sou · H5B336 · 2017-05-02 00:00:00 — Det spelar ingen roll om en uppgift i och för sig bedöms som harmlös. från tillämpningen av 20 § KBF om krav på incidentrapportering för statliga myndigheter är att redan det faktum att en sekretessprövning ska ske utgör ett sådant osäkerhetsmoment för många aktörer att aktörerna underlåter att rapportera in incidenter eller rapporterar endast övergripande eller bristfällig information. Vissa myndigheter har uppgett till MSB att sekretessfrågan utgör ett problem för rapportering. Enligt MSB finns denna problematik i en ännu större utsträckning när det gäller privata aktörer. Dessa aktörer vill ha en garanti på förhand om att känsliga uppgifter inte kommer att lämnas ut. Avsaknaden av en sådan garanti utgör enligt MSB ett starkt hinder mot att rapportera incidenter. MSB bedömer att det inte är möjligt att lämna en sådan garanti utan regler om absolut sekretess. I utredningens arbete har framkommit att det i ett tidigt skede inte alltid står klart att uppgifterna är säkerhetskänsliga. Röjs säker- hetskänsliga uppgifter kan det svårligen repareras i efterhand. Det som sagts skulle kunna utgöra skäl för att införa absolut sekretess för aktuella uppgifter i incidentrapporteringen. Utredningens bedömning är att befintliga bestämmelser om sekretess i OSL omfattar uppgifter som ska rapporteras och delas med an- ledning av incidenter samt tillhandahållas i samband med tillsyn. När det gäller skyddet för enskilds affärs- eller driftförhållande ger däremot bestämmelsen i 30 kap. 23 § OSL i sig själv inte upphov till någon sekretess utan förutsätter att regeringen föreskriver om sekretess. Det ska därför införas en ny punkt i bilagan till OSF: till- syn enligt lagen (2018:000) om informationssäkerhet för vissa till- handahållare av samhällsviktiga tjänster och digitala tjänster. När det gäller frågan om det finns skäl att införa starkare sekre- tess för uppgifter som omfattas av bestämmelserna i 18 kap. 8 § 3 OSL konstaterar utredningen det inte framförts något exempel på brister i tillämpningen som skulle kunna motivera en starkare sekre- tess. Tvärtom har de avgöranden som rör incidentrapportering visat att bestämmelsen tillämpats på det sätt som avsetts. Det har framförts att det finns anledning att anta att vissa stat- liga myndigheter underlåter att följa bestämmelserna om it-incident- rapportering på grund av osäkerhet kring sekretessbestämmelsernas räckvidd. Det har också framförts att privata aktörer vill ha en garanti för att känsliga uppgifter inte kommer att lämnas ut av CSIRT- enheten. Utredningen konstaterar att det alltid måste göras en bedöm- ning av om det finns någon sekretessbestämmelse som den aktuella uppgiften omfattas av. Det är därför omöjligt för CSIRT-enheten att lämna en garanti om att en uppgift inte ska lämnas ut. Det gäller oavsett om det införs absolut sekretess eller om nuvarande bestäm- melse lämnas oförändrad. Det har inte framkommit något exempel på uppgifter om incidenter som skulle innebära skada om de röjs men som inte omfattas av någon sekretessbestämmelse. Utredningen anser därför att bestämmelserna i 18 kap. 8 § 3 OSL innebär ett tillräckligt skydd för uppgifter som kan komma att rappor- teras vid en incident. Det saknas därför skäl att införa en bestäm- melse om omvänt skaderekvisit eller absolut sekretess. Under utredningens arbete har det dock framkommit att det finns brister i kunskapen om offentlighets- och sekretesslagstiftning- en. Utredningen anser att detta bör kunna avhjälpas genom tydlig information till leverantörer som kommer att omfattas av det nya regelverket. I vissa fall kan uppgifter som omfattas av 18 kap. 8 § 3 OSL även omfattas av försvarssekretess enligt 15 kap. 2 § OSL. Den föreslag- na lagen ska inte tillämpas på verksamhet som är av betydelse för säkerhet. Det innebär att incidenter som rör säker- het inte ska rapporteras enligt den föreslagna lagen, utan enligt 10 a § säkerhetskyddsförordningen (1996:633), se avsnitt 5.4. Se även av- snitt 11.2.3. angående aggregerade uppgifter. 