Ferill 280. máls. Aðrar útgáfur af skjalinu: PDF - Microsoft Word.
156. löggjafarþing 2025.
Þingskjal 316 — 280. mál.
Stjórnarfrumvarp.
Frumvarp til laga
um breytingu á varnarmálalögum, nr. 34/2008 (netöryggissveit).
Frá utanríkisráðherra.
1. gr.
13. Netvarnir og netöryggi á sviði varnarmála.
14. Starfræksla netöryggissveitar.
2. gr.
Netöryggissveit.
Netöryggissveitinni er ætlað að fyrirbyggja og draga úr hættu á netárásum og öðrum öryggisatvikum í netumdæmi Íslands eins og kostur er og sporna við og lágmarka tjón á fjarskiptamarkaði og mikilvægum innviðum í skilningi laga um öryggi net- og upplýsingakerfa mikilvægra innviða. Netöryggissveitin leitast við að greina ógnir og atvik á frumstigi í netumdæmi Íslands, fyrirbyggja og takmarka útbreiðslu þeirra og tjón sem af þeim kann að hljótast. Netöryggissveitin samhæfir viðbrögð aðila við ógnum og atvikum í samstarfi við ríkislögreglustjóra þegar við á. Sérstök áhersla skal lögð á viðbragðsgetu netöryggissveitar og þjónustu við samfélagið, almenning og fyrirtæki.
Netöryggissveitin tekur jafnframt þátt í alþjóðlegu samstarfi og verkefnum á sviði netvarna og netöryggis á alþjóðavettvangi, m.a. hjá Atlantshafsbandalaginu, þ.m.t. vinnu við sameiginleg hættumöt, varnaráætlunum, stefnumótun, upplýsingamiðlun og netöryggis- og netvarnaræfingum. Í alþjóðlegu samstarfi og þátttöku í verkefnum á vegum Atlantshafsbandalagsins skal taka mið af viðeigandi reglum og stöðlum bandalagsins.
Starfslið netöryggissveitar skal uppfylla skilyrði öryggisvottunar skv. 24. gr.
Forstöðumaður netöryggissveitar veitir aðgangsheimildir að starfssvæði hennar. Takmarka má, synja um eða afturkalla aðgangsheimild af öryggisástæðum eða í samræmi við allsherjarreglu.
Þeim einum er heimill aðgangur að starfssvæði netöryggissveitar sem þangað á lögmætt erindi og hefur gilda aðgangsheimild.
Um starfrækslu netöryggissveitar gilda jafnframt lög um öryggi net- og upplýsingakerfa mikilvægra innviða. Skulu ákvæði V. kafla þeirra laga gilda um hlutverk sveitarinnar á grundvelli XII. kafla laga um fjarskipti, nr. 70/2022.
Ráðherra setur nánari fyrirmæli um starfsemi netöryggissveitar í reglugerð, að viðhöfðu samráði við þann ráðherra sem fer með fjarskipta- og netöryggismál og Fjarskiptastofu og að fenginni umsögn frá Persónuvernd og ríkislögreglustjóra, eftir því sem við á. Í reglugerðinni skal m.a. mælt fyrir um:
a. hlutverk, skipulag og verkefni,
b. skipun og hæfi starfsmanna, þ.m.t. um öryggisvottun,
c. meðferð upplýsinga og viðeigandi öryggisráðstafanir, þar á meðal gagnvart erlendum samstarfsaðilum,
d. ráðstafanir til að tryggja öryggi og eyðingu gagna og aðrar ráðstafanir til að tryggja friðhelgi einkalífs,
e. viðbúnaðaræfingar,
f. samstarf við önnur stjórnvöld og stofnanir,
g. skýrslugjöf um starfsemina,
h. vinnsla persónuupplýsinga,
i. heimild um gjaldtöku skv. 2. og 3. mgr. 16 gr. laga um öryggi net- og upplýsingakerfa mikilvægra innviða, nr. 78/2019.
3. gr.
4. gr.
1. Lög um Fjarskiptastofu, nr. 75/2021:
a. 2. málsl. 2. mgr. 3. gr. laganna fellur brott.
b. 9. gr. laganna orðast svo:
Starfsfólk sem kemur að netöryggismálum hjá Fjarskiptastofu og því ráðuneyti sem fer með mál er varða netöryggi skal uppfylla skilyrði öryggisvottunar skv. 24. gr. varnarmálalaga, nr. 34/2008.
c. 1. málsl. 1. mgr. 14. gr. laganna orðast svo: Fjarskiptastofa skal vera ráðgefandi fyrir stjórnvöld um málefni stofnunarinnar og hafa eftirlit með því að Ísland uppfylli á hverjum tíma þær skuldbindingar sem mælt er fyrir um í alþjóðlegum samningum á því sviði.
d. 3. málsl. 1. mgr. 15. gr. laganna orðast svo: Um eftirlit með starfsemi stafrænna grunnvirkja og veitenda stafrænnar þjónustu fer samkvæmt lögum um öryggi net- og upplýsingakerfa mikilvægra innviða.
e. Orðin „svo og starfrækslu netöryggissveitar“ í 1. málsl. 5. mgr. 25. gr. laganna falla brott.
f. Orðin „og netöryggissveitar“ í 2. málsl. 5. mgr. 25. gr. laganna falla brott.
g. 2. mgr. 30. gr. laganna fellur brott.
