sou · H2B392 · 2015-01-01 00:00:00 — PTS tillsyn över efterlevnaden av LEK kommer att gälla också för de nya bestämmelserna. Även reglerna i 6 kap. 4, 4 a och 4 b §§ avseende information till abonnenten om risker för bristande skydd, rapportering och doku- mentation av integritetsincidenter samt reglerna om tystnadsplikt i 6 kap. 20 § bedöms bli tillämpliga. Enligt utredningens bedömning är de säkerhetsbestämmelser som redan finns i LEK och som blir tillämpliga också avseende mobiloperatörernas hantering av upp- gifter inom denna del av systemet för VMA tillräckliga. Bestämmelserna i om rättelse och skadestånd gäller enligt 6 kap. 2 § LEK även vid behandling av personuppgifter enligt LEK. Förslag: Regleringen avseende skyldigheten för mobiloperatör att medverka till förmedling av VMA införs i 5 kap. 7 § LEK. Det införs en ny bestämmelse, 6 kap. 10 b § LEK, avseende behandling av trafikuppgifter, lokaliseringsuppgifter som inte är trafikuppgifter och uppgifter om abonnemang. Det föreslås att mobiloperatörerna tillåts behandla trafikuppgifter och lokaliseringsuppgifter som inte är trafikuppgifter samt uppgifter om abonnemang i den utsträckning och som är nöd- vändig för att medverka till förmedling av VMA till terminalutrust- ning som används inom ett angivet geografiskt område vid allvarliga olyckor och kriser. Det föreslås också att mobiloperatörerna ska vara skyldiga att på begäran av den regeringen eller efter förmedling av den som regeringen bestämt medverka till förmedling av VMA till terminalutrustning (mobiltelefoner) som används inom ett geo- grafiskt område. VMA via sms i dessa fall kommer att bli en samhällsomfattande tjänst till slutanvändare och skyldigheten att förmedla VMA passar därför systematiskt in i kapitel 5 i LEK. I 7 § regleras att den som tillhandahåller ett allmänt tillgängligt kommunikationsnät eller en allmänt tillgänglig telefonitjänst ska med- verka till att nödsamtal kopplas fram, avgiftsfritt lämna lokaliserings- uppgifter till den som tar emot nödsamtal, lämna ut abonnent- uppgifter för abonnentupplysning, tillhandahålla specificerade tele- fonräkningar samt se till att slutanvändare, under vissa förutsätt- ningar, kan nå samtliga nummer som tillhandahålls inom Europeiska ekonomiska samarbetsområdet. Vidare stadgas i 7 § att samtal som är avgiftsfria för den uppringande abonnenten inte får anges på dennes telefonräkning. Utredningen föreslår att skyldigheten för mobil- operatörer att vid begäran medverka till att VMA till terminal- utrustning som används inom ett angivet geografiskt område för- medlas förs in i ett nytt andra stycke i 7 §. Kapitel 6 i LEK rör behandling av trafikuppgifter samt integritets- skydd. Utredningen föreslår att en paragraf införs efter reglerna om behandling av trafikuppgifter och behandling av andra lokaliserings- uppgifter, dvs. som 6 kap. 10 b §. För att tydliggöra bestämmelsens innehåll bör den få rubriken till allmänheten. Förslag: Regeringen eller den myndighet som regeringen bestäm- mer ska få meddela föreskrifter om på vilket sätt skyldigheten att medverka till förmedling av VMA ska fullgöras, undantag från denna skyldighet samt vilka uppgifter som omfattas av skyldig- heten. Mot bakgrund av att SOS Alarm har för avsikt att samverka med de fyra aktuella mobiloperatörerna och avtala om detaljer rörande sys- temets drift ser utredningen inte något förestående behov av utfärdande av föreskrifter. Emellertid kan ett sådant behov uppkomma och utredningen föreslår därför ett stadgande om före- skriftsrätt i anslutning till bestämmelsen i 5 kap. 7 § LEK om skyl- dighet att förmedla VMA till terminalutrustning som används inom ett angivet geografiskt område. I den nuvarande lydelsen av 5 kap. 7 § sista stycket LEK anges att regeringen eller den myndighet som regeringen bestämmer får med- dela föreskrifter om 1.på vilket sätt skyldigheterna ska fullgöras, 2.undantag från skyldigheterna, 3.i fråga om första stycket 2–4, vilka uppgifter som omfattas av