Bekendtgørelse om it-beredskab for el- og naturgassektorerne

Bekendtgørelse om it-beredskab for el- og naturgassektorerne 1) Bekendtgørelsen indeholder bestemmelser, der gennemfører dele af Europa-Parlamentets og Rådets direktiv (EU) 2016/1148 af 6. juli 2016 om foranstaltninger, der skal sikre et højt fælles sikkerhedsniveau for net- og informationssystemer i hele Unionen, EU-Tidende 2016, nr. L 194, s. 1. Bekendtgørelse om it-beredskab for el- og naturgassektorerne Bekendtgørelsen indeholder bestemmelser, der gennemfører dele af Europa-Parlamentets og Rådets direktiv (EU) 2016/1148 af 6. juli 2016 om foranstaltninger, der skal sikre et højt fælles sikkerhedsniveau for net- og informationssystemer i hele Unionen, EU-Tidende 2016, nr. L 194, s. 1. I medfør af § 69, stk. 5, § 85 c, stk. 5 og 6, § 90 og § 92 i lov om elforsyning, jf. lovbekendtgørelse nr. 984 af 12. maj 2021, som ændret ved lov nr. 2605 af 28. december 2021, og § 15 b, stk. 5 og 6, § 52 og § 54 i lov om naturgasforsyning, jf. lovbekendtgørelse nr. 126 af 6. februar 2020, fastsættes efter bemyndigelse i henhold til § 4, stk. 1, i bekendtgørelse nr. 1068 af 25. oktober 2019 om Energistyrelsens opgaver og beføjelser: Generelle bestemmelser Denne bekendtgørelse har til formål at fastsætte regler om it-beredskabet for it-systemer, der er kritiske for produktion eller forsyning af elektricitet eller naturgas. Disse forsyningskritiske it-systemer skal sikres, således at forsyningen og produktionen i videst muligt omfang kan opretholdes og videreføres i tilfælde af en it-sikkerhedshændelse. Denne bekendtgørelse finder anvendelse på: Virksomheder, som er bevillingspligtige efter §§ 10 og 19 i lov om elforsyning. Virksomheder, som har tilladelse til elproduktion fra anlæg over 25 MW efter § 11 i lov om elforsyning. Virksomheder, som har tilladelse til elproduktion fra anlæg over 25 MW efter § 29 i lov om fremme af vedvarende energi. Virksomheder, som er bevillingspligtige efter § 10 i lov om naturgasforsyning. Energinet og Energinet’s helejede datterselskaber. Balanceansvarlige virksomheder. Virksomheder omfattet af stk. 1 skal foretage foranstaltninger for at minimere risikoen for forsyningsnedbrud og begrænse eventuelle konsekvenser af nedbrud i eller angreb på forsyningskritiske it-systemer. Definitioner I denne bekendtgørelse forstås ved: Balanceansvarlige virksomheder: Virksomheder, der yder balancerende tjenester til energisystemet efter aftale med Energinet, og som har styring over fysiske anlæg til produktion, hvad enten denne kontrol udøves direkte eller gennem andre virksomheder. Forsyningskritiske processer: Processer, der er nødvendige for forsyning af en eller flere slutforbrugere. It-sikkerhedstjeneste: En virksomhed, der varetager it-sikkerhedsmæssige opgaver for andre virksomheder. It-beredskab: Foranstaltninger, processer og det arbejde, der skal forhindre, begrænse eller håndtere skader og forsyningssvigt som resultat af nedbrud, forstyrrelser eller angreb på el- og naturgassektorernes kritiske it-systemer. It-sikkerhedshændelse: En hændelse, hvor et nedbrud i eller angreb på et forsyningskritisk it-system i væsentligt omfang aktiverer virksomhedens it-beredskab. Forsyningskritisk it-system: Et it-system, der styrer eller i væsentligt omfang påvirker forsyningskritiske processer. Mindre øvelser: Øvelser, der træner enkelte dele af virksomhedernes it-beredskabsplaner, herunder, men ikke begrænset til, test af SINE-Radioer, test af telefonlister, kontrol med sikringsforanstaltninger for forsyningskritiske it-systemer. Koordinerende og operative forhold Virksomheder, jf. § 2, stk. 1, er ansvarlige for eget it-beredskab, herunder at omsætte informationer om it-sikkerhedstrusler og konkrete it-varsler til nødvendige tiltag i egen organisation. Virksomheder, der af geografiske eller tekniske årsager er afhængige af andre virksomheders it-systemer, skal sikre, at denne afhængighed ikke medfører komplikationer for virksomhedens håndtering af it-beredskabets operative og planlægningsmæssige opgaver. Virksomheder i kategori 1 og 2, jf. § 9, stk. 1, nr. 1 og 2, skal sikre, at der er mulighed for it-sikkerhedsmæssig