§ 3-1. Sikkerhet og beredskap i kommunikasjonsnett

Ekomloven·LOV-2024-12-13-76

Kort oppsummert

Tilbydere skal levere trygge nett og tjenester, holde beredskap og beskytte kommunikasjon og data.
Hva som er forsvarlig, avgjøres ut fra tålegrenser, teknikk, kostnad, nytte, betydning og standarder.
Departementet kan vedta tiltak, og staten kompenserer merkostnader ved ekstra nasjonale krav.
Detaljer kan komme i forskrift, blant annet om revisjon, rapportering og redundans.

Lovteksten ordrett

§ 3-1. Sikkerhet i elektroniske kommunikasjonsnett og -tjenester

Tilbyder skal

tilby elektroniske kommunikasjonsnett og -tjenester med forsvarlig sikkerhet for brukerne i fred, krise og krig
opprettholde forsvarlig beredskap i elektroniske kommunikasjonsnett og -tjenester og prioritere viktige samfunnsaktører ved behov, og
sikre forsvarlig vern av kommunikasjon og data i elektroniske kommunikasjonsnett og -tjenester.

Ved vurderingen av om sikkerheten er forsvarlig, vektlegges evnen til å motstå hendelser som medfører eller kan medføre brudd på tilgjengelighet, autentisitet, integritet eller konfidensialitet i elektroniske kommunikasjonsnett eller -tjenester til lagrede, overførte eller behandlede data, eller til relaterte tjenester som tilbys gjennom, eller er tilgjengelige via, slike elektroniske kommunikasjonsnett eller -tjenester. Det skal tas hensyn til blant annet beste tilgjengelige tekniske løsning, tiltakenes kostnad og nytteverdi, nettets eller tjenestens betydning og anerkjente standarder.

Tilbyder skal forebygge og minimere virkningene av sikkerhetshendelser og sikre rask gjenoppretting.

Tilbyder skal systematisk følge opp sikkerhet og beredskap i elektroniske kommunikasjonsnett og -tjenester og skal dokumentere et forsvarlig sikkerhetsnivå.

Departementet kan fatte enkeltvedtak for å sikre at tilbyder gjennomfører tiltak som gir forsvarlig sikkerhet, beredskap og vern av kommunikasjon og data. Tilbyder skal dekke kostnadene ved slike tiltak.

Departementet kan fatte enkeltvedtak eller inngå avtale om gjennomføring av tiltak for å sikre oppfyllelse av nasjonale behov for sikkerhet, beredskap og funksjonalitet i elektroniske kommunikasjonsnett og -tjenester utover det som følger av første ledd. Vedtak kan fattes overfor, eller avtale kan inngås med, virksomhet som

tilbyr elektronisk kommunikasjonsnett eller -tjeneste, eller
tilbyr tilhørende fasilitet og tilhørende tjeneste, herunder virksomhet som har ansvar for passiv infrastruktur.

Merkostnader ved levering av slike tiltak skal kompenseres av staten med basis i fyllestgjørende dokumentasjon som fremlegges av virksomheten. Dersom virksomheten ikke har valgt en løsning som er økonomisk fordelaktig for staten, kan departementet fatte enkeltvedtak om at virksomheten skal refundere dokumenterte utgifter som er unødvendige.

Departementet kan gi forskrift om oppfyllelsen av sikkerhets- og beredskapstiltak, vern av kommunikasjon og data og øvrige plikter som følger av bestemmelsen, herunder om nasjonal autonomi. Departementet kan gi forskrift om sikkerhetsrevisjon, tidsfrister, rapporteringsplikt, bruk av flere føringsveier nasjonalt og ut av landet, redundans, herunder logisk redundans og utstyrsredundans, og om finansiering. Departementet kan gi forskrift eller fatte enkeltvedtak om at bestemmelsen skal gjelde andre enn tilbydere, og kan også gjøre unntak fra bestemmelsen for tilbydere, virksomheter eller tjenester.

Departementet kan gi forskrift om oppfyllelse av plikter som gjelder sikkerhet i elektroniske kommunikasjonsnett og -tjenester etter EØS-avtalen og andre internasjonale avtaler.

Kilde: Lovdata — Ekomloven § 3-1

Hva betyr dette?

Denne paragrafen er hovedregelen om sikkerhet i kommunikasjonsnett. Leverandøren skal levere nett og tjenester som er trygge nok for brukerne, både i fred, krise og krig. Den skal holde beredskap på et forsvarlig nivå, sette viktige samfunnsaktører først når det trengs, og sørge for at kommunikasjon og data er godt beskyttet.

Andre ledd forklarer hva «forsvarlig» betyr. Det avgjørende er hvor godt nettet eller tjenesten tåler hendelser som rammer at data er tilgjengelige, ekte, uendret eller fortrolige. Det tas hensyn til beste tilgjengelige teknikk, hva tiltakene koster og gir, hvor viktig nettet er, og anerkjente standarder. Tredje og fjerde ledd legger på leverandøren å forebygge og begrense skader, få ting raskt i gang igjen, følge opp arbeidet systematisk og kunne dokumentere at nivået er forsvarlig.

Staten har to verktøy. Etter femte ledd kan departementet vedta at en leverandør må gjennomføre bestemte tiltak, og leverandøren betaler selv. Etter sjette ledd kan departementet vedta eller avtale ekstra tiltak for nasjonale behov. Da dekker staten merkostnadene mot dokumentasjon. Har virksomheten valgt en løsning som er unødvendig dyr for staten, kan den bli pålagt å betale tilbake utgiftene som ikke var nødvendige. Ordningen kan også omfatte virksomheter med ansvar for passiv infrastruktur.

Sjuende og åttende ledd gir forskriftshjemler. Departementet kan gi detaljerte regler om blant annet revisjon, frister, rapportering og redundans (ekstra reserveveier og reserveutstyr), og kan utvide plikten til andre enn tilbydere eller gi unntak. Det kan også gi forskrift for å oppfylle sikkerhetsplikter etter EØS-avtalen og andre internasjonale avtaler.

Paragrafen er grunnmuren i kapittel 3. Bestemmelsene rundt bygger videre: § 3-2 om varsling til brukere, § 3-3 om varsling til departementet, § 3-4 om å sikre kritiske samfunnsfunksjoner og § 3-5 om å nekte tilgang til markedet. Eksempel: departementet gir en tilbyder pålegg om nye sikkerhetstiltak, og tilbyderen må da bære kostnaden selv. Overtredelsesgebyr (§ 15-12), straff (§ 15-14) og klager som avgjøres av departementet (§ 16-7) har egne paragrafer som viser hit.

Relaterte paragrafer

Alle §§ i ekomloven →