Lov om styrket beredskab i energisektoren styrker dansk forsyningssikkerhed
Der er et markant og højt trusselsniveau mod energisektoren fra bl.a. cyberangreb og spionage. Desuden sker der løbende store forandringer i energisektoren som følge af den grønne omstilling og digitaliseringen. Derfor har energisektoren en beredskabslovgivning, der har til formål at øge modstandsdygtigheden og beredskabet:
Lov om styrket beredskab i energisektoren
Bekendtgørelse om modstandsdygtighed og beredskab i energisektoren
Bekendtgørelse om sikkerhedsgodkendelse i energisektoren
Bekendtgørelse om betaling for myndighedsbehandling i Energistyrelsen
Lovgivningen omfatter virksomheder, der har betydning for forsyningen i el-, gas-, olie-, fjernvarme-, fjernkølings- og brintsektoren.
Loven fastsætter rammerne og reglerne for virksomhedernes fysiske sikkerhed, cybersikkerhed og organisatoriske beredskab, der skal medvirke til at sikre en høj robusthed. Fx stiller loven krav til net- og informationssikkerhed, risiko- og sårbarhedsvurderinger, beredskabsplaner, ledelsesinvolvering mv. Kravene er gradueret efter virksomhedernes og de enkelte anlægs forsyningsmæssige kritikalitet.
Lovgivningen implementer NIS2- og CER-direktiverne og indeholder desuden en række supplerende krav til virksomhedernes beredskab.
Se engelsk information og en uofficiel oversættelse af bekendtgørelsen om modstandsdygtighed og beredskab i energisektoren.
Læs om bekendtgørelsen om modstandsdygtighed og beredskab i energisektoren (engelsk)
Vejledning til virksomheder under beredskabsreguleringen
Energistyrelsen har udarbejdet en række vejledninger, spørgsmål og svar samt hjælpeværktøjer til de virksomheder, der skal overholde kravene i lov om styrket beredskab i energisektoren og bekendtgørelse om modstandsdygtighed og beredskab i energisektoren.
Hjælpeværktøjer
Energistyrelsen udarbejder flere hjælpeværktøjer til forståelse af, hvilke krav energivirksomhederne skal overholde i medfør af bekendtgørelse om modstandsdygtighed og beredskab i energisektoren.
Energistyrelsen klassificerer ikke de anlæg, som ikke opfylder tærskelværdierne i bilag 2 i Bekendtgørelse om modstandsdygtighed og beredskab i energisektoren.
Værktøj 1: Oversigt over krav til virksomheder
I dette hjælpeværktøj finder du information og oversigt over krav til virksomheder baseret på inddelingen af virksomheder i henholdsvis niveau 1-5.
Værktøj 2: Oversigt over krav til anlæg
I dette hjælpeværktøj finder du information og oversigt over krav til anlæg baseret på inddelingen af anlæg i henholdsvis klasse 1-5.
Spørgsmål og svar om beredskabsregulering
Skriv til Energistyrelsen beredskab@ens.dk, hvis du som energivirksomhed er omfattet af bekendtgørelsen om styrket beredskab i energisektoren, og ikke har modtaget et niveauinddelingsbrev fra os.
Læs mere om, hvilke typer af virksomheder og virksomhedsstørrelser, der omfattes af beredskabsreguleringen i lovens § 2, stk. 1-2.
Energistyrelsen inddeler de virksomheder, Bekendtgørelse om modstandsdygtighed og beredskab i energisektoren, i fem niveauer efter tærskelværdierne, som er angivet i bekendtgørelsens bilag 1 ”Skemaer med tærskelværdier for niveauinddeling af virksomheder”.
Niveauinddelingen afgør hvilke krav i bekendtgørelsen, virksomheden skal følge, samt gebyrstørrelsen.
