prot · H40969 · 2017-02-16 00:00:00 — Vad vi borde önska oss är ett eget nät för svenska myndigheter och försvarsviktiga företag. Svensk teknik är fortfarande långt framme; exempelvis är vi världsledande vad gäller satelliter med mikroteknik. Vi förslår därför att forskningsresurser avsätts för att bedöma möjligheterna att bygga ett säkert myndighetsnät. Detta kan gärna ske i form av ett nordiskt samarbete. har varit först med många saker. Fortsätter vi att tro på svensk ingenjörskonst kan det fortsätta att vara så. 6 (V): Dag Klackenberg tog upp många intressanta saker i sitt anförande, och det är lätt att hålla med. Det gäller både det att vi nu lever i då vi får nästan dagliga rapporter om intrång, misstänkta intrång, sabotage etcetera och att en del av detta kanske maskerar dålig hantering i största allmänhet och taskiga system. Vad jag förstår finns det dock åtminstone ett riktigt belagt fall av skadligt datasabotage. Det är så gammalt som . Det var när och tillsammans planterade Stuxnet, en datamask eller trojansk häst, i urananrikningsanläggningar. På det sättet kunde de fördröja programmet . Jag vet inte hur pass belagt det är med alla dessa nya rykten, men det lär vi få veta. För självklart försiggår detta . Jag tror att det är bra att komma ihåg att det dessutom försiggår från alla möjliga håll, både privata och statliga. Låt mig nu gå över till att tala om betänkandet, herr talman. Utskottet föreslår att lägger skrivelsen om informationssäkerhetsarbetet på nio myndigheter till handlingarna. Utskottet anser dock att främst regeringens arbete med att ta fram en nationell strategi för samhällets informations- och cybersäkerhet i närtid är lovvärt och att det för tillfället därför inte är motiverat att vidta ytterligare åtgärder. om informa-tionssäkerhetsarbete på nio myndigheter Det kan låta rimligt och resonligt, men jag tycker faktiskt inte det på grund av den långa historien. I första hand är det kanske inte denna regering som ska klandras för vad som skett historiskt, utan det har skett oavsett partifärg. granskade –2007 arbetet med informationssäkerhet i statsförvaltningen. Granskningen visade på minst ett tjugotal brister. Det må vara hänt. Men det värsta är att vid en uppföljning 2014 konstaterades det att i praktiken hade ingenting gjorts för att komma till rätta med dessa brister. Detta skedde som beroendet har ökat och antagligen också attackerna, även om det är svårt att säkert veta. konstaterade också i sin rapport att informationssäkerhetsarbetet inte var ändamålsenligt, sett till de hot och risker som finns. I rapporten konstateras att den tekniska utvecklingen har accelererat och att de risker som en organisation ökar och kan förväntas öka framöver. Få myndigheter kan ge heltäckande svar på hur välutvecklat arbetet med informationssäkerhet är. Vi har helt enkelt ingen koll. Den snabba utvecklingen av informationssamhället skapar nya möjligheter och därigenom nya risker och hot. Vi talar om att avskaffa fysiska pengar. Vi ska ha e-hälsa, där allting ligger lagrat på ett teknologiskt sätt som vi inte hade . Detta skapar ökade risker. och jag menar därför att måste ställa distinkta krav på detta område. En tidsplan bör fastställas, och sanktionsmöjligheter för de myndigheter som inte uppfyller godtagbara krav på informationssäkerhet bör övervägas. Jag yrkar således bifall till reservation 3. En tidsplan är nu valhänthet av största vikt. Men hur är det med sanktioner? Ja, förr sa man att den kroppsdel där det gjorde mest ont nog var höger skinka, det vill säga där plånboken satt. Det tror jag fortfarande gäller, även på myndighetsnivå. lär väl av allt att döma säga nej till tanken på sanktioner – den här gången. Men frågan om sanktioner mot myndigheter som inte upprätthåller it-säkerheten kommer att leva vidare ändå. Anledningen är att ska genomföra ett EU-direktiv om it-säkerhet i nätverks- och informationssystem, NIS-direktivet. Det är ett regelverk som kommer att skärpa kraven. Det är samma