Forskrift

Forsvarsdepartementet

Forskrift om kryptosikkerhet

forskrift/2018-12-20-2055·46 paragrafer·Utforsk grafen

I kraft 2019-01-01Kunngjort 2018-12-20

Hjemmel§ 5-6Sikkerhetsloven

Innhold46 paragrafer

Utforsk grafen →

Forskrifter, forarbeider og endringer — koblet sammen.

Kapittel 1. Virkeområde, motstrid og dispensasjon

§ 1

Virkeområde, motstrid og dispensasjon

Forskriften gjelder for kryptosystemer som skal brukes for å beskytte sikkerhetsgradert informasjon. Med kryptomateriell i forskriften menes kryptodokumenter, kryptonøkler og kryptoutstyr. Virksomhetsikkerhetsforskriften kapittel 4 og 6 gjelder ikke for kryptodokumenter som er gitt regnskapskode (RK) eller merket KRYPTO eller NSK. Reglene i § 36 til § 41 i forskriften her går foran virksomhetsikkerhetsforskriften kapittel 6 i tilfelle av motstrid. NSM kan dispensere fra § 14 første ledd, § 15 og § 27, og § 29, § 30 andre ledd, § 33 fjerde ledd og § 36 til § 41.

Denne forskriften gjelder for systemer som beskytter sikkerhetsgradert informasjon. Den definerer hva som regnes som kryptomateriell og avgjør hvilke regler som gjelder dersom ulike forskrifter sier forskjellige ting. NSM kan gi dispensasjon fra enkelte av reglene.AI

Se ogsåForskrift om kryptosikkerhet § 14 Forskrift om kryptosikkerhet § 15 Forskrift om kryptosikkerhet § 27 Forskrift om kryptosikkerhet § 29

Kapittel 2. Myndighet, oppgaver og organisering innen administrativ kryptosikkerhet

§ 2

NSMs myndighet og oppgaver innen kryptosikkerhet

NSM er nasjonal distribusjonsmyndighet for kryptomateriell med ansvar for distribusjon av kryptomateriell og kontroll med regnskap, og «National Distributing Authority Norway (NDA)» overfor NATO. NSM er leverandør av kryptosikkerhetstjenester til utenrikstjenesten, Politiets overvåkingstjeneste, Forsvaret og i forbindelse med den kommunikasjon virksomheter med totalforsvarsoppgaver må ha med Forsvaret av beredskapsmessige hensyn. NSM kan dispensere fra bestemmelsene i dette leddet. NSM skal produsere kryptonøkler og utgi kryptodokumenter. NSM skal utpeke virksomheter med myndighet til å gi kryptokvalifisering, jf. § 13 til § 16, og hovedforvalter for hver type kryptoutstyr. Følgende skal godkjennes av NSM: a) kryptoutstyr, herunder NSK, til beskyttelse av informasjon gradert KONFIDENSIELT eller høyere. Formidles informasjon sikkerhetsgradert NATO SECRET eller COSMIC TOP SECRET, skal kryptosystemet i tillegg være godkjent av NATO. Informasjon merket ATOMAL, STRENGT HEMMELIG, KRYPTO, EKSKLUSIV eller tilsvarende skal behandles på separate systemer godkjent av NSM b) anskaffelse av kryptomateriell for beskyttelse av informasjon gradert KONFIDENSIELT eller høyere c) bruk av kryptoutstyr og kryptosystemer, og kryptosikkerheten i den enkelte virksomhet før virksomheten kan ta kryptomateriell i bruk d) andre virksomheter enn NSM som skal levere kryptosikkerhetstjenester, herunder tredjepart for offentlige systemer for fordeling av kryptonøkler e) virksomheter som skal utvikle kryptoutstyr f) andre virksomheter som skal produsere kryptonøkler og kryptodokument. NSM bestemmer type av kryptonøkler og gyldighetsperiode for disse. Dersom NSM godkjenner virksomhet som nevnt i femte ledd nr. 4 til 6, skal NSM inngå avtale med virksomheten om ansvar og sikkerhetsmessige forhold. Oversikt over godkjent nasjonalt kryptoutstyr skal utgis av NSM. Oversikt over NATO-godkjent kryptoutstyr utgis av NATO Distribution and Accounting Agency (DACAN). NSM skal kontrollere at kravene i forskriften blir oppfylt. Periodiske inspeksjoner for dette formål skal foretas. Rapport fra inspeksjon skal oppbevares i minst fem år hos NSM, den inspiserte virksomheten og eventuell overordnet virksomhet.

Se ogsåForskrift om kryptosikkerhet § 13 Forskrift om kryptosikkerhet § 16

§ 3

Hovedforvalters ansvar for kryptoutstyr

Hovedforvalter er ansvarlig for kryptoutstyret i dets levetid, herunder for reparasjon, vedlikehold, avhending og utgivelse av tekniske håndbøker.

Hovedforvalteren har ansvaret for alt kryptoutstyr gjennom hele utstyrets levetid. Dette inkluderer vedlikehold, reparasjoner, kasting av utstyr og utarbeidelse av tekniske håndbøker.AI

§ 4

Overordnet virksomhets ansvar for underordnet virksomhet

Overordnet virksomhet skal kontrollere at bestemmelsene i forskriften følges av underordnet virksomhet. Periodiske inspeksjoner for dette formål skal foretas. Rapport fra inspeksjon skal oppbevares i minst fem år ved NSM, den inspiserende virksomhet og den inspiserte virksomhet.

En overordnet virksomhet plikter å kontrollere at underordnet virksomhet følger reglene i forskriften. Dette skal skje gjennom faste inspeksjoner. Rapportene fra disse kontrollene skal lagres i minst fem år.AI

§ 5

Virksomhet som leverer kryptosikkerhetstjenester eller produserer kryptoutstyr

Virksomhet som skal levere kryptosikkerhetstjenester etter sikkerhetsloven § 5-6 andre ledd andre punktum er ansvarlig for salg, utleie, installasjon og drift av kryptoutstyr og for administrasjon av kryptonøkler. Virksomheten skal føre kontroll med kryptosikkerheten hos brukerne. Virksomhet som ikke er forvaltningsorgan skal være leverandørklarert for den høyeste sikkerhetsgradering av kryptonøkler som blir levert, likevel for minst KONFIDENSIELT. Ved produksjon av kryptonøkler gradert KONFIDENSIELT eller HEMMELIG skal involvert personell ha kryptokvalifisering grad 1. Lokaliteter hvor det utføres administrasjon av kryptonøkler og drift av kryptoutstyr skal være fysisk sikret for den høyeste sikkerhetsgrad kryptonøklene har og minst som for KONFIDENSIELT. Virksomhet som ikke er forvaltningsorgan og skal produsere kryptoutstyr hvor kryptoalgoritmer til NATO eller NSK inngår, skal på forhånd være leverandørklarert for HEMMELIG eller høyere.

