Vedtak om overtredelsesgebyr

Transkript

1 W Telenor Norge AS Snarøyveien FORNEBU Vår ref.: Vår dato: Deres ref.: Deres dato: Saksbehandler: Alexander Iversen, Jarle Langeland Vedtak om overtredelsesgebyr Nasjonal kommunikasjonsmyndighet (Nkom) viser til varsel om vedtak om retting og overtredelsesgebyr av , og Telenors kommentarer av Nkom fatter med dette, jf. lov 4. juli 2003 nr. 83 om elektronisk kommunikasjon (ekomloven) 10-13, vedtak om overtredelsesgebyr på kroner for overtredelse av ekomloven 2-10 første ledd. Telenor viste i sine kommentarer av til ulike tiltak som er og vil bli iverksatt. Nkom anser at disse tiltakene er formålstjenlige og tilstrekkelige for det aktuelle forholdet, det vil derfor ikke bli fattet vedtak om retting som varslet Bakgrunn Den 30. oktober 2014 oppstod det som følge av planlagt arbeid en feil i Telenors abonnementsdatabase som medførte et nært totalt utfall av tale- og SMS-tjenester for samtlige av Telenors om lag tre millioner mobilabonnenter fra kl. 18:58 til kl. 21:23. En følgefeil medførte at ca. en halv million abonnenter ikke fikk tjenestene tilbake før kl. 22:21. Mobildatatjenester var også påvirket, men i noe mindre omfang. Som følge av utfallet innhentet Nkom informasjon om hendelsesforløp, konsekvenser og årsaker til utfallet, dette er utfyllende beskrevet i Nkoms rapport av Telenor har i sine kommentarer av presisert nærmere hvor mange prosent av trafikkvolumet som ble levert de timene hendelsen varte, sammenlignet med trafikkvolumet de samme timene uken før. Dette var 44 % i tidsrommet fra kl til kl. 2000, og 19 % i tidsrommet fra kl til Nasjonal kommunikasjonsmyndighet Besøksadresse: Nygård 1, Lillesand Postadresse: Postboks LILLESAND Tel: Fax: firmapost@nkom.no NO

2 I rapporten viser Nkom til at Telenors risikovurdering forut for denne type arbeid hadde «betydelige svakheiter». Dette ble særlig begrunnet i at feil ved arbeidsoperasjonen, Nkom anså videre at sannsynligheten for at det kunne oppstå feil under arbeidet «er større enn det som ligg til grunn for Telenors risikovurdering». Nkom konkluderte med at «[h]alde saman med skadepotensialet meiner PT at Telenor i forkant av hendinga 30. oktober betydeleg undervurderte risikoen knytt til denne type feilrettingsarbeid.». Den varslet Nkom Telenor om at Nkom vurderte å fatte vedtak om retting og overtredelsesgebyr. Begrunnelsen var at den sviktende risikovurderingen og etterfølgende utilstrekkelige risikoreduserende tiltak ble vurdert å være uaktsomme overtredelser av ekomloven Nkom mottok kommentarer fra Telenor til det varslede vedtaket, og det ble avholdt et møte hos Nkom den hvor Telenor utdypet de skriftlige innspillene. Nkom har innhentet en rapport fra Atea AS, datert , med formål å få ytterligere innsikt i gjeldende praksis knyttet til drift og vedlikehold rundt kritiske databasesystemer. Rapporten fra Atea AS ble oversendt Telenor, og Nkom mottok kommentarer på denne Nkom mottok samtidig dokumentasjon på Telenors rutine for manuell sletting av data i abonnementsdatabasen. Forsvarlig sikkerhet Hjemmelsgrunnlag Det følger av ekomloven 2-10 første ledd at «[t]ilbyder skal tilby elektronisk kommunikasjonsnett og -tjeneste med forsvarlig sikkerhet for brukerne i fred, krise og krig». Av forarbeidene til bestemmelsen fremgår det om forsvarlighetsbegrepet at det «menes at nett og tjenester skal være tilgjengelige, og at integriteten og konfidensialiteten skal beskyttes. Hva som for øvrig må anses for å være forsvarlig vil fremkomme gjennom markedspraksis, tilgjengelig teknologi og internasjonale krav. Det er tilbyders ansvar at tjenestene som tilbys holder et forsvarlighetsnivå». Forsvarlighetsbegrepet medfører ikke at tilbyder er forpliktet til å levere elektroniske kommunikasjonsnett og -tjenester med 100 % tilgjengelighet, ei heller vil et hvert utfall utgjøre en overtredelse av ekomloven Nkom anser at kravet til «forsvarlig sikkerhet» i denne sammenheng i all hovedsak innebærer at tilbyder må ha oversikt over de til enhver tid foreliggende risiki, og etter en kost/nyttevurdering fatte tilstrekkelige tiltak for å begrense disse. Kompleksiteten i både nett, tjenester og trusselbilde tilsier også at det så langt som mulig må tas høyde for et risikobilde i stadig endring. 2

