sou · H3B323 · 2015-03-10 00:00:00 — Området elektroniska kommunikationer kännetecknas av en snabb teknisk utveckling och en pågående sammansmältning av tekniker och tjänster. Tillgången till och användningen av olika typer av standarder är av utomordentligt stor betydelse inom in- formationstekniken. är området svåröverskådligt genom förekomsten av ett mycket stort antal standarder för liknande funktioner och ett stort antal organisationer som utformar, föreslår eller fastställer nya eller modifierade standarder. Certifiering är en bedömning av överensstämmelse och en bekräf- telse på att en produkt, process eller tjänst uppfyller kraven i t.ex. en standard. Ackreditering är en formell bekräftelse på kompetens hos certifierings- kontroll- och provningsorgan. Stora delar av samhället är beroende av att vara uppkopplat mot internet för att fungera. Elektronisk kommunikation är av den anledningen att anse som en kritisk resurs för samhällets funktion och en förutsättning för att samhällets övriga it-infrastruktur ska Detta kräver att ett systematiskt informationssäkerhets- arbete genomförs som beaktar alla former av hot och risker som kan inträffa. 1994 upphävdes det statliga monopolet inom telefoni och mark- naden öppnades för privata aktörer. I samband med det bildades () då en öppen marknad krävde att en regulatorisk myndighet bildades. PTS arbetar med regulatoriska och främjande åtgärder gentemot operatörer och nätägare i syfte att tillse att samhället har väl fungerande och tillförlitliga elektro- niska kommunikationer. Myndigheten verkar även som en statlig kontaktyta för operatörerna. Lagen (2003:389) om elektronisk kommunikation (LEK) anger vilken grundläggande nivå av informationssäkerhet som operatörerna är skyldiga att ha för att bedriva verksamhet på marknaden för elektronisk kommunikation. Utöver lagens krav kan operatörernas kunder ställa högre krav på säkerhet mot en högre kostnad i enlighet med marknadens villkor. Dessutom har samhället särskilda säkerhetskrav på vissa delar av den elektroniska kommunikationsinfrastrukturen, exempelvis avseende robusthet och redundans. I dessa fall kan PTS bidra med medel. Dessa ekono- miska satsningar inriktas på att stärka infrastrukturen, så att kon- sekvenser av allvarliga händelser ska kunna minimeras, vilket stär- ker samhällets informationssäkerhet. Operatörernas verksamhet bedrivs på kommersiella grunder på en fri marknad. Reglering av operatörernas verksamhet får av den anledningen inte vara mer ingripande än som framstår som rimligt och proportionella med hänsyn till den fria konkurrensen. För att säkerställa att informationssäkerheten i operatörernas verksamhet når en grundläggande nivå, omfattas de dock av olika regulatoriska och främjande åtgärder inom informationssäkerhetsområdet. Operatörer har en skyldighet enligt LEK att vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa att verksamheten uppfyller rimliga krav på säkerhet. De åtgärder som vidtas ska vara ägnade att skapa en säkerhetsnivå som, med beaktande av tillgänglig teknik och kostnaderna för att genomföra åtgärderna, är anpassad till risken för störningar och avbrott. I egenskap av tillsynsmyndighet meddelar PTS föreskrifter och allmänna råd som förtydligar kraven på god funktion och säkerhet. Syftet med kraven är att skapa säkra och effektiva elektroniska kommunikationer för enskilda och myndigheter. Dessutom ska operatörerna bedriva ett kontinuerligt och systematiskt säkerhets- arbete för att uppnå säkrare elektroniska kommunikationer. Operatörerna är skyldiga enligt 5 kap. 6 b § LEK att upprätthålla en viss nivå av driftsäkerhet. Med driftsäkerhet avses upprätthål- lande av funktion och tillgänglighet, men även uthållighet vid extraordinära händelser. 