senest tre måneder efter vedtagelsen af deres nationale beredskabsplaner for omfattende cybersikkerhedshændelser og kriser Kommissionen og det europæiske netværk af cybersikkerhedsforbindelsesorganisationer (EU-CyCLONe) relevante oplysninger vedrørende de i stk. 4 indeholdte krav til disse planer. Medlemsstaterne kan udelade oplysninger, hvor og i det omfang en sådan udeladelse er nødvendig for deres nationale sikkerhed.

→ Fuld tekst på EUR-Lex (direktiv (EU) 2022/2555)