§ 1.Lovens formål

Formålet med denne lov er å

§ 2.Lovens generelle virkeområde

Loven gjelder for forvaltningsorganer. Som forvaltningsorgan regnes i loven ethvert organ for stat eller kommune.^​1 Kongen kan i tvilstilfelle bestemme om et organ er å regne som forvaltningsorgan. Kongen kan også bestemme at et forvaltningsorgan helt eller delvis skal være unntatt fra loven når det foreligger særlige grunner for det, og kan da i stedet fastsette særlige regler.

Loven gjelder også for ethvert rettssubjekt som ikke er forvaltningsorgan og som er leverandør av varer eller tjenester til et forvaltningsorgan i forbindelse med en sikkerhetsgradert anskaffelse.^​2

Kongen kan bestemme at loven helt eller delvis også skal gjelde for ethvert annet rettssubjekt, herunder enkeltpersoner, foreninger, stiftelser, selskaper og privat og offentlig næringsvirksomhet,

§ 29 a gjelder for alle anskaffelser til kritisk infrastruktur.^​5 Kongen kan gi forskrift om identifisering av kritisk infrastruktur og om informasjon til rettssubjekter som eier eller rår over kritisk infrastruktur.

Loven gjelder for domstolene med de særregler som følger av bestemmelsene om sikkerhetsklarering^​6 og autorisasjon^​7 i og i medhold av domstolloven^​8 og straffeprosessloven.^​9 Kongen kan fastsette ytterligere særregler.

Bestemmelsene gitt i og i medhold av lovens kapittel 6 om personellsikkerhet gjelder ikke for regjeringens medlemmer og dommere i Høyesterett.

Loven gjelder ikke for Stortinget, Riksrevisjonen, Stortingets ombudsmann for forvaltningen^​10 og andre organer for Stortinget.

Loven gjelder for Svalbard^​11 og Jan Mayen^​12 i den utstrekning Kongen bestemmer.

§ 3.Definisjoner

I denne lov forstås med:

Krav i eller i medhold av loven her om at meddelelse eller annet skal være skriftlig, er ikke til hinder for bruk av elektronisk kommunikasjon, forutsatt at dette ikke vil stride mot bestemmelser gitt i eller i medhold av lovens §§ 11 – 14.

§ 4.Overordnet ansvar

Departementet har det overordnede ansvar for forebyggende sikkerhetstjeneste. Dette begrenser ikke den enkeltes ansvar og plikter etter bestemmelsene i eller i medhold av loven her.

Departementets utøvende funksjoner ivaretas av Nasjonal sikkerhetsmyndighet.^​1

§ 5.^​1Den enkelte virksomhets plikter

Enhver virksomhet^​2 plikter å utøve forebyggende sikkerhetstjeneste i henhold til bestemmelsene gitt i eller i medhold av loven her.

Virksomheten skal

Ansvaret påhviler lederen for virksomheten. Dersom utøvende funksjoner delegeres internt i virksomheten, skal dette gjøres skriftlig.

Alt ansatt eller engasjert personell har i sitt arbeid eller oppdrag for virksomheten ansvar for å ivareta sikkerhetsmessige hensyn, og plikter å bidra til forebyggende sikkerhetstjeneste.

Nærmere bestemmelser gis av Nasjonal sikkerhetsmyndighet.^​3

§ 5 a.Varslingsplikt og myndighet til å fatte vedtak ved risiko for sikkerhetstruende virksomhet

En virksomhet^​1 som får kunnskap om en planlagt eller pågående aktivitet som kan medføre en ikke ubetydelig risiko for at sikkerhetstruende virksomhet^​2 blir etablert eller gjennomført, skal varsle overordnet departement om dette. Dersom den varslingspliktige virksomheten ikke er underlagt noe departement, skal varselet gis til Forsvarsdepartementet. Varslingsplikten gjelder uten hinder av lovbestemt taushetsplikt. Ved behandling av varsel etter første og andre punktum bør det innhentes rådgivende uttalelser fra relevante organer med kompetanse innenfor det aktuelle fagområdet.

Kongen i statsråd kan fatte nødvendige vedtak for å hindre en planlagt eller pågående aktivitet som nevnt i første ledd første punktum. Et slikt vedtak kan fattes uten hensyn til begrensningene i forvaltningsloven^​3 § 35, og uavhengig av om aktiviteten er tillatt etter annen lov eller annet vedtak. Vedtak etter første punktum er særlig tvangsgrunnlag etter tvangsfullbyrdelsesloven^​4 kapittel 13.

Kongen i statsråd kan gi forskrift om varslingsplikten i første ledd og om hvilke vedtak som kan fattes etter andre ledd.

