sou · H5B336 · 2017-05-02 00:00:00 — Informationssäkerhet för samhällsviktiga och digitala tjänster Utredningen om genomförande av NIS-direktivet SOU och Ds kan köpas från kundservice. Beställningsadress: kundservice, 106 47 Ordertelefon: Webbplats: /offentligapublikationer För remissutsändningar av SOU och Ds svarar på uppdrag av . Svara på remiss – hur och varför Statsrådsberedningen, SB PM 2003:2 (reviderad ). En kort handledning för dem som ska svara på remiss. Häftet är gratis och kan laddas ner som pdf från eller beställas på /remisser Layout: Kommittéservice, Tryck: , 2017 Regeringen beslutade att utse en särskild utredare med uppdrag att föreslå hur och rådet direktiv (EU) 2016/1148 av om åtgärder för en hög gemen- sam nivå på säkerhet i nätverks- och informationssystem i hela unionen ska genomföras i svensk rätt. Utredarens uppdrag har varit att föreslå hur direktivet ska genom- föras i svensk rätt. Detta har innefattat bland annat att föreslå hur direktivets krav på utpekande av myndigheter med ansvar för vissa funktioner ska genomföras, med inriktningen att Myndigheten för samhällsskydd och beredskap ges en samordnande roll på området men att andra myndigheters ansvar för tillsyn inom särskilda sektor- er ska fortsätta gälla, hur identifiering av och krav på leverantörer som omfattas av direktivet kan genomföras i ett samlat regelverk med beaktande av gällande bestämmelser, sektorsansvar och vad som är mest effektivt utifrån olika perspektiv, föreslå nödvändiga ändringar i offentlighets- och sekretesslagen (2009:400) för att känslig informa- tion i incidentrapporter ska kunna skyddas, och lämna nödvändiga författningsförslag. Frågan om hur en nationell strategi för säkerhet i nätverk och informationssystem bör utformas har inte omfattats av uppdraget. Lagmannen i förordnades att fr.o.m. vara särskild utredare. Förordnade sakkunniga har under hela eller delar av utrednings- tiden varit rättssakkunnige (), kanslirådet (), rättssakkunniga (Försvarsdepartementet) och kanslirådet (). Som experter att biträda utredningen förordnades fr.o.m. numera stf. avdelningschefen (För- svarsmakten), numera avdelningsdirektören (Säkerhetspolisen), numera enhetschefen (Myndig- heten för samhällsskydd och beredskap), juristen (), informationssäkerhetsexperten () och it-säkerhetschefen () samt fr.o.m. juristen (Datainspektionen). Som ledamöter i en till utredningen knuten referensgrupp för- ordnades fr.o.m. säkerhetschefen (), chefsjuristen (IIS), hand- läggaren (), säkerhetschefen (), riskexperten (), juristen (Datainspektionen), säkerhetschefen (), näringspolitiske experten (IT-&Telekomföretagen), utredaren (), verksjuristen (Elsäkerhets- verket), enhetschefen (Transportstyrelsen), enhets- chefen (), förbundsjuristen (SKL) och enhetschefen (). entledigades och förordnades i stället sektionschefen (SKL). entledigades och förordnades i stället it-säkerhetssamordnaren (). entlediga- des för att i stället förordnas som expert. Som sekreterare anställdes byrådirektören och numera rådmannen . Utredningen överlämnar härmed betänkandet Informations- säkerhet för samhällsviktiga och digitala tjänster (SOU 2017:36). Experterna och de sakkunniga har i allt väsentligt ställt sig bakom utredningens överväganden och förslag. som enskilda experter och sakkunniga kan ha haft i olika frågor har berörts i texterna eller som möjliga alternativa bedömningar. Utred- ningens uppdrag är med detta slutfört. 1.1Förslag till lag (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och 1.2Förslag till förordning (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster......................... 1.3Förslag till förordning om ändring i offentlighets- och sekretessförordningen (2009:641).................................. Utredningens uppdrag och arbete................................ Betänkandets disposition och läsanvisning ........................... Bakgrund och syfte ................................................................. Medlemsstaternas skyldigheter enligt direktivet .................. En nationell strategi................................................. 3.2.2Identifiering av leverantörer av samhällsviktiga tjänster och upprättande av en förteckning över samhällsviktiga tjänster................................... 3.2.3Säkerhets- och incidentrapporteringskrav för leverantörer av samhällsviktiga tjänster och för leverantörer av digitala tjänster .............................. Tillsyn och sanktioner ............................................ Samarbete på nationell nivå .................................... 3.2.8En samarbetsgrupp för strategiskt samarbete 3.2.9Ett nätverk för enheter för hantering av it - säkerhetsincidenter (CSIRT - nätverk) ............... Undantag från NIS-direktivets tillämpningsområde ........... Beskrivning av enheterna............................................ Hälso- .................................................och sjukvårdssektorn Leverans ............................och distribution av dricksvatten Genomförandet .......................................av direktivet Genomförande av EU - direktiv i svensk rätt Utgångspunkter i - direktivet specialis enligt - direktivet En ny lag ..................................och en ny förordning införs Den nya lagens tillämpningsområde...................................... Den nya förordningen ............................................................ Leverantörer av samhällsviktiga tjänster ....................... Identifiering av leverantörer av samhällsviktiga tjänster ...... Förteckning över samhällsviktiga tjänster ........... Samhällsviktig tjänst i flera länder i EU ............... Säkerhetskrav och incidentrapportering – leverantörer av samhällsviktiga tjänster........................................ Standardisering och frivillig rapportering ............ Allmänt ................................................................om tillsyn 8.2.1Generella utgångspunkter för reglering Tillsyn enligt NIS-direktivet................................................ Syftet med tillsyn enligt NIS-direktivet............... Samordning och informationsutbyte ................... System för tillsyn .................................................................. 8.4.1Befintliga system för tillsyn när det gäller Nuvarande reglering i sektorerna......................... 8.5 Utredningens överväganden och förslag............................. En tillsynsmyndighet för varje sektor ................. Ingripanden och sanktioner....................................... Allmänt om ingripanden vid tillsyn..................................... 9.3Administrativa sanktioner eller straffrättsliga påföljder? Vilka administrativa sanktioner ska införas? Åtgärdsföreläggande i förening med vite............................ Sanktionsavgift införs för överträdelser av vissa bestämmelser i den nya lagen ...................... Sanktionsavgift och normgivning ........................ 9.6.3Tillsynsmyndigheten ska besluta om 9.6.5Sanktionsavgiftens bestämmande i det Jämkning och eftergift.......................................... Hinder mot sanktionsavgift ................................. Förfarandet vid beslut om sanktionsavgift.......... Betalning, indrivning och preskription................ 9.7 Möjligheter till mindre ingripande åtgärder........................ 9.8Vitesförelägganden och sanktionsavgifter mot statliga myndigheter och kommuner ............................................... 9.9 Omedelbar verkställighet och inhibition ............................ Leverantörer av digitala tjänster ................................ NIS-direktivets tillämpningsområde och definitioner ....... 10.2.2 Aktörer som inte omfattas av NIS-direktivet ..... 10.2.3 Vad är en internetbaserad marknadsplats, en internetbaserad sökmotor och molntjänster 10.2.4 Nationell lagstiftning saknas ........................ 10.2.5 Vilka leverantörer av digitala tjänster ska omfattas av den nya lagen? Säkerhetskrav och krav på incidentrapportering................. - direktivets krav .............................................. 10.3.2 Vilka krav ska ställas i den nya lagen? Information till andra medlemsstater och allmänheten samt frivillig .......................................incidentrapportering Nationell kontaktpunkt, CSIRT-enhet 11.1.2 .........................Nationell kontaktpunkt i 11.1.3 ..............Den nationella kontakpunktens uppgift 11.1.4 ...........Samarbetet mellan ansvariga myndigheter 11.1.5Myndigheten för samhällsskydd och (CSIRT-enhet)...................................................................... 11.2.6 Samarbetet mellan ansvariga myndigheter .......... 11.3.2 Företrädare för i samarbetsgruppen........ Behövs ett starkare skydd för uppgifter som ska rapporteras med anledning av en incident eller som ska tillhandahållas i samband med tillsyn? Behövs en uppgiftsskyldighet för att information ska kunna delas mellan de svenska aktörerna?.......................... Behövs nya bestämmelser för att uppgifter ska kunna lämnas till andra medlemsstater eller kommissionen? Hantering av information som mottagits från andra 13.1.2 Vem berörs av förslagen ....................................... 13.2.1Konsekvenser för Myndigheten för samhällsskydd och beredskap, behöriga myndigheter och domstolar ................................. 13.2.2 Konsekvenser för leverantörer ............................. 13.2.3Konsekvenser för konsumenter och andra 13.2.4 Samhällsekonomiska konsekvenser ..................... 13.3 Övriga konsekvenser............................................................ 13.3.1Förslagens konsekvenser för den kommunala 13.3.2Konsekvenser för brottsligheten och det 13.3.3 Särskild hänsyn till små företag ............................ 14.1Förslaget till ny lag om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala 15.1Förslaget till lag (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och antog och rådet NIS-direktivet1. Direk- tivet fastställer åtgärder för att uppnå en hög gemensam nivå på säkerhet i nätverk och informationssystem inom unionen, i syfte att förbättra den inre marknadens funktion. Direktivet innebär bland annat skyldigheter för vissa leverantörer av samhällsviktiga tjänster och vissa leverantörer av digitala tjänster att vidta säkerhetsåtgärder för att hantera risker samt förebygga och hantera incidenter i nätverk och informationssystem som de är be- roende av för att tillhandahålla tjänsterna. Leverantörerna ska också rapportera incidenter som har en betydande respektive avsevärd in- verkan på kontinuiteten i tjänsten. För att en leverantör ska anses vara en sådan leverantör av sam- hällsviktiga tjänster som omfattas av direktivet krävs att leverantören bedriver verksamhet inom någon av de i direktivet särskilt utpekade enheterna. Enheterna finns inom sju angivna sektorer. Sektorerna omfattar energi, transport, bankverksamhet, finansmarknadsinfra- struktur, hälso- och sjukvård, leverans och distribution av dricks- vatten samt digital infrastruktur. Dessutom krävs att den tjänst som tillhandahålls är viktig för att upprätthålla kritisk samhällelig eller ekonomisk verksamhet, att tillhandahållandet av tjänsten är bero- ende av nätverk och informationssystem och att en incident skulle medföra en betydande störning vid tillhandahållandet av tjänsten. Medlemsstaterna är skyldiga att dels upprätta en förteckning över de tjänster på medlemsstatens territorium som är viktiga för att 1 och rådets direktiv (EU) 2016/1148 av om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen. upprätthålla kritisk samhällelig eller ekonomisk verksamhet, dels identifiera de leverantörer som tillhandahåller sådana tjänster. De leverantörer av digitala tjänster som omfattas av direktivet är sådana som tillhandahåller internetbaserade marknadsplatser, inter- netbaserade sökmotorer eller molntjänster. Dessa leverantörer ska inte identifieras på det sätt som gäller för leverantörer av samhälls- viktiga tjänster och omfattas av direktivet utan att någon bedöm- ning ska göras av om de är samhällsviktiga eller inte. Medlemsstaterna ska enligt direktivet utse myndigheter med sär- skilda uppgifter på området, till exempel tillsynsmyndigheter, natio- nella kontaktpunkter och enheter för hantering av it-säkerhetsinci- denter (CSIRT-enheter). Medlemsstaterna ska också säkerställa att tillsynsmyndigheterna har befogenheter och medel för att kontrollera att leverantörerna uppfyller sina skyldigheter samt fastställa regler om sanktioner för överträdelse av de nationella bestämmelserna som antagits enligt direktivet. Direktivet innehåller vidare en skyldighet för varje medlemsstat att anta en nationell strategi för säkerhet i nätverk och informations- system. Medlemsstaterna ska anta och offentlig- göra de bestämmelser i lagar och andra författningar som är nödvän- diga för att följa direktivet. Bestämmelserna ska tillämpas . Utredningens uppdrag har varit att föreslå hur NIS-direktivet ska genomföras i svensk rätt. Detta har innefattat bland annat att före- slå hur direktivets krav på utpekande av myndigheter med ansvar för vissa funktioner ska genomföras, hur identifiering av och krav på leverantörer som omfattas av direktivet kan genomföras i ett samlat regelverk med beaktande av gällande bestämmelser, sektorsansvar och vad som är mest effektivt utifrån olika perspektiv, föreslå nöd- vändiga ändringar i offentlighets- och sekretesslagen (2009:400) för att känslig information i incidentrapporter ska kunna skyddas, och lämna nödvändiga författningsförslag. Frågan om hur en nationell strategi för säkerhet i nätverk och informationssystem bör utformas har inte omfattats av uppdraget. Ett samlat regelverk – en ny lag och en ny förordning Utredningen föreslår en ny lag och en ny förordning som till ut- formning och innehåll ligger nära NIS-direktivet. Regelverket ska tillämpas endast på sådana leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster som omfattas av direktivet. I den utsträckning det finns bestämmelser om säkerhetskrav eller incident- rapporteringskrav på de aktuella leverantörerna i annan lag som minst motsvarar bestämmelserna i den föreslagna lagen ska emellertid de bestämmelserna tillämpas. Om sådana krav finns i bindande EU-rätts- akter (lex specialis) ska den föreslagna lagen inte tillämpas alls. och leverantörer är uttryckligen undantagna från direktivets tillämpningsområde. Dessa omfattas följaktligen inte heller av den föreslagna lagen. Detta innebär att regelverket inte ska tilläm- pas på företag som omfattas av kraven i artiklarna 13a och 13b i direktiv /21/EG, dvs. tillhandahållare av ett allmänt kommuni- kationsnät eller en allmänt tillgänglig elektronisk kommunikations- tjänst. I NIS-direktivet anges dock internetknutpunkter uttryckligen som en sådan enhet som ska regleras enligt direktivet. Tillhandahål- lare av internetknutpunkter omfattas därför av den föreslagna lagen trots att de enligt svensk rätt anses som sådana företag som om- fattas av artiklarna 13a och 13b. Regelverket ska inte heller tillämpas på leverantörer av betrodda tjänster som omfattas av kraven i artikel 19 i förordning (EU) nr 910/2014 (eIDAS). Även verksamhet som är av betydelse för säkerhet är undantagen från tillämpningsområdet. Detta innebär till exempel att verksamhet som omfattas av säkerhetsskyddslagen inte omfattas. In- cidenter som inträffar i sådan verksamhet ska därmed inte rappor- teras enligt bestämmelserna i den föreslagna lagen, utan även fort- sättningsvis rapporteras enligt 10 a § säkerhetsskyddsförordningen (1996:633). Föreskrifter med förteckning över samhällsviktiga tjänster För att leverantörer av samhällsviktiga tjänster ska kunna identifieras ska Myndigheten för samhällsskydd och beredskap meddela före- skrifter (förteckning) om vilka tjänster som är viktiga för att upp- rätthålla kritisk samhällelig eller ekonomisk verksamhet (samhälls- viktiga tjänster) för varje sektor som omfattas av NIS-direktivet. Identifiering av leverantörer av samhällsviktiga tjänster Det är i likhet med vad som gäller enligt säkerhetsskyddslagstift- ningen verksamhetsutövaren som är ansvarig för att avgöra om denne omfattas av lagen. I detta syfte ska den som är ansvarig för en verk- samhet som tillhandahåller en samhällsviktig tjänst som finns upp- tagen i de föreskrifter (förteckning) som Myndigheten för samhälls- skydd och beredskap ska meddela, undersöka om tillhandahållandet av tjänsten är beroende av nätverk eller informationssystem och om en incident skulle medföra en betydande störning vid tillhanda- hållandet av tjänsten. Undersökningen ska dokumenteras. För att avgöra om en störning är betydande ska verksamhetsutövaren beakta vissa särskilda faktorer, bland annat det antal användare som är bero- ende av den aktuella tjänsten. får meddela före- skrifter om vilka sektorspecifika och sektoröverskridande faktorer som ska beaktas vid bedömningen av om en incident skulle med- föra en betydande störning. Såväl leverantörer av samhällsviktiga tjänster som leverantörer av digitala tjänster ska vidta ändamålsenliga och proportionella tekniska och organisatoriska åtgärder för att hantera risker som hotar säker- heten i deras nätverk och informationssystem. De ska också vidta lämpliga åtgärder för att förebygga och minimiera den inverkan som incidenter som påverkar säkerheten i deras nätverk och informa- tionssystem har på de tjänster som tillhandahålls. Syftet med sist- nämnda åtgärder är att säkerställa kontinuiteten i tjänsterna. Leverantörer av digitala tjänster ska själva utarbeta åtgärder för att hantera risker. De ska i det arbetet beakta vissa i lagen angivna faktorer. Leverantörer av samhällsviktiga tjänster ska i stället göra en riskanalys som ska ligga till grund för val av säkerhetsåtgärder. I analysen, som ska dokumenteras och uppdateras , ska en åt- gärdsplan ingå. får också meddela föreskrifter om utformingen av säkerhetsåtgärderna. Leverantörer av samhälls- viktiga tjänster ska också bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete. Både leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster ska utan onödigt dröjsmål rapportera incidenter till CSIRT-enheten (se nedan) vid Myndigheten för samhällsskydd och beredskap. Leverantörer av samhällsviktiga tjänster ska rapportera incidenter som har en betydande inverkan på kontinuiteten i tjänsten, medan leverantörer av digitala tjänster ska rapportera incidenter som har en avsevärd inverkan på tillhandahållandet av tjänsten. I lagen anges ett antal faktorer som framför allt ska beaktas vid bedömning- en av om incidenten har en sådan inverkan att den ska rapporteras. får meddela närmare föreskrifter om faktorer som ska beaktas vid bedömningen av om en incident har betydande inverkan. Myndigheten för samhällsskydd och beredskap får med- dela föreskrifter om rapportering av incidenter och om förutsätt- ningarna för frivillig incidentrapportering. För varje sektor och för de digitala tjänster som omfattas av lagen ska en tillsynsmyndighet ansvara för att övervaka att regelverket följs. Följande myndigheter föreslås vara tillsynsmyndigheter. Inspektionen för vård och omsorg Leverans och distribution av Vid tillsyn ska leverantören tillhandahålla tillsynsmyndigheten den information som behövs för en bedömning av säkerheten i leveran- törens nätverk och informationssystem. Leverantörer av samhälls- viktiga tjänster är skyldiga att tillhandahålla även bevis för att säker- hetsprinciper har genomförts effektivt. Beträffande leverantörer av digitala tjänster får tillsynsåtgärder vidtas bara i efterhand, när tillsynsmyndigheten har fått kännedom om att leverantören inte uppfyller säkerhetskraven eller kravet att incidentrapportera. ska försöka få en leverantör som inte följer regelverket att rätta sig. får meddela föreläg- ganden, dels i syfte att få tillgång till viss information som behövs för tillsynen, dels för att få leverantören att följa regelverket. Ett före- läggande får förenas med vite. Myndigheten för samhällsskydd och beredskap ska inom ramen för sitt nuvarande uppdrag ha en samlad bild av NIS-direktivets genomförande och tillämpning i genom att leda ett samarbets- forum där samtliga tillsynsmyndigheter ska ingå samt ta emot till- synsmyndighetens bedömning av brister i nätverk och informations- system. I bedömningen bör ingå brister som upptäcks vid tillsyn men även svårigheter vid tillämpning och tolkning av regelverket. Myn- digheten för samhällsskydd och beredskap ska vidare tillhandahålla tillsynsmyndigheterna det metodstöd för tillsyn som behövs för en effektiv tillsyn enligt det föreslagna regelverket. ska besluta att sanktionsavgift ska tas ut av den som underlåter att incidentrapportera eller att vidta säkerhets- åtgärder. Vid bedömningen av avgiftens storlek ska tillsynsmyndig- heten ta särskild hänsyn till skada eller risk för skada som uppstått till följd av överträdelsen, om leverantören har begått en överträdelse samt de kostnader som leverantören har undvikit till följd av överträdelsen. Sanktionsavgiften får under vissa förhållan- den efterges helt eller delvis. Nationell kontaktpunkt, samarbetsgrupp och CSIRT-enhet För att underlätta gränsöverskridande samarbete och för att möjlig- göra ett effektivt genomförande av NIS-direktivet ska det i varje medlemsstat finnas en nationell gemensam kontaktpunkt. Den natio- nella kontaktpunkten ska ansvara för samordningen av frågor angå- ende nätverk och informationssystem och för gränsöverskridande samarbete på unionsnivå. Den nationella kontaktpunkten ska också lämna en sammanfattande rapport om antalet ingivna incidentrap- porter och om de rapporterade incidenternas art till samarbets- gruppen. Samarbetsgruppen syftar till att stödja och underlätta strategiskt samarbete mellan medlemsstaterna vad gäller säkerhet i nätverk och informationssystem. Gruppen ska bland annat utbyta bästa praxis i olika avseenden. Utöver företrädare för medlemsstaterna består gruppen av representanter från kommissionen och från Europeiska unionens byrå för nät- och informationssäkerhet (). I varje medlemsstat ska det enligt NIS-direktivet också finnas en eller flera enheter för hantering av it-säkerhetsincidenter (CSIRT- enheter). CSIRT-enheten ska bland annat övervaka incidenter på nationell nivå och tillhandahålla tidiga varningar m.m. till relevanta aktörer om risker och incidenter. CSIRT-enheten ska också delta i ett CSIRT-nätverk inom unionen. Utredningens förslag innebär att Myndigheten för samhällsskydd och beredskap ska vara både nationell kontaktpunkt och CSIRT- enhet samt representera i samarbetsgruppen. Myndigheten för samhällsskydd och beredskap har ett sådant uppdrag samt den struktur och kompetens som krävs för detta. Befintliga bestämmelser om sekretess omfattar uppgifter som ska rap- porteras och delas med anledning av incidenter samt tillhandahållas i samband med tillsyn. Det har inte framkommit några exempel på att den nuvarande regleringen är otillräcklig. Det finns därmed inte skäl att införa starkare sekretess för uppgifter som lämnas inom ramen för incidentrapporteringen. Till följd av tillsynen kan tillsynsmyndigheterna emellertid få del av känsliga uppgifter om enskilds affärs- eller driftförhållande. För att sistnämnda uppgifter ska kunna skyddas behöver sekretessför- ordningen ändras så att sekretess för sådana uppgifter gäller i verk- samhet som består i tillsyn enligt det föreslagna regelverket. NIS-direktivets genomförande kommer initialt att innebära kostna- der för de föreslagna tillsynsmyndigheterna. Kostnaderna kan till viss del, i vart fall på lång sikt, finansieras genom de samhällsekonomiska vinster som en hög gemensam nivå av säkerhet i nätverk och infor- mationssystem medför.