prop · GX03124 · 2010-04-27 00:00:00 — Förordningen ställer krav på en landsom- fattande preliminär bedömning av översvämningsrisker och att områden med betydande översvämningsrisk identifieras. För dessa områden ska kartor över hotade områden och dess risker tas fram. Dessa kartor ska ligga till grund för länsstyrelsernas planer för hanteringen av översväm- ningsrisker. Myndigheten för samhällsskydd och beredskap ska ta fram vissa föreskrifter på området, utföra den preliminära riskbedömningen, ta fram kartor över de översvämningshotade områdena och rapportera till EU. kommer arbetet med direktivet att öka kunskapen om översvämningsproblematiken, stärka samverkan och säkerheten samt öka krisberedskapen för översvämningar på lokal och regional nivå samt nationellt och inom EU. Inom FN och EU pågår arbete för att möta och hantera klimat- förändringarna och det ökande antalet naturolyckor, inte minst den ökade frekvensen av översvämningar och stigande havsnivåer. arrangerade MSB i samarbete med Försvarsdepartementet och kommissionen en workshop om hur EU kan samverka för att höja den gemensamma förmågan att förebygga naturkatastrofer och andra katastrofer. Europeiska unionens råd antog rådsslut- satser om förebyggande av katastrofer vilka arbetats fram under det svenska ordförandeskapet (Rådets slutsatser av om en gemenskapsram för förebyggande av katastrofer i EU, dok. 15394/09). Rådsslutsatserna uppmanar såväl kommissionen som medlemsstaterna att ta initiativ på förebyggandeområdet. Genom att i samband med världskonferensen om katastrof- riskreducering 2005 ställde sig bakom Hyogodeklarationen och Framework for Action 2005-2015 har och övriga medlemsländer förbundit sig att ha inrättat nationella plattformar för arbetet med naturolyckor. Utbyte sker också mellan olika länders plattformar. I finns , med MSB som ansvarig koordinerande myndighet, en nationell plattform för arbetet med naturolyckor, där 18 myndigheter och organisationer samverkar. Syftet är att öka samhällets förmåga att förebygga och hantera negativa konsekvenser av naturolyckor. Myndigheten för samhällsskydd och beredskap arbetar, tillsammans med övriga deltagande myndigheter, med att kartlägga och identifiera roller och ansvar för att förebygga och hantera naturolyckor. Regeringen anser att det är angeläget att arbetet fortskrider, särskilt med hänsyn till samhällets anpassning till ett förändrat klimat och det förväntade behovet av samlat stöd till länsstyrelser och kommuner som förväntas på grund av detta. Regeringen har i enlighet med inriktningen i propositionen En sammanhållen klimat- och energipolitik Klimat (prop. 2008/09:162, bet. 2008/09:MJU28, rskr. 2008/09:300) uppdragit åt i att kartlägga riskerna för översvämningshot på centrala funktioner i systemet med trafik- och försörjningstunnlar under samt att upprätta ett förslag för åtgärder för höjd säkerhet i dessa system (Fö2010/559/SSK). Uppdraget ska redovisas . Regeringen har dessutom uppdragit åt MSB att analysera och bedöma vilka konsekvenser en översvämning i skulle kunna få för olika samhällssektorer (Fö2010/560/SSK). Uppdraget ska redovisas . I ett längre perspektiv bör såväl klimatanpassningsarbete, fysisk planering och byggande, arbete med olycks- och krisberedskap samt hantering av olyckor och allvarliga störningar ses i ett helhetsperspektiv. I propositionen En enklare plan- och bygglag (prop. 2009/10:170) som beslutades föreslår regeringen bl.a. att det införs nya bestämmelser som innebär att miljöaspekter och klimatanpassnings- åtgärder ska beaktas vid planläggning och byggande. Vid detaljplan- läggning och i ärenden om bygglov och förhandsbesked ska hänsyn tas till risken för olyckor, översvämningar och erosion. Även ska bevaka att kommunens planläggning av bebyggelse och byggnads- verk inte blir olämplig med hänsyn till människors hälsa eller säkerhet eller till risken för olyckor, översvämning eller erosion. Den nya föreslås träda i kraft . Även i övriga delar av den lagstiftning som kan påverka den fysiska miljön bör behovet av klimatanpassning beaktas. Inom infrastruktur- området har ökad robusthet varit en av utgångspunkterna för all planering. En parlamentarisk utredning, (N2009:03), analyserar väglagen (1971:948) och lagen om byggande av järnväg (1995:1649) i syfte att effektivisera planerings- processen bl.a. genom god samordning med annan fysisk planering. 