prop · H503205 · 2018-04-06 00:00:00 — Regeringen anser emellertid att det är lämpligare att meddela samtliga sådana bestämmelser i förordning eller myndighetsföreskrifter. I avsnitt 7.2.7 föreslår regeringen ett bemyndigande om att regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om incidentrapportering. I artikel 14.3 anges vidare att incidentrapportering inte ska medföra ett utökat ansvar för den rapporterande parten, dvs. ett ansvar utöver det som följer av NIS-direktivet. Det innebär bl.a. att det inte går att ställa krav på leverantören att utreda händelsen åt CSIRT-enheten. Utredningen har föreslagit en uttrycklig bestämmelse om att incidentrapporteringen inte får medföra utökat ansvar för den rapporterande parten. Regeringen anser emellertid att en sådan bestämmelse är obehövlig eftersom de av regeringen ovan föreslagna bestämmelserna om incidentrapportering inte innebär att den rapporterande parten åläggs ett ansvar utöver det som följer av NIS-direktivet. Med andra ord uppfyller den nya lagen även utan en sådan bestämmelse som utredningen har föreslagit kraven i artikel 14.3. 2017/18:205 7.2.6 Frivillig rapportering av incidenter Regeringens bedömning: Bestämmelser om frivillig rapportering av incidenter bör meddelas i förordning eller myndighetsföreskrifter. Utredningens förslag stämmer i sak överens med regeringens bedömning. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över förslaget. Skälen för regeringens bedömning: Enligt artikel 20 i NIS-direktivet ska leverantörer som inte har identifierats som leverantörer av samhällsviktiga tjänster och som inte är leverantörer av digitala tjänster ges möjlighet att på frivillig grund rapportera incidenter som har en betydande inverkan på kontinuiteten i de tjänster som de tillhandahåller. Vid behandlingen av sådana rapporter ska medlemsstaterna enligt samma artikel agera i enlighet med det förfarande som fastställs för incidentrapportering för leverantörer av samhällsviktiga tjänster. Medlemsstaterna får ge behandling av obligatoriska rapporter företräde framför behandling av frivilliga rapporter. Bestämmelser om frivillig rapportering av incidenter bör enligt regeringens bedömning meddelas i förordning eller myndighetsföreskrifter. Regeringens förslag: Regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om vad som krävs av leverantörer av samhällsviktiga tjänster för att uppfylla kravet på incidentrapportering. Utredningens förslag stämmer i sak överens med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över för- Skälen för regeringens förslag: Utöver de övergripande be- stämmelser om skyldigheten för leverantörer av samhällsviktiga tjänster att rapportera incidenter som regeringen föreslår, krävs det ytterligare föreskrifter om vad skyldigheten innebär. Regeringen bedömer att det utöver verkställighetsföreskrifter, såsom närmare bestämmelser om när i tiden incidentrapportering ska ske och de närmare formerna för rappor- teringen, finns behov av ett bemyndigande när det gäller t.ex. vilka fak- torer som ska beaktas vid bedömningen av om en incident ska rappor- teras, se avsnitt 7.2.2. Sådana föreskrifter avses nämligen mer i detalj specificera skyldigheten att rapporterna en incident som har en betydande Den som inte fullgör skyldigheten kan dessutom bli skyldig att betala en sanktionsavgift. Mot denna bakgrund bör den nya lagen innehålla ett bemyndigande för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter om skyldigheten för leverantörer av samhällsviktiga tjänster att rapportera incidenter. Det bör poängteras att den samarbetsgrupp som inrättats genom NIS- direktivet får utarbeta och anta riktlinjer om under vilka omständigheter som leverantörer av samhällsviktiga tjänster ska rapportera incidenter Prop. 2017/18:205 (artikel 14.7). I den utsträckning samarbetsgruppen utarbetar och antar sådana riktlinjer bör dessa beaktas i föreskriftsarbetet. 