7 Lovens virkeområde for virksomheter av betydning for nasjonale sikkerhetsinteresser
7.1 Gjeldende rett
Som beskrevet i punkt 4.2 og 6.1 ovenfor følger det av sikkerhetsloven § 1-3 at et departement innenfor sitt ansvarsområde skal treffe vedtak om at loven helt eller delvis skal gjelde for virksomheter som behandler sikkerhetsgradert informasjon, og virksomhet som råder over informasjon, informasjonssystemer, objekter eller infrastruktur eller driver aktivitet som har avgjørende betydning for grunnleggende nasjonale funksjoner.
Nasjonale sikkerhetsinteresser er utgangspunktet for vurderingen av hva som utgjør grunnleggende nasjonale funksjoner. Nasjonale sikkerhetsinteresser er avhengige av at visse funksjoner opprettholdes i hele krisespekteret, og en funksjon anses grunnleggende når et bortfall får konsekvenser som truer nasjonale sikkerhetsinteresser, se Prop. 153 L (2016–2017) punkt 19.1 og NOU 2016: 19 punkt 6.7.2.
Virksomheter som typisk vil kunne være omfattet av bestemmelsen er virksomheter som har en så sentral rolle for funksjonene at de må anses som avgjørende for evnen til å opprettholde funksjonsdyktighet. Det må vurderes konkret hvilken betydning et bortfall eller svekkelse av virksomheten har for den funksjonen virksomheten understøtter, se Prop. 153 L (2016–2017) punkt 19.1.
7.2 Forslaget i høringsnotatet
I høringsnotatet drøftet departementet muligheten for en endring av sikkerhetsloven § 1-3 på en slik måte at virksomheter av betydning for nasjonale sikkerhetsinteresser kan underlegges loven. Det siktes her til hel eller delvis underleggelse av hele loven, ikke bare kapittel 10 om eierskapskontroll.
Bakgrunnen for forslaget var at det kan finnes virksomheter som ikke anses å understøtte identifiserte grunnleggende nasjonale funksjoner i særlig grad, men som likevel har betydning for nasjonale sikkerhetsinteresser. Det ble påpekt at en eventuell endring vil medføre en ytterligere utvidelse av lovens virkeområde.
7.3 Høringsinstansenes syn
Andøya Space uttaler at det kan være gode grunner til å vurdere hensynet til nasjonale sikkerhetsinteresser direkte uten nødvendigvis å knytte det opp mot understøttelse av grunnleggende nasjonale funksjoner. Som eksempler viser de til selskaper som har spesialisert seg på inntrengingstesting av eller hendelseshåndtering i IKT-systemer eller utviklet avanserte overvåkingssystemer.
Etterretningstjenesten påpeker at økonomiske transaksjoner kan true nasjonale sikkerhetsinteresser selv om det ikke er fare for at de nasjonale funksjonene helt eller delvis faller bort, slik dette begrepet er definert i sikkerhetsloven § 1-5 nr. 2. De mener derfor at grunnleggende nasjonale funksjoner er et lite egnet kriterium for enkeltvedtak om å underlegge virksomheter sikkerhetsloven kapittel 10. Etterretningstjenesten uttaler videre at en eventuell vedtakskompetanse bør begrenses til kapittel 10, ikke hele loven slik forslaget i høringsnotatet har lagt opp til. Dersom man går videre med forslaget om å innlemme virksomheter under sikkerhetsloven kapittel 10, vil det være mer formålstjenlig om dette skal gjelde for virksomheter «av betydning for nasjonale sikkerhetsinteresser». Etterretningstjenesten mener imidlertid at en slik endring vil være «en betydelig utvidelse i forhold til lovforslaget» som bør vurderes i et større utredningsarbeid om å etablere en egen lov med tydeligere kategorier av virksomheter med meldeplikt dersom de er gjenstand for utenlandske økonomiske transaksjoner.
