· H201FöU10 · 2015-06-03 10:13:19 — Det finns väldigt mycket mer att göra på området än organisatoriska förändringar. Först måste man få lägesbilden, så att man vet: Vilka är utgångs- och ingångsvärdena här? Men den här regeringen har verkat under en väldigt . Man har tagit tag i frågan organisatoriskt men också i regleringsbrev och annat. Det finns skäl att avvakta, som var inne på, , NIS-direktivets implementering och så vidare. Därför har , trots den förra regeringens passivitet på området, valt att för tillfället, av nämnda skäl, avvakta med både kritik och förslag. Men den här frågan måste vi alla följa noggrant. Jag räknar med att man ganska skyndsamt efter behandlingen av utredningen och NIS-direktivet kommer med ännu mer skarpa förslag på hur vi faktiskt ska göra. Det finns några exempel på mer drastiska åtgärder. Ett är ett sanktionssystem i fråga om de myndigheter som inte arbetar seriöst med den här frågan. Ett annat kan vara ännu mer drastiskt, att en viss andel av myndighetens anslag ska användas till detta ändamål. Ungefär på samma sätt som att man inte kan välja bort brandförsäkring skulle man vara tvungen att satsa på informationssäkerhet. En nationellt sammanhållen risk- och sårbarhetsanalys för samtliga myndigheter, där detta är en självklar del, är ett annat förslag. Vi har all anledning att följa frågan och därest ingenting sker kanske förfölja regeringen, men det hoppas jag att vi ska slippa. diskuterar vi om informationssäkerhet i den civila statsförvaltningen. Detta har hållit på med . Man började och har hållit på fram till . Som flera talare har påpekat är det en stark kritik som man för fram. Det finns en rad områden där det inte fungerar, där vi har för dålig beredskap och där vi kan drabbas. Som också har sagts hände något . En av våra storbanker hade stora problem, och tiotusentals privatpersoner kunde inte göra de bankärenden de ville göra. STYLEREF Kantrubrik \* MERGEFORMAT om informationssäkerhet i den civila statsförvaltningen Det är inte det enda tillfället. Vi har varit med om det ena tillbudet efter det andra där Telias tjänster har blivit utslagna och man inte har kunnat komma ut på nätet. Listan kan göras lång av viktiga samhällsfunktioner som har utsatts på detta sätt. Det visar hur viktigt det är att vi diskuterar det och att vi följer upp det. I försvarsutskottet diskuterar vi oftast militära hot. Vi ser att det finns alltmer hot och mörka moln på himlen och att vi måste stärka vårt försvar. Men detta är också en del av vårt försvar som vi måste se över. Jag kan nämna att jag var en av representanterna från på en konferens i , där herr talmannen var delegationsledare. Det var deltagare från 132 länder som diskuterade bland annat informationssäkerhet och cyberhot som är ett hot mot global säkerhet. Detta är en typ av terrorism som inte bara länder kan utföra utan också enskilda grupper. På denna konferens slogs jag av att detta är problem som vi delar med många andra länder. Det känns inte som om vi är sämst i klassen. Av denna rapport, för att återgå till den, framgår att vi har mycket mer att göra. Därför är det viktigt att regeringen tar till sig detta. Det har man sagt att man gör genom en hel rad olika arbeten som pågår. Detta måste följas upp. Det som jag har slagits av, både i och här, är att det finns en brist på medvetenhet om de hot som finns. Trots att vi borde känna till det tror vi inte att det ska drabba vår organisation. Det pågår ett arbete. FRA väljer ut några statliga organisationer som man gör rejäla tester på - stresstester. Man går igenom hur lätt det är att ta sig in. Sedan får den myndigheten en rapport. För att förenkla bilden är det ungefär som när vi besiktar bilen. Då får vi en rapport om bristerna. Är det alltför många brister måste bilen besiktas om. Jag tror att vi på motsvarande sätt framöver måste ha regelbundna tester av viktiga samhällsfunktioner. Vi har talat om bankerna. Det gäller också flyget, kommunikationerna och elen, alltså de centrala funktioner som vi inte skulle klara oss utan. Hela vårt samhälle skulle kollapsa utan dem. Det arbete som ska göras är bra, där regeringen säger att man ska samla detta i . har fört fram att det i förlängningen borde