prop · H503205 · 2018-04-06 00:00:00 — De flesta av dessa remissinstanser påtalar särskilt behovet av ett starkare skydd för säkerhets- och bevakningsåtgärder i 18 kap. 8 § OSL. Som skäl för att sekretesskyddet bör vara starkare anför bl.a. Datainspektionen, Försvarsmakten, MSB, och att en för svag sekretess kan göra att aktörer väljer att inte incidentrapportera eller att lämna knapphändig information i sina incidentrapporter. Andra remissinstanser, såsom och , pekar på svårigheten att i ett tidigt skede bedöma om uppgifter i incidentrapporter är säkerhetskänsliga och att – för det fall en säkerhetskänslig uppgift röjs – skadan är svår att reparera i efterhand. Det finns också ett antal remissinstanser som anser att befintligt skydd är tillräckligt starkt, bland dem , och Utgivarna. De framhäver i stället behovet av att incidenter och andra sårbarheter offentliggörs, bl.a. för att det finns ett allmänintresse av att it-relaterade hot uppmärksammas och utreds, men också för att främja kunskapsutvecklingen på området och för att skapa incitament till egenkontroll. Sekretessens styrka bestäms i regel med hjälp av s.k. skaderekvisit. Man skiljer mellan raka och omvända skaderekvisit. Samtliga ovan nämnda bestämmelser är, i likhet med flertalet sekretessbestämmelser i , försedda med raka skaderekvisit. Det innebär att utgångspunkten är 2017/18:205 att uppgifterna är offentliga och att sekretess bara gäller om det kan antas att en viss skada uppkommer om uppgiften röjs. innebär normalt att det är uppgifternas karaktär som får avgöra om sekretess gäller eller inte. Om uppgiften är sådan att den genomsnittligt sett måste betraktas som harmlös ska den alltså normalt anses vara Om uppgiften i stället typiskt sett måste betraktas som känslig omfattas den normalt av sekretess. Bestämmelser med omvända skade- rekvisit är utformade med utgångspunkt att sekretess gäller, om det inte står klart att uppgiften kan röjas utan att viss skada uppstår. enligt en bestämmelse kan även vara absolut. Vid absolut sekretess ska uppgifter som omfattas av bestämmelsen hemlighållas oavsett skada. Någon skadeprövning ska alltså inte göras i dessa fall. Den omständigheten att samtliga ovan beskrivna sekretess- bestämmelser är försedda med ett rakt skaderekvisit innebär inte att sekretesskyddet är svagt. Ett rakt skaderekvisit innebär visserligen att en presumtion för offentlighet gäller. Presumtionen för offentlighet bryts emellertid om det kan antas att en sådan skada som anges i sekretess- bestämmelsen uppstår om uppgiften röjs. Uppgiften är då sekretess- belagd och får inte utan särskilt lagstöd lämnas ut eller röjas muntligen. Vad specifikt avser det skydd som det raka skaderekvisitet i 18 kap. 8 § 3 OSL innebär, kan konstateras att en uppgift om vem som har lämnat en incidentrapport i många fall är en upplysning om att ingivarens nätverk och informationssystem är sårbara för attacker. vem som har lämnat in en sådan rapport utgör alltså i sig en uppgift som kan omfattas av sekretessens föremål enligt 18 kap. 8 § 3 OSL, eftersom den lämnar upplysning om att ingivarens säkerhetsåtgärder har brister. många fall kan det antas att leverantörens säkerhetsåtgärder motverkas om det framkommer att dessa har brister. är i sådana situationer uppfyllt, varvid sekretess gäller. instanser påpekar kan det vara svårt att i ett tidigt skede bedöma om uppgifter i incidentrapporter är säkerhetskänsliga. Det är dock en svårig- het som de flesta sekretessprövningar är behäftad med och motiverar inte i sig ett starkare skydd. Det har inte heller framkommit exempel på att 18 kap. 8 § 3 OSL har tillämpats på ett sådant sätt att det i sig motiverar en Det kan även konstateras att regeringen i propositionen Ny dataskyddslag (prop. 2017/18:105) har bedömt att 18 kap. 8 § 3 OSL ger ett tillräckligt skydd för uppgifter som kommer att rapporteras till Datainspektionen vid en personuppgiftsincident, dvs. säkerhetsincident som oavsiktligt påverkar behandlingen av