8Säkerhetsåtgärder och incidentrapportering för leverantörer av digitala tjänster Enligt NIS-direktivet ska medlemsstaterna säkerställa att leverantörer av digitala tjänster vidtar vissa säkerhetsåtgärder och att de rapporterar incidenter som har en avsevärd inverkan på tillhandahållandet av den digitala tjänsten. Leverantörer av digitala tjänster omfattas inte av någon nationell lagstiftning motsvarande bestämmelserna i direktivet. Det måste därför införas bestämmelser med krav på säkerhetsåtgärder och incidentrapportering för leverantörer av digitala tjänster i den nya lagen om informationssäkerhet för samhällsviktiga och digitala tjänster. NIS-direktivets krav på säkerhetsåtgärder och incidentrapportering är i viss mån mer begränsade för leverantörer av digitala tjänster än för leverantörer av samhällsviktiga tjänster. Anledningen till skillnaden är enligt skälen till direktivet att risken för samhällspåverkan i praktiken är lägre för leverantörer av digitala tjänster än för leverantörer av samhällsviktiga tjänster (skäl 49). Medlemsstaterna får enligt artikel 16.10 i NIS-direktivet inte heller införa ytterligare säkerhets- eller rapporteringskrav för leverantörer av digitala tjänster utöver de som anges i direktivet. Kraven på leverantörer av digitala tjänster att vidta säkerhetsåtgärder och att rapportera incidenter har i enlighet med artikel 16.8 specificerats i kommissionens genomförandeförordning (EU) 2018/151 av om tillämpningsföreskrifter för NIS-direktivet, kallad genomförandeförordningen. Kommissionen får enligt artikel 16.9 också anta genomförandeakter för att reglera format och förfaranden för incidentrapporteringen. Regeringens förslag: Leverantörer av digitala tjänster ska vidta de tekniska och organisatoriska åtgärder som de anser ändamålsenliga och proportionella och som hanterar risker som hotar säkerheten i nät- verk och informationssystem som de använder när de tillhandahåller digitala tjänster inom EU. Åtgärderna ska säkerställa en nivå på säker- heten i nätverken och informationssystemen som är lämplig i förhållande till risken. Leverantörer av digitala tjänster ska vidta åtgärder för att förebygga och minimera verkningar av incidenter som påverkar nätverk och in- formationssystem som de använder. Skyldigheten gäller endast i för- hållande till verkningar som sådana incidenter har på digitala tjänster som leverantören erbjuder inom EU. Syftet med åtgärderna ska vara att säkerställa kontinuiteten i tjänsterna. Regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om kraven på tekniska och organisatoriska åt- gärder och incidenthantering. Utredningens förslag stämmer i huvudsak överens med regeringens. Utredningen har till skillnad från regeringen inte föreslagit något be- Remissinstanserna: har yttrat sig, och Skälen för regeringens förslag Tekniska och organisatoriska åtgärder Enligt artikel 16.1 i NIS-direktivet ska leverantörer av digitala tjänster ut- arbeta och vidta ändamålsenliga och proportionella tekniska och organisatoriska åtgärder för att hantera risker som hotar säkerheten i nätverk och informationssystem som de använder när de tillhandahåller digitala tjänster inom EU. Åtgärderna ska, med beaktande av den senaste tekniska utvecklingen, säkerställa en nivå på säkerheten i nätverk och informationssystem som är lämplig i förhållande till den föreliggande risken, varvid hänsyn ska tas till a) säkerheten i system och anläggningar c) hantering av driftskontinuitet d) övervakning, revision och testning e) efterlevnad av internationella standarder. Faktorerna som anges i artikel 16.1 a–e specificeras i artikel 2 i genom- Leverantörer av digitala tjänster ska alltså vidta tekniska och organisa- Vad som avses med begreppet tekniska och organisatoriska