assistance på alle tider af døgnet. Virksomhederne er ansvarlige for at vurdere, hvilken assistance der er relevant i den pågældende virksomhed. Energinet skal varetage de overordnede koordinerende opgaver i forbindelse med håndtering af it-beredskabshændelser, der omfatter flere virksomheder. Energinet skal etablere et formaliseret samarbejde om it-beredskabsforhold, der har til formål at fremme koordineringen af såvel planlægningen som udøvelsen af it-beredskabet. Energinet skal bistå virksomheder, jf. § 2, stk. 1, nr. 1, 2 og 4, med kontaktoplysninger til andre virksomheder eller relevante myndigheder i en akut situation. Energinet skal bistå virksomhederne med oplysninger om aktuelle driftstilstande m.v. til brug for virksomhedernes håndtering af it-beredskabshændelser. Energinet skal til enhver tid kunne modtage og videreformidle informationer af betydning for it-beredskabet for virksomheder, jf. § 2, stk. 1. Organisatoriske forhold Virksomheder, jf. § 2, stk. 1, skal udpege en it-beredskabsansvarlig medarbejder, som er ansvarlig for at koordinere virksomhedens sikring af forsyningskritiske it-systemer, herunder risiko- og sårbarhedsvurdering. Virksomhederne skal sikre, at it-beredskabsarbejdet og det almene beredskabsarbejde koordineres, således at virksomhedens ledelse har et samlet risikobillede, der repræsenterer kendte og mulige risici mod produktionen eller forsyningen af elektricitet eller naturgas. Virksomhederne skal fire gange årligt koordinere mellem den ansvarlige for det almene beredskab (beredskabskoordinatoren), jf. bekendtgørelser om beredskab for elsektoren og naturgassektoren, den it-beredskabsansvarlige og ledelsen. Virksomheden skal på Energistyrelsens forlangende dokumentere denne koordination. Der må ikke være personsammenfald mellem den it-beredskabsansvarlige, beredskabskoordinatoren og ledelsen i virksomheder i kategori 1, jf. § 9, stk. 1, nr. 1. Virksomheder placeret i kategori 2 og 3, jf. § 9, stk. 1, nr. 2 og 3, kan ansøge Energistyrelsen om tilladelse til personsammenfald. Virksomheder, jf. § 2, stk. 1, nr. 1, 2 og 4, skal organisere it-beredskabet, således at det sikres, at virksomheden kan modtage it-sikkerhedsvarsler. Virksomhederne skal på baggrund af egne risiko- og sårbarhedsvurderinger etablere den fornødne organisering, der kan iværksætte relevante tiltag ved modtagelse af et it-sikkerhedsvarsel. Energistyrelsen skal vejlede virksomhederne i forbindelse med etablering af procedurer for modtagelse af trusselsvurderinger og varsler. Kategorisering af virksomheder Virksomhederne, jf. § 2, stk. 1, inddeles i tre kategorier: Kategori 1: Virksomheder, der producerer eller forsyner energimængder på nationalt niveau, der forvalter et forsyningsområde med over 250.000 slutforbrugere, eller virksomheder, der håndterer energimængder over 600 MWh/h elektricitet eller over 100.000 Nm3/time. Kategori 2: Virksomheder, der producerer eller forsyner energimængder på regionalt niveau, der forvalter et forsyningsområde med mellem 30.000 og 250.000 slutforbrugere, eller virksomheder, der håndterer energimængder svarende mellem 100 MWh/h og 600 MWh/h elektricitet inden for en sammenhængende del af elsystemet eller mellem 10.000 Nm3/time og 100.000Nm3/time. Kategori 3: Øvrige virksomheder, der ikke er omfattet af kategori 1 eller 2. Virksomheder, der ejer eller driver anlæg klassificeret som af væsentlig betydning for den nationale forsyning, jf. stk. 1, nr. 1, eller regionale forsyning, jf. stk. 1, nr. 2, tilhører tilsvarende kategori. Virksomheder, der driver eller ejer anlæg klassificeret af hensyn til el- eller naturgassektorens almene beredskab, vil således følge denne klassificering, med mindre det kan godtgøres, at anlægget ikke anvender forsyningskritiske it-systemer. I tilfælde, hvor der er uoverensstemmelse mellem kategoriseringen ud fra antallet af aftagere og energimængde, samt i tvivlstilfælde kategoriseres virksomheder i den kategori, der stiller mest omfattende krav til virksomhederne. Balanceansvarlige virksomheder placeres i kategori efter, hvilken energimængde de forvalter efter deres aftale med Energinet. Såfremt en balanceansvarlig