NOU 2016: 19 Samhandling for sikkerhet — Beskyttelse av grunnleggende samfunnsfunksjoner i en omskiftelig tid

NOU 2016: 19 i PDF.

Utdrag:

1.2 Utvalgets mandat

[...]

Informasjonssikkerhet

Det er et økende trusselnivå mot norske IKTbaserte
informasjonssystemer, og det avdekkes
jevnlig flere sårbarheter. Systemene utsettes
for stadig mer avanserte angripere som jobber
målbevisst og langsiktig med det formål å
få innpass i disse systemene. Dette stiller krav
om tidsriktige og dynamiske verktøy for
beskyttelse mot IKT-trusler.

Sikkerhetsloven
gir bestemmelser for håndtering av informasjon
som er sikkerhetsgradert, og som skal
beskyttes av hensyn til rikets sikkerhet og
andre vitale nasjonale sikkerhetsinteresser.
Imidlertid finnes det også i våre ugraderte
systemer svært mye informasjon som kan
være sensitiv og samfunnsviktig. I tillegg kan
de ugraderte IKT-systemene i seg selv være viktige for samfunnets funksjonsdyktighet.
Utvalget må ta stilling til i hvilken grad det er
behov for å beskytte også denne type informasjon
og IKT-systemer, herunder hva slags rettssubjekter
som eventuelt bør underlegges krav.
Utvalget må foreslå eventuell hensiktsmessig
regulering.

Utvalget skal se hen til EU-kommisjonens
forslag av 7. februar 2013 til direktiv om tiltak
for å sikre et høyt felles nivå for nettverk- og
informasjonssikkerhet i EU. Gjennom direktivet
etableres sektorovergripende minimumsstandarder
for nettverks- og informasjonssikkerhet.
Direktivets anvendelsesområde omfatter
offentlig forvaltning, tilbydere av
informasjonssamfunnstjenester, samt eiere og
driftere av samfunnskritisk IKT-infrastruktur.
En eventuell implementering av direktivet i
norsk rett vil forutsette at det etableres en lovhjemmel
for de krav direktivet oppstiller.

I tillegg til sikkerhetsloven foreligger det i
dag mange ulike lover og forskrifter som stiller
krav til informasjonssikkerhet. Noen er sektorspesifikke
mens andre er sektorovergripende.
Utvalget skal identifisere eventuelle behov for
en harmonisering av lovreguleringen på området.

Utvalget skal foreslå en modernisering av
Instruks 17. mars 1972 for behandling av dokumenter
som trenger beskyttelse av andre grunner
enn nevnt i sikkerhetsloven med forskrifter
(beskyttelsesinstruksen). Det skal også vurdere
om det er hensiktsmessig å implementere
reglene i ny lovgivning.

[...]

Kapittel 2
Oppsummering

Norge er et grunnleggende trygt samfunn. Utredninger
som avdekker sårbarheter og foreslår forbedringer
i den forebyggende sikkerheten rokker
ikke ved det. Samtidig er verden rundt oss, trusselbildet,
og samfunnet som skal beskyttes, mer
komplekst enn før. Staten må ha tilstrekkelige virkemidler
i møte med disse utfordringene på borgernes
vegne.

Statens aller viktigste oppgave er nettopp å
beskytte landets borgere og samfunnet de er en
del av. En stat som ikke evner å sikre sin egen og
borgernes overlevelse misligholder samfunnskontrakten
mellom stat og borger. For å ivareta denne
oppgaven og overholde samfunnskontrakten er
det helt avgjørende at staten makter å opprettholde
samfunnets grunnleggende funksjoner uavhengig
av hvilken ekstern påvirkning de utsettes
for.

Sikkerhetsutvalget ble oppnevnt blant annet
fordi anvendelsen av gjeldende sikkerhetslov
avdekket grunnleggende uenigheter knyttet til
lovens nedslagsfelt. Sammen med en negativ endring
i risiko- og sårbarhetsbildet medførte dette et
behov for en helhetlig gjennomgang og
nytenkning av forebyggende nasjonal sikkerhet.

Utvalget har i sitt arbeid stått overfor en rekke
grunnleggende avveininger, som har hatt direkte
innvirkning på hvordan en ny lov kan og bør innrettes.

Et helt sentralt og gjennomgående tema har
vært avveiningen mellom behovet for en helhetlig
og sektorovergripende tilnærming til forebyggende
sikkerhet på den ene siden, og ivaretakelsen
av den enkeltes samfunnssektors særegenheter
på den andre. Dette har betydning både for
hvilket nedslagsfelt en ny lov bør ha, og for hvordan
ansvars- og myndighetsfordelingen etter
loven bør være. Denne avveiningen har også
betydning for hvordan lovens krav bør innrettes.

Videre har en balansert avveining mellom
forebyggende sikkerhet, rettssikkerhet og personvern,
stått sentralt i utvalgets arbeid. En slik
avveining er viktig for å hindre at sikkerhetstiltak som isolert sett er effektive, i et videre perspektiv
undergraver de verdier som skal beskyttes. En
nedtoning av rettssikkerheten vil derfor på sikt
også svekke stats- og samfunnssikkerheten.

