sou · H5B336 · 2017-05-02 00:00:00 — CSIRT-enheten eller den behöriga myndigheten ska, mot bakgrund av informationen i rapporten från leverantören av den samhällsvik- tiga tjänsten, informera den eller de andra berörda medlemsstaterna, om incidenten har en betydande inverkan på kontinuiteten i samhälls- viktiga tjänster i den medlemsstaten. På begäran av CSIRT-enheten eller den behöriga myndigheten ska den gemensamma kontaktpunkt- en vidarebefordra rapporterna till gemensamma kontaktpunkter i andra medlemsstater som påverkats av incidenten (artikel 14.5). När det gäller incidenter som rapporterats av leverantörer av digi- tala tjänster ska, om så är lämpligt, och särskilt om incidenten be- rör två eller flera medlemsstater, CSIRT-enheten eller den behöriga myndigheten informera andra medlemsstater som har påverkats (artikel 16.6). Vid sådan rapportering ska CSIRT-enheten eller den behöriga myndigheten och den nationella kontaktpunkten, i enlighet med unionsrätten eller med nationell lagstiftning som är förenlig med unionsrätten, bevara nämnda leverantörs säkerhetsintressen och kom- mersiella intressen samt konfidentialiteten hos informationen i leve- rantörens rapport (artiklarna 14.5 och 16.6). När det gäller uppgifter om produkters sårbara aspekter ska dessa hållas strikt konfidentiella till dess lämpliga säkerhetslösningar har släppts (skäl 59), se kapitel 12. Utredningen bedömer att CSIRT-enheten ska ha uppgiften att informera andra medlemsstater i samband med rapporterade inci- denter. När omständigheterna tillåter ska den behöriga myndigheten eller CSIRT-enheten förse den rapporterande leverantören av samhälls- viktiga tjänster med relevant information om uppföljningen av rap- porten, såsom information som skulle kunna bidra till effektiv hantering av incidenten (artikel 14.5). En väl fungerande incident- hantering är en viktig del i det förebyggande informationssäkerhets- arbetet och skapar förutsättningar för att anpassa säkerhetsåtgärder allteftersom hot och risker förändras, se avsnitt 7.3.1. Utredningen bedömer att uppgiften att förse leverantören med information ska anförtros CSIRT-enheten. Nationell kontaktpunkt, CSIRT-enhet och samarbetsgrupp Efter samråd med den rapporterande leverantören av samhällsvik- tiga tjänster får den behöriga myndigheten eller CSIRT-enheten in- formera allmänheten om enskilda incidenter, om allmänheten be- höver känna till dem för att det ska vara möjligt att förhindra en incident eller åtgärda en pågående incident (artikel 14.6). Efter samråd med den berörda leverantören av digitala tjänster får den behöriga myndigheten eller CSIRT-enheten och, om så är lämpligt, CSIRT-enheter eller behöriga myndigheter i andra berörda medlemsstater, informera allmänheten om enskilda incidenter eller kräva att leverantören av digitala tjänster gör det, om allmänheten behöver känna till dem för att det ska vara möjligt att förhindra en incident eller åtgärda en pågående incident eller om incidentens av- slöjande på annat sätt omfattas av allmänintresset (artikel 16.7). Bestämmelsen innebär bl.a. att en leverantör av digitala tjänster kan förpliktas att uppfylla denna informationsskyldighet. Utredningen bedömer att uppgiften att lämna information till allmänheten bör åligga CSIRT-enheten. Utredningen ser i och för sig inget hinder mot att CSIRT-enheten eller en behörig myndighet i en annan medlemsstat informerar all- mänheten i om inträffade incidenter så länge det inte är fråga om uppgifter som omfattas av sekretess. Situationen är en annan i det fall CSIRT-enheten eller en behörig myndighet i en annan med- lemsstat kräver att en leverantör av digitala tjänster under svensk jurisdiktion själv lämnar information enligt bestämmelsen. I dessa fall bör kravet mot leverantören framställas av den svenska CSIRT- enheten efter samråd inom eller med den behöriga myndigheten i den andra medlemsstaten. En bestämmelse om att CSIRT-enheten får förplikta en leveran- tör av digitala tjänster att informera