§ 6.Generelt om utøvelse av forebyggende sikkerhetstjeneste

Når utøvelse av forebyggende sikkerhetstjeneste^​1 etter eller i medhold av loven her overlates til den ansvarliges skjønn, skal det ikke nyttes mer inngripende midler og metoder enn det som fremstår som nødvendig i forhold til den aktuelle sikkerhetsrisiko og omstendighetene for øvrig.

Ved utøvelse av forebyggende sikkerhetstjeneste skal det særlig tas hensyn til den enkeltes rettssikkerhet.

Bruk av elektronisk kommunikasjon ved underretning om et vedtak er bare tillatt når den vedtaket retter seg mot uttrykkelig har godtatt dette.

§ 7.Samarbeid

Kongen gir bestemmelser om nasjonalt, regionalt og lokalt samarbeid om forebyggende sikkerhetstjeneste.^​1

§ 8.Generelle oppgaver

Nasjonal sikkerhetsmyndighet skal koordinere de forebyggende sikkerhetstiltak og kontrollere sikkerhetstilstanden. Nasjonal sikkerhetsmyndighet er også utøvende organ i forholdet til andre land og internasjonale organisasjoner.

§ 9.Nærmere om oppgavene

Nasjonal sikkerhetsmyndighet skal

Kongen kan gi nærmere bestemmelser om Nasjonal sikkerhetsmyndighets utøvelse av oppgavene.

§ 10.^​1Nasjonal sikkerhetsmyndighets adgangsrett

Så langt det er nødvendig for å gjennomføre kontrolloppgavene i eller i medhold av loven her, skal Nasjonal sikkerhetsmyndighet gis uhindret adgang^​2 til ethvert område hvor skjermingsverdig informasjon^​3 eller objekt^​4 befinner seg, dersom området eies, brukes eller på annen måte kontrolleres av en virksomhet.^​5

§ 10 a.Behandling av personopplysninger

Når det er nødvendig for å utføre oppgavene etter § 9 første ledd bokstav e, kan Nasjonal sikkerhetsmyndighet^​1 behandle personopplysninger i form av

I andre tilfeller enn nevnt i første ledd, kan personopplysninger også behandles når dette er strengt nødvendig for å ivareta oppgavene etter § 9 første ledd bokstav e, og behandlingen etter en konkret vurdering framstår som både nødvendig og proporsjonal i forhold til det inngrepet den representerer i personvernet.

Kongen kan gi forskrift om Nasjonal sikkerhetsmyndighets behandling av personopplysninger.

§ 11.Sikkerhetsgradering

Når informasjon^​1 må beskyttes av sikkerhetsmessige grunner, skal en av følgende sikkerhetsgrader benyttes:

Den som utsteder eller på annen måte tilvirker skjermingsverdig informasjon,^​2 skal^​3 sørge for at informasjonen merkes med aktuell sikkerhetsgrad. Sikkerhetsgradering skal ikke skje i større utstrekning enn strengt nødvendig, og det skal ikke brukes høyere sikkerhetsgrad enn nødvendig.

Sikkerhetsgradering skal ikke gis virkning for lengre tid enn det som er strengt nødvendig, og graderingen skal senest bortfalle etter 30 år. Nærmere regler om ned- og avgradering gis av Kongen. Kongen kan for særskilte tilfeller fastsette unntak fra 30 års regelen i første punktum.

Kongen kan under forutsetning om gjensidighet treffe overenskomst med fremmed stat eller internasjonal organisasjon om sikkerhetsgradering av mottatt informasjon som er sikkerhetsgradert av vedkommende stat eller internasjonale organisasjon, og om plikt til å treffe tiltak for å sikre slik informasjon.

§ 12.^​1Plikt til å beskytte sikkerhetsgradert informasjon^​2

Enhver som får tilgang til sikkerhetsgradert informasjon som ledd i arbeid, oppdrag eller verv for en virksomhet,^​3 plikter å hindre at uvedkommende får kjennskap til informasjonen. Taushetsplikten gjelder også etter at vedkommende har avsluttet arbeidet, oppdraget eller vervet. Sikkerhetsgradert informasjon skal bare overlates til personer som har tjenstlig behov for tilgang til den. Taushetsplikten er likevel ikke til hinder for at sikkerhetsgradert informasjon blir gitt til andre når dette har særskilt hjemmel i lov eller i generell forskrift fastsatt av Kongen.

Kongen^​4 gir nærmere regler om håndteringen av sikkerhetsgradert informasjon, herunder om journalisering, oppbevaring, forsendelse og tilintetgjøring. Kongen^​4 kan også gi regler om plikt til å legge forholdene til rette for at sikkerhetsgradert informasjon er korrekt, fullstendig og tilgjengelig.

