prop · H503205 · 2018-04-06 00:00:00 — Remissinstanserna: En majoritet av remissinstanserna anser att det är viktigt för samhällets informationssäkerhet att NIS-direktivet genomförs. Många remissinstanser anser emellertid att ett samlat regelverk för genomförandet av NIS-direktivet kommer medföra att de krav som ställs 2017/18:205 på dem i olika regelverk på informationssäkerhetsområdet blir svåröverskådliga och svårtillämpade, bland andra , , , , kommun, Netnod, , Västra , , Kommuner och Landsting, , , Säkerhets- och försvarsföretagen och Säkerhetspolisen. Med hänsyn till bl.a. detta Skälen för regeringens förslag Befintliga rättsliga krav på informationssäkerhet I svensk rätt finns flera regelverk som ställer krav på informations- säkerhet utifrån olika syften och förutsättningar. Övergripande bestämmelser om informationssäkerhet och krav på inci- dentrapportering för statliga myndigheter finns i förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap. Syftet med förordningen är att statliga myndigheter genom sin verksamhet ska minska sårbarheten i samhället och utveckla en god förmåga att hantera sina uppgifter under fredstida krissituationer samt inför och vid höjd beredskap. svarar enligt förordningen för att egna informationshanteringssystem uppfyller sådana grundläggande och särskilda säkerhetskrav att myndig- hetens verksamhet kan utföras på ett tillfredsställande sätt. För de mest skyddsvärda verksamheterna finns i säkerhetsskyddslagen (1996:627) och säkerhetsskyddsförordningen (1996:633) bestämmelser om hantering av hemliga uppgifter och incidentrapportering. säkerhetsskyddsregleringen är framför allt att säkerställa ett skydd för verksamheter där påverkan genom ett antagonistiskt angrepp skulle med- föra allvarliga konsekvenser på nationell nivå. förebygga att hemliga uppgifter som rör rikets säkerhet obehörigen röjs, ändras eller förstörs, att obehöriga får tillträde till platser där de kan få tillgång till sådana uppgifter eller där verksamhet som har betydelse för rikets säkerhet bedrivs och att personer som inte är pålitliga från säker- hetssynpunkt deltar i verksamhet som är av betydelse för rikets säkerhet. I propositionen Ett modernt och stärkt skydd för säkerhet (prop. 2017/18:89) föreslår regeringen en ny säkerhetsskyddslag. säkerhetsskyddslagen föreslås innefatta skydd av uppgifter som är av betydelse för säkerhet eller som ska skyddas enligt ett inter- nationellt åtagande om säkerhetsskydd. Vidare föreslår regeringen att det ska förtydligas att kraven i säkerhetsskyddsregleringen gäller i såväl allmän som enskild verksamhet. Säkerhetsskyddet ska enligt förslaget både skydda uppgifter som är hemliga och de som inte är hemliga men som skulle omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400) om den lagen hade varit tillämplig i den aktuella verksam- Regeringen föreslår också att skyddet av annan säkerhetskänslig verksamhet, t.ex. samhällsviktiga informationssystem, ska förbättras. Enligt lagen (2003:389) om elektronisk kommunikation, förkortad LEK, är den som tillhandahåller en allmänt tillgänglig elektronisk kommunikationstjänst skyldig att vidta åtgärder för att skydda uppgifter som tillhandahållande av tjänsten. I LEK regleras också att den som tillhandahåller allmänna kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster är skyldig dels att vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa att verksamheten uppfyller rimliga krav på driftsäkerhet, dels att utan onödigt dröjsmål rapportera störningar eller avbrott av betydande omfattning till (). Utöver nämnda regelverk finns det i nationell rätt i vissa fall krav på säkerhet som även kan omfatta informationssäkerhet, t.ex. mer allmänt formulerade bestämmelser om riskhantering och bestämmelser med krav på driftsäkerhet eller kontinuitet i den tillhandahållna tjänsten. Det finns även sektorer som regleras av sektorsspecifika EU-rättsakter som innehåller