sou · H5B336 · 2017-05-02 00:00:00 — Utredningen föreslår att tillsynsmyndigheteras uppdrag enligt förslagen, i vart fall inledningsvis, ska vara anslagsfinansierade och för- delas på de utgiftsområden som respektive sektor tillhör. När det gäller kostnader för löpande tillsyn samt för kompetensförsörjning föreslår utredningen att Statskontoret ges i uppdrag att lämna ett förslag på genomförande och finansiering. Regelverket föreslås träda i kraft , vilket är det datum som medlemsstaterna enligt NIS-direktivet ska tillämpa direktivets bestämmelser. För att lagen ska kunna tillämpas i enlighet med direk- tivet den dagen föreslår utredningen att vissa myndigheter dessför- innan ges i uppdrag att påbörja arbetet med myndighetsföreskrifter samt att vidta andra behövliga förberedelseåtgärder. lag (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster Härigenom föreskrivs1 följande. 1 § Denna lag syftar till att uppnå en hög gemensam nivå på säker- het i nätverk och informationssystem inom den Europeiska unionen, för att förbättra den inre marknadens funktion. Genom denna lag genomförs och rådets direktiv (EU) 2016/1148 av om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen (NIS-direktivet), utom vad gäller skyldighet att anta en nationell strategi för säkerhet i nätverk och informationssystem. 2 § Denna lag gäller a)leverantörer av samhällsviktiga tjänster enligt definitionen i 7 § 3 som är etablerade på svenskt territorium. b)leverantörer av digitala tjänster enligt definitionerna i 7 § 4 och 5 som har sitt huvudsakliga etableringsställe i eller har utsett 1 Jfr och rådets direktiv (EU) 2016/1148 av om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen, i den ursprungliga lydelsen. en företrädare som är etablerad här, dock inte mikroföretag eller små företag enligt definitionen i kommissionens rekommendation 2003/361/EG av om definitionen av mikroföretag samt små och medelstora företag. Undantag från lagens tillämpningsområde 3 § Lagen gäller inte för företag som omfattas av kraven i artiklarna 13a och 13b i och rådets direktiv /21/EG av om ett gemensamt regelverk för elektroniska kom- munikationsnät och kommunikationstjänster (ramdirektiv), i lydel- sen enligt och rådets direktiv /140/EG, utom företag som tillhandahåller internetknutpunkter. 4 § Lagen gäller inte för leverantörer av betrodda tjänster som om- fattas av kraven i artikel 19 i och rådets förord- ning (EU) nr 910/2014 av om elektronisk identi- fiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv /93/EG, i den ursprungliga lydelsen. Avvikande bestämmelser i eller i annan författning 5 § Finns bestämmelser i bindande EU-rättsakter om krav på att leverantörer av samhällsviktiga tjänster eller leverantörer av digitala tjänster ska säkerställa säkerheten i sina nätverk och informations- system eller rapportera incidenter så ska denna lag inte tillämpas förut- satt att verkan av kraven minst motsvarar verkan av skyldigheterna i denna lag. Finns sådana bestämmelser i annan författning ska de bestämmel- serna tillämpas om kraven minst motsvarar verkan av skyldigheter- na i denna lag. 6 § Bestämmelserna i denna lag ska inte tillämpas på verksamhet som är av betydelse för säkerhet. 7 § I denna lag avses med 1. nätverk och informationssystem: a)ett elektroniskt kommunikationsnät enligt artikel 2 a i direk- tiv 2002/21/EG, i lydelsen enligt direktiv /140/EG, b)en enhet eller en grupp enheter som är sammankopplade eller hör samman med varandra, av vilka en eller flera genom ett program utför automatisk behandling av digitala uppgifter, eller c)digitala uppgifter som lagras, behandlas, hämtas eller överförs med sådana hjälpmedel som omfattas av leden a och b för att de ska kunna drivas, användas, skyddas och underhållas, 2.säkerhet i nätverk och informationssystem: nätverk och infor- mationssystems förmåga att vid en viss tillförlitlighetsnivå motstå