Spørsmål

Hege Bae Nyholt (R): Var det kjent for departementet da pålegget om Felles IAM ble gitt i juni at den amerikanske leverandøren eier driftsmiljøet og forvalter krypteringsnøklene til databasedelen av tjenesten?

Begrunnelse

I svar 18. september på spørsmål nr. 3677 opplyser statsråden at gjennomføringen av pålegget om Felles IAM utsettes for de gjenstående virksomhetene inntil saken er gjennomgått. Svaret viser til en redegjørelse fra Sikt mottatt 11. september.
I Khrono 19. september skriver direktør Terje Mørland og divisjonsdirektør Tom Røtting i Sikt: «Programvaren leveres av en amerikansk leverandør, og i dagens modell er det leverandøren som eier driftsmiljøet og forvalter krypteringsnøklene til databasedelen av tjenesten.» Sikt opplyser videre at de undersøker muligheten for å overføre kontoen i Amazons sky, der data lagres og prosesseres, fra den amerikanske leverandøren Identity Automation til Sikt.
Tjenesten ble vedtatt som fellestjeneste i Digitaliseringsstyret i 2019. Den styrer i dag tilganger for om lag 250 000 studenter og ansatte ved 14 virksomheter.
Statens egen veiledning, Markedsplassen for skytjenester på anskaffelser.no, sist oppdatert 22. januar 2025, slår fast at amerikanske leverandører av skytjenester har en plikt under US CLOUD Act til å utlevere opplysninger i noen tilfeller, og at dette også vil gjelde data som er lagret i Norge. Når leverandøren forvalter nøklene, er spørsmålet ikke hvor serverne står, men hvem som teknisk og rettslig kan låse opp.
Sikt erkjenner i samme innlegg at informasjonen til departementet har vært upresis og mangelfull, og departementet har tidligere i september måttet korrigere svar til Stortinget i saken. Spørsmålsstilleren ber om et presist svar på hva departementet visste om nøkkelforvaltningen, og på hvilket tidspunkt.
Spørsmålsstilleren ber i tillegg om svar på to forhold: hvilke tiltak som gjelder for de 14 virksomhetene som allerede bruker tjenesten, inntil nøkkelforvaltningen er avklart, og om statsråden vil legge redegjørelsen fra Sikt av 11. september fram for Stortinget.

Svar

Svaret er ennå ikke tilgjengelig