§ 13.^​1Sikkerhetsmessig godkjenning av informasjonssystemer

Før skjermingsverdig informasjon^​2 behandles, lagres eller transporteres i et informasjonssystem, skal Nasjonal sikkerhetsmyndighet,^​3 eller den Nasjonal sikkerhetsmyndighet bemyndiger, godkjenne systemet for angjeldende sikkerhetsgrad.

Nasjonal sikkerhetsmyndighet er sertifiseringsmyndighet for informasjonssystemer^​4 som skal håndtere skjermingsverdig informasjon.^​2

Nasjonal sikkerhetsmyndighet kan godkjenne at andre virksomheter^​5 utfører tjenester for sikring av informasjonssystemer^​4 som skal håndtere skjermingsverdig informasjon.^​2

Nasjonal sikkerhetsmyndighet gir nærmere forskrifter om sikkerhetsmessig godkjenning av informasjonssystemer.^​4

§ 13 a.Sikkerhetsmessig overvåking av godkjente informasjonssystemer

Den enkelte virksomhet^​1 skal kontinuerlig overvåke et godkjent informasjonssystem for sikkerhetstruende hendelser^​2 mot informasjonssystemet^​3 eller informasjon^​4 i systemet, fortrinnsvis ved bruk av automatisert systemovervåking. Sikkerhetsrelevante hendelser skal registreres.

Informasjon som utveksles mellom systemer, på tvers av autorisasjonsskiller eller til bærbare lagringsmedier, skal registreres og lagres.

Flere virksomheter som er tilknyttet samme informasjonssystem, kan avtale at en av virksomhetene skal forestå overvåking og registrering etter første og andre ledd på vegne av den ansvarlige virksomheten.

Informasjon registrert etter første og andre ledd skal lagres i fem år. Slik informasjon skal kun benyttes for å håndtere sikkerhetstruende hendelser.

Den enkelte virksomhet skal påse at autoriserte brukere av informasjonssystemer som overvåkes i henhold til denne bestemmelse får informasjon om formålet med behandlingen, om de tiltak som er iverksatt, om informasjonen vil bli utlevert og eventuelt om hvem som er mottaker.

Kongen kan gi forskrift om

§ 14.^​1Kryptosikkerhet

Bare kryptosystemer som er godkjent av Nasjonal sikkerhetsmyndighet,^​2 tillates brukt for beskyttelse av skjermingsverdig informasjon.^​3

Nasjonal sikkerhetsmyndighet^​2 er nasjonal forvalter av kryptomateriell og leverandør av kryptosikkerhetstjenester til virksomheter.^​4 Nasjonal sikkerhetsmyndighet kan likevel godkjenne andre leverandører av kryptosikkerhetstjenester. Disse skal undertegne en særskilt avtale om dette med Nasjonal sikkerhetsmyndighet.

Nasjonal sikkerhetsmyndighet^​2 skal godkjenne kryptoalgoritmer som brukes i utstyr som tenkes eksportert.

Nærmere bestemmelser fastsettes av Nasjonal sikkerhetsmyndighet.^​2

§ 15.Monitoring av og inntrengning i informasjonssystemer

En virksomhet^​1 kan gi Nasjonal sikkerhetsmyndighet^​2 adgang til gjennom monitoring^​3 å kontrollere om informasjonssystemer^​4 i vedkommende virksomhet lagrer, behandler eller transporterer skjermingsverdig informasjon^​5 uten at de er godkjent for dette. Virksomhetens ansatte skal på forhånd ha blitt orientert om kontrollen. Monitoring skal ikke i noe tilfelle omfatte privat kommunikasjon eller kommunikasjon som blir formidlet til eller fra andre enn virksomheter.

En virksomhet^​1 kan gi Nasjonal sikkerhetsmyndighet^​2 adgang til å forsøke og eventuelt gjennomføre inntrengning i informasjonssystemer^​4 som lagrer, behandler eller transporterer skjermingsverdig informasjon, for å kontrollere motstandskraften i systemene. Virksomhetens ansatte skal på forhånd ha blitt orientert om kontrollen.

Informasjon som Nasjonal sikkerhetsmyndighet^​2 blir kjent med ved kontrollvirksomhet etter første og annet ledd, skal makuleres når den ikke lenger har betydning for kontrollen.

Kongen^​6 gir nærmere bestemmelser, herunder om varsling og gjennomføring av monitoring^​3 og inntrengning og om oppbevaring og makulering av informasjon.

