sou · H5B336 · 2017-05-02 00:00:00 — Den nationella kontaktpunkten ska utöva en sambandsfunktion för att säkerställa gränsöverskridande samarbete mellan medlemsstater- nas myndigheter och med de berörda myndigheterna i andra med- lemsstater samt med den samarbetsgrupp som inrättas genom NIS- direktivet, se avsnitt 11.3, och , se avsnitt 11.2.5 (artiklarna 11, 12 och 8.4). Den gemensamma nationella kontakt- punkten ska när det är lämpligt och förenligt med svensk rätt samråda och samarbeta med relevanta nationella rättsvårdande myndigheter och med dataskyddsmyndigheter (artikel 8.6). Den gemensamma nationella kontaktpunkten ska på begäran av CSIRT-enheten vidarebefordra incidentrapporter till gemensamma nationella kontaktpunkter i andra medlemsstater som påverkats av en incident hos en leverantör av samhällsviktiga tjänster (artikel 14.5). Nationell kontaktpunkt, CSIRT-enhet och samarbetsgrupp 11.1.4Samarbetet mellan ansvariga myndigheter Förslag: Myndigheten för samhällsskydd och beredskap ska år- ligen lämna en sammanfattande rapport till samarbetsgruppen om de incidentrapporter som mottagits. Av rapporten ska framgå antalet mottagna incidentrapporter, incidenternas art och vidtagna säkerhetsåtgärder. Tillsynsmyndigheterna, den gemensamma nationella kontaktpunk- ten och CSIRT-enheten ska samarbeta när det gäller fullgörandet av NIS-direktivet (artikel 10.1). Den gemensamma nationella kontaktpunkten ska , och därefter en gång , lämna en sammanfattan- de rapport till samarbetsgruppen om de rapporter som mottagits, inklusive antalet rapporter och de rapporterade incidenternas art, samt om vilka åtgärder som vidtagits i enlighet med artiklarna 14.3, 14.5, 16.3 och 16.6 (artikel 10.3). Rapporten ska säkerställa att medlemsstaterna och kommissionen får information avseende incidentrapporteringen på ett ändamåls- enligt sätt. Den sammanfattande rapporten bör utöver uppgifter om antalet mottagna incidentrapporter samt information om de rappor- terade incidenternas art, även innehålla information om vilka typer av säkerhetsöverträdelser det rör sig om eller hur allvarliga eller lång- variga de varit. Rapporten bör vara anonymiserad för att bevara rap- porternas konfidentialitet och identiteten på leverantörer av sam- hällsviktiga tjänster och leverantörer av digitala tjänster, eftersom information om de rapporterande enheternas identitet inte krävs för utbyte av bästa praxis inom samarbetsgruppen. (skäl 33) 11.1.5Myndigheten för samhällsskydd och beredskap Myndigheten för samhällsskydd och beredskaps uppdrag regleras i förordningen (2008:1002) med instruktion för Myndigheten för sam- hällskydd och beredskap. Myndigheten för samhällsskydd och beredskap (MSB) har enligt 1 § ansvar för frågor om skydd mot olyckor, krisberedskap och civilt försvar, i den utsträckning inte någon annan myndighet har Nationell kontaktpunkt, CSIRT-enhet och samarbetsgrupp Ansvaret avser åtgärder före, under och efter en olycka eller en kris. •utveckla och stödja samhällets beredskap mot olyckor och kriser och vara pådrivande i arbetet med förebyggande och sårbarhets- reducerande åtgärder, •arbeta med samordning mellan berörda aktörer i samhället för att förebygga och hantera olyckor och kriser, •bidra till att minska konsekvenser av olyckor och kriser, •följa upp och utvärdera samhällets krisberedskapsarbete, och •se till att utbildning och övningar kommer till stånd inom myn- dighetens ansvarsområde. När det gäller förebyggande och förberedande arbete ska myndig- heten enligt 2 § i samverkan med myndigheter, kommuner, landsting, organisationer och företag identifiera och analysera sådana sårbar- heter, hot och risker i samhället som kan anses vara särskilt allvarliga. Myndigheten ska vidare tillsammans med de ansvariga myndigheter- na genomföra en övergripande planering av åtgärder som bör vidtas. Myndigheten ska värdera, sammanställa och rapportera resultatet av arbetet till regeringen. När det gäller