bet · H501FöU14 · 2018-06-01 00:00:00 — Säkerhetsklassad information och EU:s institutioner, punkt 5 (-) av (-). Jag anser att förslaget till riksdagsbeslut under punkt 5 borde ha följande lydelse: ställer sig bakom det som anförs i reservationen och tillkännager detta för regeringen. 2017/18:4141 av m.fl. (-) yrkande 3. Cybersäkerhet är ett svenskt nationellt säkerhetsintresse som dessutom är nära förbundet med utvecklandet av ett totalförsvar. Som ett militärt alliansfritt land bör vi inte okritiskt tillhandhålla vår säkerhetsklassade information till EU. Jag anser därför att det bör säkerställas att säkerhetsklassad information av betydelse för svensk säkerhet inte automatiskt kommer EU:s institutioner till handa. bör ställa sig bakom det som anförs i reservationen och tillkännage detta för regeringen. Ny lag om informationssäkerhet för samhällsviktiga och digitala tjänster, punkt 1 (M, C, L, KD) (L), (M), (M), (C), (M) och (KD) anför: Vid regeringens information till utskottet angående ansvarsfördelningen inom statsförvaltningen i fråga om informations- och cybersäkerhetsfrågor framkom det att regeringen överväger olika alternativ för att stärka den nationella samordningen. Arbetet med informations- och cybersäkerhet har kritiserats av bl.a. . Det handlar om långsamhet vid implementeringen av befintliga regler och oklara ansvarsförhållanden. Med NIS-direktivets implementering tillkommer en rad nya myndigheter som får tillsynsuppgifter på området. Alliansen vill därför understryka vikten av att regeringen snabbt får en effektiv, nationell samordning på plats inom informations- och cybersäkerhetsområdet. Förteckning över behandlade förslag Proposition 2017/18:205 Informationssäkerhet för samhällsviktiga och digitala tjänster: 1.Riksdagen antar regeringens förslag till lag om informationssäkerhet för samhällsviktiga och digitala tjänster. 2.Riksdagen antar regeringens förslag till lag om ändring i lagen (2018:000) om informationssäkerhet för samhällsviktiga och digitala tjänster. 2017/18:4139 av m.fl. (KD): 1.Riksdagen ställer sig bakom det som anförs i motionen om att inrätta en svensk cybersäkerhetsmyndighet och tillkännager detta för regeringen. 2.Riksdagen ställer sig bakom det som anförs i motionen om att ge denna myndighet tillsynsansvar i frågor som gäller cyber- och informationssäkerhet och tillkännager detta för regeringen. 3.Riksdagen ställer sig bakom det som anförs i motionen om att ge denna myndighet ett ansvar att ta fram de föreskrifter som ska styra svenskt cyber- och informationssäkerhetsarbete och tillkännager detta för regeringen. 4.Riksdagen ställer sig bakom det som anförs i motionen om att ge denna myndighet ett operativt ansvar för att implementera dessa föreskrifter och tillkännager detta för regeringen. 2017/18:4141 av m.fl. (-): 1.Riksdagen ställer sig bakom det som anförs i motionen om att staten genom delar av totalförsvaret bör tillhandahålla it-standardplattformar och en sammanhållen serviceorganisation för myndigheter med kritiska it-system och tillkännager detta för regeringen. 2.Riksdagen ställer sig bakom det som anförs i motionen om att utreda möjligheterna att använda svensk mikrosatellitteknik för att bygga säkra myndighetsnätverk och tillkännager detta för regeringen. 3.Riksdagen ställer sig bakom det som anförs i motionen om att säkerställa att säkerhetsklassad information av betydelse för svensk säkerhet inte per automatik kommer EU:s institutioner till handa och tillkännager detta för regeringen. 