Prop. 153 L (2016–2017) Lov om nasjonal sikkerhet (sikkerhetsloven)

Forsvarsdepartementet foreslår en ny lov om nasjonal sikkerhet (sikkerhetsloven). Forslaget er en modernisering av lov 20. mars 1998 nr. 10 om forebyggende sikkerhetstjeneste (sikkerhetsloven). En ny lov om nasjonal sikkerhet er et av regjeringens prioriterte tiltak for å styrke sikkerhetsarbeidet i Norge. Forsvarsdepartementet foreslår en dynamisk og fleksibel rammelov som skal bidra til å trygge våre overordnede nasjonale sikkerhetsinteresser. Den vil sette myndigheter og virksomheter bedre i stand til å sikre disse sentrale nasjonale interessene, mot et trussel- og risikobilde i stadig og rask endring.

Forslaget vil styrke samhandlingen mellom myndigheter og virksomheter slik at det forebyggende sikkerhetsarbeidet mot terror, sabotasje og spionasje kan gjennomføres på en mer effektiv og forsvarlig måte, på tvers av alle samfunnssektorene. Samtidig skal loven sikre at sikkerhetstiltak gjennomføres i samsvar med grunnleggende rettsprinsipper og verdier i et demokratisk samfunn, blant annet slik at nødvendige personverninteresser blir ivaretatt. Forsvarsdepartementets arbeid med å utforme en ny og moderne sikkerhetslov er basert på Sikkerhetsutvalgets rapport NOU 2016: 19 Samhandling for sikkerhet – Beskyttelse av grunnleggende samfunnsfunksjoner i en omskiftelig tid.

Dokumentet i PDF-format (1,6 MB)

Utdrag:

7.1.2 Nasjonal sikkerhetsmyndighet

Sikkerhetsloven kapittel 3 regulerer funksjonen
nasjonal sikkerhetsmyndighet. Denne myndigheten
(funksjonen) skal koordinere de forebyggende
sikkerhetstiltakene, tilby rådgivning og
kontrollere sikkerhetstilstanden i virksomheter
som er omfattet av loven, samt å være utøvende
organ i forholdet til andre land og organisasjoner.
Som grunnlag for dette arbeidet skal den nasjonale
sikkerhetsmyndigheten blant annet innhente
og analysere relevant informasjon, føre tilsyn
med sikkerhetstilstanden i virksomheter
underlagt sikkerhetsloven, bidra til utvikling av
sikkerhetstiltak og drive rådgivningsarbeid.

Den 1. januar 2003 ble myndigheten lagt til et
eget direktorat, kalt Nasjonal sikkerhetsmyndighet,
under Forsvarsdepartementet. Forsvarets
overkommando, inkludert Sikkerhetsstaben (FO/
S), ble nedlagt 1. august 2003, og Forsvarsjefens
sikkerhetsavdeling (FSA) ble samtidig opprettet
til støtte for forsvarssjefen.

En av Nasjonal sikkerhetsmyndighets viktigste
oppgaver er å føre tilsyn og kontroll med sikkerhetsarbeidet
og sikkerhetstilstanden i de virksomheter
som er underlagt loven. Nasjonal sikkerhetsmyndighets
tilsynsoppgave følger i dag av
sikkerhetsloven § 9 første ledd bokstav c.

I § 10 hjemles Nasjonal sikkerhetsmyndighets
adgangsrett til ethvert skjermingsverdig objekt
og områder hvor skjermingsverdig informasjon
oppbevares.

Nasjonal sikkerhetsmyndighet driver i dag en
nasjonal responsfunksjon for alvorlige dataangrep
mot kritisk infrastruktur (Norwegian Computer
Emergency Response Team – NorCERT), og et
nasjonalt varslingssystem for digital infrastruktur
(VDI). Hensikten med NorCERT og VDI er å innhente,
analysere og dele informasjon om digitale
angrep mot kritisk infrastruktur. Dette oppnås
blant annet gjennom utplassering av sensorer i
utvalgte offentlige og private virksomheter som
innehar kritisk infrastruktur i tilknytning til deltakernes
datanettverk, jf. Prop. 97 L (2015–2016),
side 26. Informasjon fra sensorene bidrar til en
nasjonal evne til tidlig avdekking og verifikasjon
av koordinerte og målrettede angrep.

Nasjonal responsfunksjon og varslingssystemet
for digital infrastruktur ble lovfestet som en
del av oppgavene til Nasjonal sikkerhetsmyndighet
ved endringslov til sikkerhetsloven som trådte
i kraft 1. januar 2017 (lov 12. august 2016 nr. 78),
jf. Prop. 97 L (2015–2016) og Innst. 352 L (2015–
2016), og framgår i dag av sikkerhetsloven § 9 første
ledd bokstav e. Det ble samtidig også vedtatt
en bestemmelse som nærmere regulerer behandling
av personopplysninger knyttet til utførelsen
av VDI og NorCERT-funksjonen.

7.1.3 Varslingsplikt og myndighet til å fatte
vedtak ved risiko for sikkerhetstruende
virksomhet

I endringsloven 12. august 2016 nr. 78 ble det også
vedtatt en ny bestemmelse § 5 a, om varslingsplikt
og vedtaksmyndighet for Kongen i statsråd.

Bestemmelsen pålegger virksomheter underlagt
sikkerhetsloven en varslingsplikt til ansvarlig
fagdepartement ved kunnskap om risiko for at sikkerhetstruende
virksomhet blir etablert eller
gjennomført. Bestemmelsen gir også Kongen i
statsråd myndighet til å fatte vedtak for å hindre at
slik virksomhet blir etablert eller gjennomført,
uten hensyn til begrensningene i forvaltningsloven
§ 35, og uavhengig av om aktiviteten er tillatt
etter annen lov eller annet vedtak.

Formålet med bestemmelsen er ifølge forarbeidene
primært å etablere en hjemmel i loven for
å kunne forebygge mer frittstående høyteknologisk
virksomhet som kan innebære en fare for
rikets selvstendighet og sikkerhet og andre vitale
nasjonale sikkerhetsinteresser, som ikke spesifikt
er knyttet til sikkerhetsgradert informasjon eller
skjermingsverdige objekter. Bestemmelsen
omfatter også annen type aktivitet enn det som
knytter seg til høyteknologiske innretninger, jf.
Prop. 97 L (2015–2016).

[...]

7.2.4 Nasjonal responsfunksjon for alvorlige
dataangrep

Den nasjonale responsfunksjonen for alvorlige
dataangrep mot kritisk infrastruktur (Norwegian
Computer Emergency Response Team – Nor-
CERT) og det nasjonale varslingssystemet for
digital infrastruktur (VDI) som Nasjonal sikkerhetsmyndighet
i dag driver, har som formål å innhente,
analysere og dele informasjon om digitale
angrep mot kritisk infrastruktur, jf. nærmere
omtale i kap. 7.1.2 ovenfor.