NIS-direktiv som minister i lyfte fram som ett instrument för att höja säkerhetsnivån på området, såväl i som i andra medlemsstater. Den utredning som just nu arbetar med att gå igenom hur svensk lag ska leva upp till EU-direktivets krav analyserar bland annat hur sanktioner ska användas och om de också ska kunna riktas mot offentliga aktörer. Enligt , chef för verksamheten för cybersäkerhet och skydd av samhällsviktig verksamhet vid MSB, är frågan uppe på bordet. Den är inte helt lätt, men inom ramen för EU-direktivet tittar man på frågeställningen. Det hör väl inte till vanligheten att jag står här och hyllar EU-direktiv, men även en blind höna kan hitta ett och annat korn, som det brukar heta. om informa-tionssäkerhetsarbete på nio myndigheter Det är med andra ord dags att sätta fart efter alla dessa år då nästan ingenting har hänt när riskerna, hoten och användningen har ökat. För har säkerheten inte direkt utvecklats med samma hastighet som de digitala signalerna som rusar fram i fiberkablarna. Det har snarare utvecklats lika långsamt som när man fick varna sin omgivning med hjälp av vårdkasar på klipporna. 7 (KD): Vi debatterar om informationssäkerhetsarbete på nio myndigheter. Låt mig innan jag går vidare yrka bifall till reservation i detta betänkande, reservation 4. har stora utmaningar när det gäller försvaret. Det gäller det militära försvaret, vilket vi alltför snabbt lade ned. Det går väldigt lätt att lägga ned, men det är en annan sak att bygga upp. Men det är inte bara det militära svaret som vi ser utmaningar för, utan också det civila försvaret. Detta har vi anledning att diskutera. har viktig information kommit fram till svenska folket. Vi i kammaren har också hört FRA berätta om att utsätts för 10 000 cyberattacker av, märk väl, utländsk makt. Det finns även it-spioner som jobbar heltid med att kunna släcka ned och att göra hundratusentals människor strömlösa. Låt oss, vi som är i kammaren, tänka oss in i vad det skulle få för betydelse i en speciell situation, i ett krisläge, om allt detta hände. Vad skulle hända med vår motståndsförmåga? Det är viktigt att vi ser detta – militära hot är visserligen också jätteviktiga. Vi måste vidta åtgärder. I närtid har vi exemplet från det amerikanska valet, vilket har nämnts här tidigare. Det har belagts med i princip 100 procents säkerhet att agerade och jobbade med att påverka valet. Hur mycket det påverkade vet man dock inte. I kom det en rapport om att de är näst intill övertygade om att har gjort attacker som har fått stora konsekvenser för bland annat försvarsmakten. Vi kan inte sticka huvudet i sanden, utan vi måste agera. Det är flera tidigare talare som har redogjort för den här rapporten. Av den framgår bland annat att det gjordes en rapport som inte var positiv. Det vidtogs en del åtgärder. Det tråkiga nu är att problemen finns kvar. Det har inte hänt någonting. Här får alltså regeringen underkänt för sin hantering. De myndigheter det är fråga om är sådana som har samhällsviktig verksamhet, hanterar mycket pengar, är starkt it-beroende och hanterar skyddsvärd information. Det här är alltså inga småsaker. Man kommer också fram till att det inte är effektivt. Det kostar väldigt mycket skattepengar. Det är olika nivåer, och det finns ingen grundläggande nivå. Det här drabbar säkerheten och gör att blir mer utsatt. Vad är det då för myndigheter som man har tittat på? Jo, det är Arbetsförmedlingen, , , , och flera andra. I varje exempel visar det sig att det inte fungerar bra. Det finns en massa brister som man lyfter fram. MSB bistår med vägledning, men man lider en enorm brist på operativt bistånd, någonting som MSB inte erbjuder. Man saknar det operativa stödet, det vill säga det viktigaste: hur man gör det. Man är då hänvisad till att ha egna it-avdelningar, och i de flesta fall är det ju som vi vet it-konsulter som hittar på olika system. om informa-tionssäkerhetsarbete på nio myndigheter Det landar i är att man borde inrätta en central funktion som skulle