I tillegg har avveiningen mellom samfunnsøkonomisk
og bedriftsøkonomisk lønnsomhet vært et
viktig vurderingstema for utvalget. Sikkerhet har
en kostnadsside som det ikke er mulig å komme
utenom. I et samfunnsperspektiv vil de sikkerhetsmessige
gevinstene samtidig kunne overstige de
kostnadsmessige ulempene som enkeltvirksomheter
påføres. Et grunnleggende premiss for
utvalget er at kostnader som følger av loven, skal
stå i et rimelig forhold til de nyttevirkningene som
faktisk oppnås ved tiltaket.

Utvalget anbefaler i sitt lovforslag følgende:

– Lovens formål bør være å beskytte grunnleggende
samfunnsfunksjoner. Det er disse funksjonene
en trusselaktør vil forsøke å ta ut ved et
anslag som rammer Norges mest grunnleggende
interesser.

– Lovens virkeområde bør utvides og samtidig
være mer målrettet. Virksomheter som er av
kritisk betydning for at grunnleggende samfunnsfunksjoner
skal kunne opprettholdes, bør
underlegges loven uavhengig av eierskap eller
organisasjonsform. En forutsetning for en slik
utvidelse er at lovens krav har en funksjonell
innretning som kan tilpasses den enkelte samfunnssektor.

– De generelle prinsippene for krisehåndtering
og beredskap bør ligge fast, samtidig som
behovet for en helhetlig og sektorovergripende
tilnærming til forebyggende sikkerhet ivaretas.
Dette bør gjenspeiles både i hvordan
ansvar og myndighet fordeles, og i hvordan tilsyn
med virksomheter som er underlagt loven
skal innrettes.

– Loven bør pålegge norske myndigheter en rådgivningsplikt
overfor virksomheter som omfattes
av loven, og en plikt til å legge til rette for at
sikkerhetsrelevant informasjon deles med
berørte aktører.

– Alle informasjonssystemer som er av kritisk
betydning for grunnleggende samfunnsfunksjoner,
bør omfattes av loven. Dette gjelder
informasjonssystemer som behandler sikkerhetsgradert
informasjon, og andre systemer
som er av kritisk betydning for opprettholdelse
av samfunnsfunksjonene.

– Loven bør ha et systemfokus som også omfatter
beskyttelse av infrastruktur som er av kritisk
betydning for samfunnsfunksjonene.

– Loven må legge til rette for effektiv forebygging
og avdekking av at utro tjenere får tilgang
til informasjon eller områder hvor skadepotensialet
er stort.

– Det bør etableres en mekanisme for å kontrollere
og i ytterste konsekvens stanse utenlandske
oppkjøp av selskaper som er av kritisk
betydning for grunnleggende samfunnsfunksjoner.

Samfunnsutviklingen i stort har aktualisert og forsterket
behovet for en mer helhetlig tilnærming til
arbeidet med forebyggende nasjonal sikkerhet.
En økende grad av digitalisering har resultert i
økte gjensidige avhengigheter på tvers av tradisjonelle
skillelinjer mellom samfunnssektorer, mellom
privat og offentlig virksomhet, og mellom
sivile samfunnssektorer og landets militære forsvar
og forsvarssektoren for øvrig. Samtidig har
fremveksten av et nettverksbasert samfunn ført til
at de samme skillelinjene er blitt mindre markante.
Denne utviklingen har vært positiv og gitt
et avansert samfunn som kan håndtere store oppgaver,
men har også skapt nye sårbarheter.

For å møte gamle og nye utfordringer mener
utvalget at en ny lov på en balansert måte må ivareta
både hensynet til den enkelte sektors særegenheter
og behovet for sektorovergripende og
helhetlig styring av den samlede nasjonale sikkerheten.
På denne måten kan det bygges bro over
de motsetningene som har gjort det vanskelig å
anvende dagens sikkerhetslov. Dette fordrer en
funksjonell innretning på loven, med sektortilpasninger
som ansvarliggjør både den enkelte samfunnssektor
og den enkelte virksomhet.

Videre er
det avgjørende at tiltak som skal redusere sårbarheter
eller forebygge uønskede hendelser også er
samfunnsøkonomisk lønnsomme. Kostnader som
påløper i forbindelse med lovpålagte sikkerhetstiltak
må stå i et rimelig forhold til den sikkerhetsmessige
gevinsten som oppnås ved tiltaket. Det er
her viktig å ha for øye at det kan være svært store
kostnader ved å rammes av terrorisme, sabotasje
og spionasje, både materielt og i form av tapte
menneskeliv. Utvalget mener at de kostnadene som påføres virksomheter som følge av de krav
som oppstilles i loven både er nødvendige og riktige
sett i lys av dagens trusselbilde.

Forebyggende nasjonalt sikkerhetsarbeid er
et felles anliggende. Fra virksomhets- til regjeringsnivå
gjelder samme logikk: Nasjonen Norge
er ikke sterkere enn det svakeste ledd, og reell
samhandling for sikkerhet er den viktigste forutsetningen
for å lykkes i å forbedre Norges sikkerhet
– skritt for skritt.