2009/10:124 Kommittén ska redovisa sitt arbete . Regeringen anser att åtgärder bör vidtas i den fysiska planeringen, både vad gäller nyexploatering och i befintlig bebyggelse, så att samhälls- viktig verksamhet inte utsätts för t.ex. översvämningsrisker. Dessutom bör åtgärder vidtas på lokal nivå för att begränsa naturolyckors konsekvenser. Klimatanpassningsåtgärder bör knytas ihop med före- byggande åtgärder mot naturolyckor och eventuella restriktioner i mark- användning och fysisk planering. Allt i syfte att bygga ett långsiktigt hållbart samhälle som redan i planeringsskedet väger in behovet av robusthet. En effektiv process bör skapas för klarläggande av frågor om ansvarsfördelning och finansiering av åtgärder både i exploaterings- sammanhang och i samband med bevarandebehov. Hur stort ansvar som samhället ska ha och vad som åvilar ägare av fastigheter bör klarläggas. Motsvarande klarlägganden bör också ske vad avser kostnader för olycks- och krishantering samt återställande. Skydd av samhällsviktig verksamhet och Regeringens bedömning: Det finns ett behov av att arbeta mer målmedvetet med frågor om skydd av samhällsviktig verksamhet och kritisk infrastruktur på nationell nivå. och beredskap bör i nära samverkan med berörda myndigheter utarbeta en nationell strategi på området. Det finns också ett behov av att arbeta mer strategiskt med skydd av samhällsviktig verksamhet och kritisk infrastruktur i arbetet i EU inom ramen för EU:s program för skydd av kritisk infrastruktur. nationella strategin för skydd av samhällsviktig verksamhet bör även kunna fungera som vägledning för svenska aktörer i arbetet på EU- Det finns ett fortsatt behov av att arbeta vidare med frågorna gällande hur krisberedskapen i betalningssystemet kan stärkas, samt hur de grundläggande kraven på uthållighet och säkerhet i systemet Skälen för regeringens bedömning: Samhällsviktig verksamhet finns på alla nivåer, såväl lokalt och regionalt som nationellt, och kan bedrivas av aktörer utanför landets gränser. Exempel på sådan verksamhet är samhällets elförsörjning avseende produktion, distribution och handel. Ett bortfall av eller en svår störning i samhällsviktig verksamhet kan ensamt eller tillsammans med motsvarande händelser i andra verksam- heter leda till att en allvarlig kris inträffar i samhället. tidigt är ofta verksamheten i sig en förutsättning för att kunna hantera händelser så att skadeverkningarna blir så små som möjligt. skydd av samhällsviktig verksamhet är bl.a. att säkerställa en robusthet för att kunna motstå och hantera såväl olyckor som allvarliga händelser Regeringen angav i budgetpropositionen (prop. 2009/10:1, Skr. 2009/10:124 bet. 2009/10:FöU1, rskr. 2009/10:104) att arbetet med att ta fram ett nationellt program för skydd av samhällsviktig verksamhet bör fortsätta liksom arbetet med att identifiera grundläggande säkerhetsnivåer. Det europeiska EPCIP-programmet för skydd av kritisk infrastruktur (European Programme for Critical Infrastructure Protection) innehåller flera delar. Vad som är kritisk infrastruktur ryms inom det vidare begreppet samhällsviktig verksamhet, men har en tydligare koppling till teknisk infrastruktur. EU arbetet tar sikte på att skydda sådan infra- struktur som har gränsöverskridande betydelse. Viktiga delar är rådsdirektivet (ECI-direktivet, 2008/114/EG) som anger EU:s mål när det gäller att identifiera och klassificera europeisk kritisk infrastruktur, samt det frivilliga () för