åtgärder behandlas i avsnitt 7.1.4. säkerhetsrisker i nätverk och informationssystem och säkerställa en nivå på säkerheten som är lämplig i förhållande till den föreliggande risken. Vad som avses med uttrycken säkerhet i nätverk och informationssystem och risk behandlas också i avsnitt 7.1.4. En bestämmelse som motsvarar artikel 16.1 bör införas i den nya lagen. Leverantörens skyldighet omfattar åtgärder för nätverk och informa- Prop. 2017/18:205 tionssystem som leverantören använder vid tillhandahållet av digitala tjänster inom EU. Det innebär bl.a. att säkerhetskraven gäller oavsett om leverantören sköter underhållet av sina nätverk och informationssystem internt eller lägger ut uppgifterna på entreprenad (skäl 52). Till skillnad från vad som gäller för leverantörer av samhällsviktiga tjänster anges i direktivet att leverantörer av digitala tjänster ska ”utarbeta” ändamålsenliga och proportionella tekniska och organisatoriska åtgärder. Det innebär bl.a. att medlemsstaterna inte får reglera närmare på vilket sätt säkerhetsarbetet ska bedrivas. Vidare innebär det att leverantören avgör vilka tekniska och organisatoriska åtgärder som är ändamålsenliga och proportionella, dvs. vilka konkreta åtgärder som ska vidtas, under förutsättning att åtgärderna hanterar säkerhetsrisker och, med beaktande av de särskilt angivna faktorerna, säkerställer en nivå på säkerheten i nätverk och informationssystem som är lämplig i förhållande till den föreliggande risken (skäl 49). Bestämmelsen i den nya lagen bör utformas på ett sätt som klargör detta. Vid bedömningen av vad som är en lämplig nivå i förhållande till risken ska enligt NIS-direktivet hänsyn tas till den senaste tekniska utvecklingen. Det innebär att leverantören ska beakta samtliga tekniska lösningar som vid var tid finns tillgängliga på marknaden. I enlighet med bedömningen i avsnitt 7.1.4, avseende motsvarande krav på leverantörer av samhällsviktiga tjänster, behöver kravet på att beakta den tekniska utvecklingen enligt regeringens mening inte uttryckas i den nya lagen, utan ingår i att säkerhetsåtgärderna ska uppnå en lämplig säkerhetsnivå. När det gäller de övriga uttryckliga faktorerna som leverantörerna ska beakta, som anges i artikel 16.1 a–e, anser regeringen – till skillnad från utredningen – att de bör meddelas i förordning eller myndighetsföreskrifter. Anledningen till det är att den nya lagen inte bör tyngas med alltför många detaljföreskrifter. Enligt artikel 16.2 i NIS-direktivet ska leverantörer av digitala tjänster vidta åtgärder för att förebygga och minimera den inverkan som incidenter som påverkar säkerheten i deras nätverk och informationssystem har på de digitala tjänster som erbjuds inom unionen, i syfte att säkerställa kontinuiteten i dessa tjänster. En bestämmelse som motsvarar artikel 16.2 bör införas i den nya lagen. Det innebär att leverantörer av digitala tjänster ska vidta åtgärder för att förebygga den inverkan som potentiella incidenter har och för att begränsa en inträffad incidents inverkan, i syfte att säkerställa kontinuiteten i de tillhandahållna tjänsterna. Skyldigheten gäller endast åtgärder som motverkar incidenters verkningar på digitala tjänster som leverantören erbjuder inom EU. Om en leverantör av digitala tjänster t.ex. tillhandahåller molntjänster till användare över hela världen, gäller skyldigheten således endast åtgärder som motverkar sådan inverkan som en incident har eller kan ha på molntjänster som erbjuds inom EU. 2017/18:205 Bemyndigande Som framgår ovan bör de övriga uttryckliga faktorerna som leverantörer av digitala tjänster enligt artikel 16.1 a–e ska beakta vid utformningen av tekniska och organisatoriska åtgärder meddelas i förordning eller myndighetsföreskrifter. Det kan även behövas ytterligare föreskrifter om kravet på incidenthantering. I likhet med