Utvalget foreslår å videreføre NorCERT-funksjonen
i en egen bestemmelse og begrunner det
slik i NOU 2016: 19 kapittel 7.7.6 på side 142:

«Dette skyldes utelukkende at den nasjonale
responsfunksjonen er en operativ funksjon,
som ikke naturlig faller inn under de øvrige fagmyndighetsoppgavene
som er foreslått tillagt
Sikkerhetsmyndigheten. Utvalget har ikke vurdert
om responsfunksjonen organisatorisk
skal plasseres andre steder enn i dag.»

Om varslingssystemet for digital infrastruktur
(VDI) skriver utvalget i kapittel 7.7.6 på side 142:

«Utvalget har vurdert hvorvidt det burde være
en plikt for virksomheter underlagt loven å
være tilknyttet varslingssystemet for digital
infrastruktur. I likhet med de vurderingene
som ble gjort i Prop. 97 L (2015–2016), mener
imidlertid utvalget at dagens finansieringsmodell
for VDI-samarbeidet gjør det utfordrende å
lovfeste en slik plikt. Utvalget støtter derfor
regjeringens tilnærming om at en eventuell lovfesting
av en slikt plikt, bør ses i sammenheng
med den fremtidige finansieringsmodellen for
VDI. Utvalget vil i den forbindelse også fremheve
viktigheten av at et slikt arbeid igangsettes
raskt. […]

Utvalget mener det er viktig at virksomheter
som råder over digital infrastruktur av kritisk
betydning for grunnleggende nasjonale
funksjoner får tilbud om, og anbefales å tilknytte
seg dagens VDI-samarbeid. Dette forutsetter
at NorCERT/VDI kapasitetsmessig innrettes
slik at alle relevante aktører gis anledning
til slik tilknytning.»

[...]

7.4.4 Nasjonal responsfunksjon for alvorlige
digitale angrep

Håndtering av digitale angrep eller avdekking av
forsøk på dette er blitt en stadig viktigere del av
det forebyggende sikkerhetsarbeidet. I forslaget
til § 2-4 gis Kongen hjemmel til å utpeke en myndighet
som skal drive en nasjonal responsfunksjon
for alvorlige digitale angrep (NorCERT i dag)
og det nasjonale varslingssystemet for digital
infrastruktur (VDI). Departementet legger til
grunn vurderingene som ble gjort i Prop. 97 L
(2015–2016) kapittel 6.6, side 28 om plassering og
ansvar for responsfunksjonen og VDI-systemet
hos Nasjonal sikkerhetsmyndighet.

Bestemmelsen presiserer at myndigheten kan
behandle personopplysninger i ulike former når
det er nødvendig for å drive de to funksjonene. Det
vises her til de drøftelsene som er gjort over
temaet i Prop. 97 L (2015–2016) kapittel 7.4. Det
følger av utvalgets særmerknader til lovforslaget
§ 2-4 at utvalget mente å videreføre gjeldende rett.
Ordlyden i utvalgets forslag kan imidlertid tolkes
som en innsnevring ved at den knyttet funksjonenes
virkeområde tett til sikkerhetslovens virkeområde.
Ettersom både responsfunksjonen og varslingssystemet
har virkeområder som går utover
sikkerhetsloven, mener departementet at utvalgets
forslag til ordlyd blir for snevert. Departementet
foreslår derfor en videreføring av gjeldende
lov § 9 første ledd bokstav e og § 10 a.

[...]

9.4 Departementets vurdering

Kapittelet om generelle krav til forebyggende sikkerhet
er nytt sammenliknet med gjeldende sikkerhetslov.
Kapittelet lovfester enkelte grunnleggende
krav som i dag følger av sikkerhetslovens
forskrifter. Utvalgets forslag legger i stor grad opp
til at det skal utarbeides et underliggende forskriftsverk.

De generelle kravene til forebyggende sikkerhetsarbeid
skal sette rammene for det forebyggende
sikkerhetsarbeidet i virksomhetene. Dette
gjøres ved å lovfeste virksomhetsansvaret, den
metodiske tilnærmingen og vurderingene som må
gjøres som grunnlag for prioriteringer av sikkerhetstiltak
og risikoaksept, samt overordnet definere
krav til sikkerhetsadministrasjon i virksomhetene.
Videre framgår krav til virksomhetens
involvering av tilsynsmyndighetene som følge av
handlinger mot virksomheten.

De generelle kravene er uttrykk for lovens
funksjonelle innretning. Bestemmelsene gir i
utgangspunktet virksomhetene frihet til å velge
de mest hensiktsmessige løsningene tilpasset
virksomhetens øvrige rammer. Bestemmelsene
legger videre grunnlaget for mer metodiske, spesifikke
og detaljerte løsninger i forskrift.

De generelle kravene i kapittel 4 er omtalt i
utvalgets utredning i kapittel 7.7.9 og i de særlige
merknadene til de enkelte bestemmelsene.
Høringsinnspillene gir i det vesentlige uttrykk for
støtte til at loven oppstiller generelle krav til forebyggende
sikkerhet slik utvalget har foreslått.
Enkelte høringsinstanser, blant annet BDO, Statnett
og NVE, har gitt uttrykk for at loven kan medføre
en dobbeltregulering av enkelte sektorer.
Etter departementets syn vil utformingen av de
generelle kravene kunne veie opp for dette, i og
med at det langt på vei skal tas hensyn til hvordan
tilsvarende krav reguleres i sektorlovgivningen.
Andre høringsinstanser gir på den annen side
uttrykk for at den manglende detaljeringsgraden
gjør det vanskeligere å etterleve lovens krav, da
det i for stor grad blir overlatt til virksomhetens
skjønn å vurdere hvilke sikkerhetstiltak som er
gode nok.

Etter departementets syn oppstiller de funksjonelle
kravene en større grad av fleksibilitet,
men med en mulighet for tilsynsmyndigheter å
påse at virksomhetens vurderinger er gode nok.
Tilsynet må også vurdere om valgt løsning «tar
hensyn til alle hensyn». Virksomheten får også
større behov for faglig informasjon for å finne en
løsning som passer i den konkrete situasjonen
som vedkommende er i, og tilsynsmyndigheten
får en mer veiledende rolle enn detaljkontrollerende.
Tilsynsmyndighetens pålegg kan med en
slik tilnærming lettere bli gjenstand for diskusjon
og faglig tvil.

Departementet har registrert høringsinnspillene
fra Oslo politidistrikt og Politidirektoratet
knyttet til bruken av funksjonelle krav, men
mener det er gode grunner for den funksjonsbaserte
tilnærmingen. Regelverket blir tilstrekkelig
dynamisk til å følge utviklingen av de beste løsningene.
Virksomhetene får handlefrihet og kan
utnytte lokal og situasjonsspesifikk kunnskap til å
finne egnede løsninger innenfor regelverkets rammer.
Funksjonsregelverk ansvarliggjør i større
grad virksomhetene for egen drift og de konkrete
løsningene de velger. Funksjonsbaserte regler
kan også i større grad bidra til at hensikten med
reglene oppnås, og at virksomhetene også kan
strekke seg lenger enn til fastsatte minimumskrav.

