sou · H5B336 · 2017-05-02 00:00:00 — 3 § Myndigheten för samhällsskydd och beredskap ska företräda i bilaterala och multilaterala samråd när en samhällsviktig tjänst tillhandahålls i ett eller flera andra länder i den Europeiska unionen enligt 8 § fjärde stycket lagen (2018:000) om informations- säkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster. ska ges tillfälle att yttra sig före samråd och vid behov lämna stöd till Myndigheten för samhällsskydd och bered- skap. 4 § Vid utformningen av säkerhetsåtgärder bör leverantörer av sam- hällsviktiga tjänster beakta europeiska eller internationellt accepte- rade standarder och specifikationer. 5 § Följande myndigheter är tillsynsmyndigheter enligt lagen (2018:000) om informationssäkerhet för vissa tillhandahållare av sam- hällsviktiga tjänster och digitala tjänster. Inspektionen för vård och omsorg Leverans och distribution av 1.samarbeta med Datainspektionen när den handlägger inciden- ter som medfört personuppgiftsincidenter och innan ett åtgärdsföre- läggande meddelas, 2.lämna stöd till representanten i samarbetsgruppen, 3.lämna vägledning till leverantörer av samhällsviktiga tjänster vid tillämpningen av lagen (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster och av denna förordning, 4.lämna upplysning till leverantörer av samhällsviktiga tjänster vid bedömningen av om annan lag eller bindande EU-rättsakt ska tillämpas i stället för lagen (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster, och 5. samarbeta med och bistå tillsynsmyndigheter i andra länder i Europeiska unionen när det gäller tillsynen över leverantörer av digi- tala tjänster. Detta bistånd och samarbete får omfatta informations- utbyte mellan de berörda behöriga myndigheterna och begäranden om att tillsynsåtgärder enligt lagen (2018:000) om informationssäker- het för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster ska vidtas. 7 § Myndigheten för samhällsskydd och beredskap är gemensam nationell kontaktpunkt. Myndigheten för samhällsskydd och beredskap ska för del fullgöra de uppgifter som åligger den nationella kontaktpunkten enligt artiklarna 8 och 14.5 tredje stycket i NIS-direktivet, i den ur- sprungliga lydelsen. Myndigheten för samhällsskydd och beredskap ska lämna en sammanfattande rapport till den samarbetsgrupp den inrättats en- ligt NIS-direktivet om de incidentrapporter som mottagits. Av rap- porten ska framgå antalet mottagna incidentrapporter, incidenternas art och vidtagna säkerhetsåtgärder. 8 § Myndigheten för samhällsskydd och beredskap är CSIRT-enhet. Myndigheten för samhällsskydd och beredskap ska uppfylla krav- en och för del fullgöra de uppgifter som åligger CSIRT- enheten enligt bilaga 1 till NIS-direktivet, i den ursprungliga lydelsen. Myndigheten för samhällsskydd och beredskap 1.ska ta emot de incidentrapporter som lämnas enligt 16 och 19 §§ lagen (2008:000) om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster, 2.ska informera andra berörda länder i Europeiska unionen om en incident som rapporterats av en leverantör av samhällsviktiga tjänster har en betydande inverkan på kontinuiteten i samhällsviktiga tjänster i det landet, 3.ska, om det är lämpligt, informera andra länder i Europeiska unionen som påverkats av en incident som rapporterats av en leve- rantör av digitala tjänster, 4.får informera allmänheten om enskilda incidenter efter samråd med den rapporterande leverantören, 5.ska när det är möjligt överlämna relevant information som kan bidra till en effektiv hantering av incidenten och det förebyggande arbetet till den rapporterande leverantören av samhällsviktiga tjänster, 6.ska skyndsamt uppmana leverantörer att anmäla incidenter som har sin grund i en brottslig gärning till polisen, och 7.ska skyndsamt överlämna de incidentrapporter som lämnats enligt 16 och 19 §§ lagen (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsviktiga och digitala tjänster till den tillsynsmyndighet som enligt 5 § denna förordning utövar tillsyn över den rapporterande leverantören. Myndigheten för samhällsskydd och beredskap 9 § Myndigheten för samhällsskydd och beredskap ska lämna råd och stöd till tillsynsmyndigheterna vid utarbetandet av myndighets- föreskrifter. 