§ 3-3. Varsling til departementet ved sikkerhetshendelser
- Brudd på tilgjengelighet varsles umiddelbart, andre vesentlige brudd uten ugrunnet opphold.
- Vesentlighet vurderes ut fra antall brukere, varighet, omfang, funksjoner og samfunnsbetydning.
- Departementet kan kreve at offentligheten informeres og kan gi nærmere regler om varslingen.
§ 3-3. Varsling ved sikkerhetshendelser
- antall brukere som er berørt
- varighet
- geografisk omfang
- hvilke funksjoner i elektroniske kommunikasjonsnett og -tjenester som er berørt, og
- økonomisk og samfunnsmessig betydning.
Her står varslingsplikten overfor departementet. Har en hendelse gitt et vesentlig brudd på tilgjengeligheten (at nett eller tjeneste er oppe og kan brukes), må tilbyderen varsle umiddelbart. Rammer bruddet i stedet ektheten, at data er uendret, eller fortroligheten, er kravet at det skjer «uten ugrunnet opphold». Skillet gir dermed tilgjengelighet den strengeste fristen.
Ordet «vesentlig» er nøkkelen. Andre ledd lister hva som skal veie: hvor mange brukere som er rammet, hvor lenge det varer, hvor stort geografisk område det gjelder, hvilke funksjoner som er berørt, og hva hendelsen betyr økonomisk og for samfunnet. Et kortvarig avbrudd som bare rammer noen få, veier lett. Et langvarig og bredt avbrudd veier tungt.
Tredje ledd lar departementet pålegge tilbyderen å opplyse offentligheten om hendelsen, når det er i allmennhetens interesse. Fjerde ledd sier at departementets myndighet kan delegeres (overlates til et annet organ), jf. § 1-4. Der kan departementet gi forskrift om at Nasjonal kommunikasjonsmyndighet, andre offentlige organer eller private skal ha myndighet etter loven. Departementet kan også gi forskrift og vedtak om selve varslingen: hvordan vesentlighet vurderes, kriterier, prosedyrer, frister, innhold, hendelsesrapportering og finansiering.
Paragrafen må ses sammen med § 3-1, som setter det grunnleggende sikkerhetskravet, og § 3-2, som pålegger tilbyderen å varsle kundene. Eksempel: et større nettbrudd rammer mange brukere over lang tid. Tilbyderen melder da til departementet, og departementet kan i tillegg kreve at allmennheten blir informert. Overtredelsesgebyr (§ 15-12) og straff (§ 15-14) har egne paragrafer som viser hit.