personupp- Enligt regeringens mening tillgodoser konstruktionen med ett rakt skaderekvisit i de relevanta sekretessbestämmelserna allmänhetens be- rättigade intresse av insyn i CSIRT-enhetens och tillsynsmyndighetens verksamhet, eftersom harmlösa uppgifter får lämnas ut. godoser bestämmelserna leverantörers berättigade intresse av diskretion, eftersom uppgifter inte får röjas om det kan antas leda till skada. Mot denna bakgrund anser regeringen att befintliga sekretess- bestämmelser i ger ett väl avvägt skydd. ment om att det finns en risk för att vissa leverantörer kommer att avstå från att rapportera incidenter eller endast lämna knapphändig information föranleder inte någon annan bedömning. Någon förändring av bestäm- melserna i OSL behövs därför inte. Det bör dock framhållas att det är Prop. 2017/18:205 viktigt att det görs en noggrann prövning enligt relevanta sekretess- bestämmelser innan uppgifter lämnas ut. 12.2Behövs ytterligare reglering för att tillgodose NIS-direktivets krav på informationsutbyte med andra medlemsstater och kommissionen? Regeringens bedömning: Befintliga bestämmelser i offentlighets- och sekretesslagen tillgodoser NIS-direktivets krav på utlämnande av uppgifter till andra medlemsstater och till kommissionen. Detsamma gäller för kraven på skydd av uppgifter som mottagits från andra medlemsstater. Utredningens bedömning stämmer överens med regeringens. Remissinstanserna: Ingen remissinstans motsätter sig utredningens Skälen för regeringens bedömning Utlämnande av information till andra medlemsstater och kommissionen I NIS-direktivet finns bestämmelser om samarbete som innebär att information som helt eller delvis omfattas av sekretess kan behöva lämnas ut till andra medlemsstater. Som framgår av avsnitt 11.1 och 11.2 kommer den svenska regleringen som genomför direktivet bl.a. innebära att den nationella kontaktpunkten ska lämna uppgifter om incidenter till den samarbetsgrupp som inrättats genom direktivet och att CSIRT- enheten ska informera andra medlemsstater om vissa incidenter. Vidare ska enligt direktivet lämna uppgifter till kommissionen om genomförandet av direktivet. Av 8 kap. 3 § OSL framgår att en uppgift för vilken sekretess gäller får röjas för en utländsk myndighet eller en mellanfolklig organisation, om den utlämnas i enlighet med en särskild föreskrift i lag eller förordning. EU-direktiv jämställs med lag vid tillämpningen av OSL. Sekretess utgör således inget hinder för informationsutbyte med andra medlemsstater och kommissionen enligt NIS-direktivet, den nya lagen eller föreskrifter i förordning som meddelats i anslutning till lagen. Något behov av ytterligare reglering i detta avseende finns alltså inte. Innan ett informationsutbyte sker måste dock beaktas att ett utlämnande av uppgifter inte får riskera säkerhet. En incident som skulle ha rapporterats enligt säkerhetsskyddsregleringen men som felaktigt rapporterats enligt den nya lagen ska exempelvis inte rapporteras till andra medlemsstater eller kommissionen, eftersom de inte omfattas av NIS-direktivets rapporteringsskyldighet. Detsamma gäller för uppgifter i incidentrapporter som var för sig inte rör säkerhet, men som tillsammans utgör en ny uppgift som är av betydelse för säkerhet (aggregerad information). 2017/18:205 Skydd för information från andra medlemsstater Kommissionen, CSIRT-enheter och andra relevanta myndigheter har enligt NIS-direktivet en skyldighet att vid mellanstatligt informationsutbyte enligt direktivet bevara informationens konfidentialitet och att skydda leverantörers säkerhetsintressen och kommersiella intressen (artiklarna 1.5, 14.5 och 16.6). När exempelvis den svenska CSIRT- enheten eller den nationella kontaktpunkten får sekretesskyddad information om en incident från en annan medlemsstat finns alltså krav på att det ska finnas skydd för informationen även i . Sekretess gäller enligt 15 kap. 1 a § OSL för uppgift som en myndighet har fått från ett utländskt organ på grund av en