[...]

2.4 Beskyttelse av
informasjonssystemer

Digitaliseringen av samfunnet har bidratt til økt
IKT-avhengighet for virksomheter som understøtter
grunnleggende nasjonale funksjoner. Digitale
angrep utgjør en alvorlig og økende trussel mot
norske verdier, og det oppdages stadig nye sårbarheter
i IKT-systemene.

Utfordringene begrenser seg ikke til informasjonssystemer som behandler sikkerhetsgradert
informasjon. Utvalget anbefaler derfor at alle
informasjonssystemer som er av kritisk betydning
for grunnleggende nasjonale funksjoner, omfattes
av loven. Det vil omfatte alt fra tradisjonelle informasjons-
og kommunikasjonssystemer til kontroll-
og styringssystemer. Avgjørende for om
informasjonssystemet skal beskyttes etter loven,
er hvilken rolle systemet har i virksomhetens
understøttelse av en grunnleggende nasjonal
funksjon.

[...]

5.7 Avveiningen mellom nasjonal
sikkerhet og rettssikkerhet og
personvern

Et komplekst og sammensatt risiko- og trusselbilde,
kombinert med en rask teknologisk utvikling,
skaper nye sårbarheter og utfordringer for
samfunnet som helhet. Hensynet til å ivareta
nasjonal sikkerhet nødvendiggjør en robust
grunnsikring for våre mest sentrale samfunnsfunksjoner.
Den teknologiske utviklingen representerer
samtidig nye muligheter for å styrke den
forebyggende sikkerheten.

Personvern, rettssikkerhet og nasjonal sikkerhet
er grunnleggende verdier i et demokratisk
samfunn, hvor ingen av natur er mer tungtveiende
enn andre. Ivaretakelse av alle disse verdiene er
essensielt for å opprettholde demokratiet og rettsstatsprinsippene.

I tråd med statens forpliktelser etter Grunnloven
og EMK må inngripende tiltak ha hjemmel i
formell lov. Særlig inngripende tiltak tilsier at en
legger et strengt legalitetsprinsipp til grunn, med
en så klar og uttømmende regulering som mulig.
Slik sikres forutberegnelighet og det skapes
grunnlag for effektiv legalitetskontroll og domstolsprøving.
Også hensynet til en åpen demokratisk
diskurs om de motstående hensynene, tilsier
at lovgiver går konkret inn på de mange dilemmaer
en her står overfor.

Som et generelt utgangspunkt vil utvalget
legge følgende prinsipper og retningslinjer til
grunn ved vurderingen av sikkerhetsmessige tiltak
som kan få en negativ innvirkning på den
enkeltes rettssikkerhet og personvern:

– Presisjon i formulering av hjemmel for sikkerhetstiltaket
(lovskravet)

– Vurdere hvilken effekt man får ved sikkerhetstiltaket,
sett opp mot allerede eksisterende tiltak
(formålsmessighet)

– Vurdere forholdsmessigheten mellom den sikkerhetsmessige
effekten og hvor inngripende
tiltakene er i forhold til personvern og rettssikkerhet
(forholdsmessighet)

– Vurdere alternative, og mindre inngripende,
tilnærminger til å oppnå samme effekt (subsidiaritetsprinsippet)

– Etablere tilstrekkelige personvern- eller rettssikkerhetsgarantier
der det gjøres inngrep i den enkeltes rettssfære (prosessuelle mekanismer)

Denne fremgangsmåten vil slik utvalget ser det
også ivareta de krav som stilles for unntak i Personvernforordningen
art. 23, se kapittel 5.3.2.

Slik utvalget ser det vil personvernmessige konsekvenser
i første rekke gjøre seg gjeldende innenfor
regelverket for personellsikkerhet. Innen personellsikkerhet
skjer det en utstrakt behandling av personopplysninger,
med det siktemål å kontrollere den
enkeltes sikkerhetsmessige skikkethet. I tillegg er det
enkelte andre områder innen forebyggende sikkerhet,
hvor sikkerhetsmessige hensyn gjør det nødvendig
å behandle personopplysninger i en viss utstrekning,
særlig sikkerhetstiltak innenfor informasjonssystemsikkerhet.

Når det gjelder inngrep overfor selvstendige
rettssubjekter, som staten ikke har alminnelig
instruksjons- og kontrollmyndighet over, vil det være
sentralt at det etableres tilstrekkelige og tilfredsstillende
rettssikkerhetsgarantier der det gjøres inngrep
overfor slike rettssubjekter.

I den utstrekning utvalget foreslår inngrep i den
enkeltes rettssikkerhet, eller foreslår tiltak som har
betydning for selvstendige rettssubjekters rettssikkerhet,
vil utvalget så godt det lar seg gjøre forsøke å
begrunne det sikkerhetsmessige behovet for at slike
inngrep gjøres, herunder om alternative og mindre
inngripende tilnærminger kan gi tilstrekkelig sikkerhetsmessig
effekt. Utvalgets vil videre forsøke å
påse at hensynet til formålsmessighet og forholdsmessighet
ivaretas ved utforming av regelverket, og
at det etableres nødvendige garantier for å sikre at
personvern og rettssikkerhet ivaretas på en tilfredsstillende
måte.

