sou · H5B336 · 2017-05-02 00:00:00 — Bakgrunden till paragrafen behandlas i avsnitt 10.3. Paragrafen genomför artikel 16.2 i NIS-direktivet. Säkerhetsåtgärderna i 14 § ska även omfatta åtgärder för att före- bygga och minimera verkningar av incidenter i syfte att säkerställa kontinuiteten i tjänsten. När det gäller lämpliga åtgärder hänvisas till kommentaren till 11 §. Bakgrunden till paragrafen behandlas i avsnitt 10.3. Leverantörer av samhällsviktiga tjänster Paragrafen genomför artikel 14.3 i NIS-direktivet. Paragrafens första stycke anger vem som ska rapportera inciden- ter och när rapporteringen ska ske. Endast händelser med en faktisk negativ inverkan på säkerheten i nätverk och informationssystem och som orsakat en betydande inverkan på kontinuiteten på tjänsten ska rapporteras. Ansvaret för rapportering åligger den verksamhet som identi- fierats som leverantör av en samhällsviktig tjänst. Med utan onödigt dröjsmål avses att rapporteringen ska ske så snart de uppgifter som ska lämnas finns tillgängliga. Kravet på rap- portering ska inte inverka negativt på arbetet att avhjälpa incidenten. Rapportering bör därför ske efter att de första kritiska åtgärderna för att avhjälpa incidenten vidtagits. I de fall incidenten påverkar flera leverantörer eller är gränsöverskridanden bör rapportering ske . Det innebär att en första rapportering kan komma att be- höva kompletteras när incidenten avhjälpts. Myndigheten för samhällsskydd och beredskap får meddela när- mare föreskrifter om incidentrapportering. Det kan finnas skäl för att även andra leverantörer än de som är rapporteringsskyldiga enligt denna lag ska kunna rapportera inciden- ter enligt ett system för frivillig rapportering. Myndigheten för sam- hällsskydd och beredskap får föreskriva om de närmare förutsätt- ningarna för sådan frivillig rapportering enligt 10 § 4 förordningen. Incidenter som är av betydelse för säkerhet ska inte rapporteras enligt denna lag. Sådana incidenter rapporteras i stället enligt 10 a § säkerhetskyddsförordningen (1996:633), se avsnitt 5.4. I andra stycket anges att ett krav på innehåll i rapporten är att det ska vara möjligt att fastställa om incidenten har gränsöverskridande verkningar. Närmare utformning av rapporterns innehåll meddelas i myndighetsföreskrifter, se 10 § 3 förordningen. Vid utformningen av rapporten bör även hänsyn tas till att den nationella kontakt- punkten ska lämna en sammanfattande rapport till kommissionen en gång . I rapporten ska bland annat ingå uppgifter om in- cidentens art och om vilka åtgärder som vidtagits (artikel 10.3). Vid rapporteringen bör inga personuppgifter behandlas utöver vad som krävs för administration av rapporten. CSIRT-enheten får enligt tredje stycket inte ställa några ytterligare krav på leverantören med anledning av rapporteringen av incidenten som t.ex. ytterligare utredning. Bakgrunden till paragrafen behandlas i avsnitt 7.3.2 och 7.3.4. Paragrafen genomför artikel 14.4 i NIS-direktivet. Fastställandet av vilka incidenter som har en betydande inverkan på kontinuiteten i en samhällsviktig tjänst bör utgå från de faktorer som anges i bestämmelsen samt de förhållanden som finns inom re- spektive sektor. Beroende på vilken sektor som avses kan faktorer- na också ges olika vikt. Befintliga bestämmelser om kontinuitet och driftsäkerhet i sektorn bör kunna användas som en utgångspunkt i den utsträckning det är lämpligt. Den samarbetsgrupp som inrättats genom NIS-direktivet får ut- arbeta och anta riktlinjer om incidentrapportering och vilka faktorer som ska användas för fastställandet av hur betydande en incidents inverkan är (artikel 14.7). Myndigheten för samhällsskydd och bered- skap är representant i samarbetsgruppen och i den utsträck- ning samarbetsgruppen utarbetar och antar riktlinjer för skyldigheten att rapportera incidenter och vilka faktorer som ska användas bör Myndigheten för samhällsskydd och beredskap lämna råd och stöd till tillsynsmyndigheterna