§ 16.Tekniske sikkerhetsundersøkelser

Nasjonal sikkerhetsmyndighet,^​1 eller den Nasjonal sikkerhetsmyndighet bemyndiger, kan foreta undersøkelser av lokaler, bygninger og andre objekter som eies, brukes eller på annen måte kontrolleres av en virksomhet,^​2 i den hensikt å fastslå hvorvidt uvedkommende med eller uten tekniske hjelpemidler kan skaffe seg tilgang til skjermingsverdig informasjon^​3 gjennom avtitting, avlytting av tale eller avlesing av elektroniske signaler.

Kongen gir nærmere forskrifter om gjennomføring av tekniske sikkerhetsundersøkelser.

§ 17.^​1Utvelgelse av skjermingsverdige objekter

Hvert enkelt departement utpeker skjermingsverdige objekter^​1 innen sitt myndighetsområde. Objekteier^​2 plikter overfor departementet å foreslå hvilke objekter som er skjermingsverdige. Utvelgelse av skjermingsverdig objekt skal skje på grunnlag av en skadevurdering, hvor det innenfor lovens formål særlig tas hensyn til objektets:

I skadevurderingen skal det også tas hensyn til akseptabel tidsperiode for funksjonssvikt, mulighet til å gjenopprette funksjonalitet, og hensynet til objektets betydning for andre objekter.

Kongen kan gi utfyllende bestemmelser om utvelgelse av skjermingsverdige objekter.

§ 17 a.Klassifisering av skjermingsverdige objekter

Når skjermingsverdige objekter^​1 må beskyttes av sikkerhetsmessige grunner, skal en av følgende klassifiseringsgrader benyttes:

Kongen kan gi utfyllende bestemmelser om klassifisering av skjermingsverdige objekter.

§ 17 b.Plikt til å beskytte skjermingsverdig objekt

Objekteier^​1 plikter å beskytte objektet^​2 med sikkerhetstiltak.

Sikkerhetstiltakene skal bestå av en kombinasjon av barrierer, deteksjon, verifikasjon og reaksjon, som i sum tilfredsstiller følgende krav:

Sikkerhetstiltakene skal også ta sikte på å redusere muligheten for etterretningsaktivitet mot objektet.

Kongen kan bestemme at det kreves sikkerhetsklarering etter reglene i kapittel 6 for den som skal gis tilgang til skjermingsverdig objekt klassifisert MEGET KRITISK eller KRITISK.

Kongen kan gi nærmere bestemmelser om planlegging og gjennomføring av sikkerhetstiltak, herunder bruk av sikringsstyrker.

§ 18.Beskyttelse av utenlandske objekter i Norge

Kongen kan under forutsetning om gjensidighet treffe overenskomst med fremmed stat eller internasjonal organisasjon om plikt til å treffe tiltak for å beskytte utenlandske objekter i Norge som anses skjermingsverdige^​1 av vedkommende stat eller organisasjon.

§ 18 a.Adgang til steder og områder

Kongen kan av forsvarshensyn forby uvedkommende adgang til

§ 19.Når sikkerhetsklarering og autorisasjon skal gjennomføres

Person som skal gis tilgang til skjermingsverdig informasjon,^​1 skal autoriseres.^​2

Person som skal autoriseres for tilgang til skjermingsverdig informasjon gradert KONFIDENSIELT eller høyere, skal på forhånd sikkerhetsklareres.^​3

Person som i sitt arbeid vil kunne få tilgang til skjermingsverdig informasjon gradert KONFIDENSIELT eller høyere, skal sikkerhetsklareres dersom ikke sikkerhetstiltak for å fjerne risikoen for tilgang med rimelighet lar seg gjennomføre.

Sikkerhetsklarering gis for følgende nasjonale sikkerhetsgrader, eventuelt også for tilsvarende sikkerhetsgrader i NATO eller annen internasjonal organisasjon:

§ 20.Gjennomføring av personkontroll^​1

Personkontroll iverksettes etter anmodning fra autorisasjonsansvarlig,^​2 med mindre annet er bestemt av Nasjonal sikkerhetsmyndighet.^​3

Personkontroll skal ikke finne sted uten at den som sikkerhetsklareres er gjort oppmerksom på og har samtykket i at slik kontroll vil bli foretatt. Personkontroll skal alltid omfatte opplysninger gitt av vedkommende selv. Vedkommende plikter å gi fullstendige opplysninger om forhold som antas å kunne være av betydning for vurderingen av sikkerhetsmessig skikkethet etter § 21.

