Bekendtgørelse om rammerne for informationssikkerhed og beredskab

§ 2. I denne bekendtgørelse forstås ved:

1. Informationssikkerhed, herunder persondatasikkerhed: a) Tilgængelighed: At net, tjenester og data er tilgængelige og anvendelige. b) Fortrolighed: At data i forbindelse med net- og tjenesteudbuddet kun er tilgængelige for og kun behandles af henholdsvis fysiske eller juridiske personer, som data er tiltænkt, eller som er autoriserede hertil i henhold til lovlige formål. c) Integritet: At data i forbindelse med net- og tjenesteudbuddet ikke forvanskes ved uautoriserede og/eller utilsigtede ændringer.
2. Beredskab for elektroniske kommunikationsnet og -tjenester: Planlægning og udførelse af de foranstaltninger, der er nødvendige for at opretholde eller genetablere samfundsvigtig elektronisk kommunikation i beredskabssituationer.
3. Beredskabssituation: Større ulykker og katastrofer og andre ekstraordinære hændelser eller kriser, hvor det er nødvendigt at indføre særlige foranstaltninger vedrørende elektroniske kommunikationsnet og -tjenester med henblik på at kunne opretholde samfundets funktioner samt yde støtte til beredskabsmyndighederne.
4. Samfundsvigtig elektronisk kommunikation: Kommunikation, der foregår via elektroniske kommunikationsnet og -tjenester, og som er nødvendig med henblik på videreførelse af samfundets funktioner under forhold som nævnt i nr. 3.
5. Beredskabsmyndigheder: Offentlige myndigheder og offentlige og private virksomheder og institutioner, som bidrager til opretholdelse af samfundets funktioner i en beredskabssituation.
6. Brud på persondatasikkerheden: Sikkerhedsbrud, der fører til hændelig eller uretmæssig tilintetgørelse, tab, ændring, ubeføjet videregivelse af eller adgang til persondata, der sendes, lagres eller på anden måde behandles i forbindelse med udbuddet af en offentlig elektronisk kommunikationstjeneste. Stk. 2. I det omfang denne bekendtgørelse refererer til begreber, som er defineret i lov om elektroniske kommunikationsnet og -tjenester og lov om behandling af personoplysninger, henvises til de i disse love fastlagte definitioner.

Rammer for informationssikkerhed og persondatabeskyttelse

§ 3. IT- og Telestyrelsen fastsætter nærmere regler om minimumskrav til informationssikkerhed og behandling af persondata i forbindelse med udbydere af offentlige elektroniske kommunikationsnet og -tjenesters udbud af net og tjenester. Stk. 2. Regler fastsat i henhold til stk. 1 omfatter blandt andet krav om følgende:

1. Passende tekniske og organisatoriske foranstaltninger med henblik på at styre risici for informationssikkerheden i net og tjenester, herunder persondatasikkerheden, og sikre et sikkerhedsniveau, der står i forhold til risici.
2. Underretning af IT- og Telestyrelsen ved brud på informationssikkerheden med væsentlige følger for drift af net eller tjenester og ved brud på persondatasikkerheden. Pligten kan omfatte underretning af andre end IT- og Telestyrelsen under særlige omstændigheder. Stk. 3. IT- og Telestyrelsen fastsætter nærmere regler om tilsynet med overholdelsen af regler, der fastsættes i henhold til stk. 1, herunder om kontrol med informations- og persondatasikkerheden. Stk. 4. IT- og Telestyrelsen kan ved brud på informationssikkerheden, som der skal gives underretning om i henhold til regler udstedt i medfør af stk. 1, jf. stk. 2, nr. 2, underrette de nationale tilsynsmyndigheder i andre medlemsstater og Det Europæiske Agentur for Net- og Informationssikkerhed (ENISA). IT- og Telestyrelsen kan desuden underrette offentligheden eller påbyde udbydere af offentlige elektroniske kommunikationsnet- og tjenester at underrette offentligheden, hvis det kan godtgøres, at det er i offentlighedens interesse, at et brud på sikkerheden offentliggøres. Stk. 5. IT- og Telestyrelsen forelægger én gang årligt en sammenfattende rapport for Kommissionen og ENISA om foranstaltninger gennemført i henhold til regler udstedt i henhold til stk. 1, jf. stk. 2, nr. 1, om informationssikkerheden, og om underretninger modtaget i medfør af regler udstedt i henhold til stk. 1, jf. stk. 2, nr. 2.

§ 5. IT- og Telestyrelsen fastsætter nærmere regler om, at erhvervsmæssige udbydere af offentlige elektroniske kommunikationsnet og -tjenester skal foretage nødvendig planlægning og træffe nødvendige foranstaltninger, og afholde alle udgifter hertil, for at sikre samfundsvigtig elektronisk kommunikation i beredskabssituationer og i andre ekstraordinære situationer, herunder regler om:

1. En fortrinsstilling for særligt udpegede abonnenter ved benyttelsen af offentlige elektroniske kommunikationsnet og -tjenester – om fornødent ved begrænsning eller afskæring af andre abonnenters adgang til disse net og -tjenester.
2. Tilvejebringelse og opretholdelse af samfundsvigtig elektronisk kommunikation til brug for beredskabsmyndighederne, herunder prioritering af faste kredsløb til beredskabsmæssige formål. Stk. 2. IT- og Telestyrelsen fastsætter desuden nærmere regler om, at ejere af elektroniske kommunikationsnet, der anvendes til erhvervsmæssigt udbud af offentlige elektroniske kommunikationstjenester, ved afholdelse af egne udgifter dertil skal:
3. Udarbejde beredskabsplaner baseret på en dokumenteret risikostyringsproces.
4. Sikre beskyttelse af kritisk elektronisk infrastruktur.
5. Planlægge og deltage i øvelsesaktivitet. Stk. 3. IT- og Telestyrelsen kan, i det omfang det er nødvendigt for at sikre opretholdelsen af samfundsvigtig elektronisk kommunikation, påbyde udbydere af elektroniske kommunikationsnet og -tjenester, der ikke er offentligt tilgængelige, at overholde de regler, der fastsættes af IT- og Telestyrelsen efter stk. 1 og 2.

§ 7. IT- og Telestyrelsens krisestyring i henhold til § 6, stk. 2, omfatter følgende:

1. Påbud til udbydere af elektroniske kommunikationsnet og -tjenester om prioritering af retablering af elektronisk infrastruktur med henblik på afvikling af samfundsvigtig elektronisk kommunikation.
2. Påbud til udbydere af elektroniske kommunikationsnet og -tjenester om, hvilke forbindelser eller tjenester hos udbyderne der skal dækkes af begrænsede fremføringsmuligheder i nettene.
3. Påbud til erhvervsmæssige udbydere af offentlige elektroniske kommunikationsnet og -tjenester om generel begrænsning af trafikken i elektroniske kommunikationsnet og -tjenester ved iværksættelse af de af udbyderne forberedte foranstaltninger, jf. regler fastsat i medfør af § 5, stk. 1, nr. 1. Stk. 2. IT- og Telestyrelsen påbyder ejere af elektroniske kommunikationsnet, der anvendes til erhvervsmæssigt udbud af offentlige elektroniske kommunikationstjenester, at iværksætte akutte sikkerhedsforanstaltninger til beskyttelse af infrastrukturen, hvis der efter IT- og Telestyrelsens skøn foreligger en sikkerhedsmæssig trussel af betydning for ejerens udbud af elektroniske kommunikationsnet og -tjenester, herunder trusler i relation til krise og krig, terror eller sabotage.

Straffebestemmelser