OLR — Østre Landsret

BS-61725/2023-OLR

OL-2026-Ø-00129

Endelig

Dato

24-06-2026

Sagsemne

Sag om forbud mod leverandørsamarbejde i kritisk teleinfrastruktur samt om erstatningsansvar og ekspropriationserstatning

Fuldtekst

Kilde: Domsdatabasen

.ddb-conv-doc { text-align: left; background-color: gray; color: #000000; line-height: 1; margin: 0; padding: 0; text-decoration-skip: none; text-decoration-skip-ink: none; } .ddb-conv-doc .page { background-color: white; position: relative; z-index: 0; margin: auto auto; } .ddb-conv-doc P { margin: 0; } .ddb-conv-doc UL { margin: 0; list-style: none; } .ddb-conv-doc UL LI { line-height: 1.15; } .ddb-conv-doc SUP { vertical-align: baseline; position: relative; top: -0.4em; font-size: 0.7em; line-height: 0; } .ddb-conv-doc .ddb-segment { position: relative; } .ddb-conv-doc .ddb-segment .ddb-absolute { position: absolute; z-index: 3; } .ddb-conv-doc .text, .ddb-conv-doc div.ddb-block, .ddb-conv-doc div.ddb-block-nb { position: relative; z-index: 3; opacity: inherit; text-align: left; margin-right: 175.2px; line-height: 1.15; } .ddb-conv-doc div.ddb-block-nb { white-space: nowrap; } .ddb-conv-doc .ddb-table { white-space: nowrap; width: 1024.0px; } .ddb-conv-doc .ddb-table .table-span { vertical-align: top; word-wrap: break-word; display: inline-block; } .ddb-conv-doc .ddb-table * { white-space: normal; } .ddb-conv-doc .vector, .ddb-conv-doc .image, .ddb-conv-doc .annotation, .ddb-conv-doc .annotation2, .ddb-conv-doc .control { position: absolute; line-height: 0; } .ddb-conv-doc .vector { z-index: 1; } .ddb-conv-doc .image { z-index: 2; } .ddb-conv-doc .annotation { z-index: 5; } .ddb-conv-doc .annotation2 { z-index: 7; } .ddb-conv-doc .control { z-index: 10; } .ddb-conv-doc .dummyimg { vertical-align: top; border: none; line-height: 0; } .marking .identification { border-bottom: 2px solid #000; } .additional-marking-parts { display: none } .hidden { display: none }

ØSTRE LANDSRET

DOM

afsagt den 24. juni 2026

Sag BS-61725/2023-OLR (14. afdeling)

TDC NET A/S (advokat Peter Schradieck og advokat Jimmy Skjold Hansen samt særlig Advokat 1, beskikket)

mod

Forsvarets Efterretningstjeneste v/Center for Cybersikkerhed (nu Styrelsen for Samfundssikkerhed) (advokat Sune Fugleholm og advokat Tomas Ilsøe Andersen)

Biintervenient til støtte for TDC NET A/S: Dansk Erhverv (advokat Peter Steentoft)

Landsdommerne Julie Skat Rørdam, Mads Stokholm og René Bergfort har del taget i sagens afgørelse.

Sagen er anlagt ved Københavns Byret den 15. september 2023. Ved kendelse af 15. december 2023 er sagen henvist til behandling ved landsretten efter retsplej elovens § 226, stk. 1.

Sagen vedrører prøvelse af en afgørelse truffet den 21. marts 2023 af Forsvarets Efterretningstjeneste v/Center for Cybersikkerhed over for TDC NET A/S om forbud efter telesikkerhedslovens § 3, stk. 1, 1. pkt., mod fra den 31. december 2026 at opretholde en aftale (”Amendment No 4 to WDM Master Agreement” , herefter ”Amendment 4”) indgået mellem TDC NET A/S og Huawei Internatio nal Co. Limited, samt forbud efter telesikkerhedslovens § 3, stk. 2, 1. pkt., mod

fra den 1. januar 2027 at anvende de kritiske netkomponenter, systemer og værktøjer, der er leveret i henhold til ”Amendment 4” .

Både ”Amendment 4” og de netkomponenter, systemer og værktøjer, der er le veret i henhold hertil, er relateret til TDC NET A/S’ brug af Huawei som leve randør til det såkaldte DWDM-netværk, der er et centralt netværk for telekom munikation i Danmark. Der er mellem parterne enighed om, at DWDM-netvær ket er en del af den samfundskritiske teleinfrastruktur i Danmark. Der anven des i sagens dokumenter forskellige betegnelser for netværket (DWDM, WDM, backbone-netværk mv.). I det følgende anvendes ”DWDM-netværk” .

TDC NET A/S har gjort gældende, at selskabet har været nødsaget til at efter leve afgørelsen af 21. marts 2023, hvorfor der ikke er nedlagt påstand om, at af gørelsen er ugyldig, men TDC NET A/S har anfægtet afgørelsen, idet det er gjort gældende, at afgørelsen mangler hjemmel i telesikkerhedsloven og i øvrigt kan betragtes som mangelfuld og retsstridig. Såfremt TDC NET A/S gives med hold heri, er der spørgsmål om erstatningsansvar og størrelsen af et sådan er statningskrav, mens der i modsat fald er spørgsmål om ekspropriation og eks propriationserstatning, herunder størrelsen heraf.

Sagens hovedforhandling har i medfør af telesikkerhedslovens § 10, stk. 1, væ ret opdelt i en åben og en lukket del. Der har således været afholdt seks retsmø der, hvor TDC NET A/S har været repræsenteret af advokaterne Peter Schradieck og Jimmy Skjold Hansen (åben del), samt et retsmøde for lukkede døre, hvor TDC NET A/S har været repræsenteret af Advokat 1, der er beskikket som særlig advokat for selskabet i medfør af telesikkerhedslo vens § 8, stk. 2 (lukket del).

Det er oplyst, at Center for Cybersikkerhed er overgået fra at være et center un der Forsvarets Efterretningstjeneste til at være en del af Styrelsen for Samfunds sikkerhed. I det følgende vil alene betegnelsen Center for Cybersikkerhed blive anvendt for sagsøgte.

Påstande

TDC NET A/S har nedlagt følgende påstande:

Påstand 1: Forsvarets Efterretningstjeneste v/Center for Cybersikkerhed skal anerkende, at Center for Cybersikkerheds afgørelse af 21. marts 2023 om nedlæggelse af forbud over for TDC NET A/S ikke har haft hjemmel i § 3, stk. 1, 1. pkt., eller i § 3, stk. 2, 1. pkt., i lov nr. 1156 af 8. juni 2021 om leverandørsikkerhed i den kritiske teleinfrastruktur.

Påstand 2: Forsvarets Efterretningstjeneste v/Center for Cybersikkerhed skal anerkende, at et forbud som nedlagt i Center for Cybersikkerheds

afgørelse af 21. marts 2023 om nedlæggelse af forbud over for TDC NET A/S tidligst kunne nedlægges fra den 1. januar 2026; principalt med en frist for ikrafttræden svarende til fristen i afgørelsen, jf. § 3, stk. 3, i lov nr. 1156 af 8. juni 2021 om leverandørsikkerhed i den kritiske teleinfrastruktur; subsidiært med en kortere rimelig frist for ikrafttræden i henhold til lovens § 3, stk. 3.

Påstand 3: Forsvarets Efterretningstjeneste v/Center for Cybersikkerhed skal anerkende at være erstatningsansvarlig over for TDC NET A/S for det økonomiske tab, som TDC NET A/S lider som følge af TDC NET A/S' efterlevelse af Center for Cybersikkerheds afgørelse af 21. marts 2023 om nedlæggelse af forbud over for TDC NET A/S.

Påstand 4: Forsvarets Efterretningstjeneste v/Center for Cybersikkerhed skal anerkende, at Center for Cybersikkerheds afgørelse af 21. marts 2023 om nedlæggelse af forbud over for TDC NET A/S indebærer ekspropriation over for TDC NET A/S.

Påstand 5: Forsvarets Efterretningstjeneste v/Center for Cybersikkerhed skal til TDC NET A/S betale 194.935.021,81 kr. med procesrente fra sagens anlæg. Subsidiært skal Forsvarets Efterretningstjeneste v/Center for Cybersikkerhed til TDC NET A/S betale et mindre beløb efter ret tens skøn med procesrente fra sagens anlæg.

Sammensætningen af TDC NET A/S’ betalingspåstand (påstand 5) kan med ud gangspunkt i støttebilag 4 opstilles som følger:

Afholdte udgifter til indkøb af hardware og software hosden nye leverandør, Ciena, og relaterede indkøb i perioden frem til ultimo juni 2026: 123.061.655,42 kr. Forventede, fremtidige indkøb i henhold til samme efterultimo juni 2026: 2.721.193,33 kr. Afholdte interne personaleomkostninger i relation til installation og driftsopstart af Ciena-netværket til og medjanuar 2026: 39.212.573,29 kr.

Forventede, fremtidige udgifter i henhold til samme fra 1.februar 2026: 10.987.391,53 kr. Afholdte udgifter til strømforbrug til drift af Ciena-netværket parallelt med driften af Huawei-netværket til ogmed januar 2026: 1.100.447,47 kr. Forventede, fremtidige udgifter til det samme fra 1. februar 2026: 1.771.455,15 kr.

Afholdte udgifter til fiberleje til Ciena-netværket i udlandet til og med januar 2026: 2.586.613,89 kr.

Forventede, fremtidige udgifter til det samme fra 1. februar 2026: 5.937.069,20 kr. Afholdte udgifter til leje af arealplads til Ciena hardwarei bygninger ejet af tredjemand til og med januar 2026: 3.344.936,00 kr. Forventede, fremtidige udgifter til det samme fra 1. februar 2026: 3.616.100,71 kr. Udenretlige advokatudgifter i forbindelse med høringsprocessenangående afgørelsen af 21. marts 2023: 595.585,83 kr.

I alt 194.935.021,80 kr. Særlig advo kat Advokat 1 har på vegne af TDC NET A/S under sagens luk kede del nedlagt følgende endelige påstand, der ifølge den særlige advokat er subsidiær iforhold til TDC NET A/S’ påstand 1 og 2 i sagens åbne del:

"Center for Cybersikkerheds afgørelse af 21. marts 2023 om nedlæg gels e af forbud over for TDC NET A/S ophæves."

Forsvarets E fterretningstjeneste v/Center for Cybersikkerhed har nedlagt på stand om frifindelse, dog over for TDC NET A/S’ påstand 2 principalt afvisning, subsidiært frifindelse.

Forsvarets Efterretningstjeneste v/Center for Cybersikkerhed har under hovedforhandlingen præciseret, at påstandene om frifindelse indeholder en subsidiær påstand om, at sagen hjemvises til fornyet behadling med henblik på udmåling af ekspropriationserstatning, såfremt landsretten tager TDC NET A/S’ påstand 4 til følge.

Sagsfremstilling

TDC A/S (nu TDC NET A/S, herefter benævnt ”TDC”) indgik den 19. maj 2011 en ”Master Contract” (herefter “Rammeaftalen”) med Huawei International PTE. LTD. om Huaweis levering og support af et DWDM-system under vilkår som var nærmere fastsat i de samtidigt indgåede ”Supply Agreement” og ”Sup port Agreement” .

Det fremgår af rammeaftalens pkt. 31, at den træder i kraft på det tidspunkt, hvor begge parter har underskrevet aftalen. Aftalen er fra TDC’s side under skrevet den 14. april 2010 og fra Huaweis side den 19. maj 2011. Af rammeafta lens pkt. 16 om ændringer og modifikationer til aftalen fremgår bl.a.:

”… No addition or modification of this Master Contract and/or Product Agreements shall be effective or binding on either of the Parties hereto unless agreed in writing and executed by the respective duly autho rized representatives of each of the Parties hereto.

…”

Af rammeaftalens pkt. 33 om “Specific agreement regarding cyber security veri fication cell (CSCE Procedure)” fremgår:

“… The coming in force of this contract is conditioned on Huawei establish ing and throughout the term of the contract operating Testing, Verifica tion and Certification Cell (CSCE Procedure) to satisfy requirements as defined by Danish authorities similar to the ones set up by the UK.

The CSCE can be established either on premises in Denmark or through the use of similar UK or Nordic based CSCE-facility operated jointly be tween Huawei and UK/Nordic country Authorities. The CSCE shall be built and operated in such a way, that it can be approved by TDC and Danish NITA. The CSCE shall allow for the thorough testing, verifica tion and certification of equipment, software and spare parts delivered under this contract.

The failure to fulfil the obligations mentioned in this paragraph shall be considered a breach of contract, and TDC shall in this case have the rights to terminate the contract without any prior notice and without any compensation to be paid. …”

Supply-aftalen var efter sit indhold gældende frem til den 31. december 2016 med en mulighed for TDC for at forlænge aftalen to gange til henholdsvis 31. december 2017 og 2018. Som med rammeaftalen fremgår det af supply-aftalen, at ændringer til aftalen kun har virkning, hvis de er underskrevet af begge par ter.

Support-aftalen kunne fra Huaweis side opsiges med 6 måneders varsel, dog tidligst til den 31. december 2020, mens aftalen fra TDC’s side kunne opsiges med 3 måneders varsel.

Den 19. august 2011 indgik parterne ”Amendment 1” til support-aftalen, hvor efter support-aftalens leverancer skulle leveres af Huawei Technologies Den mark ApS.

Den 24. april 2012 indgik Huawei Technologies Denmark ApS og Forsvarsmini steriet en fælles forståelse om rammerne for Huaweis leverancer af hardware, firmware, software og tjenesteydelser til en teleudbyder på det danske marked. Af forståelsen fremgår bl.a.:

”… Huaweis anvendelse af CSEC CSEC, Cyber Security Evaluation Centre i Storbritannien (cellen) udø ver en risikobegrænsende funktion over for teleudbyderen på det dan

ske marked og den danske stat ved at tilvejebringe en kvalitetssikring og integritetskontrol i sikkerhedsmæssig henseende i forbindelse med leveret software, firmware og hardware fra Huawei. Cellen udfører denne funktion svarende til dens til enhver tid eksisterende evne og ka pacitet.

Formålet med anvendelsen af cellen er ikke fuldstændigt at afhjælpe alle mulige risici. Den indledende brug af cellen har alene til formål at sikre opdateringer til udstyr, der er implementeret, således at ikke-do kumenterede funktionaliteter eller andre svagheder ikke bliver introdu ceret efter udstyrsimplementeringen via opdateringer, det være sig til sigtede eller utilsigtede, i et hvilket som helst led i forsyningskælen.

Cellens funktion For alt udstyr, der skal implementeres i teleudbyderens danske net, le verer Huawei komplet hardware- og software-designinformation, her under kildekode, samt ASIC/FPGA-design og -kildekode, til cellen sam men med nødvendigt udstyr med henblik på, at cellen kan kompilere eksekverbar kode. Kildekode, image og den komplette designinforma tion skal efterfølgende opbevares i cellen. Cellen skal videregive dette materiale til Forsvarsministeriet, såfremt Forsvarsministeriet anmoder herom.

Cellen foretager en sikkerhedsvurdering af opdateringer til software, firmware og hardware i udstyr fra Huawei, som er implementeret i teleudbyderens danske net. Ved opdatering af software, firmware eller hardware skal cellen gennemføre en analyse, der:

•verificerer, at enhver formodet ændring i software, firmware el ler hardware skyldes kundekrav og eller produktudviklingskrav, og at de pågældende ændringer ikke utilsigtet eller bevidst for ringer systemsikkerheden, og

•verificerer ud fra kildekoden, at alle ændringer alene implemen terer kunde- eller produktopdateringskrav.

På baggrund af analysen skal cellen:

•ud fra kildekoden generere en komplet installérbar system software (dvs. et image) på betroet udstyr i cellen, idet cellen samtidigt verificerer, at det pågældende image indeholder de ve rificerede ændringer i kildekoden, samt at cellen verificerer, at det pågældende image har en korrekt funktion på Huawei-leve ret udstyr, og

•levere en kopi af det genererede image til teleudbyderen på det danske marked på en sikker måde.

Ved cellens sikkerhedsvurderinger af opdateringer fra Huawei af software, firmware eller hardware skal cellen efterfølgende opbevare den opdaterede kildekode sammen med det resulterende image, infor mationer om eventuelle hardwareændringer og en kopi af den gennem

førte analyse i cellen. Cellen skal levere dette materiale til Forsvarsmini steriet, såfremt Forsvarsministeriet anmoder herom. …”

I sagens dokumenter henvises til testcentret i Storbritannien med forskellige be tegnelser (HCSEC, CSEC, cellen mv.). I det følgende anvendes ”HCSEC” (Hu awei Cyber Security Evaluation Centre) som henvisning til centret.

I februar 2013 indgik TDC og Center for Cybersikkerhed (herefter ”CFCS”) ”Skriftlig forståelse nr. 1” om TDC’s sikkerhedsmæssige håndtering af Huawei-leverancer i TDC’s net, der anses for at udgøre samfundskritisk infrastruktur. Aftalen skulle efter sit indhold sætte rammerne for TDC’s sikkerhedsmæssige håndtering af Huawei-leverancer i TDC’s danske net, og aftalen omfattede ele menter, som supplerede og understøttede de sikkerhedsforanstaltninger, der blev opnået ved Huaweis brug af HCSEC (”cellen”). Af forståelsen fremgår bl.a.:

”… 2. TDC vil sikre, at udstyr og software fra Huawei, der forventes benyt tet i TDC’s net, bliver certificeret af cellen. …”

TDC og CFCS indgik den 11. september 2013 ”Skriftlig forståelse nr. 2” om TDC’s sikkerhedsmæssige håndtering af Huaweis leverancer til og drift af TDC’s mobilnet. Aftalen skulle sætte rammerne for TDC’s sikkerhedsmæssige håndtering af de dele af TDC’s 2G-, 3G- og 4g/LTE- samt RAN-net (mobilnet), der leveres eller drives af Huawei, og omfattede elementer, som supplerede og understøttede de sikkerhedsforanstaltninger, der blev opnået ved Huaweis brug af HCSEC. Aftalen supplerede efter sin indhold ”Skriftlig forståelse nr. 1” . Af forståelsen fremgår bl.a.:

”… 6. RAN-udstyr leveret til TDC valideres af cellen:

a. Hardwarekomponenter typegodkendes af cellen før levering til TDC, jf. dog pkt. 6 c.

b. Softwareopdateringer (nye releases og rettelser) valideres af cel len og leveres udelukkende gennem cellen, jf. dog pkt. 6 d.

c. I tilfælde af fejlretning af større kritiske fejlsituationer, hvor type godkendelse af nødvendige hardwarekomponenter ikke uden unødig forsinkelse kan ske gennem cellen, skal TDC sikre, at cel len efterfølgende foretager typegodkendelse af den pågældende hardwarekomponent.

d. I tilfælde af fejlretning af større kritiske fejlsituationer, hvor vali

dering eller levering af nødvendige softwareopdateringer ikke kan ske gennem cellen uden unødig forsinkelse, skal TDC sikre, at softwareopdateringen transmitteres via cellen, og at cellen ef terfølgende foretager validering af den pågældende softwareop datering.

e. I helt særlige tilfælde, hvor transmission via cellen efter pkt. 6 d f.eks. på grund af længerevarende nedbrud ikke er mulig, kan softwareopdateringer, der er nødvendige for fejlretning af større kritiske fejlsituationer, leveres uden om cellen. TDC skal sikre, at cellen efterfølgende foretager validering af den pågældende softwareopdatering.

…

16. TDC sikrer, at selskabets kontrakter med Huawei understøtter den skriftlige forståelse samt at det i kontrakterne fastslås, at Huawei er for pligtet til at sikre, at cellen til enhver tid råder over den fornødne kapa citet til at den skriftlige forståelse kan efterleves. tilfælde af, at Huawei som følge af deres aftale med de engelske myndigheder er afskåret fra at indrette cellen til de aktiviteter, der følger af den skriftlige forståelse, kan Huawei anvende en anden tilsvarende sikkerhedsfacilitet, der er godkendt af CFCS. …”

”Skriftlig forståelse nr. 2” blev af CFCS fremsendt til TDC den 13. september 2013. Af fremsendelsesbrevet fremgår bl.a.:

”… Som bekendt indeholder skriftlig forståelse nr. 2 en mere detaljeret stil lingtagen til en række processuelle spørgsmål end skriftlig forståelse nr. 1.

For så vidt angår pkt. 6 i skriftlig forståelse nr. 2 (om processen for validering og typegodkendelse) er CFCS indstillet på, at denne proce dure også finder anvendelse i forhold til skriftlig forståelse nr. 1, så længe også proceduren i pkt. 15 (bl.a. om drøftelse af sager, hvor den særlige nødprocedure har været anvendt) følges.

Tilsvarende er CFCS indstillet på, at pkt. 16 (bl.a. om muligheden for anvendelse af alternati ver til cellen) i skriftlig forståelse nr. 2 finder anvendelse i forhold til skriftlig forståelse nr. 1.

På den baggrund foreslår CFCS, at det på det første kvartalsmøde mel lem TDC og CFCS drøftes, om de to skriftlige forståelser med fordel kan konsolideres til ét samlet dokument, der indeholder generelle em ner – som vil finde anvendelse på alle nuværende og fremtidige Hu awei-leverancer til TDC – og specifikke emner vedrørende henholdsvis DWDM-udstyr og mobilnettet. …”

Den 10. december 2015 blev der afholdt et møde mellem Huawei, TDC og CFCS. Fra mødet foreligger et skema på tre sider med underoverskriften ”Fæl les status vedrørende efterlevelse af de 16 punkter i den fælles forståelse” . For hvert af de 16 punkter var der en kolonne med beskrivelse af punktet, en ko lonne, hvor det var beskrevet, om punktet blev efterlevet, og en sidste kolonne med bemærkninger til punktet fra mødet. Af de 16 punkter var det anført, at fire af punkterne blev efterlevet, fem af punkterne delvist blev efterlevet, mens syv af punkterne ikke blev efterlevet.

Af de punkter, som kun delvist blev efterlevet var bl.a. pkt. 1, der angik, at Hu awei for alt udstyr, der skulle implementeres i teleudbyderens danske net, skulle levere komplet hardware- og software-designinformation, herunder kil dekode, samt ASIC/FPGA-design og -kildekode til cellen sammen med nødven digt udstyr med henblik på, at cellen kunne kompilere eksekverbar kode, pkt. 4, efter hvilken cellen skulle verificere, at enhver formodet ændring i software, firmware eller hardware skyldtes kundekrav og eller produktudviklingskrav, og at de pågældende ændringer ikke utilsigtet eller bevidst forringede system sikkerheden og pkt. 5, hvorefter cellen ud fra kildekoden skulle verificere, at alle ændringer alene implementerede kunde- eller produktopdateringskrav.

Angående pkt. 4 og 5 blev det anført som en bemærkning på mødet, at patches ikke blev undersøgt, og at HCSEC ikke undersøgte, om ændringer skyldes kun dekrav.

Der blev mellem TDC og CFCS afholdt kvartalsvise møder. Af et ”slide” fra en præsentation udarbejdet af TDC til brug for et kvartalsmøde den 15. maj 2017 fremgår bl.a.:

”… CSEC skal have et alternativ, men stadig indgå. …”

Af et ”slide” til brug for samme kvartalsmøde den 15. maj 2017 fremgår bl.a., at ” ATSEC evaluering” indgik som et punkt under generelle drøftelser af sikker hedsmæssig karakter. Præsentationen indeholdt desuden en status på bl.a. ”Skriftlig forståelse nr. 1” vedrørende DWDM-netværket. Vedrørende emnet ”Status på aftaler mellem CFCS” fremgår bl.a.:

”…

•De eksisterende skriftlige forståelser – genforhandling •TDC er generelt tilfreds med aftalerne men aftaler bør afspejle prak sis og erfaring som er tilgået efter indgåelse af aftalerne.

•TDC ønsker ikke yderligere stramninger

…”

Af et ”slide” med emnet ”ATSEC som alternativ/supplement til CSEC” fremgår bl.a.:

”… Konklusion

Group Security finder at ATSEC er et reelt alternativ til CSEC, og har nu sammenlignet en ATSEC og en CSEC rapport.

Group Security har stor tillid til PSIRT som en samlende enhed globalt på sårbarheder.

Next-step – idé katalog

•Der udarbejdes et forslag til sikkerhedstest af Huawei udstyr, byg gende på:

•Vi modtager CSEC rapporter på de områder som de tester, bl.a. fuld RAN

•Udgangspunktet er at alle teknologier skal dækkes periodisk •Vi anvender ATSEC som supplement, TDC laver en plan sam men med Huawei som præsenteres for CFCS

•Yderligere test muligher udover ATSEC/CSEC

…”

Group Security er en del af TDC.

Det er under sagen oplyst (og anføres i afgørelsen af 21. marts 2023), at TDC’s daværende sikkerhedschef og legal director i december 2017 modtog en klassifi ceret briefing fra CFCS om de problemer, som CFCS havde identificeret i sam arbejdet med Huawei.

Den 1. juni 2018 indgik TDC og Huawei International Co. Limited en ”Amend ment” til rammeaftalen, support-aftalen og supply-aftalen, hvorved det blev be stemt, at aftalerne skulle løbe frem til den 31. december 2021. Af aftalen, der er underskrevet af parterne, fremgår herudover bl.a.:

“… e) Contractor is in negotiation of establishing a revised long term cyber security arrangement with the relevant Danish cyber security authori ties/third parties. The Parties agree to comply to this potential revised arrangement and will sign an addendum to set out relevant require ments and details if/when applicable.

Before Arrangement has been es tablished, Contractor will fulfill its security commitments by providing relevant CSEC testing report provided that the relevant product has been tested for UK market. For other products provisioned under the agreement Contractor will provide cyber security test reports from ap proved alternative test agencies. …”

Ved “Accession” af 10. december 2018 tiltrådte Huawei Technologies (Den mark) ApS rammeaftalen, support-aftalen og supply-aftalen.

I maj 2019 tilføjede den amerikanske regering Huawei Technologies Co. Ltd. til den såkaldte ”Entity List” , hvilket medførte, at selskabets adgang til ameri kansk teknologi, software mv. blev stærkt begrænset.

TDC og Huawei Technologies (Denmark) ApS indgik den 11. oktober 2019 en forligsaftale med relation til bl.a. TDC’s opsigelse af en aftale med Huawei ved rørende TDC’s mobilnetværk, idet TDC i stedet havde indgået en aftale om ud bygning mv. af mobilnetværket med Ericsson.

Af TDC’s præsentationsmateriale til brug for et kvartalsmøde den 28. oktober 2019 fremgår bl.a., at U2000-managementsystemet til DWDM-netværket ville blive erstattet af managementsystemet NCE, som er udviklet af Huawei. Af præsentationen fremgår følgende illustration:

Under emnet ”Status og principper” fremgår bl.a.:

”… •Status - Skriftlig forståelse 1 er stadig gyldig og aktiv - Bekendtgørelser fra sommer 2016 er kommet siden de skriftlige

forståelser blev udarbejdet og underskrevet

- Forslag til ny skriftlig forståelse udarbejdet af CFCS – oktober 2018

- Skriftlig forståelse 2 er fremover ikke relevant

•Principper - En ny skriftlig forståelse skal kunne efterleves af alle parter - Inden en ny skriftlig forståelse implementeres skal den trykprø

ves

…”

Af præsentationen fremgår med reference til ”Skriftlig forståelse nr. 1” om eva luering af udstyr, at compliance ikke er mulig med bemærkning om, at HCSEC-

tilgængelighed er en udfordring. Det fremgår videre om evaluering af udstyr, at HCSEC ikke er tilgængelig i praksis eller i meget begrænset omfang.

TDC anmeldte den 12. december 2019 forhandlinger om forlængelse af deres eksisterende aftale med Huawei vedrørende TDC’s radiokædenetværk til CFCS. Aftalens forventede varighed var angivet fra 1. januar 2020 til 31. decem ber 2022.

Der er under sagen fremlagt et udkast dateret 20. december 2019 til en ny skrift lig forståelse mellem TDC og CFCS vedrørende TDC’s sikkerhedsmæssige håndtering af Huaweis leverancer til og drift af TDC’s infrastruktur. Af udka stets pkt. 10.6 fremgår:

”… TDC infrastruktur leveret af Huawei skal sikkerhedsevalueres:

a. Sikkerhedsevaluering foretages som første prioritet af Huawei Cyber Security Centre i UK (HCSEC). Ved indgåelse af nye kon trakter med Huawei, skal TDC stille krav om, at udstyret sikker hedsevalueres af HCSEC i det omfang HCSEC har planer om sik kerhedsevaluering af det pågældende udstyr. Har HCSEC ikke planer herom kan sikkerhedsevaluering ske hos et på forhånd mellem TDC og CFCS aftalt firma.

Hvis HCSEC efterfølgende fo retager sikkerhedsevaluering af det pågældende udstyr, skal TDC sikre, at rapporten fra HCSEC tilgår CFCS. Systemsikker hedsevalueringer kan med mindre andet er aftalt med CFCS kun foretages af HCSEC.

…”

Til afsnittet er der i tilknytning til ”andet firma” knyttet kommentaren ”F.eks. Atsec” . Kommentaren er indsat af en medarbejder hos CFCS. Af en mail af 20. december 2019 fra Person 1 fra CFCS til sikkerhedschef Vidne 1Vidne 1 Vidne 1 fra TDC fremgår bl.a.:

”… Som aftalt og til godkendelse hos TDC fremsendes hermed opdateret Skriftlig Forståelse baseret på jeres kommentarer på vores sidste kvar talsmøde. Efter jeres godkendelse returneres forståelsen til CFCS for en delig godkendelse / juridisk validering. …”

Vidne 1 svarede ved mail af 23. januar 2020 bl.a.:

”… Omkring punktet HCSEC (Punkt 6) ser vi en række udfordringer, for ingen af os har reelt en indflydelse på hvad der testes hos HCSEC og hvordan de Britiske myndigheder prioriterer tingene. Vi vil derfor op fordre til at der findes en løsning så et alternativt test sted som er under større kontrol af både jer, Huawei og os. Dette udelukker ikke HCSEC,

men efter vores opfattelse bør vi have et fast alternativ for at sikre os at produkterne kan sikkerhedsevalueres i et tempo der er afstemt med vo res udrulningsplaner. …”

Den 13. maj 2022 bragte Berlingske en artikel med overskriften ”StatsministerStatsminister Statsminister trækker nye grænser i fejden mellem Kina og USA: Coronakrisen har vist os, hvor sårbare vi er” . I artiklen omtales bl.a. et lovgivningsarbejde, der ”skal sætte hegnspæle” op omkring kritisk infrastruktur i Danmark.

Af TDC’s præsentationsmateriale til brug for et kvartalsmøde med CFCS den 26. maj 2020 fremgår vedrørende punktet ”Huawei status – DWDM” bl.a.:

”… Omfattet af Huawei PSIRT

En del interfacekort under udskiftning til Huawei teknologi

Vi vil fortsat have US teknologi i DWDM nettet i en længere periode

Systemtest planlagt til Q4-2020

RFI proces startet på ny platform, udvikling på eksisterende platform er sat i bero. …”

Under det samme billede, som er gengivet ovenfor fra præsentationsmaterialet til brug for kvartalsmødet den 28. oktober 2019, fremgår bl.a.:

”… HW/SW modtaget og på vej i test, endnu ikke aftalt hvornår det sættes i drift Del af HCSEC test i Q4-2020 …”

Af et internt referat af 29. maj 2020 udarbejdet af CFCS vedrørende kvartalsmø det med TDC den 26. maj 2020 fremgår vedrørende punktet ”Skriftlig forstå else” bl.a.:

”… CFCS' udkast til opdateret Skriftlig forståelse fra 20.december 2020 er gennemgået i TDC og er generelt OK med få tekstuelle justeringer.

Alternativ til HCSEC er et MUST for TDC. Det vil være et problem for TDC, hvis det britiske marked kan bestemme, om et produkt kan leve res til TDC. Det giver TDC nogle forpligtigelser overfor CFCS, som TDC ikke kan garantere, og som kan ændre sig i fremtiden, f.eks. hvis UK dropper Huawei helt. CFCS vil drøfte TDCs bekymring internt og vende tilbage.

Omkring 3rd line support har TDC haft drøftelser med Huawei. TDC og Huawei ønsker 3 parts aftale med CFCS. TDC har bedt Huawei om at få et eksempel på en video-log, men det er meget store filer, så det er ikke lykkedes endnu. En anden bekymring er, at Huawei er ved at ud skifte deres Citrix supportsystem til et kinesisk produkt grundet US En tity List, men TDC er usikker på, om det kan det samme. …”

Til citatets andet afsnit er knyttet bemærkningen ”AP5 [Action Point]: CFCS af klarer alternativ til CSEC” .

Af referatet fremgår vedrørende punktet ”Huawei status i øvrigt” vedrørende ”DWDM” :

”… NCE opgradering af U2000 bliver testet af HCSEC i Q4 -2020. NCE te stes i TDC's testnet i efteråret 2020. HW er leveret, men ikke færdigin stalleret. Selvom DWDM interfacekort er under udskiftning til Huawei teknologi, vil TDC fortsat have US teknologi i DWDM nettet i en læn gere periode. TDC overvejer, om det er muligt at skifte til anden DWDM løsning, men det er et større projekt, der vil kræve opbygning af et parallelt netværk i forbindelse med et swap. Præferencen er at blive hos Huawei. DWDM kontrakten med Huawei udløber 2022. RFI proces igangsat. CFCS får underretning, hvis udbud iværksættes. …”

Af en mail af 7. august 2020 fra Person 2 fra CFCS til Person 3 og et antal øvrige medarbejdere ved CFCS med emnet ”Spørgsmål fra TDC vedr. kommende 5G sikkerhedslov (Huawei / DWDM)” vedrørende en dialog med Vidne 2 fra TDC fremgår bl.a.:

”… En kort status på dialogen med TDC:

Onsdag 5. august:

Jeg kontaktede Vidne 2 onsdag på baggrund af min drøftelse med dig, og min efterfølgende telefonsamtale med Person 4 i DEP. Mine budska ber til Vidne 2 var:

•Der er pt. ikke et lovudkast klart, som kunne give et entydigt svar på om den kommende 5G Sikkerhedslov også vil omfatte al lerede leveret udstyr.

•Intentionen med loven kan læses af interview med Statsministe ren i Berlingske medio maj, hvoraf det fremgår, at man betragter hele 5G netværket som kritisk og dermed omfattet af den kom mende lov.

•At vi betragte DWDM som et centralt og kritisk element i TDC 5G netværk (Vidne 2 var enig heri).

•At Huawei derudover har problemer med at få testet udstyr i HCSEC på baggrund af den amerikanske skærpelse af Entity List (jeg sendte efterfølgende Vidne 2 et link til konsekvens-analyse fra NSCS i UK, hvoraf det fremgår at HCSEC ikke længere kan fun gere). Jeg mindede samtidig Vidne 2 om, at denne test i HCSEC er et centralt element i vores aftale både med TDC og Huawei.

•At amerikanerne udover stramning i Entity List nu har etableret et Clean Path initiativ, der også vil kunne få konsekvenser for danske erhvervsvirksomheders krav til deres teleudbydere i for hold til handel med USA.

Vidne 2 takkede for orienteringen og nævnte, at TDC muligvis på direk tionsniveau ville kontakte forsvarsministeriet for at høre, om de kunne få flere detaljer om det kommende lovforslag.

Fredag 7. august:

Er d.d. blevet kontaktet af Vidne 2, som ønskede at give en kort briefing på baggrund af det indledende kontraktmøde, som blev holdt mellem TDC og Huawei i går torsdag 6. august.

Vidne 2 forklarede igen, at den nuværende leverancekontrakt udløber i 2021, og at Huawei ikke er interesseret i at lave en forlænget support-af tale, hvis de ikke også får en forlængelse af leverance-aftalen. Den nu værende leveranceaftale er baseret på en eksklusivaftale for DWDM ud styr med Huawei.

TDC ønsker at gå videre med forhandling med Huawei primært for at sikre supportaftalen. Såfremt dette nødvendiggør en forlængelse af le veranceaftalen vil denne kunne forlænges til 2024, men uden at TDC nødvendigvis vil indkøbe udstyr i den kommende periode. Samtidig vil TDC sikre en klausul ved en sådan forlængelse, der muliggør at eksklu siviteten ophører, såfremt der kommer lovforslag, der forhindrer TDC i at benytte H[uawei] fremover.

Jeg gjorde igen Vidne 2 opmærksom på problemet med test i HCSEC, og Vidne 2 nævnte, at H[uawei] i forbindelse med dette punkt havde nævnt, at man som alternativ kunne bruge AtSec. Jeg fortalte Vidne 2, at vi af H[uawei] var blevet informeret om, at de fremover kun vil levere ud styr til DK som er testet i HCSEC, og at dette vil ligge til grund for vo res vurdering i forhold til den aftale, der foreligger mellem TDC og CFCS. Vidne 2 nævnte, at han på den baggrund vil kræve en tilsvarende exit-klausul ind i en evt. kommende leverancekontrakt.

Vidne 2 forventede at TDC i nær fremtid vil fremsætte ønske med dig, for at få en generel drøftelse af situationen. …”

Den 15. september 2020 anmeldte TDC til CFCS, at TDC indledte genforhand linger af DWDM-aftalen med Huawei med en forventet varighed af aftalen til udgangen af 2024. Af anmeldelsen fremgår bl.a.:

”… TDC’s DWDM aftale med Huawei udløber i 2021 og der indledes derfor forhandlinger med Huawei med henbilk på en afklaring af om en for længelse er forretningsmæssigt attraktivt.

Den oprindelige aftale blev indgået i 2011 og senere forlænget i 2016.

Aftalen bygger alene på køb af udstyr inklusiv et eller flere manage ment systemer, samt efterfølgende support af dette. Support vil dække over både HW support (RMA) og software support i form af fejlfind ing/- rettelser samt SW opgraderinger.

Såfremt aftalen forlænges forventes dette at ske med en kontraktperi ode på 3 år.

Der forventes ikke at indgå mængdemæssige forpligtigelser i kontrak ten. …”

I forlængelse af anmeldelsen meddelte Person 1 fra CFCS ved mail af 21. september 2020 til Vidne 1 fra TDC, at såfremt TDC igangsatte en RFQ-proces (Request for Quotation), så ville CFCS gerne i dialog med TDC om sikkerhedskravene i god tid inden aftaleforhandlingerne afsluttedes og kon trakten blev underskrevet.

Af regeringens lovprogram for folketingsåret 2020/2021 udsendt i oktober 2020 fremgår bl.a.:

”… Lov om sikkerhed i 5G-net (Feb II) Formålet med lovforslaget er at gennemføre en væsentlig styrkelse af informationssikkerheden i 5G-teleinfrastrukturen ved at etablere meka nismer, der sikrer, at de danske teleudbydere kan forhindres i at indgå aftaler om anskaffelse, vedligeholdelse og drift vedrørende 5G-telein frastrukturen, hvor dette kan skade den nationale sikkerhed. …”

Af præsentationsmateriale til brug for et bestyrelsesmøde i TDC Group den 5. november 2020 fremgår vedrørende DWDM-netværket bl.a.:

Den 27. november 2020 blev aftaledokumenterne fremsendt til Huawei. Af mailen fremgår bl.a.:

“… As per agreement earlier today, I hereby enclose the complete set of documents for the extension of the WDM contract.

I am happy that we have now finalized the discussions, and can look forward to completing the signing process shortly. …”

CFCS meddelte den 30. november 2020 TDC påbud om at fremsende de ende lige udkast til aftaler med Huawei. Som følge af påbuddet kunne endelige afta ler med Huawei først indgås, når TDC havde modtaget en tilbagemelding fra CFCS. Af påbuddet, der er udstedt med hjemmel i § 5, stk. 1, i bekendtgørelse nr. 1256 af 27. november 2019 om oplysnings- og underretningspligter vedrø rende net- og informationssikkerhed, fremgår bl.a.:

”… Center for Cybersikkerhed meddeler hermed TDC Group påbud om at fremsende de endelige udkast til aftaler med Huawei vedrørende

1. Support vedrørende DWDM-udstyr 2. Koaxialkabel (GigaCoax) netværk support service

…

Det betyder, at de endelige aftaler først vil kunne indgås, når TDC Group har modtaget en tilbagemelding fra Center for Cybersikkerhed. Tilbagemeldingen vil blive givet hurtigst muligt og senest 10 arbejds dage fra Center for Cybersikkerheds modtagelse af aftaleudkastene, jf. § 5, stk. 2, i bekendtgørelsen (standstill-periode). …

Sagsfremstilling

…

TDC Group orienterede den 7. august 2020 mundtligt Center for Cyber sikkerhed om, at de ville påbegynde forhandlinger med Huawei om

kring fornyelse af de to supportaftaler vedrørende henholdsvis DWDM og GigaCoax. Det blev aftalt, at TDC Group snarest muligt ville frem sende de to formelle underretninger om de kommende aftaleforhand linger. Begge underretninger blev fremsendt til Center for Cybersikker hed den 15. september 2020.

På dette grundlag indledte Center for Cybersikkerhed en dialog med TDC Group om aftalen vedrørende DWDM-udstyr. I dialogen har TDC Group orienteret om den eksisterende support- og leveranceaftale på DWDM-udstyr, som udløber i 2021, samt om den kommende aftale herom, hvor der vil blive indarbejdet en exit-klausul således, at TDC Group angiveligt kan ophæve aftalen, hvis den forventede sikkerheds lov skulle give problemer med fremtidigt køb.

Det står ikke klart, om GigaCoax aftalen vil indeholde en exit-klausul. …

Begrundelse

Center for Cybersikkerhed vurderer, at DWDM udgør de centrale rou tere og servere i TDCs backbone netværk, og at GigaCoax udgør hardware, firmware og software, der anvendes af en stor del af de dan ske hustande til levering af internetforbindelser, hvorfor begge dele ud gør kritiske dele af det danske telenet, jf. bekendtgørelsens § 1, nr. 1.

Center for Cybersikkerhed vurderer på den baggrund, at betingelserne for at udstede påbud i medfør af bekendtgørelsens § 5, stk. 1, med deraf følgende standstill-periode, jf. § 5, stk. 2, er opfyldt. Standstill-perioden skal sikre Center for Cybersikkerhed mulighed for at indgå i yderligere dialog med udbyderen om imødegåelse af trusler mod informationssik kerheden, som aftaleudkastene vurderes at indebære. …”

TDC fremsendte den 30. november 2020 det endelige aftaleudkast til ”Amend ment 4” til CFCS. Ifølge udkastet blev supply-aftalen forlænget frem til den 31. december 2024 og support-aftalen frem til den 31. december 2026 med en ret for TDC til at forlænge begge aftaler tre gange med 1 år. Udkastet indeholdt en æn dring til den eneforhandlerklausul (Sole Vendor Clause), som fremgik af ram meaftalen:

”… 4. SOLE VENDOR CLAUSE

Original text in Master Agreement: …

Is changed to:

During the contract period, Supplier shall be the sole vendor for TDC DWDM, including access DWDM, Metro DWDM and Long Haul DWDM. This “sole vendor” arrangement does not apply in case of

• Huawei’s non-compliance to the agreed cyber security testing scheme

…

…”

Af “Schedule 4” til aftalen, som angår “Network Security Requirements” , fremgår bl.a.:

“… 3. HUAWEI NETWORK SOFTWARE AND HUAWEI SOFTWARE SECURITY REQUIREMENTS

3.1 Supplier will provide TDC with a risk and security evaluation re port of new software releases from an evaluation lab according to clause 4 of this Schedule. If the same software is being used and risk evaluated in UK, the report will be provided by HCSEC. Otherwise, it will be provided by a 3rd party approved by TDC and CFCS. TDC will use this as an input to its risk assessment reports to CFCS.

In case TDC and CFCS can not find a way to operate the solution in an acceptable way due to the risks found in the evaluation, Supplier must solve a suf ficient number of risk issues to bring the total risk of the solution to an acceptable level which is subject to approval from TDC. The specific is sues to be solved will be agreed in advance between TDC and Supplier. …”

Efter anmodning fra TDC blev der den 1. december 2020 afholdt et ”hastende møde” mellem TDC og CFCS foranlediget af CFCS’ påbud af 30. november 2020. På mødet deltog fra TDC Senior Vice President Person 5Person 5 Person 5 og Vice President Vidne 2 og fra CFCS bl.a. Person 3 og Person 2. Af CFCS’ interne referat fra mødet fremgår bl.a.:

”… Person 3 startede mødet med at gøre det klart, at det fremsendte påbud ikke måtte tages som et udtryk for, at CFCS ikke også fremover vil fortsætte den gode dialog med teleudbyderne, der tidligere havde ført til positive resultater for sikkerheden i teleinfra strukturen.

Vidne 2 udtrykte forundring over, at CFCS ikke, på baggrund af den dialog der har været mellem TDC og CFCS siden starten af au gust, tidligere blot havde bedt om at se kontrakten.

Person 3 forklarede at baggrunden for, at der den 30. november blev frem sendt et påbud var, at CFCS med kort varsel havde modtaget informa tion om, at TDC samme dag skulle have bestyrelsesmøde, hvor man ville tage stilling til en evt. kontraktunderskrift med Huawei.

Såvel Vidne 2 som Person 5 var helt uforstående over for dette, da der - ifølge dem - ikke var planlagt noget bestyrelses møde den 1. december eller i det hele taget noget andet vedrørende sa gen på denne dato. Derimod havde TDC på et bestyrelsesmøde i starten

af november allerede godkendt, at direktionen fik mandat til at indgå kontrakten med Huawei.

Vidne 2 oplyste, at kontrakten pt. er underskrevet af Huawei, og at Huawei nu blot venter på at TDC skal underskrive.

Vidne 2 informerede om, at TDC's baggrund for at få underskrevet kontrak ten hurtigst muligt er, at såfremt Forsvarsministeriet udsender en ny sikkerhedslov i høring, frygter TDC, at Huawei vil lukke sit danske kontor, da der potentielt ikke længere vil være marked for Huawei i DK for leverancer af telenetværk.

Som en konsekvens heaf frygter TDC, at Huawei ikke længere vil være interesseret i at levere support efter den nugældende kontrakts udløb. TDC mener ikke, at der er andre selskaber der kan yde support på Hu awei's DWDM eller GigaCoax.

Vidne 2 oplyste yderligere, at der i DWDM-kontrakten er estimeret med potentielt op til 33 mio. kroner i indkøb af nyt udstyr, men at TDC tid ligst forventer at starte leverance efter udgangen af 2021, og det er her TDC's antagelse at en ny sikkerhedslov er vedtaget. Herefter kan TDC komme ud af leverancekontrakten på baggrund af den nye lov, men så stadig have support-aftalen frem til endelig udfasning af DWDM (og GigaCoax).

Ifølge Vidne 2 vil det tage op til 4 år at udskifte Huaweis's DWDM-udstyr, der ikke blot skal skiftes i Danmark men også i de udenlandske hubs, hvor TDC's DWDM-udstyr i dag er placeret.

TDC frygter, at man efter udgangen af 2021, når den nugældende kon trakt om support udløber, vil stå i en for TDC kritisk situation, hvor man ikke længere kan få support på DWDM (eller GigaCoax) fra Hu awei. Det vil kunne have negative konsekvenser for driftssikkerheden i telenetværkene.

Person 5 opfordrede CFCS til på ovenstående baggrund at behandle den fremsendte kontrakt hurtigst muligt.

Person 3 bemærkede afslutningsvis, at CFCS nu har iværksat processen med gennemgang af kontraktudkastet efter gældende regulering, og CFCS vil tilstræbe en hurtig sagsbehandling og en tilbagemelding indenfor de 10 dage, som reguleringen stiller krav om. …”

Ved mail af 2. december 2020 oplyste Person 2 til CFCS bl.a., at der med ”testing scheme” i eneforhandlerklausulen i ”Amendment 4” henvises til tests hos HCSEC, og at det i praksis blev håndteret i ”Schedule 4” til aftalen.

CFCS fremsendte den 7. december 2020 sin tilbagemelding til aftaleudkastet til TDC med sine bemærkninger til enkelte aftalepunkter og de underliggende af talebilag, herunder at CFCS generelt noterede sig, at sikkerhedskravene i de

fremsendte aftaleudkast var i overensstemmelse med de krav, der var defineret i de frivillige aftaler indgået mellem TDC og CFCS i februar og september 2013. Af tilbagemeldingen fremgår herudover bl.a.:

”… Center for Cybersikkerhed skal endvidere meddele TDC, at der senest den 1. august 2021 bør være fundet en sikkerhedsmæssig tilfredsstil lende løsning på evaluering af eventuelle fremtidige leverancer, såfremt HCSEC ikke længere kan varetage opgaven. Alternativt anbefaler Cen ter for Cybersikkerhed, at leverancedelen af aftalen ophæves med hen visning til exit-klausulen i DWDM Contract Extension afsnit 4.

Afslutningsvis bemærkes mere generelt, at Center for Cybersikkerhed, siden 2013 har haft en frivillig aftale med den pågældende leverandør vedrørende den sikkerhedsmæssige håndtering af leverandørens leve rancer i TDC’s net. Center for Cybersikkerhed har i den forbindelse gjort den erfaring, at leverandøren på en række punkter ikke har ønsket eller været i stand til fuldt ud at efterleve kravene i det aftalte sikker hedsregime.

Med den stigende betydning, som de nye 5G telenet og kritiske telenet værk vil få for det danske samfund, finder Center for Cybersikkerhed, at kritiske elementer i TDC’s telenet vil kunne udgøre en væsentlig trussel mod statens sikkerhed, hvis leverancerne kommer fra en leve randør, som i praksis har vist sig at ikke fuldt ud at leve op til aftalte sikkerhedsforanstaltninger. På denne baggrund anbefaler Center for Cybersikkerhed, at TDC søger at afslutte det pågældende leverandør forhold så hurtigt, som det er muligt under fornøden hensyntagen til forsyningssikkerheden. …”

” Amendment 4” blev herefter underskrevet af TDC den 7. december 2020. Af

talen var fra Huaweis side underskrevet den 1. december 2020. Om aftalens virkningstidspunkt fremgår:

”… This "AMENDMENT no 4 TO AGREEMENT" to the WDM Master-, Support and Supply Agreement signed between the Parties in 2011 (the Agreement) … and subsequent changes, additions and amendments signed by each of the duly authorised representatives shall constitute an integral part of the said Agreement as of the date of signing below. …”

Også den 7. december 2020 sendte Forsvarsministeriet udkast til forslag til lov om leverandørsikkerhed i den kritiske teleinfrastruktur i høring, herunder til TDC. Som anført nedenfor under retsgrundlaget fulgte det af lovens foreslåede ikrafttrædelsesbestemmelse i § 17, stk. 2, at loven ville have virkning for aftaler, der er indgået den 7. december 2020 eller senere.

Af en mail fra 18. december 2020 fra Person 2 til kolleger fra CFCS i forlæn gelse af en telefonisk samtale med Vidne 1 fremgår bl.a.:

”… Vidne 1 bekræftede at TDC har underskrevet aftalen med Huawei. Så det faktum at sikkerhedsloven nåede at komme i høring, har åbenbart ikke givet problemer fra Huaweis side. …”

Der blev den 15. marts 2021 afholdt et møde mellem TDC og CFCS om TDC’s planer for DWDM-netværket. Af CFCS’ interne referat fra mødet fremgår bl.a.:

”… Baggrunden for dette møde og TDCs udfordring er, at support af U2000 management platformen som tidligere nævnt udløber i år, og erstattes af den virtuelle platform NCE-T, der ikke indeholder amerikanske komponenter for at overholde US Entity List, samt end-af-marketing af den optiske terminal OSN9800, der erstattes af OSN9800 M12. Endvi dere vil OSN1800 også blive opdateret.

TDC vil derfor opdatere deres DWDM net til den nye globale release R20C10. I UK fås denne dog ikke i 1.omgang til NCE-T, men en speciel version R19C10. Denne kan TDC ikke benytte pga. TDCs eksisterende 200 G-kort, der ikke benyttes i UK. … …

TDC har ikke en exit-date for DWDM endnu, afhænger bl.a. krav i ny lovgivning. Supportaftalen med Huawei løber frem til udgangen af 2024 med mulighed for forlængelse til udgangen af 2026.

Den manglende mulighed for HCSEC-test kom som en overraskelse for CFCS. CFCS burde have fået besked om, at HCSEC alligevel ikke kan benyttes, da TDC fik besked om dette i januar 2021. Man vil nu stå i en situation, hvor TDCs DWDM net udelukkende består af kinesiske kom ponenter og uden HCSEC evaluering. Dette giver vanskeligheder og skal drøftes af CFCS internt.

Både TDC og Huawei ved, at dette ikke er en ideel situation, måske nærmere en kritisk situation. …

Undervejs i mødet blev det klart for CFCS, at TDC "satser" på eksprop riation, jf. ny lovgivning for at komme ud af DWDM aftalen med Hu awei. Alternativt forventer TDC, at udstyret kan køre frem til 2030. CFCS havde ellers forstået, at TDC ville satse på en kortvarig forlæn gelse på 3-5 år, hvorefter ny platform ville blive anskaffet. TDC køber ikke meget nyt udstyr på kontrakten med Huawei, men er afhængig af support. TDC skal bruge 3-4 år på udskiftning af DWDM, medens 4-5 år for GigaCoax-platform. Den kortvarige forlængelse er i TDCs øjne baseret på muligt forbud med ekspropriation efter ny lovgivning. …”

Der blev den 22. marts 2021 afholdt et møde med deltagelse af ledende medar bejdere fra CFCS og TDC’s administrerende direktør Person 6. Af CFCS’ interne referat fra mødet fremgår bl.a.:

”… Person 6 orienterede derefter om den påtænkte opdatering af DWDM nettet, idet følgende lå fast:

•DWDM-nettet skal opdateres, det drejer sig ca. om 170 af de små noder og 200 af de store. Person 6 havde dog ikke de nøjagtige tal.

•Der er på grund af datavækst et påtrængende behov for at øge kapaciteten til 400 gb/s inden medio 2022, hvor kapacitetsgræn sen vil være nået. Der er ligeledes også behov for øge kapaciteten for microwave (radiokæde) link fra mobile sites, uden hvilken man ikke kan opfylde sin dækningsforpligtelse.

•Managementsystemet U2000 skal udskiftes, idet det løber ud af support, herunder i forhold til sikkerhedsopdateringer, ultimo 2021, og fordi det ikke er foreneligt med kravene i US Entity List. Efterfølgeren hedder NCE-T og er en cloudbaseret løsning, der udelukkende indeholder kinesisk teknologi.

•Kontrakten med Huawei omfatter ud over support tillige køb af komponenter til opdatering af kapaciteten DWDM-nettet.

•TDC kan ikke bruge den version af NCE-T, der testes i HCSEC til det britiske marked, idet dette managementsystem ikke under støtter de 400 G kort, som TDC skal bruge for at øge kapaciteten.

•TDC vurderer, at den version af NCE-T, der leveres til TDC ikke bliver testet HCSEC.

Person 6 orienterede om at TDC har overvejet tre mulige scenarier:

1. En fortsat drift baseret på U2000, hvilket medfører drift på gam melt software og hardware, der ikke overholder kravene i US Entity List. TDC vurderede ikke denne løsning for anvendelig.

2. Der aftales en alternativ testløsning med CFCS, således at opda teringerne af DWDM-noder og NCE-T managementsystem bli ver testet ved et europæisk testinstitut, hvis navn Person 6 ikke hu skede. Person 6 nævnte at bl.a. Deutsche Telecom og et hollandsk tele selskab havde accepteret en sådan løsning.

3. TDC gennemfører de nødvendige opdateringer uden CFCS' god kendelse. Disse vil kunne videreføre driften ca. frem til 2030.

Person 6 orienterede videre om, at der ikke var planer om at påbegynde overvejelser om generel udskiftning (swap) eller modernisering af DWDM-systemet før tidligst 2023. Dette forventet at omfatte anskaffel ser for ca. 230 mio. kr.

Foranlediget af et spørgsmål om hvorvidt TDC ville kunne gennemføre et swap af DWDM-noder til et andet fabrikat på under et år, som TDC tidligere havde oplyst Departementet, præciserede Person 6, at det vil kræve

3- 4 år, og det ikke ville være muligt at gennemføre et partielt swap af DWDM-noder, men at alle noderne skal opdateres samtidig.

Person 3 bemærkede, at en gradvis opdatering af DWDM-systemet, så det reelt ville blive levetidsforlænget for en længere periode, ikke var i tråd med CFCS' anbefaling. På mødet mellem TDC og CFCS i sidste uge havde det været antydet, at regeringen med den kommende telesikker hedslov jo kunne vælge at ekspropriere leverandørvalget. Den tanke gang ville Person 3 fraråde, og der var ingen tvivl om, at med skrivelsen af 7. december 2020 og dagens møde var det gjort klart for TDC, hvorledes CFCS så på denne sag. Person 6 bekræftede, at det var forstået ”I hear you".

Det blev aftalt at fortsætte arbejdet med, hvorledes en erstatningen for U2000 og den videre DWDM-udvikling kunne gennemføres. Person 6 ville sikre, at CFCS fik de konkrete oplysninger i forhold til antallet af DWDM-noder, der skulle opdateres. …”

CFCS sendte den 22. april 2021 en tilbagemelding til TDC som opfølgning på mødet den 15. marts 2021. Af tilbagemeldingen fremgår bl.a.:

”… På mødet oplyste TDC bl.a., at:

•Den nye DWDM-management platform NCE-T, der i år skal er statte den eksisterende U2000 platform, samt nyt DWDM termi naludstyr (OSN9800) alligevel ikke systemtestes af Huawei Cy ber Security Evaluation Center (HCSEC) i UK. TDC har modta get forslag fra Huawei til alternativ testplan, hvor NCE-T appli kationsdelen samt terminaludstyr testes af hollandske Bright sight, mens resten af NCE-T platformen (Huawei HW, nyt OS, Middleware og Database) testes af svenske AtSec.

•Som følge af den indgåede kontraktforlængelse med Huawei for venter TDC, at TDC's DWDM-net vil forblive i drift til 2030.

2. Ovennævnte afviger på centrale punkter fra de oplysninger, der tidli gere er blevet meddelt CFCS om TDC's DWDM kontraktforlængelses proces med Huawei, og som dannede grundlag for CFCS's brev af 7. december 2020.

CFCS bemærker i øvrigt, at det både i "Skriftlig forståelse 1" (februar 2013) mellem CFCS og TDC og i "Fælles forståelse af 24. april 2012" mel lem CFCS og Huawei er forudsat, at test foretages hos HCSEC.

CFCS finder samtidig, at oplysningen om, at DWDM-udstyret fra Hu awei vil understøtte driften i TDC's net frem til 2030, afviger grundlæg gende fra de oplysninger, som TDC tidligere har afgivet.

I TDC's underretning om genforhandling af DWDM-aftalen med Hu awei dateret 15. september 2020 oplyste TDC således i forhold til afta lens varighed, at der sigtes efter en forlængelse til udgangen af 2024 (3 år). Endvidere har TDC i drøftelserne med CFCS frem til CFCS' brev af 7. december 2020 tilkendegivet, at det primære formål for TDC var, at

TDC kunne opnå en supportaftale frem til 2026, så TDC var sikret sup port i en kommende udskiftningsfase.

Testplan HCSEC udøver en risikobegrænsende funktion over for teleudbydere på det danske marked og den danske stat ved at tilvejebringe en kvali tetssikring og integritetskontrol i sikkerhedsmæssig henseende i forbin delse med leveret software, firmware og hardware fra Huawei. CFCS finder, at den foreslåede alternative testplan ikke på tilsvarende vis udøver en så- dan risikobegrænsende funktion, men tværtimod aktuali serer grundlæggende risici knyttet til sikringen af et højt informations sikkerhedsniveau, idet testen gennemføres af to forskellige evaluerings huse (Brightsight og AtSec) med hver sit ansvarsområde.

CFCS finder i den forbindelse, at en passende og forholdsmæssig løs ning indebærer, at risikoen for den danske stat i udgangspunktet ikke bliver større, end hvis testen gennemføres af HCSEC. Det indebærer, at testen gennemføres som en samlet systemtest, dvs. hele teknologistak ken, som HCSEC ville have gjort, herunder skal al kildekode inkl. evt.

FPGA- og firmware-kode i både NCE-T systemet og OSN-terminaler evalueres. Det skal sikres, at al kildekode, der er anvendt i produkter nes SW-builds, udleveres af Huawei til evaluering, og at dette verifice res i evalueringen.

Endvidere må kravet til evalueringshuset være, at det er uafhængigt og internationalt anerkendt samt godkendt af CFCS og kan gennemføre sikkerhedsevaluering efter Common Criteria EAL4+ med et af CFCS godkendt omfang. CFCS skal endvidere inden ibrugtagning have modtaget samtlige evalueringsrapporter.

En eventuel alternativ testplan og dennes indhold bør også afhænge af, hvor længe Huaweis DWDM-udstyr befinder sig i TDC's net (jo læn gere tid, jo flere HW- og SW-versioner, jo større risiko).

CFCS gentager i den forbindelse centrets tidligere anbefaling om, at - såfremt der ikke den 1. august 2021 er fundet en sikkerhedsmæssig til fredsstillende løsning på evaluering af eventuelle fremtidige leverancer, og HCSEC ikke længere kan varetage opgaven - at leverancedelen af af talen ophæves med henvisning til exit-klausulen i DWDM Contract Extension afsnit 4.

Det bemærkes i den forbindelse, at CFCS på det foreliggende grundlag umiddelbart anser det for at være en væsentlig trussel mod statens sik kerhed, at DWDM-udstyret, som understøtter driften i TDC's net, kom mer fra en leverandør, som CFCS oplever har udfordringer med at leve op til aftalte sikkerhedsforanstaltninger, hvis der ikke kan kompenseres herfor ved andre sikkerhedsforanstaltninger.

CFCS vil på baggrund af de ændrede forudsætninger nu vurdere, i hvil ket omfang dette måtte aktualisere sikkerhedsmæssige påbud i medfør af bekendtgørelse nr. 259 af 22. februar 2021 om sikkerhed og beredskab i net og tjenester. …

Som også gjort ved tidligere lejlighed vil jeg gerne henvise til CFCS' skrivelse af 7. december 2020, hvor det blev anbefalet, at TDC afslutter det pågældende leverandørforhold så hurtigt, som det er muligt under fornøden hensyntagen til forsyningssikkerheden. …”

TDC svarede den 29. april 2021 på CFCS’ tilbagemelding. Af svaret fremgår bl.a.:

”… Det fremgår af dit brev, at det er CFCS's opfattelse, at TDC NET har æn dret planer for så vidt angår anvendelsen af leverancer fra Huawei til brug for TDC NET's DWDM-platform, og at CFCS på den baggrund an moder TDC NET om at fremsende den sikkerhedsvurdering, der ligger til grund for de ændrede planer.

Det må dog bero på en misforståelse, at TDC NET skulle have ændret planer om anvendelse DWDM-platformen fra Huawei frem mod 2030. Som det er CFCS bekendt, har TDC NET over en årrække investeret i udstyr og systemer til DWDM-platformen fra Huawei. Sådant udstyr har en funktionel og økonomisk levetid, der strækker sig over adskillige år. Henset hertil og det forhold at platformen fra Huawei efter TDC NET's opfattelse er sikker og teknisk set "best in class", har der derfor ikke været planer om at udskifte leverancen fra Huawei til anden leve randør inden for en fornuftig teknisk og økonomisk livscyklus.

TDC's underretning om genforhandling af DWDM-aftalen med Huawei dateret 15. september 2020 og den dialog, der har været mellem TDC NET og CFCS frem mod CFCS's brev af 7. december 2020, kan ikke ta ges til indtægt for anden opfattelse.

Det forhold, at den genforhandlede aftale løber frem til udgangen af hhv. 2024 og 2026 med mulighed for forlængelse i op til 3 år er helt sædvanligt, idet TDC Net af både for handlingstaktiske grunde og konkurrenceretligt ikke kan binde en leve randør for en længere periode.

TDC NET har således mulighed for lø bende at konkurrenceudsætte leverancerne fra Huawei for fortsat at sikre, at Huawei teknisk og prismæssigt er konkurrencedygtig. Det for hold, at den nuværende aftale har et initialt udløb i hhv. 2024 og 2026 indebærer derfor ikke, at TDC NET ved aftalens indgåelse havde truffet en beslutning om, at DWDM-platformen senest i 2026 skal udskiftes og leveres af en anden leverandør.

Derimod kan det udledes af den genfor handlede aftale, at TDC NET vil sikre sig muligheden for support fra Huawei frem til 2030.

Af ovennævnte grunde foreligger der ikke ændrede planer, og vi kan derfor heller ikke fremsende en sikkerhedsvurdering, der ligger til grund for ændrede planer. Der fremsendes dog vores risikoanalyse for opgradering af DWDM-platformen. Der vedlægges også som anmodet en kopi af den endelige aftale indgået med Huawei.

Som det er oplyst på mødet den 15. marts 2021, kan Huawei som følge af de amerikanske handelsrestriktioner (US Entity list) ikke fremover yde support på det nuværende management system ligesom det nuvæ

rende managementsystem kapacitetsmæssigt har nået sin grænse. Det er derfor tvingende nødvendigt for TDC NET's fortsatte drift af DWDM-nettet (dvs. sikre "going concern"), at Huawei kan levere en er statning herunder et nyt managementsystem i form af NCE-T og OSN9800, jf. TDC NET's præsentation gennemgået på mødet den 15. marts 2021 og min e-mail til dig af 26. marts 2021.

TDC NET anerkender, at HCSEC bidrager til en risikobegrænsende funktion i forbindelse med leveret software, firmware og hardware fra Huawei, og at det er udgangspunktet for de skriftlige forståelser mel lem TDC NET og CFCS, at leverancer fra Huawei evalueres af HCSEC.

Det har dog også været klart for begge parter, at HCSEC prioriterer det engelske marked, og at det ikke i alle tilfælde kan sikres, at HCSEC kan foretage evaluering af leverancer, der ikke er rettet til det engelske mar ked, som tilfældet bl.a. er med standardversionen af NCE-T, der skal anvendes i vores net.

I sådanne situationer har der været forståelse for, at nødvendige leverancer alligevel har kunnet gennemføres ved, at sik kerhedsevaluering kan ske hos et andet firma, som er aftalt med CFCS, samt at leverancer kan implementeres før en sikkerhedsevaluering, hvis der er en tidsplan for sikkerhedsevalueringen, og TDC NET har udar bejdet en risikovurdering.

TDC NET har noteret sig, at CFCS i brevet af 22. april er indstillet på, at andre end HCSEC kan foretages den nødvendige sikkerhedstest og at CFCS finder, at en passende og forholdsmæssig løsning indebærer, at risikoen for den danske stat i udgangspunktet ikke bliver større, end hvis testen var gennemført af HCSEC.

CFCS har på den baggrund opstillet følgende forudsætninger til den test der skal gennemføres:

•Samlet systemtest af hele teknologistakken, herunder test af al kildekode inkl. evt. FPGA og firmware-kode i både NCE-T syste met og OSN-terminaler,

•al kildekode, der er anvendt i produkternes SW-builds skal udle veres af Huawei til evaluering, og at dette skal verificeres i eva lueringen, og

•evalueringshuset skal kunne gennemføre sikkerhedsevaluering efter Common Criteria EAL4+ med et af CFCS godkendt omfang.

Vi er nu i gang med at afklare mulighederne med Huawei herunder i hvilket omfang de ovennævnte kriterier går videre end de test HCSEC sædvanligvis foretager. Det er på nuværende tidspunkt planen at, vi vil foretage en systemtest i samme stil som ved SRAN-test samt foretage EAL4 test af NCE-T.

Det bemærkes i den sammenhæng, at HCSEC ikke har adgang til firmware kode, så det forventes heller ikke, at vi i forbin delse med denne test kan få sådan adgang. For så vidt angår FPGA kode afventer vi p.t. svar fra Huawei, om vi kan få adgang hertil. Com mon Criteria test på EAL4 niveau tager tid at udføre og vi forventer at få rapporterne i Q1 2022.

Af hensyn til business continuity og sikring af forsyningssikkerheden er vi nødt til at idriftsætte NCE-T og OSN9800 inden sommerferien, så

snart vi har testet i testmiljø, og rapport vil blive fremsendt efterføl gende til CFCS på samme måde, som vi tidligere har gjort ved SRAN test fra HCSEC.

Jeg har afslutningsvis noteret mig, at CFCS på baggrund af den mang lende mulighed for test hos HCSEC nu vil vurdere, i hvilket omfang dette måtte aktualisere sikkerhedsmæssige påbud i medfør af bekendt gørelse nr. 259 af 22. februar 2021 om sikkerhed og beredskab i net og tjenester.

Idet TDC NET bestræber sig på hurtigst muligt at tilveje bringe et tilfredsstillende alternativ til test hos HCSEC og set i lyset af, at den af TDC NET allerede foreslåede testmodel er mere omfattende end de sikkerhedskrav andre sikkerhedsmyndigheder i EU har stillet til implementeringen af NCE-T fra Huawei, forventer vi, at disse forhold vil blive medtaget og afspejlet i den proportionalitetsafvejning CFCS skal foretage i vurderingen af et eventuelt påbud. …”

Der blev den 11. maj 2021 afholdt et møde mellem TDC og CFCS med udgangs punkt i en dagsorden fremsendt af CFCS med punkterne: TDC’s risikovurde ring, en alternativ testplan og en tidsplan for udskiftning af Huawei DWDM-udstyr til anden leverandør. Den 12. maj 2021 skrev CFCS som opfølgning på mødet følgende til TDC:

”… Vi blev på mødet enige om, at TDC vil fremsende en risikovurdering omkring brug af den nye NCE-T, primært baseret på den manglende test i HCSEC.

En sådan risikovurdering skal som minimum, men ikke udelukkende inddrage følgende elementer:

•Hvorledes der kan etableres en sikkerhedsevaluering, der ikke sikkerhedsmæssigt stiller den danske stat dårligere end den HC SEC baserede evaluering, som er aftalt i den skriftlige forståelse.

•En inddragelse af de sikkerhedsmæssige problemer som HCSEC har beskrevet i de årlige Oversight rapporter siden 2017:

- Dårlig kodekvalitet i Huawei udviklet SW, der i sig selv kan udgøre en sikkerhedsrisiko.

- Sikring af at der er binær ækvivalens, dvs. at den kode, der evalueres, kan dokumenteres at være identisk med den en delige SW, der installeres.

- At HCSEC har konstateret, at Huawei, på trods af forsikrin ger om det modsatte, har afleveret kildekode til evaluering, som ikke har været fuld repræsentativ for den kode, der har været benyttet i den endelige binære build, som leveres til teleudbyderne.

•Hvorledes TDC vil sikre, at Huawei udleverer al nødvendig kil dekode og designinformation til en udpeget tredjepart i forbin delse med en alternativ test, samt hvorledes en sådan kildekode vil blive arkivert og tilgængelig for et evt. senere sikkerhedstjek.

•Hvorledes TDC's kunder, herunder den danske stat, vil være stil let, såfremt disse bliver afkrævet af amerikanske myndigheder at leve op til eventuelle krav om en clean path policy.

…”

Af et opsummerende referat fra mødet den 21. maj 2021 dateret 28. maj 2021 ud arbejdet af CFCS fremgår bl.a.:

”… CFCS bemærkede:

•Det er CFCS' klare forståelse, at formålet med kontrakten var at tilgodese TDC's ønske om support på DWDM-udstyret indtil 2024 med henblik på en hensigtsmæssig udskiftningsfase.

•CFCS' forståelse baserer sig bl.a. på, at DWDM-udstyr ikke kan driftes uden support.

•TDC's overvejelser om en forlængelse indtil 2030 afviger efter CFCS' opfattelse væsentligt fra de oprindelige tilkendegivelser fra TDC.

•CFCS anser det for særligt alvorligt, at HCSEC ikke længere skal anvendes til test af DWDM-udstyret.

•Det ændrede testregime begrunder behovet for en ny risikovur dering, og risikovurderingen bør inddrage en række nærmere angive forhold.

•Det bekymrer CFCS, at test hos HCSEC indledningsvis er en del af kontrakten, for derefter at blive annulleret.

•Det har i forhold til en alternativ testplan stor betydning for CFCS, hvorvidt den forventede tidshorisont er 2024 eller 2030.

•En løbende opgradering af DWDM-udstyret bevirker, at man i princippet aldrig vil nå til et punkt, der tilsiger en udskiftning af DWDM-nettet.

•Initiativet til mulige løsninger, navnlig i forhold til et acceptabelt testregime, ligger hos TDC.

TDC bemærkede:

•Nærværende sag skal ses i et større perspektiv, og man har ikke ændret netværksstrategi på den korte bane.

•Der er foretaget store investeringer i accessnettet, og der vil fort sat foretages investeringer i accessnettet.

•Der er ikke planer om på den korte eller mellemlange bane at udskifte teknologien på backbone-nettet, og udgangspunktet er, at man vil blive på det nuværende backbone-net, der er langt fra at være udskiftningsmoden.

•Udskiftning af backbone-nettet forudsætter store investeringer, der skal ses i sammenhæng med timing, incitament og investe ringsbeskyttelse.

•Backbone-nettet er en afgørende forudsætning for nettets fort satte drift, og den fortsatte sikring af forsyningssikkerheden er vigtig for TDC.

•Man deler ikke CFCS's forståelse af kontraktforlængelsen.

•En eventuel udskiftning af backbone-nettet vil samlet tage 3 - 4 år, herunder en planlægningsfase på 12 - 24 måneder.

•Der vil være tale om en fuldstændig udskiftning, da TDC ikke har fundet løsningen på en segmenteret udskiftning.

•En fælles forståelse af risikovurderingen vil lette vejen mod en løsning, og i den forbindelse giver TDC gerne en formel besva relse på de emner, som er rejst af CFCS.

Det blev aftalt, at der i forlængelse af mødet vil blive udsendt et opsum merende referat til kommentering samt et brev fra CFCS om de emner, som ønskes adresseret. …”

TDC svarede den 1. juni 2021 på CFCS’ opfølgning af 12. maj 2021. Af svaret fremgår bl.a.:

”… 1. DWDM 2021 test plan

TDC Net has been in dialogue with Huawei Denmark to ensure the best possible solution on security testing and evaluation of the DWDM in frastructure that we need to implement in the transport network, for en suring that we:

•are able still to get 3-line support •comply to US-entity list •are able to fulfill the capacity demand

If UK operators will use the global version of the transport network software, then it will be tested by HCSEC, but because this has not been decided yet by the UK operators, we at this stage need to find an alter native. TDC NET has been in dialogue with Huawei Denmark to find a solution and we have agreed that the “Common Criteria” evaluation is the best possible alternative to a HCSEC test.

Common Criteria is a well-known standard (ISO15408) for security evaluation, has a long history and has been updated several times over the years. TDC NET see this standard as the best alternative to HCSEC. How HCSEC do evaluation is not public information, but we are aware that HCSEC’s evaluation is not without problems as described in the HCSEC Oversight reports. Still, we believe that HCSEC security evalua tion reports contain valuable information that have been used over sev eral years.

Based on our dialogue with Huawei Denmark, and our internal security risk management function, we have agreed on this updated test plan:

The 400 Gbit line card is expected to be part of the OSN9800 evaluation, this is normal practice.

Because an EAL4 evaluation is extensive, also including evaluation of how the software is developed, such evaluation can take up to a year.

TDC NET uses “turn-key” systems. The NCE-T system is without US technology and contain different types of technology: hardware, operat ing system, middleware and databases. Some of these have a Common Criteria certificate already – other components do not or have for a ver sion that we do not expect to use. We will seek to get the latest certifi cates and thereby a vulnerability overview. This can then be used in an updated risk assessment report. The plan is to have ATSEC do a pene tration testing of the complete environment in Q3-2022, as a system test.

2. Risk assessment of NCE-T The attached risk assessment covers risks that can be assessed with our present knowledge. Risks that may be found when security evaluations have been performed, will then be considered in an updated risk assess ment, when we have the actual vulnerability data and are able to assess the risks and identify mitigation methods. This activity is added to our attached test plan.

2.1 Risks identified in HCSEC Oversight reports TDC NET have evaluated the risks identified in HCSEC Oversight re ports with the following comments:

Use of BrightSight as security evaluation BrightSight is a well-known Dutch certified company (ISO17025), that perform Common Criteria tests on a number of products and Bright Sight has Telco competences, working with GSMA for example and performing NESAS evaluations. We see this as a highly credible and trustworthy partner in delivering security evaluation reports.

We do not see risks associated by using BrightSight as security evaluation company. We believe using BrightSight as the security evaluation part ner and adding ATSEC on top of this, is not only a good substitute for HCSEC, but in some areas better than HCSEC by using ISO standards as baseline.

Source Code review

EAL4 evaluation involves source code review. We have not yet final ized our evaluation on how this is done in practice by BrightSight and if FPGA and microcode will be part of this source code review. This might introduce new risks when we are able to quantify this in more detail. NCE-T does not contain FPGA or microcode, but it will be part of network element evaluation, and therefore the risk assessment of OSN9800 and OSN1800.

Binary equivalence The HCSEC Oversight reports describe how HCSEC has an issue in en suring that the binary images are compilations of the source code that has been under review. This is clearly an issue, which the British au thorities have somehow accepted over the years. Being able to quantify this in more detail might introduce new risks; we are in a dialogue with Huawei to get a better understanding of this area – e.g. on how an EAL4 evaluation will handle this in practice.

Bad coding quality An EAL4 evaluation involve reviewing a lot of design and development documents, to ensure what is specified is also developed in practice. This is done by BrightSight, and we have asked if there will be feedback to Huawei R&D regarding bad software quality. This might introduce new risks, and our risk assessment will be updated when we have more knowledge about this.

Source code escrow Source code escrow is not part of Common Criteria and is therefore un resolved for now. We are in dialogue with Huawei on how to handle this. …”

Ved mail af 26. august 2021 gav Vidne 1 CFCS en opdatering vedrø rende test af DWDM-systemet og implementering af NCE-T managementsyste met. Af mailen fremgår bl.a.

”… Vi sendte den 1 juni en opdatering på hvor vi er med NCE-T opdaterin gen, og vi havde efterfølgende en dialog herom. Som vi talte om i tele fonen, har vi hen over sommeren haft en dialog med Huawei. Målet er at sikre en stabil plan for opgradering til det nye management system, men størst mulig fokus på sikkerhed. Vi arbejder derfor også fortsat på at NCE-T og de underliggende systemer, bliver en del af HCSEC evalu eringen – men vi har endnu ingen lovning herpå, personlig tror jeg ikke det vil ske med release 20, muligvis senere afhængig af om man i Eng land vil følge de globale releases.

Som følge heraf, arbejder vi videre af Common Criteria stien sammen med Huawei. Dette arbejde vil fortsætte, vi ønsker at sikre at vi når et EAL4 niveau på så mange komponenter som mulig. ATSEC vil indgå i forbindelse med en mere generel systemtest.

Men det skal ikke skjules at der også er udfordringer fx:

•Udlevering af den komplette source kode fra Huawei, også et område som HCSEC har haft udfordringer omkring. På NCE-T management delen synes det ikke at være et problem.

•Sikre af at den binære image der testes på er fra den source kode som stilles til rådighed. Også et andet område som vi arbejde på. BrightSight, som er akkrediteret CC testercenter, må efter vores opfattelse have en metode til at verificerer dette, på dette område afventer vi det endelig svar.

•Source code escrow er et område, hvor vi ikke tror vi når i mål.

Ovenstående er status som den ser ud her efter sommerferien, NCE-T er endnu ikke gået i drift hos os, udrulningen starter i uge 36. Alt er te stet i test-lab og klar. I første omgang er det kun NCE-T der opdateres. …”

Af en mail af 30. august 2021 fra Person 2 til en række andre medarbejdere fra CFCS fremgår bl.a.:

”… Undertegnede blev den 27. august kontaktet af Vidne 1 (TDC), der øn skede at give en kort status pa DWDM kontrakten inden han går på pension den 31. august.

Vidne 1 oplyste, at TDC stadig har en dialog åben med Huawei om det nye management produkt NCE-T. Der er drøftelse mellem TDC og Huawei om mulighed for at benytte standardprodukter (Intel) på en del af stak ken i NCE-T.

Det vil i givet fald betyde, at kun selve management ap plikationen og den tilhørende database udskiftes til kinesiske produk ter, mens den øvrige del, som i UK, baseres på COTS-produkter (Com mercial Of The Shelf). Vidne 1 nævnte dog, at en sådan løsning vil give en række problemer for TDC, da de så selv skal stå for integrationen og supporten af de standard produkter, som ikke kan leveres af Huawei.

Det vil stadig ikke være den samme management applikation som eva lueres i HCSEC.

Derudover er der stadig en række udestående mellem TDC og Huawei i forhold til leverance af den ny NCE-T, bl.a. håndtering af binære image i forhold til testfirmaet BrightSight (hvorledes kan BrightSight sikre, at den source-kode de evaluerer, rent faktisk er identisk med den kode der benyttes til det binære image der leveres til TDC.)

Vidne 1 oplyste, at TDC under alle omstændigheder er nødt til at gå i pro duktion i løbet af september med den rent kinesiske version af NCE-T. Jeg nævnte CFCS' tilbagemelding til TDC af 7. december 2020, hvoraf det fremgår, at der senest den 1. august 2021 bør være fundet en sikker hedsmæssig tilfredsstillende løsning på evaluering af eventuelle fremti dige leverancer, såfremt HCSEC ikke længere kan varetage aftalen. Al ternativt anbefaler CFCS at leverancedelen af aftalen ophæves. Vidne 1 var opmærksom på denne pasus og oplyste, at TDC ikke er compliant med dette krav. …”

Den 1. og 6. september 2021 foretog CFCS høring af Energistyrelsen og Er hvervsstyrelsen vedrørende en påtænkt afgørelse efter § 3, stk. 1, i lov om leve randørsikkerhed i den kritiske teleinfrastruktur rettet mod aftalen indgået mel lem TDC og Huawei om DWDM-udstyr. Styrelserne afgav høringssvar den 14. og 17. september 2021.

NCE-T managementsystemet til DWDM-netværket blev sat i drift i uge 42 i 2021.

Ved et internt notat af 26. november 2021 foretog CFCS en ”præcisering” af sit interne referat fra mødet med TDC den 15. marts 2021. Af notatet fremgår bl.a.:

”… I forbindelse med referat af møde med TDC (Vidne 2, Vidne 1 og Person 7) den 15. marts 2021 (se bilag 1), er Center for Cybersikkerhed (CFCS) blevet opmærksom på, at det på et punkt i refe ratet er nødvendigt med en præcisering.

Af referatets næstsidste afsnit fremgår at:

Undervejs i mødet blev det klart for CFCS, at TDC "satser" på eks propriation jf. ny lovgivning for at komme ud af DWDM aftalen med Huawei.

Præcisering:

Undervejs i mødet nævnte Vidne 2 mindst to gange, at såfremt CFCS med baggrund i ny lovgivning skulle påbyde TDC at komme ud af DWDM kontakten før 2030, vil TDC gå efter at anvende "eks propriations-strategien".

…”

Ved mail af 2. december 2021 til TDC’s administrerende direktør Person 6Person 6 Person 6 anmodede sektionschef ved CFCS Vidne 3 om et møde ”regarding a matter of importance to TDC NET A/S” med yderligere del tagelse af TDC’s bestyrelsesformand, Person 8, og en række ledende me darbejdere hos CFCS. Det fremgår af anmodningen, at CFCS under mødet ville overrække et brev til TDC.

Der blev den 14. december 2021 afholdt et møde med deltagelse af Vidne 4Vidne 4 Vidne 4 og senior vice president for corporate affairs Person 9 fra TDC, kon stitueret direktør for Forsvars Efterretningstjeneste Person 10 og konstitue ret direktør for CFCS Vidne 5. Af en mail af 14. december 2021 fra Person 9 til bl.a. Person 6, Vidne 6, Vidne 2 og Vidne 7 fra TDC fremgår bl.a.:

”… As expected, their main concern is DWDM and the fact that we don't have a timeline for sunsetting the current system/vendor. For them this becomes a matter of national security.

They feel what has changed 'this year' compared to 'last year' is:

- 'extension' of our commitment to the system/vendor until 2029 - the 'agreed' test regime with HCSEC no longer viable

Vidne 5 talked about the testing but Person 10 majored on the timeline as the key concern. Sounds like they are willing to accept 3 years but defi nitely not until 2029.

They were minded to make a decision against our service and supply agreement of 7 Dec 2020 with reference to section 3 (3) of the Vendor Security Act. They are of the view that with a suitable notice period that would take account of security of supply and be fair. Sounds like they have consulted external lawyers on this view too.

We explained our position:

- in our view, a decision against the service and supply agreement is equivalent to asking us to do a full swap out;

- this has no technical or operational merit from our perspective but is associated with a considerable amount of risk

- would cost approx. kr 250m - if they issue us with a formal decision we would feel obliged to test it in court

- near term issue of potentially having to disclose risk in refinanc ing process

They wanted to negotiate a timeline with us. We said it is a question of time and compensation.

Agreed next steps: They consider their position re compensation and revert asap. We have to consider our timelines for swap. (Vidne 2, I said 3 years based on our conversation, but can we confirm this with more a little mor pre cision?) …”

På et møde mellem TDC og CFCS den 26. april 2022 præsenterede TDC en risi koanalyse vedrørende DWDM-netværket. Ved mail af 9. maj 2022 meldte CFCS bl.a. følgende tilbage til TDC:

”… På baggrund af præsentationen og drøftelserne på mødet, har Center for Cybersikkerhed (CFCS) følgende bemærkninger:

•CFCS er enig i TDC's vurdering af, at TDC's DWDM netværk ikke alene er det underliggende fundament for at kunne holde hele TDC's digitale netværk kørende, men derigennem også er

en forudsætning for, at samfundsvigtige funktioner kan opret holdes, herunder i finanssektoren og energisektoren.

•CFCS ønsker at understrege, som det også blev sagt på mødet, at det testforløb, der er aftalt mellem TDC og Huawei ikke er god kendt af CFCS, ligesom det hverken er i overensstemmelse med de skriftlige forståelser indgået mellem TDC og CFCS, eller den frivillige aftale indgået mellem Huawei og CFCS omkring den sikkerhedsmæssige håndtering af Huawei-leverancer i TDC's net.

•I e-mail af 6. januar 2022 til mig noterer du, at TDC "har verifice ret, at SW som testes er de samme versioner, vi har i vores net værk". CFCS anmoder i denne forbindelse om en tilbagemelding fra TDC om, hvorvidt dette er sikret ved en sammenligning af SW versionsnumre på de enkelte moduler, eller hvorvidt TDC har sikret sig dette ved en sammenligning af de digitale signatu rer og hash-værdier på de pågældende moduler.

•CFCS er på baggrund af drøftelser på mødet ikke betrygget i, at TDC i tilstrækkelig grad har sikret sig, at den testede kildekode er i fuld overensstemmelse med den binære kode, der er installe ret i TDC's netværk. CFCS anmoder i den forbindelse om en til bagemelding fra TDC om, hvorvidt TDC's aftale med Brigthsight sikrer, at Brightsight har adgang til den fulde kildekode til NCE-T, og ligeledes har adgang til selv at generere en binær kode af den samlede SW-pakke så den digitale signatur af det testede SW kan sammenholdes med den digitale signatur i den SW-pakke der pt. er installeret i TDC's netværk.

•CFCS ser ikke umiddelbart, at TDC i udarbejdelse af den præ senterede risikovurdering har inddraget de trusselsvurderinger som FE og CFCS udgiver, og som fremhæver, at Kina bruger cy berspionage aktivt og at der ingen tegn er på, at dette vil aftage. De viste links til FE og CFCS' hjemmesider nedenfor giver et par eksempler på disse trusselsvurderinger: …

…”

Af TDC’s svar herpå af 2. juni 2022 fremgår bl.a.:

”… Forholdet til skriftlige forståelser I mailen understreger CFCS, at det testforløb, der er aftalt mellem TDC og Huawei ikke er godkendt af CFCS, og at det hverken er i overens stemmelse med de skriftlige forståelser indgået mellem TDC og CFCS, eller den frivillige aftale indgået mellem Huawei og CFCS omkring den sikkerhedsmæssige håndtering af Huawei-leverancer i TDC’s net.

TDC NET skal hertil indledningsvis bemærke, at TDC ikke kender ind holdet af den aftale der måtte være indgået mellem Huawei og CFCS, og så vidt vi har forstået, skulle en sådan aftale være ophørt for flere år siden.

TDC NET skal desuden understrege, at de skriftlige forståelser indgået mellem TDC A/S (nu TDC Net A/S) og CFCS for så vidt angår test af software i udstyr leveret af Huawei, hviler på den forudsætning, at det foretrukne testcenter i England, HCSEC, har kapacitet og prioriterer test af systemer, der også leveres til det danske marked.

Det har været klart for CFCS, at det ikke er Huawei men de britiske sikkerhedsmyndighe der, der kan beslutte om udstyr der alene skal leveres til det danske marked kan blive testet af HCSEC. Såfremt dette ikke er tilfældet, har det været en klar forudsætning for TDC NET, at CFCS ville være indstillet på at acceptere alternative aktører til HCSEC.

Dette er afspejlet i Skriftlig Forståelse 2, CFCS’s følgebrev af 13. september 2013, og i det seneste sikkerhedsbilag til DWDM-aftalen, som CFCS har haft til gen nemlæsning inden seneste tillæg til aftalen DWDM blev indgået.

Grundet situationen efter de britiske myndigheders har udmeldt, at HCSEC alene kan anvendes til test af systemer til det britiske marked, har det været naturligt og nødvendigt, at TDC NET sammen med Hu awei har fundet en alternativ aktør til HCSEC, som benytter sig af eva lueringsstandarden ”Common Criteria” . Denne standard anvendes af militære myndigheder og er et fundament i de initiativer, der er på vej i EU vedrørende sikkerhed i kritisk infrastruktur.

Det skal bemærkes, at det ikke muligt for os at verificere, om de meto der der anvendes i Common Criteria er fuldt sammenlignelige med de metoder HCSEC anvender, idet TDC NET aldrig har måtte få indsigt heri af de britiske myndigheder. Det er imidlertid vores opfattelse, at Common Criteria som anerkendt international standard er det bedste, der findes på markedet.

Herudover har vi tidligere anvendt svenske ATSEC til at sikkerhedse valuere komponenter, hvilket vi i øvrigt ønsker at fortsætte med for så vidt angår systemtest. …

Som anført benytter TDC Net sig af sikkerhedsevalueringer og system test gennemført af anerkendte internationale organer, der baserer sig på internationalt anerkendte standarder. CFCS har ikke overfor TDC Net kunne henvise til andre organer, der i praksis kan foretage sikkerhedse valuering eller andre internationale standarder. Det er derfor vores klare opfattelse, at TDC Net efterlever formålet med de skriftlige forstå elser og agerer inden for de rammer CFCS, som kan føre tilsyn efter.

Verificering af SW CFCS har anmodet oplyst, om TDC NET sikrer verificering ved en sam menligning af SW versionsnumre på de enkelte moduler, eller hvorvidt TDC har sikret sig dette ved en sammenligning af de digitale signaturer og hash-værdier på de pågældende moduler.

De nævnte versioner er verificeret gennem software release versions nummer.

Overensstemmelse mellem testede kildekode og binære kode

CFCS har anmodet en tilbagemelding fra TDC NET om, hvorvidt TDC’s aftale med Brigthsight sikrer, at Brightsight har adgang til den fulde kildekode til NCE-T, og ligeledes har adgang til selv at generere en binær kode af den samlede SW-pakke så den digitale signatur af det testede SW kan sammenholdes med den digitale signatur i den SW-pakke der pt. er installeret i TDC’s netværk.

TDC Net har haft en dialog med BrightSight om dette. Vi er af den op fattelse, at dette håndteres tilfredsstillende af BrightSight. Firmaer, som er certificeret til at udføre ”Common Criteria” evalueringer på EAL4 ni veau og op, kan og skal sikre dette.

Men et er hvordan komponenter i transportnet og NCE-T er evalueret efter Common Criteria, noget andet er hvordan det er håndteret internt i TDC Net. I den forbindelse er vi i dialog med ATSEC og Huawei om en sikkerhedsevaluering af vores interne håndtering og konfiguration. I praksis vil det sige en ATSEC sikkerhedsvurdering udført hos os.

Inddragelse af FE og CFCS’s trusselsvurderinger i risikovurderingen CFCS ser ikke umiddelbart, at TDC NET i udarbejdelse af den præsen terede risikovurdering har inddraget de trusselsvurderinger som FE og CFCS udgiver, og som fremhæver, at Kina bruger cyberspionage aktivt og at der ingen tegn er på, at dette vil aftage.

Da vi udførte risikoanalysen, tog vi trusselbilledet med i betragtning. Det vil sige, at vi også lavede risikovurdering ud fra trusler så som cy berespionage og destruktiv cyber angreb baseret på det de trusselsvur deringer fra fx FE og CFCS, som kendelige for os på tidspunktet for vurderingen. …”

CFCS foretog den 19. september 2022 høring af Styrelsen for Dataforsyning og Infrastruktur og fornyet høring af Energistyrelsen og Erhvervsstyrelsen vedrø rende en påtænkt afgørelse mod en aftale indgået mellem TDC og Huawei.

Den 10. oktober 2022 foretog CFCS partshøring af TDC med meddelelse om, at CFCS agtede at nedlægge forbud mod den fortsatte opretholdelse af ”Amend ment 4” af 7. december 2020 og mod anvendelse af kritiske netkomponenter, sy stemer og værktøjer, der er leveret under ”Amendment 4” , herunder NCE-T management platformen og OSN9800 samt OSN1800-terminaler med en afvik lingsfrist for ”Amendment 4” den 31. december 2025 og for anvendelse af kriti ske netkomponenter mv. den 1. januar 2026.

Den 12. oktober 2022 udsendte de britiske myndigheder en ”Designation No tice” vedrørende Huawei, som medførte begrænsninger i brugen af Huawei-produkter i den britiske infrastruktur.

TDC afgav den 7. november 2022 høringssvar vedrørende CFCS’ påtænkte af gørelse.

Ved brev af 22. november 2022 meddelte CFCS, at et eventuelt anvendelsesfor bud vedrørende NCE-T rettede sig mod anvendelse til understøttelse af DWDM-netværket. Såfremt NCE-T alene blev anvendt til understøttelse af radi okædenetværket, ville dette ikke være omfattet af et eventuelt anvendelsesfor bud efter telesikkerhedslovens § 3, stk. 2.

