Her er regjeringens råd for å kjøpe tryggere datasentertjenester

I anledning den nye ekom-loven presenterer myndighetene nå råd og anbefalinger for kjøp av datasentertjenester i Norge i en veileder.

Nasjonal kommunikasjonsmyndighet (Nkom) og Nasjonal sikkerhetsmyndighet (NSM) har slått seg sammen om rådene og en pressemelding. De to skriver at de ser et økende behov for informasjon om sikkerheten ved kjøp av datasentertjenester i Norge.

– Virksomheter som vurderer å sette ut datasenterdriften eksternt må kunne stille høye krav til leverandører, og gjøre grundige sikkerhetsvurderinger for å beskytte sine egne IT-systemer, sier direktør i Nkom, John-Eivind Velure.

Kritisk infrastruktur

NSM og Nkom slår fast at datasentre er en viktig del av den digitale infrastrukturen i Norge.

Det å ha kontroll over datasentrenes lokalisering, drift og sikkerhet er derfor avgjørende for å beskytte sensitive eller samfunnskritiske data og tjenester.

– Vi er helt avhengige av sikre og trygge datasentertjenester når vi skal bygge og trygge landet med digitalisering som verktøy. Veilederen som Nkom og NSM har lansert er et viktig bidrag til dette, og for at ulike aktører skal kunne sette riktige krav i sine anskaffelser, sier digitaliserings- og forvaltningsminister, Karianne O. Tung.

Forsvarlig drift og sikkerhet

Veilederen fra Nkom og NSM gir en innføring i sikkerhet ved fysiske datasenteranskaffelser, og dekker temaer som sikkerhetsstyring, risikovurdering og sårbarheter i leveransekjeden.

– Stadig flere kritiske samfunnsfunksjoner og -verdier legges over på digital infrastruktur. Det gjør datasentre til en sentral leverandør for norske virksomheter. God kunnskap ved kjøp av datasentertjenester og tydelige krav til sikkerheten i sentrene og hele leverandørkjeden er av stor betydning for sikkerheten i samfunnet, sier avdelingsdirektør Martin Albert-Hoff, som leder Nasjonalt cybersikkerhetssenter (NCSC) i NSM.

Velure sier i meldingen at et godt råd er å undersøke om datasenteroperatøren er godt rustet for å sikre forsvarlig drift.

– Redundant strømforsyning, kjøling, kontinuerlig overvåkning og vedlikehold er viktig for å beskytte datasentre mot ulike trusler, som brann, strømbrudd, digitale angrep eller naturkatastrofer, sier Velure.

Her er noen av de sentrale rådene fra rapporten:

• Sikkerhetsvurderinger: Virksomheter må kartlegge sine egne verdier og behov, og gjennomføre grundige risiko- og sikkerhetsvurderinger når de kjøper eller reforhandler datasentertjenester.
• Kvalitetskontroll: Virksomheter bør undersøke om datasenteroperatøren har gode systemer for sikkerhet og kvalitet, som for eksempel redundant strømforsyning, kjølesystemer, kontinuerlig overvåking og vedlikehold.
• Still tydelige krav: Virksomheter må inkludere datasenteroperatørene underveis i arbeidet. Still tydelige krav til operatørene og følg opp over tid. Benytt gjerne rapporten som hjelpemiddel i prosessen.

Registreringsplikt for datasenteroperatører

Den nye loven om elektronisk kommunikasjon (ekomloven) trer i kraft 1. januar 2025, og vil blant mye annet innføre registreringsplikt for datasenteroperatører i Norge.

Loven vil også stille krav om opplysninger og forsvarlig sikkerhet i datasentre.

Nkom blir ansvarlig myndighet for å føre tilsyn og følge opp sikkerheten i datasenternæringen. Nasjonal sikkerhetsmyndighet (NSM) er tilsynsmyndighet og fagmyndighet innen forebyggende sikkerhet i henhold til sikkerhetsloven.