skyldigheterna, och 4.i fråga om första stycket 2, de krav som ska uppfyllas vid tillhanda- hållandet av uppgifterna. Föreskriftsrätten enligt 5 kap. 7 § sista stycket 1–3 LEK torde om- fatta de frågor som i ett senare skede kan komma att behöva reg- leras genom föreskrifter. Eftersom det förslås att samtliga mobil- operatörer ska bli skyldiga att medverka till förmedling av VMA baserat på mobiltelefoners aktuella position kan det, om t.ex. oklar- heter eller tekniska svårigheter uppstår, behövas föreskrifter angående på vilket sätt skyldigheterna ska fullgöras, undantag från dessa, hur länge uppgifterna får behandlas samt vilka uppgifter som omfattas av skyldigheterna. Den fjärde punkten i sista stycket gäller föreskrifter om de krav som ska uppfyllas vid tillhandahållande av lokaliseringsuppgifter till den som tar emot nödsamtal. Eftersom det för förmedlingen inte blir fråga om att mobiloperatörerna ska lämna ut lokaliseringsuppgifter blir det inte aktuell med motsvarande föreskriftsrätt för detta. Utredningen föreslår således att föreskriftsrätten i 5 kap. 7 § LEK utvidgas till att även omfatta skyldigheten att förmedla VMA. I enlighet härmed föreslås att 30 § i förordningen om elektronisk kommunikation ändras på så sätt att det av den bestämmelsen framgår att PTS får meddela förskrifter om skyldigheten att med- verka till förmedling av VMA. Förslag: Författningsändringarna ska träda i kraft . Systemet för VMA via sms baserat på mobiltelefoners aktuella posi- tion är redan framtaget av SOS Alarm och tekniken är klar att drift- sättas från SOS Alarms sida. Det bör emellertid beaktas att krävs för att SOS Alarm och samtliga aktuella mobiloperatörer ska träffa avtal. Vidare måste tekniken installeras hos mobiloperatörerna innan dessa kan uppfylla den föreslagna skyldigheten att medverka till förmedlingen av VMA. Med hänsyn till detta samt till den sed- vanliga tidsåtgången för beredning av lagstiftningsärenden uppskattar utredningen att den tidigaste tidpunkten som de nya bestämmelserna kan träda i kraft är . 7 Konsekvenser av förslagen Enligt 14–15 a §§ kommittéförordningen (1998:1474) ska utred- ningen beräkna och redovisa de ekonomiska konsekvenserna av sitt förslag. Det gäller förslag som påverkar kostnaderna eller intäkt- erna för staten, kommuner, landsting, företag eller andra enskilda och förslag som innebär samhällsekonomiska konsekvenser i övrigt. När det gäller kostnadsökningar eller intäktsminskningar för staten, kommuner eller landsting ska utredningen föreslå en finansiering. Vidare följer av 15 § att om förslagen i ett betänkande har betydelse för den kommunala självstyrelsen, ska konsekvenserna i det avseen- det anges i betänkandet. Detsamma gäller när ett förslag har betyd- else för brottsligheten och det brottsförebyggande arbetet, för syssel- sättning och offentlig service i olika delar av landet, för små företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt i för- hållande till större företags, för jämställdheten mellan kvinnor och män eller för möjligheterna att nå de integrationspolitiska målen. Om ett betänkande innehåller förslag till nya eller ändrade reg- ler, ska vidare enligt 15 a § förslagens kostnadsmässiga och andra konsekvenser anges i betänkandet. Konsekvenserna ska anges på ett sätt som motsvarar de krav på innehållet i konsekvensutredningar som finns i 6 och 7 §§ förordningen (2007:1244) om konsekvens- utredning vid regelgivning. Enligt 16 § kommittéförordningen anger regeringen närmare i utredningsuppdraget vilka konsekvensbeskrivningar som ska finnas i ett betänkande. Enligt utredningens direktiv ska utredningen beskriva eventuella konsekvenser av förslagen för statliga myndigheter, landsting, kom- muner, operatörer och andra relevanta aktörer som kan beröras. Konsekvensanalysen ska i enlighet med vad som ovan angetts be- gränsas till att avse konsekvenser som följer av de författnings- förslag som lämnas i detta betänkande. För tydligenhetens skull kan följande