Contents
- Kapittel 1 Vedtak om at sikkerhetsloven skal gjelde og definisjoner
- Kapittel 2 Sikkerhetsstyring
- Kapittel 3 Generelle krav til beskyttelse av skjermingsverdige verdier
- Kapittel 4 Håndtering og beskyttelse av skjermingsverdig informasjon
- Kapittel 5 Sikkerhetsgradering og merking
- Kapittel 6 Beskyttelse av informasjon gradert KONFIDENSIELT eller høyere
- Kapittel 7 Beskyttelse av skjermingsverdige informasjonssystemer
- Kapittel 8 Klassifisering av skjermingsverdige objekter og infrastruktur
- Kapittel 9 Beskyttelse av skjermingsverdige objekter og infrastruktur
- Kapittel 10 Inntrengningstesting, testing av sikkerhetstiltak og kommunikasjons- og innholdskontroll av informasjonssystemer
- Kapittel 11 Nasjonalt varslingssystem for digital infrastruktur
- Kapittel 12 Personellsikkerhet
- Kapittel 13 Sikkerhetsgraderte anskaffelser
- Kapittel 14 Tilsyn
- Kapittel 15 Melding om erverv av kvalifisert eierandel i virksomhet underlagt sikkerhetsloven
- Kapittel 16 Avsluttende bestemmelser
Kapittel 1 · Vedtak om at sikkerhetsloven skal gjelde og definisjoner
§ 1Vedtak om at sikkerhetsloven skal gjelde#
Når et departement fatter vedtak etter sikkerhetsloven § 1-3 om at loven skal gjelde for en virksomhet, skal virksomheten gis en rimelig frist for å oppfylle kravene gitt i eller med hjemmel i sikkerhetsloven. Fristen skal fastsettes ut fra hva som må gjøres for at virksomheten oppfyller kravene.
§ 2Definisjoner#
I denne forskriften menes meda. skjermingsverdige verdier: skjermingsverdig informasjon, skjermingsverdige informasjonssystemer, skjermingsverdig infrastruktur og skjermingsverdige objekterb. dokument: en logisk avgrenset mengde med informasjon som er lagret på et medium for senere lesing, lytting, framføring, overføring eller lignendec. lagringsmedium: en elektronisk eller fysisk enhet for lagring av informasjon til bruk for senere lesing, lytting, framføring, overføring eller lignende.
Kapittel 2 · Sikkerhetsstyring
§ 3Styringssystem for sikkerhet#
En virksomhet som omfattes av sikkerhetsloven, skal etablere et styringssystem for sikkerhet. Systemet skal sikre at virksomheten oppfyller kravene gitt i eller med hjemmel i loven.
§ 4Styringsdokument for det forebyggende sikkerhetsarbeidet#
Lederen for en virksomhet skal fastsette et styringsdokument som beskrivera. hvilke deler av sikkerhetsloven med forskrifter som gjelder for virksomhetenb. roller og ansvar i virksomhetens forebyggende sikkerhetsarbeid, jf. § 6c. prinsipper for virksomhetens sikkerhetsarbeid.Styringsdokumentet skal gjøres kjent og være tilgjengelig for virksomhetens ansatte og for leverandører og andre eksterne samarbeidspartnere, i den grad det er nødvendig for å oppfylle virksomhetens plikter etter sikkerhetsloven.
§ 5Sikkerhetsmål#
En virksomhet skal fastsette hvordan kravene til et forsvarlig sikkerhetsnivå i sikkerhetsloven § 4-3 første ledd, § 5-2 første ledd, § 6-2 første ledd og § 7-3 første ledd skal oppfylles og kriterier for å evaluere om kravene er oppfylt.
§ 6Roller i og ansvar for det forebyggende sikkerhetsarbeidet#
Lederen for en virksomhet skal fordele roller i og ansvar for det forebyggende sikkerhetsarbeidet, slik at kravene gitt i eller med hjemmel i sikkerhetsloven ivaretas. Rollene og ansvarsfordelingen skal gjøres kjent i virksomheten.Virksomhetens leder skal informeres om saker som er viktige for det forebyggende sikkerhetsarbeidet.Kontrollen av styringssystemet for sikkerhet skal om mulig utføres av andre enn de som har styrende eller utøvende oppgaver i det forebyggende sikkerhetsarbeidet.
§ 7Ressurser og kompetanse#
En virksomhet skal forvalte og utvikle det forebyggende sikkerhetsarbeidet sitt på en forsvarlig måte.Virksomheten skal utføre følgende tiltak overfor de som kan få tilgang til skjermingsverdige verdier gjennom å utføre arbeid eller tjenester for virksomheten:a. få bekreftet identiteten deres med gyldig legitimasjonb. sørge for at de kjenner til de relevante delene av styringssystemet for sikkerhetc. sørge for tilstrekkelig kompetanse om sikkerhetd. informere om endringer i kravene til sikkerhetene. klarlegge at personene kjenner til relevante sikkerhetstrusler og sikkerhetsbestemmelser.Når et arbeidsforhold eller en tjeneste avsluttes, skal virksomheten sikre at den som slutter, ikke lenger har tilgang til skjermingsverdige verdier. Den som slutter, skal informeres om at taushetsplikten etter sikkerhetsloven § 5-4 andre ledd fremdeles gjelder.
§ 8Tiltak ved sikkerhetstruende virksomhet, avvik og kompromittering av sikkerhetsgradert informasjon#
Ved sikkerhetstruende virksomhet eller avvik fra styringssystemet for sikkerhet skal en virksomhet gjennomføre umiddelbare tiltak for å redusere skadeomfanget og gjenopprette et forsvarlig sikkerhetsnivå. Det skal rapporteres om den sikkerhetstruende virksomheten eller avviket internt og til andre som kan bli berørt i stor grad. Virksomheten skal vurdere konsekvensene av den sikkerhetstruende virksomheten eller avviket.Hvis sikkerhetsgradert informasjon blir kjent for uautoriserte personer, skal virksomheten informere den som har tilvirket informasjonen, om hendelsen, i tillegg til å varsle etter sikkerhetsloven § 4-5.
§ 9Evaluering og øvelser#
En virksomhet skal regelmessig evaluere om kravet til et forsvarlig sikkerhetsnivå er oppfylt og minst én gang i året evaluere om styringssystemet for sikkerhet er egnet til å sørge for at kravet oppfylles, jf. § 5.Virksomheten skal regelmessig gjennomføre øvelser for å kontrollere effekten av sikkerhetstiltakene i en normalsituasjon og av tiltakene som er planlagt ved økt trusselnivå. Er virksomheten avhengig av andre virksomheter for å fungere slik den skal, skal virksomheten be de andre virksomhetene om å delta på øvelser når det er relevant.Resultatet av evalueringer og øvelser skal inngå i den årlige gjennomgangen av det forebyggende sikkerhetsarbeidet i virksomheten.
§ 10Gjennomgang av det forebyggende sikkerhetsarbeidet av virksomhetens leder#
Lederen for en virksomhet skal årlig foreta en helhetlig gjennomgang av virksomhetens forebyggende sikkerhetsarbeid for å vurdere om styringssystemet for sikkerhet fungerer etter hensikten.Virksomheten skal gjennomføre nødvendige forbedringer i det forebyggende sikkerhetsarbeidet og i styringssystemet for sikkerhet.
Kapittel 3 · Generelle krav til beskyttelse av skjermingsverdige verdier
§ 12Vurdering av risiko#
Når en virksomhet vurderer risiko, skal den ta hensyn tila. hvilken betydning virksomhetens skjermingsverdige verdier har for grunnleggende nasjonale funksjoner eller nasjonale sikkerhetsinteresserb. hvilken sikkerhetstruende virksomhet de skjermingsverdige verdiene kan bli utsatt forc. sannsynligheten for at sikkerhetstruende virksomhet kan inntreffed. hvilke sårbarheter som er knyttet til de skjermingsverdige verdienee. konsekvensen av sikkerhetstruende virksomhet for de skjermingsverdige verdienef. i hvilken grad virksomheten er avhengig av andre virksomheter for å fungere som den skal.Behovet for å gjennomføre en ny helhetlig vurdering av risikoen skal vurderes årlig.Dersom det planlegges, gjennomføres eller inntreffer endringer som kan påvirke skjermingsverdige verdier i vesentlig grad, skal virksomheten vurdere hvilken risiko endringene medfører.
§ 13Håndtering av risiko#
Når en virksomhet skal håndtere en risiko, skal den vurderea. om risikoen er akseptabelb. å endre sårbarheten til de skjermingsverdige verdiene ved grunnsikringstiltak og påbyggingstiltakc. hvordan virksomheten kan påvirke konsekvensene som kan inntreffe dersom de skjermingsverdige verdiene rammes, for eksempel ved å endre redundansen eller iverksette tiltak for skadebegrensning og gjenopprettelsed. å gjøre seg mindre avhengig av andre virksomhetere. å håndtere risikoen på andre måter.Virksomheten skal sende en oversikt over andre virksomheter den er avhengig av for å fungere som den skal, til Nasjonal sikkerhetsmyndighet og det departementet som er ansvarlig for det forebyggende sikkerhetsarbeidet i sektoren.