vid utarbetandet av myndighetsföreskrifter. Fastställandet bör samordnas med förfarandet för fastställande av om en störning är betydande när leverantörer av samhällsviktiga tjänster identifieras. Bakgrunden till paragrafen behandlas i avsnitt 6.2.2 och 7.3.2. Paragrafen genomför artikel 16.5 i NIS-direktivet. Till följd av bestämmelsen får CSIRT-enheten och tillsynsmyn- digheten kännedom om incidenter och eventuella brister i säkerheten hos leverantörer av digitala tjänster som påverkat samhällviktiga tjänster. Incidenten kan utgöra bevis för att en leverantör av digitala tjänster inte uppfyller kraven på säkerhet och därmed ligga till grund för tillsynsåtgärder. Vid rapportering ska inga personuppgifter behandlas utöver vad som krävs för administration av rapporten. Bakgrunden till paragrafen behandlas i avsnitt 7.3.2. Leverantörer av digitala tjänster Paragrafen genomför artikel 16.3 i NIS-direktivet. Med en incident avses enligt definitionen i 7 § 6 en händelse med en faktisk negativ inverkan på säkerheten i nätverk och informations- system. Angående begreppet utan onödigt dröjsmål, se kommenta- ren till 16 §. Kommissionen får anta genomförandeakter som fastställer format och förfaranden tillämpliga på rapporteringen. Till dess att sådana genomförandeakter antagits meddelas närmare föreskrifter i detta avseende i myndighetsföreskrifter, se 10 § 3 förordningen. Vid rapporteringen bör inga personuppgifter behandlas utöver vad som krävs för administration av rapporten. Att rapporteringen inte ska medföra ökat ansvar för den som rapporterat innebär att det inte får ställas några ytterligare krav på leverantören med anledning av rapporteringen. Det är t.ex. inte tillåtet att begära att leverantören genomför ytterligare utredning om in- cidenten. Bakgrunden till paragrafen behandlas i avsnitt 10.3. Paragrafen genomför artikel 16.4 i NIS-direktivet. Bedömningen av om en incident har en avsevärd inverkan på till- handahållandet av tjänsten ska framför allt göras utifrån de faktorer som anges i paragrafens första stycke. Till skillnad från vad som gäller för leverantörer av samhällsviktiga tjänster får tillsynsmyndigheten inte meddela föreskrifter i detta avseende. Kommissionen ska emeller- tid anta genomförandeakter för att speci- ficera faktorerna. Av paragrafens andra stycke framgår att rapporteringsskyldig- heten gäller bara om leverantören har tillgång till den information som behövs för att bedöma en incidents inverkan mot bakgrund av de angivna faktorerna. Detta innebär inte att rapporteringsskyldig- heten bortfaller för det fall att någon av faktorerna är okända för leverantören. I vissa fall kan leverantören sakna möjlighet att ta reda på t.ex. antalet användare. Ett sådant exempel är när en molntjänst- leverantör agerar personuppgiftsbiträde. Det kan då finnas uppgifter lagrade hos leverantöreren som leverantören kan vara förhindrad att behandla för egen räkning. Bakgrunden till paragrafen behandlas i avsnitt 10.3. Förpliktande att informera allmänheten om en incident Paragrafen genomför artikel 16.7 i NIS-direktivet såvitt gäller skyl- digheten för en leverantör att informera allmänheten om en incident. Enligt NIS-direktivet får även behöriga myndigheter eller CSIRT- enheter i andra berörda länder i Europeiska unionen kräva att en leverantör av digitala tjänster under svensk jurisdiktion informerar allmänheten om en incident. I dessa fall får kravet mot leverantören framställas av den svenska CSIRT-enheten efter samråd inom CSIRT- nätverket eller med den behöriga myndigheten i det andra landet. Bakgrunden till paragrafen behandlas i avsnitt 11.2.3. Paragrafen genomför artikel 8.1–2 i NIS-direktivet. Syftet med åtgärden tillsyn är att kunna bedöma hur leveran- törerna uppfyller säkerhetskraven och kraven på incidentrappor- tering samt bedöma vilka effekter direktivets krav får på säkerheten i nätverk och informationssystem. Det innebär att tillsyn i form av självskattning eller