Ved sikkerhetsklarering^​4 for HEMMELIG/tilsvarende eller høyere sikkerhetsgrader, og i andre særlige tilfeller, kan personkontroll gjennomføres for nærstående personer som er knyttet til vedkommende ved familiebånd.

For øvrig skal kontrollen omfatte opplysninger som vedkommende klareringsmyndighet selv sitter inne med og avlesing av relevante offentlige registre, jf. femte ledd første punktum. Registeransvarlig plikter å utlevere registeropplysninger uten hinder av taushetsplikt. Registeropplysninger skal meddeles skriftlig. Kontrollen kan også omfatte andre kilder, herunder uttalelser fra tjenestesteder eller arbeidsplasser, offentlige myndigheter eller oppgitte eller supplerende referanser. Personkontrollopplysninger skal gis vederlagsfritt til klareringsmyndigheten.

Kongen bestemmer hvilke registre som er relevante for personkontroll. Kongen gir også bestemmelser om fremgangsmåten ved registerundersøkelser i utlandet og om utlevering av opplysninger i forbindelse med andre lands myndigheters tilsvarende personkontroll. Under ingen omstendighet skal det innhentes, registreres eller videreformidles opplysninger om politisk engasjement som omfattes av § 21 annet ledd.

Opplysninger som er gitt klareringsmyndigheten^​2 i forbindelse med personkontroll, skal ikke benyttes til andre formål enn vurdering av sikkerhetsklarering. Autorisasjonsansvarlig kan likevel meddeles slike opplysninger dersom dette anses påkrevet av hensyn til den sikkerhetsmessige ledelse og kontroll av vedkommende.

§ 21.Vurderingsgrunnlaget for sikkerhetsklarering

Sikkerhetsklarering^​1 skal bare gis eller opprettholdes dersom det ikke foreligger rimelig tvil om vedkommendes sikkerhetsmessige skikkethet. Ved avgjørelse om sikkerhetsmessig skikkethet skal det bare legges vekt på forhold som er relevante for å vurdere vedkommendes pålitelighet, lojalitet og sunne dømmekraft i forhold til behandling av skjermingsverdig informasjon.^​2 Opplysninger om følgende forhold kan tillegges betydning:

Politisk engasjement, herunder medlemskap i, sympati med eller aktivitet for lovlige politiske partier eller organisasjoner og annet lovlig samfunnsengasjement, skal ikke ha betydning for vurdering av en persons sikkerhetsmessige skikkethet.

Klareringsavgjørelser skal baseres på en konkret og individuell helhetsvurdering av de foreliggende opplysninger. Klareringsmyndigheten^​6 skal påse at klareringssaken er så godt opplyst som mulig før avgjørelse fattes. Sikkerhetssamtale skal gjennomføres der dette ikke anses som åpenbart unødvendig.

Negative opplysninger om nærstående personer, jf. § 20 tredje ledd, skal bare tas i betraktning dersom det antas at nærståendes forhold vil kunne påvirke vedkommendes sikkerhetsmessige skikkethet.

I særlige tilfeller kan det settes vilkår for sikkerhetsklarering.

§ 22.^​1Sikkerhetsklarering av utenlandske statsborgere

En utenlandsk statsborger kan gis sikkerhetsklarering^​2 etter en vurdering av hjemlandets sikkerhetsmessige betydning og vedkommendes tilknytning til hjemlandet og Norge.

Nærmere regler om sikkerhetsklarering av utenlandske statborgere fastsettes av Kongen.

§ 23.Autorisasjonsansvarlig og klareringsmyndighet

Autorisasjon^​1 kan gis dersom autorisasjonsansvarlig ikke har opplysninger som gjør det tvilsomt om vedkommende sikkerhetsmessig er til å stole på. Autorisasjon gis normalt av virksomhetens leder.^​2 Autorisasjon skal ikke gis før det foreligger melding om sikkerhetsklarering,^​3 med unntak for de tilfeller som er beskrevet i § 19 tredje ledd, og en autorisasjonssamtale er avholdt. Nasjonal sikkerhetsmyndighet^​4 gir nærmere regler om autorisasjon og om hvem som er autorisasjonsansvarlig.

Kongen utpeker en klareringsmyndighet for forsvarssektoren og en for den sivile sektoren. Kongen kan utpeke andre klareringsmyndigheter når særlige grunner taler for det. Etterretnings- og sikkerhetstjenestene klarerer eget personell.

§ 24.Bortfall, tilbakekall, nedsettelse og suspensjon av sikkerhetsklarering og autorisasjon

Sikkerhetsklarert og autorisert personell skal holde autorisasjonsansvarlig^​1 orientert om forhold som antas å kunne være av betydning for vedkommendes sikkerhetsmessige skikkethet.

