Meld. St. 38 (2016–2017) IKT-sikkerhet — Et felles ansvar

Dokumentet i PDF-format (3,8 MB)

Utdrag:

1 Sammendrag

Dette er den første stortingsmeldingen om IKT-sikkerhet.
Det er flere grunner til at IKT-sikkerhet
vies mye oppmerksomhet. Den digitale utviklingen
er en avgjørende del av vår verdiskapning
og vekst. Digitaliseringen har bidratt til et tryggere
og mer sikkert samfunn. Folk kan lettere
komme i kontakt med hverandre og få rask tilgang
til informasjon. Digitaliseringen har også
medført at samfunnets risikobilde har endret seg.
Ingen sektorer, og få nasjoner, kan i dag kontrollere
sin digitale sårbarhet alene. Digitalt sårbarhetsutvalg
(Lysneutvalget)1 viser til at Norge ligger
langt fremme når det gjelder digitalisering,
noe som gjør at vi som samfunn tidlig møter sårbarhetsutfordringene.

Trusselvurderinger viser at fremmede stater
er villige til å bruke ulike virkemidler for å få tilgang
til sensitiv og skjermingsverdig informasjon
og påvirke politiske, økonomiske og forvaltningsmessige
beslutninger. Det er store økonomiske
tap knyttet til IKT-kriminalitet. I tillegg skjer det
en rekke ganger at IKT-systemer svikter på grunn
av menneskelige feil, programvarefeil, utstyrsfeil,
naturhendelser eller en kombinasjon av disse.

For å sikre effektivisering gjennom økt digitalisering
av det norske samfunnet må IKT-løsninger
og digitale tjenester være tilstrekkelig sikre
og pålitelige. Virksomheter og privatpersoner må
ha tillit til at systemer og nettverk både fungerer
slik de skal, og ivaretar personvernet til den
enkelte. God IKT-sikkerhet og evne til å håndtere
uønskede digitale hendelser er en forutsetning for
å oppnå denne tilliten.

[...]

2 Bakgrunn, rammer og meldingens innhold

Meld. St. 10 (2016–2017) Risiko i et trygt samfunn
ble lagt frem for Stortinget i desember 2016. I meldingen
er IKT-sikkerhet trukket frem som ett av
regjeringens sentrale områder innenfor samfunnssikkerhet.
Meldingen legger særlig vekt på et helhetlig
og systematisk arbeid med forebyggende
IKT-sikkerhet og vår nasjonale evne til å avdekke
og håndtere digitale angrep. Videre vektlegges
samfunnets behov for god IKT-sikkerhetskompetanse
på alle nivåer og en trygg og pålitelig IKT-infrastruktur.
I Meld. St. 27 (2015–2016) Digital
agenda for Norge er IKT-sikkerhet og personvern
en av hovedprioriteringene i regjeringens IKT-politikk.

[...]

4 IKT-sikkerhet og personvern

Personvern er en viktig del av retten til respekt for
privatlivet – en fundamental menneskerettighet
beskyttet i både Grunnloven, Den europeiske
menneskerettighetskonvensjonen og FNs konvensjon
om sivile og politiske rettigheter. NOU
2009: 1 Individ og integritet – Personvern i det digitale
samfunnet (Personvernkommisjonen) definerte
personvern slik:

Personvern dreier seg om ivaretakelse av personlig
integritet; ivaretakelse av enkeltindividers
mulighet for privatliv, selvbestemmelse (autonomi)
og selvutfoldelse.

Lysneutvalget fremhevet at i en digital sammenheng
har beskyttelse av personopplysninger en
særlig viktig rolle i personvernet. Personvernkommisjonen
definerer begrepet slik:

Personopplysningsvern dreier seg om regler og
standarder for behandling av personopplysninger
som har ivaretakelse av personvern som hovedmål.
Reglenes formål er å sikre enkeltindivider
oversikt og kontroll over behandling av opplysninger
om dem selv. Med visse unntak skal
enkeltpersoner ha mulighet til å bestemme hva
andre skal få vite om hans/hennes personlige forhold.

Det er myndighetenes ansvar å ivareta menneskerettighetene
og å sørge for sikkerhet og trygghet
for befolkningen. Ivaretakelse av personvernet og
opprettholdelse av et sikkert samfunn er derfor
prioriterte oppgaver for regjeringen.

God IKT-sikkerhet er en forutsetning for ivaretakelsen
av personvernet. I både nasjonalt og
internasjonalt regelverk om beskyttelse av personopplysninger,
finnes det derfor bestemmelser
om IKT-sikkerhet. Datatilsynet skriver i sin
høringsuttalelse til Lysneutvalgets utredning
blant annet at hensynene til personvern og IKTsikkerhet
ofte følger hverandre, og at de vanskelig
kan se for seg et godt personvern uten gode sikkerhetsmekanismer
i dagens digitale hverdag.
Personvern og IKT-sikkerhet henger altså fundamentalt
sammen. Når det gjelder gjennomføringen
av konkrete sikkerhetstiltak, for eksempel
logging i IKT-systemer, kan det likevel oppstå
behov for avveining mellom de to hensynene.

Ivaretakelsen av personvernet er en forutsetning
for en vellykket digitalisering i samfunnet.
Effektiv bruk av IKT styrker næringslivets konkurranseevne
og øker samfunnets totale produktivitet.
1 Regjeringen ønsker å utnytte disse fordelene
ved å legge til rette for videre digitalisering
av samfunnet. Da må vi være bevisst digitaliseringens
utfordringer. Blant de større utfordringene
er nettopp ivaretakelsen av personvernet, som
gjennom digitaliseringen blir satt på stadig nye
prøver. Godt personvern er nøkkelen til at brukerne
skal ha tillit til digitale løsninger.

Samtidig som vektleggingen av personvern
øker, ser vi ulike former for frivillig avståelse av
slikt vern. Privatpersoner gir for eksempel fra seg
personopplysninger i bytte mot gratis tjenester.
Gratis e-post, søkemotorer, spill og sosiale medier
er basert på denne modellen. De fleste mobiltelefoner
sender opplysninger om brukerens bevegelser,
bosted, jobbadresse og personlige gjøremål.
Bruken og behandlingen av disse dataene er derfor
viktig både i et personvern- og i et IKT-sikkerhetsperspektiv.
Det hviler et ansvar på de som
samler og behandler personopplysninger, for å
sikre at disse dataene ikke blir misbrukt eller
kommer på avveie.

1 Meld. St. 27 (2015–2016) Digital agenda for Norge.

[...]

6.4 Tjenesteutsetting

Mange virksomheter velger å anskaffe IKT-tjenester
fra en eller flere eksterne leverandører i stedet
for å produsere dem selv. Leveransene kan gjennomføres
internt i virksomheten eller eksternt av
nasjonale eller internasjonale leverandører. Det
kan også være kombinasjoner av disse.

Tjenesteutsetting av IKT-tjenester til profesjonelle
aktører vil kunne gi bedre sikkerhet og mer
stabile og tilgjengelige tjenester. Det kan også gi
lavere og mer forutsigbare kostnader og bidra til
bedre prioritering av virksomhetens kjerneområder.
Dette fordrer at virksomheten besitter kompetanse
til å følge opp leverandører de setter ut
tjenester til. Samtidig må virksomheten være
bevisst hvilke verdier som eksponeres ved tjenesteutsetting,
og iverksette nødvendige tiltak.
Behovet for konfidensialitet, integritet og tilgjengelighet
bør særlig vektlegges i vurderingene, og
hvilke lover, krav og regler som gjelder for sektoren
nasjonalt og internasjonalt.

Det eksisterer i dag få skyleverandører med
anlegg i Norge. Tjenesteutsetting ved bruk av
skytjenester innebærer derfor at lagring og prosessering
primært utføres på skyleverandørens
anlegg utenfor Norge og dermed utenfor nasjonal
kontroll. En nærmere omtale av tjenesteutsetting
og skytjenester finnes i punkt 22.10. Se boks 6.4
for IKT-tjenesteutsetting i helsetjenesten.

Regjeringen er opptatt av at virksomhetene er
bevisste ved bruk av tjenesteutsetting og følger
råd og anbefalinger. Det er utarbeidet flere veiledere
for å rettlede virksomheter som vurderer
tjenesteutsetting, blant annet av Datatilsynet,
Direktoratet for forvaltning og IKT (Difi), Direktoratet
for e-helse, NorSIS og Uninett. NSM skal
også utarbeide en temarapport om tjenesteutsetting
i løpet av 2017.

Boks 6.3 NorSIS

NorSIS er en uavhengig organisasjon som
arbeider for økt kunnskap om og forståelse for
IKT-sikkerhet. NorSIS mottar økonomisk
støtte fra Justis- og beredskapsdepartementet
og er en del av myndighetenes nasjonale satsing
på IKT-sikkerhet.

En viktig oppgave for NorSIS er å gi råd og
veiledning til befolkningen, bedrifter og
offentlige virksomheter. Det største enkeltstående
tiltaket er «nasjonal sikkerhetsmåned»,
som arrangeres i oktober hvert år. Sikkerhetsmåneden
er en nasjonal dugnad for å skape
oppmerksomhet om informasjonssikkerhet
som er relevant for både virksomheter og privatpersoner.
I 2016 fikk 420 000 ansatte tilgang
til e-læring under sikkerhetsmåneden. Dette
er en økning på nesten 60 000 fra 2015. I tillegg
ble det holdt en rekke sikkerhetsrelaterte
foredrag rundt omkring i Norge.

NorSIS har utarbeidet flere veiledere som
retter seg mot private virksomheter. NorSIS
samarbeider blant annet med NSM og Nkom
om nettvett.no. Dette er en tjeneste hvor man
finner informasjon, råd og veiledning om sikrere
bruk av internett. Informasjonen er rettet
både mot forbrukere og mot små og mellomstore
virksomheter. Formålet med tjenesten er
å bidra til en mer enhetlig og koordinert informasjonsflyt
om sikkerhet og sikkerhetskultur
knyttet til IKT. NorSIS drifter og har redaktøransvaret
for tjenesten, mens NSM og Nkom
bidrar til videreutvikling og finansiering.

