sou · H5B336 · 2017-05-02 00:00:00 — Enligt rapporten risk- och förmåge- bedömning 2016, MSB1012, är underlaget till den nationella bedöm- ningen i huvudsak statliga myndigheters och kommuners risk- och sårbarhetsanalyser. I MSB:s uppdrag ingår också att stödja och sam- ordna arbetet med samhällets informationssäkerhet samt analysera och bedöma omvärldsutvecklingen inom området. Myndigheten har vidare en samordnande roll inom ramen för samhällets krisberedskap samt en central funktion i de nätverk som finns inom krisbered- skapsområdet, se avsnitt 11.1.5. MSB har också genom sina uppdrag ett etablerat kontaktnät med merparten av de aktörer som kommer att beröras av bestämmelserna i . Leverantörer av samhällsviktiga tjänster Mot bakgrund av att detta är ett första steg för att bedöma om en tjänst är en samhällsviktig tjänst på en mer övergripande nivå finns det enligt utredningen inget behov av att införa en särskild analys. Denna kunskap finns redan på myndigheter med verksamhet inom de berörda sektorerna, tillsynsmyndigheterna. MSB har genom sitt uppdrag en övergripande känne- dom om den verksamhet inom vilka de flesta samhällsviktiga tjänst- erna bedöms finnas. MSB är också utsedd som nationell kontaktpunkt enligt NIS-direktivet med ett ansvar för samordning och gränsöver- skridande samarbete på unionsnivå. Det är därför mest naturligt att det är MSB som får ansvaret för att bedöma vilka tjänster som är att anse som samhällsviktiga. I och med att MSB har fått ansvaret för att bedöma vilka tjänster som är att anse som samhällsviktiga ska MSB också ha ansvaret för upprätta och uppdatera en sådan förteckning över samhällsviktiga tjänster som anges i artikel 5.3. Utredningen har övervägt i vilken form förteckningen ska upp- rättas. Den som tillhandhåller en samhällsviktig tjänst som finns på förteckningen ska undersöka om tjänsten är beroende av nätverk eller informationssystem och om en incident skulle medföra en betydan- de störning vid tillhandahållandet av tjänsten. Det innebär att för- teckningen måste finnas tillgänglig. Förteckningen ska också upp- dateras minst . Eftersom förteckningen i sig inte får några direkta rättverkningar i form av krav på rapportering och säker- hetsåtgärder och då den riktar sig till en större krets anser utred- ningen att förteckningen bör meddelas i form av föreskrifter. Ett bemyndigande för MSB föreslås därför i den nya förordningen. Tillsynsmyndigheterna tillsammans med andra myndigheter och nätverk har stor kunskap om verksamheten inom de olika sektorer- na som ska tas tillvara i arbetet med att identifiera de samhällsviktiga tjänsterna. Tillsynsmyndigheterna ska därför ges tillfälle att yttra sig innan föreskrifterna meddelas. Utredningen föreslår också att MSB ska ansvara för ett sam- arbetsforum, se avsnitt 8.5.4. Leverantörer av samhällsviktiga tjänster 6.2.2Vilka leverantörer tillhandahåller samhällsviktiga tjänster? Förslag: Det ska införas en bestämmelse om skyldighet för den som är ansvarig för en verksamhet som tillhandahåller en samhälls- viktig tjänst att undersöka om tillhandahållandet av tjänsten är beroende av nätverk eller informationssystem och om en incident skulle medföra en betydande störning vid tillhandahållandet av tjänsten. Undersökningen ska dokumenteras. Följande sektoröverskridande faktorer ska beaktas när leve- rantören fastställer om en störning är betydande. 1.Det antal användare som är beroende av den tjänst som den berörda enheten tillhandahåller. 2.Hur beroende andra sektorer enligt bilaga 2 till NIS-direk- tivet är av den tjänst som enheten tillhandahåller. 3.Vilken inverkan incidenter skulle kunna ha på ekonomisk och samhällelig verksamhet eller allmän säkerhet, uttryckt i grad och varaktighet. 5.Hur stort geografiskt område som skulle kunna påverkas av en incident. 