§ 9-4. Varsling og vedtak ved kjøp til skjermingsverdige systemer, objekter og infrastruktur

Sikkerhetsloven·LOV-2018-06-01-24

Kort oppsummert

Virksomheten må vurdere om kjøp til skjermingsverdige systemer, objekter eller infrastruktur gir risiko som ikke er ubetydelig.
Ved slik risiko skal virksomheten varsle departementet, eller sikkerhetsmyndigheten hvis den ikke hører under noe departement.
Varslingsplikten gjelder selv om taushetsplikt ellers hindrer det.
Regjeringen kan stanse anskaffelsen eller sette vilkår, også etter at avtale er inngått.

Lovteksten ordrett

§ 9-4. Varslingsplikt og myndighet til å fatte vedtak ved anskaffelser til skjermingsverdig informasjonssystem, objekt og infrastruktur

Ved anskaffelser til skjermingsverdig informasjonssystem, objekt eller infrastruktur skal virksomheten vurdere om anskaffelsen kan innebære en ikke ubetydelig risiko for at informasjonssystemet, objektet eller infrastrukturen kan bli rammet av eller brukt til sikkerhetstruende virksomhet. Plikten til å foreta en slik vurdering gjelder ikke dersom anskaffelsen åpenbart ikke innebærer noen slik risiko.

Virksomheten skal varsle departementet dersom vurderingen viser at anskaffelsen innebærer en risiko som nevnt i første ledd. Virksomheter som ikke er underlagt noe departement, skal varsle sikkerhetsmyndigheten. Varslingsplikten gjelder uten hinder av taushetsplikt. Plikten gjelder ikke dersom virksomheten selv iverksetter tiltak som fjerner risikoen eller gjør den ubetydelig.

Departementet som mottar et varsel etter andre ledd, kan be relevante organer uttale seg om risikoen ved anskaffelsen og om leverandørens sikkerhetsmessige pålitelighet.

Dersom en anskaffelse til et skjermingsverdig informasjonssystem, objekt eller infrastruktur kan innebære en ikke ubetydelig risiko som nevnt i første ledd, kan Kongen i statsråd fatte vedtak om at anskaffelsen ikke skal gjennomføres, eller om at det skal settes vilkår for den. Dette gjelder også dersom det er inngått avtale om anskaffelsen. Dersom det ikke fattes vedtak etter første punktum, skal departementet orientere virksomheten om det. Et vedtak etter første punktum er et særlig tvangsgrunnlag etter tvangsfullbyrdelsesloven kapittel 13.

Kongen i statsråd kan gi forskrift om varslingsplikten og om myndigheten til å fatte vedtak.

Kilde: Lovdata — Sikkerhetsloven § 9-4

Hva betyr dette?

Paragrafen gjelder anskaffelser til noe som regnes som skjermingsverdig: et informasjonssystem, et objekt eller en infrastruktur. Virksomheten som kjøper, skal selv vurdere om kjøpet kan gjøre dette sårbart. Spørsmålet er om det finnes en risiko som ikke er ubetydelig for at systemet, objektet eller infrastrukturen kan rammes av sikkerhetstruende virksomhet eller brukes til den. Er det åpenbart at kjøpet ikke medfører noen slik risiko, faller plikten til å vurdere bort.

Viser vurderingen at risikoen finnes, må virksomheten varsle. Mottaker er departementet, eller sikkerhetsmyndigheten hvis virksomheten ikke hører under noe departement. Varslingen skal gis selv om virksomheten ellers har taushetsplikt. Plikten faller bort hvis virksomheten selv får risikoen bort eller redusert til et ubetydelig nivå gjennom egne tiltak.

Departementet som får et varsel, kan innhente uttalelser fra relevante organer om risikoen og om hvor pålitelig leverandøren er sikkerhetsmessig. Regjeringen (Kongen i statsråd) kan så vedta at anskaffelsen ikke skal gjennomføres, eller at den bare kan gjennomføres på vilkår. Det gjelder også når avtalen om kjøpet allerede er inngått. Velger regjeringen ikke å gripe inn, skal departementet gi virksomheten beskjed om det. Vedtaket har status som tvangsgrunnlag etter tvangsfullbyrdelsesloven kapittel 13.

Paragrafen kommer i tillegg til de andre reglene i kapittel 9. § 9-1 avgrenser anskaffelser der leverandøren får befatning med gradert informasjon eller skjermingsverdige objekter, og § 9-2 krever sikkerhetsavtale for dem før oppstart. § 9-3 stiller krav til klarering av leverandøren. Tre paragrafer i kapittel 11 viser hit og har titlene tvangsmulkt, overtredelsesgebyr og straff (§§ 11-2, 11-3 og 11-4). Kongen i statsråd kan gi forskrift om varslingsplikten og vedtaksmyndigheten. Eksempel: En virksomhet vurderer å kjøpe utstyr til et skjermingsverdig system og ser en risiko den ikke selv kan fjerne. Virksomheten varsler departementet, som kan be om uttalelser og legge saken fram for regjeringen.

Relaterte paragrafer

Alle §§ i sikkerhetsloven →