Virksomhetsikkerhetsforskriften

Kapittel 1. Vedtak om at sikkerhetsloven skal gjelde og definisjonerKapittel 1. Vedtak om at sikkerhetsloven skal gjelde og definisjoner

§ 1 Vedtak om at sikkerhetsloven skal gjeldeVedtak om at sikkerhetsloven skal gjelde

Når et departement fatter vedtak etter sikkerhetsloven § 1-3 om at loven skal gjelde for en virksomhet, skal virksomheten gis en rimelig frist for å oppfylle kravene gitt i eller med hjemmel i sikkerhetsloven. Fristen skal fastsettes ut fra hva som må gjøres for at virksomheten oppfyller kravene.

§ 2 DefinisjonerDefinisjoner

skjermingsverdige verdier: skjermingsverdig informasjon, skjermingsverdige informasjonssystemer, skjermingsverdig infrastruktur og skjermingsverdige objekter

dokument: en logisk avgrenset mengde med informasjon som er lagret på et medium for senere lesing, lytting, framføring, overføring eller lignende

lagringsmedium: en elektronisk eller fysisk enhet for lagring av informasjon til bruk for senere lesing, lytting, framføring, overføring eller lignende.

Kapittel 2. SikkerhetsstyringKapittel 2. Sikkerhetsstyring

§ 3 Styringssystem for sikkerhetStyringssystem for sikkerhet

En virksomhet som omfattes av sikkerhetsloven, skal etablere et styringssystem for sikkerhet. Systemet skal sikre at virksomheten oppfyller kravene gitt i eller med hjemmel i loven.

§ 4 Styringsdokument for det forebyggende sikkerhetsarbeidetStyringsdokument for det forebyggende sikkerhetsarbeidet

hvilke deler av sikkerhetsloven med forskrifter som gjelder for virksomheten

roller og ansvar i virksomhetens forebyggende sikkerhetsarbeid, jf. § 6

prinsipper for virksomhetens sikkerhetsarbeid.

Styringsdokumentet skal gjøres kjent og være tilgjengelig for virksomhetens ansatte og for leverandører og andre eksterne samarbeidspartnere, i den grad det er nødvendig for å oppfylle virksomhetens plikter etter sikkerhetsloven.

§ 5 SikkerhetsmålSikkerhetsmål

En virksomhet skal fastsette hvordan kravene til et forsvarlig sikkerhetsnivå i sikkerhetsloven § 4-3 første ledd, § 5-2 første ledd, § 6-2 første ledd og § 7-3 første ledd skal oppfylles og kriterier for å evaluere om kravene er oppfylt.

Kapittel 3. Generelle krav til beskyttelse av skjermingsverdige verdierKapittel 3. Generelle krav til beskyttelse av skjermingsverdige verdier

§ 12 Vurdering av risikoVurdering av risiko

hvilken betydning virksomhetens skjermingsverdige verdier har for grunnleggende nasjonale funksjoner eller nasjonale sikkerhetsinteresser

hvilken sikkerhetstruende virksomhet de skjermingsverdige verdiene kan bli utsatt for

sannsynligheten for at sikkerhetstruende virksomhet kan inntreffe

hvilke sårbarheter som er knyttet til de skjermingsverdige verdiene

konsekvensen av sikkerhetstruende virksomhet for de skjermingsverdige verdiene

i hvilken grad virksomheten er avhengig av andre virksomheter for å fungere som den skal.

Behovet for å gjennomføre en ny helhetlig vurdering av risikoen skal vurderes årlig.

Dersom det planlegges, gjennomføres eller inntreffer endringer som kan påvirke skjermingsverdige verdier i vesentlig grad, skal virksomheten vurdere hvilken risiko endringene medfører.

Kapittel 4. Håndtering og beskyttelse av skjermingsverdig informasjonKapittel 4. Håndtering og beskyttelse av skjermingsverdig informasjon

§ 22 Forsvarlig sikkerhetsnivå for skjermingsverdig informasjonForsvarlig sikkerhetsnivå for skjermingsverdig informasjon

Når en virksomhet håndterer en risiko knyttet til ugradert skjermingsverdig informasjon etter § 13, skal tiltakene som et minimum sørge for at informasjonen ikke kan gå tapt, endres eller gjøres utilgjengelig med enkle midler. Dersom risikoen tilsier det, skal informasjonen også beskyttes mot avanserte angrepsmetoder.

