NOTAT SAMMENDRAG. Høringsuttalelse om nye forskrifter til ny sikkerhetslov. Nye forskrifter til lov om nasjonal sikkerhet (sikkerhetsloven) Åpen

Transkript

1 NOTAT OPPDRAG ) DOKUMENTKODE SL-NOT- Høringsuttalelse om nye forskrifter til ny sikkerhetslov EMNE Nye forskrifter til lov om nasjonal sikkerhet (sikkerhetsloven) TILGJENGELIGHET OPPDRAGSGIVER Multiconsult Norge AS OPPDRAGSLEDER - KONTAKTPERSON SAKSBEHANDLER Tom Børre Lindholm KOPI ANSVARLIG ENHET Kvalitetsstyring Åpen SAMMENDRAG Høringsnotatet «FORSLAG TIL FORSKRIFTER TIL NY SIKKERHETSLOV» av 2. juli 2018 fra Forsvarsdepartementet består av i alt 122 sider og omtaler tre nye forskrifter med forskriftsforslag og er videresendt til oss av Forsvarsbygg. HØRINGSNOTAT FORSLAG TIL FORSKRIFTER TIL NY SIKKERHETSLOV 2. juli 2018: Vårt notat er basert på vår gjennomgang av forslaget til en av de nye forskriftene i kapitelet «10 Utkast til forskrift om virksomhetens arbeid med forebyggende sikkerhet» i høringsnotatet. De to andre forskriftene, Forskrift om klarering av leverandører og personell (klareringsforskriften) og Forskrift om myndighetens roller og ansvar for nasjonal sikkerhet er hhv. lite relevant og ikke relevant for oss som leverandør; klareringsforskriften er relevant for oss i de tilfellene hvor vi skal utføre oppdrag på nivå K i våre egne lokaler. Ingen av våre igangværende oppdrag på nivå K utføres i våre egne lokaler, og, gjennomgangen viser at klareringsforskriften ikke inneholder vesentlige nye krav for oss. Kravene til forsvarlig sikring er i forskriften ikke høyere enn dagens godkjente sikring, men en mindre del av vår styrende dokumentasjon må revideres som en følge av de nye forskriftene. Det er opprettet et eget notat om dette i mappen Drift og utvikling av Styringssystemet. Krav til integritet og tilgjengelighet kan ifølge forskrift medføre at informasjon kan være ugradert men likevel skjermingsverdig (altså uten å være på nivå B, K, S eller SH). Risikovurdering i tråd med trefaktormodellen gjøres til krav i forskriften (mulige hendelser, scenarioer, trusler, trusselaktører, sårbarheter). Autorisering er beskrevet nærmere i den nye forskriften og ser ut til å bekrefte vår fremgangsmåte ved autorisering av medarbeidere for arbeid i graderte oppdrag. Gjengitt høringsforslagstekst er skrevet i kursiv Godkjent av administrerende direktør T.B. Lindholm - T.B. Lindholm Klar for godkjenning fra administrerende direktør T.B. Lindholm -- T.B. Lindholm Klar som info til Forsvarsbygg T.B. Lindholm (A. Svendsen) T.B. Lindholm REV. DATO BESKRIVELSE UTARBEIDET AV KONTROLLERT AV GODKJENT AV MULTICONSULT Nedre Skøyen vei 2 Postboks 265 Skøyen, 0213 Oslo Tlf NO MVA

2 Ad. «Utkast til forskrift om virksomhetens arbeid med forebyggende sikkerhet» 1 1 Definisjoner a) skjermingsverdige verdier: skjermingsverdig informasjon, informasjonssystem, objekt og infrastruktur 1 Vi foreslår følgende tekst: a) skjermingsverdig verdi: skjermingsverdig informasjon, informasjonssystem, objekt eller infrastruktur c) lagringsmedier: elektronisk eller fysisk medium til bruk for senere lesning, høring, visning eller overføring av informasjon 2 Vi foreslår følgende tekst: c) lagringsmedium: elektronisk eller fysisk medium osv. 2 2 Styringssystem for sikkerhet 3 3 Styringsdokument for det forebyggende sikkerhetsarbeidet 4 4 Sikkerhetsmål 5 5 Roller og ansvar i det forebyggende sikkerhetsarbeidet 6 6 Ressurser og kompetanse 1 Utsagnet eller på annen måte utgjør en uakseptabel risiko bør fjernes. Vi begrunner dette med at det kan være vanskelig/ umulig/ ulovlig å foreta seg noe mer i sakens anledning enn det som allerede er beskrevet, dvs. å stenge personens tilgang og minne om taushetsplikten (angitt som krav i neste setning i forskriften). Vi foreslår at dersom den som har sluttet likevel utgjør en uakseptabel risiko, så må det skyldes alvorlig sikkerhetshetsbrudd, som kan forfølges. Dette mener vi at ikke vil være knyttet til at personen slutter eller at stilling endres men vil ha å gjøre med personens eventuelle andre handlinger. Utsagnet kan dermed utgå. Vi mener at det ikke skal være komma etter ordet «slutter» i denne setningen på norsk: SL-NOT-##### 26. september 2018 / Revisjon 3 Side 2 av 5

