Forskrift om bruk av informasjons- og kommunikasjonsteknologi (IKT)

§ 1 VirkeområdeVirkeområde

Endret ved forskrifter 17 des 2015 nr. 1732, 15 feb 2019 nr. 147 (i kraft 1 april 2019), 9 feb 2022 nr. 188, 18 feb 2022 nr. 315 (i kraft 1 mars 2022), 27 juni 2025 nr. 1362 (i kraft 1 juli 2025).

Finansieringsforetak

Inkassoforetak

Eiendomsmeglerforetak.

Forskriften omfatter IKT-systemer som er av betydning for foretakets virksomhet. For eksterne brukere av foretakets IKT-systemer skal det foreligge avtaler som sikrer at forskriftens krav til sikkerhet og dokumentasjon ivaretas.

§ 2 Planlegging og organiseringPlanlegging og organisering

Endret ved forskrift 17 des 2015 nr. 1732.

Foretaket skal fastsette overordnede mål, strategier og sikkerhetskrav for IKT-virksomheten. Det skal foreligge beskrivelse av den enkelte prosess og hvordan ansvaret for administrasjon, anskaffelse, utvikling, drift, systemvedlikehold, sikring av informasjon og avvikling utføres på en betryggende måte.

Foretaket skal ha retningslinjer som skal sikre at utkontraktert IKT-virksomhet oppfyller kravene i § 12.

Det skal oppnevnes ansvarlige i foretaket for de ulike deler av IKT-virksomheten. Med ansvarlig menes en funksjon eller stilling.

Avtaler om utkontraktering av IKT-virksomhet og endringer i slike avtaler skal behandles av styret. Styret skal forelegges planer for utkontrakteringen, med risikovurdering, og en beskrivelse av hvordan foretaket skal sikre leveransen.

§ 3 RisikoanalyseRisikoanalyse

Foretaket skal fastsette kriterier for akseptabel risiko forbundet med bruk av IKT-systemene.

Foretaket skal ha en dokumentert prosess for gjennomføring av risikoanalyser av IKT-virksomheten. Prosessen skal blant annet definere klare ansvarsforhold og omfatte oppfølging av tiltak som iverksettes som et resultat av den gjennomførte risikoanalysen.

Foretaket skal minst en gang årlig, eller ved endringer som har betydning for IKT-sikkerheten, gjennomføre risikoanalyser for å påse at risiko styres innenfor akseptable grenser i forhold til foretakets virksomhet. Resultatet av risikoanalysen skal dokumenteres.

§ 4 KvalitetKvalitet

Foretaket skal fastsette kvalitetsmål for de enkelte deler av IKT-virksomheten knyttet opp mot foretakets øvrige mål. Foretaket skal ha dokumenterte prosedyrer for oppfølging av fastsatte kvalitetsmål.

§ 5 SikkerhetSikkerhet

Endret ved forskrift 18 feb 2022 nr. 315 (i kraft 1 mars 2022).

Foretaket skal utarbeide prosedyrer som skal sikre beskyttelse av utstyr, systemer og informasjon av betydning for foretakets virksomhet, jf. § 1, mot skader, misbruk, uautorisert adgang og endring, samt hærverk. Videre skal prosedyrene inneholde retningslinjer for tildeling, endring, sletting og kontroll med autorisasjon for tilgang til IKT-systemene. Kravene til IKT-sikkerhet skal så langt det er praktisk mulig være målbare.

§ 6 Utvikling og anskaffelseUtvikling og anskaffelse

Foretaket skal ha skriftlige prosedyrer for anskaffelse, utvikling, videreutvikling og testing av IKT-systemer. IKT-systemene skal ikke settes i ordinær drift før ansvarlig har godkjent dette.

§ 7 SystemvedlikeholdSystemvedlikehold

Foretaket skal sikre at IKT-systemene vedlikeholdes og forvaltes på en måte som gir en stabil, planlagt og forutsigbar drift. Det skal foreligge dokumenterte prosedyrer for systemvedlikeholdet.