1 Förslag till lag om informationssäkerhet för samhällsviktiga och digitala tjänster 2 Förslag till lag om ändring i lagen (2018:000) om informationssäkerhet för samhällsviktiga och digitala tjänster diskuterar vi försvarsutskottets betänkande som handlar om informationssäkerhet för samhällsviktiga och digitala tjänster. Jag vill inledningsvis yrka bifall till reservation nr 1. Det här är frågor som blir alltmer aktuella. FRA har visat att det här är någonting som ökar, och man har visat siffror på att det görs 10 000 cyberattacker av utländsk makt mot . Det är ett billigt sätt, tyvärr, att kunna få på fall. Därför är det viktigt att vi stärker cybersäkerheten. Att det här hotet mot den svenska cybersäkerheten finns är välbekant. Attackerna kan begås av kriminella, terrorister eller stater med en fientlig inställning mot . NIS-direktivet, som det här betänkandet handlar om, innebär att viktiga steg har tagits på EU-nivå för att stärka cybersäkerheten. Jag delar regeringens uppfattning om att en ny lag krävs för att adekvata säkerhetsåtgärder ska kunna vidtas. Jag menar dock att regeringens förslag också innebär en fragmentering av det svenska arbetet med cybersäkerheten och att det minskar vår förmåga att skydda oss mot de aktuella hoten. Cybersäkerhet är en expertkunskap, och den kunskapen behöver samlas på en plats. Jag anser därför att en svensk cybersäkerhetsmyndighet behöver inrättas och att myndigheten bör ges tillsynsansvar i frågor som gäller cyber- och informationssäkerhet, att myndigheten bör ges ett ansvar för att ta fram de föreskrifter som ska styra svenskt cyber- och informationssäkerhetsarbete och att myndigheten bör ges ett operativt ansvar för att implementera dessa föreskrifter. Det vi har sett än så länge är att de cyberattacker som har gjorts mot på ett sätt har varit ganska skonsamma. Jag tror tyvärr att vi inte alltför långt in kommer att kunna se betydligt större cyberattacker. Vad är det då för saker och ting som skulle hända? Här i skulle till exempel kollektivtrafiken kunna drabbas av stillastående en hel dag genom att spärrar, biljettsystem eller signalsystem angrips av ett kidnappningsvirus. Att betala med bankkort i butiker kan vara omöjligt på grund av attacker på betalningsinfrastrukturen. Elförsörjningen skulle temporärt kunna slås ut till industrier och hushåll. Det är precis vad som har hänt i i och med ryska cyberattacker. Hälso- och sjukvård kan förhindras att utföras på grund av cyberangrepp. Det har vi sett i där jag kommer från. Datorer har låsts, vilket har hindrat operationer från att genomföras. Främmande makt kan genom angrepp ta del av information som flödar i it- och kommunikationssystem, vilket kraftigt försämrar utsikt att försvara oss i händelse av krig. Det här är någonting som har påvisat. Det är alldeles för lätt för utländsk makt eller grupper att ta information från svenska myndigheter. Det här behöver vi rätta till. Därför föreslår vi att ett helhetsgrepp om cybersäkerhetsfrågan tas för den civila sidan av samhället genom att vi skapar en cybersäkerhetsmyndighet. Det har gjorts i andra länder. Här är det nu sju myndigheter som delar på ansvaret, och med NIS-direktivet kommer det att bli ytterligare sex myndigheter. Det blir alldeles för många, och det blir alldeles för lätt att saker ramlar mellan stolarna. I var det förut två myndigheter som hade ansvaret, men man sa att det var för mycket och att det måste vara en myndighet som tar huvudansvaret. Så tycker vi alltså också, och det är därför som vi har den här reservationen. Vi menar att det här skulle stärka cybersäkerheten. För tids vinnande yrkar jag bifall endast till reservation 2. It-säkerhet har varit ett buzzword i försvars- och säkerhetsdebatten. Tusentals gånger har begreppet förts på tal, men bara sällan har något konkret förts fram. Icke förty är it-säkerheten viktig på riktigt. It-säkerheten är viktig för totalförsvarets funktion. Även om vårt land angrips redan i fredstid med it-baserat sabotage och stölder är det ändå totalförsvarets funktion som måste vara dimensionerande. Vi måste ta tag i detta och lyfta fram bättre och säkrare infrastruktur för en större it-säkerhet. Eftersom är ett militärt alliansfritt land är det nationella åtgärder som måste vara i fokus. I detta betänkande ska EU:s direktiv, , implementeras i svensk lag. Vi vet alla att EU inte bara är ett samarbete utan är överstatligt och att mycket av beslutsrätten är överförd från medlemsstaterna. Vi