10 § Myndigheten för samhällsskydd och beredskap får meddela föreskrifter om 1.ett systematiskt och riskbaserat informationssäkerhetsarbete enligt 10 § lagen (2018:000) om informationssäkerhet för vissa till- handahållare av samhällsviktiga tjänster och digitala tjänster, 2.vilka tjänster som är viktiga för att upprätthålla kritisk sam- hällelig eller ekonomisk verksamhet (samhällsviktiga tjänster) för varje sektor som avses i bilaga 2 till NIS-direktivet (förteckning). Före- skriften ska uppdaterast minst , 3.rapportering av incidenter, och 4.förutsättningarna för frivillig rapportering av incidenter. Tillsynsmyndigheterna ska ges tillfälle att yttra sig innan före- skrifter meddelas. 11 § får, för sin sektor, meddela närmare före- skrifter om 1.utformningen av säkerhetsåtgärder enligt 11 och 12 §§ lagen (2018:000) om informationssäkerhet för vissa tillhandahållare av sam- hällsviktiga tjänster och digitala tjänster, 2.sektorspecifika och sektoröverskridande faktorer för att fast- ställa om en incident medför en betydande störning vid identifier- ingen av leverantörer av samhällsviktiga tjänster, och 3.vilka faktorer som ska användas för att avgöra om en incident har en betydande inverkan på kontinuiteten i den samhällsviktiga tjänsten och därför medför krav på rapportering. Myndigheten för samhällsskydd och beredskap ska ges tillfälle att yttra sig innan föreskrifter meddelas. Denna förordning träder i kraft . förordning om ändring i offentlighets- och sekretessförordningen (2009:641) Regeringen föreskriver att bilagan till offentlighets- och sekretess- förordningen (2009:641) ska ha följande lydelse. Denna förordning träder i kraft . –– – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – 151. tillsyn enligt lagen (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsvik- tiga tjänster och digitala tjänster –– – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – 2 Senaste lydelse 2017:118. 2Utredningens uppdrag och arbete antog och rådet direktiv (EU) 2016/1148 om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen (NIS-direktivet). Direktivet innehåller bl.a. skyldigheter för varje medlemsstat att anta en nationell strategi för säkerhet i nätverk och informations- system och att utse myndigheter med särskilda uppgifter på detta område. Medlemsstaterna är enligt direktivet också skyldiga att iden- tifiera operatörer som bedriver samhällsviktig verksamhet inom sju sektorer och som är beroende av nätverk och informationssystem. Medlemsstaterna ska anta och offentliggöra de bestämmelser i lagar och andra författningar som är nödvändiga för att genomföra direktivet. Dessa bestämmelser ska tillämpas . Direktivet finns som bilaga 2. Regeringen beslutade att utse en särskild utredare med uppdrag att föreslå hur NIS-direktivet ska genomföras i svensk rätt. I uppdraget ingår bl.a. att •föreslå hur direktivets krav på utpekande av myndigheter med ansvar för vissa funktioner ska genomföras, med inriktningen att Myndigheten för samhällsskydd och beredskap ges en samord- nande roll på området men att andra myndigheters ansvar för tillsyn inom särskilda sektorer ska fortsätta att gälla, Utredningens uppdrag och arbete •föreslå hur identifiering av och krav på aktörer som omfattas av direktivet kan genomföras i ett samlat regelverk med beaktande av gällande bestämmelser, sektorsansvar och vad som är mest effektivt utifrån olika perspektiv, •föreslå nödvändiga ändringar i offentlighets- och sekretesslagen (2009:400) för att känslig information i incidentrapporter ska kunna skyddas, och •lämna nödvändiga författningsförslag. Frågan om hur en nationell strategi för säkerhet i nätverk och infor- mationssystem bör