· H501FöU4 · 2018-01-24 09:01:15 — Nationell strategi för samhällets informations- och cybersäkerhet Åtminstone delar av försvarsutskottet har samlats i kammaren för att debattera den nationella strategi för samhällets informations- och cybersäkerhet som regeringen har arbetat fram. Strategin är naturligtvis ett biflöde av den nationella säkerhetsstrategi som regeringen valde att presentera på och Försvar 2017 i . Den nationella säkerhetsstrategin har inte varit föremål för något ställningstagande eller någon behandling i . Även fastställer inte strategin, utan vi avser att lägga den till handlingarna. Strategin vänder sig till alltifrån våra viktigaste statliga myndigheter över till regioner, landsting, kommuner, företag och även enskilda medborgare. Det är väl måhända därför som denna strategi är tämligen abstrakt och generell. Den låter sig egentligen sammanfattas i ett antal korta punkter. STYLEREF Kantrubrik \* MERGEFORMAT Nationell strategi för samhällets informations- och cybersäkerhet Det handlar om att säkerställa en systematisk och samlad ansats i arbetet med informations- och cybersäkerhet. Det handlar om att öka säkerheten i nätverk, produkter och system. Det handlar om att stärka förmågan att förebygga, upptäcka och hantera cyberattacker och andra it-incidenter. Det handlar om att öka möjligheten att förebygga och bekämpa it-relaterad brottslighet, öka kunskap och främja kompetensutveckling samt stärka det internationella samarbetet. När man tar del av punkterna i strategin förstår man att regeringen känner ett behov av att snart uppdatera strategin på nytt och förhoppningsvis göra den mer konkret och därmed mer praktiskt användbar för dem som är tänkta att tillämpa den. , alltså innevarande år, säger regeringen att det kommer att ske en översyn av strategin. I går presenterade Transportstyrelsen sin egen utredning om det som statsminister kallade för "haveriet" . Av utredningen framgår att över 80 personer, medborgare i , , och , obehörigen hanterat viktig och skyddsklassad information som gäller och svenska medborgare. kommer att granska affären genom , och det finns ett antal utredningar utöver Transportstyrelsens egen som kommer att dra slutsatser och komma med förslag på hur vi ska undvika att liknande saker inträffar . Alliansen i försvarsutskottet har pekat på ett viktigt förhållande, nämligen att om det finns möjligheter för statliga myndigheter när de gör sina upphandlingar av it-tjänster att i stället för att använda lagen om offentlig upphandling, som mer fokuserar på pris och kvalitet i generella termer, välja att använda sig av lagen om upphandling på försvars- och säkerhetsområdet, som mer betonar behovet av skydd och säkerhet för våra itsystem, kan viktiga fördelar vinnas. Vi tyckte att det är ett bra medskick från när regeringen ska uppdatera strategin, men dessvärre fick vi inte gehör för detta. I reservation 7 utvecklar vi i Alliansen våra resonemang om detta. För tids vinnande är det enbart till reservation 7 som jag yrkar bifall. Låt mig inledningsvis säga två saker. För det första står jag givetvis bakom alla alliansgemensamma och moderata reservationer, men för tids vinnande yrkar jag bifall endast till reservation nr 1 och reservation nr 7. För det andra eftersträvar vi inom säkerhets- och försvarspolitiken alltid breda politiska lösningar. Men med tanke på antalet reservationer som finns i detta relativt korta betänkande måste jag konstatera att det tyvärr saknas en bred parlamentarisk samsyn om hur vi ska hantera cybersäkerhetsfrågorna. Det är allvarligt, och det gagnar ingen annan än främmande makt som inte har bästa för sina ögon. Jag tror att det är viktigt att vi försöker åstadkomma en större och bredare samsyn, men då krävs också att regeringen bättre förankrar sin politik i på området. STYLEREF Kantrubrik \* MERGEFORMAT Nationell strategi för samhällets informations- och cybersäkerhet 2017 var kanske det mest dramatiska och omvälvande året som vi har upplevt inom