Oh no! No description found. But not to worry. Read from Tasks below how to advance this topic.
Danish regulation enhancing resilience and preparedness in the energy sector, implementing CER and NIS2 requirements and focusing on organizational preparedness, physical security, and cybersecurity.
Below you'll find all of the requirements of this framework. In Cyberday, we map all requirement to global tasks, making multi-compliance management easy. Do it once, and see the progress across all frameworks!
Risikovurderinger efter § 27 skal fremsendes til Energistyrelsen til godkendelse i forbindelse med følgende projekter:
Stk. 2. Risikovurderinger efter stk. 1 skal sendes til Energistyrelsen senest én måned efter ledelsesorganets godkendelse af en risikovurdering jf. § 10, nr. 2.
Stk. 3. Projekter efter § 27 kan gennemføres, indtil Energistyrelsens endelige godkendelse af risikovurderingen, jf. stk. 1, foreligger.












Virksomheder skal gennemføre en risikovurdering i henhold til § 18, stk. 1 og 2 og stk. 4, i forbindelse med følgende projekter:
Stk. 2. Risikovurderinger efter stk. 1, hvor der indgår et leverandørforhold, skal inkludere en vurdering af risici som følger af leverandørforholdet, jf. procedurerne i § 29.
Stk. 3. Risikovurderinger efter stk. 1 skal udarbejdes ved projektets opstart og foreligge skriftligt, inden projektet påbegyndes. Risikovurderingen skal opdateres, når projektets omfang, tidsplan og delleverancer ændres i en sådan grad, at det ændrer forudsætningerne for risikovurderingen.
























Virksomheder skal udarbejde en politik og procedurer for vurdering af effektiviteten af foranstaltninger, som virksomheden implementerer til at understøtte sikkerheden i net- og informationssystemer efter denne bekendtgørelse, og for vurdering af behov for tekniske sikkerhedsscanninger, eksempelvis i form af sårbarhedsscanninger og penetrationstests.
































Virksomheder skal have ajourførte fortegnelser over følgende software- og hardwareaktiver:
Stk. 2. Fortegnelserne skal være tilstrækkeligt detaljerede til at sikre hurtig identifikation af et aktiv, så eventuelle sårbarheder kan identificeres, vurderes og mitigeres, jf. § 47.
Stk. 3. Virksomhederne skal regelmæssigt og som minimum årligt kontrollere, at fortegnelser efter stk. 1 er ajourførte. Fejl og mangler skal rettes hurtigt og årsagerne hertil undersøges.
Stk. 4. Virksomhederne skal mitigere risici for software- og hardwareaktiver, jf. stk. 1, nr. 1-3, der anvendes i leveringen af virksomhedens tjenester, som ikke længere kan supporteres med system- og sikkerhedsopdateringer, jf. § 46, stk. 1.








































Virksomheder skal have procedurer til at sikre, at virksomhedens net- og informationssystemer samt software- og hardwareaktiver efter § 48 konfigureres på sikker vis, herunder at funktioner, services, applikationer, netværksprotokoller og porte, som ikke er nødvendige for at levere virksomhedens tjenester, lukkes eller deaktiveres.
Stk. 2. Procedurer efter stk. 1 skal omfatte sikker tilslutning af nye hardwareaktiver i de netværk, som virksomheden er afhængige af i leveringen af virksomhedens tjenester.
Stk. 3. Virksomheder skal logge væsentlige konfigurationsændringer i virksomhedens forsyningskritiske net- og informationssystemer.
Stk. 4. Virksomheder skal logge ændringer på netværksudstyr, der anvendes i segmenteringen af netværk efter § 62.
Stk. 5. Virksomheder skal regelmæssigt og som minimum årligt kontrollere, at virksomhedens net- og informationssystemer samt software- og hardwareaktiver efter § 48 er konfigureret efter stk. 1-4. Fejl og mangler skal rettes hurtigt og årsagerne hertil undersøges.




















