______________________________________________________
AVTALE
_____________________________________________________
mellom
TENSIO AS
(«Informasjonseier»)
og
[SETT INN NAVN PÅ INFORMASJONSBEHANDLER]
(«Informasjonsbehandler»)
vedrørende
håndtering og beskyttelse av kraftsensitiv informasjon
Datert [SETT INN DATO]
Innhold
7 Etablering av sikkerhetstiltak
8 Bruk av underleverandører mv.
13 Tilbakelevering og sletting
Denne Avtale med vedlegg (heretter kalt "Avtalen") vedrørende håndtering og beskyttelse av kraftsensitiv informasjon er inngått mellom følgende parter:
Informasjonseier | |
Firmanavn | TENSIO AS ("Informasjonseier") |
Org. nr. | 922 828 172 |
Postadresse | Kjøpmannsgata 7A, 7500 Stjørdal |
Kontaktperson | Stian Lysberg / stian.lysberg@tensio.no / +47 41 00 99 26 |
Kontaktadresse v/brudd (se punkt 11) | |
Informasjonsbehandler | |
Firmanavn | [SETT INN FIRMANAVN] ("Informasjonsbehandler") |
Org. nr. | [SETT INN ORG. NR.] |
Post- og fakturaadresse | [SETT INN POST- OG FAKTURAADRESSE] |
Kontaktperson | [SETT INN KONTAKTPERSON] |
Informasjonseier eier og/eller er ansvarlig for anlegg og Kraftsensitiv Informasjon som er omfattet av lov om produksjon, omforming, overføring, omsetning, fordeling og bruk av energi m.m. av 29. juni 1990 nr. 50 (energiloven) og forskrift om sikkerhet og beredskap i kraftforsyningen av 7. desember 2012 nr. 1157 (kraftberedskapsforskriften).
Denne Avtalen har som formål å sikre at Informasjonsbehandler overholder krav til informasjonssikkerhet, herunder krav til taushetsplikt og sikkerhetsmessig krav, i forbindelse med behandlingen av Kraftsensitiv Informasjon.
Avtalen fritar ikke partene fra de forpliktelser de måtte være pålagt etter energiloven, kraftberedskapsforskriften eller enhver annen preseptorisk lovgivning. Informasjonsbehandler plikter etter denne Avtalen å etterleve de til enhver tid gjeldende krav til behandling av Kraftsensitiv Informasjon i lov og forskrift.
I denne Avtalen gjelder følgende definisjoner:
Kraftsensitiv Informasjon er spesifikke og inngående opplysninger om kraftforsyningen som kan brukes til å skade anlegg, system eller annet eller påvirke funksjoner som har betydning for kraftforsyningen, herunder informasjon som er listet opp i kraftberedskapsforskriften § 6-2 (2).
Behandling av Kraftsensitiv Informasjon omfatter blant annet mottakelse, fremstilling, innsamling, registering, sammenstilling, prosessering, anvendelse, lagring, forvaltning, utveksling, deling, videreformidling, avhending, håndtering, endring, vern og beskyttelse av opplysninger. Noen av de opplistede aktivitetene er overlappende.
Behandle inkluderer og benyttes i denne Avtalen som en fellesbetegnelse for alle aktivitetene som er nevnt i definisjonen av "Behandling".
Avtalen utgjør dette dokumentet inkludert vedlegg 1 (vedlegg 1 til avtale om håndtering og beskyttelse av kraftsensitiv informasjon) og vedlegg 2 (standard nøytralitets- og taushetserklæring).
Informasjonsbehandler skal kun behandle Kraftsensitiv Informasjon i henhold til de formål og tjenester/oppdrag mv. som er beskrevet i vedlegg 1. Behandling av Kraftsensitiv Informasjon på annen måte eller for andre formål eller tjenester/oppdrag enn det som fremgår av vedlegg 1 kan kun finne sted etter skriftlig samtykke fra Informasjonseier.
