Høringssvar – Forskrifter til ny sikkerhetslov

Statens helsetilsyn viser til høringsbrev 2. juli 2018 med forslag til forskrifter til ny sikkerhetslov. Frist for å sende inn høringssvar er 1. oktober 2018.

Statens helsetilsyn har innledningsvis enkelte kommentarer til kapittel 4 om tilsyn i utkastet til forskrift om myndighetenes roller og ansvar for nasjonal sikkerhet (myndighetsforskriften). Vi har også behov for å kommentere utfordringer knyttet til utvidelsen av virkeområdet, tilsynsomfang for sektortilsyn, og økonomiske og administrative konsekvenser for sektortilsynene som følge av ny sikkerhetslov.

Lov om nasjonal sikkerhet (sikkerhetsloven) ble vedtatt av Stortinget 6. mars 2018. Det foreslås i høringsnotat at loven og forskriftene trer i kraft 1. januar 2019.

Det foreslås tre forskrifter til den nye sikkerhetsloven:

• Forskrift om myndighetenes roller og ansvar for nasjonal sikkerhet
• Forskrift om virksomhetens arbeid med forebyggende sikkerhet
• Forskrift om klarering av leverandører og personell

Statens helsetilsyn har under arbeidet med forskriftene og gjennom vår deltakelse i en arbeidsgruppe avgitt muntlige og skriftlige innspill til forskriftsprosjektet som består av prosjektmedarbeidere fra Forsvarsdepartementet, Justisdepartementet og Nasjonal sikkerhetsmyndighet. Videre har vi gitt innspill til Helse- og omsorgsdepartementet som er med i referansegruppen til prosjektet.

Statenes helsetilsyn har i møtene med prosjektet i hovedsak kommentert tilsynsspørsmål som hører inn under Forskrift om myndighetenes roller og ansvar for nasjonal sikkerhet, men også tilsynsspørsmål som henger nært sammen med Forskrift om virksomhetenes arbeid med forebyggende sikkerhet.

Vi har særlig fremholdt at tilsyn ikke må detaljreguleres, men at det må gis rom for prioritering og gjennomføring av hensiktsmessig tilsynsvirksomhet der en tar hensyn til risiko, sårbarhet, tilgjengelig ressurser og sektormyndighetens øvrige tilsynsoppgaver.

I hovedsak synes kapittel 4. i nevnte utkast til myndighetsforskrift, å ivareta en hensiktsmessig bruk av tilsynsmetodikk/tilnærming. Det fremkommer i § 17 tredje ledd at tilsyn som hovedregel skal gjennomføres som systemrevisjon, noe som åpner for andre tilsynsformer og aktiviteter når dette er mer hensiktsmessig og effektivt. Det er viktig at tilsynsmyndigheten ikke er bundet opp i en bestemt metode for tilsyn.

Det gis imidlertid i myndighetsforskriften § 17 annet ledd utrykk også for at tilsyn

«.. skal gjennomføres ofte nok og i stort nok omfang til å ivareta lovens formål», noe som etter Helsetilsynets vurdering ikke kan være tilpasset ansvarsforholdene mellom virksomhetene og tilsynsmyndigheten. Det må være de ansvarlige virksomheter som skal ivareta lovens formål om å bidra til å trygge nasjonal sikkerhet. Et sektortilsyn kan bare bidra til at virksomhetene ivaretar sitt ansvar, men det verken kan eller skal overta ansvaret. Tilsyn handler i sin kjerne om kontroll med de ansvarliges etterlevelse av regelverket. Tilsyn vil følgelig være et bidrag til ansvarliggjøring av virksomhetenes arbeid med forebyggende sikkerhet.

Den nye lovens utvidelse av virkeområde

En hovedutfordring er etter Statens helsetilsyns vurdering konkretiseringen og betydningen av den nye lovens utvidelse av virkeområde. Innholdet i begrepet «grunnleggende nasjonale funksjoner» synes å være et betydelig usikkerhetsmoment for departementer, virksomheter og sektortilsyn.

