bet · H201FöU10 · 2015-02-04 00:00:00 — En central faktor för all form av incidentrapportering och hantering av in- cidenter och attacker är förmågan att veta att man är utsatt för en incident eller Arbetet kommer att intensifieras när det gäller att skapa förutsättningar för att myndigheter och andra berörda aktörer som bedriver särskilt skyddsvärd verksamhet ska kunna erbjudas att delta i ett nationellt tekniskt detekterings- och varningssystem (TDV). I syfte att höja medvetenheten om vikten av informationssäkerhet och för att skapa en bild av läget hos berörda myndigheter har regeringen i respektive myndighets regleringsbrev beslutat att myndigheter som har ett särskilt ansvar för krisberedskap och höjd beredskap särskilt ska redovisa sitt arbete med informationssäkerhet. I samma syfte har regeringen också beslutat att MSB ska genomföra en undersökning av hur kommuner arbetar med informationssäkerhet. Dessa båda uppdrag kommer att bidra till att förbättra regeringens kunskap på området och därmed skapa förutsättningar för ett ändamålsenligt arbete med att stärka samhällets informationssäkerhet. Det har även inletts ett arbete som syftar till att öka regeringens kunskap om säkerhetsläget inom de mest skyddsvärda delarna av statsförvaltningen. Sammanfattningsvis uttrycker regeringen i skrivelsen att man vidtagit flera åtgärder på informationssäkerhetsområdet i syfte att förbättra samhällets beredskap och robusthet mot allvarliga it-incidenter. Regeringen avser att även fortsättningsvis prioritera detta arbete. Regeringen anser att är slutbehandlad i och med skrivelsen. Utredningen om en översyn av säkerhetsskyddslagstiftningen överlämnade som tidigare nämnts sitt betänkande (SOU 2015:25), dvs. efter regeringens skrivelse hade överlämnats till . Utredningen föreslår att säkerhetsskyddslagen ersätts av en ny lag. Även den nya lagen bör benämnas säkerhetsskyddslag. En ny lag ska svara mot de förändrade kraven på säkerhetsskyddet, bl.a. när det gäller utvecklingen på informationsteknikområdet, en ökad internationell samverkan, en ökad sårbarhet i samhällsviktiga funktioner och att säkerhetskänslig verksamhet i allt större omfattning bedrivs i enskild regi. Utredningen gör bl.a. bedömningen att det inte finns tillräckliga skäl för att ändra tillsynens inriktning och genomförande och föreslår därför inte att sanktioner ska införas. Det anses dock angeläget att noga följa utvecklingen och inom en inte alltför avlägsen framtid följa upp frågan. I motion 2014/15:3068 anför m.fl. (SD) att en handlingsplan ska tas fram över en myndighetsgemensam och övergripande strategi för itsäkerhet, där rekommendationer ska beaktas (yrkande 1), och att anställda vid myndigheterna ska placeras med civilplikt för att vid en kris kunna handha it-säkerheten (yrkande 2). Motionärerna understryker att riktade svidande kritik på detta område och att den förra regeringen av allt att döma vidtog få åtgärder för att möta kritiken. Man konstaterar att den sittande regeringen pekar på skapandet av ett inrikesdepartement som en institutionellt viktig åt- gärd för att samla it-säkerheten på färre händer. Vad som blir alltmer uppen- bart, menar motionärerna, är att det kommer att krävas kraftfulla och genom- tänkta åtgärder för att höja säkerheten i våra myndigheters it-system. Det är till fördel för it-säkerheten att MSB tar fram handböcker och har ett kontinuerligt uppdrag att rapportera till regeringen i frågan och att FRA gör enstaka besök ute bland myndigheterna, men det räcker inte ända fram, enligt Det krävs ett övergripande it-säkerhetssystem och en gemensam Det är även för dyrt att varje myndighet ska ha egna it-säkerhetskon- har utrett frågan tillräckligt för att kunna iståndsätta ett gemensamt säkerhetssystem, anförs i motionen. Utskottet ser allvarligt på slutsats att arbetet med informationssäkerheten i den civila statsförvaltningen inte är ändamålsenligt sett till de hot och risker som finns, men