· H501FöU4 · 2018-01-24 09:01:15 — Det kommer att leda till att de skattepengar och resurser som läggs på säkerheten verkligen kommer till nytta. : Det råder också en stor kompetensbrist på området. Detta medför att inte kan försörja sig med kompetens på området. Det finns därför inga möjligheter att försörja ett tiotal myndigheter i som alla ska ha olika roller med kompetent personal. En central cybersäkerhetsmyndighet skulle på ett avgörande sätt bidra till ett robustare samhälle med större motståndskraft mot cyberangrepp. Det är därför vår uppfattning att en sådan myndighet bör tillskapas. har vi här i kammaren haft anledning att vid ett flertal tillfällen diskutera och debattera områdena it-säkerhet och cyberförsvar. En reflektion är att för varje gång som vi har diskuterat detta har det känts ännu mer angeläget och ännu mer påkallat. Anledningen är förstås händelser i vår omvärld, liksom här i , som har blottat sårbarheter och brister. Ingen kan ifrågasätta att cyberhotet är på riktigt och att it-säkerhet är något som måste prioriteras. Även om riskerna för en i traditionell mening väpnad attack mot bedöms som små är riskerna för att utsättas för cyberattacker desto större. Det är, fru talman, snarare en realitet och en del i vardagen för företag, organisationer, myndigheter och enskilda. Stater, statsunderstödda aktörer, skojare, sabotörer - bakom angreppen och hoten finns olika aktörer med olika agendor. Men oavsett varifrån angriparen kommer är det uppenbart att hoten är på riktigt och måste mötas med allvar och beslutsamhet. Det finns anledning för många att vara självkritiska när det gäller hur arbetet med it-säkerhet har bedrivits. En myndighetsföreträdare som besökte oss i försvarsutskottet för sedan uttryckte det som att har upparbetat en skuld på det här området. Det innebär att vi har ett digert arbete framför oss med att stärka säkerheten, förbättra samverkan och, inte minst, höja medvetenheten om vad som ligger i begreppet it-säkerhet: från så till synes banala saker som att välja ett svårare lösenord än namnet på sina barn till ledning och styrning, att säkerställa starka skydd kring det mest skyddsvärda och att bygga upp ett aktivt cyberförsvar som kan hantera och bemöta fientliga handlingar i cybermiljön. STYLEREF Kantrubrik \* MERGEFORMAT Nationell strategi för samhällets informations- och cybersäkerhet Det behöver knappast påpekas att informations- och cybersäkerhet är ett komplext och mångfasetterat område där både människa och maskin måste fungera tillsammans. Det är mot denna bakgrund man ska se regeringens nationella strategi för samhällets informations- och cybersäkerhet. Här har vi ett dokument som på ett övergripande plan pekar ut ett antal prioriterade områden där vi som land behöver fokusera våra insatser. Strategin ska alltså inte läsas som en att-göra-lista där alla åtgärder beskrivs i detalj utan ska snarare peka ut viktiga områden och ange en färdriktning. Strategin inskärper att informations- och cybersäkerhet är ett område som angår många, inte bara några få. Strategin pekar på behovet av att systematiskt kartlägga informationssäkerheten i samhället, och regeringen konstaterar också att det krävs ett mer enhetligt och samordnat arbetssätt. Flera av de områden som berörs i strategin tangerar den kritik som framför allt har lyft fram i sina granskningsrapporter om it-säkerheten inom statsförvaltningen. En återkommande synpunkt har varit att det har saknats ett systematiskt säkerhetsarbete och att man ute på myndigheter inte har tagit det här på tillräckligt stort allvar. Kanske har man inte ens alla gånger förstått vad det är man har i informationsväg som är särskilt viktigt att skydda. Men udden har från också riktats mot den politiska nivån, för att denna inte utövar en effektiv styrning. Detta dokument är inte en detaljerad att-göra-lista på it-säkerhetsområdet. Emellertid händer det tämligen mycket just , och jag skulle vilja lyfta fram några åtgärder som har vidtagits eller som är på väg att vidtas. Det finns en obligatorisk it-incidentrapportering. vår är det obligatoriskt för myndigheter att rapportera allvarliga it-incidenter. Därmed har vi nu äntligen ett verktyg som ger oss en bättre och mer samlad bild av de hot och attacker som vi utsätts för. Det är förstås helt nödvändigt för att vi ska kunna förebygga framtida angrepp och åtgärda svagheter. Införandet av NIS-direktivet innebär bland annat att kretsen av aktörer som