§ 8 – Cybersikkerhedsforanstaltninger

Kort fortalt

Virksomhederne skal planlægge og træffe passende cybersikkerhedsforanstaltninger for at beskytte de net- og informationssystemer, der bruges til at levere deres tjenester (stk. 1). Det er lovens grundkrav om cybersikkerhed. Ministeren fastsætter nærmere regler efter forhandling med ministeren for samfundssikkerhed og beredskab, bl.a. om beskyttelse af enheder med adgang til netværket, netværkssikkerhed, geografisk placering af driften, backup, logning, løbende kontrol, sikker kommunikation, kryptering, multifaktorlogin og forebyggelse og håndtering af hændelser (stk. 2).

Det betyder i praksis

I skal kunne vise, at jeres it- og driftssystemer er beskyttet i forhold til de tjenester, I leverer. Brug emnerne i stk. 2 som pejlemærker, men husk, at de egentlige krav står i ministerens regler.

Eksempel

Et tænkt elnetselskab indfører multifaktorlogin til fjernadgang til sine driftssystemer, tager backup af dem og logger adgangen, så mistænkelig aktivitet kan opdages.

Ofte stillede spørgsmål

Er multifaktorlogin et lovkrav i energiloven?

Loven kræver det ikke selv. Stk. 2, nr. 10 nævner multifaktorautentificering eller kontinuerlig autentificering som emne for ministerens regler.

Er der krav om en bestemt standard eller certificering?

Loven nævner ingen bestemt standard. § 9 giver ministeren mulighed for at kræve, at visse it-produkter, -tjenester og -processer er certificeret efter en europæisk ordning, men det er en særskilt bemyndigelse.

Gælder § 8 også for styresystemer på anlæg?

Begrebet net- og informationssystem i § 3, nr. 21, er bredt: det omfatter kommunikationsnet, enhver anordning eller gruppe af forbundne anordninger, der automatisk behandler digitale data, og selve dataene. Om et bestemt driftssystem falder ind under det, må vurderes konkret.

Relaterede bestemmelser

• § 9 – Certificerede ikt-produkter
• § 3 – Definitioner
• NIS2-direktivet: Artikel 21 – Foranstaltninger til styring af cybersikkerhedsrisici
• NIS 2-loven § 6 – Krav til cybersikkerhedsforanstaltninger

Samme emne i andre regler

Sikkerhedsforanstaltninger og risikostyring

• GDPR artikel 32 – Behandlingssikkerhed – Kræver passende tekniske og organisatoriske foranstaltninger, der står mål med risikoen for de personer, hvis oplysninger behandles.
• NIS2-direktivet artikel 21 – Foranstaltninger til styring af cybersikkerhedsrisici – Fastsætter minimumsforanstaltningerne til styring af cybersikkerhedsrisici for væsentlige og vigtige enheder.
• NIS 2-loven § 6 – Krav til cybersikkerhedsforanstaltninger – Den danske gennemførelse af kravet om passende og forholdsmæssige cybersikkerhedsforanstaltninger.
• Lov om sikkerhed og beredskab i telesektoren § 5 – Krav til sikkerhedsforanstaltninger – Det tilsvarende krav til væsentlige og vigtige teleudbydere.
• Lov om styrket beredskab i energisektoren § 7 – Fysisk sikring – Energivirksomheders pligt til fysisk sikring af lokationer og anlæg.
• DORA artikel 6 – Ramme for IKT-risikostyring – Finansielle enheder skal have en dokumenteret ramme for styring af IKT-risici.
• CER artikel 13 – Kritiske enheders modstandsdygtighedsforanstaltninger – Kritiske enheder skal træffe tekniske, sikkerhedsmæssige og organisatoriske foranstaltninger, også til fysisk beskyttelse og genopretning.
• AI Act artikel 15 – Nøjagtighed, robusthed og cybersikkerhed – Højrisiko-AI-systemer skal være nøjagtige, robuste og cybersikre.

Den officielle ordlyd

§ 8. Virksomheder omfattet af denne lov skal foretage nødvendig planlægning og træffe passende cybersikkerhedsforanstaltninger for at sikre beskyttelsen af net- og informationssystemer, der bruges til at levere virksomhedens tjenester.

Stk. 2. Klima-, energi- og forsyningsministeren fastsætter efter forhandling med ministeren for samfundssikkerhed og beredskab nærmere regler for cybersikkerhedsforanstaltninger efter stk. 1, herunder om følgende:

1. Forvaltning af net- og informationssystemer og passende teknisk sikkerhed til beskyttelse af enheder med adgang til virksomhedens netværk.

2. Etablering af netværks- og infrastruktursikkerhed, herunder principper for netværksarkitektur og -topologi med henblik på at minimere risici for virksomhedens net- og informationssystemer.

3. Sikkerhedskrav til geografisk placering af drift af net- og informationssystemer.

4. Sikkerhed i forbindelse med erhvervelse, udvikling og vedligeholdelse af net- og informationssystemer.

5. Backupstyring og genopretning af net- og informationssystemer til sikring af driftskontinuitet for leveringen af tjenesten.

6. Etablering af logning til at understøtte alarmer, efterforskningsarbejde, hændelseshåndtering og monitorering af uregelmæssigheder i net- og informationssystemer.

7. Etablering af procedurer for løbende kontrol af cybersikkerheden i og omkring net- og informationssystemer.

8. Brug af sikret tale-, video- og tekstkommunikation og sikrede nødkommunikationssystemer.

9. Brug af kryptering og politikker og procedurer, der skal understøtte sikkerheden og fortroligheden af net- og informationssystemer, der er kritiske for leveringen af virksomhedens tjenester.

10. Brug af multifaktorautentificering eller kontinuerlig autentificering og adgangsbeskyttelse til sikring mod uautoriseret adgang til virksomhedernes net- og informationssystemer.

11. Foranstaltninger til forebyggelse og håndtering af hændelser.

Den officielle tekst følger LOV nr. 258 af 6. marts 2025.

→ Fuld officiel tekst på Retsinformation

Se kapitlet 3 – Virksomheders modstandsdygtighed og beredskab