Vedtak om overtredelsesgebyr

W Network Norway AS Postboks 6258 Etterstad 0603 OSLO Vår ref.: 1404847-10 - 459 Vår dato: 2.2.2015 Deres ref.: Deres dato: Saksbehandler: Jarle Langeland Vedtak om overtredelsesgebyr Nasjonal kommunikasjonsmyndighet (Nkom) viser til varsel om vedtak av 7.11.2014, der daværende Post- og teletilsynet varslet Network Norway AS (Network Norway) om at det ble vurdert vedtak om overtredelsesgebyr på bakgrunn av for sen/manglende varsling ved utfall av mobiltjenester 28.-29.9.2014. Videre vises til Network Norways kommentarer til varselet av 21.11.2014, samt oversendte logger 15.12.2014. Det vises også til hendelsesrapport av 16.10.2014. Utfallet, som oppstod som følge av feil i det sentrale IP-nettet, medførte at nær samtlige av sluttbrukerne fikk problemer med å benytte tjenestene. For Network Norways sluttbrukere var nær samtlige tjenester utilgjengelige fra 28.9.2014 ca. kl. 19:12 til kl. 22:55, enkelte tjenester var ute frem til 29.9. kl. 04:35. Det er Nkoms vurdering at hendelsen 28.-29.9.2014 innebar vesentlig reduksjon av tilgjengeligheten til elektroniske kommunikasjonstjenester, og at Network Norways varslingsplikt etter forskrift 16. februar 2004 nr. 401om elektronisk kommunikasjonsnett og elektronisk kommunikasjonstjeneste (ekomforskriften) 8-5 dermed var aktualisert. Nkom ble kjent med hendelsen gjennom media, og etterlyste varsling den 28.9.2014 kl. 21.40. Nkom mottok første varsel kl. 21.51 samme dato. Det er Nkoms vurdering at varsling i dette tilfellet ble iverksatt for sent, og at Network Norway dermed har overtrådt varslingsplikten etter ekomforskriften 8-5. Det er videre Nkoms vurdering at overtredelsen fant sted på grunn av uaktsomhet fra Network Norways side, ved blant annet at Network Norway ikke fulgte eget beredskapsplanverk på området. På dette grunnlag ilegges Network Norway overtredelsesgebyr etter lov 4. juli 2003 nr. 83 om elektronisk kommunikasjon (ekomloven) 10-13. Nasjonal kommunikasjonsmyndighet Besøksadresse: Nygård 1, Lillesand Postadresse: Postboks 93 4791 LILLESAND Tel: 22 82 46 00 Fax: 22 82 46 40 firmapost@nkom.no NO 974 446 871 www.nkom.no

Hendelse 28. - 29.9.2014 forløp og konsekvenser Network Norway viser i sin rapport av 16.10 til at hendelsen oppstod som følge av hardwarefeil på en sentral svitsj i IP-nettet, og at redundans ikke ble aktivert inn siden kun deler av funksjonaliteten feilet. Feilen førte til en loop i denne delen av IP-nettet, som genererte så mye trafikk at øvrige svitsjer og rutere fikk problemer. Dette påvirket igjen Tele2s og Network Norways mobiltjenester, slik at brukerne opplevde problemer med tale-, data og SMS-tjenester. Utfallet medførte også at den interne VPN-løsningen ikke fungerte, noe som «vanskeliggjorde og forsinket feilretting». Feilen oppstod kl. 19:12 den 28.9.2014. Fra dette tidspunktet og frem til 22:55 samme dato, fungerte ikke utgående tale for Network Norways brukere, og det var også problemer med innkommende samtaler. SMS fungerte ikke frem til 29.9.2014 kl. 01:35, mobildata frem til tidsperioden 01:35 til 03:45 og MMS til 04:35. Network Norway har også utdypet informasjonen om hendelsesforløpet i e-post med medfølgende logg av 15.12.2014. Av denne fremgår det at nøkkelpersoner i virksomheten var klar over at problemene var alvorlige og gjaldt mobilnettet fra kl. 19:50, ref. loggpunkt fra dette tidspunktet. Av samme loggpunkt fremgår det at operasjonssenteret (DNOC) er informert. Mottatte varslinger i forbindelse med hendelsen Nkom ble