allmänheten om enskilda in- cidenter, om allmänheten behöver känna till dem för att det ska vara möjlighet att förhindra en incident eller åtgärda en pågående incident eller om incidentens avslöjande på annat sätt omfattas av allmän- intresset, bör införas i den nya lagen. Vid offentliggörande av incidenter som rapporteras till CSIRT- enheten bör allmänhetens intresse av att få information om hot vägas mot eventuell renomméskada och kommersiell skada för de leve- Nationell kontaktpunkt, CSIRT-enhet och samarbetsgrupp rantörer av samhällsviktiga tjänster och de leverantörer av digitala tjänster som rapporterar incidenter (skäl 59). CSIRT-enheter som deltar i uppmanas att på frivillig grund tillhandahålla den information som ska offentliggöras på den webbplats som föreslås upprätta, utan att inkludera konfidentiell eller känslig information (skäl 40). Förslag: CSIRT-enheten ska skyndsamt uppmana leverantörer av samhällsviktiga tjänster och digitala tjänster att anmäla inciden- ter som har sin grund i en brottslig gärning till polisen. Incidenter kan vara en följd av brottslig verksamhet, vars förebyg- gande, utredning och lagföring stöds av samordning och samarbete mellan leverantörer av samhällsviktiga tjänster, leverantörer av digitala tjänster, behöriga myndigheter och rättsvårdande myndigheter. Om en incident misstänks ha samband med allvarlig brottslig verksam- het enligt unionsrätt eller nationell rätt, bör medlemsstaterna upp- muntra leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster att rapportera incidenter som misstänks vara av all- varlig brottslig art till de relevanta rättsvårdande myndigheterna. När så är lämpligt är det önskvärt att samordningen mellan behöriga myndigheter och rättsvårdande myndigheter i olika medlemsstater underlättas av Europeiska it-brottscentrumet (EC3) och . (skäl 62) När det gäller statliga myndigheters incidentrapportering ska MSB, om det kan antas att incidenten har sin grund i en brottslig gärning, skyndsamt uppmana den rapporterande myndigheten att anmäla incidenten till polisen (20 § fjärde stycket KBF). Frågan om hur polisens tillgång till information om vissa it-inci- denter ska öka har behandlats i departementspromemorian Polisens tillgång till information om vissa it-incidenter (Ds 2016:22). I pro- memorian förslås när det gäller statliga myndigheters incidentrappor- tering en skyldighet för MSB att lämna uppgift om sådana incidenter som rapporterats enligt 20 § första stycket KBF till Polismyndig- heten om det finns anledning att anta att incidenten har sin grund i en brottslig gärning. Alternativt framhålls en möjlighet att regeringen Nationell kontaktpunkt, CSIRT-enhet och samarbetsgrupp genom myndighetsstyrning säkerställer att ett effektivt och ända- målsenligt informationssamarbete etableras mellan myndigheterna. Det har kommit till utredningens kännedom att MSB och Polis- myndigheten nu har träffat en överenskommelse om informations- utbytet. I departementspromemorian görs också bedömningen att varken bestämmelser om sekretess eller bestämmelser om behandling av per- sonuppgifter normalt utgör ett hinder mot att MSB lämnar infor- mation om rapporterade it-angrepp till . Vidare framgår att bestämmelserna om sekretess i de brottsbekämpande myndigheternas verksamhet och regelverket i övrigt ger myndigheter- na goda förutsättningar att skydda skyddsvärda uppgifter om it- incidenter under utredningen och i domstol vid ett eventuellt åtal. Utredningens bedömning är att MSB, som föreslås vara CSIRT- enhet, skyndsamt ska uppmana leverantörer av samhällsviktiga tjänster och digitala tjänster att anmäla incidenten som har sin grund i en brottslig gärning till polisen. I kravet på att uppmana leverantören ingår, enligt utredningens uppfattning, att i samtliga fall där leveran- tören inte själv anmält incidenten till polisen kontakta leverantören och undersöka orsaken till att incidenten inte polisanmälts. När det gäller polisens tillgång till information om incidenter som har