Det næste punkt på dagsordenen er:

9) 1. behandling af lovforslag nr. L 144:

Forslag til lov om net- og informationssikkerhed for domænenavnssystemer og visse digitale tjenester.

Af erhvervsministeren (Brian Mikkelsen).

(Fremsættelse 07.02.2018).

Forhandlingerne er åbnet, og den første, der får ordet, er fru Karin Gaardsted fra Socialdemokratiet. Værsgo.

Tak for det, og tak til ministeren for at fremsætte dette lovforslag. Lovforslaget er en implementering af det såkaldte NIS-direktiv, som skal sikre et højt fælles sikkerhedsniveau for domænetjenester i hele EU. Vi er tilfredse med de tiltag, der fremlægges i lovforslaget. Der er ingen tvivl om, at cyberangreb og nedbrud i it-systemer udgør en alvorlig trussel mod det danske samfund. Det er derfor vigtigt, at vi hele tiden arbejder for at sikre et højt informationssikkerhedsniveau i vigtige samfundssektorer såsom vand, el, gas osv., især set i lyset af de trusler, der findes på internettet. Danskerne bruger jo digitale tjenester i et historisk stort omfang, og de er blevet en vigtig del af vores samfundsmæssige infrastruktur. Vi skal derfor hele tiden tilpasse de krav, der bør stilles til udbyderne og operatørerne af vores digitale infrastrukturer, og det er derfor en nødvendighed, at udbyderne og operatørerne opsætter passende sikkerhedsforanstaltninger, der afspejler det aktuelle trusselsbillede, som det også fremgår af lovforslaget.

Lovforslaget lægger op til, at ministeren efterfølgende fastsætter væsentlige dele af implementeringen i bekendtgørelser, og der er flere høringssvar, som har påpeget, at det faktisk gør det endelige lovforslag noget svært at gennemskue. Socialdemokratiet ønsker derfor, at der i det videre arbejde med lovforslaget bliver fastsat nogle helt klare rammer for implementeringen. Som flere høringssvar har påpeget, fremgår det ikke tydeligt, hvilke hændelser der er omfattet af lovforslaget, og jeg er derfor glad for, at ministeren i det kommenterede høringsnotat har valgt at præcisere, hvilke hændelser der er omfattet af lovforslaget.

Socialdemokratiet støtter lovforslagets ønske om at implementere NIS-direktivet med så få byrder som muligt for de organisationer og virksomheder, som er omfattet af loven. Min gennemgang af høringssvarene giver mig indtryk af, at ministeren ikke har inkluderet Forsvarsministeriet i processen frem mod lovforslagets fremsættelse. Men jeg bemærker, at ministeren på baggrund af Forsvarsministeriets svar har lyttet til Center for Cybersikkerhed og præciseret, at Center for Cybersikkerhed i koordination med sektormyndigheden kan orientere offentligheden om hændelser i net- og informationssikkerheden. Jeg mener, at det er vigtigt, at der fortsat holdes fokus på en tidsplan, hvor organisationerne og virksomhederne har mulighed for at tilpasse sig og implementere de nye krav.

Socialdemokratiet støtter forslaget.

Tak for det. Der er en kort bemærkning fra hr. Pelle Dragsted, Enhedslisten.

Tak for talen, og også tak for, at der er en opmærksomhed på nogle af de elementer i forslaget, der er lidt bekymring om. Jeg vil høre ordføreren, om Socialdemokratiet deler den grundlæggende kritik, som f.eks. er rejst af Institut for Menneskerettigheder, af placeringen af Center for Cybersikkerhed under FE og af den betydning, som det får, at det bliver en ikkecivil myndighed med de undtagelser, der er der, som skal varetage den her opgave, og om Socialdemokratiet kan leve med, at det er sådan, det ender – hvis det ender sådan.

Ordføreren.

Vi har bemærket den indsigelse, og når jeg nu om lidt siger, at det kan vi godt leve med, er det, fordi vi skal passe på med, at vi ikke får oprettet flere forskellige institutioner, der på en eller anden måde kommer til at skulle arbejde med de samme ting. Man kunne måske godt ønske sig, at det var noget, der lå uden for FE, men på den anden side er Center for Cybersikkerhed det center, som vi alle sammen bør vende os mod med nogle af de ting, som jo er afgørende for, at vores samfund kan fungere. Vi står jo ikke og snakker om små virksomheder. Vi taler jo om de store infrastrukturvirksomheder, som er afgørende for, at vores samfund kan fungere.

Spørgeren.

Men uanset om der er tale om store eller små virksomheder, og uanset hvilken type oplysninger der gives videre, har vi selvfølgelig samtidig et princip om, at det er vigtigt, at der af hensyn til borgere og virksomheder er en databeskyttelse, og at der er en politisk kontrol, når den her slags oplysninger udveksles, eventuelt med andre landes efterretningstjenester. Jeg er sådan set enig i, at det er godt, det er samlet ét sted. Spørgsmålet er bare, hvorfor det placeres under Forsvarets Efterretningstjeneste. Det er jo det, der, så vidt jeg ser det, bliver kritiseret af organisationerne på området.

Ordføreren.

Men vi har jo netop valgt i Danmark, at Center for Cybersikkerhed skal være det sted, hvor vi ligesom samler de allervigtigste ting, og skal være det center, som skal have overblikket. Derfor tror jeg simpelt hen, at vi skal acceptere, at det er den måde, det er på. Jeg vil sige til det om persondata, er der jo er en persondataforordning, som nu kommer til at køre fra midt i maj, som er langt skrappere, end vi nogen sinde har set. Så jeg tror, at vi skal sikre os, at der ikke bliver for meget overlap, men også acceptere, at Center for Cybersikkerhed er det sted, som vi har valgt i Danmark skal have overblik over de allervigtigste funktioner.

Fru Lisbeth Bech Poulsen.

Jeg vil også sige tak for talen og for den bekymring, der er, men vil også lige følge op på hr. Pelle Dragsteds spørgsmål. For det er jo rigtigt, at databeskyttelsesforordningen og den lovgivning, der skal implementeres i Danmark senest med virkning fra den 25. maj i år, i høj grad beskytter borgernes data og sikrer en ramme for, hvordan vores alle sammens data skal beskyttes, men det undtages jo netop i det her tilfælde. Så derfor forstod jeg ikke helt ordførerens bemærkning om, at databeskyttelsen skulle gælde i det her tilfælde.

Ordføreren.

Vi får jo den persondatalov, som kommer til at virke fra midt i maj, og som er skrappere, end vi nogen sinde har oplevet. De ting skal vi jo selvfølgelig have til at fungere, samtidig med at vi også laver den beskyttelse, der ligger heri, i dette lovforslag, som vi taler om nu, så vi har en sikkerhed for, at de virksomheder, der arbejder med nogle af de allervigtigste funktioner i vores samfund, nemlig de infrastrukturfunktioner, der er, er sikre nok i deres hverdag, og at de ikke er angribelige i forhold til f.eks. hackerangreb udefra. Så jeg er ikke i tvivl om, at de to ting godt kan køre samtidig med hinanden.

Spørgeren.

Men når vi netop er enige om, at det er godt, at vi får en databeskyttelse, der faktisk er meget stram, og hvor der er rigtig meget fokus på beskyttelse af borgernes data, og hvordan man håndterer det, og når vi så diskuterer i dag, at vi har Center for Cybersikkerhed, der er undtaget det, er det så noget, som vi kan tage op i udvalgsbehandlingen, hvis jeg skal forstå det sådan, at Socialdemokratiet mener, at det er godt at beskytte data, også i forhold til NIS-direktivet? Altså, kan vi se på, om begge dele kan ske samtidig, også med implementeringen af det her direktiv?

Ordføreren.

Det vil jeg gerne give tilsagn om at vi vil, og der vil også være andre ting fra høringssvarene, som jeg mener at vi bliver nødt til at skulle tage op under udvalgsbehandlingen. Selv om ministeren har imødekommet nogle af de ting, som er kommet ind fra høringssvarene, er det selvfølgelig vores opgave at sikre, at ministeren også har det hele med. Så lad os tage det under udvalgsbehandlingen.

Hr. Rasmus Nordqvist.

Nu har vi jo talt om NIS-direktivet inden for en række forskellige områder, og det er jo de samme problematikker, der kommer op igen og igen, med hensyn til at Center for Cybersikkerhed jo ikke er under den databeskyttelsesforordning, som vi alle sammen snakker om hele tiden. Derfor har vi jo i nogle andre udvalg snakket og i hvert fald stillet spørgsmål om, hvordan man egentlig forholder sig til at udskille Center for Cybersikkerhed fra Forsvarets Efterretningstjeneste.

Er det noget, som Socialdemokratiet ville synes var en god løsning på det her? For jeg er enig i, at det ikke nytter noget at have for mange steder, men hvis det nu ikke ligger under Forsvarets Efterretningstjeneste, er det jo netop omfattet af den databeskyttelse, som er nødvendig.

Ordføreren.

Det må jeg sige at jeg ikke er i stand til at svare på lige her og nu, men jeg tager gerne forslaget med tilbage til mit parti, så vi får taget den diskussion om, hvorvidt det er en mulighed. Så det tager jeg gerne derfra.

Tak for det. Der er ikke flere korte bemærkninger, og derfor byder jeg velkommen til hr. Hans Kristian Skibby fra Dansk Folkeparti.

Jeg vil gerne på vegne af Dansk Folkeparti kvittere for, at vi nu får lejlighed til at lovbehandle L 144, fremsat af erhvervsministeren. Det er jo, som også Socialdemokratiets ordfører var inde på, et forslag til en ny lov om net- og informationssikkerhed for domænenavnssystemer og digitale tjenester.

Vi er i Dansk Folkeparti enige i regeringens intentioner om at sikre et højere niveau – og et generelt meget højt niveau – for både net- og informationssikkerhed inden for de dele af den digitale infrastruktur og de digitale tjenester, som det her lovforslag indeholder. Hvis man kigger på status, kan man jo se, at vi i stigende grad er udfordret af, at der er folk, som – nogle med et ondt motiv og andre for at udfordre it-sikkerheden – går ind og prøver på at lave forskellige typer af cyberangreb og fremprovokere nedbrud på it-systemer osv. Jeg synes selvfølgelig, at vi sådan set skal være glade for, at der er nogle, der udfordrer it-systemerne, for det betyder jo også, at vi får dem afprøvet i praksis og hele tiden har fokus på at gøre it-sikkerheden bedre – dermed også til gavn for vores alle sammens datasikkerhed – både i virksomheder og hos private, ikke mindst i Danmark.

Konkret har regeringen jo lagt op til, at det her – som jeg tror er det, man kalder NIS-direktivet; det er i hvert fald et EU-direktiv af 6. juli 2016 – bliver implementeret i dansk lovgivning. Med de krav, der ligger i det her forslag, er der nogle krav, som indføres til operatører af væsentlige tjenester. Det er med hensyn til domænenavnsregistrering, og så er det til operatører specielt på det finansielle område. Så er der også en række krav, der stilles til udbydere af digitale tjenester, de her onlinemarkedspladser og onlinesøgemaskiner. Det er alt sammen meget fornuftigt, og der ligger en række initiativer, som den socialdemokratiske ordfører tidligere var inde på, bl.a. det her krav til myndighedssamarbejde i forhold til indberetninger til Center for Cybersikkerhed.

