bet · H401FöU8 · 2017-02-01 00:00:00 — Regeringen anför att det finns en risk att möjligheten till ett operativt stöd till myndigheternas arbete med informationssäkerhet skulle kunna få en hämmande effekt på myndigheternas strävan att bygga upp en tillfredsställande intern kompetens, vilket krävs för att arbetet ska kunna bedrivas effektivt och kontinuerligt. Det är myndigheten själv som har bäst kännedom om och ansvar för sin egen information, och därför bör vara bäst lämpad att fortlöpande kartlägga och värdera informationen. Bedömningen är att man behöver bygga upp en kompetens för detta arbete på respektive myndighet för att uppnå långsiktiga och hållbara resultat. MSB och andra aktörer bedriver ett stödjande arbete på informationssäkerhetsområdet, anför regeringen. Detta sker bl.a. i form av seminarier och utbildningar som syftar till att mer djupgående diskutera frågor som är kopplade till metodstöd, möjligheten att få operativt stöd vid inträffade it-incidenter eller kunskapsöverföring utifrån myndigheternas obligatoriska it-incidentrapportering. En central funktion med uppdrag att lämna operativt stöd till myndigheterna skulle kunna bli resurskrävande jämfört med det befintliga stödjande arbetet. Regeringen anser att det stödjande arbetet behöver finnas kvar i sin nuvarande form, men utvecklas med målet att på ett kostnadseffektivt sätt nå ut till så många som möjligt. Regeringens åtgärder med anledning av iakttagelser Regeringen har tagit emot betänkandet Informations- och cybersäkerhet i – Strategi och åtgärder för säker information i staten (SOU 2015:23). Regeringen har även tagit emot betänkandet En ny säkerhetsskyddslag (SOU 2015:25) som innehåller förslag om hur säkerhetsskyddsregleringen bör reformeras. Vidare har regeringen tillsatt en utredning som ska lämna förslag över hur EU-direktivet om en hög gemensam nivå av säkerhet i nätverk och informationssystem (NIS-direktivet) bör genomföras i svensk rätt. Dessa underlag är viktiga i regeringens kommande arbete med att utforma en nationell strategi för samhällets informations- och cybersäkerhet. Avsikten är att strategin ska ligga till grund både för fortsatta åtgärder från regeringens sida och för åtgärder som övriga aktörer ska arbeta fram. Statliga myndigheter kommer att utgöra en central målgrupp för strategin. Regeringen instämmer i huvudsak i iakttagelser och kommer att överväga hur den na-tionella strategin bör utformas för att hantera iakttagelserna. Regeringen anser att är slutbehandlad i och med den aktuella skrivelsen. m.fl. (SD) uttrycker i följdmotion 2016/17:3542 att frågan om informationssäkerhet inte enbart kan ses som begränsad till de myndigheter som har granskats av . I begreppet hybridkrigföring ingår också informationssäkerhet, varför man måste betrakta denna som en del av den svenska samhällsberedskapen. De myndigheter och verk som är särskilt känsliga för hybridkrigföring och sabotage samt där sådana intrång skulle vara skadliga för samhällets funktion i såväl fred som krig behöver få tillgång till en standardplattfrom med såväl hårdvara som mjukvara som är särskilt utformad för att klara av denna typ av attacker. I skrivelsen framför regeringen att det inte är högst prioriterat att få fram en sammanställd bild av kostnaderna för informationssäkerhet. Motionärerna delar inte den bedömning som regeringen gör och föreslår därför att regeringen tar fram en sammanställd bild av kostnaderna för informationssäkerhet (yrkande 2). Regeringen anger att MSB genomför utbildningar för att komma till rätta med bristerna i informationssäkerhet. Det är gott och väl anförs i motionen, men enbart utbildning är inte tillräckligt utan myndigheten måste också följa upp sina utbildningar och kontrollera att den utbildning som har genomförts också leder till verkliga förbättringar. Motionärerna föreslår därför att en uppföljning görs av MSB:s utbildningar (yrkande 1). Motionärerna föreslår slutligen att ett organisatoriskt sammanhållet it-försvar