sou · H5B336 · 2017-05-02 00:00:00 — Förslaget om att leverantörerna av samhällsviktiga och digitala tjänster ska uppmanas att anmäla incidenter som har sin grund i en brottslig gärning till polisen bör leda till att ett större antal it-brott utreds och beivras. 13.3.3Särskild hänsyn till små företag Enligt artikel 16.11 i direktivet ska säkerhets- och rapporterings- kraven beträffande leverantörer av digitala tjänster inte tillämpas på mikroföretag eller små företag enligt definitionen i kommissionens rekommendation 2003/361/EG4. Mot bakgrund av att utredningen inte har identifierat vilka leve- rantörer som kommer omfattas av förslagen är det svårt att bedöma vilka konsekvenser de föreslagna reglerna kan komma att få för små företag. Krav på dokumentation och administration kan innebära 4 Kommissionens rekommendation av om definitionen av mikroföretag samt små och medelstora företag. en större börda för små företag. Genom utredningens förslag att till- synsmyndigheterna ska lämna råd och upplysning till leverantörer- na inom den sektor över vilken de utövar tillsyn bedömer utred- ningen att de behov som små företag kan ha tillgodoses. När det gäller konkurrensförmåga innebär NIS-direktivet att reg- lerna om säkerhet i nätverk och informationssystem för samhälls- viktiga tjänster och digitala tjänster blir enhetliga i hela unionen. Förslaget bör därför underlätta för alla typer av företag som vill verka på den inre marknaden och därmed förbättra konkurrensen. 14.1Förslaget till ny lag om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster Förslag: Lagen (2018:000) om informationssäkerhet för vissa till- handahållare av samhällsviktiga tjänster och digitala tjänster ska träda i kraft . Enligt artikel 25 i NIS-direktivet ska medlemsstaterna anta och offentliggöra de lagar och andra författningar som är nödvändiga för att uppfylla direktivet. Vidare anges att be- stämmelserna ska tillämpas . Det är alltså nödvändigt att bestämmelserna träder i kraft och detta datum bör därför anges i lagen. Mot bakgrund av att det i flertalet sektorer krävs myndighetsföre- skrifter för att den föreslagna lagen ska kunna tillämpas enligt NIS- direktivet bör regeringen ge Myndigheten för samhällsskydd och beredskap (MSB) och tillsynsmyndigheterna i uppdrag att påbörja arbetet med myndighetsföreskrifter så att de kan träda ikraft sam- tidigt som lagen. Det bör också övervägas om berörda myndig- heters instruktioner behöver ändras. MSB bör ges i uppdrag att påbörja identifiering och bedömning av samhällsviktiga tjänster. Föreskriften om samhällsviktiga tjänster bör meddelas . MSB bör ges i uppdrag att vidta förberedelseåtgärder med an- ledning av kravet på incidentrapportering som träder i kraft . MSB bör ges i uppdrag att utforma och leda det samarbetsforum för tillsynsmyndigheterna som beskrivs i avsnitt 8.5.4. MSB bör ges i uppdrag att ta fram vägledningar och riktlinjer för standarder och specifikationer. , och Finansinspektion- en bör ges i uppdrag att utreda vilka enheter som omfattas av annan lag eller andra bindande unionsrättsakter med säkerhetskrav eller krav på incidentrapportering vars verkan minst motsvarar verkan av dessa skyldigheter i lagen. 15.1Förslaget till lag (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster Paragrafen genomför artikel 1.1 i NIS-direktivet. Första stycket innehåller syftet med lagen. Av andra stycket framgår att genom lagen och de föreskrifter som avses komplettera lagen genomförs NIS-direktivet utom vad gäller en nationell strategi. Bakgrunden till paragrafen behandlas i kapitel 3. Paragrafen genomför artiklarna 5.1, 16.11 och 18.1–2 i NIS-direk- tivet. Under a) anges vilka leverantörer av samhällsviktiga tjänster som omfattas av lagen. Med etablerad avses att leverantören utför en faktisk och reell verksamhet med hjälp av en stabil struktur. Den rättsliga formen för en sådan struktur bör enligt skälen till NIS-direk- tivet inte vara den avgörande faktorn. Hur