Forskrift om informasjonssikkerhet

DatoFOR-2001-07-01-744
DepartementForsvarsdepartementet
PublisertI 2001 hefte 8
Ikrafttredelse01.07.2001
Sist endretFOR-2012-06-22-653 fra 01.07.2012
Endrer
Gjelder forNorge
HjemmelLOV-1998-03-20-10-§11, LOV-1998-03-20-10-§12, LOV-1998-03-20-10-§13, LOV-1998-03-20-10-§14, LOV-1998-03-20-10-§15, LOV-1998-03-20-10-§16, FOR-2001-06-29-721
Kunngjort03.07.2001
Rettet28.10.2003 (§ 5-5, § 5-6, § 7-40)
KorttittelForskrift om informasjonssikkerhet

Kapitteloversikt:

Hjemmel: Fastsatt av Forsvarsdepartementet 1. juli 2001 med hjemmel i lov av 20. mars 1998 nr. 10 om forebyggende sikkerhetstjeneste (sikkerhetsloven) § 11 tredje ledd, § 12 andre ledd, § 13 fjerde ledd, § 14 fjerde ledd, § 15 fjerde ledd og § 16 andre ledd, jf. delegeringsvedtak 29. juni 2001 nr. 721.
Endringer: Endret ved forskrift 22 juni 2012 nr. 653.

Kapittel 1. Alminnelige bestemmelser

§ 1-1.Formål og virkeområde

Forskriften har samme formål og virkeområde som sikkerhetsloven.

Forskriften gjelder også for informasjon sikkerhetsgradert i samsvar med NATOs bestemmelser. NSM kan gi nærmere bestemmelser om behandling av ATOMAL informasjon. Tilsvarende gjelder informasjon sikkerhetsgradert av annen internasjonal organisasjon, medlemsstat av slik organisasjon eller av fremmed stat, dersom Norge er forpliktet til å beskytte informasjonen. I tilfelle av motstrid går likevel bestemmelser i eller i medhold av sikkerhetsavtale foran bestemmelser i denne forskrift.

0 Endret ved forskrift 22 juni 2012 nr. 653 (i kraft 1 juli 2012).
§ 1-2.Definisjoner og forkortelser

I forskriften forstås med:

1. Dokument; en logisk avgrenset informasjonsmengde som er lagret på et medium for senere lesing, lytting, fremføring eller overføring.
2. Maskinlesbart lagringsmedium; medium med informasjon lagret på en måte som gjør at den bare kan leses, lyttes til, fremføres eller overføres ved hjelp av maskinelt utstyr.
3. Sikkerhetsgodkjenning; avgjørelse om at et informasjonssystem i en virksomhet tillates brukt til behandling, lagring eller transport av sikkerhetsgradert informasjon.
4. Spesialrom; rom for ledelse eller kommunikasjon hvor det jevnlig presenteres informasjon gradert KONFIDENSIELT eller høyere.
5. Registrert postsending; postsending som det gis kvittering for ved innlevering og som utleveres mot kvittering.
6. Kurerposttjeneste; registrert postsending med særskilte sikkerhetstiltak som fraktes fra avsender til mottaker av person som er utpekt for dette formål og ved behov er sikkerhetsklarert.
7. Kryptomateriell; kryptodokumenter, kryptonøkler og kryptoutstyr.
8. Kryptodokument; operasjonsinstruks, brukerhåndbok, installasjonsmanual, kryptosikkerhetsinstruks, og annen dokumentasjon om kryptoutstyr etter avgjørelse av NSM.
9. Kryptonøkkel; manuell eller automatisk enhet i enhver form som benyttes til kryptering eller dekryptering.
10. Kryptoutstyr; enhet som er basert på symmetrisk eller asymmetrisk kryptoalgoritme og en kryptonøkkel eller et nøkkelpar, eller som anvendes for sikring av integritet eller tilgjengelighet.
11. Symmetrisk kryptoalgoritme; en matematisk funksjon som basert på en felles kryptonøkkel krypterer eller dekrypterer.
12. Asymmetrisk kryptoalgoritme; en matematisk funksjon basert på et kryptonøkkelpar der den ene nøkkelen benyttes til kryptering og den andre til dekryptering, hvorav den ene hemmeligholdes og den andre er offentlig.
13. Kryptosystem; system som består av like enheter av kryptonøkler og kryptoutstyr som blir brukt på en enhetlig måte til kryptering og dekryptering.
14. TEMPEST; elektromagnetisk stråling fra elektronisk utstyr som utilsiktet kan forårsake at uvedkommende kan få tilgang til sikkerhetsgradert informasjon, samt undersøkelser og analyser knyttet til slike fenomener.
15. Inspiserbart område; det tredimensjonale området rundt en installasjon hvor muligheten for å motta og analysere signaler fra et informasjonssystem ikke er praktisk mulig eller hvor virksomheten lovlig kan kreve adgang for å kontrollere området.

For øvrig gjelder definisjonene i sikkerhetsloven § 3 og forskrift om sikkerhetsadministrasjon § 1-2.

I denne forskrift forkortes:

1. Nasjonal sikkerhetsmyndighet; NSM.
2. Kravspesifikasjon for sikkerhet; KSS.
3. Nasjonal sikkerhetsmyndighets sertifiserte kryptoalgoritme; NSK.
0 Endret ved forskrift 22 juni 2012 nr. 653 (i kraft 1 juli 2012).

Kapittel 2. Sikkerhetsgradering

A. Omfanget av en sikkerhetsgradering

§ 2-1.Skadevurdering

Den som utsteder informasjon skal på forhånd vurdere omfanget av eventuelt skadepotensiale dersom uvedkommende skulle få tilgang til informasjonen. Utsteder skal ut i fra vurderingen gradere i samsvar med sikkerhetsloven § 11 og dette forskriftskapittelet.

§ 2-2.Spesielle merker

Spesiell merking kan benyttes i tillegg til sikkerhetsgradering, dersom informasjonen er av en slik art at tilgangen ved autorisasjon skal begrenses ytterligere eller informasjonen skal håndteres i samsvar med særlige bestemmelser.

Bestemmelser om håndtering av informasjon og materiell merket KRYPTO, NSK eller CCI er fastsatt i kapittel 7.

§ 2-3.Delgradering

Dersom informasjonen består av deler med forskjellig beskyttelsesbehov, skal de enkelte deler graderes der det er praktisk mulig. Slik delgradering kan bestå i å angi forskjellige sikkerhetsgrader til vedlegg, kapitler, overskrifter, avsnitt, punkter eller lignende.

For å unngå unødig høy sikkerhetsgradering av journaler skal tittelen eller angivelsen av saksinnhold for et dokument gradert KONFIDENSIELT eller HEMMELIG ikke inneholde informasjon gradert høyere enn BEGRENSET. Tittelen eller angivelsen av saksinnhold for et dokument gradert BEGRENSET skal bare inneholde ugradert informasjon.

B. Varigheten av en sikkerhetsgradering

§ 2-4.Tidsbegrenset gradering

Sikkerhetsgradering skal tidsbegrenses dersom beskyttelsesbehovet etter sikkerhetsloven § 11 første ledd er vesentlig kortere enn 30 år.

Normalt skal tidsangivelsene 2 eller 5 år benyttes. Andre tidsangivelser, herunder inntreden av bestemt begivenhet, kan benyttes dersom det er mer praktisk.

§ 2-5.Automatisk avgradering

Sikkerhetsgradering gjelder i 30 år fra utstedelsen, dersom ikke annet er angitt. Etter 30 år bortfaller graderingen automatisk.

Dersom det bes om innsyn i sikkerhetsgradert dokument utstedt før regler om unntak fra automatisk avgradering ble fastsatt ved kgl.res. av 7. oktober 1988 nr. 835, skal det vurderes om dokumentet skal unntas fra automatisk avgradering i samsvar med § 2-6. Vurderingen skal også foretas før dokumenter av tilsvarende art avleveres til Arkivverket.

§ 2-6.Unntak fra automatisk avgradering

Ved behov for beskyttelse av informasjon ut over 30 år, jf. sikkerhetsloven § 11, kan informasjonen unntas fra automatisk avgradering. Dette kan for eksempel være nødvendig ved beskyttelse av informasjon om forholdet til fremmede makter, kritisk infrastruktur, beredskapsplaner, kryptosikkerhet, og kilder og metoder i etterretnings-, overvåkings- og sikkerhetstjeneste. Ved unntak fra automatisk avgradering skal avgradering vurderes etter 40 år og deretter hvert 10. år.

C. Forholdet til utenlandske og internasjonale sikkerhetsgrader

§ 2-7.Gradering ved spredning internasjonalt

Informasjon som skal gis til fremmed stat, utenlandsk virksomhet eller internasjonal organisasjon i samsvar med § 3-2, skal påføres gradering og spesielle merker i samsvar med inngått sikkerhetsavtale.

§ 2-8.Korresponderende sikkerhetsgrader

NSM fastsetter hvilke sikkerhetsgrader utstedt av fremmed stat eller internasjonal organisasjon som korresponderer med de norske sikkerhetsgradene i sikkerhetsloven § 11, jf. § 1-1 andre ledd.

D. Omgradering og innsyn

§ 2-9.Hva omgradering kan gå ut på

Omgradering kan foretas for å gi en informasjonsmengde høyere (oppgradering) eller lavere (nedgradering) sikkerhetsgrad, gjøre informasjonsmengden ugradert (avgradering), eller gi unntak fra automatisk ned- eller avgradering av informasjon.

§ 2-10.Når omgradering skal vurderes

Omgradering skal vurderes ved

1. endret beskyttelsesbehov etter sikkerhetsloven § 11 første ledd,
2. mottak av varsel om antatt feil gradering etter § 2-12,
3. henvendelse om innsyn som nevnt i § 2-13,
4. behandling av informasjonen i tilknytning til en konkret sak,
5. tilfeller der tilsvarende informasjon er gjort kjent i Norge eller utlandet,
6. avlevering av dokumenter til Arkivverket i eller i medhold av arkivloven, og ved
7. andre tilfeller der det er grunn til å revurdere graderingen.

Arkivverket kan nekte å motta sikkerhetsgraderte dokumenter som ikke har vært gjenstand for vurdering etter første ledd nr. 6.

Ned- eller avgradering av maskinlesbare lagringsmedier som sikkerhetsgradert informasjon har vært lagret på, kan bare skje i samsvar med metode godkjent av NSM. Dersom det er dokumenter på lagringsmediet som er arkivverdige, kan dokumentene ikke endres eller tilintetgjøres uten at det foreligger gyldig avgjørelse om kassasjon i samsvar med bestemmelser gitt i eller i medhold av arkivloven.

0 Endret ved forskrift 22 juni 2012 nr. 653 (i kraft 1 juli 2012).
§ 2-11.Hvem som kan omgradere

Informasjon gradert med norsk sikkerhetsgrad kan bare omgraderes av virksomhet som har utstedt informasjonen, av virksomhet overordnet denne, eller av NSM. Overordnet virksomhet kan innenfor sin alminnelige instruksjonsmyndighet også instruere underordnede virksomhet til å omgradere. Informasjon gradert med utenlandsk sikkerhetsgrad kan bare omgraderes av den stat eller organisasjon som har utstedt informasjonen, med mindre det foreligger samtykke til omgradering fra vedkommende stat eller organisasjon.

Dersom den virksomhet som utstedte et sikkerhetsgradert dokument er nedlagt eller omorganisert, skal den virksomhet som har overtatt kildearkivet eller fagoppgavene foreta vurderinger og avgjørelser som ellers er tillagt utsteder.

I tillegg kan Riksarkivaren beslutte avgradering av dokument gradert HEMMELIG eller lavere som er avlevert til Arkivverket, når det må anses åpenbart at det ikke lenger er grunnlag for å gradere dokumentet i samsvar med sikkerhetsloven § 11 første ledd. Beslutningen kan først treffes etter at spørsmålet er forelagt avleverende virksomhet.

§ 2-12.Underretning om behov for eller avgjørelse om omgradering

Mottaker av informasjon skal underrette utsteder dersom det antas at gitt gradering eller mangel på gradering er i strid med sikkerhetsloven § 11 første ledd.

Virksomhet som foretar omgradering skal underrette alle som har mottatt informasjonen om endringen.

§ 2-13.Prosedyrer ved henvendelse om innsyn

Ved henvendelser om innsyn til utsteder av sikkerhetsgradert informasjon skal utsteder uten ugrunnet opphold vurdere om den samlede informasjonen eller deler av den kan avgraderes, jf. § 2-10. Innsyn skal gis i eventuell avgradert informasjon, med mindre det likevel foreligger hjemmel for unntak fra innsyn i eller i medhold av offentlighetsloven eller annen lovbestemmelse.

Er det en annen virksomhet enn utsteder som får henvendelsen om innsyn skal virksomheten som får henvendelsen uten ugrunnet opphold kontakte utsteder for vurdering av avgradering. Utsteder skal uten ugrunnet opphold gi tilbakemelding om informasjonen kan avgraderes. Dersom utsteder avgraderer informasjonen, kan virksomheten som har fått henvendelsen om innsyn gi innsyn i samsvar med første ledd andre punktum.

Virksomhetens leder kan i saker om enkeltvedtak autorisere en part for innsyn i informasjon gradert BEGRENSET, jf. forvaltningsloven § 2 første ledd bokstav b og e og § 19. Part som får innsyn i informasjonen skal gjøres oppmerksom på taushetsplikten etter sikkerhetsloven § 12 og signere en taushetserklæring.

Kapittel 3. Tilgang til sikkerhetsgradert informasjon

§ 3-1.Norsk virksomhet og personer i tjeneste for norsk virksomhet

Forvaltningsorganer kan bare ved tjenstlig behov gis tilgang til eller selv tilvirke sikkerhetsgradert informasjon. Det enkelte departement godkjenner underordnede forvaltningsorganer som har behov for å håndtere sikkerhetsgradert informasjon, med angivelse av hvilken sikkerhetsgrad som er den høyeste organet kan håndtere. Forvaltningsorganer kan godkjenne underordnede forvaltningsorganer innen rammen av egen godkjenning. Fylkesmannen godkjenner fylkeskommunen og primærkommuner i vedkommende fylke.

Privat virksomhet kan bare gis tilgang til sikkerhetsgradert informasjon dersom det er i samsvar med offentlige interesser og ikke i strid med taushetsplikt. Anskaffelsesmyndigheten godkjenner leverandør av sikkerhetsgradert anskaffelse. Det departement som forvalter vedkommende sektor godkjenner private virksomheter som ikke er leverandører.

Det enkelte forvaltningsorgan skal føre oversikt over virksomheter det har godkjent etter første eller andre ledd.

Person som vil kunne få tilgang til sikkerhetsgradert informasjon skal på forhånd sikkerhetsklareres og ved behov autoriseres, jf. sikkerhetsloven § 19. Personen har taushetsplikt og skal påse at uvedkommende ikke kan få tilgang til informasjonen, jf. sikkerhetsloven § 12.

0 Endret ved forskrift 22 juni 2012 nr. 653 (i kraft 1 juli 2012).
§ 3-2.Fremmede stater og internasjonale organisasjoner

Fremmede stater og internasjonale organisasjoner kan bare gis tilgang til norsk sikkerhetsgradert informasjon dersom det er i samsvar med norske interesser og ikke er i strid med taushetsplikt. Det skal foreligge en sikkerhetsavtale med den aktuelle stat eller organisasjon om utveksling av informasjonen og sikkerhetsmessige forhold. Det kan innen forsvars- eller justissektoren gjøres unntak fra kravet til sikkerhetsavtale, dersom det ikke er praktisk mulig å inngå sikkerhetsavtale og det likevel er i Norges interesse å utlevere informasjonen. Ved utlevering skal det skriftlig henvises til den aktuelle sikkerhetsavtalen.

Folkerettslig bindende sikkerhetsavtaler og avtaler hvor den norske stat eller regjering står som part kan bare inngås etter fullmakt fra Kongen, Statsministeren eller Utenriksministeren. Sikkerhetsavtaler hvor Utenriksdepartementet, Justisdepartementet, Forsvarsdepartementet eller NSM står som part sammen med utenlandsk forvaltningsorgan på samme nivå kan inngås uten slik fullmakt, dersom avtalen ikke er folkerettslig bindende eller oppfyllelsen av avtalen ikke omfatter tiltak eller beslutninger som ligger utenfor det norske organs ansvarsfelt. Sikkerhetsavtaler hvor andre enn NSM står som part må før inngåelse forelegges NSM for uttalelse.

NSM skal ha oversikt over inngåtte sikkerhetsavtaler.

Før norsk sikkerhetsgradert informasjon blir gitt til representanter for fremmed stat eller internasjonal organisasjon, skal det forsikres om at deres identitet er korrekt og at de har fullmakt til å representere vedkommende stat eller organisasjon. Det enkelte departement skal for eget ansvars- og myndighetsområde gi instruks om nærmere sikkerhetsprosedyrer for godkjenning og gjennomføring av besøk fra representanter for fremmede stater eller internasjonale organisasjoner.

§ 3-3.Opphør av behov for tilgang

Virksomheten skal ha prosedyrer som ivaretar sikkerheten når personell fratrer, skifter stilling eller funksjon, eller av annen grunn ikke lenger har behov for tilgang til sikkerhetsgradert informasjon eller områder dette håndteres i. Personellet skal levere inn sikkerhetsgraderte dokumenter de er i besittelse av og nøkler, adgangskort og annet materiell som gir tilgang til sikkerhetsgradert informasjon. Virksomheten skal sørge for at personellet blir gjort oppmerksom på at taushetsplikten også gjelder etter fratreden eller skifte av stilling eller oppgaver, jf. sikkerhetsloven § 12.

Kapittel 4. Dokumentsikkerhet

A. Merking

§ 4-1.Påføring av høyeste aktuelle sikkerhetsgrad

Et dokument skal merkes med den høyeste sikkerhetsgrad av informasjon som er i dokumentet.

Journaler skal merkes med den sikkerhetsgrad som tilsvarer høyeste gradering av opplysninger i journalen, f.eks. et dokuments tittel eller annen saksangivelse, og med minimum følgende sikkerhetsgrader:

1. Journal for dokumenter gradert STRENGT HEMMELIG skal merkes STRENGT HEMMELIG.
2. Journal for dokumenter gradert KONFIDENSIELT eller HEMMELIG skal merkes BEGRENSET.
3. Journal for dokumenter med BEGRENSET som høyeste gradering kan være ugradert.

Et maskinlesbart lagringsmedium skal merkes med den høyeste sikkerhetsgrad av informasjon som er eller har vært lagret på mediet. Tidligere lagret informasjon kan ned- og avgraderes i samsvar med § 2-10 tredje ledd.

Arkivmidler og andre enheter som omgir sikkerhetsgraderte dokumenter eller maskinlesbare lagringsmedier skal merkes tydelig med innholdets høyeste sikkerhetsgrad.

Regler om merking av maskinvare i sikkerhetsgodkjente informasjonssystemer er fastsatt i § 5-19 (Merking av sikkerhetsgodkjent informasjonssystem).

0 Endret ved forskrift 22 juni 2012 nr. 653 (i kraft 1 juli 2012).
§ 4-2.Plassering av og tilgjengelighet til sikkerhetsgradering

På dokumenter av papir eller annet materiale med sider skal sikkerhetsgraden påføres lett synlig øverst og nederst på alle dokumentets sider. Dersom siste side er blank, er det tilstrekkelig med ett merke på midten.

I det enkelte dokument i et maskinlesbart lagringsmedium skal sikkerhetsgraden legges inn slik at den er lett synlig eller hørbar ved maskinell avlesing, avspilling eller lignende. Sikkerhetsgraden skal også fremgå i navnet på dokumentet (datafilen) dersom dette er teknisk og praktisk mulig.

På maskinlesbare lagringsmedier skal sikkerhetsgraden plasseres slik at den er lett synlig.

§ 4-3.Påføring av hjemler, delgradering og spesielle merker

I forbindelse med sikkerhetsgraden skal følgende henvisning påføres: «iht. sikkerhetsloven § 11 og § 12 jf. offentleglova § 13». På dokumenter av papir eller annet materiale med sider er det tilstrekkelig at henvisningen påføres første side.

Ved delgradering skal de enkelte informasjonsmengders sikkerhetsgradering fremkomme av forkortelse i parentes til venstre for avsnittets første linje eller deloverskrift. Nasjonale sikkerhetsgrader forkortes henholdsvis SH, H, K og B. Ugradert forkortes U.