Fremkommer det opplysninger som reiser tvil om en sikkerhetsklarert persons sikkerhetsmessige skikkethet, skal klareringsmyndigheten vurdere å tilbakekalle eller nedsette klareringen, eller suspendere klareringen og iverksette nærmere undersøkelser for å avklare forholdet.

Er en sikkerhetsklarering^​2 besluttet tilbakekalt, nedsatt eller suspendert, skal begrunnet melding om dette sendes til Nasjonal sikkerhetsmyndighet.^​3 Autorisasjonsansvarlig skal varsles umiddelbart.

Autorisasjon^​4 bortfaller automatisk

Får autorisasjonsansvarlig opplysninger som gir grunn til tvil om en autorisert person fortsatt kan anses sikkerhetsmessig skikket, skal autorisasjonen vurderes tilbakekalt, nedsatt eller suspendert. Avgjørelse om dette skal innberettes til vedkommende klareringsmyndighet.

Nasjonal sikkerhetsmyndighet fastsetter generell gyldighetstid for sikkerhetsklareringer.

§ 25.Begrunnelse og underretning

Forvaltningsloven^​1 kapittel IV og V gjelder ikke for avgjørelser om sikkerhetsklarering^​2 eller autorisasjon.^​3

Den som har vært vurdert sikkerhetsklarert, har rett til å bli gjort kjent med resultatet. Ved negativ avgjørelse skal vedkommende uoppfordret underrettes om resultatet og opplyses om klageadgangen.

Begrunnelse for en avgjørelse skal gis samtidig med underretningen om utfallet av klareringssaken. Vedkommende har ikke krav på begrunnelse i den utstrekning begrunnelse ikke kan gis uten å røpe opplysninger som

Klareringsmyndigheten^​4 skal i tillegg utarbeide en intern samtidig begrunnelse hvor alle relevante forhold inngår, herunder forhold som nevnt i tredje ledd.

§ 25 a.Innsyn

Etter at avgjørelse om sikkerhetsklarering^​1 er fattet, har den som har vært vurdert sikkerhetsklarert rett til å gjøre seg kjent med sakens dokumenter. Vedkommende har etter samme tidspunkt rett til å se audiovisuelt opptak av egen sikkerhetssamtale.

Vedkommende har ikke krav på innsyn i de deler av et dokument som inneholder opplysninger som nevnt i § 25 tredje ledd. Vedkommende har heller ikke krav på innsyn i et dokument som er utarbeidet for den interne saksforberedelsen ved klareringsmyndigheten^​2 eller klageinstansen, med unntak av faktiske opplysninger eller sammendrag eller annen bearbeidelse av faktum.

På anmodning skal den som har krav på innsyn gis kopi av dokumentet. Gjennomsyn av audiovisuelt opptak av sikkerhetssamtale skjer ved oppmøte hos klareringsmyndigheten.^​2

§ 25 b.Oversendelse av sak til særskilt oppnevnt advokat

Forsvarsdepartementet oppnevner en gruppe advokater som skal sikkerhetsklareres for høyeste nivå. Disse skal benyttes i de tilfeller som er nevnt i andre ledd.

Der begrunnelse ikke gis, jf. § 25 tredje ledd, og klagefristen ikke er løpt ut, skal klareringsmyndigheten^​1 på begjæring av den som er vurdert sikkerhetsklarert, gjøre sakens dokumenter tilgjengelig for en advokat som er oppnevnt for dette formålet. Det samme gjelder avslag på begjæring om innsyn, jf. § 25 a andre ledd første punktum. Vedkommende må ha utprøvd klageadgangen vedrørende nektet begrunnelse eller avslag på begjæring om innsyn, jf. § 25 c andre ledd, før denne retten til bruk av advokat inntrer.

Advokaten skal ha tilgang til sakens faktiske opplysninger og den begrunnelse som er ukjent for den som har vært vurdert sikkerhetsklarert. Dokument som er utarbeidet for den interne saksforberedelsen ved klareringsmyndigheten eller klageinstansen, jf. § 25 a andre ledd siste punktum, skal ikke gis advokaten.

Advokaten skal gi den som er vurdert sikkerhetsklarert råd om hvorvidt vedkommende bør klage.

§ 25 c.Klage

Bestemmelsene i forvaltningsloven^​1 kapittel VI gjelder tilsvarende i klareringssaker om ikke annet følger av denne lov eller forskrift om personellsikkerhet.

Negativ avgjørelse om sikkerhetsklarering,^​2 herunder vilkår og når klareringssaken tidligst kan tas opp på nytt, kan påklages av den avgjørelsen retter seg mot. Det samme gjelder nektet begrunnelse og avslag på begjæring om innsyn.

