sou · H3B323 · 2015-03-10 00:00:00 — En- heten ansvarar även för att analysera och bedöma omvärldsutveck- lingen inom sitt område. I det ingår bl.a. löpande omvärldsbevak- ning, att producera och delge anpassad information till relevanta aktörer. Vid avdelningen för risk- och sårbarhetsreducerande arbete finns också av samhällsviktig verksamhet. En- hetens huvudsakliga uppgifter är att stödja och utveckla samhällets förmåga att förebygga och mildra effekterna av naturolyckor och stödja arbetet med säkerhet i samhällsplanering, anpassning till ett förändrat klimat och skydd av kritisk infrastruktur samt att höja förmågan att motstå störningar i samhällsviktig verksamhet. En- heten har ansvar för stöd och utveckling av samhällets systematiska säkerhets- och krishanteringsarbete särskilt i fråga om metodstöd till risk- och sårbarhetsanalyser, kontinuitetshantering och kritiska beroenden enligt förordningen (2006:942) om krisberedskap och höjd beredskap och lagen (2006:544) om kommuners och lands- Myndigheter med särskilt ansvar för informationssäkerhet tings åtgärder inför och vid extraordinära händelser i fredstid och höjd beredskap. I arbetet med säkra kryptografiska funktioner för det civila samhället samordnar MSB arbetet med civila myndigheters signal- skyddsverksamhet och arbete med säkra kryptografiska funktioner. I denna uppgift ingår att vara kravställare gentemot Förvarsmakten vid utveckling av nya system. MSB är bemyndigad av regeringen i enlighet med 31§ förordningen (2006:942) om krisberedskap och höjd beredskap att besluta om vilka myndigheter som ska kunna kommunicera med kryptografiska funktioner, utöver de som regeringen har pekat ut i krisberedskapsförordningen. Dessutom kan MSB besluta om och ingå avtal med de kommuner, organisationer och företag som ska tilldelas säkra kryptografiska funktioner. MSB fattar ett 30-tal tilldelningsbeslut och har tilldelat cirka 160 olika organisationer säkra kryptografiska funktioner, till dessa räknas myndigheter, landsting, kommuner och privata företag. MSB:s beslut effektueras av . Vidare föreskriver MSB genom MSBFS 2009:11 om den signalskyddsberedskap som gäller för de myndigheter och organisationer som tilldelats signalskydd. MSB deltar i internationella samarbeten som rör informations- och cybersäkerhet, t.ex. informationsdelning och samarbete mellan nordiska nationella CERT-funktioner och samarbete inom (), samt internationell samverkan kring säkerhet i it-produkter, säkerhet i industriella informations- och styrsystem, cybersäkerhet i finansiella tjänster och standardisering kopplad till informationssäkerhet (ISO). MSB deltar i expertgrupp European forum for member states (EFMS) och den privat-offentliga plattformen för nät- och informationssäkerhet (NIS-plattformen) samt representerar i Natos planeringsgrupp för industriella resurser och kommunikation (IRCSG). 6.1.2Post- och () () är tillsynsmyndighet för lagen (2003:389) om elektronisk kommunikation, se avsnitt 5.2.6. Av 1 § förordningen (2007:951) med instruktion för Post- och tele- Myndigheter med särskilt ansvar för informationssäkerhet styrelsen framgår att PTS är en förvaltningsmyndighet med ett samlat ansvar inom postområdet och området för elektronisk kom- munikation. Myndigheten ska verka för att målen inom politiken för informationssamhället uppnås. Myndigheten ska även, inom ramen för sina uppgifter enligt lagen (2003:389) om elektronisk kommunikation, verka för att de mål som anges i denna lag uppnås. Myndigheten ska beskriva och analysera utveckling och resultat inom sitt ansvarsområde och rapportera detta till regeringen. Myndigheten ska särskilt uppmärksamma och analysera eventuella problem inom området och, när det är påkallat, vidta eller lämna förslag till lämpliga åtgärder. Myndigheten ska vidare regelbundet göra strategiska analyser inom området för elektronisk kom- munikation och redovisa den långsiktiga inriktningen av myndig- hetens tillämpning av regleringen på området. Det anges även