Departementet mener dette er en hensiktsmessig
tilnærming på lovs nivå. Utvalget påpeker
også at dersom lovens tilnærming er funksjonsbasert,
bør også forskriftene så langt som mulig
være det. Departementet er enig i dette, og viser
til at for eksempel objektsikkerhet er et område
hvor kravene bør være funksjonsbaserte. Samtidig
ser departementet også at hensynet til forutberegnelighet
og en helhetlig tilnærming til det
forebyggende sikkerhetsarbeidet på tvers av sektorene
oppstiller et behov for at det innen andre
fagområder må være en større andel detaljkrav.

Departementet mener innholdet i utvalgets
forslag til bestemmelser bør opprettholdes, men
foreslår å gjøre noen endringer som departementet
mener forenkler enkelte bestemmelser. Departementet
foreslår å gjøre om på rekkefølgen av
bestemmelsene for å få mer pedagogisk systematikk
i kapittelet, slik DSS har påpekt i sin høringsuttalelse.
Departementet mener det er mer hensiktsmessig
at ansvar fastslås i kapittelets første
bestemmelse, slik at utvalgets forslag til § 4-2
kommer først. Deretter følger metode for identifisering
av behov og prioriteringer, slik at utvalgets
forslag til § 4-3 blir ny § 4-2, og etter dette følger
plikten til å iverksette tiltakene, som etter utvalgets
forslag stod først i kapittelet.

I departementets forslag til § 4-1 fastslås lederansvaret.
Det er virksomhetens leder som formelt
bestemmer og fastsetter hvordan sikkerhetsarbeidet
skal gjennomføres og organiseres. I hvor
stor grad lederen selv er direkte involvert, avhenger
av hvordan virksomheten beslutter å organisere
sikkerhetsarbeidet. Selv der lederen ikke er
direkte involvert i det daglige sikkerhetsarbeidet,
er det fremdeles lederen som er ansvarlig. Myndighet
og oppgaver kan delegeres, mens ansvaret
for forebyggende sikkerhetsarbeid alltid vil tilligge
virksomhetens leder.

Ansvaret innebærer å motivere ansatte til å
være tilstrekkelig sikkerhetsbevisste i hverdagen,
samt legge til rette for kontinuerlig forbedring og
læring. Virksomhetens leder skal bidra til å skape
et miljø der ansatte har lav terskel for å rapportere
om avvik og sikkerhetstruende hendelser.

Virksomhetens leder er også ansvarlig for at
sikkerheten i underlagte virksomheter og hos
leverandører, kontrolleres. Ansvaret innebærer
blant annet å etterspørre informasjon om sikkerhetstilstanden,
herunder resultater fra eksterne
tilsyn, interne sikkerhetsrevisjoner og leders jevnlige
evaluering av sikkerhetstilstanden.

Det følger av utvalgets forslag at forebyggende
sikkerhet skal innarbeides som en del av virksomhetens
styringssystem, som departementet foreslår
som ny § 4-1. Departementet mener dette er
et viktig prinsipp som bør lovfestes. Dette er også
støttet av flere av høringsinstanser blant andre
NSM og Nkom. Sikkerhetsstyring er helt sentralt
for det systematiske arbeidet med sikkerhet.
Departementet anser det ikke som nødvendig å
presisere nærmere i lovtekst hvordan dette skal
gjøres, da dette bedre kan beskrives i forskrift.

Videre er det krav til at virksomhetens ansatte,
leverandører og oppdragstakere skal ha tilstrekkelig
opplæring i sikkerhetsspørsmål. Dette kravet
framkommer i dag av forskrift om sikkerhetsadministrasjon
§ 3-2. Departementet er enig
med utvalget i at dette bør lovfestes, men mener i
likhet med BDO at begrepet «sikkerhetsspørsmål
» er upresist. Departementet foreslår derfor å
endre ordlyden til «tilstrekkelig risiko- og sikkerhetsforståelse
». Vurderingen er skjønnsmessig,
og må ses opp mot nærmere kompetansekrav
som kan presiseres i forskrift. Det legges til grunn
at virksomheten har et sterkere ansvar for oppfølging
av egne ansatte enn de øvrige kategoriene,
men virksomheten har også et ansvar for å følge
opp at leverandører og oppdragstakere har en tilstrekkelig
risiko- og sikkerhetsforståelse.

Utvalget har foreslått en plikt til å gjennomføre
risiko- og sårbarhetsanalyse i lovforslaget § 4-3.
Etter departementets forslag blir denne bestemmelsen
til ny § 4-2.

Bestemmelsen har i høringen vært gjenstand
for tilbakemeldinger knyttet til begrepet risiko- og
sårbarhetsanalyse (ROS-analyse). Blant andre
DSS, Utenriksdepartementet og NSM mener det
bør benyttes et annet begrep enn ROS-analyse.
DSB påpeker også at begrepet ROS-analyse tilsier
at loven har et videre nedslagsfelt enn det som er
intensjonen.

Departementet er enig i dette og mener at
ROS-analyse er en analyse med et bredere risikoperspektiv
enn lovens nedslagsfelt, og således kan
framstå misvisende. Det har i høringen framkommet
andre forslag til begrep, blant annet risikoanalyse
og risikovurdering. Det har også kommet forslag
om å angi bruken av en anerkjent standard i
loven. For å unngå å knytte vurderingen opp mot
et spesifikt begrep, hvor meningsinnholdet kan
endres over tid, og for ikke å knytte vurderingen
til en spesifikk standard, foreslår departementet
kun å fastslå at det skal gjennomføres en «vurdering
av risiko». På denne måten kan nærmere
bestemmelser om gjennomføring av vurderingen
gis i forskrift, og således være noe mer dynamisk
og fleksibel.

Videre framkommer det av utvalgets forslag,
et krav om at virksomhetene som en del av denne
vurderingen må kartlegge hvilke andre virksomheter
den er avhengig av for å opprettholde sin
funksjonalitet. Begrunnelsen for dette er at vurderingen
av risiko ikke må ses isolert i den enkelte
virksomhet, men omfatte avhengighetsforholdene
til andre virksomheter. Departementet støtter
denne tilnærmingen. Departementet viser til at
virksomheten likevel har et selvstendig ansvar for
å redusere sin egen sårbarhet, for eksempel gjennom
tiltak knyttet til egenberedskap for bortfall av
strøm.

Et avgjørende moment for å gjøre en tilstrekkelig
vurdering av risiko er tilgangen på oppdatert
og relevant trussel- og sårbarhetsinformasjon.
Denne bestemmelsen må derfor ses opp mot sikkerhetsmyndighetens
råd og veiledningsplikt,
samt plikt til tilrettelegging av deling av denne
typen informasjon etter forslagets § 2-3. Departementet
anerkjenner at virksomhetene har et visst
råds- og veiledningsbehov knyttet til vurderingen
av risiko. Virksomhetene må kunne etterspørre
råd og veiledning fra både sikkerhetsmyndighet
og sin sektormyndighet med tilsynsansvar. Hvordan
ansvaret skal utøves i den enkelte sektor kan
være gjenstand for regulering i samarbeidsavtale
mellom sikkerhetsmyndigheten og sektormyndighet,
der dette anses som nødvendig, eksempelvis
der en sektormyndighet som gjennomfører tilsyn
som følge av annet regelverk, er avskåret fra å gi
konkret rådgivning. Departementet mener dette
ikke er nødvendig å reflektere i loven.

