Innspill til forslag til forskrift til digitalsikkerhetsloven (digitalsikkerhetsforskriften)
Standard Norge ber departementet vurdere hvordan standarder innen ledelsessystem for IT og risikohåndtering kan hjelpe virksomheter i å nå målsettingene og krav gitt i digitalsikkerhetsforskriften. Vi ber også departementet vurdere hvordan internasjonale standarder kan være et supplerende virkemiddel til forskriften.
Les hele innspillet her: Standard Norges innspill til forslag til digitalsikkerhetsforskriften
Utdrag fra høringsinnspillet
Det er utarbeidet en rekke standarder som kan hjelpe virksomheter til å etablere ledelsessystemer for informasjonssikkerhet og risikohåndtering. Standardene gjør det mulig å dokumentere/revidere at virksomhetenes ledelsessystemer er etablert og fungerer etter hensikten. Standard Norge har opprettet flere komiteer med oppgave å utarbeide norske standarder samt delta med eksperter i arbeidet med utarbeidelse og revidering av europeiske (CEN) og internasjonale (ISO) standarder. Komiteene er sammensatt med medlemmer berørte virksomheter og myndigheter.
Nedenfor beskrives noe av det arbeidet som pågår:
Ledelsessystem for IT-sikkerhet - SN/K 171 Informasjonssikkerhet, cybersikkerhet og personvern
Etablering og implementering av et ledelsessystem for informasjonssikkerhet i en organisasjon påvirkes av organisasjonens behov og mål, sikkerhetskrav, de organisatoriske prosessene som benyttes, samt størrelsen og strukturen på organisasjonen. Alle disse påvirkende faktorene forventes å endre seg over tid. Standardene i ISO/IEC 27000-serien har til hensikt å sikre virksomheters informasjon og å ha et system for dette. Flere av standardene i ISO/IEC 27000-serien er oversatt til norsk.
Risikovurdering og håndtering – Standardiseringskomité SN/K 239 Risiko
ISO 31000-serien er en ledelsesstandard, som stiller krav til hvordan en organisasjon innarbeider systematikk og struktur for å håndtere risiko. Risiko i denne sammenheng er alle mulige typer risiko, og i standarden stilles det krav til hvordan organisasjonen innarbeider forståelse og bevissthet om risiko på alle nivåer. Det anbefales at risikostyring er en del av organisasjonens struktur, prosesser, mål, strategi og aktiviteter.
Sendt til Justis- og beredskapsdepartementet 9. desember 2024.