informationsdelning. Vidare har kommissionen lagt fram förslag om att möjliggöra avancerade fysiska tester av kritisk infrastruktur inom EU med syfte att kunna begränsa beroendet av anlägg- ningar i . Kommissionen arbetar mycket aktivt med dessa frågor och nya förslag och initiativ presenteras kontinuerligt. Efter utvärde- ringsperioden av energi- och transportsektorn, som är de enda sektorerna som omfattas av ECI-direktivet, kommer ytterligare sektorer som bör omfattas att föreslås. Det är därför viktigt att har en förmåga att delta aktivt i utvecklingen för att kunna påverka arbetet på EU-nivå. En nationell strategi bör utgöra grunden för en stärkt förmåga att driva frågan på nationell nivå men även på EU-nivå. Regeringen har uppdragit åt Myndigheten för samhällsskydd och beredskap att ta fram ett sådant program på området. Arbetet ska ske i nära samverkan med berörda myndigheter och det är viktigt att näringslivet involveras utifrån rollen som ägare av en stor del av den samhällsviktiga verksamheten och kritiska infrastrukturen. Uppdraget ska redovisas . Frågor som en sådan strategi ska omfatta är bl.a. en tydligare definition av de centrala begreppen sam- hällsviktig verksamhet och kritisk infrastruktur. Vidare ska strategin ge en långsiktig vision som vägledning för arbetet, vilka prioriteringar som bör göras och vilket mervärde det innebär för inblandade aktörer. föreslår i rapporten i betalningssystemet (RiR 2007:28) att regeringen fastställer vilka krav på uthållighet och säkerhet som betalningssystemet måste klara, vilken myndighet som ska ha det övergripande krisberedskapsansvaret för betalningssystemet samt att regeringen bör förbättra sin samlade bild avseende hot, sårbarheter och konsekvenser av omfattande tekniska störningar i betalnings- systemet. Regeringen har i budgetpropositionerna informerat om det arbete som gjorts på området. Bland annat har Finans- inspektionen och lämnat rapporter där myndigheterna redovisar förslag, analyser, initiativ och planer utifrån uppdrag som lämnats i respektive myndighets regleringsbrev. har (Fi2010/1619) beslutat om en utredning om hur statens förmåga att hantera allvarliga kriser i betalningssystemet kan stärkas. Arbetet ska redovisas . 18.1En nationell strategi för samhällets informations- säkerhet Regeringens bedömning: För att kunna bedriva ett strategiskt och sammanhållet informationssäkerhetsarbete på nationell nivå i behövs en tydlig strategi med bred förankring i samhället. Skälen för regeringens bedömning: Med informationssäkerhet avses förmågan att upprätthålla önskad konfidentialitet, riktighet och tillgänglighet vid hantering av information. Informationssäkerhet handlar om att säkra informationssystem i syfte att värna olika värden i samhället såsom demokrati, personlig integritet, tillväxt samt ekonomisk och politisk stabilitet. Det är viktigt att ha en helhetssyn på informations- säkerhet eftersom det är ett komplext och gränsöverskridande område, såväl geografiskt som vad avser bl.a. teknik, administration, ekonomi och juridik. Det handlar om alltifrån vardagssäkerhet till säkerhet vid kris- hantering. betraktas informationssäkerhet av de flesta länder som en stor nationell utmaning och anses också vara av strategisk, utrikespolitisk och säkerhetspolitisk betydelse. Regeringen avser att ge hög prioritet åt frågor kring säkerhet och frihet på Internet. En storskalig IT-incident bedöms kunna få allvarliga konsekvenser för såväl ekonomi som för samhällsviktig verksamhet och kritisk infra- struktur. På grund av samhällets ökade IT-beroende är sannolikheten stor att samhällsviktiga system som finansiella system, ledningscentraler för trafiksystem, administrativa och medicinska system inom sjukvården, digitala kontrollsystem för el och vatten samt elektroniska kommunika- tioner drabbas. Målsättningen är att samtliga aktörer i samhället ska kunna lita på att informationssystemen är robusta och tillförlitliga