§ 8 DriftDrift

Endret ved forskrift 17 des 2015 nr. 1732.

Drift av IKT-virksomheten skal være basert på dokumenterte prosedyrer, som sikrer fullstendig, rettidig og korrekt behandling og oppbevaring av data.

IKT-systemer skal ha dokumenterte driftsløsninger som sikrer en tilgjengelighet i tråd med foretakets dokumenterte krav. Det skal gjennomføres regelmessige analyser og tiltak for å motvirke avvik i IKT-systemene eller deres omgivelser, som påvirker oppnåelse av foretakets dokumenterte krav.

Foretaket skal teste og dokumentere at driften fungerer i henhold til foretakets dokumenterte krav.

§ 9 Avviks- og endringshåndteringAvviks- og endringshåndtering

Endret ved forskrifter 23 sep 2009 nr. 1284 (i kraft 1 des 2009), 18 des 2009 nr. 1726 (i kraft 21 des 2009), 17 des 2015 nr. 1732, 15 feb 2019 nr. 147 (i kraft 1 april 2019).

Foretaket skal sikre at prosedyrer for avviks- og endringshåndtering foreligger og følges.

Prosedyrene for avvikshåndtering skal omfatte alle avvik som oppstår i driften av IKT-systemene. Avviksbehandlingen skal ha som formål å gjenopprette normal tilstand i IKT-virksomheten. Avviksbehandlingen skal identifisere årsaken til avvik, hindre gjentagelser og sikre forsvarlig og formell behandling av avviket. Avvikene skal dokumenteres. Prosedyrene for avvikshåndtering skal inneholde retningslinjer for eskalering.

Operasjonelle hendelser eller sikkerhetshendelser som medfører vesentlig reduksjon i funksjonalitet som følge av brudd på konfidensialitet (beskyttelse av data), integritet (sikring mot uautoriserte endringer) eller tilgjengelighet til IKT-systemer og/eller data skal uten ugrunnet opphold rapporteres til Finanstilsynet. Rapporteringen skal normalt omfatte hendelser som foretaket selv kategoriserer til alvorlighetsgrad svært alvorlig eller kritisk, men kan også omfatte andre avvik dersom disse avdekker spesielle sårbarheter i applikasjon, arkitektur, infrastruktur eller forsvarsverk. Foretak som nevnt i § 1 første ledd nr. 12¹ (Eiendomsmeglerforetak) omfattes ikke av kravet til hendelsesrapportering.

Prosedyrene for endringshåndtering skal omfatte alle endringer som kan påvirke IKT-systemene og skal sikre forsvarlig, formell behandling og dokumentering av endringene. Foretaket skal sikre at prosedyrene for endringshåndtering gir en stabil, planlagt og forutsigbar drift.

§ 10 (Opphevet)(Opphevet)

Opphevet

Opphevet ved forskrift 17 des 2015 nr. 1732.

§ 11 Driftsavbrudd og kriseberedskapDriftsavbrudd og kriseberedskap

Endret ved forskrift 17 des 2015 nr. 1732.

Foretaket skal ha en dokumentert kriseplan som skal iverksettes dersom IKT-driften ikke kan opprettholdes som følge av en krise. Med krise menes hendelser som forårsaker driftsavbrudd slik at foretakets IKT-drift ikke kan fortsette med normalt tilgjengelige ressurser.

oversikt over IKT-systemer som inngår i planen

beskrivelse av kriseløsningen

klare kriterier for oppstart av kriseløsningen

akseptabel lengde på et driftsavbrudd før kriseløsningen iverksettes

prosedyrer som inneholder de nødvendige aktiviteter for å gjenopprette IKT-driften

oversikt over ansvarsforhold og prosedyrer ved oppstart av kriseløsningen

informasjon til berørte ansatte, leverandører, kunder, offentlige myndigheter og media.

Det skal minst en gang årlig gjennomføres opplæring, øvelse og testing av at kriseløsningen virker som forutsatt. Resultatet av testen skal dokumenteres.

