Aðrar útgáfur af skjalinu: PDF Word Perfect.

Þingskjal 1530, 140. löggjafarþing 362. mál: fjarskipti og Póst- og fjarskiptastofnun (gjaldtaka).
Lög nr. 62 25. júní 2012.

---

Lög um breytingu á lögum um fjarskipti og lögum um Póst- og fjarskiptastofnun (netöryggissveit, rekstrargjald o.fl.).

I. KAFLI Breyting á lögum um fjarskipti, nr. 81/2003, með síðari breytingum.

1. gr.

     6. og 7. mgr. 2. gr. laganna orðast svo:
     Ráðherra er heimilt að setja á stofn fagráð með fulltrúum Póst- og fjarskiptastofnunar, hagsmunaaðila og annarra aðila í þeim tilgangi að vera vettvangur samráðs og upplýsinga skipta á sviði fjarskipta.
     Ráðherra er heimilt að setja reglugerð um starfsemi fagráðs á sviði fjarskipta.

2. gr.

     Eftirfarandi orðskýringar bætast við 3. gr. laganna í viðeigandi stafrófsröð:

1. Netöryggissveit Póst- og fjarskiptastofnunar eða netöryggissveitin: Öryggis- og viðbragðshópur sem starfar á vegum Póst- og fjarskiptastofnunar til verndar ómissandi upplýsingainnviðum gegn netárásum.
   
2. Net- og upplýsingaöryggi: Hæfni fjarskiptaneta til að tryggja að ákveðin fyrir fram skilgreind öryggismörk standist þegar ógnir steðja að eða ef veilur myndast, t.d. vegna mannlegra mistaka eða skemmdarverka, sem stofna í hættu leynd, réttleika og tiltækileika upplýsinga í fjarskiptanetum. Það getur auk þess falið í sér aðra eiginleika, svo sem ósvikni, ábyrgni, óhrekjanleika og áreiðanleika.
   
3. Netumdæmi: Sjálfstæð eða eftir atvikum samtengd fjarskipta- og/eða upplýsingakerfi á vegum þjónustuhópsins, þ.m.t. rekstraraðila ómissandi upplýsingainnviða, sem hafa gert þjónustusamning við netöryggissveitina um ráðgjöf, aðstoð og viðbúnað til að verjast mögulegum netárásum á kerfin sem gerðar eru í þeim tilgangi að gera þau óvirk, valda skemmdum á þeim eða til öflunar ólögmæts fjárhagslegs ávinnings, svo sem með þjófnaði á gögnum eða peningum.
   
4. Þjónustuhópur netöryggissveitarinnar eða þjónustuhópurinn: Hópurinn samanstendur annars vegar af fjarskiptafyrirtækjum sem reka almenn fjarskiptanet og/eða veita aðgang að internetinu og internetþjónustu og hins vegar rekstraraðilum ómissandi upplýsingainnviða sem samkvæmt sérstökum þjónustusamningi við netöryggissveitina gerast meðlimir þjónustuhópsins. Viðeigandi net þjónustuhópsins mynda svonefnt netumdæmi og öryggisatvik innan þess njóta forgangs til þeirrar þjónustu sem netöryggissveitin veitir.
   
5. Ómissandi upplýsingainnviðir: Upplýsingakerfi þeirra mikilvægu samfélagslegu innviða sem tryggja eiga þjóðaröryggi, almannaheill og margs konar öflun aðfanga í þróuðu og tæknivæddu þjóðfélagi. Um er að ræða þann tækja- og hugbúnað sem nauðsynlegur er til reksturs og virkni kerfisins og þær upplýsingar sem þar eru hýstar eða um kerfið fara. Ríkislögreglustjóri skilgreinir ómissandi upplýsingainnviði.
   
6. Öryggisatburður: Það að upp kemur staða kerfis, þjónustu eða nets sem gefur til kynna hugsanlegt brot gegn öryggisstefnu eða bilun í öryggisráðstöfun, eða þá áður óþekkt staða sem getur skipt máli fyrir öryggi.
   