2. Lög um fjarskipti, nr. 70/2022:
a. 32. tölul. 5. gr. laganna orðast svo: Netöryggissveit: Netöryggissveit samkvæmt varnarmálalögum.
b. Í stað orðanna „til netöryggissveitar Fjarskiptastofu“ í 1. mgr. 80. gr. laganna kemur: netöryggissveit og Fjarskiptastofu.
c. Við 3. mgr. 80. gr. laganna bætist nýr málsliður, svohljóðandi: Fjarskiptastofu er heimilt að upplýsa netöryggissveit um slíkar tilkynningar.
d. Á eftir orðinu „Netöryggissveitinni“ í 1. málsl. 6. mgr. 82. gr. laganna kemur: og Fjarskiptastofu.
e. Við 82. gr. laganna bætist ný málsgrein, svohljóðandi:
Netöryggissveitin skal aðstoða Fjarskiptastofu í tengslum við verkefni sem falla undir netöryggissveitina óski Fjarskiptastofa eftir því.
f. 85. gr. laganna orðast svo, ásamt fyrirsögn:
Reglugerðarheimild.
g. Fyrirsögn XII. kafla laganna verður: Öryggi upplýsinga, fjarskiptaneta og fjarskiptaþjónustu.
3. Lög um öryggi net- og upplýsingakerfa mikilvægra innviða, nr. 78/2019:
a. Á eftir 15. tölul. 6. gr. laganna kemur nýr töluliður, svohljóðandi: Netöryggissveit: Netöryggissveit samkvæmt varnarmálalögum.
b. Orðið „Fjarskiptastofu“ í 1. mgr. 8. gr. laganna fellur brott.
c. 4. mgr. 8. gr. laganna orðast svo:
Ráðherra getur, að viðhöfðu samráði við þann ráðherra sem fer með varnarmál og Fjarskiptastofu, sett nánari fyrirmæli í reglugerð um tilkynningar atvika, þar á meðal um form, efni og meðferð þeirra.
d. Á eftir orðinu „eftirlitsstjórnvöldum“ í 1. mgr. 9. gr. laganna kemur: skv. 11. gr. og samhæfingarstjórnvaldi skv. 13. gr.
e. Í stað „Fjarskiptastofu“ í 1. málsl. 1. mgr. og 1. málsl. 2. mgr. 10. gr. laganna kemur: netöryggissveit; og: Netöryggissveit.
f. 1. mgr. 14. gr. laganna fellur brott.
g. Á eftir orðinu „Netöryggissveit“ í 3. mgr. 14. gr. laganna kemur: og Fjarskiptastofu.
h. Orðið „Fjarskiptastofu“ í 2. málsl. og 3. málsl. 4. mgr. 14. gr. laganna fellur brott.
i. Orðin „til netöryggissveitar“ í 4. mgr. 15. gr. laganna falla brott.
j. 3. mgr. 16. laganna orðast svo:
Stjórnarráð Íslands skal njóta þjónustu netöryggissveitar skv. 1. og 2. mgr. án sérstaks endurgjalds. Aðrar opinberar stofnanir geta gert samninga við netöryggissveitina um aðstoð og ráðgjöf skv. 1. mgr. gegn endurgjaldi. Netöryggissveitin skal vekja athygli opinberra stofnana á ákvæðum þessara laga um tilkynningar um atvik og viðbrögð við þeim.
k. 4. mgr. 16. laganna fellur brott.
l. Í stað „Fjarskiptastofa“ í 2. mgr. 17. gr. laganna kemur: netöryggissveitin.
m. Við 18. gr. laganna bætist við ný málsgrein, svohljóðandi:
Netöryggissveit, eftirlitsstjórnvöld og samhæfingarstjórnvald skulu stuðla í sameiningu að því að kröfum samkvæmt lögum þessum verði framfylgt.
n. Orðið „Fjarskiptastofu“ í 2. mgr. 19. gr. laganna fellur brott.
o. 4. mgr. 21. gr. laganna fellur brott.
p. 2. tölul. 1. mgr. 23. gr. laganna orðast svo: 8. gr. um tilkynningu um alvarlegt atvik eða áhættu.
q. Orðin „til netöryggissveitar“ í 4. mgr. 26. gr. laganna falla brott.
r. Orðin „til netöryggissveitar“ í 1. mgr. 27. gr. laganna falla brott.
