prot · H209108 · 2015-06-03 00:00:00 — fick vi genomslag för att tillsätta en parlamentarisk utredning i syfte att bland annat införa ett demokratikriterium för att bättre hantera exporten till länder där vi exempelvis ser en oro för att krigsmateriel hamnar fel eller används mot civilbefolkningen. ska utredningen, som sagts här , presentera sina resultat som förhoppningsvis innebär att riktlinjerna blir tydligare än vad som är fallet. Den så kallade befinner sig utan tvekan i ett intensivt slutskede, och vi har inte möjlighet att debattera innehållet. Inte desto mindre har det i denna debatt funnits möjlighet för oss alla att föra fram våra partiers ståndpunkter, och det ska jag också göra. Strategisk exportkontroll 2014 – krigsmateriel och produkter med dubbla användningsområden I principprogram står följande: Vapenexporten ska begränsas till demokratiska stater och omgärdas av noggrann kontroll. Export ska ej gå till offensivt krigförande länder eller till stater där det förekommer systematiska kränkningar av mänskliga rättigheter. Alltsedan vi antog detta program har vi drivit på för en utredning om en skärpning av regelverket för exportkontrollen. Vi ska inte vara naiva, för att använda ett ord som använts här . Vi vet att vapen har sålts vidare på marknaden till andra aktörer och stater. Vi vet att vapen förlorats såväl som att de använts inom andra användningsområden från civila till militära. Men vi måste göra vad vi kan för att förhindra att svenska vapen hamnar hos diktaturer som förtrycker sin egen befolkning eller sina grannar. I detta sammanhang är det också viktigt för oss att belysa frågan om följdleveranser. Länder som köper försvarsmateriel från ska enligt ISP, , jag citerar nu från deras hemsida: ”även kunna känna sig säkra på att eventuella kompletteringar i form av ytterligare materielsystem, reservdelar, komponenter eller ammunition skall kunna levereras utan inskränkningar”. Detta bör ses över. Embargo från FN och EU är det enda skälet för att frångå följdleveranserna då vi i den nuvarande lagstiftningen så att säga tillämpar ”positiv presumtion”. Positiv presumtion vid följdleverans är därför något som vill se över. Ta exempelvis ett land som . Sedan militären tog makten befinner sig landet i ett allvarligt människorättsläge. Vi ser hundratals godtyckliga frihetsberövanden, tortyr, restriktioner i yttrandefrihet och så vidare, och en väpnad konflikt pågår i södra . Frågan om export till ett land som och frågan om följdleveranser är inga enkla frågor men någonting som vi måste fundera över. Det är kanske inte rimligt att vi per automatik accepterar följdleveranser och tillämpar positiv presumtion. Det är otvetydigt så att den svenska vapenexporten väcker tankar och väcker debatt. Under tidens gång har den tradition som rådde i efter det betonats. Vi behövde en stark försvarsindustri för att kunna värna den dåvarande svenska neutralitetspolitiken, men det fanns också en stark önskan om att kunna få olika spin-off-effekter av svenska innovationer och teknikutveckling från försvarsindustrin. Det handlar självklart om det långsiktiga och övergripande mål som har betonats här och som jag nämnde inledningsvis, att ska knyta band internationellt för att säkra våra säkerhetspolitiska intressen. Dock ska , , som fristående myndighet pröva ansökningar om tillstånd att föra ut produkter. Detta ska ske i enlighet med riktlinjerna för vapenexport tillsammans med kriterierna i EU:s gemensamma ståndpunkt på området. Därför är det bra att vi får den här typen av årliga skrivelser från regeringen, som vi nu debatterar, för att kunna följa upp, lämna synpunkter och nå förändring. Förutom att tittar på hur man begränsar export av vapen till icke-demokratier vill vi kristdemokrater även betona frågor om transparens och öppenhet. Detta gäller exempelvis , EKR:s, arbete. Strategisk exportkontroll 2014 – krigsmateriel och produkter med dubbla användningsområden Inga vapen är så billiga, lätthanterliga och vitt