§ 14Grunnsikringstiltak, påbyggingstiltak og tiltak for skadebegrensning og gjenoppretting#
Grunnsikringstiltak skal bidra til et forsvarlig sikkerhetsnivå i virksomheter i en normaltilstand. Grunnsikringstiltakene kan værea. fysiske, elektroniske, menneskelige eller organisatoriske barriererb. systemer som skal oppdage og varsle om aktiviteter eller hendelserc. systemer og rutiner for å avklare aktiviteter og hendelser og bakgrunnen for demd. oppfølging av uønskede aktiviteter og uønskede hendelsere. en kombinasjon av tiltakene nevnt i bokstav a til d.En virksomhet skal, i god tid før en skjermingsverdig verdi etableres, fastsette hvilke grunnsikringstiltak som skal beskytte den. Virksomheten skal også vurdere om det er behov for slike tiltak i forbindelse med avviklingen av den skjermingsverdien verdien.En virksomhet skal planlegge påbyggingstiltak som kan iverksettes dersom økt risiko medfører at det ikke er tilstrekkelig med grunnsikringstiltakene. Påbyggingstiltakene skal kunne iverksettes i løpet av kort tid, og de skal kunne avvikles dersom risikoen reduseres i tilstrekkelig grad.Dersom den økte risikoen vedvarer, skal virksomheten vurdere om påbyggingstiltakene skal bli en del av grunnsikringen. I slike tilfeller skal virksomheten planlegge nye påbyggingstiltak.Virksomheten skal planlegge skadebegrensningstiltak som kan iverksettes i situasjoner som ikke kan håndteres fullt ut med grunnsikrings- og påbyggingstiltakene.Virksomheten skal ha en plan for å gjenopprette et forsvarlig sikkerhetsnivå.
§ 15Prinsipper ved valg og utforming av sikkerhetstiltak#
Når en virksomhet velger ut og utformer sikkerhetstiltak, skal følgende prinsipper legges til grunn:a. Sikkerhetstiltakene skal ikke ha en annen funksjonalitet eller større kompleksitet enn nødvendig.b. Det skal ikke gis en mer omfattende tilgang til skjermingsverdige verdier enn nødvendig.c. Svikt i ett enkelt tiltak skal ikke kunne føre til kompromittering av skjermingsverdige verdier.d. Sikkerhetstiltak skal i minst mulig grad være avhengige av hverandre, og flere sikkerhetstiltak skal dermed ikke kunne svekkes eller settes ut av funksjon samtidig, for eksempel som følge av én enkelt feil eller hendelse.e. Effekten av sikkerhetstiltakene skal være tilnærmet lik for alle skjermingsverdige verdier med samme sikkerhetsbehov.Sikkerhetstiltakene skal være samordnet. Kostnadene ved et sikkerhetstiltak skal stå i et rimelig forhold til det som kan oppnås ved tiltaket.En virksomhet skal ikke bruke mer inngripende sikkerhetstiltak enn nødvendig for å håndtere en aktuell risiko. Virksomheten skal her særlig ta hensyn til enkeltpersoners rettssikkerhet og personvern. Det skal ikke behandles personopplysninger i større grad enn det som er nødvendig ut fra formålet med sikkerhetstiltaket.Når et sikkerhetstiltak kan gripe inn i enkeltpersoners rettssikkerhet eller personvern, skal virksomheten kunne dokumentere hvorfor inngrepet er nødvendig.
§ 16Krav om bruk av evaluerte produkter og tjenester#
Når en virksomhet velger sikkerhetstiltak, skal den bruke evaluerte produkter og tjenester dersom produktets eller tjenestens funksjon i seg selv er avgjørende for ata. personer ikke får tilgang til informasjon gradert HEMMELIG eller STRENGT HEMMELIG uten å ha et tjenstlig behov for detb. personer ikke får tilgang til sikkerhetsgradert informasjon de ikke er autorisert forc. personer ikke kan overta eller sette ut av drift infrastruktur eller objekter som er klassifisert KRITISK eller MEGET KRITISK.Evalueringen skal skje gjennom metodisk utvikling og testing av produktet eller tjenesten og være etterprøvbar. Den skal utføres av Nasjonal sikkerhetsmyndighet eller et akkreditert laboratorium utpekt av Nasjonal sikkerhetsmyndighet, gi tillit til produktet eller tjenesten og sikre at produktet eller tjenesten har nødvendig funksjonalitet for å sikre det aktuelle graderingsnivået eller klassifiseringsnivået. Nasjonal sikkerhetsmyndighet kan godkjenne bruk av produkter og tjenester som er evaluert eller sertifisert i andre land.
§ 17Sertifisering av produkter og tjenester#
Kravene til en evaluering etter § 16 kan oppfylles gjennom en sertifisering gitt av Nasjonal sikkerhetsmyndighet eller et akkreditert sertifiseringsorgan utpekt av Nasjonal sikkerhetsmyndighet.Akkreditering av laboratorier og sertifiseringsorganer skal skje etter ISO- og IEC-standarder.
§ 18Krav til sikkerhet i anskaffelser#
Dersom en anskaffelse kan gi leverandøren eller dennes personell en mulighet til å påvirke et skjermingsverdig informasjonssystem eller objekt eller en skjermingsverdig infrastruktur, skal oppdragsgiveren vurdere risikoen for at informasjonssystemet, objektet eller infrastrukturen kan bli rammet av eller brukt til sikkerhetstruende virksomhet, og hvordan risikoen skal håndteres. Dersom virksomheten kommer til at anskaffelsen vil medføre en ikke ubetydelig risiko, skal virksomheten varsle departementet etter sikkerhetsloven § 9-4.Dersom en anskaffelse gir tilgang til skjermingsverdige informasjonssystemer eller skjermingsverdig ugradert informasjon, skal det inngås en avtale mellom virksomheten og leverandøren, hvor det fastsettes hvordan leverandøren skal forholde seg til de kravene som gjelder for anskaffelsen.
§ 19Varslingsplikt om anskaffelser til skjermingsverdig informasjonssystem, objekt og infrastruktur#
Et varsel etter sikkerhetsloven § 9-4 skal opplyse om følgende:a. hva anskaffelsen gjelderb. leverandørens navn, adresse, organisasjonsnummer, nasjonalitet, styremedlemmer og eierec. hvordan oppdragsgiveren vurderer risikoen for at skjermingsverdige verdier kan bli rammet av sikkerhetstruende virksomhet ved anskaffelsend. hvordan oppdragsgiveren vil håndtere risikoene. om det vil gjenstå en ikke ubetydelig risiko også etter at tiltak er iverksattf. om anskaffelsen likevel bør gjennomføresg. andre forhold som oppdragsgiveren antar kan ha betydning for vurderingen av risikoen forbundet med anskaffelsen.Med anskaffelse i sikkerhetsloven § 9-4 menes også tilleggsanskaffelser og kontrakter som tildeles under en rammeavtale.Departementet skal innen 60 arbeidsdager orientere oppdragsgiveren om anskaffelsen kan gjennomføres, eller om at saken skal behandles av Kongen i statsråd. Fristen regnes fra det tidspunktet departementet har mottatt varselet. Har departementet innen 50 arbeidsdager framsatt et skriftlig krav om ytterligere opplysninger, avbrytes fristen inntil dette svaret er mottatt.
§ 20Unntak fra sikkerhetskrav#
Dersom det blir uforholdsmessig byrdefullt for virksomheten å oppfylle sikkerhetskravene, kan Nasjonal sikkerhetsmyndighet gjøre unntak fra § 14 andre ledd første punktum, § 15 første ledd bokstav a til e, § 16, § 18 andre ledd, § 22, § 23 andre ledd, § 26 første ledd, § 27 tredje ledd, § 28, § 34 til § 36, § 38, § 39, § 40 andre ledd, § 42 fjerde ledd, § 43, § 46, § 49, § 51 tredje ledd, § 52, § 53, § 55, § 58, § 76, § 78, § 80 første ledd, § 83 bokstav b og c, og § 84.Myndigheter med tilsynsansvar etter sikkerhetsloven § 3-1 andre ledd kan gjøre unntak etter første ledd fra de sikkerhetskravene som ikke gjelder for beskyttelse av sikkerhetsgradert informasjon.En virksomhet kan i særlige tilfeller søke om unntak fra krav om beskyttelse av et skjermingsverdig objekt eller skjermingsverdig infrastruktur i denne forskriften. En slik søknad avgjøres av det departementet som har ansvaret for det forebyggende sikkerhetsarbeidet innenfor den aktuelle samfunnssektoren.
Kapittel 4 · Håndtering og beskyttelse av skjermingsverdig informasjon
§ 22Forsvarlig sikkerhetsnivå for skjermingsverdig informasjon#
Når en virksomhet håndterer en risiko knyttet til ugradert skjermingsverdig informasjon etter § 13, skal tiltakene som et minimum sørge for at informasjonen ikke kan gå tapt, endres eller gjøres utilgjengelig med enkle midler. Dersom risikoen tilsier det, skal informasjonen også beskyttes mot avanserte angrepsmetoder.Når virksomheten håndterer en risiko knyttet til informasjon gradert BEGRENSET, er kravet til et forsvarlig sikkerhetsnivå oppfylt dersom informasjonen ikke med enkle midler kan bli kjent for uautoriserte personer.Ved valg av sikkerhetstiltak skal virksomheten se behovet for å beskytte informasjonens konfidensialitet, integritet og tilgjengelighet i sammenheng og veie hensynene mot hverandre.
§ 23Destruering av dokumenter og lagringsmedier med sikkerhetsgradert informasjon#
Ved destruering av dokumenter og lagringsmedier som inneholder eller har inneholdt sikkerhetsgradert informasjon, skal det brukes en metode som gjør at det ikke er mulig å rekonstruere og lese informasjonen.Dersom informasjonen er eller har vært gradert KONFIDENSIELT eller høyere, skal det benyttes et produkt som er evaluert etter § 16, til å destruere dokumentet eller lagringsmediet.