6.5 Inntrengingstester

Kartlegging og forsøk på inntrenging skjer kontinuerlig
mot enheter koblet på internett. Inntrengingstesting
er et effektivt tiltak for å avdekke sårbarheter
og teste motstandskraften i IKTsystemer.
Dette gjøres gjennom målrettet søk,
analyse og forsøksvis utnyttelse av sårbarheter,
feil og mangler. Sårbarheter i infrastruktur tilknyttet
internett kan også utføres ved bruk av kartleggingsverktøy,
som for eksempel Allvis NOR (se
boks 6.5).

Justis- og beredskapsdepartementet anbefaler
bruk av inntrengingstester. En rekke virksomheter
har fulgt anbefalingen, og i de aller fleste tilfeller
har dette avdekket alvorlige sårbarheter og
bidratt til at disse er blitt håndtert.

Virksomheter som er underlagt sikkerhetsloven,
kan be NSM om slik bistand. NSM har gjennomført
slike tester blant annet i Justis- og beredskapsdepartementet,
Forsvarsdepartementet og
Utenriksdepartementet. Andre virksomheter kan
benytte private selskaper til å utføre testingen.
Ulike sektorer kan også bygge opp egen kompetanse
til å gjennomføre tester, slik som for eksempel
Norsk Helsenett SF har gjort. Systematisk
gjennomføring og oppfølging av slike tester vil
kunne redusere sårbarheten i systemene til virksomheter
og gjøre dem mer motstandsdyktige
mot digitale angrep.

Regjeringen oppfordrer samfunnskritiske virksomheter
til å benytte inntrengingstester for å
avdekke sårbarheter og teste motstandskraften i
egne IKT-systemer.

Boks 6.4 IKT-tjenesteutsetting i
helsetjenesten

Helsetjenesten er avhengig av private leverandører
for å utvikle og innføre løsninger og
gjennomføre service, vedlikehold og drift.

I forbindelse med at Helse Sør-Øst RHF
var i ferd med å sette ut drift av IKT-infrastruktur
til en internasjonal leverandør, ble det
avdekket sviktende rutiner og risikovurderinger.
Tjenesteutsetting til eksterne driftsoperatører
fordrer kontrollregimer og risiko- og sårbarhetsanalyser
som sikrer at krav til behandling
av personopplysninger ivaretas.

Helse- og omsorgsministeren vil derfor
sette i gang et arbeid for å se på håndtering av
informasjonssikkerhet ved bruk av private
underleverandører i helse- og omsorgssektoren.

Boks 6.5 Allvis NOR

Både nasjonalstater, organisasjoner og privatpersoner
kartlegger sårbarheter fra internett.
I Norge ble dette fenomenet for alvor gjort
kjent for allmennheten gjennom Dagbladets
«Null CTRL»-artikkelserie i 2013/2014.

NSM har i ettertid av denne artikkelserien
etablert en lignende kartleggingstjeneste, Allvis
NOR. Allvis NOR leter gjennom tilknyttede
virksomheters internetteksponerte IKT-grensesnitt
for å avdekke sårbare eller feil konfigurerte
tjenester og utstyr, slik at virksomheten
selv kan redusere sine sårbarheter. Tjenesten
er samtykkebasert. Allvis NOR ble videreutviklet
til å kunne avdekke den spesifikke sårbarheten
som ble utnyttet av løsepengeviruset
omtalt som «WannaCry» i mai 2017. NSM opplevde
økt etterspørsel etter tjenesten under
denne hendelsen.

Allvis NOR gir myndighetene innsikt i det
offentlige Norges sikkerhetstilstand på internett
og sikrer at utviklingen kan følges over
tid. Allvis NOR vil være et nyttig supplement
til ordinær inntrengingstesting og vil kunne
bidra til å bedre grunnsikringen i samfunnet.

[...]

6.8 Personvern og forebyggende
IKT-sikkerhet

Når sikkerhetstiltak skal utarbeides, må tiltakets
mulige konsekvenser for personvernet vurderes.
I den grad tiltaket får konsekvenser for personvernet,
stilles det i nasjonale og internasjonale regelverk
nærmere krav til gjennomføring av tiltakene.
I NOU 2016: 19 Samhandling for sikkerhet ble for-
Boks 6.5 Allvis NOR
Både nasjonalstater, organisasjoner og privatpersoner
kartlegger sårbarheter fra internett.
I Norge ble dette fenomenet for alvor gjort
kjent for allmennheten gjennom Dagbladets
«Null CTRL»-artikkelserie i 2013/2014.
NSM har i ettertid av denne artikkelserien
etablert en lignende kartleggingstjeneste, Allvis
NOR. Allvis NOR leter gjennom tilknyttede
virksomheters internetteksponerte IKT-grensesnitt
for å avdekke sårbare eller feil konfigurerte
tjenester og utstyr, slik at virksomheten
selv kan redusere sine sårbarheter. Tjenesten
er samtykkebasert. Allvis NOR ble videreutviklet
til å kunne avdekke den spesifikke sårbarheten
som ble utnyttet av løsepengeviruset
omtalt som «WannaCry» i mai 2017. NSM opplevde
økt etterspørsel etter tjenesten under
denne hendelsen.
Allvis NOR gir myndighetene innsikt i det
offentlige Norges sikkerhetstilstand på internett
og sikrer at utviklingen kan følges over
tid. Allvis NOR vil være et nyttig supplement
til ordinær inntrengingstesting og vil kunne
bidra til å bedre grunnsikringen i samfunnet.

[...]

6.8 Personvern og forebyggende IKT-sikkerhet

Når sikkerhetstiltak skal utarbeides, må tiltakets
mulige konsekvenser for personvernet vurderes.
I den grad tiltaket får konsekvenser for personvernet,
stilles det i nasjonale og internasjonale regelverk
nærmere krav til gjennomføring av tiltakene.
I NOU 2016: 19 Samhandling for sikkerhet ble for-holdet mellom forebyggende sikkerhet og personvern
beskrevet. Utvalget listet opp fem punkter
med prinsipper og retningslinjer som ble lagt til
grunn for arbeidet med å utrede en ny lov om
forebyggende nasjonal sikkerhet. Listen kan tjene
som utgangspunkt også for arbeidet med IKT-sikkerhet:

– presisjon i formuleringen av hjemmel for sikkerhetstiltaket
(lovkravet)
– vurdere hvilken effekt man får ved sikkerhetstiltaket,
sett opp mot allerede eksisterende tiltak
(formålsmessighet)
– vurdere forholdsmessigheten mellom den sikkerhetsmessige
effekten og hvor mye tiltakene
griper inn i personvern og rettssikkerhet (forholdsmessighet)
– vurdere alternative og mindre inngripende tilnærminger
som kan gi samme effekt (subsidiaritetsprinsippet)
– etablere tilstrekkelige personvern- eller rettssikkerhetsgarantier
der det gjøres inngrep i
den enkeltes rettssfære (prosessuelle mekanismer)

Som nevnt under punkt 6.5 anses inntrengingstesting
som et godt IKT-sikkerhetstiltak. Mange
IKT-systemer behandler personopplysninger.
Dette er et eksempel på et sikkerhetstiltak der de
nevnte prinsippene må anvendes før iverksettelse,
og der sikkerhetshensyn må avveies mot personvernhensyn.

7 Avdekke og håndtere digitale angrep

Regjeringen er opptatt av å styrke vår nasjonale
evne til å avdekke og håndtere digitale angrep.
Digitale angrep kan være krevende å oppdage og
kan i ytterste konsekvens utgjøre en trussel mot
nasjonale interesser og krenkelse av norsk suverenitet.
Aktørene kan være andre stater, organiserte
ikke-statlige grupperinger og private rettssubjekter.
Målet til angriperne kan være å begå
vinningskriminalitet, drive utpressing eller ødelegge
eller endre informasjon eller funksjonalitet.
Det kan også være å skaffe seg informasjon om
stats- og forretningshemmeligheter, forskningsresultater
eller teknologiske nyvinninger fra kommersielle
bedrifter. Problemstillingene er ofte globale,
og risikoen for straff og konsekvenser er lav.

Sett fra et stats- og samfunnssikkerhetsperspektiv
er den største trusselen de aktørene som
har ressurser til å gjennomføre handlinger som vi
ikke oppdager, som oppdages for sent, som kan
forårsake skader på kritisk infrastruktur, eller
som kan påvirke demokratiske prosesser. I denne
kategorien finner vi ofte statlige aktører, særlig
andre lands sikkerhets- og etterretningstjenester.

En utfordring kan være at det oppstår usikkerhet
og utilstrekkelig koordinering mellom myndighetsaktører
som har ansvar for å bekjempe
alvorlige digitale angrep. Regjeringen er derfor
opptatt av å legge til rette for samarbeid og deling
av informasjon.

