Fréttatilkynning vegna samþykktar laga um breytingar á varnarmálalögum

Flutningur CERT-IS frá Fjarskiptastofu til utanríkisráðuneytis

Alþingi hefur nú samþykkt breytingu á varnarmálalögum sem felur í sér að netöryggissveitin CERT-IS verði flutt frá Fjarskiptastofu til utanríkisráðuneytisins. Lögin munu taka gildi á næstu dögum.

Fjarskiptastofa er það stjórnvald hérlendis sem hefur farið með stjórnsýslu og framkvæmd netöryggismála m.a. í samræmi við lög nr. 78/2019, um net- og upplýsingaöryggi mikilvægra innviða og lög um Fjarskiptastofu nr. 75/2021. Innan stofnunarinnar fór starf tengt netöryggi aðallega fram í tveimur nokkuð jafnstórum einingum; hjá netöryggissveitinni CERT-IS og hjá stafrænu öryggi. Stafrænt öryggi fer jafnframt með hlutverk samhæfingarstjórnvalds hérlendis skv. lögum nr. 78/2019 og gegnir ráðgjafandi samhæfingarhlutverki gagnvart eftirlitsaðilum sem koma að því að framfylgja netöryggisregluverkinu hérlendis ásamt því að vera tengiliður stjórnvalda hér á landi (e. single point of contact) vegna netöryggismála skv. tilskipun (ESB) 2016/1148 (NIS1).

Innviðaráðuneytið fer eftir sem áður með málefni netöryggis samkvæmt forsetaúrskurði.

Eftir flutninginn verða málefni netöryggis því tvískipt.

Ástandsvitund (m.a. ógnarmat) og atvikameðhöndlun mun fara fram hjá CERT-IS hjá utanríkisráðuneytinu. Netöryggissveitin starfrækir sviðshópa netöryggis með öllum geirum tilgreindra mikilvægra innviða. Einnig sinnir CERT-IS alþjóðlegu samstarfi er varðar verksvið sveitarinnar, bæði hjá borgaralegum aðilum sem og varnarmálatengdum aðilum, þ.m.t. NATO. Auk þess mun netöryggissveitin sinna tilteknum verkefnum er lúta að netöryggi og varnarmálum.

Öll önnur mál er varða netöryggi verða áfram hjá Fjarskiptastofu eða öðrum þeim eftirlitsstjórnvöldum sem fara með slíkt hlutverk samkvæmt ofangreindum lögum um netöryggi.

Í verkefnum stafræns öryggis hjá Fjarskiptastofu felst áfram m.a. áhættumiðað og fyrirbyggjandi eftirlit með stjórnkerfi net- og upplýsingaöryggis hjá tilgreindum mikilvægum innviðum á sviðum fjarskipta, hjá veitendum stafrænnar þjónustu og hjá stafrænum grunnvirkjum. Þá framkvæmir sviðið almenn og sértæk áhættumöt á sviði netöryggis, framkvæmir getumat aðila, prófanir á netvörnum aðila, skoðanir atvika og gefur fyrirmæli um úrbætur. Þá leiðir sviðið samstarf eftirlitsstjórnvalda á þessu sviði, tekur þátt í evrópsku samstarfi á sviði stefnumótunar netöryggis, og nefndastarfi NATO á sviði áfallaþols fjarskiptaþjónustu og -neta. 

Fjarskiptastofa telur mikilvægt að þetta starf stafræns öryggis á sviði netöryggismála sé skýrt og sýnilegt og breytir því nafni skipulagseiningarinnar í netöryggissvið Fjarskiptastofu. Þess má geta að auk netöryggis sinnir sviðið einnig eftirliti með traustþjónustum og er samhæfingaraðili Eyvarar, hæfnisseturs Íslands á sviði netöryggis.

Mikilvægt er að árétta að mikilvægum innviðum er skylt að tilkynna um alvarleg atvik og áhættu til  netöryggissveitarinnar CERT-IS sem áfram er skylt að áframsenda tilkynningarnar til hlutaðeigandi eftirlitsstjórnvalds. Hins vegar kveða nýsamþykkt lög á um þá skyldu CERT-IS að áframsenda allar tilkynningar um alvarleg atvik og áhættu einnig til Fjarskiptastofu. Þá verður sú breyting á að fjarskiptafyrirtækjum er nú skylt að tilkynna um alvarleg öryggisatvik til hvort tveggja til CERT-IS sem og Fjarskiptastofu. Varði öryggisatvik leynd upplýsinga á fjarskiptanetum skal senda tilkynningu til Fjarskiptastofu.

Fjarskiptastofa vill við þessi tímamót þakka starfsfólki netöryggissveitarinnar CERT-IS fyrir öflugt og gott uppbyggingarstarf netöryggis undanfarin ár og fyrir gott og farsælt samstarf. Enn fremur óskar stofnunin utanríkisráðuneytinu og netöryggissveitinni CERT-IS velfarnaðar í störfum sínum varðandi netöryggi í framtíðinni.