Prop. 97 L (2015–2016) Endringer i sikkerhetsloven (reduksjon av antall klareringsmyndigheter mv.)

Forsvarsdepartementet foreslår i denne lovproposisjonen endringer i sikkerhetsloven som innebærer en betydelig reduksjon av antall klareringsmyndigheter, fra 42 til i hovedsak én i sivil sektor og én i forsvarssektoren. Det foreslås også to nye bestemmelser om varsling og om myndighet til å fatte vedtak, ved risiko for sikkerhetstruende virksomhet og ved anskaffelser til kritisk infrastruktur. I dag drifter Nasjonal sikkerhetsmyndighet (NSM) den nasjonale responsfunksjonen for alvorlige dataangrep mot kritisk infrastruktur (NorCERT) og varslingssystemet for digital infrastruktur (VDI).

I lovproposisjonen foreslår departementet at disse oppgavene lovfestes. Det foreslås i tillegg en ny bestemmelse om behandling av personopplysninger, som tydeliggjør hvilken opplysninger som kan behandles og når, for å ivareta oppgavene som er tillagt NorCERT og VDI. Ved sikkerhetsgraderte anskaffelser må det i dag søkes om leverandørklarering for hvert enkelt oppdrag.

Forsvarsdepartementet foreslår at leverandørklareringen skal være tidsbasert. For øvrig foreslås det lovfesting av gjeldende praksis om overvåking av godkjente informasjonssystemer og lovfesting av den langvarige praksisen om ikke å sikkerhetsklarere regjeringsmedlemmer og dommere i Høyesterett. Forslagene vil samlet sett dekke et behov som gjeldende regelverk ikke ivaretar, og dessuten bidra til effektivisering og legitimering av gjeldende praksis.

Se prop. 97 L (2015-2016) i PDF.

Utdrag fra proposisjonen:

Side 25:

6 Nasjonal responsfunksjon og varslingssystem

6.1 NorCERT og VDI
6.1.1 Innledning

Nasjonal sikkerhetsmyndighet driver i dag en
nasjonal responsfunksjon for alvorlige dataangrep mot kritisk infrastruktur (NorCERT) og et varslingssystem
for digital infrastruktur (VDI). Hensikten
med NorCERT og VDI er å innhente, analysere og dele informasjon om angrep mot kritisk infrastruktur.
Dette oppnås blant annet gjennom utplassering
av sensorer i et representativt utvalg virksomheter
som innehar kritisk infrastruktur eller
informasjon. Informasjon fra sensorene bidrar til
en nasjonal evne til tidlig deteksjon og verifikasjon
av koordinerte og målrettede angrep. Når angrep
mot vår mest kritiske infrastruktur inntreffer,
bidrar slik informasjon også til bedre analyse og
håndtering på nasjonalt nivå.

6.1.2 Nasjonal responsfunksjon for alvorlige
dataangrep mot kritisk infrastruktur
(NorCERT)

Norwegian Computer Emergency Response
Team (NorCERT) er Norges nasjonale senter
som koordinerer håndteringen av alvorlige IKThendelser
mot kritisk infrastruktur. NorCERT ble
etablert som en integrert del av Nasjonal sikkerhetsmyndighet
(NSM) fra 1. januar 2006, og er en
oppfølging av St.meld. nr. 39 (2003–2004) Samfunnssikkerhet
og sivilt-militært samarbeid. I
St.meld. nr. 22 (2007–2008) Samfunnssikkerhet – Samvirke
og samordning legges det til grunn at «[e]nheten legger til rette for effektiv håndtering
av alvorlige IKT-sikkerhetsangrep mot viktig
infrastruktur og informasjon i Norge».

Et helt sentralt element i utøvelsen av
NorCERT er innhenting, verifisering, analyse og
videreformidling av informasjon om sårbarheter,
potensielle risikoer, angrepsmetoder og ondsinnet
kode. Dette skjer dels gjennom Nasjonalt
varslingssystem for digital infrastruktur (VDI),
men også gjennom mottak av informasjon fra nasjonale og internasjonale samarbeidspartnere.
Den totale mengde data danner grunnlag for analyse
i forbindelse med håndtering av alvorlige
hendelser, og er avgjørende for koordinering
med, og bistand til, nasjonale og internasjonale
samarbeidspartnere.

I tilknytning til håndtering av allerede inntrufne
alvorlige angrep, bistår NorCERT også med ana-lyse av infisert maskinvare. I disse tilfellene får NorCERT overlevert det aktuelle lagringsmediet
eller en kopi av dette. Ved tilgang til lagringsmediet,
vil NorCERT få adgang til innholdsdata
som er lagret på mediet. Formålet med analysen er
imidlertid utelukkende å kartlegge forhold knyttet
til det aktuelle angrep mot systemet. Virksomhetens
samtykke og samarbeid er en nødvendig
forutsetning for tilgang til materialet.

Den nasjonale evnen til å håndtere alvorlige
dataangrep mot kritisk infrastruktur og informasjon
er avhengig av et særlig samspill mellom EOStjenestene.
EOS-tjenestene omfatter Etterretningstjenesten,
Politiets sikkerhetstjeneste og NSM. Til
sammen har tjenestene i oppdrag å oppdage,
varsle, motvirke og etterforske alvorlige IKT-hendelser.
NSM samarbeider derfor nært med Etterretningstjenesten
og Politiets sikkerhetstjeneste
om håndteringen av de mest alvorlige dataangrepene.
Samarbeidet er nærmere formalisert
og regulert i egne retningslinjer av 15. mai 2013,
fastsatt av sjefene for de tre tjenestene.

Videre samarbeider NSM med en rekke andre
offentlige og sivile samarbeidsparter. NSM har en koordinerende funksjon mot de nasjonale, sektorvise responsmiljøene (sektor-CERT’er) og enkeltvirksomheter der det ikke er slike. CERT står for
Computer Emergency Response Team, og er koordinerende
enhet for informasjonssikkerhet. En
sektor-CERT bidrar med god kunnskap om spesielle
systemer og løsninger innenfor sine respektive
sektorer. NSM er også det nasjonale kontaktpunktet
for tilsvarende funksjoner i andre land og internasjonale
organisasjoner. Som nasjonal fagmyndighet
skal NSM koordinere, og legge til rette for,
samarbeid mellom alle aktører innen fagfeltet.

Side 26:

6.1.3 Varslingssystem for digital infrastruktur
(VDI)

På 1990-tallet ble det klart at bruk av Internett og
tiltakende IKT-avhengighet kom til å utgjøre en
stor sårbarhet for kritisk infrastruktur. Som en konsekvens
ble varslingssystem for digital infrastruktur
(VDI) etablert i 1999 som et forsøksprosjekt
mellom Etterretningstjenesten, Politiets sikkerhetstjeneste
og Nasjonal sikkerhetsmyndighet
(NSM). Fra 2003 ble driften av VDI lagt under
NSM, og det er i dag en integrert del av NSMs
organisasjon. Det nære samarbeidet med Etterret
ningstjenesten og Politiets sikkerhetstjeneste
rundt funksjonen er imidlertid videreført.

VDI består av et nettverk av sensorer som
utplasseres hos utvalgte offentlige og private virksomheter
som innehar kritisk infrastruktur i tilknytning
til deltakernes datanettverk. Sensorene
samler inn data som skal gjøre det mulig for NSM
tidlig å detektere, verifisere og varsle om koordinerte
og alvorlige dataangrep.

VDI registrerer metadata (data som tjener til å
definere eller beskrive andre data) i den hensikt å
kunne identifisere unormale kommunikasjonsmønstre
hos de deltakende virksomhetene. Gjennom
den enkelte VDI-sensor registrerer NSM trafikkdata
som inneholder blant annet IP-adresser
og domenenavn. Dette utgjør ca. 4 % av kommunikasjonen
knyttet til inn- og utgående datatrafikk
hos virksomheten. I denne prosessen vil det også
registreres personopplysninger. Det er imidlertid
avidentifiserte personopplysninger som inngår i
den metadataen som registreres i tilknytning til
datakommunikasjon inn og ut fra tilknyttede virksomheter.
De avidentifiserte opplysningene må
koples med andre opplysninger, som NSM ikke
har tilgang til, for å kunne knyttes til en enkeltperson.
Dataene er avidentifiserte i utgangspunktet,
og NSM trenger derfor ikke å avidentifisere opplysningene
i etterkant.

VDI-sensornettet har et signatursett som er
utviklet basert på tidligere hendelser og annen
kjent aktørinformasjon. Ved unormal trafikk vil
det også kunne utløses en alarm basert på predefinerte
signaturer. Ved slike alarmer blir det
lagret en meget begrenset mengde innholdsdata i
form av såkalt «pakkedump». Dette vil kun være
fragmenter av innhold, fra for eksempel e-poster.
Disse dataene er nødvendige for å kunne analysere
og verifisere utløste alarmer.

Tilknytning til VDI er basert på frivillighet, og
tilbys etter en nærmere vurdering av virksomhetens
betydning for kritisk infrastruktur. Det inngås
en avtale mellom NSM og den enkelte deltaker hvor partenes rettigheter og plikter nærmere
reguleres. Deltakende private virksomheter
er i dag forpliktet til å bidra til finansieringen av
VDI og nasjonal responsfunksjon for alvorlige
dataangrep mot kritisk infrastruktur (NorCERT)
gjennom et årlig vederlag.

Tilknytning til VDI erstatter ikke virksomhetens
egne sikkerhetstiltak, men er et komplementerende
sikkerhetstiltak. Virksomhetene har
derfor både en rett og plikt til å ivareta sikkerheten
i egne systemer, uavhengig av tilknytning
til VDI.

