prot · H50941 · 2017-12-01 00:00:00 — Jag måste berömma statsrådet för att han även i sitt andra inlägg var sövande korrekt. Det är ytterligare ett gott exempel på hur han undviker de centrala frågorna. Ingenstans i min interpellation fanns ett ifrågasättande av det som sådant. Vad jag har ställt frågor om är huruvida man inom regeringen är nöjd med det efter att man har inrättat det och hur det har fungerat. Jag har också ställt frågor kopplade till öppenheten. I grunden tror jag att det är bra att ett säkerhetspolitiskt råd finns. Jag önskar att den alliansregering som tar vid efter den nuvarande rödgröna regeringen också kommer att arbeta med ett säkerhetspolitiskt råd, kanske dock präglat av en större öppenhet. räknade upp ett antal frågor som direkt och indirekt påverkar svensk säkerhet och som har behandlats av det . Jag har ingen annan uppfattning: Det där är klokt och bra. Om vi diskuterade skulle jag kanske addera något, men som en provkarta är detta alldeles excellent. Vad som dock är ett problem, herr talman, är att också journalister, reportrar, grävande människor, privata medborgare och förtroendevalda har begärt att få ut olika slags handlingar och annan information om det , men det har varit stört omöjligt. Jag tror att jag från Statsrådsberedningen har fått ut en handling som är kopplad till det . gör sig statsrådet nästan lite lustig över att de har träffats 28 gånger, och han räknar upp de exakta datumen. Detta är information som vi har försökt att få ut. levereras den av statsrådet i talarstol, och det är vackert så. Men detta har inte präglats av öppenhet och transparens tidigare. Jag vill återkomma till några av de frågor som jag ställde inledningsvis. Statsrådet bekräftar att statsministern är ordförande för det . När jag, herr talman, ställer ett antal frågor till regeringen om rådets funktion, om det har fungerat och hur man ser på det tycker jag att det vore rimligt att ordföranden för det besvarar frågorna. har fortfarande inte berättat varför han tvingas utföra detta uppdrag å statsministerns vägnar. Jag hade ytterligare en fråga. Trots datumexercisen och alla de ämnen som statsrådet räknar upp är det fortfarande omöjligt för mig att utvärdera huruvida det har kommit till korrekta, bra och kloka slutsatser. Till stor del kan man dessutom pikant nog koppla dessa händelser – att man börjar öppna med diarieföring och så vidare – . Vad var det som hände ? Jo, mitt i famnen på regeringen exploderade säkerhetshaveriet med Transportstyrelsen. Det är något som har krävt två statsråds avgång liksom att en statssekreterare har slutat och att en generaldirektör har fått sparken. Det är notabelt att i sitt svar är totalt renons och nämner inte huruvida Transportstyrelsen och säkerhetshaveriet har varit föremål för diskussion inom det . Han är det trots den uppräkning av många datum som ligger fullt i linje med att Transportstyrelsen och säkerhetshaveriet borde ha varit föremål för rätt mycket reflektion och funderande från regeringens sida. 24 Justitie- och inrikesminister (S): Till att börja med tycker jag att det är ett mycket bra besked att en eventuell alliansregering skulle fortsätta ungefär i samma form som vi nu har. Frågan som bör ställas är som sagt inte varför har ett säkerhetspolitiskt råd utan varför tidigare regeringar inte har haft det. Om hade haft ett säkerhetspolitiskt råd hade man kanske aldrig avskaffat värnplikten, för att ge ett exempel. Ett annat exempel är att man kanske heller inte hade sölat med datalagringen år – så pass länge att vi till och med fick betala böter till EU. Detta är ju en mycket viktig fråga när det gäller terrorismbekämpningen. ger ett bra besked när han nu säger att detta är ett bra arbetssätt. Vad gäller arbetsformerna har vi inte haft någon anledning att ha större slutenhet än vad man behöver ha. Det är därför jag redovisar alla dessa datum och vilka teman som har diskuterats. Vi har också börjat diarieföra protokollen, vilka för övrigt har begärts