sou · H3B323 · 2015-03-10 00:00:00 — Det enda med direkt relevans för sektorn elektronisk kommunikation avsåg modernise- ringen av ENISA:s mandat som beslutades . Internationella utvecklingslinjer, organisationer och dialoger 8.2.2Direktiv om åtgärder för att säkerställa en hög gemensam nivå av nät- och informationssäkerhet inom hela unionen Det pågår förhandlingar inom EU avseende ett direktiv (NIS-direktivet) om åtgärder för att säkerställa en hög gemensam nivå av nät- och informationssäkerhet i hela unionen. Syftet är att uppnå och vidmakthålla en hög gemensam nät- och informationssäkerhet inom hela EU för att förbättra den inre marknadens funktion. Direktivet ska bl.a. innehålla skyldigheter för alla medlemsstater rörande förebyggande åtgärder och åtgärder för att hantera och svara på allvarliga risker och incidenter som påverkar nätverk och informationssystem. Aktörer som omfattas av direktivet kan vara både myndigheter, kommuner, landsting och enskilda (inom sektorerna transport, vattenförsörjning, hälso- och sjukvård, bank och finans samt informationssamhällets tjänster). Direktivet ska innehålla krav på bestämmelser om sanktioner om operatörerna inte uppfyller sina skyldigheter och en överklagandemöjlighet. Direktivet ska vidare innehålla krav på en nationell strategi för nät- och informationssäkerhet, att det ska finnas en eller flera nationella myndigheter för nät- och informationssäkerhet, en nationell kontakt- punkt för nät- och informationssäkerhet, nationella incident- hanteringsorgan (CSIRT). Det ska också etableras ett nätverk för samarbete mellan medlemsstaterna, och Network and , samt ett nätverk för de nationella incidenthanteringsorganen, CSIRTs, inklusive CERT-EU. Genom nätverk för behöriga nationella myndigheter ska medlemsstaterna utbyta information och samarbeta på grundval av den europeiska planen för samarbete inom detta område för att bekämpa nät- och informationssäkerhetshot och nät- och informationssäkerhetsincidenter. Direktivet kommer troligen att beslutas . Ut- redningen konstaterar att de skyldigheter som direktivet förväntas ålägga medlemsstaterna kan komma att behöva regleras för att Sve- rige ska kunna genomföra direktivet på ett korrekt sätt. Internationella utvecklingslinjer, organisationer och dialoger 8.2.3EU:s digitala agenda och allmän uppgiftsskyddsförordning digitala agenda för (KOM[2010] 245) är ett av huvudinitiativen inom ramen för 2020 – En strategi för smart och hållbar tillväxt för alla, (KOM[2010] 2020), kallad 2020-strategin. Strategin lanserades som ett led i att ta ur den finansiella krisen och förbereda EU:s ekonomi för nästa årtionde. Den beskriver bland annat hur viktig användningen av informations- och kommunikationsteknik är för att ska kunna uppnå de i strategin angivna målen. Förslag till åtgärder omfattar sju olika områden: En pulserande digital inre marknad Snabb och ultrasnabb internettillgång Främjande av digital kompetens, digitala färdigheter och digital integration Vinster för EU-samhället som möjliggörs av it Europeiska kommissionen och utrikestjänsten (EEAS) presente- rade en övergripande europeisk cybersäkerhets- strategi – En öppen, säker och trygg cyberrymd. Strategin berör it- frågor i ett brett perspektiv och presenterar unionens vision och principer för hur dess centrala värderingar och intressen ska komma till uttryck i cyberrymden. Strategin berör både EU-interna som externa aspekter av internetrelaterade frågor i ett brett per- spektiv och lyfter fram EU:s vision och principer för hur unionens centrala värderingar och intressen ska tydliggöras och tillvaratas inom cyberområdet. It-säkerhet, it-brottslighet, industri- och han- delsrelaterade frågor liksom utrikes-, säkerhets- och försvarspoli- tiska frågor inom cyberområdet är viktiga delar av strategin. Internationella utvecklingslinjer, organisationer och dialoger Implementeringen och uppföljning av strategin och rådslutsatserna samt frågor som berör EU:s internationella cyberpolitik