# Den Europæiske Unions C 328/2023

| | ISSN 1977-0871 |
| --- | --- |
| Den Europæiske Unions
  Tidende | C 328 |
| | |
| Dansk udgave | Meddelelser og oplysninger | 66. årgang18. september 2023 |

ISSN 1977-0871

Den Europæiske Unions

Tidende

C 328

Dansk udgave

Meddelelser og oplysninger

66. årgang18. september 2023

---

| Indhold | Side |
| --- | --- |
| | II   Meddelelser |
| | MEDDELELSER FRA DEN EUROPÆISKE UNIONS INSTITUTIONER, ORGANER, KONTORER OG AGENTURER |
| | Europa-Kommissionen |
| 2023/C 328/01 | Beslutning om ikke at gøre indsigelse mod en anmeldt fusion (Sag M.11106 — STELLANTIS / MICHELIN / FORVIA / SYMBIO) (
  1
  ) | 1 |
| 2023/C 328/02 | Meddelelse fra Kommissionen — Kommissionens retningslinjer for anvendelsen af artikel 4, stk. 1 og 2, i direktiv (EU) 2022/2555 (NIS 2-direktivet) | 2 |

Indhold

Side

II   Meddelelser

MEDDELELSER FRA DEN EUROPÆISKE UNIONS INSTITUTIONER, ORGANER, KONTORER OG AGENTURER

Europa-Kommissionen

2023/C 328/01

Beslutning om ikke at gøre indsigelse mod en anmeldt fusion (Sag M.11106 — STELLANTIS / MICHELIN / FORVIA / SYMBIO) (
  1
  )

1

1

2023/C 328/02

Meddelelse fra Kommissionen — Kommissionens retningslinjer for anvendelsen af artikel 4, stk. 1 og 2, i direktiv (EU) 2022/2555 (NIS 2-direktivet)

2

---

| | IV   Oplysninger |
| --- | --- |
| | OPLYSNINGER FRA DEN EUROPÆISKE UNIONS INSTITUTIONER, ORGANER, KONTORER OG AGENTURER |
| | Rådet |
| 2023/C 328/03 | Bekendtgørelse til de personer og enheder, som er omfattet af foranstaltningerne i Rådets afgørelse 2011/235/FUSP som gennemført ved Rådets gennemførelsesafgørelse (FUSP) 2023/1780 og i Rådets forordning (EU) nr. 359/2011 som gennemført ved Rådets gennemførelsesforordning (EU) 2023/1779 om restriktive foranstaltninger over for visse personer, enheder og organer på baggrund af situationen i Iran | 11 |
| 2023/C 328/04 | Bekendtgørelse til de registrerede, der er omfattet af de restriktive foranstaltninger i Rådets afgørelse 2011/235/FUSP og i Rådets forordning (EU) nr. 359/2011 om restriktive foranstaltninger over for visse personer, enheder og organer på baggrund af situationen i Iran | 13 |
| | Europa-Kommissionen |
| 2023/C 328/05 | Oversigt over Europa-Kommissionens afgørelser om godkendelser af markedsføring med henblik på anvendelse og/eller om godkendelser af anvendelse af stoffer, der er opført i bilag XIV til Europa-Parlamentets og Rådets forordning (EF) nr. 1907/2006 om registrering, vurdering og godkendelse af samt begrænsninger for kemikalier (REACH)
  (Offentliggjort i henhold til artikel 64, stk. 9, i forordning (EF) nr. 1907/2006
  )

   (
  1
  ) | 15 |
| 2023/C 328/06 | Euroens vekselkurs — 15. september 2023 | 16 |

IV   Oplysninger

OPLYSNINGER FRA DEN EUROPÆISKE UNIONS INSTITUTIONER, ORGANER, KONTORER OG AGENTURER

Rådet

2023/C 328/03

Bekendtgørelse til de personer og enheder, som er omfattet af foranstaltningerne i Rådets afgørelse 2011/235/FUSP som gennemført ved Rådets gennemførelsesafgørelse (FUSP) 2023/1780 og i Rådets forordning (EU) nr. 359/2011 som gennemført ved Rådets gennemførelsesforordning (EU) 2023/1779 om restriktive foranstaltninger over for visse personer, enheder og organer på baggrund af situationen i Iran

11

2023/C 328/04

Bekendtgørelse til de registrerede, der er omfattet af de restriktive foranstaltninger i Rådets afgørelse 2011/235/FUSP og i Rådets forordning (EU) nr. 359/2011 om restriktive foranstaltninger over for visse personer, enheder og organer på baggrund af situationen i Iran

13

Europa-Kommissionen

2023/C 328/05

Oversigt over Europa-Kommissionens afgørelser om godkendelser af markedsføring med henblik på anvendelse og/eller om godkendelser af anvendelse af stoffer, der er opført i bilag XIV til Europa-Parlamentets og Rådets forordning (EF) nr. 1907/2006 om registrering, vurdering og godkendelse af samt begrænsninger for kemikalier (REACH)
  (Offentliggjort i henhold til artikel 64, stk. 9, i forordning (EF) nr. 1907/2006
  )

   (
  1
  )

(Offentliggjort i henhold til artikel 64, stk. 9, i forordning (EF) nr. 1907/2006

)

1

15

2023/C 328/06

Euroens vekselkurs — 15. september 2023

16

---

| | V   Øvrige meddelelser |
| --- | --- |
| | PROCEDURER VEDRØRENDE GENNEMFØRELSEN AF KONKURRENCEPOLITIKKEN |
| | Europa-Kommissionen |
| 2023/C 328/07 | Anmeldelse af en planlagt fusion (Sag M.11239 — EDF / CREDIT MUTUEL / ILE-DE-FRANCE BUILDING) — Behandles eventuelt efter den forenklede procedure (
  1
  ) | 17 |

V   Øvrige meddelelser

PROCEDURER VEDRØRENDE GENNEMFØRELSEN AF KONKURRENCEPOLITIKKEN

Europa-Kommissionen

2023/C 328/07

Anmeldelse af en planlagt fusion (Sag M.11239 — EDF / CREDIT MUTUEL / ILE-DE-FRANCE BUILDING) — Behandles eventuelt efter den forenklede procedure (
  1
  )

1

17

---

| | |
| --- | --- |
| | (1)   EØS-relevant tekst. |

---

(1)   EØS-relevant tekst.

1

| DA | |
| --- | --- |

DA

---

II Meddelelser

MEDDELELSER FRA DEN EUROPÆISKE UNIONS INSTITUTIONER, ORGANER, KONTORER OG AGENTURER

Europa-Kommissionen

| 18.9.2023 | DA | Den Europæiske Unions Tidende | C 328/1 |
| --- | --- | --- | --- |

18.9.2023

DA

Den Europæiske Unions Tidende

C 328/1

---

Beslutning om ikke at gøre indsigelse mod en anmeldt fusion

(Sag M.11106 — STELLANTIS / MICHELIN / FORVIA / SYMBIO)

(EØS-relevant tekst)

(2023/C 328/01)

Den 17. juli 2023 besluttede Kommissionen ikke at gøre indsigelse mod ovennævnte anmeldte fusion og erklære den forenelig med det indre marked. Beslutningen er truffet efter artikel 6, stk. 1, litra b), i Rådets forordning (EF) nr. 139/2004 (1). Beslutningens fulde ordlyd foreligger kun på engelsk og vil blive offentliggjort, efter at eventuelle forretningshemmeligheder er udeladt. Den vil kunne ses:

1

| — | under fusioner på Kommissionens websted for konkurrence (https://competition-cases.ec.europa.eu/search). Dette websted giver forskellige muligheder for at finde de konkrete fusionsbeslutninger, idet de er opstillet efter bl.a. virksomhedens navn, sagsnummer, dato og sektor |
| --- | --- |

—

under fusioner på Kommissionens websted for konkurrence (https://competition-cases.ec.europa.eu/search). Dette websted giver forskellige muligheder for at finde de konkrete fusionsbeslutninger, idet de er opstillet efter bl.a. virksomhedens navn, sagsnummer, dato og sektor

| — | i elektronisk form på EUR-Lex-webstedet (http://eur-lex.europa.eu/homepage.html?locale=da) under dokumentnummer 32023M11106. EUR-Lex giver onlineadgang til EU-retten. |
| --- | --- |

—

i elektronisk form på EUR-Lex-webstedet (http://eur-lex.europa.eu/homepage.html?locale=da) under dokumentnummer 32023M11106. EUR-Lex giver onlineadgang til EU-retten.

---

(1)  
  EUT L 24 af 29.1.2004, s. 1.

1

---

| 18.9.2023 | DA | Den Europæiske Unions Tidende | C 328/2 |
| --- | --- | --- | --- |

18.9.2023

DA

Den Europæiske Unions Tidende

C 328/2

---

MEDDELELSE FRA KOMMISSIONEN

Kommissionens retningslinjer for anvendelsen af artikel 4, stk. 1 og 2, i direktiv (EU) 2022/2555 (NIS 2-direktivet)

(2023/C 328/02)

I.   INDLEDNING

INDLEDNING

| 1. | I henhold til artikel 4, stk. 3, i Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 af 14. december 2022 om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen (NIS 2-direktivet) (1) skal Kommissionen senest den 17. juli 2023 fastlægge retningslinjer, der præciserer anvendelsen af artikel 4, stk. 1 og 2, i nævnte direktiv. |
| --- | --- |

1.

I henhold til artikel 4, stk. 3, i Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 af 14. december 2022 om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen (NIS 2-direktivet) (1

| 2. | Nærværende retningslinjer præciserer anvendelsen af de bestemmelser, der vedrører forholdet mellem direktiv (EU) 2022/2555 og nuværende og fremtidige sektorspecifikke EU-retsakter, der omhandler foranstaltninger til styring af cybersikkerhedsrisici eller krav om indberetning af hændelser. Tillæget til disse retningslinjer indeholder en liste over de sektorspecifikke EU-retsakter, som Kommissionen anser for at være omfattet af artikel 4 i direktiv (EU) 2022/2555. Den omstændighed, at en retsakt ikke er opført i dette tillæg, betyder ikke nødvendigvis, at den ikke er omfattet af denne bestemmelses anvendelsesområde. |
| --- | --- |

2.

Nærværende retningslinjer præciserer anvendelsen af de bestemmelser, der vedrører forholdet mellem direktiv (EU) 2022/2555 og nuværende og fremtidige sektorspecifikke EU-retsakter, der omhandler foranstaltninger til styring af cybersikkerhedsrisici eller krav om indberetning af hændelser. Tillæget til disse retningslinjer indeholder en liste over de sektorspecifikke EU-retsakter, som Kommissionen anser for at være omfattet af artikel 4 i direktiv (EU) 2022/2555. Den omstændighed, at en retsakt ikke er opført i dette tillæg, betyder ikke nødvendigvis, at den ikke er omfattet af denne bestemmelses anvendelsesområde.

| 3. | I henhold til artikel 4, stk. 3, tredje punktum, i direktiv (EU) 2022/2555 tog Kommissionen hensyn til bemærkningerne fra NIS-samarbejdsgruppen og Den Europæiske Unions Agentur for Cybersikkerhed (ENISA) forud for vedtagelsen af disse retningslinjer. |
| --- | --- |

3.

I henhold til artikel 4, stk. 3, tredje punktum, i direktiv (EU) 2022/2555 tog Kommissionen hensyn til bemærkningerne fra NIS-samarbejdsgruppen og Den Europæiske Unions Agentur for Cybersikkerhed (ENISA) forud for vedtagelsen af disse retningslinjer.

| 4. | Nærværende retningslinjer berører ikke Den Europæiske Unions Domstols fortolkning af EU-retten. |
| --- | --- |

4.

Nærværende retningslinjer berører ikke Den Europæiske Unions Domstols fortolkning af EU-retten.