är skyldiga att hålla en hög säkerhetsnivå i sina nätverk utvidgas till att omfatta hela sektorer, såsom energi, transport och hälso- och sjukvård. Regeringen skjuter nu till ytterligare resurser till Myndigheten för samhällsskydd och beredskap för att kunna stödja aktörer i fråga om att förebygga och hantera it-incidenter. MSB kommer också, i samarbete med länsstyrelserna, att inrikta sig på att förbättra kommunernas informationssäkerhet. Det är för övrigt ett område som är mycket viktigt. Om vi ska kunna involvera den lokala nivån i uppbyggnaden av det civila försvaret måste nämligen it-säkerheten fungera. MSB får vidare tillsammans med i uppdrag att genomföra en nationell kampanj om informations- och cybersäkerhet, som ska innehålla konkreta tips på vad man kan göra för att skydda sig mot intrång och id-kapningar. , , som är och spjutspets i fråga om att förebygga och förhindra it-hot, får en förstärkt ekonomi. Mot bakgrund av debaclet vid Transportstyrelsen har regeringen beslutat att statliga myndigheter ska vara skyldiga att samråda med Säkerhetspolisen och Försvarsmakten inför utkontraktering, så kallad outsourcing, av säkerhetskänslig verksamhet. Och om kraven på säkerhetsskydd inte bedöms vara tillgodosedda får Säkerhetspolisen eller Försvarsmakten besluta att den aktuella myndigheten inte får genomföra upphandlingen. STYLEREF Kantrubrik \* MERGEFORMAT Nationell strategi för samhällets informations- och cybersäkerhet Mot bakgrund av det som hände i Transportstyrelsen vidtas också åtgärder för en säkrare statlig drift genom att aktörer som bedriver säkerhetskänslig verksamhet har möjlighet att samverka och förlägga sin it-drift i säkra gemensamma fysiska utrymmen. Det pågår alltså många processer för att stärka samhällets informations- och cybersäkerhet. Vi behöver hålla ett högt tempo i detta arbete och försäkra oss om att vi gör rätt saker och samordnar arbetet. Det finns därför anledning för många att läsa denna nationella strategi och kanske rent av behålla ett exemplar i bakfickan. Det är tydligt att det finns ett stort behov av att utveckla samhällets informations- och cybersäkerhet. Vi har bevittnat hur olika länder i och även har utsatts för påverkanskampanjer, informationskrigföring, hackerattacker och terrorism. har flera arméchefer och högt uppsatta militärer i olika länder varnat för påverkanskampanjer och informationskrigföring från främmande makt. Parallellt med att det allmänna säkerhetspolitiska läget i försämras - det har detta utskott ofta diskuterat här i kammaren - ställs det ökade krav på samhällets förmåga när det gäller säkerhet och krisberedskap. Ytterst är det nödvändigt att hela samhället har en inneboende robusthet, uthållighet, motståndskraft och förmåga att hantera komplexa händelser och asymmetriska hot. I takt med att Facebook, Twitter och andra sociala medier i allt högre utsträckning ersätter de traditionella mediernas roll när det gäller att förmedla nyheter har möjligheten att sprida falska informationskampanjer till stora grupper kraftigt ökat. Informations- och medielogiken håller på att förändras i sina grundvalar som är i färd med att växla om till den fjärde industriella revolutionen - det är internets, robotikens och digitaliseringens tidsålder. Omställningen innebär oanade möjligheter som vi ser hur bristen på robusthet i systemen och otillräcklig kunskap hos individer, organisationer, företag och myndigheter skapar en sårbarhet som lätt kan missbrukas av illvilliga krafter. Vi ser redan nu hur en sofistikerad teknikutveckling används till allt från att försöka påverka den svenska politiska debatten till att komma åt känslig information från Försvarsmakten - eller andra institutioner och företag - eller att bevaka en inhemsk politisk opposition som tagit sin tillflykt till . Mot bakgrund av allt detta har regeringen redan vidtagit ett antal åtgärder. har förtjänstfullt redogjort för några av dem. Jag vill särskilt betona att vi har skjutit till pengar såväl till MSB, och dess arbete för att möta informationskampanjer, som till andra myndigheter som jobbar med att stärka den tekniska säkerheten hos våra myndigheter. Regeringen har också aviserat att man kommer att inrätta en ny myndighet för psykologiskt försvar, vilket jag tycker är positivt. Utöver det lägger vi fram den nya strategin för att utveckla samhällets informations- och cybersäkerhet. STYLEREF Kantrubrik \* MERGEFORMAT Nationell strategi för samhällets