Departementet har forståelse for utvalgets forslag
om at sikkerhetsmyndigheten bør drive konkret
rådgivning overfor de virksomheter som
omfattes av loven. Rådgivningen bør i hovedsak
omfatte overordnede råd, veiledninger og oppdatert
trussel- og sårbarhetsinformasjon. Den foreslåtte
mekanismen for deling av sikkerhetsrelevant
informasjon vil være et nyttig bidrag i så
måte. Departementet er enig med BDO og NSM i
at det er viktig å unngå omfattende en-til-en veiledning
overfor virksomheter fra myndighetssiden.
Dersom virksomheten har behov for inngående
støtte til å gjennomføre denne vurderingen for sin
virksomhet, utover det som følger av myndighetenes
veiledning og nærmere bestemmelser i forskrift,
finnes det flere private aktører for dette formålet,
slik også BDO har anført.

Utvalgets forslag til en bestemmelse om plikt
til å gjennomføre sikkerhetstiltak foreslås plassert
som § 4-3, framfor § 4-1, som var utvalgets forslag.

Gjennomføringen av sikkerhetstiltak må skje
på bakgrunn av virksomhetens vurdering av
risiko. Bestemmelsen angir et visst grad av skjønn
for virksomhetene. Tiltakene skal til sammen
danne et forsvarlig sikkerhetsnivå, og redusere
risikoen for handlinger som kan skade virksomheten,
samt redusere skadevirkningene dersom noe
inntreffer. Videre skal også kostnadene ved sikkerhetstiltakene
stå i rimelig forhold til det som
oppnås ved tiltaket. Tiltakene skal ses i sammenheng
med andre forebyggende tiltak som virksomheten
har iverksatt.

Enkelte høringsinstanser, blant andre NVE,
Norsk olje og gass og BDO, har kommentert at det
er en fare for at sikkerhetslovens krav kommer i
konflikt med sektorregelverk. Departementet
mener at den overordnede og funksjonelle innretningen
loven har, og samhandlingen mellom myndighetene
for øvrig, langt på vei reduserer risikoen
for kolliderende kravstilling og oppfølging,
jf. også utvalgets omtale av dette i NOU 2016: 19
kapittel 7.7.12. Når det gjelder objektsikkerhet
viser departementet til at dagens objektsikkerhetsforskrift
har en bestemmelse som innebærer
at sektorregelverket går foran forskriftens krav, så
framt sektorregelverket har relevante og tilstrekkelige
bestemmelser og det er etablert tilsynsorgan.
Det er imidlertid ikke til å unngå en viss grad
av overlappende regelverk. Dette er ikke noe særegent
knyttet til forebyggende sikkerhetsarbeid.
Departementet mener sikkerhetsmyndigheten og
sektormyndighetene, sammen med virksomhetene,
i den videre operasjonaliseringen av kravene,
vil måtte ta hensyn til alle regelverk som stiller
krav til sikkerhet.

Enkelte høringsinstanser, som Oslo politidistrikt
og Norsk olje og gass, påpeker at bestemmelsen
er for overordnet og generell, og at kravet om
forsvarlig sikkerhetsnivå er for diffust og vanskelig
å forholde seg til.

Departementet vil påpeke at forsvarlighetsstandarden
er en rettslig standard som kun skal
trekke opp de ytre rammene virksomhetene må
forholde seg til, og gi virksomhetene mulighet til
å se det totale omfanget av sikkerhetstiltak i sammenheng,
også tiltak som ikke følger av sikkerhetsloven.
Den nærmere grensedragning av hva
som anses som forsvarlig, vil måtte utvikles i samarbeid
mellom sikkerhetsmyndighet og sektormyndigheter.
Videre vil de underliggende forskriftene
gi nærmere føringer for hva som kan anses
som forsvarlig innen de forskjellige fagområdene.
Her kan det tenkes at forskriftene vil variere i
detaljgrad, alt ettersom hvilket fagområde det er
tale om. Videre vil forsvarlighetsnormen avhenge
av hva som er god praksis innen fagområdene og
veiledninger og anbefalinger fra sikkerhetsmyndigheten.
Departementet forutsetter også, som
blant annet NSM har påpekt, at forsvarlighetsvurderingen,
og kostnadsvurderingen som skal gjøres,
blir gjenstand for ettersyn og vurdering fra tilsynsmyndighetene.

Departementet mener at kravet om å gjennomføre
øvelser er et godt sikkerhetstiltak, og
viser til utvalgets vurderinger av kravet. Departementet
mener imidlertid at formålet med øvelsene
er mer enn det utvalget har foreslått og beskrevet
i bestemmelsen. Det er vel så viktig å verifisere,
eller avdekke, om tiltakene som er iverksatt virker
som forutsatt, som å sikre at kompetansen til å
forebygge og håndtere hendelser vedlikeholdes
og utvikles. Departementet foreslår at kravet
framgår av § 4-3 som et nytt tredje ledd og at nærmere
bestemmelser om øvelser gis i forskrift med
hjemmel i samme bestemmelse.

Utvalgets bestemmelse om krav til dokumentasjon
foreslås som ny § 4-4, uten materielle
endringer. Departementet vil presisere at nærmere
krav til dokumentasjon vil måtte framgå av
forskrift.

Utvalgets forslag til bestemmelse om varsling
framgår nå av § 4-5 og regulerer virksomhetenes
varslingsplikt knyttet til hendelser, eller
handlinger, som anses å utgjøre en sikkerhetsrisiko.
En varslingsplikt er en forutsetning for at
myndighetene skal kunne ivareta sitt overordnede
ansvar. Tidlig varsling om en hendelse er avgjørende
for rask respons fra sektormyndighet og
sikkerhetsmyndighet. At virksomhetene pålegges
denne varslingsplikten er hovedsakelig av
hensyn til at myndighetene skal kunne se hendelser
i sammenheng, både på sektornivå og på
nasjonalt nivå. En hendelse som rammer en virksomhet
i én sektor, kan også ha rammet en virksomhet
i en annen sektor, eller det kan være en
fare for at det vil ramme andre virksomheter i
andre sektorer. For at sikkerhetsmyndigheten
skal kunne ivareta sitt sektorovergripende ansvar,
er det ekstra viktig at denne kan motta varsler fra
alle sektorer, også de sektorene der sikkerhetsmyndigheten
ikke har et tilsynsansvar.

Statnett, BDO, NVE og Finanstilsynet har
bemerket at varlingsbestemmelsen er detaljert,
og samtidig medfører en parallellvarsling der sektorregelverket
også har krav om varsling ved hendelser.
Finanstilsynet og NVE bemerker imidlertid
at en slik varslingsbestemmelse kan være hensiktsmessig,
gitt sikkerhetsmyndighetens tverrsektorielle
ansvar, men en forutsetning er at varsel
følges opp av sektormyndigheten.