3 Både organisatoriske, tekniske og administrative tiltak vil være nødvendige for å sikre at nett og tjenester tilbys med et forsvarlig sikkerhetsnivå. Påregnelig tjenestekonsekvens dersom uønskede hendelser skulle oppstå vil måtte være sentralt ved valg av tiltak og nivå på disse. Etter forarbeidene er også markedspraksis, tilgjengelig teknologi og internasjonale krav relevant for å fastsette det nærmere innhold i forsvarlighetsstandarden. Dersom en tilbyder har fulgt «beste praksis» i bransjen på et område, skaper dette en presumsjon for at praksisen er i tråd med forsvarlighetskravet. Dette er imidlertid ikke absolutt, gjeldende markedspraksis kan i noen tilfeller være utilstrekkelig for å møte brukerens krav til tilgjengelighet på elektroniske kommunikasjonsnett og -tjenester. I andre tilfeller vil organisatoriske eller tekniske løsninger være så vidt spesifikke for den enkelte tilbyder at det vanskelig kan sies å eksistere noen markedspraksis på området. På samme måte vil forsvarlighetsbegrepet normalt være begrenset til det sikkerhetsnivå som lar seg realisere med teknologi som er tilgjengelig i markedet. Der tilbyders valg av implementasjon og organisering av tjenesteproduksjonen i seg selv har medført økt risiko, kan dette likevel tilsi at det må utvikles teknologiske løsninger for å ivareta kravet til forsvarlig sikkerhet. Vurdering Den 30. oktober 2014 oppstod utfallet som følge av feilrettingsarbeid Telenor har opplyst at feilrettingsarbeid som krever manuelle endringer i abonnementsdatabasen gjøres Videre har Telenor opplyst at det er utviklet en prosedyre for dette arbeidet, som er testet i testanlegg. Arbeidet meldes som «change request» etter Telenors system for endringshåndtering. Arbeidet har blitt utført rutinemessig etter de testede prosedyrer over mange år, og har av Telenor blitt risikokategorisert som «minor» (lav risiko/kundekonsekvens), med begrensede tiltak for kontroll og verifikasjon. 3

4 Telenor har opplyst at det var gjort risikoreduserende tiltak ved denne type feilretting. For det første viser Telenor til at alle som utfører slikt arbeid har høy kompetanse. Arbeidet ble utført av ekspertressurser Videre var det utarbeidet en prosedyre for arbeidet som på forespørsel er oversendt Nkom. At arbeidet i dette tilfellet ble utført av erfarne operatører har bidratt til å redusere risikoen. Uavhengig av operatørs erfaring vil det imidlertid alltid foreligge en restrisiko for menneskelige feil, som må hensyntas der slike feil kan få store konsekvenser. Prosedyren for feilretting gir veiledning i hvilke kommandoer som skal utføres for å søke opp de korrupte data som skal slettes, og deretter kommandoer for å slette disse. Det fremgår av selve prosedyren, og opplysninger fra Telenor, at de data som skal slettes varierer fra tilfelle til tilfelle. Prosedyren gir ingen aktsomhetsveiledning. Nkom vurderer at prosedyren i begrenset grad bidrar til å forebygge menneskelige feil. På bakgrunn av dette er det Nkoms vurdering at det, på tross av de tiltak som var iverksatt, forelå en ikke ubetydelig fare for at manuelle endringer i abonnementsdatabasen kunne medføre alvorlige konsekvenser for tjenestetilgjengeligheten. Spørsmålet i det videre er dermed om Telenor hadde plikt etter ekomloven 2-10 første ledd til å iverksette ytterligere risikoreduserende tiltak. Et sentralt moment her er hvilke muligheter Telenor faktisk hadde til å innføre ytterligere tiltak, herunder om det forelå markedspraksis, «beste praksis» og tilgjengelige tekniske løsninger som la til rette for dette. Telenor har vist til at den aktuelle arbeidsoperasjonen var, på tidspunktet den ble gjennomført, den eneste kjente metode for å løse feilsituasjonen. Nkom legger dette til grunn i det følgende. Det kan derfor ikke utledes av ekomloven 2-10 at det faktum at feilrettingen ble gjort manuelt i databasen i seg selv var i strid med kravet til «forsvarlig sikkerhet». Nkom har ikke identifisert entydig markeds- eller «beste praksis» som spesifikt beskriver prosedyrer for manuell feilretting i kritiske databaser. Det eksisterer flere rammeverk for sikkerhets- og endringsstyring (eksempelvis er ITIL og ISO serien velkjente i bransjen), felles for disse er at de ikke detaljert beskriver den enkelte arbeidsprosedyre. Det gis imidlertid her veiledning for hvordan operasjonelle prosedyrer kan utformes for å redusere sannsynligheten for feilsituasjoner og konsekvensene dersom disse skulle oppstå. For eksempel gir ISO veiledning for operasjonell sikkerhet. 1 NS ISO/IEC 27002:2013 kapittel 12 4