skapas (yrkande 3). I motion 2015/16:2172 av m.fl. (M) anförs att en central aspekt av informationssamhället och den moderna krigföringen är ett lands förmåga att försvara it-systemen, men även möjligheten att kunna slå mot en eventuell motståndares it-system. I princip alla samhällets vitala funktioner och flöden är beroende av it-system som är uppkopplade mot internet. Det gör att ett svenskt, trovärdigt cyberförsvar är en grundläggande del i försvarsförmåga. Motionären föreslår att det kontinuerligt tas fram och utvecklas nationella strategier för cybersäkerhet (yrkande 3). m.fl. (M) anför vidare i motion 2016/17:3205 att eftersom en av dagens stora utmaningar är att så mycket av samhällets funktionalitet är beroende av it-system och internet blir de samhällsviktiga systemen också sårbara för angrepp utifrån. Angripare använder sig ofta, som t.ex. vid överbelastningsattacker, av andra kapade datorer som kan tillhöra privatpersoner, myndigheter eller företag. Motionärerna frågar sig vilket ansvar det går att lägga på en enskild användare, ägare till en dator eller server eller på den som är ansvarig för it-säkerheten på ett företag eller en myndighet och föreslår att kraven på it-säkerhet hos leverantörer och ägare till större it-system ses över (yrkande 10). (M) understryker i motion 2015/16:424 att cyberattacker mot svenska företag och organisationer blir allt vanligare. Det pågår arbete för att förbättra it-säkerheten hos offentliga aktörer. Det behövs dock ytterligare insatser när det gäller företag och organisationer. är privata och offentliga it-system sammanlänkade på ett sätt som gör att åtgärder på båda sidor är nödvändiga för en stark helhet. Motionären föreslår att möjligheterna att kartlägga omfattningen av cyberattacker mot svenska företag och organisationer ses över. I motion 2016/17:2072 av (M) föreslås att myndigheternas arbete med informationssäkerhet ses över då det har framkommit att svenska myndigheters arbete med informationssäkerhet är bristfälligt och informationssäkerheten på statlig nivå så snabbt som möjligt behöver stärkas. m.fl. (KD) anför i motion 2015/16:2824 att det svenska samhället, liksom de flesta samhällen i världen, är och blir alltmer beroende av informationsteknik och att cyberangrepp kan leda till mycket omfattande följder för samhället. I vissa avseenden kan ett sådant angrepp vara lika förödande som ett angrepp med konventionella vapen. Det är därför angeläget att utvecklar en egen förmåga att aktivt kunna motverka cyberattacker. En förutsättning för att vidta såväl passiva som aktiva motåtgärder är att det finns en organisation med mycket bred kompetens, anför motionärerna. De föreslår att det tillsätts en utredning med uppgift att undersöka och ge förslag på hur en central cyberskyddsmyndighet skulle kunna skapas och hur den ska samverka med andra aktörer i samhället vars verksamhet är starkt beroende av fungerande informationssystem (yrkande 18). I motion 2015/16:28 av m.fl. (V) anförs att det finns flera risker som identifierats inom statsförvaltningen när det gäller informationssäkerheten. Den snabba utvecklingen av informationssamhället gör att nya risker och hot ständigt tillkommer. Motionärerna föreslår att det bör fastställas en tidsplan och sanktionsmöjligheter övervägas för de myndigheter som inte uppfyller godtagbara krav på informationssäkerhet (yrkande 5). granskade –2007 arbetet med informationssäkerhet vid elva myndigheter i statsförvaltningen. Granskningarna visade ett flertal brister. Regeringen hade inte följt upp om myndigheternas interna styrning och kontroll av informationssäkerhet var tillfredsställande och inte heller gett myndigheterna tillräckliga förutsättningar för ett effektivt informationssäkerhetsarbete. styrning av informationssäkerhetsarbetet i den statliga förvaltningen (RiR 2007:10) publicerades . beslutade därefter att överlämna en framställning om regeringens styrning av informationssäkerhetsarbetet i den statliga förvaltningen (2007/08:RRS6) till . Utskottet behandlade framställningen i betänkande 2007/08:FöU12. hade i sin granskning fokuserat på regeringens ansvar för att ställa krav på och följa upp förvaltningens arbete med informationssäkerheten samt ta initiativ till åtgärder för att förbättra förutsättningarna för förvaltningens arbete inom detta område. Med anledning av vad som framkommit av granskningen föreslog att skulle tillkännage för regeringen som sin mening vad styrelsen anfört om att regeringen borde genomföra en översyn av regleringen på området informationssäkerhet och återrapportera resultatet till . Utskottet ansåg i betänkandet att en god informationssäkerhet är en förutsättning för att kunna förhindra och hantera störningar i samhällsviktig verksamhet och att detta förutsätter en effektiv och tydlig ansvarsfördelning mellan berörda aktörer på området. Utskottet ansåg vidare att det krävdes en god samverkan mellan alla aktörer för att kunna åtgärda brister och upprätthålla en god säkerhet. Utskottet ansåg i likhet med regeringen att det fanns behov av en myndighet med uppgift att hålla samman det nationella informationssäkerhetsarbetet och tillsammans med berörda myndigheter verka för en kontinuerlig utveckling av detta arbete. Det var utskottets mening att den då nya myndigheten, dvs. MSB, borde få till uppgift att hålla samman det nationella informationssäkerhetsarbetet för samhällsviktig verksamhet, och myndigheten borde ha föreskriftsrätt inom området. Utskottet hade även fått information om att det inom pågick ett arbete inom en statssekreterargrupp för att samordna arbetet inom de olika departement som var berörda av frågorna. Med hänvisning till ovanstående avstyrkte utskottet framställning 2007/08:RRS6 och den följdmotion som lämnats. Innan försvarsutskottet färdigställde sitt betänkande 2007/08:FöU12 anordnade det tillsammans med trafikutskottet en offentlig utfrågning om it-säkerhet . kommenterade i sitt betänkande 2007/08:FiU2 om samhällsekonomi och finansförvaltning granskning av informa-tionssäkerhetsarbetet i den statliga förvaltningen. påtalade då att regeringen i budgetpropositionen inte redovisat någon samlad bild av arbetet med informationssäkerhet utan lämnade olika delredovisningar under utgiftsområdena 2, 6 och 22. ansåg att regeringen borde lämna en samlad och fördjupad redogörelse för informationssäkerhetsarbetet i staten till , och att denna redogörelse borde spänna över samtliga berörda utgiftsområden. granskade än en gång informationssäkerhet med inriktning mot regeringen och dess expertmyndigheters styrning och stöd. Denna granskning visade att det fanns påtagliga brister i arbetet med informationssäkerhet och att regeringen inte utövat en effektiv styrning. I betänkande 2014/15:FöU10 behandlade försvarsutskottet regeringens skrivelse 2014/15:84 med anledning av om informa-tionssäkerhet i den civila statsförvaltningen. Utskottet såg där allvarligt på slutsats att arbetet med informationssäkerheten i den civila statsförvaltningen inte var ändamålsenligt sett till de hot och risker som finns, men kunde konstatera att regeringen i sin skrivelse i huvudsak instämde i slutsats och hade inlett ett förändringsarbete sedan granskningen gjordes. Utskottet ansåg att de redan genomförda ändringarna inom hade skapat förutsättningar för en mer sammanhållen styrning av informationssäkerhetsfrågorna men att arbetet inte fick stanna vid detta, utan att informationssäkerheten i den civila statsförvaltningen måste utvecklas på bred front för att bli ändamålsenlig mot bakgrund av ökande hot och risker. Betänkandena Informations- och cybersäkerhet i – Strategi och åtgärder för säker information i staten (SOU 2015:23) och En ny säkerhetsskyddslag (SOU 2015:25) bedömdes bilda viktiga underlag för framtiden. Vidare ansåg utskottet att alla myndigheters roll och ansvar i arbetet skulle framhållas, både ur ett ansvars- och ett samverkansperspektiv. rekommendationer till stöd- och tillsynsmyndigheterna borde tas i