Departementet mener det må foreligge en
plikt til varsling for virksomheter som blir utsatt
for, eller det er grunn til å mistenke at den blir
utsatt for, en handling som har til formål å skade
informasjon, informasjonssystemer, infrastruktur
eller objekter. Departementet mener denne
bestemmelsen er viktig, uavhengig av sektorregelverket.
Sikkerhetsloven er sektorovergripende
og retter seg mot tilsiktede handlinger som
kan skade nasjonale sikkerhetsinteresser. Det er
derfor helt sentralt at et varsel kommer fram til
den myndigheten som har den totale tverrsektorielle
oversikten, slik at varslene kan ses i sammenheng.
Videre er det avgjørende for å kunne fatte
de nødvendige vedtak for å hindre aktivitet som
kan innebære en ikke ubetydelig risiko mot nasjonale
sikkerhetsinteresser, at myndighetene mottar
varsel om slik aktivitet.

Departementet ser at det kan være vanskelig
for en virksomhet å vurdere hvorvidt en hendelse
den er utsatt for, skyldes en tilsiktet handling eller
ikke. Også derfor er det viktig at det varsles til sikkerhets-
og sektormyndighet, slik at hendelsen
kan vurderes opp mot andre eventuelle hendelser
i sektoren og nasjonalt. Det vil imidlertid være
sektormyndighetene med tilsynsansvar etter § 3-1
som har det primære ansvaret for å følge opp de
varsler som kommer fra virksomheter i egen sektor.

Bestemmelsene om varsling er til dels en videreføring
av gjeldende bestemmelser i dagens sikkerhetslov
og forskrift om sikkerhetsadministrasjon.
I dagens lov framgår varsling om aktivitet
som kan innebære en ikke ubetydelig risiko for at
sikkerhetstruende virksomhet blir etablert eller
gjennomført, av sikkerhetsloven § 5 a. Denne
bestemmelsen foreslås videreført, hvor varslingsplikten
om slik aktivitet fastslås i § 4-5, mens vedtakskompetansen
til Kongen i statsråd for å stanse
slik aktivitet, skal framgå av § 2-5. For nærmere
omtale vises til kapittel 7.

Av forskrift om sikkerhetsadministrasjon
kapittel 5 framgår bestemmelser om reaksjon ved
sikkerhetstruende hendelser. Blant annet framgår
krav om rapportering til Nasjonal sikkerhetsmyndighet
for alle virksomheter som blir utsatt for en
sikkerhetstruende hendelse, og reaksjoner ved
sikkerhetsbrudd.

Bestemmelsen forutsetter at det etableres
tydelige varslingsrutiner, og at det etableres tilstrekkelige
mekanismer hos sikkerhetsmyndigheten
og hos sektormyndigheter til å motta og
respondere på varslene. Varslingslinjene bør fastsettes
i et nærmere rammeverk for varsling mellom
virksomheter og myndighetene.

Departementet er enig med høringsinstansene
i at bestemmelsen er for omfattende når det
gjelder varsling av ethvert sikkerhetsbrudd. Det
anses som unødvendig og krevende å lovfeste at
virksomheten omgående skal varsle om alle sikkerhetsbrudd,
slik BDO påpeker i sin høringsuttalelse.
Departementet foreslår derfor at det kun
varsles om alvorlige brudd på sikkerhetskrav som
følger av kapitlene 5, 6 og 7, og det forutsettes at
nærmere rutiner for varsling fastsettes i forskrift,
slik som i dagens regelverk. Departementet foreslår
at utvalgets forslag til § 4-7 Behandling av personopplysninger,
strykes. Departementet mener
det ikke er nødvendig med en slik referanse i
loven. Personvernforordningen vil bli implementert
i norsk rett og sikkerhetsloven må være i
samsvar med forordningen. Virksomheter som er
underlagt dagens sikkerhetslov, er også underlagt
personopplysningsloven. Departementet mener
derfor bestemmelsen kan virke forvirrende. For
øvrig er det gitt nærmere bestemmelser om
behandling av personopplysninger i de bestemmelsene
der dette er særskilt viktig.

[...]

10.5.2.1 Beskyttelse av skjermingsverdig
informasjon

Beskyttelse av informasjon handler om ivaretakelse
av informasjonens verdi. Informasjon består
av ulike verdier som tidvis er i konflikt med hverandre.
Beskyttelsestiltakene må derfor tilpasses
konkret til ulike typer informasjon. For å oppnå
god informasjonsbeskyttelse må det ligge til
grunn en konkret og grundig verdivurdering av
informasjonen.

En slik tilnærming ble også lagt til grunn av
utvalget, som nevnt under kapittel 10.3.1. Departementet
mener forslaget er godt og ivaretar behovet
for en helhetlig og balansert tilnærming til
beskyttelse av informasjon. Imidlertid må denne
bestemmelsen om beskyttelse justeres i tråd med
departements forslag om at verdivurderingen av
informasjon også skal omfatte integritet og tilgjengelighet.
Departementet foreslår derfor at begrepet
sikkerhetsgradert informasjon i første ledd
erstattes av samlebegrepet skjermingsverdig informasjon.

Departementet mener videre at det bør gå
klart fram av bestemmelsen at den enkelte virksomhet
plikter å iverksette tiltak slik at det oppnås
et forsvarlig sikkerhetsnivå. Denne rettslige standarden
er nærmere omtalt i NOU 2016: 19 kapittel
7.7.9, side 144. Forskriftshjemmelen i andre ledd
bør også justeres slik at den omfatter all skjermingsverdig
informasjon og slik at den ikke
begrenser seg til minimumskrav.

[...]

Gjeldende rett om kryptosikkerhet, se sikkerhetsloven
§ 14, må etter departementets oppfatning
videreføres i den nye sikkerhetsloven. Kryptosikkerhet
er en viktig del av nasjonalt forebyggende
sikkerhetsarbeid. I motsetning til utvalget
mener departementet derfor at de mest grunnleggende
reglene om kryptosikkerhet fortsatt bør gå
klart fram av loven. Det er viktig at det på lovs
nivå gjøres klart hvordan kryptosikkerheten skal
forvaltes og at det stilles særlige krav ved bruk av
krypto for å beskytte sikkerhetsgradert informasjon.

Departementet vil bemerke at denne bestemmelsen
ikke kommer i konflikt med regjeringens
generelle holdning om at bruk av kryptografi verken
bør forbys eller reguleres. Bestemmelsen i
sikkerhetsloven handler bare om at når krypto
skal brukes for å beskytte sikkerhetsgradert
informasjon, må det stilles krav om at kryptoen er
av en viss kvalitet. Dette legger ikke bånd på bruken
av kryptografi for øvrig i samfunnet.

[...]

10.5.3 Informasjonssystemsikkerhet

Informasjonssystemsikkerhet utgjør etter departementets
vurdering en sentral del av informasjonssikkerheten
ved at den beskriver innretning
og tiltak for hvordan informasjonssikkerheten
skal ivaretas i de systemene der informasjonen
behandles og brukes. Høringsinnspillene støtter i
hovedsak opp under denne vurderingen. Likevel
foreligger det innspill som det er hensiktsmessig
å behandle spesielt.