sin grund i en brottslig gärning bör informationssamarbetet mellan MSB och hanteras på samma sätt som in- formation om incidenter som rapporteras av statliga myndigheter. Utredningen anser att det är viktigt att alla it-incidenter som kan antas utgöra ett brott anmäls och utreds samt att individer som be- går denna typ av brott lagförs. I samband med tillkomsten av den bestämmelse som reglerar förutsättningarna för myndigheter att utan hinder av sekretess lämna information om misstänkta brott till brotts- utredande myndigheter, 10 kap. 24 § OSL, uttalas i förarbetena följande (prop. 1983/84:142 s. 19 och 21). För att ett rättssamhälle skall fungera på ett tillfredsställande sätt fordras att samhället ingriper mot brott. Uppgiften att bekämpa brottsligheten ligger i första hand på polisen och åklagarna. Brottsbekämpningen bygger […] inte enbart på polisens övervakande och brottsspanande verksamhet. En solidarisk medverkan från allmän- heten utgör en förutsättning för att brottsligheten skall kunna be- kämpas effektivt. Även insatser från andra myndigheter är betydelse- Nationell kontaktpunkt, CSIRT-enhet och samarbetsgrupp Andra myndigheter har i många fall en rätt och ibland t.o.m. en skyldighet att lämna ut uppgifter om brott till polis eller åklagare. Detta gäller inte sällan även om uppgifterna i övrigt är skyddade av sekretess. Myndigheterna kan delta i kampen mot brottsligheten på många olika sätt. En betydelsefull form av medverkan består i att lämna uppgifter om brott till de direkt brottsbekämpande myndigheterna. Att it-brott inte beivras kan leda till stora kostnader och konsekvenser för samhället. Regeringen bör därför noga följa upp i vilken utsträckning leverantörerna själva anmäler incidenter som kan antas utgöra brott till polisen samt utvärdera hur informationsut- bytet mellan MSB och påverkar brottsbekämp- ningen när det gäller incidenter som rapporterats med stöd av den nya lagen. Bedömning: I MSB:s roll som CSIRT-enhet ingår att delta i . MSB ska samarbeta i nätverket på ett ändamålsenligt, effektivt och säkert sätt. ska bidra till utveckling av förtroende och tillit mellan medlemsstaterna och främja ett snabbt och effektivt opera- tivt samarbete (artikel 12.1). ska bestå av företrädare för medlemsstaternas CSIRT-enheter och CERT-EU. Kommissonen ska delta i CSIRT- nätverket som observatör. (Europeiska unionens byrå för nät- och informationssäkerhet) ska tillhandahålla sekretariat och aktivt stödja samarbetet mellan CSIRT-enheterna. (artikel 12.2) ska ha de uppgifter som följer av artikel 12.3–5 i NIS-direktivet. ska informera samarbetsgruppen om sin verk- samhet (artikel ). Med avseende på den översyn som kommis- sionen ska göra ska , och därefter med 1,5 års mellanrum, utarbeta en rapport med en bedöm- ning av erfarenheterna av det operativa samarbetet enligt artikel 12, Nationell kontaktpunkt, CSIRT-enhet och samarbetsgrupp inklusive slutsatser och rekommendationer. Rapporten ska även överlämnas till samarbetsgruppen. Information om incidenter blir allt mer värdefull för allmänheten och företag, särskilt för små och medelstora företag. I vissa fall till- handahålls sådan information redan via webbplatser på nationell nivå, på ett specifikt lands språk, och är främst inriktad på incidenter och händelser med en nationell dimension. Eftersom företag i allt större utsträckning bedriver gränsöverskridande verksamhet och medborgare använder onlinetjänster, bör information om incidenter tillhanda- hållas i samlad form på unionsnivå. sekretariat uppmuntras att upprätta en webbplats eller upplåta utrymme åt en särskild sida på en befintlig webbplats, där allmän information om allvarliga incidenter i unionen görs tillgänglig för allmänheten. Infor- mationen ska vara särskilt inriktad på företags intressen och behov. (skäl 40) Övningar där incidentscenarier simuleras i realtid är viktiga för att testa medlemsstaternas beredskap och samarbete när det gäller säkerhet i nätverk informationssystem. Övningsserien