Informasjonsbehandleren plikter å hindre at andre enn fysiske og juridiske personer med tjenstlig behov får adgang eller kjennskap til Kraftsensitiv Informasjon, jf. energiloven § 9-3 og kraftberedskapsforskriften § 6-1 og § 6-2.
Taushetsplikten gjelder enhver, herunder Informasjonsbehandlers ledelse, ansatte, innleide konsulenter, rådgivere o.l., samt tilsvarende personer hos underleverandører og andre tredjeparter som gis tilgang til Kraftsensitiv Informasjon.
Informasjonsbehandler skal ikke overlevere, dele eller på annen måte gjøre Kraftsensitiv Informasjon tilgjengelig for andre, herunder underleverandører eller andre tredjeparter, uten skriftlig samtykke fra Informasjonseier.
Informasjonsbehandler skal pålegge den som får tilgang eller kjennskap til Kraftsensitiv Informasjon en plikt til å etterleve de samme bestemmelser om informasjonssikkerhet og taushetsplikt som gjelder for Informasjonsbehandler i henhold til denne Avtalen.
Taushetsplikten gjelder også etter at Avtalen er opphørt. Informasjonsbehandler plikter å påse at ansatte, og andre som fratrer sin tjeneste hos Informasjonsbehandler, pålegges taushetsplikt også etter ansettelsesforholdets opphør/fratredelsen. Tilsvarende plikter Informasjonsbehandler å sikre at underleverandører og eventuelle andre tredjeparter som mottar Kraftsensitiv Informasjon under denne Avtalen pålegges taushetsplikt etter Avtalens opphør.
Informasjonsbehandler plikter å merke informasjon, herunder fysiske og elektroniske dokumenter og lagringsmedier, slik at det tydelig fremkommer hva som er Kraftsensitiv Informasjon, hvem som er Informasjonseier, samt at den Kraftsensitive Informasjonen er underlagt taushetsplikt etter energiloven og kraftberedskapsforskriften.
Merking av Kraftsensitiv Informasjon skal avklares med Informasjonseier og foretas i henhold til Informasjonseiers anvisning. Dette inkluderer Kraftsensitive Informasjon som Informasjonsbehandler benytter i avledede dokumenter/sammenstillinger m.m. og Kraftsensitiv Informasjon som Informasjonseier selv produserer som en del av tjenestene/oppdraget for Informasjonseier.
For spesifikasjon og oppfølging av informasjonsdeling benyttes Informasjonseiers skjema for dette.
Informasjonsbehandler skal:
De ovennevnte punktene er kun eksempler på sikkerhetstiltak, og er ikke uttømmende. Det er Informasjonsbehandlers ansvar å foreta en risikovurdering av sin egen behandling av Kraftsensitiv Informasjon, og iverksette strengere tiltak ved behov.
Enhver underleverandør av Informasjonsbehandler skal godkjennes skriftlig av Informasjonseier før underleverandøren kan behandle Kraftsensitiv Informasjon.
Dersom Informasjonsbehandler, etter Informasjonseiers skriftlige samtykke, benytter en underleverandør som skal behandle Kraftsensitiv Informasjon, plikter Informasjonsbehandler å inngå en skriftlig avtale med underleverandøren som pålegger denne de samme forpliktelser som Informasjonsbehandler selv er underlagt etter denne Avtalen. Informasjonseier plikter å forelegge slike avtaler med underleverandører på Informasjonseiers forespørsel.
Dersom Informasjonsbehandler planlegger å skifte ut eller benytte en ny underleverandør, skal Informasjonsbehandler skriftlig varsle Informasjonseier senest 30 dager før ny underleverandør starter behandlingen av Kraftsensitiv Informasjon. Varslet skal inneholde tilstrekkelig informasjon til at Informasjonseier kan vurdere om godkjenning skal gis eller ikke.
Informasjonsbehandler kan ikke benytte en underleverandører som innebærer overføring av Kraftsensitiv Informasjon utenfor EU, EFTA og/eller NATO uten etter særskilt avtale med Informasjonseier.