Fortrolig information jf. § 26 i lov om styrket beredskab i energisektoren, skal opbevares, håndteres og behandles på en måde, der sikrer fortrolighed, integritet og tilgængelighed.
Stk. 2. Indsigt i fortrolig information må kun gives til personer, for hvem en sådan indsigt er tjenestelig nødvendig, eller som kan gøre lovkrav herpå.
Stk. 3. Fortrolig information i fysisk og digital dokumentform skal bære tydelig mærkning af materialets fortrolighed.
Stk. 4. Dokumenter efter stk. 3 og bærbare digitale lagringsmedier, der har været anvendt til at lagre fortrolig information, som ikke længere benyttes, skal destrueres eller bortskaffes på sikker vis i overensstemmelse med materialets fortrolighed, medmindre andet følger af lov eller bestemmelser fastsat i medfør af lov.
Stk. 5. Hvis der konstateres eller er mistanke om kompromittering af fortroligheden og integriteten af fortrolig information, skal der foretages en vurdering af, hvorvidt kompromitteringen kan udgøre en trussel for driften af virksomheden eller energiforsyningen lokalt, regionalt, nationalt eller på europæisk niveau. For fortrolig information hos virksomheder foretages denne vurdering af virksomheden, som uden unødigt ophold skal underrette Energistyrelsen herom. For anden fortrolig information foretages vurderingen af Energistyrelsen.
































Virksomheder kan skriftligt ansøge om at etablere samordnet beredskab, der medfører, at beredskabsarbejdet efter lov om styrket beredskab i energisektoren, bekendtgørelse om sikkerhedsgodkendelser i energisektoren og denne bekendtgørelse varetages i fællesskab eller af den ene part.
Stk. 2. Ansøgninger om samordnet beredskab skal sendes til Energistyrelsen til godkendelse og skal som minimum indeholde følgende:








Virksomheder skal gennemføre en risiko- og sårbarhedsvurdering af kendte og mulige risici, der kan forstyrre eller forhindre leveringen af virksomhedens tjenester.
Stk. 2. Risiko- og sårbarhedsvurderingen efter stk. 1 skal indeholde:
Stk. 3. Virksomheder skal som led i deres identifikation og analyse af risici og sårbarheder:
Stk. 4. Risiko- og sårbarhedsvurderingen efter stk. 1 skal gennemføres med inddragelse af relevante medarbejdere og leverandører med teknisk og organisatorisk kendskab til virksomhedens processer, anlæg, net- og informationssystemer, netværksinfrastruktur og leverandørforhold.
Stk. 5. Risiko- og sårbarhedsvurderingen efter stk. 1 skal opdateres ved væsentlige ændringer og integreres i virksomhedens samlede risikobillede.
Stk. 6. Foranstaltninger efter stk. 2, nr. 3, skal implementeres under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostninger og risicienes alvor.




























Virksomheder skal føre ajourførte fortegnelser over net- og informationssystemer, som virksomheden anvender i leveringen af sine tjenester.
Stk. 2. Fortegnelser efter stk. 1 skal indeholde beskrivelser af de processer, et net- og informationssystem understøtter, dets kritikalitet for leveringen af virksomhedens tjenester, intern ansvarsplacering, levetid og eventuelle afhængigheder af andre net- og informationssystemer og leverandører.
Stk. 3. Fortegnelser efter stk. 1 skal indeholde oplysninger om virksomhedens afhængighed af interne og eksterne net- og informationssystemer i leveringen af virksomhedens tjenester.
Fortegnelser skal holdes opdateret, så fortegnelserne altid er retvisende (§ 17).




























Virksomheder skal foretage beredskabsplanlægning, således at virksomhedens beredskabsplaner efter § 19 sikrer driftskontinuitet, og virksomheden kan overholde sine underretningsforpligtigelser i tilfælde af en hændelse.
Stk. 2. Virksomheder skal tage stilling til behovet for redundans, herunder redundans af net- og informationssystemer og anlæg, som anvendes i leveringen af virksomhedens tjenester.
Stk. 3. Virksomheder skal indgå i den nationale krisehåndtering, herunder omsætte udmeldinger om ændringer i sektorberedskabsniveau og sektorberedskabsforanstaltninger til nødvendige tiltag i egen organisation uden unødigt ophold.
