Greinargerð.
1.1. Almenn atriði.
Frumvarp þetta er samið í utanríkisráðuneytinu. Með frumvarpinu eru lagðar tilbreytingar á ákvæðum varnarmálalaga, nr. 34/2008, og afleiddar breytingar á ákvæðum laga um Fjarskiptastofu, nr. 75/2021, laga um fjarskipti, nr. 70/2022, og laga um öryggi net- og upplýsingakerfa mikilvægra innviða, nr. 78/2019.
Með frumvarpinu er starfsemi netöryggissveitarinnar CERT-IS flutt frá Fjarskiptastofu til utanríkisráðuneytisins og netvarnir og netöryggi á sviði varnarmála fest í sessi sem lögbundin verkefni á sviði varnarmála sem heyra undir utanríkisráðuneytið.
Við myndun ríkisstjórnar Samfylkingarinnar, Viðreisnar og Flokks fólksins í desember 2024 var það markmið ríkisstjórnarinnar að efla hlutverk utanríkisráðuneytisins á sviði varnar- og öryggismála, þ.m.t. netöryggismála, og því m.a. litið til mögulegs flutnings verkefna á því sviði til utanríkisráðuneytisins. Forsætisráðherra skipaði starfshóp 8. janúar 2025 til að kanna mögulegan flutning á netöryggissveit íslenskra stjórnvalda til utanríkisráðuneytisins. Í hópnum áttu sæti fulltrúar frá utanríkisráðuneyti, dómsmálaráðuneyti, háskóla-, iðnaðar- og nýsköpunarráðuneyti (nú menningar-, nýsköpunar- og háskólaráðuneyti), innviðaráðuneyti og forsætisráðuneyti og skilaði hópurinn tillögu sinni 20. janúar 2025. Í tillögunni kom fram að lagabreytingar væru nauðsynlegar til að færa ábyrgð á starfsemi CERT-IS undir utanríkisráðuneytið enda væri verkefnið lögbundið verkefni Fjarskiptastofu. Hópurinn lagði til að svo stöddu að fyrirliggjandi samstarfssamningur CERT-IS og utanríkisráðuneytisins um gagnkvæm upplýsingaskipti yrði endurbættur og útvíkkaður. Þá taldi hópurinn mikilvægt að horft væri heildstætt á öryggis- og varnarmál, þ.m.t. fjarskipti og netöryggismál, svo sem hlutverk stofnana á þessum sviðum og löggjöf.
Hinn 28. febrúar 2025 undirrituðu utanríkisráðuneytið og Fjarskiptastofa samkomulag þar sem starfsemi CERT-IS var flutt í húsnæði utanríkisráðuneytisins. Með flutningnum er aðgengi CERT-IS að vottuðum öruggum vinnu- og fundarýmum tryggt ásamt aðgengi að tölvu- og samskiptakerfum sem nauðsynlegt eru vegna eðlis starfseminnar, m.a. vegna fjölþjóðlegs samstarfs á sviði netvarna og netöryggis.
Í frumvarpi þessu eru lagðar til nauðsynlegar breytingar á varnarmálalöggjöfinni frá 2008, sem og lögum um Fjarskiptastofu, lögum um fjarskipti og lögum um öryggi net- og upplýsingakerfa mikilvægra innviða til að tryggja lagagrundvöll fyrir flutningi á starfsemi CERT-IS frá Fjarskiptastofu til utanríkisráðuneytisins. Með breytingunni verður fjarlægð á milli eftirlitsstjórnvalds, þ.e. Fjarskiptastofu, og netöryggissveitarinnar lögfest með það að markmiði að stuðla enn frekar að nauðsynlegu upplýsingaflæði um netöryggisatvik til netöryggissveitarinnar.
1.2. Hlutverk netöryggissveita og alþjóðleg þróun.
CERT-IS gegnir mikilvægu hlutverki þegar kemur að viðbrögðum við atvikum á borð við netárásir á fjarskiptafyrirtæki og aðra mikilvæga innviði og almennt innan íslenska netumdæmisins og er mikilvægur hlekkur í viðnámsþoli íslensks samfélags. Hlutverk sveitarinnar er að sinna hlutverki landbundins öryggis- og viðbragðsteymis vegna atvika og áhættu sem varða netöryggi, ógnir, hættur og atvik hér á landi. Þá gegnir sveitin hlutverki CSIRT-teymis (e. computer security incident response team), sbr. 1. mgr. 9. gr. laga um Fjarskiptastofu, nr. 75/2021.
Eitt landsbundið CSIRT-teymi er í hverju landi og er hlutverk þess skýrt og afmarkað. Verkefni landsbundinna CSIRT-teyma snýr að því að tryggja ástandsvitund og atvikameðhöndlun í viðkomandi netumdæmi.