II.   ÆKVIVALENS MELLEM CYBERSIKKERHEDSKRAV I SEKTORSPECIFIKKE EU-RETSAKTER

ÆKVIVALENS MELLEM CYBERSIKKERHEDSKRAV I SEKTORSPECIFIKKE EU-RETSAKTER

| 5. | I henhold til artikel 4, stk. 1, i direktiv (EU) 2022/2555 finder de relevante bestemmelser i direktiv (EU) 2022/2555, herunder bestemmelserne om tilsyn og håndhævelse i kapitel VII i nævnte direktiv, ikke anvendelse på sådanne enheder, hvis sektorspecifikke EU-retsakter kræver, at væsentlige eller vigtige enheder træffer foranstaltninger til styring af cybersikkerhedsrisici eller underretter om væsentlige hændelser, og hvor disse krav har en virkning, der mindst svarer til de forpligtelser, der er fastsat i nævnte direktiv. Denne bestemmelse fastsætter endvidere, at hvis sektorspecifikke EU-retsakter ikke omfatter alle enheder i en specifik sektor, der er omfattet af anvendelsesområdet for direktiv (EU) 2022/2555, finder de relevante bestemmelser i nævnte direktiv fortsat anvendelse på de enheder, der ikke er omfattet af de nævnte sektorspecifikke EU-retsakter. |
| --- | --- |

5.

I henhold til artikel 4, stk. 1, i direktiv (EU) 2022/2555 finder de relevante bestemmelser i direktiv (EU) 2022/2555, herunder bestemmelserne om tilsyn og håndhævelse i kapitel VII i nævnte direktiv, ikke anvendelse på sådanne enheder, hvis sektorspecifikke EU-retsakter kræver, at væsentlige eller vigtige enheder træffer foranstaltninger til styring af cybersikkerhedsrisici eller underretter om væsentlige hændelser, og hvor disse krav har en virkning, der mindst svarer til de forpligtelser, der er fastsat i nævnte direktiv. Denne bestemmelse fastsætter endvidere, at hvis sektorspecifikke EU-retsakter ikke omfatter alle enheder i en specifik sektor, der er omfattet af anvendelsesområdet for direktiv (EU) 2022/2555, finder de relevante bestemmelser i nævnte direktiv fortsat anvendelse på de enheder, der ikke er omfattet af de nævnte sektorspecifikke EU-retsakter.

II.1.   Krav til styring af cybersikkerhedsrisici

Krav til styring af cybersikkerhedsrisici

| 6. | I artikel 4, stk. 2, litra a), i direktiv (EU) 2022/2555 fastsættes det, at foranstaltninger til styring af cybersikkerhedsrisici, som væsentlige eller vigtige enheder skal træffe i henhold til sektorspecifikke EU-retsakter, anses for at have tilsvarende virkning som forpligtelserne i direktiv (EU) 2022/2555, hvis disse foranstaltninger har mindst samme virkning som dem, der er fastsat i artikel 21, stk. 1 og 2, i nævnte direktiv. Ved vurderingen af, om kravene i en sektorspecifik EU-retsakt om foranstaltninger til styring af cybersikkerhedsrisici har en virkning, der mindst svarer til dem, der er fastsat i artikel 21, stk. 1 og 2, i direktiv (EU) 2022/2555, bør kravene i denne sektorspecifikke EU-retsakt som minimum svare til kravene i disse bestemmelser eller gå videre end dem, hvilket betyder, at de sektorspecifikke bestemmelser kan være mere detaljerede med hensyn til indhold sammenlignet med de tilsvarende bestemmelser i direktiv (EU) 2022/2555. |
| --- | --- |

6.

I artikel 4, stk. 2, litra a), i direktiv (EU) 2022/2555 fastsættes det, at foranstaltninger til styring af cybersikkerhedsrisici, som væsentlige eller vigtige enheder skal træffe i henhold til sektorspecifikke EU-retsakter, anses for at have tilsvarende virkning som forpligtelserne i direktiv (EU) 2022/2555, hvis disse foranstaltninger har mindst samme virkning som dem, der er fastsat i artikel 21, stk. 1 og 2, i nævnte direktiv. Ved vurderingen af, om kravene i en sektorspecifik EU-retsakt om foranstaltninger til styring af cybersikkerhedsrisici har en virkning, der mindst svarer til dem, der er fastsat i artikel 21, stk. 1 og 2, i direktiv (EU) 2022/2555, bør kravene i denne sektorspecifikke EU-retsakt som minimum svare til kravene i disse bestemmelser eller gå videre end dem, hvilket betyder, at de sektorspecifikke bestemmelser kan være mere detaljerede med hensyn til indhold sammenlignet med de tilsvarende bestemmelser i direktiv (EU) 2022/2555.

| 7. | I henhold til artikel 21, stk. 1, første afsnit, i direktiv (EU) 2022/2555 sikrer medlemsstaterne, at væsentlige og vigtige enheder træffer passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger for at styre risiciene for sikkerheden i net- og informationssystemer, som disse enheder anvender til deres operationer eller til at levere deres tjenester. Disse foranstaltninger bør være risikobaserede og bør kunne forebygge eller minimere virkningerne af hændelser. I artikel 21, stk. 1, andet afsnit, i direktiv (EU) 2022/2555 præciseres det, hvordan proportionaliteten af sådanne foranstaltninger bør vurderes (2). Forpligtelsen i artikel 21, stk. 1, i direktiv (EU) 2022/2555, der kræver, at væsentlige og vigtige enheder træffer passende og forholdsmæssige foranstaltninger til styring af cybersikkerhedsrisici, vedrører alle den pågældende enheds operationer og tjenester, ikke kun specifikke IT-aktiver eller kritiske tjenester, som enheden leverer. |
| --- | --- |

7.

I henhold til artikel 21, stk. 1, første afsnit, i direktiv (EU) 2022/2555 sikrer medlemsstaterne, at væsentlige og vigtige enheder træffer passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger for at styre risiciene for sikkerheden i net- og informationssystemer, som disse enheder anvender til deres operationer eller til at levere deres tjenester. Disse foranstaltninger bør være risikobaserede og bør kunne forebygge eller minimere virkningerne af hændelser. I artikel 21, stk. 1, andet afsnit, i direktiv (EU) 2022/2555 præciseres det, hvordan proportionaliteten af sådanne foranstaltninger bør vurderes (2

| 8. | Ved vurderingen af ækvivalensen af en sektorspecifik EU-retsakt med de relevante bestemmelser om cyberrisikostyring i direktiv (EU) 2022/2555 bør der lægges særlig vægt på spørgsmålet om, hvorvidt sikkerhedsforpligtelserne i den pågældende retsakt omfatter foranstaltninger, der har til formål at garantere sikkerheden i net- og informationssystemer. Definitionen af »sikkerhed i net og informationssystemer« i artikel 6, nr. 2), i direktiv (EU) 2022/2555 henviser til informationssystemernes evne til på et givet sikkerhedsniveau at modstå enhver begivenhed, der kan være til skade for tilgængeligheden, autenticiteten, integriteten eller fortroligheden af lagrede, overførte eller behandlede data eller tjenester, der tilbydes af eller er tilgængelige via disse net- og informationssystemer. Anvendelsen af udtrykkene »tilgængelighed«, »autenticitet«, »integritet« og »fortrolighed« i denne definition henviser til alle fire beskyttelsesmål vedrørende sikkerheden i net- og informationssystemer. Udtrykket »net- og informationssystemer« som defineret i artikel 6, nr. 1), i direktiv (EU) 2022/2555 omfatter elektroniske kommunikationsnet (3), enhver anordning eller gruppe af indbyrdes forbundne eller beslægtede anordninger, hvoraf en eller flere ved hjælp af et program udfører automatisk behandling af digitale data og digitale data, der lagres, behandles, fremfindes eller overføres af sådanne elektroniske kommunikationsnet eller -enheder med henblik på deres drift, beskyttelse og vedligeholdelse. De sikkerhedsforanstaltninger, der kræves i en sektorspecifik EU-retsakt, bør derfor også omfatte hardware, firmware og software, der anvendes i en enheds aktiviteter. |
| --- | --- |

8.

Ved vurderingen af ækvivalensen af en sektorspecifik EU-retsakt med de relevante bestemmelser om cyberrisikostyring i direktiv (EU) 2022/2555 bør der lægges særlig vægt på spørgsmålet om, hvorvidt sikkerhedsforpligtelserne i den pågældende retsakt omfatter foranstaltninger, der har til formål at garantere sikkerheden i net- og informationssystemer. Definitionen af »sikkerhed i net og informationssystemer« i artikel 6, nr. 2), i direktiv (EU) 2022/2555 henviser til informationssystemernes evne til på et givet sikkerhedsniveau at modstå enhver begivenhed, der kan være til skade for tilgængeligheden, autenticiteten, integriteten eller fortroligheden af lagrede, overførte eller behandlede data eller tjenester, der tilbydes af eller er tilgængelige via disse net- og informationssystemer. Anvendelsen af udtrykkene »tilgængelighed«, »autenticitet«, »integritet« og »fortrolighed« i denne definition henviser til alle fire beskyttelsesmål vedrørende sikkerheden i net- og informationssystemer. Udtrykket »net- og informationssystemer« som defineret i artikel 6, nr. 1), i direktiv (EU) 2022/2555 omfatter elektroniske kommunikationsnet (3

| 9. | Et andet vigtigt hensyn ved vurderingen af ækvivalensen af en sektorspecifik EU-retsakt med kravene i artikel 21, stk. 1 og 2, i direktiv (EU) 2022/2555 er, at de foranstaltninger til styring af cybersikkerhedsrisici, der kræves i henhold til den pågældende retsakt, bør baseres på en tilgang, der omfatter alle farer. Da trusler mod sikkerheden i net- og informationssystemer kan have forskellig oprindelse, kan enhver begivenhed have en negativ indvirkning på enhedens net- og informationssystemer og potentielt føre til en hændelse. Derfor bør de foranstaltninger til styring af cybersikkerhedsrisici, som enheden træffer, ikke kun beskytte enhedens net- og informationssystemer, men også disse systemers fysiske miljø mod enhver begivenhed såsom sabotage, tyveri, brand, oversvømmelse, telekommunikations- eller strømsvigt eller uautoriseret fysisk adgang, der kan skade tilgængeligheden, autenticiteten, integriteten eller fortroligheden af lagrede, overførte eller behandlede data eller de tjenester, der tilbydes af eller er tilgængelige via net- og informationssystemerne. De foranstaltninger til styring af cybersikkerhedsrisici, der kræves i en sektorspecifik EU-retsakt, bør derfor specifikt omhandle den fysiske og miljømæssige sikkerhed i net- og informationssystemer som følge af systemsvigt, menneskelige fejl, ondsindede handlinger eller naturfænomener (4). |
| --- | --- |

9.

Et andet vigtigt hensyn ved vurderingen af ækvivalensen af en sektorspecifik EU-retsakt med kravene i artikel 21, stk. 1 og 2, i direktiv (EU) 2022/2555 er, at de foranstaltninger til styring af cybersikkerhedsrisici, der kræves i henhold til den pågældende retsakt, bør baseres på en tilgang, der omfatter alle farer. Da trusler mod sikkerheden i net- og informationssystemer kan have forskellig oprindelse, kan enhver begivenhed have en negativ indvirkning på enhedens net- og informationssystemer og potentielt føre til en hændelse. Derfor bør de foranstaltninger til styring af cybersikkerhedsrisici, som enheden træffer, ikke kun beskytte enhedens net- og informationssystemer, men også disse systemers fysiske miljø mod enhver begivenhed såsom sabotage, tyveri, brand, oversvømmelse, telekommunikations- eller strømsvigt eller uautoriseret fysisk adgang, der kan skade tilgængeligheden, autenticiteten, integriteten eller fortroligheden af lagrede, overførte eller behandlede data eller de tjenester, der tilbydes af eller er tilgængelige via net- og informationssystemerne. De foranstaltninger til styring af cybersikkerhedsrisici, der kræves i en sektorspecifik EU-retsakt, bør derfor specifikt omhandle den fysiske og miljømæssige sikkerhed i net- og informationssystemer som følge af systemsvigt, menneskelige fejl, ondsindede handlinger eller naturfænomener (4

| 10. | I henhold til artikel 21, stk. 2, i direktiv (EU) 2022/2555 skal foranstaltningerne til styring af cybersikkerhedsrisici desuden omfatte de specifikke sikkerhedskrav, der er anført i nævnte bestemmelses stk. 2, litra a)-j). Disse krav omfatter foranstaltninger såsom politik for risikoanalyse og informationssystemsikkerhed, håndtering af hændelser, forretningskontinuitet, krisestyring, forsyningskædesikkerhed, politikker og procedurer vedrørende brugen af kryptografi og, hvor det er relevant, kryptering. I henhold til artikel 21, stk. 5, andet afsnit, i direktiv (EU) 2022/2555 tillægges Kommissionen beføjelser til at vedtage gennemførelsesretsakter, der fastsætter de tekniske og metodologiske krav samt om nødvendigt sektorspecifikke krav til de sikkerhedsforanstaltninger, der er omhandlet i artikel 21, stk. 2, i nævnte direktiv. For så vidt angår DNS-tjenesteudbydere, topdomænenavneadministratorer, udbydere af cloudcomputingtjenester, udbydere af datacentertjenester, udbydere af indholdsdistributionsnetværk, udbydere af administrerede tjenester, udbydere af administrerede sikkerhedstjenester, udbydere af onlinemarkedspladser, onlinesøgemaskiner og platforme for sociale netværkstjenester og tillidstjenesteudbydere vedtager Kommissionen senest den 17. oktober 2024 gennemførelsesretsakter om de tekniske og metodologiske krav til de sikkerhedsforanstaltninger, der er omhandlet i artikel 21, stk. 2, i direktiv (EU) 2022/2555. Gennemførelsesretsakter præciserer de vigtigste betingelser og kriterier for gennemførelse som fastsat i basisretsakten, uden at det berører indholdet af den pågældende retsakt (5). |
| --- | --- |

10.