6.Enhetens betydelse för upprätthållandet av en tillräcklig tjänste- nivå, med beaktande av tillgången till alternativa sätt för att tillhandahålla tjänsten. När det är lämpligt ska även sektorspecifika faktorer beaktas. Regeringen eller den myndighet regeringen bestämmer får med- dela föreskrifter om vilka sektorspecifika och sektoröverskri- dande faktorer som ska beaktas för att fastställa om en incident medför en betydande störning vid identifieringen av leverantör- er av samhällsviktiga tjänster. ska lämna upplysning till leverantörer av samhällsviktiga tjänster vid bedömning av om annan lag eller bin- dande EU-rättsakt ska tillämpas i stället för lagen (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster. Leverantörer av samhällsviktiga tjänster NIS-direktivet ålägger medlemstaterna att identifiera de leverantörer som tillhandahåller samhällsviktiga tjänster inom ett antal särskilt utpekade enheter och som är bero- ende av nätverk och informationssystem där en incident skulle med- föra en betydande störning (artikel 5). Vid bedömningen av om en enhet tillhandahåller en samhällsvik- tig tjänst är det tillräckligt att undersöka om tjänsten finns upptagen i förteckningen över samhällsviktiga tjänster. Därefter ska bedömas om tjänsten är beroende av nätverk eller informationssystem samt om en incident skulle medföra betydande störning av tjänsten. Detta innebär att det utöver att tjänsten finns på förteckningen ställs ytter- ligare krav för att en leverantör ska kunna identifieras som en leve- rantör av en samhällsviktig tjänst. Den samarbetsgrupp som inrättats genom NIS-direktivet ska verka för ett enhetligt tillvägagångssätt för identifieringen av leveran- törerna (artikel 5.6), se även avsnitt 11.3.3. En av samarbetsgrup- pens uppgifter är att, med Enisas5 bistånd, utbyta bästa praxis för medlemsstaternas identifiering av leverantörer av samhällsviktiga tjänster, inklusive i samband med beroende, vad gäller risker och in- cidenter, som sträcker sig över gränser (artikel 11.3 l). Myndigheten för samhällsskydd och beredskap representerar i samarbets- gruppen, se avsnitt 11.3.2. När medlemsstaterna identifierar operatörer i sjöfartssektorn, bör de ta hänsyn till befintliga och framtida internationella koder och riktlinjer som utvecklats särskilt av Internationella sjöfartsorganisa- tionen, i syfte att skapa ett enhetligt tillvägagångssätt för enskilda sjöfartsoperatörer. När det finns EU-rättsakter som anses utgöra lex specialis bör dessa bestämmelser inklusive sådana som rör jurisdiktion tillämpas, och det bör inte genomföras något identifieringsförfarande för leve- rantörer av samhällsviktiga tjänster, se avsnitt 5.4. 5 Europeiska unionens byrå för nät- och informationssäkerhet (för Network and , ). Leverantörer av samhällsviktiga tjänster Utredningen ska analysera hur direktivets krav på identifiering av leverantörer av samhällsviktiga tjänster ska genomföras i svensk rätt. Analysen bör enligt kommittédirektiven göras med utgångspunk- ten att det är verksamhetsutövaren som är ansvarig för att avgöra om denne omfattas av regelverket, vilket motsvarar vad som gäller enligt till exempel säkerhetsskyddslagen (1996:627). Enligt 5 § säkerhetsskyddsförordningen (1996:633) ska myndig- heter och andra som säkerhetsskyddsförordningen gäller för under- söka vilka uppgifter i deras verksamhet som ska hållas hemliga med hänsyn till rikets säkerhet och vilka anläggningar som kräver ett säker- hetsskydd med hänsyn till rikets säkerhet eller skyddet mot terro- rism. Resultatet av undersökningen (säkerhetsanalys) ska dokumen- teras. I förslaget till ny säkerhetsskyddslag6 föreslås att den som är ansvarig för säkerhetskänslig verksamhet ska se till att behovet av säkerhetsskydd för den egna verksamheten utreds i form av en säker- hetsskyddsanalys. Ett syfte med denna analys är att identifiera de allra känsligaste delverksamheterna. Som framgår av avsnitt 6.2.1 gör myndigheter, kommuner och landsting risk- och sårbarhetsanalyser regelbundet för att stärka sin egen och samhällets krisberedskap genom att analysera om det finns sådan sårbarhet eller sådana hot och risker inom myndighetens an- svarsområde som synnerligen allvarligt kan försämra förmågan till verksamhet inom området. Förteckning över samhällsviktiga tjänster Förteckningen över samhällsviktiga tjänster bör meddelas i före- skriftsform, se avsnitt 6.2.1. MSB ska meddela föreskrifter om vilka tjänster som är viktiga för att upprätthålla kritisk samhällelig och/eller ekonomisk verksamhet, dvs. som bedöms vara samhällsviktiga. 