regeringens bedömning i avsnitt 7.1.6 beträffande motsvarande krav på samhällsviktiga tjänster, anser regeringen att det behövs ett bemyndigande i den nya lagen om att regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om tekniska och organisatoriska åtgärder och incidenthantering. Regeringens förslag: Leverantörer av digitala tjänster ska utan onödigt dröjsmål rapportera incidenter som har en avsevärd inverkan på tillhandahållandet av en digital tjänst som de erbjuder inom EU. I den nya lagen ska det anges att incidentrapporteringen ska göras till den myndighet som regeringen bestämmer. Regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om vad som krävs av leverantörer av digitala tjänster för att uppfylla kravet på incidentrapportering. Regeringens bedömning: Incidentrapporteringen bör göras till den s.k. CSIRT-enheten. Utredningens förslag stämmer i huvudsak överens med regeringens förslag och bedömning. Utredningen har till skillnad från regeringen föreslagit att vissa faktorer som ska beaktas för att bedöma om en incident har en avsevärd inverkan på tillhandahållandet av en digital tjänst ska regleras i den nya lagen. Utredningen har även föreslagit att det i den nya lagen ska anges att incidentrapporteringen ska göras till CSIRT-enheten och att rapporteringen inte ska medföra ett ökat ansvar för den rapporterande parten. Vidare har utredningen föreslagit att vissa bestämmelser om vilken information som en incidentrapport ska innehålla ska tas in i den nya lagen. Utredningen har dessutom inte föreslagit något bemyndigande. Remissinstanserna: tillstyrker förslaget. Försvarsmakten och Säkerhets- och försvarsföretagen anser att leverantörer av digitala tjänster bör åläggas att rapportera fler incidenter än vad som krävs enligt NIS-direktivet. Skälen för regeringens förslag och bedömning Vilka incidenter ska rapporteras? I artikel 16.3 i NIS-direktivet stadgas att leverantörer av digitala tjänster ska rapportera incidenter som har en avsevärd inverkan på tillhandahållandet av en digital tjänst som de erbjuder inom unionen. Försvarsmakten anser att leverantörer av digitala tjänster även bör rapportera incidenter som endast riskerar att påverka tillhandahållandet av en digital tjänst. Säkerhets- och försvarsföretagen är av uppfattningen att leverantörer av digitala tjänster bör ha samma krav på att incidentrapportera som leverantörer av samhällsviktiga tjänster. Enligt artikel 16.10 i NIS-direktivet får medlemsstaterna inte införa ytterligare säkerhets- eller rapporteringskrav för leverantörer av digitala tjänster än vad som anges i direktivet. En bestämmelse som motsvarar artikel 16.3 i direktivet bör därför införas i den nya lagen. För att fastställa om en incident har en avsevärd inverkan ska, enligt artikel 16.4 i NIS-direktivet, hänsyn framför allt tas till vissa angivna faktorer, bl.a. det antal användare som påverkas av incidenten, hur länge incidenten varar, hur stort geografiskt område som påverkas och i vilken utsträckning incidenten inverkar på den ekonomiska och samhälleliga verksamheten. Skyldigheten att rapportera incidenter gäller enligt artikel 16.4 endast om leverantören har tillgång till den information som behövs för att bedöma en incidents verkningar mot bakgrund av de angivna faktorerna. Faktorerna som ska beaktas vid bedömningen av vad som utgör en avsevärd inverkan specificeras i artikel 3 i genomförandeförordningen. I artikel 4 i genomförandeförordningen anges vidare ett antal situationer då en incident ska anses ha en avsevärd inverkan, t.ex. när incidenten gör att den digitala tjänst som tillhandahålls är otillgänglig under mer än 5 eller när incidenten orsakar materiella skador som uppgår till . Utredningen har föreslagit att bestämmelser som motsvarar artikel 16.4 ska införas i den nya lagen. För att inte tynga den nya lagen