CFCS foretog den 2. og 14. december 2022 partshøring af Huawei i Danmark og Huawei International Co. Ltd. vedrørende den påtænkte afgørelse om forbud mv. Der blev i forlængelse heraf den 6. januar 2023 afholdt et møde mellem CFCS og Huawei. Ifølge CFCS’ interne referat af mødet meddelte CFCS under mødet bl.a., at sagens oplysning var ved at nå sin afslutning, og at et alternativt testregime ikke i sig selv kunne mitigere de bekymringer, som CFCS havde. Huawei afgav høringssvar den 10. januar 2023, hvoraf om ”Amendment 4” fremgår bl.a.:

”… Forlængelsen udgør en aftale om forlængelse af et allerede eksisterende aftaleforhold mellem TDC og Huawei vedrørende levering af WDM-sy stemer og relateret support (herefter "WDM Agreement") . …”

CFCS traf den 21. marts 2023 afgørelse om forbud. Af afgørelsen fremgår bl.a.:

”… Afgørelse om forbud efter telesikkerhedslovens § 3, stk. 1 og 2 1. Afgørelse Center for Cybersikkerhed (herefter CFCS) nedlægger i medfør af te lesikkerhedslovens § 3, stk. 1, 1. pkt., forbud mod den fortsatte opret holdelse af aftalen ”Amendment No 4 to WDM Master Agreement” (herefter Aftalen), som er indgået den 7. december 2020 mellem TDC NET A/S (herefter TDC) og Huawei International Co. Limited (herefter Huawei).

CFCS nedlægger desuden i medfør af telesikkerhedslovens § 3, stk. 2, 1. pkt., forbud mod fortsat at anvende kritiske netkomponenter, systemer og værktøjer, der er leveret under Aftalen.

Anvendelsesforbuddet efter telesikkerhedslovens § 3, stk. 2, 1. pkt., om fatter NCE-T managementsystemet og OSN9800 og OSN1800-termina ludstyret.

Anvendelsesforbuddet omfatter alene de kritiske netkomponenter, sy stemer og værktøjer, der er leveret i henhold til Aftalen, jf. CFCS’ brev af 29. november 2022.

Anvendelsesforbuddet omfatter i forhold til NCE-T managementsyste met enhver anvendelse af NCE-T i TDC’s netværk. Opmærksomheden henledes derfor på, at den afgrænsning, som CFCS angav i brev af 22.

november 2022, ikke længere er aktuel, jf. nærmere herom under afsnit 4.1.2 nedenfor.

Fristen for afvikling af Aftalen fastsættes i medfør af telesikkerhedslo vens § 3, stk. 3, til den 31. december 2026.

Fristen for anvendelsen af de ovennævnte kritiske netkomponenter, sy stemer mv., fastsættes i medfør af telesikkerhedslovens § 3, stk. 3, til den 1. januar 2027.

Sagsfremstilling

mv. Ved brev af 10. oktober 2022 har CFCS redegjort for CFCS’ opfattelse af sagens faktiske og retlige omstændigheder.

TDC har ved breve af henholdsvis 24. oktober 2022 og 7. november 2022 kommenteret og suppleret CFCS’ brev af 10. oktober 2022.

Som led i sagens oplysning har CFCS endvidere ved breve af 22. november 2022 og 25. november 2022 på foranledning af TDC afklaret visse spørgsmål om afgørelsens omfang.

Ved brev af 9. december 2022 har TDC i den anledning afgivet et sup plerende høringssvar, ligesom TDC den 27. januar 2023 har fremsendt en risikovurdering, der har til formål at underbygge høringssvaret af 7. november 2022.

Da der i den hidtidige korrespondance er redegjort udførligt for hen holdsvis CFCS’ og TDC’s opfattelse af sagen, indeholder begrundelsen for denne afgørelse alene angivelse af de oplysninger vedrørende sa gens faktiske omstændigheder, som er tillagt væsentlig betydning, jf. forvaltningslovens § 24, stk. 2, herunder i fornødent omfang CFCS’ adressering af de bemærkninger vedrørende sagens faktiske grundlag, som TDC er fremkommet med i høringsprocessen.

CFCS skal i den forbindelse bemærke, at CFCS ikke deler TDC’s opfat telse af, at CFCS’ ”tilgang” med at inddrage interne referater i sagen skaber usikkerhed om sagens korrekte oplysning.

Det har som bekendt tidligere i forløbet været drøftet, om der skulle ud arbejdes fælles referater, og at der var enighed mellem CFCS og TDC om, at beslutningsreferater var tilstrækkelige. TDC ses i øvrigt ikke selv at have fremsendt egne referater til kommentering hos CFCS.

3. Det retlige grundlag 3.1. Telesikkerhedslovens anvendelsesområde Telesikkerhedsloven trådte i kraft den 1. juli 2021.

Det følger af lovens § 17, stk. 2, at §§ 1, 3-17 og 19 har virkning for afta ler, der er indgået den 7. december 2020 eller senere. I de specielle be mærkninger til § 3, stk. 2, er det uddybet, at bestemmelsen vil omfatte kritiske netkomponenter, systemer mv., der er leveret som led i aftaler, der er indgået den 7. december 2020 eller senere.

Det følger af lovens § 3, stk. 1, at CFCS i særlige tilfælde kan forbyde en væsentlig erhvervsmæssig udbyder af offentligt tilgængelige elektroni ske kommunikationsnet og -tjenester at opretholde en indgået aftale, der vedrører kritiske netkomponenter, systemer og værktøjer, herunder varetagelsen af driften heraf, hvis opretholdelse af aftalen vurderes at udgøre en væsentlig trussel mod statens sikkerhed.

Det følger af lovens § 3, stk. 2, at CFCS i særlige tilfælde kan forbyde en væsentlig erhvervsmæssig udbyder at anvende kritiske netkomponen ter, systemer og værktøjer, der er leveret, hvis anvendelsen vurderes at udgøre en væsentlig trussel mod statens sikkerhed.

Det angives i de specielle bemærkninger til § 3, stk. 2, at bestemmelsens anvendelsesområde vil være situationer, hvor en teleudbyder har fået leveret kritiske komponenter mv. som led i en aftale med en leveran dør, men hvor aftalen ikke længere er aktiv.

Kritiske netkomponenter, systemer og værktøjer er defineret i telesik kerhedslovens § 1, nr. 1, og omfatter operationssupportsystemer, net work managementsystemer og business supportsystemer, der kan be nyttes til at aflæse, ændre indhold af eller dirigere data, som relaterer sig til slutbrugere, samt hardware, firmware og software, der anvendes i eller i forbindelse med core-net i mobilnet, fastnet og internet eller i centrale routere og servere i backbonenettene eller i kontrolenheder, som anvendes til styring i mobilnettenes radionet.

En væsentlig erhvervsmæssig udbyder af offentligt tilgængelige elek troniske kommunikationsnet og -tjenester er i lovens § 1, nr. 3, litra a, defineret som en udbyder af net, hvor disse net anvendes af mere end 50.000 slutbrugere. Ved opgørelsen medregnes de slutbrugere, der har aftaleforhold med udbyderens kunder.

3.2. Betingelserne for forbud efter telesikkerhedslovens § 3, stk. 1 og 2 3.2.1. Grundlaget for vurderingen Væsentlig trussel mod statens sikkerhed En afgørelse om forbud mod opretholdelse af en indgået aftale efter te lesikkerhedslovens § 3, stk. 1, og et forbud mod fortsat anvendelse af kritiske komponenter, systemer mv. efter bestemmelsens stk. 2 forud sætter, at henholdsvis aftalen og anvendelsen vurderes at udgøre en væsentlig trussel mod statens sikkerhed.

Udtrykket statens sikkerhed anvendes i lov om sikkerhed i net og tjene ster og skal forstås i overensstemmelse med begrebet national sikker hed i EU-retten. Der vil dermed som udgangspunkt være tale om væ sentlige trusler mod samfundskritiske funktioner, herunder offentlige myndigheders kommunikation, jf. de specielle bemærkninger til lovens § 3, stk. 1 og 2.

I særlige tilfælde mv. Det følger endvidere af lovens § 3, stk. 1 og 2, at forbud kun kan ned lægges i særlige tilfælde, ligesom det følger af bestemmelsens stk. 4, at

forbud kun kan nedlægges, hvis hensynet til statens sikkerhed ikke ef fektivt kan varetages ved mindre indgribende foranstaltninger.

I de specielle bemærkninger til bestemmelsen er det uddybet, at ”i sær lige tilfælde” indebærer, at der skal være tale om tilfælde, hvor der dels er tale om en trussel mod statens sikkerhed, dels ikke er mulighed for at anvende mindre indgribende midler.

Der er således både i ordlyden af § 3, stk. 1 og 2, og i bestemmelsens stk. 4 udtrykt et proportionalitetsprincip, jf. også de specielle bemærkninger til § 3, stk. 4, hvor det angives, at CFCS forud for nedlæggelse af et for bud skal have søgt at opnå det ønskede resultat gennem mindre indgri bende midler.

En samlet vurdering Det fremgår af de specielle bemærkninger til § 3, stk. 1 og 2, at CFCS skal foretage en samlet vurdering af, om aftalen eller komponenten mv. vurderes at udgøre en væsentlig trussel mod statens sikkerhed.

Ved vurderingen kan CFCS lægge vægt på forhold vedrørende den le verandør, som teleudbyderen anvender, jf. § 3, stk. 1 og 2, jf. § 2, stk. 2. Efter lovens § 2, stk. 2, nr. 1–4, vil der i vurderingen bl.a. kunne indgå en række nærmere opregnede forhold om leverandøren, leverandørens væsentligste underleverandører samt aktører, der udøver kontrol over eller har betydelig indflydelse på leverandøren.

Det er samtidig angivet i de specielle bemærkninger til § 3, stk. 1 og 2, at kerneområdet vil være situationer, hvor CFCS vurderer, at der er ri siko for, at en leverandør vil misbruge aftalen, eller at en komponent mv. kan misbruges til at forberede eller udføre sabotage mod telenettet, som kan medføre, at telenettet helt eller delvis afbrydes, herunder hvis der er risiko for, at der indbygges bagdøre.

Der vil også kunne være tale om situationer, hvor en aftale eller kritisk komponent mv. kan misbruges til spionage mod samfundskritiske funktioner.

I de specielle bemærkninger til § 3, stk. 2, er det endvidere anført, at i den samlede vurdering vil den potentielle trussel også skulle vejes op mod karakteren af komponenten, systemet mv. Jo mere kritiske dele af telenettet, som komponenten, systemet mv. anvendes i, jo mindre vil der skulle til, for at der kan siges at være tale om en væsentlig trussel mod statens sikkerhed.

Tilsvarende bemærkninger fremgår af de specielle bemærkninger til § 2, stk. 1 (forbud mod aftaleindgåelse), hvoraf det fremgår, at jo mere kritiske dele af telenettet, som aftalen omfatter, jo mindre vil der skulle til, for at der kan siges at være tale om en trussel mod statens sikkerhed.

Hensynet til forsyningssikkerheden Det følger af lovens § 3, stk. 3, at CFCS kan fastsætte en frist for, hvor når en aftale skal være afviklet efter bestemmelsens stk. 1, eller hvornår

anvendelse af kritiske komponenter mv. skal være ophørt efter bestem melsens stk. 2.

Det er forudsat i de specielle bemærkninger til bestemmelsen, at CFCS efter høring af teleudbyderen foretager en vurdering af på den ene side behovet for hurtigst muligt at fjerne en væsentlig trussel mod statens sikkerhed, og på den anden side hensynet til den fortsatte og stabile drift af den kritiske teleinfrastruktur.

Det er samtidig anført, at nedlæggelse af forbud således ikke bør føre til, at der sker afbrydelser på telenettet, fordi teleudbyderen ikke har haft mulighed for at indgå eller implementere en ny aftale. På den bag grund bør CFCS som udgangspunkt fastsætte en nærmere frist, som er baseret på, hvornår en loyalt agerende teleudbyder kan have taget de nødvendige forholdsregler.

4. Begrundelse 4.1. Telesikkerhedslovens anvendelsesområde 4.1.1. Den tidsmæssige afgrænsning af anvendelsesområdet TDC har gjort gældende, at telesikkerhedsloven er baseret på et grund læggende indrettelseshensyn, der indebærer, at udbyderne i perioden frem til den 1. januar 2026 ikke kan blive mødt af et forbud for allerede skete investeringer, og at der derfor efter telesikkerhedslovens ikraft trædelsesbestemmelser ikke er hjemmel til at nedlægge forbud.

CFCS skal hertil bemærke, at det fremgår af de specielle bemærkninger til telesikkerhedslovens § 2 om forbud mod indgåelse af påtænkte afta ler, at denne bestemmelse omfatter både indgåelse af nye aftaler og for længelser af eksisterende aftaler.

CFCS finder, at der mellem lovens §§ 2 og 3 skal anlægges den samme forståelse i forhold til forlængelsesaftaler, da anvendelsesområdet for § 3 bl.a. omfatter den situation, at der på et senere tidspunkt foreligger ændrede forhold vedrørende en aftale, der ikke på indgåelsestidspunk tet blev anset for problematisk, jf. de specielle bemærkninger til § 3, stk. 1.

Det følger heraf, at telesikkerhedslovens § 3, stk. 1, også finder anven delse på en forlængelsesaftale, såfremt denne er indgået den 7. decem ber 2020 eller senere, jf. i den forbindelse lovens § 17, stk. 2

Det er som nævnt angivet i de specielle bemærkninger til § 3, stk. 2, at bestemmelsen vil omfatte kritiske netkomponenter, systemer mv., der er leveret som led i aftaler, der er indgået den 7. december 2020 eller se nere.

CFCS finder på den baggrund, at telesikkerhedslovens § 3, stk. 2, også finder anvendelse på kritiske netkomponenter mv., der er leveret som led i en forlængelsesaftale, der er indgået den 7. december 2020 eller se nere.

TDC’s Aftale er indgået den 7. december 2020 og er derfor omfattet af telesikkerhedslovens virkningstidspunkt, jf. telesikkerhedslovens § 17, stk. 2.

CFCS lægger i den forbindelse også til grund, at med nærværende afgø relse vil Aftalen ikke længere være gyldig med virkning fra den 31. de cember 2026, hvorfor Aftalen herefter ikke længere er aktiv, og kritiske komponenter, systemer mv., der er leveret i henhold til Aftalen, vil der for i hvert fald fra dette tidspunkt være omfattet af anvendelsesområdet for lovens § 3, stk. 2, jf. afsnit 3.1 ovenfor.

4.1.2. Den materielle afgrænsning af anvendelsesområdet CFCS lægger til grund, at TDC udbyder net, der anvendes af mere end 50.000 slutbrugere, og derfor er at betragte som en væsentlig erhvervs mæssig udbyder af offentligt tilgængelige elektroniske kommunika tionsnet og -tjenester.

CFCS lægger endvidere til grund, at Aftalen omfatter kritiske netkom ponenter, systemer værktøjer som defineret i telesikkerhedslovens § 1, nr. 1.

Det er således CFCS’ vurdering, at OSN9800 og OSN1800-terminalud styret har karakter af hardware, firmware og software, der anvendes i centrale routere og servere i TDC’s backbone-net, og at NCE-T manage ment systemet kan benyttes til at dirigere data, hvorfor Aftalen og det nævnte udstyr vurderes henholdsvis at vedrøre og udgøre kritiske net komponenter, systemer og værktøjer og dermed er omfattet af anven delsesområdet for telesikkerhedslovens § 3, stk. 1 og 2.

Særligt vedr. NCE-T skal CFCS bemærke, at i lyset af denne platforms funktionalitet har CFCS vurderet, at der ikke vil kunne foretages en ad skillelse af forskellige anvendelsesscenarier, der er sikkerhedsmæssig forsvarlig i lyset af de risici, der redegøres for nedenfor under afsnit 4.2.1-4.2.3.

På den baggrund har CFCS revurderet den tilkendegivelse, som CFCS fremkom med i sit brev af 22. november 2022, og fundet, at CFCS’ an vendelsesforbud efter telesikkerhedslovens § 3, stk. 2, for så vidt angår NCE-T omfatter enhver anvendelse af denne platform.

4.2. Den samlede vurdering CFCS har ved sin afgørelse efter lovens § 3, stk. 1 og 2, foretaget en sam let vurdering af, om Aftalen og afvendelsen af komponenter mv. leveret i henhold til Aftalen må anses for at udgøre en væsentlig trussel mod statens sikkerhed, og at det ikke er muligt effektivt at varetage hensynet til statens sikkerhed ved mindre indgribende foranstaltninger.

På baggrund af det under afsnit 3.2.1 ovenfor anførte har CFCS opdelt denne samlede vurdering i følgende hovedtemaer: 1) Kritikaliteten af infrastrukturen, 2) risici forbundet med leverandøren, 3) risici forbun det med den konkrete aftale og muligheden for anvendelsen af mindre indgribende foranstaltninger og 4) hensynet til forsyningssikkerheden.

4.2.1. Kritikaliteten af infrastrukturen CFCS lægger til grund, at TDC anvender DWDM i selskabets fibernet værk til at sammenkoble kritiske netelementer i teleinfrastrukturen.

DWDM-netværket anvendes til transport af data og telekommunikation inden for TDC’s netværk i Danmark samt til og fra knudepunkter i Fin land, Sverige, Estland, Norge, Tyskland, Holland, Frankrig, Belgien og Storbritannien.

CFCS lægger samtidig til grund, at sikker og effektiv digital kommuni kation mellem mennesker og maskiner er en forudsætning for oprethol delsen af det digitale samfund, herunder et samfund, der er så digitali seret som det danske.

Derfor har teletjenesternes tilgængelighed, fortrolighed og integritet kritisk betydning for samfundets funktion og sikkerhed.

Dette understøttes af en undersøgelse om de digitale afhængigheder i og på tværs af de seks samfundskritiske sektorer (tele, energi, finans, sundhed, søfart og transport), som CFCS i samarbejde med de sektor ansvarlige myndigheder har gennemført.

Undersøgelsen viste, at alle kernefunktioner er afhængige af adgang til elektricitet og dataforbindelser, og at kernefunktionerne, herunder aku tte sundhedsydelser, i nogen grad er afhængige af bl.a. taletelefoni og mobiltelefoni.

Som den største teleudbyder i Danmark har TDC efter CFCS’ opfattelse en særlig kritisk betydning for samfundets funktion og sikkerhed.

CFCS tillægger det vægt, at hvis DWDM-systemet bliver kompromitte ret, vil det potentielt kunne få store konsekvenser for både det danske samfund og de lande/kunder, der er afhængige af DWDM-netværket, hvilket bl.a. omfatter andre væsentlige udbydere i Danmark.

Ved en kompromittering i form af en afbrydelse vil kapaciteten i den danske teleinfrastruktur samlet set blive væsentligt reduceret og der med komme i risiko for overbelastning. Det vil kunne føre til, at sam fundets kritiske funktioner, der er afhængige af datatransmission og te lefonifunktioner, bliver ramt og kan være vanskelige at opretholde.

Dette kan i yderste konsekvens være af et sådant omfang, at helt grund læggende samfundsfunktioner og væsentlige dele af al kommerciel ak tivitet helt eller delvist bringes til ophør. Efter omstændighederne vil dette kunne have konsekvenser for enkeltpersoners liv, førlighed og velfærd og medføre omfattende omkostninger for myndigheder, pri vate virksomheder og enkeltpersoner samt afbrydelse af offentlige ser viceydelser mv.

Denne kritikalitet understreges også af det, som TDC har anført i hø ringssvaret af 7. november 2022 om, at den samlede trafikmængde i DWDM-netværket gradvist er vokset markant siden 2014, ligesom TDC

i risikovurderingen af 27. januar 2023 har anført, at DWDM-nettet er vokset i både kapacitet og funktion.

Hertil kommer, at en så central del af den kritiske infrastruktur udgør et naturligt spionagemål for fremmede magter mv.

4.2.2. Risici forbundet med leverandøren CFCS har i den samlede vurdering tillagt det vægt, at CFCS i forbin delse med regelmæssige statusmøder med Huawei i perioden 2014-2020 har kunnet konstatere, at Huawei på en række punkter (evaluering i HCSEC, adgang til kildekode, adgang til designinformation mv.) ikke har levet op til indholdet af den fælles forståelse, som Huawei indgik med den danske stat i 2012, og som er en model, der fokuserer på høj informationssikkerhed ved håndtering og opdatering af udstyr fra Hu awei.

Det er CFCS’ vurdering, at HCSEC har ganske særlige forudsætninger og kompetencer i forhold til evaluering af Huawei-produkter.

Selskabskonstruktionen bag HCSEC sikrer, at HCSEC skal have adgang til al kildekode og designinformation i de evaluerede Huawei produk ter, ligesom HCSEC – i modsætning til øvrige evalueringsfirmaer – ude lukkende arbejder med evaluering af Huawei-udstyr og dermed har oparbejdet en unik viden om, hvorledes Huaweis udviklingsafdelinger arbejder.

Det er alene på baggrund af disse unikke forudsætninger og kompeten cer, at HCSEC – som det fremgår af Oversight-rapporterne – har kunnet konstatere manglende binær ækvivalens mellem den kildekode, som Huawei har leveret, og den endelige binære kode, der afvikles i teleud bydernes netværk.

I den forbindelse lægger CFCS således også vægt på indholdet af Over sight-rapporterne fra HCSEC, navnlig det forhold, at Huawei – på trods af gentagne forsikringer om det modsatte – ikke har sendt den fulde kil dekode til evaluering, og at konklusionen for Oversigt-rapporten for 2019 er:

” Overall, the Oversight Board can only provide limited assurance that all risks to UK national security from Huawei’s involvement in the UK’s criti -cal networks can be sufficiently mitigated longterm.”

Denne konklusion går igen i Oversight Boardets rapport for 2020, lige som det af rapporten for 2021 på trods af fremskridt i forhold til binær ækvivalens fremgår:

“[…] the work of HCSEC continues to uncover issues that indicate there has been no overall improvement over the course of 2020 to meet the product software engineering and cyber security quality expected by the NCSC” .

CFCS tillægger det også vægt, at Huaweis administrerende direktør i Danmark i januar 2020 tilkendegav over for CFCS, at Huawei fremover kun ville levere udstyr til danske teleudbydere, såfremt sådant udstyr

også leveres til teleudbydere i Storbritannien og dermed er sikret evalu ering i HCSEC.

Samtidig lægger CFCS vægt på, at TDC’s kontraktpart – Huawei Inter national Co. Limited – er 100 % ejet af Huawei Investment & Holding Co., Ltd, der er etableret i Shenzhen, Kina, jf. årsrapporten for 2021 for Huawei Investment & Holding Co., Ltd.

Dette moderselskab er dermed at betragte som hjemmehørende i Kina og dermed underlagt kinesisk sikkerhedslovgivning, der indebærer, at selskabet – og de ansatte, som er kinesiske statsborgere – er forpligtet til at understøtte, assistere og samarbejde med den kinesiske efterretnings tjeneste, jf. artikel 7 i den kinesiske ”National Intelligence Law” .

Dette forhold aktualiserer telesikkerhedslovens § 2, stk. 2, nr. 2, hvoref ter det i vurderingen bl.a. vil kunne indgå, om leverandøren og aktører, der udøver kontrol over eller har betydelig indflydelse på leverandø ren, er hjemmehørende i eller varetager produktionen eller driften fra et land, hvor det efter det pågældende lands lovgivning er muligt at på lægge leverandører eller deres underleverandører at udføre eller del tage i forhold, som vil udgøre spionage eller sabotage.

Endvidere lægger CFCS vægt på en række klassificerede oplysninger omfattet af lovens § 2, stk. 2, nr. 2 og 4. Disse oplysninger gengives ikke i denne afgørelse, jf. bemærkningerne til lovens § 5, stk. 2, hvoraf frem går, at CFCS ”vil dermed ikke være forpligtet til at gengive de særlige sikker -hedsmæssige og efterretningsmæssige oplysninger, der vil indgå i sager, der be -handles i medfør af lovforslaget, i forbindelse med en afgørelse, som centeret træffer i medfør af kapitel 2, 3 eller 8.”

4.2.3. Risici forbundet med den konkrete aftale og anvendelse af min - dre indgribende foranstaltninger Testregime CFCS tillægger det vægt, at test i HCSEC har været en forudsætning for CFCS’ tilbagemelding til TDC den 7. december 2020 i forbindelse med vurderingen af Aftalen.

Denne forudsætning hviler på de oplysninger, som TDC har givet til CFCS i forbindelse med forberedelsen af skiftet til NCE-T management systemet.

CFCS lægger således til grund, at TDC i maj 2020 oplyste, at der fra Hu awei forelå en tidsmæssigt bekræftet testplan for DWDM, der omfat tede en gennemførelse af test af NCE-T i HCSEC i 4. kvartal 2020.

CFCS lægger også til grund, at det imellem TDC og Huawei har været udgangspunktet for Aftalen, at test skete i HCSEC, jf. TDC’s e-mail af 2. december 2020 om, at referencen i Aftalens afsnit 4 om ”cybersecurity testing scheme” henviser til HCSEC-evalueringen.

Det af TDC anførte om eventuelle udfordringer forbundet med at få test udført i HCSEC ændrer ikke på disse faktiske omstændigheder og for udsætninger.

Grundlaget for CFCS’ tilbagemelding af 7. december 2020 har således været de entydige tilkendegivelser fra TDC om, at der ville ske test i HCSEC, og i lyset af disse entydige tilkendegivelser kan eventuelle ud fordringer, herunder Huaweis adgang til at få bestemte produkter mv. evalueret i HCSEC, eller behov for alternative testregimer ikke tillægges vægt.

Det er ikke korrekt, at CFCS igennem en årrække skulle have tolereret, at test i HCSEC blev angivet som testregime vel vidende, at der reelt ikke blev leveret de forudsatte ydelser af HCSEC, og at de heller ikke ville kunne leveres.

CFCS finder hertil anledning til at bemærke, at CFCS i visse tilfælde har accepteret, at som en mitigerende foranstaltning ville AtSec kunne fore stå produkttest, men ikke systemtest, og at sådanne afvigelser fra det aftalte HCSEC-testregime altid har været betinget af en konkret god kendelse fra CFCS.

CFCS er samtidig af den opfattelse, at TDC er bevidst om, at berostillel sen af arbejdet vedrørende Skriftlig Forståelse 3 skyldtes manglende vilje fra Huawei til at indgå aftaler om mitigerende sikkerhedsforan staltninger, således at en opdateret aftale ikke sikkerhedsmæssigt stiller den danske stat ringere end den oprindelige.

Det skal hertil bemærkes, at det ved ændringer i aftaler om testregimer mv. altid har været en bærende forudsætning, at en ny aftale ikke må medføre en sådan sikkerhedsmæssig forringelse.

CFCS er derfor uforstående over for TDC’s angivelse af, at det ikke står klart for TDC, hvorfor arbejdet med Skriftlig Forståelse nr. 3 ikke blev afsluttet.

CFCS bemærker i øvrigt, at den manglende test i HCSEC blot er ét ud af flere elementer i den samlede vurdering.

Aftalens alternative testregime mv. CFCS lægger til grund, at CFCS på mødet med TDC den 15. marts 2021 blev bibragt oplysninger, der væsentlig afveg fra det, der indtil da havde været grundlaget for CFCS’ vurdering af Aftalen.

Således oplyste TDC på mødet, at Huawei havde informeret TDC om, at Huaweis DWDM-løsning hos TDC nu var baseret på en version, som ikke leveres til det britiske marked, hvorfor produkterne ikke længere som forudsat i Aftalen kunne testes i HCSEC.

Konsekvensen af denne ændring var bl.a., at det kommende NCE-T management system på trods af tidligere forsikringer fra Huawei ikke længere ville kunne testes i HCSEC, og at man nu ville stå i en situation, hvor TDC’s DWDM-net udelukkende består af nyudviklede kinesiske komponenter og uden evaluering i HCSEC.

Med udgangspunkt i TDC’s tilbagemelding af 1. juni 2021 kan CFCS konstatere, at Huawei på en række punkter (evaluering i HCSEC, ad gang til kildekolde, adgang til designinformation) stadig ikke kan leve op til indholdet af den fælles forståelse, som Huawei har indgået med den danske stat.

Det sikkerhedsarbejde, der er udført i forhold til DWDM-netværket, ændrer ikke på denne konstatering, og CFCS er således fortsat af den opfattelse, at det af TDC foreslåede alternative testregime under Aftalen ikke er tilfredsstillende pga. usikkerhed om adgang til kildekode og sik ring af binær ækvivalens.

CFCS opstillede ved sit brev af 12. maj 2021 således rammerne for den sikkerhedsmæssige håndtering af NCE-T managementsystemet.

Dette omfattede bl.a. en sikkerhedsevaluering, der ikke stiller den dan ske stat dårligere end den aftalte HCSEC-baserede evaluering, samt en inddragelse af de sikkerhedsmæssige problemer, som er beskrevet i de årlige Oversight-rapporter fra HCSEC siden 2017:

•Dårlig kodekvalitet i Huawei-udviklet software. •Sikring af binær ækvivalens. •HCSEC’s konstatering af, at Huawei – på trods af forsikringer om det modsatte – har afleveret kildekode til evaluering, som ikke har været repræsentativ for den kode, der har været benyt tet i den endelige binære build, som leveres til teleudbyderne.

Disse krav lever de af TDC foreslåede testregimer ikke op til, hvilket også er anerkendt af TDC.

Forudsætningerne i brevet af 12. maj 2021 er i øvrigt i vidt omfang sam menfaldende med brevet af 22. april 2021 fra CFCS til TDC, hvor CFCS anførte, at en passende og forholdsmæssig løsning indebærer, at risi koen for den danske stat i udgangspunktet ikke bliver større, end hvis testen gennemføres af HCSEC.

TDC har anført, at krav om udlevering af kildekolde og sikring af binær ækvivalens er forhold, der heller ikke har kunnet opfyldes af HCSEC.

At også HCSEC har haft vanskeligheder ved at sikre udlevering af fuld kildekolde og sikring af binær ækvivalens understreger således i sig selv de sikkerhedsmæssige risici ved Aftalen.

CFCS finder i øvrigt anledning til at påpege, at CFCS’ afgørelse beror på en samlet vurdering, og at DWDM-netværkets nuværende og sti gende betydning for det danske samfund sammenholdt med de øvrige omstændigheder i sagen under alle omstændigheder indebærer sikker hedsmæssige risici, uanset det testregime, der konkret måtte blive etab leret.

Der henvises i den forbindelse også til CFCS’ brev af 7. december 2020, hvor CFCS anbefalede, at TDC søger at afslutte det pågældende leve

randørforhold så hurtigt, som det er muligt under fornøden hensynta gen til det forsyningssikkerheden.

Mindre indgribende foranstaltninger Det er en forudsætning for anvendelse af beføjelserne i telesikkerheds lovens § 3, stk. 1, og 2, at CFCS har forsøgt at rådgive teleudbyderen om de aftaletilpasninger eller sikkerhedsmæssige ændringer af kritiske komponenter, systemer mv., som vil være nødvendige for, at der ikke længere vurderes at være en væsentlig trussel mod statens sikkerhed.

CFCS skal også have overvejet de relevante muligheder i lov om sikker hed i net og tjenester, f.eks. muligheden for at påbud om konkrete sik kerhedsforanstaltninger.

TDC har i den forbindelse gjort gældende, at det ikke ses at være doku menteret, at mindre indgribende foranstaltninger har været foreslået af CFCS, ligesom TDC ikke er blevet påbudt at foretage foranstaltninger eller alternative foranstaltninger.

CFCS vurderer, at de ovennævnte forudsætninger er opfyldt, idet TDC løbende har modtaget rådgivning om rammerne for den sikkerheds mæssige håndtering af NCE-T managementsystemet i lyset af den manglende HCSEC-evaluering, jf. bl.a. det nævnte brev af 12. maj 2021 samt de mundtlige og skriftlige tilkendegivelser, som CFCS er frem kommet med over for TDC henholdsvis den 26. april og 9. maj 2022.

CFCS henviser endvidere til de drøftelser, der i løbet af 2022 på forskel lige niveauer har fundet sted mellem TDC og CFCS med henblik på at afsøge mulighederne for mindre indgribende løsninger end dem, der er hjemlet ved telesikkerhedsloven.

Det er endvidere CFCS’ opfattelse, at de ovenfor nævnte forudsætnin ger ikke indebærer et krav om, at der forinden skal være udstedt sikker hedsmæssige påbud, før bestemmelserne i telesikkerhedsloven, men alene at CFCS i forbindelse med sagen overvejer, hvorvidt sikkerheds mæssige påbud i medfør af lov om sikkerhed i net og tjenester og regler udstedt i medfør af denne lov er egnede til at opnå det forfulgte formål.

CFCS har foretaget sådanne overvejelser og fundet, at der ikke kan pe ges på sikkerhedsmæssige påbud, der er egnede til at opnå det forfulgte formål, der er at mitigere den væsentlige trussel mod statens sikkerhed, som CFCS vurderer, at Aftalen og den fortsatte anvendelse af udstyr indkøbt under Aftalen udgør.

CFCS finder i den forbindelse, at TDC’s argument om, at forslag fra CFCS skal være fremkommet efter lovens ikrafttræden for at kunne medregnes, må afvises. Det fremgår af de specielle bemærkninger til ikrafttrædelsesbestemmelsen i telesikkerhedslovens § 17, at loven vil kunne håndhæves, og at CFCS vil kunne træffe afgørelser efter lovens kapitel 2, 3 og 8 fra den 1. juli 2021. Det fremgår samme sted, at CFCS fra lovens ikrafttræden vil kunne træffe afgørelser efter lovens § 3, stk. 1 og 2, når disse aftaler er indgået den 7. december 2020 eller senere.

Det er CFCS’ opfattelse, at de ovennævnte forudsætninger om rådgiv ning mv. skal ses som en række forhold, der skal være til stede, for at CFCS kan træffe afgørelse efter telesikkerhedsloven.

Det afgørende er, at forudsætningerne for at træffe afgørelsen er til stede på afgørelsestidspunktet, hvilket tidspunkt skal ligge efter den 1. juli 2021, uanset hvornår rådgivningen mv. måtte være foretaget.

4.2.4. Hensynet til forsyningssikkerheden Afviklings- og ophørsfristen fastsættes i medfør af telesikkerhedslovens § 3, stk. 3, til henholdsvis den 31. december 2026 og 1. januar 2027.

Ved fastsættelsen af denne frist har CFCS foretaget den afvejning, der efter forarbejderne til bestemmelsen er påkrævet, og CFCS har i den for bindelse lagt vægt på de oplysninger om tidshorisonten for en fuld stændig udskiftning, som TDC er fremkommet med i høringssvaret af 7. november 2022 som uddybet ved den supplerende risikovurdering af 27. januar 2023.

CFCS har derved i vidt omfang imødekommet TDC’s anmodning om, at afviklingsfristen fastsættes til 4 år, hvorved CFCS anerkender, at eventuelle udfordringer med leveringstider på nødvendige komponen ter mv. efter omstændighederne må betragtes som forhold uden for TDC’s kontrol.

CFCS finder dog samtidig, at TDC allerede nu kan tage højde for even tuelle udfordringer forbundet med knaphed på personalemæssige res sourcer, hvorfor den fastsatte frist på baggrund af en samlet vurdering anses som passende.

CFCS skal i den forbindelse bemærke, at i det omfang, at der i det se nere forløb måtte foreligge væsentligt ændrede forhold, som en loyalt agerende teleudbyder ikke med rimelighed kan forventes at træffe de fornødne forholdsregler imod, vil CFCS efter anmodning fra TDC være indstillet på at genoptage afgørelsen for så vidt angår spørgsmålet om fristfastsættelsen, jf. herved det under afsnit 3.2.1 ovenfor anførte om de hensyn, der bør inddrages i den forbindelse.

4.2.5. Øvrige forhold TDC har anført, at der ved høringerne af Erhvervsstyrelsen, Energisty relsen og Styrelsen for Dataforsyning og Infrastruktur ikke er givet de hørte myndigheder en reel mulighed for at forholde sig til afgørelsen og dens konsekvenser.

TDC har i den forbindelse anført, at de efter TDC’s opfattelse korte hø ringsbreve og høringssvar må tages til udtryk for, at der ikke har været grundlag for at komme med mere udførlige kommentarer.

CFCS deler ikke denne opfattelse og finder, at de foretagne myndig hedshøringer er i overensstemmelse med telesikkerhedslovens § 5, stk. 3.

Det fremgår således af forarbejderne til bestemmelsen, at CFCS er for pligtet til at inddrage de myndigheder, der nævnes i bestemmelsen, in den CFCS træffer afgørelse.

Som det fremgår af høringsbrevene til Energistyrelsen og Erhvervssty relsen af henholdsvis 1. og 6. september 2021, modtog myndighederne en orientering om sagen, ligesom myndighederne modtog kopi af Afta len.

Myndighederne er således blevet inddraget i sagen og har haft et kvali ficeret grundlag at afgive deres udtalelser på.

CFCS bemærker i øvrigt, at de hørte myndigheder tilsyneladende ikke har haft betænkeligheder ved at afgive deres udtalelser på det førom talte grundlag.

4.3. Ekspropriation Det følger af telesikkerhedslovens § 4, stk. 1, at CFCS i det omfang, det er nødvendigt for gennemførelse af forbud efter lovens kapitel 2, hvori § 3, stk. 1 og 2, indgår, kan iværksætte ekspropriation.

4.3.1. Grundlaget for vurderingen af, om et indgreb er ekspropriativt Som anført i de specielle bemærkninger til lovens § 4 følger det af grundlovens § 73, at to overordnede betingelser skal være opfyldt, før der er tale om ekspropriation i grundlovens forstand. For det første skal indgrebet være rettet mod ”ejendom” , som er beskyttet efter grund lovens § 73. For det andet skal indgrebet være ekspropriativt (der skal være tale om afståelse).

Det er almindeligt antaget, at grundlovens § 73 ikke kun beskytter ejen domsret i traditionel forstand. Også begrænsede rådighedsrettigheder såsom brugsrettigheder, servitutter og panterettigheder, rettigheder i henhold til private aftaler og ret til erhvervsvirksomhed er beskyttet af grundlovens ejendomsbegreb.

Det er i den forbindelse almindeligt antaget i den forfatningsretlige lit teratur og i praksis, at lovgivningsmagten – uden at der foreligger eks propriation – kan regulere udøvelsen af de rettigheder, som er beskyttet af grundlovens § 73, idet lovgivningsmagten bl.a. kan opstille alminde lige regler om begrænsninger i borgernes handlefrihed og i deres råden over, hvad de ejer.

Det er endvidere antaget, at spørgsmålet om, hvorvidt et indgreb har karakter af ekspropriation, må bero på et samlet skøn over indgrebets beskaffenhed. Som momenter, der kan tillægges betydning ved udøvel sen af dette skøn, kan der navnlig peges på indgrebets formål og be grundelse (causa), indgrebets intensitet, i hvilken grad indgrebet er ge nerelt eller konkret (herunder om det rammer mange eller få personer), og om indgrebet går ud på at overføre rettigheden fra den hidtidige ejer til en ny eller på en tilintetgørelse af denne råden.

4.3.2. Vurderingen i den konkrete sag

TDC har i sit høringssvar af 7. november 2022 anført, at CFCS’ afgørelse vil udgøre ekspropriation og har henvist til, at indgrebet er konkret og alene målrettet en konkret aftale og konkrete parter, ligesom begrundel sen (causa) ifølge TDC er uklar og baserer sig på forhold, der under alle omstændigheder ikke kan tilskrives TDC, men derimod beskyttelse af samfundsrisici.

Herudover har TDC anført, at det ikke er korrekt, at afgørelsen har en meget begrænset intensitet.

De anførte forhold giver ikke CFCS anledning til at ændre den vurde ring, som CFCS har redegjort for i partshøringsskrivelsen af 10. oktober 2022.

Det er således CFCS’ samlede vurdering, at nærværende afgørelse om forbud mod opretholdelse af Aftalen samt forbud mod fortsat anven delse af kritiske netkomponenter mv. leveret under Aftalen ikke har ekspropriativ karakter, og at det derfor ikke er nødvendigt for CFCS at iværksætte ekspropriation af privat ejendom for at gennemføre afgørel sen.

CFCS lægger til grund, at afgørelsen om at forbyde opretholdelse af Af talen og den fortsatte anvendelse af udstyr indkøbt under Aftalen inde bærer et indgreb i ”ejendom” efter grundlovens § 73, idet TDC bliver begrænset i dets råden over rettigheder efter den indgåede Aftale og udstyr indkøbt under Aftalen.

CFCS finder imidlertid samtidig, at det indgreb i TDC’s ejendom, som afgørelsen udgør, ikke har karakter af afståelse og dermed ikke er eks propriativt, jf. nærmere i det følgende.

Afgørelsen har efter CFCS’ opfattelse overordnet set følgende indvirk ning på TDC:

1. TDC bliver afskåret fra fuldt ud at udnytte leveranceaftalens for

længelsesoptioner, men afgørelsen griber ikke ind i leveranceaf talens aftalte løbeperiode, idet afgørelsen indebærer en afvik lingsfrist, der ligger to år ud over leveranceaftalens aftalte løbe periode.

2. Afgørelsen er med hensyn til supportaftalen sammenfaldende

med den aftalte udløbsdato, og TDC vil blive afskåret fra at ud nytte supportaftalens forlængelsesoptioner.

3. TDC vil blive afskåret fra at anvende det udstyr, som er indkøbt

under Aftalen, herunder NCE-T management systemet.

For så vidt angår pkt. 1) finder CFCS, at fastsættelsen af afviklingsfri sten, hvorved denne er to år længere end Aftalens udløb, medfører, at forbuddet i relation til opretholdelsen af Aftalen har meget begrænset intensitet.

At TDC uden nærmere begrundelse har anført, at det er helt sædvan ligt, at man ikke indgår aftaler, der dækker netværkets fulde levetid, kan efter CFCS’ opfattelse ikke føre til en anden vurdering.

CFCS er vedr. pkt. 2) og 3) opmærksom på, at en påtænkt afgørelse, hvor TDC afskæres fra pr. 31. december 2026 at udnytte supportaftalens forlængelsesoptioner og dermed udnytte supportaftalen til f.eks. at modtage softwareopdateringer, og at TDC efterfølgende vil blive afskå ret fra at anvende udstyr indkøbt på Aftalen, i sagens natur vil have en vis forstyrrende indvirkning på TDC’s virksomhed og være forbundet med økonomiske konsekvenser.

Intensiteten af denne forstyrrelse og de dertil forbundne omkostninger vil dog efter CFCS’ opfattelse i høj grad blive modereret af, at der vil være tale om en afviklingsfrist på over 3½ år, og at denne afviklingsfrist som nævnt går ud over leveranceaftalens periode.

Causa-kriteriet CFCS tillægger det betydelig vægt, at afgørelsen er truffet for at af værge en væsentlig trussel mod statens sikkerhed, som det ikke vurde res at være muligt at håndtere med mindre indgribende foranstaltnin ger.

Som der er redegjort for under afsnit 4.2.1 ovenfor, vil det være forbun det med omfattende konsekvenser, såfremt TDC’s DWDM-netværk blev kompromitteret.

Denne afgørelse varetager således væsentlige og tungtvejende sam fundsmæssige interesser, hvilket efter CFCS’ opfattelse taler med bety delig vægt imod at anse afgørelsen for ekspropriativ.

Kriteriet generelt-konkret CFCS tillægger det vægt, at selv om indgrebet konkret rammer TDC, er indgrebet et udslag af anvendelsen af generelle regler og en vurdering ud fra saglige og objektive kriterier.

Indgrebet pålægges således ikke TDC vilkårligt, men er et udslag af en konkret vurdering om, at der er forhold ved TDC’s Aftale og kritiske netkomponenter leveret under Aftalen, der opfylder de kriterier, som efter telesikkerhedsloven kan udløse et forbud.

Indgrebet er samtidig hjemlet ved særlovgivning, der har haft virkning siden den offentlige høring over lovforslaget den 7. december 2020, hvorfor TDC har haft viden om, at selskabets status som teleleverandør indebærer, at levering af kritisk teleinfrastruktur af den art, der er om fattet af nærværende afgørelse, ville kunne blive genstand for regulato riske indgreb inden for rammerne af telesikkerhedsloven.

Overførselskriteriet CFCS tillægger det vægt, at afgørelsen ikke indebærer, at TDC’s ejen dom overføres til en anden part.

Afgørelsen indebærer som nævnt, at TDC begrænses i dets råden i hen hold til indgåede aftaler og i anvendelsen af allerede leveret udstyr.

Øvrige forhold CFCS tillægger det også vægt, at indholdet af rådgivningsforløbet op til kontraktindgåelse indikerer, at TDC var bevidste om, at en aftale med Huawei potentielt kunne aktualisere spørgsmål i tilknytning til telesik kerhedsloven, hvilket TDC også synes at anerkende i sit høringssvar af 7. november 2022, idet det heri er anført, at man i forbindelse med en kommende lovgivning, der ville forbyde TDC’s anvendelse af Huawei-udstyr, havde en dialog om exit-klausuler.

CFCS tillægger det endvidere vægt, at TDC’s daværende sikkerheds chef og legal director i december 2017 modtog en klassificeret briefing fra CFCS om de problemer, som CFCS havde identificeret i samarbejdet med Huawei.

Dette skete med orientering om, at sagen var need-to-know og ikke måtte drøftes internt i TDC, men at TDC var velkomne til at henvende sig igen, såfremt yderligere sikkerhedsgodkendte medarbejdere havde behov for den aktuelle viden. …”

TDC udsendte den 27. april 2023 en pressemeddelelse med overskriften ”TDC NET udfaser DWDM-samarbejde med Huawei” . Af pressemeddelelsen fremgår bl.a.:

”… Center for Cybersikkerhed (CFCS) har truffet den afgørelse, at vi hos TDC NET skal udfase samarbejdet med Huawei i vores centrale trans portnetværk (DWDM).

Udfasningen skal være på plads inden 1. januar 2027.

Vi har fuld tillid til myndighedernes vurdering og afgørelse, og vi føl ger naturligvis den afgørelse, der nu er truffet og går i gang med at im plementere den. Vi har ingen grund til at sætte spørgsmålstegn ved Centrets sikkerhedsfaglige vurdering – det er klart, at CFCS har en bre dere og dybere indsigt i forhold til beskyttelse af den nationale sikker hed, end vi har.

Sikkerhed er helt afgørende for TDC NET, og det går vi ikke på kom promis med. Derfor sætter vi stor pris på det tætte samarbejde om vores kritiske infrastruktur, som vi har med myndighederne. …”

Der blev den 29. juni 2023 afholdt et møde mellem TDC og CFCS. Som opfølg ning herpå vedrørende afgørelsens betydning for TDC’s anvendelse af NCE-T managementsystemet i TDC’s radiokædenetværk oplyste CFCS ved brev af 31. august 2023 bl.a.:

”… Det var på baggrund af de foreliggende oplysninger på afgørelsestids punktet CFCS’ vurdering, at der i forhold til NCE-T ikke ville kunne fo retages en adskillelse (segmentering) af forskellige anvendelsesscena rier, der var sikkerhedsmæssig forsvarlig, jf. afgørelsens afsnit 4.1.2.

Heri ligger bl.a., at i det omfang, der for anvendelsen af NCE-T til radi okæde kan etableres og påvises et regime, der vurderes som sikker hedsmæssigt forsvarligt, vil det efter omstændighederne kunne føre til, at NCE-T fortsat vil kunne anvendes til radiokæde efter den 1. januar 2027.

Sikkerhedsmæssigt forsvarligt skal i denne sammenhæng forstås som en tilrettelæggelse af anvendelsen af NCE-T, der ikke aktualiserer de re levante sikkerhedsrisici.

Det vil i den forbindelse være en bærende forudsætning, at der ved gennemført udskiftning til en ny DWDM-leverandør med eget manage mentsystem ikke er forbindelse mellem et NCE-T-styret radiokædenet værk og det nye DWDM-netværk.

Det er på det foreliggende grundlag CFCS’ vurdering, at denne forud sætning vil være til stede, når udskiftningen er gennemført.

3. Uanset ovenstående skal CFCS gentage, at afgørelsen af 21. marts 2023 omfatter et forbud mod opretholdelsen af aftalen af 7. december 2020, som NCE-T-platformen er leveret under. CFCS forudsætter der for, at en eventuel fortsat anvendelse af NCE-T til radiokæde kræver indgåelse af en ny aftale herom med Huawei.

En sådan aftale vedrørende anvendelse af NCE-T til radiokæde vil efter CFCS’ opfattelse være underlagt bestemmelserne i §§ 3-6 i bekendtgø relse nr. 258 af 22. februar 2021 om oplysnings- og underretningsfor pligtelser vedrørende sikkerhed i net og tjenester. …”

Efter et udbudsforløb indgik TDC i marts 2024 en rammeaftale med amerikan ske Ciena Corporations britiske afdeling Ciena Limited om levering af et nyt DWDM-netværk. Det nye netværk var på tidspunktet for hovedforhandlingen fortsat under levering og installation.

Parterne har fremlagt og under sagen henvist til en række tekniske rapporter og analyser vedrørende DWDM-netværk mv., herunder fra Analysys Mason om TDC’s DWDM-netværk og netværksstyringssystem, fra Copenhagen Econo mics om omkostninger for TDC ved overholdelse af CFCS’ afgørelse af 21. marts 2023, fra Azura vedrørende gennemgang af analysen fra Analysys Mason og fra teknisk notat fra TDC om forskellene mellem netværkene leveret af Hu awei og Ciena.

Der er under sagen gennemført syn og skøn. Skønsmand har den 21. januar 2026 afgivet følgende erklæring:

”… Spørgsmål 1: Den sagkyndige bedes (kort) redegøre for den teknologiske udvikling af DWDM-netværk i perioderne 2011-2019, 2020-2023 samt 2024 og til dato.

Svar på spørgsmål 1: WDM er en ca 50 år gammel metode til at sende mere trafik over en en kelt fiber. En standard optisk fiber, som bruges til kommunikation, har et brug bart spektrum på ca 75 THz og vil derfor teoretisk kunne flytte flere hundrede Terabit/s.

Problem er grundlæggende, hvordan man får fyldt så mange bit/s ind i fiberen. I de første optiske kommunikationssystemer brugte man avan cerede modulations formater og bredere frekvens spektre til at opnå hø jere bitrater.

De fleste optiske transmissionssystem fra 1990-2000 var baseret på en proprietær løsning uden kompatibilitet på tværs af leverandører, men fulgte i den overliggende elektronik enten den amerikanske SONET standard defineret af ANSI eller den internationale SDH-standard defi neret af CCITT (nu ITU-T), som trods mindre forskelle var kompatible.

Drevet af en meget kraftig vækst i datakommunikation op mod år 2000 og i et ønske om at standardisere både på det elektriske lag (SDH/SO NET) og det optiske lag valgte man i 2002 at standardisere brugen af den optiske fiber og opdele det optiske spektrum i kanaler af 100GHz – det var både drevet af begrænsninger i elektronikken og fysiske forhold der gør det svært at transmittere lys der er moduleret brede end 100GHz.

Hver 100GHz kanal skulle således have sin egen lyskilde med egen bøl gelængde (farve), som således vil kunne transmitteres på samme fiber -som andre bølgelængder - uden at de interfererer/forstyrer hinanden. Det grundlæggende princip i WDM var hermed blevet standardiseret.

WDM findes i 2 standardiserede versioner CWDM (Coarse Wavelength Division Multiplexing) og DWDM (Dense Wavelength Division Mul tiplexing), hvor CDWM er et WDM-system, som er billigere, da det bl.a. ikke kræver den samme temperatur styring, men heller ikke kan under støtte så mange bølgelængder (typisk 16) mens DWDM typisk under støtter 80 kanaler (og i nogle systemer op til 160 – afhængig af hvilken forstærker løsning man bruger).

Om man bruger CWDM eller DWDM afhænger meget af den afstand, man skal kommunikere over og om man selv ejer det optiske kabel, man skal bruge.

Et typisk optisk kabel på land har i dag 200-300 fibre, mens et søkabel typisk har 50. Ejer man således selv det optiske kabel, kan det være mere økonomisk at bruge 5 fibre med en CWDM-løsning end en enkelt fiber baseret på DWDM.

Effektiviteten af et optiske transmissionssystem afhænger ikke kun af kunne sende flest mulige bit/s over en fiber, men også af hvordan det samlede signal er genereret baseret på lavere bitrater fra mange forskel lige endepunkter. Denne aggregering af lavere bitrater til højere bitrater sker via multipleksning.

SDH/SONET var baseret på klassisk ”telefontrafik” og passede bedst i bitrate spring på en faktor 4 (2,5 Gbit/s – 10 Gbit/s – 40 Gbit/s) hvor da tatrafik, der med Internettets udbredelse voksede kraftigt, sprang med en faktor 10 (1 Gbit/s – 10 Gbit/s – 100 Gbit/s) SDH/SONET var derfor ikke særlig velegnet metode til at bære datatrafik fra flere forskellige endepunkter (kunder).

ITU-T udgav derfor en ny standard (G.709) for det elektrisk lag, hvor SONET/SDH erstattes af OTN, som er mere effektiv i forhold til datatra fik og som samtidig er mere velegnet til administration (management) af et optisk net, der deles af flere operatører (multi tenant). OTN er sta dig den dominerende elektriske multipleks struktur både for enkelt bøl gelængde systemer og WDM-systemer.

Spørgsmål 2: Den sagkyndige bedes (kort) redegøre for forventningerne til den frem tidige teknologisk udvikling af DWDM-netværk inden for en (hvis mu ligt) tidshorisont af 3-5 år.

Svar på spørgsmål 2: Behovet for mere kapacitet (og dermed højere bitrater) har generelt væ ret stagnerende de sidste 5 år. Der er stadig en stigning i mobildata, men i det samlede billede er det marginalt.

Den drivende faktor for mere kapacitet har være video trafik (NET FLIX, YOUTUBE etc) med da opløsningskvaliteten har nået et maksi mum med 4K (eller måske allerede inden) vil det ikke længere drive et stigende behov. Nogle fremfører at ChatGPT, Copilot og lignende vil tage over, men det må bero på manglende indsigt i hvordan AI LLM fungerer.

Introduktionen af flex-grid viser også at man satser på nye metoder til at tilpasse behov i det optiske domæne. Det er dog tvivlsomt om denne fleksibilitet er nødvendig i forhold til fleksibiliteten i OTN på det elek troniske lag. Flexgrid giver mulighed for både at gå op og ned kanal bredden og dermed have højere kapacitet på en enkelt bølgelængde, men ofte kun over kortere afstande p.g.a. ulineariteter i en standard fi ber.

Det må forventes at leverandørerne fortsat vil levere højere bitrater, men p.g.a. grundlæggende fysiske begrænsninger vil man næppe komme højere en 1 Tbit/s per 100 GHz kanal da det svarer til en spek

traleffektivitet på 10 som er meget højt for enhver teknologi (i trådløs teknologi ligger den på ca. max 5).

Fleksibiliteten vil forøges i det optiske domæne, hvor det operere med kanaler på 50 GHz, 25 GHz og 12,5 GHz til understøttelse af lavere bitrater. Denne fleksibilitet kan dog allerede opnås på det elektriske lag ved brug af OTN multiplekss strukturen Endelig vil brugen af AI/ML i kombination med SDN (Software Defined Network) give muligheder for en mere automatiseret og forbrugsstyret konfiguration af nettet. Dette kan dog komme til at påvirke drift stabiliteten af nettet og nettets robusthed som der er høj bevågenhed omkring i forhold til telenettet betydning som kritisk infrastruktur.

Som følge af dette vurderes det at der ikke vil være teknologiske udvik linger, som er essentielle og kritiske i de kommende 3-5, ligesom der heller ikke har været det i de foregående 3-5 år. Det vil være ”nice to have” not ”need to have” – i modsætning til den teknologiske udvikling der skete fra ca 2000-2010, hvor en udskiftning af DWDM-nettene til OTN baserede net var en nødvendighed for at tilpasse sig markedet.

I rapporten fra AZURA (bilag AW) gøres der meget ud af at fremhæve behovet for understøttelse af flexgrid, IPoDWDM og åbne systemer, der fjerner den leverandør lås, som både det nuværende Huawei og det kommende Ciena net har.

Jeg er meget uenig i de konklusioner som drages i rapporten og mener at AZURA i høj grad misforstår de behov TDC Net har til deres DWDM løsning. Deres analyse retter sig primært mod datacenter operatører så som Google, Microsoft og lignende – og hvor markedet for DWDM-net sandsynligvis er størst.

Flexgrid (der er standardiseret af ITU-T) kan i flere sammenhænge give god mening, men er ikke en absolut nødvendighed da TDC’s net i høj grad bruges intern transport af data (70%) og fordi lignende fleksibilitet kan i det overliggende OTN lag.

Ideerne omkring IPoDWDM og åbne system er i høj grad rettet mod sammenkobling af datacenter intern kommunikation i datacentre og er ikke særligt anvendelige i klassiske telenet, hvor behov for meget høj drift sikkerhed er særdeles vigtigt. IPoDWDM simplificerer nettet ved at fjerne det elektriske OTN lag, men fjerner dermed også de vitale overvågningsmekanismer, som er en meget vigtig del af OTNlaget. Det vil f.eks være vigtigt ved fejl på en transponder eller kabelbrud, hvor OTN laget sikrer at disse driftforstyelser detekteres og lokaliseres i lø bet af få millisekunder og omlægges til andre dele af nettet.

Ligeledes negligeres ofte de datasikkerheds problemer, der følger med brugen af åbne system.

Spørgsmål 3: Skønsmanden bedes i tilknytning til spørgsmål 1 og 2 (kort) redegøre for

i. om den fysiske holdbarhed og levetid af udstyr (dvs. hvor længe udstyret under optimale/gode forhold og løbende vedligehold kan forventes at leve/fungere), der indgår i et DWDM-netværk er den samme som den kommercielle levetid (dvs. en reelle levetid, før en opgradering er relevant for at fastholde markedsposition og kvalitet af tjenesteudbuddet), og hvis ikke,

ii. hvad forskellen erfaringsmæssigt er?

Svar på spørgsmål 3: Som en del af operatørens kernenet er DWDM udstyret designet til at have meget lang fysisk holdbarhed – minimum 10 år, men reelt nok nærmere 20-25 år.

Levetiden vil i høj grad afhænge af, hvor længe leverandøren vedbliver med at supportere produktet, og de servicekontrakter de er villige til tilbyde.

Den primære årsag til udskiftning af et DWDM-net (normalt vil man udskifte hele nettet da blandede systemer kan påvirke drift stabiliteten uheldig) er store strukturelle ændringer i resten af nettet (så som inter nettets hurtige vækst) der krævede nye metode og standarder for drift af et telenet eller ændret bruger adfærd der kræver signifikant mere ka pacitet, som ved overgang fra flow-TV til on demand video (drevet af YouTube og Netflix, men i dag bruges af alle inklusiv YouSee).

Da DWDM-nettet hos TDC Net primært er et internt net vurderes det at spille en mindre rolle i TDC’s markedsposition.

Spørgsmål 4: Den sagkyndige bedes i tilknytning til spørgsmål 1-3 redegøre for, om der overordnet kan opstilles en cyklus for nødvendige løbende opgra deringer i DWDM-netværksudstyr, hvis et DWDM-netværk skal følge med den teknologiske- og markedsmæssige udvikling.

Den sagkyndige bedes lægge til grund, at DWDM-netværket efter nord europæiske standarder stedse skal kunne betragtes som blandt de bed ste (som minimum skal kunne fastholde en markedsledende position).

Svar på spørgsmål 4: I modsætning til access delen af telenettet, kan man ikke på samme måde tale om en cyklus for behov for større opgradering af et DWDM-net.

Nogle gange kan der være behov for en større opgradering allerede ef ter 5-10 år andre gange kan levetiden af et DWDM-net være op til 25 år, hvis det løbende vedligeholdes og hvis der eksempelvis er understøt telse for ”alien wavelengths” .

Spørgsmål 5: Den sagkyndige bedes opliste, hvilke oplysninger af teknisk, forret ningsmæssig eller anden karakter om

- Huawei-netværket,

- Ciena-netværket, - TDC NETs DWDM-strategi, og/eller - andre forhold,

der er nødvendige for, at den sagkyndige kan lave en udefra kom mende, detaljeret teknisk og funktionel sammenligning af Huawei-net værket med Ciena-netværket og for at den sagkyndige kan besvare re kvirentens spørgsmål 7– 16?

Svar på spørgsmål 5: Basalt set er der behov for viden omkring størrelse af det oprindelige net (Huawei) dets topologi og delkomponenter der bruges. Ligeledes er der behov for viden omkring de link-moduler der anvendes (bitrate og protokol).

Begge leverandører baserer sig på internationale standarder fra ITU-T og variationsmulighederne er derfor begrænsede.

For en teleoperatør vil opbygningen af DWDM i reglen være opbygget udfra behov og ikke så meget strategi. En teleoperatør strategi vil som oftest ligge i de andre dele af nettet (access og metro/aggregering) som så afføder et behov til kernenettet. Af hensyn til vurdering omkring ibrugtagningen af det nye net – og overgangsperioden med paralleldrift vil det, af hensyn til vurdering af risici for driftsforstyrrelser og/eller af brydelse, være brugbart at have oplysninger om fiberkablerne f.eks. om ejerforhold, antal af bølgelængder i brug og hvilke bitrater de bærer.

Spørgsmål 6: Den sagkyndige bedes vurdere, om de oplysninger, som efter svaret på spørgsmål 5 er nødvendige for at detaljeret sammenholde Huawei-net værket med Ciena-netværket og give en fagligt tilstrækkelig og forsvar lig besvarelse af spørgsmål 7-16, findes i de bilag, der er indleveret til retten i sagen?

Hvis oplysningerne ikke findes i sagen, bedes den sagkyndige anmode TDC NET om at udlevere alle de oplysninger, der efter den sagkyndi ges opfattelse er nødvendige for at give en fagligt forsvarlig og tilstræk kelig besvarelse af de stillede spørgsmål.

Svar på spørgsmål 6: Som udgangspunkt vurderes det, at der i bilagene (kombineret med al mindeligt offentligt tilgængeligt materiale) er tilstrækkelige oplysninger til rådighed for at kunne besvare spørgsmål 7-16 på et niveau sammen lignelig med analyserapporten i bilag 7.

Besvarelserne er især baseret på: ”Bilag 7 Analysys Masons ekspertsrapport af 14. september 2023” ”Bilag AW - Azura-DRA-DWDM Assessment Report” ”Bilag 4 Support Agreement mellem TDC NET og Huawei fra 19. maj 2011” ”Bilag 88 - TDC NET præsentation benævnt TDC NETs DWDM - Intro duction to network and products_dateret 11. april 2024” ”Bilag 73 - Teknisk notat - Ciena versus Huawei”

” Bilag 79 - Fakturaer for indkøb relateret til DWDM netværket i perio den frem til 31. august 2025 Bilag 80 - Fakturaer for indkøb relateret til DWDM netværket i perioden frem til 20. oktober 2025 ”Bilag AD - TDC NETs risikovurdering af 27. januar 2023.pdf”

Spørgsmål 7: Den sagkyndige bedes redegøre for, om Ciena-netværket, når det står færdigt:

i. Vil være enten funktionelt tilsvarende Huawei-netværket eller funktionelt bedre end Huawei-netværket?

ii. Vil give andre fordele, herunder men ikke begrænset til min dre/lettere vedligeholdelse, mulighed for effektivitetsforbedrin ger, kommercielt forlænget levetid?

iii. Vil give TDC NET bedre mulighed for at integrere og interagere med komponenter fra andre leverandører?

Spørgsmålene bedes så vidt muligt besvaret, også selvom der i sagen måtte mangle oplysninger om, hvordan TDC NET gennemfører ud skiftningen af Huawei-netværket med Ciena-netværket og oplysnin gerne ikke kan indhentes fra TDC NET, jf. spørgsmål 6.

I så fald bedes skønsmanden besvare spørgsmålet ud fra a) de forelig gende oplysninger, b) suppleret af den sagkyndiges antagelser om Hu awei-netværket og Ciena-netværket baseret på den sagkyndiges kend skab til disse leverandørers udstyr, samt c) den sagkyndiges kendskab til det marked TDC NET henvender sig/gerne vil henvende sig til med sine ydelser.

Skønsmanden bedes angive, hvilke usikkerheder det medfører for be svarelsen, at der mangler oplysninger.

Spørgsmålet bortfalder, hvis den sagkyndige – i fraværet af oplysninger – vurderer, at det ikke er fagligt forsvarligt at basere et svar på de fore liggende oplysninger suppleret af den sagkyndiges egne antagelser.

Svar på spørgsmål 7: Da begge net løsninger følger internationale standarder fra ITU-T (del af FN-organisationen) vil de også være meget lig hinanden.

Der er ikke noget der skulle argumentere for drift fordele (eller andre fordele) ved skiftet. Det nuværende Huawei net har allerede 400 Gbit/s interfaces, er forberedt for flexgrid og og Huawei er aktiv i undersøgel serne af mulighederne i åbne systemer. Den kommercielle levetid vil derfor også være sammenlignelig.

TDC fremfører i deres risikovurdering og sammenligning af de to leve randører, at Huawei og Ciena forholder sig forskelligt til komponentle vetid. Da begge leverandører har været på markedet i mange år (og i prissætning er meget identiske) vil jeg ikke vurdere at det er en reel be kymring, da markedet ville have reageret på markant forskel i kompo nent levetid.

Spørgsmål 8: Den sagkyndige bedes i tilknytning til spørgsmål 7 redegøre for, om Ci ena-netværkets fremtidige drift fra og med 1. januar 2027 forventeligt vil medføre sparede omkostninger sammenlignet med, hvis TDC NET skulle have fortsat driften af Huawei-netværket efter 1. januar 2027.

” Sparede omkostninger” skal forstås bredt som omfattende ikke kun di rekte besparelser på driften; men alle økonomiske fordele hvor udgiften

ved Ciena-netværket vil være lavere, end hvis TDC NET efter 1. januar 2027 var fortsat med Huawei-netværket. Den sagkyndige bedes således ved besvarelsen i relevant omfang inddrage den sagkyndiges besva relse af spørgsmål 7 om Ciena-netværket kontra Huawei-netværket.

Hvis der er sparede omkostninger ved Ciena-netværket, bedes disse så vidt muligt kvantificeret.

Spørgsmålet bedes så vidt muligt besvaret, også selvom der i sagen måtte mangle oplysninger om, hvordan TDC NET gennemføre udskift ningen af Huawei-netværket med Ciena-netværket, og oplysningerne ikke kan indhentes fra TDC NET, jf. spørgsmål 6.

I så fald bedes skønsmanden besvare spørgsmålet ud fra a) de forelig gende oplysninger og b) suppleret af den sagkyndiges antagelser om Huawei-netværket og Ciena-netværket baseret på den sagkyndiges kendskab til disse leverandørers udstyr.

Skønsmanden bedes angive, hvilke usikkerheder det medfører for be svarelsen, at der mangler oplysninger.

Svar på spørgsmål 8: Det er svært at se hvor besparelsen i driftsomkostninger skulle komme fra – normalt vil leverandør skifte kræve en indlæringskurve for perso nalet, der bruger udstyret, så i starten må man forvente en forøget drift udgift, som så med tiden vurderes at falde til det nuværende niveau.

Spørgsmål 9: Skønsmanden bedes redegøre for, om det teknologisk og praktisk ville have været muligt for TDC NET at anskaffe og implementere et DWDM-netværk med tilsvarende funktionelle og ydelsesmæssige egen skaber som Ciena-netværk, inden for rammerne af de aftaler, der var indgået mellem TDC NET og Huawei, herunder Amendment 4 (bilag 6).

I vurderingen heraf bedes skønsmanden bl.a. forholde sig til:

i. Om den teknologi, der var omfattet af aftalerne med Huawei, kunne levere samme kapacitet, fleksibilitet, skalerbarhed, yde evne og funktionalitet som det indkøbte Ciena-netværk?

ii. Eventuelle forskelle i udviklingsniveau, teknologiarkitektur og muligheder for fremtidig skalerbarhed mellem Huawei-netvær ket og Ciena-netværket.

iii. Omfanget og karakteren af eventuelle nødvendige tilpasninger eller supplerende investeringer, der skulle have været foretaget, for at Huawei-netværket kunne opnå tilsvarende funktionalitet og ydeevne.

Skønsmanden bedes angive, hvilke usikkerheder det medfører for be svarelsen, at der mangler oplysninger.

Svar på spørgsmål 9: Begge leverandører bygger DWDM net ud fra nogenlunde samme filo sofi og har samme teknologiske formåen. Jeg er derfor meget sikker på at TDC net vil have kunnet opgradere deres nuværende net til samme niveau, funktionalitet, kapacitet mm som det nye Ciena net (meget sandsynligligt er det allerede på niveau).

Spørgsmål 10: Hvis skønsmanden under spørgsmål 9 vurderer, at det ikke ville være muligt at etablere et netværk med funktionelle og ydelsesmæssige egenskaber svarende til Ciena-netværket under rammeaftalen med Hu awei med tilhørende Amendment 4 (bilag 6), bedes skønsmanden rede gøre for, hvilke specifikke komponenter, teknologier eller funktionalite ter fra Huawei der ville være nødvendige for at kunne etablere et tilsva rende netværk, men som ikke var tilgængelige eller kunne indkøbes un der rammeaftalen med Amendment 4.

Svar på spørgsmål 10: Som nævnt under Q9 vil det være muligt – hvorfor spørgsmålet bortfal der.

Spørgsmål 11: Den sagkyndige bedes i tilknytning til de forudgående spørgsmål 7-10 redegøre for, om (og i givet fald i hvilket omfang) Ciena-netværket efter den sagkyndiges opfattelse repræsenterer en (evt. fremrykket) investe ring i udviklingen af TDC NETs DWDM-netværk, som TDC NET under alle omstændigheder på et tidspunkt efter marts 2023 ville skulle have foretaget, også hvis TDC NET ikke som følge af afgørelsen var blevet

pålagt at stoppe med at anvende NCE-T managementsystemet og OSN9800 og OSN1800-terminaludstyret fra 1. januar 2027.

Skønsmanden bedes angive, hvilke usikkerheder det medfører for be svarelsen, at der mangler oplysninger.

Svar på spørgsmål 11: Som det fremgår bilag 88 er det nuværende net løbende blevet opdate ret med kapacitet og ny teknologi (400Gbit/s of flexgrid) og ifølge bilag 7 er nettet langt fra max grænsen for samlet kapacitet. Det må derfor vurderes at det nuværende net vil kunne udbygges til at håndtere TDC’s kapacitets behov for periode på min 10 år. Der er således ikke noget, der umiddelbart ville have krævet en større udskiftning i TDC DWDM-net i de kommende år.

Spørgsmål 12: Den sagkyndige bedes redegøre for og i en prosaform beskrive, hvor dan TDC NET gennemfører overgangen fra Huawei-netværket til Ci ena-netværket og implementeringen af kunderne på Ciena-netværket?

I så fald bedes skønsmanden besvare spørgsmålet ud fra a) de forelig gende oplysninger b) suppleret af den sagkyndiges antagelser om Hu awei-netværket og Ciena-netværket baseret på den sagkyndiges kend skab til disse leverandørers udstyr, samt c) kontrakten med Ciena er indgået marts 2024 og overgangen skal være fuldstændig gennemført 1. januar 2027.

Skønsmanden bedes angive, hvilke usikkerheder det medfører for be svarelsen, at der mangler oplysninger.

Svar på spørgsmål 12: Overgangen er kortfattet beskrevet i bl.a. risikovurderingen fra TDC, hvor man opbygger det nye net helt parallel med det gamle og derefter flytter forbindelserne mens de er aktive.

Processen kan sammenlignes med den måde nettet agerer ved detek tion af en fejl, hvor få millisekunders afbrydelse kan forekomme. Det er derfor også noget der skal planlægges nøje og udføres med stor agtpå givenhed.

Spørgsmål 13: Den sagkyndige bedes i tilknytning til de forudgående spørgsmål, så vidt muligt, redegøre for i hvilket omfang de afholdte udgifter efter den sagkyndiges opfattelse er udtryk for noget, der repræsenterer en frem rykket investering i DWDM-netværket, jf. svaret på spørgsmål 11?

Svar på spørgsmål 13: Jeg henviser til besvarelsen af spørgsmål 11

Spørgsmål 14: Den sagkyndige bedes i tilknytning til spørgsmål 12 redegøre for, om metoden TDC NET anvender efter den sagkyndiges opfattelse er den mest egnede metode, når alle forhold så som netværksstabilitet og øko nomi tages i betragtning?

Spørgsmålet bortfalder, hvis spørgsmål 12 besvares på baggrund af den sagkyndiges egne antagelser, fordi der mangler oplysninger om, hvor dan TDC NET gennemfører overgangen.

Svar på spørgsmål 14: Metoden er overordnet beskrevet i risikovurderinger fra TDC og vurde res at være gennemtænkt og fornuftig. Jeg kan ikke umiddelbart se an dre og bedre løsninger.

Spørgsmål 15: Skønsmanden bedes redegøre for, om udskiftningen og omstillingen fra Huawei-netværket til et netværk leveret af Ciena (eller et andet net værk) kunne være gjort billigere, hvis den var blevet forberedt og påbe gyndt tidligere end marts 2023, og stadig skulle være gennemført til se nest 1. januar 2027?

Skønsmanden bedes besvare spørgsmålet ud fra følgende alternative begyndelsestidspunkter:

i. oktober 2019

ii. marts 2020

iii. december 2020, og iv. juni 2021

Hvis en tidligere start end marts 2023 kunne have medført en bespa relse ved overgangen fra Huawei-netværket til et andet netværk, bedes denne besparelse så vidt muligt kvantificeret.

Spørgsmålet bedes så vidt muligt besvaret, også selvom der i sagen måtte mangle oplysninger om, hvordan TDC NET gennemføre udskift ningen og omstillingen fra Huaweinetværket til Ciena-netværket, og oplysningerne ikke kan indhentes fra TDC NET, jf. spørgsmål 6.

I så fald bedes skønsmanden besvare spørgsmålet ud fra a) de forelig gende oplysninger b) suppleret af den sagkyndiges antagelser om Hu awei-netværket og Ciena-netværket baseret på den sagkyndiges kend skab til disse leverandørers udstyr, samt c) et genrelt udgangspunkt om, hvad den tid, som er til rådighed, betyder for omkostningerne ved omstillingen fra et DWDM-netværk til et andet.

Skønsmanden bedes angive, hvilke usikkerheder det medfører for be svarelsen, at der mangler oplysninger.

Svar på spørgsmål 15: Det er svært at forestille sig, at der kunne have været besparelser ved at starte udskiftningen tidligere.

Da Huawei nettet vurderes at være løbende vedligeholdt og opdateret, vil det være meget fornuftigt at starte udskiftningen så sent som muligt (med tilstrækkelig margin til at nå deadline 31/12/26).

Spørgsmål 16: Skønsmanden bedes redegøre for, om der i forbindelse med udskiftnin gen af Huaweinetværket med Ciena-netværket er en paralleldriftsperi ode, hvor begge netværk (enten helt eller delvist) er i samtidig drift, og om en sådan paralleldrift kunne give TDC NET teknologiske eller kom mercielle fordele. I vurderingen bedes skønsmanden bl.a. forholde sig til:

i. Om paralleldrift medfører potentielle økonomiske eller operatio nelle fordele, f.eks. i form af kapacitetsmæssig forøgelse, undgå else af nedetid, reducerede overgangsomkostninger eller øget fleksibilitet i implementeringen.

ii. Om der teknisk og driftsmæssigt var grundlag for at forvente så danne fordele.

iii. Om og i hvilket omfang de potentielle fordele ved paralleldrift kan reducere de samlede omkostninger ved anskaffelse og im plementering af et nyt netværk.

I så fald bedes skønsmanden besvare spørgsmålet ud fra a) de forelig gende oplysninger b) suppleret af den sagkyndiges antagelser om Hu

awei-netværket og Ciena-netværket baseret på den sagkyndiges kend skab til disse leverandørers udstyr.

Skønsmanden bedes angive, hvilke usikkerheder det medfører for be svarelsen, at der mangler oplysninger.

Svar på spørgsmål 16: TDC vil ikke kunne drage nogen økonomisk fordel af at have 2 syste mer kørende i paralleldrift. Begge systemer er designet til at kunne håndtere alle kapacitets- og interfacebehov som TDC har på det givne tidspunkt (periode) - den dobbelte kapacitet vil ikke gøre nogen forskel.

Hvis der omvendt sker en alvorlig kabel/fiber fejl mens der køres paral leldrift, vil det kunne medføre alvorlige driftsforstyrrelser og økonomi ske tab. Denne vurdering baseres på oplysningerne fra TDC i risiko do kumenterne, om at den sædvanlige redundans beskyttelse må sættes ud af funktion flere steder i nettet p.g.a. mangel på ekstra fibre/bølgelæng der andre steder i nettet.

Spørgsmål IA: Den sagkyndige bedes redegøre for, hvilke DWDM-leverandører, der var markedsledere på det europæiske marked for DWDM-netværk i pe rioden 2010-2012 målt på bl.a. kapacitet, markedsandele og teknologisk udvikling?

Svar på spørgsmål IA: Da valg af leverandør og hvorledes en operatør gør brug af en leveran dør, er fortrolig information kan dette spørgsmål ikke besvaret helt præcist (selvom diverse analyse firmaer som Dell’Oro Group udfærdige og sælger rapport herom).

Det er min vurdering at på verdensplan var Huawei i perioden 2010- 2012 sandsynligvis markedsførende på alle 3 parametre, hvor ALCA TEL/NOKIA og Ciena nok havde en lidt større markedsandel i Europa (på kapacitet og teknologisk udvikling var alle meget ens). Ericsson (sammen med ECI) havde også en del af det europæiske marked med en teknologisk løsning der var fuldt på højde.

Andre firmaer så som CISCO og INFINERA (nu en del af NOKIA) var også aktive på det europæiske marked, men med mere atypiske løsning (INFINERA afveg f.eks. meget fra ITU standarderne og kunne ikke un derstøtte ”alien-wavelength” som TDC NET ifølge bilagene bruger til deres MPLS net).

Spørgsmål IB: Den sagkyndige bedes redegøre for, om det i perioden 2010-2012 var sædvanligt for en udbyder af digital infrastruktur at vælge en DWDM-leverandør med sit eget proprietære "økosystem" af integrerede hardware-, software- og firmwareløsninger?

Den sagkyndige kan i den forbindelse lægge til grund, at TDC NET valgte Huawei som ny DWDM-leverandør i 2011 efter en udbudspro ces.

Svar på spørgsmål IB: På det tidspunkt, da TDC valgte Huawei som DWDM-leverandør, var det helt normalt at vælge en ”lukket” løsning, hvor samme leverandør leverer både hardware og de forskellige softwarekomponenter. Det gi ver helt sikkert den mest stabile løsning og sikkert også den billigste, men gør samtidig operatøren afhængig af en enkelt leverandør.

Der er i øjeblikket stor bevågenhed omkring åbne system, bl.a. drevet af filosofien omkring SDN (som nogle gange opfattes som en standard hvilket det ikke er). Åbne systemer skaber større fleksibilitet, men intro ducerer en række risici med hensyn til driftsikkerhed, hvorfor det næppe vil finde anvendelse i DWDM-nettet som det første. Ciena nettet er meget lig Huawei nettet – og havde det været et Ciena net som TDC net skulle have lukket ned (og erstattet med en Europæisk leverandør), ville situation have været meget identisk.

I analyserapporten i bilag 7 fremstår det som om Huawei har en speciel leverandør struktur. Det er ikke tilfældet. Det fremstår også som noget specielt, at Huawei ikke er med i Open ROADM-alliancen. Det er heller ikke noget specielt. Og selv de firmaer der er med, kan ikke levere sy stemløsninger baseret på åbne standarder. Alene af den grund at der ikke findes nogen standard og Open ROADM ikke har bemyndigelse til at lave standarder, men alene kan foreslå standarder til eksempelvis ITU-T, giver det ikke mening at kritisere at TDC ikke vælger en ”åben” løsning.

Spørgsmål IC: Den sagkyndige bedes oplyse, hvad den samlede overgangsperiode sædvanligvis bør fastsættes til i forbindelse med en totaludskiftning af et DWDM-netværk og dets tilhørende styresystem fra Huawei til et DWDM-netværk og dets tilhørende styresystem fra en ny leverandør (Ciena) henset til planlægning, test, paralleldrift og cut-over? Den sag kyndige bedes ved besvarelsen tage størrelsen og omfanget af det DWDM-netværk fra Huawei, som TDC NET havde implementeret, i betragtning.

Den sagkyndige kan lægge til grund, at TDC NET modtog afgørelsen den 21. marts 2023, og der er enighed om, at totaludskiftningen senest skal være foretaget den 31. december 2026. Den sagkyndige kan samti dig lægge til grund, at overgangen til et nyt netværk medfører en paral leldriftsperiode, jf. også CFCS' spørgsmål 17 til den sagkyndige. Endelig kan den sagkyndige lægge til grund, at både Huaweis DWDM-netværk og Cienas kommende DWDM-netværk udgør kritisk dansk infrastruk tur.

Svar på spørgsmål IC: Baseret på erfaring fra udskiftning af et DWDM-net, der nok var min dre end TDC’s DWDM-net, vil jeg vurdere at hele processen tager mini

mum 2 år. Tiden fra kontrakten er underskrevet og der foretages god kendelsestest vurderes til at tage 12-15 måneder.

Spørgsmål ID: Den sagkyndige bedes – uanset at fristen ifølge afgørelsen er den 31. de cember 2026 – redegøre for, hvornår Huaweis DWDM-netværk senest bør være erstattet med udstyr fra den nye DWDM-leverandør (Ciena) af hensyn til undgå service- og driftsforstyrrelser/nedbrud m.v.?

Svar på spørgsmål ID: Det er min erfaring denne slags udskiftning af kernenet planlægges me get nøje da fejl kan have katastrofale følger for rigtigt mange brugere af nettet. Derfor går udskiftning af DWDM net sjældent helt galt, men en sikkerhedsmargin på 3-6 vil være fornuftig. Ifølge de givne tidsrammer bør Huaweis nok være erstattet i sensommeren 2026.

Spørgsmål IE: Den sagkyndige bedes redegøre for, om overgangen til Cienas DWDM- netværk kan forventes – i hvert fald på sigt – at medføre forøgede inte grationsomkostninger for TDC NET sammenlignet med, hvis TDC NET havde beholdt og opgraderet det eksisterende DWDM-netværk fra Hu awei?

Svar på spørgsmål IE: Der må helt klart forventes en række ekstra omkostninger ved integra tion af et nyt net i forhold til en opgradering. Størrelsen af disse om kostninger har jeg dog ingen mulighed for at vurdere.

Spørgsmål IF: Den sagkyndige bedes redegøre for, hvilke tekniske og operationelle ri sici, som er forbundet med at opretholde en samtidig parallel drift af to DWDM-netværk såsom dem fra Huawei og Ciena, herunder - men ikke begrænset til - interoperabilitetsproblemer, kontinuitet og driftsmæssig kompleksitet?

Svar på spørgsmål IF: Hele overgangsfasen vil klart være forbundet med en lang række risici, da de to net (selvom de på papiret laver det samme) vil have forskellige brugergrænseflader og agere forskelligt. Det vil kunne åbne nye situa tion, som man ikke kan agere på erfaringsmæssigt og resultere i mulig hed for bl.a. menneskelige fejl.

Spørgsmål IG: I forlængelse af spørgsmål IF bedes den sagkyndige redegøre for, om TDC NET kan forvente meromkostninger i forbindelse med drift, over vågning, fejlhåndtering og vedligehold af to DWDM-netværk sammen lignet med driften af ét DWDM-netværk?

Svar på spørgsmål IG: Drift af 2 forskellige net må klart forventes at medføre ekstra udgifter i forhold til drift af samlet net.

Spørgsmål IH:

Den sagkyndige bedes redegøre for, om det er sandsynligt, at TDC NET kunne have opnået lavere priser på DWDM-udstyr, hvis der havde væ ret et udbud med flere deltagere – herunder Huawei – sammenlignet med et forløb, hvor Huawei ikke havde mulighed for at deltage? Hvis muligt, bedes den sagkyndige kvantificere prisforskellene.

Svar på spørgsmål IH: Normalt vil man forvente at et bredere udbud vil give bedre priser. Det er dog min klare opfattelse – baseret på de budrunder jeg selv har været involveret i - at der i budrunder for DWDM udstyr sjældent er den store forskel i pris, hverken i initiale omkostninger og i TCO -” cost of ownership” - for en periode på 10 år. Det er heller ikke min vurdering at pris er den vigtigste parameter i valg af leverandør.

Spørgsmål II: I lyset af TDC NET's nuværende DWDM-netværk fra Huawei, og den måde driften er organiseret på i dag, bedes den sagkyndige oplyse, om det er sandsynligt, at skiftet til Cienas DWDM-netværk vil medføre mærkbare besparelser eller øgede indtægter på lidt længere sigt i for hold til, hvis TDC NET havde fortsat med Huaweis løsning?

Svar på spørgsmål II: Det er umiddelbart svært at forstille sig, hvor eventuelle besparelser el ler øgede indtægter skulle komme fra som følge af leverandørskifte. Hvis det nuværende net har været grundig vedligeholdt og opdateret vil det funktionelt være sammenligneligt med det nye.

Spørgsmål IJ: Den sagkyndige bedes redegøre for, om Cienas DWDM-løsning kan forventes at matche eller være bedre end Huaweis, når det gælder kva litet og ydeevne set over hele netværkets levetid – eller om det er mu ligt, at Huaweis teknologi i visse tekniske henseender kan vise sig at være bedre?

Svar på spørgsmål IJ: Det er min klare opfattelse at løsningen fra de 2 producenter er meget sammenlignelige i kvalitet og - idet de begge følger ITU-T standarderne meget stramt - også er meget ens i de funktioner, de tilbyder, og i de netværks løsning man kan opbygge af deres delkomponenter.

Der kan forekomme forskelle i kontrol og managementsystemerne, som kan adskille de to systemer på det administrative plan, men derudover vil jeg vurdere at de på ligeværdig vis kan løse opgaven for TDC Net.

Spørgsmål IK: Den sagkyndige bedes redegøre for, om det at kunne vælge mellem flere forskellige optiske komponenter fra forskellige leverandører nød vendigvis giver et bedre fungerende netværk – set i lyset af de udfor dringer, der kan være med at få forskellige tekniske løsninger til at spille ordentligt sammen?

Svar på spørgsmål IK:

Det at kunne vælge komponenter fra flere forskellige leverandører vil primært have en effekt på den samlede initialinvestering, men vil med stor sandsynlighed introducere stor usikkerhed af driftstabilitet - og be sværliggøre ansvars pådragelse i forbindelse med eventuelle fejl.

Det er umiddelbart svært at forstille sig, at det vil medføre et bedre fun gerende netværk – tværtimod.

Da DWDM er rygraden i TDC NET’s infrastruktur, kan en fejl i denne del af nettet få katastrofale følger, og det vil ikke vurderes hensigts mæssigt at blande optiske komponenter fra forskellige leverandører i samme DWDM-net. …”

Der har under sagen været fremlagt en række nyhedsartikler, sikkerhedsvurde ringer fra PET og FE, ligesom TDC har fremlagt et særdeles omfattende materi ale angående registrering af tid for egne medarbejdere, som ifølge TDC har del taget i udskiftningen af DWDM-netværket og dertil knyttede opgaver.

Forklaringer Vidne 2, Vidne 7, Vidne 6, Vidne 1, Vidne 8, Vidne 9, Vidne 10, Vidne 11, Vidne 4Vidne 4 Vidne 4, Vidne 12, Vidne 13, Vidne 3, Vidne 14Vidne 14 Vidne 14, Vidne 5 og Skønsmand har afgivet for klaring.

Vidne 2 har som vidne forklaret bl.a., at han i dag er CEO i Royal Green land, men tidligere, i perioden fra primo 2020 til september 2022, var han vice president i TDC med ansvar for ”Vendor Management” . Mens han var ansat i TDC, havde han både kontakt til Huawei og CFCS. Han deltog somme tider i kvartalsmøder med CFCS, men ikke hver gang, idet disse ofte havde teknisk karakter.

Vidne 1, der var sikkerhedschef hos TDC, deltog altid i mø derne. I den tid, vidnet deltog i kvartalsmøderne, var der en rigtig god dialog, der var præget af samarbejde og åbenhed fra begge sider. De havde gode dis kussioner, hvor de på begge sider af bordet delte, hvad man havde af informa tioner. De drøftede også under møderne, at CFCS havde en direkte dialog med Huawei.

Nogle gange orienterede CFCS dem om, hvad der var sket i CFCS’ dia log med Huawei.

Den første skriftlige forståelse mellem TDC og CFCS blev indgået før vidnets tid i TDC. Da vidnet begyndte at deltage i dialogen med CFCS, var der en un derforstået accept fra CFCS’ side af, at TDC ikke kunne leve op til den skriftlige forståelse om, at der skulle ske test af Huaweis udstyr hos HCSEC i Storbritan nien. Der var herunder enighed om, at ingen af parterne havde kontrol over, hvad HCSEC gjorde.

Det blev under møderne aftalt med CFCS, at der kunne ske test af mindre kri tisk udstyr hos en anden leverandør af tests, f.eks. Atsec. Frem mod maj 2020 havde CFCS og TDC således praktiseret den skriftlige forståelse sådan, at man fik testet det udstyr, man kunne hos HCSEC, og prøvede at finde andre steder til det, der ikke blev testet hos HCSEC. Der var også omfattende dialog mellem CFCS og TDC angående ”Skriftlig forståelse nr. 3” , hvori det eksplicit indgik, at man måtte finde alternative steder at teste. ”Skriftlig forståelse nr. 3” blev dog aldrig indgået.

Han er først efterfølgende blevet bekendt med, at CFCS tog egne referater af kvartalsmøderne. Han kan ikke huske, om der var en drøftelse om fælles refera ter, og har ikke kendskab til, om TDC selv tog referat af møderne. Vidnets kon takt hos CFCS angående mere dagligdags spørgsmål var Person 2. Person 2 havde ofte Person 1 og Vidne 14 med.

Vidnet kan bekræfte, at der i maj 2020 blev offentliggjort et lovprogram, der kunne fortolkes sådan, at der kunne blive nedlagt et forbud mod anvendelse af hardware fra Huawei i teleindustrien. TDC blev i alle tilfælde bekymret over initiativerne, også selvom de i begyndelsen troede, at et eventuelt forbud kun ville angå 5G-netværket. I den periode var dialogen med CFCS dog fortsat god.

Han var involveret i dialogen med CFCS angående anmeldelsen i september 2020 i forbindelse med, at TDC agtede at indgå en forlængelse af aftalen med Huawei (”Amendment 4”). Han husker, at der var en omfattende dialog med både Huawei og CFCS herom. Han kan i dag ikke huske, hvornår CFCS mundt ligt blev orienteret om den mulige forlængelse af aftalen med Huawei.

Det var vigtigt for TDC at indgå en forlængelse af serviceaftalen med Huawei angående DWDM-netværket, da dette var helt essentielt for driften af deres samlede tele netværk. Det var særligt vigtigt for dem at indgå forlængelsen, da de var bange for, at Huawei ville trække sig fra det danske marked. DWDM-netværket er en helt central del af det danske telenetværk.

Det var et skrækscenarie at ende i en situation, hvor de ikke kunne få support til netværket. Det blev tilkendegivet overfor CFCS, der udtrykte forståelse for, at TDC var nødt til at have disse afta ler.

Efter de havde sendt anmeldelsen i september 2020, rykkede de flere gange Person 2 fra CFCS for en tilbagemelding herpå. Det er meget sandsynligt, at han også telefonisk rykkede Person 2 for en tilbagemelding på anmeldelsen. Person 2 svarede herpå, at en tilbagemelding var ”ude af hans hænder” .

Han kan bekræfte, at der blev udstedt et påbud den 30. november 2020, og at der blev afholdt et møde dagen efter, den 1. december 2020. De var i TDC me get overraskede og vrede over, at der pludselig kom et påbud den 30. november

2020, idet de flere gange, men uden held, havde forsøgt at få en tilbagemelding fra CFCS på anmeldelsen af ”Amendment 4” .

Foreholdt CFCS’ interne notat med mødereferat fra mødet den 1. december 2020 har vidnet forklaret, at det var et ”super underligt møde” , hvor Person 3 undskyldte lidt for forløbet. CFCS havde fået indtrykket af, at der skulle afholdes et bestyrelsesmøde i TDC den 1. december 2020, hvilket var årsagen til, at de havde travlt med påbuddet, men der var ikke noget bestyrel sesmøde den dag. Det undrede ham meget, at CFCS handlede på baggrund af et bestyrelsesmøde, som ikke fandt sted.

De fik en endelig tilbagemelding på aftalen den 7. december 2020, hvor aftalen blev godkendt af CFCS. Dette var samme dag, hvor den kommende telesikker hedslov blev sendt i høring. Det er vidnets klare opfattelse, at dette tidsmæssige sammenfald ikke var en tilfældighed.

Det står således relativt klart for vidnet, at CFCS ventede med at komme med sin tilbagemelding, så det kunne times med den offentlige høring af lovforslaget. CFCS anbefalede samtidig, at TDC af sluttede leverandørforholdet med Huawei. Dette var TDC ikke interesseret i. Der var for TDC ingen økonomisk, kommerciel eller teknisk grund til at ud skifte Huawei som leverandør af DWDM-netværket.

Under de møder, der efterfølgende blev afholdt med CFCS, insisterede CFCS på, at der kun kunne ske test af al udstyret hos HCSEC. Dette var nyt, og vidnet opfattede det sådan, at CFCS brugte dette argument som løftestang for at få le verandørforholdet mellem TDC og Huawei bragt til ophør. Det er vidnets klare opfattelse, at stemningen under møderne med CFCS også ændrede sig til det værre fra samme tidspunkt.

Foreholdt CFCS’ interne notat med mødereferat af 6. december 2021 fra mødet den 15. marts 2021 har vidnet forklaret, at TDC som kommerciel operatør under mødet gav udtryk for, at såfremt CFCS eksproprierede TDC’s ret, forventede selskabet at få erstatning herfor. Foreholdt præcisering af internt notat af 26. november 2021 af møde med TDC vedr.

DWDM den 15. marts 2021 har vidnet forklaret, at TDC hele tiden over for CFCS var transparente om, at man ønskede at forlænge serviceaftalen med Huawei til brug for kritiske elementer, men at man, hvis man blev tvunget ud af aftalen med Huawei, selvfølgelig ville kom penseres herfor økonomisk. Han kan ikke huske det præcise ordvalg, herunder om han benyttede ordet ”ekspropriationsstrategi” .

Det tror han ikke var tilfæl det. Vidnet har ikke set præciseringsnotatet, forud for at denne sag opstod. Det undrer vidnet meget, at CFCS den 26. november 2021, altså flere måneder efter at mødet havde fundet sted, udarbejdede et supplerende notat angående mø det. For ham virker det som en efterrationalisering.