kontroll av att relevant dokumentation finns på plats inte uppfyller direktivets krav. Resultatet från en tillsyn kan ligga till grund för sanktioner och förelägganden om att avhjälpa brister. I 5 § förordningen anges vilka myndigheter som är nationella be- höriga myndigheter, tillsynsmyndigheter, och att det finns en till- synsmyndighet för varje sektor. Bakgrunden till paragrafen behandlas i avsnitt 8.3.1 och 8.5.1–2. Genom paragrafen genomförs artiklarna 15.1 och 17.2 a i NIS- direktivet. Bestämmelsen ger tillsynsmyndigheten tillträde till områden, loka- ler och andra utrymmen, dock inte bostäder, i den utsträckning det krävs för att kunna utöva tillsyn. Bakgrunden till paragrafen behandlas i avsnitt 8.5.3. Paragrafen genomför artiklarna 15.2 och 17.2 a i NIS-direktivet. får enligt första stycket förelägga en leve- rantör att tillhandahålla information enligt 26 och 27 §§. Bestämmelsen kan också användas i de fall den som tillhanda- håller en samhällsviktig tjänst inte anser sig omfattas av lagen. Genom att tillsynsmyndigheten utfärdar ett föreläggande som kan överkla- gas kan frågan om lagens tillämpningsområde prövas av domstol. Ett beslut om föreläggande får enligt andra stycket förenas med vite. Beslutet kan överklagas, se 49 §. Bakgrunden till paragrafen behandlas i avsnitt 6.2.2 och 8.5.3. Paragrafen genomför artiklarna 15.1 och 17.2 a i NIS-direktivet. Tillsynsmyndigheterna ska ha de befogenheter som de behöver för att utöva tillsyn och bör därför vid behov kunna begära biträde av . Bakgrunden till paragrafen behandlas i avsnitt 8.5.3. Leverantörer av samhällsviktiga tjänster Paragrafen genomför artikel 15.2 i NIS-direktivet. I paragrafens första stycke anges i punkterna 1–3 vilken informa- tion som leverantören av samhällsviktiga tjänster ska tillhandahålla tillsynsmyndigheten för att tillsynsmyndigheten ska kunna utöva en effektiv tillsyn. Det kan vara fråga om risk- och säkerhetsanalyser, åtgärdsplaner, dokumenterade säkerhetsprinciper, genomförda säker- hetsrevisioner m.m. I andra stycket anges att tillsynsmyndigheten måste kunna uppge syftet med begäran och precisera vilken information som krävs. Bak- grunden till detta är att leverantören ska åsamkas så lite olägenheter som möjligt. Dock måste leverantören alltid kunna beskriva hur det systema- tiska informationssäkerhetsarbetet ser ut för att tillsynsmyndigheten ska kunna få en uppfattning om hur informationssäkerhetsarbetet styrs och vilken information som är nödvändig för att kunna genom- föra tillsynen. Bakgrunden till paragrafen behandlas i avsnitt 8.5.3. Leverantörer av digitala tjänster Paragrafen genomför artikel 17.2 a i NIS-direktivet. Bakgrunden till paragrafen behandlas i avsnitt 10.4. Paragrafen genomför artikel 17.1 i NIS-direktivet. Till skillnad mot vad som gäller beträffande leverantörer av sam- hällsviktiga tjänster ska tillsynsåtgärder beträffande leverantörer av digitala tjänster vidtas bara när tillsynsmyndigheten på något sätt fått kännedom om att leverantören inte uppfyller lagens krav. Till- synsmyndigheten kan få sådan kännedom genom t.ex. en tjänste- användare, andra tillsynsmyndigheter eller genom incidentrappor- teringen. Bakgrunden till paragrafen behandlas i avsnitt 10.4. Paragrafen är tillämplig endast på leverantörer av samhällsviktiga tjänster. Beträffande leverantörer av digitala tjänster får tillsynsmyn- digheten inte vidta några tillsynsåtgärder om den inte fått känne- dom om att leverantören inte följer regelverket. Vad som är skälig tid enligt paragrafen får avgöras utifrån om- ständigheterna i det enskilda fallet. Att en leverantör av samhälls- viktiga tjänster inte yttrar sig hindrar inte tillsynsmyndigheten från att gå vidare i tillsynen. Bakgrunden till paragrafen behandlas i avsnitt 9.7. Paragrafen genomför artiklarna 15.3 och 17.2 b i NIS-direktivet och är tillämplig på både leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster. Det är inte givet att kännbara sanktioner i alla lägen är det mest effektiva sättet att uppnå lagens syfte. I de fall tillsynsmyndigheten konstaterar att en leverantör av samhällsviktiga tjänster eller en leve- rantör av digitala tjänster gjort sig skyldig till en överträdelse bör till- synsmyndigheten, på lämpligt sätt, försöka förmå leverantören att vidta rättelse. Bakgrunden till paragrafen behandlas i avsnitt 9.7. Paragrafen genomför artiklarna 15.3, 17.2 b och 21 i NIS-direktivet. Bakgrunden till paragrafen behandlas i avsnitt 8.5.3 och 9.5. Paragrafen genomför artikel 21 i NIS-direktivet. Avgiftsskyldigheten bygger på strikt ansvar. Även statliga myndigheter och kommuner kan meddelas beslut om sanktionsavgift enligt lagen, se avsnitt 9.8. Bakgrunden till paragrafen behandlas i avsnitt 9.6. Paragrafen genomför artikel 21 i NIS-direktivet. Angivna lägsta och högsta belopp är desamma som de som gäller för företagsbot. Bakgrunden till paragrafen behandlas i avsnitt 9.6.4. Paragrafen genomför artikel 21 i NIS-direktivet. Vid bestämningen av sanktionsavgiften i det enskilda fallet bör hänsyn tas till alla relevanta omständigheter. De omständigheter som anges i paragrafen bör särskilt beaktas. Uppräkningen är emellertid inte uttömmande. Utöver de i lagen angivna omständigheterna kan hänsyn behöva tas till hur länge överträdelsen pågått, om aktören tidi- gare har gjort sig skyldig till överträdelser av lagen, om överträdel- serna i så fall är likartade och hur som gått mellan överträ- delserna. Den överträdda bestämmelsens betydelse för tillsynsområdet kan också vara relevant. I mildrande riktning kan det vara aktuellt att beakta om leverantören har samarbetat med tillsynsmyndigheten för att komma till rätta med överträdelsen. Bakgrunden till paragrafen behandlas i avsnitt 9.6.5. Paragrafen genomför artikel 21 i NIS-direktivet. Mot bakgrund av att avgiftsskyldigheten bygger på strikt ansvar måste det finnas en möjlighet för tillsynsmyndigheten att underlåta att besluta om sanktionsavgift. bör i det en- skilda fallet göra en nyanserad bedömning av om omständigheterna ger anledning till jämkning eller eftergift. Omständigheter som kan vara av betydelse kan vara överträdelsens allvarlighet och om leve- rantören gjort rättelse. En annan situation som kan innebära att det framstår som oskäligt att besluta om sanktionsavgift är om leveran- tören drabbas av sanktionsavgift enligt något annat regelverk för i princip samma brist. Det skulle också kunna uppstå situationer där en leverantör på grund av avtal med t.ex. en underleverantör blir skyldig att betala skadestånd till följd av en brist som sanktioneras genom lagens bestämmelser. Bakgrunden till paragrafen behandlas i avsnitt 9.6.6. Paragrafen genomför artikel 21 i NIS-direktivet. Om vite har dömts ut är det inte möjligt att besluta om sanktion för samma sak. Den avgörande tidpunkten för när sådant hinder uppkommer är när det inleds en domstolsprocess angående frågan om utdömande av vitet. Ett föreläggande om vite hindrar inte ett senare beslut om sanktionsavgift så länge tillsynsmyndigheten inte har ansökt om utdömande av vitet. Bakgrunden till paragrafen behandlas i avsnitt 9.6.7. Paragrafen genomför artikel 21 i NIS-direktivet. Paragrafen reglerar förfarandet vid beslut om sanktionsavgift. Bakgrunden till paragrafen behandlas i avsnitt 9.6.8. Paragrafen genomför artikel 21 i NIS-direktivet. Paragrafen innebär att sanktionsavgift inte får beslutas om den som anspråket riktas mot inte har getts tillfälle att yttra sig från överträdelsen. Bakgrunden till paragrafen behandlas i avsnitt 9.6.8. 