6 En ny säkerhetsskyddslag, SOU 2015:25. Leverantörer av samhällsviktiga tjänster Beroende av nätverk eller informationssystem Leverantörer av sådana samhällsviktiga tjänster som finns upptagna på förteckningen som MSB meddelat i föreskriftsform ska under- söka om tillhandahållandet av tjänsten är beroende av nätverk eller informationssystem. Denna undersökning ska dokumenteras. Slutligen ska leverantörer av sådana samhällsviktiga tjänster som finns upptagna på förteckningen som MSB meddelat i föreskriftsform och som är beroende av nätverk eller informationssystem under- söka om en incident skulle medföra en betydande störning vid till- handahållandet av tjänsten. Denna undersökning ska dokumenteras. I NIS-direktivet anges ett antal faktorer som ska beaktas när det fastställs vad som är en betydande störning. Utöver dessa sektor- överskridande faktorer kan det också finnas skäl att beakta sektor- specifika faktorer (artikel 6). Följande sektoröverskridande faktorer ska beaktas. •Det antal användare som är beroende av den tjänst som den be- rörda enheten tillhandahåller. •Hur beroende andra sektorer enligt bilaga 2 till NIS-direktivet är av den tjänst som enheten tillhandahåller. •Vilken inverkan incidenter skulle kunna ha på ekonomisk och samhällelig verksamhet eller allmän säkerhet, uttryckt i grad och varaktighet. •Hur stort geografiskt område som skulle kunna påverkas av en incident. •Enhetens betydelse för upprätthållandet av en tillräcklig tjänste- nivå, med beaktande av tillgången till alternativa sätt för att till- handahålla tjänsten. Leverantörer av samhällsviktiga tjänster För att fastställa om en incident skulle medföra en betydande stör- ning vid tillhandahållandet av en samhällsviktig tjänst, bör medlems- staterna beakta ett antal olika faktorer, såsom antalet användare som är beroende av tjänsten för privata eller yrkesmässiga ändamål. Användningen av tjänsten kan vara direkt, indirekt eller ske genom förmedling. Vid bedömningen av en incidents eventuella inverkan på ekonomisk och samhällelig verksamhet eller allmän säkerhet, ut- tryckt i grad och varaktighet, bör medlemsstaterna också bedöma hur länge det sannolikt skulle ta tills avbrottet skulle börja ha en oacceptabel inverkan (skäl 27). Medlemsstaterna ska även, i lämpliga fall, beakta sektorspecifika faktorer. När det gäller energileverantörer kan sådana faktorer om- fatta mängden eller andelen producerad nationell el, för oljeleveran- törer mängden olja per dag, för lufttransport, inbegripet flygplatser och lufttrafikföretag, järnvägstransport och kusthamnar andelen nationell trafikmängd och antalet passagerare eller lastningar , för bankverksamhet eller finansmarknadsinfrastrukturer deras bety- delse för systemet på grundval av samlade tillgångar eller förhållan- det mellan dessa tillgångar och BNP, för hälso- och sjukvårdssektorn antalet patienter som leverantören vårdar , för produktion, bearbetning och leverans av vatten, volym, antal och typer av använ- dare, inbegripet t.ex. sjukhus, offentlig sektor, organisationer och personer samt förekomsten av alternativa vattenkällor för samma geografiska område (skäl 28). Ett stöd i arbetet med att fastställa när en störning är betydande är Myndigheten för samhällsskydd och beredskaps vägledningar7 som bl.a. beskriver en modell för att bedöma acceptabel avbrottstid och bedömning av konsekvenser. För att fastställa vad som ska anses vara en betydande störning utifrån de sektoröverskridande faktorerna krävs det enligt utred- ningens mening kunskap om verksamheten och om konsekvenser- na av en incident. Vikten av verksamhetskunskap blir dock ännu tydligare vid bedömning av och framtagande av sektorspecifika fak- torer. Det torde därför vara den myndighet som har kunskap om verksamhetsområdet som i första hand kan bedöma vad som ska anses vara en betydande störning. 