Alle 144 betragtninger Betragtning 1NIS1-direktivet fra 2016 sigtede på at opbygge cybersikkerhedskapaciteter i EU og beskytte net- og informationssystemer i nøglesektorer.Betragtning 2Evalueringen af NIS1 afslørede iboende mangler trods fremskridt med cyberrobusthed og samarbejde via samarbejdsgruppen og CSIRT-netværket.Betragtning 3Den digitale omstilling øger cybertrusler mod det indre marked. Cybersikkerhed er afgørende for kritiske sektorer og europæisk økonomi og samfund.Betragtning 4Store nationale forskelle i cybersikkerhedskrav under NIS1 skabte fragmentering og retsuklarhed for enheder med grænseoverskridende aktiviteter i EU.Betragtning 5NIS2 erstatter NIS1 for at fjerne forskelle mellem medlemsstaterne og sikre ensartede minimumsregler, samarbejdsmekanismer og håndhævelsesforanstaltninger.Betragtning 6NIS2 udvider sektorernes anvendelsesområde og fjerner den forældede skelnen mellem operatører af væsentlige tjenester og udbydere af digitale tjenester.Betragtning 7NIS2 indfører et størrelsesloft som ensartet kriterium: mellemstore og større virksomheder i de omfattede sektorer er automatisk underlagt direktivet.Betragtning 8Offentlige forvaltningsenheder inden for national sikkerhed, forsvar og retshåndhævelse er undtaget fra NIS2, ligesom diplomatiske missioner i tredjelande.Betragtning 9Medlemsstaterne kan undtage enheder inden for national sikkerhed fra visse NIS2-forpligtelser og må ikke videregive oplysninger, der truer nationale interesser.Betragtning 10Kerneenergiproduktion er omfattet af NIS2, men medlemsstaterne kan varetage nationale sikkerhedsinteresser for aktiviteter i den nukleare værdikæde.Betragtning 11Tillidstjenesteudbydere under eIDAS-forordningen er omfattet af NIS2, men tjenester i lukkede systemer efter national ret eller aftale er undtaget.Betragtning 12Postbefordrende virksomheder og kurertjenester er omfattet af NIS2, hvis de varetager mindst ét led i postbefordringskæden og er afhængige af IT-systemer.Betragtning 13Enheder undtaget fra NIS2 bør alligevel opnå et højt cybersikkerhedsniveau med tilsvarende risikostyringsforanstaltninger grundet stigende sofistikerede trusler.Betragtning 14NIS2 berører ikke GDPR og e-databeskyttelsesdirektivet. Databeskyttelsesmyndighedernes kompetencer for behandling af personoplysninger opretholdes fuldt ud.Betragtning 15NIS2 opdeler enheder i væsentlige og vigtige kategorier efter kritikalitet og størrelse med differentierede tilsyns- og håndhævelsesordninger for hver kategori.Betragtning 16NIS2 betragtning 16: Medlemsstater kan vurdere en enheds uafhængighed af partnervirksomheder og tilknyttede virksomheder ved klassificering som mellemstor virksomhed.Betragtning 17NIS2 betragtning 17: Enheder identificeret som operatører af væsentlige tjenester under NIS1-direktivet kan videreføres som væsentlige enheder under NIS2.Betragtning 18NIS2 betragtning 18: Medlemsstater skal udarbejde lister over væsentlige og vigtige enheder. Enheder skal registrere navn, adresse, IP-intervaller og sektortilhørsforhold.Betragtning 19NIS2 betragtning 19: Medlemsstater skal rapportere til Kommissionen om antal væsentlige og vigtige enheder pr. sektor og opfordres til udveksling af enhedsoplysninger.Betragtning 20NIS2 betragtning 20: Kommissionen skal i samarbejde med samarbejdsgruppen udarbejde retningslinjer for, hvornår mikrovirksomheder og små virksomheder er omfattet af