utformas ingår inte i uppdraget. Utredningens direktiv finns i sin helhet som bilaga 1. Uppdraget ska redovisas . Utredningens arbete har bedrivits på sedvanligt sätt med regelbund- na möten med sakkunniga och experter samt med deltagarna i en till utredningen knuten referensgrupp. Utredningen har haft sju proto- kollförda möten med expert- och sakkunniggruppen, varav ett i internatform. Därutöver har ett protokollfört möte hållits med en- dast de sakkunniga. Utredningen har också haft enskilda möten med deltagarna i referensgruppen. Vid mötet med kon- staterades att verket inte berörs av NIS-direktivet. Utredningen och representant enades då om att fortsättningsvis inte behövde vara representerat i referensgruppen. har därför inte närvarat vid de två protokollförda möten som utredningen haft med referensgruppen i sin helhet. Ut- redningen har också sammanträffat med en representant från Energi- marknadsinspektionen, med företrädare för Inspektionen för vård och omsorg samt med representanter för . Utredning- en har vidare informerat sig om uppdrag när det gäller informationssäkerhet för medicintekniska produkter. Utredningen har med hjälp främst av deltagarna i referensgrupp- en gjort en övergripande inventering av gällande rätt på det område som NIS-direktivet reglerar. Inventeringen finns tillgänglig i ärende dnr Komm2017/00542-1. Utredningens uppdrag och arbete Utredningen har löpande hållit informerat om arbetet. Utredningen har informerat sig om arbetet med betänkandena Informations- och cybersäkerhet i (SOU 2015:23), En ny säkerhetsskyddslag (SOU 2015:25), En trygg dricksvattenförsörjning (SOU 2016:32), om utredningen angående frågan om åtgärder för att öka tillgång till information om it-brottslig- het (Ds 2016:22), om arbete (Ju 2014:09) och om arbete med en Strategi för informations- och cybersäkerhet. 2.4Betänkandets disposition och läsanvisning Betänkandet inleds med en övergripande sammanfattning av inne- hållet i NIS-direktivet (kapitel 3). Därefter följer en beskrivning av de typer av enheter som finns angivna i bilaga 2 till NIS-direktivet. Enheterna kan beskrivas som de verksamheter som – om de tillhanda- håller samhällsviktiga tjänster vars tillhandahållande är beroende av nätverk och informationssystem – omfattas av direktivet. (kapitel 4). I kapitel 5 anges utgångspunkterna för genomförandet av direktiv- et. Utredningen kommer där till slutsatsen att NIS-direktivet bör genomföras i en ny lag och en ny förordning. I kapitlet behandlas också den föreslagna lagens tillämpningsområde. I kapitel 6 behand- las sedan begreppet samhällsviktiga tjänster. Kapitlen därefter behand- lar frågor om säkerhetskrav och incidentrapportering för leveran- törer av samhällsviktiga tjänster (kapitel 7), tillsyn (kapitel 8) samt ingripanden och sanktioner (kapitel 9). I kapitel 10 behandlas de leve- rantörer av digitala tjänster som anges i bilaga 3 till NIS-direktivet. Dessa leverantörer omfattas av direktivet även om de inte är samhälls- viktiga och regleras på ett mindre ingripande sätt än leverantörer av samhällsviktiga tjänster. I kapitel 11 redogörs för utredningens slut- sats att Myndigheten för samhällsskydd och beredskap ska anförtros rollen som nationell kontaktpunkt och CSIRT-enhet samt vara representant i samarbetsgruppen enligt NIS-direktivet. Där finns också en beskrivning av Myndigheten för samhällsskydd och beredskaps uppdrag och verksamhet. I kapitel 12 behandlas frågor om sekretess. Kapitel 13 innehåller utredningens konsekvensanalys. Ikraftträdandet behandlas i kapitel 14. I det kapitlet föreslår utred- Utredningens uppdrag och arbete ningen att regeringen ska ge ett antal myndigheter i uppdrag att bland annat påbörja arbete med myndighetsföreskrifter inför lagens ikraftträdande. Slutligen följer en författningskommentar till de läm- nade författningsförslagen (kapitel 15). Kommittédirektiven finns i sin helhet i bilaga 1. I bilaga 2 finns NIS-direktivet. Bilaga 