§ 3-7. Datasenter

Datasenteroperatør har plikt til å registrere seg hos departementet før virksomheten starter opp. Virksomheten kan settes i gang når registreringen er gjennomført. Datasenteroperatør skal tilby og opprettholde datasentertjenester med forsvarlig sikkerhet for brukerne i fred, krise og krig. Datasenteroperatør skal opprettholde forsvarlig beredskap, og viktige samfunnsaktører skal prioriteres ved behov. Departementet kan fatte enkeltvedtak for å sikre at datasenteroperatør gjennomfører tiltak som gir forsvarlig sikkerhet og beredskap. Datasenteroperatør skal dekke kostnadene ved oppfyllelsen av dette. Datasenteroperatør skal systematisk følge opp sikkerhet og beredskap i datasentertjenesten, og skal dokumentere et forsvarlig sikkerhetsnivå. Ved vurderingen av hva som er forsvarlig, vektlegges evnen til å motstå enhver hendelse som medfører eller kan medføre brudd på tilgjengelighet, autentisitet, integritet eller konfidensialitet i datasentertjenester. Det skal blant annet tas hensyn til beste tilgjengelige tekniske løsning, anerkjente standarder, tiltakenes kostnad og nytteverdi, og datasentertjenestens betydning. Departementet kan fatte enkeltvedtak eller inngå avtale om gjennomføring av tiltak for å sikre oppfyllelse av nasjonale behov for sikkerhet, beredskap og funksjonalitet i datasentre utover det som følger av andre ledd. Merkostnader ved gjennomføring av slike tiltak skal kompenseres av staten med basis i fyllestgjørende dokumentasjon som fremlegges av virksomheten. Dersom virksomheten ikke har valgt en løsning som er økonomisk fordelaktig for staten, kan departementet fatte enkeltvedtak om at virksomheten skal refundere dokumenterte utgifter som er unødvendige. Departementet kan gi forskrift om forsvarlig sikkerhet og beredskap, finansiering, nasjonal autonomi, sikkerhetsrevisjon og registreringsplikt, herunder om registreringsmåte, hvilken informasjon som skal registreres, og terskelverdi for registreringsplikten. Departementet kan i forskrift eller enkeltvedtak gi unntak fra registreringsplikten eller pålegge datasenteroperatør som driver datasenter under terskelverdien, å registrere seg. Departementet kan gi forskrift om nasjonal sikkerhet og kriminalitetsbekjempelse i datasenter, herunder fastsette krav om at operatøren skal ha en tilgjengelig representant med nødvendig kunnskap om senteret, krav om separasjon av kunder eller kundegrupper, krav om at datasenteroperatør skal føre oppdaterte lister over egne kunder og deres plassering i datasenteret, og krav om at politiet og EOS-tjenestene på nærmere vilkår gis rask tilgang til informasjonen.