Forskrift

eForvaltningsforskriften

Forskrift om elektronisk kommunikasjon med og i forvaltningen (eForvaltningsforskriften)

39 bestemmelser
Sist endret 2022-12-20

Innhold39 bestemmelser

§ 1Forskriftens formål og anvendelsesområde
§ 2Begreper
§ 3Bruk av elektronisk kommunikasjon ved henvendelser til et forvaltningsorgan
§ 4Krav til bruk av sikkerhetstjenester og -produkter mv. ved henvendelser til et forvaltningsorgan
§ 5Formidling av taushetsbelagte opplysninger og personopplysninger til forvaltningen
§ 6Bekreftelse på at en henvendelse er mottatt
§ 7Henvendelser som ikke tilfredsstiller aktuelle krav
§ 8Bruk av elektronisk kommunikasjon ved meddelelser fra et forvaltningsorgan, herunder underretning om enkeltvedtak mv.
§ 9Reservasjon
§ 10Bruk av fullmektig i forbindelse med elektronisk kommunikasjon med forvaltningen
§ 11Klage
§ 12Innsyn i opplysninger og dokumenter ved bruk av elektronisk kommunikasjon
§ 13Høring
§ 14Forvaltningsorganets adgang til å nekte bruk av elektronisk kommunikasjon
§ 15Internkontroll på informasjonssikkerhetsområdet
§ 16Sertifikat for forvaltningsorgan (virksomhetssertifikat)
§ 17Informasjon om bruk av sikkerhetstjenester mv.
§ 18Innhenting av samtykke ved bruk av elektronisk signatur
§ 19Restriksjoner på bruk av sertifikat mv.
§ 20Forvaltningsansattes bruk av forvaltningsorganets informasjonssystem
§ 21Informasjon
§ 22Krav til oppbevaring og bruk av signaturfremstillingsdata, passord/PIN-koder og dekrypteringsnøkkel
§ 23Sikring av signaturfremstillingsdata og dekrypteringsnøkkel ved bruk av virksomhetssertifikat
§ 24Sikkerhetskopiering av dekrypteringsnøkkel mv.
§ 25Varslingsplikt ved tap eller mistanke om misbruk av signaturfremstillingsdata, passord/PIN-koder og dekrypteringsnøkkel
§ 26Mottak av kryptert melding
§ 27Krav til kontroll av sertifikater og tilbaketrekkingslister
§ 28Arkivering av avansert elektronisk signatur mv.
§ 29Bruk av digital kontaktinformasjon og reservasjon
§ 30Behandlingsansvarlig
§ 31Opplysninger i register over digital kontaktinformasjon og reservasjon
§ 32Oppdatering av opplysninger i register over digital kontaktinformasjon og reservasjon
§ 33Kobling med andre registre
§ 34Lagring av opplysninger
§ 35Om forholdet til personopplysningsloven og personopplysningsforskriften
§ 36Koordinerende organ
§ 37Overgangsbestemmelse – kobling mot register over digital kontaktinformasjon og reservasjon – bruk av samtykker og varslingsadresser
§ 38Gjenbruk av personopplysninger i kontaktregisteret tilknyttet ID-porten
§ 39Ikrafttredelse

§ 1

Forskriftens formål og anvendelsesområde

Forskriftens formål er å legge til rette for sikker og effektiv bruk av elektronisk kommunikasjon med og i forvaltningen. Den skal fremme forutsigbarhet og fleksibilitet og legge til rette for samordning av sikre og hensiktsmessige tekniske løsninger. Forskriften skal legge til rette for at enhver på en enkel måte kan utøve sine rettigheter og oppfylle sine plikter overfor det offentlige.

Forskriften gjelder for elektronisk kommunikasjon med forvaltningen og for elektronisk saksbehandling og kommunikasjon i forvaltningen når ikke annet er bestemt i lov eller i medhold av lov.

Denne forskrift gir ikke grunnlag for å gjøre unntak fra de alminnelige reglene om forsvarlig saksbehandling i forvaltningsloven.