CyberEurope, som samordnas av med deltagande av medlemsstaterna är ett användbart verktyg för att testa och utarbeta rekommendationer för hur incidenthanteringen på unionsnivå bör förbättras . Med tanke på att medlemsstaterna inte har någon skyldighet att vare sig planera eller delta i övningar, bör inrättandet av enligt NIS-direktivet göra det möjligt för med- lemsstaterna att delta i övningar på grundval av noggrann planering och strategiska val. Den samarbetsgrupp som inrättas enligt NIS- direktivet bör diskutera de strategiska besluten om övningar, särskilt men inte enbart, när det gäller övningarnas regelbundenhet och ut- formningen av scenarierna. MSB representerar i samarbets- gruppen. bör i enlighet med sitt mandat stödja anordnandet och genomförandet av unionsomfattande övningar genom att till- handahålla expertis och rådgivning till samarbetsgruppen och CSIRT- nätverket (skäl 42). I MSB:s roll som CSIRT-enhet ingår att delta i det som inrättats. MSB ska samarbeta i nätverket på ett ändamålsenligt, effektivt och säkert sätt (artikel 9.2). Nationell kontaktpunkt, CSIRT-enhet och samarbetsgrupp 11.2.6Samarbetet mellan ansvariga myndigheter Förslag: CSIRT-enheten ska skyndsamt överlämna incident- rapporterna till den tillsynsmyndighet som utövar tillsyn över den rapporterande leverantören. , den nationella kontaktpunkten och CSIRT- enheten ska samarbeta när det gäller fullgörandet av NIS-direktivet (artikel 10.1). CSIRT-enheten ska informera den nationella kontaktpunkten om de incidentrapporter som lämnats in enligt NIS-direktivet samt de övriga uppgifter som den nationella kontaktpunkten behöver för sin rapportering till samarbetsgruppen. (artikel 10.3). Detta ankom- mer på MSB i rollen som både nationell kontaktpunkt och CSIRT- enhet. Incidentrapporteringen är ett viktigt underlag för de tillsynsmyn- digheter som övervakar tillämpningen av den nya lagen. Det möjlig- gör både utövandet av en effektiv tillsyn och identifiering av brister som behöver åtgärdas genom t.ex. förelägganden och nya före- skrifter. Mot bakgrund av att incidentrapporteringen ska göras till CSIRT- enheten behövs det en bestämmelse som reglerar skyldigheten för CSIRT-enheten att överlämna relevanta incidentraporter till respek- tive tillsynsmyndighet. När det är möjligt ska CSIRT-enheten också förse den rapporerande leverantören med annan relevant information. och rådet inrättar genom NIS-direktivet en sam- arbetsgrupp i syfte att stödja och underlätta strategiskt samarbete och utbyte av information mellan medlemsstaterna och att utveckla förtroende och tillit mellan dem i syfte att uppnå en hög gemensam nivå på säkerheten i nätverk informationssystem i unionen (artik- larna 1.2 b och 11.1). I kommittédirektiven anges att Myndigheten för samhällsskydd och beredskap (MSB) ska delta i den samarbetsgrupp som skapats. Nationell kontaktpunkt, CSIRT-enhet och samarbetsgrupp 11.3.2Företrädare för i samarbetsgruppen Myndigheten för samhällsskydd och beredskap ska företräda i samarbetsgruppen. Mot bakgrund av det uppdrag som MSB har på informations- säkerhetsområdet samt den kompetens som finns inom myndighet ska MSB företräda i samarbetsgruppen. Myndigheten för samhällsskydd och beredskap ska fullgöra de uppgifter som ankommer på den som företräder i samarbetsgruppen enligt NIS-direktivet samt de uppgifter som regeringen bestämmer. Samarbetsgruppen ska ha de uppgifter som följer av artikel 11.3 i NIS-direktivet och ska utföra sina uppgifter på grundval av tvååriga arbetsprogram (artikel 11.1 och 11.3 andra stycket). Arbetspro- grammet med åtgärder som ska vidtas för att genomföra gruppens mål och uppgifter ska överensstämma med målen för NIS-direktivet. Arbetsprogrammen utarbetas av samarbetsgruppen och det första ska vara klart . Samarbetsgruppen består av företrädare för medlemsstaterna, kommissionen och (Europeiska unionens byrå för nät- och in- formationssäkerhet). När det är lämpligt får samarbetsgruppen bjuda in företrädare för de berörda