ut av en moderat ledamot i går eller . Man kan däremot inte alltid berätta vad man har talat om. Det får journalister, reportrar och faktiskt även ledamöter i denna kammare respektera. Man kan inte vara totalt öppen med allt som man talar om i dessa sammanhang. Det handlar till en del om kvalificerat hemlig information, vilken man inte kan lämna ut eftersom det allra ytterst handlar om rikets säkerhet. Jag tar gärna denna debatt å statsministerns vägnar. Jag har ansvar för det civila försvaret liksom för krishanteringen i . Det här är en viktig del av mitt arbete med det och är inget som jag över huvud taget tvingas till. Den information som jag lämnar här är av sådan karaktär att man kanske får mer förståelse för hur det har arbetat. Det är riktigt som säger att det som har skett inom Transportstyrelsen har fått stora konsekvenser, inte minst när det gäller att en generaldirektör har fått avgå och att regeringen har ombildats. Men det har fått större konsekvenser än så. Regeringen har precis lämnat över en ny säkerhetsskyddslag till . Vi stramar upp informationssäkerheten, bland annat med ett förslag som ska se till att all utkontraktering av säkerhetskänsliga uppgifter som myndigheterna ska göra måste via samråd först passera antingen Försvarsmakten eller . Om eller Försvarsmakten säger nej och att man inte kan göra på ett visst sätt för att det äventyrar rikets säkerhet är det detta som gäller. Myndigheterna ska i så fall lyda. En sådan förordningsändring bereder vi alltså just . Vi har också bett en särskild utredare, , att titta på vilka gränser som ska finnas när det till exempel gäller utkontraktering. En del saker kan man inte lämna ut eller privatisera och handla upp. Dem måste vi ha för oss själva under väldigt säkra former. Vi måste bort från den lite slentrianmässiga privatiseringsiver som har rått under . Vi måste i stället ha mer av principen att säkerheten går först. Detta är vår politik. Vad gäller hur Transportstyrelsen har hanterats i det eller i i övrigt granskas detta av . KU ska i sin granskning lämna svar på dessa frågor, snarare än att jag gör det här. Denna uppgift åligger dem. 25 HANS (M): Låt mig först komma med ett avslöjande. hänvisar till att en moderat ledamot har begärt ut handlingar som indikeras i det svar som han har givit. Den moderata ledamoten är jag. gör vidare skickliga försök att undvika den centrala frågan. Jag har inte ifrågasatt det . Jag har till dess ordförande, som vägrar svara, ställt ett antal frågor om funktionaliteten och om det hela har utvärderats. Att är glad över att besvara frågorna gläder mig, men jag hade velat se att den som är ordförande för det också tog ansvaret för att svara på frågor som dessa. När det blir en alliansregering tror jag att det finns skäl att se över hela krishanteringsfunktionen inklusive det , hur det har fungerat och hur man kan öka effektiviteten. Om det sedan ska vara exakt samma form för eller namn på det kan man fundera på. Den taffliga och fumliga hanteringen av Transportstyrelsens säkerhetshaveri indikerar dock att en alliansregering behöver tänka över frågorna och strukturerna så att man inte upprepar samma misstag som den här regeringen har gjort. Det är väldigt bra, det som räknar upp – att man stramar åt, tar fram ny lagstiftning och sådant. Det intressanta är att det i så fall inte har varit föremål för resonemang i det . Det tycker jag i så fall är dåligt. Det är lustigt att man kan diskutera så många olika ämnen men att ett ämne som uppenbarligen inte har varit föremål för det säkerhetspolitiska rådets resonemang har varit Transportstyrelsen och säkerhetshaveriet. Regeringen inklusive statsministern gör många hänvisningar till att vi inte kan prata om det här därför att det pågår en KU-granskning. Jag vill bara påminna oss alla, herr talman, om att en KU-granskning inte är ett embargo för att berätta hur det är eller besvara frågor. KU-granskningen är det konstitutionella verktyg som vi har här i , och jag ser fram emot den redovisning som kommer . 