prop · H403213 · 2017-06-29 00:00:00 — Mer enhetliga bedömningar av säkerhetsåtgärder bedöms även kunna föra med sig positiva effekter för både dem som upphandlar säkerhetslösningar och dem som levererar dem. Att ta fram ett stort antal unika men snarlikna lösningar är inte rationellt vare sig för kund eller för En nationell modell skulle kunna bidra till att öka den Skr. 2016/17:213 samlade beställarkompetensen genom att den nationella modellen kan bidra med erfarenhetsbaserad kunskap om lämpliga krav. Det främsta syftet med en nationell modell för systematiskt informationssäkerhetsarbete är att höja den lägsta nivån för informationssäkerhet. Modellen bör i första steget inriktas för statliga myndigheter, men bör utformas med målet att den ska kunna vara till nytta för hela den offentliga sektorn, andra organisationer och företag. Regeringens avsikt är att en nationell modell för systematiskt informationssäkerhetsarbete ska kunna utvecklas på ett sätt som även underlättar regeringens uppföljning av informationssäkerhetsarbetet i statsförvaltningen. Regeringen ska verka för att –öka tydligheten i myndighetsstyrningen och lyfta betydelsen av ett tillfredsställande informationssäkerhetsarbete internt på myndigheterna, –förutsättningarna förbättras för samhällets olika aktörer att bedriva ett systematiskt informationssäkerhetsarbete och göra mer enhetliga bedömningar av hot, risker och säkerhetsåtgärder, genom att en nationell modell för systematiskt informationssäkerhetsarbete tas fram. Samverkan och informationsdelning på informations- och cybersäkerhetsområdet ska stärkas. Informationssäkerhetens komplexitet, gränsöverskridande karaktär och snabba utvecklingstakt kräver en effektiv samverkan. En god samverkan kring informationssäkerhet i samhället är viktigt under ett normaltillstånd, men också en nödvändighet för att man ska kunna skapa en god operativ förmåga att hantera allvarliga störningar. Den samverkan som byggs upp som en del av det förebyggande arbetet lägger ofta grunden för den samverkan som behövs vid allvarliga händelser. Det handlar om samverkan mellan olika aktörer i , som statliga myndigheter, kommuner och landsting, näringsliv och intresseorganisationer, men också om internationell samverkan (avsnitt 2.6). Det finns flera goda exempel på samverkan på informationssäkerhetsområdet i . Samverkansgruppen för informationssäkerhet (SAMFI) spelar en viktig roll genom att verka för säkra informationstillgångar i samhället. SAMFI består av ett antal statliga myndigheter som har särskilda uppgifter på informationssäkerhetsområdet: Myndigheten för samhällsskydd och beredskap (MSB), , (), Försvarsmakten, , () samt Säkerhetspolisen. MSB har det administrativa ansvaret för Samverkansforumet Nationell samverkan till skydd mot 2016/17:213 allvarliga it-hot (NSIT) analyserar och bedömer hot och sårbarheter när det gäller allvarliga eller kvalificerade it-angrepp mot våra mest skyddsvärda nationella intressen. NSIT består av Säkerhetspolisen, FRA och Försvarsmakten genom den militära underrättelse- och säkerhetstjänsten (MUST). Regeringen ser ett behov av en utvecklad och fördjupad myndighetssamverkan för att höja informations- och cybersäkerheten i samhället. Ett exempel på detta behov är att ett antal nya myndigheter kommer att få nya uppgifter på informations- och cybersäkerhetsområdet när NIS-direktivet genomförs i svensk lagstiftning. Det är viktigt att samverkan utvecklas utifrån ett helhetsperspektiv. Privat-offentlig samverkan är ett frivilligt, överenskommet samarbete mellan privata och offentliga aktörer. På informations- och cybersäkerhetsområdet finns flera exempel på plattformar för privatoffentlig samverkan. MSB har t.ex. etablerat ett antal forum för informationsdelning (FIDI) inom olika sektorer och områden: , Svenskt CERT-forum, FIDI Finans, FIDI Vård & Omsorg, FIDI Drift samt Acquisition (SCADA). Inom området för elektronisk kommunikation finns även Nationella telesamverkansgruppen (NTSG). NTSG är ett