Når virksomheten håndterer en risiko knyttet til informasjon gradert BEGRENSET, er kravet til et forsvarlig sikkerhetsnivå oppfylt dersom informasjonen ikke med enkle midler kan bli kjent for uautoriserte personer.

Ved valg av sikkerhetstiltak skal virksomheten se behovet for å beskytte informasjonens konfidensialitet, integritet og tilgjengelighet i sammenheng og veie hensynene mot hverandre.

§ 23 Destruering av dokumenter og lagringsmedier med sikkerhetsgradert informasjonDestruering av dokumenter og lagringsmedier med sikkerhetsgradert informasjon

Ved destruering av dokumenter og lagringsmedier som inneholder eller har inneholdt sikkerhetsgradert informasjon, skal det brukes en metode som gjør at det ikke er mulig å rekonstruere og lese informasjonen.

Dersom informasjonen er eller har vært gradert KONFIDENSIELT eller høyere, skal det benyttes et produkt som er evaluert etter § 16, til å destruere dokumentet eller lagringsmediet.

Kapittel 5. Sikkerhetsgradering og merkingKapittel 5. Sikkerhetsgradering og merking

§ 28 Merking av dokumenter og lagringsmedier som inneholder sikkerhetsgradert informasjonMerking av dokumenter og lagringsmedier som inneholder sikkerhetsgradert informasjon

Dokumenter og lagringsmedier skal merkes med den høyeste sikkerhetsgraden som gjelder for informasjon i dokumentet eller lagringsmediet, og med hvor lenge graderingen varer. Merkingen skal være lett synlig og lett kunne gjøres kjent for alle i og utenfor virksomheten som skal håndtere informasjonen.

Dersom ikke all informasjon i et dokument eller et lagringsmedium har den samme sikkerhetsgraderingen, skal merkingen, så langt det er praktisk mulig, vise hvilke deler som har hvilken gradering eller ingen gradering.

Dokumenter og lagringsmedier med informasjon som utleveres til en annen stat eller internasjonal organisasjon etter § 25, skal merkes med hvilken stat eller organisasjon utleveringen gjelder.

§ 29 Sikkerhetsgradering ut over 30 årSikkerhetsgradering ut over 30 år

Hvis det er behov for å beskytte informasjon som er over 30 år, skal avgradering vurderes 40 år etter utstedelsen og deretter hvert tiende år.

§ 30 Omgradering av sikkerhetsgradert informasjonOmgradering av sikkerhetsgradert informasjon

Kapittel 6. Beskyttelse av informasjon gradert KONFIDENSIELT eller høyereKapittel 6. Beskyttelse av informasjon gradert KONFIDENSIELT eller høyere

§ 34 Forsvarlig sikkerhetsnivå for informasjon gradert KONFIDENSIELT eller høyereForsvarlig sikkerhetsnivå for informasjon gradert KONFIDENSIELT eller høyere

uautoriserte personer ikke kan få tilgang til informasjon gradert KONFIDENSIELT eller høyere, uten at virksomheten oppdager det

uautoriserte personer ikke kan få tilgang til informasjon gradert HEMMELIG eller høyere, uten at virksomheten oppdager det og kan begrense skadefølgene

risikoen for at uautoriserte personer får tilgang til informasjon gradert STRENGT HEMMELIG reduseres til et ubetydelig nivå.

§ 35 Sending av informasjon gradert KONFIDENSIELT eller høyereSending av informasjon gradert KONFIDENSIELT eller høyere

Når informasjon som er gradert KONFIDENSIELT eller høyere, skal sendes fysisk, skal det brukes en kurér. Dersom informasjonen er gradert HEMMELIG eller STRENGT HEMMELIG, skal i tillegg mottakeren kvittere for at sendingen er mottatt.

Dersom informasjon med ulik sikkerhetsgradering sendes sammen, skal det ligge ved en liste med oversikt over informasjonen og sikkerhetsgradene.