hanteras övergripande i den tillfälliga arbetsgruppen inom rådet, Friends of the on Cyber issues (FoP). Gruppen tillsattes av Coreper (de ständiga representanternas kommitté, Comité des représentants permanents) . Syftet med FoP är att förbättra det horisontella arbetet, öka medlemsstaternas insyn och stärka samordningen såväl internt som externt avseende cyberfrågor i vid mening. Gruppen ska utgöra ett strategiskt verktyg för unionens övergripande politiska mål på området. fattades beslut om att utsträcka FoP-gruppens mandat . Inom FoP verkar för en övergripande och strategisk inriktning och hantering av cyberfrågorna. har varit dri- vande såväl vid tillsättande av gruppen som i diskussionerna om dess fortsatta arbete mot bakgrund av vikten av att bidra till ut- vecklingen av EU:s cyberpolicy. Detta arbete tar utgångspunkt i grundläggande värderingar som mänskliga rättigheter, demokrati och rättsstatsprincipen. fortsätter att bidra till policy- utvecklingen när det gäller globala cyberfrågor inom EU och verkar aktivt för att utveckla uppföljningsarbetet till EU:s cybersäkerhets- strategi. Övergripande rådslutsatser på basis av strategin antogs 2013 och har olika områden inom strategin följts upp, t.ex. med rådslutsatser om internets förvaltning och förhandlingar om rådslutsatser om EU:s cyberdiplomati. Ett ramverk för cyberförsvarsfrågor inom den gemensamma säkerhets- och försvarspolitiken (GSFP) har antagits som svar på en begäran från , vilket också återspeglas i rådslutsatserna allmänt om GSFP . Genomförande och uppföljning av strategin, liksom andra frågor som berör EU:s internationella cyberpolitik, hanteras övergripande inom rådet i vängruppen för cyberfrågor som tillsattes och vars mandat förlängdes med . Syftet med gruppen är att förbättra det horisontella arbetet, öka medlems- staternas insyn och stärka samordningen såväl internt som externt när det gäller cyberfrågor i vid mening. Vängruppen ska vara ett strategiskt verktyg för unionens övergripande politiska mål på området. verkar för en övergripande och strategisk inriktning och hantering av cyberfrågorna inom vängruppen. Internationella utvecklingslinjer, organisationer och dialoger vande för att såväl strategin och dess uppföljningsarbete som grup- pens fortsatta arbete ska bidra till policyutvecklingen av en global cyber- och internetpolitik för EU, i linje med grundläggande värde- ringar och politiska prioriteringar som fred, säkerhet, mänskliga rättigheter och utveckling. finns det ett Europeiskt Cybercrime Center (EC3) vid Europol i . EC3 är knutpunkten för EU:s it-brottsbekämpning och ska bl.a. bidra till kortare reaktionstid vid online-brott. EC3 ska stödja medlemsstaternas myndigheter i upp- byggnaden av operativ och analytisk kompetens för utredning och för samarbete med internationella partner. EC3 har fem huvud- funktioner inom den digitala brottsligheten: 6.Information och stöd: Insamling och bearbetning av inform- ation samt funktion som ”helpdesk” för medlemsländerna inom it-brottsbekämpning. 7.Operativt stöd: Stöd till medlemsländerna i det operativa arbetet inom teknik, analys, forensik och samordning. 8.Framtagande av strategier: Hotbedömningar, trendutvecklingar och analyser. 9.Forskning, utveckling och utbildning. 10.Uppsökande verksamhet: Utveckla samarbete med den privata sektorn och andra viktiga funktioner inom området. EC3 fokuserar på följande kärnområden av it-relaterad brottslig- het: Organiserad brottslighet som genererar stora brottsvinster, t.ex. internetbedrägerier. Brott som orsakar stora skador hos brottsoffret som t.ex. it- relaterade sexualbrott mot barn. Brott som påverkar kritisk infrastruktur och informations- system inom den Europeiska Unionen, t.ex. dataintrång. Internationella utvecklingslinjer, organisationer och dialoger inrättade Europol som ett pilotprojekt en Joint Cybercrime Taskforce (J-CAT) som ska stärka bekämp- ningen av it-brottslighet inom EU och globalt. Aktionsgruppen ska samordna internationella utredningar i syfte att agera mot de vik- tigaste hoten och aktörerna. I gruppen ingår både medlemsstaters brottsbekämpande myndigheter, myndigheter utanför EU och EC3. Förutom samordning av operativa insatser kommer aktions- gruppen att samla information från myndigheter och privata part- ner, analysera och bearbeta den för att kunna rikta in arbetet mot olika mål och nätverk. 