sou · H5B336 · 2017-05-02 00:00:00 — Bedömningarna i analysen ska ligga till grund för valet av säker- hetsåtgärder och ska också kunna användas som beslutsstöd för leverantörens prioriteringar och avvägningar mellan olika typer av säkerhetsåtgärder i förhållande till tjänstens funktionalitet samt finan- siella och administrativa konsekvenser. Behandlas personuppgifter är det också nödvändigt att försäkra sig om att skyddet för den per- sonliga integriteten upprätthålls enligt de bestämmelser som gäller för personuppgiftsbehandling. Analysen ska dokumenteras och kompletteras med en åtgärds- plan. Analysen ska uppdateras . Riskanalysen bör också används som underlag när sektorsvisa myndighetsföreskrifter utformas. En förutsättning för en väl anpassad säkerhet i nätverk och infor- mationssystem är att det bedrivs ett systematiskt och riskbaserat informationssäkerhetsarbete. Det är ett sätt för verksamhetens led- ning att på ett systematiskt sätt styra arbetet med informationssäker- Säkerhetskrav och incidentrapportering … het i syfte att planera, genomföra, kontrollera, följa upp, utvärdera och förbättra säkerheten i verksamhetens informationshantering. En del i detta arbete är olika typer av analyser, till exempel verk- samhetsanalys, riskanalys och GAP-analys. Arbetet bör utgå från en godkänd europeisk eller internationell standard utan att ställa krav på att en viss standard måste användas. För att skapa en gemensam grund för leverantörer av samhällsviktiga tjänster anser utredningen att det ska införas ett krav på att leverantörer av samhällsviktiga tjänster bedriver ett systematiskt och riskbaserat informationssäker- hetsarbete samt att regeringen eller den myndighet regeringen be- stämmer ska få meddela föreskrifter om ett systematiskt informa- tionssäkerhetsarbete enligt den nya lagen. Föreskrifter om systema- tiskt och riskbaserat informationssäkerhetsarbete finns för statliga myndigheter i Myndigheten för samhällsskydd och be- redskaps föreskrifter och allmänna råd om statliga myndigheters informationssäkerhet, MSBFS 2016:1, se avsnitt 7.2.1. Det bör där- för vara MSB som vid behov får utfärda generella föreskrifter om hur ett systematiskt informationssäkerhetsarbete för samtliga sektorer kan bedrivas. Det har under utredningens arbete framförts att detta i stället borde göras av tillsynsmyndigheterna med vägledning från MSB. Utredningen menar dock, i och med att MSB redan föreskrivit om ett systematiskt och riskbaserat informationssäkerhetsarbete för statliga myndigheter, att det är mest effektivt om MSB föreskriver om en gemensam grund även på den nya lagens tillämpningsområde. När det gäller föreskrifter för verksamheterna inom de sju olika sektorerna anser utredningen, mot bakgrund av att nätverk och in- formationssystem är en integrerad del av verksamheten, att det är den myndighet med kunskap om verksamheten som ska ha ansvaret för att utfärda föreskrifter. I den nya förordningen föreslås därför att tillsynsmyndigheten bemyndigas att meddela föreskrifter om ut- formningen av säkerhetsåtgärder. Viktiga underlag i föreskriftsarbet- et är riskanalysen, resultaten från tillsyn och de incidentrapporter som leverantörerna inom respektive sektor har lämnat till CSIRT- enheten. Som anges i avsnitt 11.2.6 ska tillsynsmyndigheten få del av samtliga incidentrapporter för sin sektor. I föreskriftsarbetet bör tillsynsmyndigheten vid behov inhämta synpunkter från andra myn- digheter som är verksamma inom sektorn samt från de nätverk som finns inom sektorerna. I den nya förordningen föreslås att MSB ska Säkerhetskrav och incidentrapportering … lämna stöd till tillsynsmyndigheterna i föreskriftsarbetet samt ges tillfälle att yttra sig över föreskrifterna innan de meddelas. Förslag: Leverantörer av samhällsviktiga tjänster ska utan onödigt dröjsmål rapportera incidenter som har en betydande inverkan på kontinuiteten i den samhällsviktiga tjänst de tillhandahåller. Rapporteringen ska göras till CSIRT-enheten (Myndigheten för samhällsskydd och beredskap). För att fastställa om en incident har en betydande inverkan på kontinuiteten i den samhällsviktiga tjänsten ska hänsyn fram- för allt tas till följande faktorer. 