leverantörer av samhälls- viktiga tjänster ska identifieras beskrivs närmare i 8 § samt i 3 § för- ordningen. Under b) anges vilka leverantörer av digitala tjänster som om- fattas av lagen. I motsats till vad som gäller för leverantörer av sam- hällsviktiga tjänster ska någon identifiering av leverantörer av digitala tjänster inte ske. Lagen ska inte tillämpas på leverantörer av digitala tjänster som är mikroföretag eller små företag. Hårdvarutillverkare och mjukvaru- utvecklare omfattas av redan befintliga bestämmelser om produkt- ansvar och träffas inte heller av lagen. Näringsidkare som tillhanda- håller egna varor och tjänster på en webbplats (e-butik) eller aktörer som använder sig av privata moln är inte leverantörer av digitala tjänster enligt lagen. Lagen ska inte heller tillämpas på jämförelsesajter. För att en leverantör av digitala tjänster ska omfattas av svensk jurisdiktion krävs att leverantören har sitt huvudsakliga etablerings- ställe i , eller har utsett en företrädare här. Det huvudsakliga etableringsstället ska anses vara där leverantören har sitt huvudkontor. Det krävs att leverantören utför en faktisk och reell verksamhet med hjälp av en stabil struktur för att den ska anses vara etablerad. Den rättsliga formen är inte avgörande. Att nätverk och informa- tionssystem är fysiskt belägna på en viss plats innebär inte att det är fråga om ett huvudsakligt etableringsställe. Om leverantören inte är etablerad i unionen, men erbjuder tjänster här, ska leverantören utse en företrädare i något av de länder i Europeiska unionen där tjänst- erna erbjuds. Leverantören ska i de fallen omfattas av lagstiftningen i det land där företrädaren finns. Företrädaren bör utses uttryck- ligen genom en skriftlig fullmakt från leverantören av digitala tjänster att agera på dess vägnar med avseende på leverantörens skyldigheter enligt NIS-direktivet (se 9 §). Bakgrunden till paragrafen behandlas i kapitel 6 och avsnitt 10.2.5. Undantag från lagens tillämpningsområde Paragrafen genomför första ledet i artikel 1.3 i NIS-direktivet. Genom paragrafen undantas företag som omfattas av artiklarna 13a och 13b i och rådets direktiv /21/EG av om ett gemensamt regelverk för elektroniska kommunikationsnät och kommunikationstjänster (ramdirektiv) från lagens tillämpningsområde, dock inte företag som tillhandahåller internetknutpunkter. Säkerhets- och rapporteringskraven i NIS-direktivet ska enligt artikel 1.3 inte tillämpas på företag som omfattas av artiklarna 13a och 13b i ramdirektivet. Internetknutpunkter anses i svensk rätt som sådana allmänna kommunikationsnät som omfattas av 5 kap. 6 b och c §§ lagen (2003:389) om elektronisk kommunikation, som genom- för artiklarna. Med hänsyn till att internetknutpunkter är en av de enheter som uttryckligen ska regleras enligt NIS-direktivet ska undan- taget för företag som omfattas av artiklarna inte gälla tillhandahålla- re av internetknutpunkter. Undantaget i denna bestämmelse om- fattar alltså inte tillhandahållare av internetknutpunkter. Artiklarna 13a och 13b i ramdirektivet innehåller dock krav på säkerställande av säkerheten i nätverk och informationssystem samt på incident- rapportering. Om verkan av de kraven minst motsvarar verkan av skyldigheterna i denna lag ska bestämmelserna i ramdirektivet tilläm- pas enligt principen om lex specialis till följd av bindande EU-rätts- akter, se 5 § första stycket. Lagen blir i så fall inte tillämplig på tillhandahållare av internetknutpunkter. Bakgrunden till paragrafen behandlas i avsnitt 5.4. Paragrafen genomför andra ledet i artikel 1.3 i NIS-direktivet. Säkerhets- och rapporteringskraven i NIS-direktivet ska enligt direktivets artikel 1.3 inte tillämpas på leverantörer av betrodda tjänst- er som omfattas av kraven i artikel 19 i och rådets förordning (EU) nr 910/2014 av om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv /93/EG. Genom paragrafen undantas dessa leverantörer från lagens tillämp- ningsområde. Bakgrunden