bet · H501FöU4 · 2017-12-15 00:00:00 — För att kunna möta risker och hot ska ha en god krisberedskap föreslår m.fl. (M) vidare i motion 2017/18:3221 att det bör skapas en utredningsgrupp som analyserar regelverk och processer för it-säkerhet hos myndigheter och i ett andra steg föreslår relevanta åtgärder (yrkande 3) och att kraven på it-säkerhet hos leverantörer och ägare till större it-system bör ses över (yrkande 5). m.fl. (M) anför i motion 2017/18:3222 att de attacker som skett mot it-system innebär ett stort hot mot samhällets funktionalitet såväl i fred som i händelse av kris och konflikt. Motionärerna föreslår därför att det kontinuerligt bör tas fram och utvecklas nationella strategier och strukturer för cybersäkerhet (yrkande 31). Motionärerna menar att säkerhetskrisen hos Transportstyrelsen tydligt visat på vikten av att skärpa arbetet med it- och cybersäkerhet i . I motion 2017/18:3005 föreslår (M) att rutinerna för it-säkerhet i och vid svenska myndigheter bör ses över, detta mot bakgrund av att det framkommit att stora mängder sekretessbelagd informa-tion som handhas av Transportstyrelsen läckt ut och potentiellt spridits till främmande makt. Även regeringens handläggning av ärendet kan ifrågasättas, anför motionären. m.fl. (V) anför i motion 2017/18:2343 att informationssäkerhetsarbetet inom staten har varit alltför dåligt. Motionärerna förslår att regeringen bör återkomma med en strategi för statens informations- och cybersäkerhet utifrån SOU 2015:23 (yrkande 3). Översyn av de regelverk som styr kommunernas krav på informations- och cybersäkerhet (C) anför i följdmotion 2017/18:226 att det är minst lika viktigt som en nationell modell för systematisk informationshantering att det finns tydlig styrning, lagar och regler som gör att aktörer måste beakta, ta hänsyn till och arbeta med systematisk informationssäkerhet i sin verksamhet. Skrivelsen tycks i huvudsak vara inriktad på statliga myndigheter, och ofta saknas resonemang om hur statsmaktens regelstyrning när de gäller informa-tionssäkerhet kan tydliggöras för aktörer som inte är statliga myndigheter, menar motionären som vidare hävdar att det är uppenbart att dagens regelverk inte är tillräckligt för att få exempelvis kommuner att arbeta systematiskt med informationssäkerhet. Motionären föreslår därför att det bör ses över om de befintliga regelverk som styr kommunernas krav på informations- och cybersäkerhet, inklusive tillsyn, är tillräckliga eller behöver tydliggöras (yrkande 1). m.fl. (M) föreslår i följdmotion 2017/18:341 att ett sanktionssystem för överträdelser mot säkerhetsskyddslagen bör införas för att få till stånd en välfungerande informations- och cybersäkerhet (yrkande 3). I motion 2017/18:2343 anför m.fl. (V) att informationssäkerhetsarbetet inom staten har varit alltför dåligt. Motionärerna föreslår att regeringen bör fastställa en tidsplan för när målen i strategin ska vara uppfyllda och överväga sanktionsmöjligheter för de myndigheter som inte uppfyller godtagbara krav på informations- och cybersäkerhet (yrkande 4). m.fl. (M) föreslår vidare i följdmotion 2017/18:341 att det görs en särskild översyn av hur samverkan med näringslivet kan förbättras för att åstadkomma en välfungerande informations- och cybersäkerhet (yrkande 6). I motion 2017/18:3222 anför m.fl. (M) också att de attacker som skett mot it-system innebär ett stort hot mot samhällets funk-tionalitet såväl i fred som i händelse av kris och konflikt. Motionärerna föreslår därför att ett nätverk med frivilliga it-experter från privat och offentlig sektor bör skapas för att motverka hotet (yrkande 26). Ny myndighet för cybersäkerhet m.fl. (KD) föreslår i följdmotion 2017/18:306, liksom i motion 2017/18:3827 yrkande 41, att en myndighet bör inrättas för cybersäkerhet. Motionärerna anser att för att möta aktuella problem på området, inklusive de problem som tas upp i skrivelsen, räcker regeringens förslag på åtgärder inte särskilt långt. Utskottet