kjent med hendelsen gjennom media, og etterlyste varsling den 28.9.2014 kl. 21:40. Nkom mottok første varsel kl. 21:51 samme dato, med følgende innhold: Vi har for tiden et større utfall i nettet. Feilen oppstod ca 1915. Feilen er lokalisert til IP-nettet. For OneCall, NwN og Mycall kunder er tjenesten sterkt redusert. Utgående telefoni, mobildata og SMS fungerer ikke. Innkommende samtaler fra Telenor og Netcom kommer gjennom. For Tele2 kunder fungerer tjenestene som normalt for uten de som er i eget nett. De som er i eget nett har problemer med ut og innkommende samtaler. Feilretting pågår på Site. Kunder er oppdatert via nettsider og sosiale media med feilmelding. Neste varsling ble mottatt 29.9. kl. 08:55: Sender oppdatert rapport. Like før midnatt i går kveld kom taletjenester tilbake mens meldinger og mobildata kom tilbake mellom 01-02 i natt. Det er fortsatt noen problemer med tjenesten Mobil bedrift, men dette regner vi løser seg snart. Det betyr at alt fungerer som normalt, men vi følger trafikkutviklingen utover dagen for å se at det ikke oppstår nye problemer når volumet øker. 2

Varsel om vedtak Post- og teletilsynet varslet Network Norway 7.11.2014 om at vedtak om overtredelsesgebyr etter ekomloven 10-13 ble vurdert, som følge av Network Norwayss uaktsomme overtredelse av ekomforskriften 8-5. Det ble signalisert en utmåling av gebyr i størrelsesorden 90 000 kroner. Network Norways kommentarer til varsel om vedtak Network Norway ga kommentarer til varselet i form av felles brev fra Tele2 Norge AS på vegne av «Tele2s norske virksomhet». Network Norway anførte i sine kommentarer at «[d]et er verken faktisk eller rettslig grunnlag for å ilegge overtredelsesbot». Prinsipalt viste Network Norway til at «[o]vertredelsesbot er en tyngende sanksjon med strafferettslig karakter» og at ekomloven stiller strenge krav til hjemmel. Overtredelsesgebyr kan kun ilegges ved brudd på visse typer handlingsnormer som følger direkte av lov, forskrift eller enkeltvedtak. Nkoms varslingsprosedyre, jf. ekomforskriften 8-5, er ikke omfattet av disse normene. Ekomforskriften 8-5 oppstiller etter sin ordlyd ingen tidsfrist, og dette kan heller ikke innfortolkes. Nkom har ikke kompetanse til å sanksjonere eventuell manglende etterlevelse gjennom overtredelsesgebyr. Subsidiært anfører Network Norway at det er uklart hvilke tidsfrister som gjelder, og at Nkom har lagt til grunn feil faktum hva gjelder tidsperiode og Network Norways muligheter til å varsle på et tidligere tidspunkt. Alvoret ble ikke kjent for kriseledelsen før 1-1,5 time etter at hendelsen oppstod, tidsrommet mellom at hendelsen oppstod og Nkom ble varslet er dermed betydelig kortere enn det Nkom har lagt til grunn for sine vurderinger. Nkom fikk muntlig orientering kl. 21.40 og skriftlig varsel kl. 21.51, noe som oppfyller kravet til ubegrunnet opphold i prosedyren. At media og brukerne ble informert på nettet, gjør at virkningene av forsinkelsen må anses mindre. Atter subsidiært anfører Network Norway at overtredelsesgebyr er en uforholdsmessig streng sanksjon i denne konkrete saken, og at overtredelsesgebyr kun bør ilegges der det er nødvendig og hensiktsmessig ut fra formålet. Dette er ikke tilfellet her, blant annet på grunn av at Tele2s norske virksomhet samarbeider med Nkom på området, og selv er i kontinuerlig forbedring. er åpne om hendelsesforløpet, og har forklart Nkom hvilke tiltak som ble iverksatt slik at en tilsvarende situasjon ikke skal oppstå igjen. Ileggelse av overtredelsesgebyr er dermed ikke nødvendig for å sikre etterlevelse av varslingsplikten for Tele2s norske virksomhets vedkommende. Ileggelse av gebyr vil skape dårlig forutsigbarhet og påvirke åpenheten i 3