3 innehåller en parallelluppställning över direk- tivets artiklar och de bestämmelser i gällande rätt eller i utredningens författningsförslag som genomför varje artikel. och antog och rådets direktiv (EU) 2016/1148 om åtgär- der för en hög gemensam nivå på säkerhet i nätverks- och informa- tionssystem i hela unionen (NIS-direktivet). Direktivet ska vara genomfört i svensk rätt . Detta kapitel innehåller en övergripande beskrivning av de be- stämmelser i direktivet som är av störst betydelse för genomföran- det i svensk rätt. Mer detaljerade redogörelser för bestämmelserna finns i anslutning till de avsnitt som behandlar de specifika frågorna. Direktivet i sin helhet finns i bilaga 2. Syftet med NIS-direktivet är att förbättra den inre marknadens funk- tion genom att skapa tillit och förtroende och fastställa åtgärder för att uppnå en hög gemensam nivå på säkerhet i nätverk och informa- tionssystem inom unionen (artikel 1.1 och skäl 31). I skälen till direk- tivet anges följande. Nätverk och informationssystem och nätverks- och informa- tionstjänster spelar en viktig roll i samhället. Deras tillförlitlighet och säkerhet är grundläggande för ekonomisk och samhällelig verksam- het och i synnerhet för den inre marknadens funktion. Säkerhets- incidenter, som blir allt mer omfattande och vanliga och får allt större inverkan, utgör ett allvarligt hot mot nätverkens och informations- systemens funktion. Dessa system kan också bli mål för avsiktligt sabotage i syfte att skada dem eller förorsaka driftsavbrott. Sådana incidenter kan hindra genomförandet av ekonomisk verksamhet, generera omfattande ekonomiska förluster, undergräva användarnas förtroende och medföra allvarliga konsekvenser för unionens eko- Nätverk och informationssystem, i synnerhet internet, spelar en viktig roll genom att underlätta den gränsöverskridande rörlig- heten för varor, tjänster och personer. På grund av denna trans- nationella natur kan allvarliga störningar av dessa system, vare sig de är avsiktliga eller oavsiktliga och oberoende av var de förekommer, påverka enskilda medlemsstater och unionen som helhet. Säker- heten i nätverk och informationssystem är därför avgörande för att den inre marknaden ska fungera väl. (skäl 1–3) För att främja diskussioner och utbyten av bästa praxis mellan medlemsstaterna, inbegripet utarbetandet av principer för ett sam- arbete vid it-relaterade kriser, bör en samarbetsgrupp inrättas. Sam- arbetsgruppen ska stödja och underlätta strategiskt samarbete mellan medlemsstaterna vad gäller säkerhet i nätverk och informations- system. Den ska bestå av företrädare för medlemsstaterna, kommis- sionen och Europeiska unionens byrå för nät- och informations- säkerhet (). För att gruppen ska vara effektiv och inkluderande är det viktigt att alla medlemsstater har en minimikapacitet och en strategi som säkerställer en hög nivå på säkerheten i nätverk och in- formationssystem på det egna territoriet. Dessutom bör säkerhets- och rapporteringskrav gälla för leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster, för att främja en riskhanterings- kultur och säkerställa att de allvarligaste incidenterna rapporteras. (skäl 4) Medlemsstaternas befintliga kapacitet räcker inte för att säker- ställa en hög nivå på säkerheten i nätverk och informationssystem i unionen. Medlemsstaterna har mycket olika beredskapsnivåer, vilket har lett till skilda tillvägagångssätt i unionen. Resultatet blir olika skyddsnivåer för konsumenter och företag, vilket undergräver den allmänna nivån på säkerheten i nätverk och informationssystem i unionen. Avsaknaden av gemensamma krav för leverantörer av sam- hällsviktiga tjänster och leverantörer av digitala tjänster gör det i sin tur omöjligt att inrätta en övergripande och effektiv mekanism för samarbete på unionsnivå. Effektiva åtgärder för att lösa problemen vad gäller säkerhet i nätverk och informationssystem förutsätter där- för ett övergripande