[...]

Kapittel 8
Informasjonssikkerhet

8.1 Innledning

Den teknologiske utviklingen og digitaliseringen
siden dagens sikkerhetslov ble vedtatt har hatt
store konsekvenser både for samfunnet som helhet
og for virksomheter av betydning for nasjonal
sikkerhet. Blant annet har digitaliseringen av samfunnet
bidratt til større grad av tverrsektorielle
avhengigheter, mer elektronisk behandling av sikkerhetsgradert
materiale og økt IKT-avhengighet
for virksomheter med ansvar for grunnleggende
nasjonale funksjoner.

Det er slått fast i mandatet, ble gjentatt og
ytterligere belyst av Lysne-utvalget, og er også
blitt bekreftet gjennom utvalgets arbeid, at digitale
angrep utgjør en alvorlig og økende trussel
mot norske verdier, og at det stadig oppdages nye
sårbarheter i våre IKT-systemer. Dagens regelverk
om informasjonssikkerhet er ikke godt nok
tilpasset det digitaliserte samfunnet og den raske
utviklingen.

Samfunnsendringene gjør det nødvendig å
videreutvikle regelverket om informasjonssikkerhet
for virksomheter som er underlagt sikkerhetsloven.
En ny sikkerhetslov må ta høyde for fortsatt
rask utvikling i samfunnet generelt og IKT
spesielt. Den nye loven må videre anerkjenne at
grunnleggende nasjonale funksjoner i stor
utstrekning er avhengig av velfungerende IKTsystemer
og -infrastruktur. Dette gjelder:

– informasjonssystemer som behandler sikkerhetsgradert
informasjon, som uttrykkelig skal
beskyttes etter dagens lov

– andre IKT-systemer som er av kritisk betydning
for grunnleggende nasjonale funksjoner.
Det kan være informasjons- og kommunikasjonssystemer
i en virksomhet som er så viktig
at dersom de ikke virker, evner ikke virksomheten
å opprettholde sin kritiske rolle i understøttelsen
av en grunnleggende nasjonal funksjon

– kontroll- og styringssystemer som har en
avgjørende rolle for styring av viktige prosesser og tjenesteleveranser i ulike sektorer som
følge av økt digitalisering, eksempelvis i infrastruktur
for telekom og strømproduksjon.

De to sistnevnte IKT-systemene er av kritisk
betydning for grunnleggende nasjonale funksjoner,
men beskyttes ikke direkte i dagens lov –
med mindre de er utpekte som skjermingsverdige
objekter etter objektsikkerhetsregelverket.

Utvalgets mål med nye regler for informasjonssikkerhet
er at reglene skal være tilpasset
digitaliseringen av samfunnet. Reglene må legge
til rette for et forsvarlig og tilpasset sikkerhetsnivå
for den enkelte virksomhet, både sett opp imot
dagens trussel- og sårbarhetsbilde og fremtidige
utfordringer.

Dagens sikkerhetslov beskytter informasjon
særlig mot faren for at den blir kjent for uvedkommende.
Utvalget har vurdert om ivaretakelse av
informasjonens integritet og tilgjengelighet er tilstrekkelig
ivaretatt i dagens sikkerhetslovgivning.

Utvalget har også sett nærmere på om dagens
bestemmelser om informasjonssystemsikkerhet
gir god nok beskyttelse. Utvalget har herunder
drøftet hvor i loven de nye bestemmelsene om
beskyttelse av informasjonssystemer bør plasseres.
IKT-systemer som behandler sikkerhetsgradert
informasjon har nær sammenheng med informasjonssikkerhet,
mens kontroll- og styringssystemer
hører mer naturlig sammen med infrastruktursikkerhet.
Imidlertid er det også en del
fellesnevnere, hvilket taler for en felles behandling
av alle typer IKT-systemer.

En neste utfordring har vært detaljeringsnivået
på bestemmelsene. Det er svært ulike IKTsystemer
som skal beskyttes og reglene skal fungere
over tid – to momenter som taler for et lavt
detaljeringsnivå. Samtidig er det viktig at regler
som har personvernkonsekvenser er så detaljerte
at det er mulig å forstå hva de faktisk innebærer –
et moment som tilsier et høyere detaljeringsnivå.
Mandatet nevner særskilt at utvalget må vurdere
behovet for å beskytte informasjon som er
sensitiv, men ugradert. Utvalget mener dette først og fremst må ses i tilknytning til lovens virkeområde
og tydeligere regler om beskyttelse av IKTsystemer.

Ifølge mandatet skal utvalget «se hen til EUkommisjonens
forslag av 7. februar 2013 til direktiv
om tiltak for å sikre et høyt felles nivå for nettverk-
og informasjonssikkerhet i EU». Utvalget er
også bedt om å identifisere eventuelle behov for
en harmonisering av den fragmenterte lovreguleringen
av informasjonssikkerhet, samt å foreslå
en modernisering av beskyttelsesinstruksen.