i 4 § i förordningen (2007:951) med instruktion för att inom området för elektronisk kommunikation har PTS bl.a. till uppgift att främja tillgången till säkra och effektiva elektroniska kommuni- kationer, inbegripet att tillse att samhällsomfattande tjänster finns tillgängliga, följa utvecklingen när det gäller säkerhet vid elektronisk kom- munikation, pröva frågor om tillstånd och skyldigheter och utöva tillsyn enligt lagen (2003:389) om elektronisk kommunikation, meddela föreskrifter enligt förordningen (2003:396) om elek- tronisk kommunikation, utöva tillsyn enligt lagen (2000:832) om kvalificerade elektro- niska signaturer samt meddela föreskrifter enligt förordningen (2000:833) om kvalificerade elektroniska signaturer, utöva tillsyn enligt lagen (2006:24) om nationella toppdomäner för på internet samt meddela föreskrifter enligt förord- ningen (2006:25) om nationella toppdomäner för på internet, verka för robusta elektroniska kommunikationer och minska risken för störningar, inbegripet att upphandla förstärknings- åtgärder, samt verka för ökad krishanteringsförmåga, Myndigheter med särskilt ansvar för informationssäkerhet verka för ökad nät- och informationssäkerhet i fråga om elek- tronisk kommunikation, genom samverkan med myndigheter som har särskilda uppgifter inom informationssäkerhets-, säker- hetsskydds- och integritetsskyddsområdet samt med andra berörda aktörer, och lämna råd och stöd till myndigheter, kommuner och landsting samt företag, organisationer och andra enskilda i frågor om nätsäkerhet (4 § 1, 7, 8, 9, 13, 14, 15, 16 och 17). I 7 § förordningen anges att beträffande EU-arbetet och annat internationellt samarbete ska PTS vara det behöriga organ som får begära råd och stöd enligt och rådets förordning (EG) nr 526/2013 av om Europiska unionens byrå för nät- och in- formationssäkerhet () och om upphävande av förord- ningen (EG) nr 460/2004, och delta i arbetet i internationella organ i frågor som rör internets förvaltning genom att vid behov företräda i dessa organ och genom att bereda ärenden med intressenter på nationell nivå. Av förordningen framgår även att PTS genom upphandling får stärka samhällets beredskap mot allvarliga störningar av elektronisk kommunikation i fred (8 § 4). Det anges också i 11 § förordningen att PTS ska verka för att företag och andra enskilda har förtroende för samt förmåga och möjlighet att använda it och elektroniska kommunikationstjänster (11 § andra stycket). I lagen (2003:89) om elektronisk kommunikation (LEK) finns bl.a. bestämmelser om säkerhet som gäller för den som tillhanda- håller ett allmänt kommunikationsnät eller en allmänt tillgänglig elektronisk kommunikationstjänst. Av 5 kap. 6 c § LEK framgår att den som tillhandahåller ett allmänt kommunikationsnät eller en allmänt tillgänglig elektronisk kommunikationstjänst utan onödigt dröjsmål ska rapportera störningar eller avbrott av betydande om- fattning till PTS. Det är Nätsäkerhetsavdelningen vid PTS som ansvarar för arbetet med robust kommunikation samt frågor kring säkerhet och integritet. Myndigheter med särskilt ansvar för informationssäkerhet PTS arbetar med informationssäkerhet i enlighet med sin instruktion och lagen om elektronisk kommunikation. PTS har bl.a. tagit fram en vägledning för användare om hur man kan anskaffa robust kommunikation. Råd lämnas bl.a. om hur man ställer adekvata krav vid anskaffningen och hur man identifierar kritiska funktioner genom en risk- och sårbarhetsanalys. Försvarsmaktens övergripande ansvar är att upprätthålla och utveckla ett militärt försvar (1 § förordningen [2007:1266] med instruktion för Försvarsmakten). Enligt 2 § i instruktionen ska myndigheten kunna försvara och främja svensk säkerhet genom insatser nationellt och internationellt. Vidare ska Försvars- makten med myndighetens befintliga förmåga och resurser kunna lämna stöd till civil verksamhet. När det gäller stöd till civil verk- samhet m.m. se vidare lagen (2006:343) om Försvarsmaktens stöd till