6.2 Gjeldende rett
Nasjonal responsfunksjon for alvorlige dataangrep
mot kritisk infrastruktur og varslingssystem for
digital infrastruktur er opprettet og lagt til Nasjonal
sikkerhetsmyndighet etter beslutninger fra
regjeringen og Stortinget, men har i dag ingen
direkte forankring i lov. [...]

Side 27:

6.4 Høringsforslaget

Departementet foreslo i høringsnotatet at virksomheten
som i dag utøves av Nasjonal sikkerhetsmyndighet
(NSM) gjennom nasjonal responsfunksjon
for alvorlige dataangrep mot kritisk infrastruktur
(NorCERT) og varslingssystem for digital
infrastruktur (VDI) blir lovfestet i § 9 som en
del av NSMs oppgaver. Det ble foreslått at bestemmelsen
inntas som ny bokstav e i § 9 første ledd.
Som følge av ny bokstav e, ble det foreslått at gjeldende
bokstav e blir bokstav f og at gjeldende
bokstav f blir bokstav g. Forslaget innebærer utelukkende
en kodifisering av ordninger som allerede
har eksistert siden henholdsvis 1999 og
2006.

Departementet ga videre uttrykk for at dagens
ordning med frivillig tilknytning til VDI videreføres
som hovedprinsipp, men at det i forskrifter
vurderes å åpne for å gjøre unntak fra dette for
skjermingsverdige objekter og graderte informasjonssystemer.

Unntaket var ment også å omfatte
systemer som understøtter slike og som kan være
spesielt utsatt for såkalte logiske trusler. Forslaget
var kun ment som en sikkerhetsventil, der tilknytning
til VDI ble vurdert som påkrevd ut fra det
totale risikobildet, og hvor det ikke hadde vært
mulig å få til en avtale basert på frivillighet. I den
forbindelse understreket departementet at et
eventuelt unntak fra frivillighet kun var ment å
omfatte de største og viktigste systemene innen
norsk IKT-infrastruktur.

6.5 Høringsinstansenes syn

Flere høringsinstanser, støtter en lovfesting av
nasjonal responsfunksjon for alvorlige dataangrep
mot kritisk infrastruktur (NorCERT) og varslingssystem
for digital infrastruktur (VDI). KRIPOS
uttaler at «[d]isse to funksjonene er tett knyttet
sammen og anses i økende grad nødvendig for å
kunne ha et helhetlig sanntidsbilde over sårbarheter
og trusler mot digitalt baserte samfunnskritiske
funksjoner». Etterretningstjenesten og
Telenor påpeker at det bør åpnes for at virksomheter
kan pålegges tilknytning til VDI. Nasjonal
kommunikasjonsmyndighet (Nkom) mener at en
slik ordning bør ha direkte hjemmel i lov.
Enkelte høringsinstanser stiller spørsmål om
NorCERT og VDI er forenlige med NSMs tilsynsoppgaver.
I den forbindelse uttaler Nasjonal senter
for informasjonssikring (NorSIS):

«I redegjørelsen argumenteres det for at NSMs
oppgaver knyttet til koordinering av nasjonal
respons ved alvorlige IKT-hendelser bør lovfestes.
Ser man foreslåtte formulering av operativt
ansvar i e) opp mot tilsynsoppgaven i c) så kan
dette medføre at NSM utøver operativ virksomhet
og tilsyn i og overfor samme virksomhet.
Spesielt da lovens virkeområde foreslås utvidet,
bør den inngripen dette kan medføre overfor
berørte virksomheter vurderes nærmere.»

Enkelte høringsinstanser stiller spørsmål ved
hensiktsmessigheten av å lovregulere virksomheten,
og mener organiseringen blant annet bør
skje i samsvar med de behovene som samfunnsutviklingen
krever. Telenor anerkjenner NSMs
behov for å ha et tydelig mandat, ansvar og rolleavklaring
mot andre myndighetsorganer, men
påpeker at lovfesting vil være lite hensiktsmessig
og bør unngås. Etter Telenors syn vil dagens
organisering kunne være helt uhensiktsmessig
om fire-fem år.

Side 28:

Politidirektoratet motsetter seg ikke lovfesting
av ansvaret til NorCERT, men bemerker at lovfestingen
kan bidra til å forsterke de uklarheter som
allerede eksisterer rundt hvilke myndigheter som
har ansvar for hva knyttet til alvorlige IKT-hendelser.
Forarbeidene bør etter direktoratets vurdering,
derfor klargjøre at det er politiet som har
ansvaret for krisehåndtering i sivil sektor.
Flere høringsinstanser påpeker også at regulering
av NorCERT og VDI bør sees i sammenheng
med (og avvente) anbefalingene fra Digitalt sårbarhetsutvalg.

6.6 Departementets vurderinger

Departementet foreslår en lovfesting av virksomheten
som i dag utøves av Nasjonal sikkerhetsmyndighet
(NSM) gjennom nasjonal responsfunksjon
for alvorlige dataangrep mot kritisk infrastruktur
(NorCERT) og varslingssystem for digital
infrastruktur (VDI). Videre foreslås en egen
hjemmel for behandling av personopplysninger
som er nødvendige for utførelsen av disse funksjonene,
se punkt 7. Departementet mener en lov- og
etterfølgende forskriftsfesting av funksjonene, og
nærmere rammer for virksomheten, vil forenkle
grunnlaget for EOS-utvalgets kontroll på dette
området.

Av de instanser som har uttalt seg, støtter flertallet
en lovregulering av NorCERT og VDI. Imidlertid
registrerer departementet at enkelte instanser
har stilt spørsmål om disse funksjonene er forenlige
med NSMs øvrige oppgaver, da primært
knyttet til tilsyn. Departementet vil peke på at forslaget
ikke legger noen nye oppgaver til NSM.
Denne oppgaveporteføljen har NSM allerede hatt
i en rekke år, uten at departementet har erfart at
det har oppstått noen interessekonflikt. Departementet
vil også peke på at det ikke er uvanlig at
etater med kontroll- og tilsynsansvar også har
oppgaver av veiledningsmessig eller operativ
karakter.

En vesentlig del av de saker som Nor-
CERT og VDI håndterer, er alvorlige IKT-angrep
mot kritisk infrastruktur hvor fremmede stater kan stå bak. Denne type saker håndteres naturlig
av etterretnings- og sikkerhetstjenestene. Gjennom
en organisering av NorCERT og VDI i en av
disse tjenestene, sikres et godt samarbeid og en
god koordinering og informasjonsdeling mellom
de ansvarlige aktører. En plassering av disse funksjonene
utenfor EOS-tjenestene vil vanskeliggjøre
en helhetlig tilnærming og informasjonsdeling
knyttet til de mest alvorlige hendelsene. Dette vil
kunne svekke vår nasjonale evne til håndtering av
slike hendelser. Departementet mener på denne
bakgrunn at NorCERT og VDI i dag er riktig
organisatorisk plassert, og at dette også bør forankres
i lov. Departementet er av den oppfatning at
de nærmere rammer for utøvelse av funksjonen,
herunder samarbeidet med de øvrige EOS-tjenestene
og de sektorvise responsmiljøene, nærmere
bør reguleres i forskrift.

I høringsforslaget var forslaget til ny bokstav e
i § 9 utformet:

«drive en nasjonal responsfunksjon for alvorlige
dataangrep mot samfunnskritisk infrastruktur
og et nasjonalt varslingssystem for
digital infrastruktur.»

Departementet har endret «samfunnskritisk infrastruktur
» til «kritisk infrastruktur», slik at det er i
tråd med legaldefinisjonen i § 3, se punkt 11.3.2 og
11.4.7. Endringen er imidlertid ikke ment å innebære
en realitetsforskjell.

Departementet har som opplyst i høringsnotatet,
vurdert om det bør etableres en hjemmel for å
kunne pålegge enkelte virksomheter med kritisk
infrastruktur en tilknytning til VDI. Departementet
ser at det er argumenter for en slik ordning,
men har registrert innvendinger mot en generell
hjemmel fra flere av høringsinstansene. Departementet
har kommet til at et slikt pålegg må utredes
nærmere. Spørsmålet bør dessuten ses i sammenheng
med en vurdering av den framtidige
finansieringsmodellen for NorCERT og VDI.
Departementet vil derfor komme tilbake til dette
spørsmålet ved en senere anledning.

Side 29:

7 Behandling av personopplysninger

7.1 Gjeldende rett
Behandling av personopplysninger i forbindelse
med nasjonal responsfunksjon for alvorlige dataangrep
mot samfunnskritisk infrastruktur (Nor-
CERT) og varslingssystem for digital infrastruktur
(VDI) hjemles i dag i personopplysningsloven
§ 8 første ledd bokstav f. Formålet med behandlingen
er deteksjon og håndtering av alvorlige dataangrep
mot kritisk infrastruktur. Det er derfor
lagt til grunn at det foreligger en berettiget
interesse som overstiger personvernulempen ved
behandlingen.

Sjef for Nasjonal sikkerhetsmyndighet (NSM)
har fastsatt en etatsintern instruks for utøvelsen
av NorCERT og VDI. Instruksen skal bidra til forsvarlige
rammer for gjennomføringen, deriblant
ivareta personvernet. Av instruksen følger det at
NSM som hovedregel kun skal behandle personopplysninger
i avidentifisert form. NSM skal således
ikke kople metadata med andre opplysninger,
slik at de kan knyttes til identifiserbare enkeltpersoner.