Bedrifter som leverer kryptosikkerhetstjenester har ansvar for salg, drift og administrasjon av kryptoutstyr og nøkler, samt kontroll hos brukerne. Det stilles krav til leverandørklarering, personellkvalifisering og fysisk sikring av lokaliteter basert på sikkerhetsgraderingen.AI

Se ogsåSikkerhetsloven § 5-6

§ 6

Plikt til å etablere kryptosikkerhetsorganisasjon

Virksomhet som besitter kryptomateriell skal etablere en kryptosikkerhetsorganisasjon med kryptosikkerhetsleder og kryptoforvalter med stedfortredere, og etablere ordning for henting og levering av kryptomateriell med kurerpost. Kryptosikkerhetspersonellet skal være faglig kvalifisert, herunder kryptokvalifisert, ha nødvendig myndighet i virksomheten og kunne ivareta funksjonen i minst ett år. Personellet skal ikke pålegges andre oppgaver i den utstrekning det fratar dem muligheten til å ivareta funksjonen i samsvar med gjeldende sikkerhetsbestemmelser. Bare personell som har vært fast ansatt i virksomheten i minst ett år kan utpekes til kryptosikkerhetsleder eller kryptoforvalter, med mindre NSM i det enkelte tilfelle samtykker i annet.

Virksomheter med kryptomateriell må opprette en organisasjon med leder og forvalter, inkludert stedfortredere. De skal ha kurerpost for transport av materiellet. Personellet må være faglig kvalifiserte og ha nok tid og myndighet til oppgavene.AI

§ 7

Virksomhetens leder

Virksomhetens leder er ansvarlig for at sikkerhetsbestemmelsene for kryptotjenesten blir fulgt i egen virksomhet og skal a) skriftlig utpeke kryptosikkerhetsleder og kryptoforvalter med stedfortredere b) minst en gang i året kontrollere utførelsen av kryptosikkerhetstjenesten c) iverksette nødvendige tiltak for å redusere skadevirkning og rapportere til overordnet virksomhet ved sikkerhetsbrudd, kompromittering, uautorisert endring eller utilgjengelighet av kryptoutstyr eller sikkerhetsgradert informasjon d) snarest rapportere til NSM og klareringsmyndighet i tilfeller av fjerning eller uautorisert fravær av kryptoforvalter eller stedfortreder, og om nødvendig utpeke ny kryptoforvalter eller stedfortreder.

Lederen for virksomheten har ansvaret for at reglene for kryptosikkerhet blir fulgt. Dette innebærer å utpeke ansvarlige personer, utføre årlige kontroller og rapportere om sikkerhetsbrudd eller manglende personell.AI

referert av 1 →

§ 8

Kryptosikkerhetsleder

Kryptosikkerhetsleder skal føre daglig tilsyn med at sikkerhetsbestemmelsene for kryptotjenesten blir fulgt og skal a) sørge for opplæring av personell som arbeider med kryptomateriell slik at de er kjent med instruksene til kryptoutstyr som er i bruk b) gjøre virksomhetens leder oppmerksom på sikkerhetsgradert informasjon som er sendt eller mottatt i et kryptosystem som av kontrollerende myndighet er erklært kompromittert, uautorisert endret eller utilgjengelig c) øyeblikkelig rapportere til virksomhetens leder enhver kjent eller mulig kompromittering, tap, uautorisert tilintetgjøring eller utilfredsstillende oppbevaring av kryptomateriell d) utarbeide plan for tilintetgjøring og evakuering av kryptomateriell i samsvar med § 34 og sørge for at nødvendig utstyr er tilgjengelig for å gjennomføre planen e) utarbeide lokal kryptosikkerhetsinstruks som skal godkjennes av virksomhetens leder, og etablere lokale løsninger og prosedyrer for krav angitt i lov eller forskrift skal følges.

Kryptosikkerhetsleder har ansvaret for at sikkerhetsreglene for kryptotjenester blir fulgt i det daglige. Rollen innebærer opplæring av ansatte, rapportering av sikkerhetsbrudd til leder og utarbeidelse av planer for destruksjon og lokale instruksjoner.AI

Se ogsåForskrift om kryptosikkerhet § 34

§ 9

Kryptoforvalter

Kryptoforvalter skal forvalte kryptomateriell ved virksomheten og skal a) Motta, oppbevare og behandle alt kryptomateriell for å hindre tap og kompromittering b) Føre løpende kryptoregnskap over kryptomateriell og ha kontroll med hvor regnskapspliktig kryptomateriell befinner seg og hva det brukes til c) Utføre tilintetgjøring og sende tilintetgjøringsrapport i samsvar med pålagte krav d) Distribuere eller overføre kryptomateriell til autoriserte brukere e) Gjøre seg kjent med gjeldende planer for tilintetgjøring, evakuering og beskyttelse av kryptomateriell i tilfelle brann eller andre nødsituasjoner f) Etablere prosedyrer for å sikre kontroll med kryptonøkler og annet kryptomateriell som skal overbringes fra en person til en annen g) Øyeblikkelig rapportere til virksomhetens leder eller kryptosikkerhetsleder enhver kjent eller mulig kompromittering, tap, uautorisert tilintetgjøring eller utilfredsstillende oppbevaring av kryptomateriell. Stedfortredende kryptoforvalter skal bistå kryptoforvalter i utførelsen av dennes oppgaver og i dennes fravær overta ansvar og gjøremål. Stedfortredende kryptoforvalter har ikke ansvar for kryptomateriell når kryptoforvalter er til stede. Ved fravær over 60 dager skal ny kryptoforvalter utpekes. Etter et midlertidig fravær skal kryptoforvalter informeres av sin stedfortreder om alle forandringer i regnskapet. Er kryptomateriell overført eller tilintetgjort skal kryptoforvalter kontrollere dette har skjedd korrekt ved å sammenligne overførselen eller tilintetgjøringsrapporten med regnskapet. Ved skifte av kryptoforvalter skal fratredende og tiltredende kryptoforvalter foreta opptelling av alt registrert kryptomateriell i samsvar med regnskapet. Ved større virksomheter kan kontrollgrupper bistå i utførelsen av kontrollen under ledelse av kryptoforvalter. Fra- og tiltredende kryptoforvalter skal utferdige beholdningsoppgave som skal merkes «bytte av kryptoforvalter» og inneholde alt registrert kryptomateriell tiltredende kryptoforvalter blir ansvarlig for. Signert kopi av beholdningsoppgaven skal beholdes i lokalt regnskap og i tillegg sendes distribusjonsmyndigheten. Etter å ha kvittert for kryptomateriellet har den nye kryptoforvalter ansvar for regnskapet. Ved mangler eller misligheter i kryptoregnskapet er likevel fratredende kryptoforvalter fortsatt ansvarlig inntil disse er rettet.

§ 10

Kryptobruker

Bruker av kryptomateriell skal følge gjeldende bestemmelser for bruk, oppbevaring og tilintetgjøring av materiellet.

Alle som bruker kryptomateriell må følge gjeldende regler for hvordan dette skal brukes, oppbevares og slettes.AI

§ 11

Utdanning av kryptopersonell

Kryptokvalifiserende myndighet skal gi generell opplæring i kryptosikkerhet for personell som skal ha tilgang til kryptomateriell og informasjon om sikkerhet ved kryptotjenesten. Den enkelte virksomhet skal sørge for at operatører får opplæring i bruk av aktuelt kryptoutstyr. Hovedforvalter skal sørge for opplæring av personell som skal utføre teknisk vedlikehold eller reparasjon av kryptoutstyr. Leverandør av kryptosikkerhetstjenester skal i nødvendig utstrekning bistå i opplæringen. NSM skal godkjenne programmer for opplæring nevnt i første og andre ledd. Opplæringsprogram for kryptosikkerhet skal revideres ved behov og minst hvert annet år. Uavhengig av endringer skal programmer fremsendes til NSM for godkjenning.