NIS2.Betragtning 21NIS2 betragtning 21: Kommissionen kan vejlede om anvendelsesområde og proportionalitet for enheder med komplekse forretningsmodeller, der kan falde under både væsentlig og vigtig kategori.Betragtning 22NIS2 betragtning 22: NIS2 er referencerammen for cybersikkerhedskrav. Sektorspecifikke EU-retsakter kan supplere direktivet, men må ikke skabe fragmenterede cybersikkerhedsregler.Betragtning 23NIS2 betragtning 23: Sektorspecifikke EU-regler erstatter NIS2-krav, hvis de er mindst lige så strenge. Enheder uden for sektorlovgivningen forbliver fuldt underlagt NIS2.Betragtning 24NIS2 betragtning 24: Hændelsesrapporter under sektorspecifik lovgivning skal straks videregives til CSIRT'er og NIS2-myndigheder for at sikre sammenhængende håndtering på tværs af regler.Betragtning 25NIS2 betragtning 25: Kompetente myndigheder under sektorspecifik EU-lovgivning kan udøve tilsyn og håndhævelse med bistand fra NIS2-myndigheder via samarbejdsordninger.Betragtning 26NIS2 betragtning 26: Enheder bør dele oplysninger om væsentlige cybertrusler med CSIRT'er og NIS2-myndigheder, så myndighederne kan reagere hurtigt, før trusler bliver til hændelser.Betragtning 27NIS2 betragtning 27: Fremtidige sektorspecifikke EU-retsakter skal respektere NIS2-direktivets definitioner samt tilsyns- og håndhævelsesrammer for at sikre konsistens.Betragtning 28NIS2 betragtning 28: DORA-forordningen (EU) 2022/2554 gælder som lex specialis for finansielle enheder, der dermed er undtaget fra NIS2-krav om risikostyring og rapportering.Betragtning 29NIS2 betragtning 29: Luftfartsmyndighederne under forordning (EF) 300/2008 og (EU) 2018/1139 skal samarbejde med NIS2-myndigheder om cybersikkerhedskrav og tilsyn i sektoren.Betragtning 30NIS2 betragtning 30: Kritiske enheder under CER-direktivet (EU) 2022/2557 er automatisk væsentlige enheder under NIS2. Myndighederne skal koordinere om cyber- og fysiske sikkerhedsrisici.Betragtning 31NIS2 betragtning 31: Enheder i sektoren for digital infrastruktur skal dække fysisk sikkerhed i cybersikkerhedsrisikostyring. Forpligtelser i CER-direktivet gælder ikke parallelt.Betragtning 32NIS2 betragtning 32: DNS-tjenesteudbydere og topdomæneadministratorer er omfattet af direktivet for at sikre et pålideligt og modstandsdygtigt domænenavnesystem. Rodnavneservere er undtaget.Betragtning 33NIS2 betragtning 33: Cloudcomputingtjenester defineres med tjenestemodeller som IaaS, PaaS, SaaS og NaaS samt ibrugtagningsmodeller privat, offentlig og hybrid cloud efter ISO/IEC 17788.Betragtning 34NIS2 betragtning 34: Nye cloudmodeller forventes at opstå, herunder edge computing, hvor behandling sker tæt på datakilderne som en meget distribueret form for cloudcomputing.Betragtning 35NIS2 betragtning 35: Datacentertjenester er omfattet af direktivet uanset om de leveres som cloud. Interne datacentre, der drives af enheden selv til egne formål, er undtaget fra definitionen.Betragtning 36NIS2 betragtning 36: Forskningsorganisationer med kommerciel udnyttelse af resultater er omfattet, da de udgør vigtige led i værdikæder og dermed påvirker det indre markeds cybersikkerhed.Betragtning 37NIS2 betragtning 37: Sektorernes indbyrdes afhængighed betyder, at en hændelse i én enhed kan skabe kaskadevirkninger på tværs af energi, transport, sundhed og øvrig kritisk infrastruktur.Betragtning 38NIS2 betragtning 38: Medlemsstaterne kan udpege én