Sentrale tiltak:
– videreutvikle det nasjonale varslingssystemet
for digital infrastruktur (VDI) for å øke evnen
til å avdekke digitale angrep
– etablere og videreutvikle et nasjonalt rammeverk
for digital hendelseshåndtering som fører
til mer effektiv håndtering og bedre samvirke
mellom aktører
– etablere et informasjonsdelingsarbeid for å
bedre samarbeidet mellom offentlige og private
virksomheter ved digitale hendelser og
etablere en teknisk plattform for deling av
informasjon

– utrede og konkretisere hvordan en form for
digitalt grenseforsvar kan etableres og lovreguleres
– gjøre politiet bedre i stand til å bekjempe kriminalitet
i det digitale landskapet
– øke den nasjonale evnen til å motstå alvorlige
digitale angrep gjennom videreutvikling av
samarbeidet mellom Etterretningstjenesten,
NSM, PST og politiet for øvrig
– forbedre NSMs evne til å analysere alvorlige
digitale angrep mot samfunnskritisk infrastruktur
og informasjon

7.1 Varslingssystemet for digital
infrastruktur

Evnen til å avdekke og håndtere digitale angrep
avhenger av et samspill mellom myndigheter, sektormiljøer
og offentlige og private virksomheter.
NSM drifter den nasjonale responsfunksjonen for
alvorlige digitale angrep mot kritisk infrastruktur
og er ansvarlig for å organisere og drifte det nasjonale
varslingssystemet for digital infrastruktur
(VDI). VDI er et nettverk av sensorer som er plassert
hos både offentlige og private virksomheter
som eier kritisk infrastruktur. Informasjon fra sensorene
bidrar til en nasjonal evne til tidlig deteksjon
og verifikasjon av koordinerte og målrettede
angrep. Regjeringen ønsker å oppgradere sensorteknologien
i VDI.1

Regjeringen fremmet i Prop. 97 L (2015–2016)
Endringer i sikkerhetsloven et forslag om å lovfeste
virksomheten som i dag utøves av NSM gjennom
NorCERT og VDI. Ved behandlingen av Innst. 352
L (2015–2016) vedtok Stortinget at NSM skulle
ha ansvaret for en nasjonal responsfunksjon og et
varslingssystem for digital infrastruktur. Regjeringen
vurderte også i denne sammenheng om det
burde etableres en hjemmel for å kunne pålegge
enkelte virksomheter med kritisk infrastruktur å
tilknytte seg VDI. På bakgrunn av høringsinstansenes
tilbakemeldinger kom regjeringen til at et
slikt pålegg måtte utredes nærmere og ses i sam- [forts. side 29]

1 Prop. 151 S (2015–2016) Langtidsplan for forsvarssektoren.

Side 29:

menheng med en vurdering av den fremtidige
finansieringsmodellen for NorCERT og VDI.

[...]

7.3 Informasjonsdeling

Informasjonsdeling er avgjørende for å avdekke
og håndtere digitale angrep. Dette har et forbedringspotensial
og var et sentralt tema i Lysneutvalgets
utredning. Utvalget mente det var et uutnyttet
handlingsrom for deling av informasjon.
NSM har derfor fått i oppdrag å igangsette et
arbeid for å bedre samarbeidet og informasjonsflyten
knyttet til digital hendelseshåndtering i
Norge. Målet for arbeidet er å sikre at det kan gjøres
vurderinger av digitale hendelser på tvers av
sektorer, og å sikre toveis informasjonsutveksling
og koordinering mellom NSM og ulike responsmiljøer.
Regjeringen er særlig opptatt av å få til et
godt offentlig–privat samarbeid på området, og
relevante aktører fra offentlig og privat sektor skal
derfor involveres i arbeidet. Arbeidet skal også se
på hvordan informasjon og samvirke kan forbedres
utover de virksomheter som i dag fanges opp
av nasjonalt rammeverk for digital hendelseshåndtering.

NSM har også iverksatt flere tiltak knyttet til
informasjonsdeling. NSM samler responsmiljøer
sektorvis hver måned for gjennomgang av digitale
hendelser, samt diskusjon av utviklingsbehov og
policyavklaringer for samarbeidet. Det gjennomføres
også ukentlig videokonferanse med responsmiljøene
i de ulike sektorene. Det er et mål å
samle alle disse responsmiljøene om et felles rapporteringsformat.

NSM har utarbeidet et ugradert nasjonalt situasjonsbilde,
tilgjengelig via en portal med påloggingsmulighet
for responsmiljøene i de ulike sektorene
og nasjonale beslutningstakere. Formålet
er at informasjon skal kunne deles raskt og sikkert.
Portalen ble testet under øvelse IKT16, og
erfaringene viste at portalen ble en viktig kilde til
informasjon. Våren 2017 ble portalen operativ på
ugradert plattform, og NSM vurderer mulighetene
for å utvikle en tilsvarende portal på graderte
kommunikasjonsplattformer. I løpet av 2017 vil
NSM også utvikle løsninger for automatisert
deling av varsler og teknisk informasjon med
responsmiljøene i de ulike sektorene. NSM
utveksler ukentlige rapporter med de nordiske
landenes CERT-funksjoner.

Boks 7.2 Foreløpige funn fra Øvelse IKT16

Formålet med øvelse IKT16 var å sette Norge i
bedre stand til å håndtere et større digitalt
angrep som rammer på tvers av sektorer.
Læring var prioritert i planlegging, gjennomføring
og oppfølging av øvelsen. DSB ledet
arbeidet med øvelsen.
Noen foreløpige funn fra øvelsen:

– Nasjonalt rammeverket for digital hendelseshåndtering
danner grunnlag for en god
måte å håndtere en samlet koordinert
respons på digitale angrep på.
– Det er behov for forventningsavklaringer
mellom virksomheter knyttet til informasjonsdeling
og situasjonsbilde.
– NSMs ugraderte nasjonale situasjonsbilde
var en viktig kilde til informasjon.
– Det er ulik organisering og ulikt modenhetsnivå
i responsmiljøene i de ulike sektorene.
Det er viktig å favne ulike miljøer i en
koordinert nasjonal respons i videreutviklingen
av rammeverket.
– Det er behov for ansvars- og rolleavklaring
mellom virksomhetenes IKT-miljøer og
beredskapsmiljøer. Begge typer miljø må
involveres i krisehåndteringen og det er
avgjørende at de samarbeider godt.
Endelig evalueringsrapport vil foreligge i løpet
av 2017.

7.4 Digitalt grenseforsvar

Utfordringene med å avdekke digitale angrep
berører også spørsmålet om et digitalt grenseforsvar
i Norge. Forsvarsdepartementet nedsatte i
2016 et utvalg (Lysne II) for å utrede de prinsipielle
sidene ved en eventuell tilgang for Etterretningstjenesten
til digital kommunikasjon inn og ut
av Norge. Utredningen peker på utviklingstrendene
i samfunnet som aktualiserer behovet for
nye etterretningsmetoder med innsyn i datastrømmer
som krysser den norske landegrensen.
Nesten all trafikk har flyttet seg fra radio og satellitt
til digitale signaler i kabler. Etterretningstjenesten
har i dag ingen systemer for å kontrollere
digital kommunikasjon over landegrensen, og den
har liten eller ingen egen tilgang til informasjonen
som flyter i kommunikasjonskablene.

Utvalget leverte sin rapport 26. august 2016 og
anbefalte innføring av et digitalt grenseforsvar
med klar innramming og meget strenge kontrollmekanismer
for å ivareta personvernet. En rekke
aktører har engasjert seg i den offentlige debatten,
og motstridende synspunkter er blitt fremmet
i en omfattende høringsrunde.

Regjeringen mener at det er behov for å styrke
Norges evne til å beskytte seg mot ytre trusler i
og ved bruk av det digitale rommet, og at det er
behov for å etablere en form for digitalt grenseforsvar.
Regjeringen vil derfor utrede og konkretisere
hvordan et digitalt grenseforsvar kan etableres
og lovreguleres. I en slik utredning vil det
være avgjørende å finne en balanse mellom den
sikkerhets- og etterretningsmessige effekten et
digitalt grenseforsvar kan få, og de personvernrelaterte
spørsmålene som en slik tilgang reiser.
Regjeringen tar sikte på at et høringsnotat med
lovforslag kan sendes på høring i 2018.

7.5 IKT-kriminalitet

IKT-kriminalitet øker i omfang. IKT-kriminalitet
deles ofte inn i kriminalitet rettet mot selve IKTsystemene,
og kriminelle handlinger begått ved
hjelp av IKT.

Flere rapporter og utredninger viser behov for
å styrke politiets kompetanse og kapasitet på
området. I politiets egen omverdensanalyse fra
2015 pekes det på at tempoet i teknologiutviklingen
er så høyt at politiet hele tiden utfordres.
Utviklingen stiller nye krav til politiets oppgaveløsning,
i form av både mer spisset kompetanse
og ny teknologi.

Justis- og beredskapsdepartementet utarbeidet
i 2015 en strategi for å bekjempe IKT-kriminalitet.
Dette er departementets første strategidokumentet
på feltet, og det retter seg blant annet mot
å styrke kompetanse og kapasitet, bygge kunnskap,
styrke forskningen og kartlegge teknologiske
behov og løsninger.

Ett av tiltakene i strategien er å etablere et
nasjonalt senter for å forebygge og bekjempe IKTkriminalitet.
Lysneutvalget støttet forslaget om et
nasjonalt senter med en særskilt bistandsfunksjon
for å støtte politidistriktene både polititaktisk og
påtalefaglig. Politidirektoratet (POD) har utarbeidet
et konkret forslag til hvordan det kan etableres
et slikt senter i politiet for å forebygge og
bekjempe IKT-kriminalitet, herunder hvilke oppgaver
som skal legges til senteret, organisatorisk
forankring og ressursbehov. Forslaget innebærer
at politiet må avsette betydelige ressurser. For
noen funksjoner må behovet dekkes ved ekstern
rekruttering av kompetanse som politiet ikke har i
dag. Forslaget må derfor behandles i det ordinære
budsjettarbeidet, og vurderes opp mot andre
viktige tiltak.

Regjeringen er opptatt av at digital kompetanse
må bygges i alle politidistrikt slik at politiet
har tilstrekkelige forutsetninger for å bekjempe
IKT-kriminalitet. I det digitale rommet har politi
og påtalemyndighet mindre muligheter for å
pågripe, tiltale og iretteføre. Det medfører at politiets
innsats i enda større grad enn ellers må rettes
mot forebyggende arbeid, etterretning, avdekking,
stansing og gjenoppretting av lovlig situasjon
ved tilstedeværelse i det digitale rommet.

