Bilag 1

Oversigt over bilag vedrørende L 135

Oversigt over spørgsmål og svar vedrørende L 135

Bilag 2

Fem af udvalgets spørgsmål til transport-, bygnings- og boligministeren og forsvarsministeren og disses svar herpå

Spørgsmålene og svarene er optrykt efter ønske fra S.

Spørgsmål 2:

Ministeren bedes redegøre for, om Center for Cybersikkerhed i Forsvarets Efterretningstjeneste, når det løser opgaver i regi af lovforslaget som nationalt centralt kontaktpunkt og CSIRT, er omfattet eller undtaget af forslaget om en ny databeskyttelseslov (L 68), persondataforordningen, offentlighedsloven og forvaltningsloven. Herunder ønskes oplyst, hvilke konkrete dele af lovene og forordningen, som Center for Cybersikkerhed vil være omfattet af/ikke omfattet af.

Svar:

Der henvises til den samtidige besvarelse af spørgsmål nr. 3 vedrørende L 135.

Spørgsmål 3:

På baggrund af afsnit 3 i de almindelige bemærkninger til lovforslaget bedes ministeren oplyse, om Center for Cybersikkerhed i regi af lovforslaget skal forstås som en forvaltningsmyndighed, jf. forvaltningsloven. Ministeren bedes i forlængelse heraf redegøre for kravene til centerets behandling af personoplysninger. Herunder ønskes oplyst, hvorledes kravene adskiller sig som følge af reglerne i lov om Center for Cybersikkerhed (lov nr. 713 af 25. juni 2014), set i forhold til databeskyttelsesforordningen (forordning 2016/679/EU af 27. april 2016 om beskyttelse af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF) samt forslaget til databeskyttelseslov (L 68), hvis Forsvarets Efterretningstjeneste ikke er omfattet af lovforslaget og forordningen.

Svar:

1. Det følger af § 8 i lov nr. 713 af 25. juni 2014 om Center for Cybersikkerhed, at Center for Cybersikkerheds virksomhed er undtaget fra offentlighedsloven (bortset fra lovens § 13 om notatpligt) og forvaltningslovens kapitel 4-6. Dette gælder også for centerets kommende funktioner som nationalt centralt kontaktpunkt og CSIRT efter NIS-direktivet (Europa-Parlamentets og Rådets direktiv (EU) 2016/1148 af 6. juli 2016 om foranstaltninger, der skal sikre et højt fælles sikkerhedsniveau for net- og informationssystemer i hele Unionen).

Det fremgår dog af bemærkningerne til forslaget til lov om Center for Cybersikkerhed (L 192, fremsat 2. maj 2014), at Center for Cybersikkerhed forudsættes i videst muligt omfang at efterleve principperne i offentlighedsloven og forvaltningslovens kapitel 4-6. Det forudsættes således, at centeret - uanset at dets virksomhed er undtaget fra forvaltningslovens bestemmelser på området - i alle afgørelsessager konkret vurderer, om det er muligt at anvende forvaltningslovens principper om partens aktindsigt, partshøring og begrundelse m.v. Tilsvarende forudsættes det, at anmodninger om aktindsigt i videst muligt omfang behandles efter principperne i offentlighedsloven.

Det bemærkes i den forbindelse, at Center for Cybersikkerheds afgørelser i konkrete sager, f.eks. aktindsigtssager, kan påklages til Forsvarsministeriet.

2. Center for Cybersikkerheds virksomhed, herunder centerets kommende funktioner efter NIS-direktivet, er endvidere undtaget fra persondataloven. Denne retstilstand ventes videreført, når persondataloven med virkning fra 25. maj 2018 erstattes af databeskyttelsesforordningen (Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF) og den foreslåede databeskyttelseslov (L 68, fremsat for Folketinget den 25. oktober 2017).

Størstedelen af de centrale principper i persondataloven gælder dog for centeret, jf. kapitel 6 i lov om Center for Cybersikkerhed. Det følger således bl.a. af loven, at centeret kun må indsamle personoplysninger til udtrykkeligt angivne og saglige formål, og at senere behandling ikke må være uforenelig med disse formål. Endvidere må centeret ikke behandle flere personoplysninger, end hvad der kræves til opfyldelse af formålet med indsamlingen. Der stilles desuden krav om hjemmel til enhver behandling af personoplysninger, ligesom der som udgangspunkt ikke må behandles personoplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning og fagforeningsmæssige tilhørsforhold samt personoplysninger om helbredsmæssige og seksuelle forhold. Centeret skal derudover sikre, at der ikke behandles urigtige eller vildledende personoplysninger. Endelig må centeret ikke opbevare indsamlede personoplysninger på en måde, der giver mulighed for at identificere den pågældende person i et længere tidsrum end nødvendigt, og centeret skal træffe passende sikkerhedsforanstaltninger ved behandlingen af personoplysninger.