2007 utarbetade PTS allmänna råd om god funktion och teknisk säkerhet som förtydligar regleringen i LEK. De utgör rekommendationer om hur driftsäkerhetsarbetet kan bedrivas för att uppfylla kraven som ställs i författningen. Kraven på driftsäkerhet kommer att förtydligas ytterligare i de föreskrifter som PTS arbetar med att ta fram . Operatörerna har även ett ansvar för informationssäkerheten avseende integritet och skyddet mot obehörig insyn. Uppgifter som behandlas i samband med tillhandahållandet av tjänster ska skyddas. Bestämmelser om operatörernas skydd för abonnenternas trafikuppgifter finns i 6 kap 3 § LEK och kompletteras av Post- och föreskrifter och allmänna råd om skyddsåtgärder för behandlade uppgifter, PTSFS 2014:1. Föreskrifterna innehåller bestämmelser om de tekniska och organisatoriska skyddsåtgärder som den som tillhandahåller en allmänt tillgänglig elektronisk kommunikationstjänst ska vidta. Enligt 6 kap. 3 a § LEK ska operatörerna i samband med trafik- datalagring vidta de särskilda tekniska och organisatoriska åtgärder som behövs för att skydda de lagrade uppgifterna vid behandling. Operatörerna är även skyldiga att följa PTS föreskrifter och allmänna råd om skyddsåtgärder i samband med lagring och annan behandling av uppgifter för brottsbekämpande ändamål (PTSFS 2012:4). Föreskrifterna innehåller bestämmelser om de särskilda tekniska och organisatoriska skyddsåtgärder som operatörerna är skyldiga att vidta. Enligt 1 kap. 8 § LEK samt de föreskrifter som PTS utfärdar av- seende beredskap och totalförsvar är operatörerna skyldiga att delta i totalförsvarsplanering och i samband med det, vidta åtgärder i syfte att skapa större informationssäkerhet. (.SE) bildades och är en oberoende allmännyttig organisation som verkar för en positiv ut- veckling av internet i . .SE ansvarar för internets svenska toppdomän .se, med registrering av domännamn samt admi- nistration och teknisk drift av det . sköter .SE också drift och administration för toppdomänen .nu. fanns det över 1,3 miljoner registrerade .se- domäner .SE är och ska vara det självklara valet för företag, privat- personer och organisationer som vill ha ett domännamn med anknyt- ning till . När någon registrerar en .se- eller .nu-domän går en del av av- giften som .SE tar ut för domännamnsregistrering till projekt som på olika sätt främjar en positiv utveckling av internet i . 2013 satsade stiftelsen på internetutvecklande verksamhet. Den överordnade målsättningen är att alla ska kunna ta tillvara internets möjligheter. .SE:s internetutvecklingsprojekt har sin grund i stiftelsens urkund och stadgar. Mottot för projekten är Internet för alla. I detta ligger att alla människor i vårt land ska ha samma rätt och samma möjligheter att utnyttja internets tjänster. Internet ska också vara säkert, så att användarna känner sig trygga och litar på tjänsterna som finns där. Även internets infrastruktur är i fokus för Den ska vara säker, stabil och skalbar så att internet blir så användbart som möjligt för alla. Med det övergripande målet att skapa ett internet för alla blir bredden i de olika projekt som .SE driver stor. Här ryms allt från skol- tävlingen , bokpublicering, statistik, satsningar på ökad digital delaktighet, konferensen och seminarier till testverktyg, utveckling av program med öppen källkod, stöd vid införandet av internetprotokollet version 6 (IPv6) samt finansiering av fristående projekt genom Internetfonden. .SE har genomfört en undersökning av nåbarhet på nätet och hälsoläget i .se. Syftet med den årliga undersökningen är att kartlägga och analysera kvaliteten och nåbarheten i framför allt domännamnssystemet (DNS) i .se-zonen och några andra viktiga funktioner för domäner registrerade i .se. har genomförts i rad kan .SE också visa på utveckling och trender inom de undersökta områdena. Undersökningen görs på både ett urval av domäner som representerar viktiga funktioner i samhället och ett slumpmässigt urval motsvarande en procent av samtliga domäner i .se for Assigned Names and Num- bers, ICANN har utsett .SE att administrera den svenska toppdomä- nen, .se. .SE:s verksamhet regleras av lagen (2006:24) om nationella toppdomäner för på internet. PTS är