Vidne 7 har som vidne forklaret bl.a., at han i perioden fra 2017 til de cember 2022 var ansat som CTO (”Chief Technical Officer”) i TDC. Han arbej der nu som COO (”Chief Operation Officer”) i Tusass A/S i Grønland. Da vid net blev ansat i TDC i 2017, overtog han ansvaret for kontakten med Huawei. Dengang var Huaweis netværk det bedste i landet. Ud fra et sikkerhedssyns punkt var der heller ingen problemer med Huawei. Huawei havde hverken færre eller flere problemer med sikkerheden i forhold til andre leverandører af tilsvarende udstyr.

I den periode, han var ansat i TDC, havde han også kontakt med CFCS. Han havde jævnligt møder med Person 3, der dengang var chef for CFCS. Møderne fandt sted kvartalsvist eller hvert halve år. Der var en åben og tillidsfuld dialog, hvor de involverede CFCS i TDC’s planer. De drøftede under møderne også Huaweis leverandørforhold til TDC.

Huawei var professionelle og havde høje tekniske standarder. I forhold til deres konkurrenter, Nokia og Ericsson, var Huawei på et meget højt niveau. Så vidt han ved, var Huawei underlagt det mest omfattende testregime ved HCSEC. Så vidt han var orienteret, foregik test af Huaweis udstyr hos HCSEC problemfrit.

Han var involveret, da TDC i oktober 2019 indgik et forlig med Huawei. For ligsaftalen angik flere områder, hvor Huawei havde været leverandør til TDC, herunder også til mobilnetværket 5G, hvilket ophørte. Han kan i dag ikke hu ske detaljerne, men så vidt han husker, var forligsaftalen også delvist associeret med DWDM-netværket.

De havde som nævnt en ”åben-bog-politik” i forhold til CFCS, så han er sikker på, at TDC på en passende måde informerede CFCS om, at de var i forligsforhandlinger med Huawei. Han kan dog ikke sige, om der var en formel anmeldelse af forligsaftalen i henhold til bekendtgørelse om oplysnings- og underretningspligt vedrørende net- og informationssikkerhed.

Vidnet oplevede ikke selv, at der i foråret 2020 skete et skifte i samarbejdet med CFCS, efter at Statsminister havde givet et interview angå ende anvendelse af kinesisk teleinfrastruktur. Han kan dog bekræfte, at der i hele Europa skete et holdningsskift, hvorefter der tiltagende blev set skævt til kinesiske leverandører til teleindustrien.

Han var involveret, da TDC i september 2020 anmeldte til CFCS, at man agtede at indgå en forlængelse af serviceaftalen med Huawei (”Amendment 4”). Det af Huawei leverede DWDM-netværk fungerede godt og var stabilt. TDC ønskede derfor at fortsætte kontraktforholdet med Huawei. De ønskede dog også at have en ”exit-mulighed” , så de kunne komme ud af aftalen, hvis der fra stats ligt hold blev nedlagt et forbud mod at anvende Huawei hardware til DWDM-netværket. Efter anmeldelsen var der en dialog, hvor der blev udvekslet nogle breve frem og tilbage mellem TDC og CFCS.

Forlængelsen af aftalen mellem Huawei og TDC skulle godkendes af selskabets bestyrelse i begyndelsen af november 2020. Aftalen blev drøftet på et bestyrel sesmøde, hvor bestyrelsen gav mandat til, at direktionen forlængede aftalen. Når bestyrelsen havde givet samtykket, ville aftalen også blive indgået.

Han blev informeret på sidelinjen, da CFCS den 30. november 2020 udstedte et påbud til TDC i henhold til bekendtgørelse om oplysnings- og underretnings pligt vedrørende net- og informationssikkerhed. Han kan både svare ja og nej til spørgsmålet om, hvorvidt TDC var overraskede over påbuddet.

På den ene side havde de en forventning om, at der ville blive skubbet på, på den anden side håbede de at kunne fortsætte med aftalen. TDC havde selv besluttet at af slutte samarbejdet med Huawei vedrørende 5G-netværket, mens de med DWDM-netværket besluttede sig for at fortsætte samarbejdet så længe som mu ligt.

De var dog opmærksomme på det politiske pres mod kinesiske leverandø rer, hvilket var årsagen til, at de som omtalt sikrede sig ”exit-klausuler” i kon trakten med Huawei.

Efter indgåelsen af ”Amendment 4” fortsatte Huawei både som leverandør af udstyr og support til DWDM-netværket. Dette fortsatte frem til, at han stop pede i TDC i december 2022.

Foreholdt opsummerende referat fra møde den 11. maj 2021 mellem TDC og CFCS har vidnet forklaret, at han ikke specifikt kan huske mødet den dag. Som regel deltog nogle fra TDC’s sikkerhedsafdeling sammen med ham, og så tog de referat. Han mener, at referaterne blev cirkuleret internt.

Vidne 6 har som vidne forklaret bl.a., at han siden 2019, hvor selska bet blev opsplittet, har været chefjurist i TDC NET A/S. Han har dog også tidli gere været ansat som jurist i TDC-koncernen, hvor han har været ansat i 25 år.

Han har deltaget i nogle af møderne mellem TDC og CFCS. De udarbejdede fra TDC’s side ikke egentlige referater af møderne, men de skrev internt mails til hinanden om, hvad der blev talt om på møderne, når der var behov herfor.

Han deltog i udarbejdelsen af ”Skriftlig forståelse nr. 1 og nr. 2” mellem TDC og CFCS. Han var en af koncipisterne af ”Skriftlig forståelse nr. 1” . Han var den gang juridisk afdelingschef for området for teleregulering i TDC-koncernen. Det samme gjorde sig gældende for ”Skriftlig forståelse nr. 2” , der blev indgået nogenlunde samtidig med, at TDC indgik en aftale med Huawei som leveran dør til mobilnetværket.

I forbindelse med udarbejdelse af ”Skriftlig forståelse nr. 2” indgik erfaringerne med, at det var vanskeligt at få tests igennem HC SEC. Derfor drøftedes alternativer med CFCS. Det var klart, at CFCS ønskede testning ved HCSEC, men TDC ønskede et alternativ.

Dialogen med det, der senere blev til CFCS, blev dog allerede indledt før ” Skriftlig forståelse nr. 1 og nr. 2” , nemlig allerede i 2011, da TDC indledte sam arbejdet med Huawei. Det var myndighedernes ønske, at test af Huaweis ud styr skulle ske i regi af HCSEC. Der opstod dog hurtigt problemer, fordi testnin gen ved HCSEC ikke skete i det tempo, begge parter ønskede, fordi HCSEC pri mært foretog test af udstyr, der skulle leveres til det engelske marked.

Testningen i HCSEC blev løbende drøftet under kvartalsmøderne mellem TDC og CFCS. Disse kvartalsmøder blev startet op allerede i forlængelse af ”Skriftlig forståelse nr. 1” . Han deltog ikke personligt i alle møderne, men han var inde over de interne drøftelser i forbindelse med møderne.

Det var vidnets opfat telse, at der under møderne fra CFCS’ side blev givet udtryk for en pragmatisk holdning til testningen ved HCSEC, således at man kunne benytte andre leve randører af tests, fx Atsec eller Brightsight, hvis der var behov for det, således at man kunne være i stand til at godkende opdateringer (”patches”) til software til Huaweis udstyr.Han har dog ikke været involveret i den operationelle del af testningen, så han husker ikke, hvad der er blevet testet hvor.

Han ved ikke, om Atsec og Brightsight har testet de omtalte patches.

Vidnet var på sidelinjen involveret i dialogen i 2018 og 2019 om ”Skriftlig for ståelse nr. 3” mellem TDC og CFCS. Han gennemgik teksterne og deltog i nogle af møderne herom. Under denne dialog blev testning i et andet regi end HCSEC drøftet. Vidnet gjorde det i dialogen med CFCS meget klart, at det var vigtigt for TDC, at der kunne ske testning andre steder.

De var meget tilfredse med formuleringerne om alternative testmuligheder i udkastet. Foreholdt udkast til ”Skriftlig forståelse nr. 3” af 20. december 2019, pkt. 6.a., har vidnet forklaret, at der var udstyr, der ikke kunne testes ved HCSEC. Ham bekendt var der ikke en sondring mellem test af udstyr og anden testning, herunder systemtest.

Nær mere foreholdt det pågældende afsnit af aftalen har han forklaret, at der dog må være en sondring mellem sikkerhedsevaluering af udstyr og systemsikkerheds evalueringer, når der står sådan. Han har dog ikke været inde i de tekniske de taljer. Han kan ikke svare på, om Atsec har lavet systemsikkerhedsevalueringer.

Han kan ikke huske, om det var TDC eller CFCS, der forfattede det udkast til aftalens pkt. 6.a., som er fremlagt.

Foreholdt CFCS’ interne referat af 29. maj 2020 fra kvartalsmødet med TDC den 26. maj 2020, s. 3, har vidnet bekræftet, at der var en forståelse mellem TDC og CFCS om, at der skulle findes en løsning på problemet med testning. Dette var som nævnt helt afgørende for TDC. Vidnet kan ikke svare på, hvorfor ”Skriftlig forståelse nr. 3” ikke blev indgået, men han tror, at det primært skyldtes et holdningsskifte hos CFCS. TDC var i hvert tilfælde indstillet på at indgå aftalen.

Han var indirekte involveret i forligsaftalen mellem TDC og Huawei i oktober 2019. Han kommenterede kun på dele af aftalen, da han dengang ikke havde stilling af chefjurist. Det blev han senere samme år. Forligsaftalen blev ikke an meldt til CFCS under bekendtgørelsen om oplysnings- og underretningspligt vedrørende net- og informationssikkerhed.

Dette var en fejl, der skyldtes, at for ligsforløbet foregik i en meget snæver kreds hos TDC. Da forligsaftalen også an gik DWDM-netværket, burde aftalen have været anmeldt. Det blev han først opmærksom på senere, uden at han kan tidsfæste dette tidspunkt. Det var i alle tilfælde efter, at udkastet til afgørelsen blev sendt til TDC fra CFCS.

Han foretog sig ikke noget, da det gik op for ham, at forligsaftalen ikke var blevet sendt til CFCS. Han gav således heller ikke besked ”opad” om dette forhold.

Frem til 2020 var dialogen mellem TDC og CFCS rigtig god og konstruktiv. Dette var også i TDC’s interesse. Der var fuld åbenhed fra TDC’s side, også selvom CFCS dengang ikke havde det regelgrundlag, de har i dag. Der var dog ikke trepartsmøder, hvor TDC, CFCS og Huawei deltog sammen, selvom TDC så en fordel heri. Det var CFCS, der ikke ønskede sådanne møder.

Han blev først bekendt med de mødereferater fra kvartalsmøderne, som CFCS har udarbejdet, da CFCS i efteråret 2022 sendte udkastet til den senere afgørelse af 21. marts 2023 til TDC. Mødereferaterne var dog ikke medsendt eller bilagt den endelige afgørelse af 21. marts 2023. Under møderne havde TDC foreslået, at der skulle udarbejdes fælles mødereferater, men det havde CFCS afslået.

Vidnet var i september 2020 med til at foretage anmeldelsen til CFCS om for handlingerne med Huawei angående ”Amendment 4” . TDC modtog en kvitte ring for, at anmeldelsen var modtaget hos CFCS, men herudover hørte de ikke yderligere fra CFCS, førend de modtog påbuddet den 30. november 2020.

De var meget overraskede over, at de ikke havde hørt noget fra CFCS i den mel lemliggende periode og så pludselig modtog et påbud. Efter hans opfattelse er det ikke tilfældigt, at CFCS gav en tilbagemelding på aftaleudkastet netop den 7. december 2020, som var samme dag, hvor telesikkerhedsloven blev sendt i offentlig høring, og fra hvilken dato loven havde virkning.

Han har ikke tidligere oplevet, at et lovforslag angående teleindustrien ikke blev sendt i høring hos vigtige aktører på markedet, herunder TDC, forud for at lovforslaget er blevet sendt i offentlig høring. De havde dog i efteråret 2020 hørt rygter om, at der var et lovforslag under opsejling, som ville omhandle 5G-net værket, men nok også noget mere.

Foreholdt høringsskrivelse af 1. september 2021 fra CFCS til Energistyrelsen, Center for Tele, har vidnet forklaret, at TDC ikke på dette tidspunkt var blevet orienteret om, at der var et forbud under opsejling.

Foreholdt uddrag af ”slides” fra TDC Groups bestyrelsesmøde den 5. november 2020 har vidnet forklaret, at det er sædvanligt, at oplæg til bestyrelsen i TDC har en sådan summarisk karakter. Han kan ikke svare på, hvorfor man ikke un derskrev aftalen i dagene efter den 5. november 2020, hvor bestyrelsen god kendte aftalen. Han kan ikke svare på, hvornår CFCS tidligst kunne have fået et endeligt udkast til aftale tilsendt.

Foreholdt mail af 27. november 2020 fra Person 11 til Person 12 og Person 13 har vidnet forklaret, at han kun har set mailen i forbindelse med denne sag.

Foreholdt ”Amendment 4” , pkt. 4, Sole vendor clause, har vidnet forklaret, at han helt sikkert har set bestemmelsen forud for, at aftalen blev indgået. Der var drøftelser med Huawei om at levere de tests, der krævedes, men aldrig om ter minering. Terminering ville forudsætte overvejelser om det kommercielle over for om der forelå tilstrækkelig misligholdelse af kontrakten. Der har ikke været sådanne overvejelser i den tid, han har været juridisk chef i TDC.

Foreholdt mail af 2. december 2021 kl. 17.51 fra Vidne 3 fra CFCS til Person 6, der dengang var CEO i TDC, har vidnet forkla ret, at de havde på fornemmelsen, at der kunne være tale om, at CFCS ville ori entere om, at man agtede at nedlægge et forbud mod at anvende Huawei som leverandør. Det var i hvert tilfælde helt usædvanligt, at CFCS på denne måde ønskede et møde på så højt et niveau med så kort et varsel.

Foreholdt intern mail i TDC af 14. december 2021 fra Person 9 til Vidne 6, Vidne 2, Person 14, Person 6 og Vidne 7 har vidnet forklaret, at han ikke selv deltog i mødet. Det var Person 9 og Vidne 4, der deltog i mødet på vegne af TDC.

Foreholdt afgørelsen af 21. marts 2023 har vidnet forklaret, at der var store for skelle mellem udkastet til afgørelsen fra efteråret 2022 og den endelige afgø relse. De var ikke blevet orienteret om disse ændringer forud for, at den ende lige afgørelse blev truffet. I den endelige afgørelse var en del af teksten, navnlig sagsfremstillingen, taget ud. Der var i stedet tilføjet en række citater og referen cer til møder mellem TDC og CFCS og til måder, TDC havde ageret på. Han op levede afgørelsen som mere subjektiv i forhold til TDC’s handlinger, som skulle begrunde forbuddet.

Han kan ikke huske, om der i perioden mellem udkastet til afgørelse og den en delige afgørelse var snak om sondringen mellem sikkerhedsevaluering af ud styr og systemsikkerhedsevalueringer.

Efter vidnets opfattelse var der i afgørelsen ikke foretaget en egentlig proportio nalitetsafvejning. Man havde fra CFCS’ side ikke undersøgt, om man kunne opnå formålet med afgørelsen med mindre indgribende midler, som kunne være afdækket ved en dialog med TDC. Der var heller ikke taget højde for, at afgørelsen ville ramme TDC’s radiokædenetværk, idet der var nedlagt forbud mod anvendelsen af NCE-T managementsystemet, som også var styresystem for og dermed indgik i radiokædenetværket.

Efter loven er radiokædenetværket en del af det, CFCS har kompetence til at nedlægge forbud om, men reelt er radiokædenetværket efter hans opfattelse ikke en del af den kritiske teleinfrastruktur, hvorfor det er unødvendigt at ned lægge et sådant forbud. Et forbud angående radiokædenetværket var da heller ikke omfattet af udkastet til afgørelse.

Vidnet er bekendt med, at Huawei også er leverandør af DWDM-netværk i en række andre europæiske lande, op mod 20 lande, herunder Tyskland. Vidnet bekendt er det i Europa kun Estland og Danmark, der har nedlagt forbud mod at anvende Huawei som leverandør af DWDM-netværk. Det er uforståeligt for ham, at man i Danmark har nedlagt et sådant forbud.

Fra TDC blev bekendt med, at CFCS agtede et nedlægge forbud, begyndte de at indsamle dokumentation for de omkostninger, de ville have til at udskifte Hu awei som leverandør af DWDM-netværket.

De har været meget klare i deres in terne instrukser om, at den tid, som TDC’s personale brugte og bruger herpå, bliver registeret under specifikke tidskoder, så man helt præcist kan se, hvilket tidsforbrug der har været med netop dette arbejde.

Også TDC’s udbudsproces, hvor de endte med at indgå kontrakt med Ciena som ny leverandør af DWDM-netværket, er kørt helt efter bogen, så TDC har fået den rigtige kvalitet til den bedst mulige pris.

Vidne 1 har som vidne forklaret bl.a., at han har været ansat i tele branchen i 40 år. Senest var han ansat som sikkerhedschef i TDC, hvorfra han gik på pension ultimo august 2021. Vidne 8 overtog hans stilling. Da TDC indgik rammeaftalen med Huawei i 2011, var han dog ikke sikkerhedschef eller ansvarlig herfor. Han kom til i 2013.

Han var ikke med til at indgå ”Skriftlig for ståelse nr. 1 og nr. 2” , men han var primus motor i arbejdet med ”Skriftlig for ståelse nr. 3” , der dog aldrig blev indgået. Da han ikke var med til at forfatte ” Skriftlig forståelse nr. 2” , kan han ikke bidrage meget til, hvordan den skal for stås. Han kan dog bidrage med, hvordan den har været anvendt.

Vidnet har deltaget i kvartalsmøderne med CFCS, der startede op efter indgåelsen af de to skriftlige forståelser. Det var vidnet, der ”frontede” dialogen på vegne af TDC og udarbejdede slides til brug for møderne. Han har hos CFCS primært haft kontakt med Person 2, Person 1 og Vidne 14. I lang tid var dialogen med CFCS rigtig god og transparent. Under møderne bemærkede

vidnet, at Person 1 tog referat. Referaterne blev ikke delt med TDC. De udvekslede nogle gange lister over udestående emner til brug for senere møder. Der var ikke noget, som TDC ikke delte med CFCS. TDC udarbejdede ikke egne referater af møderne. Det fremgik dog af interne mails i TDC, hvad der var fore gået på møderne.

Foreholdt ”slides” til kvartalsmøde den 15. maj 2017 har vidnet forklaret, at de havde den problemstilling, at HCSEC i princippet skulle lave en systemtest af Huaweis udstyr, som blev leveret til TDC. Det gik dog op for dem, at HCSEC prioriterede at teste det udstyr, der blev leveret til det britiske marked. Det ud styr, som Huawei skulle levere i Danmark, havde derimod ikke nogen prioritet hos HCSEC.

Det var derfor helt oplagt – og fremgår af ”Skriftlig forståelse nr. 2” – at der skulle være et alternativ til HCSEC. Der var en ok dialog med CFCS, som havde forståelse for, at netværket skulle udbygges, og at man ikke kunne følge samme strategi som i England. Vidnet spurgte CFCS, om de via Forsvarets Efterretningstjeneste kunne påvirke, hvad HCSEC testede, men det kunne de ikke.

Foreholdt ”slides” til kvartalsmøde den 19. september 2017 har vidnet forklaret, at det blev drøftet at foretage testning hos Atsec. På de følgende sider i præsen tationen kan man se, at der var flere punkter, hvor TDC var ”non-compliant” . Det var selvfølgelig utilfredsstillende for TDC. Det var vidnet, der løbende ud arbejdede regnearket med statuspunkter i gul og grøn.

Atsec er en svensk leve randør af tests af bl.a. hardware og software til teleindustrien. Atsec var vidnet bekendt sikkerhedsgodkendt af Forsvaret og havde tidligere været anvendt til test af Huaweis udstyr, når det ikke var muligt at få foretaget tests hos HCSEC. Person 2 fra CFCS var indforstået med fremgangsmåden og med oversigterne, der viste, at der blev testet andre steder end HCSEC.

Vidnet ved ikke, om CFCS var bekendt med, hvordan HCSEC testede udstyret rent teknisk. Vidnet var ikke bekendt hermed og heller ikke med, om Atsec var på samme niveau. Der var ikke leverancer, som endte med ikke at blive accepteret af CFCS. Der blev altid fundet en løsning. Fokus var på mobilnetværket, der var ikke kommenta rer til DWDM-netværket.

Huawei havde en afdeling, PSIRT (“Product Security Incident Response Team”), som gav TDC Group Security meddelelser om sår barheder i systemet forud for, at der blev lavet patches. TDC var stolte over, at Huawei viste dem den tillid at have et samarbejde med PSIRT.

Vidnet forsøgte at få arrangeret trepartsmøder mellem TDC, CFCS og Huawei. Dette var CFCS dog ikke indstillet på. Det var vidnets indtryk, at CFCS og Hu awei havde haft egne, bilaterale møder, der til tider havde været anstrengende. Han har set den fælles forståelse mellem CFCS og Huawei i forbindelse med sa gen, men ikke før. Han måtte heller ikke få den af Huawei. TDC udleverede heller ikke sin aftale med CFCS til Huawei.

Vidnet deltog i mødet den 10. december 2015 mellem Huawei, TDC og CFCS. Der var ikke tale om et egentligt trepartsmøde, men et ad hoc møde mellem de tre parter. Fra Huaweis side deltog nogle personer på højt niveau, der var fløjet ind fra Kina. Som vidnet husker det, var det aftalen mellem CFCS og Huawei, der var udgangspunktet for mødet.

Han er dog overrasket over, hvis indholdet af det foreholdte skema skulle være ”Fælles forståelse” mellem CFCS og Hu awei brudt op i punkter. Vidnet var således dengang ikke bekendt med indhol det af aftalen mellem CFCS og Huawei. Det interesserede ham heller ikke – TDC havde jo sin egen aftale med CFCS.

Det fremgår af skemaet fra mødet, at der ikke skete test af software patches hos HCSEC, men det var der ikke noget underligt i, da der aldrig blev testet software patches hos HCSEC. Patches er små opdateringer til softwaren. Der blev først testet, når der var tale om en ”ho vedrelease” , som bl.a. indeholdt de mellemliggende patches.

Vidnet var som nævnt primus motor på udarbejdelsen af ”Skriftlig forståelse nr. 3” mellem TDC og CFCS. Han var forfatter til det første udkast til ”Skriftlig forståelse nr. 3” . Det udkast af 20. december 2019, der foreligger i sagen, er dog ikke det udkast, han har forfattet. Han kan ikke huske, om det var ham, der havde forfattet det udkast til pkt. 6.a., der fremgår heraf.

Der var forskel på sikkerhedsevaluering af enkelte dele og en systemsikkerhed sevaluering. Sidstnævnte er en evaluering af hele systemet, når alle dele er sat sammen. Atsec har ikke foretaget systemsikkerhedsevalueringer, men kun sik kerhedsevalueringer af enkelte dele.

Meningen med ”Skriftlig forståelse nr. 3” var at få en opfølgning på de første to skriftlige forståelser, hvor man tog hånd om de udestående punkter og tilpas sede den skriftlige forståelse til, hvordan de to første skriftlige forståelser havde været anvendt i praksis. ”Elefanten i rummet” var, at det efter TDC’s opfattelse var helt nødvendigt med et alternativ til testning hos HCSEC. De nåede dog al drig i mål, hvilket han var ærgerlig over. Efter hans opfattelse var det ikke be grundet i TDC’s forhold, at ”Skriftlig forståelse nr. 3” ikke blev indgået.

Foreholdt CFCS’ interne referat af 29. maj 2020 fra mødet med TDC den 26. maj 2020, s. 3, har vidnet forklaret, at han ikke er uenig i indholdet af det foreholdte afsnit fra referatet. TDC havde hele tiden sagt, at de ville have et alternativ til testning ved HCSEC. CFCS accepterede dog aldrig et alternativ, selvom de havde snakket om det i lang tid.

Uenigheden om alternativer til testning var som nævnt hovedårsagen til, at ”Skriftlig forståelse nr. 3” ikke blev indgået. Han havde mange gange og over flere år understreget over for CFCS, at der var behov for et alternativt til HCSEC. Han har svært ved at sige, om CFCS på dette tidspunkt ikke længere var konstruktive, men faktum var i alle tilfælde, at ”Skriftlig forståelse nr. 3” ikke blev indgået.

Vidnet har ikke noget nært kendskab til forligsaftalen mellem TDC og Huawei fra oktober 2019. Den er ikke fremmed for ham, men han kan ikke huske, om han blev konsulteret i forbindelse med, at aftalen blev indgået.

Foreholdt ”slides” til kvartalsmøde mellem CFCS og TDC den 28. oktober 2019 side 18 har vidnet forklaret, at de amerikanske myndigheder forbød kinesiske selskaber at benytte amerikansk hardware i henhold til en ”Entity List” . Der skulle derfor ske en udskiftning af udenlandske komponenter i Huaweis ud styr. Han modtog den illustration, der fremgår af materialet, fra Huawei. Den viser, at alle de forskellige lag blev udskiftet med ren kinesisk teknologi. CFCS var chokeret over, at dette var konsekvensen.

Foreholdt mail af 7. august 2020 fra Person 2 til Person 3 og Person 15, alle CFCS, har vidnet forklaret, at han på daværende tidspunkt ikke var klar over, at CFCS havde oplysninger om, at Huawei havde problemer med at få testet deres udstyr hos HCSEC på grund af den amerikan ske ”Entity List” . Han troede, at HCSEC-testene fortsat blev udført. TDC kunne ikke leve med at have et net, der ikke kunne få support. Han opfattede Huawei som en rigtig god leverandør. Huawei var indstillet på og ville gerne bidrage til at få testet sine produkter til det danske marked.

Det er korrekt, at nye politiske vinde begyndte at blæse i 2020, hvorefter man ikke ville have kinesiske leverandører til teleinfrastrukturen. Vidnet var person ligt lidt fortørnet over den måde, telesikkerhedsloven blev vedtaget på, herun der at loven blev udarbejdet ”i nattens mulm og mørke” og havde tilbagevir kende kraft.

Vidnet kan ikke huske det præcise tidsmæssige forløb, fra TDC anmeldte ”Amendment 4” til CFCS i september 2020 og indtil forløbet ultimo november og primo december 2020, hvor CFCS udstedte et påbud og senere godkendte af talen.

TDC foreslog på et tidspunkt, at der skete alternativ testning af udstyr leveret af Huawei hos det hollandske firma Brightsight. Denne testning kunne ske på ni veau EAL 4, som er en international standard, og som inkluderer test af ”source code” . Brightsight kunne være et supplement eller alternativ til HCSEC. TDC havde ikke kendskab til, om testningen var på samme niveau som HCSEC, men havde ikke grund til ikke at tro det. Det blev dog ikke til noget, idet CFCS ikke accepterede nogen af de løsninger, som TDC foreslog.

I foråret 2021 kom der nogle krav fra CFCS til TDC om testning af Huaweis pro dukter, som CFCS vidste, at TDC ikke kunne leve op til. Det var efter hans op fattelse udtryk for, at CFCS ikke ønskede at indgå en aftale om alternativer til HCSEC. Det nye styresystem til DWDM-netværket blev taget i brug i efteråret

2021. Da havde TDC selv testet netværket og konstateret, at det fungerede. De havde herved primært fokus på funktionalitet af netværket. Han havde en dia log med Vidne 9 fra Huawei i Danmark om, at Brightsigt skulle teste NCE-T på EAL-niveau 4 og resten skulle testes af Atsec. NCE-T blev testet, før det blev idriftsat.

Der er i Huaweis udstyr noget software, som er meget tæt knyttet til deres hardware, idet softwaren sidder i nogle meget små chips på printpladerne. Denne software ville Huawei ikke udlevere til HCSEC. De ville nok heller ikke udlevere denne software til hverken Brightsight eller Atsec. Det var denne software, som blev påpeget som en sårbarhed i systemet i Oversight rappor terne. Samme sted blev det kritiseret, at man ikke kunne lave fyldestgørende sy stemsikkerhedsevalueringer.

Foreholdt sin mail af 26. august 2021 til Person 2 har vidnet forklaret, at det var en af de sidste mails han sendte, inden han stoppede som sikkerhedschef hos TDC. Han oplevede ikke på noget tidspunkt en forringelse af samarbejdet mellem vidnet og CFCS. Dialogen var altid professionel og ordentlig. Dialogen blev dog ved nærmere eftertanke anderledes, efter CFCS i foråret 2021 som nævnt havde stillet krav til TDC, som CFCS vidste, at TDC ikke kunne leve op til. Han oplevede dog ikke som sådan, at CFCS i denne periode var mindre transparente eller åbne i dialogen.

Vidnet erindrer ikke, om han i efteråret 2022 var med til at forfatte TDC’s hø ringssvar til udkastet til afgørelsen, men mener ikke, at det var tilfældet, idet han kun arbejdede som konsulent på ad hoc plan efter sin fratræden som sik kerhedschef ved TDC ved udgangen af august 2021.

Vidne 8 har som vidne forklaret bl.a., at hun har arbejdet i TDC i perioden fra august 2018 indtil juni 2024. Hun arbejder nu i Novo Nordisk. Hun overtog i august 2021 Vidne 1's stilling som sikkerhedschef hos TDC. Der havde dog forinden været en overlappende periode på fire måneder, hvor de arbej dede sammen. Mens hun var sikkerhedschef hos TDC, havde hun kontakt til CFCS.

Hos CFCS havde hun til at starte med kontakt med Person 2, Person 1 Person 1 og Vidne 14. Hun havde også senere kontakt med Vidne 3Vidne 3 Vidne 3, der overtog Person 2's stilling som sektionschef. Person 2 gik på pension nogenlunde samtidig med Vidne 1. Person 2Person 2 Person 2 fortsatte dog i en periode som konsulent hos CFCS, ligesom Vidne 1Vidne 1 Vidne 1 også i en tid fortsatte som konsulent hos TDC.

Hun var sikkerhedsgodkendt til niveauet ”Hemmeligt” , mens hun var ansat som sikkerhedschef ved TDC.

Da hun overtog fra Vidne 1, fornemmede hun, at samarbejdet med CFCS ikke var konstruktivt. Samarbejdet virkede til at være ”sat op til” , at der ikke kunne findes en løsning, uden at det blev sagt udtrykkeligt. TDC havde

gjort hvad de kunne for at identificere de sikkerhedstrusler, der måtte være i det, som Huawei havde leveret. TDC havde gjort sig umage hermed, idet de selv ønskede at gøre det bedste for at have en høj sikkerhed. Dette for både at beskytte sikkerheden hos TDC og dermed også Danmarks sikkerhed. TDC kunne ikke igennem deres egne kilder identificere sikkerhedstrusler fra Hu awei. De kunne heller ikke finde ud af, hvad det var, at CFCS mente, at TDC skulle gøre anderledes. Der kom aldrig noget konkret fra CFCS.

Hun ved det ikke, men hun kan forestille sig, at CFCS havde kontakt til uden landske cybersikkerhedsmyndigheder og HCSEC. Da det stod klart for TDC, at de ikke længere kunne få testet Huaweis software hos HCSEC, undersøgte de andre muligheder. De spurgte forud for august 2021 CFCS, hvad TDC i stedet kunne gøre, herunder benytte andre testmuligheder.

Det er rigtigt, at CFCS i ef teråret 2021 holdt fast i, at der kun skulle ske tests ved HCSEC. CFCS hjalp ikke med at finde alternativer til HCSEC. Det var hendes opfattelse, at de tests, HC SEC foretog, ikke var bedre end de alternativer, der var. TDC havde ikke mulig hed for selv at rette henvendelse til HCSEC. CFCS foreslog ikke selv, at CFCS kunne kontakte HCSEC.

Hun ved ikke, hvem der havde mandat til at kontakte HCSEC.

Det blev fra CFCS’s side aldrig sagt direkte, hvad der var årsagen til, at CFCS opførte sig, som de gjorde. Hun så det som ”dansen om den varme grød” . Det var hendes opfattelse, at CFCS gjorde, som de gjorde, for at det ikke skulle lyk kes for TDC.

I CFCS var der to ”arme” : En vedrørte rådgivning af teleoperatører mv. og en som vedrørte tilsyn med samme. Under et møde gjorde Vidne 3Vidne 3 Vidne 3 det klart for hende og TDC, at møderne foregik i regi af ”tilsynsarmen” .

Hun var ikke klar over, at CFCS tog mødereferater under kvartalsmøderne. De blev i alle tilfælde ikke delt med TDC. Omvendt delte TDC altid sine slides fra møderne med CFCS. Da TDC ikke modtog mødereferaterne, havde TDC ikke mulighed for at sige til, hvis der var noget, som efter TDC’s opfattelse var gen givet forkert i referaterne.

Hun ved, at der blev foretaget en sammenligning mellem på den ene side den testning, der blev foretaget hos HCSEC, og som mundede ud i Oversight Board-rapporterne, og på den anden side den testning, som kunne foretages ved det hollandske firma Brightsight. Testningen hos Brightsight foregik efter ”common criteria” . Det var deres vurdering, at det var sammenligneligt med testningen hos HCSEC. Hun deltog i en fælleseuropæisk arbejdsgruppe inden for teleindu strien, ”ETIS” , hvor der taltes om, at ingen testleverandører på det tidspunkt kunne sikre, at det, der blev testet, også var det, der blev leveret.

Hun kan bekræfte, at der på et tidspunkt opstod problemer på baggrund af de amerikanske myndigheders ”Entity List” , hvorefter der skulle ske ændringer af NCE-T styresystemet, fordi det ikke måtte indeholde amerikanske komponen ter. Herefter kunne de ikke få testet NCE-T styringssystemet hos HCSEC, fordi dette udstyr ikke ville blive leveret til det britiske marked. TDC fik herefter fo retaget tests af NCE-T styresystemet hos Atsec. De delte testresultaterne fra At sec med CFCS, men de fik ikke nogen respons herpå, ud over at CFCS bekræf tede at have modtaget dem.

Hele kildekoden i NCE-T styresystemet blev aldrig udleveret til testning ved HCSEC. På trods heraf stillede CFCS fortsat som et krav til TDC, at der skulle ske testning af kildekoden, herunder test angående binær ækvivalens. TDC fik på et tidspunkt foretaget testning på EAL 4 niveau hos Brightsight. De sendte også disse resultater til CFCS. Hun ved ikke, om hendes daværende chef, som var godkendt til niveauet ”yderst hemmeligt” , fik yderligere oplysninger fra CFCS angående sikkerhedsvurderingen angående Huawei, end hun gjorde.

TDC skulle bruge resultaterne af testene til at rette eventuelle sikkerhedsbrister i deres hardware og software. TDC var ansvarlig for at sikre, at der blev testet, men ikke for testen. Test udføres baseret på de krav, ”scope” , der sættes op. For testen hos HCSEC var det vist den britiske stat eller de britiske teleselskaber, der fastsatte ”scopet” for de tests, der skulle foretages. TDC havde ingen indfly delse på testene, men kunne bruge resultaterne. TDC havde størst fokus på, at de havde driftsansvaret for netværket og for at levere de services, de skulle.

Foreholdt ”Skriftlig forståelse nr. 2” af 11. september 2013, s. 3, pkt. 16, har vid net forklaret, at dette punkt efter hendes opfattelse kun angik Huaweis leveran cer til mobilnetværket.

Foreholdt mail af 9. maj 2022 fra CFCS til vidnet har vidnet forklaret, at mailen var et svar på, at TDC under et møde havde delt deres risikovurdering af DWDM-netværket af 25. april 2022 med CFCS. Det var ikke muligt at foretage de tests, som CFCS efterspurgte i mailen. CFCS opstillede testningen hos HC SEC som den bedste og eneste rigtige, men det var efter hendes opfattelse en fantasi.

Foreholdt TDC’s svar herpå, brev af 2. juni 2022 til CFCS, som vidnet var koor dinator på hos TDC, har vidnet forklaret, at hun ikke kan give en uddybning af det tekniske i, hvorfor de mente, at Brightsight, som var certificeret til at udføre ”Common Criteria” evalueringer på EAL 4 niveau, kunne foretage tests, der var på niveau med HCSEC’s tests.

Det var hendes indtryk, at TDC’s samarbejde med Huaweis folk i Danmark var godt. De arbejdede på at finde en løsning på de problemer, der var. Det var i di

alogen med Huawei, at det kom frem, at man kunne foretage tests ved Bright sight, hvilket de som nævnt viderebragte til CFCS.

Vidne 9 har som vidne forklaret bl.a., at han var ansat i Hu awei fra den 1. april 2015 til den 31. august 2024, hvor han gik på pension. Han var formelt ansat i Huawei Danmark, men han havde de første år en europæisk rolle. Fra 2019 blev han en del af Huaweis danske organisation. Han havde fra dette tidspunkt kontakt med Person 2 hos CFCS.

Samarbejdet skete i henhold til en fælles forståelse mellem CFCS og Huawei fra 2012. Det var imidlertid af mange grunde vanskeligt for Huawei at leve op til den fælles forståelse. Vidnet forsøgte at gøre samarbejdet mere operationelt, end der var lagt op til i den fæl les forståelse.

Det primære problem var, at det var aftalt, at det var HCSEC, der skulle godkende det udstyr, som Huawei leverede til det danske marked. CFCS troede nok, at Huawei havde kontrol over eller indflydelse på, hvad HCSEC te stede, fordi det var Huawei, der finansierede HCSEC. Det var imidlertid ikke tilfældet.

Huawei anmodede ved enkelte lejligheder HCSEC om, at noget be stemt udstyr blev testet, hvilket HCSEC imødekom, men herudover kunne Hu awei ikke udøve indflydelse over HCSEC ud over potentielt at lukke for finan sieringen, men det havde Huawei ikke interesse i, da de gerne ville sælge deres produkter til det britiske og danske marked.

HCSEC havde kun til formål at te ste udstyr, der skulle leveres til det britiske marked, men det blev altså beslut tet, at dette også skulle gælde for Danmark.

Foreholdt ”Fælles forståelse” af 24. april 2012 mellem Huawei og CFCS har vid net forklaret, at dokumentet indholdsmæssigt svarer til det dokument, han havde, da han var ansat ved Huawei. Det dokument, han havde, var dog ikke påført Forsvarsministeriets logo i brevhovedet. Som nævnt var det mest funda mentale problem med den fælles forståelse, at Huawei ikke kunne kontrollere, hvilken testning HCSEC foretog.

De britiske myndigheder GCHQ og NCSC, der svarer til det danske CFCS, styrede overordnet HCSEC via Oversight Bo ard-rapporterne, der blev offentliggjort. Huawei i Danmark betalte HCSEC for en kopi af rapporten fra testning af det udstyr, der også blev leveret i Danmark angående mobilnetværket, fordi det udstyr, der blev leveret i Danmark, hen holdsvis England, var det samme.

Oversight Board-rapporterne har vidnet bekendt aldrig haft den konklusion, at der var Huawei produkter, der ikke kunne godkendes til det engelske marked. Der var dog særligt en meget kritisk rapport vedrørende en softwarefejl, som blev rettet og senere fik ok. Det ringer ikke nogen klokke for vidnet, at der i en Oversight Board-rapport fra 2020 blev givet et ”designated vendor direction no tice” .

Foreholdt Designation Notice under section 105Z8 of the Communications Act 2003, ”designated vendor direction notice” , har vidnet forklaret, at han mener

at have set dokumentet, men han er dog ikke sikker. Han mener, at han fandt det på nettet for at få en fornemmelse af, hvad der skete i Storbritannien. Det var altså ikke et dokument, han havde fået ad officielle kanaler. Som han husker det, angik rapporten mobilnettet og altså ikke fiber- og fastnettet, herunder DWDM-netværket. Konklusionen i dokumentet var efter hans opfattelse, at kvaliteten af softwaren kunne være bedre, men det var dog ikke slemt nok til, at man ville forbyde produktet i Storbritannien. Det er ikke et dokument, der har været anvendt af Huawei i Danmark.

Designated Vendor Direction under section 105Z1 of the Communications Act 2003, s. 2, pkt. (3) angår efter hans forståelse installation af NCE-T styresystemet i Storbritannien.

Vidnet kan bekræfte, at der var udfordringer med test af NCE-T platformen ef ter, at de amerikanske myndigheder offentliggjorde en ny ”Entity List” , hvoref ter Huaweis NCE-T platform ikke måtte indeholde amerikanske komponenter. Der blev lavet en særlig løsning fra Huaweis side på dette problem, der kun var til det britiske marked. Denne løsning testede HCSEC.

Huawei i Danmark var imidlertid ikke klar over, at Huawei i England havde lavet denne tilpasning af NCE-T. TDC ønskede ikke det integrationsansvar som de britiske teleselskaber havde påtaget sig i forbindelse med denne tilpasning. TDC ønskede standard produktet, men det ville HCSEC ikke teste. Dette problem informerede Huawei TDC om i starten af 2021.

Huawei foreslog, da der altså ikke kunne ske test hos HCSEC, at man i stedet foretog testning i henhold til ”common criteria” , hvilket var en international standard. Dette aftalte Huawei og TDC at arbejde videre med. I den forbindelse havde vidnet kontakt til både Vidne 1 og Vidne 8 hos TDC. Vidnet blev herunder orienteret om, at TDC havde indledt en dialog med CFCS herom.

I slutningen af 2022 blev han involveret i høringsprocessen forud for afgørelsen af 21. marts 2023. Det blev han, fordi Vidne 3 fra CFCS kontaktede ham telefonisk. Herudover har han haft drøftelser med TDC i samme anledning. Han talte med Vidne 1, som han opfattede som re præsentant for TDC. De var alle meget overraskede over, at CFCS ville ned lægge forbud mod anvendelse af Huaweis DWDM-udstyr i Danmark.

I 2023 deltog vidnet sammen med Huaweis landechef i Danmark i et møde med CFCS, da det stod klart, at CFCS ville forbyde Huaweis DWDM-produkter i Danmark. Det var kommet som et lyn fra en klar himmel, at CFCS ville tage dette skridt. Huawei foreslog under mødet alternative løsninger, men det var CFCS ikke interesserede i. Det var hans opfattelse, at beslutningen var taget.

Foreholdt CFCS’ referat af 11. januar 2023 fra møde den 6. januar 2023 mellem Huawei og CFCS har vidnet forklaret, at der var tale om en relativt hurtig drøf

telse, idet CFCS ikke var i stand til eller ville give Huawei ”guidance” i forhold til, hvad man kunne gøre som en mindre indgribende foranstaltning end et for bud. Til mødet medbragte vidnet den seneste godkendte HCSEC-rapport. Vid net tilbød CFCS, at Huawei ved et uafhængigt testlaboratorium kunne få testet det pågældende udstyr efter samme standard, som var anvendt i forbindelse med den tidligere godkendte HCSEC-rapport. CFCS gav udtryk for, at det også var forhold hos TDC, som gjorde, at man ikke kunne gå videre ad den vej, men det blev ikke uddybet nærmere.

Vidne 10 har som vidne for lukkede døre forklaret Dørlukning DørlukningDørlukning DørlukningDørlukning Dørlukning DørlukningDørlukning Dørlukning

DørlukningDørlukning Dørlukning DørlukningDørlukning DørlukningDørlukning Dørlukning

Dørlukning DørlukningDørlukning Dørlukning

DørlukningDørlukning DørlukningDørlukning Dørlukning DørlukningDørlukning DørlukningDørlukning DørlukningDørlukning DørlukningDørlukning Dørlukning

Dørlukning DørlukningDørlukning DørlukningDørlukning Dørlukning

Dørlukning DørlukningDørlukning Dørlukning DørlukningDørlukning Dørlukning DørlukningDørlukning Dørlukning DørlukningDørlukning Dørlukning

Dørlukning DørlukningDørlukning DørlukningDørlukning Dørlukning DørlukningDørlukning Dørlukning

DørlukningDørlukning DørlukningDørlukning Dørlukning DørlukningDørlukning Dørlukning

DørlukningDørlukning DørlukningDørlukning DørlukningDørlukning Dørlukning

Dørlukning DørlukningDørlukning Dørlukning DørlukningDørlukning DørlukningDørlukning Dørlukning

Dørlukning

Dørlukning DørlukningDørlukning DørlukningDørlukning Dørlukning

DørlukningDørlukning Dørlukning DørlukningDørlukning DørlukningDørlukning Dørlukning

Dørlukning

DørlukningDørlukning DørlukningDørlukning Dørlukning

DørlukningDørlukning Dørlukning DørlukningDørlukning Dørlukning

Dørlukning DørlukningDørlukning DørlukningDørlukning Dørlukning

Dørlukning DørlukningDørlukning Dørlukning

Dørlukning DørlukningDørlukning DørlukningDørlukning Dørlukning

Dørlukning

Dørlukning DørlukningDørlukning Dørlukning

Dørlukning DørlukningDørlukning Dørlukning DørlukningDørlukning Dørlukning

Dørlukning DørlukningDørlukning Dørlukning

Dørlukning

Vidne 11 har som vidne for lukkede døre forklaretDørlukning DørlukningDørlukning Dørlukning

Dørlukning DørlukningDørlukning DørlukningDørlukning Dørlukning DørlukningDørlukning Dørlukning DørlukningDørlukning Dørlukning

Dørlukning DørlukningDørlukning Dørlukning

Dørlukning

Dørlukning DørlukningDørlukning DørlukningDørlukning Dørlukning Dørlukning

Dørlukning DørlukningDørlukning Dørlukning

Dørlukning DørlukningDørlukning Dørlukning DørlukningDørlukning Dørlukning

Dørlukning DørlukningDørlukning DørlukningDørlukning Dørlukning DørlukningDørlukning Dørlukning

Dørlukning DørlukningDørlukning Dørlukning

Dørlukning DørlukningDørlukning DørlukningDørlukning Dørlukning

Dørlukning

Dørlukning DørlukningDørlukning Dørlukning DørlukningDørlukning Dørlukning DørlukningDørlukning Dørlukning

Dørlukning DørlukningDørlukning Dørlukning

Dørlukning DørlukningDørlukning DørlukningDørlukning Dørlukning DørlukningDørlukning Dørlukning

DørlukningDørlukning DørlukningDørlukning Dørlukning DørlukningDørlukning Dørlukning DørlukningDørlukning Dørlukning DørlukningDørlukning Dørlukning

DørlukningDørlukning Dørlukning DørlukningDørlukning Dørlukning DørlukningDørlukning Dørlukning

Dørlukning

Dørlukning DørlukningDørlukning Dørlukning

DørlukningDørlukning Dørlukning DørlukningDørlukning DørlukningDørlukning Dørlukning

Dørlukning DørlukningDørlukning DørlukningDørlukning Dørlukning DørlukningDørlukning Dørlukning

Dørlukning DørlukningDørlukning Dørlukning DørlukningDørlukning Dørlukning

DørlukningDørlukning Dørlukning

Dørlukning DørlukningDørlukning Dørlukning

Dørlukning DørlukningDørlukning Dørlukning DørlukningDørlukning Dørlukning

Vidne 4 har som vidne forklaret bl.a., at han er administrerende di rektør i ATP. ATP er minoritetsejer af TDC, hvorfor han i den egenskab var medlem af TDC’s bestyrelse og desuden formand for selskabets revisionsud valg i en periode fra slutningen af 2019 eller starten af 2020 og frem til reelt set efteråret 2022, men formelt set foråret 2023.

Revisionsudvalget har i TDC det overordnede ansvar for blandt andet sikkerhed, herunder cybersikkerhed. Han betragter TDC som et meget professionelt selskab, der er ledet af en bestyrelse, som træffer de væsentligste og strategiske beslutninger, mens direktionen (”management”) eksekverer dem og har det daglige ansvar.

Han kan bekræfte, at Huawei i 2020 var leverandør til TDC på en række områ der, herunder til DWDM-netværket. Der var i omverdenen ”blæst” om leveran dører til den kritiske infrastruktur. De var i bestyrelsen bevidste om, at TDC havde nogle netværk, som var leveret og serviceret af Huawei, der var centrale for driften af netværket. Det var måske mere simpelt set indefra end udefra, da sådan et netværk ikke er noget man bare lige skifter ud. TDC havde brug for Huawei, som de betragtede som en god, solid og pålidelig leverandør.

Foreholdt uddrag af ”slides” til bestyrelsesmøde i TDC den 5. november 2020 har vidnet forklaret, at det foreholdte er det oplæg, bestyrelsen modtog angå ende beslutningen om at forlænge aftalen med Huawei angående DWDM-net værket. De fik i bestyrelsen forelagt sagen til endelig godkendelse, efter at ”ma nagement” havde afsluttet forhandlingerne med Huawei.

Vidnet kan dog ikke huske den konkrete godkendelse af dette punkt. Han kan dog huske, at denne sag ikke var en ”stor sag” i bestyrelsen. De betragtede det som en ekspeditions sag, da det var helt nødvendigt at have en leverandør til DWDM-netværket. Det var almindeligt, at bestyrelsen fik aftaler til godkendelse mod slutningen af en forhandlingsproces.

100

Han husker ikke at være blevet orienteret om, at CFCS i slutningen af november 2020 udstedte et påbud til TDC om at fremsende kontrakten med Huawei til godkendelse.

I 2021 havde han som medlem af bestyrelsen forståelsen af, at DWDM-netvær ket kørte fint, og at der ikke var problemer hermed. Det var slet ikke på besty relsens prioritetsliste over fremtidige investeringer (CAPEX-listen) at udskifte DWDM-netværket. De var dog klar over, at der løbende skulle ske opgradering og vedligeholdelse af netværket, som man skal med alt andet udstyr. Bestyrel sens hovedprioritet for fremtidige investeringer var overordnet set at ”grave fi ber i jorden” .

Foreholdt mail af 2. december 2021 fra Vidne 3 fra CFCS til Person 6 fra TDC har vidnet forklaret, at han ikke har set mailen, hvorved CFCS anmodede om et møde med TDC på et højt niveau, forud for i dag, men at han tydeligt kan huske det efterfølgende møde den 14. december 2021, som han deltog i på vegne af TDC. Han kan ikke huske, om det var et krav fra CFCS, at et medlem af TDC’s bestyrelse deltog i mødet. Person 9 fra TDC var med til mødet i kraft af sin rolle som regulatorisk chef i TDC.

Årsagen til, at vidnet deltog i mødet den 14. december 2021 på vegne af TDC, var navnlig, at han selv havde en fortid i staten og derfra kendte Person 10, som på daværende tidspunkt var konstitueret chef i FE. Han kan ikke svare på, om det var dagligdag for CFCS at holde denne type møder. Under mødet luf tede Person 10, at der kunne komme et forbud mod at anvende Huawei som leverandør til DWDM-netværket.

Forskellige muligheder blev drøftet, lige som tidsperspektivet blev drøftet. Han var ikke i tvivl om, at CFCS mente det seriøst og lagde pres på. CFCS’ bekymring i forhold til Huawei som leverandør til DWDM-netværket var hele årsagen til, at de havde mødet. Som vidnet for stod det, havde CFCS seriøse overvejelser om at måtte nedlægge et forbud, men der var vidnet bekendt ikke truffet nogen afgørelse herom.

De fik i alle tilfælde ikke en afgørelse med hjem i hånden.

Han gjorde det under mødet på vegne af TDC klart, at TDC ikke havde nogen tekniske, økonomiske, sikkerhedsmæssige eller kommercielle grunde til at skifte leverandør af DWDM-netværket. Han gjorde det også klart, at hvis der kom et forbud, skulle TDC have så lang tid som overhovedet muligt til at ud skifte netværket, da det ville tage meget lang tid og kræve store ressourcer.

Han oplyste herunder om, at der ville være større risiko for fejl og forstyrrelser i drif ten af netværket, mens en evt. udskiftning ville finde sted. Det er ved skift, at fejlene sker. Vidnet gjorde det også klart, at hvis der kom et forbud, ville TDC kræve erstatning for sine udgifter til at udskifte netværket, fordi der i givet fald måtte være tale om ekspropriation.

Det var i alle tilfælde hans opfattelse som lægmand. I forlængelse heraf sagde han, at hvis CFCS ikke selv kom frem til

101

den konklusion, at der skulle betales erstatning, forbeholdt TDC sig at få spørgsmålet prøvet i retten.

Under mødet den 14. december 2021 blev der fra CFCS’ side ikke fremlagt op lysninger om konkrete sikkerhedstrusler mod det af Huawei leverede DWDM- netværk. Som vidnet forstod det, var der tale om diffuse bekymringer om sik kerhedstrusler, men der kom intet konkret frem. Spørgsmålet om testning ved HCSEC eller andre steder blev kun vendt meget kort under mødet.

Efter mødet tror han, at der var en fortsat dialog mellem TDC og CFCS om de sikkerhedsmæssige udfordringer, CFCS bekymrede sig for, herunder udfor dringen med testningen af Huaweis udstyr ved HCSEC. Han tror ikke, at han internt i TDC spurgte nærmere ind hertil. Han fulgte ikke af egen drift op på, om man kunne finde andre testmuligheder, der var lige så gode som HCSEC. I bestyrelsen eller i revisionsudvalget fik de i alle tilfælde ikke forelagt sager om konkrete bekymringer eller trusler, de skulle tage stilling til.

Han kan klart afvise, at TDC på noget tidspunkt har haft en ”ekspropriations strategi” i forhold til forløbet med CFCS’ afgørelse af 21. marts 2023. Han har i alle tilfælde hverken hørt om dette i sin tid i bestyrelsen, som formand for revi sionsudvalget eller fra sine samtaler med TDC’s øvrige ledelse.

Han har ingen erindring om, at han i forbindelse med, at han trådte ind i besty relsen og som formand for revisionsudvalget, blev gjort bekendt med doku menter angående aftaler mellem TDC og Huawei, der lå forud for, at han tiltrå dte.

Foreholdt Master Contract (”Rammeaftale”) af 19. maj 2011 mellem TDC og Huawei har vidnet forklaret, at han ikke husker at have set dokumentet. Nær mere foreholdt pkt. 33 i aftalen har han forklaret, at han ikke erindrer, om der var snak om at ophæve kontrakten med Huawei på baggrund af den foreholdte bestemmelse i kontrakten.

Han husker heller ikke, om dette punkt blev drøftet under bestyrelsesmødet den 5. november 2020. Han blev under det bestyrelses møde heller ikke gjort opmærksom på, at der skulle være sikkerhedsmæssige problemer med Huaweis DWDM-netværk. Som han husker det, havde han dengang ikke noget kendskab til Oversight Board rapporterne.

Han var ikke be kendt med, at Huawei i oktober 2022 blev ”designated vendor” , eller med de tiltag, der blev foretaget i Storbritannien i forhold til Huawei. Han genkender ikke navnet Vidne 1.

Vidne 12 har som vidne for lukkede døre forklaret bl.a., at Dørlukning DørlukningDørlukning Dørlukning

Dørlukning

DørlukningDørlukning Dørlukning DørlukningDørlukning Dørlukning

Dørlukning DørlukningDørlukning Dørlukning DørlukningDørlukning Dørlukning

Dørlukning DørlukningDørlukning DørlukningDørlukning Dørlukning

Dørlukning DørlukningDørlukning Dørlukning DørlukningDørlukning Dørlukning

DørlukningDørlukning Dørlukning DørlukningDørlukning DørlukningDørlukning DørlukningDørlukning Dørlukning

Dørlukning

Dørlukning DørlukningDørlukning DørlukningDørlukning Dørlukning

Dørlukning DørlukningDørlukning Dørlukning

Dørlukning

Vidne 13 har som vidne forklaret bl.a., at han i dag er Stilling 1Stilling 1 Stilling 1. Han har tidligere, i perioden fra den Dato 1 til Dato 2, været Stilling 2 i TDC Group.

Vidnet kan bekræfte, at han var opmærksom på, at statsministeren i foråret 2020 gav et interview angående udenlandske leverandører til den kritiske tele infrastruktur. Dette var kulminationen på en længere proces helt tilbage fra 2013, hvor TDC valgte Huawei som leverandør til 4G-netværket.

Som den største spiller på markedet ville TDC i årene herefter gerne være de første på markedet til at tilbyde 5G-netværk, da dette blev en teknisk mulighed. De begyndte at afsøge mulighederne herfor, og havde herunder drøftelser med Huawei og andre mulige leverandører. Under den proces havde de en ople velse af, at Huawei på en eller anden vis havde fået adgang til informationer i tilbud fra andre mulige leverandører. Der var også andre bekymrende episoder,

104

herunder en episode, hvor vidnet havde indbrud i sit hjem, en episode, hvor han måtte gemme sig på et advokatkontor, ligesom der på mistænkelig vis blev skåret kabler over på TDC’s lokation i By. De havde en klar mistanke om, at det var Huawei, der stod bag disse bekymrende hændelser. De havde in dicier, der støttede dette. Det stod derfor klart for TDC, at Huawei var en leve randør, de ikke kunne stole på.

TDC delte sine bekymringer med CFCS og det endte med, at vidnet og hans familie kom under myndighedernes beskyttelse. Også fra politisk hold kom der et særligt fokus på bekymringen ved kinesiske leverandører til den kritiske teleinfrastruktur. Som han tidligere har udtalt an detsteds, indeholder de fremlagte artikler fra Medie ikke oplysninger, som efter hans opfattelse og viden er forkert.

Vidnet er sikkerhedsgodkendt og har i sin tid som Stilling 2 i TDC haft løbende kontakt på et højt niveau med myndighederne, herunder Forsvarsmini steriet og Forsvarets Efterretningstjeneste. Da han på daværende tidspunkt var Udeladt hos TDC Group, var det naturligt, at det var ham, der fra den øverste ledelse i TDC holdt møderne med MyndighederMyndigheder Myndigheder.

Han har holdt mindst ti møder med flere departementschefer i For svarsministeriet, herunder Person 18 og Person 19, samt flere for skellige chefer i Forsvarets Efterretningstjeneste, herunder Person 3Person 3 Person 3 og Person 10. Møderne havde ofte karakter af fortrolige samtaler på OmrådeOmråde Område, der enten foregik i særlige rum eller under gåture.

Deres drøftelser tog afsæt i, at TDC havde og har en særlig rolle i den kritiske teleinfrastruktur. De havde en god dialog med en god gensidig forståelse. TDC ville gerne bidrage til at løse de problemer, der var, men det blev også gjort klart, at TDC i første række måtte gøre, hvad der var godt for TDC. Der var fokus på, at der skulle findes gode løsninger, der var gode for begge parter.

Der blev fra myndigheder nes side udtrykt stor bekymring for TDC’s valg af leverandør til 5G-netværket. Efter at TDC havde valgt at indgå aftale om 5G-netværket med Ericsson, drøf tede de videre, hvilken betydning det kunne få for TDC, at TDC havde Huawei som leverandør til DWDM-netværket.

Det var tydeligt, at CFCS ikke havde mandat til at diktere noget, men TDC havde forståelse for myndighedernes krav og ville gerne samarbejde. Han gjorde det under drøftelserne klart, at der skulle findes en økonomisk løsning, hvis TDC blev presset til at udskifte DWDM-netværket.

Han gjorde det også klart, at TDC gerne ville optræde som en partner i forløbet, ligesom TDC skulle høres, inden eventuelle lovforslag, der ville ramme TDC, blev sendt i offentlig høring. Det stod helt klart og var uden for enhver tvivl, at en lovgivning om DWDM-netværket ville ramme TDC hårdt.

Han blev lovet, at TDC ville få et udkast til lovforslag i høring forud for andre, så TDC bl.a. kunne komme med input om de økonomiske konsekvenser og om den kritiske nationale infrastruk tur.

105

Der var helt overordnede drøftelser angående testning af Huaweis udstyr, men hverken vidnet selv eller dem i det øverste cheflag blandt myndighederne, han havde kontakt med, havde et dybt teknisk kendskab. Det var aftalt, at spørgs målet om testning blev varetaget på et ret højt niveau hos begge parter. Fra TDC’s side skulle Vidne 7 deltage. Der var dog det praktiske problem, at Vidne 7 er tysker og kun taler engelsk og tysk. De personer, der skulle deltage fra CFCS, havde ikke nødvendigvis matchende sproglige kompe tencer.

Det var et chok for ham, at udkastet til telesikkerhedsloven blev sendt i offent lig høring, uden at TDC forinden havde fået lovforslaget i en fortrolig præhø ring. Han var rystet, idet han ikke blot var blevet lovet, men var blevet garante ret at få lovforslaget i præhøring af både Person 18 og Person 10.

Det var TDC’s diskretionære beslutning at vælge Huawei som leverandør til 4G-net værket, ligesom det var TDC´s diskretionære beslutning at vælge Ericsson som leverandør til 5G-netværket, men det var en politisk beslutning, at TDC ikke længere skulle bruge Huawei som leverandør til DWDM-netværket, hvilket blev stadfæstet ved en lovgivning.

Efter at han stoppede i TDC i Dato 2, havde han ikke længere nogen kontakt med myndighederne.

Han erindrer ikke at kende noget til ”Skriftlig forståelse nr. 1” eller ”Skriftlig forståelse nr. 2” mellem TDC og CFCS, ligesom han ikke erindrer at kende no get til ”Fælles forståelse” mellem CFCS og Huawei. Han har ikke været involve ret i drøftelser om testning ved HCSEC. Det er for ham på et teknisk niveau, som han ikke var involveret i.

Han har heller ikke talt med ledelsen af Huawei om den testning, der måtte foretages af det leverede udstyr. Han har kun en gang, sammen med en anden direktør i TDC Group, haft et møde med Huaweis ledelse fra Kina, hvor de på vegne af bestyrelsen gav Huawei meddelelse om, at Huawei ikke ville blive leverandør til 5G-netværket i Danmark.

Foreholdt Master Contract (”Rammeaftale”) af 19. maj 2011 mellem TDC og Huawei, nærmere pkt. 33 i aftalen, har vidnet forklaret, at der er tale om en kontrakt, der blev indgået flere år inden han tiltrådte i TDC. Han har ikke haft drøftelser med andre i ledelsen i TDC, herunder Vidne 1, Vidne 8Vidne 8 Vidne 8 eller Vidne 7, om, at Huawei ikke overholdt pkt. 33 om testning.

Foreholdt, at vidnet selv og TDC som forklaret havde haft en dårlig oplevelse med Huawei i forbindelse med valget af leverandør til 5G-netværket, men at TDC desuagtet indgik aftale om forlængelse af kontrakten om DWDM-netvær ket kort tid efter, har vidnet forklaret, at det var det, der skulle til, mens myn dighederne ”processede” og fandt ud af, hvad de ville i forhold til regulering af DWDM-netværket. Der havde været en fortrolig dialog om, hvordan TDC kunne honorere statens politiske ønsker, og hvordan TDC kunne blive kompen seret i forhold dertil. I 2020 var dén politiske proces ikke afklaret. Det var TDC’s

106

forståelse, at man kørte videre med DWDM-netværket, og det var også TDC’s ønske. Alternativet – ikke at køre videre med DWDM-netværket – var ikke en mulighed.

Vidne 3 har som vidne forklaret bl.a., at han er uddan net i offentlig forvaltning ved RUC. Han er ikke uddannet i optisk teknologi el ler lignende teknisk uddannelse. Han blev ansat i CFCS i december 2018 som rådgiver inden for cybersikkerhed, hvilken stilling han bestred indtil november 2021, hvor han blev sektionschef i telesektionen, hvilket han har været siden.

Da CFCS blev lagt ind under Styrelsen for Samfundssikkerhed (”SAMSIK”), blev telesektionen dog omdøbt til telekontoret, men det er det samme, de laver. Han har ikke været med til at forfatte ”Skriftlig forståelse nr. 1 eller 2” , da det skete før hans ansættelse i CFCS, men han har kendskab hertil, da det var vigtige do kumenter i relation til TDC, ligesom ”Fælles forståelse” med Huawei var det.

Nærværende sag var noget af det første, han blev sat ind i, da han startede i sektionen. Det kendskab, som han har til tiden forud for, at han tiltrådte stillin gen i november 2021, har han fået som overlevering af andre kolleger. Denne overlevering tog flere dage, da der var så meget historik. Da han var blevet sat ind i sagen, fornemmede han tydeligt sagens alvor.

Foreholdt CFCS’ skrivelse af 1. september 2021 til Energistyrelsen, Center for Tele, hvorved CFCS hørte styrelsen over en påtænkt afgørelse over for TDC, har han forklaret, at høringen fandt sted forud for, at han tiltrådte nævnte stilling. Han ved dog, at man i CFCS gjorde klar, så man eventuelt kunne overbringe et udkast til afgørelse til TDC under det møde, CFCS anmodede om i begyndelsen af december 2021.

Foreholdt mail af 10. november 2021 fra Vidne 8 til Person 1 har han forklaret, at han blev en del af sagen omkring det tidspunkt, mailen blev sendt. Han var dog ikke med på det møde den 9. november 2021, der er omtalt i mailen.

Telesikkerhedsloven blev vedtaget den 8. juni 2021. At anvende de muligheder for forbud, loven hjemler, bliver i CFCS betragtet som et ”last resort” i forhold til det, de fører tilsyn med. Der ligger typisk en længere forløb forud for, at man overvejer at bringe en afgørelse i henhold til telesikkerhedsloven i spil. Vurde ringen angår, om en aftale mellem en teleudbyder og en leverandør kan udgøre en trussel mod statens sikkerhed.

DWDM-netværket er omfattet af begrebet ”kritiske netkomponenter, systemer og værktøjer” i telesikkerhedslovens § 3, stk. 1. Dette begreb er med vilje formu leret meget bredt og omfatter også en lang række andet udstyr end DWDM-net værket. Med den brede formulering er det ikke nødvendigt at foretage ændrin ger i lovtekstens ordlyd i takt med den teknologiske udvikling.

107

Begreberne ”trussel mod statens sikkerhed” og ”væsentlig trussel mod statens sikkerhed” i lovens § 2 og § 3 er forbundet med stor alvor. Begreberne skal for stås i overensstemmelse med EU-retten. Trusler mod teleinfrastrukturen kan få store samfundsmæssige konsekvenser og dermed udgøre trusler mod statens sikkerhed. Som myndighed arbejder de med både konstaterede sårbarheder og risiko for sårbarheder.

Hvis man konstaterer alvorlige sårbarheder i ”kritiske netkomponenter, systemer og værktøjer” er det for sent, for så er skaden sket. Derfor ser de på, om der foreligger en trussel, så de kan nå at reagere, inden skaden sker. Sondringen mellem f.eks.

DWDM- og 5G-netværk er ikke så rele vant for dem – de holder løbende øje med, hvor der kan opstå trusler mod den samlede teleinfrastruktur og dermed mod statens sikkerhed.

Han er ikke uenig i, at et 5G-netværk kan kompromitteres på en anden måde, end et DWDM-netværk vil kunne kompromitteres. En kompromittering kan dog være mange ting. Bare det at kunne skabe ustabilitet i et backbone-netværk som DWDM-netværket vil kunne skabe driftsforstyrrelser, der udgør en trussel, om end i den relativt mindre alvorlige ende af trusselsskalaen.

I den høje ende af trusselsskalaen vil være, hvis man kan sabotere netværket, så det slet ikke virker. Hvis nogen kan få indblik i den datatrafik, der løber i DWDM-netvær ket, vil det også være i den høje ende af trusselskalaen.

Det er i den sammen hæng værd at tage i betragtning, at TDC’s DWDM-netværk ikke kun er vigtigt for TDC og TDC’s kunder, men også for andre teleselskaber, ligesom det er af stor betydning for datatrafikken mellem landene. NUUDAY, der leverer tele foni mv. til staten, og som er en anden gren af TDC Group, anvender også TDC’s netværk, herunder DWDM-netværket.

Der er således mange, der vil blive påvirket, hvis TDC’s netværk f.eks. bliver utilgængeligt, herunder politi og redningstjenester.

Det er ikke afgørende for en trusselsvurdering, om det med sikkerhed kan kon stateres, at der kan ske kompromittering af et netværk. Alene det, at en leveran dør på en overbevisende måde kan true med, at man kan kompromittere net værket, f.eks. ved at insinuere, at man har en ”bagdør” eller en ”afbryderknap” vil i sig selv være en trussel. Som en analogi kan man sige, at det ikke er nød vendigt for at skabe en trussel at hælde gift i drikkevandet. Hvis man blot siger, at der er hældt gift i drikkevandet, vil det tvinge myndighederne til at reagere, ligesom det vil kunne opskræmme befolkningen.

Når de vurderer en leverandør af ”kritiske netkomponenter, systemer og værk tøjer” til en teleudbyder i Danmark, ser de bl.a. på, i hvilket land leverandøren er hjemmehørende. Det har betydning, hvis leverandøren er hjemmehørende i et land, hvor statsmyndighederne har en bestemmende eller potentielt bestem mende indflydelse over leverandørerne, og hvis det pågældende land er kendt for at skade Danmarks interesser. Eksempelvis er der lande som Kina, hvor lov

108

givningen tilsiger, at virksomheder i landet er forpligtet til at samarbejde med landets efterretningstjenester.

CFCS’ interne referat af 11. november 2021 fra et møde med TDC den 9. novem ber 2021 opsummerer meget fint sagens status på daværende tidspunkt. Han fik at vide, at TDC havde sat et nyt managementsystem i værk, NCE-T, der ikke forudgående var testet hos HCSEC på sædvanlig vis, og at der i en længere pe riode havde været dialog mellem TDC og CFCS herom.

Han bad i sin mail af 2. december 2021 til Person 6 om et møde med den administrerende direktør og bestyrelsesformanden hos TDC. Formålet med mødet var at overbringe udkastet til en påtænkt afgørelse efter telesikkerheds loven, så TDC allerede der kunne få afgørelsen i høring. De havde altså et ud kast til afgørelse klar umiddelbart forud for den 2. december 2021.

Sagens alvor taget i betragtning var det CFCS’ vurdering, at det var nødvendigt at involvere TDC’s øverste ledelse. Han har svært ved at sige, om CFCS og TDC på det tids punkt var ”på bølgelængde” , men det måtte have stået TDC klart, at DWDM- netværket var helt essentielt for TDC’s samlede telenetværk, og at CFCS vurde rede, at der var en trussel mod det netværk.

Der var ikke nogen, der som sådan instruerede ham i at sende mailen, men det var blevet vendt med CFCS’ davæ rende konstituerede chef, Vidne 5, at han skulle indkalde til mødet.

Det møde med Person 6 og Person 8, CFCS anmodede om, blev ikke afholdt. Til gengæld blev der efterfølgende afholdt et møde den 14. decem ber 2021, hvor TDC var repræsenteret af Vidne 4 og Person 9. Han deltog ikke selv i mødet og blev heller ikke på dette tidspunkt briefet ind gående om indholdet heraf. Han blev dog briefet på et senere tidspunkt.

Under mødet blev udkastet til afgørelse ikke overbragt til TDC’s repræsentanter, som det ellers tidligere havde været planen. Det var enten Vidne 5 eller Person 15, der sagde til vidnet, at udkastet til afgørelse alligevel ikke skulle overleveres til TDC på det møde. Han var hverken overrasket eller forundret over forløbet mellem den 2. december 2021 og den 14. december 2021.

Der blev også afholdt et møde i april 2022. I den mellemliggende periode fra de cember 2021 til april 2022, genbesøgte CFCS løbende deres vurdering, herunder om man med mindre indgribende midler kunne imødegå den trussel, der var. Det var deres konklusion, at dette ikke var muligt.

Det var formentlig Person 1, der udfærdigede CFCS’ interne referat af 9. maj 2022 fra mødet mellem CFCS og TDC den 26. april 2022. Person 1 havde været i telesektionen siden 2015 eller 2016 og var ”point of contact” til TDC. De skriftlige forståelser, der er omtalt i referatet, var frivillige aftaler. Da der var tale om skriftlige aftaler, går han ud fra, at parterne var bundet heraf. Baggrunden for mødet den pågældende dag var, at det var et problem, at det

109

udstyr, der blev leveret af Huawei, herunder NCE-T styresystemet, ikke blev te stet af HCSEC som forudsat. TDC præsenterede under mødet et forslag til løs ning, hvor udstyret ville blive testet et sted, mens der ville blive foretaget sy stemtest et andet sted. Begge steder var private udbydere af tests, Atsec og Brightsight.

En testning ved Atsec eller Brightsight ville ikke bare være en fort sættelse af den praksis, der hidtil havde været. Det afgørende for CFCS var ikke testningen af de enkelte komponenter uafhængigt af hinanden. Det afgørende for CFCS var, at der skete testning som en systemtest, hvor der blev foretaget en samlet test af alle komponenterne sat sammen.

De forudsætninger, HCSEC havde for at teste udstyret, herunder navnlig systemteste, var markant anderle des end de muligheder, Atsec eller Brightsight havde. Herunder havde HCSEC indblik i Huaweis fulde kildekode, hvilket de private leverandører ikke havde. Huawei ville ikke udlevere kildekode til andre end HCSEC.

Han er dog be kendt med, at det i Oversight Board-rapporterne blev påpeget, at HCSEC må ske ikke havde den fulde kildekode. Der var også den forskel mellem på den ene side HCSEC og på den anden side de private udbydere af tests, at HCSEC var eksperter i Huaweis produkter, mens Atsec og Brightsight testede udstyr fra forskellige leverandører.

Han betvivlede dog ikke kompetencerne hos med arbejderne hos Atsec eller Brightsight.

HCSEC er en engelsk konstruktion, der har til opgave at teste udstyr, der skulle leveres af Huawei til det britiske marked. CFCS havde ikke instruktionsbeføjel ser over HCSEC, og de prøvede heller ikke at give HCSEC instrukser.

CFCS’s viden om, hvad HCSEC foretog sig, fik de fra HCSEC, ligesom de læste Over sight Board-rapporterne og holdt øje med, hvad der blev testet.Det var en for udsætning for HCSEC, at der blev udleveret fuld kildekode. Derfor var det også rimeligt at kræve tests med fuld kildekode, hvis der skulle foretages tests hos andre end HCSEC.

Han ved ikke, hvoraf det fremgår, at HCSEC skulle have ad gang til den fulde kildekode, eller om CFCS ville have accepteret tests fra HC SEC, når de ikke kunne teste den fulde kildekode. Det er nok tvivlsomt. Der var relevante alternativer rundt om i verden, men det handler om forudsætnin gerne for testene.

TDC gav udtryk for, at det ikke kunne lade sig gøre, så på den måde har TDC sikkert haft en opfattelse af, at det var umuligt at efterleve. Det var ikke TDC’s forhold, der gjorde, at man ikke kunne få testet hos HCSEC.

Fra mødet i april 2022 og indtil der skete partshøring af TDC over udkastet til afgørelse i efteråret 2022, genbesøgte CFCS gentagne gange sagen og vurderede indgående, om man kunne træffe mindre indgribende foranstaltninger end at skride til et forbud ved en afgørelse efter telesikkerhedsloven. Det var fortsat deres konklusion, at formålet ikke kunne opnås ved mindre indgribende midler end et forbud.

Det er korrekt, at CFCS som led i sin virksomhed også løbende rådgav og vej ledte TDC og andre teleudbydere om forhold angående overholdelse af gæl

110

dende regler om telesikkerhed. CFCS’ tilsynsvirksomhed angår, om reglerne faktisk bliver overholdt.

CFCS stiller ikke krav til teleudbydere, som centeret ved ikke kan indfris. De stiller krav, som de mener er nødvendige for at opnå formålet med deres tilsyn. CFCS har ikke fra hverken forsvarsministeriets departement, chefen for FE, mi nistre eller politikere fået et pålæg om at få nedlagt et forbud mod TDC’s an vendelse af Huawei som leverandør.

Som et led i sit virke skeler CFCS også til, hvad der sker ved lignende myndig heder i andre sammenlignelige lande, navnlig i Europa, men der finder ikke no gen samordning af praksis sted. Der er tale om en tilfældighed, når de britiske myndigheder to dage efter, at CFCS sendte udkastet til den senere afgørelse af 21. marts 2023 i høring hos TDC, udstedte ”designated vendor direction notice” angående indkøb af Huawei udstyr.

CFCS har ikke noget særligt indblik i, hvad andre europæiske lande gør i for hold til godkendelse af leverandører til DWDM-netværk. De har ikke indgå ende kendskab til, hvordan andre lande har indrettet deres DWDM-netværk, og hvad der anses som kritisk infrastruktur. Det er muligt, at det inden for EU kun er i Danmark og Estland, at der er nedlagt forbud mod at anvende Huawei som leverandør til DWDM-netværk.

Der blev i januar 2023 afholdt et møde mellem CFCS og Huawei som følge af CFCS’ brev af 14. december 2022 til Huawei, hvorved der blev partshørt over udkastet til den senere afgørelse af 21. marts 2023. Huawei ville på mødet høre, om Huawei kunne gøre noget for at undgå, at der ville blive nedlagt et forbud, herunder i relation til foretagelse af tests.

Huawei var også interesseret i at få oplyst, om der ville være offentlighed om en eventuel afgørelse efter telesikker hedsloven. På tidspunktet for mødet var det at finde en tilfredsstillende testløs ning ikke længere en mulighed, også på baggrund af de rapporter, der var kommet fra Oversight Board.

Det havde jo vist sig, at de test, der blev foretaget hos HCSEC, ikke var helt tilfredsstillende, fordi der ikke havde været adgang til den fulde kildekode som lovet. CFCS betragtede ikke længere Huawei som en pålidelig samarbejdspartner, herunder fordi de aftaler, der tidligere var blevet indgået, ikke var blevet overholdt.

CFCS betragtede tværtimod Huawei som en upålidelig samarbejdspartner, bl.a. fordi de indgåede aftaler ikke blev over holdt fra Huaweis side.

Forløbet i forbindelse med TDC’s valg af leverandør til 5G-netværket indgik i CFCS’ vurderinger. Det undrede i det hele taget CFCS, at de sikkerhedsproble mer, som CFCS påpegede og TDC’s egne erfaringer i forbindelse med 5G-net værket, fyldte så lidt i TDC’s risikoanalyse.

111

Han var en af de medarbejdere, der var involveret i både udkastet til afgørelse og den endelige afgørelse af 21. marts 2023. Hans sektion leverede fagligt input til afgørelsen, som blev forfattet af jurister. Efter hans vurdering har afgørelsen ikke grundlæggende ændret begrundelse, når man sammenholder det udkast til afgørelse, der blev sendt i høring hos TDC og den endelige afgørelse.

Der er heller ikke tale om, at man i den endelige afgørelse havde taget noget materiale fra udkastet til afgørelse ud, som der viste sig ikke at være faktuelt belæg for. Det er for ham naturligt, at der er forskel på udkastet til afgørelse og den ende lige afgørelse, idet man jo bl.a. havde modtaget et høringssvar fra TDC, som blev taget i betragtning.

Der havde været jurister involveret i konciperingen af både udkastet til afgørelse, forløbet efter udkastet, herunder med partshørin gen, og i forhold til konciperingen af den endelige afgørelse.

Den tid, der er forløbet fra afgørelsen og frem til i dag, giver ham ikke grundlag for at mene, at man ved afgørelsen af 21. marts 2023 besluttede noget overilet eller forkert. Han mener fortsat, at grundlaget for afgørelsen er til stede.

CFCS fører fortsat et løbende tilsyn med teleoperatører, herunder TDC og den nes leverandører. Der føres i forhold til TDC både tilsyn med afviklingen af Hu awei som leverandør og implementering af Ciena som leverandør. Tilsynet sker på baggrund af bl.a. TDC’s egen rapportering herom til CFCS. Der er fra CFCS’ side ikke stillet krav til Ciena om et særligt testregime, som det, der gjaldt for Huawei.

Det indgik ikke i CFCS’ sagsbehandling, om forbuddet indebar et tab for TDC. Vidnet kan derfor ikke udtale sig om de økonomiske aspekter i forhold til ud skiftningen.

Det er vidnets vurdering, at det er muligt at kompromittere DWDM-netværket på andre måder end ved at lave et fysisk indbrud det sted, hvor udstyret befin der sig, eller ved at slukke for strømmen til udstyret. Der er forskelle mellem 5G-netværket og DWDM-netværket, fordi der er tale om to forskellige netværk steknologier, men grundlæggende er der tale om teknologier, hvorved der sker transport af data.

Han har ikke undersøgt, om man kan spore eller aflytte og af læse enkeltpersoners mobiltelefoner eller computere ved at bryde ind i DWDM-netværket. For ham er det afgørende, at konsekvenserne ved sabotage eller kompromittering af DWDM-netværket vil være så store, som tilfældet er.

Han kan ikke drage den konklusion, at der ikke foreligger en risiko for kompro mittering af DWDM-netværket, blot fordi der i andre sammenlignelige, euro pæiske lande ikke er truffet tilsvarende afgørelser om forbud med at anvende Huawei som leverandør til DWDM-netværk. I Danmark har TDC som nævnt en meget stor rolle, mens man måske i andre lande har flere netværk el.lign.

112

Vidne 14 har som vidne forklaret bl.a., at han oprindeligt er ud dannet officer ved Beredskabsstyrelsen med speciale i kommunikationstjene ster. Han var i sin tid med til at implementere SINE-netværket i Danmark. Han har været ansat i CFCS siden den 1. december 2012, hvor han igennem hele pe rioden har været ansat som beredskabskonsulent i telesektionen, nu telekonto ret i Styrelsen for Samfundssikkerhed, hvorunder CFCS nu hører. Han arbejder med det tekniske tilsyn hos teleudbydere, herunder TDC.

Siden foråret 2013 har han været involveret i sagskomplekset angående Huawei som leverandør til teleudbydere i Danmark, herunder navnlig TDC. Person 2 var hans chef fra 2015 til 2021, hvor Vidne 3 tog over.

Formålet med ”Fælles forståelse” mellem CFCS og Huawei var at få en aftale mellem Huawei og den danske stat, idet Huawei gerne ville ind på det danske marked. På daværende tidspunkt havde CFCS ikke de samme lovgivningsmæs sige rammer til at regulere forholdet mellem teleoperatører og deres leverandø rer, som de har i dag, hvorfor det var nødvendigt med en aftale som et alterna tiv til en afgørelse eller et tilsyn.

Der var allerede i 2010 eller 2011 indgået en forståelse mellem de danske og britiske cybersikkerhedsmyndigheder om, at Danmark kunne trække på den viden og den testning, som de engelske myn digheder i form af HCSEC foretog.

Det blev ved ”Fælles forståelse” aftalt med Huawei, at det udstyr, der skulle leveres til det danske marked, skulle testes på samme måde som det udstyr, der blev leveret til det britiske marked, og som altså blev testet af HCSEC. Centret blev finansieret af Huawei, men var drevet af de britiske myndigheder. CFCS havde ingen indflydelse på, hvad HCSEC fo retog sig.

CFCS kunne ikke anmode om, at bestemte produkter blev testet, og CFCS har heller ikke forsøgt at påvirke HCSEC til at teste produkter til det dan ske marked.

”Skriftlig forståelse nr. 1 og nr. 2” mellem CFCS og TDC blev aftalt bl.a. med henblik på, at TDC kunne få de krav, der fremgår af forståelserne, skrevet ind i de aftaler, TDC indgik med Huawei. På den måde kunne TDC aftaleretligt med Huawei sikre sig at kunne leve op til det, CFCS fandt nødvendigt.

Den testning af Huaweis produkter og systemet, der foregik ved HCSEC, var helt unik og uden sidestykke. HCSEC foretog testning efter ”common criteria” standarderne, men havde herudover mulighed for at foretage testning, der ikke fandtes andre steder, herunder fordi, HCSEC skulle være i besiddelse af Hu aweis fulde kildekode og desuden besad en helt særlig erfaring med og viden om Huaweis produkter. De foretog herunder systemevalueringer, hvor syste met testes i fuld opsætning og ikke blot enkeltvis. Kombineret med adgang til kildekoden giver det mulighed for bl.a. at opdage eventuelle bagdøre til syste met.

113

Han deltog i mødet mellem CFCS og TDC den 7. november 2014. Når der i mø dereferatet henvises til ”SF/FF” betyder det ”Skriftlig forståelse / Fælles forstå else” . CFCS havde konstateret, at Huawei ikke havde leveret det, de skulle. Det materiale, de fik fra Huawei, var heller ikke troværdigt.

Han deltog også i mødet mellem Huawei, TDC og CFCS den 10. december 2015, hvor også en repræsentant fra HCSEC var til stede under dele af mødet. De gennemgik under mødet de enkelte punkter i ”Fælles forståelse” mellem Hu awei og den danske stat. Der var kun to delpunkter, hvor Huawei levede op til aftalen. Herudover var der nogle punkter, hvor Huawei delvist levede op til af talen, og så var der en række punkter, hvor Huawei slet ikke levede op til den. Han fik under mødet indtrykket af, at Huawei enten ikke kunne eller ikke ville leve op til ”Fælles forståelse” . Dette indtryk blev forstærket i de kommende år.

Foreholdt HCSEC Oversight Board annual report 2017, har vidnet forklaret, at de i CFCS var opmærksomme på konklusionerne i Oversight Board rapporten. Nærmere foreholdt rapportens s. 4, pkt. 5.i., har han forklaret, at der til alle ty per software findes en kildekode. Denne kildekode bliver kompileret til en bi nær kode, når det skal ”ind i” noget udstyr som en computer eller en router.

Bi nær ækvivalens går ud på, at man med det eksakt samme resultat skal kunne kompilere kildekoden til det software, der har været testet og det software, der er leveret. Grundlæggende konstaterede man ved testningen af kildekoden til Huaweis software, at der ikke var binær ækvivalens mellem det, der blev testet og det, der blev leveret.

Det software, der er blevet testet, har altså ikke været præcis det samme som det, der er blevet leveret til udstyret. Denne uoverens stemmelse kan indebære, at der kan være indbygget en ”bagdør” i det software, der er blevet leveret, men som ikke har kunnet konstateres i det software, der er blevet testet.

Efter vidnets opfattelse kan DWDM-netværk blive kompromitteret uden fysisk adgang på den måde, at der i den software, som ligger på hardwaren, kan ind bygges en ”bagdør” , som kan give en adgang til DWDM-udstyret, herunder NCE-T styresystemet. Ad denne bagdør kan man potentielt gøre netværket ustabilt eller i værste fald afbryde det eller aflæse data herfra.

Alle typer af ud styr som det, Huawei har leveret, har en ”out of band” funktion, hvormed man kan tilgå udstyret i nødsituationer. Det er navnlig ved en sådan ”out of band” , man kan etablere en ”bagdør” . Der kan potentielt etableres en sådan adgang via installation af en opdatering, en ”patch” , til softwaren, som ikke har været sik kerhedstestet.

Man kan ad denne vej komme ind i systemet, hvis man vel at mærke kan bryde igennem TDC’s sikkerhed, hvor man har pakket ”out of band” ind i forskellige lag af beskyttelse.

Foreholdt TDC’s ”slide” nr. 5, ”Status på skriftlig forståelse 1 (DWDM)” i op lægget til kvartalsmødet mellem TDC og CFCS den 19. september 2017 sam

114

menholdt med TDC’s ”slide” nr. 21, ”Huawei testplaner” i oplægget til kvar talsmødet mellem TDC og CFCS den 28. oktober 2019, har vidnet forklaret, at det blev oplyst, at der ikke kunne ske testning hos HCSEC, medmindre der var tale om udstyr, der også skulle leveres til det britiske marked. Man drøftede testning hos Atsec.

Der blev efter anmodning fra TDC indgået en konkret aftale om, at der kunne ske testning af OSN1800-udstyret og en radiostation til TDC’s mobilnetværk hos Atsec. Ud over disse to produkter, havde CFCS ikke givet til ladelse til, at der skete testning af produkter andre steder end hos HCSEC. Vid net ved dog, at det skete, at TDC anvendte testning hos Atsec, selvom CFCS ikke havde godkendt det.

Det skete også, at der var patches til software, der ikke blev testet, fordi det skulle gå hurtigt. Det var CFCS nødt til at acceptere, fordi systemet potentielt kunne gå ned, hvis patchen ikke blev installeret. Hen synet til forsyningssikkerheden gjorde altså, at de blev nødt til at acceptere, at der ikke skete godkendelse af alle patches.

CFCS havde i henhold til ”Fælles forståelse” krav på at få koden til patches op bevaret og udleveret, men dette krævede CFCS på intet tidspunkt af Huawei, da der ikke har været konstaterede kompromitteringer, der gjorde dette nød vendigt.

Han var involveret i udarbejdelsen af udkast til ”Skriftlig forståelse nr. 3” af 20. december 2019, herunder pkt. 6.a. De drøftede, at der i et vist omfang kunne ske testning andetsteds, f.eks. hos Atsec, hvis HCSEC ikke kunne levere testning. Problemet med testning andre steder end hos HCSEC var imidlertid, at de test leverandører, der var tale om, ikke havde de samme forudsætninger for test ning som HCSEC, herunder i forhold til kildekode. Huawei ville ikke udlevere kildekode til andre.

Der er forskel på test af udstyr og systemtest. Alle komponenter kan i sig selv testes og være i orden, men hvis man sætter komponenterne sammen, kan der som følge af sammensætningen af udstyret opstå en kompromittering, f.eks. i form af en bagdør. Der er ingen andre end HCSEC, der har lavet systemtest af Huaweis udstyr.

CFCS har heller ikke på noget tidspunkt godkendt dette. ”Skriftlige forståelse nr. 3” blev aldrig endeligt indgået. Den blev udsat flere gange, bl.a. kom TDC med en meddelelse om, at man var i nye drøftelser med Huawei, hvorefter arbejdet gik i stå. Der var tale om en sammenskrivning af ”Skriftlig forståelse nr. 1 og nr. 2” , som jo stadig var gældende.

Foreholdt CFCS’ interne referat af 29. maj 2020 fra mødet den 26. maj 2020 har vidnet forklaret, at CFCS ikke selv kom med et alternativ til testning ved HC SEC, da CFCS ikke kunne finde nogen, der kunne det samme som HCSEC. Her til kom, at det reelt var et forhold mellem TDC og Huawei at få udstyret testet. TDC og Huawei kom med flere forskellige forslag til alternative muligheder for testning.

115

I den tid, der gik, fra CFCS meddelte TDC påbud om at få udkastet til aftale mellem TDC og Huawei (”Amendment 4”) til gennemsyn, og indtil CFCS meldte tilbage den 7. december 2020, rykkede TDC flere gange for svar, angive ligt fordi TDC var bange for, at Huawei ville løbe fra kontrakten, hvorefter TDC ville stå uden support til deres netværk. Hvis TDC mistede supporten fra Hu awei, ville det blive en stor udfordring for TDC.

Foreholdt CFCS’ brev af 7. december 2020 til TDC med tilbagemelding på TDC’s fremsendelse af endelige udkast til aftaler, s. 2, tilbagemeldingen på af taleudkastet, anden ”bullet” , har vidnet forklaret, at det fortsat var CFCS’ opfat telse, at Huawei ikke levede op til kravene, og CFCS fastholdt, at der skulle ske systemtest ved HCSEC. Vidne 1 skrev tilbage, at testning ville ske ved HCSEC. Andet ville nok også have været en ”showstopper” .

Tilbagemeldingen til TDC den 7. december 2020 blev ikke timet med, at udka stet til telesikkerhedsloven samme dag blev sendt i offentlig høring.

HCSEC var klart den bedste løsning der fandtes, og ingen kunne gøre det bedre. Det kan ikke afvises, at der kunne findes et alternativt til HCSEC, men Huawei ville ikke udlevere hele kildekoden til andre end HCSEC. Det viste sig dog efterfølgende, at HCSEC ikke havde fået den fulde kildekode.

Da dette kom for en dag, var begrundelsen herfor fra Huaweis side, at det ikke var den fulde kildekode, der indgik i de produkter, der blev leveret til det britiske mar ked, hvorfor det ikke havde været nødvendigt for Huawei at udlevere den fulde kildekode. Vidnet er ikke klar over, om der er tilfælde, hvor HCSEC ikke har godkendt produkter, der er leveret til det britiske marked.

I vidnets ansættelsesperiode blev der fra CFCS’ side altid taget interne referater af kvartalsmøderne med teleleverandørerne, herunder TDC. På møderne med TDC var det oftest Person 1, der tog referat. Det at tage interne refera ter følger også af den notatpligt, de er underlagt. De interne referater blev ikke delt med teleoperatørerne, men i en periode delte de aktionspunkterne, der blev aftalt under møderne.

Det var ikke ham, der skrev notatet med præcisering af 26. november 2021 af in ternt referat af mødet med TDC vedr. DWDM den 15. marts 2021. Han deltog på mødet sammen med tre andre medarbejdere fra CFCS. De var i forløbet med at udarbejde udkastet til den senere afgørelse af 21. marts 2023 faldet over refe ratet fra mødet den 15. marts 2021, og alle fire deltagere på mødet fra CFCS’s side var enige om, at der var behov for at lave den præcisering, som fremgår af notatet. ”Humlen” af TDC’s udmelding var, at TDC ville køre med DWDM-sy stemet frem til 2030, og ellers måtte der ske betaling for en udskiftning.

116

Vidnet var ikke som sådan ”point of contact” for TDC, men han havde ofte kon takt med Vidne 1 og senere Vidne 8. Stemningen under møderne mellem TDC og CFCS var god, og vidnet opfattede det sådan, at samarbejdet generelt fungerede godt. Der var dog også en vis træghed fra TDC’s side, navn lig i at forsøge at påvirke Huawei til at overholde de aftalte krav.

Han var ikke med til at forfatte afgørelsen af 21. marts 2023, men leverede blot input hertil. De forholdt sig til risikoen for, at der skete kompromittering eller indbrud i DWDM-netværket, ikke om der rent faktisk havde været sådanne problemer.

Vidne 5 har som vidne forklaret bl.a., at han er kandidat i statskundskab og tidligere har arbejdet i Forsvarets Efterretningstjeneste i en række funktioner. I august 2015 skiftede han internt til CFCS, der dengang var en del af efterret ningstjenesten.

Han er ikke teknisk uddannet, men han har igennem sin tid ved CFCS arbejdet tæt sammen med nogle dygtige teknikere, så han fik et godt kendskab til de forskellige begreber. Han var leder af forskellige afdelinger i CFCS, indtil han den 1. november 2021 blev bedt om midlertidigt at lede hele CFCS, idet Person 3 stoppede.

Denne midlertidige funktion be stred han til og med udgangen af april 2022, hvor Person 20 tog over. Han gik derefter tilbage til at være afdelingschef for cyberanalyse i CFCS og senere vicedirektør i Styrelsen for Samfundssikkerhed, da CFCS blev lagt herindunder.

Forevist mail af 2. december 2021 fra Vidne 3 til Person 6 har vidnet forklaret, at mailen blev sendt i en kritisk periode. DWDM- netværket spillede en tiltagende og helt central rolle i den kritiske teleinfra struktur, og der var en bekymrende tendens til, at de ikke længere kunne lægge til grund, at der skete testning af Huaweis udstyr hos HCSEC som forudsat.

Derudover var man ved at overgå til en ”full stack” af Huawei-udstyr. CFCS betragtede situationen som meget alvorlig, og det var vigtigt for dem, at den øverste ledelse hos TDC forstod alvoren i situationen. De håbede, at de under det møde, de foreslog, via en dialog kunne finde en løsning med TDC, der ikke indebar en afgørelse med et forbud.