kommunikasjonen mellom Nkom og tilbyderne negativt. Overtredelsen var kortvarig, og virkningene svært begrenset. Hva gjelder utmåling av overtredelsesgebyr anfører Network Norway at det er tale om et enkeltstående tilfelle, og at sanksjonen således ikke er nødvendig for å hindre gjentagelse. Det bør tas hensyn til at svikten ikke er grovt uaktsom eller forsettlig. Network Norway viser også til at virksomheten har sendt en uforbeholden og detaljert hendelsesrapport til Nkom, med beskrivelse av hendelsesforløp og etterfølgende tiltak. Dette er ikke tatt hensyn til i vurdering av utmåling eller i hensiktsmessighetsvurderingen. Network Norway anfører også at Tele2 og Network Norway er én og samme tilbyder i ekomlovens forstand («Tele2s norske virksomhet»), med teknisk, operativ og kommersiell virksomhet organisert på tvers av selskapene. Det er ikke grunn til å behandle Tele2s norske virksomhet på annen måte enn Telenor ASA, som er pliktsubjekt etter ekomloven selv om den operative virksomheten ligger i andre selskaper. Dette innebærer at tilbyderen Tele2 bøtelegges to ganger for samme forhold. Varslingsplikten Ekomforskriften 8-5 lyder: 8-5.Varsel Tilbyder skal varsle Post- og teletilsynet om hendelser som vesentlig kan redusere eller har redusert tilgjengeligheten til elektroniske kommunikasjonstjenester. Post- og teletilsynet kan fastsette nærmere prosedyrer for varsling. Ekomforskriften 8-5 er fastsatt med hjemmel i ekomloven 2-10. Prosedyrer for varsling er tilgjengelige på Nkoms nettsider. Prosedyrene ble også gjennomgått på SBEN-forum 11.9.2014, der representanter fra Tele2, som har samme beredskapsorganisasjon som Network Norway, deltok. Denne presentasjonen ble oversendt Tele2 den 16.11.2014. Nkom er enig med Network Norway i at prosedyrer etter annet ledd bør fastsettes med enkeltvedtaks/forskrifts form for, i seg selv, å kunne hjemle overtredelsesgebyr. Etter Nkoms syn innebærer prosedyrene imidlertid ikke annet enn presiseringer av, og praktiske opplysninger om, hvordan varslingsplikten etter ekomforskriften 8-5 første ledd skal gjennomføres. 4

Ordlyden i ekomforskriften 8-5 første ledd inneholder ingen konkret, fast tidsfrist. For at plikten skal ha noen realitet, må varslene imidlertid komme Nkom i hende slik at det er mulig å agere på bakgrunn av dem. Bestemmelsens formål, å sørge for at myndigheten er informert om potensielle eller aktuelle vesentlige reduksjoner i nettene, tilsier også at slike varsler må gis kort tid etter at tilbyder er blitt kjent med hendelsene og at (potensielle) konsekvenser er vesentlige. Ekomforskriften 8-5 inneholder dermed, riktig tolket, et krav om at varsling må finne sted uten ugrunnet opphold. Legalitetsprinsippet er ikke til hinder for at en bestemmelse tolkes i tråd med sitt formål, eller at overtredelse sanksjoneres på bakgrunn av dette. Videre anser Nkom at vurderingen av om det er varslet i tide må tas på bakgrunn av når tilbyder som sådan blir kjent med hendelsen og vurderer at denne kan ha eller har som konsekvens vesentlig redusert tjenestetilgjengelighet. Når kriseledelsen som sådan blir kjent med omstendighetene er således ikke avgjørende. Nkoms vurdering av tidsforløpet Som nevnt ovenfor viser den oversendte loggen at nøkkelpersoner i tilbyders organisasjon og operasjonssenteret var klar over at hendelsen vesentlig