8.3.1OECD:s arbete inom områdena informationssäkerhet och integritet , som grundades , är ett samarbetsorgan för 34 länder och har sitt säte i . Syftet med samarbetet är att bidra till till- växt, sysselsättning och ökad levnadsstandard i medlemsländerna, att bidra till sund ekonomisk utveckling, både i medlemsländerna och i omvärlden, samt att bidra till expansion av världshandeln. Samarbetet sker på marknadsekonomisk grund. utgör ett forum för utbyte av idéer och erfarenheter samt analyser av frågor inom ett stort antal politikområden. Ett viktigt syfte är att medlemsländerna ska lära av varandra, diskutera gemensamma problem och aktuella internationella ekonomiska frågor. Insamling av statistik är omfattande, liksom publikations- verksamheten. har cirka 200 kommittéer och arbetsgrupper. I dessa arbetar medlemsländerna, partnerländer och inbjudna organi- sationer tillsammans med sekretariat med studier, rekom- mendationer och riktlinjer som stöd till medlemsländernas policy- utveckling. Dessa är inte juridiskt bindande, men förutsätts ändå ha en påverkan och efterföljas. Sekretariatet har drygt 2 500 anställda och den årliga budgeten ligger på . Beslut fattas med consensus, dvs. Verksamheten inom är indelad i olika direktorat, där direktoratet för vetenskap, teknologi och industri (Directorate for ) har fyra underkommittéer. Internationella utvecklingslinjer, organisationer och dialoger ena av dessa arbetar med den digitala ekonomin (Committe on Digital Ecomony Policy, CDEP) som i sin tur har tre arbetsgrup- per. Arbetsgruppen för informationssäkerhet och integritet (Wor- king Party on in the Digital Eco- nomy – WPSPDE) bildades och är den som närmast hanterar områden av betydels för utredningen. Arbetsgruppen förvaltar och reviderar löpande ett flertal rekommendationer och riktlinjer som redovisas nedan. Därutöver sker arbete med att ta fram indikatorer för att mäta informationssäkerhet, bl.a. via data från CSIRTs, fortsatt arbete med ID-management samt utveckling av ”Privacy Risk Manage- ment”. En rapport har färdigställts tillsammans med hälsokommit- téen avseende säkerhet och integritet vid återanvändning av hälso- data. arbete har bl.a. handlat om analys av medlemsstaters nationella strategier för informationssäkerhet, informationssäker- hetsfrågor avseende ”Internet of Things” och ””, framta- gande av en rekommendation avseende skydd av barn som är upp- kopplade på internet (Protection of Children Online), analyser av nationella strategier avseende informationssäkerhet för kritisk in- frastruktur m.m. Artbetsgruppen bedriver också ett omfattande arbete med olika analyser inom dataskyddsområdet (personlig in- tegritet). 8.3.2OECD:s rekommendationer och riktlinjer – Security Guidelines 1992 utvecklade sina första riktlinjer för att understödja medlemsstaternas arbete inom informationssäkerhetsområdet. Dessa reviderades och genomgår en ny revision som beräknas bli klar . Den pågående revisionen tar fasta på informationssäkerheten i nätverk och system utifrån ekonomiska och sociala välfärdsaspekter i en öppen, inter- nationell och uppkopplad teknisk miljö. Internet har blivit en allt viktigare plattform för samhällets funktionalitet. De digitala hoten ökar med mer sofistikerade aktö- rer. Nya former av ekonomiska och sociala störningar har uppkom- mit. Ökad digital mobilitet, molntjänster, sociala nätverk, sakernas internet (internet of things) m.m. är nya parametrar för informa- tionssystemen. Ambitionen är att de nya riktlinjerna ska ta dessa Internationella utvecklingslinjer, organisationer och dialoger och andra förändringar i beaktande utifrån