De endte med at holde et møde med TDC den 14. december 2021. Under mødet gennemgik han den mere tekniske del af CFCS’ bekymringer. Det blev herun der understreget, at ”kritikaliteten” voksede dag for dag. Han opfattede ingen overraskelse hos TDC over alvoren. Særligt Vidne 4 lagde under mødet meget vægt på at forklare, hvilke økonomiske konsekvenser et forbud ville få for TDC.

Det overraskede vidnet, hvor følelsesmæssigt påvirket Vidne 4 virkede, da der blev talt om et forbud. Under mødet blev der ikke stillet spørgsmål til den underliggende præmis om, at TDC’s leverandørforhold til Huawei udgjorde en trussel mod statens sikkerhed. Økonomisk kompensa tion blev også drøftet på mødet. Person 10 sagde, at det ikke havde gang på

117

jord at kompensere TDC økonomisk for et forbud mod at anvende Huawei som leverandør til DWDM-netværket. Der fandt en drøftelse sted herom, der endte ud med, at Person 10 tilkendegav, at han lige ville ”give det en runde mere” , selvom det også blev gjort klart, at han ikke forventede nogen ændret holdning til spørgsmålet.

Efter mødet den 14. december 2021 blev han orienteret lidt om det efterfølgende forløb, men han var som sådan ikke involveret heri. Han stoppede som nævnt som midlertidig chef for CFCS ved udgangen af april 2022 og var derfor ikke in volveret i udarbejdelsen af udkast til afgørelsen af 21. marts 2023 eller selve af gørelsen.

Skønsmand har som vidne forklaret bl.a., at han kan vedstå sin skønsrapport af 21. januar 2026. Foreholdt besvarelsen af spørgsmål 3 sammen holdt med sidste del af besvarelsen af spørgsmål 7 har han forklaret, at både DWDM-udstyret fra Huawei og Ciena har en lang forventet levetid.

Levetiden for udstyr, der produceres i dag, er dog kortere end levetiden for det udstyr, man producerede førhen, f.eks. for 10-15 år siden. Det udstyr, man producerer nu, har nok en holdbarhed på 10 år, mens det udstyr, man producerede for 10-15 år siden, kan holde i måske 25 år. Det er et valg fra producenternes side, at man nu producerer udstyr, der er lavet til at skulle skiftes ud hyppigere end førhen.

Årsagen hertil er nok, at der ikke efterspørges udstyr med en lang leve tid. Det, der navnlig degenerer udstyr og dermed nedsætter udstyrets levetid, er høj varme. En varmeforskel på 10 grader kan gøre en stor forskel. Udstyr produceret førhen var mere solidt, herunder mere varmeresistent.

Foreholdt sin besvarelse af spørgsmål 4 har han forklaret, at en ”større opgrade ring” er, hvor man begynder at ændre på eller udskifter hardwaren og ikke kun softwaren. For 25 år siden, hvor brugen af internettet for alvor var begyndt at boome, var der i netværket ikke kapacitet til den stigende datatrafik, der var be hov for, hvorfor teleoperatørerne måtte udskifte og udbygge sin hardware i net værkssystemerne for at få større kapacitet. Brugen af internettet er nu fladet mere ud.

Hardwaren i DWDM-netværket er modulopbygget. Udskiftning af hardware kan derfor ske delvist og løbende, hvor man fjerner nogle moduler og sætter an dre moduler ind. Han vil betragte flexgrid som en større opgradering. Ved ”lø bende vedligeholdelse” menes vedligeholdelse af alle dele af netværket, så det fortsat fungerer.

Man kan herunder foretage netværksdiagnosticering, der pe ger på, hvilke moduler man næste gang skal udskifte. Sådanne moduler kan være udstyr, der har været udsat for en høj, fysisk belastning, herunder varme, og dermed er blevet slidt ned. Han kan bekræfte, at Huawei har ældre kompo nenter, der ikke længere sælges, men som fortsat lagerføres.

Man kan udskifte gammelt, nedslidt udstyr med sådant helt tilsvarende udstyr, hvis Huawei fort

118

sat har det på lager. Hvor længe komponenter lagerføres, kan afhænge af, om større operatører på verdensplan har købt det samme type netværk.

Foreholdt første del af sin besvarelse af spørgsmål 7 har han forklaret, at han fortsat ikke kan se nogen gevinst ved, at TDC ved en fuldstændig udskiftning af DWDM-netværket får samme version og generation af alt hardware. Der vil gå kort tid, før man bliver nødt til at udskifte nogle dele af netværket, hvor man så igen vil få udstyr af forskellige versioner og generationer, ligesom man havde ved Huawei, og som fungerede fint. En eventuel fordel ved at have samme type udstyr over alt vil derfor hurtigt forsvinde igen.

Foreholdt sin besvarelse af spørgsmål 11 har han forklaret, at flexgrid ikke giver mere kapacitet, men større fleksibilitet. Man er langt fra at nå kapacitetsgræn sen for datatrafik i det udstyr, man har i dag. Der er mange fibre i det, der er gravet ned i jorden i dag, der ikke bliver brugt, såkaldte ”dark fibers” .

Man vil kunne aktivere disse fibre ved at købe nye moduler til DWDM-udstyret og der med udvide kapaciteten, hvis man får behov. Dette er muligt både med det nye og det eksisterende netværk. TDC har ikke flexgrid i metronetværket, men han tror heller ikke, at TDC vil få brug for at have flexgrid i metronetværket inden for den fremtid, man kan se ind i nu.

Foreholdt sin besvarelse af spørgsmål 8 og foreholdt at TDC under sagen selv har oplyst, at der er et mindre strømforbrug ved Cienas udstyr end ved Hu aweis udstyr, har han forklaret, at der er en stor usikkerhed forbundet med vur deringer af strømforbrug. Leverandører prøver ofte at markedsføre sig med at have nyt udstyr med et mindre strømforbrug, men ofte holder det ikke stik.

Man troede eksempelvis, at man ville få en strømbesvarelse ved at gå fra 4G-netværket til 5G-netværket, hvilket leverandøren havde lovet, men det viste sig at gå den stik modsatte vej. Han er derfor ikke overbevist om, at der vil være en strømbesparelse. Han har ikke haft adgang til oplysninger om strømforbrug på Huaweis og Cienas systemer.

Foreholdt sin besvarelse af spørgsmål 6, hvoraf fremgår bl.a., at der i sagens bi lag og almindeligt offentligt tilgængeligt materiale har været tilstrækkelige op lysninger til rådighed for at han har kunnet besvare spørgsmål 7-16 på et ni veau sammenlignelig med analyserapporten Analysis Masons ekspertrapport af 14. september 2023, har han forklaret, at man altid kan gøre tingene mere de taljeret, hvis man har tiden og ressourcerne til det.

Han har holdt sin besvarelse på samme niveau som i nævnte rapport af 14. september 2023. Han er generelt enig i de konklusioner, man er nået til i nævnte rapport, men han mener ikke, at konklusionerne er tilstrækkeligt velunderbyggede. Han mener, at Azura-DRA-DWDM Assessment Report er et mere grundigt produkt, der dog lider af den store mangel, at man har lagt nogle forkerte forudsætninger til grund. Rappor

119

ten tager udgangspunkt i datacenterbehov for techgiganter som Amazon og Google og ikke i klassiske teleoperatører som TDC.

Han ville ønske, at han havde haft mere tid til at udarbejde sin skønsrapport. Han vil tro, at han på en skala fra 1-10, hvor 1 er generel viden og 10 er fuld stændig indsigt, har befundet sig midt på skalaen. Han var også under et bety deligt tidspres. Hvis han havde haft længere tid, kunne hans skønsrapport være udarbejdet mere detaljeret. Han kan dog til fulde stå inde for indholdet af skønsrapporten.

Retsgrundlaget

Af dagældende lov nr. 1567 af 15. december 2015 om net- og informationssik kerhed fremgår følgende bl.a.:

”§ 3. Center for Cybersikkerhed fastsætter regler om minimumskrav til informationssikkerhed for udbydere af offentligt tilgængelige net og tje nester. Reglerne kan omfatte krav om passende tekniske, processuelle og organisatoriske foranstaltninger med henblik på risikostyring i for hold til informationssikkerhed i offentligt tilgængelige net og tjenester og opretholdelse af et passende informationssikkerhedsniveau, herun der krav om, at sådanne foranstaltninger gennemføres på baggrund af dokumenterede og ledelsesforankrede processer.

Stk. 2. C enter for Cybersikkerhed kan påbyde udbydere af offentligt til gængelige net og tjenester at inddrage nærmere angivne områder af de res virksomhed og nærmere angivne trusler mod informationssikkerhe den i deres risikostyringsprocesser efter stk. 1.

Stk. 3. Såfremt det er af væsentlig samfundsmæssig betydning, kan Center for Cybersikkerhed påbyde udbydere af offentligt tilgængelige net og tjenester at træffe konkrete foranstaltninger med henblik på at sikre informationssikkerheden i offentligt tilgængelige net og tjenester. Centeret fastsætter nærmere regler herom.

§ 4. Center for Cybersikkerhed fastsætter regler om oplysnings- og un derretningspligter for udbydere. Reglerne kan omfatte krav om:

…

2) Erhvervsmæssige udbydere af offentligt tilgængelige net og tjene sters underretning af Center for Cybersikkerhed ved påtænkt ind gåelse af aftaler om leverancer, der vedrører væsentlige dele af ud byderens net eller tjenester eller driften heraf. Der kan endvidere stilles krav om, at udbyderne skal indsende et endeligt aftaleudkast til Center for Cybersikkerhed umiddelbart forud for indgåelse af af talen, og at aftalen først kan indgås op til 10 arbejdsdage efter cente rets modtagelse af dette udkast.

...”

120

Bekendtgørelse nr. 566 af 1. juni 2016 om oplysnings- og underretningspligt vedrørende net- og informationssikkerhed, der trådte i kraft den 1. juli 2016, jf. bekendtgørelsens § 15, er udstedt i medfør af bl.a. lovens § 4, nr. 2. Af bekendt gørelsen fremgår følgende bl.a.:

”Underretning af Center for Cybersikkerhed om aftaleforhandlinger

§ 3. Væsentlige erhvervsmæssige udbydere af offentligt tilgængelige net og tjenester skal skriftligt underrette Center for Cybersikkerhed forud for, at der indledes forhandlinger om aftaler, der vedrører kritiske net komponenter, systemer og værktøjer, herunder varetagelse af driften heraf.

Stk. 2. Udbyderne skal skriftligt underrette Center for Cybersikkerhed forud for, at der indledes forhandlinger om tillæg til eksisterende afta ler, som vedrører eller grundet tillægget vil komme til at vedrøre kriti ske netkomponenter, systemer og værktøjer, herunder varetagelse af driften heraf.

§ 4. Underretninger efter § 3 skal indeholde oplysninger om:

1) Hvilke kritiske netkomponenter, systemer og værktøjer, herunder va retagelse af driften heraf, som aftalen påtænkes at omfatte.

2) Aftalens påtænkte omfang.

3) Eventuel placering af opgaver uden for Danmark.

4) Eventuelle leverandører, der påtænkes inddraget i aftaleforhandlin gerne.

5) Overordnet tidsplan for aftaleforhandlingerne.

6) Aftalens påtænkte varighed.

§ 5. Center for Cybersikkerhed kan udstede påbud om, at det endelige udkast til en aftale, der er omfattet af § 3, skal fremsendes til Center for Cybersikkerhed forud for indgåelse af den endelige aftale.

Stk. 2. Den endelige aftale vil herefter først kunne indgås, når udbyde ren har modtaget en tilbagemelding fra Center for Cybersikkerhed. Til bagemeldingen vil blive givet hurtigst muligt og senest 10 arbejdsdage fra Center for Cybersikkerheds modtagelse af aftaleudkastet.

Stk. 3. Såfremt indholdet af et aftaleudkast, som en udbyder har frem sendt til Center for Cybersikkerhed på baggrund af et påbud efter stk. 1, efterfølgende ændres, skal det ændrede aftaleudkast fremsendes til Center for Cybersikkerhed, hvorefter stk. 2 atter finder anvendelse. Dette gælder dog ikke, hvis ændringerne i aftaleudkastet alene er fore

121

taget på baggrund af Center for Cybersikkerheds tilbagemelding efter stk. 2.

§ 6. Center for Cybersikkerhed kan udstede påbud om, at endelige afta ler, der er omfattet af § 3, skal fremsendes til Center for Cybersikkerhed til orientering senest 10 arbejdsdage efter aftaleindgåelsen.”

I medfør af bl.a. § 3, stk. 1, i samme lov blev endvidere udstedt bekendtgørelse nr. 567 af 1. juni 2016 om informationssikkerhed og beredskab i net og tjenester. Heraf fremgår bl.a.:

”Væsentlige erhvervsmæssige udbydere af offentligt tilgængelige net og tjenester

§ 26. Center for Cybersikkerhed kan, såfremt det er af væsentlig sam fundsmæssig betydning, efter en konkret vurdering påbyde væsentlige erhvervsmæssige udbydere af offentligt tilgængelige net og tjenester at foretage en eller flere af følgende foranstaltninger:

1) Gennemførelse af uafhængig sikkerhedsevaluering i forbindelse med leverancer af kritiske netkomponenter, systemer og værktøjer fra en specifik leverandør, såfremt den pågældende leverandør eller den på gældende leverance ud fra en generel sikkerhedsmæssig betragtning el ler det aktuelle trusselsbillede vurderes at udgøre en særlig sikkerheds risiko. Center for Cybersikkerhed kan i den forbindelse stille krav om, at sikkerhedsevalueringen gennemføres af et anerkendt evalueringsor gan, efter en anerkendt international standard og indenfor nærmere fastsatte rammer.

2) Sikring af, at der ikke kan etableres direkte elektroniske supportfor bindelser mellem en leverandør og en udbyder, såfremt den pågæl dende leverandør ud fra en generel sikkerhedsmæssig betragtning eller det aktuelle trusselsbillede vurderes at udgøre en særlig sikkerhedsri siko.

3) Sikring af, at personale, der har adgang til kritiske netkomponenter, systemer og værktøjer, er sikkerhedsgodkendt af den relevante danske sikkerhedsmyndighed.

4) Indstationering af personale, der er sikkerhedsgodkendt af den rele vante danske sikkerhedsmyndighed, hos udenlandske leverandører, som en udbyder har outsourcet hele eller dele af udbyderens net og tje nester eller varetagelsen af driften heraf til. Der kan stilles krav om, at det indstationerede personale, såfremt dette er i overensstemmelse med national lovgivning, skal have adgang til alle relevante systemer og in formationer hos leverandøren med henblik på at udføre sikkerhedskon trol for udbyderen.

122

5) Sikring af, at der på udbyderens foranstaltning i tilfælde af mislighol delse af en kontrakt om outsourcing kan ske hjemtagning af opgaver, der er outsourcede til en udenlandsk leverandør. Der kan herunder stil les krav om, at udbyderen skal fastlægge procedurer for hjemtagning af outsourcede områder.

6) Sikring af, at kritiske styringsprocesser skal godkendes af udbyderen, hvis der er sket outsourcing af drift af net og tjenester.

7) Fastholdelse hos udbyderen af de nødvendige kompetencer til at gennemføre risikovurdering efter § 2, hvis der er sket outsourcing af drift af net og tjenester. Der kan herunder stilles krav om, at udbyderen skal fastholde de nødvendige kompetencer til at foretage validering af, at den leverede driftsydelse svarer til det aftalte.

8) Sikring af, at konfiguration af nærmere bestemte kritiske netkompo nenter, systemer og værktøjer på baggrund af nærmere angivne kon krete trusler og sårbarheder sker i henhold til nærmere fastsatte interna tionale standarder eller anbefalinger.”

Ordlyden af de nævnte bestemmelser i bekendtgørelse nr. 566 af 1. juni 2016 blev uændret videreført ved bekendtgørelse nr. 1256 af 27. november 2019 om oplysnings- og underretningspligt vedrørende net- og informationssikkerhed, der trådte i kraft den 1. januar 2020, jf. bekendtgørelsens § 15. Samtidig blev be kendtgørelse nr. 566 af 1. juni 2016 ophævet.

Af dagældende lovbekendtgørelse nr. 153 af 1. februar 2021 om sikkerhed i net og tjenester, hvorved lov om net- og informationssikkerhed var blevet nyaffat tet, fremgår bl.a.:

” § 4. Center for Cybersikkerhed fastsætter regler om oplysnings- og un derretningspligter for udbydere og udbydere af NUIK-tjenester. Reg lerne kan omfatte krav om:

…

2) Erhvervsmæssige udbydere af offentligt tilgængelige elektroniske kommunikationsnet og -tjenesters underretning af Center for Cybersik kerhed ved påtænkt indgåelse af aftaler om leverancer, der vedrører væsentlige dele af udbyderens net eller tjenester eller driften heraf. Der kan endvidere stilles krav om, at udbyderne skal indsende et endeligt aftaleudkast til Center for Cybersikkerhed umiddelbart forud for indgå else af aftalen, og at aftalen først kan indgås op til 25 arbejdsdage efter centerets modtagelse af dette udkast.

…”

I medfør af bl.a. denne bestemmelse blev udstedt bekendtgørelse nr. 258 af 22. februar 2021 om oplysnings- og underretningspligter vedrørende sikkerhed i

123

net og tjenester, der trådte i kraft den 1. marts 2021, jf. bekendtgørelsens § 16. Bekendtgørelse nr. 1256 af 27. november 2019 samtidig blev ophævet. Af be kendtgørelsen fremgår bl.a.:

”Underretning af Center for Cybersikkerhed om aftaleforhandlinger

§ 3. Væsentlige erhvervsmæssige udbydere af offentligt tilgængelige elektroniske kommunikationsnet og -tjenester skal skriftligt underrette Center for Cybersikkerhed forud for, at der indledes forhandlinger om aftaler, der vedrører kritiske netkomponenter, systemer og værktøjer, herunder varetagelse af driften heraf.

§ 4. Underretninger efter § 3 skal indeholde oplysninger om:

1) Hvilke kritiske netkomponenter, systemer og værktøjer, herunder va retagelse af driften heraf, som aftalen påtænkes at omfatte.

2) Aftalens påtænkte omfang.

3) Eventuel placering af opgaver uden for Danmark.

4) Eventuelle leverandører, der påtænkes inddraget i aftaleforhandlin gerne.

5) Overordnet tidsplan for aftaleforhandlingerne.

6) Aftalens påtænkte varighed.

124

Med den ændring, at fristen i § 5, stk. 2, blev ændret fra ”senest 10 arbejdsdage” til ”senest 25 arbejdsdage” , blev ordlyden af de nævnte bestemmelser i be kendtgørelsen uændret videreført ved bekendtgørelse nr. 1414 af 30. november 2023 om oplysnings- og underretningspligter vedrørende sikkerhed i net og tje nester, der trådte i kraft den 1. januar 2024, jf. bekendtgørelsens § 16. Samtidig blev bekendtgørelse nr. 258 af 22. februar 2021 ophævet.

Af dagældende lov nr. 1156 af 8. juni 2021 om lov om leverandørsikkerhed i den kritiske teleinfrastruktur (her benævnt ”telesikkerhedsloven”) fremgår bl.a.:

”Kapitel 1. Definitioner

§ 1. I denne lov forstås ved:

1) Kritiske netkomponenter, systemer og værktøjer: Operations sup port-systemer, network management-systemer og business support-sy stemer, der kan benyttes til at aflæse, ændre indhold af eller dirigere data, som relaterer sig til slutbrugere, samt hardware, firmware og software, der anvendes i eller i forbindelse med core-net i mobilnet, fastnet og internet eller i centrale routere og servere i backbonenettene eller i kontrolenheder, som anvendes til styring i mobilnettenes radio net.

2) Slutbruger: En bruger af net og tjenester, som ikke på kommercielt grundlag stiller de pågældende net og tjenester til rådighed for andre.

3) Væsentlig erhvervsmæssig udbyder af offentligt tilgængelige elektro niske kommunikationsnet og -tjenester:

a) Udbyder af net, hvor disse net anvendes af mere end 50.000 slut brugere. Ved opgørelsen medregnes de slutbrugere, der har aftale forhold med udbyderens kunder. Radio- og tv-stationer, der er ud bydere af net, er kun omfattet, hvis de har landsdækkende public service-forpligtelser.

b) …

Kapitel 2. Nedlæggelse af forbud af hensyn til leverandørsikkerhed i den kritiske teleinfrastruktur

§ 2. Center for Cybersikkerhed kan i særlige tilfælde forbyde en væsent lig erhvervsmæssig udbyder af offentligt tilgængelige elektroniske kommunikationsnet og -tjenester at indgå en aftale, der vedrører kriti ske netkomponenter, systemer og værktøjer, herunder varetagelsen af

125

driften heraf, hvis aftalen vurderes at udgøre en trussel mod statens sik kerhed.

Stk. 2. Ved vurderingen efter stk. 1 kan Center for Cybersikkerhed lægge vægt på forhold vedrørende den leverandør, som udbyderen øn sker at anvende. I vurderingen vil bl.a. kunne indgå, om leverandøren, leverandørens væsentligste underleverandører og aktører, der udøver kontrol over eller har betydelig indflydelse på leverandøren,

1) er hjemmehørende i eller varetager produktionen eller driften fra et land, som Danmark ikke har indgået en sikkerhedsaftale med, eller som Danmark ikke har et tilsvarende sikkerhedsmæssigt samarbejde med,

2) er hjemmehørende i eller varetager produktionen eller driften fra et land, hvor det efter det pågældende lands lovgivning er muligt at på lægge leverandører eller deres underleverandører at udføre eller del tage i forhold, som vil udgøre spionage eller sabotage,

3) direkte eller indirekte kontrolleres af et andet lands statslige organer, herunder militære myndigheder, og

4) er eller har været involveret i aktiviteter i Danmark eller andre lande, som har medført en negativ påvirkning af statens sikkerhed, informa tionssikkerheden eller den offentlige orden.

Stk. 3. Center for Cybersikkerhed kan kun nedlægge forbud efter stk. 1, hvis hensynet til statens sikkerhed ikke effektivt kan varetages ved mindre indgribende foranstaltninger.

§ 3. Center for Cybersikkerhed kan i særlige tilfælde forbyde en væsent lig erhvervsmæssig udbyder af offentligt tilgængelige elektroniske kommunikationsnet og -tjenester at opretholde en indgået aftale, der vedrører kritiske netkomponenter, systemer og værktøjer, herunder va retagelsen af driften heraf, hvis opretholdelse af aftalen vurderes at ud gøre en væsentlig trussel mod statens sikkerhed. Ved vurderingen heraf kan Center for Cybersikkerhed lægge vægt på de forhold, som fremgår af § 2, stk. 2.

Stk. 2. Center for Cybersikkerhed kan endvidere i særlige tilfælde for byde en væsentlig erhvervsmæssig udbyder af offentligt tilgængelige elektroniske kommunikationsnet og -tjenester at anvende kritiske net komponenter, systemer og værktøjer, der er leveret, hvis anvendelsen vurderes at udgøre en væsentlig trussel mod statens sikkerhed. Ved vurderingen heraf kan Center for Cybersikkerhed lægge vægt på de forhold, som fremgår af § 2, stk. 2.

Stk. 3. Center for Cybersikkerhed kan fastsætte en frist for, hvornår en aftale skal være afviklet efter stk. 1, og hvornår anvendelse af kritiske netkomponenter, systemer og værktøjer skal være ophørt efter stk. 2.

126

Stk. 4. Center for Cybersikkerhed kan kun nedlægge forbud efter stk. 1 og 2, hvis hensynet til statens sikkerhed ikke effektivt kan varetages ved mindre indgribende foranstaltninger.

Kapitel 3. Ekspropriation

§ 4. Center for Cybersikkerhed kan i det omfang, det er nødvendigt for gennemførelse af forbud efter kapitel 2, iværksætte ekspropriation af privat ejendom.

Stk. 2. Udgør gennemførelse af forbud efter kapitel 2 et ekspropriativt indgreb, ydes der fuldstændig erstatning til den eller de berørte parter.

Kapitel 4. Forholdet til anden lovgivning samt høring af andre myn - digheder

§ 5. Lov om offentlighed i forvaltningen bortset fra lovens § 13 og for valtningslovens kapitel 4-6 finder ikke anvendelse på sager, der er om fattet af denne lov, jf. dog stk. 2.

Stk. 2. Center for Cybersikkerhed skal i forbindelse med afgørelser efter kapitel 2, 3 og 8 i størst muligt omfang foretage partshøring, jf. forvalt ningslovens kapitel 5, og begrunde afgørelserne, jf. forvaltningslovens kapitel 6.

Stk. 3. Center for Cybersikkerhed skal forud for afgørelser efter kapitel 2 gennemføre en høring af Erhvervsstyrelsen, Energistyrelsen og andre relevante fagmyndigheder.

…

Kapitel 6. Domstolsbehandling

§ 7. Afgørelser efter kapitel 2, 3 og 8 kan alene indbringes for Køben havns Byret.

Stk. 2. Afgørelsen skal indbringes inden 6 måneder efter afgørelsens meddelelse. Københavns Byret kan dog undtagelsesvis tillade en ind bringelse efter 6 måneder.

Stk. 3. I afgørelsen af sagen ved byretten deltager tre dommere.

Stk. 4. Forsvarsministeren eller den, ministeren bemyndiger hertil, kan lade personer, der er ansat i Forsvarsministeriet eller myndigheder un der Forsvarsministeriet, møde for sig i retten som rettergangsfuldmæg tige.

§ 8. Som part i sagen for det offentlige anses forsvarsministeren eller den, ministeren bemyndiger hertil.

127

Stk. 2. Retten beskikker en særlig advokat til at varetage interesser for den, der har indbragt sagen for retten, eller som er indtrådt som part i sagen, og på vegne af denne udøve partsbeføjelser med hensyn til op lysninger af betydning for statens sikkerhed. Om salær og godtgørelse for udlæg til den særlige advokat gælder samme regler som i tilfælde, hvor der er meddelt fri proces, jf. retsplejelovens kapitel 31.

Stk. 3. Den særlige advokat efter stk. 2 skal underrettes om alle retsmø der i sagen og er berettiget til at deltage i disse. Den særlige advokat skal gøres bekendt med og have udleveret kopi af det materiale, som indgår i sagen for retten. Forsvarsministeren eller den, ministeren be myndiger hertil, kan dog bestemme, at der af sikkerhedsmæssige grunde ikke udleveres kopi til den særlige advokat. Spørgsmålet kan af den særlige advokat indbringes for retten.

§ 9. Oplysninger vedrørende statens sikkerhed videregives ikke til par ten, men alene til den særlige advokat efter § 8, stk. 2. Når sådanne op lysninger er videregivet til den særlige advokat, må vedkommende ikke drøfte sagen med parten eller dennes advokat og må ikke udtale sig i retsmøder, hvor parten eller dennes advokat er til stede. Parten og den nes advokat kan til enhver tid give skriftlige meddelelser til den særlige advokat om sagen.

Stk. 2. Retten kan af egen drift eller efter begæring fra den særlige advo kat efter § 8, stk. 2, beslutte, at oplysninger, der er indgået i vurderingen ved afgørelser omfattet af kapitel 2, 3 og 8, videregives til parten og dennes advokat, hvis sikkerhedsmæssige forhold ikke kan begrunde, at oplysningerne ikke videregives.

Afgørelsen træffes ved kendelse, og ef ter at den særlige advokat og forsvarsministeren eller den, ministeren bemyndiger hertil, har haft lejlighed til at udtale sig. Kendelsen kan kæ res af de personer, der er nævnt i 2. pkt. Kære af en afgørelse om, at op lysninger videregives, har opsættende virkning.

Stk. 3. Har retten truffet afgørelse efter stk. 2, 1. pkt., kan forsvarsmini steren eller den, ministeren bemyndiger hertil, bestemme, at de pågæl dende oplysninger ikke indgår i sagen for retten.

Stk. 4. Ingen må deltage som dommer i sagen, hvis den pågældende har truffet afgørelse efter stk. 2, 1. pkt., eller i øvrigt har haft adgang til op lysninger omfattet af en sådan afgørelse og forsvarsministeren eller den, ministeren bemyndiger hertil, har truffet beslutning efter stk. 3 om, at de pågældende oplysninger ikke indgår i sagen for retten.

§ 10. Den del af et retsmøde, der angår eller hvori der fremlægges eller behandles oplysninger af betydning for statens sikkerhed, som ikke er omfattet af en beslutning efter § 9, stk. 2, holdes for lukkede døre. I denne del af et retsmøde deltager den særlige advokat efter § 8, stk. 2, men ikke parten og dennes advokat.

Stk. 2. Retten bestemmer, hvordan retsmøder, der efter stk. 1 helt eller delvis holdes for lukkede døre, gennemføres.

128

§ 11. Retten træffer afgørelse, efter at parterne og den særlige advokat har haft lejlighed til at udtale sig.

§ 12. Justitsministeren antager et antal advokater, der kan beskikkes ef ter § 8, stk. 2, 1. pkt. Justitsministeren kan fastsætte nærmere regler om de pågældende advokater, herunder om vagtordninger, om vederlag for at stå til rådighed og om sikkerhedsmæssige spørgsmål.

§ 13. Reglerne i dette kapitel om sagens behandling i byretten gælder tilsvarende for sagens behandling i landsretten og Højesteret.

…

Kapitel 9. Ugyldighed

§ 16. Aftaler, der er i strid med et forbud efter § 2, stk. 1, eller § 3, stk. 1, er uden gyldighed mellem parterne.

Kapitel 10. Ikrafttrædelse m.v.

§ 17. Loven træder i kraft den 1. juli 2021.

Stk. 2. §§ 1, 3-17 og 19 har virkning for aftaler, der er indgået den 7. de cember 2020 eller senere, jf. dog stk. 3.

Stk. 3. §§ 1, 3-17 og 19 har fra den 1. januar 2026 endvidere virkning for aftaler, der er indgået før den 7. december 2020.

Stk. 4. Forsvarsministeren udarbejder en rapport om erfaringerne med loven, som oversendes til Folketinget 3 år efter lovens ikrafttræden.

…”

Af forarbejderne til loven, lovforslag nr. 190 af 10. marts 2021 (herefter ”forar bejderne til telesikkerhedsloven”), fremgår følgende bl.a.:

”Bemærkninger til lovforslaget

Almindelige bemærkninger

1. Indledning

Danmark er et af de mest digitaliserede lande i verden. Danske myn digheder, virksomheder og borgere er i vidt omfang afhængige af en fungerende teleinfrastruktur, både til dagligt og i krisesituationer. COVID-19-krisen har i særlig grad tydeliggjort, at det er nødvendigt at forstå kritisk infrastruktur bredere i takt med den teknologiske udvik

129

ling. Velfærden og velstanden i det danske samfund afhænger således i høj grad af en velfungerende og sikker teleinfrastruktur.

Digitaliseringen af det danske samfund vil fortsat accelerere i de kom mende år. Det vil føre til revolutionerende nye digitale tjenester og løs ninger, der løbende vil øge Danmarks afhængighed af teleinfrastruktu ren. Der vil ske en stor udbredelse af ny digital teknologi, som f.eks. selvkørende biler og fjernstyring af funktioner i hjemmet, ligesom tele nettet vil blive brugt til at transmittere flere og flere følsomme data.

Den teknologiske udvikling skaber stor værdi for samfundet, men med fører samtidig, at risikoen for, at teleinfrastrukturen bruges til spionage mod eller pression af den danske stat, løbende vil stige. Danmarks sår barhed over for disse trusler vil øges markant, og det stiller nye og større krav til vores håndtering af sikkerheden i teleinfrastrukturen.

Virksomheder, der leverer kritisk teleudstyr eller står for driften af teleudbydernes infrastruktur, kan udgøre en selvstændig trussel, fordi deres adgang til teleinfrastrukturen giver dem mulighed for at udføre sabotage eller spionage. Det er derfor helt afgørende, at der kun anven des pålidelige leverandører til den kritiske teleinfrastruktur.

Mange af Danmarks partnere og allierede er nået til samme erkendelse, og både i EU og NATO er der fokus på, hvordan man effektivt imøde går de sikkerhedsmæssige udfordringer, som senest er blevet aktualise ret af den hastige udrulning af 5G-teknologien i mobilnettet.

For at opnå en tilstrækkelig grad af sikkerhed i teleinfrastrukturen øn sker regeringen at styrke telemyndighedernes muligheder for at sikre den kritiske teleinfrastruktur, bl.a. i forhold til teleudbydernes anven delse af leverandører af kritisk teleudstyr og -tjenester.

Hovedformålet med dette lovforslag er derfor at skabe hjemmel til, at telemyndighe derne kan forbyde konkrete leverandøraftaler vedrørende den kritiske teleinfrastruktur, hvis aftalerne vurderes at udgøre en trussel mod sta tens sikkerhed. Vurderingen vil ske på grundlag af objektive kriterier, og der er således ikke tale om, at lovforslaget er rettet mod bestemte le verandører eller bestemte lande.

Med lovforslaget vil der blive taget et vigtigt skridt for at sikre en ro bust teleinfrastruktur, og derigennem beskytte Danmark mod bl.a. spio nage, sabotage og nedbrud af samfundskritiske funktioner. Desuden vil der ske en væsentlig reduktion af risikoen for, at Danmark kan blive mål for pression fra fremmede stater under konflikter.

Dette tiltag skal ses i sammenhæng med regeringens lovforslag om en dansk screeningsordning og indgrebshjemmel, der kan imødegå de ri sici, der kan være forbundet med fremmede investeringer og andre sær lige økonomiske aktiviteter. Den foreslåede screeningsordning og ind grebshjemmel vil gøre det muligt at gribe ind over for udenlandske in vesteringer og andre særlige økonomiske aktiviteter, der kan udgøre en trussel mod den nationale sikkerhed eller den offentlige orden.

130

2. Lovforslagets baggrund

2.1. Det aktuelle trusselsbillede

Center for Cybersikkerhed vurderer, at der er en høj trussel fra cyber spionage mod telesektoren. Hensigten med cyberspionagen er at få ad gang til oplysninger om kunderne og deres kommunikation, forret ningshemmeligheder eller viden om teleinfrastrukturen, som kan ud nyttes til yderligere cyberspionage.

Telesektoren i Danmark anvender i høj grad eksterne leverandører til levering af it- og teleinfrastruktur samt drift, herunder teknisk support, af teleinfrastruktur. Sektoren er derfor sårbar over for lande, som vil forsøge at udnytte en leverandør fra de pågældende lande til cyberspio nage.

Ved outsourcing overlades beskyttelsen af data og it-systemer reelt til leverandøren. Det stiller store krav til teleudbyderens muligheder for at sikre kontrollen med teleinfrastrukturen. Outsourcing til lande, som f.eks. har en anden lovgivning og sikkerhedskultur end Danmark, kan øge teleinfrastrukturens sårbarhed overfor cybertruslen. Eventuel hjem tagelse eller overdragelse til en anden leverandør kan være vanskelig og tidskrævende.

Den teknologiske udvikling medfører endvidere øget afhængighed af teleinfrastrukturen. Store dele af teleinfrastrukturen er baseret på avan ceret teknologi, der produceres, leveres og vedligeholdes af leverandø rer, som er en del af et globaliseret marked. Nye former for telekommu nikationsteknologi er desuden i højere grad end tidligere baseret på software i form af flere millioner linjers kode, der løbende vil modtage opdateringer og blive udviklet på afstand.

Teleudbydernes leverandørforhold vil derfor fremover spille en endnu mere central rolle end hidtil.

De løbende opdateringer, omfanget af softwaren samt teknologiens kompleksitet medfører, at det er meget svært løbende at verificere, at sikkerheden eller integriteten af Danmarks kritiske teleinfrastruktur ikke undergraves eller kompromitteres.

Ved at presse en leverandør eller underleverandør kan en fremmed stat herudover få viden om, eller adgang til, danske teleudbyderes teleinfra struktur.

Teleleverandørers centrale rolle for teleinfrastrukturen kan desuden sætte Danmark i et afhængighedsforhold til de lande, som en given le verandør er hjemmehørende i. I en politisk eller militær konflikt kan en fremmed stat via kontrol eller pres på leverandøren potentielt forstyrre eller afbryde teletjenester ved at holde kritiske reservedele eller fejlret ninger tilbage eller direkte afbryde driften.

131

2.2. Udviklingen i andre lande

Der er både i EU-regi og i en række lande stigende fokus på håndtering af risici og sårbarheder i den kritiske teleinfrastruktur, i særdeleshed i forbindelse med udrulningen af 5G-teknologien i mobilnettet. Flere lande har således revideret deres lovgivningsmæssige rammer for håndteringen af disse sikkerhedsmæssige udfordringer.

I det følgende beskrives de overordnede elementer i overvejelserne i EU og ordningerne fra tre sammenlignelige lande.

2.2.1. EU’s 5G-toolbox

Foranstaltninger vedrørende sikkerhed i teleinfrastrukturen har været genstand for betydeligt fokus i EU-regi. Der er i den forbindelse udar bejdet anbefalingen ”Cybersecurity of 5G networks EU Toolbox of risk mitigating measures” , den såkaldte 5G-toolbox, vedrørende cybersik kerhed i 5G-netværket. EU’s 5G-toolbox identificerer en række foran staltninger, der kan afbøde de største cybersikkerhedsrisici ved 5G-net værket.

En af de foranstaltninger, som beskrives i EU’s 5G-toolbox, er vurde ring af leverandørernes risikoprofil og følgelig anvendelse af relevante begrænsninger for leverandører, der anses for at udgøre en høj risiko. Sådanne begrænsninger vil kunne omfatte nødvendige udelukkelser for at begrænse risici for aktiver, der defineres som kritiske og følsomme.

2.2.2. Sverige

I Sverige kræves der i medfør af loven om elektronisk kommunikation tilladelse fra de svenske myndigheder til anvendelsen af radiosendere. Tilladelse til anvendelse af radiosendere er en forudsætning for bl.a. at kunne anvende de frekvensbånd, der skal bruges til mobilnetværk.

Det er en forudsætning for at få en tilladelse, at det kan antages, at ra dioanvendelsen ikke kommer til at skade Sveriges sikkerhed. Derud over kan der fastsættes vilkår for tilladelser, hvis dette er af betydning for Sveriges sikkerhed. Sådanne vilkår kan eksempelvis indebære krav til det tekniske udstyr, som er relateret til radioanvendelsen.

Vilkårene kan også have til formål at sikre, at komponenter, leverandører eller servicepersonale, der bruges til eller har forbindelse til radioanvendel sen, opretholder et tilstrækkeligt højt sikkerhedsniveau.

Desuden er det muligt at tilbagekalde en tilladelse eller ændre tilladelsesvilkår øjeblik keligt, hvis radioanvendelsen har skadet Sveriges sikkerhed, eller det kan antages, at radioanvendelsen kommer til at skade Sveriges sikker hed.

Den 20. oktober 2020 udmeldte den svenske Post- og Telestyrelse i for bindelse med en auktion over anvendelse af radiosendere til brug for det kommende 5G-netværk, at det er en forudsætning for at få tilladelse til anvendelsen, at udstyr fra to konkrete leverandører ikke bruges i 5G-

132

netværket. Afgørelsen omfatter 5G-netværkets kerne, periferi, transmis sionsnettet samt overvågnings- og kontrolsystemer, der betegnes som centrale funktioner. Afgørelsen specificerer, at allerede eksisterende komponenter i 3G- og 4G-netværket, der også vil blive brugt til at le vere 5G-tjenester, skal udskiftes senest den 1. januar 2025, såfremt det er leveret af de pågældende leverandører.

Derudover stilles der krav om, at såfremt de centrale funktioner i telenettet er afhængige af personel el ler funktioner placeret i udlandet, skal en sådan afhængighed afvikles og om nødvendigt udskiftes med personel og funktioner placeret i Sve rige senest den 1. januar 2025.

Det fremgår af udmeldingen fra Post- og Telestyrelsen, at afgørelsen hviler på en sikkerhedsmæssig vurdering af, at aftaler med de to leve randører om 5G-udstyr og drift af selve netværket vil udgøre en trussel mod Sveriges nationale sikkerhed. Afgørelsen blev påklaget, men auk tionen over anvendelsen af radiosendere blev gennemført i januar 2021.

2.2.3. Norge

Norges lov om national sikkerhed (sikkerhedsloven) regulerer bl.a. an skaffelser til beskyttelsesværdige informationssystemer, objekter og in frastruktur. Virksomheder skal i medfør af loven sørge for et forsvarligt sikkerhedsniveau for beskyttelsesværdige informationssystemer, objek ter og infrastruktur.

I forbindelse med udrulningen af 5G-netværket har de norske myndigheder over for teleudbyderne præciseret, at et for svarligt sikkerhedsniveau i lovens forstand indebærer, at teleudbyderne skal benytte flere leverandører, hvis de anvender basestationer, der le veres af 5G-leverandører fra et land, Norge ikke har en sikkerhedsaftale med, og at mindst 50 pct. af basestationerne skal leveres af leverandører fra lande, som Norge har en sikkerhedsaftale med.

Ved anskaffelser til beskyttelsesværdige informationssystemer, objekter eller infrastruktur har virksomheder en underretningspligt, hvis de vur derer, at anskaffelsen kan indebære en ikke ubetydelig risiko for, at in formationssystemet, objektet eller infrastrukturen kan blive ramt af eller brugt til virksomhed, der udgør en trussel mod sikkerheden.

I sådanne tilfælde kan der træffes beslutning om, at anskaffelsen ikke kan gen nemføres, eller at der skal fastsættes vilkår for denne. Dette gælder også, hvis der allerede er indgået aftale om anskaffelsen. Der vil kunne gribes ind overfor en allerede indgået aftale, hvis virksomheden ikke har overholdt sin underretningspligt. Der vil også kunne gribes ind i til fælde, hvor trusselsbilledet ændres.

Der er desuden, som en ekstra sikkerhedsmekanisme, en mere generel mulighed for, at der kan træffes nødvendige beslutninger for at hindre virksomhed, der udgør en trussel mod sikkerheden, eller anden plan lagt eller pågående aktivitet, som kan indebære en ikke ubetydelig ri siko for, at nationale sikkerhedsinteresser bliver truet. Muligheden for udsættes kun benyttet i helt særlige tilfælde.

2.2.4. Nederlandene

133

Nederlandene har etableret hjemmel til, at det kan besluttes, at teleud bydere ikke må benytte produkter eller tjenester fra leverandører i de kritiske dele af deres netværk. Det er en forudsætning for beslutningen, at det skal være nødvendigt for at kontrollere risici, der påvirker den nationale sikkerhed eller den offentlige orden. Der skal ved beslutnin gen lægges vægt på, om leverandøren har til hensigt at misbruge eller afbryde et telenet eller en teletjeneste, der udbydes i Nederlandene, el ler om leverandøren har tæt tilknytning til eller er under indflydelse fra en part med en sådan intention.

I vurderingen af, hvorvidt det er nødvendigt at træffe beslutning om at udelukke en leverandør, indgår bl.a., hvorvidt leverandøren kommer fra - eller er under kontrol af - en part fra et land, med lovgivning, der forpligter kommercielle eller private parter til at samarbejde med lan dets regering, herunder særligt samarbejde med statsorganer med an svar for efterretningsvirksomhed eller militær virksomhed.

Det kan også indgå i vurderingen, om leverandøren er en statsejet virksomhed. Endvidere kan det indgå, hvorvidt leverandøren kommer fra et land med en aktiv og offensiv efterretningsstrategi rettet mod Nederlandene eller nederlandske interesser, eller hvorvidt leverandøren kommer fra et land, med hvem Nederlandenes forhold kan være anstrengt i en grad, der kan tænkes at påvirke nederlandske interesser.

2.3. Tilsyn med informationssikkerheden i telesektoren

Center for Cybersikkerhed er myndighed for informationssikkerhed og beredskab i telesektoren. Centeret er en del af Forsvarets Efterretnings tjeneste, og centerets virksomhed er nærmere reguleret i lov om Center for Cybersikkerhed, jf. lovbekendtgørelse nr. 836 af 7. august 2019. Cen terets opgaver som myndighed for informationssikkerhed og beredskab i telesektoren er reguleret i lov om sikkerhed i net og tjenester, jf. lovbe kendtgørelse nr. 153 af 1. februar 2021.

Center for Cybersikkerheds virksomhed er undtaget fra dele af offent lighedsloven og forvaltningsloven.

Det er dog forudsat, at Center for Cybersikkerhed i videst muligt omfang efterlever principperne i offent lighedsloven og forvaltningsloven, og at undtagelserne alene anvendes, hvis der er tale om oplysninger, der vedrører Forsvarets Efterretnings tjenestes efterretningsmæssige del eller centerets egen netsikkerhedstje neste.

Center for Cybersikkerhed er endvidere undtaget fra EU’s data beskyttelsesforordning og databeskyttelsesloven, men der er i stedet i lov om Center for Cybersikkerhed fastsat detaljerede regler om cente rets behandling af personoplysninger.

Center for Cybersikkerheds behandling af personoplysninger er under løbende kontrol af Tilsynet med Efterretningstjenesterne, der hvert år udgiver en redegørelse om det tilsyn, der udøves med Center for Cy bersikkerhed. Årsredegørelsen er offentligt tilgængelig.

3. Lovforslagets hovedpunkter

134

3.1. Forbud af hensyn til leverandørsikkerhed i den kritiske teleinfrastruktur

3.1.1. Gældende ret

De gældende regler om informationssikkerhed i den kritiske teleinfra struktur er fastsat i lov om sikkerhed i net og tjenester, jf. lovbekendtgø relse nr. 153 af 1. februar 2021.

Efter lovens § 4 kan Center for Cybersikkerhed fastsætte regler om op lysnings- og underretningspligter for teleudbydere.

Efter § 4, nr. 2, kan reglerne omfatte krav om erhvervsmæssige udbydere af offentligt til gængelige elektroniske kommunikationsnet og -tjenesters underretning af Center for Cybersikkerhed ved påtænkt indgåelse af aftaler om leve rancer, der vedrører væsentlige dele af teleudbyderens net eller tjene ster eller driften heraf.

Der kan endvidere stilles krav om, at teleudby derne skal indsende et endeligt aftaleudkast til Center for Cybersikker hed umiddelbart forud for indgåelse af aftalen, og at aftalen først kan indgås op til 10 arbejdsdage efter centerets modtagelse af dette udkast.

Bemyndigelsen i § 4, nr. 2, er udmøntet i bekendtgørelse nr. 258 af 22. februar 2021 om oplysnings- og underretningspligter vedrørende sik kerhed i net og tjenester.

Efter bekendtgørelsens § 3, stk. 1, skal væsentlige erhvervsmæssige ud bydere af offentligt tilgængelige elektroniske kommunikationsnet og -tjenester skriftligt underrette Center for Cybersikkerhed forud for, at der indledes forhandlinger om aftaler, der vedrører kritiske netkompo nenter, systemer og værktøjer, herunder varetagelse af driften heraf.

Teleudbyderne skal endvidere efter bekendtgørelsens § 3, stk. 2, skrift ligt underrette Center for Cybersikkerhed forud for, at der indledes for handlinger om tillæg til eksisterende aftaler, som vedrører eller grundet tillægget vil komme til at vedrøre kritiske netkomponenter, systemer og værktøjer, herunder varetagelse af driften heraf.

I bekendtgørelsens § 4 er der fastsat en række krav til indholdet af de underretninger, der skal indsendes i medfør af § 3.

Efter bekendtgørelsens § 5, stk. 1, kan Center for Cybersikkerhed ud stede påbud om, at det endelige udkast til en aftale, der er omfattet af § 3, skal fremsendes til Center for Cybersikkerhed forud for indgåelse af den endelige aftale. Efter stk. 2 vil den endelige aftale herefter først kunne indgås, når teleudbyderen har modtaget en tilbagemelding fra Center for Cybersikkerhed. Tilbagemeldingen vil blive givet hurtigst muligt og senest 10 arbejdsdage fra Center for Cybersikkerheds modta gelse af aftaleudkastet.

Det følger af bekendtgørelsens § 5, stk. 3, at såfremt indholdet af et af taleudkast, som en teleudbyder har fremsendt til Center for Cybersik kerhed på baggrund af et påbud efter stk. 1, efterfølgende ændres, skal det ændrede aftaleudkast fremsendes til Center for Cybersikkerhed,

135

hvorefter stk. 2 atter finder anvendelse. Dette gælder dog ikke, hvis æn dringerne i aftaleudkastet alene er foretaget på baggrund af Center for Cybersikkerheds tilbagemelding efter stk. 2.

Herudover kan Center for Cybersikkerhed efter § 6 udstede påbud om, at endelige aftaler, der er omfattet af § 3, skal fremsendes til Center for Cybersikkerhed til orientering senest 10 arbejdsdage efter aftaleindgåel sen.

Såfremt teleudbyderne ikke følger Center for Cybersikkerheds rådgiv ning, har centeret ikke i dag mulighed for at forbyde aftaler eller anven delse af konkrete komponenter, udstyr og værktøjer.

Efter at en aftale er indgået, vil Center for Cybersikkerhed dog efter § 3, stk. 4, i lov om sikkerhed i net og tjenester kunne påbyde udbydere af offentligt tilgængelige elektroniske kommunikationsnet og -tjenester at træffe konkrete foranstaltninger med henblik på at sikre sikkerheden i net og tjenester. Det er en forudsætning for påbuddet, at det er af væ sentlig samfundsmæssig betydning.

Center for Cybersikkerhed vil end videre efter § 3, stk. 3, i lov om sikkerhed i net og tjenester kunne på byde bl.a. udbydere af offentligt tilgængelige elektroniske kommunika tionsnet og -tjenester at træffe konkrete foranstaltninger, der er nødven dige for at afhjælpe en sikkerhedshændelse eller hindre en sådan i at fo rekomme, når en betydelig trussel er identificeret.

3.1.2. Forsvarsministeriets overvejelser

Efter de gældende regler i lov om sikkerhed i net og tjenester bliver Center for Cybersikkerhed underrettet forud for, at større danske teleudbydere indleder forhandlingerne med leverandører om aftaler, der vedrører leverancer til eller drift af den kritiske teleinfrastruktur. Dermed sikres det, at centeret får mulighed for at rådgive teleudby derne om de sikkerhedsmæssige aspekter, som teleudbyderne bør være opmærksomme på i det efterfølgende forhandlingsforløb.

I konkrete tilfælde kan Center for Cybersikkerhed endvidere beslutte, at det endelige aftaleudkast skal sendes til Center for Cybersikkerhed, hvorefter aftalen først kan indgås, når Center for Cybersikkerhed har meldt tilbage, hvilket dog maksimalt må tage 10 arbejdsdage.

Forsvarsministeriet finder, at der med denne underretningsordning er skabt et velfungerende system, som sikrer, at Center for Cybersikker hed til enhver tid har overblik over, hvilke aftaler de danske teleudby dere har indgået eller forventer at indgå, og hvilke aftaler, der potentielt kan udgøre en trussel mod den kritiske teleinfrastruktur.

Det er endvi dere Forsvarsministeriets vurdering, at ordningen generelt har under støttet et godt og konstruktivt samarbejde mellem Center for Cybersik kerhed og teleudbyderne, hvor teleudbyderne i langt de fleste tilfælde vælger at følge den rådgivning, som de undervejs i aftaleforløbet får fra Center for Cybersikkerhed.

136

Forsvarsministeriet finder dog samtidig, at det alvorlige trusselsbillede, jf. afsnit 2.1 ovenfor, gør det nødvendigt at styrke myndighedernes mu lighed for at sikre den kritiske teleinfrastruktur. Teleinfrastrukturen er helt afgørende for, at det danske samfund kan fungere.

Samfundets vel færd og velstand vil derudover med den teknologiske udvikling i sti gende grad være afhængige af en sikker og velfungerende teleinfra struktur, og der skal derfor sættes effektivt ind for at imødegå trusler mod tilgængelighed og fortrolighed i teleinfrastrukturen. I den forbin delse er teleudbydernes aftaler med leverandører særligt væsentlige.

En række aftaler giver således leverandører adgang til de mest kritiske dele af teleinfrastrukturen, enten gennem leverancer af hardware og software eller gennem varetagelse af driftsopgaver. Det skaber en væ sentlig sårbarhed, såfremt leverandører vælger - eller presses til - at ud nytte denne adgang til at udføre spionage eller sabotage.

Det er derfor altafgørende, at der alene anvendes leverandører til den kritiske telein frastruktur, som der kan være tillid til.

Det er Forsvarsministeriets vurdering, at der er behov for, at der på ob jektivt grundlag foretages en telefaglig vurdering af, om de konkrete af taler, som teleudbyderne ønsker at indgå, kan udgøre en trussel mod statens sikkerhed.

Hvis det er tilfældet, finder Forsvarsministeriet, at den nuværende lovgivning, der alene giver myndighederne mulighed for at rådgive teleudbyderne om sikkerhedsmæssige problemer i afta lerne, er utilstrækkelig.

Det er således uacceptabelt, at der kan opstå en situation, hvor myndighederne har vurderet, at en aftale vil udgøre en trussel mod statens sikkerhed, men hvor der ikke er nogen mulighed for at forhindre, at aftalen indgås og implementeres.

Indgreb i aftaler mellem private virksomheder bør dog efter Forsvars ministeriets opfattelse kun ske i særlige situationer. En forudsætning for, at indgåelse af en aftale forbydes, bør således være, at der er tale om et særligt tilfælde, hvor der dels er tale om en trussel mod statens sikkerhed, dels ikke er mulighed for at anvende mindre indgribende midler.

Forsvarsministeriet finder endvidere, at der bør være mulighed for at forbyde allerede indgåede aftaler.

Det kan f.eks. være tilfældet, hvis en leverandør efterfølgende har fået nye ejere, hvis en leverandør er blevet afsløret i en sabotage- eller spionagehandling i udlandet, eller hvis æn dret lovgivning i leverandørens hjemland betyder, at leverandøren kan forpligtes til at udføre eller facilitere sabotage- eller spionagehandlin ger.

Henset til, at forbud mod en allerede indgået aftale vil være indgri bende, bør det dog være en forudsætning, at der vurderes at være tale om en væsentlig trussel mod statens sikkerhed, og at der ikke er mulig hed for at anvende mindre indgribende midler.

Tilsvarende bør der være mulighed for at forbyde anvendelsen af kriti ske komponenter, systemer m.v., der er leveret som led i en tidligere af tale. Det kan f.eks. være aktuelt, hvis telemyndigheder i udlandet opda ger, at en leverandør har indbygget en bagdør i teleudstyr af samme model, som også er leveret til en dansk teleudbyder.

137

Forsvarsministeriet finder, at en ny og skærpet regulering bør have virkning for aftaler, der indgås fra den dag, hvor dette lovforslag blev sendt i høring. Lovforslaget vil dermed få tilbagevirkende kraft fra det tidspunkt, hvor teleudbyderne har haft mulighed for at gøre sig be kendt med den foreslåede regulering og i fornødent omfang tage højde for, at et lovforslag med dette indhold vil blive fremsat for Folketinget. Den tilbagevirkende kraft sikrer, at der ikke kan ske omgåelse ved, at teleudbyderne fremrykker aftaleindgåelser, således at indgåelserne sker inden lovforslagets ikrafttræden.

Endvidere finder Forsvarsministeriet, at også aftaler, der er indgået før høringstidspunktet, bør omfattes af reguleringen fra den 1. januar 2026. Det er ministeriets vurdering, at meget få aftaler vil have så lang løbe tid, men ordningen vil sikre, at der bliver mulighed for at tage stilling til, om sådanne aftaler skal forbydes, dog således at teleudbyderne har haft næsten fem år til at indrette sig på, at aftalerne bliver omfattet af den skærpede regulering.

3.1.3. Den foreslåede ordning

Det foreslås, at de eksisterende regler i lov om sikkerhed i net og tjene ster suppleres med et ekstra værktøj, så myndighederne kan forhindre, at en teleudbyder indgår eller opretholder en problematisk aftale med en leverandør.

Det foreslås således, at Center for Cybersikkerhed i særlige tilfælde kan forbyde en væsentlig erhvervsmæssig udbyder af offentligt tilgænge lige elektroniske kommunikationsnet og -tjenester at indgå en aftale, der vedrører kritiske netkomponenter, systemer og værktøjer, herunder varetagelse af driften heraf, hvis aftalen vurderes at udgøre en trussel mod statens sikkerhed. Vurderingen vil typisk ske som sidste trin i for bindelse med den underretningsordning, der i forvejen er etableret i medfør af lov om sikkerhed i net og tjenester.

Ved vurderingen af, om en aftale udgør en trussel mod statens sikker hed, vil Center for Cybersikkerhed kunne lægge vægt på forhold vedrø rende den leverandør, som teleudbyderen ønsker at anvende. I vurde ringen vil kunne indgå forhold vedrørende både leverandøren, leveran dørens væsentligste underleverandører samt andre aktører, der udøver kontrol over eller har betydelig indflydelse på leverandøren, f.eks. leve randørens ejere eller bestyrelsesmedlemmer.

Der vil være tale om en samlet vurdering, hvori der vil indgå en række objektive kriterier. Eksempelvis vil Center for Cybersikkerhed kunne lægge vægt på, om en leverandør m.v. er hjemmehørende i eller vareta ger produktionen eller driften fra et land, som Danmark ikke har ind gået en sikkerhedsaftale med, eller som Danmark ikke har et tilsva rende sikkerhedsmæssigt samarbejde med. Der vil også kunne lægges vægt på, om leverandøren m.v. er hjemmehørende i eller varetager pro duktionen eller driften fra et land, hvor det efter det pågældende lands lovgivning er muligt at pålægge leverandører eller deres underleveran

138

dører at udføre eller deltage i forhold, som vil udgøre spionage eller sa botage.

Herudover vil Center for Cybersikkerhed kunne lægge vægt på, om le verandøren m.v. direkte eller indirekte kontrolleres af et andet lands statslige organer, herunder militære myndigheder, samt om leverandø ren m.v. er eller har været involveret i aktiviteter i Danmark eller andre lande, som har medført en negativ påvirkning af statens sikkerhed, in formationssikkerheden eller den offentlige orden.

Det foreslås desuden, at en forudsætning for, at der nedlægges et for bud mod en aftale, vil være, at Center for Cybersikkerhed konkret har vurderet, at hensynet til statens sikkerhed ikke effektivt kan varetages ved mindre indgribende foranstaltninger end et forbud.

Det vil således være en forudsætning, at Center for Cybersikkerhed har forsøgt at råd give teleudbyderen om de tilpasninger af aftalen, som vil være nødven dige, for at den ikke længere vurderes at udgøre en trussel mod statens sikkerhed.

Center for Cybersikkerhed vil også skulle have vurderet re levante muligheder i lov om sikkerhed i net og tjenester, herunder ek sempelvis muligheden for at give påbud om, at teleudbyderen skal fo retage konkrete sikkerhedsforanstaltninger.

Endvidere foreslås det, at Center for Cybersikkerhed får mulighed for i særlige tilfælde at forbyde en væsentlig erhvervsmæssig udbyder af of fentligt tilgængelige elektroniske kommunikationsnet og -tjenester at opretholde en indgået aftale, der vedrører kritiske netkomponenter, sy stemer og værktøjer, herunder varetagelsen af driften heraf, hvis opret holdelse af aftalen vurderes at udgøre en væsentlig trussel mod statens sikkerhed.

Ved vurderingen heraf kan Center for Cybersikkerhed lægge vægt på forhold vedrørende leverandøren, leverandørens væsentligste underleverandører samt aktører, der udøver kontrol over eller har bety delig indflydelse på leverandøren.

Dermed sikres det, at Center for Cybersikkerhed kan nedlægge forbud mod en given aftale, f.eks. hvis der efter aftaleindgåelsen sker ændrin ger vedrørende leverandøren m.v., som medfører, at en aftale, der ikke oprindeligt blev anset for at udgøre en trussel mod statens sikkerhed, nu vurderes at udgøre en væsentlig trussel mod statens sikkerhed. Der vil være tale om en konkret vurdering, men med kravet om, at der skal vurderes at være tale om en væsentlig trussel, forudsættes det, at mu ligheden kun vil blive anvendt i sjældne tilfælde.

Da der er tale om en igangværende aftale, kan Center for Cybersikker hed i den forbindelse fastsætte en frist for, hvornår aftalen skal være af viklet.

Endvidere foreslås det, at Center for Cybersikkerhed i særlige tilfælde kan forbyde en væsentlig erhvervsmæssig udbyder af offentligt tilgæn gelige elektroniske kommunikationsnet og -tjenester at anvende kritiske netkomponenter, systemer og værktøjer, der er leveret, hvis anvendel sen vurderes at udgøre en væsentlig trussel mod statens sikkerhed. Ved vurderingen heraf kan Center for Cybersikkerhed lægge vægt på for

139

hold vedrørende leverandøren, leverandørens væsentligste underleve randører samt aktører, der udøver kontrol over eller har betydelig ind flydelse på leverandøren.

Også her kan Center for Cybersikkerhed fastsætte en frist for, hvornår anvendelsen skal ophøre.

For at sikre et øget incitament for teleudbyderen til at efterleve forbud mod indgåelse af aftaler, forbud mod opretholdelse af aftaler, eller for bud mod anvendelse af kritiske komponenter, systemer m.v. foreslås det desuden, at Center for Cybersikkerhed vil kunne sanktionere en manglende efterlevelse af et forbud ved at træffe afgørelse om at af sætte medlemmer af udbyderens ledelse.

Endelig foreslås det, at loven får virkning for aftaler, der er indgået den 7. december 2020, hvor lovforslaget blev sendt i høring, eller senere, samt at loven fra den 1. januar 2026 endvidere får virkning for aftaler, der er indgået før den 7. december 2020.

Der henvises til de foreslåede §§ 2, 3, 15 og 17 samt bemærkningerne hertil.

Center for Cybersikkerhed udgiver en årlig beretning, der beskriver centerets aktiviteter på det forebyggende område og bringer statistiske oplysninger herom. Desuden indeholder beretningen et overblik over de trusselsvurderinger m.v., der er udsendt i årets løb, således at virk somheder og offentligheden kan få et overblik over risikoen for cybe rangreb. For at sikre åbenhed om anvendelse af de foreslåede mulighe der for at nedlægge forbud, forudsættes det, at statistik om anvendelse af ordningen medtages i Center for Cybersikkerheds årlige beretning.

3.2. Undtagelser fra offentlighedsloven og forvaltningsloven

…

3.3. Særlige rammer for domstolsbehandling

3.3.1. Gældende ret

Det følger af grundlovens § 63, stk. 1, 1. pkt., at domstolene er beretti gede til at påkende ethvert spørgsmål om øvrighedsmyndighedens grænser. Det er fast antaget, at domstolenes adgang til efter grund lovens § 63 at prøve forvaltningsafgørelser i et vist omfang nærmere kan bestemmes ved lov. Der kan bl.a. ved lov fastsættes regler om pro cessuelle spørgsmål og spørgsmål om prøvelsens retsgrundlag og rets følger.

I det omfang en afgørelse om indgreb måtte blive gennemført ved eks propriation, vil der være adgang til domstolsprøvelse efter de særlige regler herom i grundlovens § 73, stk. 3. Det følger bl.a. heraf, at ethvert spørgsmål om ekspropriationsaktens lovlighed og erstatningens stør

140

relse kan indbringes for domstolene. Det antages, at bestemmelsen in debærer, at domstolene skal foretage en mere intensiv prøvelse af admi nistrative ekspropriationsafgørelser end efter grundlovens § 63.

Der er ikke i lov om sikkerhed i net og tjenester, jf. lovbekendtgørelse nr. 153 af 1. februar 2021, fastsat nærmere regler om domstolsprøvelsen af Center for Cybersikkerheds afgørelser. Prøvelsen sker således efter retsplejelovens almindelige regler herom.

3.3.2. Forsvarsministeriets overvejelser

Center for Cybersikkerheds afgørelser efter det foreslåede kapitel 2 og 8 vil kunne prøves ved domstolene efter grundlovens § 63, stk. 1, 1. pkt. Derudover vil centerets eventuelle afgørelser om ekspropriation efter kapitel 3 også kunne prøves ved domstolene efter grundlovens § 73, stk. 3.

Afgørelserne vil imidlertid oftest være baseret på fortroligt materiale såsom højt klassificerede oplysninger, der, hvis de offentliggøres, vil kunne skade Danmarks sikkerhed.

Mod offentliggørelse taler således hensynet til forholdet til fremmede magter, efterretningstjenesternes særlige arbejdsmetoder, beskyttelse af efterretningstjenesternes kilder, samt beskyttelse af efterretningsmæssige samarbejder, der bygger på gensidige tillidsforhold og forsikringer om, at de efterretningsbaserede oplysninger, der deles, ikke videregives til offentligheden uden forud gående tilladelse.

De særlige sikkerhedsmæssige fortrolighedshensyn indebærer, at de oplysninger vedrørende statens sikkerhed, som afgø relserne er baseret på, ikke vil kunne fremlægges i en retssag på sæd vanlig vis eller udleveres til parterne i retssagen.

Forsvarsministeriet har overvejet, hvordan teleudbyderens eller leve randørens ret til domstolsprøvelse kan forenes med de særlige sikker hedsmæssige fortrolighedshensyn. Forsvarsministeriet finder, at disse hensyn kan varetages ved, at der etableres særlige procedureregler, hvorefter domstolsprøvelsen opdeles i en åben og en lukket del.

Der vil under sagens lukkede del kunne ske fremlæggelse af fortroligt materi ale, som af sikkerhedsmæssige grunde ikke kan videregives til parterne i sagen. Til varetagelse af partens interesser under den lukkede del af sagen vil der kunne beskikkes en særlig advokat, som på partens vegne får kendskab til og kan udtale sig om det fortrolige materiale, der frem lægges for retten.

Den særlige advokat vil således kunne udøve partsbe føjelser under den lukkede del af sagen, dog således at den særlige ad vokat ikke må drøfte sagen med parten og partens advokat.

Ved en sådan model kan det bl.a. sikres, at fortroligt materiale alene de les med særligt udpegede, beskikkede advokater, der på betryggende vis kan varetage teleudbyderens eller leverandørens interesser i forbin delse med en retssag om prøvelsen af afgørelser efter kapitel 2, 3 og 8. Det vil være nødvendigt, at de særligt udpegede advokater pålægges tavshedspligt, således at advokaten ikke deler fortroligt materiale.

141

Det er Forsvarsministeriets vurdering, at fastsættelse af sådanne særlige regler for domstolsbehandlingen vil være hensigtsmæssig i forhold til prøvelse af afgørelser om forbud efter kapitel 2, 3 og 8. Formålet med den særlige domstolsbehandling vil være at skabe en balance mellem på den ene side behovet for at beskytte oplysninger af sikkerhedsmæs sige grunde og på den anden side hensynet til, at der er en reel mulig hed for effektiv varetagelse af partens interesser under retssagen.

Lignende ordninger er indført i kapitel 7 b i udlændingeloven, jf. lovbe kendtgørelse nr. 1513 af 22. oktober 2020 med senere ændringer, vedrø rende domstolsprøvelse af sager om administrativ udvisning af udlæn dinge, der må anses for en fare for statens sikkerhed, og § 8 F i lov om dansk indfødsret, jf. lovbekendtgørelse nr. 1191 af 5. august 2020, ved rørende domstolsprøvelse af afgørelser om administrativ fratagelse af statsborgerskab.

3.3.3. Den foreslåede ordning

Det foreslås, at domstolsprøvelsen vedrørende afgørelser omfattet af kapitel 2, 3 og 8 opdeles i en åben og en lukket del.

Der vil under sagens lukkede del kunne ske fremlæggelse af fortroligt materiale, som af sikkerhedsmæssige grunde ikke kan videregives til parterne i sagen. Til varetagelse af partens interesser under den lukkede del af sagen vil der blive beskikket en særlig advokat, som på partens vegne udøver partsbeføjelser under denne del af sagen, dog således at den særlige advokat ikke må drøfte sagen med parten eller dennes ad vokat.

Det foreslås, at afgørelser omfattet af kapitel 2, 3 og 8 alene kan indbrin ges for Københavns Byret inden seks måneder efter afgørelsens med delelse. Københavns Byret kan dog undtagelsesvis tillade en indbrin gelse efter udløbet af fristen. I afgørelsen af sagen ved byretten deltager tre dommere. Forsvarsministeren eller den, ministeren bemyndiger her til, kan lade personer, der er ansat i Forsvarsministeriet eller i myndig heder under Forsvarsministeriet, møde for sig i retten som rettergangs fuldmægtige.

Det foreslås desuden, at det i loven fastslås, at som part i sagen for det offentlige anses forsvarsministeren eller den, ministeren bemyndiger hertil.

Der henvises til de foreslåede §§ 7-13 samt bemærkningerne hertil.

3.4. Hjemmel til ekspropriation

3.4.1. Gældende ret

Det følger af grundlovens § 73, stk. 1, at ejendomsretten er ukrænkelig. Ingen kan tilpligtes at afstå sin ejendom, uden hvor almenvellet kræver det. Det kan kun ske ifølge lov og mod fuldstændig erstatning.

142

To overordnede betingelser skal således være opfyldt for, at der er tale om ekspropriation i grundlovens forstand. For det første skal indgrebet være rettet mod ”ejendom” , som er beskyttet efter grundlovens § 73. For det andet skal indgrebet være ekspropriativt (der skal være tale om afståelse).

Hvis der er tale om et indgreb, der har karakter af ekspropriation i grundlovens forstand, skal tre betingelser være opfyldt for, at indgre bet er i overensstemmelse med grundloven. Indgrebet skal være krævet af almenvellet, det skal ske ifølge lov, og der skal ydes fuldstændig er statning til den berørte ejer.

Grundloven beskytter ikke blot fysiske personer, men også alle typer af juridiske personer, som er etableret (eller overtaget) af private - selska ber, foreninger, selvejende institutioner m.v. Det er traditionelt antaget, at også staten, kommuner og andre juridiske personer etableret (eller fuldt ud overtaget) af det offentlige er beskyttet. Det fremgår dog af ny ere retspraksis, at i hvert fald visse offentlige juridiske personer ikke al tid nyder samme beskyttelse som private.

Udtrykket ”ejendom” i grundlovens § 73 må forstås i vid betydning. Det er således almindeligt antaget, at bestemmelsen ikke alene beskyt ter ejendomsret i traditionel forstand. Også begrænsede rådighedsret tigheder, såsom brugsrettigheder, servitutter og panterettigheder, og rettigheder i henhold til private aftaler er beskyttet af grundlovens ejen domsbegreb.

Det er endvidere almindeligt antaget, at bestemmelsen ikke alene be skytter rettigheder af privatretlig karakter, men også særlige rettigheder af erhvervsmæssig karakter stiftet på offentligretligt grundlag, f.eks. næringsrettigheder.

For at der er tale om ekspropriation i grundlovens forstand, skal der være tale om, at der foretages et ekspropriativt indgreb (afståelse).

Det er i den forbindelse almindeligt antaget i den forfatningsretlige lit teratur og i praksis, at lovgivningsmagten - uden at der foreligger eks propriation - kan regulere udøvelsen af de rettigheder, der er beskyttet af grundlovens § 73, idet lovgivningsmagten bl.a. kan opstille alminde lige regler om begrænsninger i borgernes handlefrihed og i deres råden over, hvad de ejer.

Det er endvidere antaget, at spørgsmålet om, hvor vidt et indgreb har karakter af ekspropriation, må bero på et samlet skøn over indgrebets beskaffenhed.

Som momenter, der må tillægges betydning ved udøvelsen af dette skøn, kan der navnlig peges på ind grebets formål, i hvilken grad indgrebet er generelt eller konkret (her under om det rammer mange eller få personer), indgrebets intensitet, om indgrebet angår en fremtidig eller en aktuel rettighed, om indgrebet går ud på at overføre rettigheden fra den hidtidige ejer til en ny eller på en tilintetgørelse af denne råden, samt indgrebets begrundelse (causa).

143

Lov om sikkerhed i net og tjenester, jf. lovbekendtgørelse nr. 153 af 1. februar 2021, indeholder ikke en specifik hjemmel til at foretage ekspro priation.

3.4.2. Forsvarsministeriets overvejelse

Afgørelsen af, om et forbud i medfør af kapitel 2 vil udgøre ekspropria tion, vil skulle foretages på grundlag af en samlet vurdering af indgre bets beskaffenhed, herunder indgrebets formål, i hvilken grad indgre bet er generelt eller konkret, indgrebets intensitet samt indgrebets be grundelse (causa).

Navnlig det forhold, at forbud mod indgåelse af en aftale efter § 2, stk. 1, opretholdelse af en indgået aftale efter § 3, stk. 1, eller anvendelse af kritiske komponenter, systemer m.v. efter § 3, stk. 2, er begrundet i hen syn til statens sikkerhed, må antages at tale med en vis vægt imod, at der vil være tale om ekspropriation. Der vil på den anden side være tale om indgreb mod konkrete aftaler, som efter omstændighederne vil kunne være af betydelig intensitet over for den pågældende aftalepart. Det kan på den baggrund ikke udelukkes, at et forbud efter omstændig hederne vil kunne anses for ekspropriativt.

Der vil forventeligt sjældent blive truffet afgørelser efter lovens kapitel 2. Men i de tilfælde, hvor der træffes afgørelse, og hvor afgørelsen vil have karakter af ekspropriation, er det væsentligt, at betingelserne i grundlovens § 73 er opfyldt. Indgrebet skal således være krævet af al menvellet, hjemlet i lov og ske mod fuld erstatning.

Det vurderes, at betingelsen om, at et indgreb skal være krævet af al menvellet, vil være opfyldt i relation til forbud efter kapitel 2, idet ind grebene vil ske ud fra et hensyn til statens sikkerhed. Hvis et forbud i medfør af kapitel 2 udgør et ekspropriativt indgreb, skal der i loven være en konkret hjemmel til at foretage ekspropriation.

Idet der ikke ef ter gældende ret er en specifik hjemmel til at foretage ekspropriation i forhold til forbud omfattet af dette lovforslag, finder Forsvarsministe riet, at der vil skulle etableres en hjemmel hertil. Endeligt skal der ydes fuldstændig erstatning til den berørte ejer i de tilfælde, hvor der vil være tale om ekspropriation.

Forsvarsministeriet finder, at dette tyde ligt bør fremgå af en hjemmel til at foretage ekspropriation.

Spørgsmålet om ekspropriationens lovlighed og erstatningens størrelse kan indbringes for domstolene, jf. grundlovens § 73, stk. 3.

3.4.3. Den foreslåede ordning

Det foreslås, at der indsættes en bestemmelse, hvorefter Center for Cy bersikkerhed kan iværksætte ekspropriation, hvis det er nødvendigt for gennemførelse af forbud efter kapitel 2.

144

Det foreslås endvidere, at det eksplicit fremgår af bestemmelsen, at der ydes fuldstændig erstatning til den eller de berørte parter, hvis gen nemførelse af forbud efter kapitel 2 udgør et ekspropriativt indgreb.

Der henvises til den foreslåede § 4 samt bemærkningerne hertil.

4. Forholdet til Danmarks internationale forpligtelser

4.1. Forholdet til Den Europæiske Menneskerettighedskonvention

…

Retten til kontradiktion og princippet om parternes ligestilling, som er nært beslægtede, er fundamentale bestanddele af retten til en retfærdig rettergang i artikel 6, stk. 1. Disse rettigheder er imidlertid ikke abso lutte, hvilket også gør sig gældende for adgangen til sagens materiale.

Konventionsstaterne har således en skønsmargin ved begrænsningen af disse rettigheder, og modstridende interesser, såsom statens sikkerhed m.v., skal vejes op imod partens rettigheder. Der er i den forbindelse tale om en helhedsvurdering af sagens samlede omstændigheder. Der vil dog alene kunne ske begrænsninger i rettigheder, som ikke berører kernen (”the very essence”) af rettighederne i artikel 6, stk. 1.

Med den foreslåede bestemmelse i § 7 kan afgørelser efter kapitel 2, 3 og 8 indbringes for domstolene.

De særlige regler for domstolsbehandlingen, som foreslås i §§ 7- 13, svarer med de nødvendige tilpasninger til reglerne om domstolsbe handling i kapitel 7 b i udlændingeloven, jf. lovbekendtgørelse nr. 1513 af 22. oktober 2020 med senere ændringer, og § 8 F i lov om dansk ind fødsret, jf. lovbekendtgørelse nr. 1191 af 5. august 2020.

De foreslåede bestemmelser i §§ 7-13 varetager hensynet til, at fortrolige og sikker hedsmæssige oplysninger ikke prisgives i forbindelse med en eventuel domstolsbehandling af en afgørelse om nedlæggelse af forbud.

Samti dig sikres det, at alle sagens oplysninger som udgangspunkt fremlæg ges for retten, ligesom den pågældende part beskikkes en særlig advo kat til at varetage sine interesser i forhold til det materiale, der af sikker hedsmæssige grunde vurderes ikke at kunne videregives til den pågæl dende.

Forsvarsministeriet finder på den baggrund, at lovforslaget ikke rejser spørgsmål i forhold til artikel 6.

…

6. Økonomiske og administrative konsekvenser for erhvervslivet m.v.

Lovforslaget kan medføre økonomiske konsekvenser for teleudbyderne og leverandørerne, i de forventeligt sjældne tilfælde, hvor der træffes afgørelse om forbud mod indgåelse af aftaler, eller om forbud mod op retholdelse af aftaler, som betyder, at en økonomisk fordelagtig aftale,

145

der vedrører kritiske netkomponenter, systemer og værktøjer, eller va retagelsen af driften heraf, ikke kan indgås eller opretholdes. Lovforsla get kan endvidere medføre økonomiske konsekvenser for teleudby derne, i de forventeligt sjældne tilfælde, hvor der træffes afgørelse om forbud mod anvendelse af kritiske netkomponenter, systemer eller værktøjer. I de tilfælde, hvor afgørelserne har karakter af ekspropria tion, vil dette dog ske mod fuldstændig erstatning.

Lovforslaget vil endvidere kunne medføre en reduceret konkurrence, fordi teleudbyderne i forbindelse med konkrete aftaler om leverancer potentielt vil kunne vælge mellem færre tilbud fra leverandører, hvilket vil kunne medføre stigende priser og eventuelt have negativ effekt på innovationen på teleområdet.

Den foreslåede ordning baseres på de allerede eksisterende underret ningsforpligtelser i lov om sikkerhed i net og tjenester, jf. lovbekendtgø relse nr. 153 af 1. februar 2021. Lovforslaget forventes dog at kunne få administrative konsekvenser for teleudbydere og deres leverandører, såfremt et forbud medfører behov for at gennemføre et nyt udbud eller en ny aftaleforhandling.

Det vurderes samlet, at lovforslaget har administrative konsekvenser for erhvervslivet på mindre end 4 mio. kr.

Det er vurderet, at visse af principperne for agil erhvervsrettet regule ring er relevante for lovforslaget, og at lovforslaget er i overensstem melse med principperne. Der vurderes således at være tale om helheds tænkende regulering, idet lovforslagets ordning bygger oven på de ek sisterende regler i lov om sikkerhed i net og tjenester. Desuden vurde res lovforslaget at være teknologineutralt, da lovforslaget ikke er rettet specifikt mod én bestemt teknologi på teleområdet.

…

10. Hørte myndigheder og organisationer m.v.

Et udkast til lovforslag har i perioden fra den 7. december 2020 til den 4. januar 2021 været sendt i høring hos følgende myndigheder og organi sationer m.v.:

Advokatrådet, Amnesty International, Bauer Media, Borch Teknik, Ci bicom, Danmarks Radio, Dansk Beredskabskommunikation, Dansk Energi, Dansk Erhverv, Dansk Industri (DI), DANSK IT, Dansk Kabel TV, Danske Advokater, Danske Regioner, Datatilsynet, Den Danske Dommerforening, DI Digital, Domstolsstyrelsen, Fibia, Forenede Dan ske Antenneanlæg, GlobalConnect, Hi3G Denmark, HORESTA, Institut for Menneskerettigheder, IT-Branchen, IT-Politisk Forening, Justitia, KL, Norlys, Præsidenten for Vestre Landsret, Præsidenten for Østre Landsret, Retspolitisk Forening, Rigsombudsmanden i Grønland, Rigsombudsmanden på Færøerne, Rigsrevisionen, Rådet for Digital Sikkerhed, samtlige byretspræsidenter, TDC, TeleDCIS, Teleindustrien

146

(TI), Telenor, Telia Company Danmark, Tilsynet med Efterretningstje nesterne, TT-Netværket, TV 2 DTT og Waoo.

…

Bemærkninger til lovforslagets enkelte bestemmelser

…

Til § 2

Det foreslås med § 2, stk. 1, at Center for Cybersikkerhed i særlige til fælde kan forbyde en væsentlig erhvervsmæssig udbyder af offentligt tilgængelige elektroniske kommunikationsnet og -tjenester at indgå en aftale, der vedrører kritiske netkomponenter, systemer og værktøjer, herunder varetagelse af driften heraf, hvis aftalen vurderes at udgøre en trussel mod statens sikkerhed.

…

Bestemmelsen vil omfatte både indgåelse af nye aftaler og forlængelse af eksisterende aftaler. Hvis aftalen indeholder en option, der indebæ rer, at aftalen kan forlænges på helt uændrede vilkår, vil en sådan for længelse dog ikke være omfattet, men aftalen vil dog være omfattet af den foreslåede § 3. Retsvirkningen af, at der nedlægges forbud mod en aftale, vil være, at hvis aftalen alligevel indgås, vil Center for Cybersik kerhed kunne træffe afgørelse om sanktioner efter den foreslåede § 15, ligesom aftalen vil være ugyldig mellem parterne efter den foreslåede § 16.

Center for Cybersikkerhed vil skulle foretage en samlet vurdering af, om aftalen må anses for at udgøre en trussel mod statens sikkerhed. Ved vurderingen heraf vil Center for Cybersikkerhed tage udgangs punkt i en række objektive kriterier i bestemmelsens nr. 1-4, jf. neden for.

Udtrykket statens sikkerhed anvendes i lov om sikkerhed i net og tjenester og skal forstås i overensstemmelse med det EU-retlige udtryk den nationale sikkerhed. Der vil dermed som udgangspunkt skulle være tale om trusler mod samfundskritiske funktioner og deres kom munikation, herunder deres medarbejderes kommunikation.

Er der alene tale om en trussel om, at der kan ske industrispionage mod pri vate virksomheder, vil det falde udenfor anvendelsesområdet, med mindre industrispionagen har en karakter, hvor den kan udgøre en trussel mod statens sikkerhed, f.eks. hvis der er tale om industrispio nage mod virksomheder i forsvarsindustrien eller forskningsindustrien.

Det følger af den foreslåede bestemmelse, at bestemmelsen finder an vendelse i særlige tilfælde. Ved særlige tilfælde forstås efter bestemmel sen tilfælde, hvor der dels er tale om en trussel mod statens sikkerhed, dels ikke er mulighed for at anvende mindre indgribende midler.

…

147

Til § 3

Det foreslås med § 3, stk. 1, 1. pkt., at Center for Cybersikkerhed i sær lige tilfælde kan forbyde en væsentlig erhvervsmæssig udbyder af of fentligt tilgængelige elektroniske kommunikationsnet og -tjenester at opretholde en indgået aftale, der vedrører kritiske netkomponenter, sy stemer og værktøjer, herunder varetagelsen af driften heraf, hvis opret holdelse af aftalen vurderes at udgøre en væsentlig trussel mod statens sikkerhed.

Mens den foreslåede § 2 finder anvendelse forud for, at en aftale er ind gået, så er anvendelsesområdet for den foreslåede § 3, stk. 1, de situatio ner, hvor der allerede er indgået en aftale. Der vil være tale om aftaler, der er indgået den 7. december 2020 eller senere, idet anvendelsesområ det dog fra den 1. januar 2026 udvides til at omfatte alle aftaler, også af taler indgået før den 7. december 2020, jf. de foreslåede bestemmelser i § 17, stk. 2 og 3.

Bestemmelsen vil først og fremmest finde anvendelse, hvis det ved afta leindgåelsen er blevet vurderet, at der ikke har været grundlag for at nedlægge forbud mod aftalen efter den foreslåede § 2, men der efterføl gende er sket en ændring, som gør, at der ville være blevet nedlagt for bud, hvis de ændrede forhold havde været en realitet ved aftaleindgåel sen.

Disse forhold vil dog skulle udgøre en væsentlig trussel mod sta tens sikkerhed, hvilket er et skærpet krav i forhold til kravet i den fore slåede § 2. For at der foreligger en væsentlig trussel mod statens sikker hed, vil det være et krav, at truslen er mere konkretiseret.

Ændrede for hold vil f.eks. kunne være, at leverandøren har skiftet ejer, at det efter aftaleindgåelsen er konstateret, at leverandøren negativt har påvirket informationssikkerheden i forbindelse med sammenlignelige aftaler i udlandet, eller at der er sket ændringer i lovgivningen i leverandørens hjemland, således at leverandøren kan pålægges at udføre spionage el ler sabotage.

Center for Cybersikkerhed vil typisk få oplysninger om ændrede for hold som led i centerets tilsynsvirksomhed efter lov om sikkerhed i net og tjenester, jf. lovbekendtgørelse nr. 153 af 1. februar 2021, fra den ef terretningsmæssige del af Forsvarets Efterretningstjeneste, fra andre re levante myndigheder i ind- og udland, herunder som led i udvekslin gen af oplysninger om screeninger af direkte investeringer i andre EU-lande, samt fra medieomtale. Center for Cybersikkerhed vil desuden som led i den almindelige sagsoplysning inddrage fagmyndigheder, herunder Erhvervsstyrelsen og Energistyrelsen, i relevant omfang.

Bestemmelsen vil imidlertid også finde anvendelse på aftaler, der ikke tidligere er blevet vurderet efter § 2. Det kan både være aftaler, der er indgået i perioden fra lovens virkningstidspunkt til lovens ikrafttræ den, og aftaler, der omfattes af den foreslåede ordning, når anvendel sesområdet fra den 1. januar 2026 udvides til at omfatte aftaler, der er indgået før den 7. december 2020.

148

Hvis en aftale tidligere har været vurderet efter den foreslåede § 2, vil det være en forudsætning for anvendelse af bestemmelsen, at der er sket en ændring af forhold vedrørende leverandøren m.v. Hvis der alene er tale om, at Center for Cybersikkerhed anlægger en anden vur dering af forhold, der allerede var kendt ved en vurdering efter § 2 forud for aftaleindgåelsen, vil der ikke kunne nedlægges forbud efter den foreslåede bestemmelse.

Center for Cybersikkerhed vil skulle foretage en samlet vurdering af, om aftalen må anses for at udgøre en væsentlig trussel mod statens sik kerhed. Udtrykket statens sikkerhed anvendes i lov om sikkerhed i net og tjenester og skal forstås i overensstemmelse med det EU-retlige ud tryk den nationale sikkerhed.

Der vil dermed som udgangspunkt skulle være tale om væsentlige trusler mod samfundskritiske funktioner, her under deres medarbejderes kommunikation.

Er der alene tale om en væsentlig trussel om, at der kan ske industrispionage mod private virk somheder, vil det falde udenfor anvendelsesområdet, med mindre in dustrispionagen har en karakter, hvor den kan udgøre en væsentlig trussel mod statens sikkerhed, f.eks. hvis der er tale om industrispio nage mod virksomheder i forsvarsindustrien eller forskningsindustrien.

Kerneområdet vil være situationer, hvor Center for Cybersikkerhed vurderer, at der nu er en risiko for, at en leverandør vil misbruge afta len til at forberede eller udføre sabotage mod telenettet, som kan med føre, at telenettet helt eller delvist afbrydes.

Det vil f.eks. kunne være til fældet, hvis aftalen omfatter leverancer, hvor Center for Cybersikker hed vurderer, at der nu er risiko for, at leverandøren indbygger bag døre, som gør det muligt for leverandøren at afbryde eller på anden måde foretage uautoriseret påvirkning af dele af telenettet.

Det vil også være tilfældet, hvis aftalen omfatter drift af systemer, hvor der nu vur deres at være risiko for, at leverandøren gennem adgangen til syste merne vil foretage en hel eller delvis afbrydelse.

Der vil endvidere kunne være tale om situationer, hvor Center for Cy bersikkerhed vurderer, at aftalen indebærer risiko for, at en leverandør nu vil misbruge aftalen til at foretage spionage mod samfundskritiske funktioner, herunder deres medarbejderes eller samarbejdspartneres kommunikation.

Retsvirkningen af, at der nedlægges forbud mod en aftale, vil være, at aftalen bliver ugyldig mellem parterne, jf. den foreslåede § 16. Såfremt aftalen videreføres, vil Center for Cybersikkerhed kunne træffe afgø relse om sanktion efter den foreslåede § 15.

Det foreslås med § 3, stk. 1, 2. pkt., at Center for Cybersikkerhed ved vurderingen kan lægge vægt på de forhold, som fremgår af § 2, stk. 2.

149

Der henvises til bemærkningerne til den foreslåede § 2, stk. 2.

Det foreslås med § 3, stk. 2, 1. pkt., at Center for Cybersikkerhed endvi dere i særlige tilfælde kan forbyde en væsentlig erhvervsmæssig udby der af offentligt tilgængelige elektroniske kommunikationsnet og -tjene ster at anvende kritiske netkomponenter, systemer og værktøjer, der er leveret, såfremt anvendelsen vurderes at udgøre en væsentlig trussel mod statens sikkerhed.

Bestemmelsens anvendelsesområde vil være situationer, hvor en teleudbyder har fået leveret kritiske komponenter, systemer m.v. som led i en aftale med en leverandør, men hvor aftalen ikke længere er ak tiv, f.eks. fordi den alene omfattede den nu gennemførte leverance. Si tuationen vil i så fald ikke være omfattet af det foreslåede stk. 2. Be stemmelse vil give Center for Cybersikkerhed mulighed for at ned lægge forbud mod, at teleudbyderen anvender de leverede kritiske komponenter, systemer m.v., hvis anvendelsen vurderes at udgøre en væsentlig trussel mod statens sikkerhed.

Bestemmelsen vil omfatte kritiske komponenter, systemer m.v., der er leveret som led i aftaler, der er indgået den 7. december 2020 eller se nere, idet anvendelsesområdet dog fra den 1. januar 2026 udvides til at omfatte leverancer, der er sket som led i alle aftaler, også aftaler indgået før den 7. december 2020, jf. den foreslåede § 17, stk. 2 og 3.

Bestemmelsen vil først og fremmest finde anvendelse, hvis det ved afta leindgåelsen er blevet vurderet, at der ikke har været grundlag for at nedlægge forbud mod aftalen efter den foreslåede § 2, men hvor der ef terfølgende er sket en ændring, som gør, at der ville være blevet nedlagt forbud, hvis de ændrede forhold havde været en realitet ved aftaleind gåelsen.

Disse forhold vil dog skulle udgøre en væsentlig trussel mod statens sikkerhed, hvilket er et skærpet krav i forhold til kravet i den fo reslåede § 2. For at der foreligger en væsentlig trussel mod statens sik kerhed, vil det være et krav, at truslen er mere konkretiseret.

Ændrede forhold vil f.eks. kunne være, at det efter aftaleindgåelsen er konstate ret, at leverandøren negativt har påvirket informationssikkerheden i sammenlignelige komponenter, systemer m.v.

Bestemmelsen vil imidlertid også finde anvendelse på visse leverancer efter aftaler, der ikke tidligere er blevet vurderet efter § 2. Det kan både være aftaler, der er indgået i perioden fra lovens virkningstidspunkt til lovens ikrafttræden, og aftaler, der omfattes af den foreslåede ordning, når anvendelsesområdet fra den 1. januar 2026 udvides til at omfatte af taler, der er indgået før den 7. december 2020.

Hvis en aftale tidligere har været vurderet efter den foreslåede § 2, vil det være en forudsætning for anvendelse af bestemmelsen, at der er sket en ændring af forhold vedrørende leverandøren m.v. Hvis der alene er tale om, at Center for Cybersikkerhed anlægger en anden vur dering af forhold, der var kendt ved en vurdering efter § 2 forud for af taleindgåelsen, vil der ikke kunne nedlægges forbud efter den foreslå ede bestemmelse.

150

Center for Cybersikkerhed vil skulle foretage en samlet vurdering af, om komponenten, systemet m.v. må anses for at udgøre en væsentlig trussel mod statens sikkerhed. Udtrykket statens sikkerhed anvendes i lov om sikkerhed i net og tjenester og skal forstås i overensstemmelse med det EU-retlige udtryk den nationale sikkerhed.

Der vil som ud gangspunkt skulle være tale om væsentlige trusler mod samfundskriti ske funktioner og deres kommunikation, herunder deres medarbejderes kommunikation.

Er der alene tale om en væsentlig trussel om, at der kan ske industrispionage mod private virksomheder, vil det falde uden for anvendelsesområdet, med mindre industrispionagen har en karak ter, hvor det kan udgøre en væsentlig trussel mod statens sikkerhed, f.eks. hvis der er tale om industrispionage mod virksomheder i forsvar sindustrien eller forskningsindustrien.

Kerneområdet vil være situationer, hvor Center for Cybersikkerhed vurderer, at der nu er risiko for, at komponenten, systemet m.v. vil mis bruges til at forberede eller udføre sabotage mod telenettet, som kan medføre, at telenettet helt eller delvist afbrydes. Det vil f.eks. kunne være tilfældet, hvis der er tale om kritiske komponenter, systemer m.v., hvor Center for Cybersikkerhed vurderer, at der nu er risiko for, at le verandøren har indbygget bagdøre, som gør det muligt for leverandø ren at afbryde eller på anden måde foretage uautoriseret påvirkning af dele af telenettet.

Der vil endvidere kunne være tale om situationer, hvor Center for Cy bersikkerhed vurderer, at fortsat brug af kritiske komponenter, syste mer m.v. vil indebære risiko for, at en leverandør nu vil misbruge dem til at foretage spionage mod samfundskritiske funktioner, herunder de res medarbejderes eller samarbejdspartneres kommunikation.

Center for Cybersikkerhed vil som nævnt skulle foretage en samlet vur dering. Her vil den potentielle trussel og dennes karakter også skulle vejes op mod karakteren af komponenten, systemet m.v. Jo mere kriti ske dele af telenettet, som komponenten, systemet m.v. anvendes i, jo mindre vil der skulle til, for at der kan siges at være tale om en væsent lig trussel mod statens sikkerhed.

Centeret vil endvidere kunne lægge vægt på, om et forbud vil kunne have negative konsekvenser for telenettets drift, som overstiger de po tentielt negative konsekvenser, hvis den vurderede trussel bliver en rea litet.

Det foreslås med § 3, stk. 2, 2. pkt., at Center for Cybersikkerhed ved vurderingen kan lægge vægt på de forhold, som fremgår af § 2, stk. 2.

Der henvises til bemærkningerne til den foreslåede § 2, stk. 2.

