sou · H5B336 · 2017-05-02 00:00:00 — Leverantören tillhandahåller tekniska lösningar i olika utsträckning beroende på typ av tjänst. Molntjänster kan tillhandahållas på fyra olika sätt; privata moln, partnermoln, publika moln och hybridmoln1. Privata molntjänster bygger på en infrastruktur som är dedikerad åt endast en användare. Infrastrukturen kan hanteras av användaren själv eller av en annan aktör. Partnermoln, som ibland också kallas för gemenskapsmoln eller branschmoln, erbjuds till en begränsad och väldefinierad grupp av kunder. En särskild form av partnermoln är s.k. myndighetsmoln. Ett myndighetsmoln har skapats i t.ex. , för att möta särskilda behov av t.ex. säkerhet. Publika molntjänster ägs och hanteras av en molntjänstleverantör (tredje part) som säljer resurser till flera kunder i samma infrastruk- tur. Tjänster i publika moln är potentiellt tillgängliga för alla som så önskar. GoogleApps, iCloud och Dropbox är exempel på publika molntjänster. Hybridmoln avser en sammansättning av två eller flera molntyper som möjliggör kopplingar mellan olika tjänster och molntyper. Leverantörer av internetbaserade marknadsplatser, internetbaserade sökmotorer eller molntjänster omfattas inte av någon nationell lagstiftning motsvarande bestämmelserna i direktivet. Utredningen har i kapitel 5 bedömt att NIS-direktivet bör genomföras genom införandet av en ny lag. 1 Molntjänster i staten – En ny generation av outsourcing, . Leverantörer av digitala tjänster 10.2.5Vilka leverantörer av digitala tjänster ska omfattas av den nya lagen? Förslag: En leverantör av digitala tjänster som erbjuder digitala tjänster i men som inte har sitt huvudsakliga etablerings- ställe inom Europeiska unionen ska utse en företrädare i något av de länder där tjänsterna erbjuds. Bedömning: En näringsidkare som tillhandahåller sina egna varor och tjänster på en webbplats (e-butik) är inte en leverantör av digitala tjänster i form av internetbaserad marknadsplats enligt NIS-direktivet och ska inte omfattas av lagen. En aktör som använder sig av ett privat moln är inte en leve- rantör av digitala tjänster enligt NIS-direktivet och ska inte om- fattas av lagen. I kapitel 5 kommer utredningen fram till att den nya lagen ska om- fatta endast sådana leverantörer som omfattas av NIS-direktivet, se avsnitt 5.4. Beträffande leverantörer av digitala tjänster ska den nya lagen alltså tillämpas på tillhandahållare av digitala tjänster i form av internetbaserade marknadsplatser, internetbaserade sökmotorer och molntjänster, med undantag av leverantörer som är mikroföretag eller små företag. För att en leverantör av en digital tjänst ska omfattas av NIS-direk- tivet krävs inte att den tillhandahållna tjänsten bedöms vara sam- hällsviktig. Till skillnad från vad som gäller beträffande leverantörer av samhällsviktiga tjänster är medlemsstaterna inte heller skyldiga att identifiera leverantörer av digitala tjänster. För att en leverantör av digitala tjänster ska omfattas av lagstift- ningen i en medlemsstat krävs enligt NIS-direktivet att leverantören har sitt huvudsakliga etableringsställe i det landet. Det huvudsakliga etableringsstället ska anses vara där leverantören har sitt huvudkontor. Det krävs att leverantören utför en faktisk och reell verksamhet med hjälp av en stabil struktur för att den ska anses vara etablerad. Den rättsliga formen, dvs. om det är fråga om en filial eller ett dotter- Leverantörer av digitala tjänster bolag, bör inte vara avgörande. Att nätverk och informationssystem är fysiskt belägna på en viss plats innebär inte att det är fråga om ett huvudsakligt etableringsställe. (skäl 64) Om leverantören inte är etablerad i unionen, men erbjuder tjänster här, ska leverantören utse en företrädare i någon av de medlems- stater där tjänsterna erbjuds. Leverantören ska i de fallen omfattas av lagstiftningen i det land där företrädaren finns. För att fastställa om en leverantör av digitala tjänster erbjuder tjänster inom unionen bör det kontrolleras om det