Visse centrale krav efter persondataloven gælder dog ikke for Center for Cybersikkerhed. Centeret er således undtaget fra kravet om oplysningspligt overfor den registrerede samt kravet om den registreredes indsigts- og indsigelsesret.

Herudover er det Tilsynet med Efterretningstjenesterne - og ikke Datatilsynet - der fører tilsyn med Center for Cybersikkerheds behandling af personoplysninger. Tilsynet med Efterretningstjenesterne er et uafhængigt kontrolorgan, der efter klage eller af egen drift påser, at Center for Cybersikkerhed overholder reglerne vedrørende behandling af personoplysninger.

3. Endvidere følger det af § 8, stk. 2, i lov om Center for Cybersikkerhed, at forsvarsministeren kan bestemme, at kapitel 8-10 i persondataloven, kapitel 4-6 i forvaltningsloven samt offentlighedsloven helt eller delvist skal finde anvendelse for Center for Cybersikkerheds virksomhed som bl.a. myndighed for informationssikkerhed og beredskab på teleområdet.

Der har indtil videre ikke vist sig behov for at anvende denne bemyndigelse, idet der behandles ganske få personoplysninger i forbindelse med centerets virksomhed på teleområdet.

Med lovforslag L 155 om ændring af lov om Center for Cybersikkerhed, der er fremsat for Folketinget den 28. februar 2018, foreslås det bl.a., at den nævnte bemyndigelse tilpasses til den kommende regulering på databeskyttelsesområdet og NIS-området, således at forsvarsministeren vil kunne bestemme, at databeskyttelsesforordningen og den foreslåede databeskyttelseslov også helt eller delvist skal finde anvendelse for de myndighedsopgaver, som Center for Cybersikkerhed tillægges som led i implementeringen af NIS-direktivet.

4. Blandt de nye krav, som databeskyttelsesforordningen stiller, kan fremhæves krav om udpegelse af en databeskyttelsesrådgiver, at der skal gennemføres konsekvensanalyser, og at nye systemer skal have indbygget databeskyttelse (privacy by design or by default).

For en nærmere gennemgang af forholdet mellem databeskyttelsesforordningen og persondataloven henvises i øvrigt til Justitsministeriets betænkning nr. 1565 om databeskyttelsesforordningen, del I, bind 1.

Spørgsmål 4:

Ministeren bedes redegøre for, hvorledes beskyttelsen af personoplysninger i gennemførelsen af NIS-direktivet (direktiv 2106/1148 af 6. juli 2016 om foranstaltninger, der skal sikre et højt fælles sikkerhedsniveau for net- og informationssystemer i hele Unionen) kan leve op til kravet i direktivets artikel 2 samt artikel 8 i EU's charter for grundlæggende rettigheder.

Svar:

Det følger af artikel 2, stk. 1, i NIS-direktivet (Europa-Parlamentets og Rådets direktiv (EU) 2016/1148 af 6. juli 2016 om foranstaltninger, der skal sikre et højt fælles sikkerhedsniveau for net- og informationssystemer i hele Unionen), at behandlingen af personoplysninger efter direktivet udføres i overensstemmelse med databeskyttelsesdirektivet (Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger).

Databeskyttelsesdirektivet gælder bl.a. ikke for sådan behandling af personoplysninger, der vedrører statens sikkerhed, jf. direktivets artikel 3, stk. 2. På den baggrund gælder den danske persondatalov - der implementerer databeskyttelsesdirektivet i dansk ret - heller ikke for behandlinger af personoplysninger, der udføres for Forsvarets Efterretningstjeneste, herunder Center for Cybersikkerhed.