§ 2

Begreper

De begreper som er definert i artikkel 3 i forordning (EU) nr. 910/2014 om elektronisk identifikasjon og tillitstjenester for elektroniske transaksjoner i det indre marked og i forvaltningsloven § 2 benyttes på samme måte i forskriften her.

§ 3

Bruk av elektronisk kommunikasjon ved henvendelser til et forvaltningsorgan

Alle som henvender seg til et forvaltningsorgan kan benytte elektronisk kommunikasjon, dersom forvaltningsorganet har lagt til rette for dette, det skjer på den anviste måten og ved bruk av den elektroniske adressen som forvaltningsorganet har anvist for den aktuelle type henvendelse.

Med den anviste måten menes for eksempel bruk av spesielle skjema, bruk av en bestemt prosedyre eller lignende.

Med elektronisk adresse menes for eksempel en adresse til et nettsted, en e-postadresse, et nummer til en SMS-tjeneste eller lignende.

Med elektronisk kommunikasjon menes bruk av for eksempel Internett eller liknende kommunikasjonssystem, bruk av SMS og talestyrte eller andre automatiske telefontjenester. Bruk av taletelefon eller annen muntlig kommunikasjon er ikke omfattet.

Hvis det ikke er anvist noen egen elektronisk adresse, og det heller ikke er stilt noen særskilte krav til fremgangsmåte for den type henvendelse som er aktuell, kan den som vil henvende seg til forvaltningsorganet, bruke forvaltningsorganets generelle elektroniske adresse.

Når det benyttes elektronisk kommunikasjon ved henvendelse til et forvaltningsorgan, skal henvendelsen ikke rettes direkte til en enkeltperson, med mindre forvaltningsorganet har lagt til rette for det, eller det er avtalt i det enkelte tilfelle.

Forvaltningsorganet kan bestemme at henvendelser fra andre forvaltningsorganer kan sendes direkte til enkeltpersoner i forvaltningsorganet.

Forvaltningsorganet bør legge til rette for at elektronisk kommunikasjon med forvaltningsorganet er brukervennlig og tilgjengelig for alle.

Henter Lovsamling …

Rettskildene og arbeidsområdet ditt klargjøres.

Krav til bruk av sikkerhetstjenester og -produkter mv. ved henvendelser til et forvaltningsorgan

Enhver som henvender seg til et forvaltningsorgan ved bruk av elektronisk kommunikasjon i henhold til § 3, kan gjøre det uten bruk av sikkerhetstjenester eller -produkter, med mindre bruk av slike sikkerhetstjenester eller -produkter er nødvendig for å oppfylle krav fastsatt i henhold til annet og tredje ledd nedenfor eller følger av § 5, eller av krav fastsatt i annen lov eller i medhold av lov.

Med sikkerhetstjenester og -produkter menes løsninger for å oppnå bl.a. bekreftelse av partenes identitet eller fullmakter (autentisering), at data ikke utilsiktet eller urettmessig endres (integritet), beskyttelse av informasjon mot innsyn fra uvedkommende (konfidensialitet), og at det er mulig å dokumentere henvendelser og aktiviteter og hvem som har sendt eller utført dem (ikke-benekting), og andre løsninger, i henhold til forvaltningsorganets sikkerhetsstrategi, jf. § 15. Slike løsninger kan for eksempel være basert på bruk av elektronisk signatur og kryptering.

Med elektronisk signatur menes løsninger som definert i forordning (EU) nr. 910/2014 artikkel 3. Med kryptering menes omforming av data slik at de ikke er rekonstruerbare for uvedkommende. Krypterte data skal kunne rekonstrueres ved dekryptering.

Med krypteringsnøkkel og dekrypteringsnøkkel menes data som benyttes for henholdsvis kryptering og dekryptering.

Forvaltningsorganet kan i det enkelte tilfelle be om opplysninger som bekrefter avsenders identitet eller fullmakter, eller stille krav om at bestemte sikkerhetstjenester og -produkter skal tas i bruk, dersom dette er av betydning for håndtering av henvendelsen.