ett holistiskt synsätt. Utgångspunkt är också ett riskbaserat synsätt då system och nätverk bli med internationella, större och komplexa. Både förebyggande åtgärder och krishanteringsförmåga förutsätts. Den nya rekommendationen är indelad i tre sektioner: generella principer, operationella principer och om nationella strategier. Till rekommendationen finns också ett förklarande annex. De generella principerna handlar om att medvetandegöra alla berörda om vilka digitala säkerhetsrisker som de kan utsättas för genom utbildning och därigenom också ge nödvändiga färdigheter för att kunna bedöma och hantera dessa. Alla har ett gemensamt ansvar, utifrån den egna rollen eller verksamheten, beaktat att en viss risknivå är oundviklig utifrån ekonomiska eller sociala målsätt- ningar i en öppen och sammanvävd internationell miljö. Lednings- system för riskhantering (risk management) bör införas för att få en styrning av säkerhetsarbetet på ett transparent sätt och i enlig- het med mänskliga rättigheter och andra fundamentala värden. Global uppkoppling innebär också att alla aktörer behöver sam- arbeta internationellt och över landsgränser. De operationella principerna handlar om systematiska risk- och sårbarhetanalyser samt hantering av risker. Riskhanteringen kan resultera i att risken accepteras, reduceras, överförs, undviks eller kombinationer i de olika alternativen. Vidare handlar den andra sektionen om säkerhetsåtgärder, innovation och kontinuitetsplane- ring. rekommenderar medlemsstaterna att anta nationella strategier, vilket behandlas i den tredje sektionen. Avsikten är att minska de digitala säkerhetsriskerna på alla nivåer, inom landet och över landsgränser, utan onödiga restriktioner som påverkar det fria dataflöden eller teknikutvecklingen. Andra aspekter är att skydda individer från digitala säkerhetshot (t.ex. dataintrång, identitets- stölder eller bedrägerier), att beakta behovet av nationell säkerhet och suveränitet samt att bevara mänskliga rättigheter och funda- mentala värden. Det sägs att strategierna ska riktas mot alla aktörer och vara anpassade för såväl små och medelstora företag som indi- vider. Allas ansvar och agerande utifrån den egna verksamheten och roller ska påtalas. Viktigt är också att stödja utbildning och träning av personal. Internationella utvecklingslinjer, organisationer och dialoger Det anges att nationella strategier ska inkludera åtgärder som bör utföras av regeringarna. Exempel på sådana åtgärder anges också. Det handlar bl.a. om framtagande av en holistisk handlings- plan för den offentliga förvaltningen baserade på risk- och sårbar- hetsanalyser, bättre koordinering mellan relevanta myndigheter, inrättande av CSIRT, ökade informationssäkerhetskrav i offentliga upphandlingar och anställning av fler säkerhetsexperter, att stimu- lera FoU, innovation samt utvecklig av öppna standarder. Behovet av internationellt samarbete och assistans understryks. Deltagande i internationell fora, etablering av bilaterala och multi- laterala nätverk för utbyte av erfarenheter och bästa tillämpade teknik är vägar att gå. Internationellt samarbete för att bemöta gränsöverskridande hot och risker kan t.ex. ske via samarbete mel- lan CSIRT och genom internationell övningsverksamhet. Skapande av förtroendefullt samarbete mellan aktörer sker inte över då informationen i många fall kan vara känslig eller t.o.m. hemlig och leda till skada om den kommer i orätta händer. Partnerskap och olika samarbeten mellan offentliga och privata aktörer, formella och informella, kan stimuleras med syfte att få till stånd förtroendefulla kunskaps- och erfarenhetsutbyten. Andra åtgärder som regeringarna kan vidta för att stimulera den digitala säkerheten är stöd till frivilliga märkningsordningar, upp- muntra till certifieringar och rapportering av incidenter. Statistiken på området behöver också utvecklas genom framtagande av nya och internationellt jämförbara indikatorer. Skydd av personuppgifter vid dataöverföring och