Reglene fastslår hvem som har ansvar for opplæring av personell som jobber med kryptosikkerhet og utstyr. Opplæringsprogrammene må godkjennes av NSM og revideres minst hvert annet år.AI

referert av 2 →

Kapittel 3. Kryptoautorisasjon og kryptokvalifisering

§ 12

Kryptoautorisasjon

For tilgang til kryptomateriell uten manipuleringssikring godkjent av NSM eller informasjon merket KRYPTO kreves kryptoautorisasjon. Kravet til kryptoautorisasjon gjelder i tillegg til krav om sikkerhetsklarering og autorisasjon etter de alminnelige bestemmelser for personellsikkerhet. Kryptoautorisasjon kan gis av virksomhetens leder når sikkerhetsklarering og kryptokvalifisering foreligger. Ved utenlandstjeneste kan bare personell med diplomatisk status eller militært personell kryptoautoriseres, med mindre NSM samtykker i annet i det enkelte tilfelle. Blankett godkjent av NSM skal benyttes ved kryptoautoriseringen. Virksomheten skal føre oversikt over eget kryptoautorisert personell. Virksomhetens leder behøver ikke kryptokvalifisering for å utøve kontroll i samsvar med § 7 nr. 2. Leder som ikke er kryptokvalifisert skal ikke ha tilgang til kryptonøkler i klartekst.

Det kreves kryptoautorisasjon for å få tilgang til informasjon merket KRYPTO eller kryptomateriell uten godkjent manipuleringssikring. Autorisasjonen gis av virksomhetens leder når sikkerhetsklarering og kryptokvalifisering er på plass.AI

Se ogsåForskrift om kryptosikkerhet § 7

§ 13

Kryptokvalifiserende myndighet

Kryptokvalifisering gis av NSM eller virksomhet som NSM utpeker.

Det er NSM eller en part utpekt av NSM som har myndighet til å gi kryptokvalifisering.AI

referert av 1 →

§ 14

Krav til kryptokvalifisering grad 2

Kryptokvalifisering grad 2 kan bare gis når personellet har tjenstlig behov, har sikkerhetsklarering for HEMMELIG/tilsvarende eller høyere, er norsk statsborger og har gjennomført opplæring som nevnt i § 11 første ledd. Tjenstlig behov etter første ledd foreligger bare dersom det er nødvendig å gi personell tilgang til a) kryptonøkler for testformål eller operativ bruk gradert til og med HEMMELIG b) å kryptere eller dekryptere mellom to forbindelsespunkter c) informasjon merket KRYPTO eller d) kryptoutstyr for det formål å reparere eller vedlikeholde utstyret.

For å få kryptokvalifisering grad 2 må man være norsk statsborger, ha sikkerhetsklarering for HEMMELIG eller høyere, ha gjennomført opplæring og ha et tjenstlig behov. Tjenstlig behov innebærer at man må ha tilgang til kryptonøkler, utstyr eller informasjon for å utføre jobben sin.AI

Se ogsåForskrift om kryptosikkerhet § 11referert av 1 →

§ 15

Krav til kryptokvalifisering grad 1

Kryptokvalifisering grad 1 kan bare gis når personellet har tjenstlig behov, har sikkerhetsklarering for STRENGT HEMMELIG/tilsvarende, er norsk statsborger og har gjennomført opplæring som nevnt i § 11 første ledd. Tjenstlig behov etter første ledd foreligger bare dersom det er nødvendig å gi personell tilgang til a) kryptonøkler sikkerhetsgradert STRENGT HEMMELIG b) kryptonøkler for kryptering og dekryptering mellom flere enn to forbindelsespunkter c) å produsere kryptonøkler eller d) å operere kryptosystem godkjent for ATOMAL, STRENGT HEMMELIG, KRYPTO, EKSKLUSIV eller tilsvarende.

Kryptokvalifisering grad 1 krever at personen er norsk statsborger, har sikkerhetsklarering for STRENGT HEMMELIG og har gjennomført bestemt opplæring. Det må også foreligge et tjenstlig behov for tilgangen.AI

Se ogsåForskrift om kryptosikkerhet § 11referert av 1 →

§ 16

Tilbakekallelse av kryptokvalifisering

NSM eller kryptokvalifiserende myndighet kan tilbakekalle en kryptokvalifisering gitt til person som ikke lenger har tilfredsstillende kunnskaper eller ferdigheter i kryptosikkerhet. NSM skal umiddelbart underrettes om tilbakekallingen. Sikkerhetsloven § 8-10 gjelder for kryptoautorisasjon så langt den passer.

En kryptokvalifisering kan trekkes tilbake dersom personen ikke lenger har gode nok kunnskaper eller ferdigheter i kryptosikkerhet. NSM skal få beskjed med en gang dette skjer.AI

Se ogsåSikkerhetsloven § 8-10referert av 1 →

Kapittel 4. Distribusjon og forvaltning av kryptomateriell

§ 17

Klassifisering og merking

Kryptomateriell skal identifiseres med en langtittel som beskriver innholdet eller utstyret og en korttittel som skal brukes for regnskapsføring. Kryptomateriell kan også identifiseres med et annet navn enn korttittel. Korttittel eller annet navn bestemmes og tildeles av NSM. Individuell korttittel skal være ugradert. Langtittelen sikkerhetsgraderes etter sitt innhold. Produsent av kryptoutstyr og kryptonøkler skal påføre dette entydig registreringsnummer. I tillegg til identifikasjon med langtittel, korttittel og registreringsnummer, kan kryptomateriell identifiseres med alfabetiske eller numeriske utgaver. Informasjon om kryptonøkler, kryptoalgoritmer, sikkerhetsspesifikasjoner om kryptosystemer og detaljer som omhandler egenskaper til kryptosystemer, skal merkes KRYPTO. Dette omfatter blant annet diagrammer og fotografier, informasjon om endringer av kryptosystemer, resultat av sikkerhetstester, detaljert nøkkelinformasjon og spesifikasjon av sikkerhetsstandarder for produksjon av kryptonøkler, og prosesser og metoder for å analysere kryptosystemer. NSMs sertifiserte kryptoalgoritme skal merkes NSK. Virksomhet som anskaffer kryptoutstyr kan overfor NSM foreslå klassifiseringen kontrollert kryptoutstyr (CCI) av spesifiserte ugraderte elektroniske eller akustiske komponenter eller utstyr, som tillates benyttet til håndtering av sikkerhetsgradert informasjon i informasjonssystemet. NSM avgjør klassifiseringen. Kontrollert kryptoutstyr tilsvarer NATOs betegnelse «Controlled Cryptographic Item» (CCI) og skal merkes CCI.

Kryptomateriell skal merkes med navn og registreringsnummer for identifikasjon. Bestemmelser om krypteringsnøkler og systemer skal merkes med KRYPTO. NSM avgjør navn og klassifisering av utstyr.AI

§ 18

Distribusjon av kryptomateriell

NSM og virksomhet som leverer kryptosikkerhetstjenester skal påse at prosedyrer for sikker distribusjon, behandling, lagring, rapportering og regnskapsførsel er ivaretatt. Kryptomateriell fra NSM skal distribueres direkte til brukere eller til en underordnet kryptodistribusjonsmyndighet for videre distribusjon til brukere. Virksomhet som leverer kryptosikkerhetstjenester godkjent av NSM, kan etablere tilsvarende distribusjonskanaler. Bestilling og avbestilling av kryptomateriell skal sendes tjenestevei til godkjenningsmyndigheten. NSM og virksomhet som leverer kryptosikkerhetstjenester fordeler materiellet etter oppdrag fra godkjenningsmyndigheten. Kryptonøkler til opplæring og testing skal bestilles direkte fra NSM eller virksomhet som leverer kryptosikkerhetstjenesten. Kryptonøklene skal ikke brukes til andre formål enn opplæring og testing. Nasjonale kryptonøkler skal bestilles minst tre måneder før de skal tas i bruk. NATOs kryptonøkler skal bestilles minst seks måneder før de skal tas i bruk.