spridda som små och lätta vapen. Inga andra vapen dödar fler människor. Omkring 875 miljoner små och lätta vapen i omlopp bidrar till en halv miljon människors död. FN:s vapenkontroll är ett viktigt steg mot förbättrad kontroll av små och lätta vapen. Betydelsen av , som genomsyras av säkerhetsrådets resolutioner rörande kvinnors och barns utsatta situation i väpnade konflikter, kan här inte nog understrykas. Avslutningsvis, herr talman, är den bästa förutsättningen för att undvika väpnade konflikter att främja respekten för de mänskliga fri- och rättigheterna och att stärka en demokratisk samhällstradition. Dessa grundvärden måste ständigt erövras och försvaras. Vid konflikter har fredliga metoder, såsom diskussion och förhandling, givetvis företräde framför vapenbruk. Aggression och offensivt krig är inte etiskt försvarbart, men då alla ansträngningar för att lösa en konflikt med fredliga medel har prövats kan och måste vapen användas, men, som vi har betonat här, under iakttagande av tydliga kriterier. Vapen används för att försvara oskyldiga civila och när våld används i förtryckande syfte. Men den balansgång vi måste ställas inför och det vi måste avväga är att ju mer vapen som finns i omlopp, desto otryggare blir vår värld. Överläggningen var härmed avslutad. (Beslut fattades under § 14.) § 5 om informationssäkerhet i den civila statsförvaltningen om informationssäkerhet i den civila statsförvaltningen betänkande 2014/15:FöU10 om informationssäkerhet i den civila statsförvaltningen (skr. 2014/15:84) 23 (SD): har granskat elva svenska myndigheter under en följd av år och kommit fram till att arbetet med informationssäkerhet inte är ändamålsenligt. Den tekniska utvecklingen har gjort att det blivit allt svårare för alla att tillräckligt kunna skydda känslig information från intrång från tredje part. Man måste tyvärr förutsätta att exempelvis kapaciteten för intrång från andra länders hemliga tjänster kommer att öka alltmer. Men det behöver inte stanna där. Även brottslingar, ekonomiska aktörer eller anarkistiskt sinnade hackare kan utsätta informationssystemen för intrång, för att inte tala om det informationsläckage som kan uppstå som en följd av den mänskliga faktorn. Följderna av sådana intrång kan bli skadliga för såväl samhället i stort som olika grupper av enskilda. Det kanske är lättast att föreställa sig vilka risker hela samhället utsätts för om information kopplad till rikets säkerhet hamnar i händerna på främmande makt som en följd av informationsläckage, men också det lidande som enskilda kan utsättas för om exempelvis patientjournaler hamnar på vift genom oaktsamt agerande. Ett mer konkret exempel är den hackare som lyckades ta sig in i styrsystemet för fjärrvärme till de kommunala hyreslägenheterna i och stänga av värmen till dem. om informationssäkerhet i den civila statsförvaltningen Detta är något som vi måste ta höjd för, men granskningen visar tyvärr att svenska myndigheter inte klarar av det. av svenska myndigheter anser att de egna resurserna och det egna kunnandet inte är tillräckligt för att kunna sköta informationssäkerhetsarbetet. Nästan ännu mer skrämmande är att det inte existerar någon samlad bild hos regeringen rörande vilka åtgärder som alls är möjliga att vidta eller vilka behov som finns i händelse av ett större samordnat informationsläckage. Vi vet inte hur starkt skyddet är, vilka händelser som har ägt rum eller hur hoten har utvecklats. Vi famlar i praktiken i mörkret. riktade svidande kritik på informationssäkerhetsområdet . När man , nästan ett årtionde senare, gör en förnyad granskning konstaterar man att det i grund och botten inte har hänt någonting på området. De brister som påpekas i föreliggande rapport är i grund och botten desamma som togs fram i ljuset 2007. Det här är något som gäller regeringar från de båda blocken. Den förra, borgerliga regeringen vidtog av allt att döma få åtgärder för att möta den kritik som framförde. Den sittande vänsterregeringen