7 Vägledning för samhällsviktig verksamhet, MSB620, och Vägledning för risk- och sårbarhetsanalys, MSB245, . Leverantörer av samhällsviktiga tjänster När det gäller bedömningen huruvida en incident medför en be- tydande störning i den samhällsviktiga tjänsten finnas ett bra under- lag eftersom myndigheter, landsting, kommuner m.fl. gör risk- och sårbarhetsanalyser med liknande bedömningar av konsekvenser och acceptabel avbrottstid m.m. års risk- och sårbarhetsanalys- arbete fick också samtliga myndigheter som omnämns i bilagan till förordningen (2015:1052) om krisberedskap och bevakningsansva- riga myndigheters åtgärder vid höjd beredskap (KBF) i uppdrag av regeringen att särskilt beakta och analysera informationssäkerhet ur olika perspektiv. I dessa sammanställningar bör finnas uppgifter och bedömningar som kan utgöra underlag i arbetet med att fastställa om en störning är betydande. I de fall det utifrån andra bestämmelser redan finns bedömningar avseende störningar i tillhandahållandet av tjänsten inom sektorn bör dessa givetvis användas i detta arbete. Utredningens bedömning är att tillsynsmyndigheten ska utfärda närmare föreskrifter som behövs för att fastställa om en incident med- för en betydande störning. ska stödja MSB i arbetet i den samarbets- grupp som inrättats genom NIS-direktivet och bistå MSB med in- formation om antalet leverantörer och eventuella befintliga tröskel- värden avseende betydande störning (artikel 5.7). I arbetet med att ta fram sektorspecifika faktorer har också samarbetsgruppen en viktig uppgift i att verka för att bedömningen blir enhetlig inom hela unionen, se avsnitt 11.3.3. Omfattas leverantören av NIS-direktivet – lex specialis I vissa fall är det otydligt i vilken utsträckning bestämmelserna i en EU-rättsakt motsvarar kraven i NIS-direktivet. I sådana fall ska till- synsmyndigheterna lämna upplysning till leverantörerna av samhälls- viktiga tjänster om annan lag eller bindande EU-rättsakt ska tillämpas i stället för den nya lagen. Detta gäller också när nya EU-rättsakter beslutas. Leverantörer av samhällsviktiga tjänster Utredningen konstaterar att de flesta offentliga verksamhetsutövare inom de sektorer och delsektorer som anges i NIS-direktivet redan gör analyser utifrån liknande krav genom till exempel risk- och sår- barhetsanalyser som görs med stöd av krisberedskapsbestämmel- serna. När det gäller enskilda verksamhetsutövare görs risk- och sår- barhetsanalyser endast i begränsad omfattning inom till exempel energisektorn och finanssektorn. Utredningen anser därför att det mest effektiva sättet att identi- fiera leverantörer av samhällsviktiga tjänster är att komplettera ett befintligt system. Det innebär att aktörer som är ansvariga för en verksamhet som tillhandahåller en sådan tjänst som anges i föreskrift- en om samhällsviktiga tjänster ska undersöka om tillhandahållandet av tjänsten är beroende av nätverk och informationssystem och om en incident skulle medföra en betydande störning vid tillhanda- hållandet av tjänsten För de myndigheter och enskilda som omfattas av ett krav på att göra risk- och säkerhetsanalyser kan, om det är lämp- ligt, identifieringen av leverantörer av samhällsviktiga tjänster ingå som en del i detta arbete. För andra aktörer blir kravet på en under- sökning en ny uppgift. Utredningens bedömning är därför att det ska införas en bestäm- melse om skyldighet för aktörer som är ansvariga för en verksam- het som tillhandahåller en tjänst som anges i föreskriften om sam- hällsviktiga tjänster att undersöka om tillhandahållandet av tjänsten är beroende av nätverk och informationssystem och om en incident skulle medföra en betydande störning vid tillhandahållandet av tjänst- en. Undersökningen