I henhold til artikel 21, stk. 2, i direktiv (EU) 2022/2555 skal foranstaltningerne til styring af cybersikkerhedsrisici desuden omfatte de specifikke sikkerhedskrav, der er anført i nævnte bestemmelses stk. 2, litra a)-j). Disse krav omfatter foranstaltninger såsom politik for risikoanalyse og informationssystemsikkerhed, håndtering af hændelser, forretningskontinuitet, krisestyring, forsyningskædesikkerhed, politikker og procedurer vedrørende brugen af kryptografi og, hvor det er relevant, kryptering. I henhold til artikel 21, stk. 5, andet afsnit, i direktiv (EU) 2022/2555 tillægges Kommissionen beføjelser til at vedtage gennemførelsesretsakter, der fastsætter de tekniske og metodologiske krav samt om nødvendigt sektorspecifikke krav til de sikkerhedsforanstaltninger, der er omhandlet i artikel 21, stk. 2, i nævnte direktiv. For så vidt angår DNS-tjenesteudbydere, topdomænenavneadministratorer, udbydere af cloudcomputingtjenester, udbydere af datacentertjenester, udbydere af indholdsdistributionsnetværk, udbydere af administrerede tjenester, udbydere af administrerede sikkerhedstjenester, udbydere af onlinemarkedspladser, onlinesøgemaskiner og platforme for sociale netværkstjenester og tillidstjenesteudbydere vedtager Kommissionen senest den 17. oktober 2024 gennemførelsesretsakter om de tekniske og metodologiske krav til de sikkerhedsforanstaltninger, der er omhandlet i artikel 21, stk. 2, i direktiv (EU) 2022/2555. Gennemførelsesretsakter præciserer de vigtigste betingelser og kriterier for gennemførelse som fastsat i basisretsakten, uden at det berører indholdet af den pågældende retsakt (5

II.2.   Rapporteringskrav

Rapporteringskrav

| 11. | I artikel 4, stk. 2, litra b), i direktiv (EU) 2022/2555 fastsættes det, at rapporteringskrav vedrørende underretning om væsentlige hændelser anses for at have samme virkning som forpligtelserne i nævnte direktiv, hvis en sektorspecifik EU-retsakt indeholder bestemmelser om øjeblikkelig, hvor relevant automatisk og direkte, adgang til underretninger om hændelser for enheder, der håndterer IT-sikkerhedshændelser (»CSIRT’er«), de kompetente myndigheder eller de centrale kontaktpunkter, og hvor kravene om at give underretning om væsentlige hændelser mindst har samme virkning som kravene fastsat i artikel 23, stk. 1-6, i direktiv (EU) 2022/2555. |
| --- | --- |

11.

I artikel 4, stk. 2, litra b), i direktiv (EU) 2022/2555 fastsættes det, at rapporteringskrav vedrørende underretning om væsentlige hændelser anses for at have samme virkning som forpligtelserne i nævnte direktiv, hvis en sektorspecifik EU-retsakt indeholder bestemmelser om øjeblikkelig, hvor relevant automatisk og direkte, adgang til underretninger om hændelser for enheder, der håndterer IT-sikkerhedshændelser (»CSIRT’er«), de kompetente myndigheder eller de centrale kontaktpunkter, og hvor kravene om at give underretning om væsentlige hændelser mindst har samme virkning som kravene fastsat i artikel 23, stk. 1-6, i direktiv (EU) 2022/2555.

| 12. | Da kravene i en sektorspecifik EU-retsakt om underretning om væsentlige hændelser mindst skal have samme virkning som dem, der er fastsat i artikel 23, stk. 1-6, i direktiv (EU) 2022/2555, for at den pågældende retsakt kan finde anvendelse i stedet for rapporteringsforpligtelserne i nævnte direktiv, er kravene i direktivets artikel 23, stk. 1-6, af særlig betydning for vurderingen af ækvivalens. Artikel 23, stk. 1-6, i direktiv (EU) 2022/2555 foreskriver nærmere, hvilke typer hændelser der skal indberettes til hvem, inden for hvilken tidsramme og med hvilket informationsindhold. Dette forklares nærmere i de følgende underafsnit: |
| --- | --- |

12.

Da kravene i en sektorspecifik EU-retsakt om underretning om væsentlige hændelser mindst skal have samme virkning som dem, der er fastsat i artikel 23, stk. 1-6, i direktiv (EU) 2022/2555, for at den pågældende retsakt kan finde anvendelse i stedet for rapporteringsforpligtelserne i nævnte direktiv, er kravene i direktivets artikel 23, stk. 1-6, af særlig betydning for vurderingen af ækvivalens. Artikel 23, stk. 1-6, i direktiv (EU) 2022/2555 foreskriver nærmere, hvilke typer hændelser der skal indberettes til hvem, inden for hvilken tidsramme og med hvilket informationsindhold. Dette forklares nærmere i de følgende underafsnit:

II.2.1.   Underretning af CSIRT’er, kompetente myndigheder og modtagere om væsentlige hændelser

Underretning af CSIRT’er, kompetente myndigheder og modtagere om væsentlige hændelser

| 13. | I henhold til artikel 23, stk. 1, første afsnit, første punktum, i direktiv (EU) 2022/2555 skal væsentlige og vigtige enheder uden unødigt ophold underrette deres CSIRT eller, hvor det er relevant, deres kompetente myndighed om enhver væsentlig hændelse. I henhold til artikel 23, stk. 1, første afsnit, andet punktum, i direktiv (EU) 2022/2555 skal væsentlige og vigtige enheder, hvor det er relevant, uden unødigt ophold underrette modtagerne af deres tjenester om væsentlige hændelser, der sandsynligvis vil påvirke leveringen af disse tjenester negativt. |
| --- | --- |

13.

I henhold til artikel 23, stk. 1, første afsnit, første punktum, i direktiv (EU) 2022/2555 skal væsentlige og vigtige enheder uden unødigt ophold underrette deres CSIRT eller, hvor det er relevant, deres kompetente myndighed om enhver væsentlig hændelse. I henhold til artikel 23, stk. 1, første afsnit, andet punktum, i direktiv (EU) 2022/2555 skal væsentlige og vigtige enheder, hvor det er relevant, uden unødigt ophold underrette modtagerne af deres tjenester om væsentlige hændelser, der sandsynligvis vil påvirke leveringen af disse tjenester negativt.

| 14. | Mens artikel 6, nr. 6), i direktiv (EU) 2022/2555 definerer »hændelser« meget bredt som enhver hændelse, der bringer tilgængeligheden, autenticiteten, integriteten eller fortroligheden af lagrede, overførte eller behandlede data eller af de tjenester, der tilbydes af eller er tilgængelige via net- og informationssystemer, i fare, er det i henhold til direktivets artikel 23, stk. 1, kun væsentlige hændelser, der er omfattet af indberetningspligt. En hændelse er væsentlig, hvis den har forårsaget eller kan forårsage alvorlige driftsforstyrrelser af tjenesterne eller økonomiske tab for den berørte enhed (artikel 23, stk. 3, litra a)), eller hvis den har påvirket eller er i stand til at påvirke andre fysiske eller juridiske personer ved at forårsage betydelig materiel eller immateriel skade (artikel 23, stk. 3, litra b)). |
| --- | --- |

14.

Mens artikel 6, nr. 6), i direktiv (EU) 2022/2555 definerer »hændelser« meget bredt som enhver hændelse, der bringer tilgængeligheden, autenticiteten, integriteten eller fortroligheden af lagrede, overførte eller behandlede data eller af de tjenester, der tilbydes af eller er tilgængelige via net- og informationssystemer, i fare, er det i henhold til direktivets artikel 23, stk. 1, kun væsentlige hændelser, der er omfattet af indberetningspligt. En hændelse er væsentlig, hvis den har forårsaget eller kan forårsage alvorlige driftsforstyrrelser af tjenesterne eller økonomiske tab for den berørte enhed (artikel 23, stk. 3, litra a)), eller hvis den har påvirket eller er i stand til at påvirke andre fysiske eller juridiske personer ved at forårsage betydelig materiel eller immateriel skade (artikel 23, stk. 3, litra b)).

| 15. | I betragtning 101 i præamblen til direktiv (EU) 2022/2555 præciseres det, at indberetningen af hændelser bør baseres på en indledende vurdering foretaget af den pågældende enhed. En sådan indledende vurdering bør bl.a. tage hensyn til de berørte net- og informationssystemer, navnlig deres betydning for leveringen af enhedens tjenester, alvoren af og de tekniske karakteristika af en cybertrussel og eventuelle underliggende sårbarheder, der udnyttes, samt enhedens erfaring med tilsvarende hændelser. Indikatorer såsom i hvilket omfang tjenestens funktion påvirkes, hændelsens varighed eller antallet af berørte tjenestemodtagere kan spille en vigtig rolle med hensyn til at fastslå, om driftsforstyrrelsen af tjenesten er alvorlig. |
| --- | --- |

15.

I betragtning 101 i præamblen til direktiv (EU) 2022/2555 præciseres det, at indberetningen af hændelser bør baseres på en indledende vurdering foretaget af den pågældende enhed. En sådan indledende vurdering bør bl.a. tage hensyn til de berørte net- og informationssystemer, navnlig deres betydning for leveringen af enhedens tjenester, alvoren af og de tekniske karakteristika af en cybertrussel og eventuelle underliggende sårbarheder, der udnyttes, samt enhedens erfaring med tilsvarende hændelser. Indikatorer såsom i hvilket omfang tjenestens funktion påvirkes, hændelsens varighed eller antallet af berørte tjenestemodtagere kan spille en vigtig rolle med hensyn til at fastslå, om driftsforstyrrelsen af tjenesten er alvorlig.

| 16. | I henhold til artikel 23, stk. 11, andet afsnit, i direktiv (EU) 2022/2555 tillægges Kommissionen beføjelser til at vedtage gennemførelsesretsakter, der yderligere præciserer de tilfælde, hvor en hændelse anses for at være væsentlig. For så vidt angår DNS-tjenesteudbydere, topdomænenavneadministratorer, udbydere af cloudcomputingtjenester, datacentertjenester, udbydere af indholdsdistributionsnetværk, udbydere af administrerede tjenester, udbydere af administrerede sikkerhedstjenester, udbydere af onlinemarkedspladser, onlinesøgemaskiner og platforme for sociale netværkstjenester vedtager Kommissionen senest den 17. oktober 2024 sådanne gennemførelsesretsakter. Gennemførelsesretsakter præciserer de vigtigste betingelser og kriterier for gennemførelse som fastsat i basisretsakten, uden at det berører indholdet af den pågældende retsakt (6). |
| --- | --- |

16.