1.Det antal användare som påverkas av störningen av den sam- hällsviktiga tjänsten. 2.Hur länge incidenten varar. 3.Hur stort geografiskt område som påverkas av incidenten. Rapporterna ska innehålla information som gör det möjligt för CSIRT-enheten att fastställa incidentens eventuella gränsöver- skridande verkningar. Rapportering ska inte medföra ökat ansvar för den rappor- terande parten. Är en leverantör av samhällsviktiga tjänster beroende av en tredjepartsleverantör av digitala tjänster för tillhandahållandet av en tjänst som är viktig för att upprätthålla kritisk samhällelig och ekonomisk verksamhet, ska leverantören av samhällsviktiga tjänst- er rapportera varje betydande inverkan på kontinuiteten i den sam- hällsviktiga tjänsten till följd av en incident som påverkar leve- rantören av digitala tjänster. Regeringen eller den myndighet regeringen bestämmer får med- dela föreskrifter om vilka faktorer som ska användas för att av- göra om en incident har betydande inverkan på kontinuiteten i en samhällsviktig tjänst och därför medför krav på rapportering, när incidentrapporteringen ska ske, på vilket sätt skyldigheten att rapportera incidenter ska fullgöras och incidentrapportens ut- formning. Säkerhetskrav och incidentrapportering … Tillsynsmyndigheterna ska ges tillfälle att yttra sig innan före- skrifter meddelas. Bedömning: Incidentrapporteringen bör ske efter att de första kritiska åtgärderna för att avhjälpa incidenten har vidtagits. På- verkar incidenten fler leverantörer eller är incidenten gränsöver- skridande bör rapporteringen ske . Leverantörer av samhällsviktiga tjänster ska, utan onödigt dröjsmål, till den behöriga myndigheten eller CSIRT-enheten rapportera in- cidenter som har en betydande inverkan på kontinuiteten i de sam- hällsviktiga tjänster som de tillhandahåller. Rapporterna ska innehålla information som gör det möjligt för den behöriga myndigheten eller CSIRT-enheten att fastställa incidentens eventuella gränsöver- skridande verkningar. Rapportering ska inte medföra ökat ansvar för den rapporterande parten. (artikel 14.3) Bestämmelser om incidentrapportering finns i flera av de sektorer som omfattas av NIS-direktivet. Regleringen är emellertid inte hel- täckande och i några fall är syftet med incidentrapporteringen ett annat. Utredningens bedömning är därför att det måste införas be- stämmelser med krav på incidentrapportering enligt NIS-direktivet. Leverantörer av samhällsviktiga tjänster ska rapportera incidenter. Rapporteringskraven gäller för leverantören oavsett om leverantör- en sköter underhållet av sina nätverk och informationssystem internt eller lägger ut uppgifterna på entreprenad (skäl 52). Ansvaret för incidentrapportering åligger den som identifierats som leverantör av samhällsviktiga tjänster. Underlåtenhet att rapportera incidenter kan medföra beslut om sanktionsavgift. När ska rapporteringen ske Enligt NIS-direktivet ska rapportering av incidenter ske utan onö- digt dröjsmål (artikel 14.3). Någon närmare precisering anges inte i direktivet. Säkerhetskrav och incidentrapportering … Incidentrapporteringen är en åtgärd för att förebygga och mini- mera verkningar av incidenter för att säkerställa kontinuiteten i de samhällsviktiga tjänsterna. Att CSIRT-enheten ska underrättas utan onödigt dröjsmål när en incident som har en betydande inverkan på kontinuiteten i den samhällsviktiga tjänsten inträffat, betyder att den berörda leveran- tören som regel ska lämna underrättelsen så snart de uppgifter som ska lämnas finns tillgängliga. är det inte rimligt att leveran- tören, för att fullgöra sin underrättelseskyldighet, tvingas prioritera ned arbetet med att hantera den inträffade incidenten. CSIRT-en- heten bör därför underrättas så snart detta kan ske utan att störa sådant