sou · H5B336 · 2017-05-02 00:00:00 — Även på dessa områden kan dock säkerhetsskyddet kontrolleras av Säker- hetspolisen och Försvarsmakten. Kontrollen ska i så fall utföras i samråd med den primärt ansvariga myndigheten. Ett flertal myndigheter har således ett särskilt ansvar för säkerhets- skyddet. Det förhållandet i sig kan givetvis göra ansvar och roller otydliga. Utredningen om säkerhetsskyddslagens direktiv fann inte skäl för någon genomgripande förändring av den ordningen. Tvärt- om framhölls att det är viktigt att den samlade kompetens som finns hos de myndigheter som har till uppgift att kontrollera säker- hetsskyddet kan användas på ett effektivt sätt. På samma sätt som i fråga om behovet av sanktioner anförde ut- redningen om säkerhetsskyddslagen att det var viktigt att frågan om tillsynsorganisation följs upp när en ny lag har varit i kraft . Om sanktioner övervägs, är det inte självklart att tillsynen bör orga- niseras på samma sätt som . Det nu gällande dataskyddsdirektivet föreskriver att varje med- lemsstat ska ha en eller flera tillsynsmyndigheter som ska övervaka tillämpningen av de nationella bestämmelser som antagits till följd av direktivet. ska ha vissa angivna uppgifter och I är Datainspektionen denna myndighet3. Datainspektionen har det övergripande, ansvaret för tillsynen över behandling av personuppgifter. Tillsynsuppdraget är brett och Data- inspektionen är behörig att utöva tillsyn över all personuppgifts- behandling. Tillsynen avser både sådan behandling som regleras av personuppgiftslagen och sådan som omfattas av särskilda registerlagar med avvikande eller kompletterande bestämmelser. Härutöver har några ytterligare myndigheter i uppdrag att utöva tillsyn över be- handling av personuppgifter inom vissa särskilt angivna områden, till exempel och Post-och . Utformningen av Datainspektionens behörighet innebär att det inte finns några ”luckor” i tillsynen över behandlingen av person- uppgifter. Det finns med andra ord inte någon personuppgiftsbe- handling som inte omfattas av någon myndighets tillsynsbefogenhet. Om inte någon annan myndighet utövar tillsyn kan Datainspektion- en alltid göra det. Datainspektionen avgör själv när det finns anled- ning att inleda ett tillsynsärende. Beslutet kan grunda sig på exempel- vis iakttagelser vid ett annat tillsynsärende, en beslutad tillsynsplan, ett tips från massmedia eller andra myndigheter och klagomål från enskilda. Tillsyn kan också initieras efter en anmälan från ett person- uppgiftsombud. Datainspektionen tar emot klagomål från enskilda som anser att de har varit föremål för en felaktig personuppgifts- behandling men är inte skyldig att inleda ett tillsynsärende på grund av en gjord anmälan. Alla som klagar får dock ett besked i någon form från Datainspektionen. Transportstyrelsen har ansvaret för merparten av all normgivning, tillståndsgivning, tillsyn och registerhållning för de fyra trafikslagen. Transportstyrelsen inrättades som Luft- fartsstyrelsen och Järnvägsstyrelsen lades ner. har till uppgift att från säkerhetssyn- punkt utreda alla typer av allvarliga civila eller militära olyckor och tillbud, oavsett om de inträffar till lands, till sjöss eller i luften. 3 2 a § förordningen (2007:975) med instruktion för Datainspektionen. Motiven för en trafikslagsövergripande myndighet angavs i prop. 2008/09:31 för det första vara vikten av att en effektiv och tillför- litligt genomförd tillsyn kan garanteras inom alla trafikslag. En för- utsättning för detta ansågs vara att det råder ett oberoende mellan det organ som utövar tillsynen och den verksamhet som tillsynen avser. För det andra konstaterades att tillsynen var splittrad och svåröverskådlig inom många områden. Det påpekades att det i bud- getpropositionen framhölls att en väl fungerande tillsyn är avgörande för den rättssäkerhet som tillsammans med effektivitet och medborgarorientering ska vara utpekande för statsförvaltning- en. Vidare bedömdes att behovet av en optimal