kunna få den här uppgiften. Det här är ganska intressant för vidkommande, i och med att vi har varit väldigt tydliga med att , i likhet med en lång rad andra länder, skulle behöva ha en central myndighet som har ansvaret. är det uppdelat på en rad olika myndigheter, och mångas ansvar är ingens ansvar, som vi allihop vet. Därför är det så viktigt att någon får ansvaret. Ska man då inrätta en ny cybersäkerhetsmyndighet, eller ska man lägga ansvaret på en befintlig myndighet? Det kan man titta på, men det viktigaste är att vi gör någonting. kommer inte det här att ändra på allting, men det kommer att vara en del och någonting som efterfrågas. hoppas jag att regeringen tar till sig det här och tillskapar en central myndighet som kan ta ansvaret och se till att vi stärker skyddet mot de olika cyberangreppen. Om det värsta skulle hända är det här nämligen i princip att likställa med ett konventionellt angrepp. Det är därför det är så viktigt att vi vidtar de här åtgärderna. Med dessa ord, herr talman, yrkar jag än en gång bifall till reservation. 8 (S): Att granskar och underkänner it-säkerhetsarbetet vid våra myndigheter har blivit något av en tråkig följetong för oss i . Det här är som återkommer med en ganska nedslående rapport om it-säkerhetsarbetet vid myndigheterna. I den senaste granskningen, som vi diskuterar , framkommer nya brister. Jag ska inte gå igenom allihop. En del av mina kollegor i utskottet har nämnt några punkter. Det som jag tycker är direkt anmärkningsvärt är påstående att it-säkerhetsfunktionernas krav tenderar att betraktas som hinder, som någonting som ligger i vägen för den övriga verksamheten på myndigheterna. Då har man ett allvarligt problem. Inom det privata näringslivet kan vi ofta höra hur man framhåller att it-säkerhetsfrågorna behöver betraktas som strategiska frågor som ska ligga hos vd:n, hos företagsledningen och ytterst hos styrelsen. På samma sätt kan man tolka slutsatser och rekommendationer på det här området; från regeringen via myndighetsledningar ned till enskilda medarbetare behövs ett systematiskt och kontinuerligt säkerhetsarbete. Det behöver inte nödvändigtvis vara de tekniska systemen som brister. Det finns inom myndighetsvärlden, särskilt hos de mer skyddsvärda myndigheterna, avancerade tekniska system. Men de här systemen blir inte så mycket värda om det brister i andra delar. Det borde, herr talman, vid det här laget vara uppenbart för alla vilka potentiella risker som finns med att slarva med it-säkerhetsarbetet. Samhället är helt beroende av fungerande it-system inom kollektivtrafik, energisystem, finansiella system, trafikledning och så vidare. När de här systemen fungerar tar vi dem ofta för givna. När de av olika anledningar ligger nere blir det moderna samhällets sårbarhet snabbt väldigt tydlig. om informa-tionssäkerhetsarbete på nio myndigheter Med det liggande försvarsbeslutet anges att en totalförsvarsplanering ska återupptas. En reflektion man kan göra är att samhällets beroende av informationsteknik har ökat väldigt kraftigt under den 15-åriga pausen i totalförsvarsplaneringen. Man skulle nästan kunna kalla det för ett olyckligt sammanträffande, för totalförsvar handlar inte bara om skalskydd, infrastruktur och sådana saker, utan också om ”mindset”, det vill säga om hur vi tänker kring de här sakerna, exempelvis hur vi hanterar känslig information. Av de tre myndigheter som har djupgranskats av är två, och , så kallade bevakningsansvariga myndigheter, vilket innebär att de har ett särskilt ansvar vid höjd beredskap. Vad görs då, och vad har gjorts från regeringens sida? har vi nu en obligatorisk it-incidentrapportering på plats. Rapporteringsskyldigheten avser incidenter som allvarligt kan påverka säkerheten i informationshanteringen. Incidentrapporteringen möjliggör en förbättrad lägesbild. Den skapar förutsättningar för att vidta rätt skyddsåtgärder, och den utgör en grund för att utveckla förmågan att förebygga, upptäcka och hantera incidenter. I syfte att