Høringsuttalelse forslag til endringer i sikkerhetsloven

Transkript

1 Forsvarsdepartementet Postboks 8126 Dep 0032 OSLO Dato: Deres ref.: 13/00552 Vår ref.: 15/ Høringsuttalelse forslag til endringer i sikkerhetsloven Det vises til Forsvarsdepartementets høringsbrev av 19. mai 2015 med vedlagt høringsnotat om forslag til endringer i sikkerhetsloven. Norges Bank har følgende merknader til høringsnotatet: Generelle kommentarer Norges Bank ser med interesse på at et oppdatert nasjonalt IKT-risikobilde produseres gjennom NorCERT-funksjonen, og at dette bildet koordineres med Etterretningstjenesten og Politiets sikkerhetstjeneste. Infrastrukturutvalget (NOU 2006: 6) la opp til en betydelig tettere oppfølging og veiledning av objekteiere, og deling av sikkerhetsinformasjon mellom objekteiere, enn hva som er tilfelle i dag. Involvering av objekteiere er viktig både i forbindelse med endringer i regelverk, etablering av bedre rådgivningsordninger for objekteiere (fra Nasjonal sikkerhetsmyndighet og politiet) og tiltak for å beskytte objektene, samt når det gjelder en betydelig bedre varsling av objekteiere ved sikkerhetstruende hendelser. Norges Bank, som objekteier, ønsker derfor en sterkere involvering i arbeidet med oppfølging av sikkerhetsloven. Videre er det behov for at påleggene loven legger opp til kan integreres med sikkerhetsstyringsdokumenter i hver enkelt virksomhet og sektor. Det er først ved etablering av helhetlige systemer for sikkerhetsstyring at virksomhetene, sektorene og nasjonen oppnår en tilfredsstillende sikkerhetssituasjon. 2 Lovens generelle virkeområde Norges Bank vil henstille til at det i den kommende proposisjon til Stortinget med endringer i sikkerhetsloven avklares nærmere hva som menes med begrepet «andre organer for Stortinget». Banken vil for egen del ønske en avklaring på om medlemmene i Norges Banks representantskap og de ansatte i tilsynsekretariatet omfattes av denne unntaksbestemmelsen. Dersom medlemmene i Norges Banks representantskap og de ansatte i tilsynsekretariatet skal sikkerhetsklareres ønsker banken at det avklares hvilken klareringsmyndighet som skal Faks central.bank@norges-bank.no POSTADRESSE BESØKSADRESSE Tel Organisasjons- PB 1179 Sentrum, Bankplassen 2, 0107 Oslo Oslo nummer NO MVA

2 behandle disse klareringssakene. 23 Klareringsmyndighet og autorisasjonsansvarlig Norges Bank har delegert klareringsmyndighet fra Finansdepartementet, og banken oppfatter at ordningen fungerer godt. Klareringsarbeidet inngår i bankens personkontrollfunksjon som også omfatter blant annet innhenting av politiattest jf. sentralbankloven 11 fjerde ledd. Dette gjør at banken har mulighet til å benytte tilstrekkelige ressurser i klareringsarbeidet. Norges Bank ser at det fortsatt vil være omfattende arbeid av administrativ karakter i forbindelse med anmodninger om sikkerhetsklarering, og forslaget vil derfor ikke redusere arbeidsmengden vesentlig for bankens vedkommende. Norges Bank ser fordelen med færre klareringsmyndigheter fordi dette vil sikre profesjonaliteten i klareringsarbeidet. Banken forutsetter at en klareringsmyndighet for sivil sektor først iverksettes når de nødvendige ressurser og opplæring er på plass, slik at overgangen til ny ordning ikke medfører unødig opphold i klareringene. Videre forutsetter banken at den nye klareringsmyndigheten fortløpende gis tilstrekkelige ressurser slik at behandlingstiden for klareringssaker reduseres. Norges Bank er avhengig av at klareringer gis uten ugrunnet opphold for å ivareta viktige funksjoner i banken. Norges Bank viser for øvrig til viktigheten av at det etableres tilfredsstillende elektroniske samhandlingsplattformer, slik at myndighetene som fremmer klareringsanmodninger kan samhandle elektronisk med den nye klareringsmyndigheten. Norges Bank vil også henstille til at det i en kommende proposisjon til Stortinget med endringer i sikkerhetsloven gjøres en vurdering av klareringspraksis i de forskjellige samfunnssektorene. Det vil være av interesse å få belyst hvorvidt sektorene har samme praksis for vurdering av klareringsbehov (tilgang til skjermingsverdig informasjon gradert KONFIDENSIELT eller høyere eller adgang til skjermingsverdige objekt). 28 Leverandørklarering Norges Bank støtter forslaget om tidsbestemt leverandørklarering. Banken vil påpeke at leverandørklarering også er aktuelt for konsulenter som yter tjenester i forbindelse med sikring av skjermingsverdige objekter eller drifter systemer knyttet til skjermingsverdige objekter. Norges Bank ser med interesse at Forsvarsdepartementet og Justisdepartementet har innhentet erfaringer med leverandørklarering fra andre land. Banken har erfart at det i noen grad er nødvendig å innhente sikkerhetskompetanse fra utlandet. I den forbindelse vil banken anbefale at Nasjonal sikkerhetsmyndighet etablerer en forenklet norsk leverandørklarering på basis av leverandørklarering i definerte samarbeidsland (f.eks. basert på britiske «List X»). Dette kan innebære en forenkling av arbeidet med sikring av skjermingsverdige objekter. Norges Bank mener at en tydeligere definert og gjennomført ordning for leverandørklareringer, samt ordninger med noen grad av overførbare leverandørklareringer fra andre land, vil være med på å motvirke fare for at utenlandske leverandører ser det som regulatorisk og politisk risikabelt å gå inn i prosjekter i Norge. Dato Side 2 (5)