bindande EU-rättsakt, om det kan antas att möjlighet att delta i det internationella samarbete som avses i rättsakten försämras om uppgiften röjs. Med bindande EU-rättsakt avses förordning, direktiv eller beslut. Information som tas emot från en annan medlemsstat till följd av bestämmelserna i direktivet kan således omfattas av sekretess enligt 15 kap. 1 a § OSL. Med hänsyn till det anser regeringen att befintliga regler tillgodoser kraven på att skydda leverantörers säkerhetsintressen och kommersiella intressen samt att bevara konfidentialiteten hos tillhandahållen information. Något behov av ytterligare reglering finns därför inte. Regeringens förslag: Den nya lagen ska träda i kraft Ändringen i den nya lagen med anledning av förslaget till ny säkerhetsskyddslag ska träda i kraft . Utredningens förslag stämmer inte överens med regeringens. ningen har föreslagit att den nya lagen ska träda i kraft . Utredningen har inte föreslagit någon ändring i den nya lagen med an- ledning av förslaget till ny säkerhetsskyddslag och därför inte heller något ikraftträdande för ändringen. Remissinstanserna: Ett antal remissinstanser påpekar att det av utred- ningen föreslagna ikraftträdandet endast ger berörda aktörer en mycket för att anpassa sig efter de krav på säkerhetsåtgärder och incidentrapportering som den nya lagen innebär. Skälen för regeringens förslag: Enligt artikel 25 i NIS-direktivet ska medlemsstaterna anta och offentliggöra de lagar och andra författningar som är nödvändiga för att uppfylla direktivet. Vidare anges att bestämmelserna ska tillämpas Den nya lagen bör därför, även med beaktande av att ett snabbt ikraftträdande ger berörda aktörer att förbereda sig, träda i kraft så snart som lagstiftningsprocessen medger. den tid som de olika leden i lagstiftningsprocessen kan förväntas ta, anser regeringen att ett ikraftträdande är möjligt tidigast . Den nya lagen föreslås således träda i kraft det datumet. Regeringen föreslår även en ändring i den nya lagen med anledning av ett förslag om ny säkerhetsskyddslag (prop. 2017/18:89). bör följaktligen träda i kraft som den nya säkerhetsskydds- Prop. 2017/18:205 lagen. Regeringens bedömning: Säkerheten i nätverk och informationssystem stärks genom förslagen vilket medför samhällsekonomiska vinster . Förslagen innebär vissa ökade förvaltningskostnader för de myndigheter som får en särskild roll, t.ex. som CSIRT-enhet, nationell kontaktpunkt eller tillsynsmyndighet. För myndigheter, kommuner, landsting och enskilda som kommer att omfattas av den nya lagens krav på säkerhetsåtgärder och incidentrapportering kan förslagen innebära något ökade kostnader och administrativa bördor. Eventuella kostnader för statliga myndigheter som kommer att omfattas av den nya lagens krav bör rymmas inom befintliga ekonomiska ramar. Förslagen innebär även att de allmänna förvaltningsdomstolarna får något fler arbetsuppgifter. Kostnaderna för de allmänna förvaltningsdomstolarna bör rymmas inom befintliga ekonomiska ramar. Utredningens bedömning stämmer i huvudsak överens med regeringens. Utredningen har till skillnad från regeringen bedömt att förslagen inte får några ekonomiska konsekvenser för de kommuner, landsting och företag som kommer att omfattas av krav på säkerhetsåtgärder och incidentrapportering. Remissinstanserna: Flera remissinstanser instämmer i att förslagen kommer att innebära en stärkt informationssäkerhet med samhällsekonomiska vinster som följd. De flesta remissinstanser som yttrar sig poängterar vikten av att tillräckliga resurser avsätts för genomförandet av NIS-direktivet. , Myndigheten för samhällsskydd och beredskap (MSB), och andra myndigheter som av utredningen har pekats ut att ha en särskild roll, poängterar vikten av att de tillförs medel som står i proportion till ökade arbetsuppgifter. Flera remissinstanser, såsom Energiföretagen , , Svenskt vatten, , Tågoperatörerna, Kommuner och Landsting och ett antal kommuner och landsting, anser till skillnad från