Stortingskrav om tydelige IKT-sikkerhetskrav ved offentlige anskaffelser

Det bør stilles tydelige IKT-sikkerhetskrav ved offentlige anskaffelser, krever et flertall på Stortinget, som også vil ha strengere nasjonale krav til IKT-sikkerhet ved tjenesteutsetting. Regjeringen blir derfor bedt av flertallet om å vurdere hvordan beredskap og sikkerhet ivaretas i offentlige anskaffelser. Sikkerhetsutfordringer kan være vanskelige å forutse og krevende for små innkjøpere på egen hånd å forhandle frem løsninger på, heter det.

I oktober i fjor fremmet regjeringen «Meld. St. 5 (2020–2021) Samfunnssikkerhet i en usikker verden». Den er nå ferdigbehandlet i komite i Stortinget (Justiskomiteen, innst. 275 S (2020–2021) og er klar for stortingsplenum i disse dager.

Det viser seg at et flertall på Stortinget har flere oppfordringer til regjeringen. Det gjelder bl.a. offentlige anskaffelser. Stortingsflertallet ber om å få en vurdering av hvordan beredskap og sikkerhet ivaretas gjennom offentlige anskaffelser, og stille krav til IKT-sikkerhet i offentlige anskaffelser.

Bør stille tydelige sikkerhetskrav

Flertallet mener det bør stilles tydelige IKT-sikkerhetskrav ved offentlige anskaffelser. Digitalisering er i økende grad en del av kjerneoppdraget for offentlige virksomheter, og offentlige virksomheter vil måtte bygge og opprettholde sin egen digitale kompetanse og egne løsninger, heter det. Likevel kan sikkerhetsutfordringer også være vanskelige å forutse og krevende for små innkjøpere å selv forhandle frem løsninger på. Det bør derfor pålegges å stille strengere og felles krav gjennom anbudskontraktene fra offentlige innkjøpere.

Og det er mer. Flertallet vil også ha strengere nasjonale krav til IKT-sikkerhet ved tjenesteutsetting. Disse kan bygge på anbefalte minimumskrav ved tjenesteutsetting fra Nasjonal sikkerhetsmyndighet, fremgår det av innstilligen fra justiskomiteen. Dessuten mener flertallet at regjeringen må sørge for økt kompetanseheving for ansatte i kommuner, stat og bedrifter innenfor IKT-sikkerhet.

Skyløsninger

Det må vies betydelig oppmerksomhet og kunnskap til anbudskonkurranser for skyløsninger, fremholder flertallet. Stadig mer av informasjonen i offentlig sektor lagres i skytjenester, og det må problematiseres at viktige deler av offentlig sektors data i stadig større grad lagres på servere i utlandet, hos store selskaper som Microsoft og Amazon. Bruk av private, multinasjonale selskaper som leverandører av skyløsninger og annen kritisk IKT-infrastruktur medfører en rekke nye problemstillinger som fagmiljøer med kjennskap til sektoren har uttrykt sin bekymring for, blant annet knyttet til folkerettslige vurderinger, vurderinger av dataeierskap og demokratisk styring og kontroll, avhengighet av kommersielle enkeltaktører samt til beskyttelse av skjermingsverdig informasjon.

Felles skytjeneste for forvaltningen

Utenlandsk lagring innebærer at data krysser andre staters avlyttingssystemer, ifølge stortingsflertallet, og at norske sikkerhetsmyndigheters mulighet til å ettergå infrastrukturen er begrenset. Flertallet mener derfor det er klokere å bygge opp skytjenester for det offentlige på statlig eide servere i Norge, slik man gjør iblant annet Tyskland, Frankrike og Nederland. Regjeringen blir derfor bedt om å utrede behov for og etablering av en felles skytjeneste for forvaltningen. Da unngår man også utfordringen med at data på utenlandske selskapers servere potensielt kan være underlagt utenlandsk lovgivning og dermed kunne utleveres. Løsninger for oppbevaring og prosessering av særlig sensitiv informasjon bør prioriteres først, heter det.