krav på säkerhet i nätverk och informationssystem. Sjöfartssektorn, banksektorn och sektorn för finansmarknadsinfrastruktur är exempel på sådana sektorer. Vidare finns det en skyldighet att rapportera personuppgiftsincidenter enligt och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), kallad dataskyddsförordningen, som ska börja tillämpas . Ett samlat regelverk för genomförandet av NIS-direktivet Det finns olika sätt att genomföra NIS-direktivet i svensk rätt. Ett alternativ är genom ett samlat regelverk som specifikt avser direktivets genomförande, dvs. genom en ny lag med en anslutande förordning. Utredningen har föreslagit en sådan lösning. Fördelarna med ett samlat regelverk för genomförandet är att det blir tydligt för myndigheter, enskilda och tillsynsmyndigheten vilken reglering som finns när det gäller samhällsviktiga och digitala tjänster. Bestämmelser som behöver anpassas till respektive sektor kan då regleras i myndighetsföreskrifter. Regleringen blir heltäckande och ingen tjänst riskerar att sakna reglering. Det blir också lättare att komplettera och ändra regelverket om ett sådant behov uppkommer. Vidare kan det underlätta tillämpningen, inte minst mot bakgrund av att myndigheter och enskilda kan komma att omfattas av NIS-direktivet i flera medlemsstater. Ett stort antal av remissinstanserna, såsom , , , , kommun, Netnod, , , Västra , Kommuner och Landsting, , Säkerhets- och försvarsföretagen och Säkerhetspolisen, anser att ett samlat regelverk för genomförandet kommer att medföra svårigheter i tillämpningen gentemot andra regelverk. De flesta av dessa remissinstanser påpekar särskilt att kraven på incidentrapportering i NIS-direktivet tillsammans med andra närliggande krav på rapportering, såsom i säkerhetsskyddsregleringen och dataskyddsförordningen, kan medföra att aktörer med anledning av samma händelse ska skicka incidentrapporter till flera myndigheter med varierande innehåll och svarstid. Enligt kan det medföra en risk för att vissa aktörer väljer att inte rapportera alla 2017/18:205 relevanta incidenter och att lagstiftarens syfte med reglerna därmed undermineras. Mot denna bakgrund förespråkar bl.a. , och Säkerhets- och försvarsföretagen på olika sätt ett regelverk som omfattar hela eller större delar av informationssäkerhetsområdet. Ett flertal remissinstanser, bl.a. , , , kommun, Netnod, , , Kommuner och Landsting och Säkerhets- och försvarsföretagen, föreslår eller poängterar vikten av en harmonisering av reglerna om säkerhetsåtgärder och incidentrapportering i olika regelverk för att om möjligt undvika att samma incident behöver rapporteras till flera myndigheter. Som remissinstanserna påpekar är en av nackdelarna med ett samlat regelverk för genomförandet att myndigheter och enskilda i vissa fall kommer att behöva tillämpa olika regelverk för samma nätverk och informationssystem men med olika syften. För myndigheter och enskilda inom sektorer som även omfattas av andra EU-rättsakter finns också en risk för att det kan bli otydligt vilken reglering som gäller. Ett regelverk som omfattar hela eller stora delar av informationssäkerhetsregleringen skulle också ligga i linje med de rekommendationer lämnat i sin rapport i den civila statsförvaltningen (RiR 2014:23). Informationssäkerhetsområdet är emellertid, som vissa remissinstanser också påpekar, fragmenterat och svåröverskådligt. De EU-rättsliga och nationella reglerna är mer utvecklade inom vissa sektorer än inom andra. Det finns också skillnader mellan olika typer av leverantörer inom samma sektor. Vissa bestämmelser i nationell rätt tar inte heller direkt sikte på informationssäkerhet utan syftar till att upprätthålla kontinuiteten i tjänsten utifrån andra aspekter eller till att analysera eller hantera risker mer allmänt. Beträffande de digitala tjänster som regleras av NIS-direktivet saknas reglering helt. För att tillmötesgå remissinstansernas efterfrågan om ett