virksomhed kan godtgøre, at en andel af den samlede produktions- eller forbrugskapacitet ikke kan styres, og derved ikke kan udgøre en risiko for forsyningen, kan denne mængde fratrækkes den balanceansvarlige virksomhedes samlede energimængde. Energistyrelsen træffer afgørelse om, hvilken kategori virksomhederne tilhører. Energistyrelsen reviderer årligt, og senest den 1. februar, kategoriseringen. Virksomhederne, Energinet samt Forsyningstilsynet underrettes herom. Risiko- og sårbarhedsvurderinger Virksomheder, jf. § 2, stk. 1, skal udarbejde en vurdering af relevante risici og sårbarheder, der kan påvirke virksomhedens forsyningskritiske it-systemer. Risiko- og sårbarhedsvurderinger skal indeholde alle relevante forhold, herunder egne erfaringer fra øvelser og hændelser, jf. §§, 19 og 22, samt trusselsvurderinger fra Center for Cybersikkerhed og den tilknyttede it-sikkerhedstjeneste, jf.

§ 25. Risiko- og sårbarhedsvurderinger skal udarbejdes med inddragelse af relevante personer i organisationen, herunder personer, men ikke begrænset til personer med ansvar for det almene beredskab og it-beredskabet. Risiko- og sårbarhedsvurderingen skal integreres i virksomhedens samlede risikobillede. Risiko- og sårbarhedsvurderingen skal opdateres, når nye risici, trusler eller sårbarheder erkendes samt ved væsentlige ændringer af it-systemer eller trusselsbilledet. Virksomhederne skal på Energistyrelsens forlangende kunne dokumentere, hvordan og hvornår risiko- og sårbarhedsvurderingen er opdateret. Risiko- og sårbarhedsvurderingen skal forevises til Energistyrelsen ved tilsyn. Virksomheder i kategori 1, jf. § 9, stk. 1, nr. 1, skal årligt inden den 1. oktober fremsende konklusionerne fra en opdateret risiko- og sårbarhedsvurdering til Energistyrelsen. Virksomheder i kategori 2 og 3, jf. § 9, stk. 1, nr. 2 og 3, skal fremsende konklusionerne fra en opdateret risiko- og sårbarhedsvurdering til Energistyrelsen minimum hvert tredje år. Næste gang den 1. oktober 2021. Energistyrelsen skal videreformidle konklusionerne fra virksomhedernes opdaterede risiko- og sårbarhedsvurderinger til Energinet. Energinet medtager virksomhedernes konklusioner i deres risiko og sårbarhedsvurderinger for det sammenhængende elforsyningssystem og naturgasforsyningssystem efter

§ 11. Energinet skal årligt senest den 1. januar udarbejde vurdering af it-relaterede risici og sårbarheder for det sammenhængende elforsyningssystem og det sammenhængende naturgasforsyningssystem. I vurderingerne skal indgå risici og sårbarheder afledt af sammenhænge med nabolandenes forsyningssystemer. Planmateriale Virksomheder, jf. § 2, stk. 1, skal udarbejde planmateriale over egne forsyningskritiske it-systemer. Planmaterialet skal indeholde: Beskrivelse af virksomhedens relation til transmissionsnettet, slutforbrugeren og andre virksomheder. Identificering af den driftskritiske kommunikation eller informationsudveksling, virksomheden har med andre aktører. Beskrivelse af forsyningskritiske it-systemer, herunder hvilke systemer de forsyningskritiske it-systemer er afhængige af. Planmaterialet skal opdateres ved ændringer i it-infrastrukturen. Virksomhederne skal identificere informationsstrømme med styringskritiske relationer til andre virksomheder og Energinet. Planmaterialet skal efter anmodning udleveres til Energistyrelsen. Virksomhederne skal ved udlevering af planmateriale vurdere materialets fortrolighed og tilsikre, at Energistyrelsen er bekendt med virksomhedens forventninger til håndtering af materialet. Energistyrelsen kan fastsætte krav til formen for dette planmateriale. Planmaterialet skal udfyldes for hver opgave for virksomheder, der indtager flere forskellige opgaver i el- og naturgassystemet. Energinet skal udarbejde planmateriale over information af forsyningskritisk karakter, der udveksles mellem Energinet og andre virksomheder. Planmaterialet skal indeholde et samlet overblik over de indbyrdes relationer for aktører i energisystemet for henholdsvis el- og gassystemet. It-beredskabsplanlægning Virksomhederne, jf. § 2, stk. 1, skal udarbejde it-beredskabsplaner baseret på risiko- og sårbarhedsvurderingerne, jf.