åtgärder som undergräver tillgängligheten, autenticiteten, riktigheten eller konfidentialiteten hos lagrade eller överförda eller behandlade uppgifter eller hos de besläktade tjänster som erbjuds genom eller är tillgängliga via dessa nätverk och informationssystem, 3.leverantör av samhällsviktiga tjänster: en enhet av en typ som avses i bilaga 2 till NIS-direktivet och som tillhandhåller en tjänst som är viktig för att upprätthålla kritisk samhällelig eller ekonomisk verksamhet, tillhandhållandet av tjänsten är beroende av nätverk och informationssystem och en incident skulle medföra en betydande störning av tillhandahållandet av tjänsten, 4.digital tjänst: en tjänst i den mening som avses i artikel 1.1 b i och rådets direktiv (EU) 2015/1535 av om ett informationsförfarande beträffande tek- niska föreskrifter och beträffande föreskrifter för informationssam- hällets tjänster, i den ursprungliga lydelsen, av en typ som anges i bilaga 3 till NIS-direktivet, 5.leverantör av digital tjänst: en juridisk person som tillhanda- håller en digital tjänst, 6.incident: en händelse med en faktisk negativ inverkan på säker- heten i nätverk eller informationssystem, 7.incidenthantering: alla förfaranden som stöder upptäckt, analys och begränsning av en incident och åtgärder mot en incident, 8.risk: en rimligen identifierbar omständighet eller händelse med en potentiell negativ inverkan på säkerheten i nätverk eller informa- tionssystem, 9.företrädare: en i unionen etablerad fysisk eller juridisk person som uttryckligen har utsetts att agera för en leverantör av digitala tjänster som inte är etablerad i unionen, till vilken en behörig natio- nell myndighet eller en CSIRT-enhet kan vända sig, i stället för till leverantören av digitala tjänster, i frågor som gäller de skyldigheter som leverantören av digitala tjänster har enligt denna lag, 10.standard: en standard i den mening som avses i artikel 2.1 i och rådets förordning (EU) nr 1025/2012 av om europeisk standardisering och om ändring av rådets direktiv /686/EEG och 93/15/EEG samt av Europa- parlamentets och rådets direktiv /9/EG, 94/25/EG, 95/16/EG, 97/23/EG, 98/34/EG, 2004/22/EG, 2007/23/EG, 2009/23/EG och 2009/105/EG samt om upphävande av rådets beslut 87/95/EEG och och rådets beslut /2006/EG, i den ursprung- liga lydelsen 11.specifikation: en teknisk specifikation i den mening som av- ses i artikel 2.4 i förordning (EU) nr 1025/2012, i den ursprungliga lydelsen, 12.internetknutpunkt (IXP): en nätfacilitet som möjliggör sam- mankoppling av mer än två oberoende autonoma system, främst i syfte att underlätta utbytet av internettrafik. En IXP tillhandahåller sammankoppling enbart för autonoma system och kräver inte att den internettrafik som passerar mellan två deltagande autonoma system passerar genom ett tredje autonomt system och ändrar inte heller trafiken eller påverkar den på något annat sätt, 13.domännamnssystem (DNS): ett hierarkiskt, distribuerat namn- givningssystem i ett nätverk som hanterar domännamnsförfrågningar, 14.leverantör av DNS-tjänst: en enhet som tillhandahåller DNS- tjänster på internet, 15.registreringsenhet för toppdomäner: en enhet som administre- rar och förvaltar registreringen av internetdomännamn under en spe- cifik toppdomän, 16.internetbaserad marknadsplats: en digital tjänst som gör det möjligt för konsumenter eller näringsidkare enligt definitionen i artikel 4.1 a respektive 4.1 b i och rådets direk- tiv 2013/11/EU av om alternativ tvistlösning vid konsumenttvister och om ändring av förordning (EG) nr 2006/2004 och direktiv /22/EG (direktivet om alternativ tvistlösning), i den ursprungliga lydelsen, att ingå internetbaserade köpeavtal eller tjänste- avtal med näringsidkare antingen på webbplatsen för den internetbase- rade marknadsplatsen eller på en webbplats tillhörande en närings- idkare där datatjänster som tillhandahålls av en internetbaserad