Når informasjon sikkerhetsgraderes, gjøres
den samtidig utilgjengelig for allmennheten.
Offentlighetsprinsippet er viktig og må ivaretas.
Utvalget vurderer derfor det nye lovforslaget opp
mot offentlighetsloven.

Det finnes en rekke lover og forskrifter som
regulerer informasjonssikkerhet i Norge. Noen
regler er sektorovergripende og andre er sektorspesifikke.
Sikkerhetsloven og forskrift om informasjonssikkerhet
står helt sentralt for beskyttelse
av informasjon som har betydning for nasjonal sikkerhet,
og blir gjennomgått først. Videre vil utvalget
behandle sektorovergripende- og sektorspesifikt
regelverk.

[...]

8.2.1.3 Monitoring

Etter at systemene er tatt i bruk kan de kontrolleres
ved inspeksjon, monitoring og inntrengningstesting
for å avdekke uregelmessigheter i
behandlingen av gradert informasjon og undersøke
systemenes motstandsdyktighet og sikkerhetstilstand.

Monitoring av informasjonssystemer som sikkerhetstiltak
reguleres i sikkerhetsloven § 15 og
informasjonssikkerhetsforskriften kapittel 11.
Kort fortalt gis virksomheten anledning til å
benytte seg av Nasjonal sikkerhetsmyndighets
kompetanse for gjennomføring av dette spesifikke
tiltaket.

Begrepet monitoring i sikkerhetslovens forstand
innebærer ifølge forarbeidene kontroll av
«tjenestlig kommunikasjon i og mellom informasjonssystemer,
gjennom avlytting av tale eller avlesing
av elektroniske signaler». Hensikten med
monitoring er «å avdekke om det lagres, behandles
eller kommuniseres informasjon med høyere
sikkerhetsgrad eller skjermingsverdi enn det
systemet er godkjent for», jf. informasjonssikkerhetsforskriften
§ 11-1.

Monitoring er et inngripende tiltak og i forarbeidene
diskuteres behovet for monitoring opp
mot personvern- og rettssikkerhetskonsekvensene.
Om behovet for videreføring av tiltaket og
om hensynet til personvernet uttales det at:

Det er departementets syn at monitoring er et
viktig tiltak for å oppnå god forebyggende
informasjonssikkerhet, og at monitoringtjenesten
således bør opprettholdes. Sikkerhetsbrudd
forekommer fremdeles. Rapporter fra
Nasjonal sikkerhetsmyndighet om sikkerhetsbrudd
blir tatt alvorlig av avdelinger i Forsvaret,
og ordningen må antas å ha en positiv
effekt ved å bidra til å hindre at et større antall
kompromitteringer forekommer. Ordningen er
et supplement, ikke et alternativ, til andre virkemidler
for å oppnå respekt for skjermingsverdig
informasjon. For øvrig bør nevnes at
dagens monitoringstjeneste uansett må opprettholdes
som følge av forpliktelser etter
NATOs regelverk. […]

De gjeldende restriktive begrensninger
mht gjennomføringen av kontrollen, vil naturligvis
bli opprettholdt. Den Norske Advokatforening
uttaler om dettte i sin høringsuttalelse
at en «... har merket seg at det foreslås lovfestet
at monitoring ikke i noe tilfelle skal omfatte privat
kommunikasjon som blir formidlet til eller
fra andre enn virksomheter og at informasjon
som fremkommer ved kontroll skal makuleres
når den ikke lenger har betydning for kontrollen.
Av personvernhensyn er det viktig at det i
forskriftene etableres betryggende kontrollrutiner
for å sikre at disse regler blir fulgt.»
Departementet slutter seg til uttalelsen, og vil
sørge for at betryggende kontrolltiltak iverksettes.
3

Om konklusjonen uttaler departementet:

Dagens monitoringsvirksomhet har etter
departementets oppfatning et aktverdig formål,
representerer ikke et uforholdsmessig
inngrep og kan ikke ses å ha vesentlige rettssikkerhetsmessige
implikasjoner, bl.a tatt i
betraktning de begrensninger og retningslinjer
for gjennomføring av monitoring som er
nedfelt i gjeldende direktiver gitt av Forsvarssjefen.
Selv om hjemmelsgrunnlaget anses tilfredsstillende
i dag, basert på eierrådighetsbetraktninger
og avtale-/samtykkesynspunkter,
vil det være naturlig å lovfeste hovedreglene
om monitoring i en samlet lov om forebyggende
sikkerhetstjeneste.

Av rettssikkerhets- og personvernhensyn stiller
loven flere absolutte krav som må være oppfylt før
monitoring kan iverksettes. Den virksomhet som
skal kontrolleres må enten selv anmode om eller,
dersom NSM har tatt initiativet, samtykke til gjennomføring
av kontrollen. Samtykket eller anmodningen
skal skje skriftlig, jf. informasjonssikkerhetsforskriften
§ 11-4 fjerde ledd. Monitoring kan
dessuten kun iverksettes i virksomheter som er
underlagt sikkerhetsloven og bare tjenestlig kommunikasjon
kan kontrolleres. Dersom det i løpet
av kontrollen viser seg at nevnte vilkår ikke er
oppfylt, skal monitoringen avbrytes umiddelbart,
jf. informasjonssikkerhetsforskriften § 11-7.