§ 10. It-beredskabsplanerne skal indeholde følgende: En identificering af forsyningskritiske it-systemer og afhængighed af andre systemer. Beskrivelse af forebyggende foranstaltninger til at imødegå utilsigtede it-hændelser, herunder muligheder for segmentering af it-infrastruktur og alternative driftsformer. Anvendes fjernadgang til forsyningskritisk it-systemer, skal beredskabsplanen indeholde en plan for, hvordan angreb på disse systemer opdages og håndteres. Beskrivelse af intern ansvars- og rollefordeling under krisestyring. Beskrivelse af intern ansvarsplacering af systemansvar for forsyningskritiske it-systemer. Beskrivelse af kommunikation med Energinet eller Energistyrelsen og virksomhedens tilknyttede it-sikkerhedstjeneste. Beskrivelse af procedurer for etablering af alternativ drift ved nedbrud på forsyningskritiske it-systemer. Plan for genoprettelse af forsyningskritiske it-systemer. Plan for dokumentation og opfølgning på hændelser. Beskrivelse af den operative ansvarsfordeling mellem virksomheden og dennes samarbejdsparter. Virksomhederne skal sikre, at it-beredskabsplanerne i relevant omfang indeholder forhold af betydning for sektorberedskabsplanen. It-beredskabsplanerne skal være en del af virksomhedens samlede beredskabsplanlægning. It-beredskabsplanerne skal være koordineret med sektorberedskabsplanen, jf. bekendtgørelser om beredskab for elsektoren og naturgassektoren. It-beredskabsplanerne skal opdateres senest 3 måneder efter gennemførelse af en risiko- og sårbarhedsvurdering, jf. § 10, stk. 4. It-beredskabsplanerne skal være versionsstyret med en kort beskrivelse af ændringer i forhold til tidligere versioner. Virksomheder, der benytter ekstern opkobling til virksomhedens forsyningskritiske it-systemer, skal i beredskabsplanen beskrive procedurer for, hvordan it-sikkerhed sikres i disse forbindelser. Virksomheder i kategori 1, jf. § 9, stk. 1, nr. 1, skal årligt inden den 1. oktober fremsende en opdateret beredskabsplan til modtagelse hos Energistyrelsen. Virksomheder i kategori 2 og 3, jf. § 9, stk. 1, nr. 2 og 3, skal fremsende en opdateret beredskabsplan til modtagelse hos Energistyrelsen minimum hvert tredje år. Næste gang den 1. oktober 2021. Energistyrelsen skal godkende virksomhedernes it-beredskabsplaner. Energistyrelsen skal vejlede virksomhederne i udarbejdelse af it-beredskabsplaner. Energinet skal sikre, at virksomhedernes it-beredskabsplaner indgår i sektorberedskabsplanerne for el- og naturgassektoren, jf. bekendtgørelser om beredskab for elsektoren og naturgassektoren. Sektorberedskabsplanerne skal indeholde en beskrivelse af, hvordan Energinet planlægger at håndtere en it-beredskabssituation, der berører flere virksomheder, herunder: Ansvarsfordelingen mellem virksomheder og Energinet. Beskrivelse af kommunikationsveje og forholdsregler ved kompromittering af kommunikationsveje. Krav Energinet i en it-beredskabssituation stiller til form, indhold og hyppighed af situationsrapporter fra virksomhederne til Energinet. Hvorledes Energinet vil informere virksomhederne om it-beredskabssituationen, herunder form, indhold og hyppighed, således at Energinet kan tilsikre en samordnet situationsopfattelse hos virksomhederne i el- og naturgassektorerne. En instruktion om anvendelse af specifik kryptering af informationer og driftsordre, hvis relevant. Planer for segmentering af fælles it-infrastruktur eller driftsinfrastruktur i relevante scenarier, hvis relevant. Sektorberedskabsplanerne skal foruden kravene i stk. 2 baseres på en vurdering efter