regelverk för hela eller stora delar av informationssäkerhetsområdet och en harmonisering av kraven i de olika regelverken, skulle det därför krävas ett omfattande arbete som bl.a. inkluderar kartläggning av ett stort antal nationella och unionsrättsliga bestämmelser. Remissinstansernas förslag i dessa avseenden kan enligt regeringen inte genomföras inom ramen för detta lagstiftningsärende. Enligt regeringens mening bör genomförandet av NIS-direktivet istället ske genom ett samlat regelverk. NIS-direktivet innebär skyldigheter för både enskilda och offentliga aktörer. Ett genomförande av direktivet behöver följaktligen ske huvudsakligen i lagform. Det bör därför införas en ny lag om informationssäkerhet för samhällsviktiga och digitala tjänster. I vilken utsträckning genomförandet bör ske genom bestämmelser i förordning eller myndighetsföreskrifter kommer behandlas löpande genom propositionen. Enligt artikel 7 i NIS-direktivet ska medlemsstaterna anta en nationell strategi för säkerhet i nätverk och informationssystem. Regeringen antog en nationell strategi för samhällets informations- och cybersäkerhet (skr. 2016/17:213). Det pågår ett arbete i Regerings- kansliet med att säkerställa att strategin motsvarar direktivets krav. 2017/18:205 Genomförandet av NIS-direktivet bör därför i denna del ske inom ramen för det arbetet. Den nya lagen bör alltså inte reglera skyldighet enligt NIS-direktivet att anta en nationell it-strategi. Regeringens förslag: Syftet med den nya lagen ska vara att uppnå en hög nivå på säkerheten i nätverk och informationssystem för digitala tjänster samt för samhällsviktiga tjänster inom sektorerna –hälso- och sjukvård –leverans och distribution av dricksvatten –digital infrastruktur. Utredningens förslag stämmer i huvudsak överens med regeringens. Utredningen har föreslagit att det i den nya lagen ska anges att lagens syfte är att uppnå en hög gemensam nivå på säkerheten i nätverk och informationssystem inom EU, för att förbättra den inre marknadens funktion. Vidare har utredningen föreslagit att det ska anges att den nya lagen genomför NIS-direktivet. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över förslaget. Skälen för regeringens förslag: NIS-direktivets syfte är enligt artikel 1 att uppnå en hög gemensam nivå på säkerheten i nätverk och informationssystem inom EU, för att förbättra den inre marknadens funktion. För att den nya lagens bestämmelser ska bli mer lättillgängliga anser regeringen – liksom utredningen – att den nya lagen bör innehålla en bestämmelse som anger det övergripande syftet med lagen. Till skillnad från utredningen anser regeringen emellertid att syftet bör formuleras på så sätt att lagen har till syfte att höja nivån på säkerheten i nätverk och informationssystem. Vidare bör det tydliggöras att syftet endast avser informationssäkerhet för vissa tjänster och sektorer. Regeringen delar Lagrådets uppfattning att det i lagtext inte behöver anges att den nya lagen genomför NIS-direktivet. 2017/18:205 5.3 Lagen ska gälla för vissa leverantörer av samhällsviktiga och digitala tjänster Regeringens förslag: Den nya lagen ska gälla för –leverantörer av det slag som anges i bilaga 2 till NIS-direktivet och som tillhandahåller en samhällsviktig tjänst, under förutsättning att leverantören är etablerad i , att tillhandahållandet av tjänsten är beroende av nätverk och informationssystem och att en incident skulle medföra en betydande störning vid tillhandahållandet av tjänsten (leverantörer av samhällsviktiga tjänster). –juridiska personer som tillhandahåller en tjänst som utgör en internetbaserad marknadsplats, internetbaserad sökmotor eller molntjänst och som har sitt huvudsakliga etableringsställe i eller som har utsett en företrädare som är etablerad här (leverantörer av digitala tjänster). Regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om vad som avses med en betydande störning vid tillhandahållandet