Det stilles også krav om at alle ansatte og
andre direkte berørte må varsles i forkant om at
det vil bli gjennomført kontroll, om hensikten
med og varigheten av kontrollen, at NSM gjennomfører
og på hvilken måte kontrollert informasjon blir behandlet. Det er kun NSM som kan
gjennomføre monitoring i henhold til sikkerhetsloven.
Etter endt monitoring skal NSM rapportere
til virksomheten om resultatet av kontrollen.

8.2.1.4 Inntrengning i informasjonssystemer

Inntrengningstesting reguleres sammen med
monitoring i sikkerhetsloven § 15 og informasjonssikkerhetsforskriften
kapittel 11. De to sikkerhetstiltakene
har en del til felles, men det er
også noen forskjeller.

Hensikten med inntrengningstesting er å kontrollere
om sikkerhetsgradert informasjon blir
beskyttet i samsvar med fastsatte krav, gjennom
prøving av motstandsdyktigheten i informasjonssystemer,
jf. informasjonssikkerhetsforskriften
§ 11-2.

Som for monitoring kan kontrollen i utgangspunktet
kun gjennomføres i virksomheter underlagt
sikkerhetsloven, og det er NSM som står for
gjennomføringen. Videre må det foreligge anmodning
eller samtykke fra virksomheten før inntrengningstesting
kan settes i gang. Det er også
tilsvarende regler om varsling av ansatte og andre
berørte. I tillegg skal det informeres om hvordan
eventuelle oppdagede avvik vil bli fulgt opp. Det er
ikke en tilsvarende regel om å avbryte kontrollen
dersom kontrolløren kommer over privat informasjon,
slik som det er for monitoring.

NSM skal rapportere til virksomheten etter at
kontrollen er ferdig.

8.2.1.5 Sikkerhetsmessig overvåkning av
informasjonssystemer

Regjeringen fremmet i Prop. 97 L (2015–2016) om
endringer i sikkerhetsloven, forslag om en ny
bestemmelse § 13a om sikkerhetsmessig overvåkning
av informasjonssystemer.

Forslaget går ut på at virksomhetene selv skal
sørge for overvåkning av sine informasjonssystemer,
med mål om å avdekke ulovlig inntrengning.
Begrunnelsen for lovfesting er dels at overvåkningen
kan gripe inn i personvernet, dels at
det er et økende behov for overvåkning og dels at
det må klargjøres hva som inngår i sikkerhetsmessig
overvåkning.

Overvåkningen skal bidra til å motvirke sikkerhetstruende
virksomhet mot informasjonssystemet,
særlig i form av ondsinnet programvare.
Overvåkning av systemet innebærer både registrering
og lagring av aktivitet i systemet (logging),
automatiserte alarmer og manuell sammenstilling

3 Ot.prp. nr. 49 (1996–97), 46–47.

og analyse av data relatert til sikkerhetstruende
hendelser. Som det fremgår av forarbeidene:

skal loggingen gjøre virksomheten i stand til å
foreta en vurdering av omfanget og karakteren
av skaden som har oppstått, gjenopprette sikker
tilstand, samt sikre sporbarhet og ansvarlighet
for utførte handlinger i samsvar med kravene
i sikkerhetsloven for øvrig.4

For at overvåkningen skal være effektiv, vil det i
mange tilfeller være behov for overvåkning også
av innholdet i kommunikasjonen. I den grad det
kommuniseres informasjon som er personsensitiv,
kan overvåkning kun tillates etter å ha fulgt
prosedyrene oppstilt i kapittel 5.7. Om ivaretakelse
av personvernhensyn uttales det i forarbeidene
s. 38):5

Departementet vil innledningsvis presisere at
forslaget er avgrenset til systemer som er godkjent
for behandling av sikkerhetsgradert
informasjon. Dette er systemer som er klare
etterretningsmål, og som derfor må ha et høyt
sikkerhetsnivå. Sikkerhetsmessig overvåking
av disse systemene slik at angrep på et tidlig
tidspunkt kan oppdages, og omfanget kartlegges,
framstår derfor etter departementets vurdering
som nødvendig. De systemer som vil
være gjenstand for overvåking etter forslagets
§ 13 er i mindre grad egnet til, eller beregnet
for, kommunikasjon av privat karakter, eller
annen type privat bruk. Dette er lukkede
systemer uten direkte tilknytning til internett.
Omfanget av privat kommunikasjon og privat
bruk av disse systemene vil derfor være
begrenset. Det vil likevel være slik at kommunikasjon
av privat karakter vil kunne forekomme,
da primært som e-post eller nettprat
med videre, mellom brukerne i det lukkede
systemet. […]

Omfanget av systemer som blir gjenstand
for sikkerhetsmessig overvåking etter § 13 a er
også av et begrenset omfang. Det er kun et
fåtall systemer i offentlig forvaltning som er
godkjent for å behandle sikkerhetsgradert
informasjon, og som således vil være underlagt
kravene til sikkerhetsmessig overvåking i § 13
a.