datalagring är ett område som arbetat med . De första riktlinjerna beslutades med bl.a. och som pådrivande länder. inrättades också Datainspektionen. Olaglig lagring av persondata, bevarande av inaktuella data och utlämnande av känsliga persondata är områden som berörs i rikt- linjerna. Persondata behöver emellertid också kunna hanteras på ett rationellt sätt inom viktiga sektorer av ekonomin, inom sjukvården och av myndigheter samt för forskningsändamål. Återanvändning av data är ett annat område. För att undvika skillnader i lagstift- Internationella utvecklingslinjer, organisationer och dialoger ningen mellan länder och därigenom bl.a. underlätta för fria data- flöden över landsgränser utvecklades riktlinjerna. Åtta olika principer togs fram med begränsningar och krav på mängden insamlade persondata, datakvalitet, syftet, användningen, säkerhet, öppenhet kring användningen, individens rättigheter samt om ansvar för datahanteringen. Dessa kvarstår än och har ut- vecklats ytterligare vid en revidering som slutförts . Två nya aspekter tillfördes då, dels behovet av att införa ett riskbaserat led- ningssystem för skydd av personuppgifter, dels att skapa ökad glo- bal interoperabilitet för området genom internationella regelverk. Nya koncept har också introducerats, bl.a. behovet av att utarbeta nationella strategier för hantering av persondata, behovet av led- ningsprogram för organisationer och om incidentrapportering vid dataläckage. Organisationers ansvar vid hantering av persondata lyfts särskilt fram. 8.3.4Recommendation on the Protection of Critical Information Infrastructure (CIIP) Rekommendationen bygger på studier och analyser utförda – 2007 i sju . Området var då under utveckling och visade på skillnader i utveckling av policyer, praktisk riskhantering, uppfölj- ning och hantering av sårbarheter, roller och ansvar m.m. Rekommen- dationen beskriver olika koncept för skydd av kritiska infrastrukturer och hur dessa definieras i olika länder. Behovet av att även införa nationella handlingsplaner, i enlighet med ovan nämnda ”security guidelines”, rekommenderas. Fokus ligger på hur regeringarna kan demonstrera ett ledarskap och engagemang när det gäller risk- hantering i samarbete med den privata sektorn. Informationsspridning på såväl regional som global nivå är exempel på åtgärder som kan initieras. presenterades förslag till ändringar i CIIP-rekom- mendationen utifrån vunna erfarenheter från revisionen av “secu- rity guideline”. Översynen kommer enligt planeringen att slutföras . Internationella utvecklingslinjer, organisationer och dialoger 8.3.5Guidelines for Cryptography Policy Kryptografi möjliggör överföring av information på ett skyddat sätt, där möjligheterna att förvanska innehållet försvåras eller omöjliggörs. De flesta har utvecklat och infört policyer och lagstiftningar kring användningen av kryptografi. Olikheter i dessa regelverk kan emellertid skapa hinder vid ut- veckling av t.ex. nationella och globala nätverk för elektronisk kommunikation och därmed vara handelshindrande. 1996 initierade därför ett projekt kring kryptografi då medlemsstaterna såg behovet av att skapa en bättre harmonisering kring utvecklingen av en effektivare och säker it-infrastruktur. Avsikten var att nå enig- het kring viss policy- och regleringsfrågor vid användning av kryp- ton i elektroniska nätverk. Hänvisning finns också till digitala sig- naturer. Riktlinjerna, med åtta grundläggande principer, har en stor bredd och ger uttryck för medlemsstaternas olika uppfattningar. Dessa finns också i ett bakgrundsdokument. Något behov av att revidera rekommendationen har inte framställts. 