frivilligt samarbetsforum med syfte att stödja återställandet av den nationella infrastrukturen för elektroniska kommunikationer vid extraordinära händelser i samhället. Det finns ett behov av att fortsatt utveckla informationsdelningen gällande hot, risker och säkerhetsåtgärder i syfte att skyddet snabbt ska kunna anpassas hos fler aktörer. Regeringen ska verka för att –samverkan mellan myndigheter med särskilda uppgifter på informations- och cybersäkerhetsområdet stärks, –ändamålsenlig informationsdelning och samverkan mellan privata och offentliga aktörer säkerställs. Det ska finnas en ändamålsenlig tillsyn som skapar förutsättningar för en ökad informations- och cybersäkerhet i samhället. En förutsättning för att reglerna på informationssäkerhetsområdet ska få det genomslag som är avsett är att det finns en tillsyn som kan utföras på ett effektivt och ändamålsenligt sätt. har i sin rapport om informationssäkerhet i den civila statsförvaltningen (RIR 2014:23) pekat på behovet av tillsyn och rekommenderat ett antal åtgärder, bl.a. att utöka tillsynen av informationssäkerheten i den civila statsförvaltningen. Regeringen bedömer att ett flertal åtgärder behöver vidtas. I första hand behöver tillsynen av sådan verksamhet som omfattas av säkerhetsskyddslagstiftningen och samhällsviktig verksamhet inom de sektorer som pekas ut i NIS-direktivet utvecklas. I säkerhetsskyddslagen finns bestämmelser om säkerhetsskydd. Med säkerhetsskydd avses skydd mot spioneri, sabotage och andra brott som kan hota rikets säkerhet, skydd i andra fall av uppgifter som omfattas av sekretess och som rör rikets säkerhet, och skydd mot terroristbrott, även om brotten inte hotar rikets säkerhet. Enligt säkerhetsskyddslagstiftningen finns två huvudansvariga tillsynsmyndigheter, Säkerhetspolisen och Försvarsmakten, som i samråd med ansvariga myndigheter (, , och ), även kan utöva tillsyn över sektorns myndigheter. Ansvariga myndigheter utövar också egen tillsyn över sektorn. Samtliga tillsynsmyndigheter har föreskriftsrätt. I betänkandet En ny säkerhetsskyddslag (SOU 2015:25) anges bl.a. att samhällsutvecklingen medför att säkerhetskänslig verksamhet i högre grad än tidigare bedrivs av enskilda. En rimlig slutsats, enligt betänkandet, bör kunna vara att förekomsten av enskilda verksamhetsformer troligen kommer att öka inom tillsynsområdet men att det även i fortsättningen i huvudsak handlar om tillsyn av myndigheter och andra offentliga organ. Utredningen framhöll att tillgången till ingripandebefogenheter, t.ex. i form av sanktioner, är kännetecknande för en effektiv och ändamålsenlig tillsyn. finns inte sådana befogenheter i fråga om säkerhetsskyddet. Utredningen gjorde ändå bedömningen att det då inte fanns tillräckliga skäl för att förändra tillsynens inriktning och genomförande. Något förslag om att införa sanktioner lämnades därför inte. Utredningen pekade dock på att det är angeläget att noga följa utvecklingen och inom en inte alltför avlägsen framtid följa upp frågan. Regeringen har gett en särskild utredare i uppdrag att bl.a. utreda och föreslå ett system med sanktioner i säkerhetsskyddslagstiftningen (dir. 2017:32). Utredaren ska också genomföra en översyn av bestämmelserna om tillsyn enligt säkerhetsskyddslagen och lämna förslag om hur en ändamålsenlig tillsyn över säkerhetskänslig verksamhet ska vara utformad. Utredningen ska redovisas . NIS-direktivet fastställer åtgärder för att uppnå en hög gemensam nivå på säkerhet i nätverk och informationssystem inom unionen. Varje medlemsstat ska enligt direktivet utse en eller flera nationella behöriga myndigheter för säkerhet i nätverk och informationssystem för vissa tjänster i utpekade sektorer. De utpekade sektorerna är energi, transport, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, leverans och distribution av dricksvatten samt digital infrastruktur. De behöriga myndigheterna ska övervaka tillämpningen av NIS-direktivet på nationell nivå. Regeringen gav en särskild utredare i