Niveauindplaceringen er baseret på de data, som Energistyrelsen har til rådighed. Hvis niveauinddelingen ikke stemmer overens med virksomhedens egne oplysninger om, hvor store energimængder virksomheden håndterer, bedes virksomheden særskilt gøre Energistyrelsen opmærksom på det ved at sende en mail til beredskab@ens.dk
Energistyrelsen sender via digital post til virksomhedens CVR-nummer et niveauinddelingsbrev og en velkomstskrivelse, der bl.a. indeholdt relevant information om opstart i beredskabsreguleringen i energisektoren og information om, hvordan man skal indlevere både kontaktoplysninger på beredskabsroller og oplysninger til brug for niveauinddeling og klassificering.
Læs mere om de respektive niveauer inden for de forskellige forsyningsarter i bekendtgørelsens kapitel 2 samt i de relevante bilag.
Et anlæg er en større teknisk installation, eller en samling af større tekniske installationer, der behandler energi (producerer, omformer, transporterer, lagrer, forbruger).
Et anlæg kan for eksempel være et kraftværk eller kraftvarmeværk, en transformerstation, lednings- eller rørstrækninger, kompressorstationer, pumpestationer, kontrolrum, elektrolyser, energilagre, varmepumper m.m.
Anlæg er eksempelvis ikke:
- Lokationer hvor der alene er placeret netværksudstyr og reservedele.
- Kontorfaciliteter, med mindre der er tale om et kontrolrum.
- Et ladepunkt.
Eksempler på anlæg i de respektive delsektorer fremgår af bilag 3 i Bekendtgørelse om modstandsdygtighed og beredskab i energisektoren nr. 10 – 15, og er i forsimplet form fx:
Anlæg i elsektoren
Produktionsanlæg, anlæg med systembærende egenskaber, stationer til eldistribution og eltransmission og forbindelser i elsystemet, herunder kraftværker, nødstartsanlæg, transformerstationer, kabelovergangsstationer, stationsanlæg, kabelanlæg, luftledningsanlæg, ledningsstrækninger, tilbageførelsesanlæg, forbindelseslinjer, anlæg med vindmøller (inkl. havmøller), solceller, batterier og brintproducerende anlæg.
Brintproducerende anlæg, som forbruger eller udveksler elektricitet, samt anlæg inden for brintlagring og brinttransmission, der håndterer mængder svarende til tærskelværdierne for anlæg i gassektoren.
Anlæg i gassektoren
Kompressorstationer, gaslagerfaciliteter, beskyttelsesanlæg, stationer (M/R-stationer, tilbageførelsesanlæg, linjeventilstationer, ledningsstrækninger), ledninger (transmissionsledninger), opstrømsrørledningsnet, naturgasraffinaderier og behandlingsanlæg, gasproduktionsanlæg, opgraderingsanlæg, LNG-faciliteter samt kontrolrum, der styrer, regulerer eller overvåger gasleverancer.
Anlæg i oliesektoren
Olieproduktionsanlæg, olieraffinaderier, oliebehandlingsanlæg, olielagre, olieterminaler og olietransmissionsanlæg, herunder olierørledninger.
Anlæg i fjernvarme- og fjernkølingssektoren
Distributionsledninger fra kraftvarmeværker, fjernkølingsanlæg, spids- og reservelastanlæg, ledningsnet, pumpestationer, varmevekslerstationer, varmepumper og kontrolrum.
Læs mere om kravene til anlæg i hjælpeværktøjet Oversigt over krav til virksomheders anlæg baseret på inddelingen af anlæg i klasser (1-5).
Virksomheder skal have henholdsvis én beredskabskoordinator og én cyberkoordinator. Virksomheder med anlæg i klasse 4 og 5 skal have én eller flere sikringskoordinatorer.
Virksomhederne skal underrette Energistyrelsen om opdaterede kontaktoplysninger på de koordinerende roller.
Beredskabskoordinatoren
Beredskabskoordinatoren har ansvar for at koordinere beredskabsplanlægningen, herunder for at bistå ved udarbejdelsen af risiko- og sårbarhedsvurderinger og beredskabsplaner. Personen har ofte et indgående kendskab til virksomheden, er i nogle tilfælde tæt på driften og skal deltage ved Energistyrelsens tilsyn.
