Bekendtgørelse om sikkerhedsgodkendelse i energisektoren

§ 2. I denne bekendtgørelse forstås ved:

1. ID- og CV-kontrol: Kontrol, som fastslår en persons identitet på grundlag af dokumentation, og kontrol, som omfatter personens beskæftigelse, uddannelse og eventuelle afbrydelser i mindst de foregående fem år.
2. Niveau 3 virksomhed: Virksomhed, som er inddelt på niveau 3 i medfør af § 4, jf. bilag 1, pkt. 1.3. i bekendtgørelse nr. 260 af 6. marts 2025 om modstandsdygtighed og beredskab i energisektoren.
3. Niveau 4 virksomhed: Virksomhed, som er inddelt på niveau 4 i medfør af § 4, jf. bilag 1, pkt. 1.2. i bekendtgørelse nr. 260 af 6. marts 2025 om modstandsdygtighed og beredskab i energisektoren.
4. Niveau 5 virksomhed: Virksomhed, som er inddelt på niveau 5 i medfør af § 4, jf. bilag 1, pkt. 1.1. i bekendtgørelse nr. 260 af 6. marts 2025 om modstandsdygtighed og beredskab i energisektoren.
5. Industrielle kontrolsystemer: Net- og informationssystemer, der anvendes til alle former for digital styring, kontrol og overvågning af fysiske og industrielle processer, eksempelvis styring, kontrol og overvågning af ventiler og pumper eller opsamling og analyse af data fra et fysisk system, herunder sensorer og styringskomponenter forbundet til et industrielt netværksmiljø.
6. Forsyningskritisk net- og informationssystem: Et net- og informationssystem med mulighed for direkte at afbryde eller påvirke fysiske og logiske processer, som er nødvendige for forsyningen til en eller flere slutbrugere, herunder industrielle kontrolsystemer, operationelle teknologier samt administrative it-systemer og udstyr med direkte integration til industrielle kontrolsystemer og operationelle teknologier.
7. Udvidede rettigheder: Brugere med systemmæssige rettigheder til at ændre funktionaliteter i systemet, herunder administration af brugeradgange, der giver udvidede rettigheder over læseadgangsniveau.

§ 3. Personer, der er ansat i, eller gennem kontraktuelle forhold for, virksomheder i niveau 3, 4 og 5, til at varetage følgende funktioner, skal sikkerhedsgodkendes til klassifikationsgraden FORTROLIGT, medmindre de er undtaget herfra efter stk. 3:

1. Personer, som i kraft af deres funktion i virksomheden, har mulighed for at afbryde forsyningen til store grupper af forbrugere, herunder a) ved adgang til virksomhedens industrielle kontrolsystem, eller b) ved adgang til virksomhedens kontrolrum.
2. Personer med ansvar for virksomhedens forsyningskritiske net- og informationssystemer.
3. Personer med udvidede rettigheder i virksomhedens forsyningskritiske net- og informationssystemer.
4. Virksomhedens beredskabskoordinator, cyberkoordinator og sikringskoordinator.
5. Personer, der i øvrigt, i anlæg klassificeret i klasse 4 eller 5, jf. § 6, stk. 1 og 2 i bekendtgørelse nr. 260 af 6. marts 2025 om modstandsdygtighed og beredskab i energisektoren, har væsentlige fysiske eller logiske adgange og rettigheder, der giver direkte adgang til at påvirke energiforsyningen.
6. Personer i virksomheden, som er ansvarlige for at behandle ansøgninger om sikkerhedsgodkendelser.
7. Personer, der overvejes ansat i stillinger, der indebærer opgavevaretagelse efter nr. 1 - 6. Stk. 2. Personer, der skal have indsigt i klassificerede informationer efter cirkulære nr. 10338 af 14. december 2014 om sikkerhedsbeskyttelse af informationer af fælles interesse for landene i NATO eller EU, andre klassificerede informationer samt informationer af sikkerhedsmæssig beskyttelsesinteresse i øvrigt, skal sikkerhedsgodkendes svarende til klassifikationsgraden af den klassificerede information, uanset om de udfører funktioner som anført i stk. 1. Stk. 3. Personer, der har ledsaget adgang eller overvåget færden i forbindelse med varetagelsen af funktioner anført i stk. 1, nr. 1, 3 eller 5, er undtaget fra kravet om sikkerhedsgodkendelse efter stk. 1. Stk. 4. For personer, der i henhold til stk. 1 eller 2 skal sikkerhedsgodkendes, skal virksomheden gennemføre en forudgående ID- og CV-kontrol, jf. § 2, nr. 1, og § 4, stk. 1, dog således, at det mindst er de foregående 5 år, der genstand for ID- og CV-kontrol. Stk. 5. Personer, der i henhold til stk. 1 eller 2 skal sikkerhedsgodkendes, skal kunne opretholde sikkerhedsgodkendelsen så længe, de varetager de pågældende funktioner eller har adgang til klassificerede informationer.