har helt enkelt att införa NIS-direktivet. Det är först när EU kraschar som vi får tillbaka vår beslutskraft igen. Då blir samarbeten av detta slag mellanstatliga. Jag anser att som land kan vara mer ambitiöst än vad NIS-direktivet är på flera områden. Informationssäkerhet är ett svenskt nationellt säkerhetsintresse som dessutom är nära förbundet med utvecklandet av ett totalförsvar. använder myndigheter olika it-plattformar och serviceorganisationer. Det gör att i ett totalförsvarsperspektiv saknar möjligheten att säkerställa en robust funktion hos myndigheternas datanätverk. Jag anser att staten, genom delar av totalförsvaret, bör tillhandahålla it-standardplattformar och en sammanhållen serviceorganisation för myndigheter med kritiska it-system. Och en myndighet som bygger it-plattformar och servicemallar åt de svenska myndigheterna bör ha anställda som är säkerhetsklassade svenska medborgare. Myndigheten bör inte utveckla teknik - det gör marknaden - men tekniken bör klassas och anpassas. Ett stort problem med it-säkerheten är att vi är så beroende av World . Internet som vi känner det kommer aldrig att bli säkert. Tekniken är en garant för att så aldrig kommer att bli fallet. Experterna säger dock att det är möjligt att bygga nya internet som är helt säkra. Då måste grundtekniken vara annorlunda. Eftersom äger särskild tillverkningskompetens för mikrosatelliter bör det utredas om sådana skulle kunna vara kärnan i ett svenskt säkert myndighetsnätverk. Kostnadsdelning bör kunna sökas med de nordiska grannländerna. It-säkerhet är ett svenskt nationellt säkerhetsintresse som dessutom är nära förbundet med utvecklandet av ett totalförsvar. Som ett militärt alliansfritt land bör vi inte okritiskt tillhandahålla vår säkerhetsklassade information till EU. Jag anser därför att det bör säkerställas att säkerhetsklassad information av betydelse för svensk säkerhet inte automatiskt ska komma EU:s institutioner till handa. Många medlemsländer betraktar EU:s säkerhetsinstitutioner som osäkra och oseriösa. Länder byter och handlar med underrättelser. Det är ofrånkomligt. Men det bör ske med återhållsamhet och bara med trovärdiga motparter. Om vi ger EU underrättelser, vilka får sedan ta del av dem? Låt behålla kontrollen över vår informationssäkerhet! Och låt oss bygga ut vår informationssäkerhet, främst till gagn för totalförsvaret! Vi kan lida med NIS-direktivet. Det handlar snarare om vad mer som bör göras för att ta de nödvändiga stegen framåt. Innan jag inleder vill jag göra ett påpekande med anledning av det sa i talarstolen. Det är på det sättet att information som omfattas av den svenska säkerhetsskyddslagen inte inbegrips i den informationsplikt som gäller enligt NIS-direktivet. Uppgifter som rör rikets säkerhet kommer alltså inte att lämnas ut till andra länder utan att det har gjorts en laglig prövning i enskilt fall. Till skillnad från tycker jag som liberal att det är bra att EU har engagerat sig för informationssäkerheten. var det EU som såg till att fick en incidentrapportering som gäller för de statliga myndigheterna. Och det vi har på bordet här är det så kallade NIS-direktivet, fru talman. Med det tas ytterligare steg när det gäller att stärka medlemsländernas cyber- och informationssäkerhet inom unionen. Precis som var inne på står de här frågorna högt på dagordningen . Inte minst det haveri i Transportstyrelsen som vi upplevde har medverkat till detta. Att det under pågick läckage av uppgifter som var belagda med sekretess, trots att flera ansvariga ministrar hade full kännedom om saken, aktualiserar frågor om krismedvetenhet, säkerhetsmedvetenhet och inte minst samordning. I beredningen av det här ärendet ställde försvarsutskottet en fråga till inrikesministerns statssekreterare, . Frågan löd: Hur ser ansvarsfördelningen ut inom svensk statsförvaltning när det gäller cyber- och informationssäkerhet? Det räckte inte med en Powerpoint för att åskådliggöra detta. Det är en lång rad myndigheter som har