nämnas. Det är redan beslutat att VMA via fast och mobil telefoni ska införas och MSB belastar del av sitt anslag för krisberedskap med avseende ersätt- ning till SOS Alarm för inrättandet av systemet (se avsnitt 4.2). Eftersom de konsekvenser som det innebär att införa det aktuella systemet, såsom kostnader för den tekniska utrustningen och under- håll av denna samt samhällsnyttan av systemet, inte är en följd av de författningsförslag som lämnas i detta betänkande kommer dessa inte att gås igenom. Vidare har MSB respektive FMV analyserat konsekvenser – ekonomiska och andra – av att införa systemet samt av att välja sms-tekniken framför ett system baserat på Cell Broad- cast. Med hänsyn till att det i utredningens uppdrag inte ingår att bedöma olika tekniska lösningar för att inrätta eller driva VMA be- rörs inte heller denna fråga i konsekvensanalysen. Konsekvensanalysen begränsas alltså till att avse konsekvenser av de regler som föreslås för att ge rättsliga förutsättningar för att genomföra systemet, nämligen för att tillåta behandling av lokali- seringsuppgifter i syfte att medverka till förmedling av viktigt med- delande till allmänheten och för att förplikta mobiloperatörer att medverka till förmedlingen. Förslagen syftar till att möjliggöra att SOS Alarm kan inrätta och driva ett system för VMA via fast och mobil telefoni. När det gäller alternativa lösningar avseende reglering kan följande konstateras. Utredningen har valt att föreslå att mobiloperatörerna förpliktas att medverka till förmedlingen. För att systemet skulle kunna införas utan lagliga hinder vore det tillräckligt att tillåta behandling av trafik- uppgifter och lokaliseringsuppgifter som inte är trafikuppgifter i syfte att sända VMA. Att förplikta mobiloperatörerna genom lag att medverka är alltså inte nödvändigt för att det ska finnas rättsliga förutsättningar för systemet. Utöver de skäl för den valda lösningen som angetts i avsnitt 6.6 kan nämnas att systemet torde kunna införas snabbare om det står klart att berörda mobiloperatörer är skyldiga att medverka eftersom ingen operatör då kan välja att stå utanför och därmed fördröja införandet. För det fall det inte görs möjligt att behandla lokaliseringsuppgifter i syfte att förmedla VMA kan det nu aktuella systemet med den valda tekniken inte i sin helhet införas. Utredningen föreslår att mobiloperatörerna ska förpliktas att medverka till förmedling av viktiga meddelanden till allmänheten. Skyldigheten avser att sända sms till användare i det egna nätet. Detta medför en kostnad. Vid utredningens kontakter med branschen har dock framkommit att kostnaden för att skicka sms i mobil- operatörens eget nät är försumbar. sänds ca 20 VMA. Även om skyldigheten att sända VMA i första hand åläggs de nätagande mobiloperatörerna är, med hän- syn till antalet VMA, den sannolika inverkan på konkurrensen gentemot andra mobiloperatörer obetydlig. Förslagen innebär ett visst ökat åtagande för PTS, som är till- synsmyndighet enligt LEK. Antalet tillsynsärenden bedöms dock inte bli fler än ett fåtal. Hanteringen av dessa ska därför hanteras inom befintliga ekonomiska ramar för myndigheten. Beslut i tillsyns- ärenden enligt LEK överklagas till allmän förvaltningsdomstol. I och med att antalet tillsynsärenden antas bli litet torde det bli säll- synt med överklagade tillsynsbeslut. Handläggningen av sådana mål ska därför rymmas inom befintliga anslag för domstolarna. Utredningen har i avsnitt 5.4 gjort bedömningen att förslagen överensstämmer med . Förslagen bedöms sammantaget inte ha några effekter för stats- budgeten. Förslagen har inte några effekter för den kommunala själv- styrelsen, brottsligheten och det brottsförebyggande arbetet, jäm- ställdheten mellan kvinnor och män eller möjligheterna att uppnå de integrationspolitiska målen. Med hänsyn till att de föreslagna reglerna möjliggör införandet av systemet är det lämpligt att det förekommer informationsinsatser i samband med ikraftträdandet så att