Hvad skal udpegede kritiske virksomheder gøre?
Når en virksomhed er udpeget i henhold til CER-loven, skal virksomheden:
- Udarbejde en risikovurdering inden for 9 måneder efter udpegningen
- Træffe passende og forholdsmæssige modstandsdygtighedsforanstaltninger inden for ti måneder efter udpegningen
- Identificere medarbejdere, der skal baggrundskontrolleres (sikkerhedsgodkendelse)
- Udpege kontaktperson til Fødevarestyrelsen
- Underrette Fødevarestyrelsen om hændelser, der i betydelig grad forstyrrer eller har potentiale til i betydelig grad at forstyrre leveringen af den væsentlige tjeneste.
Hvis en virksomhed udpeges som omfattet af CER-loven, har det desuden den konsekvens, at en enhed går fra ’vigtig’ til ’væsentlig’ enhed under NIS 2-loven, hvorefter virksomheden vil skulle opfylde ekstra krav om cybersikkerhed og vil blive underlagt proaktivt tilsyn fra styrelsen.
Det er vigtigt at bemærke, at ansvaret for overholdelse af CER-loven er placeret hos topledelsen i virksomheden, og ikke kan uddelegeres.
Hvordan foregår udpegningen af kritiske virksomheder?
Fødevarestyrelsen er udpeget som kompetent myndighed for CER-loven på fødevareområdet. Styrelsen skal udpege fødevarevirksomheder, som er omfattet af loven, og skal efter en screeningsproces udvælge et antal virksomheder indenfor produktion, tilvirkning og distribution af fødevarer, som styrelsen vurderer, er væsentlige kritiske enheder med henblik på forsyning af fødevarer i Danmark.
Screeningen beror på en samlet vurdering af virksomhedernes rolle i fødevarekæden, deres markedsposition, herunder markedsandel og produktion af specialiserede fødevarer, substituerbarhed i form af tilgængelige alternativer samt deres betydning for forsyningssikkerhed og sektorafhængigheder.
Oplysninger om processen for udpegning af virksomheder og om de virksomheder, som bliver udpeget som kritiske enheder, kan have betydning for samfundssikkerheden og behandles derfor med fortrolighed af Fødevarestyrelsen. Opmærksomheden skal henledes på, at al sagsbehandling sker gennem Digital Post.
Fødevarestyrelsens tilsynsopgave
Fødevarestyrelsen skal føre tilsyn med overholdelse af CER-loven på fødevareområdet og kan som led i dette tilsyn bl.a. uden retskendelse foretage inspektioner på stedet i virksomheden, foretage audits af den kritiske enhed, kræve at få udleveret nødvendige oplysninger om modstandsdygtighedsforanstaltninger, kræve adgang til data og dokumentation for foranstaltninger samt udstede påbud om nødvendige foranstaltninger.