tillsyn ökade i takt med den ökade delegeringen av offentliga åtaganden, driften av offent- lig verksamhet i privat regi, avregleringen av flera marknader liksom EU-medlemskap. Regeringen bedömde därför att en myn- dighet med ett samlat tillsynsansvar på ett avgörande sätt skulle kom- ma att bidra till en utveckling i enlighet med det nu sagda. Den tredje aspekten som beaktades var det faktum att dagens trans- porter och resor ofta sker med flera olika trafikslag inblandade. Likformighet och likabehandling mellan trafikslagen när det gäller tillsyn och normgivning – i den grad det är möjligt – ansågs därför vara önskvärda. I en samlad verksamhet, där jämförelser av erfaren- heter kan ske och nytta dras av resultaten, ansågs förutsättningarna för att uppnå dessa mål öka. Vidare bedömdes att effektivitet skulle uppnås även inom den administrativa verksamheten genom att denna skulle ske sammanhållet för en större myndighetskropp. Ett viktigt krav för att en korrekt och trovärdig tillsyn kan garanteras ansågs också vara att det råder ett oberoende mellan den organi- sation som utövar tillsyn och den verksamhet som tillsynen avser. Regeringens uttalade vidare att det var såväl lämpligt som effektivt att den myndighet som utfärdar föreskrifter inom ett område också har det ansvar och de befogenheter som behövs för att säkerställa att föreskrifterna får avsedd verkan. I utövandet av ansvaret och användandet av befogenheterna förmodades myndigheten därutöver tillägna sig erfarenheter som kan ligga till grund för utformningen av föreskrifterna. Statskontoret, som fått i uppdrag att följa upp och Transportstyrelsens verksamhet, har bl.a. anfört följande avseende renodling av roller4. Ett viktigt ledord bakom de senaste årens organisationsförändringar har varit renodling av roller och ansvar mellan transportmyndigheterna. An- svaret för tillsyn och normgivning har skilts från förvaltarrollen. Vidare har det inom den förvaltande rollen skett en renodling dels genom att produktionsverksamheten har avskilts från förvaltarrollen dels genom att har strävat efter att lägga över ett större åtagande på entreprenörer och konsulter. Statskontoret kan konstatera att denna utveckling har både för- och nackdelar. Att ansvaret för tillsyn och normgivning har skilts från för- valtarrollen har inneburit bättre förutsättningar för en oberoende tillsyn och normgivning. Transportstyrelsen bör ha lättare än tidigare myn- digheter att verka fristående från de olika ”branschkrafterna” då myn- digheten inte själv har ansvar för förvaltningen av infrastrukturen. För innebär renodlingen av beställarrollen sannolikt att en mer effektiv infrastrukturproduktion kan organiseras. För både Transportstyrelsen och innebär dock denna renodling utmaningar i olika avseenden. Som vi har beskrivit riskerar en alltför stark renodling av beställarrollen innebära att för- lorar kunskap över väg- och järnvägssystemet. Inom Transportstyrelsen finns det inte några strukturella motverkande krafter till det regler- ingsarbete som genomförs på det sätt som fanns tidigare. I de tidigare trafikverken, där de reglerande uppgifterna låg inom samma organisation som de förvaltande, fanns det en inbyggd ”naturlig broms” mot alltför ingripande reglering eftersom det kunde påverka myndigheternas för- valtande uppgifter. System inom hälso- och sjukvården Inspektionen för vård och omsorg () bildades och ansvarar för tillsyn över hälso- och sjukvård, hälso- och sjuk- vårdspersonal, socialtjänst och verksamhet enligt lagen (1993:387) om stöd och service till vissa funktionshindrade (LSS). har också ansvar för viss tillståndsprövning. har inget ansvar för norm- givning. 