§ 24Evakuering og ekstraordinær destruering i nødsituasjoner#
En virksomhet skal for nødsituasjoner ha en evakueringsplan og en plan for destruering av dokumenter og lagringsmedier med skjermingsverdig informasjon.
§ 25Utlevering av sikkerhetsgradert informasjon til fremmede stater og internasjonale organisasjoner#
Fremmede stater og internasjonale organisasjoner kan bare gis tilgang til norsk sikkerhetsgradert informasjon dersom deta. er i samsvar med nasjonale sikkerhetsinteresserb. ikke er i strid med lovbestemt taushetsplikt ogc. foreligger en sikkerhetsavtale mellom Norge og den aktuelle staten eller internasjonale organisasjonen.Når myndigheter eller virksomheter i andre stater eller internasjonale organisasjoner skal ha tilgang til sikkerhetsgradert informasjon, skal informasjonen behandles i samsvar med bestemmelsene i sikkerhetsavtalen som er inngått mellom Norge og den aktuelle staten eller organisasjonen.Dersom det ikke er praktisk mulig å inngå en sikkerhetsavtale, men det likevel er i Norges interesse å utlevere informasjonen, kan Forsvarsdepartementet og Justis- og beredskapsdepartementet gjøre unntak fra kravet til sikkerhetsavtale innenfor sine fagsektorer.
§ 26Tilsvarende sikkerhetsgrader#
Informasjon som er sikkerhetsgradert av en fremmed stat eller internasjonal organisasjon, skal beskyttes på samme måte som informasjon gradert med en tilsvarende norsk sikkerhetsgrad etter sikkerhetsloven § 5-3.Nasjonal sikkerhetsmyndighet fastsetter hvilke sikkerhetsgrader fastsatt av fremmede stater eller internasjonale organisasjoner som tilsvarer de norske sikkerhetsgradene etter sikkerhetsloven § 5-3.
§ 27Kryptering#
En virksomhet skal kryptere sikkerhetsgradert informasjon som sendes elektronisk ut av et fysisk område som virksomheten kontrollerer.Sikkerhetsgradert informasjon som er lagret hos virksomheten, skal krypteres dersom informasjonen ikke er sikret med andre sikkerhetstiltak som gir det samme sikkerhetsnivået som kryptering.Kryptomateriellet som brukes til å kryptere informasjonen, skal sikres på det samme sikkerhetsnivået som informasjonen det beskytter.Materiellet skal forvaltes i samsvar med kravene til implementering, bruk, drift og forvaltning som Nasjonal sikkerhetsmyndighet etter sikkerhetsloven § 5-6 har fastsatt som en del av godkjenningen. Nasjonal sikkerhetsmyndighet bestemmer hvilket materiell som kan brukes til å kryptere informasjon gradert KONFIDENSIELT eller høyere.Forsvarsdepartementet kan gi forskrift om krav til kryptering og beskyttelse av kryptomateriell.
Kapittel 5 · Sikkerhetsgradering og merking
§ 28Merking av dokumenter og lagringsmedier som inneholder sikkerhetsgradert informasjon#
Dokumenter og lagringsmedier skal merkes med den høyeste sikkerhetsgraden som gjelder for informasjon i dokumentet eller lagringsmediet, og med hvor lenge graderingen varer. Merkingen skal være lett synlig og lett kunne gjøres kjent for alle i og utenfor virksomheten som skal håndtere informasjonen.Dersom ikke all informasjon i et dokument eller et lagringsmedium har den samme sikkerhetsgraderingen, skal merkingen, så langt det er praktisk mulig, vise hvilke deler som har hvilken gradering eller ingen gradering.Dokumenter og lagringsmedier med informasjon som utleveres til en annen stat eller internasjonal organisasjon etter § 25, skal merkes med hvilken stat eller organisasjon utleveringen gjelder.
§ 29Sikkerhetsgradering ut over 30 år#
Hvis det er behov for å beskytte informasjon som er over 30 år, skal avgradering vurderes 40 år etter utstedelsen og deretter hvert tiende år.
§ 30Omgradering av sikkerhetsgradert informasjon#
Virksomheten skal vurdere å omgradere sikkerhetsgradert informasjon dersoma. den mottar et varsel om feil gradering etter § 32b. den mottar en henvendelse om innsyn som nevnt i § 33c. den avleverer dokumenter til Arkivverketd. det ellers oppstår grunn til å tro at beskyttelsesbehovet for informasjonen har endret seg.En omgradering kan gå ut på å fastsette en annen sikkerhetsgrad etter sikkerhetsloven § 5-3 første ledd eller å avgradere informasjonen.
§ 31Hvem som kan omgradere#
Informasjon med norsk sikkerhetsgradering kan omgraderes av virksomheten som har utstedt informasjonen, en overordnet virksomhet, det departementet som er ansvarlig for det forebyggende sikkerhetsarbeidet innenfor sektoren, og av Nasjonal sikkerhetsmyndighet. Informasjon med utenlandsk sikkerhetsgradering kan bare omgraderes av eller etter samtykke fra den staten eller organisasjonen som har utstedt informasjonen.
§ 32Plikt til å informere om behov for eller avgjørelse om omgradering#
Dersom en virksomhet som er omfattet av sikkerhetsloven, mottar informasjon og antar at en sikkerhetsgradering eller mangelen på en slik gradering er i strid med sikkerhetsloven § 5-3, skal utstederen informeres. Det samme gjelder dersom en autorisert person i en slik virksomhet mottar informasjon. Dersom det er uklart hvem som har utstedt informasjonen, eller utstederen ikke kan kontaktes, skal avsenderen av informasjonen informeres i stedet.En virksomhet som omgraderer informasjon, skal informere alle som har mottatt informasjonen.
§ 33Prosedyrer ved henvendelse om innsyn#
En utsteder av sikkerhetsgradert informasjon som mottar et krav om innsyn i informasjon etter offentleglova eller miljøinformasjonsloven, eller om partsinnsyn etter forvaltningsloven, skal uten ugrunnet opphold vurdere om den samlede informasjonen eller deler av den skal omgraderes etter § 30.En virksomhet som får en henvendelse om innsyn i sikkerhetsgradert informasjon den ikke har utstedt selv, skal uten ugrunnet opphold be utstederen å vurdere omgradering. Utstederen skal uten ugrunnet opphold vurdere spørsmålet og gi tilbakemelding. Kan ikke utstederen kontaktes, skal spørsmålet om omgradering legges fram for det departementet som er ansvarlig for det forebyggende sikkerhetsarbeidet innenfor sektoren, eller for Nasjonal sikkerhetsmyndighet.Dersom informasjon som er omfattet av retten til partsinnsyn etter forvaltningsloven, er gradert BEGRENSET, kan en autorisasjonsansvarlig autorisere en fysisk person som er part i saken, slik at det kan gis partsinnsyn.
Kapittel 6 · Beskyttelse av informasjon gradert KONFIDENSIELT eller høyere
§ 34Forsvarlig sikkerhetsnivå for informasjon gradert KONFIDENSIELT eller høyere#
Når en virksomhet håndterer en risiko knyttet til sikkerhetsgradert informasjon etter § 13, er kravet til et forsvarlig sikkerhetsnivå oppfylt dersoma. uautoriserte personer ikke kan få tilgang til informasjon gradert KONFIDENSIELT eller høyere, uten at virksomheten oppdager detb. uautoriserte personer ikke kan få tilgang til informasjon gradert HEMMELIG eller høyere, uten at virksomheten oppdager det og kan begrense skadefølgenec. risikoen for at uautoriserte personer får tilgang til informasjon gradert STRENGT HEMMELIG reduseres til et ubetydelig nivå.
§ 35Sending av informasjon gradert KONFIDENSIELT eller høyere#
Når informasjon som er gradert KONFIDENSIELT eller høyere, skal sendes fysisk, skal det brukes en kurér. Dersom informasjonen er gradert HEMMELIG eller STRENGT HEMMELIG, skal i tillegg mottakeren kvittere for at sendingen er mottatt.Dersom informasjon med ulik sikkerhetsgradering sendes sammen, skal det ligge ved en liste med oversikt over informasjonen og sikkerhetsgradene.
§ 36Pakking av informasjon gradert KONFIDENSIELT eller høyere#
Når informasjon som er gradert KONFIDENSIELT eller høyere, skal sendes fysisk, skal emballasjen være dobbel, ugjennomsiktig og av solid kvalitet. Emballasjen skal ikke kunne åpnes uten at det er sporbart. Den ytre emballasjen skal ikke vise at sendingen inneholder sikkerhetsgradert informasjon. Den indre emballasjen skal forsegles og merkes med sikkerhetsgrad.
§ 37Krav til oversikt over informasjon gradert KONFIDENSIELT eller høyere#
En virksomhet skal ha en oversikt over hvor dens egne dokumenter og lagringsmedier med informasjon som er gradert KONFIDENSIELT eller høyere, til enhver tid befinner seg. I tillegg skal virksomheten ha en oversikt over hvilke dokumenter og lagringsmedier med informasjon som er gradert KONFIDENSIELT eller høyere, som er mottatt fra eller sendt til andre virksomheter.