tillsynsplikt och föreskriftsrätt inom området. Man ska också villigt erkänna att det har hänt en del . Det är Försvarsmakten, för de militära myndigheterna, och , för de civila myndigheterna, som har möjlighet att stoppa så kallad outsourcing. Med det nya NIS-direktivet får vi också sju nya tillsynsmyndigheter som ska vara ansvariga för en sektor vardera i det svenska samhällslivet. Det är väl lite av en ironi att en av dessa tillsynsmyndigheter faktiskt är Transportstyrelsen, fru talman. Vid sidan av tillsynsstrukturen har varje myndighet naturligtvis själv ett ansvar för sin informations- och cybersäkerhet. Statssekreterarens redogörelse berörde också ett organ som kallas Samfi, Samarbetsgruppen för informationssäkerhet. Där ingår en lång rad centrala myndigheter på området. Det är FRA, Säkerhetspolisen, , och naturligtvis MSB. Den här gruppen har arbetat nu med att ta fram hjälp, stöd och enkla åtgärder för myndigheter att följa när det gäller säkerheten. Statssekreteraren berättade också att den här samarbetsgruppen nu ska bli ett myndighetsråd och få en fastare kontur och större befogenheter på nationell nivå. Man ska också få ett kansli på MSB. Alliansen har i ett särskilt yttrande understrukit vikten av att regeringen skyndar på arbetet med att ge Samfi bättre muskler och större befogenheter. Det finns ingen anledning att vänta med en bättre samordning på just den nationella nivån, fru talman. vill ha en cybersäkerhetsmyndighet. Det låter som ett kraftfullt förslag. Tro mig, fru talman - om man ska ha en myndighet som är ensam ansvarig för all cybersäkerhet i offentlig förvaltning kommer det att bli en mycket omfattande myndighet. Och så stora myndigheter brukar visa sig vara ganska trögrörliga. Vi har ansvarsprincipen som grund i den svenska krishanteringen. Min bedömning är att man inte kan centralisera ansvaret så långt som föreslår. Jag brukar inte säga det; men jag är inte särskilt attraherad av just den idén. Det här är åtminstone för mig den sista debatten med försvarsutskottet den här mandatperioden. Jag vill därför tacka samtliga ledamöter för ett gott samarbete. Jag vill också yrka bifall till utskottets förslag i betänkandet. Informationssäkerhet är inget som det ankommer på en ensam myndighet att ta ansvar för. Kanske fanns när så var fallet, när it fortfarande var en nymodighet och ett smalt intresse och hade en begränsad användarkrets. är läget som bekant ett annat, ett helt annat. Cyberattacker är en realitet som drabbar i stort sett alla samhällets sektorer. Spionage bedrivs i stor utsträckning genom elektronisk inhämtning, och dagens och alldeles säkert morgondagens krig och konflikter kommer på olika sätt att utspela sig i cybermiljön. Mot den bakgrunden måste man säga att NIS-direktivet är både välkommet och viktigt. Direktivet, eller dess svenska uttolkning, lagen om informationssäkerhet för samhällsviktiga och digitala tjänster, syftar till att uppnå en hög säkerhetsnivå i nätverk och informationssystem för digitala tjänster samt samhällsviktiga tjänster. Med den här lagstiftningen på plats har vi ett ramverk som innebär att både offentliga och privata aktörer måste skärpa sitt informationssäkerhetsarbete. Lagförslaget ligger väl i linje med både den försvarspolitiska inriktning, som antagits här i riksdag, och Nationell informations- och cybersäkerhetsstrategi, som antogs av regeringen . NIS-direktivet är en produkt från Europeiska unionen. EU är i sig en integrerad marknadsplats där varor, tjänster och människor ska kunna röra sig fritt över gränserna. Det övergripande syftet med direktivet är att bygga upp tillit och förtroende mellan medlemsländer och mellan olika aktörer genom att uppnå en hög säkerhetsnivå. Från ett nationellt perspektiv innebär denna lagstiftning att ett bredare grepp tas om it-säkerhetsfrågorna i och med att specifika sektorer pekas ut: det handlar om energi, transport, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, leverans och distribution av dricksvatten