Nágrannaríki Íslands horfa mismunandi á starfsemi CSIRT-viðbragðsteyma á sviði netöryggis:
1. CSIRT-teymi Danmerkur var sett á fót árið 2012 sem hluti af netöryggissetri dönsku herleyniþjónustunnar (d. Forsvarets Efterretningstjenste Center for Cybersikkerhed). Í dag heyrir danska CSIRT-teymið undir netöryggismiðstöð Danmerkur (d. Center for Cybersikkerhed, CFCS) sem er hluti stofnunar sem fer með samfélagsöryggi og neyðarstjórnun (d. Styrelsen for Samfundssikkerhed) og heyrir undir ráðuneyti sem fer með öryggi samfélagsins og neyðarviðbúnað (d. Ministeriet for Samfundssikkerhed og Beredskab).
2. CSIRT-teymi Noregs heyrir undir netöryggismiðstöð Noregs (n. Nasjonalt cybersikkerhetssenter, NCSC) sem er hluti af norsku þjóðaröryggisstofnuninni (n. Nasjonal sikkerhetsmyndighet, NSM) og heyrir bæði undir dómsmála- og almannaöryggisráðuneyti (n. Justis- og beredskapsdepartementet) og varnarmálaráðuneyti (n. Forsvarsdepartementet).
3. CSIRT-teymi Svíþjóðar heyrir undir almannavarnastofnun Svíþjóðar (s. Myndigheten för samhällsskydd och beredskap, MSB) sem heyrir undir varnarmálaráðuneyti (s. Försvarsdepartementet).
4. CSIRT-teymi Finnalands heyrir undir netöryggismiðstöð Finnlands sem er hluti af finnsku samgöngu- og fjarskiptastofnuninni (e. Traficom) og heyrir undir samgöngu- og fjarskiptaráðuneyti.
5. CSIRT-teymi Bretlands heyrir undir netöryggismiðstöð Bretlands (e. National Cyber Security Centre) sem er hluti af upplýsinga- og öryggisstofnun (e. Government Communications Headquarters, GCHQ) og heyrir undir utanríkis- og samveldisráðherra.
Með því að færa CERT-IS undir utanríkisráðuneyti er sveitin færð nær stefnumótun og framkvæmd öryggis- og varnarmála á Íslandi.
Frá því að innrás Rússlands í Úkraínu hófst í febrúar 2022 hafa fjölþáttaógnir sem beinast að aðildarríkjum Atlantshafsbandalagsins, þ.m.t. Íslandi, stóraukist. Netárásir eru ein tegund fjölþáttaógna og eru netöryggi og netvarnir mikilvægur þáttur í að fyrirbyggja, verjast og takast á við afleiðingar af slíkum árásum. Samstarf og samráð á vegum Atlantshafsbandalagsins um netárásir og netvarnir hefur aukist til muna síðustu ár og því mikilvægt að skýrt sé í varnarmálalögum að netvarnir og netöryggi á sviði varnarmála falli undir starfsemi utanríkisráðuneytisins sem fer með varnarmál. Með fyrirhuguðum breytingum verða því jafnframt netvarnir og netöryggi á sviði varnarmála skilgreind sem varnartengd verkefni í 7. gr. varnarmálalaga, nr. 34/2008.
2. Tilefni og nauðsyn lagasetningar.
Markmið ríkisstjórnarinnar stendur til þess að styrkja utanríkisráðuneytið á sviði öryggis- og varnarmála, þ.m.t. á sviði netöryggismála. Í kjölfar innrásar Rússlands í Úkraínu í febrúar 2022 hafa fjölþáttaógnir sem beinast að aðildarríkjum Atlantshafsbandalagsins stóraukist, þ.m.t. netárásir. Netöryggissveitin CERT-IS gegnir veigamiklu hlutverki þegar kemur að því að verjast og vinna gegn slíkum árásum. Síðustu ár hefur samstarf bandalagsríkja um netöryggi og varnir á vegum Atlantshafsbandalagsins aukist mikið og hefur CERT-IS í gegnum utanríkisráðuneytið og á grundvelli samstarfssamnings á milli ráðuneytisins og Fjarskiptastofu tekið virkan þátt í þessu samstarfi.