Nasjonal sikkerhetsmyndighet er positive til forslaget og viser til at virksomheter som ikke understøtter en grunnleggende nasjonal funksjon likevel kan være av betydning for nasjonale sikkerhetsinteresser. For eksempel kan kunnskap om aktiviteten til virksomheten styrke en annen stats forsvarsevne, som igjen vil kunne påvirke Norges overordnede sikkerhetspolitiske interesser knyttet til forholdet til andre stater og internasjonale organisasjoner, jf. sikkerhetsloven § 1-5 første ledd bokstav c. Et annet eksempel er virksomheter som råder over verdier som er særlig utsatt for sikkerhetstruende virksomhet. Slike virksomheter bør kunne underlegges loven ettersom omfanget av en sikkerhetstruende virksomhet er så stort at det påvirker samfunnets grunnleggende funksjonalitet og befolkningens grunnleggende sikkerhet, jf. sikkerhetsloven § 1-5 bokstav e.
Samferdselsdepartementet mener det er fornuftig at betydning for nasjonale sikkerhetsinteresser gjøres til vurderingstema for hvorvidt virksomheter kan underlegges loven etter § 1-3 bokstav c. De uttaler blant annet at lovens formål er å beskytte nasjonale sikkerhetsinteresser, og en virksomhets betydning for nasjonale sikkerhetsinteresser er dermed et svært naturlig vurderingstema. Samferdselsdepartementet mener videre at nasjonale sikkerhetsinteresser bør kunne erstatte grunnleggende nasjonale funksjoner som vurderingstema i § 1-3 bokstav c. De peker blant annet på sammenhengen med § 1-3 bokstav a (virksomheter som behandler sikkerhetsgradert informasjon) og uttaler at selve definisjonen av sikkerhetsgradert informasjon medfører at det er nettopp nasjonale sikkerhetsinteresser som er det underliggende vurderingstemaet etter bestemmelsen. Samferdselsdepartementet uttaler:
«Videre mener vi det er naturlig at virksomheter av avgjørende betydning for nasjonale sikkerhetsinteresser skal underlegges loven. Etter vårt syn bør distinksjonen mellom virksomheter som skal og kan underlegges loven gjøres på grunnlag av betydningen virksomhetene har for nasjonale sikkerhetsinteresser, ikke på grunnlag av om de understøtter nasjonale sikkerhetsinteresser eller grunnleggende nasjonale funksjoner. Som beskrevet over, vurderer vi dette til å være to sider av samme sak.
JD foreslår ikke på nåværende tidspunkt hvordan en eventuell bestemmelse om underleggelse av virksomheter av hensyn til nasjonale sikkerhetsinteresser skal lyde. Som følge av våre vurderinger ovenfor, er et forslag å gjøre endringer i § 1-3 slik at:
Departementet skal fatte vedtak om at loven helt eller delvis skal gjelde for virksomheter som driver aktivitet som har avgjørende betydning for nasjonale sikkerhetsinteresser.
Departementet kan fatte vedtak om at loven helt eller delvis skal gjelde for virksomheter som driver aktivitet som har vesentlig betydning for nasjonale sikkerhetsinteresser.
Av hensyn til avgrensning av virkeområdet kan det vurderes om kan-bestemmelsen skal avgrenses til vedtak om at kun deler av loven skal gjøres gjeldende. Dette vil for eksempel være tilstrekkelig for å underlegge virksomheter kapittel 10. Tilsvarende kan det vurderes om skal-bestemmelsen kun skal gjelde vedtak om at hele loven skal gjøres gjeldende. Det virker rimelig at virksomheter som er av avgjørende betydning for nasjonale sikkerhetsinteresser skal underlegges hele loven.