26 Justitie- och inrikesminister (S): Jag nämnde ju att informations‑ och cybersäkerhet har varit föremål för diskussion i det . Det har bland annat handlat om de reformer jag nu talar om som vi är i färd med att göra – förordningsändringen som stramar åt och ger myndigheter samrådsplikt i förhållande till Säkerhetspolisen och Försvarsmakten när det gäller säkerhetskänslig information som eventuellt ska utkontrakteras och även vetorätt för Säkerhetspolisen och Försvarsmakten om de ser att nej, det här kan man inte göra. Det är en sådan förändring som genomförs. Säkerhetsskyddslagen som vi nu är på väg fram med, utredningar av sanktioner när det gäller bland annat säkerhetsskyddslagen – allt det här och mycket annat när det gäller informationssäkerhet har naturligtvis diskuterats. Återigen: I ett andetag ifrågasätter säkerhetspolitiska rådets arbete. I nästa andetag säger han att en eventuell alliansregering nog också kommer att behöva jobba under ungefär samma former. Gott så i så fall. Jag tycker att det är ett viktigt och bra besked. Jag kan bara konstatera att de sammanträden som jag har varit på har varit värdefulla, för de innebär att man på högsta nivå och under former som gör att man kan tala fritt också om kvalificerat hemliga saker kan få information från våra myndigheter om detta rakt upp till högsta nivå. Det innebär ett mycket bättre arbetssätt . har man jobbat med arbetsformer där man har hamnat i en visklek, det vill säga att den ena berättar för den andra vad som har hänt, den andra berättar för den tredje och så vidare. Detta är ett mycket bättre och mer effektivt arbetssätt. Överläggningen var härmed avslutad. § 10 Svar på interpellation 2017/18:100 om cyberattacker från 27 Justitie- och inrikesminister (S): har frågat mig om jag anser att det finns skäl att skapa en svensk cybersäkerhetsmyndighet. Det finns ett stort behov av att utveckla informations‑ och cybersäkerheten i samhället, inte minst inom den offentliga förvaltningen. Sedan regeringen tillträdde har därför en rad åtgärder vidtagits. Bland annat har obligatorisk it-incidentrapportering för statliga myndigheter införts, och lagrådsremissen Ett modernt och stärkt skydd för säkerhet – ny säkerhetsskyddslag har beslutats. MSB har tillförts ökade resurser för att förstärka arbetet med informationssäkerhet och psykologiskt försvar. I vårändringsbudgeten tillförde regeringen . I budgetpropositionen fyrfaldigar och permanentar regeringen ökningen av medel utifrån en överenskommelse mellan regeringen, och . Flera åtgärder har vidtagits för att på både kort och lång sikt minska riskerna i samband med utkontraktering av säkerhetskänslig verksamhet, till exempel Utredningen om vissa säkerhetsskyddsfrågor, som ska föreslå åtgärder för att förebygga att säkerhetskänslig information och verksamhet utsätts för risker i samband med bland annat utkontraktering. I uppdraget ingår även att föreslå ett system med sanktioner i säkerhetsskyddslagen. Uppdraget ska redovisas . Regeringen konstaterade att man när det gäller statliga myndigheter inte kan avvakta förslagen utan att kontrollen över statliga myndigheters utkontrakteringar måste skärpas . Därför har förslaget om samrådsplikt med och vetorätt för Säkerhetspolisen och Försvarsmakten tagits fram. Förslaget har remitterats, och en majoritet av remissinstanserna ställer sig positiva till förslaget. Förslaget bereds nu i . För att skapa en gemensam riktning för utvecklingsinsatser och förbättra förutsättningarna för samverkan mellan berörda aktörer presenterade regeringen en nationell strategi för samhällets informations‑ och cybersäkerhet. Genom strategins målsättningar tydliggör regeringen bland annat vikten av att statliga myndigheter ska ha kännedom om hot och risker, ta ansvar för sin informationssäkerhet och bedriva ett systematiskt informationssäkerhetsarbete. Dessutom betonas vikten av att samverkan och informationsdelning på informations‑ och cybersäkerhetsområdet