eller flere nationale kompetente myndigheder til cybersikkerhedstilsyn, tilpasset nationale forvaltningsstrukturer og eksisterende sektorordninger.Betragtning 39NIS2 betragtning 39: Hver medlemsstat skal udpege et centralt kontaktpunkt til koordinering af net- og informationssikkerhed og grænseoverskridende samarbejde med andre EU-myndigheder.Betragtning 40NIS2 betragtning 40: Centrale kontaktpunkter videresender underretninger om grænseoverskridende hændelser til andre medlemsstater og sikrer tværsektorielt samarbejde på nationalt plan.Betragtning 41NIS2 betragtning 41: Medlemsstaterne skal oprette eller udpege CSIRT'er med tilstrækkelige ressourcer og tekniske kapaciteter til at forebygge, opdage og håndtere cyberhændelser effektivt.Betragtning 42NIS2 betragtning 42: CSIRT'er håndterer følsomme oplysninger ved hændelser og skal have sikker infrastruktur til udveksling og behandling af data samt veluddannet personale til at sikre fortrolighed.Betragtning 43NIS2 betragtning 43: CSIRT'er kan foretage proaktiv scanning af net- og informationssystemer hos væsentlige og vigtige enheder under GDPR-reglerne for at styrke cybersikkerheden.Betragtning 44NIS2 betragtning 44: CSIRT'er kan overvåge internetforbundne aktiver hos væsentlige og vigtige enheder for at kortlægge organisatoriske risici fra forsyningskædetrusler og kritiske sårbarheder.Betragtning 45NIS2 betragtning 45: CSIRT'er og kompetente myndigheder kan udveksle oplysninger med tredjelandes myndigheder om cyberhændelser, forudsat at EU's databeskyttelsesregler for tredjelandsoverførsler overholdes.Betragtning 46NIS2 kræver tilstrækkelige ressourcer til kompetente myndigheder og CSIRT'er. Medlemsstater kan indføre national finansieringsmekanisme til cybersikkerhedsopgaver.Betragtning 47CSIRT-netværket skal styrke tillid og operationelt samarbejde. EU-organer som Europol kan inviteres til at deltage for at løfte det tværeuropæiske cybersikkerhedssamarbejde.Betragtning 48Nationale cybersikkerhedsstrategier under NIS2 skal indeholde sammenhængende rammer med strategiske mål, prioriteter og styringsmekanismer for at opnå et højt sikkerhedsniveau.Betragtning 49Cyberhygiejnepolitikker danner grundlaget for cybersikkerhed. NIS2 fremhæver praksisser som softwareopdateringer, passwordskift, backup og begrænsning af administratoradgang som proaktive tiltag.Betragtning 50Bevidsthed om cyberhygiejne er afgørende i EU, særligt grundet stigende brug af forbundne enheder til cyberangreb. EU-vurderinger kan sikre fælles forståelse af risici i det indre marked.Betragtning 51NIS2 opfordrer til brug af innovativ teknologi, herunder kunstig intelligens, til opdagelse og forebyggelse af cyberangreb samt forskning i automatiserede cybersikkerhedsværktøjer.Betragtning 52Open source-cybersikkerhedsværktøjer fremmer åbenhed, interoperabilitet og leverandørdiversificering. NIS2 anerkender deres bidrag til effektiv industriel innovation og brugerdrevet sårbarhedsopdagelse.Betragtning 53Digitaliserede forsyningsvirksomheder i smarte byer er sårbare over for cyberangreb. NIS2 kræver, at nationale strategier adresserer cybersikkerhed i forbundne by-infrastrukturer som vand og transport.Betragtning 54Ransomwareangreb er steget eksponentielt i EU drevet af kriminelle forretningsmodeller og kryptovaluta. NIS2 kræver, at nationale strategier inkluderer en specifik ransomware-politik.Betragtning 