prop · H20384 · 2015-03-19 00:00:00 — Regeringens skrivelse 2014/15:84 informationssäkerhet i den civila Regeringen överlämnar denna skrivelse till . har, , granskat arbetet med informationssäkerhet i den civila statsförvaltningen. slutsatser är att arbetet inte är ändamålsenligt. Regeringen instämmer i huvudsak i slutsatser. Sedan granskning har dock förändringar genomförts. Frågor om allmän ordning, säkerhet och krisberedskap, inklusive ansvaret för egen krisberedskap har samlats under inrikesministern i . förändringarna skapat förutsättningar för en mer sammanhållen styrning Regeringen har tagit emot ett betänkande från utredningen om strategi och mål för hantering och överföring av information i elektroniska kommunikationsnät och it-system (dir. 2013:110) och kommer att ta emot Utredningen om Säkerhetsskyddslagens förslag om hur säkerhetsskyddslagsregleringen bör reformeras. Regeringen har beslutat att myndigheter som har särskilt ansvar för krisberedskap och höjd beredskap ska redovisa sitt arbete med informationssäkerhet, Myndigheten för samhällsskydd och beredskap ska genomföra en undersökning av hur kommunerna arbetar med Regeringen avser också att tillsätta en utredning med uppdrag att utreda hur EU-direktivet om en hög gemensam nivå av nät- och informationssäkerhet i hela unionen kan genomföras i svensk Regeringen anser att är slutbehandlad i och Ärendet och dess beredning .............................................................. iakttagelser och rekommendationer ........................ rekommendationer till regeringen och Regeringens bedömning av iakttagelser ................. 3.1Regeringens bedömning av övergripande 3.2Regeringens bedömning av iakttagelser Utökad tillsyn och mandat att utfärda Hantering av informationssäkerhetsfrågor i Pågående arbete vid myndigheterna................................................ Regeringens åtgärder med anledning av Rapport från Informationssäkerhet i den Utdrag ur protokoll vid regeringssammanträde Ärendet och dess beredning lämnar löpande granskningsrapporter från effektivitetsrevisionen. Syftet med den rapport som behandlas i denna skrivelse har varit att granska om arbetet med informationssäkerhet i den civila statsförvaltningen är ändamålsenlig utifrån ökande hot och risker (RiR 2014:23). överlämnades av till regeringen . 2Riksrevisionens iakttagelser och rekommendationer har, , granskat om arbetet med informationssäkerhet i den civila statsförvaltningen är ändamålsenligt utifrån ökande hot och risker. I det arbetet har bedömt om regeringen och ansvariga myndigheter för stöd och tillsyn har tillräcklig kunskap om de skyddsåtgärder som har vidtagits av myndigheter inom den civila statsförvaltningen. Granskningen omfattar alltså inte informationssäkerhet i samhället i stort. Granskningen är inriktad på den kunskap och information som samlats in om vilka hot som realiseras samt om hot och risker på en systematisk och övergripande nivå för den civila statsförvaltningen. övergripande slutsats är att arbetet med informationssäkerhet inte är ändamålsenligt, sett till de hot och risker som finns. konstaterar att det finns flera riskområden inom statsförvaltningen när det gäller informationssäkerheten, såsom kompetensbrist, upphandling, tillsyn, uppföljning, återrapportering, samt styrning, reglering och samordning. bedömning är att en stor andel myndigheter inte har centrala delar av ett systematiskt informationssäkerhetsarbete på plats. menar att regeringen inte har någon samlad lägesbild som inkluderar hot, i vilken omfattning och mot vilka hoten realiseras samt vilka skyddsåtgärder myndigheterna vidtar. En sådan lägesbild har inte heller någon av regeringens stöd- och tillsynsmyndigheter (), Säkerhetspolisen, Myndigheten för samhällsskydd och beredskap (MSB) eller (). menar att regeringen inte har utövat en effektiv styrning av informationssäkerheten i den civila statsförvaltningen. Regeringens stöd- och tillsynsmyndigheter har endast delvis vidtagit nödvändiga åtgärder för att informera sig och regeringen om vilka hot som finns mot den civila statsförvaltningen, i viken omfattning de realiseras och vilka skyddsåtgärder som vidtagits. 