4 På rätt väg? Uppföljning av och Transportstyrelsen s.145, Statskontoret, 2015:14. En tillsynsmyndighet för bl.a. hälso- och sjukvård, LSS-verksamhet och socialtjänst Enligt regeringens uppfattning5 bör det finnas en tydlig gränslinje mellan å ena sidan kunskapsutveckling, bidragsgivning och norme- ring och å andra sidan tillsyn. En sådan åtskillnad ger störst tydlighet och oberoende och därmed legitimitet åt tillsynsarbetet. En själv- ständig tillsynsmyndighet ger också riksdag och regering bäst förut- sättningar att kunna styra tillsynens resurser via anslag till myndig- heten. Regeringen bedömde liksom Statskontoret att det inte finns några principiella eller andra hinder för att separera dessa två upp- gifter. En fristående tillsynsmyndighet i form av underlättar också för medborgarna att hitta rätt när de vill framföra klagomål eller anmäla brister som gäller såväl hälso- och sjukvård som socialtjänst och verksamhet enligt LSS. Den kan också bidra till att tillsynen ut- övas med mer långsiktig planering, tydligare prioriteringar, ett mer strategiskt inriktat arbete och att möjligheter till gemensamma be- slut och rapporter skapas, dvs. möjliggör en effektivare tillsyn. En ny inspektionsmyndighet har enligt regeringens bedömning möjlighet att från början anpassa sina interna styrmodeller, uppfölj- ningssystem och ärendehanteringssystem till de stora ärendevoly- merna och sin myndighetsutövande roll. Att från början kunna utveckla en myndighetskultur som grundas på det lagreglerade till- synsuppdraget innebär enligt regeringens mening betydande fördelar. Detta skulle förbättra möjligheterna att inom myndigheten kunna utveckla en tydlig yrkesroll och utarbeta en strategi för kompetens- försörjningen. bör även bygga upp lämpliga samarbetsformer med huvud- männen så att inspektionens arbete på bästa möjliga sätt samspelar med huvudmännens kvalitetsansvar. Detta förutsattes kunna ske genom att ett effektivt kunskapsutbyte mellan och Socialsty- relsen kan etableras. 2012/13:20 s. 94 ff. Tillsyn enligt förslag av NISU 2014 I betänkandet Informations- och cybersäkerhet i – Strategi och åtgärder för säker information i staten (SOU 2015:23) föreslår NISU 2014 bland annat att tillsynen över den statliga sektorns in- formationssäkerhet bör samordnas och förstärkas. MSB ska enligt förslaget utöva tillsyn över myndigheternas informationssäkerhets- arbete. I betänkandet konstateras att ett en sådan tillsynsuppgift säkerligen kommer att kräva samverkan med myndigheter i det före- slagna myndighetsrådet. Det är vidare nödvändigt att samordning sker i förhållande till den tillsyn som utövas under säkerhetsskydds- lagen för att undvika överlappande tillsynsansvar. Vidare krävs sam- ordning med den tillsyn inom staten avseende informationssäker- het som sker genom sektorsansvariga myndigheters försorg. NISU 2014 anförde vidare att ett antal myndigheter vid sidan om Försvarsmakten, Säkerhetspolisen och sektorsmyndigheterna har tillsynsansvar inom informationssäkerhetsområdet, t.ex. Datainspek- tionen, och . Det är en krävande uppgift som ställer höga krav på expertkompetens. Till- synsansvaret omfattar alla aspekter av informationssäkerhet, allt från administrativ säkerhet till it-säkerhet och krypto. Det är inte rimligt att kräva eller förutsätta att den bredd och djup i kompetens som krävs ska finnas inom varje tillsynsmyndighet. Betydligt effektivare och mer rationellt vore om tillsynen genomförs i samverkan med en utpekad myndighet som har den djupa kompetens som krävs. Då skulle tillsynsmyndigheten ha ansvaret och kunskapen om föremålet för tillsyn, och dra fördel av expertmyndighetens djupa fackkunskaper. Detta bidrar till kvalitet och stabilitet i tillsynen och en jämn tillämpning av informationssäkerhetskraven på tillsynsobjek- ten. En samordning av stöd till tillsynsverksamheten vore också effektivt sett till både ekonomi och säkerhet. I betänkandet förslås att MSB ska utöva tillsyn samt utfärda före- skrifter. 8.4.2Nuvarande reglering i sektorerna Inom de sektorer som omfattas av NIS-direktivet finns olika system för tillsyn. 