Høring Samhandling for sikkerhet beskyttelse av grunnleggende samfunnsfunksjoner (NOU 2016:19)

2017-01-20 1 (7) Forsvarsdepartementet Postboks 8126 Dep 0030 Oslo Innsendt elektronisk via departementenes hjemmesider Deres ref: 2015/3139-7/FD V 3/MAY Høring Samhandling for sikkerhet beskyttelse av grunnleggende samfunnsfunksjoner (NOU 2016:19) Telia Norge AS (Telia) viser til Forsvarsdepartementets høringsbrev 17. oktober 2016 vedrørende NOU 2016:19 Samhandling for sikkerhet beskyttelse av grunnleggende samfunnsfunksjoner. Frist for innspill er satt til 20. januar 2017. Dette høringssvaret gjøres på vegne av hele Telias norske virksomhet, som omfatter merkevarene Telia, Chess, One Call og MyCall. Telia eier og driver et landsdekkende mobilnett i Norge. Med en markedsandel på i overkant av 40 % er vi Norges nest største tilbyder av mobiltjenester. Som en del av Telia er vi også Nordens største mobiloperatør. Forsvarsdepartementet har fremmet forslag om en ny sikkerhetslov. Selv om forslaget for en stor del viderefører det eksisterende rammeverket, innebærer det også viktige endringer. Blant annet vil utvidelsen av virkeområdet føre til at en større del av Telias virksomhet underlegges reguleringen. Vi vil i dette høringssvaret kommentere de mest sentrale endringene i lovforslaget. 1. Telia er positiv til å forbedre sikkerheten gjennom økt samhandling Telia er enig i utvalgets beskrivelse av de sikkerhetsutfordringene både aktører og myndigheter står overfor i dagens samfunn. Som det fremgår på side 18 har en økende grad av digitalisering resultert i økte gjensidige avhengigheter på tvers av tradisjonelle skillelinjer mellom samfunnssektorer, mellom privat og offentlig virksomhet, og mellom sivile samfunnssektorer og landets militære forsvar og forsvarssektoren for øvrig. Utviklingen til et nettverksbasert samfunn er i det store og hele positiv. Det åpner for å løse store utfordringer på en fleksibel og ressurseffektiv måte. Samtidig har digitaliseringen skapt nye sårbarheter. Dette er særlig tydelig i ekomsektoren. Elektronisk kommunikasjon (ekom) har i løpet av de siste 10 årene blitt en sentral innsatsfaktor i nær sagt all vare- og tjenesteproduksjon i Norge. Stabile mobil- og bredbåndstjenester er ikke lenger bare viktige for at borgerne skal kunne kommunisere seg i mellom. Helsevesen, finansinstitusjoner, stat, kommune, nødetater og andre samfunnskritiske funksjoner er alle avhengig av at infrastrukturen fungerer. Sabotasje, terror og andre tilsiktede handlinger mot kritiske deler av denne infrastrukturen kan dermed få enorme, negative følger for samfunnet. Company information Telia Norge AS Postboks 4444 Nydalen NO-0403 Oslo, Business ID: 981 929 055

2017-01-20 2 (7) Dagens ekomtjenester er kvalitativt bedre, sikrere og mer robuste enn de noen gang har vært. Enkelthendelser de siste årene har likevel med all tydelighet vist hvor sårbart deler av samfunnet har blitt når de kommersielle nettene faller ut. Manglende samhandling mellom myndigheter og mellom myndigheter og bransje i etterkant av slike hendelser har forsterket de negative konsekvensene. Telia anerkjenner denne utfordringen. I likhet med utvalget mener vi at det er behov for å innføre en ny lov som tar høyde for både "gamle og nye utfordringer" (side 18). Vi mener det fremlagte forslaget oppfyller dette behovet på en god og balansert måte. Slik Telia ser det ivaretar utkastet både hensynet til den enkelte sektors særegenheter og behovet for en sektorovergripende styring av det nasjonale sikkerhetsarbeidet. Videre stiller vi oss positive til lovens funksjonelle innretning, målet om sektortilpasninger, skjerpede krav til samhandling mellom offentlige organer samt nye rettsikkerhetsgarantier i form av et uavhengig klageorgan. Utvalget peker på at kravene må basere seg på en avveiing mellom samfunnsøkonomisk og bedriftsøkonomisk lønnsomhet. Dette er en utfordring Telia kjenner seg igjen i. Sikkerhet har en kostnadsside som det ikke er mulig å komme utenom. Lovgivningen legger opp til at de utgiftene kravene utløser dekkes av den regulerte aktøren i sin helhet. Telia, Telenor, Broadnet og andre tilbydere risikerer dermed