Hvert EU-land skal udpege en eller flere myndigheder til at styre større cyberkriser. Myndighederne skal have de ressourcer, der er nødvendige for at løse opgaverne.
Hvert land udpeger et centralt koordineringspunkt på forhånd. Det koordinerer håndteringen af større hændelser og kriser.
Hvert land vedtager en national beredskabsplan. Planen fastlægger mål, procedurer og ansvar for at forebygge, reagere på og genoprette sig efter større cyberhændelser. Den beskriver også, hvordan planen koordineres med EU-CyCLONe.
Inden for tre måneder efter udpegning underretter landet Kommissionen og Samarbejdsgruppen om myndighedernes mål og planens vigtigste elementer.
Eksempler
Danmark opretter en national beredskabsplan, der beskriver, hvem der reagerer ved et større angreb på kritisk infrastruktur. Planen angiver, at Styrelsen for Samfundssikkerhed koordinerer med EU-CyCLONe, og at Politiets Efterretningstjeneste inddrages ved kriminelle handlinger.
Et EU-land opdager et koordineret angreb mod sit energinet. Landet aktiverer sin kriseplan, udpeger et centralt koordineringspunkt og varsler Kommissionen inden for den fastsatte frist.
Relevante præambler:
Ofte stillede spørgsmål
Hvad er en national ramme for cyberkrisestyring?
Det er de myndigheder, planer og procedurer, et EU-land bruger til at håndtere store cyberhændelser. Rammen sikrer, at landet kan reagere koordineret og effektivt, når kritiske tjenester er truet.
Hvem er den nationale CSIRT og hvad laver den?
En CSIRT er et team, der håndterer IT-sikkerhedshændelser. CSIRT’en modtager anmeldelser, yder teknisk bistand og koordinerer med internationale partnere ved grænseoverskridende angreb.
Hvad er en større hændelse under NIS2?
En større hændelse forårsager alvorlige forstyrrelser af tjenester eller store økonomiske tab. Den kan også ramme andre virksomheder eller borgere med betydelige tab. Det er denne type hændelser, kriseplanen skal dække.
Hvad indeholder en national cyberkrisestyringsplan?
Planen fastlægger mål, procedurer og ansvarsfordeling for at håndtere cyberkriser. Den beskriver beredskabsplaner, offentlig-privat samarbejde og koordinering med EU-CyCLONe. Den angiver også, hvordan klassificerede oplysninger beskyttes under en krise.
Den originale tekst fra direktivet
Stk. 1.
Hver medlemsstat udpeger eller opretter en eller flere kompetente myndigheder med ansvar for styring af omfattende cybersikkerhedshændelser og kriser (cyberkrisestyringsmyndigheder). Medlemsstaterne sikrer, at disse myndigheder har tilstrækkelige ressourcer til at udføre de opgaver, de pålægges, på en virkningsfuld og effektiv måde. Medlemsstaterne sikrer sammenhængen med de eksisterende rammer for generel national krisestyring.
Stk. 2.
Hvor en medlemsstat udpeger eller opretter mere end én cyberkrisestyringsmyndighed i henhold til stk. 1, skal den klart angive, hvilken af disse myndigheder der skal fungere som koordinator for styringen af omfattende cybersikkerhedshændelser og kriser.
Stk. 3.
Hver medlemsstat identificerer kapaciteter, aktiver og procedurer, der kan indsættes i tilfælde af en krise inden for rammerne af dette direktiv.
Stk. 4.
Hver medlemsstat vedtager en national beredskabsplan for omfattende cybersikkerhedshændelser og kriser, hvor målene og ordningerne for håndtering af omfattende cybersikkerhedshændelser og kriser er fastsat. Denne plan skal navnlig fastlægge:
- målene for de nationale beredskabsforanstaltninger og -aktiviteter
- cyberkrisestyringsmyndighedernes opgaver og ansvarsområder
- cyberkrisestyringsprocedurerne, herunder deres integration i den generelle nationale krisestyringsramme, og kanalerne for udveksling af oplysninger
- nationale beredskabsforanstaltninger, herunder øvelses- og uddannelsesaktiviteter
- de relevante involverede offentlige og private interessenter og infrastrukturer
- nationale procedurer og ordninger mellem relevante nationale myndigheder og organer for at sikre medlemsstatens effektive deltagelse i og støtte til den koordinerede håndtering af omfattende cybersikkerhedshændelser og kriser på EU-plan.
Stk. 5.
Senest tre måneder efter udpegelsen eller oprettelsen af den i stk. 1 omhandlede cyberkrisestyringsmyndighed underretter hver medlemsstat Kommissionen om sin myndigheds identitet og om eventuelle senere ændringer heraf. Medlemsstaterne forelægger senest tre måneder efter vedtagelsen af deres nationale beredskabsplaner for omfattende cybersikkerhedshændelser og kriser Kommissionen og det europæiske netværk af cybersikkerhedsforbindelsesorganisationer (EU-CyCLONe) relevante oplysninger vedrørende de i stk. 4 indeholdte krav til disse planer. Medlemsstaterne kan udelade oplysninger, hvor og i det omfang en sådan udeladelse er nødvendig for deres nationale sikkerhed.