Et departement skal innenfor sitt ansvarsområde fatte vedtak om at loven helt eller delvis skal gjelde for virksomheter som

• a. behandler sikkerhetsgradert informasjon

• b. råder over informasjon, informasjonssystemer, objekter eller infrastruktur som har avgjørende betydning for grunnleggende nasjonale funksjoner, eller som har avgjørende betydning for nasjonale sikkerhetsinteresser, uten å kunne knyttes direkte til en grunnleggende nasjonal funksjon

• c. driver aktivitet som har avgjørende betydning for grunnleggende nasjonale funksjoner, eller som har avgjørende betydning for nasjonale sikkerhetsinteresser, uten å kunne knyttes direkte til en grunnleggende nasjonal funksjon.

Et departement kan innenfor sitt ansvarsområde fatte vedtak om at kapittel 10 skal gjelde for virksomheter som har vesentlig betydning for grunnleggende nasjonale funksjoner, eller virksomheter som har vesentlig betydning for nasjonale sikkerhetsinteresser, uten å kunne knyttes direkte til en grunnleggende nasjonal funksjon.

Virksomhetene skal forhåndsvarsles om vedtak etter første og andre ledd.

Sikkerhetsmyndigheten kan på eget initiativ fremme forslag overfor et departement om å fatte vedtak etter første og andre ledd. Dersom departementet ikke fatter vedtak i samsvar med sikkerhetsmyndighetens anbefaling, kan sikkerhetsmyndigheten bringe saken inn for endelig avgjørelse til det departementet som har overordnet ansvar for forebyggende sikkerhetsarbeid i sivil sektor, eller det departementet som har overordnet ansvar for forebyggende sikkerhetsarbeid i forsvarssektoren.

Sikkerhetsmyndigheten skal fatte vedtak etter første og andre ledd overfor virksomheter som ikke omfattes av noe departements ansvarsområde. Departementet er klageinstans.

• b. identifisere og holde oversikt over virksomheter som har vesentlig betydning for grunnleggende nasjonale funksjoner eller for nasjonale sikkerhetsinteresser

• c. fatte vedtak etter § 1-3 første og andre ledd.

• i. holde oversikt over eiendommer av sikkerhetsmessig betydning som det er sendt varsel om etter § 7-6 andre ledd.

Et informasjonssystem er skjermingsverdig dersom det behandler skjermingsverdig informasjon, eller dersom det i seg selv har avgjørende betydning for grunnleggende nasjonale funksjoner eller for nasjonale sikkerhetsinteresser.

Objekter og infrastruktur er skjermingsverdige dersom det enten kan skade grunnleggende nasjonale funksjoner om de får redusert funksjonalitet eller blir utsatt for skadeverk, ødeleggelse eller rettsstridig overtakelse, eller kan skade nasjonale sikkerhetsinteresser på annen måte.

Skjermingsverdige objekter og infrastruktur skal klassifiseres når det foreligger forhold som nevnt i § 7-1. Følgende klassifiseringsgrader skal benyttes:

• a. MEGET KRITISK dersom det kan få helt avgjørende skadefølger

• b. KRITISK dersom det kan få alvorlige skadefølger

• c. VIKTIG dersom det kan få skadefølger.

Klassifiseringen skal bygge på en skadevurdering, og det skal spesifiseres hvilke grunnleggende nasjonale funksjoner objektet eller infrastrukturen understøtter, eller hvilke nasjonale sikkerhetsinteresser som kan bli skadet. Det skal også fremgå hva konsekvensene av redusert funksjonalitet, skadeverk, ødeleggelse eller rettsstridig overtakelse vil være. Begrunnelsen for klassifiseringen skal inngå i departementets og sikkerhetsmyndighetens oversikt over skjermingsverdige objekter og infrastruktur.

Eiendommer som ut fra sin beliggenhet kan legge til rette for sikkerhetstruende virksomhet mot et skjermingsverdig objekt eller infrastruktur, skal regnes som eiendommer av sikkerhetsmessig betydning. Virksomheten skal ved vurderingen av risiko etter § 7-3 andre ledd identifisere slike eiendommer.

Dersom en eiendom av sikkerhetsmessig betydning utgjør en risiko for en virksomhets skjermingsverdige objekt eller infrastruktur, og det ikke er mulig å opprettholde et forsvarlig sikkerhetsnivå gjennom tiltak etter § 7-3, skal virksomheten varsle sikkerhetsmyndigheten eller tilsynsmyndigheten.