I henhold til artikel 23, stk. 11, andet afsnit, i direktiv (EU) 2022/2555 tillægges Kommissionen beføjelser til at vedtage gennemførelsesretsakter, der yderligere præciserer de tilfælde, hvor en hændelse anses for at være væsentlig. For så vidt angår DNS-tjenesteudbydere, topdomænenavneadministratorer, udbydere af cloudcomputingtjenester, datacentertjenester, udbydere af indholdsdistributionsnetværk, udbydere af administrerede tjenester, udbydere af administrerede sikkerhedstjenester, udbydere af onlinemarkedspladser, onlinesøgemaskiner og platforme for sociale netværkstjenester vedtager Kommissionen senest den 17. oktober 2024 sådanne gennemførelsesretsakter. Gennemførelsesretsakter præciserer de vigtigste betingelser og kriterier for gennemførelse som fastsat i basisretsakten, uden at det berører indholdet af den pågældende retsakt (6

II.2.2.   Flertrinstilgang og tidsramme for rapportering af væsentlige hændelser

Flertrinstilgang og tidsramme for rapportering af væsentlige hændelser

| 17. | Direktiv (EU) 2022/2555 fastlægger en flertrinstilgang til rapportering af væsentlige hændelser, som indebærer en tidlig varsling, en hændelsesunderretning og en endelig rapport. Disse tre elementer kan eventuelt suppleres med foreløbige rapporter og en statusrapport. |
| --- | --- |

17.

Direktiv (EU) 2022/2555 fastlægger en flertrinstilgang til rapportering af væsentlige hændelser, som indebærer en tidlig varsling, en hændelsesunderretning og en endelig rapport. Disse tre elementer kan eventuelt suppleres med foreløbige rapporter og en statusrapport.

| 18. | Flertrinstilgangen har til formål at finde den rette balance mellem på den ene side hurtig underretning, der bidrager til at afbøde den potentielle spredning af væsentlige hændelser og gør det muligt for væsentlige og vigtige enheder at søge bistand, og på den anden side grundig rapportering, der trækker på værdifuld erfaring fra individuelle hændelser og med tiden forbedrer individuelle enheders og hele sektorers cyberrobusthed (7). |
| --- | --- |

18.

Flertrinstilgangen har til formål at finde den rette balance mellem på den ene side hurtig underretning, der bidrager til at afbøde den potentielle spredning af væsentlige hændelser og gør det muligt for væsentlige og vigtige enheder at søge bistand, og på den anden side grundig rapportering, der trækker på værdifuld erfaring fra individuelle hændelser og med tiden forbedrer individuelle enheders og hele sektorers cyberrobusthed (7

| 19. | I henhold til flertrinstilgangen skal væsentlige og vigtige enheder først indsende en tidlig varsling uden unødigt ophold og under alle omstændigheder senest 24 timer efter at være blevet bekendt med den væsentlige hændelse til den kompetente CSIRT eller myndighed. Efterfølgende skal disse enheder indgive en hændelsesunderretning uden unødigt ophold og under alle omstændigheder senest 72 timer efter, at de har fået kendskab til den væsentlige hændelse. Derefter kan en kompetent CSIRT eller myndighed anmode om en foreløbig rapport. Endelig skal der forelægges en endelig rapport for den kompetente CSIRT eller myndighed senest en måned efter indgivelsen af hændelsesunderretningen, medmindre hændelsen stadig er i gang på det tidspunkt, i hvilket tilfælde der skal forelægges en statusrapport, og den endelige rapport skal forelægges senest en måned efter hændelsen. |
| --- | --- |

19.

I henhold til flertrinstilgangen skal væsentlige og vigtige enheder først indsende en tidlig varsling uden unødigt ophold og under alle omstændigheder senest 24 timer efter at være blevet bekendt med den væsentlige hændelse til den kompetente CSIRT eller myndighed. Efterfølgende skal disse enheder indgive en hændelsesunderretning uden unødigt ophold og under alle omstændigheder senest 72 timer efter, at de har fået kendskab til den væsentlige hændelse. Derefter kan en kompetent CSIRT eller myndighed anmode om en foreløbig rapport. Endelig skal der forelægges en endelig rapport for den kompetente CSIRT eller myndighed senest en måned efter indgivelsen af hændelsesunderretningen, medmindre hændelsen stadig er i gang på det tidspunkt, i hvilket tilfælde der skal forelægges en statusrapport, og den endelige rapport skal forelægges senest en måned efter hændelsen.

| 20. | Der gælder en anden tidsramme for den underretning om hændelser, der er fastsat i artikel 23, stk. 4, andet afsnit, i direktiv (EU) 2022/2555, i forbindelse med tillidstjenesteudbydere. Disse udbydere skal anmelde væsentlige hændelser i forbindelse med leveringen af deres tillidstjenester uden unødigt ophold og under alle omstændigheder senest 24 timer efter, at de har fået kendskab til den væsentlige hændelse. |
| --- | --- |

20.

Der gælder en anden tidsramme for den underretning om hændelser, der er fastsat i artikel 23, stk. 4, andet afsnit, i direktiv (EU) 2022/2555, i forbindelse med tillidstjenesteudbydere. Disse udbydere skal anmelde væsentlige hændelser i forbindelse med leveringen af deres tillidstjenester uden unødigt ophold og under alle omstændigheder senest 24 timer efter, at de har fået kendskab til den væsentlige hændelse.

II.2.3.   Indholdet af forpligtelsen til at underrette CSIRT’er eller kompetente myndigheder om væsentlige hændelser

Indholdet af forpligtelsen til at underrette CSIRT’er eller kompetente myndigheder om væsentlige hændelser

| 21. | Som hovedregel skal medlemsstaterne i henhold til artikel 23, stk. 1, første afsnit, tredje punktum, i direktiv (EU) 2022/2555 sikre, at væsentlige og vigtige enheder bl.a. indberetter alle oplysninger, der gør det muligt for den kompetente CSIRT eller, hvor det er relevant, den kompetente myndighed at fastslå eventuelle grænseoverskridende virkninger af hændelsen. Dette krav vedrørende indberetningspligtens indhold er yderligere præciseret i artikel 23, stk. 4, i direktiv (EU) 2022/2555, som fastlægger flertrinstilgangen. |
| --- | --- |

21.

Som hovedregel skal medlemsstaterne i henhold til artikel 23, stk. 1, første afsnit, tredje punktum, i direktiv (EU) 2022/2555 sikre, at væsentlige og vigtige enheder bl.a. indberetter alle oplysninger, der gør det muligt for den kompetente CSIRT eller, hvor det er relevant, den kompetente myndighed at fastslå eventuelle grænseoverskridende virkninger af hændelsen. Dette krav vedrørende indberetningspligtens indhold er yderligere præciseret i artikel 23, stk. 4, i direktiv (EU) 2022/2555, som fastlægger flertrinstilgangen.

| 22. | I henhold til artikel 23, stk. 4, litra a), skal den tidlige varsling, hvor det er relevant, omfatte en angivelse af, om den væsentlige hændelse mistænkes for at være forårsaget af ulovlige eller ondsindede handlinger, eller om den kunne have (i betydningen om den sandsynligvis vil have) en grænseoverskridende virkning. I henhold til betragtning 102 i præamblen til direktiv (EU) 2022/2555 bør den tidlige varsling kun omfatte de oplysninger, der er nødvendige for at gøre den kompetente CSIRT eller myndighed opmærksom på den væsentlige hændelse og give den berørte enhed mulighed for om nødvendigt at søge assistance. |
| --- | --- |

22.

I henhold til artikel 23, stk. 4, litra a), skal den tidlige varsling, hvor det er relevant, omfatte en angivelse af, om den væsentlige hændelse mistænkes for at være forårsaget af ulovlige eller ondsindede handlinger, eller om den kunne have (i betydningen om den sandsynligvis vil have) en grænseoverskridende virkning. I henhold til betragtning 102 i præamblen til direktiv (EU) 2022/2555 bør den tidlige varsling kun omfatte de oplysninger, der er nødvendige for at gøre den kompetente CSIRT eller myndighed opmærksom på den væsentlige hændelse og give den berørte enhed mulighed for om nødvendigt at søge assistance.

| 23. | Hændelsesunderretningen skal, hvor det er relevant, omfatte ajourføringer af de oplysninger, der er indsendt som led i den tidlige varsling. Desuden skal den omfatte en indledende vurdering af den væsentlige hændelse, herunder dens alvor og indvirkning, samt, hvis det er muligt, af indikatorerne for kompromittering. |
| --- | --- |

23.

Hændelsesunderretningen skal, hvor det er relevant, omfatte ajourføringer af de oplysninger, der er indsendt som led i den tidlige varsling. Desuden skal den omfatte en indledende vurdering af den væsentlige hændelse, herunder dens alvor og indvirkning, samt, hvis det er muligt, af indikatorerne for kompromittering.

| 24. | Hvis der anmodes om en foreløbig rapport, skal den indeholde relevante statusopdateringer. Den endelige rapport skal indeholde en detaljeret beskrivelse af hændelsen, herunder dens alvor og indvirkning, typen af trussel eller grundlæggende årsag, der sandsynligvis har udløst hændelsen, de anvendte og igangværende afbødende foranstaltninger og, hvor det er relevant, hændelsens grænseoverskridende virkning. |
| --- | --- |

24.

Hvis der anmodes om en foreløbig rapport, skal den indeholde relevante statusopdateringer. Den endelige rapport skal indeholde en detaljeret beskrivelse af hændelsen, herunder dens alvor og indvirkning, typen af trussel eller grundlæggende årsag, der sandsynligvis har udløst hændelsen, de anvendte og igangværende afbødende foranstaltninger og, hvor det er relevant, hændelsens grænseoverskridende virkning.

II.2.4.   Øjeblikkelig adgang til hændelsesunderretninger

Øjeblikkelig adgang til hændelsesunderretninger

| 25. | I henhold til artikel 4, stk. 2, litra b), i direktiv (EU) 2022/2555 skal en sektorspecifik EU-retsakt, der finder anvendelse med hensyn til underretningskravene i stedet for nævnte direktiv, give CSIRT’erne, de kompetente myndigheder eller de centrale kontaktpunkter i henhold til direktiv (EU) 2022/2555 øjeblikkelig adgang til de hændelsesunderretninger, der indgives i overensstemmelse med den sektorspecifikke EU-retsakt. I overensstemmelse med betragtning 24 i præamblen til direktiv (EU) 2022/2555 kan en sådan øjeblikkelig adgang navnlig sikres, hvis hændelsesunderretninger uden unødigt ophold videresendes til CSIRT’en, den kompetente myndighed eller det centrale kontaktpunkt. |
| --- | --- |

25.

I henhold til artikel 4, stk. 2, litra b), i direktiv (EU) 2022/2555 skal en sektorspecifik EU-retsakt, der finder anvendelse med hensyn til underretningskravene i stedet for nævnte direktiv, give CSIRT’erne, de kompetente myndigheder eller de centrale kontaktpunkter i henhold til direktiv (EU) 2022/2555 øjeblikkelig adgang til de hændelsesunderretninger, der indgives i overensstemmelse med den sektorspecifikke EU-retsakt. I overensstemmelse med betragtning 24 i præamblen til direktiv (EU) 2022/2555 kan en sådan øjeblikkelig adgang navnlig sikres, hvis hændelsesunderretninger uden unødigt ophold videresendes til CSIRT’en, den kompetente myndighed eller det centrale kontaktpunkt.

| 26. | Øjeblikkelig adgang kan gives ved hjælp af automatiske og direkte midler, som medlemsstaterne bør indføre, hvor det er relevant. Automatiske og direkte rapporteringsmekanismer sikrer systematisk og øjeblikkelig udveksling af oplysninger med CSIRT’erne, de kompetente myndigheder eller de centrale kontaktpunkter vedrørende håndtering af hændelsesunderretninger. Medlemsstaterne kan også anvende et enkelt kontaktpunkt, som skal overholde den sektorspecifikke EU-retsakt, forenkle rapporteringen og gennemføre den automatiske og direkte rapporteringsmekanisme. |
| --- | --- |

26.