§ 12 UtkontrakteringUtkontraktering

Endret ved forskrifter 18 des 2009 nr. 1726 (i kraft 21 des 2009), 17 des 2015 nr. 1732.

Foretaket har ansvar for at IKT-virksomheten oppfyller alle krav som stilles etter denne forskrift. Dette gjelder også der hele eller deler av IKT-virksomheten er utkontraktert. Det skal foreligge en skriftlig avtale som sikrer dette. Avtalen må sikre at foretak under tilsyn også gis rett til å kontrollere, herunder revidere de av leverandørens aktiviteter som er knyttet til avtalen. Avtalen skal også sikre håndtering av taushetsbelagt informasjon.

Avtalen skal videre sikre at Finanstilsynet gis tilgang til opplysninger fra og tilsyn hos IKT-leverandøren der Finanstilsynet finner det nødvendig som et ledd i tilsynet med foretaket.

Foretaket skal sikre, i egen regi eller gjennom et formalisert samarbeid med andre foretak enn IKT-leverandøren, at organisasjonen besitter tilstrekkelig kompetanse til å forvalte utkontrakteringsavtalen.

§ 13 DokumentasjonDokumentasjon

Det skal foreligge en samlet oppdatert oversikt over organisasjon, utstyr, IKT-systemer og vesentlige forhold i IKT-virksomheten. Det skal foreligge oppdatert dokumentasjon av det enkelte IKT-system som er av betydning for foretakets virksomhet og som dokumenterer at forskriftens krav er oppfylt til enhver tid.

§ 14 DispensasjonDispensasjon

Endret ved forskrift 18 des 2009 nr. 1726 (i kraft 21 des 2009).

Finanstilsynet kan gi dispensasjon fra forskriften eller deler av denne.

§ 15 IkrafttredelseIkrafttredelse

Endret ved forskrift 18 des 2009 nr. 1726 (i kraft 21 des 2009).

Forskriften trer i kraft 1. august 2003. Samtidig oppheves forskrift av 16. desember 1992 nr. 1157 om bruk av informasjonsteknologi (IT). Finanstilsynet kan gi utsettelse med å oppfylle krav i forskriften.

Endringshistorikk

6 endringer siden 2001

Forskrift om endring i forskrift om bruk av informasjons- og kommunikasjonsteknologi (IKT)

Kunngjort:: 30. juni 2025
Kunngjøringsnummer:: 2025-0893
Ikrafttredelse:: 2025-07-01
Ansvarlig departement:: Finansdepartementet

Forskrift om endring i forskrift om bruk av informasjons- og kommunikasjonsteknologi (IKT) og i forskrift om risikostyring og internkontroll

Kunngjort:: 2. mars 2022
Kunngjøringsnummer:: 2022-0252
Ikrafttredelse:: 2022-03-01
Ansvarlig departement:: Finansdepartementet

Forskrift om endring i forskrift om bruk av informasjons- og kommunikasjonsteknologi (IKT)

Kunngjort:: 10. februar 2022
Kunngjøringsnummer:: 2022-0176
Ikrafttredelse:: 2022-02-09
Ansvarlig departement:: Finansdepartementet

Endr. i finansforetaksforskriften mv.

Kunngjort:: 27. februar 2019
Kunngjøringsnummer:: 2019-0112
Ikrafttredelse:: 2019-04-01
Ansvarlig departement:: Finansdepartementet

Endr. i forskrift om bruk av IKT

Kunngjort:: 29. desember 2015
Kunngjøringsnummer:: 2015-1430
Ikrafttredelse:: 2015-12-17
Ansvarlig departement:: Finansdepartementet

Endr. i forskrift om bruk av IKT

Kunngjort:: 23. oktober 2009
Kunngjøringsnummer:: 2009-0966
Ikrafttredelse:: 2009-12-01
Ansvarlig departement:: Finansdepartementet

Kilde: Norsk Lovtidend via Lovdata (api.lovdata.no)