av en samhällsviktig tjänst. Utredningens förslag stämmer i huvudsak överens med regeringens. Utredningen har föreslagit att de faktorer som enligt NIS-direktivet ska beaktas vid bedömningen av om en incident skulle medföra en betydande störning vid tillhandahållandet av en samhällsviktig tjänst ska regleras i den nya lagen. Remissinstanserna: och anser att regelverket även bör omfatta leverantörer av samhällsviktiga tjänster som inte omfattas av NIS-direktivet. Flera remissinstanser anser att det är viktigt att det meddelas föreskrifter som tydliggör vad som krävs för att en leverantör som tillhandahåller samhällsviktiga tjänster ska omfattas av den nya lagen. Datainspektionen anser att det bör införas en upplysningsbestämmelse om att personuppgiftsbehandling ska ske i enlighet med dataskyddsdirektivet. Skälen för regeringens förslag Leverantörer av samhällsviktiga tjänster som omfattas av NIS-direktivet För att en leverantör ska anses vara en sådan leverantör av samhällsviktiga tjänster som omfattas av NIS-direktivet krävs att leverantören är en sådan typ av enhet som anges i bilaga 2 till direktivet. Enheterna utgör olika slags leverantörer, såsom operatörer av oljeproduktion och vissa kreditinstitut och vårdgivare, och finns inom sju angivna sektorer. Sektorerna är energi, transport, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, leverans och distribution av dricksvatten samt digital infrastruktur. Vidare krävs att leverantören tillhandahåller en samhällsviktig tjänst, att tillhandahållandet av tjänsten är beroende av nätverk och informationssystem och att en incident skulle medföra en betydande störning vid tillhandahållandet av tjänsten. En samhällsviktig tjänst definieras i direktivet som en tjänst som är viktig för att upprätthålla kritisk samhällelig eller ekonomisk verksamhet (artiklarna 4.4 och För att en leverantör av samhällsviktiga tjänster ska omfattas av NIS- direktivet krävs även att leverantören är etablerad på en medlemsstats territorium (artikel 5.1). En leverantör av samhällsviktiga tjänster ska anses etablerad i en medlemsstat om leverantören bedriver en faktisk och reell verksamhet med hjälp av en stabil struktur. Den rättsliga formen för en sådan struktur, dvs. om det är fråga om exempelvis en filial eller ett dotterbolag, är inte en avgörande faktor (skäl 21). Både offentliga aktörer, såsom statliga myndigheter, landsting och kommuner, och privata aktörer kan utgöra en leverantör av samhällsviktiga tjänster som omfattas av direktivet (artikel 4.4). Leverantörer av digitala tjänster som omfattas av NIS-direktivet De leverantörer av digitala tjänster som omfattas av NIS-direktivet är juridiska personer som tillhandahåller digitala tjänster. Med digital tjänst avses enligt direktivet en tjänst i form av en internetbaserad marknadsplats, internetbaserad sökmotor eller molntjänst (artiklarna 4.5 och 4.6 samt bilaga 3). Med ordet tjänst avses en tjänst i den mening som stadgas i artikel 1.1 b i och rådets direktiv (EU) 2015/1535 av om ett informationsförfarande beträffande tekniska föreskrifter och beträffande föreskrifter för informationssamhällets tjänster. I artikel 1.1 b i det direktivet definieras en tjänst som alla informationssamhällets tjänster, dvs. tjänster som vanligtvis utförs mot ersättning på distans, på elektronisk väg och på individuell begäran av en tjänstemottagare. En internetbaserad marknadsplats är enligt NIS-direktivet en digital tjänst som gör det möjligt för konsumenter eller näringsidkare (enligt definitionen i artikel 4.1 a respektive 4.1 b i och rådets direktiv /11/EU av om alternativ tvistlösning vid konsumenttvister och om ändring av förordning [EG] nr 2006/2004 och direktiv /22/EG [direktivet om alternativ tvistlösning]) att ingå internetbaserade köpeavtal eller tjänsteavtal med näringsidkare antingen på webbplatsen för den internetbaserade marknadsplatsen eller på webbplatsen tillhörande