sou · H5B336 · 2017-05-02 00:00:00 — Bestämmelser om tekniska och organisatoriska åtgärder när det gäller personuppgiftsbehandling finns i personuppgiftslagen (1998:204). Till exempel ska den som omfattas av personuppgifts- lagen och är personuppgiftsansvarig vidta lämpliga tekniska och orga- nisatoriska säkerhetsåtgärder för att skydda personuppgifterna (31 § personuppgiftslagen). Till tekniska åtgärder räknas saker som brand- väggar, krypteringsfunktioner och antivirus, medan organisatoriska åtgärder handlar om hur säkerhetsarbetet organiseras, styrs och följs upp med hjälp av rutiner, instruktioner och policyer. Generellt gäller att ju känsligare personuppgifterna är eller ju fler personupp- gifter som hanteras, desto mer omfattande bör säkerhetsåtgärderna vara. När man gör en lämplighetsbedömning, det vill säga bestämmer vilken säkerhetsnivå man ska ha, ska man tänka på att åtgärderna ska ge en säkerhetsnivå som är lämplig i förhållande till tillgänglig teknik, kostnaden för åtgärderna, om det finns några särskilda risker med behandlingen samt hur pass känsliga uppgifterna är. I Datainspek- tionens allmänna råd2 finns en närmare beskrivning av säkerhetsåt- gärder. I förordningen (2015:1052) om krisberedskap och bevaknings- ansvariga myndigheters åtgärder vid höjd beredskap (KBF) finns bestämmelser för statliga myndigheters informationssäkerhet som 15 kap. 6 b § lagen (2003:389)om elektronisk kommunikation. 2Säkerhet för personuppgifter, Datainspektionens allmänna råd, reviderad . Säkerhetskrav och incidentrapportering … gäller om inte något annat följer av lag eller annan förordning. Varje myndighet ansvarar för att egna informationssystem uppfyller så- dana grundläggande och särskilda säkerhetskrav att myndighetens verksamhet kan utföras på ett tillfredsställande sätt. Behovet av säkra ledningssystem ska särskilt beaktas (19 § KBF). Myndigheten för samhällsskydd och beredskap (MSB) får meddela verkställighets- föreskrifter om säkerhetskraven. I MSB:s föreskrifter och allmänna råd om statliga myndigheters informationssäkerhet, MSBFS 2016:1, finns bestämmelser om ledningssystem för informationssäkerhet, krav på informationssäkerhetsarbetet, intern incidenthantering och kontinuitetshantering. Incidentrapportering enligt förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap För statliga myndigheter som omfattas av KBF gäller krav på att rapportera allvarliga it-incidenter (20 § KBF och MSB:s föreskrifter och allmänna råd om statliga myndigheters rapportering av it-incidenter, MSBFS 2016:2). Statliga myndigheter är skyldiga att, till stöd för arbetet med sam- hällets informationssäkerhet, skyndsamt rapportera it-incidenter som inträffat i myndighetens informationssystem och som allvarligt kan påverka säkerheten i den informationshantering som myndigheten ansvarar för eller i tjänster som myndigheten tillhandahåller åt en annan organisation. Rapportering ska ske till MSB (20 § KBF). En myndighet som tillhandahåller tjänster åt en annan organisation ska i samband med rapportering informera och vid behov samråda med den eller de upp- dragsgivare som berörs av incidenten. Rapporteringsskyldigheten omfattar inte incidenter som ska rap- porteras till Säkerhetspolisen eller Försvarsmakten enligt 10 a § säker- hetsskyddsförordningen (1996:633). Exempel på sådana incidenter är incidenter i informationssystem där sekretessbelagda uppgifter som rör rikets säkerhet behandlas eller i system som särskilt behöver skyddas mot terrorism. Säkerhetskrav och incidentrapportering … Om det kan antas att en incident som rapporterats till MSB har sin grund i en brottslig gärning, ska MSB skyndsamt uppmana den rapporterande myndigheten att anmäla incidenten till polisen. MSB har meddelat närmare föreskrifter rapportering av it-incidenter3. De rapporteringspliktiga it-incidenterna utgöras av kategorierna 1.störning i mjuk- eller hårdvara, 2.störning i driftmiljö, 3.informationsförlust eller