tillsynsansvarig myndighet för .SE, vilket ska garantera en stabil drift av det svenska domännamnssystemet. utveckling () och Netnod utveckling () bildades med ändamålet enligt stiftelsens urkund och stadgar att främja forskning, utbildning och undervisning inom data- och telekom- munikation särskilt såvitt avser internet. Stiftelsen ska bland annat kunna lämna bidrag till inköp av utrustning, anslag till forskar- stipendier och bidrag till studieresor. För tillgodoseende av stiftel- sens ändamål får stiftelsen äga dotterbolag. driver dotterbolaget i syfte att utgöra en oberoende huvudman för etablering och drift av knutpunkter och andra operatörsgemensamma internetfunktioner. Netnod driver fem internetknutpunkter, så kallade IXP:er, i Sve- rige och en i . Till dessa knutpunkter kan internetoperatörer koppla sig och utbyta trafik med andra (så kallad peering). Netnod erbjuder också mervärdestjänster som distribution av spårbar svensk tid via NTP (network time protocol). Netnod han- terar även ett antal DNS-tjänster på uppdrag från toppdomänadmi- nistratörer över hela världen. Slutligen är Netnod operatör av en av internets logiska rotnamnservrar för DNS (i-roten). Den tjänsten erbjuds allmänheten som en tjänst utan kostnad. Föreningen är företagens företrädare i . Det långsiktiga målet med verksamheten är att ska återta en tätposition i den internationella välståndsligan, vilket ska uppnås genom en bred intressegemenskap kring värdet av företagande och företagsamhet. Svenskt Näringslivs uppdrag är att öka förståelsen för företagens verklighet och att verka för att alla företag i ska ha bästa möjliga villkor för att verka och växa. företräder närmare 60 000 små, medelstora och stora företag med totalt över 1,6 miljoner anställda. Två av tre medlemsföretag har färre än tio medarbetare. Medlemsföretagen är organiserade i 49 . Förbunden utgör föreningen medlemmar. Verksamheten täcker ett brett fält och vänder sig till olika mål- grupper. Föreningen arbetar med opinionsbildning och kunskaps- spridning, utvecklar nya idéer och tar fram konkreta förslag för att skapa ett bättre klimat för företagsamheten. Medlemsorganisation- erna ger medlemsföretag konkret och anpassad service, till exempel rådgivning, omvärldsinformation och utbildning. De arbetar även med att påverka politiker och myndigheter i branschspecifika frågor. och dess medlemsorganisationer arbetar brett med säkerhetsfrågor och riskhantering, bland annat inom området informationssäkerhet, där medlemsorganisationen it-företagen intar en framträdande roll. Samverkan sker med ett flertal andra organisationer, bland andra International Chamber of Commerce, ICC, och SIS, , samt särskilt med Näringslivets Säkerhetsdelegation (NSD) vars kansli finns hos . Svenskt Näringslivs externa arbete med säkerhet och riskhantering bedrivs huvudsakligen via Näringslivets Säkerhetsdelegation, NSD, som är ett informellt nätverk. NSD är registrerat som varumärke men all verksamhet bedrivs formellt under Svenskt Näringslivs organisationsnummer. NSD har cirka 600 medlemmar från privat och offentlig sektor med tillsammans cirka 900 kontaktpersoner. finns i sex regioner (södra, västra, östra, , Bergslagen och norra) med en arbetsgrupp i varje region. NSD är ett nätverk för lönsam riskhantering, vilket ska uppnås genom att stimulera det medvetna risktagandet. Verksamheten sker i form av konferenser, utbildningar, erfarenhetsutbyte, rådgivning och opinionsbildning samt utvecklingsprojekt. Verksamheten har haft informationssäkerhet som en prioriterad fråga och bland annat producerat ett flertal rapporter. 