är uppenbart att leverantören planerar att erbjuda tjänster till personer i en eller flera medlemsstater. Att kontaktuppgifter eller en webbplats tillhörande leverantören är till- gängliga i unionen, eller att ett språk används som allmänt används i det tredjeland där leverantören är etablerad är inte tillräckligt för att fastställa en sådan avsikt. Företrädaren bör agera på leverantör- ens vägnar och det bör vara möjligt för behöriga myndigheter eller CSIRT-enheterna att kontakta företrädaren. Företrädaren bör utses uttryckligen genom en skriftlig fullmakt från leverantören av digitala tjänster att agera på dess vägnar med avseende på leverantörens skyldigheter enligt NIS-direktivet. (skäl 65) Som tidigare nämnts anger NIS-direktivet att bestämmelserna om leverantörer av digitala tjänster inte ska tillämpas på mikroföretag eller små företag. Bestämmelser som genomför NIS-direktivet i dessa delar ska in- föras i den nya lagen. Den nya lagen ska inte tillämpas på jämförelsesajter En internetbaserad marknadsplats ger konsumenter och näringsidkare möjlighet att ingå internetbaserade köpeavtal eller tjänsteavtal med näringsidkare och är slutdestinationen för ingåendet av sådana avtal. Datatjänster som tillhandahålls av den internetbaserade marknads- platsen kan enligt direktivet inbegripa behandling av transaktioner, sammanställning av data eller profilering av användare. Applikations- butiker, som fungerar som onlinebutiker och möjliggör digital distri- bution av applikationer eller programvara från tredje part, ska betrak- tas som en typ av internetbaserad marknadsplats. Onlinetjänster som jämför priset på vissa varor eller tjänster från olika näringsidkare och sedan leder användaren vidare till den näringsidkare som valts Leverantörer av digitala tjänster för köp av varan omfattas emellertid inte av begreppet. Sådana on- linetjänster, t.ex. och prisjakt.nu, fungerar endast som mellanhand för tredjepartstjänster genom vilka ett avtal slutligen kan ingås. (skäl 15). Sistnämnda jämförelsesajter är inte heller att be- trakta som sådana internetbaserade sökmotorer som omfattas av NIS- direktivet. Sökfunktioner som begränsas till innehållet på en särskild webbplats omfattas inte heller av direktivet. Det gäller oavsett om sökfunktionen tillhandahålls av en extern sökmotor. (skäl 16) Den nya lagen ska inte tillämpas på näringsidkare som tillhandahåller egna varor och tjänster på en webbplats i egen regi (e-butiker) eller på användare av privata moln Bakgrunden till regleringen avseende leverantörer av digitala tjänster är att många företag i unionen är beroende av leverantörer av digi- tala tjänster för att tillhandahålla sina tjänster. Eftersom vissa digitala tjänster skulle kunna utgöra en viktig resurs för sina användare, inklusive leverantörer av samhällsviktiga tjänster, och dessa använ- dare inte alltid har alternativ tillgängliga, har det bedömts att NIS- direktivet bör gälla också för leverantörer av sådana tjänster. För många företag är säkerheten, kontinuiteten och tillförlitligheten hos den typ av digitala tjänster som avses i NIS-direktivet av avgörande betydelse för att företaget ska fungera väl. En störning i en sådan digital tjänst kan hindra tillhandahållandet av andra tjänster som är beroende av den och därmed påverka viktig ekonomisk och sam- hällelig verksamhet i unionen. Sådana digitala tjänster skulle därför kunna vara av avgörande betydelse för att företag som är beroende av dem ska fungera väl och för dessa företags deltagande i den inre marknaden och den gränsöverskridande handeln inom unionen. Leverantörer av digitala tjänster som omfattas av NIS-direktivet är sådana som anses erbjuda digitala tjänster som många företag i unionen i allt högre grad är beroende av. (skäl 48) Det står klart att tillhandahållare (leverantörer) av internetbaserade marknadsplatser där användaren (kunden) kan sluta avtal med ett flertal näringsidkare omfattas av bestämmelserna i . Detsamma gäller en leverantör som tillhandahåller