vidare stärka informationssäkerheten kommer MSB att få i uppdrag att tillhandahålla sensorsystem som gör det möjligt att upptäcka it-angrepp, ungefär på samma vis som FRA har tillhandahållit den typen av tjänster. arbetar, som tidigare nämnts, en statlig utredare med att ta fram åtgärder för hur ska implementera NIS-direktivet. Där är inriktningen att MSB ska få en samordnande roll, som andra myndigheters ansvar för tillsyn inom sina sektorer ska fortsätta att gälla. Målet är att samhällsviktiga aktörer, såsom banker och sjukvård, också ska rapportera in allvarliga it-incidenter. Slutligen bör regeringens arbete med en nationell informationssäkerhetsstrategi nämnas i sammanhanget. Strategin, som väntas bli presenterad , kommer att sätta upp tydliga mål och en färdriktning för det samlade informationssäkerhetsarbetet. 9 (MP): Digitaliseringen är en av vår tids stora globala trender. blev persondatorn populär. surfar många av oss i stället i mobilen. Framöver kommer vi att se en digitalisering av allt fler apparater, från bilindustrin, med självkörande bilar, till offentlig sektor, där olika program och tekniker kan hjälpa oss att hålla nere vårdkostnader och ge bättre sjukvård. Men när vi blir alltmer beroende av tekniken blir vi också alltmer sårbara. Teknik kan alltid användas i både goda och onda syften. Dålig it-säkerhet utgör därför ett hot, dels mot den personliga integriteten, dels – i det större perspektivet – mot vår nationella säkerhet. Dessa hot kan naturligtvis illustreras på olika sätt. Som tidigare nämnts kan det handla om att man vill försöka slå ut samhällsviktiga institutioner eller strukturer som elsäkerhetssystem. Det kan handla om att vilja påverka olika demokratiska processer. Det kan också naturligtvis handla om att få tag på känslig information om myndigheter eller personer, som i ett senare skede kan användas för att påverka totalförsvarsförmågan, om motståndaren skulle vilja det. om informa-tionssäkerhetsarbete på nio myndigheter , som är ämnet för det betänkande vi diskuterar här , visar tydligt att det finns mycket som behöver göras för att stärka it-säkerheten på våra myndigheter. Rapporten konstaterar att det finns allvarliga brister och att arbetet dessutom har gått långsamt framåt. Det är något vi måste ta på allvar. Kunskap kring säkerhetsfrågorna måste finnas på alla de myndigheter som hanterar känslig infrastruktur eller information. Hos MSB finns stor kunskap, men det räcker inte. Fler myndigheter behöver liknande kompetens. Att höja kompetensen hos enskilda personer som jobbar med säkerhetsfrågor på myndigheter är viktigt, men lika viktigt är att det allmänna säkerhetsmedvetandet bland övrig personal också finns där. Säkerhet kan inte vara valfritt eller något för eldsjälar utan måste ha en bred förankring i organisationen. Regeringen har aviserat att man kommer att ta fram en nationell strategi för samhälls-, informations- och it-säkerhet. Det är ett viktigt steg på vägen mot ett mer sammanhållet arbete kring frågorna. En viktig målgrupp för strategin är just myndigheterna. Regeringen har också tillsatt en utredning som ska lämna förslag till hur EU-direktivet om hög gemensam nivå av säkerhet i nätverks- och informationssystem, alltså NIS-direktivet, ska genomföras i svensk rätt. Vi lever i där varnar för att vi hade över 100 000 aktiviteter från statliga utländska angripare mot svenska mål . Vårt samhälle blir alltmer sårbart för cyberpåverkan. Så kallad hybridkrigföring, där olika verktyg, bland annat digitala, används i samklang för att påverka en motståndares handlingsfrihet, blir alltmer omtalat i de säkerhetspolitiska sammanhangen. Vi har alla att vinna på att arbetet med cybersäkerhet stärks. Den nationella strategin är ett bra steg i den riktningen. Därmed yrkar jag bifall till utskottets förslag. 