avseende såväl konfidentialitet som riktighet. Bristande informationssäkerhet ställer ökade krav på samhällets krisberedskap och förmåga att hantera all- varliga störningar och kriser. Bristerna kan vidare inverka negativt på brottsbekämpning, näringslivets lönsamhet och tillväxt samt med- borgarnas personliga integritet. För att åstadkomma en god informa- tionssäkerhet i samhället både i normaltillstånd och i ett krisläge måste frågan därför uppmärksammas bland alla aktörer, privata såväl som offentliga. Åtgärder måste vidtas för att förebygga, indikera och hantera händelser i vardagen liksom i allvarliga situationer. Informationssäkerhet har en nära koppling till den sektorsövergripande krishanteringen eftersom konsekvenserna av en större IT-incident med stor sannolikhet genom bl.a. spridningseffekter drabbar samhällsviktig verksamhet i de flesta sektorer. Därför är det särskilt viktigt att informa- tionssäkerhetsfrågor är väl integrerade i arbetet med risk-, sårbarhets- och säkerhetsanalyser avseende samhällets förmåga och beroendeför- hållanden. Informationssäkerhetsarbetet är också en viktig del i arbetet enligt säkerhetsskyddslagen (1996:627). Enligt ansvarsprincipen ansvarar varje aktör för att den egna verksam- heten har en tillräcklig informationssäkerhet. Det övergripande ansvaret på nationell nivå är uppdelat på ett antal myndigheter bl.a. Myndig- heten för samhällsskydd och beredskap (MSB), , , , , Försvars- makten och . Detta innebär t.ex. att Rikspolis- styrelsens (Säkerhetspolisen) ansvar, som regleras i säkerhetsskydds- lagen, gäller för de verksamheter som hanterar uppgifter som berör rikets säkerhet eller behöver skydd mot terrorism. Samverkansgruppen för informationssäkerhet (Samfi), där ovanstående myndigheter ingår, har en särskilt viktig roll då den syftar till att åstadkomma samverkan mellan de statliga myndigheter som har särskilda uppgifter på informationssäker- hetsområdet. Då större delen av den digitala informations- och kommunikationsinfrastrukturen och därmed också kompetens och erfarenhet, finns inom den privata sektorn, är det även viktigt att utveckla former för samverkan mellan privata och offentliga aktörer. För att kunna nyttja samhällets samlade förmåga på informationssäkerhetsområdet krävs funktioner för samverkan och samordning inom alla samhälls- sektorer och ansvarsnivåer, t.ex. tydliga strukturer och rutiner. För att kunna åstadkomma en ändamålsenlig samverkan är det viktigt att ansvar och roller är tydligt angivna, något som gäller både inom den offentliga sektorn och mellan offentlig och privat sektor. För att skapa en gemensam förståelse för informationssäkerhet, dess syfte och hur framtida insatser bör inriktas, samt för att skapa bättre förutsättningar för arbetet med samhällets informationssäkerhet är det viktigt att ha en tydlig nationell strategi med bred förankring i samhället. Detta för att kunna bedriva ett sammanhållet nationellt förebyggande arbete på informationssäkerhetsområdet. I dåvarande regleringsbrev för gav regeringen myndigheten i uppdrag att ta fram en nationell handlingsplan för samhällets informationssäkerhet (Fö2009/2566/SSK). Handlingsplanen redovisades till regeringen . Enligt handlingsplanens tredje åtgärdsförslag ska den nationella strategin som redovisas i delbetänkande Säker information förslag till informationssäkerhetspolitik (SOU 2005:42) uppdateras. Detta arbete genomförs av berörda myndigheter med MSB som samordnande myndighet. Strategin bör ange långsiktiga målsättningar och arbetssätt för informationssäkerhet i och omfatta informationssäkerhet i verksamheter, kompetensförsörjning, informationsdelning, samverkan och respons, kommunikationssäkerhet, samt säkerhet i produkter och system där nyckelorden är helhetssyn, ansvar och samverkan. Strategin bör omfatta hela samhället, dvs. alla statliga myndigheter, kommuner, landsting, företag, organisationer och privatpersoner. Målen