Sikkerhetsloven er en rammelov som skal ha
sin funksjon gjennom en relativt lang tidsperiode.
Samfunnets anvendelse av informasjonsteknologi
og de sikkerhetsutfordringer som følger av denne
anvendelsen, må forventes å endres raskt i løpet
av den samme tidsperioden. En utfordring vil
være at loven kan oppfattes som utydelig innenfor
særlig sammensatte områder som informasjonssystemsikkerhet.
Dette er en utydelighet som
etter departementets syn er uunngåelig, samtidig
som at dette også er hensiktsmessig for å gi rom
for å møte den framtidige utviklingen. Konkretiseringen
av hvilke konsekvenser loven får, vil skje
gjennom forskriftsutvikling og praktisering av
regelverket.

10.5.3.1 Informasjonssystemer som skal beskyttes
etter sikkerhetsloven

Departementet støtter utvalgets drøftelser og forslag
om hvilke informasjonssystemer sikkerhetsloven
skal beskytte, se nærmere NOU 2016: 19
kapittel 8.5.2 og 8.6.2. En rekke høringsinstanser
gir støtte til dette forslaget. En ny sikkerhetslov
må, i tillegg til å beskytte informasjonssystemer
som behandler sikkerhetsgradert informasjon,
også beskytte informasjonssystemer som på
grunn av sin funksjonalitet er viktig for nasjonal
sikkerhet. Som en naturlig konsekvens av drøftelsene
under kapittel 10.5.1 om hvilken informasjon
loven skal beskytte, følger det at loven også må
beskytte informasjonssystemer som behandler
skjermingsverdig informasjon, og ikke bare sikkerhetsgradert
informasjon. Se nærmere i lovforslaget
§ 6-1 om hvilke informasjonssystemer loven
skal gjelde for.

Utvalget legger til grunn en vid forståelse av
begrepet informasjonssystem, jf. merknaden til
utvalgets lovforslag § 6-1 i NOU 2016: 19, side 262:

«Med begrepet informasjonssystem menes
systemer som anvendes for å løse en oppgave
eller utføre en funksjon i en organisasjon. Det
omfatter menneskelige, organisatoriske og
tekniske ressurser, metoder og teknikker.
Informasjonssystem skal i sikkerhetsloven
forstand forstås vidt. Begrepet omfatter både
manuelle og digitale informasjonssystemer, og
favner alt fra saksbehandlingssystemer, kontorstøttesystemer
og rene kommunikasjonssystemer
til kontroll- og styringssystemer.»

Departementet stiller seg bak denne tilnærmingen
og mener at beskrivelsen er dekkende for
begrepet informasjonssystem.

Departementet er videre enig i utvalgets forslag
om å bruke begrepet skjermingsverdige informasjonssystemer
som samlebegrep for alle informasjonssystemer
som skal beskyttes etter sikkerhetsloven.

10.5.3.2 Beskyttelse av informasjonssystemer

Informasjonssystemer må gis en konkret og helhetlig
beskyttelse basert på en vurdering av risiko
for det enkelte informasjonssystemet. Departementet
stiller seg bak utvalgets generelle drøftelser
i kapittel 8.6.2 og merknaden til utvalgets lovforslag
§ 6-2. Departementet støtter dermed i
hovedsak utvalgets forslag til bestemmelser om
informasjonssystemsikkerhet. Det er likevel
behov for å gjøre enkelte justeringer. Blant annet
mener departementet at utvalget ikke går tilstrekkelig
langt i å ta høyde for den raske samfunnsutviklingen
på dette feltet.

Det blir i høringsuttalelsene uttrykt at det i
virksomheter som må kunne forventes å komme
inn under sikkerhetslovens virkeområde, allerede
foregår utstrakt informasjonsdeling mellom ulike
informasjonssystemer både innenlands og utenlands.
Det uttrykkes behov for tiltak som tilpasses
denne virkeligheten. Disse informasjonssystemene
vil til dels også kunne behandle både sikkerhetsgradert
informasjon og informasjon som ikke
er sikkerhetsgradert, men som fortsatt er skjermingsverdig.

Et tema som er særlig aktuelt for Forsvaret, er
behovet for fleksible risikobaserte løsninger for
forhåndsgodkjenning av systemer, særlig til mer
kortvarig bruk i feltsammenheng og øvelser.

Flere av høringsinstansene har videre tatt opp
behovet for sikker tilgjengelighet som del av informasjonssystemsikkerheten.
Kommunikasjonsinfrastrukturer
som omfatter både sivile og militære
systemer, blir stadig viktigere for militær evne og
overlevelse, uten at det oppfattes at dagens sikkerhetsregime
tar inn over seg denne utfordringen.
Utviklingen mot bruk av stadig flere sivile tjenester
blir framhevet som klare utfordringer i slik tilgjengelighetssammenheng.

Loven vil etter departementets vurdering i stor
grad møte behovene i både militær og sivil sektor.
Dette gjøres i hovedsak ved i større grad enn tidligere
å legge til grunn risikobaserte vurderinger
for de konkrete løsningene som velges. Det skal
også gjøres en konkret vurdering av kostnadene
som løsningene kan medføre. Kostnadene skal stå
i et rimelig forhold til nytteverdien av det som faktisk
oppnås ved tiltaket. Likevel er det viktig også
å ta hensyn til begrensninger Norge er pålagt
gjennom samarbeid med blant annet NATO og
deres sikkerhetsbestemmelser.

På samme måte som for beskyttelse av informasjon
mener departementet at det for informasjonssystemer
i særtilfeller må være mulig å gjøre
spesielle tilpasninger av sikkerhetstiltakene. Dette
vil antakelig være særlig aktuelt for informasjonssystemer
som behandler både sikkerhetsgradert
informasjon og informasjon som ikke skal sikkerhetsgraderes.
Departementet foreslår derfor en
generell hjemmel for Kongen til å fastsette nærmere
regler om unntak fra beskyttelsestiltakene i
forskrift. Forskriften bør blant annet fastsette vilkår
for hva som skal anses som særlige tilfeller og
hvem som skal foreta denne vurderingen. Departementet
vil her understreke at det ikke er meningen
å lempe på sikkerhetskravene, men å gjøre
det mulig gjennom en risikobasert tilnærming å få
til tilpassede løsninger som ivaretar hensyn til
både sikkerheten og virksomhetens aktivitet. På
denne måten tas det også høyde for mulige behov
for tilpasning til sektorregelverk. Det vises for
øvrig til kapittel 10.5.2 om dette. Samlet skal unntaksbestemmelsene
i lovforslaget §§ 1-2, 5-2 og 6-2
gjøre loven tilstrekkelig dynamisk til å møte en
fortsatt rask digital utvikling på alle samfunnsområder.