Klage på avgjørelse om sikkerhetsklarering^​2 sendes vedkommende klareringsmyndighet. Nasjonal sikkerhetsmyndighet^​3 er klageinstans. Departementet er klageinstans for klareringsavgjørelser truffet av Nasjonal sikkerhetsmyndighet^​3 i første instans.

Fristen for å klage er tre uker fra den dag underretningen om avgjørelsen, manglende begrunnelse eller avslag på begjæring om innsyn har kommet frem til vedkommende. Dersom det klages på nektet begrunnelse eller avslag på begjæring om innsyn, avbrytes klagefristen. Ny klagefrist løper fra det tidspunkt underretning om begrunnelse eller innsyn er kommet frem til vedkommende eller på annen måte er gjort kjent med den. I saker der advokat har gjennomgått saken, løper ny klagefrist fra den dag rådet fra advokaten har kommet frem til vedkommende.

§ 26.Utfyllende bestemmelser

Kongen kan gi forskrifter om opprettelse av et sentralt register for klareringsavgjørelser.

Nasjonal sikkerhetsmyndighet^​1 fastsetter utfyllende bestemmelser om personellsikkerhet, herunder om

§ 27.^​1Inngåelse av sikkerhetsavtale

Ved sikkerhetsgraderte anskaffelser^​2 skal det inngås en sikkerhetsavtale mellom anskaffelsesmyndigheten^​3 og leverandøren. Sikkerhetsavtale skal være inngått før leverandøren kan få tilgang til skjermingsverdig informasjon.^​4 Sikkerhetsavtale med utenlandske leverandører kan bare inngås etter godkjenning av Nasjonal sikkerhetsmyndighet.^​5 Nasjonal sikkerhetsmyndighet kan bestemme at sikkerhetsavtale også skal inngås dersom leverandøren vil kunne få tilgang til skjermingsverdig objekt^​6 eller dersom det av andre grunner er nødvendig å sikkerhetsgradere anskaffelsen.

Sikkerhetsavtalen skal fastsette nærmere detaljer om ansvar og plikter etter bestemmelsene i og i medhold av loven her, herunder om

Utgifter eller krav leverandøren måtte ha for å oppfylle bestemmelsene i eller i medhold av loven her og inngått sikkerhetsavtale, er anskaffelsesmyndigheten og Nasjonal sikkerhetsmyndighet^​5 uvedkommende, med mindre annet er uttrykkelig avtalt i sikkerhetsavtalen.

§ 28.Leverandørklarering

Før en leverandør kan få tilgang til skjermingsverdig informasjon^​1 sikkerhetsgradert KONFIDENSIELT eller høyere,^​2 eller dersom det av andre grunner anses nødvendig, skal leverandøren ha gyldig leverandørklarering for angitt sikkerhetsgrad. Kongen gir forskrift om gyldighetstiden for leverandørklareringer.

Leverandørklarering skal ikke gis dersom det foreligger rimelig tvil om leverandørens sikkerhetsmessige skikkethet. Ved avgjørelse om sikkerhetsmessig skikkethet skal det bare legges vekt på forhold som er relevante for å vurdere leverandørens evne og vilje til å utøve forebyggende sikkerhetstjeneste etter bestemmelsene i eller i medhold av loven her. I vurderingen skal inngå personkontroll av personer i leverandørens styre og ledelse.

Leverandøren skal gi alle opplysninger som antas å kunne være av betydning for klareringsspørsmålet.

Leverandøren skal uten ugrunnet opphold orientere Nasjonal sikkerhetsmyndighet^​2 om endringer i styre eller ledelse, forandringer i eierstrukturen, flytting av lokaliteter og utstyr, åpning av gjeldsforhandling eller begjæring om konkurs og andre forhold som kan ha betydning for leverandørens sikkerhetsmessige skikkethet. Anses slike forhold å representere en sikkerhetsrisiko og risikoen ikke kan elimineres gjennom å utøve forebyggende sikkerhetstjeneste, kan Nasjonal sikkerhetsmyndighet^​3 inndra leverandørklareringen. Skjermingsverdig informasjon eller objekt^​4 kan ikke overføres til ny eier eller inngå i bobehandling ved gjeldsforhandling eller konkurs, med mindre Nasjonal sikkerhetsmyndighet har samtykket til dette.

For øvrig gjelder reglene i kapittel 6, herunder reglene om begrunnelse og klage, så langt de passer.

§ 29.Utfyllende bestemmelser m.v.

