§ 3-9. Politiattest for personer med tilgang til sensitive nett og systemer

Paragrafen gir tilbydere og datasenteroperatører rett til å be om politiattest av folk som skal få tilgang til det sikkerhetskritiske eller sensitive. Attesten skal være av den mest omfattende typen, uttømmende og utvidet. Det gjelder både nyansatte og de som er innstilt eller har fått tilbud om stilling, og ansatte hos leverandører. Attesten skal ikke være eldre enn 90 dager når den vises frem.

Retten gjelder personer som skal ha tilgang til nett, tilhørende fasiliteter, datasentre, utstyr, systemer eller informasjon som betyr mye for sikkerheten, er taushetsbelagt eller på annen måte er særlig sensitiv. Det er altså tilgangen som avgjør, ikke stillingstittelen. Ordet «kan» viser at virksomheten selv velger om den vil kreve attest.

Loven viser til politiregisterloven § 41 for hva attesten inneholder. Der står at en uttømmende attest tar med alle straffer og andre reaksjoner som er registrert på grunn av lovbrudd, med visse unntak for reaksjoner mot unge lovbrytere. Utvidet attest betyr at saker som ennå ikke er avgjort, kan føres opp, med en kort forklaring av hva saken gjelder og hvor langt den har kommet.

Andre ledd gir et unntak: har du gyldig sikkerhetsklarering eller adgangsklarering etter sikkerhetsloven, kan du ikke bli bedt om politiattest. Tredje ledd lar departementet gi forskrift om fremleggelse av attest, blant annet om hvilke lovbrudd den skal vise.

Eksempel: en tilbyder skal ansette en person med tilgang til sensitive systemer. Tilbyderen kan be om politiattest av den nye ansatte, men ikke hvis vedkommende allerede har gyldig sikkerhetsklarering. Paragrafen står i sikkerhetskapittelet, og § 3-7 om datasentre og § 3-10 om taushetsplikt hører til samme tema om sikring av sensitive opplysninger.