polisen vid terrorismbekämpning, förordningen (2006:344) om Försvarsmaktens stöd till polisen vid terrorismbekämpning och förordningen (2002:375) om Försvarsmakens stöd till civil verk- samhet. Bland Försvarsmaktens verksamhetsuppgifter ingår att bedriva omvärldsbevakning och kunna upptäcka och identifiera yttre hot mot , svenska intressen och de insatser som deltar i (3 § första stycket förordningen med instruktion för Försvarsmakten). Försvarsmakten ska även bedriva försvarsunderrättelseverksam- het, leda och bedriva militär säkerhetstjänst, leda och samordna signalskyddstjänsten, inklusive arbetet med säkra kryptografiska funktioner som är avsedda att skydda skyddsvärd information, samt biträda i frågor som rör kryptoverksamhet och annan signalskyddsverksamhet (3 b § 1−4 förordningen med instruktion för Försvarsmakten). Försvarsmakten får meddela övriga statliga myndigheter före- skrifter i frågor om signalskyddstjänsten inklusive säkra kryptogra- fiska funktioner inom totalförsvaret, förutom i fråga om verk- ställigheten av 33 § förordningen (2006:942) om krisberedskap och höjd beredskap (33 § förordningen med instruktion för Försvars- makten). Myndigheter med särskilt ansvar för informationssäkerhet Enligt 1 § lagen (2000:130) om försvarsunderrättelseverksamhet ska försvarsunderrättelseverksamhet bedrivas till stöd för svensk utrikes-, säkerhets- och försvarspolitik samt i övrigt för kartlägg- ning av yttre hot mot landet. Verksamheten får endast avse ut- ländska förhållanden. I lagen finns bestämmelser om försvarsunder- rättelseverksamhetens inriktning. Inom försvarsunderrättelse- verksamheten får det inte vidtas åtgärder som syftar till att lösa uppgifter som enligt lagar eller andra föreskrifter ligger inom ramen för polisens och andra myndigheters brottsbekämpande och brottsförebyggande verksamhet (4 §). Försvarsmakten har ansvar för kontroll av säkerhetsskyddet samt utfärdande av föreskrifter om verkställighet av säkerhetsskyddslagen för sitt tillsynsområde (39 § 1 säkerhetsskyddsförordningen [1996:633]). Försvarsmakten ansvarar för skydd av sina egna lednings- och informationssystem. Försvarsmakten ställer för strategiska kommunikationer opera- tiva krav vad avser robusthet, redundans, skydd och drift. Försvars- makten har genom () lång erfarenhet av drift av ledningssystem. Utöver Försvarsmakten använder bl.a. av , , , , FOI och FRA, MSB och PTS . Försvarsmakten har påbörjat förberedelser för inrättandet av krigsförbandet Försvarsmaktens telekommunikations- och in- formationssystemförband (FMTIS) i insatsorganisationen. FMTIS ska ha hand om drift och övervakning av infrastruktur, drift av centrala it-system och etablerande av nya system. Förbandet ska bestå av Försvarsmaktens telenät- och markteleförband, Försvarsmaktens logistik och operativ ledningsteknisk bataljon. IT-försvarsförbandet med FM-CERT har hand om försvar av Försvarsmaktens it- infrastruktur och stödjer också systemdrift. Teknikkontor lednings- system tar fram systemlösningar. Vid Ledningsregementet med telekrigsbataljonen finns rörliga ledningsförband för telekrigföring. Juridiska staben vid Högkvarteret gjorde 2012 en studie beträf- fande de rättsliga förutsättningarna för Försvarsmaktens verksam- het i cyberområdet. Syftet med studien var att konkretisera cyber- området och skapa beslutsunderlag för att bättre inrikta förmåge- utvecklingen och öka effekten och rationaliteten inom Försvars- makten på cyberområdet. Myndigheter med särskilt ansvar för informationssäkerhet Försvarsmakten deltar i internationella samarbeten som rör cyberförsvar och cybersäkerhet, t.ex. informationsdelning och samarbete mellan nordiska militära CERT:ar, multinationellt forum för harmonisering av planeringsmodeller inom cyberförsvar och förmågeutveckling enligt NATO standarder. Militära underrättelse- och säkerhetstjänsten (Must) vid Hög- kvarteret leder och ansvarar för Försvarsmaktens verksamhets- område underrättelse- och säkerhetstjänst. När det gäller