Torsten Schack Pedersen (V), 2025-02-26:
Tak for ordet, og tak til alle Folketingets partier for opbakningen.
Som nævnt står vi som samfund over for et trusselsbillede, der er ganske anderledes end for bare få år siden, og det stiller selvfølgelig krav til, at vi ruster Danmark bedre til at modstå cyberangreb.
I Styrelsen for Samfundssikkerheds vurdering af cybertruslen mod Danmark fra 2024 står det klart, at trusselsbilledet er alvorligt, og at det løbende udvikler sig.
I vurderingen fra juni blev truslesniveuaet fra destruktive cyberangreb mod Danmark hævet til middel.
Niveauet blev hævet, fordi det er sandsynligt, at Rusland er blevet mere risikovillig i forhold til at bruge hybride virkemidler med destruktive effekter, og de destruktive angreb kan have vidt forskellige konsekvenser, alt efter hvad og hvor de rammer.
Der kan eksempelvis være tale om angreb mod kritisk infrastruktur, hvor hensigten er at skabe alvorlige og omfattende konsekvenser for samfundsvigtige funktioner.
På nuværende tidspunkt er det dog primært mindre omfattende destruktive angreb, trusselsniveauet relaterer sig til.
Det oplevede vi bl.a. tilbage i december, da prorussiske cyberaktivister udførte et angreb mod et dansk vandværk.
Angrebet efterlod de lokale borgere uden drikkevand i hanen i flere timer.
Det konkret angreb havde – heldigvis – en begrænset effekt, men det er tydeligt, at vi ser ind i et trusselsbillede, som er markant anderledes, end det var for bare få år siden, og at vi skal være bedre forberedt.
Lovforslaget, vi behandler, har til formål at implementere NIS 2-direktivet i dansk ret for samtlige de sektorer, der omfattes af direktivets anvendelsesområde, dog med undtagelse af tele-, finans- og energisektorerne.
For de tre sektorer implementeres direktivet særskilt, da der på disse områder allerede eksisterer en omfattende regulering af cybersikkerheden.
Mit ministerium har også ansvaret for den særskilte implementering for telesektoren, og det kommer vi tilbage til under det næste punkt på dagsordenen.
Med lovforslaget stilles der krav om, at væsentlige og vigtige enheder skal træffe passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger til styring af risiciene for sikkerheden i net- og informationssystemer.
Foranstaltningerne skal træffes ud fra en risikobaseret tilgang, som bl.a. omfatter foranstaltninger til håndteringen af hændelser, politikker for brug af kryptering og foranstaltninger om personalesikkerhed.
Med kravet om foranstaltninger tages der et vigtigt skridt på vejen for at sikre en øget cybersikkerhed omkring vores kritiske it-systemer.
I forbindelse med kravene til foranstaltninger har der været rejst spørgsmål om, hvorvidt man kan gøre brug af eksisterende standarder.
Relevante internationale standarder kan benyttes som led i opfyldelsen af direktivets krav om foranstaltninger.
Virksomheder og myndigheder, som i dag bruger internationale standarder på området, vil derfor være godt på vej til en opfyldelse af lovforslagets krav.
Det er dog vigtigt at sige, at en enkelt enhed ikke kan anses for at opfylde direktivets krav alene ved at være eksempelvis ISO 27.001-certificeret.
Der har helt forståeligt også været et stort fokus på spørgsmålet om NIS 2-lovens håndhævelse hos erhvervslivet og andre interessenter, særlig i den første tid efter at reglerne er trådt i kraft.
Jeg har, som flere har bemærket det, tidligere sagt – og det vil jeg gerne gentage her i dag – at det i mine øjne vil være naturligt, at tilsynsmyndighederne ikke hiver bødeblokken frem som det første, men at de i stedet har fokus på vejledning.
Lovforslaget kommer til at få stor betydning for både erhvervslivet og for myndighederne, og derfor har det været afgørende for mig, at processen for implementeringsarbejdet bliver så god som muligt.
Det er også en af årsagerne til, at vi førstebehandler lovforslaget i dag, og der har også allerede i den tid, hvor jeg som minister har haft ansvaret for lovforslaget, været en tæt, tæt dialog med en lang række interessenter for at sørge for, at vi skærer lovforslaget så præcist til som muligt.
En vellykket implementering af direktiverne på tværs af sektorer kræver også en tæt koordinering og en inddragelse af de forskellige myndigheder, virksomheder og brancheorganisationer, og det er en opgave, som mit ministerium i høj grad har taget på sig.
Noget af det mest efterspurgte, både i ministeriets dialog, men det har jo også været udtrykt i ordførertalerne i dag, har været et vejledningsmateriale, som kan understøtte med den praktiske anvendelse af lovens krav.
Der er derfor nedsat en arbejdsgruppe med 17 interesseorganisationer, som løbende bliver inddraget i foråret, mens vejledningerne udarbejdes.
For vejledningsmaterialet skal foreligge senest samtidig med lovens ikrafttræden.
Jeg har nemlig også tidligere været med til, at vejledningerne er kommet, lang tid efter at lovgivningen er trådt i kraft, og det er ikke optimalt.
Så derfor har det været mit meget, meget klare ønske fra den første dag, at vi skal have vejledningsmaterialet klar, senest når loven træder i kraft, og efter en ikrafttræden vil mit ministerium også bistå de relevante kompetente myndigheder, så der sker en tæt koordination og et tæt samarbejde mellem tilsynsmyndighederne.