för samhällets informationssäkerhet, som för- väntas uppnås genom strategin, är följande: -Säkra samhällets funktionalitet, effektivitet och kvalitet. -Bidra till samhällets brottsbekämpning. -Stärka samhällets förmåga att förebygga och hantera allvarliga störningar och kriser. -Främja näringslivets tillväxt. - medborgares fri- och rättigheter och personliga integritet. - Öka medborgares och verksamheters kunskap om och förtroende Skr. 2009/10:124 för informationshantering och IT-system. Myndigheten för samhällsskydd och beredskap har uppdraget att stödja och samordna samhällets informationssäkerhet och bör verka för att, till- sammans med myndigheter och näringsliv, omsätta strategin i konkreta åtgärder. 18.2Samhällets samlade förmåga att förebygga och hantera IT-incidenter Regeringens bedömning: I takt med det ökande IT-beroendet blir samhället mer sårbart och utsätts för nya typer av hot och risker. För att förebygga, indikera och hantera IT-incidenter krävs en samlad insats, baserad på samarbete och samverkan mellan olika aktörer i enlighet med ansvarsprincipen. För att förbättra samhällets förmåga att förebygga och hantera IT-incidenter krävs en sammanhållen struktur. En viktig del i detta är inrättandet av en nationell samverkansfunktion för informationssäkerhet. Myndigheten för samhällsskydd och bered- skap bör i samverkan med berörda myndigheter verka för en sådan funktion. En säker digital informations- och kommunikationsinfra- struktur för offentlig sektor bör etableras. Skälen för regeringens bedömning: har goda förutsättningar att skapa strukturer för att förebygga och hantera IT-incidenter. Många av de nödvändiga resurserna, kompetenserna och funktionerna för att hantera IT-incidenter finns redan inom den privata och den offentliga sektorn. Samhällets förmåga att förebygga och hantera en storskalig IT- incident har dock brister. ökar beroendet av IT i exempelvis verksamheter som sjukvården och finanssektorn. En administrativ och teknisk infrastruktur för informationsdelning och respons i vid mening är nödvändig där samtliga aktörer av betydelse för samhällsviktig verksam- het och kritisk infrastruktur finns representerade. Myndigheten för samhällsskydd och beredskap (MSB) redovisade förslag om samhällets samlade förmåga att hantera IT- incidenter (Fö2009/2162/SSK). Myndighetens huvudsakliga förslag är att skapa en sammanhållen struktur för att stärka den nationella förmågan att förebygga och hantera allvarliga IT-incidenter bl.a. genom en nationell samordningsfunktion. Regeringen anser att ett antal åtgärder bör genom- föras för att öka förmågan till ledning, samverkan och samordning, öka informationsdelningen, skapa en gemensam lägebild samt skapa en ökad responsförmåga. När det gäller att hantera och förebygga allvarliga IT-incidenter har polisen i uppgift att hantera misstankar om eventuella brottsliga gärningar medan övriga myndigheter har att hantera konsekvenserna. Processerna behöver dock utvecklas för att göras mer ändamålsenliga men också samordnas för att kunna nyttjas på bästa sätt. Det är viktigt att ansvarsprincipen följs och att varje myndighet agerar utifrån sitt ansvar. En viktig del i detta är att skapa en nationell samordningsfunktion för informationssäkerhet som förstärker och nyttjar samhällets samlade resurser på ett optimalt sätt. Syftet med att skapa en struktur där alla Skr. 2009/10:124 berörda aktörer ingår med sina respektive roller och ansvar är att underlätta samverkan mellan aktörerna. Fortsatt arbete mellan berörda aktörer bör leda till etablerandet av en nationell samordningsfunktion. För att få till stånd ökad informationsdelning bör MSB fortsätta sitt arbete med privat offentlig samverkan på informationssäkerhets- området. Det är också viktigt att inkludera underrättelse- och säkerhetstjänsterna i detta arbete. För att höja samhällets förmåga att hantera IT-incidenter bör MSB fortsätta att genomföra övningar