§ 38Soneinndeling for informasjon gradert KONFIDENSIELT eller høyere#
Virksomheter som har informasjon som er gradert KONFIDENSIELT eller høyere, skal etablere en kontrollert og beskyttet sone for å beskytte den sikkerhetsgraderte informasjonen.Dersom virksomheten har et område med direkte tilgang til informasjon gradert KONFIDENSIELT eller høyere, skal det etableres en sperret sone rundt området.
§ 39Kontrollert sone#
En kontrollert sone skal være et tydelig avgrenset område der virksomheten skal kunne ha kontroll med personer, kjøretøy og annen aktivitet.Ved særlig høy risiko skal adgang og ferdsel kontrolleres med en fysisk avgrensning.
§ 40Beskyttet sone#
En beskyttet sone skal ha en fysisk avgrensing der sikkerhetstruende virksomhet skal kunne oppdages.I en beskyttet sone skal dokumenter og lagringsmedier med informasjon som er gradert KONFIDENSIELT eller høyere, lagres i en oppbevaringsenhet godkjent av Nasjonal sikkerhetsmyndighet, eller være under stedlig vakthold.Personer som skal gis permanent adgang til en beskyttet sone, skal være sikkerhetsklarert for KONFIDENSIELT. Dersom andre personer skal gis adgang, skal adgangen registreres, og personene skal følges av personer med permanent adgang.Det skal være kontroll med adgangen til en beskyttet sone, og det skal være synlig hvem som har permanent adgang dit.
§ 41Sperret sone#
En sperret sone skal være tydelig merket med det høyeste tillatte graderingsnivået og sikres i samsvar med dette graderingsnivået.Personer som skal gis permanent adgang til en sperret sone, skal være sikkerhetsklarert og autorisert for informasjonen i området. Dersom andre personer skal gis adgang, skal adgangen registreres, og personene følges av personell som har permanent adgang.Det skal være kontroll med adgangen til en sperret sone, og det skal være synlig hvem som har permanent adgang til sonen.
§ 42Behandling av informasjon gradert KONFIDENSIELT eller høyere#
Dokumenter eller lagringsmedier med informasjon som er gradert KONFIDENSIELT eller høyere, skal bare oppbevares og behandles i en beskyttet eller sperret sone.Slike dokumenter eller lagringsmedier kan likevel oppbevares og behandles utenfor en beskyttet eller sperret sone når dette er godkjent av virksomheten på bakgrunn av en vurdering av risiko. Virksomheten skal holde oversikt over slike godkjenninger.Dersom sikkerhetsgradert informasjon behandles eller oppbevares utenfor en beskyttet eller sperret sone, skal virksomheten gjennomføre nødvendige tiltak for å beskytte informasjonen, slik at den ikke blir kjent for uautoriserte personer, går tapt, blir endret eller blir gjort utilgjengelig.Dokumenter eller lagringsmedier med informasjon gradert KONFIDENSIELT kan tas med til et NATO-land eller en stat Norge har en sikkerhetsavtale med, dersom en person som er klarert for innholdet, tar vare på informasjonen gjennom hele reisen, og det er mulig å deponere informasjonen ved en norsk utenriksstasjon eller et annet norskkontrollert område ved ankomst. Informasjon gradert HEMMELIG eller STRENGT HEMMELIG må sendes med en kurér, jf. § 45.
§ 43Særlige krav for informasjon gradert HEMMELIG eller høyere#
Når dokumenter eller lagringsmedier gradert HEMMELIG eller høyere skal fordeles internt i en virksomhet, skal mottakeren bekrefte mottaket.Destruering av informasjon gradert HEMMELIG eller høyere skal kontrolleres og bekreftes av minst to autoriserte personer.
§ 44Rapportering av informasjon gradert STRENGT HEMMELIG#
Virksomheter som har dokumenter eller lagringsmedier med informasjon gradert STRENGT HEMMELIG, skal hvert år kontrollere at dokumentene og lagringsmediene befinner seg i virksomheten. Kontrollen skal foretas på grunnlag av oversikten per 31. desember. Virksomheten skal innen utgangen av januar hvert år sende en oversikt over slike dokumenter og lagringsmedier til det departementet som er ansvarlig for det forebyggende sikkerhetsarbeidet innenfor sektoren. Departementet skal innen utløpet av februar hvert år sende Nasjonal sikkerhetsmyndighet en samlet oversikt over dokumenter og lagringsmedier med informasjon gradert STRENGT HEMMELIG innenfor sin sektor. Oversiktene skal graderes HEMMELIG.Forsvarsdepartementet kan dispensere fra kravet i første ledd tredje punktum.
§ 45Krav til forsendelse med kurér#
Virksomheter som utfører kurérposttjeneste, skal sikre at informasjonen ikke blir kjent for uautoriserte personer. Avsenderen skal utstede et kurérsertifikat for hvert oppdrag og legge en plan for gjennomføringen av oppdraget. Kureren skal være sikkerhetsklarert for sikkerhetsgraden på den informasjonen som fraktes.Med mindre Nasjonal sikkerhetsmyndighet gir tillatelse til noe annet, skal kurérpost til utlandet sendes som diplomatisk post, eller med en kurér fra Forsvaret eller utenrikstjenesten.
§ 46Beskyttelse av rom og lokaler for tale som oppfyller vilkårene for å bli gradert KONFIDENSIELT eller høyere#
Tale som inneholder informasjon som oppfyller vilkårene for å være gradert KONFIDENSIELT eller høyere dersom den nedtegnes eller tas opp, skal skje i sikrede rom og lokaler, slik at informasjonen ikke blir kjent for uautoriserte personer.En virksomhet skal føre oversikt over hvilke personer som har selvstendig tilgang til et rom eller lokale som nevnt i første ledd, og det skal føres en oversikt over hvem som har besøkt rommet eller lokalet. Det skal være tydelig merket i rommet eller lokalet hvilket graderingsnivå informasjonen som framkommer der, kan oppfylle vilkårene for.En virksomhet skal be Nasjonal sikkerhetsmyndighet vurdere om det skal gjennomføres en teknisk sikkerhetsundersøkelse før et rom eller lokale som nevnt i første ledd tas i bruk. Dersom det gjennomføres en slik undersøkelse, skal virksomheten legge Nasjonal sikkerhetsmyndighets rapport fra undersøkelsen til grunn når den sikrer rommet eller lokalet. Virksomheten skal også be Nasjonal sikkerhetsmyndighet om teknisk sikkerhetsundersøkelse dersom det skjer vesentlige endringer i et rom eller lokale som nevnt i første ledd, ved mistanke om at informasjon som nevnt i første ledd er blitt kjent for uautoriserte, og ved mistanke om at uvedkommende har hatt adgang til rommet eller lokalet.
§ 47Tekniske sikkerhetsundersøkelser (TSU)#
I vurderingen av om tekniske sikkerhetsundersøkelser etter sikkerhetsloven § 5-5 skal gjennomføres, skal det legges vekt påa. om den aktuelle virksomheten kontrollerer områdene som grenser til lokalet, bygningen eller objektetb. om lokalet, bygningen eller objektet befinner seg i utlandetc. hvilket graderingsnivå informasjonen i tale som skal forekomme i lokalet, bygningen eller objektet, oppfyller vilkårene ford. om det er en risiko for at uvedkommende har hatt tilgang til lokalet, bygningen eller objektet siden forrige tekniske sikkerhetsundersøkelse der.Det skal inngås en avtale med virksomheten om hvilket personell som skal stå for undersøkelsen, og hva undersøkelsen skal omfatte.Nasjonal sikkerhetsmyndighet skal forhåndsvarsle Politiets sikkerhetstjeneste om at tekniske sikkerhetsundersøkelser skal gjennomføres. Varslingsplikten gjelder ikke ved gjennomføring av tekniske sikkerhetsundersøkelser i Forsvaret.Nasjonal sikkerhetsmyndighet skal rapportere resultatene av tekniske sikkerhetsundersøkelser til virksomheten som råder over lokalet, bygningen eller objektet, og myndigheten som etter loven fører tilsyn med virksomheten. Rapporten skal kun i nødvendig grad inneholde informasjon som identifiserer enkeltpersoner som har begått sikkerhetsbrudd.Informasjonen fra den tekniske sikkerhetsundersøkelsen skal slettes senest innen tre måneder etter at oppdraget er avsluttet. Informasjonen kan likevel bevares lengre enn tre måneder, dersom dette er nødvendig for å håndtere sårbarheter eller sikkerhetstruende virksomhet. Det samme gjelder dersom det er nødvendig av hensyn til kontrollvirksomheten til Stortingets kontrollorgan for etterretnings-, overvåkings- og sikkerhetstjeneste (EOS-utvalget).
§ 48Bruk av tredjepart til å utføre tekniske sikkerhetsundersøkelser#
Nasjonal sikkerhetsmyndighet kan la andre virksomheter utføre tekniske sikkerhetsundersøkelser. Virksomhetene skal være leverandørklarert og ha personell med nødvendig klarering og kompetanse til å utføre slike undersøkelser. Nasjonal sikkerhetsmyndighet skal inngå en avtale med den aktuelle virksomheten om hvordan de tekniske sikkerhetsundersøkelsene skal gjennomføres.
