sou · H5B336 · 2017-05-02 00:00:00 — En förutsättning för att tillsynsarbetet ska vara effektivt och också ha en förebyggande verkan är att tillsynsmyndigheten kan skapa förtroendefulla relationer. Enligt NIS-direktivet ska säkerställas att tillsynsmyndigheterna upprätthåller informella och tillförlitliga kanaler för informations- utbyte (skäl 59). Mot bakgrund av det som framkommit om befintliga tillsynsmyn- digheter inom sektorerna samt de krav som framförts av referens- 9 Inventeringen finns tillgänglig i ärende dnr Komm2017/00542-1.. gruppen gör utredningen bedömningen att det finns lämpliga myn- digheter inom samtliga sektorer. Utredningen föreslår att tillsynsansvaret fördelas enligt följande. Inspektionen för vård och omsorg Leverans och distribution av På energiområdet är tillsynsansvaret uppdelat på flera olika myndig- heter. Såväl Energimarknadsinspektionen som Statens energimyndig- het är tillsynsmyndigheter och har etablerade kontaker med el- och gasbranscherna samt kunskap om verksamheten, sårbarheter, hot och risker inom energiområdet. Ingen av de myndigheterna har något utpekat ansvar för informationssäkerhet inom sektorn. Även Affärs- verket utövar tillsyn inom sektorn. Verket är dock även en enhet som omfattas av NIS-direktivet. har framfört att inspektionen bör bli tillsynsmyndighet för delsektorerna el och gas. Dessa delsektor- er finns ofta i samma koncern och med samma it-system vilket talar för att den som har ansvaret för el även bör ha samma ansvar för gas. har anfört att en myndighet bör få ansvaret för samtliga delsektorer, el, gas och olja, samt att det bör vara . Ett samlat ansvar skulle ge bonuseffekter på andra områden t.ex. krisberedskapsarbetet, arbetet med det civila försvaret och säkerhet- skyddsarbetet. Utredningen anser att både Energimarknadsinspek- tionen och skulle vara lämpliga tillsyns- myndigheter men att det mot bakgrund av tillsynsmyndighetens uppdrag enligt förslagen i den nya lagen med tillhörande förordning är lämpligast och mest kostnadseffektivt att en myndighet utses till tillsynsmyndighet för en sektor. Utredningen anser att Statens energi- myndighet bör vara tillsynsmyndighet för energisektorn. och Transportstyrelsen är tillsynsmyn- digheter med föreskriftsrätt inom de sektorer som omfattas av NIS-direktivet. Båda myndigheterna har kunskap om verksamheten samt sårbarheter, hot och risker inom sektorn. är utpekad tillsynsmyndighet för hälso- och sjukvård och ska som en del av tillsynen pröva klagomål mot hälso- och sjukvården och dess personal när det gäller patientsäkerhet. Social- styrelsen har ansvaret för att utfärda föreskrifter i sektorn och har ett särskilt ansvar för krisberedskap samt är bevakningsansvarig myn- dighet enligt krisberedskapsförordningen. har inget tillsynsansvar. utfärdar verkställighetsföreskrifter men sam- verkar med när det gäller föreskriftsarbete som rör tillsynsområdet. utövar tillsyn enligt bestämmel- serna om medicintekniska produkter. Dessa bestämmelser riktar sig mot tillverkaren av produkten. och kommuner och landsting har anfört att bör ha tillsynsansvaret enligt den nya lagen enligt den till- synsstruktur som finns inom sektorn. Utredningen anser att , mot bakgrund av att är utpekad tillsynsmyndighet för sektorn, bör utses till tillsynsmyndighet enligt den nya lagen. Social- styrelsen bör inledningsvis bistå med stöd i föreskriftsarbetet och när det gäller identifieringen av leverantörer som tillhandahåller samhällsviktiga tjänster. Eftersom det befintliga systemet för tillsyn inom hälso- och sjukvården har en gränslinje mellan å ena sidan kun- skapsutveckling, bidragsgivning och normering och å andra sidan tillsyn skulle ett alternativ kunna vara att även när det gäller genomförandet av NIS-direktivet får det normerande an- svaret. Utredningen anser dock att fördelarna med ett enhetligt system och den viktiga samverkan mellan tillsyn, incidenthantering och normering medför att bör vara tillsynsmyndighet. har