Kapittel 1. Innledende bestemmelser
§ 1Forskriftens formål og anvendelsesområde
Forskriftens formål er å legge til rette for sikker og effektiv bruk av elektronisk kommunikasjon med og i forvaltningen. Den skal fremme forutsigbarhet og fleksibilitet og legge til rette for samordning av sikre og hensiktsmessige tekniske løsninger. Forskriften skal legge til rette for at enhver på en enkel måte kan utøve sine rettigheter og oppfylle sine plikter overfor det offentlige.Forskriften gjelder for elektronisk kommunikasjon med forvaltningen og for elektronisk saksbehandling og kommunikasjon i forvaltningen når ikke annet er bestemt i lov eller i medhold av lov.Denne forskrift gir ikke grunnlag for å gjøre unntak fra de alminnelige reglene om forsvarlig saksbehandling i forvaltningsloven. § 2Begreper
De begreper som er definert i artikkel 3 i forordning (EU) nr. 910/2014 om elektronisk identifikasjon og tillitstjenester for elektroniske transaksjoner i det indre marked og i forvaltningsloven § 2 benyttes på samme måte i forskriften her.Endret ved forskrift 20 des 2022 nr. 2304. Kapittel 2. Alminnelige krav ved bruk av elektronisk kommunikasjon med forvaltningen
§ 3Bruk av elektronisk kommunikasjon ved henvendelser til et forvaltningsorgan
Alle som henvender seg til et forvaltningsorgan kan benytte elektronisk kommunikasjon, dersom forvaltningsorganet har lagt til rette for dette, det skjer på den anviste måten og ved bruk av den elektroniske adressen som forvaltningsorganet har anvist for den aktuelle type henvendelse.- Med den anviste måten menes for eksempel bruk av spesielle skjema, bruk av en bestemt prosedyre eller lignende.
- Med elektronisk adresse menes for eksempel en adresse til et nettsted, en e-postadresse, et nummer til en SMS-tjeneste eller lignende.
- Med elektronisk kommunikasjon menes bruk av for eksempel Internett eller liknende kommunikasjonssystem, bruk av SMS og talestyrte eller andre automatiske telefontjenester. Bruk av taletelefon eller annen muntlig kommunikasjon er ikke omfattet.
Hvis det ikke er anvist noen egen elektronisk adresse, og det heller ikke er stilt noen særskilte krav til fremgangsmåte for den type henvendelse som er aktuell, kan den som vil henvende seg til forvaltningsorganet, bruke forvaltningsorganets generelle elektroniske adresse.Når det benyttes elektronisk kommunikasjon ved henvendelse til et forvaltningsorgan, skal henvendelsen ikke rettes direkte til en enkeltperson, med mindre forvaltningsorganet har lagt til rette for det, eller det er avtalt i det enkelte tilfelle.Forvaltningsorganet kan bestemme at henvendelser fra andre forvaltningsorganer kan sendes direkte til enkeltpersoner i forvaltningsorganet.Forvaltningsorganet bør legge til rette for at elektronisk kommunikasjon med forvaltningsorganet er brukervennlig og tilgjengelig for alle. Kapittel 3. Styring og kontroll med informasjonssikkerheten
§ 15Internkontroll på informasjonssikkerhetsområdet
Forvaltningsorgan som benytter elektronisk kommunikasjon skal ha beskrevet mål og strategi for informasjonssikkerhet i virksomheten (sikkerhetsmål og sikkerhetsstrategi). Disse skal danne grunnlaget for forvaltningsorganets internkontroll (styring og kontroll) på informasjonssikkerhetsområdet. Sikkerhetsstrategien og internkontrollen skal inkludere relevante krav som er fastsatt i annen lov, forskrift eller instruks.Forvaltningsorganet skal ha en internkontroll (styring og kontroll) på informasjonssikkerhetsområdet som baserer seg på anerkjente standarder for styringssystem for informasjonssikkerhet. Internkontrollen bør være en integrert del av virksomhetens helhetlige styringssystem. Det organet departementet peker ut skal gi anbefalinger på området.Omfang og innretning på internkontrollen skal være tilpasset risiko.I den utstrekning det er relevant skal sikkerhetsstrategien og internkontrollen for øvrig også adressere, og om nødvendig stille krav til, bl.a.:- prosedyrer for anskaffelse, bruk, oppbevaring og sikring av signaturfremstillingsdata, passord/PIN-koder og dekrypteringsnøkkel knyttet til personlige sertifikat eller sertifikat for ansatt i forvaltningen, jf. § 17, § 19 og § 22,
- prosedyrer for anskaffelse, bruk, oppbevaring og sikring av signaturfremstillingsdata, passord/PIN-koder og dekrypteringsnøkkel knyttet til virksomhetssertifikat, jf. § 16 og § 23,
- prosedyrer for å etablere og opprettholde et sikkert brukermiljø der det benyttes elektroniske signaturer, kryptering eller andre sikkerhetstjenester, jf. § 20,
- prosedyrer for varsling og tilbaketrekking av sertifikat og passord/PIN-koder ved mistanke om tap eller misbruk, jf. § 25,
- prosedyrer for kontroll av sertifikater og tilbaketrekkingslister ved mottak av melding utstyrt med elektronisk signatur, herunder krav til hvor oppdatert informasjon om sertifikaters status bør være for de ulike formål sertifikatene benyttes for, jf. § 27,
- prosedyrer for å nekte bruk av sertifikat mv. ved misbruk av elektronisk kommunikasjon med forvaltningen, jf. § 14,
- prosedyrer for behandling av personopplysninger og taushetsbelagt informasjon, jf. § 5 og § 26, se også personvernforordningen artikkel 32 og 33,
- prosedyrer for sikkerhetskopiering, oppbevaring og deponering av dekrypteringsnøkkel for opplysninger som angår forvaltningsorganet, jf. § 24.