De generelle krav, der ligger i det her lovforslag, er vi sådan set tilhængere af i Dansk Folkeparti. Og vi har jo den grundlæggende præmis, at når vi skal støtte og tage politisk stilling til lovtekster, som kommer på baggrund af EU-direktiver, så vurderer vi dem ud fra, om de er til gavn og glæde for danske interesser, om de er til gavn for danske forbrugere, borgere og virksomheder, og det synes vi bestemt at det her direktiv er.

Så kan man altid diskutere, om der er nogle ting, der kan gøres endnu bedre. Det er jeg ikke i tvivl om at der er, og jeg tror også, at der er nogle af de ting, som der er blevet stillet spørgsmål om fra forskellige politiske partier til Socialdemokratiet, som det vil være nærliggende at få undersøgt, bl.a. i forhold til den her grundlæggende datasikkerhed og sikkerheden for, at den også fungerer forsvarligt. Det vil vi meget gerne være med til at få undersøgt i forbindelse med lovarbejdet. Men sådan overordnet kan jeg sige at vi kan støtte det her lovforslag.

Tak for det. Der er en kort bemærkning fra hr. Pelle Dragsted

Ja, og det vedrører det samme, som jeg var inde på før, altså det, at de oplysninger, der i det her tilfælde skal indberettes, om hændelser og andre ting tilgår et center, som er placeret under Forsvarets Efterretningstjeneste, som er undtaget fra en række regler om databeskyttelse, men jo i høj grad også fra politisk kontrol. Det er selvfølgelig svært at sige, hvad det er, vi frygter, men der er f.eks. ting som udveksling af oplysninger om borgere og virksomheder med andre landes tjenester, også lande, som ikke er demokratier; også lande, som ikke er lande, som man – så vidt jeg kender Dansk Folkeparti – synes man skal dele den type oplysninger om borgere og virksomheder med.

Så er Dansk Folkeparti trygge ved det forhold, at private virksomheder og borgere skal indberette oplysninger til et center, der ligger under en virksomhed, som er undtaget fra en række af de regler, der har til formål at sikre retten til privatliv og datasikkerhed for borgerne og selvfølgelig også for virksomhederne?

Ordføreren.

Jeg kan hvert fald bekræfte, at vi har hundrede procent tillid til Forsvarets Efterretningstjeneste, og at vi også har hundrede procent tillid til, at Center for Cybersikkerhed kan håndtere de opgaver, som de vil få i forbindelse med tilblivelsen og gennemførelsen af det lovforslag, som ligger her.

Spørgeren.

Jamen det synes jeg er modigt, det der med at have hundrede procent tillid til myndigheder, som man giver nogle meget vidtgående beføjelser til indsigt og oplysninger om borgere og virksomheder. Jeg synes ikke, der er noget historisk belæg for at have den form for tillid. Altså, hvis vi ser på efterretningstjenesternes historie, er det en lang historie om, at man har brudt med de regler og rammer, der var blevet sat fra politisk hold, eller undveget dem. Jeg synes, det er vigtigt, at vi har en efterretningstjeneste, men den skal være under politisk kontrol, og der er brug for ikke bare hundrede procent tillid.

Det var måske mere en kommentar end et spørgsmål.

Det er også tilladt. Ordføreren.

Jo, men altså, jeg svarede på det, som spørgeren spurgte om – pænt og høfligt, som jeg synes vi altid plejer at gøre i Dansk Folkeparti. Enhedslistens ordfører spurgte, om jeg havde tillid til dem, der skulle stå med opgaven, og så sagde jeg, at det har jeg. Jeg synes da, det ville have været mere underligt, hvis jeg havde sagt: Ja, vi har 87 pct. tillid til forsvaret. Jeg ved ikke, hvad procentsatsen så er hos Enhedslisten, er den under 80? Så har vi da et problem, vil jeg sige.

Nej, enten har man tillid, eller også har man ikke tillid. Sådan er det i øvrigt også i et ægteskab og alle andre steder. Altså, tillid er tillid, og vi har altså – det bliver jeg nødt til sige igen til ordføreren – hundrede procent tillid til både Center for Cybersikkerhed og deres opgave- og praksisvaretagelse og selvfølgelig også til Forsvarets Efterretningstjeneste.

Tak til hr. Hans Kristian Skibby. Der er ikke flere korte bemærkninger. Jeg vil gerne byde velkommen til hr. Torsten Schack Pedersen fra Venstre, Danmarks Liberale Parti.

Lovforslaget implementerer direktivet om net- og informationssikkerhed på erhvervsministerens område. Formålet med lovforslaget er at implementere elementer fra direktivet, som vedrører informationssikkerhed for domænenavnsystemer og digitale tjenester. Direktivet vil også blive implementeret på det finansielle område, hvor vi dog i forvejen har næsten tilsvarende regler. Direktivet tager højde for, at it-brister og cyberangreb udgør en sikkerhedsmæssig trussel for samfundet. Derfor indfører direktivet nogle sikkerhedsmæssige foranstaltninger for centrale digitale systemer.

It-sikkerhed er også et af de indsatsområder, der fremgår af den for nylig fremlagte strategi for Danmarks digitale vækst. Helt konkret i lovforslaget er det krav til operatører af væsentlige tjenester inden for digital infrastruktur og udbydere af digitale tjenester, som skal træffe passende sikkerhedsforanstaltninger på baggrund af en vurdering af de risici, som virksomhederne konkret står over for. Endvidere foreslås der krav om, at de omfattede operatører og udbydere skal underrette myndighederne om eventuelle hændelser, der har forstyrrende virkning på levering af de pågældende tjenester. Det er selvfølgelig opgaver, som har stor betydning i et så digitaliseret samfund som det danske, og er der nogen, der angriber, er det vigtigt at komme efter dem så effektivt som muligt og også højne beskyttelsesgraden. Og for at gøre det let for de berørte virksomheder, kan man altså indberette de her it-hændelser på en fælles indgang, der oprettes på Virk.dk, som jo grundlæggende er virksomhedernes hovedindgang til det offentlige, når det gælder digitale oplysninger.