inget tillsynsansvar inom sektorn leve- rans och distribution av dricksvatten men har tillsynsansvar på andra områden. Verket har också en bred kunskap om säkerhetsarbete inom sektorn liksom kunskap om sårbarheter, hot och risker. Kom- munerna utövar offentlig kontroll över dricksvattenanläggningar och kontrollen utövas av den nämnd som fullgör uppgifter inom miljö- och hälsoskyddsområdet. En kommun kan också vara en sådan en- het som omfattas av NIS-direktivet. Länsstyrelserna samordnar kom- munernas verksamhet i länet. Utredningen anser att en myndighet, , ska ha tillsynsansvaret. () har tillsynsansvar enligt lagen om elektronisk kommunikation samt över vissa av de enheter som om- fattas av NIS-direktivet. PTS har också kunskap om verksamheten samt om sårbarheter, hot och risker inom sektorn. PTS bör därför utses till tillsynsmyndighet för hela sektorn digital infrastruktur samt digitala tjänster. I de fall det finns överlappande tillsyn eller tillsyn utövas av två olika myndigheter med stöd av olika bestämmelser finns det inget hinder mot att tillsynen görs i samverkan för att den som är föremål för tillsynen inte ska åsamkas onödiga kostnader, störningar i verk- samheten eller andra påfrestningar. Förslag: Vid tillsyn ska en leverantör av samhällsviktiga tjänster tillhandahålla tillsynsmyndigheten 1.den information som är nödvändig för att bedöma säkerheten i leverantörens nätverk och informationssystem, inbegripet dokumenterade säkerhetsprinciper 2.bevis för ett effektivt genomförande av säkerhetsprinciper, så- som resultaten av en säkerhetsrevision utförd av tillsynsmyn- digheten eller en auktoriserad revisor och, i det senare fallet, att ge den behöriga myndigheten tillgångtill resultaten, inklu- sive de underliggande bevisen. När tillsynsmyndigheten begär sådan information eller bevis ska den uppge syftet med begäran och precisera vilken information som krävs. ska, i den utsträckning det behövs för tillsynen, ha tillträdesrätt till områden, lokaler och andra utrym- men, dock inte bostäder, där verksamhet som omfattas av lagen bedrivs. ska få förelägga den som står under till- syn att tillhandahålla information i enlighet med skyldigheterna i lagen (2018:000) om informationssäkerhet för vissa tillhanda- hållare av samhällsviktiga tjänster och digitala tjänster. Beträffan- de leverantörer av samhällsviktiga tjänster ska sådant föreläggan- de få meddelas även när det gäller annan information som behövs vid bedömning av om leverantören uppfyller sina skyldigheter. Ett föreläggande ska få förenas med vite. ska ha rätt att få verkställighet hos Kro- nofogdemyndigheten av beslut som avser åtgärder enligt lagen (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster. Då gäller bestämmel- serna i utsökningsbalken om verkställighet av förpliktelser som inte avser betalningsskyldighet eller avhysning. ska samarbeta med och vid behov bistå behöriga myndigheter i andra medlemsstater när det gäller tillsyns- åtgärder mot leverantörer av digitala tjänster. ska samarbeta med och bistå tillsynsmyn- digheter i andra länder i Europeiska unionen när det gäller till- synen över leverantörer av digitala tjänster. Detta bistånd och samarbete får omfatta informationsutbyte mellan de berörda be- höriga myndigheterna och begäranden om att tillsynsåtgärder beträffande leverantörer av digitala tjänster enligt den nya lagen ska vidtas. ska lämna vägledning till leverantörerna av samhällsviktiga tjänster vid tillämpningen av lagen (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsvik- tiga tjänster och digitala tjänster och tillhörande förordning. För att kunna utöva en effektiv tillsyn krävs att tillsynsmyndig- heten får tillgång till den information som behövs samt vid behov tillträde till lokal eller liknande. Bakgrunden till förslagen finns i avsnitt 8.3. För att tillsynsmyndigheten ska kunna utöva en effektiv tillsyn och identifiera brister som behöver åtgärdas, både genom föreläg- ganden och genom nya