stärks. Här ligger också svaret på frågan om det finns skäl att skapa en svensk cybersäkerhetsmyndighet. För att stärka vår förmåga att skydda oss mot cyberattacker och andra allvarliga it-incidenter måste vi först och främst bli bättre på att arbeta tillsammans, var och en utifrån sitt uppdrag. Det är inte möjligt att skapa en ny myndighet med ett mandat så omfattande att den inte behöver samverka med andra myndigheter. Det är inte heller möjligt att skapa en ny myndighet som kan överta det ansvar som vilar på varje verksamhetsutövare och privatperson att vidta lämpliga säkerhetsåtgärder utifrån ett riskbaserat och systematiskt informationssäkerhetsarbete. Informationssäkerhet kan inte betraktas som en separat verksamhet; det är en del av – och en förutsättning för – nästan allt annat i dagens samhälle. Mot bakgrund av detta ser jag inte nu skäl till att skapa en svensk cybersäkerhetsmyndighet, men jag kommer att fortsätta att noga följa arbetet med att stärka samhällets informations‑ och cybersäkerhet och vid behov vidta ytterligare åtgärder. 28 (KD): Tack, det var klara besked! Justitieministern vill inte ha en cybersäkerhetsmyndighet – inte . I stället ska utvecklingen följas noggrant, och ytterligare åtgärder ska kanske vidtas . Men, , framtiden är redan här. Framtiden gör sig påmind i form av en serie av cyberattacker mot it-infrastruktur. Man kan säga att de står som spön i backen. I min interpellation nämner jag de 673 polisanmälningarna om utpressning via datavirus. Jag nämner de cancerbehandlingar på som blev stoppade på grund av utpressning via cyberattacker. Jag nämner att SVT avslöjat att Myndigheten för press, radio och tv betalar ut skattepengar till utpressare. har 81 statliga myndigheter och 187 kommuner drabbats av utpressningsvirus, och det fortsätter att öka. Därför tog jag initiativ i försvarsutskottet – FRA, Must och var hos oss och bekräftade att det här är någonting som ökar och att attackerna blir värre. Det är enskilda, grupper och länder. Ministern vet ju att man har sagt att det är 10 000 cyberattacker av utländsk makt och att det ökar. De angrepp vi sett har ändå varit relativt skonsamma. Men om inget samlat grepp tas om cybersäkerhetsfrågan kommer , enligt flera bedömare, förmodligen att utsättas för en riktigt stor cyberattack. Vad är det då vi vill undvika genom att vidta den här åtgärden? Låt mig nämna några saker som vi kan räkna med.  Kollektivtrafiken kan drabbas av stillastående en hel dag genom att spärrar, biljettsystem eller signalsystem angrips av kidnappningsvirus.  Betalningar med bankkort i butiker kan vara omöjliga genom attacker på betalningsinfrastrukturen.  Elförsörjningen till hushåll och industrier kan temporärt slås ut. Det är någonting som har drabbat .  Hälso‑ och sjukvård kan på grund av cyberangrepp inte utföras.  Främmande makt kan genom angrepp ta del av information som flödar i it‑ och kommunikationssystem, vilket kraftigt försämrar utsikter att försvara sig i händelse av krig. Framtiden, justitieministern, är redan här. Om vi inte gör någonting nu sker garanterat ett stort cyberangrepp mot det här landet inom en inte alltför avlägsen framtid. Då kommer vi förmodligen att föra en ny sådan här diskussion, men då kan det tyvärr vara . Då kan skadan vara mycket större. Vårt förslag, som vi försökt driva från sida , är att ta ett helhetsgrepp om cybersäkerhetsfrågan för den civila sidan av samhället genom att skapa en cybersäkerhetsmyndighet. styrs informations‑ och cybersäkerheten på ett fragmenterat och splittrat sätt, vilket sätter de olika säkerhetsmyndigheternas egna intressen före cybersäkerheten. Resultatet är att företag, kommuner, statliga myndigheter, landsting och andra organisationer träffas av en ständigt ökad reglering på området. Denna reglering inriktas på ett perspektiv åt gången. Det kan vara dataskydd för personuppgifter, driftssäkerhet, säkerhetsskydd och så vidare, men regleringen följer samma mönster och kräver nästan samma sak. Det är detta vi skulle komma runt med en myndighet. 