§ 11. Sektorberedskabsplanerne til brug i it-beredskabssituationer skal revideres senest 3 måneder efter væsentlige ændringer i det samlede nationale risikobillede. Energinet skal sikre, at relevante parter inddrages i udarbejdelsen af sektorberedskabsplaner. Virksomheder i kategori 2 og 3, jf. § 9, stk. 1, nr. 2 og 3, kan ansøge om at etablere samordnet it- beredskab, der medfører, at den operative håndtering af it-beredskabssituationer varetages i fællesskab eller af den ene part. Ansøgninger skal fremsendes til Energistyrelsen, til godkendelse. Ansøgninger skal suppleres med en skriftlig begrundelse samt en beskrivelse af konsekvenser ved samordnet it-beredskab, herunder vurdering af aftalens konsekvenser for det almene beredskabsarbejde, jf. bekendtgørelser om beredskab for elsektoren og naturgassektoren. Øvelser, rapportering mv. Virksomheder, jf. § 2, stk. 1, skal sikre, at de medarbejdere, der indgår i håndteringen af it-beredskabet, løbende modtager den fornødne instruktion, uddannelse og træning i håndtering af it-beredskab. Virksomheder, jf. § 2, stk. 1, skal afholde it-beredskabsøvelser med udgangspunkt i egne it-beredskabsplaner, jf. § 14 stk. 1. It-beredskabsøvelser skal indgå i virksomhedernes øvelsesplan, jf. bekendtgørelser om beredskab for elsektoren og naturgassektoren, og tage udgangspunkt i relevante trusler, sårbarheder eller erfaringer. Virksomheder i kategori 1, jf. § 9, stk. 1, nr. 1, skal minimum afholde én årlig it-beredskabsøvelse. Virksomheder i kategori 2 og 3, jf. § 9, stk. 1, nr. 2 og 3, skal sikre, at it-beredskabet i lighed med andre elementer i virksomhedens beredskabsplan øves. Virksomhederne skal dokumentere mindre interne øvelser, der træner virksomhedens it-sikkerhed. Dokumentationen af mindre øvelser skal fremsendes til Energistyrelsen én gang årligt. Energinet skal som minimum hvert tredje år afholde it-beredskabsøvelser, der træner anvendelse af sektorberedskabsplanen i it-beredskabssituationer, jf.

§ 16. Virksomhederne henholdsvis Energinet skal udarbejde en evaluering af hver afholdt it-beredskabsøvelse. Øvelsesevalueringen skal angive øvelsens forløb, opnåede erfaringer samt planlagt opfølgning og tidsplan herfor. Evalueringen skal indeholde en vurdering af, hvilke læringspunkter der er relevante at dele med andre virksomheder eller myndigheder. Virksomhedernes øvelsesevalueringer efter stk. 3 og stk. 4 fremsendes senest tre måneder efter øvelsen til Energistyrelsen. Energinets øvelsesevalueringer efter stk. 5 fremsendes senest tre måneder efter øvelsen til Energistyrelsen. Energistyrelsen skal udarbejde en vejledning, om hvilke typer af øvelser virksomhederne kan gennemføre og evaluere. Virksomheder, jf. § 2, stk. 1, skal udarbejde og gennemføre awareness-tiltag om it-sikkerhed, herunder formidle oplysninger om hvordan it-sikkerheden skal varetages af den berørte gruppe af medarbejdere eller eksterne. Virksomheder i kategori 1, jf. § 9, stk. 1, nr. 1, skal minimum gennemføre awareness-tiltag årligt. Virksomheder i kategori 2 og 3, jf. § 9, stk. 1, nr. 2 og 3, skal gennemføre awareness-tiltag minimum hvert andet år. Hændelser It-sikkerhedshændelser, der i væsentlig grad reducerer virksomhedens funktionalitet eller funktionaliteten af andre dele af el- og naturgassektoren, skal omgående meddeles Energinet. Energinet skal omgående underrette Energistyrelsen, såfremt it-sikkerhedshændelsen er af betydning for el- eller naturgasforsyningen på nationalt niveau. Såfremt en it-sikkerhedshændelse vurderes at have indflydelse på andre virksomheders eller myndigheders it-beredskab, skal væsentlige informationer omgående viderebringes til Energinet og til den it-sikkerhedstjeneste, virksomheden er tilknyttet. Energinet skal vurdere, om information om hændelser skal viderebringes til Center for Cybersikkerhed, Energistyrelsen eller andre virksomheder i el- eller naturgassektorerne. Forpligtigelsen til at vurdere og videreformidle akutte hændelsesinformationer, kan overdrages fra Energinet til en it-sikkerhedstjeneste efter tilladelse fra Energistyrelsen. Energinet skal underrette Center for Cybersikkerhed om it-sikkerhedshændelser i el- og naturgassektorerne, der har konsekvenser for forbrugerene. Energinet kan til denne underretning anvende en af Erhvervsstyrelsen dertil indrettet internetbasseret portal under iagttagelse af