Með því að CERT-IS færist frá Fjarskiptastofu til utanríkisráðuneytisins verður tryggð fjarlægð á milli eftirlitsstjórnvaldsins Fjarskiptastofu og netöryggissveitarinnar. Fjarskiptastofa hefur nú eftirlit með starfsemi aðila á þeim sviðum sem netöryggissveitin veitir þjónustu, en slíkt kann að hafa áhrif á upplýsingamiðlun til sveitarinnar. Tilgangur þessara breytinga er ekki að breyta verkefnum netöryggissveitarinnar samkvæmt gildandi lögum um Fjarskiptastofu, lögum um fjarskipti og lögum um öryggi net- og upplýsingakerfa mikilvægra innviða. Með flutningi netöryggissveitarinnar í húsnæði utanríkisráðuneytisins er henni tryggð fullnægjandi starfsaðstaða til að sinna lögbundnum verkefnum sínum. Með flutningnum og aukinni nálægð við það ráðuneyti sem fer með varnarmál er hlutverk netöryggissveitarinnar á sviði varnartengdra netvarna og netöryggis jafnframt styrkt. Netöryggi og netvarnir eru mikilvægur hlekkur í öryggis- og varnarmálum Íslands.
Gera þarf nauðsynlegar lagabreytingar til að flytja verkefni Fjarskiptastofu undir utanríkisráðuneytið sem fer með alþjóðleg öryggis- og varnarmál. Nái frumvarpið fram að ganga mun það styrkja bæði netöryggissveitina og utanríkisráðuneytið hvað varðar netöryggi og netvarnir og þar með öryggis- og varnarmál hér á landi, en stjórnarmálefni fjarskipta og þar með meginþungi stefnumótunar, aðgerða og löggjafar á sviði netöryggismála munu áfram heyra undir innviðaráðuneytið. Einungis sá hluti netöryggismála sem varðar starfsemi netöryggissveitarinnar CERT-IS mun heyra undir utanríkisráðuneytið.
Sú breyting að færa netöryggissveitina nær framkvæmd öryggis- og varnarmála varðar bæði stefnu stjórnvalda í öryggis- og varnarmálum sem og stefnu stjórnvalda í netöryggismálum. Fyrirhugað er að móta nýja stefnu í öryggis- og varnarmálum á þessu ári auk þess sem fyrirhuguð er endurskoðun á netöryggisstefnu Íslands frá árinu 2022. Mikilvægur þáttur netöryggisstefnunnar er samráð og samvinna á sviði netöryggismála. Þar er m.a. kveðið á um að varnir og viðbúnaður í netöryggismálum taki mið af kviku, alþjóðlegu samstarfi á sviði netöryggis- og varnarmála. Á þessum forsendum er fyrirhugað að þau ráðuneyti og stofnanir sem hafa með málið að gera vinni fyrir lok árs 2025 að áformum og aðgerðum til aukinnar samhæfingar aðila með það að markmiði að stuðla að auknu netöryggi almennings og alls samfélagsins.
Þá liggur fyrir að innleiða þarf nýtt regluverk Evrópusambandsins á sviði netöryggis, m.a. tilskipun Evrópuþingsins og ráðsins (ESB) 2022/2555 frá 14. desember 2022 um ráðstafanir til að ná háu sameiginlegu stigi á sviði netöryggis í öllu sambandinu (NIS2). Það er mikilvægur þáttur í því að þróa umhverfi netöryggismála á Íslandi til samræmis við þróun innan Evrópusambandsins. Með regluverkinu er m.a. lögð áhersla á að stuðlað verði að því að mikilvægir innviðir efli öryggi net- og upplýsingakerfa í samræmis við bestu framkvæmd á Evrópska efnahagssvæðinu. Þá er þar lögð áhersla á að aðildarríki byggi upp öfluga og samhæfða stefnu á sviði netöryggis sem á að tryggja samstarf á sviði netöryggismála.
3. Meginefni frumvarpsins.
Með frumvarpinu er ábyrgð á starfrækslu netöryggissveitarinnar færð frá Fjarskiptastofu til utanríkisráðuneytisins. Þessi breyting er gerð með nýju ákvæði í varnarmálalögum, sem heyra undir utanríkisráðherra, þar sem kveðið er á um starfrækslu utanríkisráðuneytisins á netöryggissveitinni. Þar af leiðandi þarf að fella brott og breyta ákvæðum í lögum um Fjarskiptastofu sem fjalla um starfrækslu netöryggissveitarinnar. Auk þess þarf að gera afleiðingarbreytingar á lögum um fjarskipti og lögum um öryggi net- og upplýsingakerfa mikilvægra innviða til að færa lagalega ábyrgð á starfrækslu netöryggissveitarinnar frá Fjarskiptastofu til utanríkisráðuneytisins. Lagabreytingarnar fela ekki í sér breytingar á núverandi verkefnum netöryggissveitarinnar samkvæmt lögum. Netvarnir og netöryggi á sviði varnarmála er jafnframt bætt við lista yfir varnartengd verkefni í 7. gr. varnarmálalaga, nr. 34/2008, og fyrirséð að netöryggissveitin muni sinna þeim verkefnum auk núverandi verkefna.