Kapittel 7 · Beskyttelse av skjermingsverdige informasjonssystemer
§ 49Forsvarlig sikkerhetsnivå for skjermingsverdige informasjonssystemer#
Når en virksomhet håndterer en risiko knyttet til skjermingsverdige informasjonssystemer etter § 13, skal den oppnå et forsvarlig sikkerhetsnivå ved åa. beskytte data mot uønsket lesing og beskytte tjenester mot uønsket brukb. beskytte data mot uønsket modifikasjon og beskytte tjenester mot uønsket modifikasjon og manipulasjonc. beskytte data mot uønsket sletting og beskytte tjenester mot uønsket reduksjon eller stansd. identifisere og autentisere brukere som kan påvirke informasjonssystemets funksjon, eller som kan få tilgang til data i systemet, før de gis tilgang til data og tjenestere. forhindre at falske data og tjenester introduseres i informasjonssystemetf. registrere bruk, misbruk og forsøk på misbruk av informasjonssystemet, tjenester og datag. systematisk kontrollere at sikkerhetstiltakene er korrekt implementert og ivaretar sikkerheten på en effektiv og hensiktsmessig måte.Sikkerhetstiltakene skal være tilpasset systemets totale omfang og kompleksitet gjennom hele systemets levetid.Sikkerhetstiltak som skal virke hurtig, eller som lett kan utløse feil når de utføres manuelt, skal automatiseres så langt det er praktisk mulig.
§ 50Plikt til å sørge for godkjenning av skjermingsverdige informasjonssystemer#
Når en virksomhet har besluttet å utvikle et skjermingsverdig informasjonssystem, skal den informere Nasjonal sikkerhetsmyndighet. Informasjonsplikten gjelder ikke dersom det ut fra § 51 er åpenbart at Nasjonal sikkerhetsmyndighet ikke trenger å godkjenne systemet.En virksomhet skal sørge for at informasjonssystemer som skal behandle sikkerhetsgradert informasjon, er godkjent før de tas i bruk. Andre skjermingsverdige informasjonssystemer skal godkjennes så snart det er praktisk mulig. Virksomheten skal dekke kostnadene med godkjenningen.
§ 51Godkjenningsmyndighet#
Nasjonal sikkerhetsmyndighet godkjenner skjermingsverdige informasjonssystemer som er utpekt som, eller har avgjørende betydning for funksjonen til, et objekt eller en infrastruktur klassifisert KRITISK eller MEGET KRITISK.Nasjonal sikkerhetsmyndighet godkjenner informasjonssystemer som behandler sikkerhetsgradert informasjon og soma. skal brukes i utlandetb. har forbindelse til informasjonssystemer i utlandet eller til andre virksomheters informasjonssystemerc. brukes eller har forbindelser utenfor områder virksomheten kontrollererd. har brukere som ikke er sikkerhetsklarert for det graderingsnivået som behandles i informasjonssystemet eller informasjonssystemer dette har forbindelse tile. behandler informasjon som er gradert HEMMELIG, og som har brukere som ikke skal ha tilgang til all informasjon i informasjonssystemet eller de informasjonssystemer dette har forbindelse tilf. behandler informasjon som er gradert STRENGT HEMMELIG.En virksomhet som råder over et skjermingsverdig informasjonssystem som ikke er nevnt i første eller andre ledd, skal selv godkjenne systemet. Nasjonal sikkerhetsmyndighet og relevante tilsynsmyndigheter skal informeres om slike informasjonssystemer.Nasjonal sikkerhetsmyndighet kan bestemme at en myndighet med tilsynsansvar eller virksomheten selv skal godkjenne et informasjonssystem som nevnt i andre ledd.Departementet som har utpekt det skjermingsverdige objektet eller infrastrukturen, kan bestemme at godkjenning av skjermingsverdige informasjonssystemer etter første ledd skal gjøres av en myndighet med tilsynsansvar. Det skal gjøres en helhetsvurdering av om myndigheten har tilstrekkelig kompetanse til å godkjenne skjermingsverdige informasjonssystemer, eller kan få slik kompetanse uten uforholdsmessig store utgifter. En uttalelse fra Nasjonal sikkerhetsmyndighet skal inngå i vurderingen.
§ 52Godkjenningen av et skjermingsverdig informasjonssystem#
Godkjenningen av et skjermingsverdig informasjonssystem er en planlagt og systematisk gjennomgang av om virksomheten har oppnådd et forsvarlig sikkerhetsnivå. Virksomheten skal dokumentere at den på en tilfredsstillende måte har vurdert og håndtert risikoen, og den skal i forbindelse med dette haa. identifisert behovet for beskyttelse, basert på informasjonssystemets funksjon og operative miljøb. fastsatt sikkerhetskrav ut fra behovet for beskyttelsec. etablert sikkerhetstiltak som oppfyller sikkerhetskravene gjennom hele informasjonssystemets levetidd. kontrollert at sikkerhetstiltakene fungerer etter sin hensikt.
§ 53Godkjenningens varighet#
En godkjenning av et skjermingsverdig informasjonssystem kan gis for inntil fem år. Hvis det oppstår en vesentlig endring som har betydning for beskyttelsen av informasjonssystemet og informasjonen, skal informasjonssystemet godkjennes på nytt.
§ 54Midlertidig brukstillatelse#
Foreligger det et særlig behov for å ta i bruk et skjermingsverdig informasjonssystem før det er godkjent, kan godkjenningsmyndigheten gi midlertidig brukstillatelse dersoma. behovet for beskyttelse er identifisert, basert på informasjonssystemets funksjon og operative miljøb. mangler som er forbundet med fastlegging av sikkerhetskrav, etablering av sikkerhetstiltak og sikkerhetstiltakenes funksjon, er identifisert og håndtert med kompenserende tiltakc. det foreligger en plan for å rette manglene.Nasjonal sikkerhetsmyndighet kan i særlige tilfeller dispensere fra kravene i første ledd.
§ 55Sammenkobling av informasjonssystemer som behandler sikkerhetsgradert informasjon#
Dersom en sammenkobling av flere informasjonssystemer som behandler informasjon gradert KONFIDENSIELT eller høyere, medfører at systemene sikkerhetsmessig blir avhengige av hverandre på en uoversiktlig måte, skal sammenkoblingen skje via et eget informasjonssystem.Slike sammenkoblinger skal reguleres i avtaler mellom de aktuelle virksomhetene. Avtalene skal avklare roller og ansvaret for sammenkoblingen og hvilken informasjon og hvilke tjenester som skal utveksles.
Kapittel 8 · Klassifisering av skjermingsverdige objekter og infrastruktur
§ 56Klassifisering av skjermingsverdige objekter og infrastruktur#
Når departementene eller Nasjonal sikkerhetsmyndighet klassifiserer skjermingsverdige objekter og infrastruktur etter sikkerhetsloven § 7-2, skal det legges vekt påa. i hvilken grad grunnleggende nasjonale funksjoner er avhengig av objektet eller infrastrukturenb. virksomhetens skadevurdering.Dersom forholdene som er lagt til grunn for klassifiseringen, endrer seg, skal departementet vurdere om det skal fattes et nytt vedtak om klassifisering.Klassifiseringsnivået og grunnlaget for klassifiseringen skal graderes BEGRENSET eller høyere. En oversikt over samtlige eller et større antall klassifiserte objekter eller infrastrukturer skal graderes KONFIDENSIELT eller høyere.
§ 57Skadevurdering i forbindelse med utpeking og klassifisering av skjermingsverdige objekter eller infrastruktur#
En virksomhet skal vurdere hvilke skadefølger det kan få for grunnleggende nasjonale funksjoner om et objekt eller en infrastruktur som den råder over, blir utsatt for skadeverk, ødeleggelse eller en rettsstridig overtakelse. I vurderingen skal virksomheten legge vekt påa. hvilke konsekvenser det vil få for grunnleggende nasjonale funksjoner dersom objektets eller infrastrukturens funksjonalitet faller bort eller reduseresb. hvor lenge objektets eller infrastrukturens funksjonalitet kan være satt ut av drift før det får betydning for grunnleggende nasjonale funksjonerc. i hvilken grad objektets eller infrastrukturens funksjonalitet kan gjenopprettes eller erstattesd. i hvilken grad en rettsstridig overtakelse av objektet eller infrastrukturen kan påvirke befolkningens grunnleggende sikkerhet.Skadevurderingen skal sendes til det departementet som er ansvarlig for det forebyggende sikkerhetsarbeidet i sektoren, eller til Nasjonal sikkerhetsmyndighet. Den skal graderes BEGRENSET eller høyere.Virksomheten skal gjøre en ny vurdering dersom forhold som er relevante for vurderingen etter første ledd, endrer seg.Dersom virksomheten råder over andre skjermingsverdige objekter eller infrastruktur som kan være skjermingsverdige etter sikkerhetsloven § 7-1, skal den varsle det departementet som er ansvarlig for det forebyggende sikkerhetsarbeidet i sektoren, eller Nasjonal sikkerhetsmyndighet.
Kapittel 9 · Beskyttelse av skjermingsverdige objekter og infrastruktur
§ 58Forsvarlig sikkerhetsnivå for klassifiserte objekter og infrastruktur#
Når en virksomhet håndterer en risiko knyttet til skjermingsverdige objekter eller infrastruktur etter § 13, er kravet til et forsvarlig sikkerhetsnivå oppnådd dersom virksomheten kan dokumentere at det er foretatt en konkret vurdering av risikoen, og at det er iverksatt nødvendige tiltak for å håndtere den. I vurderingen av om det er iverksatt nødvendige tiltak skal det legges vekt på om sikkerhetstiltakene er egnet til åa. begrense tap av vesentlige funksjoner ved skadeverk på eller forsøk på å ødelegge objekter eller infrastruktur klassifisert VIKTIGb. begrense tap av funksjoner ved skadeverk på eller forsøk på å ødelegge objekter eller infrastruktur klassifisert KRITISKc. avverge tap av funksjoner ved skadeverk på eller forsøk på å ødelegge objekter eller infrastruktur klassifisert MEGET KRITISKd. avverge en rettsstridig overtakelse av objekter eller infrastruktur klassifisert KRITISK eller MEGET KRITISK.