inom informationssäkerhetsområdet för att utveckla och utvärdera strukturer för hantering av allvarliga IT- incidenter. Mot bakgrund av ovanstående har regeringen beslutat om följande uppdrag: -I samråd med berörda aktörer ska MSB utreda hur en säker digital informations- och kommunikationsinfrastruktur för offentlig sektor kan skapas och i samråd med Försvarsmakten och analysera hur befintliga eller kommande kryptosystem i detta syfte kan nyttjas för att skydda skyddsvärd eller sekretess- belagd information. -I samråd med de myndigheter som ingår i Samverkansgruppen för informationssäkerhet (Samfi) ska MSB ta fram en nationell plan som klargör hur allvarliga IT-incidenter ska hanteras samt skapa kompletterande tekniska kompetensnätverk av experter som kan stödja samhället vid allvarliga IT-incidenter för att skapa en ökad responsförmåga. -Myndigheten för samhällsskydd och beredskap ska inom ramen för sitt mandat utreda hur ett system för obligatorisk incidenthantering för statliga myndigheter kan utformas. Uppdragen ska redovisas . Regeringen har uppdragit åt att i samråd med de myndigheter som ingår i Samfi lämna förslag på hur ett detekterings- och varningssystem för samhällsviktig verksamhet och kritisk infrastruktur kan utformas och införas. Uppdraget ska redovisas . Regeringens bedömning: bör överföras från till Myndigheten för samhällsskydd och beredskap. förslag: Överensstämmer i stort med regeringens bedömning. Remissinstanserna: De flesta remissinstanserna ställer sig bakom utredarens övergripande bedömningar. Myndigheten för samhällsskydd och beredskap (MSB), Säkerhetspolisen, , (), Försvarsmakten, , Arbets- givarverket och välkomnar utredarens förslag. () anser att utredarens förslag innebär en fortsatt otydlig mandatfördelning när det gäller statens tekniska informa- tionssäkerhetsarbete samt när det gäller dess förmåga att vidta tekniska motåtgärder vid IT-incidenter. IT- och telekomföretagen anser att IT-incidentcentrums (Sitic) verksamhet bör överföras till FRA. Dessutom uttrycks en oro för att dubbla tekniska kompetenser byggs upp på MSB och FRA om Sitics verksamhet överförs till MSB. Skälen för regeringens bedömning: Ansvaret för informations- säkerhet på nationell nivå är uppdelat på flera myndigheter, bl.a. MSB, PTS inklusive Sitic och FRA. Detta kan innebära en risk för att styrningen och samordningen av arbetet försvåras samt att resurser inte nyttjas på ett effektivt sätt. Regeringen angav i budgetpropositionen (prop. 2009/10:1, bet. 2009/10:FöU1, rskr. 2009/10:104) att det finns behov av att samla resurserna för att skapa goda förutsättningar för att förebygga och hantera IT-incidenter. Regeringen angav vidare att formerna för och konsekvenserna av en överföring av Sitic bör utredas. med dess delbetänkanden (Signalskydd (SOU 2003:27), Informationssäkerhet i och internationellt en översikt (SOU 2004:32) samt Säker information (SOU 2005:42) Informations- säkerhetspolitik organisatoriska konsekvenser (SOU 2005:71) lämnade en rad förslag på informationssäkerhetsområdet, förslag som regeringen i huvudsak behandlat. Av förslagen återstår frågan om signalskyddet, vilket regeringen inte ser någon anledning att förändra. Regeringen bemyndigade (dir. 2009:110) chefen för att tillkalla en särskild utredare med uppdrag att utreda formerna för och konsekvenserna av att flytta ansvaret för dels Sitic från PTS, dels certifieringsorgan för IT-säkerhet (CSEC) från . Utredningen som tog namnet (Fö 2009:4) lämnade delbetänkandet Lokalisering av (SOU 2010:25) Regeringen anser att Sitics verksamhet, inklusive berörd personal, bör inordnas i MSB fr.o.m. . Den verksamhet som avses är att stödja samhället med att hantera och förebygga IT-incidenter. Arbetet omfattar bl.a. att bevaka trafikflöden i elektroniska kommunikationsnät, IT-incidentrapportering, rapportering om sårbarheter i system, att tillhandahålla olika testverktyg via nätet, samt seminarier.