§ 6. Styringssystem for sikkerhet

En tilbyder av en samfunnsviktig tjeneste skal etablere og vedlikeholde et styringssystem for sikkerhet som omfatter digital sikkerhet. Styringssystemet skal dokumenteres og inngå som del av den overordnede virksomhetsstyringen. Roller og ansvar for digital sikkerhet skal defineres, utpekes og dokumenteres. Sikkerhetsstyringssystemet skal baseres på anerkjente standarder og bidra til å a) forebygge hendelser b) avdekke hendelser c) håndtere hendelser d) korrigere og gjenopprette sikkerheten i nettverk og informasjonssystemer ved hendelser e) kontinuerlig styre og følge opp at formålene i bokstavene a til d oppnås. Alle aktiviteter som er nødvendige for å etablere og opprettholde et forsvarlig sikkerhetsnivå skal inngå i sikkerhetsstyringssystemet. Aktivitetene skal dokumenteres og gjøres kjent for personell med tjenstlig behov. Virksomhetens leder har ansvaret for at virksomheten har et forsvarlig sikkerhetsnivå innenfor virkeområdet til digitalsikkerhetsloven. Sikkerhetsstyringssystemet skal godkjennes av virksomhetens leder og gjennomgås minst årlig med sikte på å forbedre virksomhetens sikkerhetsarbeid.