angreppssätt på unionsnivå, som omfattar en gemensam miniminivå för kapacitetsuppbyggnad och planering, ut- byte av information, samarbete och gemensamma säkerhetskrav för leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster. (skäl 5–6) 3.2Medlemsstaternas skyldigheter enligt direktivet Direktivet fastställer åtgärder för att uppnå en hög gemensam nivå på säkerhet i nätverk och informationssystem inom unionen, i syfte att förbättra den inre marknadens funktion (artikel 1.1 och 1.2). Åt- gärderna innebär att medlemsstaterna ska •anta en nationell strategi för säkerhet i nätverk och informations- system (artikel 7), •införa säkerhets- och incidentrapporteringskrav för leverantörer av samhällsviktiga tjänster och för leverantörer av digitala tjänster (artiklarna 14.1–3 och 16.1–3), •utse nationella behöriga myndigheter, nationella kontaktpunkt- er och enheter för hantering av it-säkerhetsincidenter (CSIRT- enheter) och reglera samarbetet dem emellan (artiklarna 8.1, 8.3, 9.1 och 10), •ingå i en samarbetsgrupp för strategiskt samarbete och informa- tionsutbyte (artikel 11) och •ingå i ett nätverk för enheter för hantering av it-säkerhetsinciden- ter () (artikel 12). Medlemsstaterna ska också, , •identifiera de leverantörer av samhällsviktiga tjänster som är etable- rade på deras territorium, och i det syftet •upprätta en förteckning över tjänster som är viktiga för att upp- rätthålla kritisk samhällelig och/eller ekonomisk verksamhet (arti- kel 5.1, 5.3 och 5.2 a). När det gäller leverantörer av samhällsviktiga tjänster får medlems- staterna anta eller behålla bestämmelser som syftar till att uppnå en högre nivå på säkerheten i nätverk och informationssystem än vad direktivet kräver (artikel 3). För leverantörer av digitala tjänster får medlemsstaterna dock inte införa ytterligare säkerhets- eller rappor- teringskrav (artikel 16.10). I betänkandet Informations- och cybersäkerhet i – Strategi och åtgärder för säker information i staten (SOU 2015:23) föreslås att regeringen ska anta en nationell strategi för statens informations- och cybersäkerhet. Betänkandet har remitterats och bereds för när- varande inom . Regeringen avser att prioritera detta arbete och bedömer att strategin bör kunna anpassas för att mot- svara direktivets krav på vad en nationell strategi för säkerhet i nät- verk och informationssystem ska innehålla. Frågan om hur en sådan strategi bör utformas omfattas enligt kommittédirektiven inte av utredarens uppdrag. 3.2.2Identifiering av leverantörer av samhällsviktiga tjänster och upprättande av en förteckning över samhällsviktiga tjänster En leverantör av samhällsviktiga tjänster definieras i direktivet som en offentlig eller privat enhet av en typ som avses i bilaga 2 till direk- tivet och som uppfyller vissa kriterier. Enheterna finns inom sju sektorer: •Energi, med delsektorerna elektricitet, olja och gas •Transporter, med delsektorerna lufttransport, järnvägstransport, sjöfart och vägtransport •Hälso- och sjukvårdssektorn, med delsektor hälso- och sjuk- vårdsmiljöer (inklusive sjukhus och privata kliniker) •Leverans och distribution av dricksvatten Kriterierna innebär att leverantören, för att träffas av direktivets bestämmelser, ska tillhandahålla en tjänst som är viktig för att upp- rätthålla kritisk samhällelig eller ekonomisk verksamhet, att tillhanda- hållandet av tjänsten ska vara beroende av nätverk och informations- system samt att en incident skulle medföra en betydande störning vid tillhandahållandet av tjänsten. (artiklarna 4.4 och 5.2). Medlemsstaterna bör enligt direktivet ansvara för att fastställa vilka enheter som uppfyller kriterierna för definitionen av leverantör av samhällsviktiga tjänster. I syfte att säkerställa ett enhetligt tillväga- gångssätt bör definitionen av leverantör av samhällsviktiga tjänster tillämpas konsekvent i alla medlemsstater. (skäl 19) Medlemsstater- na ska mot den bakgrunden identifiera de enheter som utgör