en näringsidkare där datatjänster som tillhandahålls av en internetbaserad marknadsplats används (artikel 4.17). En internetbaserad marknadsplats är alltså en webbplats där kunden kan ta del av flera näringsidkares utbud på samma ställe. Marknadsplatsen kan på detta sätt jämföras med ett köpcentrum. Som exempel på internetbaserade marknadsplatser kan nämnas , och . Applikationsbutiker, som fungerar som onlinebutiker och möjliggör digital distribution av applikationer eller programvara från tredje part, ska enligt NIS-direktivet betraktas som en internetbaserad marknadsplats. Onlinetjänster som jämför priset på vissa varor eller tjänster från olika näringsidkare och sedan leder användaren vidare till den näringsidkare som valts för köp av varan omfattas inte av begreppet internetbaserad marknadsplats. Sådana onlinetjänster, t.ex. och prisjakt.nu, fungerar endast som mellanhand för tredjepartstjänster genom vilka ett avtal slutligen kan ingås (skäl 15). När en aktör tillhandahåller egna varor eller tjänster genom en e-butik är det inte 2017/18:205 heller fråga om tillhandahållande av en digital tjänst i form av en internetbaserad marknadsplats. Näringsidkaren tillhandahåller i sådana fall inte en digital tjänst i direktivets mening, utan använder webbplatsen i syfte att tillhandahålla andra varor och tjänster än digitala tjänster. En internetbaserad sökmotor är enligt NIS-direktivet en digital tjänst som gör det möjligt för användaren att göra sökningar på i princip alla webbplatser eller webbplatser på ett visst språk eller på grundval av en förfrågan om vilket ämne som helst i form av ett nyckelord, en fras eller annan inmatning, och som returnerar länkar som innehåller information om det begärda innehållet (artikel 4.18). Exempel på internetbaserade sökmotorer är , och . Jämförelsesajter och sökfunktioner som begränsas till innehållet på en särskild webbplats anses inte utgöra internetbaserade sökmotorer (skäl 16). Molntjänster definieras i NIS-direktivet som en digital tjänst som möjliggör tillgång till en skalbar och elastisk pool av delbara dataresurser (artikel 4.19). I skäl 17 till direktivet anges följande. Sådana dataresurser som molntjänster kan möjliggöra tillgång till är exempelvis nätverk, servrar eller annan infrastruktur, lagring, applikationer och tjänster. Termen skalbar avser dataresurser som leverantören av molntjänster fördelar på ett flexibelt sätt, oberoende av resursernas geografiska läge, för att hantera fluktuationer i efterfrågan. Termen elastisk pool används för att beskriva dataresurser som avsätts och utnyttjas beroende på efterfrågan för att tillgängliga resurser snabbt ska kunna utökas och minskas i takt med arbetsbördan. Termen delbar används för att beskriva dataresurser som tillhandahålls flera användare som delar en gemensam åtkomst till tjänsten där behandlingen genomförs separat för varje användare, även om tjänsten tillhandahålls från samma elektroniska utrustning. GoogleApps, iCloud och Dropbox är exempel på molntjänster. En användare av privata moln tillhandahåller inte en molntjänst och är således inte en leverantör av digitala tjänster enligt direktivet. För att en juridisk person som tillhandahåller internetbaserade marknadsplatser, internetbaserade sökmotorer eller molntjänster ska omfattas av NIS-direktivet krävs även att leverantören har sitt huvudsakliga etableringsställe i EU eller har utsett en företrädare som är etablerad i unionen. En leverantör av digitala tjänster ska omfattas av jurisdiktionen i den medlemsstat där leverantören har sitt huvudsakliga etableringsställe eller där den utsedde företrädaren är etablerad (artikel 18.1 och 18.2). En leverantör av digitala tjänster som har sitt huvudsakliga etableringsställe i eller som har utsett en företrädare som är etablerad här ska alltså omfattas av den svenska reglering som genomför NIS- direktivet. Det huvudsakliga etableringsstället är i princip