föreskrifter, ska den ha tillgång till samtliga incidentrapporter för sin sektor. CSIRT-enheten ansvarar för att till respektive tillsynsmyndighet skyndsamt överlämna incidentrapport- erna, se avsnitt 11.2.6. Förelägganden att tillhandahålla information och tillträde till lokal eller liknande som behövs för tillsyn Om en leverantör av samhällsviktiga tjänster inte samarbetar med tillsynsmyndigheten vid tillsynen bör tillsynsmyndigheten kunna meddela de förelägganden som behövs för att förmå leverantören att tillhandahålla information och ge tillträde till lokaler. Rätten till information och tillträde till lokaler bör givetvis endast avse sådan information och sådant tillträde som behövs i tillsynsverksamheten. För att inte åsamka den objektsansvarige större olägenheter än vad som behövs ska tillsynsmyndigheten precisera vilken information som avses samt uppge syftet med begäran. Ett beslut om föreläggande bör kunna förenas med vite. Besluten ska kunna överklagas, se av- snitt 9.10. Om en leverantör av samhällsviktiga tjänster vägrar att ge till- synsmyndigheten tillträde till en lokal eller liknande för undersök- ning kan tvångsåtgärder behöva användas. Att vidta sådana åtgärder ligger inte inom tillsynsmyndighetens befogenheter. Det finns inte anledning att anta att det kommer finnas risk för hot eller handgrip- ligheter i samband med tillsynen enligt de aktuella bestämmelserna. De eventuella hinder som kan uppstå får i stället antas vara av fysiskt art. Det bör därför inte vara behövligt att förordna om att tillsyns- myndigheten ska ha möjlighet till biträde av . Till- synsmyndigheten bör i stället kunna begära biträde av Kronofogde- myndigheten. Överväganden och förslag i dessa delar beträffande leverantörer av digitala tjänster finns i avsnitt 10.4. Överväganden och förslag avseende tillsynsmyndighetens möjlig- het att meddela förelägganden om att vidta säkerhetsåtgärder och att incidentrapportera samt om samverkan med Datainspektionen finns i avsnitt 9.5. Bistånd och samarbete med andra medlemsstater angående tillsynsåtgärder mot leverantörer av digitala tjänster Om en leverantör av digitala tjänster har sitt huvudsakliga etable- ringsställe eller en företrädare i en medlemsstat, men dess nätverk och informationssystem är belägna i en eller flera andra medlems- stater, ska den behöriga myndigheten i den medlemsstat där det huvudsakliga etableringsstället eller företrädaren finns och de be- höriga myndigheterna i dessa andra medlemsstater samarbeta och vid behov bistå varandra. Detta bistånd och samarbete får omfatta informationsutbyte mellan de berörda behöriga myndigheterna och begäranden om att leverantören av digitala tjänster ska tillhandahålla information eller åtgärda underlåtenhet att vidta säkerhetsåtgärder eller att incidentrapportera. (artikel 17.3). upp- gift i detta avseende bör regleras i förordning. befogenhet att meddela förelägganden för att förmå leverantören att tillhandahålla information har behandlats ovan. Befogenheten att meddela förelägganden vid underlåtenhet att vidta säkerhetsåtgärder eller att incidentrapportera behandlas i avsnitt 9.5. uppdrag i det förebyggande säkerhetsarbetet Mot bakgrund av att syftet med NIS-direktivet är att höja nivån av säkerhet i nätverk och informationssystem anser utredningen att det förebyggande säkerhetsarbetet bör uppmärksammas. Den snabba tekniska utvecklingen, digitalisering, bristande kunskaper om infor- mationssäkerhet samt att det införs en ny reglering innebär att det finns ett stort behov av att leverantörerna kan få tillgång till rådgiv- ning i sitt säkerhetsarbete. Detta har också framhållits av deltagarna i referensgruppen som en viktig del i säkerhetsarbetet. I MSB:s uppdrag ingår ett övergripande ansvar för samhällets informationssäkerhetsarbete, se avsnitt 11.1.5. MSB har bl.a. gett ut ett stort antal publikationer, vägledningar och allmänna råd till före- skrifter. På webbplatsen finns stöd för systematiskt arbete med