NSM og leverandører av kryptosikkerhetstjenester skal ha sikre rutiner for håndtering og utdeling av kryptomateriell. Bestilling og utdeling skjer etter faste prosedyrer, og nøkler til trening skal kun brukes til dette formålet.AI

§ 19

Forsendelse

Materiell merket KRYPTO skal sendes med kurer. Ved forsendelse til utlandet av materiell merket NSK eller CCI skal kurer benyttes. I andre tilfeller kan materiell merket NSK eller CCI også sendes med registrert postsending eller andre metoder godkjent av NSM. Benyttes andre forsendelsesmetoder enn kurer skal avsender varsle mottaker om forsendelsesmetode og når forsendelsen kan ventes mottatt. Mottaker skal underrette avsender hvis forsendelsen ikke mottas til avtalt tid eller det er grunn til å tro at forsendelsen kan ha vært utenfor kontroll. Elektronisk overføring av kryptonøkler skal skje i system godkjent av NSM. Sikkerhetsgradert kryptomateriell skal ved forsendelse emballeres i samsvar med virksomhetsikkerhetsforskriften § 36, med de tilpasninger som angis i femte og sjette ledd. Ved forsendelse skal materiell merket KRYPTO sendes i dobbel emballasje. Materiell merket NSK eller CCI skal emballeres som for dokumenter gradert KONFIDENSIELT. For materiell merket KRYPTO, NSK eller CCI skal adressering og merking påføres emballasjen som for dokumenter gradert KONFIDENSIELT. I tillegg skal indre emballasje merkes «ÅPNES AV KRYPTOFORVALTER» eller navn på utpekt person. Eventuelt overføringsnummer skal påføres indre og ytre emballasje. Ved forsendelse av kryptomateriell som ikke er merket KRYPTO, NSK eller CCI skal indre emballasje merkes «ÅPNES AV KRYPTOFORVALTER». Overføringsnummer skal påføres indre og ytre emballasje. Ytre emballasje skal merkes med forsendelsesmetoden som anvendes, f.eks. «MED KURER» eller «REKOMMANDERT POSTSENDING».

Reglene fastslår hvordan kryptomateriell skal sendes, emballeres og merkes. Enkelte typer materiell krever kurer, mens andre kan sendes med godkjente metoder. Elektroniske nøkler må overføres via systemer godkjent av NSM.AI

Se ogsåVirksomhetsikkerhetsforskriften § 36referert av 1 →

Kapittel 5. Kryptoregnskap

§ 20

Etablering av kryptoregnskap

Enhver virksomhet som mottar kryptomateriell skal føre kryptoregnskap. Før kryptoregnskap etableres, skal virksomheten sende en skriftlig anmodning om dette til NSM, underordnet kryptodistribusjonsmyndighet eller leverandør av kryptosikkerhetstjenester. Anmodningen skal inneholde a) navn (tittel) og fullstendig adresse på virksomheten som anmoder om kryptoregnskap b) arten av kryptomateriell som skal installeres og tidspunktet virksomheten ønsker det i operativ drift c) bakgrunn og begrunnelse for å etablere kryptoregnskap d) beskrivelse og stadfesting av at minimumskravene til fysisk sikring for oppbevaring av kryptomateriell kan oppfylles e) navn og grad/stilling med fødselsnummer til personer som utpekes til kryptosikkerhetsleder, kryptoforvalter eller deres stedfortredere f) signaturprøver til kryptoforvalter og dennes stedfortreder, undertegnet av virksomhetens leder. Ved mottak av anmodningen kan NSM, underordnet kryptodistribusjonsmyndighet eller leverandør av kryptosikkerhetstjenester, etablere regnskapet og registrere åpningen av regnskapet og utpekingen av kryptoforvalter og dennes stedfortreder. Bekreftelse som stadfester etableringen av kryptoregnskapet skal sendes anmodende virksomhet.

Alle virksomheter som mottar kryptomateriell må føre kryptoregnskap. For å etablere dette må virksomheten sende en skriftlig anmodning med spesifisert informasjon til ansvarlig myndighet eller leverandør.AI

§ 21

Føring av kryptoregnskap

Kryptoregnskapet skal til enhver tid vise beholdningen av kryptomateriell. Ved mottak av registrert kryptomateriell skal regnskapet uten opphold føres med angivelse av tittel, utgave, regnskapskode, antall og eventuelt registreringsnummer. Dersom kryptomateriellet ikke har registreringsnummer og heller ikke behøver regnskapsføres med registreringsnummer, skal materiellet føres på regnskapsrapporten som ikke nummerert materiell med angivelsen «NN». Ved overføring eller tilintetgjøring av registrert kryptomateriell skal materiellet føres ut av regnskapet og rapport sendes distribusjonsmyndigheten.

Det skal føres et regnskap som alltid viser beholdningen av kryptomateriell. Når materiell mottas, må spesifikke detaljer føres inn. Ved overføring eller sletting skal dette føres ut av regnskapet og meldes til distribusjonsmyndigheten.AI

§ 22

Regnskapskoder

I kryptoregnskapet skal det benyttes følgende regnskapskoder (RK) utgitt av NSM, som tilsvarer NATOs Account Legend Codes (ALC), med tilhørende plikter vedrørende regnskapsføring og rapportering: a) RK 1: Materiellet skal regnskapsføres i alle distribusjonsledd med antall og registreringsnummer. Materiellet skal rapporteres b) RK 2: Materiellet skal regnskapsføres i alle distribusjonsledd med antall. Materiellet skal rapporteres c) RK 3: Materiellet skal regnskapsføres i alle distribusjonsledd med antall og registreringsnummer. Materiellet skal ikke rapporteres d) RK 4: Materiellet skal regnskapsføres i alle distribusjonsledd med antall. Materiellet kan i tillegg føres i det ordinære materiellregnskapet. Materiellet skal ikke rapporteres e) RK 5: Ikke i bruk f) RK 6: Elektroniske kryptonøkler skal regnskapsføres i alle distribusjonsledd med antall og registreringsnummer. Materiellet skal rapporteres g) RK 7: Elektroniske kryptonøkler som er lokalt distribuert skal regnskapsføres lokalt. Materiellet skal ikke rapporteres. NSM bestemmer i samråd med hovedforvalter hvilke regnskapskoder som skal benyttes for det enkelte materiell. NSM kan dispensere fra bestemmelsene om regnskapsføring og rapportering.