samordning och stöd vid olyckor och kriser ska myndigheten enligt 7 § ha förmågan att bistå med stödresurser i sam- band med allvarliga olyckor och kriser samt stödja samordningen av berörda myndigheters åtgärder vid en kris. Myndigheten ska se till att berörda aktörer vid en kris får tillfälle att •samordna information till allmänhet och media, •effektivt använda samhällets samlade resurser och internationella förstärkningsresurser, och •samordna stödet till centrala, regionala och lokala organ i fråga om information och lägesbilder. Nationell kontaktpunkt, CSIRT-enhet och samarbetsgrupp Myndigheten ska ha förmågan att bistå med under- lag och information i samband med allvarliga olyckor och kriser. För uppföljning, utvärdering och lärande ska myndigheten en- ligt 10 § såväl områdesvis som på en övergripande samhällsnivå följa upp och utvärdera krisberedskapen och bedöma om vidtagna åt- gärder fått önskad effekt. Vidare ska myndigheten kunna göra en samlad bedömning av olycksutvecklingen och det säkerhetsarbete som är kopplat till den. Myndigheten ska enligt 11 § se till att erfarenheter tas till vara från inträffade olyckor och kriser. Till stöd för detta ska myndig- heten tillhandahålla tvärsektoriella och samlade bilder och bedöm- ningar samt utveckla kompetens och metodik inom området som tillgodoser nationella, regionala och lokala behov. När det gäller informationssäkerhet ska myndigheten enligt 11 a § stödja och samordna arbetet med samhällets informationssäkerhet samt analysera och bedöma omvärldsutvecklingen inom området. I detta ingår att lämna råd och stöd i fråga om förebyggande arbete till andra statliga myndigheter, kommuner och landsting samt företag och organisationer. Myndigheten ska lämna en rapport till regeringen med en sammanställning av de incidenter som rappor- terats in till myndigheten enligt 20 § förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap (KBF). Inför sammanställning av rapporten ska myn- digheten inhämta upplysningar från Säkerhetspolisen och Försvars- makten om de incidenter som rapporterats in till de myndigheterna enligt 10 a § säkerhetsskyddsförordningen (1996:633). Myndigheten ska även rapportera till regeringen om förhållanden på informations- säkerhetsområdet som kan leda till behov av åtgärder inom olika nivåer och områden i samhället. Myndigheten ska enligt 11 b § an- svara för att har en nationell funktion med uppgift att stödja samhället i arbetet med att förebygga och hantera it-incidenter. Myndigheten ska i detta arbete •agera skyndsamt vid inträffade it-incidenter genom att sprida information samt vid behov arbeta med samordning av åtgärder och medverka i arbetet som krävs för att avhjälpa eller lindra effek- ter av det inträffade, •samverka med myndigheter med särskilda uppgifter inom infor- mationssäkerhetsområdet, och Nationell kontaktpunkt, CSIRT-enhet och samarbetsgrupp •vara kontaktpunkt gentemot motsvarande funktioner i andra länder samt utveckla samarbetet och informationsutbytet med dessa. Myndigheten ska enligt 17 a § vara kontaktpunkt för skydd av europeisk kritisk infrastruktur enligt artikel 10.1 i rådets direktiv /114/EG av om identifiering av, och klassi- ficering som, europeisk kritisk infrastruktur och bedömning av be- hovet att stärka skyddet av denna. Myndigheten får med stöd av 21 § 1 KBF meddela föreskrifter som behövs för verkställigheten av 8 § KBF om risk- och sårbar- hetsanalyser. Enligt 19 § KBF ansvarar varje myndighet för att egna informationshanteringssystem uppfyller sådana grundläggande och särskilda säkerhetskrav att myndighetens verksamhet kan utföras på ett tillfredsställande sätt. Därvid ska behovet av säkra ledningssystem särskilt beaktas. Myndigheten får enligt 21 § 2 KBF meddela före- skrifter om sådana säkerhetskrav som avses i 19 § med beaktande av nationell och internationell standard. MSB har utfärdat uppdate- rade föreskrifter om statliga myndigheters systematiska informa- tionssäkerhetsarbete . I de nya föreskrifterna skärptes kraven på myndigheterna på en rad punkter. Förändringen föranled- des av att en genomförd undersökning av statliga myndigheters in- formationssäkerhetsarbete påvisat brister. (MSB, En bild av myndig- heternas informationssäkerhet, 2014) infördes ett krav i 20 § KBF på att statliga myndig- heter skyndsamt ska rapportera it-incidenter som inträffat i myn- dighetens informationssystem och som allvarligt kan påverka säker- heten i den informationshantering som myndigheten ansvarar för eller i tjänster som myndigheten tillhandhåller åt en annan organi- sation. Rapporteringen ska ske till MSB. Myndigheten får med stöd av 21 § 4 KBF, efter att ha gett , Säkerhetspolisen och Försvarsmakten tillfälle att yttra sig, meddela de ytterligare före- skrifter som behövs för verkställighet av 20 § första stycket KBF om rapportering av it-incidenter. Arbetet med informationssäkerhet bedrivs vid avdelningen för utveckling av samhällskydd som inbegriper Verksamhet för cyber- säkerhet och skydd av samhällsviktig verksamhet. Verksamheten är indelad i fyra enheter. Nationell kontaktpunkt, CSIRT-enhet och samarbetsgrupp och strategisk analys ansvarar för stöd avseende verksamhetens planering och uppföljning, budget- arbete samt rapportering. Enheten har det sammanhållande ansvaret för att samordna och stödja arbetet med remisser, uppdrag och ut- redningar samt kommunikations-, forsknings- och studiefrågor, nationell och internationell samverkan. Enheten ansvarar också för att analysera och bedöma omvärldsutvecklingen på området. I detta arbete ingår den årliga rapporten till regeringen samt verksamhetens stöd till bl.a. myndighetens centrala analysprocess. av kritisk infrastruktur och cybersäkerhet ska driva och hålla samman arbetet med skydd av samhällsviktig verk- samhet och ansvara för myndighetens uppgifter att vara kontaktpunkt för skydd av europeisk kritisk infrastruktur. I detta ingår att stödja och utveckla samhällets arbete med kontinuitets- hantering och kritiska beroenden samt att arbeta med rymdväder- samordning. Enheten ska, med fokus på kritisk informationsinfra- struktur, lämna råd och stöd till tekniskt förebyggande arbete inom området till andra statliga myndigheter, kommuner och landsting samt företag och organisationer. Bland annat erbjuds vägledningar som stöd för säkerhet i industriella kontroll- och informations- system liksom tillgång till övningsverksamhet. Enheten svarar för myndighetens arbete med säkra kryptografiska funktioner för det civila samhället och för arbetet med myndighetens uppdrag vad avser eter- och medieberedskap. Enheten leder och samordnar arbetet med informationssäkerhet i myndighetens externa kommunikations- tjänster för ledning och samverkan så att den externa kravställning- en tillgodoses. Enheten ansvarar vidare för att analysera och bedöma omvärldsutvecklingen inom sitt område. cybersäkerhet och it-incidenthantering ska upprätthålla funktionen CERT-SE, som är en del av det internatio- nella nätverket av Computer Emergency Response Teams (CERT). Enheten ska vara den operativa kontaktpunkten gentemot motsva- rande funktioner i andra länder. Enheten ska säkerställa att verksam- heten i sin helhet kan agera skyndsamt vid inträffade it-incidenter genom att sprida information samt vid behov samordna åtgärder och medverka i arbete som krävs för att avhjälpa eller lindra effek- ter av det inträffade. Enheten tar emot de rapporter som statliga myn- digheter lämnar in med anledning av den obligatoriska it-incident- rapporteringen i 20 § KBF. Enheten har ansvar för att operativt stödja Nationell kontaktpunkt, CSIRT-enhet och samarbetsgrupp arbetet med it-säkerhet i de av myndighetens externa kommunika- tionstjänster för ledning och samverkan som kräver detta. Enheten ansvarar för webbplatsen . Enheten ansvarar för att analy- sera och bedöma omvärldsutvecklingen inom sitt område. I detta ingår löpande omvärldsbevakning, att