informationssäkerhet, lagar och regler, kom- petensutveckling samt aktuella rapporter och studier. Även har en webbplats där det bl.a. finns övergripande information om obligatorisk it-incidentrapportering samt nyhetsrapportering. Utöver den övergripande information och upplysningar som MSB ger finns behov av en mer anpassad rådgivning inom respektive sek- torer utifrån de förutsättningar och den reglering som gäller för sektorn. Utredningen anser att det är tillsynsmyndigheterna som är mest lämpade att ge denna typ av rådgivning. Det kan till exempel avse hur det systematiska informationssäkerhetsarbetet ska bedrivas men också hur sektorsspecifika föreskrifter ska tillämpas. Rådgiv- ningen avseende systematiskt arbete bör utgå från det generella material som finns på webbsidan om inte det finns ett ledningssystem som tillämpas inom sektorn. Både svårigheter att vara objektiv och att hålla isär tillsyn och råd- givning är skäl som talar emot att en och samma myndighet utövar rådgivning och tillsyn. Utredningen delar dock den uppfattning som framförs i betänkandet En ny säkerhetsskyddslag (SOU 2015:25) att det går att hålla rådgivningen på en nivå där inte specifika säkerhets- åtgärder föreslås. kan i stället vara ett bollplank där olika åtgärder diskuteras. Då kan tillsynsmyndighetens erfaren- heter från hela sektorn tas tillvara liksom kunskap om sektorns reg- lering avseende informationssäkerhet. Utredningen ser inte att till- synsmyndigheternas ansvar för rådgivning enligt den nya lagen skapar några oklarheter. Ett liknade system finns inom säkerhetsskydds- området . Vidare bör eventuella otydligheter i lagstiftning och föreskrifter kunna hanteras i det samarbetsforum som utredningen föreslår, se avsnitt 8.5.4. 8.5.4Samordnad funktion mellan tillsynsmyndigheterna Bedömning: Myndigheten för samhällsskydd och beredskap ska inom ramen för sitt nuvarande uppdrag •ha en samlad bild av NIS-direktivets genomförande och tillämp- ning i genom att –leda ett samarbetsforum där samtliga tillsynsmyndigheter ingår –ta emot tillsynsmyndigheternas bedömningar av brister i nätverk och informationssystem m.m. •tillhandahålla det metodstöd för tillsyn som behövs för en effektiv tillsyn enligt NIS-direktivet. Utredningen har undersökt behovet av att ha en samordnande funk- tion mellan tillsynsmyndigheterna. Den samordnande funktionens uppgift skulle enligt kommittédirektiven vara att få en samlad bild över EU-direktivets genomförande och tillämpning i . att få denna bild skulle funktionen behöva få del av samtliga till- synsrapporter. I samarbetsforumets uppgifter bör det ingå att diskutera tillsyns- metoder samt övrigt som forumet finner viktigt att samordna när det gäller säkerhet i nätverk och informationssystem. Samlad bild av NIS-direktivets genomförande och tillämpning När det gäller att få en samlad bild av direktivets genomförande och tillämpning i utifrån de tillsyner som genomförs är det enligt utredningens bedömning inte nödvändigt att ha tillgång till samtliga detaljer som finns i en tillsynsrapport. Det kan också ifrågasättas om det är lämpligt att samla samtliga tillsynsrapporter hos en myn- dighet, särskilt med hänsyn till kravet på konfidentialitet för vissa uppgifter i tillsynsrapporten. Delgivning av tillsynsrapporterna till en samordnande funktion kan också få negativa konsekvenser för till- synsmyndighetens möjligheter att upprätta förtroliga relationer med de enheter som omfattas av NIS-direktivet eftersom detta innebär att ytterligare en myndighet delges de eventuella brister och sårbar- heter som kommit fram i en tillsyn. En samlad bild av NIS-direktivets genomförande och tillämp- ning i erhålls enligt utredningens mening bäst dels genom att MSB får i uppdrag att leda ett samarbetsforum där samtliga till- synsmyndigheter ingår, dels genom att tillsynsmyndigheterna vid behov lämnar en samlad bedömning av brister i informationssäker- het i nätverk och informationssystem och andra resultat som