NSMs behandling av opplysninger skjer videre
i full åpenhet mot de virksomheter hvor VDI-sensorer er utplassert. Av avtalen som inngås med virksomhetene,
følger det at virksomheten har rett til fullt innsyn i sensorenes konfigurering og de dataene som innsamles. I avtalen fastsettes en strengt formålsstyrt bruk av den informasjon som registreres. Formålet med avtalen er å styrke den nasjonale evnen til å forebygge og håndtere alvorlige
IKT-baserte hendelser. Deltakende virksomheter
er videre gjort kjent med at informasjon kan bli delt med Etterretningstjenesten og Politiets sikkerhetstjeneste
innenfor dette formålet. Informasjon
vil for øvrig ikke bli delt med tredjeparter uten virksomhetens
forutgående samtykke. I avtalen er det
inntatt som en plikt for den deltakende virksomhet
å påse at avtalen implementeres på en slik måte at
de ansattes rettigheter ivaretas. Det er etablert en
egen rutine, ved avvik som medfører at personopplysninger blir registret i større omfang enn beskrevet
ovenfor. I disse tilfellene vil NSM loggføre hendelsen, informere virksomheten om hendelsen, vurdere
omkonfigurering av systemet for å unngå gjentakelser, samt slette all overskuddsinformasjon
innen 24 timer etter at hendelsen er oppdaget. De
loggførte avvikene vil bli lagt fram for Stortingets
kontrollutvalg for etterretnings-, overvåkings- og
sikkerhetstjenestene (EOS-utvalget) under utvalgets
løpende inspeksjoner av NSM.

I de tilfeller der det har inntruffet en alvorlig
hendelse, og NSM får digitale lagringsmedier til
analyse, inngås det en bistandsavtale med virksomheten
hvor denne samtykker til analysen, og
hvor rammene for NorCERTs behandling av informasjonen
nærmere reguleres.

EOS-utvalget skal påse at EOS-tjenestene utfører
sine oppgaver innenfor rammene av lov og
annet regelverk, at det ikke øves urett mot noen,
og at det ikke nyttes mer inngripende midler enn
det som er påkrevd etter forholdene. EOS-utvalget
inspiserer NSM fire ganger i året. En av disse kontrollene
har de siste årene vært dedikert til den
del av virksomheten som utøver NorCERT og
VDI. EOS-utvalget har i sin kontroll tilgang til all
informasjon som behandles av NSM, og kan kreve
tilgang til alle relevante systemer.

7.2 Høringsforslaget

I høringsnotatet foreslo departementet en ny og selvstendig hjemmel i sikkerhetsloven § 10 a om Nasjonal sikkerhetsmyndighets adgang til å behandle personopplysninger. Forslaget som ble
sendt på høring hadde følgende ordlyd:

Ǥ 10 a Behandling av personopplysninger
Nasjonal sikkerhetsmyndighet kan
behandle personopplysninger når dette er nødvendig
for å utføre de oppgaver som følger av § 9
første ledd e. Opplysninger som behandles skal
være korrekte, oppdaterte, tilstrekkelige og
relevante for formålet med behandlingen. Opplysningene
kan kun benyttes til det formål de er innhentet for. Opplysningene skal ikke lagres lenger
enn det som er nødvendig for å oppfylle formålet med behandlingen.

Side 30:

Kongen kan gi nærmere bestemmelser om
Nasjonal sikkerhetsmyndighets behandling av
personopplysninger.»

Personopplysningsloven § 8 oppstiller ulike
grunnlag for å behandle personopplysninger. I
tillegg til ved samtykke gitt av den registrerte,
kan personopplysninger behandles dersom det
er fastsatt i lov og behandlingen er nødvendig for
å oppfylle nærmere angitte formål. Departementet
påpekte i høringsnotatet at formålet med
NorCERT- og VDI-funksjonene ikke er å samle
inn personopplysninger. Likevel er det ikke til å
unngå at slike opplysninger blir behandlet som
ledd i å vareta oppgavene knyttet til detektering,
varsling og koordinering av håndteringen av
alvorlige IKT-angrep. Departementet mente at det særlig gjelder personopplysninger som er en
del av trafikkdata, men også i noen utstrekning
innholdsdata. Av høringsnotatet framgår det på side 17:

«I forslag til ny § 10 a første ledd etableres det et klart hjemmelsgrunnlag for Nasjonal sikkerhetsmyndighets behandling av personopplysninger
i forbindelse med drift av VDI- og NorCERT-
funksjonene. Bestemmelsen tar sikte på
å forsterke hjemmelsgrunnlaget for den
behandlingen av personopplysninger som
skjer i dag.

Departementet legger til grunn at personopplysningsloven
kommer til anvendelse for
behandlingen av personopplysninger, men
likevel slik at unntakene i personopplysningsloven
§ 23 første ledd a (om unntak fra rett til
innsyn og plikt til å gi informasjon av hensyn til
rikets sikkerhet mv), og personopplysningsforskriften
§ 1-2 første ledd (om behandling av
personopplysninger som er nødvendig av hensyn
til rikets sikkerhet) også kommer til anvendelse.
Personopplysninger vil under enhver
omstendighet bli behandlet og oppbevart med
minimum de sikkerhetskrav som følger av personopplysningsloven.

Departementet forutsetter at nærmere
bestemmelser om behandling av personopplysninger
innenfor de rammene som her er satt,
fastsettes i forskrift. Det foreslås derfor et nytt
andre ledd som gir hjemmel til å lage utfyllende
regler i forskrift.»

7.3 Høringsinstansenes syn

Høringsinstansene støtter gjennomgående NSMs
adgang til å behandle personopplysninger i forbindelse
med drift av NorCERT og VDI. Etterretningstjenesten
uttaler:

«Etterretningstjenesten kan ikke understreke
sterkt nok at cybertrusselen mot Norge og norske
interesser har økt betydelig og vil øke ytterligere,
jf. tjenestens vurderinger i FOKUS 2015
s. 83 flg., og at landets samlede evne til å
avdekke, motvirke og håndtere de mest alvorlige
cyberhendelser krever sanntids og kontinuerlig
informasjonsutveksling og samarbeid mellom
EOS-tjenestene, både gjennom cyberkoordineringsgruppen
(CKG) og øvrige mekanismer
mellom tjenestene. Dersom det kan reises tvil
om tjenestene kan utveksle relevant informasjon seg imellom for dette formål, både i form av rådata og i form av bearbeidede data og uavhengig
av hvorledes tjenestene har kommet i besittelse av slike data, vil dette svekke myndighetenes
deteksjons- og håndteringsevne.

Etterretningstjenesten mener derfor at prinsippet
om at NSMs responsfunksjon skal basere
seg på koordinert innsats og informasjonsdeling
med de øvrige EOS-tjenestene må lovfestes
sammen med lovfestingen av selve responsfunksjonen.»

Difi synes det er positivt at NSMs grunnlag for
behandling av personopplysninger klargjøres og
at det gis utfyllende regler i forskrift:

«Ut fra høringsnotatet er det noe uklart om det
blir noen endring i behandling av innholdsdata.
Det kan med fordel komme klarere frem om
dette bare er en lovfesting av dagens praksis
eller om det innebærer en utvidelse. Dersom
opplysninger skal kunne deles med andre EOS
tjenester bør det komme klart fram, enten
direkte i § 10a eller i forskriften.»

KRIPOS mener en klar rettslig regulering av
NSMs behandling av personopplysninger vil
skape en langt bedre forutberegnelighet for den
enkelte, og samtidig klargjøre adgangen til
behandling av informasjon i langt større grad enn
at det må foretas en skjønnsmessig vurdering
etter personopplysningsloven § 8 f.

Flere høringsinstanser etterlyser imidlertid en
nærmere konkretisering av hjemmelsgrunnlaget,
og nærmere redegjørelse for hvilke behandlingsformer
som er aktuelle.

Side 31:

Datatilsynet støtter i utgangspunktet en lovfesting
av NSMs adgang til å behandle slike data,
men mener at lovhjemmelens utforming har
enkelte svakheter:

«Hjemmelen er lite konkret, den mangler nærmere
angivelser av hvilke behandlingsformer
og hvilke personopplysningskategorier som er
tenkt omfattet. Dermed fremstår den i realiteten
som en in blanco-fullmakt for innsamling,
registrering, lagring, analyse, sammenstilling
og utlevering (samt alle andre tenkelige
behandlingsformer, jf. personopplysningsloven
§ 2 nr. 2) av et uinnskrenket antall datakategorier.
På bakgrunn av høringsnotatet er
det dessuten vanskelig å forutse omfanget av
enkeltindivider som vil bli berørt.
[…]

Høringsnotatet burde ha gitt en fyldigere
analyse av sakens faktiske sider, og de konsekvenser
som kan tenkes å følge etter en eventuell
lovendring. Ettersom lovforslaget ifølge
departementet innebærer en kodifisering av
eksisterende praksis, burde det ha vært mulig
å dele av de erfaringene som er høstet så
langt. (…) Departementet gjentar flere steder
at formålet med datainnsamlingen ikke er å
behandle personopplysninger. Likevel er det
klart at både metadata og innholdsdata vil bli
lagret og analysert. Begge kategoriene kan
etter omstendighetene være å regne som personopplysninger
i personopplysningslovens
forstand. En vurdering av tiltakenes nødvendighet
og proporsjonalitet er derfor på sin
plass også her. Som nevnt over, forutsetter
dette en klar fremstilling både av fakta og av
følger.»