beaktande. Regeringens beslut om att myndigheter som har ett särskilt ansvar för krisberedskap och höjd beredskap ska redovisa sitt arbete med informationssäkerhet ansåg utskottet som särskilt viktigt, och även att MSB hade fått i uppgift att genomföra en undersökning om hur kommunerna arbetar med informationssäkerhet. Att medvetandegöra offentliga och privata aktörer samt allmänheten om de hot som finns var överlag centralt i arbetet, menade utskottet. När det gällde en myndighetsgemensam och övergripande strategi för it-säkerhet fann utskottet sålunda att det pågick ett utvecklingsarbete som inte borde föregripas. Utskottet avstyrkte därför det aktuella motionsyrkandet. Regeringens skrivelse om informationssäkerhet i den civila statsförvaltningen (skr. 2014/15:84) lades till handlingarna av . Utskottet vill på samma sätt som gör i sin rapport understryka att man i statsförvaltningen hanterar mycket information som är skyddsvärd och att ett seriöst arbete med informationssäkerhet bör ha som mål att all skyddsvärd information ska vara tillgänglig, riktig, konfidentiell och spårbar. Eftersom informationssäkerhet är en fråga som berör all personal i en myndighet bör en allomfattande kultur skapas för att minimera riskerna för störningar i olika samhällsfunktioner. Utskottet finner likt tidigare att alla myndigheters roll och ansvar i arbetet bör framhållas, både ur ett ansvars- och ett samverkansperspektiv. Av dessa skäl finner därför utskottet det oroande att i sin genomförda granskning av nio myndigheter funnit att arbetet med informationssäkerhet på de granskade myndigheterna ”ligger på en nivå som är märkbart under vad som är tillräckligt” och – att döma av tidigare rapporter – inte ser ut att ha utvecklats i tillräcklig grad . Även MSB understryker i sin nationella risk- och förmågebedömning (publikationsnummer MSB1012) att myndigheter behöver utveckla arbetet med sin informations- och cybersäkerhet. Utskottet finner dock att regeringens arbete med att ta fram en nationell strategi för samhällets informations- och cybersäkerhet i närtid är lovvärt och att detta förhoppningsvis kan innebära ett bättre stöd till myndigheterna i informationssäkerhetsarbetet och en starkare styrning från regeringen gentemot myndigheterna men också samhället i stort. Detta är nödvändigt för att kunna hantera hot eller risker från exempelvis stater, statsunderstödda aktörer, terrorister och organiserad brottslighet samt fel och störningar som inte orsakas av antagonister utan beror på mjuk- eller hårdvarufel, processbrister, bristande kvalitetskontroll, slarv, missbedömningar eller rena olycksfall. Regeringen bör bedriva arbetet skyndsamt. Inom ramen för det övergripande strategiarbetet ser utskottet också fram emot regeringens utredning som ska lämna förslag över hur EU-direktivet om en hög gemensam nivå av säkerhet i nätverk och informationssystem (NIS-direktivet) bör genomföras i svensk rätt samt beredningen av betänkandet En ny säkerhetsskyddslag (SOU 2015:25) som innehåller förslag om hur säkerhetsskyddsregleringen bör reformeras. Dessa är viktiga pusselbitar i sammanhanget. På grundval av detta pågående arbete är det därför inte motiverat att vidta ytterligare åtgärder för tillfället, anser utskottet, och föreslår sålunda att lägger skrivelse 2016/17:42 om informationssäkerhetsarbete på nio myndigheter till handlingarna och att samtliga motionsyrkanden i ärendet avslås. Medborgarnas kunskap om it-säkerhet Utskottets förslag i korthet avslår ett motionsyrkande om medborgarnas kunskap om it-säkerhet. Utskottet hänvisar till regeringens arbete med att utforma en nationell strategi för samhällets informations- och cybersäkerhet. Jämför reservation 5 (M). m.fl. (M) anför i motion 2016/17:3205 att det finns ett behov av att höja medvetenheten hos allmänheten för vad en enskild användare kan göra för att försvåra att ens it-utrustning används i brottsliga syften. Dessutom behöver nivån också kunna sättas för vilket ansvarsutkrävande som är