Endret ved forskrift 20 des 2022 nr. 2304. Kapittel 4. Anskaffelse og bruk av sikkerhetstjenester mv.
§ 16Sertifikat for forvaltningsorgan (virksomhetssertifikat)
Forvaltningsorgan som benytter elektronisk signatur kan benytte sertifikat som identifiserer forvaltningsorganet (virksomhetssertifikat).Hvis det skal benyttes sertifikat ved underretning om enkeltvedtak og varsling etter § 8 og ved høringer etter § 13, bør det benyttes virksomhetssertifikat. § 17Informasjon om bruk av sikkerhetstjenester mv.
Et forvaltningsorgan skal gi sine ansatte anvisning på hvilke sikkerhetstjenester og -produkter de skal benytte under tjeneste for organet, og hvorledes de skal gå frem for å anskaffe nødvendig utstyr og data, herunder signaturfremstillingsdata og dekrypteringsnøkkel med tilhørende sertifikat samt passord og PIN-koder mv.Ved anskaffelse av utstyr og data som nevnt i første ledd, plikter forvaltningsorganet å sørge for at den ansatte får informasjon om:- vedkommendes ansvar og plikter i forbindelse med oppbevaring og bruk av signaturfremstillingsdata og dekrypteringsnøkkel med tilhørende sertifikat samt passord og PIN-koder mv., jf. § 22 og § 25,
- restriksjoner på bruk av data som nevnt i bokstav a),
- egen og andres mulighet for å trekke tilbake eller suspendere sertifikat,
- sertifikatets ikrafttredelses- og utløpsdato og virkningen av at sertifikatet løper ut eller blir trukket tilbake,
- hvilke opplysninger om den enkelte som vil fremgå av sertifikatet og sertifikatutsteders behandling av personopplysninger, jf. personvernforordningen artikkel 13 og 14, og
- forvaltningsorganets sikkerhetsstrategi for øvrig, jf. § 15.
Endret ved forskrift 20 des 2022 nr. 2304. Kapittel 5. Beskyttelse av signaturfremstillingsdata og dekrypteringsnøkkel mv.
§ 22Krav til oppbevaring og bruk av signaturfremstillingsdata, passord/PIN-koder og dekrypteringsnøkkel
Innehaver av signaturfremstillingsdata skal oppbevare og benytte disse på en slik måte at de ikke gjøres tilgjengelige for andre.Innehaver skal aldri forlate arbeidsstasjon og lignende uten å sikre at signaturfremstillingsdata ikke er tilgjengelige for andre. Innehaver skal sikre:- at signaturfremstillingsdata fjernes fra arbeidsstasjonen dersom dataene er lagret i smartkort eller i en annen enhet som lett kan fjernes, og
- at den aktuelle arbeidsoperasjonen er avsluttet og eventuelle lagrede eller behandlede signaturfremstillingsdata er deaktivert, eller
- at signaturfremstillingsdata på annen måte er sikret mot misbruk.
Innehaver av signaturfremstillingsdata skal ikke overlate disse til andre eller gi andre tilgang til dem. Skal noen handle på vegne av en annen skal dette skje med fullmektigens egne signaturfremstillingsdata.Bestemmelsene om oppbevaring og bruk av signaturfremstillingsdata gjelder tilsvarende for bruk av passord/PIN-koder o.l. og dekrypteringsnøkkel. Kapittel 6. Forvaltningsorganets behandling av meldinger som er kryptert eller signert
§ 26Mottak av kryptert melding
Melding som mottas av forvaltningsorganet i kryptert form, skal straks dekrypteres.Hvis meldingen ikke lar seg dekryptere ved mottak, skal det straks sendes melding til avsender med beskjed om at forvaltningsorganet ikke får tilgang til meldingens innhold. § 7 gjelder tilsvarende.Forvaltningsorganet skal sikre opplysningene under den videre behandling i organet i henhold til de regler som gjelder for de aktuelle opplysningene. § 27Krav til kontroll av sertifikater og tilbaketrekkingslister
Ved mottak av melding som er underlagt krav om bruk av avansert elektronisk signatur, skal forvaltningsorganet kontrollere, i henhold til kravene fastsatt i organets sikkerhetsstrategi, jf. § 15:- at signaturen lar seg verifisere, herunder at meldingen ikke er endret,
- at tilknyttet sertifikat fortsatt er gyldig og ikke suspendert eller trukket tilbake, eller det dokumenteres at sertifikatet var gyldig på signeringstidspunktet,
- at sertifikatet er egnet for den aktuelle anvendelse, herunder sertifikatets sikkerhetsnivå og eventuelle begrensninger i sertifikatets anvendelsesområde,
- at sertifikatet er utstedt av en sertifikatutsteder som anbefales eller er anerkjent av koordineringsorganet, jf. § 36, eller som forvaltningsorganet kan akseptere i henhold til sin sikkerhetsstrategi.