till paragrafen behandlas i avsnitt 5.4. Avvikande bestämmelser i eller i annan författning Första stycket genomför artikel 1.7 i NIS-direktivet. Stadgandet innebär att lagen inte ska tillämpas om det i en bin- dande EU-rättsakt finns bestämmelser om krav på säkerhetsåtgärder eller incidentrapportering vars verkan minst motsvarar verkan av skyl- digheterna enligt lagen (lex specialis). Det innebär t.ex. att identi- fieringsförfarandet för leverantörer av samhällsviktiga tjänster inte ska genomföras. Någon tillsyn av leverantörerna eller incidentrap- portering ska heller inte att ske enligt lagen. Bestämmelser som kan utgöra lex specialis finns t.ex. inom sjöfartssektorn, banksektorn, sektorn för finansmarknadsinfrastruktur och sektorn för digital infrastruktur. Andra stycket innebär att bestämmelser om säkerhetskrav eller krav på incidentrapportering i nationell lag, som inte grundas på EU- rättsakter, ska tillämpas i stället för lagens bestämmelser om kraven minst motsvarar skyldigheterna i lagen. För att NIS-direktivet ska anses korrekt genomfört krävs dock att lagens bestämmelser tilläm- pas i den utsträckning det saknas andra bestämmelser. Skulle det t.ex. finnas bestämmelser om krav på tekniska och organisatoriska åt- gärder i en särskild lag, men saknas bestämmelser om t.ex. incident- rapportering, tillsyn eller sanktioner, ska lagen tillämpas i sistnämnda delar. Bakgrunden till paragrafen behandlas i avsnitt 5.4. Paragrafen genomför artikel 1.6 i NIS-direktivet. Genom paragrafen undantas verksamhet som är av betydelse för säkerhet från lagens tillämpningsområde. NIS-direktivet påverkar enligt artikel 1.6 inte medlemsstaternas åtgärder för att skydda sina väsentliga statliga funktioner, särskilt för att skydda den nationella säkerheten, inklusive åtgärder för skydd av information vars avslöjande medlemsstaterna anser strida mot sina väsentliga säkerhetsintressen och för att upprätthålla lag och ord- ning, särskilt för att möjliggöra utredning, upptäckt och lagföring När det gäller åtgärder för att upprätthålla lag och ordning finns inte sådan verksamhet inom de sektorer som enligt bilaga 2 till NIS-direktivet omfattas av direktivet. Verksamhet som är av betydelse för säkerhet regleras i säkerhetsskyddslagen (1996:627) och säkerhetsskyddsförordningen (1996:633). Enligt det regelverket åligger det den som ansvarar för en verksamhet att undersöka vilka uppgifter i verksamheten som ska hållas hemliga med hänsyn till rikets säkerhet (säkerhetsanalys, 5 § säkerhetsskyddsförordningen), och om verksamheten till följd av förekomsten av sådana uppgifter är av betydelse för säkerhet. Som exempel på hemliga uppgifter kan anges uppgifter som om- fattas av försvarssekretess. Försvarssekretess gäller för uppgift som rör verksamhet för att försvara landet eller planläggning eller annan förberedelse av sådan verksamhet eller som i övrigt rör totalförsvaret, om det kan antas att det skadar landets försvar eller på annat sätt vållar fara för rikets säkerhet om uppgiften röjs. Förekommer upp- gifter om funktionssätt och säkerhet i system som har betydelse för samhällets försörjning eller infrastruktur, omfattas de av bestäm- melsen om försvarssekretess. Bestämmelsen gäller oberoende av hos vilken myndighet uppgifterna finns. (15 kap. 2 § OSL) Det innebär att incidenter i nätverk och informationssystem där det hanteras uppgifter som rör verksamhet eller uppgifter om säker- hetsåtgärder som omfattas av försvarssekretess inte ska rapporteras enligt denna lag. Detta gäller oavsett i vilken sektor incidenten in- träffar. I de fall en incident upptäcks genom 4 § förordningen (2007:937) med instruktion för och detta innebär att en verksamhet får del av uppgifter som omfattas av för- svarssekretess, får verksamheten betydelse för säkerhet. Be- stämmelser om rapportering av incidenter som rör säkerhet finns i 10 a § säkerhetsskyddsförordningen. Beträffande den aggregerade information som Myndigheten