5

6 overtredelse av 2-10 første ledd regelmessig også vil måtte anses som uaktsom dersom det ikke foreligger særlige subjektive forhold på tilbyders side. Telenor har vist til at det ikke er gitt spesifikke retningslinjer eller praksis fra myndigheten som ga Telenor grunn til å forstå at måten feilretting ble utført på skulle være i strid med kravet til «forsvarlig sikkerhet». Spørsmålet i det følgende er da om fraværet av spesifikk veiledning eller tidligere forvaltningspraksis gjør at overtredelsen av 2-10 første ledd likevel ikke er å anse som uaktsom. Detaljerte retningslinjer og veiledning har blitt gitt i tilfeller der det er identifisert nye sårbarheter, og hvor det er behov for å etablere en ensartet praksis i bransjen. Det foreligger imidlertid ikke retningslinjer fra Nkom om hvordan manuelt feilrettingsarbeid skal gjennomføres systemer. Det finnes en rekke områder, som her, der overholdelse av forsvarlighetskravet må vurderes basert på hvordan risiko har vært håndtert av virksomheten. Nkom har ikke sett det som naturlig å gi ytterligere veiledning om risikoreduserende tiltak ved manuelt arbeid i kritiske databaser, siden metodikk og tiltak kan avledes fra eksisterende rammeverk og standarder for endrings- og sikkerhetsstyring. Videre påligger det Telenor selv, som pliktsubjektet etter ekomloven 2-10, et ansvar til å aktivt søke veiledning dersom forpliktelsene skulle fremstå som uklare Av samme grunner anser ikke Nkom at fravær av spesifikk veiledning eller forvaltningspraksis er avgjørende for Telenors ansvarsgrunnlag i denne saken. Gitt skadepotensialet ved feil i abonnementsdatabasen, vurderer Nkom at Telenor har avveket fra alminnelig forsvarlig opptreden ved å ha gjennomført manuelt feilrettingsarbeid i abonnementsdatabasen uten tilstrekkelige kontroll- og verifikasjonsmekanismer. Det er Nkoms konklusjon at dette har medført en overtredelse av Telenors plikt til å tilby nett og tjeneste «med forsvarlig sikkerhet for brukerne», jf. ekomloven 2-10 første ledd, og at denne overtredelsen var uaktsom. Behov for å ilegge overtredelsesgebyr Ekomloven fastsetter at myndigheten, her Nkom, «kan» ilegge overtredelsesgebyr for overtredelse av visse bestemmelser i ekomloven, herunder I vurderingen av om overtredelsesgebyr skal ilegges legger Nkom vekt på hvilken betydning plikten som er overtrådt har, hvilken skade bruddet har ført til, hvor prinsipielt viktig det er å sikre at kravet oppfylles og hvor grovt bruddet er. Nkom anser at overtredelsesgebyr særlig bør tas i bruk ved grove pliktbrudd som har ført til økonomisk gevinst eller har medført fare for liv, helse og sikkerhet. Ved overtredelser av plikter innenfor sikkerhet og beredskapsområdet er det også av betydning for vurderingen hvorvidt tilbyder har sterk kommersiell egeninteresse av å iverksette tilstrekkelige tiltak for å unngå at tilsvarende overtredelser skjer i fremtiden. Der overtredelsen 6