informationsläckage, 5.hindrad tillgång till information, 6.säkerhetsbrist i en produkt, 9.oönskad eller oplanerad störning i kritisk infrastruktur, eller 10.annan plötslig oförutsedd händelse som lett till skada (3 §). Varje myndighet ska rapportera en it-incident timmar efter det att myndigheten upptäckt incidenten (4 §). Rapporterna ska läm- nas till MSB via anvisade kontaktvägar (5 §). En rapport ska innehålla •en beskrivning av it-incidenten som även inkluderar en övergri- pande redovisning av händelseförlopp och vidtagna åtgärder, •den exakta eller uppskattade tidpunkten för när it-incidenten inträffade, •när myndigheten upptäckte it-incidenten och om den alltjämt pågår eller är avslutad, 3 MBSFS 2016:2. Säkerhetskrav och incidentrapportering … •till vilken eller vilka kategorier enligt 3 § som it-incidenten hör, samt •myndighetens initiala bedömning av it-incidentens omfattning och konsekvenser, både faktiska och potentiella. I rapporten ska om möjligt även anges bedömd sekretess för den information som rapporteras in. Om den rapporterande myndighet- en vid sin interna incidentutredning konstaterar att inrapporterade uppgifter om kategorier, omfattning och konsekvenser varit miss- visande eller felaktiga ska myndigheten komplettera eller korrigera sin rapport (6 §). På begäran av MSB ska en rapporterande myndighet lämna upp- gifter som kompletterar rapporteringen. Sådana uppgifter ska lämnas , om inget annat överenskommits med MSB (7 §). En myndighet som inte kan lämna en rapport får i samråd med MSB lämna en preliminär rapport. Samråd ska ske innan tidsfristen för rapportering går ut. Rapporten ska innehålla den information som finns att tillgå vid inrapporteringstillfället samt när myndigheten upptäckte it-incidenten, om den fortfarande pågår eller är avslutad, samt vilken eller vilka kategorier som orsakat incidenten. Den full- ständiga rapporten ska i ett sådant fall lämnas senast från det att it-incidenten upptäcktes (8 §). Om en myndighet överlåter en del av sin informationshantering till en icke statlig aktör ska myndigheten, i överlåtelseavtalet, se till att motparten åtar sig att rapportera it-incidenter i berörda system till myndigheten på ett sätt som motsvarar kraven enligt MSB:s före- skrifter. Myndigheten ska utan dröjsmål vidarebefordra en sådan rapport till MSB. Den skyldigheten gäller med avseende på avtal som träffas efter (9 §). En myndighet som har polisanmält en it-incident behöver inte lämna en rapport utan endast en kopia på polisanmälan (10 §). MSB tog i samband med att obligatoriet infördes fram både metod- stöd och en kryptolösning för säker kommunikation. Myndigheten har därefter stegvis utvecklat funktionen för it-incidentrapportering, exempelvis pågår arbete med att ta fram ett tekniskt rapporterings- verktyg vilket kommer att underlätta det praktiska arbetet för de rapporterande myndigheterna. Verktyget beräknas kunna tillhanda- hållas . Det sker dessutom ett kontinuerligt arbete med att förbättra och förfina metodstödet för rapporteringen. Säkerhetskrav och incidentrapportering … aktivt i förhållande till rapporteringsskyldiga myndigheter för att underlätta tillämpningen av regelverket och säkerställa en hög rap- porteringsgrad. Innan obligatoriet infördes hanterade MSB 40–80 incidenter som rapporterats in av olika aktörer i samhället, både privata och offentliga. Antalet inrapporterade incidenter har ökat . Av 244 rapporteringsskyldiga myndigheter har 77 myndigheter lämnat it-incidentrapporter till MSB . Åtta myndigheter har rapporterat fem eller fler incidenter. Den myndighet som rappor- terat flest har rapporterat 20 incidenter. Trettionio myndigheter har rapporterat endast en incident. Huvuddelen av dessa incidenter var av begränsad/okänd eller ej angiven betydelse för verksamhetsviktiga tjänster. De vanligaste incidentkategorierna är störning i driftmiljön och angrepp. Den vanligaste konsekvensen av de rapporterade inci- denterna är