8.5Utredningens överväganden och förslag 8.5.1En tillsynsmyndighet för varje sektor Förslag: Den myndighet som regeringen bestämmer ska vara nationell behörig myndighet. Den nationella behöriga myndigheten ska utöva tillsyn över att lagen och föreskrifter som meddelats i anslutning till lagen följs. Det ska finnas en nationell behörig myndighet, tillsynsmyn- dighet, för varje sektor som utövar tillsyn. ska lämna stöd till representanten i sam- arbetsgruppen. Utredningen har i sina överväganden avseende systemet för tillsyn enligt NIS-direktivet utgått från regeringens generella bedömningar av hur en tillsynsreglering bör vara utformad (skr. 2009/10:79) samt från att befintliga tillsynsmyndigheter bör behålla sitt ansvar. I skälen till NIS-direktivet anges att medlemsstaterna bör kunna utse mer än en nationell behörig myndighet med ansvar för att utföra upp- gifter som rör säkerheten i de nätverk och informationssystem som används av leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster enligt NIS-direktivet (skäl 30). Medlemsstaterna bör vid behov kunna använda eller anpassa befintliga organisations- strukturer vid tillämpningen av direktivet (skäl 37). finns flera olika system för tillsyn inom de sektorer som omfattas av NIS-direktivet och verksamheterna inom sektorerna har i många fall flera olika tillsynsmyndigheter. Vissa tillsynsmyndig- heter utövar tillsyn över säkerhet i nätverk och infor- mationssystem medan andra har en annan inriktning på tillsynen, se avsnitt 8.4. Enligt skrivelsen (skr. 2009/10:79) bör man utgå från de förut- sättningar som gäller för det specifika tillsynsområdet. anförs att det inte går att bortse från att många tillsynsområden har väsentligt olika förutsättningar som påverkar hur tillsynsregelverket bör utformas för att effektivt bidra till att de materiella reglerna efterlevs och att intentionerna i regelverken förverkligas. Faktorer som kan behöva vägas in är bland annat vem som bedriver den verk- samhet som tillsynen avser, vilket slag av verksamhet som tillsynen riktas mot, vilka risker regelöverträdelser kan orsaka och hur det materiella regelverk som tillsynen avser är utformat. Vidare framhålls att det måste beaktas att tillsyn är kostnadskrävande och orsakar störningar och påfrestningar för den som kontrolleras. De verksamheter som kan komma att beröras av tillsyn enligt NIS-direktivet utgörs av statliga myndigheter, kommuner, landsting, statligt och kommunalt ägda bolag samt enskilda företag. När det gäller enskilda företag kan dessa vara etablerade i eller i en annan medlemsstat. En enhetlig tillsyn i vart fall inom respektive sektorer bör därför vara utgångspunkten. En annan faktor som bör vägas in är vilket slag av verksamhet som tillsynen riktas mot. De enheter som finns inom de berörda sektorer och delsektorer finns inom sju olika verksamhetsområden. Det rör sig därför om verksamheter av vitt skilda slag såsom vård- givare, kreditinstitut och registreringsenheter för toppdomäner. Detta talar också för att ha en enhetlig tillsyn inom respektive sektor. Ytterligare en faktor som ska beaktas när man bedömer vilket system som lämpar sig bäst är vilka risker regelöverträdelser kan orsaka. NIS- direktivets syfte är att höja nivån av säkerhet i nätverk och infor- mationssystem för samhällsviktiga tjänster och digitala tjänster. Åt- gärderna ska hantera risker samt förebygga och minimera verkningar av incidenter. Det kan också röra sig om incidenter som har gräns- överskridande verkan. Tillsynen bör ha därför även ges en förebyg- gande inriktning. Inom de sju sektorer som omfattas av NIS-direktivet finns stora skillnader i omfattning och utformning av det regelverk som tillsynen utövas utifrån. saknas reglering avseende informationssäkerhet i vissa fall och i andra finns tydliga EU-rättsakter på området. Även om den nu föreslagna lagstiftningen utformas på ett enhetligt sätt kommer kraven på säkerhetsåtgärder inom de olika sektorerna att se olika ut beroende på vilken verksamhet som regleras. Detta kommer naturligtvis även att påverka utformningen av tillsynen. Kunskap om verksamheten inom området bör tillmätas stor betydelse men även kunskap om