Bekendtgørelse om oplysnings- og underretningspligter vedrørende sikkerhed og beredskab i telesektoren

§ 1. I denne bekendtgørelse forstås ved:

1. Kritiske netkomponenter, systemer og værktøjer: Operations support-systemer, network management-systemer og business support-systemer, der kan benyttes til at aflæse, ændre indhold af eller dirigere data, som relaterer sig til slutbrugere, samt hardware, firmware og software, der anvendes i eller i forbindelse med core-net eller radio-net i mobilnet, fastnet, internet samt radio- og tv-distributionsnet, eller i centrale routere og servere i backbonenettene.
2. Slutbruger: En bruger af net og tjenester, som ikke på kommercielt grundlag stiller de pågældende net og tjenester til rådighed for andre.
3. Beredskabsaktører: Myndigheder, institutioner og virksomheder, som skal bidrage til opretholdelse af samfundets funktioner i beredskabssituationer og i andre ekstraordinære situationer.
4. Beredskabssituationer og andre ekstraordinære situationer: Situationer, hvor der allerede er, eller hvor der kan opstå større ulykker, katastrofer eller hændelser, herunder krise eller krig, og hvor der er risiko for påvirkning af udbuddet af net eller tjenester.
5. Internt beredskab: Iværksættelse af særlige procedurer, processer og tiltag, der har til hensigt at håndtere en væsentlig hændelse, der ikke kan håndteres inden for teleudbyderens almindelige drift, herunder indkaldelse af ekstra eller særligt personel, etablering af særlige mødefora med leverandører, anvendelse af beredskabsplaner eller egentlig aktivering af krisestyringsplan.
6. Teleudbyder: Den, der med et kommercielt formål stiller produkter af offentlige elektroniske kommunikationsnet og offentligt tilgængelige elektroniske kommunikationstjenester til rådighed for andre.
7. Vigtig teleudbyder: en teleudbyder, der udgør en vigtig teleudbyder efter lov om sikkerhed og beredskab i telesektoren.
8. Væsentlig teleudbydere: en teleudbyder, der udgør en væsentlig teleudbyder efter lov om sikkerhed og beredskab i telesektoren.

§ 2. Styrelsen for Samfundssikkerhed kan påbyde væsentlige og vigtige teleudbydere skriftligt at afgive oplysninger om væsentlige dele af teleudbyderens net- og informationssystemer eller varetagelsen af driften heraf til styrelsen inden for den af styrelsen fastsatte tidsfrist. Stk. 2. Påbud efter stk. 1 kan omfatte afgivelse af oplysninger om hardware, firmware og softwares fabrikat, konfiguration, typebetegnelse, serienummer, antal og tilsvarende, oplysninger om netarkitektur og -design, eventuelle leverandører, herunder driftsleverandører, samt den geografiske placering af udbydernes og relevante leverandørers hardware og drifts- og supportcentre. Stk. 3. Styrelsen for Samfundssikkerhed kan stille krav om, at oplysningerne efter stk. 1 afgives elektronisk.

§ 3. Væsentlige teleudbydere skal skriftligt underrette Styrelsen for Samfundssikkerhed forud for, at der indgås forhandlinger om aftaler om

1. anskaffelser, der omfatter eller påvirker kritiske netkomponenter, systemer og værktøjer, og
2. varetagelse af driften af teleudbyderens kritiske netkomponenter, systemer og værktøjer. Stk. 2. Væsentlige teleudbydere skal skriftligt underrette Styrelsen for Samfundssikkerhed forud for, at der indledes forhandlinger om tillæg til eksisterende aftaler, som vedrører eller på grund af tillægget vil komme til at vedrøre kritiske netkomponenter, systemer og værktøjer, herunder varetagelse af driften heraf.

