Forskrift om endring i forskrift om bruk av informasjons- og kommunikasjonsteknologi (IKT)

I

I forskrift 21. mai 2003 nr. 630 om bruk av informasjons- og kommunikasjonsteknologi (IKT) gjøres følgende endringer:

Betalingsforetak

Tidligere punkt 13 blir nytt punkt 14 osv.

§ 2 skal lyde:

Foretaket skal fastsette overordnede mål, strategier og sikkerhetskrav for IKT-virksomheten. Det skal foreligge beskrivelse av den enkelte prosess og hvordan ansvaret for administrasjon, anskaffelse, utvikling, drift, systemvedlikehold, sikring av informasjon og avvikling utføres på en betryggende måte.

Foretaket skal ha retningslinjer som skal sikre at utkontraktert IKT-virksomhet oppfyller kravene i § 12.

Det skal oppnevnes ansvarlige i foretaket for de ulike deler av IKT-virksomheten. Med ansvarlig menes en funksjon eller stilling.

Avtaler om utkontraktering av IKT-virksomhet og endringer i slike avtaler skal behandles av styret. Styret skal forelegges planer for utkontrakteringen, med risikovurdering, og en beskrivelse av hvordan foretaket skal sikre leveransen.

§ 8 skal lyde:

Drift av IKT-virksomheten skal være basert på dokumenterte prosedyrer, som sikrer fullstendig, rettidig og korrekt behandling og oppbevaring av data.

IKT-systemer skal ha dokumenterte driftsløsninger som sikrer en tilgjengelighet i tråd med foretakets dokumenterte krav. Det skal gjennomføres regelmessige analyser og tiltak for å motvirke avvik i IKT-systemene eller deres omgivelser, som påvirker oppnåelse av foretakets dokumenterte krav.

Foretaket skal teste og dokumentere at driften fungerer i henhold til foretakets dokumenterte krav.

§ 9 tredje ledd, siste punktum, skal lyde:

Foretak som nevnt i § 1 første ledd nr. 12 (Eiendomsmeglerforetak) omfattes ikke av kravet til hendelsesrapportering.

§ 10 oppheves.

§ 11 skal lyde:

Foretaket skal ha en dokumentert kriseplan som skal iverksettes dersom IKT-driften ikke kan opprettholdes som følge av en krise. Med krise menes hendelser som forårsaker driftsavbrudd slik at foretakets IKT-drift ikke kan fortsette med normalt tilgjengelige ressurser.

oversikt over IKT-systemer som inngår i planen beskrivelse av kriseløsningen klare kriterier for oppstart av kriseløsningen akseptabel lengde på et driftsavbrudd før kriseløsningen iverksettes prosedyrer som inneholder de nødvendige aktiviteter for å gjenopprette IKT-driften oversikt over ansvarsforhold og prosedyrer ved oppstart av kriseløsningen informasjon til berørte ansatte, leverandører, kunder, offentlige myndigheter og media.

Det skal minst en gang årlig gjennomføres opplæring, øvelse og testing av at kriseløsningen virker som forutsatt. Resultatet av testen skal dokumenteres.

§ 12 første ledd skal lyde:

Foretaket har ansvar for at IKT-virksomheten oppfyller alle krav som stilles etter denne forskrift. Dette gjelder også der hele eller deler av IKT-virksomheten er utkontraktert. Det skal foreligge en skriftlig avtale som sikrer dette. Avtalen må sikre at foretak under tilsyn også gis rett til å kontrollere, herunder revidere de av leverandørens aktiviteter som er knyttet til avtalen. Avtalen skal også sikre håndtering av taushetsbelagt informasjon.

II

Endringene trer i kraft straks.