utredningen att förslagen om krav på säkerhetsåtgärder och incidentrapportering kommer att innebära kostnader för statliga myndigheter, kommuner, landsting och företag. Kammarrätten i anser att det kan ifrågasättas om de ökade kostnaderna för de allmänna förvaltningsdomstolarna kan finansieras inom befintliga ekonomiska ramar. Skälen för regeringens bedömning Stärkt säkerhet i nätverk och informationssystem nätverk och informationssystem är grundläggande för eko- samhällelig verksamhet och i synnerhet för den inre 2017/18:205 marknadens funktion. Regeringens förslag om krav på bl.a. säkerhetsåtgärder och incidentrapportering bidrar till att öka säkerheten i nätverk och informationssystem. Eftersom åtgärderna har till syfte att säkerställa kontinuiteten i samhällsviktiga och digitala tjänster, kommer de särskilt att öka försörjningstryggheten i tjänsterna. En ökad försörjningstrygghet är till fördel för såväl myndigheter, kommuner och landsting som enskilda. Förslagen har därför samhällsekonomiska vinster på både kort och lång sikt. Ekonomiska konsekvenser för myndigheter som får en särskild roll Som framgår av det föregående kommer ett antal myndigheter att få en särskild roll i genomförandet av NIS-direktivet, såsom CSIRT-enhet, nationell kontaktpunkt eller tillsynsmyndighet. Medlemsstaterna ska enligt NIS-direktivet säkerställa att CSIRT-enheterna, de nationella kontaktpunkterna och tillsynsmyndigheterna har tillräckliga resurser för att på ett effektivt sätt kunna utföra de uppgifter som de tilldelas (artiklarna 8.5, 9.2, 15.2 och 17.2). CSIRT-enheten ska bl.a. ta emot incidentrapporter från leverantörer, övervaka incidenter på nationell nivå och vara en del i hanteringen av inträffade incidenter. Den nationella kontaktpunkten ska vara en sambandsfunktion för gränsöverskridande samarbete. Utgångspunkten är att MSB ska utses till CSIRT-enhet och nationell kontaktpunkt. MSB har i uppdrag att ta emot och hantera statliga myndigheters incidentrapportering. I det uppdraget har också ingått att ta fram en säker kommunikations- och informationsstruktur samt att analysera inrapporterade incidenter och vid behov varna andra aktörer. Även om MSB till viss del redan har liknande uppgifter innebär uppdraget som CSIRT- enhet och nationell kontaktpunkt att MSB kommer att få utökade arbetsuppgifter. Vidare kommer regeringen i det fortsatta förordningsarbetet att överväga om MSB även ska ha andra roller, såsom att leda ett samarbetsforum för tillsynsmyndigheter som t.ex. ska bistå med metodstöd i tillsynsfrågor. Som bl.a. MSB påpekar är det viktigt att de medel som tillförs står i proportion till de ökade arbetsuppgifter som myndigheten får genom den nya regleringen. Det är dock förenat med svårigheter att bedöma hur stora kostnaderna för MSB kommer att bli. Förslagen kan även komma att innebära ökade kostnader för de tillsynsmyndigheter som ska övervaka att leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster uppfyller sina skyldigheter. Att fastställa de initiala och löpande kostnaderna för tillsyn är förenat med svårigheter. Hur stora kostnaderna blir för respektive tillsynsmyndighet beror t.ex. på om den aktuella tillsynsmyndigheten utövar en likartad tillsyn. Vidare beror det på hur många leverantörer som respektive tillsynsmyndighet kommer att ha tillsyn över. Som flera remissinstanser påpekar, bland dem och , är det viktigt att tillsynsmyndigheterna ges förutsättningar att fullgöra sina skyldigheter på ett fullgott sätt. Med anledningen av svårigheterna att bedöma de ekonomiska konsekvenserna för tillsynen föreslog utredningen att regeringen skulle ge Statskontoret i uppdrag att utreda frågan. Regeringen gav därför den 19 Statskontoret i uppdrag att utreda de ekonomiska konse- kvenserna av tillsynen. I uppdraget ingick även att utreda MSB:s kost- Statskontoret redovisade uppdraget till regeringen Regeringen avser att återkomma till när det gäller kost- naderna för de myndigheter som kommer att få en särskild