för samhällsskydd och beredskap kan komma att få i sin egenskap av mottagare av incidentrapporter bör myndigheten i sin säkerhets- analys undersöka om aggregerade uppgifter om incidenter inom en sektor eller för samtliga sektorer utgör en ny uppgift och i så fall om den rör säkerhet. Bakgrunden till paragrafen behandlas i kapitel 5, 12 och av- snitt 7.3.2. Paragrafen genomför artikel 4 i NIS-direktivet. Definitionen av säkerhet i nätverk och informationssystem i punk- ten 2 har anpassats till etablerad svensk terminologi där begreppet integritet ersatts med begreppet riktighet. Det framgår också av den engelska versionen av NIS-direktivet att det utöver grundgreppen som definierar informationssäkerhet – tillgänglighet, riktighet och konfidentialitet – inte är integritet som avses utan autenticitet. I punkten 3 definieras begreppet leverantör av samhällsviktiga tjänster. De enheter som det hänvisas till kan vara både offentliga och enskilda aktörer. Definitionerna i punkterna 13–15 används inte direkt i lagen eller förordningen utan endast indirekt genom hänvisning till bilaga 2 till NIS-direktivet. Beträffande definitionerna av internetbaserad marknadsplats, inter- netbaserad sökmotor och molntjänster i punkterna 16–18 anges i skälen till NIS-direktivet att definitionerna är specifika för direk- tivet och inte påverkar andra instrument. Vidare anges i punkten 19 att och rådets direktiv (EU) 2016/1148 av om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen benämns NIS-direktivet i lagen. I punkten 20 definieras begreppet säkerhetsprinciper (security policies) som används i 26 och 27 §§. Uppräkningen av styrande dokument är inte uttömmande men visar på att det ska vara en viss nivå på dokumenten. I punkten 21 definieras vad som i lagen avses med CSIRT-enhet. Identifiering av leverantörer av samhällsviktiga tjänster Paragrafen genomför artiklarna 5.1–2, 5.4 och 6.1–2 i NIS-direktivet. Verksamheter inom sektorer som finns upptagna som enheter i bilaga 2 till NIS-direktivet och som tillhandhåller en samhällsviktig tjänst ska enligt första stycket undersöka om verksamheten är bero- ende av nätverk och informationssystem och om en incident skulle medföra en betydande störning vid tillhandahållandet av tjänsten. Med samhällsviktig tjänst avses en tjänst som är viktig för sam- hällets funktionalitet i sin helhet och där ett avbrott i tjänsten hindrar genomförandet av ekonomisk verksamhet, genererar omfattande eko- nomiska förluster, undergräver användarnas förtroende och medför allvarliga konsekvenser för landets och unionens ekonomi. I 10 § 2 förordningen bemyndigas Myndigheten för samhällsskydd och bered- skap att i föreskrifter fastställa vilka tjänster som är viktiga för att upprätthålla kritisk samhällelig och ekonomisk verksamhet (samhälls- viktig tjänst). Myndigheten för samhällsskydd och beredskaps före- skrifter motsvarar det som i artikel 5.3 i NIS-direktivet benämns för- teckning. Föreskrifterna får inga direkta rättsverkningar i form av krav på rapportering eller säkerhetsåtgärder för den som tillhanda- håller en tjänst som finns på förteckningen. Däremot måste verksam- heter som tillhandahåller en tjänst som anges i föreskrifterna under- söka om verksamheten är en leverantör av en samhällsviktig tjänst enligt lagen. För att fastställa vad som kan anses vara en betydande störning ska enligt andra stycket beaktas ett antal sektorövergripande faktorer. Sektorspecifika faktorer ska enligt tredje stycket beaktas när det är lämpligt. Sådana faktorer kan när det gäller energileverantörer vara mängden eller andelen producerad nationell el, för oljeleverantörer mängden olja per dag, för lufttransport, inbegripet flygplatser och lufttrafikföretag, järnvägstransport och kusthamnar andelen nationell trafikmängd och antalet passagerare eller lastningar , för bank- verksamhet eller finansmarknadsinfrastrukturer deras betydelse för systemet på grundval av samlade tillgångar eller förhållandet mellan dessa tillgångar och BNP, för hälso- och sjukvårdssektorn antalet patienter som leverantören vårdar , för produktion, bearbet- ning och leverans av vatten, volym, antal och typer av användare, inbegripet t.ex. sjukhus, offentlig sektor, organisationer och personer samt förekomsten av alternativa vattenkällor för samma geografiska område. Inom vissa sektorer finns internationella koder och riktlinjer som bör beaktas när leverantörer ska identifieras. Den samarbetsgrupp som inrättats genom NIS-direktivet ska enligt direktivet verka för en enhetlig tillämpning av faktorerna inom unionen. Tillhandahålls tjänsten även i ett eller flera andra länder i Euro- peiska unionen ska den nationella kontaktpunkten enligt fjärde stycket samråda med motsvarande funktion i andra berörda länder innan ett beslut om identifiering fattas. Med motsvarande funktion avses nationella kontaktpunkter enligt NIS-direktivet. MSB företräder som nationell kontaktpunkt i bilaterala och multilaterala samråd i detta avseende. Undersökningen ska enligt femte stycket dokumenteras och inne- hålla bakgrund och resonemang som legat till grund för bedömning- en. Undersökningen är sådan information som leverantören ska tillhandahålla tillsynsmyndigheten enligt 26 § 1. Bakgrunden till paragrafen behandlas i kapitel 6. Utseende av företrädare för leverantörer av digitala tjänster Paragrafen genomför artikel 18.2 i NIS-direktivet. En leverantör av digitala tjänster omfattas av jurisdiktionen i det land i den Europeiska unionen där leverantören har sitt huvudsak- liga etableringsställe. Det huvudsakliga etableringsstället ska anses vara där leverantören har sitt huvudkontor (se 2 § b). En leverantör som inte har huvudkontor inom Europeiska unionen, men erbjuder tjänster som omfattas av lagen där, ska utse en företrädare i något av de länder i unionen där tjänsten erbjuds. En företrädare är enligt definitionen i 7 § 9 en i unionen etablerad fysisk eller juridisk person som uttryckligen har utsetts att agera för en leverantör av digitala tjänster som inte är etablerad i unionen, till vilken en behörig nationell myndighet eller en CSIRT-enhet kan vända sig, i stället för till leverantören av digitala tjänster, i frågor som gäller de skyl- digheter som leverantören av digitala tjänster har enligt lagen. När en företrädare har utsetts omfattas leverantören av jurisdiktionen i det land där företrädaren finns. Företrädaren bör utses uttryckligen genom en skriftlig fullmakt från leverantören att agera på dess vägnar med avseende på leverantörens skyldigheter enligt NIS-direktivet. Bakgrunden till paragrafen behandlas i avsnitt 10.2.5. Leverantörer av samhällsviktiga tjänster Paragrafen genomför artikel 14.1–3 i NIS-direktivet. En förutsättning för en väl anpassad säkerhet är att det bedrivs ett systematiskt och riskbaserat informationssäkerhetsarbete. Det innebär att arbetet ska bedrivas långsiktigt, kontinuerligt och syste- matiskt samt att arbetet bör ha en tydlig rollfördelning med särskilt utpekat ansvar. I arbetet bör europeiska och internationellt god- kända standarder beaktas. Myndigheten för samhällsskydd och beredskap får meddela före- skrifter om ett systematiskt informationssäkerhetsarbete enligt 10 § 1 förordningen. Styrdokument avseende det systematiska informationssäkerhets- arbetet är sådan information om säkerhetsprinciper som leverantören ska tillhandahålla tillsynsmyndigheten enligt 26 § 1. Bakgrunden till paragrafen behandlas i avsnitt 7.3.1–2 och 7.3.4. Paragrafen genomför artikel 14.1 i NIS-direktivet. Med säkerhet i nätverk och informationssystem avses systemens förmåga att vid en viss tillförlitlighetsnivå motstå åtgärder som under- gräver tillgängligheten, autenticiteten, riktigheten eller konfidentiali- teten hos lagrade, överförda eller behandlade uppgifter eller hos de besläktade tjänster som erbjuds genom eller är tillgängliga via dessa nätverk och informationssystem (7 § 2). Med teknisk säkerhet