Verktøyene for å håndtere digitale spor må
være oppdaterte i tråd med den teknologiske
utviklingen, og politiets etterforskningsmetoder
må holde tritt med de kriminelles bruk av
moderne teknologi. For at politiet skal ha nødvendig
kompetanse, må politiutdanningen styrkes.
Det gjelder både grunnutdanningen og etter- og
videreutdanningen. Ansatte uten politiutdanning,
herunder spesialister med høy teknologisk spisskompetanse
bør få politifaglig tilleggsutdanning.
Som del av Justis- og beredskapsdepartementets
strategi av 2015 for å bekjempe IKT-kriminalitet
har POD utarbeidet en egen strategi for digital
kompetanseheving.

Regjeringen har også gitt politiet viktige verktøy
i kampen mot alvorlig kriminalitet gjennom
lovendringer. Stortinget vedtok i juni 2016, på
grunnlag av Prop. 68 L (2015–2016) Endringer i
straffeprosessloven mv. (skjulte tvangsmidler), å gi
politiet utvidet adgang til å benytte skjulte tvangsmidler
ved etterforskning, avverging og forebygging av alvorlige lovbrudd. Utvidelsene gjelder
blant annet metoder som kommunikasjonskontroll,
hemmelig ransaking, romavlytting, teknisk
sporing og kameraovervåking. Lovendringene
trådte i kraft 17. juni 2016. I tillegg åpnes det for
bruk av et nytt skjult tvangsmiddel i form av
dataavlesing. Disse reglene trådte i kraft 9. september
2016. Den 5. april 2017 la regjeringen
dessuten frem et forslag til Stortinget om lovendringer
som vil sikre politiet tilgang til mobiltelefoner,
nettbrett og andre datasystemer som
åpnes ved fingeravtrykk og annen biometrisk
autentisering.

Bakgrunnen for disse lovendringene og forslagene
er et endret kriminalitets- og trusselbilde og
den teknologiske utviklingen. Terrorfaren har økt
betraktelig, alvorlig og organisert kriminalitet
brer om seg, og kryptert kommunikasjon blir stadig
mer vanlig. Det må legges til rette for at politiet
har de nødvendige virkemidlene til å kunne
beskytte borgerne og samfunnet effektivt i tråd
med kravene i politiloven § 2, samtidig som det
må tas tilstrekkelig hensyn til borgernes vern mot
inngrep.

Et regjeringsoppnevnt utvalg overleverte 18.
mai 2017 sin utredning om organisering og oppgaveløsning
i politiets særorganer.2 Utvalget har vurdert
fremtidige modeller, og har i vurderingen
lagt stor vekt på politiets evne til styrket bekjempelse
av IKT-kriminalitet. Utredningen blir sendt
på bred høring.

7.6 Koordinering mellom NSM,
Etterretningstjenesten, PST og
politiet for øvrig

Regjeringen understreker betydningen av et tett
og godt samarbeid mellom NSM, Etterretningstjenesten,
PST og politiet for øvrig. Det er nødvendig
med hurtig informasjonsutveksling og effektive
mekanismer for å etablere et felles situasjonsbilde
ved digitale angrep. Det vil kunne bidra til at nødvendige
mottiltak blir identifisert og iverksatt raskest
mulig.

NSM, Etterretningstjenesten og PST har tidligere
samarbeidet innenfor rammene av Cyberkoordineringsgruppen.
Gruppen hadde regelmessige
møter og fremskaffet informasjon og beslutningsgrunnlag
til den operative og strategiske
ledelsen om trusler og sårbarheter i det digitale
rommet. Kripos og Cyberforsvaret deltok i en
utvidet del av dette samarbeidet, og Cyberkoordineringsgruppen
kunne utvides med representanter
fra andre relevante aktører ved behov.

Som beskrevet i Meld. St. 10 (2016–2017)
Risiko i et trygt samfunn fikk NSM, Etterretningstjenesten
og PST høsten 2016 i oppdrag å etablere
et Felles cyberkoordineringssenter, som en videreutvikling
av Cyberkoordineringsgruppen.

Felles cyberkoordineringssenter ble opprettet
31. mars 2017 som et permanent, samlokalisert
fagmiljø med representanter fra NSM, Etterretningstjenesten
og PST. Senteret skal bidra til å
øke den nasjonale evnen til å motstå alvorlige digitale
angrep og understøtte strategisk analyseproduksjon
og vedlikeholde et helhetlig trussel- og
risikobilde for det digitale rommet. Senteret er
ikke et selvstendig organ med egen beslutningsmyndighet,
og etableringen innebærer ingen
endringer i rettsgrunnlag, fullmakter, roller eller
oppgaver. Informasjonsdelingen som foregikk
mellom Cyberkoordineringsgruppen og Forsvaret,
videreføres mellom Felles cyberkoordineringssenter
og Forsvaret.

NSM, Etterretningstjenesten og PST har tidligere
fått oppdrag om ytterligere å forbedre samarbeidet
og øke informasjonsutvekslingen mellom
tjenestene og Kripos med hensyn til håndtering av
digitale angrep og kriminalitet i det digitale rommet.
Tjenestene og Kripos har foreslått overfor
Justis- og beredskapsdepartementet og Forsvarsdepartementet
at også Kripos bør inngå som en
permanent deltaker i Felles cyberkoordineringssenter.
Forslaget er til vurdering hos departementene.

[...]

9.2 Utenlandsforbindelser
Nkom leverte i 2016 en rapport5 om tilgangen til
fiberinfrastruktur i Norge og føringer ut av landet.
Rapporten viser at det er bra tilgang til alternative
fiberføringer i store deler av landet, men ikke
overalt. Rapporten viser også at det meste av den
internasjonale trafikken rutes via osloområdet og
videre ut i verden gjennom Sverige.
Etablerte tilbydere av transmisjon har foreløpig
ikke ønsket å endre på dagens trafikkhåndtering
mot utlandet. Tilbyderne viser begrenset
interesse for og vilje til å ta i bruk nye føringsveier
ut av landet. Regjeringen vil arbeide videre med
konkretisering av mulige statlige tiltak som kan
bidra til å legge til rette for flere fiberkabler til
utlandet.

[...]

9.5 Personvern og kritisk
IKT-infrastruktur –
kommunikasjonsvern

Kommunikasjonsvern som begrep omfatter rettslig
og faktisk beskyttelse av informasjon i transitt,
på vei fra ett sted til et annet. Begrepet omfatter
også opplysninger om slik informasjon eller kommunikasjon,
såkalte metadata. Kommunikasjonsvernet
er ofte ansett som en del av det videre
begrepet personvern, siden man vanskelig kan
tenke seg et effektivt personvern uten at også
kommunikasjonen mellom to eller flere parter
kan være fortrolig.

Bruk av elektronisk kommunikasjon gir informasjon
om en rekke forhold som berører den
enkeltes private sfære og personlige integritet,
slik som geografisk bevegelsesmønster, kontaktnett
osv. Presset om å få tilgang til denne typen
data øker også etter hvert som den kommersielle
bruken av såkalt stordata øker. Dagens kommunikasjonsvern
er bra i Norge, men ny teknologi, nye
tjenester og forretningsmodeller utfordrer regelverket.

Ekomtjenester produseres i økende grad i
datasentre utenfor norsk territorium. Norsk regulering
er derfor ikke alltid tilstrekkelig dersom
man ønsker å gjennomføre tiltak for å ivareta personvernet
og kommunikasjonsvernet til den
enkelte bruker i Norge. Regjeringen vil at Norge
skal fortsette å arbeide internasjonalt for å
fremme gode løsninger som ivaretar norske brukere.

[...]

10 Elektronisk kommunikasjon

10.1 Redusere kritikaliteten av Telenors
kjerneinfrastruktur

Problembeskrivelse (NOU 2015: 13, punkt 11.7.1)
Telenors kjerneinfrastruktur inngår som en komponent
i nær sagt alle digitale verdikjeder. Et utfall
i denne kan derfor få alvorlige og samtidige konsekvenser
på de aller fleste samfunnsområder, og
for kritiske samfunnsfunksjoner. Telenors kjerneinfrastruktur
er godt utbygd, den er profesjonelt
drevet, og den har historisk sett meget høy stabilitet.
Likevel vil infrastrukturen kunne settes ut av
spill ved menneskelige feil, rutinesvikt, sabotasje,
terror eller utro tjenere. Den totale summen av
samfunnsverdier dette nettet bærer, er uakseptabelt
høy. Det anbefales at det arbeides mot et målbilde
der minst én tilleggsaktør har et landsdekkende
kjernenett som er på samme nivå som
Telenors med hensyn til dekning, kapasitet, fremføringsdiversitet,
redundans og uavhengighet. I
Lysneutvalgets utredning anslås kostnadene ved
å etablere et alternativt kjernenett til 575 millioner
kroner.

Status på tiltak

Utvalgets vurderinger av kritikaliteten av
Telenors kjerneinfrastruktur får mye støtte i
høringsrunden. I Meld. St. 33 (2016–2017) Nasjonal
transportplan 2018–2029 har regjeringen prioritert
midler til etablering av en pilot for alternativt
kjernenett i perioden 2018–2021. Pilotprogrammet
skal vise sikkerhetsbehovet og det kommersielle
grunnlaget for å investere i konkurrerende
kjernenett til Telenors nett. Det vises til
nærmere omtale av status på tiltaket under punkt
9.1.

[...]

10.5 Etablere tiltak for å regulere
utlevering av trafikkdata til politiet

Problembeskrivelse (NOU 2015: 13, punkt 11.7.5)
Omfanget av politiets uthenting av trafikkdata er
rimelig stabilt, mens andelen forespørsler om opphevelse
av taushetsplikt for utlevering av signaleringsdata
er sterkt økende. Det er mange spørsmål
knyttet til forholdet mellom beslutninger om
opphevelse av en taushetsplikt med hjemmel i
straffeprosessloven § 118 jf. § 230 og menneskerettsloven
§ 2 jf. den europeiske menneskerettskonvensjonen
artikkel 8.