De krav, der stilles til operatører, stilles til administratorer af topdomænenavne, digitale udbydere af onlinesøgemaskiner og onlineplatforme samt til større penge- og realkreditinstitutter. Jeg tror, at det er 60-70 aktører, man regner med der bliver ramt, så sidder man nu og er administrator på Marmorkrebs.dk, bliver det altså ikke det her lovforslag, der får nogen betydning. Men det vil derimod få stor betydning for sikkerheden i Danmark og de digitale værktøjer, der har væsentlig betydning. Så ved at implementere direktivet styrker vi it sikkerheden i samfundskritiske net- og informationssystemer. Det vil gøre institutioner, som besidder personlige og sikkerhedsmæssigt udsatte informationer, mere robuste over for cyberkriminalitet og andre it-læk. Vi ser desværre, der kommer flere og flere angreb. Når det gælder it-systemer og cyberkriminalitet, er det selvfølgelig vigtigt, at vi ruster os bedst muligt mod disse udfordringer.

Derfor støtter vi fra Venstres side lovforslaget.

Tak for det. Der er ingen korte bemærkninger, så vi går over til Enhedslistens ordfører, hr. Pelle Dragsted.

Mange tak. Jamen som det allerede er blevet nævnt af andre ordførere, er det forslag, vi behandler i dag, kan man sige, endnu en implementering af et EU-direktiv, som skal implementeres på en række områder, og der har også været en række forslag til behandling i salen, og der kommer vist også nogle flere på forskellige områder, for at implementere det her direktiv, som jo altså handler om en større grad af informationssikkerhed, både i forhold til, kan man sige, generel datasammenbrud, men selvfølgelig også med fokus på decideret fjendtlige angreb på informationsstrukturer og datastrukturer i de enkelte lande, f.eks. i form af cyberangreb.

Det er jo sådan set overordnet fornuftigt, at man både fra EU's side, men også her i Danmark, tager det her alvorligt, for vi lever jo i en verden, som er digitaliseret. Vi kan selv forestille os bare sådan noget som et sammenbrud af vores betalingstjenester – bare en formiddag, hvor alt fra MobilePay til dankort til overførsler mellem virksomheder, både indenrigs og udenrigs, brød sammen. Det ville formentlig have milliardomkostninger for både virksomheder og borgere og for tilliden til vores betalingsevner og alt muligt andet.

Så det er alvorlige sager, og derfor er det også vigtigt, at vi får skabt en lovgivning, som tager højde for den nye verden, som vi lever i. Og det er fornuftigt, at vi får stillet nogle krav til de centrale aktører, virksomheder, myndigheder og andre, om at indberette f.eks. hændelser, hvilket er en vigtig del af det her forslag, sådan at vi har ét samlet sted, hvor de her oplysninger kommer ind, sådan at man kan handle på dem og udveksle med andre lande, hvis der sker lignende ting, og forebygge nye angreb osv. osv. Det kan man jo kun, hvis de oplysninger, som jo ofte handler om angreb på private virksomheder, rent faktisk kommer myndighederne for øre. Så det er vigtigt, at vi får den slags opsamling og mulighed for at handle nationalt og også at samarbejde internationalt på det her område. Det er jo ikke noget, vi tror; det er noget, vi ved, altså at de her områder vil blive en del af krigsførsel – det kan man kalde det, det er der nogen, der gør – eller i hvert fald en del af en måde, hvorpå man forsøger at skade hinanden, både lande, men også private aktører.

Så langt, så godt. Når vi så laver den her slags lovgivning og nye regler, som handler om, at vi skal samle information, der også kan indebære private oplysninger om borgere og virksomheder, skal det ske under ordentlige forhold, hvor borgere og virksomheder er sikre på, at der er styr på de oplysninger. Altså, vi skal huske, at vi snakker store virksomheder, vi snakker forretningshemmeligheder, vi kan snakke alle mulige former for oplysninger, som nu skal tilgå myndighederne. Jeg synes, det er godt. Men vi skal være helt sikre på – når vi som stat og myndighed går ind og tilegner os borgernes eller virksomhedernes private oplysninger – at der så er styr på tingene, klare regler, gennemsigtighed og politisk kontrol med de myndigheder, som foretager det her. Det burde faktisk være et synspunkt, som vi er enige om på tværs af Folketinget. Det er ikke noget venstreorienteret synspunkt alene; det burde være et synspunkt, vi er enige om.

Det er så her, hvor bekymringen om det her forslag kommer ind i billedet. For det, der lægges op til her, er, at den her type af oplysninger skal indberettes til det, der hedder Center for Cybersikkerhed. Igen vil jeg sige, at det er meget fornuftigt at have et Center for Cybersikkerhed, hvor man samler de her oplysninger. Problemet er, at man har valgt at placere Center for Cybersikkerhed under Forsvarets Efterretningstjeneste. Så i stedet for at have en civil myndighed med de regler, der gælder for civile myndigheder, f.eks. databeskyttelsesregler, politisk kontrol og tilsyn, åbenhed, har man valgt at placere det under Forsvarets Efterretningstjeneste, som – fordi det er en efterretningstjeneste – er undtaget en lang række af de her garantier og er undtaget regler for databeskyttelse på en række områder. Det er jo selvfølgelig særlig alvorligt, når vi taler om en efterretningstjeneste, som også samarbejder med udenlandske tjenester. Altså man risikerer, at der bliver udvekslet oplysninger om virksomheder og borgere med andre landes tjenester, også lande, som er langt fra at have de demokratiske standarder, som vi har i Danmark.