Departementene skal identifisere «grunnleggende nasjonale funksjoner» og vedta hvilke virksomheter som er av «vesentlige» og «avgjørende» betydning for disse funksjonene og dermed omfattet av loven, jf. §§ 1-3 og 2-1. Innenfor sitt ansvarsområde skal et departement utpeke, klassifisere og holde oversikt over skjermingsverdige objekter og infrastruktur, jf. loven §§ 7-1 og 7-2.

I merknaden til myndighetsforskriften (høringsnotatet s. 32) ber Forsvarsdepartementet om høringsinstansenes syn på om kriteriene til § 1 Klassifisering av skjermingsverdige objekter og infrastruktur er tilstrekkelige for at departementene skal kunne beslutte et klassifiseringsnivå etter sikkerhetsloven § 7-1.

Helsetilsynet antar at klassifiseringsnivå skal sees i sammenheng med § 7-2, jf. ordlyden i myndighetsforskriften § 1. Vi er imidlertid usikker på om kriteriene; «hvor stor grad grunnleggende nasjonale funksjoner er avhengig av objektet eller infrastrukturen» og «virksomhetens skadevurdering», vil gi tilstrekkelig veiledning for klassifiseringen. Dette gjelder særlig om kriteriene gir tilstrekkelig veiledning for beslutning knyttet til virksomheter, objekter og strukturer som er ment å omfattes ved utvidelsen av lovens virkeområde. Statens helsetilsyn har i arbeidsgruppemøtene erfart at ulike virksomheter og etater har utfordringer med å konkretisere konsekvensene av hva virkeområdets utvidelse innebærer i praksis.

Virkeområdet til den nye loven er avgjørende for de enkelte virksomheter, objekter og infrastrukturer som omfattes av loven. Virkeområdet vil også være helt avgjørende for de sektortilsyn som etter departementenes beslutning tillegges ansvar for tilsyn med loven.

Oppgavene til sektortilsynene vil «speile» den nye lovens virkeområde og ansvar. Oppgavene avhenger følgelig av departementenes identifisering og utpeking av virksomheter, skjermingsverdige objekter og infrastruktur. Omfanget og departementenes beslutning er en sentral nøkkel for hvor mye ressurser mv som må tilføres tilsynsoppgaven med etterlevelse av sikkerhetsloven.

Forholdet mellom NSM og sektortilsyn

Det presiseres i høringsnotatet på sidene 15 og 16 under punkt 4.2 «NSMs tilsyns- og påleggskompetanse overfor sektormyndigheter med tilsynsansvar» at NSM kan ilegge pålegg, tvangsmulkt og overtredelsesgebyr for å sikre etterlevelse av sikkerhetsloven med forskrifter, jf. loven §§ 3-6, 11-2 og 11-3. Dette gjelder overfor både departementer og sektormyndigheter som har fått tilsynsansvar og øvrige virksomheter.

Det uttales i høringsnotatet at påleggskompetansen bare vil bli benyttet dersom sektortilsynets oppfølgning av sikkerheten er uforsvarlig og at reaksjonsformene ikke vil være de primære verktøyene for NSMs oppfølging av tilsynsmyndighetene. Det nevnes også at NSM vil legge til rette for at NSM og sektormyndigheter med tilsynsansvar vil kunne løse eventuelle utfordringer gjennom samarbeid, dialog eller ved å løfte eventuelle uenigheter mellom NSM og sektortilsynet til departementene. Videre vises det til at omfanget av tilsyn og støtte av NSM vil bli regulert gjennom samarbeidsavtaler og arenaer for opplæring og informasjonsutveksling.