7 kan medføre fare for liv, helse og samfunnssikkerhet vil dette momentet imidlertid ha begrenset vekt. Plikten til å opprettholde forsvarlig sikkerhet for brukerne etter ekomloven 2-10 første ledd er en sentral plikt, som skal ivareta blant annet brukernes behov for pålitelige tjenester i et samfunn som blir stadig mer avhengig av elektronisk kommunikasjon. Skadepotensialet ved Telenors overtredelse, som materialiserte seg den 30. oktober 2014, illustrerer dette. Utfallet rammet direkte om lag tre millioner mobilabonnenter. Trafikken fra mobiltelefoner utgjør i underkant av 80 prosent av den totale genererte taletrafikken i fast- og mobilnettene i Norge. Telenors markedsandel på ordinære mobilabonnement er om lag 50 prosent. Videre er om lag halvparten av all generert datatrafikk i mobilnettet knyttet til ordinære mobilabonnement. Telenors markedsandel på særskilte abonnement for mobilt bredbånd er også på om lag 50 prosent. I tillegg er Telenors markedsandel på maskin-til-maskin-kommunikasjon på om lag 90 prosent, målt i antall SIM-kort. Utfallet utgjorde derfor et betydelig utslag på tilgjengeligheten til elektroniske kommunikasjonstjenester i Norge i perioden det varte. Nkom har ikke opplysninger som tilsier at utfallet fikk direkte konsekvenser for liv og helse, dette legges heller ikke til grunn i det følgende. Imidlertid medførte kombinasjonen av at den aktuelle feilrettingsoperasjonen ble gjennomført i snitt to til tre ganger per måned og den potensielt høye tjenestekonsekvensen ved feil at overtredelsen hadde et klart potensial for å kunne medføre fare for liv og helse samt samfunnssikkerhet for øvrig. Dette taler isolert sett for at det ilegges overtredelsesgebyr. Det er utvilsomt i Telenors interesse å unngå liknende hendelser som kan forårsake omfattende utfall av tjenester, noe Telenor også har vist gjennom raskt å implementere risikoreduserende tiltak. Gjennom tilsyn i 2014 og 2015 har Telenor også vist at rammeverk for risikostyring er implementert på en systematisk måte i organisasjonen. Nkom vurderer at risikostyringen på overordnet nivå er godt ivaretatt hos Telenor. Utfallet den 30. oktober 2014 og de utilstrekkelige risikoreduserende tiltak som ble åpenbart som følge av dette, har likevel vist at håndteringen av risiko på lavere og operasjonelt nivå har hatt svakheter. Det er videre en generell trend i bransjen at tilbyderne i større og større grad blir prisgitt kompetansen og kapasiteten hos sine leverandører. Dette har sammenheng med at de større ekomnettene er sammensatt av en omfattende utstyrsportefølje, hvor samvirket mellom de ulike komponentene også er svært kompleks. Ekomtjenester blir også i større grad avhengig av sentraliserte funksjoner. Dette er trolig den mest kosteffektive måten å produsere tjenestene på og man har mulighet til å bygge mye robusthet inn i løsningene. Samtidig kan hendelser som har relativt lav sannsynlighet få svært store konsekvenser. Den gjeldende saken viser et tilfelle 7

