bet · H201FöU10 · 2015-02-04 00:00:00 — betänkande 2014/15:FöU10 om informationssäkerhet i den civila statsförvaltningen I betänkandet behandlar utskottet regeringens skrivelse 2014/15:84 om informationssäkerhet i den civila statsförvaltningen. En följdmotion (SD) har väckts med anledning av skrivelsen. samlade slutsats av sin granskning (RIR 2014:23) är att arbetet med informationssäkerhet inte är ändamålsenligt, sett till de hot och risker som finns, och lämnar ett antal rekommendationer till regeringen och dess stöd- och tillsynsmyndigheter. Regeringen instämmer i huvudsak i slutsats men vill understryka att sedan granskning har de förutsättningar som gällde under den förra mandatperioden dock ändrats. Frågor om allmän ordning, säkerhet och krisberedskap, inklusive ansvaret för egen krisberedskap, är t.ex. nu samlat under inrikesministerns ansvar. Utvecklande av tillsyn, regelverk och incidentrapportering är exempel på andra åtgärder som regeringen överväger på informationssäkerhetsområdet. Utskottet ser allvarligt på samlade slutsats men kan konstatera att regeringen i sin skrivelse instämmer i slutsats i huvudsak och har inlett ett förändringsarbete sedan granskningen gjordes. Pågående beredningar inom av genomförda utredningar, samt uppdrag ställda till myndigheter, kommer att bilda viktiga underlag för framtiden. Utskottet vill vidare framhålla att samhällets krisberedskap vilar på ansvarsprincipen, även i frågor om informationssäkerhet. Utskottet vill även framhålla vikten av samverkan mellan offentliga, privata och internationella aktörer. Utskottet föreslår att lägger regeringens skrivelse om informationssäkerhet i den civila statsförvaltningen (skr. 2014/15:84) till handlingarna och avslår samtliga motionsyrkanden. I betänkandet finns en reservation (SD) och ett särskilt yttrande (V). Utskottets förslag till riksdagsbeslut............................................................... Redogörelse för ärendet .................................................................................. Ärendet och dess beredning.......................................................................... Informationssäkerhet i den civila statsförvaltningen, punkt 1 (SD) .......... Skrivelsen, punkt 2 (V) ............................................................................. Förteckning över behandlade förslag............................................................ Utskottets förslag till riksdagsbeslut 1.Informationssäkerhet i den civila statsförvaltningen 2014/15:3068 av m.fl. (SD) yrkandena 1 och 2. Reservation (SD) lägger skrivelse 2014/15:84 till handlingarna. Följande ledamöter har deltagit i beslutet: (FP), (S), (M), (S), (M), (S), (SD), (M), (S), (C), (MP), (M), (S), (SD), (V), (KD) och (S). Ärendet och dess beredning I betänkandet behandlas regeringens skrivelse 2014/15:84 om informationssäkerhet i den civila statsförvaltningen. (RIR 2014:23) överlämnades av till regeringen . Syftet med den rapport som behandlas i skrivelsen har varit att granska om arbetet med informationssäkerhet i den civila statsförvaltningen är ändamålsenligt utifrån ökande hot och risker. En följdmotion har väckts med anledning av skrivelsen (SD). föredrog sin rapport i försvarsutskottet . detta sammanträde redogjorde också statssekreterare () för regeringens skrivelse med anledning av granskning. Utredare föredrog vid samma tillfälle sin i sammanhanget relevanta utredning Informations- och cybersäkerhet i – strategi och åtgärder för säker information i staten (SOU 2015:23). granskning tar sin utgångspunkt i den alltmer ökande användningen av information i samhället och i statsförvaltningen samt de brister som har konstaterat i sina tidigare granskningar av informationssäkerheten. granskade –2007 elva myndigheter och deras arbete med informationssäkerhet. För sex av dessa myndigheter gjordes en djupare granskning. Denna serie av granskningar avslutades med en granskning av regeringens styrning av myndigheternas informationssäkerhetsarbete. samlade