§ 3-7. Registrering og sikkerhet for datasentre

Ekomloven·LOV-2024-12-13-76

Kort oppsummert

Datasenteroperatører må registrere seg hos departementet før oppstart.
De må sikre forsvarlig sikkerhet og beredskap og dokumentere det.
Staten kompenserer merkostnader ved ekstra nasjonale tiltak, mot dokumentasjon.
Departementet kan gi forskrift, blant annet om terskelverdi og nasjonal sikkerhet.

Lovteksten ordrett

§ 3-7. Datasenter

Datasenteroperatør har plikt til å registrere seg hos departementet før virksomheten starter opp. Virksomheten kan settes i gang når registreringen er gjennomført.

Datasenteroperatør skal tilby og opprettholde datasentertjenester med forsvarlig sikkerhet for brukerne i fred, krise og krig. Datasenteroperatør skal opprettholde forsvarlig beredskap, og viktige samfunnsaktører skal prioriteres ved behov. Departementet kan fatte enkeltvedtak for å sikre at datasenteroperatør gjennomfører tiltak som gir forsvarlig sikkerhet og beredskap. Datasenteroperatør skal dekke kostnadene ved oppfyllelsen av dette.

Datasenteroperatør skal systematisk følge opp sikkerhet og beredskap i datasentertjenesten, og skal dokumentere et forsvarlig sikkerhetsnivå. Ved vurderingen av hva som er forsvarlig, vektlegges evnen til å motstå enhver hendelse som medfører eller kan medføre brudd på tilgjengelighet, autentisitet, integritet eller konfidensialitet i datasentertjenester. Det skal blant annet tas hensyn til beste tilgjengelige tekniske løsning, anerkjente standarder, tiltakenes kostnad og nytteverdi, og datasentertjenestens betydning.

Departementet kan fatte enkeltvedtak eller inngå avtale om gjennomføring av tiltak for å sikre oppfyllelse av nasjonale behov for sikkerhet, beredskap og funksjonalitet i datasentre utover det som følger av andre ledd. Merkostnader ved gjennomføring av slike tiltak skal kompenseres av staten med basis i fyllestgjørende dokumentasjon som fremlegges av virksomheten. Dersom virksomheten ikke har valgt en løsning som er økonomisk fordelaktig for staten, kan departementet fatte enkeltvedtak om at virksomheten skal refundere dokumenterte utgifter som er unødvendige.

Departementet kan gi forskrift om forsvarlig sikkerhet og beredskap, finansiering, nasjonal autonomi, sikkerhetsrevisjon og registreringsplikt, herunder om registreringsmåte, hvilken informasjon som skal registreres, og terskelverdi for registreringsplikten. Departementet kan i forskrift eller enkeltvedtak gi unntak fra registreringsplikten eller pålegge datasenteroperatør som driver datasenter under terskelverdien, å registrere seg. Departementet kan gi forskrift om nasjonal sikkerhet og kriminalitetsbekjempelse i datasenter, herunder fastsette krav om at operatøren skal ha en tilgjengelig representant med nødvendig kunnskap om senteret, krav om separasjon av kunder eller kundegrupper, krav om at datasenteroperatør skal føre oppdaterte lister over egne kunder og deres plassering i datasenteret, og krav om at politiet og EOS-tjenestene på nærmere vilkår gis rask tilgang til informasjonen.

Kilde: Lovdata — Ekomloven § 3-7

Hva betyr dette?

Driver du et datasenter, må du melde deg til departementet før du starter. Virksomheten kan begynne først når registreringen er gjennomført. Etter andre ledd må operatøren levere tjenester med trygg nok sikkerhet i fred, krise og krig, holde beredskap og prioritere viktige samfunnsaktører når det er nødvendig. Operatøren tar selv regningen, og departementet kan fatte enkeltvedtak for å sikre at tiltakene gjennomføres.

Tredje ledd krever at operatøren følger opp sikkerhet og beredskap systematisk og kan dokumentere at nivået er forsvarlig. Hva som er forsvarlig, avgjøres ut fra beste tekniske løsning, anerkjente standarder, kostnad og nytte, og hvor viktig tjenesten er. Vurderingen ser på evnen til å tåle hendelser som truer at data er tilgjengelige, ekte, uendret eller fortrolige.

Fjerde ledd gjelder ekstra tiltak for nasjonale behov. Departementet kan da fatte enkeltvedtak eller inngå avtale. Staten kompenserer merkostnadene mot dokumentasjon fra virksomheten. Har virksomheten valgt en løsning som er unødvendig dyr for staten, kan departementet vedta at de unødvendige utgiftene skal betales tilbake.

Femte ledd gir forskriftshjemler. Departementet kan gi regler om sikkerhet, beredskap, finansiering, sikkerhetsrevisjon og registrering, blant annet en terskelverdi (en grense) for når registreringsplikten slår inn. Det kan gi unntak eller pålegge registrering av sentre under grensen. Det kan også gi regler om nasjonal sikkerhet og kriminalitetsbekjempelse, for eksempel krav om en tilgjengelig representant, separasjon av kunder, kundelister og rask tilgang for politiet og EOS-tjenestene på nærmere vilkår.

Eksempel: en operatør vil åpne et nytt datasenter. Operatøren må registrere seg først, og senere kunne vise at sikkerhetsnivået er forsvarlig. Paragrafen står i kapittel 3 sammen med § 3-8 om bruksbegrensninger, som også rammer datasenteroperatører, og § 3-9 om politiattest. Overtredelsesgebyr (§ 15-12) og straff (§ 15-14) har egne paragrafer som viser hit.

Relaterte paragrafer

Alle §§ i ekomloven →