mark- nadsplats används, 17.internetbaserad sökmotor: en digital tjänst som gör det möjligt för användare att göra sökningar på i princip alla webbplatser eller webbplatser på ett visst språk på grundval av en förfrågan om vilket ämne som helst i form av ett nyckelord, en fras eller annan inmat- ning och som returnerar länkar som innehåller information om det begärda innehållet, 18.molntjänst: en digital tjänst som möjliggör tillgång till en skal- bar och elastisk pool av delbara dataresurser, 19.NIS-direktivet: och rådets direktiv (EU) 2016/1148 av om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen, i den ursprungliga lydelsen 20.säkerhetsprinciper: styrande dokument, till exempel föreskrift- er och interna riktlinjer, 21.CSIRT-enhet: enhet för it-säkerhetsincidenter (Computer Security Incident Response Team) Identifiering av leverantörer av samhällsviktiga tjänster 8 § Den som är ansvarig för en verksamhet som tillhandahåller en tjänst som är viktig för att upprätthålla kritisk samhällelig eller ekono- misk verksamhet (samhällsviktig tjänst) ska undersöka om tillhanda- hållandet av tjänsten är beroende av nätverk eller informationssystem och om en incident skulle medföra en betydande störning vid till- handahållandet av tjänsten. Följande sektoröverskridande faktorer ska beaktas när leveran- tören fastställer om en störning är betydande. Det antal användare som är beroende av den tjänst som den berörda enheten tillhandahåller. 2.Hur beroende andra sektorer enligt bilaga 2 till NIS-direktivet är av den tjänst som enheten tillhandahåller. 3.Vilken inverkan incidenter skulle kunna ha på ekonomisk och samhällelig verksamhet eller allmän säkerhet, uttryckt i grad och var- aktighet. 5.Hur stort geografiskt område som skulle kunna påverkas av en incident. 6.Enhetens betydelse för upprätthållandet av en tillräcklig tjänste- nivå, med beaktande av tillgången till alternativa sätt för att till- handahålla tjänsten. När det är lämpligt ska även sektorspecifika faktorer beaktas. Tillhandahålls tjänsten även i andra länder i den Europeiska union- en ska den nationella kontaktpunkten samråda med motsvarande funktion i andra berörda länder innan beslut om identifiering fattas. Undersökningen ska dokumenteras. Utseende av företrädare för leverantör av digitala tjänster 9 § En leverantör av digitala tjänster som erbjuder digitala tjänster i men som inte har sitt huvudsakliga etableringsställe inom Europeiska unionen ska utse en företrädare i något av de länder i unionen där tjänsterna erbjuds. Leverantörer av samhällsviktiga tjänster 10 § Leverantörer av samhällsviktiga tjänster ska bedriva ett syste- matiskt och riskbaserat informationssäkerhetsarbete. 11 § Leverantörer av samhällsviktiga tjänster ska vidta ändamåls- enliga och proportionella tekniska och organisatoriska åtgärder för att hantera risker som hotar säkerheten i nätverk och informations- system som de använder i sin verksamhet. Med beaktande av den senaste tekniska utvecklingen ska dessa åtgärder säkerställa en nivå på säkerheten i nätverk och informationssystem som är lämplig i förhållande till den föreliggande risken. 12 § Leverantörer av samhällsviktiga tjänster ska vidta lämpliga åt- gärder för att förebygga och minimera verkningarna av incidenter som påverkar säkerheten i nätverk och informationssystem som an- vänds för att tillhandahålla sådana samhällsviktiga tjänster, i syfte att säkerställa kontinuiteten i dessa tjänster. 