Forvaltningsorganet kan bestemme at krav som nevnt i annet ledd ovenfor skal gjelde generelt for nærmere angitte typer av henvendelser. Kravene skal være basert på forvaltningsorganets sikkerhetsstrategi, jf. § 15.

Forvaltningsorganet skal gjøre tilgjengelig sikkerhetstjenester og -produkter som oppfyller de krav forvaltningsorganet har stilt i henhold til annet og tredje ledd ovenfor eller anvise hvilke løsninger som ellers kan benyttes. Det samme gjelder for sikkerhetstjenester og -produkter som er nødvendig for å oppfylle kravene i § 5.

Bruk av elektronisk kommunikasjon ved meddelelser fra et forvaltningsorgan, herunder underretning om enkeltvedtak mv.

Et forvaltningsorgan kan benytte elektronisk kommunikasjon når det henvender seg til andre.

Innholdet i enkeltvedtaket skal gjøres tilgjengelig i egnet informasjonssystem. Dersom parten ber om det, det ikke er hensiktsmessig å kommunisere digitalt med parten via egnet informasjonssystem, det er forsvarlig og annet regelverk ikke er til hinder for dette, kan vedtaket likevel sendes til en elektronisk adresse parten oppgir.

Forvaltningsorganet skal sørge for at varsel om at enkeltvedtak er fattet blir sendt parten, og om hvor og hvordan vedkommende kan skaffe seg kunnskap om innholdet. For privatpersoner eller enheter som ikke er registrert i Enhetsregisteret, skal den varslingsadresse som er registrert i register over digital kontaktinformasjon og reservasjon benyttes. For enheter som er registrert i Enhetsregisteret skal en oppdatert elektronisk adresse som enheten har oppgitt benyttes for å sende varsel.

Forvaltningsorganet skal forebygge risiko for uberettiget innsyn i enkeltvedtak på en tilfredsstillende måte.

Informasjonssystemet skal registrere tidspunktet for når parten har skaffet seg tilgang til enkeltvedtaket, og data som bekrefter at vedkommende har rett til å gjøre seg kjent med vedtaket. Har parten ikke skaffet seg tilgang til enkeltvedtaket innen én uke fra det tidspunktet vedtaket ble gjort tilgjengelig, og varsel ble sendt, skal parten varsles en gang til i samsvar med tredje ledd. Første og annet punktum gjelder ikke dersom vedtaket er sendt en elektronisk adresse mottaker oppgir jf. annet ledd annet punktum.

Det som gjelder enkeltvedtak i annet til femte ledd ovenfor, gjelder tilsvarende for;

forhåndsvarsel etter forvaltningsloven § 16,

for andre meldinger som har betydning for vedkommendes rettsstilling eller for behandlingen av saken, og

for meldinger som det av andre grunner er av særlig betydning å sikre at vedkommende mottar.

Internkontroll på informasjonssikkerhetsområdet

Forvaltningsorgan som benytter elektronisk kommunikasjon skal ha beskrevet mål og strategi for informasjonssikkerhet i virksomheten (sikkerhetsmål og sikkerhetsstrategi). Disse skal danne grunnlaget for forvaltningsorganets internkontroll (styring og kontroll) på informasjonssikkerhetsområdet. Sikkerhetsstrategien og internkontrollen skal inkludere relevante krav som er fastsatt i annen lov, forskrift eller instruks.

Forvaltningsorganet skal ha en internkontroll (styring og kontroll) på informasjonssikkerhetsområdet som baserer seg på anerkjente standarder for styringssystem for informasjonssikkerhet. Internkontrollen bør være en integrert del av virksomhetens helhetlige styringssystem. Det organet departementet peker ut skal gi anbefalinger på området.

Omfang og innretning på internkontrollen skal være tilpasset risiko.

