--- title: "Veiledning til innkjøp av digitale løsninger og skytjenester" canonical: "https://forvarelset.tazk.no/space/TO/79101953/Veiledning%20til%20innkj%C3%B8p%20av%20digitale%20l%C3%B8sninger%20og%20skytjenester" format: markdown --- ### Innledning Denne veiledningen beskriver hvordan en virksomhet kan gå frem ved innkjøp av digitale løsninger og skytjenester. Utgangspunktet er virksomheter som har behov for at informasjonsbehandlingen skal foregå innenfor Norges grenser. Veiledningen kan brukes i andre sammenhenger, men det er viktig å finne en fornuftig balanse når krav til en tilbyder/leverandør skal defineres. Unødvendige strenge krav kan redusere tilgangen på de tjenestene man har behov for. Spesielt krav til hvor informasjonen skal behandles (land). ### Forstå reglene #### Personopplysningsloven og personvernforordningen (GDPR) Personopplysningsloven krever at personopplysninger behandles og beskyttes på en bestemt måte. Selv om loven ikke sier direkte at data må lagres i Norge, stiller den krav til sikkerheten ved overføring av data til land utenfor EU/EØS. #### Sikkerhetsloven Sikkerhetsloven tar for seg beskyttelsen av informasjon som er viktig for nasjonal sikkerhet. Den har bestemmelser som kan påvirke både hvor og hvordan slik informasjon behandles. Men loven fastsetter ikke at all informasjonsbehandling må skje i Norge. ### Vurder beskyttelsesbehovene Identifiser hvilke typer informasjon virksomheten din håndterer. Er det personopplysninger, informasjon relevant for nasjonal sikkerhet, eller annen sensitiv informasjon? Vurder risikoen og behovet for sikkerhet basert på dette. ### Kartlegg informasjonsbehandlingen Når vi snakker om å behandle informasjon så må du ha to perspektiver i tankene: 1. Verdikjeden 2. Informasjonens livsløp #### Verdikjeden Vær oppmerksom på hvem som har tilgang til informasjonen, hvor og hvordan informasjonen behandles: - Internt og eksternt, i og utenfor Norge - Til, fra og mellom samarbeidspartnere, leverandører og underleverandører (hele leverandørkjeden) #### Informasjonens livsløp Vi knytter gjerne behandlingsregler til de ulike fasene i informasjonens livsløp: ##### Opprette, registrere og publisere
Eksempler - I et dokument - I et intern IT-system/skyløsning - Internett (åpent for alle)
##### Formidle, sende, overføre* eller overlevere
Eksempler - Mellom IT-systemer eller via API-er mellom systemer - E-post - Per brev - Ved personlig overlevering eller via kurér - Via annen digital kommunikasjon: - Digitale møter (muntlig, via fremvisning eller chat) - Per telefon - Fysisk: I møter, i samtaler internt eller eksternt
**NB: Begrepet ****overføring**** har en egen definisjon innenfor personvernområdet. Les mer på **[Datatilsynets nettside](https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/overforing-av-personopplysninger-ut-av-eos/)**.* ##### Oppbevare
Eksempler - Digitalt: I et IT-system, lokalt på en PC, mobil eller et nettbrett eller på en ekstern lagringsenhet - Fysisk: I dokumentform i et kontorlandskap, på hjemmekontoret eller andre eksterne lokasjoner - Åpent tilgjengelig for alle - I et arkivskap - Et låstbart skap - En oppbevaringsenhet som gir ekstra beskyttelse
##### Avhende, slette, destruere
Eksempler **Metoder og utstyr** Informasjon lagret i IT-systemer/på IT-utstyr/på elektroniske lagringsmedier - Delete-funksjonen - Overskrivning eller annen slettemetode med egen programvare for sikker sletting* - Utstyr for destruksjon av lagringsmedier - Kverning* - Avmagnetisering med degausser* - Brenning i forbrenningsovn* Informasjon i papirdokumenter - Papiravfall - Makuleringsmaskin* - Brenning i forbrenningsovn* **F. eks iht. krav til destruksjon av skjermingsverdig ugradert og gradert informasjon fra Nasjonal sikkerhetsmyndighet (NSM). Og med metoder og utstyr godkjent av NSM.*
### Formuler krav i avtaler Når du inngår avtaler med IT-tjenesteleverandører, inkluder evt. spesifikke krav om at all databehandling skjer innenfor Norges grenser eller innenfor EU/EØS. Vær tydelig i kontraktsvilkårene og sørg for at leverandørene forstår og kan oppfylle disse kravene. Se egen side: [Anbefalte krav til en systemleverandør](https://tazk.atlassian.net/wiki/spaces/TO/pages/133726209). ### Hold deg oppdatert Følg med på utviklingen i regelverket og digitaliseringstiltak som kan påvirke databehandlingen. Dette kan inkludere tiltak for et mer digitaliseringsvennlig regelverk og offentlige myndigheters avklaringer om bruk av skytjenester. ### Søk ekspertise Ved usikkerhet eller behov for ytterligere avklaringer, anbefales det å konsultere juridisk ekspertise innen teknologi, digital sikkerhet og personvern. ### Iverksett og overvåk Etter å ha fastsatt og avtalt retningslinjene, iverksett dem i virksomhetens drift. Overvåk regelmessig at retningslinjene følges og at all informasjonsbehandling faktisk skjer innenfor Norges grenser. ### Pågående og planlagt arbeid innenfor det juridiske landskapet Her er en oversikt over den norske regjeringens arbeid for å sikre og forbedre det digitale landskapet, med fokus på sikkerhet og kontroll over kritisk infrastruktur: - **Digitalisering i offentlig sektor**: Ansvaret for koordineringen ligger hos Kommunal- og moderniseringsdepartementet. Arbeidet fokuserer på teknologibruk for å fornye, forenkle og forbedre tjenester. - **Klart og digitaliseringsvennlig regelverk**: Det arbeides for å utforme regler som er forståelige og tilpasset digitalisering, inkludert automatisert saksbehandling og bruk av kunstig intelligens. - **Generelle anbefalinger for digitaliseringsvennlig regelverk**: Involvering av kommuner og andre sektorer er viktig for å sikre effektiv datadeling og tilrettelegging for digitale løsninger. - **Nytt utvalg for nasjonal kontroll med digital infrastruktur**: Regjeringen har opprettet et ekspertutvalg ledet av Olav Lysne for å gi forslag om hvordan staten kan ivareta kontrollen med kritisk digital infrastruktur. Utvalget skal vurdere regulering og statlig eierskap. Arbeidet startet i 2024, med forventet ferdigstillelse i 2025. #### Kilder - Digitaliserings- og forvaltningsdepartementet: [http://regjeringen.no](http://regjeringen.no) - Nytt utvalg for kontroll med digital infrastruktur: [http://cw.no](http://cw.no) - Utvalg skal vurdere hvordan nasjonal kontroll kan sikres for digital infrastruktur: [http://Digi.no](http://Digi.no) ### Anbefalte krav til en systemleverandør Se egen side i menyen til venstre.