55Offentlig-private partnerskaber (OPP) inden for cybersikkerhed fremmer videndeling og fælles forståelse. NIS2 opfordrer til politikker der definerer styringsmodel, finansiering og interessentroller.Betragtning 56NIS2 kræver, at nationale cybersikkerhedsstrategier adresserer SMV'ers særlige udfordringer som ringe cyberbevidsthed, omkostninger til sikkerhedsløsninger og trusler som ransomware ved fjernarbejde.Betragtning 57Aktiv cyberbeskyttelse indebærer proaktiv forebyggelse, opdagelse og afbødning af angreb. NIS2 understreger, at strategien er defensiv og udelukker offensive foranstaltninger mod angribere.Betragtning 58Koordineret offentliggørelse af sårbarheder giver producenter mulighed for at rette fejl, inden de offentliggøres. NIS2 kræver procedurer for modtagelse af sårbarhedsoplysninger fra tredjeparter.Betragtning 59Kommissionen, ENISA og medlemsstaterne skal fremme tilpasning til internationale standarder for cybersikkerhedsrisikostyring, herunder forsyningskædevurderinger og sårbarhedsoffentliggørelse.Betragtning 60Nationale politikker for koordineret sårbarhedsoffentliggørelse skal håndtere sårbarhedsforskeres potentielle strafansvar. NIS2 opfordrer til retningslinjer for ikke-retsforfølgelse af sikkerhedsforskere.Betragtning 61NIS2 betragtning 61 om CSIRT som koordinator ved sårbarhedsoffentliggørelse: identifikation af berørte enheder, forhandling af tidsfrister og håndtering af sårbarheder.Betragtning 62NIS2 betragtning 62 om ENISAs europæiske sårbarhedsdatabase, hvor enheder og myndigheder frivilligt kan offentliggøre kendte sårbarheder i IKT-produkter og -tjenester.Betragtning 63NIS2 betragtning 63 om behovet for en EU-hostet sårbarhedsdatabase hos ENISA for øget gennemsigtighed og modstandsdygtighed, herunder samarbejde med CVE-systemet.Betragtning 64NIS2 betragtning 64 om Samarbejdsgruppens toårige arbejdsprogram til fremme af strategisk samarbejde og tillid mellem medlemsstaterne på cybersikkerhedsområdet.Betragtning 65NIS2 betragtning 65 om Samarbejdsgruppens vejledningsopgaver: kortlægning af nationale løsninger, harmonisering af NIS2-gennemførelse og forenelighed af cybersikkerhedsløsninger.Betragtning 66NIS2 betragtning 66 om Samarbejdsgruppen som fleksibelt forum med inddragelse af private interessenter og løbende vurdering af cybertrusler som ransomware.Betragtning 67NIS2 betragtning 67 om udvekslingsordninger for embedsmænd fra kompetente myndigheder og CSIRT'er på tværs af medlemsstater for at styrke tillid og operativt samarbejde.Betragtning 68NIS2 betragtning 68 om EU's krisereaktionsramme for cybersikkerhed via EU-CyCLONe, CSIRT-netværket og Samarbejdsgruppen med klar arbejdsdeling og undgåelse af dobbeltarbejde.Betragtning 69NIS2 betragtning 69 definerer en omfattende cybersikkerhedshændelse som en hændelse, der overstiger én medlemsstats kapacitet eller rammer mindst to lande og kan true det indre marked.Betragtning 70NIS2 betragtning 70 om behovet for koordineret EU-reaktion ved omfattende cybersikkerhedshændelser, da afhængighed mellem sektorer og lande kræver fælles indsats og databeskyttelse.Betragtning 71NIS2 betragtning 71 om EU-CyCLONes rolle som formidler mellem teknisk og politisk niveau under cyberkrisehåndtering, herunder konsekvensanalyser i samarbejde med Kommissionen.Betragtning 72NIS2 betragtning 72 om grænseoverskridende cyberangreb mod kritisk infrastruktur og nødvendigheden af