under- rättelsetjänst hämtar Must på uppdrag av regeringen och ÖB in information som analyseras och delges som underrättelserapporter. Den militära säkerhetstjänsten bedrivs inom tre huvudområden. Säkerhetsunderrättelsetjänsten upptäcker, klarlägger och motverkar säkerhetshot som riktas mot Försvarsmakten och dess intressen inom och utom landet. Säkerhetsskyddstjänsten förebygger bl.a. att uppgifter som omfattas av sekretess och som rör rikets säkerhet inte röjs, och att endast personer som är pålitliga utifrån säkerhets- synpunkt deltar i verksamhet som har betydelse för rikets säkerhet. Bland säkerhetsskyddsåtgärder ingår att lämna stöd till andra myn- digheter inom området säkra kommunikationer. Signalskydds- tjänsten förhindrar att obehöriga får insyn i, eller kan påverka totalförsvarets telekommunikationer. Signalskydd omfattar även användning av i it-system. Vid Musts Säkerhetskontor finns Säkerhetsunderrättelseavdelningen, Säkerhetsskyddsavdel- ningen och Avdelningen för Krypto och IT-säkerhet. Sistnämnda avdelning producerar och distribuerar kryptonycklar, aktiva kort och certifikat till totalförsvaret samt utövar rollen som CA (Certi- fication Authority). FMV upphandlar efter beställning från För- svarsmakten system (signalskydd och krypto) av industrin. Avdel- ningen deltar i projekten med kravställning, verifiering, bedömning och godkännande av signalskyddssystem och Krypto för Skydds- värda Uppgifter (KSU). Avdelningen stödjer i rollen som Authority avseende NCSA (Authority) och tecknar med bemyndigande från med andra länder och deltar i EU CSC(IA), avseende NDA (National Distri- bution Authority) med ansvar för kryptonyckelproduktion, distri- bution och materieluppföljning samt TA (Tempest Authority) med bedömningar och deltagande i EU ITTF. Avdelningen har vidare funktionen som AQUA (Appropriately Qualified Authority) dvs. Myndigheter med särskilt ansvar för informationssäkerhet godkänd andrapartsevaluerare av krypto inom EU. Avdelningen bidrar också med stöd vid export av svenska kryptosystem på upp- drag av . Det finns fem svenska kryptosystem som godkänts av Europeiska unionens råd. När det gäller it-säkerhet kravställer, verifierar, bedömer och godkänner avdelningen it-säkerhetsprodukter/mekanismer för För- svarsmakten. Avdelningen har hand om inriktningen av Försvars- maktens utveckling av it-system med avseende på it-säkerhet och signalskydd. Vidare stödjer avdelningen utvecklingen av it-system. Avdelningen bedömer och godkänner säkerhetsfunktioner för För- svarsmaktens it-system. Avdelningen har tagit fram Krav på Säkra Funktioner (KSF), i vilka specificeras de it-säkerhetsegenskaper som it-system i Försvarsmakten ska ha. Vid Försvarsmakten finns också Försvarsmaktens underrättelse- och säkerhetscentrum (FMUndSäkC). Centret tillgodoser För- svarsmaktens behov av kompetens, metodik, och teknik inom underrättelse- och säkerhetstjänst, samt inom språk. () ska på uppdrag av Försvarsmakten vidmakthålla, destruera och kassera varor samt upphandla byggentre- prenader, varor och tjänster. Myndigheten ska vidare på uppdrag av Försvarsmakten tillhandahålla logistik i form av service, förråds-, och verkstadstjänster. Myndigheten ska också biträda Försvarsmakten i materielförsörjnings- och logistikförsörjningsplanering samt med materialsystemkunskap (1 § förordningen [2007:854] med instruktion för ). FMV ska vara patentorgan för de myndigheter som hör till För- svarsdepartementet och handlägger ärenden som rör immaterial- rättsliga frågor. FMV får inom sitt verksamhetsområde även tillhandahålla tjänster åt andra än Försvarsmakten (6 §). Vid FMV finns ett certifieringsorgan som ska upprätta och driva en certifieringsordning för säkerhet i it-produkter och system (5 §). FMV ska verka för att uppnå och vidmakthålla internationellt erkännande för utfärdade certifikat. CSEC (Certifierings- organ för it-säkerhet) ansvarar för certifiering av it-säkerhetspro- Myndigheter med särskilt ansvar för informationssäkerhet