§ 7 – Fysisk sikring

Kort fortalt

Virksomhederne skal træffe passende foranstaltninger for at holde nødvendig fysisk sikring af de lokationer og anlæg, der bruges til at levere tjenesterne, og af steder, hvorfra net- og informationssystemer drives (stk. 1). Ministeren fastsætter nærmere regler om fysisk sikring. Reglerne skal bl.a. handle om at forebygge hændelser under hensyn til katastroferisikoreduktion og klimatilpasning, overvågning og reaktion ved uautoriseret adgang, tilstrækkelig sikring af anlæg og kontrolrum, håndtering af og genopretning efter hændelser samt medarbejdersikkerhedsstyring (stk. 2).

Det betyder i praksis

Kravet gælder fysiske steder og ikke kun it. Medtag også de lokaler, hvorfra systemerne styres, når I vurderer jeres sikring. De nærmere krav ligger i ministerens regler.

Eksempel

Et tænkt gasselskab gennemgår adgangen til et kontrolrum, hvorfra anlæg fjernstyres, og indfører adgangskontrol samt alarm ved uautoriseret adgang.

Ofte stillede spørgsmål

Er adgangskontrol til kontrolrum et lovkrav?

Stk. 1 kræver passende, nødvendig fysisk sikring. Kontrolrum og deres arbejdsstationer nævnes som et emne i stk. 2, nr. 3, for ministerens regler. Hvad der konkret kræves af adgangskontrol, står derfor i reglerne og ikke i loven.

Hvordan hænger fysisk sikring sammen med baggrundskontrol af medarbejdere?

Medarbejdersikkerhedsstyring er et af emnerne i stk. 2, nr. 5. Baggrundskontrol og sikkerhedsgodkendelse har deres eget kapitel, hvor § 16 giver ministeren mulighed for at fastsætte regler.

Relaterede bestemmelser

• § 6 – Beredskabsplanlægning og organisatoriske foranstaltninger
• § 8 – Cybersikkerhedsforanstaltninger
• § 16 – Baggrundskontrol og sikkerhedsgodkendelse
• CER-direktivet: Artikel 13 – Kritiske enheders modstandsdygtighedsforanstaltninger

Samme emne i andre regler

Sikkerhedsforanstaltninger og risikostyring

• GDPR artikel 32 – Behandlingssikkerhed – Kræver passende tekniske og organisatoriske foranstaltninger, der står mål med risikoen for de personer, hvis oplysninger behandles.
• NIS2-direktivet artikel 21 – Foranstaltninger til styring af cybersikkerhedsrisici – Fastsætter minimumsforanstaltningerne til styring af cybersikkerhedsrisici for væsentlige og vigtige enheder.
• NIS 2-loven § 6 – Krav til cybersikkerhedsforanstaltninger – Den danske gennemførelse af kravet om passende og forholdsmæssige cybersikkerhedsforanstaltninger.
• Lov om sikkerhed og beredskab i telesektoren § 5 – Krav til sikkerhedsforanstaltninger – Det tilsvarende krav til væsentlige og vigtige teleudbydere.
• Lov om styrket beredskab i energisektoren § 8 – Cybersikkerhedsforanstaltninger – Energivirksomheders pligt til at planlægge og gennemføre passende cybersikkerhedsforanstaltninger.
• DORA artikel 6 – Ramme for IKT-risikostyring – Finansielle enheder skal have en dokumenteret ramme for styring af IKT-risici.
• CER artikel 13 – Kritiske enheders modstandsdygtighedsforanstaltninger – Kritiske enheder skal træffe tekniske, sikkerhedsmæssige og organisatoriske foranstaltninger, også til fysisk beskyttelse og genopretning.
• AI Act artikel 15 – Nøjagtighed, robusthed og cybersikkerhed – Højrisiko-AI-systemer skal være nøjagtige, robuste og cybersikre.

Den officielle ordlyd

§ 7. Virksomheder omfattet af denne lov skal træffe passende foranstaltninger for at opretholde nødvendig fysisk sikring af lokationer og anlæg, der bruges til at levere virksomhedens tjenester, eller hvorfra drift af net- og informationssystemer finder sted.

Stk. 2. Klima-, energi- og forsyningsministeren fastsætter nærmere regler om fysisk sikring efter stk. 1, herunder om følgende:

1. Forhindring af, at hændelser indtræffer, under behørig hensyntagen til katastroferisikoreduktions- og klimatilpasningsforanstaltninger.

2. Etablering af foranstaltninger til overvågning, detektion og reaktion i forbindelse med uautoriseret adgang til og på anlæg og lokationer.

3. Tilstrækkelig fysisk sikring af virksomhedens anlæg og lokationer, herunder kontrolrum og kontrolrummets arbejdsstationer.

4. Håndtering af hændelser og genopretning efter hændelser.

5. Medarbejdersikkerhedsstyring.

Den officielle tekst følger LOV nr. 258 af 6. marts 2025.

→ Fuld officiel tekst på Retsinformation

Se kapitlet 3 – Virksomheders modstandsdygtighed og beredskab