Kapittel 7. Beskyttelse av skjermingsverdige informasjonssystemerKapittel 7. Beskyttelse av skjermingsverdige informasjonssystemer

§ 49 Forsvarlig sikkerhetsnivå for skjermingsverdige informasjonssystemerForsvarlig sikkerhetsnivå for skjermingsverdige informasjonssystemer

beskytte data mot uønsket lesing og beskytte tjenester mot uønsket bruk

beskytte data mot uønsket modifikasjon og beskytte tjenester mot uønsket modifikasjon og manipulasjon

beskytte data mot uønsket sletting og beskytte tjenester mot uønsket reduksjon eller stans

identifisere og autentisere brukere som kan påvirke informasjonssystemets funksjon, eller som kan få tilgang til data i systemet, før de gis tilgang til data og tjenester

forhindre at falske data og tjenester introduseres i informasjonssystemet

registrere bruk, misbruk og forsøk på misbruk av informasjonssystemet, tjenester og data

systematisk kontrollere at sikkerhetstiltakene er korrekt implementert og ivaretar sikkerheten på en effektiv og hensiktsmessig måte.

Kapittel 8. Klassifisering av skjermingsverdige objekter og infrastrukturKapittel 8. Klassifisering av skjermingsverdige objekter og infrastruktur

§ 56 Klassifisering av skjermingsverdige objekter og infrastrukturKlassifisering av skjermingsverdige objekter og infrastruktur

i hvilken grad grunnleggende nasjonale funksjoner er avhengig av objektet eller infrastrukturen

virksomhetens skadevurdering.

Dersom forholdene som er lagt til grunn for klassifiseringen, endrer seg, skal departementet vurdere om det skal fattes et nytt vedtak om klassifisering.

Klassifiseringsnivået og grunnlaget for klassifiseringen skal graderes BEGRENSET eller høyere. En oversikt over samtlige eller et større antall klassifiserte objekter eller infrastrukturer skal graderes KONFIDENSIELT eller høyere.

§ 57 Skadevurdering i forbindelse med utpeking og klassifisering av skjermingsverdige objekter eller infrastrukturSkadevurdering i forbindelse med utpeking og klassifisering av skjermingsverdige objekter eller infrastruktur

hvilke konsekvenser det vil få for grunnleggende nasjonale funksjoner dersom objektets eller infrastrukturens funksjonalitet faller bort eller reduseres

Kapittel 9. Beskyttelse av skjermingsverdige objekter og infrastrukturKapittel 9. Beskyttelse av skjermingsverdige objekter og infrastruktur

§ 58 Forsvarlig sikkerhetsnivå for klassifiserte objekter og infrastrukturForsvarlig sikkerhetsnivå for klassifiserte objekter og infrastruktur

begrense tap av vesentlige funksjoner ved skadeverk på eller forsøk på å ødelegge objekter eller infrastruktur klassifisert VIKTIG

begrense tap av funksjoner ved skadeverk på eller forsøk på å ødelegge objekter eller infrastruktur klassifisert KRITISK

avverge tap av funksjoner ved skadeverk på eller forsøk på å ødelegge objekter eller infrastruktur klassifisert MEGET KRITISK

avverge en rettsstridig overtakelse av objekter eller infrastruktur klassifisert KRITISK eller MEGET KRITISK.

§ 59 Tilrettelegging for bruk av sikringsstyrkerTilrettelegging for bruk av sikringsstyrker

Dersom politiet eller Forsvaret har bestemt at det skal planlegges for bruk av sikringsstyrker ved et objekt eller en infrastruktur, skal virksomheten som råder over objektet eller infrastrukturen, tilrettelegge og utarbeide en plan for bruk av sikringsstyrkene i samarbeid med politiet eller Forsvaret.

Kapittel 10. Inntrengningstesting, testing av sikkerhetstiltak og kommunikasjons- og innholdskontroll av informasjonssystemerKapittel 10. Inntrengningstesting, testing av sikkerhetstiltak og kommunikasjons- og innholdskontroll av informasjonssystemer

§ 61 Fellesregler for inntrengningstesting, testing av sikkerhetstiltak og kommunikasjons- og innholdskontroll av informasjonssystemerFellesregler for inntrengningstesting, testing av sikkerhetstiltak og kommunikasjons- og innholdskontroll av informasjonssystemer

forsøke å trenge inn i virksomhetens skjermingsverdige informasjonssystemer

kontrollere om virksomhetens informasjonssystemer behandler sikkerhetsgradert informasjon utover det systemets sikkerhetsgodkjenning tillater

forsøke å forsere etablerte sikkerhetstiltak.