Utvalget foreslår å videreføre dagens regler
om at informasjonssystemer som skal behandle
sikkerhetsgradert informasjon, må forhåndsgodkjennes
før de tas i bruk. I utvalgets lovforslag legges
det videre til grunn ulik behandling av henholdsvis
sikkerhetsgradert informasjon og ugradert,
men skjermingsverdig informasjon. Etter
departementets syn er det hensiktsmessig å følge
lovforslaget der systemer som behandler sikkerhetsgradert
informasjon, i utgangspunktet skal
forhåndsgodkjennes. Det er også etter departementets
syn nødvendig å følge lovforslaget og
åpne opp for ulik praksis med sikkerhetsgodkjenning
av skjermingsverdige systemer som ikke
behandler sikkerhetsgradert informasjon. Dette
begrunnes i at en utvidelse av lovens virkeområde
vil kunne omfatte systemer som inngår i kommersiell
virksomhet. Det vil etter departementets syn
være risiko for at et krav om forhåndsgodkjenning
utilsiktet vil kunne påvirke kommersiell virksomhet
på en uhensiktsmessig måte.

Departementet foreslår å videreføre utvalgets
forslag til regulering av overvåking av informasjonssystemer,
jf. utvalgets lovforslag § 6-4. Som
utvalget uttaler er dette et nødvendig sikkerhetstiltak
som må gjennomføres for alle virksomhetens
skjermingsverdige informasjonssystemer.
Ingen høringsinstanser har hatt særlige merknader
til denne bestemmelsen. Departementet støtter
utvalgets vurderinger og viser til disse i sin
helhet i NOU 2016: 19, kapittel 8.6.4 og merknaden
til utvalgets lovforslag § 6-4 på side 263–264.
Departementet har gjennomført enkelte språklige
endringer, se nærmere lovforslaget og tilhørende
merknader.

[...]

19 Merknader til de enkelte bestemmelsene

[...]

Til § 5-6

Bestemmelsen er en videreføring av gjeldende lov
§ 14. Første ledd setter begrensninger for hvilke
kryptosystemer som kan brukes til å beskytte sikkerhetsgradert
informasjon. Andre ledd fastsetter
sikkerhetsmyndighetens rolle som nasjonal forvalter
av kryptomateriell og leverandør av kryptosikkerhetstjenester
til virksomheter, som brukes
til å beskytte sikkerhetsgradert informasjon.

Krypto er en kortform for kryptografi, og
handler om prinsipper og teknikker for å skjule
informasjon slik at bare de(n) som er autorisert
har mulighet til å avsløre innholdet.

Bestemmelsen gjelder bruk av krypto for
beskyttelse av skjermingsverdig informasjon. Nærmere
bestemmelser om kryptosikkerhet kan gis i
forskrift.

[...]

Til § 6-4
Virksomhetens overvåking av sine egne skjermingsverdige
informasjonssystemer, kan innebære
mange former for sikkerhetstiltak. Eksempelvis
er logging av aktivitet i systemet, automatiserte
alarmer og manuell sammenstilling og analyse
av innhentet data, aktuelle tiltak. Bestemmelsen
er i hovedsak en videreføring av gjeldende
sikkerhetslov § 13 a og forslaget til § 6-4 i NOU
2016: 19.

Første ledd oppstiller en plikt for virksomheten
til å foreta sikkerhetsmessig overvåking av virksomhetens
skjermingsverdige informasjonssystemer,
jf. § 6-1. Med begrepene forebygge,
avdekke og motvirke menes sikkerhetstiltak som
omfatter hele livssyklusen til en uønsket hendelse,
herunder evne til å oppdage (detektere) og
gjenopprette sikker tilstand etter hendelsen, jf.
merknaden til §1-1. Med hendelse som kan skade
menes potensiell eller faktisk kompromittering av
systemet. Det kan også være tale om at systemet
blir brukt til å skade andre systemer, eller at
systemet blir brukt som utgangspunkt for virksomhet
som truer nasjonale sikkerhetsinteresser.
Bestemmelsens siste punktum erstatter gjeldende
lov § 13a om sikkerhetsrelevante hendelser. Dette
innebærer ikke en realitetsendring. Selv om
lovens virkeområde bruker begrepet sikkerhets-
truende virksomhet, brukes begrepet hendelse i
bestemmelsen fordi virksomheten ofte må iverksette
tiltak før det er kjent om hendelsen er tilsiktet
eller ei, eller om den er resultat av en handling
eller en teknisk feil.

Andre ledd gir hjemmel for og pålegger en
plikt til lagring, registrering og analyse av ulike
former for utveksling av informasjon. Omfanget
av overvåkingen, herunder lagring og registrering,
strekker seg til og begrenses av formålet
med overvåkningen. For nærmere omtale av
andre ledd, se NOU 2016: 19 kapittel 8.6.4.

Ved overvåking av systemer som behandler
personopplysninger, stiller tredje ledd ytterligere
krav til at virksomhetens vurdering av formåls- og
forholdsmessigheten av overvåkningen. For det
første stilles det strengere krav til vurderingen av
om overvåkingen ivaretar formålet, enn det krav
som følger av andre ledd. Videre må virksomheten
i hvert enkelt tilfelle foreta en forholdsmessighetsvurdering
der behovet for overvåking ses i
sammenheng med eventuelle negative virkninger
for personvernet. Omfanget av overvåkingen må
være begrunnet og nødvendig. Virksomheten må
dessuten – der det er valgmuligheter – velge den
metoden som er minst inngripende for personvernet
til brukerne av systemet. I noen tilfeller kan
for eksempel automatisert overvåking, med et
innhold som er utilgjengelig for mennesker, være
mindre inngripende enn manuell overvåking.

I fjerde ledd gis det hjemmel til å lagre informasjon
fra overvåkingen i inntil fem år. Loven setter
ikke begrensninger for bruken av informasjon
som ikke er personopplysninger. Femte ledd er i
hovedsak en videreføring av gjeldende sikkerhetslov
§ 13 a tredje ledd. Femte ledd andre punktum
fastsetter at lagrede personopplysninger bare kan
benyttes i den grad formålet med overvåkningen
krever det.

Sjette ledd er en videreføring av gjeldende sikkerhetslov
§ 13 a femte ledd. Her pålegges virksomheten
en informasjonsplikt overfor brukerne
av systemet i samsvar med personopplysningsloven
§ 19. Sjuende ledd er en videreføring av gjeldende
sikkerhetslov § 13 a sjette ledd, men med
noen presiseringer.

[...]

Forslag
til lov om nasjonal sikkerhet (sikkerhetsloven)

[...]

§ 2-4 Responsfunksjon og varslingssystem for digital
infrastruktur

Kongen utpeker en myndighet som skal drive
en nasjonal responsfunksjon for alvorlige digitale
angrep og et nasjonalt varslingssystem for digital
infrastruktur.

Når det er nødvendig for å utføre oppgaver
etter første ledd, kan denne myndigheten
behandle personopplysninger i form av

a) metadata om IKT-trafikk til og fra virksomheter
som er knyttet til det nasjonale varslingssystemet
for digital infrastruktur
b) informasjon som er nødvendig for å analysere
utløste alarmer i varslingssystemet
c) IP-adresser mottatt fra nasjonale og internasjonale
samarbeidspartnere
d) logger og infisert maskinvare, når det er nødvendig
for å bistå en virksomhet i håndteringen
av alvorlige digitale angrep og virksomheten
samtykker til det.

Når det er strengt nødvendig for å utføre oppgaver
etter første ledd, kan også andre personopplysninger
enn det som er nevnt i andre ledd,
behandles.