samt digital infrastruktur. Samtliga av dessa områden känner vi igen från det pågående arbetet med det civila försvaret. Det handlar alltså om grundläggande funktioner för att det moderna samhället ska fungera. Konkret innebär den nya lagstiftningen att leverantörer av samhällsviktiga och digitala tjänster ska vidta åtgärder för att uppnå ett tillräckligt säkerhetsskydd i sina system. Vad är då samhällsviktiga tjänster? Utgångspunkten är att det handlar om leverantörer som tillhandahåller tjänster som är beroende av nätverk och informationssystem och att en incident skulle medföra en betydande störning vid tillhandahållandet av tjänsten. Om man tycker att det där låter krångligt, fru talman, finns en det upprättad förteckning över vilka verksamheter som omfattas och anses tillhandahålla just samhällsviktiga tjänster. Bland annat ska dessa leverantörer göra en riskanalys som ska ligga till grund för val av säkerhetsåtgärder. I analysen ska det ingå en åtgärdsplan. Åtgärdsplanen ska analyseras och uppdateras . Leverantörerna ska också, i likhet med den obligatoriska it-incidentrapporteringen som gäller för samtliga statliga myndigheter, rapportera incidenter som påverkar kontinuiteten i tjänsterna. Det ska inte stickas under stol med att många företag och organisationer just nu upplever en tung period med nya regleringar rörande deras förmåga att skydda information och skydda kunders integritet. infördes nya personuppgiftsregler, mer känt som GDPR, och kommer alltså NIS-direktivet. Det finns emellertid goda och välmotiverade skäl bakom båda regleringarna. Vi måste dimensionera vår mot motståndskraft i förhållande till den hotbild som vi möter. Avslutningsvis: Den som har följt den försvarspolitiska debatten vet att informations- och cybersäkerhet har fått en alltmer framträdande roll. Exempel från vår omvärld, men också från , visar cybervapnets potential att skada och rent av tvinga ned samhällen på knä. Vi har också sett hur slarv och handhavandefel fått väldigt negativa konsekvenser. Och lika självklart som det är att inkludera det privata näringslivet i det fortsatta arbetet med totalförsvarsplanering, lika givet är det att ställa tydliga krav på leverantörer av samhällsviktiga tjänster att hålla en hög säkerhetsnivå i sina it-system. Sårbarheten i våra it-system och när det gäller digitala tjänster är uppenbara. Man skulle kunna använda till att beskriva det, men jag ska inte göra det. Det här är en försvarsfråga som försvarsutskottet har hand om, men det rör också i allra högsta grad det civila samhället i fredstid. Åtminstone handlar det om de åtgärder som borde vidtas. Utvecklingen av elektronisk informationsöverföring går så snabbt att det är svårt att hänga med. Den rapportering som Myndigheten för samhällsskydd och beredskap får in visar i sin senaste version att knappt en tredjedel av de rapportskyldiga myndigheterna har lämnat in rapporter om en eller flera incidenter. Man kan tycka att det är bra i tron att det verkligen inte händer så mycket över huvud taget. måste man ifrågasätta om detta verkligen stämmer med verkligheten med tanke på att FRA uppskattar att svenska mål utsätts för 10 000 aktiviteter bara från utlandet. Så det stämmer inte riktigt. Det visar att vanan eller förmågan hos myndigheterna att rapportera problem är fortfarande låg. Det är fortfarande otydligt för myndigheterna vad som ska rapporteras in. Det finns egentligen ingen definition av vad som menas med allvarliga incidenter. Det får var och en lista ut själv, och då får man det man får. Men de som gjort det och anmält anger att i av fallen har det lett till begränsade störningar i verksamheten, säger att effekten är stora störningar. Det är väl i allmänhet vanligt folk och verksamheter som drabbas av detta. Men det är alltså otydligt hur omfattande problemen är. Vad handlar det om? Ja, det är kryptotrojaner, vd-bedrägerier och överbelastningsattacker. Vd-bedrägerier innebär att man utger sig för att vara vd och får folk