§ 5 – Krav til sikkerhedsforanstaltninger

Kort fortalt

Væsentlige og vigtige teleudbydere skal have passende og forholdsmæssige tekniske, organisatoriske og operationelle foranstaltninger mod risici for deres net og informationssystemer. Foranstaltningerne skal som minimum dække ti områder, blandt andet risikoanalyse, håndtering af hændelser, driftskontinuitet, leverandørkæden, kryptografi, adgangskontrol og uddannelse. Opdager en udbyder, at den ikke lever op til kravene, skal den uden unødigt ophold rette op. Ministeren skal fastsætte uddybende regler og kan kræve brug af certificerede it-produkter.

Det betyder i praksis

Brug de ti områder som tjekliste for jeres sikkerhedsarbejde, og dokumentér, hvordan I opfylder hvert af dem. Følg med i ministerens regler, fordi de kan skærpe eller præcisere kravene.

Eksempel

En teleudbyder gennemgår sin leverandørkæde og opdager, at en underleverandør til kerneudstyr aldrig er blevet risikovurderet. Udbyderen skal uden unødigt ophold gøre noget ved det og ikke vente til næste årlige gennemgang.

Ofte stillede spørgsmål

Hvilke sikkerhedsområder skal en teleudbyder som minimum dække?

De ti områder er politikker for risikoanalyse og informationssikkerhed, håndtering af hændelser, driftskontinuitet og krisestyring, forsyningskædesikkerhed, sikkerhed ved erhvervelse og vedligeholdelse af systemer, vurdering af effekten af foranstaltningerne, cyberhygiejne og uddannelse, kryptografi, personalesikkerhed og adgangskontrol samt multifaktorautentificering og sikret kommunikation, hvor det er relevant.

Kan en teleudbyder blive pålagt at bruge certificerede it-produkter?

Ikke direkte efter loven. Stk. 3 giver ministeren mulighed for at fastsætte regler om, at udbydere skal bruge bestemte it-produkter, -tjenester og -processer, der er certificeret efter en europæisk cybersikkerhedscertificeringsordning. Pligten opstår først, hvis ministeren udsteder sådanne regler.

Hvad skal en teleudbyder gøre, hvis den opdager huller i sikkerheden?

Stk. 2 kræver, at udbyderen uden unødigt ophold træffer alle nødvendige, passende og forholdsmæssige korrigerende foranstaltninger. Loven fastsætter ikke en konkret frist, så tidsrummet afhænger af, hvor alvorligt hullet er.

Relaterede bestemmelser

• § 6 – Ledelsens godkendelse og kurser
• § 18 – Påbud om sikkerhedsforanstaltninger
• NIS 2-loven: § 6 – Krav til cybersikkerhedsforanstaltninger
• NIS2-direktivet: Artikel 21 – Foranstaltninger til styring af cybersikkerhedsrisici

Samme emne i andre regler

Sikkerhedsforanstaltninger og risikostyring

• GDPR artikel 32 – Behandlingssikkerhed – Kræver passende tekniske og organisatoriske foranstaltninger, der står mål med risikoen for de personer, hvis oplysninger behandles.
• NIS2-direktivet artikel 21 – Foranstaltninger til styring af cybersikkerhedsrisici – Fastsætter minimumsforanstaltningerne til styring af cybersikkerhedsrisici for væsentlige og vigtige enheder.
• NIS 2-loven § 6 – Krav til cybersikkerhedsforanstaltninger – Den danske gennemførelse af kravet om passende og forholdsmæssige cybersikkerhedsforanstaltninger.
• Lov om styrket beredskab i energisektoren § 8 – Cybersikkerhedsforanstaltninger – Energivirksomheders pligt til at planlægge og gennemføre passende cybersikkerhedsforanstaltninger.
• Lov om styrket beredskab i energisektoren § 7 – Fysisk sikring – Energivirksomheders pligt til fysisk sikring af lokationer og anlæg.
• DORA artikel 6 – Ramme for IKT-risikostyring – Finansielle enheder skal have en dokumenteret ramme for styring af IKT-risici.
• CER artikel 13 – Kritiske enheders modstandsdygtighedsforanstaltninger – Kritiske enheder skal træffe tekniske, sikkerhedsmæssige og organisatoriske foranstaltninger, også til fysisk beskyttelse og genopretning.
• AI Act artikel 15 – Nøjagtighed, robusthed og cybersikkerhed – Højrisiko-AI-systemer skal være nøjagtige, robuste og cybersikre.

Den officielle ordlyd

§ 5. Væsentlige og vigtige teleudbydere skal træffe passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger for at styre risiciene for sikkerheden i net- og informationssystemer, som disse udbydere anvender til deres operationer eller til at levere deres tjenester, og for at forhindre hændelser eller minimere hændelsers indvirkning på modtagere af deres tjenester og på andre tjenester. Foranstaltningerne skal som minimum omfatte følgende:

1. Politikker for risikoanalyse og informationssystemsikkerhed.

2. Håndtering af hændelser.

3. Driftskontinuitet, herunder backupstyring og reetablering efter en katastrofe, og krisestyring.

4. Forsyningskædesikkerhed, herunder sikkerhedsrelaterede aspekter vedrørende forholdene mellem den enkelte teleudbyder og udbyderens direkte leverandører eller tjenesteudbydere.

5. Sikkerhed i forbindelse med erhvervelse, udvikling og vedligeholdelse af net- og informationssystemer, herunder håndtering og offentliggørelse af sårbarheder.

6. Politikker og procedurer til vurdering af effektiviteten af foranstaltninger til styring af sikkerhedsrisici.

7. Grundlæggende cyberhygiejnepraksisser og cybersikkerhedsuddannelse.

8. Politikker og procedurer vedrørende brug af kryptografi og, hvor det er relevant, kryptering.

9. Personalesikkerhed, adgangskontrolpolitikker og forvaltning af aktiver.

10. Brug af løsninger med multifaktorautentificering eller kontinuerlig autentificering, sikret tale-, video- og tekstkommunikation og sikrede nødkommunikationssystemer internt hos udbyderen, hvor det er relevant.

Stk. 2. Væsentlige og vigtige teleudbydere, der ikke overholder et eller flere af de krav, der er nævnt i stk. 1, til foranstaltningerne eller regler om krav til foranstaltninger fastsat i medfør af stk. 3, skal uden unødigt ophold træffe alle nødvendige, passende og forholdsmæssige korrigerende foranstaltninger.

Stk. 3. Ministeren for samfundssikkerhed og beredskab fastsætter regler om krav til foranstaltninger efter stk. 1 og om yderligere foranstaltninger og krav hertil for teleudbydere omfattet af denne lov. Ministeren kan i den forbindelse fastsætte regler om, at væsentlige og vigtige teleudbydere skal anvende særlige ikt-produkter, -tjenester og -processer, som er certificeret i henhold til en europæisk cybersikkerhedscertificeringsordning, for at påvise overensstemmelse med bestemte krav efter stk. 1 eller regler om krav til foranstaltninger fastsat i medfør af 1. pkt.

Den officielle tekst følger LOV nr. 435 af 6. maj 2025.

→ Fuld officiel tekst på Retsinformation

Se kapitlet 2 – Foranstaltninger til styring af sikkerhedsrisici m.v.