Art. 9 Nationella ramar för hantering av cybersäkerhetskriser | NIS 2 directive | NIS 2

This article deals with how Member States must organise themselves to handle large-scale cybersecurity incidents and crises at a national level.

It requires each Member State to designate or establish dedicated cyber crisis management authorities, ensure they are adequately resourced, and align their operation with existing national crisis management frameworks.

The article also mandates that each Member State produce a formal national response plan covering preparedness, roles, procedures, and coordination at Union level — effectively building the national infrastructure needed to feed into the broader EU-level crisis coordination mechanisms, such as EU-CyCLONe, which is established under Article 16.

Important points:

Member States are required to designate at least one cyber crisis management authority and, where multiple are designated, must clearly identify which one serves as the lead coordinator.
Adopt a national large-scale cybersecurity incident and crisis response plan that covers preparedness objectives, authority responsibilities, crisis procedures, training activities, and arrangements for Union-level coordination.
Member States must notify the Commission of their designated authority within three months of its establishment, and submit relevant details of their response plans to both the Commission and EU-CyCLONe within three months of those plans being adopted.

1. Varje medlemsstat ska utse eller inrätta en eller flera behöriga myndigheter med ansvar för hanteringen av storskaliga cybersäkerhetsincidenter och kriser (cyberkrishanteringsmyndigheter). Medlemsstaterna ska säkerställa att dessa myndigheter har tillräckliga resurser för att kunna utföra sina uppgifter på ett ändamålsenligt och effektivt sätt. Medlemsstaterna ska säkerställa samstämmighet med befintliga ramar för allmän nationell krishantering.
1. Om en medlemsstat utser eller inrättar mer än en cyberkrishanteringsmyndighet enligt punkt 1 ska den tydligt ange vilken av dessa myndigheter som ska samordna hanteringen av storskaliga cybersäkerhetsincidenter och kriser.
1. För tillämpning av detta direktiv ska varje medlemsstat identifiera vilka kapaciteter, tillgångar och förfaranden som kan användas i händelse av en kris.
1. Varje medlemsstat ska anta en nationell plan för hanteringen av storskaliga cybersäkerhetsincidenter och kriser där mål och villkor för hanteringen av storskaliga cybersäkerhetsincidenter och kriser fastställs. Planen ska särskilt innehålla följande:
  1. Målen för nationella beredskapsåtgärder och beredskapsverksamheter.
  2. Cyberkrishanteringsmyndigheternas uppgifter och ansvarsområden.
  3. Cyberkrishanteringsförfaranden, inbegripet deras integrering i den allmänna nationella ramen för krishantering och kanaler för informationsutbyte.
  4. Nationella beredskapsåtgärder, inbegripet övningar och utbildningsverksamhet.
  5. Berörda offentliga och privata intressenter och berörd infrastruktur.
  6. Nationella förfaranden och arrangemang mellan relevanta nationella myndigheter och organ för att säkerställa att medlemsstaten på ett ändamålsenligt sätt kan delta i och stödja en samordnad hantering av storskaliga cybersäkerhetsincidenter och kriser på unionsnivå.
1. Inom tre månader från det att den cyberkrishanteringsmyndighet som avses i punkt 1 har utsetts eller inrättats ska varje medlemsstat meddela kommissionen sin myndighets identitet samt alla senare ändringar. Medlemsstaterna ska till kommissionen och Europeiska kontaktnätverket för cyberkriser (EU-CyCLONe) lämna relevant information avseende kraven i punkt 4 om sina nationella planer för hanteringen av storskaliga cybersäkerhetsincidenter och kriser inom tre månader från det att dessa planer antagits. Medlemsstaterna får undanta information om och i den utsträckning det är nödvändigt för den nationella säkerheten.

Artikel 9 Nationella ramar för hantering av cybersäkerhetskriser

Relevant recitals