parterna att delta i arbetet. Kommis- sionen tillhandhåller sekretariat. (artikel 11.2) Förfarandet för samarbetsgruppens verksamhet framgår av genomförandeakter som ska antas av kommissionen (artikel 11.5). Samarbetsgruppen ska också hjälpa medlemsstaterna att tillämpa ett enhetligt tillvägagångssätt i förfarandet för identifieringen av leverantörer av samhällsviktiga tjänster (artiklarna 5.6 och 11.3 l). För att samarbetsgruppen ska få information om incidenter ska den natio- nella kontaktpunkten lämna en sammanfattande rapport till sam- arbetsgruppen, se avsnitt 11.1.4. ska informera samarbetsgruppen om sin verksamhet samt delge rapport om erfaren- heter och samarbetet i , se avsnitt 11.2.5. Nationell kontaktpunkt, CSIRT-enhet och samarbetsgrupp Eftersom de flesta nätverk och informationssystem drivs privat är det mycket viktigt med samarbete mellan offentlig och privat sektor. Leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster bör uppmuntras att upprätta egna informella sam- arbetsmekanismer för att säkerställa säkerheten i nätverk informa- tionssystem. Samarbetsgruppen bör vid behov kunna bjuda in berörda parter till diskussionerna. För att effektivt uppmuntra utbyte av in- formation och bästa praxis är det mycket viktigt att säkerställa att samarbetet inte leder till nackdelar för de leverantörer av samhälls- viktiga tjänster och leverantörer av digitala tjänster som deltar i så- dana utbyten. (skäl 35) För att bygga upp kapacitet och kunskap bland medlemsstaterna bör samarbetsgruppen också fungera som ett instrument för utbyte av bästa praxis, diskussioner om medlemsstaternas kapacitet och beredskap och, på frivillig grund, bistå medlemmarna vid utvärde- ring av nationella strategier för säkerhet i nätverk informations- system, vid kapacitetsuppbyggnad och utvärderingar av övningar som avser säkerheten i nätverk informationssystem. (skäl 36) Samarbetsgruppens och respektive uppgifter är beroende av och kompletterar varandra. bör generellt bistå samarbets- gruppen i utförandet av dess uppgifter i enlighet med mål en- ligt och rådets förordning (EU) nr 526/20133, nämligen att bistå unionens institutioner, organ och byråer samt medlemsstaterna med att genomföra de strategier som krävs för att uppfylla rättsliga och regleringsmässiga krav på säkerhet i nätverk informationssystem i befintliga och framtida unionsrättsakter. bör särskilt tillhandahålla bistånd på de områden som motsvarar dess egna uppgifter enligt förordning (EU) nr 526/2013, nämligen att analysera strategier för säkerhet i nätverk informationssystem, stödja anordnandet och genomförandet av övningar på unionsnivå som avser säkerhet i nätverk informationssystem samt utbyta infor- mation och bästa praxis vad gäller åtgärder för ökad medvetenhet och utbildning. bör också delta i utarbetandet av riktlinjer för sektorspecifika kriterier för fastställande av hur betydande en in- cidents inverkan är. (skäl 38) 3 och rådets förordning (EU) nr 526/2013 av om Europeiska unionens byrå för nät- och informationssäkerhet () och om upphävande av förordning (EG) nr 460/2004. Nationell kontaktpunkt, CSIRT-enhet och samarbetsgrupp I syfte att främja avancerad säkerhet i nätverk informationssystem bör samarbetsgruppen vid behov samarbeta med berörda unions- institutioner, -organ, och -byråer för att utbyta sakkunskap och bästa praxis samt ge råd om säkerhetsaspekter på nätverk informations- system som kan påverka deras arbete, som befintliga arrangemang för utbyte av konfidentiell information respekteras. Vid samarbete med rättsvårdande myndigheter om säkerhetsaspekter på nätverk informationssystem som kan påverka deras arbete bör sam- arbetsgruppen respektera befintliga informationskanaler och etable- rade nätverk. (skäl 39) Övningar där incidentscenarier simuleras i realtid är viktiga för att testa medlemsstaternas beredskap och samarbete när det gäller säkerhet i nätverk informationssystem. Övningsserien CyberEurope, som samordnas av med deltagande av medlemsstaterna