kan konstatera att regeringen i sin skrivelse instämmer i slutsats i huvudsak och har inlett ett förändringsarbete sedan granskningen gjordes. Utskottet anser att de redan genomförda ändringarna inom har skapat förutsättningar för en mer sammanhållen styrning av informationssäkerhetsfrågorna men att arbetet inte får stanna vid detta, utan utvecklandet av informationssäkerheten i den civila statsförvaltningen måste fortgå på bred front för att bli ändamålsenligt mot bakgrund av ökande hot och risker. Det är exempelvis fortsatt viktigt att utveckla arbetet mot bakgrund av samlade synpunkter, t.ex. i fråga om risk- och sårbarhetsanalyser, lägesbilder, regelverk, incidentrapportering och tillsyn. Den pågående beredningen av betänkandena Informations- och cybersäkerhet i – Strategi och åtgärder för säker information i staten och En ny säkerhetsskyddslag kommer att bilda viktiga underlag för framtiden. I sammanhanget måste alla myndigheters roll och ansvar i arbetet framhållas, både ur ett ansvars- och ett samverkansperspektiv. rekommendationer till stöd- och tillsynsmyndigheterna bör tas i beaktande. Regeringens beslut om att myndigheter som har ett särskilt ansvar för krisberedskap och höjd beredskap ska redovisa sitt arbete med informationssäkerhet finner utskottet som särskilt viktigt, men också att MSB har fått i uppgift att genomföra en undersökning om hur kommunerna arbetar med informationssäkerhet. Att medvetandegöra offentliga och privata aktörer samt allmänheten om de hot som finns är överlag centralt i arbetet. När det gäller en myndighetsgemensam och övergripande strategi för itsäkerhet finner utskottet sålunda att det pågår ett utvecklingsarbete som inte bör föregripas. Utskottet avstyrker därför det aktuella motionsyrkandet. Utskottet vill vidare påminna om att samhällets krisberedskap vilar på ansvarsprincipen, även i frågor om informationssäkerhet. Detta innebär att anställda på myndigheter med ett särskilt ansvar för informationssäkerhetsfrågor också har detta ansvar vid en kris. Av dessa skäl behöver myndighetsanställda inte särskilt pekas ut som ansvariga vid en kris, vilket motionärerna anför. Ut- skottet vill dessutom påminna om att beslutade om lagstiftning som bl.a. fastställde att totalförsvarsplikten endast ska tillämpas när försvarsberedskapen så kräver (prop. 2009/10:160, bet. 2009/10:FöU8, rskr. 2009/10:269). konstaterar dock att det finns ett behov av ett bättre utbyggt stöd till statsförvaltningen när det gäller informationssäkerhet, då det är svårt att rekrytera och upprätthålla relevant kompetens på varje enskild myndighet och stödmyndigheterna har begränsade resurser. Utskottet vill av detta skäl även framhålla vikten av samverkan mellan offentliga, privata och internationella aktörer. Genom en utvecklad samverkan kan olika aktörers specialistkompetens komplettera varandra och bättre rationalitet uppnås. Denna aspekt tas också upp i betänkandet Informations- och cybersäkerhet i – Strategi och åtgärder för säker information i staten, som remissbehandlas. Utskottet finner sålunda inte skäl att heller bifalla motionsyrkandet om att anställda vid myndigheterna ska placeras med civilplikt att i kris handha it-säkerheten. Avslutningsvis föreslår utskottet att lägger regeringens skrivelse om informationssäkerhet i den civila statsförvaltningen (skr. 2014/15:84) till handlingarna. Informationssäkerhet i den civila statsförvaltningen, punkt 1 (SD) av (SD) och (SD). Vi anser att förslaget till riksdagsbeslut under punkt 1 borde ha följande lydelse: tillkännager för regeringen som sin mening vad som anförs i reservationen. 