ser positivt på regeringens nationella strategi för samhällets infor-mations- och cybersäkerhet för att kunna uppnå och bevara konfidentialitet, riktighet och tillgänglighet av information. Den nationella och internationella digitalisering som sker går i rasande fart och för inte bara med sig möjligheter till utveckling. Det finns alltför många exempel på hur obehöriga aktörer kommit åt eller fått möjligheter att komma åt känslig information. Inte minst granskningar har visat på att informationssäkerheten hos svenska myndigheter inte utvecklats tillräckligt under . Utskottet ser det därför som välkommet att en strategi på området presenterats av regeringen. Den kommer att bidra till att skapa långsiktiga förutsättningar för informations- och cybersäkerheten för hela det svenska samhället. Utskottet ser fram emot ytterligare konkretiseringar av de föreslag på målsättningar och åtgärder som redan finns på nedanstående och prioriterade områden samt den uppdatering av strategin som är aviserad av regeringen till 2018. När det gäller en generell förstärkning av informations- och cybersäkerheten, specifika åtgärder för en systematisk och samlad ansats i arbetet och en översyn av de regelverk som styr kommunernas krav på området anser utskottet i enlighet med regeringen att den aktuella strategin är själva basen för att kunna säkerställa en systematisk och samlad ansats i arbetet med informa-tions- och cybersäkerhet. Utskottet ser därför positivt på att regeringen inom ramen för denna strategi avser att bl.a. verka för att öka tydligheten i myndighetsstyrningen och lyfta betydelsen av ett tillfredsställande informationssäkerhetsarbete internt på myndigheter, att ta fram en nationell modell för systematiskt informationssäkerhetsarbete samt att verka för att samverkan och infor-mationsdelning kan stärkas på området. Utskottet anser också att regeringens intention att verka för att säkerhetsskyddslagstiftningen bättre möter de förändrade kraven på säkerhetsskydd inom informationssäkerhetsområdet är välkommet, bl.a. genom ett adekvat system för sanktioner och en effektiv tillsyn, att NIS-direktivet genomförs effektivt och att det etableras en adekvat styrning och tillsyn av säkerheten i nätverk och informationssystem i samhällsviktig verksamhet. Utskottet ser med anledning av den presenterade strategin inte skäl att vidta ytterligare åtgärder för tillfället vad gäller att skapa en systematisk och samlad ansats utan avstyrker motionerna 2017/18:226 (C) yrkandena 1 och 3, 2017/18:341 (M) yrkande 1, 2017/18:639 (KD), 2017/18:1133 (M), 2017/18:2343 (V) yrkande 3, 2017/18:3005 (M), 2017/18:3220 (L, M, C, KD) yrkande 7, 2017/18:3221 (M) yrkandena 2, 3, och 5, 2017/18:3222 (M) yrkande 31, 2017/18:3566 (M) yrkande 21, 2017/18:3765 (C) yrkande 23 samt 2017/18:3833 (M) yrkande 48. Vad gäller sanktioner framgår det av skrivelsen att regeringen gav en särskild utredare i uppdrag att bl.a. utreda och föreslå ett system med sanktioner i säkerhetsskyddslagstiftningen (dir. 2017:32). Utredaren ska också genomföra en översyn av bestämmelserna om tillsyn enligt säkerhetsskyddslagen och lämna förslag om hur en ändamålsenlig tillsyn över säkerhetskänslig verksamhet ska vara utformad. Utredningen ska redovisas . Utskottet ser vikten av att tillsyn kan kombineras med sanktionsmöjligheter men ser inte skäl att vidta ytterligare åtgärder för tillfället i väntan på utredningens resultat och avstyrker därför motionerna 2017/18:341 (M) yrkande 3 och 2017/18:2343 (V) yrkande 4. I fråga om samverkan redovisar regeringen i skrivelsen flera goda exempel på samverkan på informationssäkerhetsområdet i . Samverkansgruppen för informationssäkerhet (SAMFI) spelar t.ex. en viktig roll genom att verka för säker informationstillgång i samhället. Regeringen ser dock ett behov av en utvecklad och fördjupad myndighetssamverkan för att höja infor-mations- och cybersäkerheten i samhället. Ett exempel på detta behov är att ett antal nya