13 § Leverantörer av samhällsviktiga tjänster ska göra en riskanalys som ska ligga till grund för val av säkerhetsåtgärder enligt 11 och 12 §§. I analysen ska ingå en åtgärdsplan. Analysen ska dokumente- ras och uppdateras . Leverantörer av digitala tjänster 14 § Leverantörer av digitala tjänster ska utarbeta och vidta ända- målsenliga och proportionella tekniska och organisatoriska åtgärder för att hantera risker som hotar säkerheten i nätverk och informa- tionssystem som de använder när de tillhandahåller internetbaserade marknadsplatser, internetbaserade sökmotorer eller molntjänster inom unionen. Med beaktande av den senaste tekniska utvecklingen ska dessa åtgärder säkerställa en nivå på säkerheten i nätverk och in- formationssystem som är lämplig i förhållande till den föreliggande risken, varvid hänsyn ska tas till 1.säkerheten i system och anläggningar, 3.hantering av driftskontinuitet, 4.övervakning, revision och testning och 5.efterlevnad av internationella standarder. 15 § Leverantörer av digitala tjänster ska vidta åtgärder för att före- bygga och minimera den inverkan som incidenter som påverkar säkerheten i deras nätverk och informationssystem har på internet- baserade marknadsplatser, internetbaserade sökmotorer och moln- tjänster som erbjuds inom unionen, i syfte att säkerställa kontinuite- ten i dessa tjänster. Leverantörer av samhällsviktiga tjänster 16 § Leverantörer av samhällsviktiga tjänster ska utan onödigt dröjs- mål rapportera incidenter som har en betydande inverkan på kon- tinuiteten i den samhällsviktiga tjänst som de tillhandahåller. Rap- porteringen ska göras till CSIRT-enheten. Rapporterna ska innehålla information som gör det möjligt för CSIRT-enheten att fastställa incidentens eventuella gränsöverskri- dande verkningar. Rapportering ska inte medföra ökat ansvar för den rapporte- rande parten. 17 § För att fastställa om en incident har en betydande inverkan på kontinuiteten i den samhällsviktiga tjänsten ska hänsyn framför allt tas till följande faktorer. 1.Det antal användare som påverkas av störningen av den sam- hällsviktiga tjänsten. 2.Hur länge incidenten varar. 3.Hur stort geografiskt område som påverkas av incidenten. 18 § Är en leverantör av samhällsviktiga tjänster beroende av en tredjepartsleverantör av digitala tjänster för tillhandahållandet av en tjänst som är viktig för att upprätthålla kritisk samhällelig och eko- nomisk verksamhet, ska leverantören av samhällsviktiga tjänster rap- portera varje betydande inverkan på kontinuiteten i den samhälls- viktiga tjänsten till följd av en incident som påverkar leverantören av digitala tjänster. Leverantörer av digitala tjänster 19 § Leverantörer av digitala tjänster ska utan onödigt dröjsmål rapportera alla incidenter som har en avsevärd inverkan på tillhanda- hållandet av en internetbaserad marknadsplats, internetbaserad sök- motor eller molntjänst som de erbjuder inom unionen. Rapporte- ringen ska göras till CSIRT-enheten. Rapporterna ska innehålla information som gör det möjligt för CSIRT-enheten att fastställa vilken betydelse eventuell gränsöver- skridande inverkan har. Rapportering ska inte medföra ökat ansvar för den rapporte- rande parten. 20 § För att fastställa om en incident har en avsevärd inverkan ska hänsyn framför allt tas till följande faktorer. 1.Det antal användare som påverkas av incidenten, framför allt användare som är beroende av tjänsten för att kunna tillhandahålla sina egna tjänster. 2.Hur länge incidenten varar. 3.Hur stort geografiskt område som påverkas av incidenten. 4.I vilken utsträckning incidenten stör tjänstens funktion. 5.I vilken utsträckning incidenten inverkar på den ekonomiska och samhälleliga verksamheten. Skyldigheten att rapportera en incident ska endast gälla om leve- rantören av digitala tjänster har tillgång till den information som behövs för att bedöma en incidents inverkan mot bakgrund av de faktorer som avses i första stycket. Förpliktande att informera allmänheten om en incident 21 § Efter samråd med den berörda leverantören av digitala tjänster får CSIRT-enheten, om det är lämpligt, förplikta leverantören att informera allmänheten om enskilda incidenter. En förutsättning för ett sådant förpliktande är att allmänheten behöver känna till inci- denten för att det ska vara möjligt att förhindra en incident eller åt- gärda en pågående incident eller om incidentens avslöjande på annat sätt omfattas av allmänintresset. 