roll. Ekonomiska konsekvenser för leverantörer Den föreslagna regleringen innebär krav på leverantörer av samhälls- viktiga tjänster inom sju olika sektorer och leverantörer av tre typer av Det kan röra sig om såväl offentliga aktörer, dvs. myndigheter, kommuner och landsting, som företag. hetsåtgärder medför små förändringar för vissa leverantörer eftersom de omfattas av liknande krav, och större förändringar för andra. För de flesta av leverantörerna, med undantag för bl.a. de som är statliga myndigheter, kommer kravet på att rapportera incidenter att vara en ny Förslagen kommer vidare att ställa högre krav på dokumentation och administrativ hantering när det gäller bedömning av lämpliga säker- hetsåtgärder samt incidentrapportering. kommer även att uppkomma för leverantörer som blir föremål för tillsyn. Som utredningen har påpekat kan förslagen också i viss mån bidra till minskade kostnader för leverantörer. Information om incidenter kommer bli mer tillgänglig. Vidare kommer de erfarenheter som kan dras från in- träffade incidenter både nationellt och inom EU att kunna användas i det förebyggande och systematiska informationssäkerhetsarbetet. syn till det och de föreslagna kraven på säkerhetsåtgärder kommer fler incidenter att förhindras och kostnader för och andra konsekvenser av in- träffade incidenter att minska. Utredningen har med hänsyn till bl.a. nämnda kostnadsbegränsande faktorer bedömt att förslagen inte kommer att få några ekonomiska konsekvenser för leverantörerna. anser dock, liksom bl.a. Energiföretagen , , Svenskt vatten, , Kommuner och landsting, Tåg- operatörerna och ett antal kommuner och landsting, att förslagen ändå kan innebära vissa kostnader för leverantörer. myndigheter bedöms kunna hanteras inom befintliga ekonomiska ramar. För kommuner och landsting bedöms kostnaderna vara begränsade. Ekonomiska konsekvenser för domstolarna beslut om föreläggande och sanktionsavgift får enligt regeringens förslag överklagas till allmän förvaltningsdomstol, vilket kan medföra en ökning av antalet mål där. Hur stor ökningen av antalet mål och följaktligen hur stora kostnaderna kommer bli är svårt att Kammarrätten i har ifrågasatt om kostnaderna kan finansieras inom befintliga ekonomiska ramar. nuläget att det kommer vara fråga om ett sådant begränsat antal mål att kostnaderna bör rymmas inom befintliga ekonomiska ramar. Förslagen innebär att kommuner och landsting kan bli skyldiga att vidta säkerhetsåtgärder och att rapportera incidenter. Dessa nya åligganden för kommuner och landsting innebär enligt regeringens bedömning en viss 2017/18:205 inskränkning i självstyrelsen. Med hänsyn till det stora intresset av att öka säkerheten i nätverk och informationssystem bedömer regeringen att inskränkningen måste anses nödvändig. Kraven på säkerhetsåtgärder och incidentrapportering förebygger både avsiktliga angrepp och s.k. handhavandefel. Förslagen bör enligt regeringens mening därför leda till att it-relaterade brott förebyggs och förhindras. Regeringen anser inte att förslagen bör medföra konsekvenser för jämställdheten mellan män och kvinnor. Förslaget till lag om informationssäkerhet för samhällsviktiga och digitala tjänster Paragrafen tydliggör lagens syfte. Den behandlas i avsnitt 5.2 och har i allt väsentligt utformats i enlighet med Lagrådets förslag. Paragrafen genomför artikel 4 i NIS-direktivet. I paragrafen anges vad som avses med vissa ord och uttryck som används i lagen. Paragrafen behandlas i avsnitt 5.3 och 5.6. Paragrafen, som genomför artiklarna 5.1, 5.2, 18.1 och 18.2 i NIS- direktivet, reglerar lagens tillämpningsområde. Av första stycket 1 framgår att leverantörer av samhällsviktiga tjänster omfattas av lagen. För att en leverantör ska anses vara en leverantör av samhällsviktiga tjänster krävs för det första att leverantören är av det slag som anges under rubriken enhet i bilaga 2 till NIS-direktivet. bilagan anges olika typer av leverantörer fördelat på sju sektorer. För det