med alltför många detaljföreskrifter anser regeringen dock att sådana bestämmelser bör meddelas i förordning eller myndighetsföreskrifter. Till vilken myndighet ska incidentrapporteringen göras? Enligt artikel 16.3 i NIS-direktivet ska leverantörer av digitala tjänster rapportera incidenter till tillsynsmyndigheten eller CSIRT-enheten. Rapporteringen bör, i enlighet med förslaget i avsnitt 7.2.3 om incidentrapportering när det gäller leverantörer av samhällsviktiga tjänster, göras till CSIRT-enheten. Uttrycket CSIRT-enheten bör inte användas i lagtext. I den nya lagen ska därför anges att rapporteringen ska göras till den myndighet som regeringen bestämmer. När i tiden ska leverantörer rapportera incidenter? Enligt artikel 16.3 i NIS-direktivet ska rapportering av incidenter ske utan onödigt dröjsmål. Med hänsyn till att innebörden av uttrycket utan onödigt dröjsmål kan variera kraftigt bör någon fast tidsgräns inte införas i den nya lagen. I den nya lagen bör följaktligen anges att rapportering ska ske utan onödigt dröjsmål. Vilken information ska en incidentrapport innehålla? Artikel 16.3 i NIS-direktivet stadgar att en incidentrapport ska innehålla information som gör det möjligt för den behöriga myndigheten eller CSIRT-enheten att fastställa vilken betydelse eventuell gränsöverskridande inverkan har. Utredningen har föreslagit att det i den nya lagen ska införas en bestämmelse om att incidentrapporter ska innehålla sådan information och att andra bestämmelser om vad rapporterna ska innehålla 2017/18:205 och om de närmare formerna för rapporteringen ska meddelas i förordning eller myndighetsföreskrifter. Liksom beträffande leverantörer av samhällsviktiga tjänster, se avsnitt 7.2.5, anser regeringen att bestämmelser om vilken information som rapporterna ska innehålla och om de närmare formerna för fullgörandet av skyldigheten att rapportera incidenter, bör meddelas i förordning eller myndighetsföreskrifter. I artikel 16.3 stadgas vidare att rapportering inte ska medföra ökat ansvar för den rapporterande parten, dvs. ett ansvar utöver vad som följer av NIS-direktivet. Utredningen har föreslagit en uttrycklig bestämmelse om att incidentrapporteringen inte får medföra ökat ansvar för den rapporterande parten. Regeringen anser emellertid inte att en sådan bestämmelse behövs eftersom de föreslagna bestämmelserna om incidentrapportering inte innebär att den rapporterande parten åläggs ett ansvar utöver det som följer av NIS-direktivet. Ytterligare föreskrifter om incidentrapportering Utöver de övergripande bestämmelser om skyldigheten att rapportera incidenter som regeringen föreslår, krävs det ytterligare bestämmelser om vad skyldigheten innebär. Föreskrifter med sådant innehåll kan till viss del meddelas av regeringen eller den myndighet som regeringen bestämmer med stöd av 8 kap. 7 § regeringsformen. Det gäller t.ex. föreskrifter om de närmare formerna för rapporteringen. Till skillnad från utredningen anser regeringens dock även att det finns behov av föreskrifter som går utöver denna normgivningskompetens. Exempelvis behövs ett bemyndigande när det gäller bestämmelser motsvarande artikel 16.4 i NIS-direktivet om vilka faktorer som ska beaktas vid bedömningen av om en incident ska rapporteras och om begränsningar i skyldigheten att rapportera med hänsyn till den information som en leverantör har tillgång till. Bestämmelser om vilka faktorer som ska beaktas bör inte meddelas med stöd av 8 kap. 7 § regeringsformen eftersom de mer i detalj kommer att specificera skyldigheten för leverantörer att rapportera en incident som har en avsevärd inverkan. Den som inte fullgör skyldigheten att rapportera incidenter kan dessutom bli skyldig att betala en sanktionsavgift. Föreskrifter om begränsningar av skyldigheten att rapportera med hänsyn till den information som