där leverantören har sitt huvudkontor. Att nätverk och informationssystem är fysiskt belägna på en viss plats innebär inte att det är fråga om ett huvudsakligt etableringsställe (skäl 64). I avsnitt 5.5 behandlas närmare när leverantörer av digitala tjänster ska utse en företrädare. Den nya lagen ska endast gälla de leverantörer som omfattas av NIS- direktivet Det tillhandahålls samhällsviktiga tjänster av leverantörer som inte om- fattas av NIS-direktivet. Ett exempel är leverantörer som tillhandahåller Direktivet omfattar som nämnts endast sådana slags leverantörer som tas upp i bilaga 2 till direktivet och leverantörer som tillhandahåller fjärrvärme tas inte upp där. Ett antal remissinstanser, däribland och , anser att den nya lagen även bör omfatta leverantörer av samhällsviktiga tjänster som inte omfattas av direktivet. Enligt regeringens mening kan det finnas behov av tydligare kravställning rörande informationssäkerhet även för samhällsviktiga verksamheter som inte omfattas av NIS-direktivet. En mer övergripande lag skulle, som bl.a. påpekar, kunna vara till fördel för enhetligheten på området, ge mindre utrymme för olika tolkningar och skapa bättre förutsättningar för leverantörerna att överblicka regelverket. Det finns emellertid inte möjlighet att inom ramen för detta lagstiftningsärende ta ställning till hur all samhällsviktig verksamhets informationssäkerhet bör regleras. Den nya lagen bör därför omfatta endast sådana leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster som omfattas av NIS-direktivet. Föreskrifter om vad som utgör en betydande störning Som framgår ovan är ett krav för att en leverantör ska anses vara en sådan leverantör av samhällsviktiga tjänster som omfattas av NIS- direktivet – och följaktligen den nya lagen – att leverantören tillhandahåller en samhällsviktig tjänst. Enligt regeringens förslag i avsnitt 6.2 ska regeringen eller den myndighet som regeringen bestämmer få meddela föreskrifter om vilka tjänster som ska anses som samhällsviktiga enligt den nya lagen. Ett annat krav är att en incident skulle medföra en betydande störning vid tillhandahållandet av den samhällsviktiga tjänsten. Vid bedömningen av vad som är en betydande störning ska enligt artikel 6 i NIS-direktivet ett antal olika faktorer beaktas. Dessa faktorer är det antal användare som är beroende av den tjänst som den berörda leverantören tillhandahåller, hur beroende andra sektorer enligt bilaga 2 till direktivet är av den tjänst som leverantören tillhandahåller, vilken inverkan incidenter skulle kunna ha på ekonomisk och samhällelig verksamhet eller allmän säkerhet, uttryckt i grad och varaktighet, leverantörens marknadsandel, hur stort geografiskt område som skulle kunna påverkas av en incident och leverantörens betydelse för upprätthållandet av en tillräcklig tjänstenivå, med beaktande av tillgången till alternativa sätt för att tillhandahålla tjänsten. När det gäller faktorn antalet användare som är beroende av tjänsten, kan användningen av tjänsten vara direkt, indirekt eller ske genom förmedling. Vid bedömningen av en incidents eventuella inverkan på ekonomisk och samhällelig verksamhet eller allmän säkerhet, bör medlemsstaterna också bedöma hur länge det sannolikt skulle dröja tills avbrottet skulle få en oacceptabel inverkan (skäl 27). I lämpliga fall ska även sektorsspecifika faktorer beaktas. När det gäller energileverantörer kan sådana faktorer omfatta mängden eller andelen producerad nationell el, för oljeleverantörer mängden olja per dag, för lufttransport, järnvägstransport och kusthamnar andelen nationell trafikmängd och antalet passagerare eller lastningar , för bankverksamhet eller finansmarknadsinfrastrukturer deras betydelse för systemet 2017/18:205 på grundval av samlade tillgångar eller förhållandet mellan dessa tillgångar och BNP, och för hälso- och sjukvårdssektorn antalet patienter som leverantören vårdar (skäl 28).