39–42 §§ Paragraferna genomför artikel 21 i NIS-direktivet. I paragraferna anges hur betalning av sanktionsavgift ska ske och att beslut om sanktionsavgift vid utebliven betalning får ske utan föregående dom eller utslag. Vidare anges att obetald avgift ska läm- nas för indrivning. Bestämmelser om indrivning av statliga fordringar finns i lagen (1993:891) om indrivning av statliga fordringar m.m. Slutligen stadgas att en beslutad avgift faller bort om beslutet inte har verkställts från laga kraft. Bakgrunden till paragraferna behandlas i avsnitt 9.6.9. Paragrafen genomför artikel 8.3 i NIS-direktivet. Myndigheten för samhällsskydd och beredskap är enligt 7 § för- ordningen gemensam nationell kontaktpunkt. Den gemensamma kontaktpunktens uppgifter anges i 7 § förord- ningen. Bakgrunden till paragrafen behandlas i avsnitt 11.1. av it-säkerhetsincidenter (CSIRT-enhet) Paragrafen genomför artiklarna 9.1, 14.3 och 16.3 i NIS-direktivet. Myndigheten för samhällsskydd och beredskap är enligt 8 § för- ordningen CSIRT-enhet i . Kraven på CSIRT-enheten och CSIRT-enhetens uppgift anges i 8 § förordningen samt i punkt 2 i bilaga 1 till NIS-direktivet. Bakgrunden till paragrafen behandlas i avsnitt 7.3.2 och 11.2. Paragrafen genomför artiklarna 6 och 14.1–2 och 4 i NIS-direktivet. Bemyndigandet i punkt 1 gör det möjligt att meddela föreskrifter om de sektorspecifika och sektorövergripande faktorer som ska be- aktas när det fastställs om en incident medför en betydande störning vid identifiering av leverantörer av samhällsviktiga tjänster. I 11 § för- ordningen bemyndigas tillsynsmyndigheten att, utifrån sina kunskaper om verksamheten och om konsekvenserna av en incident, meddela föreskrifter i detta avseende. I arbetet med att ta fram sektorspecifika faktorer har samarbets- gruppen en viktig uppgift att verka för att bedömningen blir enhetlig inom hela unionen (artikel 5.6). Myndigheten för samhällsskydd och beredskap företräder i samarbetsgruppen som inrättats genom NIS-direktivet och tillsynsmyndigheterna ska stödja Myndig- heten för samhällsskydd och beredskap med information om an- talet leverantörer och eventuella tröskelvärden. Bemyndigandet i punkt 2 gör det möjligt att meddela föreskrifter om ett systematiskt och riskbaserat informationssäkerhetsarbete. Detta är ett sätt för verksamhetens ledning att systematiskt styra arbetet med informationssäkerhet. Arbetet bör utgå från en godkänd nationell eller internationell standard. Föreskrifter om detta finns för statliga myndigheter (MSBFS 2016:1). Föreskrifter enligt paragrafen ska enligt 10 § förordningen med- delas av Myndigheten för samhällsskydd och beredskap. I beredning- en av föreskrifterna bör även beaktas bestämmelserna i förordningen (2007:1244) om konsekvensutredning vid regelgivning. Bemyndigandet i punkt 3 gör det möjligt att meddela föreskrifter om vilka faktorer som ska användas för att avgöra om en incident ska rapporteras. Enligt 11 § 3 förordningen får tillsynsmyndigheten meddela sådana föreskrifter. Bedömningen bör utgå från de faktorer som anges i 17 § samt de förhållanden som finns inom respektive sektor. Beroende på vilken sektor som avses kan faktorerna också tillmätas olika vikt. En incident är enligt 7 § 6 en händelse som har en faktisk inverkan på säkerheten i nätverk eller informationssystem. I den utsträckning samarbetsgruppen som inrättats enligt NIS-direk- tivet utarbetar och antar riktlinjer för vilka faktorer som ska an- vändas för att fastställa om en incident har en betydande inverkan bör Myndigheten för samhällsskydd och beredskap, som ingår i sam- arbetsgruppen, lämna råd och stöd i föreskriftsarbetet (artikel 14.7). Kostnadsmässiga och andra konsekvenser av myndighetsföre- skrifter som meddelas i anslutning till lagen ska utredas enligt för- ordningen (2007:1244) om konsekvensutredning vid regelgivning. Bakgrunden till paragrafen behandlas i avsnitt 6.2.2, 7.3.1 och 7.3.2. Leverantörer av samhällsviktiga tjänster Paragrafen genomför artiklarna 5.3, 14.1–3 och 20 i NIS-direktivet Bestämmelsen upplyser om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om samhälls- viktiga tjänster, säkerhetsåtgärder, rapportering av incidenter samt förutsättningarna för frivillig rapportering av incidenter. skrifter finns i 10 § 2–4 och 11 § 1 i förordningen. Kostnadsmässiga och andra konsekvenser av myndighetsföre- skrifter