ska dokumenteras. Under utredningens arbete har fråga uppkommit om vem som slutligen avgör vem som är en leverantör av en samhällsviktig tjänst i de fall tillsynsmyndigheten och den som tillhandahåller en samhälls- viktig tjänst har olika uppfattningar. I ett sådant fall kan tillsyns- myndigheten enligt utredningens uppfattning utfärda ett föreläggan- de eller vidta andra åtgärder som kan överklagas och därmed prövas av domstol. Närmare bestämmelser om hur de sektoröverskridande kriteri- erna i artikel 6 samt, i lämpliga fall, sektorspecifika kriterier ska be- dömas, bör regleras i myndighetsföreskrifter som utfärdas av tillsyns- Leverantörer av samhällsviktiga tjänster Ett bemyndigande ska därför införas i den nya lagen. MSB ska ges tillfälle att yttra sig innan föreskrifterna meddelas. I den nya förordningen föreslås att tillsynsmyndigheterna ska lämna upplysning till leverantörerna av samhällsviktiga tjänster vid bedömning av om annan lag eller annan bindande EU-rättsakt ska tillämpas i stället för den nya lagen. 6.2.3Samhällsviktig tjänst i flera länder i EU Tillhandahålls tjänsten även i andra länder i den Euro- peiska unionen ska den nationella kontaktpunkten samråda med motsvarande funktion i andra berörda länder innan beslut om identifiering fattas. Myndigheten för samhällsskydd och beredskap ska företräda i bilaterala och multilaterala samråd när en samhällsviktig tjänst tillhandahålls i ett eller flera andra länder i den Europeiska unionen. Tillsynsmyndigheterna ska ges tillfälle att yttra sig före sam- rådet och vid behov lämna stöd till Myndigheten för samhälls- skydd och beredskap. Tillhandahålls tjänsten i två eller flera medlemsstater ska dessa med- lemsstater samråda med varandra innan beslut om identifiering av leverantören fattas (artikel 5.4). Om en enhet tillhandahåller en samhällsviktig tjänst i två eller flera medlemsstater, bör dessa medlemsstater vid identifieringsförfaran- det föra bilaterala eller multilaterala diskussioner med varandra. Denna samrådsprocess är avsedd att hjälpa medlemsstaterna att be- döma om leverantören i fråga är av kritisk betydelse när det gäller gränsöverskridande inverkan, varigenom varje berörd medlemsstat ges möjlighet att lägga fram sina synpunkter avseende riskerna med de tjänster som tillhandahålls. I denna process bör de berörda med- lemsstaterna beakta varandras synpunkter, och bör i detta avseende kunna begära bistånd från samarbetsgruppen, som har detta som en av sina uppgifter (artikel 11.3 l). I den samarbetsgrupp som inrättats genom direktivet ska företrädas av MSB, se avsnitt 11.3. Mot bakgrund härav och efter- som utredningen föreslår att MSB ska ha det samordnande ansvaret Leverantörer av samhällsviktiga tjänster att bedöma vilka tjänster som är att betrakta som samhällsviktiga är det enligt utredningen lämpligt att MSB ska ansvara för att samråda med andra medlemsstater innan man fattar beslut om att identifiera en leverantör av en samhällsviktig tjänst. En bestämmelse om detta föreslås i den nya förordningen. Inför samrådet bör MSB ha kontakt med berörd tillsynsmyndig- het eftersom det i sektorerna redan finns upparbetade samverkans- kanaler med motsvarande myndigheter i . Denna erfarenhet och kunskap inom sektorerna ska tas tillvara och tillsynsmyndig- heterna ska vid behov lämna stöd till MSB inför bilaterala samråd. – leverantörer av samhällsviktiga tjänster Den tekniska utvecklingen har skapat nya möjligheter för både offent- lig sektor, näringsliv och medborgare. Detta har lett till ökade krav på att information ska vara tillgänglig dygnet runt och oavsett var in- formationen finns. För att tillgodose dessa krav är nätverk och infor- mationssystem i allt större utsträckning sammankopplade eller bero- ende av varandra. Ökad funktionalitet och ömsesidiga beroenden har medfört att nya hot, risker och sårbarheter har introducerats, såsom brister i uppdatering, handhavandefel, tekniska fel, olyckor och brott. Samhället måste fungera även