Artikel 29 handler om frivillig deling af cybersikkerhedsoplysninger. Virksomheder og myndigheder kan dele oplysninger om trusler, angreb og sårbarheder med hinanden. Det sker i betroede fællesskaber og er altid frivilligt.
Oplysningerne skal bruges til at forebygge, opdage eller håndtere cyberangreb. De kan også bruges til at styrke den fælles forståelse af trusselsbilledet.
Nationale myndigheder fastsætter reglerne for, hvordan virksomheder kan deltage. ENISA hjælper med at oprette ordninger og udgiver vejledninger om god praksis.
Medlemsstaterne underretter Kommissionen om, hvilke ordninger der er oprettet. Virksomheder kan også melde sig til ENISA, som offentliggør en liste over aktive ordninger.
Eksempler
En dansk energivirksomhed deler oplysninger om et phishing-angreb med andre energiselskaber via en sektorspecifik ordning. De andre selskaber opdaterer straks deres filtre og undgår dermed samme angreb.
En it-leverandør opdager en ny sårbarhed i sin software. Via en tværsektoriel ordning deler de tekniske detaljer med myndigheder og partnere, inden de offentliggør en opdatering.
Relevante præambler:
Ofte stillede spørgsmål
Hvad er en cybersikkerhedsordning for oplysningsudveksling under NIS2?
En ordning for udveksling af cybersikkerhedsoplysninger er en frivillig aftale. Den giver virksomheder og myndigheder mulighed for at dele oplysninger om trusler, sårbarheder og angreb. Formålet er at stoppe cyberangreb hurtigere og styrke den fælles cybersikkerhed.
Er det obligatorisk at deltage i en ordning for oplysningsudveksling?
Nej. Deltagelse er frivillig. NIS2 opfordrer til det, men kræver det ikke. Ordninger kan dække en sektor eller gå på tværs af sektorer. Både ENISA og nationale myndigheder kan hjælpe med at oprette dem.
Hvilke oplysninger kan deles?
Man kan dele oplysninger om trusler, nærvedhændelser, sårbarheder, angrebsmetoder og kompromitteringsindikatorer. Man kan også dele anbefalinger om konfiguration af sikkerhedsværktøjer. Oplysningerne kan deles anonymt, hvis man vil beskytte sin identitet.
Hvilke beskyttelsesmekanismer gælder for delte oplysninger?
Delte oplysninger kan beskyttes med fortrolighed. Man kan bruge Traffic Light Protocol (TLP) til at mærke oplysningerne og styre, hvem der må se dem. Fortrolige oplysninger må ikke videregives til tredjepart uden tilladelse fra den, der delte dem.
Den originale tekst fra direktivet
Stk. 1.
Medlemsstaterne sikrer, at enheder, der er omfattet af dette direktivs anvendelsesområde, og, hvor det er relevant, andre enheder, der ikke er omfattet af dette direktivs anvendelsesområde, på frivillig basis er i stand til at udveksle relevante cybersikkerhedsoplysninger indbyrdes, herunder oplysninger om cybertrusler, nærvedhændelser, sårbarheder, teknikker og procedurer, kompromitteringsindikatorer, fjendtlige taktikker, specifikke oplysninger vedrørende trusselsaktører, cybersikkerhedsadvarsler og anbefalinger vedrørende konfiguration af cybersikkerhedsværktøjer til opdagelse af cyberangreb, hvor sådan udveksling af oplysninger:
- har til formål at forebygge, opdage, reagere på eller reetablere sig efter hændelser eller afbøde deres virkninger
- øger cybersikkerhedsniveauet, navnlig ved at øge bevidstheden om cybertrusler, begrænse eller hindre sådanne truslers evne til at sprede sig, støtte en række forsvarskapaciteter, afhjælpe og offentliggøre sårbarheder, teknikker til opdagelse, begrænsning og forebyggelse af trusler, afbødningsstrategier eller indsats- og genopretningsfaser eller fremme samarbejde mellem offentlige og private enheder om forskning i trusler.
Stk. 2.
Medlemsstaterne sikrer, at udvekslingen af oplysninger finder sted inden for fællesskaber af væsentlige og vigtige enheder og, hvor det er relevant, deres leverandører eller tjenesteudbydere. En sådan udveksling skal gennemføres ved hjælp af ordninger for udveksling af cybersikkerhedsoplysninger for så vidt angår den potentielt følsomme karakter af de udvekslede oplysninger.
Stk. 3.
Medlemsstaterne fremmer etableringen af ordninger for udveksling af cybersikkerhedsoplysninger, der er omhandlet i denne artikels stk. 2. Sådanne ordninger kan specificere operationelle elementer, herunder brugen af særlige IKT-platforme og automatiseringsværktøjer, i, indholdet af og betingelserne for ordningerne for udveksling af oplysninger. Ved fastlæggelsen af de nærmere bestemmelser om inddragelse af offentlige myndigheder i sådanne ordninger kan medlemsstaterne indføre betingelser for de oplysninger, som de kompetente myndigheder eller CSIRT’erne stiller til rådighed. Medlemsstaterne yder bistand til anvendelsen af sådanne ordninger i overensstemmelse med deres politikker, der er omhandlet i artikel 7, stk. 2, litra h).
Stk. 4.
Medlemsstaterne sikrer, at væsentlige og vigtige enheder underretter de kompetente myndigheder om deres deltagelse i de i stk. 2 omhandlede ordninger for udveksling af cybersikkerhedsoplysninger, når de indtræder i sådanne ordninger, eller, i givet faldt, om deres udtræden af sådanne ordninger, når denne udtræden træder i kraft.
Stk. 5.
ENISA yder bistand til oprettelsen af ordninger for udveksling af cybersikkerhedsoplysninger, der er omhandlet i stk. 2, ved at udveksle bedste praksis og give vejledning.