22 § Den myndighet som regeringen bestämmer ska vara nationell behörig myndighet. Den nationella behöriga myndigheten ska utöva tillsyn över att denna lag och föreskrifter som meddelats i anslutning till lagen följs (tillsynsmyndighet). 23 § har rätt att i den utsträckning det behövs för tillsynen få tillträde till områden, lokaler och andra utrymmen, dock inte bostäder, där verksamhet som omfattas av denna lag be- drivs. 24 § får förelägga den som står under tillsyn att tillhandahålla information i enlighet med 26 och 27 §§. Ett föreläggande får förenas med vite. 25 § har rätt att få verkställighet hos Krono- fogdemyndigheten av beslut som avser åtgärder enligt denna lag. Då gäller bestämmelserna i utsökningsbalken om verkställighet av för- pliktelser som inte avser betalningsskyldighet eller avhysning. Leverantörer av samhällsviktiga tjänster 26 § Vid tillsyn ska en leverantör av samhällsviktiga tjänster till- handahålla tillsynsmyndigheten 1.den information som är nödvändig för att bedöma säkerheten ileverantörens nätverk och informationssystem, inbegripet doku- menterade säkerhetsprinciper, 2.bevis för ett effektivt genomförande av säkerhetsprinciper, så- som resultaten av en säkerhetsrevision utförd av tillsynsmyndigheten eller en auktoriserad revisor och, i det senare fallet, att ge tillsynsmyn- digheten tillgång till resultaten, inklusive de underliggande bevisen, och 3.annan information som behövs vid bedömningen av om leve- rantören uppfyller sina skyldigheter. När tillsynsmyndigheten begär sådan information eller bevis ska den uppge syftet med begäran och precisera vilken information som krävs. Leverantörer av digitala tjänster 27 § Vid tillsyn ska en leverantör av digitala tjänster tillhandahålla tillsynsmyndigheten den information som behövs för en bedömning av säkerheten i leverantörernas nätverk och informationssystem, in- begripet dokumenterade säkerhetsprinciper. 28 § Tillsynsåtgärder beträffande leverantörer av digitala tjänster får vidtas endast när tillsynsmyndigheten har fått kännedom om att leverantören inte uppfyller kraven i 14, 15 eller 16 §§. 29 § Om tillsynsmyndigheten finner skäl att misstänka att en leve- rantör av samhällsviktiga tjänster inte följer lagen eller föreskrifter som har meddelats i anslutning till lagen, ska myndigheten under- rätta leverantören om detta förhållande och ge denne möjlighet att yttra sig inom skälig tid. 30 § Om tillsynsmyndigheten konstaterar att en leverantör av sam- hällsviktiga tjänster eller en leverantör av digitala tjänster inte följer lagen eller föreskrifter som har meddelats i anslutning till lagen, ska tillsynsmyndigheten genom påpekanden eller liknande förfaranden försöka åstadkomma rättelse. 31 § får meddela de förelägganden som be- hövs för att leverantörer av samhällsviktiga tjänster och leveran- törer av digitala tjänster ska uppfylla de säkerhetskrav och krav på incidentrapportering som följer av denna lag och av föreskrifter som har meddelats i anslutning till lagen. Ett föreläggande får förenas med vite. 32 § ska besluta att sanktionsavgift ska tas ut av den som 1.underlåter att vidta säkerhetsåtgärder enligt 11, 12, 14 eller 15 §§ eller 2.underlåter att incidentrapportera enligt 16 eller 19 §§. Avgiften tillfaller staten. 33 § Sanktionsavgiften ska bestämmas till lägst och högst . 34 § När sanktionsavgiftens storlek bestäms ska hänsyn tas till samt- liga relevanta omständigheter. Särskild hänsyn ska tas till den skada eller risk för skada som uppstått till följd av regelöverträdelsen, om leverantören har begått en överträdelse samt de kostnader som leverantören undvikit till följd av överträdelsen. 35 § Sanktionsavgiften får efterges helt eller delvis om överträdel- sen är ringa eller ursäktlig eller om det annars med hänsyn till om- ständigheterna skulle vara oskäligt att ta ut avgiften. 