bedömning var att det fanns brister i myndigheternas arbete med informationssäkerhet och att regeringen inte hade följt upp om den interna styrningen och kontrollen av informationssäkerheten varit tillfredsställande. Regeringen hade inte heller tagit tillräckliga initiativ för att förbättra förutsättningarna för statsförvaltningens arbete med informationssäkerhet. Den aktuella granskningen har syftat till att utreda om arbetet med informationssäkerhet i den civila statsförvaltningen är ändamålsenligt utifrån de ökande hoten. Granskningen omfattar således varken styrningen av eller nivån på informationssäkerhet i samhället i stort. I granskningen har inriktat sig på den kunskap och information som samlats in om vilka hot som realiseras samt om hot och risker på en systematisk och övergripande nivå för den civila statsförvaltningen. Granskningen syftar också till att bedöma om regeringen och de ansvariga myndigheterna för stöd och tillsyn har tillräcklig kunskap om de skyddsåtgärder som har vidtagits av myndigheterna inom den civila statsförvaltningen. Granskningen svarar på två frågor: Är regeringens styrning av informationssäkerhet i den civila statsförvaltningen effektiv? Har regeringens stöd- och tillsynsmyndigheter vidtagit tillräckliga åtgärder för att informera sig och regeringen om vilka hot som finns mot den civila statsförvaltningen, i vilken omfattning de realiseras och vilka skyddsåtgärder som vidtas? Hur enskilda myndigheter arbetar med informationssäkerhet ingår inte i granskningen. Inte heller har granskningen sökt bevisa omfattningen av specifika brister i informationssäkerheten. Granskningen avser regeringen (via Försvarsdepartementet, och ) och stöd- och tillsynsmyndigheterna Myndigheten för samhällsskydd och beredskap (MSB), (), Säkerhetspolisen och (). Granskningen avser den civila delen av statsförvaltningen och omfattar därför inte hur Försvarsmakten bedriver arbetet med informationssäkerhet inom sitt verksamhetsområde. Informationssäkerhet i den civila statsförvaltningen Utskottets förslag i korthet lägger regeringens skrivelse om informationssäkerhet i den civila statsförvaltningen (skr. 2014/15:84) till handlingarna och avslår motionsyrkanden om en myndighetsövergripande strategi för it-säkerhet samt om att anställda vid myndigheter ska placeras med civilplikt för att vid en kris kunna handha it-säkerheten. Jämför reservation (SD) och särskilt yttrande (V). samlade slutsats av sin granskning är att arbetet med informationssäkerhet inte är ändamålsenligt, sett till de hot och risker som finns. Den tekniska utvecklingen har accelererat, och de risker en organisation ökar och kan förväntas fortsätta öka framöver. Som framgår av underlag i granskningen har vissa av riskerna förverkligats, och konsekvenserna har varit allvarliga. Detta understryker vikten av en god kännedom om beredskapen för att förebygga och hantera liknande och andra händelser. Ett riskbaserat tillvägagångssätt i arbetet med informationssäkerhet är en förutsättning för att på ett samlat sätt kunna värdera sannolikheten för att olika händelser ska inträffa och vilka konsekvenser det kan få. Det finns flera riskområden inom statsförvaltningen när det gäller informationssäkerhet, såsom kompetensbrist, upphandling, tillsyn, uppföljning, återrapportering samt styrning, omreglering och samordning. bedömning är att en stor andel myndigheter inte har centrala delar av ett systematiskt informationssäkerhetsarbete på plats. granskning har visat att regeringen inte har utövat en effektiv styrning av informationssäkerheten i den civila statsförvaltningen. Re- geringen har inte någon samlad lägesbild som inkluderar hot, i vilken omfattning och mot vilka hoten realiseras eller vilka skyddsåtgärder myndigheterna vidtar. En sådan lägesbild har inte heller någon av regeringens stöd- och tillsynsmyndigheter. Det innebär att den samlade förmågan att hantera konsekvenserna av en allvarlig incident till stora delar är okänd. bedömer att