Er tiden allerede gået? ( Tredje næstformand (Christian Juhl): Ja). Nå, jeg ville gerne have læst høringssvarene op, både dem fra Institut for Menneskerettigheder og andre, som netop peger på det her problem og foreslår, at det her burde være en civil myndighed.

Vi ser frem til udvalgsarbejdet, og vi har ikke lagt os fast på, hvordan vi endeligt stemmer endnu, men vi hejser bare et bekymret flag.

Tak til hr. Pelle Dragsted. Der er en kort bemærkning, og den er fra fru Karin Gaardsted. Værsgo.

Tak for det. Jeg vil bare gerne spørge ordføreren, om ordføreren er enig i, at cyberkriminalitet oftest er grænseoverskridende, og at det derfor kan være nødvendigt, at man udveksler oplysninger med andre lande.

Ordføreren.

Ja, og jeg har heller ikke den holdning, at Forsvarets Efterretningstjeneste og den anden efterretningstjeneste ikke må samarbejde internationalt, eller at der ikke kan tilgå oplysninger om det her. Men det at placere hele arbejdet med det her under Forsvarets Efterretningstjeneste synes jeg er for vidtgående.

Altså, det er klart, at hvis vi har et Center for Cybersikkerhed, som fungerer som civil myndighed, så skal efterretningstjenesten selvfølgelig involveres i de tilfælde, hvor der er tale om bevidste angreb og trusler mod den nationale sikkerhed, for det er jo deres ansvar. Hvis det f.eks. – som et tænkt eksempel – drejer sig om russiske forsøg på at på en eller anden måde skade vores datasikkerhed, så er det jo et spørgsmål, der bliver internationalt og knyttes til vores forsvar på den ene eller den anden måde. Men at placere hele infrastrukturen omkring det her under efterretningstjenesten mener jeg rejser en række ret principielle spørgsmål, og derfor er det – på samme måde som Institut for Menneskerettigheder – vores holdning, at man burde etablere Center for Cybersikkerhed som en civil myndighed og ikke lægge det under en efterretningstjeneste.

Spørgeren.

Det har jeg også forstået, og jeg synes da selvfølgelig også, det er i orden, at vi undersøger det. Men hvis man nu tænker sig, at det bliver lagt ud i en civil myndighed, så vil den civile myndighed jo også have brug for at udveksle oplysninger med andre lande, og den civile myndighed vil så måske skulle gå videre til FE og så igen videre derfra, og det kunne jo være, at det ville mudre billedet så meget, at det kunne være svært at gennemskue, om man nu fik gjort det, man skulle, for det er ret alvorlige ting, som vi taler om her.

Ordføreren.

Jamen det er da klart spørgsmål, som kan rejses. Så vidt jeg forstår – det kan være, at ministeren kan svare på det – er det i andre europæiske lande ikke sådan, at man alle steder har valgt at placere den her myndighed under efterretningstjenesterne. Og hvis det kan lade sig gøre i andre lande, som måske også er betydelig mere truet af den her type nedbrud og angreb end os, så burde man også kunne finde en løsning på det i Danmark. Men alt det håber jeg på vi kan få afklaret enten under udvalgsbehandlingen af det her lovforslag eller i den kommende proces, da det jo er en fire-fem lovforslag – jeg kan ikke huske, hvor mange – der skal behandles, og som alle sammen implementerer det her. Men vi ser det som en samlet pakke, for det er sådan set det samme problem, uanset om det som i det her tilfælde drejer sig om virksomheder eller om noget af det, der behandles i de andre lovforslag.

Så vi kommer også til i vores eget parti at snakke sammen på tværs af de her forskellige lovforslag for at tage stilling til, om vi kan leve med den måde, det i sidste ende falder ud.

Tak til hr. Pelle Dragsted for dagens indsats, og velkommen til hr. Leif Mikkelsen fra Liberal Alliance og midtjyde. Værsgo.

Tak for det, formand. Liberal Alliances it-ordfører, hr. Joachim B. Olsen, har ikke mulighed for at være her i dag. Nu vil jeg så sige, at man måske ikke behøver at være ordfører for at kunne mene noget om den digitalisering, der er sket af det danske samfund. Med min alder og erfaring har jeg i hvert fald været vidne til en voldsom udvikling i hele digitaliseringen, som medfører en række risici. Der er en række oplysninger, som pludselig er digitaliseret, og som vi ikke kendte for år tilbage. Derfor er det naturligt at skærpe opmærksomheden og lovgivningen om, hvordan vi så sikrer, at samfundsmæssige og finansielle transaktioner og oplysninger om borgere og virksomheder osv. er sikre og beskyttede.

Desværre har vi jo set angreb udefra på vores store virksomheder, som har lammet dem fuldstændig, og derfor er det både nødvendigt og rigtigt, at der i EU-sammenhæng bliver set på, hvordan det kan implementeres i alle lande. Det her er så et element i det, og der er flere elementer, og der bliver sikkert også behov for flere ting over tid. Vi har jo også jævnligt vedtaget lovforslag i Folketinget, der har øget digitaliseringen mellem borgere og samfund og mellem borgere og kommuner osv. Hele den udvikling, som vi selv er en del af, påkalder sig en skærpet opmærksomhed, og det her lovforslag er så udtryk for, at man har tænkt alvorligt over det, og implementerer de ting, der nu skal implementeres i det her lovforslag.