kan vara av intresse för tillämpningen av direktivet till MSB. I en samlad bedömning från sektorn kan resultaten från tillsyner analyseras och bearbetas till en nivå som är mer anpassad till syftet att få en samlad bild över NIS-direktivets genomförande och tillämpning i . Den samlade bedömningen kan också utgöra stöd i MSB:s före- byggande informationssäkerhetsarbete. Information om brister som upptäcks vid tillsyn liksom svårig- heter vid tillämpning och tolkning av direktivet bör framgå av be- dömningen eftersom sådan information är viktig för MSB att känna till i sin roll som nationell kontakpunkt, CSIRT-enhet och repre- sentant i samarbetsgruppen. Det närmare innehållet i den informa- tion som tillsynsmyndigheter ska lämna bör MSB och tillsynsmyn- digheterna komma överens om. I uppdraget att leda ett samarbetsforum för samtliga tillsynsmyn- digheter bör ingå att uppmärksamma frågor kring tillsynsmetoder och annat som forumet finner viktigt att samordna när det gäller säkerhet i nätverk och informationssystem. Forumet kan t.ex. identi- fiera behovet av vägledningar och diskutera gemensamma frågor om föreskrifter, säkerhetsåtgärder och incidentrapporter m.m. Sam- arbetsforumets uppgifter bör också kunna förändras utifrån tillsynsmyndigheternas och MSB:s behov. Ett väl fungerande sam- arbetsforum bygger på ett aktivt deltagande från både tillsynsmyn- digheterna och MSB. Mot bakgrund av att det kan finnas behov av diskussion och erfarenhetsutbyte om skiftande frågor bör inte heller deltagandet i gruppen begränsas till tillsynsmyndigheterna och MSB. Utredningen anser inte att uppdraget ska författningsregleras. För att få en enhetlig och effektiv tillsyn när det gäller NIS-direk- tivet bör tillsynsmyndigheterna i så stor utsträckning det är möjligt använda samma metod. Behov av samordning mellan tillsynsmyndig- heterna har också framkommit i diskussioner med deltagarna i refe- rensgruppen. MSB:s övergripande ansvar när det gäller samhällets informationssäkerhet och det arbete som MSB utför har lyfts fram som ett bra exempel på sådant stöd. Utredningen anser att MSB bör tillhandahålla ett sådant metod- stöd. Myndigheten har har ett brett uppdrag att stödja samhällets informationssäkerhet och har också en väl uppbyggd nätverksstruktur, en övergripande bild av de problem och hot som finns i samhället samt tillgång till incidentrapporterna. MSB har också genom NIS-direktivet fått flera funktioner som kan ta tillvara erfa- renheter från tillsyn i andra medlemsstater. Under utredningens arbete har frågan om den samordnande funk- tionen skulle kunna utformas som tillsynsvägledning lyfts fram. Begreppet används inom miljöområdet och definieras i 3 § miljö- tillsynsförordningen (2011:13) som utvärdering, uppföljning och samordning av operativ tillsyn samt stöd och råd till de operativa tillsynsmyndigheterna. Tillsynsvägledning ska ges i fråga om tillämp- ningen av , föreskrifter som meddelats med stöd av miljö- balken och EU-förordningar. Statskontoret har på uppdrag av reger- ingen analyserat den statliga tillsynsvägledningen på miljöområdet.10 Utredningen kan konstatera att de centrala myndigheterna med tillsynsvägledningsansvar ska ge tillsynsvägledning inom vissa av sina expertområden, t.ex. ska ge tillsyns- vägledning i frågor om dammsäkerhet enligt 11 kap. (3 kap. miljötillsynsförordningen). Statskontorets utvärdering visar på att vägledningskompetensen brister och att kompetens som tidi- gare fanns centralt är mer utspridd och decentraliserad. Stats- kontoret föreslår bl.a. att den frivilliga samverkan som bedrivs ska utvecklas inom samverkansorganet Miljösamverkan . Utredningens bedömning är att de tillsynsmyndigheter som ut- redningen föreslår är de som närmast kan motsvara de centrala myn- digheterna med tillsynsvägledningsansvar. Att peka ut informations- säkerhet som ett sakområde skiljt från det område inom vilket tjänsten tillhandahålls skulle enligt utredningens bedömning snarare motverka