Cyberkoordinatoren
Cyberkoordinatoren har fokus på cybersikkerhed i relation til selskabets forsyningskritiske net- og informationssystemer. Cyberkoordinatoren skal kordinere de foranstaltninger, der skal understøtte sikkerheden i net- og informationssystemerne, samt forestå beredskabsplanlægningen for virksomhedens net- og informationssystemer. Cyberkoordinatoren skal deltage i Energistyrelsens tilsyn.
Sikringskoordinatoren
Sikringskoordinatoren er kun et krav for de selskaber, der har anlæg i klasse 4 og 5.
Sikringskoordinatoren har ansvar for at koordinere den fysiske sikring i virksomheden og på dets anlæg. Det er vigtigt at bemærke, at bekendtgørelsen giver mulighed for at udpege flere sikringskoordinatorer, hvilket kan være relevant for store selskaber med mange anlæg. Sikringskoordinatorerne skal i så fald koordinere foranstaltningerne på virksomhedens anlæg i klasse 4 og 5 mellem sig. Det kan være relevant, at en eller flere sikringskoordinatorer deltager i Energistyrelsens tilsyn.
Beredskabs-, cyber- og sikringskoordinatorens samarbejde
Sammen skal beredskabskoordinatoren, cyberkoordinatoren og sikringskoordinatoren koordinere de forskellige områder, så virksomhedens beredskab planlægges ud fra et samlet risikobillede.
Beredskabskoordinatoren, cyberkoordinatoren og sikringskoordinatoren skal mødes med ledelsesorganet fire gange om året for at tage stilling til virksomhedens organisatoriske beredskab, fysiske sikring og cybersikkerhed.
Bemærk, at det her ikke nødvendigvis behøver at være den øverste ledelse, der deltager i beredskabsmøderne. Det må i disse tilfælde godt ’bare’ være medlemmer af direktionen. Dette har været praksis hidtil og vil blive præciseret ved førstkommende ændring af bekendtgørelsen.
Beredskabskoordinatoren og cyberkoordinator er også de personer, Energistyrelsen vil tage kontakt til i forbindelse med tilsyn med og sagsbehandling af virksomhedens beredskabsmateriale.
Virksomheder i niveau 4 og 5 må ikke have personsammenfald mellem beredskabskoordinatoren, cyberkoordinatoren og virksomhedens ledelsesorgan, der godkender risikovurderinger og beredskabsplaner. Der må gerne være personsammenfald mellem ledelsen og sikkerhedskoordinatoren.
Samordnet beredskab er en samlebetegnelse for to måder, hvorpå beredskabsarbejdet efter bekendtgørelsen kan varetages i fællesskab for en større eller mindre gruppe af virksomheder, der hver især er omfattet af bekendtgørelsen.
Den første måde (type 1) – og historisk set mest anvendte – måde at have samordnet beredskab på er, at beredskabet for to eller flere virksomheder varetages af én virksomhed på den eller de andres virksomheders vegne.
Den anden og sjældnere anvendte måde (type 2) at have samordnet beredskab på er, når virksomhederne i fællesskab varetager beredskabet på tværs af alle de virksomheder, der deltager.
Der er en række praktiske og juridiske konsekvenser ved at have samordnet beredskab. Læs mere om disse og om, hvordan og hvortil virksomheder kan ansøge om samordnet beredskab i vejledningen om ansøgning af samordnet beredskab:
En politik beskriver en organisations overordnede tilgang til samt praktiske organisering af et bestemt område. Politikken medvirker til at sikre en sammenkædning af de overordnede målsætninger med implementeringen i virkeligheden. En politik beskriver hvilke tiltag og processer, der skal implementeres, hvilke fremgangsmåder eller tiltag, der benyttes, og hvem i organisationen, der har konkrete ansvar for, at politikken gennemføres i praksis.
Det er ledelsens ansvar at sikre, at ansvar og beføjelser i politikken er delegeret til de ansvarlige og kommunikeret til organisationen.
