§ 3-2. Varsling til kunder ved sikkerhetshendelser

Denne paragrafen handler om varsling til deg som kunde eller bruker. Leverandøren må si fra uten ugrunnet opphold når det er særlig risiko for en sikkerhetshendelse i offentlige nett eller tjenester. Samtidig skal den fortelle hvilke tiltak du selv kan ta for å beskytte deg eller begrense skaden. Er det hensiktsmessig, skal den også forklare selve trusselen.

Andre ledd gjelder faktiske sikkerhetsbrudd. Har et brudd hatt, eller kan det få, negativ virkning på kommunikasjonsvernet eller personvernet ditt, skal leverandøren også da varsle deg uten ugrunnet opphold. Det finnes ett unntak: varslingen faller bort hvis leverandøren har dokumentert overfor Nasjonal kommunikasjonsmyndighet at dataene som var rammet, var godt teknisk beskyttet. Unntaket krever altså dokumentasjon til myndigheten, ikke bare en påstand.

Tredje ledd lar departementet gi forskrift eller fatte enkeltvedtak (vedtak i en enkelt sak) om nærmere krav. Det kan gjelde når varsling utløses, frister, fremgangsmåte, hva varselet må inneholde, hvem som skal betale for varslingen, og unntak fra kravet. Detaljene om når og hvordan du får beskjed, finnes derfor delvis utenfor selve loven.

Varsling til brukere er en av flere sider ved sikkerhetsarbeidet. Grunnplikten til sikkerhet står i § 3-1. Varsling til departementet står i § 3-3, og der er terskelen at hendelsen har gitt et vesentlig brudd, mens denne paragrafen også rammer risiko før noe har skjedd. Kapitlet fortsetter med § 3-4 om kritiske samfunnsfunksjoner.

Eksempel: en tilbyder oppdager at et angrep kan true kundenes data. Den må da si fra til kundene og gi råd om hva de selv kan gjøre for å beskytte seg. Overtredelsesgebyr er regulert i § 15-12, som viser til denne paragrafen.