§5-1. Skjermingsverdig informasjon Informasjon er skjermingsverdig dersom det kan skade nasjonale sikkerhetsinteresser at informasjonen blir kjent for uvedkommende, går tapt, blir endret eller blir utilgjengelig

Sikkerhetsloven og forskriftenes bruk av begrepet informasjon legger til grunn en vid forståelse av hva begrepet kan omfatte. Måten informasjon er tilvirket på og hvilken form informasjonen har er ikke relevante momenter i vurderingen av om noe er å betrakte som informasjon. Begrepet omfatter for eksempel opplysninger gitt i fysiske dokumenter, digitale og maskinlesbare signaler, film, lydopptak og muntlige opplysninger.

 

Forholdet mellom skjermingsverdig og sikkerhetsgradert informasjon

Figur 1: Illustrasjonen viser forholdet mellom skjermingsverdig og sikkerhetsgradert informasjon og hvilke sikkerhetsbehov virksomhetens informasjon kan ha. Kilde: Prop. 153 L Lov om nasjonal sikkerhet (sikkerhetsloven) s. 97

Begrepet skjermingsverdig informasjon er en samlebetegnelse som favner all informasjon som skal beskyttes etter loven, av hensyn til de skadefølger som kan påføres nasjonale sikkerhetsinteresser dersom informasjonen blir kjent for uvedkommende, går tapt, blir endret eller blir utilgjengelig. Hva som inngår i begrepet nasjonale sikkerhetsinteresser er beskrevet i NSMs veileder i departementenes identifisering av grunnleggende nasjonale funksjoner.

Dersom det kan få skadefølger for nasjonale sikkerhetsinteresser at informasjonen blir kjent for uvedkommende, så må informasjonens konfidensialitet beskyttes. Skjermingsverdig informasjon som må beskyttes av hensyn til konfidensialitet skal sikkerhetsgraderes. Med uvedkommende menes alle som ikke er sikkerhetsklarert og autorisert for informasjonen, og som ikke har et tjenstlig behov for å være kjent med informasjonen. Om uvedkommende blir kjent med informasjonen anses det som et konfidensialitetsbrudd.

Dersom det kan få skadefølger for nasjonale sikkerhetsinteresser at informasjonen går tapt eller blir utilgjengelig, så må informasjonens tilgjengelighet beskyttes. Med tilgjengelighet menes at informasjonen er tilgjengelig for virksomheten innenfor det tidsrommet som virksomheten har behov for å bruke den. Dersom slik informasjon går tapt, eller blir gjort utilgjengelig, anses det som et tilgjengelighetsbrudd. Virksomheten må vurdere tilgjengelighetsbehovene til informasjonen den besitter, og identifisere konsekvenser for nasjonale sikkerhetsinteresser dersom informasjonen ikke er tilgjengelig for de riktige brukerne eller systemene til rett tid.

Dersom det kan få skadefølger for nasjonale sikkerhetsinteresser at informasjonen blir endret, så må informasjonens integritet beskyttes. Med integritet menes at informasjonen er korrekt og fullstendig sett i sammenheng med emnet og omfanget som informasjonen har til hensikt å omfatte. Integritetsbeskyttelse innebærer å sørge for at det ikke lar seg gjøre urettmessig å endre innholdet i informasjonen.
Begrepet «ugradert skjermingsverdig informasjon» som benyttes i virksomhetssikkerhetsforskriften § 22 brukes om informasjon som er skjermingsverdig etter § 5-1, men som ikke har et skadepotensiale for nasjonale sikkerhetsinteresser om den blir kjent for uvedkommende. «Ugradert skjermingsverdig informasjon» skal beskyttes slik at integritet og tilgjengelighet sikres. Det kan tenkes at ugradert skjermingsverdig informasjon, hvis konfidensialitet ikke må beskyttes etter sikkerhetsloven, likevel har et konfidensialitetsbehov etter annet lovverk og må beskyttes deretter.