uppdrag att föreslå hur NIS-direktivet ska genomföras i svensk rätt (Ju 2016:11). Uppdraget redovisades genom betänkandet Informationssäkerhet för samhällsviktiga och digitala tjänster (SOU 2017:36). Utredaren har bl.a. föreslagit hur direktivets krav på utpekande av myndigheter med ansvar 2016/17:213 för vissa funktioner ska genomföras, med inriktningen att MSB ges en samordnande roll på området men att andra myndigheter får ansvar för tillsyn inom de olika sektorerna. Utredaren har vidare föreslagit hur identifiering av och krav på aktörer som omfattas av direktivet kan genomföras i ett samlat regelverk med beaktande av gällande bestämmelser, sektorsansvar och vad som är mest effektivt utifrån olika perspektiv. Regeringen ska verka för att –säkerhetskyddslagstiftningen bättre möter de förändrade kraven på säkerhetsskydd inom informationssäkerhetsområdet, bl.a. genom ett adekvat system för sanktioner och en effektiv tillsyn, –NIS-direktivet genomförs effektivt och att det etableras en adekvat styrning och tillsyn av säkerheten i nätverk och informationssystem i samhällsviktig verksamhet för vissa aktörer inom de utpekade sektorerna, –behovet av ytterligare åtgärder för att utveckla tillsynen av informationssäkerheten i hela samhället bevakas. 2.2Öka säkerheten i nätverk, produkter och system Säker infrastruktur för elektronisk kommunikation –Elektroniska kommunikationer ska vara effektiva, säkra och robusta samt tillgodose användarnas behov. –Elektronisk kommunikation i ska vara tillgänglig oberoende av funktioner utanför landets gränser. –behov av att kunna vidta adekvata åtgärder ska säkerställas. Enskilda individer, statliga myndigheter, kommuner, landsting, företag och andra organisationer är beroende av tillförlitliga elektroniska kommunikationstjänster som fungerar under alla förhållanden. Elektroniska kommunikationer med hög driftsäkerhet och starkt skydd är också av mycket stor vikt för samhällets funktionalitet och säkerhet samt möjligheter att hantera olika krisförlopp. som avser allmän ordning, säkerhet, hälsa och försvar har särskilt stora behov av säkerhet och robusthet. Operatörer för elektronisk kommunikation är en heterogen grupp som i dag arbetar på en konkurrensutsatt marknad. En del äger sina egna nät medan andra hyr in sig i andra operatörers nät. variera från stora börsnoterade aktiebolag via stadsnät till byalag. innebär i sig att aktörerna har olika förutsättningar för att förebygga och hantera incidenter och allvarliga händelser. För att säkerställa konfidentialitet, riktighet och tillgänglighet i vardagsförhållanden som allvarliga kriser och höjd beredskap krävs ett kontinuerligt arbete med utgångspunkt i verksamhetsutövarnas risk- och sårbarhetsanalyser och säkerhetsanalyser enligt säkerhetsskyddslagen. 2016/17:213 Alla operatörer bär också ett ansvar för att utveckla förmågan att förebygga, upptäcka och hantera incidenter. Omvärldsförändringar påverkar kraven på säkerhet Omfattningen av datahantering ökar i alla delar av samhället, med krav på ökad kapacitet, täckning, tillgänglighet och inte minst säkerhet i elektroniska kommunikationssystem. De gamla kopparnäten är under avveckling och ersätts med fiber och mobila kommunikationsnät. För att driva på den digitala utvecklingen och tillvarata dess möjligheter beslutade regeringen strategin helt uppkopplat 2025 – en bredbandsstrategi (N2016/08008/D), och beslutades För ett hållbart digitaliserat – en digitaliseringsstrategi (N2017/03643/D). Inom EU pågår en översyn av regelverket för elektronisk kommunikation och har initierat ett omfattande digitaliseringsprojekt. Policy och regelverk behöver förnyas oftare mot bakgrund av teknikutvecklingen och omvärldsförändringar. Den säkerhetspolitiska utvecklingen har fått till följd att totalförsvars- För att aktörer inom allmän ordning, säkerhet, hälsa och försvar ska kunna fullgöra sina uppdrag behöver de kunna kommunicera säkert med varandra, både i vardag och i kris. är att så långt som möjligt kunna