myndigheter kommer att få nya uppgifter på informations- och cybersäkerhetsområdet när NIS-direktivet genomförs i svensk lagstiftning genom en proposition . På informations- och cybersäkerhetsområdet finns också flera exempel på plattformar för privat-offentlig samverkan. Utskottet anser liksom regeringen att det är viktigt att samverkan utvecklas utifrån ett helhetsperspektiv. Det är positivt att regeringen avser att verka ytterligare för att samverkan mellan myndigheter med särskilda uppgifter på informations- och cybersäkerhetsområdet stärks och för att en ändamålsenlig informationsdelning och samverkan mellan privata och offentliga aktörer säkerställs. Eftersom regeringen, förutom den aviserade propositionen, också uttrycker att strategin efter behov kommer att följas av specifika uppdrag och andra styrande åtgärder till berörda myndigheter för att de angivna målsättningarna ska kunna nås ser utskottet inte skäl att vidta några ytterligare åtgärder för tillfället. Motionerna 2017/18:341 (M) yrkande 6 och 2017/18:3222 (M) yrkande 26 avstyrks. När det gäller förslaget om en ny myndighet för cybersäkerhet anser utskottet i grunden att arbetet med informationssäkerhet är ett ansvar för hela samhället och alla aktörer. I enlighet med den vedertagna ansvarsprincipen bör berörda aktörer ansvara för att identifiera och möta informationspåverkan inom sina respektive ansvarsområden. Utskottet instämmer med regeringen om att det i sammanhanget är särskilt viktigt med samverkan och en gemensam riktning för arbetet på området, för ingen kan lösa säkerhetsutmaningarna ensam. Även om den enskilda organisationen ytterst ansvarar för att hantera sin information är det enligt utskottet viktigare att förbättra förutsättningarna att bedriva ett systematiskt och samordnat informationssäkerhetsarbete än att skapa en för ändamålet särskild myndighet, något som inte bedöms som kostnadseffektivt eller ändamålsenligt. Utskottet anser alltså att det fortsatta arbetet bör bedrivas inom befintliga myndighetsstrukturer och bygga på samverkan. SAMFI spelar en viktig roll genom att verka för säker informationstillgång i samhället. NIS-direktivets genomförande i svensk rätt kommer också att ställa ytterligare samverkanskrav. En gemensam modell för systematiskt informationssäkerhetsarbete bör kunna öka samverkan inom området eftersom en sådan kan göra det enklare för organisationer att möta relevanta krav och styra sitt informationssäkerhetsarbete som expert- och tillsynsmyndigheternas kompetens används mer effektivt, vilket också regeringen anger i skrivelsen. Eftersom regeringen dessutom uttrycker att strategin efter behov kommer att följas av specifika uppdrag och andra styrande åtgärder till berörda myndigheter för att de angivna målsättningarna ska kunna nås ser utskottet inte skäl att vidta några ytterligare åtgärder för tillfället. Motionerna 2017/18:306 (KD) och 2017/18:3827 (KD) yrkande 41 avstyrks. Säkerheten i nätverk, produkter och system Utskottets förslag i korthet avslår motionsyrkandena om säkerheten i nätverk, produkter och system. Utskottet hänvisar till pågående arbete. Jämför reservation 7 (M, C, L, KD). För att öka säkerheten i nätverk, produkter och system och skapa en säker infrastruktur för elektronisk kommunikation anger regeringen målsättningarna som att elektroniska kommunikationer ska vara effektiva, säkra och robusta samt kunna tillgodose användarnas behov av att elektronisk kommunikation i ska vara tillgänglig oberoende av funktioner utanför landets gränser, och att tillsynsmyndighetens behov av att kunna vidta adekvata åtgärder ska kunna säkerställas. Regeringen ska därför verka för att elektroniska kommunikationsnät byggs på ett sådant sätt att de kan fungera oberoende av funktioner i andra länder, att aktörer inom allmän ordning, säkerhet, hälsa och försvar har tillgång till moderna, säkra och robusta kommunikationslösningar, att myndigheternas kompetens i fråga om upphandling av