Øjeblikkelig adgang kan gives ved hjælp af automatiske og direkte midler, som medlemsstaterne bør indføre, hvor det er relevant. Automatiske og direkte rapporteringsmekanismer sikrer systematisk og øjeblikkelig udveksling af oplysninger med CSIRT’erne, de kompetente myndigheder eller de centrale kontaktpunkter vedrørende håndtering af hændelsesunderretninger. Medlemsstaterne kan også anvende et enkelt kontaktpunkt, som skal overholde den sektorspecifikke EU-retsakt, forenkle rapporteringen og gennemføre den automatiske og direkte rapporteringsmekanisme.

| 27. | Ved vurderingen af, om kravene i en sektorspecifik EU-retsakt om anmeldelse af væsentlige hændelser har en virkning, der mindst svarer til dem, der er fastsat i artikel 23, stk. 1-6, i direktiv (EU) 2022/2555, bør kravene i denne sektorspecifikke EU-retsakt som minimum svare til kravene i artikel 23, stk. 1-6, eller fastsætte mere detaljerede bestemmelser end disse bestemmelser. Kravene bør vedrøre den type hændelser, der skal indberettes i henhold til direktiv (EU) 2022/2555, idet der navnlig tages hensyn til modtagerne, indholdet og de gældende tidsrammer. |
| --- | --- |

27.

Ved vurderingen af, om kravene i en sektorspecifik EU-retsakt om anmeldelse af væsentlige hændelser har en virkning, der mindst svarer til dem, der er fastsat i artikel 23, stk. 1-6, i direktiv (EU) 2022/2555, bør kravene i denne sektorspecifikke EU-retsakt som minimum svare til kravene i artikel 23, stk. 1-6, eller fastsætte mere detaljerede bestemmelser end disse bestemmelser. Kravene bør vedrøre den type hændelser, der skal indberettes i henhold til direktiv (EU) 2022/2555, idet der navnlig tages hensyn til modtagerne, indholdet og de gældende tidsrammer.

III.   KONSEKVENSER AF ÆKVIVALENS

KONSEKVENSER AF ÆKVIVALENS

III.1.   Tilsyn og håndhævelse

Tilsyn og håndhævelse

| 28. | Hvis sektorspecifikke EU-retsakter har en virkning, der mindst svarer til de forpligtelser, der er fastsat i direktiv (EU) 2022/2555, er det ikke kun de relevante bestemmelser i nævnte direktiv vedrørende forpligtelsen til at træffe foranstaltninger til styring af cybersikkerhedsrisici eller til at underrette om væsentlige hændelser, der ikke finder anvendelse, men også de bestemmelser om tilsyn og håndhævelse, der er fastsat i kapitel VII i direktiv (EU) 2022/2555. |
| --- | --- |

28.

Hvis sektorspecifikke EU-retsakter har en virkning, der mindst svarer til de forpligtelser, der er fastsat i direktiv (EU) 2022/2555, er det ikke kun de relevante bestemmelser i nævnte direktiv vedrørende forpligtelsen til at træffe foranstaltninger til styring af cybersikkerhedsrisici eller til at underrette om væsentlige hændelser, der ikke finder anvendelse, men også de bestemmelser om tilsyn og håndhævelse, der er fastsat i kapitel VII i direktiv (EU) 2022/2555.

| 29. | I betragtning 25 i præamblen til direktiv (EU) 2022/2555 forklares det, at sektorspecifikke EU-retsakter, der har mindst samme virkning, kan fastsætte, at de kompetente myndigheder i henhold til disse retsakter udøver deres tilsyns- og håndhævelsesbeføjelser i forbindelse med forpligtelser til styring af cybersikkerhedsrisici eller underretninger med bistand fra de kompetente myndigheder i henhold til direktiv (EU) 2022/2555. De berørte kompetente myndigheder kan etablere samarbejdsordninger med henblik herpå, herunder procedurer for koordinering af tilsynsaktiviteter, procedurer for undersøgelser og kontrolbesøg på stedet i overensstemmelse med national ret og en mekanisme til udveksling af relevante oplysninger om tilsyn og håndhævelse mellem de kompetente myndigheder. En sådan mekanisme til udveksling af relevante oplysninger kan indebære adgang til cyberrelaterede oplysninger, som de kompetente myndigheder anmoder om i henhold til direktiv (EU) 2022/2555. |
| --- | --- |

29.

I betragtning 25 i præamblen til direktiv (EU) 2022/2555 forklares det, at sektorspecifikke EU-retsakter, der har mindst samme virkning, kan fastsætte, at de kompetente myndigheder i henhold til disse retsakter udøver deres tilsyns- og håndhævelsesbeføjelser i forbindelse med forpligtelser til styring af cybersikkerhedsrisici eller underretninger med bistand fra de kompetente myndigheder i henhold til direktiv (EU) 2022/2555. De berørte kompetente myndigheder kan etablere samarbejdsordninger med henblik herpå, herunder procedurer for koordinering af tilsynsaktiviteter, procedurer for undersøgelser og kontrolbesøg på stedet i overensstemmelse med national ret og en mekanisme til udveksling af relevante oplysninger om tilsyn og håndhævelse mellem de kompetente myndigheder. En sådan mekanisme til udveksling af relevante oplysninger kan indebære adgang til cyberrelaterede oplysninger, som de kompetente myndigheder anmoder om i henhold til direktiv (EU) 2022/2555.

III.2.   National cybersikkerhedsstrategi

National cybersikkerhedsstrategi

| 30. | Hver medlemsstat skal vedtage en national cybersikkerhedsstrategi i henhold til artikel 7, stk. 1, i direktiv (EU) 2022/2555. En national cybersikkerhedsstrategi er en sammenhængende ramme i en medlemsstat, der fastsætter strategiske mål og prioriteter på cybersikkerhedsområdet og forvaltningen med henblik på at nå disse mål og prioriteter i den pågældende medlemsstat (jf. artikel 6, nr. 4), i direktiv (EU) 2022/2555). Cybersikkerhedsstrategien skal bl.a. omfatte mål og prioriteter, der navnlig dækker de sektorer, der er omhandlet i bilag I og II til direktiv (EU) 2022/2555. Desuden skal strategien omfatte en forvaltningsramme for at nå disse mål og prioriteter, herunder de politikker, der er omhandlet i artikel 7, stk. 2, i direktiv (EU) 2022/2555. |
| --- | --- |

30.

Hver medlemsstat skal vedtage en national cybersikkerhedsstrategi i henhold til artikel 7, stk. 1, i direktiv (EU) 2022/2555. En national cybersikkerhedsstrategi er en sammenhængende ramme i en medlemsstat, der fastsætter strategiske mål og prioriteter på cybersikkerhedsområdet og forvaltningen med henblik på at nå disse mål og prioriteter i den pågældende medlemsstat (jf. artikel 6, nr. 4), i direktiv (EU) 2022/2555). Cybersikkerhedsstrategien skal bl.a. omfatte mål og prioriteter, der navnlig dækker de sektorer, der er omhandlet i bilag I og II til direktiv (EU) 2022/2555. Desuden skal strategien omfatte en forvaltningsramme for at nå disse mål og prioriteter, herunder de politikker, der er omhandlet i artikel 7, stk. 2, i direktiv (EU) 2022/2555.

| 31. | Herudover fastsættes det i artikel 7, stk. 1, litra c), i direktiv (EU) 2022/2555, at den nationale cybersikkerhedsstrategi skal omfatte en forvaltningsramme, der præciserer de relevante interessenters roller og ansvarsområder på nationalt plan og understøtter samarbejdet og koordineringen på nationalt plan mellem de kompetente myndigheder, de centrale kontaktpunkter og CSIRT’erne i henhold til direktiv (EU) 2022/2555 samt koordinering og samarbejde mellem disse organer og kompetente myndigheder i henhold til sektorspecifikke EU-retsakter. |
| --- | --- |

31.

Herudover fastsættes det i artikel 7, stk. 1, litra c), i direktiv (EU) 2022/2555, at den nationale cybersikkerhedsstrategi skal omfatte en forvaltningsramme, der præciserer de relevante interessenters roller og ansvarsområder på nationalt plan og understøtter samarbejdet og koordineringen på nationalt plan mellem de kompetente myndigheder, de centrale kontaktpunkter og CSIRT’erne i henhold til direktiv (EU) 2022/2555 samt koordinering og samarbejde mellem disse organer og kompetente myndigheder i henhold til sektorspecifikke EU-retsakter.

| 32. | Kravet om vedtagelse af en cybersikkerhedsstrategi i henhold til artikel 7 i direktiv (EU) 2022/2555 vedrører derfor hverken de cybersikkerhedskrav, der pålægges væsentlige og vigtige enheder i henhold til nævnte direktivs artikel 21 og 23, eller de bestemmelser vedrørende deres tilsyn og håndhævelse, der er fastsat i kapitel VII som krævet i direktivets artikel 4, stk. 1 og 2. Den relevante bestemmelse i artikel 7 bør fortsat finde anvendelse på sektorer, delsektorer og typer af enheder, for hvilke der findes sektorspecifikke EU-retsakter som omhandlet i artikel 4 i direktiv (EU) 2022/2555. |
| --- | --- |

32.

Kravet om vedtagelse af en cybersikkerhedsstrategi i henhold til artikel 7 i direktiv (EU) 2022/2555 vedrører derfor hverken de cybersikkerhedskrav, der pålægges væsentlige og vigtige enheder i henhold til nævnte direktivs artikel 21 og 23, eller de bestemmelser vedrørende deres tilsyn og håndhævelse, der er fastsat i kapitel VII som krævet i direktivets artikel 4, stk. 1 og 2. Den relevante bestemmelse i artikel 7 bør fortsat finde anvendelse på sektorer, delsektorer og typer af enheder, for hvilke der findes sektorspecifikke EU-retsakter som omhandlet i artikel 4 i direktiv (EU) 2022/2555.

III.3.   Udpegelse af CSIRT’er

Udpegelse af CSIRT’er

| 33. | I henhold til artikel 10, stk. 1, i direktiv (EU) 2022/2555 skal medlemsstaterne udpege eller oprette en eller flere CSIRT’er, som mindst skal dække de sektorer, delsektorer og typer af enheder, der er omhandlet i bilag I og II til direktivet, og således omfatte de sektorer, delsektorer og typer af enheder, for hvilke der findes sektorspecifikke EU-retsakter. CSIRT’er vil normalt også udføre deres opgaver som fastsat i artikel 11, stk. 3, i direktiv (EU) 2022/2555 i denne henseende, medmindre særlige opgaver er specificeret i de sektorspecifikke EU-retsakter. |
| --- | --- |

33.

I henhold til artikel 10, stk. 1, i direktiv (EU) 2022/2555 skal medlemsstaterne udpege eller oprette en eller flere CSIRT’er, som mindst skal dække de sektorer, delsektorer og typer af enheder, der er omhandlet i bilag I og II til direktivet, og således omfatte de sektorer, delsektorer og typer af enheder, for hvilke der findes sektorspecifikke EU-retsakter. CSIRT’er vil normalt også udføre deres opgaver som fastsat i artikel 11, stk. 3, i direktiv (EU) 2022/2555 i denne henseende, medmindre særlige opgaver er specificeret i de sektorspecifikke EU-retsakter.

III.4.   Nationale rammer for cyberkrisestyring og EU-CyCLONe

Nationale rammer for cyberkrisestyring og EU-CyCLONe

| 34. | I henhold til artikel 9, stk. 1, i direktiv (EU) 2022/2555 skal medlemsstaterne udpege eller oprette en eller flere cyberkrisestyringsmyndigheder, som er ansvarlige for håndteringen af væsentlige cybersikkerhedshændelser og -kriser. I henhold til direktivets artikel 6, nr. 7), er en omfattende cybersikkerhedshændelse en hændelse, der forårsager en forstyrrelse, der overstiger en medlemsstats kapacitet til at reagere på den, eller som har en betydelig indvirkning på mindst to medlemsstater. I henhold til artikel 9, stk. 4, i direktiv (EU) 2022/2555 skal medlemsstaterne også vedtage en national plan for omfattende cybersikkerhedshændelser og -kriser, hvor målene for og ordningerne for håndtering af væsentlige cybersikkerhedshændelser og -kriser er fastsat. Denne plan bør bl.a. fastlægge cyberkrisestyringsprocedurerne, herunder deres integration i den generelle nationale krisestyringsramme og informationsudvekslingskanaler, de relevante involverede offentlige og private interessenter og den involverede infrastruktur. Sådanne cyberkrisestyringsprocedurer og relevante offentlige og private interessenter og infrastruktur kan omfatte sektorspecifikke procedurer og interessenter. |
| --- | --- |

34.