regelsystemet för informationssäkerhet i huvudsak ser likadant ut som det gjorde 2007 när området senast granskades. De brister som påpekades då kvarstår i stora drag även , vilket innebär brister i regeringens styrning. Ett tydligt och väl anpassat regelverk är en förutsättning för att uppnå effektivitet i arbetet med informationssäkerhet. drar därför slutsatsen att det regelverk som styr myndigheternas arbete med informationssäkerhet kan behöva anpassas bättre till olika typer av statlig verksamhet för att de önskvärda målen ska kunna nås. Det saknas en samlad avvägning för staten hur mycket resurser som behöver satsas på skyddsåtgärder sett till de risker som finns. Som det nu är finns det inte någon samlad riskvärdering. I stället råder osäkerhet om hur starkt skyddet är, vilka händelser som inträffat och hur hoten utvecklas. Om det hade funnits en samlad lägesbild hade det gett förutsättningar för en samlad värdering av riskerna och sannolikheten att hot realiseras. Detta hade i sin tur kunnat vägas mot hur omfattande stödet behöver vara. har varje myndighet ett eget ansvar för hela sin verksamhet i såväl normalläge som krisläge, vilket självfallet är helt nödvändigt för att verksamheten ska kunna bedrivas effektivt. Det är dock sannolikt inte tillräckligt. De flesta myndigheter har svårt att rekrytera och upprätthålla den kompetens som behövs för att möta behoven av säker informationshantering. De av regeringen utpekade stödmyndigheterna har begränsade resurser och saknar möjlighet att lämna operativt stöd till enskilda myndigheter i någon större utsträckning. Det finns alltså behov av ett bättre utbyggt stöd som riktar sig till hela statsförvaltningen och som kompletterar de enskilda myndigheternas egen kompetens. Om detta fanns skulle det kunna leda till en bättre säkerhet totalt i statsförvaltningen, som den totala kostnaden för informationssäkerhet skulle kunna bli väsentligt lägre än om varje myndighet håller sig med specialistkompetens. Granskningen har visat ett betydande kunskapsunderskott när det gäller läget för informationssäkerheten i statsförvaltningen. Den tillsyn som utövas täcker i stort sett endast den mest skyddsvärda verksamheten – merparten av den civila statsförvaltningen lämnas utan tillsyn. Åtgärder vidtas inte alltid efter genomförda inspektioner. Det saknas också en systematisk och obligatorisk rapportering av incidenter. Allt detta leder till att det blir omöjligt att fånga den verkliga bilden av tillståndet för informationssäkerheten. Av detta följer att det inte finns tillräckligt beslutsunderlag för att vidta nödvändiga åtgärder för att möta hoten och riskerna. För att förbättra statens informationssäkerhet rekommenderar därför regeringen följande: Utöka tillsynen av informationssäkerheten i den civila statsförvaltningen, så att den omfattar väsentligt mer än endast de allra mest skyddsvärda delarna. Låt utreda om regelverket som styr arbetet med informationssäkerheten är ändamålsenligt i sin nuvarande utformning och om ansvaret för att utöva tillsyn över informationssäkerheten i den civila statsförvaltningen kan samlas och koordineras på ett bättre sätt än . Dessa brister konstaterade , och då bristerna fortfarande inte är åtgärdade är det angeläget med en skyndsam hantering. Överväg att låta tillsynsmyndigheten få mandat att utfärda sanktioner mot myndigheter som inte vidtar nödvändiga åtgärder efter en tillsyn som visat på brister. Inför en obligatorisk incidentrapportering för samtliga myndigheter. Ge en myndighet i uppdrag att hantera denna rapportering. Det finns ingen samlad central funktion i med ansvar för att bereda frågor om informationssäkerhet i statsförvaltningen. hanteras ärenden om informationssäkerhet på flera departement beroende på ärendets karaktär (intern styrning och kontroll, förvaltningspolitik, krishantering, infrastruktur etc.). anser att informationssäkerhet är en viktig strategisk fråga för hela statsförvaltningen, att det krävs kraft i styrningen för att skyddet