§ 5. Styrelsen for Samfundssikkerhed kan påbyde væsentlige teleudbydere at fremsende det endelige udkast til en aftale, der er omfattet af § 3 til Styrelsen for Samfundssikkerhed forud for indgåelse af den endelige aftale. Stk. 2. En endelig aftale kan først indgås, når den væsentlige teleudbyder har modtaget en tilbagemelding fra Styrelsen for Samfundssikkerhed. Styrelsen for Samfundssikkerhed skal give tilbagemeldingen efter stk. 1 snarest muligt og senest 25 arbejdsdage efter, at Styrelsen for Samfundssikkerhed har modtaget aftaleudkastet. Stk. 3. Såfremt indholdet af et aftaleudkast, som en væsentlig teleudbyder har fremsendt til Styrelsen for Samfundssikkerhed på baggrund af et påbud efter stk. 1, efterfølgende ændres, skal det ændrede aftaleudkast fremsendes til Styrelsen for Samfundssikkerhed. For sådanne tilfælde finder stk. 2 tilsvarende anvendelse, medmindre ændringerne i aftaleudkastet udelukkende er foretaget på baggrund af Styrelsen for Samfundssikkerheds tilbagemelding efter stk. 2.

§ 7. Ved væsentlige ændringer i en væsentlig teleudbyders virksomhed, herunder ved opkøb, fusioner eller frasalg, der påvirker dennes kritiske netkomponenter, systemer eller værktøjer, skal teleudbyderen underrette Styrelsen for Samfundssikkerhed herom. Underretningen skal være Styrelsen for Samfundssikkerhed i hænde senest 15 arbejdsdage efter den væsentlige teleudbyder er blevet bekendt med en sådan ændring. Stk. 2. Underretningen efter stk. 1 skal indeholde en foreløbig risikoanalyse af ændringernes indvirkning på kritiske netkomponenter, systemer og værktøjer samt udbud af net og tjenester.

§ 8. Teleudbydere skal underrette Styrelsen for Samfundssikkerhed ved væsentlige hændelser, der har haft væsentlig indvirkning på driften af teleudbyderens net eller tjenester i form af følgende:

1. Skade på tilgængeligheden af teleudbyderens net og tjenester, lagrede, overførte eller behandlede data eller de dermed forbundne tjenester, der tilbydes af eller er tilgængelige via disse net eller tjenester, jf. § 9.
2. En begivenhed, der har haft faktisk negativ indvirkning på teleudbyderens net og tjenesters evne til at modstå handlinger, der er til skade for fortroligheden, integriteten eller autenticiteten af disse net og tjenester, lagrede, overførte eller behandlede data eller de dermed forbundne tjenester, der tilbydes af eller er tilgængelige via disse net eller tjenester, jf. § 10. Stk. 2. Underretninger efter stk. 1 skal ske via den af Styrelsen for Samfundssikkerhed anviste selvbetjeningsløsning, som er tilgængelig via virk.dk. Stk. 3. Kan en teleudbyder ikke tilgå den anviste selvbetjeningsløsning efter stk. 2, herunder i tilfælde, hvor den anviste selvbetjeningsløsning er ude af drift eller en enhed er ramt af en hændelse, der medfører, at den anviste selvbetjeningsløsning ikke kan tilgås, kan skriftlig kommunikation efter stk. 1 indgives gennem den af Styrelsen for Samfundssikkerhed angivne alternative kommunikationsløsning. Stk. 4. I forbindelse med underretninger efter stk. 1 skal teleudbydere afgive alle de oplysninger, der fremgår af den anviste løsning efter stk. 2 eller 3.

§ 9. Væsentlig indvirkning på driften af net eller tjenester i form af skade på tilgængeligheden efter § 8, stk. 1, nr. 1 foreligger, når berørte brugertimer overstiger én af følgende grænseværdier, jf. dog stk. 5:

1. 100.000 brugertimer for taletjenester.
2. 100.000 brugertimer for datatjenester.
3. 100.000 brugertimer for tv- og radiotransmission af landsdækkende public service-tv og -radio.
4. 10.000 brugertimer for øvrige tjenester, som ikke er omfattet af nr. 1-3. Stk. 2. Ved berørte brugertimer efter stk. 1 forstås varigheden i timer af den pågældende sikkerhedshændelse multipliceret med antallet af slutbrugere, der potentielt har været berørt af hændelsen. Stk. 3. Kan varigheden af hændelsen ikke opgøres efter stk. 1, betragtes indvirkningen som væsentlig for driften af net eller tjenester, når antallet af berørte slutbrugere overstiger én af følgende grænseværdier:
5. 100.000 slutbrugere for taletjenester.
6. 100.000 slutbrugere for datatjenester.
7. 100.000 slutbrugere tv- og radiotransmission af landsdækkende public service-tv og -radio.
8. 10.000 slutbrugere for øvrige tjenester, som ikke er omfattet af nr. 1-3. Stk. 4. Kan antallet af berørte slutbrugere ikke opgøres med sikkerhed, skal udbyderne anlægge et kvalificeret skøn ved opgørelsen heraf. Stk. 5. Indvirkningen på driften af net eller tjenester betragtes endvidere som væsentlig når:
9. Indvirkningen har berørt mere end 200 slutbrugere hos forsvar, politi eller beredskabsaktører.
10. Indvirkningen har berørt net og tjenester til brug for beredskabssituationer eller ekstraordinære situationer på regionalt eller nationalt niveau.
11. Indvirkningen har medført, at trafik via net og tjenester til et eller flere andre lande end Danmark ikke har været påvirket eller afbrudt.
12. Indvirkningen har berørt mere end 50 pct. af kapaciteten hos en teleudbyder på en ikke-brofast ø med mere end 1.500 personer.

§ 12. Væsentlige teleudbydere skal straks underrette Styrelsen for Samfundssikkerhed telefonisk ved enhver aktivering og efterfølgende de-aktivering af teleudbyderens interne beredskab som følge af en væsentlig hændelse, eller i tilfælde af en beredskabssituation eller anden ekstraordinær situation, som påvirker teleudbyderens net og tjenester. Stk. 2. Underretning efter stk. 1 skal ske telefonisk og efterfølgende elektronisk. Den telefoniske underretning skal ske straks efter, at teleudbyderen bliver bekendt med hændelsen, der udløser underretningspligten. Stk. 3. Underretninger efter stk. 1 og 2 erstatter ikke underretning efter § 8, stk. 2, i lov om sikkerhed og beredskab i telesektoren.

§ 13. Når en væsentlig teleudbyder har aktiveret sit interne beredskab, skal teleudbyderen løbende afgive situationsrapporter til Styrelsen for Samfundssikkerhed. Situationsrapporterne skal fremsendes mindst hver anden time, medmindre andet er aftalt med Styrelsen for Samfundssikkerhed. Dog skal væsentlige ændringer i situationen, straks rapporteres til Styrelsen for Samfundssikkerhed telefonisk eller via anden aftalt kommunikationsforbindelse. Stk. 2. Situationsrapporterne efter stk. 1 skal så vidt det er teknisk muligt afgives elektronisk, og skal som minimum indeholde følgende oplysninger:

1. Virksomhedens operative kontaktoplysninger i forbindelse med den aktuelle situation.
2. Tidsrummet, som situationsrapporten vedrører.
3. Beskrivelse af, hvad der er sket i forhold til hændelsen og ændringer siden udbyderens seneste rapportering, herunder: a) Oplysninger om andre berørte teleudbydere. b) Identificerede risici eller konsekvenser for udbuddet af de berørte net og tjenester samt antallet af berørte slutbrugere. c) Berørte geografiske områder. d) Forventet tidspunkt eller tidsrum for reetablering af de påvirkede net og tjenester.
4. Beskrivelse af, hvilke foranstaltninger teleudbyderen har iværksat siden den seneste situationsrapport.
5. Beskrivelse af, hvilke foranstaltninger teleudbyderen fremadrettet planlægger at iværksætte eller anbefaler berørte teleudbydere eller slutbrugere at iværksætte med henblik på at forhindre eller afhjælpe lignende hændelser.
6. Tidspunkt for næste statusrapport.