I henhold til artikel 9, stk. 1, i direktiv (EU) 2022/2555 skal medlemsstaterne udpege eller oprette en eller flere cyberkrisestyringsmyndigheder, som er ansvarlige for håndteringen af væsentlige cybersikkerhedshændelser og -kriser. I henhold til direktivets artikel 6, nr. 7), er en omfattende cybersikkerhedshændelse en hændelse, der forårsager en forstyrrelse, der overstiger en medlemsstats kapacitet til at reagere på den, eller som har en betydelig indvirkning på mindst to medlemsstater. I henhold til artikel 9, stk. 4, i direktiv (EU) 2022/2555 skal medlemsstaterne også vedtage en national plan for omfattende cybersikkerhedshændelser og -kriser, hvor målene for og ordningerne for håndtering af væsentlige cybersikkerhedshændelser og -kriser er fastsat. Denne plan bør bl.a. fastlægge cyberkrisestyringsprocedurerne, herunder deres integration i den generelle nationale krisestyringsramme og informationsudvekslingskanaler, de relevante involverede offentlige og private interessenter og den involverede infrastruktur. Sådanne cyberkrisestyringsprocedurer og relevante offentlige og private interessenter og infrastruktur kan omfatte sektorspecifikke procedurer og interessenter.

| 35. | Ved artikel 16 i direktiv (EU) 2022/2555 oprettes det europæiske netværk af forbindelsesorganisationer for cyberkriser (EU-CyCLONe), som har til formål at støtte den koordinerede håndtering af omfattende cybersikkerhedshændelser og -kriser på operationelt plan og sikre regelmæssig udveksling af relevante oplysninger mellem medlemsstaterne og Unionens institutioner, organer og agenturer. |
| --- | --- |

35.

Ved artikel 16 i direktiv (EU) 2022/2555 oprettes det europæiske netværk af forbindelsesorganisationer for cyberkriser (EU-CyCLONe), som har til formål at støtte den koordinerede håndtering af omfattende cybersikkerhedshændelser og -kriser på operationelt plan og sikre regelmæssig udveksling af relevante oplysninger mellem medlemsstaterne og Unionens institutioner, organer og agenturer.

| 36. | Eftersom artikel 9 om rammer for cyberkrisestyring og artikel 16 om EU-CyCLONe ikke vedrører de cybersikkerhedskrav, der pålægges enheder i henhold til artikel 21 og 23 i direktiv (EU) 2022/2555, eller det tilsyn og den håndhævelse, der er fastsat i kapitel VII som krævet i artikel 4, stk. 1 og 2, i nævnte direktiv, bør artikel 9 og 16 finde anvendelse i deres helhed på sektorer, selv om der findes sektorspecifikke EU-retsakter som omhandlet i artikel 4. Som følge heraf skal medlemsstaterne udpege eller oprette en eller flere cyberkrisestyringsmyndigheder med ansvar for håndtering af væsentlige cybersikkerhedshændelser og -kriser, der opstår i de sektorer, der er omfattet af sektorspecifikke EU-retsakter. Desuden bør sektorer, der er omfattet af sektorspecifikke EU-retsakter, ikke tilsidesættes ved vedtagelsen af den nationale plan for omfattende cybersikkerhedshændelser og kriserespons. Endelig bør EU-CyCLONe udføre sine opgaver som fastsat i artikel 16 i direktiv (EU) 2022/2555 med hensyn til sektorer, hvor enheder er omfattet af sektorspecifikke EU-retsakter. |
| --- | --- |

36.

Eftersom artikel 9 om rammer for cyberkrisestyring og artikel 16 om EU-CyCLONe ikke vedrører de cybersikkerhedskrav, der pålægges enheder i henhold til artikel 21 og 23 i direktiv (EU) 2022/2555, eller det tilsyn og den håndhævelse, der er fastsat i kapitel VII som krævet i artikel 4, stk. 1 og 2, i nævnte direktiv, bør artikel 9 og 16 finde anvendelse i deres helhed på sektorer, selv om der findes sektorspecifikke EU-retsakter som omhandlet i artikel 4. Som følge heraf skal medlemsstaterne udpege eller oprette en eller flere cyberkrisestyringsmyndigheder med ansvar for håndtering af væsentlige cybersikkerhedshændelser og -kriser, der opstår i de sektorer, der er omfattet af sektorspecifikke EU-retsakter. Desuden bør sektorer, der er omfattet af sektorspecifikke EU-retsakter, ikke tilsidesættes ved vedtagelsen af den nationale plan for omfattende cybersikkerhedshændelser og kriserespons. Endelig bør EU-CyCLONe udføre sine opgaver som fastsat i artikel 16 i direktiv (EU) 2022/2555 med hensyn til sektorer, hvor enheder er omfattet af sektorspecifikke EU-retsakter.

III.5.   Udelukkelse af anvendelsen af artikel 3, stk. 3 og 4, artikel 20 og artikel 27, stk. 2 og 3

Udelukkelse af anvendelsen af artikel 3, stk. 3 og 4, artikel 20 og artikel 27, stk. 2 og 3

| 37. | I henhold til artikel 3, stk. 3, i direktiv (EU) 2022/2555 skal medlemsstaterne udarbejde en liste over væsentlige og vigtige enheder samt enheder, der leverer domænenavnsregistreringstjenester, der er omfattet af direktivets anvendelsesområde. I henhold til artikel 27, stk. 2, skal medlemsstaterne kræve, at de enheder, der er omhandlet i artikel 27, stk. 1, i nævnte direktiv, fremsender visse oplysninger til de kompetente myndigheder. Da formålet med disse bestemmelser er at sikre et klart overblik over de enheder, der er omfattet af anvendelsesområdet for direktiv (EU) 2022/2555, for at støtte tilsynet med væsentlige og vigtige enheder, der er omfattet af dets anvendelsesområde, følger det heraf, at disse bestemmelser ikke bør finde anvendelse på enheder, for hvilke en sektorspecifik EU-retsakt finder anvendelse med hensyn til krav vedrørende styring af cybersikkerhedsrisici og rapportering. Dette forhindrer ikke medlemsstaterne i at medtage sådanne enheder på listen.
  I henhold til artikel 20, stk. 1, i direktiv (EU) 2022/2555 skal ledelsesorganer i væsentlige og vigtige enheder godkende de cybersikkerhedsforanstaltninger, som disse enheder har truffet for at overholde artikel 21, og føre tilsyn med deres gennemførelse, ligesom de kan drages til ansvar for overtrædelser begået af enhederne i nævnte artikel. I henhold til artikel 20, stk. 2, i nævnte direktiv sikrer medlemsstaterne, at medlemmerne af ledelsesorganerne i væsentlige og vigtige enheder har pligt til at følge kurser, og tilskynder væsentlige og vigtige enheder til regelmæssigt at tilbyde deres ansatte tilsvarende kurser, således at de opnår tilstrækkelige kundskaber og færdigheder til at kunne identificere risici og vurdere metoderne til styring af cybersikkerhedsrisici og deres indvirkning på de tjenester, der leveres af enheden. Da de forpligtelser, der følger af artikel 20 i direktiv (EU) 2022/2555, er uløseligt forbundet med kravene i nævnte direktivs artikel 21, følger det heraf, at artikel 20 ikke bør finde anvendelse i tilfælde af sektorspecifikke EU-retsakter som omhandlet i artikel 4 i nævnte direktiv, der finder anvendelse med hensyn til krav til styring af cybersikkerhedsrisici. |
| --- | --- |

37.

I henhold til artikel 3, stk. 3, i direktiv (EU) 2022/2555 skal medlemsstaterne udarbejde en liste over væsentlige og vigtige enheder samt enheder, der leverer domænenavnsregistreringstjenester, der er omfattet af direktivets anvendelsesområde. I henhold til artikel 27, stk. 2, skal medlemsstaterne kræve, at de enheder, der er omhandlet i artikel 27, stk. 1, i nævnte direktiv, fremsender visse oplysninger til de kompetente myndigheder. Da formålet med disse bestemmelser er at sikre et klart overblik over de enheder, der er omfattet af anvendelsesområdet for direktiv (EU) 2022/2555, for at støtte tilsynet med væsentlige og vigtige enheder, der er omfattet af dets anvendelsesområde, følger det heraf, at disse bestemmelser ikke bør finde anvendelse på enheder, for hvilke en sektorspecifik EU-retsakt finder anvendelse med hensyn til krav vedrørende styring af cybersikkerhedsrisici og rapportering. Dette forhindrer ikke medlemsstaterne i at medtage sådanne enheder på listen.

I henhold til artikel 20, stk. 1, i direktiv (EU) 2022/2555 skal ledelsesorganer i væsentlige og vigtige enheder godkende de cybersikkerhedsforanstaltninger, som disse enheder har truffet for at overholde artikel 21, og føre tilsyn med deres gennemførelse, ligesom de kan drages til ansvar for overtrædelser begået af enhederne i nævnte artikel. I henhold til artikel 20, stk. 2, i nævnte direktiv sikrer medlemsstaterne, at medlemmerne af ledelsesorganerne i væsentlige og vigtige enheder har pligt til at følge kurser, og tilskynder væsentlige og vigtige enheder til regelmæssigt at tilbyde deres ansatte tilsvarende kurser, således at de opnår tilstrækkelige kundskaber og færdigheder til at kunne identificere risici og vurdere metoderne til styring af cybersikkerhedsrisici og deres indvirkning på de tjenester, der leveres af enheden. Da de forpligtelser, der følger af artikel 20 i direktiv (EU) 2022/2555, er uløseligt forbundet med kravene i nævnte direktivs artikel 21, følger det heraf, at artikel 20 ikke bør finde anvendelse i tilfælde af sektorspecifikke EU-retsakter som omhandlet i artikel 4 i nævnte direktiv, der finder anvendelse med hensyn til krav til styring af cybersikkerhedsrisici.

---

(1)  
  EUT L 333 af 27.12.2022, s. 80.

1

(2)  Jf. betragtning 78, 81 og 82 i præamblen til direktiv (EU) 2022/2555.

2

(3)  Artikel 2, stk. 1, i Europa-Parlamentets og Rådets direktiv (EU) 2018/1972 af 11. december 2018 om oprettelse af en europæisk kodeks for elektronisk kommunikation (EUT L 321 af 17.12.2018, s. 36).

3

(4)  Jf. betragtning 79 i præamblen til direktiv (EU) 2022/2555.

4

(5)  Jf. kapitel D Supplerende regler til gennemførelse af basisretsakten, ikkebindende kriterier for anvendelse af artikel 290 og 291 i traktaten om Den Europæiske Unions funktionsmåde — 18. juni 2019 (EUT C 223 af 3.7.2019, s. 1).

5

(6)  Jf. kapitel D Supplerende regler til gennemførelse af basisretsakten, ikkebindende kriterier for anvendelse af artikel 290 og 291 i traktaten om Den Europæiske Unions funktionsmåde — 18. juni 2019 (EUT C 223 af 3.7.2019, s. 1).

6

(7)  Jf. betragtning 101 i præamblen til direktiv (EU) 2022/2555.