En række af de centrale bestemmelser i persondataloven er imidlertid indarbejdet i lov nr. 713 af 25. juni 2014 om Center for Cybersikkerhed, der regulerer centerets virksomhed. Endvidere fører Tilsynet med Efterretningstjenesterne, som er et uafhængigt kontrolorgan, tilsyn med Center for Cybersikkerheds behandling af personoplysninger. Tilsynet kan hos Center for Cybersikkerhed kræve enhver oplysning og alt materiale, der er af betydning for tilsynets virksomhed. Man kan som borger klage til tilsynet, hvis man mener, at centeret ulovligt behandler personoplysninger om en. Tilsynet afgiver endvidere hvert år en redegørelse til forsvarsministeren om tilsynets virksomhed i forhold til Center for Cybersikkerhed, og redegørelsen offentliggøres.

Denne retstilstand videreføres som udgangspunkt, når EU's databeskyttelsesdirektiv fra 25. maj 2018 erstattes af den nye databeskyttelsesforordning (Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF) samt den foreslåede danske databeskyttelseslov (L 68, fremsat for Folketinget den 25. oktober 2017).

Det bemærkes dog, at der med lovforslag nr. L 155, der konsekvensændrer lov om Center for Cybersikkerhed som følge af den nye regulering på databeskyttelsesområdet, er lagt op til, at forsvarsministeren får hjemmel til helt eller delvist at sætte databeskyttelsesforordningen og databeskyttelsesloven i kraft for dele af Center for Cybersikkerheds virksomhed, herunder centerets virksomhed i medfør af NIS-direktivet. Dette lovforslag blev fremsat den 28. februar 2018 og er fortsat under behandling i Folketinget.

Spørgsmål 5:

Ministeren bedes kommentere høringssvaret fra Institut for Menneskerettigheder, herunder særligt instituttets bekymring for det principielt problematiske i, at centrale civile samfundsstrukturer i Danmark skal varetages af Forsvarets Efterretningstjeneste med de begrænsninger, det giver i forhold til indsigt i databeskyttelseskrav.

Svar:

1. Institut for Menneskerettigheder fremfører i instituttets høringssvar, at instituttet anser det for principielt problematisk, at implementeringen af NIS-direktivet medfører, at stadig flere oplysninger bliver udvekslet med Center for Cybersikkerhed, der er en del af Forsvarets Efterretningstjeneste, ligesom instituttet finder det problematisk, at centeret er undtaget fra bl.a. persondataloven.

2. NIS-direktivet forpligter medlemsstaterne til at udpege et nationalt centralt kontaktpunkt. Det nationale centrale kontaktpunkt skal udgøre et forbindelsesled, som faciliterer det grænseoverskridende samarbejde med andre medlemsstater, netværket af it-beredskabsenheder (CSIRT'er) og den samarbejdsgruppe, som skal have fokus på det strategiske samarbejde om sikkerhed i net- og informationssystemer mellem medlemsstaterne. Herudover skal det centrale kontaktpunkt én gang om året forelægge en sammenfattende rapport for samarbejdsgruppen vedrørende underretninger om hændelser i henhold til NIS-direktivet.

Center for Cybersikkerhed er i forvejen national it-sikkerhedsmyndighed og står for en forebyggende rådgivnings- og oplysningsvirksomhed om cybersikkerhed i forhold til både den offentlige og private sektor samt en reaktiv indsats ved cyberangreb. Center for Cybersikkerhed varetager en række myndighedsopgaver i den forbindelse, og centeret er således allerede den centrale nationale myndighed vedrørende cybersikkerhed. På den baggrund vil varetagelsen af funktionen som nationalt centralt kontaktpunkt ligge i naturlig forlængelse af centerets øvrige opgaver.

3. NIS-direktivet forpligter herudover medlemsstaterne til at udpege en eller flere nationale CSIRT'er. En CSIRT skal fungere som national beredskabsenhed til håndtering af it-sikkerhedshændelser og vil bl.a. have til opgave at foretage monitorering af hændelser på nationalt plan, udsende tidlige varslinger, advarsler og meddelelser samt formidle information til relevante interessenter om risici og hændelser. CSIRT'en vil endvidere skulle reagere på hændelser og udarbejde dynamiske risiko- og hændelsesanalyser samt situationsrapporter. Endelig vil CSIRT'en skulle deltage i det føromtalte CSIRT-netværk og etablere samarbejde med den private sektor.

Center for Cybersikkerhed besidder allerede i dag mange af de kompetencer, der er nødvendige for at kunne varsle sektorerne samt reagere på hændelser, og centeret vil tillige kunne operere døgnet rundt. CSIRT-funktionen efter NIS-direktivet har således en nær sammenhæng med Center for Cybersikkerheds eksisterende opgaver.