upprätthålla elektroniska kommunikationer inom landet även i situationer där vårt närområde eller delar av landet har drabbats av olika typer av angrepp. elektronisk kommunikation ska kunna fungera oberoende av funktioner i Det betyder också att kraven på driftsäkerhet och robusthet ökar så att vi bättre ska kunna motstå angrepp och ytterst krig. Stödet vid upphandling av säker elektronisk kommunikation och andra it- relaterade tjänster bör stärkas Det är viktigt att de verksamheter som har behov av en hög nivå av driftssäkerhet på kommunikationsnät och it-relaterade tjänster ställer krav på detta vid upphandling. Det kan t.ex. handla om förmågan att snabbt och effektivt etablera alternativa förbindelser. Det är också viktigt att kunna identifiera och upphandla en för verksamheten lämplig nivå av För detta krävs kompetens. PTS är tillsynsmyndighet inom postområdet och området för elektronisk kommunikation. verkar bl.a. för att aktörerna inom sektorn ska stärka sin förmåga att hantera allvarliga driftsstörningar, exempelvis genom att tillhandahålla stöd vid anskaffning av extern elektronisk kommunikation. även stöd avseende säker upphandling av it-relaterade tjänster. stöd behöver nu utvecklas ytterligare. I sammanhanget kan också nämnas att har det samlade ansvaret för att utveckla, förvalta och stödja den upphandling som genomförs av upphandlande Behov av bättre beslutsunderlag och riktade åtgärder En förutsättning för ett effektivt arbete med att förebygga hot och sårbarheter avseende elektronisk kommunikation är en utvecklad samordning och samverkan mellan berörda aktörer i syfte att identifiera 2016/17:213 vad som ska skyddas och vilka ytterligare säkerhetsåtgärder som behöver sättas in. För att kunna analysera aktuella hot och sårbarheter behövs ett adekvat informationsunderlag. Detta underlag kan bestå av t.ex. information från operatörer inom elektronisk kommunikation genom incidentrapportering och information från expertmyndigheter. Flera tillhandahållare av elektronisk kommunikation kommer enligt NIS- direktivet att åläggas en utökad incidentrapportering. Incidentrapporteringen enligt NIS-direktivet beskrivs under avsnitt 2.3. Det kan emellertid behövas ytterligare åtgärder för att förbättra informationsunderlaget i syfte att stödja det förebyggande arbetet. Som tillsynsmyndighet har PTS behov av att kunna inhämta, samordna och vidareförmedla information samt, under vissa omständigheter, vidta åtgärder för att stärka samhällets tillgång till säker elektronisk kommunikation. Vidare behöver PTS inhämta information från operatörerna om händelser med påverkan på nätsäkerhet eller informationssäkerhet för att kunna bedöma eventuella konsekvenser för samhället i stort. I detta ingår också att under en krissituation kunna skapa och vidareförmedla relevanta och aktuella lägesbilder. Det finns även ett behov för PTS att kunna rikta krav på specifika säkerhetsåtgärder mot en eller ett begränsat antal operatörer, för att hantera identifierade sårbarheter eller brister som kan medföra allvarliga risker för samhällsviktig elektronisk kommunikation. I dessa fall är sedvanliga föreskrifter inte lämpliga eftersom de gäller generellt på marknaden, inte enbart mot utpekade aktörer, och vanligen inte innehåller detaljerade krav på specifika nät och tjänster. Behov av stärkt samverkan För att kunna identifiera lämpliga åtgärder i syfte att minimera de hot och sårbarheter som finns inom sektorn för elektroniska kommunikationer behöver PTS tillgång till relevant kompetens. Denna kompetens kan hämtas från exempelvis sektorns aktörer och från expertmyndigheter. En fördjupad och systematisk samverkan såväl med sektorns aktörer som mellan myndigheter på informationssäkerhets- och tillsynsområdet utgör därför en god grund för ökat kompetensstöd till sektorsansvariga myndigheters informationssäkerhetsarbete. Regeringen ska verka för att: –elektroniska kommunikationsnät byggs på ett sådant sätt att de kan fungera oberoende av funktioner