§ 59Tilrettelegging for bruk av sikringsstyrker#
Dersom politiet eller Forsvaret har bestemt at det skal planlegges for bruk av sikringsstyrker ved et objekt eller en infrastruktur, skal virksomheten som råder over objektet eller infrastrukturen, tilrettelegge og utarbeide en plan for bruk av sikringsstyrkene i samarbeid med politiet eller Forsvaret.
§ 60Behovet for bruk av adgangsklarering#
En søknad om adgangsklarering etter sikkerhetsloven § 8-3 må redegjøre for hvorfor virksomheten finner at andre sikkerhetstiltak ikke er egnet eller tilstrekkelige for å oppnå et forsvarlig sikkerhetsnivå. En adgangsklarering vil være gyldig for alle type objekter eller infrastruktur med krav om samme type adgangsklarering.
Kapittel 10 · Inntrengningstesting, testing av sikkerhetstiltak og kommunikasjons- og innholdskontroll av informasjonssystemer
§ 61Fellesregler for inntrengningstesting, testing av sikkerhetstiltak og kommunikasjons- og innholdskontroll av informasjonssystemer#
Det skal inngås avtale med den aktuelle virksomheten om hvilket personell som, i samsvar med sikkerhetsloven § 6-5, § 6-6 og § 7-4, skalAvtalen skal også regulere hva denne testingen eller kontrollen skal omfatte.a. forsøke å trenge inn i virksomhetens skjermingsverdige informasjonssystemerb. kontrollere om virksomhetens informasjonssystemer behandler sikkerhetsgradert informasjon utover det systemets sikkerhetsgodkjenning tillaterc. forsøke å forsere etablerte sikkerhetstiltak.Avtalen skal også regulere hva denne testingen eller kontrollen skal omfatte.Den som gjennomfører tester, kontroller og undersøkelser etter første ledd, skal rapportere resultatene til virksomheten og myndigheten som fører tilsyn etter loven. Rapporten skal kun i nødvendig grad inneholde informasjon som identifiserer enkeltpersoner som har begått sikkerhetsbrudd.Informasjonen fra slike undersøkelser, testing og kontroller skal slettes senest innen tre måneder etter at oppdraget er avsluttet. Informasjonen kan likevel bevares lengre enn tre måneder når dette er nødvendig for å håndtere sårbarheter eller sikkerhetstruende virksomhet. Det samme gjelder dersom det er nødvendig av hensyn til kontrollvirksomheten til Stortingets kontrollorgan for etterretnings-, overvåkings- og sikkerhetstjeneste (EOS-utvalget).
§ 62Bruk av tredjeparter til å utføre inntrengningstesting, testing av sikkerhetstiltak og kommunikasjons- og innholdskontroll av informasjonssystemer#
Nasjonal sikkerhetsmyndighet kan la andre virksomheter utføre inntrengningstesting, testing av sikkerhetstiltak og kommunikasjons- og innholdskontroll av informasjonssystemer etter § 61. Virksomhetene skal være leverandørklarert og ha personell med nødvendig klarering og kompetanse til å utføre slike undersøkelser.Nasjonal sikkerhetsmyndighet skal inngå avtale med virksomheter som nevnt i første ledd om hvordan testene og kontrollene skal gjennomføres.
Kapittel 11 · Nasjonalt varslingssystem for digital infrastruktur
§ 63Drift av en nasjonal responsfunksjon for alvorlige digitale angrep og nasjonalt varslingssystem for digital infrastruktur#
Nasjonal sikkerhetsmyndighet skal drifte en nasjonal responsfunksjon for alvorlige digitale angrep og et nasjonalt varslingssystem for digital infrastruktur. I forbindelse med dette skal informasjon om digitale angrep innhentes, analyseres og deles.
§ 64Tilknytning til varslingssystemet for digital infrastruktur#
Virksomheter kan søke Nasjonal sikkerhetsmyndighet om å bli tilknyttet det nasjonale varslingssystemet for digital infrastruktur. Det skal inngås en avtale mellom Nasjonal sikkerhetsmyndighet og en virksomhet som blir tilknyttet systemet. Avtalen skal alltid regulerea. utplassering av sensorer eller andre tekniske løsninger som skal overvåke virksomhetens digitale infrastrukturb. hvordan alvorlige digitale angrep skal håndteresc. hvordan personopplysninger og opplysninger underlagt lovbestemt taushetsplikt skal behandles.Nasjonal sikkerhetsmyndighet kan pålegge virksomheter som er underlagt sikkerhetsloven, å knytte seg til det nasjonale varslingssystemet når dette er nødvendig for å oppnå et forsvarlig sikkerhetsnivå og redusere risikoen for sikkerhetstruende virksomhet. Pålegget skal regulere forholdene nevnt i første ledd tredje punktum.Et pålegg etter andre ledd kan påklages til Forsvarsdepartementet dersom virksomheten er tilknyttet forsvarssektoren, og til Justis- og beredskapsdepartement dersom organet er tilknyttet sivil sektor.
§ 65Informasjonsbehandling og -deling av informasjon fra varslingssystemet for digital infrastruktur#
Når det er innenfor sikkerhetslovens formål, kan Nasjonal sikkerhetsmyndighet dele informasjon innhentet fra varslingssystemet for digital infrastruktur eller gjennom den nasjonale responsfunksjonen, med partene i Felles cyberkoordineringssenter.I den utstrekning det er nødvendig for å håndtere en konkret hendelse, kan Nasjonal sikkerhetsmyndighet også dele slik informasjon med andre aktører.Ved fare for alvorlige hendelser skal Nasjonal sikkerhetsmyndighet informere berørte nasjonale og internasjonale aktører om trusler, sårbarheter og mulige tiltak.
§ 66Virksomhetenes rett til innsyn#
Virksomheter som er tilknyttet det digitale varslingssystemet, har rett til innsyn i hvordan tekniske komponenter og programvare som benyttes til å overvåke nettverkstrafikk og redusere sårbarhet, er konfigurert. Disse virksomhetene har også rett til innsyn i hvilke data Nasjonal sikkerhetsmyndighet mottar fra virksomheten gjennom det digitale varslingssystemet, og hvordan disse behandles.
Kapittel 12 · Personellsikkerhet
§ 67Vilkår for å gi autorisasjon#
Den som skal autoriseres, skal signere en taushetserklæring før det gis autorisasjon. Før det gis autorisasjon for COSMIC TOP SECRET, skal også NATOs COSMIC-erklæring undertegnes. Dersom personen har en klarering på vilkår etter sikkerhetsloven § 8-6, skal den autorisasjonsansvarlige, før det gis autorisasjon, fastsette hvordan vilkårene skal følges opp.
§ 68Autorisasjonssamtale#
En autorisasjonssamtale skal gjennomføres:Personer som får autorisasjon for STRENGT HEMMELIG, COSMIC TOP SECRET eller tilsvarende, skal gjennomføre en ny autorisasjonssamtale minst annethvert år.a. før det gis autorisasjonb. når en autorisert person selv ber om detc. ved reklareringd. når en autorisasjonsansvarlig ellers finner grunn til det.Personer som får autorisasjon for STRENGT HEMMELIG, COSMIC TOP SECRET eller tilsvarende, skal gjennomføre en ny autorisasjonssamtale minst annethvert år.Den autorisasjonsansvarlige skal gjennom autorisasjonssamtalena. forsikre seg om at den som skal autoriseres, kjenner til relevante sikkerhetstrusler og sikkerhetsbestemmelser og forstår sin rolle i sikkerhetsarbeidet til virksomhetenb. kontrollere at opplysningene den som skal autoriseres, gir, er tilstrekkelige og oppdatertec. drøfte eventuelle risikofaktorer ved personen som er relevante for personellsikkerhetend. drøfte tiltak som kan redusere risikofaktorer ved personen, eller som kan oppfylle vilkår som klareringsmyndigheten har gitt for klareringen.Dersom personen har vært autorisert før, skal den som autoriserer, hente inn opplysninger av betydning fra forrige autorisasjonsavgjørelse. Taushetsplikt er ikke til hinder for utlevering av opplysningene.Personer som skal autoriseres for BEGRENSET, eller med kortvarig behov for autorisasjon for KONFIDENSIELT eller høyere, kan få en felles orientering om sikkerhetsmessige risikofaktorer og relevante krav til sikkerhet, i stedet for en individuell autorisasjonssamtale. De skal likevel orienteres om sin rett til å kreve en individuell autorisasjonssamtale.
§ 69Autorisasjon av autorisasjonsansvarlig og personell hos leverandøren#
Oppdragsgiveren skal autorisere den autorisasjonsansvarlige hos leverandøren og personell hos leverandøren som bare får tilgang til skjermingsverdig informasjon, skjermingsverdige objekter eller skjermingsverdig infrastruktur hos oppdragsgiveren.