hadde påvirket tjenestekvaliteten den 28.9.2014 fra kl. 19:50. Fra dette tidspunkt, og frem til Nkoms representant selv tok kontakt for å forhøre seg om situasjonen kl. 21:40, var det gått nær to timer. Første varsel gjennom ordinær varslingskanal kom da raskt, kl. 21:51. Nkom anser det som sannsynlig at varslingen var foranlediget av telefonsamtalen fra Nkom, ref. hendelsesrapportens beskrivelser av varsling. Nkom anser imidlertid ikke at saksforholdet er godt nok opplyst til å kunne anta at varsling på et senere tidspunkt ikke ville skjedd uten at Nkom tok kontakt. Nkom legger derfor til grunn at det tok to timer fra varslingsplikten var aktualisert til varsling faktisk ble utført. Det er rom for en viss periode til å områ seg før varsling iverksettes, ved svært alvorlige hendelser vil en varsling imidlertid måtte gis meget raskt. Etter ekomloven 2-10 første ledd plikter tilbyder å tilby nett og tjeneste med «forsvarlig sikkerhet for brukerne i fred, krise og krig» og å «opprettholde nødvendig beredskap». I dette ligger også en plikt til å ha tilstrekkelig personell tilgjengelig til å både kunne foreta feilretting/koordinering og å ivareta beredskapsplikter som varsling. Dersom eksisterende beredskapsplaner, sml. ekomforskriften 8-2, ikke inneholder rutiner for varsling, må tilbyder ivareta tidsmessig varsling på annen måte. For en stor tilbyder som Network Norway anser dermed Nkom at det må foreligge særlige omstendigheter dersom en varslingstid på over en halvtime for en hendelse av denne type ikke skal utgjøre overtredelse av varslingsplikten. Det er dermed Nkoms vurdering at Network Norway ikke oppfylte sin varslingsplikt etter ekomforskriften 8-5 i dette tilfellet. 5

Tilbyderbegrepet Nkom har varslet overtredelsesgebyr overfor Tele2 Norge AS og Network Norway AS («selskapene») for deres respektive manglende varslinger av utfallshendelse med samme rotårsak. Selskapene har anført at de er én og samme tilbyder i ekomlovens forstand, og følgelig at tilbyder blir ilagt gebyr to ganger for samme overtredelse. En tilbyder er etter ekomloven 1-5 (16) «enhver fysisk eller juridisk person som tilbyr andre tilgang til elektronisk kommunikasjonsnett eller -tjeneste». Ordlyden omtaler tilbyder som «juridisk person» i entall, noe som isolert trekker i retning av at flere juridiske personer ikke kan være én og samme tilbyder. Dette er imidlertid ikke i seg selv avgjørende, det må foretas en bredere vurdering. Lovens formål, jf. ekomloven 1-1, er å sikre brukerne «gode, rimelige og fremtidsrettede elektroniske kommunikasjonstjenester, gjennom effektiv bruk av samfunnets ressurser ved å legge til rette for bærekraftig konkurranse, samt stimulere til næringsutvikling og innovasjon». I dette ligger det at loven ikke bør legge unødige føringer for hvordan tilbyderbransjen organiserer seg, herunder for valg av selskapsstruktur. På den annen side tilsier hensynet til effektiv håndhevelse av ekomreguleringen at den valgte selskapsstrukturen ikke kan være ubetinget avgjørende for hvem som er pliktsubjekt etter loven. Som selskapene påpeker er store deler av tilbydervirksomheten i selskapene integrert på tvers av selskapene. Integrasjonen er imidlertid ikke fullstendig. På teknisk side illustreres dette ved at feilen som oppstod den 28.9.2014 påvirket Tele2s og Network Norways brukere på ulike måter avhengig av hvilket selskap de var sluttkunder i, med ulik varighet, og ulik konsekvens for tilgjengeligheten til tjenestene. Det ligger også i dette at selskapene