Informasjonsbehandlers ansvar overfor Informasjonseier etter denne Avtalen endres ikke ved bruk av underleverandører. Dersom underleverandøren ikke oppfyller sine forpliktelser med hensyn til behandling av Kraftsensitiv Informasjon, skal Informasjonsbehandler ha fullt ansvar overfor Informasjonseier på samme måte som om Informasjonsbehandler selv stod for behandlingen.
Informasjonsbehandleren plikter å besørge at enhver person som gis tilgang til Kraftsensitiv Informasjon blir informert om at denne er kraftsensitiv og konfidensiell, samt at vedkommende pålegges taushetsplikt gjennom undertegning av en taushetserklæring/avtale om konfidensialitet.
Med mindre annet avtales skal Informasjonseiers standard taushetserklæring benyttes av Informasjonsbehandler for alle personer som gis tilgang til Kraftsensitiv Informasjon.
Informasjonsbehandler skal på forespørsel sende Informasjonseier en oppdatert liste over hvem som har signert taushetserklæringen, samt en kopi av de signerte erklæringene.
Taushetserklæringene skal oppbevares av Informasjonsbehandler så lenge tjenestene/oppdraget for Informasjonseier varer og i minst fem år etter tjenestene/oppdraget er avsluttet.
Informasjonseier vil i enkelte tilfeller kunne akseptere at Informasjonsbehandlers ansatte, underleverandørers ansatte eller innleid personell mv. ikke personlig signerer Informasjonseiers taushetserklæring, så fremt Informasjonseier etter en konkret vurdering kommer til at taushetsplikten er tilstrekkelig ivaretatt gjennom de aktuelle personenes ansettelsesavtaler, eller i egne taushetserklæringer/konfidensialitetsavtaler med Informasjonsbehandler. Slike unntak fra kravet om personlig signering av taushetserklæring skal i tilfelle gis skriftlig av Informasjonseier.
Informasjonsbehandleren skal bidra til, og tilrettelegge for, at Informasjonseier kan gjennomføre bakgrunnssjekk av Informasjonsbehandlers ansatte, underleverandørers ansatte og innleid personell mv. som skal ha adgang og/eller tilgang til Informasjonsseiers anlegg, systemer mv.
Informasjonseier kan kreve at personer som skal gis adgang eller tilgang til anlegg, systemer eller annet som er klassifisert i klasse 2 eller 3 i henhold til kraftberedskapsforskriften skal fremlegge kredittsjekk. Kredittsjekk vil ikke bli avkrevd dersom Informasjonseier etter en risikovurdering kommer til at det kan iverksettes andre egnede sikkerhetstiltak.
Personer som ikke samtykker til bakgrunnssjekk, eller som etter Informasjonseiers vurdering ikke er egnet eller ikke tilfredsstiller Informasjonseiers krav til adgang eller tilgang, kan ikke benyttes til å utføre tjenestene/oppdraget.
Informasjonsbehandleren skal bidra til, og tilrettelegge for, at Informasjonsbehandlers ansatte, underleverandører og innleid personell mv. deltar i et årlig sikkerhetsmøte med Informasjonseier. Informasjonseier vil blant annet benytte sikkerhetsmøtet til å evaluere etterlevelsen av denne Avtalen og relevant regelverk, herunder om det er grunnlag for å si opp eller endre Avtalen og/eller Informasjonsbehandlers rutiner for behandling av Kraftsensitiv Informasjon.
Informasjonsbehandler skal uten ugrunnet opphold varsle Informasjonseier om ethvert sikkerhetsbrudd eller annet brudd på denne Avtalen, herunder hendelser som medfører at Kraftsensitiv Informasjon er, eller kan bli, tilgjengelig for andre enn rettmessige brukere etter energiloven og kraftberedskapsforskriften. Varslet skal sendes til følgende e-postadresse: sikkerhet@tensio.no.