dukter inom ramen för den internationella standarden ISO/15408 (Common Criteria). Arbetet bedrivs inom ramen för CCRA (Common Criteria Recognition Arrangement) som bygger på ömsesidigt erkännande av certifikat utfärdade av 26 medlems- länder. CSEC utfärdar även certifikat enligt EA-MLA (European Cooperation for Accreditation Multilateral Agreement) och enligt (SOGIS Mutual Recognition Agreement of In- formation Evaluation Certificates). SOGIS () är en råd- givande funktion kopplad till . CSEC har vidare i enlighet med mål i handlingsplan för informationssäkerhet 2012 tagit fram en särskild kryptopolicy. CSEC är ackredi- terat av Styrelsen för ackreditering och teknisk kontroll (Swedac). FMV bedriver verksamhet inom området för säkerhetsskydd vad avser anbudsgivare och leverantörer som har träffat säkerhets- skyddsavtal (41 § säkerhetskyddsförordningen [1996:633]). FMV bedriver också försvarsunderrättelseverksamhet enligt 2 § förordningen (2000:131) om försvarsunderrättelseverksamhet. har enligt förordningen (2007:937) med instruktion för till uppgift att bedriva signalspaning (1 §). Myndigheten ska särskilt följa förändringen av signalmiljön i omvärlden, den tekniska utvecklingen och signal- skyddet, fortlöpande utveckla den teknik och metodik som behövs för att bedriva verksamheten, och utföra matematiska bedömningar av kryptosystem för totalförsvaret (2 §). ska också biträda andra myndigheter vid värdering, utveckling, anskaffning och drift av signalspanings- system (3 §). Enligt 1 § enligt lagen (2000:130) om försvarsunderrättelseverk- samhet får den myndighet som regeringen bestämmer (signal- spaningsmyndigheten) inhämta signaler i elektronisk form vid signalspaning. Signalspaning i försvarsunderrättelseverksamhet får endast ske i de fall regeringen eller en myndighet som anges i 4 § närmare har bestämt inriktningen av signalspaningen. Myndigheter med särskilt ansvar för informationssäkerhet Signalspaning i försvarsunderrättelseverksamhet får ske endast i syfte att kartlägga yttre militära hot mot landet, förutsättningar för svenskt deltagande i fredsfrämjande och humanitära internationella insatser eller hot mot säkerheten för svenska intressen vid genomförandet av sådana insatser, strategiska förhållanden avseende internationell terrorism och annan grov gränsöverskridande brottslighet som kan hota väsentliga nationella intressen, utveckling och spridning av massförstörelsevapen, krigsmateriel och produkter som avses i lagen (2000:1064) om kontroll av produkter med dubbla användningsområden och av tekniskt bistånd, allvarliga yttre hot mot samhällets infrastrukturer, konflikter utomlands med konsekvenser för internationell säkerhet, främmande underrättelseverksamhet mot svenska intressen, eller främmande makts agerande eller avsikter av väsentlig betydelse för svensk utrikes-, säkerhets- eller försvarspolitik. I lagen (2000:130) om försvarsunderrättelseverksamhet finns bestäm- melser om internationellt samarbete på försvarsunderrättelseområdet. får för den verksamhet som anges i 1 § tredje stycket lagen (2008:717) om signalspaning i försvarsunder- rättelseverksamhet, enligt regeringens närmare bestämmande, etablera och upprätthålla samarbete i signalspaningsfrågor med andra länder och internationella organisationer (9 § lagen (2008:717) om signal- spaning). ska vidare enligt 4 § förordningen (2007:937) med instruktion för ha hög teknisk kompetens inom informationssäkerhetsområdet. Myndig- heten får efter begäran stödja sådana statliga myndigheter och statligt ägda bolag som hanterar information som bedöms vara känslig från sårbarhetssynpunkt eller i ett säkerhets- eller försvars- Myndigheter med särskilt ansvar för informationssäkerhet ska särskilt kunna stödja insatser vid nationella kriser med it-inslag, medverka till identifie- ringen av inblandade aktörer vid it-relaterade hot mot samhälls- viktiga system, genomföra it-säkerhetsanalyser, och ge annat tek- niskt stöd. Bland myndighetens tjänster ingår