Utvalget mener at formålsutglidning når det
gjelder bruk av opplysninger (særlig signaleringsdata),
bør utredes. I denne sammenheng bør også
dommernes tekniske kompetanse som grunnlag
for å ta stilling til innsynsbegjæringer vurderes.
Utvalget mener det er behov for å avklare hjemmelsgrunnlaget
for regulering av tilgang til signaleringsdata.
Utvalget er videre av den oppfatning
at bruk av signaleringsdata er blitt så utbredt som
etterforskningsverktøy at det bør vurderes å lovregulere
dette som et særskilt tvangsmiddel.

Status på tiltak
Spørsmålene om hjemmelsgrunnlaget for signaleringsdata
og bruk av signaleringsdata som særskilt
tvangsmiddel er vurdert i Prop. 68 L (2015–
2016) Endringer i straffeprosesslover mv. (skjulte
tvangsmidler). I forbindelse med lovendringene
ble hjemmelsgrunnlaget for politiets tilgang til
lokasjons- og signaleringsdata i noen grad avklart.
Det ble vedtatt et tillegg i § 216 b annet ledd bokstav
d om kommunikasjonskontroll som gir politiet
hjemmel til å innhente historiske opplysninger
fra nett- og tjenestetilbydere om den geografiske
plasseringen til et bestemt kommunikasjonsanlegg
(lokaliseringsdata), uavhengig av om anlegget
er i bruk til kommunikasjon. At politiets tilgang
på lokaliseringsdata nå er regulert i straffeprosesslovens
kapittel om kommunikasjonskontroll,
medfører at politiets bruk av tvangsmiddelet
er underlagt domstolskontroll og etterfølgende
kontroll av Kontrollutvalget for kommunikasjonskontroll.
Lysneutvalget pekte på at det kan være
en utfordring for dommere å ha tilstrekkelig teknisk
innsikt når de vurderer anmodninger om tilgang
til data. Prop. 68 L (2015–2016) behandler
ikke denne problemstillingen. Lovendringene
innebærer imidlertid at det ikke lenger er samme
grunn til å skille mellom de ulike «typer» data.

I tillegg til å benytte reglene om kommunikasjonskontroll
kan politiet benytte den utenrettslige
ordningen med opphevelse av teletilbydernes
taushetsplikt fra Nkom for å få utlevert trafikkdata,
herunder signaleringsdata.

I 2015 behandlet
retten 189 kommunikasjonskontrollsaker, mens
Nkom behandlet 1459 saker om fritak for taushetsplikt.
Nkom behandler anmodninger om signaleringsdata
etter samme regelsett som anmodninger
om fritak fra taushetsplikten for trafikkdata,
dvs. straffeprosessloven § 118 jf. § 230.
Reglene om Nkoms opphevelse av taushetsplikten
gjelder også ved beslag eller utleveringspålegg, jf.
straffeprosessloven § 203 flg. og § 210. I medhold
av § 118 første ledd annet punktum skal Nkom gi
samtykke i disse sakene med mindre dette vil
utsette staten eller allmenne interesser for skade
eller virke urimelig overfor den som har krav på
hemmelighold. Nkom baserer seg i denne sammenheng
på fremstillingen som gis av påtalemyndigheten,
eventuelt sammen med annen informasjon
som innhentes ved behandlingen av saken.

Det kan ikke utelukkes at dagens ordning, hvor
opphevelse av taushetsplikten gjøres av Nkom
etter straffeprosessloven og ekomloven, kan utfordre
kommunikasjonsvernet. Regjeringen vil på
denne bakgrunn vurdere om det er behov for
ytterligere utredning av kommunikasjonsvernet i
norsk rett i forbindelse med implementeringen av
EUs nye kommunikasjonsvernforordning, som er
til behandling i EU rådet og parlamentet, med
planlagt ikrafttredelse våren 2018.

[...]

12.5 Gjennomføre risiko- og sårbarhetsanalyse
for utvidet bruk av AMS

Problembeskrivelse (NOU 2015: 13, punkt 13.7.5)
Innen 1. januar 2019 skal alle strømkunder i
Norge ha tatt i bruk smarte målere. De nye
målerne inngår i «avanserte måle- og styringssystemer
» (AMS), og det innebærer at brukerne
får bedre informasjon om strømforbruket sitt, mer
nøyaktig avregning og mulighet for automatisk
styring av forbruket. Vedtak om innføring av AMS
skjedde uten forutgående risiko- og sårbarhetsanalyse.
Overgangen til AMS innebærer et
stort potensial for økt nettnytte, innovasjon og
effektivisering i sektoren. Ukritisk implementering
av funksjonalitet som for eksempel knytter
AMS tettere sammen med driftskontrollsystemer,
vil medføre en sårbarhetsoppbygging med betydelig
skadepotensial. Det er viktig med en god og
bredt anlagt risiko- og sårbarhetsanalyse i forkant
av teknologiskifter, ved bruksendringer og ved
system- og organisasjonsendringer. NVE anbefales
å gjennomføre nødvendige risiko- og sårbarhetsanalyser
for utvidet bruk av AMS inn mot
driftskontrollsystemene.

Status på tiltak

Denne problemstillingen følges opp i NVEs IKT-regelverksprosjekt.
NVE har gjennomført tre prøvetilsyn
på AMS i 2016 og utarbeider en oppdatert
veileder til sikkerhet i AMS. NVE har tydeliggjort
overfor bransjen at det er viktig å gjennomføre
risikoanalyser ved innføringen av AMS, og at
nettselskapene er ansvarlige for å sørge for tilstrekkelig
sikkerhet i AMS-løsningen. Anbefalingen
om at NVE skal gjennomføre risiko- og sårbarhetsanalyse
før det vurderes utvidet bruk av
AMS, støttes av Olje- og energidepartementet.

NVE vil innhente én eller to årlige rapporter
om AMS fra alle nettselskapene i 2017 og 2018 der
nettselskapenes vurdering av ulike risikokategorier,
blant annet IKT-sikkerhet, inngår. NVE vil
følge opp at nettselskapene ivaretar informasjonssikkerheten
både under installasjon av AMS og
senere i den løpende driften.

[...]

14.4 Gjennomføre risiko- og
sårbarhetsanalyser før en
eventuell innføring av smarte
vannmålere

Problembeskrivelse (NOU 2015: 13, punkt 15.6.4)
Innføring av smarte vannmålere, tilsvarende AMS
som innføres i energisektoren, knytter vannmålere
tettere sammen med driftskontrollsystemer.
Dette øker sårbarhetsflaten og kan ha betydelig
skadepotensial. Det bør gjennomføres nødvendige
ROS-analyser for å forhindre ukritisk implementering
av funksjonalitet ved etablering av
smarte vannmålere inn mot driftskontrollsystemer.
Status på tiltak

Det foreligger per i dag ikke noe krav om å innføre
slike målere. Dersom vannbransjen selv
ønsker å ta i bruk smarte vannmålere, har vannverkene/
bransjen selv et ansvar for å utrede og
forsikre seg om at det ikke svekker IKT-sikkerheten.
Det følger av kravet i ny forskrift som trådte i
kraft 1. januar 2017. Forslaget om å gjennomføre
ROS-analyser er så langt ikke utredet, og Helseog
omsorgsdepartementet har foreløpig ingen planer
om å utrede dette.

[...]

15.5 Styrke beredskapstiltak for
utviklingen mot det kontantløse
samfunnet

Problembeskrivelse (NOU 2015: 13, punkt 16.7.5)

Ny teknologi og brukervennlige betalingsløsninger
bidrar til at stadig færre i Norge bruker kontanter.
Full overgang til digitale løsninger (elektroniske
penger) kan imidlertid ut fra et beredskapsmessig
perspektiv gi økt sårbarhet. Det er
mange som vil være avhengige av kontanter i en
alvorlig beredskapssituasjon.

Utvalget mener dette er et eksempel på en stor
sårbarhet med digitalt utspring som Norge må ha
beredskap for. At det eksisterer kontanter, gir i
seg selv flere muligheter i en krisesituasjon.
Finansdepartementet bør ta initiativ til å se på
hvordan dette best kan løses, blant annet gjennom
å se til andre lands håndtering av lignende utfordringer.

Status på tiltak

Finanstilsynet og Norges Bank har arbeidet med
spørsmål knyttet til beredskap i betalingssystemet
over lengre tid og har avgitt forslag til Finansdepartementet
om nye regler om bankenes beredskapsansvar
for distribusjon av kontanter. Finansdepartementet
har sendt forslaget på høring med
frist 2. mai 2017. Finanstilsynet og Norges Bank
har i tillegg avgitt en orientering til Finansdepartementet
om hvordan de – i tråd med sine oppgaver
som tilsynsmyndigheter på betalingsområdet
– følger opp beredskapen for det elektroniske
betalingssystemet.

16 Helse og omsorg

16.1 Sterkere styring av IKT-sikkerhet
fra Helse- og omsorgsdepartementet

Problembeskrivelse (NOU 2015: 13, punkt 17.7.1)
Flere aktører etterlyser en sterkere styring av
IKT-sikkerhet fra Helse- og omsorgsdepartementet.
Utvalget stiller spørsmål ved hvorfor styringsmuligheten
som departementet har til å samkjøre
mellom de regionale helseforetakene, ikke benyttes
i større utstrekning. Utvalget mener det er
behov for sterkere nasjonal styring for å identifisere
og oppfylle felles behov og for å unngå divergerende
løsninger i regionene.

Utvalget har gjennom sitt arbeid registrert at
det er publisert en stor mengde utredninger de
siste årene som omhandler IKT i helsesektoren.
Flere av disse ser ut til å beskrive dagens utfordringer
på en god måte, og det synes å være stor
bevissthet i sektoren om hvilke forbedringstiltak
som er nødvendige. Utvalget stiller spørsmål ved
hvorfor ikke flere av tiltakene er fulgt opp, og om
mengden utredninger i seg selv er til hinder for en
effektiv iverksetting av tiltakene. Utvalget mener
at det er viktig med en tydeligere prioritering av
forebyggende tiltak for å redusere de identifiserte
sårbarhetene, og at det må sikres gjennomføringskraft
for disse. Som en del av dette foreslår utvalget
at det nye Direktoratet for e-helse utarbeider
en årlig statusrapport om tilstanden for IKT-sikkerhet
i helsesektoren.