är ett användbart verktyg för att testa och utarbeta rekommendationer för hur incidenthanteringen på unionsnivå bör förbättras . Med tanke på att medlemsstaterna inte har någon skyldighet att vare sig planera eller delta i övningar, bör inrättandet av enligt NIS-direktivet göra det möjligt för med- lemsstaterna att delta i övningar på grundval av noggrann planering och strategiska val. Den samarbetsgrupp som inrättas enligt NIS- direktivet bör diskutera de strategiska besluten om övningar, särskilt men inte enbart när det gäller övningarnas regelbundenhet och ut- formningen av scenarierna. bör i enlighet med sitt mandat stödja anordnandet och genomförandet av unionsomfattande övningar genom att tillhandahålla expertis och rådgivning till samarbetsgrupp- en och CSIRT- nätverket. (skäl 42) Mot bakgrund av samarbetsgruppens uppgifter kommer företrädare, , behöva samverka med övriga ansvariga myndig- heter enligt NIS-direktivet och övriga som berörs av NIS-direktivet. Det ankommer på MSB att fullgöra de uppgifter som följer av denna samverkan (artikel 8.5). Utredaren ska ta ställning till om bestämmelserna i offentlighets- och sekretesslagen (2009:400) (OSL) innebär ett tillräckligt skydd för uppgifter som kan komma att rapporteras med anledning av en it-incident eller om nuvarande lagstiftning behöver ändras och vid sådant behov föreslå författningsändringar. Utredaren ska vidare undersöka om det behövs en uppgiftsskyl- dighet för att uppgifter som följer av direktivet ska kunna delas mellan de svenska aktörer som träffas av direktivet och Myndigheten för samhällsskydd och beredskap (MSB) och vid behov föreslå författ- ningsändringar. Utredaren ska också ta ställning till behovet av för- fattningsändringar för att möjliggöra utbyte av andra uppgifter än sådana som rör rikets säkerhet med andra medlemsstater och kom- missionen och vid behov föreslå sådana ändringar. De bestämmelser som av intresse är bestämmelser om sekretess till skydd främst för intresset av att förebygga eller beivra brott (18 kap. OSL), sekretess till skydd för det allmännas ekonomiska intresse (19 kap. OSL), sekretess till skydd för enskild i verksamhet som avser tillsyn m.m. i fråga om näringslivet (30 kap. OSL), bestämmelser om utlämnande (8 kap. OSL), sekretess till skydd för rikets säkerhet eller dess förhållande till andra stater eller mellanfolkliga organisationer (15 kap. OSL) och sekretessbrytande bestämmelser (10 kap. OSL). Offentlighetsprincipen har olika beståndsdelar. Bestämmelserna i re- geringsformen (RF) om yttrande- och informationsfrihet gäller för dem som är verksamma hos det allmänna – de s.k. offentliga funk- tionärerna – lika väl som för medborgarna i allmänhet. I RF slås också principen om domstolsförhandlingars offentlighet fast. Tryckfrihets- förordningen (TF) innehåller å sin sida bestämmelser om – förutom tryckfriheten – allmänna handlingars offentlighet samt om den s.k. meddelarfriheten, som innebär stora möjligheter att lämna informa- tion för publicering i tidningar och andra tryckta skrifter. Såvitt gäller andra grundlagsskyddade medier än tryckta skrifter finns bestäm- melser om meddelarfrihet i yttrandefrihetsgrundlagen (YGL). Med handling förstås enligt 2 kap. 3 § första stycket TF en fram- ställning i skrift eller bild eller en upptagning som kan läsas, avlyss- nas eller på annat sätt uppfattas endast med tekniskt hjälpmedel. En handling är allmän om den förvaras hos en myndighet och enligt 6 eller 7 §§ TF är att anse som inkommen till eller upprättad hos en myndighet. Bestämmelserna om allmänna handlingars offentlighet finns i 2 kap. TF. Enligt 2 kap. 2 § andra stycket TF ska varje begränsning i rätten att ta del av allmänna handlingar anges noga i en särskild lag eller i en annan lag som den förstnämnda lagen hänvisar till. Den särskilda lag som åsyftas är OSL. Rätten att ta del av allmänna handlingar får enligt 2 kap. 2 § TF be- gränsas endast när det är påkallat med hänsyn till sju olika uppräk- nade intressen.