Úrskurðarnefnd ógildir að hluta ákvörðun Fjarskiptastofu nr. 2/2024

Með úrskurði úrskurðarnefndar fjarskipta- og póstmála (ÚFP) í máli nr. 1/2024 þá voru þrjú af níu ákvörðunarorðum ákvörðunar Fjarskiptastofu (FST) nr. 2/2024 ógild.   

Ákvörðun nr. 1/2024 varðaði öryggisatviki sem kom upp í farsíma- og farnetsþjónustu Símans hf. og á hluta fastlínukerfa félagsins í október 2021. Öryggisatvikið átti sér stað við framkvæmd uppfærslu á fjarskiptanetum Símans hf. og hafði í för með sér að útfall og truflun á þjónustu til allt að 150.000 notenda Símans hf. í yfir 30 mínútur.  

Samkvæmt ákvörðuninni voru töluverðir annmarkar í öryggisskipulagi Símans hf. að því er snertir öryggisatvikið. Lýstu þessir annmarkar sér í því að áætlað var að vinna að uppfærslum í fjarskiptaneti félagsins yfir 14 vikna tímabil án þess að viðhaft væri verklag sem samræmist að öllu leyti kröfum laganna um stjórnskipulag net- og upplýsingaöryggis. 

Samkvæmt ákvörðuninni fólu þessir annmarkar í sér að umrædd breyting á fjarskiptanetum Símans hf. var ekki áhættumetin með fullnægjandi hætti. Þjónustusamningur við birgi og þjónustuaðila Símans hf. er framkvæmdi breytinguna var ekki í samræmi við reglur. Breytingarbeiðnin er lá til grundvallar breytingunni var takmörkuð og óljós og verkferlar Símans hf. sem fjölluðu um breytingar voru ófullnægjandi. Aðgangur þess starfsmanns birgis og þjónustuveitanda Símans hf. sem var að vinna að umræddum breytingum var ekki takmarkaður við þær upplýsingar sem honum var nauðsynlegt til að hann gæti sinnt starfi sínu. Síminn hf. fór ekki eftir sínum eigin verklagsreglum við framkvæmd umræddra breytinga. Ekki var til staðar nægur varabúnaður og önnur úrræði þegar öryggisatvikið átti sér stað til að viðhalda samfelldum rekstri. Neyðaráætlun Símans hf. var ófullnægjandi og hafði ekki verið prófuð reglulega til að tryggja virkni hennar. Svo var ekki til staðar fullnægjandi innra eftirlit, m.a. til að tryggja virkni neyðaráætlunar. 

Með úrskurði ÚFP nr. 2/2024 voru ákvörðunarorð nr. 2, 4 og 6 felld úr gildi. En ekki var fallist á það með FST að þegar umrædd breyting átti sér stað hafi þjónustusamningur Símans hf. við birgi og þjónustuaðila ekki verið í samræmi við þær kröfur sem leiða af 1., 3., og 5. tl.13. gr. reglna nr. 1221/2007, sbr. 47. gr. þágildandi fjarskiptalaga nr. 81/2003. Ekki var heldur fallist á það þegar breytingarnar voru framkvæmdar hafi aðgangur þess starfsmanns sem var að vinna að þeim ekki verið takmarkaður við þær upplýsingar sem honum var nauðsynlegt til að hann gæti sinnt starfi sínu í ósamræmi við kröfur 6. tl. 12. gr. reglna nr. 1221/2007, sbr. 47. gr. þágildandi fjarskiptalaga nr. 81/2003. Svo var að lokum ekki fallist á það að þegar breytingarnar áttu sér stað hafi ekki verið nægur varabúnaður og önnur úrræði til að viðhalda samfelldum rekstri í ósamræmi við kröfur 2. mgr. 20. gr. reglna nr. 1222/2007, sbr. 47. gr. þágildandi fjarskiptalaga nr. 81/2003.    

Úrskurðurinn (pdf)