Bestemmelsen fastsetter hvilke regnskapskoder som skal brukes for kryptomateriell og hva som skal føres i regnskapet. Den bestemmer også om utstyret skal rapporteres eller ikke. NSM avgjør hvilken kode som gjelder for hvert materiell og kan gi dispensasjon.AI

referert av 1 →

§ 23

Mottak og utlån av kryptomateriell

Ved mottak av kryptomateriell skal kryptoforvalter kontrollere at det er sendt på godkjent måte, at det ikke er brekkasje på ytre og indre emballasje og at innholdet stemmer med overføringsrapporten. Kryptoforvalter skal kvittere på originalen som skal returneres til avsender. Kvittert kopi skal oppbevares som bilag til lokalt regnskap i fem år. Kvittering kan skje elektronisk ved metode godkjent av NSM. Ved utlån av kryptomateriell fra kryptoforvalter til andre innen virksomheten skal utlånskvittering benyttes. Brukere skal gjøres kjent med deres sikkerhetsmessige ansvar for materiellet inntil det er returnert til kryptoforvalter. Hvis brukere skal tilintetgjøre materiell skal de gjøres oppmerksom på bestemmelsene om tilintetgjøring i § 29 til § 34.

Kryptoforvalteren må kontrollere at kryptomateriell er sendt riktig, at emballasjen er hel og at innholdet er korrekt. Det skal kvitteres for mottak, og kopien skal oppbevares i fem år. Ved utlån skal det brukes utlånskvittering, og brukeren må informeres om sitt sikkerhetsansvar.AI

Se ogsåForskrift om kryptosikkerhet § 29 Forskrift om kryptosikkerhet § 34

§ 24

Kontroll med mangfoldiggjøring

Mangfoldiggjøring av kryptonøkler og informasjon om sikkerhet ved kryptotjenesten er bare tillatt dersom utsteder har angitt dette eller NSM samtykker. Utdrag og kopier skal gis samme sikkerhetsgrad som originalen. Utdrag og kopier skal regnskapsføres lokalt inntil de er tilintetgjort og skal påføres et identifikasjonsnummer. Utdrag av kryptonøkler skal ikke beholdes lenger enn nødvendig og under enhver omstendighet ikke lenger enn 12 timer etter endt kryptoperiode.

Kopiering av kryptonøkler og sikkerhetsinformasjon krever tillatelse fra utsteder eller NSM. Kopier skal ha samme sikkerhetsnivå som originalen, merkes med nummer og føres i regnskap. Kopier av nøkler skal slettes når de ikke lenger er nødvendige.AI

§ 25

Rapportering

Ved regnskap over kryptomateriell skal det benyttes a) overføringsrapport ved overføring av kryptomateriell fra ett kryptoregnskap til et annet b) mottaksrapport ved mottak av kryptomateriell der overføringsrapport mangler c) beholdningsrapport ved opptelling av fysisk beholdning av kryptomateriell og d) tilintetgjøringsrapport ved fysisk tilintetgjøring av kryptomateriell. Underordnet kryptodistribusjonsmyndighet skal kontrollere rapporter fra virksomhetene og sende beholdningsrapport til NSM eller leverandør av kryptosikkerhetstjenester. Virksomheter som mottar kryptomateriell direkte fra NSM skal kontrollere beholdningen og sende beholdningsrapport til NSM. Ved feil eller mangelfull rapportering skal den aktuelle distribusjonsmyndighet be om tilleggsrapport og iverksette andre nødvendige tiltak for å rette på forholdet. Rapportering skal skje på fastlagt blankett eller elektronisk format godkjent av NSM.

Reglene beskriver hvordan det skal rapporteres når kryptomateriell overføres, mottas, telles opp eller ødelegges. Rapporter skal kontrolleres av myndigheter og sendes i godkjente formater.AI

§ 26

Sikkerhetsgradering av regnskap og rapporter

Kryptoregnskap og beholdningsrapporter med oppgave over kryptonøkler skal graderes KONFIDENSIELT. NSM bestemmer for det enkelte tilfelle sikkerhetsgrad for informasjon om kryptonøklers gyldighetsperiode. For øvrig skal regnskap og rapporter sikkerhetsgraderes etter sitt innhold, likevel minst BEGRENSET.

Regnskap og rapporter om kryptonøkler skal merkes som KONFIDENSIELT. NSM avgjør sikkerhetsgraden for informasjon om hvor lenge kryptonøkler er gyldige. Andre regnskap og rapporter skal graderes etter innhold, men minst som BEGRENSET.AI

§ 27

Kontroll av beholdning

Materiell klassifisert som RK 1, RK 2 eller RK 6 i samsvar med § 22, skal kontrolleres og rapporteres om minst hver sjette måned. Beholdningsrapport skal utarbeides på grunnlag av kryptoregnskapet. Den fysiske tilstedeværelsen av materiellet skal kontrolleres mot beholdningsoppgaven. Kontrollen skal utføres av kryptoforvalter sammen med et kryptoautorisert vitne. Dersom et kryptoautorisert vitne ikke er tilgjengelig, kan et vitne sikkerhetsklarert for HEMMELIG delta i kontrollen, men skal ikke gis tilgang til kryptonøkler i klartekst. Kryptoforvalteren og vitnet skal signere beholdningsrapporten. Rapporten sendes til distribusjonsmyndigheten. Kopi av rapporten skal inngå som bilag til lokalt kryptoregnskap og skal bevares i fem år. Dersom en virksomhet flyttes skal kryptomateriellet kontrolleres mot kryptoregnskapet og beholdningsoppgaven før pakking. Etter ankomst til ny lokalisering skal innholdet kontrolleres mot beholdningsoppgaven.

Utstyr i kategoriene RK 1, RK 2 og RK 6 skal kontrolleres og rapporteres om minst hver sjette måned. Kontrollen krever en forvalter og et vitne, og resultatet skal sendes til distribusjonsmyndigheten. Ved flytting skal utstyret kontrolleres både før pakking og etter ankomst.AI

Se ogsåForskrift om kryptosikkerhet § 22referert av 1 →

§ 28

Avslutning av kryptoregnskap

Opphører behovet for kryptoregnskap, skal virksomheten sende anmodning til distribusjonsmyndigheten om at regnskapet avsluttes og om at ordningen med kryptosikkerhetsleder og kryptoforvalter med stedfortredere opphører. Kryptoforvalter og stedfortredende kryptoforvalter skal utføre fysisk opptelling av alt registrert kryptomateriell og sende beholdningsoppgave til den aktuelle distribusjonsmyndighet. Distribusjonsmyndigheten skal gi instruksjoner om overføring av materiellet. Foreligger det mangler ved kryptoregnskapet skal samme prosedyrer følges som ved sikkerhetstruende hendelser. Når gjøremål fastsatt i første og andre ledd er utført, skal kryptoregnskapet overføres til den aktuelle distribusjonsmyndighet.

Når et kryptoregnskap ikke lenger er nødvendig, må virksomheten be distribusjonsmyndigheten om å avslutte det. Alt utstyr skal telles opp og beholdningen rapporteres før regnskapet overføres til myndigheten.AI

Kapittel 6. Tilintetgjøring

§ 29

Tilintetgjøring av kryptonøkler

Kryptonøkler som har vært i bruk skal tilintetgjøres innen 12 timer etter endt gyldighetsperiode. Går gyldighetsperioden ut på en lørdag, søndag eller helligdag, skal tilintetgjøringen utføres første påfølgende virkedag. For kryptonøkler som består av flere segmenter med samme gyldighetsperiode skal det enkelte segment tilintetgjøres når det er lastet korrekt inn. Siste segment skal likevel beholdes i hele gyldighetsperioden. Fullstendige utgaver som ikke har vært i bruk skal tilintetgjøres innen fem dager etter endt gyldighetsperiode. Testnøkler og nøkler for undervisningsformål som ikke er merket KRYPTO, skal tilintetgjøres når de ikke lenger skal brukes. Ukryptert kryptonøkkel som er lastet inn i nøkkellader for overføring, lagring eller innlasting av kryptonøkler, skal beskyttes i samsvar med sikkerhetsgraden på kryptonøkkelen. Kryptonøkkelen skal tilintetgjøres innen 12 timer etter innlasting. Kryptert kryptonøkkel som er lastet inn i nøkkellader kan ligge i nøkkelladeren i hele gyldighetsperioden, men skal tilintetgjøres innen 12 timer etter endt gyldighetsperiode.

