Virksomhetsikkerhetsforskriften

1. skjermingsverdige verdier: skjermingsverdig informasjon, skjermingsverdige informasjonssystemer, skjermingsverdig infrastruktur og skjermingsverdige objekter
2. dokument: en logisk avgrenset mengde med informasjon som er lagret på et medium for senere lesing, lytting, framføring, overføring eller lignende
3. lagringsmedium: en elektronisk eller fysisk enhet for lagring av informasjon til bruk for senere lesing, lytting, framføring, overføring eller lignende.

1. hvilke deler av sikkerhetsloven med forskrifter som gjelder for virksomheten
2. roller og ansvar i virksomhetens forebyggende sikkerhetsarbeid, jf. § 6
3. prinsipper for virksomhetens sikkerhetsarbeid.

1. hvilken betydning virksomhetens skjermingsverdige verdier har for grunnleggende nasjonale funksjoner eller nasjonale sikkerhetsinteresser
2. hvilken sikkerhetstruende virksomhet de skjermingsverdige verdiene kan bli utsatt for
3. sannsynligheten for at sikkerhetstruende virksomhet kan inntreffe
4. hvilke sårbarheter som er knyttet til de skjermingsverdige verdiene
5. konsekvensen av sikkerhetstruende virksomhet for de skjermingsverdige verdiene
6. i hvilken grad virksomheten er avhengig av andre virksomheter for å fungere som den skal.

1. den mottar et varsel om feil gradering etter § 32
2. den mottar en henvendelse om innsyn som nevnt i § 33
3. den avleverer dokumenter til Arkivverket
4. det ellers oppstår grunn til å tro at beskyttelsesbehovet for informasjonen har endret seg.

1. uautoriserte personer ikke kan få tilgang til informasjon gradert KONFIDENSIELT eller høyere, uten at virksomheten oppdager det
2. uautoriserte personer ikke kan få tilgang til informasjon gradert HEMMELIG eller høyere, uten at virksomheten oppdager det og kan begrense skadefølgene
3. risikoen for at uautoriserte personer får tilgang til informasjon gradert STRENGT HEMMELIG reduseres til et ubetydelig nivå.

1. beskytte data mot uønsket lesing og beskytte tjenester mot uønsket bruk
2. beskytte data mot uønsket modifikasjon og beskytte tjenester mot uønsket modifikasjon og manipulasjon
3. beskytte data mot uønsket sletting og beskytte tjenester mot uønsket reduksjon eller stans
4. identifisere og autentisere brukere som kan påvirke informasjonssystemets funksjon, eller som kan få tilgang til data i systemet, før de gis tilgang til data og tjenester
5. forhindre at falske data og tjenester introduseres i informasjonssystemet
6. registrere bruk, misbruk og forsøk på misbruk av informasjonssystemet, tjenester og data
7. systematisk kontrollere at sikkerhetstiltakene er korrekt implementert og ivaretar sikkerheten på en effektiv og hensiktsmessig måte.

1. i hvilken grad grunnleggende nasjonale funksjoner er avhengig av objektet eller infrastrukturen
2. virksomhetens skadevurdering.

1. hvilke konsekvenser det vil få for grunnleggende nasjonale funksjoner dersom objektets eller infrastrukturens funksjonalitet faller bort eller reduseres
2. hvor lenge objektets eller infrastrukturens funksjonalitet kan være satt ut av drift før det får betydning for grunnleggende nasjonale funksjoner
3. i hvilken grad objektets eller infrastrukturens funksjonalitet kan gjenopprettes eller erstattes
4. i hvilken grad en rettsstridig overtakelse av objektet eller infrastrukturen kan påvirke befolkningens grunnleggende sikkerhet.

1. begrense tap av vesentlige funksjoner ved skadeverk på eller forsøk på å ødelegge objekter eller infrastruktur klassifisert VIKTIG
2. begrense tap av funksjoner ved skadeverk på eller forsøk på å ødelegge objekter eller infrastruktur klassifisert KRITISK
3. avverge tap av funksjoner ved skadeverk på eller forsøk på å ødelegge objekter eller infrastruktur klassifisert MEGET KRITISK
4. avverge en rettsstridig overtakelse av objekter eller infrastruktur klassifisert KRITISK eller MEGET KRITISK.