3 Ny 5 a Varsling mv. ved risiko for rikets selvstendighet og sikkerhet og andre vitale nasjonale sikkerhetsinteresser Norges Bank forutsetter at det gis nærmere bestemmelser om hvordan lovbestemt taushetsplikt utenom sikkerhetsloven (jf. for eksempel sentralbankloven 12) skal ivaretas der varsling må foretas til eksterne. Dette er for øvrig også relevant ved annen informasjonsutveksling mellom virksomheter (jf. forslag i ny 13 a om overvåking av godkjente informasjonssystemer og ny 29 a om varsling ved anskaffelser til kritisk infrastruktur). Norges Bank vil understreke at kriteriene for når varslingsplikt foreligger er skjønnspreget. Det er derfor vesentlig at det legges opp til nærmere forklaringer i veileder e.l. om hva varslingsplikten innebærer og hvordan varslene skal håndteres. Utfordringene med innføring av ordningen med skjermingsverdige objekter viser at den sikkerhetsfaglige kompetansen er varierende i de forskjellige sektorer. På bakgrunn av dette bør det derfor vurderes om Nasjonal sikkerhetsmyndighet skal varsles parallelt med fagdepartementet. Dette er for øvrig også relevant for varsel med hjemmel i ny 29 a. Ny 13 a Sikkerhetsmessig overvåking av godkjente informasjonssystemer Norges Bank forutsetter at det gis nærmere bestemmelser i forskrift om hvor og hvordan informasjonen som er nevnt i høringsforslaget skal lagres, hvordan informasjonen skal sikres, mv. Banken viser videre til overnevnte kommentarer til ny 5 a, og forutsetter at det gis nærmere bestemmelser om hvordan lovbestemt taushetsplikt utenom sikkerhetsloven (jf. for eksempel sentralbankloven 12) skal ivaretas også der sikkerhetsmessig overvåking foretas av eksterne. Ny 29 a Anskaffelser til kritisk infrastruktur Norges Bank mener at etableringen av «kritisk infrastruktur» som et begrep på siden av det allerede eksisterende «skjermingsverdige objekter» gjør regelverket komplisert. Banken er imidlertid enig i behovet for å definere en lavere klasse enn skjermingsverdige objekter. Av hensyn til en helhetlig tilnærming til sikkerhetsstyring vil banken tilrå at det i lovens kapittel 5 etableres et hierarki for kritisk infrastruktur og kritiske samfunnsfunksjoner i fire nivåer. Her kan de eksisterende skjermingsverdige objekter utgjøre de tre øverste nivåene, mens strukturene som omfattes av forslaget til ny 29 a får et annet navn og legges på det fjerde, laveste, nivået. Det kan i denne sammenheng gjerne brukes det eksisterende begrepet «kritisk infrastruktur og kritiske samfunnsfunksjoner» (KIKS, på engelsk «Critical National Infrastructure») som en overbyggende fellesbetegnelse på skjermingsverdige objekter og en lavere fjerde kategori. Norges Bank vil også anbefale at det i denne sammenheng, og gjerne i forskrift, gis en nærmere avgrensning av hvilke sektorer som omfattes av «kritisk infrastruktur» eller «kritisk infrastruktur og kritiske samfunnsfunksjoner». Dette kan være en parallell til de ni sektorene som er definert som «the national infrastructure» av britiske Centre for the Protection of Dato Side 3 (5)