7. Öryggisatvik: Atvik sem er gefið til kynna með einum eða fleiri óæskilegum eða óvæntum öryggisatburðum sem talsverðar líkur eru á að stofni rekstrarþáttum í hættu og ógni upplýsingaöryggi.
   
8. Nafnlaus rauntímagögn: Tölulegar upplýsingar og kóðar sem bjóða upp á rekjanleika fjarskiptaumferðar í IP-fjarskiptanetum.
   

3. gr.

     E-liður 2. mgr. 6. gr. laganna fellur brott.

4. gr.

     Á eftir 1. mgr. 15. gr. laganna kemur ný málsgrein, svohljóðandi:
     Póst- og fjarskiptastofnun hefur eftirlit með sameiginlegum númeragrunni til uppflettingar á númerum og framkvæmdar á númeraflutningum. Högun númeragrunnsins, svo sem skráningar á kóðum og merkingar á númeraröðum, uppflettingar- og miðlunarmöguleikar og gerð sameiginlegra verkferla um númeraflutninga, er háð samþykki Póst- og fjarskiptastofnunar.

5. gr.

     Eftirfarandi breytingar verða á 23. gr. laganna:

1. Í stað orðanna „Póst- og fjarskiptastofnun“ í 1. mgr. kemur: fjarskiptasjóði.
   
2. Á eftir orðunum „að jafnaði greiddur“ í 2. mgr. kemur: úr fjarskiptasjóði eða eftir atvikum.
   

6. gr.

     Við 36. gr. laganna bætast þrjár nýjar málsgreinar, svohljóðandi:
     Fjarskiptafyrirtækjum er heimilt þar sem strjálbýli er og vegalengdir miklar að óska eftir samnýtingu við jarðvegsframkvæmdir veitufyrirtækja til að koma fyrir fjarskiptavirkjum samhliða slíkum framkvæmdum þannig að kostnaðarhlutdeild vegna fjarskiptahlutans sé einungis reiknuð sem viðbótarkostnaður við heildarkostnað framkvæmdanna. Veitufyrirtæki, þ.m.t. fyrirtæki sem fellur undir 1. og 2. mgr., sem með jarðvegsframkvæmdum býr til aðstöðu fyrir vatns- og/eða raflagnir er heimilt að verða við slíkum beiðnum, enda skuli gætt að því að samkeppnisrekstur sé ekki niðurgreiddur af einkaleyfisstarfseminni eða verndaðri starfsemi.
     Kostnaðarskipting skv. 3. mgr. er háð því skilyrði að fjarskiptafyrirtækjum bjóðist opinn heildsöluaðgangur að fjarskiptavirkjum sem þannig eru byggð. Gjald fyrir aðganginn skal reikna út frá kostnaði að viðbættri hæfilegri álagningu. Tilkynna skal fyrirhugaða framkvæmd með hæfilegum fyrirvara, að lágmarki tveimur mánuðum, og skal netrekendum almennra fjarskiptaneta gefinn kostur á því að koma fyrir sínum eigin fjarskiptavirkjum á sömu kjörum ef það er tæknilega mögulegt.
     Verði ágreiningur um hvernig skuli reikna kostnaðarhlutdeild fjarskiptahlutans sem viðbótarkostnað af heildarkostnaði framkvæmda eða um gjald fyrir heildsöluaðgang skv. 3. og 4. mgr. sker Póst- og fjarskiptastofnun úr um hann.

7. gr.

     Eftirfarandi breytingar verða á 47. gr. laganna:

1. Við 10. mgr. bætist nýr málsliður, svohljóðandi: Fjarskiptafyrirtæki skulu setja sér verklagsreglur um viðbrögð við beiðnum um aðgang lögreglu að persónuupplýsingum notenda.
   