4. Samræmi við stjórnarskrá og alþjóðlegar skuldbindingar.
Frumvarpið þykir ekki fela í sér álitaefni sem kalla á sérstaka umfjöllun um samræmi við stjórnarskrá eða alþjóðlegar skuldbindingar.
Í ljósi aðildar að Atlantshafsbandalaginu er Ísland skuldbundið til að stuðla að sameiginlegum vörnum á áhrifasvæði bandalagsins, tryggja stöðuvitund og taka þátt í fælingaraðgerðum. Með því að styrkja starfsemi netöryggissveitarinnar og færa hana undir það ráðuneyti sem fer með öryggis- og varnarmál verður hæfni og geta Ísland til að uppfylla skuldbindingar sínar sem aðildarríki að Atlantshafsbandalaginu styrkt.
5. Samráð.
Áform um frumvarpið voru kynnt innan Stjórnarráðsins. Þá voru frumvarpsdrög kynnt í samráðsgátt stjórnvalda á vefnum Ísland.is 19.–29. mars 2025 (mál nr. S-61/2025). Þrjár umsagnir bárust í gáttina um frumvarpið en þær gáfu ekki tilefni til breytinga á efni þess. Í kjölfar þess að frumvarpið var birt í samráðsgátt var því breytt í samstarfi utanríkisráðuneytis, innviðaráðuneytis og Fjarskiptastofu.
6. Mat á áhrifum.
Frumvarpið mun ekki fela í sér breytingar á núverandi lögboðnum hlutverkum netöryggissveitarinnar, en til viðbótar mun netöryggissveitin í auknum mæli taka þátt í verkefnum tengdum netvörnum og netöryggi á sviði varnarmála. Utanríkisráðuneytið fyrirhugar að styrkja netöryggissveitina vegna þessara verkefna með því t.d. að fjölga starfsfólki, tryggja nauðsynlega þjálfun þess og endurskoða tækja- og tæknikost. Mun þetta styrkja netöryggissveitina. Með breytingunni verður tryggð fjarlægð á milli eftirlitsstjórnvalds, þ.e. Fjarskiptastofu, og netöryggissveitarinnar með það að markmiði að tryggja nauðsynlegt upplýsingaflæði um netöryggisatvik til netöryggissveitarinnar.
Áformuð lagasetning á ekki að leiða til aukins kostnaðar fyrir ríkissjóð þar sem starfsemi CERT-IS er nú þegar fjármögnuð af ríkissjóði og ekki fyrirséð að flutningur CERT-IS til utanríkisráðuneytisins leiði til aukins kostnaðar. Gert er ráð fyrir að fjárheimildir sem nemi núverandi rekstrarkostnaði CERT-IS verði fluttar frá Fjarskiptastofu/innviðaráðuneyti til utanríkisráðuneytisins. Þá verða framlög ríkissjóðs til varnarmála nýtt til að styrkja starfsemi CERT-IS og þar með utanríkisráðuneytisins á sviði netvarna og netöryggis, þ.m.t. fjölþjóðlegt samstarf á þeim sviðum.
Um einstakar greinar frumvarpsins.
Um 1. gr.
Á vegum Atlantshafsbandalagsins og í öðru fjölþjóðlegu öryggis- og varnarsamstarfi hefur áhersla á netvarnir og netöryggi stóraukist. Þannig hefur Atlantshafsbandalagið m.a. sett á fór sérstakt netöryggissetur í Tallinn (NATO Cooperative Cyber Defence Centre of Excellence) og samráð og samstarf milli bandalagsríkja hefur aukist jafnt og þétt. Nauðsynlegt er að tiltaka þessa veigamiklu málaflokka sem varnarmálaverkefni sem utanríkisráðuneytið fer með. Netöryggissveitin tekur þegar þátt í þessum verkefnum á vegum utanríkisráðuneytisins bæði innan lands og í fjölþjóðlegu samstarfi. Með flutningi til utanríkisráðuneytisins verður hlutverk netöryggissveitarinnar fest betur í sessi. Ísland glímir við sömu áskoranir á þessu sviði og aðrar þjóðir og þó að Ísland sé lítið land verður að vera tryggt að hér sé sami viðbúnaður og svipuð geta og aðrar þjóðir búa yfir. Alþjóðlegt samstarf er afar mikilvægt og upplýsingaskipti á milli netöryggissveita ríkja er lykilatriði þegar kemur að því að fyrirbyggja netárásir sem og takast á við afleiðingar þeirra í kjölfarið.
Þá er starfræksla netöryggissveitar jafnframt skilgreind sem eitt af verkefnum varnarmála.
Um 2. gr.
1. mgr. byggist á 1. mgr. 9. gr. laga um Fjarskiptastofu. Eina breytingin sem gerð er á orðalagi ákvæðisins er sú að orðið „Fjarskiptastofu“ er fellt út og vísað til netöryggissveitarinnar CERT-IS í stað netöryggissveitar Fjarskiptastofu. Í ákvæðinu er fjallað um hlutverk netöryggissveitarinnar sem CSIRT-teymis á Ísland.