Informasjonsbehandler skal følge opp bruddet for å rette eventuelle avvik og holde Informasjonseier løpende oppdatert om utviklingen knyttet til bruddet/hendelsen.
Informasjonsbehandler skal på forespørsel gi ytterligere informasjon om bruddet/hendelsen uten ugrunnet opphold, samt for øvrig gi slik bistand og informasjon som er nødvendig for at Informasjonseier skal kunne oppfylle sine varslingsplikter etter gjeldende regelverk, herunder etter kraftberedskapsforskriften § 2-5 og § 6-9.
Informasjonsbehandleren skal uten ugrunnet opphold varsle Informasjonseier skriftlig og på forhånd om endringer i virksomheten, herunder navneendringer, endringer i selskapets ledelse eller eierskap, flytting, restrukturering og oppkjøp, eller andre endringer som kan ha betydning for oppfyllelse av Informasjonsbehandlers plikter etter Avtalen.
Dersom Informasjonsbehandler blir insolvent eller begjært konkurs, eller det åpnes gjeldsforhandlinger, akkord, eller annen form for kreditorstyring gjør seg gjeldende, skal Informasjonsbehandler varsle Informasjonseier skriftlig uten ugrunnet opphold. Informasjonsbehandler skal i enhver situasjon som nevnt dette avsnittet sikre overholdelse av denne Avtalens bestemmelser.
Informasjonsbehandler er kjent med at Informasjonseier er pålagt en plikt til å opptre nøytralt og ikke-diskriminerende i henhold til energiloven med forskrifter (Informasjonseiers nøytralitetsplikt). Informasjonseiers nøytralitetsplikt følger blant annet av forskrift om måling, avregning, fakturering av nettjenester og elektrisk energi, nettselskapets nøytralitet mv. (FOR-1999-03-11-301) kapittel 8 og forskrift om nettregulering og energimarked (NEM) (FOR-2019-10-24-1413) § 4-14, samt av Informasjonseiers omsetningskonsesjon.
Informasjonsbehandler plikter å overholde og ivareta Informasjonseiers nøytralitetsplikt ved utførelsen av tjenester/oppdrag for Informasjonseier og ved behandlingen av Kraftsensitiv Informasjon under denne Avtalen.
Ved opphør av denne Avtalen plikter Informasjonsbehandler å levere tilbake eller varig slette all Kraftsensitiv Informasjon, inkludert sikkerhetskopier. Informasjonseier avgjør hvorvidt den Kraftsensitive Informasjonen skal leveres tilbake eller slettes, samt hvordan en eventuell tilbakelevering skal gjennomføres.
Dersom arten av tjenestene/oppdraget endres, skal Informasjonsbehandler levere tilbake eller varig slette all Kraftsensitiv Informasjon som ikke lenger er relevant for tjenestene/oppdraget.
All Kraftsensitiv Informasjon som behandles under denne Avtalen skal tilbakeleveres eller varig slettes uten ugrunnet opphold og senest innen 30 kalenderdager etter opphør av Informasjonsbehandlers tjeneste/oppdrag for Informasjonseier. Tilsvarende frist for tilbakelevering/sletting gjelder dersom det saklige grunnlaget for behandling av Kraftsensitiv Informasjon opphører av andre grunner, herunder når Informasjonsbehandlers avslutter sin deltakelse i anbudskonkurranser/tilbudsforespørsler eller når Kraftsensitiv Informasjon skal tilbakeleveres/slettes fordi den ikke lenger er relevant for tjenesten/oppdraget, jf. annet avsnitt.
Informasjonsbehandler plikter i ethvert tilfelle å sørge for tilbakelevering eller varig sletting av Kraftsensitiv Informasjon når Informasjonseier fremsetter krav om dette. All Kraftsensitiv Informasjon skal i så tilfelle tilbakeleveres/slettes uten ugrunnet opphold og senest innen 30 kalenderdager etter kravet er fremsatt.