pekar nu på skapandet av ett inrikesdepartement som en institutionellt viktig åtgärd för att samla it-säkerheten på färre händer. Vi anser att det blir alltmer uppenbart att det kommer att krävas kraftfulla och genomtänkta åtgärder för att höja säkerheten i våra myndigheters it-system. tar MSB fram handböcker, och FRA gör enstaka besök ute bland myndigheterna. Det är till fördel för it-säkerheten, men det räcker inte ända fram. Vi anser att det krävs ett övergripande it-säkerhetssystem och en gemensam strategi. Det är även dyrt för varje myndighet att ha egna it-säkerhetskonsulter. MSB har ett kontinuerligt uppdrag att rapportera till regeringen. Men vi har tillräckligt med utredningar för att iståndsätta ett gemensamt säkerhetssystem. Vi anser sammanfattningsvis att en handlingsplan ska tas fram med en myndighetsgemensam och övergripande strategi för it-säkerhet, där rekommendationer ska beaktas, och att anställda vid myndigheterna ska placeras med civilplikt för att vid en kris kunna handha it-säkerheten. Detta bör ges regeringen till känna. Jag yrkar bifall till reservationen. 24 (FP): Inte minst gårdagskvällens och nattens händelse understryker allvaret i det ämne som vi nu debatterar i kammaren. var sannolikt miljontals svenska bankkunder utan de funktioner som normalt finns i kreditkort, betalkort, bank på telefon och appen Swish. Tanken hisnar, herr talman, när man funderar på vad som skulle hända vid ett ännu bredare sammanbrott i det svenska betalningssystemet, att människor inte längre skulle kunna handla vare sig tjänster eller varor – inte ens en gång kunna köpa en glass på – då många numera inte bär kontanter med sig. om informationssäkerhet i den civila statsförvaltningen Det är svidande kritik – på den punkten har helt rätt – som riktar mot tillståndet i informationssäkerheten inom den civila statsförvaltningen. Det handlar om att det finns brister i tillsynen och att många verksamheter inte blir föremål för detta. Det handlar om brister i att efterleva de påpekanden som delas ut när tillsyn sker. Det handlar om så basala saker som att det saknas en fungerande incidentrapportering när det gäller informationssäkerheten. Sammantaget är bristerna så stora, konkluderar , att det inte ens är möjligt att bedöma tillståndet för informationssäkerheten i våra civila, statliga myndigheter. Mot bakgrund av den allvarliga kritiken, herr talman, har försvarsutskottet inom ramen för beredningen av ärendet kallat till sig inrikesministerns ansvariga statssekreterare och frågat vad regeringen avser att göra åt detta. Vi har då fått veta att regeringen tar rapporten på mycket stort allvar. Jag tror inte att statssekreteraren lämnade någon i utskottet i tvivelsmål om detta. Vi fick veta – vilket vi väl i och för sig visste innan – att den ansvariga myndigheten precis hade flyttat från Försvarsdepartementet till inrikesministerns ansvarsområde. Därtill gavs också information om att ett nytt EU-direktiv är på gång och att – just som vi talar här i kammaren – en informationssäkerhetsutredning är på remiss. Regeringen avser att återkomma till med lagförslag beträffande det betänkande som den utredningen har lämnat ifrån sig. Sammanfattningsvis, herr talman, känns det inte riktigt som om det är läge för att nu kliva in och säga: ska vi göra det här och beställa detta. Givet allt som händer på både nationell och mellanstatlig nivå och givet det engagemang som regeringen nu visar i de här frågorna finns det skäl för att hellre avvakta. Men vi kommer naturligtvis att vara noggranna med att följa upp de allvarliga punkter som har framkommit i . I sin reservation föreslår att civilpliktiga ska användas för att förbättra beredskap när det gäller informationssäkerheten. Jag tror att plikten har en plats inom ramen för det svenska totalförsvaret. Men jag tycker att det är bättre att man prövar en frivillig väg innan man går till att tvinga människor in på sådana befattningar. Det tror jag, herr talman, gäller i allra högsta grad när vi pratar om civila personalkategorier som är specialiserade på detta område. Med detta sagt, herr talman, yrkar jag bifall till utskottets förslag. 