2014/15:84 Regelsystemet för informationssäkerhet ser i huvudsak likadant ut som det gjorde 2007 när senast granskade området. menar att de brister som påpekades då kvarstår i stora drag även och att det regelverk som styr myndigheternas arbete med informationssäkerhet kan behöva anpassas bättre till olika typer av verksamhet för att kunna nå önskvärda mål. Vidare anser att det saknas en samlad avvägning för staten av hur mycket resurser som behöver satsas på skyddsåtgärder sett till de risker som finns. Risker för informationssäkerhet kan således potentiellt leda till omfattande skada, inte minst i form av extra kostnader och minskat förtroende för statsförvaltningen. noterar att de stödmyndigheter som regeringen pekat ut har begränsade resurser och saknar möjlighet att lämna operativt stöd till enskilda myndigheter i någon större utsträckning. Det finns ett behov av ett bättre utbyggt stöd som riktar sig till hela statsförvaltningen, och som kompletterar de enskilda myndigheternas egen kompetens. Det skulle leda till en bättre säkerhet totalt i statsförvaltningen, som den totala kostnaden för informationssäkerhet borde bli väsentligt lägre än om varje myndighet håller sig med specialistkompetens. 2.2Riksrevisionens rekommendationer till regeringen och myndigheterna har lämnat följande rekommendationer till regeringen.  Utöka tillsynen av informationssäkerheten i den civila statsförvaltningen, så att den omfattar mer än de allra mest skyddsvärda delarna.  Låt utreda om regelverket som styr arbetet med informationssäkerheten är ändamålsenligt i sin nuvarande utformning och om ansvaret för att utöva tillsyn över informationssäkerheten i den civila statsförvaltingen kan samlas och koordineras på ett bättre sätt . Dessa brister konstaterade , och då bristerna fortfarande inte är åtgärdade är det angeläget med en mer skyndsam hantering.  Överväg att låta tillsynsmyndigheten få mandat att utfärda sanktioner mot myndigheter som inte vidtar nödvändiga åtgärder efter en tillsyn som visat på brister.  Inför en obligatorisk incidentrapportering för samtliga myndigheter. Ge en myndighet i uppdrag att hantera denna rapportering.  Se till att det finns en funktion och process i med syfte att samlat kunna hantera Denna funktion och process ska kunna bereda alla de ärenden regeringen måste besluta om för att öka informationssäkerheten i statsförvaltningen. ska också vara mottagare av MSB:s information om en samlad lägesbild och annan nödvändig information om läget för informationssäkerhet i statsförvaltningen. rekommenderar att stöd- och tillsynsmyndigheterna ges följande uppgifter för att förbättra statens informationssäkerhet. MSB bör fortsätta och även intensifiera sitt arbete med att söka skapa en gemensam lägesbild för informationssäkerhet i statsförvaltningen. MSB har enligt 9 § andra stycket förordningen (2006:942) om krisberedskap och höjd beredskap möjlighet att begära att fler myndigheter lämnar en redovisning av sin risk- och sårbarhetsanalys till och . MSB bör utnyttja denna möjlighet för att därigenom öka den samlade kunskapen om informationssäkerhetsläget och därigenom kunna bidra till en förbättring. MSB bör lämna de myndigheter som inte uppfyller kraven i föreskrifterna om statliga myndigheters informationssäkerhet (MSBFS 2009:10) det stöd som är nödvändigt, så att de uppnår efterlevnad inom rimlig tid. Såväl Säkerhetspolisen som FRA genererar viktig kunskap om säkerhetsläget inom den mest skyddsvärda delen av statsförvaltningen. Säkerhetspolisen och FRA bör därför var för sig systematiskt avge aggregerade rapporter om säkerhetsläget till och . 