§ 3-2. Varsling til abonnent eller bruker ved sikkerhetshendelser

Tilbyder skal uten ugrunnet opphold varsle abonnent eller bruker dersom det foreligger særlig risiko for sikkerhetshendelse i offentlige elektroniske kommunikasjonsnett eller -tjenester, og skal informere om eventuelle vernetiltak eller avhjelpende tiltak som abonnent eller bruker kan treffe. Dersom det er hensiktsmessig, skal tilbyderen også informere om selve trusselen. Tilbyder skal uten ugrunnet opphold varsle abonnent eller bruker om sikkerhetsbrudd som har hatt eller vil kunne ha en negativ effekt på kommunikasjonsvernet eller personvernet til abonnenten eller brukeren. Varslingsplikten gjelder ikke dersom tilbyderen har dokumentert overfor Nasjonal kommunikasjonsmyndighet at tilfredsstillende tekniske beskyttelsestiltak er gjennomført for dataene som er omfattet av sikkerhetsbruddet. Departementet kan gi forskrift og fatte enkeltvedtak om varsling av sikkerhetsbrudd og sikkerhetshendelser, herunder om kriterier for varsling, varslingsfrister, prosedyrer for varsling, innholdsmessige krav til varselet, finansiering av varslingsplikten og unntak fra kravet til varsling.