2. Við 11. mgr. bætast sex nýir málsliðir, svohljóðandi: Þagnarskyldan helst þótt látið sé af starfi. Fjarskiptafyrirtæki skal óska eftir öryggisvottun lögreglu vegna þeirra starfsmanna fjarskiptafyrirtækis er annast tengingar á símhlustun fyrir lögreglu. Lögreglu er í því sambandi heimilt, að fengnu skriflegu samþykki viðkomandi einstaklings, að afla upplýsinga um bakgrunn og sakaferil viðkomandi starfsmanns fjarskiptafyrirtækis, svo sem úr skrám lögreglu, sakaskrá eða öðrum opinberum skrám. Áður en lögregla lýkur athugun sinni skal þeim sem athugun beinist að gert kleift að koma sjónarmiðum sínum að. Hann á jafnframt rétt á rökstuðningi ákvarði lögregla að synja honum um öryggisvottun. Ákvörðun lögreglu um synjun öryggisvottunar sætir kæru til ráðherra samkvæmt ákvæðum stjórnsýslulaga.
   
3. Við bætist ný málsgrein, svohljóðandi:
   
     Ráðherra getur sett reglugerð um skyldur fjarskiptafyrirtækja varðandi varðveislu upplýsinga og aðgang lögreglu að fjarskiptasendingum og upplýsingum samkvæmt þessari grein.

8. gr.

     Á eftir 47. gr. laganna kemur ný grein, 47. gr. a, ásamt fyrirsögn, svohljóðandi:
Öryggis- og viðbragðshópur til verndar ómissandi upplýsingainnviðum.      Póst- og fjarskiptastofnun skal starfrækja netöryggissveit sem gegna skal hlutverki öryggis- og viðbragðshóps til verndar ómissandi upplýsingainnviðum gegn netárásum. Netöryggissveitin skal gegna hlutverki CERT-teymis fyrir Ísland og skal hún taka þátt í og gegna hlutverki tengiliðar íslenskra stjórnvalda í innlendu og alþjóðlegu samstarfi um viðbragðsvarnir vegna net- og upplýsingaöryggis. Markmiðið með starfsemi netöryggissveitarinnar er að fyrirbyggja og draga úr hættu á netárásum og öðrum öryggisatvikum á netumdæmi eins og kostur er og sporna við og lágmarka tjón á ómissandi upplýsingainnviðum sem af slíku kann að hljótast.
     Netöryggissveitin skal leitast við að greina öryggisatvik á frumstigi og fyrirbyggja að þau breiðist út og valdi tjóni á ómissandi upplýsingainnviðum sem falla undir netumdæmi hópsins. Skal netöryggissveitin aðstoða þjónustuhópinn við forvarnir, leiðbeina honum og styðja við skjót viðbrögð gegn aðsteðjandi hættu. Við útbreitt öryggisatvik samhæfir netöryggissveitin aðgerðir aðila þjónustuhópsins gegn aðsteðjandi hættu til að lágmarka tjón og reisa við óvirk kerfi. Netöryggissveitin veitir þjónustuhópnum ráðgjöf um varnir og viðbúnað og kemur upplýsingum á framfæri við almenning ef þurfa þykir.
     Netöryggissveitinni er heimilt að óska eftir nafnlausum rauntímagögnum frá fjarskiptafyrirtækjum um magn umferðar á internetinu, þ.m.t. í samtengipunktum milli fjarskiptafyrirtækjanna og í útlandagáttum. Leiki grunur á um stórfellda netárás er netöryggissveitinni heimilt að skima stýrigögn fjarskiptapakka sem tengjast hugsanlegum öryggisógnum með tilliti til nánari upplýsinga um uppruna, áfangastað og tæknilega eiginleika. Eingöngu má nota gögn sem þannig er aflað í þeim tilgangi að koma í veg fyrir eða draga úr tjóni öryggisatvika. Óheimilt er að persónugreina upplýsingar sem aflað er samkvæmt þessari grein og skal þeim eytt eins fljótt og auðið er en þó eigi síðar en sex mánuðum frá því að þeirra var aflað. Fjarskiptafyrirtækjum er skylt að hýsa og samtengjast eftirlitsbúnaði netöryggissveitarinnar endurgjaldslaust.
     Sé rökstuddur grunur um að einstakar sendingar innihaldi spillikóta er netöryggissveitinni heimilt, með samþykki rekstraraðila einstakra ómissandi upplýsingainnviða, að greina efni einstakra fjarskiptasendinga til og frá viðkomandi neti. Þessi heimild tekur þó ekki til skoðunar sendingar í almennum fjarskiptanetum fjarskiptafyrirtækja. Tilkynna skal sendanda og móttakanda sendingarinnar um að hún verði skoðuð og gefa þeim tækifæri á því að vera viðstaddir skoðunina ef það er mögulegt. Að öðru leyti skal netöryggissveitin starfa í samræmi við skilyrði sem Persónuvernd kann að setja fyrir vinnslunni.
     Netöryggissveitinni er heimilt að tilkynna til ríkislögreglustjóra um meiri háttar netárásir gegn netumdæminu og um alvarleg eða útbreidd öryggisatvik sem valdið hafa tjóni eða hættu á tjóni á ómissandi upplýsingainnviðum, í þeim tilvikum þar sem þjóðaröryggi og almannaheill er í húfi. Að beiðni ríkislögreglustjóra skal netöryggissveitin viðhafa samstarf um varnir og viðbrögð.
     Ráðherra setur, að fenginni umsögn frá Persónuvernd, nánari fyrirmæli um starfsemi netöryggissveitarinnar í reglugerð sem skal m.a. fjalla um:

1. hlutverk, skipulag og verkefni netöryggissveitarinnar,
   
2. samræmingu á samstarfi innan þjónustuhópsins og miðlun upplýsinga innan hans,
   
3. skipun og hæfi starfsmanna netöryggissveitarinnar, þ.m.t. um öryggisvottun starfsmanna,
   
4. miðlun upplýsinga til erlendra samstarfsaðila og viðeigandi öryggisráðstafanir þar að lútandi,
   
5. framkvæmd eftirlits um vélræna skimun fjarskiptaumferðar,
   
6. verklag við skoðun efnis fjarskiptasendinga með samþykki ábyrgðaraðila,
   
7. ráðstafanir til að tryggja öryggi og eyðingu gagna og aðrar ráðstafanir til að tryggja friðhelgi einkalífs,
   
8. tilkynningarskyldu fjarskiptafyrirtækja og annarra hagsmunaaðila um öryggisatvik,
   
9. prófanir og úttektir á net- og upplýsingaöryggi og viðnámsþrótti upplýsingakerfa sem netöryggissveitin getur ráðist í,
   
10. efni þjónustusamninga sem netöryggissveitin gerir við rekstraraðila ómissandi upplýsingainnviða,
    
11. skýrslugjöf um starfsemi netöryggissveitarinnar.
    

9. gr.

     Við 61. gr. laganna bætist ný málsgrein, svohljóðandi:
     Óheimilt er að framleiða og markaðssetja búnað eða hugbúnað sem er hannaður eða aðlagaður til að sniðganga réttindi þjónustuveitanda sem veitir þjónustu um skilyrt aðgangskerfi.

II. KAFLI Breyting á lögum um Póst- og fjarskiptastofnun, nr. 69/2003, með síðari breytingum.

10. gr.

     Í stað „0,30%“ og „0,25%“ í 1. málsl. 4. mgr. 14. gr. laganna kemur: 0,38%; og: 0,34%.

III. KAFLI Gildistaka.

11. gr.

     Lög þessi öðlast þegar gildi.

Samþykkt á Alþingi 12. júní 2012.