prop · GT03133 · 2006-03-22 00:00:00 — En rimlig avvägning måste göras mellan åtgärder för att säkerställa att en grundläggande funktionalitet upprätt- hålls i alla lägen och att utveckla den normala verksamheten. En ökad satsning på hög funktionalitet kan dra resurser från utvecklingsverksam- Avvägningen bör därför ta sin utgångspunkt i en värdering av verksamhetens betydelse för samhällets funktionalitet. Mot bakgrund av det som anges ovan anser regeringen att det finns ett behov av att fastställa krav för en grundläggande funktionalitet inom vissa samhällsfunktioner. En utgångspunkt för arbetet kan vara Kris- beredskapsmyndighetens förslag till vad som avses med samhällsviktig verksamhet. För samhället som helhet är det viktiga att vissa tjänster kan levereras oavsett omständigheter, inte hur dessa levereras. Därför bör krav på dessa verksamheter formuleras i termer av förmåga att upprätthålla en grundläggande funktionalitet även vid störningar som kan uppstå till följd av t.ex. stora olyckor och extraordinära händelser. I detta ingår att ange vilka avnämare som under alla omständigheter bör betjänas. Utifrån dessa krav på samhällsviktiga verksamheter bör ett arbete genomföras som identifierar de samhällsviktiga verksamheternas sårbarheter, vilka hot som kan exploatera dessa sårbarheter samt vilka konsekvenser detta kan få. Detta kan bl.a. ske i arbetet med risk- och sårbarhetsanalyser. Syftet bör vara att identifiera prioriterade åtgärder, både sådana som bekostas av verksamhetsansvariga själva och sådana som kan finansieras över anslaget 7:5 Krisberedskap. Regeringen anser därmed inte att kraven på förmåga för samhällsviktig verksamhet bör användas som ett gränssnitt för att avgöra vem som skall bekosta säkerhetshöjande åtgärder. Dessa åtgärder kan bl.a. vara sårbarhetsreducerande investe- ringar i infrastrukturen, insatser för att stärka personalens kompetens och kunskap vilket i sin tur kan leda till behov av författningsändringar. I arbetet bör hänsyn tas till det ömsesidiga beroendet som kan finnas mellan verksamheter. Beroendeförhållanden är en viktig orsak till att samhällsviktiga verk- samheter är sårbara. Kritiska beroendeförhållanden uppstår i de fall då funktionen i en samhällsviktig verksamhet kräver att en annan verksam- het fungerar där denna saknar alternativ. Ett exempel på ett sådant förhållande är beroendet mellan el och elektroniska kommunikationer. En viktig del i arbetet är därför att kartlägga relevanta beroendeförhållan- den. En stor del av de samhällsviktiga verksamheterna ägs och drivs av privata aktörer på en marknad präglad av avreglering. En väl fungerande privat-offentlig samverkan är därför nödvändig för arbetet med att skydda dessa verksamheters funktionalitet. Privata aktörer bör i möj- ligaste mån involveras i arbetet med att identifiera rimliga förmågekrav för samhällsviktig verksamhet. En väl fungerande privat-offentlig sam- verkan är dynamisk och kan snabbt anpassas efter en föränderlig verklig- het. Privat-offentlig samverkan bör vara en i krishanteringssystemet integrerad process på såväl central som regional och lokal nivå. Den bör vara baserad på frivilliga avtal mellan likvärdiga parter och bedrivas med kvalitetssäkrade metoder, bland annat för säkert informationsutbyte. I de avsnitt som följer redogör regeringen för åtgärder inom vissa områden som bedöms som samhällsviktiga. Erfarenheterna från stormarna i visade än en gång på den stora betydelsen av att de allmänna telenäten fungerar för såväl medborgarnas trygghet och säkerhet som samhällsorganens förmåga att leda och samordna sina insatser för att hantera situationen. För att kunna trygga kommunikationen för samhällsviktiga funktioner bygger staten upp Rakelsystemet. Av kapitel 12 framgår att det därför är viktigt att aktörer som är inblandade i krishantering har åtkomst till detta system. Som ett komplement till Rakelsystemet kan ytterligare åtgärder vidtas, så som att en abonnent vid en kris kan använda andra operatörers