151

Det foreslås med § 3, stk. 3, at Center for Cybersikkerhed kan fastsætte en frist for, hvornår en aftale skal være afviklet efter stk. 1, og hvornår anvendelse af kritiske netkomponenter, systemer og værktøjer skal være ophørt efter stk. 2.

Det forudsættes, at Center for Cybersikkerhed efter høring af teleudby deren foretager en vurdering af på den ene side behovet for hurtigst muligt at fjerne en væsentlig trussel mod statens sikkerhed, og på den anden side hensynet til den fortsatte og stabile drift af den kritiske tele infrastruktur.

Nedlæggelse af forbud bør således ikke føre til, at der sker afbrydelser på telenettet, fordi teleudbyderen ikke har haft mulig hed for at indgå eller implementere en ny aftale. På den baggrund bør Center for Cybersikkerhed som udgangspunkt fastsætte en nærmere frist, som er baseret på, hvornår en loyalt agerende teleudbyder kan have taget de nødvendige forholdsregler.

I særligt alvorlige tilfælde, hvor der f.eks. konstateres et igangværende misbrug, vil Center for Cybersikkerhed dog kunne fastsætte, at aftalen skal afvikles straks, eller at anvendelsen skal ophøre straks.

Det foreslås med § 3, stk. 4, at Center for Cybersikkerhed kun kan ned lægge forbud efter stk. 1 og 2, hvis hensynet til statens sikkerhed ikke effektivt kan varetages ved mindre indgribende foranstaltninger.

Den foreslåede bestemmelse udtrykker et proportionalitetsprincip, hvorefter Center for Cybersikkerhed forud for nedlæggelse af et forbud skal have søgt at opnå det ønskede resultat gennem mindre indgri bende midler.

Det vil således være en forudsætning, at Center for Cy bersikkerhed har forsøgt at rådgive teleudbyderen om de tilpasninger af aftalen eller de sikkerhedsmæssige ændringer af kritiske komponen ter, systemer m.v., som vil være nødvendige, for at der ikke længere vurderes at være en væsentlig trussel mod statens sikkerhed.

Center for Cybersikkerhed vil også skulle have overvejet de relevante muligheder i lov om sikkerhed i net og tjenester, herunder eksempelvis muligheden for at give påbud om, at teleudbyderen skal foretage konkrete sikker hedsforanstaltninger.

Der henvises i øvrigt til afsnit 3.1 i de almindelige bemærkninger.

Til § 4

…

Bestemmelsen i § 4, stk. 1, vil sikre, at et forbud mod en aftale omfattet af den foreslåede § 2, stk. 1, eller § 3, stk. 1 og 2, vil kunne gennemføres, selvom det måtte medføre ekspropriation efter grundlovens § 73.

Det følger af grundlovens § 73, stk. 1, at to overordnede betingelser skal være opfyldt, for at der er tale om ekspropriation i grundlovens for stand. For det første skal indgrebet være rettet mod ”ejendom” , som er

152

beskyttet efter grundlovens § 73. For det andet skal indgrebet være eks propriativt (der skal være tale om afståelse).

Hvis der er tale om et indgreb, der har karakter af ekspropriation i grundlovens forstand, skal tre betingelser være opfyldt, for at indgre bet er i overensstemmelse med grundloven. Indgrebet skal være krævet af almenvellet, det skal ske ifølge lov, og der skal ydes fuldstændig er statning til den berørte ejer. Betingelsen om, at et indgreb skal være krævet af almenvellet, vil altid være opfyldt, idet et forbud efter kapitel 2 skal ske ud fra et hensyn til statens sikkerhed.

For at der er tale om ekspropriation i grundlovens forstand, skal der være tale om, at der foretages et ekspropriativt indgreb (afståelse).

Det er endvidere antaget, at spørgsmålet om, hvor vidt et indgreb har karakter af ekspropriation, må bero på et samlet skøn over indgrebets beskaffenhed.

Indgreb efter § 2, stk. 1, eller § 3, stk. 1 og 2, vil altid have til formål at beskytte statens sikkerhed. Navnlig det forhold, at forbud mod indgå

153

else af en aftale efter § 2, stk. 1, opretholdelse af en indgået aftale efter § 3, stk. 1, eller anvendelse af kritiske komponenter, systemer m.v. efter § 3, stk. 2, vil være begrundet i hensyn til statens sikkerhed, må antages at tale med en vis vægt imod, at der vil være tale om ekspropriation. Der vil på den anden side være tale om indgreb mod konkrete aftaler, som efter omstændighederne vil kunne være af betydelig intensitet over for den pågældende aftalepart. Det kan på den baggrund ikke udelukkes, at et forbud efter omstændighederne vil kunne anses for ekspropriativt.

Efter det foreslåede § 4, stk. 2, ydes fuldstændig erstatning til den eller de berørte parter, hvis gennemførelsen af foranstaltninger efter denne lov udgør et ekspropriativt indgreb.

Ekspropriation kan alene ske mod fuld erstatning, jf. grundlovens § 73, stk. 1. I det omfang en afgørelse om indgreb måtte blive gennemført ved ekspropriation, vil der være adgang til domstolsprøvelse efter de særlige regler herom i grundlovens § 73, stk. 3.

Der henvises i øvrigt til afsnit 3.4 i de almindelige bemærkninger.

…

Til § 7

…

De foreslåede regler for særlig domstolsprøvelse tager udgangspunkt i de lignende bestemmelser i kapitel 7 b i udlændingeloven, jf. lovbe kendtgørelse nr. 1513 af 22. oktober 2020 med senere ændringer, som indeholder særlige regler for domstolsprøvelse af visse beslutninger om administrativ udvisning af udlændinge, der må anses for en fare for sta tens sikkerhed, samt § 8 F i lov om dansk indfødsret, jf. lovbekendtgø relse nr. 1191 af 5. august 2020, vedrørende domstolsprøvelse af afgørel ser om administrativ fratagelse af statsborgerskab.

Til § 8

I § 8, stk. 1, foreslås det, at som part i sagen for det offentlige anses for svarsministeren eller den, ministeren bemyndiger hertil.

Bestemmelsen vil indebære, at det vil være forsvarsministeren, eller den minister bemyndiger hertil, der vil kunne udøve de sædvanlige ci vilprocessuelle partsbeføjelser i sagen, jf. dog nedenfor om den særlige advokat, der vil blive beskikket for den, der har indbragt sagen for ret ten, eller som er indtrådt som part i sagen.

I § 8, stk. 2, 1. pkt., foreslås det, at retten beskikker en særlig advokat til at varetage interesser for den, der har indbragt sagen for retten, eller som er indtrådt som part i sagen, og på vegne af denne udøve partsbe føjelser med hensyn til oplysninger af betydning for statens sikkerhed.

154

Bestemmelsen vil indebære, at den særlige advokat vil kunne udøve partsbeføjelser med hensyn til oplysninger af betydning for statens sik kerhed, der er indgået i vurderingen af, om en aftale vurderes at udgøre en trussel mod statens sikkerhed, hvis disse af sikkerhedsmæssige grunde ikke vil kunne videregives til parten og dennes advokat. Tredje mand vil kunne indtræde i sagen som part efter de almindelige regler om intervention og adcitation i retsplejeloven.

Parten og dennes advokat vil ikke have adgang til de pågældende op lysninger og vil ikke have mulighed for at udøve de sædvanlige parts beføjelser, herunder navnlig at kunne vurdere og udtale sig om de på gældende oplysninger, selv om disse vil blive fremlagt for retten og vil indgå i grundlaget for rettens afgørelse.

Dette vil i stedet blive varetaget af den særlige advokat, der vil have indsigt i og mulighed for at udtale sig om det materiale, som vil blive fremlagt for retten med henblik på at indgå i sagen, herunder de fortrolige oplysninger, som af sikkerheds mæssige grunde ikke vil kunne videregives til parten og dennes advo kat.

Den særlige advokat vil udøve partsbeføjelser på vegne af parten med hensyn til disse fortrolige oplysninger, men vil ikke i øvrigt være part eller partsrepræsentant i sagen.

I det omfang parten sammen med sin advokat vil kunne udøve sædvanlige civilprocessuelle partsbeføjelser, herunder med hensyn til oplysninger, som vil være videregivet til par ten og fremlagt i retten, vil den særlige advokat således ikke optræde på vegne af parten. Den særlige advokat vil f.eks. have indsigt i og kunne udtale sig om oplysninger, som er undtaget af sikkerhedsmæs sige grunde.

Den særlige advokat vil også kunne fremsætte begæring om, at sådanne oplysninger vil skulle videregives til parten og dennes advokat, jf. den foreslåede bestemmelse i § 8, stk. 2, og vil kunne kære rettens afgørelse om, at oplysningerne ikke skal videregives.

Den sær lige advokat vil derimod ikke have en almindelig adgang til f.eks. at kære rettens procesledende afgørelser under sagens behandling i den åbne del af domstolsprøvelsen eller at indbringe byrettens endelige af gørelse i sagen for landsretten. Dette vil tilkomme den, som er part i sa gen, jf. forslaget til § 8, stk. 1.

Justitsministeren antager et antal advokater, der kan beskikkes som særlige advokater i sager om domstolsprøvelse af afgørelser efter lov forslagets kapitel 6, jf. den foreslåede bestemmelse i § 12.

Det forudsættes, at retten i almindelighed beskikker den advokat, der »står for tur« til at blive beskikket, men at der beskikkes en anden advo kat, hvis parten har begrundede indsigelser mod beskikkelsen af den pågældende.

I § 8, stk. 2, 2. pkt., foreslås det, at med hensyn til salær og godtgørelse for udlæg til den særlige advokat gælder de samme regler, som hvis der var bevilget fri proces, jf. retsplejelovens kapitel 31.

Bestemmelsen vil indebære, at salær m.v. betales af det offentlige.

155

Med § 8, stk. 3, 1. og 2. pkt., foreslås det, at den særlige advokat efter stk. 2 skal underrettes om alle retsmøder i sagen og er berettiget til at del tage i disse. Den særlige advokat skal gøres bekendt med og have udle veret kopi af det materiale, som indgår i sagen for retten.

Den foreslåede bestemmelse har til formål at sikre den særlige advokats løbende indsigt i sagen ved retten. Henset til advokatens særlige rolle i sagen betyder bestemmelsen endvidere, at advokatens partsbeføjelser vedrørende de fortrolige oplysninger i sagen, jf. ovenfor, vil indebære, at vedkommende vil skulle gøres bekendt med det materiale, som ind går i sagen for retten. Dvs. det materiale, som fremlægges af det offent lige med henblik på, at det vil kunne indgå i rettens afgørelse (og even tuelt supplerende materiale, som fremlægges af parten og dennes advo kat).

I den foreslåede bestemmelse i § 9, stk. 1, er det endvidere udtrykkeligt bestemt, at de fortrolige oplysninger, som af sikkerhedsmæssige grunde ikke kan videregives til parten og dennes advokat, skal videregives til den særlige advokat.

Den særlige advokat vil endvidere som udgangspunkt skulle have ud leveret kopi af materialet.

I § 8, stk. 3, 3. pkt., foreslås det, at forsvarsministen eller den, ministeren bemyndiger hertil, dog kan bestemme, at der af sikkerhedsmæssige grunde ikke skal udleveres kopi til den særlige advokat.

Dette vil alene kunne være relevant med hensyn til de oplysninger, der af sikkerhedsmæssige grunde ikke vil kunne videregives til parten. I så fald vil den særlige advokat på anden måde skulle have fornøden ad gang til materialet, f.eks. ved at gennemse det pågældende materiale i retten.

I § 8, stk. 3, 4. pkt., foreslås det, at spørgsmålet af den særlige advokat kan indbringes for retten.

Bestemmelsen vil indebære, at spørgsmålet om udlevering af kopi af materialet vil kunne indbringes for retten af den særlige advokat. Ret ten vil også kunne tage stilling til en eventuel tvist om, hvordan den særlige advokat i stedet vil skulle have adgang til materialet.

Den foreslåede § 8 svarer med de nødvendige tilpasninger til den lig nende bestemmelse i § 45 e i udlændingeloven, jf. lovbekendtgørelse nr. 1513 af 22. oktober 2020 med senere ændringer.

Til § 9

Den foreslåede bestemmelse i § 9 indeholder regler om videregivelse af de oplysninger, som er undtaget fra videregivelse til parten selv, til den særlige advokat. En beslutning om, at oplysninger, der er indgået i Cen ter for Cybersikkerheds afgørelse efter lovforslagets kapitel 2, 3 og 8,

156

ikke kan videregives til parten, vil også finde anvendelse i forbindelse med en domstolsprøvelse af afgørelsen. Dette vil bl.a. indebære, at par ten under en retssag ikke vil have adgang til aktindsigt i de pågæl dende oplysninger, som fremlægges for retten, efter retsplejelovens § 255 a, som alene gælder »medmindre andet er bestemt«.

De fortrolige oplysninger, der vil være indgået i vurderingen af, om en aftale udgør en trussel mod statens sikkerhed, vil som det klare ud gangspunkt blive fremlagt for retten.

Der vil dog i denne vurdering kunne være indgået oplysninger af en sådan særlig karakter, at de af hensyn til statens sikkerhed, herunder efterretningstjenesternes virk somhed, ikke vil kunne videregives til andre og heller ikke som led i domstolsprøvelsen.

Hvis sådanne oplysninger ikke fremlægges for ret ten og den særlige advokat efter den foreslåede bestemmelse i § 8, stk. 2, vil oplysningerne ikke kunne indgå i grundlaget for rettens afgørelse i sagen, da retten på grundlag af det, der vil være passeret under for handlingerne og bevisførelsen, må afgøre, hvilke faktiske omstændig heder der vil skulle lægges til grund for sagens pådømmelse, jf. retsplej elovens § 344.

Det foreslås i § 9, stk. 1, at oplysninger vedrørende statens sikkerhed ikke videregives til parten, men alene til den særlige advokat efter § 8, stk. 2. Når sådanne oplysninger er videregivet til den særlige advokat, må vedkommende ikke drøfte sagen med parten eller dennes advokat og må ikke udtale sig i retsmøder, hvor parten eller dennes advokat er til stede. Parten og dennes advokat kan til enhver tid give skriftlige meddelelser til den særlige advokat om sagen. Jf. også den foreslåede bestemmelse i § 8 og bemærkningerne hertil.

Den særlige advokat vil kunne drøfte sagen med parten og dennes ad vokat, indtil det tidspunkt, hvor de nævnte fortrolige oplysninger vil være videregivet til den særlige advokat. Når sådanne oplysninger vil være videregivet til den særlige advokat, må vedkommende ikke læn gere drøfte sagen med parten eller dennes advokat.

I modsat fald kunne der være en risiko for, at den særlige advokat ved f.eks. at stille supple rende spørgsmål til parten uforvarende ville kunne komme til at afsløre kendskab til oplysninger, som af sikkerhedsmæssige grunde ikke vil kunne videregives til parten.

Den særlige advokat vil være afskåret fra at drøfte sagen med parten og dennes advokat, men der vil ikke være noget til hinder for, at den særlige advokat f.eks. skriftligt bekræfter modtagelsen af materiale fra parten eller dennes advokat.

Det forudsættes således, at den særlige advokat indledningsvis drøfter sagen med parten og dennes advokat, herunder deres bemærkninger vedrørende de oplysninger, som er videregivet til de pågældende, såle des at dette kan indgå i advokatens videre arbejde med sagen i relation til de fortrolige oplysninger, som ikke kan videregives til parten.

Parten eller dennes advokat kan herudover når som helst give skriftlige med delelser til den særlige advokat om sagen og kan således løbende vide regive yderligere oplysninger og synspunkter til den særlige advokat, herunder efter at de fortrolige oplysninger er videregivet til den særlige advokat, og denne ikke længere kan drøfte sagen med parten. Den sær

157

lige advokat vil endvidere være til stede ved retsmøder i sagen, jf. den foreslåede bestemmelse i § 8, stk. 3, og vil således også ad den vej lø bende have kendskab til partens synspunkter.

Ud fra tilsvarende betragtninger som nævnt ovenfor foreslås det endvi dere, at den særlige advokat ikke må udtale sig i retsmøder, hvor par ten eller dennes advokat er til stede, når de fortrolige oplysninger er vi deregivet til den særlige advokat. Dette stemmer også med, at parten og dennes advokat i videst muligt omfang varetager sædvanlige civilpro cessuelle partsbeføjelser i sagen, herunder udtaler sig i retsmøder om sagen. Det er alene i retsmøder, hvor parten ikke er til stede, fordi der fremlægges de nævnte fortrolige oplysninger, at den særlige advokat varetager partens interesser og kan udtale sig om sagen.

Det foreslås i § 9, stk. 2, 1. pkt., at retten af egen drift eller efter begæring fra den særlige advokat efter § 8, stk. 2, kan beslutte, at oplysninger, der er indgået i vurderingen i afgørelser omfattet af kapitel 2, 3 og 8, videre gives til parten og dennes advokat, hvis sikkerhedsmæssige forhold ikke kan begrunde, at oplysningerne ikke videregives.

Den foreslåede bestemmelse sigter således til tilfælde, hvor retten efter en konkret vurdering finder, at der ikke foreligger sådanne sikkerheds mæssige forhold, at oplysningerne bør være fortrolige og ikke videregi ves til parten og dennes advokat, f.eks. hvis retten ikke finder, at der i det konkrete tilfælde er særlige hensyn til efterretningstjenesternes ar bejdsmetoder m.v., som medfører, at de pågældende oplysninger bør være fortrolige.

Uanset om spørgsmålet om videregivelse af sådanne fortrolige oplys ninger rejses af retten af egen drift eller efter begæring fra den særlige advokat, vil både den særlige advokat og forsvarsministeren eller den, som ministeren bemyndiger hertil, have adgang til at udtale sig om spørgsmålet om videregivelse, inden retten træffer afgørelse.

Det foreslås med § 9, stk. 2, 2. pkt., at afgørelsen efter 1. pkt. træffes ved kendelse, og efter at den særlige advokat og forsvarsministeren eller den, ministeren bemyndiger hertil, har haft lejlighed til at udtale sig.

Kendelsen vil som efter de almindelige regler herom skulle begrundes, jf. retsplejelovens § 218, stk. 1.

Det foreslås med § 9, stk. 2, 3. og 4. pkt., at kendelsen kan kæres af de personer, der er nævnt i 2. pkt., og at kære af en afgørelse om, at oplys ninger videregives, har opsættende virkning.

I overensstemmelse med at den særlige advokat med hensyn til de for trolige oplysninger varetager partens interesser i sagen, vil afgørelsen kunne kæres af den særlige advokat og af forsvarsministeren eller den, som ministeren bemyndiger hertil.

158

Kære af rettens afgørelse om, at oplysninger skal videregives, vil efter forslaget have opsættende virkning, dvs. at oplysningerne ikke vil skulle videregives til parten og dennes advokat, før der foreligger en endelig retsafgørelse om spørgsmålet. Det er samtidig forudsat, at selve retssagen om prøvelse af afgørelsen efter lovforslagets kapitel 2, 3 og 8 ikke vil blive færdigbehandlet ved retten, før der er taget endelig stil ling til, i hvilket omfang fortrolige oplysninger vil kunne videregives til parten og dennes advokat.

Det foreslås i § 9, stk. 3, at hvis retten har truffet afgørelse om, at fortro lige oplysninger videregives til parten og dennes advokat, kan forsvars ministeren eller den, ministeren bemyndiger hertil, bestemme, at de på gældende oplysninger ikke indgår i sagen for retten.

Hermed sigtes til tilfælde, hvor forsvarsministeren eller den, ministeren bemyndiger hertil, uanset rettens beslutning finder, at oplysningerne ikke bør videregives, selv om dette medfører, at retten i så fald må træffe afgørelse på det foreliggende grundlag, jf. herved også retspleje lovens § 344 omtalt ovenfor.

Beslutningen vil både kunne omfatte alle oplysninger omfattet af ret tens afgørelse om, at oplysninger videregives, og begrænses til at gælde visse oplysninger, så de øvrige oplysninger videregives til parten og dennes advokat.

…

Til § 10

Det foreslås med § 10, stk. 1, 1. pkt., at den del af et retsmøde, der angår, eller hvor der fremlægges eller behandles oplysninger af betydning for, statens sikkerhed, som ikke er omfattet af en beslutning efter § 9, stk. 2, holdes for lukkede døre.

Bestemmelsen vil således gælde for alle dele af et retsmøde, hvor så danne oplysninger vil komme frem eller blive omtalt, hvad enten det f.eks. vil ske som led i en bevisførelse eller som led i den særlige advo kats eller forsvarsministerens repræsentants procedure for retten.

Dette gælder også retsmøder, hvor retten behandler spørgsmålet om vi deregivelse af fortrolige oplysninger til parten eller dennes advokat, jf. den foreslåede bestemmelse i § 9, stk. 2.

Hvis retten efter den foreslåede bestemmelse i § 9, stk. 2, har bestemt, at oplysninger af betydning for statens sikkerhed videregives til parten i forbindelse med sagens behandling i retten, finder den foreslåede be stemmelse i stk. 1 om behandling for lukkede døre dog ikke anven delse.

159

Det foreslås med § 10, stk. 1, 2. pkt., at det kommer til at fremgå af lov teksten, at i denne del af et retsmøde deltager den særlige advokat efter § 8, stk. 2, men ikke parten og dennes advokat.

Spørgsmålet om, hvorvidt retsmøder i sagen i øvrigt holdes for åbne el ler lukkede døre, vil som i dag skulle afgøres efter retsplejelovens al mindelige regler herom, jf. navnlig retsplejelovens § 29.

Som det fremgår, vil der ved behandlingen af en sag om en prøvelse af en afgørelse blive tale om, at visse dele af retsmøderne vil foregå for lukkede døre uden tilstedeværelse af parten og dennes advokat, hvor partens interesser varetages af den særlige advokat, mens retsmøderne i øvrigt vil foregå med deltagelse af parten og dennes advokat (samt den særlige advokat, jf. den foreslåede bestemmelse i § 8, stk. 3).

På denne baggrund foreslås det i§ 10, stk. 2, at retten i den enkelte sag bestemmer, hvordan retsmøder, der efter stk. 1 helt eller delvis holdes for lukkede døre, gennemføres.

Det forudsættes, at retsmøderne i videst muligt omfang foregår efter de almindelige regler bl.a. om gennemførelse af hovedforhandlingen, jf. retsplejelovens § 365, men at retten kan træffe beslutning om de for nødne ændringer ved afholdelsen af retsmøderne som følge af, at par ten og dennes advokat ikke deltager i alle dele af sagens retsmøder.

Retten vil f.eks. kunne bestemme, at hovedforhandlingen foregår på den måde, at parten og dennes advokat deltager i den første del af rets mødet, hvor der fremlægges alle oplysninger, som ikke er af betydning for statens sikkerhed, hvorefter parterne gør rede for deres opfattelse af sagen (proceduren).

Herefter forlader parten og dennes advokat rets mødet, og der kan i et lukket retsmøde fremlægges de fortrolige oplys ninger, der af sikkerhedsmæssige grunde ikke kan videregives til par ten. Herefter procederer den særlige advokat og forsvarsministerens re præsentant og gør rede for deres opfattelse af sagen i lyset af de fortro lige oplysninger, som nu er fremlagt for retten.

På dette samlede grund lag træffer retten sin afgørelse i sagen, jf. også den foreslåede bestem melse i § 11.

Den forslåede § 10 svarer med de nødvendige tilpasninger til den lig nende bestemmelse i § 45 g i udlændingeloven, jf. lovbekendtgørelse nr. 1513 af 22. oktober 2020 med senere ændringer.

Til § 11

Det foreslås med § 11, at retten træffer afgørelse efter, at parterne og den særlige advokat har haft lejlighed til at udtale sig.

Bestemmelsen vil indebære, at retten i den enkelte sag vil kunne be stemme, hvordan dette tilrettelægges, jf. den foreslåede bestemmelse i § 10, stk. 2, og bemærkningerne hertil.

160

Om den særlige advokats opgaver henvises i øvrigt til de foreslåede be stemmelser i § 8, stk. 2 og 3, og bemærkningerne hertil.

Rettens afgørelse vil skulle begrundes efter de almindelige regler herom, jf. retsplejelovens § 218, stk. 1, og en dom vil bl.a. skulle inde holde en fremstilling af sagen og angive de faktiske og retlige omstæn digheder, der vil være lagt vægt på ved sagens afgørelse, jf. retspleje lovens § 218 a, stk. 2.

En beslutning om, at oplysninger, der er indgået i Center for Cybersik kerheds afgørelse, af sikkerhedsmæssige grunde ikke kan videregives til parten, vil som nævnt i bemærkningerne til den foreslåede bestem melse også finde anvendelse i forbindelse med en domstolsbehandling.

Rettens afgørelse (dom eller kendelse) må således affattes under hen syntagen hertil, dvs. således, at den ikke indeholder fortrolige oplysnin ger, som ikke kan videregives til parten.

Det er således forudsat, at ret tens afgørelse affattes og begrundes på grundlag af sagens åbne materi ale, som parten har kendskab til og har haft lejlighed til at kommentere, men således at retten i sin afgørelse kan henvise til, at oplysninger i det åbne materiale er godtgjort eller sandsynliggjort i de fortrolige oplys ninger, som er fremlagt for retten og den særlige advokat.

Den forslåede § 11 svarer med de nødvendige tilpasninger til den lig nende bestemmelse i § 45 h, stk. 1, i udlændingeloven, jf. lovbekendtgø relse nr. 1513 af 22. oktober 2020 med senere ændringer.

…

Til § 16

Det foreslås med § 16, at aftaler, der er i strid med et forbud efter § 2, stk. 1, eller § 3, stk. 1, er uden gyldighed mellem parterne.

Bestemmelsen vil indebære, at væsentlige erhvervsmæssige udbydere af offentligt tilgængelige elektroniske kommunikationsnet og -tjenester og disses kontraktsparter ikke vil kunne støtte ret på en aftale, der er i strid med et forbud efter § 2, stk. 1, om indgåelse af aftaler vedrørende kritiske netkomponenter, systemer og værktøjer, herunder varetagelse af driften heraf, som vurderes at udgøre en trussel mod statens sikker hed.

Bestemmelsen vil endvidere indebære, at væsentlige erhvervsmæssige udbydere af offentligt tilgængelige elektroniske kommunikationsnet og -tjenester og disses kontraktsparter ikke vil kunne støtte ret på en aftale, der er i strid med et forbud efter § 3, stk. 1, om opretholdelse af aftaler vedrørende kritiske netkomponenter, systemer og værktøjer, herunder varetagelse af driften heraf, som vurderes at udgøre en væsentlig trus sel mod statens sikkerhed.

Det bemærkes, at Danske Lov 5-1-2 indeholder et fortsat gældende princip om aftaler i strid med lov og ærbarhed, hvorefter kontrakter,

161

der frivilligt er indgået af myndige personer, og som ikke strider mod lov og ærbarhed, skal overholdes. Den foreslåede bestemmelse indebæ rer, at en aftale, der er indgået i strid med et forbud udstedt efter denne lov, ikke skal anerkendes ved domstolene.

Retsvirkningerne af en ugyldig aftale følger af de almindelige regler om ugyldighedsvirkninger, herunder om tilbageførelse af ydelser mellem parterne.

Til § 17

Det forslås med § 17, stk. 1, at loven træder i kraft den 1. juli 2021.

Bestemmelse vil indebære, at loven vil kunne håndhæves, og at Center for Cybersikkerhed vil kunne træffe afgørelser efter kapitel 2, 3 og 8 fra den 1. juli 2021.

Det foreslås med § 17, stk. 2, at §§ 1, 3-17 og 19 har virkning for aftaler, der er indgået den 7. december 2020 eller senere, jf. dog stk. 3.

Bestemmelsen vil indebære, at Center for Cybersikkerhed fra lovens ikrafttræden vil kunne træffe afgørelse om forbud mod opretholdelse af aftaler, jf. § 3, stk. 1, forbud mod anvendelse af kritiske komponenter, systemer m.v., jf. § 3, stk. 2, samt afgørelse om ekspropriation efter § 4, når disse aftaler er indgået den 7. december 2020 eller senere. Virk ningstidspunktet for loven er fastsat til datoen for iværksættelsen af den offentlige høring over lovforslaget. Loven vil således have tilbage virkende kraft for aftaler indgået den 7. december 2020 eller senere.

Med den foreslåede bestemmelse sikres det, at der ikke opstår et incita ment for teleudbyderne til at omgå lovens ordning ved at indgå aftaler, der vedrører kritiske netkomponenter, systemer og værktøjer, herunder varetagelse af driften heraf, som udgør en væsentlig trussel mod statens sikkerhed, i perioden fra lovforslaget har været sendt i offentlig høring og frem til den 1. juli 2021, hvor loven foreslås at træde i kraft.

Det foreslås med § 17, stk. 3, at §§ 1, 3-17 og 19 fra den 1. januar 2026 endvidere har virkning for aftaler, der er indgået før den 7. december 2020.

Bestemmelsen vil indebære, at Center for Cybersikkerhed efter den 1. januar 2026 vil kunne træffe afgørelse om forbud mod opretholdelse af aftaler, jf. § 3, stk. 1, eller forbud mod anvendelse af kritiske komponen ter, systemer m.v., jf. § 3, stk. 2, samt afgørelse om ekspropriation efter § 4, selv om det vedrører aftaler indgået før den 7. december 2020, som er datoen for iværksættelsen af den offentlige høring.

Loven vil således ef ter den 1. januar 2026 have tilbagevirkende kraft for alle aftaler indenfor lovens anvendelsesområde, uanset hvornår de er indgået. Det er dog forventningen, at langt de fleste omfattede aftaler på dette tidspunkt vil være udløbet.

162

Bestemmelsen vil indebære, at teleudbyderne fra lovens ikrafttræden vil få en længere periode til selv at afvikle aftaler, der vedrører kritiske netkomponenter, systemer og værktøjer, herunder varetagelsen af drif ten heraf, der er indgået før den 7. december 2020, hvor forhold hos le verandøren m.v. gør, at fastholdelsen af aftalen udgør en væsentlig trussel mod statens sikkerhed.

Der henvises i øvrigt til afsnit 3.1 i de almindelige bemærkninger.

…”

Af Forsvarsudvalgets betænkning nr. 190 af 6. maj 2021 over Forslag til lov om leverandørsikkerhed i den kritiske infrastruktur fremgår bl.a.:

”1. Ændringsforslag

Forsvarsministeren har stillet 4 ændringsforslag til lovforslaget.

2. Indstillinger

Et flertal i udvalget (udvalget med undtagelse af LA) indstiller lovfor slaget til vedtagelse med de stillede ændringsforslag.

…

V, DF, RV og KF vil også gerne kvittere for den konstruktive dialog, der har været med ministeren i forhold til konkrete dele af lovforslaget.

Vi har således noteret os, at et eventuelt forbud mod at indgå en ny servi ceaftale på allerede erhvervet og lovligt udstyr efter en konkret vurde ring vil kunne føre til erstatning (ekspropriation) til teleudbyderen i de tilfælde, hvor det ikke er muligt for teleudbyderen at indgå en service aftale med en anden leverandør for dermed at kunne sikre fortsat an vendelse af det allerede erhvervede udstyr.

Det vil dog altid i sidste ende være op til domstolene at vurdere spørgsmålet om ekspropriation.

…

Til § 5

…

3) Som stk. 2 og 3 indsættes:

» Stk. 2. Center for Cybersikkerhed skal i forbindelse med afgørelser ef ter kapitel 2, 3 og 8 i størst muligt omfang foretage partshøring, jf. for valtningslovens kapitel 5, og begrunde afgørelserne, jf. forvaltningslo vens kapitel 6.

163

Stk. 3. Center for Cybersikkerhed skal forud for afgørelser efter kapitel 2 gennemføre en høring af Erhvervsstyrelsen, Energistyrelsen og andre relevante fagmyndigheder.«

[Præcisering af forpligtelse til partshøring og begrundelse samt høring af andre myndigheder]

…

Bemærkninger

…

Til nr. 3

…

I medfør af den foreslåede bestemmelse i stk. 2 vil Center for Cybersik kerhed i forbindelse med afgørelser efter kapitel 2, 3 og 8 skulle fore tage partshøring samt begrunde afgørelserne, så længe det ikke kom promitterer hensynene bag lovforslaget.

Center for Cybersikkerhed vil dermed ikke være forpligtet til at gengive de særlige sikkerhedsmæs sige og efterretningsmæssige oplysninger, der vil indgå i sager, som be handles i medfør af lovforslaget, i forbindelse med en begrundelse for en afgørelse, som centeret træffer i medfør af kapitel 2, 3 eller 8. Endvi dere vil Center for Cybersikkerhed ikke være forpligtet til at partshøre om disse oplysninger.”

Lov om sikkerhed i net og tjenester, jf. lovbekendtgørelse nr. 153 af 1. februar 2021, blev ophævet ved § 32, stk. 2, i lov nr. 435 af 6. maj 2025 om sikkerhed og beredskab i telesektoren.

Ved § 34 i samme lov blev der foretaget mindre ændringer i telesikkerhedslo ven.

Anbringender

TDC NET A/S har i sammenfattende processkrift af 20. februar 2026 anført bl.a. (henvisninger til ekstrakt og materialesamling er udeladt):

”… DEL III: ANBRINGENDER 306. Nedenfor følger en sammenfattende fremstilling af TDC NET's anbringender i sagen. TDC NET henviser i øvrigt til sine øvrige processkrifter som fastholdes i sin helhed.

11. OVERORDNEDE ANBRINGENDER

164

307. Afgørelsen har ikke hjemmel i Telesikkerhedsloven, herunder lovens ikrafttrædelsesregler (overgangsregler). Forbuddene kunne tidligst nedlægges fra den 1. januar 2026, hvorfor Forbud dene i Afgørelsen er nedlagt uden lovhjemmel (…).

308. TDC NET er på trods af ovenstående, af flere grunde, herunder risikoen for afsættelse af ledelsesmedlemmer ved beslutning fra CFCS efter Telesikkerhedsloven, og at CFCS de facto kræver, at TDC NET udskifter DWDM-netværket, nødsaget til at efterleve Afgørelsen under alle omstændigheder. TDC NET har derfor i sagen været afskåret fra at nedlægge påstand om, at Afgørelsen er ugyldig, men kræver i stedet erstatning.

309. CFCS har ved at træffe en uhjemlet og dermed ulovlig Afgørelse pådraget sig et erstatningsansvar efter dansk rets almindelige regler over for TDC NET for dennes omkostninger til udskiftnin gen af DWDM-netværket og radiokædenetværket (…).

310. Der foreligger under alle omstændigheder ekspropriation af TDC NET's ejendom i form af fysiske og immaterielle aktiver, jf. Grundlovens § 73, Artikel 1 i Protokol 1 til EMRK samt Artikel 17 i EU's Charter, hvorfor CFCS også på dette grundlag skal be tale erstatning til TDC NET for dennes omkostninger til udskift ningen som følge af Afgørelsen og dens tilblivelseshistorie (…).

12. AFGØRELSEN ER UHJEMLET, VÆSENTLIG MANGELFULD OG

RETSSTRIDIG

311.Overordnet gør TDC NET gældende, at forpligtelsen om leve ring af NCE-T platformen blev introduceret ved Forligsaftalen den 11. oktober 2019, som specifikt, udtrykkeligt og aftalemæs sigt videreført med Amendment 4.

312. Det gøres videre gældende, at Amendment 4 aftaleretligt mellem TDC NET og Huawei blev indgået den 5. november 2020 og i hvert fald før den 30. november 2020, og at Amendment 4 udgør en "eksisterende aftale" i Telesikkerhedslovens forstand. Følgelig kunne Forbuddene ikke nedlægges den 21. marts 2023, og de var derfor uhjemlede.

CFCS' forsøg på at omgå dette ved at behandle Amendment 4 som en ny aftale ved – efter aftaleindgåelsen – at udstede et påbud i henhold til Oplysningsbekendtgørelsen om indsendelse af endeligt aftaleudkast til CFCS forud for aftaleind gåelse var dels for sent, dels var det uden aftaleretlige virknin ger. Disse forhold behandles i afsnit … nedenfor.

Dernæst inde holder afsnit … TDC NET's anbringender om, at Amendment 4 under alle omstændigheder ikke var en ny aftale, men blot en forlængelse af en eksisterende, og derfor i sig selv skal behandles på samme måde som en eksisterende aftale overfor hvilken for bud ikke lovligt kunne nedlægges som sket.

313. Afsnit … indeholder dernæst TDC NET's anbringender i relation til selve Afgørelsens indhold. TDC NET gør i den forbindelse overordnet gældende, at Afgørelsen er væsentlig mangelfuld, idet den reelt ikke indeholder en relevant begrundelse og i øvrigt

165

er baseret på forkerte faktiske og tekniske forhold, samt at Afgø relsen er uproportional, hvorfor Afgørelsen strider imod Telesik kerhedsloven og grundlæggende forvaltningsretlige regler.

314. Når der henses til sagens helt særlige omstændigheder om luk kethed, bør Landsretten i øvrigt foretage en særligt tilbundsgå ende prøvelse af Afgørelsen og de bagvedliggende hensyn. Det gælder både i relation til sagens åbne del, men i særdeleshed også i relation til sagens lukkede del.

I den forbindelse bør det ligeledes tillægges væsentlig betydning, at Afgørelsen har de facto eksterritorial virkning for TDC NET, selvom CFCS' kom petence er begrænset til nationale forhold inden for Danmarks grænser. Det følger således både af Telesikkerhedslovens § 19 samt af § 26 i lovbekendtgørelse nr. 866 af 7. august 2019 om CFCS' virksomhed, at lovene alene har virkning i Danmark.

Al ligevel medfører Afgørelsen som bekendt en totaludskiftning af DWDM-netværket, hvilket også omfatter det DWDM-udstyr, der befinder sig i udlandet. Det forhold, at Afgørelsen derved har en de facto eksterritorial virkning for TDC NET medfører efter TDC NET's opfattelse, at Landsretten også af den grund bør foretage en tilbundsgående prøvelse af Afgørelsen.

12.1 Amendment 4 blev aftaleretligt indgået før den 7. december 2020

315. Som beskrevet meddelte CFCS meget pludseligt den 30. novem ber 2020 påbud (til TDC Group A/S) om fremsendelse af det en delige udkast til Amendment 4. Påbuddet indebar efter sit ind hold, at TDC NET var forhindret i at indgå Amendment 4, før CFCS havde afgivet sin tilbagemelding. Dette beror på en juri disk misforståelse.

316. På daværende tidspunkt eksisterede Telesikkerhedsloven ikke. De eneste relevante regler var derfor reglerne i Netinformations sikkerhedsloven:

"De gældende regler om informationssikkerhed i den kritiske teleinfrastruktur er fastsat i lov om sikkerhed i net og tjenester, jf. lovbekendtgørelse nr. 153 af 1. fe bruar 2021."

317. Efter Netinformationssikkerhedslovens § 4 kan CFCS fastsætte regler om oplysnings- og underretningspligter for teleudbydere. Bemyndigelsen i Netinformationssikkerhedslovens § 4, nr. 2, er udmøntet i bekendtgørelse nr. 258 af 22. februar 2021 om oplys nings- og underretningspligter vedrørende sikkerhed i net og tje neste (Oplysningsbekendtgørelsen).

318. Efter Oplysningsbekendtgørelsen § 3, stk. 1, skal væsentlige er hvervsmæssige udbydere af offentligt tilgængelige elektroniske kommunikationsnet og -tjenester skriftligt underrette Center for Cybersikkerhed forud for, at der indledes forhandlinger om (nye) aftaler, der vedrører kritiske netkomponenter, systemer og værk tøjer, herunder varetagelse af driften heraf.

166

319. Teleudbyderne skal endvidere efter Oplysningsbekendtgørel

sens § 3, stk. 2, skriftligt underrette Center for Cybersikkerhed forud for, at der indledes forhandlinger om tillæg til eksisterende af -taler, som vedrører eller grundet tillægget vil komme til at ved røre kritiske netkomponenter, systemer og værktøjer, herunder varetagelse af driften heraf.

320. Efter Oplysningsbekendtgørelsens § 5, stk. 1, kan CFCS påbyde

en teleudbyder at indsende et endeligt aftaleudkast omfattet af bekendtgørelsens § 3 til CFCS med henblik på, at CFCS skal give en "tilbagemelding"til teleudbyderen, idet "Den endelige aftale […] herefter først [vil] kunne indgås, når udbyderen har modtaget en tilbagemelding fra Center for Cybersikkerhed", jf. bekendtgørelsens § 5, stk. 2.

321. Manglende overholdelse af et sådant påbud er strafbelagt, jf. be

kendtgørelsens § 15. Der er imidlertid ikke knyttet nogen aftale retlige virkninger til et påbud (eller en undladelse af at efter komme et påbud).

Dette er helt centralt i nærværende sag, fordi CFCS blot har lagt til grund i Afgørelsen, at Amendment 4 ud gjorde en "ny" aftale, fordi den aftaleretligt blev indgået netop på skæringsdatoen i Telesikkerhedsloven den 7. december 2020, der var samme dag som CFCS gav TDC NET sin "tilbagemelding"vedrørende Amendment 4.

Som anført nedenfor, var Amend ment 4 imidlertid allerede indgået på det tidspunkt, hvor CFCS efter § 5 i Oplysningsbekendtgørelsen gav påbud om indsen delse, og allerede derfor var påbuddet virkningsløst.

322. Telesikkerhedslovens § 17, stk. 1-3, indeholder følgende bestem

melser om lovens ikrafttrædelse med skæringsdatoen den 7. de cember 2020, der afgrænser, hvornår en aftale med en teleudby der skal anses for at være en "ny" eller en "eksisterende" aftale:

"Loven træder i kraft den 1. juli 2021. Stk. 2. §§ 1, 3-17 og 19 har virkning for aftaler, der er ind gået den 7. december 2020 eller senere, jf. dog stk. 3. Stk. 3. §§ 1, 3-17 og 19 har fra den 1. januar 2026 endvi dere virkning for aftaler, der er indgået før den 7. de cember 2020."

323. I Afgørelsen har CFCS som nævnt blot antaget, uden nærmere

forklaring, at Amendment 4 udgjorde en ny aftale i Telesikker hedslovens forstand, og at denne aftale blev indgået den 7. de cember 2020, hvorfor der efter CFCS' opfattelse er hjemmel i § 17, stk. 2, til at nedlægge forbud som gjort med Afgørelsen. TDC NET bestrider begge dele.

324. Det gøres gældende, at grundlaget for Amendment 4, herunder

Huaweis forpligtelse til at levere NCE-T styresystemet til TDC NET's DWDM-netværk, blev tilvejebragt den 11. oktober 2019 i forbindelse med Huawei og TDC NET's indgåelse af Forligsafta len. Denne aftale havde bl.a. til formål at opdatere allerede eksi sterende aftaler, herunder Rammeaftalen. Som beskrevet i afsnit 6.3, fremgår det af Forligsaftalens Appendix 1, No. 2, pkt. 4, at

167

Huawei forpligtede sig til at levere NCE-T til TDC NET’s DWDM-netværk som erstatning for U2000-systemet.

325. Det gøres gældende, at det allerede på dette tidspunkt (i oktober 2019) var aftalt mellem parterne, at Huawei skulle installere det nye NCE-T styrenetværk i TDC NET's DWDM-netværk. Det er således denne forpligtelse, som senere blev videreført og genbe kræftet i Amendment 4 den 5. november 2020, dvs. længe inden den 7. december 2020.

326. Året efter indledte TDC NET og Huawei forhandlingerne om kontraktforlængelse af Rammeaftalen, og i den forbindelse an meldte TDC NET den 15. september 2020 formelt den påtænkte kontraktforlængelse med Huawei. TDC NET havde efterføl gende kontakt med CFCS og Forsvarsministeriet, men det resul terede ikke i yderligere korrespondance, endsige instrukser fra CFCS i forhold til kontraktindgåelsen med Huawei eller indika tioner på, at forlængelsen af Rammeaftalen med underliggende aftaler skulle godkendes af CFCS.

327. TDC NET forhandlede herefter vilkårene med Huawei og fore lagde disse for TDC NET's bestyrelse, som den 5. november 2020 godkendte Amendment 4, der allerede på dette tidspunkt var blevet forelagt og godkendt af Huawei. Det gøres gældende, at der således den 5. november 2020 forelå en endelig og godkendt aftale om en forlængelse af Rammeaftalen og underliggende Supply Agreement og Support Agreement med Huawei vedrø rende DWDM-netværket på vilkårene i Amendment 4.

328. Det gøres videre gældende, at det modtagne påbud den 30. november 2020, der fremkom efter at Amendment 4 aftaleretligt var indgået, alene kunne have offentligretlig virkning, men deri mod ikke aftaleretlig virkning. Det er selvsagt den aftaleretlige af taleindgåelse, der er afgørende efter Telesikkerhedslovens ikraft trædelsesregler, skæringsdatoen den 7. december 2020, og der med også for adgangen til at nedlægge forbud i denne sag ved rørende Amendment 4 og netkomponenter leveret derunder.

329. CFCS' påbud af 30. november 2020 efter Oplysningsbekendtgø relsen var i øvrigt rettet alene mod selskabet TDC Group A/S, der

blev opløst ved en fusion i 2013, men derimod ikke mod Huawei eller TDC NET. Aftaleparterne i Amendment 4 er ikke TDC Group A/S og Huawei, men derimod TDC NET og Huawei. Det gøres gældende, at påbuddet også af denne grund er uden rele vant retsvirkning, herunder i forhold til spørgsmålet om, hvor når en aftale skal anses for indgået efter Telesikkerhedsloven.

330. Det gøres videre gældende, at der ikke på baggrund af påbuddet for TDC NET bestod en forpligtelse til at træde tilbage fra eller undgå at formalisere eller effektuere Amendment 4, der allerede var forhandlet på plads og accepteret af begge parter.

331. Først den 7. december 2020 – næsten tre måneder efter at Amendment 4 blev sendt til orientering hos CFCS – gav CFCS sin tilbagemelding og godkendte Amendment 4. En godken

168

delse, der blev givet samme dag, som lovforslaget til Telesik kerhedsloven blev sendt i offentlig høring.

332. Samme dag som tilbagemeldingen fra CFCS blev modtaget – dvs. den 7. december 2020 – underskrev TDC NET formelt Amendment 4, idet Huawei allerede havde underskrevet den 1. december 2020.

333. I forarbejderne til Telesikkerhedslovens § 17 fremgår følgende om lovens ikrafttrædelse:

"Med den foreslåede bestemmelse sikres det, at der ikke

opstår et incitament for teleudbydere til at omgå lovens ordning ved at indgå aftaler, der vedrører kritiske net komponenter, systemer og værktøjer, herunder vareta gelse af driften heraf, som udgør en væsentlig trussel mod statens sikkerhed, i perioden fra lovforslaget har været sendt i offentlig høring og frem til den 1. juli 2021, hvor loven foreslås at træde i kraft." [understregning til føjet]

334. Lovgiver har altså ønsket at sikre sig mod omgåelse ved at teleudbydere – efter at de den 7. december 2020 fik kendskab til lovforslaget – skulle kunne indgå nye aftaler forud for lovens ikrafttræden den 1. juli 2021, som derved ikke ville kunne blive ramt af forbud.

335. Som beskrevet ovenfor påbegyndte TDC NET forhandlingerne med Huawei om Amendment 4 længe før den 7. december 2020. TDC NET har således i god tro, længe inden lovforslagets frem sættelse og uden kendskab til dets eventuelle indhold, forhand let og indgået Amendment 4 med Huawei, og de omgåelseshen syn, der betinger bestemmelsen i § 17, har dermed ingen relevans for nærværende sag.

336. Endelig er det irrelevant, når CFCS under forberedelsen henviser til, at Rammeaftalen fra 2011 formelt set indeholdt et under skriftskrav i forbindelse med tillæg og ændringer af Rammeafta len. Der gælder i henhold til dansk ret ikke et underskriftskrav. Det er videre omdiskuteret, som anført af CFCS selv, om et aftalt underskriftskrav skal tillægges retsvirkning efter sit indhold.

Et underskriftskrav kan efter dansk ret fraviges af parterne, herun der ved parternes adfærd. Parterne fraveg i praksis underskrifts kravet, jf. bl.a. Bilag C, og CFCS kan ikke have nogen mening om, eller juridisk kompetence i øvrigt, til at mene eller afgøre, om Amendment 4 aftaleretligt var indgået eller ej.

Det afgørende må være, om de relevante parter selv mener, at de har indgået en bindende aftale, og ikke hvad en udenforstående tredjemand måtte mene. Følgelig kunne Amendment 4 også indgås med bin dende virkning for parterne, uden at der forelå en aftale, som var underskrevet af begge parter.

337. Samlet er det TDC NET's opfattelse og gøres gældende, at Te lesikkerhedslovens § 3, stk. 1 og 2, ikke giver CFCS hjemmel til at nedlægge Forbuddene i Afgørelsen, jf. lovens § 17, stk. 3, hvor

169

efter forbud tidligst kan nedlægges med virkning fra 1. januar 2026.

12.2 . Amendment 4 er ikke en ny, selvstændig aftale 338. TDC NET gør gældende, at Amendment 4 er en aftale, der alene forlænger og viderefører en eksisterende aftale (Rammeaftalen, Supply Agreement og Support Agreement). Denne aftale blev indgået den 5. november 2020, og under alle omstændigheder in den den 30. november 2020.

339. Amendment 4 er, som det fremgår, alene et tillæg til Rammeafta len og de derunder indgåede Supply Agreement og Support Agreement, som alle er fra 2011. Amendment 4 forlænger således blot en allerede eksisterende aftale fra 2011 mellem TDC NET og Huawei, som i øvrigt har været forlænget ad flere omgange. Det er derfor TDC NET's opfattelse, og gøres gældende, at ordlyden i Telesikkerhedslovens § 3, stk. 1, ikke giver CFCS hjemmel til at nedlægge Forbuddene, jf. § 17, stk. 3.

340. Som citeret ovenfor indeholder Oplysningsbekendtgørelsen en supplerende regel i § 3, stk. 2, vedrørende orientering af CFCS forud for indgåelse af tillæg til eksisterende aftaler:

"Udbyderne skal skriftligt underrette Center for Cyber sikkerhed forud for, at der indledes forhandlinger om tillæg til eksisterende aftaler, som vedrører eller grun

det tillægget vil komme til at vedrøre kritiske netkom ponenter, systemer og værktøjer, herunder varetagelse af driften heraf." [understregning tilføjet]

341. Denne bestemmelse om tillæg til eksisterende aftaler genfindes i helt samme ordlyd i de tidligere bekendtgørelser om oplysnings-og underretningsforpligtelser (bekendtgørelse nr. 1256 af 27. november 2019 og bekendtgørelse nr. 566 af 1. juni 2016).

342. På trods af, at Oplysningsbekendtgørelsen indeholder en ekspli cit stillingtagen til håndtering af tillæg til eksisterende aftaler, adresserer forarbejderne til Telesikkerhedsloven ikke tillæg til eksisterende aftaler, hverken i de almindelige bemærkninger el ler i bemærkningerne til de enkelte bestemmelser.

343. Det gøres gældende, at hvis det havde været lovgivers intention, at tillæg til eksisterende aftaler skulle behandles som selvstæn dige aftaler efter Telesikkerhedsloven, skulle der have været an vendt samme formuleringer som i den beslægtede bekendtgørel ses § 3, stk. 1, og 2, der blev (gen)udstedt umiddelbart op til lov forslagets fremsættelse (og som havde samme ordlyd som i de to foregående versioner).

344. Der må i stedet sluttes modsætningsvist, hvorefter det må lægges til grund, at det netop ikke har været lovgivers intention, at man efter Telesikkerhedsloven skal behandle tillæg til eksisterende aftaler som selvstændige, nye aftaler, der kan rammes af forbud. Dette bekræftes også af formålet med den forskudte ikrafttræ den, jf. umiddelbart nedenfor.

170

345. I lovforslagets punkt 3.1.2 (Forsvarsministeriets overvejelser)

fremgår følgende:

"Forsvarsministeriet finder, at en ny og skærpet regule ring bør have virkning for aftaler, der indgås fra den dag, hvor dette lovforslag blev sendt i høring.

Lovfor slaget vil dermed få tilbagevirkende kraft fra det tids punkt, hvor teleudbyderne har haft mulighed for at gøre sig bekendt med den foreslåede regulering og i fornø dent omfang tage højde for, at et lovforslag med dette indhold vil blive fremsat for Folketinget.

Den tilbagevir kende kraft sikrer, at der ikke kan ske omgåelse ved, at teleudbyderne fremrykker aftaleindgåelser, således at indgåelserne sker inden lovforslagets ikrafttræden. Endvidere finder Forsvarsministeriet, at også aftaler, der er indgået før høringstidspunktet, bør omfattes af reguleringen fra den 1. januar 2026. Det er ministeriets

vurdering, at meget få aftaler vil have så lang løbetid, men ordningen vil sikre, at der bliver mulighed for at tage stilling til, om sådanne aftaler skal forbydes, dog således at teleudbyderne har haft næsten fem år til at indrette sig på, at aftalerne bliver omfattet af den skær pede regulering." [understregning tilføjet]

346. Som det fremgår af de netop citerede forarbejder, var hensigten

med at indføre en udskudt ikrafttræden af reglerne for allerede indgåede aftaler, at teleudbyderne skulle have mulighed for at indrette sig på de ændrede vilkår (indrettelseshensyn). Disse indrettelseshensyn gør sig netop gældende for Rammeaftalen, da TDC NET havde installeret det relevante udstyr mange år forud for lovens ikrafttræden, ligesom TDC NET havde tegnet support på udstyret. Support blev med Amendment 4 forlænget.

347. Formålet med at lade Telesikkerhedsloven have virkning alle

rede fra den 7. december 2020 var som nævnt ovenfor at sikre mod omgåelse, hvilket er klart tilkendegivet i de ovenfor an givne bemærkninger til Telesikkerhedslovens § 17:

"Med den foreslåede bestemmelse sikres det, at der ikke opstår et incitament for teleudbyderne til at omgå lovens ordning ved at indgå aftaler, der vedrører kriti ske netkomponenter, systemer og værktøjer, herunder varetagelse af driften heraf, som udgør en væsentlig trussel mod statens sikkerhed, i perioden fra lovforsla get har været sendt i offentlig høring og frem til den 1. juli 2021, hvor loven foreslås at træde i kraft.”

348. Det gøres gældende, at TDC NET var nødsaget til at indgå

Amendment 4 for at sikre nødvendig support til det allerede in stallerede udstyr i DWDM-netværket, og forhandlingerne herom blev ført i god tro og uden kendskab til indholdet af det efterføl gende fremsatte lovforslag. CFCS blev varslet om forhandlin gerne om indgåelse af Amendment 4 så tidligt som 15. september 2020, og der har således ikke som allerede beskrevet været tale

171

om omgåelse af Telesikkerhedslovens regler fra TDC NET's side i forbindelse med indgåelse af Amendment 4.

349. CFCS har under forberedelsen anført, at der ikke skulle være et retligt grundlag for at skelne mellem aftaler der forlænger eller viderefører eksisterende aftaler, og nye aftaler. Dette fremstår uholdbart. Dette skyldes bl.a., at Telesikkerhedsloven i sig selv tydeligt sondrer mellem nye aftaler (omfattet af lovens § 2) og eksisterende aftaler (omfattet af § 3). Det følger derfor logisk, at en sådan sondring både kan og skal foretages.

350. Dette må gælde, selvom de specielle bemærkninger til Telesik kerhedslovens § 2 nævner – uden yderligere uddybning i øvrigt – at § 2 både omfatter indgåelse af nye aftaler og forlængelser af eksisterende aftaler. Denne bemærkning, der muligvis kan have politisk bevæggrund i relation til denne konkrete sag, ændrer imidlertid ikke ved, at Amendment 4 konkret er en forlængelse af en eksisterende aftale, jf. Telesikkerhedslovens § 3, og at denne forlængelse fandt sted inden den 30. november 2020, som beskre vet i det foregående afsnit.

351. Det gøres videre gældende, at den klare hjemmel skal fremgå di rekte af Telesikkerhedsloven, da der er tale om forbudsbestem melser. Lovgiver kan ikke regulere dette i lovbemærkningerne, når det ikke samtidig klart fremgår af lovens ordlyd.

Loven son drer alene mellem nye og eksisterende aftaler, men ikke om denne type hybrid, hvor der sker en sædvanlig forlængelse af en allerede eksisterende aftale, Rammeaftalen. I øvrigt skete forlæn gelsen i al væsentlighed på uændrede vilkår, hvilket efter lovbe mærkningerne taler for at behandle selve forlængelsesaftalen på samme måde som den eksisterende aftale, der forlænges.

352. Hertil kommer, at Forbuddene er udtryk for ekspropriation. Eks propriation kræver i sig selv klar lovhjemmel. Det gøres gæl dende, at Telesikkerhedsloven under alle omstændigheder ikke indeholder den fornødne, klare lovhjemmel til at forbyde tillæg til eksisterende aftaler og dermed foretage ekspropriation i rela tion dertil. Det fremgår således ikke af Telesikkerhedslovens ordlyd, at tillæg til aftaler skal anses for at være en ny aftale om fattet af Telesikkerhedsloven, herunder med den virkning, at for bud kan nedlægges i forhold til et sådant aftaletillæg før den 1. januar 2026.

353. Det gøres endelig gældende, at enhver tvivl om hjemmelsgrund laget skal komme TDC NET til gode, når der henses til indgre bets intensitet, herunder de betydelige økonomiske værdier, som er på spil.

Hvis en myndighed skal foretage et ekspropriativt ind greb i en sag af denne karakter, må der stilles krav til et meget klart hjemmelsgrundlag, hvilket Telesikkerhedslovens § 3, stk. 2, da også forudsætter, men reelt ikke opfylder.

Dette hænger mu ligvis sammen med, at lovgivningsprocessen har været forhastet, idet CFCS og Regeringen øjensynligt havde travlt med at få lov forslaget i høring den 7. december 2020 i et forsøg på at "fange"Amendment 4 af Telesikkerhedslovens ikrafttrædelsesbestem

172

melser, således at forbud "kunne"nedlægges før den 1. januar 2026.

12.3 Mangelfuld og misvisende begrundelse for Forbuddene 354. Telesikkerhedsloven er som udgangspunkt undtaget fra forvalt

ningslovens regler, jf. Telesikkerhedslovens § 5, stk. 1. Det samme er CFCS' virksomhed, jf. § 8, stk. 1, i lov om Center for Cybersikkerhed (lovbekendtgørelse nr. 836 af 7. august 2019). Dette gælder dog ikke ubetinget, idet CFCS i forbindelse med forbudsafgørelser efter Telesikkerhedsloven – i størst muligt om fang – skal foretage partshøring, ligesom en afgørelse skal be grundes, jf. Telesikkerhedslovens § 5, stk. 2, og forvaltningslo vens kapitel 6.

355. Afgørelsen er navnlig begrundet i, at DWDM-netværket udgør

kritisk dansk infrastruktur, at Huawei som hjemmehørende sel skab i Kina er underlagt kinesisk sikkerhedslovgivning, som kan forøge risikoen for spionage eller sabotage, og at Huawei efter CFCS' opfattelse ikke har levet op til den skriftlige forståelse med den danske stat om sikkerhedsevalueringer i HCSEC.

356. Som virksomhed er det reelt umuligt for TDC NET at forholde

sig til sådanne overordnede bekymringer. Begrundelsen i Afgø relsen er således reelt intetsigende. CFCS understreger flere gange, at der er tale om en "samlet vurdering", men det er svært for TDC NET at forholde sig til, hvad CFCS reelt har lagt vægt på. Dette gælder ikke mindst, da CFCS i øvrigt lægger vægt på en række klassificerede oplysninger, som TDC NET ikke har ind sigt i.

357. Afgørelsens begrundelse – eller rettere mangel på samme – frem

byder et principielt og retssikkerhedsmæssigt problem.

358. Det følger af Telesikkerhedslovens § 3, stk. 1 og 2, at der gælder

et skærpet hjemmelskrav, hvis CFCS skal forbyde opretholdel sen af en eksisterende aftale om kritisk infrastruktur på teleom rådet, idet der dels skal være tale om "særlige tilfælde", ligesom den eksisterende aftale skal vurderes at udgøre en "væsentlig trussel"mod statens sikkerhed. Det fremgår af de specielle be mærkninger til Telesikkerhedslovens § 3, at for at der foreligger en væsentlig trussel mod statens sikkerhed, er det et krav, at trus len er konkretiseret.

359. Afgørelsen fremstår imidlertid alene som begrundet i en generel

og abstrakt bekymring i forhold til Huawei (Kina) og er således ikke begrundet i konkrete forhold, som et forbud efter Telesik kerhedsloven ellers forudsætter. Dette synes nu bekræftet af CFCS (også) i sagens åbne del, jf. bl.a. processkrift E.

360. Som beskrevet ovenfor er Forbuddene alene reelt begrundet i tre

konkrete forhold (som vel reelt vedrører proportionalitetsafvej ningen) om manglende udlevering af fuld kildekode, bekymring i forhold til leveret kildekode og idriftsat kildekode samt mang lende test i HCSEC. CFCS har ikke engang hævdet, at disse for hold har ført til konkret misbrug (fra Huawei) eller konkret mi

173

stanke herom, og det kan således lægges til grund, at dette ikke er tilfældet. Tilbage står derfor alene en generel bekymring over for Huawei alene som følge af, at der er tale om et kinesisk ejet selskab.

361. Det følger af officialprincippet, at CFCS som myndighed skal til vejebringe de relevante og nødvendige oplysninger og derefter basere sine afgørelser på det korrekte faktum. Det gøres gæl dende, at det er CFCS' risiko, hvis landsretten i nærværende sag finder, at Afgørelsen er baseret på urigtige oplysninger, hvilket vil være endnu et moment i ansvarsvurderingen over for CFCS.

362. Det gøres videre gældende, at CFCS ikke som offentlig myndig hed kan foretage et så væsentligt og byrdefuldt indgreb over for en privat virksomhed i Danmark, som CFCS har foretaget over for TDC NET med Afgørelsen, alene baseret på en sådan abstrakt og ukonkretiseret bekymring.

363. For TDC NET synes det oplagt, at Afgørelsen i vidt omfang må være båret af politiske hensyn. Dette understøttes af det usæd vanlige hændelsesforløb efter indgåelsen af Amendment 4 i rela tion til skæringsdatoen i Telesikkerhedsloven (7. december 2020) og dermed muligheden for overhovedet at nedlægge et forbud i denne sag.

Som forstået er der netop ikke tale om en ændret trus selsvurdering, men alene om en politisk ændret opfattelse af en mulig trussel. Sidstnævnte bør ikke kunne danne grundlag for et statsligt indgreb i den private ejendomsret, og som forstået har det heller ikke været hensigten med Telesikkerhedsloven.

364. Der kan i denne forbindelse bl.a. henvises til Højesterets ken delse af 27. juni 2023 i sag 19/2023 (U.2023.4567) om Person 21, hvor anklagemyndigheden krævede dørlukning af hensyn til bl.a. statens sikkerhed.

Højesteret vurderede ikke, at betingelserne for dørlukning var opfyldt, idet anklagemyndig hedens redegørelse for dørlukning var af generel og overordnet karakter, uden at anklagemyndigheden havde konkretiseret, hvilke skadevirkninger et åbent retsmøde kunne have for sta tens forhold til eksempelvis fremmede magter.

Højesteret afvi ste således, at staten begrundede væsentlige indgreb med vage og generelle betragtninger, i hvert fald når der består et væsent ligt modhensyn.

Der ses ikke forskel på, om modhensynet er of fentlighedens interesse i indsigt i en retssag (som i Højesterets sagen) eller er et hensyn til en privat virksomhed, der er bredt kendt i offentligheden, og som står for en meget stor del af in frastrukturen på teleområdet i Danmark (som i den forelig gende sag).

365. Hertil kommer, at Afgørelsen som påvist ovenfor beror på en række forkerte – misvisende – faktuelle og tekniske forhold, og at Afgørelsen derfor også strider imod officialprincippet og ob jektivitetsprincippet. Det gøres gældende, at Afgørelsen også af disse grunde er uhjemlet eller retsstridig.

12.4 Forbuddene er uproportionale

174

366. Det gøres videre gældende, at Forbuddene i Afgørelsen er upro portionale, og at Afgørelsen også af denne grund er retsstridig og dermed ansvarspådragende for CFCS.

367. CFCS skal forud for nedlæggelse af et forbud efter Telesikker hedsloven have søgt at opnå det ønskede resultat gennem min dre indgribende midler.

Det er således en forudsætning, at CFCS har forsøgt at rådgive teleudbyderen om de tilpasninger af afta len eller de sikkerhedsmæssige ændringer af kritiske komponen ter, systemer m.v., som vil være nødvendige, for at der ikke læn gere vurderes at være en væsentlig trussel mod statens sikker hed.

CFCS skal også have overvejet de relevante muligheder i lov om sikkerhed i net og tjenester, herunder eksempelvis mu ligheden for at give påbud om, at teleudbyderen skal foretage konkrete sikkerhedsforanstaltninger.

368. Om proportionalitet er følgende fremhævet i forarbejderne til de enslydende bestemmelser i Telesikkerhedslovens § 2, stk. 3, og § 3, stk. 4:

"Den foreslåede bestemmelse udtrykker et proportiona litetsprincip, hvorefter Center for Cybersikkerhed forud for nedlæggelse af et forbud skal have søgt at opnå det ønskede resultat gennem mindre indgribende midler. Det vil således være en forudsætning, at Center for Cy

bersikkerhed har forsøgt at rådgive teleudbyderen om de tilpasninger af aftalen eller de sikkerhedsmæssige ændringer af kritiske komponenter, systemer m.v., som vil være nødvendige, for at der ikke længere vurderes at være en væsentlig trussel mod statens sikkerhed. Center for Cybersikkerhed vil også skulle have overvejet de re levante muligheder i lov om sikkerhed i net og tjenester, herunder eksempelvis muligheden for at give påbud om, at teleudbyderen skal foretage konkrete sikkerheds foranstaltninger." [understregning tilføjet]

369. Det gøres gældende, at CFCS ikke har dokumenteret, at CFCS siden modtagelsen af Partshøringsskrivelsen i oktober 2022 har forsøgt at opnå det ønskede resultat – at Huaweis produkter var sikkerhedsmæssigt forsvarlige til det danske marked – ved min dre indgribende foranstaltninger end et forbud. Allerede af denne grund udestår det derfor reelt at afklare, om hensynet til statens sikkerhed effektivt kan varetages ved mindre indgri bende foranstaltninger. Det gøres gældende, at Afgørelsen alle rede af denne grund er i strid med Telesikkerhedslovens bestem melser om proportionalitet.

370. CFCS har i Afgørelsen intet anført om, hvorvidt CFCS har over vejet et mindre indgribende skridt end de nedlagte totalforbud, som medfører en udskiftning af hele TDC NET's DWDM-net værk og en fuldstændig eller delvis udskiftning af radiokæde netværket. Der foreligger imidlertid en klar pligt til at foretage en sådan reel overvejelse og prøvelse fra CFCS' side i medfør af Telesikkerhedslovens § 3, stk. 4, og det almindelige forvaltnings retlige proportionalitetsprincip.

175

371. TDC NET har efter aftalerne med Huawei en meget vidtgående

adgang til at kræve ændringer fra Huaweis side grundet sikker hedsforhold, jf. også Schedule 4 til Amendment 4, men CFCS har på intet tidspunkt indgået i en drøftelse med TDC NET (eller Hu awei) om, hvorvidt man kunne forestille sig mindre indgribende foranstaltninger, således at en total udskiftning af DWDM-net værket muligt havde kunnet undgås.

372. CFCS har aldrig redegjort for og/eller teknisk dokumenteret, at

den forslåede testplan fra TDC NET var utilstrækkelig, eller at et alternativ til HCSEC ikke kunne teste på helt tilsvarende vis som det var sket i HCSEC siden 2013.

373. CFCS har heller aldrig redegjort for hvorfor man i Danmark –

TDC NET bekendt – som det eneste land i verden, har fundet behov for at nedlægge forbud mod levering fra Huawei til et DWDM-netværk. Det bør i den forbindelse i øvrigt tages i be tragtning, at Huawei – så vidt TDC NET er bekendt – ikke har haft et brud på sikkerheden de seneste 25 år, og desuden har en lang række certifikater, herunder ISO 19790, Common Criteria Security Certificate, CSPN Certificate osv. Hertil kommer i øv rigt, at den sikkerhedsmæssige bekymring må anses som teore tisk, jf. afsnit 7.3.

374. CFCS har under forberedelsen anført, at TDC NET ikke selv er

fremkommet med eksempler på mindre indgribende, men eg nede foranstaltninger som alternativ til Afgørelsen. Det er imid lertid ikke TDC NET, der er forpligtet til at foretage en propor

tionalitetsvurdering, og det er derfor også CFCS som myndig hed, der skal påvise, at man har overvejet mindre indgribende foranstaltninger end Afgørelsen. Med CFCS' argumentation teg ner der sig et billede af, at CFCS ikke har foretaget nogen sub stantiel vurdering af forholdet, og eksistensen af en sådan vur dering er ikke dokumenteret. Hvis CFCS har foretaget en sub stantiel vurdering af mindre indgribende foranstaltninger, havde det været et oplagt emne at dokumentere i sagens "åbne"del. Dette kan alene komme CFCS til skade i nærværende sag.

375. Da det herefter må lægges til grund, at CFCS aldrig har afsøgt

muligheden for, om TDC NET kunne have afhjulpet CFCS' sik kerhedsmæssige bekymring på en mindre indgribende måde end ved total udskiftning af DWDM-netværket, opfylder Afgø relsen ikke kravet om proportionalitet.

376. Der er tale om en skærpende omstændighed, der ikke blot har

betydning i forhold til det manglende grundlag for og manglerne ved Afgørelsen, men som også er væsentlig i forhold til spørgs målet om erstatning efter almindelige erstatningsregler eller reg lerne om ekspropriation, jf. nedenfor.

377. På denne baggrund gøres det gældende, at Afgørelsen er upro

portional og også på dette grundlag strider imod Telesikker hedsloven og grundlæggende forvaltningsretlige regler.

13. CFCS ER ERSTATNINGSANSVARLIG

176

378. Som offentlig myndighed kan CFCS ifalde et erstatningsansvar,

når der er begået fejl i forbindelse med, at en forvaltningsafgø relse træffes. Det gøres gældende, at CFCS i denne konkrete sag har pådraget sig erstatningsansvar over for TDC NET ved at have truffet en uhjemlet afgørelse vedrørende DWDM-netværket og radiokædenetværket, idet forbud ikke kunne nedlægges før den 1. januar 2026.

379. Det gøres i tilknytning hertil også gældende, at CFCS med sin

konkrete "begrundelse" for Forbuddene reelt selv har skabt den sikkerhedsevalueringssituation, som efter Afgørelsen er løfte stangen for overhovedet at nedlægge Forbuddene.

380. Selv hvis Amendment 4 efter Telesikkerhedsloven rettelig skal

behandles som en ny aftale indgået den 7. december 2020, så Amendment 4's opretholdelse og anvendelse af relaterede net komponenter kan forbydes før den 1. januar 2026 (som sket), skyldes dette erstatningspådragende adfærd hos CFCS, fordi denne – sammen med Regeringen – tydeligvis søgte at lovgive målrettet og med tilbagevirkende kraft over for TDC NET og uden at betale erstatning.

13.1 Manglende hjemmel i relation til DWDM-netværket 381. Det gøres gældende, at Amendment 4 rent aftaleretligt blev ind

gået den 5. november 2020, og under alle omstændigheder inden den 30. november 2020. Allerede af denne grund var der ikke hjemmel til at træffe Afgørelsen den 21. marts 2023, jf. Telesik kerhedslovens § 17, stk. 3.

382. Det gøres videre gældende, at CFCS' påbud af 30. november 2020

ingen betydning har haft for den aftaleretlige virkning, som er det afgørende efter Telesikkerhedslovens ikrafttrædelsesregler. Des uden var påbuddet ikke rettet mod TDC NET, men mod et andet selskab, som har været opløst i 10 år.

383. Amendment 4 er videre blot en forlængelse af en eksisterende

aftale (Rammeaftalen), og er således ikke en ny aftale. Rammeaf talen og de derunder indgåede Supply Agreement og Support Agreement er indgået før den 7. december 2020, hvorfor det gø res gældende, at der ikke er hjemmel til at nedlægge Forbuddene som sket, jf. Telesikkerhedslovens § 17, stk. 3. Det gøres endvi dere gældende, at Telesikkerhedsloven under alle omstændighe der ikke indeholder den fornødne, klare lovhjemmel til at for byde tillæg til eksisterende aftaler og dermed foretage eksprop riation i relation dertil.

384. Herudover gøres det gældende, at Afgørelsen alene fremstår

som begrundet i en generel og abstrakt bekymring i forhold til Huawei (Kina) og således ikke er begrundet i konkrete forhold, som et forbud efter Telesikkerhedsloven ellers forudsætter, hvor der i Telesikkerhedslovens § 3 gælder et skærpet hjemmelskrav.

385. Endelig gøres gældende at Forbuddene er uproportionale, idet

det reelt er uafklaret, om hensynet til statens sikkerhed effektivt kan varetages ved mindre indgribende foranstaltninger. Det er

177

således uafklaret, om CFCS kunne have afværget totaludskift ningen af DWDM-netværket. Derfor opfylder Afgørelsen ikke kravet om proportionalitet.

13.2 Manglende hjemmel og uklarhed i relation til radiokædenet

værket

386. Det gøres gældende, at CFCS ikke har haft hjemmel til at ned lægge Forbuddene over for TDC NET i relation til brugen af NCE-T styresystemet i radiokædenetværket, da radiokædekon trakten blev indgået den 12. december 2019.

387. Radiokædenetværket udgør grundlæggende hverken kritisk te leinfrastruktur eller en væsentlig trussel mod statens sikkerhed, hvorfor dette netværk slet ikke kan være omfattet af Telesikker hedsloven, herunder lovens § 3, stk. 2, 1. pkt., der er anvendt som grundlag for forbuddet vedrørende NCE-T.

388. Da parterne synes enige om, at radiokædenetværket ikke udgør

kritisk infrastruktur i Telesikkerhedslovens § 3's forstand, opfat ter TDC NET det som anerkendt af CFCS, at der ikke var hjem mel til at lade Afgørelsen omfatte radiokædenetværket.

389. Ved CFCS' vurdering af, om noget udgør en væsentlig trussel mod statens sikkerhed, kan CFCS ifølge forarbejderne lægge vægt på følgende forhold:

"Der vil som udgangspunkt skulle være tale om væsent lige trusler mod samfundskritiske funktioner og deres kommunikation, herunder deres medarbejderes kom munikation."

390. Det gøres gældende, at CFCS ikke har foretaget nogen konkret og individuel vurdering af, hvorvidt sikkerhedsrisici i relation til radiokædenetværket vil udgøre en væsentlig trussel mod statens sikkerhed, jf. Telesikkerhedslovens § 3, stk. 2, og at CFCS bærer bevisbyrden i denne forbindelse. CFCS har derfor heller ikke fo retaget en proportionalitetsvurdering, jf.

Telesikkerhedslovens § 3, stk. 4, og bærer også bevisbyrden for dette. CFCS omtaler end ikke radiokædenetværket i Afgørelsen, men lægger blot til grund, at forbuddet mod brugen af NCE-T styresystemet omfat ter "enhver anvendelse i TDC NET's netværk".

TDC NET proble matiserede allerede denne uklarhed under høringsprocessen, hvilket er nærmere beskrevet i afsnit 8.4, og CFCS trådte i Afgø relsen eksplicit tilbage fra sin tidligere tilkendegivelse om, at ra diokædenetværket ikke ville blive berørt af Afgørelsen.

391. CFCS har herefter begrundet det absolutte forbud i, at CFCS har vurderet, at der ikke vil kunne foretages en adskillelse af for skellige anvendelsesscenarier, der er sikkerhedsmæssig forsvar lig i lyset af de risici, som CFCS i øvrigt lægger vægt på. Det er imidlertid uklart for TDC NET, hvilken prøvelse CFCS har fore taget i denne forbindelse, da CFCS ikke har redegjort nærmere herfor.

13.3 . CFCS' "forudsætning" om sikkerhedsevaluering i HCSEC

178

392. Som beskrevet i afsnit 7 har CFCS fastholdt anvendelsen af HC SEC til test og sikkerhedsevaluering af leverancer fra Huawei velvidende, at HCSEC, særligt ikke siden 2018, og formentlig al lerede siden 2013 med følgebrevet til de skriftlige forståelser, ikke har kunnet levere de forudsatte ydelser, hvorfor der var be hov for at finde et alternativ. Dette var også baggrunden for, at parterne i praksis benyttede alternativer (ATSEC), og at dette var skrevet direkte ind i de skriftlige forståelser.

393. Det gøres gældende, at CFCS har accepteret, at HCSEC ikke var en forudsætning for test af Huaweis leverancer m.v. Alligevel har CFCS brugt den manglende test i HCSEC som et hovedargu ment i Afgørelsen.

394. Det gøres videre gældende, at CFCS derved reelt har sat TDC NET i en "deadlock"-situation, idet CFCS rent formelt har forsøgt at fastholde, at test i HCSEC var en grundlæggende forudsæt ning for opretholdelsen af Rammeaftalen og de efterfølgende til læg.

Dette til trods for, at CFCS hele tiden har været bekendt med, at kravet om test i HCSEC i praksis har vist sig umuligt for TDC NET at efterleve, hvilket CFCS tillige har forholdt sig accep terende til. Dertil kommer, at TDC NET aktivt har forsøgt at få CFCS til at anvise andre sikkerhedsinstitutter end HCSEC – både inden for og uden for EU – men svaret fra CFCS har altid været negativt.

395. Det gøres gældende, at CFCS derved har handlet ansvarspådra gende, idet CFCS de facto har bragt TDC NET i en situation, hvor der nu efter CFCS' egen opfattelse kan nedlægges forbud. Dette til trods for, at CFCS var klar over, at CFCS' krav til test i HCSEC reelt ikke kunne – og heller ikke blev – efterlevet af parterne.

13.4 Den påfaldende timing i godkendelsen af Amendment 4 den

7. december 2020

396. Som beskrevet i afsnit 7.4 udstedte CFCS et påbud over for TDC NET den 30. november 2020, jf. Bilag 44. Herefter blev der indført en standstill-periode, idet CFCS reelt forsøgte at fastfryse færdig gørelsen af Amendment 4, som imidlertid allerede tidligere var accepteret af TDC NET og Huawei. Det gøres gældende, at CFCS' forsøg på at fastfryse aftaleprocessen mellem TDC NET og Huawei alene havde et formål: At søge at få Amendment 4 om fattet af overgangsreglerne i Telesikkerhedsloven, således at for bud kunne nedlægges i relation til Amendment 4 og relaterede netkomponenter tidligere end den 1. januar 2026.

397. Det gøres gældende, at forløbet omkring fremsættelsen af lovfor slaget til Telesikkerhedsloven, CFCS' meddelelse af påbud den 30. november 2022 til TDC NET om godkendelse af Amendment 4 efter at være blevet orienteret om Amendment 4 allerede den 15. september 2022, samt fastlæggelsen af den konkrete skæ ringsdato (7. december 2020) i Telesikkerhedslovens § 17, stk. 1, giver en klar formodning for forsøg på lovgivning med tilbage virkende kraft samt singulær (målrettet) lovgivning over for TDC NET.

179

398. Det er påfaldende, at lovforslaget til Telesikkerhedsloven blev fremsat af Regeringen i Folketinget den 7. december 2020, og at CFCS netop samme dag – efter længere tids overvejelser i CFCS – meddelte sin godkendelse af Amendment 4 over for TDC NET, samt at Regeringen netop havde valgt den 7. december 2020 som konkret skæringsdato i lovforslaget (som blev vedtaget) i forhold til spørgsmålet om, hvilke aftaler forvaltningen ville kunne ned lægge forbud over for med det samme ved lovens ikrafttræden fremfor tidligst fra den 1. januar 2026.

399. Det er oplagt, at dette ikke er tilfældigt, og det forekommer li geledes oplagt, at der må have været en tæt dialog og koordine ring mellem Regeringen og CFCS i forhold til at forsøge at få TDC NET's aftale med Huawei omfattet af Telesikkerhedslo vens § 17, stk. 1, således at CFCS efterfølgende "kunne" udstede et påbud over for TDC NET med det samme, fremfor at skulle vente til den 1. januar 2026.

400. Det gøres gældende, at der ses at bestå en meget nærliggende risiko for, at lovgivningsmagten har været styret af forvaltnin gens politiske ønske i forhold til TDC NET's aftale med Huawei. Herved ses der betydelig risiko for en sammenblanding af den lovgivende magt og den udøvende magt, som rejser fundamen tale problemstillinger i relation til det grundlæggende princip om magtens tredeling i Grundlovens § 3, som i anden sammen hæng tidligere har været behandlet af Højesteret og ført til tilsi desættelse af regulering som grundlovsstridig.

401. Det er afgørende for retssikkerheden på området, og også mere generelt, at domstolene foretager en tilbundsgående prøvelse med henblik på at vurdere, om der har været en uhensigtsmæs sig sammenblanding af statsmagt i forhold til konkret at foretage et indgreb over for TDC NET, herunder på et fremrykket tids punkt. CFCS må i den forbindelse bære bevisbyrden for, at det ikke forholder sig som beskrevet.

13.5 TDC NET er i praksis tvunget til at efterleve Afgørelsen 402. TDC NET er som anført ikke enig i Afgørelsens indhold eller i, at Afgørelsen har hjemmel, ligesom parterne er uenige om, hvor vidt der skal betales erstatning. Derfor har TDC NET indbragt sagen for domstolene, jf. Telesikkerhedslovens § 7, stk. 1. Det gø res gældende, at Afgørelsen imidlertid allerede har effekt, idet TDC NET de facto er tvunget til at efterleve Afgørelsen.

403. Etableringen af et nyt DWDM-netværk tager flere år og rækker rent geografisk ud over Danmarks grænser. TDC NET kan ikke undlade at påbegynde udskiftningen af DWDM-netværket med det samme i forventning om, at domstolene giver TDC NET medhold i, at Afgørelsen er uhjemlet.

Hvis det viser sig efter flere års retssag, at Afgørelsen er hjemlet, vil TDC NET stå i en situa tion, hvor denne ikke vil være i stand til at efterleve Forbuddene, fordi der vil være for kort – eller ingen – implementeringsfrist. Dette kan få vidtrækkende konsekvenser, idet CFCS bl.a. har hjemmel til at afsætte TDC NET's ledelse ved manglende efterle

180

velse af forbud, jf. Telesikkerhedslovens § 15. En sådan risiko kan TDC NET selvsagt ikke leve med.

404. Dette praktiske dilemma har CFCS været fuldt klar over, ligesom CFCS har været klar over TDC NET's indsigelse om manglende hjemmel. CFCS har alligevel truffet Afgørelsen og har således re elt tvunget TDC NET til at efterleve den og afholde de dermed forbundne betydelige omkostninger.

Samtidig har CFCS afvist at betale nogen form for erstatning, selvom CFCS er fuldt bekendt med, at en totaludskiftning af DWDM-netværket er en meget langvarig og bekostelig affære, jf. også fristerne i Afgørelsen hen holdsvis den 31. december 2026 og den 1. januar 2027. Denne ad færd er helt uantagelig i en retsstat, og den er i sig selv ansvar spådragende for CFCS.

14. DER FORELIGGER UNDER ALLE OMSTÆNDIGHEDER EKS -

PROPRIATION

405. Selv hvis landsretten måtte finde, at CFCS har haft den fornødne lovhjemmel til at nedlægge Forbuddene i Afgørelsen, og at CFCS ikke har handlet ansvarspådragende, er Afgørelsen under alle omstændigheder ekspropriativ, hvorfor TDC NET bl.a. har en grundlovssikret ret til fuldstændig erstatning for sit tab forbun det med efterlevelsen af Afgørelsen, jf. Grundlovens § 73 og de tilsvarende regler i Artikel 1 i Protokol 1 til EMRK samt Artikel 17 i EU's Charter.

406. Allerede under høringsprocessen gjorde TDC NET gældende, at Afgørelsen er udtryk for ekspropriation. Dette har CFCS imid lertid konsekvent afvist. I stedet har CFCS vurderet, at CFCS har kunnet nedlægge Forbuddene i Afgørelsen, uden at TDC NET skal modtage nogen form for økonomisk erstatning eller kom pensation.

14.1 Kriterierne i Grundlovens § 73 407. Private borgere og virksomheders grundlovssikrede ret (beskyt telse) mod ekspropriation følger direkte af Grundlovens § 73, stk. 1:

"Ejendomsretten er ukrænkelig. Ingen kan tilpligtes at afstå sin ejendom, uden hvor almenvellet kræver det. Det kan kun ske ifølge lov og mod fuldstændig erstat ning."

408. Ekspropriation kan således alene ske ifølge lov. Telesikkerheds lovens § 4 er derfor indsat med henblik på at sikre, at et forbud kan gennemføres som et ekspropriativt indgreb.

409. For at et indgreb kan anses for at være ekspropriativt, er det først og fremmest en betingelse efter Grundlovens § 73, stk. 1, at ind grebet udgør et indgreb i ejendom. Det er ubestridt mellem par

terne, at denne betingelse er opfyldt:

"CFCS lægger til grund, at afgørelsen om at forbyde op retholdelse af Aftalen og den fortsatte anvendelse af ud styr indkøbt under Aftalen indebærer et indgreb i "ejen

181

dom" efter grundlovens § 73, idet TDC bliver begrænset i dets råden over rettigheder efter den indgåede Aftale og udstyr indkøbt under Aftalen."

410. En yderligere betingelse for at anse indgrebet for ekspropriativt, er, at der er tale om afståelse. Hvorvidt der er tale om afståelse beror på en samlet vurdering. I den forbindelse lægges der i den juridiske teori og retspraksis vægt på fire centrale kriterier, som er:

1. Indgrebets intensitet 2. indgrebets begrundelse (causa) 3. indgrebets generelle/konkrete karakter 4. om der sker en overførelse af rettigheder

411. En vurdering af disse kriterier i denne konkrete sag medfører, at der er tale om afståelse, hvorfor indgrebet er ekspropriativt. TDC NET har således krav på fuldstændig erstatning, jf. Grundlovens § 73, stk. 1, jf. Telesikkerhedslovens § 4, stk. 2.

412. TDC NET har under forberedelsen indhentet et juridisk re sponsum fra Professor, dr.jur., Person 22 på Aar hus Universitet med speciale i netop ekspropriation og er landets førende ekspert indenfor ekspropriationsret.

413. Professor Person 22 konkluderer sammenfattende i sit responsum, at der i nærværende sag er tale om ekspropria tion i forhold til TDC NET. Professor Person 22 har for fuld stændighedens skyld lagt til grund (selvom dette er bestridt af TDC NET), at Forbuddene konkret er nødvendige for at varetage hensynet til statens sikkerhed.

Professor Person 22 anfører i den forbindelse, at "[m]åtte dette imidlertid ikke være til - fældet, vil ovennævnte vurdering af forbuddenes ekspropriative karak - ter i forhold til TDC NET være endnu klarere, for så vidt begrundelsen for forbuddene næppe med særlig vægt vil tale væk fra ekspropriation ".

Det er TDC NET's indtryk, at Afgørelsen alene udspringer af et politisk holdningsskifte, og at Afgørelsen således ikke var nød vendig for at varetage hensynet til statens sikkerhed.

14.2 Indgrebet er særdeles intensivt over for TDC NET 414. Generelt er der ikke i Afgørelsen taget højde for Afgørelsens kon krete betydning for TDC NET eller i hvert fald ikke i tilstrækkelig grad.

415. Med en udgift på ca. 200 mio. kr. og et muligt yderligere tab på op til yderligere 100 mio. kr., dvs. op til ca. 300 mio. kr. i alt, er det klart, at der er tale om et meget intensivt indgreb over for TDC NET, uanset at TDC NET er en stor virksomhed. Hertil kommer risikoen for netværksfejl i forbindelse med den nødven dige samtidige drift af både Huawei og Ciena-netværkene, som potentielt kan føre til driftsforstyrrelser og deraf afledte yderli gere tab. Dette taler med betydelig vægt for, at der er tale om afståelse og dermed ekspropriation i denne sag.

182

416. At et indgreb kan have en sådan intensitet, at der er tale om eks propriation, er da også anført direkte i forarbejderne til Telesik kerhedsloven. Det følger heraf, at der "vil på den anden side være tale om indgreb mod konkrete aftaler, som efter omstændighederne vil kunne være af betydelig intensitet over for den pågældende aftalepart. Det kan på den baggrund ikke udelukkes, at et forbud efter omstændig -hederne vil kunne anses for ekspropriativt ".

417. Det er CFCS' hovedanbringende i sagen, at Afgørelsen har en be grænset intensitet. Dette er forkert. Under forberedelsen er CFCS endda gået så vidt som til at hævde, at TDC NET skulle have spekuleret i at få staten til at afholde udgifterne til et nyt DWDM-netværk. Dette er også forkert. TDC NET har ikke ønsket Afgø relsen og har gjort, hvad der var muligt for TDC NET for at undgå en sådan afgørelse siden vedtagelsen af Telesikkerhedslo ven.

418. Det er ubestridt i nærværende sag, at Afgørelsen fordrer en tota

ludskiftning af DWDM-netværket. Dette gør sig videre gæl dende for Huawei-delen af radiokædenetværket, hvis parterne ikke kan finde et billigere og muligt alternativ til en totaludskift ning af dette netværk. Disse fakta understøtter i sig selv, at Af gørelsen er særdeles intensiv overfor TDC NET.

419. CFCS har anført under sagen, at Afgørelsen alene har betydning for forlængelsesoptionerne i Amendment 4. CFCS ignorerer så ledes åbenlyst i sin intensitetsvurdering, at Afgørelsen forbyder anvendelsen af alle kritiske netkomponenter og hele styresyste met (NED-T) leveret under Amendment 4, dvs. at Afgørelsen som beskrevet indebærer et totalforbud mod brug af det eksiste rende Huawei-netværk.

At Afgørelsen medfører en totaludskift ning er selvsagt økonomisk set et langt større problem end ad gangen til at opretholde de nævnte aftaler, der imidlertid også er problematisk og ukorrekt beskrevet af CFCS i Afgørelsen.

420. Hertil kommer, at TDC NET ingen tekniske og/eller kommercielle grunde havde til at udskifte Huawei-netværket. Dette bekræftes af skønsmanden, som anfører i besvarelsen af spørgsmål 3, at DWDM-netværket "er designet til at have en meget lang fysisk hold - barhed - minimum 10 år, men reelt nok nærmere 20-25 år ".

Skøns manden anfører videre i besvarelsen af spørgsmål 7, at den "kom - mercielle levetid vil (…) være sammenlignelig " på de to DWDM-net værk. Herudover i besvarelsen af spørgsmål 11, at: "Som det frem - går bilag 88 er det nuværende net løbende blevet opdateret med kapaci - tet og ny teknologi (400Gbit/s of flexgrid) og ifølge bilag 7 er nettet langt fra max grænsen for samlet kapacitet.

Det må derfor vurderes at det nuværende net vil kunne udbygges til at håndtere TDC’s kapacitets behov for periode på min 10 år. Der er således ikke noget, der umiddel -bart ville have krævet en større udskiftning i TDC DWDM-net i de kommende år".

Derfor anfører skønsmanden da også i besvarelsen af spørgsmål 15, at "[d]a Huawei nettet vurderes at være løbende ved -ligeholdt og opdateret, vil det være meget fornuftigt at starte udskift -ningen så sent som muligt (med tilstrækkelig margin til at nå deadline 31/12/26) ".

183

421. TDC NET havde i øvrigt heller ikke selv nogen sikkerhedsmæssige grunde til at foretage en sådan udskiftning.

422. Supply Agreement og Support Agreement må anses for et samlet hele, og der skal lægges vægt på den længste af de fastlagte lø beperioder, hvilket er perioden frem til den 31. december 2029. Support frem til den 31. december 2029 vil således være mini mum for at sikre support til et fuldt funktionsdygtigt netværk.

423. Allerede af de anførte grunde savner det mening, når CFCS i Af gørelsen anfører, at "forstyrrelsen og de dertil forbundne omkostnin - ger " i høj grad modereres af afviklingsfristen, jf. Bilag 5, s. 17.

424. En totaludskiftning af DWDM-netværket er desuden en kompli ceret proces og vil kræve, at TDC NET håndterer en samtidig drift af to separate DWDM-netværk, idet udskiftningen til et nyt DWDM-netværk skal ske på én gang, hvilket CFCS i øvrigt er bekendt med. Der er enighed om, at en totaludskiftning af DWDM-netværket fordrer, at TDC NET håndterer samtidig drift af to separate DWDM-netværk frem til, at det nye netværk senest den 31. december 2026 kan afvikle al datatrafikken, jf. bl.a. Bilag 66.

425. Professor Person 22 anfører følgende om det be tydningen af økonomiske tab i sit responsum:

"Det er som anført i mit responsum min opfattelse, at et samlet tab for TDC NET på 263.997.000 kr. har en sådan størrelse, at tabet i sig selv peger i retning af, at TDC NET rammes ganske intensivt af afgørelse af 21. marts 2023, hvilket peger i retning af antagelse af afståelse. Det kan tilføjes, at efter min vurdering vil også et samlet tab for TDC NET på eksempelvis 150-200 mio. kr. pege i ret ning af antagelse af afståelse." [understregning og frem hævning tilføjet]

426. Der kan i den forbindelse bl.a. også henvises til MAD 2018.202 V (Lille Vildmose), hvor Vestre Landsret fandt, at et afslag på en ansøgning om fortsat indvinding af tørv udgjorde ekspropria tion i forhold til et selskab, som havde foretaget større investe ringer i produktionsanlæg, i hvilken forbindelse landsretten bl.a. anførte, at afslaget "må anses for et betydeligt indgreb over for selska - bet, og at det er godtgjort, at selskabet herved blev meget hårdt ramt ". Selskabet blev tilkendt en ekspropriationserstatning på 40 mio. kr.

427. På tilsvarende vis har TDC NET – i god tro – siden 2011 investe ret betydelige beløb i selve anskaffelsen af Huaweis DWDM-net værk, men også i efterfølgende vedligehold og opgraderinger (ca. DKK 458 mio.), og har berettiget kunnet forvente, at disse investeringer ville blive tilbagebetalt og forrentet, når TDC NET fremover forlængede aftalerne med Huawei.

428. CFCS' synspunkt om, at TDC NET's relative økonomiske forhold skal føre til, at tabet ikke anses som betydeligt, er forkert. Såfremt

184

CFCS' synspunkt var korrekt, ville det betyde, at myndigheder – i varierende omfang – altid ville kunne ekspropriere større virk somheders private ejendom vederlagsfrit under henvisning til, at virksomheden blot kan "absorbere de påståede tab" i tidligere overskud, som hævdet af CFCS i denne sag.