29 Justitie- och inrikesminister (S): Det vi nu genomför inom hela detta område är en rejäl uppstramning av säkerhetsarbetet, inklusive it-säkerhet. Vi tog fram en ny strategi gällande just cyber- och informationssäkerhet, och i och med det gick ett stort antal uppdrag ut till myndigheter för att implementera strategin. gör vi nu för en mycket stor satsning på det civila försvaret: 1,3 miljarder –2020. Där ingår informations- och cybersäkerhet som en viktig del. Det finns en uppgörelse mellan regeringen, och inom ramen för den stora försvarsuppgörelsen om att få loss så pass mycket pengar, , för att återupprätta det civila försvaret, där just denna del är central i ett modernt samhälle. Uppstramningen är faktiskt också en effekt av händelserna vid Transportstyrelsen. Vi hade tidigare en diskussion som handlade om just detta. Där ställdes frågan om vilka lärdomar vi drar av händelserna vid Transportstyrelsen. Ja, en sådan lärdom är att vi måste se till att det aldrig händer igen och att vi måste vara mycket mer vaksamma när det gäller våra informationssystem – vad vi själva har och vad vi utkontrakterar på en annan part. hade vi en slentrianmässig privatisering på detta område, inte minst under den förra regeringen, som inte så mycket tänkte i säkerhetsbanor när det gällde dessa frågor. är det slut med det; nu är det säkerheten först som gäller. När det gäller gränserna för utkontraktering har uppdraget att utreda vad man över huvud taget kan tillåta i form av upphandling och utkontraktering i dessa avseenden. Vi lägger fram en ny säkerhetsskyddslag; lagrådsremissen har precis beslutats. Vi kommer också att utreda sanktioner för den som bryter mot säkerhetsskyddslagen. Det har vi inte . Vi kommer att implementera det så kallade NIS-direktivet, ett EU-direktiv som innebär en allmän uppstramning, inte bara för de offentliga utan också för de privata aktörerna, och ökade krav på informationssäkerhet. Men vi stärker också Säkerhetspolisens och Försvarsmaktens roll i detta sammanhang. I ärenden som rör exempelvis rikets säkerhet och när det gäller upphandlingar får både och Försvarsmakten nu en mycket starkare roll. Myndigheter som planerar att lägga ut sådant på andra aktörer måste först samråda med eller Försvarsmakten. Om de säger stopp och menar att det inte kan göras därför att rikets säkerhet äventyras är det också det som gäller; då ska man som enskild myndighet lyda och sätta stopp. Det handlar alltså om ett veto. frågar om tillsynen och vilken myndighetsstruktur vi ska ha. Min uppfattning är att en ny myndighet inte skulle tillföra något mervärde i detta avseende. berättade att man hade FRA, Must och i utskottet för att tala om dessa frågor. En intressant fråga att ställa till är: Frågade han FRA, Must och om de ville ha en ny cybersäkerhetsmyndighet? Vad svarade de i så fall på det? I alla diskussioner vi har med de myndigheter som detta berör framkommer nämligen att de väldigt gärna vill fortsätta att hålla på ansvarsprincipen, det vill säga att varje myndighet inom varje sektor har sitt ansvar. Det är nämligen där kompetensen finns, och det är i slutänden ändå de som kommer att få göra jobbet, oavsett vilka andra myndigheter vi har. 30 (KD): Det verkar finnas några missförstånd hos justitieministern om idén med en cybersäkerhetsmyndighet. Låt mig inleda med att komma till rätta med dessa missförstånd. Justitieministern säger att det inte är möjligt att skapa en ny myndighet med ett mandat så omfattande att den inte behöver samverka med andra myndigheter. Det är det första missförståndet. Självfallet ska en cybersäkerhetsmyndighet inte ha något slags enväldigt mandat som förhindrar samverkan med andra myndigheter. Justitieministern säger vidare i sitt svar att det inte är möjligt att skapa en ny myndighet som kan överta det ansvar som vilar på varje verksamhetsutövare. Det är missförstånd nummer två. Självfallet ska en cybersäkerhetsmyndighet inte