leverantörer av samhällsviktiga tjänster som är etablerade på deras territorium. För att en leverantör ska anses vara etablerad i en medlemsstat krävs att leverantören utför en faktisk och reell verksamhet med hjälp av en stabil struktur. Den rättsliga formen bör inte vara avgörande, oavsett om det är en filial eller ett dotterbolag med juridisk personlighet. (skäl 21) För att kunna identifiera leverantörerna ska medlemsstaterna upp- rätta en förteckning över de tjänster som är viktiga för att upprätt- hålla kritisk samhällelig och/eller ekonomisk verksamhet (artikel 5.1, 5.2 a och 5.3). Syftet med förteckningen är alltså att urskilja de typer av samhällsviktiga tjänster inom en viss sektor som det hänvisas till i direktivet och därmed skilja dem från de icke samhällsviktiga tjänster som en enhet med verksamhet inom en viss sektor kan ansvara för. Vid bedömningen av om en enhet tillhandahåller en tjänst som är viktig för att upprätthålla kritisk samhällelig eller ekonomisk verk- samhet, är det alltså tillräckligt att undersöka om enheten tillhanda- håller en tjänst som finns upptagen i förteckningen (skäl 20). För att leverantören sedan ska omfattas av direktivets krav gäller där- utöver att tillhandahållandet av tjänsten är beroende av nätverk och informationssystem och att en incident skulle medföra en betydan- de störning vid tillhandahållandet av tjänsten. För att en leverantör ska omfattas av direktivets bestämmelser krävs alltså först och främst att leverantören tillhandahåller en tjänst som finns på förteckningen över samhällsviktiga tjänster. Om tjänst- en finns på förteckningen ska det i ett andra steg bedömas om leve- rantörens tillhandahållande av tjänsten är beroende av nätverk och informationssystem och om en incident skulle medföra en betydan- de störning vid tillhandahållandet av tjänsten. Medlemsstaterna ska minst efter se över och vid behov uppdatera förteckningen (artikel 5.5). Förteck- ningen ska och därefter tillhandahållas kommissionen som ett led i kommissionens arbete med att bedöma genomförandet av direktivet. Även information om antalet leverantörer av samhällsviktiga tjänster i varje sektor som av- ses i bilaga 2 till direktivet samt en uppgift om deras betydelse för sektorn ska lämnas till kommissionen (artikel 5.7 b–c). 3.2.3Säkerhets- och incidentrapporteringskrav för leverantörer av samhällsviktiga tjänster och för leverantörer av digitala tjänster Leverantörer av samhällsviktiga tjänster Medlemsstaterna ska säkerställa att leverantörer av samhällsviktiga tjänster vidtar ändamålsenliga och proportionella tekniska och orga- nisatoriska åtgärder för att hantera risker som hotar säkerheten i nätverk och informationssystem som de använder i sin verksamhet. Leverantörerna ska också åläggas att vidta lämpliga åtgärder för att förebygga och minimera verkningarna av incidenter som påverkar säkerheten i nätverk och informationssystem som används för att tillhandahålla sådana samhällsviktiga tjänster, i syfte att säkerställa kontinuiteten i dessa tjänster. Medlemsstaterna ska också säkerställa att leverantörer av samhällsviktiga tjänster utan onödigt dröjsmål till den behöriga myndigheten eller CSIRT-enheten rapporterar in- cidenter som har en betydande inverkan på kontinuiteten i de sam- hällsviktiga tjänster som de tillhandahåller. För att fastställa om en incident har betydande inverkan ska hänsyn tas till vissa särskilt an- givna faktorer. De samhällsviktiga tjänster som omfattas av direktivet finns inom sju olika sektorer vilka anges i bilaga 2 till direktivet. Sektorerna är energi, transporter, bankverksamhet, finsansmarknadsinfrastruktur, hälso- och sjukvårdssektorn, leverans och distribution av dricks- vatten samt digital infrastruktur. Inom sektorerna specificeras olika typer av enheter som bedriver verksamhet inom sektorerna. För att en leverantör ska omfattas av direktivet krävs att leverantören utgör en sådan enhet som anges i direktivet.