8 hvor risikoen i en isolert sett mindre manuell feilrettingsoperasjon som del av en større arbeidsprosess av denne grunn ble undervurdert. Sett i sammenheng med brukernes økende avhengighet av ekomtjenester anser ikke Nkom at de kommersielle insentiver Telenor, og bransjen som helhet, har til å iverksette nødvendige risikoreduserende tiltak fullt ut er tilstrekkelige for å møte de nevnte utfordringene. Overtredelsesgebyr som sanksjon ved brudd på kravet til forsvarlig sikkerhet kan dermed være nødvendig også for å forebygge at «gapet» mellom kommersielle insentiver og brukernes behov for tjenester med forsvarlig sikkerhet blir for stort. Nkom anser at også slike hensyn gjør seg gjeldende i dette tilfellet. Samlet sett anser Nkom derfor at det er behov for å reagere med overtredelsesgebyr i denne saken. Utmåling Det følger av ekomloven andre ledd og ekomforskriften 10-3a at det ved utmåling av overtredelsesgebyrets størrelse skal legges særlig vekt på overtredelsens grovhet, varighet, utvist skyld og foretakets omsetning. I henhold til ekomforskriften 10-3a andre ledd nummer 1 til 5 skal det ved vurderingen av overtredelsens grovhet særlig tas hensyn til overtredelsens art, foretakets gevinst, dens faktiske innvirkning på markedet, størrelsen på det berørte markedet og om overtrederen har hatt en ledende eller passiv rolle i overtredelsen. I forskriften 10-3a tredje ledd nummer 1 til 4 fremgår andre momenter som kan påvirke utmålingen av gebyret. Listen er ikke uttømmende. Hva gjelder «overtredelsens art», er det her tale om uaktsomhet ved manglende risikoreduserende tiltak ved arbeid i Telenors mobilnett. Det vises til overstående drøftinger om skadepotensialet, og at konsekvensene kunne vært unngått dersom risikovurderingen knyttet til det spesifikke feilrettingsarbeidet var gjennomført på en forsvarlig måte, og kompenserende tiltak var blitt fattet på bakgrunn av denne. De utilstrekkelige risikoreduserende tiltakene isolert sett og det påfølgende utfallet den 30. oktober 2014 har ikke gitt noen gevinst for Telenor, sannsynligvis heller det motsatte. I relasjon til risikostyring er det imidlertid ikke den umiddelbare gevinst eller tap som er styrende, men «alternativkostnaden» det vil ha å opprettholde forsvarlig sikkerhet på området. De enkelte tiltak kan, slik som tilfellet her, hver for seg ha relativt lav kostnad. Vurderingen må imidlertid også inkludere kostnaden ved å ha på plass et risikostyringssystem som er tilstrekkelig robust til å fange opp slike risikomoment og identifisere forsvarlige tiltak. Dette tilsier at overtredelsesgebyret må være av en betydelig størrelse for å ha nødvendig effekt. 8

9 Nkom legger til grunn at overtredelsen driftsperioden med utilstrekkelige risikoreduserende tiltak har vært pågående siden prosedyrene for feilretting ble etablert i forkant av 4Glanseringen til Telenor sommeren Overtredelsesgebyret gis på bakgrunn av uaktsomhet, det er ikke identifisert forhold som kan tyde på forsett eller som gir grunnlag for å karakterisere overtredelsen av 2-10 som grov. Overtredelsesgebyret kan settes inntil fem prosent av foretakets omsetning. Foretakets omsetning er i følge ekomforskriften 10-3a foretakets samlede salgsinntekter for siste regnskapsår. I følge opplysninger innhentet av Nkom fra Brønnøysundregistrene hadde Telenor Norge AS en salgsinntekt på kroner i Telenors bistand til å belyse denne saken i ettertid av utfallet ved Nkoms oppfølging, og det at Telenor på egen hånd har foreslått tiltak for å unngå at lignende feil gjentar seg, vektlegges i formildende retning. Etter en samlet vurdering av de ovennevnte momenter ilegges Telenor Norge AS, organisasjonsnummer , et overtredelsesgebyr på kroner for overtredelse av ekomloven 2-10 første ledd, jf første ledd. Vedtaket kan påklages etter reglene i forvaltningsloven kapittel VI. En eventuell klage stiles til Samferdselsdepartementet og sendes til Nasjonal kommunikasjonsmyndighet, jf. forvaltningsloven 28 og 32. Klagefristen er tre uker regnet fra det tidspunkt parten får underretning om vedtaket, jf. forvaltningsloven 29. Nkom gjør oppmerksom på at inngivelse av en eventuell klage ikke medfører at forpliktelsen til å betale overtredelsesgebyret utsettes. Det er Samferdselsdepartementet som kan ta stilling til hvorvidt vedtaket ikke skal iverksettes før en eventuell klage er behandlet, jf. ekomloven 11-6 fjerde ledd. Med hilsen Elisabeth Aarsæther fungerende direktør Einar Lunde avdelingsdirektør 9