7

---

TILLÆG

Sektorspecifikke EU-retsakter

Forordning (EU) 2022/2554 (forordningen om digital operationel modstandsdygtighed i den finansielle sektor)
   (1)

| 1. | I artikel 1, stk. 2, i forordning (EU) 2022/2554 (forordningen om digital operationel modstandsdygtighed, DORA) fastsættes det, at for så vidt angår finansielle enheder, der er omfattet af direktiv (EU) 2022/2555 og de tilsvarende nationale gennemførelsesbestemmelser, betragtes forordning (EU) 2022/2554 som en sektorspecifik EU-retsakt med henblik på artikel 4 i direktiv (EU) 2022/2555. Denne erklæring afspejles i betragtning 28 i præamblen til direktiv (EU) 2022/2555, hvori det hedder, at DORA bør betragtes som en sektorspecifik EU-retsakt i forbindelse med direktiv (EU) 2022/2555 for så vidt angår finansielle enheder. Derfor finder bestemmelserne i forordning (EU) 2022/2554 om risikostyring inden for informations- og kommunikationsteknologi (IKT) (artikel 6 ff.), håndtering af IKT-relaterede hændelser og navnlig indberetning af større IKT-relaterede hændelser (artikel 17 ff.) samt om test af digital operationel modstandsdygtighed (artikel 24 ff.), ordninger for udveksling af oplysninger (artikel 25) og IKT-tredjepartsrisiko (artikel 28 ff.) anvendelse i stedet for bestemmelserne i direktiv (EU) 2022/2555. Medlemsstaterne bør derfor ikke anvende bestemmelserne i direktiv (EU) 2022/2555 om forpligtelser vedrørende styring og rapportering af cybersikkerhedsrisici samt tilsyn og håndhævelse på finansielle enheder, der er omfattet af forordning (EU) 2022/2554. |
| --- | --- |

1.

| 2. | I denne forbindelse betragtes finansielle enheder som enheder, der er omhandlet i artikel 2, stk. 1, litra a)-t), i forordning (EU) 2022/2554. De typer enheder, der er omfattet af anvendelsesområdet for forordning (EU) 2022/2554 som finansielle enheder samt af anvendelsesområdet for direktiv (EU) 2022/2555 som væsentlige eller vigtige enheder, omfatter kreditinstitutter, markedspladser og centrale modparter. Da det er vigtigt at opretholde stærke forbindelser og udveksling af oplysninger med den finansielle sektor i henhold til direktiv (EU) 2022/2555, kan de europæiske tilsynsmyndigheder og de kompetente myndigheder i henhold til forordning (EU) 2022/2554 anmode om at deltage i samarbejdsgruppens (2) aktiviteter og udveksle oplysninger og samarbejde med de centrale kontaktpunkter samt med CSIRT’erne og de kompetente myndigheder i henhold til direktiv (EU) 2022/2555 (3). De kompetente myndigheder i henhold til forordning (EU) 2022/2554 bør også fremsende oplysninger om større IKT-relaterede hændelser og, hvor det er relevant, væsentlige cybertrusler til CSIRT’erne, de kompetente myndigheder eller de centrale kontaktpunkter i henhold til direktiv (EU) 2022/2555. Dette kan opnås ved at give øjeblikkelig adgang til hændelsesunderretninger og videresende dem enten direkte eller via et enkelt kontaktpunkt. CSIRT’er bør være i stand til at dække den finansielle sektor i deres aktiviteter (4). Medlemsstaterne bør fortsat medtage den finansielle sektor i deres cybersikkerhedsstrategier. Bestemmelserne om nationale rammer for cyberkrisestyring (artikel 9 i direktiv (EU) 2022/2555) og EU-CyCLONe (artikel 16 i direktiv (EU) 2022/2555) bør fortsat finde anvendelse på enheder, der er omfattet af anvendelsesområdet for forordning (EU) 2022/2554. |
| --- | --- |

2.

---

(1)  Europa-Parlamentets og Rådets forordning (EU) 2022/2554 af 14. december 2022 om digital operationel modstandsdygtighed i den finansielle sektor og om ændring af forordning (EF) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 og (EU) 2016/1011 (EUT L 333 af 27.12.2022, s. 1).

(2)  Artikel 14, stk. 3, i direktiv (EU) 2022/2555 og artikel 47, stk. 1, i forordning (EU) 2022/2554.

(3)  Jf. betragtning 28 i direktiv (EU) 2022/2555.

(4)  Ibid.

---

IV Oplysninger

OPLYSNINGER FRA DEN EUROPÆISKE UNIONS INSTITUTIONER, ORGANER, KONTORER OG AGENTURER

Rådet

| 18.9.2023 | DA | Den Europæiske Unions Tidende | C 328/11 |
| --- | --- | --- | --- |

18.9.2023

DA

Den Europæiske Unions Tidende

C 328/11

---

Bekendtgørelse til de personer og enheder, som er omfattet af foranstaltningerne i Rådets afgørelse 2011/235/FUSP som gennemført ved Rådets gennemførelsesafgørelse (FUSP) 2023/1780 og i Rådets forordning (EU) nr. 359/2011 som gennemført ved Rådets gennemførelsesforordning (EU) 2023/1779 om restriktive foranstaltninger over for visse personer, enheder og organer på baggrund af situationen i Iran

(2023/C 328/03)

Følgende oplysninger bekendtgøres hermed for de personer og enheder, der er opført i bilaget til Rådets afgørelse 2011/235/FUSP (1) som gennemført ved gennemførelsesafgørelse (FUSP) 2023/1780 (2) og i bilag I til Rådets forordning (EU) nr. 359/2011 (3) som gennemført ved gennemførelsesforordning (EU) 2023/1779 (4) om restriktive foranstaltninger over for visse personer, enheder og organer på baggrund af situationen i Iran.

1

2

3

4

Rådet for Den Europæiske Union har besluttet, at disse personer og enheder skal opføres på listen over personer og enheder, der er omfattet af restriktive foranstaltninger som fastsat i afgørelse 2011/235/FUSP og i forordning (EU) nr. 359/2011.

De pågældende personer og enheder gøres opmærksom på muligheden for at indgive en anmodning til de kompetente myndigheder i den eller de relevante medlemsstater, jf. de websteder, der er nævnt i bilag II til forordning (EU) nr. 359/2011, med henblik på at opnå tilladelse til at anvende indefrosne pengemidler til dækning af basale behov eller til specifikke betalinger (jf. forordningens artikel 4).

De berørte personer og enheder kan inden den 1. januar 2024 indgive en anmodning med tilhørende dokumentation om, at afgørelsen om at opføre dem på ovennævnte liste tages op til fornyet overvejelse, til Rådet på følgende adresse:

| Rådet for Den Europæiske Union |
| --- |
| Generalsekretariatet |
| RELEX.1 |
| Rue de la Loi/Wetstraat 175 |
| 1048 Bruxelles/Brussel |
| BELGIQUE/BELGIË |

Rådet for Den Europæiske Union

Generalsekretariatet

RELEX.1

Rue de la Loi/Wetstraat 175

1048 Bruxelles/Brussel

BELGIQUE/BELGIË

E-mail: sanctions@consilium.europa.eu

Der gøres ligeledes opmærksom på, at de berørte personer og enheder har mulighed for at indbringe Rådets afgørelse for Den Europæiske Unions Ret på de betingelser, der er fastsat i artikel 275, stk. 2, og artikel 263, stk. 4 og 6, i traktaten om Den Europæiske Unions funktionsmåde.

---

(1)  
  EUT L 100 af 14.4.2011, s. 51.

1

(2)  
  EUT L 228 I af 15.9.2023, s. 6.

2

(3)  
  EUT L 100 af 14.4.2011, s. 1.

3

(4)  
  EUT L 228 I af 15.9.2023, s. 1.

4

---

| 18.9.2023 | DA | Den Europæiske Unions Tidende | C 328/13 |
| --- | --- | --- | --- |

18.9.2023

DA

Den Europæiske Unions Tidende

C 328/13

---

Bekendtgørelse til de registrerede, der er omfattet af de restriktive foranstaltninger i Rådets afgørelse 2011/235/FUSP og i Rådets forordning (EU) nr. 359/2011 om restriktive foranstaltninger over for visse personer, enheder og organer på baggrund af situationen i Iran

(2023/C 328/04)

De registreredes opmærksomhed henledes på følgende oplysninger i henhold til artikel 16 i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 (1).

1

Retsgrundlagene for denne behandling er Rådets afgørelse 2011/235/FUSP (2) som gennemført ved Rådets gennemførelsesafgørelse (FUSP) 2023/1780 (3) og Rådets forordning (EU) nr. 359/2011 (4) som gennemført ved Rådets gennemførelsesforordning (EU) 2023/1779 (5).

2

3

4

5

Den dataansvarlige for denne behandling er Rådet for Den Europæiske Union repræsenteret ved generaldirektøren for Generaldirektoratet for Eksterne Forbindelser (RELEX) i Generalsekretariatet for Rådet, og den afdeling, der varetager behandlingen, er RELEX.1, som kan kontaktes på følgende adresse:

| Rådet for Den Europæiske Union |
| --- |
| Generalsekretariatet |
| RELEX.1 |
| Rue de la Loi/Wetstraat 175 |
| 1048 Bruxelles/Brussel |
| BELGIQUE/BELGIË |

Rådet for Den Europæiske Union

Generalsekretariatet

RELEX.1

Rue de la Loi/Wetstraat 175

1048 Bruxelles/Brussel

BELGIQUE/BELGIË

E-mail: sanctions@consilium.europa.eu

Rådets databeskyttelsesrådgiver kan kontaktes på følgende e-mailadresse:

| | Databeskyttelsesrådgiver |
| --- | --- |

Databeskyttelsesrådgiver

| | data.protection@consilium.europa.eu |
| --- | --- |

data.protection@consilium.europa.eu

Formålet med behandlingen er at opstille og ajourføre listen over personer, der er omfattet af restriktive foranstaltninger i henhold til afgørelse 2011/235/FUSP som gennemført ved gennemførelsesafgørelse (FUSP) 2023/1780 og forordning (EU) nr. 359/2011 som gennemført ved gennemførelsesforordning (EU) 2023/1779.

De registrerede er de fysiske personer, der opfylder kriterierne for opførelse på listen som fastsat i afgørelse 2011/235/FUSP og forordning (EU) nr. 359/2011.

De indsamlede personoplysninger er oplysninger, der er nødvendige for en korrekt identificering af den pågældende person, begrundelserne og alle andre oplysninger vedrørende grundene til opførelsen.

Retsgrundlagene for behandling af personoplysninger er de rådsafgørelser, der er vedtaget i henhold til artikel 29 i TEU, og de rådsforordninger, der er vedtaget i henhold til artikel 215 i TEUF, og som opfører fysiske personer (registrerede) og pålægger indefrysning af aktiver og rejserestriktioner.

Behandlingen er nødvendig af hensyn til udførelse af en opgave, der udføres i samfundets interesse, jf. artikel 5, stk. 1, litra a), og for at overholde de retlige forpligtelser, der er fastsat i ovennævnte retsakter, og som påhviler den dataansvarlige, jf. artikel 5, stk. 1, litra b), i forordning (EU) 2018/1725.

Behandlingen er nødvendig af hensyn til væsentlige samfundsinteresser, jf. artikel 10, stk. 2, litra g), i forordning (EU) 2018/1725.

Rådet kan indhente personoplysninger om registrerede fra medlemsstaterne og/eller Tjenesten for EU's Optræden Udadtil. Modtagerne af personoplysningerne er medlemsstaterne, Europa-Kommissionen og Tjenesten for EU's Optræden Udadtil.

Alle personoplysninger, der behandles af Rådet i forbindelse med EU's autonome restriktive foranstaltninger, opbevares i fem år fra det tidspunkt, hvor den registrerede er fjernet fra listen over personer, der er omfattet af indefrysningen af aktiver, eller gyldigheden af foranstaltningen er udløbet, eller, hvis der er anlagt sag ved Domstolen, indtil der er afsagt en endelig dom. Personoplysninger i dokumenter, som Rådet har registreret, opbevares af Rådet til arkivformål i samfundets interesse, jf. artikel 4, stk. 1, litra e), i forordning (EU) 2018/1725.

Rådet kan have behov for at udveksle personoplysninger om en registreret med et tredjeland eller en international organisation i forbindelse med Rådets gennemførelse af FN-udpegelser eller i forbindelse med internationalt samarbejde om EU's politik for restriktive foranstaltninger.