molntjänster åt någon annan. Det förekommer emellertid också att näringsidkare tillhandahåller varor och tjänster på webbplatser i egen regi genom e-butiker. Leverantörer av digitala tjänster När en aktör tillhandahåller egna varor eller tjänster genom en e-butik är det inte fråga om tillhandahållande av en digital tjänst i form av en internetbaserad marknadsplats. Näringsidkaren är inte en leverantör av en digital tjänst i NIS-direktivets mening, utan en an- vändare av webbplatsen i syfte att tillhandahålla andra varor och tjänster än digitala tjänster. En webbplats som drivs i egen regi till- handahålls inte heller av någon annan, varför det inte kan sägas vara fråga om en tjänst. En incident med effekter på en sådan aktörs webb- plats påverkar dessutom endast aktörens egen verksamhet och har ingen inverkan på andra aktörers möjligheter att tillhandahålla sina varor eller tjänster. Samma resonemang kan appliceras på situationen med privata moln. En användare av privata moln är inte en leverantör av en digital tjänst och omfattas därmed inte av NIS-direktivets bestämmelser. Det gäller oavsett om infrastrukturen hanteras av användaren själv eller om användaren överlåtit det uppdraget till någon annan. I det sistnämnda fallet kan dock uppdragstagaren omfattas av bestäm- melserna såsom leverantör av en digital tjänst. 10.3Säkerhetskrav och krav på incidentrapportering Förslag: Leverantörer av digitala tjänster ska utarbeta och vidta ändamålsenliga och proportionella tekniska och organisatoriska åtgärder för att hantera risker som hotar säkerheten i nätverk och informationssystem som de använder när de tillhandahåller internetbaserade marknadsplatser, internetbaserade sökmotorer eller molntjänster inom unionen. Med beaktande av den senaste tekniska utvecklingen ska dessa åtgärder säkerställa en nivå på säkerheten i nätverk och informationssystem som är lämplig i förhållande till den föreliggande risken, varvid hänsyn ska tas till 1.säkerheten i system och anläggningar, 3.hantering av driftskontinuitet, 4.övervakning, revision och testning och 5.efterlevnad av internationella standarder. Leverantörer av digitala tjänster Leverantörer av digitala tjänster ska vidta åtgärder för att före- bygga och minimera den inverkan som incidenter som påverkar säkerheten i deras nätverk och informationssystem har på inter- netbaserade marknadsplatser, internetbaserade sökmotorer och molntjänster och som erbjuds inom unionen, i syfte att säkerställa kontinuiteten i dessa tjänster. Leverantörer av digitala tjänster ska utan onödigt dröjsmål rapportera alla incidenter som har en avsevärd inverkan på till- handahållandet av en internetbaserad marknadsplats, internetbase- rad sökmotor eller molntjänst till CSIRT-enheten (Myndigheten för samhällsskydd och beredskap). Rapporterna ska innehålla in- formation som gör det möjligt för CSIRT-enheten att fastställa vilken betydelse eventuell gränsöverskridande inverkan har. Rapporteringen ska inte medföra ökat ansvar för den rappor- terande parten. För att fastställa om en incident har en avsevärd inverkan ska hänsyn framför allt tas till följande faktorer. 1.Det antal användare som påverkas av incidenten, framför allt användare som är beroende av tjänsten för att kunna tillhanda- hålla sina egna tjänster. 2.Hur länge incidenten varar. 3.Hur stort geografiskt område som påverkas av incidenten. 4.I vilken utsträckning incidenten stör tjänstens funktion. 