8Internationella utvecklingslinjer, organisationer och dialoger Detta kapitel inleds med att beskriva de globala cyberfrågorna inom utrikes- och säkerhetspolitik samt arbete med dessa frågor. Därefter ges en beskrivning av ett antal internationella forum av betydelse inom informations- och cybersäkerhetsområdet. Det ska betonas att detta inte ska betraktas som en i alla sammanhang hel- täckande beskrivning. Globala cyberfrågor utgör en prioriterad utrikespolitisk fråga och är en viktig del av politik på det freds- och säkerhetsfräm- jande och folkrättsliga området. Denna politik bygger på grundläg- gande värderingar som mänskliga rättigheter, demokrati och rätts- statsprinciper. En central utgångspunkt är att folkrätten, inklusive de mänskliga rättigheterna, gäller fullt ut även på internet. Ett vik- tigt mål är att upprätthålla och stärka ett globalt, tillgängligt, öppet och robust internet som bidrar till en rättvis och hållbar global utveckling och där mänskliga rättigheter respekteras. Den ökande betoningen på cyberfrågor inom utrikes- och säker- hetspolitiken har växt i takt med den tilltagande digitaliseringen och globaliseringen av samhället. Från att tidigare i större utsträck- ning ha varit en mer avgränsad och teknisk angelägenhet som bl.a. behandlats ur ett nät- och driftsperspektiv har frågan kommit att utgöra en växande beståndsdel i den internationella politiken, inte minst ur geopolitisk hänsyn. Förekomsten av cyberattacker ökar närmast exponentiellt och allt fler länder skaffar sig förmågor och utvecklar doktriner inom cyberområdet. Internationella utvecklingslinjer, organisationer och dialoger I kampen för frihet, demokrati och utveckling är individens tillgång till yttrande- och informationsfriheten ett centralt instrument. Fri och öppen tillgång till internet både stärker demokrati och mänskliga rättigheter som det utgör en viktig och växande drivkraft för social och politisk utveckling världen över. Internet öppnar nya kanaler för människor att ta emot och sprida information och kunna uttrycka sina åsikter i en globaliserad värld. Dessa möjligheter har gjort att vissa stater söker begränsa yttrandefriheten genom att t.ex. blockera och filtrera information eller stänga ned internet. De nya möjligheterna till övervakning har lett till omfattande internationella diskussioner om rätten till privatliv. driver en aktiv utrikes- politik som värnar och främjar ett öppet och säkert internet där mänskliga rättigheter till fullo respekteras. Flerpartssamverkan är en viktig del av att främja respekten för folkrätt och mänskliga rättigheter på internet, och inom detta område samarbetar () internationellt med civilsamhällesorganisationer, privata företag och forskningsvärlden. har varit pådrivande vad gäller normbildande kring internetfrågor, särskilt vad gäller rättighetsfrågor. var t.ex. en av initiativtagarna till den nydanande resolutionen 20/8 (2012) i för mänskliga rättigheter som bekräftar att samma rättig- heter som individer har offline gäller även online, liksom uppfölj- ningsresolutionen 26/13 (2014), som också tar upp frågor om internets styrning och rätten till utbildning. är en aktiv medlem inom den så kallade Freedom Online Coalition (FOC), som driver frågor rörande mänskliga rättigheter och rättstatsprin- ciper på internet framåt. är ordförande för en av FOC:s tre arbetsgrupper, som specifikt driver frågan om hur rättstatsprinci- per ska kunna implementeras på internet. När det gäller internets styrning och förvaltning har UD fått en alltmer aktiv roll i samarbete med . Vissa län- der som t.ex. , och driver frågan om en övergång mot en mer statsledd förvaltning av internets resurser i flera multilaterala fora. Dessa stater vill föra över kontrollen över internets tekniska förvaltning till FN-systemet, skapa ett nytt mellanstatligt organ och utveckla rättsliga instrument för internet- relaterade policyfrågor. Många befarar att skapandet av nya inter- nationella ramverk kan komma att undergräva etablerade univer- sella politiska och medborgerliga rättigheter. Internationella utvecklingslinjer, organisationer och dialoger skulle därmed legitimera ökad censur och övervakning på internet och leda till betänklig inskränkning vad gäller personlig frihet och integritet. finns en överhängande risk att frågor rörande utökad mellanstatlig kontroll av internets