Policy · versjon 1.1

Informasjonssikkerhetspolicy

Formål

Lagabøte AS behandler dokumenter som advokater, jurister og offentlige virksomheter har taushetsplikt om. Denne policyen forplikter selskapet til å beskytte konfidensialiteten, integriteten og tilgjengeligheten til denne informasjonen og vår egen, og til å oppfylle personvernforordningen (GDPR), taushetsplikten kundene våre har, og ISO/IEC 27001:2022.

Omfang

Utvikling, drift og forvaltning av Lagabøte (app.lagabote.no og konto.lagabote.no), arbeidet med rettskildene som tjenesten bygger på, og menneskene, maskinene, kildekoden og skykontoene i Lagabøte AS som støtter dette.

Forpliktelser

1. Kundens innhold behandles bare for å levere tjenesten, bare i EU/EØS med mindre et dokumentert og akseptert unntak i underleverandørlisten sier noe annet, og brukes aldri til å trene modeller.
2. Tilgang gis etter behov og ikke mer. Administrativ tilgang krever tofaktorautentisering.
3. Hvert sikkerhetstiltak, hver risiko, hver leverandør og hver policy har en eier og gjennomgås minst én gang i året.
4. Vi påstår ikke noe overfor kundene som ikke er dokumentert og kontrollert.
5. Sikkerhetshendelser håndteres etter prosedyren for hendelseshåndtering. Berørte kunder varsles senest innen 24 timer, og brudd på personopplysningssikkerheten vurderes for melding til Datatilsynet innen 72 timer.
6. Alle som arbeider for Lagabøte, signerer taushetserklæring og gjennomfører sikkerhetsopplæring hvert år.

Mål

For 2026–27, fulgt opp i ledelsens gjennomgang:

1. Styringssystemet for informasjonssikkerhet følger ISO/IEC 27001:2022 og holdes klart for revisjon. Vi sertifiserer oss når en kunde eller et anbud krever det, og kaller oss ikke sertifisert før sertifikatet foreligger.
2. Ingen påstand i tillitssenteret uten gjeldende dokumentasjon: hvert sikkerhetstiltak som vises, har en bestått automatisk kontroll eller dokumentasjon som er gjennomgått.
3. Hver sikkerhetshendelse vurderes i tide: om et brudd skal meldes, avgjøres innen 48 timer, og meldingen sendes innen 72 timer.

Roller

Daglig leder godkjenner policyen og sørger for ressurser. Teknisk direktør eier styringssystemet og de tekniske tiltakene. Den juridiske rådgiveren har ansvaret for personvern, avtaler og regulatoriske vurderinger.

Gjennomgang

Policyen gjennomgås hvert år og ved vesentlige endringer. Et avvik fra policyen behandles som en risiko og må aksepteres av risikoeieren.