5.I vilken utsträckning incidenten inverkar på den ekonomiska och samhälleliga verksamheten. Skyldigheten att rapportera en incident ska gälla endast om leve- rantören har tillgång till den information som behövs för att bedöma en incidents inverkan mot bakgrund av angivna faktorer. Myndigheten för samhällsskydd och beredskap får meddela föreskrifter om rapportering av incidenter. Bedömning: Utredningens förslag i dessa delar kan komma att behöva justeras med hänsyn till ännu inte antagna genom- förandeakter. Leverantörer av digitala tjänster Leverantörer av digitala tjänster ska utarbeta och vidta tekniska och organisatoriska åtgärder för att hantera säkerhetsrisker i nätverk och informationssystem (artikel 16.1). De ska också vidta tekniska och organisatoriska åtgärder för att förebygga och minimera in- verkan av incidenter (artikel 16.2). Begreppet tekniska och organi- satoriska åtgärder behandlas i avsnitt 7.3.1. De tekniska och organisatoriska åtgärder som leverantörerna ska utarbeta och vidta ska, med beaktande av den senaste tekniska ut- vecklingen, säkerställa en nivå på säkerheten i nätverk och informa- tionssystem som är lämplig i förhållande till den föreliggande risken, varvid hänsyn ska tas till a) säkerheten i system och anläggningar, b) incidenthantering, c) hantering av driftskontinuitet, d) övervak- ning, revision och testning och e) efterlevnad av internationella stan- darder. (artikel 16.1). Kommissionen ska anta genomförandeakter för att ytterligare specificera de element som avses. Genomförande- akterna ska antas i enlighet med det granskningsförfarande som avses i artikel 22.2 . (artikel 16.8) Leverantörer av digitala tjänster ska, liksom leverantörer av samhälls- viktiga tjänster, utan onödigt dröjsmål rapportera incidenter till den behöriga myndigheten eller CSIRT-enheten. För leverantörer av digitala tjänster gäller att alla incidenter som har en avsevärd inverkan på tillhandahållandet av en digital tjänst enligt direktivets bilaga 3 som de erbjuder inom unionen. Rapporterna ska innehålla information som gör det möjligt för den behöriga myndigheten eller CSIRT- enheten att fastställa vilken betydelse eventuell gränsöverskridande inverkan har. Rapportering ska inte medföra ökat ansvar för den rapporterande parten. För att fastställa om en incident har en avsevärd inverkan ska hän- syn tas till vissa angivna faktorer, bl.a. det antal användare som på- verkas av incidenten, hur länge incidenten varar, hur stort geografiskt område som påverkas och i vilken utsträckning incidenten inverkar på den ekonomiska och samhälleliga verksamheten. Leverantörer av digitala tjänster att rapportera ska gälla endast om leverantören har tillgång till den information som behövs för att bedöma incidentens inverkan mot bakgrund av de angivna faktorerna. (artikel 16.3–4) Kommissionen får anta genomförandeakter som fastställer format och förfaranden tillämpliga på rapporteringskrav. Sådana genom- förandeakter ska antas i enlighet med det granskningsförfarande som avses i artikel 22.2. (artikel 16.9) 10.3.2Vilka krav ska ställas i den nya lagen? NIS-direktivets bestämmelser om säkerhetsåtgärder och incident- rapportering ser annorlunda ut för leverantörer av digitala tjänster jämfört med leverantörer av samhällsviktiga tjänster. När det gäller säkerhetsåtgärder ska medlemsstaterna se till att leverantörer av digi- tala tjänster bland annat utarbetar åtgärder för att hantera risker i nätverk och informationssystem. Till skillnad från vad som gäller för leverantörer av samhällsviktiga tjänster är det alltså leverantör- erna själva som ska identifiera dessa åtgärder. Beträffande incidentrapporteringen ska leverantörer av digitala tjänster åläggas att rapportera incidenter som har en avsevärd inverkan på tillhandahållandet av tjänsten, medan leverantörer av samhälls- viktiga tjänster ska rapportera incidenter som har betydande inverk- an. Leverantörer av digitala tjänster är skyldiga att rapportera en incident endast om leverantören har tillgång till den information som behövs för att bedöma incidentens inverkan. Rapportering ska inte medföra ökat ansvar för den rapporteran- de parten. Det går därmed inte att ställa krav på att leverantören ska utreda händelsen åt någon annan, t.ex. CSIRT-enheten. Leveran- törens skyldigheter beträffande rapporteringen upphör alltså i och med att rapporten har lämnats. Enligt artikel 16.10 i NIS-direktivet får medlemsstaterna inte införa ytterligare säkerhets- eller rapporteringskrav för leverantörer av digitala tjänster utöver de som anges i direktivet. I