mobilanvändarna underrättas om att VMA kommer att skickas på ett nytt sätt. Informationsinsatserna kan genomföras av MSB, som har i uppgift att utveckla samhällets förmåga att förebygga och hantera olyckor och kriser. Uppgiften bör kunna hanteras inom befintliga ekonomiska ramar för myndig- heten. Förslaget till lag om ändring i lagen (2003:389) om elektronisk kommunikation 5 kap. 7 § Bestämmelsen reglerar skyldigheten för den som tillhandahåller en allmänt tillgänglig telefonitjänst till mobil nätanslutningspunkt att medverka till förmedling av viktiga meddelanden till allmänheten till terminalutrustning som används inom ett angivet geografiskt område. Samtliga operatörer som tillhandahåller en allmänt tillgäng- lig telefonitjänst till mobil anslutningspunkt förpliktas medverka till förmedlingen. I första hand avses nätägare men även andra ope- ratörer är skyldiga att medverka utifrån sina förutsättningar. Skyl- digheten gäller på begäran av regeringen eller efter förmedling av den som regeringen bestämt. Den som begär att ett meddelande ska sändas ska också ange vilket geografiskt område meddelandet gäller. Mobiloperatörerna ska förmedla meddelandena till de terminaler som enligt trafikuppgifter eller andra lokaliseringsuppgifter används i området. 6 kap. 10 b § Paragrafen är ny och innebär att behandling av trafikuppgifter och andra lokaliseringsuppgifter tillåts för att uppfylla skyldigheten att förmedla viktiga meddelanden till allmänheten enligt 5 kap. 7 § andra stycket. Även uppgifter om abonnemang, såsom telefonnummer och adressuppgifter, får behandlas för detta ändamål. Av bestäm- melsen följer att endast den som är skyldig att medverka till för- medlingen tillåts behandla uppgifterna. I bestämmelsen regleras också den tillåtna behandlingens omfattning. och lokaliseringsuppgifter som inte är trafikuppgifter ska ske när behandlingen avslutats om det inte finns någon annan grund enligt LEK för att behandla de aktuella uppgifterna. I andra stycket förtydligas att bestämmelserna i 5–7 och 9–10 §§ inte gäller för behandlingen. Strategi och mål för hantering och överföring av information i elektroniska kommunikationsnät och it-system En särskild utredare ges i uppdrag att föreslå strategi och mål för hantering och överföring av information i elektroniska kommu- nikationsnät och it-system. föreslå en nationell strategi för hantering och överföring av information i elektroniska kommunikationsnät och it-system, föreslå övergripande mål för samhällets informationssäkerhets- arbete, och hur ska upprätthålla säkerhet och integritet i samhällsviktig it-infrastruktur, klargöra begrepp som används inom informationssäkerhets- området och vid behov föreslå förtydligande eller alternativa benämningar och definitioner, särskilt av sådana som används i förslaget till nationell strategi, och med utgångspunkt i uppdraget redovisa statliga myndigheters ansvar och roller utifrån de uppgifter och uppdrag på informa- tionssäkerhetsområdet som de har . Nuvarande ansvarsförhållanden och åtaganden ska beaktas men inte begränsa utredningen, som ska utgå från ansvarsprincipen och gäll- ande ekonomiska ramar. De begrepp eller benämningar som används i dessa direktiv ska inte föregripa eller begränsa utredarens arbete. Uppdraget ska redovisas . Målen för säkerhet är att värna befolkningens liv och hälsa, samhällets funktionalitet samt vår förmåga att upprätthålla grund- läggande värden som demokrati, rättssäkerhet och mänskliga fri- och rättigheter (propositionen Ett användbart försvar, prop. 2008/09:140, bet. 2008/09:FöU10, rskr. 2008/09:292). Det finns ingen motsättning mellan frihet och säkerhet utan dessa är ömse- sidigt förstärkande. Med utgångspunkt i dessa övergripande mål för vår säkerhet är målen för arbetet med samhällets krisberedskap att minska risker för, och konsekvenser av, allvarliga störningar, kriser och olyckor. Skulle en sådan händelse inträffa bör människors liv, personliga säkerhet och hälsa tryggas samt