2. mgr. er orðrétt tekin úr 2. mgr. 9. gr. laga um Fjarskiptastofu og fjallar um lögbundin verkefni netöryggissveitarinnar.
Í 3. mgr. er fjallað um þau verkefni sem netöryggissveitin sinnir og sem eru á forræði utanríkisráðuneytisins. Um er að ræða þátttöku í alþjóðlegu samstarfi og verkefnum á sviði netvarna og netöryggis. Í ákvæðinu er mælt fyrir um að verkefni og samstarf á vegum Atlantshafsbandalagsins skuli taka mið af reglum og stöðlum bandalagsins en það hefur mótað reglur og staðla sem Ísland er skuldbundið að fara eftir sem aðildarríki.
4. mgr. er orðrétt tekin úr 1. málsl. 3. mgr. 9. gr. laga um Fjarskiptastofu og kveður á um að starfsfólk netöryggissveitarinnar skuli uppfylla skilyrði um öryggisvottun.
5. mgr. byggist á 4. mgr. 9. gr. laga um Fjarskiptastofu. Í henni er kveðið á um að forstöðumaður netöryggissveitarinnar veiti aðgangsheimildir að starfssvæði netöryggissveitar. Vegna eðlis starfsemi netöryggissveitarinnar sem meðhöndlar trúnaðarupplýsingar, bæði einstaklinga og lögaðila, þarf að gæta að aðgangi að starfssvæði sveitarinnar. Forstöðumaður netöryggissveitarinnar er yfirmaður starfsfólks sveitarinnar og tekur ákvarðanir um aðgang að starfssvæðinu.
Í 6. mgr. er hnekkt á því að um starfsemi netöryggissveitar gildi jafnframt ákvæði laga um öryggi net- og upplýsingakerfa mikilvægra innviða á grundvelli XII. kafla laga um fjarskipti. Ákvæðið er í samræmi við 5. mgr. 25. gr. laga um Fjarskiptastofu, nr. 75/2021.
Í 7. mgr. er kveðið á að ráðherra setji í reglugerð nánari fyrirmæli um starfsemi netöryggissveitar. Slík reglugerð skal sett að viðhöfðu samráði við Fjarskiptastofu og það ráðuneyti sem fer með fjarskipti og netöryggi og eins og við á að fenginni umsögn Persónuverndar og ríkislögreglustjóra. Ákvæðið byggist á 2. mgr. 30. gr. laga um Fjarskiptastofu, nr. 75/2021.
Um 3. gr.
Um 4. gr.
Um er að ræða nauðsynlegar breytingar til að endurspegla flutning netöryggissveitarinnar frá Fjarskiptastofu til utanríkisráðuneytisins. Breytingarnar fela ekki í sér neinar breytingar á gildandi lögboðnum verkefnum netöryggissveitarinnar samkvæmt lögunum. Því verður hlutverk Fjarskiptastofu hvað varðar borgarlegt netöryggi óbreytt að öðru leyti en að starfsemi netöryggissveitarinnar verður flutt frá stofnuninni.
Í 1. tölul. greinarinnar eru gerðar breytingar á lögum um Fjarskiptastofu, nr. 75/2021. Breytingar eru gerðar til að endurspegla flutning á netöryggissveitinni frá Fjarskiptastofu til utanríkisráðuneytisins. Nái frumvarpið fram að ganga mun utanríkisráðherra setja reglugerð um starfsemi netöryggissveitarinnar að höfðu samráði við þann ráðherra sem fer með fjarskipta- og netöryggismál og Fjarskiptastofu, að fenginni umsögn ríkislögreglustjóra og Persónuverndar, eftir því sem við á.