tekniska funktioner, normer, standarder m.m. åter dyker upp i diskussionerna inom FN. Det är möjligt att den alliansfria gruppen G77 kommer att villkora ett fortsatt mandat för flerpartsforumet mot instiftandet av ett rent mellanstatligt organ, alternativt att låta Internationella teleunionen (ITU) få en framskjuten roll i processerna. Frågorna kring internets globala styrning har på gått från att vara en huvudsakligen teknisk angelägenhet till en diplomatisk sådan. Såväl externa faktorer, såsom de senaste årens övervakningsavslöjanden, som den allmänna geopolitiska utveck- lingen och strategiska hänsyn har drivit på utvecklingen. Den grundläggande skillnaden i synen på internet och informationsfrihet, liksom de säkerhetspolitiska och folkrättsliga mot- sättningarna, manifesteras i en rad olika fora, som t.ex. i FN:s general- församlings olika utskott, den statliga expertgruppen inom FN:s ram om ICT-frågor och internationell säkerhet (GGE), Internationella teleunionen (ITU), , The Economic and () m.m. arbetar aktivt tillsammans med andra likasinnande länder för att hålla emot dessa staters många förslag och initiativ. Denna linje innebär bl.a. att motverka att ett enskilt FN- organ skulle ta ett övergripande policyansvar för internetrelaterade frågor. Svensk hållning är att varje specialiserat FN-organ bör hantera frågorna inom sitt ansvarsområde, oavsett om de är internetrelaterade eller inte. För att förbättra samordningen mellan organisationer och med civilsamhälle stödjer UD att den årliga, öppna flerparts- konferensen , ska fungera som länk mellan olika policyområden. Frågorna om cyberområdets betydelse för global utveckling och därigenom för biståndspolitiken har också ökat, allteftersom ICT- teknologier har kommit även breda befolkningslager till del och brister i institutionell kapacitet och infrastruktur i allt högre grad framstått som utvecklingshinder i låg- och medelinkomstländer. har arbetat med ICT-relaterade frågor inom det internationella utvecklingssamarbetet , då Sida bidrog till att bygga upp ICT-infrastruktur i bl.a. . Internationella utvecklingslinjer, organisationer och dialoger – till stor del som respons på händelseutvecklingen i – fokuserades insatserna i högre grad på att stödja MR- och demokratiseringsaktörer med verktyg för säker kommunikation i repressiva miljöer. Det arbetet fortsätter nu inom ramen för strategin för särskilda insatser för demokratisering och yttrandefrihet. Frågorna om ICT och internets betydelse för utveckling lyfts särskilt fram i senare års strategi-, styr- och policydokument för biståndet. Frågan har också breddats till att förutom MR- och demokratiaspekter också omfatta ICT och internets bidrag till ekonomiskt hållbar utveckling. Sida bedriver nu ett omfattande arbete på området. UD bidrar också i samarbete med Sida till den snabbt växande diskussionen om kapacitetsbyggnad på området (cyber capacity ) inom EU och andra multilaterala processer. En viktigt handelspolitisk målsättning med koppling till cyber- området är att främja en fri, öppen och konkurrensutsatt marknad för ICT-produkter såväl inom EU som globalt. Frågan om data- överföringar spelar en allt viktigare roll i internationella handels- politiska relationer. Flera länder kräver striktare regler för data- överföringar, och vissa har gått så långt som att diskutera krav på att data måste lagras inom landets gränser. För är det vik- tigt att driva på för bättre integritetsskydd och informationssäker- het som tar hänsyn till behovet av att dataöverföringar ska vara så okomplicerade som möjligt. diskuteras dataöverföringar inom ramen för TiSA-förhandlingarna (Trade in Services Agreement), och i TTIP-förhandlingarna mellan och . Möjligheterna till dataöverföringar kan påverkas avsevärt av frågan om nätets framtida styrning. Det ökande samarbetet inom EU på cyberområdet har lett till framtagandet av en EU-cybersäkerhetsstrategi och etablerandet av den horisontella gruppen Friends of the on Cyber