Grundlovens § 73, Artikel 1 i Protokol 1 til EMRK og Artikel 17 i EU's Charter har imidlertid netop til formål at værne mod en sådan retstilstand. Synspunktet ændrer da heller ikke Person 22's in tensitetsvurdering i sit responsum, som i sit tillæg hertil igen på peger at det betydelige tab i sig selv taler for afståelse. Der henvi ses desuden til processkrift 3, afsnit 2.7.

429. Hertil kommer, at der ifølge retspraksis kan være tale om eks propriation overfor en virksomhed med en relativ høj omsæt ning, selvom selskabets tab alene udgør f.eks. DKK 5 mio. Se her til f.eks. U.2006.1539H, hvor landsretten og mindretallet i Hø jesteret fandt, at omhandlede fredning af moser indebar ekspro priation i forhold til selskabet.

Flertallet i Højesteret fandt kon kret, at der ikke var tale om ekspropriation, da selskabet bl.a. ikke aktuelt havde investeret i anlæg til udnyttelse af indvin dingsretten, og da selskabet i øvrigt havde adgang til indvinding af betydelige mængder tørv her i landet. Disse hensyn er ikke til stede i denne sag, da indgrebet netop rammer TDC NET's kerne virksomhed.

430. Et indgreb kan efter retspraksis tilmed udgøre ekspropriation, uden at der foreligger et økonomisk tab, jf. f.eks. U.1967.22H, hvor Højesteret slog fast, at den lovbestemte overførelse af en stiftelses håndskriftssamling til Islands Universitet for at forva res og forvaltes der i overensstemmelse med stiftelsens formål indebar ekspropriation – uanset stiftelsens formål ikke led noget tab herved.

Se i øvrigt U.2008.378H, hvor Højesterets mindretal på fire dommere fremhævede til støtte for ekspropriation, at den tvangsmæssige afhændelse af almene boliger udgjorde et væ sentligt indgreb i selve formålet med og grundlaget for forenin gens virksomhed. Så meget desto mere taler det store økonomi ske tab for TDC NET med betydelig vægt for, at der er tale om ekspropriation i nærværende sag.

431. Så meget desto mere taler det store økonomiske tab for TDC NET med betydelig vægt for, at der er tale om ekspropriation i nærvæ rende sag.

432. Ud over at der i denne sag er tale om omkostninger, som beløber sig til et trecifret millionbeløb, og derved overstiger beløbene i den omtalte retspraksis (MAD 2018.202 V), er Afgørelsen særligt intensiv, idet Forbuddene er uhjemlede og dermed ulovlige. Som beskrevet er TDC NET dog i praksis tvunget til at efterleve disse.

433. Afgørelsen griber endvidere ind i en aktuel løbende aftalebaseret råden, som sker med tilbagevirkende kraft, hvilket ifølge teori og praksis er en skærpende omstændighed.

434. Amendment 4 blev aftaleretligt indgået den 5. november 2020 og under alle omstændigheder inden den 7. december 2020. Afgø

185

relsen kunne således ikke træffes før tidligst 1. januar 2026, for udsat de øvrige betingelser er opfyldt. Selv hvis Amendment 4 først var indgået den 7. december 2020 (hvilket bestrides), så har Afgørelsen fortsat tilbagevirkende kraft i væsentligt omfang. Professor Person 22 anfører i den henseende at :

"Uanset om aftalen anses for endelig indgået først den 7. december 2020, er det ved intensitetsvurderingenaf "skærpende"betydning, at TDC NET's kompetente or gan allerede forud for, at lovforslaget den 7. december 2020 blev sendt i offentlig høring, havde truffet beslut ning om aftaleindgåelse. Synspunktet er her, at man dis ponerede, inden man fik mulighed for at få kendskab til lovforslagsudkastet og muligheden for nedlæggelse af forbud"

435. Ifølge Professor Person 22 gør det ingen væsentlig forskel, at regeringens lovprogram den 6. oktober 2020 varslede "Lov om sikkerhed i 5G-net (Feb II)".

436. Parterne er enige om, at TDC NET først blev bekendt med ind

holdet af forbudsordningen, da lovforslagsudkastet blev sendt i offentlig høring den 7. december 2020.

437. En eventuel mere generel viden hos TDC NET om, at der på tænktes gennemført lovgivning (Telesikkerhedsloven), afsvæk ker ikke intensitetsvurderingen. Se hertil bl.a. U.1980.955Ø, hvor landsretten tog udtrykkelig afstand fra at tillægge det betydning for ekspropriationsvurderingen, at et selskab forud for det om handlede lovindgreb konkret var advaret mod at påbegynde sin lov - lige virksomhed. Det anførte støttes tillige af Professor Person 22.

438. Det bør desuden indgå med betydelig vægt i vurderingen, at der er tale om en forlængelsesaftale, som er en del af en løbende afta lerelation med Huawei siden 2011, og at Afgørelsen de facto også berører tidligere aftaler og dispositioner inden for rammerne af den løbende aftalerelation, herunder anvendelse af tidligere ind købt udstyr. Situationen adskiller sig således væsentligt fra f.eks. U.1980.955Ø, hvor sagsøger blev advaret før erhvervelse af udstyr og påbegyndelse af erhvervsaktivitet. Se hertil også Professor Person 22.

439. Det er i den forbindelse væsentligt at holde sig for øje, at TDC NET som nævnt ikke havde planer om at udskifte Huawei-DWDM-netværket, og havde berettigede forventninger til et fremtidigt samarbejde med Huawei i mange år fremadrettet, dvs. også udover aftaleperioden i Amendment 4. Samlet set skal dette tillægges skærpende betydning for intensitetsvurderingen ifølge Professor Person 22. Der var som nævnt i øvrigt ikke noget aktuelt teknisk eller kommercielt behov for en totaludskift ning.

440. Det er derfor misvisende, når CFCS under sagen har anført, at TDC NET "pludseligt"skulle have ændret holdning og valgt at fortsætte med Huawei indtil 2030 (eller længere). CFCS' syns

186

punkt fremgår da heller ikke af Afgørelsen, men er først kommet til udtryk i nærværende retssag og har derfor karakter af efterra tionalisering i et forsøg på at undgå at betale erstatning til TDC NET. CFCS har til støtte for synspunktet alene fremlagt egne, en sidige referater, men der er naturligt nok intet i sagen i øvrigt, som dokumenterer, at TDC NET havde planer om at udskifte Huawei som DWDM-leverandør, hverken på den korte eller den lange bane.

441. Tværtimod er det ad flere omgange kommunikeret til CFCS, at TDC NET ikke havde planer om at udskifte det netværk, som TDC NET – i god tro – siden 2011 havde investeret næsten en halv milliard kroner i at vedligeholde og opgradere og også havde indgået aftale om forlængelse af netop med Amendment 4.

442. Hertil kommer, at CFCS måtte forvente – i overensstemmelse med TDC NET's og Huaweis håndtering af aftaleforholdet gen nem mange år – at forlængelsesoptionerne ville blive benyttet, og at der måtte forventes yderligere forlængelser udover Amendment 4.

Det er helt sædvanligt, at TDC NET ikke på for hånd forpligter sig til mangeårige aftaler med en enkelt leveran dør, men at de sædvanligvis forlænges under alle omstændighe der. Dette gælder særligt, når der er tale om et så betydningsfuldt netværk som DWDM-netværket.

En forlængelse af Supply Agre ement til 31. december 2024 og Support Agreement til 31. decem ber 2026 med optioner på yderligere forlængelser var derfor sædvanlig praksis, som TDC NET også havde praktiseret med tidligere tillæg til Rammeaftalen.

Derved sikres det, at TDC NET løbende kan konkurrenceudsætte leverancerne fra Huawei for at sikre, at Huawei til enhver tid leverer konkurrencedygtige pro dukter til markedspriser.

443. Det er således også af disse grunde en væsentlig misforståelse, når CFCS i Afgørelsen lægger vægt på, at TDC NET kun bliver "fra taget" muligheden for at forlænge Amendment 4.

444. Det gøres herudover gældende, at et forbud mod Support Agre ement og Service Agreement i sig selv er intensivt, da TDC NET i så fald ikke kan opgradere eller modtage support af sit DWDM-netværk, hvilket vil være sikkerhedsmæssigt betænkeligt. Skøns manden anfører i samme retning i besvarelsen af spørgsmål 3, at "[l]evetiden [af DWDM-udstyret] vil i høj grad afhænge af, hvor længe leverandøren vedbliver med at supportere produktet, og de servicekon - trakter de er villige til tilbyde ".

445. Det følger da også af bemærkningerne til Telesikkerhedsloven, at et eventuelt forbud mod at indgå en ny serviceaftale på alle rede erhvervet (og lovligt) udstyr kan medføre erstatning til teleudbyderen i de tilfælde, hvor det ikke er muligt for teleudby deren at indgå en serviceaftale med en anden leverandør for der med at kunne sikre fortsat anvendelse af det allerede erhvervede udstyr, jf. flertallet bag Telesikkerhedsloven i betænkning afgivet

187

af Forsvarsudvalget den 6. maj 2021 over lovforslag nr. 190 til Telesikkerhedsloven:

"V, DF, RV og KF vil også gerne kvittere for den kon struktive dialog, der har været med ministeren i forhold til konkrete dele af lovforslaget. Vi har således noteret os, at et eventuelt forbud mod at indgå en ny serviceaf tale på allerede erhvervet og lovligt udstyr efter en kon kret vurdering vil kunne føre til erstatning (ekspropria tion) til teleudbyderen i de tilfælde, hvor det ikke er mu ligt for teleudbyderen at indgå en serviceaftale med en anden leverandør for dermed at kunne sikre fortsat an vendelse af det allerede erhvervede udstyr." [under stregning tilføjet]

446. CFCS har ikke under sagen ville (kunne) redegøre nærmere for, hvorfor det ikke udgør ekspropriation, når Afgørelsen de facto medfører en totaludskiftning, og således bl.a. et forbud mod brug af allerede erhvervede komponenter, som er erhvervet i god tro (TDC NET's provokation 2). Dette skal komme CFCS til skade ved rettens vurdering.

447. Det kan desuden ikke komme TDC NET til skade, at TDC NET i 2011 valgte at implementere et proprietært system fra Huawei som eneleverandør, som hævdet af CFCS (bl.a. svarskrift s. 113, E359). Allerede fordi TDC NET ikke havde planer om at udskifte DWDM-netværket, savner synspunktet mening. Det havde end videre ikke været muligt at sammenkoble systemer fra en anden leverandør, som ikke var Huawei, med DWDM-udstyr fra en tredjepart. Hertil kommer, at det var (og fortsat er) helt normalt i DWDM-netværk at vælge en eneleverandør-løsning, herunder bl.a. af driftssikkerhedsmæssige årsager.

448. Skønsmanden anfører således:

"Det at kunne vælge komponenter fra flere forskellige leverandører vil primært have en effekt på den sam lede initialinvestering, men vil med stor sandsynlighed introducere stor usikkerhed af driftstabilitet - og be sværliggøre ansvars pådragelse i forbindelse med eventuelle fejl. Det er umiddelbart svært at forstille sig, at det vil medføre et bedre fungerende netværk – tvær timod.

Da DWDM er rygraden i TDC NET’s infrastruk tur, kan en fejl i denne del af nettet få katastrofale føl ger, og det vil ikke vurderes hensigtsmæssigt at blande optiske komponenter fra forskellige leverandø rer i samme DWDM-net." [Understregning og frem

hævning tilføjet]

449. Der henvises desuden til skønserklæringen spørgsmål IB og Bi lag 7, pkt. 58. Huawei var herudover i perioden 2010-2012 mar kedsledende målt på bl.a. kapacitet, markedsandele og teknolo gisk udvikling.

188

450. Som nævnt har Huawei været leverandør af TDC NET's DWDM-

netværk siden 2011, hvilket CFCS (eller tilsvarende myndighe der) har været fuldt ud bekendt med. I hele perioden har TDC NET og CFCS haft et løbende samarbejde om netværket, ligesom der har været udarbejdet skriftlige forståelser til brug herfor.

CFCS har ikke tidligere – og slet ikke i 2011 – påtalt over for TDC NET, at det var problematisk, at TDC NET valgte Huawei som DWDM-leverandør under henvisning til, at Huaweis udstyr ikke var direkte kompatibelt med andre producenters DWDM-pro dukter. Det var først i løbet af 2020, hvor den politiske holdning til Kina ændrede sig, at CFCS for alvor problematiserede Huawei som DWDM-leverandør.

På dette tidspunkt havde Huaweis DWDM-netværk imidlertid været i drift i næsten 10 år, ligesom CFCS løbende havde ført – og stadig fører – tilsyn hermed.

451. Det øger modsat Afgørelsens intensitet, at TDC NET – med rette

– har indrettet sig i tillid til, at CFCS igennem en lang årrække har accepteret, at Huawei var leverandør af DWDM–netværket med alt, hvad det indebærer, herunder at der blev leveret et pro prietært system. Subsidiært har CFCS fortabt enhver indsigelse om, at totaludskiftningen er forårsaget af, at TDC NET for over 10 år siden valgte Huawei som leverandør af et proprietært sy stem.

Under alle omstændigheder var det ikke forudsigeligt eller påregneligt for TDC NET, da man i 2011 valgte Huawei som DWDM-leverandør, at TDC NET mere end 10 år senere ville blive ramt af Afgørelsen, som fordrer en totaludskiftning af DWDM-netværket, uden at modtage nogen økonomisk kompen sation herfor.

452. Som anført af Professor Person 22 kan der videre (heller)

ikke i ekspropriationsretlig sammenhæng pålægges en privat virksomhed en almindelig pligt til at ophæve et aftaleforhold, hvis det kommercielt/forretningsmæssigt måtte give bedst me ning at fortsætte aftaleforholdet. CFCS' synspunkter kan således også i denne henseende afvises.

453. Endelig er CFCS' – i praksis kunstige – forudsætning og ultima

tive krav om test af Huawei-leverancer i HCSEC indholdsløst. Som beskrevet i sagen vidste CFCS, og har reelt forholdt sig ac cepterende til, at test i HCSEC ikke blev opfyldt i det af CFCS forudsatte omfang.

Det er TDC NET's opfattelse, at CFCS reelt har sat TDC NET i en "deadlock-situation"ved rent formelt at forsøge at fastholde, at test i HCSEC var en grundlæggende for udsætning for opretholdelsen af aftaleforholdet med Huawei, når CFCS samtidig var bekendt med, at kravet om test i HCSEC i praksis har vist sig umulig for TDC NET at efterleve, og at par ternes praksis var en anden.

Hertil kommer, at CFCS ikke har påvist, at test hos Atsec og Brightsight stillede den danske stat ringere, hvilket tillige må komme CFCS til skade i intensitetsvur deringen. Der henvises herom til afsnit 7 ovenfor.

14.3 Indgrebet har en spinkel og i vidt omfang faktuelt forkert be -

grundelse (causa)

189

454. Afgørelsen (indgrebet) har desuden en spinkel og faktuelt for kert begrundelse, hvilket tillige taler for, at der er tale om afstå else.

455. I forhold til causa-kriteriet har CFCS anført i Afgørelsen, at denne angiveligt er truffet for at afværge en væsentlig trussel mod statens sikkerhed:

"CFCS tillægger det betydelig vægt, at afgørelsen er truffet for at afværge en væsentlig trussel mod statens sikkerhed, som det ikke vurderes at være muligt at håndtere med mindre indgribende foranstaltninger. Som der er redegjort for under afsnit 4.2.1 ovenfor, vil det være forbundet med omfattende konsekvenser, så fremt TDC's DWDM-netværk blev kompromitteret. Denne afgørelse varetager således væsentlige og tungt vejendesamfundsmæssige interesser hvilket efter CFCS' opfattelse taler med betydelig vægt imod at anse afgørelsen for ekspropriativ."

456. Afgørelsen er imidlertid ikke begrundet i konkrete forhold i rela tion til Huawei, men derimod i et politisk holdningsskifte samt en generel/abstrakt frygt over for Huawei (Kina). Der foreligger heller ikke beviser for andet.

457. Dette synes nu bekræftet, idet CFCS under sagen har anført:

"CFCS kan dog tiltræde, at TDC NET i sagens åbne del har mulighed for at forholde sig til den trussels-vurde ring, der ligger til grund for afgørelsen af 21. marts 2023 (bilag 5), idet oplysningerne i sagens lukkede del alene

understøtter trusselsvurderingen, men ikke indeholder en anderledes begrundelse for afgørelsen, end den TDC NET har modtaget." [understregning tilføjet]

458. Det er videre anført i kendelse af 9. februar 2026, at den særlige advokat overordnet har bemærket følgende vedrørende oplys ningerne i sagens lukkede del:

"Den særlige advokat har overordnet gjort gældende, at CFCS ikke har dokumenteret eller sandsynliggjort, at hensynet til statens sikkerhed kan begrunde, at oplys ningerne ikke skal videregives helt eller delvis.

Videre givelse vil ikke skade Danmarks sikkerhed, fordi oplys ningerne i vid udstrækning 1) ikke vedrører Danmarks forhold til fremmede magter, efterretningstjenesternes særlige arbejdsmetoder, beskyttelse af efterretningstje nesternes kilder og behovet for beskyttelse af efterret ningsmæssige samarbejder, 2) er uklassificerede eller klassificerede på lavt niveau, 3) allerede er offentligt til gængelige, og/eller 4) vedrører industrispionage.

Den særlige advokat har for hvert bilag nærmere redegjort for, i hvilket omfang oplysningerne kan henføres under de nævnte punkter 1) - 4)."

190

459. Dette synes yderligere understøttet af oplysningerne indeholdt i

CFCS' Bilag BA, som er fremlagt fra sagens lukkede del, ligesom det anførte også støttes af de af CFCS' fremlagte Bilag BB-BP på den særlige advokats opfordring.

For så vidt angår CFCS' begrundelse henvises der i øvrigt til af snit 8 ovenfor, hvorefter CFCS ud over en generel og abstrakt bekymring/modvilje over for Kina, begrunder Forbuddene i Hu aweis manglende udlevering af kildekode, designmateriale samt HCSEC "unikke"forudsætninger og unikke kompetencer, lige som Huawei skulle have tilkendegivet, at Huawei alene ville le vere HCSEC-testet udstyr til danske teleudbydere.

Der er som nævnt tale om en meget spinkel begrundelse, og om en sikker hedsevalueringssituation, som CFCS reelt selv har skabt og nu anvender som argument for et erstatningsfrit forbud over for TDC NET. Sådanne begrundelser har ikke en sådan karakter, at

de kan begrunde, at der ikke foreligger ekspropriation med en forpligtelse til at betale erstatning. Der er tværtimod en meget svag causa i denne sag, og dette taler i sig selv klart for, at der foreligger ekspropriation. Dette underbygges yderligere af den særlige og yderst påfaldende forhistorie vedrørende CFCS' god kendelsesproces for Amendment 4.

460. Se hertil f.eks. U 1997.157 H, hvor Højesteret tilkendte erstatning

efter Grundlovens § 73 for et afslag på fortsat råstofindvinding på baggrund af miljøhensyn. Højesteret lagde i den forbindelse vægt på, at det ikke var sandsynliggjort, at en fortsat råstofind vinding ville indebære en nærliggende fare for forurening af den lokale vandforsyning. Til sammenligning indebærer TDC NET's egen udnyttelse af sit ejendomsgode i sig selv ingen fare, der må afværges af hensyn til samfundet. Tværtimod har TDC NET kon kret mulighed for at introducere kontrol-og tilsynsfunktioner, som kan bidrage til at mitigere en eventuel risiko, der ifølge CFCS måtte være ved Huawei.

461. Selv hvis landsretten måtte finde, at Afgørelsen varetager "tungt

vejende samfundsmæssige interesser" (hvilket bestrides), er det ifølge Professor Person 22 ikke ensbetydende med, at Afgø relsen ikke er udtryk for ekspropriation:

"Det forhold, at forbud efter § 3, stk. 1, og forbud efter § 3, stk. 2, skal være begrundet i hensynet til statens sik kerhed udelukker dog ikke, at forbuddene desuagtet kan have karakter af afståelse/ekspropriation. Således vil navnlig forbud, der rammer adressaten intensivt, kunne være en afståelse/ekspropriation, uanset at ind grebet tjener til at beskytte statens sikkerhed."

462. Professor Person 22 konkluderer da også, at der i nærvæ

rende sag er tale om ekspropriation, selvom det i hans responsum er lagt til grund, at Afgørelsen var nødvendig af hensyn til sta tens sikkerhed. Afgørelsens ekspropriative karakter er naturlig vis endnu mere klar, såfremt dette viser sig ikke at være tilfældet i overensstemmelse med TDC NET's synspunkt i sagen. Det an førte støttes tillige af bemærkningerne til Telesikkerhedsloven.

191

463. Det følger videre af retspraksis, at en afgørelse (indgreb) kan være udtryk for ekspropriation uanset om indgrebet måtte være begrundet i saglige hensyn. Se hertil f.eks. MAD 2018.202 V (Lille Vildmose). I sagen fandt landsretten, at et afslag på fortsat ind vinding af tørv nok var begrundet i saglige hensyn til natur- og miljøinteresser, men at der ikke kunne lægges afgørende vægt herpå, når det ud fra proportionalitetsprincippet havde været til strækkeligt at indføre mindre vidtgående tiltag.

464. Uanset begrundelsen for Forbuddene i Afgørelsen skal TDC NET ikke bære den økonomiske byrde, når TDC NET er uden skyld heri. Professor Person 22 anfører i den forbindelse, at causa-kriteriet kun taler væk fra antagelse af afståelse/eksprop riation i det tilfælde, at der er forhold, som kan bebrejdes ejeren. TDC NET har ikke udvist dadelværdig adfærd i forbindelse med

indgåelse af aftalerne med Huawei, og noget andet er da heller ikke bevist af CFCS.

465. Det anførte støttes videre af Dansk Erhverv, som under forbere delsen har anført:

"Som nævnt bør samfundet bære risikoen for ændrede politiske strømninger, der fører til indgreb i den private ejendomsret. Det kan og må ikke være en risiko, som forvaltningen efter forgodtbefindende blot kan lægge på borgeren eller virksomheden, der bliver ramt. Dette har da heller ikke været hensigten med Telesikkerheds loven, som netop indeholder en ekspropriationshjem mel, fordi Folketinget var opmærksomme på, at indgreb efter loven kunne være ekspropriative."[understreg ning tilføjet]

14.4 Indgrebet rammer konkret TDC NET 466. Det er ubestridt mellem parterne, at Forbuddene i Afgørelsen rammer TDC NET konkret, hvilket tillige taler for afståelse (eks propriation).

467. Det er samtidig forkert, at der er med Telesikkerhedsloven og Afgørelsen er tale om "et udslag af anvendelsen af generelle regler og en vurdering ud fra saglige og objektive kriterier ", jf. Bilag 5, s. 17. Telesikkerhedsloven er reelt lavet med henblik på at forbyde Huawei-netværket, uanset at loven naturligvis er generelt for muleret. Der henvises til det anførte ovenfor om lovens tilblivel seshistorie.

468. Det karakteristiske for de tilfælde i retspraksis, hvor domstolene har lagt vægt på, at indgrebet fastsættes efter almene saglige kri terier og ikke ganske vilkårligt pålægges nogle få ejere, er ifølge Professor Person 22, at der er tale om vurdering af indgreb, der følger umiddelbart af generelle lovbestemmelser, men ikke, at der som i nærværende sag træffes en konkret afgørelse rettet mod en specifik adressat i henhold til disse regler.

469. Selv hvis landsretten måtte finde, at Afgørelsen følger umiddel bart af generelle lovbestemmelser og er baseret på saglige krite

192

rier, gøres det gældende, at der er tale om afståelse/ekspropria tion, idet Afgørelsen alene rammer TDC NET, og at ingen andre aktører i markedet ville kunne blive mødt med et tilsvarende for bud, idet TDC NET's DWDM-netværk og radiokædenetværk er unikke.

470. Telesikkerhedsloven er endvidere meget konkret i den forstand, at Telesikkerhedsloven alene regulerer væsentlige erhvervsmæs sige udbydere af offentlige tilgængelige elektroniske kommuni kationsnet og -tjenester, jf. Telesikkerhedslovens § 1, stk. 3.

Te lesikkerhedsloven finder således anvendelse på et meget snæ vert felt af potentielle pligtsubjekter, hvoraf TDC NET – grundet sin størrelse på markedet for elektroniske kommunikationsnet – udgør en helt central aktør og dermed et centralt pligtsubjekt i henhold til Telesikkerhedsloven. Dette er CFCS helt klar over.

Det er også derfor, at DWDM-netværket udgør kritisk infra struktur, der i princippet har kunne omfattes af Telesikkerheds lovens forbudsregler fra den 1. januar 2026. Derfor forekommer det også oplagt, at TDC NET reelt er den eneste virksomhed, som Telesikkerhedsloven var relevant for på det tidspunkt, hvor den blev lavet og sat i kraft.

471. Dertil kommer, at når der henses til det helt særlige forløb om kring tilblivelsen af Telesikkerhedsloven, forekommer det åben bart, at Telesikkerhedsloven alene havde ét formål på det tids punkt, hvor den blev vedtaget og sat i kraft: At ramme TDC NET's aftaleforhold med Huawei og derved forsøge at få Huawei fuldstændig ud af dansk kritisk teleinfrastruktur.

Hvis der måtte være den mindste tvivl herom, kan man blot notere sig virk ningstidspunktet i Telesikkerhedslovens § 17, stk. 2, der netop havde til formål at forsøge at "fange" aftaler, der var indgået den 7. december 2020 eller senere, idet CFCS netop først den 7. de cember 2020 meddelte sin godkendelse af Amendment 4, efter at denne færdige aftale havde ligget på CFCS' bord i hvert fald si den den 30. november 2020.

472. CFCS har da også under forberedelsen bekræftet, at "[d]er findes

ikke andre sager end nærværende ". CFCS har videre anerkendt, at det kan "tale for afståelse, hvis kun enkelte eller enkelte inden for en vis kategori rammes af indgrebet ".

473. Det følger da også af teori og retspraksis, at det taler for afståelse, hvis indgrebet konkret retter sig mod en lille kreds af modtagere i stedet for en breds kreds af modtagere. TDC NET bekendt er det alene TDC NET, som har fået modtaget et forbud efter Te lesikkerhedsloven, hvilket er bekræftet af CFCS i sagen, jf. oven for.

474. Der kan eksempelvis henvises til U.1980.955Ø, hvorefter en lov, som indførte et generelt forbud mod privates søtransport af gods til og fra Grønland, indebar en afståelse/ekspropriation i forhold til et privat rederi, bl.a. fordi rederiet var den eneste, som blev ramt af forbuddet:

193

"Lovens forbud mod søtransport til Grønland, der har hindret sagsøgeren i at fortsætte sin rederivirksomhed, findes herefter at måtte anses for ekspropriativt indgreb overfor sagsøgeren, der som den eneste er ramt af for bud[d]et. Det findes i den forbindelse uden betydning,

at sagsøgeren på forhånd var advaret mod at påbegynde sin lovlige virksomhed, og at denne kun har været dre vet i kortere tid." [understregning tilføjet]

475. Det er endvidere værd at bemærke, at landsretten i sagen lagde vægt på, at det sædvanligvis vil spille ind i bedømmelsen, om virksomheden er advaret om et kommende forbud, herunder hvor længe den pågældende aktivitet har foregået.

I nærværende sag var TDC NET som nævnt ikke bekendt med indholdet af den kommende telesikkerhedslov, idet lovforslaget end ikke var bragt i høring, da Amendment 4 blev indgået længe før den 7. december 2020.

Formelt set var CFCS allerede fra den 15. sep tember 2020 orienteret om, at TDC NET havde påbegyndt aftale forhandlingerne med Huawei, og først den 7. december 2020 gav CFCS grønt lys til aftaleforlængelsen, som dog allerede var ind gået forinden. Derfor kan indrettelsessynspunktet ifølge Profes sor Person 22 heller ikke anses for at være blevet svækket i den konkrete sag.

Dertil kommer, at TDC NET's samarbejde med Huawei er mangeårigt.

476. I tråd med Greendane-dommen er MAD 2018.202 V (Lille Vild mose). Også i Lille Vildmose-sagen tillagde landsretten det be tydning, at afslaget på ansøgningen om fortsat indvinding af tørv alene var rettet mod sagsøgeren:

"Landsretten finder herefter, at afslaget på ansøgnin gerne om fortsat indvinding af tørv, der alene var rettet mod Pindstrup Mosebrug, og som således bragte selska bets tørveindvinding på arealerne til afslutning efter mange årtiers produktion, må anses for et betydeligt indgreb over for selskabet, og at det er godtgjort, at sel skabet herved blev meget hårdt ramt.

Landsretten har i den forbindelse også lagt vægt på skønsmændenes vur deringer i syn og skøn 3 med hensyn til de økonomiske konsekvenser for selskabet ved, at tørveindvindingen blev indstillet.

På den anførte baggrund finder landsretten efter en samlet vurdering, at Pindstrup Mosebrug har krav på erstatning efter grundlovens § 73 i anledning af afslaget på ansøgningerne om fortsat tørveindvinding." [under stregning tilføjet]

477. På tilsvarende vis tillagde landsretten det i MAD 2018.202 V be tydning, at virksomheden i mange år havde anvendt arealerne til produktion. Denne del af afgørelsen er derfor også relevant for nærværende sag.

478. Endelig henvises der til afgørelsen U 1997.157 H, hvor et afslag på tilladelse til fortsat indvinding af råstoffer havde karakter af

194

et individuelt og konkret indgreb, som måtte ligestilles med et forbud, hvorefter appellanterne havde krav på erstatning efter Grundlovens § 73. Højesteret tilsluttede sig landsrettens mindre tal, der ligestillede afslaget med et forbud:

"Miljøankenævnets afslag på at give tilladelse til fortsat råstofindvinding findes på denne baggrund at have ka rakter af et individuelt indgreb over for sagsøgerne, som berettiger disse til erstatning efter samme kriterier, som hvis deres indvindingsrettighedervar bortfaldet som følge af et forbud nedlagt i medfør af 1972-lovens § 5, stk. 3."

479. På tilsvarende vis udspringer TDC NET's krav også af et nedlagt forbud, hvor der i Telesikkerhedslovens § 4 er indsat hjemmel til ekspropriation, men hvor CFCS har nægtet TDC NET enhver form for økonomisk kompensation som følge heraf.

480. Det ovenfor anførte er bekræftet af Professor Person 22, som anfører i sit responsum, at det i situationer som den foreliggende er "(…) den almindelige opfattelse, at det kan tale for afståelse, hvis kun enkelte inden for en vis kategori rammes af indgrebet ". Professor Person 22 konkluderer herefter at:

"Det er herefter min opfattelse, at kriteriet generelt-kon kret peger i retning af, at forbuddene rettet til TDC Net i CFCS' afgørelse af 21. marts 2023 har karakter af afstå else efter grundlovens § 73 Baggrunden herfor er navnlig, at indgrebet består i en konkret afgørelse om forbud, der alene retter sig mod en enkelt erhvervsmæssig udbyder af offentligt tilgænge lige elektroniskekommunikationsnet og -tjenester (blandt flere)."

481. Det skal videre tillægges væsentlig betydning – som Professor Person 22 også anfører – at hele formålet med Grundlovens § 73 er at beskytte en ejer mod at bære særlige byrder på helhe dens vegne, hvilket for TDC NET netop er retsvirkningen af Af gørelsen:

"Det bemærkes herved, at det følger af telesikkerhedslo vens § 1, at CFCS i særlige tilfælde kan forbyde en væ sentlig erhvervsmæssig udbyder af offentligt tilgænge lige elektroniske kommunikationsnet og -tjenester [min fremhævelse] at indgå en aftale, der vedrører kritiske netkomponenter, systemer og værktøjer, herunder vare tagelsen af driften heraf, hvis aftalen vurderes at udgøre en trussel mod statens sikkerhed. Videre bemærkes, at formålet bag grundlovens § 73 er at beskytte ejeren mod at bære særlige byrder på helhe dens vegne."

482. Såfremt TDC NET ikke får kompensation for det ekspropriative indgreb, så vil TDC NET netop komme til at bære en sådan sær

195

lig byrde på helhedens vegne, hvilket strider med selve formålet bag Grundlovens § 73.

14.5 Overførelseskriteriet taler ikke med nogen relevant vægt væk fra

ekspropriation

483. Overførelseskriteriet taler tillige for, at der er tale om ekspropri ation.

484. Der er enighed om, at Afgørelsen ikke indebærer en overførsel i

traditionel forstand, hvorved eksempelvis et areal overdrages til det offentlige med henblik på at etablere en motorvej. Dette be tyder dog ikke, at overførselskriteriet af den grund er uden be tydning. Professor Person 22 anfører følgende herom i sit responsum:

"Der er ganske vist ikke tale om formel overførelse af TDC NET's aftalebaserede rettigheder efter Amend ment 4 eller af ejendomsretten til leveret udstyr under aftalen til et andet retssubjekt, som herefter indtræder i TDC NET's retspositioner efter aftalen og overtager ejendomsretten til pågældende udstyr. […] Set fra TDC NET's side er der tale om en berøvelse/tilin tetgørelse af konkrete ejendomsrettigheder af hensyn til beskyttelse af væsentlige samfundsmæssige interesser (statens sikkerhed), der har som konsekvens, at selska bet skal indgå aftaler, herunder om levering af nyt ud styr, med en anden aktør på området."

485. På den baggrund konkluderer Professor Person 22, at over førelseskriteriet ikke i sig selv med nogen relevant vægt taler i retning af, at Afgørelsen ikke har karakter af afståelse – snarere tværtimod, idet Forbuddene i Afgørelsen kan betragtes som be røvelse/tilintetgørelse af konkrete ejendomsrettigheder af hen syn til beskyttelse af væsentlige samfundsmæssige interesser (statens sikkerhed).

14.5 Ekspropriation af TDC NET's berettigede forventninger 486. En parts berettigede forventninger kan også være genstand for ekspropriation efter Grundlovens § 73. Det gøres gældende, at Afgørelsen indebærer ekspropriation af TDC NET's berettigede forventninger i henhold til CFCS' godkendelse af Amendment 4 den 7. december 2020.

487. Som beskrevet gav CFCS sin accept af Amendment 4 den 7. de cember 2020. Desuagtet at Amendment 4 allerede var indgået forud for den 7. december 2020, gav CFCS' endegyldige blåstem pling og accept af Amendment 4 den 7. december 2020 TDC NET en berettiget forventning om, at TDC NET kunne fortsætte sam arbejdet med Huawei i henhold til det indgåede tillæg, herunder udnyttelse af forlængelsesoptionerne.

196

488. TDC NET har ikke været bekendt med, at CFCS allerede på dette tidspunkt arbejdede hen imod at kunne nedlægge forbud over for TDC NET. Tværtimod havde TDC NET en berettiget forvent ning om, at Amendment 4 som minimum kunne opretholdes frem til den 1. januar 2026, jf. Telesikkerhedslovens § 17, stk. 3.

Dertil kommer, at TDC NET har haft en berettiget forventning om, at et eventuelt forbud alene ville kunne nedlægges fra den 1. januar 2026 med et rimeligt varsel, jf. Telesikkerhedslovens § 3, stk. 3. Et rimeligt varsel ville som minimum være 3-4 år som i Afgørelsen. TDC NET har derfor haft en berettiget forventning om, at et eventuelt forbud først ville kunne nedlægges med effekt fra omkring 2030.

489. Af relevant retspraksis kan nævnes MAD 2018.202 V (Lille Vild mose), hvor landsretten eksplicit henviste til sagsøgerens beret tigede forventning som led i begrundelsen for, at indgrebet var ekspropriativt og berettigede sagsøgeren til erstatning efter Grundlovens § 73:

"Landsretten finder efter det anførte, at Pindstrup Mo sebrug har haft en berettiget forventning om, at i hvert

fald store dele af den tilbageværende tørv kunne indvin des." [understregning tilføjet]

490. I samme retning er U 1980.955 Ø (Greendane), hvor rederiet Gre endane – på lovlig vis – havde indrettet sig i tillid til, at rederiet kunne sejle den pågældende fragtrute mellem Danmark og Grønland. Greendane havde tillige foretaget investeringer i ma teriel i tillid til, at rederiet kunne sejle ruten. Afgørelsen illustre rer tillige, at ekspropriation af berettigede forventninger i høj grad også er et udslag af intensitetskriteriet, idet den indførte lov reelt fjernede næringsgrundlaget for Greendane, hvilket i sagens natur var særligt intensivt.

491. TDC NET's berettigede forventninger taler således tillige for, at der er tale om ekspropriation i nærværende sag.

…”

Den særlige advokat har på vegne af TDC NET A/S indleveret påstandsdoku- ment i forbindelse med sagens lukkede del.

Dansk Erhverv har som biintervenient til støtte for TDC NET A/S i påstandsdo-kument af 19. februar 2026 anført bl.a.:

”…

1. Indledning

Dansk Erhverv er en erhvervsorganisation med mere end 18.000 med lemsvirksomheder, som repræsenterer et bredt udsnit af virksomheder og mere end 100 brancheforeninger. Sagsøger TDC NET er medlem af Dansk Erhverv, og Dansk Erhverv arbejder for at fremme medlemmer

197

nes interesser. Herunder arbejder Dansk Erhverv for at sikre det bedst mulige erhvervsklima i Danmark og de bedste rammevilkår for virk somhederne. Dansk Erhverv er indtrådt som biintervenient i nærvæ rende sag, da den rejser flere principielle spørgsmål om grænserne for offentlige myndigheders adgang til at påføre erhvervslivet væsentlige begrænsninger med væsentlige økonomiske konsekvenser.

Den endelige dom i denne konkrete sag kan forventeligt få afgørende betydning særligt for de af Dansk Erhvervs medlemmer, der udfører og bekoster store og komplicerede infrastrukturprojekter i tillid til juridi ske rammer, der er gældende på tidspunktet for investeringerne, og i tillid til de tilsagn som medlemmerne i øvrigt måtte få fra myndighe derne.

2. Overordnede erhvervs- og investeringsmæssige hensyn

Dansk Erhverv støtter overordnet TDC NET i, at staten må bære den økonomiske risiko ved politiske og sikkerhedsmæssige tiltag, som gri ber ind i private virksomheders eksisterende investeringer.

Et velfungerende erhvervsliv forudsætter stabile og forudsigelige ram mevilkår, hvor virksomheder kan foretage langsigtede investeringer i tillid til gældende lovgivning og myndighedspraksis. Dette gør sig i særlig grad gældende for virksomheder, der – som TDC NET – foreta ger meget betydelige og langsigtede investeringer i samfundskritisk in frastruktur.

Sådanne investeringer forudsætter ikke alene betydelig kapital men også en berettiget forventning om, at myndighederne ikke efterføl gende ændrer grundlæggende forudsætninger for investeringerne på en måde, der påfører virksomheden uforudsigelige og særdeles byrde fulde økonomiske tab – og da slet ikke uden kompensation.

Efter Dansk Erhvervs opfattelse skaber det en uacceptabel usikkerhed for erhvervslivet, hvis private virksomheder risikerer at skulle afholde tab for hundreder af millioner kroner som følge af ændrede politiske el ler sikkerhedsmæssige vurderinger. En sådan usikkerhed vil svække in vesteringslysten og dermed Danmarks position som et attraktivt inve steringsland, og det har formodningen imod sig, at dette skulle have været hensigten hos lovgiver.

3. Statens ansvar for sikkerhedsmæssigt begrundede indgreb

Dansk Erhverv støtter overordnet TDC NET i, at virksomheder, der in vesterer i dansk infrastruktur, ikke bør bære risikoen for, at myndighe derne ændrer vurdering af forhold, som tidligere har været accepteret, og som ligger til grund for allerede foretagne investeringer. Dette gæl der navnlig, hvor ændringen sker af hensyn til overordnede samfunds mæssige sikkerhedsinteresser.

198

Det gøres herunder gældende, at det særligt i sager som den forelig gende, hvor indgrebet begrundes i nationale sikkerhedshensyn, og virk somheden ikke har mulighed for at efterprøve den sikkerhedsmæssige vurdering, må være mere nærliggende, at det er samfundet som helhed – fremfor den enkelte virksomhed – der bærer den økonomiske risiko for den ændrede vurdering.

Dette understøttes også af, at andre lande, herunder Tyskland, med til svarende sikkerhedsmæssige tiltag over for telekommunikationsudby dere har fokus på at etablere kompensationsordninger netop for at af bøde de økonomiske konsekvenser for de berørte virksomheder.

4. Hastelovgivning og det usædvanlige lovgivningsmæssige forløb

Dansk Erhverv støtter overordnet TDC NET i, at der som beskrevet af TDC NET har været tale om et usædvanligt og kritisabelt forløb om kring telesikkerhedslovens vedtagelse og ikrafttræden. Væsentlige ind greb i eksisterende retsforhold blev her gennemført uden den sædvan lige grundighed og forudsigelighed, som ellers kendetegner dansk lov givningsproces.

Disse forhold, samt det forhold at det meget vidtgående indgreb reelt alene rammer én aktør, TDC NET, skærper efter Dansk Erhvervs opfat telse behovet for en særdeles grundig retlig vurdering af indgrebets ka rakter og konsekvenser.

5. Indgrebets ekspropriative karakter

Dansk Erhverv støtter overordnet TDC NET i, at den omhandlede afgø relse har ekspropriativ karakter.

Når lovgivning gennemføres under betydeligt tidspres og med så vidt gående økonomiske konsekvenser kun for én konkret virksomhed, som tilfældet har været for TDC NET, taler dette i sig selv for, at indgrebet må kvalificeres som ekspropriativt.

Det er ubestridt mellem parterne, at afgørelsen i medfør af telesikker hedsloven greb ind i TDC NET's ejendom. Det gøres gældende, at det forhold, at TDC NET formelt set bevarede ejendomsretten til det pågæl dende (nu ubrugelige) udstyr, ikke kan tillægges afgørende betydning, når indgrebet reelt fratog virksomheden både brugsværdien og den økonomiske værdi af investeringen.

Indgrebet er varigt og særdeles byrdefuldt, idet TDC NET – som den eneste aktør på markedet – reelt tvinges til at opgive værdifuldt udstyr uden nogen form for kompensation, og derved påføres et omfattende tab opgjort af TDC NET til mindst 194 mio. kr., jf. i det hele sagsøgers processkrift 4 af 13. februar 2026.

199

Dansk Erhverv støtter endvidere TDC NET i, at CFCS' vurdering af, at afgørelsen ikke skulle have ekspropriativ karakter, ikke er underbygget af en substantiel begrundelse.

6. Proportionalitet og retssikkerhed

Afslutningsvis støtter Dansk Erhverv overordnet TDC Net i, at et for bud som i denne sag rejser alvorlige proportionalitets- og retssikker hedsmæssige betænkeligheder, idet det efter Dansk Erhvervs opfattelse er uproportionalt at pålægge én enkelt privat virksomhed at bære de fulde økonomiske konsekvenser af et indgreb, der angiveligt er begrun det i samfundsmæssige sikkerhedshensyn og kommer samfundet som helhed til gode.

Dette gælder navnlig, når indgrebet er af varig karakter, medfører me get betydelige økonomiske tab, og når den berørte virksomhed ikke har mulighed for at få prøvet den sikkerhedsmæssige begrundelse. I så danne situationer bør der efter Dansk Erhvervs opfattelse udvises sær lig tilbageholdenhed, og tærsklen for at anse indgrebet for ekspropria tivt bør være lav.

Det forhold, at telesikkerhedsloven i den konkrete situation indeholder en udtrykkelig ekspropriationshjemmel, må anses som en klar anerken delse af, at indgreb efter loven kan have ekspropriativ karakter. At und lade at anvende denne hjemmel i den konkrete situation forekommer efter Dansk Erhvervs opfattelse problematisk og i strid med lovens for mål samt grundlæggende retssikkerhedsprincipper, særligt set i lyset af hvor intensivt og byrdefuldt indgrebet konkret var for TDC NET.

…”

Forsvarets Efterretningstjeneste v/Center for Cybersikkerhed har indleveret sammenfattende processkrift af 20. februar 2026 og sammenfattende proces skrift i forbindelse med sagens lukkede del. I processkriftet af 20. februar 2026 er anført bl.a. (henvisninger til ekstrakt og materialesamling er udeladt):

”… C. ARGUMENTATION

19. SELVSTÆNDIGT OM AFVISNING AF PÅSTAND 2

TDC NETs påstand 2 lyder, at:

”Forsvarets Efterretningstjeneste v/Center for Cybersikkerhed skal aner -kende, at et forbud som nedlagt i Center for Cybersikkerheds afgørelse af 21. marts 2023 om nedlæggelse af forbud over for TDC NET A/S tidligst vil kunne nedlægges fra den 1. januar 2026; principalt med en frist for ikrafttræden svarende til fristen i afgørelsen, jf. § 3, stk. 3, i lov nr. 1156 af 8. juni 2021 om leverandørsikkerhed i den kritiske teleinfrastruktur;

200

subsidiært med en kortere rimelig frist for ikrafttræden i henhold til lovens § 3, stk. 3. ”

Til støtte for afvisning af påstand 2 gøres det gældende, at påstand 2 er et anbringende til støtte for ugyldighed af Afgørelsen og dermed et an bringende til støtte for de øvrige nedlagte påstande. Dertil kommer, at en dom efter påstanden ikke vil have nogen retsvirkning, idet datoen 1. januar 2026 nu er passeret, ligesom en dom efter påstanden vil have ka rakter af responsumvirksomhed, som ikke vedrører den indbragte Af gørelse, men landsrettens lovfortolkning generelt.

Afvisning af påstand 2 behandles ikke yderligere, idet de følgende af snit alle angår påstanden om frifindelse over for TDC NETs samlede påstande.

20. SAGENS BEVISBYRDE, BEDØMMELSESGRUNDLAG OG BE -VISVÆRDIEN AF DETTE

Det er TDC NET, som under denne sag skal påvise, at der er grundlag for at tilsidesætte Afgørelsen, ligesom det er TDC NET, der skal påvise, at Afgørelsen indebærer ekspropriation og et tab som påstået. I lange stræk forsøger TDC NET at løfte denne bevisbyrde dels ved at påstå, at

CFCS’ notater og materialer ikke kan lægges til grund; dels ved frem læggelsen af tre ensidigt indhentede rapporter – to fra Copenhagen Economics og én fra Analysys Mason – foruden et såkaldt teknisk notat uden forfatter, men udarbejdet af TDC NET selv.

Landsrettens bevisbedømmelse er fri, og det fører for vidt i et påstands dokument at gentage, hvad CFCS allerede udførligt har gjort gældende om bevisværdien af CFCS’ møde- og telefonnotater, …. Herom gøres det sammenfattende gældende, at CFCS ikke har handlet i strid med god forvaltningsskik eller sagsbehandlingsreglerne i forvaltningsloven, offentlighedsloven eller artikel 41 i EU’s charter om grundlæggende ret tigheder.

Det følger af offentlighedslovens § 13, at en myndighed i sager, hvor der vil blive truffet afgørelse, har notatpligt og forudsætningsvis, at en myndighed i andre sammenhænge kan undlade at foretage notat, men naturligvis gerne må. Den forvaltningsretlige notatpligt omfatter ikke en pligt til løbende at dele notaterne eller sende dem i høring hos den borger, som en eventuel afgørelse kan komme til at angå.

En sådan hø ringspligt over notater ville heller ikke give god mening. Hvis TDC NET i dag er uenig i indholdet af CFCS’ notater, står det jo TDC NET frit for at gøre gældende, at det ville man også have været på alle andre tidligere tidspunkter.

TDC NET er ikke underlagt notatpligt, men TDC NET har altid kunnet udarbejde notater eller intern afrapportering fra møder og samtaler med CFCS, hvilket TDC NET i nogen tilfælde også har gjort. For mødet 15. marts 2021 – hvor TDC NET tilkendegav sin ekspropriationsstrategi – har TDC NET for eksempel fremlagt en præsentation udarbejdet til brug for mødet, men ingen noter i øvrigt.

201

CFCS fastholder, at der i sagen som helhed er et fravær af umiddelbare skriftlige bevismidler fra TDC NET, herunder en manglende fremlæg gelse af materialer, som det må lægges til grund findes i en virksomhed som TDC NET. De manglende umiddelbare skriftlige bevismidler om fatter bl.a.: Fravær af korrespondance mellem TDC NET og Huawei-

koncernen. Fravær af dokumentation for den af TDC NET hævdede base case og i det hele taget et fuldstændigt fravær af oplysninger om netværksstrategi, udvikling og vedligehold af DWDM-netværket. Fra vær af egne interne referater og ledelsesmæssige møderapporteringer, herunder i forhold til møder, hvor TDC NET anfører, at CFCS’ notater ikke kan lægges til grund. Fravær af oplysninger om opbygningen og implementeringen af det nye Ciena-netværk; samt fravær af oplysnin ger, som gør det muligt at verificere synspunkter om nødvendige meromkostninger som følge af afgørelsen.

CFCS fastholder derudover, at rapporterne fra Copenhagen Economics og Analysys Mason helt overordnet ikke har bevisværdi, men derimod har karakter af partsindlæg, hvilket i særdeleshed beror på, at rappor terne er udarbejdet under forudsætninger, som TDC NET har opstillet og som erklæringsafgiverne specifikt er blevet anmodet om at lægge til grund og ikke efterprøve.

CFCS er stadig på ganske mange punkter enig med både Copenhagen Economics og Analysys Mason, når det angår be skrivelsen af generelle tekniske forhold og generelle økonomiske meto debeskrivelser. Der, hvor rapporterne fejler som bevismidler, er i forhold til at godtgøre TDC NETs udsagn om TDC NETs egne konkrete og spe cifikke forhold.

Det er de forhold, som konsulenterne ikke har haft i op drag at forholde sig til, men netop har fået besked på at lægge uprøvet til grund. 21. TELESIKKERHEDSLOVENS ANVENDELSE PÅ AMENDMENT 4 OG TIDSPUNKTET FOR INDGÅELSEN AF AMENDMENT 4 21.1.

Telesikkerhedslovens virkningstidspunkt TDC NET har gjort gældende, at telesikkerhedsloven er baseret på et grundlæggende indrettelseshensyn, der indebærer, at udbyderne i peri oden frem til den 1. januar 2026 ikke kan blive mødt af et forbud for al lerede skete investeringer, og at der derfor efter telesikkerhedslovens ikrafttrædelsesbestemmelser ikke er hjemmel til at nedlægge forbud. Det er forkert.

Det følger af telesikkerhedslovens § 17, stk. 2, at lovens § 3 har virkning for aftaler, der er indgået den 7. december 2020 eller senere. Der frem går følgende af forarbejderne til bestemmelsen, jf. Folketingstidende 2020-21, tillæg A, lovforslag nr. 190, side 31-32:

” Bestemmelsen vil indebære, at Center for Cybersikkerhed fra lovens ikrafttræden vil kunne træffe afgørelse om forbud mod opretholdelse af af -taler, jf. § 3, stk. 1, forbud mod anvendelse af kritiske komponenter, syste -mer m.v., jf. § 3, stk. 2, samt afgørelse om ekspropriation efter § 4, når disse aftaler er indgået den 7. december 2020 eller senere. Virkningstids -punktet for loven er fastsat til datoen for iværksættelsen af den offentlige

202

høring over lovforslaget. Loven vil således have tilbagevirkende kraft for aftaler indgået den 7. december 2020 eller senere.

Med den foreslåede bestemmelse sikres det, at der ikke opstår et incitament for teleudbyderne til at omgå lovens ordning ved at indgå aftaler, der ved -rører kritiske netkomponenter, systemer og værktøjer, herunder vareta -gelse af driften heraf, som udgør en væsentlig trussel mod statens sikker -hed, i perioden fra lovforslaget har været sendt i offentlig høring og frem til den 1. juli 2021, hvor loven foreslås at træde i kraft.”

Amendment 4 blev efter det oplyste indgået den 7. december 2020 og er derfor omfattet af telesikkerhedslovens virkningstidspunkt, jf. telesik kerhedslovens § 17, stk. 2.

TDC NET har til brug for nærværende sag forsøgt at opstille en legal sondring mellem aftaler, der forlænger eller viderefører eksisterende af taler og aftaler, der er nye aftaler. Den sondring er der intet retligt grundlag for, hverken efter telesikkerhedsloven eller efter almindelig aftaleret.

Det følger derimod eksplicit af de specielle bemærkninger til telesikkerhedslovens § 2 om forbud mod indgåelse af påtænkte aftaler, at denne bestemmelse omfatter både indgåelse af nye aftaler og forlæn gelser af eksisterende aftaler, jf. Folketingstidende 2020-21, tillæg A, lovforslag nr. 190, side 19.

Den samme forståelse må gælde også i for hold til § 3, da anvendelsesområdet for § 3 bl.a. omfatter den situation, at der på et senere tidspunkt foreligger ændrede forhold vedrørende en aftale, der ikke på indgåelsestidspunktet blev anset for problematisk, jf. de specielle bemærkninger til § 3, stk. 1, jf. Folketingstidende 2020-21, tillæg A, lovforslag nr. 190, side 22.

Nye aftaler henholdsvis forlængelsesaftalers selvstændige karakter føl ger også forudsætningsvis af bekendtgørelsen om oplysnings- og un derretningspligter vedrørende net- og informationssikkerhed, hvoraf det netop fremgår af § 3, at der både skal orienteres om aftaler og om tillæg til aftaler, jf. både 2016-bekendtgørelsen, der var gældende på tidspunktet for Forliget og 2019-bekendtgørelsen, der var gældende på tidspunktet for Amendment 4.

Angående TDC NET’s synspunkt om, at påbuddet af 30. november 2020 – og dermed afgørelsen, hvis det er det, TDC NET mener – ikke havde retsvirkning, fordi påbuddet i adressefeltet angav at være til TDC Group A/S, kan det afvises. Som det fremgår af begge parters sagsfremstilling og af de fremlagte bilag både vedrørende forløbet før og efter 30. november 2020, var TDC NET ikke i tvivl om, at TDC NET var rette adressat og modtager. TDC NET har til brug for stævningen tilmed selv navngivet påbuddet ”Bilag 44 CFCS’ påbud til TDC NET af 30. november 2020 ”.

21.2 Amendment 4 blev (tidligst) indgået 7. december 2020

203

CFCS forstår TDC NET sådan, at selskabet gør gældende, at telesikker hedslovens § 3 tidligst kan finde anvendelse på Amendment 4 fra 1. ja nuar 2026, fordi Amendment 4 efter TDC NETs opfattelse ikke er ind gået 7. december 2020 – hvor det efter det oplyste blev underskrevet – men i stedet enten 11. oktober 2019, 5. november 2020 eller 27. novem ber 2020.

CFCS bestrider, at Amendment 4 er indgået før 7. december 2020, hvor det i overensstemmelse med Rammeaftalen er underskrevet af begge parter. TDC NET har ikke godtgjort, at Amendment 4 er indgået som en retligt bindende aftale på noget tidligere tidspunkt, herunder hverken den 11. oktober 2019, 5. november 2020 eller 27. november 2020. Der må alt andet lige påhvile TDC NET en særdeles tung bevisbyrde for, at en aftale, der notorisk først er underskrevet af TDC NET selv den 7. de cember 2020 desuagtet skulle være indgået år eller måneder forinden.

Selvom det er TDC NET, der skal redegøre for og bevise, at Amend ment 4 blev indgået før den 7. december 2020, så henviser TDC NET i sine anbringender hverken til aftalernes parter, aftalernes faktiske ind hold eller til det retlige grundlag. TDC NET henviser heller ikke til ind holdet af korrespondancen mellem TDC NET og CFCS. Desuden er der ikke under sagen fremlagt noget, der dokumenterer en aftaleindgåelse før 7. december 2020, herunder heller ikke korrespondance mellem TDC NET og Huawei-koncernen, sådan som man erfaringsmæssigt må forvente findes.

Følgende er sagens faktiske og juridiske kendsgerninger, som alle slår fast, at Amendment 4 tidligst blev indgået 7. december 2020, hvor det blev underskrevet. Aftaleretligt er Amendment 4 først indgået på det tidspunkt, hvor viljeserklæringen blev afsendt, og der er ingen oplys ninger om, hvornår det var.

Det følger af Rammeaftalen, pkt. 29.1, at Rammeaftalen og Produktafta lerne er underlagt dansk ret. Det følger af almindelig dansk aftaleret, at der ikke gælder noget underskriftskrav, medmindre parterne konkret har aftalt et underskriftskrav. I nærværende sag havde TDC NET og Huawei Singapore aftalt et underskriftskrav, jf. Rammeaftalen, pkt. 16:

“No addition or modification of this Master Contract and/or Product Agreements shall be effective or binding on either of the Parties hereto un -less agreed in writing and executed by the respective duly authorized rep -resentatives of each of the Parties hereto. ”

Dette underskriftskrav blev ikke på noget tidspunkt ændret, og det var derfor også gældende i forhold til Huawei Hong Kong og Huawei Dan mark. CFCS er opmærksom på, at det i dansk ret er omdiskuteret, om et aftalt underskriftskrav skal tillægges retsvirkning efter sit indhold, eller om det alene kan tillægges bevismæssig betydning. Det er imidlertid TDC NET, der i nærværende sag skal påvise, at Rammeaftalens under skriftskrav ikke havde retsvirkning efter sit indhold, og at Amendment

4 på trods af først at være blevet underskrevet den 7. december 2020 al ligevel med retsvirkning for Huawei Hong Kong og TDC NET var ind

204

gået før den 7. december 2020. TDC NET hverken har eller kan føre be vis for nogen af disse forhold.

For det første, og som allerede påpeget, er Forliget og Amendment 4

indgået mellem TDC NET og to forskellige Huawei-selskaber (HuaweiDanmark henholdsvis Huawei Hong Kong). For det andet blev Forliget, i modsætning til Amendment 4, ikke anmeldt i henhold til bekendtgørelse nr. 566 af 1. juni 2016 om oplysnings-og underretningspligter vedrørende net- og informationssikkerhed.

Detmå med styrke have formodningen imod sig, at TDC NET, der er særdeles godt bekendt med reglerne og for en umiddelbar betragtning fastiagttager heraf, ville undlade anmeldelse af en aftale, hvor en sådanmanglende anmeldelse var og er strafbelagt.

Det har således formodningen for sig, at TDC NET ikke anså Forliget som vedrørende en aftaleangående DWDM-netværket eller i øvrigt en aftale omfattet af anmeldelsespligten, hvorimod TDC NET tydeligvis i september 2020 og fremefter vurderede modsat i forhold til selve genforhandlingen og indgåelsen af Amendment 4, hvor bekendtgørelsen om orientering og fremsendelse af aftaleudkast efter påbud herom blev overholdt af TDC NET.

For det tredje er Forliget og Amendment 4 indholdsmæssigt forskellige.Forliget indeholdt i dettes appendix 1, item 3, no. 20, en bestemmelseom, at TDC NET skulle lægge en indkøbsordre på udstyr for EUR 5,02millioner og en ikke videre klar eller entydig hensigtserklæring om, atHuawei Danmark (ikke Huawei Hong Kong) skulle være: “(…) responsible for i) providing all (equivalent) U2000 install basefunctionality of WDM equipment (…)” Selv under den bredeste og mest vidtrækkende fortolkning af Forligetfremgår det udtrykkeligt af dette, atdet, Huawei Danmark skulle foretage sig, skulle ske inden udløbet af den på tidspunktet eksisterende aftaleperiode (vores understregning): “Huawei shall further as part of the above PO and without further chargesupgrade and update the NCE System within remaining term of DWDMagreement.” Forudsat, at den ikke-definerede betegnelse i Forliget ”DWDM agree-ment” faktisk henviser til Rammeaftalen eller Produktaftalerne, var detaltså blandt andet afgrænset af aftalernes på tidspunktet eksisterende”remaining term”.

Forliget forlængede ikke Produktaftalerne, hvis ophør på tidspunktet for Forliget var reguleret af 1. Forlængelse, hvorefterRammeaftalen og Produktaftalerne ville ophøre med udgangen af 31.december 2021.

Forliget forpligtede hverken Huawei Danmark eller andre Huawei-sel

skaber til nogen konkrete leverancer.

205

Det følger også eksplicit af Amendment 4, pkt. 12, at det med dette blev aftalt, at netop Forligets appendix 1, item 3, no. 20, skulle overleve selve Forliget og fortsætte uafhængigt af dette som en del af Amendment 4.

For det fjerde, og som bevis for det ovenfor anførte, var det også TDC

NETs og Huawei Danmarks egne opfattelser, at Amendment 4 var enny aftale, og at der ikke uden Amendment 4 ville være nogen aftaler efter udløbet af 2021, jf. for eksempel TDC NETs anmeldelse af genforhandling, hvor TDC NET anførte (…): ”TDC’s DWDM aftale med Huawei udløber i 2021 og der indledes derforforhandlinger med Huawei med henblik på en afklaring af om en forlæn-gelse er forretningsmæssigt attraktivt. (…) Såfremt aftalen forlænges forventes dette at ske med en kontraktperiode på3 år. (…)” Hverken TDC NET eller Huawei Danmark – eller Huawei Hong Kongsom aftalepart til Amendment 4 – har så vidt ses på noget tidspunkt førstævningen af 15. september 2023 fremført det synspunkt, at Amendment 4 eller dele heraf allerede var indeholdt i Forliget og dermed ikkevar en ny aftale.

Tværtimod har TDC NET og Huawei Danmark i deresskrivelser til CFCS netop henvist til Amendment 4 som grundlaget forleveringen af NCE-T-systemet, jf. for eksempel TDC NETs høringssvaraf 7. november 2022, side 19, 7. afsnit (vores understregning): ”Management systemet NCE-T bruges også til radiokæde netværk. Afgø-relsesudkastet omfatter alle leverancer leveret iht. Amendment 4.

NCE-Ter leveret under Amendment 4 og må ud fra en ordlydsfortolkning væreomfattet af afgørelsen uanset om det anvendes til Radiokædeudstyr ogDWDM. ”

I dette høringssvar – og alle andre høringssvar fra TDC NET – er Forli

get uomtalt. Udskiftningen af Huawei som leverandør på mobilnettet i 2019 er omtalt, men kun med følgende bemærkning:

”Samtidig havde TDC NET i 2019 udskiftet Huawei som leverandør på mobilnettet, hvilket overflødiggjorde væsentlige dele af skriftlig forståelse nr. 2. ”

Følgende fremgår af Huawei Denmarks høringssvar af 10. januar 2023, side 1 (vores understregning):

”(…)

På vegne Huawei Technologies (Denmark) ApS ("Huawei Denmark") vender vi hermed tilbage med svar på Center for Cybersikkerheds

206

("CFCS") partshøringsskrivelse, jf. CFCS' e-mail s af 2. december 2022 og 14. december 2022, hvoraf det fremgår, at CFCS har til hensigt at ned -lægge forbud mod TDC NET A/S' opretholdelse af "Amendment no. 4 to WDM Master Agreement" (Herefter "Forlængelsen").

Forlængelsen udgør en aftale om forlængelse af et allerede eksisterende af -

taleforhold mellem TDC og Huawei vedrørende levering af WDM - syste-mer og relateret support (herefter "WDM Agreement"). (…)” Det fremstår således som værende udtryk for efterrationalisering, nårTDC NET hævder, at Amendment 4 var indeholdt i Forliget og dermedikke udgjorde en ny aftale.

For det femte er det ikke godtgjort, at Amendment 4 blev tiltrådt og accepteret af TDC NET den 5. november 2020, ligesom en eventuel internbeslutning herom ikke ville kunne udgøre nogen aftaleretlig binding,hverken i forhold til en aftalepart eller i forhold til nogen tredjemand.

Følgende fremgår af stævningen, … (vores understregning): ”TDC NET forhandlede herefter vilkårene med Huawei og forelagde dissefor TDC NET's bestyrelse, som den 5. november 2020 godkendte Tillæg-get, der allerede på dette tidspunkt var blevet forelagt og godkendt af Hu-awei.

Det gøres gældende, at der således den 5. november 2020 forelå enendelig og godkendt aftale om en forlængelse af Rammeaftalen og under-liggende Supply Agreement og Support Agreement med Huawei vedrø-rende DWDM-netværket på vilkårene i Tillægget.”Det, som blev oplyst på mødet den 1. december 2020 mellem CFCS ogTDC NET var imidlertid kun, at bestyrelsen havde godkendt, at direktionen kunne indgå Amendment 4.

Det var derimod ikke, at aftalen varblevet endelig (dvs. indgået). Det følger også af TDC NETs egen mail af27. november 2020 til forskellige personer i Huawei-koncernen, at aftalen ikke var endelig, idet den netop afventede underskriftsproceduren: “As per agreement earlier today, I hereby enclose the complete set of docu-ments for the extension of the WDM contract.

I am happy that we have now finalized the discussions, and can look for-ward to completing the signing process shortly.” Det følger også af høringssvar af 7. november 2022, side 9, 3. sidste afsnit, at aftalen ikke blev indgået den 5. november 2020 (vores understregning): ”TDC NET forhandlede herefter vilkårene med Huawei og fik forelagtdisse for TDCs bestyrelse, som godkendte kontraktforlængelsen med Hu-awei vedrørende DWDM-netværket 5. november 2020.

Amendment 4blev herefter færdigkonciperet og var klar til underskrift.”

207

Der er således ingen objektive holdepunkter for, at nogen dele af Amendment 4 blev aftaleretligt indgået før underskrift og dermed før den 7. december 2020, eller at afgørelsen vedrører udstyr, som er leveret under andre aftaler end Amendment 4, hvilket TDC NET selv foranstal tede tydeliggjort under høringsfasen.

Der er ydermere heller ingen holdepunkter for, at det på noget tids punkt før stævningen har været TDC NETs – eller nogen Huawei-sel skabers – egen subjektive opfattelse, at grundlaget for leverancerne ef ter 7. december 2020 var Forliget og ikke Amendment 4. Tværtimod var det TDC NET og Huawei-selskabernes egne opfattelser, at grundlaget for leverancerne og selve samarbejdets opretholdelse netop var Amend ment 4 og kun Amendment 4.

22. AFGØRELSEN HAR HJEMMEL

22.1 Betingelserne for forbud mod fortsat opretholdelse og anven - delse af allerede leveret udstyr

Afgørelsen har hjemmel i telesikkerhedslovens § 3, stk. 1, 1. pkt., og § 3, stk. 2, 1. pkt., der lyder (…):

”Center for Cybersikkerhed kan i særlige tilfælde forbyde en væsentlig el -ler vigtig teleudbyder at opretholde en indgået aftale, der vedrører kritiske netkomponenter, systemer og værktøjer, herunder varetagelsen af driften heraf, hvis opretholdelse af aftalen vurderes at udgøre en væsentlig trussel mod statens sikkerhed. Ved vurderingen heraf kan Center for Cybersikker -hed lægge vægt på de forhold, som fremgår af § 2, stk. 2.

Stk. 2. Center for Cybersikkerhed kan endvidere i særlige tilfælde forbyde en væsentlig eller vigtig teleudbyder at anvende kritiske netkomponenter, systemer og værktøjer, der er leveret, hvis anvendelsen vurderes at udgøre en væsentlig trussel mod statens sikkerhed. Ved vurderingen heraf kan Center for Cybersikkerhed lægge vægt på de forhold, som fremgår af § 2, stk. 2 ”

Der er enighed om, og landsretten kan lægge til grund, at TDC NET er

en væsentlig teleudbyder, jf. lov om sikkerhed og beredskab i telesekto ren, jf. telesikkerhedslovens § 1, nr. 4. Der er ligeledes enighed om, at OSN9800- og OSN1800-terminaludstyret samt NCE-T managementsy stemet, som afgørelsen retter sig mod, er kritiske netkomponenter, jf. te lesikkerhedslovens § 1, nr. 1. Den betingelse, som udestår, er herefter om opretholdelsen/anvendelsen må vurderes at udgøre en væsentlig trussel mod statens sikkerhed. Herom er der uenighed.

§ 2, stk. 2, der angiver de forhold, som CFCS lagde vægt på og lyder:

”Ved vurderingen efter stk. 1 kan Center for Cybersikkerhed lægge vægt på forhold vedrørende den leverandør, som udbyderen ønsker at anvende. I vurderingen vil bl.a. kunne indgå, om leverandøren, leverandørens væ -

208

sentligste underleverandører og aktører, der udøver kontrol over eller har betydelig indflydelse på leverandøren,

1) er hjemmehørende i eller varetager produktionen eller driften fra et

land, som Danmark ikke har indgået en sikkerhedsaftale med, eller som Danmark ikke har et tilsvarende sikkerhedsmæssigt samarbejde med,

2) er hjemmehørende i eller varetager produktionen eller driften fra et

land, hvor det efter det pågældende lands lovgivning er muligt at pålægge leverandører eller deres underleverandører at udføre eller deltage i forhold, som vil udgøre spionage eller sabotage,

3) direkte eller indirekte kontrolleres af et andet lands statslige organer,

herunder militære myndigheder, og

4) er eller har været involveret i aktiviteter i Danmark eller andre

lande, som har medført en negativ påvirkning af statens sikkerhed, informationssikkerheden eller den offentlige orden. ”

Det er ikke en del af vurderingerne ad § 2, stk. 2, nr. 1 og 2, hvorvidt der

er en ”…generel frygt… ” for det land, hvor den pågældende leverandør er hjemmehørende, idet vurderingen i stedet bl.a. er baseret på saglige og faglige efterretninger og konstateringer om f.eks. det pågældende lands lovgivning.

TDC NET har under sagen anført, at landsretten skal:

”(…) foretage en særligt tilbu[n]dsgående prøvelse af Afgørelsen (…) ”.

TDC NET har ikke kvalificeret, hvad TDC NET mener med dette, men der er enighed om, at landsretten skal følge den test, som Højesteret har knæsat i sagerne U.2011.2673H (Person 23-sagen) og U.2011.2695H (Person 24-sagen). Begge disse sager angik afgørelsen baseret på trusler mod statens sikkerhed, som i henhold til lovgivning vedtaget af Folketinget kunne indbringes for domstolene i en åben og lukket del. Testen er, at den, som afgørelsen angår, skal kunne forholde sig til de elementer, som indgår i afgørelsen også uden at kende det klassifice rede faktum. Herom gælder:

at TDC NET godt kan forholde sig til, at TDC NET med indgåelsen af

Amendment 4 introducerede et rent kinesisk udviklet management-system;

at TDC NET godt kan forholde sig til, at Huawei ikke har overholdt

aftalerne med den danske stat og med TDC NET om adækvat test ning i HCSEC;

209

at TDC NET godt kan forholde sig til, at hverken HCSEC eller nogen

andre fremadrettet ville kunne udføre den fornødne påkrævede testning; og

at TDC NET godt kan forholde sig til de vurderinger, som offentlighe

den er bekendt med angående Kinas kapacitet og parathed til om nødvendigt at anvende denne kapacitet, og som i sammenhæng med betydningen af det af TDC NET ejede DWDM-netværk vurde res at udgøre en væsentlig trussel mod statens sikkerhed, som det er nødvendigt at frigøre Danmark fra (det som TDC NET bagatelli serer som en generel frygt).

Oplysningerne i Afgørelsen er ikke af generel karakter, men konkrete og tilsvarende systemer til domstolsprøvelse af sager, der beror delvist på fortrolige oplysninger, findes i Danmark både under udlændinge loven, jf. lovbekendtgørelse nr. 1009 af 2. september 2024, indfødsretslo ven, jf. lovbekendtgørelse nr. 1656 af 23. december 2022 og investerings screeningsloven, jf. lovbekendtgørelse 1256 af 27. oktober 2023. TDC NETs anke imod den procesform, lovgivningen opstiller, er ikke rele vant for prøvelsen af Afgørelsen.

22.2. Opretholdelsen/anvendelsen udgør en væsentlig trussel mod statens sikkerhed

22.2.1 Uddybning af retsgrundlaget ad begrebet ”trussel mod statens sikkerhed” samt afvejningen heraf over for private, økonomiske inter esser

22.2.1.1 ”Trussel mod statens sikkerhed”

Det ligger fast, at en afgørelse i henhold til telesikkerhedslovens § 3, stk. 1 og 2, forudsætter;

at henholdsvis aftalen og anvendelsen vurderes at udgøre en væsent

lig trussel mod statens sikkerhed, og

at hensynet til statens sikkerhed ikke effektivt kan varetages ved min

dre indgribende foranstaltninger, jf. § 3, stk. 4.

Det følger endvidere af § 3, stk. 1 og 2, at forbud kun kan nedlægges ”i særlige tilfælde” . Af forarbejderne fremgår det, jf. Folketingstidende 2020-21, tillæg A, lovforslag nr. 190, side 19-20, 22 og 23, at:

”ved særlige tilfælde forstås efter bestemmelsen tilfælde, hvor der dels er tale om en trussel mod statens sikkerhed, dels ikke er mulighed for at an -vende mindre indgribende midler ”.

Udtrykket ”i særlige tilfælde” stiller således ikke yderligere krav til nedlæggelse af forbud, end det som allerede fremgår af ordlyden af henholdsvis § 3, stk. 1 og 2, (trussel mod statens sikkerhed), og § 3, stk.

210

4 (mindre indgribende foranstaltninger). Kravet adskiller sig desuden ikke fra det enslydende krav i § 2, uanset at trusselstærsklen er lavere i § 2 (trussel) end i § 3 (væsentlig trussel).

I forhold til vurderingen af om der foreligger en væsentlig trussel mod statens sikkerhed, følger det af forarbejderne til § 3, at CFCS skal fore tage en samlet vurdering af, om aftalen eller komponenten m.v. vurde res at udgøre en væsentlig trussel mod statens sikkerhed jf. Folketing stidende 2020-21, tillæg A, lovforslag nr. 190, side 22 og 23.

Der er såle des tale om et sikkerhedsfagligt skøn, som CFCS – tidligere som en del af FE og i dag som en del af SAMSIK – har helt særlige forudsætninger for at foretage, hvilket TDC NET også har anerkendt i sin pressemed delelse af 27. april 2023 og 15. september 2023, hvor TDC NET offentligt meddelte bl.a., at:

”Vi har fuld tillid til myndighedernes vurdering og afgørelse, og vi følger naturligvis den afgørelse, der nu er truffet og går i gang med at implemen -tere den. Vi har ingen grund til at sætte spørgsmålstegn ved Centrets sik -kerhedsfaglige vurdering – det er klart, at CFCS har en bredere og dybere indsigt i forhold til beskyttelse af den nationale sikkerhed, end vi har. ”

Det fremgår af forarbejderne til § 3, at i den samlede vurdering vil den potentielle trussel skulle vejes op mod karakteren af komponenten, sy stemet m.v. Jo mere kritiske dele af telenettet, som komponenten, syste met mv. anvendes i, eller aftalen omfatter, jo mindre vil der skulle til for, at der kan siges at være tale om en væsentlig trussel mod statens sikkerhed, jf. Folketingstidende 2020-21, tillæg A, lovforslag nr. 190, side 20 og 23.

Udtrykket ”statens sikkerhed” anvendes i lov om sikkerhed i net og tje nester og skal forstås i overensstemmelse med det EU-retlige udtryk ”den nationale sikkerhed” . Der vil dermed som udgangspunkt skulle være tale om trusler mod samfundskritiske funktioner og deres kom munikation, herunder deres medarbejderes kommunikation.

Er der alene tale om en trussel om, at der kan ske industrispionage mod pri vate virksomheder, vil det falde udenfor anvendelsesområdet, medmin dre industrispionagen har en karakter, hvor den kan udgøre en trussel mod statens sikkerhed, f.eks. hvis der er tale om industrispionage mod virksomheder i forsvarsindustrien eller forskningsindustrien, jf. Folke tingstidende 2020-21, tillæg A, lovforslag nr. 190, side 19.

De forhold, som CFCS kan lægge vægt på, fremgår som anført direkte af telesikkerhedslovens § 2, stk. 2.

Det følger samtidig af forarbejderne til § 3, stk. 1 og 2, at kerneområdet vil være situationer, hvor CFCS vurderer, at der er risiko for, at en leve randør vil misbruge aftalen, eller at en komponent m.v. kan misbruges til at forberede eller udføre sabotage mod telenettet, som kan medføre, at telenettet helt eller delvis afbrydes, herunder hvis der er risiko for, at der indbygges bagdøre, som gør det muligt for leverandøren at afbryde eller på anden måde foretage uautoriseret påvirkning af dele af telenet tet. Det vil også være tilfældet, hvis aftalen omfatter drift af systemer,

211

hvor der nu vurderes at være risiko for, at leverandøren gennem adgan gen til systemerne vil foretage en hel eller delvis afbrydelse. Der vil også kunne være tale om situationer, hvor CFCS vurderer, at der er en risiko for, at en aftale eller kritisk komponent m.v. kan misbruges til spionage mod samfundskritiske funktioner, jf. Folketingstidende 2020-21, tillæg A, lovforslag nr. 190, side 22 og 23.

TDC NET har under sagen italesat, at der ikke fra Kina har været eller aktuelt er konkrete angreb imod netop TDC NETs DWDM-netværk. Te lesikkerhedsloven er imidlertid en proaktiv lovgivning for at imødegå en trussel og ikke en reaktiv lovgivning, når truslen allerede har materi aliseret sig i tidligere hændelser.

Hvis TDC NETs synspunkt er, at pri vate aktørers kommercielle interesser vejere tungere end hensynet til statens sikkerhed, medmindre truslen mod statens sikkerhed er baseret på kendskab til faktiske – og muligvis også aktuelle – angreb på netop den kritiske infrastruktur, som afgørelsen skal beskytte, så har TDC NET uret. Det er således ikke afgørende for Afgørelsen, om der har væ

ret eller aktuelt er angreb mod TDC NETs DWDM-netværk via de kriti ske netkomponenter, som Afgørelsen retter sig imod. Det afgørende for sagen er, om der er den fornødne trussel, hvorved det bl.a. kan – men ikke nødvendigvis skal – indgå som element, om leverandøren er eller har været involveret i aktiviteter i Danmark eller andre lande, som har medført en negativ påvirkning af statens sikkerhed, informationssikker heden eller den offentlige orden, jf. telesikkerhedsloven, § 2, stk. 2, nr. 4.

22.2.1.2 Afvejningen over for private, økonomiske interesser

Telesikkerhedsloven implementerer ikke nogen fællesskabsretlig har monisering, idet der ikke er vedtaget fællesskabsretlige regler på områ det. Der findes heller ikke i øvrigt nogen uniform dansk eller EU-retlig definition af, hvornår noget udgør en (væsentlig) trussel mod statens sikkerhed.

Der er imidlertid på andre områder foretaget fællesskabsretlig harmoni sering, som behandler hensynet til væsentlige ideelle interesser kontra erhvervsdrivendes udelukkende økonomiske interesser. F.eks. er der en omfangsrig harmonisering på lægemiddelområdet med henblik på sik ring af folkesundhed.

De fællesskabsretlige domstole har i den sam menhæng ved flere lejligheder forholdt sig til indgreb begrundet i en ri siko for folkesundheden kontra økonomiske interesser, jf. bl.a. Rettens dom af 26. november 2002 i de forenede sager T-74/00, T-76/00, T-83/00—T-85/00, T-132/00, T-137/00 og T-141/00, Artegodan GmbH m.fl. mod Kommissionen, præmis 173-174 (vores understregninger):

”De ovennævnte betingelser, der omgiver tilbagekaldelsen af en markeds -føringstilladelse, skal fortolkes i overensstemmelse med det generelle prin -cip, der er udviklet i retspraksis, om, at beskyttelsen af den offentlige sund -hed uomtvisteligt må tillægges større vægt end økonomiske overvejelser (jf. bl.a. Domstolens kendelse af 12.7.1996, sag C-180/96 R, Det Forenede Kongerige mod Kommissionen, Sml. I, s. 3903, præmis 93, og Domstolens dom af 17.7.1997, sag C-183/95, Affish, Sml. I, s. 4315, præmis 43).

212

Dette princip medfører i forbindelse med udstedelsen og forvaltningen af markedsføringstilladelser for lægemidler, for det første, at udelukkende overvejelser vedrørende sundhedsbeskyttelsen skal tages i betragtning, for det andet, at et lægemiddels risk/benefit-forhold skal reevalueres, når nye data giver anledning til tvivl med hensyn til lægemidlets effekt eller sik -kerhed, og for det tredje, at bevisbyrdeordningen benyttes i overensstem -melse med forsigtighedsprincippet, der implicit er påberåbt af Kommissio -nen (jf. ovenfor, præmis 165), hvilket er en logisk følge navnlig af princip -pet om kravene til sundhedsbeskyttelsens forrang for økonomiske interes - ser. ”

I Domstolens dom af 10. april 2014 i sagen C-269/13 P, Acino AG mod Kommissionen, udtalte Domstolen sig om, i hvilket omfang de givne ri sici mod folkesundheden skulle være af konkret karakter (kontra rent hypotetisk), jf. bl.a. dennes præmis 58-59:

”Selv om Domstolen ganske vist allerede har fastslået, bl.a. i dom af 23. september 2003, Kommissionen mod Danmark (sag C-192/01, Sml.

I, s. 9693, præmis 49), som Acino har påberåbt sig, at vurderingen af risikoen imidlertid ikke kan støttes på rent hypotetiske overvejelser, har Domstolen imidlertid ligeledes tilføjet, at hvis det viser sig ikke at være muligt med sikkerhed at fastslå, om, og i givet fald i hvilket omfang, den påståede ri -siko foreligger, som følge af, at resultaterne af de foretagne undersøgelser er utilstrækkelige, ikke er overbevisende eller er upræcise, men at sandsyn -ligheden for en reel skade på folkesundheden varer ved, dersom risikoen indtræder, begrunder forsigtighedsprincippet restriktive foranstaltninger (dommen i sagen Kommissionen mod Danmark, præmis 52, og dom af 28.1.2010, sag C- 333/08, Kommissionen mod Frankrig, Sml.

I, s. 757, præmis 93).

Det er således i overensstemmelse med forsigtighedsprincippet, således som dette er fortolket af Domstolen, at Retten i den appellerede doms præ -mis 63 fastslog, at selv om det er korrekt, at alle de begrundelser, der er nævnt i artikel 116, stk. 1, i direktiv 2001/83 har til formål at forebygge visse sundhedsrisici, skal disse risici dog ikke være af konkret karakter, men kun af potentiel karakter. ”

CFCS forsøger ikke med ovenstående citat fra C-269/13 P at drage di rekte paralleller; men fremhæver, at det giver god mening, at man kun opnår effektiv beskyttelse mod en trussel eller risiko, hvis man tager skridt til at imødegå den på forkant, når den er (tilstrækkelig) potentiel og ikke først på bagkant, når den har udmøntet sig i hændelser.

Landsretten kan lægge til grund, at truslen mod statens sikkerhed, i til fælde af at TDC NETs DWDM-netværk udelukkende er baseret på ki nesiske komponenter, ikke er hypotetisk, men konkret, idet der herved bl.a. er lagt vægt på de elementer, der er beskrevet i telesikkerhedslo vens § 2, stk. 2, og som sammenfattes i de følgende afsnit.

22.2.2 DWDM-netværket er en (ekstremt) kritisk del af telenettet

213

Der er enighed om, at komponenterne omfattet af og leveret under Amendment 4 i form af NCE-T management systemet og OSN9800- og OSN1800-terminaludstyret angår en ekstremt kritisk del af telenettet. TDC NET anfører således selv i stævningen, …, at (vores understreg ning):

”al nævneværdig datatrafik i Danmark er baseret i et vist omfang på

DWDM-netværket ”.

, hvilket landsretten kan lægge til grund er et fuldkommen korrekt ud sagn.

Hvis DWDM-systemet bliver kompromitteret, vil det potentielt kunne få store og meget voldsomme konsekvenser for både det danske sam fund og de lande/kunder, der er afhængige af DWDM-netværket, hvil ket bl.a. omfatter andre væsentlige udbydere i Danmark, jf. redegørel sen herom ovenfor under afsnit …. Der er tale om kvalitativt og kvanti tativ potentielt meget alvorlige og ødelæggende konsekvenser for en keltpersoners liv, førlighed og velfærd foruden omfattende omkostnin ger for myndigheder, private virksomheder og enkeltpersoner samt af brydelse af offentlige serviceydelser m.v.

Hertil kommer, at en så central del af den kritiske infrastruktur, der an vendes til transport af store mængder data udgør et naturligt spionage mål for fremmede magter, sådan som det også er beskrevet i PETs Vur dering af spionagetruslen mod Danmark, Færøerne og Grønland af 8. maj 2023 (…). Videre kan kritisk infrastruktur anvendes til pression f.eks. ved trusler om eller faktisk påvirkning af forsyningssikkerheden, (…).

Yderligere er der et betydende hensyn til Danmarks forhold til vores nabo- og alliancelande grundet det faktum, at en kompromittering i Danmark ikke kun vil påvirke Danmark. Danmark fremstår ikke som en troværdig og pålidelig partner for vores nabo- og alliancelande, hvis Danmark ikke formår at have både en lov og en tilstrækkelig effektiv retshåndhævelse heraf, der kan beskytte netværket.

Hvis Danmark ikke fremstår troværdig og pålidelig kan betydningen ultimativt være en væsentlig svækkelse af det multinationale sikkerhedssamarbejde (andre lande vil ikke samarbejde om væsentlige sikkerhedsforhold med en ut roværdig og upålidelig partner) til skade for sikkerheden i Danmark.

Der skal derfor i denne sag kun meget lidt til for, at der kan siges at være tale om en væsentlig trussel mod statens sikkerhed.

22.2.3 Risici forbundet med Huawei-koncernen som leverandør

TDC NET foretog med indgåelsen af Amendment 4 et væsentligt skift af teknologi i sit DWDM-netværk ved at overgå til et rent kinesisk ud viklet system, jf. illustrationen fra TDC NETs præsentation fra mødet med CFCS den 15. marts 2021 gengivet ovenfor ….

214

Det følger af telesikkerhedslovens § 2, stk. 2, nr. 2, at der ved vurdering af, om en aftale og komponenter leveret under en aftale udgør en trus sel mod statens sikkerhed, kan lægges vægt på, om leverandøren og ak tører, der udøver kontrol over eller har betydelig indflydelse på leve randøren, er hjemmehørende i eller varetager produktionen eller drif ten fra et land, hvor det efter det pågældende lands lovgivning er mu ligt at pålægge leverandører eller deres underleverandører at udføre el ler deltage i forhold, som vil udgøre spionage eller sabotage.

TDC NET har indgået Amendment 4 med Huawei Hong Kong, der var og er 100 % ejet af Huawei Investment & Holding Co., Ltd, der er etab leret i Shenzhen, Kina, jf. årsrapporterne for 2021 og 2023 for Huawei Investment & Holding Co., Ltd. Dette moderselskab er hjemmehørende i Kina og derfor underlagt kinesisk sikkerhedslovgivning. Dette inde bærer, at selskabet – og de ansatte, som er kinesiske statsborgere – er forpligtet til at understøtte, assistere og samarbejde med den kinesiske efterretningstjeneste, jf. artikel 7 i den kinesiske efterretningslov.

Som det er anført i PETs trusselsvurdering fra maj 2023 om spionage truslen mod Danmark, Færøerne og Grønland, er der en markant, bredspektret og vedvarende trussel fra fremmede staters efterretnings virksomhed mod Danmark, og truslen udgår først og fremmest fra Rusland og Kina.

Det fremgår videre, at Kina anvender en bred vifte af virkemidler til at understøtte sine strategiske og teknologiske interesser, og PET kan konstatere, at de kinesiske efterretningstjenester har meget vide beføjelser til at indsamle oplysninger i udlandet.

Den kinesiske ef terretningslovgivning fra 2017 giver de kinesiske efterretningstjenester mulighed for at pålægge virksomheder, organisationer og enkeltperso ner at udlevere information og data, der har betydning for Kinas natio nale sikkerhed. Loven giver også de kinesiske efterretningstjenester be føjelse til at udføre samme aktiviteter i udlandet som inden for Kinas grænser.

Efterretningslovens paragraf 7 lyder således:

” Enhver organisation og borger skal i henhold til loven støtte, assistere og samarbejde med statens efterretningsarbejde samt beskytte alle hemmelige efterretningsoplysninger, de har fået kendskab til.”

Den kinesiske efterretningslovgivning og potentielle kritiske afhængig heder og sårbarheder bevirker endvidere, at der er en sikkerhedsrisiko forbundet med brugen af visse former for kinesisk teknologi.

Kina er desuden karakteriseret ved at anvende en ”whole of society” - tilgang, der indebærer en bredspektret tilgang til både lovlig tilvejebrin gelse af viden og teknologi samt til gennemførelse af efterretningsvirk somhed.

De kinesiske efterretningstjenester har i henhold til den kinesi ske efterretningslovgivning meget vide beføjelser til at indsamle oplys ninger fra kinesiske selskaber, organisationer og individer, uanset hvor i verden de befinder sig.

Derudover er det kinesiske kommunistparti re præsenteret og udøver indflydelse i mange dele af det kinesiske sam fund, heriblandt i offentlige myndigheder, organisationer, virksomhe der og forskningsinstitutioner. Den kinesiske stat opererer ikke med klare skillelinjer mellem den statslige og den private sektor.

215

PET vurderer, at der også er en interesse fra de kinesiske efterretnings tjenester for bl.a. Danmarks udenrigs- og sikkerhedspolitiske positio ner, dansk forsvarspolitik og kritisk infrastruktur. Der er efter PET's vurdering en risiko for spionage forbundet med brugen af visse former for teknologi med kinesiske komponenter.

Det hænger først og frem mest sammen med den kinesiske efterretningslovgivning, og det drejer sig særligt om teknologi, hvor kinesiske leverandører har adgang til store mængder brugerdata.

Udbredelsen af kinesisk teknologi i kritisk infrastruktur betyder også, at eventuel dansk afhængighed af kinesiske komponenter i tilfælde af en betydelig forværring i det bilaterale for hold mellem Kina og Danmark vil kunne anvendes som et pressions middel af den kinesiske stat.

Det vil for eksempel kunne omfatte at der helt eller delvist ikke længere vil blive leveret hardware, software-sik kerhedsopdateringer og/eller support. TDC NET italesatte og bekræf tede i brev af 24. oktober 2022 selv forsyningssikkerheden, hvis TDC NET ikke fremadrettet ville kunne regne med Huawei som leverandør (vores understregning):

” TDC NET skal derudover indledningsvis bemærke, at det ikke kan ude -lukkes, at alene det forhold, at Huawei får kendskab til, at væsentlige dele af deres leverancer til TDC NET forventes at blive omfattet af et forbud, kan medføre, at Huawei vil prioritere kommende leverancer og support in -den for allerede indgåede aftaler til et minimum. Huawei vil således med udsigten til ikke at blive valgt som leverandør i fremtiden have et begræn -set incitament som leverandør til TDC NET, hvilket i sig selv udgør en ri - siko for forsyningssikkerheden i Danmark.”

CFCS har således med rette lagt vægt på, at Amendment 4 og komponenter leveret under denne aftale vurderes at udgøre en væsentlig trussel mod statens sikkerhed. Vurderingen svarer 1:1 til, hvordan også andre lande har vurderet Huawei som en væsentlig sikkerhedsmæssigtrussel mod landets sikkerhed.

CFCS henviser som meget konkrete eksempler på dette til den britiske “Designation Notice under section 105Z8of the Communications Act 2003, designating Huawei for the purposes of a de-signated vendor direction” og til den svenske Post- og Telestyrelse afgørelse af 20. oktober 2020 som stadfæstet af de svenske domstole, ….Kammerrätten anførte i sin dom som den øverste svenske instans bl.a.,at (vores understregning): ”Det saknas skäl att ifrågasätta bedömningen att Folkrepubliken Kina (ifortsättningen Kina) bedriver säkerhetshotande verksamhet mot Sverigeoch att det kan antas att verksamheten kan komma att orsaka skada förSveriges säkerhet. Även med beaktande av den bevisning som Huawei förtfram, ger PTS bevisning stöd för slutsatsen att det kan antas att det finns sådana kopplingar mellan den kinesiska staten och Huawei att den kine -siska staten kan utöva påtryckningar mot Huawei genom den kinesiska underrättelselagen och genom fackföreningars koppling till den kinesiska staten.

Vidare ger utredningen stöd för att påtryckningar mot Huawei skulle kunna innebära att radioanvändning hos operatörer som använder produkter från Huawei i centrala funktioner kan antas komma att orsaka

216

skada för Sveriges säkerhet. Samrådsmyndigheternas analys och bedöm -

ning ger också stöd för att det kan antas att amerikanska handelsrestriktio -ner kan påverka Huaweis förmåga att leverera nödvändiga produkter för svenska 5G-nät på ett sätt som kan orsaka skada för säkerheten. Om cen -trala funktioner är beroende av funktioner eller personal placerade i utlan -det kan situationer uppstå där förbindelserna mellan Sverige och utlandet bryts.

Detta kan medföra att nätens funktionalitet skadas allvarligt, vilket kan antas orsaka skada för Sveriges säkerhet. Det finns därför skäl för att förena tillstånden med de aktuella villkoren om krav som är av betydelse för Sveriges säkerhet.

Utredningen i målet ger stöd för att säkerheten i svenska 5G-nät kan påverkas även om det enbart finns sårbarheter i form av teknisk utrustning i delar av nätet som inte avser radioanvändning.

Sådan utrustning får dock anses vara relaterad till radioanvändningen. Även förarbetsuttalandet om att det bör vara möjligt att utesluta bl.a. ser -vicepersonal talar för att ändamålet med bestämmelsen i 3 kap. 11 § första stycket 10 LEK inte enbart är begränsat till de delar av nätet som avser ra -dioanvändning.

Villkor för tillstånd att använda radiosändare får därför avse samtliga delar av nätet som kan ha betydelse för Sveriges säkerhet. PTS har därför inte gått utanför sin behörighet genom att besluta om de överklagade villkoren som avser förbud mot produkter från Huawei i cen -trala funktioner och villkoret om funktioner eller personal placerad i utlan -det.”

Før Kammarrätten havde Förvaltningsrätten i sin dom også lagt kon kret vægt på bl.a, at:

”(…) utredningen i målen ger stöd för att det saknas möjlighet att på ett tilfredsställande sätt granska den mjukvara som slutligen installeres vid en uppdatering samt att en leverantör kan styra tilgången till reservdelar. (…) ”

Der er intet grundlag for, at de danske domstole skal tilsidesætte de danske sikkerhedstjenesters vurdering, der er helt tilsvarende de engel ske og svenske vurderinger. CFCS henviser endvidere til den tyske be slutning i sommeren 2024 vedrørende specifikt Huawei-koncernen, jf. pressemeddelelse af 11. juli 2024, hvoraf det fremgår, at de tyske myn digheder tillige havde baseret sig på:

“whether the manufacturer is directly or indirectly controlled by the gov -

ernment, including other state bodies and the armed forces, of a third country ”

CFCS har tillige i den samlede vurdering af risici forbundet med Hu awei-koncernen som leverandør til TDC NET af DWDM-netværk tillagt det vægt, at CFCS i forbindelse med regelmæssige statusmøder med Huawei i perioden 2014-2020 konstaterede, at Huawei på en række

217

punkter (evaluering i HCSEC, adgang til kildekode, adgang til design information m.v.) ikke levede op til indholdet af den fælles forståelse, som Huawei indgik med den danske stat i 2012, og som er en model, der fokuserede på høj informationssikkerhed ved håndtering og opda tering af udstyr fra Huawei.