koordinering mellem EU-institutioner og -agenturer på teknisk og politisk plan.Betragtning 73NIS2 betragtning 73 om EU's mulighed for at indgå internationale aftaler med tredjelande om deltagelse i Samarbejdsgruppen, CSIRT-netværket og EU-CyCLONe med databeskyttelsesgarantier.Betragtning 74NIS2 betragtning 74 om samarbejde med tredjelande til gennemførelse af direktivet, herunder deling af trusselsinformation, øvelser, uddannelse og strukturerede udvekslingsordninger.Betragtning 75NIS2 betragtning 75 om peerevalueringer af cybersikkerhed på tværs af EU-lande til styrkelse af gensidig tillid, deling af bedste praksis og løft af nationale modenhedsniveauer.Betragtning 76Samarbejdsgruppen skal udvikle en selvevalueringsmetode for medlemsstaterne til måling af cybersikkerhedskapacitet, CSIRT-effektivitet og grænseoverskridende samarbejde.Betragtning 77Ansvaret for cybersikkerhed i net- og informationssystemer påhviler primært de væsentlige og vigtige enheder, som skal fremme en risikovurderingskultur og proportionelle sikkerhedsforanstaltninger.Betragtning 78Cybersikkerhedsforanstaltninger skal dække hele livscyklussen: identificere, forebygge, opdage og reetablere efter hændelser, og inkludere den menneskelige faktor i analysen af netsikkerhed.Betragtning 79NIS2 kræver en altomfattende risikotilgang, der beskytter mod alle farer: brand, oversvømmelse, strømsvigt og uautoriseret fysisk adgang til informationsbehandlingsfaciliteter.Betragtning 80Medlemsstaterne bør fremme brug af europæiske og internationale standarder og kan kræve certificerede IKT-produkter til at påvise overensstemmelse med NIS2-cybersikkerhedskravene.Betragtning 81Cybersikkerhedsforanstaltninger skal stå i rimeligt forhold til risikoen og tage hensyn til teknologisk stade, relevante standarder og implementeringsomkostninger for at undgå uforholdsmæssige byrder.Betragtning 82Risikostyring under NIS2 skal tilpasses enhedens konkrete risikoeksponering, kritiske betydning, størrelse og sandsynlighed for hændelser samt deres samfundsmæssige indvirkning.Betragtning 83NIS2-forpligtelserne gælder uanset om enheden selv vedligeholder sine net- og informationssystemer eller outsourcer driften til eksterne leverandører eller interne IT-teams.Betragtning 84DNS-udbydere, cloudtjenester, onlinemarkedspladser og sociale netværk er grænseoverskridende og kræver høj EU-harmonisering af cybersikkerhedsforanstaltninger via gennemførelsesretsakt.Betragtning 85Forsyningskæderisici er kritiske under NIS2: enheder skal vurdere sikkerheden af tredjepartsprodukter og -tjenester, da cyberangreb ofte udnytter sårbarheder hos leverandører.Betragtning 86Udbydere af administrerede sikkerhedstjenester er selv mål for cyberangreb. Enheder bør udvise forøget omhu ved valg af leverandører til hændelsesrespons, penetrationstest og sikkerhedsaudits.Betragtning 87Kompetente myndigheder kan benytte cybersikkerhedstjenester som sikkerhedsaudits, penetrationstest og hændelsesrespons som led i deres tilsynsopgaver under NIS2-direktivet.Betragtning 88Enheder skal håndtere risici fra samarbejde med akademiske og forskningsmiljøer, herunder industrispionage og beskyttelse af forretningshemmeligheder inden for det bredere økosystem.Betragtning 89NIS2 kræver grundlæggende cyberhygiejne: zero trust, softwareopdateringer, netværkssegmentering, adgangsstyring og medarbejdertræning mod phishing og social