Í 2. tölul. greinarinnar eru gerðar breytingar á lögum um fjarskipti, nr. 70/2022. Breytingarnar endurspegla flutning á starfrækslu netöryggissveitarinnar frá Fjarskiptastofu til utanríkisráðuneytisins. Þannig er skilgreiningu á netöryggissveit í 32. tölul. 5. gr. laganna breytt þannig að vísað sé til netöryggissveitar samkvæmt varnarmálalögum. Með breytingu á 1. mgr. 80. gr. laganna skulu fjarskiptafyrirtæki tilkynna um alvarleg öryggisatvik til bæði netöryggissveitarinnar sem og Fjarskiptastofu sem er samræmi við 2. mgr. 40. gr. tilskipunar Evrópuþingsins og ráðsins (ESB) 2018/1972 frá 11. desember 2018 um setningu evrópskra reglna um rafræn fjarskipti, sem lög um fjarskipti byggjast að miklu leyti á. Við 3. mgr. 80. gr. laganna bætist heimild Fjarskiptastofu til að upplýsa netöryggissveitina ef hætta er á að öryggi eða leynd upplýsinga á fjarskiptanetum verði rofin eða ef til rofs hefur komið. Í 6. mgr. 82. gr. laganna er bætt við heimild til handa Fjarskiptastofu að tilkynna ríkislögreglustjóra um alvarleg eða útbreidd öryggisatvik. Slík heimild er þegar til staðar í ljósi þess að netöryggissveitin er nú hluti af Fjarskiptastofu. Af sömu ástæðu er lagt til að í nýrri málsgrein í 82. gr. laganna verði kveðið á um að netöryggissveitin skuli aðstoða Fjarskiptastofu í tengslum við verkefni sveitarinnar, og með því er áfram tryggt samræmi við 4. mgr. 41. gr. tilskipunar Evrópuþingsins og ráðsins (ESB) 2018/1972 frá 11. desember 2018 um setningu evrópskra reglna um rafræn fjarskipti. Loks er fyrirsögn og efni 85. gr. laganna breytt þannig að reglugerð samkvæmt ákvæðinu sé sett, líkt og nú er, af ráðherra fjarskiptamála í samráði við bæði þann ráðherra sem fer með varnarmál og Fjarskiptastofu.
Í 3. tölul. greinarinnar eru gerðar breytingar á lögum um öryggi net- og upplýsingakerfa mikilvægra innviða, nr. 78/2019. Breytingarnar endurspegla flutning á starfrækslu netöryggissveitarinnar frá Fjarskiptastofu til utanríkisráðuneytisins. Bætt er við nýrri skilgreiningu á netöryggissveit til samræmis við breytingu á skilgreiningu í 32. tölul. 5. gr. laga um fjarskipti, nr. 70/2022, sbr. a-lið 2. tölul. þessa ákvæðis. Þá eru tilvísanir til Fjarskiptastofu felldar brott þannig að eftir stendur tilvísun til netöryggissveitar, sbr. nýja skilgreiningu hér að framan. Þá er 4. mgr. 8. gr. laganna breytt þannig að sá ráðherra sem fer með netöryggismál skuli auk þess að hafa samráð við Fjarskiptastofu hafa samráð við þann ráðherra sem fer með varnarmál komi til þess að sett verði reglugerð um tilkynningar atvika til netöryggissveitarinnar. Við 9. gr. laganna bætist að netöryggissveitin skuli tryggja að upplýsingar um atvik séu einnig aðgengileg samhæfingarstjórnvaldi, þ.e. Fjarskiptastofu. Þá fellur 1. mgr. 14. gr. laganna brott þar sem fjallað er um hlutverk CSIRT-teymis í nýrri 16. gr. a, sbr. 2. gr. frumvarpsins. Felldar eru brott tilvísanir til netöryggissveitarinnar við tilkynningu atvika þar sem ekki er eingöngu um að ræða tilkynningar til hennar, sbr. framangreindar breytingar á 9. gr. laganna. Þá er lagt til að breyta 16. gr. laganna þannig að í stað þess að vísað sé til þess að þjónusta Fjarskiptastofu vegna starfsemi og þjónustu netöryggissveitarinnar sé Stjórnarráði Íslands að kostnaðarlausu verði vísað til þjónustu netöryggissveitarinnar. Þá er 4. mgr. 16. gr. laganna felld brott þar sem ákvæði um heimild til að setja reglugerð um starfsemi netöryggissveitar, þar á meðal um gjaldtöku, er komið fyrir í nýrri 16. gr. a. Í 2. mgr. 17. gr. laganna er lagt til að vísað verði til netöryggissveitar í stað Fjarskiptastofu. Lagt er til að við 18. gr. laganna bætist ný málsgrein þess efnis að netöryggissveitin, eftirlitsstjórnvöld og samhæfingarstjórnvald, þ.e. Fjarskiptastofa, skuli vinna saman að því að stuðla að því kröfum laganna verði framfylgt, en það er til samræmis við 3. mgr. 10. gr. tilskipunar (ESB) 2016/1148 (NIS). Þá er lagt til að 4. mgr. 21. gr. laganna sem tengist vinnslu persónuupplýsinga í starfsemi netöryggissveitar falli brott en ákvæði þess efnis er í nýrri 16. gr. a. Þá er orðalagi 2. tölul. 1. mgr. 23. gr. laganna breytt þannig að það vísi til allra tilkynninga um alvarlegt atvik eða áhættu. Loks eru orðin „til netöryggissveitar“ felld brott úr 4. mgr. 26. gr. og 1. mgr. 27. gr. laganna þar sem ekki er eingöngu um að ræða tilkynningar til hennar, sbr. umfjöllun hér að framan.
