Artikel 30 giver virksomheder mulighed for at indberette hændelser og trusler på frivillig basis. Det gælder både virksomheder, der er omfattet af NIS2, og dem der ikke er.
Indberetningen sker til CSIRT eller den kompetente myndighed. Myndighederne behandler frivillige indberetninger efter samme procedure som de obligatoriske i artikel 23.
Myndighederne kan prioritere de obligatoriske indberetninger. En frivillig indberetning giver ikke virksomheden ekstra forpligtelser. Den straffes altså ikke for at rapportere frivilligt.
Eksempler
En lille webshop opdager et forsøg på et databrud. Webshopen er ikke stor nok til at falde under NIS2, men vælger alligevel at indberette hændelsen frivilligt til CSIRT. Myndigheden bruger oplysningerne til at advare andre virksomheder.
En mellemstor softwarevirksomhed observerer en nærvedhændelse og rapporterer den frivilligt. Fordi indberetningen er frivillig, pålægger myndighederne ikke virksomheden nye krav som følge af rapporten.
Ofte stillede spørgsmål
Hvad er frivillig rapportering under NIS2, og hvem kan rapportere?
Frivillig rapportering giver virksomheder mulighed for at indberette hændelser, trusler og nærvedhændelser til CSIRT eller den kompetente myndighed. Det gælder både virksomheder inden for og uden for NIS2. Det supplerer den obligatoriske rapportering i artikel 23.
Hvad sker der med en frivillig rapport, jeg indsender?
Frivillige rapporter behandles efter samme procedure som de obligatoriske i artikel 23. Myndighederne kan prioritere de obligatoriske underretninger. Den frivillige indberetning giver ikke virksomheden ekstra forpligtelser.
Kan min virksomhed risikere at pådrage sig juridiske forpligtelser ved frivillig rapportering?
Nej. NIS2 slår fast, at frivillig rapportering ikke må give virksomheden ekstra forpligtelser. Man pålægges ikke nye krav, fordi man rapporterede. Det princip skal sikre, at virksomheder tør rapportere åbent.
Kan enheder, som ikke er omfattet af NIS2, rapportere frivilligt?
Ja. Artikel 30 giver enheder uden for NIS2 mulighed for at indberette hændelser, trusler og nærvedhændelser frivilligt. Det giver myndighederne et bredere billede af trusselssituationen i landet.
Den originale tekst fra direktivet
Stk. 1.
Medlemsstaterne sikrer, at der, i tilgift til underretningsforpligtelsen i medfør af artikel 23 kan indgives underretninger til CSIRT’er eller i givet fald til de kompetente myndigheder på frivillig basis af:
- væsentlige og vigtige enheder for så vidt angår hændelser, cybertrusler og nærvedhændelser
- enheder, udover dem der omhandlet i litra a), uanset om de er omfattet af dette direktivs anvendelsesområde, for så vidt angår væsentlige hændelser, cybertrusler og nærvedhændelser.
Stk. 2.
Medlemsstaterne behandler de i denne artikels stk. 1 omhandlede underretninger i overensstemmelse med proceduren, der er fastsat i artikel 23. Medlemsstaterne kan prioritere behandling af obligatoriske underretninger frem for frivillige underretninger.
Hvor det er nødvendigt, giver CSIRT’erne og i givet fald de kompetente myndigheder det centrale kontaktpunkt de oplysninger om underretninger, de har modtaget i medfør af denne artikel, samtidig med at de sikrer fortroligheden og passende beskyttelse af de oplysninger, der er afgivet af den underrettende enhed. Uden at det berører forebyggelse, efterforskning, afsløring og retsforfølgning af strafbare handlinger, må frivillig rapportering ikke medføre, at den underrettende enhed pålægges nogen yderligere forpligtelser, som den ikke ville være omfattet af, hvis den ikke havde foretaget underretningen.