å ta regningen alene for svært dyre tiltak som kun ivaretar behov for økt samfunnssikkerhet. Det krever betydelig investeringer å bygge og videreutvikle de elektroniske kommunikasjonsnettene den digitale økonomien hviler på. Velmente sikkerhetstiltak vil i ytterste konsekvens gjøre det ulønnsomt å opprettholde eksisterende tjenester og/eller tilby nye. Telia er særlig bekymret for symboltiltak som forhindrer selskapet i å kjøpe det beste utstyret fra de mest konkurransedyktige leverandørene, fysiske sikkerhetskrav som i praksis pålegger oss å flytte kritisk utstyr og krav til personell som gjør at vi ikke er i stand til å vedlikeholde dagens mobilnett. Lite er vunnet dersom den nye sikkerhetsloven hindrer utviklingen av gode, rimelige og fremtidsrettede elektroniske kommunikasjonstjenester i Norge. Det må være en helt grunnleggende premiss for den nye sikkerhetsloven at de kostnadene eventuelle tiltak utløser står i et rimelig forhold til de nyttevirkningene som faktisk oppnås ved tiltaket. Sikkerhet er ikke bare viktig for at våre privat- og bedriftskunder skal kunne kommunisere i fred, krise og krig. Trygge og stabile tjenester er en forutsetning for hele den tilliten Telia er avhengig av i markedet i kraft av å være en av Norges største ekomaktører. Samfunnsutviklingen forsterker behovet for en mer helhetlig tilnærming til arbeidet med forebyggende, nasjonal sikkerhet. Telia vil ta konsekvensen av dette i alle ledd i tiden fremover. På disse premissene ønsker vi forslaget til ny sikkerhetslov velkommen. 2. Utvidelse av lovens virkeområde - funksjonstilnærming Utvalget anbefaler at forebyggende nasjonal sikkerhet fortsatt reguleres i én lov som gjelder på tvers av sektorer og andre skillelinjer. Samtidig legger NOU 2016:19 opp til at lovens virkeområde i 1-2 utvides. Kravene skal innrettes slik at enhver virksomhet, offentlig eller privat, som har råderett over informasjon, informasjonssystemer, objekter eller infrastruktur, eller som driver aktivitet, som er av kritisk betydning for grunnleggende nasjonale funksjoner, omfattes av reguleringen (side 18 19). Den nærmere avgrensningen av hva som vil utgjøre grunnleggende nasjonale funksjoner skal samtidig avgjøres konkret.

2017-01-20 3 (7) Telia støtter utvidelse av lovens virkeområde. Vi mener en funksjonell tilnærming tilpasset den enkelte samfunnssektor vil gi bedre sikkerhet sett fra samfunnets ståsted. Dessuten innebærer dette en mer rasjonell fordeling av byrder og kostnader ved at ansvaret for å gjennomføre tiltakene pålegges den aktøren som er best plassert til å begrense risikoen for uønskede handlinger - uavhengig av eierskap eller organisasjonsform. Som utvalget selv fremhever er en slik funksjonstilnærming også i tråd med den øvrige metodikken i arbeidet med samfunnssikkerhet og beredskap. 3. Det primære tilsynsansvaret bør ligge hos sektormyndighetene Utvalget legger i forslaget opp til at sektormyndighetene får det primære ansvaret for å følge opp de lovpålagte kravene (ny 3-1). Det sektorovergripende ansvaret skal fortsatt ligge hos Nasjonal sikkerhetsmyndighet. Telia mener dette er den beste tilnærmingen fra samfunnets ståsted. Nasjonal kommunikasjonsmyndighet (Nkom) har i lengre tid hatt en sentral rolle i sikkerhetsarbeidet på ekomområdet. Vi oppfatter at samarbeidet mellom denne sektormyndigheten og de regulerte aktørene har fungert bra. Utvalget legger både opp til at denne modellen kan videreføres og til at den forbedres ved at Nkom blir det primære kontaktpunktet for all sikkerhetsregulering. Det er en styrke. Det er det enkelte fagdepartement og tilsyn som kjenner sin sektor best. De har dermed også de beste forutsetningene for å kunne identifisere kritiske funksjoner og pålegge tiltak som reduserer risikoen på det aktuelle samfunnsområdet. Dette er særlig viktig på et såpass komplisert område som ekom. Myndighetene må her ta høyde for både den raske, tekniske utviklingen, de operasjonelle utfordringene samt det faktum at utviklingen drives av de private aktørenes vilje og evne til løpende å gjøre store investeringer i nett og tjenester. 