Vil statsråden kartlegge hvilke data i norsk offentlig sektor som i dag ligger hos leverandører underlagt US CLOUD Act, herunder hvem som forvalter krypteringsnøklene til disse tjenestene, og legge kartleggingen fram for Stortinget?

Vil statsråden kartlegge hvilke data i norsk offentlig sektor som i dag ligger hos leverandører underlagt US CLOUD Act, herunder hvem som forvalter krypteringsnøklene til disse tjenestene, og legge kartleggingen fram for Stortinget?

Statens egen veiledning, Markedsplassen for skytjenester på anskaffelser.no, sist oppdatert 22. januar 2025, slår fast at amerikanske leverandører av skytjenester har en plikt under US CLOUD Act til å utlevere opplysninger i noen tilfeller, og at dette også vil gjelde data som er lagret i Norge. Veiledningen presiserer at leverandørene kan protestere eller gå til domstolene, men at utleveringsplikten består.
Nasjonal sikkerhetsmyndighet skriver i Risiko 2026 at geopolitiske konflikter i ytterste konsekvens kan gjøre det vanskelig eller umulig å bruke tjenester levert av utenlandske aktører.
Saken om Felles IAM i kunnskapssektoren viser hvorfor dette ikke er et teoretisk spørsmål. Sikt opplyser i Khrono 19. september at leverandøren i dagens modell eier driftsmiljøet og forvalter krypteringsnøklene til databasedelen av en tjeneste som styrer tilganger for om lag 250 000 studenter og ansatte. Sikt ber selv om at spørsmålet løftes prinsipielt, på tvers av sektorer.
Digitaliserings og forvaltningsdepartementet har ansvaret for statens skypolitikk, for anskaffelsesregelverket og for Markedsplassen for skytjenester. Departementet har også ansvaret for statens arbeidsgiverpolitikk. Identitets og tilgangsdata om statsansatte hører inn under begge ansvarsområder. Stortinget har i dag ingen samlet oversikt over hvilke offentlige data som ligger under utenlandsk jurisdiksjon, eller over hvem som forvalter nøklene til dem. Et forslag om en slik kartlegging ble nedstemt i mai. Spørsmålsstilleren mener saken i kunnskapssektoren gir ny foranledning til å be om oversikten.

Alle statlige virksomheter som digitaliserer, skal følge kravene i Digitaliseringsrundskrivet. Når det gjelder skytjenester sier rundskrivet: Virksomheter som etablerer nye eller oppgraderer eksisterende fagsystemer eller digitale tjenester, eller endrer eller fornyer avtaler knyttet til drift, skal vurdere skytjenester på linje med andre løsninger.
Samtidig sier rundskrivet at virksomhetene må gjennomføre risikovurderinger på grunnlag av klassifiseringen av verdien av egne data og systemer, og egne krav til informasjonssikkerhet.
Alle offentlige virksomheter som i dag benytter skytjenester som teoretisk kan være underlagt amerikansk jurisdiksjon, herunder CLOUD Act, skal derfor ha gjennomført slike vurderinger. Noen velger etter en risikovurdering å ha hybride løsninger, hvor de lagrer noen typer mer sensitive data lokalt og andre typer data i skyen.
Det er en kjensgjerning at en stor andel av norske offentlige virksomheter benytter amerikanske skytjenester. Jeg legger til grunn at de har vurdert risiko ved bruk av tjenestene og funnet den akseptabel. Jeg ser derfor ikke behovet for en slik kartlegging som representanten etterspør, på det nåværende tidspunktet. Å gjennomføre en slik kartlegging, og ikke minst å holde den oppdatert, ville være svært tid- og ressurskrevende.
Jeg vil understreke at globale skytjenester, ofte levert fra selskaper med tilhold i USA, har en rekke fordeler knyttet til skalerbarhet, oppetid, døgnkontinuerlig overvåkning av sikkerhets- og cybertrusler m.m.
Avhengigheten til skytjenester fra enkelte leverandører kan imidlertid bli for stor, samlet sett.
Blant annet derfor vil jeg revidere den nasjonale skypolitikken, som en del av oppfølgingen av regjeringens arbeid med økt digitalt handlingsrom. I dette arbeidet vil spørsmål om risikovurderinger knyttet til mulige krav om utlevering av data til andre jurisdiksjoner enn den norske vil bli vurdert.
Jeg har også nylig varslet at regjeringen vil legge frem en egen stortingsmelding om digital suverenitet og verdiskaping, i lys av at den geopolitiske situasjonen har endret seg, og teknologi har blitt en tydeligere maktfaktor.
Representanten viser i sitt spørsmål til amerikanske CLOUD Act. Bakgrunnen for CLOUD Act er ønsket om utlevering av data i etterforskningen av alvorlig kriminalitet, herunder terrorisme, cyberkriminalitet, seksuelle overgrep mot barn med videre. Det er riktig at data underlagt CLOUD Act i prinsippet kan kreves utlevert av amerikanske myndigheter, forutsatt at de har en rettslig kjennelse på dette. En slik rettslig kjennelse kan også utfordres av selskapet, for eksempel dersom den vurderes å være i strid med loven i landet der dataene oppbevares.
Også data som er under norsk kontroll (norsk jurisdiksjon), kan i en eller annen grad alltid være eksponert for lovgivning som kan gi opphav til utlevering av disse til andre lands myndigheter, f.eks. som følge av politisamarbeid. Dette gjelder ikke bare leverandører som er underlagt amerikansk lovgivning som CLOUD Act, men også flere andre lands leverandører som er underlagt lignende lovgivning, eksempelvis Sverige, Tyskland eller Frankrike. Dette er forhold som virksomhetene må ta inn i sin risikovurdering av skytjenestene de ønsker å benytte.
Krypteringsnøklene som benyttes i skytjenester vil oftest forvaltes av leverandøren av skytjenesten. Dersom virksomheten selv ønsker å forvalte krypteringsnøklene vil det kunne by på utfordringer, f.eks. skulle noen som er ansvarlig for krypteringsnøklene i virksomheten tape disse, vil dataene i skyen bli permanent utilgjengelige for virksomheten selv. Derfor må også håndtering av krypteringsnøkler være gjenstand for risikovurdering, der risiko for å miste eller bli frastjålet nøklene må veies opp mot risikoen for at leverandøren vil utlevere data som man ikke ønsker utlevert etter CLOUD Act eller andre regelverk.
Jeg er kjent med at Direktoratet for forvaltning og økonomistyring (DFØ) ved Markedsplassen for skytjenester har iverksatt arbeidet med rammeavtaler om tjenester som gjør det mulig å forvalte krypteringsnøklene til bruk i skytjenester selv. Avtalene vil trolig være klare til bruk i 2027. Dette kan være til nytte for virksomheter som ønsker å forvalte krypteringsnøklene til skytjenester selv.