prioriterat arbete. Internt utredningsarbete kan ofta fordras för att leverantören ska kunna sammanställa samtliga uppgifter som ska lämnas till CSIRT-enheten. Utredningens bedömning är, mot bakgrund av direktivets syfte att säkerställa kontinuitet i de sam- hällsviktiga tjänsterna, att utgångspunkten bör vara att rapportering- en inte ska inverka negativt på arbetet med att avhjälpa incidenten. Rapporteringen bör därför ske efter att de första kritiska åtgärderna för att avhjälpa incidenten har vidtagits. Påverkar incidenten där- emot fler leverantörer eller är incidenten gränsöverskridande bör rapporteringen ske för att konsekvenserna ska kunna be- gränsas. En väl fungerande incidenthantering är en viktig del i det före- byggande informationssäkerhetsarbetet som skapar förutsättningar för att anpassa säkerhetsåtgärder allteftersom hot och risker för- ändras, se avsnitt 7.3.1. Det är därför viktigt att den rapporterande leverantören får återkoppling från CSIRT-enheten om relevant infor- mation som skulle kunna bidra till effektiv hantering av incidenten och det fortsatta förebyggande arbetet, se avsnitt 11.2.3. Är incidenten gränsöverskridande ska andra berörda medlems- stater informeras i de fall incidenten har en betydande inverkan på kontinuiteten i samhällsviktiga tjänster i den medlemsstaten. I vissa fall kan det bli aktuellt att informera allmänheten för att det ska vara möjligt att förhindra en incident eller hantera en pågående incident, se avsnitt 11.2.3. I sådana fall torde det vara lämpligt att CSIRT- enheten dels underrättas i direkt anslutning till den inträffade in- cidenten om det som då är känt, dels erhåller fullständig informa- tion om händelsen när samtliga uppgifter har sammanställts. Säkerhetskrav och incidentrapportering … Närmare bestämmelser om när rapporteringen ska ske får med- delas av regeringen eller den myndighet regeringen bestämmer. Utred- ningens bedömning är att MSB ska meddela föreskrifter om detta. Tillsynsmyndigheterna ska beredas tillfälle att yttra sig innan före- skrifter meddelas. Vilka incidenter ska rapporteras? Incidenter som rör säkerhet ska inte rapporteras enligt den nya lagen. Sådana incidenter ska rapporteras enligt 10 a § säkerhet- skyddsförordningen (1996:633), se avsnitt 5.4. Är leverantören som tillhandahåller tjänsten tveksam om vilket regelverk som gäller för en inträffad incident bör Säkerhetspolisen eller Försvarsmakten kon- taktas. Även MSB och tillsynsmyndigheten kan lämna stöd vid denna typ av frågor. Endast incidenter som har en betydande inverkan på kontinuitet- en i de samhällsviktiga tjänster som leverantören tillhandahåller ska rapporteras. Med en incident avses en händelse med en faktisk nega- tiv inverkan på säkerheten i nätverk och informationssystem (arti- kel 4.7). För att avgöra om en incident har en betydande inverkan ska hänsyn framför allt tas till följande faktorer (artikel 14.4): 1.Det antal användare som påverkas av störningen av den sam- hällsviktiga tjänsten. 2.Hur länge incidenten varar. 3.Hur stort geografiskt område som påverkas av incidenten. Om leverantörer av samhällsviktiga tjänster är beroende av en tredje- partsleverantör av digitala tjänster för att tillhandahålla en tjänst som är viktig för att upprätthålla kritisk samhällelig och ekonomisk verksamhet, ska leverantörerna av samhällsviktiga tjänster rappor- tera varje betydande inverkan på kontinuiteten i de samhällsviktiga tjänsterna till följd av en incident som påverkar leverantören av digitala tjänster (artikel 16.5). Endast händelser med en faktisk negativ inverkan på säkerheten i nätverk och informationssystem och som orsakat en betydande inverkan på kontinuiteten på tjänsten ska rapporteras. Kravet på att incidenten ska påverka kontinuiteten i tjänsten torde medföra att Säkerhetskrav och incidentrapportering … incidenter som inverkar negativt på säkerheten i övrigt i nätverk och informationssystem inte behöver rapporteras. Det kan till exempel vara fråga om intrång i