4. Forskriftskrav må fastsettes av sektormyndigheten i samarbeid med bransjen Forslaget til ny sikkerhetslov fastsetter i kapittel 4 til 10 en rekke overordnede prinsipper for alt fra informasjonssikkerhet til eierskapskontroll. NOU 2016:19 gir samtidig lite veiledning med tanke på hvilke konkrete tiltak den enkelte virksomheten må utføre for å etterleve regelverket. I stedet legger utvalget gjennomgående opp til at detaljreguleringen trekkes opp gjennom forskrift. Det er dermed ikke mulig å vurdere hvilke praktiske konsekvenser krav til f.eks. beskyttelse av skjermingsverdige informasjonssystemer ( 6-2) og beskyttelse av objekter ( 7-3) vil få for Telias virksomhet. Forslaget beskriver heller ikke hvordan de aktuelle forskriftene vil bli utarbeidet, hvem som får ansvar for dette arbeidet og i hvilken grad bransjen vil bli involvert. Dette er en svakhet. En sentral bærebjelke i den nye sikkerhetsloven er at primæransvaret ligger hos sektormyndighetene. Telia ber på bakgrunn av dette om at fagdepartement (Samferdselsdepartementet) og tilsyn (Nkom) involveres tett i forskriftsarbeidet. Myndighetene bør i denne forbindelse innhente erfaringer og innspill fra de viktigste aktørene i bransjen (Telia, Telenor og Broadnet) før detaljkravene vedtas. Dette er blant annet viktig for å sikre en mest mulig teknologinøytral og effektiv regulering som retter seg mot den reelle sikkerhetstrusselen, ikke de hypotetiske risikoene i andre bransjer. 5. Sikkerhetskrav må reflektere den operasjonelle virkeligheten

2017-01-20 4 (7) Utvalget foreslår i 3-3 et generelt prinsipp om at tilsyn etter loven skal planlegges og gjennomføres på en slik måte at tilsynet virker minst mulig forstyrrende på tilsynsobjektenes daglige drift. Telia mener dette er et sentralt premiss som bør gjennomsyre myndighetens sikkerhetsarbeid. Krav og vilkår må ta høyde for ekomsektorens særegenheter. I motsatt fall vil kravene fort kunne hemme aktørenes operasjonelle drift uten å oppnå noen sikkerhetsmessig gevinst. Telia er, i likhet med Telenor, et internasjonalt selskap. Det er en styrke for vår virksomhet at vi kan hente teknisk kompetanse og erfaring fra andre land. Ved å sette ut produksjon av ikke-kritiske tjenester til datterselskapet i andre jurisdiksjoner (f.eks. Sverige) kan vi dessuten oppnå kostnadsbesparelser og kvalitetsfordeler. Dette kommer våre kunder til gode gjennom bedre og billigere tjenester. Outsourcing til eksterne samarbeidspartnere er også en avgjørende forutsetning for å være konkurransedyktig i et stadig mer internasjonalt marked. Forskriftskravene må ta høyde for dette. Telia vil videre vise til at dagens ekomtilbydere er fullt ut avhengig av å kjøpe teknisk utstyr fra de leverandørene som til enhver tid leverer de beste løsningene. De aktuelle produsentene av komponenter til mobilnett er ikke norske. Regelverket må ta høyde for dette. Telia ber om at de sikkerhetskravene som fastsettes gjennom de ulike forskriftene tar høyde for denne virkeligheten. Det gjøres best ved at lovgiver gir sektormyndighetene en sentral rolle i regelverksarbeidet. Det er også nødvendig å involvere aktørene på et tidlig tidspunkt. Telia vil i denne forbindelse minne om at manglende utstyrsdiversitet kan skade andre samfunnsinteresser og utløse nye sårbarheter (side 226): "Det digitale sårbarhetsutvalget har i sin utredning påpekt at manglende diversitet i utstyrsleverandørmarkedet innen ekominfrastrukturen er en kilde til sårbarhet. Konkurranselovgivningen vil i noen grad kunne bidra til å forhindre monopolleverandører, men Sårbarhetsutvalget mener at denne lovgivningen ikke i tilstrekkelig grad har klart å forhindre at det er en ensidighet i visse utstyrsleverandører." Avslutningsvis vil Telia peke på at de fleste kravene vil være nye for vår virksomhet. Sett i lys av dette er det viktig at reguleringen ikke gis tilbakevirkende kraft - verken formelt eller reelt. Telia har frem til nå ikke vært underlagt sikkerhetslovens krav til fysiske objekter. Utvalget foreslår dessuten å utvide kravene til informasjonssystem. Selv om den nye sikkerhetsloven på papiret kun virker fremover i tid (med andre ord fra det tidspunktet Telia underlegges reguleringen) er det ikke gitt at vi vil være i stand til