4 National Infrastructure (CPNI), de 16 sektorene som er definert som «critical infrastructure» i den amerikanske presidentens direktiv PPD-21 Critical Infrastructure Security and Resilience eller de 17 sektorene som ble nevnt av Infrastrukturutvalget (NOU 2006: 6). Det bør videre fremgå hvilke departement som har ansvar for hvilke sektorer. En slik forskrift kan med fordel beskrive en felles tilnærming til kritisk infrastruktur og kritiske samfunnsfunksjoner hva gjelder leverandørgodkjenning/-klarering; krav om rådgivning fra Nasjonal sikkerhetsmyndighet og politiet, og etablering av sektorvise informasjonsdelingsfora, der det er behov for det i sikringsarbeidet; krav til varsling til objekteiere ved behov for forhøyd beredskap; eventuelle felles krav til sikkerhetsstyring; mv. Hva gjelder det foreliggende forslag til lovtekst i 29 a synes det i stor grad formulert ut fra anskaffelser av fysisk materiell og programvare. Norges Bank vil henstille til at det i den kommende stortingsproposisjon med endringer til sikkerhetsloven gis en nærmere beskrivelse av hvordan anskaffelse av kommunikasjonstjenester, samt rådgivnings- og systemdriftstjenester til kritisk infrastruktur eventuelt berøres av den nye 29 a. I høringsnotatet vises det til at de fleste anskaffelser som blir berørt av varslingskravet allerede er underlagt regelverk om offentlige anskaffelser, og at man legger til grunn at konsekvensene grunnet økt tidsbruk derfor ikke vil bli vesentlige. Norges Bank har vanskelig for å se at ikke varslingsplikt, departementets innhenting av informasjon og vurderinger fra relevante organer mv. vil kreve betydelig tid og vil kunne medføre vesentlige forsinkelser i anskaffelsesprosjektene. Dette spesielt ved innhenting av informasjon om leverandører som befinner seg utenfor Europa. På denne bakgrunn mener Norges Bank at det bør fremgå at behovet for sikkerhetsvurderinger ikke skal medføre unødvendige forsinkelser i anskaffelsesprosjektene. Norges Bank oppfatter at «kritisk infrastruktur» i forslaget til ny 29 a i for liten grad gir en avgrensning nedad mot infrastruktur som ikke er ansett som kritisk. En slik avgrensning kan med fordel gjøres i lovens 3, eventuelt utdypet i forskrift (da eventuelt som begrepet «kritisk infrastruktur og kritiske samfunnsfunksjoner»). Norges Bank ser også behovet for at det i 29 a gjøres klarere om paragrafen får virkning både for kritisk infrastruktur som i dag ikke er omfattet av sikkerhetsloven (dvs. den fjerde lavere klassen som omtalt over) og for utpekte skjermingsverdige objekter, eller om 29 a kun får virkning for den første kategorien i det skjermingsverdige objekter anses dekket av eksisterende lovverk. Det er uttalt i høringsnotatet at «Dersom det anses nødvendig å fravike anskaffelsesregler for å etterleve 29 a, må det vurderes konkret om det foreligger hjemmel for dette i hvert enkelt tilfelle». Det bør derfor fremgå av loven eller forarbeidene hvilke regler anskaffelsesreglene eller 29 a som skal gå foran ved motstrid. Dato Side 4 (5)

5 lv Banken viser også til overnevnte kommentarer til ny S 5 a, og forutsetter at det gis nærmere bestemmelser om hvordan lovbestemt taushetsplikt utenom sikkerhetsloven fif. for eksempel sentralbankloven $ 12) skal ivaretas der varsling må foretas til eksterne. << Overord net de parteme nt> og <fagdeparteme nt> Varsling etter ny $ 5 a skaljf. bestemmelsens første ledd rettes til <overordnet departement>>, mens det står at varsling etter ny $ 29 a skal rettes til <ansvarlig fagdepartement>. Norges Bank mener at årsaken til forskjellen iformuleringene <overordnet departement> og <ansvarlig fagdepartement> bør fremgå klarere og at det bør utdypes hva som menes med (... som forvalter regelverket i den aktuelle sektoren>, jf. høringsnotatet s. 32 øverst. Deltagelse i det videre arbeidet med revidering av sikkerhetsloven Banken imøteser den kommende NOU om nytt lovgrunnlag for forebyggende sikkerhet, som vil bli avgitt i løpet av Det er positivt at utvalget som skal utrede lovgrunnlag for forebyggende sikkerhet har erfaring på høyt nivå fra en rekke sektorer. Banken ser det som viktig at også erfaring fra sikkerhetsstyring er representert. Større involvering av de sikkerhetsfaglige miljøene i lovarbeidet foreslås derfor ivaretatt for eksempel gjennom en referansegruppe. Ved behov er Norges Bank tilgjengelig for mer utførlige kommentarer eller oppklaringer Med vennlig hilsen Smith-Sørensen Ebbesen D ktør ag Sikkerhetsdirektør Dato Side s (5)