ska kunna höjas till en ändamålsenlig nivå. För att skapa bättre förutsättningar för en effektiv styrning av informationssäkerheten rekommenderar därför följande: Se till att det finns en funktion och en process i med syfte att samlat hantera informationssäkerheten. Denna funktion och process ska kunna bereda alla de ärenden regeringen måste besluta om för att öka informationssäkerheten i statsförvaltningen. Funktionen ska också vara mottagare av MSB:s information om en samlad lägesbild och annan nödvändig information om läget för informationssäkerheten i statsförvaltningen. Till regeringens stöd- och tillsynsmyndigheter har i sin granskning kunnat visa att de av regeringen utsedda stöd- och tillsynsmyndigheterna inom sina nuvarande mandat skulle kunna göra mer, både genom att öka kunskapen om säkerhetsläget och genom att lämna stöd till den övriga statsförvaltningen för att öka skyddet. För att förbättra statens informationssäkerhet rekommenderar därför följande: MSB bör fortsätta och även intensifiera sitt arbete med att försöka skapa en gemensam lägesbild för informationssäkerhet i statsförvaltningen. MSB har enligt 9 § andra stycket förordningen (2006:942) om krisberedskap och höjd beredskap möjlighet att begära att fler myndigheter än redovisar sin risk- och sårbarhetsanalys till och . MSB bör utnyttja denna möjlighet för att öka den samlade kunskapen om informationssäkerhetsläget och därigenom kunna bidra till en förbättring. MSB bör lämna de myndigheter som inte uppfyller kraven i föreskrifterna om statliga myndigheters informationssäkerhet (MSBFS 2009:10) det stöd som är nödvändigt, så att de uppnår efterlevnad inom rimlig tid. Såväl Säkerhetspolisen som FRA genererar viktig kunskap om säkerhetsläget inom den mest skyddsvärda delen av statsförvaltningen. Säkerhetspolisen och FRA bör därför var för sig systematiskt lämna aggregerade rapporter om säkerhetsläget till och . Regeringens bedömning och åtgärder Regeringen instämmer i huvudsak i slutsats att delar av arbetet med informationssäkerhet i den civila statsförvaltningen inte är ändamålsenliga. Sedan granskning har de förutsättningar som gällde under den förra mandatperioden dock ändrats, anför regeringen. har bl.a. frågor om allmän ordning, säkerhet och krisberedskap, inklusive ansvaret för egen krisberedskap, samlats under inrikesministerns ansvar. Inrikesministern ansvarar också för styrningen av bl.a. MSB, och Säkerhetspolisen. Regeringen har genom förändringarna skapat bättre förutsättningar för en mer sammanhållen styrning av informationssäkerheten. Två särskilda utredare har haft i uppdrag ett se över frågor som rör informationssäkerhet. Som lyfter fram har dessa utredningar direkt bäring på kravställning och styrning av informationssäkerheten i statsförvaltningen. Regeringen beslutade om kommittédirektiv (dir. 2013:110) gällande strategi och mål för hantering och överföring av information i elektroniska kommunikationsnät och it-system. Utredningen, som tog namnet NISU 2014, hade i uppdrag att föreslå en nationell strategi för hantering och överföring av information i elektroniska kommunikationsnät och itsystem. Utredningen redovisade betänkandet Informations- och cybersäkerhet i – strategi och åtgärder för säker information i staten (SOU 2015:23). Utöver förslaget till en ny strategi för informationssäkerhet har utredningen bl.a. pekat på vikten av att inrätta ett statligt myndighetsråd för informations- och cybersäkerhet och att förstärka tillsynen över den statliga sektorns informations- och cybersäkerhet. Den andra utredningen som regeringen tillsatt rör säkerhetsskyddslagen (dir. 2011:94). En del av utredningens uppdrag har varit att föreslå hur reglerna om informationssäkerhet, som en del av säkerhetsskyddet, bör vara utformade. Utredningen har också haft i uppdrag att se över hur tillsynen över säkerhetsskyddet bör vara utformat och att ta ställning till om ett system med sanktionsåtgärder bör införas. Utredningen överlämnade sitt betänkande (SOU 