Hvem skal varsle Nkom?

Alle tilbydere av ekomnett og -tjenester etter ekomloven har plikt til å varsle Nkom, jf. ekomloven § 3-3 og ekomforskriften § 2-8. 

Når skal Nkom varsles?

Brudd på tilgjengelighet 

Nkom skal varsles umiddelbart og senest innen en halv time etter at tilbyder er blitt kjent med en sikkerhetshendelse som har medført vesentlig brudd på tilgjengelighet i elektroniske kommunikasjonsnett eller -tjeneste. 

Nkom skal varsles umiddelbart etter at tilbyder er blitt kjent med en sikkerhetshendelse som kan medføre vesentlig brudd på tilgjengelighet i elektroniske kommunikasjonsnett eller -tjeneste. 

Det skal alltid varsles dersom: 

  • Det er ustabilitet eller bortfall av mer enn halvparten av kundene eller basestasjonene i en kommune. 

  • Det er ustabilitet eller bortfall av mer enn halvparten av kundene eller basestasjonene i tettsteder med mer enn 20 000 innbyggere. 

  • Det er ustabilitet eller bortfall av mer enn ti prosent av kundene eller basestasjonene på landsbasis. 

  • Det er ustabilitet eller bortfall for brukere med ansvar for liv og helse, eller i situasjoner som innebærer høy risiko for tap av liv og helse. 

Andre sikkerhetshendelser 

Nkom skal uten ugrunnet opphold varsle om sikkerhetshendelser som har medført vesentlig brudd på autentisitet, integritet eller konfidensialitet i elektroniske kommunikasjonsnett eller -tjenester.  

Vurdering av vesentlig sikkerhetshendelse 

Ved vurderingen av om en sikkerhetshendelse er vesentlig, skal det legges vekt på: 

  • antall brukere som er berørt, 

  • varighet, 

  • geografisk omfang, 

  • hvilke funksjoner i elektroniske kommunikasjonsnett og -tjenester som er berørt, 

  • økonomisk og samfunnsmessig betydning. 

Oppdatert varsel underveis

Tilbyder må sende oppdatert varsel dersom det skjer vesentlige endringer underveis i hendelsen, og når hendelsen er normalisert.

Hva skal varselet til Nkom inneholde?

Varslet skal som et minimum inneholde følgende informasjon så langt det er kjent: 

  • Kort beskrivelse av hendelsen 

  • Når hendelsen oppsto 

  • Hvilke ekomtjenester som er rammet 

  • Årsak 

  • Kortfattet beskrivelse av omfang, herunder geografisk omfang, berørte kunder, samfunnsviktige funksjoner, og om liv og helse er eller kan være rammet. 

  • Tiltak for å stoppe og utbedre skadene. 

  • Varighet før hendelsen er forventet normalisert (estimert rettetid). 

  • Kontaktperson hos tilbyder (telefon og e-post) 

Hvordan skal det varsles?

Varselet skal sendes til ekomvarsling@nkom.no. 

Det er også mulig å kontakte Nkoms beredskapsvakt på telefon 22 33 17 00.

Hva gjør Nkom med varselet?

Nkom har beredskapsvakt 24/7 som mottar og vurderer alle varsler. Ut fra en vurdering av situasjonen vil Nkom enten ta varselet til orientering, eller følge opp hendelsen videre. 

Nkom tar kontakt med oppgitt kontaktperson hos tilbyder dersom vi ser behov for å følge opp hendelsen underveis, eller dersom vi i etterkant av hendelsen ønsker å undersøke hendelsen nærmere. 

Nkom skal varsles for å kunne koordinere tiltak og styre informasjonsflyten mellom de som er omfattet av hendelsen.

Når skal abonnent eller bruker varsles?

Særlig risiko for sikkerhetshendelse 

Tilbyder skal uten ugrunnet opphold varsle abonnent eller bruker dersom det foreligger særlig risiko for sikkerhetshendelse i offentlige elektroniske kommunikasjonsnett eller -tjenester, og skal informere om eventuelle vernetiltak eller avhjelpende tiltak som abonnent eller bruker kan treffe. Dersom det er hensiktsmessig, skal tilbyderen også informere om selve trusselen. 

Sikkerhetsbrudd 

Tilbyder skal uten ugrunnet opphold varsle abonnent eller bruker om sikkerhetsbrudd som har hatt eller vil kunne ha en negativ effekt på kommunikasjonsvernet eller personvernet til abonnenten eller brukeren. Varslingsplikten gjelder ikke dersom tilbyderen har dokumentert overfor Nkom at tilfredsstillende tekniske beskyttelsestiltak er gjennomført for dataene som er omfattet av sikkerhetsbruddet. 

Planlagt bortfall 

Tilbyder skal varsle kunder før planlagt bortfall av elektroniske kommunikasjonsnett og -tjenester på grunn av vedlikehold eller oppgraderinger, se ekomforskriften § 4-17. 

Nærmere om varslingsprosedyrene

Det er tilbyders ansvar å vurdere hendelser og avgjøre når Nkom og brukere skal varsles. Tilbyder må sørge for å utarbeide interne rutiner som beskriver når varsling skal iverksettes. Nkom kan veilede tilbyder i forbindelse med utarbeidelse av varslingsrutiner. 

Varsling til Nkom skal uansett iverksettes når tilbyder vurderer at hendelsen er av en slik alvorlighetsgrad at den kan påvirke tjenesteleveransen til samfunnsviktige funksjoner eller andre tilbyderes tjenestekvalitet. 

Hendelsesrapporter

Etter en hendelse kan Nkom kreve utfyllende hendelsesrapporter for å undersøke hendelsen nærmere. Nkom kan også kreve hendelsesrapporter ved hendelser der tilbyder selv ikke vurderte at varsling var nødvendig.