brukar avses områdena it-säkerhet (data- säkerhet och kommunikationssäkerhet) och fysisk säkerhet. I be- greppet tekniska åtgärder ingår bl.a. skydd mot oönskad förändring, skydd mot obehörig insyn, att behöriga har åtkomst vid rätt tillfälle, skydd av personer, lokaler och utrustning av betydelse för informa- tionssäkerhet samt skydd vid överföring av data. Skyddsåtgärderna ingår i det som brukar benämnas teknisk säkerhet. I begreppet orga- nisatoriska åtgärder ingår bl.a. att upprätta styrdokument, utforma rutiner, övervaka efterlevnad samt genomföra uppföljningar, dvs. det som brukar benämnas administrativ säkerhet1. De tekniska och organisatoriska åtgärder som leverantörer av samhällsviktiga tjänster ska vidta bör inte innebära krav på att någon särskild kommersiell informations- och kommunikationsteknisk produkt utformas, ut- vecklas eller tillverkas på ett visst sätt. För att säkerställa en enhetlig tillämpning av säkerhetsåtgärder bör leverantörerna beakta europeiska eller internationellt accepterade standarder och specifikationer vid utformningen av säkerhetsåtgärder. Åtgärder för att hantera risker omfattar åtgärder för att identi- fiera alla incidentrisker och för att förebygga, upptäcka och hantera incidenter för att begränsa deras inverkan. Säkerheten i nätverk och informationssystem omfattar lagrade, överförda och behandlade uppgifters säkerhet. Begreppet risk definieras i 7 § 8. Med den senaste tekniska utvecklingen avses att samtliga tekniska lösningar som vid var tid finns tillgängliga på marknaden beaktas. Teknisk utveckling kan dels medföra att behovet av säkerhetsåtgär- der förändras, dels innebära nya möjligheter att vidta effektiva säker- hetsåtgärder. Lämplig nivå beslutas av den verksamhetsansvarige med hänsyn till den föreliggande risken och de skadekonsekvenser som kan uppkomma. Beslutet ligger till grund för vilka säkerhets- åtgärder som ska vidtas , se även 13 § om risk- analys. Bestämmelser om standarder finns i 4 § förordningen. Bakgrunden till paragrafen behandlas i avsnitt 7.3.1 och 7.3.4. Paragrafen genomför artikel 14.2 i NIS-direktivet. Säkerhetsåtgärderna i 11 § ska även omfatta åtgärder för att före- bygga och minimera verkningar av incidenter i syfte att säkerställa kontinuiteten i tjänsten. När det gäller lämpliga åtgärder hänvisas till kommentaren till 11 §. Bakgrunden till paragrafen behandlas i avsnitt 7.3.1. 1 Terminologi för informationssäkerhet, Teknisk . Paragrafen genomför artikel 14.1–2 i NIS-direktivet. Valet av säkerhetsåtgärder enligt 11 och 12 §§ ska grunda sig på en riskanalys. Analysen ska kunna användas som beslutsstöd för leverantörens prioriteringar och avvägningar mellan olika typer av säkerhetsåtgärder i förhållande till tjänstens funktionalitet, finan- siella och administrativa konsekvenser samt skyddet för den person- liga integriteten. Analysen kan ingå som en del i verksamhetens övriga risk- och säkerhetsanalysarbete. Analysen ska dokumenteras, upp- dateras och innehålla en åtgärdsplan. Riskanalysen är sådan information som leverantören ska tillhanda- hålla tillsynsmyndigheten enligt 26 § 1. Bakgrunden till paragrafen behandlas i avsnitt 7.3.1. Leverantörer av digitala tjänster Paragrafen genomför artikel 16.1 i NIS-direktivet. Till skillnad från vad som gäller för leverantörer av samhällsviktiga tjänster ska leverantörer av digitala tjänster själva utarbeta de åtgärder som krävs enligt paragrafen. ska inte meddela några närmare föreskrifter i detta avseende. I stället ska kommis- sionen anta genomförandeakter för att specificera de element som leverantörerna ska ta hänsyn till vid be- dömningen av vilka säkerhetsåtgärder som ska utarbetas och vidtas. Begreppen tekniska och organisatoriska åtgärder och senaste tek- niska utvecklingen behandlas i kommentaren till 11 §. Med incidenthantering avses enligt definitionen i 7 § 7 alla för- faranden som stöder upptäckt, analys och begränsning av en incident och åtgärder mot en incident.