All tilbakelevering og sletting av Kraftsensitiv Informasjon skal foretas med anerkjent metode. Informasjonsbehandler skal dokumentere og bekrefte at tilbakeleveringen og slettingen er gjennomført i henhold til denne Avtalen.
Informasjonseier, og/eller tredjepart utnevnt av Informasjonseier, kan til enhver tid kreve tilsyn og revisjon av Informasjonsbehandlers systemer og rutiner for behandling av Kraftsensitiv Informasjon.
Informasjonsbehandler plikter å utlevere slik informasjon og dokumentasjon som Informasjonseier finner nødvendig for å kontrollere Informasjonsbehandlers etterlevelse av denne Avtalen. Dette inkluderer, men er ikke begrenset til, Informasjonsbehandlers interne sikkerhetsinstrukser, risiko- og sårbarhetsanalyser, sikkerhetstiltak og rutiner, samt avtaler med underleverandører vedrørende behandling av Kraftsensitiv Informasjon.
Informasjonsbehandler skal legge til rette for og bidra til en effektiv gjennomføring av tilsyn og revisjoner, samt sørge for informasjons- og dokumentutlevering uten ugrunnet opphold.
Informasjonsbehandler skal også legge til rette for og bidra ved eventuelle inspeksjoner fra aktuelle tilsynsmyndigheter, herunder beredskapsmyndigheten etter kraftberedskapsforskriften.
Informasjonsbehandler skal på forespørsel legge frem generell dokumentasjon knyttet til avvikshåndtering som følge av andre oppdragsgiveres/informasjonseieres tilsyn og kontroll.
Hver av partene dekker sine egne kostnader forbundet med tilsyn og revisjoner. Dersom det avdekkes vesentlige brudd på forpliktelsene etter denne Avtalen, skal Informasjonsbehandler likevel dekke Informasjonseiers rimelige kostnader forbundet med tilsynet og revisjonen.
Informasjonsbehandler plikter uten ugrunnet opphold å rette mislighold/avvik fra denne Avtalen og fra kravene til behandling av Kraftsensitiv Informasjon i energiloven og kraftberedskapsforskriften.
Informasjonseier kan ved Informasjonsbehandlers mislighold/avvik kreve konkrete endringer i Informasjonsbehandlers rutiner og sikkerhetstiltak. Videre kan Informasjonseier pålegge Informasjonsbehandler helt eller delvis å stanse videre behandling av Kraftsensitiv Informasjon med umiddelbar virkning, samt at all Kraftsensitiv Informasjon leveres tilbake eller varig slettes i henhold til punkt 13.
Ved vesentlige kontraktsbrudd kan Informasjonseier heve Avtalen med umiddelbar virkning,
Avtalen gjelder så lenge Informasjonsbehandler eller dennes underleverandører behandler Kraftsensitiv Informasjon.
Dersom behovet for Avtalen bortfaller fordi Informasjonsbehandler ikke lenger skal behandle Kraftsensitiv Informasjon, kan begge parter si opp Avtalen med 30 kalenderdager skriftlig varsel. Avtalen skal imidlertid ikke opphøre før all behandling av Kraftsensitiv Informasjon er avsluttet og all Kraftsensitiv Informasjon er levert tilbake og/eller slettet i henhold til punkt 13.
Taushetsplikten gjelder også etter at Avtalens opphør, jf. punkt 5.
Med mindre noe annet avtales, skal all kontakt mellom partene foretas via kontaktpersonene som er angitt under punkt 1.
Partene er forpliktet til løpende å orientere hverandre om endringer vedrørende kontaktpersoner.
Denne Avtalen reguleres av norsk rett.
Enhver tvist mellom partene skal søkes løst ved forhandlinger. Om forhandlinger ikke fører frem, skal tvisten avgjøres ved de alminnelige domstoler med Trøndelag tingrett som verneting i første instans.
1. Vedlegg 1 til avtale om håndtering og beskyttelse av kraftsensitiv informasjon.
2: Standard taushets- og nøytralitetserklæring.