NIS-direktivet syfte än att bidra till en hög gemensam nivå av säkerhet. Utredningen menar att tillsynsmyndigheterna besitter den djupa kunskap om verksamheten och om de risker och hot som finns i sektorn. Samtliga har också tillsynskompetens. Den sam- ordning och metodstöd som behövs för en enhetlig tillsyn bedöms inte motsvara det som avses med tillsynsvägledning och ges därför bäst i det samarbetsforum som utredningen föreslår. Bedömning: I de fall en tillsynsmyndighet inte har tillräcklig kom- petens avseende informationssäkerhet bör behovet av sådana resur- ser kunna tillgodoses genom myndighetssamverkan alternativt genom upphandling av resurser med rätt kompetens. I utredningsarbetet har det påpekats av både deltagarna i referens- gruppen och av utredningens experter att det kan komma att krävas kvalificerad informationssäkerhetskompetens för att kunna utföra 10 Vägledning till en bättre tillsyn, En utvärdering av tillsynsvägledningen på miljöområdet, 2014:17, Statskontoret. en effektiv tillsyn särskilt när det gäller att bedöma effekterna av de skyldigheter som åligger leverantörerna av samhällsviktiga tjänster. Utredningens bedömning är att det kan bli svårt för samtliga till- synsmyndigheter att initialt upprätthålla en hög specialistkompetens. Utredningen anser dock att det inom de nu berörda sektorerna är viktigt att höja informationssäkerhetskompetensen och att det där- för är rimligt att tillsynsmyndigheterna skaffar den kompetens som krävs. Det kan innebära att man stärker den egna kompensen eller söker hjälp hos, alternativt samarbetar med, andra tillsynsmyndig- heter.11 Det samarbetsforum som leds av MSB fyller en viktig funk- tion för att utveckla och stärka kompetensen och myndighetssam- arbetet, se avsnitt 8.5.4. Utredningen anser vidare att myndighetssamarbete på detta om- råde stärker informationssäkerheten på ett bredare område än NIS- direktivets tillämpningsområde. Det bidrar också till en allmän kom- petenshöjning för både tillsynsmyndigheten och den myndighet som lämnar stöd när det gäller informationssäkerhet i samhällsviktiga tjänster och digitala tjänster. Det måste vidare anses ligga i samhällets intresse att använda den expertkompetens som finns på informa- tionssäkerhetområdet för kvalificerade uppgifter utanför den egna myndighetens uppdrag i den utsträckning det är möjligt. En annan lösning kan vara att anlita en extern konsult eller revisor för att under ledning av tillsynsmyndigheten utföra vissa delar i en tillsyn. 11 6 § förvaltningslagen (1986:223) och 6 § andra stycket myndighetsförordningen (2007:515). 9 Ingripanden och sanktioner I kapitel 8 behandlas tillsynsmyndigheternas befogenheter. Befogen- heterna syftar till att säkerställa att berörda aktörer följer de bestäm- melser som antas enligt NIS-direktivet. Medlemsstaterna ska emel- lertid också fastställa regler om sanktioner till följd av överträdelser av bestämmelserna och vidta alla nödvändiga åtgärder för att se till att de tillämpas. Sanktionerna ska vara effektiva, proportionella och avskräckande. Medlemsstaterna ska anmäla dessa regler och åtgärder till kommissionen samt utan dröjsmål even- tuella ändringar som berör dem. (artikel 21) I detta avsnitt behand- las frågorna om hur bestämmelser om ingripanden och sanktioner bör utformas. 9.2Allmänt om ingripanden vid tillsyn I regeringens skrivelse 2009/10:79, En tydlig, rättssäker och effektiv tillsyn, redovisar regeringen generella bedömningar för hur en tillsyns- reglering bör vara utformad. När det gäller frågan om tillsyn och sanktioner anges i skrivelsen bland annat följande. När en tillsynsmyndighet vid sin tillsyn konstaterar en brist be- höver myndigheten ha möjlighet att ingripa. Ett ingripande ska vara effektivt och tydligt. Det ska ha inte bara ha ett bestraffande syfte, utan också en framåtsyftande funktion och se till att regler följs . Ingripandemöjligheterna bör utformas efter de särskilda förutsättningar som finns inom tillsynsområdet.