Når det gjelder departementenes oversikt over virksomheter av vesentlig betydning, er den i dag knyttet til plikten i § 2-1 første ledd bokstav b) og betydning for grunnleggende nasjonale funksjoner. Vi antar at virksomheter som understøtter grunnleggende nasjonale funksjoner, og som har vesentlig (eller avgjørende) betydning for disse, i all hovedsak også vil ha en vesentlig (eller avgjørende) betydning for nasjonale sikkerhetsinteresser. En oversikt/liste over virksomheter av vesentlig (eller avgjørende) betydning for nasjonale sikkerhetsinteresser vil imidlertid kunne se annerledes ut. Om det skulle bli en plikt for departementene å ha to oversikter over virksomheter av vesentlig betydning, vil det også her være behov for et godt veiledningsmateriale som redegjør for forskjellen mellom de to.»
7.4 Departementets vurdering
Departementet registrerer at ingen av høringsinstansene stiller seg negative til forslaget om at virksomheter som har vesentlig eller avgjørende betydning for nasjonale sikkerhetsinteresser skal kunne underlegges sikkerhetsloven. Departementet foreslår derfor å endre loven slik at også virksomheter som driver aktivitet eller råder over informasjon, informasjonssystemer, objekter eller infrastruktur som har avgjørende betydning for nasjonale sikkerhetsinteresser, skal underlegges hele eller deler av loven. Det foreslås i tillegg at virksomheter av vesentlig betydning for nasjonale sikkerhetsinteresser, kan underlegges lovens kapittel 10 om eierskapskontroll – tilsvarende systematikken som foreslås å gjelde for virksomheter som har vesentlig betydning for grunnleggende nasjonale funksjoner. Departementet foreslår også tilføyelser i oversikten over departementenes oppgaver etter § 2-1 første ledd bokstav b og c for å gjenspeile disse endringene.
Departementet oppfatter Etterretningstjenestens høringsinnspill dithen at de støtter forslaget om å underlegge virksomheter av avgjørende betydning for nasjonale sikkerhetsinteresser eierskapskontrollbestemmelsene i kapittel 10. Departementet mener derimot at virksomheter av avgjørende betydning for nasjonale sikkerhetsinteresser, også bør kunne underlegges de øvrige delene av sikkerhetsloven. En hjemmel til å fatte slikt vedtak vil etter departementets syn utgjøre en nødvendig utvidelse av lovens virkeområde.
Som omtalt i høringsnotatet kan også indirekte betydning for grunnleggende nasjonale funksjoner begrunne vedtak om underleggelse. Det ble blant annet vist til uttalelser i utenriks- og forsvarskomiteens innstilling, jf. Innst. 103 L (2017–2018) til Prop. 153 L (2016–2017), om at loven også må omfatte kritisk og avansert teknologi som har betydning for, eller som i feil hender kan svekke, grunnleggende nasjonale funksjoner. En tilføyelse i sikkerhetsloven § 1-3 om at departementet skal fatte vedtak om at loven skal gjelde for virksomheter av avgjørende betydning for nasjonale sikkerhetsinteresser, vil tydeliggjøre dette.
Slik som det fremgår av Prop. 153 L (2016–2017) på side 32 er sikkerhetslovens primære formål å «trygge de overordnede nasjonale sikkerhetsinteressene, ved å forebygge, motvirke og avdekke sikkerhetstruende virksomhet, det vil si tilsiktede handlinger der målet er å ramme interessene og tilsiktede handlinger som indirekte kan true interessene. I dette ligger det implisitt at beskyttelse av nasjonale sikkerhetsinteresser også omfatter beskyttelse av de grunnleggende nasjonale funksjonene som understøtter dem.» Grunnleggende nasjonale funksjoner angir, slik det fremgår av Prop. 153 L (2016–2017) side 37, en konkretisering av lovens virkeområde, innenfor rammen av de nasjonale sikkerhetsinteressene som funksjonene skal ivareta.
Grunnleggende nasjonale funksjoner er en metodikk for å kartlegge hvilke virksomheter som har stor nok betydning for å ivareta de nasjonale sikkerhetsinteressene til at de må underlegges sikkerhetsloven. Unntaksvis kan det være tilfeller hvor en virksomhet vanskelig kan synes å understøtte en grunnleggende nasjonal funksjon, men hvor virksomheten likevel driver aktivitet eller råder over verdier som har betydning for en eller flere nasjonale sikkerhetsinteresser. Departementets syn er at det vil være i tråd med lovens formål at også en slik virksomhet underlegges loven.