3Regeringens bedömning av iakttagelser 3.1 Regeringens bedömning av övergripande slutsats har genom sin granskning identifierat flera områden där den civila statsförvaltningens arbete med informationssäkerhet kan Regeringen instämmer därför i huvudsak i slutsats att delar av arbetet med informationssäkerhet i den civila statsförvaltningen inte är ändamålsenligt. Sedan granskning har dock förändringar genomförts i förhållande till de förutsättningar som gällde under den förra har bl.a. frågor om allmän ordning, säkerhet och krisberedskap, inklusive ansvaret för egen krisberedskap, samlats under inrikesministerns Inrikesministern ansvarar också för styrningen av bl.a. MSB, förändringarna skapat bättre förutsättningar för en mer sammanhållen styrning av informationssäkerhetsfrågorna. Arbetet med att stärka krisberedskapen och att skapa ett effektivt krishanteringssystem i har pågått . minska riskerna för och konsekvenserna av allvarliga händelser och kriser i samhället. Arbetet spänner över hela hotskalan, allt från händelser 2014/15:84 och olyckor i vardagen till höjd beredskap, kris och krig. En stärkt krisberedskap är en prioriterad fråga för regeringen. Samhällets krisberedskap ska vila på ansvarsprincipen som innebär att den som ansvarar för en verksamhet under normala förhållanden har motsvarande verksamhetsansvar under allvarliga händelser, kris- och krigssituationer. Dessutom ingår samverkan och samordning med andra aktörer i den omfattning som krävs för att effektivt förebygga och hantera en allvarlig händelse eller kris. 3.2Regeringens bedömning av iakttagelser och rekommendationer Ett fungerande digitalt samhälle ligger högt på regeringens agenda och informationssäkerhet är en fråga för hela regeringen. Den digitala utvecklingen ger inte bara nya möjligheter att förbättra och effektivisera medborgarnas vardag samt myndigheters och organisationers verksamhet utan skapar också nya risker och utmaningar. Bristande informationssäkerhet ställer ökade krav på samhällets förmåga att hantera allvarliga störningar och kriser. Målet med samhällets informationssäkerhet handlar om att skapa säkra it-system som säkerställer att obehöriga inte kan få åtkomst till eller möjlighet att förvanska innehållet i systemen. För att den digitala utvecklingen ska gå framåt och för att kunna uppnå god informationssäkerhet i hela samhället måste alla; privata och offentliga aktörer, enskilda medborgare och företag arbetar aktivt med informationssäkerhet. Det måste också finnas en tilltro från medborgare och företag att det offentliga kan hantera information på rätt sätt. Brister i informationshanteringen kan få konsekvenser för skyddet av den personliga integriteten. Privat- och offentlig samverkan och internationell samverkan är en grundläggande förutsättning för att öka samhällets informationssäkerhet. Hoten och riskerna inom det informationsteknologiska området är mångfacetterade, komplexa, svårdefinierade och föränderliga. Hot utgörs av allt ifrån tekniska fel till den mänskliga faktorn och medvetna handlingar. Utöver detta är det inte ovanligt att t.ex. väderfenomen, naturkatastrofer och olyckor orsakar incidenter med it-inslag. Konsekvenserna innefattar spridningseffekter som kan drabba samhällsviktig verksamhet i flera sektorer. För att möta bl.a. dessa hot har två särskilda utredare haft i uppdrag ett se över frågor som rör informationssäkerhet. Såsom lyfter fram har dessa utredningar direkt bäring på kravställning och styrning av informationssäkerheten i statsförvaltningen. Utredningen om strategi och mål för överföring av information i elektroniska kommunikationsnät och it-system Regeringen beslutade kommittédirektiv (dir. 2013:110) om strategi och mål för hantering och överföring av infor- mation i elektroniska kommunikationsnät och it-system. 