Nkom uttaler at et sentralt spørsmål ved sikkerhetsmessig
overvåking av denne type er eventuelle
begrensninger i bruk av overskuddsinformasjon:
«Hva som aktivt kan søkes etter og analyseres
følger av lovens formålsbegrensning og det
konkrete forslaget til ny § 9 første ledd bokstav
e. Det er imidlertid sannsynlig at man i dette
arbeidet vil komme over informasjon om for
eksempel straffbare forhold som ikke utgjør en
fare for samfunnskritisk infrastruktur som
sådan. Det vil slik Nkom ser det vesentlig
svekke legitimiteten til VDI dersom slik informasjon
overføres fra NorCERT til andre
myndigheter.»

For NRK er det avgjørende spørsmålet om dagens
begrensning i tilgang til innholdsdata i praksis blir
videreført eller ikke, m.a.o. om lovendringen innebærer
en oppmykning av NSMs adgang til å innhente
personopplysninger/innholdsdata:

«NRK mener likevel det er grunn til å reise
spørsmål om §§ 9 første ledd bokstav e og 10 a
kan åpne opp for en mer generell adgang til å
innhente innholdsdata.»

NSM slutter seg til departementets forslag om et
styrket hjemmelsgrunnlag for VDI- og NorCERTfunksjonens
behandling av personopplysninger.

«NSM mener imidlertid at § 10 a bør gis en
annen utforming. Bestemmelsen slik den er
formulert i høringsnotatet kan oppfattes slik at
NSM kun kan behandle personopplysninger i
de tilfeller det skjer etter § 9 første ledd e, og
underforstått; ikke i andre tilfeller. Det er åpenbart
at en slik tolkning ikke skal legges til
grunn. Det er en rekke oppgaver i loven for
øvrig som forutsetter at det behandles personopplysninger
også i andre tilfeller (f.eks.
bestemmelsene om personellsikkerhet, monitoring
og til dels inntrengingstesting)».

7.4 Departementets vurderinger

Forslaget til ny § 10 a er utelukkende en kodifisering
av gjeldende praksis, og en forsterkning av
hjemmelsgrunnlaget for behandling av personopplysninger
som Nasjonal sikkerhetsmyndighet
(NSM) har hatt adgang til siden varslingssystem
for digital infrastruktur (VDI) ble etablert i 1999. I
tråd med gjeldende praksis er behandling av personopplysninger
i forbindelse med Nasjonal
responsfunksjon for alvorlige dataangrep mot kritisk
infrastruktur (NorCERT) og VDI, tydelig
avgrenset til det som er nødvendig for å detektere,
verifisere, analysere og håndtere alvorlige IKTangrep
mot kritisk infrastruktur.

En rekke høringsinstanser stiller likevel spørsmål
om forslaget innebærer en utvidet adgang til å
behandle innholdsdata. Departementet presiserer
at det ikke tas sikte på å innføre hjemmel for
behandling av personopplysninger ut over hva
som allerede behandles i dag. Departementet er
imidlertid enig med høringsinstansene i at rammene
for behandlingen bør tydeliggjøres.

Respekten for privatlivets fred er nedfelt i
Grunnloven § 102 og Den europeiske menneskerettighetskonvensjon
(EMK) artikkel 8. EMK

Side 32:

artikkel 8 nr. 1 beskytter retten til privatliv, familieliv,
hjem og korrespondanse, og legger skranker
på offentlige myndigheters inngripen i disse
rettigheter. EMK artikkel 8 nr. 2 åpner imidlertid
for at offentlige myndigheter kan gjøre inngripen i
rettighetene dersom inngrepet har hjemmel i lov,
ivaretar nærmere angitte formål, og er «nødvendig
i et demokratisk samfunn» for å oppfylle ett
eller flere av de legitime formålene, som for
eksempel nasjonal sikkerhet.

Hensikten med NorCERT og VDI er å innhente,
analysere og dele informasjon om angrep
mot kritisk infrastruktur. Formålet med behandlingen
er å identifisere angrep, og å kunne analysere
slike når de har inntruffet. For å ivareta sine
oppgaver har NSM ikke behov for identifiserbare
personopplysninger. NorCERT og VDI behandler
i det alt vesentlige bare avidentifiserte «metadata
». Det er derfor uten interesse for NSM å
sammenstille metadata med andre data slik at
disse kan knyttes til identifiserbare enkeltindivider.
I forlengelsen av dette bemerker departementet
at formålet med ordningen på ingen måte innebærer
et inngrep i pressens kildevern.

Gjennomføringen av NorCERT og VDI kan
imidlertid i ytterste konsekvens innebære behandling
av identifiserbare personopplysninger.
Behandling av identifiserbare personopplysninger
kan skje når det registreres begrenset mengde innholdsdata
(pakkedump) i forbindelse med utløste
alarmer i VDI, eller når NSM får utlevert lagringsmedier
og logger for analyse. NSMs formål med
behandlingen vil imidlertid utelukkende være å
analysere det inntrufne angrepet, og begrense konsekvensene
av dette. I de tilfeller hvor NSM bistår
virksomheter i analyse av logger eller infiserte maskiner, skjer dette etter samtykke fra, og i samarbeid
med, den berørte virksomhet. Av 17 662 utløste alarmer i 2014, inneholdt 5 alarmer fragmenter av lesbart innhold, og som utgjorde identifiserbare
personopplysninger. Disse ble håndtert i
henhold til gjeldende rutiner, og protokollført.
Departementet vil også understreke at det er full
åpenhet mellom virksomheten og NSM knyttet til
konfigurering av sensorene og den informasjon
disse skal registrere, samt at EOS-utvalget fører
løpende kontroll med NSMs virksomhet.

Oppgavene som ivaretas av NorCERT og VDI
er en forutsetning for vår nasjonale evne til å ivareta
sikkerheten knyttet til våre mest kritiske
systemer og funksjoner. Ivaretakelse av den nasjonale
sikkerheten er et legitimt formål etter EMK
art. 8 nr. 2. Oppgavene kan ikke ivaretas uten
behandling av opplysninger, herunder også personopplysninger. Behandling av personopplysninger
framstår derfor som nødvendig.

I proporsjonalitetsvurderingen må det tas hensyn
til at sterke samfunnsmessige interesser tilsier
en høy grad av nasjonal deteksjonsevne knyttet
til digitale angrep. NSM har erfart at nettverksoperasjoner
stadig blir mer målrettede og avanserte.
Manglende deteksjons- og håndteringsevne
vil kunne lette fremmede staters etterretningsaktivitet,
og svekke vår nasjonale evne til å beskytte
vår mest kritiske informasjon, IKT- infrastruktur
og andre samfunnsviktige funksjoner.

Informasjonsdeling er en grunnleggende forutsetning
for Norges nasjonale evne til å håndtere
alvorlige IKT-angrep. Begrepet behandling av personopplysninger
omfatter også utlevering, jf. personopplysningsloven
§ 2 første ledd nr. 2. Nor-
CERT er avhengig av å motta informasjon for å
kunne forebygge, avdekke og håndtere hendelser.
Informasjonen må kunne deles med et bredt spekter
aktører for at formålet med responsfunksjonen
skal kunne ivaretas. For å håndtere de mest alvorlige
angrep, hvor fremmede stater kan stå bak, er
det nødvendig å etablere informasjonsflyt mellom
EOS-tjenestene. For å sette sektorene og virksomhetene
i stand til å håndtere enkelthendelser og
beskytte sine systemer, må informasjon også
kunne deles med sektorvise responsmiljøer, virksomheter
og andre berørte aktører. Det vil ikke
bli utlevert informasjon til andre aktører der dette
ikke er i samsvar med NorCERT og VDIs formål.
Forutsetningen for utlevering av informasjon er at
denne benyttes innenfor rammene av formålet
med NorCERT og VDI. Opplysningene kan kun
benyttes til det formål de er innhentet for, jf. personopplysningsloven
§ 11.

Opplysninger som fremkommer i forbindelse med NorCERT og VDI kan bare benyttes til forebygging,
deteksjon og håndtering av alvorlige dataangrep
mot kritisk infrastruktur. Dette innebærer
at overskuddsinformasjon om andre forhold
i en virksomhet verken blir oppbevart eller
utlevert. Det vil være naturlig at de nærmere
detaljer, blant annet for utlevering og sletting av
personopplysninger, fastsettes i forskrift.

Ut fra informasjonen som registreres, og formålet
med behandlingen, representerer dette
etter departementets oppfatning ikke en trussel
mot de verdier som EMK artikkel 8 og Grunnloven
§ 102 skal verne. Departementet har etter
en konkret avveining kommet til at en eventuell
behandling av identifiserbare personopplysninger
er nødvendig for å ivareta Norges nasjonale evne
til å håndtere alvorlige IKT-angrep.

Side 33:

Departementet har gjort lovhjemmelen i
forslag til ny § 10 a mer tilgjengelig, klar og presis
enn den var i høringsrunden. I første ledd
bokstav a til d presiserer departementet hvilke
kategorier personopplysninger som kan behandles:

«Når det er nødvendig for å utføre oppgavene
etter § 9 første ledd bokstav e, kan Nasjonal sikkerhetsmyndighet
behandle personopplysninger
i form av

a. metadata om IKT-trafikk til og fra virksomheter
som er knyttet til det nasjonale varslingssystemet
for digital infrastruktur
b. informasjon som er nødvendig for å analysere
utløste alarmer i varslingssystemet
c. IP-adresser mottatt fra nasjonale og internasjonale
samarbeidspartnere
d. logger og infisert maskinvare, etter samtykke
fra en virksomhet der dette er nødvendig
i forbindelse med bistand til håndtering
av alvorlige dataangrep.»