NSM er imidlertid i loven gitt betydelige virkemidler til å styre ressursene og aktivitetene til sektortilsynene:

• Krav til at det skal inngås en samarbeidsavtale med minimumskrav til innhold etter forskriftsutkastet § 15 bokstavene a til h
• Utarbeidelse og utvikling av grunnleggende kriterier for tilsyn
• Tilrettelegging for felles opplæring av tilsynspersonell
• Om nødvendig medvirke til forberedelse og gjennomføring av tilsyn
• Krav til orientering om planlagte tilsyn, redegjørelse av gjennomførte tilsyn og eventuelle avvik og pålegg

Videre kan NSM gi pålegg om å utføre tilsyn hvis tilsynet ikke er gjennomført i tråd med de fastsatte kriteriene i eller i medhold av loven, se s. 170 i Prop. 153 L (2016- 2017), og som nevnt kan det ved overtredelse av pålegg fastsettes tvangsmulkt og overtredelsesgebyr.

Tilsynsansvaret vil følgelig for Statens helsetilsyn i stor grad avhenge av hvilke krav NSM stiller til Helsetilsynet som sektortilsyn, og etter hva Helsetilsynet forstår, gjelder dette uavhengig av hvilke konsekvenser dette har for våre hovedoppgaver og prioritering av allerede begrensede tilsynsressurser.

Etter Helsetilsynets vurdering bør det ses nærmere på om det i forskriften, i tillegg til omtalen i høringsnotatet, skal tas inn krav om dialog og/eller avklaring med aktuelle departementet som egen mekanisme fremfor pålegg for å unngå uheldig vridning av de begrensede tilsynsressurser og løse utfordringene knyttet til gjennomføring av tilsyn.

Finansiering av sektortilsyn

Etter hva Helsetilsynet forstår er det ikke foretatt konkrete beregninger av hva nyordningen med sektortilsyn vil innebære av økonomiske og administrative konsekvenser.

Det fremgår av høringsnotatet på side 27 at:

«Utvidelsen av sikkerhetslovens virkeområde vil få økonomiske og administrative konsekvenser for virksomhetene som underlegges loven, myndigheter med sektoransvar, klareringsmyndighetene, departementene, NSM og PST. Utgiftene vil være knyttet til blant annet sikkerhetstiltak, administrative og organisatoriske oppgaver, IKT-utstyr, personell og kompetanse.» og senere på samme side:

«Departementet legger imidlertid til grunn at for virksomheter som er omfattet av gjeldende regelverk, og som oppfyller gjeldende krav til sikring av informasjon, informasjonssystem, objekt og infrastruktur, vil nytt regelverk i utgangspunktet ikke medføre økte utgifter til arbeidet med forebyggende sikkerhet i virksomheten. For de virksomheter som ikke er underlagt dagens regelverk, vil utgiftene knyttet til nytt regelverk kunne bli betydelige.

Størrelsen på utgiftene vil imidlertid avhenge av hvor stort endringsbehovet for virksomhetene er som følge av nytt regelverk, og det må særlig ses hen til det sikringsnivået som allerede er etablert i virksomheten, gjerne som følge av krav i gjeldende sektorregelverk.»

Det uttales også på side 30 at: «Statens utgifter til implementering av forskriftene skal i utgangspunktet dekkes innenfor berørte departementers gjeldende budsjettrammer.»

Helsetilsynet legger til grunn at ny lov med forskrifter vil innebære økonomiske og administrative konsekvenser for virksomheter med objekter og informasjonsstrukturer som blir omfattet av de nye reglene. Omfanget er imidlertid vanskelig å se på dette stadiet i arbeidet.

Tilsvarende er det utfordrende å se hvordan de økonomiske og administrative konsekvensene skal løses for sektortilsynene. Enkelte sektortilsyn med tilsynsansvar kan ha ført tilsyn med ulike elementer av sikkerhet, men flere sektortilsyn vil ikke ha ført et tilsyn av en art og grad som forutsettes etter sikkerhetsloven.