2014/15:84 som har tagit namnet NISU 2014, har haft i uppdrag att föreslå en nationell strategi för hantering och överföring av information i elektroniska kommunikationsnät och it-system. Syftet med att ta fram en strategi är att uppnå ett effektivare och mer samordnat arbete med informationssäkerhet i samhället. Strategin ska vara ett stöd för myndigheternas arbete och kopplas till styrmedel och åtgärder för att åstadkomma ett operativt och effektivt arbete med informationssäkerhet i hela samhället. I utredningens uppdrag har ingått att föreslå övergripande mål för samhällets informationssäkerhetsarbete, hur ska upprätthålla säkerhet och integritet i samhällsviktig it-infrastruktur, och med utgångspunkt i uppdraget redovisa statliga myndigheters ansvar och roller utifrån de uppgifter och uppdrag på informationssäkerhetsområdet som de har . Utredningen redovisade sitt betänkande Informations- och cybersäkerhet i – strategi och åtgärder för säker information i staten (SOU 2015:23) . Utöver förslaget till en ny strategi för informationssäkerhet har utredningen bl.a. pekat på vikten av att inrätta ett statligt myndighetsråd för informations- och cybersäkerhet och att förstärka tillsynen över den statliga sektorns informations- och cybersäkerhet. För verksamheter som har betydelse för rikets säkerhet finns det regler om informationssäkerhet i säkerhetsskyddslagen (1996:627) och säkerhetsskyddsförordningen (1996:633). Sedan säkerhetsskyddsregleringen trädde i kraft har informationstekniken och användningen av den genomgått en betydande utveckling. En särskild utredare har bl.a. mot den bakgrunden haft i uppdrag att göra en översyn av säkerhetsskyddslagstiftningen (dir. 2011:94). En del av utredningens uppdrag har varit att föreslå hur reglerna om informationssäkerhet, som en del av säkerhetsskyddet, bör vara utformade. Utredningen har också haft i uppdrag att se över hur tillsynen över säkerhetsskyddet bör vara utformat och att ta ställning till om ett system med sanktionsåtgärder bör införas. Utredningen kommer att överlämna sitt betänkande . 3.2.2Utökad tillsyn och mandat att utfärda sanktioner rekommenderar att regeringen utökar tillsynen av informationssäkerheten i den civila statsförvaltningen så att den omfattar mer än de mest skyddsvärda delarna. Som beskriver i sin rapport finns det ett antal myndig- heter med tillsynsansvar på informationssäkerhetsområdet. inspektionen, , MSB och Säkerhetspolisen har alla på olika sätt ansvar för arbetet med samhällets informationssäkerhet. tillsyn enligt lagen (2003:389) om elektronisk kommunikation. Datainspektionens uppgift är att verka för att människor skyddas mot att deras personliga integritet kränks genom behandling av personuppgifter. I uppgiften ingår tillsyn av informationssäkerhet. föreskrifter och allmänna råd för arkivhantering och följer upp hur dessa 2014/15:84 följs, bl.a. genom att utföra inspektioner vid statliga myndigheter. MSB stödjer och samordnar arbetet med samhällets informationssäkerhet samt analyserar och bedömer omvärldsutvecklingen inom området. I detta ingår att lämna råd och stöd avseende förebyggande arbete till andra statliga myndigheter, kommuner och landsting samt företag och organisationer. MSB har dock inget tillsynsansvar när det gäller informationssäkerhet. Säkerhetspolisen har ansvaret för att utöva tillsyn av säkerhetsskyddet, innefattande informationssäkerhet, i de civila delarna av statsförvaltningen. Säkerhetsskyddsregleringen och därmed tillsynsansvaret omfattar bara de mest skyddsvärda verksamheterna. Om brister som upptäcks vid tillsynen inte rättas till ska Säkerhetspolisen under vissa förutsättningar anmäla detta till regeringen. Några sanktionsmöjligheter finns emellertid inte. En säkerhetsincident ska skyndsamt anmälas till Säkerhetspolisen i fall där en hemlig uppgift kan ha röjts, om röjandet kan antas medföra men för rikets säkerhet som inte endast är ringa. Hur tillsynsarbetet har utvecklats och kommer att utvecklas vid beskrivs under avsnitt 5. Regeringen delar bedömning att en effektiv tillsyn är en viktig del i informationssäkerhetsarbetet. Regeringen anser därför att det finns skäl att överväga tillsynsbehovet för andra delar i den centrala statsförvaltningen än de som är mest skyddsvärda. Regeringen har också tagit emot ett förslag från NISU 2014 som till viss del behandlar