Hvis en melding som er signert med avansert elektronisk signatur ikke tilfredsstiller kontrollene i første ledd, og dette har betydning for behandling av meldingen i forvaltningsorganet, skal det sendes melding til avsender i henhold til reglene i § 7. Kapittel 7. Digital kontaktinformasjon og reservasjon
§ 29Bruk av digital kontaktinformasjon og reservasjon
Det etableres register over digital kontaktinformasjon og reservasjon med tilhørende infrastruktur.Opplysninger i register over digital kontaktinformasjon og reservasjon kan benyttes i forbindelse med saksbehandling og utføring av forvaltningsoppgaver for øvrig, og skal benyttes til varsling etter § 8 tredje ledd.Behandlingsansvarlig avgjør hvordan forvaltningen skal gis tilgang til registeret, herunder om forvaltningsorgan skal kunne benytte kopi av registeret. Forvaltningsorgan som mottar kopi har plikt til å holde kopien à jour.Behandlingsansvarlig skal treffe tiltak for å sikre tilfredsstillende kvalitet på opplysningene. Behandlingsansvarlig kan sette vilkår for bruken av registeret. § 30Behandlingsansvarlig
Digitaliseringsdirektoratet er behandlingsansvarlig for register over digital kontaktinformasjon og reservasjon med tilhørende infrastruktur.Endret ved forskrift 16 okt 2020 nr. 2063. Kapittel 8. Diverse bestemmelser
§ 36Koordinerende organ
Kongen kan utpeke et organ som har koordineringsansvar for forvaltningens bruk av sikkerhetstjenester og -produkter ved elektronisk kommunikasjon med og i forvaltningen.Koordineringsorganet skal utarbeide krav til sikkerhetstjenester og -produkter som anbefales brukt ved elektronisk kommunikasjon med og i forvaltningen. Koordineringsorganet skal også vurdere om tilgjengelige sikkerhetstjenester eller -produkter tilfredsstiller kravene.Koordineringsorganet kan bestemme at det under tjeneste for forvaltningsorganer kun skal benyttes sertifikater fra sertifikatutstedere som har inngått rammeavtale om levering av slike tjenester til forvaltningen eller som er anerkjent av koordineringsorganet.Koordineringsorganet kan bestemme at det ved elektronisk kommunikasjon med og i forvaltningen bare skal benyttes sertifikater som er oppført på liste publisert i henhold til forskrift 21. november 2019 nr. 1578 om selvdeklarasjon av ordninger for elektronisk identifikasjon (selvdeklarasjonsforskriften) § 13 første ledd.Endret ved forskrift 20 des 2022 nr. 2304. § 37Overgangsbestemmelse – kobling mot register over digital kontaktinformasjon og reservasjon – bruk av samtykker og varslingsadresser
Forvaltningsorganer som kobler seg til register over digital kontaktinformasjon og reservasjon, må bruke den kontaktinformasjonen som er registrert om vedkommende i registeret for å sende varsel etter § 8 tredje ledd annet punktum fra de er koblet opp. Alle forvaltningsorganer skal benytte den kontaktinformasjonen som er registrert i register over digital kontaktinformasjon og reservasjon til å sende varsel etter § 8 tredje ledd annet punktum senest fra 1. januar 2016.Forvaltningsorganer som ikke har koblet seg til register over digital kontaktinformasjon og reservasjoner, kan bare gi forhåndsvarsel og underretning om enkeltvedtak ved bruk av elektronisk kommunikasjon til privatpersoner og enheter som ikke er registrert i Enhetsregisteret, når mottakeren uttrykkelig har godtatt dette og har oppgitt den elektroniske adressen som skal benyttes for slikt formål. Det samme gjelder for andre meldinger som har betydning for mottakerens rettsstilling, for behandlingen av saken eller for meldinger som det av andre grunner er av særlig betydning å sikre at vedkommende mottar.Med mindre et avgitt samtykke er tidsbegrenset, gjelder samtykke til elektronisk kommunikasjon avgitt direkte til forvaltningsorganer, frem til det enkelte forvaltningsorgan har koblet seg til register over digital kontaktinformasjon og reservasjon. Dette gjelder selv om mottaker i perioden reserverer seg mot elektronisk kommunikasjon, jf. § 9. Den elektroniske adressen som ble innhentet sammen med samtykket kan benyttes så lenge samtykket gjelder.Denne bestemmelsen gjelder ikke utover 1. januar 2016.