Som andre ordførere har nævnt, er det sidste ord sikkert ikke sagt i den her sag, men vi kan støtte lovforslaget, som det ligger.

Tak for det. Der er ikke nogen korte bemærkninger, så jeg siger tak til hr. Leif Mikkelsen og velkommen til hr. Rasmus Nordqvist fra Alternativet.

Jeg synes, at selve lovforslaget allerede er blevet godt gennemgået, herunder de bekymringer, der er i forbindelse med det. Som tidligere ordførere har sagt, er det jo et direktiv, som netop omhandler den her nye trussel, altså truslen om cyberangreb, og man har været så klog at se på det på tværs i EU og har sagt, at vi bliver nødt til at få arbejdet med den her sikkerhed. Det er rigtig fornuftigt. Det er rigtig fornuftigt at gøre inden for det område, vi står med nu, og de fire andre områder, hvor man implementerer det her.

Problemet ligger jo i, når vi laver den her slags ting, hvordan vi sikrer en databeskyttelse. Det er det, der ligesom er det stående spørgsmål i det her og grunden til, at vi heller ikke kan tilkendegive, om vi vil stemme ja eller nej til det. Det er, fordi det er et reelt problem. Der er blevet stillet spørgsmål, også i en række af de andre udvalg, der behandler det her, og nogle af dem kommer jo til ligesom at gælde på tværs af den her lovgivning.

Men jeg synes, det kunne være interessant at få at vide af ministeren, hvordan man har valgt at implementere det i de andre lande lige på det her område: Sker det hver gang under en efterretningstjeneste, som vi gør det i Danmark, og med de udfordringer, som det giver i forhold til databeskyttelsen? Og så har vi jo stillet en række spørgsmål i forbindelse med elementerne under forsvarsministeren om netop Center for Cybersikkerhed, og om man kan udskille det eller elementer af det fra Forsvarets Efterretningstjeneste, så det er underlagt reglerne om databeskyttelse. Det er jo noget, som også vil få stor betydning for behandlingen af det her lovforslag.

Så det er et vigtigt direktiv, vi arbejder med implementeringen af lige nu, men der er stadig væk nogle alvorlige spørgsmål og knaster, som der skal tages stilling til i udvalgsarbejdet.

Tak for det. Der er ikke nogen korte bemærkninger, så vi iler videre til fru Ida Auken fra Radikale Venstre, Danmarks socialliberale parti.

Tak for det. En af de største trusler mod vores tid og mod vores samfund er cybertruslen, og den er anderledes end alle mulige andre trusler udefra, fordi dem kan vi tænke på meget territorielt. Vi kan tænke, at her er en grænse, og her er noget, vi kan forsvare. Når det handler om cyber, går det fuldstændig på tværs af grænser, og den måde, vi har tænkt forsvar på tidligere, bliver vi nødt til at omtænke. Vi kan også være sårbare nogle helt andre steder, end vi tidligere har været. Kriminalitet bliver noget andet i dag. Man kan stjæle penge fra folk, man kan stjæle oplysninger, man kan afpresse folk på en helt anden måde, fordi vi er gået hen og er blevet et digitalt samfund. Og samtidig med at vi høster en masse fordele af at have fået de nye teknologier, har vi altså gjort os meget sårbare på hele cyberområdet.

Derfor er der også et behov for, at regeringen gør tingene i den rigtige rækkefølge, altså kommer frem med sin strategi mod cyberkriminalitet og for cybersikkerhed, får en overordnet koordinering af, hvad de forskellige ministerier skal gøre og får et samlet billede, sådan at man ikke får en drypvis tilgang. Hvis vi får sådan en samlet strategi, kan vi netop også få taget sådan en vigtig diskussion, som flere af ordførerne rejser i debatten i dag: Hvor skal Center for Cybersikkerhed, der skal samle mange af de her oplysninger, ligge; skal det være under efterretningstjenesterne med deres rettigheder? Det kan have nogle fordele, i form af at man kan dele fortrolige oplysninger med efterretningstjenesterne, og man vil kunne gøre mere simpelt hen hurtigere og mere sikkert, men det har også en kæmpe ulempe, som er, at man ikke kan dele det med resten af samfundet, og at vi ikke kan få indsigt i det som borgere. Jeg tror, det er meget, meget vigtigt, at befolkningen får en klarhed over, hvad det er, der foregår i øjeblikket, og får lov at være med inde at diskutere – hvor er mine oplysninger; hvad er det for en trussel, jeg er udsat for? Så man får en forståelse for det her.

Så fra Radikale Venstres side har vi i lang tid presset på for, at vi nu fik den her samlede strategi frem fra regeringens side. Jeg har selv haft forsvarsministeren i samråd om at få en samlet strategi, sådan at man kan tænke tingene sammen, inden man begynder at implementere de her direktiver.

Nu står vi så i dag og implementerer NIS-direktivet og beslutter, at vi kan sende oplysninger om hændelser til Center for Cybersikkerhed. Det kan vi i princippet godt støtte fra Radikale Venstres side, men vi vil gerne fortsætte diskussionen, som også flere ordførere har gjort i dag, om, hvor Center for Cybersikkerhed så skal ligge. Man kunne overveje – det har vores forsvarsordfører hr. Martin Lidegaard forleden foreslået – at man lægger Center for Cybersikkerhed som en civil enhed under FE, hvor der simpelt hen er en anden form for indsigt i det. Det er et forslag, vi gerne vil høre regeringens holdninger til. Så vi synes, at den diskussion, der er blevet rejst af flere ordførere i dag, er helt relevant. Vi synes, det ville være godt, at vi kunne få taget nogle skridt dybere ned i den, men vi stiller os naturligvis positive over for at få implementeret et vigtigt direktiv fra EU om at få sikret de her oplysninger på også erhvervsområdet.