andra krävs att leverantören tillhandahåller en samhällsviktig Vilka tjänster som ska anses som samhällsviktiga enligt lagen ska med stöd av 4 § anges i förordning eller myndighetsföreskrifter. Vidare krävs att tillhandahållandet av tjänsten är beroende av nätverk och informationssystem och att en incident skulle medföra en betydande störning vid tillhandahållandet av tjänsten. Vid bedömningen av om en Prop. 2017/18:205 incident skulle innebära en betydande störning ska bl.a. beaktas det antal användare som är beroende av den samhällsviktiga tjänsten, leverantörens marknadsandel, hur stort geografiskt område som skulle kunna påverkas av en incident och hur beroende andra sektorer är av den samhällsviktiga tjänst som leverantören tillhandahåller. Slutligen krävs att leverantören är etablerad i . För att en leverantör av samhällsviktiga tjänster ska anses vara etablerad i krävs att leverantören bedriver en faktisk och reell verksamhet med hjälp av en stabil struktur här. Den rättsliga formen för en sådan struktur är inte en avgörande faktor. Både offentliga aktörer, som statliga myndigheter, landsting och kommuner, och privata aktörer kan utgöra leverantörer av samhällsviktiga tjänster. Enligt första stycket 2 omfattas även leverantörer av digitala tjänster av lagen. Med en leverantör av digitala tjänster avses en juridisk person som tillhandahåller en digital tjänst. Uttrycket digital tjänst definieras i 2 § 4. Näringsidkare som tillhandahåller egna varor och tjänster på en webbplats (e-butik) eller jämförelsesajter är inte leverantörer av digitala tjänster enligt lagen. För att en leverantör av digitala tjänster ska omfattas av lagen krävs att leverantören har sitt huvudsakliga etableringsställe i , eller har utsett en företrädare som är etablerad här i landet. I vilka fall en leverantör ska utse en företrädare regleras i 10 §. Det huvudsakliga etableringsstället ska anses vara där leverantören har sitt faktiska huvudkontor. Att nätverk och informationssystem är fysiskt belägna på en viss plats innebär inte att det är fråga om ett huvudsakligt etableringsställe. I andra stycket finns en upplysning om att lagen innehåller en bestämmelse som gäller för andra leverantörer än de som uppfyller kriterierna för att vara leverantörer av samhällsviktiga eller digitala tjänster enligt första stycket. Paragrafen behandlas i avsnitt 5.3. Paragrafen behandlas i avsnitt 5.3 och 6.2. Undantag från lagens tillämpningsområde Leverantörer av elektroniska kommunikationstjänster Paragrafen genomför första ledet i artikel 1.3 i NIS-direktivet. Genom paragrafen undantas företag som omfattas av kraven i 5 kap. 6 b och c §§ lagen (2003:389) om elektronisk kommunikation från lagens tillämpningsområde. Paragrafen behandlas i avsnitt 5.4.1. Leverantörer av betrodda tjänster Paragrafen genomför andra ledet i artikel 1.3 i NIS-direktivet. Genom paragrafen undantas leverantörer av betrodda tjänster som omfattas av kraven i den angivna förordningen från lagens tillämpningsområde. Med betrodda tjänster avses enligt förordningen bl.a. elektroniska underskrifter och stämplar, validering och bevarande av elektroniska underskrifter och stämplar, tjänster för rekommenderad elektronisk leverans och utfärdande av certifikat för autentisering av webbplatser. Paragrafen behandlas i avsnitt 5.4.1. Leverantörer av digitala tjänster som är mikroföretag eller små företag Paragrafen genomför artikel 16.11 i NIS-direktivet. Genom paragrafen undantas leverantörer av digitala tjänster som är mikroföretag eller små företag enligt definitionen i kommissionens rekommendation 2003/361/EG. Enligt rekommendationen är ett mikroföretag ett företag med färre än 10 anställda och en årsomsättning eller balansomslutning som understiger . Små företag definieras i rekommendationen som företag med färre än 50 anställda och en årsomsättning eller balansomslutning som inte överstiger . Paragrafen behandlas i avsnitt 5.4.1. Paragrafen genomför artikel 1.6 i NIS-direktivet.