Virksomhederne og den centrale lagerenhed skal udarbejde beredskabsplaner baseret på risiko- og sårbarhedsvurderingerne, jf. § 8, seneste 3 måneder efter gennemførelse af disse.
Stk. 2 Beredskabsplanerne skal indeholde følgende:
-
1) En identificering af forsyningskritiske anlæg og processer, samt afhængighed af andre systemer uden for virksomheden.
-
2) Beskrivelse af forebyggende foranstaltninger til mulig iværksættelse under en beredskabssituation, herunder muligheder for alternative driftsformer.
-
3) Beskrivelse af intern ansvars- og rollefordeling under krisestyring.
-
4) Overordnet beskrivelse af intern beredskabsorganisering, der kan iværksættes for at håndtere en beredskabssituation, som f. eks. en krisestab eller skærpet driftsbemanding.
-
5) Beskrivelse af kommunikation med andre virksomheder, den centrale lagerenhed, Energistyrelsen og andre myndigheder i en akut krisesituation.
-
6) Beskrivelse af procedurer for etablering af alternativ drift ved nedbrud på forsyningskritiske anlæg og processer.
-
7) Plan for genoprettelse af forsyningskritisk infrastruktur og processer.
-
8) Plan for dokumentation og opfølgning på hændelser.
-
9) Beskrivelse af den operative ansvarsfordeling mellem virksomheden og dennes samarbejdsparter.
Stk. 3 Virksomheder og den centrale lagerenhed skal, såfremt de opfylder kriterierne beskrevet i § 9 stk. 1 tilsikre, at it-forhold integreres i beredskabsplanlægningen, således at følgende elementer indarbejdes i deres beredskabsplaner efter stk. 1:
-
1) Beskrivelse af forsyningskritiske it-systemer, samt afhængighed af andre it-systemer uden for virksomheden på baggrund af planmateriel efter § 10.
-
2) Beskrivelse af forbyggende foranstaltninger til mulig iværksættelse i it-systemerne identificeret i punkt 1, herunder muligheder for segmentering af it-systemer og alternative driftsformer. Anvendes fjernadgang til forsyningskritiske it-systemer, skal beredskabsplanen indeholde en plan for, hvordan angreb på disse systemer opdages og håndteres.
-
3) Beskrivelse af procedurer for etablering af alternativ drift ved nedbrud på forsyningskritiske it-systemer.
-
4) Plan for genoprettelse af forsyningskritiske it-systemer.
-
5) Benyttes ekstern opkobling til virksomhedens forsyningskritiske it-systemer, skal beredskabsplanen beskrive procedurer for, hvordan it-sikkerhed sikres i disse forbindelser.
-
6) Relevante forhold der i medfør af afhængigheden af it-systemer påvirker elementer beskrevet i stk. 2, nr. 3, 4, 5, 8 og 9.
Stk. 4 Beredskabsplaner skal opdateres senest 3 måneder efter gennemførelse af en risiko- og sårbarhedsvurdering, jf. § 8, stk. 4.
Stk. 5 Beredskabsplaner skal være versionsstyret med en kort beskrivelse af ændringer i forhold til tidligere versioner.
Stk. 6 Energistyrelsen skal vejlede virksomhederne i udarbejdelse af beredskabsplaner.