I den utstrekning det er relevant skal sikkerhetsstrategien og internkontrollen for øvrig også adressere, og om nødvendig stille krav til, bl.a.:

prosedyrer for anskaffelse, bruk, oppbevaring og sikring av signaturfremstillingsdata, passord/PIN-koder og dekrypteringsnøkkel knyttet til personlige sertifikat eller sertifikat for ansatt i forvaltningen, jf. § 17, § 19 og § 22,

prosedyrer for anskaffelse, bruk, oppbevaring og sikring av signaturfremstillingsdata, passord/PIN-koder og dekrypteringsnøkkel knyttet til virksomhetssertifikat, jf. § 16 og § 23,

prosedyrer for å etablere og opprettholde et sikkert brukermiljø der det benyttes elektroniske signaturer, kryptering eller andre sikkerhetstjenester, jf. § 20,

prosedyrer for varsling og tilbaketrekking av sertifikat og passord/PIN-koder ved mistanke om tap eller misbruk, jf. § 25,

prosedyrer for kontroll av sertifikater og tilbaketrekkingslister ved mottak av melding utstyrt med elektronisk signatur, herunder krav til hvor oppdatert informasjon om sertifikaters status bør være for de ulike formål sertifikatene benyttes for, jf. § 27,

prosedyrer for å nekte bruk av sertifikat mv. ved misbruk av elektronisk kommunikasjon med forvaltningen, jf. § 14,

prosedyrer for behandling av personopplysninger og taushetsbelagt informasjon, jf. § 5 og § 26, se også personvernforordningen artikkel 32 og 33,

prosedyrer for sikkerhetskopiering, oppbevaring og deponering av dekrypteringsnøkkel for opplysninger som angår forvaltningsorganet, jf. § 24.

Forskriftens formål og anvendelsesområde

Begreper

Bruk av elektronisk kommunikasjon ved henvendelser til et forvaltningsorgan

Forskriftens formål og anvendelsesområde

Begreper

Bruk av elektronisk kommunikasjon ved henvendelser til et forvaltningsorgan

Krav til bruk av sikkerhetstjenester og -produkter mv. ved henvendelser til et forvaltningsorgan

Formidling av taushetsbelagte opplysninger og personopplysninger til forvaltningen

Bekreftelse på at en henvendelse er mottatt

Henvendelser som ikke tilfredsstiller aktuelle krav

Bruk av elektronisk kommunikasjon ved meddelelser fra et forvaltningsorgan, herunder underretning om enkeltvedtak mv.

Reservasjon

Bruk av fullmektig i forbindelse med elektronisk kommunikasjon med forvaltningen

Klage

Innsyn i opplysninger og dokumenter ved bruk av elektronisk kommunikasjon

Høring

Forvaltningsorganets adgang til å nekte bruk av elektronisk kommunikasjon

Internkontroll på informasjonssikkerhetsområdet

Sertifikat for forvaltningsorgan (virksomhetssertifikat)

Informasjon om bruk av sikkerhetstjenester mv.

Innhenting av samtykke ved bruk av elektronisk signatur

Restriksjoner på bruk av sertifikat mv.

Forvaltningsansattes bruk av forvaltningsorganets informasjonssystem

Informasjon

Krav til oppbevaring og bruk av signaturfremstillingsdata, passord/PIN-koder og dekrypteringsnøkkel

Sikring av signaturfremstillingsdata og dekrypteringsnøkkel ved bruk av virksomhetssertifikat

Sikkerhetskopiering av dekrypteringsnøkkel mv.

Varslingsplikt ved tap eller mistanke om misbruk av signaturfremstillingsdata, passord/PIN-koder og dekrypteringsnøkkel

Mottak av kryptert melding

Krav til kontroll av sertifikater og tilbaketrekkingslister

Arkivering av avansert elektronisk signatur mv.

Bruk av digital kontaktinformasjon og reservasjon

Behandlingsansvarlig

Opplysninger i register over digital kontaktinformasjon og reservasjon

Oppdatering av opplysninger i register over digital kontaktinformasjon og reservasjon

Kobling med andre registre

Lagring av opplysninger

Om forholdet til personopplysningsloven og personopplysningsforskriften

Koordinerende organ

Overgangsbestemmelse – kobling mot register over digital kontaktinformasjon og reservasjon – bruk av samtykker og varslingsadresser

Gjenbruk av personopplysninger i kontaktregisteret tilknyttet ID-porten

Ikrafttredelse