I andre ledd angir departementet i hvilket andre
tilfeller personopplysninger kan behandles og stiller
krav til behandlingen:

«I andre tilfeller enn nevnt i første ledd, kan
personopplysninger også behandles når dette
er strengt nødvendig for å ivareta oppgavene
etter § 9 første ledd bokstav e, og behandlingen
etter en konkret vurdering framstår som både nødvendig og proporsjonal i forhold til det inngrepet
den representerer i personvernet.»

Grunnkravene i personopplysningsloven § 11 gjelder
ved behandling av personopplysninger etter
forslag til ny § 10 a. Departementet er derfor enig
med Datatilsynet i at det blir overflødig å gjengi
innholdet i personopplysningsloven § 11 i forslaget
til ny § 10 a første ledd andre til fjerde punktum.
Departementet mener at en slik dobbeltregulering
vil være uheldig, og kan skape usikkerhet
om tolkningen av bestemmelsen. På bakgrunn av
dette viderefører departementet ikke § 10 a første
ledd andre til fjerde punktum fra høringsforslaget.
Forslaget lød:

«Opplysninger som behandles skal være korrekte,
oppdaterte, tilstrekkelige og relevante
for formålet med behandlingen. Opplysningene
kan kun benyttes til det formål de er innhentet
for. Opplysningene skal ikke lagres lenger
enn det som er nødvendig for å oppfylle formålet
med behandlingen.»

Departementet har imidlertid vurdert om det i
stedet bør henvises til personopplysningsloven
§ 11 i forslaget til ny § 10 a, og kommet til at det vil
være overflødig.

For øvrig presiseres det at forslaget til ny
§ 10 a ikke er ment å representere en innskrenkning
i NSMs adgang til å behandle personopplysninger
i andre tilfeller enn de som er nevnt i
§ 9 første ledd bokstav e.

Side 34:

8 Sikkerhetsmessig overvåking av godkjente
informasjonssystemer

8.1 Gjeldende rett
Ondsinnet programvare blir mer avansert, og
utgjør i økende grad en trussel også mot de godkjente
informasjonssystemene. Godkjente informasjonssystemer
er systemer som er godkjent for
behandling av sikkerhetsgradert informasjon.

Utviklingen medfører et økende behov for at
virksomhetene sikkerhetsmessig overvåker sine
godkjente informasjonssystemer. Slik overvåking
er et viktig verktøy for å avdekke sikkerhetstruende
hendelser mot systemet. Med sikkerhetstruende
hendelser menes sikkerhetstruende virksomhet,
kompromittering av skjermingsverdig informasjon
og grove sikkerhetsbrudd, jf. forskrift om sikkerhetsadministrasjon
§ 1-2 nr. 2. Sikkerhetsmessig
overvåking av godkjente informasjonssystemer
innebærer både logging, automatiserte alarmer, så
vel som manuell sammenstilling og analyse av data
relatert til sikkerhetstruende hendelser.

Reguleringen av sikkerhetsmessig overvåking
av godkjente informasjonssystemer framgår ikke
direkte av sikkerhetsloven i dag, men følger av
informasjonssikkerhetsforskriften § 5-2. Her går
det fram at sikker drift og vedlikehold er et av
hovedmålene for sikkerheten i godkjente informasjonssystemer.
Informasjonssystemet skal da kontinuerlig
overvåkes for sikkerhetstruende hendelser,
jf. første ledd nr. 2 c i bestemmelsen.

[...]

8.3 Høringsforslaget

8.3.1 Innledning

Departementet foreslo i høringsnotatet en ny
bestemmelse i sikkerhetsloven om virksomhetens
egen adgang til sikkerhetsmessig overvåking av
godkjente informasjonssystemer. Siden sikkerhetsmessig
overvåking av IKT-systemer har klare grenseflater
mot enkeltindividets personvern, mente
departementet at det burde ha en klar hjemmel i
lov. Hjemmelsgrunnlaget blir med det klarere, og
den økte betydningen synliggjøres. Departementet
påpekte at forslaget i stor grad er en videreføring av
eksisterende regler i forskrift om informasjonssikkerhet
og gjeldende praksis for sikkerhetsmessig
overvåking av informasjonssystemer. Forslaget
innebærer i utgangspunktet ikke noen vesentlig
utvidelse av omfanget av tillatt overvåking. Departementet
skriver på side 9 i høringsnotatet:

«Sikkerhetsmessig overvåking av godkjente
informasjonssystemer gjøres for å ivareta høy
grad av sikkerhet i systemene og for å hindre

Side 35:

eller begrense omfanget av en kompromittering i systemene. En vesentlig del av forslag til ny § 13 a er derfor ment som en klargjøring og presisering
av virksomhetens egen rett og plikt til å
utøve kontroll med godkjente informasjonssystemer.
Det etableres derfor en klar hjemmel
for sikkerhetsmessig overvåking hvor behandling
av personopplysninger også kan inngå.
Departementet understreker at behandling av personopplysninger som følge av sikkerhetsmessig
overvåking av inn- og utgående kommunikasjon, fortsatt vil måtte skje i tråd med grunnleggende prinsipper i arbeidsmiljøloven og personopplysningsloven.»

Systemer som er godkjent i henhold til sikkerhetsloven
§ 13, behandler informasjon som kan ha
skadefølger for rikets sikkerhet eller andre vitale
nasjonale sikkerhetsinteresser, dersom den blir
kjent for uvedkommende. Slik informasjon må ha
en høy grad av beskyttelse. Gitt de potensielt
store skadefølgene, la departementet til grunn at
den inngripen som sikkerhetsmessig overvåking
kan medføre, må anses å ligge innenfor personopplysningslovens
ramme.

Forslaget som ble sendt på høring hadde følgende
ordlyd:

«§ 13 a Sikkerhetsmessig overvåking av godkjente
informasjonssystemer

Den enkelte virksomhet skal kontinuerlig
overvåke godkjente informasjonssystem for
sikkerhetstruende hendelser, fortrinnsvis ved
bruk av automatisert systemovervåking. Sikkerhetsrelevante
hendelser skal registreres.

Når informasjon utveksles mellom systemer,
på tvers av autorisasjonsskiller, eller til
bærbare lagringsmedier, skal informasjonen
som utveksles registreres og lagres.

Der flere virksomheter er tilknyttet samme
informasjonssystem, kan en virksomhet etter
avtale med de andre virksomhetene forestå
overvåking og registrering i henhold til første
og andre ledd på vegne av den ansvarlige virksomhet.

Med mindre annet er bestemt, skal informasjon
registrert etter første ledd lagres i fem år.

Informasjon som nevnt i første og andre
ledd skal kun benyttes til formål om å håndtere
sikkerhetstruende hendelser.

Den enkelte virksomhet skal påse at autoriserte
brukere av informasjonssystemer som
overvåkes i henhold til denne bestemmelse får
informasjon om formålet med behandlingen,
om de tiltak som er iverksatt, om informasjonen vil bli utlevert, og eventuelt hvem som er mottaker.

Kongen kan gi nærmere bestemmelser om
sikkerhetsmessig overvåking av informasjonssystemer,
herunder om hvilke typer data som
kan eller skal registreres og lagres, lagringstid
for registrerte data, hvem som skal kunne gis
tilgang til de lagrede data og hvordan tilgang
skal gis.»

8.3.2 Overvåking

Forslag til første ledd i ny § 13 a er en videreføring
av §§ 5-2 c og 5-3 e i forskrift om informasjonssikkerhet.
Her oppstilles hovedregelen om at informasjonssystemer
som er godkjent i henhold til
§ 13, kontinuerlig skal overvåkes for sikkerhetstruende
hendelser. Departementet presiserte i
høringsnotatet at slik overvåking ikke trenger å
måtte utføres av personell. Det bør tvert om tilstrebes
at overvåkingen skjer ved hjelp av automatiserte
prosesser. Sikkerhetsrelevante hendelser
skal den virksomhet som behandler skjermingsverdig
informasjon registrere og følge opp.

8.3.3 Registrering og lagring
Forslag til andre ledd i ny § 13 a gir hjemmel for å
overvåke og registrere utveksling (import og
eksport) av data mellom interne systemer, mellom
interne og eksterne systemer, på tvers av
autorisasjonsskiller, eller til bærbare lagringsmedier.
Med autorisasjonsskiller menes her utveksling
av informasjon mellom systempartisjoner
som behandler ulike autorisasjonsområder, for
eksempel HEMMELIG og NATO SECRET, samt
ulike graderingsnivåer, for eksempel BEGRENSET
og ugradert, jf. forskrift om informasjonssikkerhet
§ 5-7 første ledd nr. 3 og 4. I høringsnotatet
skriver departementet på side 10:

«Registrering og analyse av trafikk- og innholdsdata
vil ofte være nødvendig for å oppdage
kompromittering av et informasjonssystem.
Det er videre trolig eneste mulighet for å kunne
fastslå skadeomfang, og å oppdage den eller de ansvarlige med hensyn til slik kompromittering.
Et eksempel på viktige trusler som
adresseres er såkalt Advanced Persistent
Threat (APT), hvor avanserte angripere gjennomfører
langvarige angrep. Angriperne stjeler
data fra kompromitterte brukerkonti og
sender disse dataene i skjul over nettverket til
maskiner på utsiden av systemet. Et annet
eksempel er at minnepinner eller andre bær-

Side 35:

bare lagringsmedier misbrukes til å stjele store
volum med graderte data, enten som en bevisst
handling fra en utro bruker, eller gjennom ondsinnet
programvare.