hindrande av tillgång till information. Sammanlagt har det inkommit 214 incidentrapporter. Av dessa har 12 in- cidenter polisanmälts. Rapportflödet har varit relativt jämnt med runt 25 rapporter , bortsett från sommarmånaderna där antalet gick ner. Nedgången kan sannolikt till viss del förklaras av att färre användare är aktiva i systemen och att det sker mindre drift- och utvecklingsåtgärder i it-miljöer under sommar- en. Säkerhetspolisen har fått in tre it-incidentrapporter enligt 10 a § säkerhetsskyddsförordningen. Försvarsmakten har inga uppgifter att lämna avseende rapporterade incidenter eftersom de inte fått in några formella rapporter enligt 10 a § säker- hetsskyddsförordningen4. Där det kan antas att incidenten har sin grund i en brottslig gär- ning har MSB i enlighet med förordningen (20 § KBF) uppmanat den rapporterande myndigheten att anmäla incidenten till polisen. Upp- maningen sker enligt MSB dels genom ett automatsvar, dels genom personlig kontakt. Informationsutbytet mellan och regleras i en överenskommelse. Det har visat sig att rapporteringsfrekvensen skiljer sig åt mellan olika myndigheter. Förklaringarna till den ojämna rapporteringen kan enligt MSB vara flera. Att en myndighet inte rapporterar kan bero 4 MSB:s Årsrapport , dnr 2016-6304-7. Säkerhetskrav och incidentrapportering … på att säkerheten är så god att några rapporteringspliktiga inciden- ter inte inträffar. Det kan emellertid även bero på att det finns så- dana säkerhetsbrister att incidenter, exempelvis intrång, inte upptäcks. Vissa myndigheter har framfört att tillämpliga sekretessregler för inrapporterade it-incidenter inte upplevs som tillräckligt heltäckande och att detta har bidragit till att incidenter inte rapporteras alls alter- nativt att rapporten innehåller endast knapphändig information om vad som hänt. MSB arbetar aktivt med att öka benägenheten att rapportera. Utöver bestämmelserna i finns ytterligare bestämmelser om rapporteringsskyldighet för incidenter, bland annat i lagen (2003:389) om elektronisk kommunikation, lagen (2007:528) om värdepappers- marknaden och i den kommande regleringen i direktiv (EU) 2015/2366 av om betaltjänster på den inre marknaden, om ändring av direktiven /65/EG, 2009/110/EG och 2013/36/EU samt förordning (EU) nr 1093/2010 och om upp- hävande av direktiv /64/EG (det andra betaltjänstdirektivet). Incidentrapportering enligt lagen (2003:389) om elektronisk kommunikation Den som tillhandahåller ett allmänt kommunikationsnät eller en all- mänt tillgänglig elektronisk kommunikationstjänst är skyldig att utan onödigt dröjsmål rapportera störningar eller avbrott av betydande omfattning till enligt 5 kap. 6 c § lagen (2003:389) om elektronisk kommunikation (LEK). Av Post- och föreskrifter och allmänna råd om rapportering av stör- ningar eller avbrott av betydande omfattning (PTSFS 2012:2) fram- går på vilket sätt den skyldigheten ska fullgöras och om undantag från skyldigheten. Den som tillhandahåller allmänt tillgängliga elektroniska kommu- nikationstjänster ska utan onödigt dröjsmål underrätta PTS om inte- gritetsincidenter. Med integritetsincident avses en händelse som leder till oavsiktlig eller otillåten utplåning, förlust eller ändring, eller otillåtet avslöjande av eller otillåten åtkomst till uppgifter som be- handlas i samband med tillhandahållandet av allmänt tillgängliga elek- troniska kommunikationstjänster. Om incidenten kan antas inverka negativt på de abonnenter eller användare som de behandlade upp- Säkerhetskrav och incidentrapportering … gifterna berör, eller om tillsynsmyndigheten begär det, ska även dessa underrättas utan onödigt dröjsmål. (6 kap. 1 och 4 a §§ LEK). Rapportering av händelser av väsentlig betydelse enligt lagen (2007:528) om värdepappersmarknaden. En börs, dvs. ett svenskt företag som har fått tillstånd att driva en reglerad marknad, ska enligt lagen (2007:528) om värdepappersmark- naden identifiera och hantera de risker som