Få overblik over frister, underretning og Trafikstyrelsens fokus, når din virksomhed rapporterer om væsentlige hændelser efter NIS 2.
Denne side supplerer Styrelsen for Samfundssikkerheds (SAMSIK’s) vejledning om hændelsesunderretning efter NIS 2-loven. Vejledningen gennemgår kravene til:
Siden her har særligt fokus på den afsluttende hændelsesrapport. Som virksomhed bør I også orientere jer i SAMSIK’s vejledning, som besvarer en række krav, der ikke er berørt her.
SAMSIK’s vejledning beskriver, hvilke hændelser du skal underrette om. At din virksomhed underretter om en væsentlig hændelse, er som udgangspunkt ikke i sig selv et tegn på, at I ikke overholder NIS 2-loven. Det viser, at I er i stand til at opdage hændelser og reagere på dem.
Transportvirksomheder er komplekse og digitale organisationer. Trafikstyrelsen ser det som en del af normalbilledet, at en moden virksomhed opdager og håndterer væsentlige hændelser og om nødvendigt inddrager sikkerhedsleverandører. Når du underretter om en væsentlig hændelse, viser det samtidig, at din virksomhed er opmærksom på lovens krav.
SAMSIK’s vejledning beskriver kravene til og terminer for underretning.
Alle underretninger skal indgives på virk.dk ved brug af blanketten ”Indberetning af brud på sikkerhed.” Blanketten indeholder foruddefinerede felter til beskrivelse af hændelsen. Den udfyldte blanket modtages af Trafikstyrelsen samt af det nationale situationscenter (CSIRT). CSIRT placeres på sigt i SAMSIK.
Du skal give relevante tekniske oplysninger om hændelsen. Oplysningerne kan blandt andet bruges af CSIRT til at vurdere, om den samme hændelse rammer flere virksomheder eller kritiske sektorer.
I den endelige rapport skal du beskrive, hvordan din virksomhed har håndteret hændelsen, og hvordan I følger op. De oplysninger bruger Trafikstyrelsen til at vurdere, om virksomheden har håndteret hændelsen på en passende måde.
Den endelige rapport skal derfor beskrive hændelsen, de afbødende foranstaltninger og virksomhedens læring og opfølgning. Beskrivelsen bør være udformet, så den også vil kunne læses af virksomhedens øverste ledelse eller bestyrelse. Det er virksomhedens ledelsesorgan, som har ansvaret for virksomhedens interne tilsyn med foranstaltningernes gennemførelse, jf. lovens § 7.
Din beskrivelse skal vise, hvad virksomheden har gjort, og hvad I har lært af hændelsen. Beskriv derfor blandt andet:
Når Trafikstyrelsen vurderer rapporten, ser vi blandt andet på, hvordan hændelsen hænger sammen med virksomhedens processer og foranstaltninger efter NIS 2-lovens § 6. Det gælder især:
Trafikstyrelsen ser også på, om din virksomhed håndterede hændelsen efter de fastlagte procedurer, og om erfaringerne giver anledning til nye tiltag. Det kan for eksempel være:
Hændelsesrapporterne indgår som et tema i Trafikstyrelsens tilsyn med væsentlige enheder. Her ser vi både på, om virksomheden har underrettet om væsentlige hændelser, og hvordan erfaringer og læring fra hændelserne er blevet omsat i organisationen.
Ved spørgsmål kan Trafikstyrelsen kontaktes på telefon 72218800 eller cyber@trafikstyrelsen.dk.
Nej, ikke som udgangspunkt. Trafikstyrelsen ser det som et tegn på organisatorisk modenhed, når din virksomhed kan opdage, håndtere og underrette om væsentlige hændelser.
Du skal bruge blanketten Indberetning af brud på sikkerhed på Virk. Underretningen består som udgangspunkt af en tidlig varsling, en hændelsesunderretning og en endelig rapport.
Rapporten skal tydeligt beskrive, hvordan din virksomhed har håndteret hændelsen, hvad I har lært, og hvilke tiltag I har gennemført eller planlægger for at forebygge gentagelse.
