I denne artikkelen forteller Næringslivets Sikkerhetsråd hvordan du kan sikre at deres sensitive informasjon i bygge- og anleggsprosjekter blir håndtert korrekt, og hvordan dere kan få hjelp.

Ny standard fra Standard Norge

Standard Norge har nettopp utgitt en ny standard - NS 5835:2024 «Krav til beskyttelse av informasjon og andre verdier i bygge- og anleggsprosjekter». Denne standarden omhandler hvordan byggherrens «hemmeligheter» og verdier kan ivaretas i et byggeprosjekt ved hjelp av organisatoriske og administrative tiltak. Standarden er kort og kravbasert, men med seks litt større informative tillegg om hvordan kravene kan dekkes.

Standarden omhandler ikke de rene fysiske og elektroniske tiltakene, men retter søkelys mot administrative og organisatoriske grep som må tas for å håndtere verdiene på en god måte.

Bakgrunn for standarden

Det er en økende sikkerhetsbevissthet i samfunnet som også gir seg utslag i byggebransjen. Prosjekteiere og tiltakshavere er i økende grad bevisst de sikringsrisikoer man løper ved å overlate sine informasjonsverdier til aktører i bygge- og anleggsprosjekter. Derfor har enkelte byggeprosjekter med spesielle behov fått egne prosedyrer for å ivareta sikkerheten. I slike tilfeller må disse prosedyrene skreddersys, og hvert prosjekt har forskjellige måter å møte utfordringene. Ikke alle disse er gode.

Den utgitte standarden gjør det enklere for prosjekteiere å gi gode krav til prosedyrer og gjør det enklere for aktørene å etablere og følge prosedyrene på en god måte.

Innholdet i standarden

Standarden omfatter en rekke problemstillinger man ofte møter i bygge- og anleggsprosjekter der det oppstår behov for å beskytte byggherrens verdier. Slike verdier vil som regel være informasjonsverdier, men det kan også dreie seg om tilgang til infrastruktur, innsyn i fysiske sårbarheter, sikringsløsninger og kapasiteter man ikke ønsker at utenverden skal se. Ikke alle verdier er underlagt sikkerhetsloven, så standarden er generisk.

Risiko

Standarden setter krav til at det skal foreligge en risikovurdering som grunnlag for alle sikringsbetraktninger i prosjektet. I standardens vedlegg går man langt i å beskrive hvordan en sikringsrisiko er satt sammen. Verdivurdering, trusselvurdering, sikringsmål, eksponering av verdier for truslene, sårbarheter og mangler samt tiltak for å redusere risikoen.

Plan og dokumentasjon

Det er satt krav til å opprette en sikringsplan for et hvert prosjekt og det er angitt i detalj hvilke temaer denne sikringsplanen skal omfatte. Dessuten er det angitt en plan for fordeling av ansvar og oppgaver for forebyggende sikkerhet. Det er også satt krav til at det skal opprettes sikkerhetsavtaler som ansvarliggjør alle aktører og leverandører av beskyttelsesverdige leveranser til denne typen byggesaker. Standarden setter krav til taushetserklæringer og gir forslag til utforming av dem.

Kontroll og revisjon

Det er satt krav til at alle virksomheter som blir del av et byggeprosjekt av denne typen skal gis en bakgrunnssjekk og det er gitt råd om hvordan dette skal skje. Det er gitt krav og råd for forebygging og håndtering av eventuelle konkurser hos leverandører. Hver leverandør skal dessuten etablere sin egen sikringsplan for prosjektet som skal kontrolleres og revideres av representanter for prosjektet.

Personellsikkerhet

Autorisasjonsprosedyrer er anbefalt i tillegget og det er satt krav i hoveddokumentet til at det skal opprettes rutiner for slike prosedyrer i prosjektet. Personvernhensyn gir begrensninger for hvordan enkeltpersoner kan bakgrunnssjekkes. Sikkerhetsloven gir gode hjemler for å foreta god bakgrunnssjekk, men prosjekter som ikke er underlagt sikkerhetsloven har sterke begrensninger. Standardens vedlegg viser hvordan det er mulig å foreta en god bakgrunnssjekk innenfor loven. Disse rådene sammenfaller med NSRs dokument "Sikkerhet ved ansettelsesforhold". Det er også satt krav til at prosjektet gir god opplæring og informasjon i forbindelse med autorisasjon slik at det blir «lett å gjøre rett».

Andre standarder fra samme leverandør

Standard Norges komite for utarbeidelse av standarder i 5830-serien er i gang med revisjon av NS 5832 «Sikringsrisikoanalyse» som antas å ligge klar i løpet av 2025. Det arbeides med en ny standard NS 5833 «Verifikasjon av sikringsløsninger». Denne standarden vil sannsynligvis utgis i løpet av 2024. En standard NS 5837 er også under arbeid som omhandler sikringsbelysning. I alle disse standardene handler det om forebyggende prosedyrer og sikringstiltak mot tilsiktede uønskede handlinger som spionasje, kriminalitet, sabotasje og terror. Ingen av standardene er avgrenset av sikkerhetsloven. Standardene kan også benyttes i arbeid med andre typer risiko og det er mulig å tilpasse bruken til andre typer prosjekter enn bygg og anlegg. Standardene kan benyttes både i store og små prosjekter.

Nyttige lenker

• Finn standard NS5835:2024 på standard.no: Samfunnssikkerhet - Beskyttelse mot tilsiktede uønskede handlinger - Krav til beskyttelse av informasjon og andre verdier i bygge- og anleggsprosjekter
• Rapporter og veiledere om sikkerhet på nsr-org.no