kan uppstå i verksam- heten och ha säkra tekniska system (13 kap. 1 § tredje stycket 1 och 2). För bl.a. företag som ansöker om tillstånd att som börs driva en reglerad marknad eller en handelsplattform gäller Finansinspektion- ens föreskrifter (FFFS 2007:17) om verksamhet på marknadsplatser. Av föreskrifterna framgår att ett företag som ansöker om sådant tillstånd till sin ansökan ska bifoga en verksamhetsplan (1 a kap. 3 § 5 och 12 kap. 8 § värdepappersmarknadslagen). I verksamhetsplanen ska det också finnas en hänvisning till eventuella riktlinjer för han- tering av händelser av väsentlig betydelse, som företaget fastställt i enlighet med allmänna råd (FFFS 2013:11) om rapportering av händelser av väsentlig betydelse (1 a kap. 20 §). Direktiv (EU) 2015/2366 av om betaltjänster på den inre marknaden, om ändring av direktiven /65/EG, 2009/110/EG och 2013/36/EU samt förordning (EU) nr 1093/2010 och om upphävande av direktiv /64/EG. antogs det andra betaltjänstdirektivet med syfte att bidra till att utveckla en EU-omfattande marknad för elektro- niska betalningar och till att skapa bättre förutsättningar för säkra och effektiva betalningar. Direktivet innehåller bl.a. bestämmelser som reglerar frågor om säkerhet och hantering av risker i samband med betaltjänstleverantörers kommunikation med betaltjänstanvän- dare, till exempel i fråga om en betalningstransaktion. Av artikel 96.1 följer att betaltjänstleverantörer vid allvarliga ope- rativa eller säkerhetsincidenter utan onödigt dröjsmål ska underrätta den behöriga myndigheten i hemmedlemsstaten. Om incidenten på- verkar eller kan påverka betaltjänstanvändarnas ekonomiska intres- sen ska leverantören dessutom utan onödigt dröjsmål informera Säkerhetskrav och incidentrapportering … användarna om incidenten och om alla tillgängliga åtgärder som de kan vidta för att begränsa dess negativa effekter. Enligt artikel 96.2 ska den behöriga myndigheten i hemmedlems- staten, efter att ha mottagit en underrättelse som avses i artikel 96.1, utan onödigt dröjsmål låta och ta del av relevanta upp- gifter om incidenten. Myndigheten ska också, efter att ha gjort en bedömning av incidentens relevans för andra berörda myndigheter i den medlemsstaten, informera dem om incidenten. Förslag: Leverantörer av samhällsviktiga tjänster ska bedriva ett systematisk och riskbaserat informationssäkerhetsarbete. Leverantörer av samhällsviktiga tjänster ska vidta ändamåls- enliga och proportionella tekniska och organisatoriska åtgärder för att hantera risker som hotar säkerheten i nätverk och infor- mationssystem som de använder i sin verksamhet. Med beaktande av den senaste tekniska utvecklingen ska dessa åtgärder säkerställa en nivå på säkerheten i nätverk och informationssystem som är lämplig i förhållande till den föreliggande risken. Leverantörer av samhällsviktiga tjänster ska vidta lämpliga åt- gärder för att förebygga och minimera verkningarna av inciden- ter som påverkar säkerheten i nätverk och informationssystem som används för att tillhandahålla sådana samhällsviktiga tjänster, i syfte att säkerställa kontinuiteten i dessa tjänster. Leverantörer av samhällsviktiga tjänster ska göra en riskanalys som ska ligga till grund för val av säkerhetsåtgärder. I analysen ska ingå en åtgärdsplan. Analysen ska dokumenteras och upp- dateras . Regeringen eller den myndighet regeringen bestämmer får med- dela föreskrifter om ett systematiskt och riskbaserat informations- säkerhetsarbete och den närmare utformningen av säkerhets- åtgärder. Myndigheten för samhällsskydd och beredskap ska lämna råd och stöd till tillsynsmyndigheterna vid utarbetandet av myndig- hetsföreskrifter. Säkerhetskrav och incidentrapportering … Med säkerhet i nätverk och informationssystem avses i NIS-direk- tivet systemens förmåga att vid en viss tillförlitlighetsnivå motstå åtgärder som undergräver tillgängligheten, autenticiteten, riktighet- en, eller konfidentialiteten hos lagrade, överförda eller behandlade uppgifter eller hos de besläktade tjänster som erbjuds genom eller är tillgängliga via dessa nätverk och informationssystem (artikel 4.2). Nätverks och informationssystems tillförlitlighet och säkerhet är grundläggande för ekonomisk och samhällelig verksamhet och i synnerhet för den inre marknadens funktion. Systemen har en viktig roll för att underlätta gränsöverskridande rörlighet för varor, tjänster och personer. Genom NIS-direktivet införs gemensamma säkerhetskrav för leverantörer av samhällsviktiga tjänster i unionen. Bestämmelser om säkerhetsåtgärder i nätverk och informations- system finns i flera av de sektorer som omfattas av NIS-direktivet både i nationella bestämmelser och i EU-rättsakter. Regleringen är emellertid inte heltäckande och i några fall är syftet med säkerhets- åtgärderna ett annat än det som anges i NIS-direktivet. Utredning- ens bedömning är därför att det måste införas bestämmelser med krav på säkerhetsåtgärder enligt NIS-direktivet. Om det i en sektorspecifik unionsrättsakt föreskrivs krav på att leverantörer av samhällsviktiga tjänster eller leverantörer av digitala tjänster antingen ska säkerställa säkerheten i sina nätverk och infor- mationssystem eller rapportera incidenter, ska bestämmelserna i den sektorspecifika unionsrättsakten tillämpas, förutsatt att verkan av kraven i fråga minst motsvarar verkan av skyldigheterna i NIS-direk- tivet (artikel 1.7). Angående denna princip om lex specialis, se av- snitt 5.4. Leverantörer av samhällsviktiga tjänster ska vidta ändamålsenliga och proportionella tekniska och organisatoriska åtgärder för att han- tera risker som hotar säkerheten i nätverk och informationssystem som de använder i sin verksamhet. Åtgärderna ska, med beaktande av den senaste tekniska utvecklingen, säkerställa en nivå på säker- heten i nätverk och informationssystem som är lämplig i förhållan- de till den föreliggande risken (artikel 14.1). Säkerhetskrav och incidentrapportering … Med risk avses i NIS-direktivet en rimlig identifierbar omstän- dighet eller händelse med en potentiell negativ inverkan på säker- heten i nätverk och informationssystem (artikel 4.9). Riskhantering omfattar åtgärder för att identifiera alla incidentrisker samt att ta fram åtgärder för att förebygga, upptäcka och hantera incidenter för att begränsa deras inverkan. Säkerheten i nätverk och informa- tionssystem omfattar lagrade, överförda och behandlade uppgifters säkerhet (skäl 46). Den nationella strategi som ska antas enligt artikel 7 ska omfatta en riskbedömningsplan. Leverantörer av samhällsviktiga tjänster ska också vidta lämpliga åtgärder för att förebygga och minimera verkningarna av incidenter som påverkar säkerheten i nätverk och informationssystem som används för att tillhandahålla sådana samhällsviktiga tjänster, i syfte att säkerställa kontinuiteten i dessa tjänster (artikel 14.2). Med incidenthantering avses alla förfaranden som stöder upp- täckt, analys och begränsning av en incident och åtgärder mot en incident (artikel 4.8). I detta arbete är det viktigt att dra lärdom om incidenter som har inträffat. Det är därför viktigt att den rappor- terande leverantören får del av den ytterligare information som CSIRT-enheten fått eller upprättat om incidenten. Sådan informa- tion bidrar till en effektiv hantering av både pågående och framtida incidenter (artikel 14.5 andra stycket), se avsnitt 11.2.3. Tekniska och organisatoriska åtgärder Säkerhetsåtgärder för informationssäkerhet omfattar åtgärder inom det administrativa och tekniska säkerhetsområdet. Med teknisk säker- het brukar avses områdena it-säkerhet (data- och kommunikations- säkerhet) och fysisk säkerhet. I begreppet tekniska åtgärder ingår bl.a. skydd mot oönskad förändring, skydd mot obehörig insyn, att behöriga har åtkomst vid rätt tillfälle, skydd av personer, lokaler och utrustning av betydelse för informationssäkerhet samt skydd vid överföring av data. Skyddsåtgärderna