informationssäkerhets- analyser, stöd vid kvalificerade it-incidenter, forensisk analys, tek- nisk rådgivning och utbildning i it-säkerhet. Vid informations- säkerhetsanalyser kontrolleras sårbarheter i uppdragsgivarens it- system och en bild ges av vilka brister som behöver åtgärdas. Vid myndigheten finns en forsknings- och utvecklingsenhet med uppgift att metodiskt upptäcka och analysera sårbarheter i in- formationsmiljöer. ska samverka med andra organisationer inom informationssäkerhetsområdet såväl inom som utom landet (4 § ). Myndigheten deltar både i bilaterala och multilaterala inter- nationella samarbeten för informationsdelning inom informations- och cybersäkerhetsområdet. ska enligt sitt regleringsbrev upprätthålla kompetensen för de nationella behoven avseende kryptologi. Myndigheten utför via kryptologpoolen matematiska bedömningar av kryptosystem för totalförsvaret. Genom de matematiska bedöm- ningarna tillser att kunskapen från myndig- hetens signalspaningsuppdrag kommer totalförsvaret till godo. Myndigheten stödjer även bland annat , och med kryptologisk kompetens. tillhandahåller av Försvarsmakten natio- nellt godkända kryptografiska funktioner till civila myndigheter och företag vilket gör det möjligt att utbyta sekretessbelagd in- formation. FRA har en nationellt godkänd kryptoverkstad samt är förvaltare av civil signalskyddsmateriel. Användarstöd kring regel- verk, teknik och övrig support lämnas dygnet runt. FRA är krypto- nyckel- och certifikatombud, samt ansvarar för att behovet av behörighetsgivande utbildningar inom den civila sektorn uppfylls. fick i uppdrag av regeringen att lämna förslag på hur ett tekniskt detekterings- och varningssystem för samhällsviktig verksamhet och kritisk infra- struktur (TDV) kan utformas och införas (Fö2010/703/SSK). Uppdraget redovisades i en rapport . Myndigheter med särskilt ansvar för informationssäkerhet samhällsskydd och beredskap (MSB) fick i uppdrag att lämna förslag på vilka aktörer som bör komma i fråga för att delta i ett sådant system. MSB redovisade uppdraget i en rapport . – I rapporten föreslogs att de myndigheter som har ett sär- skilt ansvar vad gäller krisberedskap och höjd beredskap erbjuds att delta i ett nationellt detekterings- och varningssystem. I en senare fas borde även andra aktörer, såsom landsting och kommuner, erbjudas att få ansluta sig. Även ägare av samhällsviktig verksamhet och kritisk infrastruktur föreslogs delta i ett senare skede. fick (Fö2011/1681/SSK) i uppdrag av regeringen att komma in med ett kompletterande underlag avseende föreslaget system och att utarbeta en pilotversion av systemet. föreslog i rapporten att föreslaget TDV-system med varnande och skyddande sensorer bör placeras hos särskilt skyddsvärd verksamhet med behov av ett förstärkt skydd mot underrättelsehot från kvalificerade aktörer. Pilotverk- samheten visade att det tekniska konceptet med varnande sensor fungerade, medan systemet med skyddande sensorer behövde vidareutvecklas genom ytterligare försöksverksamhet. Enligt För- svarets radioanstalt borde framtagande och utplacering av ett TDV- system inledningsvis ske i begränsad skala och rutiner, teknikstöd samt arbets- och samverkansformer utvecklas efter hand. För- svarets radioanstalt föreslog också att det inrättades ett nationellt cyberråd med företrädare för berörda departement och eventuellt myndigheter, industri samt universitet och högskolor. pågår verksamheten med ett begränsat antal anslutna aktö- rer. Förslagen i rapporten bereds inom . I FRA:s instruktion anges att myndigheten ska medverka till identifieringen av inblandade aktörer vid it-relaterade hot mot samhällsviktiga system. De kvalificerade aktörer som FRA följer inom underrättelseverksamheten anges i regeringens årliga inriktning. De kvalificerade aktörerna utgörs i huvudsak av statsunder- stödda aktörer och som utgör hot mot de mest skyddsvärda verk- samheterna. Därutöver får FRA kunskap om hotbilden mot svenska verk- samheter genom TDV.