12.3Behövs en uppgiftsskyldighet för att information ska kunna delas mellan de svenska aktörerna? Bedömning: Genom att det i lagen (2018:000) om informations- säkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster införs krav på leverantörerna att dels incident- rapportera, dels tillhandahålla uppgifter vid tillsyn, införs också en sekretessbrytande uppgiftsskyldighet. Leverantörer av samhällsviktiga tjänster och digitala tjänster är en- ligt NIS-direktivet skyldiga att rapportera it-incidenter. Dessa ska rapporteras till MSB som föreslås bli CSIRT-enhet. Leverantörerna kan även behöva lämna annan känslig information om bl.a. säkerhets- och bevakningsåtgärder till tillsynsmyndigheten. I båda fallen kan det förekomma uppgifter om affärs- eller driftförhållanden. Utredningen ska enligt kommittédirektiven analysera om det finns behov av bestämmelser om sekretessbrytande uppgiftsskyl- dighet för att berörda leverantörer ska kunna uppfylla sin rapporte- ringsskyldighet. En grundläggande princip är att myndigheter är skyldiga att sam- arbeta och bistå varandra i den utsträckning som kan ske. Principen kommer till uttryck i bl.a. 6 § förvaltningslagen (1986:223). En pre- cisering av bestämmelsen finns i 6 kap. 5 § OSL, som innebär att en myndighet på begäran ska lämna uppgift som den förfogar över om inte uppgiften är sekretessbelagd, eller det skulle hindra arbetets be- höriga gång. Är någon sekretessbrytande bestämmelse tillämplig, även generalklausulen 10 kap. 27 § OSL, ska uppgiften lämnas ut en- ligt denna bestämmelse. En myndighets beslut att inte lämna ut en uppgift kan överklagas. I många fall måste myndigheter kunna utbyta information för att kunna utföra sina uppgifter. För att tillgodose myndigheters be- hov av information och informationsutbyte i sin verksamhet finns flera undantag från huvudregeln om sekretess mellan myndigheter. Sådana sekretessbrytande bestämmelser och bestämmelser om undan- tag från sekretess finns i 10 kap. OSL. Sekretessbrytande bestämmel- ser finns även i andra författningar som OSL hänvisar till, eller som en uppgiftsskyldighet varvid 10 kap. 28 § OSL blir tillämplig. Nedan följer en redogörelse för de sekretessbrytande bestämmelser i som är av intresse när det gäller förutsättningar att lämna ut upp- gifter om rapporterade it-incidenter, om säkerhets- och bevaknings- åtgärder och om affärs- och driftförhållanden. Sekretess enligt 10 kap. 2 § OSL hindrar inte att en uppgift lämnas till en enskild eller till en annan myndighet, om det är nödvändigt för att den utlämnande myndigheten ska kunna fullgöra sin verksam- het. Bestämmelsen kan vara tillämplig i fall där någon av de övriga sekretessbrytandereglerna inte gäller, men ska tillämpas restriktivt. En uppgift får lämnas ut med stöd av bestämmelsen bara när ut- lämnandet av uppgiften är en nödvändig förutsättning för att myn- digheten ska kunna fullgöra ett visst åliggande. Bara bedömningen att effektiviteten i myndighetens handlande sätts ned genom en föreskriven sekretess får inte leda till att sekretessen åsidosätts. Sekretess hindrar inte att en uppgift lämnas till en myndighet, om uppgiften behövs där för tillsyn över eller revision hos den myndig- het där uppgiften förekommer (10 kap. 17 §). Får en myndighet i verksamhet som avser tillsyn eller revision en sekretessreglerad upp- gift överförs sekretessen till den mottagande myndigheten om upp- giften inte ingår ett beslut hos den mottagande myndigheten (11 kap. 1 § OSL). Enligt den s.k. generalklausulen (10 kap. 27 § OSL) får en sekretess- belagd uppgift lämnas till en annan myndighet om det är uppenbart att intresset av att lämna uppgiften har företräde framför det in- tresse som sekretessen har att skydda. Generalklausulen tillkom mot bakgrund av att sekretess inte bör hindra myndigheter från att utväxla uppgifter i situationer där