ingår i det som brukar be- nämnas teknisk säkerhet. I begreppet organisatoriska åtgärder ingår Säkerhetskrav och incidentrapportering … bl.a. att upprätta styrdokument, utforma rutiner, övervaka efter- levnad samt genomföra uppföljningar; det som brukar benämnas administrativ säkerhet5. Leverantören av den samhällsviktiga tjänsten är ansvarig för att säkerställa säkerheten i de nätverk och informationssystem som leve- rantören använder. Säkerhetskraven gäller för leverantören oavsett om denne sköter underhållet av sina nätverk och informationssystem internt eller lägger ut uppgifterna på entreprenad (skäl 52). För att identifiera vilka tekniska och organisatoriska åtgärder som är relevanta för leverantörerna i de olika sektorerna är det nödvän- digt att känna till vad det är som ska skyddas, mot vad och i vilket syfte. I den undersökning som leverantören gjort för att identifiera om den samhällsviktiga tjänst som leverantören tillhandahåller omfattas av bestämmelserna i den nya lagen framgår vilka nätverk och in- formationssystem som används för att tillhandahålla tjänsten, se av- snitt 6.2.2. En förutsättning för att kunna vidta ändamålsenliga och propor- säkerhetsåtgärder som är anpassade till riskerna är enligt ut- redningens mening att leverantören genomför en riskanalys. Leveran- törer som tillhandahåller samhällsviktiga tjänster ska därför beskriva och bedöma relevanta hot och risker som de föreslagna säkerhets- åtgärderna är tänkta att hantera. Analysen ska också beskriva och bedöma hur effektiva befintliga säkerhetsåtgärder är i förhållande till kända sårbarheter. Vidare bör leverantören identifiera poten- tiella sårbarheter. Det bör framgå av analysen vilka negativa kon- sekvenser en incident skulle kunna medföra. Denna riskanalys har därför ett annat syfte än risk- och sårbarhetsanalyser som görs med anledning av krisberedskap och höjd beredskap, se avsnitt 6.2.1. Analysen kan dock ingå som en del i andra liknande säkerhets- och riskanalyser som genomförs i leverantörens verksamhet. Säkerhetsåtgärderna ska säkerställa en nivå på säkerheten i nät- verk och informationssystem som är lämplig i förhållande till den föreliggande risken. Säkerhetsåtgärder ska också förebygga och mini- mera verkningar av incidenter som påverkar säkerheten i syfte att säkerställa kontinuiteten i den samhällsviktiga tjänsten. 5 Terminologi för informationssäkerhet, Teknisk . Säkerhetskrav och incidentrapportering … De tekniska och organisatoriska åtgärder som leverantörer av samhällsviktiga tjänster ska vidta bör inte innebära krav på att någon särskild kommersiell informations- och kommunikations- teknisk produkt utformas, utvecklas eller tillverkas på ett visst sätt (skäl 51). Trots att hårdvarutillverkare och mjukvaruutvecklare varken är leverantörer av samhällsviktiga tjänster eller leverantörer av digitala tjänster, ökar deras produkter säkerheten i nätverk och informationssystem. De spelar därför en viktig roll när det gäller att göra det möjligt för leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster att skydda sina nätverk och in- formationssystem. Sådana hårdvaru- och mjukvaruprodukter om- fattas redan av befintliga bestämmelser om produktansvar (skäl 50). När leverantören beslutar om vilka säkerhetsåtgärder som ska vidtas ska den senaste tekniska utvecklingen beaktas, dvs. samtliga tekniska lösningar som vid var tid finns tillgängliga på marknaden. Teknisk utveckling kan dels medföra att behovet av säkerhetsåtgärd- er förändras, dels innebära nya möjligheter att vidta effektiva säker- hetsåtgärder. Det innebär också att säkerhetskraven regelbundet måste ses över för att säkerställa en hög nivå av säkerhet i nätverk och informationssystem som används för att tillhandahålla sam- hällsviktiga tjänster. Har en incident inträffat bör det medföra att säkerhetsåtgärderna skyndsamt ses över. Underlåtenhet att vidta säkerhetsåtgärder kan medföra beslut om sanktionsavgift.