cybersäkerhetsområdet. Det var året då frågorna hamnade allra högst på den politiska dagordningen. tillkännagav samtliga amerikanska underrättelseorganisationer entydigt att det amerikanska presidentvalet utsatts för omfattande cyberintrång av den ryska militära underrättelsetjänsten. Detta hade även påverkat presidentvalet. under såg vi ryska informationsoperationer riktade mot valen i , och . Det är ingenting annat än riktade angrepp mot demokratins hjärta i och . offentliggjordes att tillsammans med andra länder utsatts för de största globala cyberspionageangreppen som någonsin genomförts genom ett virus som heter Cloud Hopper. har även utsatts för omfattande cyberutpressningsförsök genom det virus som kallas . Det är ett virus som har lamslagit datorer inom sjukvård och äldreomsorg även i en rad svenska kommuner. Enligt FRA utsätts för någonstans runt 10 000 statssanktionerade cyberaktiviteter . Man hävdar även att hoten ökar i styrka och omfattning. Det är med andra ord en växande hotbild som vi har att hantera på området, som vår beredskap lämnar mycket att önska. FRA, Must och pekar alla i sina årsrapporter på att det finns stora brister i säkerhetsskydd på cyberområdet. Det handlar om bristande säkerhetskultur, bristande säkerhetsanalyser och svag it-infrastruktur på många svenska myndigheter. såg vi konsekvenserna i praktiken genom det haveri som hade ägt rum på Transportstyrelsen och sedan skulle äga rum inom regeringen när frågan skulle hanteras. Det är i den här omvärldsmiljön med väsentligt större hot inom cyberområdet och en relativt svag nationell förmåga att förebygga och förhindra cyberattacker som vi måste granska regeringens nya it- och cybersäkerhetsstrategi. Ytterst måste vi ställa oss frågan om strategin bidrar till att stärka säkerhet. Regeringen har tagit relativt god tid på sig att presentera den här strategin. är faktiskt det sista landet inom EU som får en nationell cybersäkerhetsstrategi på plats. En strategi ska normalt innehålla tre M: mål, medel och metod. Den här strategin är rik på mål. Den innehåller 66 mål fördelade på 32 sidor. En välvillig tolkning av detta är att regeringen har mycket höga ambitioner på cybersäkerhetsområdet. En annan och i mina ögon mer sannolik tolkning är att regeringen helt enkelt inte orkat prioritera eller vara tydlig i den politiska styrningen vid framtagandet av dokumentet på . Om allt är prioriterat är inget prioriterat. Det mest relevanta i en strategi är ju inte hur många mål man har utan snarare vilka medel och metoder man ska använda för att uppnå målen. Här tycker jag att det finns brister i strategin. Strategin liknar mer en målvision än en riktig strategi som kan ge konkret vägledning för det framtida arbetet kopplat till information och cybersäkerhet. STYLEREF Kantrubrik \* MERGEFORMAT Nationell strategi för samhällets informations- och cybersäkerhet Jag vill avsluta med två områden där det finns betydande brister i strategin, nämligen upphandling och myndigheters tillsynsansvar. Strategin är mycket kortfattad när det gäller upphandling på cybersäkerhetsområdet. Det är knappt en halv sida av 32 som berör upphandling, och det är olyckligt av en rad skäl. För det första är det anmärkningsvärt mot bakgrund av att själva kärnan i skandalen kopplad till Transportstyrelsen ju handlade om upphandling och utkontraktering. Det visste man om inom när strategin skrevs . För det andra var den utredning som låg till grund för strategin, skriven av Brås generaldirektör , mycket tydlig med att det finns stora brister i svenska myndigheters förmåga till upphandling. Den utredningen förespråkade också att myndigheterna måste ställa mycket högre krav på säkerhetsskydd vid upphandlingar. Men inget av dessa förslag går att spåra i den slutgiltiga strategin, och det är en brist. Kanske den största frågan som behöver hanteras på cybersäkerhetsområdet är organisations och tillsynsfrågan. Det är fortfarande fyra ministrar och sex myndigheter som i en eller annan form