Artikel 9 – Kompetente myndigheder og centralt kontaktpunkt

Kort fortalt

Hvert land skal udpege eller oprette en eller flere kompetente myndigheder, der sørger for anvendelsen og om nødvendigt håndhævelsen af reglerne, og et centralt kontaktpunkt til samarbejdet med de andre landes kontaktpunkter og Gruppen for Kritiske Enheders Modstandsdygtighed. For bank og finansiel markedsinfrastruktur skal myndighederne i princippet være dem, der er udpeget efter DORA, og for digital infrastruktur NIS2-myndighederne. Myndighederne skal have beføjelser og tilstrækkelige ressourcer og skal samarbejde med NIS2-myndighederne om cyber- og ikke-cyberrisici. Kontaktpunkterne sender senest den 17. juli 2028 og derefter hvert andet år en sammenfattende rapport om modtagne underretninger.

Det betyder i praksis

Direktivet siger ikke, hvilke myndigheder et land vælger; det fremgår af den nationale gennemførelse. Som kritisk enhed skal I vide, hvem I underretter om hændelser, og hvem der fører tilsyn med jer.

Ofte stillede spørgsmål

Skal et land have én eller flere kompetente myndigheder?

Landet kan udpege en eller flere. Gør det flere, skal opgaverne fordeles klart, og myndighederne skal samarbejde effektivt, bl.a. om det centrale kontaktpunkt. Betragtning 22 begrunder det med forskelle i nationale forvaltningsstrukturer og eksisterende sektorordninger.

Hvad bruges det centrale kontaktpunkt til?

Det er landets forbindelsesled til de andre landes kontaktpunkter og til Gruppen for Kritiske Enheders Modstandsdygtighed. Det kan ligge i en kompetent myndighed, og landet kan lade det varetage kontakten til Kommissionen og samarbejdet med tredjelande. Kontaktpunktet sender desuden en sammenfattende rapport om de underretninger, det har modtaget (stk. 3). Selve hændelsen underretter den kritiske enhed den kompetente myndighed om (artikel 15).

Hvilke andre myndigheder skal den kompetente myndighed tale med?

Når det er hensigtsmæssigt, skal den høre og samarbejde med andre relevante nationale myndigheder, bl.a. myndigheder for civilbeskyttelse, for retshåndhævelse og for databeskyttelse, og desuden med kritiske enheder og relevante interesserede parter.

Relevante betragtninger

• Betragtning 22
• Betragtning 23
• Betragtning 24

Relaterede bestemmelser

• Artikel 15 – Underretning om hændelser
• Artikel 19 – Gruppen for Kritiske Enheders Modstandsdygtighed
• Artikel 21 – Tilsyn og håndhævelse

Den officielle ordlyd

Artikel 9

1. Hver medlemsstat udpeger eller opretter en eller flere kompetente myndigheder, der er ansvarlige for korrekt anvendelse og, hvor det er nødvendigt, håndhævelse af reglerne fastsat i dette direktiv på nationalt plan.

For så vidt angår kritiske enheder i sektorerne i punkt 3 og 4 i tabellen i dette direktivs bilag, skal de kompetente myndigheder i princippet være de kompetente myndigheder, som er omhandlet i artikel 46 i forordning (EU) 2022/2554. For så vidt angår de kritiske enheder i den sektor, der er anført i punkt 8 i tabellen i bilaget til nærværende direktiv, skal de kompetente myndigheder i princippet være de kompetente myndigheder i henhold direktiv (EU) 2022/2555. Medlemsstaterne kan udpege en anden kompetent myndighed for sektorerne i punkt 3, 4 og 8 i tabellen i bilaget til nærværende direktiv i overensstemmelse med eksisterende nationale rammer.

Hvor medlemsstaterne udpeger eller opretter mere end én kompetent myndighed, skal de klart angive hver berørt myndigheds opgaver og sikre, at de samarbejder effektivt om at udføre deres opgaver i henhold til dette direktiv, herunder med hensyn til udpegelsen af et centralt kontaktpunkt og dets aktiviteter, der er omhandlet i stk. 2.

2. Hver medlemsstat udpeger eller opretter et centralt kontaktpunkt til at varetage en forbindelsesfunktion med henblik på at sikre grænseoverskridende samarbejde med de andre medlemsstaters centrale kontaktpunkter og Gruppen for Kritiske Enheders Modstandsdygtighed omhandlet i artikel 19 (»centralt kontaktpunkt«). Hvis det er relevant, udpeger en medlemsstat sit centrale kontaktpunkt inden for en kompetent myndighed. Hvis det er relevant, kan en medlemsstat bestemme, at dens centrale kontaktpunkt også udøver en forbindelsesfunktion med Kommissionen og sikrer samarbejde med tredjelande.

3. Senest den 17. juli 2028 og derefter hvert andet år forelægger de centrale kontaktpunkter en sammenfattende rapport for Kommissionen og for Gruppen for Kritiske Enheders Modstandsdygtighed omhandlet i artikel 19 om de underretninger, de har modtaget, herunder antallet af underretninger, arten af de hændelser, der er underrettet om, og de tiltag, der er taget i overensstemmelse med artikel 15, stk. 3.

Kommissionen udarbejder i samarbejde med Gruppen for Kritiske Enheders Modstandsdygtighed en fælles rapporteringsmodel. De kompetente myndigheder kan anvende denne fælles rapporteringsmodel på frivillig basis med henblik på at forelægge sammenfattende rapporter som omhandlet i første afsnit.

4. Hver medlemsstat sikrer, at dens kompetente myndighed og dets centrale kontaktpunkt har beføjelser og tilstrækkelige finansielle, menneskelige og tekniske ressourcer til på en virkningsfuld og effektiv måde at kunne udføre de opgaver, som de har fået pålagt.

5. Hver medlemsstat sikrer, at dens kompetente myndighed, når det er hensigtsmæssigt og i overensstemmelse med EU-retten og national ret, hører og samarbejder med andre relevante nationale myndigheder, herunder myndigheder med ansvar for civilbeskyttelse, retshåndhævelse og beskyttelse af personoplysninger, samt med kritiske enheder og med relevante interesserede parter.

6. Hver medlemsstat sikrer, at dens kompetente myndighed i henhold til dette direktiv samarbejder og udveksler oplysninger med kompetente myndigheder i henhold til direktiv (EU) 2022/2555 om cybersikkerhedsrisici, cybertrusler og cyberhændelser og ikkecyberrisici, -trusler og -hændelser, som påvirker kritiske enheder, herunder med hensyn til relevante foranstaltninger, der træffes af dens kompetente myndighed og kompetente myndigheder i henhold til direktiv (EU) 2022/2555.

7. Hver medlemsstat underretter Kommissionen om identiteten af den kompetente myndighed og det centrale kontaktpunkt inden for tre måneder efter udpegelsen eller oprettelsen af disse, samt om deres opgaver og ansvarsområder i henhold til dette direktiv, deres kontaktoplysninger og eventuelle efterfølgende ændringer heraf. Medlemsstaterne underretter Kommissionen, hvis de beslutter at udpege andre myndigheder end dem, der er omhandlet i stk. 1, andet afsnit, som de kompetente myndigheder for så vidt angår de kritiske enheder i sektorerne i punkt 3, 4 og 8 i tabellen i bilaget. Hver medlemsstat offentliggør identiteten af den kompetente myndighed og det centrale kontaktpunkt.

8. Kommissionen gør en liste over de centrale kontaktpunkter offentligt tilgængelig.

Den officielle danske tekst følger 2022-12-27 (32022L2557).

→ Fuld officiel tekst på EUR-Lex