Virksomheter underlagt sikkerhetsloven skal straks varsle NSM og andre tilsynsmyndigheter dersom den blir utsatt for, eller det er grunn til å mistenke at den blir utsatt for, en handling som har til formål å skade informasjon, informasjonssystemer, infrastruktur eller objekter, jf. sikkerhetsloven § 4-5. Her omtales investeringer og oppkjøp som kan utgjøre sikkerhetstruende virksomhet.

Myndighet som fører tilsyn med forebyggende sikkerhet i egen sektor, jf. sikkerhetsloven § 3-1 annet ledd, kan også motta varsel. Dersom det er sektortilsynet som mottar varslet etter sikkerhetsloven § 4-5 skal denne uten ugrunnet opphold varsle NSM og videresende varselet til ansvarlig departement for vurdering av vedtak etter sikkerhetsloven § 2-5.

Formålet med varslingsplikten er å få kunnskap om forhold som eventuelt skal stanses og sikre tilfang av opplysninger for å oppnå et bilde av sikkerhetstilstanden i de ulike sektorene. Varslingsplikten gjelder uten hinder av eventuell taushetsplikt.

Eksempel på varsling ved sikkerhetstruende oppkjøp

Eksempel på varsling ved sikkerhetstruende oppkjøp

Virksomhet Y er et mindre høyteknologisk firma som produserer teknologi som ikke er av betydning for det norske forsvaret, men som kan benyttes til å øke andre staters forsvarsevne.

Virksomhet X får vite om planlagt oppkjøp av virksomhet Y.

Virksomhet X har mistanke om at oppkjøpet er en strategi for å omgå eksportkontrollregelverket og vil kunne medføre en ikke ubetydelig risiko for at nasjonale sikkerhetsinteresser blir truet. Teknologi og kunnskap om teknologien som virksomhet Y produserer vil kunne øke forsvarsevnen til det land som oppkjøper stammer fra.

Virksomhet X velger derfor å varsle sikkerhetsmyndigheten eller tilsynsmyndigheten om planlagt oppkjøp etter § 4-5.

Varselet blir videre sendt til ansvarlig departement. Departement innhenter rådgivende uttalelser fra relevante organer. Departement vurderer om oppkjøpet kan utgjøre en ikke ubetydelig risiko for nasjonale sikkerhetsinteresser.

Basert på risikovurdering, fatter Kongen i statsråd nødvendig vedtak om stans av «aktivitet som innebærer en ikke ubetydelig risiko for at nasjonale sikkerhetsinteresser kan bli truet».

Varslingsplikten inntrer for det første når virksomheten faktisk er rammet av sikkerhetstruende virksomhet, og ved begrunnet mistanke om at sikkerhetstruende virksomhet har rammet eller vil kunne ramme virksomheten selv eller andre virksomheter. For det andre skal virksomheten varsle dersom det har skjedd alvorlige brudd på sikkerhet. I tillegg skal virksomheten varsle dersom den får kunnskap om en planlagt eller pågående aktivitet som kan medføre en ikke ubetydelig risiko for at nasjonale sikkerhetsinteresser blir truet. Både kjennskap til og indikasjoner på slik aktivitet er tilstrekkelig for at varslingsplikten inntrer.