nätverk, produkter och system stärks, att myndigheterna vid upphandlingar säkerställer att hänsyn tas till säkerhets-aspekter och att Post- och () förutsättningar att verka för en hög nivå av nät- och informationssäkerhet inom sektorn för elektronisk kommunikation stärks. Tillgången till säkra kryptosystem för it- och kommunikationslösningar ska vidare motsvara behoven i samhället. Regeringen ska därför verka för att en nationell strategi och åtgärdsplan för säkra kryptosystem genomförs. För att säkerheten i industriella informations- och styrsystem ska öka ska regeringen verka för att företag och myndigheter som äger eller arbetar med samhällsviktig verksamhet där industriella informations- och styrsystem ingår får stöd i sitt arbete med att stärka informationssäkerheten och att företag med verksamhet inom t.ex. verkstads- och processindustri där industriella infor-mations- och styrsystem fyller viktiga funktioner får utvecklade förutsättningar till stöd för att stärka sitt arbete med informationssäkerhet. m.fl. (M) föreslår i följdmotion 2017/18:341 yrkande 2, liksom i motion 2017/18:3221 yrkande 4, att möjligheten att använda lagen (2011:1029) om upphandling på försvars- och säkerhetsområdet i större utsträckning bör ses över. I motion 2017/18:341 föreslås också att behovet av ett svenskt myndighetsmoln bör utredas (yrkande 4). Utskottet instämmer med regeringen i att det är nödvändigt för att öka säkerheten i nätverk, produkter och system samt för att skapa en säker infrastruktur för elektronisk kommunikation att bl.a. verka för att elektroniska kommunikationsnät byggs på ett sådant sätt att de kan fungera oberoende av funktioner i andra länder och att aktörer inom allmän ordning, säkerhet, hälsa och försvar har tillgång till moderna, säkra och robusta kommunikationslösningar. Regeringen uttrycker bl.a. att den avser att verka för att en nationell strategi och åtgärdsplan för säkra kryptosystem genomförs, vilket utskottet ger sitt stöd åt. Eftersom strategin enligt regeringen efter behov kommer att följas av specifika uppdrag och andra styrande åtgärder till berörda myndigheter för att de angivna målsättningarna ska kunna nås ser utskottet inte skäl att vidta några ytterligare åtgärder för tillfället. Motion 2017/18:341 (M) yrkande 4 om behovet av ett svenskt myndighetsmoln avstyrks. Utskottet ger vidare stöd åt regeringens syn att stödet vid upphandling av säker elektronisk kommunikation och andra it-relaterade tjänster bör stärkas och att det är viktigt att de verksamheter som har behov av en hög nivå av driftssäkerhet inom kommunikationsnät och it-relaterade tjänster ställer krav på detta vid upphandling. Eftersom regeringen uttrycker att den ska verka för att myndigheternas kompetens i fråga om upphandling av nätverk, produkter och system stärks och att myndigheterna vid upphandlingar säkerställer att hänsyn tas till säkerhetsaspekter ser utskottet inte skäl att vidta några ytterligare åtgärder för tillfället. Motionerna 2017/18:341 (M) yrkande 2 och 2017/18:3221 (M) yrkande 4 avstyrks därmed. Förmågan att förebygga, upptäcka och hantera cyberattacker och andra it-incidenter Utskottets förslag i korthet avslår motionsyrkandena om förmågan att förebygga, upptäcka och hantera cyberattacker och andra it-incidenter. Utskottet hänvisar till pågående arbete. Jämför reservation 8 (M) och 9 (C). I fråga om att stärka förmågan att förebygga, upptäcka och hantera cyberattacker och andra it-incidenter anger regeringen att målsättningarna är att förmågan ska förbättras, att berörda aktörer ska kunna agera samordnat för att hantera cyberattacker och andra allvarliga it-incidenter och att det ska finnas ett utvecklat cyberförsvar för mest skyddsvärda verksamheter med en förstärkt militär förmåga att möta och hantera angrepp från kvalificerade motståndare i cyberrymden. Regeringen ska därför verka för att det finns en samordnad planering mellan myndigheterna i händelse av en cyberattack eller annan