systemen som inte upptäckts och som inte heller syftar till att påverka kontinuiteten. Denna typ av incidenter kan för leverantörens del vara minst lika allvarliga och bör hante- ras inom ramen för det ordinarie systematiska informationssäker- hetsarbetet. För statliga myndigheter som omfattas kraven på it- incidentrapportering enligt 20 § KBF ska samtliga incidenter som allvarligt kan påverka säkerheten i informationshanteringen rappor- teras. Det bör därför vara möjligt att inom ramen för frivillig rapportering rapportera även andra incidenter än de som omfattas av den nya lagen, se avsnitt 7.3.4. Bedömningen av vilka incidenter som har en betydande inverkan på kontinuiteten i de samhällsviktiga tjänsterna bör utgå från de ovan nämnda faktorerna samt de förhållanden som finns inom respektive sektor. Beroende på vilken sektor som avses kan faktorerna också tillmätas olika vikt. Utredningen menar att denna bedömning bäst görs av en myndighet med god kunskap om verksamheten och, i de fall det är möjligt, i samverkan med befintliga nätverk inom sek- torn. I de fall bestämmelser om driftsäkerhet finns för sektorn bör dessa användas som utgångspunkt i den utsträckning det är möjligt, t.ex. PTSFS 2015:2. Närmare föreskrifter om vilka faktorer som ska användas för att avgöra om en incident har betydande inverkan på kontinuiteten som medför krav på rapportering ska därför med- delas i myndighetsföreskrifter. Ett bemyndigande ska därför föras in i den nya lagen. Utredningens bedömning är att tillsynsmyndig- heten ska meddela sådana myndighetsföreskrifter. Det kan även finnas fördelar med att utforma faktorerna likartat inom de olika sektor- erna. Denna typ av frågor bör enligt utredningen diskuteras i det nationella samarbetsforum som utredningen föreslår och som ska ledas av MSB. Den samarbetsgrupp som inrättats genom NIS-direktivet får ut- arbeta och anta riktlinjer om incidentrapportering och om vilka faktorer som ska användas för fastställandet av hur betydande en incidents inverkan är (artikel 14.7). MSB är representant i samarbetsgruppen. I den utsträckning samarbetsgruppen utarbetar och antar riktlinjer för skyldigheten att rapportera incidenter och vilka faktorer som ska användas bör MSB lämna råd och stöd till tillsynsmyndigheten vid utarbetandet av myndighetsföreskrifter. Säkerhetskrav och incidentrapportering … MSB ska också ges tillfälle att yttra sig innan sådana föreskrifter meddelas. Bedömningen av hur betydande en incidents inverkan är bör samordnas med förfarandet för fastställande om en störning är be- tydande när leverantörer av samhällsviktiga tjänster identifieras, se avsnitt 6.2.2. Vem ska leverantörerna rapportera till? Rapporteringen ska enligt NIS-direktivet ske till den behöriga myn- digheten eller CSIRT-enheten (artikel 14.3). Statliga myndigheter rapporterar vissa it-incidenter till i första hand MSB. Utredningen föreslår i avsnitt 11.2.2 att MSB ska ha funktionen som CSIRT-enhet. Behöriga myndigheter ska utöva tillsyn och utredningen föreslår att det ska utses en tillsynsmyndig- het för varje sektor, se avsnitt 8.5. I utredningsarbetet har diskuterats om incidentrapporteringen i stället bör ske till tillsynsmyndigheter- na eftersom rapporteringen är ett av de viktigaste verktygen i tillsyns- myndigheternas arbete med att granska regelefterlevnaden. Erfa- renheter från arbetet med incidentrapporter enligt lagen (2003:389) om elektronisk kommunikation är till exempel att tillsyn tillsammans med sanktionsmöjligheter är viktiga verktyg för att få till stånd en fungerande incidentrapportering, både när det gäller att incidenter rapporteras och att rapporternas innehåll blir tillfyllest. Flera till- synsmyndigheter har också upparbetade rutiner för in- cidentrapportering. För att kunna bistå i hanteringen av en incident, varna andra som kan drabbas både nationellt och internationellt, analysera och återföra kunskap kring inträffade incidenter krävs en omfattande organisation och vissa tekniska