1. forsøke å trenge inn i virksomhetens skjermingsverdige informasjonssystemer
2. kontrollere om virksomhetens informasjonssystemer behandler sikkerhetsgradert informasjon utover det systemets sikkerhetsgodkjenning tillater
3. forsøke å forsere etablerte sikkerhetstiltak.

Avtalen skal også regulere hva denne testingen eller kontrollen skal omfatte.

1. utplassering av sensorer eller andre tekniske løsninger som skal overvåke virksomhetens digitale infrastruktur
2. hvordan alvorlige digitale angrep skal håndteres
3. hvordan personopplysninger og opplysninger underlagt lovbestemt taushetsplikt skal behandles.

1. før det gis autorisasjon
2. når en autorisert person selv ber om det
3. ved reklarering
4. når en autorisasjonsansvarlig ellers finner grunn til det.

Personer som får autorisasjon for STRENGT HEMMELIG, COSMIC TOP SECRET eller tilsvarende, skal gjennomføre en ny autorisasjonssamtale minst annethvert år.

1. forsikre seg om at den som skal autoriseres, kjenner til relevante sikkerhetstrusler og sikkerhetsbestemmelser og forstår sin rolle i sikkerhetsarbeidet til virksomheten
2. kontrollere at opplysningene den som skal autoriseres, gir, er tilstrekkelige og oppdaterte
3. drøfte eventuelle risikofaktorer ved personen som er relevante for personellsikkerheten
4. drøfte tiltak som kan redusere risikofaktorer ved personen, eller som kan oppfylle vilkår som klareringsmyndigheten har gitt for klareringen.

1. hvilken sikkerhets- eller klassifiseringsgrad informasjonen, objektet eller infrastrukturen har
2. hvem som skal få tilgang til den sikkerhetsgraderte informasjonen eller det skjermingsverdige objektet eller infrastrukturen
3. hvordan den sikkerhetsgraderte informasjonen skal formidles mellom avtalepartene
4. hvilket informasjonssystem som skal brukes for å behandle den sikkerhetsgraderte informasjonen, eller for å få tilgang til det skjermingsverdige objektet eller infrastrukturen, og hvem som er ansvarlig for å godkjenne systemet
5. hvilke lokaler den sikkerhetsgraderte informasjonen skal behandles i
6. hvordan det skal varsles om sikkerhetstruende virksomhet og avvik fra sikkerhetskrav
7. om den sikkerhetsgraderte informasjonen skal leveres tilbake eller destrueres når oppdraget er avsluttet.

1. hvilke kriterier som skal ligge til grunn for tilsyn
2. hvem som skal være ansvarlig for opplæring og veiledning, og hvordan opplæring og veiledning skal gjennomføres
3. hvordan tilsyn der både Nasjonal sikkerhetsmyndighet og sektormyndigheten deltar, skal forberedes og gjennomføres
4. hvordan Nasjonal sikkerhetsmyndighet skal dele relevant informasjon om trusselbildet og risiko med sektormyndigheten
5. hvordan sektormyndigheten skal rapportere til Nasjonal sikkerhetsmyndighet om planlagte tilsyn
6. hvordan varslinger etter sikkerhetsloven § 4-5 skal behandles
7. hvordan godkjennings- og dispensasjonsmyndighet i sektoren skal utøves
8. hvordan sektormyndigheten skal dele kunnskap og erfaringer med Nasjonal sikkerhetsmyndighet.

1. erververens navn, adresse og organisasjonsnummer, fødselsnummer eller tilsvarende nummer
2. organisasjonsnummeret til virksomheten ervervet gjelder
3. erververens eierandel etter at ervervet er gjennomført
4. erververens eierstruktur
5. hvem som sitter i erververens styre
6. hvem som utgjør den daglige ledelsen i erververens virksomhet
7. eventuelle relasjoner mellom erververen og andre eksisterende eiere i virksomheten ervervet gjelder
8. erververens eierinteresser i andre virksomheter underlagt sikkerhetsloven
9. erververens eierinteresser i andre virksomheter innenfor den aktuelle sektoren
10. erververens årsomsetning og årsregnskap for de siste fem årene, så langt dette er tilgjengelig
11. andre forhold som erververen antar kan ha betydning for vurderingen av om ervervet kan godkjennes etter sikkerhetsloven § 10-2.