har adskilte sluttbrukermasser, man er enten sluttbruker med kundeforhold i det ene eller det andre selskapet. Selskapene er begge registrert som tilbyder av offentlig ekomnett og telefontjeneste hos Nkom, jf. ekomloven 1-2. Selskapene rapporterer også uavhengig av hverandre i Nkoms innsamling av markedsstatistikk. Dette kan dels skyldes tekniske forhold rundt registrerings- og rapporteringsløsninger, og har således begrenset vekt i vurderingen. Likevel illustrerer dette at selskapene i regulatorisk sammenheng i dag behandles som to ulike tilbydere. Dersom selskapene anses som to ulike tilbydere, vil dette legge få eller ingen begrensninger på driften og deres muligheter til selv å velge selskapsstruktur og organisering. Selskapene vil stå fritt til å integrere organisasjonen på tvers, men hvert selskap vil være ansvarlig for at pliktene blir oppfylt. Det vil være fullt mulig å opprettholde dagens felles beredskaps- og 6

kriseorganisasjon, hvert selskap vil imidlertid være selvstendig ansvarlig for at denne er i henhold til lovens krav. Etter dette anser Nkom at Tele2 Norge AS og Network Norway AS begge er å anse som tilbydere etter ekomloven 1-5 (16), og følgelig at de hver har et selvstendig ansvar for å følge kravene i ekomlov- og forskrift. Overtredelsesgebyr Grunnlag Utover vilkåret om overtredelse forutsetter ileggelse av overtredelsesgebyr etter ekomloven 10-13 at det foreligger subjektiv skyld. For at skyldkravet i ekomloven 10-13 skal være oppfylt er det tilstrekkelig at det foreligger uaktsomhet, at handlingen avviker fra hva som er alminnelig forsvarlig opptreden på området. Normen for hva som utgjør forsvarlig opptreden er objektiv. Det kreves klar sannsynlighetsovervekt for at skyldkravet skal være oppfylt. Nkom har ved flere anledninger og i flere fora informert om varslingsplikten i ekomforskriften 8-5, ref. ovenfor. Iflg. Network Norways hendelsesrapport skyldes manglende varsling at funksjonen «medieansvarlig» som hadde varsling som en av sine oppgaver ikke var besatt under hendelsen. Network Norway opplyser at det ikke var definert noen stedfortreder for funksjonen. Nkom anser at den manglende varslingen viser at Network Norway ikke hadde tilstrekkelige rutiner og planer for slike hendelser, og at eksisterende planer ikke ble fulgt opp. Etter Nkoms syn utgjør dette et avvik fra alminnelig forsvarlig opptreden. Behovet for å ilegge overtredelsesgebyr Nkom anser at varslingsplikten etter ekomloven 8-5 er en sentral plikt, blant annet for å sikre samfunnets og myndighetenes mulighet til å reagere adekvat på vesentlige endringer i tilgjengeligheten for elektroniske kommunikasjonstjenester. Plikten er særlig viktig for netteierne, da utfall hos disse vil kunne få konsekvenser også for virtuelle netttilbydere og tjenestetilbydere i deres nett. Viktigheten av varsling, og de mulighetene det gir for koordinering og videre varsling til myndighetsorganer med beredskapsansvar for andre sektorer, er også økende etter hvert som samfunnet blir mer avhengig av elektroniske kommunikasjonstjenester. Videre vil pliktsubjektene kunne ha insentiver til å unnlate varsling dersom plikten ikke blir aktivt fulgt opp, 7