I mangel af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet eller fornødne garantier baseres overførsel af personoplysninger til et tredjeland eller en international organisation på følgende betingelse(r) i henhold til artikel 50 i forordning (EU) 2018/1725: overførslen er nødvendig af hensyn til vigtige samfundsinteresser; overførslen er nødvendig for, at retskrav kan fastlægges, gøres gældende eller forsvares.

Der er ingen automatiske afgørelser involveret i behandlingen af den registreredes personoplysninger.

Registrerede har ret til oplysning om og indsigt i deres personoplysninger. De har også ret til at rette og supplere deres oplysninger. Under visse omstændigheder kan de have ret til at få slettet deres personoplysninger eller ret til at gøre indsigelse mod behandling af deres personoplysninger eller til at bede om at få behandlingen begrænset.

Registrerede kan udøve disse rettigheder ved at sende en e-mail til den dataansvarlige med en kopi til databeskyttelsesrådgiveren som anført ovenfor.

Sammen med deres anmodning skal de registrerede vedlægge en kopi af et identifikationsdokument for at bekræfte deres identitet (ID-kort eller pas). Dette dokument skal indeholde et identifikationsnummer og oplysninger om udstedelsesland, gyldighedsperiode, navn, adresse og fødselsdato. Eventuelle andre oplysninger i kopien af identifikationsdokumentet såsom foto eller eventuelle personlige karakteristika kan overstreges med sort.

Registrerede har ret til at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse i overensstemmelse med forordning (EU) 2018/1725 (edps@edps.europa.eu).

Forinden anbefales det, at de registrerede først søger at opnå berigtigelse ved at kontakte den dataansvarlige og/eller Rådets databeskyttelsesrådgiver.

---

(1)  
  EUT L 295 af 21.11.2018, s. 39.

1

(2)  
  EUT L 100 af 14.4.2011, s. 51.

2

(3)  
  EUT L 228 I af 15.9.2023, s. 6.

3

(4)  
  EUT L 100 af 14.4.2011, s. 1.

4

(5)  
  EUT L 228 I af 15.9.2023, s. 1.

5

---

Europa-Kommissionen

| 18.9.2023 | DA | Den Europæiske Unions Tidende | C 328/15 |
| --- | --- | --- | --- |

18.9.2023

DA

Den Europæiske Unions Tidende

C 328/15

---

Oversigt over Europa-Kommissionens afgørelser om godkendelser af markedsføring med henblik på anvendelse og/eller om godkendelser af anvendelse af stoffer, der er opført i bilag XIV til Europa-Parlamentets og Rådets forordning (EF) nr. 1907/2006 om registrering, vurdering og godkendelse af samt begrænsninger for kemikalier (REACH)

(Offentliggjort i henhold til artikel 64, stk. 9, i forordning (EF) nr. 1907/2006
   (1)
  )

(EØS-relevant tekst)

(2023/C 328/05)

Afgørelse om tilbagetrækning af godkendelse

Afgørelse om tilbagetrækning af godkendelse

| Henvisning til afgørelsen (2) | Dato for afgørelsen | Stof | Afgørelsens adressat | Anvendelse, der tilbagetrækningen vedrører | Ophævet afgørelse | Begrundelse for afgørelsen |
| --- | --- | --- | --- | --- | --- | --- |
| C(2023) 6014 | 11. september 2023 | Natriumdichromat EF-nr. 234-190-3 CAS-nr.: 10588-01-9 (vandfri) CAS-nr.: 7789-12-0 (dihydrat) | Gruppo Colle S.r.l., Via G. Di Vittorio 3/5, 59025 Usella, Cantagallo, Prato, Italien | Som bejdsemiddel i uldfarvning med mørke farver | C(2017) 8331 | Revurderingsrapporten dokumenterede ikke, at der ikke findes egnede alternativer for ansøgeren, jf. artikel 60, stk. 4, i forordning (EF) nr. 1907/2006. |

Henvisning til afgørelsen (2)

2

Dato for afgørelsen

Stof

Afgørelsens adressat

Anvendelse, der tilbagetrækningen vedrører

Ophævet afgørelse

Begrundelse for afgørelsen

C(2023) 6014

11. september 2023

Natriumdichromat EF-nr. 234-190-3 CAS-nr.: 10588-01-9 (vandfri) CAS-nr.: 7789-12-0 (dihydrat)

Gruppo Colle S.r.l., Via G. Di Vittorio 3/5, 59025 Usella, Cantagallo, Prato, Italien

Som bejdsemiddel i uldfarvning med mørke farver

C(2017) 8331

Revurderingsrapporten dokumenterede ikke, at der ikke findes egnede alternativer for ansøgeren, jf. artikel 60, stk. 4, i forordning (EF) nr. 1907/2006.

---

(1)  
  EUT L 396 af 30.12.2006, s. 1.

1

(2)  Afgørelsen findes på Europa-Kommissionens websted: Godkendelse (europa.eu).

2

---

| 18.9.2023 | DA | Den Europæiske Unions Tidende | C 328/16 |
| --- | --- | --- | --- |

18.9.2023

DA

Den Europæiske Unions Tidende

C 328/16

---

Euroens vekselkurs (1)

15. september 2023

(2023/C 328/06)

1 euro =

1 euro =

| | Valuta | Kurs |
| --- | --- | --- |
| USD | amerikanske dollar | 1,0658 |
| JPY | japanske yen | 157,50 |
| DKK | danske kroner | 7,4573 |
| GBP | pund sterling | 0,85878 |
| SEK | svenske kroner | 11,8730 |
| CHF | schweiziske franc | 0,9554 |
| ISK | islandske kroner | 145,30 |
| NOK | norske kroner | 11,4220 |
| BGN | bulgarske lev | 1,9558 |
| CZK | tjekkiske koruna | 24,496 |
| HUF | ungarske forint | 383,75 |
| PLN | polske zloty | 4,6308 |
| RON | rumænske leu | 4,9698 |
| TRY | tyrkiske lira | 28,7513 |
| AUD | australske dollar | 1,6498 |
| CAD | canadiske dollar | 1,4409 |
| HKD | hongkongske dollar | 8,3416 |
| NZD | newzealandske dollar | 1,8008 |
| SGD | singaporeanske dollar | 1,4524 |
| KRW | sydkoreanske won | 1 415,78 |
| ZAR | sydafrikanske rand | 20,2968 |
| CNY | kinesiske renminbi yuan | 7,7561 |
| IDR | indonesiske rupiah | 16 379,21 |
| MYR | malaysiske ringgit | 4,9922 |
| PHP | filippinske pesos | 60,612 |
| RUB | russiske rubler | |
| THB | thailandske bath | 38,145 |
| BRL | brasilianske real | 5,1860 |
| MXN | mexicanske pesos | 18,2275 |
| INR | indiske rupee | 88,6150 |

Valuta

Kurs

USD

amerikanske dollar

1,0658

JPY

japanske yen

157,50

DKK

danske kroner

7,4573

GBP

pund sterling

0,85878

SEK

svenske kroner

11,8730

CHF

schweiziske franc

0,9554

ISK

islandske kroner

145,30

NOK

norske kroner

11,4220

BGN

bulgarske lev

1,9558

CZK

tjekkiske koruna

24,496

HUF

ungarske forint

383,75

PLN

polske zloty

4,6308

RON

rumænske leu

4,9698

TRY

tyrkiske lira

28,7513

AUD

australske dollar

1,6498

CAD

canadiske dollar

1,4409

HKD

hongkongske dollar

8,3416

NZD

newzealandske dollar

1,8008

SGD

singaporeanske dollar

1,4524

KRW

sydkoreanske won

1 415,78

ZAR

sydafrikanske rand

20,2968

CNY

kinesiske renminbi yuan

7,7561

IDR

indonesiske rupiah

16 379,21

MYR

malaysiske ringgit

4,9922

PHP

filippinske pesos

60,612

RUB

russiske rubler

THB

thailandske bath

38,145

BRL

brasilianske real

5,1860

MXN

mexicanske pesos

18,2275

INR

indiske rupee

88,6150

---

(1)  
  Kilde: Referencekurs offentliggjort af Den Europæiske Centralbank.

1

Kilde

---

V Øvrige meddelelser

PROCEDURER VEDRØRENDE GENNEMFØRELSEN AF KONKURRENCEPOLITIKKEN

Europa-Kommissionen

| 18.9.2023 | DA | Den Europæiske Unions Tidende | C 328/17 |
| --- | --- | --- | --- |

18.9.2023

DA

Den Europæiske Unions Tidende

C 328/17

---

Anmeldelse af en planlagt fusion

(Sag M.11239 — EDF / CREDIT MUTUEL / ILE-DE-FRANCE BUILDING)

Behandles eventuelt efter den forenklede procedure

(EØS-relevant tekst)

(2023/C 328/07)

1.

Anmeldelsen vedrører følgende virksomheder:

| — | SAS C91 (Frankrig), som kontrolleres af Électricité de France (»EDF«, Frankrig) |
| --- | --- |

—

SAS C91 (Frankrig), som kontrolleres af Électricité de France (»EDF«, Frankrig)

| — | La Française Real Estate Managers (»La Française«, Frankrig), som kontrolleres af Caisse Régionale Crédit Mutuel Nord Europe (Frankrig), der selv er en del af Crédit Mutuel-koncernen (Frankrig) |
| --- | --- |

—

La Française Real Estate Managers (»La Française«, Frankrig), som kontrolleres af Caisse Régionale Crédit Mutuel Nord Europe (Frankrig), der selv er en del af Crédit Mutuel-koncernen (Frankrig)

| — | En bygning beliggende i Ile-de-France (»bygningen«, Frankrig). |
| --- | --- |

—

En bygning beliggende i Ile-de-France (»bygningen«, Frankrig).

EDF og Crédit Mutuel erhverver fælles kontrol, jf. fusionsforordningens artikel 3, stk. 1, litra b), over hele bygningen.

Den planlagte fusion gennemføres ved opkøb af aktiver.

2.

| — | EDF: aktiv i Frankrig og i udlandet inden for produktion og engrossalg af elektricitet, transmission, distribution og levering af elektricitet, levering af andre elektricitetsrelaterede tjenester og i mindre omfang produktion og engros- og detailsalg af gas |
| --- | --- |

—

EDF: aktiv i Frankrig og i udlandet inden for produktion og engrossalg af elektricitet, transmission, distribution og levering af elektricitet, levering af andre elektricitetsrelaterede tjenester og i mindre omfang produktion og engros- og detailsalg af gas

| — | Crédit Mutuel: aktiv inden for levering af bank- og finanstjenester primært i Frankrig. Crédit Mutuel-koncernen tilbyder gennem sit datterselskab La Française tjenesteydelser inden for ejendomsadministration. |
| --- | --- |

—

Crédit Mutuel: aktiv inden for levering af bank- og finanstjenester primært i Frankrig. Crédit Mutuel-koncernen tilbyder gennem sit datterselskab La Française tjenesteydelser inden for ejendomsadministration.

3.

Bygningen indeholder kontorer og forretning og er beliggende på avenue de France, nr. 111, 75013 Paris, Frankrig.

4.

Det bemærkes, at denne sag eventuelt vil blive behandlet efter den forenklede procedure i overensstemmelse med Kommissionens meddelelse om en forenklet procedure for behandling af bestemte fusioner efter Rådets forordning (EF) nr. 139/2004 (2).

5.

Alle bemærkninger skal være Europa-Kommissionen i hænde senest 10 dage efter offentliggørelsen af denne meddelelse Angiv altid referencen:

M.11239 — EDF / CREDIT MUTUEL / ILE-DE-FRANCE BUILDING

Bemærkningerne kan sendes til Kommissionen pr. e-mail eller brev. Benyt venligst følgende kontaktoplysninger:

E-mail: COMP-MERGER-REGISTRY@ec.europa.eu

Postadresse:

| European Commission |
| --- |
| Directorate-General for Competition |
| Merger Registry |
| 1049 Bruxelles/Brussel |
| BELGIQUE/BELGIË |

European Commission

Directorate-General for Competition

Merger Registry

1049 Bruxelles/Brussel

BELGIQUE/BELGIË

---

(1)  
  EUT L 24 af 29.1.2004, s. 1 (»fusionsforordningen«).

1

(2)  
  EUT C 366 af 14.12.2013, s. 5.

2

---