Bestemmelsen fastsetter regler for når og hvordan ulike typer kryptonøkler skal slettes. Dette gjelder både nøkler som har vært i bruk, ubrukte utgaver, testnøkler og nøkler i nøkkelladere.AI

referert av 2 →

§ 30

Tilintetgjøring av kryptodokumenter

Kryptodokumenter som er arkivverdige i henhold til arkivloven med forskrifter skal ikke tilintetgjøres før det foreligger avgjørelse om arkivbegrensning eller kassasjon i samsvar med bestemmelse gitt i eller i medhold av arkivloven. Avgjørelse om kassasjon av dokument hos leverandør i forbindelse med sikkerhetsgraderte anskaffelse kan bare fattes av oppdragsgiver. Kryptodokumenter som ikke er arkivverdige skal tilintetgjøres innen 15 dager etter endt gyldighetsperiode. Første og andre ledd gjelder ikke dersom det er umiddelbar fare for kompromittering av kryptodokumenter.

Kryptodokumenter med arkivverdi kan ikke slettes uten formell avgjørelse om begrensning eller kassasjon. Dokumenter uten arkivverdi skal slettes innen 15 dager etter gyldighetsperioden. Ved umiddelbar fare for kompromittering gjelder ikke reglene for arkivverdige dokumenter.AI

referert av 1 →

§ 31

Krav til personell som forestår tilintetgjøring

Tilintetgjøring av kryptonøkler skal foretas av kryptoforvalter sammen med et kryptoautorisert vitne, normalt stedfortredende kryptoforvalter. Dersom et kryptoautorisert vitne ikke er tilgjengelig kan isteden et vitne sikkerhetsklarert for HEMMELIG delta i tilintetgjøringen. Dersom kryptoforvalter eller dennes stedfortreder ikke er tilgjengelig innen fristen for tilintetgjøring, skal annet kryptoautorisert personell foreta tilintetgjøringen sammen med et vitne. Ved mindre virksomheter hvor det i perioder bare er én kryptoautorisert person til stede, skal tilintetgjøring av kryptonøkler likevel utføres innen gjeldende frister. Årsaken til at bare én person har utført tilintetgjøringen skal anmerkes i listen for tilintetgjøring.

Sletting av kryptonøkler skal som hovedregel gjøres av en kryptoforvalter og et vitne. Ved mindre virksomheter kan én person gjøre dette alene hvis det er nødvendig, men årsaken må loggføres.AI

§ 32

Metoder for tilintetgjøring

Tilintetgjøring av maskinell enhet av kryptoutstyr og nøkkelladere skal utføres i samsvar med brukerinstruks gitt for det enkelte utstyr. Kryptonøkler og informasjon om sikkerheten ved kryptotjenesten skal tilintetgjøres som for STRENGT HEMMELIG, jf. virksomhetsikkerhetsforskriften § 23. Tilintetgjøring av annet kryptomateriell skal utføres i samsvar med virksomhetsikkerhetsforskriften § 23 for materiellets sikkerhetsgrad.

Reglene bestemmer hvordan kryptoutstyr, nøkler og annet materiell skal slettes eller ødelegges. Maskinelt utstyr skal følges brukerinstruksen, mens nøkler og sikkerhetsinformasjon skal behandles som strengt hemmelig.AI

Se ogsåVirksomhetsikkerhetsforskriften § 23

§ 33

Tilintetgjøringsrapport

Ved tilintetgjøring av kryptomateriell skal det utferdiges tilintetgjøringsrapport. Tilintetgjøringsrapporten skal inneholde et løpenummer, kryptomateriellets tittel, utgave, antall og registreringsnummer. Rapporter på papir skal være påført teksten «Siste post» etter siste linje. Etter tilintetgjøringen skal rapporten signeres av det personellet som har utført tilintetgjøringen og graderes KONFIDENSIELT. Tilintetgjøringsrapporten skal sendes distribusjonsmyndigheten. Kopi av rapporten skal bevares som bilag i lokalt kryptoregnskap i fem år. Ved tilintetgjøring av segmenter av kryptonøkler skal segmentlisten signeres av det personellet som har utført tilintetgjøringen. Segmentlisten skal oppbevares som bilag i lokalt kryptoregnskap i fem år.

Når kryptomateriell slettes eller ødelegges, må det skrives en rapport. Denne rapporten skal inneholde spesifikk informasjon om materiellet, signeres av de som utførte jobben og sendes til distribusjonsmyndigheten.AI

referert av 1 →

§ 34

Evakuering og ekstraordinær tilintetgjøring

For evakuering og ekstraordinær tilintetgjøring av kryptomateriell gjelder bestemmelsene i virksomhetsikkerhetsforskriften § 24 med de tilpasninger som angis i andre til fjerde ledd. Kravet om samling i lett transportable beholdere gjelder bare for kryptonøkler og kryptodokumenter. Får virksomheten etter en evakuering igjen kontroll over området skal det foretas opptelling av alt kryptomateriell. Ved mangler skal rapportering skje i samsvar med § 41 og § 45. Ved ekstraordinær tilintetgjøring skal kryptonøkler tilintetgjøres først i følgende rekkefølge; nøkler med utgått gyldighetsperiode, gyldige nøkler og reservenøkler. Deretter skal kryptoutstyr merket KRYPTO, NSK eller CCI tilintetgjøres. Til slutt skal annet kryptomateriell tilintetgjøres. Tilintetgjøringsrapport skal om mulig sendes distribusjonsmyndigheten.

Reglene forklarer hvordan kryptomateriell skal håndteres ved evakuering og ekstraordinær tilintetgjøring. Ved retur til et evakuert område skal alt utstyr telles opp, og mangler skal rapporteres. Det er fastsatt en bestemt rekkefølge for hva som skal slettes eller ødelegges først.AI

Se ogsåVirksomhetsikkerhetsforskriften § 24 Forskrift om kryptosikkerhet § 41 første ledd Forskrift om kryptosikkerhet § 45referert av 2 →

Kapittel 7. Fysisk sikring

§ 35

Sikring av kryptomateriell

Kryptoutstyr som det stilles krav om kryptoautorisasjon for å bruke skal installeres i kryptorom. Det skal i tillegg opprettes sperret område. Kryptoutstyr som det ikke stilles krav om kryptoautorisasjon for å bruke kan installeres i kontrollert område, kontorer eller private hjem, dersom det er beskyttet med manipulasjonssikring godkjent av NSM. Kravene til fysisk sikring fremgår av brukerinstruksen til det enkelte utstyr. Kryptoutstyr med kryptonøkkel som tillates oppbevart i personlig varetekt skal være under personlig kontroll, nedlåst eller avlåst på godkjent måte, i samsvar med brukerinstruks for det enkelte type utstyr. Kryptoutstyr merket NSK eller CCI og som ikke er i bruk skal lagres tilsvarende som informasjon gradert KONFIDENSIELT.