engineering-teknikker.Betragtning 90Samarbejdsgruppen skal i samarbejde med Kommissionen og ENISA foretage koordinerede sikkerhedsrisikovurderinger af kritiske forsyningskæder efter model fra 5G-netværksvurderingerne.Betragtning 91Betragtning 91 fastlægger kriterierne for koordinerede sikkerhedsrisikovurderinger af kritiske IKT-forsyningskæder, herunder afhængighed, tilgængelighed og modstandsdygtighed.Betragtning 92Betragtning 92 begrunder, hvorfor udbydere af elektroniske kommunikationsnet og tillidstjenesteudbydere er omfattet af NIS2-direktivets anvendelsesområde og CSIRT-rammer.Betragtning 93Betragtning 93 præciserer, at NIS2's cybersikkerhedskrav supplerer eIDAS-forordningens krav til tillidstjenesteudbydere, som også skal rapportere hændelser efter NIS2.Betragtning 94Betragtning 94 giver medlemsstaterne mulighed for at tildele rollen som kompetent myndighed for tillidstjenester til eksisterende tilsynsorganer under eIDAS-forordningen.Betragtning 95Betragtning 95 opfordrer til at inddrage eksisterende nationale retningslinjer fra EECC-direktivet om sikkerhedsforanstaltninger i NIS2-gennemførelsen for at undgå dobbeltarbejde.Betragtning 96Betragtning 96 begrunder NIS2-sikkerhedskrav for nummeruafhængige kommunikationstjenester som beskedtjenester, der udgør stadig større angrebsvektorer i det digitale landskab.Betragtning 97Betragtning 97 understreger det indre markeds afhængighed af internet og kræver, at udbydere af elektroniske kommunikationsnet indfører cybersikkerhedsforanstaltninger og rapporterer hændelser.Betragtning 98Betragtning 98 fremhæver behovet for end-to-end-kryptering i offentlige elektroniske kommunikationsnet og -tjenester og muligheden for at gøre kryptering obligatorisk for udbydere.Betragtning 99Betragtning 99 fremmer brugen af sikre routingstandarder hos udbydere af internetadgangstjenester for at beskytte integriteten og robustheden i det samlede routingøkosystem.Betragtning 100Betragtning 100 opfordrer til DNS-diversificering og udvikling af en sikker europæisk DNS-oversættelsestjeneste for at styrke internettets funktionalitet og modstandsdygtighed i EU.Betragtning 101NIS2 betragtning 101 beskriver en flertrinstilgang til hændelsesunderretning, der balancerer hurtig varsling med dybdegående rapportering for at styrke cyberrobustheden.Betragtning 102NIS2 betragtning 102 fastsætter konkrete frister: tidlig varsling inden 24 timer, hændelsesunderretning inden 72 timer og endelig rapport senest én måned efter hændelsen.Betragtning 103NIS2 betragtning 103 kræver, at enheder gratis og i letforståeligt sprog underretter tjenestemodtagere om cybertrusler og mulige afbødende foranstaltninger.Betragtning 104NIS2 betragtning 104 pålægger udbydere af offentlige elektroniske kommunikationstjenester at anvende sikkerhed gennem design og informere brugere om cybertrusler.Betragtning 105NIS2 betragtning 105 fremhæver proaktiv underretning om cybertrusler som et nøgleelement i risikostyringen og opfordrer enheder til frivillig rapportering efter artikel 30.Betragtning 106NIS2 betragtning 106 kræver, at medlemsstater stiller tekniske rapporteringsværktøjer til rådighed såsom enkelt indgangspunkt, onlineformularer og skabeloner for at lette indberetning.Betragtning 107NIS2 betragtning 107 opfordrer enheder til at rapportere hændelser med mistanke om alvorlig kriminalitet til retshåndhævende myndigheder i