Hvordan arbeide med sikkerhetsloven og hva betyr det for norske virksomheter?
Flere blir helt eller delvis omfattet av sikkerhetsloven
Sikkerhetsloven gir et viktig fundament i videreutviklingen av det samlede sikkerhetsarbeidet i Norge, og vil bli stadig viktigere for mange offentlige og private virksomheter fremover. Det er flere offentlige og private virksomheter som blir underlagt loven, enten helt eller delvis, etterhvert som prosessen med å identifisere og risikovurdere systemer og infrastruktur som understøtter grunnleggende nasjonale funksjoner (GNF), går fremover.
Vi har bistått flere virksomheter som er delvis underlagt sikkerhetsloven. For mange virksomheter er det krevende å vite hva delvis underleggelse betyr og hva slags krav i regelverket som gjelder for dem. Vår fremgangsmåte er å arbeide tverrfaglig med eksperter innen det regulatoriske som gjennomfører en gapanalyse. Deretter trer risikostyringseksperter inn, som sammen med kunden gjennomfører risikovurderinger. Til slutt bistår cyber- og sikkerhetspesialister som bistår med å lage et styringssystem for sikkerhet som er tilpasset kundens behov og som ivaretar de gjeldende kravene fra sikkerhetsloven og forskrifter.
Sikkerhetsloven, beskyttelse av kritisk infrastruktur og totalforsvaret
Sikkerhetsloven er viktig for å styrke Norges totalforsvar, og gjelder for flere offentlige og private virksomheter. Norsk næringsliv er ikke bare viktig for landets økonomiske, sosiale og miljømessige velvære - det er også viktig for beskyttelse av nasjonale interesser og Norges sikkerhet. I et samfunn med større angrepsflater og mer sofistikerte trusselaktører er det viktig at vi klarer å beskytte de grunnleggende nasjonale funksjonene som er viktig for landet vårt.
Det er flere gråsoner og sammenfallende interesser mellom samfunnssikkerhet og statssikkerhet innenfor enkelte områder. Samtidig er hovedfokuset for sikkerhetsloven de nasjonale sikkerhetsinteressene (NSI). Fortsatt skal sektorregelverk som gjelder kritiske infrastrukturer og samfunnskritiske tjenester sikre den sivile samfunnssikkerheten. Det er viktig for private leverandører/underleverandører til slike tjenester at de er oppdaterte på regelverket og hva dette innebærer for deres egen del.
– Det er avgjørende å samarbeide tverrfaglig for å sikre helhetlige vurderinger som fører til målrettede og balanserte sikkerhetstiltak, sier sikkerhetsekspert Maren Maal.
Slik kan vi hjelpe deg
Vi er et tverrfaglig team som jobber med sikkerhetsrådgiving i privat og offentlig sektor. Med eksperter innen risikostyring, fysisk sikkerhet, informasjonssikkerhet og juridiske spørsmål kan vi hjelpe din organisasjon med å navigere kravene og forventningene i sikkerhetsloven.
1. Gapanalyse
En gapanalyse er en metode for å måle forskjellene mellom faktiske prestasjoner og potensielle eller ønskede prestasjoner i en organisasjon. I denne konteksten vil en gapanalyse identifisere hvor organisasjonen ikke oppfyller kravene i sikkerhetsloven eller forskrifter. Dette kan inkludere alt fra manglende prosedyrer og retningslinjer til tilstrekkelig teknologi og opplæring.
2. Risikovurdering
En risikovurdering er en systematisk prosess for å identifisere og vurdere risikoer som en organisasjon kan stå ovenfor. Risikovurderingen kan vurdere sannsynligheten for at en bestemt hendelse vil skje, og konsekvensene hvis den gjør det. Resultatene av risikovurderingen brukes til å prioritere tiltak for å redusere risiko.
3. Styringssystem
Et styringssystem for sikkerhet er et rammeverk som en organisasjon bruker for å håndtere og kontrollere sikkerhetsrisikoer. Dette kan inkludere retningslinjer, prosedyrer, teknologiske løsninger og opplæringsprogrammer. Et godt styringssystem for sikkerhet er tilpasset organisasjonens unike behov og risikoer, samtidig som det er i samsvar med, i dette tilfelle, sikkerhetsloven og forskrifter.