§ 29. Underretningen skal som minimum indeholde en beskrivelse af: Hændelsen. Hændelsens konsekvenser, omfang og varighed. Hvorvidt hændelsen vurderes at have væsentlige konsekvenser for tjenester i andre sektorer eller andre EU- eller EØS-lande. Energinet kan efter høring af den meddelende virksomhed i stk. 1 oplyse offentligheden om den konkrete hændelse, hvis offentlighedens kendskab hertil er nødvendigt for at forebygge en hændelse eller håndtere en igangværende hændelse. Den meddelende virksomhed kan efter tilladelse fra Energinet, når de konkrete forhold tilsiger det, varetage oplysningen af egne kunder. Virksomheder, jf. § 2, stk. 1, skal udarbejde en evaluering af hændelser, der i væsentligt omfang aktiverer virksomhedens it-beredskab. Der skal minimum udarbejdes en evaluering på baggrund af følgende situationer: Hændelser, der har aktiveret virksomhedens it-beredskab. Hændelser, der har afstedkommet behov for manuel drift eller på anden måde har udgjort en risiko for væsentlig reduktion i it-styring af driften. Hændelser, der har krævet bistand til situationsudredning, udbedring eller reetablering af systemer eller funktionalitet i virksomhedens it-systemer, f.eks. fra en it-sikkerhedstjeneste, Center for Cybersikkerhed eller Energinet. Hændelser, der vurderes at kunne give anledning til læring ved andre virksomheder. Hændelsesevalueringen skal angive hændelsens forløb, opnåede erfaringer samt planlagt opfølgning og tidsplan herfor samt en vurdering af, hvilke læringspunkter der er relevante at dele med andre virksomheder eller myndigheder. Hændelsesevalueringen fremsendes senest tre måneder efter hændelsen til Energistyrelsen. Har en hændelse i væsentligt omfang afprøvet konkrete forhold, som indgår i en planlagt øvelse i virksomhedens øvelsesplan, jf. § 19, stk. 2, kan Energistyrelsen godkende, at den planlagte øvelse erstattes af den pågældende hændelse. Sikringsforanstaltninger Virksomheder, jf. § 2, stk. 1, skal sikre, at den fysiske opbevaring af forsyningskritiske it-systemer beskyttes i forhold til deres kritikalitet for forsyningen på nationalt, regionalt eller lokalt niveau. Således skal den fysiske beskyttelse af disse systemer ske på lige vilkår med fysiske anlæg af tilsvarende kritikalitet i medfør af regler for det almene beredskab. Virksomhederne skal sikre forsyningskritiske it-systemer mod uautoriseret adgang. Sikringen skal ske imod logisk såvel som fysisk adgang. Leverandørstyring Virksomheder, jf. § 2, stk. 1, har ansvar for it-sikkerheden i forbindelse med anvendelse af eksterne leverandører af virksomhedens it-systemer. Virksomhederne skal etablere procedurer for adgangsstyring for leverandører af forsyningskritiske it-systemer eller dele heraf. Såfremt der er behov for fjernadgang til forsyningskritiske it-systemer, skal procedurer for denne fjernadgang beskrives i kontrakter, der på anmodning skal forevises ved tilsyn. Virksomhederne er ansvarlige for, at data, der er følsomme af hensyn til forsyningen af elektricitet eller naturgas og driften af forsyningskritiske it-systemer, håndteres med den fornødne sikkerhed. Den fornødne sikkerhed omfatter minimum: at virksomhederne i relation til leverandører bevarer ejerskab af data, at adgangen til disse data logges, med mulighed for henføring til specifikke medarbejdere ved leverandører og at disse data opbevares i lokaler, der er fysisk sikret mod uvedkommendes adgang. It-sikkerhedstjeneste Virksomheder, jf. § 2, stk. 1, skal være tilmeldt en proaktiv it-sikkerhedstjeneste, der yder vejledning om vurdering og mitigering af sårbarheder. Den proaktive it-sikkerhedstjeneste skal endvidere give informationer og varsle om relevante it-sikkerhedstrusler. Virksomheder i kategori 1 og 2, jf. § 9, stk. 1, nr. 1 og 2, skal foruden tjenesten, jf. stk. 1, være tilmeldt en reaktiv it-sikkerhedstjeneste, der bistår virksomheden ved nedbrud eller angreb på it-systemer, herunder assistance til akut skadesbegrænsning, bevisindsamling og reetablering i akutte sikkerhedsmæssige situationer. Virksomhederne skal sikre, at oplysninger, der har en sikkerhedsmæssig betydning for andre virksomheder i energisektorerne, kan viderebringes til andre virksomheder. Oplysninger, der tilvejebringes gennem en it-sikkerhedstjeneste, skal kunne videreformidles til andre virksomheder uden forsinkelse, såfremt disse oplysninger vurderes at have