Det pekes også på mulige tiltak, blant annet særegen
lagring av loggdata, tilgangsrestriksjoner, informasjon, opplæring av personell, som skal ivareta
personvernhensyn. Departementet viser også
til forholdsmessighetsprinsippet i gjeldende sikkerhetslov
§ 6 om at det ikke skal brukes mer inngripende
midler og metoder enn det som framstår
som nødvendig. Det bemerkes dessuten at omfanget
av logging vil være større på høyt graderte
systemer enn på de lavere graderte systemene.

Stortinget har, i forbindelse med behandlingen
av Innstilling 352 L (2015–2016) til Prop. 97 L
(2015–2016) om endringer i sikkerhetsloven, vedtatt
regjeringens forslag til ny bestemmelse om
sikkerhetsmessig overvåkning av informasjonssystemer.
Ettersom den nye bestemmelsen ikke
har trådt i kraft ennå, er informasjonssikkerhetsforskriften
§ 5-2 fortsatt den gjeldende reguleringen
av sikkerhetsmessig overvåkning.

8.2.1.6 Tekniske sikkerhetsundersøkelser

Et siste tiltak som hjemles i sikkerhetsloven, er
tekniske sikkerhetsundersøkelser som skal
avdekke illegalt avlyttingsutstyr og eventuelle sårbarheter
i blant annet den fysiske sikringen.
Nasjonal sikkerhetsmyndighet kan i medhold av
§ 16 gjennomføre tekniske sikkerhetsundersøkelser
(TSU) av steder der sikkerhetsgradert informasjon
skal behandles, for å avverge uønsket
avlytting og innsyn.

Det nærmere innholdet er regulert i informasjonssikkerhetsforskriften
kapittel 10. Formålet,
bakgrunnen og behovet for TSU er beskrevet slik
i forarbeidene:

Hovedformålet med TSU-tjenesten er å avsløre
illegalt avlyttingsutstyr og eventuelt påvise de
svakheter i bygningskonstruksjoner, installasjoner
og fysisk sikring som er av en slik art at
de øker faren for avlytting o l, slik at nødvendige
forholdsregler kan iverksettes. TSU vil
også ha som formål å virke avskrekkende bl.a
overfor potensielle avlyttere. TSU-tjenesten må
opprettholdes også av hensyn til våre NATOforpliktelser.
6

I tillegg fremgår det av informasjonssikkerhetsforskriften
§ 10-1 at noe av hensikten med TSU er
å gi Nasjonal sikkerhetsmyndighet grunnlag for å
gi råd eller pålegg om hvordan sårbarhetene som
avdekkes kan reduseres eller fjernes.

Nasjonal sikkerhetsmyndighet kan delegere
TSU-oppdrag til andre, jf. sikkerhetsloven § 16.
Forskriften stiller krav om at de som eventuelt

4 Prop. 97 L (2015–2016), 39.
5 Prop. 97 L (2015–2016), Ibid., 38.

6 Ot.prp. nr. 49 (1996–97), 42.

bemyndiges til å gjennomføre TSU må ha leverandørklarering
for HEMMELIG eller høyere, at de
må rapportere til virksomhetens leder i etterkant
av gjennomført TSU, og at utstyr og teknikker
som benyttes i en TSU minst skal graderes
BEGRENSET.

Det forutsettes i forarbeidene at TSU som
hovedregel vil være avtalt med den enkelte virksomhet:

I motsetning til monitoring av og inntrengning
i informasjonssystemer, bør det ikke kreves at
virksomheten på forhånd skal være gjort kjent
med og ha gitt samtykke til undersøkelsene.
TSU blir kun utført der det (skal) behandles
eller tales skjermingsverdig informasjon. Tjenesten
må betraktes som en regulær godkjennings-
og inspeksjonsvirksomhet for å forebygge
og kontrollere at skjermingsverdig
informasjon ikke kompromitteres, og kan sammenlignes
med hva som gjelder ved inspeksjon
av dokumentsikkerhet. Det ligger imidlertid i
dagen at undersøkelsene normalt vil være forhåndsvarslet
og avtalt på forhånd med den
berørte virksomhet, da dette vil være mest hensiktsmessig
for begge parter og gjøre prosedyren
mer planmessig og effektiv.

At Nasjonal sikkerhetsmyndighet på eget initiativ
kan gjennomføre TSU, er direkte hjemlet i informasjonssikkerhetsforskriften
§ 10-2 andre ledd.

8.2.1.7 Kryptosikkerhet
Det går frem av sikkerhetsloven § 14 at «[b]are
kryptosystemer som er godkjent av Nasjonal sikkerhetsmyndighet,
tillates brukt for beskyttelse
av skjermingsverdig informasjon». Bestemmelsen
fastsetter også at Nasjonal sikkerhetsmyndighet
er nasjonal forvalter av kryptomateriell og leverandør
av kryptosikkerhetstjenester. De gis også
hjemmel til å fastsette nærmere bestemmelser om
krypto i forskrift, hvilket er gjort i informasjonssikkerhetsforskriften
kapittel 7.

[...]