Der er flere forskellige politikker, som er vigtige for en organisation, blandt andet en informationssikkerhedspolitik, en cybersikkerhedspolitik og en risikostyringspolitik. Politikkerne skal være relevante for det konkrete arbejde, organisationen laver, og de måder, de arbejder på, så de bedst muligt afspejler de opgaver, virksomheden udfører. Politikkerne skal også formulere målsætninger for arbejdet og opgaverne, så virksomheden internt kan følge op på, at man efterlever sin politik på et område.
Læs mere under spørgsmålene ’Hvad er en procedure?’ og ’Hvad er en fortegnelse?’.
En procedure beskriver en etableret fremgangsmåde i forhold til et arbejdsområde eller en eller flere opgaver. Modsat en politik, som kan være overordnet, så beskriver en procedure en konkret fremgangsmåde, der er tættere på det praktiske arbejde. En procedure beskriver en fremgangsmåde for en arbejdsopgave, blandt andet hvem der har ansvaret for opgaven, de aftalte procestrin, og hvornår opgaven er færdig og godkendt.
En procedure kan både være dokumenteret skriftligt og i digitalt format. En procedure bør være nedskrevet på papir eller tegnet i et procesdiagram, så den kan sendes digitalt til relevante medarbejdere.
Læs mere under spørgsmålene ’Hvad er en politik?’ og ’Hvad er en fortegnelse?’.
En fortegnelse er en samlet oversigt eller liste over for eksempel en organisations processer, aktiver eller ansvarsplacering på et bestemt område eller for et bestemt system. En fortegnelse giver en organisation et samlet billede over et bestemt område, så det er tydeligt, om der skal foretages ændringer i eksisterende processer og assets eller fx tilføjes nye.
Når det drejer sig om fortegnelser over fx net- og informationssystemer, skal fortegnelserne blandt andet indeholde oplysninger om funktion, kritikalitet og ansvarsplacering for det gældende system.
Fortegnelserne skal holdes opdaterede, så de altid er retvisende.
Læs mere under spørgsmålene ’Hvad er en procedure?’ og ’Hvad er en politik?’.
Energistyrelsen fører tilsyn med virksomhedernes beredskabsarbejde for at sikre, at de enkelte virksomheder overholder bekendtgørelsen og er klar til at håndtere en krisesituation. Tilsynet er todelt.
For det første sagsbehandler og vurderer Energistyrelsen løbende virksomhedernes beredskabsplaner, risiko- og sårbarhedsvurderinger, indberetninger mv. for at sikre, at dette lever op til den gældende lovgivning.
For det andet gennemfører Energistyrelsen fysiske besøg hos virksomhederne, hvor vi interviewer medarbejdere og ledelse, udfører stikprøver, drøfter beredskabsforhold og gennemgår anlæg mv.
Spørgsmål og svar om gebyrer
Du skal som virksomhed betale for Energistyrelsens tilsyn og myndighedsbehandling efter lov om styrket beredskab.
Virksomheder i niveau 2-5 betaler på baggrund af den niveauinddeling, virksomheden har modtaget fra Energistyrelsen, antallet af klasse 4-anlæg og om virksomheden er transmissionssystemoperatør i el- og gassystemet. Taksterne fremgår af Bekendtgørelse om betaling for myndighedsbehandling i Energistyrelsen
I tillæg til betalingen for den almindelige myndighedsbehandling og tilsyn efter lov om styrket beredskab i energisektoren og regler udstedt i medfør heraf, skal virksomhederne betale for eventuelle ad hoc tilsyn, som de modtager efter § 19, stk. 2, nr. 3, i loven.
Endelig skal virksomheder betale gebyrer for indgivelse af ansøgninger og dispensationer efter loven eller bekendtgørelse om modstandsdygtighed og beredskab i energisektoren. Der er tale om følgende ansøgningstyper og tilhørende satser:
- Ansøgning om samordnet beredskab: 790 kr.