producera och delge anpassad information till relevanta aktörer. informationssäkerhetsarbete ska lämna råd och stöd om förebyggande informationssäkerhetsarbete till andra statliga myndigheter, kommuner och landsting samt företag och orga- nisationer. I detta ingår att lämna råd och stöd till statliga myndig- heter, kommuner och landsting i arbetet med risk- och sårbarhets- analyser samt kontinuitetshantering på området informationssäker- het. Enheten ansvarar för webbplatsen och förvaltar även det metodstöd som har tagits fram för att underlätta för organisationer att etablera ett systematiskt informa- tionssäkerhetsarbete i enlighet med ISO-standarderna på området. Metodstödet, liksom en rad vägledningar och annat stöd, finns pub- licerat på . Webbplatsen är ett sam- arbetsprojekt mellan SAMFI-myndigheterna. Enheten ansvarar för att analysera och bedöma omvärldsutvecklingen inom sitt område. Myndigheten deltar i nationella samarbeten på informationssäker- hetsområdet och driver ett antal forum i flera sektorer, i syfte att dela information mellan stat, näringsliv och andra relevanta organi- sationer avseende informationssäkerhetsaspekter (hälso- och sjuk- vård, finans, drift, telekom och SCADA). Myndigheten driver också mediernas beredskapsråd där målet är att medieföretagen kan förmed- la nyheter, samhällsinformation och viktigt meddelande till allmän- heten (VMA) i krissituationer och ytterst i krig. Myndigheten driver vidare ett nätverk för myndighetsansvariga i statliga myndigheter (SNITS) i syfte att stödja myndigheterna i deras arbete med infor- mationssäkerhet. Svenskt CERT-forum är ett annat forum som myn- digheten driver i syfte att bl.a. diskutera förhållningssätt runt aktuella it-säkerhetshändelser. Utöver de ovan nämnda forumen deltar myn- digheten i KIS (kommunnätverket, () och SWITS som är ett forskningsnätverk. Myndigheten arbetar också med standardisering och ingår i en teknisk standardiseringskom- mitté. Myndigheten har, i sin samordningsroll på informationssäker- hetsområdet, knutit till sig ett informationssäkerhetsråd med bred Nationell kontaktpunkt, CSIRT-enhet och samarbetsgrupp representation från både offentlig förvaltning och näringslivet. Infor- mationssäkerhetsrådet ska i huvudsak bistå myndigheten med •information om utvecklingstrender inom området informations- säkerhet, det vill säga skydd av information och säkring av infor- mationssystem, •synpunkter på inriktning, prioritering och genomförande av MSB:s arbete inom området, •kvalitetssäkring och trovärdighet till MSB:s arbete genom att vara rätt sammansatt och ha koppling till vitala samhällsfunktioner och •att bidra till spridning av information om MSB:s arbete med in- formationssäkerhet i omvärlden. SAMFI är en grupp bestående av myndigheter med särskilda upp- gifter inom området informationssäkerhet. Gruppen träffas och syftet är att underlätta samarbetet genom informations- utbyte och samverkan. I gruppen ingår Försvarsmakten, , , , Polis- myndigheten, Säkerhetspolisen och MSB. SAMFI bildades i samband med en framtagen strategi för samhällets informations- säkerhet. SAMFI verkar för säkra informationstillgångar i samhället avseende förmågan att upprätthålla önskad konfidentialitet, riktig- het och tillgänglighet samt genom informationsutbyte och samverkan stödja de medverkande myndigheternas arbete avseende samhällets informationssäkerhet i syfte att uppfylla visionen. Myndigheten har ansvaret för SAMFI. Myndigheten deltar i internationella samarbeten som rör informa- tions- och cybersäkerhet, t.ex. policyutveckling, operativt samarbete och informationsdelning. MSB deltar i enlighet med kommittédirek- tiven i och samarbetsgruppen som etablerats med anledning av NIS-direktivet. MSB:s övriga internationella samarbete inbegriper bland annat samarbete mellan nordiska nationella CERT- funktioner och samarbete inom (), samt internationell samverkan kring säkerhet i it- produkter, säkerhet i