HCSEC har ganske særlige forudsætninger og kompetencer i forhold til evaluering af Huawei-produkter.

Selskabskonstruktionen bag HCSEC sikrer, at HCSEC skal have adgang til al kildekode og designinforma tion i de evaluerede Huawei produkter, ligesom HCSEC – i modsæt ning til øvrige evalueringsfirmaer – udelukkende arbejder med evalue ring af Huawei-udstyr og dermed har oparbejdet en unik viden om, hvorledes Huaweis udviklingsafdelinger arbejder.

Det er alene på bag grund af disse unikke forudsætninger og kompetencer, at HCSEC – som det fremgår af Oversight-rapporterne – har kunnet konstatere manglende binær ækvivalens mellem den kildekode, som Huawei har leveret, og den endelige binære kode, der afvikles i teleudbydernes net værk.

I den forbindelse lægger CFCS således også vægt på indholdet af Over sight-rapporterne fra HCSEC, navnlig det forhold, at Huawei – på trods af gentagne forsikringer om det modsatte – ikke sendte den fulde kilde kode til evaluering, og at konklusionen for Oversigt-rapporten for 2019 var:

” Overall, the Oversight Board can only provide limited assurance that all risks to UK national security from Huawei’s involvement in the UK’s critical networks can be sufficiently mitigated long-term.”

Denne konklusion gik igen i Oversight Boardets rapport for 2020, lige som det af rapporten for 2021 på trods af fremskridt i forhold til binær ækvivalens fremgik, at:

“(…) the work of HCSEC continues to uncover issues that indicate there has been no overall improvement over the course of 2020 to meet the prod -uct software engineering and cyber security quality expected by the NCSC.”

Der er altså ikke kun tale om, at TDC NET ved at gå væk fra HCSEC-te stregimet ændrede forudsætningen herom; men også om, at testregimet havde vist, at Huawei-koncernen ikke levede op til sikkerhedskravene.

22.2.4 Risici forbundet med Amendment 4 konkret

CFCS’ tilbagemelding til TDC NET den 7. december 2020 blev givet på baggrund af en skriftlig bekræftelse fra TDC NET om, at der forelå en aftale med Huawei om test af DWDM-komponenter, herunder NCE-T i HCSEC, jf. også referat af kvartalsmøde den 26. maj 2020 og TDC NETs materiale til brug for dette møde. CFCS har tillagt det væsentlig betyd ning, at denne aftale ikke holdt vand.

218

FE og CFCS har således siden TDC NETs indgåelse af Rammeaftalen med Huawei fastholdt, at det var et ultimativt sikkerhedskrav fra CFCS, at det indkøbte udstyr blev testet i HCSEC, inden det blev an vendt i TDC NETs DWDM-netværk, og at godkendelse af en alternativ test-facilitet ville forudsætte, at en sådan facilitet sikkerhedsmæssigt ikke vil stille den danske stat ringere. Dette har TDC NET været be kendte med siden 2011, og det fremgår også af skriftlig forståelse 1 og skriftlig forståelse 2. Det fremgår endvidere også af Rammeaftalens pkt. 33 mellem TDC NET og Huawei.

TDC NET bekræftede i forbindelse med forberedelsen af skiftet til NCE-T management systemet over for CFCS, at der ville ske test i HSCEC. TDC NET oplyste på kvartalsmødet i maj 2020, at der fra Huawei forelå en tidsmæssigt bekræftet testplan for DWDM, der omfattede en gen nemførelse af test af NCE-T i HCSEC i 4. kvartal 2020, jf. referat derfra.

Landsretten kan også lægge til grund – sådan som CFCS berettiget gjorde – at det imellem TDC NET og Huawei var udgangspunktet for Amendment 4, at test skulle ske i HCSEC, jf. TDC NETs e-mail af 2. de cember 2020 om, at referencen i Amendment 4, afsnit 4, om ”cyber security testing scheme” henviser til HCSEC-evalueringen. Det af TDC NET anførte om eventuelle udfordringer forbundet med at få test ud ført i HCSEC ændrer ikke på disse faktiske omstændigheder og forud sætninger og har i det hele taget ingen betydning.

Det er ikke korrekt, at CFCS igennem en årrække skulle have tolereret,

at der reelt ikke blev leveret de forudsatte ydelser af HCSEC, og at de heller ikke ville kunne leveres. CFCS har i visse tilfælde accepteret, at Atsec som en mitigerende foranstaltning ville kunne forestå produkt test, men ikke systemtest. Sådanne afvigelser fra det aftalte HCSEC-te stregime har altid været betinget af en konkret godkendelse fra CFCS og er aldrig forekommet i forhold til det udelukkende kinesiske udstyr leveret under Amendment 4.

CFCS bemærker i øvrigt, at den manglende test i HCSEC blot er ét ud af flere elementer i den samlede vurdering af risici forbundet med den konkrete aftale, idet det for eksempel også indgik, at Huawei heller ikke da test kunne foretages i HCSEC havde levet op til aftalerne, samt at TDC NET tilsyneladende påtænkte at udnytte alle forlængelsesoptioner under Amendment 4 fuldt ud og ikke havde en plan for at afvikle leve randørforholdet.

22.3 Der findes ikke mindre indgribende foranstaltninger

TDC NET har gjort gældende, at det ikke er dokumenteret, at mindre indgribende foranstaltninger har været foreslået af CFCS, ligesom TDC NET ikke er blevet påbudt at foretage foranstaltninger eller alternative foranstaltninger. CFCS bemærker til dette, at forudsætningerne i § 3, stk. 1 og 2, er opfyldte, idet TDC NET løbende fra CFCS har modtaget rådgivning om rammerne for den sikkerhedsmæssige håndtering af NCE-T management systemet i lyset af den manglende HCSEC-evalue ring, jf. bl.a. brevet af 12. maj 2021 samt de mundtlige og skriftlige til

219

kendegivelser, som CFCS fremkom med over for TDC NET henholdsvis den 26. april 2022 og 9. maj 2022.

CFCS henviser endvidere til de drøftelser, der i løbet af 2022 på forskel lige niveauer har fundet sted mellem TDC NET og CFCS med henblik på at afsøge mulighederne for mindre indgribende løsninger end dem, der er hjemlet ved telesikkerhedsloven.

Desuden indebærer forudsætningerne i telesikkerhedsloven ikke et krav om, at der skal være udstedt sikkerhedsmæssige påbud, før be stemmelserne i telesikkerhedsloven kan anvendes; men alene at CFCS i forbindelse med sagen overvejer, hvorvidt sikkerhedsmæssige påbud i medfør af lov om sikkerhed i net og tjenester og regler udstedt i medfør af denne lov er egnede til at opnå det forfulgte formål.

CFCS har foreta get sådanne overvejelser og fundet, at der ikke kan peges på sikker hedsmæssige påbud eller andre løsningsforslag, der er egnede til at opnå det forfulgte formål.

Varetagelsen af hensynet til statens sikkerhed var et testregime, der ikke stillede Danmark sikkerhedsmæssigt ringere end testregimet under HCSEC – som i praksis ikke blev overholdt af Huawei – og det ville være effektløst for eksempel at give påbud om et sådant ”tilsvarende testregime” , da det ikke fandtes eller ville kunne etableres.

TDC NET er heller ikke selv under sagen fremkommet med eksempler på andre mindre indgribende, men egnede foranstaltninger. TDC NET holder sig i stedet blot til, at rådgivningen til TDC NET i forbindelse med partshøringsfasen ikke muliggjorde en ”forstærket dialog mellem TDC NET og Huawei ”.

CFCS ved ikke, hvad TDC NET mener med en ”f orstærket dialog mellem TDC NET og Huawei ”. Begrundelsen for afgørelsen var blandt andet, at de forudgående mange år havde vist, at Huawei-selskaberne ikke efter levede de konkrete aftaler om sikkerhedstiltag, hvilket der i den grad havde været dialog angående siden 2011. TDC NET kunne heller ikke på nogen måde være i tvivl om, hvorfor CFCS påtænkte afgørelsen, og det er uantageligt, at TDC NET – ejeren af infrastrukturen – manglede rådgivning for at indgå i dialog med sin egen kontraktpart og leveran dør.

TDC NETs argument om, at forslag fra CFCS skal være fremkommet ef ter telesikkerhedslovens ikrafttræden for at kunne medregnes, må afvi ses. Det fremgår af de specielle bemærkninger til ikrafttrædelsesbestem melsen i lovens § 17, at loven vil kunne håndhæves, og at CFCS vil kunne træffe afgørelser efter lovens kapitel 2, 3 og 8 fra den 1. juli 2021. Det fremgår samme sted, at CFCS fra lovens ikrafttræden vil kunne træffe afgørelser efter lovens § 3, stk. 1 og 2, når disse aftaler er indgået den 7. december 2020 eller senere. Der henvises til Folketingstidende 2020-21, tillæg A, lovforslag nr. 190, side 31.

Det er CFCS’ opfattelse, at de ovennævnte forudsætninger om rådgiv ning m.v. skal ses som en række forhold, der skal være til stede, for at CFCS kan træffe afgørelse efter telesikkerhedsloven. Det afgørende er,

220

at forudsætningerne for at træffe afgørelsen er til stede på afgørelses tidspunktet, uanset hvornår rådgivningen m.v. måtte være foretaget. Hensynet bag kravet om rådgivning opfyldes derudover lige godt, uan set om rådgivningen er givet dagen før eller dagen efter lovens ikraft træden.

22.4 Hensynet til forsyningssikkerheden

Det følger af telesikkerhedslovens § 3, stk. 3, at CFCS kan fastsætte en frist for, hvornår en aftale skal være afviklet efter bestemmelsens stk. 1, eller hvornår anvendelse af kritiske komponenter m.v. skal være ophørt efter bestemmelsens stk. 2.

Det er forudsat i de specielle bemærkninger til bestemmelsen, at CFCS efter høring af teleudbyderen foretager en vurdering af på den ene side behovet for hurtigst muligt at fjerne en væsentlig trussel mod statens sikkerhed og på den anden side hensynet til den fortsatte og stabile drift af den kritiske teleinfrastruktur.

Det er samtidig anført, at nedlæggelse af forbud således ikke bør føre til, at der sker afbrydelser på telenettet, fordi teleudbyderen ikke har haft mulig hed for at indgå eller implementere en ny aftale. På den baggrund bør CFCS som udgangspunkt fastsætte en nærmere frist, som er baseret på, hvornår en loyalt agerende teleudbyder kan have taget de nødvendige forholdsregler.

Afviklings- og ophørsfristen er i Afgørelsen fastsat til henholdsvis den 31. december 2026 og den 1. januar 2027. CFCS har ved fastsættelsen af disse frister foretaget den afvejning, der efter forarbejderne til bestem melsen er påkrævet. CFCS har lagt vægt på de oplysninger om tidshori sonten for en fuldstændig udskiftning, som TDC NET fremkom med i høringssvaret af 7. november 2022 som uddybet ved den supplerende risikovurdering af 27. januar 2023.

CFCS har derved i vidt omfang imødekommet TDC NETs anmodning om, at afviklingsfristen fastsættes til 4 år, hvorved CFCS anerkender, at eventuelle udfordringer med leveringstider på nødvendige komponen ter m.v. efter omstændighederne må betragtes som forhold uden for TDC NETs kontrol. CFCS finder dog samtidig, at TDC NET lang tid før afgørelsestidspunktet kunne tage højde for eventuelle udfordringer for bundet med knaphed på personalemæssige ressourcer, hvorfor den fastsatte frist på baggrund af en samlet vurdering anses som passende.

CFCS bemærker, at i det omfang, at der i det senere forløb måtte fore ligge væsentligt ændrede forhold, som en loyalt agerende teleudbyder ikke med rimelighed kunne forventes at træffe de fornødne forholds regler imod, vil CFCS efter anmodning fra TDC NET være indstillet på at genoptage afgørelsen for så vidt angår spørgsmålet om fristfastsæt telsen. CFCS har ikke endnu modtaget en sådan anmodning.

23. AFGØRELSEN UDGØR IKKE EKSPROPRIATION OG TDC NET HAR IKKE KRAV PÅ ERSTATNING

23.1 Telesikkerhedslovens § 4 og grundlovens § 73

221

For at der er tale om ekspropriation i grundlovens forstand, skal der være tale om, at der foretages et ekspropriativt indgreb (en afståelse). Det er i den forbindelse almindeligt antaget i den forfatningsretlige lit teratur og i praksis, at lovgivningsmagten – uden at der foreligger eks propriation – kan regulere udøvelsen af de rettigheder, der er beskyttet af grundlovens § 73, idet lovgivningsmagten bl.a. kan opstille alminde lige regler om begrænsninger i borgeres og virksomheders handlefrihed og i deres råden over, hvad de ejer.

Spørgsmålet om, hvorvidt et indgreb har karakter af ekspropriation, be ror på et samlet skøn over indgrebets beskaffenhed. Som momenter, der tillægges betydning ved udøvelsen af dette skøn, kan der navnlig peges på indgrebets formål, i hvilken grad indgrebet er generelt eller konkret, indgrebets intensitet, om indgrebet angår en fremtidig eller en aktuel rettighed, om indgrebet går ud på at overføre rettigheden fra den hidti dige ejer til en ny eller på en tilintetgørelse af denne råden samt indgre bets begrundelse (causa).

Det følger af forarbejderne til telesikkerhedslovens § 4, at indgreb efter lovens § 3, stk. 1 og 2, altid vil have til formål at beskytte statens sikker hed.

Navnlig det forhold, at forbud mod opretholdelse af en indgået af tale efter § 3, stk. 1, eller anvendelse af kritiske komponenter, systemer m.v. efter § 3, stk. 2, vil være begrundet i hensyn til statens sikkerhed, taler med betydelig vægt imod, at et indgreb vil have karakter af eks propriation.

Der vil på den anden side være tale om indgreb mod kon krete aftaler, som efter omstændighederne vil kunne være af betydelig intensitet over for den pågældende aftalepart. Det kan på den baggrund ikke udelukkes, at et forbud efter omstændighederne vil kunne anses for ekspropriativt. Der henvises til Folketingstidende 2020-21, tillæg A, lovforslag nr. 190, side 25.

CFCS gør gældende, at Afgørelsen om forbud mod opretholdelse af Amendment 4 samt forbud mod fortsat anvendelse af kritiske netkom ponenter m.v. leveret under Amendment 4 ikke har ekspropriativ ka rakter, hvorfor det ikke er nødvendigt for CFCS at iværksætte eksprop riation af privat ejendom for at gennemføre Afgørelsen.

CFCS er enig med TDC NET i, at Afgørelsen indebærer et indgreb i ”ejendom” efter grundlovens § 73, idet TDC NET bliver begrænset i dets råden over rettigheder efter den indgåede Amendment 4 og udstyr indkøbt under Amendment 4.

CFCS vurderer imidlertid samtidig, at det indgreb i TDC NETs ejen dom, som Afgørelsen udgør, ikke har karakter af afståelse og dermed ikke er ekspropriativt hverken efter grundlovens § 73 eller efter artikel 1 i tillægsprotokol 1 til Den Europæiske Menneskerettighedskonvention, ….

23.1.1 Intensitet

23.1.1.1 Afgørelsen har en begrænset intensitet

222

Ved anvendelsen af intensitetskriteriet taler det væk fra afståelse, hvis indgrebet er af mindre intensitet. Er der omvendt tale om et meget byr defuldt indgreb, taler det i retning af antagelse af afståelse. Intensitets vurderingen er konkret og relativ.

Det har ved intensitetsvurderingen betydning, om indgrebet rammer en aktuel råden eller alene en vis fremtidig udnyttelse af en ret. Rammer indgrebet alene en fremtidig udnyttelse, taler dette for, at der ikke fore ligger nogen afståelse, jf. herved Højesterets dom af 15. januar 1996 gen givet i U.1996.492 H om tilbageførsel af arealer fra byzone til landzone.

Afgørelsen har en meget begrænset intensitet over for TDC NET, der ved:

At Afgørelsen ikke griber ind i løbeperiode for mulige leverancer i

henhold til Amendment 4, idet Afgørelsen indebærer en afviklings frist, der ligger to år efter Amendment 4’s forlængelse af Leverance aftalen til 31. december 2024. Afgørelsen gør således ikke indgreb i den aftalte løbeperiode for mulige leverancer. TDC NET har herud over kunnet udnytte leveranceaftalens forlængelsesoptioner i to år ud af de tre mulige år.

At Afgørelsen ikke griber ind i løbeperioden for Supportaftalen, idet

Afgørelsen indebærer en afviklingsfrist, der er sammenfaldende med den i Amendment 4 aftalte udløbsdato den 31. december 2026. Afgørelsen gør således ikke indgreb i den aftalte levering af support. TDC NET bliver alene afskåret fra at udnytte Amend ment 4’s forlængelsesoptioner.

At TDC NET først fra 2027, dvs. 3 år og 9 måneder efter afgørelsen vil

blive afskåret fra at anvende det udstyr, som er indkøbt under Amendment 4. CFCS har således fastsat en rimelig og passende overgangsordning, og fristen er baseret på oplysninger fra TDC NET om en rimelig overgangsperiode.

23.1.1.2 Afgørelsen griber ikke intensivt ind i løbeperioden for mulige leveran -cer (1. ”at”)

22.1.1.2.a Afgørelsen griber ikke ind i leveranceaftalens løbetid og to ud af tre forlængelsesår

Fastsættelsen af afviklingsfristen til den 31. december 2026 for Amend ment 4, dvs. to år efter leveranceaftalens udløb den 31. december 2024, indebærer, at forbuddet i relation til Leveranceaftalen har en meget be grænset intensitet og er meget lidt indgribende.

For det første betyder den fastsatte afviklingsfrist, at TDC NET gives en betydelig overgangsperiode til at indrette sig på afgørelsen. Forbuddet får således ikke øjeblikkelig virkning, men implementeres over en peri

223

ode, der rækker væsentligt ud over Leveranceaftalens oprindelige løbe tid. Dette reducerer indgrebets belastning og understøtter proportiona liteten i Afgørelsen.

For det andet skal det fremhæves, at TDC NET i henhold til Amend ment 4 havde mulighed for eventuelt at forlænge leveranceaftalen med ét år ad gangen op til tre gange. Med CFCS' afgørelse er TDC NET alene blevet afskåret fra at udnytte det sidste af disse tre forlængelsesmulig heder.TDC NET har således fortsat haft mulighed for at udnytte to for længelsesår, og forbuddet griber derfor ikke ind i en påbegyndt kon traktperiode, men alene i en endnu ikke udnyttet og tidsbegrænset dis positionsmulighed (option).

Det er i den forbindelse væsentligt, at en forlængelsesoption ikke er en aktuelt udnyttet rettighed, men en fremadrettet dispositionsmulighed, som først får konkret retsvirkning ved aktiv udnyttelse. Afgørelsen be grænser derfor alene en fremtidig, endnu ikke aktualiseret, retlig mulig hed.

For det tredje har CFCS – i overensstemmelse med TDC NETs hørings svar – i betydelig grad søgt at afbøde intensiteten af Afgørelsen over for TDC NET. Ved at tillade en afviklingsperiode, der rækker to år ud over leveranceaftalens ordinære udløb, og ved kun at gribe ind over for den sidste af tre mulige forlængelser, har CFCS foretaget en konkret afvej ning af hensynet til statens sikkerhed over for hensynet til TDC NET’s kontraktuelle og forretningsmæssige dispositioner samt forsyningssik kerheden.

Samlet indebærer dette, at forbuddet hverken medfører øjeblikkeligt ophør af igangværende leverancer eller fratager TDC NET allerede ud nyttede rettigheder. Afgørelsen er således målrettet, tidsmæssigt af grænset og proportional. På den baggrund må forbuddet karakteriseres som et indgreb af begrænset intensitet, hvilket taler for, at Afgørelsen ikke udgør ekspropriation.

22.1.1.2.b TDC NET havde ikke planer om at indkøbe udstyr på leveranceafta -len

Det skal ved intensitetsvurderingen også tillægges betydelig vægt, at TDC NET over for CFCS havde angivet, at leverance-elementet af Amendment 4 alene blev indgået med det formål at opnå en forlænget supportaftale med Huawei på DWDM-netværket, og at TDC derfor ikke nødvendigvis ville indkøbe udstyr i leveranceperioden.

Det fremgår således af et telefonnotat af 7. august 2020, at TDC NET op lyste, at formålet med forlængelsen af Leveranceaftalen udelukkende var begrundet i hensynet til forlængelse af Supportaftalen, og at TDC NET ikke nødvendigvis ville købe noget på Leveranceaftalen, hvilket efter CFCS’ opfattelse også klart taler for, at TDC NET allerede i 2020 var i gang med at indstille sig på at udskifte leverandøren til sit DWDM-netværk og blot ønskede at opnå en supportaftale i overgangs

224

perioden ved transition til en ny netværksleverandør (vores understreg

ninger):

”Vidne 2Vidne 2 forklarede igen, at den nuværende leverancekontrakt udlø -ber i 2021, og at Huawei ikke er interesseret i at lave en forlænget support-

aftale, hvis de ikke også får en forlængelse af leverance-aftalen. Den nuvæ-rende leveranceaftale er baseret på en eksklusivaftale for DWDM udstyrmed Huawei. TDC ønsker at gå videre med forhandling med Huawei primært for atsikre supportaftalen. Såfremt dette nødvendiggør en forlængelse af leve-ranceaftalen vil denne kunne forlænges til 2024, men uden at TDC nød-vendigvis vil indkøbe udstyr i den kommende periode.

Samtidig vil TDCsikre en klausul ved en sådan forlængelse, der muliggør at eksklusivitetenophører, såfremt der kommer lovforslag, der forhindrer TDC i at benytte Hfremover.” Det fremgår ligeledes af CFCS’ interne mødereferat fra møde den 1. december 2020 på ledelsesniveau mellem TDC NET og CFCS, at indgåelsen af Amendment 4 havde til formål at sikre forlængelse af Supportaftalen, og at TDC NET regnede med at kunne komme ud af Leveranceaftalen i forbindelse med den kommende telesikkerhedslov uden at skullekøbe noget på aftalen, da TDC NET ville udfase Huawei og skifte udstyr, og denne proces ville tage op til 4 år (vores understregninger): ”Vidne 2 informerede om, at TDC's baggrund for at få under-skrevet kontrakten hurtigst muligt er, at såfremt Forsvarsministeriet ud-sender en ny sikkerhedslov i høring, frygter TDC, at Huawei vil lukke sitdanske kontor, da der potentielt ikke længere vil være marked for Huawei iDK for leverancer af telenetværk.

Som en konsekvens heraf frygter TDC, at Huawei ikke længere vil væreinteresseret i at levere support efter den nugældende kontrakts udløb.TDC mener ikke, at der er andre selskaber der kan yde support på Hu-awei's DWDM eller GigaCoax.

Vidne 2 oplyste yderligere, at der i DWDM-kontrakten er estimeret med po-tentielt op til 33 mio. kroner i indkøb af nyt udstyr, men at TDC tidligstforventer at starte leverance efter udgangen af 2021, og det er her TDC'santagelse at en ny sikkerhedslov er vedtaget.

Herefter kan TDC komme udaf leverancekontrakten på baggrund af den nye lov, men så stadig havesupport-aftalen frem til endelig udfasning af DWDM (og GigaCoax). Ifølge TB vil det tage op til 4 år at udskifte Huaweis's DWDM-udstyr, der

ikke blot skal skiftes i Danmark men også i de udenlandske hubs, hvor TDC's DWDM-udstyr i dag er placeret.”

225

Det fremgår herudover af det ovenfor citerede, at TDC NET allerede forud for indgåelsen af Amendment 4 havde indrettet sig efter, at Leve ranceaftalen ville blive ophævet som følge af den nye telesikkerhedslov og at der derfor reelt ikke var planlagt at indkøbe på Leveranceaftalen, hvilket klart taler for, at Afgørelsen har en begrænset intensitet.

22.1.1.2.c TDC NET kendte til telesikkerhedslovens indhold og formål forud for indgåelse af leveranceaftalen

Det må ved intensitetsvurderingen også tillægges betydelig vægt, at CFCS den 7. december 2020 i sin tilbagemelding på det fremsendte kon traktmateriale, klart tilkendegav over for TDC NET, at CFCS anbefa lede, at TDC NET søgte at afslutte leverandørforholdet til Huawei så hurtigt, som det var muligt under fornøden hensyntagen til forsynings sikkerheden.

CFCS tilkendegav meget klart i sin tilbagemelding den 7. december 2020 over for TDC NET, at leverancer under Amendment 4 fra Huawei ville kunne udgøre en væsentlig trussel mod statens sikkerhed, hvis le verancerne ikke fuldt ud lever op til de aftalte sikkerhedsforanstaltnin ger (vores understregninger):

”Afslutningsvis bemærkes mere generelt, at Center for Cybersikkerhed, si -den 2013 har haft en frivillig aftale med den pågældende leverandør vedrø -rende den sikkerhedsmæssige håndtering af leverandørens leverancer i TDC’s net. Center for Cybersikkerhed har i den forbindelse gjort den erfa -ring, at leverandøren på en række punkter ikke har ønsket eller været i stand til fuldt ud at efterleve kravene i det aftalte sikkerhedsregime.

Med den stigende betydning, som de nye 5G telenet og kritiske telenet -værk vil få for det danske samfund, finder Center for Cybersikkerhed, at kritiske elementer i TDC’s telenet vil kunne udgøre en væsentlig trussel mod statens sikkerhed, hvis leverancerne kommer fra en leverandør, som i praksis har vist sig at ikke fuldt ud at leve op til aftalte sikkerhedsforan - staltninger.”

Det gøres gældende, at TDC NET i hele forløbet frem til indgåelsen af Amendment 4 var bekendt med og havde indrettet sig efter, at der ville blive vedtaget en ny sikkerhedslov, der kunne have betydning for afta len. Det førte bl.a. til, at TDC NET forhandlede en exit-klausul ind i Amendment 4, hvilket TDC NET også synes at anerkende i sit hørings svar af 7. november 2022.

Det er heri anført, at TDC NET i anledning af den muligt kommende lovgivning, der ville kunne medføre forbud mod TDC NETs fortsatte anvendelse af Huawei-udstyr, havde en dia log med Huawei om exit-klausuler.

Forventningen om en ny telesikker hedslov var, som det fremgår af de ovenfor citerede mødereferater, også baggrunden for, at TDC NET i 2020 besluttede sig for at frem skynde processen med aftaleforhandlinger med Huawei til trods for, at de gældende aftaler først udløb ved udgangen af 2021.

226

Der henvises i den forbindelse til Højesterets dom af 21. december 1981 optrykt i U.1982.109/4H (fiskeformalings-sagen), hvoraf det fremgår, at det taler for, at et indgreb ikke er ekspropriativt, hvis den, indgrebet retter sig mod, er blevet advaret om, at aktiviteten muligvis vil blive forbudt. I sagen fremhævede Højesteret, at det pågældende rederi var blevet:

”advaret om muligheden for, at fremtidige danske eller internationale reg -ler kunne forbyde formaling af fisk om bord også uden for dansk fiskeriom -råde ”

og anførte, at begrænsningen

”findes herefter ikke at kunne anses som et ekspropriationsindgreb, der

hjemler appellanterne et grundlovsmæssigt krav på erstatning hos den danske stat for et muligt tab ”

På helt tilsvarende vis havde CFCS advaret TDC NET om, at Amend ment 4 ville kunne blive forbudt med den nye telesikkerhedslov, hvis leverancerne ikke fuldt ud levede op til de aftalte sikkerhedsforanstalt ninger, hvilket taler for, at indgrebet ikke er særligt intensivt over for TDC NET, og at CFCS’ afgørelse ikke kan anses for et ekspropriativt indgreb.

22.1.1.2.d TDC NET vidste, at leveranceaftalen ikke opfyldte krav om test i HCSEC

Det skal tillægges betydelig vægt, at TDC NET allerede på underskrifts tidspunktet den 7. december 2020 var bekendte med, at det var et ulti mativt krav fra CFCS, at det indkøbte udstyr blev testet i HCSEC, og gennem alle drøftelser mellem TDC NET og CFCS, har CFCS fastholdt, at godkendelse af en alternativ test-facilitet ville forudsætte, at facilite ten ikke stillede den danske stat ringere (dvs. skulle stille den danske stat med samme eller bedre sikkerhed). Det har ikke været tilfældet med de af TDC NET foreslåede løsninger (Brightsight og Atsec).

CFCS har således også ved gentagne lejligheder anført og skrevet til TDC NET, at CFCS ikke har accepteret test hos BrightSight og Atsec som værende en erstatning for test hos HCSEC, jf. eksempelvis referat fra møde den 11. maj 2021 og CFCS’ mail som opfølgning herpå af 12. maj 2021, referat fra møde den 26. april 2022 og mail til TDC NET af 9. maj 2022.

Det følger af den Fælles forståelse mellem Huawei og Forsvarsministe riet at:

”For alt udstyr, der skal implementeres i teleudbyderens danske net, leve -rer Huawei komplet hardware- og software-designinformation, herunder kildekode, samt ASIC/FPGA-design og -kildekode, til cellen sammen med nødvendigt udstyr med henblik på, at cellen kan kompilere eksekverbar kode. Kildekode, image og den komplette designinformation skal efterføl -

227

gende opbevares i cellen. Cellen skal videregive dette materiale til For -svarsministeriet, såfremt Forsvarsministeriet anmoder herom. ”

Huawei har således forpligtet sig til at udlevere al kildekode til HCSEC, og det er netop baggrunden for den specielle firmakonstruktion bag HCSEC (formelt er HCSEC et Huawei firma, hvor alle medarbejdere er ansat af Huawei, hvorved firmaet ikke har status som tredjeparts sel skab). Brightsight og Atsec vil som tredjepartsselskaber uden for Hu awei ifølge Huawei policy ikke kunne få adgang til al kildekode og har ikke været i stand til at levere sikkerhedsdokumentation, som matcher den krævede hos HCSEC. HCSEC er således det eneste sted, hvor man kan forvente en tilstrækkelig fyldestgørende test.

Adgang til al kildekode og verifikation af binær ækvivalens er helt af gørende for at testen lever op til de sikkerhedsmæssige krav fra CFCS. Dette gælder særligt henset til, at HCSEC har konstateret, at Huawei i flere tilfælde ikke har leveret den rette kode til test i HCSEC. Dette er dokumenteret i briefinger fra CFCS til TDC NET den 6. december 2017 samt ved HCSEC Oversight-rapporterne fra 2018 og 2019.

Huawei havde således garanteret HCSEC, at de fik leveret den rette kildekode, og det var først da HCSEC på baggrund af intensive og omfattende test over længere perioder kunne dokumentere, at der var afvigelser, at Hu awei indrømmede, at Huawei ikke havde afleveret den fulde kildekode, hvorved hele testforløbet måtte foretages igen.

Dette ville hverken Brightsight og Atsec have kunnet opdage, og allerede af den grund er det ikke sikkerhedsmæssigt tilstrækkeligt, at erstatte test i HCSEC med test hos de pågældende firmaer.

Herudover bemærkes det, at Brightsight og Atsec alene foretager pro duktevalueringer (black box-testning) og ikke fulde systemevalueringer (f.eks. kombinationen af NCE-T og OSN-terminaler, som er de kompo nenter, der vil blive installeret i netværket hos TDC NET).

Allerede af den grund, vil de ikke kunne udføre tests, der er tilstrækkeligt fyldest gørende til at påvise de relevante sikkerhedsrisici i den konkrete konfi guration, og vil dermed ikke kunne påvise et reelt sikkerhedsbillede af det testede.

På daværende tidspunkt, ville de testregimer, som Huawei tilbød via disse leverandører, dermed ikke stille den danske stat med samme eller bedre sikkerhed end ved test hos HCSEC. TDC NET har ikke overfor CFCS dokumenteret, at test udført af Brightsight og Atsec har haft andet formål end at sikre, at NCE-T er robust mod angreb ude fra.

HCSEC-test er derimod også en test for, om leverandøren selv har lagt potentiel skadelig kode ind i leverancen.

FE og CFCS har forud for TDC NETs indgåelse af Rammeaftalen i 2011 med Huawei vedholdende holdt fast i og gentaget over for TDC NET og Huawei, at forudsætningen for accept af samarbejdet med Huawei om levering af DWDM-udstyr til TDC NET, var det aftalte testregime i HCSEC.

TDC NET var således allerede i forbindelse med indgåelsen af Ramme aftalen i 2011 bekendt med, at den danske stat anså denne som en af tale, der kunne have betydning for statens sikkerhed. Det var således på

228

foranledning af FE, at der i Rammeaftalens pkt. 33 blev indsat en be stemmelse om ”Specific agreement regarding cyber security verification ”, hvorefter det er en betingelse for Rammeaftalens ikrafttrædelse og kon tinuerlige beståen, at Huawei etablerer og i hele kontraktens løbetid dri ver en test-, verifikation- og certificeringscelle (HCSEC-procedure), som opfylder betingelserne stillet af de danske myndigheder svarende til det set-up, der eksisterer i Storbritannien:

“The coming in force of this contract is conditioned on Huawei establish -ing and throughout the term of the contract operating Testing, Verifica -tion and Certification Cell (CSCE Procedure) to satisfy requirements as defined by Danish authorities similar to the ones set up by the UK.

The CSCE can be established either on premises in Denmark or through the use of similar UK or Nordic based CSCE-facility operated jointly be -tween Huawei and UK/Nordic country Authorities. The CSCE shall be built and operated in such a way, that it can be approved by TDC and Danish NITA. The CSCE shall allow for the thorough testing, verification and certification of equipment, software and spare parts delivered under this contract.

Det fremgår herudover også direkte af den skriftlige forståelse nr. 1 mellem CFCS og TDC NET fra februar 2013, pkt. 2, at TDC NET vil sikre, at udstyr og software fra Huawei, der forventes benyttet i TDC NETs net, bliver certificeret af HCSEC.

Det følger videre af den skrift lige forståelse nr. 2 fra september 2013 mellem CFCS og TDC NET, pkt. 16, at TDC NET sikrer, at selskabets kontrakter med Huawei understøt ter den skriftlige forståelse, samt at det i kontrakterne fastslås, at Hu awei er forpligtet til at sikre, at HCSEC til enhver tid råder over den for nødne kapacitet til, at den skriftlige forståelse kan efterleves.

I tilfælde af, at Huawei som følge af deres aftale med de engelske myndigheder er afskåret fra at indrette HCSEC til de aktiviteter, der følger af den skriftlige forståelse, kan Huawei anvende en anden tilsvarende sikker hedsfacilitet, der er godkendt af CFCS.

CFCS har under rådgivningsforløbet af TDC NET helt frem til tilbage meldingen den 7. december 2020 fremhævet, at det var et skærpet sik kerhedsproblem, at TDC NET med Amendment 4 nu ville introducere et rent kinesisk udviklet management system (NCE-T).

TDC NET har flere gange i rådgivningsforløbet frem til kontraktindgåelse den 7. de cember 2020 og efterfølgende indtil den 15. marts 2021 oplyst, at TDC NET med den nye kontrakt havde en bekræftet aftale med Huawei om, at evaluering af NCE-T ville foregå i HCSEC (skemalagt i HCSEC plan for test Q4-2020, jf. bilag 39 og 40).

CFCS fik da også den 2. december 2020 på forespørgsel til TDC NET i en mail bekræftet, at der i kontrak ten indgik aftale med Huawei om test af NCE-T i HCSEC. TDC NET an førte også i mailen, at:

229

”NCE managementsystemet er endnu ikke gået i drift og TDC er opmærk -som på at vi ikke kan sætte det i drift før vi har en godkendt testplan fra Huawei.”

CFCS’ tilbagemelding den 7. december 2020 blev således givet med en bekræftelse fra TDC NET om, at der forelå en aftale med Huawei om test af NCE-T i HCSEC.

Det var først på mødet den 15. marts 2021 – dvs. efter Amendment 4 var indgået – at TDC NET gjorde CFCS bekendt med, at Huawei havde trukket deres garanti for evaluering af NCE-T i HCSEC tilbage. Huawei informerede efterfølgende CFCS om, at de havde informeret TDC NET om bortfaldet af testaftalen i januar 2021, uden at TDC NET før i marts 2021 havde fundet anledning til at informere CFCS om, at en af de grundlæggende sikkerhedsmæssige forudsætninger for forsvarligheden af Amendment 4 var bortfaldet.

Det forhold, at NCE-T skulle testes i HCSEC var en væsentlig og afgø rende forudsætning for den sikkerhedsmæssige forsvarlighed af Hu aweis leverancer til TDC NETs DWDM-netværk. TDC NET har været bekendt med dette testkrav for udstyr leveret af Huawei siden 2011.

Det kan derfor ikke anses for særligt indgribende overfor TDC NET, at Amendment 4 og udstyr leveret under dette omfattes af et opretholdel ses- og anvendelsesforbud efter telesikkerhedsloven i marts 2023, når det lige siden 2011 vedholdende og gentagne gange har været oplyst over for TDC NET, at det var grundforudsætningen for den sikkerheds mæssige forsvarlighed af DWDM-aftalen med Huawei.

Det bemærkes i den forbindelse, at CFCS i perioden frem til vedtagel sen af telesikkerhedsloven ikke har haft de nødvendige regulerings mæssige muligheder for at sanktionere, at TDC NETs leverandør ikke har overholdt kravene i de indgåede aftaler mellem CFCS henholdsvis TDC NET og Huawei, eller kravet i Rammeaftalens pkt. 33. TDC NET har derimod med Rammeaftalens vilkår, haft mulighed for at komme ud af aftalen med Huawei-koncernen, såfremt Huawei-koncernen ikke opfyldte de danske sikkerhedsmyndigheders krav.

Det påhviler TDC NET at sørge for, at det leverede udstyr til DWDM-netværket er testet hos HCSEC eller en alternativ test-facilitet, som ikke stiller den danske stat sikkerhedsmæssigt dårligere (dvs. med samme eller bedre sikkerhed). Det fremgår også, af pkt. 33 i kontrakten mellem TDC NET og Huawei, at Huawei kunne have valgt at etablere en celle svarende til HCSEC i Danmark eller et andet skandinavisk land.

Det be mærkes herudover, at Huawei DK tidligere i forbindelse med en anden leverance – GigaCoax-leverancen – har købt en evaluering specifikt til TDC NET fra HCSEC. Herudover bemærkes det, at der har været drøf telser med TDC NET om, hvorvidt TDC NET kunne benytte en engelsk model, hvor TDC NET i hele den underliggende IT-stack i NCE-T be nytter COTS-produkter (Commercial Off The Shelf).

TDC NET har dog oplyst, at TDC NET ikke ønskede at gå denne vej, da TDC NET så selv ville skulle stå for integrationen og supporten af de standardprodukter, som ikke kan leveres af Huawei.

230

Alternativt har TDC NET med Rammeaftalens pkt. 33 haft mulighed for at komme ud af aftalen med Huawei, såfremt den ikke opfyldte de dan ske sikkerhedsmyndigheders krav. TDC NET har således haft både grundlag for og anledning til at ophæve Ramme- og Produktaftalerne med henvisning til mangelfuld sikkerhed, men har valgt ikke at benytte sig af denne mulighed på trods af den langvarige dialog mellem TDC NET og CFCS vedrørende de mange påviste sikkerhedsudfordringer.

22.1.1.2.e Der er maksimalt tale om fremrykkede investeringer

Det gøres herudover gældende, at Afgørelsen ikke påfører TDC NET nogen omkostninger, som selskabet ikke alligevel skulle have afholdt på et tidspunkt, hvilket også begrænser intensiteten af Afgørelsen bety deligt.

TDC NET har ved indgåelsen af kontrakten med Huawei accepteret en såkaldt ”sole vendor” -klausul og har implementeret et proprietært sy stem fra Huawei, som ikke kan fungere med andre leverandørers ud styr, og som dermed stort set umuliggør en gradvis omlægning af DWDM-netværket.

Denne kontraktuelle og tekniske indretning indebærer, at en gradvis el ler trinvis omlægning af DWDM-netværket i praksis er stærkt begræn set – uafhængig af CFCS’s afgørelse. Et fremtidigt leverandørskifte ville derfor under alle omstændigheder nødvendiggøre etableringen af et parallelt netværk i en overgangsperiode på anslået 3-4 år, indtil migre ringen var fuldt gennemført.

Afgørelsen ændrer således ikke karakteren af de investeringer, der skal foretages, men alene tidspunktet for deres gennemførelse. Der er derfor højst tale om en fremrykket investering, som TDC NET allerede – som følge af den valgte kontrakt- og systemstruktur – måtte forvente at skulle foretage ved et leverandørskifte, hvilket begrænser intensiteten af CFCS’ afgørelse betydeligt.

22.1.1.2.f TDC NETs forsøg på at få forbuddet mod Leveranceaftalen til at fremstå intensivt

TDC NETs påstand om ekspropriation udgør efter CFCS’ opfattelse et forsøg på at få staten til at betale for TDC NETs udskiftning af net værksleverandør på DWDM-netværket, som TDC NET alligevel skulle og ville gennemføre og selv stod over for at bekoste.

Dette blev tydeliggjort på et møde den 15. marts 2021, hvor TDC NET tilkendegav overfor CFCS, at TDC NET ville gå efter at anvende ”eks -propriationsstrategien ” for at komme ud af DWDM-aftalen med Huawei, jf. CFCS’ mødereferat, side 3 (vores understregning):

” Undervejs i mødet blev det klart for CFCS, at TDC "satser" på eksprop - riation jf. ny lovgivning for at komme ud af DWDM aftalen med Huawei.

Alternativt forventer TDC, at udstyret kan køre frem til 2030. CFCS

231

havde ellers forstået, at TDC ville satse på en kortvarig forlængelse på 3-5 år, hvorefter ny platform ville blive anskaffet. TDC køber ikke meget nyt udstyr på kontrakten med Huawei, men er afhængig af support. TDC skal bruge 3-4 år på udskiftning af DWDM, […] . Den kortvarige forlængelse

er i TDCs øjne baseret på muligt forbud med ekspropriation efter ny lov - givning.”

Det var Vidne 2 som på mødet den 15. marts 2021 direkte og mindst to gange meddelte at TDC NET ville gå efter at anvende ”ekspro - priationsstrategien ”, jf. CFCS’ præciseringsnotat af 26. november 2021.

TDC NETs ændrede holdning til, at DWDM-leveranceaftalen med Hu awei pludselig skulle have fortsat til 2030 er således alene udtryk for, at TDC NET ønsker, at afgørelsen om forbud mod opretholdelsen af Amendment 4 skal fremstå ”intensiv” over for TDC NET i et forsøg på at få staten til at dække omkostningerne til et nyt netværk.

Det fremgår således også af den underretning, som TDC NET frem sendte til CFCS den 15. september 2020 i henhold til § 3 i den dagæl dende bekendtgørelse nr. 1256 af 27. november 2019 om oplysnings- og underretningspligter vedrørende net- og informationssikkerhed, at TDC NETs DWDM-aftale med Huawei udløb den 31. december 2021, og at TDC NET derfor ville indlede forhandlinger med Huawei om en eventuel forlængelse af kontraktperioden med 3 år, dvs. til udgangen af 2024.

23.1.1.3 Afgørelsen griber ikke intensivt ind i løbeperioden for mulig support og forbyder først anvendelsen af udstyr leveret under Amendment 4 fra 2027 (2. og 3. ”at”)

22.1.1.3.a Afgørelsen griber ikke ind i supportaftalens løbetid, men kun i to for -længelsesoptioner

For så vidt angår pkt. 2) og 3) om mulighederne for support og anven delse af udstyr leveret under Amendment 4 bemærkes det, at Afgørel sen ikke griber ind i løbeperioden for Supportaftalen, idet afgørelsen in debærer en afviklingsfrist, der er sammenfaldende med den i Amend ment 4 aftalte udløbsdato den 31. december 2026. Afgørelsen gør såle des ikke indgreb i den aftalte levering af support. TDC NET bliver alene afskåret fra at udnytte Supportaftalens forlængelsesoptioner.

Afgørelsen indebærer således ikke indgreb i den allerede aftalte og lø bende supportperiode, men alene i TDC NET’s mulighed for herefter at udnytte Supportaftalens forlængelsesoptioner. Der gribes dermed ikke ind i en påbegyndt kontraktperiode, men alene i en endnu ikke udnyt tet og tidsbegrænset dispositionsmulighed (option).

Herudover bliver TDC NET med afgørelsen afskåret fra at anvende det udstyr, som er indkøbt under Amendment 4, herunder NCE-T manage ment systemet, men først fra 2027, dvs. 3 år og 9 måneder efter afgørel sen. CFCS har således fastsat en rimelig og passende overgangsordning,

232

og fristen er baseret på oplysninger fra TDC NET om en rimelig over gangsperiode.

Det gøres på den baggrund gældende, at Afgørelsen i relation til Sup portaftalen og anvendelsen af udstyr indkøbt under Amendment 4 har en meget begrænset intensitet over for TDC NET henset til, at der er etableret rimelige og passende overgangsordninger, der afvejer hensy net til statens sikkerhed i forhold til hensynet til både TDC NET og for syningssikkerheden.

CFCS har således fastsat afviklingsfristen baseret på oplysninger fra TDC NET om en rimelig overgangsperiode. TDC NET havde oplyst at en leverandørudskiftning kunne ske på ca. 3-4 år, jf. bl.a. CFCS’ møde referat fra møde den 15. marts 2021. Under høringen opponerede TDC imod en afviklingsfrist på 3 år, jf. TDC NETs høringssvar af 7. novem ber 2022, hvorfor afviklingsfristen af hensyn til forsyningssikkerheden blev forlænget fra 31. december 2025 til 31. december 2026.

Der henvises til det anførte i CFCS’ afgørelse af 21. marts 2023, side 14, hvoraf der fremgår følgende om fastsættelse af en rimelig og passende overgangsperiode:

” Ved fastsættelsen af denne frist har CFCS foretaget den afvejning, der ef -ter forarbejderne til bestemmelsen er påkrævet, og CFCS har i den forbin -delse lagt vægt på de oplysninger om tidshorisonten for en fuldstændig udskiftning, som TDC er fremkommet med i høringssvaret af 7. november 2022 som uddybet ved den supplerende risikovurdering af 27. januar 2023.

CFCS har derved i vidt omfang imødekommet TDC’s anmodning om, at afviklingsfristen fastsættes til 4 år, hvorved CFCS anerkender, at eventu -elle udfordringer med leveringstider på nødvendige komponenter mv. efter omstændighederne må betragtes som forhold uden for TDC’s kontrol.

CFCS finder dog samtidig, at TDC allerede nu kan tage højde for eventu -elle udfordringer forbundet med knaphed på personalemæssige ressourcer, hvorfor den fastsatte frist på baggrund af en samlet vurdering anses som passende.

CFCS skal i den forbindelse bemærke, at i det omfang, at der i det senere forløb måtte foreligge væsentligt ændrede forhold, som en loyalt agerende teleudbyder ikke med rimelighed kan forventes at træffe de fornødne for -holdsregler imod, vil CFCS efter anmodning fra TDC være indstillet på at genoptage afgørelsen for så vidt angår spørgsmålet om fristfastsættelsen, jf. herved det under afsnit 3.2.1 ovenfor anførte om de hensyn, der bør ind -drages i den forbindelse.”

Til yderligere støtte for, at afgørelsen har en meget begrænset intensitet over for TDC NET, bemærkes det, at det følger af retspraksis, at fastsæt

233

telse af en rimelig overgangsperiode for et indgreb afsvækker indgre bets intensitet, således at de typisk ikke anses for at være ekspropria tive.

Der kan i den forbindelse henvises til Østre Landsrets dom af 3. april 2018 (gengivet i U.2018.2501 Ø), hvorefter et forbud mod hold af ræve ikke udgjorde et ekspropriativt indgreb som følge af fastsættelsen af en rimelig overgangsperiode for ræveavlere til at afvikle eller omlægge de res virksomhed.

Der kan ligeledes henvises til Højesterets dom af 18. februar 2011 (gen givet i U.2011.1365 H), hvor statens opsigelse af Fællesskabet Fristaden Christianias og beboeres og virksomheders brugsret til bygninger og arealer på Christianiaområdet ikke udgjorde ekspropriation, idet sta tens opsigelse skete med et passende varsel.

22.1.1.3.b DWDM-netværk har ikke en ubegrænset levetid

CFCS bestrider det af TDC NET anførte om, at det indkøbte DWDM- netværk fra Huawei har ubegrænset levetid. Det svarer til at argumen tere for, at mobilnettet har ubegrænset levetid.

Der sker jævnlig udskift ning af funktioner og produkter (mobil: 2G, 3G, 4G og nu 5G), ligesom et eksisterende netværk normalt med jævne mellemrum konkurren ceudsættes, hvor det undersøges, om man kan få en bedre, billigere og mere sikker løsning hos anden leverandør.

TDC Net har da også siden 2011 løbende udskiftet og opgraderet deres DWDM-udstyr til nyere versioner af både hardware og software, ligesom der er kommet nye produkter og andre er gået ud af produktion.

Hertil kommer det fak tum, at aftalerne mellem TDC NET og Huawei-koncernen stedse har været korte, netop fordi det indenfor telesektoren ikke giver kom merciel mening at binde sig til en ”ubegrænset levetid” , jf. herved både TDC NETs egne oplysninger i brev af 29. april 2021 (vores understreg ning):

”TDC's underretning om genforhandling af DWDM-aftalen med Huawei dateret 15. september 2020 og den dialog, der bar været mellem TDC NET og CFCS frem mod CFCS's brev af 7. december 2020, kan ikke tages til indtægt for anden opfattelse. Det forhold, at den genforhandlede aftale lø -ber frem til udgangen af hhv. 2024 og 2026 med mulighed for forlængelse i op til 3 år er helt sædvanligt, idet TDC Net af både forhandlingstaktiske

grunde og konkurrenceretligt ikke kan binde en leverandør for en længere periode. TDC NET har således mulighed for løbende at konkurrenceud -sætte leverancerne fra Huawei for fortsat at sikre, at Huawei teknisk og prismæssigt er konkurrencedygtig. ”

Det fremgår også af den af TDC NET indhentede rapport fra Person 25 Person 25 fra Analysys Mason, der anslår en funktionel levetid på hardwa rekomponenter på 10-15 år og en livscyklus for en produktserie på 15-20 år, og som derudover i pkt. 103 og 105 anfører:

234

” 103. Men på grund af brugernes stigende krav til højere kapacitet og på -lidelighed samt hurtige teknologiske fremskridt bliver hardwarekomponen -ter ofte udskiftet, før de når deres funktionelle levetid. For eksempel gik ef -terspørgslen efter DWDM-forbindelser fra 1G til 10G i begyndelsen af 2000'erne, efterfulgt af spring til 100G og 400G. Disse ændringer frem -mer indførelsen af teknologiske fremskridt som Flexgrid-teknologi, der gør det nødvendigt at indføre nyere hardware. (…)

105. De etablerede leverandører har en klar fordel i denne sammenhæng med livscyklusstyring. CSP'er finder det ofte mere omkostningseffektivt eller ligetil at opgradere inden for samme leverandørs økosystem. Det er værd at bemærke, at kontrakter generelt ikke er bundet til specifikke pro -dukter og ofte har mulighed for at blive forlænget.

Selvom CSP'er typisk bruger udløbet af et produkts eller en produktseries levetid til at genoptage kommercielle forhandlinger, giver muligheden for at blive hos den etable -rede leverandør CSP'er mere indflydelse på at forhandle bedre priser og tjenester, når de inviterer andre leverandører til en åben RFP-proces (Request for Proposal).

En sådan RFP-proces kan føre til et leverandør -bytte, hvis en anden leverandør kan tilbyde en teknisk og/eller kommercielt mere konkurrencedygtig løsning end den etablerede leverandør. ”

Det er dermed heller ikke er gratis at vedblive ved samme leverandør, idet det kræver løbende udgifter til opgraderinger, som vil kunne spa res ved skift til nyere udstyr fra ny leverandør.

23.1.1.4 Udgifterne som følge af afgørelsen taler heller ikke for stor intensitet

TDC NET anfører, at sagen angår betydelige omkostninger og betyde lige værditab for TDC NET. TDC NET henviser til MAD 2018.202V (Pindstrup Mosebrug-sagen II), som angik ekspropriation af Pindstrup Mosebrug A/S’ ret til at udvinde tørv, og anfører herom, jf. stævningen, …, at (vores understregning):

”(…) Vestre Landsret tilkendte en ekspropriationserstatning på DKK 40 mio., idet landsretten bl.a. lagde vægt på, at virksomheden havde foretaget

betydelige investeringer i produktionsanlæg. ”

Det er ikke en korrekt eller fyldestgørende gengivelse af præmisserne i MAD 2018.202V, ligesom det er en irrelevant sammenligning.

Pind strup Mosebrug A/S, som blev tilkendt DKK 40 mio. i ekspropriation serstatning, havde på tidspunktet for den sags relevante faktum en års omsætning i størrelsesordenen DKK 300 mio. og et årligt driftsresultat mellem DKK 13,7-21 mio., som i henhold til dommen ville blive direkte og voldsomt påvirket af det forbud mod at udvinde tørv, som sagen an gik.

Blot til illustration af indgrebets betydning for Pindstrup Mosebrug A/S følger nedenfor virksomhedens nøgletal, jf. dette selskabs årsrap port for 2006 (det år forbuddet i den sag blev givet):

235

TDC NET er en virksomhed af en helt anden karakter end PindstrupMosebrug A/S, ogdet erstatningskrav, som TDC NET har nedlagt påstand om, kan ikke uden videre betegnes som betydeligt og udtryk foret stort værdispild, alene fordi det vedrører ca. DKK 194 mio. TDC NEThavde i regnskabsåret 2023 en nettoomsætning på DKK 6,461 milliarder, et driftsresultat (EBITDA) på DKK 4,695 milliarder og et driftsoverskud på DKK 1,691 milliarder og endnu bedre resultater i 2022, som varåret, hvor TDC NET modtog partshøringsskrivelse over afgørelsen, jf.årsrapporten for 2023, side 8:

Det svarer til, at TDC NET ville kunne absorbere det påståede tab på DKK 194.935.021,81 hele 19 gange i driftsoverskuddet for 2022 og 2023. Afgørelsen ses da heller ikke nævnt i TDC NETs årsrapporter som et forhold, der vil påvirke TDC NET væsentligt. Af årsrapporten for 2023, side 137, fremgår alene under afsnittet om ”Contingent assets” , at TDC NET meget fornuftigt ikke har medtaget nogen del af det påståede krav på erstatning som følge af ekspropriation som et aktiv.

Hertil kommer, at investeringen i det eksisterende DWDM-netværk fra 2011 og til tidspunktet for udtagelsen af stævningen har beløbet sig til DKK 458 mio., hvilket svarer til DKK 35,2 mio. om året. Dette skal sam menholdes med, at TDC NETs årlige anlægsinvesteringer i TDC NETs netværk (ikke kun DWDM-netværket) så vidt ses i en årrække har lig get stabilt på omk ring DKK 2 milliarder om året.

236

Kostprisen af netværksinfrastrukturen (ikke kun DWDM-netværket) var i henhold til 2023-årsrapporten ca. DKK 46,2 milliarder, og den år lige afskrivning var ca. DKK 1,7 milliarder. Samlet udgjorde værdien af netværket (kostpris minus afskrivninger og værdiforringelser) i 2023-årsrapporten DKK 15,898 milliarder:

Det er således bl.a. på ovenstående grundlag, at det skal vurderes, omAfgørelsen medfører betydelige omkostninger og et betydeligt værdispild for TDC NET.

CFCS er af den opfattelse, at det ikke er tilfældet, ogat TDC NETs sammenligning med MAD 2018.202V angående Pindstrup Mosebrug A/S ikke har noget for sig.CFCS tiltræder i sammenhæng med ovenstående heller ikke, at kontrakten med Ciena kun medfører en en-til-en udskiftning, idet den ihvert fald i henhold til Cienas pressemeddelelse af 20. juni 2024 indebærer en opgradering.

Det er en opgradering, som TDC NET under alleomstændighederville skulle have foretaget, også hvis TDC NET kunnehave beholdt Huawei som leverandør. CFCS bemærker derudover, at når TDC NET står i den nuværende situation, så beror detfaktuelt på to forhold.

Dels beror det på,at TDC NET i sin tid (2011) valgte Huawei-koncernensom eneleverandør (sole vendor) til sit DWDM-netværk, og at Huawei-koncernen er en leverandør, hvis DWDM-udstyr er kendt for ikke atvære direkte kompatibelt med andre producenters DWDM-produkter.Det beror således på TDC NETs egne kommercielle forhold, at TDCNET i sin tid fandt, at det var den bedste forretningsmæssige beslutningat indgå eneleverandøraftaler med Huawei, som allerede på det tidspunkt, hvor kontrakterne blev indgået, udgjorde en særlig sikkerhedsmæssig udfordring, jf. netop behovet for at tilføje pkt. 33 til Rammeaftalen.

Hvis TDC NET på et tidspunkt i fremtiden af egen drift måtte haveønsket at udskifte Huawei som leverandør til DWDM-netværket, såville TDC NET, som følge af sin egen oprindelige beslutning om at entrere med Huawei, have stået i samme situation som den nuværende situation.

237

CFCS bestrider TDC NETs grundlag for kravet på ekspropriationser statning, som baserer sig på, at TDC NET i en meget lang årrække ud i fremtiden ville være fortsat med Huawei som leverandør. TDC NET havde oprindeligt oplyst, at DWDM-netværket ville blive udskiftet i 2024, …, og først da der blev tale om at anvende telesikkerhedslovens forbudsmuligheder, ændrede TDC sin holdning til udskiftningstids punktet, i håb om, at få staten til at afholde omkostningerne til TDC NET’s udskiftning af leverandør.

Dels beror det på, at Huawei-koncernen ikke har overholdt Rammeafta

len, pkt. 33. CFCS henviser til, at Huawei-koncernen ikke, da der kunne foretages test af HCSEC, levede op til aftalerne herom, men bl.a. konti nuerligt og uden udbedring fik påtalt uacceptable forhold og til, at Hu awei-koncernen heller ikke fremadrettet og efter skiftet til et netværk med rent kinesiske komponenter levede op til eller ville kunne leve op til kravene.

23.1.2 Causa-kriteriet

Efter causa-kriteriet tillægges indgrebets begrundelse betydning. Det antages traditionelt, at hvis et indgreb er begrundet i at afværge en al vorlig fare berettiger det ikke til erstatning efter grundlovens § 73. Der kan eksempelvis henvises til U.2000.1/2H (Hjorteavler-sagen), hvor Hø jesteret fastslog, at nedslagtning af en smittefarlig husdyrbesætning ikke berettigede til erstatning efter grundlovens § 73.

Endvidere kan der henvises til U.2001.1057H om opholdsforbud i medfør af ”rockerloven” for ejendommens ejer med det formål at beskytte andre samfundsbor geres liv og helbred mod rockergruppers interne, voldelige opgør. Er et indgreb begrundet i at tilgodese det offentliges økonomi, kan det om vendt tale for, at der foreligger afståelse, jf. herved nedenfor omtalte U.1980.955Ø (Greendane-sagen).

CFCS gør gældende, at det forhold, at afgørelsen er truffet for at af værge en væsentlig trussel mod statens sikkerhed, som det ikke vurde res at være muligt at håndtere med mindre indgribende foranstaltnin ger, klart taler for, at der ikke foreligger afståelse. Der er således tale om afværgelse af fare og beskyttelse mod kompromittering af statens sik kerhed.

Amendment 4 og komponenter leveret i henhold hertil i form af NCE-T management systemet og OSN9800- og OSN1800-terminaludstyret ud gør leverancer til en ekstremt kritisk del af telenettet. TDC NET anfører således i stævningen, …, at ”al nævneværdig datatrafik i Danmark er base -ret i et vist omfang på DWDM-netværket ”.

Som der er redegjort for oven for under afsnit …, vil det være forbundet med omfattende konsekven ser, såfremt TDC NETs DWDM-netværk blev kompromitteret. Dette kan i yderste konsekvens være af et sådant omfang, at helt grundlæg gende samfundsfunktioner og væsentlige dele af al kommerciel aktivi tet helt eller delvist bringes til ophør.

Efter omstændighederne vil dette kunne have konsekvenser for enkeltpersoners liv, førlighed og velfærd og medføre omfattende omkostninger for myndigheder, private virk

238

somheder og enkeltpersoner samt afbrydelse af offentlige serviceydel ser m.v.

For så vidt angår risici forbundet med Huawei som leverandør og risici forbundet med den konkrete aftale henvises til ….

CFCS’ afgørelse af 21. marts 2023 varetager således væsentlige og tungt vejende samfundsmæssige interesser, hvilket efter CFCS’ opfattelse ta ler med betydelig vægt imod at anse afgørelsen for ekspropriativ.

Dette er også klart lagt til grund af lovgivningsmagten ved vedtagelsen af telesikkerhedsloven. Det følger således som tidligere nævnt af forar bejderne til telesikkerhedslovens § 4, at indgreb efter lovens § 3, stk. 1 og 2, altid vil have til formål at beskytte statens sikkerhed.

Navnlig det forhold, at forbud mod opretholdelse af en indgået aftale efter § 3, stk. 1, eller anvendelse af kritiske komponenter, systemer m.v. efter § 3, stk. 2, vil være begrundet i hensyn til statens sikkerhed, må antages at tale med en vis vægt imod, at der vil være tale om ekspropriation, jf. Folke tingstidende 2020-21, tillæg A, lovforslag nr. 190, side 25.

23.1.3 Kriteriet generelt-konkret

Efter kriteriet generelt-konkret peger det væk fra afståelse, hvis et ind greb retter sig mod alle eller alle af en vis kategori, jf. herved bl.a. U.1972.603H, jf. U.1971.666V (Molersagen), om indførelse af et forbud mod ændringer i terrænet nær kysterne, der gjaldt for alle kystejere, og U.1998.1669H (Bræmmesagen) om indførelse af dyrkningsfrie bræm mer langs vandløb og søer, der ramte alle bredejere.

Omvendt kan det tale for afståelse, hvis kun enkelte eller enkelte inden for en vis kategori rammes af indgrebet, jf. herved U.1980.955Ø (Green dane-sagen), hvor Østre Landsret fandt, at monopoliseringen af besej lingen til og fra Grønland udgjorde en afståelse i forhold til et privat re deri. Landsretten henviste bl.a. til, at rederiet var den eneste, der blev ramt af indgrebet.

Selvom et indgreb kun rammer enkelte, er det dog ikke nødvendigvis ensbetydende med, at der foreligger afståelse. Der er således lagt vægt på, om et indgreb, selvom det kun rammer et lille antal ejere, fastsættes efter almene saglige kriterier og ikke ganske vilkårligt pålægges nogle få ejere. Der kan bl.a. henvises til U.1982.109/4H (Fiskeformalings-sa gen), hvor Højesteret fandt, at et forbud mod formaling af fisk ombord på skibe, som kun ramte nogle få fartøjer, ikke indebar en afståelse, idet forbuddet måtte anses ”som led i en efter almene saglige hensyn foretaget re -gulering af fiskerierhvervets forhold ”.

CFCS gør gældende, at uagtet forbud i sagens natur kun vil kunne – og skulle – nedlægges i sjældne, men konkrete tilfælde, og selvom indgre bet i denne sag konkret rammer TDC NET, er indgrebet et udslag af an vendelsen af generelle regler og en vurdering ud fra saglige og objek tive kriterier, hvilket taler for, at indgrebet ikke er ekspropriativt. Te

239

lesikkerhedsloven regulerer således alle ”væsentlig erhvervsmæssig udby -der af offentligt tilgængelige elektroniske kommunikationsnet og -tjenester ”, og det er CFCS vurdering, at loven dermed omfatter mellem 20-30 væsent lige erhvervsmæssige udbydere i Danmark. Udgangspunktet er således heller ikke, at forbud vil udgøre ekspropriation, men at der med loven er skabt den fornødne lovhjemmel, hvis det måtte være tilfældet, hvil ket det i den konkrete sag ikke er.

Indgrebet er begrundet ud fra saglige og objektive kriterier og pålægges ikke TDC NET vilkårligt, men er et udslag af en konkret vurdering af forhold omkring Amendment 4 og levering af kritiske netkomponenter leveret under aftalen, der opfylder de kriterier, som efter telesikker hedsloven kan udløse et forbud.

Indgrebet er samtidig hjemlet ved sektorspecifik lovgivning, der har haft virkning siden den offentlige høring over lovforslaget den 7. de cember 2020, hvorfor TDC NET har haft viden om, at selskabets status som teleleverandør indebærer, at levering af kritisk teleinfrastruktur af den art, der er omfattet af nærværende afgørelse, ville kunne blive gen stand for regulatoriske indgreb inden for rammerne af telesikkerhedslo ven.

23.1.4 Overførselskriteriet

Ifølge overførelseskriteriet taler det for afståelse, hvis en ejendomsret overføres fra en person til anden person – typisk til det offentlige. Fra retspraksis kan bl.a. henvises til U.1967.22H (Første håndskriftssag) om overførelsen af en række håndskrifter og noget kapital tilhørende en privat stiftelse til Islands Universitet, hvilket udgjorde afståelse.

Er der ikke tale om en overførelse af en ejendomsret, men derimod blot en be grænsning i rådigheden over et ejendomsgode, taler det omvendt i ret ning af, at der ikke foreligger en afståelse, men blot en erstatningsfri re gulering, jf. herved bl.a. U.2006.1539H (Pindstrup Mosebrug-sagen I) om indførelse af et forbud mod at ændre på tilstanden i moser.

CFCS gør gældende, at det forhold, at afgørelsen ikke indebærer, at TDC NETs ejendom overføres til en anden part, taler for at indgrebet ikke er ekspropriativt. Afgørelsen indebærer som nævnt, at TDC NET i meget begrænset omfang begrænses i dets råden i henhold til indgåede aftaler og i anvendelsen af allerede leveret udstyr.

TDC NET støtter sig på Greendane-dommen, selv om denne dom på helt afgørende punkter adskiller sig fra nærværende sag, og der således ikke på rimelig vis kan tages brudstykker ud af sagen uden at se sagen i sin rette kontekst. Greendane-dommen omhandler vedtagelsen af en lov, som indebar en direkte overførsel af ét selskabs nærringsrettighe der til staten og denne overførsel var begrundet i statens økonomiske interesser.

Ved loven blev Greendanes virksomhed med søtransport af gods til Grønland således forbudt, idet staten herefter overtog denne nærings

240

ret. Det var således den direkte overførsel af rettigheder, som var afgø rende for, at der forelå ekspropriation, og landsretten fremhævede da også i sine præmisser, at det afgørende ved loven var, at Greendanes virksomhed med sejlads til Grønland blev ”overtaget af Den kgl. grøn -landske Handel, der er en statsinstitution ”. Greendane-dommen adskiller herved helt afgørende fra Afgørelsen til TDC NET, idet hverken CFCS eller staten har forbudt TDC NET at drive et DWDM-netværk eller har overtaget TDC NETs virksomhed hermed. Der er således tale om et markant anderledes indgreb, end i den foreliggende sag.

Herudover tillagde Østre Landsret det afgørende vægt i sin dom, at hensynet bag forbudsloven var at tilgodese:

”(…) betydelig erhvervsøkonomiske interesser i at genindføre handelens monopol på besejlingen og undgå yderligere økonomiske tab som følge af flytning af besejlingsafdelingen til Ålborg ”.

Herved adskiller formålet med loven sig også markant fra den forelig gende sag, der ikke omhandler økonomiske interesser, men væsentlige hensyn til statens sikkerhed. Hensynet til økonomiske interesser taler i almindelighed for at et indgreb udgør afståelse, hvorimod væsentlige hensyn til staten sikkerhed klart taler for, at der foreligger generel regu lering, der ikke udgør afståelse.

Herudover lagde landsretten også i sin dom vægt på, at loven forbød søtransport af gods til Grønland ved private rederier, og at det udeluk kende var Greendane A/S, der drev en sådan virksomhed. Herved ad skiller Greendane-dommen sig også markant fra nærværende sag, idet telesikkerhedsloven regulerer alle ”væsentlig erhvervsmæssig udbyder af offentligt tilgængelige elektroniske kommunikationsnet og -tjenester ”, og det er CFCS’ vurdering, at loven dermed omfatter mellem 20-30 væsentlige erhvervsmæssige udbydere i Danmark.

Det er også på baggrund af den direkte overførsel af kun ét enkelt sel skabs næringsrettigheder til staten og begrundelsen i økonomiske hen syn, at man skal læse Østre Landsrets bemærkning i Greendane-dom men om, at det ”i den forbindelse” var uden betydning, at sagsøgeren på forhånd var advaret mod at påbegynde sin lovlige virksomhed, og at denne kun har været drevet i kortere tid.

Østre Landsret har ved anven delsen af udtrykket ”i den forbindelse ” klart tilkendegivet, at der er tale om et særligt tilfælde, der afviger fra det normale udgangspunkt. Dom men kan dermed ikke tages som udtryk for, at en parts forventninger om et muligt indgreb ikke i almindelighed skal indgå i vurderingen af indgrebets intensitet.

Det er tværtimod fremhævet tydeligt af Højesteret i Fiskeformalings-sagen, at det skal tillægges vægt om den, indgrebet

retter sig mod er blevet advaret om, at denne muligvis vil blive forbudt. Højesteret fremhævede således i sagen, at det ramte rederi var blevet advaret mod at påbegynde den pågældende aktivitet, idet denne mulig vis ville blive forbudt.

Både TDC NET og Huawei var siden 2011 bekendt med de særlige for udsætninger for en sikkerhedsmæssig forsvarlig anvendelse af Huawei

241

som leverandør og har da også kontraktuelt i forhold til Hauwei indret tet sig herpå.

I øvrigt kan TDC NET naturligvis fortsat drive et DWDM-netværk un der de konkrete omstændigheder fra 2027 bare ikke med Huawei som leverandør i henhold til Amendment 4.

24. AFGØRELSEN MEDFØRER IKKE KRAV PÅ ERSTATNING EF -TER CULPAREGLEN

TDC NET har anført, at CFCS er erstatningsansvarlig som følge af, at Afgørelsen ikke er i overensstemmelse med telesikkerhedsloven. TDC NET har ikke anført på hvilket retligt grundlag dette erstatningsansvar gøres gældende, hvorfor CFCS lægger til grund, at TDC NET støtter sig på det almindelige culpaansvar.

CFCS gør overordnet gældende, at der ikke er begået nogle fejl i forbin delse med Afgørelsen, og at Afgørelsen er lovlig og i overensstemmelse med telesikkerhedsloven. Der foreligger således en gyldig forvaltnings retlig afgørelse, og allerede af den grund er der ikke grundlag for at sta tuere et erstatningsansvar.

En offentlig myndigheds erstatningsansvar for ugyldige forvaltningsaf gørelser er reguleret af dansk rets almindelige erstatningsregel. For at en offentlig myndighed kan pålægges et erstatningsansvar, kræves det, at der er et ansvarsgrundlag, dvs. at myndigheden har handlet culpøst, jf. herved Gomard, Offentlige myndigheders erstatningsansvar, U.2004B, side 383, og Orla Friis Jensen og Søren Højgaard Mørup, For valtningsret - Almindelige Emner, 7. udgave, 2022, side 579ff.

Endvidere er erstatningsansvaret betinget af, at dispositionen har påført en fysisk eller juridisk person et økonomisk tab, at der er den fornødne årsagsforbindelse mellem handling og tab, at tabet er adækvat, og at der ikke foreligger egen skyld hos skadelidte. Skadelidte skal endvidere have iagttaget sin tabsbegrænsningspligt.

Ved vurderingen af om en offentlig myndighed har pådraget sig erstat ningsansvar ved udøvelse af sin kompetence til at træffe forvaltningsaf gørelser, lægges der efter retspraksis vægt på en række forskellige mo menter. De typiske momenter, der indgår i vurderingen, er fejlens ka rakter, hvor klar fejlen er, herunder kompleksiteten af det anvendte re gelsæt, og hvor indgribende afgørelsen er, herunder om afgørelsen ret ter sig mod adressatens private forhold eller udgør den en hindring for den pågældendes fortsatte erhvervsudøvelse, samt hvor klar årsagsfor bindelsen er mellem fejlen og det påståede økonomiske tab.

Det følger af retspraksis, at det almindeligvis er en forudsætning for til kendelse af erstatning, at en myndighedsafgørelse lider af mangler, der er så væsentlige, at de ville kunne medføre ugyldighed. Formelle fejl vil således kun i helt sjældne tilfælde kunne udløse et erstatningsansvar. Der er imidlertid ikke nogen nødvendig sammenhæng mellem ugyldig

242

hed og erstatning. Underkendelse af en myndighedsafgørelse kan få den følge, at myndigheden bliver erstatningsansvarlig, men underken delse fører ikke automatisk til erstatningspligt. Der skal således fore ligge en rimelig klar fejl fra myndighedens side, førend domstolene sta tuerer erstatningsansvar.

Søren Højgaard Mørup anfører i Berettigede Forventninger, 2005, side 956, om ansvarsnormen, at:

”(…) udtrykket klar fejl, som især ses i nyere retspraksis, er vel ikke så fjernt fra tidligere tiders udtryk grov uagtsomhed (…) ”.

I forhold til afgørelser, der baserer sig på forkert retsanvendelse, anfø rer Person 26, at der i almindelighed gælder en ansvarsfritagelses grund ved offentlige myndigheders undskyldelige retsvildfarelser, og at der her gælder et mildt ansvarsgrundlag:

”Den omstændighed, at den offentlige myndighed i et vist omfang kan fri -tages for ansvar under henvisning til undskyldelig retsvildfarelse, indebæ -rer, at ansvaret fremstår som mildt sammenlignet med det private skade -volderansvar. Undskyldningsgrunden »undskyldelig retsvildfarelse«, ken -des ikke i almindelighed på det privatretlige område.

Når ansvarsfritagel -sesgrunden har vundet indpas på særområdet for offentlige myndigheders erstatningsansvar og ikke på det privatretlige område, skyldes det forment -lig først og fremmest det selvfølgelige, at fejl begået af myndigheder netop ofte vil bestå i fejlfortolkning af regler for eksempel i forbindelse med, at der træffes afgørelser, mens ansvarssituationerne på det privatretlige om -råde ofte vil have en helt anden karakter.”

Det er således ikke tilstrækkeligt for at statuere et ansvarsgrundlag, at forvaltningen har udøvet et fejlskøn eller har fejlfortolket retsgrundla get, medmindre der netop er tale om en klar fejl.

Forvaltningen er i øvrigt ikke pålagt et præsumptionsansvar, dvs. an svar med omvendt bevisbyrde. Det er som klart udgangspunkt den ska delidte borger eller virksomhed, der skal føre bevis for, at forvaltningen har handlet ansvarspådragende.

Allerede fordi Afgørelsen er i overensstemmelse med telesikkerhedslo ven, har CFCS ikke begået nogen erstatningspådragende fejl, og der er derfor intet ansvarsgrundlag.

CFCS har tilrettelagt sagsoplysningen af afgørelsen af 21. marts 2023 i overensstemmelse med forvaltningslovens og telesikkerhedslovens reg ler herom og har løbende inddraget både TDC NET og Huawei i sags oplysningen, ligesom CFCS i henhold til telesikkerhedslovens § 5, stk. 3, har foretaget høring af de nævnte styrelser og relevante fagmyndig heder. CFCS har således udvist den fornødne grundighed og omhygge lighed ved udarbejdelsen af Afgørelsen, og der er intet grundlag for at gøre et culpaansvar gældende.

243

Selv hvis retten – mod CFCS’ opfattelse – måtte finde, at Afgørelsen li der af en retlig mangel, gøres det gældende, at der ikke foreligger en klar fejl. Afgørelsen er truffet på et komplekst, teknisk og sikkerheds mæssigt reguleret område, hvor CFCS som offentlig myndighed er til lagt et betydeligt skøn. En eventuel retlig uenighed om rækkevidden af telesikkerhedsloven eller om afvejning af de relevante hensyn kan ikke i sig selv begrunde et culpaansvar. Der foreligger således ikke en klar el ler grov fejl, som kan begrunde erstatningsansvar.

Hertil kommer, at TDC NET ikke har godtgjort, at der foreligger et er statningsretligt relevant tab som følge af Afgørelsen. Selv i den situa tion, at Afgørelsen måtte blive tilsidesat, vil CFCS være berettiget – og forpligtet – til at træffe en ny lovlig afgørelse på samme materielle grundlag. En eventuel formel eller retlig mangel ved den oprindelige Afgørelse indebærer således ikke, at TDC NET opnår en bedre retlig el ler økonomisk position. Der foreligger derfor ikke den nødvendige år sagsforbindelse mellem den påståede fejl og det påståede tab.

Det er endvidere ikke dokumenteret, at en alternativ lovlig afgørelse ville have været mindre indgribende eller mindre byrdefuld for TDC NET. En sådan forudsætning beror på hypotetiske betragtninger og kan ikke danne grundlag for erstatning. Erstatningsansvar kan ikke baseres på spekulation om, at en anden afgørelse ville have haft et andet – og økonomisk gunstigere – indhold.

Sammenfattende foreligger der hverken ansvarsgrundlag, årsagsforbin delse eller dokumenteret tab. Betingelserne for at pålægge CFCS erstat ningsansvar er derfor ikke opfyldt.

25. TDC NETS ERSTATNINGSKRAV

25.1. Indledning

Landsretten kan lægge til grund, at TDC NET efter Afgørelsen og for at efterleve denne er i gang med at etablere et nyt DWDM-netværk leveret af Ciena. Der er enighed om, at TDC NET for at efterleve afgørelsen ikke ville kunne fortsætte med at anvende DWDM netværket fra Hu awei, ligesom CFCS tiltræder, at det for TDC NET ikke ville være kom mercielt relevant at efterleve afgørelsen på nogen anden måde end ved et fuldstændigt leverandørskifte.

Der er også enighed om, at hvis landsretten – hvilket bestrides, at der skulle være grundlag for – når frem til, at Afgørelsen indebærer ekspro priation eller er ansvarspådragende, så er TDC NET berettiget til fuld erstatning.

Det er imidlertid både i tilfælde af ekspropriation og en an svarspådragende afgørelse TDC NET, som i overensstemmelse med de i retspraksis udviklede almindelige regler om erstatning uden for kon trakt skal påvise et kausalt og adækvat tab, ligesom TDC NET skal kunne påvise at have overholdt sin pligt til tabsbegrænsning. Der gæl der i forhold til tabet hverken noget præsumptionsansvar eller nogen

244

lempelse af beviskravene i øvrigt, men en almindelig, ligefrem og kvali ficeret bevisbyrde.

TDC NET krævede i denne sag som følge af leverandørskiftet en erstat ning på DKK 263.997.000, jf. stævningens påstand 5; men har ved pro cesskrift 4, indleveret på dagen for forberedelsens afslutning, nedsat er statningspåstanden til DKK 194.935.021,81. Af påstandsbeløbet anfører TDC NET at have afholdt DKK 155.796.375,17, mens de resterende DKK 39.138.646.64 er udgifter, som TDC NET anslår at komme til at afholde inden udgangen af 2026. TDC NET anfører selv om differencen mellem den oprindelige og den justerede påstand, at:

”Da det på nuværende tidspunkt er forbundet med betydelig usikkerhed, hvor stort TDC NET's tab vil være i relation til Radiokædenetværket (det kan i værste fald antageligvis udgøre op til DKK 100 mio.), og at tabet så -ledes ikke kan opgøres for nuværende, vil dette tab være omfattet af TDC NET's anerkendelsespåstande, dvs. Påstand 3 og Påstand 4.

Tilsvarende for tab relateret til perioden efter 31. december 2026, samt øvrige potenti -elle og uforudsete udgifter, der netop ikke er omfattet af TDC NET's beta -lingspåstand (Påstand 5). TDC NET har således en væsentlig og indivi -duel interesse også i påkendelsen af Påstand 3-4 allerede af denne grund. ”

Imidlertid følger det citerede ikke logikken eller posterne i den oprinde lige tabsopgørelse fra TDC NET som gennemgået af Copenhagen Eco nomics, hvor alle tab til og med 2026 kunne opgøres, og hvor Copenha gen Economics ”verificerede” , at TDC NET som følge af afgørelsen til og med 2026 ville lide et tab på mindst DKK 263.997.000, og hvor kun DKK 3,24 mio. henførtes til styring af radio-link.

Der er dermed, når bortses fra radiokædenetværket, en ikke forklaret difference mellem det som TDC NET i stævningen hævede var et sikkert tab på DKK 260.757.000 til og med udgangen af 2026, og det nu fremførte tab til og med udgangen af 2026, som opgøres til DKK 194.935.021,81. En forskel på 24,09 %

TDC NET oplyste i processkrift 1, at udgifterne henholdsvis de skøn nede udgifter fordeler sig på syv overordnede poster. I henhold til pro cesskrift 4 er udgifterne imidlertid aktuel kun fordelt på fem poster som følger, idet de resterende poster efter det oplyste ikke kan opgøres:

245

De afholdte og skønnede udgifter kan ikke anses for erstatningsretligt værnede tab, hvilket overordnet skyldes:

at tabsopgørelsen er baseret på en forudsætning om, at TDC NET ikke

inden for en kortere årrække under alle omstændigheder ville have udskiftet DWDM-netværket fra Huawei (den såkaldte ”Base Case”), hvilken forudsætning ikke kan lægges til grund; samt

at de enkeltstående tabsposter ikke lader sig bedømme, idet de i det

hele er baseret på generelle forudsætninger og oplysninger, som hverken CFCS, de involverede sagkyndige eller landsretten har mu lighed for at efterprøve.

Hertil kommer:

at i det omfang de enkeltstående poster kan efterprøves, fremstår er

statningsopgørelsen ikke udarbejdet i overensstemmelse med gæl dende ret; men bl.a. uden fradrag efter princippet om, at der ikke skal ydes erstatning med nyt for gammelt og uden fradrag for spa rede omkostninger.

Årsagerne til, at tabsopgørelsen ikke kan lægges til grund, uddybes i det følgende.

25.2 TDC NET har ikke påvist sin Base Case

Forudsætningen for TDC NETs påstand er, at TDC NET ikke inden for en forudsigelig årrække under alle omstændigheder ville have foretaget et leverandørskifte væk fra Huawei-koncernen; men at TDC NET – i princippet i uendelighed – ville være fortsat med et udelukkende kine sisk netværk fra Huawei-koncernen. En forudsætning TDC NET har kaldt sin ”Base Case” . Der er ingen dokumentation for rigtigheden af

denne Base Case, og på det foreliggende skal den afvises.

For det første strider den såkaldte Base Case imod de oplysninger, som TDC NET til og med 15. marts 2021 gav til CFCS. Ind til parternes møde den 15. marts 2021 havde TDC NET til CFCS kommunikeret, at Amend ment 4 primært var af hensyn til at opnå en forlængelse af Supportafta

246

len, idet TDC NET under alle omstændigheder overvejede et leveran dørskifte efter en forlængelse.

For det andet har TDC NET ikke fremlagt skriftligt materiale, der mod

siger ovenstående, men har blot bestridt CFCS’ interne møde- og telefonreferater.

Det er usandsynligt, at TDC NET i hele perioden fra 2011ikke har haft konkrete planer og budgetter for investeringer i og vedligehold af DWDM-netværket, der er blevet løbende drøftet og tilpasset.Disse planer ville ved fremlæggelse uden videre kunne påvise rigtigheden af den såkaldte Base Case og samtidig modbevise, at formålet medAmendment 4 ikke primært var en forlængelse af Supportaftalen.

CFCS bemærker, at TDC NET tilsyneladende generelt har opereret meden langsigtet forretningsplan, idet der i Copenhagen Economics rapportflere gange er henvist til en sådan langsigtet forretningsplan når detgælder andre typer omkostninger, herunder lønomkostninger (den irapporterne benævnte LTBP for long term business plan).

Det er så meget desto mere usandsynligt, at der ikke også i hele perioden fra 2011har eksisteret konkrete planer for vedligehold og opdatering afDWDM-netværket både på kort og lang sigt.

Imidlertid har TDC NET hverken fremlagt sine kort- eller langsigtedenetværksplaner under sagen eller delt dem med sine egne sagkyndige.Således forholder de tre ensidigt indhentede rapporter fra henholdsvisPerson 25 fra Analysys Mason og Copenhagen Economics sig hverken til spørgsmålet om, hvorvidt Huawei – uden CFCS’ afgørelse – overen længere årrække fremstod som en leverandør, TDC NET ville holdesig til, eller om CFCS’ afgørelse mest sandsynligt blot kom andre omstændigheder i forkøbet.

Tværtimod har Copenhagen Economics såvidt ses fået besked på at lægge til grund, at TDC NET ikke på nogettidspunkt ville have udskiftet Huawei som leverandør til DWDM-netværket, jf. for eksempel følgende uddrag (vores understregning): ”TDC lever op til bedste praksis ved at definere to scenarier.

Uden Afgø-relsen ville TDC have fortsat med at drive Huaweis DWDM-netværk ogville ikke have haft yderligere omkostninger ved udskiftning af DWDM-netværket. I TDC's beregning kaldes dette hypotetiske scenarie, hvor Af-gørelsen ikke blev truffet, og hvor der ikke er behov for yderligere omkost-ninger, for ‘Base case’.

Det faktiske scenarie benævnes 'Decided case'.TDC's vurdering sammenligner de nødvendige omkostninger i Base- ogDecided-case for kun at beregne meromkostningerne ved udskiftningen afDWDM-netværket.” CFCS er opmærksom på, at Copenhagen Economics i sin rapport (bilag8), side 15, pkt. 2.12, anfører (vores understregning): ”I Base case finder vi det troværdigt, at TDC ville fortsætte med at drivedet eksisterende netværk.

TDC's beslutninger om at installere dette net-værk i 2011 og i 2020 om at forlænge samarbejdet med Huawei ud over2026 blev truffet som led i den almindelige forretningsgang. Vi forstår, atTDC uden Afgørelsen ville have opretholdt det eksisterende netværk, med-mindre fordelene ved at udskifte det på et tidspunkt blev opvejet af omkost-

247

ningerne ved at gøre det. Vi forstår, at Huaweinetværket ud fra et funktio -nalitetsperspektiv er konkurrencedygtigt og tjener TDC's formål, og dets vedligeholdelse indebærer lavere samlede omkostninger end dets udskift -ning. Derfor forstår vi, at TDC uden Afgørelsen ikke havde planer om at udskifte det eksisterende DWDM-netværk, men ville vedligeholde det som led i den almindelige drift. ”

Det er i forhold til bevisførelse i en retssag en tom erklæring – og nær mere en ansvarsfraskrivelse for rapportens rigtighed – som ikke ville forekomme i en analyse, hvis denne var blevet indhentet under iagtta gelse af kontradiktoriske principper og med opdrag om at undersøge, hvorvidt der er belæg for den af TDC NET postulerede Base Case.

Co penhagen Economics har intet gjort for at efterprøve sin forståelse eller troværdigheden af den omtalte Base Case, for det er de ikke blevet an modet om, og på det foreliggende grundlag er det mindst lige så tro værdigt – i hvert fald ikke mindre troværdigt – at TDC NET efter udlø bet af en kommende support-periode netop uanset Afgørelsen ville have udskiftet Huawei som leverandør til DWDM-netværket.

Angå ende rapporten fra Person 25 fra Analysys Mason forholder den sig så vidt ses overhovedet ikke til spørgsmålet, da emnet meget nøje er udeladt af de tekniske spørgsmål til Analysys Mason, ….

25.3 Tabsopgørelsens enkeltstående poster kan ikke lægges til grund

25.3.1 Eksterne udgifter til køb af Ciena DWDM-netværk

TDC NET har fremlagt udgiftsbilag vedrørende indkøb fra Ciena, der beløber sig til DKK 99.403.048,79 og gør gældende, at der inden udgan gen af 2026 påløber yderligere udgifter på DKK 26.379.799,96. Derud over kan der imidlertid ikke konstateres andet.

Fakturaerne udgør ikke bevis for den af TDC NET hævdede en-til-en udskiftning, hvor der hverken skulle indgå nyt for gammelt, fremrykkede investeringer eller besparelser i øvrigt. Det har formodningen imod sig og er udokumente ret, at TDC NET ikke opnår erstatning med nyt for gammelt, hvis er statningen opgøres som afholdelse af de af Ciena fakturerede beløb uden nogen former for fradrag.

Det kan ikke føre til noget andet resultat, at Copenhagen Economics har udarbejdet en rapport angående den metode, som TDC NET før sagens anlæg anvendte til opgørelsen af sine på det tidspunkt skønnede udgif ter til et nyt DWDM-netværk.

Dels har dette skøn vist sig at være mar kant for højt, uden TDC NET har givet nogen forklaring på denne diskrepans, som en sagkyndig i sagens natur burde have konstateret – eller i hvert fald anført som en usikkerhedsmargin – hvis arbejdet var udtryk for en grundig og kritisk efterprøvning.

Dels er det umuligt at efterse, hvad det reelt er, Copenhagen Economics har forholdt sig til, da det eneste som præsenteres for CFCS og retten er nogle overordnede tabsposter og udgiftsbilag uden underliggende forklaring. Af de af TDC NET to ensidigt indhentede rapporter udarbejdet af Copenhagen Eco nomics fremgår således af første rapport, …. følgende (vores under stregning):

248

”TDC's beregning blev leveret i et Microsoft Excel-regneark, der er ved -lagt denne rapport som Additional expenditure DWDM.xlsx 4. Det inde -holder selve beregningen samt alle de input, relevante for beregningen, som vi er blevet bedt om at gennemgå. Vi er blevet informeret om, at TDC

på datoen for denne rapport stadig er i færd med at afslutte forhandlin -gerne med den nye netværksleverandør. Denne proces forventes ikke at være afsluttet, før denne rapport skal færdiggøres. I beregningen af om -kostningerne ved det nye netværk er de kommercielle betingelser (omkost -ninger), som de er på dette stadie i forhandlingerne, derfor blevet brugt som input til beregningen og i vores uafhængige vurdering og verifika -tion. Med andre ord er vi blevet bedt om at behandle disse kommercielle betingelser på samme måde, som vi ville behandle priserne i den endelige transaktion med den nye sælger. ”

Det omtalte Excel-regneark med selve beregningen samt alle relevante input til Excel-arket er ikke fremlagt i denne sag. Tabsprognosen var dermed for sig selv udokumenteret, ligesom det derfor også er udoku menteret og umuligt at vurdere, om de nu afholdte omkostninger og de yderligere skønnede omkostninger frem til 31. december 2026 var en del af tabsprognosen.

CFCS konstaterer, at Copenhagen Economics selv har anført, at (vores understregning):

”En sammenligning som denne kræver prognoser for alle fremtidige om -kostninger, der ikke er ens i det faktiske og det kontrafaktiske scenarie. Så -danne prognoser er altid baseret på aktuelle oplysninger og er altid behæf -tet med en vis usikkerhed. Bedste praksis kræver, at de antagelser, der lig -ger til grund for prognoserne, er transparente, og at de valg, der træffes i forbindelse med prognoserne, hverken systematisk over- eller undervurde - rer omkostningerne (betydende at der ikke er systematiske prognosefejl). ”

I nærværende sag mangler der over for CFCS og landsretten både transparens og bevis for, at omkostningerne ikke systematisk er blevet overvurderet, herunder f.eks. fordi TDC NET undlader at foretage fradrag som følge af, at TDC NET udskifter et gammelt DWDM-net værk med et nyt DWDM-netværk. Sidstnævnte ses hverken omtalt eller behandlet af Copenhagen Economics.

Nedenfor under afsnit 0 følger et konkret eksempel (øget strømforbrug uden fradrag for efterfølgende la vere strømforbrug) på, at TDC NET og Copenhagen Economics tilsyne ladende ikke har overholdt principperne for opgørelsen af et tab ved er statning uden for kontrakt, men så vidt set systematisk har overvurde ret tabet.

Derudover er det både i forhold til de eksterne udgifter til køb af Ciena DWDM-netværk og for alle øvrige udgifter udokumenteret, i hvilket omfang TDC NET har overholdt sin pligt til tabsbegrænsning.

25.3.2 Personaleomkostninger til køb af Ciena DWDM-netværk, instal lation, drift af to DWDM-netværk samt nedtagning af og bortskaffelse af Huawei-udstyr

249

TDC NET har fremlagt en opgørelse til personaleomkostninger baseret på timeregistreringer, som TDC NET hævder alle vedrører udskiftning som følge af Afgørelsen. Hvorvidt det forholder sig sådan, er imidlertid umuligt at efterprøve, ligesom det er umuligt at efterprøve, i hvilket omfang alt arbejdet har været nødvendigt. TDC NET anførte i proces skrift 4, pkt. 23 (…):

”Opgørelsen af de interne personaleomkostninger udgør dermed en kon -kret og dokumenteret opgørelse af det faktiske ressourcetræk, som TDC NET har haft som følge af totaludskiftningen og afspejler det arbejde, der reelt er udført. ”

Det kan ikke udelukkes, at det er korrekt; men det er hverken på bag grund af processkrifterne fra TDC NET eller rapporterne fra Copenha gen Economics muligt at konstatere eller vurdere, hvorvidt persona leomkostningerne faktisk (alle) er meromkostninger, eller om der er tale om omkostninger, herunder både til time- og fastlønnede, som TDC NET under alle omstændigheder helt eller delvist ville have aflønnet i perioden.

I det omfang der er tale om personaleomkostninger som TDC NET under alle omstændigheder ville have haft i perioden – herunder også selvom det ville have været til andre projekter, som måtte være blevet udsat eller tilsvarende – er der ikke tale om erstatningsretligt værnede udgifter.

Dette spørgsmål ses ikke adresseret af TDC NET eller Copenhagen Economics og kan heller ikke efterprøves ved en gennem gang af sagens bilag i øvrigt.

25.3.3 Eksterne omkostninger til midlertidig drift af to DWDM-netværk

25.3.3.1 Øget strømforbrug

TDC NET kræver erstatning for et øget strømforbrug i perioden til 1. fe bruar 2026 på DKK 1.100.447,47 og et forventet øget strømforbrug i pe rioden 1. februar til og med 31. december 2026 med DKK 1.771.455,15. Imidlertid fremgår følgende af rapporten fra Copenhagen Economics, pkt. 3.54:

”Det samlede estimerede strømforbrug for det nye DWDM-netværk er 2,59 kWh om året. Dette lavere årlige strømforbrug i forhold til Huaweis DWDM-netværks forbrug (3,35 kWh om året) afspejler effektivitetsfor -bedringer ved den nye platform. ”

Det samme er bekræftet i stævningen, pkt. 305. Der er dermed, efter det oplyste, tale om en årlig besparelse på strømforbruget på 22,69 %, hvil ket baseret på det i stævningen, pkt. 306, tabel 10 opgjorte svarer til en årlig besparelse på gennemsnitligt DKK 750.282,67, som derefter skal multipliceres med det nye netværks forventede levetid, der i henhold til TDC NET er mindst 20-30 år.