informationssäkerhet är en viktig komponent för en tillsynsmyndighet. Enligt utredningens mening bör därför utgångspunkten för till- synens utformning vara att det ska finnas en tillsynsmyndighet för varje sektor. Ett system med en tillsynsmyndighet i varje sektor har naturligt- vis både för- och nackdelar. Det som talar för detta system är att en sådan tillsynsmyndighet har kunskap om både sektorn och dess reg- lering. Detta blir särskilt viktigt i de sektorer och delsektorer som regleras av nationell lagstiftning eller EU-rättsakter och där en bedömning måste göras om NIS-direktivets krav redan är tillgodosedda genom befintlig reglering. Kunskap om verksamheten minskar också risken för att de krav på säkerhetsåtgärder som finns olika regelverk kommer att motverka varandra. är också redan etablerad inom sektorn och behöver ingen längre för- beredelsetid för att påbörja tillsynsverksamheten. En effektiv tillsyn kräver förtroende mellan tillsynsmyndighet och verksamhet vilket också finns enligt uppgift från referensgruppens deltagare. Ett sådan förtroende bygger på långsiktiga relationer samt kunskap och förståelse för verksamheten. Utredningen ser att det är en fördel att hålla samman normgivning och tillsyn. Leverantörerna omfattas i de flesta fall av såväl natio- nella regleringar som EU-rättsakter. Inom såväl transportsektorn som bank- och finansmarknadsinfrastruktursektorerna finns väl fun- gerande struktur med tillsyn och normgivning på en och samma myn- dighet. Eftersom informationssäkerhet är en del av verksamheten är det särskilt viktigt att erfarenheter från tillsyn och incidenter tas tillvara i föreskriftsarbetet på ett sätt som förbättrar den inre mark- nadens funktion. Det som talar emot att utse flera tillsynsmyndigheter är att till- syn när det gäller säkerhet i nätverk och informationssystem kräver expertkunskap. finns inte den bredd och djup i kompetens som krävs inom alla tillsynsmyndigheter. Utredningen anser att det inom de nu berörda sektorerna är viktigt att höja informationssäker- hetskompetensen och att det därför är rimligt att tillsynsmyndig- heterna skaffar den kompetens som krävs. Det kan innebära att man stärker den egna kompensen eller söker hjälp hos alternativt sam- arbetar med andra tillsynsmyndigheter.6 Det samarbetsforum som leds av MSB fyller en viktig funktion för att utveckla och stärka kompetensen, se avsnitt 8.5.4. En annan lösning kan vara att anlita konsulter för vissa delar i en tillsyn. () stödjer flera tillsynsmyndigheter i deras tillsynsuppdrag. Det sker inom ramen för FRA:s uppdrag i vilket anges att FRA får lämna stöd till statliga myndigheter och statligt ägda bolag när det gäller informationssäkerhet.7 Detta stöd är dock förbehållet verksamheter som hanterar information som bedöms vara känslig från säkerhets- synpunkt eller i ett säkerhets- och försvarspolitiskt avseende. Det går också att argumentera för att välja ett system med en till- synsmyndighet som utövar tillsyn över NIS-direktivets tillämpning. Enligt utredningens mening finns dock ingen självklar myndig- het som skulle kunna utses till en sådan tillsynsmyndighet. NISU 2014 föreslår att MSB ska få ett liknade ansvar när det gäller statliga myndigheter tillsammans med sektorsmyndigheterna. Även i ett så- dant system krävs dock samverkan. Samverkan behöver då ske med sektorsmyndigheterna och andra tillsynsmyndigheter. NISU 2014 hänvisar också till vad som anförs i mationssäkerheten i den civila statsförvaltningen (RiR 2014:23) när det gäller att agera i rollen som i tillsynsmyndighet. I rapporten ut- talas följande. MSB har ett omfattande uppdrag att stödja samhällets informations- säkerhet, men har inget uppdrag att utöva tillsyn. MSB är därför till stor del beroende av att aktörer lämnar uppgifter frivilligt. Den nät- verksstruktur som MSB delvis grundar sin informationsinhämtning på ger enligt en insyn i vilka problem och hot som finns mot samhället i stort. Sättet att inhämta informationen kan dock inne- bära svårigheter för MSB att agera mot myndigheter och företag som deltar i informationsutbytet, eftersom agerandet kan riskera förtro- endet och därmed grunden för informationsinsamlingen. Utredningen konstaterar också att det med hänsyn till den korta tid som utredningen har till sitt förfogande samt att NIS-direktivet ska vara genomfört i svensk rätt inte är möjligt göra några större förändringar i det mandat som de befintliga till- 66 § förvaltningslagen (1986:223) och 6 § andra stycket myndighetsförordningen (2007:515). 