skador på egendom och miljö begränsas (budgetpropositionen , prop. 2012/13:1 utg.omr. 6, bet. 2012/13:FöU1, rskr. 2012/13:93–95). All verksamhet är beroende av fungerande informations- system. Våra nätverk och system behöver vara säkra och stabila . Näringslivet, offentlig förvaltning och medborgarna måste känna tillit till att de digitala tjänsterna i samhället fungerar. Näringslivet har en betydelsefull roll som den största ägaren och förvaltaren av samhällsviktig informationsinfrastruktur. Konsekvenserna av en allvarlig it-incident skulle med stor sannolikhet genom bl.a. sprid- ningseffekter kunna drabba samhällsviktig verksamhet i flera sek- torer. Informationssäkerhet berör således många olika verksamhets- områden bl.a. säkerhets- och utrikespolitiken, försvarspolitiken, näringsfrågor, socialfrågor och brottsbekämpning. För att nå målen för säkerhet är det mot denna bakgrund viktigt att ett sys- tematiskt informationssäkerhetsarbete genomförs på bred front i samhället. Informationssäkerhet bör vara väl integrerat i arbetet med risk-, sårbarhets- och säkerhetsanalyser. Analyserna behandlar bl.a. sam- hällets förmåga att motstå och hantera allvarliga händelser och verk- samheters ömsesidiga beroendeförhållanden. Förmåga att hantera it-angrepp är nödvändig främst för att minska risken för, och konsekvenser av, allvarliga it-incidenter som drabbar samhällsviktig verksamhet och kritiska infrastruktursystem. Allvar- liga it-incidenter som drabbar dessa system och även förluster av mindre mängder information , kan medföra allvarliga konse- kvenser och stora kostnader för samhället oavsett om det sker genom medvetna angrepp, misstag eller av olycka. Informationsteknikens utveckling har medfört nya former av kom- munikation, datahantering och datalagring vilket också innebär nya former för interaktion mellan individer, organisationer och stater. I allt väsentligt är detta en positiv utveckling. medför it- utvecklingen ett större beroende mellan olika sektorer och verk- samheter och därmed också ökade sårbarheter. Detta har utvecklats till en av vår tids mest komplexa frågor. En ökande hantering av personinformation i informationssystem medför också behov av funktioner för att tillgodose den personliga integriteten. beslutade regeringen om It i människans tjänst – en digital agenda för , (N II 2, N2011/342/ITP, m.fl.). Av detta beslut framgår regeringens mål att ska vara bäst i världen på att använda digitaliseringens möjligheter. Detta mål har också antagits av (budgetpropositionen , prop. 2011/12:1, bet. 2011/12:TU1, rskr. 2011/12:87). beslutade regeringen om Med medborgaren i centrum. Regeringens strategi för en digitalt samverkande stats- förvaltning, (N II 10, N2012/6402/ITP m.fl.). Genom att samverka digitalt kan myndigheternas kontakter med medborgarna förenklas, innovation och delaktighet stödjas, som statsförvaltningens effektivitet och kvalitet ytterligare kan höjas. En viktig utgångs- punkt i all utveckling av statsförvaltningens tjänster är att effek- tivitet och service alltid måste vägas mot skyddet för den enskildes integritet och behov av sekretesskydd och att medborgarna har tillit till att systemen är säkra. utgör säkerhet, öppenhet och integritet kopplat till informa- tionssäkerhet en stor utmaning såväl nationellt som internationellt. En allvarlig it-incident, men även långvariga oupptäckta informa- tionsförluster, bedöms kunna få stora konsekvenser för den svenska ekonomin, för samhällsviktig verksamhet, kritisk infrastruktur och för enskilda individer. Internet används för både civila och militära ändamål och såväl staters som individers och organisationers säkerhet måste tillgodo- ses. Handel, immaterialrätt, tekniköverföring, nätsäkerhet, frågor om kritisk infrastruktur, demokrati, mänskliga rättigheter, bistånd och it-brott hänger samman med säkerhetspolitiska och försvars- politiska överväganden och utgör delar av samma problemkomplex. Det medför att en ansats att hantera problem inom