Utstyr som krever kryptoautorisasjon skal installeres i kryptorom og sperret område. Utstyr uten dette kravet kan brukes i kontrollert område, kontorer eller hjemmet hvis det har godkjent manipulasjonssikring. Utstyr med kryptonøkkel skal være under personlig kontroll eller låst.AI

§ 36

Sikring av kryptorom

Ved nybygg og ombygging av kryptorom skal det ikke fremgå av ugraderte tegninger eller lignende hva rommet skal nyttes til. Mobile enheter kan benyttes som kryptorom dersom disse er godkjent av NSM. Kryptorom skal sikres tilsvarende som sperret område med informasjon gradert KONFIDENSIELT. Rommet skal plasseres slik i bygningen at det oppnås størst mulig avstand til områder hvor det ikke utøves fysisk kontroll, og slik at tilstøtende rom og arealer kan kontrolleres og sikres. Plasseringen av kryptorom skal være godkjent av NSM. Dersom det ikke er mulig å stille et eget rom til disposisjon kan kryptotjenesten foregå i et rom som også blir benyttet til andre formål. Personell uten kryptoautorisasjon skal i så fall ikke ha adgang til rommet når kryptotjeneste utøves. Ordningen skal være godkjent av NSM. Dører til kryptorom skal være av minimum 40 millimeter heltre eller tilsvarende styrkenivå og være forsvarlig montert. Dersom døren er utvendig hengslet, skal den sikres i bakkant. Veggene skal gå fra gulv til fast tak og skal ikke kunne demonteres fra utsiden uten at det avsettes spor. I rom med nedsenket himling skal område mellom himling og tak være kontrollerbart. Kryptorom skal om mulig ikke ha vinduer. Har rommet likevel vinduer skal vinduene være skjermet slik at de ikke slipper gjennom lys og sikret slik at det ikke er mulig å trenge inn i rommet uten å avsette spor. Ventiler, kanaler og tilsvarende åpninger skal sikres mot inntrenging. Åpninger som er mindre enn 600 cm2 skal ha installert lydfeller. Åpninger som er større enn 600 cm2 skal i tillegg ha installert gitter eller overvåkingssystem. Helautomatiske ubemannede kryptorom skal sikres med spesielle tiltak etter anvisning fra NSM i hvert enkelt tilfelle.

Reglene fastsetter fysiske krav til rom som brukes til kryptotjenester, inkludert krav til dører, vegger, vinduer og ventilasjon. Plassering og bruk av mobile enheter eller kombinerte rom krever godkjenning fra NSM.AI

referert av 1 →

§ 37

Adgangskontroll

Det skal gjennomføres kontroll med adgangen til kryptorom. For adgang kreves kryptoautorisasjon. Det skal foreligge en liste over personell som har permanent adgang. Listen skal signeres av virksomhetens leder. Bare én dør skal benyttes for inn- og utpassering. Andre dører skal være forsvarlig sikret mot inntrenging og skal bare kunne åpnes fra innsiden. Besøkende med tjenstlig behov kan få adgang dersom det er godkjent av virksomhetens leder og de ledsages av personell med permanent adgang. Besøkende skal legitimere seg og registreres i protokoll eller lignende besøksregister. Besøksregisteret skal bevares i minst ti år. I områder hvor det oppbevares store mengder kryptonøkler eller hvor det kryptonøkler produseres eller administreres, skal det etableres adgangsrutiner som sikrer at det alltid er to kryptoautoriserte personer til stede samtidig.

Det skal være streng adgangskontroll til kryptorom, og kun personer med kryptoautorisasjon har tilgang. Besøkende må godkjennes av leder, legitimere seg og følges av fast personell. Ved håndtering av mange kryptonøkler må minst to autoriserte personer være til stede.AI

§ 38

Oppbevaring

Kryptomateriell merket KRYPTO skal oppbevares som for informasjon gradert HEMMELIG. Kryptonøkler merket NSK og gradert BEGRENSET skal oppbevares som for informasjon gradert HEMMELIG. Slike kryptonøkler kan likevel oppbevares som for KONFIDENSIELT dersom virksomheten ikke har oppbevaringsenhet for HEMMELIG. Dersom personell uten kryptoautorisasjon skal ha tilgang til oppbevaringsenhet som inneholder materiell merket KRYPTO, skal personellet ha sikkerhetsklarering for minst HEMMELIG/tilsvarende og materiellet skal oppbevares i indre låsbar enhet som bare kryptoautorisert personell kan åpne. Reservekryptonøkler skal oppbevares adskilt fra gyldige kryptonøkler.

Reglene fastsetter hvordan kryptomateriell og nøkler skal oppbevares fysisk. De fleste skal behandles som informasjon gradert HEMMELIG. Reservekryptonøkler må lagres hver for seg fra de gyldige nøklene.AI

§ 39

Låser og nøkler

Låsenheter som sikrer oppbevaringsenheter og rom med kryptomateriell skal være godkjent av NSM. Låsene skal ikke inngå i sentralt låssystem. Tap eller kompromittering av låser, nøkler eller kombinasjoner skal straks meldes til kryptosikkerhetsleder og virksomhetens leder. Nøkler skal opptelles minst hver sjette måned. Dato og signatur fra den som utfører opptellingen skal påføres kontrollskjema, kvittering eller lignende.

Låser for rom og utstyr med kryptomateriell må være godkjent av NSM og må ikke være en del av et sentralt låssystem. Tap av nøkler eller koder skal meldes straks til ledelsen. Nøkler skal telles hver sjette måned og dokumenteres med signatur.AI

§ 40

Installasjon av kryptoutstyr

Kryptoutstyr skal beskyttes i samsvar med virksomhetsikkerhetsforskriften § 27, og installasjonen skal godkjennes av NSM. Etter at installasjonen er godkjent skal det ikke gjøres noen endringer, med mindre det innhentes ny godkjenning.

Kryptoutstyr må være fysisk sikret og godkjent av NSM. Det er ikke lov å gjøre endringer i installasjonen uten at man får en ny godkjenning.AI

Se ogsåVirksomhetsikkerhetsforskriften § 27

Kapittel 8. Reaksjon ved sikkerhetstruende hendelser

§ 41

Typer sikkerhetstruende hendelser

Operative og tekniske sikkerhetstruende hendelser i form av funksjonsfeil og produksjonsfeil på kryptoutstyr, og operatørfeil som har innvirkning på kryptosikkerheten skal omfatte a) bruk av kryptonøkkel som enten er kompromittert, tidligere brukt og ikke godkjent for gjenbruk, brukt til andre formål enn den er godkjent for, brukt utenfor den tidsperiode den er godkjent for, eller som ikke er godkjent av NSM b) avvik fra vedlikeholdsinstruks for et spesifikt kryptoutstyr c) utført eller forsøk på reparasjon eller vedlikehold foretatt av uautorisert personell d) bruk av forbindelse som ikke er kryptert for å omtale detaljer om feil og feilfunksjoner på kryptoutstyr e) forsøk på eller utført modifisering av kryptoutstyr uten godkjennelse f) kompromitterende elektromagnetisk stråling (tempest) fra kryptoutstyr. Personellmessige sikkerhetstruende hendelser i form av at personer med adgang til kryptomateriell kan ha innvirkning på sikkerheten til kryptomateriell, omfatter blant annet tilfeller der det kan være grunn til å revurdere en persons sikkerhetsklarering og tilfeller hvor det har foregått eller vært forsøk på ulovlig utlevering av informasjon om kryptomateriell. Fysiske sikkerhetstruende hendelser i form av tap, tyveri, manipulering, uautorisert adgang eller innsyn vedrørende kryptomateriell, eller forsøk på slike handlinger, skal omfatte a) kryptomateriell som er rapportert tilintetgjort, men hvor tilintetgjøring ikke har funnet sted b) kryptomateriell som ikke er fullstendig tilintetgjort og deretter forlatt uten tilsyn c) forsendelse av kryptomateriell utenfor godkjent distribusjonskanal d) kryptomateriell som ikke er korrekt pakket, mottatt med skadet emballasje, eller uforklarlig brekkasje av forsegling på kryptonøkler e) bruk av tilintetgjøringsmetoder som ikke er godkjent f) mangfoldiggjøring eller reproduksjon av kryptonøkler som ikke er godkjent av NSM eller andre virksomheter som produserer kryptonøkler g) brudd på eventuelle krav om tilstedeværelse av to personer samtidig for behandling av kryptomateriell h) forfalskning av kryptodokumenter eller kryptonøkler, og i) manipulering eller inntrenging i et kryptosystem, konstatering av elektroniske overvåkings- eller opptaksanordninger nær et kryptosystem, eller utløsning av sikkerhetsmekanismer mot manipulasjon.