å oppfylle alle krav fra dag én. Dette gjelder spesielt med tanke på etterlevelse av krav til fysisk sikring av kritiske objekter i mobilnettet og innføring av nye sikkerhetstiltak for informasjonssystem. Slike endringer tar nødvendigvis tid. De er også kostnadskrevende. Endringer i informasjonssystem må planlegges, bestilles og utvikles. Ofte er det først mulig å gjennomføre grunnleggende, tekniske tilpasninger når det skiftes ut. Telias kjernelokasjoner er for eksempel etablert i tråd med gjeldende forskriftskrav på det tidspunktet de ble etablert. Det er ikke nødvendigvis mulig å bygge om disse lokasjonene til å tilfredsstille kravene i den nye sikkerhetsloven. Den eneste løsningen for å etterleve reguleringen blir da å etablere nye lokasjoner, noe som utløser kostnader i hundremillionersklassen uten at samfunnet oppnår nevneverdige forbedringer i sikkerhetsnivået. Et annet eksempel er EMP-sikring. Telia vil i mange tilfeller først være i stand til å møte et slikt krav når eksisterende leieavtaler for objekter løper eller siten skal flyttes av andre årsaker. Den tekniske utviklingen innebærer at Telia uansett oppdaterer både system og fysisk infrastruktur regelmessig. For "nye aktører" bør sikkerhetsloven innføres på en måte som gjør det mulig for oss å

2017-01-20 5 (7) implementere kravene i takt med de ordinære endringene i nett og tjenester. I motsatt fall vil kravene få tilbakevirkende kraft. 6. Lovgiver må stille forutsigbare krav til sikkerhetsmyndighetenes saksbehandlingstid Den nye sikkerhetsloven legger opp til at regulerte aktører på gitte vilkår må innhente ulike former for forhåndsgodkjenning fra sikkerhetsmyndighetene. Dette gjelder blant annet ved sikkerhetsklarering av personell ( 8-5), inngåelse av sikkerhetsavtaler ( 9-2), leverandøravklaring ( 9-3) og varslingsplikt om anskaffelser til skjermingsverdige objekt eller infrastruktur ( 9-4). Slik forslaget er utformet nå stiller det ingen konkrete krav til myndighetenes saksbehandling utover de generelle føringer som følger av forvaltningsloven mv. Dette gjør sikkerhetsloven svært lite forutsigbar for de regulerte aktører i ekomsektoren. Mobiloperatører som Telia har et løpende behov for å tilpasse kapasiteten i nettet. Dette innebærer at selskapet regelmessig anskaffer ny komponenter. I tillegg til planlagte, langsiktige investeringer som skal sikre Telias konkurransekraft, har selskapet et løpende behov for å anskaffe utstyr for å bøte på kvalitetsproblemer, øke kapasiteten eller lansere nye tjenester. Disse komponentene vil også inngå i skjermingsverdige objekter og infrastruktur. På grunn av den raske teknologiske utviklingen på området er selskapet tidvis også avhengig av å inngå avtaler med nye leverandører av produkter og tjenester, få inn nytt driftspersonell mv. Telia har dessuten et løpende behov for å tilpasse bemanningen til den operasjonelle situasjonen. Sendrektig behandling av søknader og varsel hos offentlig myndighet vil gjøre det utfordrende om ikke umulig å få på plass de innsatsfaktorene som er nødvendig for å drifte og videreutvikle infrastrukturen. Lang saksbehandlingstid innebærer en betydelig, operasjonell risiko og øker våre kostnader. Det er ikke bare uheldig for selskapets virksomhet isolert sett, men også for samfunnet mer generelt. En direkte konsekvens av tidkrevende godkjenningsprosedyrer vil være forsinkelser knyttet til feilretting i nettet, økte kostnader for mobilkunder både i det private- og det offentlige samt dårligere tjenester. Det er også nærliggende at slike forsinkelser vil dempe konkurranse. Telia ber på bakgrunn av dette om at lovgiver stiller konkrete krav til sikkerhetsmyndighetenes saksbehandlingstid i de tilfellene den regulerte aktøren er underlagt plikt til å innhente forhåndsgodkjennelser fra det offentlige. Den nye sikkerhetsloven bør videre regulere hva som skjer i de tilfellene offentlig myndighet ikke er i stand til å svare i tide. Det er også nødvendig å stille konkrete krav og frister til tidsbruk ved sikkerhetsklarering av personell. Vi mener konkurranselovens fusjonsregler kan være et eksempel til etterlevelse. Lovens 20 1 og forskrift om melding av foretakssammenslutninger 2 fastsetter konkrete frister for behandlingen av meldinger om foretakssammenslutninger. Bestemmelsene regulerer også hvilke virkninger eventuelle fristoverskridelser får for myndighetene og rettsposisjonen til private parter. 1 Se https://lovdata.no/lov/2004-03-05-12/ 20 2 Se https://lovdata.no/dokument/sf/forskrift/2013-12-11-1466