36 § får inte ingripa med sanktionsavgift om överträdelsen omfattas av ett föreläggande om vite och överträdel- sen ligger till grund för en ansökan om utdömande av vitet. 37 § Ett beslut om sanktionsavgift ska vara skriftligt och innehålla skälen för beslutet. Innan tillsynsmyndigheten beslutar om sanktionsavgift ska den som beslutet kommer att riktas mot ges tillfälle att yttra sig. 38 § Sanktionsavgift får inte beslutas om den som anspråket riktas mot inte har getts tillfälle att yttra sig efter överträdelsen. 39 § Sanktionsavgiften ska betalas till tillsynsmyndigheten efter det att beslutet om sanktionsavgiften fått laga kraft eller den som anges i beslutet. 40 § Ett beslut om sanktionsavgift får verkställas utan föregående dom eller utslag om avgiften inte har betalts inom den tid som anges i 39 §. 41 § Om sanktionsavgiften inte betalas inom den tid som anges i 39 §, ska tillsynsmyndigheten lämna den obetalda avgiften för in- drivning. 42 § En beslutad sanktionsavgift faller bort om beslutet om av- giften inte har verkställts från det att beslutet fick laga kraft. 43 § Den myndighet som regeringen bestämmer ska vara gemensam nationell kontaktpunkt. av it-säkerhetsincidenter (CSIRT-enhet) 44 § Den myndighet som regeringen bestämmer ska vara CSIRT- enhet. 45 § Regeringen eller den myndighet som regeringen bestämmer får, beträffande leverantörer av samhällsviktiga tjänster, meddela före- skrifter om 1.vilka sektorspecifika och sektoröverskridande faktorer som ska beaktas för att fastställa om en incident medför en betydande stör- ning vid identifiering av leverantörer av samhällsviktiga tjänster en- ligt 8 §, 2.ett systematiskt och riskbaserat informationssäkerhetsarbete enligt 10 §, och 3.vilka faktorer som ska användas för att avgöra om en incident har en betydande inverkan på kontinuiteten i en samhällsviktig tjänst enligt 17 § och därför medför krav på rapportering. Leverantörer av samhällsviktiga tjänster 46 § Regeringen eller den myndighet regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen, beträffande leverantörer av sam- hällsviktiga tjänster, meddela föreskrifter om 1.vilka tjänster som är viktiga för att upprätthålla kritisk sam- hällelig eller ekonomisk verksamhet (samhällsviktiga tjänster), 2.utformningen av säkerhetsåtgärder som avses i 11 och 12 §§, 3.rapportering av incidenter som avses i 16 §, och 4.förutsättningarna för frivillig rapportering av incidenter. Leverantörer av digitala tjänster 47 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen, beträffande leverantörer av digitala tjänster, meddela föreskrifter om 1.rapportering av incidenter som avses i 19 § och 2.förutsättningarna för frivillig rapportering av incidenter. 48 § får bestämma att ett beslut om föreläg- gande enligt denna lag ska gälla . 49 § En myndighets beslut enligt denna lag eller enligt föreskrifter som meddelats i anslutning till lagen får överklagas till allmän för- valtningsdomstol. Prövningstillstånd krävs vid överklagande till kam- marrätten. Kammarrättens avgörande i ett mål enligt denna lag får inte över- klagas. Denna lag träder i kraft . förordning (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster Regeringen föreskriver följande. 1 § Denna förordning har samma syfte som lagen (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster och genomför tillsammans med lagen och rådets direktiv (EU) 2016/1148 av om åtgärder för en hög gemensam nivå på säkerhet i nät- verks- och informationssystem i hela unionen (NIS-direktivet), utom vad gäller skyldighet att anta en nationell strategi för säker- het i nätverk och informationssystem. 2 § De definitioner som anges i 7 § i lagen (2018:000) om informa- tionssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster har samma innebörd i denna förordning. Identifiering av leverantörer av samhällsviktiga tjänster