Kapittel 14
Lovforslag

Forslag til ny lov om forebyggende nasjonal
sikkerhet (sikkerhetsloven)

Kapittel 1. Formål og virkeområde

§ 1-1 Lovens formål
Loven skal bidra til å trygge Norges suverenitet,
territorielle integritet og demokratiske styreform
ved å motvirke tilsiktede uønskede
hendelser som kan skade grunnleggende nasjonale
funksjoner.

Loven skal sikre at tiltak som iverksettes for å
ivareta lovens formål, gjennomføres på en måte
som er forenlig med grunnleggende rettsprinsipper
og verdier i et demokratisk samfunn.

[...]

§ 2-4 Nasjonal responsfunksjon for alvorlige
dataangrep

Kongen utpeker en nasjonal responsfunksjon
for alvorlige dataangrep mot skjermingsverdig
infrastruktur og et nasjonalt varslingssystem for
digital infrastruktur.

Når det er nødvendig for å beskytte grunnleggende
nasjonale funksjoner, kan den nasjonale
responsfunksjonen behandle personopplysninger
i form av

a) metadata om IKT-trafikk til og fra virksomheter
som er knyttet til det nasjonale varslingssystemet
for digital infrastruktur

b) informasjon som er nødvendig for å analysere
utløste alarmer i varslingssystemet

c) IP-adresser mottatt fra nasjonale og internasjonale
samarbeidspartnere

d) logger og infisert maskinvare, etter samtykke
fra en virksomhet der dette er nødvendig i forbindelse
med bistand til håndtering av alvorlige
dataangrep.

Behandling av andre former for personopplysninger
er kun tillatt når det er strengt nødvendig
for å beskytte grunnleggende nasjonale funksjoner.

Behandlingen skal i alle tilfeller være proporsjonal
med det inngrepet den representerer i personvernet.

Kongen kan gi forskrift om den nasjonale
responsfunksjonens behandling av personopplysninger.

[...]

§ 3-5 Tilsynsmyndighetens behandling av
personopplysninger

Når det er nødvendig for å utføre oppgavene
etter loven, kan tilsynsmyndigheten behandle
opplysninger som direkte eller indirekte kan knyttes
til en fysisk enkeltperson (personopplysninger).

Behandlingen av personopplysninger etter første
ledd må være proporsjonal med det inngrepet
den representerer i personvernet.

Behandlingen av personopplysninger etter første
ledd skal om mulig skje ved hjelp av virksomhetens
informasjonssystem, og uten at
personopplysninger blir kopiert eller overført til
tilsynsmyndigheten. Tilsynsmyndigheten kan
likevel kreve kopi av personopplysninger som er
nødvendige for å bekrefte, avkrefte eller dokumentere
at bestemmelser i loven er brutt. Virksomheten
skal varsles om hvilke opplysninger det
blir tatt kopi av.

Kongen kan gi forskrift om tilsynsmyndighetens
behandling av personopplysninger.

[...]

§ 6-4 Overvåking av skjermingsverdige
informasjonssystemer

Virksomheten skal kontinuerlig overvåke sine
skjermingsverdige informasjonssystemer for å
forebygge og håndtere tilsiktede uønskede hendelser
som kan skade informasjonssystemet. Hendelser
som er relevante for sikkerhetsarbeidet
skal registreres.

I den grad det er nødvendig for å ivareta formålet
med overvåkningen skal utveksling av informasjon
til, fra og i skjermingsverdige informasjonssystemer
registreres, lagres og analyseres.

Overvåkning av informasjonssystemer som
behandler personopplysninger skal begrenses til
de metoder og det omfang som er strengt nødvendig
for å ivareta formålet med overvåkningen.

Informasjon etter første og andre ledd kan
lagres i inntil fem år. Lagrede personopplysninger
kan kun benyttes i den utstrekning det er nødvendig
for å ivareta formålet med overvåkningen.

Flere virksomheter som er tilknyttet samme
informasjonssystem, kan avtale at en av virksomhetene
skal forestå overvåkningen etter første og
andre ledd på vegne av de øvrige virksomhetene.
Den virksomheten som forestår overvåkningen
plikter å sikre at kravene til informasjonssikkerhet
i § 5-2 etterleves også for den informasjon den blir
kjent med som følge av avtalen om felles overvåkning.

Virksomheten skal påse at autoriserte brukere
av informasjonssystemer som overvåkes i henhold
til denne bestemmelse, får informasjon om
formålet med behandlingen, om de tiltak som er
iverksatt, herunder metode og omfang, om informasjonen
blir utlevert og eventuelt om hvem som
er mottaker.

Kongen kan i forskrift gi nærmere bestemmelser
om overvåkning av skjermingsverdige informasjonssystemer,
herunder

a) hvilke typer informasjon som kan eller skal
registreres, lagres og analyseres i forbindelse
med eller som resultat av overvåkningen

b) hvem som skal ha tilgang til informasjon som
er registrert og lagret i forbindelse med eller
som resultat av overvåkningen

c) hvordan tilgang til registrert eller lagret informasjon
skal gis

d) unntak fra lagringstid på fem år, jf. fjerde ledd.

[...]

Særskilt vedlegg: