sou · H5B336 · 2017-05-02 00:00:00 — Sjöfartssektorn, banksektorn och sektorn för finansmarknadsinfra- struktur är t.ex. i hög grad harmoniserade på unionsnivå. Även om- rådet för elektronisk kommunikation är i hög grad reglerat på EU- nivå. 5.2.1Lex specialis enligt NIS-direktivet I sjöfartssektorn omfattar säkerhetskraven för rederier, fartyg, hamn- anläggningar, hamnar och sjötrafikinformationstjänster enligt unions- rättsakter all verksamhet, även radio- och telekommunikationssystem, datorsystem och nätverk. De obligatoriska förfarandena innefattar rapportering av alla incidenter. I NIS-direktivet anges att dessa krav bör anses utgöra lex specialis i den mån kraven är åtminstone lik- värdiga med kraven i NIS-direktivet. (skäl 10) Banksektorn och sektorn för finansmarknadsinfrastruktur Regleringen och tillsynen inom banksektorn och sektorn för finans- marknadsinfrastruktur har i hög grad harmoniserats på unionsnivå. Harmoniseringen har skett genom användning av unionens primär- rätt och sekundärrätt samt standarder som utvecklats tillsammans med de europeiska tillsynsmyndigheterna. I unionsrättsakterna utgör operativ risk en viktig del av reglering och tillsyn. Operativ risk om- fattar all verksamhet, även nätverks och informationssystems säker- het, integritet och motståndskraft. Kraven på dessa system är ofta mer långtgående än de som föreskrivs i NIS-direktivet. Krav på rap- portering av incidenter utgör vidare en del av normal tillsynspraxis inom finanssektorn. Dessa bestämmelser och krav bör enligt direk- tivet beaktas av medlemsstaterna vid tillämpningen av lex specialis. (skäl 12 och 13) Inom sektorn digital infrastruktur ska bestämmelserna i tivet tillämpas på enheten internetknutpunkter. Internetknutpunk- ter som flera aktörer kan ansluta sig till anses i svensk rätt som ett allmänt kommunikationsnät och omfattas av 5 kap. 6 b och c §§ lagen (2003:389) om elektronisk kommunikation (LEK). Bestämmel- serna genomför artiklarna 13a och 13b i och rådets direktiv /21/EG av om ett gemensamt regelverk för elektroniska kommunikationsnät och kommunikations- tjänster (ramdirektivet). Artikel 13a i det direktivet ställer krav på tillhandahållare av allmänna kommunikationsnät och allmänt tillgäng- liga elektroniska kommunikationstjänster att dels vidta lämpliga tek- niska och organisatoriska åtgärder för att på ett tillfredsställande sätt skydda säkerheten för sina nät eller tjänster, dels meddela den be- höriga nationella regleringsmyndigheten om överträdelser av säker- heten eller integriteten som i betydande omfattning påverkade driften av nät och tjänster. I svensk rätt finns ett flertal regelverk som ställer krav på in- formationssäkerhet utifrån olika förutsättningar. I säkerhetsskydds- lagstiftningen finns t.ex. bestämmelser om hantering av hemliga uppgifter och i förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap (kris- beredskapsförordningen, KBF) ges övergripande bestämmelser om informationssäkerhet och krav på it-incidentrapportering för statliga myndigheter. I lagen (2003:389) om elektronisk kommunikation (LEK) finns bestämmelser om krav på såväl säkerhetsåtgärder som incidentrapportering. I säkerhetsskyddslagen (1996:627) finns bestämmelser om säkerhets- skydd. Med säkerhetsskydd avses enligt 6 § skydd mot spioneri, sabo- tage och andra brott som kan hota rikets säkerhet, skydd i andra fall av uppgifter som omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400) och som rör rikets säkerhet, samt skydd mot terroristbrott enligt 2 § lagen (2003:148) om straff för terrorist- brott, även om brotten inte hotar rikets säkerhet. Av 7 § säkerhetsskyddslagen framgår att säkerhetsskyddet ska förebygga att uppgifter som omfattas av sekretess och som rör rikets säkerhet (hemliga uppgifter) obehörigen röjs, ändras eller förstörs (informationssäkerhet) att obehöriga får tillträde till platser där de kan få tillgång till sådana uppgifter eller där verksamhet som har