§ 70Autorisasjon av utenlandske statsborgere#
Før en utenlandsk statsborger som ikke har klarering, kan autoriseres for informasjon gradert BEGRENSET, skal den autorisasjonsansvarlige vurdere om personens tilknytning til hjemlandet og hjemlandets sikkerhetsmessige betydning utgjør en uakseptabel risiko. Den autorisasjonsansvarlige kan be klareringsmyndigheten om en vurdering av hjemlandets sikkerhetsmessige betydning.Dersom en utenlandsk statsborger kommer fra en stat som Politiets sikkerhetstjeneste mener utgjør en høy sikkerhetsrisiko for Norge, må den autorisasjonsansvarlige innhente samtykke fra en klareringsmyndighet før den utenlandske statsborgeren kan autoriseres for BEGRENSET.Utenlandske statsborgere kan bare autoriseres for tilgang til informasjon sikkerhetsgradert av en fremmed stat dersom personen er borger av denne staten, eller dersom Nasjonal sikkerhetsmyndighet har innhentet tillatelse fra statens myndigheter.Utenlandske statsborgere kan bare autoriseres for tilgang til informasjon sikkerhetsgradert av en internasjonal organisasjon dersom staten personen er borger av, er medlem av organisasjonen, eller dersom Nasjonal sikkerhetsmyndighet har innhentet tillatelse fra organisasjonen.Den autorisasjonsansvarlige skal orientere Nasjonal sikkerhetsmyndighet om utenlandske statsborgere som autoriseres for BEGRENSET.Bestemmelsene i denne paragrafen gjelder også for personer som har dobbelt statsborgerskap, er statsløse eller har uavklart statsborgerskap.
§ 71Tilgang uten autorisasjon#
En person kan gis tilgang til skjermingsverdig informasjon, skjermingsverdige objekter eller skjermingsverdig infrastruktur uten å være autorisert eller klarert, dersom vilkårene i straffeloven § 17 om nødrett er oppfylt. En virksomhet som gir en slik tilgang, skal uten ugrunnet opphold varsle klareringsmyndigheten og Nasjonal sikkerhetsmyndighet om hvilke personer dette gjelder, og hvilket graderings- eller klassifikasjonsnivå personen har fått tilgang til.
§ 72Oversikt over personell med autorisasjon#
Den autorisasjonsansvarlige skal ha en oversikt over autorisert personell. Oversikten skal opplyse oma. den enkeltes navn, fødselsnummer eller tilsvarende nummer, statsborgerskap, tjenestested, saksfelt og stillingb. klareringsnivå og autorisasjonsnivåc. klareringens gyldighetstidd. eventuelle vilkår knyttet til klareringene. datoen for en eventuell autorisasjonssamtalef. eventuell tilgang uten autorisasjon etter § 71.Den autorisasjonsansvarlige skal gjøre klarerings- og autorisasjonsavgjørelser kjent for personell som har et tjenstlig behov for det.
§ 73Dokumentasjon på autorisasjon#
Hvis den autorisasjonsansvarlige utsteder dokumentasjon for at en person er autorisert, skal dokumentasjonen være tidsbegrenset og vise hvilket graderingsnivå for informasjon eller klassifiseringsnivå for objekter eller infrastruktur personen er autorisert for å få tilgang til.
§ 74Nedsettelse, suspensjon og tilbakekallelse av autorisasjon#
Dersom den autorisasjonsansvarlige vurderer om en autorisasjon skal endres eller tilbakekalles etter sikkerhetsloven § 8-10, skal vurderingen og avgjørelsen dokumenteres. Avgjørelsen kan ikke påklages.Hvis en autorisasjon endres til ulempe for den autoriserte, skal den autorisasjonsansvarlige uoppfordret gjøre den autoriserte kjent med avgjørelsen og informere klareringsmyndigheten etter sikkerhetsloven § 8-10 første ledd. Avgjørelsen skal begrunnes overfor klareringsmyndigheten.Dersom klareringsmyndigheten opprettholder klareringen etter å ha blitt informert etter andre ledd, skal avgjørelsen om å endre autorisasjonen omgjøres.
§ 75Begrunnelse og dokumentasjon ved forespørsel om klarering#
Når den autorisasjonsansvarlige ber om at det gjennomføres en sikkerhetsklarering, skal behovet for klareringen begrunnes og dokumenteres. Hvis begrunnelsen er at det foreligger en risiko for vilkårlig tilgang, skal den autorisasjonsansvarlige bekrefte at andre tiltak for å redusere risikoen ikke er tilstrekkelig til å fjerne behovet for klarering.
§ 76Merking av personopplysninger for klarering og autorisasjon#
Informasjon som inneholder personopplysninger i saker om autorisasjon, personkontroll eller klarering, skal merkes PERSONKONTROLL. Kravet gjelder ikke meldinger om at det er gitt en autorisasjon eller klarering eller meldinger om andre autorisasjons- eller klareringsavgjørelser til personen som avgjørelsen gjelder.
§ 77Beskyttelse av personopplysninger for klarering og autorisasjon#
Den autorisasjonsansvarlige skal bestemme hvem i virksomheten som kan få tilgang til opplysninger merket PERSONKONTROLL. Slike opplysninger skal lagres atskilt fra andre opplysninger i virksomheten, og de skal bare være tilgjengelige for det utpekte personellet.Når virksomheter utveksler opplysninger merket PERSONKONTROLL, skal det gjøres på en slik måte at uvedkommende ikke får tilgang til opplysningene.
§ 78Bevaring og kassasjon av opplysninger i saker om autorisasjon og klarering#
Den autorisasjonsansvarlige skal uten ugrunnet opphold kassere eller returnere dokumenter som er innhentet for autorisasjon eller klarering av søkere som ikke blir tilsatt, engasjert eller opptatt på skoler eller kurs, og som inneholder personopplysninger.Den autorisasjonsansvarlige skal bevare opplysninger i autorisasjonssaker i ett år etter at autorisasjonen er utløpt. Dersom den autoriserte er klarert, skal autorisasjonsopplysningene bevares så lenge klareringen er gyldig. Bevaringsplikten opphører dersom autorisasjonsopplysningene sendes til en ny autorisasjonsmyndighet etter § 68 tredje ledd.Den autorisasjonsansvarlige skal bevare taushetserklæringer i 10 år etter at autorisasjonen har utløpt. Oversikter etter § 72 over personell som er eller har vært autorisert, skal bevares i 10 år etter utstedelsen.Når bevaringstiden etter andre og tredje ledd utløper, skal autorisasjonsansvarlig kassere dokumentene.Den autorisasjonsansvarlige skal føre et register over kassasjoner med opplysninger oma. hvem de kasserte opplysningene gjelderb. hvilken type opplysninger eller dokumenter som er kassertc. datoene for kassasjonene.
Kapittel 13 · Sikkerhetsgraderte anskaffelser
§ 79Vurdering av graderingsnivået for ulike deler av en sikkerhetsgradert anskaffelse#
Oppdragsgiveren skal ta stilling til hva tilbydere, leverandører og underleverandører kan få tilgang til av sikkerhetsgradert informasjon, skjermingsverdige objekter eller skjermingsverdig infrastruktur i de ulike fasene av en sikkerhetsgradert anskaffelse.
§ 80Krav til sikkerhetsavtalen når en leverandør skal ha tilgang til sikkerhetsgradert informasjon, et skjermingsverdig objekt eller skjermingsverdig infrastruktur#
Dersom en leverandør skal ha tilgang til sikkerhetsgradert informasjon, et skjermingsverdig objekt eller skjermingsverdig infrastruktur i eller fra sine egne lokaler, skal det fremgå av sikkerhetsavtalen etter sikkerhetsloven § 9-2a. hvilken sikkerhets- eller klassifiseringsgrad informasjonen, objektet eller infrastrukturen harb. hvem som skal få tilgang til den sikkerhetsgraderte informasjonen eller det skjermingsverdige objektet eller infrastrukturenc. hvordan den sikkerhetsgraderte informasjonen skal formidles mellom avtalepartened. hvilket informasjonssystem som skal brukes for å behandle den sikkerhetsgraderte informasjonen, eller for å få tilgang til det skjermingsverdige objektet eller infrastrukturen, og hvem som er ansvarlig for å godkjenne systemete. hvilke lokaler den sikkerhetsgraderte informasjonen skal behandles if. hvordan det skal varsles om sikkerhetstruende virksomhet og avvik fra sikkerhetskravg. om den sikkerhetsgraderte informasjonen skal leveres tilbake eller destrueres når oppdraget er avsluttet.En sikkerhetsavtale kan tas inn i det ordinære avtaledokumentet for anskaffelsen.
§ 81Unntak fra krav om sikkerhetsavtale#
Det kreves ikke sikkerhetsavtale etter sikkerhetsloven § 9-2 dersom leverandørens personell bare skal gis tilgang til sikkerhetsgradert informasjon, skjermingsverdige objekter eller skjermingsverdig infrastruktur under oppsyn av en representant for oppdragsgiveren.
§ 82Tilbakelevering av sikkerhetsgradert informasjon#
En tilbydere som ikke tildeles kontrakten, skal levere tilbake sikkerhetsgradert informasjon uten unødig opphold.Leverandører skal levere tilbake sikkerhetsgradert informasjon når kontraktsforholdet opphører. En eventuell service- og garantitid inngår i kontraktsforholdet. Oppdragsgiveren skal melde fra til klareringsmyndigheten om at kontraktsforholdet har opphørt.Dersom klareringsmyndigheten tilbakekaller en leverandørklarering etter sikkerhetsloven § 9-3 fjerde ledd, skal oppdragsgiveren inndra all sikkerhetsgradert informasjon fra leverandøren.