25 (S): Den här debatten handlar om om informationssäkerheten i den civila statsförvaltningen. Det är en granskning som sträcker sig över tidsperioden –2014. Jag vill verkligen uppmana alla som följer denna debatt att också läsa rapporten. Som har nämnts är det en svidande vidräkning. Det som är särskilt graverande är att den förra regeringen, trots kännedom om stora brister på it-säkerhetsområdet, inte vidtog de åtgärder som man kan förvänta sig för att skaffa sig en mer samlad lägesbild. om informationssäkerhet i den civila statsförvaltningen I rapporten finns förskräckande siffror, som att fyra av tio myndigheter bedömer att de saknar resurser och kompetens för att bedriva ett bra it-säkerhetsarbete, liksom att två tredjedelar av myndigheterna saknar en planering för hur de ska hantera stora avbrott i sina datasystem. övergripande slutsats är stenhård. Man skriver att granskningen har visat på omfattande brister. Varför är då detta allvarligt? Jo, det är delvis som var inne på: Vi har alldeles , i går, haft en allvarlig incident som visar att vi som samhälle har flyttat ut allt större delar av våra liv till den digitala miljön. När det gäller våra myndigheter är en stor del av den information som skapas och lagras både viktig och känslig. Går informationen förlorad eller blir stulen, manipulerad och spridd till obehöriga kan det få allvarliga konsekvenser. Det som gör detta så besvärande är att presenterade en liknande granskning av it-säkerheten. Redan då konstaterades det att det saknades en tillfredsställande kontroll och att åtgärder inte hade vidtagits för att förbättra arbetet inom området. Därtill har frågan om it-säkerhet uppmärksammats i medierna allt oftare . Då har granskning handlat om just säkerhetsbrister. Man kan alltså inte ursäkta sig med att man inte visste hur illa det var ställt på det här området. Tecknen fanns där, för den som ville se. anser också att bristerna nu är så omfattande att det inte ens går att ställa samman en gemensam bild av statsförvaltningens samlade förmåga att hantera och motstå it-relaterade kriser. När FRA har utfört så kallade penetrationstester vid enskilda myndigheter har man lyckats komma in i systemen alldeles för enkelt. Det låter kanske inte så allvarligt, men det är det. Det är fullt allvar. Det är därför den nya regeringen, sedan den tillträdde, har vidtagit ett antal åtgärder för att försöka ta ett mer samlat grepp om frågorna. Det faktum att vi åter har funktionen inrikesminister, med ett samlat ansvar för allmän ordning, säkerhet och krisberedskap, ger i sig bättre förutsättningar för en bättre helhetssyn. Myndigheter med särskilt ansvar för krisberedskap och höjd beredskap ska uppdras att redovisa sitt arbete med informationssäkerhet. aviserade att man ska införa krav på obligatorisk incidentrapportering. har det förts en intensiv och delvis smärtsam debatt om bristerna inom vårt militära försvar. Jag tycker att vi har all anledning att på motsvarande sätt höja på ögonbrynen när vi läser slutsatserna i granskning, för detta är hot som vi står inför , hot om att samhällets kritiska infrastruktur ska attackeras och slås ut, att personuppgifter ska hamna i fel händer. Det är egentligen bara fantasin som sätter gränserna för vad illasinnade grupper kan tänka sig att försöka genomföra. Det duger förstås inte. Ett kvalificerat it-land som måste kunna prestera mycket bättre. 