Dette er svarende til en besparelse på mel lem DKK 15.005.653,40 – 22.508.480,10 (før diskontering). Denne bespa relse udgør efter almindelige erstatningsprincipper sparede omkost ning, der skal fragå i den samlede erstatningsopgørelse, men som hver

ken TDC NET eller Copenhagen Economics har justeret for.

250

25.3.3.2 Øgede omkostninger til fiberleje og co-lokation

TDC NET har med processkrift af 13. februar 2026 fremlagt bilag, der hævdes at vedrøre nødvendige udgifter til fiberleje og co-lokation. Ud gifterne beløber sig til DKK 16.585.167,29, der er afholdt og DKK 1.771.455,15, som TDC NET forventer at afholde til og med 31. decem ber 2026. Samlet drejer det sig om 312 sider fremlagt på dagen for forbe redelsens afslutning; men hvor alle kontrakterne bortset fra én er ind gået i årene 2024 og 2025 og dermed uden problemer løbende kunne være blevet fremlagt.

Som følge af den måde TDC NET har ført sagen på, med fremlæggelse på dagen for forberedelsens afslutning og 14 dage før hovedforhandlin gens start, har kontrakterne og nødvendigheden af udgifterne ikke væ ret en del af sagens forberedelse, selvom de alle kunne have været det. CFCS bemærker i den sammenhæng, at en betydelig del af kontrakter og udgiftsbilag kunne have været fremlagt senest med TDC NETs pro

cesskrift 1 af 6. oktober 2025, hvor TDC NET første gang fremlagde do kumentation for udgifter; men hvor TDC NET hverken opgjorde eller fremlagde dokumentation for disse påståede øgede omkostninger.

Da CFCS hverken nu eller tidligere er blevet givet mulighed for at for holde sig til udgifterne, bør landsretten også undlade at tage dem i be tragtning ved sagens bedømmelse. Alt andet vil indebære en tilsidesæt telse af det for retsplejeloven helt afgørende princip om kontradiktion.

CFCS bemærker i øvrigt, at de faktisk afholdte og forventede udgifter ikke kan afstemmes til rapporten fra Copenhagen Economics, hvor ud gifterne så vidt set var skønnet til mere end det dobbelte. Dette under streger igen, at der for et erstatningskrav på DKK 194.935.021,81 hver ken kan fæstnes den nødvendige tillid til den aktuelle tabsopgørelse el ler til Copenhagen Economics forudgående hævdede verificering af me todevalget og de af TDC NET pålagte forudsætninger.

25.3.4 Advokatomkostninger

TDC NET har fremlagt to udspecificerede fakturaer, hvoraf fremgår, at Plesner Advokatfirma har faktureret TDC NET DKK 450.250 ekskl. moms henholdsvis DKK 145.335,83 ekskl. moms for advokatbistand ydet i perioden oktober 2022 til og med april 2023.

Allerede fordi der ikke er fremlagt nogen specifikation, kan CFCS ikke forholde sig til de hævede udgifter, der derfor i det hele bestrides som erstatningsretligt relevante.

CFCS bemærker derudover, at advokatomkostninger før ar bejdet med en stævning i sagens natur kun kan kræves erstattet, hvis af gørelsen er ansvarspådragende, men ikke hvis afgørelsen er udtryk for ekspropriation uden i øvrigt at være ansvarspådragende.

25.4 Øvrige bemærkninger til tabsopgørelsen

25.4.1 TDC NET har ikke givet indblik i konkurrenceudsættelsen af det nye DWDM-netværk

251

TDC NET har under sagen oplyst, at Ciena-netværket er anskaffet som resultat af en udbudsproces. Herved er det imidlertid ikke dokumente ret eller muligt for CFCS eller landsretten at forholde sig til, om TDC NET foretager den hævdede en-til-en udskiftning eller om der i tilbud sevalueringen kun er taget højde for laveste pris. Videre følger det af Copenhagen Economics første rapport, …, at:

”I forhold til omkostninger fra tidligere pristilbud fra leverandører, der ikke er valgt som leverandører, men som bruges som benchmarks i bereg -ningen, har vi fået oplyst, at de er resultatet af en konkurrencepræget pro -ces. Vi har ikke analyseret nogen pristilbud fra andre leverandører i så -danne processer. ”

Uden en sådan analyse er det imidlertid umuligt at tage stilling til, om TDC NET har overholdt den almindelige tabsbegrænsningspligt, der også gælder i tilfælde af eventuel ekspropriationserstatning.

25.4.2 Der kan ikke ske forrentning fra sagens anlæg, men tidligst fra TDC NETs egne betalinger og kun med diskontoen på forfaldstidspunk tet

TDC NET har nedlagt påstand om forretning fra sagens anlæg den 15. september 2023, jf. renteloven, § 3, stk. 4 (…).

Efter det oplyste havde TDC NET før sagens anlæg kun afholdt en me get begrænset mængde interne lønomkostninger og omkostninger til egne advokater. Der er så vidt ses ingen samlet opgørelse over disse omkostninger afholdt før sagens anlæg. Det følger derfor af rentelovens § 2 og § 3, stk. 1 (…), at TDC NET ikke kan kræve erstatning af det fulde erstatningskrav fra sagens anlæg, men tidligst fra forfaldstidspunktet for TDC NETs egne betalingsforpligtelser. Derudover gælder rente loven kun pengekrav på formuerettens område, jf. dennes § 1, stk. 1. (…) Det bestrides, at ekspropriationserstatning er et pengekrav på for

muerettens område.

Det følger af princippet i lovbekendtgørelse nr. 386 af 13. april 2023 om fremgangsmåden ved ekspropriation af fast ejendom § 22, at ekspropri ationserstatning godt kan forrentes fra et tidligere tidspunkt end det, der følger af renteloven, men kun med en årlig rente, der svarer til den af Nationalbanken på ekspropriationstidspunktet fastsatte diskonto.

Hvis TDC NET gives helt eller delvist medhold i en erstatningspåstand, bør forrentning i nærværende sag ske på baggrund af principperne i ovennævnte § 22 og rentelovens § 3, stk. 1 og dermed maksimalt være fra tidspunktet for TDC NETs betalinger og med en rente svarende til den på tidspunktet for forfaldstidspunkterne gældende diskonto. …”

Parterne har under hovedforhandlingen i det væsentligste procederet i overens stemmelse hermed.

252

Landsrettens begrundelse og resultat

1. Sagens baggrund og hovedproblemstillinger Sagen angår i første række en prøvelse af CFCS’s afgørelse af 21. marts 2023 over for TDC om forbud efter telesikkerhedslovens § 3, stk. 1, 1. pkt., mod fra den 31. december 2026 at opretholde ”Amendment 4” indgået mellem TDC og Huawei, samt forbud efter telesikkerhedslovens § 3, stk. 2, 1. pkt., mod fra den 1. januar 2027 at anvende de kritiske netkomponenter, systemer og værktøjer, der er leveret i henhold til ”Amendment 4” .

Der er mellem parterne enighed om, at det udstyr og komponenter mv., Hu awei har leveret i henhold til ”Amendment 4” til TDC’s DWDM-netværk, opfyl der den legale definition i telesikkerhedslovens § 1, nr. 1, for netkomponenter, systemer og værktøjer. Endvidere er der mellem parterne enighed om, at TDC opfylder den legale definition som en væsentlig, erhvervsmæssig udbyder af of fentligt tilgængelige elektroniske kommunikationsnet og -tjenester, jf. telesik kerhedslovens § 1, nr. 3, litra a) og b).

Huawei har i henhold til rammeaftalen med TDC fra 2011 (”Master Agree ment”) løbende leveret udstyr og komponenter mv. til TDC’s DWDM-netværk. Der er mellem parterne endvidere enighed om, at det ikke er praktisk muligt at adskille det udstyr og de komponenter mv., der er leveret i henhold til ”Amendment 4” fra det udstyr og komponenter mv., der er leveret i henhold til tidligere aftaler), hvorfor det som følge af de ved afgørelsen af 21. marts 2023 nedlagte forbud er nødvendigt for TDC at foretage en total udskiftning af hele det af Huawei leverede DWDM-netværk.

TDC har gjort gældende at have været nødsaget til at efterleve afgørelsen af 21. marts 2023. Selskabet har derfor ikke gjort gældende, at afgørelsen af 21. marts 2023 er ugyldig og skal ophæves, men derimod gjort gældende, at afgørelsen ikke har fornøden hjemmel i telesikkerhedsloven og dermed er ulovlig. Det er herudover gjort gældende, at afgørelsen desuden er væsentlig mangelfuld og retsstridig, hvorfor CFCS ifølge TDC samlet set – uanset at afgørelsen ikke skal ophæves som ugyldig – har pådraget sig et erstatningsansvar over for TDC. Sa gen angår i givet fald størrelsen af et sådant erstatningskrav.

I modsat fald angår sagen i anden række, om afgørelsen da er udtryk for eks propriation over for TDC. Sagens sidste hovedspørgsmål er i bekræftende fald opgørelsen af ekspropriationserstatningen.

Herudover har CFCS gjort gældende, at TDC’s påstand 2 skal afvises, ligesom sagen giver anledning til spørgsmål om den særlige advokats påstand på vegne af TDC, jf. straks nedenfor.

253

2. TDC’s påstand 2 og den særlige advokats påstand 2.1. TDC’s påstand 2 CFCS har gjort gældende, at TDC’s påstand 2 skal afvises, idet påstanden efter sin formulering reelt er et anbringende til støtte for de øvrige påstande.

Efter ordlyden af påstand 2 og dennes sammenhæng med formuleringen af på stand 1 og 3 og de fremsatte anbringender, navnlig angående spørgsmålet om hjemmel, jf. nedenfor, finder landsretten, at påstand 2 reelt er et anbringende til støtte for påstand 1, hvorfor påstand 2 ikke er egnet til at indgå i en domskon klusion.

TDC’s påstand 2 afvises derfor.

2.2. Den særlige advokats påstand Som anført ovenfor har TDC under sagens åbne del eksplicit og flere steder i påstandsdokumentet anført, at det ikke gøres gældende, at afgørelsen af 21. marts 2023 er ugyldig og skal ophæves, idet TDC har efterlevet afgørelsen. Der imod er det gjort gældende bl.a., at afgørelsen ikke har fornøden hjemmel i te lesikkerhedsloven og dermed er ulovlig, på hvilken baggrund der kræves er statning. Landsretten lægger til grund, at valget af påstande er nøje overvejet af TDC og selskabets advokater.

Også efter at spørgsmålet har været rejst af landsretten i et retsmøde forud for hovedforhandlingen i sagens lukkede del, har den særlige advokat på vegne af TDC nedlagt endelig subsidiær påstand om ophævelse af afgørelsen.

Det fremgår af forarbejderne til telesikkerhedsloven, de specielle bemærkninger til § 8, stk. 2, at den særlige advokat vil udøve partsbeføjelser på vegne af parten med hensyn til de fortrolige oplysninger, men ikke i øvrigt vil være part eller partsrepræsentant i sagen. Videre fremgår det, at den særlige advokat ikke vil optræde på vegne af parten, i det omfang parten sammen med sin advokat vil kunne udøve sædvanlige civilprocessuelle partsbeføjelser, herunder med hen syn til oplysninger, som vil være videregivet til parten og fremlagt i retten.

Endvidere fremgår det af de specielle bemærkninger til § 9, stk. 1, at den sær lige advokat ikke må udtale sig i retsmøder, hvor parten eller dennes advokat er til stede, når de fortrolige oplysninger er videregivet til den særlige advokat, hvilket ifølge forarbejderne også stemmer med, at parten og dennes advokat i videst muligt omfang varetager sædvanlige civilprocessuelle partsbeføjelser i sagen.

Idet den påstand, den særlige advokat har nedlagt under sagen, ikke kan inde holdes i – men er i modstrid med – de påstande og anbringender, TDC’s advo kater under sagens åbne del har nedlagt, finder landsretten, at den påstand, der

254

er nedlagt af den særlige advokat, uanset at den er subsidiær til de øvrige på stande, ligger ud over de civilprocessuelle partsbeføjelser, han er tillagt, hvorfor den særlige advokats påstand afvises.

3. CFCS’ afgørelse af 21. marts 2023 efter telesikkerhedslovens § 3 3.1. TDC’s hovedindsigelser mod afgørelsen TDC har gjort gældende navnlig, at afgørelsen af 21. marts 2023 ikke har hjem mel i telesikkerhedslovens ikrafttrædelsesbestemmelser (overgangsregler), hvorfor forbuddene i afgørelsen er nedlagt uden fornøden hjemmel, jf. nærmere afsnit 3.2. nedenfor.

Herudover har TDC gjort gældende navnlig, at afgørelsens begrundelse er mangelfuld og misvisende, jf. nærmere afsnit 3.3. nedenfor. Herunder har TDC anfægtet, at CFCS i afgørelsen har lagt vægt på den manglende testning i HC SEC, Huaweis manglende udlevering af fuld kildekode, og at CFCS lagde vægt på bekymring i forhold til det af Huawei leverede og idriftsatte hardware og software, jf. nærmere afsnit 3.3.1. nedenfor.

Det er videre gjort gældende, at afgørelsen er uproportional, jf. nærmere afsnit 3.3.2. nedenfor, og at der ikke foreligger ”særlige tilfælde” , jf. telesikkerhedslo vens § 3, stk. 1, ligesom der ikke var tale om, at der på afgørelsestidspunktet fo relå forhold, som udgjorde ”en væsentlig trussel mod statens sikkerhed” i be stemmelsens forstand, jf. nærmere afsnit 3.3.3 nedenfor. Endvidere er der gjort en række yderligere indsigelser gældende, jf. nedenfor, afsnit 3.3.4.

Endelig er det gjort gældende, at der ikke har været grund til at nedlægge for buddet mod anvendelse af NCE-T styresystemet i radiokædenetværket, da dette ikke er en del af den kritiske teleinfrastruktur, jf. nedenfor, afsnit 3.3.5.

3.2. TDC’s indsigelse angående telesikkerhedslovens ikrafttrædelsesbestemmelse Det fremgår af telesikkerhedslovens § 17, stk. 1, at loven træder i kraft den 1. juli 2021. Af bestemmelsens stk. 2, fremgår dog, at bl.a. lovens § 3 allerede har virkning for aftaler, der er indgået den 7. december 2020 eller senere. Det følger endelig af § 17, stk. 3, at bl.a. lovens § 3 først har virkning for aftaler, der er ind gået før den 7. december 2020, fra den 1. januar 2026.

Det er altså af betydning for, hvorvidt forbuddene efter telesikkerhedslovens § 3, kunne nedlægges ved afgørelsen af 21. marts 2023, hvornår ”Amendment 4” må anses for indgået.

TDC har i første række gjort gældende, at ”Amendment 4” alene er en forlæn gelse af den allerede bestående rammeaftale (”Master Agreement”) fra 2011 el ler forligsaftalen fra 2019, hvorfor aftalen må anses for indgået længe før den 7.

255

december 2020. Det er herunder gjort gældende, at ”Amendment 4” i alt væ sentlighed alene forlængede den eksisterende aftale på uændrede vilkår.

Herom bemærker landsretten, at det fremgår af TDC’s anmeldelse af 15. sep tember 2020 til CFCS af genforhandling af DWDM-aftalen, at TDC’s aftale med Huawei oprindeligt blev indgået i 2011, blev forlænget i 2016 og ville udløbe i 2021. Tilsvarende fremgår det af ”Amendment to Agreement” underskrevet af TDC og Huawei den 1. juni 2018, at rammeaftalen fra 2011 (”Master Agree ment”), ”Supply Agreement” og ”Support Agreement” kun ville være i kraft indtil 31. december 2021.

Landsretten lægger således til grund, at rammeaftalen mellem TDC og Huawei og de dertil knyttede ”Supply Agreement” og ”Support Agreement” ville ud løbe og bortfalde ved udgangen af 2021, såfremt der ikke forinden blev indgået aftale om forlængelse som sket med ”Amendment 4” .

På denne baggrund, og henset til indholdet af ”Amendmend 4” , som også inde holdt flere nye og ændrede vilkår i forhold til parternes hidtidige aftalegrund lag, og dermed havde selvstændig karakter, finder landsretten, at ”Amendment 4” ikke kan anses for indgået allerede ved rammeaftalen fra 2011, forlængelsen af rammeaftalen fra 2018 eller forligsaftalen fra 2019.

I anden række har TDC gjort gældende, at ”Amendment 4” aftaleretligt må an ses for indgået forud for den 30. november 2020, hvor CFCS i medfør af § 5 i be kendtgørelse nr. 1256 af 27. november 2019 om oplysnings- og underretnings pligter vedrørende net- og informationssikkerhed udstedte påbud til TDC om at fremsende de endelige udkast til aftaler med Huawei og gjorde opmærksom på, at aftalen først kunne indgås, når CFCS havde givet tilbagemelding herpå.

Herunder har TDC gjort gældende, at ”Amendment 4” må anses for indgået den 5. november 2020, hvor TDC’s bestyrelse godkendte aftalen, der forinden havde været genstand for forhandlinger mellem TDC og Huawei.

Landsretten bemærker herom, at det af pkt. 16 i rammeaftalen fra 2011 mellem TDC og Huawei fremgår, at enhver tilføjelse til eller ændring i parternes aftale skulle ske skriftligt ved underskrift fra de respektive behørigt bemyndigede re præsentanter for hver af parterne. Det er efter bevisførelsen ikke godtgjort, at dette krav om skriftlighed og underskrift er fraveget mellem parterne.

Parternes vedtagelse af ”Amendment 1” fra august 2011, ”Amendment to Agreement” fra juni 2018, ”Accession Agreement” fra december 2018 og ”Settlement Agree ment” (forligsaften) fra oktober 2019, der alle er både skriftlige og underskrevet af parterne, understøtter derimod, at parterne praktiserede og i alle tilfælde overholdt kravet om skriftlighed.

256

At både TDC og Huawei anså underskrift af aftalen som nødvendig, er endvi dere understøttet af mailen af 27. november 2020 fra TDC til Huawei, hvor afta ledokumenterne blev sendt frem, og det blev anført, at der snart kunne iværk sættes underskriftsprocedure.

Det er ubestridt, at TDC underskrev ”Amendment 4” den 7. december 2020, hvilket var samme dag som CFCS havde givet en tilbagemelding vedrørende TDC’s fremsendelse af endeligt aftaleudkast den 30. november 2020.

På denne baggrund finder landsretten, at ”Amendment 4” i overensstemmelse med dateringen af aftalen, blev indgået den 7. december 2020.

Ud over det anførte om skriftlighedskravet i parternes aftaleforhold er der til lige lagt vægt på, at det ikke er godtgjort, at den viljeserklæring, som bestyrel sens beslutning af 5. november 2020 måtte være udtryk for, blev afgivet til eller kom frem til Huawei på noget tidligere tidspunkt end ved underskriften af afta len den 7. december 2020.

Da ”Amendment 4” således blev indgået den 7. december 2020, finder telesik kerhedslovens § 17, stk. 2, om aftaler, der er indgået den 7. december 2020 eller senere anvendelse, hvorfor CFCS havde hjemmel til i medfør af lovens § 3 at nedlægge de i sagen omhandlede forbud ved afgørelsen af 21. marts 2023.

3.3. Afgørelsens begrundelse angående anvendelse af telesikkerhedslovens § 3 3.3.1. Testning ved HCSEC, fuld kildekode og binær ækvivalens 3.3.1.1.

Aftaler mv. mellem CFCS, TDC og Huawei Landsretten lægger efter bevisførelsen til grund, at der siden indgåelsen af Rammeaftalen fra 2011 mellem TDC og Huawei og de tilhørende ”Supply Agreement” og ”Support Agreement” i maj 2011 i varierende omfang har været en løbende dialog mellem på den ene side CFCS og forud herfor Forsvarsmini steriet, og på den anden side TDC angående TDC’s leverandørforhold til Hu awei.

Denne dialog har dels manifesteret sig i udarbejdelse af ”Skriftlig forstå else nr. 1” fra februar 2013 og ”Skriftlig forståelse nr. 2” af 11. september 2013 og dels af løbende møder, herunder et møde i november 2014 og løbende ”kvar talsmøder” , i hvert fald fra foråret 2017.

Der har endvidere været fremlagt et udkast til ”Skriftlig forståelse nr. 3” fra november 2019, som CFCS og TDC imidlertid aldrig opnåede enighed om. Landsretten lægger dog til grund, at parterne havde forhandlet herom længe, og at indholdet af udkastet i vidt om fang var udtryk for parternes standpunkter på daværende tidspunkt.

Herudover har der været en dialog mellem CFCS og Huawei i hvert fald i form af disse parters ”Fælles forståelse” af 24. april 2012. Videre har der været frem lagt en række aftaler mellem TDC og Huawei, navnlig Rammeaftalen fra 2011 og de efterfølgende forlængelser, ”Amendments” , ligesom landsretten lægger

257

til grund, at der som følge af det tætte forretningsmæssige forhold mellem TDC og Huawei har været en løbende kontakt mellem disse parter.

Endelig har der i hvert fald i et enkelt tilfælde, den 10. december 2015, været af holdt et møde med deltagelse af repræsentanter fra CFCS, TDC og Huawei, hvorfra der foreligger et dokument af 11. december 2015 med et skema med en ”Fælles status vedrørende efterlevelse af de 16 punkter i den fælles forståelse” .

Landsretten lægger efter ordlyden af dette dokument til grund, at de punkter, der blev drøftet på mødet, og som er gengivet i skemaet, er de forhold, der fremgår af den mellem CFCS og Huawei indgåede ”Fælles forståelse” af 24. april 2012.

Uanset, at det efter forklaringen fra Vidne 1 må lægges til grund, at TDC på daværende tidspunkt ikke var bekendt med, at det anførte i skemaet rent faktisk var ”Fælles forståelse” mellem CFCS og Huawei, blev TDC dog i forbindelse med mødet bekendt med indholdet heraf.

Det fremgår af pkt. 33 i Rammeaftalen mellem TDC og Huawei fra 2011, at der skulle oprettes og igennem hele kontraktens levetid opretholdes en enhed til at teste Huaweis produkter (”Testing, Verification and Certification Cell”) sva rende til det, der var oprettet i Storbritannien, altså HCSEC. Manglende efterle velse af dette ville blive betragtet som et kontraktbrud, der berettigede TDC til at hæve kontrakten.

Ved ”Fælles forståelse” mellem Forsvarsministeriet og Huawei fra 2012 blev det aftalt, at HCSEC som ”celle” skulle varetage en risikobegrænsende funktion for teleudbyderen på det danske marked og for den danske stat.

Videre fremgår det heraf, at Huawei var forpligtet til at udlevere komplet hardware- og softwa redesigninformation, herunder komplet kildekode mv., til HCSEC med henblik på, at der kunne kompileres eksekverbar kode.

Videre fremgår det af den fælles forståelse, at HCSEC skulle foretage sikkerhedsvurdering af opdateringer til software, hardware og firmware mv., som blev leveret og implementeret i teleudbyderens danske net.

Herved skulle der foretages en analyse, der kunne verificere, at enhver form for formodet ændring i software, firmware eller hardware skyldtes kundekrav og/eller produktudviklingskrav, og at de pågæl dende ændringer ikke utilsigtet eller bevidst forringede systemsikkerheden, og at dette kunne verificeres ud fra kildekoden.

Endvidere skulle der på baggrund af analysen ud fra kildekoden genereres en komplet installerbar systemsoftware (et ”image”) på betroet udstyr hos HCSEC, som svarede til det, der var på Hu awei-leveret udstyr. Der skulle også leveres en kopi af nævnte ”image” til TDC.

I ”Skriftlig forståelse nr. 1” fra foråret 2013, indgået mellem CFCS og TDC, blev det i pkt. 2 aftalt, at TDC ville sikre, at udstyr og software fra Huawei, der for ventedes benyttet i TDC’s net, blev verificeret af cellen, altså af HCSEC.

258

CFCS og TDC aftalte ved pkt. 16. i ”Skriftlig forståelse nr. 2” fra efteråret 2013, der supplerede ”Skriftlig forståelse nr. 1” , men primært angik udstyr til telenet værket (”RAN-udstyr”), at TDC skulle sikre, at selskabets kontrakter med Hu awei understøttede den skriftlige forståelse, og at det i kontrakterne skulle fast slås, at Huawei var forpligtet til at sikre, at HCSEC til enhver tid rådede over den fornødne kapacitet.

Det blev dog også aftalt, at såfremt Huawei var afskåret fra at indrette HCSEC til at sikre efterlevelse af den skriftlige forståelse, kunne der anvendes en anden tilsvarende sikkerhedsfacilitet, der var godkendt af CFCS. Videre blev det i pkt. 6. aftalt, at RAN-udstyr leveret til TDC skulle vali deres af HCSEC, herunder i form af typegodkendelse af hardware og verifika tion af softwareopdateringer.

Der blev i samme punkt aftalt en procedure for verifikation i tilfælde af større kritiske fejlsituationer.

Ved fremsendelsen af ”Skriftlig forståelse nr. 2” den 13. september 2013 tilken degav CFCS bl.a., at den godkendelsesprocedure for udstyr, komponenter og software, der var vedtaget i pkt. 6 i ”Skriftlig forståelse nr. 2” , også kunne gælde for det, der var omfattet af ”Skriftlig forståelse nr. 1” . Det samme gjorde sig gældende for bl.a. pkt. 16 i ”Skriftlig forståelse nr. 1” .

Af ”Amendment” til rammeaftalen fra 2011, underskrevet af TDC og Huawei den 1. juni 2018, hvorved der skete en forlængelse af rammeaftalen, ”Supply Agreement” og ”Support Agreement” frem til udgangen af 2021, fremgår det bl.a., at en langsigtet aftale med de danske cybersikkerhedsmyndigheder, altså CFCS, var under forhandling, og at parterne forpligtede sig til at overholde (”comply”) den aftale, der måtte blive indgået.

Indtil da forpligtede Huawei sig til at overholde sin forpligtelse til at levere relevant testning ved HCSEC, så fremt produktet skulle leveres til det engelske marked. For andre produkter ville Huawei i henhold til aftalen sikre tests ved en anden godkendt testenhed.

Landsretten lægger derfor til grund, at det mellem TDC og Huawei, mellem

CFCS og Huawei og mellem CFCS og TDC var aftalt, at der skulle ske testning af udstyr og software i HCSEC, at det mellem CFCS og Huawei var aftalt, at Huawei var forpligtet til at udlevere fuld kildekode mv. til HCSEC, og at det mellem CFCS og TDC var aftalt, at der alene kunne ske fravigelse af testning ved HCSEC, såfremt CFCS godkendte den alternative sikkerhedsfacilitet.

3.3.1.2. Ændrede forhold i 2019 og 2020 Efter bevisførelsen lægger landsretten til grund, at der fra 2019 forelå en ny situ ation som følge af, at den amerikanske regering i foråret 2019 føjede Huawei til den såkaldte ”Entity List” , hvilket indebar, at Huaweis muligheder for at an vende amerikanske produkter, software og teknologi blev stærkt begrænsede. Som det fremgår af det materiale, TDC præsenterede på kvartalsmødet med CFCS den 28. oktober 2019, ville Huawei overgå fra at anvende det tidligere U2000-management system til DWDM-netværket, der også indeholdt ameri

259

kanske komponenter, til et kinesisk produceret managementsystem, NCE-T, som udelukkende bestod af kinesiske komponenter, og som i det hele var ud viklet af Huawei. Af samme præsentationsmateriale fremgår videre, at ”compli ance” ikke var mulig som følge af, at testning i HCSEC ikke var tilgængelig el ler kun i meget begrænset omfang.

Det fremgår af materialet til kvartalsmødet mellem CFCS og TDC den 26. maj 2020, at der ikke var foretaget systemtest i HCSEC, men at der var planlagt en systemtest i sidste kvartal af 2020. Dette fremgår ligeledes af CFCS’ interne refe rat af 29. maj 2020, som Vidne 1 under sin vidneforklaring bekræftede rigtigheden af. Imidlertid fremgår det af præsentationsmaterialet fra kvartals mødet den 15. marts 2021 sammenholdt med CFCS’ interne referat fra mødet af 6. december 2021, at der ikke var sket testning i HCSEC som forudsat.

Landsretten finder, at der herefter, hvor TDC gik fra at anvende et management system til DWDM-netværket, der havde været testet i HCSEC, og som bestod af en blandet ”stack” , til en ren kinesisk produceret ”stack” , samtidig med at der ikke blev foretaget systemsikkerhedsevalueringer i HCSEC, og hvor kravet om udlevering af fuld kildekode ikke blev overholdt, bestod en helt ny sikkerheds mæssig situation, som indebar en markant øget risiko for sårbarheder i syste met.

Videre lægger landsretten vægt på, at det fremgår af konklusionerne fra den år lige rapport for 2019 fra HCSEC Oversight Board, der på vegne af de britiske myndigheder førte tilsyn med arbejdet i HCSEC, at Oversight Board kun i be grænset omfang kunne forsikre, at truslerne mod den britiske nationale sikker hed som følge af Huaweis involvering i den britiske kritiske teleinfrastruktur kunne mitigeres i tilstrækkeligt omfang på lang sigt.

Denne konklusion blev gentaget i rapporten fra 2020. Tilsvarende fremgår det af konklusionerne fra HCSEC Oversight Boards rapport fra 2021, at man i løbet af året var blevet ved med at finde forhold, der indikerede, at der ikke var sket nogen overordnet for bedring af kvaliteten af software eller cybersikkerhed.

3.3.1.3. Binær ækvivalens Den 11. maj 2021 afholdtes et møde mellem TDC og CFCS, der angik bl.a. TDC’s risikovurdering, en alternativ testplan og en tidsplan for udskiftning af Huawei DWDM-udstyr til en anden leverandør. Af opfølgningen den 12. maj 2021 på mødet, fremgår bl.a., at CFCS stillede som et krav, at TDC ved udarbej delsen af risikovurderingen skulle sikre sig, at de sikkerhedsmæssige proble mer med dårlig kodekvalitet og sikring af binær ækvivalens, som HCSEC Over sight Board havde beskrevet siden 2017, blev inddraget i risikovurderingen.

Landsretten finder, at også kravet om sikring af binær ækvivalens lå inden for rammerne af, hvad Huawei ved indgåelsen af ”Fælles forståelse” i 2012 over for

260

CFCS havde forpligtet sig til at sikre, hvilke krav som nævnt havde været gen stand for drøftelse under det fælles møde mellem CFCS, TDC og Huawei i 2015, ligesom kravet lå inden for rammerne af, hvad Huawei over for TDC havde for pligtet sig til at sikre.

3.3.1.4. Testning ved HCSEC Det lægges efter bevisførelsen, herunder forklaringerne fra Vidne 2, Vidne 6Vidne 6 Vidne 6, Vidne 1, Vidne 8, Vidne 9 og Vidne 3 til grund, at der som følge af, at HCSEC var op rettet på foranledning af britiske myndigheder og Huawei med det formål at te ste Huawei produkter til det engelske marked, i hvert fald i slutningen af perio den frem mod 2020, kun i mindre omfang skete testning i HCSEC af produkter, som skulle leveres af Huawei til TDC. Det lægges således til grund, at der i tilta gende grad ikke skete testning i HCSEC som forudsat og ønsket af både TDC og CFCS.

Videre må det efter bevisførelsen, herunder de fremlagte referater fra navnlig kvartalsmøderne mellem TDC og CFCS, udkastet til ”Skriftlig forståelse nr. 3” og vidneforklaringerne fra Vidne 2, Vidne 6, Vidne 1, Vidne 8 og til dels Vidne 3 og Vidne 14Vidne 14 Vidne 14 lægges til grund, at TDC løbende, herunder under kvartalsmøderne, konti nuerligt gav udtryk for et ønske om, at der kunne ske testning af udstyr og komponenter mv. ved andre aktører end HCSEC.

Det må endvidere efter samme bevisførelse lægges til grund, at der i et vist om fang faktisk skete testning af udstyr og komponenter mv. ved private leveran dører, herunder Atsec, hvilket CFCS i hvert fald i enkelte tilfælde havde accep teret. Vidne 14 har endvidere forklaret, at der var patches til software, der ikke blev testet, fordi det skulle gå hurtigt.

CFCS var derfor nødt til at acceptere, at der skete tests hos Atsec, fordi systemet potentielt kunne gå ned eller blive ustabilt, hvis patchen ikke blev installeret. Hensynet til forsy ningssikkerheden gjorde altså, at CFCS blev nødt til at leve med, at der ikke skete godkendelse af alle patches.

Landsretten lægger derfor til grund, at i hvert fald en del af de tests, der skete hos Atsec, var tests i henhold til pkt. 6. b. – e. i ”Skriftlig forståelse nr. 2” , hvorefter TDC kunne få foretaget tests andre steder end i HCSEC i tilfælde af fejlretning mv. af større, kritiske fejlsituationer, og hvor man af tidsmæssige årsager ikke kunne afvente testning i HCSEC.

Efter bevisførelsen, herunder forklaringen fra Vidne 1, lægger lands retten endvidere til grund, at der kun skete tests af enkelte dele hos Atsec, der således ikke foretog systemsikkerhedsevalueringer.

Uanset, at der således i et vist omfang skete testning hos Atsec, er det hverken dokumenteret eller sandsynliggjort, at CFCS på noget tidspunkt må anses for at

261

have accepteret, at kravet om testning ved HCSEC generelt set var fraveget, og i alle tilfælde ikke, at der kunne ske systemsikkerhedsevalueringer hos andre end HCSEC.

Dette er understøttet af udkastet til ”Skriftlig forståelse nr. 3” , hvoraf det frem går af udkastet til pkt. 6.a., at der var en afgørende sondring mellem sikkerhed sevalueringer og systemsikkerhedsevalueringer, hvoraf sidstnævnte kun kunne foretages af HCSEC, medmindre andet var aftalt med CFCS. Landsretten læg ger til grund, at dette var udtryk for CFCS’ standpunkt på tidspunktet for udar bejdelsen af udkastet.

Den omstændighed, at CFCS som beskrevet i nogle tilfælde accepterede test ning af enkelte dele af udstyr og komponenter mv. ved private leverandører som et alternativ til testning i HCSEC, konstituerer således hverken forvalt ningsretligt eller aftaleretligt en bindende praksis eller fravigelse af det aftalte om testning i HCSEC.

Efter bevisførelsen, herunder det anførte i Oversight Board rapporterne og for klaringen fra Vidne 3, Vidne 14 og til dels Vidne 8, lægger landsretten til grund, at HCSEC besad unikke kompeten cer i forhold til testning af udstyr, komponenter mv. fra Huawei, som andre testleverandører ikke kunne levere, og at det derfor var sagligt, at CFCS i videst muligt omfang fastholdt testning i HCSEC.

Det kan efter landsrettens opfattelse ikke tillægges afgørende betydning, at CFCS ved at opretholde de ovenfor beskrevne aftalte og meddelte krav om test ning i HCSEC og udlevering af kildekode mv. fastholdt krav til TDC, der de fa cto var umulige for TDC at overholde. Landsretten lægger herved vægt på, at kravene som nævnt på intet tidspunkt havde været frafaldet, at kravene var saglige i relation til varetagelsen af formålet om beskyttelse af risici mod statens sikkerhed, og at ansvaret for overholdelsen af kravene efter de indgåede aftaler i sidste ende påhvilede TDC.

3.3.1.5. Sammenfattende om testning ved HCSEC, fuld kildekode og binær ækvivalens På ovenstående baggrund finder landsretten, at CFCS ved afgørelsen af 21. marts 2023 angående testning i HCSEC, adgang til fuld kildekode mv. og binær ækvivalens har lagt vægt på et korrekt faktum, forfulgt et sagligt formål og med rette tillagt forholdene betydning ved sagens afgørelse.

3.3.2. Proportionalitet Af telesikkerhedslovens § 3, stk. 4, følger, at CFCS kun kan nedlægge forbud ef ter stk. 1 og 2, hvis hensynet til statens sikkerhed ikke effektivt kan varetages ved mindre indgribende foranstaltninger. Der skal altså – i overensstemmelse med det i forvaltningsretten almindeligt gældende proportionalitetsprincip, jf.

262

herved også lovens forarbejder, de specielle bemærkninger til § 3, stk. 4 – fore tages en proportionalitetsafvejning af, om formålet med forbuddet ville kunne være nået ved mindre indgribende foranstaltninger end et forbud.

Videre følger det samme sted af lovens forarbejder, at det er en forudsætning for at træffe afgørelse efter § 3, stk. 1, og 2, at CFCS har forsøgt at rådgive teleudbyderen om de tilpasninger af aftalen eller de sikkerhedsmæssige æn dringer af kritiske komponenter, systemer mv., som vil være nødvendige, for at der ikke længere vurderes at være en væsentlig trussel mod statens sikkerhed, ligesom CFCS også skal have overvejet de relevante muligheder i lov om sik kerhed i net og tjenester, herunder eksempelvis muligheden for at give påbud om, at teleudbyderen skal foretage konkrete sikkerhedsforanstaltninger.

Som beskrevet ovenfor lægges det til grund, at der igennem hele den periode, hvor der bestod et kontraktforhold mellem TDC og Huawei, var løbende kon takt mellem CFCS og TDC, som ”Skriftlig forståelse nr. 1 og 2” , kvartalsmøde rne, tilbagemeldingerne mv. er udtryk for.

Det lægges videre til grund, at CFCS i den kontakt løbende rådgav TDC om aftalegrundlaget med Huawei og de sik kerhedsmæssige aspekter af kritiske komponenter, systemer mv., som CFCS vurderede nødvendige. Herunder lægger landsretten til grund, at CFCS vej ledte og havde dialog med TDC om selskabets mulighed for, med hjemmel i pkt. 33 i Rammeaftalen mellem TDC og Huawei fra 2011, at ophæve kontrakten.

Videre må det lægges til grund, at formålet med afgørelsen af 21. marts 2023 ikke kunne være opnået ved afgørelser efter anden lovgivning, herunder lov om sikkerhed i net og tjenester, hvor der ikke var hjemmel til at nedlægge for bud mod indgåede aftaler eller levering af udstyr.

Landsretten lægger tillige vægt på, at CFCS ved tilbagemeldingen til TDC alle rede den 7. december 2020 havde anbefalet TDC at afslutte leverandørforholdet med Huawei, og at der efterfølgende var en omfattende dialog herom, men uden at det førte til en løsning, der imødekom de forhold om trusler mod sta tens sikkerhed, som bl.a. førte til den senere afgørelse af 21. marts 2023.

Endvidere lægger landsretten vægt på, at CFCS torsdag den 2. december 2021 indkaldte den øverste ledelse i TDC i form af både CEO Person 6 og bestyrelsesformand Person 8 til et møde mandag den 6. december 2021. Ifølge afsenderen af indkaldelsen, Vidne 3, var det CFCS’ vurdering, at sagens alvor nødvendiggjorde, at man involverede den øverste ledelse i TDC. Mødet med disse personer blev imidlertid ikke afholdt, idet der i stedet for blev afholdt et møde den 14. december 2021, hvor senior vice president Person 9 og bestyrelsesmedlem Vidne 4 deltog fra TDC’s side.

263

Landsretten finder på denne baggrund, at CFCS i fornødent omfang – og på flere niveauer af TDC’s organisation – havde forsøgt at rådgive TDC om de til pasninger af aftalen og de sikkerhedsmæssige ændringer af kritiske komponen ter, systemer mv., som vil være nødvendige, for at der ikke længere vurderes at foreligge en væsentlig trussel mod statens sikkerhed.

Derfor finder landsretten samlet set, at formålet med forbuddet ikke ville kunne være nået ved mindre indgribende foranstaltninger end et forbud, og at betin gelsen i telesikkerhedslovens § 3, stk. 4, derfor er opfyldt.

3.3.3. ”Særlige tilfælde” og ”en væsentlig trussel mod statens sikkerhed” 3.3.3.1.

Det retlige grundlag Det fremgår af forarbejderne til telesikkerhedsloven, de almindelige bemærk ninger, pkt. 4.1., at retten til kontradiktion og princippet om parternes ligestil ling, er fundamentale bestanddele af retten til en retfærdig rettergang i artikel 6, stk. 1, i Den Europæiske Menneskerettighedskonvention, men at rettighederne imidlertid ikke er absolutte, hvilket også gør sig gældende for adgangen til sa gens materiale.

Konventionsstaterne har således ifølge forarbejderne en skøns margin ved begrænsningen af disse rettigheder, og modstridende interesser, så som statens sikkerhed mv., skal vejes op imod partens rettigheder. Der er i den forbindelse tale om en helhedsvurdering af sagens samlede omstændigheder.

Der vil dog alene kunne ske begrænsninger i rettigheder, som ikke berører ker nen (”the very essence”) af rettighederne i artikel 6, stk. 1.

Videre fremgår det samme steds af forarbejderne, at de særlige regler for dom stolsbehandlingen, som foreslås i §§ 7- 13, med de nødvendige tilpasninger sva rer til reglerne om domstolsbehandling i kapitel 7 b og i udlændingeloven og § 8 F i lov om dansk indfødsret og varetager hensynet til, at fortrolige og sikker hedsmæssige oplysninger ikke prisgives i forbindelse med en eventuel dom stolsbehandling af en afgørelse om nedlæggelse af forbud.

Samtidig sikres det, at alle sagens oplysninger som udgangspunkt fremlægges for retten, ligesom den pågældende part beskikkes en særlig advokat til at varetage sine interesser i forhold til det materiale, der af sikkerhedsmæssige grunde vurderes ikke at kunne videregives til den pågældende. Noget tilsvarende om lovens ordning fremgår af de specielle bemærkninger til lovens § 7.

Af U 2011.2673 H og U 2011.2695 H, der begge angik prøvelser af afgørelser om udvisning af udlændinge, som var til fare for statens sikkerhed, og som i hen hold til den dagældende udlændingelovs kapitel 7 b, blev behandlet under en åben og en lukket del, fremgår, at formålet med den særlige domstolsbehand ling er at skabe en balance mellem på den ene side behovet for hemmelighol delse af oplysninger af sikkerhedsmæssige grunde og på den anden side hensy net til, at der er en reel mulighed for effektiv varetagelse af udlændingens inter

264

esser under sagen. En sådan opdeling i en lukket og åben del var ikke i strid med den europæiske menneskerettighedskonvention, jf. U 2010.2910 H.

Det fremgår af telesikkerhedslovens § 3, stk. 1 og 2, at det er en forudsætning for at nedlægge forbud i henhold til bestemmelsen, at der er tale om ”særlige tilfælde” , og at der kun kan nedlægges forbud, hvis videreførelse af en aftale, der vedrører kritiske netkomponenter, systemer og værktøjer, herunder vareta gelsen af driften heraf (stk. 1), henholdsvis anvendelse af netkomponenter, sy stemer og værktøjer mv. leveret i henhold til aftalen (stk. 2), udgør ”en væsent lig trussel mod statens sikkerhed” .

Ved vurderingen heraf kan Center for Cybersikkerhed i henhold til § 3, stk. 1, sidste pkt., og § 3, stk. 2, sidste pkt., lægge vægt på bl.a. de fire momenter, der er nævnt i lovens § 2, stk. 2, nr. 1-4, om i hvilket land bl.a. leverandøren er hjem

mehørende, om det i det land, bl.a. leverandøren er hjemmehørende i, er muligt at pålægge bl.a. leverandører at udføre eller deltage i forhold, som vil udgøre spionage eller sabotage mod Danmark, om bl.a. leverandøren direkte eller indi rekte kontrolleres af et andet lands statslige organer, herunder militære myn digheder, og om bl.a. leverandøren har været involveret i aktiviteter i Danmark eller andre lande, som har medført en negativ påvirkning af statens sikkerhed, informationssikkerheden eller den offentlige orden.

Af lovens forarbejder, de almindelige bemærkninger, pkt. 1, fremgår bl.a., at ho vedformålet med loven var at skabe hjemmel til, at telemyndighederne kan for byde konkrete leverandøraftaler vedrørende den kritiske teleinfrastruktur, hvis aftalerne vurderes at udgøre en trussel mod statens sikkerhed, at vurderingen heraf vil ske på baggrund af objektive kriterier, og at der ved lovforslaget ville blive taget et vigtigt skridt til at sikre en robust teleinfrastruktur og derigennem beskytte Danmark mod bl.a. spionage, sabotage og nedbrud af samfundskriti ske funktioner.

Der ville i henhold til forarbejderne herved ske en væsentlig re duktion af risikoen for, at Danmark kunne blive mål for pression fra fremmede stater under en konflikt.

Angående begrebet ”særlige tilfælde” fremgår det af forarbejderne til loven, de specielle bemærkninger til både lovens § 2 og til § 3, at der herved forstås til fælde, hvor der dels er tale om en trussel mod statens sikkerhed, dels ikke er mulighed for at anvende mindre indgribende midler.

Betingelsen om ”særlige tilfælde” i bestemmelsens forstand er således opfyldt, såfremt videreførelsen af aftalen mv., eller anvendelse af netkomponenter, sy stemer og værktøjer mv. leveret i henhold til aftalen, udgør ”en væsentlig trus sel mod statens sikkerhed” , jf. straks nedenfor, og hvis formålet med forbuddet ikke kunne være nået ved mindre indgribende foranstaltninger end et forbud, jf. lovens § 3, stk. 4, og nærmere afsnit 3.3.2. ovenfor.

265

Af lovens forarbejder, de almindelige bemærkninger, pkt. 3.1.3 og de specielle bemærkninger til § 2 og til § 3, fremgår, at CFCS, ved vurderingen af om en konkret aftale udgør ”en væsentlig trussel mod statens sikkerhed” , vil skulle fo retage en samlet vurdering af, om aftalen, henholdsvis netkomponenter, syste mer og værktøjer mv. leveret i henhold til aftalen, må anses for at udgøre en trussel mod statens sikkerhed.

I vurderingen kan indgå de objektive kriterier, der er nævnt i § 2, stk. 2, nr. 1-4, jf. ovenfor. Udtrykket ”statens sikkerhed” skal i henhold til forarbejderne forstås i overensstemmelse med det EU-retlige udtryk ”den nationale sikkerhed” , hvormed der som udgangspunkt hører væsentlige trusler mod samfundskritiske funktioner, herunder medarbejderes kommuni kation.

Videre fremgår det af lovens forarbejder, de specielle bemærkninger til § 3, at bestemmelsens kerneområde vil være situationer, hvor CFCS vurderer, at der nu er en risiko for, at en leverandør vil misbruge en aftale, henholdsvis de kom ponenter, systemer mv., der er leveret i henhold til en aftale, til at forberede el ler udføre sabotage mod telenettet, som kan medføre, at telenettet helt eller del vist afbrydes.

Som eksempler er i forarbejderne nævnt tilfælde, hvor CFCS vur derer, at der nu er risiko for, at leverandøren indbygger bagdøre, som gør det muligt for leverandøren at afbryde eller på anden måde foretage uautoriseret påvirkning af dele af telenettet.

Det vil i henhold til forarbejderne også være til fældet, hvis aftalen omfatter drift af systemer, hvor der nu vurderes at være ri siko for, at leverandøren gennem adgangen til systemerne vil være i stand til at foretage en hel eller delvis afbrydelse.

Som et andet eksempel er i forarbejderne nævnt situationer, hvor CFCS vurde rer, at aftalen, henholdsvis de komponenter, systemer mv., der er leveret i hen hold til aftalen, indebærer risiko for, at en leverandør vil misbruge aftalen til at foretage spionage mod samfundskritiske funktioner, herunder deres medarbej deres eller samarbejdspartneres kommunikation.

Den potentielle trussel og dennes karakter vil skulle vejes op mod karakteren af komponenten, systemet mv. Jo mere kritiske dele af telenettet, som komponenten, systemet mv. anven des i, des mindre vil der skulle til, for at der kan siges at være tale om en væ sentlig trussel mod statens sikkerhed.

Der vil endvidere kunne lægges vægt på, om et forbud vil kunne have negative konsekvenser for telenettets drift, som overstiger de potentielt negative konsekvenser, hvis den vurderede trussel bli ver en realitet

3.3.3.2. Vurderingen efter § 3, jf. § 2, stk. 2, nr. 1-4. Huawei er hjemmehørende i Kina, som Danmark efter det oplyste ikke har ind gået en sikkerhedsaftale eller tilsvarende sikkerhedssamarbejde med, og hvor det efter det oplyste om artikel 7 i den kinesiske ”National Intelligence Law” , er muligt at pålægge leverandører eller deres underleverandører at udføre eller

266

deltage i forhold, som vil udgøre spionage, jf. herved telesikkerhedslovens § 2, stk. 2, nr. 1-2. Dette er tillige understøttet af vidneforklaringen fra Vidne 3Vidne 3 Vidne 3 og den svenske Post- og Telestyrelse afgørelse af 20. oktober 2020 som stadfæstet af de svenske domstole.

CFCS har i afgørelsens begrundelse ikke henvist til oplysninger omfattet af te lesikkerhedslovens § 2, stk. 2, nr. 4, der er tilgængelige i sagens åbne del.

Lands retten finder dog efter bevisførelsen, herunder navnlig vidneforklaringen fra Vidne 13, hvorunder bl.a. oplysningerne i Medies artikel af 15. juni 2023 blev bekræftet, anledning til at bemærke, at det er sandsynliggjort, at Huawei i forbindelse med TDC’s valg af leverandør til 5G-netværket har været involveret i aktiviteter i Danmark, som har medført negativ påvirkning af den offentlige orden, jf. herved telesikkerhedslovens § 2, stk. 2, nr. 4, eller dennes analogi.

3.3.3.3. Karakteren af DWDM-netværket Som nævnt er der mellem parterne enighed om, at DWDM-netværket er en del af den kritiske teleinfrastruktur i Danmark. Dette er tillige understøttet af bevis førelsen i øvrigt, herunder forklaringerne fra Vidne 4, Vidne 3Vidne 3 Vidne 3 og Vidne 5, ligesom der ikke ses mellem parterne at være tvist om det, der er anført herom i afgørelsen af 21. marts 2023, pkt. 4.2.1.

Landsretten lægger derfor til grund, at DWDM-netværket er en helt central og essentiel del af data- og telekommunikation i Danmark. Videre lægger landsret ten efter bevisførelsen følgelig grund, at det vil få særdeles store negative kon sekvenser for det danske samfund, hvis DWDM-netværket bliver ustabilt, luk ket ned eller på anden måde kompromitteret.

Endelig lægger landsretten efter bevisførelsen, herunder forklaringerne fra vid nerne Vidne 3 og Vidne 14 til grund, at det ikke kan udelukkes, og at der dermed er en risiko for, at DWDM-netværket kan kompromitteres, herunder derved, at der i den leverede software, f.eks. ved in stallation af en opdatering, som ikke har været sikkerhedstestet, muligt gennem en ”out of band” , kan indbygges en bagdør, som kan give adgang til DWDM- udstyret, herunder NCE-T styresystemet, hvorved man ville kunne gøre net værket ustabilt eller i værste fald afbryde det eller aflæse data herfra.

Det kan ikke tillægges afgørende betydning, at der ikke er oplyst om konkrete tilfælde, hvor DWDM-netværket har været eller har været forsøgt kompromit teret, idet landsretten bemærker, at der i hverken lovens ordlyd eller forarbej der er krav herom. Derimod fremgår det som nævnt af lovens forarbejder, at jo mere kritiske dele af telenettet, som komponenten, systemet mv. anvendes i, des mindre vil der skulle til, for at der kan siges at være tale om en væsentlig trussel mod statens sikkerhed.

267

Det i forarbejderne, de specielle bemærkninger til § 3, omtalte om, at ”truslen er mere konkretiseret” angår efter landsrettens opfattelse den situation, at CFCS efter lovens § 2 ikke har fundet anledning til at nedlægge et forbud mod indgå elsen af en aftale, men hvor efterfølgende forhold ved samme aftaleforhold vi ser sig senere at udgøre en trussel mod statens sikkerhed.

Da vil der skulle være tale om, at de efterfølgende forhold udgør en væsentlig trussel mod statens sik kerhed, som er mere konkretiseret, end da aftalen først blev indgået, og der ikke blev nedlagt et forbud efter § 2.

Dette krav kan ikke antages at gælde i den fore liggende situation, hvor loven ikke var trådt i kraft, da TDC oprindeligt indgik aftalen med Huawei, hvorfor der i sagens natur ikke kan være tale om vurde ring af efterfølgende forhold, som skulle være mere konkretiserede.

3.3.3.4.Sammenfattende om ”særlige tilfælde” og ”en væsentlig trussel mod statens sikkerhed” under sagens åbne del På ovenstående baggrund finder landsretten, at CFCS’s vurdering af, at videre

førelse af ”Amendment 4” , samt anvendelse af netkomponenter, systemer og værktøjer mv. leveret i henhold til ”Amendment 4” , udgør en ”væsentlig trus sel” mod statens sikkerhed, jf. herved telesikkerhedslovens § 3, stk. 1 og 2, er faktuelt underbygget i det materiale, der er fremlagt under sagens åbne del, idet der herved også henvises til afsnittet ovenfor angående testning ved HCSEC, fuld kildekode og binær ækvivalens (afsnit 3.3.1.).

3.3.3.5. Sagens lukkede del Det fremgår af forarbejderne til telesikkerhedsloven, de specielle bemærkninger til § 11, at rettens afgørelse affattes under hensyntagen til, at der kan være op lysninger, der er indgået i CFCS’ afgørelse, som af sikkerhedsmæssige grunde ikke kan videregives til parten.

Det er derfor i forarbejderne forudsat, at rettens afgørelse affattes og begrundes på grundlag af sagens åbne materiale, som par ten har kendskab til og har haft lejlighed til at kommentere, men således at ret ten i sin afgørelse kan henvise til, at oplysninger i det åbne materiale er godt gjort eller sandsynliggjort i de fortrolige oplysninger, som er fremlagt for retten og den særlige advokat.

Landsretten finder som nævnt, at opfyldelsen af betingelserne ”væsentlig trus sel mod statens sikkerhed” og ”særlige forhold” i telesikkerhedslovens § 3, er tilstrækkeligt godtgjort i den åbne del af sagen.

Landsretten finder dog anledning til at bemærke, at det ovenfor anførte i afsnit 3.3.3.2. angående telesikkerhedslovens § 3, jf. § 2, stk. 2, nr. 1-4, afsnit 3.3.3.3. an gående karakteren af DWDM-netværket og afsnit 3.3.3.4. angående en sammen fatning af afsnit 3.3.3. tillige er sandsynliggjort i de oplysninger, der er frem kommet under sagens lukkede del, mens det i det ovenfor i afsnit 3.3.2. om pro portionalitet anførte ikke er afsvækket i de fortrolige oplysninger, der er frem kommet under sagens lukkede del.

268

3.3.3.6. Konklusion angående ”særlige tilfælde” og ”en væsentlig trussel mod statens sikkerhed” På ovenstående grundlag, og da der ikke i øvrigt findes grundlag for at tilside sætte CFCS’ vurdering, finder landsretten det således godtgjort, at der den 21. marts 2023, hvor CFCS traf afgørelse, både forelå ”særlige tilfælde” , og at vi

dereførelse af TDC’s aftale med Huawei ved ”Amendment 4” ,der vedrørte kri tiske netkomponenter, systemer og værktøjer, herunder varetagelsen af driften heraf (stk. 1), henholdsvis anvendelse af netkomponenter, systemer og værktø jer mv. leveret i henhold til aftalen (stk. 2), udgjorde ”en væsentlig trussel mod statens sikkerhed” .

3.3.4. Øvrige forhold 3.3.4.1. Den særlige advokat og kontradiktion Efter det anførte i forarbejderne til telesikkerhedsloven sammenholdt med U 2010.2910 H, U 2011.2673 H og U 2011.2695 H finder landsretten, at opdelingen af sagen i en åben og lukket del er i overensstemmelse med kravene i artikel 6, stk. 1, i Den Europæiske Menneskerettighedskonvention, men at det under sa gen skal sikres, at TDC via kontradiktion har haft en reel mulighed for effektiv varetagelse af sine interesser.

Det bemærkes, at rettens prøvelse efter på den ene side udlændingelovens kapi tel 7 b og § 8 F i lov om dansk indfødsret, og på den anden side prøvelsen efter telesikkerhedslovens §§ 7- 13 ikke fuldstændig kan sidestilles, da den først nævnte prøvelse angår fortrolige oplysninger angående parten selv (udlændin gen), mens den sidstnævnte prøvelse angår fortrolige oplysninger, der ikke di rekte angår parten selv.

Hertil kommer, at kravet om kontradiktion, herunder muligheden for, at den særlige advokat kan drøfte sagens oplysninger med parten, TDC, må angå de væsentlige forhold, der er blevet lagt vægt på i den afgørelse, der er til prøvelse. Således kan det ikke kræves, at den særlige advokat har anledning til med par ten at drøfte ethvert detailforhold, der er indgået i sagens omfattende materiale, for at kunne varetage partens interesser under sagens lukkede del.

Som nævnt ovenfor i afsnit 3.3.3.5. finder landsretten, at oplysningerne angå ende ”en væsentlig trussel mod statens sikkerhed” og ”særlige forhold” , jf. te lesikkerhedslovens § 3, er tilstrækkeligt godtgjort i den åbne del af sagen.

På ovenstående grundlag og efter en samlet vurdering finder landsretten, at TDC via kontradiktion har haft en reel mulighed for effektiv varetagelse af sine interesser under sagen.

3.3.4.2. Hjemmelsmangler i øvrigt

269

Efter det ovenfor under afsnit 3.2. og 3.3. anførte finder landsretten, at der ikke er grundlag for at antage, at afgørelsen af 21. marts 2023 ikke havde tilstrække lig hjemmel i telesikkerhedslovens § 3 og § 17, eller at afgørelsen i øvrigt lider af hjemmelsmangler.

3.3.4.3. Officialprincippet Endvidere finder landsretten, at der med det under sagen fremkomne ikke er grundlag for at antage, at CFCS ved tilblivelsen af afgørelsen har tilsidesat offi cialprincippet eller baseret afgørelsen på et ukorrekt eller misvisende faktum.

3.3.4.4. Adressaten for påbuddet af 30. november 2020 Det fremgår af påbuddet af 30. november 2020, at dette er adresseret til TDC Group A/S. TDC har under retssagen gjort gældende, at påbuddet er uden retsvirkning for selskabet under henvisning til, at rette adressat for afgørelsen var TDC (”TDC NET A/S”), hvilket parterne i øvrigt er enige om.

Henset til, at det af afgørelsen fremgår, at den angår aftalen af 7. december 2020

(”Amendment 4”) indgået mellem TDC (”TDC NET A/S”) og Huawei, at TDC de facto har overholdt påbuddet, og at der ikke forud for, at sagen blev anlagt i august 2023 har været rejst indsigelser herimod, finder landsretten, at TDC ikke på noget tidspunkt kan anses for at have været i tvivl om, hvem påbuddet var rettet mod. Angivelsen af TDC Group A/S som adressat for påbuddet kan der for ikke føre til, at TDC (”TDC NET A/S”) ikke er bundet heraf.

3.3.4.5.

Tidspunktet for iværksættelse af høring over lovforslag nr. 190 af 10. marts 2021 Efter en samlet vurdering af forløbet frem til den 7. december 2020, formålet med telesikkerhedsloven, oplysningen om, at afgørelsen af 21. marts 2023 er den eneste afgørelse, der er truffet efter loven, samt den omstændighed, at loven for så vidt angår bl.a. § 3 har tilbagevirkende kraft for afgørelser, der ind gås fra netop den 7. december 2020, jf. § 17, stk. 2, finder landsretten det ube tænkeligt at lægge til grund, at det ikke beror på et tilfældigt tidsmæssigt sam mentræf, at iværksættelsen af høringen over lovforslaget skete samme dag som CFCS gav en tilbagemelding på det fremsendte udkast til ”Amendment 4” , så ledes at TDC tidligst netop denne dato kunne indgå aftalen, jf. nærmere afsnit 3.2. ovenfor, og at datoen anført i lovens § 17, stk. 2, skal ses i samme lys.

Idet TDC ikke har anfægtet selve den omstændighed, at loven blev vedtaget med tilbagevirkende kraft som beskrevet, og da der som nævnt ikke er grund lag for at tilsidesætte afgørelsen angående telesikkerhedslovens § 3, som blev truffet for at forfølge et lovligt og sagligt formål, finder landsretten, at sammen hængen mellem tilbagemeldingen på aftaleudkastet og høringen over lovudka stet samme dag ikke, som anført af TDC, indebærer, at det er CFCS, der skal be vise, at der ikke er sket en uhensigtsmæssig sammenblanding af den udøvende

270

og lovgivende magt, eller at CFCS på dette grundlag er erstatningsansvarlig over for TDC.

Uanset, om det måtte lægges til grund, at der fra politisk side fra foråret 2020 var et ønske om at begrænse kinesiske leverandører til den kritiske teleinfra struktur, er det ikke med det under sagen fremkomne sandsynliggjort, endsige godtgjort eller bevist, at afgørelsen af 21. marts 2023 har været båret af politiske hensyn.

Ligeledes kan det – uanset om det måtte lægges til grund, at TDC af højtstående embedsmænd var blevet lovet at få telesikkerhedsloven i en fortrolig præhøring – ikke tillægges betydning for de spørgsmål, der er til prøvelse under denne sag, at dette ikke skete.

3.3.4.6. Høringen over CFCS’ udkast til afgørelse Det er under sagen oplyst, at der er forskelle i det udkast til afgørelse, CFCS hørte TDC over, og den endelige afgørelse af 21. marts 2023.

Landsretten finder, at der ikke er grundlag for at antage, at den omstændighed, at der fra udkastet til den endelige afgørelse og indtil den endelige afgørelse, navnlig som følge af TDC’s høringssvar, skete væsentlige ændringer, var båret af usaglige hensyn, eller at dette kan føre til, at CFCS er erstatningsansvarlige over for TDC.

Det bemærkes herved, at det er afgørelsen af 21. marts 2023, der er til prøvelse.

3.3.4.7. Afviklingsfristen Det fremgår af telesikkerhedslovens § 3, stk. 3, at CFCS kan fastsætte en frist for, hvornår en aftale skal være afviklet efter bestemmelsens stk. 1, eller hvornår anvendelse af kritiske komponenter mv. skal være ophørt efter bestemmelsens stk. 2.

Det fremgår af lovens forarbejder, de specielle bemærkninger til bestem melsen, at CFCS efter høring af teleudbyderen foretager en vurdering af på den ene side behovet for hurtigst muligt at fjerne en væsentlig trussel mod statens sikkerhed og på den anden side hensynet til den fortsatte og stabile drift af den kritiske teleinfrastruktur.

Videre fremgår det samme sted, at nedlæggelse af for bud således ikke bør føre til, at der sker afbrydelser på telenettet, fordi teleud byderen ikke har haft mulighed for at indgå eller implementere en ny aftale, hvorfor CFCS som udgangspunkt bør fastsætte en nærmere frist, som er baseret på, hvornår en loyalt agerende teleudbyder kan have taget de nødvendige for holdsregler.

I afgørelsen af 21. marts 2023 blev fristen for afvikling af ”Amendment 4” fast sat til den 31. december 2026 og fristen for ophør med at anvende de i henhold til ”Amendment 4” leverede kritiske netkomponenter, systemer mv. til den 1.

271

januar 2027. Dermed blev der fastsat en længere frist end angivet i høringsskri velsen af 10. oktober 2022. Det anføres i afgørelsen, at CFCS herved har imøde kommet TDC’s anmodning om en afviklingsfrist på fire år, ligesom det anføres, at CFCS under visse betingelser efter anmodning fra TDC vil være indstillet på at genoptage afgørelsen for så vidt angår spørgsmålet om fristfastsættelsen.

På denne baggrund samt efter det oplyste om TDC’s indgåelse af en aftale med Ciena om installation af det nye DWDM-netværk finder landsretten, at der ikke er grundlag for at tilsidesætte fristerne den 31. december 2026 for afvikling af ”Amendment 4” , henholdsvis den 1. januar 2027 for ophør med at anvende det i henhold til ”Amendment 4” leverede kritiske netkomponenter, systemer mv.

3.3.5. ”Radiokædenetværket” Det er under sagen oplyst, at det af Huawei leverede NCE-T managementsy stem også anvendes i det såkaldte ”radiokædenetværk” , hvor datatransmissio nen foregår via radiomaster i en kæde. Radiokædenetværket anvendes som al ternativ til fibernetværk i områder over hele Danmark, hvor det er vanskeligt eller ikke-rentabelt at nedgrave fibernet.

Parterne er uenige om, hvorvidt sagen også omhandler NCE-T managementsy stemet i radiokædenetværket. TDC har i den forbindelse under sagen oplyst, at en udskiftning af NCE-T managementsystemet i radiokædenetværket vil inde bære en udgift på 60-100 mio. kr.

CFCS har under sagen oplyst, at TDC kan fortsætte med at anvende NCE-T ma nagementsystemet til styring af radiokædenetværket under givne forudsætnin ger, som TDC selv har indflydelse på. Herved har CFCS henvist til brev til TDC af 31. august 2023, hvoraf fremgår bl.a., at NCE-T efter omstændighederne fort sat vil kunne anvendes til radiokæde efter den 1. januar 2027, i det omfang der for anvendelsen af NCE-T til radiokæde kan etableres og påvises et regime, der vurderes som sikkerhedsmæssigt forsvarligt.

På denne baggrund har CFCS gjort gældende, at afgørelsen af 21. marts 2023 ikke udelukker TDC’s anvendelse af NCE-T managementsystemet til styring af radiokædenetværket. Da der ikke foreligger nogen afgørelse, der udelukker an vendelse af NCE-T managementsystemet til styring af radiokædenetværket, er spørgsmålet ikke omfattet af landsrettens prøvelse under denne sag.

Idet landsretten herefter lægger til grund, at NCE-T managementsystemet til styring af radiokædenetværket ikke nødvendigvis er omfattet af forbuddet i af gørelsen af 21. marts 2023, hvilket i øvrigt er understøttet af, at TDC under ho vedforhandlingen overbragte en ansøgning om en tilpasning af NCE-T manage mentsystemet til styring af radiokædenetværket til CFCS’ repræsentanter, fin der landsretten, at spørgsmålet om afgørelsens rækkevidde i forhold til NCE-T

272

managementsystemet til styring af radiokædenetværket ikke har en sådan kon kret karakter, at det kan indgå i prøvelsen af sagen. Landsretten bemærker her ved også, at TDC’s påstand 5, der er en nærmere specificeret betalingspåstand, ikke indeholder delkrav, der er relateret til udskiftning af NCE-T management systemet til styring af radiokædenetværket.

3.4. Sammenfatning om afgørelsens hjemmel og begrundelse for forbuddet efter telesik -kerhedslovens § 3 På den anførte baggrund er der således ikke grundlag for at tilsidesætte den del af CFCS’ afgørelse af 21. marts 2023, der angår anvendelsen af telesikkerhedslo vens § 3, ligesom der ikke er grundlag for at antage, at afgørelsen lider af hjem melsmangler.

Der er følgelig heller ikke grundlag for at fastslå, at CFCS som følge af forhold ved afgørelsen af 21. marts 2023 er erstatningsansvarlig over for TDC, hvorfor CFCS frifindes for TDC’s påstand 1 og 3.

4. Ekspropriation 4.1. Betingelserne for ekspropriation Af grundlovens § 73, stk. 1, fremgår, at ejendomsretten er ukrænkelig, og at in gen kan tilpligtes at afstå sin ejendom, uden hvor almenvellet kræver det, lige som ekspropriation kun kan ske ifølge lov og mod fuldstændig erstatning, jf. herved også artikel 1 i tillægsprotokol 1 til Den Europæiske Menneskerettig hedskonvention og artikel 17 i EU’s charter om grundlæggende rettigheder.

I telesikkerhedsloven er det lagt til grund, at afgørelser efter telesikkerhedslo vens §§ 2-3 kan indebære ekspropriation, idet det af lovens § 4, stk. 2, fremgår, at der ydes fuldstændig erstatning til den eller de berørte parter, såfremt en af gørelse efter disse bestemmelser udgør et ekspropriativt indgreb.

Det er almindeligt antaget, at det er en betingelse for, at der foreligger eksprop riation efter grundlovens § 73, stk. 1, at der er tale om indgreb i ”ejendom” , at

det, indgrebet retter sig imod, indehaves af en ejer, som er beskyttet af bestem melsen, og at indgrebet har karakter af afståelse. Parterne er enige om, at de to førstnævnte betingelser er opfyldt.

CFCS har derimod i afgørelsen anført – og under sagen gjort gældende – at det indgreb i TDC’s ejendom, som afgørelsen udgør, ikke har karakter af afståelse og dermed ikke er ekspropriativt.

Almindeligvis er det antaget, hvilket tillige er lagt til grund i CFCS’ afgørelse af 21. marts 2023, at vurderingen af, om der foreligger afståelse, skal ske efter en samlet vurdering, hvori indgår indgrebets intensitet, indgrebet begrundelse

273

(causa), indgrebets generelle eller konkrete karakter, og om der sker en overfør sel af rettigheder fra den hidtidige ejer til en ny.

4.2. Indgrebets intensitet Det fremgår af afgørelsen af 21. marts 2023, at fastsættelsen af afviklingsfristen, hvorved denne er to år længere end aftalens udløb, medfører, at forbuddet i re lation til opretholdelsen af aftalen har en meget begrænset intensitet. Det er dog i afgørelsen også anerkendt, at den omstændighed, at TDC ikke havde mulig hed for at udnytte optionen på at forlænge supportaftalen, ligesom TDC ville være afskåret fra at anvende udstyr indkøbt under aftalen, i sagens natur ville have ”en vis forstyrrende indvirkning på TDC’s virksomhed og være forbundet med økonomiske konsekvenser” .

I forarbejderne til telesikkerhedsloven, de specielle bemærkninger til § 4, er det anført bl.a., at afgørelser efter lovens § 3 kan udgøre indgreb mod konkrete afta ler, som efter omstændighederne vil kunne være af betydelig intensitet over for den pågældende aftalepart, hvorfor det er anført, at det ikke kan udelukkes, at et forbud efter omstændighederne vil kunne anses for at være ekspropriativt.

Som anført ovenfor under afsnit 1 er der mellem parterne enighed om, at det ikke er praktisk muligt at adskille det udstyr og de komponenter mv., der er le veret i henhold til ”Amendment 4” fra det udstyr og komponenter mv., der i øvrigt er leveret i henhold til rammeaftalen fra 2011 mellem TDC og Huawei. Forbuddet i afgørelsen mod anvendelse af udstyr leveret i henhold til ”Amend ment 4” angår således reelt også udstyr leveret fra rammeaftalens indgåelse i 2011 og indtil ”Amendment 4” trådte i kraft pr. 1. januar 2022.

Landsretten lægger til grund, at TDC ved indgåelsen af rammeaftalen og de føl gende år, i hvert fald frem til december 2015, hvor der blev afholdt et møde mellem TDC, Huawei og CFCS angående opfølgning på bl.a. sikkerhedsmæs sige udfordringer, ikke havde nogen grund til at tro, at de danske myndigheder anså forholdet til Huawei for at være så problematisk, at et forbud kunne komme på tale.

På dette grundlag finder landsretten, at TDC altså fra 2011 uden kendskab til de forhold, der senere blev problematiseret, havde indrettet sig på at skulle have et længerevarende leverandørforhold til Huawei, og i flere år i god tro og i tillid hertil fik leveret udstyr, komponenter mv. fra Huawei til etablering og drift af DWDM-netværket.

Videre lægger landsretten efter bevisførelsen til grund, at forbuddene i afgørel sen af 21. marts 2023 har indebåret særdeles store praktiske og økonomiske konsekvenser for TDC, der har været nødsaget til at udskifte hele DWDM-net værket. Den omstændighed, at TDC er et stort selskab med et betydeligt an

274

lægsbudget og en organisation med en stor kapacitet, kan ikke ud fra en be tragtning om relativitet i sig selv føre til, at indgrebet ikke kan betragtes som økonomisk eller praktisk intensivt.

Den relativt lange afviklingsfrist i afgørelsen kan heller ikke føre til, at indgre bet ikke kan betragtes som intensivt, idet det efter de fremlagte oplysninger om udbudsprocessen og arbejdet med at indkøbe og installere det nye DWDM-ud styr fra Ciena, hvilket er understøttet af vidneforklaringerne fra Vidne 6, Vidne 10 og Vidne 12, må lægges til grund, at TDC påbegyndte processen med udskiftningen kort tid efter forbuddet var ble vet meddelt, og at denne proces står på i hele perioden frem mod årsskiftet 2026/2027, hvor forbuddet henhold til både telesikkerhedslovens § 3, stk. og 2, i afgørelsen af 21. marts 2023 træder i kraft.

Det bemærkes også, at konsekvenserne af afgørelsen både havde indvirkning på TDC’s aktuelle råden i form af fortsat drift af det allerede indkøbte udstyr, samt fremtidig udnyttelse af denne ret i form at eventuelle forlængelsesaftaler med Huawei.

Sammenfattende finder landsretten på ovenstående grundlag, at CFCS’ afgø relse af 21. marts 2023 har en meget betydelig intensitet i forhold til TDC, der blev hårdt ramt af indgrebet, og at dette med betydelig vægt taler for, at afgø relsen var udtryk for ekspropriation.

4.3. Indgrebets begrundelse (causa) Det fremgår af forarbejderne til telesikkerhedsloven, de specielle bemærkninger til § 4, at indgreb efter bl.a. § 3, stk. 1 og 2, altid vil have til formål at beskytte statens sikkerhed, og at navnlig det forhold, at forbud mod opretholdelse af en indgået aftale efter § 3, stk. 1, eller anvendelse af kritiske komponenter, syste mer mv. efter § 3, stk. 2, vil være begrundet i hensyn til statens sikkerhed, må antages at tale med en vis vægt imod, at der vil være tale om ekspropriation.

Som anført ovenfor under afsnit 3 finder landsretten, at der ikke er grundlag for at tilsidesætte den del af CFCS’ afgørelse af 21. marts 2023, der angår anvendel sen af telesikkerhedslovens § 3, hvorfor det lægges til grund, at afgørelsen blev truffet for at afværge en væsentlig fare (risiko mod statens sikkerhed) og såle des varetog betydelige samfundsmæssige interesser.

Som videre anført ovenfor, under afsnit 4.2, finder landsretten, at TDC ikke har udvist bebrejdelsesværdig adfærd i perioden fra indgåelsen af rammeaftalen i 2011 og i hvert fald frem til 2015. Derimod finder landsretten, at TDC senere i forløbet af CFCS blev advaret om de tiltagende sikkerhedsmæssige problemer med at benytte Huawei som leverandør. Landsretten lægger herved, som også anført i afgørelsen af 21. marts 2023, til grund, at TDC’s daværende sikkerheds

275

chef og legal director i 2017 modtog en klassificeret briefing fra CFCS om de problemer, som CFCS havde identificeret i samarbejdet med Huawei, at der var

en markant ændret sikkerhedsmæssig situation i 2019/2020 som beskrevet ovenfor, under afsnit 3.3.1.2, ligesom at TDC i slutningen af 2020 og i 2021 af CFCS flere gange blev anbefalet at afslutte leverandørforholdet, hvilket TDC havde hjemmel til i bl.a. pkt. 33 i rammeaftalen fra 2011. Der henvises også til det ovenfor under pkt. 3.3.2 om proportionalitet anførte om, at formålet med af gørelsen ikke ville kunne være nået ved mindre indgribende foranstaltninger end et forbud.

Sammenfattende finder landsretten, at indgrebets begrundelse (causa) sammen holdt med TDC’s adfærd med betydelig vægt taler for, at CFCS’s afgørelse af 21. marts 2023 ikke var udtryk for ekspropriation.

4.4. Indgrebets generelle eller konkrete karakter CFCS har i afgørelsen af 21. marts 2023 anført, at selv om indgrebet konkret rammer TDC, er indgrebet udslag af anvendelse af generelle regler og en vur dering ud fra saglige og objektive kriterier, hvorfor det ikke rammer TDC vil kårligt. Videre er det anført, at indgrebet er hjemlet ved en særlovgivning, der har haft virkning siden der blev foretaget offentlig høring over lovforslaget, hvorfor TDC siden da har haft viden om, at selskabet kunne blive genstand for et forbud.

Landsretten tiltræder, at telesikkerhedsloven er formuleret som generelle regler, og at TDC ikke rammes vilkårligt, men bemærker, at kredsen af de teleselska ber, der kan blive ramt af et forbud i henhold til telesikkerhedsloven, jf. den le gale definition i lovens § 1, nr. 3, er snæver.

Som anført ovenfor, afsnit 3.3.4.5., finder landsretten det endvidere ubetænke ligt at lægge til grund, at det ikke beror på et tilfældigt tidsmæssigt sammen træf, at iværksættelsen af høringen over lovforslaget skete samme dag, den 7. december 2020, som CFCS gav en tilbagemelding på det fremsendte udkast til ”Amendment 4” , således at TDC tidligst netop denne dato kunne indgå aftalen, og at netop den 7. december 2020 af samme grund blev fastsat som ikrafttrædel sestidspunkt for den del af loven, der gjaldt med tilbagevirkende kraft, idet loven i øvrigt havde ikrafttræden den 1. juli 2021.

Der henvises herved også til det ovenfor under afsnit 3.2. anførte angående lovens § 17.

Landsretten finder det på denne baggrund videre ubetænkeligt at lægge til grund, at den nævnte tilrettelæggelse skete med henblik på at muliggøre ned læggelsen af et forbud over for TDC angående leverandørforholdet med Hu awei som sket ved den senere afgørelse af 21. marts 2023.

276

Endelig lægger landsretten efter det oplyste til grund, at afgørelsen af 21. marts 2023 er den eneste afgørelse, der er blevet truffet i henhold til telesikkerhedslo vens § 3.

Sammenfattende finder landsretten på ovenstående grundlag, at indgrebet havde en særdeles konkret karakter rettet mod TDC, og at forløbet med betyde lig vægt taler for, at CFCS’s afgørelse af 21. marts 2023 var udtryk for ekspropri ation.

4.5. Overførsel af rettigheder Det er i afgørelsen af 21. marts 2023 anført, at CFCS ved vurderingen af, at afgø relsen ikke udgør et ekspropriativt indgreb, har lagt vægt på, at TDC’s rettighe der ikke overføres til en anden part, og at afgørelsen alene indebærer, at TDC begrænses i sin råden i henhold til indgåede aftaler og i at anvende allerede le veret udstyr.

Det er ubestridt, at der ved afgørelsen ikke sker overførsel af rettigheder fra en tidligere ejer (TDC) til en ny ejer. Derimod har afgørelsen af 21. marts 2023 den konsekvens, at TDC måtte ophøre med sit leverandørforhold til Huawei angå ende DWDM-netværket, som havde stået på siden 2011, ligesom TDC blev tvunget til at udskifte hele DWDM-netværket, og altså også de dele, der var le veret i perioden fra 2011 og indtil ”Amendment 4” trådte i kraft pr. 1. januar 2022. Der er således tale om tilintetgørelse af TDC’s rettigheder.

Efter bevisførelsen, herunder skønsmandens besvarelse af spørgsmål 3, 4, 7, 11 og II, samt forklaringerne fra Vidne 2, Vidne 10, Vidne 11 og til dels Vidne 7 lægger landsretten til grund, at TDC havde været til fredse med leverandørforhold til Huawei, og at der for TDC ikke var nogen økonomisk, kommerciel eller teknisk grund til at udskifte Huawei som leveran dør af DWDM-netværket.

Videre lægger landsretten til grund, at den tvungne afslutning af leverandørfor holdet til Huawei og den deraf følgende udskiftning af DWDM-netværket skete på et tidspunkt, TDC ikke selv havde valgt, ligesom selskabet ved det efterføl gende udbud var begrænset i sit valg af leverandører. Begge dele stillede utvivlsomt TDC dårligere kommercielt.

Uanset, at der som nævnt ikke var tale om overførsel af rettigheder, finder landsretten, at den ved afgørelsen skete tilintetgørelse af rettigheder i form af TDC’s ret til anvendelse af allerede indkøbt og installeret udstyr mv. samt TDS’s ret til at opretholde et leverandørforhold til Huawei, hvilke rettigheder var af privatretlig karakter, i hvert fald til dels må sidestilles med overførsel af rettigheder.

277

Sammenfattende finder landsretten, at disse forhold med nogen vægt taler for, at CFCS’s afgørelse af 21. marts 2023 var udtryk for ekspropriation.

4.6. Sammenfatning om ekspropriation Det er ubestridt, at almenvellet – af hensyn til statens sikkerhed, jf. herved det anførte ovenfor, afsnit 3 og 4.3. – krævede, at der skete ekspropriation, ligesom ekspropriationen er hjemlet i telesikkerhedslovens § 4.

Betingelserne i grundlovens § 73, stk. 1, for, at der foreligger ekspropriation, er derfor opfyldt.

På ovenstående baggrund, og efter en samlet vurdering, hvor også beskyttelses hensynet bag grundlovens § 73, stk. 1, er indgået, finder landsretten herefter, at CFCS’s afgørelse af 21. marts 2023 var udtryk for ekspropriation over for TDC, hvorfor TDC’s påstand 4 tages til følge.

Landsretten finder, at der ikke er grundlag for mod TDC’s protest at hjemvise sagen til fornyet behandling med henblik på administrativ udmåling af ekspro priationserstatningen ved CFCS, der ikke er sagkyndig myndighed herfor. Landsretten tager derfor TDC’s betalingspåstand under pådømmelse.

5. Opgørelsen af ekspropriationserstatningen 5.1. Udgangspunktet for erstatningsopgørelsen Som anført ovenfor er CFCS’s afgørelse af 21. marts 2023 udtryk for ekspropria tion, hvorfor TDC er berettiget til fuld erstatning, jf. grundlovens § 73, stk. 1, og telesikkerhedslovens § 4, stk. 2.

Kravet om ”fuld erstatning” indebærer, at TDC’s skal have erstattet ethvert økonomisk tab, som er en adækvat følgeaf ekspropriationen med henblik på, at TDC i økonomisk forstand i videst muligt omfang stilles, som om indgrebet ikke havde fundet sted. Erstatningen, der under de foreliggende omstændighe der må tage udgangspunkt i genanskaffelsesværdien, skal dog fastsættes i hen hold til almindelige erstatningsretlige grundsætninger, herunder berigelses grundsætningen, hvorefter TDC ikke må stilles økonomisk bedre, end hvis ind grebet ikke havde fundet sted.

5.2. TDC’s opgørelse af erstatningskravet Som anført ovenfor er der mellem parterne enighed om, at afgørelsen af 21. marts 2023 nødvendiggør en total udskiftning af det af Huawei leverede DWDM-netværk, herunder hardware, software, firmware, support mv., omfat tende udstyr mv. leveret fra rammeaftalens indgåelse i 2011 og indtil ”Amend ment 4” trådte i kraft pr. 1. januar 2022.

278

Som ligeledes anført ovenfor lægger landsretten til grund, at TDC påbegyndte processen med udskiftningen, kort tid efter forbuddet var blevet meddelt, og at denne proces siden da har stået på og fortsætter frem mod årsskiftet 2026/2027.

TDC har under sagen fremlagt en lang række fakturaer fra navnlig den nye le verandør af DWDM-netværket, Ciena, samt en række ordrer (”quotes”) fra samme, der imidlertid endnu ikke er faktureret til eller betalt af TDC.

Endvi dere har TDC fremlagt en række fakturaer for fiberleje og leje af ”co-locations” , primært i udlandet, ligesom der er fremlagt oplysninger om forøget strømfor brug ved at have to parallelle DWDM-netværk i drift. TDC har også fremlagt et særdeles omfattende materiale angående registrering af tid for egne medarbej dere, der ifølge TDC har deltaget i udskiftningen af DWDM-netværket og dertil knyttede opgaver.

Det fremgår af skønsmandens besvarelse af spørgsmål 7, 8 og II, at TDC ikke har opnået eller vil opnå relevante økonomiske besparelser ved udskiftningen af det af Huawei leverede udstyr med det af Ciena leverede udstyr, ligesom skønsmanden ved besvarelsen af spørgsmål IG har anført, at det i en periode vil være forbundet med meromkostninger for TDC at have to parallelle DWDM-netværk i drift.

Landsretten lægger derfor til grund, at TDC har haft et betydeligt økonomisk tab, der kan kræves erstattet.

Det af TDC opgjorte tab er imidlertid forbundet med en række betydelige usik kerhedsmomenter, der har væsentlig betydning for opgørelsen af erstatningen. Således indeholder betalingspåstanden for så vidt angår alle erstatnings posterne både afholdte og forventede, fremtidige udgifter, men med forskellige skæringsdatoer, nemlig pr. 1. februar 2026, henholdsvis et ”forventet domstids punkt” , som imidlertid ikke har været TDC bekendt.

Udgifterne til indkøb af Ciena DWDM-netværket har endvidere været delt yderligere op, idet de ”afholdte/påløbne” omkostninger indeholder beløb, der ifølge TDC allerede er betalt, udgifter, hvor TDC forventede at modtage faktu raer på afgivne ordrer (”quotes”), ”Purchase and Licence Orders” for indkøb re lateret til den sidste del af udskiftningen, som ifølge TDC forventedes at være faktureret på domstidspunktet, samt 1/3 af estimatet over yderligere indkøb i andet kvartal 2026.

Der er således ikke sket en klar sondring mellem allerede af holdte og betalte udgifter over for fremtidige, forventede udgifter, som efter landsrettens opfattelse ikke er så konkretiserede, at de på nuværende tidspunkt kan kræves betalt.

Endvidere har TDC – på trods af skriftveksling herom – ikke redegjort for be tydningen af, at TDC på et tidspunkt under alle omstændigheder ville have ud

279

skiftet det af Huawei leverede DWDM-netværk. Uanset at landsretten efter be visførelsen lægger til grund, at Huaweis udstyr havde en lang levetid, finder landsretten det ubetænkeligt at lægge til grund, at TDC på et tidspunkt, uaf hængigt af afgørelsen af 21. marts 2023, ville have udskiftet det af Huawei leve rede DWDM-netværk, og at der ved TDC’s opgørelse af erstatningen burde have været taget højde herfor.

TDC har således ikke godtgjort, at der er grundlag for at opgøre tabet ved ind købet af Ciena-netværket ” en til en” uden hensyntagen til ”nyt for gammelt” , fremrykkede investeringer eller andre besparelser.

For så vidt angår tabsposten vedrørende interne personaleomkostninger er det ikke godtgjort, at lønomkostningerne ikke i væsentligt omfang er udgifter til personale, som TDC under alle omstændigheder ville have haft. Dette er under støttet af bl.a. forklaringen fra Vidne 11, der har forklaret bl.a., at der helt sikkert var nogle af de medarbejdere, der har været med til TDC’s projekt om at udskifte Huaweis udstyr med Cienas, og som optræder i opgørelsen over egen tid, som under alle omstændigheder ville have været i TDC, og som i alle til fælde skulle have løn, også selvom de ikke arbejdede med projektet.

Endelig har TDC ikke foretaget fradrag for fremtidige sparede udgifter, herun der navnlig fremtidige sparede udgifter til strømforbrug, idet landsretten, uan set skønsmandens forklaring, efter TDC’s egne oplysninger lægger til grund, at det af Ciena leverede DWDM-netværk har et lavere forbrug end TDC’s tidligere DWDM-netværk leveret af Huawei.

Allerede fordi der ikke foreligger et ansvarsgrundlag i sagen, kan TDC ikke få erstattet sine udgifter til advokatomkostninger, som ikke er omfattet af almin delige sagsomkostninger for sagens førelse.

Landsretten finder på ovenstående baggrund, at TDC’s opgørelse af erstatnin gen – uanset at det lægges til grund, at TDC har lidt et betydeligt tab – er for bundet med så mange og væsentlige usikkerheder, at opgørelsen af erstatnin gen må ske efter et friere skøn.

Hertil kommer, at det efter landsrettens opfattelse bør indgå i vurderingen af TDC’s erstatningskrav, at TDC som beskrevet ovenfor allerede fra 2017 og frem mod 2021 af CFCS var blevet advaret om de sikkerhedsmæssige problemer med Huawei og flere gange var blevet anbefalet at afslutte leverandørforholdet, hvil ket TDC havde hjemmel til i aftaleforholdet med Huawei. Landsretten finder herunder, at det på et tidspunkt må have stået TDC klart, at et forbud kunne komme på tale, men at TDC desuagtet fortsatte leverandørforholdet til Huawei, herunder fortsatte med at få leveret udstyr, komponenter mv., der nu kræves erstattet.

280

Under inddragelse af ovenstående momenter finder landsretten efter en samlet vurdering, at erstatningen skønsmæssigt kan opgøres til 80 mio. kr., hvilket be løb alene indeholder udgifter, der var afholdt af TDC samt ”quotes” afgivet pr. 1. februar 2026. Der er ved fastsættelsen af erstatningsbeløbet navnlig henset til de direkte omkostninger til indkøb og drift af det nye DWDM-netværk fra Ci ena, og kun i mindre omfang henset til de i øvrigt opgjorte udgifter, herunder udgifter til personale.

I dette omfang tages TDC’s påstand 5 herefter til følge.

5.3. Forrentning af erstatningen TDC har i medfør af rentelovens § 3, stk. 4, nedlagt påstand om forrentning fra sagens anlæg den 15. september 2023. CFCS har protesteret herimod.

Det er ubestridt, at en meget stor del af de økonomiske krav, der er indtalt un der sagen, ikke var hverken forfaldent eller afholdt af TDC på dette tidspunkt.

TDC har ikke under sagen fremlagt oplysninger om, hvornår de af TDC af holdte udgifter er betalt. Hertil kommer den ovenfor beskrevne betydelige usik kerhed om opgørelsen af TDC’s krav.

Landsretten finder på denne baggrund, at der foreligger sådanne særlige for hold, at ekspropriationserstatningen først skal forrentes fra landsrettens dom i sagen den 24. juni 2026, jf. rentelovens § 3, stk. 5.

6. Sagsomkostninger TDC må anses for den tabende part angående sagens første hovedspørgsmål om prøvelse af CFCS’s afgørelse af 21. marts 2023, samt det hertil knyttede spørgsmål om betaling af erstatning efter dansk rets almindelige regler om er statning udenfor kontrakt (påstand 1 og 3). Endvidere er TDC’s påstand 2 af vist.

TDC må imidlertid anses for den vindende part angående sagens andet hoved spørgsmål om ekspropriation og har i tilknytning hertil, ud af sin betalingspå stand om betaling af knap 195 mio. kr., fået medhold i, at CFCS skal betale 80 mio. kr. (påstand 4 og 5).

Hver af parterne har således for en del tabt og for en del vundet sagen, jf. her ved retsplejelovens § 313, stk. 1. CFCS havde dog i forhold til spørgsmålet om betaling nedlagt påstand om frifindelse, hvorfor TDC må betragtes som i over vejende grad at have vundet sagen.

281

Det fremgår af landsretspræsidenternes vejledende salærtakster, at beløbet til dækning af advokatbistand i sager med en økonomisk værdi over 5,75 mio. kr. skal fastsættes skønsmæssigt efter en vurdering af, hvad der kan anses for rime ligt, også og under hensyntagen til sagens omfang og karakter.

Der skal herun der tages hensyn både til arbejdets omfang og det ansvar, der er forbundet med sagens førelse, ligesom der skal lægges vægt på sagens omfang og kompleksite ten af sagens faktum og juridiske problemstillinger, samt forberedelsens og ho vedforhandlingens varighed, jf. herved også U 2019.2639 H, U 2021.215 H og U 2022.383 H.

På denne baggrund og efter en samlet vurdering af de nævnte ovennævnte mo menter finder landsretten, at CFCS efter sagens udfald i delvise sagsomkostnin ger til TDC skal betale 5 mio. kr. til dækning af omkostninger til advokatbistand ekskl. moms. Herudover skal CFCS til TDC betale 45.900 kr. til dækning af ud gifter til syn og skøn og 4.500 kr. til dækning af retsafgift, således at de samlede sagsomkostninger udgør 5.050.400 kr.

CFCS afholder endeligt udgiften til afhjemling af skønsmanden.

Der er ikke grundlag for ud over sagsomkostningsbeløbet at godtgøre TDC de afholdte udgifter til indhentelse af egne sagkyndige rapporter eller juridisk re sponsum, ligesom det bemærkes, at udgifter til trykning af ekstrakter og mate rialesamlinger er indeholdt i beløbet til dækning af omkostninger til advokatbi stand.

Der findes ikke at foreligge sådanne særlige grunde, som kan føre til, at der til lægges Dansk Erhverv sagsomkostninger.

THI KENDES FOR RET:

Forsvarets Efterretningstjeneste v/Center for Cybersikkerhed (nu Styrelsen for Samfundssikkerhed) frifindes for TDC NET A/S’ påstand 1.

TDC NET A/S’ påstand 2 afvises.

Forsvarets Efterretningstjeneste v/Center for Cybersikkerhed (nu Styrelsen for Samfundssikkerhed) frifindes for TDC NET A/S’ påstand 3.

Forsvarets Efterretningstjeneste v/Center for Cybersikkerhed (nu Styrelsen for Samfundssikkerhed) skal anerkende, at Center for Cybersikkerheds afgørelse af 21. marts 2023 om nedlæggelse af forbud over for TDC NET A/S indebærer eks propriation over for TDC NET A/S.

282

Forsvarets Efterretningstjeneste v/Center for Cybersikkerhed (nu Styrelsen for Samfundssikkerhed) skal til TDC NET A/S betale 80 mio. kr. med procesrente fra den 24. juni 2026.

Den af den særlige advokat nedlagte subsidiære påstand afvises.

I sagsomkostninger skal Forsvarets Efterretningstjeneste v/Center for Cybersik-kerhed (nu Styrelsen for Samfundssikkerhed) inden 14 dage betale 5.050.400 kr. til TDC NET A/S. Beløbet forrentes efter rentelovens § 8 a.

Publiceret til portalen d. 24-06-2026 kl. 10:00 Modtagere: Advokat (H) Peter Steentoft, Sagsøger TDC NET A/S, Advokat (H) Sune Fugleholm, Sagsøgte Forsvarets Efterretningstjeneste v/Center for Cybersikkerhed, Advokat 2, Advokat (H) Tomas Ilsøe Andersen, Biintervenient DANSK ERHVERV, Advokat 1, Advokat (H) Peter Schradieck

Sag om forbud mod leverandørsamarbejde i kritisk teleinfrastruktur samt om erstatningsansvar og ekspropriationserstatning

Civilsag · 2. instans

KilderDomsdatabasen →

Kilde: https://domsdatabasen.dk/#sag/11261