1.1 Særlig risiko knyttet til Kina og Russland

Etterretningstjenesten mener det er særlig risiko for at kinesiske myndigheter tilegner seg kritisk informasjon fra norske virksomheter, ettersom Kina subsidierer kinesisk næringsliv for å vinne anbudskonkurranser for teknologi i vestlige land. Samtidig pålegger kinesisk lovgivning kinesiske virksomheter å utlevere informasjon til kinesisk etterretning, noe som øker risikoen for at kinesisk etterretning får tilgang til sensitiv eller gradert informasjon som er tiltrodd kinesiske leverandører. Etterretningstjenesten understreker videre at det tar lang tid å bygge opp alternative verdikjeder som er mindre avhengige av enkeltland, og anskaffelser som gjøres i dag kan dermed ha stor betydning i lang tid fremover.

Blant enkeltland er også Russland en aktør med interesser i det vestlige markedet, men Etterretningstjenesten peker på at sanksjonsregimet som følge av krigen i Ukraina har gjort det vanskeligere for Russland å slippe inn i vestlig infrastruktur. Det er likevel risiko for at russiske aktører forsøker å omgå sanksjonsregelverket gjennom innviklede eierskapsstrukturer og uoversiktlige forsyningskjeder, og at Russlands tilgang på kritisk informasjon i Norge derfor vil være en trussel også fremover.

1.2 NSMs anbefalinger til fremgangsmåte

NSM anbefaler at virksomheter som skal gjennomføre anskaffelser

1. gjør gode risikovurderinger for å ha et grunnlag for hvilke sikkerhetskrav som skal stilles i kontraktene, inkludert å undersøke virksomhetens verdier, sårbarheter og trusler,

2. har personer med kompetanse innenfor anskaffelser, avtaler og helhetlig sikkerhet som deltar i anskaffelsen,

3. tar inn gode sikkerhetsklausuler i kontraktene, og

4. har gode rutiner for oppfølging av leverandørforholdet, blant annet gjennom varsling av endringer i leverandørens eierskapsstruktur og sikkerhetstruende hendelser.

2.1 Digitalsikkerhetsloven gir nye plikter til leverandører av samfunnsviktige tjenester og digitale tjenester

Stortinget vedtok før jul i fjor en ny lov om digital sikkerhet (digitalsikkerhetsloven), som gjennomfører NIS-direktivet og cybersikkerhetsforordningen. Leverandører som er underlagt sikkerhetsloven må allerede oppfylle strenge sikkerhetskrav, og må blant annet gjøre risikovurderinger av sine leverandører. Med digitalsikkerhetsloven er flere leverandører forpliktet til å oppfylle lignende sikkerhetskrav. Loven gjelder nemlig for leverandører av samfunnsviktige tjenester innen sektorene energi, transport, helse, vannforsyning, bank, finansmarkedsinfrastruktur og digital infrastruktur, samt for leverandører av digitale tjenester i form av nettbaserte markedsplasser, nettbaserte søkemotorer og skytjenester.

Leverandører som er omfattet av loven plikter å gjennomføre risikovurderinger av de nettverks- og informasjonssystemene som benyttes for å levere tjenesten. Videre skal leverandører iverksette hensiktsmessige og proporsjonale tekniske og organisatoriske sikkerhetstiltak for å sørge for et sikkerhetsnivå som er tilpasset risikoen ved tjenestene. Digitalsikkerhetsloven gir ikke konkrete plikter rettet mot anskaffelser, men det er grunn til å forvente at både oppdragsgivere og leverandører som er omfattet av loven kommer til å stille krav til leverandører og underleverandører om å ha tilfredsstillende sikkerhetstiltak for å beskytte informasjon i nettverks- og informasjonssystemene. Aktører som er omfattet av loven vil også bli nødt til å gjennomføre strengere risikovurderinger i forbindelse med sine anskaffelser, og dette vil trolig føre til at leverandører blir vurdert mer nøye og grundig enn tidligere.

I lys av sikkerhetstjenestenes risiko- og trusselvurderinger kan oppdragsgivere videre bli nødt til å sørge for at leverandører eller underleverandører fra bestemte land ikke får tilgang til informasjonen i systemene. Oppdragsgivere kan også bli nødt til å hindre at leverandører fra enkeltland dominerer som leverandør i systemene og samlet sitter på en for stor mengde informasjon. I tillegg vil det bli nødvendig for oppdragsgivere å gjøre større anstrengelser for å klare opp i innviklede eierskapsstrukturer og forsyningskjeder. Dette vil være nødvendig for å finne ut hvilke aktører som reelt får tilgang til kritisk informasjon som betros til leverandører.

2.2 Ny felleseuropeisk sikkerhetssertifisering

Digitalsikkerhetsloven gir også forskriftshjemmel for ordninger for sikkerhetssertifisering av IKT-produkter, IKT-tjenester og IKT-prosesser, som er en del av gjennomføringen av cybersikkerhetsforordningen. I forordningen er IKT-prosesser definert som «et sett av aktiviteter som utføres for å utforme, utvikle, levere eller vedlikeholde et IKT-produkt eller en IKT-tjeneste», og IKT-prosesser omfatter altså også aktiviteter i forbindelse med anskaffelse av IKT-tjenester.

Forordningen innfører et felleseuropeisk rammeverk for frivillig sertifisering av IKT-produkter, -tjenester og -prosesser, og i forordningens fortale er det eksplisitt nevnt at den felleseuropeiske sertifiseringen kan gjøre det enklere for selskaper å delta i anbudsprosesser på tvers av landegrenser, fordi selskapene slipper å få produktene sertifisert i flere land. For Norges del innebærer det at sertifiseringsordningen som i dag ligger under SERTIT på sikt vil opphøre. Den felleseuropeiske sertifiseringsordningen kan potensielt få stor betydning for IT-anskaffelser i Norge. På sikt vil trolig flere oppdragsgivere stille krav om sertifisering for å delta i anbudsprosesser, og leverandører som ikke oppfyller kravene kan dermed miste muligheten til å bli vurdert i anskaffelsesprosessen.

2.3 NIS2-direktivet gir plikter til flere leverandører

Digitalsikkerhetsloven har ennå ikke fått sin ikrafttredelsesdato, og det vil allerede være behov for endringer i loven. I november 2022 vedtok nemlig EU NIS2-direktivet, som opphever det forrige NIS-direktivet som digitalsikkerhetsloven gjennomfører. NIS2-direktivet skal være gjennomført i EU innen 17. oktober 2024. I det nye direktivet er virkeområdet utvidet til å inkludere flere sektorer og alle mellomstore og store bedrifter i utvalgte sektorer. Når endringene trer i kraft, vil derfor enda flere leverandører være omfattet av de strenge kravene til risikovurderinger og hensiktsmessige sikkerhetstiltak. Konsekvensene av å bryte regelverket blir også større etter NIS2-direktivet, hvor leverandører kan få bøter opptil EUR 10 000 000 eller 2 % av global omsetning dersom de ikke overholder pliktene.

Det pågår et løpende lovgivningsarbeid i EU for regulering av sikkerhet i nettverks- og informasjonssystemer, og det er derfor grunn til å tro at både pliktene og gruppen som omfattes av reglene blir ytterligere utvidet i årene som kommer.