* * * * *
Denne Avtalen er utferdiget to likelydende eksemplarer, hvorav hver av partene beholder ett hver.
Sted [SETT INN STED], Dato: [SETT INN DATO]
TENSIO AS (Informasjonseier)
|
| [SETT INN FIRMANAVN] (Informasjonsbehandler) |
Navn: [SETT INN NAVN] Tittel: [SETT INN TITTEL] |
| Navn: [SETT INN NAVN] Tittel: [SETT INN TITTEL]
|
VEDLEGG 1 TIL AVTALE OM HÅNDTERING OG BESKYTTELSE AV KRAFTSENSITIV INFORMASJON
1 Bakgrunn
Dette vedlegget inngår som en integrert del av Avtalen av [SETT INN DATO] om håndtering og beskyttelse av Kraftsensitiv Informasjon av mellom:
TENSIO AS («Informasjonseier»)
og
[SETT INN NAVN PÅ INFORMASJONSBEHANDLER] («Informasjonsbehandler»)
Definisjonen i Avtalen gjelder også for dette vedlegget.
Dette vedlegget inneholder en nærmere beskrivelse Informasjonsbehandlers tjenester/oppdrag for Informasjonseier og presiserer enkelte av Informasjonsbehandlers plikter under Avtalen.
Ingen bestemmelser i dette vedlegget skal tolkes slik at de fritar Informasjonsbehandler fra forpliktelsene i Avtalen. Informasjonsbehandler skal overholde alle bestemmelser i Avtalen i forbindelse med utførelsen av de tjenester, oppdrag og instrukser som fremgår av dette vedlegget.
2 Formålet for behandlingen – Informasjonsbehandlers tjeneste/oppdrag
Informasjonsbehandler skal behandle Kraftsensitiv Informasjon i forbindelse med følgende formål og/eller tjeneste/oppdrag for Informasjonseier:
[SETT INN beskrivelse av oppdrag/tjeneste/samarbeid og formålet med behandlingen].
3 Type Kraftsensitiv Informasjon som skal behandles
Den Kraftsensitive Informasjonen som skal behandles av Informasjonsbehandler består av:
[SETT INN en beskrivelse av den Kraftsensitiv Informasjonen som skal behandles. Beskrivelsen bør være så spesifikk som mulig.]
4 Behandlingen av Kraftsensitiv Informasjon
Informasjonsbehandlers behandling av Kraftsensitiv Informasjon omfatter følgende:
[SETT INN en beskrivelse av behandlingen av Kraftsensitiv Informasjon som Informasjonsbehandler skal utføre]
5 Bistand til Informasjonseier
Informasjonsbehandler skal bistå Informasjonseier ved å gjennomføre følgende tekniske og organisatoriske tiltak:
[SETT INN en beskrivelse av de spesifikke tekniske og organisatoriske tiltak Informasjonsbehandler eventuelt skal gjennomføre for å bistå Informasjonseier, i den grad dette er aktuelt]
6 Lokalitet for behandlingen
Behandling av Kraftsensitiv Informasjon skal ikke, uten Informasjonseiers skriftlige godkjenning, skje på andre lokaliteter enn følgende:
[SETT INN en beskrivelse av hvor behandlingen av Kraftsensitiv Informasjon skal finne sted.]
Behandling skal ikke i noe tilfelle skje i land som ikke er medlem av EFTA, EU eller NATO.
7 Partenes regulering av andre forhold
[SETT INN eventuelle andre forhold som skal reguleres mellom partene, i den grad dette er aktuelt]
8 Signaturer
Dette vedlegget er utferdiget to likelydende eksemplarer, hvorav hver av partene beholder ett hver.
Sted [SETT INN STED], Dato: [SETT INN DATO]
TENSIO AS (Informasjonseier)
|
| [SETT INN FIRMANAVN] (Informasjonsbehandler) |
Navn: [SETT INN NAVN] Tittel: [SETT INN TITTEL] |
| Navn: [SETT INN NAVN] Tittel: [SETT INN TITTEL]
|