i andra länder, –aktörer inom allmän ordning, säkerhet, hälsa och försvar har tillgång till moderna, säkra och robusta kommunikationslösningar, –myndigheternas kompetens avseende upphandling av nätverk, produkter och system stärks och att myndigheterna vid upphandlingar säkerställer att hänsyn tas till säkerhetsaspekter, –PTS förutsättningar att verka för en hög nivå av nät- och informationssäkerhet inom sektorn för elektronisk kommunikation stärks. kommunikationslösningar ska motsvara behoven i samhället. En vanligt förekommande säkerhetsåtgärd för att höja informationssäkerheten är användningen av krypto. Information som behöver skyddas med hjälp av krypto kan t.ex. utgöras av hälso- och sjukvårdsuppgifter, risk- och sårbarhetsanalyser, förundersökningar eller asylärenden, utöver information av vikt för rikets säkerhet. Kryptolösningar används inte bara vid kommunikation i traditionell mening för att skydda information som omfattas av sekretess eller på annat sätt är skyddsvärd. används även till skydd för t.ex. signering av information (riktighet), automatiserade processer i samhällsviktiga funktioner som t.ex. kritiska infrastrukturer (tillgänglighet) och för att kunna följa hur och när information har hanterats och kommunicerats. Vissa organisationer har behov av att skydda information som omfattas av sekretess med hänsyn till rikets säkerhet och behöver signalskydd. Begreppet signalskydd avser obligatoriskt skydd av elektronisk kommunikation av sekretessbelagda uppgifter som rör rikets säkerhet. Signalskyddssystemens skyddsnivå är dimensionerad att möta hotbilden från andra länders underrättelsetjänster och kräver därför omfattande skyddsåtgärder. behöver tillgång till teknisk kompetens inom kryptoområdet för att säkerställa nödvändigt signalskydd, såväl för den ordinarie verksamheten som vid tillfällen då samhället utsätts för påfrestningar. Att en sådan nationell kompetens bibehålls över tiden är därför viktigt för att trygga svenska säkerhetsintressen på området. Behovet av säkra kryptolösningar ökar i takt med digitaliseringen. Även återtagandet av planeringen för det civila försvaret kommer att innebära ett ökat behov av säkra kryptosystem, framför allt signalskydd, för de aktörer i samhället som berörs av planläggningsarbetet. Det finns även ett ökat behov av signalskydd för att möjliggöra utvecklad samverkan med andra stater och internationella organisationer, inte minst inom EU och Nato. För att möta det ökade behovet av kryptolösningar har regeringen sett ett behov av en nationell strategi och åtgärdsplan för säkra kryptosystem. fick i regleringsbrevet därför uppdraget att redovisa ett preciserat förslag till nationell strategi och åtgärdsplan för detta, efter samråd med Försvarsmakten, FRA och MSB. Regeringen ska verka för att –en nationell strategi och åtgärdsplan för säkra kryptosystem implementeras. 2016/17:213 Säkerhet i industriella informations- och styrsystem Säkerheten i industriella informations- och styrsystem ska öka. Industriella informations- och styrsystem, ofta benämnda Programmable Logic Controller (PLC) eller SCADA, används i samhällsviktiga verksamheter och kritisk infrastruktur för att styra och övervaka centrala fysiska processer. Styrsystemen (programvara och datorer) är integrerade i, och samverkar med, fysiska föremål. I och med framväxten av sakernas internet (Internet of things) ökar också antalet uppkopplade styrsystem kraftigt inom många områden. Såväl betänkandet Informations- och cybersäkerhet i (SOU 2015:23) som betänkandet om en ny säkerhetskyddslag (SOU 2015:25) betonar samhällsviktiga verksamheters beroende av industriella informations- och styrsystem och vikten av att upprätthålla en stark nationell kompetens inom styrsystemområdet. Säkring av funktionaliteten och säkerheten hos industriella informations- och styrsystem utgör en mycket viktig del i såväl det förebyggande arbetet som i hanteringen vid störningar i centrala samhällsfunktionaliteter som el- och