betydning for forsyningen af elektricitet eller naturgas. Virksomhederne skal indsende kontrakt med en it-sikkerhedstjeneste samt opgørelse af kontraktens omkostninger til godkendelse ved Energistyrelsen senest den 1. oktober 2017. Ved ændringer i kontrakten skal denne senest 2 måneder efter ændringen indsendes til fornyet godkendelse ved Energistyrelsen. Energistyrelsen kan inden for 8 uger fra modtagelsen afvise en kontrakt på baggrund af formelle og indholdsmæssige forhold, der vurderes at forsinke, vanskeliggøre eller begrænse virksomhedens eller den samlede sektors evne til at håndtere en akut it-beredskabssituation eller it-beredskabsplanlægning, jf. § 14 og

§ 16. Hvis flere virksomheder i el- eller naturgassektorerne indgår en fælles kontrakt med en it-sikkerhedstjeneste, skal kontrakten opbevares hos alle tilmeldte virksomheder. Virksomhederne skal sikre i deres kontrakt med en it-sikkerhedstjeneste, der yder tjenester til flere virksomheder, at it-sikkerhedstjenesten af egen drift videreformidler væsentlige sikkerhedsmæssige oplysninger erkendt ved en virksomhed, til andre tilmeldte virksomheder. Tilsyn Energistyrelsen fører tilsyn over for virksomhederne, jf. § 2, stk. 1, nr. 1, 2 og 4, om overholdelsen af §§ 4, 6, 7, 10, 12, 14, 15, 18-25 og

§ 29. Energistyrelsen gennemfører it-beredskabstilsyn for virksomheder i kategori 1, jf. § 9, stk. 1, nr. 1, årligt. For virksomheder omfattet af kategori 2 og 3, jf. § 9, stk. 1, nr. 2 og 3, gennemføres it-beredskabstilsynet sammenfaldende med det tre-årlige beredskabstilsyn, jf. bekendtgørelser om beredskab for elsektoren og naturgassektoren. Energistyrelsen skal udarbejde en rapport om tilsynet. Rapporten skal forelægges virksomheden til kommentering inden færdiggørelse. Ved uenighed om faktuelle forhold skal uenigheden skriftligt indberettes for Energistyrelsen. Energistyrelsen fører tilsyn med Energinet’s arbejde som virksomhed, jf. § 2, stk. 1, nr. 3, som koordinerende virksomhed jf. § 10, stk. 7, § 11, 14, stk. 8, § 16, § 19, stk. 5-7, § 21, § 22, stk. 3, § 30, stk. 3 og § 32 . Energistyrelsen skal årligt udarbejde en rapport om tilsynet med Energinet. Rapporten skal forelægges Energinet til kommentering inden færdiggørelse. Andre bestemmelser Forsyningstilsynet kan, jf. bekendtgørelse om indtægtsrammer for netvirksomheder, efter ansøgning forhøje omkostningsrammen midlertidigt for netvirksomheder, der har dokumenterede meromkostninger som følge af krav om tilmelding til en it-sikkerhedstjeneste, jf. § 25, stk. 1. Omkostningsrammen og det samlede forrentningsgrundlag i reguleringsåret kan for netvirksomheder omfattet af kategori 1-3 forhøjes med netvirksomhedens omkostninger til it-sikkerhedstjenestens ydelser om relevant varsling og information. Omkostningsrammen og det samlede forrentningsgrundlag i reguleringsåret kan endvidere for netvirksomheder omfattet af kategori 1 og 2 forhøjes med netvirksomhedens omkostninger til it-sikkerhedstjenestens ydelser om udredning og reetablering i akutte sikkerhedsmæssige situationer. Netvirksomhedens kontrakt med it-sikkerhedstjenesten skal indgås på markedsmæssige vilkår, jf. § 46 i lov om elforsyning. En netvirksomhed kan efter reglerne i bekendtgørelse om indtægtsrammer for netvirksomheder én gang årligt ansøge Forsyningstilsynet om en forhøjelse af omkostningsrammen og det samlede forrentningsgrundlag i reguleringsåret for det år, hvor de dokumenterede meromkostninger er afholdt, jf. stk. 1 og 2. Ansøgningen skal være bilagt Energistyrelsens godkendelse af netvirksomhedens kontrakt med it-sikkerhedstjenesten, jf. § 25, stk. 5, og den skal indeholde en redegørelse for, hvordan priser og vilkår i kontrakten er fastsat. Muligheden for at få godkendt en forhøjelse af omkostningsrammen og det samlede forrentningsgrundlag i reguleringsåret bortfalder, såfremt Forsyningstilsynet ikke har modtaget en ansøgning rettidigt, jf. bekendtgørelse om indtægtsrammer for netvirksomheder. Følsomme oplysninger skal behandles med fortrolighed. Ved følsomme oplysninger forstås: Oplysninger om konkrete risici- og sårbarheder, jf.