Konfidensialitet, integritet og tilgjengelighet er ikke motsetninger. Tilgjengelighet må ikke forveksles med prinsippet meroffentlighet, og er sågar ikke en motpol til konfidensialitet. I mange tilfeller vil en verdivurdering kunne vise at det er behov for å ivareta både konfidensialiteten, integriteten og tilgjengeligheten til en informasjonsmengde. Nasjonale beredskapsplaner er et eksempel på dokumenter med informasjon der alle tre aspektene må ivaretas. Om opplysningene i planene er kjent for en trusselaktør, kan de lett bli mindre effektive. Integriteten må ivaretas slik at man kan stole på at opplysningene i planene er korrekte. Tilgjengeligheten må også ivaretas slik at de som skal iverksette tiltak har planene for hånden når situasjonen krever det.

I andre tilfeller vil informasjonen kunne ha et større tilgjengelighets- og integritetsbehov enn et konfidensialitetsbehov. Et eksempel kan være informasjonen som en flygeleder som overvåker og dirigerer sivil flytrafikk. Flygelederen har som hovedoppgave å forhindre sammenstøt av fly i luften eller på bakken, og for å sørge for rask og effektiv trafikkavvikling. Flygelederens oppgaveløsning er avhengig av en uavbrutt strøm av korrekte opplysninger fra radarsystemer og kommunikasjonssystemer. Dette for å ha et oppdatert situasjonsbilde av hvilke fly som befinner seg i luftrommet, og hvor de befinner seg i forhold til hverandre. Informasjonens tilgjengelighet og integritet er derfor avgjørende for flygelederens evne til å løse sin oppgave. Hvorvidt informasjon om flyenes plassering i luftrommet er åpent tilgjengelig er ikke av betydning for flygelederens oppgaveløsning, og denne informasjonen har derfor ikke et konfidensialitetsbehov.

Forholdet mellom informasjonens behov for konfidensialitet, integritet, og tilgjengelighet ville kunne endres etter omstendighetene. Når det gjelder informasjon av betydning for nasjonale sikkerhetsinteresser vil slike endringer som oftest være forårsaket av pågående sikkerhetstruende virksomhet. Virksomheten må derfor kunne avveie hvilket behov som totalt sett er viktigst å ivareta av hensyn til nasjonale sikkerhetsinteresser.

Leveranser må bli sett i sammenheng med andre leveranser og en mer helhetlig forståelse. Det er den enkelte anskaffelse som normalt utløser en verdivurdering. Men en anskaffelse trenger ikke være et isolert tilfelle hos en leverandør eller en underleverandør. Det kan være flere anskaffelser, også ugradert, som til sammen danner et annet samlet bilde av betydningen av leverandøren, eller betydningen av et sett med leveranser som oppdragsgiveren vil bruke.

En oppdragsgiver må kunne forstå denne betydningen av den samlede informasjonsbildet som blir dannet ved flere anskaffelser hos en leverandør eller hos en underleverandør. En underleverandør som leverer lignende komponenter eller funksjoner til mange deler av et system vil bli mer betydelig for oppdragsgiver. Der en anskaffelse i seg selv ikke er betydelig nok til å utløse et skjermingsbehov, kan den få en annen betydning sammen med tidligere leveranser, eller fremtidige leveranser. Det samlede bildet kan bety at oppdragsgiver må ta initiativ til å revurdere skjermingsbehovene. Det kan altså bli situasjoner hvor det blir behov for å inngå avtale om sikkerhet i anskaffelsen etter virksomhetssikkerhetsforskriften §18, sikkerhetsgradere anskaffelsen, endre tidligere graderinger og inngå sikkerhetsavtaler, eller tilsvarende. Det er mulig at en virksomhet over tid får en informasjonsmengde eller tilganger til klassifiserte objekter som blir betydelig, eller at leverandøren får en informasjonsmengde eller blir et objekt som skal sikkerhetsgraderes eller klassifiseres eller må vurderes underlagt sikkerhetsloven ved vedtak etter § 1-3.

Det er også viktig å huske at det kan også utløse varsling, også til departementet eller sikkerhetsmyndigheten, jfr. sikkerhetsloven § 9-4 og virksomhetssikkerhetsforskriften §19.

Verdivurdering skal bidra til å oppfylle sikkerhetslovens formål (§1-1). Det er viktig at en verdivurdering ikke gjøres uten sammenheng. Den må bidra til å forstå aktivitetens betydning for å kunne oppfylle lovens formål.