allvarlig it-incident, att verksamheter i behov av kontinuerlig bevakning och med särskilda behov av skydd får tillgång till ett sensor- eller detekterings- och varningssystem samt att ett effektivt och sömlöst cyberförsvar med förmågan att förebygga, upptäcka och hantera cyberangrepp – både för militär och för civil verksamhet – fortsätter att utvecklas och förstärkas, vilket även inkluderar att Försvarsmakten utvecklar sin förmåga att försvara mot kvalificerade angripare i cyberrymden. m.fl. (M) föreslår i följdmotion 2017/18:341 att en inriktning eller doktrin bör tas fram för när, var och hur en aktiv svensk cyberförmåga ska kunna användas (yrkande 5). I motion 2017/18:3765 anför m.fl. (C) att måste förbereda sig bättre och mer resolut för det förändrade säkerhetsläget. Motionärerna föreslår därför att åtgärder bör vidtas, t.ex. med hjälp av frivilliga försvarsorganisationer, för att kunna möta hybridhot i form av påverkanskampanjer såväl som cyberattacker (yrkande 16). m.fl. (SD) föreslår i motion 2017/18:2017 yrkande 80, liksom m.fl. (SD) gör i motion 2017/18:3331 yrkande 17, att bör skaffa ett aktivt informationsteknologiskt försvar (aktiv cyberförmåga) som bör hålla svenska myndigheter med en standardplattform för datahantering, och kan förhindra dataintrång hos svenska myndigheter. Ett sådant it-försvar bör vara en underavdelning i en ny civilförsvarsmyndighet. Utskottet lägger stor vikt vid att Försvarsmakten utvecklar sin förmåga att försvara mot kvalificerade angripare i cyberrymden. Utskottet ger stöd åt regeringens intention att verka för ett effektivt cyberförsvar med förmågan att förebygga, upptäcka och hantera cyberangrepp, både för militär och för civil verksamhet. Att det finns en samordnad planering mellan myndigheter och andra aktörer i händelse av en cyberattack eller annan allvarlig it-incident och att verksamheter i behov av kontinuerlig bevakning och med särskilda behov av skydd får tillgång till ett sensor- eller detekterings- och varningssystem ser utskottet också som en viktig förutsättning för en god svensk informationssäkerhet. Eftersom regeringen uttrycker att strategin efter behov kommer att följas av specifika uppdrag och andra styrande åtgärder till berörda myndigheter för att de angivna målsättningarna ska kunna nås ser utskottet inte skäl att vidta några ytterligare åtgärder för tillfället. Motionerna 2017/18:341 (M) yrkande 5, 2017/18:2017 (SD) yrkande 80, 2017/18:3331 (SD) yrkande 17 och 2017/18:3765 (C) yrkande 16 avstyrks. Förebygga och bekämpa it-relaterad brottslighet Utskottets förslag i korthet avslår motionsyrkandet om att förebygga och bekämpa it-relaterad brottslighet. Utskottet hänvisar till pågående arbete. Jämför reservation 10 (M, C, L, KD). Vad gäller att öka möjligheterna att förebygga och bekämpa it-relaterad brottslighet anger regeringen målsättningarna till att de brottsbekämpande myndigheterna ska ha beredskap och förmåga att bekämpa it-relaterade brott på ett effektivt och ändamålsenligt sätt och att arbetet med att förebygga it-relaterade brott ska utvecklas. Regeringen ska därför verka för att lagstiftningen är anpassad för att effektivt kunna motverka den it-relaterade brottsligheten, att de brottsbekämpande myndigheterna ges förutsättningar att – med hänsyn till skydd av den personliga integriteten och rättssäkerheten – upprätthålla sin förmåga att inhämta information, att de brottsbekämpande myndigheterna säkerställer en adekvat organisation och tillräckliga resurser för att effektivt kunna förebygga och bekämpa den it-relaterade brottsligheten samt att de brottsbekämpande myndigheterna systematiskt arbetar för att utveckla kompetens och arbetsmetoder för att förebygga och bekämpa it-relaterad brottslighet. Regeringen ska också verka för att medvetenheten och kunskapen ökar hos andra aktörer än de brottsbekämpande om hur de kan bidra i arbetet med att förebygga it-relaterade brott samt att det internationella samarbetet mot