Bekendtgørelse om sikkerhed i net- og informationssystemer i transportsektoren

§ 3. Trafik-, Bygge- og Boligstyrelsen udpeger en operatør af en væsentlig transporttjeneste. Stk. 2. Trafik-, Bygge- og Boligstyrelsen vurderer løbende, dog mindst hvert andet år, hvilke enheder der skal udpeges i medfør af stk. 1. Stk. 3. Ved udpegning efter stk. 1 lægger Trafik-, Bygge- og Boligstyrelsen vægt på, at

1. enheden leverer en transporttjeneste, der er væsentlig for opretholdelsen af kritiske samfundsmæssige eller økonomiske aktiviteter,
2. leveringen af transporttjenesten afhænger af net- og informationssystemer, og
3. en hændelse vil få væsentlige forstyrrende virkninger for leveringen af den nævnte transporttjeneste. Stk. 4. Ved vurdering efter § 3, stk. 3, nr. 3, lægger Trafik-, Bygge- og Boligstyrelsen blandt andet vægt på:
4. Antallet af brugere, der er afhængige af transporttjenesten.
5. Andre sektorers afhængighed af transporttjenesten.
6. Omfanget og varigheden af de konsekvenser, som hændelser kan have på økonomiske og samfundsmæssige aktiviteter eller den offentlige sikkerhed.
7. Den pågældende enheds markedsandel.
8. Det geografiske område, der kan blive berørt af en hændelse.
9. Om der i kraft af alternative måder til levering af den pågældende transporttjeneste kan opretholdes et tilstrækkeligt tjenesteniveau.
10. Sektorspecifikke forhold.

§ 5. Operatører af væsentlige transporttjenester skal senest to år efter udpegningen dokumentere over for Trafik-, Bygge- og Boligstyrelsen, at operatøren har opnået en akkrediteret certificering i overensstemmelse med denne bekendtgørelse og en internationalt anerkendt standard for styring af sikkerheden i net- og informationssystemer, eksempelvis DS/EN ISO/IEC 27001 eller tilsvarende. Stk. 2. Operatørens valg af internationalt anerkendt standard for styring af sikkerheden i net- og informationssystemer skal være godkendt af Trafik-, Bygge- og Boligstyrelsen, inden operatøren lader sig certificere efter standarden. Stk. 3. I perioden fra udpegning og frem til, at operatører af væsentlige transporttjenester har opnået den akkrediterede certificering, skal operatørerne med højest 6 måneders intervaller indsende en overordnet status for certificeringsprocessen til Trafik-, Bygge- og Boligstyrelsen. Stk. 4. Operatørens certificerede ledelsessystem skal sikre, at operatører af væsentlige transporttjenester træffer:

1. Passende og forholdsmæssige tekniske og organisatoriske foranstaltninger for at styre risiciene for sikkerheden i net- og informationssystemer, som operatøren anvender til at levere den væsentlige transporttjeneste. Formålet er, at foranstaltningerne skal sikre et sikkerhedsniveau for net- og informationssystemer, der er proportionalt med risiciene.
2. Passende foranstaltninger for at forebygge og minimere konsekvensen af en hændelse, der kan have en negativ indvirkning på sikkerheden i de net- og informationssystemer, som anvendes til levering af transporttjenesten. Formålet er at sikre kontinuiteten af transporttjenesten. Stk. 5. Den akkrediterede certificering skal omfatte den del af operatørens net- og informationssystemer, som operatøren er afhængig af for at levere den væsentlige transporttjeneste, og hvor en hændelse vil få væsentlig forstyrrende virkning for leveringen af den pågældende transporttjeneste.

Dokumentation m.v.

§ 6. Certificering af operatører af væsentlige transporttjenester skal udføres som akkrediteret certificering af et certificeringsorgan, der er akkrediteret til at certificere operatører i henhold til denne bekendtgørelse. Certificeringsorganet skal være akkrediteret efter den relevante standard i EN ISO/IEC 170xx-serien. Akkrediteringen skal være foretaget af enten Den Danske Akkrediteringsfond (DANAK) eller et tilsvarende akkrediteringsorgan, som er medunderskriver af EA´s (European co-operation for Accreditation) eller IAF’s (International Accreditation Forum’s) multilaterale aftale om gensidig anerkendelse dækkende den relevante certificeringsstandard. Stk. 2. Certificeringsorganet udsteder et certifikat som dokumentation for, at en operatør af væsentlige transporttjenester opfylder kravene i denne bekendtgørelse og i en internationalt anerkendt standard for styring af sikkerheden i net- og informationssystemer. Stk. 3. Operatører af væsentlige transporttjenester skal sende en kopi af certifikatet og eventuelle bilag til Trafik-, Bygge- og Boligstyrelsen. Stk. 4. Operatører af væsentlige transporttjenester skal straks orientere Trafik-, Bygge- og Boligstyrelsen, hvis certifikatet er frataget, suspenderet eller bortfaldet.

§ 7. Operatører af væsentlige transporttjenester skal underrette Trafik-, Bygge- og Boligstyrelsen og Center for Cybersikkerhed om hændelser, der har væsentlige konsekvenser for kontinuiteten af de væsentlige transporttjenester, som de leverer. Stk. 2. Ved vurderingen af, om en hændelse har væsentlige konsekvenser for kontinuiteten af de væsentlige transporttjenester, skal operatøren navnlig tage følgende kriterier i betragtning:

1. Antallet af brugere, der berøres af afbrydelsen af den væsentlige transporttjeneste.
2. Hændelsens varighed.
3. Den geografiske udbredelse med hensyn til det område, der er berørt af hændelsen.

§ 8. Underretning i medfør af § 7, stk. 1, skal ske hurtigst muligt og senest inden udgangen af den førstkommende hverdag efter, at operatøren har konstateret, at hændelsen har væsentlige konsekvenser for kontinuiteten af transporttjenesten. Stk. 2. Underretning af hændelser skal ske gennem den fælles digitale løsning for indberetning af hændelser til offentlige myndigheder på virk.dk. Stk. 3. Såfremt alle oplysninger til brug for underretningen ikke er tilgængelige for operatøren på tidspunktet, hvor underretningen foretages, skal operatøren afgive en delvis underretning med de tilgængelige oplysninger. En delvis underretning skal snarest muligt følges op af en komplet underretning.