Tak til fru Ida Auken. Der er ingen korte bemærkninger. Og så vil jeg gerne byde hjertelig velkommen til fru Lisbeth Bech Poulsen fra Socialistisk Folkeparti.

Som mine kolleger var inde på, er det her lovforslag en del af implementeringen af det, der hedder NIS-direktivet, og det handler om beskyttelse mod en af de største udfordringer, vi for tiden står over for, nemlig angreb på vores sikkerhed på det digitale område – hackerangreb, angreb på kritisk infrastruktur – og den del af NIS, der hører under erhvervsministerens område, er så det, vi diskuterer i dag. Men som flere af mine kollegaer var inde på, er det jo på fire forskellige ressortområder, at det her bliver diskuteret, og det principielt springende punkt, som jeg og flere af mine kollegaer har spurgt ind til, er nemlig hvor det i sidste ende skal ligge henne – hvor skal det her kontaktpunkt, CSIRT, skal ligge henne? Det er et principielt spørgsmål, som går igen på alle fire ressortområder, så vi vil også stille flere spørgsmål til det.

Jeg tror ikke, at der er nogen her i salen, der underkender den trussel, der kan være, i og med at vi bliver et mere og mere digitaliseret samfund, og at vi kun kan blive det, hvis befolkningen også har tillid til, at vi sikrer deres oplysninger, deres sikkerhed, og at vi sætter nogle rammer op for at sikre vores kritiske infrastruktur. Vi har set eksempler på, at lande og individer i den grad foretager mere eller mindre raffinerede angreb på store danske virksomheder og på vores infrastruktur.

Så den bekymring, som vi er flere, der har udtrykt, har jo ikke noget at gøre med, at vi underkender den reelle trussel, der er, men den retter sig snarere mod spørgsmålet om, hvordan vi behandler de her kæmpe store mængder af data, der ender med at skulle ligge et bestemt sted, altså det her kontaktpunkt, CSIRT, som foreslås bliver lagt under Center for Cybersikkerhed, som er en del af Forsvarets Efterretningstjeneste.

Forsvarets Efterretningstjeneste er jo undtaget både offentlighedsloven, persondataloven og dele af forvaltningsloven, og derfor er der nogle udfordringer, både i forhold til hvad borgere og virksomheder har af rettigheder, men også i forhold til at vi som Folketing ikke har politisk kontrol med, hvad der ligger. Det er noget, vi bliver nødt til at diskutere mere, fordi med implementeringen af NIS-direktivet angives det, at der skal være et kontaktpunkt, et CSIRT, men ikke, hvor det specifikt skal ligge, og der er jeg ligesom flere af mine kolleger interesseret i, hvordan man gør det i andre lande. Hvorhenne lægger man det, så man sikrer, at der både er fortrolighed, sikkerhed, samtidig med at det ikke bliver en stat i staten, hvor der ligger utrolig meget datamateriale, som vi ikke ved eller ikke kan kontrollere hvordan bliver håndteret?

Så er der en mindre, men stadig væk en vigtig del, synes jeg. Det her er igen et af de lovforslag, som i høj grad skal udmøntes via bekendtgørelser. Det synes jeg er lidt af en glidebane. Jeg forstår til dels godt argumentet for, at det sker, da det er nemmere på den måde at implementere noget lovgivning, der skal følge op på det her direktiv. Men jeg er enig i den kritik, der er kommet fra bl.a. Dansk Industri, DI Digital og DIFO, om, at det altså gør det uklart at vide, hvordan den her lovgivning kommer til at se ud, når man skriver ind i bemærkningerne til lovforslaget, at en stor del af det vil blive implementeret via bekendtgørelser.

Det er, hvad jeg vil sige om det i dag. På linje med flere af mine kolleger kan vi heller ikke sige endelig ja eller nej. Vi synes, det her er meget, meget vigtigt, men det er et springende punkt, at vi får samlet det her kontaktpunkt der, hvor alle oplysninger kommer ind, på et område, som er undtaget politisk kontrol og noget af den mest grundlæggende lovgivning, vi har, omkring vores databeskyttelse, omkring offentlighedsloven, omkring forvaltningsloven, omkring det at have bare en smule viden om, hvad der sker med det her datamateriale, og om det eventuelt bliver videregivet til tredjepart. Det er noget, vi skal diskutere i udvalgsbehandlingen, før vi også fra SF's side kan sige, om vi kan støtte forslaget.

Tak til fru Lisbeth Bech Poulsen. Der er ikke nogen korte bemærkninger. Velkommen til hr. Anders Johansson fra Konservative Folkeparti.

Tak for det. Lovforslaget, som vi behandler, har, som flere tidligere ordførere har nævnt, til formål at implementere NIS-direktivet på Erhvervsministeriets områder, og formålet med NIS-direktivet er jo at styrke it-sikkerheden i hele EU, så landene bliver mindre sårbare over for cyberangreb og nedbrud af it-systemer. Med lovforslaget sikres et højt niveau at net- og informationssikkerhed inden for det digitale område og de digitale tjenester, så man skaber nogle mere robuste digitale systemer.

I Det Konservative Folkeparti er vi meget positive over for digitaliseringen af vores samfund. Digitaliseringen er med til at skabe et mere effektivt samfund, mere konkurrencedygtigt og dermed også et rigere samfund. Den teknologiske udvikling er kommet for at blive, og derfor mener vi, det er vigtigt, at det danske samfund bliver så godt, som det overhovedet er muligt, til at gribe de muligheder og udnytte de muligheder, som digitaliseringen giver os. Det er godt for samfundet og dermed også godt for den enkelte dansker.

