Kort fortalt
Hvert land skal senest den 17. januar 2026 vedtage en national strategi for at styrke kritiske enheders modstandsdygtighed, efter en høring, der så vidt muligt er åben for interessenter. Strategien skal som minimum dække de sektorer, bilaget nævner, og indeholde mål, en forvaltningsramme, en beskrivelse af risikovurderingen og af, hvordan kritiske enheder identificeres og støttes, en liste over de vigtigste myndigheder og en ramme for koordinering med NIS2-myndighederne. Den skal ajourføres mindst hvert fjerde år og meddeles Kommissionen inden for tre måneder.
Det betyder i praksis
Artiklen pålægger staten pligter, ikke virksomheden. Strategien viser dog, hvordan landet vil udpege og støtte kritiske enheder, og interesserede virksomheder kan få mulighed for at komme med input i høringen.
Ofte stillede spørgsmål
Skal virksomheder høres, før strategien vedtages?
Landet skal gennemføre en høring, og den skal så vidt det er praktisk muligt kunne nås af relevante interessenter. Direktivet nævner ikke virksomheder ved navn og fastlægger ingen proces for, hvem der skal inddrages. Det samme gælder, når strategien ajourføres.
Tager strategien særligt hensyn til små og mellemstore virksomheder?
Ja, i et enkelt punkt. Strategien skal beskrive de foranstaltninger, landet allerede har indført for at gøre det lettere for små og mellemstore virksomheder, som er udpeget som kritiske enheder, at opfylde kapitel 3. Der er ikke fastsat lempelser i selve direktivet.
Skal strategien offentliggøres?
Det siger artiklen ikke. Landet skal kun meddele strategien og væsentlige ajourføringer til Kommissionen. Betragtning 14 nævner, at strategier om nødvendigt kan være klassificerede oplysninger.
Relevante betragtninger
Relaterede bestemmelser
- Artikel 5 – Medlemsstaternes risikovurdering
- Artikel 6 – Identifikation af kritiske enheder
- Artikel 9 – Kompetente myndigheder og centralt kontaktpunkt
Den officielle ordlyd
Artikel 4
-
Efter en høring, der i det omfang, det er praktisk muligt, er åben for relevante interessenter, vedtager hver medlemsstat senest den 17. januar 2026 en strategi for styrkelse af kritiske enheders modstandsdygtighed (»strategien«). Byggende på relevante eksisterende nationale og sektorspecifikke strategier, planer eller lignende dokumenter skal strategien indeholde strategiske mål og politikforanstaltninger med henblik på at opnå og opretholde en høj grad af modstandsdygtighed i kritiske enheder og mindst omfatte de sektorer, der er anført i bilaget.
-
Hver strategi skal mindst indeholde følgende elementer:
a) | strategiske mål og prioriteter med henblik på at styrke kritiske enheders overordnede modstandsdygtighed under hensyntagen til grænseoverskridende og tværsektoriel afhængighed og indbyrdes afhængighed |
b) | en forvaltningsramme for at nå de strategiske mål og prioriteter, herunder en beskrivelse af roller og ansvarsområder for de forskellige myndigheder, kritiske enheder og andre parter, der er involveret i gennemførelsen af strategien |
c) | en beskrivelse af de foranstaltninger, der er nødvendige for at styrke kritiske enheders overordnede modstandsdygtighed, herunder en beskrivelse af risikovurderingen omhandlet i artikel 5 |
d) | en beskrivelse af den proces, hvorved kritiske enheder identificeres |
e) | en beskrivelse af processen for støtte til kritiske enheder i overensstemmelse med dette kapitel, herunder foranstaltninger til styrkelse af samarbejdet mellem den offentlige sektor på den ene side og den private sektor og offentlige og private enheder på den anden side |
f) | en liste over de vigtigste myndigheder og relevante interessenter, ud over kritiske enheder, der er involveret i gennemførelsen af strategien |
g) | en politikramme for koordinering mellem de kompetente myndigheder i henhold til dette direktiv (»de kompetente myndigheder«) og de kompetente myndigheder i henhold til direktiv (EU) 2022/2555 med henblik på udveksling af oplysninger om cybersikkerhedsrisici, cybertrusler og cyberhændelser og ikkecyberrisici, -trusler og -hændelser samt udøvelse af tilsynsopgaver |
h) | en beskrivelse af allerede indførte foranstaltninger, der har til formål at lette opfyldelsen af forpligtelser i henhold til dette direktivs kapitel III for små og mellemstore virksomheder i den i bilaget til Kommissionens henstilling 2003/361/EF (31) anvendte betydning, som den pågældende medlemsstat har identificeret som kritiske enheder. |
Efter en høring, der i det omfang, det er praktisk muligt, er åben for relevante interessenter, ajourfører medlemsstaterne deres strategier mindst hvert fjerde år.
- Medlemsstaterne meddeler Kommissionen deres strategier og væsentlige ajourføringer heraf inden for tre måneder efter deres vedtagelse.
Den officielle danske tekst følger 2022-12-27 (32022L2557).