vid störningar, olyckor, kriser och krig. För samhällets funktionalitet är det i många fall av avgörande betydelse att information är tillgänglig, riktig, att konfidentialiteten upprätthålls samt att den är spårbar. Eftersom information i de flesta fall hanteras i nätverk och informationssystem när det gäller sam- hällsviktiga tjänster är det av stor vikt att dessa är tillräckligt säkra. I många fall är också systemen helt avgörande för att kunna tillhanda- hålla tjänsten. Konsekvenserna av ett driftavbrott i nätverk och informationssystem kan bli stora och oöverskådliga. När en aktör med många kunder drabbas av driftstörningar kan konsekvenserna bli kännbara och oväntade på många håll . Det blir därför viktigt att leverantörer som tillhandahåller sam- hällsviktiga tjänster analyserar hot, risker och befintliga men även potentiella sårbarheter i nätverk och informationssystem som till- handahåller samhällsviktiga tjänster för att kunna vidta adekvata Säkerhetskrav och incidentrapportering … Leverantörerna bör även identifiera vilka skade- konsekvenser ett driftavbrott medför. Information om incidenter blir alltmer värdefull för allmänheten och företag för att kunna hantera och förebygga incidenter i den egna verksamheten. tillhandhålls information om incidenter på nationella webbplatser, till exempel . I NIS-direktivet föreslås att ska upprätthålla en webbplats där allmän information om allvarliga incidenter i unionen görs tillgänglig för allmänheten. Informationen ska dock vara särskilt inriktad på före- tags intressen och behov. CSIRT-enheter uppmuntras att på frivillig väg tillhandahålla information till denna webbplats. I vissa fall finns det säkerhetsskäl som medför att den information som görs tillgäng- lig bör vara begränsad. Det kan till exempel röra sig om säkerhets- brister som skulle kunna utnyttjas av en antagonist. I detta kapitel behandlas kraven på leverantörer av samhällsviktiga tjänster. Kraven beträffande leverantörer av digitala tjänster behand- las i avsnitt 10.3. Samhällsviktiga tjänster tillhandhålls av statliga myndigheter, kom- muner, landsting samt privata aktörer på alla nivåer från lokalt till nationellt. I många fall tillhandahåller en verksamhet både samhällsviktiga och icke samhällsviktiga tjänster. Luftfartssektorn tillhandahåller till exem- pel skötsel av start- och landningsbanor, men också tjänster som inte kan betraktas som samhällsviktiga, såsom butiksområden. Kraven på incidentrapportering och säkerhetskraven i NIS-direktivet omfattar endast sådana tjänster som är samhällsviktiga. Leverantörer inom de sektorer som omfattas av NIS-direktivet om- fattas även av annan lagstiftning som rör säkerhetsåtgärder. Kraven på säkerhetsåtgärderna utgår från de förhållanden och skyddsbehov som råder inom respektive sektor. Ett exempel är krav på drift- säkerhet för tillhandahållare av elektroniska kommunikationsnät och elektroniska kommunikationstjänster. De aktörerna ska vidta tek- Säkerhetskrav och incidentrapportering … niska och organisatoriska åtgärder för att säkerställa att verksam- heten uppfyller rimliga krav på driftsäkerhet1. Syftet med bestäm- melsen är att bidra till effektiva elektroniska kommunikationer samt att skapa en grundläggande driftsäkerhetsnivå för dessa. Med drift- säkerhet avses främst upprätthållande av funktion och tillgänglighet, men även uthållighet vid extraordinära händelser. I Post- och tele- styrelsens föreskrifter om krav på driftsäkerhet (PTSFS 2015:2) förtydligas vilka åtgärder som tillhandahållaren ska vidta för att leva upp till lagens krav på en grundläggande driftsäkerhet. Det är bland annat regler om övergripande driftsäkerhetsarbete, dokumentation av tillgångar och förbindelser, riskanalys och konsekvensanalys, in- cidenthantering, kontinuitetsplanering, åtgärder efter riskbedöm- ning, åtgärder avseende åtkomst och behörighet och åtgärder avse- ende övervakning och beredskap. Det finns också mer övergripande bestämmelser om säkerhets- åtgärder.