§ 10. Planmateriale, jf. §§ 12 og 13. Kritiske dele af beredskabsplaner, jf. §§ 14 og 16, indeholdende beskrivelse af, hvordan virksomheden eller sektoren vil agere i givne beredskabssituationer. Materiale af tilsvarende karakter, der af virksomheden eller Energinet vurderes at være følsomt. Forsendelse og håndtering af følsomt materiale skal ske på en måde, der sikrer fortrolighed og integritet af materialet. Følsomt materiale, som ikke længere benyttes, skal destrueres. Virksomhederne skal efter anmodning give Energinet og Energistyrelsen oplysning om alle forhold af relevans for beredskabsarbejdet, herunder oplysninger til brug for det i § 9, stk. 1 og stk. 2 nævnte klassificering. Energinet skal tilsvarende oplyse Energistyrelsen om alle forhold af relevans for beredskabsarbejdet. Energistyrelsen kan efter ansøgning dispensere fra bestemmelser i denne bekendtgørelse, hvor ansøgeren har godtgjort at en dispensation fra den konkrete bestemmelse i væsentligt omfang har mindre betydning eller reduceret effekt for it-beredskabet. Håndhævelse og klageadgang Energistyrelsen kan i forbindelse med deres tilsynsvirksomhed udstede påbud, jf. § 85 d, stk. 1, i lov om elforsyning og § 47 b, stk. 1, i lov om naturgasforsyning, for manglende overholdelse af §§ 4, 6, 7, 10, 12, 14, 15, 18-25 og 29. Energistyrelsen kan udstede påbud om it-revision og gennemførelse af tiltag fra en sådan it-revision ved manglende overholdelse af påbud udstedt efter stk. 1. Energistyrelsen kan i forbindelse med deres tilsyn med Energinet udstede påbud, jf. § 85 d, stk. 1, i lov om elforsyning og § 47 b, stk. 1, i lov om naturgasforsyning, for manglende overholdelse af §§ 4-6 og 8, § 9, stk. 5, §§ 10-14, § 15 stk. 2 og 3, §§ 16, 18-26 og 29-30. Energistyrelsen kan udstede påbud overfor Energinet om it-revision og gennemførelse af tiltag fra en sådan it-revision, ved manglende overholdelse af påbud udstedt efter stk. 1 jf. § 85 c, stk. 2 og 3, i lov om elforsyning, og § 15 b, stk. 2 og 3, i lov om naturgasforsyning. Afgørelser truffet af Energistyrelsen, jf. § 9, stk. 5, § 12, stk. 4, § 15, stk. 2, § 17, § 21, stk. 5, § 22, stk. 4, § 25, stk. 6, § 31, § 32 stk. 1 og stk. 2 og § 33, stk. 1 og stk. 2, kan ikke påklages til anden administrativ myndighed. Afgørelser efter stk. 1 kan dog påklages til Energiklagenævnet for så vidt angår retlige spørgsmål. Klagen skal være indgivet skriftligt inden 4 uger efter, at afgørelsen er meddelt til pågældende. Ikrafttrædelse Bekendtgørelsen træder i kraft den 1. januar 2022. Bekendtgørelse nr. 820 af 14. august 2019 om it-beredskab for el-og naturgassektorerne ophæves. Ansøgning om forhøjelse af reguleringsprisen for omkostninger afholdt i 2017 sker efter de hidtil gældende regler.