26 (FP) replik: är en företrädare för det som brukar kallas samarbetsregeringen. Jag kunde ha använt delar av mitt anförande till att beskriva hur det förhöll sig med krisberedskapen före alliansregeringen, till exempel på området naturkatastrofer som inträffar internationellt. Men jag gjorde inte det, för jag tycker att det är viktigt att vi i utskottet försöker hitta en bred och konstruktiv enighet i de här frågorna, herr talman, inte minst mot bakgrund av att vi har en speciell företeelse här i landet som gör att vår krisberedskap sätts på särskilda prov. Det handlar om den så kallade ansvarsprincipen och den i regeringsformen stadfästa, långtgående självständighet som våra statliga myndigheter har. om informationssäkerhet i den civila statsförvaltningen Det är väldigt lätt att stå i talarstol och säga: ska vi göra detta. ska alla myndigheter ha en incidentrapportering som fungerar generellt och som kan samordnas, sammanställas och utvärderas. Men faktum är att det är förenat med stora utmaningar att framtvinga sådana tvärsektoriella system för krisberedskapen. Jag begärde egentligen replik för att påminna om att både alliansregeringar och rödgröna regeringar slåss på samma villkor här. Jag tror att det är viktigt att man möter de villkoren med ett stort mått av ödmjukhet. 27 (S) replik: Det är viktigt att vi har en sådan här debatt. Vi är folkvalda politiker som man ska kunna utkräva ansvar av. Det här är ett sätt att redovisa hur arbetet bedrivits. har rätt i så måtto att den regering som var före den borgerliga regeringen inte heller vidtog tillräckliga åtgärder. Det var det man kunde redovisa i granskningen 2007, så ansvaret delas naturligtvis av flera. Den förra regeringen tog ett antal lovvärda initiativ. Man tillsatte utredningar och gav uppdrag till FRA om att till exempel titta på säkrare kryptolösningar – jättebra. Det jag kan tycka är att man borde ha kommit lite längre . 28 (FP) replik: Det är naturligtvis uppgift att tycka just på det sättet. Som själv nämner finns det ingen anledning för vare sig den ena eller den andra regeringen att slå sig för bröstet i de här frågorna. Det var det som var själva poängen med min replik. Vi kommer naturligtvis från utskottets sida att noggrant följa den sittande regeringens arbete med de här frågorna. Om den utredning som är på remiss inte leder fram till handfasta åtgärder för att förbättra informationssäkerheten i den civila statsförvaltningen kan jag förvissa om att försvarsutskottet inte kommer att tveka att agera . 29 (S) replik: Som jag nämnde i mitt huvudanförande har den nya regeringen redan aviserat ett antal åtgärder. lyfte man fram den till synes självklara frågan om att ha en incidentrapportering. ska vi, som tidigare nämndes, vara kraftfulla men också smarta i de åtgärder vi föreslår. Olika myndigheter har olika behov. Det är lätt att rusa iväg, men vi menar att analysen måste vara mer genomgripande än så. Jag är helt säker på att regeringen kommer att plocka upp de förslag som läggs fram. Man kommer att analysera dem noga och sedan återkomma till . 30 DAG KLACKENBERG (M): om informationssäkerhet i den civila statsförvaltningen När jag en gång för länge sedan engagerade mig i politiken, närmare bestämt , pågick . Det som engagerade mig då var försvars- och säkerhetspolitik. Engagemanget har fortsatt. Det kanske är därför jag står här just . Under den fortsatta levnadsbanan arbetade jag på UD. Då fanns det inga datorer, vilket på sitt sätt var bra. Men det pågick ett signalkrig. När vi satt på ambassaderna var den så kallade ryska hackspetten välkänd, nämligen en störningssändare som gick in för att sabotera kontakterna mellan ambassaderna och . Det är alltså inget nytt vi diskuterar. Det är bara det att det har blivit så mycket allvarligare. Det handlar egentligen om att skydda oss från kränkningar. Vi är bra på att undvika kränkningar på territoriet och i luften och kanske även under och ovanpå vattenytan. Detta är något som diskuteras. Men vi är definitivt dåliga på kränkningar i cyberrymden, och det är det som visar. Det är möjligt att stanna inne i våra system och tömma dem på innehåll, att ligga där och vänta och att sabotera i ett skymningsläge. Det är ingen mening med att jag räknar upp allt hemskt som kan inträffa. Det gjorde kollegorna i försvarsutskottet , och på ett så förträffligt sätt att jag kan vända blad och bara instämma i allt som sas. Sammanfattningsvis