mobilnät då abonnentens eget operatörsnät inte ger täckning (s.k. roaming) samt prioritering i elektroniska kommunikationsnät. Vid olika former av störningar kan tillgängligheten och funktionen i de allmänna telenäten variera på så sätt att vissa operatörers nät är tillgängliga och andra inte är det. Som exempel på en störning som påverkat funktionen i de allmänna telenäten kan nämnas stormen som drabbade natten mellan . I samband med stormen inrättade mobiltelefonioperatörer på frivillig basis en möjlighet till roaming för att öka tillgängligheten och funktionaliteten i mobiltelefoninäten. Med roaming menas att en abonnent automatiskt kan använda andra operatörers mobilnät då abonnentens eget operatörs- nät av någon anledning inte ger täckning. En sådan lösning skulle innebära att behövande grupper i samhället kan ges bättre möjlighet att få tillgång till fungerande telefoni vid svåra störningar i telenäten, t.ex. äldre som vårdas i hemmet och som bor kvar trots längre elavbrott. Regeringen anser att ett inrättande av en funktion för roaming vid kriser bör användas restriktivt både med avseende på utnyttjande och vilka som bör tilldelas denna möjlighet. Utdelningen av abonnemang som möjliggör sådan roaming bör administreras av den områdesansva- riga myndigheten. Användning av funktionen bör föregås av ett beslut från en central myndighet. Abonnemangen kan ges till sådana grupper i samhället som normalt inte på eget initiativ införskaffar mobiltjänster med hög tillgänglighet. Avsikten är inte att denna roaming skall ersätta den möjlighet som finns att genom avtal med operatören få denna tjänst. Varje abonnent har ett eget ansvar att införskaffa den tjänst som passar dess behov avseende bl.a. tillgänglighet och funktion. De användare som har ett behov att alltid kunna kommunicera bör införskaffa en tjänst för detta. Flera mobiltelefonioperatörer tillhandahåller sådana tjänster genom att erbjuda roaming med andra operatörer i händelse av bristande tillgänglighet i det egna nätet. arbetar med att se över möjligheterna att på frivillig basis komma fram till en lösning för roaming i mobiltelefoni- näten vid kriser. I arbetet som genomfört tillsam- mans med mobiltelefonioperatörer har olika lösningar för en sådan roamingfunktion övervägts. Regeringen följer denna fråga noga och har i Post- och regleringsbrev uppdragit åt myndig- heten att redovisa hur arbetet med en roamingfunktion fortgår. Ett system beräknas att kunna färdigställas . Prioritet i de elektroniska kommunikationsnäten Samhällets beroende av fungerande elektroniska kommunikationer vid stora olyckor och extraordinära händelser är stort. har ett antal händelser av katastrofkaraktär inträffat där behoven av kommu- nikation har överskridit tillgänglig kapacitet. En sådan brist på kapacitet kan leda till att räddningsarbete och arbetet med de elektroniska kom- munikationsnätens återställande försvåras och försenas. Arbetet för att på olika sätt öka robustheten i den tekniska infrastrukturen är därför av stor betydelse för samhället. I svåra situationer kan också möjligheten att kunna prioritera trafiken i de elektroniska kommunikationsnäten vara av betydelse för att ge samhällsviktiga användare tillgång till fungerande kommunikationer. erbjuder de allmänna kommunikationsnäten inga eller mycket begränsade möjligheter till att ge prioritet. utreder möjligheten till prioritetsfunktioner utifrån kravställningar såsom behov, teknik och kostnad. Ett eventuellt införande av möjlighet till prioritet bör ske i etapper för att minimera påverkan i operatörernas verksamhet. Utöver det arbete genomfört återstår det dock ett antal frågor som bör be- dömas utifrån en mer övergripande nivå. Som exempel på sådana åter- stående frågor kan nämnas bedömning av vilka grupper i samhället som bör omfattas av en prioriteringsfunktion, vid vilka situationer en prioriteringsfunktion bör användas och vilken aktör som bör administrera tilldelningen av prioriteringen. De återkommande och långvariga elavbrotten har för- orsakat elkunder och samhället omfattade skador. Det har föranlett rege- ringen att utarbeta ytterligare säkerhetskrav och åtgärder för att säker- ställa en leveranssäker elöverföring och undvika att framtida svåra väderförhållanden leder till allvarliga konsekvenser. I propositionen Leveranssäkra elnät (prop. 2005/06:27) föreslog rege- ringen ett lagstadgat funktionskrav samt en i lag reglerad skyldighet för nätföretag att betala ersättning till elanvändare vid långvariga oplanerade elavbrott som inte orsakats av händelser av exceptionell karaktär. Rege- ringen framhåller i propositionen att tillgången till el är av stor betydelse för den fredstida krishanteringen. I motiveringen anger regeringen i fråga om risk- och sårbarhetsanalyserna att dessa inom nätverksamheten kan användas bl.a. till att optimera underhålls- och reparationsarbeten. Rege- ringen konstaterar vidare att nätbolagen är mycket viktiga aktörer i hän- delser av olyckor och kriser i samhället. Tillgången på el är grund- läggande för samhällets funktion i stort och för en god krisberedskap. Som en självklar del av att upprätthålla leveranssäkerheten ingår därför förmågan att kunna hantera en situation med leveransavbrott, även under svåra förhållanden. Samverkan med andra krishanteringsaktörer är grundläggande för denna förmåga. Regeringen lämnade även förslag om rapportering av långvariga och omfattande elavbrott samt om informa- tion till elanvändarna. har beslutat om ändringarna i ellagen (1997:857). Bestämmelserna om funktionskravet träder i kraft . Övriga bestämmelser har trätt i kraft (SFS 2005:1110). Regeringens bedömning: Vid de normerande inspektioner som utförs i kommunerna bör även beakta krisberedskapsaspekter. Skälen för regeringens bedömning: och har tillsammans med redovisat behoven av åtgärder för att förbättra dricksvattenberedskapen i rapporten för dricksvattenberedskap m.m. (dnr M2004/4303/Na). Åtgärderna syftar till att förbättra beredskapen för hela dricksvatten- kedjan. Bland annat föreslås att bör ges möjlighet att föreskriva vilka försiktighetsmått som skall vidtas för att säkerställa dricksvattenkvaliteten och för att skydda dricksvattenförsörjningen. Regeringen delar de slutsatser som redovisas. Regeringen har i en lagrådsremiss lämnat förslag till en ny livsmedelslag. I lagen föreslås bl.a. ett bemyndigande för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter om försiktighetsmått för att förebygga och avhjälpa sabotage, terrorism och andra hot mot livsmedelsförsörjningen. Systemet för dricksvattenförsörjning bedöms vara särskilt sårbart när det gäller sabotage med syfte att sprida smittsamma sjukdomar eller störa försörjningen på annat sätt och måste därför skyddas mot bl.a. sabotage, terrorism och andra kriminella handlingar. Även andra typer av livs- medel och livsmedelsverksamheter bör omfattas av försiktighetsåtgärd- erna. Bestämmelserna bör bl.a. gälla dricksvattenanläggningarnas skal- skydd samt hur ledningsnätskartor och annan känslig information hanteras. En annan viktig aspekt är IT-säkerheten vid styrning och övervakning av dricksvattenförsörjningen. Enligt livsmedelslagen (1971:511) utövar , läns- styrelserna och kommunerna tillsyn över livsmedelslagstiftningen. Kom- munerna ansvarar för den operativa kontrollen av vattenverk. Det är viktigt att frågor om krisberedskap och krishantering är en del av den ordinarie livsmedelstillsynen. I samband med tillsynen av dricksvatten- anläggningar och andra livsmedelanläggningar bör kommunernas miljö- och hälsoskyddsnämnder eller motsvarande även fortsättningsvis utföra den operativa och direkta tillsynen av dessa aspekter. De lokala tillsyns- myndigheterna bör vid behov begära stöd hos andra myndigheter, exempelvis , och Säkerhetspolisen. utövar tillsyn av den kommunala verksamheten bland annat genom s.k. normerande inspektioner. De normerande inspek- tionerna genomförs med stöd av 46 a § i livsmedelsförordningen (1971:807). Syftet med inspektionerna är dels att likrikta tillsynen över landet, dels ge den lokala myndigheten stöd. De normerande inspek- tionerna inom dricksvattenområdet syftar till att undersöka hur tillsynen av vattenverken fungerar. Det är viktigt att de normerande inspektionerna Prop. 2005/06:133 även innefattar krisberedskapsaspekter. Detta kan ligga till grund för De utbildnings- och informationsinsatser som genom- förs är inte tillräckliga för att kommunerna skall stärka krisberedskapen i tillräcklig omfattning. Utbildningen måste även fortsättningsvis ligga kvar på minst samma nivå men en höjd nivå bör eftersträvas. Före- skrifterna och tillsynen säkerställer att de ökade kunskaperna i kom- munerna även omsätts till åtgärder. arbete för ökad säkerhet finansieras genom . De medel som fördelas från anslaget 7:5 Krisberedskap har möjliggjort för att driva frågorna på ett framgångsrikt sätt. Det kommer att krävas omfattande rådgivning från sida både till vattenproducenterna och till de lokala tillsynsmyndigheterna. För att uppnå de förbättringar som är önskvärda måste de normerande inspektionerna genomföras i något högre grad än i övrigt på livsmedelsområdet. bör även i fortsättningen erhålla medel från anslaget 7:5 Krisberedskap. 8.1.2Haveriutredning vid infrastrukturella störningar Regeringens bedömning: Det är angeläget att ta tillvara dokumentation och erfarenheter samt att systematiskt och samlat lära av inträffade kriser. Därför bör ett system med haveriutredningar i samband med extraordinära händelser inom samhällsviktiga infrastrukturer utredas närmare. Försvarsberedningens förslag: Ett system med att systematiskt tillsätta en s.k. haveriutredning, i likhet med vad som sker bl.a. vid fartygs- och flygolyckor, bör övervägas för situationer där den infrastrukturella säkerheten allvarligt har äventyrats. Detta kan på ett successivt och effektivt sätt stärka vår säkerhet genom att kunskapen kring sårbarheten i samhället ökar. Skälen för regeringens bedömning: Regeringen anser liksom Försvarsberedningen att egna och andras erfarenheter från kriser är ett viktigt kunskapsunderlag för att stärka samhällets säkerhet och förbättra krishanteringsförmågan. Det är därför angeläget att utveckla en struktur för att ta tillvara dokumentation och erfarenheter samt att systematiskt och samlat lära av inträffade kriser. Regeringen finner att Försvarsbered- ningens resonemang angående en haveriutredning i samband med extra- ordinära händelser inom samhällsviktiga infrastrukturer är ett förslag som bör utredas närmare. 8.2.1Inriktning av nationell strategi för informationssäkerheten Regeringens bedömning: Den av regeringen fastställda strategin för informationssäkerhet bör utvecklas till att även omfatta att kunna upptäcka, ingripa mot och agera i samband med störningar i samhälls- viktiga IT-system. Förtroendet för och tryggheten att använda IT bör öka. En ökad säkerhet och ett förbättrat integritetsskydd bör eftersträvas. En handlingsplan för informationssäkerhet bör utarbetas med utgångs- punkt i en nationell strategi för informationssäkerhetsarbetet. Försvarsberedningens förslag: Överensstämmer i stort med rege- ringens bedömning. förslag: Överensstämmer i stort med regeringens bedömning. Remissinstanserna: Huvuddelen av remissinstanserna instämmer i stort med utredningens förslag. Vissa synpunkter har lämnats av Riks- banken, , Försvarsmakten, Förvarets materielverk, , , Försvarshög- skolan, , , Finans- inspektionen, Datainspektionen, Kammarkollegiet, , , , , Verket för näringslivsutveckling, , , kommun, i , , och . De huvudsakliga synpunkterna är: -Förslaget till strategi är för allmänt hållen och det saknas konkreta förslag som är tydligt beskrivna. -Ett mer globalt synsätt behövs och det är av vikt att tillvarata internationell kunskap. -Det saknas spårbarhet mellan strategin och förslaget till handlings- plan. Det saknas klara resonemang för utredningens ställnings- tagande och förslag. Förslagen borde ha prioriterats inbördes. -Om underrättelse- och säkerhetstjänsten skall förbättra informa- tionsdelgivningen bör det ges möjlighet att inrikta underrättelsein- hämtningen. -Den personliga integriteten beaktas inte i förslaget till strategi. -Begreppet samhällsviktig verksamhet används utan att definieras. -Det saknas kriterier för bedömning av vad som är samhällsviktig verksamhet. Skälen för regeringens bedömning Ett av regeringens delmål för politiken för informationssamhället (prop. 2004/05:175, bet. 2005/06:TU4, rskr. 2005/06:142) innefattar tillgäng- lighet och säkerhet samt flera informationssäkerhetsfrågor. Ett förtroende för IT och att användandet stimuleras är viktigt för att nå delmålet. Informationssäkerhetsfrågor är därför en naturlig del i IT-utvecklingen. Tillgång till korrekt och säker information vid rätt tillfälle är en förutsättning för trygghet, tillväxt, konkurrens, utveckling och välfärd. Informationstekniken har möjliggjort en explosionsartad utveckling inom informationsförsörjningen. har en internationellt framstående ställning i fråga om investeringar i och användning av ny teknik. Ny teknik där uppgifter och information bearbetas, lagras och förmedlas elektroniskt innebär emellertid inte bara ökade möjligheter, utan också sårbarheter och beroenden. Tekniken utvecklas ofta snabbare än säkerhetsarbetet. En rad verksamheter är beroende av en fungerande informations- försörjning för att kunna upprätthålla produktionen av tjänster och varor. Säker informationsförsörjning är viktig för att uppnå en robusthet i samhällsviktig verksamhet. Sårbarheten berör ett mycket stort antal aktörer och intressen och om- rådet präglas av en stor dynamik. Bilden av dagens brister och hot är mycket komplex och därmed även behovet av åtgärder. Därför behövs enligt regeringen en mer sammanhållen politik inom informationssäker- hetsområdet. En nationell strategi och en bättre samordning av infor- mationssäkerhetsfrågorna är av stor betydelse för det fortsatta arbetet. En nationell strategi för informationssäkerhet En övergripande strategi redovisades i propositionen Samhällets säkerhet och beredskap (prop. 2001/02:158 s. 103) som innebär att målet för informationssäkerhet i samhället och skydd av samhällsviktiga IT- beroende system är att kunna förhindra och hantera störningar i samhällsviktig verksamhet. I propositionen Från IT-politik för samhället till politik för IT-samhället (prop. 2004/05:175) gavs inriktningen för en strategi för ett säkrare Internet. En utvecklad strategi bör ha ett långsiktigt perspektiv och utvecklas kontinuerligt för att ligga till grund för handlingsplaner, prioriteringar och åtgärder . Strategin vänder sig till alla aktörer såväl privata som offentliga. Strategin innebär att formerna för samverkan behöver utvecklas. Utvecklingen av strategin innebär att de förebyggande och förberedan- de åtgärderna bör bli en del av myndigheters sektorsansvar och instruk- tionsmässiga uppgifter för att ge en ökad säkerhet. I detta kan det ingå att också förbättra integritetsskyddet samt att kunna upptäcka, ingripa mot och agera i samband med störningar. Regeringen anser att det bör finnas en förmåga att förhindra och hantera allvarliga störningar i samhälls- viktig verksamhet. Det behövs också insatser från rättsvårdande myndig- heter och att frågan om den personliga integriteten uppmärksammas. Regeringen delar synen med de remissinstansers som påtalat att integri- tetsfrågan inte har belysts i förslag till strategi. riktlinjer om nät- och informationssäkerhet bör användas för informationssäkerhetsfrågor i samhället (riktlinjer för säker- heten i informationssystem och nät på väg mot en säkerhetskultur). Regeringen anser att informationssäkerhet är ett gemensamt, internatio- nellt problem och att strategiska lösningar måste utvecklas i samverkan med andra länder, både inom EU och i internationella organ. En nationell strategi bör ligga till grund för att tillvarata intressen och ett gemensamt agerande internationellt för det ökande antal svenska aktörer inom området. Utarbetande av mål och handlingsplan Den vardagliga verksamheten ställer krav på informationssäkerhet. Hög informationssäkerhet i det dagliga arbetet bidrar till skydd mot avancera- de hot. Nivån på säkerheten måste därför anpassas efter verksamhetens krav för att ge en balans mellan funktionalitet och säkerhet med hänsyn till faktorer som t.ex. ekonomi och risktagande. En del verksamheter ställer särskilt höga krav på informationssäkerhet då de kan vara t.ex. komplexa eller känsliga. Andra är utsatta för hot från resursstarka och avancerade aktörer. Ansvar och skyldigheter skiftar. har lämnat förslag till en målstruktur för informationssäkerhet. Regeringen anser att denna bör kunna utgöra en grund för det fortsatta arbetet. Förslaget innebär att tre typer av mål bör formuleras som avser: krav på prestationsförmåga eller säkerhet för samhällsviktig verk- samhet, krav på tillämpning av standarder samt kompletterande åtgärder för informationssäkerhet. Regeringen delar bedömning om behovet av en handlingsplan för att genomföra strategin. Regeringen avser att ge i uppdrag att i samråd med tillsyns- och sektorsmyndigheter lämna förslag till mål och att utarbeta en handlingsplan samt att lämna förslag på hur handlings- planen skall förvaltas. Därutöver finns sektorsspecifika mål som tillsyns- och sektorsmyndigheterna arbetar för att uppnå. Ansvaret för att hålla samman arbetet innebär ingen förändring i ansvaret för informations- säkerhetsarbetet. Arbetet med handlingsplanen bör bedrivas i nära sam- verkan med berörda myndigheter, kommuner, landsting och med näringslivet. Tillsyns- och sektorsmyndigheternas ansvar bör särskilt beaktas liksom de synpunkter som vissa remissinstanser framfört. Handlingsplanen kan enligt regeringens bedömning till viss del ligga till grund för arbetet i ett första skede. Staten, kommuner och landsting står inför liknande problem inom informationssäkerhetsområdet. Det kan därför finnas skäl att genom en särskild överenskommelse få till stånd en samsyn inom den offentliga sektorn i informationssäkerhetsfrågor. Även ansvarsförhållanden mellan staten, kommuner och landsting behöver tydliggöras. Informationssäkerhet bör ses som en integrerad del av verksamhets- ansvaret. Det är varje medborgares eget ansvar att inhämta kunskaper och vara medveten om de säkerhetsrisker som följer med elektronisk hantering. Det är också varje företags ansvar att svara för såväl kom- petensförsörjning som säkerhet i de egna informationssystemen. Staten har ett särskilt ansvar för informationssäkerheten inom ett antal politikområden. Inom en rad områden ställer staten krav på säkerhet. Exempel på detta är infrastruktur som elförsörjning och elektronisk kommunikation samt hantering av personuppgifter. I flera fall ombesörjs detta arbete av tillsyns- och sektorsmyndigheter som har eget ansvar, föreskriftsrätt, internationella frågor och andra styrmedel till sitt förfogande. En hög allmän kunskapsnivå om informationssäkerhet är nödvändig om skall kunna vara en ledande IT-nation. Den tekniska utveck- lingen på IT-området är i allt väsentligt styrd av olika privata aktörer på marknaden. Offentliga aktörer som bedriver samhällsviktig verksamhet bör därför utveckla rollen som kravställare och beställare. Regeringen anser också att informationsutbyte och samarbete mellan den offentliga sektorn och näringslivet bör utvecklas för att på ett kostnadseffektivt sätt bygga upp informationssäkerhetskompetensen i samhället på bredden. En god informationssäkerhet kräver goda kunskaper. Forskning och utveckling av hög teknisk kompetens inom informationssäkerhet är grundläggande för att kunna hantera informationssystem och de möjlig- heter och hot som är förknippade med dessa. Kunskaperna och medvetandet om risker måste också nå den enskilde användaren. Det gäller kunskaper om befintliga risker och hur den enskilda medborgaren kan skydda sig. Det finns flera risker med bristande kunskaper om informationssäkerhet hos enskilda.