§ 3-3. Varsling ved sikkerhetshendelser

Tilbyder skal umiddelbart varsle departementet om sikkerhetshendelser som har medført vesentlig brudd på tilgjengeligheten i elektroniske kommunikasjonsnett eller -tjenester. Tilbyder skal uten ugrunnet opphold varsle departementet om sikkerhetshendelser som har medført vesentlig brudd på autentisitet, integritet eller konfidensialitet i elektroniske kommunikasjonsnett eller -tjenester.

Ved vurderingen av om en sikkerhetshendelse etter første ledd er vesentlig, skal det legges vekt på

1. antall brukere som er berørt
2. varighet
3. geografisk omfang
4. hvilke funksjoner i elektroniske kommunikasjonsnett og -tjenester som er berørt, og
5. økonomisk og samfunnsmessig betydning.

Departementet kan pålegge tilbyder å informere offentligheten om sikkerhetshendelser etter første ledd når det er i allmennhetens interesse.

Departementets myndighet kan delegeres, jf. § 1-4. Departementet kan gi forskrift og fatte enkeltvedtak om varsling av sikkerhetshendelse, herunder om vesentlighetskravet i første ledd, kriterier for varsling, prosedyrer for varsling, konkrete varslingsfrister, innholdsmessige krav til varselet, hendelsesrapportering og finansiering av varslingsplikten.