§ 3-1. Sikkerhet i elektroniske kommunikasjonsnett og -tjenester

Tilbyder skal a) tilby elektroniske kommunikasjonsnett og -tjenester med forsvarlig sikkerhet for brukerne i fred, krise og krig b) opprettholde forsvarlig beredskap i elektroniske kommunikasjonsnett og -tjenester og prioritere viktige samfunnsaktører ved behov, og c) sikre forsvarlig vern av kommunikasjon og data i elektroniske kommunikasjonsnett og -tjenester. Ved vurderingen av om sikkerheten er forsvarlig, vektlegges evnen til å motstå hendelser som medfører eller kan medføre brudd på tilgjengelighet, autentisitet, integritet eller konfidensialitet i elektroniske kommunikasjonsnett eller -tjenester til lagrede, overførte eller behandlede data, eller til relaterte tjenester som tilbys gjennom, eller er tilgjengelige via, slike elektroniske kommunikasjonsnett eller -tjenester. Det skal tas hensyn til blant annet beste tilgjengelige tekniske løsning, tiltakenes kostnad og nytteverdi, nettets eller tjenestens betydning og anerkjente standarder. Tilbyder skal forebygge og minimere virkningene av sikkerhetshendelser og sikre rask gjenoppretting. Tilbyder skal systematisk følge opp sikkerhet og beredskap i elektroniske kommunikasjonsnett og -tjenester og skal dokumentere et forsvarlig sikkerhetsnivå. Departementet kan fatte enkeltvedtak for å sikre at tilbyder gjennomfører tiltak som gir forsvarlig sikkerhet, beredskap og vern av kommunikasjon og data. Tilbyder skal dekke kostnadene ved slike tiltak. Departementet kan fatte enkeltvedtak eller inngå avtale om gjennomføring av tiltak for å sikre oppfyllelse av nasjonale behov for sikkerhet, beredskap og funksjonalitet i elektroniske kommunikasjonsnett og -tjenester utover det som følger av første ledd. Vedtak kan fattes overfor, eller avtale kan inngås med, virksomhet som a) tilbyr elektronisk kommunikasjonsnett eller -tjeneste, eller b) tilbyr tilhørende fasilitet og tilhørende tjeneste, herunder virksomhet som har ansvar for passiv infrastruktur. Merkostnader ved levering av slike tiltak skal kompenseres av staten med basis i fyllestgjørende dokumentasjon som fremlegges av virksomheten. Dersom virksomheten ikke har valgt en løsning som er økonomisk fordelaktig for staten, kan departementet fatte enkeltvedtak om at virksomheten skal refundere dokumenterte utgifter som er unødvendige. Departementet kan gi forskrift om oppfyllelsen av sikkerhets- og beredskapstiltak, vern av kommunikasjon og data og øvrige plikter som følger av bestemmelsen, herunder om nasjonal autonomi. Departementet kan gi forskrift om sikkerhetsrevisjon, tidsfrister, rapporteringsplikt, bruk av flere føringsveier nasjonalt og ut av landet, redundans, herunder logisk redundans og utstyrsredundans, og om finansiering. Departementet kan gi forskrift eller fatte enkeltvedtak om at bestemmelsen skal gjelde andre enn tilbydere, og kan også gjøre unntak fra bestemmelsen for tilbydere, virksomheter eller tjenester. Departementet kan gi forskrift om oppfyllelse av plikter som gjelder sikkerhet i elektroniske kommunikasjonsnett og -tjenester etter EØS-avtalen og andre internasjonale avtaler.