Utvalget mener det bør vurderes forenklinger
i Norm for informasjonssikkerhet i helse- og
omsorgstjenesten (Normen) for de minste helseforetakene
i den grad det er mulig uten at det
bidrar til å øke sårbarheten.

Status på tiltak

Det er satt i gang flere tiltak for å sikre bedre samordning
og styring av IKT-utviklingen i helse- og
omsorgssektoren, noe som også styrker IKT-sikkerheten.

Direktoratet for e-helse er etablert fra 1. januar
2016 for å bidra til bedre styring og koordinering
på e-helseområdet. IKT-tiltak må sees i sammenheng
for å sikre best mulig utnyttelse av både
leverandørenes og egne utviklingsressurser.
Direktoratet skal i samarbeid med andre relevante
aktører bidra til kompetansespredning om informasjonssikkerhet
og personvern. Direktoratet for
e-helse har myndighets- og premissgiverrollen i
det nasjonale arbeidet med IKT-infrastruktur.

Forskrift om IKT-standarder i helse- og
omsorgssektoren trådte i kraft 1. september 2015.
Forskriften pålegger aktørene i sektoren å bruke
elektroniske journalsystemer, å oppdatere adresseregisteret
i helsenettet og å bruke standardiserte
meldingsformater for utveksling av pasientinformasjon
mellom aktørene. Forskriften skal
bidra til at elektronisk kommunikasjon skjer
effektivt og standardisert. Dette er en begynnelse,
og forskriften skal forbedres i takt med utvikling
og behov i sektoren.

Justis- og beredskapsdepartementet stiller
krav om årlig rapportering om sikkerhetstilstanden
i sektorene. Denne rapporteringen er begrenset
til sikkerhetsloven. Helse- og omsorgsdepartementet
ønsker å vurdere hvilken tilleggsrapportering
som er nødvendig og eventuelt skal iverksettes
i helse- og omsorgssektoren, og hvem som er
best egnet til å ivareta denne oppgaven.

Norsk Helsenett SF har i dag en operativ rolle
i arbeidet med informasjonssikkerhet i helse- og
omsorgssektoren og drifter blant annet Helse-
CERT, som overvåker trafikken på helsenettet,
utarbeider sårbarhetsoversikter, gjennomfører
inntrengingstesting, bistår med hendelseshåndtering
med mer.

Norm for informasjonssikkerhet (Normen) er
en bransjenorm, og selv om sekretariatet for tiden
ligger i Direktoratet for e-helse, så er det bransjen
selv som bestemmer innholdet i normen. Normen
baserer seg på gjeldende lover og regelverk, men
kan, når det er hensiktsmessig, være strengere
enn det lover og regelverk tilsier.

Helse- og omsorgsdepartementet har stilt krav
i tildelingsbrev og oppdragsbrev til underliggende
virksomheter om å arbeide målrettet med informasjonssikkerhet,
jf. sikkerhetsloven, Nasjonal
strategi for informasjonssikkerhet (2012) med tilhørende handlingsplan og Handlingsplan for informasjonssikkerhet
i statsforvaltningen – 2015–2017
(2015).

16.2 Mer forskning på IKT-sikkerhet
innenfor ny helse- og velferdsteknologi

Problembeskrivelse (NOU 2015: 13, punkt 17.7.2)

Etter utvalgets vurdering bør helse- og velferdsteknologi
som i stor grad endrer samfunnet, utredes
og følges opp av en offentlig debatt før implementering.
Utvalget mener det er behov for en
mer spisset forskningsinnsats for å se på sikkerhetsaspektene
ved teknologien, samtidig som
man ivaretar de mulighetene og utfordringene
som ny helse- og velferdsteknologi vil gi. Forsøk
som pågår med ny helse- og velferdsteknologi,
bør videre samordnes nasjonalt for å sikre kompetanseoverføring.
Det nye Direktoratet for e-helse
bør sikre at disse initiativene samordnes.

Status på tiltak

Det er bevilget 2 mill. kroner i basistilskudd til
NTNU CCIS på Gjøvik. Bevilgningen skal støtte
opp under arbeidet med informasjonssikkerhet og
personvern i helse- og omsorgssektoren. Ytterligere
initiativ til spisset forskningsinnsats utover
basistilskudd til NTNU CCIS vil bli vurdert
senere.

16.3 Etablere løsninger for
å imøtekomme utviklingen
innenfor helse- og velferdsteknologien

Problembeskrivelse (NOU 2015: 13, punkt 17.7.3)

Ved innføring av helse- og velferdsteknologi bør
hovedregelen være at tjenesteeieren av slike løsninger
tar et overordnet ansvar for sikkerheten i
hele verdikjeden og ikke utelukkende baserer seg
på at sikkerheten er ivaretatt av underliggende tjenester
som for eksempel ekomtilbydere.

Utvalget støtter Norsk Helsenetts forslag om
at helsenettet, i samarbeid med sektoren, bør vurdere
om det er sentrale felleskomponenter (innenfor
kommunikasjon mot internett) som sektoren
behøver for å fremme en trygg innføring av velferdsteknologiske
løsninger.

Status på tiltak
Direktoratet for e-helse har igangsatt en utredning
av en nasjonal plattform for lagring av data
fra velferdsteknologiske løsninger gjennom
Nasjonalt velferdsteknologiprogram. Samlet er
det bevilget om lag 40 mill. kroner til trygghetsog
mestringsoppdraget, som er en del av Nasjonalt
velferdsteknologiprogram. Sentralt i oppdraget
står utvikling av en referansearkitektur og etablering
av infrastruktur på velferdsteknologiområdet.
Formålet er å danne rammen for utvikling av
velferdsteknologiske tjenester og sikre at data fra
slik teknologi kan deles sikkert mellom forskjellige
aktører i helse- og omsorgssektoren. Direktoratet
for e-helse leder arbeidet i samarbeid med
Helsedirektoratet og KS. En slik plattform knytter
utstyr og teknologi ute hos brukerne sammen
med helse- og omsorgstjenestenes fagsystemer
og muliggjør innovasjon og nyutvikling.

16.4 Gjennomføre flere IKT-øvelser der
kritiske systemer er ute av funksjon

Problembeskrivelse (NOU 2015: 13, punkt 17.7.4)

Det er behov for beredskap ved bortfall av kritiske
IKT-tjenester som skyldes tilsiktede eller utilsiktede
hendelser. Mindre grad av manuelle rutiner å
falle tilbake på kan i fremtiden gi nye og økte sårbarheter.
Utvalget mener det bør gjennomføres
flere IKT-øvelser der kritiske systemer er ute av
funksjon.

Status på tiltak

Sektoren øver jevnlig på digitale hendelser og
IKT-organisasjonene i de regionale helseforetakene
er med i beredskapsøvelsene som avholdes.
De enkelte sykehusene har planer og rutiner for å
håndtere situasjoner hvor kritiske systemer, for
eksempel pasientjournalen, er ute av funksjon.
Helse- og omsorgsdepartementet deltok i den
nasjonale øvelsen IKT16, og en evalueringsrapport
er under utarbeidelse.

[...]

20.5 Etablere et nasjonalt «Cyber Crime
Center»

Problembeskrivelse (NOU 2015: 13, punkt 21.11.5)

Det er utvalgets oppfatning at politiets beredskapsevne
og oppgaveløsning i det digitale rommet
langt fra er tilstrekkelig og ikke tilpasset samfunnets
forventninger og den risikoen samfunnet står
overfor. Utvalget støtter forslaget i Justis- og
beredskapsdepartementets strategi for å
bekjempe IKT-kriminalitet fra 2015 om å opprette
et nytt nasjonalt senter for å forebygge og
bekjempe IKT-kriminalitet. Senteret bør organiseres
under Kripos. Særorganutvalget bør vurdere
om alternative organisasjonsformer er mer hensiktsmessige
enn kapasitetsoppbygging.

Status på tiltak

Det er ikke etablert et nasjonalt «Cyber Crime
Center». POD har utarbeidet et konkret forslag
om hvordan det i politiet kan etableres et slikt senter
for å forebygge og bekjempe IKT-kriminalitet,
herunder hvilke oppgaver som skal legges til et
slikt senter, organisatorisk forankring og ressursbehov.
Forslaget innebærer at politiet må avsette
betydelige ressurser som for noen funksjoner må
dekkes opp ved ekstern rekruttering av kompetanse
politiet ikke har i dag. Forslaget må derfor
tas inn i det ordinære budsjettarbeidet og vurderes
opp mot andre viktige tiltak.

Justis- og beredskapsdepartementet nedsatte i
2016 et utvalg for å se på funksjon og kapasitet
blant politiets særorganer. Utvalget omtaler
bekjempelse av IKT-kriminalitet som en hovedutfordring
for politiet. Utvalget overleverte sin
utredning til Justis- og beredskapsdepartementet i
mai 2017, og utredningen sendes på bred høring.2

20.6 Sikre sterke fagmiljøer for
IKT-kriminalitet i politidistriktene

Problembeskrivelse (NOU 2015: 13, punkt 21.11.6)

Digital kompetanse i politiet må bygges i bredden,
det vil si i alle politidistrikt. I politidistriktene er
det behov for bedre og mer spesialisert kompetanse
og ferdigheter og økt kvalitet på politiarbeidet.
Utvalget anbefaler at det gjennomføres et
stort løft innenfor etter- og videreutdanning for
allerede uteksaminerte tjenestemenn og -kvinner.
Utvalget mener også at Justis- og beredskapsdepartementet
bør gi klare føringer til politidistriktene
for å sikre nødvendig tverrfaglig kompetanse
i politiet, herunder sivilt ansatte med teknisk bakgrunn.