Benyttes spesielle merker for tilgang og håndtering, gjelder § 4-2 og § 4-6 tilsvarende.

0 Endret ved forskrift 22 juni 2012 nr. 653 (i kraft 1 juli 2012).
§ 4-4.Påføring av tidsbegrenset gradering, unntak fra automatisk avgradering og omgradering

Dokumenter og maskinlesbare lagringsmedier med tidsbegrenset gradering skal ved sikkerhetsgraden påføres tekst «AVGRADERES etter...år» med angivelse av antall år.

Dokumenter og maskinlesbare lagringsmedier unntatt fra automatisk avgradering (UFAN) skal ved sikkerhetsgraden påføres teksten «Unntatt fra automatisk avgradering iht. sikkerhetsloven § 11».

For dokument av papir eller annet materiale med sider er det tilstrekkelig at teksten bare påføres første side.

Dersom dokument eller maskinlesbart lagringsmedium er gitt tidsbegrenset gradering eller er unntatt fra automatisk avgradering, skal dette også fremgå i referanse, saks- og dokumentnummer eller lignende som er påført dokumentet og av journalen. I referansen skrives henholdsvis «/2 år/», «/5 år/» eller annen tidsangivelse, eller «/UFAN/», foran arkivkoden.

Ved omgradering av utenlandsk gradert informasjon, jf. § 2-11, skal det vises til referansen for den korrespondanse med vedkommende stat eller organisasjon som gir samtykke til omgradering.

0 Endret ved forskrift 22 juni 2012 nr. 653 (i kraft 1 juli 2012).
§ 4-5.Påføring av avgradering ved avlevering til Arkivverket

Ved avlevering av et mindre antall avgraderte dokumenter eller maskinlesbare lagringsmedier til Arkivverket skal hver enkelt enhet påføres tekst «AVGRADERT Dato...... Sign......» med angivelse av dato og signatur.

Ved avlevering av et større antall avgraderte dokumenter av papir eller maskinlesbare lagringsmedier er det tilstrekkelig at emballasjen påføres teksten nevnt i første ledd.

§ 4-6.Merkingens farge

Merking påført i samsvar med § 4-1 til § 4-5 skal ha rød farge. For dokument av papir eller annet materiale med sider er det tilstrekkelig at rød farge bare påføres første og siste side. På maskinlesbare lagringsmedier skal rød farge benyttes, med mindre overflaten er av et materiale som gjør det vanskelig.

§ 4-7.Sidenummer og eksemplarnummer

Sikkerhetsgraderte dokumenter av papir eller annet materiale med sider skal pagineres.

Dokumenter av papir eller annet materiale med sider som er gradert HEMMELIG eller STRENGT HEMMELIG og maskinlesbare lagringsmedier med tilsvarende sikkerhetsgrad, skal i tillegg påføres eksemplarnummer og hvor mange eksemplarer det er utstedt i. Dokumentets totale antall sider skal påføres hver side.

§ 4-8.Påføring av registreringsnummer, vedlegg og adressater

Sikkerhetsgradert dokument skal påføres registreringsnummer (saksnummer og eventuelt dokumentnummer), dato for registreringen, og oversikt over alle vedlegg og adressater. På dokument av papir eller annet materiale med sider som er gradert HEMMELIG eller STRENGT HEMMELIG skal registreringsnummeret påføres hver side, herunder i vedlegg.

Maskinlesbart lagringsmedium skal påføres navn på eier (virksomheten), registreringsnummer (identifikasjonsnummer og eventuelt løpenummer) og dato for registrering i medieregisteret. Maskinlesbare lagringsmedier som er del av ut- eller inngående korrespondanse ved virksomheten skal påføres journalnummer med dato for registreringen i arkivjournalen.

§ 4-9.Sammenhefting

Består et papirdokument av flere sider skal sidene være sammenheftet.

B. Journalføring

§ 4-10.Forholdet til arkivloven med forskrifter

Bestemmelsene om journalføring og annen registrering i dette kapittelet gjelder i tillegg til bestemmelser om tilsvarende forhold i forskrift om offentlige arkiver.

§ 4-11.Journalføring og annen registrering

Inn- og utgående sikkerhetsgraderte dokumenter ved en virksomhet skal journalføres.

Virksomhetens interne dokumenter gradert KONFIDENSIELT eller høyere skal journalføres.

Maskinlesbare lagringsmedier med informasjon gradert KONFIDENSIELT eller høyere ved en virksomhet skal registreres i et eget medieregister.

§ 4-12.Opplysninger i journal- og arkivsystem

Arkivjournalen skal inneholde opplysninger

1. som skal innføres i samsvar med forskrift om offentlige arkiver § 2-7 og § 3-10,
2. om dokumentenes graderingsnivå,
3. om hvem som har forestått eventuell tilintetgjøring av et dokument eller referanse til tilintetgjøringsbevis, og
4. om referanse til adressaters eventuelle kvittering for mottatt forsendelse.
§ 4-13.Opplysninger i medieregistere

Medieregisteret for maskinlesbare lagringsmedier skal inneholde opplysninger om

1. registreringsnummer med dato for registreringen,
2. type medium,
3. eventuell mottaker og avsender, herunder utlån,
4. angivelse av saksinnhold,
5. eventuell referanse til arkivjournal, og
6. opplysninger som nevnt i § 4-12 nr. 2 til 4.
§ 4-14.Journalmedium

Journalen skal føres elektronisk eller på papir.

Elektronisk journal skal tilfredsstille kravene i Noark-standarden eller annet system godkjent av Riksarkivaren. I tillegg skal det informasjonssystem som benyttes for elektronisk journal være sikkerhetsgodkjent for minimum samme sikkerhetsgrad som journalen i samsvar med kapittel 5.

Journal for STRENGT HEMMELIG på papir skal være innbundet.

§ 4-15.Fysisk inndeling av arkivjournaler og medieregistre

Ved journalføring av dokumenter i arkivjournal av papir skal det føres egen journal for dokumenter gradert STRENGT HEMMELIG, og en annen journal for HEMMELIG og KONFIDENSIELT. Dokumenter gradert BEGRENSET kan føres i egen journal, journal for ugraderte dokumenter (åpen journal) eller journal for dokumenter gradert HEMMELIG og KONFIDENSIELT. Dokumenter der bare vedlegg er sikkerhetsgradert skal journalføres i henhold til vedleggenes høyeste graderingsnivå.

Ved registrering av maskinlesbare lagringsmedier i medieregister av papir, skal det føres eget register for medier gradert STRENGT HEMMELIG og et annet register for medier med lavere sikkerhetsgrader.

§ 4-16.Logisk inndeling av arkivjournaler og medieregistre

Ved elektronisk journalføring skal det kunne lages logiske utdrag eller fysiske utskrifter etter tilsvarende inndeling som i § 4-15.

§ 4-17.Offentlighetsjournal

I den kopi av journalen som i samsvar med reglene om offentlighet i forvaltningen fremlegges for noen som ber om innsyn, skal det benyttes nøytrale kjennetegn, utelatelser eller overstrykninger av opplysninger som er sikkerhetsgradert.

C. Forsendelse, intern ombringelse og medbringelse på reise

§ 4-18.Kapittelets anvendelsesområde

Dette kapittelet gjelder sikkerhet ved fysisk forflytning av dokumenter.

Bestemmelser om sikkerhet ved elektronisk overføring av dokumenter er fastsatt i kapittel 5.

§ 4-19.Forsendelsesmetode

Dokument gradert STRENGT HEMMELIG skal sendes med kurer.

Dokument gradert HEMMELIG eller KONFIDENSIELT skal sendes med kurer eller som registrert postsending.

Dokument gradert BEGRENSET kan sendes som ordinær post.

Ved forsendelse av sikkerhetsgradert dokument til utlandet skal kurer benyttes, med mindre NSM har samtykket i annen forsendelsesmåte. Dokument gradert BEGRENSET kan likevel sendes som registrert postsending til og fra stater som er medlem av NATO og til og fra andre fremmede stater etter samtykke fra NSM.

Registrert postsending kan bare sendes med avsenders egen virksomhet, Statens postselskap, eller virksomheter som er godkjent av NSM for denne tjenesten og eventuelt leverandørklarert.

Nærmere bestemmelser om kurerposttjeneste er fastsatt i kapittel 8.

§ 4-20.Emballering

Forsendelsens emballasje, som f.eks. konvolutt, omslagspapir, eske eller kurersekk, skal være ugjennomsiktig. Emballasjen skal være av solid kvalitet slik at brekkasje ikke lett kan oppstå som følge av støt, press eller fuktighet. Emballasjen skal lukkes slik at ingen kan få innsyn i innholdet uten å måtte bryte emballasjen.

Dokument gradert KONFIDENSIELT eller høyere skal sendes i dobbel emballasje. Dobbel emballasje skal også benyttes for dokument gradert BEGRENSET som sendes i samsvar med § 4-19 fjerde ledd andre punktum. Indre emballasje skal forsegles og merkes med sikkerhetsgrad på begge eller eventuelt alle sider. Ytre emballasje skal ikke opplyse om innhold eller merkes med sikkerhetsgrad.

Dokument gradert KONFIDENSIELT kan sendes i enkel emballasje når de bringes med eget bud ved virksomheten. Innpakning skal ikke opplyse om innhold eller merkes med sikkerhetsgrad.

§ 4-21.Adressering

Forsendelser til andre virksomheter skal adresseres med virksomhetens fulle navn og adresse. Ønsker avsenderen at forsendelsen bare skal åpnes av bestemte personer kan den indre innpakning adresseres til en bestemt stillingsinnehaver. Mottakeren plikter i så fall å sørge for at dokumentet uten opphold blir journalført ved arkiv.

§ 4-22.Oversiktsliste og kvittering for dokumenter

Dersom flere dokumenter sikkerhetsgradert KONFIDENSIELT eller høyere sendes i samme forpakning, skal det vedlegges en liste med oversikt over dokumentene og deres sikkerhetsgrad. For dokumenter på maskinlesbare lagringsmedier er det tilstrekkelig at oversikten bare oppgir mediets navn fremfor det enkelte dokument i mediet.

I forsendelse med dokument gradert HEMMELIG eller STRENGT HEMMELIG skal det vedlegges en ugradert kvitteringsblankett, som mottakeren uten opphold skal returnere i kvittert stand. Kvitteringsblanketten skal ha kontrollnummer og angi hvert enkelt dokuments journalnummer, eksemplarnummer og antall sider. Blanketten skal ikke inneholde sikkerhetsgradert informasjon som beskriver saksinnholdet i dokumentet. Avsender beholder gjenpart av kvitteringsblanketten inntil original er mottatt i retur i kvittert stand. Dersom kvitteringsblankett ikke returneres innen rimelig tid skal avsender etterlyse kvitteringen overfor mottaker.

§ 4-23.Medbringelse av sikkerhetsgradert dokument på reise

Dokumenter gradert KONFIDENSIELT eller høyere kan ved reiser bare fjernes fra virksomheten etter tillatelse fra virksomheten. Liste over dokumentene skal deponeres i arkivet eller på den reisendes arbeidsplass. For maskinlesbare lagringsmedier skal det tas en kopi av mediet eller utskrift med oversikt over alle dokumenter gradert KONFIDENSIELT eller høyere. Kopien eller utskriften skal merkes med registreringsnummeret på mediet det stammer fra.

Sikkerhetsgraderte dokumenter skal ikke ekspederes som reisegods eller deponeres i bagasjeoppbevaring. På reiser innenlands kan likevel dokument gradert BEGRENSET deponeres i bagasjeoppbevaring, dersom det benyttes egen oppbevaringsenhet som avlåses og emballasjen forsegles. Maskinlesbart lagringsmedium kan isteden for emballering beskyttes med passordsystem i maskinens programvare.

På reiser utenlands skal sikkerhetsgraderte dokumenter sendes som kurerpost i samsvar med kapittel 8.

Dokument gradert BEGRENSET behøver likevel ikke sendes som kurerpost på reiser utenlands, dersom person autorisert for informasjonen har det i personlig varetekt under hele reisen. Det samme gjelder dokument gradert KONFIDENSIELT, dersom personen har dokumentet i sin varetekt under hele reisen, det er mulig å deponere dokumentet ved norsk utenriksstasjon ved fremkomst, og reisen foregår til NATO-land eller land Norge har sikkerhetsavtale med. Dokumenter gradert BEGRENSET eller KONFIDENSIELT skal emballeres i dobbel konvolutt/forpaktning.

§ 4-24.Intern ombringelse

Internt i en virksomhet skal sikkerhetsgradert dokument bringes rundt av personell autorisert for informasjonen eller bud utpekt for dette formål. Dersom det benyttes bud, skal sikkerhetsgraderte dokumenter være emballert. Ved ombringelse av dokumenter gradert KONFIDENSIELT eller høyere, skal budet være sikkerhetsklarert for høyeste sikkerhetsgrad i forsendelsen.

D. Utlån, mangfoldiggjøring og annen spredning

§ 4-25.Rutiner ved saksbehandling og arkivtjeneste

Sikkerhetsgraderte dokumenter skal bare utstedes eller kopieres i det antall som det tjenstlige behov tilsier. Det skal fremkomme av virksomhetens arkivplan hvor mange kopieksemplarer av journalpliktige dokumenter virksomheten arkivlegger. Det skal innen virksomheten benyttes rutiner som sikrer at sikkerhetsgraderte dokumenter bare gis til personell med nødvendig autorisasjon, herunder rutiner ved mottak og åpning av post og sirkulasjon av dokumenter.

Overlevering av sikkerhetsgraderte dokumenter kan bare skje innenfor rammen av mottakers autorisasjon. Dersom det i tilknytning til overleveringen oppstår tvil om et tjenstlig behov er tilstede, skal rekvirenten eller arkivet kontakte informasjonseier eller autorisasjonsansvarlig for å avklare forholdet.

§ 4-26.Utlånsregistrering

Utlån av sikkerhetsgradert dokument, herunder ved fordeling til første gangs saksbehandling, skal registreres slik at gjenfinning kan skje.

Ved utlån av dokument gradert HEMMELIG eller STRENGT HEMMELIG skal låntager bekrefte mottaket med signatur. Ved retur skal arkivpersonell bekrefte innleveringen med sin signatur. Signaturene skal utstedes ved elektronisk metode godkjent av NSM eller føres på personens utlånskort.

Elektronisk oversendelse av elektronisk dokument anses ikke som utlån og det er derfor tilstrekkelig at oversendelsen bare registrere i samsvar med § 4-11 til § 4-13.

§ 4-27.Utlånskontroll

Virksomheten skal innkreve utlånte dokumenter før personell avgår eller skifter stilling og ha rutiner som sikrer kontroll i slike tilfeller.

Sikkerhetsgradert dokument skal aldri beholdes av saksbehandler over lengre tid og skal returneres til arkivet snarest etter at saksbehandlingen er avsluttet. Dette gjelder likevel ikke sikkerhetsgraderte beredskapsplaner og instrukser som er nødvendige å ha umiddelbart tilgjengelig.

Arkiv og andre som fordeler sikkerhetsgraderte dokumenter skal innkreve forfalte utlån og restanser minimum hver sjette måned.

Virksomhetens leder kan ved særlig behov gi dispensasjon fra krav om oppbevaring i arkivet for sikkerhetsgraderte dokumenter i spesielt utpekte sakstyper. Dispensasjon kan ikke gis for dokument gradert STRENGT HEMMELIG. Virksomheten skal ha oversikt over slike dispensasjoner.

Elektronisk oversendelse av et dokument anses ikke som utlån. Bestemmelser om kontroll og innkreving av dokumenter kommer derfor ikke til anvendelse i slike tilfeller.

§ 4-28.Spredning av informasjon på maskinlesbart lagringsmedium

Ved formidling av sikkerhetsgradert informasjon ved hjelp av maskinlesbare lagringsmedier til andre virksomheter, skal det fortrinnsvis benyttes lagringsmedier som ikke er brukt tidligere.

§ 4-29.Gjenbruk av maskinlesbart lagringsmedium

Maskinlesbart lagringsmedium gradert BEGRENSET eller KONFIDENSIELT som er brukt i et informasjonssystem kan gjenbrukes i et annet informasjonssystem som er sikkerhetsgodkjent for minst samme sikkerhetsgrad, dersom alle som kan få tilgang til lagringsmediet er autorisert for informasjonen på det eller lagringsmediet overskrives minst én gang med slettemetode godkjent av NSM.

§ 4-30.Mangfoldiggjøring av sikkerhetsgradert dokument

Ved kopiering av sikkerhetsgradert dokument skal den som kopierer kontrollere at bare informasjonen som er ment å kopiere blir kopiert.

Dokument gradert konfidensielt eller høyere skal ikke kopieres uten at det enten registreres i journalen dokumentet er innført i, eget kopiregister eller på arkiveksemplaret. I virksomhetens arkivplan eller sikkerhetsinstruks skal det fremkomme hvilken registreringsmetode som benyttes. Registreringen skal inneholde opplysninger om antall kopier og mottaker av kopiene.

E. Tilintetgjøring, evakuering og rekonstruksjon

§ 4-31.Arkivavgrensning og kassasjon som vilkår for tilintetgjøring

Sikkerhetsgradert dokument skal ikke tilintetgjøres før det foreligger avgjørelse om arkivbegrensning eller kassasjon i samsvar av bestemmelser gitt i eller i medhold av arkivloven, med mindre § 4-35 tredje ledd andre punktum kommer til anvendelse.

Avgjørelse om kassasjon av dokument hos leverandør i forbindelse med sikkerhetsgradert anskaffelse kan bare fattes av anskaffelsesmyndigheten.

§ 4-32.Kontroll av tilintetgjøring

Hele tilintetgjøringsprosessen skal skje under visuell kontroll av personer autorisert for informasjonen i dokumentet. Vedkommende skal forsikre seg om at dokumentet ikke kompromitteres og at tilintetgjøringen er fullstendig.

§ 4-33.Registrering i journal

Tilintetgjøring av sikkerhetsgraderte dokumenter og maskinlesbare lagringsmedier som er journalført skal registreres i journalen de er innført i. Den som har utført tilintetgjøringen skal registrere utførelsen med angivelse av dato og signatur i tilknytning til referansen. Brukes tilintetgjøringsordre/-bevis skal det i tilknytning til referansen henvises til bevisets løpenummer.

§ 4-34.Tilintetgjøringsordre/-bevis

Ved tilintetgjøring av dokument eller maskinlesbart lagringsmedium gradert HEMMELIG eller STRENGT HEMMELIG skal det utstedes tilintetgjøringsordre/-bevis. Ordrene/bevisene skal påføres løpenummer og oppbevares samlet i arkivet.

Ordren skal påføres referanse og gradering til de dokumenter som skal tilintetgjøres. Er ordren på papir skal teksten «Siste post» påføres etter siste linje. Den som kan godkjenne tilintetgjøringen i samsvar med § 4-31 skal signere ordren før tilintetgjøringen.

Beviset skal umiddelbart etter tilintetgjøringen dateres og signeres av to autoriserte personer som i hverandres påsyn har kontrollert tilintetgjøringen i samsvar med § 4-32.

0 Endret ved forskrift 22 juni 2012 nr. 653 (i kraft 1 juli 2012).
§ 4-35.Evakuering og ekstraordinær tilintetgjøring ved nødsituasjoner

Ved naturkatastrofer, beredskap eller andre akutte sikkerhetstruende nødsituasjoner skal virksomhetens leder vurdere evakuering og ekstraordinær tilintetgjøring av sikkerhetsgraderte dokumenter.

Dokumenter av betydning for virksomhetens videre rolle i forhold til rikets sikkerhet skal identifiseres, om mulig holdes samlet i lett transportable beholdere, og prioriteres ved evakuering.

Sikkerhetsgraderte dokumenter som det ikke er tid og ressurser til å evakuere skal kasseres i takt med utviklingen i samsvar med gjeldende kassasjonsregler. Er det umiddelbar fare for kompromittering av sikkerhetsgraderte dokumenter og det kan gi sikkerhetstruende virksomhet fordeler i en konflikt, skal tilintetgjøring foretas selv om kravene til kassasjon ikke er oppfylt. De høyest sikkerhetsgraderte dokumenter og dokumenter som i en konflikt kan gi sikkerhetstruende virksomhet vesentlige fordeler skal prioriteres.

Dokumenter som ikke kan evakueres eller tilintetgjøres skal fortsatt sikres. Ytterligere sikkerhetstiltak skal gjennomføres utover minimumskravene dersom dette er nødvendig i henhold til forskrift om sikkerhetsadministrasjon § 3-4 og kapittel 4.

Virksomheten skal ha en plan for gjennomføring av evakuering og tilintetgjøring av dokumenter ved nødsituasjoner, som en del av instruksverket for sikkerhet eller beredskap. Planen skal opplyse om hvem som er ansvarlig for og metode ved hurtig og fullstendig tilintetgjøring av store mengder dokumenter under sterkt tidspress. Det skal i planen redegjøres for forholdet til stedlig politimyndighet og ulykkesledelse for å sikre sikkerhetsgradert informasjon på stedet.

§ 4-36.Metoder for tilintetgjøring

Sikkerhetsgradert dokument skal tilintetgjøres med metode som utelukker lesbar rekonstruksjon av informasjonen, f.eks. brenning, krysskutting, avmagnetisering, sliping eller knusing.

Tilintetgjøringsmetoden skal være godkjent av NSM. Godkjenning er ikke nødvendig ved bruk av krysskutting i biter på maksimalt 4 x 80 millimeter eller strimler med bredde på maksimalt 2 millimeter for BEGRENSET, biter på maksimalt 2 x 15 millimeter for KONFIDENSIELT eller HEMMELIG, og biter på maksimalt 0,8 x 12 millimeter for STRENGT HEMMELIG. Ved knusing av maskinlesbare lagringsmedier med optisk lagret informasjon er det tilstrekkelig med biter på maksimalt 4 x 60 millimeter.

Tjenesteleverandører kan bistå ved tilintetgjøring eller stille anlegg til disposisjon, med mindre bestemmelsene om personellsikkerhet eller sikkerhetsgraderte anskaffelser er til hinder for dette.

§ 4-37.Rekonstruksjon

Rettmessig rekonstruksjon av tapt informasjon gradert KONFIDENSIELT eller høyere på slettet, skadet eller tilintetgjort dokument, kan bare utføres i samsvar med metode godkjent av NSM og av virksomhet som er godkjent av NSM for slik tjeneste.

F. Kontroll og rapportering

§ 4-38.Anvendelsesområde for § 4-39 og § 4-40

Kapittelet gjelder for dokumenter av papir.

Kapittelet gjelder også for maskinlesbare lagringsmedier som sådan, men ikke for det enkelte dokument som er lagret på lagringsmediet.

§ 4-39.Kontrollmetode og rapporteringsrutiner

Virksomhet med dokumenter og maskinlesbare lagringsmedier gradert STRENGT HEMMELIG skal kontrollere tilstedeværelsen ved opptelling hvert år. Opptellingen skal foretas på grunnlag av journal per 31. desember. Antallet og eventuelle uregelmessigheter i journalene skal innen utløpet av januar rapporteres til det departementet virksomheten er underlagt. Det enkelte departement skal rapportere en samlet oversikt til NSM innen utløpet av februar. Rapportene skal graderes HEMMELIG.

Virksomhet med dokumenter og maskinlesbare lagringsmedier gradert HEMMELIG eller lavere skal kontrollere dokumentenes tilstedeværelse ved stikkprøver.

Uregelmessigheter skal rapporteres i samsvar med forskrift om sikkerhetsadministrasjon.

Kryptodokumenter skal kontrolleres og rapporteres om i samsvar med denne forskrifts § 7-25 og § 7-41 til § 7-45.

§ 4-40.Nærmere om krav til kontrollen

Dokument og maskinlesbart lagringsmedium gradert HEMMELIG eller STRENGT HEMMELIG anses redegjort for ved fremleggelse av dokumentet, tilintetgjøringsbevis eller kvittering for overføring til annen virksomhet.

Dokument og maskinlesbart lagringsmedium gradert BEGRENSET eller KONFIDENSIELT anses redegjort for når dokumentet kan fremlegges eller gjøres rede for ved hjelp av journal, utlånskort eller kvittering.

Kapittel 5. Informasjonssystemsikkerhet

0 Hele kapittel 5 endret ved forskrift 22 juni 2012 nr. 653 (i kraft 1 juli 2012).

A) Grunnleggende sikkerhetskrav

§ 5-1.Informasjonssystemsikkerhet

Sikkerhet i informasjonssystemer skal vurderes i henhold til følgende grunnleggende egenskaper:

a. Autentisiteten (ektheten), konfidensialiteten, integriteten og tilgjengeligheten til systemets data og tjenester.
b. Brukernes ansvarlighet for egne handlinger.
c. Tilliten til at sikkerhetstiltak er korrekt implementerte og ivaretar sikkerheten på en effektiv og hensiktsmessig måte.

Nødvendigheten av disse egenskapene skal utledes av informasjonssystemets operative funksjon og miljø, herunder brukernes klarering og autorisasjon, informasjonens gradering, systemets omfang og kompleksitet, samt eksterne tilkoblinger.

§ 5-2.Hovedmål

Tre hovedmål gjelder for informasjonssystemsikkerhet:

1. Sikker plattform. Dette innebærer at:
a. Det skal etableres en helhetlig og enhetlig IKT-infrastruktur med nødvendige sikkerhetsfunksjoner, -strukturer og tillitsnivå.
b. Det skal implementeres og dokumenteres en sikker tilstand, det vil si at sårbarheter for denne infrastrukturen reduseres til et akseptabelt nivå.
2. Sikker drift og vedlikehold. Dette innebærer at:
a. Rutinemessig drift og vedlikehold av systemet skal skje innenfor den sikre tilstanden.
b. Informasjonssystemets faktiske tilstand skal rutinemessig kontrolleres opp mot den sikre tilstanden. Ved deteksjon av avvik skal aktiviteter iverksettes i samsvar med nr. 3.
c. Informasjonssystemet skal kontinuerlig overvåkes for sikkerhetstruende hendelser. Ved deteksjon av slike hendelser skal aktiviteter iverksettes i samsvar med nr. 3.
3. Sikker hendelseshåndtering og gjenoppretting. Dette innebærer at:
a. Hendelsens karakter og omfang skal identifiseres.
b. Mottiltak skal iverksettes og hendelsen bringes under kontroll slik at den ikke lenger utgjør noen trussel mot informasjonssystemet.
c. Informasjonssystemets sikre tilstand skal gjenopprettes, hvis kompromittert.

Sikkerhetstiltakene som utledes av hovedmålene skal løpende oppdateres i henhold til endringer i informasjonssystemets operative miljø. Innenfor alle tre målene skal det gjennomføres kontinuerlig risikostyring.

§ 5-3.Grunnleggende sikkerhetstiltak

Følgende grunnleggende sikkerhetstiltak skal iverksettes for å støtte opp under hovedmålene:

a. Autentisitet. Brukere skal identifiseres og autentiseres før de gis tilgang til data og tjenester. Introduksjon av falske data og tjenester skal detekteres og forhindres.
b. Konfidensialitet. Data skal beskyttes mot uønsket lesing og tjenester skal beskyttes mot uønsket bruk.
c. Integritet. Data skal beskyttes mot uønsket modifikasjon og tjenester skal beskyttes mot uønsket modifikasjon/manipulasjon.
d. Tilgjengelighet. Data skal beskyttes mot uønsket sletting og tjenester skal beskyttes mot uønsket reduksjon/stans.
e. Ansvarlighet. Sikkerhetsrelevante hendelser skal registreres slik at sikkerhetsbrudd kan detekteres så tidlig som mulig, om ikke forhindres. Ved sikkerhetsbrudd skal registreringen kunne bidra til at skadens karakter og omfang kan identifiseres, skaden utbedres, og brukerne holdes ansvarlige for sine handlinger.
f. Tillit. Det skal systematisk kontrolleres at sikkerhetstiltakene er korrekt implementerte og ivaretar sikkerheten på en effektiv og hensiktsmessig måte.
§ 5-4.Omfang og form på sikkerhetstiltak

Sikkerhetstiltak som følger av hovedmålene skal:

a. Forebygge sikkerhetsbrudd.
b. Detektere sikkerhetsbrudd.
c. Reagere på og kontrollere sikkerhetsbrudd.
d. Gjenopprette informasjonssystemets sikre tilstand.
e. Styre sikkerhetstiltakene i punkt a–d.
§ 5-5.Sikkerhetsprinsipper

Følgende prinsipper skal legges til grunn ved utarbeidelse av sikkerhetstiltak:

a. Minimalisme. Sikkerhetsrelevante funksjoner skal ikke ha mer funksjonalitet eller kompleksitet enn strengt nødvendig for å utføre sin tilsiktede oppgave.
b. Minste privilegium. Brukere og funksjoner skal bare tildeles rettigheter som er strengt nødvendige.
c. Redundans. Funksjoner skal ha ekstra kapasitet for å tåle overbelastning og utstyrssvikt.

d. Forsvar i dybden. Flere funksjoner skal ivareta samme sikkerhetsbehov.

e. Selvbeskyttelse. Funksjoner skal ikke ha unødige sikkerhetsmessige avhengigheter til andre sikkerhetsdomener. Dette gjelder både internt i systemet, f.eks. mellom avdelinger, og eksternt mot andre informasjonssystemer.
f. Kontrollert dataflyt. Informasjonsutveksling skal følge veldefinerte mønstre som er underlagt sentral kontroll.
g. Balansert styrke. Sikkerhetsnivået til funksjoner som ivaretar samme sikkerhetsbehov skal være tilnærmet likt på tvers av systemet.

B. Systemtekniske sikkerhetskrav

§ 5-6.Systemteknisk sikkerhet

Med systemteknisk sikkerhet skal forstås hvordan sikkerheten ivaretas i og av informasjonssystemets program- og maskinvare.

§ 5-7.Operasjonsmåter

Operasjonsmåter skal benyttes for å gruppere og kategorisere sikkerhetstiltak i forhold til informasjonssystemenes operative miljø. Såfremt NSM ikke bestemmer annet, skal en av følgende operasjonsmåter benyttes:

1. Dedikert operasjonsmåte. Operasjonsmåten kjennetegnes ved at:
a. Alle brukerne har sikkerhetsklarering for høyeste graderingsnivå som behandles
b. Alle brukerne har autorisasjon for alle graderingene som behandles
c. Alle brukerne har tjenestelige behov for all informasjonen som behandles
2. Fellesnivå operasjonsmåte. Operasjonsmåten kjennetegnes ved at:
a. Alle brukerne har sikkerhetsklarering for høyeste graderingsnivå som behandles
b. Alle brukerne har autorisasjon for alle graderingene som behandles
c. Ikke alle brukere har tjenestelige behov for all informasjonen som behandles, tilgang til data skal reguleres i henhold til brukeres tjenestelige behov.
3. Partisjonert operasjonsmåte. Operasjonsmåten kjennetegnes ved at:
a. Alle brukerne har sikkerhetsklarering for høyeste graderingsnivå som behandles
b. Ikke alle brukere har autorisasjon for alle graderingene som behandles, tilgang til data skal reguleres i henhold til brukeres autorisasjon
c. Ikke alle brukere har tjenestelige behov for all informasjonen som behandles, tilgang til data skal reguleres i henhold til brukeres tjenestelige behov
4. Flernivå operasjonsmåte. Operasjonsmåten kjennetegnes ved at:
a. Ikke alle brukere har sikkerhetsklarering for høyeste gradering som behandles, tilgang til data skal reguleres i henhold til brukeres klarering
b. Ikke alle brukere har autorisasjon for alle graderingene som behandles, tilgang til data skal reguleres i henhold til brukeres autorisasjon
c. Ikke alle brukere har tjenestelige behov for all informasjonen som behandles, tilgang til data skal reguleres i henhold til brukeres tjenestelige behov.

Alle operasjonsmåtene krever at informasjonssystemet har systemseparasjon og sporbarhet, det vil si at:

1. Brukere uten administrative rettigheter (sluttbrukere) ikke kan kompromittere sikkerheten til programvaren i informasjonssystemet.
2. Sikkerhetsrelevante hendelser registreres slik at eventuelle sikkerhetsbrudd kan avdekkes, skadens karakter og ¬omfang kan identifiseres, og individuelt ansvar kan beregnes.

Ved dedikert operasjonsmåte kan det unnlates å implementere systemseparasjon og sporbarhet dersom systemeier aksepterer den risiko for tap av sikkerhet (dvs autentisitet, integritet, tilgjengelig, ansvarlighet og tillit) som måtte følge av dette.

§ 5-8.Sammenkobling av informasjonssystemer

Såfremt ikke NSM bestemmer annet, gjelder at informasjonssystemer med:

1. Dedikert operasjonsmåte skal bare tilknyttes systemer med samme graderingsnivå, autorisasjonskrav og tjenestelige behov.
2. Fellesnivå operasjonsmåte skal bare tilknyttes systemer med samme graderingsnivå og autorisasjonskrav.
3. Partisjonert operasjonsmåte skal bare tilknyttes systemer med samme graderingsnivå. Systemets partisjoner, som hver for seg har fellesnivå operasjonsmåte, skal bare tilknyttes systemer med samme graderingsnivå og autorisasjonskrav.

Der flere enn to informasjonssystemer sammenkobles skal dette skje via et eget informasjonssystem som er dedikert for dette formålet. Dette systemet skal etableres i samsvar med forskrift om sikkerhetsadministrasjon § 2-6 av berørte systemeiere og være en selvbeskyttende felles sone for helhetlig og enhetlig sikring av trafikk mellom de sammenkoblede systemene. Sikringen skal være basert på sammenkoblingsavtaler mellom systemeiere for de tilknyttede systemene samt eventuelle bestemmelser gitt av NSM.

§ 5-9.Sikkerhetsfunksjonalitet og tillitsnivå

NSM fastsetter hvilken systemteknisk sikkerhetsfunksjonalitet som kreves for informasjonssystemer, samt hvordan denne sikkerhetsfunksjonaliteten skal organiseres, installeres, konfigureres, testes, dokumenteres, brukes og driftes.

NSM kan bestemme at hele eller deler av sikkerhetsfunksjonaliteten skal evalueres og sertifiseres i henhold til evalueringskriterier, sikkerhetsprofiler og tillitsnivå angitt av NSM.

For systemintegrasjon av sikkerhetsfunksjonalitet gjelder at:

1. Evaluerte og sertifiserte produkter skal benyttes for å etablere den grunnleggende sikkerhetsfunksjonaliteten og tillitsnivået i informasjonssystemet.
2. Applikasjoner skal gjenbruke den evaluerte og sertifiserte sikkerhetsfunksjonaliteten (integrert sikkerhet).
3. Applikasjoner som introduserer utvidet sikkerhetsfunksjonalitet skal være interoperable med den evaluerte og sertifiserte sikkerhetsfunksjonaliteten og eventuelt annen utvidet sikkerhetsfunksjonalitet.
4. Sikkerhetstjenester skal dekke hele informasjonssystemet, der dette er påkrevd. Fragmenterte sikkerhetsløsninger skal ikke benyttes.
5. Løsninger for punkt 2 til 4 skal baseres på evaluerte og sertifiserte produkter når slike er tilgjengelige.

Systemtekniske sikkerhetstiltak som krever rask utførelse eller som er tilbøyelige til å introdusere feilsituasjoner ved manuell utførelse skal automatiseres.

Systemtekniske sikkerhetstiltak skal normalt kunne fjernstyres.

Store og virksomhetsomspennende informasjonssystemer (entreprise-systemer) skal ha sikkerhetsløsninger som adresserer totalsystemets omfang og kompleksitet. Den operative dimensjonen, med deteksjons-, reaksjons- og gjenopprettingsevne skal vektlegges.

For å ivareta sikkerheten til totalsystemet kan NSM i det enkelte tilfelle bestemme at tiltaksutvikling for store informasjonssystemer skal være underlagt én overordnet systemeier, planleggingsprosses og utviklingsprosess selv når flere parter eier, planlegger eller utvikler systemet.

Eiere av sikkerhetsgradert infrastruktur kan pålegges å regelmessig konsultere NSM i forbindelse med strategiarbeid, langtidsplanlegging, prosjektering og utvikling av informasjonssystemer som krever sikkerhetsmessig godkjenning, slik at NSM får mulighet til å gi strategiske råd, vurdere planlagte aktiviteter opp mot sikkerheten i totalløsningen, identifisere behov for tiltaksutvikling og koordinere tiltaksutvikling på tvers av systemer og virksomheter.

§ 5-10.Kryptografiske mekanismer

Ved overføring, lagring og behandling av sikkerhetsgradert informasjon fastsetter NSM hvilke kryptografiske mekanismer som kreves.

Sikring av sikkerhetsgradert informasjon ved bruk av kryptografiske mekanismer kan bare foretas med kryptoutstyr og metode for administrasjon av kryptonøkler og digitale sertifikater godkjent av NSM.

Ved overføring av sikkerhetsgradert informasjon utenfor kontrollert område skal det benyttes kryptering og dekryptering. Sikkerhetsgradert informasjon kan overføres ukryptert på kabeltype godkjent av NSM, dersom kablene i sin helhet ligger innenfor eget kontrollert område og overføringen er sikret med andre mekanismer, jf. § 5-1 til § 5-9.

Nærmere bestemmelser om administrativ kryptosikkerhet er fastsatt i kapittel 7.

§ 5-11.Beskyttelse mot kompromitterende elektromagnetisk stråling (TEMPEST)

Informasjonssystem for KONFIDENSIELT eller høyere og informasjonssystem for BEGRENSET eller høyere i utenrikstjenesten eller norskkontrollert område i utlandet, skal beskyttes mot at uvedkommende kan få tilgang til sikkerhetsgradert informasjon ved å motta og analysere kompromitterende elektromagnetisk stråling (TEMPEST) fra et informasjonssystem.

Alle enheter i et informasjonssystem skal installeres slik at de på en tilstrekkelig måte hindrer at uvedkommende får tilgang til systemet, sender uautorisert informasjon gjennom systemet, eller skader systemet. Sikringen kan bestå av en kombinasjon av krav til teknisk utstyr, installasjon, forseringshindringer, tilsyn og fysisk kontroll. Med mindre NSM bestemmer annet skal fiberoptiske kabler benyttes i et informasjonssystem.

NSM fastsetter nødvendige tiltak som må iverksettes for å beskytte et informasjonssystem mot TEMPEST.

§ 5-12.Beskyttelse mot uønsket avlytting, innsyn og sporing ved bruk av kommunikasjons- og opptaksutstyr

Informasjonssystemer og kommunikasjons- og opptaksutstyr skal sikres mot utnyttelse til uønsket avlytting eller innsyn i sperrede områder, sikrede konferanserom og spesialrom. Systemer og utstyr skal sikres uavhengig av om det er ment for håndtering av sikkerhetsgradert informasjon. Virksomhetens leder skal sørge for sikring av systemer og utstyr i beskyttet område dersom det etter en risikovurdering anses som nødvendig.

Ved presentasjon av sikkerhetsgradert informasjon hvor flere virksomheter er involvert, f.eks. under møte, konferanse, orientering eller undervisning, er det arrangøren som har ansvaret for at bestemmelsene i første ledd blir overholdt. Ved presentasjon av KONFIDENSIELT eller høyere skal arrangøren som minimum gi de tilstedeværende retningslinjer for bruk av personlig medbrakt informasjonssystem eller kommunikasjons- og opptaksutstyr.

I rom med kryptoutstyr eller med sentralutrustning for nettverkssystem skal det ikke være annet teknisk utstyr som medfører at uønsket personell må gis adgang ved vedlikehold, reparasjon eller kontroll. Dersom elektriske installasjoner og kabelsystem som ikke tilhører informasjonssystemet skal være i samme rom som informasjonssystemet, skal det godkjennes av NSM.

I rom i utlandet med informasjonssystemer for sikkerhetsgradert informasjon skal elektriske installasjoner og kabelsystem ikke installeres som skjult anlegg.

I tilfeller der posisjon eller bevegelse av personer eller mobile enheter er å anse som skjermingsverdig informasjon, skal mobiltelefon, radiosendere eller andre systemer som sender ut signaler slås av eller kobles fra strømforsyning, med mindre det ut i fra en risikovurdering er et operativt behov for at systemene er i funksjon.

§ 5-13.Beskyttelse mot tilsiktet ytre påvirkning

I rom med kryptoutstyr eller med sentralutrustning for nettverkssystem skal det ikke være annet teknisk utstyr som kan true informasjonens eller systemets integritet eller tilgjengelighet, herunder signaler som kan innvirke på systemet.

C. Administrative sikkerhetskrav

§ 5-14.Plikt til å etablere datasikkerhetsorganisasjon

Virksomheter som har informasjonssystemer som behandler sikkerhetsgradert informasjon skal etablere en datasikkerhetsorganisasjon. Organisasjonen skal ha tilstrekkelig myndighet, kompetanse og ressurser til å ivareta sikkerheten i systemene, og skal minimum bestå av datasikkerhetsleder med stedfortreder.

§ 5-15.Krav om sikkerhetsklarering og autorisasjon til brukere med utvidete rettigheter

Datasikkerhetsleder, driftsansvarlige og andre med administrative rettigheter og privilegier skal sikkerhetsklareres og autoriseres for minimum ett graderingsnivå høyere enn informasjonssystemet. Dette gjelder ikke for dedikerte informasjonssystemer.

§ 5-16.Kontroll av maskinlesbare lagringsmedier

Før maskinlesbare lagringsmedier tas i bruk skal innholdets opphav verifiseres og det skal kontrolleres at de ikke inneholder programvare som er ødeleggende eller på annen måte kan true sikkerheten.

§ 5-17.Konfigurasjonsstyring

Det skal etableres rutiner og ansvar for administrativ konfigurasjonsstyring av informasjonssystemet.

Forslag til endringer i godkjent konfigurasjon skal forelegges ansvarlig for konfigurasjonsstyring av informasjonssystemet. Vesentlige endringer i konfigurasjon av et informasjonssystem og enhver endring i konfigurasjon av en kryptoinstallasjon skal forelegges godkjenningsansvarlig for informasjonssystemet.

§ 5-18.Logging

Registrering av sikkerhetsrelevante hendelser (logger), jf. § 5-3 e, skal lagres i minst 5 år.

§ 5-19.Merking av sikkerhetsgodkjent informasjonssystem

Maskinvare i informasjonssystem, herunder sentralutrustning og periferutstyr, skal merkes «Sikkerhetsgodkjent for [graderingsnivå] og [signatur datasikkerhetsleder]» eller «midlertidig brukstillatelse for [graderingsnivå] og [signatur datasikkerhetsleder]». Dato for sikkerhetsgodkjenning, eller midlertidig brukstillatelse, for maskinvare, skal fremgå av et eget medieregister.

Transportable informasjonssystemer skal merkes diskré slik at merking ikke gjør systemet attraktivt for uvedkommende.

Regler om merking av maskinlesbare lagringsmedier er fastsatt i § 4-1 til § 4-8. For merking av kryptoutstyr gjelder i tillegg § 7-17.

§ 5-20.Anskaffelse

Ved anskaffelse av informasjonssystem eller tjenester tilknyttet dette, er den som foretar anskaffelsen ansvarlig for korrekt sikkerhetsgradering av grunnlagsmaterialet. Systemeier skal forsikre seg om at systemet kan sikkerhetsgodkjennes for den høyeste sikkerhetsgraden som skal håndteres. Leverandøren skal dokumentere hvordan sikkerhetskravene oppfylles. Avvik fra eller tvil om oppfyllelse av sikkerhetskravene skal forelegges godkjenningsansvarlig for informasjonssystemet, jf. § 5-28.

Sikkerhetsavtalen skal utformes slik at maskinlesbare lagringsmedier med sikkerhetsgradert informasjon ikke blir returnert til leverandøren.

Ved anskaffelse av kryptoutstyr eller tempestgodkjent utstyr skal utstyr og leverandør være godkjent av NSM.

Bestemmelsene i sikkerhetsloven kapittel 7 og forskrift om sikkerhetsgraderte anskaffelser gjelder for anskaffelsen dersom leverandøren skal få tilgang til eller produsere sikkerhetsgradert informasjon.

NSM kan gi nærmere bestemmelser om anskaffelse, forsendelse og vedlikehold av utstyr som skal behandle sikkerhetsgradert informasjon i utlandet.

§ 5-21.Vedlikehold og reparasjon

Ved vedlikehold eller reparasjon av informasjonssystemer skal:

1. personell ved behov inneha relevant sikkerhetsklaring, kryptokvalifikasjon og autorisasjon,
2. leverandør ved behov leverandørklareres og inngås sikkerhetsavtale med,
3. utstyr som kobles til informasjonssystemet være sikkerhetsgodkjent,
4. lagringsmedier i utstyr som kobles til informasjonssystemet være eid av virksomheten selv, og
5. fjerndiagnostikk bare foregå over kryptert forbindelser godkjent av NSM

Virksomheten skal føre fortegnelse over aktuelt vedlikeholdspersonell med angivelse av eventuelle tillatelser nevnt i første ledd nr. 1.

§ 5-22.Avhending

Avhending av et informasjonssystem skal foregå på en måte som gir tillit til at sikkerhetsgradert informasjon ikke kan gjenvinnes.

For avgradering, tilintetgjøring og gjenbruk av maskinlesbare lagringsmedier gjelder bestemmelsene i § 2-10, § 4-29 og § 4-31 til § 4-36. Etter at lagringsmedier er avgradert eller fjernet fra informasjonssystemet, kan informasjonssystemet avhendes. NSM kan i det enkelte tilfelle bestemme på hvilken måte lagringsmedier av en bestemt type teknologi kan avhendes.

§ 5-23.Bruk av personlig eid utstyr

Informasjonssystem og maskinlesbart lagringsmedium som er personlig eid skal ikke benyttes til håndtering av sikkerhetsgradert informasjon.

D. Sikkerhetsgodkjenning av informasjonssystemer

§ 5-24.Krav om sikkerhetsgodkjenning

Et informasjonssystem skal være sikkerhetsgodkjent før det kan benyttes til håndtering av sikkerhetsgradert informasjon.

Eier av informasjonssystemet skal budsjettere med og dekke alle kostnader ved sikkerhetsgodkjenningen.

Ved endringer i sikkerhetskonseptet skal det gjennomføres en ny sikkerhetsgodkjenning. Ved andre endringer i grunnlaget for sikkerhetsgodkjenning skal systemeier og virksomhetens leder vurdere behov for ny sikkerhetsgodkjenning.

En sikkerhetsgodkjenning gjelder normalt i 3 år.

Systemeier og virksomhetens leder skal minst en gang i året gjennomføre sikkerhetsrevisjon av informasjonssystemet.

§ 5-25.Ansvar for sikkerhetsgodkjenningsprosessen

Virksomhetens leder og systemeier plikter å avsette nødvendige ressurser for å få sikkerhetsgodkjent informasjonssystemer som behandler sikkerhetsgradert informasjon. Ved større prosjekter eller anskaffelser må virksomhetens leder utpeke en prosjektsikkerhetsleder med ansvar for å gjennomføre godkjenningsprosessen, og ved behov etablere en arbeidsgruppe sikkerhet for å koordinere prosessen.

§ 5-26.Gjennomføring av sikkerhetsgodkjenning

Ved sikkerhetsgodkjenning av informasjonssystemer skal virksomhetens leder eller systemeier sørge for at alle sikkerhetskrav fastsatt i eller i medhold av denne forskriften blir ivaretatt.

Sikkerhetsgodkjenning av informasjonssystemer skal gjennomføres på grunnlag av dokumentert sikkerhetskonsept, sikkerhetskrav, sikkerhetstiltak, testing og risikohåndtering. Sikkerhetstiltakene skal verifiseres.

Godkjenningsprosessen skal beskrives i en godkjenningsstrategi, jf. § 5-34.

§ 5-27.Midlertidig brukstillatelse

Ved særlig behov for å sette informasjonssystemet i drift før det er sikkerhetsgodkjent, kan godkjenningsansvarlig gi midlertidig brukstillatelse dersom:

1. Avvik er dokumenterte, herunder sikkerhetskrav, -tiltak og -tester som ikke er oppfylte.
2. Det er sannsynliggjort at avvikene vil bli korrigerte og det foreligger en fremdriftsplan for dette arbeidet.
3. Det foreligger en plan for avvikshåndtering og kompenserende tiltak.
4. Den risiko som følger av punktene 1-3 er dokumentert, vurdert, meddelt og akseptert virksomhetens leder.
5. Det foreligger en godkjenningsstrategi som angir når systemet vil bli lagt frem for endelig sikkerhetsgodkjenning.

NSM kan i særlige tilfeller dispensere fra kravene i første ledd.

§ 5-28.Godkjenningsansvarlig

NSM, eller den som NSM utpeker, er med de unntak som følger av andre og tredje ledd ansvarlig for sikkerhetsgodkjenning av informasjonssystemer.

Så fremt ikke NSM bestemmer annet er virksomhetens leder godkjenningsansvarlig for informasjonssystemer med dedikert operasjonsmåte til og med HEMMELIG samt fellesnivå operasjonsmåte til og med KONFIDENSIELT, gitt at systemet:

1. Er lokalisert i Norge.
2. Ikke har forbindelser til utlandet.
3. Ikke har forbindelser til informasjonssystemer utenfor egen virksomhet.
4. Ikke har forbindelse utenfor kontrollert område.
§ 5-29.Virksomhetens leder som godkjenningsansvarlig

Når virksomhetens leder skal godkjenne et informasjonssystem, kommer samme krav til anvendelse som når NSM er godkjenningsansvarlig.

Rapport om sikkerhetsgodkjenning sendes NSM.

§ 5-30.Sikkerhetsevaluering

Såfremt ikke NSM bestemmer annet skal følgende informasjonssystemer sikkerhetsevalueres:

1. Fellesnivå informasjonssystem for HEMMELIG eller høyere.
2. Partisjonerte informasjonssystemer.
3. Flernivå informasjonssystemer.
4. Kryptoutstyr og metode for administrasjon av kryptonøkler.

Sikkerhetsevalueringen skal som teknisk vurdering søke å påvise om de systemtekniske sikkerhetstiltakene er tilstrekkelige, har nødvendig tillitsnivå, og er gjennomført i samsvar med systemtekniske krav i KSS.

Sikkerhetsevaluering kan utføres av NSM eller den NSM godkjenner for dette formål. Eier av informasjonssystemet skal budsjettere med og dekke alle kostnader ved sikkerhetsevalueringen.

§ 5-31.Sertifisering

Såfremt ikke NSM bestemmer annet skal følgende informasjonssystemer sertifiseres:

1. Fellesnivå informasjonssystem for HEMMELIG eller høyere.
2. Partisjonerte informasjonssystemer.
3. Flernivå informasjonssystemer.
4. Kryptoutstyr.

Sertifiseringen skal gå ut på å avgjøre om det kan gis typegodkjenning av et produkt eller system for håndtering av sikkerhetsgradert informasjon i et informasjonssystem eller del av dette. Sertifiseringen gis på grunnlag av en sikkerhetsevaluering og skal foreligge før sikkerhetsgodkjenning blir gitt.

E. Sikkerhetsdokumentasjon

§ 5-32.Krav til dokumentasjon ved sikkerhetsgodkjenning av informasjonssystemer

Ved sikkerhetsgodkjenning av informasjonssystemer skal det dokumenteres at gjeldende sikkerhetskrav er implementert. Dokumentasjonen skal tilpasses systemets størrelse og kompleksitet. Følgende informasjon skal inngå i dokumentasjonen av det graderte informasjonssystemet:

1. Sikkerhetskonsept
2. Godkjenningsstrategi og gjennomføringsplan
3. Kravspesifikasjon for sikkerhet (KSS)
4. Dokumentasjon utarbeidet i forbindelse med sikkerhetsevaluering og sertifisering, der det er krav om dette, jf. § 5-30 og § 5-31
5. Tempestrisikovurdering, der det er krav om dette, jf. § 5-11
6. Driftsinstruks
7. Brukerinstruks.

NSM kan tilpasse kravene til sikkerhetsdokumentasjon til det enkelte systems behov, jf. § 5-34.

§ 5-33.Sikkerhetskonsept

Virksomhet som eier et informasjonssystem som skal sikkerhetsgodkjennes, skal utarbeide et sikkerhetskonsept for systemet. I sikkerhetskonseptet skal faktorer som er avgjørende for sikkerhetsgodkjenningen beskrives. Relevante faktorer er:

1. systemeier
2. informasjonssystemets hensikt, bruksområde og omfang
3. verdivurdering, herunder informasjonens sikkerhetsgradering
4. brukernes klarering og autorisasjon
5. resultatet av tempestrisikovurdering
6. geografisk og fysisk plassering
7. inndeling i fysiske områder, jf. § 6-3 til § 6-6
8. datakommunikasjon og kryptering
9. sammenkobling med andre systemer
10. operasjonsmåte
11. vurdering av behov for sikkerhetsevaluering og sertifisering
12. systemtekniske aspekter, herunder valg av sikkerhetsfunksjonalitet, -design, -styring, -kontroll og -ledelse, -konfigurasjon og tillit.
§ 5-34.Godkjenningsstrategi og gjennomføringsplan

Der NSM er godkjenningsansvarlig skal prosessen for sikkerhetsgodkjenning beskrives i en godkjenningsstrategi, som er en avtale mellom godkjenningsmyndighet og systemeier.

Dette dokumentet skal beskrive ansvar og aktører i godkjenningsarbeidet, hvilke sikkerhetsdokumenter som skal utarbeides, behov for evaluering og sertifisering av hele eller deler av systemet. I tillegg skal det utarbeides en gjennomføringsplan med leveranser og milepæler frem til endelig sikkerhetsgodkjenning.

For å forenkle godkjenningsprosessen og for å øke muligheten for gjenbruk kan informasjonssystemet deles inn i moduler som godkjennes hver for seg.

NSM kan gi nærmere bestemmelser om dette.

§ 5-36.Kravspesifikasjon for sikkerhet (KSS)

KSS skal i tillegg til alle sikkerhetskrav inneholde sikkerhetstiltak som møter sikkerhetskravene, testdokumentasjon, avvik med risikovurdering og forslag til risikohåndtering.

KSS skal følge informasjonssystemet i hele levetiden fra planlegging, utvikling, implementering og drift til utfasing. Godkjenningsansvarlig kan i det enkelte tilfelle bestemme at det skal utarbeides egne KSSer for deler av informasjonssystemet.

Ved sammenkobling av informasjonssystemer skal det utarbeides en sammenkoblingsavtale og en informasjonsutvekslingsavtale. Dette kan inngå som en del av KSS.

KSS deles inn i følgende deler:

1. Omsetting av sikkerhetskonseptet til kravformuleringer
2. Beskrivelse av sikkerhetstiltakene som møter kravene i punkt 1, inkludert tilhørende teknisk systemdokumentasjon
3. Beskrivelse av hvordan funksjonene er sikkerhetstestet
4. En vurdering av risikoer som følge av ev mangler avdekket under punkt 1 til 3.
5. Angivelse av hvilke fremtidige endringer som er akseptable innen rammen av gitt sikkerhetsgodkjenning.

NSM kan for det enkelte tilfelle fastsette særskilte bestemmelser som avviker fra denne paragrafen.

§ 5-37.Sikkerhetsevaluering og sertifisering

Sikkerhetsevaluering skal dokumenteres på den måten NSM bestemmer i det enkelte tilfelle. I forbindelse med sertifisering skal sertifiseringsmyndigheten utstede et sertifikat og en sertifiseringsrapport.

§ 5-38.Tempestrisikovurdering

Virksomhetens leder er ansvarlig for at det blir utarbeidet en skriftlig TEMPEST risikovurdering i samsvar med § 5-11.

TEMPEST risikovurderingen er en del av sikkerhetsdokumentasjonen. TEMPEST risikovurderingen skal beskrive nødvendige TEMPEST tiltak og gi en nærmere beskrivelse av trussel, verdi og sårbarhet knyttet til systemet. Trussel er avhengig av omfanget av inspiserbart område og om installasjonen er i Norge eller i utlandet. Verdi er avhengig av omfanget av sikkerhetsgradering og mengde av sikkerhetsgradert informasjon. Sårbarhet er avhengig av omfanget av type utstyr som skal brukes og det bygningstekniske rundt systemet. Det skal utarbeides planløsninger som gir nødvendig separasjon mellom informasjonssystemer. Det skal foreligge oppdaterte kart over kabelsystemer som transporterer sikkerhetsgradert informasjon.

§ 5-39.Driftsinstruks

Driftsinstruksen skal beskrive daglige og periodiske rutiner for sikker drift. Instruksen skal blant annet beskrive alle administratorroller og krav til disse, rutinemessig systeminstallasjon og -oppsett, brukeradministrasjon, tilgangskontroll, maskin- og programvarekonfigurasjon, konfigurasjonskontroll, rutinemessig sikkerhetsverifikasjon, systemovervåking, sikkerhetskopiering, reservedrift, vedlikehold, avhending og tiltak mot ødeleggende programvare.

§ 5-40.Brukerinstruks

Brukerinstruksen skal beskrive rutiner for sikker bruk av systemet. Instruksen skal være kjent og lett tilgjengelig for alle brukerne.

Kapittel 6. Fysisk sikring mot ulovlig inntrenging

A. Generelt om behandling og oppbevaring

§ 6-1.Stedlige krav til behandling og oppbevaring

Sikkerhetsgradert informasjon og sikkerhetsgodkjente informasjonssystemer skal behandles og oppbevares innenfor beskyttet eller sperret område. Informasjonen og systemene kan likevel være i personlig varetekt hos autorisert personell i kontrollert område eller forsendes eller medbringes utenfor kontrollert område i samsvar med § 4-18 til § 4-23 eller § 5-5.

NSM kan dispensere fra kravene til behandling og oppbevaring i denne paragrafs første ledd, første punkt.

Dersom et sikkerhetstiltak som er angitt i § 6-10 til § 6-12 ikke er mulig å gjennomføre, skal avviket kompenseres med tilstrekkelig vakthold eller elektronisk overvåking.

0 Endret ved forskrift 22 juni 2012 nr. 653 (i kraft 1 juli 2012).
§ 6-2.Forholdet til arkivloven med forskrifter

For arkivlokaler gjelder bestemmelsene i dette kapittel i tillegg til forskrift om offentlige arkiver kapittel IV. Ved eventuell motstrid skal bestemmelsene som gir høyest grad av sikkerhet gå foran.

B. Inndeling i fysiske områder

§ 6-3.Generelt om inndeling i områder

Ved virksomheter hvor sikkerhetsgradert informasjon eller sikkerhetsgodkjente informasjonssystemer behandles eller oppbevares, skal det foretas en sikkerhetsmessig inndeling i fysiske områder i samsvar med § 6-4 til § 6-6. Områdene skal være klart definert og ha en synlig avgrensning.

§ 6-4.Kontrollert område

Kontrollert område er et område som normalt omgir beskyttet eller sperret område. Kontrollert område kan være ute- eller inneområde som virksomheten eier, bruker eller på annen måte kontrollerer, herunder deler av bygning eller et område rundt virksomheten.

§ 6-5.Beskyttet område

Beskyttet område er et område hvor det behandles eller oppbevares sikkerhetsgradert informasjon eller sikkerhetsgodkjente informasjonssystemer. Beskyttet område kan f.eks. være rom, bygning eller del av bygning.

§ 6-6.Sperret område

Sperret område er et område hvor adgang gir direkte tilgang til sikkerhetsgradert informasjon. Sperret område kan f.eks. være arkiv, operasjonsrom, kommunikasjonsrom eller serverrom.

C. Sikring av de enkelte fysiske områder

§ 6-7.Kontrollert område

Et kontrollert område skal etableres slik at virksomheten kan kontrollere aktiviteten og bortvise uvedkommende.

Dersom det ut i fra en risikovurdering anses å være høy sikkerhetsrisiko for virksomheten, skal kontroll med adgang og ferdsel foretas med fysisk avgrensning av området. Risikovurderingen skal utarbeides i samsvar med forskrift om sikkerhetsadministrasjon. Kontrollen skal sikre at bare personer med tjenstlig behov får adgang.

§ 6-8.Beskyttet område

Beskyttet område skal ha en fysisk avgrensing. Det skal etableres kontroll med adgangen til beskyttet område for å hindre personer uten tjenstlig behov adgang.

Dersom det er KONFIDENSIELT eller høyere i området, skal det føres tilsyn med området. Sikringstiltakene skal utformes slik at uvedkommende ikke får tilgang til området uten at det kan oppdages. Personell som gis permanent adgang, herunder vakter, vedlikeholdspersonell og rengjøringspersonell, skal være sikkerhetsklarert for minimum KONFIDENSIELT. Besøkende skal legitimere seg og registreres i protokoll eller lignende. Besøkende skal ledsages av personell med permanent adgang. Virksomhetens leder kan likevel i det enkelte tilfelle godkjenne besøk uten ledsagelse, dersom den besøkende er sikkerhetsklarert. Adgangskort og besøkskort skal benyttes, med mindre virksomheten er så liten at alle med permanent adgang kjenner hverandre av utseende. Adgangskort og besøkskort skal bæres synlig.

0 Endret ved forskrift 22 juni 2012 nr. 653 (i kraft 1 juli 2012).
§ 6-9.Sperret område

Det skal etableres kontroll med adgangen til sperret område.

Personell som gis adgang skal være autorisert for informasjonen i området. Det skal foreligge en liste over personell som har permanent adgang. Beslutning om å gi permanent adgang skal tas av virksomhetens leder.

Personell uten autorisasjon kan få adgang dersom de legitimerer seg, registreres i protokoll eller lignende, ledsages av personell med permanent adgang, og sikkerhetsgradert informasjon låses ned eller tildekkes. Vakter, vedlikeholdspersonell eller rengjøringspersonell skal ikke gis permanent adgang.

Dersom det bare er BEGRENSET i området er det tilstrekkelig at området er avlåst. Dersom det er store mengder BEGRENSET, herunder lagringsmedier knyttet til sentralutrustning i et informasjonssystem, skal området sikres tilsvarende som for KONFIDENSIELT, jf. femte ledd.

Dersom det er KONFIDENSIELT eller høyere i området skal området sikres slik at uvedkommende ikke får adgang til området uten å etterlate spor. Dører og vinduer skal være forsterket mot innbrudd og avlåst med godkjent låsenhet. Vegger, gulv og tak skal være av solide materialer. Bygningsteknisk konstruksjon med lavere styrkegrad kan likevel benyttes dersom det føres tilsyn med området, f.eks. i form av elektronisk sikringsanlegg som nevnt i syvende ledd.

Dersom det er HEMMELIG i området skal området sikres i samsvar med godkjent spesifikasjon for hvelv. Hvelvdøren skal være utstyrt med to godkjente låsenheter hvorav minst en kombinasjonslås. Bygningsteknisk konstruksjon med lavere styrkegrad likevel benyttes dersom det føres tilsyn med området, f.eks. i form av elektronisk sikringsanlegg som nevnt i syvende ledd.

Dersom det er STRENGT HEMMELIG i området skal området sikres som hvelv, jf. sjette ledd første og andre punktum. Det skal etableres permanent vakthold eller installeres et godkjent elektronisk sikringsanlegg. Et elektronisk sikringsanlegg skal som minimum dekke arealet rundt hvelvet og hvelvdøren og termineres i bemannet vakt der det skal foreligge plan for reaksjon. Beregnet maksimum reaksjonstid skal være kortere enn beregnet innbruddstid.

0 Endret ved forskrift 22 juni 2012 nr. 653 (i kraft 1 juli 2012).

D. Oppbevaring

§ 6-10.Oppbevaring av BEGRENSET

Informasjon gradert BEGRENSET skal oppbevares i avlåst rom eller nedlåst i oppbevaringsenhet.

§ 6-11.Oppbevaring av KONFIDENSIELT

Informasjon gradert KONFIDENSIELT skal oppbevares i sperret område eller i godkjent oppbevaringsenhet plassert innenfor beskyttet område.

§ 6-12.Oppbevaring av HEMMELIG og STRENGT HEMMELIG

Informasjon gradert HEMMELIG eller STRENGT HEMMELIG skal oppbevares i et sperret område sikret i samsvar med § 6-9 henholdsvis sjette og syvende ledd. Informasjon gradert HEMMELIG kan alternativt oppbevares i godkjent oppbevaringsenhet plassert innenfor beskyttet område. Informasjon gradert STRENGT HEMMELIG kan alternativt oppbevares i godkjent oppbevaringsenhet plassert innenfor et sperret område som er sikret i samsvar med § 6-9 femte ledd.

Dør til oppbevaringsenhet eller hvelv for HEMMELIG eller STRENGT HEMMELIG skal være utstyrt med to godkjente låsenheter, hvorav minst en kombinasjonslås. Døren skal ha tilstrekkelige sperremekanismer på hengselsiden. Oppbevaringsenheten skal veie minimum 300 kg eller være boltet fast til vegg eller gulv.

§ 6-13.Oppbevaring av informasjonssystemer i utlandet

For informasjonssystem i utlandet der sikkerhetsrisikoen er høy skal sikkerhetsgodkjente informasjonssystemer, når de ikke er i bruk, oppbevares i sperret område eller oppbevaringsenhet godkjent for samme sikkerhetsgrad som systemet er godkjent for.

§ 6-14.Godkjenningsmyndighet for oppbevaringsenheter og hvelv

NSM er godkjenningsmyndighet for oppbevaringsenhet, spesifikasjon for hvelv og elektronisk sikringsanlegg som det er krav om godkjenning for i henhold til dette kapittelet.

0 Endret ved forskrift 22 juni 2012 nr. 653 (i kraft 1 juli 2012).

E. Låser, nøkler og kombinasjoner

§ 6-15.Bruksnøkler

Nøkler, adgangskort og tilsvarende som gir adgang til kontrollert område skal bare være tilgjengelig for personell som har tjenstlig behov for adgang.

Nøkler, adgangskort og tilsvarende som gir adgang til beskyttet område skal bare være tilgjengelig for personell som er gitt permanent adgang.

Nøkler, adgangskort og tilsvarende som gir adgang til sperret område skal gis samme grad av beskyttelse som kreves for informasjonen de gir tilgang til. Dersom dette ikke er mulig kan oppbevaring skje i forseglet konvolutt eller lignende hos vakthavende personell eller i et fastmontert godkjent nøkkelskap med kombinasjonslås. Nøkkelskapet skal plasseres innenfor et beskyttet område. Nøkkelskapet skal om mulig ikke plasseres samme rom som oppbevaringsenheter med låsenheter som samsvarer med nøklene. Antallet nøkler som oppbevares i et nøkkelskap for flere brukere skal holdes på et minimum.

Dersom det ikke er praktisk mulig å oppbevare nøkler som gir adgang til sperret område i samsvar med tredje ledd, kan nøklene isteden oppbevares i personlig varetekt. Ved personlig varetekt skal nøkkelen være under kontroll av rette innehaver slik at eventuell kompromittering kan oppdages hurtig.

§ 6-16.Kombinasjon og reservenøkkel

Kombinasjonen til kombinasjonslås skal læres av autoriserte personer og ikke skrives ned i andre tilfeller enn nevnt i andre ledd. Kombinasjonen skal skiftes senest hver sjette måned, når autorisert person med kjennskap til den slutter og ved eventuell kompromittering. Tidspunkt for skifte av kombinasjonen skal fremgå av oppslag på innsiden av oppbevaringsenheten eller hvelvdøren.

Virksomheten skal oppbevare reservenøkler og nedskrevet kombinasjon til hvelv og oppbevaringsenheter i en egen konvolutt. Konvoluttens beskaffenhet eller innlegg skal være av en slik art at gjennomsyn ved hjelp av sterkt lys eller fuktighet ikke er mulig. Konvolutten skal oppbevares i en annen oppbevaringsenhet eller hvelv med tilsvarende sikkerhetsnivå hos virksomheten.

Dersom virksomheten ikke har annen oppbevaringsenhet eller hvelv med tilsvarende sikkerhetsnivå, kan konvolutten deponeres ved en annen virksomhet som har dette. Konvolutten skal forsegles og påføres opplysning om hvilken oppbevaringsenhet eller hvelv den tilhører, navn på de personer som kan få konvolutten utlevert, og signaturen til den som er ansvarlig oppbevaringsenheten eller hvelvet.

§ 6-17.Kontrollrutiner

Utlevering og innlevering av nøkler skal registreres.

Virksomheten skal regelmessig gjennomføre opptelling av nøkler i samsvar med låsplanen.

Ved tap eller kompromittering av nøkler eller sikkerhetsgradert informasjon om låssystemer skal det foretas reaksjon i samsvar med forskrift om sikkerhetsadministrasjon eller denne forskrifts § 7-41 til § 7-45.

Ved anskaffelse av låssystem skal det avtales rutiner med leverandør for å sikre mot uønsket kopiering, herunder ved etterbestilling av nøkler.

§ 6-18.Godkjenningsmyndighet for låsenheter

NSM er godkjenningsmyndighet for låsenheter som det er krav om godkjenning for i henhold til dette kapittelet.

Kapittel 7. Administrativ kryptosikkerhet

A. Anvendelsesområde, motstrid og dispensasjon

§ 7-1.Anvendelsesområde, motstrid og dispensasjon

§ 4-18 til § 4-35 gjelder ikke for kryptodokumenter som er gitt regnskapskode (RK) eller merket KRYPTO eller NSK. § 4-19 femte ledd og § 4-31 gjelder likevel.

Ved motstrid mellom bestemmelser i kapittel 6 og § 7-36 til § 7-41 går § 7-36 til § 7-41 foran.

NSM kan dispensere fra første ledd i § 7-14, § 7-15 og § 7-27, og § 7-29, § 7-30 andre ledd, § 7-33 fjerde ledd og § 7-36 til § 7-41.

B. Myndighet, oppgaver og organisering innen administrativ kryptosikkerhet

§ 7-2.NSMs myndighet og oppgaver innen kryptosikkerhet

NSM er nasjonal distribusjonsmyndighet for kryptomateriell med ansvar for distribusjon av kryptomateriell og kontroll med regnskap, og «National Distributing Authority Norway (NDA)» i forhold til NATO.

NSM er leverandør av kryptosikkerhetstjenester til utenrikstjenesten, Politiets overvåkingstjeneste, Forsvaret og i forbindelse med den kommunikasjon virksomheter med totalforsvarsoppgaver må ha med Forsvaret av beredskapsmessige hensyn. NSM kan dispensere fra bestemmelsene i dette leddet.

NSM skal produsere kryptonøkler og utgi kryptodokumenter.

NSM skal utpeke virksomheter med myndighet til å gi kryptokvalifisering, jf. § 7-13 til § 7-16, og hovedforvalter for hver type kryptoutstyr.

Følgende skal godkjennes av NSM:

1. Kryptoutstyr, herunder NSK, til beskyttelse av sikkerhetsgradert informasjon. Formidles informasjon sikkerhetsgradert NATO SECRET eller COSMIC TOP SECRET, skal kryptosystemet i tillegg være godkjent av NATO. Informasjon merket ATOMAL, STRENGT HEMMELIG, KRYPTO, EKSKLUSIV eller tilsvarende skal behandles på separate systemer godkjent av NSM.
2. Anskaffelse av kryptomateriell for beskyttelse av sikkerhetsgradert informasjon.
3. Bruk av kryptoutstyr og kryptosystemer, og kryptosikkerheten i den enkelte virksomhet før virksomheten kan ta kryptomateriell i bruk.
4. Andre virksomheter enn NSM som skal levere kryptosikkerhetstjenester, herunder tredjepart for offentlige systemer for fordeling av kryptonøkler.
5. Virksomheter som skal utvikle kryptoutstyr.
6. Andre virksomheter som skal produsere kryptonøkler og kryptodokument. NSM bestemmer type av kryptonøkler og gyldighetsperiode for disse.

Dersom NSM godkjenner virksomhet som nevnt i femte ledd nr. 4 til 6, skal NSM inngå avtale med virksomheten om ansvar og sikkerhetsmessige forhold.

Oversikt over godkjent nasjonalt kryptoutstyr skal utgis av NSM. Oversikt over NATO-godkjent kryptoutstyr utgis av NATO Distribution and Accounting Agency (DACAN).

NSM skal kontrollere at bestemmelsene i denne forskrift følges. Periodiske inspeksjoner for dette formål skal foretas. Rapport fra inspeksjon skal oppbevares i minst fem år hos NSM, den inspiserte virksomheten og eventuelt overordnet virksomhet.

§ 7-3.Hovedforvalters ansvar for kryptoutstyr

Hovedforvalter er ansvarlig for kryptoutstyret i dets levetid, herunder for reparasjon, vedlikehold, avhending og utgivelse av tekniske håndbøker.

§ 7-4.Overordnet virksomhets ansvar for underordnet virksomhet

Overordnet virksomhet skal kontrollere at bestemmelsene i denne forskrift følges av underordnet virksomhet. Periodiske inspeksjoner for dette formål skal foretas. Rapport fra inspeksjon skal oppbevares i minst fem år ved NSM, den inspiserende virksomhet og den inspiserte virksomhet.

§ 7-5.Virksomhet som leverer kryptosikkerhetstjenester eller produserer kryptoutstyr

Virksomhet som skal levere kryptosikkerhetstjenester i samsvar med sikkerhetsloven § 14 andre ledd andre punktum er ansvarlig for salg, utleie, installasjon og drift av kryptoutstyr, og for administrasjon av kryptonøkler. Virksomheten skal føre kontroll med kryptosikkerheten hos brukerne. Virksomhet som ikke er forvaltningsorgan skal være leverandørklarert for den høyeste sikkerhetsgradering av kryptonøkler som blir levert, likevel for minst KONFIDENSIELT.

Ved produksjon av kryptonøkler gradert KONFIDENSIELT eller HEMMELIG skal involvert personell ha kryptokvalifisering grad 1.

Lokaliteter hvor det utføres administrasjon av kryptonøkler og drift av kryptoutstyr skal være fysisk sikret for den høyeste sikkerhetsgrad kryptonøklene har og minst som for KONFIDENSIELT.

Virksomhet som ikke er forvaltningsorgan og skal produsere kryptoutstyr hvor kryptoalgoritmer til NATO eller NSK inngår, skal på forhånd være leverandørklarert for HEMMELIG eller høyere.

§ 7-6.Plikt til å etablere kryptosikkerhetsorganisasjon

Virksomhet som besitter kryptomateriell skal etablere en kryptosikkerhetsorganisasjon med kryptosikkerhetsleder og kryptoforvalter med stedfortredere, og etablere ordning for henting og levering av kryptomateriell med kurerpost.

Kryptosikkerhetspersonellet skal være faglig kvalifisert, herunder kryptokvalifisert, ha nødvendig myndighet i virksomheten og kunne ivareta funksjonen i minst ett år. Personellet skal ikke pålegges andre oppgaver i den utstrekning det fratar dem muligheten til å ivareta funksjonen i samsvar med gjeldende sikkerhetsbestemmelser. Bare personell som har vært fast ansatt i virksomheten i minst ett år kan utpekes til kryptosikkerhetsleder eller kryptoforvalter, med mindre NSM i det enkelte tilfelle samtykker i annet.

§ 7-7.Virksomhetens leder

Virksomhetens leder er ansvarlig for at sikkerhetsbestemmelsene for kryptotjenesten blir fulgt i egen virksomhet, herunder:

1. Skriftlig utpeke kryptosikkerhetsleder og kryptoforvalter med stedfortredere.
2. Minimum en gang i året kontrollere utførelsen av kryptosikkerhetstjenesten.
3. Iverksette nødvendige tiltak for å redusere skadevirkning og rapportere til overordnet virksomhet ved sikkerhetsbrudd, kompromittering, uautorisert endring eller utilgjengelighet av kryptoutstyr eller sikkerhetsgradert informasjon.
4. Snarest rapportere til NSM og klareringsmyndighet i tilfeller av fjerning eller uautorisert fravær av kryptoforvalter eller stedfortreder, og om nødvendig utpeke ny kryptoforvalter eller stedfortreder.
§ 7-8.Kryptosikkerhetsleder

Kryptosikkerhetsleder skal føre daglig tilsyn med at sikkerhetsbestemmelsene for kryptotjenesten blir fulgt, herunder:

1. Sørge for opplæring av personell som arbeider med kryptomateriell slik at de er kjent med instruksene til kryptoutstyr som er i bruk.
2. Gjøre virksomhetens leder oppmerksom på sikkerhetsgradert informasjon som er sendt eller mottatt i et kryptosystem som av kontrollerende myndighet er erklært kompromittert, uautorisert endret eller utilgjengelig.
3. Øyeblikkelig rapportere til virksomhetens leder enhver kjent eller mulig kompromittering, tap, uautorisert tilintetgjøring eller utilfredsstillende oppbevaring av kryptomateriell.
4. Utarbeide plan for tilintetgjøring og evakuering av kryptomateriell i samsvar med § 7-34 og sørge for at nødvendig utstyr er tilgjengelig for å gjennomføre planen.
5. Utarbeide lokal kryptosikkerhetsinstruks som skal godkjennes av virksomhetens leder, og etablere lokale løsninger og prosedyrer for krav angitt i lov eller forskrift skal følges.
§ 7-9.Kryptoforvalter

Kryptoforvalter skal forvalte kryptomateriell ved virksomheten, herunder:

1. Motta, oppbevare og behandle alt kryptomateriell for å hindre tap og kompromittering.
2. Føre løpende kryptoregnskap over kryptomateriell og ha kontroll med hvor regnskapspliktig kryptomateriell befinner seg og hva det brukes til.
3. Utføre tilintetgjøring og sende tilintetgjøringsrapport i samsvar med pålagte krav.
4. Distribuere eller overføre kryptomateriell til autoriserte brukere.
5. Gjøre seg kjent med gjeldende planer for tilintetgjøring, evakuering og beskyttelse av kryptomateriell i tilfelle brann eller andre nødsituasjoner.
6. Etablere prosedyrer for å sikre kontroll med kryptonøkler og annet kryptomateriell som skal overbringes fra en person til en annen.
7. Øyeblikkelig rapportere til virksomhetens leder eller kryptosikkerhetsleder enhver kjent eller mulig kompromittering, tap, uautorisert tilintetgjøring eller utilfredsstillende oppbevaring av kryptomateriell.

Stedfortredende kryptoforvalter skal bistå kryptoforvalter i utførelsen av dennes oppgaver, og i dennes fravær overta ansvar og gjøremål. Stedfortredende kryptoforvalter har ikke ansvar for kryptomateriell når kryptoforvalter er til stede.

Ved fravær over 60 dager skal ny kryptoforvalter utpekes.

Etter et midlertidig fravær skal kryptoforvalter informeres av sin stedfortreder om alle forandringer i regnskapet. Er kryptomateriell overført eller tilintetgjort skal kryptoforvalter kontrollere dette har skjedd korrekt ved å sammenligne overførselen eller tilintetgjøringsrapporten med regnskapet.

Ved skifte av kryptoforvalter skal fratredende og tiltredende kryptoforvalter foreta opptelling av alt registrert kryptomateriell i samsvar med regnskapet. Ved større virksomheter kan kontrollgrupper bistå i utførelsen av kontrollen under ledelse av kryptoforvalter. Fra- og tiltredende kryptoforvalter skal utferdige beholdningsoppgave som skal merkes «bytte av kryptoforvalter» og inneholde alt registrert kryptomateriell tiltredende kryptoforvalter blir ansvarlig for. Signert kopi av beholdningsoppgaven skal beholdes i lokalt regnskap og i tillegg sendes distribusjonsmyndigheten.

Etter å ha kvittert for kryptomateriellet har den nye kryptoforvalter ansvar for regnskapet. Ved mangler eller misligheter i kryptoregnskapet er likevel fratredende kryptoforvalter fortsatt ansvarlig inntil disse er rettet.

§ 7-10.Kryptobruker

Bruker av kryptomateriell skal følge gjeldende bestemmelser for bruk, oppbevaring og tilintetgjøring av materiellet.

§ 7-11.Utdanning av kryptopersonell

Kryptokvalifiserende myndighet skal gi generell opplæring i kryptosikkerhet for personell som skal ha tilgang til kryptomateriell og informasjon om sikkerhet ved kryptotjenesten.

Den enkelte virksomhet skal sørge for at operatører får opplæring i bruk av aktuelt kryptoutstyr.

Hovedforvalter skal sørge for opplæring av personell som skal utføre teknisk vedlikehold eller reparasjon av kryptoutstyr.

Leverandør av kryptosikkerhetstjenester skal i nødvendig utstrekning bistå i opplæringen.

NSM skal godkjenne programmer for opplæring nevnt i første og andre ledd. Opplæringsprogram for kryptosikkerhet skal revideres ved behov og minst hvert annet år. Uavhengig av endringer skal programmer fremsendes til NSM for godkjenning.

C. Kryptoautorisasjon og kryptokvalifisering

§ 7-12.Kryptoautorisasjon

For tilgang til kryptomateriell uten manipuleringssikring godkjent av NSM eller informasjon merket KRYPTO kreves kryptoautorisasjon. Kravet til kryptoautorisasjon gjelder i tillegg til krav om sikkerhetsklarering og autorisasjon etter de alminnelige bestemmelser for personellsikkerhet.

Kryptoautorisasjon kan gis av virksomhetens leder når sikkerhetsklarering og kryptokvalifisering foreligger. Ved utenlandstjeneste kan bare personell med diplomatisk status eller militært personell kryptoautoriseres, med mindre NSM samtykker i annet i det enkelte tilfelle. Blankett godkjent av NSM skal benyttes ved kryptoautoriseringen. Virksomheten skal føre oversikt over eget kryptoautorisert personell.

Virksomhetens leder behøver ikke kryptokvalifisering for å utøve kontroll i samsvar med § 7-7 nr. 2. Leder som ikke er kryptokvalifisert skal ikke ha tilgang til kryptonøkler i klartekst.

§ 7-13.Kryptokvalifiserende myndighet

Kryptokvalifisering gis av NSM eller virksomhet som NSM utpeker.

§ 7-14.Krav til kryptokvalifisering grad 2

Kryptokvalifisering grad 2 kan bare gis når personellet har tjenstlig behov, har sikkerhetsklarering for HEMMELIG/tilsvarende eller høyere, er norsk statsborger og har gjennomført opplæring som nevnt i § 7-11 første ledd.

Tjenstlig behov etter første ledd foreligger bare dersom det er nødvendig å gi personell tilgang til

1. kryptonøkler for testformål eller operativ bruk gradert til og med HEMMELIG,
2. å kryptere eller dekryptere mellom to forbindelsespunkter,
3. informasjon merket KRYPTO, eller
4. kryptoutstyr for det formål å reparere eller vedlikeholde utstyret.
§ 7-15.Krav til kryptokvalifisering grad 1

Kryptokvalifisering grad 1 kan bare gis når personellet har tjenstlig behov, har sikkerhetsklarering for STRENGT HEMMELIG/tilsvarende, er norsk statsborger og har gjennomført opplæring som nevnt i § 7-11 første ledd.

Tjenstlig behov etter første ledd foreligger bare dersom det er nødvendig å gi personell tilgang til

1. kryptonøkler sikkerhetsgradert STRENGT HEMMELIG,
2. kryptonøkler for kryptering og dekryptering mellom flere enn to forbindelsespunkter,
3. å produsere kryptonøkler, eller
4. å operere kryptosystem godkjent for ATOMAL, STRENGT HEMMELIG, KRYPTO, EKSKLUSIV eller tilsvarende.
§ 7-16.Tilbakekallelse av kryptokvalifisering

NSM eller kryptokvalifiserende myndighet kan tilbakekalle en kryptokvalifisering gitt til person som ikke lenger har tilfredsstillende kunnskaper eller ferdigheter i kryptosikkerhet. NSM skal umiddelbart underrettes om tilbakekallingen.

Sikkerhetsloven § 24 gjelder for kryptoautorisasjon så langt den passer.

D. Distribusjon og forvaltning av kryptomateriell

§ 7-17.Klassifisering og merking

Kryptomateriell skal identifiseres med en langtittel som beskriver innholdet eller utstyret, og en korttittel som skal brukes for regnskapsføring. Kryptomateriell kan også identifiseres med et annet navn enn korttittel. Korttittel eller annet navn bestemmes og tildeles av NSM. Individuell korttittel skal være ugradert. Langtittelen sikkerhetsgraderes etter sitt innhold.

Produsent av kryptoutstyr og kryptonøkler skal påføre dette entydig registreringsnummer.

I tillegg til identifikasjon med langtittel, korttittel og registreringsnummer, kan kryptomateriell identifiseres med alfabetiske eller numeriske utgaver.

Informasjon om kryptonøkler, kryptoalgoritmer, sikkerhetsspesifikasjoner om kryptosystemer og detaljer som omhandler egenskaper til kryptosystemer, skal merkes KRYPTO. Dette omfatter blant annet diagrammer og fotografier, informasjon om endringer av kryptosystemer, resultat av sikkerhetstester, detaljert nøkkelinformasjon og spesifikasjon av sikkerhetsstandarder for produksjon av kryptonøkler, og prosesser og metoder for å analysere kryptosystemer.

NSMs sertifiserte kryptoalgoritme skal merkes NSK.

Virksomhet som anskaffer kryptoutstyr kan overfor NSM foreslå klassifiseringen kontrollert kryptoutstyr (CCI) av spesifiserte ugraderte elektroniske eller akustiske komponenter eller utstyr, som tillates benyttet til håndtering av sikkerhetsgradert informasjon i informasjonssystemet. NSM avgjør klassifiseringen. Kontrollert kryptoutstyr tilsvarer NATOs betegnelse «Controlled Cryptographic Item» (CCI) og skal merkes CCI.

§ 7-18.Distribusjon av kryptomateriell

NSM og virksomhet som leverer kryptosikkerhetstjenester skal påse at prosedyrer for sikker distribusjon, behandling, lagring, rapportering og regnskapsførsel er ivaretatt. Kryptomateriell fra NSM skal distribueres direkte til brukere eller til en underordnet kryptodistribusjonsmyndighet for videre distribusjon til brukere. Virksomhet som leverer kryptosikkerhetstjenester som er godkjent av NSM kan etablere tilsvarende distribusjonskanaler.

Bestilling og avbestilling av kryptomateriell skal sendes tjenestevei til godkjenningsmyndigheten. NSM og virksomhet som leverer kryptosikkerhetstjenester fordeler materiellet etter oppdrag fra godkjenningsmyndigheten. Kryptonøkler til opplæring og testing skal bestilles direkte fra NSM eller virksomhet som leverer kryptosikkerhetstjenesten. Kryptonøklene skal ikke brukes til andre formål enn opplæring og testing.

Nasjonale kryptonøkler skal bestilles minst tre måneder før de skal tas i bruk. NATOs kryptonøkler skal bestilles minst seks måneder før de skal tas i bruk.

§ 7-19.Forsendelse

Materiell merket KRYPTO skal sendes med kurer.

Ved forsendelse til utlandet av materiell merket NSK eller CCI skal kurer benyttes. I andre tilfeller kan materiell merket NSK eller CCI også sendes med registrert postsending eller andre metoder godkjent av NSM. Benyttes andre forsendelsesmetoder enn kurer skal avsender varsle mottaker om forsendelsesmetode og når forsendelsen kan ventes mottatt. Mottaker skal underrette avsender hvis forsendelsen ikke mottas til avtalt tid eller det er grunn til å tro at forsendelsen kan ha vært utenfor kontroll.

Elektronisk overføring av kryptonøkler skal skje i system godkjent av NSM.

Sikkerhetsgradert kryptomateriell skal ved forsendelse emballeres i samsvar med § 4-20, med de unntak og tillegg som følger av femte og sjette ledd i paragrafen her.

Ved forsendelse skal materiell merket KRYPTO sendes i dobbel emballasje. Materiell merket NSK eller CCI skal emballeres som for dokumenter gradert KONFIDENSIELT. For materiell merket KRYPTO, NSK eller CCI skal adressering og merking påføres emballasjen som for dokumenter gradert KONFIDENSIELT. I tillegg skal indre emballasje merkes «ÅPNES AV KRYPTOFORVALTER» eller navn på utpekt person. Eventuelt overføringsnummer skal påføres indre og ytre emballasje.

Ved forsendelse av kryptomateriell som ikke er merket KRYPTO, NSK eller CCI skal indre emballasje merkes «ÅPNES AV KRYPTOFORVALTER». Overføringsnummer skal påføres indre og ytre emballasje. Ytre emballasje skal merkes med forsendelsesmetoden som anvendes, f.eks. «MED KURER» eller «REKOMMANDERT POSTSENDING».

E. Kryptoregnskap

§ 7-20.Etablering av kryptoregnskap

Enhver virksomhet som mottar kryptomateriell skal føre kryptoregnskap. Før kryptoregnskap etableres skal virksomheten sende en skriftlig anmodning om dette til NSM, underordnet kryptodistribusjonsmyndighet eller leverandør av kryptosikkerhetstjenester, som skal inneholde

1. navn (tittel) og fullstendig adresse på virksomheten som anmoder om kryptoregnskap,
2. arten av kryptomateriell som skal installeres og tidspunktet virksomheten ønsker det i operativ drift,
3. bakgrunn og begrunnelse for å etablere kryptoregnskap,
4. beskrivelse og stadfesting av at minimumskravene til fysisk sikring for oppbevaring av kryptomateriell kan oppfylles,
5. navn og grad/stilling med fødselsnummer til personer som utpekes til kryptosikkerhetsleder, kryptoforvalter eller deres stedfortredere, og
6. signaturprøver til kryptoforvalter og dennes stedfortreder, undertegnet av virksomhetens leder.

Ved mottak av anmodningen kan NSM, underordnet kryptodistribusjonsmyndighet eller leverandør av kryptosikkerhetstjenester, etablere regnskapet og registrere åpningen av regnskapet og utpekingen av kryptoforvalter og dennes stedfortreder. Bekreftelse som stadfester etableringen av kryptoregnskapet skal sendes anmodende virksomhet.

§ 7-21.Føring av kryptoregnskap

Kryptoregnskapet skal til enhver tid vise beholdningen av kryptomateriell.

Ved mottak av registrert kryptomateriell skal regnskapet uten opphold føres med angivelse av tittel, utgave, regnskapskode, antall og eventuelt registreringsnummer.

Dersom kryptomateriellet ikke har registreringsnummer og heller ikke behøver regnskapsføres med registreringsnummer, skal materiellet føres på regnskapsrapporten som ikke nummerert materiell med angivelsen «NN».

Ved overføring eller tilintetgjøring av registrert kryptomateriell skal materiellet føres ut av regnskapet og rapport sendes distribusjonsmyndigheten.

§ 7-22.Regnskapskoder

I kryptoregnskapet skal det benyttes følgende regnskapskoder (RK) utgitt av NSM, som tilsvarer NATOs Account Legend Codes (ALC), med tilhørende plikter vedrørende regnskapsføring og rapportering:

1. RK 1: Materiellet skal regnskapsføres i alle distribusjonsledd med antall og registreringsnummer. Materiellet skal rapporteres.
2. RK 2: Materiellet skal regnskapsføres i alle distribusjonsledd med antall. Materiellet skal rapporteres.
3. RK 3: Materiellet skal regnskapsføres i alle distribusjonsledd med antall og registreringsnummer. Materiellet skal ikke rapporteres.
4. RK 4: Materiellet skal regnskapsføres i alle distribusjonsledd med antall. Materiellet kan i tillegg føres i det ordinære materiellregnskapet. Materiellet skal ikke rapporteres.
5. RK 5: Ikke i bruk.
6. RK 6: Elektroniske kryptonøkler skal regnskapsføres i alle distribusjonsledd med antall og registreringsnummer. Materiellet skal rapporteres.
7. RK 7: Elektroniske kryptonøkler som er lokalt distribuert skal regnskapsføres lokalt. Materiellet skal ikke rapporteres.

NSM bestemmer i samråd med hovedforvalter hvilke regnskapskoder som skal benyttes for det enkelte materiell.

NSM kan dispensere fra bestemmelsene om regnskapsføring og rapportering.

§ 7-23.Mottak og utlån av kryptomateriell

Ved mottak av kryptomateriell skal kryptoforvalter kontrollere at det er sendt på godkjent måte, at det ikke er brekkasje på ytre og indre emballasje og at innholdet stemmer med overføringsrapporten. Kryptoforvalter skal kvittere på originalen som skal returneres til avsender. Kvittert kopi skal oppbevares som bilag til lokalt regnskap i fem år. Kvittering kan skje elektronisk ved metode godkjent av NSM.

Ved utlån av kryptomateriell fra kryptoforvalter til andre innen virksomheten skal utlånskvittering benyttes. Brukere skal gjøres kjent med deres sikkerhetsmessige ansvar for materiellet inntil det er returnert til kryptoforvalter. Hvis brukere skal tilintetgjøre materiell skal de gjøres oppmerksom på bestemmelsene om tilintetgjøring i § 7-29 til § 7-34.

§ 7-24.Kontroll med mangfoldiggjøring

Mangfoldiggjøring av kryptonøkler og informasjon om sikkerhet ved kryptotjenesten er bare tillatt dersom utsteder har angitt dette eller NSM samtykker. Utdrag og kopier skal gis samme sikkerhetsgrad som originalen.

Utdrag og kopier skal regnskapsføres lokalt inntil de er tilintetgjort og skal påføres et identifikasjonsnummer.

Utdrag av kryptonøkler skal ikke beholdes lenger enn nødvendig og under enhver omstendighet ikke lenger enn 12 timer etter endt kryptoperiode.

§ 7-25.Rapportering

Ved regnskap over kryptomateriell skal det benyttes

1. overføringsrapport ved overføring av kryptomateriell fra ett kryptoregnskap til et annet,
2. mottaksrapport ved mottak av kryptomateriell der overføringsrapport mangler,
3. beholdningsrapport ved opptelling av fysisk beholdning av kryptomateriell, og
4. tilintetgjøringsrapport ved fysisk tilintetgjøring av kryptomateriell.

Underordnet kryptodistribusjonsmyndighet skal kontrollere rapporter fra virksomhetene og sende beholdningsrapport til NSM eller leverandør av kryptosikkerhetstjenester. Virksomheter som mottar kryptomateriell direkte fra NSM skal kontrollere beholdningen og sende beholdningsrapport til NSM.

Ved feil eller mangelfull rapportering skal den aktuelle distribusjonsmyndighet be om tilleggsrapport og iverksette andre nødvendige tiltak for å rette på forholdet.

Rapportering skal skje på fastlagt blankett eller elektronisk format godkjent av NSM.

§ 7-26.Sikkerhetsgradering av regnskap og rapporter

Kryptoregnskap og beholdningsrapporter med oppgave over kryptonøkler skal graderes KONFIDENSIELT. NSM bestemmer for det enkelte tilfelle sikkerhetsgrad for informasjon om kryptonøklers gyldighetsperiode.

For øvrig skal regnskap og rapporter sikkerhetsgraderes etter sitt innhold, likevel minst BEGRENSET.

§ 7-27.Kontroll av beholdning

Materiell klassifisert som RK 1, RK 2 eller RK 6 i samsvar med § 7-22, skal kontrolleres og rapporteres om minst hver sjette måned. Beholdningsrapport skal utarbeides på grunnlag av kryptoregnskapet. Den fysiske tilstedeværelsen av materiellet skal kontrolleres mot beholdningsoppgaven.

Kontrollen skal utføres av kryptoforvalter sammen med et kryptoautorisert vitne. Dersom et kryptoautorisert vitne ikke er tilgjengelig, kan et vitne sikkerhetsklarert for HEMMELIG delta i kontrollen, men skal ikke gis tilgang til kryptonøkler i klartekst. Kryptoforvalteren og vitnet skal signere beholdningsrapporten. Rapporten sendes til distribusjonsmyndigheten. Kopi av rapporten skal inngå som bilag til lokalt kryptoregnskap og skal bevares i fem år.

Dersom en virksomhet flyttes skal kryptomateriellet kontrolleres mot kryptoregnskapet og beholdningsoppgaven før pakking. Etter ankomst til ny lokalisering skal innholdet kontrolleres mot beholdningsoppgaven.

§ 7-28.Avslutning av kryptoregnskap

Opphører behovet for kryptoregnskap, skal virksomheten sende anmodning til distribusjonsmyndigheten om at regnskapet avsluttes og om at ordningen med kryptosikkerhetsleder og kryptoforvalter med stedfortredere opphører.

Kryptoforvalter og stedfortredende kryptoforvalter skal utføre fysisk opptelling av alt registrert kryptomateriell og sende beholdningsoppgave til den aktuelle distribusjonsmyndighet. Distribusjonsmyndigheten skal gi instruksjoner om overføring av materiellet. Foreligger det mangler ved kryptoregnskapet skal samme prosedyrer følges som ved sikkerhetstruende hendelser.

Når gjøremål fastsatt i første og andre ledd er utført skal kryptoregnskapet overføres til den aktuelle distribusjonsmyndighet.

F. Tilintetgjøring

§ 7-29.Tilintetgjøring av kryptonøkler

Kryptonøkler som har vært i bruk skal tilintetgjøres innen 12 timer etter endt gyldighetsperiode. Går gyldighetsperioden ut på en lørdag, søndag eller helligdag, skal tilintetgjøringen utføres første påfølgende virkedag. For kryptonøkler som består av flere segmenter med samme gyldighetsperiode skal det enkelte segment tilintetgjøres når det er lastet korrekt inn. Siste segment skal likevel beholdes i hele gyldighetsperioden.

Fullstendige utgaver som ikke har vært i bruk skal tilintetgjøres innen fem dager etter endt gyldighetsperiode.

Testnøkler og nøkler for undervisningsformål som ikke er merket KRYPTO skal tilintetgjøres når de ikke lenger skal brukes.

Ukryptert kryptonøkkel som er lastet inn i nøkkellader for overføring, lagring eller innlasting av kryptonøkler, skal beskyttes i samsvar med sikkerhetsgraden på kryptonøkkelen. Kryptonøkkelen skal tilintetgjøres innen 12 timer etter innlasting.

Kryptert kryptonøkkel som er lastet inn i nøkkellader kan ligge i nøkkelladeren i hele gyldighetsperioden, men skal tilintetgjøres innen 12 timer etter endt gyldighetsperiode.

§ 7-30.Tilintetgjøring av kryptodokumenter

Kryptodokumenter som er arkivverdige i henhold til arkivloven med forskrifter skal tilintetgjøres i samsvar med § 4-31.

Kryptodokumenter som ikke er arkivverdige skal tilintetgjøres innen 15 dager etter endt gyldighetsperiode.

§ 7-31.Krav til personell som forestår tilintetgjøring

Tilintetgjøring av kryptonøkler skal foretas av kryptoforvalter sammen med et kryptoautorisert vitne, normalt stedfortredende kryptoforvalter. Dersom et kryptoautorisert vitne ikke er tilgjengelig kan isteden et vitne sikkerhetsklarert for HEMMELIG delta i tilintetgjøringen. Dersom kryptoforvalter eller dennes stedfortreder ikke er tilgjengelig innen fristen for tilintetgjøring, skal annet kryptoautorisert personell foreta tilintetgjøringen sammen med et vitne.

Ved mindre virksomheter hvor det i perioder bare er én kryptoautorisert person til stede, skal tilintetgjøring av kryptonøkler likevel utføres innen gjeldende frister. Årsaken til at bare én person har utført tilintetgjøringen skal anmerkes i listen for tilintetgjøring.

§ 7-32.Metoder for tilintetgjøring

Tilintetgjøring av maskinell enhet av kryptoutstyr og nøkkelladere skal utføres i samsvar med brukerinstruks gitt for det enkelte utstyr.

Kryptonøkler og informasjon om sikkerheten ved kryptotjenesten skal uansett tilintetgjøres som for STRENGT HEMMELIG i § 4-36.

Tilintetgjøring av annet kryptomateriell skal utføres i samsvar med metode i § 4-36 for materiellets sikkerhetsgrad.

§ 7-33.Tilintetgjøringsrapport

Ved tilintetgjøring av kryptomateriell skal det utferdiges tilintetgjøringsrapport. Tilintetgjøringsrapporten skal inneholde et løpenummer, kryptomateriellets tittel, utgave, antall og registreringsnummer. Rapporter på papir skal være påført teksten «Siste post» etter siste linje.

Etter tilintetgjøringen skal rapporten signeres av det personellet som har utført tilintetgjøringen og graderes KONFIDENSIELT.

Tilintetgjøringsrapporten skal sendes distribusjonsmyndigheten. Kopi av rapporten skal bevares som bilag i lokalt kryptoregnskap i fem år.

Ved tilintetgjøring av segmenter av kryptonøkler skal segmentlisten signeres av det personellet som har utført tilintetgjøringen. Segmentlisten skal oppbevares som bilag i lokalt kryptoregnskap i fem år.

§ 7-34.Evakuering og ekstraordinær tilintetgjøring

For evakuering og ekstraordinær tilintetgjøring av kryptomateriell gjelder bestemmelsene i § 4-35, med følgende unntak og tillegg:

1. Kravet om samling i lett transportable beholdere gjelder bare for kryptonøkler og kryptodokumenter.
2. Får virksomheten etter en evakuering igjen kontroll over området skal det foretas opptelling av alt kryptomateriell. Ved mangler skal rapportering skje i samsvar med § 7-41 og § 7-45.
3. Ved ekstraordinær tilintetgjøring skal kryptonøkler tilintetgjøres først i følgende rekkefølge; nøkler med utgått gyldighetsperiode, gyldige nøkler og reservenøkler. Deretter skal kryptoutstyr merket KRYPTO, NSK eller CCI tilintetgjøres. Til slutt skal annet kryptomateriell tilintetgjøres. Tilintetgjøringsrapport skal om mulig sendes distribusjonsmyndigheten.

G. Fysisk sikring

§ 7-35.Sikring av kryptomateriell

Kryptoutstyr som det stilles krav om kryptoautorisasjon for å bruke skal installeres i kryptorom. Det skal i tillegg opprettes sperret område.

Kryptoutstyr som det ikke stilles krav om kryptoautorisasjon for å bruke kan installeres i kontrollert område, kontorer eller private hjem, dersom det er beskyttet med manipulasjonssikring godkjent av NSM. Kravene til fysisk sikring fremgår av brukerinstruksen til det enkelte utstyr.

Kryptoutstyr med kryptonøkkel som tillates oppbevart i personlig varetekt skal være under personlig kontroll, nedlåst eller avlåst på godkjent måte, i samsvar med brukerinstruks for det enkelte type utstyr.

Kryptoutstyr merket NSK eller CCI og som ikke er i bruk skal lagres tilsvarende som informasjon gradert KONFIDENSIELT.

§ 7-36.Sikring av kryptorom

Ved nybygg og ombygging av kryptorom skal det ikke fremgå av ugraderte tegninger eller lignende hva rommet skal nyttes til.

Mobile enheter kan benyttes som kryptorom dersom disse er godkjent av NSM.

Kryptorom skal sikres tilsvarende som sperret område med informasjon gradert KONFIDENSIELT. Rommet skal plasseres slik i bygningen at det oppnås størst mulig avstand til områder hvor det ikke utøves fysisk kontroll, og slik at tilstøtende rom og arealer kan kontrolleres og sikres. Plasseringen av kryptorom skal være godkjent av NSM.

Dersom det ikke er mulig å stille et eget rom til disposisjon kan kryptotjenesten foregå i et rom som også blir benyttet til andre formål. Personell uten kryptoautorisasjon skal i så fall ikke ha adgang til rommet når kryptotjeneste utøves. Ordningen skal være godkjent av NSM.

Dører til kryptorom skal være av minimum 40 millimeter heltre eller tilsvarende styrkenivå og være forsvarlig montert. Dersom døren er utvendig hengslet, skal den sikres i bakkant.

Veggene skal gå fra gulv til fast tak og skal ikke kunne demonteres fra utsiden uten at det avsettes spor. I rom med nedsenket himling skal område mellom himling og tak være kontrollerbart.

Kryptorom skal om mulig ikke ha vinduer. Har rommet likevel vinduer skal vinduene være skjermet slik at de ikke slipper gjennom lys og sikret slik at det ikke er mulig å trenge inn i rommet uten å avsette spor.

Ventiler, kanaler og tilsvarende åpninger skal sikres mot inntrenging. Åpninger som er mindre enn 600 cm² skal ha installert lydfeller. Åpninger som er større enn 600 cm² skal i tillegg ha installert gitter eller overvåkingssystem som beskrevet i § 6-9 syvende ledd andre til fjerde punktum.

Helautomatiske ubemannede kryptorom skal sikres med spesielle tiltak etter anvisning fra NSM i hvert enkelt tilfelle.

0 Endret ved forskrift 22 juni 2012 nr. 653 (i kraft 1 juli 2012).
§ 7-37.Adgangskontroll

Det skal gjennomføres kontroll med adgangen til kryptorom. For adgang kreves kryptoautorisasjon. Det skal foreligge en liste over personell som har permanent adgang. Listen skal signeres av virksomhetens leder. Bare én dør skal benyttes for inn- og utpassering. Andre dører skal være forsvarlig sikret mot inntrenging og skal bare kunne åpnes fra innsiden. Besøkende med tjenstlig behov kan få adgang dersom det er godkjent av virksomhetens leder og de ledsages av personell med permanent adgang. Besøkende skal legitimere seg og registreres i protokoll eller lignende besøksregister. Besøksregisteret skal bevares i minst ti år.

I områder hvor det oppbevares store mengder kryptonøkler eller hvor det kryptonøkler produseres eller administreres, skal det etableres adgangsrutiner som sikrer at det alltid er to kryptoautoriserte personer til stede samtidig.

§ 7-38.Oppbevaring

Kryptomateriell merket KRYPTO skal oppbevares som for informasjon gradert HEMMELIG.

Kryptonøkler merket NSK og gradert BEGRENSET skal oppbevares som for informasjon gradert HEMMELIG. Slike kryptonøkler kan likevel oppbevares som for KONFIDENSIELT dersom virksomheten ikke har oppbevaringsenhet for HEMMELIG.

Dersom personell uten kryptoautorisasjon skal ha tilgang til oppbevaringsenhet som inneholder materiell merket KRYPTO, skal personellet ha sikkerhetsklarering for minst HEMMELIG/tilsvarende og materiellet skal oppbevares i indre låsbar enhet som bare kryptoautorisert personell kan åpne.

Reservekryptonøkler skal oppbevares adskilt fra gyldige kryptonøkler.

§ 7-39.Låser og nøkler

Låsenheter som sikrer oppbevaringsenheter og rom med kryptomateriell skal være godkjent av NSM. Låsene skal ikke inngå i sentralt låssystem. Tap eller kompromittering av låser, nøkler eller kombinasjoner skal straks meldes til kryptosikkerhetsleder og virksomhetens leder.

Nøkler skal opptelles minst hver sjette måned. Dato og signatur fra den som utfører opptellingen skal påføres kontrollskjema, kvittering eller lignende.

§ 7-40.Installasjon av kryptoutstyr

Kryptoutstyr skal beskyttes i samsvar med § 5-11, og installasjonen skal godkjennes av NSM. Etter at installasjonen er godkjent skal det ikke gjøres noen endringer, med mindre det innhentes ny godkjenning.

0 Endret ved forskrift 22 juni 2012 nr. 653 (i kraft 1 juli 2012).

H. Reaksjon ved sikkerhetstruende hendelser

§ 7-41.Typer sikkerhetstruende hendelser

Operative og tekniske sikkerhetstruende hendelser i form av funksjonsfeil og produksjonsfeil på kryptoutstyr, og operatørfeil som har innvirkning på kryptosikkerheten, omfatter blant annet

1. bruk av kryptonøkkel som enten er kompromittert, tidligere brukt og ikke godkjent for gjenbruk, brukt til andre formål enn den er godkjent for, brukt utenfor den tidsperiode den er godkjent for, eller som ikke er godkjent av NSM,
2. avvik fra vedlikeholdsinstruks for et spesifikt kryptoutstyr,
3. utført eller forsøk på reparasjon eller vedlikehold foretatt av uautorisert personell,
4. bruk av forbindelse som ikke er kryptert for å omtale detaljer om feil og feilfunksjoner på kryptoutstyr,
5. forsøk på eller utført modifisering av kryptoutstyr uten godkjennelse, og
6. kompromitterende elektromagnetisk stråling (tempest) fra kryptoutstyr.

Personellmessige sikkerhetstruende hendelser i form av at personer med adgang til kryptomateriell kan ha innvirkning på sikkerheten til kryptomateriell, omfatter blant annet tilfeller der det kan være grunn til å revurdere en persons sikkerhetsklarering og tilfeller hvor det har foregått eller vært forsøk på ulovlig utlevering av informasjon om kryptomateriell.

Fysiske sikkerhetstruende hendelser i form av tap, tyveri, manipulering, uautorisert adgang eller innsyn vedrørende kryptomateriell, eller forsøk på slike handlinger, omfatter blant annet

1. kryptomateriell som er rapportert tilintetgjort, men hvor tilintetgjøring ikke har funnet sted,
2. kryptomateriell som ikke er fullstendig tilintetgjort og deretter forlatt uten tilsyn,
3. forsendelse av kryptomateriell utenfor godkjent distribusjonskanal,
4. kryptomateriell som ikke er korrekt pakket, mottatt med skadet emballasje, eller uforklarlig brekkasje av forsegling på kryptonøkler,
5. bruk av tilintetgjøringsmetoder som ikke er godkjent,
6. mangfoldiggjøring eller reproduksjon av kryptonøkler som ikke er godkjent av NSM eller andre virksomheter som produserer kryptonøkler,
7. brudd på eventuelle krav om tilstedeværelse av to personer samtidig for behandling av kryptomateriell,
8. forfalskning av kryptodokumenter eller kryptonøkler, og
9. manipulering eller inntrenging i et kryptosystem, konstatering av elektroniske overvåkings- eller opptaksanordninger nær et kryptosystem, eller utløsning av sikkerhetsmekanismer mot manipulasjon.
§ 7-42.Generelt om rapporterings- og tiltaksplikt

Alt personell som har tilgang til kryptomateriell skal gjøres oppmerksom på nødvendigheten av straks å rapportere sikkerhetstruende hendelser til kryptosikkerhetsleder. Kryptosikkerhetsleder skal rapportere videre til virksomhetens leder. Virksomheten skal omgående rapportere videre og iverksette umiddelbare tiltak som kan redusere mulige skadevirkninger.

Rapporten skal sendes i det format og med de opplysninger som NSM fastsetter som standard eller for det enkelte tilfelle.

§ 7-43.Nærmere om rapportering

Foreløpig rapport skal avgis ved sikkerhetstruende hendelser. Slik rapport skal avgis innen 24 timer dersom den omhandler kryptonøkler som er gyldige eller blir gyldige innen 15 dager, spionasje, manipulering eller sabotasje mot kryptomateriell, eller mangfoldiggjøring eller reproduksjon av kryptomateriell som ikke er godkjent av NSM. Rapport skal avgis innen 48 timer dersom den omhandler reservekryptonøkler som blir gyldige etter 15 dager eller kryptonøkler med utgått eller ikke angitt gyldighetsperiode, eller innen 72 timer dersom den omhandler andre sikkerhetstruende hendelser.

Utfyllende rapport skal avgis når det fremkommer ny viktig informasjon om et tidligere rapportert forhold.

Endelig rapport skal inneholde en sammenfatning av resultater om alle innhentede opplysninger og undersøkelser, og opplyse om tiltak som er gjennomført eller planlagt for å begrense muligheten for gjentakelse. Foreløpig rapport eller utfyllende rapport kan tjene som endelig rapport dersom den tilfredsstiller kravene til endelig rapport.

Foreløpig, utfyllende og endelig rapport skal sikkerhetsgraderes etter sitt innhold, og om mulig sendes elektronisk med kommunikasjonsmiddel godkjent for aktuell sikkerhetsgrad. Dersom elektroniske kommunikasjonsmidler ikke er tilgjengelig skal rapport om forhold som nevnt i § 7-41 første og andre ledd sendes i samsvar med § 7-19.

§ 7-44.Adressater for rapportering av nasjonalt kryptomateriell

Rapporter som gjelder nasjonalt kryptomateriell skal sendes til NSM eller annen virksomhet som leverer kryptosikkerhetstjenester. Kopi av rapporten skal sendes til overordnet virksomhet og virksomheten hvor den sikkerhetstruende hendelsen fant sted.

§ 7-45.Adressater for rapportering av nasjonalt kryptomateriell

Rapporter om forhold som nevnt i § 7-41 første og annet ledd vedrørende NATOs kryptomateriell skal sendes til den som er kontrollerende myndighet i henhold til NATOs publikasjon «AMSG 600». Ved forbindelse punkt til punkt er virksomhet som har kryptonøkkel med registreringsnummer 1 kontrollerende myndighet. Kopi av rapporten skal sendes til NATO Security and Evaluation Agency (SECAN), European Security and Evaluation Agency (EUSEC) og NSM.

Dersom rapporterende virksomhet ikke er kjent med hvem som er kontrollerende myndighet etter første ledd, skal rapport sendes til SECAN med kopi til EUSEC og NSM.

Dersom det er flere kontrollerende myndigheter for samme kryptomateriell, skal rapport sendes til SECAN og EUSEC med kopi til kontrollerende myndigheter og NSM.

Ved sikkerhetstruende hendelser hos kontrollerende myndighet skal rapport sendes til SECAN med kopi til EUSEC og NSM.

For rapporter om forhold som nevnt i § 7-41 tredje ledd vedrørende NATOs kryptomateriell, skal det for kryptomateriell hvor EUSEC er kontrollerende myndighet sendes rapport til EUSEC, med kopi til SECAN og NSM.

Kapittel 8. Kurerposttjeneste

A. Hvem som kan utføre kurerposttjeneste

§ 8-1.Virksomhet som kan utføre kurerposttjeneste innenlands

Kurerposttjeneste innen Norges grenser kan bare utføres av Forsvaret eller annen virksomhet godkjent av NSM for dette formål.

§ 8-2.Virksomhet som kan utføre kurerposttjeneste utenlands

Kurerposttjeneste i eller til fremmede stater kan bare utføres av utenrikstjenesten.

Kurerposttjeneste i eller til fremmede stater kan også utføres av Forsvaret eller andre virksomheter godkjent av NSM for dette formål, dersom tjenesten utføres i samsvar med NATOs bestemmelser eller andre overenskomster.

0 Endret ved forskrift 22 juni 2012 nr. 653 (i kraft 1 juli 2012).
§ 8-3.Diplomatisk immunitet ved kurerposttjeneste utenlands

Diplomatisk korrespondanse utført av utenrikstjenesten har en særlig beskyttelse i henhold til alminnelige folkerettslige regler. Wienkonvensjonen av 18. april 1961 nr. 1 om diplomatisk samkvem artikkel 27 og Wienkonvensjonen av 24. april 1963 nr. 1 artikkel 35 om konsulært samkvem gir detaljerte bestemmelser om henholdsvis den diplomatiske og konsulære postens ukrenkelighet. Norge har ratifisert begge konvensjonene. Kurerpost som sendes i samsvar med konvensjonenes bestemmelser skal ikke åpnes, tilbakeholdes eller på annen måte kontrolleres av fremmede stater.

Kurerpost sendt i samsvar med andre overenskomster enn Wienkonvensjonene medfører ikke diplomatisk immunitet for kurer eller kurerpost. Åpning foretatt av offentlige tjenestemenn, f.eks. politi og tollere, kan derfor skje i samsvar med nærmere angitte prosedyrer i den enkelte overenskomst.

§ 8-4.Personer som kan utføre sending og mottak

Alt arbeid i forbindelse med sending og mottak av kurerpost skal utføres av personell som er sikkerhetsklarert for aktuell sikkerhetsgrad. Bare særskilt utpekt personell skal ha tilgang til forseglingsutstyr. Forseglingsutstyret skal oppbevares minst som for informasjon gradert KONFIDENSIELT.

§ 8-5.Personer som kan benyttes som kurer

Som kurer kan bare benyttes person som er offentlig tjenestemann, ansatt i virksomhet godkjent av NSM for kurerposttjeneste, eller som er godkjent av Utenriksdepartementet, Forsvaret eller NSM.

Offentlige tjenestemenn og andre som reiser på oppdrag for staten og får sine reiseutgifter dekket av det offentlige, har plikt til ta med kurerpost.

Fast kurer skal være sikkerhetsklarert for STRENGT HEMMELIG og ha kurerposttjeneste som hovedoppgave.

Leilighetskurer skal være sikkerhetsklarert for KONFIDENSIELT eller høyere og kan utføre kurerfrakt i forbindelse med reise for annet formål.

B. Klargjøring for sending

§ 8-6.Vurdering av mengde og reisetid

Avsender skal for det enkelte kureroppdrag ta tilstrekkelig hensyn til vekt, antall kolli, mulighet for oppbevaring underveis, reisemåte, værforhold og tidspunkt for kurerpostens ankomst. Avsender skal varsle mottaker om når kurerpost kan ventes å være fremme.

§ 8-7.Innholdsfortegnelse

Innholdsfortegnelse for forsendelsen utfylles i tre eksemplarer. Ett eksemplar arkiveres hos avsender. De to resterende eksemplarene skal følge med sendingen. Innholdsfortegnelser skal nummereres fortløpende og inneholde opplysninger om hvem som er avsender og mottaker, avsendersted, dato for pakking og forsendelsens vekt. I innholdsfortegnelsen skal det føres hvilke dokumenter, maskinlesbare lagringsmedier eller materiell som er i forsendelsen, med angivelse av registreringsnummer, benevnelse og sikkerhetsgrad. Det enkelte dokument som er på et maskinlesbart lagringsmedium behøver ikke fremgå av innholdsfortegnelsen.

§ 8-8.Emballering, merking og kurerkonvolutt

Avsender skal forsegle posten med to eksemplarer av innholdsfortegnelsen vedlagt. Emballering og merking skal utføres i samsvar med § 4-20 og § 4-21 eller § 7-19. Emballasjen skal merkes «MED KURER» eller med tilsvarende tekst på engelsk eller fransk ved forsendelse til utlandet. Emballasjen skal forsegles med plombe, sikkerhetstape eller annen metode slik at åpning av uvedkommende kan oppdages.

Avsender skal registrere forsendelsen og merke den med registreringsnummeret.

Kurerkonvolutt eller lignende merkelapp skal utstedes og være påført kurersendingens registreringsnummer, mottakers adresse og avsenders stempel eller segl. Konvolutten eller merkelappen skal ikke være påført sikkerhetsgradering.

§ 8-9.Kurersertifikat

Ved kurerforsendelse skal avsender utstede et kurersertifikat.

For forsendelse til utlandet utstedes kurersertifikatet på fransk eller engelsk. Ved forsendelse til nordiske stater kan norsk benyttes isteden. Sertifikatene skal nummereres fortløpende av utsteder. I sertifikatet skal det gis opplysninger om forsendelsens registreringsnummer, kurerens navn, avsender, mottaker, og antall kolli eller vekt. Sertifikatet skal signeres av virksomhetens leder, og påføres virksomhetens stempel.

0 Endret ved forskrift 22 juni 2012 nr. 653 (i kraft 1 juli 2012).
§ 8-10.Instruering av kurer og kvittering

Avsender eller andre som utnevner kurer skal instruere kureren om dennes alminnelige plikter og utstyre kureren med følgedokumenter. Følgedokumentene skal bestå av kurerkonvolutt eller lignende merkelapp, kurersertifikat for bemyndigelse av kureren, og om nødvendig fraktbrev.

Ved avlevering til kurer skal avsender innhente kvittering i henhold til kurersendingens registreringsnummer.

C. Kurerfrakten

§ 8-11.Antall kurerer

Ved forsendelser som krever kurer er det tilstrekkelig at det benyttes én person som kurer.

Dersom én person alene vanskelig kan ha kontroll med den aktuelle forsendelsen til enhver tid, skal det benyttes minst to personer som kurer, f.eks. når forsendelsen er omfangsrik, består av flere kolli, har høy vekt eller fraktes over lange strekninger. Det samme gjelder når reiserute går gjennom områder særskilt utsatt for naturkatastrofer eller sikkerhetstruende hendelser som f.eks. omfattende kriminalitet eller fremmed etterretning.

§ 8-12.Bevæpning

Kurer kan ved særlig behov bevæpnes, dersom dette er godkjent av norsk politi og ikke er strid med overenskomst med eller rettsregler i den aktuelle staten.

§ 8-13.Kurerens kontroll av kurerposten

Kureren skal ved mottak av kurerpost kontrollere at antall kolli er i samsvar med det som er oppgitt i følgedokumentene og at emballasjen er intakt.

§ 8-14.Gjennomføring av kurerreisen

Kureren skal til enhver tid bære følgedokumentene på seg, adskilt fra forsendelsen og lett tilgjengelig.

Forsendelsen skal være i kurerens personlige varetekt under hele reisen. Er kurerposten av et omfang som gjør det upraktisk å ha kurerposten i personlig varetekt i en flycabin, kan kurerposten isteden plasseres i flyets lasterom. Ved plassering i flyets lasterom på innenlands reise, skal kureren kontrollere at luken er lukket og være siste person inn i flyet, og være første person ut av flyet etter landing for kontroll ved utlasting. Ved plassering i flyets lasterom på utenlands reise, skal annet personell som er særskilt utpekt, og ved behov sikkerhetsklarert, forestå mottaket og være til stede for å kontrollere at forsendelsen ikke åpnes ved eventuell mellomlanding eller bytte av fly.

Kureren skal passe på at forsendelsen ikke blir overtatt av andre eller gjennomlyst med røntgen i sikkerhetskontroller på flyplasser eller andre steder, med mindre rett til slik gjennomlysing følger av overenskomst med aktuelle stat. Ved vanskeligheter i sikkerhetskontroller skal kureren fremvise kurersertifikatet, men ikke gi det fra seg. Om nødvendig skal kureren be om å få snakke med kontrollørenes foresatte.

Ved avvik fra fastsatt reisemåte eller beregnet tid eller ved sikkerhetstruende hendelser, skal kureren snarest mulig informere mottaker. Dersom mottaker ikke er tilgjengelig, skal avsender informeres isteden. Kureren skal om mulig tilintetgjøre kurerposten dersom det ikke på annen måte er mulig å forhindre at den kommer uvedkommende i hende.

D. Avlevering til mottaker

§ 8-15.Kontroll av mottakers identitet og innhenting av kvittering

Er mottaker ukjent for kureren skal mottakers identitet kontrolleres før forsendelsen overleveres.

Kureren skal ved avlevering til mottaker innhente kvittering i henhold til registreringsnummeret som forsendelsen er merket med.

§ 8-16.Rette mottaker

Ved utenlands kurerpost skal forsendelsen bringes til utenriksstasjon eller utpekt kurerterminal. Utenriksstasjonen eller kurerterminalen skal sørge for overlevering eller videre forsendelse til adressat.

Ved innenlands kurerpost skal forsendelsen bringes direkte til oppgitt adressat ved virksomheten.

Dersom det ikke er oppgitt nærmere adressat ved virksomheten eller adressaten ikke er tilstede, skal forsendelsen leveres til kurerterminal, arkivet eller annen som er særskilt utpekt. Alternativ mottaker kan åpne ytre emballasje og levere forsendelsen videre med indre emballasje intakt til adressaten. Forsendelsen skal i mellomtiden oppbevares som for HEMMELIG.

§ 8-17.Mottakers kontroll av og kvittering for kurerposten

Mottaker av kurerpost skal overta følgedokumentene og kontrollere at antall kolli er i samsvar med det som er oppgitt i følgedokumentene. Mottaker skal også kontrollere at emballasjen er intakt, herunder at den ikke er skadet eller manipulert med, og at innholdet er i samsvar med innholdsfortegnelsen.

Mottaker skal kvittere på begge eksemplarene av innholdsfortegnelsen, hvorav ett eksemplar arkiveres hos mottaker og ett returneres til avsender. Dersom mottaker ikke selv er endelig adressat skal forsendelsen videreformidles til adressaten.

§ 8-18.Mottakers reaksjon ved kompromittering

Får mottaker informasjon om kompromittering av kurerpost eller mistanke om dette, skal avsender og adressat snarest mulig informeres. Mottaker skal i samarbeid med avsender og adressat foreta nødvendige forebyggende tiltak og undersøkelser for å klarlegge hendelsesforløpet. Rapportering skal skje i samsvar med forskrift om sikkerhetsadministrasjon eller denne forskrifts § 7-41 til § 7-45.

Kapittel 9. Sikring av konferanserom med mer mot uønsket avlytting og innsyn

A. Krav om sikring av rom og varsling for eventuell teknisk sikkerhetsundersøkelse

§ 9-1.Romplassering, sikring og godkjenning

Presentasjon av KONFIDENSIELT eller høyere innenfor beskyttet område kan bare finne sted i godkjent rom. Virksomhetens leder godkjenner rom for presentasjon til og med KONFIDENSIELT. NSM godkjenner rom for presentasjon av HEMMELIG og STRENGT HEMMELIG. Rom godkjent for presentasjon av HEMMELIG eller STRENGT HEMMELIG skal sikres permanent i samsvar med § 9-3 til § 9-10. NSM kan etter en risikovurdering gi dispensasjon fra kravet i fjerde punktum.

Presentasjon av KONFIDENSIELT eller høyere utenfor beskyttet område kan bare finne sted etter samtykke fra NSM i det enkelte tilfelle. Rommet skal i så fall sikres midlertidig i samsvar med § 9-11.

Presentasjon av sikkerhetsgradert informasjon i norsk kontrollert område i utlandet kan bare finne sted etter at rommet er godkjent av NSM for dette formål og sikret som nevnt i første og andre ledd med henvisninger. NSM kan i særlige tilfeller, etter en risikovurdering, gi dispensasjon fra kravet i første punktum.

0 Endret ved forskrift 22 juni 2012 nr. 653 (i kraft 1 juli 2012).
§ 9-2.Varsling og vurdering av behovet for teknisk sikkerhetsundersøkelse

Virksomheten skal varsle NSM ved

1. etablering og etterkontroll av permanent sikrede rom,
2. presentasjon av KONFIDENSIELT eller høyere i rom utenfor beskyttet område,
3. mistanke om ulovlig avlytting eller innsyn i rom for presentasjon av sikkerhetsgradert informasjon, og
4. brudd på § 9-3 til § 9-10.

Varselet skal sikkerhetsgraderes etter sitt innhold og minst BEGRENSET.

NSM avgjør etter en risikovurdering i det enkelte tilfelle om teknisk sikkerhetsundersøkelse skal gjennomføres.

0 Endret ved forskrift 22 juni 2012 nr. 653 (i kraft 1 juli 2012).

B. Permanent sikring av rom

§ 9-3.Generelle krav

Rommet skal sikres mot innsyn og lydgjennomgang.

Et sikret rom skal ikke benyttes til andre formål enn nevnt i § 9-1 dersom det kan svekke sikkerheten.

§ 9-4.Rommets plassering

Rommet skal plasseres i beskyttet området og om mulig slik at tilstøtende lokaler og områdene over og under rommet kan kontrolleres. Dersom slik plassering ikke er praktisk mulig på grunn av byggets beskaffenhet eller størrelse, kan rommet likevel plasseres annet sted innenfor det beskyttede området.

§ 9-5.Lydisolasjon og fysiske avgrensing

Vegger, tak og gulv i det sikrede rommet skal ikke brukes til fremføring av rør, kabler, skorsteiner eller kanaler utover det som er nødvendig for selve rommet.

Rommet skal ha en lyddemping som tilfredsstiller den standard NSM bestemmer skal gjelde for lyddemping.

Nødvendige kanaler og lignende skal utstyres med lydfeller som monteres inne i rommet eller like utenfor.

Paneler, himling og gulvbelegg skal være av en slik art at de ikke helt eller delvis kan løsnes uten at det vises. Nedfelte himlinger skal utstyres med en eller flere plomberte luker som muliggjør kontroll.

Dører skal lydisoleres på samme nivå som rommet for øvrig, f.eks. ved bruk av dobbelte dører, polstring eller tetningslister.

Vinduer skal lydisoleres på samme nivå som rommet for øvrig og innsyn under ulike lysforhold skal hindres. Gardiner skal være ugjennomsiktige ved bruk av lampelys. Vinduene skal monteres slik at forsering utenfra lett kan oppdages. Det skal i sikringen tas hensyn til lokal risikovurdering av blant annet muligheten for innbrudd og rettet avlyttingsutstyr mot vinduer.

0 Endret ved forskrift 22 juni 2012 nr. 653 (i kraft 1 juli 2012).
§ 9-6.Adkomstveier og vinduer

Uvedkommende skal hindres adgang ved avlåsing eller annen adgangskontroll til området. Låsen skal ikke inngå i sentralt låsesystem. Bare særskilt utpekt personell skal få adgang til rommet uten ledsagelse.

Dersom ytre dør er utvendig hengslet skal den sikres i bakkant. Rommet skal for øvrig sikres i samsvar med bestemmelsene gitt i § 6-9, femte ledd. Nøkler til rommet skal oppbevares som for KONFIDENSIELT i samsvar med bestemmelsene gitt i § 6-15, tredje ledd.

Nøkler til rommet skal oppbevares i henhold til høyeste sikkerhetsgrad på informasjonen som presenteres i rommet.

0 Endret ved forskrift 22 juni 2012 nr. 653 (i kraft 1 juli 2012).
§ 9-7.Inventar

Rommet skal møbleres etter sin funksjon og supplering eller utlån av møbler skal ikke finne sted.

Benyttes det hjelpemidler, f.eks. tavle, lerret eller fremvisere, skal hjelpemidlene anskaffes spesielt for rommet.

Inventar eller hjelpemidler som er nytt eller har vært til vedlikehold eller reparasjon skal sikkerhetsundersøkes før det kan bringes inn i rommet.

§ 9-8.Elektriske installasjoner

Dersom oppvarming ikke kan gjøres i forbindelse med ventilasjon, skal elektrisitet nyttes. Når det foreligger særlige grunner kan NSM dispensere fra bestemmelsen i første punktum.

0 Endret ved forskrift 22 juni 2012 nr. 653 (i kraft 1 juli 2012).
§ 9-9.Tilstøtende lokaler

Innredning i og bruk av tilstøtende lokaler skal om mulig være kontrollerbart av virksomheten som disponerer rommet som skal sikres. Tilstøtende lokaler skal ikke ha en funksjon som medfører at uvedkommende jevnlig kan oppholde seg der. Vegg i tilstøtende lokaler som vender mot rommet skal være lett å kontrollere og ikke ha fastmontert inventar.

§ 9-10.Prosedyrebeskrivelse

Det skal foreligge instruks for ansvarlige brukere av rommet som angir rutiner for låsing, oppbevaring av nøkler, beskyttelse mot innsyn, drift av eventuelle ventilasjonssystemer og forbud mot å bringe inventar inn eller ut av rommet.

C. Midlertidig sikring av rom

§ 9-11.Midlertidig sikret rom

Virksomheten som arrangerer møtet eller leder aktiviteten skal velge lokale ut i fra en risikovurdering basert på risikofaktorer som

1. bygningens beliggenhet og naboer,
2. behov for vakthold og andre fysiske sikringstiltak,
3. behov for sikkerhetskontroll av personer med tilknytning til lokalet, og om nødvendig sikkerhetsklarering,
4. lokalets størrelse i relasjon til formålet,
5. innsyn, lydisolasjon og muligheten for kontroll med tilstøtende lokaler, og
6. interiør og utstyr som i særlig grad vil komplisere sikringen.

Når virksomheten har varslet NSM i samsvar med § 9-2, skal NSM gi anvisninger på nødvendige forberedelser og gjennomføring av ytterligere sikkerhetstiltak.

Kapittel 10. Tekniske sikkerhetsundersøkelser

§ 10-1.Hensikten med tekniske sikkerhetsundersøkelser

Hensikten med tekniske sikkerhetsundersøkelser (TSU) er å ved forebyggende kontrollvirksomhet og sikkerhetstiltak påvise sikkerhetsmessig sårbarhet som kan utnyttes til uønsket avlytting og innsyn som beskrevet i sikkerhetsloven § 16, avdekke og motvirke forsøk på uønsket avlytting og innsyn, og gi NSM grunnlag for å gi råd eller pålegg om hvordan slik sårbarhet kan reduseres eller fjernes.

§ 10-2.Iverksettelse av tekniske sikkerhetsundersøkelser

En virksomhet eller dennes overordnede virksomhet kan skriftlig anmode NSM eller den NSM har bemyndiget om TSU av lokaler, gjenstander eller annen eiendom som virksomheten råder over. Dersom anmodningen rettes til bemyndiget organ, skal kopi av anmodningen sendes NSM.

NSM kan også iverksette TSU på eget initiativ.

Virksomhetens leder skal være skriftlig orientert før TSU gjennomføres, med mindre særlige grunner av sikkerhetsmessig art foreligger.

Politiets overvåkingstjeneste skal på forhånd orienteres av NSM om TSU, med mindre TSU gjennomføres i Forsvaret eller særlige grunner av sikkerhetsmessig art foreligger.

§ 10-3.Hvem som kan utføre tekniske sikkerhetsundersøkelser

TSU i Forsvaret og i utenrikstjenesten kan bare utføres av NSM. For øvrig kan NSM generelt eller for det enkelte tilfelle fastsette at en bestemt type TSU kan utføres av virksomhet som bemyndiges av NSM for dette formål. Privat virksomhet som bemyndiges skal inneha leverandørklarering for HEMMELIG eller høyere.

Personell som av NSM benyttes til TSU skal inneha sikkerhetsklarering og være autorisert for STRENGT HEMMELIG/tilsvarende. Personell i virksomheter som er bemyndiget av NSM til å utføre TSU skal inneha sikkerhetsklarering og være autorisert for HEMMELIG/tilsvarende. Personell som benyttes til TSU av kryptorom, kryptoinstallasjoner og kryptoutstyr skal inneha kryptokvalifisering for minimum grad 2. NSM er autorisasjonsmyndighet for personell som skal utføre TSU. Personellet skal ha gjennomført særskilt opplæring i TSU i samsvar med opplæringsprogram godkjent av NSM.

NSM kan fastsette faglige og andre relevante krav til virksomheter som bemyndiges for gjennomføring av TSU og for personell som skal utføre TSU.

§ 10-4.Adgangsbegrensning

Den som skal utføre TSU kan etter samråd med virksomhetens leder fastsette adgangsbegrensning til områder hvor TSU skal utføres.

§ 10-5.Rapportering og etterarbeide

Virksomhet som har utført TSU skal skriftlig rapportere til virksomhetens leder om resultatet. Er det en virksomhet bemyndiget av NSM som har stått for gjennomføringen, skal kopi av rapporten sendes til NSM.

Dersom det ved TSU oppstår mistanke om kompromittering av sikkerhetsgradert informasjon, skal dette rapporteres i samsvar med forskrift om sikkerhetsadministrasjon eller denne forskrifts § 7-41 til § 7-45.

Virksomhet som utfører TSU skal føre register over alle gjennomførte undersøkelser. Registeret skal som minimum inneholde opplysninger om hva som var gjenstand for TSU, tidsrom for gjennomføringen, ansvarshavende og medvirkende personell, sikkerhetsbrudd, og mistanke om eller avdekking av uønsket avlytting eller innsyn eller forsøk på dette.

§ 10-6.Skjermingsbehov

Informasjon om utstyr, teknikker og kapasiteter for gjennomføring av TSU skal sikkerhetsgraderes etter sitt innhold og minst BEGRENSET.

NSM kan bestemme at nærmere bestemt utstyr som benyttes til TSU skal være å anse som skjermingsverdige objekter.

Kapittel 11. Monitoring av og inntrenging i informasjonssystemer

§ 11-1.Hensikten med monitoring

Monitoring er et forebyggende sikkerhetstiltak som har til hensikt å avdekke om det lagres, behandles eller kommuniseres informasjon med høyere sikkerhetsgrad eller skjermingsverdi enn det systemet er godkjent for. Avdekkingen skal danne grunnlag for å kunne fastslå hvorvidt tiltak skal iverksettes for å hindre at informasjon med for høy sikkerhetsgrad eller skjermingsverdi håndteres i systemet.

§ 11-2.Hensikten med inntrengingstesting

Inntrengingstesting er et forebyggende sikkerhetstiltak som ved å utprøve motstandskraften i informasjonssystemene har til hensikt å kontrollere om sikkerhetsgradert informasjon blir beskyttet i samsvar med sikkerhetsloven med forskrifter. Utprøvingen innebærer å teste at tekniske mekanismer oppfyller gjeldende krav og avdekke andre svakheter som gjør sikkerhetsgradert informasjon sårbar. Resultatet av utprøvingen skal gi grunnlag for NSMs anbefaling av tiltak for beskyttelse av sikkerhetsgradert informasjon.

§ 11-3.Kapittelets anvendelsesområde

Kapittelets bestemmelser om monitoring gjelder ikke virksomhetens egen aktivitetsovervåking som ledd i driftsadministrasjon eller for å ivareta sikkerheten i egne informasjonssystemer. Bestemmelsene gjelder heller ikke for kommunikasjonskontroll som politiet kan iverksette som etterforskningsskritt i visse straffesaker.

Kapittelets bestemmelser om inntrengingstesting gjelder ikke for sikkerhetstesting som ledd i utvikling eller drift av informasjonssystemer som virksomhetene selv utfører.

§ 11-4.Iverksettelse av kontrollene

Monitoring eller inntrengingstesting kan bare iverksettes i virksomheter som sikkerhetsloven gjelder for.

Monitoring eller inntrengingstesting kan iverksettes av NSM i virksomheter som anmoder om dette. En virksomhet kan også anmode om monitoring eller inntrengingstesting i dennes underlagte virksomheter.

NSM kan også selv ta initiativ til monitoring eller inntrengingstesting ved å be om samtykke.

Anmodning eller annen form for samtykke skal skje skriftlig. Samtykke kan bare gis av virksomhetens leder. Dersom virksomheten har et styre med administrativ myndighet kan også styret gi samtykke. Det skal fremgå klart hvorvidt anmodningen eller samtykket gjelder monitoring, inntrengingstesting eller begge deler.

Før monitoring eller inntrengingstesting iverksettes, skal virksomheten informere alle ansatte og andre direkte berørte om at kontrollene kan iverksettes, hensikten med og varigheten av kontrollene, og at det er NSM som skal utføre kontrollene. I tillegg skal det før monitoring informeres om hvordan avlest eller avlyttet informasjon blir behandlet, og før inntrengingstesting hvordan avdekkede avvik skal følges opp.

Virksomheten skal tilrettelegge, herunder koordinere med nettleverandør, for gjennomføring av kontrollene.

§ 11-5.Hvem som kan utføre kontrollene

Monitoring eller inntrengingstesting, herunder bearbeiding og analyse av materiale fra kontrollene, kan bare gjennomføres av personell tilhørende NSM eller som for dette formål står under ledelse av NSM.

Vernepliktige mannskaper skal ikke benyttes til å utføre kontrollene.

Personellet skal ha sikkerhetsklarering for STRENGT HEMMELIG/tilsvarende og ved behov ha kryptokvalifisering grad 1. Nødvendige autorisasjoner skal gis av NSM.

Personellet skal ha gjennomført særskilt opplæring i monitoring eller inntrengingstesting i samsvar med opplæringsprogram godkjent av NSM.

NSM fastsetter faglige og andre relevante kvalifikasjonskrav til personell som kan utføre kontrollene.

§ 11-6.Gjennomføring av kontrollene og håndtering av informasjon

Informasjon fra monitoring eller inntrengingstesting kan kopieres til lagringsmedium dersom dette er nødvendig for gjennomføring av analyse. Slike lagringsmedier skal sikkerhetsgraderes etter sitt innhold, likevel minimum BEGRENSET.

Kopiert informasjon som ikke lenger skal anvendes for analyseformål skal tilintetgjøres i samsvar med § 4-31 til § 4-36.

Informasjonen skal tilintetgjøres innen tre måneder etter innsamlingen. Informasjonen kan likevel bevares lenger enn tre måneder, dersom bevaringen er nødvendig for oppfølging av avdekkede sikkerhetstruende hendelser eller av hensyn til kontrollvirksomheten til Stortingets kontrollutvalg for etterretnings-, overvåkings- og sikkerhetstjeneste.

§ 11-7.Krav om avbrytelse av monitoring

Kan det ved monitoring fastslås at kommunikasjonen som avleses eller avlyttes bare er av privat karakter, blir formidlet til eller fra andre enn virksomheter som loven gjelder for, eller til eller fra virksomheter som ikke har gitt samtykke, skal monitoringen umiddelbart avbrytes.

§ 11-8.Rapportering og etterarbeid

Etter endt monitoring eller inntrengingstesting skal NSM gi rapport om resultatet til den som har anmodet om eller på annen måte samtykket i kontrollen. Dersom kontrollen er gjennomført ved en virksomhet som er underordnet virksomheten som har samtykket, skal rapporten i tillegg gis til lederen eller styret for den underordnede virksomheten. Ved oppdrag som varer over lengre tid kan rapportering skje periodisk, likevel minst månedlig.

Rapporten skal ikke inneholde informasjon om annet enn forhold av betydning for forebyggende sikkerhet, jf. § 11-1, § 11-2 og § 11-7.

Grove sikkerhetsbrudd som avdekkes ved kontrollene skal i tillegg rapporteres i samsvar med forskrift om sikkerhetsadministrasjon eller denne forskrifts § 7-41 til § 7-45.

NSM skal føre register over all monitoring og inntrengingstesting. Registeret skal som minimum inneholde opplysninger om hvilket informasjonssystem som har vært gjenstand for kontroll, tidsrom for kontrollen, ansvarshavende og medvirkende personell, og statistiske data om gjennomførte kontroller og avdekkede brudd på bestemmelser.

§ 11-9.Prosedyrebeskrivelse

NSM skal utarbeide instruks for hvordan den praktiske utførelsen av monitoring og inntrengingstesting skal foregå for å være i samsvar med bestemmelsene i dette kapittelet.

Kapittel 12. Ikrafttredelse

§ 12-1.Ikrafttredelse

Denne forskrift trer i kraft 1. juli 2001.