informations- och cybersäkerhet En viktig del i detta arbete handlar om att stärka det psykologiska försvaret. I av desinformationskampanjer och andra yttre påverkansåtgärder som syftar till att skapa misstro och splittring är det viktigt att främja en psykologisk resiliens och värna människors tillit till varandra och till samhällets institutioner. Presidentvalet i och folkomröstningen i visade exempel på hur oförmåga och bristande beredskap bland politiska institutioner när det gäller att möta påverkanskampanjer och cyberattacker kan bidra till att underminera förtroendet för politiska företrädare och i förlängningen urholka stödet för demokratin. Det är viktigt att lyfta fram att digitaliseringen medför stora förbättringar i vårt samhälle. ska fortsätta att ha en ledande roll när det gäller den digitala industriella utvecklingen och ta till vara digitaliseringens stora möjligheter att effektivisera och vitalisera ekonomin och samhället i stort samt se till att tekniken bidrar till innovationer och smarta lösningar i vardagen. För att man ska kunna säkerställa digital kompetens inom det offentliga, bland företag och hos individer och kunna hantera de säkerhetsrisker som en ökad exponering medför behövs det en strategi som innefattar stora delar av samhället. Därför är det mycket positivt att och Socialdemokraterna i regeringen har tagit fram en nationell strategi som omfattar såväl myndigheter, kommuner, regioner och organisationer som privatpersoner. vill också se ett stärkt samarbete med andra länder inom detta område, inte minst med våra nordiska grannar och inom EU. Den senaste tidens utveckling har med all tydlighet aktualiserat behovet av att stärka också det icke-traditionella försvaret, anpassat efter dagens komplexa säkerhetsläge. Vi får aldrig ta vårt öppna och demokratiska samhälle med åsiktsfrihet och fria medier för givet. Därför är jag stolt över den nationella strategi för samhällets informations- och cybersäkerhet som är med och tar fram i regeringen. Vi lever i ett alltmer digitaliserat samhälle, och har vi människor varit så beroende av teknik. Inom en inte alltför lång framtid kommer alla funktioner i vårt samhälle att vara mer eller mindre digitaliserade. Då gäller det att vi kan lita på de system som vi har. Digitaliseringen har oftast lett till att vi har fått mer effektiva och välfungerande tjänster och verksamheter, men det har även gjort oss mer sårbara. Det har också skett en tydlig ökning av incidenter relaterade till internet, såsom dataintrång, bedrägerier och spridning av skadlig kod. Vem som ligger bakom detta kan variera, men det kan till exempel handla om privatpersoner, organiserad brottslighet, terrorister och andra statsmakter. En bristande informationssäkerhet riskerar att få förödande konsekvenser, som kan leda till stora problem för till exempel de finansiella systemen, hälso- och sjukvården, livsmedelsförsörjningen och den nationella säkerheten. STYLEREF Kantrubrik \* MERGEFORMAT Nationell strategi för samhällets informations- och cybersäkerhet När hanteringen av viktig information brister riskerar det också att leda till ett försämrat förtroende för etablerade samhällsstrukturer. Vi såg ett tydligt exempel på detta i samband med händelserna på Transportstyrelsen då det avslöjades att skyddsvärda uppgifter hanterats felaktigt inom myndigheten. Bakgrunden och orsaken var beslutet att lägga ut, privatisera eller outsourca it-verksamheten på det privata företaget . Möjligheten till outsourcing inleddes redan av den tidigare borgerliga regeringen och gör att den också bär ett visst ansvar. Självklart har dock den nuvarande regeringen det yttersta ansvaret för den allvarliga situationen på Transportstyrelsen. När kortsiktig vinst blir en drivkraft för att upprätthålla fungerande itsystem sätts långsiktigheten på undantag, och helheten går förlorad. Outsourcing av skyddsvärda uppgifter bör helt undvikas. delar utskottets oro över den granskning av nio myndigheter som tidigare genomförde då man kom fram till att arbetet med informationssäkerhet på de granskade myndigheterna "ligger på en nivå som är märkbart under vad som är tillräckligt" och, att döma av tidigare rapporter, inte ser ut att ha utvecklats i tillräcklig grad . Även Säkerhetspolisen har kommit med viss kritik när det gäller hanteringen av it-säkerhet hos statliga myndigheter. har motionerat om att regeringen bör återkomma med en strategi för att stärka statens