referert av 4 →

§ 42

Generelt om rapporterings- og tiltaksplikt

Alt personell som har tilgang til kryptomateriell skal gjøres oppmerksom på nødvendigheten av straks å rapportere sikkerhetstruende hendelser til kryptosikkerhetsleder. Kryptosikkerhetsleder skal rapportere videre til virksomhetens leder. Virksomheten skal omgående rapportere videre og iverksette umiddelbare tiltak som kan redusere mulige skadevirkninger. Rapporten skal sendes i det format og med de opplysninger som NSM fastsetter som standard eller for det enkelte tilfelle.

Alle med tilgang til kryptomateriell må rapportere sikkerhetstruende hendelser til kryptosikkerhetsleder. Lederen rapporterer videre til virksomhetslederen. Virksomheten skal deretter rapportere hendelsen videre og iverksette tiltak for å redusere skader.AI

§ 43

Nærmere om rapportering

Foreløpig rapport skal avgis ved sikkerhetstruende hendelser. Slik rapport skal avgis innen 24 timer dersom den omhandler kryptonøkler som er gyldige eller blir gyldige innen 15 dager, spionasje, manipulering eller sabotasje mot kryptomateriell, eller mangfoldiggjøring eller reproduksjon av kryptomateriell som ikke er godkjent av NSM. Rapport skal avgis innen 48 timer dersom den omhandler reservekryptonøkler som blir gyldige etter 15 dager eller kryptonøkler med utgått eller ikke angitt gyldighetsperiode, eller innen 72 timer dersom den omhandler andre sikkerhetstruende hendelser. Utfyllende rapport skal avgis når det fremkommer ny viktig informasjon om et tidligere rapportert forhold. Endelig rapport skal inneholde en sammenfatning av resultater om alle innhentede opplysninger og undersøkelser, og opplyse om tiltak som er gjennomført eller planlagt for å begrense muligheten for gjentakelse. Foreløpig rapport eller utfyllende rapport kan tjene som endelig rapport dersom den tilfredsstiller kravene til endelig rapport. Foreløpig, utfyllende og endelig rapport skal sikkerhetsgraderes etter sitt innhold, og om mulig sendes elektronisk med kommunikasjonsmiddel godkjent for aktuell sikkerhetsgrad. Dersom elektroniske kommunikasjonsmidler ikke er tilgjengelig skal rapport om forhold nevnt i § 41 første og andre ledd sendes i samsvar med § 19.

Sikkerhetstruende hendelser skal rapporteres gjennom foreløpige, utfyllende og endelige rapporter. Det er ulike tidsfrister for når den foreløpige rapporten må sendes avhengig av hva hendelsen gjelder. Rapportene skal sikkerhetsgraderes og sendes med godkjente kommunikasjonsmidler.AI

Se ogsåForskrift om kryptosikkerhet § 41 første ledd Forskrift om kryptosikkerhet § 19

§ 44

Adressater for rapportering av nasjonalt kryptomateriell

Rapporter som gjelder nasjonalt kryptomateriell skal sendes til NSM eller annen virksomhet som leverer kryptosikkerhetstjenester. Kopi av rapporten skal sendes til overordnet virksomhet og virksomheten hvor den sikkerhetstruende hendelsen fant sted.

Rapporter om nasjonalt kryptomateriell skal sendes til NSM eller andre leverandører av kryptosikkerhetstjenester. Det skal også sendes kopi av rapporten til overordnet virksomhet og der hendelsen skjedde.AI

§ 45

Adressater for rapportering av nasjonalt kryptomateriell

Rapporter om forhold nevnt i § 41 første og annet ledd vedrørende NATOs kryptomateriell skal sendes til den som er kontrollerende myndighet i henhold til NATOs publikasjon «AMSG 600». Ved forbindelse punkt til punkt er virksomhet som har kryptonøkkel med registreringsnummer 1 kontrollerende myndighet. Kopi av rapporten skal sendes til NATO Security and Evaluation Agency (SECAN), European Security and Evaluation Agency (EUSEC) og NSM. Dersom rapporterende virksomhet ikke er kjent med hvem som er kontrollerende myndighet etter første ledd, skal rapport sendes til SECAN med kopi til EUSEC og NSM. Dersom det er flere kontrollerende myndigheter for samme kryptomateriell, skal rapport sendes til SECAN og EUSEC med kopi til kontrollerende myndigheter og NSM. Ved sikkerhetstruende hendelser hos kontrollerende myndighet skal rapport sendes til SECAN med kopi til EUSEC og NSM. Ved rapportering om forhold nevnt i § 41 tredje ledd vedrørende NATOs kryptomateriell, skal det for kryptomateriell hvor EUSEC er kontrollerende myndighet sendes rapport til EUSEC, med kopi til SECAN og NSM.

Bestemmelsen forklarer hvem som skal motta rapporter om sikkerhetstruende hendelser knyttet til NATOs kryptomateriell. Den fastslår hvilke myndigheter som skal ha rapporten og hvem som skal få kopi i ulike situasjoner.AI

Se ogsåForskrift om kryptosikkerhet § 41 første leddreferert av 1 →

§ 46

Ikrafttredelse

Forskriften trer i kraft 1. januar 2019.

Denne forskriften begynner å gjelde fra 1. januar 2019.AI

Vanlige spørsmål

✨ AI-generert

Forenklede forklaringer laget med AI og kontrollert automatisk — les alltid selve lovteksten.

Hva gjelder denne forskriften for?

Åpne § 1

Hvem har ansvaret for kryptoutstyret?

Hovedforvalteren har ansvaret for alt kryptoutstyr gjennom hele utstyrets levetid. Dette inkluderer vedlikehold, reparasjoner, kasting av utstyr og utarbeidelse av tekniske håndbøker.

Åpne § 3

Hva skal den overordnede virksomheten kontrollere?

Åpne § 4

Hva er en leverandør av kryptosikkerhetstjenester ansvarlig for?

Åpne § 5

Må virksomheter som har kryptomateriell ha en egen organisasjon for dette?

Åpne § 6

Hvem har ansvaret for at sikkerhetsbestemmelsene for kryptotjenesten blir fulgt?

Åpne § 7

Hvem skal sørge for at ansatte får opplæring i bruk av kryptoutstyr?

Åpne § 8

Hva må en bruker av kryptomateriell følge?