Analyse av utvekslede trafikk- og innholdsdata
kan avsløre angriperens kommandoer
som sendes inn i nettverket, skjulte datastrømmer
som sendes ut av nettverket og uvanlig
bruk av minnepinner. Omfanget av loggingen
og analysemetoder vil være avhengig av blant
annet trusselen mot systemet, det operative
miljøet og informasjonens graderingsnivå.
Omfanget og analysemetodene vil også kunne
forandre seg over tid, avhengig av den tekniske
utviklingen og utviklingen med hensyn til trusselbildet
og angrepsmetoder. Departementet
mener det er viktig at bestemmelsen åpner for
slik fleksibilitet, slik at tiltaket ikke raskt blir
utdatert og med det mister sin relevans.»

Departementet vurderte særlig personvernhensyn
i forbindelse med forslag til nytt andre ledd,
og av høringsnotatet framgår det videre:

«For å ivareta personvernhensyn knyttet til
registrering, overvåking og analyse av brukerdata
må virksomheten, eventuelt systemeier på
vegne av virksomheten, implementere forsvarlige
rutiner for behandling av opplysningene.
Hvilke tiltak som vil være forsvarlige, avhenger
av hva slags informasjon som behandles. Et
mulig tiltak er overføring av sensitive loggdata
til egne lagringsservere som er øremerket for
dette formålet. Videre kan det innføres
tomannsregel for interaktiv tilgang til slike
loggdata, f.eks. ved at personene som utfører
virksomhetens kontroll deler en brukerkonto
for dette arbeidet og har hver sin del av passordet.
Det kan også innføres nærmere angitte
forutsetninger for interaktiv tilgang til slike
loggdata, f.eks. ved at det skal foreligge en godkjenning
fra særskilte personer for hver runde med interaktive søk som igangsettes. Når personvernhensynene
vurderes, må det også legges
vekt på at brukerne som får tilgang til opplysninger
er særlig trente i å håndtere sensitiv
informasjon og er godt informert om hvordan
sikring av slik informasjon skal skje. Departementet
viser også til forholdsmessighetsprinsippet
i sikkerhetsloven § 6 første ledd om at
det ikke skal brukes mer inngripende midler
og metoder enn det som framstår som nødvendig.
Behovet for omfanget av registrering og
lagring av data kan være mindre på lavgraderte
systemer enn på de høyere graderte systemer.

Departementet legger til grunn at utfyllende
bestemmelser vil bli gitt i forskrift eller veiledning,
slik at loggeomfanget her nærmere kan
tilpasses de ulike systemers sikkerhetsbehov.»

8.3.4 Overvåking på vegne av andre

Forslag til tredje ledd i ny § 13 a regulerer de tilfeller
der flere virksomheter er tilknyttet samme
informasjonssystem. I slike tilfeller kan
systemeier etter avtale med den enkelte virksomhet
forestå overvåking og registrering på vegne
av den ansvarlige virksomhet. Systemeier bør alltid
påse at den enkelte virksomhet som bruker
informasjonssystemet er kjent med kravene til
informasjonssystemets sikkerhet, herunder kravene
til sikkerhetsovervåking og registrering av
sikkerhetsrelevante hendelser, og at relevante
tiltak er iverksatt.

8.3.5 Lagringstid og formålet med behandlingen

Forslag til fjerde ledd i ny § 13 a viderefører
bestemmelsen i § 5-18 i forskrift om informasjonssikkerhet.
Det innebærer at informasjon som er
registrert etter første ledd skal lagres i minst fem
år.
Forslag til femte ledd angir hvilke formål den
registrerte informasjonen kan benyttes til. Informasjonen
kan bare benyttes til håndtering av sikkerhetstruende
hendelser. For disse formål kan
det være behov for å utlevere hele eller deler av
informasjonen også til Nasjonal sikkerhetsmyndighet,
politiet og andre relevante virksomheter.
Nærmere bestemmelser er gitt i forskrift om sikkerhetsadministrasjon.

8.3.6 Informasjon til brukerne

I forslag til sjette ledd i ny § 13 a pålegges virksomheten
informasjonsplikt på tilsvarende måte
som personopplysningsloven § 19. Etter departementets
oppfatning kan det være hensiktsmessig
å gi slik informasjon i autorisasjonssamtalen.
Autorisasjonssamtale gjennomføres med alle som
skal ha tilgang til graderte informasjonssystemer.
Det legges til grunn at innsyn i opplysninger
registrert i medhold av denne bestemmelsen ikke
vil være av en slik art at reglene om innsyn i epostkasse
mv. i personopplysningsforskriften
kapittel 9 kommer til anvendelse. I den grad det er
behov for å foreta tiltak som følge av aktivitet etter
bestemmelsen ved å foreta innsyn i ansattes epostkasse
med videre, skal imidlertid slikt innsyn

Side 37:

skje i overensstemmelse med reglene i personopplysningsforskriften
kapittel 9. Overvåking av
informasjonssystemer er også regulert i personopplysningsforskriften
§ 9-2 siste ledd. Behandling
av personopplysninger i forbindelse med
registrering av aktiviteter i informasjonssystemer
er regulert i personopplysningsforskriften § 7-11.
Behandling av opplysninger registrert i medhold
av forslaget til den nye bestemmelsen i sikkerhetsloven,
er ikke meldepliktig etter personopplysningsloven
§ 31 første ledd. Det presiseres
videre at personopplysningsforskriftens bestemmelser
nevnt foran, ikke kommer til anvendelse
på sikkerhetsmessig overvåking som er regulert
her.

8.3.7 Forskriftshjemmel

Forslag til sjuende ledd i ny § 13 a gir hjemmel til
å gi nærmere bestemmelser i forskrift om sikkerhetsmessig
overvåking av informasjonssystemer.
Forskriften regulerer hvilke typer data
som kan eller skal registreres, lagringstid for
registrerte data, hvordan lagring skal skje, hvem
som skal kunne gis tilgang til de lagrede data og
hvordan tilgang skal gis. Oppregningen av hvilke
forhold det kan gis nærmere bestemmelser om,
er ikke uttømmende.

8.4 Høringsinstansenes syn

De fleste av høringsinstansene som har uttalt seg
om bestemmelsen, støtter forslaget.
Advokatforeningen uttaler at foreningen har
forståelse for de foreslåtte endringene i sikkerhetsloven:
«Selv om forslaget innebærer økt omfang av
overvåkning i tilknytning til godkjente informasjonssystemer,
synes departementet å ha
vurdert behovet grundig».

Nasjonal sikkerhetsmyndighet (NSM) uttaler:

«For sikkerhetsgraderte systemer er det riktig
å innføre den foreslåtte sikkerhetsovervåkningen.
Det er viktig å understreke at godkjente
informasjonssystemer behandler informasjon
med et høyt beskyttelsesbehov og kun er ment
for tjenstlig bruk, og at arbeidsgiver derfor må
kunne benytte denne type virkemidler.»

Etter NSMs syn er det imidlertid behov for å tydeliggjøre
at den sikkerhetsmessige overvåkningen bestemmelsen hjemler, utelukkende skal ha til
formål å overvåke hendelser som kan utgjøre en
fare for systemet eller informasjonen i systemet.

Datatilsynet er enig i at det bør etableres en
klar hjemmel i lov for sikkerhetsmessig overvåking.

Enkelte høringsinstanser etterlyser imidlertid
en grundigere og mer konkret analyse av problemstillingen,
herunder en vurdering av tiltakets
nødvendighet og proporsjonalitet. I den forbindelse
uttaler Datatilsynet:

«Vi tillater oss også å legge til at lovfesting er
påkrevet fordi det sikrer legitimitet og forankring
i folkestyret, og at vedtak i formell
lovs form blir desto viktigere ved innføring av
metoder som griper inn i borgernes grunnleggende
menneskerettigheter. Slik legitimitet
forutsetter en grundig drøfting og avveining
av de interessene som står mot hverandre.
Blant annet må lovgiver avklare forholdet til
Grunnloven og de grunnleggende menneskerettighetene.
Vi viser her til at den enkeltes
rett til privatliv og kommunikasjon er vernet
av Grunnloven § 102, jf. også Den europeiske
menneskerettskonvensjonen (EMK) artikkel
8(1), som er inkorporert i norsk rett gjennom
lov 21. mai nr. 30 om styrking av menneskerettighetenes
stilling i norsk rett (menneskerettsloven).
[...]

Tiltakenes nødvendighet og proporsjonalitet
må også vurderes. Ifølge EMK artikkel 8 (2)
kan offentlige myndigheter gripe inn i individets
rettigheter etter artikkel 8 (1), under forutsetning
av at det er ‘nødvendig i et demokratisk
samfunn’, av hensyn til nærmere angitte
tungtveiende interesser.»

Enkelte høringsinstanser peker videre på et
behov for klargjøring av visse sider ved forslaget.

Etterretningstjenesten mener det bør klargjøres
om lagringsplikten etter fjerde ledd også gjelder
informasjon som utveksles mellom systemer og
autorisasjonsskiller etter andre ledd. Behovet for
å lovregulere lagringstid for innholdsdata registrert
etter andre ledd, påpekes også av Advokatforeningen.
Nasjonal kommunikasjonsmyndighet
(Nkom) uttaler:

«Hva gjelder annet ledd gir denne en plikt til å
registrere og lagre informasjon som utveksles
mellom systemer, mellom autorisasjonsskiller
eller til bærbare lagringsmedier. Nkom har
ikke kommentarer til plikten som sådan, men

Side 38:

er usikker på om det her menes at selve informasjonen
som utveksles skal lagres.»