överta något som helst ansvar från verksamhetsutövaren. I stället ska myndigheten verka för att en mer sammanhållen och enhetlig reglering och tillsyn träffar verksamhetsutövaren så att resurserna kan läggas på bra cybersäkerhet i stället för på ändlösa analyser och tolkningar av regleringar. Justitieministern säger slutligen i sitt svar – och här har jag den sista invändningen – att informationssäkerhet inte kan ”betraktas som en separat verksamhet; det är en del av – och en förutsättning för – nästan allt annat i dagens samhälle”. Det är det tredje och sista missförståndet. Informations- och cybersäkerhet måste genomsyra allt; det är självklart. Det är ingen separat verksamhet. Det cybersäkerhetsmyndigheten ska göra är just detta: tillse att säkerheten verkligen kan genomsyra allt på ett kostnadseffektivt och ändamålsenligt sätt. Det är inte fråga om en centralisering av det ansvar varje verksamhetsutövare har för sin egen säkerhet. träffas företag, kommuner, statliga myndigheter, landsting och alla organisationer av en ständigt ökad reglering. Denna reglering inriktas på ett perspektiv åt gången. Det kan vara dataskydd för personuppgifter, driftssäkerhet, säkerhetsskydd och så vidare, men regleringen följer samma mönster och kräver nästan samma sak. För det första, herr talman, ska viktig information eller viktiga system identifieras. För det andra ska analyser av risk genomföras. För det tredje ska tekniska och administrativa säkerhetsåtgärder införas. Slutligen ska incidenter rapporteras. För en teleoperatör, till exempel, kan ett enda it-system stå under en handfull olika detaljerade regleringar kopplade till cybersäkerheten. I stället för att kunna hantera systemets säkerhet sammanhållet tvingas operatören att i praktiken ha separata stuprör – det känns bekant – som svar på den detaljerade regleringen. Operatören tvingas till fem olika riskanalyser för it-systemet i stället för en. Det krävs olika interna lösningar för att försöka leva upp till alla dessa fragmenterade rättsliga krav. Hela organisationer får byggas upp inom kommuner, statliga myndigheter och landsting för att hantera de olika säkerhetskraven. Ett exempel är dataskyddsförordningen, GDPR, en ny reglering som främst berör cybersäkerhetsområdet och som återigen gett upphov till nya organisationer, nya analyser och nya sätt att leda och styra cybersäkerheten internt. Varför ser det ut så här, justitieministern? Jo, anledningen är att saknar ett sammanhållet grepp om landets cybersäkerhet. Situationen är akut. Medan de organisationer jag räknade upp paralyseras av allt analyserande som regeringen kräver förbereder angripare nästa angrepp. Det som krävs är en cybersäkerhetsmyndighet som får ett sammanhållningsansvar för cybersäkerheten i . 31 Justitie- och inrikesminister (S): Jag noterade att inte svarade på min fråga: När han nu hade FRA, Must och i utskottet för att tala om just detta, frågade han då om de tycker att det vore bra att ha en egen, ny myndighet som bara skulle hantera cybersäkerhet? Ställde han den frågan, och vad fick han i så fall för svar? Det skulle jag gärna vilja veta. Jag tror mig ana svaret, nämligen att våra expertmyndigheter i dessa frågor – Säkerhetspolisen och även MSB och FRA – håller väldigt noga på det vi kallar ansvarsprincipen, det vill säga att varje myndighet själv måste se till att man stramar upp sina system och kan få hjälp och stöd med det. När vi antog den nationella strategin för samhällets informations- och cybersäkerhet gick vi ut med en rad uppdrag till olika myndigheter för att se till att implementera strategin. Det handlade bland annat om uppdrag till MSB och till de bevakningsansvariga myndigheterna för att öka kunskapen om informationssäkerhet, men också om riktade uppdrag för att i samverkan med SKL, och kartlägga och analysera vad som behöver göras på hälso- och sjukvårdsområdet. Ett särskilt uppdrag handlade också om att se till att jobba bättre med de privat–offentliga samarbetsformerna.