2017-01-20 6 (7) Konkurranseloven 21 regulerer Kongens rett til å prøve saker av prinsipiell eller stor samfunnsmessig betydning. Det materielle innholdet i bestemmelsen likner på mange måter på 9-4 i forslaget som gir rett til å nekte gjennomføring av anskaffelser. Også her stiller loven en absolutt frist for inngrep (12 måneder). Konkurranselovens saksbehandlingsregler ved foretakssammenslutninger har fungert etter sin hensikt siden de ble vedtatt. De prosessuelle reglene gir både det offentlige og de private aktørene den nødvendige forutsigbarheten. Lovgiver bør trekke på denne erfaringen ved fastsettelse av den nye sikkerhetsloven. 7. Forbedret samhandling er nøkkelen til et sikrere samfunn Telia deler utvalgets oppfatning om at det ligger et betydelig forbedringspotensial i samhandlingen mellom offentlige organer og mellom offentlige organer og regulerte virksomheter. Vi er positive til de forslagene som tar sikte på å bøte på denne svakheten i dagens regelverk. Rådgivningsplikt og informasjonsdeling knyttet til f.eks. cyberangrep er viktige tiltak i så måte. Forsvar av norsk digital infrastruktur er ikke en oppgave Telia og andre kommersielle aktører kan løfte alene. For å møte trusler fra fremmede stater er aktørene fullt ut avhengig av støtte fra norske myndigheter i form av løpende informasjonsutveksling. Den nye sikkerhetsloven må stille tydelige krav til hvilke konkrete leveranser som er nødvendige. Det er f.eks. ikke tilstrekkelig med halvårlige informasjonsmøter med PST. Statlige aktører er et statlig ansvar. Et uvarslet og uforberedt angrep fra en statlig aktør mot Telias infrastruktur bør man i alle sammenhenger anta at vil lykkes. Reguleringen må basere seg på dette. Dersom sektormyndighetene blir det primære kontaktpunktet, vil ansvaret i første omgang ligge hos Nkom. Det er viktig at tilsynet i så fall både formelt og materielt fungerer som et felles kontakt- og koordineringsledd for alle norske myndigheter. Dette vil tilføre sektoren en helt nødvendig forenkling. I dag følges for eksempel sikkerhet opp av både justissektoren (v/politi og DSB), forsvaret (v/nsm og FOH) og beredskap samferdselssektoren (v/nkom). Ulike sektormyndigheter stiller med ulike krav og forventninger. Telia legger til grunn at forslaget tar mål av seg å rydde opp i dette. 8. Rettssikkerhetsgarantier og kostnadskontroll Utvalget foreslår å opprette et tvisteorgan som skal avgjøre uenigheter mellom virksomheter som omfattes av loven og myndigheter, og myndigheter imellom. Tvisteorganet vil være en sentral rettssikkerhetsgaranti for virksomheter som underlegges loven. Formålet er å sikre raske, effektive og uavhengige avgjørelser til det beste for samfunnet. Videre foreslår utvalget å lovfeste et forholdsmessighetsprinsipp i form av et krav om at kostnadene ved pålegg etter loven "står i et rimelig forhold til det som kan oppnås ved tiltaket" (ny 3-6). Telia mener begge tiltak er avgjørende for å sikre de private aktørenes rettsikkerhet. Frem til nå har fagdepartement vært klageinstans for tyngende vedtak fattet av den underordnede sektormyndigheten på ekomområdet. Det er en lite tillitsvekkende ordning ettersom departementet har et selvstendig ansvar for å følge opp sikkerhet på sitt område og dermed en egeninteresse i utfallet av sakene. Videre har forvaltningen i praksis tillagt forholdsmessighet liten vekt i praksis. Opprettelsen av et selvstendig klageorgan med kompetanse til å løse tvister knyttet til forebyggende sikkerhet sammen med et tydelig krav til at gevinsten må oppveie kostnadene, vil langt på vei kunne bøte på denne svakheten ved dagens regulering.

2017-01-20 7 (7) * * * Dersom det er ytterligere spørsmål så bes det om at dere tar kontakt med undertegnede. Med vennlig hilsen Telia Norge AS Frode Lillebakken Juridisk direktør