lösningar. Mot bakgrund av CSIRT-enhetens roll och uppdrag avseende hantering av it-säker- hetsincidenter samt att det redan finns en etablerad nationell funk- tion för incidentrapportering på MSB är utredningens bedömning att incidentrapportering enligt NIS-direktivet ska göras till CSIRT- enheten vid MSB. Leverantörerna ska enligt utredningens mening inte vara skyldiga att rapportera incidenter till tillsynsmyndigheten. För att tillgodose det behov av information om incidenter som finns hos tillsynsmyndigheterna ska det i stället åligga CSIRT-enheten att skyndsamt överlämna de incidentrapporter som lämnats av leve- Säkerhetskrav och incidentrapportering … rantörerna till den tillsynsmyndighet som utövar tillsyn över den rapporterande leverantören, se avsnitt 11.2.6. Utformningen av rap- porteringsstöd och verktyg kopplade till rapportering enligt den nya lagen bör göras i samarbete med respektive tillsynsmyndighet. Rapporterna ska också vara ett underlag när sektorsvisa myndig- hetsföreskrifter utformas avseende tekniska och organisatoriska åt- gärder. För de tillsynsmyndigheter som också har ansvar enligt KBF finns även ett behov av incidentrapporterna för att uppfylla krav på rapportering och lägesbilder i sin sektor. De nya bestämmelserna kan innebära att en leverantör måste rapportera samma incident till olika myndigheter men med olika syften, men så är fallet för vissa leverantörer. Rappor- teringen enligt NIS-direktivet ersätter inte sådan rapporterings- skyldighet. Rapportens innehåll och utformning Rapporten ska innehålla uppgifter som gör det möjligt för CSIRT- enheten att fastställa om incidenten har gränsöverskridande verk- ningar (artikel 14.3). Enligt utredningens mening bör det också framgå om incidenten påverkar andra leverantörer i sektorn eller leverantörer i andra sektorer, se avsnitt 11.2.3. För att den natio- nella kontaktpunkten ska kunna fullgöra sin skyldighet enligt arti- kel 10.3 bör rapporten också innehålla en beskrivning av vad som har inträffat, omfattningen och konsekvenserna av incidenten, vilka åtgärder som vidtagits för att minimera verkningarna av incidenten samt vilka åtgärder som vidtagits för att förebygga liknande inciden- ter . Det ska vidare framgå av rapporten om incidenten är en följd av en incident hos en leverantör av digitala tjänster (arti- kel 16.5). Rapporten ska också kunna utgöra grund för tillsynsmyndig- hetens bedömning av om det finns anledning att vidta tillsynsåtgär- der till följd av den inträffade händelsen. Rapporteringen får inte medföra ökat ansvar för den rapporte- rande parten utöver det som följer av NIS-direktivet (artikel 14.3). Det går därmed inte att ställa krav på att leverantören ska utreda händelsen åt CSIRT-enheten. I och med att rapporten är lämnad upphör leverantörens skyldigheter när det gäller incidentrapportering. Säkerhetskrav och incidentrapportering … För att inte ålägga leverantörerna en onödig administrativ börda bör rapporten i så stor utsträckning som möjligt utformas på sam- ma sätt som annan incidentrapportering. Vägledning bör hämtas från MSB:s föreskrifter och allmänna råd om statliga myndigheters rapportering av it-incidenter, MSBFS 2016:2. I den utsträckning det finns andra branschspecifika bestämmelser bör dessa beaktas vid utformningen av rapporten. Det kan även finnas krav från till- synsmyndigheterna på innehållet i rapporten eftersom den är ett vik- tigt verktyg för tillsynsverksamheten. Dock bör rapporteringen så långt det är möjligt utformas på samma sätt för samtliga sektorer. Bestämmelser om den närmare utformningen av rapporten bör med- delas i myndighetsföreskrifter. Ett bemyndigande ska därför föras in i den nya förordningen. Utredningens bedömning är att MSB ska meddela dessa föreskrifter. Tillsynsmyndigheterna ska ges tillfälle att yttra sig innan föreskrifterna om rapportens utformning utfärdas. Se även avsnitt 12.2 om CSIRT-enhetens uppgifter. NIS-direktivet ålägger medlemsstaterna att fastställa regler om sank- tioner för överträdelse av nationella bestämmelser som har antagits enligt direktivet och vidta alla nödvändiga åtgärder för att se till att de tillämpas. Sanktionerna ska vara effektiva, proportionella och av- skräckande. Frågan om sanktioner behandlas i kapitel 9. 