har ansvar för digitalisering och cybersäkerhetsfrågor. Det kommer att bli ännu fler myndigheter som får tillsynsansvar när NIS-direktivet införs. Det finns därför starka skäl att se över organisationen och ansvarsfördelningen mellan myndigheterna på cybersäkerhetsområdet. Regeringen säger, precis som var inne på, att cybersäkerhetsstrategin är en strategi för hela samhället. Men den glömmer en central del av samhället, nämligen egen organisation när det gäller att hantera cybersäkerhetsfrågor. Det berörs över huvud taget inte i strategin, och det är en betydande brist. utgör ju själva nervsystemet för styrningen av myndigheterna, och det var detta nervsystem som fick ett sammanbrott i samband med och efter skandalen kopplad till Transportstyrelsen. Strategin hade varit betjänt av att också hantera bristerna som finns i när det gäller styrningen av cybersäkerhetsfrågor. Vi moderater bedömer därför att det behövs en cybersäkerhetskoordinator som kan tydligare hålla ihop arbetet med dessa frågor inom och att ansvaret för cybersäkerhet inte ska ligga på utan flyttas till Statsrådsberedningen. På det sättet kan vi få en bättre sammanhållen politik för cybersäkerhetsfrågorna, vilket är helt nödvändigt i ljuset av de ökade hot vi upplever på detta område och på grund av den bristande förmågan att hantera cyberangrepp. För tids vinnande yrkar jag bifall endast till reservation 15. har begreppet cybersäkerhet - jag föredrar att kalla det it-säkerhet - varit ett modeord. Tyvärr har det sällan varit några konkreta förslag kopplade till användandet av begreppet. har i alla fall regeringen kommit till skott i ett par delar - dels att outsourcing av kritiska it-strukturer inte ska ske utan godkännande av säkerhetstjänsterna och dels att , , och andra för it-säkerheten viktiga myndigheter ska få mer medel för att utveckla sina verksamheter. STYLEREF Kantrubrik \* MERGEFORMAT Nationell strategi för samhällets informations- och cybersäkerhet Allt detta är bra. Men det bästa är att gå hela vägen. Informationstekniken har inte bara öppnat för effektiviseringar utan också ökat samhällets sårbarhet i kris och krig. När totalförsvaret återupprättas finns it-samhällets sårbarhet med i väldigt många aspekter. SD anser att känsliga it-strukturer och databaser inte ska outsourcas alls. Invändningen att myndigheter inte klarar av vad privata företag kan faller på det faktum att vi tidigare haft våra databaser inom myndigheterna. Naturligtvis kan privata företag bistå med utbildning och teknisk assistans, men känsliga data och känslig kod bör skötas inom myndigheterna - så som det var till . Hård- och mjukvara måste genomsökas för att säkerställa att inte olika former av bakdörrar är inplanterade. Eftersom våra system ska fungera även i kris och krig måste det finnas avancerad reservkraft vid all viktig infrastruktur. Datahallar som rymmer känsliga databaser och infrastruktur bör också skyddas mot yttre våld. För myndigheternas koordinerade samarbete bör säkra krypterade myndighetsnät upprätthållas. Eftersom är ledande på mikrosatelliter bör det övervägas om sådana kan användas för att säkra kommunikationerna. Vad gäller satelliterna är det ett område som är lämpligt för nordiskt samarbete. I krig får vi räkna med att en avancerad motståndare kommer att använda sofistikerad störutrustning. Det drabbar i första hand det militära försvaret men troligen också hela samhället. Högteknologisk forskning där har särskilda kompetenser, exempelvis inom krypto, bör klassas som en strategisk resurs och få extra anslag. Inom skolväsendet bör ungdomar få lära sig att samband inte alltid är säkra och vad man ska göra i kris och krig om man inte får den information som man behöver. Det är svårt att förutse den digitala framtiden. Utvecklingen kommer inte att följa den riktning som vi föreställer oss eller den vi ser i science fiction-filmer. Men utvecklingen kommer att gå längre och snabbare än vi tror. Trots detta måste vi sträva efter att vara framsynta och tidigt fatta rätt beslut i ett säkerhetsperspektiv. I den digitala världen kan fienden uppträda djupt in på vårt territorium utan att först ha tagit en massa terräng. Fienden kan dölja sin rätta identitet och uppträda försåtligt som troll. Vi kan aldrig vara naiva, utan vi måste bygga våra system klokt redan i fredstid. Redan i fredstid kommer också fienden att finnas i våra system. Det digitala angreppet har redan börjat i stor skala. När det är en statsaktör som angriper är det svårt att bestämma den eftersom försåtligheten är norm på detta område och angreppen oftast sker via kapade datorer. Digital infrastruktur av betydelse för totalförsvaret har ingen avgränsning mot privat infrastruktur. Eftersom det digitala är så gränslöst måste vår attityd när vi bygger vårt it-försvar vara ödmjuk. Inför varje funktion vi bygger i vår digitala infrastruktur måste vi fundera över sårbarhetsaspekten. Lika viktigt som att vi bygger robusta it-system är det att vi bygger beredskap genom alternativa analoga system. STYLEREF Kantrubrik \* MERGEFORMAT Nationell strategi för samhällets informations- och cybersäkerhet Även en förmåga att vinna på det digitala slagfältet är krigsavhållande! Detta är en mycket angelägen debatt. Flera rapporter har visat att samhällets arbete med informations- och cybersäkerhet behöver utvecklas ordentligt. Vi ser det i genomgång av nio olika myndigheter, och vi ser det i MSB:s nationella risk- och sårbarhetsanalys. Det är allvarligt att bristerna är så omfattande. Inte minst förra sommarens allvarliga händelser efter Transportstyrelsens beslut att göra avsteg från säkerhetsskyddslagstiftningen visar att säkerhetsarbete generellt och informations- och cybersäkerhet specifikt behöver uppgraderas och i större omfattning beaktas i beslutsfattande och verksamhetsutveckling. Detta är också en trend som bland annat har identifierat då de beskriver att "säkerheten hos myndigheter och statliga bolag inte är dimensionerad för den hotbild vi ser". Regeringen föreslår en nationell modell för systematisk informationshantering, som säkerligen skulle underlätta för aktörer att arbeta med informations- och cybersäkerhet. Det är bra, även om det inte är säkert att en modell passar alla aktörer beroende på deras olika uppdrag, storlek och ansvarsområden. Det framkommer inte vilken status modellen ska ha. Detta riskerar att bli verkningslöst. Vad sker om aktörerna inte använder sig av regeringens föreslagna modell? Minst lika viktigt som en nationell modell är att det finns tydlig styrning och lagar och regler som gör att aktörer måste beakta, ta hänsyn till och arbeta med systematisk informationssäkerhet i sin verksamhet. Det är visserligen bra att regeringen lämnar en skrivelse med namnet Nationell strategi för samhällets informations- och cybersäkerhet till , men tyvärr är strategin inte heltäckande. Den tar inte ett brett grepp om samhällets informations- och cybersäkerhet. Framför allt är det en icke-förpliktande skrivelse utan konkreta eller skarpa förslag. I huvudsak tycks skrivelsen vara inriktad på statliga myndigheter. Ofta saknas resonemang om hur statsmaktens regelstyrning för informationssäkerhet kan tydliggöras för aktörer som inte är statliga myndigheter. Inte minst har MSB visat att det systematiska informationssäkerhetsarbetet ofta brister också på nivå. Perspektivet att styrningen ska tydliggöras i förhållande till de statliga myndigheterna är därför inte tillräckligt brett för att främja hela samhällets systematiska informationssäkerhetsarbete. Det är uppenbart att dagens regelverk inte är och inte har varit tillräckligt. Regeringen bör därför, utöver en nationell modell, se över om regelstyrningen och kraven på cyber- och informationssäkerhet i förhållande till inte minst kommunerna är tillräckliga. Här bör också möjligheten prövas för MSB att få föreskriftsrätt i förhållande till kommunernas systematiska informationssäkerhetsarbete. Ökad tillsyn är också angeläget. Naturligtvis måste detta vägas mot det kommunala självstyret, men inte heller detta problematiseras i regeringens skrivelse. STYLEREF Kantrubrik \* MERGEFORMAT Nationell strategi för samhällets informations- och cybersäkerhet Regeringen tar trots allt viktiga steg i sin strategi men når inte riktigt ända fram för att skrivelsen ska göra skäl för sitt namn. Det brottsförebyggande perspektivet finns, men det saknas ambitioner och konkreta förslag för att motverka den ökande trenden med cyberbaserat industriellt ekonomiskt spionage. FRA har identifierat att statsunderstödda cyberaktiviteter mot även riktas mot industri, forskning och kritisk infrastruktur. Inte heller här ger regeringen några svar. När det gäller säkra kryptolösningar konstaterar regeringen att behöver tillgång till teknisk kompetens för att säkerställa nödvändigt signalskydd. Tyvärr presenteras inga förslag till hur denna specifika tekniska kompetens ska säkerställas. Informationssäkerhet är inte bara en teknisk fråga som kräver teknisk kompetens. För att nå framgång krävs förståelse hos alla funktioner i en organisation. För att nämna några behöver jurister, analytiker, ekonomer, upphandlare och registeransvariga ha kunskap om vad som är skyddsvärd information. Ett generellt kunskapslyft om informationssäkerhet och säkerhetsskydd behövs inom de allra flesta organisationer. Regeringen lyfter fram behovet av forskning och högre utbildning. Det är bra men långt ifrån tillräckligt. Än en gång saknas regeringens helhetssyn. Regeringen hade gärna fått presentera förslag till hur en generell kunskapshöjning skulle kunna ske. Hur enskilda medarbetare i en organisation förhåller sig till säkerhet kring information är viktigt för att upprätthålla ett gott skydd, men det är tveksamt om de insatser som görs av ett fåtal myndigheter för att öka individers kunskap verkligen är tillräckliga. Högre ambitioner behövs. hade gärna sett utvecklade resonemang kring informationssäkerhet som ett förhållningssätt i organisationer som arbetar med krisberedskap och totalförsvarsplanering. Åtgärder behöver vidtas för att säkra it-hanteringen och stärka it- och cybersäkerheten generellt, inte minst för de verksamheter, såväl privata som offentliga, som äger och driver samhällsviktig verksamhet eller infrastruktur eller i övrigt hanterar frågor som rör rikets säkerhet. Det är bra att frågan om säkerhet och integritet tas upp i skrivelsen. Frågor kring privatliv och integritet aktualiseras när information om individer finns i allt fler digitala system, som kanske inte alltid har ett fullgott skydd. Detta är en stor potentiell säkerhetsrisk som också måste beaktas och hanteras. hade gärna sett tydligare resonemang och förslag om hur regeringen vill att EU ska utvecklas på cyberområdet. Vikten av att delta i internationella samarbeten för att öka den nationella förmågan att hantera cyberhot kan inte nog betonas. Vi i vill att EU ska få en större roll i frågor kring informations- och cybersäkerhet. Nätverks- och informationssystem, och internet i synnerhet, spelar en viktig roll för rörligheten för varor, tjänster och personer. Att EU:s samlade förmåga på området stärks är därför angeläget. Vi vill också att minimikraven för informationssäkerhet i alla EU:s medlemsländer höjs. Även i det operativa arbetet med att hantera cyberkriser kan det finnas anledning att stärka det europeiska samarbetet. Jag vill yrka bifall till vår reservation nr 3. STYLEREF Kantrubrik \* MERGEFORMAT Nationell strategi för samhällets informations- och cybersäkerhet Vi debatterar ett betänkande som gäller en nationell strategi för samhällets informations- och cybersäkerhet. Jag står självfallet bakom alla reservationer där vi finns med, men för tids vinnande yrkar jag endast bifall till en: vår reservation som handlar om en ny myndighet för cybersäkerhet. Det har inte, tror jag, undgått någon i detta land att cybersäkerhet är något som är viktigt på många olika sätt och som angår människor. Det drabbar på många olika sätt