- Ansøgning om dispensation fra reglerne: 2.923 kr.
- Ansøgning om personsammenfald: 790 kr.
- Ansøgning om forhåndstilsagn om klasseinddeling af projekterede anlæg: 2.923 kr.
- Ansøgning om at virksomheden selv kan varetage opgaven som it-sikkerhedstjeneste: 790 kr.
Gebyrerne opkræves bagudrettet hver den 1. januar og den 1. juli.
Gebyropkrævningen vil blive sendt til virksomhedens digitale postkasse. Der vil på fakturaen i udgangspunktet være angivet teksten ”Opkrævning af gebyrer efter lov om styrket beredskab i energisektoren”. Virksomheden kan indmelde indkøbsordrenumre og en person, der kan sættes som ”ATT” på fakturaen, således at fakturaen hurtigt kan komme frem til den rette person i organisationen. Dette skal virksomheden gøre til beredskab@ens.dk.
Fakturaen skal betales inden 30 dage efter fakturaens udstedelse. Såfremt fakturaen ikke betales rettidigt, kan der pålægges renter i medfør af renteloven. Såfremt fakturaen stadig ikke betales efter betalingspåmindelsen, vil fakturaen blive sendt til inddrivelse ved inkasso.
Virksomheder opkræves løbende for Energistyrelsens beredskabstilsyn. Beløbet dækker det løbende beredskabstilsyn, virksomhederne modtager, som fx godkendelse af risiko- og sårbarhedsvurderinger og beredskabsplaner og det fysiske tilsyn, såfremt der ikke foretages ændringer i gebyrsatserne eller andre regler om gebyrbetaling for beredskabstilsyn, i den mellemliggende tid.
Virksomheder, der indgår i et samordnet beredskab, hvor beredskabet bliver varetaget af en anden af loven omfattet virksomhed (type 1-samordnet beredskab), skal ikke betale gebyr. I stedet vil den virksomhed, der varetager beredskabet, blive opkrævet gebyret.
Såfremt virksomheden indgår i et samordnet beredskab, hvor virksomhederne varetager beredskabet i fællesskab (type 2), vil begge virksomheder i udgangspunktet hæfte for betalingen af gebyrerne. Af praktiske årsager vil kun den ene virksomhed blive opkrævet beløbet; dette vil blive afklaret i forbindelse med godkendelsen af ansøgning om samordnet beredskab.
Læs mere under spørgsmålet ’Hvad er samordnet beredskab?’.
Spørgsmål og svar om ledelsens ansvar
Bekendtgørelse om modstandsdygtighed og beredskab i energisektoren stiller krav til ”ledelsesorganet” i virksomheder (§ 10).
Ledelsesorganet er defineret som ”henholdsvis det centrale ledelsesorgan, som defineret i selskabsloven, og ledelsen, som defineret i LEV-loven, afhængigt af virksomhedens selskabsform”.
Hvem, der udgør ”ledelsesorganet”, skal forstås i overensstemmelse med definitionerne af henholdsvis ”det centrale ledelsesorgan” i selskabslovens § 5, nr. 4, og ”ledelsen” i LEV-lovens § 4 a, nr. 2.
Ifølge selskabsloven er det centrale ledelsesorgan:
• Bestyrelsen i selskaber, der har en direktion og en bestyrelse.
• Direktionen i selskaber, der alene har en direktion.
• Direktionen i selskaber, der både har en direktion og et tilsynsråd.
”Ledelsen” er i LEV-loven medlemmer af en bestyrelse, direktion eller et tilsvarende ledelsesorgan.
Den relevante definition af ledelsesorganet afhænger af virksomhedens selskabsform. Selskabsloven finder alene anvendelse for aktie- og anpartsselskaber, mens LEV-loven gælder for erhvervsdrivende virksomheder, der ikke er omfattet af selskabsloven, fx enkeltmandsvirksomheder, interessentskaber, kommanditselskaber, andelsselskaber og fonde eller foreninger med erhvervsmæssig aktivitet.