betydelse för rikets säkerhet bedrivs (tillträdesbegränsning) och att personer som inte är pålitliga från säkerhetssynpunkt deltar i verk- samhet som är av betydelse för rikets säkerhet (säkerhetsprövning). Säkerhetsskyddet ska även i övrigt förebygga terrorism. Vid utformningen av informationssäkerhet ska enligt säkerhets- skyddslagen behovet av skydd vid automatisk informationsbehand- ling beaktas särskilt (9 §). Det saknas definition av begreppet rikets säkerhet i säkerhets- skyddslagen. I stället ska myndigheter och andra som omfattas av säkerhetsskyddsförordningen (1996:633) undersöka vilka uppgifter i deras verksamhet som ska hållas hemliga med hänsyn till rikets säkerhet och vilka anläggningar som kräver ett säkerhetsskydd med hänsyn till rikets säkerhet eller skyddet mot terrorism. Resultatet ska dokumenteras i en säkerhetsanalys. (5 § säkerhetsskyddsförord- ningen) Syftet med säkerhetsskyddslagen är framför allt att säkerhetsälla ett skydd för verksamheter där påverkan genom ett antagonistiskt angrepp skulle medföra allvarliga konsekvenser på nationell nivå. En särskild utredare har haft i uppdrag att göra en översyn av säkerhetsskyddslagstiftningen och överlämnade betänkandet En ny säkerhetsskyddslag (SOU 2015:25) . Betänkandet har re- missbehandlats och bereds i . I be- tänkandet lämnas bl.a. förslag på en ny säkerhetsskyddslag. Lagen ska enligt förslaget tillämpas på verksamheter hos staten, kommuner, landsting och enskilda som är av betydelse för säkerhet, eller som omfattas av ett för i förhållande till annan stat eller mellanfolklig organisation förpliktande åtagande om säkerhetsskydd. Sådan verksamhet definieras enligt förslaget som säkerhetskänslig verksamhet. I betänkandet konstateras att de samhällssektorer som lyfts fram i Myndigheten för samhällsskydd och beredskaps (MSB) vägledning för identifiering av samhällsviktig verksamhet och kon- sekvensbedömning1 även är relevanta för att identifiera särskilt skyddsvärd verksamhet, men att områdena inte är identiska. Som exempel på områden, verksamheter och funktioner som är av sådan karaktär att de skulle kunna omfattas av krav på skydd enligt säker- hetsskyddslagen anges i betänkandet följande: 2 •Industri, forskning och utveckling 1Myndigheten för samhällsskydd och beredskaps publikation Att identifiera samhällsviktig verksamhet – En metod för identifiering av samhällsviktig verksamhet och bedömning av tolerabel avbrottstid, publ.nr. 2En ny säkerhetsskyddslag (SOU 2015:25) s. 294 f. Gemensamt för flera av dessa områden är att det inom dem finns skyddsvärda it-system för bl.a. ledning, styrning, reglering och över- vakning av samhällsviktiga funktioner. I säkerhetskyddsförordningen ges bestämmelser till säkerhets- skyddslagen utom när det gäller och dess myndigheter. Om en hemlig uppgift kan ha röjts ska detta skyndsamt anmälas till Säkerhetspolisen, om röjandet kan antas medföra men för rikets säker- het som inte endast är ringa (10 §). En myndighet ska också enligt 10 a §, till den myndighet som utövar tillsyn över säkerhetsskyddet, skyndsamt anmäla om det inträffat en it-incident i myndighetens informationssystem och 1.incidenten allvarligt kan påverka säkerheten i ett informations- system där hemliga uppgifter behandlas i en omfattning som inte är ringa, 2.incidenten allvarligt kan påverka säkerheten i ett informations- system som särskilt behöver skyddas mot terrorism, eller 3.incidenten upptäckts genom stöd enligt 4 § förordningen (2007:937) med instruktion för . Försvarsmakten är tillsynsmyndighet när det gäller Fortifikations- verket, Försvarshögskolan och de myndigheter som hör till Försvars- departementet. Säkerhetspolisen är tillsynsmyndighet när det gäller övriga myndigheter utom Justitiekanslern. Om incidenten ska rap- porteras till Försvarsmakten, ska den rapporterande myndigheten också skyndsamt informera Säkerhetspolisen. (10 a § och 39 § säker- hetsskyddsförordningen) Säkerhetsskyddslagstiftningen skyddar alltså den nationella säker- heten. Den verksamhet som regleras där omfattas därmed inte av NIS-direktivet. Den rapportering av it-incidenter som myndigheter är skyldiga att göra enligt 10 a § säkerhetsskyddsförordningen ska med hänsyn till rikets säkerhet inte omfattas av ett nationellt regelverk till följd av NIS-direktivet. Sådana incidenter ska dock även fort- sättningsvis rapporteras enligt säkerhetsskyddsförordningen. Förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap Krisberedskapsförordningen syftar till att statliga myndigheter genom sin verksamhet ska minska sårbarheten i samhället och utveckla en god förmåga att hantera sina uppgifter under fredstida krissituationer och inför och vid höjd beredskap. I krisberedskapsförordningen finns bl.a. övergripande bestämmelser om informationssäkerhet för stat- liga myndigheter. Enligt 19 § ansvarar varje myndighet för att egna informationshanteringssystem uppfyller sådana grundläggande och särskilda säkerhetskrav att myndighetens verksamhet kan utföras på ett tillfredsställande sätt. Därvid ska behovet av säkra ledningssystem särskilt beaktas. Till stöd för arbetet med samhällets informations- säkerhet ska en myndighet vidare enligt 20 § till Myndigheten för samhällsskydd och beredskap (MSB) skyndsamt rapportera it-inci- denter som inträffat i myndighetens informationssystem och som allvarligt kan påverka säkerheten i den informationshantering som myndigheten ansvarar för eller i tjänster som myndigheten tillhanda- håller åt en annan organisation. En myndighet som tillhandahåller tjänster åt en annan organisation ska i samband med rapportering in- formera och vid behov samråda med den eller de uppdragsgivare som berörs av incidenten. Rapporteringsskyldigheten omfattar inte så- dana incidenter som ska rapporteras enligt 10 a § säkerhetsskydds- förordningen. Bestämmelsen i 20 § gäller för statliga myndigheter under regeringen med undantag av , kommittéväsen- det, Säkerhetspolisen, Försvarsmakten, , För- svarets radioanstalt och (3 §). MSB får meddela föreskrifter om sådana säkerhetskrav som avses i 19 § med beaktande av nationell och internationell standard. MSB får också, efter att ha gett , Säkerhetspolisen och Försvarsmakten tillfälle att yttra sig, meddela de ytterligare före- skrifter som behövs för verkställigheten av rapportering av it-inci- denter. (21 §) Vissa av de statliga myndigheter som omfattas av förordningen kan komma att omfattas även av bestämmelserna i . Som utredningen konstaterar i avsnitt 7.3.2 innebär detta att myn- digheter kan bli skyldiga att rapportera incidenter enligt flera regel- verk. Lagen (2003:389) om elektronisk kommunikation Den som tillhandahåller en allmänt tillgänglig elektronisk kommu- nikationstjänst är enligt lagen (2003:389) om elektronisk kommuni- kation (LEK) skyldig att vidta tekniska och organisatoriska åtgärder för att skydda uppgifter som behandlas i samband med tillhanda- hållande av tjänsten. Vilken säkerhetsnivå som ska uppnås beror på risken för en integritetsincident, tillgänglig teknik och kostnaderna för att genomföra åtgärderna. Sådana aktörer är också skyldiga att utan onödigt dröjsmål underrätta () om integritetsincidenter. Med integritetsincident avses en händelse som leder till oavsiktlig eller otillåten utplåning, förlust eller ändring, eller otillåtet avslöjande av eller otillåten åtkomst till uppgifter som be- handlas i samband med tillhandahållandet av allmänt tillgängliga elek- troniska kommunikationstjänster. Om incidenten kan antas inverka negativt på de abonnenter eller användare som de behandlade upp- gifterna berör, eller om tillsynsmyndigheten begär det, ska även dessa underrättas utan onödigt dröjsmål. (6 kap. 1 och 3–4 a §§) PTS har utfärdat föreskrifter som innehåller mer detaljerade krav på säker- hetsåtgärder (PTSFS 2014:1). Den som tillhandahåller allmänna kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster är skyldig dels att vidta lämpliga tekniska och organisatoriska åtgärder för att säker- ställa att verksamheten uppfyller rimliga krav på driftsäkerhet, dels att utan onödigt dröjsmål rapportera störningar eller avbrott av be- tydande omfattning till PTS (5 kap. 6 b–c §§). Av Post- och telestyrel- sens föreskrifter och allmänna råd om rapportering av störningar eller avbrott av betydande omfattning (PTSFS 2012:2) framgår på vilket sätt rapporteringsskyldigheten ska fullgöras och om undantag från skyldigheten. Genom bestämmelserna i 5 kap. 6 b–c §§ genom- förs, som framgått ovan, artiklarna 13a och 13b i Europaparlamen- tets och rådets direktiv /21/EG av om ett gemensamt regelverk för elektroniska kommunikationsnät och kom- munikationstjänster (ramdirektivet). Säkerhets- och rapporterings- kraven i NIS-direktivet ska enligt artikel 1.3 inte tillämpas på före- tag som omfattas av de nu nämnda artiklarna. Informationssäkerhet för leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster enligt NIS-direktivet Av den övergripande inventering som utredningen har gjort med hjälp av bl.a. deltagarna i referensgruppen framgår att det endast i begrän- sad omfattning finns bestämmelser som direkt gäller informations- säkerhet för leverantörer av samhällsviktiga tjänster och digitala tjänster enligt NIS-direktivet.3 I vissa fall finns dock krav på säker- het som skulle kunna omfatta även informationssäkerhet. Som exem- pel kan nämnas mer allmänt formulerade bestämmelser om riskhan- tering eller bestämmelser med krav på driftsäkerhet eller kontinuitet i den tillhandahållna tjänsten. 5.3En ny lag och en ny förordning införs Förslag: Genomförandet av NIS-direktivet ska ske i en ny lag och en ny förordning. Den nya lagen och den nya förordningen ska heta •lagen (2018:000) om informationssäkerhet för vissa tillhanda- hållare av samhällsviktiga tjänster och digitala tjänster, respek- tive •förordningen (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster I regeringsformen (RF) används beteckningen föreskrifter för rätts- regler som styr enskildas och myndigheters handlande. Föreskrifter beslutas av genom lag och av regeringen genom förordning. Även förvaltningsmyndigheter och kommuner meddelar föreskrifter. Förvaltningsmyndigheters föreskrifter brukar benämnas myndighets- föreskrifter. Föreskrifter som avser förhållandet mellan enskilda och det all- männa och som gäller skyldigheter för enskilda eller i övrigt avser 3 Inventeringen finns tillgänglig i ärende dnr Komm2017/00542-1. ingrepp i enskildas personliga eller ekonomiska förhållanden ska som huvudregel meddelas i lag. Detsamma gäller i fråga om föreskrifter som avser t.ex. befogenheter och åligganden för kommuner. Efter bemyndigande i lag kan dock sådana föreskrifter i många fall med- delas av regeringen i förordning eller, efter vidaredelegation, av en förvaltningsmyndighet eller en kommun. (8 kap. 3 och 9 §§ RF) Utöver de fall då i lag kan delegera föreskriftsrätt, finns det direkt stöd i regeringsformen för regeringen att meddela före- skrifter på vissa områden. Regeringen får bl.a. meddela föreskrifter om verkställighet av lag (8 kap. 7 § första stycket 1 RF). Sådana be- stämmelser kan fylla ut eller precisera lagbestämmelser. Exempel på verkställighetsföreskrifter är sådana som styr när och hur man ansöker om ett tillstånd som krävs enligt lag för att bedriva en viss verksam- het. En förutsättning för att verkställighetsföreskrifter ska kunna meddelas är att de inte tillför något väsentligt nytt i sak. Verkställig- hetsföreskrifter får t.ex. inte innebära att enskilda åläggs ytterligare skyldigheter. får inte heller förändra inne- hållet i lagbestämmelsen. Däremot kan de tillföra vad som behövs för att lagen ska kunna tillämpas i praktiken. Regeringen får även meddela sådana föreskrifter som inte enligt grundlag ska meddelas av (8 kap. 7 § första stycket 2 RF). Denna föreskriftsrätt brukar kallas för regeringens restkompetens. Med stöd av restkompetensen kan regeringen meddela föreskrifter om t.ex. statliga förvaltningsmyndigheters organisation och arbetsupp- gifter. Även gynnande föreskrifter, som visserligen avser förhållandet mellan enskilda och det allmänna men som inte gäller skyldigheter eller ingrepp, faller in under restkompetensen. Sådana föreskrifter kan alltså meddelas av regeringen utan något stöd av bemyndigande i lag. NIS-direktivet innebär skyldigheter för både enskilda och offent- liga aktörer. Ett genomförande av direktivet ska därmed ske huvud- sakligen i lag. Direktivet innebär emellertid också att myndigheter bör åläggas arbetsuppgifter. I vissa delar är det vidare lämpligt att möjliggöra för myndigheter att meddela närmare föreskrifter om hur skyldigheterna i direktivet ska uppfyllas. Sådana bestämmelser bör meddelas i förordning. I kommittédirektiven anges att det i linje med regeringens ambition att verka för ett mer ändamålsenligt arbete med informationssäker- het inom statsförvaltningen bör utredas ifall NIS-direktivet bör genomföras i ett samlat regelverk om säkerhet för nätverk och in- formationssystem. Det gäller särskilt kraven på operatörer som be- driver samhällsviktig verksamhet och leverantörer av digitala tjänster. Fördelarna med ett samlat regelverk är enligt utredningens mening att det blir tydligt för myndigheter, enskilda och tillsynsmyndigheten vilken reglering som finns när det gäller samhällsviktiga tjänster och digitala tjänster. NIS-direktivet reglerar en miniminivå vilket lämpar sig väl för en övergripande ramlagstiftning. Bestämmelser som be- höver anpassas till respektive sektor kan då regleras i myndighets- föreskrifter. Regleringen blir heltäckande och ingen tjänst riskerar att sakna reglering. Det blir också lättare att komplettera och ändra regelverket om ett sådant behov uppkommer. I NIS-direktivet be- tonas också vikten av att ta tillvara erfarenheter av tillämpningen från till exempel samordningsgruppen och . Nackdelarna med ett samlat regelverk är att myndigheter och enskilda i vissa fall kommer att behöva tillämpa olika regelverk för samma nätverk och informationssystem men med olika syften. För myndigheter och enskilda inom sektorer som omfattas även av andra EU-rättsakter finns också en risk för att det kan bli otydligt vilken reglering som gäller. I vissa EU-rättsakter på till exempel transport- området är avsikten att bestämmelser om säkerhet ska omfatta hela verksamheten, dvs. även nätverk och informationssystem. Den inventering som utredningen har gjort av de nationella reg- lerna på området visar att det inom vissa sektorer finns ett mer ut- vecklat regelverk för informationssäkerhet än inom andra.4 Det finns också skillnader mellan olika enheter inom samma sektor. Vissa bestämmelser tar inte heller direkt sikte på informationssäker- het utan syftar till att upprätthålla kontinuiteten i tjänsten utifrån andra aspekter eller till att analysera eller hantera risker mer allmänt. I de fall tillhandahållandet av en tjänst är beroende av nätverk eller informationssystem kan dessa system utgöra en sådan risk som bör beaktas när tillhandahållaren av tjänsten gör sin riskanalys, oavsett 4 Inventeringen finns tillgänglig i ärende dnr Komm2017/00542-1. om bestämmelsen är formulerad som en informationssäkerhets- bestämmelse eller inte. Beträffande de digitala tjänster som regleras av NIS-direktivet saknas reglering helt. Att införa kompletterande bestämmelser i befintliga regelverk för samtliga de sektorer och enheter som NIS-direktivet omfattar skulle innebära ett omfattande kartläggningsarbete av ett stort antal be- stämmelser, både nationella och i EU-rättsakter. En sådan reglering riskerar också att bli oöverskådlig och rörig, vilket är till nackdel inte minst för tillsynsmyndigheten. Inom sektorn digital infrastruktur ska NIS-direktivet tillämpas på en relativt begränsad krets av enheter som är förhållandevis lätta att identifiera. Den svenska lagstiftningen på området är begränsad till två lagar, nämligen lagen (2003:389) om elektronisk kommuni- kation och lagen (2006:24) om nationella toppdomäner för på Internet. Utredningen har övervägt att särskilt beträffande re- gistreringsenheter för toppdomäner genomföra NIS-direktivet genom att föra in nya och kompletterade bestämmelser i befintligt regel- verk. Utredningen har dock kommit till slutsatsen att detta inte är lämpligt. En sådan lösning skulle bli onödigt komplicerad. Vid genomförandet av NIS-direktivet bör man enligt utredningens mening sträva efter att åstadkomma en samlad lagstiftningsprodukt som till sin struktur ligger nära direktivet. Detta kommer att under- lätta tillämpningen inte minst mot bakgrund av att myndigheter och enskilda kan komma att omfattas av NIS-direktivet i flera med- lemsstater. 5.4Den nya lagens tillämpningsområde Förslag: Lagen (2018:000) om informationssäkerhet för vissa till- handahållare av samhällsviktiga tjänster och digitala tjänster ska tillämpas på •leverantörer av samhällsviktiga tjänster som är etablerade på svenskt territorium. Med leverantörer av samhällsviktiga tjänst- er avses en enhet av den typ som anges i bilaga 2 till NIS- direktivet och som tillhandhåller en tjänst som är viktig för att upprätthålla kritisk samhällelig eller ekonomisk verksamhet, tillhandhållandet av tjänsten är beroende av nätverks och in- formationssystem och en incident skulle medföra en betydan- de störning av tillhandahållandet av tjänsten. •leverantörer av sådana digitala tjänster som anges i bilaga 3 till NIS-direktivet och som har sitt huvudsakliga etableringsställe i eller har utsett en företrädare som är etablerad här, dock inte mikroföretag eller små företag enligt definitionen i kommissionens rekommendation 2003/361/EG. Lagen (2018:000) om informationssäkerhet för vissa tillhanda- hållare av samhällsviktiga tjänster och digitala tjänster ska inte tillämpas på •företag som omfattas av kraven i artiklarna 13a och 13b i direk- tiv 2002/21/EG, utom företag som tillhandahåller internet- knutpunkter •leverantörer av betrodda tjänster som omfattas av kraven i artikel 19 i förordning (EU) nr 910/2014 •leverantörer som omfattas av lex specialis enligt NIS-direktivet •verksamhet som är av betydelse för säkerhet Om det finns bestämmelser i bindande EU-rättsakter om krav på att leverantörer av samhällsviktiga tjänster eller leverantörer av digitala tjänster ska säkerställa säkerheten i sina nätverk och in- formationssystem eller rapportera incidenter så ska den nya lagen inte tillämpas förutsatt att verkan av kraven minst motsvarar verk- an av skyldigheterna i den nya lagen. Finns sådana bestämmelser i annan författning ska de bestämmelserna tillämpas om kraven minst motsvarar verkan av skyldigheterna i den nya lagen. Bedömning: Lagen (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster ska tillämpas endast på sådana leverantörer av samhällsviktiga tjänst- er och leverantörer av digitala tjänster som omfattas av NIS- direktivet. Den nya lagen ska tillämpas endast på de leverantörer som omfattas av NIS-direktivet NIS-direktivet reglerar säkerheten i nätverk och informationssystem hos leverantörer av samhällsviktiga tjänster inom särskilt utpekade sektorer. Endast vissa typer av operatörer (enheter) inom sektorerna omfattas. Utredningen kan konstatera att det i tillhandahålls sam- hällsviktiga tjänster även av operatörer som inte utgör enheter enligt NIS-direktivet. Ett sådant exempel är fjärrvärme. Vidare kan en leve- rantör av samhällsviktiga tjänster som omfattas av direktivet vara direkt eller indirekt beroende av tjänster och system som inte om- fattas. Enligt utredningens mening kan det finnas behov av tydligare kravställning rörande informationssäkerhet även för verksamhet som inte omfattas av NIS-direktivet. Ett sådant behov skulle kunna till- godoses genom att den nya lagen utformas som en plattform och knutpunkt för samhällets informationssäkerhetsarbete i sin helhet.