Utvalget anbefaler at politidistriktenes fagmiljøer
styrkes betraktelig. Ved politiets arbeid på
internett bør den åpne tilstedeværelsen, herunder
«politistasjon og patruljering på nett», ligge til det
enkelte politidistrikt. Utvalget mener at et klart
grensesnitt mellom hva et Cyber Crime Center
håndterer, og hva politidistriktene selv forventes å
håndtere, er avgjørende.

Nåværende styringsmodell i politiet må ikke
være til hinder for å vurdere ulike modeller for
organisering av IKT-kriminalitetsbekjempelsen,
blant annet i særorganutredningen.

2 NOU 2017: 11 Bedre bistand. Bedre beredskap. Fremtidig
organisering av politiets særorganer.

20.8 Sikre balansen mellom personvern
og et sikrere samfunn

Problembeskrivelse (NOU 2015: 13, punkt 21.11.8)

For å få et sikrere samfunn foreslås det ofte inngripende
metoder uten at det er tatt tilstrekkelig
stilling til eller redegjort for balansen mot personvern
og ytringsfrihet. Utvalget mener det er
behov for å ivareta balansen mellom personvern
og et sikrere samfunn gjennom utredninger og
offentlig debatt. Utvalget pekte spesielt på to
områder der det må foretas viktige avveininger for
å finne den rette balansen mellom motstridende
hensyn:

1. Utrede innføring av digital grenseovervåking
ved en NOU eller annen offentlig utredning
2. Utrede politiet og PSTs skjulte metodebruk på
internett

Status på tiltak
Høringssvarene viser at det er bred enighet om
disse anbefalingene. Spesielt Datatilsynet er kritisk
til masseovervåking av alminnelige borgere
og mener at nye og inngripende metoder alltid bør
utredes. Se også nærmere omtale av personvern i
kapittel 4.

Utredning av digital grenseovervåking
Som en oppfølging av anbefalingen fra Lysneutvalget
nedsatte Forsvarsdepartementet et utvalg for
å utrede sentrale problemstillinger knyttet til digitalt
grenseovervåking. Utvalget avga sin rapport
til Forsvarsdepartementet 26. august 2016. Rapporten
anbefaler at det etableres et digitalt grenseforsvar
som gir Etterretningstjenesten innsyn i
digitale datastrømmer som krysser landegrensen
i fiberoptiske kabler. Forutsetningen for anbefalingen
er at det etableres et strengt kontrollregime bestående av både teknologiske og menneskelige
kontrollmekanismer.

Regjeringen støtter konklusjonen fra utvalget
og mener det er behov for å etablere en form for
digitalt grenseforsvar. Regjeringen vil utrede nærmere
hvordan et slikt grenseforsvar kan etableres
og lovreguleres. Se nærmere omtale av dette i
punkt 7.4.

Utredning av politiets skjulte metodebruk på
internett

Regjeringen er enig i utvalgets anbefaling om å
utrede nærmere PSTs og det øvrige politiets
skjulte metodebruk på internett for det tilfellet at
PST foreslår å registrere ytringer på sosiale
medier og analysere informasjon fra åpne kanaler.

21 Felleskomponenter

21.1 Følge utviklingen av IKT-utsetting
for felleskomponenter

Problembeskrivelse (NOU 2015: 13, punkt 22.6.1)

Offentlig sektor har etablert en rekke åpne, gjenbrukbare
løsninger som dekker typiske behov på
digitaliseringsfeltet, slik som innlogging, autentisering,
registre og lignende. Dette gjelder for
eksempel ID-porten, som gir innbyggerne den
samme innloggingsfunksjonaliteten uansett hvilken
etat eller kommune man logger inn hos.

Det er rimelig å tro at det vil bli færre datasentre,
at flere av datasentrene vil bli drevet av
eksterne, og at flere samfunnsfunksjoner vil dele
infrastruktur som datasentre. Dette kan endre sårbarhetsbildet.
Kommunal- og moderniseringsdepartementet
bør følge med på sårbarhetsutviklingen
knyttet til utsetting av IKT-tjenester for offentlige
registre og fellestjenester.

Status på tiltak

Kommunal- og moderniseringsdepartementet følger
arbeidet i dialogmøter med øvrige departementer
som er felleskomponenteiere, men har
ingen aktiviteter utover dette, da det er sektordepartementenes
ansvar. Kommunal- og moderniseringsdepartementet
følger opp egne felleskomponenter
i dialog med Difi og foretar løpende vurderinger
av sikkerhet, drift og forvaltning. Se også
punkt 6.4 og 22.10 om tjenesteutsetting og punkt
22.1 om å ivareta en helhetsvurdering av verdikjeder.

21.2 Utvikle felles beskyttelsestiltak
mot sofistikerte IKT-angripere

Problembeskrivelse (NOU 2015: 13, punkt 22.6.2)

Det krever ekspertkompetanse å identifisere og
håndtere sofistikerte angripere. Dagens evne og
kapasitet til å oppdage disse aktørene er ikke tilstrekkelig
i norske virksomheter. Det er behov for
å starte utvikling av mekanismer som eierne kan
bruke for å sikre fellesfunksjoner mot sofistikerte
angripere. Difi bør ta en koordinerende rolle i
dette arbeidet, og det bør gjøres i samarbeid med
forskningsmiljøene og med bistand fra NSM.

Status på tiltak

Utvalget foreslår at Difi tar en koordinerende rolle
i arbeidet med å utvikle mekanismer som virksomhetseierne
kan bruke for å sikre fellesfunksjoner
mot sofistikerte angrep. Dette er Kommunalog
moderniseringsdepartementet uenig i. Ifølge
ansvarsprinsippet er det virksomheten og sektordepartementet
som skal beskytte (nasjonale) felleskomponenter.
Alle felleskomponenter kan
knytte seg til NSMs varslingssystem for digital
infrastruktur (VDI). Dette er ett av flere tiltak som
er tilgjengelige for virksomhetene som er ansvarlige
for nasjonale felleskomponenter. Andre tiltak
er verdivurdering og risikoanalyse, sikkerhetsrevisjon,
samarbeid om sterke IKT-sikkerhetsmiljøer
og inntrengingstesting. Difis rolle i denne
sammenheng er å gi råd og veiledning til virksomhetene
om hvordan de skal tilnærme seg arbeidet,
og å legge til rette for erfaringsutveksling. Dette
gjøres i samarbeid med forskningsmiljøene og
med bistand fra NSM.

21.3 Regulere elektronisk identitet

Problembeskrivelse (NOU 2015: 13, punkt 22.6.3)

Lysneutvalget skriver at e-ID-feltet har vært preget
av noe ubesluttsomhet siden arbeidet begynte
rundt årtusenskiftet. Gjentatte ganger har et
offentlig ID-kort med tilhørende e-ID vært på
trappene, uten at det har blitt noe av. Det er i dag
flere private aktører som utsteder e-ID, og det er
ulike behov for e-ID mellom virksomheter og sektorer.
Utvalget anbefaler følgende fem tiltak vedrørende
e-ID:

1. Kartlegge personinformasjon som tilflyter e-
ID-leverandørene ved bruk. Løsninger med tiltrodde
tredjeparter innebærer at e-ID-leverandøren
får vite hva brukere gjør med sin elektroniske
identitet på nettet. Nkom bør sammen
med utstederne lage en samlet oversikt over
hvor mye personinformasjon som tilflyter de
forskjellige e-ID-leverandørene ved bruk av e-
ID-en, og hvordan denne informasjonen lagres.
Videre bør Kommunal- og moderniseringsdepartementet
gjennomgå reguleringen på området,
slik at e-ID-leverandørene ikke tvinges til å
oppbevare unødvendig personinformasjon.

2. Kommunal- og moderniseringsdepartementet
bør utarbeide én tydelig definisjon av sikkerhetsnivåene.
Den bør ta utgangspunkt i kombinasjoner
av angriperens evne og konsekvensen
av angrepet. Det må være enkelt å avgjøre om
en e-ID når et sikkerhetsmål. Dette bør gjøres
samtidig med tilpasningene i forbindelse med
den nye EU-forordningen.1

3. Bruken av innloggingsportaler til engangspålogging
bør begrenses, da slike portaler observerer
all innlogging til svært mange tjenester,
og feilaktig integrasjon av e-ID-ene kan svekke
sikkerheten.

4. Man bør forbedre eksisterende e-ID-løsninger
fremfor å vente på det nasjonale ID-kortet. Difi
bør videreutvikle den eksisterende MinID-løsningen,
blant annet ved å tilby en sikrere utstedelse
av identiteter, tilsvarende «kvalifiserte
sertifikater», og bedre tekniske løsninger. Difi
og Nkom bør sammen oppmuntre til og kreve
økt sikkerhet og åpenhet hos private leverandører,
fortrinnsvis basert på standard tekniske
løsninger.

5. Myndighetene bør utvise varsomhet med å
tilby tjenester med sensitive personopplysninger
til hele befolkningen.

Status på tiltak

Elektronisk identitet reguleres gjennom Lov om
elektronisk signatur (2001), Rammeverk for autentisering
og uavviselighet i elektronisk kommunikasjon
med og i offentlig sektor (2008) og gjennom
Kravspesifikasjon for PKI i offentlig sektor (2010).
Lov om elektronisk signatur sorterer under
Nærings- og fiskeridepartementet. Kravspesifikasjonen
er hjemlet i eForvaltningsforskriften § 27.
Både rammeverket og kravspesifikasjonen sorterer
under Kommunal- og moderniseringsdepartementets
ansvarsområde og er en del av gjeldende
strategi for bruk av e-ID.

Det foregår nå flere prosesser som vil berøre
reguleringen av elektronisk identitet og Lysneutvalgets
fempunktsliste med anbefalinger. Regjeringen
har vedtatt at nasjonalt ID-kort skal utstyres
med en e-ID, og at denne e-ID-en skal være et
supplement til dagens markedsløsninger som
benyttes for pålogging i ID-porten. Lanseringen
vil skje i 2018.

