§ 2-1. Departementenes ansvar for forebyggende sikkerhetsarbeid

Paragrafen gjør hvert departement ansvarlig for det forebyggende sikkerhetsarbeidet innenfor sitt eget område. Hvert departement har altså sitt eget område å holde oversikt over. Ansvaret har fire deler. Departementet skal kartlegge hvilke grunnleggende nasjonale funksjoner som finnes i sektoren, og hvilke virksomheter som er vesentlige for dem eller for nasjonale sikkerhetsinteresser. Det skal treffe vedtak etter § 1-3 om at loven skal gjelde for andre virksomheter. Til slutt skal det melde oversiktene og vedtakene videre til sikkerhetsmyndigheten.

Vedtakene bygger på § 1-3. Etter første ledd i den paragrafen skal et departement vedta at loven helt eller delvis gjelder for virksomheter som håndterer sikkerhetsgradert informasjon, eller som er helt avgjørende for grunnleggende nasjonale funksjoner eller sikkerhetsinteresser. Virksomhetene skal forhåndsvarsles. Departementet får dermed en dobbel rolle: kartlegge først, og deretter treffe de vedtakene som kartleggingen tilsier.

Hvis departementet ikke vil følge en anbefaling fra sikkerhetsmyndigheten om å ta en virksomhet inn under loven, kan sikkerhetsmyndigheten bringe saken inn for departementet med overordnet ansvar for forebyggende sikkerhetsarbeid, i sivil sektor eller i forsvarssektoren. Det er § 1-3 som gir denne muligheten. Virksomheter som ikke hører under noe departement, får vedtak fra sikkerhetsmyndigheten selv.

Kapittel 2 fordeler ansvar mellom flere aktører. § 2-2 legger til sikkerhetsmyndigheten det sektorovergripende ansvaret for at det forebyggende sikkerhetsarbeidet skjer i samsvar med loven, mens departementene har ansvaret i hver sin sektor. § 2-3 pålegger sikkerhetsmyndigheten å legge til rette for at virksomhetene får tilgang til trusselvurderinger og annen relevant informasjon. § 2-4 handler om en myndighet som Kongen utpeker til å drive en nasjonal responsfunksjon for alvorlige digitale angrep og et varslingssystem. § 2-5 gir Kongen i statsråd adgang til nødvendige vedtak mot sikkerhetstruende virksomhet. Regjeringen kan utdype ansvaret og myndigheten i forskrift. § 2-2 viser tilbake til denne paragrafen.

Eksempel: Et departement kartlegger virksomhetene i sin sektor og ser at én av dem håndterer sikkerhetsgradert informasjon uten å være omfattet av loven. Departementet forhåndsvarsler virksomheten, vedtar at loven gjelder for den, og melder vedtaket til sikkerhetsmyndigheten sammen med oversikten sin.