overensstemmelse med EU-retten.Betragtning 108NIS2 betragtning 108 kræver samarbejde mellem NIS2-myndigheder og databeskyttelsesmyndigheder, når hændelser medfører brud på persondatasikkerheden under GDPR og ePrivacy-direktivet.Betragtning 109NIS2 betragtning 109 pålægger topdomænenavneadministratorer og registratorer at vedligeholde nøjagtige WHOIS-databaser for at sikre DNS-sikkerhed og -stabilitet i hele EU.Betragtning 110NIS2 betragtning 110 definerer legitime adgangssøgende til WHOIS-data, herunder NIS2-myndigheder, retshåndhævelse og CSIRT'er, med henblik på at forebygge og bekæmpe DNS-misbrug.Betragtning 111NIS2 kræver, at topdomæneadministratorer og registreringstjenester indsamler og sikrer nøjagtige domænenavnsregistreringsdata i overensstemmelse med GDPR.Betragtning 112Topdomæneadministratorer skal offentliggøre registreringsdata for juridiske personer, herunder navn, telefon og kontaktmailadresse, der ikke indeholder personoplysninger.Betragtning 113NIS2 fastlægger jurisdiktionsregler: enheder henhører under etableringslandet, mens cloud- og platformsudbydere henhører under hovedforretningsstedets medlemsstat.Betragtning 114For grænseoverskridende udbydere som cloud og CDN fastlægges NIS2-jurisdiktion ud fra, hvor cybersikkerhedsbeslutninger overvejende træffes i EU, ikke fysisk placering.Betragtning 115Udbydere af offentlig rekursiv DNS-tjeneste som del af internetadgang henhører under NIS2-jurisdiktion i alle medlemsstater, hvor tjenesterne udbydes.Betragtning 116Ikke-EU-etablerede udbydere af cloud, DNS og sociale medier, der udbyder tjenester i EU, skal udpege en EU-repræsentant, som myndighederne kan kontakte.Betragtning 117ENISA skal oprette og vedligeholde et EU-dækkende register over DNS-udbydere, topdomæneadministratorer, cloud- og platformsenheder baseret på oplysninger fra medlemsstaterne.Betragtning 118Klassificerede oplysninger udvekslet under NIS2 skal behandles efter EU's regler for klassificerede informationer, og ENISA skal have infrastruktur til at håndtere dem.Betragtning 119Udveksling af trussels- og sårbarhedsefterretninger styrker cybersikkerhed, men har været hæmmet af usikkerhed om konkurrence- og ansvarsregler på EU-plan.Betragtning 120NIS2 muliggør frivillige EU-ordninger for udveksling af cybersikkerhedsoplysninger, så enheder kan dele viden om trusler og hændelser under overholdelse af konkurrenceregler.Betragtning 121Behandling af personoplysninger til net- og informationssikkerhed kan være lovlig under GDPR art. 6 som opfyldelse af retlig forpligtelse eller legitim interesse for NIS2-enheder.Betragtning 122NIS2 indfører differentieret tilsyn: væsentlige enheder undergives forudgående og efterfølgende kontrol, mens vigtige enheder kun er underlagt efterfølgende tilsyn.Betragtning 123Kompetente myndigheders tilsyn med væsentlige enheder, herunder kontrol på stedet og sikkerhedsaudits, skal minimere indvirkningen på enhedernes forretningsaktiviteter.Betragtning 124Efterfølgende tilsyn med vigtige enheder kan prioriteres via risikokategorier og tilhørende benchmarks, så myndighederne anvender tilsynsmidlerne forholdsmæssigt.Betragtning 125NIS2 kræver, at tilsynsmyndigheder anvender uddannede fagfolk med kompetencer til kontrol på stedet, herunder identifikation af svagheder i databaser, firewalls og kryptering.Betragtning 126NIS2-direktivet giver kompetente myndigheder mulighed for at træffe