Den øgede afhængighed af digitale løsninger og øgede mængde af data fra både private og vigtige samfundsaktører betyder selvfølgelig også, at vi bliver mere sårbare over for systembrud og cyberangreb. Derfor er det også rigtig vigtigt, at vi har fokus på, hvordan vi gør vores it-systemer så sikre som overhovedet muligt. It-systemerne operere internationalt, og derfor er der også behov for en ensartet lovgivning på tværs af landegrænser, også for udveksling af oplysninger mellem efterretningstjenester og myndigheder, sådan at it-kriminelle eller andre ikke kan spekulere i angreb mod det svageste led i kæden.

Med NIS-direktivet indfører vi en fælles standard for EU-landene, og i den forbindelse synes jeg også at det er værd at bemærke, at den danske udmøntning ligger så direktivnært som muligt. Det er vigtigt, så vi ikke pålægger danske virksomheder unødige byrder i forhold til dem, de konkurrerer med i EU.

Med de bemærkninger vil jeg egentlig bare meddele, at Det Konservative Folkeparti bakker lovforslaget op.

Tak til hr. Anders Johansson. Der er ingen korte bemærkninger, og så er turen kommet til erhvervsministeren. Velkommen.

Tak for de mange bemærkninger. It-sikkerhedshændelser, det kan være cyberangreb, nedbrud af it-systemer, udgør jo helt elementært en alvorlig trussel mod vores samfund. Omfanget, hyppigheden og konsekvenserne af sådanne hændelser er desværre tiltagende, og samtidig er stadig flere økonomiske og samfundsvigtige aktiviteter jo afhængige af digitale systemer og tjenester. Det er derfor afgørende, at den digitale infrastruktur og de digitale tjenester er beskyttet mod cyberkriminalitet og it-sikkerhedshændelser. Derfor er it-sikkerhed også et af indsatsområderne i den nyligt fremlagte strategi for Danmarks digitale vækst. Et tilstrækkeligt niveau af it-sikkerhed skal understøtte visionen om, at Danmark også i fremtiden vil være en digital frontløber.

Lovforslaget her er en del af regeringens samlede indsats på området. Lovforslaget gennemfører, som flere har været inde på, EU's direktiv om net- og informationssikkerhed i samfundskritiske sektorer, det såkaldte NIS-direktiv, på Erhvervsministeriets område. Med lovforslaget foreslås indført krav vedrørende net- og informationssikkerhed for operatører af væsentlige tjenester inden for dele af den digitale infrastruktur. Nærmere bestemt vil det være over for administratorer af topdomænenavne som f.eks. ».dk«. Også større operatører af såkaldte domænenavnssystemer er omfattet af forslaget. Lovforslaget indeholder herudover krav til it-sikkerheden hos digitale udbydere af onlinesøgemaskiner, onlineplatforme samt cloud computing-tjenester. Endelig stilles der i lovforslaget krav til it-sikkerheden over for væsentlige operatører, f.eks. penge- og realkreditinstitutter, inden for den finansielle sektor, der præciserer de krav, som sektoren allerede i dag er underlagt.

Et centralt princip i forbindelse med it-sikkerhed og dermed også i lovforslaget er, at virksomhederne, som er omfattet af lovforslaget, skal gennemføre en risikoanalyse. Det er virksomhedens ansvar at beslutte de konkrete foranstaltninger, der skal gennemføres på baggrund af risikoanalysen, og som adresserer de konstaterede risici. Det bidrager til, at systemerne bliver mere robuste over for angreb og vil samlet set bidrage til et højere niveau af net- og informationssikkerhed. Men vi kan jo ikke undgå, at der desværre også i fremtiden vil ske it-sikkerhedshændelser. For at modvirke kaskadeeffekter på tværs af sektorer og landegrænser stilles der derfor krav om, at virksomheder, som har været udsat for en væsentlig it-sikkerhedshændelse, indberetter hændelsen til relevante myndigheder. Indberetninger sker bl.a. med det formål at kunne håndtere igangværende hændelser og fremadrettet forebygge nye hændelser. For at gøre det så nemt som muligt for virksomhederne at indberette it-sikkerhedshændelser og minimere de administrative byrder, der er forbundet hermed, etableres der en fælles indgang for indberetninger. Har en it-hændelse væsentlige konsekvenser for borgere og virksomheder i Danmark, følger det af lovforslaget, at sektormyndigheden kan offentlige konkrete oplysninger om hændelsen, således at borgerne og virksomhederne kan tage de nødvendige skridt ved cyberangreb. En offentliggørelse vil ske efter høring af den berørte virksomhed under hensyn til beskyttelse af personfølsomme oplysninger.

Lovforslaget vil sammen med tilsvarende lovforslag på de øvrige ministerområder, som er omfattet af NIS-direktivet, bidrage til at øge it-sikkerheden i samfundskritiske net- og informationssystemer og dermed øge det danske samfunds robusthed over for cyberkriminalitet og andre it-sikkerhedshændelser.

Der kom nogle konkrete spørgsmål her under førstebehandlingen, og dem vil vi selvfølgelig også prøve at besvare i forbindelse med udvalgsbehandlingen, når der bliver stillet konkrete spørgsmål om det. Så tak for ordene indtil nu, og jeg glæder mig til en konstruktiv drøftelse i udvalget af forslaget.

Tak til ministeren. Hans tale udfordrede ikke ordførerne.

Så da der ikke er flere, der har bedt om ordet, er forhandlingerne dermed afsluttet.

Jeg foreslår, at lovforslaget henvises til Erhvervs-, Vækst- og Eksportudvalget. Hvis ingen gør indsigelse, betragter jeg det som vedtaget.

Det er vedtaget.