§ 3-3. Varsling ved sikkerhetshendelser

Tilbyder skal umiddelbart varsle departementet om sikkerhetshendelser som har medført vesentlig brudd på tilgjengeligheten i elektroniske kommunikasjonsnett eller -tjenester. Tilbyder skal uten ugrunnet opphold varsle departementet om sikkerhetshendelser som har medført vesentlig brudd på autentisitet, integritet eller konfidensialitet i elektroniske kommunikasjonsnett eller -tjenester. Ved vurderingen av om en sikkerhetshendelse etter første ledd er vesentlig, skal det legges vekt på a) antall brukere som er berørt b) varighet c) geografisk omfang d) hvilke funksjoner i elektroniske kommunikasjonsnett og -tjenester som er berørt, og e) økonomisk og samfunnsmessig betydning. Departementet kan pålegge tilbyder å informere offentligheten om sikkerhetshendelser etter første ledd når det er i allmennhetens interesse. Departementets myndighet kan delegeres, jf. § 1-4. Departementet kan gi forskrift og fatte enkeltvedtak om varsling av sikkerhetshendelse, herunder om vesentlighetskravet i første ledd, kriterier for varsling, prosedyrer for varsling, konkrete varslingsfrister, innholdsmessige krav til varselet, hendelsesrapportering og finansiering av varslingsplikten.