2015:25), dvs. efter det att regeringens skrivelse överlämnades till (se vidare nedan). Utökad tillsyn och mandat att utfärda sanktioner rekommenderar att regeringen utökar tillsynen av informationssäkerheten i den civila statsförvaltningen så att den omfattar mer än de mest skyddsvärda delarna. Som beskriver i sin rapport finns det ett antal myndigheter med tillsynsansvar på informationssäkerhetsområdet. PTS, Datainspektionen, , MSB och Säkerhetspolisen har alla på olika sätt ansvar för arbetet med samhällets informationssäkerhet. PTS utövar tillsyn enligt lagen (2003:389) om elektronisk kommunikation. Datainspektionens uppgift är att verka för att människor skyddas mot att deras personliga integritet kränks vid behandling av personuppgifter. I uppgiften ingår tillsyn av informationssäkerhet. utformar föreskrifter och allmänna råd för arkivhantering och följer upp hur dessa följs, bl.a. genom att utföra inspektioner vid statliga myndigheter. MSB stöder och samordnar arbetet med samhällets informationssäkerhet samt analyserar och bedömer omvärldsutvecklingen inom området. I detta ingår att lämna råd och stöd om förebyggande arbete till andra statliga myndigheter, kommuner och landsting samt företag och organisationer. MSB har dock inget tillsynsansvar när det gäller informationssäkerhet. Säkerhetspolisen har ansvar för att utöva tillsyn av säkerhetsskyddet, inklusive informationssäkerhet, i de civila delarna av statsförvaltningen. Säkerhetsskyddsregleringen, och därmed tillsynsansvaret, omfattar bara de mest skyddsvärda verksamheterna. Om brister som upptäcks vid tillsynen inte rättas till ska Säkerhetspolisen under vissa förutsättningar anmäla detta till regeringen. Några sanktionsmöjligheter finns emellertid inte. En säkerhetsincident ska skyndsamt anmälas till Säkerhetspolisen i fall där en hemlig uppgift kan ha röjts, om röjandet kan antas medföra men för rikets säkerhet som inte endast är ringa. Regeringen delar bedömning att en effektiv tillsyn är en viktig del i informationssäkerhetsarbetet. Regeringen anser därför att det finns skäl att överväga tillsynsbehovet för andra delar i den centrala statsförvaltningen än de som är mest skyddsvärda. Regeringen har också tagit emot ett förslag från NISU 2014 som till viss del behandlar frågan om tillsyn. Regeringen kommer efter remissbehandling att ta ställning till vilka åtgärder som bör vidtas. Det är givetvis även angeläget att den tillsyn som utövas med stöd av säkerhetsskyddslagstiftningen är effektiv och ändamålsenlig. konstaterar att Säkerhetspolisen genom sin tillsynsverksamhet funnit systematiska brister när det gäller informationssäkerhet hos de mest skyddsvärda verksamheterna. I bl.a. det perspektivet framhåller sanktioner som ett möjligt verktyg för att förmå olika verksamheter att trygga sin informationssäkerhet och trygga sina skyddsvärden. Utredningen om säkerhetsskyddslagen har som tidigare nämnts haft till uppgift att överväga frågor om tillsyn och sanktioner, bl.a. mot bakgrund av den ökade internationaliseringen, informationsteknikens utveckling och avregleringen av offentlig verksamhet. Regeringen avser att efter remissbehandlingen ta ställning till hur förslagen bör tas om hand. Ett annat viktigt arbete i detta sammanhang är det EU-direktiv om nät- och informationssäkerhet (NIS-direktivet) som är under förhandling. Direktivet, som bl.a. gäller struktur för incidentrapportering på informationssäkerhetsområdet, innehåller krav på tillsyn och sanktioner. Ambitionen är att direktivet ska antas . Regeringen avser att ge en utredning i uppdrag att överväga och föreslå hur direktivet ska genomföras i svensk rätt. har också rekommenderat regeringen att skyndsamt utreda om det regelverk som styr arbetet med informationssäkerhet är ändamålsenligt i sin nuvarande utformning och om ansvaret för att utöva tillsyn över informationssäkerheten i den civila statsförvaltningen kan samlas och koordineras på ett bättre sätt än . NISU 2014 har haft i uppdrag att tydliggöra