frågan om tillsyn. Regeringen kommer efter remissbehandling att ta ställning till vilka åtgärder som bör vidtas. Det är givetvis även angeläget att den tillsyn som sker med stöd av säkerhetsskyddslagstiftningen är effektiv och ändamålsenlig. konstaterar att Säkerhetspolisen genom sin tillsynsverksamhet funnit systematiska brister när det gäller informationssäkerhet hos de mest skyddsvärda verksamheterna. I bl.a. det perspektivet pekar på möjligheten att utfärda sanktioner som ett möjligt verktyg för att förmå olika verksamheter att trygga sin informationssäkerhet och trygga sina skyddsvärden. Utredningen om säkerhetsskyddslagen har haft att överväga frågor om tillsyn och sanktioner, bl.a. mot bakgrund av den ökade internationaliseringen, informationsteknikens utveckling och avregleringen av offentlig verksamhet. Regeringen kommer att ta emot utredningens betänkande och efter remissbehandlingen ta ställning till hur förslagen bör tas om hand. Ett annat viktigt arbete i detta sammanhang är det EU-direktiv om nät- och informationssäkerhet (NIS-direktivet) som förhandlas (direktivet beskrivs mer ingående senare i skrivelsen). Direktivet, som bl.a. gäller struktur för incidentrapportering på informationssäkerhetsområdet, innehåller krav på tillsyn och sanktioner. Ambitionen är att direktivet ska kunna antas . Regeringen avser att ge en utredning i uppdrag att överväga och föreslå hur direktivet ska genomföras i svensk rätt. har också rekommenderat regeringen att skyndsamt utreda om det regelverk som styr arbetet med informationssäkerheten är ändamålsenligt i sin nuvarande utformning och om ansvar för att utöva tillsyn över informationssäkerheten i den civila statsförvaltningen kan samlas och koordineras på ett bättre sätt än . NISU 2014 har haft i uppdrag att tydliggöra statliga myndigheters ansvar och roller utifrån de uppgifter och uppdrag på informationssäkerhetsområdet som de har . Utredningen om säkerhetsskyddslagen har i sin tur haft i uppdrag att se över säkerhetsskyddsregleringen i dess helhet. De frågor som anser bör utredas har alltså delvis varit föremål för utredning . Efter remissbehandling kommer regeringen att ta ställning till förslagen och vidta nödvändiga åtgärder. I sammanhanget är även det kommande arbetet med att genomföra NIS-direktivet relevant. På myndighetsnivå utfärdar MSB verkställighetsföreskrifter om ledningssystem för informationssäkerhet (MSBFS 2009:10). Föreskrifterna trädde i kraft . MSB:s föreskrifter gäller för myndigheter under regeringen med undantag för , kommittéväsendet och Försvarsmakten. Av föreskrifterna följer att myndigheternas arbete ska bedrivas enligt svensk standard i form av ISO 27001 och 27002. Myndigheten har påbörjat ett arbete med att se över föreskrifterna. Se vidare under avsnitt 4. har även rekommenderat att regeringen inför en obligatorisk incidentrapportering för samtliga myndigheter. Syftet med en sådan ordning är att stärka samhällets informationssäkerhet, både dess förebyggande och dess hanterande delar. Regeringen anser i likhet med att det är angeläget att en ordning för obligatorisk incidentrapportering införs. MSB fick regeringens uppdrag (Fö2010/701/SSK) att utreda hur ett system för obligatorisk it-incidentrapportering för statliga myndigheter skulle kunna utformas. Uppdraget redovisades genom rapporten för obligatorisk it-incidentrapportering för statliga myndigheter. I ett följduppdrag gavs MSB i uppdrag av regeringen att utifrån en fördjupad analys komplettera förslaget om ett system för obligatorisk it-incidentrapportering. I uppdraget ingick att föreslå bl.a. definitioner och kriterier för när en incident ska rapporteras, vilka myndigheter som ska undantas från rapporteringsskyldigheten, hur incidenter av misstänkt brottslig karaktär ska hanteras samt författningsreglering. Uppdraget redovisades genom rapporten för it-incidentrapportering. MSB:s förslag bereds i . Frågan innehåller dock flera utmaningar, bl.a. när det gäller förhållandet mellan incidentrapportering och brottsanmälningar och förhållandet mellan incidenter som inträffar i de mest skyddsvärda verksamheterna jämfört med andra incidenter. 