Regjeringen ønsker at Norge skal være en del
av det digitale indre markedet i Europa. Et
hovedelement i dette er at de europeiske landene
skal godkjenne hverandres løsninger for elektronisk
identifisering, e-ID, og en rekke såkalte tillitstjenester
som legger til rette for elektronisk samhandling.
EU-forordningen om e-ID og elektroniske
tillitstjenester (eIDAS) vil bli implementert
som egen lov og erstatte dagens lov om elektronisk
signatur (esignaturloven). Nærings- og fiskeridepartementet
har ansvaret for gjennomføring
av forordningen i samarbeid med Kommunal- og
moderniseringsdepartementet. Justis- og beredskapsdepartementet
vil følge opp at samfunnssikkerhetsperspektivet
ivaretas i arbeidet.

Formålet med endringene er å legge til rette
for økt elektronisk samhandling mellom næringsdrivende,
borgere og offentlige myndigheter på
tvers av landegrensene i EU/EØS og dermed
bidra til sterkere økonomisk vekst i det indre marked.

1 Electronic identification and trust services (eIDAS).

[...]

22.10 Utkontraktering og skytjenester

Problembeskrivelse (NOU 2015: 13, punkt 23.7)

Bruk av utkontraktering og skytjenester i både
offentlig og privat virksomheter er forventet å øke
i årene fremover. Selv om utkontraktering og
bruk av skytjenester kan bidra til økt teknisk IKTsikkerhet,
fritas ikke virksomheten for IKT-sikkerhetsansvaret
og -arbeidet.

Lysneutvalget mener regjeringens påbegynte
arbeid for å fjerne unødige hindringer, rydde opp i
lovtekniske hindringer og legge til rette for sikre
løsninger er viktig. Særlig bør arbeidet som
omhandler hva slags informasjon som kan lagres
hvor, herunder arkivlovens og bokføringslovens
bestemmelser, belyses. Det bør også gjennomføres
en felles utredning på tvers av sektorene, slik
at det etableres en felles tilsynspraksis for data
lagret i skytjenester. Dette inkluderer bruk av
tredjepartsrevisorer.

I en særmerknad fra et av utvalgsmedlemmene
legges det vekt på at Justis- og beredskapsdepartementet
i politikkutformingen knyttet til
digitale sårbarheter og skytjenester også må se
muligheten teknologien gir for å øke sikkerheten.
Dette bør utføres i samråd med Nærings- og fiskeridepartementet
og Kommunal- og moderniseringsdepartementet.

Status på tiltak

I 2016 la Kommunal- og moderniseringsdepartementet
fram en nasjonal strategi for bruk av
skytjenester. Målet med strategien er å synliggjøre
hvordan offentlige og private virksomheter
kan ha utbytte av å bruke skytjenester, og når
slike tjenester er egnet for bruk i offentlig sektor.
Departementet har gitt Difi i oppdrag å etablere et
kompetansemiljø og veiledningsressurser knyttet
til anskaffelse av skytjenester. Dette inkluderer
vurderinger knyttet til sikkerhet og risiko, herunder
verdivurdering av informasjon, og å samle
anbefalinger fra de ulike sektorene på dette området.

Kommunal- og moderniseringsdepartementet
vurderer også om det skal utvikles en markedsplass
eller andre mekanismer som gjør vurdering
og anskaffelse av skytjenester enklere for virksomhetene.

Kommunal- og moderniseringsdepartementet
har startet et arbeid med å harmonisere måten
ulike tilsyn jobber på når de fører tilsyn med informasjonssikkerhet
i skytjenester. Erfaringen så
langt er at ulikhetene i tilsynspraksis er mindre
enn man tidligere har fått inntrykk av. Kommunalog
moderniseringsdepartementet opplever at tilsynene
er interessert i å dele erfaringer og lære
av hverandre på dette området.

Kommunal- og moderniseringsdepartementet
har diskutert bruk av tredjepartsrevisjoner med
tilsyn. Det er få tilsyn som har konkrete erfaringer
med dette, men de som har det, har gjennomgående
positive erfaringer. Dette er også et område
som er viktig for EU-kommisjonen, og Kommunalog
moderniseringsdepartementet både deltar i og
følger med på det arbeidet som skjer innenfor
skytjenester og fri flyt av data i EU. Regjeringen
vurderer det slik at det ikke vil være hensiktsmessig
å sette i gang en egen utredning på dette området,
men man fortsetter med å vurdere status og å
delta i relevant EU-arbeid på området.

Kulturdepartementet har hatt revidert arkivforskrift
på høring. Høringsfrist var 15. januar
2017. Den reviderte forskriften åpner for lagring
av digitale offentlige arkiv i utlandet (§ 22), gitt at
leverandøren tilfredsstiller de krav som stilles for
oppbevaring av arkivmateriale. Kommunal- og
moderniseringsdepartementet vil nå også se på
en mulig utvidelse i hvor man kan lagre bokføringsdata.
I dag er det kun tillatt å lagre dette i
Norden.

Justis- og beredskapsdepartementet, Forsvarsdepartementet
og Kommunal- og moderniseringsdepartementet
vurderer muligheten for å etablere
en skyløsning med høyt sikkerhetsnivå. Et viktig
formål er å vurdere hvordan sentrale myndigheter
med særskilte sikkerhetsbehov også kan utnytte
de effektiviseringsmulighetene som skytjenester
gir. NSM og Difi gjennomfører vurderingen.

Se nærmere omtale av tjenesteutsetting under
punkt 6.4.

22.11 Regulering av kryptografi

Problembeskrivelse (NOU 2015: 13, punkt 23.8)
Kryptografi er teknikker som skal sikre informasjonens
opphav, hindre innsyn og avdekke endring.
Bruk av kryptografiske mekanismer har stor
betydning for IKT-sikkerhet og er en forutsetning
for sikker elektronisk kommunikasjon. Lysneutvalget
er av den oppfatning at bruk av kryptografi
ikke skal reguleres eller forbys i Norge. Norske
myndigheter bør arbeide aktivt mot regulering
eller forbud internasjonalt. Ved økt bruk av kryptografiske
mekanismer for å beskytte informasjon
og kommunikasjon bør nye etterforskningsmetoder
utvikles for å sikre effektivt politi- og etterretningsarbeid.

Status på tiltak

Bruk av kryptering skal ikke forbys eller reguleres
Regjeringen legger til grunn at utvalget mener at
kryptering ikke skal forbys eller begrenses gjennom
lov. Dette berører ikke dagens regulering av
kryptosikkerhet i sikkerhetsloven. Regjeringen
legger dessuten til grunn at når utvalget skriver
«ikke reguleres» / «arbeide aktivt mot regulering
», mener det ikke regulering i form av pålegg
om kryptering gjennom lov, slik det blant annet er
krav om gjennom de ulike regelverkene for sikring
av personopplysninger.

Regjeringen slutter seg generelt til utvalgets
konklusjoner om ikke å forby eller regulere bruk
av kryptografi. Kryptering og tilgang til robuste
krypteringsmetoder er en forutsetning for å
kunne kommunisere med trygghet for at kommunikasjonsinnholdet
ikke fanges opp.

Norske myndigheter bør arbeide aktivt mot
regulering eller forbud internasjonalt

Myndighetene fremholder sine synspunkter i
relevante internasjonale fora, for eksempel EU og
OECD.

Utvikling av nye etterforskningsmetoder

Behovet for utvikling av nye etterforskningsmetoder
henger tett sammen med punktet over om
utbredelsen av kryptering. Økt bruk av kryptering
skaper utfordringer for politi og påtalemyndighet.

Regjeringen foreslo i Prop. 68 L (2015–2016)
Endringer i straffeprosessloven mv. (skjulte tvangsmidler)
lovendringer som skulle gi politiet utvidet
adgang til å benytte skjulte tvangsmidler ved
etterforskning, avverging og forebygging av alvorlige
lovbrudd. Blant annet ble det foreslått å innføre
dataavlesing som et nytt, skjult tvangsmiddel
med hjemmel i straffeprosessloven nye §§ 216 o
og 216 p. Forslaget var begrunnet i «et stort og
udekket behov for effektiv tilgang til elektronisk
lagret og kommunisert informasjon. Informasjon
produseres, bearbeides, kommuniseres og lagres
i dag ofte elektronisk og ved bruk av mobile tjenester.
Samtidig øker bruken av krypteringsløsninger
og andre metoder for beskyttelse av slik
informasjon». Forslaget ble vedtatt med bred
støtte i Stortinget, med enkelte mindre endringer.
Lov 17. juni 2016 nr. 54 om endringer i straffeprosessloven
mv. (skjulte tvangsmidler) trådte delvis
i kraft 17. juni 2016, med unntak av bestemmelsene
om dataavlesning, som på grunn av forskriftsendringer
først trådte i kraft 9. september 2016.

For øvrig vil regjeringen påpeke at ved vurdering
av nye etterforskningsmetoder er det helt
avgjørende å vurdere personvernkonsekvenser
ved de nye metodene grundig og å se inngrepet
de nye metodene representerer, i sammenheng
med allerede eksisterende personverninngrep.

Norsk kryptopolitikk

NSM har et tett samarbeid med norsk kryptoindustri
for å utvikle høygraderte kryptoløsninger.
Det er en langsiktig prosess å bygge opp kompetanse-
og forskningsmiljøer, og kunnskap om
kryptering må vedlikeholdes dersom den skal
være relevant. Uten kompetente nasjonale fagmiljøer
vil norske myndigheter og bedrifter måtte forholde
seg til utenlandske aktører for å innhente
kvalifiserte vurderinger og råd om kryptografiske
systemer. Dette vil være uheldig sett fra et nasjonalt
sikkerhetsperspektiv.

For å bidra til å sikre nødvendig nasjonal kryptokompetanse
og stimulere til innovasjon og produktutvikling
vil Forsvarsdepartementet og Justisog
beredskapsdepartementet revidere nasjonal
kryptopolitikk.4

4 Meld. St. 10 (2016–2017) Risiko i et trygt samfunn.

Se også saken på regjeringen.no.