Cyberforsvaret og Forsvarets sikkerhetsavdeling
(FSA) ser behov for å tydeliggjøre hvilke data
begrepet sikkerhetsrelevante hendelser omfatter.
De samme instanser påpeker også at registrering
og lagring av informasjon som utveksles mellom
systemer vil kunne være krevende og kostbart.
De anbefaler derfor at denne plikten ikke gjøres
absolutt. Politidirektoratet forstår bestemmelsen
slik at den avskjærer muligheten til å benytte
informasjonen fra overvåkningen av informasjonssystemet
til en etterfølgende straffesaksbehandling.
Politidirektoratet stiller derfor spørsmål ved
at viktig bevismateriale fra overvåkning med sikkerhetsgraderte
informasjonssystemer ikke kan
benyttes til strafferettslige formål.

Cyberforsvaret stiller også spørsmål til
begrensningene av informasjonsdeling, og foreslår
at lovteksten utvides slik at det åpnes for
deling av informasjon der hensikten er å forebygge
sikkerhetstruende hendelser.

Flere av høringsinstansene advarer mot at den
sikkerhetsmessige overvåkingen fortrinnsvis skal
skje automatisert, og påpeker at automatiserte
prosesser alene ikke er godt nok. En helautomatisk
prosess kan gi en rekke feilkilder som både
kan medføre at hendelser ikke oppdages, eller at
det oppstår uberettiget mistanke om en hendelse.

8.5 Departementets vurderinger

For å kunne avdekke og kartlegge omfanget av
sikkerhetstruende hendelser på en tilfredsstillende
måte, er det blant annet en forutsetning at
trafikk- og innholdsdata kan lagres. Lagring av
innholdsdata er ikke klart regulert i dag. Departementet
foreslår derfor en ny bestemmelse i sikkerhetsloven
som klargjør rammene for den sikkerhetsmessige
overvåkingen av godkjente informasjonssystemer
som virksomhetene selv skal
foreta.

Departementet har merket seg at Datatilsynet
savner en grundigere og mer konkret analyse av
interesseavveiningene, samt de foreslåtte tiltakenes
nødvendighet og proporsjonalitet. Departementet
vil innledningsvis presisere at forslaget er
avgrenset til systemer som er godkjent for
behandling av sikkerhetsgradert informasjon.
Dette er systemer som er klare etterretningsmål,
og som derfor må ha et høyt sikkerhetsnivå. Sikkerhetsmessig
overvåking av disse systemene
slik at angrep på et tidlig tidspunkt kan oppdages, og omfanget kartlegges, framstår derfor etter
departementets vurdering som nødvendig.

De systemer som vil være gjenstand for overvåking
etter forslagets § 13 er i mindre grad egnet
til, eller beregnet for, kommunikasjon av privat
karakter, eller annen type privat bruk. Dette er
lukkede systemer uten direkte tilknytning til
internett. Omfanget av privat kommunikasjon og
privat bruk av disse systemene vil derfor være
begrenset. Det vil likevel være slik at kommunikasjon
av privat karakter vil kunne forekomme, da
primært som e-post eller nettprat med videre, mellom
brukerne i det lukkede systemet.

Forslagets grenseflater mot enkeltindividets
personvern vil derfor i det alt vesentligste være
knyttet til bruk av informasjonen som samles inn
ved loggføring av aktivitet i systemene, samt
registrering av innhold ved overføring av informasjon
mellom ulike graderingsnivåer. Personvern
knyttet til bruk av logger vil alltid være en sentral
utfordring. Logger vil kunne si noe om hvem som
har jobbet med hva, på hvilket tidspunkt. Dette er
informasjon som kan ha interesse også i andre
sammenhenger.

Departementet mener derfor at
loggene bare må inneholde informasjon som er
strengt nødvendig for formålet, og at bruken av
loggene bare skal nyttes til håndtering av sikkerhetstruende
hendelser. Nasjonal sikkerhetsmyndighet
(NSM) har i sin høringsuttalelse foreslått
en presisering i lovteksten for å sikre nettopp den
strenge formålsavgrensingen. Departementet
støtter denne endringen, slik at bestemmelsens
første ledd nå presiserer at man skal «overvåke
godkjente informasjonssystemer for sikkerhetstruende
hendelser mot informasjonssystemet
eller informasjon i systemet». Departementet vil
videre presisere at det ligger innenfor formålet at
den registrerte informasjonen også kan benyttes i
en etterforskningssak knyttet til en sikkerhetstruende
hendelse i systemet.

I proporsjonalitetsvurderingen må det tas hensyn
til at den informasjonen som behandles i
systemet er av stor betydning for nasjonen Norge.
Dette er informasjon som, dersom den kommer
på avveie, vil kunne ha skadefølger for vår nasjonale
sikkerhet.

Omfanget av systemer som blir gjenstand for
sikkerhetsmessig overvåking etter § 13 a er også
av et begrenset omfang. Det er kun et fåtall
systemer i offentlig forvaltning som er godkjent
for å behandle sikkerhetsgradert informasjon, og
som således vil være underlagt kravene til sikkerhetsmessig
overvåking i § 13 a. Sikkerhetsmessig
overvåking vil bidra til at sikkerhetstruende hendelser
kan identifiseres. Når slike forekommer,

Side 39:

skal loggingen gjøre virksomheten i stand til å
foreta en vurdering av omfanget og karakteren av
skaden som har oppstått, gjenopprette sikker tilstand,
samt sikre sporbarhet og ansvarlighet for
utførte handlinger i samsvar med kravene i sikkerhetsloven
for øvrig. I samsvar med prinsippene
i sikkerhetsloven § 6, vil omfanget av loggingen
måtte bero på en konkret risikovurdering knyttet
til det enkelte system, hvor det ikke benyttes mer
inngripende tiltak enn nødvendig. Det vil være
naturlig at omfanget av logging er større på høyt
graderte systemer enn på de lavgraderte
systemene.

Systemer som blir gjenstand for sikkerhetsmessig
overvåking etter § 13 a blir videre administrert
av sikkerhetsklarert personell som både forstår
behovet for og betydningen av sikkerhetstiltak
overfor denne type informasjon. Administratorer
i disse systemene er også underlagt lovpålagte
forpliktelser til å beskytte informasjonen som
håndteres. I tillegg følger det av lovforslaget at
alle brukere av disse informasjonssystemene skal
informeres om den sikkerhetsmessige overvåking
systemet er gjenstand for.

Departementet vil gi nærmere forskrifter om
rammene for sikkerhetsmessig overvåking, og
om tiltak for å sikre en forsvarlig behandling av de
personopplysninger som registreres etter § 13 a.

Enkelte høringsinstanser har stilt spørsmål
om innholdsdata vil bli lagret etter forslagets
andre ledd. Formålet med dette leddet tilsier at
også innhold må lagres. Dette er nødvendig for å
kunne kartlegge skadeomfang ved en sikkerhetstruende
hendelse. Registrering av metadata framstår
ikke som tilstrekkelig, da det vil kunne åpne
for manipulasjon.

Departementet legger til grunn at en lagringstid
på 5 år også er påkrevd for informasjon som
registreres etter andre ledd. De samme hensyn
som tilsier lagring av loggdata i 5 år gjør seg gjeldende
også her. Departementet har klargjørt forslaget
til lovtekst på dette punktet. Oppbevaring
av loggdata med videre i 5 år representerer ingen endring fra gjeldende rett, men innebærer kun en
lovfesting av det som i dag følger av forskrift om
informasjonssikkerhet § 5-18.

Loggingsplikten knytter seg til sikkerhetsrelevante
hendelser. Som påpekt av blant annet Forsvarets
sikkerhetsavdeling, er det ikke gitt noen
legaldefinisjon av dette begrepet. Sikkerhetsrelevante
hendelser vil omfatte den aktivitet i
systemet som vil gjøre det mulig å identifisere en
sikkerhetstruende hendelse og kartlegge omstendighetene
rundt hendelsen når den inntreffer.
Departementet finner det ikke hensiktsmessig å
gi noen legaldefinisjon som uttømmende beskriver
dette begrepet. For å sikre tilstrekkelig dynamikk
i forhold til den teknologiske utviklingen,
bør innholdet i dette begrepet nærmere operasjonaliseres
i veiledninger fra NSM.

Departementet har vurdert forholdet til Den
europeiske menneskerettighetskonvensjon (EMK)
artikkel 8. Som redegjort for foran er de systemer
som vil være gjenstand for sikkerhetsmessig overvåking
etter § 13 a, i liten grad egnet for privat
bruk. Den sikkerhetsmessige overvåking som
iverksettes har på den andre siden en sterk forankring
i nasjonale sikkerhetsbehov. Departementet
mener således at tiltaket er forenlig med EMK
artikkel 8.

Enkelte høringsinstanser stiller spørsmål ved
hensiktsmessigheten av at systemovervåkingen
etter lovforslaget primært skal være automatisert.
Departementet vil påpeke at det i praksis ikke vil
være mulig å gjennomføre sikkerhetsmessig overvåking
fullt ut manuelt. Systemovervåking må primært
skje ved bruk av automatiserte verktøy konfigurert
spesielt for dette formålet. Der hendelser
detekteres, vil disse være gjenstand for en manuell
analyse. Etter departementets oppfatning
bidrar automatiserte prosesser til at personvernulempen
reduseres.

