sou · H5B336 · 2017-05-02 00:00:00 — En mer övergripande lag skulle kunna vara till fördel för enhetlig- heten på området, ge mindre utrymme för olika tolkningar och bättre förutsättningar för aktörerna att överblicka regelverket. En sådan lös- ning skulle också ligga i linje med de rekommendationer Riksrevi- sionens lämnat i sin rapport i den civila stats- förvaltningen (RiR 2014:23). Utredarens uppdrag är bl.a. att föreslå hur NIS-direktivet ska genomföras i svensk rätt. I detta ryms inte att ta ställning till hur hela samhällets informationssäkerhet bör regleras i ett bredare perspektiv. Mot bakgrund av att NIS-direktivet syftar till att reglera samhälls- viktiga tjänster ligger det i så fall närmare till hands att föreslå ett regelverk som omfattar även sådana leverantörer av samhällsviktiga tjänster som i och för sig inte utgör enheter enligt direktivet. Med hänsyn till den tidsram utredningen har att beakta bedömer utred- ningen emellertid inte att det är möjligt att föra fram ett sådant förslag. Utredningen har därför stannat vid att låta den nya lagen omfatta endast sådana leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster som omfattas av NIS-direktivet. Den nya lagen ska tillämpas på leverantörer av samhällsviktiga tjänst- er som är etablerade på svenskt territorium (artikel 5.1) och på leverantörer av sådana digitala tjänster som anges i bilaga 3 till NIS- direktivet och som har sitt huvudsakliga etableringsställe i eller har utsett en företrädare som är etablerad här, se avsnitt 10.2.5. Som framgått ovan är vissa företag och leverantörer uttryckligen undantagna från NIS-direktivets tillämpningsområde. I den nya lagen bör det anges att lagen inte är tillämplig på dessa aktörer. Beträffande direktiv /21/EG konstaterar utredningen dock att i svensk rätt anses internetknutpunkter som sådana allmänna kommunikationsnät som omfattas av 5 kap. 6 b och c §§ LEK. Dessa bestämmelser genomför artiklarna 13a och 13b i direktiv /21/EG. Med hänsyn till att internetknutpunkter är en av de enheter som uttryckligen ska regleras enligt NIS-direktivet bedömer utredning- en att undantaget för företag som omfattas av artiklarna 13a och 13b inte kan gälla internetknutpunkter. Det gäller oavsett om inter- netknutpunkter även enligt ska anses som ett allmänt kommunikationsnät eller inte. För att NIS-direktivet ska bli korrekt genomfört i svensk rätt bedömer utredningen att internetknutpunk- ter måste omfattas av den nya lagen. De kan inte undantas mot bakgrund av att de anses omfattas av den nationella lagstiftningen – oavsett om denna grundar sig på en EU-rättsakt. En annan sak är att internetknutpunkter kan anses omfattas av lex specialis enligt NIS- direktivet, se nedan. Det bör också anges att lagen inte ska tillämpas på verksamhet som är av betydelse för säkerhet. Lagen ska alltså inte tillämpas på sådan verksamhet som omfattas av säkerhetsskyddslagen. Den rapportering av it-incidenter som myndigheter är skyldiga att göra enligt 10 a § säkerhetsskyddsförordningen ska därmed även fortsätt- ningsvis rapporteras enligt säkerhetsskyddsförordningen och inte enligt den nya lagen. Med verksamhet avses verksamhet inom de typer av enheter som anges i bilaga 2 och 3 till NIS-direktivet. Under utredningens arbete har det framförts att incidenter som upptäcks genom stöd som läm- nas enligt 4 § förordningen (2007:937) med instruktion för uttryckligen bör undantas från rapporteringsplikten enligt den nya lagen även om verksamheten till vilken stöd lämnas inte omfattas av säkerhetsskyddslagstiftningen. Utredningen be- dömer dock att i den utsträckning stödet enligt FRA:s instruktion innebär att verksamheten får del av uppgifter som omfattas av för- svarssekretess, får verksamheten betydelse för säkerhet. Den nya lagen ska då inte tillämpas. En sådan tillämpning torde strida mot NIS-direktivets syfte, men inte mot dess lydelse. Tolkningen innebär också att den myndighet som får stöd av eller anlitar FRA ska vidta säkerhetsskyddsåtgärder enligt säkerhetsskyddslagen. Denna fråga gäller ytterst omfattningen och tillämpningen av säkerhets- skyddslagen och bör därför i första hand behandlas i ett annat sam- manhang. När det gäller enskilda aktörer kan det nämnas att det i betänkandet En ny säkerhetsskyddslag (SOU 2015:25) föreslås att säkerhetsskyddslagen ska omfatta även sådana aktörer. Att det inom en viss samhällssektor finns intressen som kräver skydd enligt säkerhetsskyddslagen innebär emellertid inte att all verk- samhet inom sektorn ska betraktas som så skyddsvärd att den träffas av säkerhetsskyddslagstiftningen. Verksamhet som inte omfattas av säkerhetsskyddslagen kan vara skyddsvärd utifrån andra perspektiv och omfattas av andra krav på skyddsåtgärder, t.ex. enligt NIS- direktivet. Ytterligare annan verksamhet kan vara sådan att det helt saknas behov av särskilt skydd. I skälen till NIS-direktivet anges som exempel flygplatser som tillhandahåller samhällsviktiga tjänster såsom skötsel av start- och landningsbanor, men också tjänster som inte kan betraktas som samhällsviktiga, t.ex. tillhandahållande av butiks- områden (skäl 22). Vilket behov av skyddsåtgärder som finns för en verksamhet får bedömas med hjälp av de avvägningar som sker inom ramen för säkerhetsanalys enligt säkerhetsskyddslagstiftningen eller enligt den riskanalys som utredningen föreslår att de leve- rantörer som omfattas av NIS-direktivet ska göra (se avsnitt 7.3.1). I den nya lagen bör också anges att lagen inte ska tillämpas på små företag eller mikroföretag enligt definitionen i kommissionens rekommendation 2003/361/EG av om definitionen av mikroföretag samt små och medelstora företag. Den nya lagen ska inte tillämpas på leverantörer som omfattas av lex specialis enligt NIS-direktivet Som framgått ovan ska bestämmelser i en unionsrättsakt om krav på säkerhetsåtgärder eller incidentrapportering tillämpas i stället för bestämmelserna i , förutsatt att verkan av kraven minst motsvarar verkan av skyldigheterna enligt NIS-direktivet. Detta innebär enligt utredningens mening att leverantörer som är skyldiga att vidta säkerhetsåtgärder och att incidentrapportera inte bör om- fattas av en nationell reglering till följd av NIS-direktivet om skyl- digheterna grundas på bestämmelser i unionsrättsakter. Sådana be- stämmelser finns som nämnts inom t.ex. sjöfartssektorn, bank- sektorn, sektorn för finansmarknadsinfrastruktur och sektorn för digital infrastruktur. Om de angivna kraven på dessa leverantörer motsvarar skyldigheterna enligt NIS-direktivet ska den nya lagen alltså inte tillämpas på leverantörerna. Det innebär t.ex. att identifierings- förfarandet för leverantörer av samhällsviktiga tjänster inte ska genomföras. Någon tillsyn av leverantörerna ska heller inte att ut- övas enligt den nya lagen. Inte heller ska incidentrapporteringen ske på det sätt som anges där. Den nya lagens bestämmelser om krav på leverantörerna ska inte tillämpas om det i annan lag finns bestämmelser som minst motsvarar bestämmelserna i den nya lagen För att ett direktiv ska anses korrekt genomfört krävs att det finns bestämmelser i nationell rätt som motsvarar direktivet. Finns redan sådana bestämmelser behöver några nya inte införas. I svensk nationell rätt finns som nämnts endast i begränsad om- fattning bestämmelser som motsvarar bestämmelserna i tivet. En stor del av den reglering som finns utgörs av myndighets- föreskrifter angående informationssäkerhet. Ofta är bakgrunden till och syftet med bestämmelserna något annorlunda än vad som gäller för NIS-direktivet. Tillsynen är inte heller ordnad på ett sådant sätt att NIS-direktivets bestämmelser uppfylls. Inom de flesta sektorer saknas också möjligheter att vidta tillräckliga sanktioner mot den som inte följer regelverket. Utredningen har bedömt att NIS-direktivet så långt som möjligt bör genomföras i en ny och samlad lag. I den utsträckning det finns bestämmelser om krav på leverantörerna i annan lag som minst mot- svarar bestämmelserna i den nya lagen bör emellertid de bestäm- melserna kunna tillämpas. För att NIS-direktivet ska anses korrekt genomfört krävs dock att den nya lagens bestämmelser tillämpas i den utsträckning det saknas andra bestämmelser. Skulle det t.ex. finnas bestämmelser om krav på tekniska och organisatoriska åtgärder i en särskild lag, men saknas bestämmelser om t.ex. incidentrapportering, tillsyn eller sanktioner, bör den nya lagen tillämpas i dessa delar. Här finns alltså en skillnad gentemot vad som gäller för de leverantörer som omfattas av sådan reglering som i direktivet betecknas som lex specialis. För sådana leverantörer gäller som nämnts att den nya lagen inte ska tillämpas alls om de omfattas av krav på säkerhetsåtgärder eller incidentrapportering enligt någon annan EU-rättsakt och de kraven minst motsvarar verkan av skyldigheterna enligt NIS-direk- tivet. För genomförandet av NIS-direktivet i svensk rätt krävs att olika myndigheter åläggs vissa arbetsuppgifter. Utredningen bedömer också att det är lämpligt att ett antal myndigheter bemyndigas att med- dela föreskrifter. I vilken utsträckning sådana bestämmelser ska tas in i lag respektive förordning behandlas löpande genom betänkandet. 6Leverantörer av samhällsviktiga tjänster Enligt NIS-direktivet ska medlemsstaterna identifiera de offentliga och enskilda leverantörer som tillhandahåller samhällsviktiga tjänster inom ett antal särskilt utpekade enheter som finns inom sju olika sektorer, se kapitel 4. För att omfattas av direktivets krav måste leverantören av den samhällsviktiga tjänsten vara etablerad i medlemsstaten (artikel 5.1). Med detta avses att leverantören måste bedriva en faktisk och reell verksamhet med hjälp av en stabil struktur i medlemsstaten (skäl 21). Den rättsliga formen för verksamheten är inte en avgörande faktorn. 6.2Identifiering av leverantörer av samhällsviktiga tjänster Vid förfarandet för identifiering av leverantörer av samhällsviktiga tjänster ska det 1.upprättas en förteckning över vilka tjänster som är viktiga för att upprätthålla kritisk samhällelig eller ekonomisk verksamhet (sam- hällsviktiga tjänster), 2.bedömas om de enheter som anges inom respektive sektorer och delsektorer uppfyller kriterierna nedan, –tillhandahåller en samhällsviktig tjänst, –tillhandahållandet är beroende av nätverk och informations- system samt Leverantörer av samhällsviktiga tjänster –en incident skulle medföra en betydande störning vid tillhanda- hållandet av tjänsten(artikel 5.2). 6.2.1Förteckning över samhällsviktiga tjänster Förslag: Myndigheten för samhällsskydd och beredskap får med- dela föreskrifter om vilka tjänster som är viktiga för att upp- rätthålla kritisk samhällelig eller ekonomisk verksamhet (sam- hällsviktiga tjänster) för varje sektor som anges i bilaga 2 till NIS-direktivet (förteckning). Föreskriften ska uppdateras minst . Tillsynsmyndigheterna ska ges tillfälle att yttra sig innan före- skrifter meddelas. Det första steget för att identifiera leverantörer av samhällsviktiga tjänster är att bedöma vilka tjänster som tillhandahålls av enheterna i bilaga 2 till NIS-direktivet som är viktiga för att upprätthålla kritisk samhällelig eller ekonomisk verksamhet, dvs. vad som utgör sam- hällsviktiga tjänster. Varje medlemsstat ska upprätta en förteckning över dessa sam- hällsviktiga tjänster (artikel 5.3). Förteckningen ska ses över regel- bundet och minst samt uppdateras vid behov (artikel 5.5). Förteckningen över samhällsviktiga tjänster bör omfatta alla sådana tjänster som tillhandahålls på en viss medlemsstats territorium och som uppfyller kraven enligt NIS-direktivet. Medlemsstaterna bör kunna lägga till nya tjänster i den befintliga förteckningen. Förteck- ningen över samhällsviktiga tjänster bör fungera som referenspunkt för medlemsstaterna och möjliggöra identifiering av leverantörer av samhällsviktiga tjänster (skäl 23). Syftet med förteckningen är att hitta de typer av samhällsviktiga tjänster som kan finnas inom en viss sektor och därmed skilja dem från övriga tjänster som sektorn tillhandahåller. Den förteckning över samhällsviktiga tjänster som varje medlemsstat upprättar utgör också ett bidrag till bedömningen av lagstiftningspraxis inom varje medlemsstat med syftet att säkerställa en övergripande enhetlighet mellan medlemsstaternas bedömning av samhällsviktiga tjänster (skäl 23). Leverantörer av samhällsviktiga tjänster Kravet på att upprätta en förteckning medför att begreppet samhällsviktig tjänst måste förklaras. Det måste också finnas en ut- pekad myndighet, med sådan kunskap om verksamheten i de olika sektorerna, att myndigheten kan bedöma vilka samhällsviktiga tjänster som tillhandahålls av såväl offentliga som enskilda aktörer. Vad är en samhällsviktig tjänst? Tjänster som omfattas av NIS-direktivet finns inom följande sek- torer och delsektorer. •Energi (elektricitet, olja, gas) •Transporter (lufttransporter, järnvägstransporter, sjöfart, väg- transport) •Hälso- och sjukvård (hälso- och sjukvårdsmiljöer [inklusive sjuk- hus och privata kliniker]) •Leverans och distribution av dricksvatten Sektorerna och enheterna beskrivs närmare i kapitel 4 och i ärende dnr Komm2017/00542-1. Begreppet samhällsviktiga tjänster förekommer inte i svensk lag- stiftning eller föreskrifter. I stället används andra närliggande begrepp som kritisk europeisk infrastruktur och samhällsviktig verksamhet. Det förstnämnda definieras i artikel 2 a i ECI-direktivet1. Det senare återfinns i Myndighetens för samhällsskydd och beredskaps (MSB) föreskrifter om risk- och sårbarhetsanalyser, se nedan. 1 Rådets direktiv /114/EG av om identifiering av, och klassi- ficering som, europeisk kritisk infrastruktur och bedömning av behovet att stärka skyddet av denna. Leverantörer av samhällsviktiga tjänster Begreppet samhällsviktig verksamhet används bland annat i risk- och sårbarhetsanalysarbetet, vilket är en viktig del i krisberedskaps- arbetet och som syftar till att minska sårbarheten i samhället och utveckla en god förmåga att hantera sina uppgifter under fredstida krissituationer och inför och vid höjd beredskap. Begreppet definieras i MSB:s föreskrifter och allmänna råd2 om risk- och sårbarhetsanalyser som en verksamhet som uppfyller minst ett av följande villkor: •Ett bortfall av eller en svår störning i verksamheten kan ensamt eller tillsammans med motsvarande händelser i andra verksam- heter leda till att en allvarlig kris inträffar i samhället. •Verksamheten är nödvändig eller mycket väsentlig för att en redan inträffad kris i samhället ska kunna hanteras så att skadeverkning- arna blir så små som möjligt. I de allmänna råden till ovan nämnda föreskrifter beskrivs samhälls- viktig verksamhet enligt följande. Med samhällsviktig verksamhet menas de verksamheter, anläggningar, noder, infrastrukturer och tjänster som upprätthåller den funktion som de ingår i och är verksamhet som är av avgörande betydelse för upprätt- hållandet av viktiga samhällsfunktioner. Endast verksamhet som absolut behövs för upprätthållandet av viktiga samhällsfunktioner vid allvarliga händelser eller kriser bör identifieras som samhällsviktig. Samhällsviktig verksamhet kan vara av nationell, regional eller lokal betydelse. Med samhällssektor avses i detta sammanhang de olika områden inom vilka viktiga samhällsfunktioner finns och samhällsviktig verksamhet kan identifieras. Viktig samhällsfunktion är ett samlingsbegrepp för de verksamheter som upprätthåller en viss funktionalitet. Varje sådan funktion ingår i en eller flera samhällssektorer och upprätthålls av en eller flera samhälls- viktiga verksamheter. Exempel på viktiga samhällsfunktioner per samhällssektor. 2 MSBFS 2015:5, MSBFS 2015:4, MSBFS 2016:7. Leverantörer av samhällsviktiga tjänster Produktion av el, distribution av el, produktion och distribution av fjärrvärme, produktion och distribution av bränslen och drivmedel. Betalningar, tillgång till kontanter, centrala betalningssystemet, värde- pappershandel. Bygg- och entreprenadverksamhet, detaljhandel, tillverkningsindustri. Hälso- och sjukvård samt omsorg Akutsjukvård, läkemedels- och materielförsörjning, omsorg om barn, funktionshindrade och äldre, primärvård, psykiatri, socialtjänst, smitt- skydd för djur och människor. Telefoni (mobil och fast), internet, radiokommunikation, distribution av post, produktion och distribution av dagstidningar, webbaserad in- formation, sociala medier. Dricksvattenförsörjning, avloppshantering, renhållning, väghållning. Distribution av livsmedel, primärproduktion av livsmedel, kontroll av livsmedel, tillverkning av livsmedel. Lokal ledning, regional ledning, nationell ledning, begravningsverk- samhet, diplomatisk och konsulär verksamhet. Domstolsväsendet, åklagarverksamhet, militärt försvar, kriminalvård, kustbevakning, polis, räddningstjänst, alarmeringstjänst, tullkontroll, gränsskydd och immigrationskontroll, bevaknings- och säkerhetsverk- samhet. Allmänna pensionssystemet, sjuk- och arbetslöshetsförsäkringen. Leverantörer av samhällsviktiga tjänster Flygtransport, järnvägstransport, sjötransport, vägtransport, kollektiv- trafik. Enligt 10 och 15 §§ förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap (KBF) ska myndigheternas planering för krisberedskap och höjd beredskap bedrivas i sex samverkansområden när det gäller ansvar för krisberedskap och bevakningsansvar avseende åtgärder inför och vid höjd beredskap. •Skydd, undsättning och vård I bilagan till KBF anges ett antal utpekade myndigheter som har särskilda uppgifter inom samverkansområdena. Det internationella perspektivet är en viktig del i arbetet med skydd av samhällsviktig verksamhet. På EU-nivå bedrivs arbetet framför allt inom ramen för det europeiska programmet för skydd av kritisk infrastruktur (EPCIP). Målet med arbetet inom EPCIP är att förbättra skyddet av kritisk infrastruktur inom EU. Terrorismhotet är en högt prioriterad fråga, men arbetet ska omfatta alla slags hot och risker. En av de viktigaste delarna i programmet är ett EU-direktiv (ECI-direktivet3) som reglerar arbetet inom området. Med kritisk infrastruktur avses anläggningar, system eller delar av dessa som är nödvändiga för att upprätthålla centrala samhällsfunktioner, hälsa, säkerhet, trygghet 3 Rådets direktiv /114/EG om identifiering av, och klassificering som europeisk kritisk infrastruktur och bedömning av behovet att stärka skyddet av denna. Leverantörer av samhällsviktiga tjänster och människors ekonomiska eller sociala välfärd (artikel 2 a). Direk- tivet omfattar energi- och transportsektorerna (artikel 3), och går huvudsakligen ut på att EU:s medlemsstater ska identifiera och utse europeisk kritisk infrastruktur, ECI. MSB är utpekad nationell kontaktpunkt för arbetet med EPCIP- frågorna i . och Statens energi- myndighet identifierar och redovisar eventuell kritisk infrastruktur till MSB. Den nationella kontaktpunkten, MSB, ska samordna frågor kring skydd av kritisk infrastruktur i med andra medlems- stater och med . har inte pekat ut någon europeisk kritisk infra- struktur på sitt territorium. Myndigheter, kommuner och landsting har en skyldighet att genom- föra risk- och sårbarhetsanalyser4 i vilka bland annat samhällsviktig verksamhet och kritiska beroenden ska identifieras. Vidare ska be- dömas vilka konsekvenser ett bortfall eller en allvarlig störning i verk- samheten kan få. Statliga myndigheter, kommuner och landsting ska genomföra risk- och sårbarhetsanalyser inom sina respektive om- råden. har därutöver ansvar för att identifiera samhälls- viktig verksamhet inom länet som är av regional betydelse. Myndigheter med särskilt ansvar för krisberedskap (10 § KBF) och myndigheter som MSB beslutar om i enskilda fall ska lämna en sammafattande redovisning av analysen till och . Landstingen rapporterar till Social- styrelsen, MSB och till . Kommuner rapporterar till . Liknande krav på analyser finns också inom vissa områden t.ex. ellagen (1997:857) för elnätsföretag, lagen (2003:778) om skydd mot olyckor när det gäller farlig verksamhet och i elberedskapslagen (1997:288) för företag som producerar el, distribuerar el eller hand- lar med el. Dessa krav gäller även enskilda aktörer. 4 8 § och 16 § 2 p. KBF och 2 kap. 1 § lagen (2006:644) om kommuners och landstings åtgärder inför och vid extraordinära händelser i fredstid och höjd beredskap. Leverantörer av samhällsviktiga tjänster Vid bedömningen av om en tjänst är viktig för att upprätthålla kritisk samhällelig eller ekonomisk verksamhet, dvs. om tjänsten är sam- hällsviktig, kan stöd hämtas i de allmänna råd som beskriver sam- hällsviktig verksamhet. Även beskrivningar av identifierad europeisk kritisk viktig infrastruktur kan användas i identifieringsarbetet även om ingen sådan är utpekad i . Det är dock viktigt att vara medveten om de olika regelverkens utgångspunkter. NIS-direktivets syfte är att förbättra den inre marknadens funk- tion genom att fastställa åtgärder för säkerhet i nätverk och infor- mationssystem. Det rör sig därför om tjänster som är viktiga för samhällets funktionalitet i sin helhet och där ett avbrott i tjänsten hindrar genomförandet av ekonomisk verksamhet, genererar om- fattande ekonomiska förluster, undergräver användarnas förtroende och medför allvarliga konsekvenser för landets och unionens eko- nomi. Detta innebär att begreppet samhällsviktiga tjänster kan omfatta fler funktioner än de som absolut behövs för upprätthållandet av viktiga samhällsfunktioner vid allvarliga händelser eller kriser. Ut- redningen bedömer dock att det i de flesta fall kommer att röra sig om tjänster som tillhandahålls av enheter som verkar inom de sam- hällsviktiga verksamheterna. Bedömningen av om en tjänst är en samhällsviktig tjänst I avsnittet undersöks om det finns myndigheter och nätverk som har kunskap och erfarenhet som kan ligga till grund för att bedöma om en tjänst är en samhällsviktig tjänst. Myndigheter, landsting, kommuner och vissa enskilda gör risk- och sårbarhetsanalyser i syfte att stärka sin egen och samhällets krisberedskap. Det finns således en systematik för att identi- fiera samhällsviktig verksamhet för offentliga aktörer samt vissa en- skilda aktörer. Inom vissa sektorer framgår det också redan av beskrivningen av enheten i bilaga 2 till NIS-direktivet vilken typ av tjänst som avses, till exempel sjötrafikinformationstjänst. Flera myndigheter, bland annat inom expert- och referensgrup- pen, har uppgett till utredningen att de kan identifiera samhällsvik- Leverantörer av samhällsviktiga tjänster tiga tjänster utifrån definitionerna av enheterna som anges i bilaga 2 till NIS-direktivet. Dessa myndigheter har bred kunskap och er- farenhet av verksamheten inom respektive sektor och delsektor. Detta bör tas tillvara i arbetet med att öka säkerheten i nätverk och informationssystem. De myndigheter som utredningen avser är för energisektorn, Transportstyrelsen för transportsektorn, för sektorerna bankverksam- het och finansmarknadsinfrastruktur, Inspektionen för vård och om- sorg för hälso- och sjukvårdssektorn, för sektorn leverans och distribution av dricksvatten samt Post- och Telestyrel- sen för sektorn digital infrastruktur. Dessa myndigheter föreslås också vara tillsynsmyndigheter i kapitel 8. Vid behov kan dessa myn- digheter inhämta synpunkter från andra myndigheter inom sektorn samt från befintliga nätverk inom området i arbetet med att iden- tifiera samhällsviktiga tjänster. Det finns flera myndigheter som tar emot uppgifter om samhälls- viktig verksamhet enligt bestämmelserna för olika risk- och säker- hetsanalyser. MSB måste dock anses ha en central funktion när det gäller bedömningen av innehållet i risk- och sårbarhetsanalyser. Sedan MSB grundades har myndigheten fått i regleringsbrevsupp- drag att redovisa en nationell bedömning av samhällets förmågor, risker, sårbarheter samt identifierade och genomförda åtgärder av- seende krisberedskapen.