2014/15:84 Som angetts tidigare förhandlas ett direktiv i EU om åtgärder för att säkerställa en hög gemensam nivå av nät- och informationssäkerhet i hela unionen, det s.k. NIS-direktivet. Förslaget till direktiv innehåller bl.a. skyldigheter för alla medlemsstater att vidta förebyggande åtgärder och åtgärder för att hantera och svara på allvarliga risker och incidenter som påverkar nätverk och informationssystem. Aktörer som omfattas av förslaget kan vara både myndigheter, kommuner, landsting och enskilda. Förslaget till direktiv innehåller också krav på bestämmelser om tillsyn och sanktioner. Direktivet kommer sannolikt att antas . Regeringen avser att ge en utredning i uppdrag att överväga och föreslå hur direktivet ska genomföras i svensk rätt. Regeringen är angelägen om att arbetet med att införa ett nationellt system för incidentrapportering bedrivs vidare och att ett sådant system kommer på plats . Vid utformningen av ett sådant system är det emellertid angeläget att hitta rätt avvägningar när det gäller de utmaningar som har nämnts ovan. 3.2.5Hantering i av informationssäkerhetsfrågor har slutligen rekommenderat regeringen att se till att det finns en funktion och en process i med syfte att samlat hantera informationssäkerhetsfrågor. Enligt regeringens uppfattning är det angeläget att samhällets informationssäkerhetsfrågor samordnas på ett ändamålsenligt sätt i . Sedan påbörjade sin granskning har det skett förändringar i detta avseende. Ansvar för informationssäkerhet i den mån sådana frågor inte hör till annat departement liksom samordning av samhällets krisberedskap inklusive civilt försvar, tillsammans med andra centrala funktioner för den civila krishanteringen i samhället har samlats under inrikesministern i . Regeringen har genom förändringarna skapat bättre förutsättningar för en mer sammanhållen styrning av informationssäkerhetfrågorna. Ansvarsprincipen gäller dock fortfarande. 4 Pågående arbete vid myndigheterna Myndigheten för samhällsskydd och beredskap MSB har i uppdrag att stödja och samordna arbetet med samhällets informationssäkerhet samt analysera och bedöma omvärldsutvecklingen inom området. I detta ingår att lämna råd och stöd avseende förebyggande arbete till andra statliga myndigheter, kommuner och landsting samt företag och organisationer. Myndigheten ska även rapportera till regeringen om förhållanden på informationssäkerhetsområdet som kan föranleda behov av åtgärder på olika nivåer och områden i samhället. MSB ska också svara för att Skr. 2014/15:84 har en nationell funktion med uppgift att stödja samhället i arbetet med att hantera och förebygga it-incidenter. Samverkan mellan offentliga aktörer och näringslivet samt internationell samverkan är en förutsättning för att kunna stärka samhällets informationssäkerhet. MSB genomför samverkan både nationellt och internationellt på området. Ett exempel är den nordiska s.k. nationella CERT-samverkan som ger möjlighet att utbyta information på ett säkert sätt vid allvarliga it-incidenter i . Samarbetet syftar till att öka skyddet mot it-angrepp nationellt och på nordisk nivå. Myndigheten arbetar också aktivt med att utveckla den operativa verksamheten för att öka förmågan att förebygga och hantera itincidenter. MSB/CERT-SE (Computer Emergency Response Team) har bl.a. deltagit i övningarna Cyber Europe 2014, arrangerad av den europeiska myndigheten , och Nato Cyber Coalition 2014. Myndigheten arbetar aktivt med att sprida information och kunskap om informationssäkerhet, bl.a. genom att anordna konferenser som riktas till olika målgrupper i samhället. Webbplatsen är en gemensam satsning av Samverkansgruppen för informationssäkerhet där MSB har det redaktionella ansvaret. I (samverkansgruppen för informationssäkerhet) ingår MSB, FRA, PTS, , , Säkerhetspolisen och Försvarsmakten.