industriella informations- och styrsystem, cybersäkerhet i finansiella tjänster och standardisering kopplad till informationssäkerhet (ISO). Myndigheten deltar i den privat-offent- Nationell kontaktpunkt, CSIRT-enhet och samarbetsgrupp liga plattformen för nät- och informationssäkerhet (NIS-plattformen) samt representerar i Natos planeringsgrupp för industriella resurser och kommunikationer (IRCSG). Myndigheten deltar också i internationell övningsverksamhet som exempelvis EU:s Cyber Europe, Natos Cyber Coalition och Cyber Storm. I flera av dessa övningar arrangerar MSB en nationell övning i anslutning till de nämnda övningarna med ytterligare deltagare. av it-säkerhetsincidenter (CSIRT-enhet) Varje medlemsstat ska utse en eller flera incidenthanteringsorgan, CSIRT-enheter1, som ska ansvara för hanteringen av incidenter och risker i enlighet med ett tydligt fastställt förfarande. En CSIRT- enhet får inrättas inom en behörig myndighet som uppfyller kraven i bilaga 1 till NIS-direktivet. (artikel 9.1) CSIRT-enheten ska upp- fylla grundläggande krav för att garantera effektiv och kompatibel kapacitet att hantera incidenter och risker samt säkerställa ett effek- tivt samarbete på unionsnivå. För att alla typer av leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster ska kunna dra nytta av sådan kapa- citet och sådant samarbete bör medlemsstaterna säkerställa att alla typer av leverantörer omfattas av en utsedd CSIRT-enhet. Genom NIS-direktivet har Europarlamentet och rådet inrättat ett nätverk för nationella CSIRT-enheter, (arti- kel 1.2 c). Med tanke på vikten av internationellt samarbete på området cybersäkerhet, bör CSIRT-enheterna kunna delta i andra interna- samarbetsnätverk utöver det som inrättats genom NIS-direktivet (skäl 34). CSIRT-enheten ska ha tillgång till lämplig, säker och motstånds- kraftig kommunikations- och informationsinfrastruktur på nationell nivå (artikel 9.3). 1 CSIRT=Computer Security Incident Response Team. Nationell kontaktpunkt, CSIRT-enhet och samarbetsgrupp Enligt kommittédirektiven bör finnas hos Myndigheten för samhällsskydd och beredskap. Förslag: Myndigheten för samhällsskydd och beredskap ska utses till CSIRT-enhet. Kraven på CSIRT-enheten framgår av artikel 9 i NIS-direktivet samt i punkt 1 i bilaga 1 till direktivet. Det är bland annat krav på kom- munikationstjänster, säkerhet avseende lokaler och informations- system, driftskontinuitet och möjligheter till internationellt sam- arbete. Myndigheten för samhällsskydd och beredskap (MSB) svarar för att har en nationell funktion med uppgift att stödja sam- hället i arbetet med att förebygga och hantera it-incidenter. Arbetet sker genom MSB:s CERT-verksamhet2 som har benämningen CERT- SE. Till MSB/CERT-SE:s uppgifter hör bland annat att agera skynd- samt vid inträffade it-incidenter genom att sprida information samt vid behov arbeta med samordning av åtgärder och medverka i arbetet som krävs för att avhjälpa eller lindra effekter av det inträffade samt samverka med myndigheter med särskilda uppgifter inom informa- tionssäkerhetsområdet. MSB/CERT-SE är kontaktpunkt gentemot motsvarande funktioner i andra länder och mot den CERT- organisation som ansvarar för it-incidenthantering inom EU:s in- stitutioner, CERT-EU, och ska utveckla samarbetet och informa- tionsutbytet med dessa funktioner. Det är också MSB/CERT-SE som tar emot de rapporter som statliga myndigheter lämnar med an- ledning av den obligatoriska it-incidentrapporteringen (20 § KBF). I avvaktan på att ett tekniskt rapporteringsverktyg är driftssatt till- handahåller MSB/CERT-SE en kryptolösning för säker kom- munikation vid överföring av it-incidentrapporterna. Rapporterings- verktyget är tänkt att tas i bruk . Mot bakgrund av det uppdrag MSB har på informationssäker- hetsområdet och den kompetens som finns inom myndigheten be- 2 Computer Emergency Response Team. Nationell kontaktpunkt, CSIRT-enhet och samarbetsgrupp dömer utredningen