intresset av att uppgifterna lämnas ut bör ha företräde framför intresset av att uppgifterna inte lämnas ut. Generalklausulen kan inte tillämpas om utlämnandet strider mot lag eller förordning eller föreskrift som har meddelats med stöd av personsuppgiftslagen. Har det t.ex. i en lag föreskrivits att en viss myndighet för sin verksamhet på vissa villkor kan få ta del av även hemliga uppgifter hos en annan myndighet, kommer det givetvis inte på fråga att, när de angivna villkoren inte är uppfyllda, lämna ut upp- gifterna med stöd av generalklausulen i stället. Om det i en lag eller förordning uttömmande anges i vilka fall uppgifter får lämnas mellan myndigheter kan generalklausulen inte heller tillämpas i andra fall. Bestämmelsen är subsidiär i förhållande till andra sekretessbry- tande bestämmelser och ska alltså inte tillämpas om någon annan sekretessbrytande bestämmelse kan tillämpas. Möjligheten att utväxla sekretessbelagda uppgifter får utnyttjas mera sparsamt och med större försiktighet om informationen inte är sekretessbelagd hos den mottagande myndigheten. Detta gäller särskilt i fråga om uppgifter som är sekretessbelagda av hänsyn till enskildas intressen. Om den uppgift som överlämnandet gäller inte blir sekretessbelagd hos den mottagande myndigheten kan risken för att skada ska uppkomma vara så stor att uppgiften inte bör lämnas ut. Att sekretessen hos den mottagande myndigheten är något sva- gare än hos den utlämnande myndigheten har inte ansetts spela så stor roll i praktiken. Vid prövningen av en utlämnandefråga enligt generalklausulen ska en avvägning göras mellan den mottagnade myndighetens behov av uppgifterna och det intresse som sekretesskyddet typiskt sett till- Ytterligare omständigheter som är av betydelse är uppgift- ernas art och i vilket syfte de ska användas. Generalklausulen hindrar inte att utbyte av uppgifter mellan myn- digheter sker rutinmässigt även utan särskild författningsreglering, även om det i förarbetena uttalas att rutinmässigt uppgiftsutbyte i regel ska vara författningsreglerat. I de fall där ett rutinmässigt upp- giftslämnande inte är författningsreglerat men ändå kan anses till- räckligt motiverat måste den intresseavvägning som ska göras ske på förhand. Den behöver då inte avse prövning av individuella fall. Bedömningen kan i så fall göras på ett sätt som liknar den som ska ske i fråga om massuttag. I situationen med massuttag kan emeller- tid den berörde tjänstemannen av naturliga skäl inte bilda sig en uppfattning om den särskilda skaderisk som kan vara förbunden med en enskild uppgift. Å andra sidan har tjänstemannen alltid känne- dom om beställarens identitet och oftast också om beställarens avsikt med uppgifterna. Dessa kunskaper i förening med en bedömning av den skaderisk som typiskt sett är förbunden med uppgifter av det slag som avses med beställningen bör enligt förarbetsuttalanden i de allra flesta fall ge fullt tillräckligt underlag för bedömningen av om sekretessregleringen ska anses hindra ett utlämnande eller inte. Sekretess hindrar inte att en uppgift lämnas till en annan myndig- het, om uppgiftsskyldighet följer av lag eller förordning. Sekretess- brytande bestämmelser finns också i anslutning till berörda sekre- tessbestämmelser. (10 kap. 28 § OSL) Genom 20 § förordningen (2015:1052) om krisberedskap och be- vakningsansvariga myndigheters åtgärder vid höjd beredskap (KBF) har en sådan uppgiftsskyldighet som avses i 10 kap. 28 § OSL införts. Myndigheterna kan alltså med stöd av förordningen överlämna de uppgifter som avses till MSB, även om uppgifterna omfattas av sek- retess hos myndigheterna. Utredningen konstaterar att det finns flera sekretessbrytande bestäm- melser som kan tillämpas för att uppgifter som omfattas av sekretess ska kunna delas mellan myndigheter i samband med tillsyn och incidentrapportering. Mot bakgrund av att direktivet omfattar sju olika sektorer är det svårt att överblicka vilken typ av uppgifter