området bör koppla samman dessa frågeställningar. Hot mot elektroniska kommunikationsnät och it-system Hoten mot elektroniska kommunikationsnät och it-system är mång- facetterade, komplexa, svårdefinierade och föränderliga. Hot utgörs av allt ifrån tekniska fel till den mänskliga faktorn och medvetna handlingar. Utöver detta är det inte ovanligt att t.ex. väderfeno- men, naturkatastrofer och olyckor orsakar incidenter med it-inslag. It-angrepp kan utgöras av intrång som syftar till att störa funk- tionaliteten, förändra, stjäla eller manipulera information eller helt ta över ett informationssystem. It-angrepp mot samhällsviktig verksamhet och kritisk infrastruktur, såväl statlig som privat, kan också syfta till att begränsa tillgången till information eller funk- tioner. Ett exempel på sådana angrepp är överbelastningsattacker. En aktör kan också via it-angrepp störa, slå ut eller skaffa sig till- gång till styr- och kontrollsystem samt ledningscentraler för sam- hällsviktig verksamhet och kritiska infrastrukturer, exempelvis tele- nät, elnät, transportsystem, finanssystem, va-verk, processindustrier eller militära ledningssystem. Sådana it-angrepp kan förekomma såväl i fredstid som under kris eller krig och kan användas för att komplettera konventionella militära förmågor. Utvecklingen av mili- tära it-förmågor internationellt innebär att även måste för- hålla sig till nya krav på hur man försvarar sig mot en motståndare som har tillgång till sådana förmågor. Det sker en ansenlig mängd brottsliga angrepp inriktade på att kompromettera informationssystem för att otillbörligen komma åt information. Spionage sker i ökad omfattning och utförs såväl av stater som av organisationer och enskilda. Det är tydligt att verksamhetskritisk och känslig information inom både det offentliga och det privata är potentiella mål för olika typer av angrepp. Ett annat hot är att ökande krav på säkerhets- åtgärder i elektroniska kommunikationsnät, it-system och på internet riskerar att leda till inskränkningar av mänskliga rättigheter med stora politiska, sociala och ekonomiska konsekvenser som följd. Särskilt på det internationella planet är detta en oroväckande trend som ofta grundar sig i olika definitioner av begreppet säkerhet och där vissa regimer använder säkerhet som skäl för att kontrollera den egna befolkningen. Ansvar och samverkan mellan samhällsaktörer Att öka förmågan att förebygga och hantera allvarliga it-incidenter som drabbar samhällsviktig verksamhet är inte en uppgift för en enskild aktör eller myndighet utan något som privata och offentliga aktörer tillsammans bör bidra till. Nationell och internationell samverkan mellan militära och civila statliga myndigheter, inklusive försvarsunderrättelseverksamheten, och med kommuner och lands- ting är en förutsättning för att kunna förebygga, förhindra och han- tera dessa risker. Övningar är ett viktigt instrument för att för- bättra förutsättningarna för samverkan samt att identifiera, åtgärda och förebygga brister. Grunden för samhällets krisberedskap är ansvarsprincipen (pro- positionen Stärkt krisberedskap – för säkerhets skull, prop. 2007/08:92, bet. 2007/08:FöU12, rskr. 2007/08:193–194). Det inne- bär att den som har ansvar för en verksamhet under normala för- hållanden också har det under allvarliga händelser, kriser eller krig. I ansvarsprincipen ingår även att samverka och samordna sig med andra aktörer i den omfattning som krävs för att effektivt förebygga och hantera en allvarlig händelse. It-utvecklingen utmanar många traditionella föreställningar om säkerhetspolitikens omfattning, aktörer och logik. Ökat beroende av elektroniska kommunikationsnät och it-system förutsätter inter- nationell samverkan. Internationellt är det viktigt att har en tydlig inriktning på området för att kunna påverka den säkerhets- politiska utvecklingen. En stor utmaning i arbetet är staters skilda syn på hotbilder, doktriner och definitioner kopplade till informa- tionssäkerhet.