3 Når et arbeidsforhold eller en tjeneste avsluttes, skal virksomheten sikre at den som slutter, ikke lenger har tilgang til skjermingsverdige verdier eller på annen måte utgjør en uakseptabel risiko. 2 Dette er et tiltak som kunne vært et resultat av virksomhetens risikovurdering, tenker vi: Den som slutter, skal informeres om at taushetsplikten etter sikkerhetsloven 5-4 andre ledd også gjelder etter at arbeidsforholdet er endret eller avsluttet. Vi er enige i at det i mange tilfeller kan være behov for en slik presisering, men vi er i tvil om dette kravet er nødvendig og praktiserbart i alle henseender, f.eks. der personer utenfor virksomheten er autorisert for et besøk/ en befaring. 7 7 Tiltak ved sikkerhetstruende virksomhet, avvik og kompromittering av sikkerhetsgradert informasjon Her foreslår vi å bruke gjenopprette forsvarlig sikkerhetsnivå i stedet for gjenopprette sikkerhetstilstanden. 8 8 Evaluering og øvelser 9 9 Virksomhetens leders gjennomgang av det forebyggende sikkerhetsarbeidet Dokumentasjon om styringssystemet for sikkerhet Vi oppfatter at denne paragrafen egentlig dreier seg om å dokumentere bruken av den fremgangsmåten som er krevet fastlagt i 4.Overskriften foreslås derfor endret til å dreie seg om evaluering av styringssystemet og sikkerhetstiltakene Plikt til å vurdere risiko Grunnsikringstiltak, påbyggingstiltak og tiltak for skadebegrensning og gjenopprettelse Vi oppfatter at følgende forskriftstekst er en omtale av det som vanligvis dekkes av et avviksbehandlingssystem iht. ISO 9001: Grunnsikringstiltakene kan være SL-NOT-##### 26. september 2018 / Revisjon 3 Side 3 av 5

4 systemer og rutiner for å avklare aktiviteter og hendelser og bakgrunnen for dem oppfølging av uønskede aktiviteter og uønskede hendelser, Prinsipper ved valg og utforming av sikkerhetstiltak Forsvarlig sikkerhetsnivå for skjermingsverdig informasjon : Det kan være uklart hva som menes med enkle midler: dersom informasjonen ikke med enkle midler kan endres, gå tapt eller gjøres utilgjengelig Forsvarlig sikkerhetsnivå for skjermingsverdige informasjonssystemer Plikt til å sørge for godkjenning av skjermingsverdige informasjonssystemer Autorisasjonssamtale 18 ( 60 Autorisasjon av autorisasjonsansvarlig hos leverandøren ) Oppdragsgiveren skal autorisere den autorisasjonsansvarlige hos leverandøren. Forskriften bekrefter dermed at vi som leverandør selv kan autorisere våre medarbeidere dersom vår autorisasjonsansvarlige er autorisert av oppdragsgiveren. Slik vi forstår dette må oppdragsgiveren autorisere autorisasjonsansvarlig som er delegert av daglig leder Autorisasjon av utenlandske statsborgere Oversikt over personell med autorisasjon Bevaring og kassasjon av opplysninger i saker om autorisasjon og klarering SL-NOT-##### 26. september 2018 / Revisjon 3 Side 4 av 5

5 22 ( 80 Overgangsregler) Dette er en nyttig opplysning for oss å ha: Et rom som er godkjent etter forskrift 1. juli 2001 nr. 744 om informasjonssikkerhet 9-1 og som ikke får godkjenningen trukket tilbake, anses å oppfylle kravet til forsvarlig sikkerhetsnivå, jf SL-NOT-##### 26. september 2018 / Revisjon 3 Side 5 av 5