kan man säga att vad pekar på helt enkelt är en bristande medvetenhet hos ledningarna i många verk och myndigheter, kanske hos allmänheten i stort och möjligen till och med hos oss här i kammaren. Den bristande medvetenheten handlar om en kompetensbrist. Och om man inte har kompetens kanske man inte ens vet vad det är man hotas av. Detta tycker jag är grundläggande. Det är fråga om brister i tillsyn och styrning. visar att man vill att regeringen på något sätt ska se till att det blir en ökad tillsyn över den centrala förvaltningen. De föreslår också att man ska skapa en funktion i . Jag vet att det är svårt att skapa funktioner som griper över mycket i och känner stor ödmjukhet inför det. Jag bara framför vad sa. Sedan förstår jag också att det är svårt. Jag föreslår inte för egen del att det där ska levereras snabbt, och det gör inte heller utskottet. Man är bekymrad över att tillsynsmyndigheten inte riktigt får ihop gemensamma lägesbilder av hur allvarligt det är. Det är naturligtvis bara för oss i alla utskottets partier att stötta MSB i detta. Om vi inte har kunskap lär vi heller inte kunna komma med åtgärder. Man tar också upp att och borde göra aggregerade rapporter till och till MSB i dess stöd med de gemensamma lägesrapporterna. En mycket känd sanning i säkerhetspolitiken är att motståndaren alltid slår till där man är som svagast. Jag tror att vi har hamnat i den situationen att vi är svagast mot de hot som kommer i en cyberattack. Det kan röra sig om säkerhetspolitiska hot i ett skymningsläge, om att skapa oro, osäkerhet och misshälligheter i vårt eget samhälle. Det kan hända att vi inte kan hantera organiserad brottslighet. Vad som hände vet vi inte. Vem var det som var inne och tittade efter? Kanske var det någon som bara ville skicka en signal. Kanske var det någon som plockade till sig information som går att använda fram. om informationssäkerhet i den civila statsförvaltningen Företagsspionaget är legio, det vet vi. Där har naturligtvis företagen själva ett ansvar, men de har också rätt att få hjälp av myndigheterna i att skydda sina affärsintressen och industrihemligheter. Någonting vi ska ta på stort allvar är vår infrastrukturs robusthet. Tågen, flyget, elenergin, betalsystemen och allt detta är så lätt att sabotera eller åtminstone fördröja vid en cyberattack. Inrikes- och justitieministrarna har vidtagit åtgärder. Det gäller för oss att stötta dem i dessa åtgärder, så att de fortsätter på den inslagna vägen. Men det måste ske mer. De måste göra mer. Jag kommer att noga följa deras arbete på detta område de kommande tre åren. 31 (MP): har granskat arbetet med informationssäkerhet i den civila statsförvaltningen. Slutsatsen är att arbetet inte varit ändamålsenligt sett till de hot och risker som finns. Detta är verkligen en underdrift, för det ryms allvarlig kritik i granskning. Flera områden har identifierats där den civila statsförvaltningens arbete med informationssäkerhet kan utvecklas. Regeringen instämmer i huvudsak i slutsats. Till följd av detta har stora förändringar redan genomförts, vilket vi från välkomnar. Ansvaret för informationssäkerhet och samordning av samhällets krisberedskap, inklusive civilt försvar, och andra centrala funktioner för den civila krishanteringen i samhället har samlats under inrikesministern i . Regeringen har genom förändringarna skapat förutsättningar för en mer sammanhållen styrning av informationssäkerhetsfrågorna. Regeringen kommer att ta emot förslag från Utredningen om säkerhetsskyddslagen om hur denna reglering bör reformeras. Utifrån detta kommer man att vidta flera åtgärder i syfte att förbättra samhällets beredskap och robusthet mot allvarliga it-incidenter. Därtill ska myndigheter med särskilt ansvar för krisberedskap och höjd beredskap redovisa sitt arbete med informationssäkerhet. MSB ska genomföra en undersökning av hur kommunerna arbetar med dessa frågor, och arbetet med nationellt detekterings- och varningssystem kommer att intensifieras.