Det vil være op til den enkelte virksomhed at vurdere, om deres virksomhedskonstruktion hører under selskabsloven eller LEV-loven.
I interessentskaber, som er oprettet jf. kommunestyrelsesloven § 60, vil bestyrelsen som udgangspunkt, når den er udpeget som styrelsesorgan eller øverste styrende organ i vedtægterne, være det øverste ledelsesorgan, også selv om der sideløbende er etableret en direktion. Bestyrelsen fungerer her som det øverste ledelsesorgan, der fastlægger den strategiske retning for virksomheden og fører overordnet tilsyn med driften. Direktionen varetager derimod den daglige ledelse inden for de rammer og instrukser, som bestyrelsen fastsætter. Direktionen kan derfor ikke anses som øverste ledelsesorgan, uanset hvor vidtgående dens beføjelser måtte være i den daglige drift.
Sammenfattende kan det konkluderes, at i kommunalt styrede interessentskaber med både bestyrelse og direktion, må bestyrelsen anses som det øverste ledelsesorgan, når den er udpeget som sådan i vedtægterne. Direktionen udgør et underordnet ledelsesniveau med ansvar for den daglige drift, men uden selvstændig øverste ledelseskompetence, medmindre det fremgår eksplicit af vedtægterne, at direktionen anses som det øverste ledelsesorgan, med ansvaret for bl.a. interessentskabets strategiske ledelse.
Derfor skal beredskabsmateriale godkendes af en bestyrelse, med undtagelse af de tilfælde hvor et selskab ikke har en bestyrelse, eller hvor et selskab kan fremvise eksplicit dokumentation for, at selskabets direktion udgør selskabets øverste ledelse.
Det bemærkes, at det, i en fremtidig bekendtgørelsesrevision, påtænkes at justere ordlyden i bekendtgørelsen, således at der ikke opstår tvivl om, hvad der udgør en virksomheds øverste ledelsesorgan.
Ledelsesorganet, fx for kapitalselskaber svarende til bestyrelsen, vil skulle forholde sig til, hvad der udgør et passende sikkerhedsniveau for virksomheden. Det betyder bl.a., at bestyrelsen på et overordnet og strategisk niveau skal træffe beslutning om, hvilke foranstaltninger organisationen skal have, og hvornår beskyttelsen er tilstrækkelig.
Bestyrelsen vil i denne sammenhæng tilsvarende blandt andet skulle godkende risiko- og sårbarhedsvurderinger og beredskabsplaner jf. § 10 på et overordnet og strategisk niveau. Ansvaret skal ses som en del af de opgaver, som bestyrelsen har i forhold til risikostyring ifølge selskabslovens § 115, jf. beskrivelsen ovenfor. Bestyrelsen bør præsenteres for indholdet af det nævnte materiale på en måde, som gør, at bestyrelsen på et overordnet niveau får en god forståelse for materialets indhold, og bestyrelsen bør have et vidensniveau om området svarende hertil.
Det er dermed ikke forventningen, at bestyrelsen skal præsenteres for og godkende materialet i detaljer. Bestyrelsen vil i forhold til godkendelse af materialet på detaljeringsniveau kunne overlade dette til direktionen og den daglige ledelse af selskabet.
Ledelsesorganet skal, jf. § 10, godkende:
- Risiko- og sårbarhedsvurderinger efter § 18.
- Risikovurderinger i forbindelse med projekter, som skal sendes til Energistyrelsen efter § 28, stk. 1.
- Beredskabsplaner efter § 19.
Ledelsesorganet skal, jf. § 11, stk. 5:
- Mødes minimum fire gange årligt med de koordinerende beredskabsroller (beredskabskoordinatoren, cyberkoordinatoren og sikringskoordinatorerne) for at tage stilling til virksomhedens organisatoriske beredskab, fysiske sikring og cybersikkerhed. Der skal føres referat af møderne.