möjligt. Motionärerna föreslår att möjligheten att stärka medborgarnas kunskap om it-säkerhet ses över (yrkande 11). Utskottet vidhåller det man tidigare uttryckt i betänkande 2015/16:FöU7, dvs. den generella vikten av att sätta människan i centrum för krisberedskapsarbetet och att det är värnandet om den enskilda individens och befolkningens hälsa och säkerhet som ska prioriteras. I linje med detta har utskottet tidigare välkomnat MSB:s informationsinsatser i samverkan med berörda aktörer, inklusive skolor och frivilligrörelser, för att stärka den enskildes förmåga. Vad gäller medborgarnas kunskap om informationssäkerhet mer specifikt finner utskottet att regeringens arbete med att ta fram en nationell strategi för samhällets informations- och cybersäkerhet i närtid är lovvärt och att detta också bör kunna rymma en inriktning för en allmän kunskapshöjning i samhället. På grund av detta pågående arbete är det därför inte motiverat att för tillfället vidta ytterligare åtgärder, anser utskottet, varför motionsyrkandet avstyrks. Ett nordiskt, säkert internet Utskottets förslag i korthet avslår motionsyrkandena om ett nordiskt, säkert internet. Utskottet hänvisar till regeringens arbete med att utforma en nationell strategi för samhällets informations- och cybersäkerhet. Jämför reservation 6 (SD). m.fl. (SD) föreslår i motion 2015/16:3218 (yrkande 7) och i motion 2016/17:2899 (yrkande 77), på samma sätt som m.fl. (SD) i motion 2016/17:2871 (yrkande 14), att bör undersöka intresset och möjligheterna för ett eget nordiskt, och säkert, internet. Det ska vara baserat på svenska mikrosatelliter eftersom militär underrättelsetjänst, terrorister och organiserad brottslighet kommer att använda sig av informationsteknologi i allt högre utsträckning. Detta gör det allt viktigare att vidta adekvata åtgärder för att skydda och försvara vitala nationella intressen mot cyberhot, menar motionärerna. Detta blir särskilt viktigt när större delen av samhället är helt beroende av en fungerande informationsteknologi. bör skaffa sig ett aktivt informationsteknologiskt försvar (aktiv cyberförmåga). Rika länder kan förväntas skapa ”egna internet” som är avgränsade mot övriga datanätverk. De efterfrågade satelliterna ska ses som strategiska produkter och ska direktupphandlas, föreslår motionärerna. Utskottet vidhåller det man tidigare uttryckt i betänkandena /15:FöU6 Samhällets krisberedskap och 2014/15:FöU11 Försvarspolitisk inriktning – försvar 2016–2020 där man generellt sett, likt Försvarsberedningen och regeringen, ansåg att informations- och cybersäkerhetsfrågorna är av mycket stor vikt och att måste se på detta ur ett strategiskt och långsiktigt perspektiv. Internationell samverkan, framför allt på nordisk och europeisk nivå, är en grundförutsättning för att öka informationssäkerheten i och för att skydda samhällsviktig verksamhet. Utskottet anser att regeringens arbete med att ta fram en nationell strategi för samhällets informations- och cybersäkerhet i närtid är lovvärt och att detta förhoppningsvis kan innebära ett bättre stöd till myndigheterna i informationssäkerhetsarbetet och en starkare styrning från regeringen gentemot myndigheterna men också samhället i stort. Internationella aspekter av informationssäkerhet förväntas vara en del av strategin. Utskottet anser inte att det finns anledning att föregripa det pågående arbetet, varför motionsyrkandena avstyrks. Informationssäkerhetsarbete på myndigheter m.fl., punkt 1 (M) av (M), (M), (M) och Dag Klackenberg (M). Vi anser att förslaget till riksdagsbeslut under punkt 1 borde ha följande lydelse: ställer sig bakom det som anförs i reservationen och tillkännager detta för regeringen. 