vara en central myndighet som får det ansvaret. Någonting som påpekas i denna rapport är nämligen att ett problem är att det är så många olika aktörer som har delansvar. Vi vet att ett problem med att många har ett delansvar är att det är svårt att peka ut vem som har ansvaret. Det vet vi i försvarssammanhang, och det vet vi också från krisen som vi hade i . Det var då problem med ledningsfunktionen. Detta tror jag är en viktig del i förbättringsarbetet. Jag hoppas att regeringen kan gå vidare med det. tar man ett viktigt steg och lägger funktionen i , och det är bra. Men det måste kanske tillskapas en speciell myndighet, alltså en myndighet, som har detta ansvar. En annan sak som förs fram från är att det finns brister när det gäller att berätta som det är, alltså att incidenter inte anmäls. Vi behöver inte vara särskilt insatta för att förstå att det är ett jätteproblem. Man tycker att det är lite pinsamt, tänker att det inte var så farligt, man håller det för sig själv och tror att det kan skada anseendet om man berättar. Då har vi ett problem. Om man inte rapporterar, hur ska vi då kunna rätta till olika saker? Detta är någonting som måste förbättras. STYLEREF Kantrubrik \* MERGEFORMAT om informationssäkerhet i den civila statsförvaltningen Det som gör att vi från utskottet väljer att inte vidta några fler åtgärder nu utan följa frågan är att regeringen har lovat att arbeta med detta och ta till sig kritiken. Regeringen delar i mångt och mycket kritiken och har lovat att ta den på allvar. Det pågår en remissomgång av en utredning, och det är ett EU-direktiv på gång. Det handlar om olika typer av åtgärder som vi tror kan fungera. Men det är viktigt för oss i utskottet att fortsätta att följa denna fråga. Jag tror att allt fler av samhällets medborgare inser faran och kräver att vi ska följa upp detta, så att vi har en informationssäkerhet värd namnet. Med dessa ord yrkar jag bifall till utskottets förslag i betänkandet i dess helhet. Jag kommer sist och ska försöka undvika att repetera vad andra har sagt. Men jag har några saker som jag kan trycka på i detta sammanhang, förutom att yrka bifall till reservation i betänkandet. Man talar om riskanalys, och det saknas en riskanalys. Enligt denna skrivelse från saknar av myndigheterna regler för riskanalys och förståelse för vad en riskanalys är. Detta är saker och ting som man skulle kunna åtgärda ganska raskt. En annan sak som jag vill trycka på är MSB:s roll. De har ett samordningsansvar. Tar de det? Enligt min uppfattning kan de i alla fall göra det bättre. Om man inte tar de roller som man har fått och de uppgifter som man har tilldelats är det mycket svårt att i slutändan få någon verkan. De direktiv som den förra regeringen har gett och som går att läsa följs inte av myndigheten. Det är en allvarlig slutsats. En annan sak handlar om de sabotage som samhället utsätts för. Men det finns också andra delar. Jag kan som exempel ta 2011 då apoteken i stor omfattning slogs ut. Det berodde helt enkelt på internetleverantören som fick tekniska problem. Apoteken kunde inte lämna ut receptbelagda läkemedel. Det finns alltså även en sådan sårbarhet. Allt handlar inte om sabotage. har vi fem olika lagstiftningar som styr detta. Det är nästan som att det byggs in möjligheter för att det ska gå tokigt. Det borde rättas till. Vi har föreslagit att det ska tas fram en handlingsplan. Man kan börja med att ta de roller som är utdelade och samordningsansvaret. Oavsett vad EU eller den nya myndigheten kommer fram till måste man förstå innebörden av de roller som man har fått tilldelade. Man måste förstå vad det innebär att göra en risk- och sårbarhetsanalys. Oavsett vilka myndigheter som skapas och oavsett vad som görs, kommer man säkert inte att lösa detta om man inte förstår innebörden i de uppgifter som man har fått. Civilplikt har vi haft tidigare, som ni känner till. Man hade en krigsplacering. Det fanns på bensinmackar och överallt . Vi tycker att det är en bra idé att gå tillbaka till någon form av ansvar: Du är ansvarig om något händer. Du ska lösa den här uppgiften. Överläggningen var härmed avslutad. om informationssäkerhet i den civila statsförvaltningen (Beslut fattades under § 14.)