- Forholde sig til, hvad der udgør et passende sikkerhedsniveau for virksomhedens net- og informationssystemer og for virksomhedens fysiske sikring set i forhold til virksomhedens risikoeksponering og den samfundsmæssige betydning af de tjenester og services, som virksomheden leverer. Det betyder bl.a., at ledelsen på et overordnet og strategisk niveau skal træffe beslutning om, hvilke foranstaltninger virksomheden skal have, og hvornår beskyttelsen er tilstrækkelig.
Bemærk, at det her ikke nødvendigvis behøver at være den øverste ledelse, der deltager i beredskabsmøderne. Det må i disse tilfælde godt ’bare’ være medlemmer af direktionen. Dette har været praksis hidtil og vil blive præciseret ved førstkommende ændring af bekendtgørelsen.
Ledelsesorganet i virksomheden skal følge op på, at beslutninger, som ledelsen har truffet på baggrund af risiko- og sårbarhedsvurderingerne, herunder de mitigerende foranstaltninger i forhold til cybersikkerhed og anlæggenes modstandsdygtighed i beredskabsplanerne, gennemføres.
Ledelsen skal derfor følge op på og føre kontrol med, at de sikkerhedstiltag, ledelsen har iværksat, realiseres og har den ønskede virkning. Opfølgningen kan ske på forskellige måder, fx gennem periodiske ledelsesrapporter, hvor ledelsesorganet får status på de strategiske målsætninger, handleplaner samt udvalgte nøgletal og kontrolmål for virksomhedens arbejde med fx net- og informationssikkerhed.
Ledelsesorganet kan også følge op på beslutningerne ved at etablere processer for intern eller ekstern revision af kravene til modstandsdygtighed og beredskab. I begge tilfælde skal resultaterne rapporteres til ledelsen.
Medlemmer af en virksomheds ledelsesorgan skal deltage i relevante kurser eller undervisning om organisatoriske beredskab, fysiske sikring og cybersikkerhed.
Der er ikke et specifikt form- og indholdskrav til kurserne, men undervisningskravet skal ses i lyset af den rolle og de opgaver, ledelsesorganet har inden for risikovurderingen og beredskabet i deres virksomhed efter bekendtgørelsens § 10 (se ovenfor).
Kurserne skal gøre ledelsen i stand til at vurdere risici og til at kunne træffe beslutninger om og følge op på cybersikkerhedsforanstaltninger og foranstaltninger til fysisk sikring. Det er ikke et krav, at alle eller et bestemt antal medlemmer af ledelsesorganet skal have gennemført et givent antal kurser, men ledelsesorganet skal som kollektiv have de fornødne kompetencer til at styre det organisatoriske beredskab, cybersikkerheden og den fysiske sikring i virksomheden.
Relevante kurser kan fx være:
- Kurser om cyber- og informationssikkerhed, enten generelle eller målrettet ledelsen
- Workshops om styring af cyber- og informationssikkerhedsrisici
- Kurser og certificeringer i anerkendte europæiske og internationale sikkerhedsstandarder
- Egne internt tilrettelagte kurser og seminarer om cyber- og informationssikkerhed og/eller fysisk sikring, som er målrettet ledelsen.
Uddannelsesaktiviteterne skal kunne dokumenteres fx i form af kursusbevis eller bekræftelse på deltagelse i kursus.
Nogle virksomheder og organisationer har som en del af deres organisering etableret et cyber- og informationssikkerhedsudvalg, revisionsudvalg eller lignende med repræsentanter fra ledelsesorganet. Typisk varetager udvalgene opgaver vedrørende styring af og kontrol med virksomhedens cybersikkerhed.
Ledelsesorganet kan uddelegere sine opgaver til denne type udvalg, men det vil fortsat være det samlede ledelsesorgan, der kollektivt har ansvaret for, at virksomheden lever op til forpligtelserne i bekendtgørelsen om modstandsdygtighed og beredskab i energisektoren. Dette inkluderer kravene til ledelsesorganet. Ledelsesorganet bør derfor overvåge og påse, at udvalget udfører opgaverne.