Den som gjennomfører tester, kontroller og undersøkelser etter første ledd, skal rapportere resultatene til virksomheten og myndigheten som fører tilsyn etter loven. Rapporten skal kun i nødvendig grad inneholde informasjon som identifiserer enkeltpersoner som har begått sikkerhetsbrudd.

Informasjonen fra slike undersøkelser, testing og kontroller skal slettes senest innen tre måneder etter at oppdraget er avsluttet. Informasjonen kan likevel bevares lengre enn tre måneder når dette er nødvendig for å håndtere sårbarheter eller sikkerhetstruende virksomhet. Det samme gjelder dersom det er nødvendig av hensyn til kontrollvirksomheten til Stortingets kontrollorgan for etterretnings-, overvåkings- og sikkerhetstjeneste (EOS-utvalget).

Kapittel 11. Nasjonalt varslingssystem for digital infrastrukturKapittel 11. Nasjonalt varslingssystem for digital infrastruktur

§ 63 Drift av en nasjonal responsfunksjon for alvorlige digitale angrep og nasjonalt varslingssystem for digital infrastrukturDrift av en nasjonal responsfunksjon for alvorlige digitale angrep og nasjonalt varslingssystem for digital infrastruktur

Nasjonal sikkerhetsmyndighet skal drifte en nasjonal responsfunksjon for alvorlige digitale angrep og et nasjonalt varslingssystem for digital infrastruktur. I forbindelse med dette skal informasjon om digitale angrep innhentes, analyseres og deles.

§ 64 Tilknytning til varslingssystemet for digital infrastrukturTilknytning til varslingssystemet for digital infrastruktur

utplassering av sensorer eller andre tekniske løsninger som skal overvåke virksomhetens digitale infrastruktur

hvordan alvorlige digitale angrep skal håndteres

hvordan personopplysninger og opplysninger underlagt lovbestemt taushetsplikt skal behandles.

Nasjonal sikkerhetsmyndighet kan pålegge virksomheter som er underlagt sikkerhetsloven, å knytte seg til det nasjonale varslingssystemet når dette er nødvendig for å oppnå et forsvarlig sikkerhetsnivå og redusere risikoen for sikkerhetstruende virksomhet. Pålegget skal regulere forholdene nevnt i første ledd tredje punktum.

Kapittel 12. PersonellsikkerhetKapittel 12. Personellsikkerhet

§ 67 Vilkår for å gi autorisasjonVilkår for å gi autorisasjon

Den som skal autoriseres, skal signere en taushetserklæring før det gis autorisasjon. Før det gis autorisasjon for COSMIC TOP SECRET, skal også NATOs COSMIC-erklæring undertegnes. Dersom personen har en klarering på vilkår etter sikkerhetsloven § 8-6, skal den autorisasjonsansvarlige, før det gis autorisasjon, fastsette hvordan vilkårene skal følges opp.

§ 68 AutorisasjonssamtaleAutorisasjonssamtale

før det gis autorisasjon

når en autorisert person selv ber om det

ved reklarering

når en autorisasjonsansvarlig ellers finner grunn til det.

forsikre seg om at den som skal autoriseres, kjenner til relevante sikkerhetstrusler og sikkerhetsbestemmelser og forstår sin rolle i sikkerhetsarbeidet til virksomheten

Kapittel 13. Sikkerhetsgraderte anskaffelserKapittel 13. Sikkerhetsgraderte anskaffelser

§ 79 Vurdering av graderingsnivået for ulike deler av en sikkerhetsgradert anskaffelseVurdering av graderingsnivået for ulike deler av en sikkerhetsgradert anskaffelse

Oppdragsgiveren skal ta stilling til hva tilbydere, leverandører og underleverandører kan få tilgang til av sikkerhetsgradert informasjon, skjermingsverdige objekter eller skjermingsverdig infrastruktur i de ulike fasene av en sikkerhetsgradert anskaffelse.