Virksomheder skal have politikker for risikostyring eller tilsvarende til at sætte rammerne for virksomhedens risikostyring. Politikkerne skal omfatte følgende:




















Virksomheder skal føre ajourførte fortegnelser over anlæg, som er nødvendige for at virksomheden kan levere sine tjenester.
Stk. 2. Fortegnelser efter stk. 1 skal beskrive et anlægs funktion i leveringen af virksomhedens tjenester, dets kritikalitet for leveringen af virksomhedens tjenester, geografiske placering og eventuelle afhængigheder af reservedele, net- og informationssystemer og leverandører.
Stk. 3. Fortegnelser efter stk. 1 skal indeholde oplysninger om virksomhedens afhængighed af andre virksomheders anlæg i leveringen af virksomhedens tjenester.
Fortegnelser skal holdes opdateret, så fortegnelserne altid er retvisende (§ 17).
























Virksomheder skal føre en fortegnelse over fysiske og digitale informationsstrømme, som indgår i kommunikationen mellem styringskritiske funktioner i leveringen af virksomhedens tjenester, og som virksomheden sender og modtager fra eksterne aktører og eksterne net- og informationssystemer.
Stk. 2. Fortegnelsen efter stk. 1 skal indeholde en vurdering af risici for tab af fortrolighed, integritet og tilgængelighed for nævnte informationsstrømme.
Fortegnelser skal holdes opdateret, så fortegnelserne altid er retvisende (§ 17).




























Virksomheder skal uden unødigt ophold oplyse modtagerne af deres tjenester, som potentielt er berørt af en væsentlig cybertrussel, om eventuelle foranstaltninger eller modforholdsregler, som modtagerne kan træffe som reaktion herpå. Enhederne skal også informere de pågældende modtagere om den væsentlige cybertrussel, hvor det er relevant.
Stk. 2. Oplysninger om væsentlige cybertrusler skal stilles til rådighed for modtagerne i et let forståeligt sprog.




Virksomheder skal uden unødigt ophold underrette modtagerne af deres tjenester om væsentlige hændelser jf. § 77, der sandsynligvis vil påvirke leveringen af virksomhedens tjenester negativt.
Stk. 2. Virksomhederne skal sammen ved underretningen efter stk. 1, så vidt muligt angive:




Underretning om væsentlige hændelser, hvor hændelsen har kompromitteret sikkerheden i virksomhedens net- og informationssystemer, efter § 77, stk. 1-5, og § 78, stk. 1 og 2, skal indberettes til CSIRT’en og Energistyrelsen via den af CSIRT’en anviste løsning for underretning, jf. dog stk. 2.
Stk. 2. Underretning om alle andre væsentlige hændelser efter § 78 skal ske gennem den af Energistyrelsen anviste løsning for underretning.
Stk. 3. Ansøgninger om godkendelse af en hændelse som en øvelse efter § 78, stk. 3, skal sendes til Energistyrelsen gennem den af Energistyrelsen anviste løsning for ansøgning.








Explore our comprehensive resources and improve your security with the themes of this framework.
Discover specific ways our platform streamlines your ISO 27001 compliance process, from automated controls to audit preparation.
Explore use caseTake our comprehensive assessment to identify gaps in your current implementation and get personalized recommendations.
Start assessmentDive deeper with our articles, case studies, and expert insights on framework implementation.
Read articleGet a concise overview of all requirements, controls, and implementation steps in our quick guide.
Get the guideSee how the overlap and differences with any other framework to optimize your compliance strategy.
Compare frameworkParticipate in expert-led sessions covering implementation strategies, common pitfalls, and best practices for compliance.
Register for webinarParticipate in expert-led sessions covering implementation strategies, common pitfalls, and best practices for compliance.
Register for webinarUnderstand the basics of cyber security frameworks with our comprehensive guide.
Read the articleWhen building an ISMS, it's important to understand the different levels of information hierarchy. Here's how Cyberday is structured.
Sets the overall compliance standard or regulation your organization needs to follow.
Break down the framework into specific obligations that must be met.
Concrete actions and activities your team carries out to satisfy each requirement.
Documented rules and practices that are created and maintained as a result of completing tasks.