att MSB ska ha rollen som CSIRT- enhet. MSB/CERT-SE har också tillgång till sådan lämplig, säker och motståndskraftig kommunikations- och informationsinfrastruk- tur som avses i NIS-direktivet (artikel 9.4). Förslag: Myndigheten för samhällsskydd och beredskap ska full- göra de uppgifter som åligger CSIRT-enheten enligt NIS-direk- tivet och punkt 2 i bilaga 1 till NIS-direktivet. CSIRT-enheten ska ta emot de incidentrapporter som läm- nas enligt den nya lagen. CSIRT-enheten ska informera den eller de andra berörda med- lemsstaterna, om en incident som rapporterats av leverantörer av samhällsviktiga tjänster har en betydande inverkan på kontinuite- ten i samhällsviktiga tjänster i den medlemsstaten. CSIRT-enheten ska, om det är lämpligt, informera andra med- lemsstater som påverkats av en incident som rapporterats av en leverantör av digitala tjänster. Efter samråd med den rapporterande leverantören av samhälls- viktiga tjänster får CSIRT-enheten informera allmänheten om enskilda incidenter. En förutsättning för detta är att allmänheten behöver känna till incidenten för att det ska vara möjligt att för- hindra en incident eller åtgärda en pågående incident. CSIRT-enheten får, efter samråd med den berörda leverantören av digitala tjänster, förplikta leverantören av digitala tjänster att informera allmänheten om enskilda incidenter. En förutsättning för detta är att allmänheten behöver känna till incidenten för att det ska vara möjligt att förhindra en incident eller åtgärda en på- gående incident eller om incidentens avslöjande på annat sätt omfattas av allmänintresset. CSIRT-enheten ska när det är möjligt överlämna relevant in- formation som kan bidra till en effektiv hantering av incidenten och det förebyggande arbetet till den rapporterande leverantören av samhällsviktiga tjänster. Nationell kontaktpunkt, CSIRT-enhet och samarbetsgrupp MSB svarar för att har en nationell funktion med uppgift att stödja samhället i arbetet med att förebygga och hantera it-inci- denter. Arbetet sker genom MSB:s CERT-verksamhet. CSIRT-enhetens uppgift anges i NIS-direktivet samt i punkt 2 i bilaga 1 till NIS-direktivet. Det är bland annat uppgifter som rör incidentrapporteringen, samverkan med privat sektor och gemensam praxis för att underlätta samarbete avseende incidenthantering. Utredningen har i avsnitt 7.3.2 kommit fram till att CSIRT- enheten ska ta emot de incidentrapporter som upprättas till följd av NIS-direktivet. Till CSIRT-enhetens uppgifter hör bland annat att ta emot rapporter om incidenter samt fastställa incidentens eventuella gränsöverskri- dande verkningar (artiklarna 14.3 och 16.3). Närmare bestämmelser om CSIRT-enhetens uppgifter i samband med incidentrapportering framgår av punkt 2 i bilaga 2 till NIS-direktivet. Närmare bestämmelser om när leverantörer av samhällsviktiga tjänster är skyldiga att rapportera incidenter samt vilka faktorer som ska användas för att fastställa om en incident har en betydande inverkan enligt artikel 14.4 får meddelas i myndighetsföreskrifter (artikel 14.7), se avsnitt 7.3.2. Närmare bestämmelser om format och förfarande avseende rap- porteringskraven för leverantörer av digitala tjänster ska fastställas i genomförandeakter som antas av kommissionen (artikel 16.9). Med- lemsstaterna får inte införa ytterligare rapporteringskrav för leve- rantörer av digitala tjänster (artikel 16.10). CSIRT-enheten kommer genom sitt uppdrag att hantera uppgifter om incidenter från leverantörer som tillhandahåller samhällsviktiga tjänster och digitala tjänster. Dessutom hanteras incidenter från stat- liga myndigheter. Uppgifterna tillsammans kan komma att ge infor- mation om sårbarheter i det svenska samhället som kan utgöra in- formation som är av betydelse för säkerhet. Vilka krav på som ska ställas på hanteringen av uppgifterna bör bedömas i MSB:s säkerhetskyddsanalys. Nationell kontaktpunkt, CSIRT-enhet och samarbetsgrupp Information till andra medlemsstater