hasteafgørelser ved væsentlige cybertrusler for at forebygge eller afværge hændelser.Betragtning 127NIS2 fastlægger kriterier for administrative bøder: overtrædelsens art, grovhed, varighed, forsæt, skade og samarbejde med myndigheder vægtes ved sanktionering.Betragtning 128NIS2 pålægger ikke medlemsstaterne at indføre strafferetligt eller civilretligt personansvar for compliance-ansvarlige over for skadelidte tredjemænd.Betragtning 129For effektiv håndhævelse af NIS2 skal hver kompetent myndighed have beføjelse til selv at pålægge eller anmode om pålæggelse af administrative bøder.Betragtning 130Begrebet virksomhed i forbindelse med NIS2-bøder fortolkes efter TEUF art. 101-102. Medlemsstaterne afgør selv, om offentlige myndigheder kan bødelægges.Betragtning 131Medlemsstaterne kan indføre strafferetlige sanktioner for NIS2-overtrædelser, men kombinationen med administrative sanktioner må ikke krænke ne bis in idem-princippet.Betragtning 132NIS2 kræver, at nationale sanktioner er effektive, proportionale og afskrækkende. Valget mellem strafferetlige og administrative sanktioner bestemmes af national ret.Betragtning 133Ved alvorlige NIS2-overtrædelser kan kompetente myndigheder midlertidigt suspendere certificeringer og forbyde ledere at udøve ledelsesfunktioner som en sidste udvej.Betragtning 134Medlemsstaterne skal samarbejde om tilsyn og håndhævelse, navnlig når enheder leverer tjenester eller har systemer i flere EU-lande end den, de er etableret i.Betragtning 135Modtagermedlemsstaten skal ved anmodning om gensidig NIS2-bistand træffe passende tilsynsforanstaltninger mod enheder, der opererer på dens område, også grænseoverskridende.Betragtning 136NIS2 fastlægger samarbejdsregler mellem de kompetente NIS2-myndigheder og databeskyttelsesmyndighederne, når overtrædelser vedrører brud på persondatasikkerheden.Betragtning 137NIS2 kræver, at ledelsesorganer i væsentlige og vigtige enheder godkender og fører tilsyn med cybersikkerhedsforanstaltninger for at sikre højt ansvarsniveau i organisationen.Betragtning 138Kommissionen delegeres beføjelse til at præcisere, hvilke enheder der skal anvende certificerede IKT-produkter eller indhente attester under europæiske cybersikkerhedsordninger.Betragtning 139Kommissionen får gennemførelsesbeføjelser til at fastlægge procedurer for samarbejdsgruppen og tekniske krav til cybersikkerhedsrisikostyring via udvalgsprocedure efter forordning 182/2011.Betragtning 140Kommissionen skal regelmæssigt evaluere NIS2 og vurdere, om direktivets anvendelsesområde bør udvides, herunder om meget store onlineplatforme kan klassificeres som væsentlige enheder.Betragtning 141NIS2 tildeler ENISA nye opgaver og styrker dets rolle, hvilket nødvendiggør en forhøjelse af ENISA's budget for at sikre tilstrækkelige finansielle og menneskelige ressourcer.Betragtning 142NIS2 er vedtaget i overensstemmelse med nærhedsprincippet og proportionalitetsprincippet, da et fælles EU-cybersikkerhedsniveau ikke kan opnås effektivt af medlemsstaterne alene.Betragtning 143NIS2 skal gennemføres med respekt for grundlæggende rettigheder som privatliv, databeskyttelse, erhvervsfrihed, ejendomsret, adgang til retsmidler og uskyldsformodning.Betragtning 144Den Europæiske Tilsynsførende for Databeskyttelse blev hørt om NIS2-direktivet og afgav sin udtalelse den 11. marts 2021 efter artikel 42, stk. 1, i forordning (EU) 2018/1725.