2015/16:2172 av m.fl. (M) yrkande 3 och 2016/17:3205 av m.fl. (M) yrkande 10 och 2015/16:28 av m.fl. (V) yrkande 5, 2015/16:424 av (M), 2015/16:2824 av m.fl. (KD) yrkande 18, 2016/17:2072 av (M) och 2016/17:3542 av m.fl. (SD) yrkandena 1–3. En av dagens stora utmaningar är att så mycket av samhällets funktionalitet är beroende av it-system och internet. Därmed blir de samhällsviktiga systemen också sårbara för angrepp utifrån. Hoten kan komma från flera olika aktörer – stater, individer eller organisationer, och angreppen kan ha flera olika motiv – ekonomiska, statsfientliga eller bara destruktiva. Det krävs i många fall heller inte så stora resurser hos angriparen för att orsaka stor skada. Angripare använder sig t.ex. vid överbelastningsattacker ofta av andra kapade datorer som kan tillhöra privatpersoner, myndigheter eller företag. Vi anser därför att kraven på it-säkerhet hos leverantörer och ägare till större it-system bör ses över. Detta bör ställa sig bakom och tillkännage för regeringen. Vi menar också att en central aspekt av informationssamhället och den moderna krigföringen är ett lands förmåga att försvara it-systemen, men även möjligheten att kunna slå till mot en eventuell motståndares. I princip alla samhällets vitala funktioner och flöden är beroende av it-system som är uppkopplade mot internet. Det gör att ett trovärdigt svenskt cyberförsvar, inklusive en aktiv cyberförmåga, är en grundläggande del i försvarsförmåga. Vi anser därför att nationella strategier för cybersäkerhet bör tas fram och utvecklas kontinuerligt. Detta bör också ställa sig bakom och tillkännage för regeringen. Informationssäkerhetsarbete på myndigheter m.fl., punkt 1 (SD) av (SD) och (SD). Vi anser att förslaget till riksdagsbeslut under punkt 1 borde ha följande lydelse: ställer sig bakom det som anförs i reservationen och tillkännager detta för regeringen. 2016/17:3542 av m.fl. (SD) yrkandena 1–3 och 2015/16:28 av m.fl. (V) yrkande 5, 2015/16:424 av (M), 2015/16:2172 av m.fl. (M) yrkande 3, 2015/16:2824 av m.fl. (KD) yrkande 18, 2016/17:2072 av (M) och 2016/17:3205 av m.fl. (M) yrkande 10. Vi anser att frågan om informationssäkerhet inte enbart kan begränsas till de myndigheter som har granskats av i det här sammanhanget. har i samband med att dessa frågor har diskuterats i andra sammanhang framfört flera förslag som vi menar skulle kunna förstärka it-säkerheten i vid mening men också ett direkt förslag om att skapa ett organisatoriskt sammanhållet it-försvar, vilket vi vidhåller här. I skrivelsen framför regeringen som svar på kritik att det inte går att få fram en sammanställd bild av kostnaderna för informationssäkerhet. Vi delar inte den bedömning som regeringen gör eftersom det inte verkar finnas något konkret hinder för detta. Det finns anledning att befara att regeringens resonemang mer bottnar i att en sådan sammanställd bild skulle påvisa konkreta behov av anslagsökningar, vilket knappast i sig kan sägas utgöra ett tillräckligt skäl för att inte ta fram en sammanställd bild av kostnadsläget, vilket vi förordar. Det anges på annan plats i skrivelsen att MSB genomför utbildningar för att komma till rätta med bristerna inom informationssäkerheten. Det är gott och väl, men enbart utbildning är inte tillräckligt, utan myndigheten måste också följa upp sina utbildningar och kontrollera att den utbildning som har genomförts också leder till verkliga förbättringar. Allt detta sammantaget bör ställa sig bakom och tillkännage för regeringen. Informationssäkerhetsarbete på myndigheter m.fl., punkt 1 (V) av (V). Jag anser att förslaget till riksdagsbeslut under punkt 1 borde ha följande lydelse: ställer sig bakom det som anförs i reservationen och tillkännager detta för regeringen. 2015/16:28 av m.fl. (V) yrkande 5 och 2015/16:424 av (M), 2015/16:2172 av m.fl. (M) yrkande 3, 2015/16:2824 av m.fl. (KD) yrkande 18, 2016/17:2072 av (M), 2016/17:3205 av m.fl. (M) yrkande 10 och 2016/17:3542 av m.fl. (SD) yrkandena 1–3. granskade –2007 arbetet med informationssäkerhet vid elva myndigheter i statsförvaltningen. Granskningarna visade på ett flertal brister. Vid en uppföljning 2014 konstaterades att ingenting i praktiken hade gjorts för att komma till rätta med påtalade brister, detta som beroendet ökat och antagligen också attackerna.