som kommer att omfattas av kravet att incidentrapportera. Efter- som enskilda inte omfattas av om utlämnande måste det i den nya lagen finnas bestämmelser om krav på incident- rapportering och att tillhandahålla uppgifter vid tillsyn. Genom in- förandet av sådana bestämmelser införs också en sekretessbrytande uppgiftsskyldighet för de aktörer som omfattas av OSL. 12.4Behövs nya bestämmelser för att uppgifter ska kunna lämnas till andra medlemsstater eller kommissionen? De befintliga bestämmelserna i tillgodoser NIS- direktivets krav på utlämnande av uppgifter till andra medlems- stater och till kommissionen. NIS-direktivets bestämmelser om samarbete mellan medlemsstater- na kan innebära att information som helt eller delvis omfattas av sekretess behöver utlämnas till annan medlemsstat eller till kom- missionen. En förutsättning för ett sådant utlämnande är enligt 8 kap. 3 § OSL att utlämnandet sker i enlighet med särskilda föreskrifter i lag eller förordning, eller att uppgiften i motsvarande fall skulle få lämnas ut till en svensk myndighet och det enligt den utlämnande myndighetens prövning står klart att det är förenligt med svenska intressen att uppgiften lämnas till den utländska myndigheten eller den mellanfolkliga organisationen. I den föreslagna förordningen anges att den gemensamma nationella kontaktpunkten (MSB) ska lämna uppgifter om incidenter till sam- arbetsgruppen och att CSIRT-enheten vid MSB ska informera andra medlemsstater om vissa incidenter. I ska sekretess- belagda uppgifter inte utbytas (artikel 12.3). Utredningen bedömer att ett sådant utbyte av sekretessbelagda uppgifter som följer av NIS-direktivet kan göras med stöd av 8 kap. 3 § 1 och 2. Något behov av ytterligare reglering finns inte. I de fall en leverantör felaktigt rapporterar incidenter som rör säkerhet i enlighet med bestämmelserna i den föreslagna lagen ankommer det på CSIRT-enheten att uppmärksamma detta. Efter- som sådana incidenter inte omfattas av rapporteringsplikten i den föreslagna lagen ska de inte heller rapporteras till andra medlemsstater eller till kommissionen. Detsamma gäller uppgifter i incidentrap- porter som var för sig inte rör säkerhet, men som tillsammans utgör en ny uppgift som rör säkerhet (aggregerad infor- mation). 12.5Hantering av information som mottagits från andra medlemsstater Bedömning: De befintliga bestämmelserna om sekretess i OSL tillgodoser NIS-direktivets krav på konfidentialitet beträffande information som svenska myndigheter tar emot från andra med- lemsstater i den Europeiska unionen till följd av NIS-direktivets bestämmelser. När det gäller incidentrapporter från leverantörer av samhällsviktiga tjänster ska den behöriga myndigheten eller , mot bakgrund av informationen i rapporten, informera den eller de andra berörda medlemsstaterna, om incidenten har en betydande in- verkan på kontinuiteten i samhällsviktiga tjänster i den medlems- staten. Därvid ska den behöriga myndigheten eller CSIRT-enheten, i enlighet med unionsrätten eller med nationell lagstiftning som är förenlig med unionsrätten, bevara nämnda leverantörs säkerhets- intressen och kommersiella intressen samt konfidentialiteten hos in- formationen i leverantörens rapport (artikel 14.5). Beträffande incidentrapporter från leverantörer av digitala tjänster ska den behöriga myndigheten eller CSIRT-enheten, om så är lämp- ligt, och särskilt om incidenten berör två eller flera medlemsstater, informera andra medlemsstater som påverkats. Därvid ska de behöriga myndigheterna, CSIRT-enheter och gemensamma kontaktpunkter, i enlighet med unionsrätten eller nationell lagstiftning som är för- enlig med unionsrätten, bevara leverantören av digitala tjänsters säker- hetsintressen och kommersiella intressen samt den tillhandahållna informationens konfidentialitet (artikel 16.6). Sekretess gäller enligt 15 kap. 1 a § OSL för uppgift som en myn- dighet har fått från ett utländskt organ på grund av en