Sikkerhetsloven skal bidra til å styrke sikkerhetskultur og sikkerhetsledelse
Sikkerhetslovens formål kan bidra til å styrke sikkerhetskulturen i norske virksomheter. Dersom norske virksomheter som understøtter en GNF har en grundig og systematisk tilnærming i gjennomføringen av skadevurderingene, vil det kunne legge grunnlaget for en mer robust og motstandsdyktig infrastruktur. Dette vil bidra til at virksomheter ikke bare ivaretar krav i sikkerhetsloven med et styrket Norges forsvar mot trusler, men også til å øke bevisstheten og ansvarsfølelsen blant norske virksomheter når det gjelder å ivareta nasjonal sikkerhet.
Dynamiske, funksjonelle og risikobaserte regler stiller høyere krav til ledere om å sikre god sikkerhetsstyring - som en integrert del av en proaktiv virksomhetsstyring. Det positive med denne tilnærmingen er at den enkelte virksomhet må finne frem til et sett med sikringstiltak som passer til deres virksomhet, og som også er tilpasset deres virksomhet sitt risikobilde. Samtidig stiller det krav til tverrfaglig kompetanse og at risikovurderingene gjøres regelmessig og grundig. Virksomhetene må sikre seg god nok kompetanse om hva som skal til for å oppnå et forsvarlig sikkerhetsnivå. Presise nok verdivurderinger, god forståelse for spennet av mulige trusler og innsikt i avhengigheter er avgjørende i dette arbeidet.
Hele formålet med gode risikovurderinger er at det skal føre til målrettede, balanserte og hensiktsmessige tiltak. Ofte kreves det ulik type kompetanse og tverrfaglighet inn i både analysearbeidet og i gjennomføringen av tiltak. Det er fordi det handler ikke bare om fysiske sikringstiltak eller tekniske overvåkingssystemer, men også om bevissthet, kultur og kompetanse, samt gode styringssystemer, tydelige roller, ansvar og effektive varslingssystemer.
Møt noen av våre sikkerhetseksperter
Vi kan bistå med å utarbeide gode beslutningsgrunnlag og komme med anbefalinger til hva som er et forsvarlig sikkerhetsnivå.
Vi samarbeider tverrfaglig for å sikre helhetlige vurderinger. I fellesskap sikrer vi best mulig resultat.
Maren Maal
Senior Manager, PwC Norway
Maren er ekspert på forebyggende sikkerhet og beredskap. Hun har bistått flere offentlige og private virksomheter med å opprette systemer for etterlevelse av sikkerhetsloven.
Partner | Consulting, PwC Norway
Mats har mer enn 20 års erfaring med risikostyring, sikkerhet, cyber, evaluering og granskinger for både privat og offentlig sektor.
Advokat | Manager, PwC Norway
Maria har erfaring i å bistå både privat og offentlig sektor med etterlevelse og tolkning av sikkerhetsloven.
Fem steg for din virksomhet
Gjennomføre en skadevurdering
Hvis din virksomhet er utpekt som understøttende virksomhet til en GNF, må det gjennomføres en skadevurdering. Dette innebærer å identifisere konkrete informasjonssystemer, objekter og infrastrukturer som understøtter virksomhetens funksjon. Nøkkelen er å trekke på relevate personer for en effektiv systemkartlegging.
Verdien av skadevurdering er stor
Se på skadevurderingen som mer enn bare en rapporteringsøvelse. Denne prosessen identifiserer bedriftens mest kritiske funksjoner, potensielle konsekvenser ved bortfall. Resultatene er avgjørende for virksomhetens kontinuitetsplanlegging, beredskapsplanlegging og krisehåndtering.
Bruke gjeldende veiledning
Den nye sikkerhetsloven, sammen med tilhørende forskrifter og veiledninger, gir et godt grunnlag for å etablere god sikkerhets- og risikostyring og cybersikkerhet. Bruk dem som en veiledning for å styrke din organisasjons sikkerhet.
Kartlegge om du er delvis underlagt
Hvis din virksomhet er delvis underlagt sikkerhetsloven, er det avgjørende å kartlegge hvilke deler av loven som gjelder din virksomhet. Basert på dette er det enklere å gjennomføre en risikovurdering og lage et hensiktsmessig styringssystem for sikkerhet.
Helhetlig tilnærming for maksimalt utbytte
Tenk helhetlig i arbeidet med sikkerhetsloven. Unngå flere separate rapporteringsløp til ledelsen eller styret. Integrer sikkerhets- og etterlevelsearbeid for effektiv samordning. Utnytt overlappende krav og kunnskap for bedre analyse og tiltak, og redusert arbeidsmengde.
Ofte stilte spørsmål
Kontakt oss
Maren Maal
Trenger du hjelp med etterlevelse av sikkerhetsloven?
Vi kan bistå med å utarbeide gode beslutningsgrunnlag og komme med anbefalinger til hva som er et forsvarlig sikkerhetsnivå.