skälen anges bl.a. att graden av risk för leverantörer av samhällsviktiga tjänster, som ofta är viktiga för att upprätthålla kritisk samhällelig och eko- nomisk verksamhet, i praktiken är högre än för leverantörer av digi- tala tjänster. Leverantörer av digitala tjänster bör fritt kunna vidta de åtgärder som de anser lämpliga för att hantera risker för säker- Leverantörer av digitala tjänster heten i sina nätverk och informationssystem. På grund av den gräns- överskridande arten bör dessa leverantörer omfattas av ett mer har- moniserat tillvägagångssätt på unionsnivå. Genomförandeakter bör underlätta i detta avseende. (skäl 49) Bestämmelser som motsvarar NIS-direktivets bestämmelser om säkerhetskrav och incidentrapportering bör införas i den nya lagen. Med hänsyn till att kommissionen ska anta genomförandeakter för att specificera dels de element som ska ligga till grund för bedömningen av vilka tekniska och organisato- riska åtgärder som ska utarbetas och vidtas för att hantera risker i nätverk och informationssystem, dels de faktorer som ska ligga till grund vid bedömningen av om en incident har en avsevärd inverkan, kan utredningens förslag i dessa delar komma att behöva justeras. Samma sak gäller till följd av den möjlighet som kommissionen har att i genomförandeakter reglera format och förfaranden avseende incidentrapporteringen (artikel 16.9). I NIS-direktivets skäl 69 anges att kommissionen, när den antar genomförandeakter om säkerhets- kraven, uppmuntras att beakta •fysisk säkerhet och miljösäkerhet, funktionssäkerhet, kontroll av åtkomst till nätverks- och informationssystem samt nätverks- och informationssystemens integritet när det gäller systems och anläggningars säkerhet, •incidenthanteringsförfaranden, kapacitet att upptäcka incidenter, incidentrapportering och kommunikation när det gäller incident- hantering, •strategier för tjänstekontinuitet samt beredskapsplaner, kapacitet för katastrofberedskap när det gäller driftskontinuitetshantering och •strategier för övervakning och loggning, beredskapsövningar, test- ning av nätverk och informationssystem, säkerhetsbedömningar och övervakning av efterlevnaden när det gäller övervakning, revision och testning. Antagandet av en genomförandeakt får till följd att svensk lagstift- ning som står i strid med genomförandeakten måste ändras i enlig- het med denna. Leverantörer av digitala tjänster Att regelverket för leverantörer av digitala tjänster inte innehåller mer långtgående eller specificerade säkerhetskrav hindrar inte att sådana krav kan ställas genom avtalsförpliktelser aktörerna emellan. Ett exempel på när detta kan aktualiseras är då offentliga förvalt- ningar använder tjänster som erbjuds av leverantörer av digitala tjänst- er, särskilt molntjänster (skäl 54). Myndigheten för samhällsskydd och beredskap bör, till dess att eventuella genomförandeakter antas enligt artikel 16.9, få meddela föreskrifter om på vilket sätt skyldigheten att rapportera incidenter ska fullgöras och om incidentrapportens utformning. Skälen för detta utvecklas i avsnitt 7.3.2. Förslag: Tillsynsåtgärder beträffande leverantörer av digitala tjänst- er får vidtas endast när tillsynsmyndigheten har fått kännedom om att leverantören inte uppfyller de krav som lagen ställer. Vid tillsyn ska en leverantör av digitala tjänster tillhandahålla tillsynsmyndigheten den information som behövs för en bedöm- ning av säkerheten i leverantörernas nätverk och informations- system, inbegripet dokumenterade säkerhetsprinciper. När det gäller tillsyn över leverantörer av digitala tjänster ska den behöriga myndigheten inte ha någon allmän skyldighet att utöva tillsyn, vilket är en skillnad mot vad som gäller beträffande leveran- törer av samhällsviktiga tjänster. Bakgrunden är att leverantörer av digitala tjänster bör omfattas av mindre ingripande, reaktiv efter- handstillsyn som är anpassad till deras tjänsters och verksamheters art. Medlemsstaterna ska säkerställa att de behöriga myndigheterna vid behov