På bakgrunn av dette har departementet slått
sammen forslagets § 13 a fjerde og femte ledd,
samtidig som hjemmelen til å gi forskrift er presisert
nærmere i nåværende sjette ledd.

Side 77:

Forslag
til lov om endringer i sikkerhetsloven (reduksjon av antall
klareringsmyndigheter mv.)

I

I lov 20. mars 1998 nr. 10 om forebyggende sikkerhetstjeneste gjøres følgende endringer:

§ 2 fjerde til åttende ledd skal lyde:

§ 29 a gjelder for alle anskaffelser til kritisk infrastruktur. Kongen kan gi forskrift om identifisering av kritisk infrastruktur og om informasjon til retts
subjekter som eier eller rår over kritisk infrastruktur.
Loven gjelder for domstolene med de særregler
som følger av bestemmelsene om sikkerhetsklarering
og autorisasjon i og i medhold av domstolloven og
straffeprosessloven Kongen kan fastsette ytterligere
særregler.

Bestemmelsene gitt i og i medhold av lovens kapittel 6 om personellsikkerhet gjelder ikke for regjeringens
medlemmer og dommere i Høyesterett. Loven gjelder ikke for Stortinget, Riksrevisjonen,
Stortingets ombudsmann for forvaltningen og andre organer for Stortinget.

Loven gjelder for Svalbard og Jan Mayen i den utstrekning Kongen bestemmer.

§ 3 første ledd nytt nr. 21 skal lyde:

Kritisk infrastruktur; anlegg og systemer som er
nødvendige for å opprettholde samfunnets grunnleggende
behov og funksjoner.

Side 78:

Ny § 5 a skal lyde:
§ 5 a Varslingsplikt og myndighet til å fatte vedtak
ved risiko for sikkerhetstruende virksomhet
En virksomhet som får kunnskap om en planlagt
eller pågående aktivitet som kan medføre en
ikke ubetydelig risiko for at sikkerhetstruende virksomhet
blir etablert eller gjennomført, skal varsle
overordnet departement om dette. Dersom den varslingspliktige
virksomheten ikke er underlagt noe
departement, skal varselet gis til Forsvarsdepartementet.
Varslingsplikten gjelder uten hinder av lovbestemt
taushetsplikt. Ved behandling av varsel etter
første og andre punktum bør det innhentes rådgivende
uttalelser fra relevante organer med kompetanse
innenfor det aktuelle fagområdet.

Kongen i statsråd kan fatte nødvendige vedtak for
å hindre en planlagt eller pågående aktivitet som nevnt i første ledd første punktum. Et slikt vedtak kan fattes uten hensyn til begrensningene i forvaltningsloven
§ 35, og uavhengig av om aktiviteten er tillatt etter annen lov eller annet vedtak. Vedtak etter første punktum er særlig tvangsgrunnlag etter tvangsfullbyrdelsesloven kapittel 13.

Kongen i statsråd kan gi forskrift om varslingsplikten
i første ledd og om hvilke vedtak som kan fattes
etter andre ledd.

Ny § 9 første ledd bokstav e og f skal lyde
e. drive en nasjonal responsfunksjon for alvorlige
dataangrep mot kritisk infrastruktur og et
nasjonalt varslingssystem for digital infrastruktur,
f. gi informasjon, råd og veiledning til virksomheter.

I kapittel 3 skal ny § 10 a lyde:
§ 10 a Behandling av personopplysninger
Når det er nødvendig for å utføre oppgavene
etter § 9 første ledd bokstav e, kan Nasjonal sikkerhetsmyndighet
behandle personopplysninger i form
av
a) metadata om IKT-trafikk til og fra virksomheter
som er knyttet til det nasjonale varslingssystemet
for digital infrastruktur
b) informasjon som er nødvendig for å analysere
utløste alarmer i varslingssystemet
c) IP-adresser mottatt fra nasjonale og internasjonale
samarbeidspartnere
d) logger og infisert maskinvare, etter samtykke fra
en virksomhet der dette er nødvendig i forbindelse
med bistand til håndtering av alvorlige
dataangrep.
I andre tilfeller enn nevnt i første ledd, kan personopplysninger
også behandles når dette er strengt
nødvendig for å ivareta oppgavene etter § 9 første ledd bokstav e, og behandlingen etter en konkret
vurdering framstår som både nødvendig og proporsjonal
i forhold til det inngrepet den representerer i
personvernet.
Kongen kan gi forskrift om Nasjonal sikkerhetsmyndighets
behandling av personopplysninger

Ny § 13 a skal lyde:
§ 13 a Sikkerhetsmessig overvåking av godkjente
informasjonssystemer

Den enkelte virksomhet skal kontinuerlig overvåke
et godkjent informasjonssystem for sikkerhetstruende
hendelser mot informasjonssystemet eller
informasjon i systemet, fortrinnsvis ved bruk av
automatisert systemovervåking. Sikkerhetsrelevante
hendelser skal registreres.

Informasjon som utveksles mellom systemer, på
tvers av autorisasjonsskiller eller til bærbare lagringsmedier,
skal registreres og lagres.

Flere virksomheter som er tilknyttet samme informasjonssystem, kan avtale at en av virksomhetene skal forestå overvåking og registrering etter første og andre ledd på vegne av den ansvarlige virksomheten.

Informasjon registrert etter første og andre ledd
skal lagres i fem år. Slik informasjon skal kun benyttes
for å håndtere sikkerhetstruende hendelser.

Den enkelte virksomhet skal påse at autoriserte
brukere av informasjonssystemer som overvåkes i
henhold til denne bestemmelse får informasjon om
formålet med behandlingen, om de tiltak som er
iverksatt, om informasjonen vil bli utlevert og eventuelt
om hvem som er mottaker.

Kongen kan gi forskrift om
a) hvilke typer data som kan eller skal registreres
og lagres
b) hvem som skal ha tilgang til registrert og lagret
data
c) hvordan tilgang skal gis
d) unntak fra lagringstid på fem år.

§ 23 skal lyde:
§ 23 Autorisasjonsansvarlig og klareringsmyndighet

Autorisasjon kan gis dersom autorisasjonsansvarlig
ikke har opplysninger som gjør det tvilsomt
om vedkommende sikkerhetsmessig er til
å stole på. Autorisasjon gis normalt av virksomhetens
leder. Autorisasjon skal ikke gis før det
foreligger melding om sikkerhetsklarering, med
unntak for de tilfeller som er beskrevet i § 19
tredje ledd, og en autorisasjonssamtale er
avholdt. Nasjonal sikkerhetsmyndighet gir nærmere
regler om autorisasjon og om hvem som er
autorisasjonsansvarlig.

Kongen utpeker en klareringsmyndighet for forsvarssektoren
og en for den sivile sektoren. Kongen

Side 79:

kan utpeke andre klareringsmyndigheter når særlige
grunner taler for det. Etterretnings- og sikkerhetstjenestene
klarerer eget personell.

§ 28 første ledd andre punktum skal lyde:
Kongen gir forskrift om gyldighetstiden for leverandørklareringer.

Kapittel 7 overskriften skal lyde:

Kapittel 7. Sikkerhetsgraderte anskaffelser
og anskaffelser til kritisk infrastruktur

I kapittel 7 skal ny § 29 a lyde:
§ 29 a Varslingsplikt og myndighet til å fatte vedtak
ved anskaffelser til kritisk infrastruktur

Ved anskaffelser til kritisk infrastruktur skal det
foretas en risikovurdering. I vurderingen skal det
tas stilling til om anskaffelsen innebærer en ikke
ubetydelig risiko for at sikkerhetstruende virksomhet
blir etablert eller gjennomført mot eller ved bruk av
infrastrukturen. Plikten til å foreta en risikovurdering
gjelder ikke dersom det framstår som åpenbart
at anskaffelsen ikke kan innebære noen slik risiko.

En virksomhet som eier eller rår over kritisk
infrastruktur, skal varsle overordnet departement dersom en risikovurdering som nevnt i første ledd konkluderer
med at anskaffelsen kan innebære en ikke ubetydelig risiko for at sikkerhetstruende virksomhet blir etablert eller gjennomført. Virksomheter som ikke er underlagt noe departement, skal varsle
Forsvarsdepartementet. Varslingsplikten gjelder
uten hinder av lovbestemt taushetsplikt. Plikten gjelder
ikke dersom virksomheten selv iverksetter risikoreduserende
tiltak som fjerner risikoen, eller gjør
den ubetydelig.

Et departement som mottar varsel etter andre
ledd, bør innhente en rådgivende uttalelse fra relevante
organer om leveransens risikopotensiale og
leverandørers sikkerhetsmessige pålitelighet.

Dersom en anskaffelse til kritisk infrastruktur
kan medføre en ikke ubetydelig risiko for at sikkerhetstruende
virksomhet blir etablert eller gjennomført,
kan Kongen i statsråd fatte vedtak om at
anskaffelsen skal nektes gjennomført, eller om at det
settes vilkår for gjennomføringen. Dette gjelder også
dersom det allerede er inngått avtale om anskaffelsen.
Dersom det ikke fattes vedtak etter første punktum,
skal departementet underrette virksomheten om
dette. Vedtak etter første punktum er særlig tvangs
grunnlag etter tvangsfullbyrdelsesloven kapittel 13.
Kongen i statsråd kan gi forskrift om anskaffelser
til kritisk infrastruktur.

II

Loven gjelder fra den tid Kongen bestemmer. Kongen kan bestemme at de forskjellige bestemmelsene skal tre i kraft til forskjellig tid.

Se også saken på regjeringen.no.