10 (C): Herr talman och ärade ledamöter! , såväl som flera rapporter från Myndigheten för samhällsskydd och beredskap, inklusive den nationella risk- och förmågebedömningen, visar att samhällets arbete med informations- och cybersäkerhet behöver utvecklas ordentligt. Problembilden som beskrivs i går att applicera på många andra aktörer i samhället, från enskilda kommuner till länsstyrelser och andra centrala myndigheter – alla som bedriver någon form av samhällsviktig verksamhet. Det är allvarligt att bristerna är så stora. Vi har tagit del av många exempel, men när förståelsen för informationssäkerheten inte är tillräcklig, prioriteringarna ser olika ut och frågan inte lyfts i förhållande till kärnverksamhet finns mycket att göra. Detta fokus måste gälla hela verksamheten och genomsyra allt arbete. Man måste också hitta synergier mellan olika myndigheter så att de kan lära av varandra och utveckla gemensamma arbetssätt. Informationssäkerhet har mer och mer blivit en fråga om att skydda hela samhället och får en växande säkerhetspolitisk dimension, något som aktualiserats inte minst i samband med det amerikanska presidentvalet, där databaser utsattes för intrång. Vi ser också att samspelet mellan traditionell och elektronisk brottslighet ökar och blir alltmer komplext. om informa-tionssäkerhetsarbete på nio myndigheter Frågor kring privatliv och integritet aktualiseras när information om oss själva finns i allt fler system – system som kanske inte alltid, vilket bland annat visar, har ett fullgott skydd. Kort sagt, informationssäkerhetsarbete är viktigt och måste tas på största allvar. Det gäller de myndigheter som regeringen styr över, men det gäller också många andra aktörer som bedriver samhällsviktig verksamhet. Frågan om att skapa en god informationssäkerhet på samhällsnivå är således större och kräver vårt starkaste politiska engagemang. Vi lever i en säkerhetspolitiskt osäker tid, och läget försämras successivt. Hybridhot, ökad underrättelseverksamhet, påverkansoperationer, informationskrigföring och it-attacker är exempel som visar hur sårbara vi är i dagens samhälle och att samhället successivt utsätts för mer press. Svenska myndigheter har börjat återuppta totalförsvarsplaneringen. Detta ställer i sin tur än större krav på att information måste kunna hanteras säkert och skyddat. Det gäller såväl elektronisk som fysisk information. All information kanske inte ens kan sparas elektroniskt eller förvaras i vanliga lokaler. De flesta aktörer sitter i vanliga arbetsmiljöer, och få har tillgång till avlyssningssäkra lokaler. Detta kan hämma och försvåra totalförsvarsplaneringens genomförande. Inte minst måste stora åtgärder vidtas för att garantera att lämpliga miljöer finns, och det kommer att handla om ytterligare pengar och investeringar. Detta riskerar att sätta enskilda medarbetare i en svår situation och att göra totalförsvarsarbetet mer svårarbetat. Det är olyckligt i när arbetet med informationssäkerhet måste intensifieras. Hur regeringen avser att säkerställa att myndigheter och övriga ansvariga för totalförsvarsplaneringen ges rätt förutsättningar att bedriva en trovärdig totalförsvarsplanering på ett säkert sätt får vi återkomma till. Regeringen har utlovat en nationell strategi för cyber- och informationssäkerhet, och det är viktigt att följa upp hur totalförsvarsbehoven kommer att beaktas i den strategin. Det kommer att bli viktigt att följa upp hur regeringens strategi blir i praktiken, vilka åtgärder som konkret kommer att vidtas och vilka resurser som prioriteras eller tilldelas för att utveckla förmågan och stärka skyddet. Detta är en realitet , och området kräver starkt politiskt engagemang, politisk uppföljning och politisk styrning. Då revisorerna konstaterar att den politiska styrningen borde ha varit tydligare i frågan är ansvaret och uppgiften att nu på kort sikt säkerställa att erforderliga åtgärder vidtas. Min oro är dock att detta blir ytterligare en strategi från regeringens sida med lite vägledning i ”hur”, jämfört med vad som kan beskrivas. Vi kan bland annat titta på den nationella säkerhetsstrategin, som i princip mer liknar en risklista än en konkret åtgärdsstrategi. 