att vi har så mycket problem med det. Låt mig ta några exempel. Det finns 673 polisanmälningar om utpressning via datavirus. På i min kommun finns exempel på att operationer stoppats på grund av utpressning via cyberattacker. har 81 statliga myndigheter och 187 kommuner drabbats av utpressningsvirus, och det fortsätter att öka. var FRA, Must och hos oss och bekräftade att detta är något som ökar. Attackerna blir värre. Det handlar om enskilda, grupper och länder. FRA har nämnt att det görs ungefär 10 000 cyberattacker av utländsk makt och att detta är något som ökar. Men på ett sätt kan vi ändå säga att de har varit skonsamma. Min och flera experters uppfattning är att om man inte tar ett samlat grepp kan vi inom loppet av drabbas av en riktigt stor cyberattack. Vad är det då som skulle kunna hända? Låt mig ta några exempel. Kollektivtrafiken kan bli stillastående en hel dag när spärrar, biljettsystem eller signalsystem angrips av ett kidnappningsvirus. Betalningar med bankkort i butiker kan vara omöjliga i på grund av attacker mot betalningsinfrastrukturen. Elförsörjningen till hushåll och industrier kan temporärt slås ut. Detta är något som har drabbat exempelvis . Hälso- och sjukvård kan på grund av cyberattacker inte utföras. Främmande makt kan genom angrepp ta del av information som flödar i it- och kommunikationssystem, vilket kraftigt försämrar utsikter att försvara sig i händelse av krig. Vår uppfattning är att om ingenting sker på detta område kan vi se fram emot och frukta en cyberattack av detta slag inom en inte alltför avlägsen framtid. Det som vi har förslagit är att det ska tas ett helhetsgrepp på cybersäkerhetsfrågan från den civila sidan av samhället genom att man skapar en cybersäkerhetsmyndighet. styrs informations- och cybersäkerheten på ett fragmenterat och splittrat sätt, vilket sätter de olika säkerhetsmyndigheternas egna intressen före cybersäkerheten. Resultatet är att företag, kommuner, statliga myndigheter, landsting och andra organisationer träffas av en ständigt ökande reglering på området. Denna reglering inriktas på ett perspektiv åt gången. Det kan vara dataskydd för personuppgifter, driftssäkerhet, säkerhetsskydd och så vidare, men regleringen följer samma mönster och kräver nästan samma sak. Det är detta vi skulle komma runt genom att ha en myndighet som ansvarade för detta. För det första ska viktig information eller viktiga system identifieras. För det andra ska analyser av risk genomföras. För det tredje ska tekniska och administrativa säkerhetsåtgärder införas. Slutligen ska rapporter skickas in. STYLEREF Kantrubrik \* MERGEFORMAT Nationell strategi för samhällets informations- och cybersäkerhet För en teleoperatör, till exempel, kan ett enda it-system stå under en handfull olika detaljerade regleringar kopplade till cybersäkerheten. I stället för att hantera systemets säkerhet sammanhållet tvingas operatören att i praktiken ha separata stuprör - det känns ju bekant - som svar på den detaljerade regleringen. Operatören tvingas då till fem olika riskanalyser för it-systemet i stället för en. Det krävs olika interna lösningar för att försöka leva upp till alla dessa fragmenterade rättsliga krav. Hela organisationer får byggas upp inom kommuner, statliga myndigheter och landsting för att hantera de olika säkerhetskraven. Ett exempel är dataskyddsförordningen, GDPR, en ny reglering som främst berör cybersäkerhetsområdet och som återigen har gett upphov till nya organisationer, nya analyser och nya sätt att leda och styra cybersäkerheten internt. För att undvika detta krävs att cybersäkerhetsfrågan för den civila sidan hålls samman på ett annat sätt . Vårt förslag innebär att man skapar en ny myndighet som får det sammanhängande ansvaret för all tillsyn och som även får föreskrivningsrätt inom informations- och cybersäkerhetsområdet. Sammantaget kommer detta att leda till en mer enhetlig reglering som blir lättare att förstå och efterleva för de organisationer som träffas av den.