7.3.4Standardisering och frivillig rapportering Förslag: Vid utformning av säkerhetsåtgärder bör leverantörer av samhällsviktiga tjänster beakta europeiska eller internationellt accepterade standarder och specifikationer. Myndigheten för samhällsskydd och beredskap får meddela föreskrifter om förutsättningarna för frivillig rapportering. Till- synsmyndigheterna ska ges tillfälle att yttra sig innan föreskrift- erna meddelas. Säkerhetskrav och incidentrapportering … För att främja en enhetlig tillämpning av säkerhetsåtgärder ska med- lemsstaterna, utan att föreskriva eller gynna användning av en viss typ av teknik, uppmuntra användningen av europeiska eller inter- nationellt accepterade standarder och specifikationer av relevans för säkerheten i nätverk och informationssystem. ska i samarbete med medlemsstaterna utarbeta råd och riktlinjer för de tekniska områden som ska beaktas när det gäller säkerhetsåtgärder samt för redan befintliga standarder, inklusive med- lemsstaternas nationella standarder, som skulle kunna täcka dessa områden (artikel 19). Med standard avses en standard i den mening som avses i arti- kel 2.1 i förordning (EU) nr 1025/20126. Där definieras standard som en teknisk specifikation som antagits av ett erkänt standardise- ringsorgan för upprepad eller fortlöpande tillämpning, som inte är tvingande och som tillhör någon av följande typer: a)internationell standard: en standard som antagits av ett inter- nationellt standardiseringsorgan, b)europeisk standard: en standard som antagits av en europeisk standardiseringsorganisation, c)harmoniserad standard: en europeisk standard som antagits på grundval av kommissionens begäran för tillämpningen av unionens harmoniseringslagstiftning, d)nationell standard: en standard som antagits av ett nationellt standardiseringsorgan. Med specifikation avses en teknisk specifikation i den mening som avses i artikel 2.4 i förordning (EU) nr 1025/2012. Där definieras specifikation som ett dokument som föreskriver de tekniska krav som en produkt, process, tjänst eller ett system ska uppfylla och som fastställer ett eller flera av följande: 6 och rådets förordning (EU) nr 1025/2012 av om europeisk standardisering och om ändring av rådets direktiv /686/EEG och 93/15/EEG samt av och rådets direktiv /9/EG, 94/25/EG, 95/16/EG, 97/23/EG, 98/34/EG, 2004/22/EG, 2007/23/EG, 2009/23/EG och 2009/105/EG samt om upphävande av rådets beslut 87/95/EEG och och rådets beslut /2006/EG. Säkerhetskrav och incidentrapportering … a)De egenskaper som krävs av en produkt, exempelvis i fråga om kvalitetsnivåer, prestanda, interoperabilitet, miljöskydd, hälsa, säkerhet eller dimensioner, och inbegripet sådana krav som avser varubeteckning, terminologi, symboler, provning och provnings- metoder, förpackning, märkning eller etikettering samt förfaran- den för bedömning av överensstämmelse. b)Produktionsmetoder och processer för de jordbruksprodukter som definieras i artikel 38.1 i EUF-fördraget, för produkter av- sedda att konsumeras av människor eller djur samt läkemedel, liksom produktionsmetoder och processer för andra produkter om de påverkar dessa produkters egenskaper. c)De krav som ställs på en tjänst, inklusive kvalitetsnivåer, prestanda, interoperabilitet, miljöskydd, hälsa eller säkerhet, och inbegripet krav på leverantören om att ställa uppgifter till tjänstemot- tagarnas förfogande i enlighet med artikel 22.1–22.3 i direktiv /123/EG7. I och med att säkerhetsproblem som påverkar nätverk och infor- mationssystem är globala till sin natur behövs ett närmare internatio- nellt samarbete för att förbättra säkerhetstandarder och informa- tionsutbyte och för att främja ett gemensamt sätt att hantera säkerhetfrågor (skäl 43).