Retlig ramme og betydning for leverandører
Virksomheder, der ønsker at levere produkter eller ydelser til forsvarsmyndigheder, skal kunne dokumentere, at deres it-systemer er akkrediteret til at behandle klassificerede oplysninger. Ordningen er forankret i Justitsministeriets sikkerhedscirkulære, som fastlægger klassifikationsniveauer og processuelle krav til godkendelse af både personer og systemer. Cirkulæret er en intern statslig forskrift, men i praksis bliver leverandører omfattet, når deres løsninger indgår i myndigheders behandling af klassificeret information. Link til cirkulæret findes på Retsinformation.
Sikkerhedscirkulæret opererer med fire klassifikationsniveauer og særskilte godkendelseskrav. Elektronisk behandling på niveauet YDERST HEMMELIGT kræver i hvert enkelt tilfælde en særlig tilladelse fra den nationale it-sikkerhedsmyndighed. Alle systemer, der skal håndtere HEMMELIGT eller FORTROLIGT, skal akkrediteres, og der gælder godkendelseskrav for tilkobling af eksterne systemer samt for ibrugtagning af nye softwareversioner. Klassifikationsregimet står selvstændigt i forhold til straffelovens generelle fortrolighedsbegreb i straffelov § 152.
Myndighedsrollen er delt: Politiets Efterretningstjeneste er national sikkerhedsmyndighed, mens Forsvarets Efterretningstjeneste varetager funktionen på Forsvarsministeriets område og også er national it-sikkerhedsmyndighed uden for Justitsministeriet. Det betyder, at FE typisk akkrediterer systemer, der anvendes hos eller for forsvarsmyndigheder.
Til forståelse af kravbilledet indgår internationale standarder. Common Criteria anvendes som reference for funktionelle sikkerhedskrav og sikringskrav og kan indgå i den danske vurdering, hvor det er relevant. CC hjælper med at dokumentere, at sikkerhedsforanstaltninger både virker og er korrekt implementeret.
Klassifikationsniveauer og krav til systemer
Myndighedernes beskyttelsesniveauer styrer, hvilke tekniske og organisatoriske foranstaltninger leverandørers systemer skal opfylde. Kravene spænder fra styrket adgangskontrol og logning til konfigurationsstyring, ændringshåndtering og validerede processer for softwareopdateringer. Integrationer, fjernadgang og dataudveksling udløser særskilt godkendelse, fordi de øger angrebsfladen.
De fire niveauer kan sammenfattes således:
- YDERST HEMMELIGT: Uautoriseret videregivelse kan forvolde overordentlig alvorlig skade.
- HEMMELIGT: Uautoriseret videregivelse kan forvolde alvorlig skade.
- FORTROLIGT: Uautoriseret videregivelse kan forvolde skade.
- TIL TJENESTEBRUG: Oplysninger må ikke offentliggøres eller komme til uvedkommendes kendskab.
Praktisk indebærer det, at arkitektur, segmentering, kryptering, nøglehåndtering, driftsprocedurer og leverandørstyring skal dokumenteres på et niveau, som myndigheden accepterer. Nye softwareversioner til brug i godkendte systemer må først tages i drift efter forudgående godkendelse.
Sagsbehandlingstiderne har historisk været lange som følge af et stort sagspres og høje beviskrav. Der er afsat ekstra midler til at nedbringe ventetider på sikkerhedsgodkendelser og akkrediteringer i forsvarssektoren, men leverandører bør fortsat kalkulere med betydelige lead times i deres tilbuds- og leveranceplaner.
Proces og praktiske skridt
Akkreditering er en dokumenttung og iterativ proces, hvor myndigheden skal kunne efterprøve design, implementering og drift. Leverandører bør etablere en styringsmodel, der dækker risikovurdering, kontrolkatalog, konfigurationsstyring, sårbarhedshåndtering og logisk såvel som fysisk sikkerhed. Forbindelser til tredjepartsleverandører og underleverandører skal være kontraktuelt reguleret og teknisk kontrolleret.
En typisk myndighedsproces kan struktureres således:
- Forhåndsvurdering: Afklaring af klassifikationsniveau, datatyper, arkitektur og dokumentationskrav.
- Detaljeret evaluering: Gennemgang på stedet, tekniske tests og verifikation af styrings- og driftskontroller.
- Verifikation og afhjælpning: Lukning af fund, opdaterede beviser og eventuelle supplerende kontroller.
- Afgørelse og fornyelse: Tildeling af akkreditering med løbende opfølgning og periodisk fornyelse.
For projekt- og kontraktstyring betyder kravene, at udbudsmateriale, leveranceplan og milepæle bør indarbejde akkrediteringsforløbet fra dag ét. Det kan være nødvendigt med forbehold for myndighedsgodkendelser, samt at etablere en ændringsproces for softwareopdateringer. Tidlig dialog med den relevante sikkerhedsmyndighed og en realistisk tidsplan reducerer risiko for forsinkelser og misligholdelseskrav.
Endelig bør virksomheder sikre, at medarbejdere med adgang til klassificeret materiale er personligt sikkerhedsgodkendt i rette grad, og at interne politikker og træning afspejler klassifikationsregimet. Det samspil mellem personale- og systemkrav er afgørende for en robust compliance-profil.
Læs mere om klassifikationsreglerne i Justitsministeriets sikkerhedscirkulære på Retsinformation: https://www.retsinformation.dk/eli/retsinfo/2014/10338.