vidtar åtgärder genom tillsynsåtgärder i efterhand, när de har mottagit bevis på att en leverantör av digitala tjänster inte upp- fyller kraven i NIS-direktivet. Sådana bevis får läggas fram av en be- hörig myndighet i en annan medlemsstat där tjänsten tillhandahålls. kan också få kännedom om att leverantören inte uppfyller kraven från leverantören av digitala tjänster själv, från en annan tillsynsmyndighet eller från en tjänsteanvändare, särskilt efter en incident (skäl 60). Även incidentrapporteringen till CSIRT- enheten kan leda till att tillsynsmyndigheten får sådana bevis. Leverantörer av digitala tjänster De behöriga myndigheterna ska ha de befogenheter och medel som krävs för att ålägga leverantörer av digitala tjänster att a) till- handahålla den information som behövs för en bedömning av säker- heten i deras nätverk och informationssystem, inbegripet dokumen- terade säkerhetsprinciper, och b) åtgärda varje underlåtenhet att uppfylla kraven. (artikel 17.1–17.2 b) Bestämmelser motsvarande NIS-direktivets bestämmelser bör tas in i den nya lagen. Frågan om vilken myndighet som ska utöva tillsyn över leveran- törer av digitala tjänster samt tillsynsmyndighetens befogenheter behandlas i kapitel 8. NIS-direktivet ålägger medlemsstaterna att fastställa regler om sank- tioner för överträdelse av nationella bestämmelser som har antagits enligt direktivet och vidta alla nödvändiga åtgärder för att se till att de tillämpas. Sanktionerna ska vara effektiva, proportionella och avskräckande. Medlemsstaterna ska anmäla dessa regler och åtgär- der till kommissionen samt utan dröjsmål even- tuella ändringar som berör dem. Frågan om sanktioner behandlas i kapitel 9. 10.6Information till andra medlemsstater och allmänheten samt frivillig incidentrapportering Frågorna om skyldigheten att lämna information till andra medlems- stater och allmänheten om en incident (artikel 16.6–7) samt frågan om frivillig incidentrapportering (artikel 20.1) behandlas i avsnitt 11.2.3 och 7.3.4. 11Nationell kontaktpunkt, CSIRT- enhet och samarbetsgrupp Enligt NIS-direktivet ska det utses en gemensam nationell kontakt- punkt för säkerhet i nätverk och informationssystem. Rollen kan tilldelas en befintlig myndighet och om bara en behörig myndighet utses ska den behöriga myndigheten också vara gemensam kontakt- punkt (artikel 8.3). Enligt kommittédirektiven ska Myndigheten för samhällsskydd och beredskap (MSB) anförtros rollen som nationell kontaktpunkt. Förslag: Myndigheten för samhällsskydd och beredskap ska utses till nationell kontaktpunkt. Syftet med NIS-direktivet är att förbättra den inre marknadens funktion genom att skapa tillit och förtroende. Därför måste den nationella kontaktpunkten kunna samarbeta effektivt med ekono- miska aktörer och ha en struktur som är förenlig med detta. Mot bakgrund av det uppdrag som MSB har på informa- tionssäkerhetsområdet samt den kompetens som finns inom myndig- heten kan det konstateras att MSB har den struktur som krävs för att samordna frågor angående säkerhet i nätverk informationssystem samt ansvara för kommunikation och gränsöverskridande samarbete i anslutning till detta, se avsnitt 11.1.5. MSB ska därför ha rollen som nationell kontaktpunkt. Nationell kontaktpunkt, CSIRT-enhet och samarbetsgrupp 11.1.3Den nationella kontakpunktens uppgift Förslag: Myndigheten för samhällsskydd och beredskap ska full- göra de uppgifter som åligger den nationella kontaktpunkten enligt NIS-direktivet samt de uppgifter som regeringen bestämmer. Den nationella kontaktpunkten ska underlätta gränsöverskridande samarbete och kommunikation samt göra det möjligt att genomföra NIS-direktivet på ett effektivt sätt. Den nationella kontaktpunkten ska ha ansvar för samordningen av frågor angående säkerhet i nätverk informationssystem och gränsöverskridande samarbete på unionsnivå. Medlemsstaterna ska säkerställa att den nationella kontaktpunkt- en samarbetar på ett effektivt och säkert sätt i samarbetsgruppen (artikel 8.5), se avsnitt 11.3.