som meddelas i anslutning till lagen ska utredas enligt för- ordningen (2007:1244) om konsekvensutredning vid regelgivning. Bakgrunden till paragrafen behandlas i avsnitt 6.2.1, 7.3.1, 7.3.2. och 7.3.4. Leverantörer av digitala tjänster Paragrafen genomför artiklarna 16.3 och 20 i NIS-direktivet Bestämmelsen upplyser om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om rapportering av incidenter samt förutsättningarna för frivillig rapportering av incidenter. Sådana föreskrifter finns i 10 § 3–4 i förordningen. Bakgrunden till paragrafen behandlas i avsnitt 10.3. Paragrafen innebär en möjlighet för tillsynsmyndigheten att i en- skilda fall bestämma att dess beslut om föreläggande ska gälla omedel- bart för att undvika att beslutet förhalas genom ett överklagande. Den som beslutet gäller har vid ett överklagande av ett sådant be- slut emellertid möjlighet att begära att beslutet tills vidare inte ska gälla, s.k. inhibition. Bestämmelser om inhibition finns i 28 § för- valtningsprocesslagen (1971:291). Bakgrunden till paragrafen behandlas i avsnitt 9.9. Paragrafen reglerar möjligheterna till överklagande av beslut enligt lagen. Bakgrunden till paragrafen behandlas i avsnitt 9.10. Genomförande av EU-direktiv om åtgärder för en hög gemensam nivå av säkerhet i nätverk och informationssystem En särskild utredare ska föreslå hur EU-direktivet om åtgärder för en hög gemensam nivå av säkerhet i nätverk och informationssystem ska genomföras i svensk rätt. •föreslå hur direktivets krav på utpekande av myndigheter med ansvar för vissa funktioner ska genomföras, med inriktningen att Myndigheten för samhällsskydd och beredsskap (MSB) ges en samordnande roll på området men att andra myndigheters ansvar för tillsyn inom särskilda sektorer ska fortsätta att gälla, •föreslå hur identifiering av och krav på aktörer som omfattas av direktivet kan genomföras i ett samlat regelverk med beaktande av gällande bestämmelser, sektorsansvar och vad som är mest effektivt utifrån olika perspektiv, •föreslå nödvändiga ändringar i offentlighets- och sekretesslagen (2009:400) för att känslig information i incidentrapporter ska kunna skyddas, och •lämna nödvändiga författningsförslag. Uppdraget ska redovisas . EU-direktivet och motsvarande svenska regler Direktivet innehåller bl.a. skyldigheter för varje medlemsstat att anta en nationell strategi för säkerhet i nätverk och informationssystem och att utse myndigheter med särskilda uppgifter på detta område. Medlemsstaterna blir vidare skyldiga att identifiera operatörer som bedriver samhällsviktig verksamhet inom sju sektorer och som är beroende av nätverk och informationssystem. Sektorerna omfattar energi, transport, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, leverans och distribution av dricksvatten och digital infrastruktur. Den aktuella sektorsindelningen innebär att kommunala verksamheter kan omfattas. För sådana aktörer innebär direktivet bl.a. att verksamheten kan komma att behöva anpassas för att uppnå en hög nivå av säkerhet i nätverk och informations- system och att it-incidenter av viss dignitet ska rapporteras till be- hörig myndighet. Direktivet bedöms träda i kraft . Medlemsstaterna är skyldiga att ha genomfört direktivet månader därefter. Frågor som berör informations- och cybersäkerhet och särskilt hur it-incidenter ska förebyggas och hanteras har varit aktu- ella i ett flertal utredningar. har i en rapport (RiR 2014:23) funnit brister i regeringens arbete med informationssäkerhetsfrågor inom den civila statsförvaltningen. Granskningen föranledde att lämna ett flertal rekom- mendationer till regeringen och dess myndigheter. påpekade särskilt att det finns ett behov av att utreda hur tillsynen över informationssäkerheten kan samlas och koordineras på ett bättre sätt än . Även i betänkandena Informations- och cybersäker- het i (SOU 2015:23) och En ny säkerhetsskyddslag (SOU 2015:25) lämnas förslag på åtgärder inom informationssäkerhets- området.