§ 83Krav om leverandørklarering#
En leverandør til en sikkerhetsgradert anskaffelse skal ha leverandørklarering når det er nødvendig for å oppnå et forsvarlig sikkerhetsnivå under anskaffelsen. Leverandøren skal uansett ha leverandørklarering dersom den skala. ha tilgang til eller oppbevare informasjon gradert KONFIDENSIELT eller høyere i sine egne informasjonssystemer eller lokalerb. ha elektronisk tilgang fra sine egne informasjonssystemer eller lokaler til objekter eller infrastruktur klassifisert KRITISK eller MEGET KRITISKc. råde over objekter eller infrastruktur som tilhører oppdragsgiveren, og som er klassifisert KRITISK eller MEGET KRITISK.
§ 84Leverandører med lokaler utenfor norsk jurisdiksjon og utenlandske leverandører#
Dersom en leverandør som skal klareres etter § 83, driver virksomheten sin fra en annen stats jurisdiksjon, eller skal behandle eller oppbevare informasjon i lokaler utenfor norsk jurisdiksjon, må Norge ha en sikkerhetsavtale med staten som har jurisdiksjon der lokalene ligger eller virksomheten drives fra. Det samme gjelder dersom leverandøren skal ha tilgang til informasjonssystem som er sikkerhetsgradert eller klassifisert som skjermingsverdig infrastruktur, fra egne lokaler utenfor norsk jurisdiksjon, eller skal råde over objektet eller infrastrukturen i eller fra lokaler utenfor norsk jurisdiksjon.Det skal følge av sikkerhetsavtalen hvem som skal kontrollere at leverandøren oppfyller kravene gitt i eller med hjemmel i sikkerhetsloven, eller tilsvarende krav i sikkerhetsregelverket til den andre staten, jf. klareringsforskriften § 37.
§ 85Forespørsel om leverandørklarering#
Oppdragsgivere skal be klareringsmyndigheten om en leverandørklarering. Forespørselen skal inneholde informasjon om det høyeste graderingsnivå i anskaffelsen, jf. § 79, og egenopplysninger fra leverandøren, jf. klareringsforskriften § 35.
§ 86Oversikt over sikkerhetsgraderte anskaffelser#
Oppdragsgivere skal føre en årlig oversikt over sikkerhetsgraderte anskaffelser til sin virksomhet. Oversikten skal inneholde informasjon oma. hva anskaffelsene gjelderb. leverandørenes navn, adresse, organisasjonsnummer eller tilsvarende nummer, og nasjonalitetc. hvilken sikkerhetsgrad informasjon som leverandørene skal få, eller har fått, tilgang tild. det høyeste klassifiseringsnivået til objekter eller infrastruktur som leverandørene skal få, eller har fått, tilgang tile. hvor lang tid anskaffelsene tok.Oversikten skal årlig sendes til klareringsmyndigheten.Forsvarsdepartementet kan gjøre unntak fra kravet i andre ledd dersom virksomheten har et særlig behov for å skjerme opplysningene av hensyn til sin operative virksomhet.
§ 87Prosedyrer for besøk fra utlandet#
Før et besøk fra en utenlandsk oppdragsgiver eller leverandør som er tilknyttet en sikkerhetsgradert anskaffelse, skal de besøkendes identitet og klarering kontrolleres. Kontrollen skal skje i samsvar med besøksprosedyrene i eller med hjemmel i avtalen mellom Norge og den andre staten.Første ledd gjelder også dersom oppdragsgiver er en internasjonal organisasjon.
Kapittel 14 · Tilsyn
§ 89Tilsyn med virksomheter underlagt lov om nasjonal sikkerhet#
Tilsynsmyndigheten skal kontrollere at virksomhetene overholder kravene i sikkerhetsloven med forskrifter og bidra til å forbedre virksomhetenes arbeid med forebyggende sikkerhet.Et tilsyn skal planlegges på bakgrunn av risiko og vesentlighet. Det skal gjennomføres tilsyn ofte nok og i stort nok omfang til at lovens formål ivaretas.Tilsyn skal som hovedregel gjennomføres som systemrevisjon.For å kontrollere sikkerhetstilstanden til informasjonssystemer og infrastruktur, kan tilsynsmyndigheten benytte automatiserte metoder for å samle inn teknisk informasjon.
§ 90Avtale om samarbeid mellom Nasjonal sikkerhetsmyndighet og andre myndigheter med tilsynsansvar#
Overordnet departement til en sektormyndighet med tilsynsansvar, har ansvaret for at det inngås samarbeidsavtaler mellom Nasjonal sikkerhetsmyndighet og myndigheten med tilsynsansvar etter sikkerhetsloven § 3-2.Det skal følge av slike samarbeidsavtalera. hvilke kriterier som skal ligge til grunn for tilsynb. hvem som skal være ansvarlig for opplæring og veiledning, og hvordan opplæring og veiledning skal gjennomføresc. hvordan tilsyn der både Nasjonal sikkerhetsmyndighet og sektormyndigheten deltar, skal forberedes og gjennomføresd. hvordan Nasjonal sikkerhetsmyndighet skal dele relevant informasjon om trusselbildet og risiko med sektormyndighetene. hvordan sektormyndigheten skal rapportere til Nasjonal sikkerhetsmyndighet om planlagte tilsynf. hvordan varslinger etter sikkerhetsloven § 4-5 skal behandlesg. hvordan godkjennings- og dispensasjonsmyndighet i sektoren skal utøvesh. hvordan sektormyndigheten skal dele kunnskap og erfaringer med Nasjonal sikkerhetsmyndighet.Myndigheter som er tildelt tilsynsansvar etter sikkerhetsloven § 3-1, har ansvaret for tilsynet også når Nasjonal sikkerhetsmyndighet medvirker til eller deltar på tilsynet.
§ 91Rapport etter tilsyn#
Etter et gjennomført tilsyn skal tilsynsmyndigheten utarbeide en foreløpig rapport som forelegges virksomheten for uttalelse. Det skal deretter utarbeides en endelig rapport som skal sendes til virksomheten og Nasjonal sikkerhetsmyndighet. Nasjonal sikkerhetsmyndighet kan gjøre endelige tilsynsrapporter tilgjengelige for Politiets sikkerhetstjeneste.
§ 92Tvangsmulkt#
En tvangsmulkt fastsatt med hjemmel i sikkerhetsloven § 11-2 kan fastsettes som en engangsmulkt eller løpende for hver dag, uke eller måned etter at fristen for å rette forholdet er gått ut. Tilsynsmyndigheten kan frafalle en påløpt tvangsmulkt.
Kapittel 15 · Melding om erverv av kvalifisert eierandel i virksomhet underlagt sikkerhetsloven
§ 93Krav til innholdet i en melding om et erverv av en kvalifisert eierandel i en virksomhet underlagt sikkerhetsloven#
En melding til departementet om erverv etter sikkerhetsloven § 10-1 skal opplyse oma. erververens navn, adresse og organisasjonsnummer, fødselsnummer eller tilsvarende nummerb. organisasjonsnummeret til virksomheten ervervet gjelderc. erververens eierandel etter at ervervet er gjennomførtd. erververens eierstrukture. hvem som sitter i erververens styref. hvem som utgjør den daglige ledelsen i erververens virksomhetg. eventuelle relasjoner mellom erververen og andre eksisterende eiere i virksomheten ervervet gjelderh. erververens eierinteresser i andre virksomheter underlagt sikkerhetsloveni. erververens eierinteresser i andre virksomheter innenfor den aktuelle sektorenj. erververens årsomsetning og årsregnskap for de siste fem årene, så langt dette er tilgjengeligk. andre forhold som erververen antar kan ha betydning for vurderingen av om ervervet kan godkjennes etter sikkerhetsloven § 10-2.Opplysningene om eierstruktur etter første ledd bokstav d skal omfatte eventuelle utenlandske eierinteresser i erververens virksomhet og erververens eventuelle eierinteresser i utlandet. Nasjonaliteten skal framgå.Opplysningene om styret og den daglige ledelsen etter første ledd bokstav e og f skal omfatte navn, fødselsdato, nasjonalitet og personlige næringsinteresser utenfor den aktuelle virksomheten.Dersom erververen er en privatperson som ikke har norsk fødselsnummer eller D-nummer, skal meldingen i stedet opplyse om personens fødselsdato og nasjonalitet.
Kapittel 16 · Avsluttende bestemmelser
§ 94Ikrafttredelse#
Forskriften trer i kraft 1. januar 2019. Samtidig tid oppheves forskrift 1. juli 2001 nr. 744 om informasjonssikkerhet, forskrift 29. juni 2001 nr. 723 om sikkerhetsadministrasjon, forskrift 1. juli 2001 nr. 753 om sikkerhetsgraderte anskaffelser og forskrift 22. oktober 2010 nr. 1362 om objektsikkerhet.
§ 95Overgangsregler#
Destrueringsmetoder og oppbevaringsenheter som er godkjent etter forskrift 1. juli 2001 nr. 744 om informasjonssikkerhet § 4-36, § 6-11 og § 6-12, skal anses godkjent inntil godkjenningen opphører, eller det av andre grunner er behov for ny godkjenning av destrueringsmetoden eller oppbevaringsenheten.Et rom som er godkjent etter forskrift 1. juli 2001 nr. 744 om informasjonssikkerhet § 9-1, skal anses å oppfylle kravene i § 46.En klage på klassifisering eller godkjenning etter første eller andre ledd skal avgjøres etter de reglene som gjelder når klageinstansen treffer vedtak i saken.
Contains data from Lovdata (lovdata.no) under the Norwegian Licence for Open Government Data (NLOD) 2.0.