dricksvattensförsörjning. Även störningar inom områden som transportsystem, industriell produktion och sjukvård är exempel där förebyggande arbete är viktigt. Störningar kan ha sin grund i misstag vid handhavande eller bero på fel i maskin- eller programvara men kan även vara resultatet av antagonistiska aktiviteter. Industriella informations- och styrsystem präglas av teknisk komplexitet samt mycket varierande ägar- och driftsförhållanden. För att hantera utmaningarna på området krävs ett samlat arbete som inkluderar både privat och offentlig sektor. Arbetet behöver bedrivas kostnadseffektivt och sektorsövergripande. För att uppnå ett adekvat skydd finns det ett behov av ökad samverkan och samarbete mellan systemleverantörer, tekniska konsulter, upphandlare, operatörer, relevanta myndigheter och akademiska miljöer. En hög nivå av informations- och cybersäkerhet inom industriella informations- och styrsystem har möjlighet att utgöra en betydande konkurrensfaktor för . Om produkter med hög säkerhet kan utvecklas i kommer de att vara mer internationellt konkurrenskraftiga och därmed bidra till sysselsättningen i . bedrivs en stor del av utbildningen, forskningen och utvecklingen på området inom ramen för för säkerhet i styrsystem för samhällsviktig verksamhet (NCS3), som drivs tillsammans av MSB och (). Verksamheten vid NCS3 syftar till att minska de risker som användningen av industriella informations- och styrsystem medför för det moderna samhället, speciellt med avseende på avsiktlig störning. Även Myndigheten för Innovationssystem () och Research Instutes of (), arbetar aktivt med projekt för utvecklad säkerhet i industriella informations- och styrsystem. Regeringen ska verka för att –företag och myndigheter som äger eller arbetar med samhällsviktig verksamhet där industriella informations- och styrsystem ingår får stöd i sitt arbete med att stärka informationssäkerheten, –företag med verksamhet inom t.ex. verkstads- och processindustri där industriella informations- och styrsystem fyller viktiga funktioner får utvecklade förutsättningar till stöd för att stärka sitt arbete med informationssäkerhet. 2.3Stärka förmågan att förebygga, upptäcka och hantera cyberattacker och andra it-incidenter –Förmågan att förebygga, upptäcka och hantera cyberattacker och andra it-incidenter i samhället ska förbättras. –Berörda aktörer ska kunna agera samordnat för att hantera cyberattacker och andra allvarliga it-incidenter. –Det ska finnas ett utvecklat cyberförsvar för mest skyddsvärda verksamheter med en förstärkt militär förmåga att möta och hantera angrepp från kvalificerade motståndare i cyberrymden. Grunden för att minska effekterna av cyberattacker och andra itincidenter består av förmågan att förebygga, upptäcka och hantera dessa. En stor del av det förebyggande arbetet har beskrivits i kapitel 2.1 om att säkerställa en systematisk och samlad ansats i arbetet med informations- och cybersäkerhet och i kapitel 2.2 om ökad säkerhet i nätverk, produkter och system. Ytterligare en viktig komponent i det förebyggande arbetet utgörs av it-incidentrapportering som bl.a. möjliggör ett kontinuerligt lärande av inträffade händelser. De flesta statliga myndigheter är skyldiga att rapportera itincidenter som allvarligt kan påverka säkerheten i myndighetens informationshantering till MSB. I syfte att förbättra den nationella lägesbilden ska MSB enligt sin instruktion lämna en rapport till regeringen med en sammanställning av de incidenter som rapporterats in till myndigheten. Inför sammanställningen ska MSB inhämta upplysningar från Säkerhetspolisen och Försvarsmakten om de incidenter som rapporterats in till de myndigheterna i enlighet med säkerhetsskyddslagstiftningen. Nästa steg i att utveckla itincidentrapporteringen kommer att tas genom NIS-direktivet. Det kommer bl.a. att innebära att det blir obligatoriskt för aktörer inom NIS- sektorerna att rapportera incidenter som har en betydande inverkan på kontinuiteten i samhällsviktiga tjänster.