att göra saker. Vem är avsändaren? Ja, det kan också variera. Vi har de utländska kontakterna, men vi har också en hel del inhemsk verksamhet. Dessutom finns det rätt många pigga ungdomar. Det som man kan konstatera och det som är viktigt i det här sammanhanget är att med ett bättre säkerhetsarbete skulle vi kunna stoppa eller i vart fall minska problemen radikalt. EU har genom NIS-direktivet angett vad som måste vara en mininivå av nationell kapacitet, och det är väl bra att man gör det. Det ska finnas en nationell strategi för behöriga myndigheter. Det ska också finnas en organisation för hantering av it-incidenter och en kontaktpunkt för gränsöverskridande samarbete. Genom att inarbeta detta i svensk lag kommer det att gälla också i , vilket dagens ärende handlar om. Vilka sektorer som det handlar om har vi ju redan hört här i debatten. Det kan konstateras att en del av det som NIS-direktivet kräver har kommit på plats i . Med dagens ärende tar vi ett ytterligare viktigt steg. Men beslut i kammaren är en sak. Det slår mig att vi väldigt sällan tänker på det. Vad vi beslutar är inte verkligheten. Det är först när det är genomfört och i praktiken fungerar som vi har nått resultat. Här finns det mycket att göra. Dessa beslut ska genomföras, vårdas och förvaltas . Det är långt ifrån tillräckligt. På alla nivåer krävs det ett intresse och en vilja att säkerställa att it-baserade verksamheter är att lita på. deltog jag i cyberförsvarsdagen, en årligt återkommande dag med föreläsningar och diskussioner om it och säkerhet. I en paneldiskussion deltog en medarbetare från FRA som arbetar med att granska incidenter. Han arbetar också med säkerheten i it-system hos myndigheter och företag. Hans budskap var egentligen ganska enkelt: Om man följer råden från oss och gjorde som man ska göra skulle riskerna vara mindre. Men vi har inte ens infört det som man sa , konstaterade han. I ett annat samtal träffade jag också andra, och ett starkt intryck där var att frågor om it-säkerhet ofta lämnas till myndighetens säkerhetsavdelning - punkt. Där finns det ofta hög expertkunskap, och det är bra i sig. Men när enheterna och avdelningarna lämnar sina äskanden eller propåer hanteras de på ledningsnivå som alla andra frågor från alla andra delar av verksamheten. En liten enhet med abstrakta och tekniska frågor får sällan det öra från cheferna som skulle behövas. Därmed händer det väldigt lite. Vi har påpekat brister år , sa man till mig. Vi försöker att framföra vad som borde göras, men det händer ingenting. It-frågor och it-säkerhetsfrågor är ofta tekniska och abstrakta. Många av oss förstår mycket litet av hur det tekniskt fungerar. Vi överlåter åt tekniker att sköta saken och det är förmodligen bra på sitt sätt. Men vi lyssnar för dåligt på deras råd eller också förstår vi dem inte. Som samhället och därmed olika verksamheter har utvecklats duger det inte. Frågorna om it-systemen och säkerheten måste upp på ledningsnivå. Skadorna och brister som kan uppstå leder till kostnader och problem som är alldeles för stora. Här innebär EU-direktivet en del positiva saker. Incidentrapportering har vi satt på plats. Det är bra för information samlas då in, struktureras och blir därmed intressant och gripbart för chefer. Krav på gränsöverskridande samarbete är av naturen sådant som ofta är intressant för ledningen. Men, som jag sade inledningsvis, vi måste göra mer. Kritiken mot regeringens hantering av Transportstyrelsens outsourcing av känslig information borde få alla väckarklockor att ringa. Vi moderater anser att det behövs en krisledningsfunktion i Statsrådsberedningen. Det är obegripligt varför statsministern flyttade ut den som fanns i stället för att skapa tydliga strukturer för att larma. Effekterna har vi ju sett, och de är Som framgår av betänkandet har allianspartierna i ett särskilt yttrande noterat att regeringen "överväger olika alternativ för att stärka den nationella samordningen". Man får glädjas åt det lilla, kan man säga.