da varslinger vil kunne bidra til å åpenbare svakheter og manglende preventive tiltak i egen virksomhet. Dette tilsier at brudd på varslingsplikten må håndheves strengt og konsekvent. I denne saken legger Nkom også vekt på at plikten, og Nkoms prosedyrer for varsling, var gjort kjent for Network Norway ved flere anledninger. Varslingsrutinene blant annet inngående presentert på SBEN-forum 11.9.2014, der representant for Tele2s og Network Norways felles sikkerhetsorganisasjon deltok. Presentasjonen ble også oversendt representanten i etterkant av dette møtet. Blant annet av denne grunn anser Nkom at Network Norway har hatt god anledning til å innføre de nødvendige rutiner i egen organisasjon, og sørge for at disse blir implementert. Den sene varslingen i dette tilfellet viser at så ikke var gjort i tilstrekkelig grad. Nkom finner derfor at det er nødvendig å ilegge overtredelsesgebyr i dette tilfellet. Gebyrets størrelse I følge ekomloven 10-13 annet ledd og ekomforskriften 10-3a skal overtredelsesgebyrets størrelse fastsettes etter en helhetsvurdering hvor overtredelsens grovhet, varighet, utvist skyld og foretakets omsetning skal tas i betraktning. Det skal også tas særlig hensyn til overtredelsens art, foretakets gevinst, innvirkning på markedet og om overtrederen har hatt en ledende eller passiv rolle i overtredelsen. Momenter som kan påvirke utmålingen er også om avtaler eller tiltak er gjennomført, om foretaket på ulike måter kunne ha forebygget hendelsen, økonomien til konsernet foretaket er en del av og om foretaket har bistått myndigheten i forbindelse med utredning av overtredelsen. Overtredelsesgebyret kan settes inntil 5 prosent av foretakets omsetning. I følge regnskapsopplysninger innhentet av Nkom fra Brønnøysundregistrene hadde Network Norway AS driftsinntekter på 2 024 794 000 kroner i 2013. I saken dreier det seg om overtredelse av en viktig plikt, men der overtredelsen i dette tilfellet ikke medførte større konsekvenser. Varigheten av overtredelsen var kort, men den aktuelle plikten er av en slik art at tidsmomentet spiller stor rolle. Overtredelsen kunne lett ha vært forebygget, og gjennomføring av pliktig varsling er lite byrdefullt. Nkom har fått tilbakemeldinger fra Network Norway om at det er gjennomført korrigerende tiltak i etterkant av hendelsen, og varsling har fungert tilfredsstillende siden. Network Norway har også levert utfyllende hendelsesrapport og oversendt logger, noe som har gjort oppfølging av hendelsen mindre ressurskrevende for Nkom. Det dreier seg imidlertid om dokumentasjon som Network Norway på forespørsel hadde vært pliktig til å levere etter ekomloven 10-3. Nkom finner derfor å legge en viss vekt på Network Norways bistand i utmålingen. 8

Vedtak For overtredelse av ekomforskriften 8-5 jf. ekomloven 2-10 ilegges Network Norway AS et overtredelsesgebyr på kroner 90 000, jf. ekomloven 10-13. Betaling Overtredelsesgebyret forfaller til betaling to måneder etter vedtaksdato og er tvangsgrunnlag for utlegg, jf. ekomloven 10-13 tredje ledd. Faktura oversendes i separat brev. Klageadgang Vedtaket kan påklages etter reglene i forvaltningsloven kapittel VI. En eventuell klage stiles til Samferdselsdepartementet og sendes til Nasjonal kommunikasjonsmyndighet, jf. forvaltningsloven 28 og 32. Klagefristen er tre uker regnet fra det tidspunkt parten får underretning om vedtaket, jf. forvaltningsloven 29. Nkom gjør oppmerksom på at inngivelse av en eventuell klage ikke medfører at forpliktelsen til å betale overtredelsesgebyret utsettes. Det er Samferdselsdepartementet som kan ta stilling til hvorvidt vedtaket ikke skal iverksettes før klagen er avgjort, jf. ekomloven 11-6 fjerde ledd, jf. forvaltningsloven 42. Med hilsen Torstein Olsen direktør Einar Lunde avdelingsdirektør Nasjonal kommunikasjonsmyndighet (Nkom) het tidligere Post- og teletilsynet 9