Departementet kan gi forskrift om identifisering av eiendommer og risikovurdering etter første ledd og varslingsplikten etter andre ledd.

Den som direkte eller indirekte vil erverve en eierandel i en virksomhet som er underlagt dette kapittelet i medhold av § 1-3, eller som er underlagt loven etter § 1-2 andre ledd og innehar klarering som nevnt i § 9-3, skal sende melding til departementet når ervervet vil føre til at erververen direkte eller indirekte samlet oppnår minst 10 prosent av aksjekapitalen, andelen eller stemmene i virksomheten (en kvalifisert eierandel). Det samme gjelder når ervervet vil føre til at

• a. erververens kvalifiserte eierandel økes til minst 20 prosent, en tredjedel, 50 prosent, to tredjedeler eller 90 prosent av aksjekapitalen, andelene eller stemmene i virksomheten

• b. erververen oppnår betydelig innflytelse over forvaltningen av virksomheten på annen måte

• c. erververen sammen med sine nærstående, jf. verdipapirhandelloven § 2-5, oppnår en kvalifisert eierandel eller en posisjon som nevnt i bokstav a eller b.

Meldeplikten gjelder tilsvarende for avhenderen og virksomheten ervervet gjelder, når erververen samlet vil oppnå en direkte eierandel på minst 10 prosent av aksjekapitalen, andelen eller stemmene i virksomheten. Det samme gjelder når ervervet vil føre til at

• a. erververen oppnår en direkte eierandel som utgjør en andel som nevnt i første ledd andre punktum bokstav a

• b. erververen oppnår en posisjon som nevnt i første ledd andre punktum bokstav b eller c.

For virksomheter som ikke omfattes av noe departements ansvarsområde, og for leverandørklarerte virksomheter, skal meldingen sendes til sikkerhetsmyndigheten.

Et erverv som nevnt i første ledd kan ikke gjennomføres før meldingen er behandlet etter § 10-2.

Kongen kan gi forskrift om meldeplikten og gjennomføringsforbud.

I forbindelse med et erverv som omfattes av meldeplikten etter § 10-1, kan informasjon som kan brukes til sikkerhetstruende virksomhet, ikke deles uten samtykke før ervervet er gjennomført. Forbudet i første punktum gjelder ikke informasjon som er offentlig tilgjengelig. Spørsmålet om samtykke skal rettes til og avgjøres av departementet. Dersom virksomheten ikke omfattes av noe departements ansvarsområde, skal spørsmålet rettes til og avgjøres av sikkerhetsmyndigheten.

En forespørsel etter første ledd skal avgjøres så raskt som mulig. Ved samtykke kan det fastsettes vilkår for deling av slik informasjon.

Kongen kan gi forskrift om hvilken informasjon som er omfattet av forbudet mot deling av informasjon, avgjørelser om informasjonsdeling, saksbehandling og hvilke vilkår som kan stilles for informasjonsdeling mellom partene.

Tilsynsmyndigheten kan ilegge en virksomhet overtredelsesgebyr dersom virksomheten eller noen som handler på dennes vegne, forsettlig eller uaktsomt

• a. overtrer bestemmelser gitt i eller i medhold av §§ 3-4, 4-3, 4-4, 4-5, 5-2, 6-2, 6-3 eller§ 7-3, § 9-2 første ledd, § 9-4 første ledd første punktum eller § 9-4 andre ledd første eller andre punktum

• b. overtrer et pålegg gitt med hjemmel i § 3-6

• c. gir uriktige eller ufullstendige opplysninger til tilsynsmyndigheten etter §§ 3-4 eller 4-5

• d. medvirker til overtredelser som nevnt i bokstav a til c.

Sikkerhetsmyndigheten kan ilegge overtredelsesgebyr for den som forsettlig eller uaktsomt overtrer meldeplikten etter § 10-1.

Nåværende andre til femte ledd blir tredje til nytt sjette ledd.

Den som forsettlig eller uaktsomt overtrer et forbud eller påbud fastsatt med hjemmel i §§ 2-5 eller 10-3, straffes med bot eller fengsel inntil 1 år eller begge deler, hvis ikke forholdet går inn under en strengere straffebestemmelse.

Nåværende fjerde ledd blir nytt femte ledd og skal lyde:

Forsøk på overtredelser som nevnt i første til fjerde ledd straffes på samme måte.

II

Loven gjelder fra den tiden Kongen bestemmer. Kongen kan sette i kraft de enkelte bestemmelsene til forskjellig tid.