Virksomheter som har avgjørende betydning for en grunnleggende nasjonal funksjon vil alltid ha betydning for nasjonale sikkerhetsinteresser, dette følger av definisjonen av grunnleggende nasjonale funksjoner i § 1-5 nr. 2: «tjenester, produksjon og andre former for virksomhet som er av en slik betydning at helt eller delvis bortfall av funksjonen vil få konsekvenser for statens evne til å ivareta nasjonale sikkerhetsinteresser».
For å få oversikt over virksomhetene som har betydning for de nasjonale sikkerhetsinteressene, og som derfor har en betydning som kan tilsi at de skal underlegges loven, legger loven opp til at departementene skal kartlegge virksomhetene i sin sektor. Kartleggingsarbeidet er en kontinuerlig prosess. Departementene skal deretter vurdere hvilke, og i hvilken grad, informasjonssystemer, infrastruktur og objekter i sektoren understøtter de grunnleggende nasjonale funksjonene.
Etter departementets forslag skal loven også gjelde for virksomheter som er av avgjørende betydning for nasjonale sikkerhetsinteresser, men som ikke understøtter en grunnleggende nasjonal funksjon. Denne betydningen kan tenkes både på grunnlag av virksomhetens aktivitet og på grunnlag av verdiene virksomheten råder over.
Departementet foreslår ikke at det skal etableres en ny, parallell prosess til arbeidet med grunnleggende nasjonale funksjoner. Tillegget i § 1-3 er ment å fange opp de unntaksvise tilfellene der en virksomhet driver en aktivitet eller råder over verdier som har avgjørende betydning for nasjonale sikkerhetsinteresser, men ikke direkte understøtter en identifisert grunnleggende nasjonal funksjon. Tilsvarende gjelder for tillegget i § 2-1 første ledd bokstav b. Dersom virksomheten understøtter en grunnleggende nasjonal funksjon vil det være på dette grunnlag den skal underlegges loven. Adgangen vil dermed fungere som et supplement til den etablerte metodikken som kan benyttes der det anses nødvendig. Departementet understreker imidlertid at slike virksomheter også kan identifiseres i andre prosesser som gjelder sårbarheter i sektorene.
Vedtak kan være aktuelt overfor virksomheter som har rettigheter til eller arbeider med forskning og utvikling innen områder som kan utnyttes til sikkerhetstruende virksomhet av fremmede stater. Det kan, som beskrevet i punkt 6.4, være forsknings- og utviklingsaktivitet innenfor fremvoksende teknologier, som kunstig intelligens eller avansert overvåkningsteknologi. Et eksempel kan være en virksomhet som driver produksjon av teknologi som ikke anses av betydning for opprettholdelse av våre grunnleggende nasjonale funksjoner, men som potensielt kan være viktig for den teknologiske utviklingen hos en annen stat. Dette kan styrke denne statens etterretning eller militære kapasiteter og benyttes til sikkerhetstruende virksomhet mot Norge eller våre allierte. Dette vil igjen kunne påvirke Norges overordnede sikkerhetspolitiske interesser knyttet til forholdet til andre stater og internasjonale organisasjoner, jf. sikkerhetsloven § 1-5 første ledd bokstav c. Departementet slutter seg videre til Nasjonal sikkerhetsmyndighets vurdering av at også virksomheter som råder over verdier som er særlig utsatt for sikkerhetstruende virksomhet, kan omfattes på bakgrunn av at omfanget av den sikkerhetstruende virksomheten vil kunne påvirke samfunnets grunnleggende funksjonalitet og befolkningens grunnleggende sikkerhet, jf. sikkerhetsloven § 1-5 bokstav e. Det samme vil være tilfelle der virksomheten råder over et objekt eller driver aktivitet der skadepotensialet ved manglende kontroll eller innhold på avveie er betydelig, for eksempel CBRNE-midler. CBRNE er en fellesbetegnelse for kjemiske stoffer (C), biologiske agens (B), radioaktive stoffer (R), nukleært materiale (N) og eksplosiver (E) med høyt farepotensiale.