Behandlingen av personopplysninger og inngrepet
i personvernet skal ikke være mer omfattende
enn det som er nødvendig for å oppnå formålet.

Kongen kan gi forskrift om nasjonal responsfunksjon
og nasjonalt varslingssystem for digital
infrastruktur.

[...]

§ 4-5 Varslingsplikt

Virksomheten skal straks varsle sikkerhetsmyndigheten
og andre myndigheter som skal
utføre tilsyn i medhold av § 3-1 andre ledd, dersom

a) den har blitt rammet av sikkerhetstruende
virksomhet
b) det er begrunnet mistanke om at sikkerhetstruende
virksomhet har rammet eller vil
kunne ramme virksomheten eller andre virksomheter
c) det har skjedd alvorlige brudd på krav til sikkerhet
etter kapittel 5, 6 eller 7.

Virksomheten skal uten hinder av taushetsplikt
varsle tilsynsmyndigheten dersom den får
kunnskap om en planlagt eller pågående aktivitet
som kan medføre en ikke ubetydelig risiko for at
nasjonale sikkerhetsinteresser blir truet. Tilsynsmyndigheten
skal uten ugrunnet opphold varsle
sikkerhetsmyndigheten og videresende varselet
til ansvarlig departement for vurdering av vedtak
etter § 2-5.

Kongen kan gi forskrift om varslingsplikten
etter andre ledd.

[...]

§ 5-6 Kryptosikkerhet

Kryptosystemer som skal brukes for å
beskytte sikkerhetsgradert informasjon, må være
godkjent av sikkerhetsmyndigheten.

Sikkerhetsmyndigheten er nasjonal forvalter
av kryptomateriell og leverandør av kryptosikkerhetstjenester
til virksomheter. Sikkerhetsmyndigheten
kan godkjenne andre leverandører av kryptosikkerhetstjenester.

Sikkerhetsmyndigheten skal godkjenne kryptoalgoritmer
som brukes i utstyr som tenkes
eksportert.

Kongen kan gi forskrift om kryptosikkerhet.

[...]

§ 6-4 Overvåking av skjermingsverdige informasjonssystemer

Virksomheten skal kontinuerlig overvåke sine
skjermingsverdige informasjonssystemer for å
forebygge, avdekke og motvirke hendelser som
kan skade nasjonale sikkerhetsinteresser. Hendelser
som er relevante for sikkerhetsarbeidet, skal
registreres.

I den grad formålet med overvåkingen krever
det, skal sending av informasjon til, fra og innenfor
skjermingsverdige informasjonssystemer
registreres, lagres og analyseres.

Informasjonssystemer som behandler personopplysninger,
skal bare overvåkes med de metodene
og i det omfanget som formålet med overvåkingen
krever.

Informasjon etter første og andre ledd kan
lagres i opptil fem år. Lagrede personopplysninger
kan bare benyttes i den grad formålet med overvåkingen
krever det.

Flere virksomheter som er tilknyttet samme
informasjonssystem, kan avtale at en av virksomhetene
skal ta seg av overvåkingen etter første og
andre ledd for alle virksomhetene. Den virksomheten
som gjennomfører overvåkingen, skal sikre
at kravene til informasjonssikkerhet i § 5-2 følges.

Virksomheten skal se til at autoriserte brukere
av informasjonssystemer som overvåkes, får vite
hva som er formålet med behandlingen av personopplysningene
og hvilke overvåkingstiltak som er
iverksatt. De skal også få vite om personopplysningene
blir utlevert og i så fall til hvem.

Kongen kan gi forskrift om overvåking av
skjermingsverdige informasjonssystemer, blant
annet om
a) hva slags informasjon som kan eller skal
registreres, lagres og analyseres i forbindelse
med overvåkingen
b) hvem som skal ha tilgang til informasjon som
er registrert og lagret i forbindelse med overvåkingen
c) hvordan tilgang til registrert eller lagret informasjon
skal gis
d) at informasjonen etter første og andre ledd
skal ha en annen lagringstid enn fem år.

[...]

§ 9-4 Varslingsplikt og myndighet til å fatte vedtak
ved anskaffelser til skjermingsverdig informasjonssystem,
objekt og infrastruktur

Ved anskaffelser til skjermingsverdig informasjonssystem,
objekt eller infrastruktur skal virksomheten
vurdere om anskaffelsen kan innebære
en ikke ubetydelig risiko for at informasjonssystemet,
objektet eller infrastrukturen kan bli rammet
av eller brukt til sikkerhetstruende virksomhet.
Plikten til å foreta en slik vurdering gjelder
ikke dersom anskaffelsen åpenbart ikke innebærer
noen slik risiko.

Virksomheten skal varsle departementet dersom
vurderingen viser at anskaffelsen innebærer
en risiko som nevnt i første ledd. Virksomheter
som ikke er underlagt noe departement, skal
varsle sikkerhetsmyndigheten. Varslingsplikten
gjelder uten hinder av taushetsplikt. Plikten gjelder
ikke dersom virksomheten selv iverksetter tiltak
som fjerner risikoen, eller gjør den ubetydelig.

Departementet som mottar et varsel etter
andre ledd, kan be relevante organer uttale seg
om risikoen ved anskaffelsen og om leverandørens
sikkerhetsmessige pålitelighet.

Dersom en anskaffelse til et skjermingsverdig
informasjonssystem, objekt eller infrastruktur kan
innebære en ikke ubetydelig risiko som nevnt i
første ledd, kan Kongen i statsråd fatte vedtak om
at anskaffelsen ikke skal gjennomføres, eller om
at det skal settes vilkår for den. Dette gjelder også
dersom det er inngått avtale om anskaffelsen. Dersom
det ikke fattes vedtak etter første punktum,
skal departementet orientere virksomheten om
det. Et vedtak etter første punktum er et særlig
tvangsgrunnlag etter tvangsfullbyrdelsesloven
kapittel 13.

[...]

§ 11-4 Straff

Den som forsettlig eller uaktsomt overtrer
bestemmelser gitt i eller i medhold av §§ 3-4, 4-3,
eller 5-2, § 5-3 første ledd, §§ 6-2, 6-3, 7-3, § 9-2 første
ledd, § 9-4 første ledd første punktum eller § 9-4
andre ledd første eller andre punktum, eller overtrer
et pålegg gitt av tilsynsmyndigheten i medhold
av § 3-6, straffes med bot eller fengsel inntil 6
måneder eller begge deler, hvis ikke forholdet går
inn under en strengere straffebestemmelse.

Den som forsettlig eller grovt uaktsomt bryter
taushetsplikt etter § 5-4 andre ledd eller § 6-6
femte ledd, straffes med bot eller fengsel inntil 1
år eller begge deler, hvis ikke forholdet går inn
under en strengere straffebestemmelse.

Den som overtrer et forbud fastsatt med hjemmel
i § 7-5, straffes med bot eller fengsel inntil 1 år
eller begge deler, hvis ikke forholdet går inn
under en strengere straffebestemmelse.

Forsøk på overtredelser som nevnt i første til
tredje ledd straffes på samme måte.

[...]

Se også saken på regjeringen.no.