11 (SD): Man får göra om lite grann för att inte upprepa vad alla andra har sagt. Jag har några saker som jag tycker bekräftar vår inställning. Vi behöver en civilförsvarsmyndighet, herr talman. Om man läser framgår det ganska tydligt att myndigheterna sällan sammanställer sina sårbarhets- och riskanalyser. Det har också påpekats att det behövs samordning, som ni har hört mig säga härifrån. Jag har sagt det, herr talman, och jag kommer att återupprepa det: Utan en bra samordning av verksamheten kommer ingenting att fungera på ett bra sätt. om informa-tionssäkerhetsarbete på nio myndigheter Överallt läser man om samverkan, samverkan och samverkan. Uppgiften att samordna verksamheten ligger inte på MSB. Vi behöver en myndighet som ansvarar för detta. Det är därför vi har förordat en civilförsvarsmyndighet. Den ska inte ha samma uppgifter som den hade innan den lades ned, men i många stycken behövs en återgång till en myndighet som samordnar och så vidare. Det handlar också om att hantera dessa frågor. Det var det ena jag ville säga. Det andra är att man talar om sanktioner mot myndigheterna. Jag satt och funderade på att man kanske borde titta på ledningen och ledarskapet i de statliga myndigheterna. Ska vi acceptera, herr talman, att man år får grav kritik inom olika områden och att det sedan vid en ny revision uppdagas grava fel på andra delar? Hur länge ska man kunna hålla på på detta vis? Jag funderade på hur det är i en fotbollsmatch. När man spelar och säger något oförskämt till domaren får man en tillsägelse. Sedan går det till, och man yttrar sig lite olämpligt. Då blir man kallad till domaren och får gult kort. Händelsen i sig leder till en tillsägelse, men upprepningen ger gult kort. Den tredje gången tar domaren upp ett rött kort. Händelsen i sig leder till en tillsägelse, men upprepningen leder till avsked – ut från planen! Man måste också fundera på om detta kan vara ett sätt i stället för andra sanktioner i form av böter eller någonting annat. Om upprepningarna i de statliga myndigheterna med sådana här viktiga funktioner enligt är så frekventa att läget är så undermåligt undrar jag om vi ska tillåta det nuvarande ledarskapet att fortsätta. Vi har inte lagt fram något förslag om detta, men det är funderingar som vi kommer att återkomma till. När man ser tillbaka på vad skriver om olika myndigheter ser man att även denna parameter måste finnas med. I detta anförande instämde (SD). Överläggningen var härmed avslutad. (Beslut fattades under § 17.) § 11 Stärkt meddelarskydd för privatanställda i offentligt finansierad verksamhet betänkande 2016/17:KU7 Stärkt meddelarskydd för privatanställda i offentligt finansierad verksamhet (prop. 2016/17:31) 12 (S): Stärkt meddelarskydd för privatanställda i offentligt finansierad verksamhet Jag vill börja med att yrka bifall till utskottets förslag i betänkande 7, Stärkt meddelarskydd för privatanställda i offentligt finansierad verksamhet. Utskottet ställer sig bakom de skäl för den föreslagna lagen som anförs i propositionen och tillstyrker lagen med två justeringar. För att arbetsgivare och arbetsmarknadens parter ska ges tid att anpassa sig till den nya lagen om meddelarskydd föreslår utskottet att lagen ska träda i kraft . Utskottet föreslår även en justering med anledning av att den nya hälso- och sjukvårdslagen föreslås träda i kraft . Den nya lagen innebär i huvudsak att anställda, uppdragstagare och andra som på liknande grund deltar i yrkesmässigt bedriven enskild verksamhet inom skola, vård och omsorg som till någon del är offentligt finansierad ska ha motsvarande rätt som offentligt anställda att lämna uppgifter om verksamheten för publicering i medier som omfattas av tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. Den som bedriver verksamheten förbjuds att efterforska vem som har utnyttjat sin meddelarfrihet eller medverkat till en grundlagsskyddad framställning och får inte heller utsätta denna person för negativa åtgärder på grund av detta.