2014/15:3068 av m.fl. (SD) yrkandena 1 och 2. riktade en svidande kritik på informationssäkerhetsområdet . Förra regeringen vidtog av allt att döma få åtgärder för att möta kritiken. Den sittande regeringen pekar på skapandet av ett inrikesdepartement som en institutionellt viktig åtgärd för att samla it-säkerheten på färre händer. Vi anser att det blir alltmer uppenbart att det kommer att krävas kraftfulla och genomtänkta åtgärder för att höja säkerheten i våra myndigheters it-system. tar MSB fram handböcker och FRA gör enstaka besök ute bland myndigheterna. Det är till fördel för it-säkerheten men räcker inte ända fram. Vi anser att det krävs ett övergripande it-säkerhetssystem och en gemensam strategi. Det är även för dyrt att varje myndighet ska ha egna it-säkerhetskonsulter. MSB har ett kontinuerligt uppdrag att rapportera till regeringen. Vi har tillräckligt med utredningar för att iståndsätta ett gemensamt säkerhetssystem. Vi anser sammanfattningsvis att en handlingsplan ska tas fram över en myndighetsgemensam och övergripande strategi för it-säkerhet där rekommendationer ska beaktas och att anställda vid myndigheterna ska placeras med civilplikt för att vid en kris kunna handha it-säkerheten. Detta bör ges regeringen till känna. Skrivelsen, punkt 2 (V) (V) anför: har granskat om arbetet med informationssäkerhet i den civila statsförvaltningen är ändamålsenligt utifrån ökande hot och risker. samlade slutsats är att ”arbetet inte är ändamålsenligt, sett till de hot och risker som finns”. noterar brister vad gäller kompetens, upphandling, tillsyn, uppföljning, återrapportering, styrning, reglering och samordning. bedömning är att ”en stor andel myndigheter inte har centrala delar av ett systematiskt informationssäkerhetsarbete på plats” och konstaterar att regeringen inte har någon samlad lägesbild som inkluderar hot. Det har inte regeringens tillsynsmyndigheter FRA, PTS eller MSB heller, enligt . Myndigheternas risk- och sårbarhetsanalyser lever inte upp till de krav som ställs när det gäller att redovisa informationssäkerhet. Bristerna är så omfattande att det inte går att ställa samman en gemensam bild av den samlade förmågan att kunna motstå och hantera kriser inom informationssäkerhetsområdet. Det är även svårt att bilda sig en uppfattning om den enskilda myndighetens informationssäkerhet i ett flertal fall. gjorde en liknande revision 2007 och dessvärre verkar påpekade brister inte ha åtgärdats i tillfredställande omfattning. lämnar en rad rekommendationer för att regeringen och dess tillsynsmyndigheter ska komma till rätta med problemen och regeringen – i sin tur - anser att är slutbehandlad i och med skrivelse 2014/15:84, där man redogör för vidtagna åtgärder med anledning av . Vid en genomläsning av skrivelse 2014/15:84 finner man emellertid en diskrepans mellan slutsatser och påpekade brister å ena sidan och regeringens redovisade åtgärder å den andra. Jag tycker att detta är allvarligt och att det fortfarande finns mycket att göra på området då varken regeringen eller någon av stöd- och tillsynsmyndigheterna har en bra och systematiskt underbyggd lägesbild, vilket är en förutsättning för att kunna säkerställa att man vidtar rätt åtgärder. Regeringen har dock verkat och har framförallt behövt invänta det så kallade NIS-direktivet – ett förslag till direktiv om åtgärder för att säkerställa en hög gemensam nivå av nät- och informationssäkerhet i hela unionen – som förväntas komma denna vår. Jag kommer att följa frågan noggrant och förutsätter att regeringen efter slutbehandlingen av NIS-direktivet skyndsamt återkommer med konkreta och snabbt verkande åtgärder inför detta allvarliga hot både mot samhället, men också mot enskilda personer. Förteckning över behandlade förslag Regeringens skrivelse 2014/15:84 om informationssäkerhet i den civila statsförvaltningen. 2014/15:3068 av m.fl. (SD): 1.Riksdagen tillkännager för regeringen som sin mening vad som anförs imotionen om att en handlingsplan ska tas fram över en myndighetsgemensam övergripande strategi för it-säkerhet, där rekommendationer ska beaktas. 2.Riksdagen tillkännager för regeringen som sin mening vad som anförs imotionen om att anställda vid myndigheterna ska placeras med civilplikt att i kris handha it-säkerheten. Tryck: , 2015