statliga myndigheters ansvar och roller utifrån de uppgifter och uppdrag på informationssäkerhetsområdet som de har . Utredningen om säkerhetsskyddslagen har i sin tur haft i uppdrag att se över säkerhetsskyddsregleringen i dess helhet. De frågor som anser bör utredas har alltså delvis varit föremål för utredning . Efter remissbehandling kommer regeringen att ta ställning till förslagen och vidta nödvändiga åtgärder. I sammanhanget är även det kommande arbetet med att genomföra NIS-direktivet relevant. På myndighetsnivå utfärdar MSB verkställighetsföreskrifter om ledningssystem för informationssäkerhet (MSBFS 2009:10). Föreskrifterna trädde i kraft . MSB:s föreskrifter gäller för myndigheter under regeringen med undantag för , kommittéväsendet och Försvarsmakten. Av föreskrifterna följer att myndigheternas arbete ska bedrivas enligt svensk standard i form av ISO 27001 och 27002. Myndigheten har påbörjat ett arbete med att se över föreskrifterna. har även rekommenderat att regeringen inför en obligatorisk incidentrapportering för samtliga myndigheter. Syftet med en sådan ordning är att stärka samhällets informationssäkerhet, både dess förebyggande och dess hanterande delar. Regeringen anser i likhet med att det är angeläget att en ordning för obligatorisk incidentrapportering införs. MSB fick regeringens uppdrag (Fö2010/701/SSK) att utreda hur ett system för obligatorisk it-incidentrapportering för statliga myndigheter skulle kunna utformas. Uppdraget redovisades genom rapporten för obligatorisk it-incidentrapportering för statliga myndigheter. I ett följduppdrag fick MSB i uppdrag av regeringen att utifrån en fördjupad analys komplettera förslaget om ett system för obligatorisk it-incidentrappor- I uppdraget ingick att föreslå bl.a. definitioner och kriterier för när en incident ska rapporteras, vilka myndigheter som ska undantas från rapporte- ringsskyldigheten, hur incidenter av misstänkt brottslig karaktär ska hanteras samt en författningsreglering. genom rapporten för it-incidentrapportering. Frågan innehåller dock flera utma- ningar, bl.a. när det gäller förhållandet mellan incidentrapportering och brottsanmälningar och förhållandet mellan incidenter som inträffar i de mest skyddsvärda verksamheterna och andra incidenter. Som beskrivits tidigare förhandlas ett direktiv i EU om åt- gärder för att säkerställa en hög gemensam nivå av nät- och informationssä- kerhet i hela unionen, det s.k. NIS-direktivet. Förslaget till direktiv innehåller bl.a. skyldigheter för alla medlemsstater att vidta förebyggande åtgärder och åtgärder för att hantera och svara på allvarliga risker och incidenter som på- verkar nätverk och informationssystem. Aktörer som omfattas av förslaget kan vara myndigheter, kommuner, landsting och enskilda. Regeringen är angelägen om att arbetet med att införa ett nationellt system för incidentrapportering fortsätter och att ett sådant system kommer på plats Vid utformningen av ett sådant system är det emellertid angeläget att hitta rätt avvägningar när det gäller de ovan nämnda utmaning- Hantering i av informationssäkerhetsfrågor har slutligen rekommenderat regeringen att se till att det finns en funktion och en process i med syfte att samlat hantera Ansvaret för informationssäkerhet i den mån så- dana frågor inte hör till ett annat departement, liksom samordning av sam- hällets krisberedskap, har som tidigare beskrivits samlats under inrikesmi- Ansvarsprincipen gäller dock fortfarande. När det gäller de myndigheter som har ett särskilt ansvar för informationssä- kerhet är det viktigt att fördelningen av ansvar och roller så långt det är möjligt ligger det i sakens natur att de berörda myndigheternas ansvar i vissa fall överlappar varandra. Mot den bakgrunden är det av stor vikt att myndigheterna samverkar. Regeringen välkomnar därmed de samverkans- forum som har inrättats på området, t.ex. Samverkansgruppen för informa- tionssäkerhet (SAMFI) och Nationell samverkan till skydd mot allvarliga it- hot (NSIT).