bindande EU- rättsakt eller ett av EU ingånget eller av godkänt avtal med en annan stat eller med en mellanfolklig organisation, om det kan antas att möjlighet att delta i det internationella samarbete som avses i rättsakten eller avtalet försämras om uppgiften röjs. I bestämmelsen regleras sekretess för uppgifter som har lämnats till eller inhämtats av en myndighet på grund av en bindande EU-rättsakt. Med bindande EU-rättsakt avses förordning, direktiv eller beslut.11 Utredningens bedömning är att information som tas emot till följd av bestämmelserna i omfattas av 15 kap. 1 a § OSL. Befintliga regler säkerställer därmed leverantörens säkerhetsintressen och kommersiella intressen samt konfidentialiteten hos information- en i leverantörens incidentrapport. 2012/13:192 s. 43. I utredningens uppdrag ingår att beskriva konsekvenserna av läm- nade förslag i enlighet med 14–15 a §§ i kommittéförordningen (1998:1474). När det gäller kostnadsökningar och intäktsminskning- ar för staten, kommuner eller landsting, ska kommittén föreslå en finansiering. Eftersom utredningen lämnar författningsförslag ska konsekvens- utredningen också göras i enlighet med 6 och 7 §§ förordningen (2007:1244) om konsekvensutredning vid regelgivning. Utredningen bedömer att följande områden inte berörs av för- slagen. •sysselsättning och offentlig service i olika delar av landet •jämställdheten mellan kvinnor och män •möjligheterna att nå de integrationspolitiska målen I regeringens budgetproposition 2016/17:1, utgiftsområde 6 s. 73 och 80 f. framförs följande när det gäller NIS-direktivet. Det krävs ett fortsatt arbete för att stärka informationssäkerheten i samhället där MSB har en viktig samordnande roll. För att hålla jämna steg med den digitala utvecklingen och skydda samhällsviktig verksamhet behöver alla aktörer i samhället fortlöpande stärka förmågan att förebygga och hantera it-incidenter. För aktörer som bedriver samhällsviktig verksamhet kommer genomförandet av NIS-direktivet att innebära höjda krav på en god informationssäkerhet, vilket i sin tur gynnar hela samhället. Det förändrade omvärldsläget gör att samhällets behov av informations- och cybersäkerhet har ökat påtagligt. Digitaliser- ingen i samhället har bland annat inneburit nya former av kommuni- kation, datahantering och datalagring, vilket medfört nya risker och För att den digitala utvecklingen ska kunna fortsätta på ett säkert sätt behöver alla aktörer, såväl privata som offentliga, mer aktivt arbeta med informations- och cybersäkerhet. Regeringen avser därför att utarbeta en nationell strategi som omhändertar olika per- spektiv för att kunna identifiera och möta utmaningar mot samhällets informations- och cybersäkerhet. Det är också av central betydelse att genomföra EU-direktivet om åtgärder för en hög gemensam nivå av säkerhet i nätverk och informationssystem (NIS-direktivet). Direk- tivet innebär bl.a. högre krav på enskilda aktörer som bedriver sam- hällsviktig verksamhet och som är beroende av informationssystem. NIS-direktivets genomförande nämns även under utgiftsom- råde 22 s. 106. Utredningens huvudsakliga uppdrag har varit att genomföra NIS- direktivet genom att bland annat fastställa åtgärder för att uppnå en hög gemensam nivå på säkerhet i nätverk och informationssystem inom unionen i syfte att förbättra den inre marknadens funktion. Direktivet är bindande för medlemsstaterna med avseende på det re- sultat som ska uppnås och måste genomföras i nationell rätt oavsett kostnaderna. Medlemsstaterna har mycket olika beredskapsnivåer när det gäller säkerhet i nätverk och informationssystem vilket lett till skilda till- vägagångssätt i unionen. Resultatet blir olika skyddsnivåer för konsu- menter och företag vilket undergräver den allmänna nivån på säkerhet i nätverk och informationssystem i unionen. Avsaknaden av gemen- samma krav gör det i sin tur omöjligt att inrätta en övergripande och effektiv mekanism för samarbete på