Oppgavene til sektortilsynene vil «speile» den nye lovens virkeområde. Ansvaret og oppgavene avhenger følgelig av departementenes tidligere og nye identifisering og utpeking av virksomheter, skjermingsverdige objekter og infrastruktur. Omfanget av sektortilsynene vil i utgangspunktet også omfatte det tilsynet som NSM gjennomfører etter gjeldende lov. Virkeområdet er en sentral nøkkel for hvor mye ressurser mv. som må tilføres sektortilsynene for tilsyn med etterlevelse av sikkerhetsloven.

Etter Helsetilsynets vurdering illustrerer - om enn på indirekte måte - omtalen av hvilke konsekvenser loven får for NSM, hvilke konsekvenser departementets beslutninger vil få for Statens helsetilsyn, se Prop. 153 L (2016–2017)

Lov om nasjonal sikkerhet (sikkerhetsloven) pkt «18.5 Sikkerhetsmyndigheten».

Beslutningen om tilsyn med sikkerhetsloven vil innebære en utvidelse av Helsetilsynets tilsynsområde. Beslutningen vil medføre behov for økte personellressurser knyttet til tilsyn med skjermingsverdige objekter og skjermingsverdig informasjon og infrastruktur. Tilsynets planlegging, gjennomføring og oppfølgning vil kreve sikkerhetsfaglig og digital kompetanse som vi ikke innehar. Beslutningen vil trolig også kunne medføre et behov for en annen bygningsmasse for å håndtere klassifisert materiale.

Tilsynet innebærer kontroll, råd og veiledning av virksomhetene og behov for å samarbeide med NSM. Antallet objekter som sektortilsynet skal føre tilsyn med, vil avhenge av hvor mange virksomheter som departementet klassifiserer.

NSM har uttalt at antallet kontrollobjekter og virksomheter under loven vil øke, og Helsetilsynet forstår dette slik at en beslutning fra departementet i prinsippet vil innebærer at vi får ansvaret for flere objekter og virksomheter enn det som NSM frem til nå har hatt ansvaret for etter gjeldende lov.

NSM har tidligere i Prop. 153 L (2016–2017) punkt 18.5 estimert det økonomiske merbehovet for NSM som følge av ny sikkerhetslov «..til å være i et spenn fra om lag 25 mill. kroner til i underkant av 105 mill. kroner i 2017-kroner. Middelsestimatet gir et netto merbehov for NSM på om lag 60 mill. kroner i 2017-kroner. Sistnevnte tilsvarer en budsjettøkning på 27,5 prosent, sammenholdt med regnskapet for 2016. Estimatene avhenger, som nevnt over, blant annet av hvor mange og hvilke virksomheter som blir omfattet av loven, hvor mange sektormyndigheter som vil bli tildelt tilsynsansvar innen sin sektor, antall tilsynsobjekter og omfanget av råd og veiledningsarbeidet». (Helsetilsynets understrekning).

Etter hva Helsetilsynet forstår innebærer disse estimatene betydelig usikkerhet, men de illustrerer også at kostnadene for sektormyndigheter som blir tildelt tilsynsansvar innen sin sektor vil bli betydelig. NSM sitt estimat over merbehov synes videre å være basert på at sektortilsyn skal overta oppgavene til NSM, noe som muligens skulle indikere en besparelse for NSM og ikke merbehov.

Etter Helsetilsynets vurdering er håndteringen av de økonomiske og administrative konsekvensene for sektortilsynene som nyordning svært viktig å få avklart og håndtert før lovens ikrafttredelse. Dette er nødvendig for at sektortilsynenes øvrige lovfestede tilsynsoppgaver fortsatt kan ivaretas på dagens nivå.

Med hilsen

Jan Fredrik Andresen
direktør

Pål Børresen
seniorrrådgiver

Brevet er godkjent elektronisk og sendes derfor uten underskrift

Saksbehandler: Pål Børresen, tlf. 21 52 99 67 Kopi: Helse- og omsorgsdepartementet