74 § förordningen (2007:937) med instruktion för . 8Informationssäkerheten i den civila statsförvaltningen, RiR 2014:23 s. 43. synsmyndigheterna har, genom att utse en myndighet som utövar tillsyn över samtliga sektorer. Utredningen har övervägt olika förslag och har funnit att ett system med en tillsynsmyndighet för varje sektor är mest ändamåls- enligt för en effektiv tillsyn enligt NIS-direktivet. Tillsynsmyndig- hetens kunskap om den verksamhet som är föremål för tillsynen och om annan närliggande reglering medför enligt utredningen att det föreslagna systemet bidrar till en effektiv tillsyn som till- synsverksamheten på ett ändamålsenligt sätt bidrar till att höja nivån av säkerhet i nätverk och informationssystem i syfte att förbättra den inre marknadens funktion. Tillsynsmyndigheterna, den nationella kontaktpunkten och CSIRT-enheten ska också samarbeta på ett effektivt och säkert sätt i samarbetsgruppen (artikel 8.5). Det innebär att tillsynsmyndigheter- na ska lämna stöd till representant i samarbetsgruppen, MSB, se avsnitt 6.2.2, 7.3.2 och 11.3.3. Detta regleras i den nya för- ordningen som en uppgift för tillsynsmyndigheterna. Förslag: ska vara tillsynsmyndighet i energisektorn, Transportstyrelsen i transportsektorn, Finans- inspektionen i sektorerna för bankverksamhet och finansmark- nadsinfrastruktur, Inspektionen för vård och omsorg för hälso- och sjukvårdssektorn, för sektorn leverans och distribution av dricksvatten samt för sek- torn digital infrastruktur. ska vara tillsynsmyndighet för samtliga typer av digitala tjänster. Medlemsstaterna ska utse en eller flera nationella behöriga myndig- heter som ska övervaka tillämpningen av NIS-direktivet på nationell nivå (artikel 8.1–2). De nationella behöriga myndigheterna i ska utöva tillsyn över direktivets genomförande och tillämpning (tillsynsmyndigheter). Nästa fråga blir då om det finns befintliga tillsynsmyndigheter inom de respektive sektorerna som är lämpliga att utöva tillsyn när det gäller säkerheten i nätverk och informationssystem. Utredningen har gjort en översiktlig inventering av tillsynsansva- ret när det gäller informationssäkerhet inom de sektorer och del- sektorer som framgår av bilaga 2 till NIS-direktivet.9 Inventeringen har gjorts i samverkan med och kvalitetssäkrats av deltagarna i re- ferensgruppen m.fl. Utredningen konstaterar att det inte finns någon tydlig enhetlig struktur som är gemensam för samtliga sektorer. Inom vissa sektorer finns flera tillsynsmyndigheter med olika ansvar, i andra är ansvaret tydligt utpekat och för några enheter saknas till- synsmyndighet. Utredningen har därför valt att utgå från de myndigheter som har •ett tillsynsansvar i sektorn eller i närliggande sektorer även om det inte omfattar tillsyn av informationssäkerhet, •kunskap om verksamheten i sektorn, •kunskap om sårbarheter, hot och risker inom sektorn, •kunskap om befintliga och kommande EU-rättsakter inom sektorn och •ansvar för att utfärda föreskrifter. En annan utgångspunkt har varit att tillsynsmyndigheten inte själv ska tillhandahålla tjänster som omfattas av NIS-direktivet. Utredningen har också utgått från de synpunkter som framförts av deltagarna i referensgruppen. Gruppen har framfört att en till- synsmyndighet bör ha god kunskap om NIS-direktivet, erfarenhet av tillsynsverksamhet, kompetens inom informationssäkerhetsområdet, branschkunskap, kunna granska både form och innehåll samt vara oberoende.