8.4FN:s arbete och internationella initiativ inom cyberområdet 8.4.1FN:s generalförsamlings första utskott I FN:s generalförsamlings första utskott som tillägnas nedrustning och internationell säkerhet har cybersäkerhet behandlats utifrån ett internationellt säkerhetspolitiskt perspektiv. Tongivande har bl.a. en rysk utskottresolution varit som har uppmärksam- mat utvecklingen av informations- och telekommunikationstekno- logier i en internationell säkerhetskontext. Resolutionen tar bl.a. upp frågan med risker och hot i samband med användande av dessa teknologier, liksom möjliga samarbetsåtgärder som skulle kunna vidtas för att hantera denna utveckling, inklusive utvecklandet av normer och förtroendebyggande åtgärder. Resolutionen, som oftast antagits utan omröstning och inte getts så stor uppmärksamhet, har gett mandat till statsexpertgrupper inom området, Group of Governmental Experts (GGE). Sådana grupper har utsetts vid fyra tillfällen, och två gånger har konsensus nåtts kring en rapport om gruppens överläggningar. Internationella utvecklingslinjer, organisationer och dialoger rapport som antogs 2013 har setts som ett viktigt framsteg då den bl.a. konstaterade att internationell rätt, och särskilt , var applicerbar inom cyberområdet. Den fjärde GGE-gruppen (med utökat deltagarantal till 20 experter) tillsattes och har påbörjat sitt arbete med syfte att rapportera till UNGA 2015. har hanteringen av dessa frågor i UNGA:s första utskott föranlett ett särskilt svenskt engagemang; har tagit initiativ till ett särskilt gemensamt anförande för att förklara vår och andra likasinnades hållning till den ryska resolutionen. En huvudorsak till detta initiativ med ett gemensamt anförande var de utkast till uppförandekod och konvention kring informationssäkerhet som tillsammans med , och cirkulerade . Utformningen och innehållet i dessa dokument ansågs inte acceptabelt av flera skäl, inte minst i ett människorätts- och yttrandefrihetsperspektiv. som de framsteg som den statliga FN-expertgruppen har gjort välkomnas, har det gemensamma anförandet betonat behovet av ett brett säkerhetsperspektiv som lyfter fram mänskliga rättigheter men även flerpartsmodellen för internets styrning. – i nationell kapacitet – rapporterade till FN:s generalsekreterare om vår syn på ICT-relaterade frågor i ett internationellt säkerhetsperspektiv, i enlighet med inbjudan att göra så som framförs i den ryska resolutionen. 8.4.2FN:s generalförsamlings andra utskott FN:s generalförsamlings andra utskott behandlar allmänt ekonomiska och sociala frågor, inklusive utvecklingsfrågor. En viktig resolution som lyfter fram vikten av den potential som ICT (Information and ) kan innebära för ekonomisk och social utveckling är den så kallade ICT4D-resolutionen i FN:s general- församlings andra utskott. Ett högnivåmöte kommer att äga rum inom ramen för de så kallade World Summit on the () som avses hållas . De omfattande förberedande förhandlingarna inför översynen i ITU och är avslutade. Den så kallade Commission for Science and Technology for Internationella utvecklingslinjer, organisationer och dialoger Development (CSTD) förbereder en syntesrapport som ska delges UNGA . Textförhandlingar inför påbörjas . 8.4.3FN:s generalförsamlings tredje utskott FN:s generalförsamlings tredje utskott ägnas åt människorätts- frågor, inklusive vad gäller fullt åtnjutande av mänskliga rättigheter på internet. En aktuell fråga i detta utskott har berört det brasi- liansk-tyska initiativet att introducera en resolution om rätten till privatliv i den digitala eran. Detta genererade en omfattande för- handlingsprocess som även deltog mycket aktivt i. Resolutionen ombad FN:s högkommissarie för mänskliga rättig- heter att ta fram en rapport på området, som publicerats och diskuterats i för mänskliga rättigheter. 8.4.4FN:s råd för mänskliga rättigheter I för mänskliga rättigheter i antogs 2012 reso- lution 20/8 med som en av initiativtagarna. Resolutionen togs med konsensus och bekräftar – i sådant sammanhang – att samma rättigheter som finns offline också gäller online. En uppföljningsresolution antogs , där även frågor rörande rätten till utbildning och styrningsfrågor togs upp. Högkommissariens rapport om to Privacy in the Digital diskuterades i en panel i för mänskliga rättigheter och presenteras i UNGA:s tredje utskott .