it-relaterad brottslighet förstärks i syfte att bidra till en ökad lagföring i . (C) föreslår i följdmotion 2017/18:226 att regeringens strategi bör kompletteras med ambitioner och förslag för att motverka den ökade trenden med cyberbaserat industriellt ekonomiskt spionage, detta för att arbetet med en god informations- och cybersäkerhet ska kunna utvecklas ordentligt (yrkande 2). Regeringens intention att verka för att lagstiftningen är anpassad för att effektivt kunna motverka it-relaterad brottslighet och för att de brottsbekämpande myndigheterna ges förutsättningar att – med hänsyn till skydd av den personliga integriteten och rättssäkerheten – upprätthålla sin förmåga att inhämta information får stöd av utskottet. Detta inkluderar en adekvat organisation och tillräckliga resurser för att effektivt kunna förebygga och bekämpa den it-relaterade brottsligheten inklusive cyberbaserat industriellt ekonomiskt spionage. Eftersom strategin enligt regeringen efter behov kommer att följas av specifika uppdrag och andra styrande åtgärder till berörda myndigheter för att de angivna målsättningarna ska kunna nås ser utskottet inte skäl att vidta några ytterligare åtgärder för tillfället. Motion 2017/18:226 (C) yrkande 2 avstyrks. Främjande av kunskap och kompetensutveckling Utskottets förslag i korthet avslår motionsyrkandena om främjande av kunskap och kompetensutveckling. Utskottet hänvisar till pågående arbete. Jämför reservation 11 (M), 12 (SD) och 13 (C). Regeringen anger i sin skrivelse att för att öka kunskapen och främja kompetensutvecklingen är målsättningarna att kunskapen i samhället som helhet om de mest angelägna sårbarheterna och behoven av säkerhetsåtgärder ska öka och att kunskapen hos enskilda användare av digital teknik om de mest angelägna sårbarheterna och behoven av säkerhetsåtgärder ska öka. Regeringen ska därför verka för att berörda myndigheter utvecklar arbetet med att genomföra och stödja kartläggningar och utredningar om sårbarheter och lämpliga säkerhetsåtgärder i samhället samt verka för att höja människors kunskap om sårbarheter och lämpliga säkerhetsåtgärder som var och en kan vidta för att skydda sig. Ytterligare en målsättning är att det ska bedrivas högre utbildning samt forskning och utveckling av hög kvalitet om informations- och cybersäkerhet och säkerhet på it- och telekomområdet i . Regeringen ska därför verka för att lärosäten, industriforskningsinstitut, näringsliv och offentlig sektor samverkar för att öka nyttiggörande och innova-tion inom informations- och cybersäkerhetsområdet, och för att informations- och cybersäkerhet ska beaktas i samtliga strategiska samverkansprogram. I fråga om övningsverksamhet är målsättningen att det regelbundet ska genomföras både tvärsektoriella och tekniska informations- och cybersäkerhetsövningar för att stärka förmåga att hantera konsekvenserna av allvarliga it-incidenter. Regeringen ska därför verka för att förmågan att hantera allvarliga it-incidenter upprätthålls genom en samordnad övningsverksamhet. m.fl. (SD) välkomnar i följdmotion 2017/18:353 att regeringen lägger fram ett förslag till en nationell strategi på cybersäkerhetsområdet då den utveckling som ägt rum inom svenska myndigheter har lett till att man i flera fall har fattat beslut som i mycket hög grad har lett till att informationssäkerheten har satts på spel. Motionärerna menar dock att det finns problematiska inslag i den föreslagna strategin och föreslår därför att behovet av myndighetsintern it-säkerhetskompetens bör ses över (yrkande 1). I följdmotion 2017/18:226 föreslår (C) att det bör tas fram strategier för ett generellt kompetenslyft i fråga om informations- och cybersäkerhet och säkerhetsskydd för att arbetet ska kunna utvecklas ordentligt (yrkande 4). m.fl. (M) föreslår i motion 2017/18:3221 att möjligheten att stärka medborgarnas kunskap om it-säkerhet bör ses över, detta för att man ska kunna möta olika risker och hot i samhället (yrkande 6).