Virksomhedens ansvar

§ 4. Virksomheden er ansvarlig for, at der gennemføres ID- og CV-kontrol med et tilfredsstillende resultat for de personer, der skal sikkerhedsgodkendes i henhold til § 3, stk. 1 eller 2. Stk. 2. Virksomheden er ansvarlig for, at personer omfattet af § 3, stk. 1 eller 2, er sikkerhedsgodkendte, jf. dog stk. 3, såfremt personerne

1. varetager funktioner, som anført i § 3, stk. 1,
2. uddannes i funktioner, som anført i § 3, stk. 1,
3. har rettigheder, som anført i § 3, stk. 1, nr. 3, eller
4. har adgang til klassificerede informationer, som anført i § 3, stk. 2. Stk. 3. Er der indgivet en ansøgning om sikkerhedsgodkendelse af en person omfattet af § 3, stk. 1, kan Energistyrelsen efter anmodning fra en virksomhed træffe afgørelse om, at den pågældende person kan varetage funktioner omfattet af stk. 2, nr. 1-3, hvis det er strengt nødvendigt af hensyn til virksomhedens drift, og hvis virksomheden dokumenterer at have gennemført en risikovurdering samt redegør for, hvilke passende mitigerende foranstaltninger, der vil blive iværksat, med henblik på at minimere relevante risici, indtil den pågældende person er sikkerhedsgodkendt.

§ 5. Virksomheder, der skal indsende en ansøgning om sikkerhedsgodkendelse i henhold til § 3, stk. 1 eller 2, skal udpege ét kontaktpunkt for sikkerhedsgodkendelser og give Energistyrelsen meddelelse herom. Stk. 2. Virksomheden indsender ansøgning om sikkerhedsgodkendelse til Energistyrelsen via sikker digital post efter Energistyrelsens anvisninger, såfremt sikkerhedsgodkendelse af personen er påkrævet efter § 3, stk. 1 eller 2. Stk. 3. En virksomhed, der har fået en person sikkerhedsgodkendt i henhold til § 6, stk. 1, skal give meddelelse til Energistyrelsen hurtigst muligt og senest inden for 14 dage, at en sikkerhedsgodkendt person er

1. ophørt i funktionen, eller
2. ikke længere har behov for adgang til klassificerede informationer. Stk. 4. Indgives der en anmodning om fornyelse af en sikkerhedsgodkendelse senest 6 måneder før sikkerhedsgodkendelsens udløb, suspenderes udløbet af sikkerhedsgodkendelsen, indtil der er truffet afgørelse om fornyelsen af sikkerhedsgodkendelsen. Stk. 5. Virksomheden fører en ajourført liste over de personer, der er sikkerhedsgodkendt. Listen skal indeholde oplysninger om fulde navn, stilling eller funktion og klassifikationsgrad, som den pågældende er godkendt til, samt sikkerhedsgodkendelsens udstedelsesdato og gyldighedsperiode.

Energistyrelsens sagsbehandling

§ 6. Energistyrelsen behandler og træffer afgørelse i ansøgninger om sikkerhedsgodkendelse efter denne bekendtgørelse og udsteder sikkerhedsgodkendelsen. Politiets Efterretningstjeneste foretager en sikkerhedsundersøgelse til brug for Energistyrelsens afgørelse om sikkerhedsgodkendelse. Energistyrelsens afgørelse om sikkerhedsgodkendelse træffes på grundlag af en konkret vurdering af de oplysninger, der foreligger om personen. Der lægges herved navnlig vægt på, om den pågældende

1. har udvist ubestridt loyalitet og
2. har udvist en sådan adfærd og karakter, herunder vaner, forbindelser og diskretion, at der ikke kan være tvivl om den pågældendes pålidelighed i forbindelse med håndteringen af klassificerede informationer eller varetagelsen af de funktioner, der begrunder kravet om sikkerhedsgodkendelse. Stk. 2. Oplysninger om en ægtefælles, samlevers, registreret partners eller samboendes adfærd, karakter og forhold i øvrigt kan tilsvarende tillægges vægt ved afgørelsen om sikkerhedsgodkendelse. Stk. 3. En sikkerhedsgodkendelse meddelt efter stk. 1 er gyldig i højst 10 år fra afgørelsestidspunktet. Stk. 4. Energistyrelsen kan træffe afgørelse om at tilbagekalde en sikkerhedsgodkendelse, jf. stk. 1, såfremt Energistyrelsen vurderer, at den pågældende person ikke længere kan opnå sikkerhedsgodkendelse. Stk. 5. Energistyrelsen orienterer virksomheden om resultatet af en afgørelse om afslag på sikkerhedsgodkendelse efter stk. 1 eller tilbagekaldelse af en sikkerhedsgodkendelse efter stk. 4. Stk. 6. Energistyrelsen fører en ajourført liste over de personer, der er sikkerhedsgodkendt. Listen skal indeholde oplysninger om fulde navn, pågældende virksomhed, stilling eller funktion og klassifikationsgrad, som den pågældende er godkendt til, samt sikkerhedsgodkendelsens udstedelsesdato og gyldighedsperiode.

§ 9. Bekendtgørelsen træder i kraft den 3. september 2025. Stk. 2. Varetager en person omfattet af § 3, stk. 1 eller 2, allerede en af de i § 4, stk. 2, nævnte funktioner på tidspunktet for bekendtgørelsens ikrafttræden, og er der indgivet en ansøgning om sikkerhedsgodkendelse til Energistyrelsen, kan den pågældende fortsat varetage funktionen, indtil den pågældende er sikkerhedsgodkendt, såfremt virksomheden iværksætter passende mitigerende foranstaltninger.

Energistyrelsen /Kristoffer Böttzauw / Jesper Rode Tholstrup/