På denne bakgrunn fremmer departementet forslag om en tilføyelse i sikkerhetsloven § 1-3 om at departementet også skal fatte vedtak om at loven helt eller delvis skal gjelde for virksomheter som driver aktivitet eller råder over informasjon, informasjonssystemer, objekter eller infrastruktur som har avgjørende betydning for nasjonale sikkerhetsinteresser. Departementet bemerker at det må gjøres en vurdering av om virksomhetens betydning er stor nok til at det er nødvendig og forholdsmessig å underlegge virksomheten kravene i hele sikkerhetsloven, eller om det vil være tilstrekkelig at deler av loven skal gjelde. Denne vurderingen vil nødvendigvis være skjønnsmessig. I vurderingen vil det blant annet inngå hvorvidt departementene kan ha tilstrekkelig kontroll med virksomheten gjennom å kun underlegge den reglene om eierskapskontroll, slik beskrevet i punkt 6 ovenfor, og dermed kun delvis underlegges loven.
Departementet foreslår videre at eierskapskontroll av virksomheter av vesentlig betydning for nasjonale sikkerhetsinteresser reguleres tilsvarende som for virksomheter av vesentlig betydning for grunnleggende nasjonale funksjoner, og viser til den nærmere beskrivelsen av forholdet mellom virksomheter som har avgjørende og vesentlig betydning for grunnleggende nasjonale funksjoner i punkt 6 ovenfor. Etter departementets syn bør tilsvarende systematikk legges til grunn for virksomheter som har betydning for nasjonale sikkerhetsinteresser. Departementet foreslår derfor at virksomheter som har vesentlig betydning for nasjonale sikkerhetsinteresser skal kunne underlegges lovens kapittel 10.
Formålet med tilføyelsen av «nasjonale sikkerhetsinteresser» i § 1-3 er å utvide departementenes vedtakskompetanse slik at også virksomheter av avgjørende betydning for nasjonale sikkerhetsinteresser skal underlegges hele eller deler av sikkerhetsloven. For at sikkerhetslovens kapittel 6 og 7 om henholdsvis informasjonssystemsikkerhet og objekt- og infrastruktursikkerhet skal gjelde er det behov for å gjøre endringer også i bestemmelser i disse kapitlene for å reflektere dette. Kapittel 6 og 7 handler blant annet om beskyttelse og klassifisering av skjermingsverdige verdier. Departementet ser ikke grunnlag for at det skal stilles andre krav til virksomheter som har avgjørende betydning for nasjonale sikkerhetsinteresser enn virksomheter av avgjørende betydning for grunnleggende nasjonale funksjoner. Tvert imot er det etter departementets syn viktig at disse bestemmelsene vil gjelde for virksomheter av avgjørende betydning for nasjonale sikkerhetsinteresser. I den sammenheng viser departementet til Prop. 153 L (2016–2017) side 181 der følgende er uttalt:
«Det må gjøres en konkret vurdering hvorvidt et objekt eller en infrastruktur er skjermingsverdig. I en slik vurdering skal det legges vekt på redundans og desentralisering der dette er naturlig. I enkelte særlige tilfeller vil loven også kunne omfatte virksomheter som forvalter objekter som ikke anses å ha avgjørende betydning for grunnleggende nasjonale funksjoner, jf. § 1-1. Dette gjelder objekter som, dersom de blir utsatt for skadeverk, ødeleggelse eller rettsstridig overtakelse, har et skadepotensial som direkte kan ha konsekvenser for nasjonale sikkerhetsinteresser.»
Departementet foreslår derfor endringer i §§ 6-1, 7-1 og 7-2 slik at kapittel 6 og 7 også vil gjelde for virksomheter av avgjørende betydning for nasjonale sikkerhetsinteresser.