Issues för att kunna hantera övergripande, strategiska cyber- frågor inom EU. UD bereder och samordnar svenska positioner i denna grupp. Det pågår också samarbeten kring cyberfrågor på ad hoc-basis inom ramen för internationella och regionala samarbetsgrupper. Ett viktigt exempel är det nordisk-baltiska säkerhetspolitiska sam- arbetet som i stor uträckning har kommit att omfatta cyberfrågor, ofta i samarbete med andra likasinnade partner som t.ex. , eller . har också deltagit inom den så Internationella utvecklingslinjer, organisationer och dialoger kallade Londonprocessen, som inneburit en rad återkommande internationella konferenser med syfte att bidra till ökad global samsyn inom cyberområdet. Nästa internationella cyberkonferens i detta format, som är på utrikesministernivå, äger rum i och kommer att hantera ett brett spektrum av frågor: inter- nationell säkerhet, mänskliga rättigheter, kapacitetsbyggnad och governance-frågor. Inom EU regleras nät- och informationssäkerhet inom sektorn elektronisk kommunikation främst genom regler i de s.k. ram- direktivet och e-dataskyddsdirektivet. I ramdirektivet regleras tele- operatörers driftsäkerhet och incidentrapportering. I e-dataskydds- direktivet regleras operatörernas skydd av personuppgifter och s.k. integritetsincidenter. Båda dessa regleringar är införda i svensk rätt genom lagen (2003:389) om elektronisk kommunikation. Europeiska unionens byrå för nät- och informationssäkerhet (for Network and , ) inrättades 2004 med säte i på , . Medan byråns ledning och administrationen alltjämt är kvar i har den operativa avdelningen flyttat till . Byrån är ett expert- och för informationssäkerhetsfrågor och ska öka gemenskapens och medlemsstaternas, och därigenom även näringslivets, förmåga att förebygga, åtgärda och lösa problem som rör nät- och informationssäkerhet. Byråns arbete bygger på insatser som Europeiska unionens medlemsstater har gjort och insatser som har gjorts på EU-nivå. Byrån ska ge råd till och Europeiska kom- missionen. Sammanfattningsvis är byråns arbetsuppgifter bl.a. att: analysera framväxande risker, framför allt på europeisk nivå, bidra till större medvetenhet om nät- och informationssäkerhet, Internationella utvecklingslinjer, organisationer och dialoger förbättra samarbetet mellan och inom till exempel näringslivet, forskare, leverantörer och användare av produkter och tjänster inom informationssäkerhetsområdet, möjliggöra samarbete om utveckling av metoder för att före- bygga och hantera informationssäkerhetsproblem, och att bidra till det internationella samarbetet utanför EU. ENISA:s nät- och informationsverksamhet bestäms mer i detalj genom årliga arbetsprogram som fastställs av byråns styrelse. Sty- relsen består av alla medlemsstater och Europeiska kommissionen. EES-länderna får delta men utan rätt att rösta. är den svenske styrelseledamoten även styrelseordförande. Myndig- heten leds av en verkställande direktör. deltar i många av de initiativ på området som initierats eller leds av kommissionen, som exempelvis EFMS (en informell grupp för medlemsstaternas utbyte av information om nät- och informationssäkerhetsfrågor) och NIS-plattformen (en informell grupp under kommissionen för att få input kring nät- och inform- ationssäkerhet från näringslivet). I enlighet med Europeiska kommissionens önskemål en översyn av den digitala agendan för har det inom EU tagits fram en ”cybersäkerhetsstrategi” (se avsnitt 8.2.4) och före- slagits ett direktiv på området (se avsnitt 8.2.2 om NIS-direktivet). I genomförandet av denna strategi har det inte identifierats några åtgärder som gäller specifikt sektorn för elektronisk kommunikation. NIS-direktivet föreslås avseende driftssäkerhet och incident- rapportering inte träffa dagens teleoperatörer (vilkas driftssäkerhet och incidentrapportering regleras i annan lagstiftning, se ovan) men däremot andra it-företag. I den digitala agendan för () understryks stärkt politik för nät- och informationssäkerhet.