unionsnivå. Effektiva åtgärder för att lösa problemen förutsätter ett övergripande angreppssätt på unionsnivå som omfattar en gemensam miniminivå för kapacitets- uppbyggnad och planering, utbyte av information, samarbete och gemensamma säkerhetskrav. I vissa delar medger direktivet valmöjlighet vid genomförandet. När det gäller leverantörer av samhällsviktiga tjänster kan medlems- staterna anta eller behålla bestämmelser som syftar till att uppnå en högre nivå på säkerheten i nätverk och informationssystem. Med- lemsstaterna kan också utse en eller flera myndigheter för att över- vaka tillämpningen av NIS-direktivet på nationell nivå. NIS-direktivet ger också medlemsstaterna möjlighet att införa frivillig incident- rapportering. Förslagen överensstämmer med m.m. Den föreslagna regleringen är i princip uteslutande en konsekvens av medlemskap i den Europeiska unionen. Regleringen över- ensstämmer med skyldigheter som följer av anslutningen till den Europeiska unionen och går inte utöver dessa skyldigheter. För- slagen innehåller inga krav som syftar till att uppnå en högre nivå av säkerhet i nätverk och informationssystem än de som anges i NIS- direktivet. Utredningen har dock, enligt uppdraget i kommittédirek- tiven, föreslagit att det ska inrättas en samordnande funktion mellan tillsynsmyndigheterna. Även den föreslagna tidpunkten för ikraft- trädande följer direkt av NIS-direktivets bestämmelser. Effekten av om någon reglering inte kommer till stånd blir således att inte följer skyldigheterna enligt . 13.1.2Vem berörs av förslagen Lagen (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster med tillhörande för- ordning kommer att omfatta leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster oavsett i vilken form verksam- heten bedrivs. tillhandahålls dessa tjänster av statliga myndig- heter, kommuner, landsting eller företag. Användare av samhällsviktiga tjänster och digitala tjänster finns i hela samhället men konsekvenserna av ett bortfall i tjänsten beror på vem som är användare. Ett antal myndigheter föreslås också få särskilda uppdrag till följd av NIS-direktivet. Enligt direktivet ska det utses behöriga myn- digheter (tillsynsmyndigheter), nationell kontaktpunkt och CSIRT- enhet. ska också utse representanter i den samarbetsgrupp som inrättats enligt NIS-direktivet samt deltagare i . Kommittédirektiven anger också att det ska finnas en samordnande funktion mellan tillsynsmyndigheterna. Medlemsstaterna ska enligt NIS-direktivet säkerställa att de behöriga myndigheterna och de nationella kontaktpunkterna har tillräckliga resurser för att på ett effektivt sätt kunna utföra de uppgifter de till- delas och därigenom uppnå målen med direktivet (artikel 8.5). I NIS-direktivet finns inga bestämmelser om hur åtgärderna ska finansieras. Enligt kommittédirektiven ska utredningen bedöma de ekono- miska konsekvenserna av förslagen för enskilda och det allmänna. Leder förslagen till kostnadsökningar för det allmänna ska utred- ningen föreslå hur dessa ska finansieras. 13.2.1Konsekvenser för Myndigheten för samhällsskydd och beredskap, behöriga myndigheter och domstolar Ekonomiska konsekvenser för Myndigheten för samhällsskydd och beredskap Myndigheten för samhällsskydd och beredskap (MSB) föreslås vara nationell kontaktpunkt, CSIRT-enhet och ingå i . MSB föreslås också vara representant i samarbetsgruppen. Medlemsstaterna ska säkerställa att CSIRT-enheten har de resur- ser som behövs för att effektivt utföra sina uppgifter enligt bilaga 1 p. 2 till NIS-direktivet (artikel 9.2). CSIRT-enheten ska ha tillgång till lämplig, säker och moståndskraftig kommunikations- och infor- mationsinfrastruktur på nationell nivå (artikel 9.3). Den nationella kontaktpunkten bör enligt NIS-direktivet förses med de tekniska och finansiella resurser och personalresurser som den behöver för att på ett effektivt sätt kunna utföra de uppgifter som den tilldelas och därmed uppnå målen med direktivet.