informations- och cybersäkerhet. har regeringen tagit fram en sådan strategi, vilket vi välkomnar. Huvudsyftena med strategin är att bidra till att skapa långsiktiga förutsättningar för samhällets aktörer att arbeta effektivt med informations- och cybersäkerhet samt att höja medvetenheten och kunskapen i hela samhället utifrån vissa prioriterade områden. gäller det att sätta igång på allvar och se till att strategin genomförs utan fördröjning. Vi kommer att noga följa detta arbete på nära håll och återkomma om det blir nödvändigt. Det är också viktigt att en tidsplan utarbetas och i sammanhanget överväga sanktionsmöjligheter för de myndigheter som inte uppfyller godtagbara krav på informations- och cybersäkerhet. Till att börja med måste varje myndighet stärka sin egen säkerhet och stärka samarbete och samordning mellan de statliga myndigheterna. Jag vill därför också i sammanhanget påminna om förslaget från Statens servicecenters rapport som presenterades 2017 om att inrätta en gemensam statlig molntjänst för myndigheternas it-drift. Enligt rapporten skulle myndigheterna kunna spara av dagens it-kostnader med en sådan molnlösning, och systemet skulle bli väsentligt säkrare än . Jag är alldeles ny på försvarsområdet eller i varje fall i försvarsutskottet, och frågorna som vi diskuterar är naturligtvis inte nya. Men jag är i det närmaste chockad när jag läser betänkandet och den strategi som har lagts fram. Den är allmänt hållen och tämligen naiv. STYLEREF Kantrubrik \* MERGEFORMAT Nationell strategi för samhällets informations- och cybersäkerhet Digitaliseringen går in i vår vardag. Den finns överallt. Vi läste att skärmarna hade slocknat på ledningscentralen i , och då stannar all trafik i en tredjedel av . Det är så det ser ut. Det är otroligt allvarliga brister när det gäller säkerhet på det här området, och vi är väldigt bekymrade över att regeringen först senarelägger och blir försenad med den här strategin och sedan kommer med allmängods. Jag har ägnat hösten åt att granska Transportstyrelsens it-haveri, och till vill jag säga att problemet ju inte är outsourcingen i sig utan att man har brutit mot de regler och lagar som gäller på området, vilket är väldigt illa. Man måste också ha en genomtänkt hantering när man tar in utomstående kompetens, eftersom det är känsliga uppgifter som kan komma på drift. Det är ju närmast så i många myndigheter, vilket ju finns redovisat i ett antal rapporter, att vi inte bara öppnar dörren för illasinnade, utan vi rullar nästan ut mattan för folk så att de kan kliva in i våra register och system. Så kan vi naturligtvis inte fortsätta framöver. Jag delar uppfattning att vi behöver se över organisationen och ansvarsfördelningen mellan våra myndigheter. Vi behöver en tydligare strategi för hur man följer upp de åtgärder som vidtas, och det behövs mer kreativitet i att hantera de praktiska konsekvenserna av den sårbarhet vi ser . ligger illa till. Vi är långt framme när det gäller digitalisering, och vi är duktiga på det. Men vi har glömt bort att det finns många risker och svårigheter. Jag tycker att listade en del bra åtgärder som regeringen vidtar, och det tycker jag är utmärkt. Men det behövs väldigt mycket mer. Jag tycker också att det är bra det han nämner om att man nu får en rapporteringsskyldighet och att man måste samordna sig vid outsourcing med och Försvarsmakten. Det är sådant som jag tror att en vanlig medborgare utgår ifrån redan gäller. Det finns nog ganska mycket att lyfta fram om man plockar bland stenarna, och vi måste följa upp de konkreta åtgärderna väldigt noggrant. Vi kan inte förlita oss på att myndigheterna genom att läsa den här strategin kommer att ta sig så mycket längre framåt. efterlyste också i sitt anförande någon typ av samordning med riksdagspartierna. Jag tror att vi behöver diskutera det här mycket mer ingående och vara tämligen praktiska. Det här är naturligtvis viktigt ur försvarssynpunkt, men det är också viktigt för att vårt samhälle ska fungera. Vi blir väldigt ställda när tågen ställs in, när bidrag inte kan betalas ut eller när något annat inte fungerar. It är här för att stanna, och vi måste bli mycket mer konkreta. Jag tror att regeringen har en hel del arbete framför sig, för det här duger inte riktigt. Man får dock vara glad över att det ändå kom, annars hade vi väl fått en anmärkning från annat håll eftersom deadline är i vår. Överläggningen var härmed avslutad. (Beslut fattades under § 12.)