4. Center for Cybersikkerhed og den øvrige del af FE er - selvom de udgør én myndighed - ved lov tillagt forskellige opgaver og virkemidler. Center for Cybersikkerhed er særskilt reguleret i lov nr. 713 af 25. juni 2014 om Center for Cybersikkerhed, hvor der i bemærkningerne er forudsat en vis organisatorisk adskillelse mellem centeret og den efterretningsmæssige del af FE. Det er også forudsat, at centeret har en åben og udadvendt profil, og at centerets virksomhed skal være præget af åbenhed, vejledning og information.

For en nærmere beskrivelse af kravene til Center for Cybersikkerheds behandling af personoplysninger henvises der i øvrigt til den samtidige besvarelse af spørgsmål 3 vedrørende L 135.

Spørgsmål 10:

Ministeren bedes uddybe baggrunden for vurderingen af, at lovforslaget kun vil få mindre økonomiske og administrative konsekvenser for de berørte offentlige og private operatører af væsentlige transporttjenester. Dette da det ikke umiddelbart ses at fremgå af høringssvar eller høringsnotat, hvordan eksempelvis Københavns Lufthavn, DSB, Banedanmark eller Naviair vurderer lovforslagets konsekvenser.

Svar:

Indledningsvist skal jeg bemærke, at de nævnte operatører alle har været hørt over lovforslaget.

Det er min forventning, at der alene vil blive udpeget nogle ganske få private og offentlige aktører, som alle vil være karakteriseret ved at være særdeles store operatører, der alle leverer en unik tjeneste inden for hver deres område, som er afhængige af IT-systemer og som har en transportmæssig kritisk og national betydning for hvert deres område.

Kravet om, at en operatør af væsentlige transporttjenester skal være certificeret i henhold til en internationalt anerkendt standard, skønnes afhængigt af certificeringsparatheden hos den enkelte operatør at udgøre op til 200.000 kr. i direkte engangsomkostninger og 40.000-100.000 kr. i direkte årlige vedligeholdelsesomkostninger til selve certificeringen. Hvis der er tale om en operatør, der ikke er certificeringsparat, og som har brug for at gennemføre tilpasninger af net- og informationssystemer m.m., vil omkostningerne for den enkelte operatør kunne være større, afhængigt af hvor meget der udestår for operatøren for at kunne opnå den efterspurgte certificering.

Lovforslagets certificeringsmodel har sideløbende med udarbejdelsen af lovforslaget været drøftet med Københavns Lufthavn, DSB og Naviair. Disse operatører følger i vidt omfang allerede i dag en internationalt anerkendt standard for sikkerheden i net- og informationssystemer. Det gør de, fordi standarden giver en systematisk og tidssvarende tilgang til at styre de risici, der er ved at være afhængig af net- og informationssystemer. Disse operatører har alle selv en interesse i, at de har en robusthed i forhold til at kunne levere den ydelse, de lever af, og at de kan levere den uden væsentlige forsinkelser og gener.

De nævnte operatører har derfor allerede i dag indrettet deres virksomheder, så de i vidt omfang efterlever de internationale standarder. Det vil derfor ikke være fremmed for disse operatører at lade sig certificere i henhold til en international standard.

I henhold til regeringens nationale strategi for cyber- og informationssikkerhed fra december 2014 har BaneDanmark, som alle statslige myndigheder siden 2016, været forpligtet til at implementere den internationale sikkerhedsstandard ISO27001.

Det vurderes, at de operatører, der vil kunne komme i betragtning til en udpegning efter loven, i et eller andet omfang er certificeringsparate. Operatørerne vil endvidere alle være af en ganske betydelig størrelse. Ud fra en forholdsmæssig betragtning forventer jeg derfor ikke, at de foreslåede regler vil blive oplevet som meget bebyrdende for operatørerne af væsentlige transporttjenester.

Ud over omkostningerne til certificering og vedligeholdelse heraf vil der være begrænsede administrative byrder i forbindelse med den underretning, som operatørerne skal sende til myndighederne. Det forventes, at der vil være et begrænset antal underretninger fra den enkelte operatør på årsbasis. Selve den administrative håndtering af underretningen forventes ikke at overstige 2 timer pr. hændelse.