Spørsmål

Hege Bae Nyholt (R): Vil statsråden kartlegge hvilke data i norsk offentlig sektor som i dag ligger hos leverandører underlagt US CLOUD Act, herunder hvem som forvalter krypteringsnøklene til disse tjenestene, og legge kartleggingen fram for Stortinget?

Begrunnelse

Statens egen veiledning, Markedsplassen for skytjenester på anskaffelser.no, sist oppdatert 22. januar 2025, slår fast at amerikanske leverandører av skytjenester har en plikt under US CLOUD Act til å utlevere opplysninger i noen tilfeller, og at dette også vil gjelde data som er lagret i Norge. Veiledningen presiserer at leverandørene kan protestere eller gå til domstolene, men at utleveringsplikten består.
Nasjonal sikkerhetsmyndighet skriver i Risiko 2026 at geopolitiske konflikter i ytterste konsekvens kan gjøre det vanskelig eller umulig å bruke tjenester levert av utenlandske aktører.
Saken om Felles IAM i kunnskapssektoren viser hvorfor dette ikke er et teoretisk spørsmål. Sikt opplyser i Khrono 19. september at leverandøren i dagens modell eier driftsmiljøet og forvalter krypteringsnøklene til databasedelen av en tjeneste som styrer tilganger for om lag 250 000 studenter og ansatte. Sikt ber selv om at spørsmålet løftes prinsipielt, på tvers av sektorer.
Digitaliserings og forvaltningsdepartementet har ansvaret for statens skypolitikk, for anskaffelsesregelverket og for Markedsplassen for skytjenester. Departementet har også ansvaret for statens arbeidsgiverpolitikk. Identitets og tilgangsdata om statsansatte hører inn under begge ansvarsområder. Stortinget har i dag ingen samlet oversikt over hvilke offentlige data som ligger under utenlandsk jurisdiksjon, eller over hvem som forvalter nøklene til dem. Et forslag om en slik kartlegging ble nedstemt i mai. Spørsmålsstilleren mener saken i kunnskapssektoren gir ny foranledning til å be om oversikten.

Svar

Svaret er ennå ikke tilgjengelig