§ 80 Krav til sikkerhetsavtalen når en leverandør skal ha tilgang til sikkerhetsgradert informasjon, et skjermingsverdig objekt eller skjermingsverdig infrastrukturKrav til sikkerhetsavtalen når en leverandør skal ha tilgang til sikkerhetsgradert informasjon, et skjermingsverdig objekt eller skjermingsverdig infrastruktur

hvilken sikkerhets- eller klassifiseringsgrad informasjonen, objektet eller infrastrukturen har

hvem som skal få tilgang til den sikkerhetsgraderte informasjonen eller det skjermingsverdige objektet eller infrastrukturen

hvordan den sikkerhetsgraderte informasjonen skal formidles mellom avtalepartene

Kapittel 14. TilsynKapittel 14. Tilsyn

§ 89 Tilsyn med virksomheter underlagt lov om nasjonal sikkerhetTilsyn med virksomheter underlagt lov om nasjonal sikkerhet

Tilsynsmyndigheten skal kontrollere at virksomhetene overholder kravene i sikkerhetsloven med forskrifter og bidra til å forbedre virksomhetenes arbeid med forebyggende sikkerhet.

Et tilsyn skal planlegges på bakgrunn av risiko og vesentlighet. Det skal gjennomføres tilsyn ofte nok og i stort nok omfang til at lovens formål ivaretas.

Tilsyn skal som hovedregel gjennomføres som systemrevisjon.

For å kontrollere sikkerhetstilstanden til informasjonssystemer og infrastruktur, kan tilsynsmyndigheten benytte automatiserte metoder for å samle inn teknisk informasjon.

§ 90 Avtale om samarbeid mellom Nasjonal sikkerhetsmyndighet og andre myndigheter med tilsynsansvarAvtale om samarbeid mellom Nasjonal sikkerhetsmyndighet og andre myndigheter med tilsynsansvar

Overordnet departement til en sektormyndighet med tilsynsansvar, har ansvaret for at det inngås samarbeidsavtaler mellom Nasjonal sikkerhetsmyndighet og myndigheten med tilsynsansvar etter sikkerhetsloven § 3-2.

hvilke kriterier som skal ligge til grunn for tilsyn

Kapittel 15. Melding om erverv av kvalifisert eierandel i virksomhet underlagt sikkerhetslovenKapittel 15. Melding om erverv av kvalifisert eierandel i virksomhet underlagt sikkerhetsloven

§ 93 Krav til innholdet i en melding om et erverv av en kvalifisert eierandel i en virksomhet underlagt sikkerhetslovenKrav til innholdet i en melding om et erverv av en kvalifisert eierandel i en virksomhet underlagt sikkerhetsloven

erververens navn, adresse og organisasjonsnummer, fødselsnummer eller tilsvarende nummer

organisasjonsnummeret til virksomheten ervervet gjelder

erververens eierandel etter at ervervet er gjennomført

erververens eierstruktur

hvem som sitter i erververens styre

hvem som utgjør den daglige ledelsen i erververens virksomhet

eventuelle relasjoner mellom erververen og andre eksisterende eiere i virksomheten ervervet gjelder

Kapittel 16. Avsluttende bestemmelserKapittel 16. Avsluttende bestemmelser

§ 94 IkrafttredelseIkrafttredelse

Forskriften trer i kraft 1. januar 2019. Samtidig tid oppheves forskrift 1. juli 2001 nr. 744 om informasjonssikkerhet, forskrift 29. juni 2001 nr. 723 om sikkerhetsadministrasjon, forskrift 1. juli 2001 nr. 753 om sikkerhetsgraderte anskaffelser og forskrift 22. oktober 2010 nr. 1362 om objektsikkerhet.

§ 95 OvergangsreglerOvergangsregler

Destrueringsmetoder og oppbevaringsenheter som er godkjent etter forskrift 1. juli 2001 nr. 744 om informasjonssikkerhet § 4-36, § 6-11 og § 6-12, skal anses godkjent inntil godkjenningen opphører, eller det av andre grunner er behov for ny godkjenning av destrueringsmetoden eller oppbevaringsenheten.

Et rom som er godkjent etter forskrift 1. juli 2001 nr. 744 om informasjonssikkerhet § 9-1, skal anses å oppfylle kravene i § 46.