Virksomheder skal uden unødigt ophold og under alle omstændigheder underrette Energistyrelsen om enhver hændelse, der har en væsentlig indvirkning på leveringen af virksomhedens tjenester, jf. dog stk. 4 og 5.
Stk. 2 Væsentlige hændelser efter stk. 1 omfatter:
-
1) Hændelser, som har forårsaget eller er i stand til at forårsage alvorlige driftsforstyrrelser i leveringen af virksomhedens tjenester, herunder som følge af havari af anlæg, arbejdsmarkedskonflikter og manglende leverancer af væsentlig betydning for samfundets energiforsyning.
-
2) Hændelser, som har forårsaget eller er i stand til at forårsage økonomisk tab for den berørte virksomhed.
-
3) Hændelser, som har påvirket eller er i stand til at påvirke andre fysiske eller juridiske personer ved at forårsage betydelig fysisk eller ikke-fysisk skade.
-
4) Hændelser, som har aktiveret eller burde have aktiveret virksomhedens beredskabsplaner, herunder:
-
a) Hændelser, hvor et net- og informationssystems fortrolighed, integritet, tilgængelighed og autenticiteten er blevet kompromitteret.
-
b) Hændelser, hvor der er begrundet mistanke om eller kendskab til indbrud, tyveri, sabotage og spionage.
-
c) Hændelser, der har krævet bistand til situationsudredning, udbedring og genopretning af virksomhedens net- og informationssystemer, herunder fra en it-sikkerhedstjeneste, CSIRT og Energinet.
-
Stk. 3 Virksomheder skal uden unødigt ophold og senest inden for 24 timer efter at have fået kendskab til en væsentlig hændelse underrette Energistyrelsen. Virksomheden skal ved indberetning i videst muligt omfang angive følgende oplysning om hændelsen:
-
1) Hændelsens kendetegn, art eller type.
-
2) Hændelsens årsag og hændelsesforløb.
-
3) Hændelsens konsekvenser.
-
4) Om hændelsen mistænkes for at være forårsaget af ulovlige eller ondsindede handlinger.
-
5) Om hændelsen kunne have haft en grænseoverskridende virkning.
Stk. 4 Virksomheder skal inden for 72 timer efter at have fået kendskab til en væsentlig hændelse underrette Energistyrelsen, om status på hændelsen, herunder give en indledende vurdering af hændelsens alvor, indvirkning og hvis muligt kompromitteringsindikatorerne.
Stk. 5 Virksomheder skal underrette CSIRT’en ved væsentlige hændelser, hvor hændelsen har kompromitteret sikkerheden i virksomhedens net- og informationssystemer, på samme måde som underretninger til Energistyrelsen efter stk. 2, nr. 1-3, stk. 3-4, og § 78, stk. 1 og 2.
Stk. 6 Virksomheder i henholdsvis el-, gas- og brintsektoren skal uden unødigt ophold varsle Energinet om væsentlige hændelser efter stk. 2 i henhold til stk. 3-5.
Stk. 7 Virksomheder skal efter anmodning fra Energistyrelsen eller sikkerhedsmyndighederne herunder CSIRT’en fremsende en foreløbig rapport om relevante statusopdateringer.