Kongen^​1 kan gi utfyllende bestemmelser om sikkerhetsgraderte anskaffelser,^​2 samt fastsette særskilte regler for gjennomføring av internasjonale sikkerhetsgraderte anskaffelser.

§ 29 a.Varslingsplikt og myndighet til å fatte vedtak ved anskaffelser til kritisk infrastruktur

Ved anskaffelser til kritisk infrastruktur^​1 skal det foretas en risikovurdering. I vurderingen skal det tas stilling til om anskaffelsen innebærer en ikke ubetydelig risiko for at sikkerhetstruende virksomhet^​2 blir etablert eller gjennomført mot eller ved bruk av infrastrukturen. Plikten til å foreta en risikovurdering gjelder ikke dersom det framstår som åpenbart at anskaffelsen ikke kan innebære noen slik risiko.

En virksomhet som eier eller rår over kritisk infrastruktur, skal varsle overordnet departement dersom en risikovurdering som nevnt i første ledd konkluderer med at anskaffelsen kan innebære en ikke ubetydelig risiko for at sikkerhetstruende virksomhet blir etablert eller gjennomført. Virksomheter som ikke er underlagt noe departement, skal varsle Forsvarsdepartementet. Varslingsplikten gjelder uten hinder av lovbestemt taushetsplikt. Plikten gjelder ikke dersom virksomheten selv iverksetter risikoreduserende tiltak som fjerner risikoen, eller gjør den ubetydelig.

Et departement som mottar varsel etter andre ledd, bør innhente en rådgivende uttalelse fra relevante organer om leveransens risikopotensial, og leverandørers sikkerhetsmessige pålitelighet.

Dersom en anskaffelse til kritisk infrastruktur kan medføre en ikke ubetydelig risiko for at sikkerhetstruende virksomhet blir etablert eller gjennomført, kan Kongen i statsråd fatte vedtak om at anskaffelsen skal nektes gjennomført, eller om at det settes vilkår for gjennomføringen. Dette gjelder også dersom det allerede er inngått avtale om anskaffelsen. Dersom det ikke fattes vedtak etter første punktum, skal departementet underrette virksomheten om dette. Vedtak etter første punktum er særlig tvangsgrunnlag etter tvangsfullbyrdelsesloven^​3 kapittel 13.

Kongen i statsråd kan gi forskrift om anskaffelser til kritisk infrastruktur.

§ 30.Kontroll- og tilsynsordninger

Forebyggende sikkerhetstjeneste^​1 i medhold av loven her er underlagt kontroll og tilsyn av Stortingets kontrollutvalg for etterretnings-, overvåkings- og sikkerhetstjeneste, i samsvar med bestemmelsene i og i medhold av lov av 3. februar 1995 nr. 7 om kontroll med etterretnings-, overvåkings- og sikkerhetstjeneste.

Kongen kan etablere særskilte ordninger for å kontrollere og føre tilsyn med Nasjonal sikkerhetsmyndighet^​2 og andre virksomheters^​3 forebyggende sikkerhetstjeneste,^​1 i den hensikt å påse at utøvelsen holdes innen rammen av gjeldende lov, administrative eller militære direktiver og ulovfestet rett, eller for å sørge for at rettssikkerhetsmessige og andre hensyn ivaretas.

§ 31.Straff^​1

Den som forsettlig eller uaktsomt overtrer bestemmelser gitt i eller i medhold av §§ 5, 10, 12 annet ledd, 13 første og fjerde ledd, 14 første, tredje og fjerde ledd og 17 i loven her, eller overtrer pålegg gitt av Nasjonal sikkerhetsmyndighet i medhold av § 9 første ledd bokstav c i loven her, straffes med bøter eller fengsel inntil seks måneder, hvis ikke forholdet går inn under en strengere straffebestemmelse.

Den som forsettlig eller grovt uaktsomt overtrer § 11 annet ledd første punktum i loven her, straffes med bøter eller fengsel inntil seks måneder, hvis ikke forholdet går inn under en strengere straffebestemmelse.

Den som forsettlig eller grovt uaktsomt krenker taushetsplikt etter § 12 første ledd, straffes med bøter eller fengsel inntil ett år, hvis ikke forholdet går inn under en strengere straffebestemmelse.

Den som overtrer forbud med hjemmel i § 18 a straffes med bot eller fengsel inntil 1 år, hvis ikke forholdet går inn under en strengere straffebestemmelse.

Forsøk straffes på samme måte.

§ 32.Ikrafttredelse

Denne lov trer i kraft fra den tid Kongen bestemmer.

§ 33.Endringer i andre lover

Fra den tiden loven trer i kraft gjøres følgende endringer i andre lover: