sou · GTB371 · 2006-01-01 00:00:00 — Därför är det viktigt att forskning inom området främjas på alla nivåer. Det finns ingen med ett övergripande ansvar för forskning inom informationssäkerhet. 9 Förordning (2002:518) med instruktion för , 5 § p. Nuvarande hantering av informationssäkerhet Statskontoret har bland annat till uppgift att bistå departement och myndigheter med beställarkompetens, genom sin uppgift att se till att reglerna för den offentliga förvaltningens inköp och användning följs, och att villkoren är så bra som möjligt. På IT-området genomför Statskontoret ramavtalsupphandlingar för den offentliga sektorn. FMV upphandlar IT-komponenter och –system för totalförsvarets räkning. I upphandlingsverksamheten ingår som en väsentlig del att ställa relevanta krav på säkerhet i de produkter och tjänster som upphandlas. Det närmaste man kan komma ett ansvar för folkbildning inom informationssäkerhetsfrågor är uppgiften som finns i KBM:s instruktion: att arbeta förebyggande med utbildning och information i informationssäkerhetsfrågor.10 Folkbildning kan vara ett medel för att uppnå högre informationssäkerhetstänkande hos allmänheten. PTS har regeringens uppdrag att informera konsumenter, myndigheter och företag om Internetsäkerhet. Myndigheten har utvecklat webbplatser, en interaktiv utbildning och ett verktyg där användarna kan testa sin dator. PTS, KBM, Datainspektionen med flera deltar aktivt i lugnt för att få folk att använda Internet på ett säkrare sätt. Enligt sitt uppdrag skall Sitic samla och sprida information till organisationer och samhället som berör området IT-säkerhet. Sitics råd möjliggör för användarna att minska riskerna för, och konsekvenserna av, IT-incidenter. Detta informationsarbete sker bland annat genom publicering av förebyggande råd på en webbplats, seminarieverksamhet och föreläsningar. Tillsyn sker inom områdena säkra nät, integritetsskydd, betalningsväsendet, kvalificerade elektroniska signaturer samt säkerhetsskyddslagen. 10 Förordning (2002:518) med instruktion för , 5 § p. Nuvarande hantering av informationssäkerhet PTS har genom lagen (2003:389) och förordningen (2003:396) om elektronisk kommunikation föreskriftsrätt och tillsynsansvar.11 Lagen föreskriver att de som tillhandahåller allmänt tillgänglig kommunikationstjänst skall vidta lämpliga åtgärder för att säkerställa att behandlade uppgifter skyddas, och vidta nödvändiga åtgärder för att upprätthålla detta skydd på nätet.12 Genom en lagändring som trädde i kraft har också kraven på god funktion och teknisk säkerhet, samt på uthållighet och tillgänglighet vid extraordinära händelser i fredstid, utvidgats till att gälla all sorts elektronisk kommunikation. Etablering pågår av ett svenskt säkert nät, SGSI (Svenska statens säkra intranät). Det primära syftet är att åstadkomma en länk mot EU:s säkra nät, TESTA, men också för att kunna användas för kommunikation mellan alla anslutna myndigheter i för överföring av sekretessklassad information enligt EU:s lägsta sekretessklass (Restreint UE). Statskontoret är produktägare till SGSI och produktion och förvaltning sker i samverkan med de myndigheter som anslutit sig till tjänsten. Datainspektionen är en förvaltningsmyndighet som har till uppgift att skydda människors privatliv i IT-samhället. Datainspektionen skall följa och beskriva utvecklingen på IT-området när det gäller frågor som rör integritet och ny teknik.13 Datainspektionen ger ut allmänna råd som gäller behandlingen av personuppgifter. Reglerna om personlig integritet i dessa frågor finns i personuppgiftslagen (1998:204).14 Den som behandlar personuppgifter med hjälp av informationsteknik måste skydda uppgifterna extra noggrant, så att människors personliga integritet inte kränks. Informationstekniken kan leda till att skadan snabbt blir mycket omfattande. Särskilda bestämmelser om integritetsskydd vid elektronisk kommunikation finns i 6 kap. lagen (2003:389) om elektronisk kommunikation. PTS utövar tillsyn i enlighet med lagen. 11Lagen (2003:389) om elektronisk kommunikation, 7 kap., förordning (2003:396) om elektronisk kommunikation, 2 § samt förordning (1997:401) med instruktion för , 3 § p. 12Lag (2003:389) om elektronisk kommunikation, 6 kap. 3 §. 13Förordning (1998:1192) med instruktion för Datainspektionen, 1 § 3 st. 14Samt i lagen (2003:389) om elektronisk kommunikation, 6 kap., där även förhållandet till PUL klargörs. Nuvarande hantering av informationssäkerhet övervakar företagen på finansmarknaden och har i uppdrag att bidra till att finanssystemet fungerar effektivt och uppfyller kravet på stabilitet.15 verkar även för gott konsumentskydd i finanssektorn.16 PTS utövar tillsyn enligt lagen (2000:832) om kvalificerade elektroniska signaturer, samt meddelar föreskrifter enligt förordningen (2000:833) om kvalificerade elektroniska signaturer.17 Bestämmelser om informationssäkerhet finns i säkerhetsskyddslagen (1996:627). I säkerhetsskyddsförordningen (1996:633) finns närmare bestämmelser om säkerhetsskydd. Av säkerhetsskyddslagens 31 § och säkerhetsskyddsförordningens 39- 42 §§ framgår att tillsynsansvaret främst åvilar RPS och Försvarsmakten. FRA bistår RPS och Säkerhetspolisen i arbetet med tillsyn enligt säkerhetsskyddslagstiftningen. Finansieringsfrågan för detta arbete är ej tillräckligt klarlagd i dagens läge. är den myndighet som har till uppgift att stödja utvecklingen av ett säkert och effektivt elektroniskt informationsutbyte mellan myndigheter samt mellan myndigheter och enskilda. Enligt förordningen (2003:770) om statliga myndigheters elektroniska informationsutbyte får meddela föreskrifter i fråga om standarder eller liknande krav som skall vara gemensamma för elektroniskt informationsutbyte för myndigheter under regeringen. Nämnden skall när den meddelar föreskrifter beakta nationell och internationell standard. 15Förordning (1996:596) med instruktion för , 1 §. 16Förordning (1996:596) med instruktion för , 2 §. 17Förordning (1997:401) med instruktion för , 3 § p. Nuvarande hantering av informationssäkerhet finns ingen med övergripande ansvar för statens medverkan i standardiseringsarbetet på informationssäkerhetsområdet. Standarder gäller både administrativa och tekniska rutiner, men ligger i båda fallen till grund för möjligheten att utföra revision av arbetet. Utredningen anser att skapandet av standarder inte är ämnat att likrikta. Det handlar istället om att tillämpa och utveckla standarder som även går att revidera mot. En del av informationsspridningen är att medvetandegöra samhället så att informationssäkerhetsfrågorna finns närvarande som en naturlig komponent i användandet av informationsteknik. Denna verksamhet bedrivs av ett flertal aktörer; RPS genom Säkerhetspolisen, KBM, och (bland annat genom Sitic) samt FM. Den brottsförebyggande verksamheten inom informations- säkerhetsområdet bedrivs av RPS, och då främst av Säkerhetspolisens säkerhetsskyddsenhet och vid den med RKP gemensamma samordningsfunktionen för brottsrelaterade IT- incidenter (S-BIT). Brottsförebyggande verksamhet inom informationssäkerhetsområdet bedrivs även vid RKP:s IT- brottsrotel samt vid och även i viss omfattning vid landets övriga polismyndigheter. Utredningen har tidigare slagit fast vikten av internationell samverkan. En hel del arbete bedrivs inom EU för att öka nät- och informationssäkerheten, stärka integriteten samt öka tillgängligheten. En annan del är den samverkan som sker inom ramen för internationell polis- och säkerhetstjänstsamverkan. Problemen med hoten mot informationssystem är i allra högsta grad internationella och därmed en global angelägenhet. Nuvarande hantering av informationssäkerhet Utredningen har funnit att det svenska deltagandet i internationellt utbyte varit splittrat och inte samordnat i tillräcklig utsträckning. har ett rykte om hög nivå på informationssäkerhetsområdet. För att skall ha fortsatt gott genomslag inom området måste den internationella samverkan samordnas. Utredningen konstaterade i sitt tredje delbetänkande, Säker information - förslag till informationssäkerhetspolitik (SOU 2005:42), att de olika utredningsförslagen innebär att riktlinjer implementeras i . 2.2.7Samverkan offentligt – privat Utredningen har tidigare påtalat vikten av samverkan mellan det offentliga och det privata. På den tekniska sidan har utredningen identifierat behov av handhavande av följande funktioner: incidentrapporter, certifiering och evaluering samt teknikkompetens. IT-incidentrapporter hanteras av PTS. IT-incidenter med brottskoppling hanteras inom Polisen och Säkerhetspolisen. PTS fick 2002 i uppdrag av regeringen att inrätta en rikscentral för IT- incidentrapportering, Sitic.18 Funktionen skall fungera som en rikscentral för IT-incidentrapportering och ha som främsta uppgift att stödja samhället med skydd mot IT-incidenter. För att förbättra samhällets skydd mot IT-incidenter är omvärldsbevakning och reaktioner på den centralt. I början förelåg problem med att rapporter inte kunde sekretessbeläggas. Efter en lagändring kan emellertid Sitic nu sekretessbelägga incident- rapporter från alla samhällets organisationer. Mörkertalsstudien19, som genomfördes av Sitic och RKP, indikerar att det huvudsakliga 18Regeringsbeslut , dnr N2002/5443/ITFoU. 19Mörkertalsundersökningen 2005 – Svenska organisationer om IT-säkerhetsincidenter, PTS, dnr 05-9152/59. Nuvarande hantering av informationssäkerhet skälet till att organisationer väljer att inte rapportera till Sitic är att man inte känner till Sitics arbete. Certifiering av granskningsresultat (evalueringsresultat) bedrivs av certifieringsorgan, CB (Certification Body). Certifiering av IT-säkerhet i produkter och system FMV har fått i uppdrag att upprätta en svensk funktion för certifiering av produkter mot standarden ISO/IEC 15408, evalueringskriterier för IT-säkerhet, även kallad Common Criteria for Evaluation. Denna standard anger hur man kan formulera krav på, deklarera respektive utvärdera realiseringen av erforderliga säkerhetsfunktioner. Enligt uppdraget skall FMV:s funktion ackrediteras av Swedac i enlighet med lagen (1992:1119) om teknisk kontroll. Swedac har i enlighet med ovan nämnda lag ackrediterat två privata organ, DNV och SEMKO-DEKRA för certifiering av ledningssystem för informationssäkerhet, . Certifiering sker mot kraven i standarden SS 627799-2. Denna standard håller på att antas som internationell standard, ISO/IEC 27001, Requirements. I funktionen teknikkompetens finner vi signalskydd, teknisk analys och aktiv IT-kontroll. Signalskydd är ett av de viktigaste medlen för att uppnå erforderlig informationssäkerhet i känsliga system, och kryptografi är en viktig metod för att erhålla sekretess i ett system. Nuvarande hantering av informationssäkerhet Försvarsmakten, genom MUST, leder och samordnar signalskyddet inom totalförsvaret. KBM samordnar signalskydds- tjänsten inom sitt verksamhetsområde, och FMV har ansvar för att samordna försvarsindustrins behov av signalskydd. Försvarsmakten ansvarar också för upphandlingen av krypto- system, inklusive upphandling av utveckling av kryptosystem. Detta arbete sker i samarbete med FRA och FMV. Upphandling av kryptosystem sker av FMV på uppdrag av Försvarsmakten och KBM. Utredningen har konstaterat att behovet av signalskydd har ökat i samhället, främst beroende av att allt mer information överförs i oskyddade nät. Försvarsmaktens ansvar för signalskyddstjänsten begränsar sig till att tillgodose totalförsvarets krav på att skydda försvarssekretess, enligt Sekretesslagen (1980:100) 2 kap. 2 §. Detta får till följd att viktiga samhällssektorer inte per automatik får tillgång till dessa signalskyddssystem. I takt med det ökande samarbetet med andra stater och internationella organisationer, främst inom EU, har det uppkommit krav från svenska företag, som vill exportera signal- skyddssystem till andra länder, att få dessa signalskyddssystem godkända för användning i . Ett sådant godkännande är en förutsättning för att företag skall kunna exportera inom EU. Då Försvarsmakten inte har denna roll, utan bara kan godkänna signalskyddssystem för totalförsvaret, kan inte företagen vara med och konkurrera på den europeiska marknaden. Försvarsmakten har också ansvaret för att bedriva signalskyddsutbildning inom totalförsvaret. Det sker vid Totalförsvarets signalskyddsskola (TSS), som är en del av Försvarsmakten Regemente, S1. KBM köper utbildning av Försvarsmakten för det behov som de civila myndigheterna har. finns ingen organisation formellt utpekad som ansvarig för signalskyddsfrågor, så kallad Authority (NCSA). Det finns inte heller någon formellt utpekad som behörig att distribuera kryptonycklar, så kallad National Distribution Authority (NDA). utförs detta arbete i praktiken av Försvarsmakten. Nuvarande hantering av informationssäkerhet Aktiv IT-kontroll med sanktionerade intrångsförsök utförs av FRA. Aktiv IT-kontroll är ett effektivt medel för en organisation att få behovet av informationssäkerhet tydliggjort. Teknisk analys omfattar, utöver aktiv IT-kontroll, även bland annat tekniskt stöd vid kriminalteknisk analys, kodgranskning, teknisk rådgivning, evalueringsarbete, tekniskt arbete med standarder, internationellt tekniksamarbete med mera, samt den administrativa analys som krävs för fullgörandet av andra delar av teknisk analys. har FRA i uppdrag att utföra teknisk analys, enligt sin instruktion.20 Dessutom tillhandahåller en del privata aktörer tjänster på området. Enligt ansvarsprincipen är alla myndigheter ansvariga att tillse att de har en tillräcklig informationssäkerhet inom sin verksamhet. Vissa myndigheter arbetar mer direkt med informationssäkerhets- frågor än andra. I Samhällets säkerhet och beredskap (prop. 2001/02:158) fördelade regeringen nya uppgifter inom informationssäkerhetsområdet på främst fyra utpekade myndig- heter. FMV, FRA, KBM samt PTS tilldelades ansvar inom verk- samhetsområdena system för evaluering och certifiering, teknik- kompetens, omvärldsanalys samt IT-incidenthantering. Regeringen anmälde i samma proposition att en utvärdering skulle ske . I ett tilläggsdirektiv (dir. 2004:46) fick (Fö 2002:6) i uppdrag att genomföra denna utvärdering. Bland övriga myndigheter inom informationssäkerhetsområdet finns RPS, Försvarsmakten, FHS och Statskontoret. Datainspektionen och har ett visst tillsynsansvar på området. Även kommer i kontakt med informationssäkerhetsfrågor, i sitt arbete med att tillvarata konsumenternas intressen. Liknande uppgifter har . Nedan följer en genomgång av deras arbete på området . 20 Förordning (1994:714) med instruktion för , 3 a §. Nuvarande hantering av informationssäkerhet Inom RPS är det främst Säkerhetspolisen som arbetar med informationssäkerhetsfrågor. En del arbete bedrivs även av RKP genom S-BIT som är RKP:s och Säkerhetspolisens samordnings- funktion för brottsrelaterade IT-incidenter. Eftersom Polisen har en rättsvårdande funktion är det av vikt att skilja de rättsvårdande uppgifterna från informationssäkerhets- frågorna. RKP utgör även kontaktpunkt inom G8:s 24/7- kontaktnät. Det innebär att när någon inom vill komma i kontakt med rättsvårdande myndigheter i samband med IT-relaterade incidenter kan de göra det under veckans och dygnets alla timmar. RKP utgör även kontaktpunkt för kontaktnät NCRP (National Central Reference Point). Skillnaden mellan G8:s 24/7-nätverk och NCRP är att inte har krav runt. RPS utövar tillsyn enligt säkerhetsskyddsförordningen (1996:633) och kontrollerar då säkerhetsskyddet när det gäller (), KBM, (), Styrelsen för psykologiskt försvar (SPF) och övriga myndigheter, utom Justitiekanslern () och de som Försvarsmakten utövar tillsyn över enligt samma förordning.21 Försvarsmakten leder och samordnar signalskyddstjänsten inom totalförsvaret.22 I det arbetet ansvarar Försvarsmakten för utveckling och godkännande av signalskyddssystem, produkter och distribution av signalskyddsnycklar samt kontroll och uppföljning av verksamheten. Försvarsmaktens ansvars- och tillsynsområde enligt säkerhetsskyddsförordningen (1996:633) omfattar FHS, FMV, FOI, FRA, samt Pliktverket.23 Dessutom utövar Försvarsmakten (Certificate Authority) för PKI-funktioner (Public ). Övervakning av Försvarsmaktens egna nät sker genom FM CERT. Övervakningen inriktas på att säkerställa sekretess, tillgänglighet, riktighet och spårbarhet. 21Säkerhetsskyddsförordning (1996:633), 39 §. 22Förordning (2000:555) med instruktion för Försvarsmakten, 4 § p. 23Säkerhetsskyddsförordning (1996:633), 39 §. Nuvarande hantering av informationssäkerhet Enligt sin instruktion lämnar Försvarsmakten även stöd till avseende signalskyddstjänst.24 Inom signalskyddsområdet och IT-säkerhetsområdet tillhanda- håller Försvarsmakten även signalskydds- och säkerhetslösningar för EU:s rådssekretariat, samt utbyter information bilateralt. Försvarsmakten utövar i praktiken rollen som NCSA (Authority) genom MUST Säkerhetskontor, men något formellt beslut i frågan har inte tagits. Försvarsmakten är en myndighet som hanterar stor mängd sekretessbelagt material på totalförsvarets område, och således har stora behov av kvalificerade informationssäkerhetslösningar. En del av hotbilden mot Försvarsmakten och dess tillsynsmyndigheter på informationssäkerhetsområdet utgörs av främmande länders underrättelse- och signalspaningstjänst. Detta hot har medfört att Försvarsmakten har utvecklat en god kompetens avseende informationssäkerhet. Utvecklingen med att ta fram kvalificerade IT-säkerhets och –kryptolösningar har bland annat skett med stöd av FRA och FMV. Försvarsmakten utvärderar också IT-säkerhets- och kryptolösningar för att kunna använda resultatet såväl internt som hos tillsynsmyndigheterna. Vidare har Försvarsmakten ansvar för att bedriva signalskyddsutbildning inom totalförsvaret vid Totalförsvarets signalskyddsskola (TSS), som är en del av , S1, i . För att möta en helhetssyn inom informationssäkerhetsområdet omorganiserades de delar av MUST som hanterar såväl administrativa som tekniska informationssäkerhetsfrågor till . Detta för att erhålla synergi i hur IT-säkerhet inklusive signalskydd tillsammans med administrativa regler, kontrollinstrument och hotbildsanalys samverkar för att kunna möta varierande hotbilder och förutsättningar. Inom Försvarsmakten är det chefen för som är ansvarig för informationssäkerhetsfrågor. FMV fick i uppdrag att bygga upp ett system för certifiering av IT- säkerhetsprodukter inom ramen för Common Criteria Recognition Agreement (CCRA) i enlighet med proposition 2001/02:158 24 Förordning (2000:555) med instruktion till Försvarsmakten, 4 §. Nuvarande hantering av informationssäkerhet Samhällets säkerhets och beredskap. CCRA är en samverkan mellan tjugo nationer där det övergripande målet är att höja den nationella säkerheten genom att använda Common Criteria som ett verktyg för kravställning och granskning. FMV leder arbetet inom den internationella standardiseringsgrupp som ansvarar för bland annat Common Criteria. FMV:s certifieringar, liksom de som utförs av eventuella andra svenska certifieringsorgan, skall med hjälp av detta system kunna erkännas internationellt. En av huvuduppgifterna är att utfärda certifikat för IT-produkter baserade på Common Criteria, den internationella standarden Kriterier för utvärdering av IT-säkerhet (IS 15408). FMV kommer att söka ackreditering som certifieringsorgan, CB (Certification Body). Ackrediteringen sker genom Swedac. Att bygga upp ett system för certifiering och evaluering är en krävande process. Även om man tar det i beaktande, konstaterar utredningen att arbetet dragit ut . FMV hade inledningsvis en del problem som påverkat möjligheterna att genomföra uppdraget. Ansvars- och rollfördelningen mellan Swedac och FMV har varit föremål för långa diskussioner. Myndigheterna har olika syn på vem som skall göra vad i förhållande till CCRA. Detta har inneburit att de andra medlemsländerna har ställt sig undrande till vem som är ansvarig och vem som utgör certifieringsorgan i . FRA har i uppdrag att genomföra IT-säkerhetsanalyser.25 FRA skall ha hög teknisk kompetens inom informationssäkerhets- området och får efter begäran stödja sådana statliga myndigheter och statlig ägda bolag som hanterar information som bedöms vara känslig ur sårbarhetssynpunkt eller ur ett säkerhets- eller försvarspolitiskt avseende.26 Detta mandat gäller endast myndigheter och statligt ägda bolag som bedriver samhällsviktig verksamhet. Det innebär att samhällsviktig verksamhet som bedrivs av privata företag inte kan omfattas. Till exempel kan FRA stödja men inte . 25Förordning (1994:714) med instruktion för , 3 a § p. 26Förordning (1994:714) med instruktion för , 3 a § st. 1. Nuvarande hantering av informationssäkerhet FRA har ett ansvar att tillgodose signalskyddsverksamheten med kryptologisk kompetens. FRA:s uppdrag att skapa en teknikkompetensfunktion inom informationssäkerhetsområdet har lett till att FRA har en enhet för Teknisk Informationssäkerhet och en grupp för forskning och utveckling inom informationssäkerhetsområdet. Statens behov av en resurs med hög teknisk kompetens inom IT- säkerheten slogs fast av Sårbarhets- och säkerhetsutredningen.27 Regeringen angav i Samhällets säkerhet och beredskap (prop. 2001/02:158) att teknikfunktionen vid FRA inte bör uppträda på konkurrensutsatta marknader, men att staten har ett ansvar för att säkerställa att denna sorts kompetens finns att tillgå på nationell nivå. Den ökade efterfrågan på FRA:s tjänster, tillsammans med dess uppbyggda kompetens, har aktualiserat konkurrensfrågor . FRA har kompletterat sin verksamhet med säkerhetsanalyser och förmåga att även leverera tjänster inom administrativ informationssäkerhet. Det föreligger oklarhet kring vad som kan anses innefattas i uppdraget till FRA. FRA bistår Säkerhetspolisen i tillsynen enligt säkerhetsskyddslagstiftningen.28 Finansieringsfrågan är inte tillfredsställande löst. Enligt förordning (2002:528) med instruktion för har KBM givits en form av samman- hållande ansvar för frågor på informationssäkerhetsområdet.29 KBM har inrättat en samverkansgrupp för informationssäkerhet (Samfi), där förutom KBM även FRA, FMV och PTS deltar tillsammans med Försvarsmakten, Statskontoret samt RPS och Säkerhetspolisen genom S-BIT. KBM samverkar även med liknande myndigheter i andra länder och utgör internationella kontaktpunkt för informationssäkerhetsfrågor inom myndighetens ansvarsområde.30 Myndigheten KBM inrättades . En särskild enhet för informationssäkerhetsfrågor inrättades emellertid först . KBM verkar endast i begränsad utsträckning ha påbörjat 27SOU 2001:41 Säkerhet i en ny tid, s. 205. 28Säkerhetsskyddslagen (1996:627) och Säkerhetsskyddsförordningen (1996:633). 29Förordning (2002:518) med instruktion för , 5 §. 30Förordning (2002:518) med instruktion för , 9 §. Nuvarande hantering av informationssäkerhet verksamheter som syftar till att tillgodose de förändringsbehov som identifierats. Informationssäkerhetsfrågorna är synnerligen viktiga men har inte alltid fått den prioritet som är motiverat av frågans allvar. Varken KBM eller någon annan myndighet har emellertid fått något utpekat ansvar för ledning av samordningen av informationssäkerhetsfrågorna, vilket i vissa sammanhang utgör ett problem. KBM bedriver omvärldsbevakning samt analys av omvärlds- utvecklingen. Genom att sammanställa risk- och sårbarhetsanalyser samt inhämtning från andra öppna källor lämnar myndigheten en årlig lägesbedömning på informationssäkerhetsområdet till regeringen.31 Ytterligare en uppgift för myndigheten är att utveckla samarbetet mellan stat och näringsliv. KBM har utvecklat en teknisk rekommendation med enkla råd – BITS (basnivå för IT-säkerhet). BITS används bland annat av länsstyrelser, kommuner och landsting i arbetet med att vidareutveckla IT-säkerheten. 2.4.6Post- och och Sitic Inom informationssäkerhetsområdet har PTS ett ansvar som bland annat följer av lagen (2003:389) om elektronisk kommunikation.