en leverantör har tillgång till bör inte meddelas med stöd av 8 kap. 7 § eftersom sådana föreskrifter kan innebära en begränsning av en lagstadgad skyldighet. Mot denna bakgrund bör den nya lagen innehålla ett bemyndigande för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter om skyldigheten för leverantörer av digitala tjänster att rapportera incidenter. Regeringens förslag: Den myndighet som regeringen bestämmer ska vara tillsynsmyndighet. Regeringens bedömning: Bestämmelser om vilken eller vilka myndigheter som ska vara tillsynsmyndighet bör meddelas i förordning. Utredningens förslag stämmer i sak överens med regeringens förslag och bedömning. Remissinstanserna: Ingen remissinstans uttalar sig om förslaget att regeringen ska utse vilken eller vilka myndigheter som ska vara tillsynsmyndighet. Flera remissinstanser har emellertid synpunkter på om regeringen bör utse en eller flera tillsynsmyndigheter. har synpunkter på lagbestämmelsens utformning. Skälen för regeringens förslag och bedömning Utgångspunkten är en tillsynsmyndighet för varje sektor Varje medlemsstat ska enligt artikel 8.1 och 8.2 i NIS-direktivet utse en eller flera myndigheter som ska övervaka tillämpningen av direktivet på nationell nivå. I skälen till direktivet anges att medlemsstaterna vid behov bör kunna använda eller anpassa befintliga organisationsstrukturer vid tillämpningen av direktivet (skäl 37). NIS-direktivet omfattar tre typer av leverantörer av digitala tjänster och leverantörer av samhällsviktiga tjänster inom sju olika sektorer. I detta avsnitt benämns för enkelhetens skull även de tre typerna av digitala tjänster som en sektor. Det finns flera olika system för tillsyn inom de sektorer som omfattas av NIS-direktivet. Verksamheterna inom sektorerna har i många fall flera olika tillsynsmyndigheter att förhålla sig till. I de flesta fall avser tillsynen inte säkerhet i nätverk och informationssystem. Vid genomförandet av NIS-direktivets bestämmelser om tillsyn bör man utgå från de förutsättningar som gäller för det specifika tillsynsområdet. Det går inte att bortse ifrån att många tillsynsområden har väsentligen olika förutsättningar som påverkar hur tillsynsregelverket bör utformas för en ändamålsenlig och effektiv tillsyn. NIS-direktivet omfattar verksamheter av vitt skilda slag, såsom vårdgivare, kreditinstitut och registreringsenheter för toppdomäner. Detta talar för att ha olika tillsynsmyndigheter för respektive sektor. Ett system med en tillsynsmyndighet per sektor har vidare fördelen att sådana tillsynsmyndigheter har kunskap om verksamhet i sektorn. Verksamhetskunskap är av betydelse t.ex. för vilka säkerhetsåtgärder som är lämpliga att vidta. Vidare minskar verksamhetskunskap risken för att de krav på säkerhetsåtgärder som finns i olika regelverk kommer att motverka varandra. Inom de olika sektorerna finns dessutom stora skillnader i omfattning och utformning av det regelverk som tillsynen utövas utifrån. 2017/18:205 saknas reglering avseende informationssäkerhet i vissa fall och i andra fall finns tydliga EU-rättsakter på området. Även om den nu föreslagna lagstiftningen utformas på ett enhetligt sätt kommer kraven på säkerhetsåtgärder och incidentrapportering inom de olika sektorerna att se olika ut beroende på vilken verksamhet som regleras, vilket också kommer att påverka utformningen av tillsynen. Även detta talar för att utse en tillsynsmyndighet för varje sektor. Det som främst talar för att utse en tillsynsmyndighet för samtliga sektorer är, såsom flera remissinstanser påpekar, att tillsyn när det gäller säkerhet i nätverk och informationssystem kräver särskild kunskap. Det finns inte myndigheter inom alla sektorer med sådan kompetens som krävs. Flera remissinstanser, däribland Advenica, Inspektionen för vård och omsorg, kommun och , föreslår också med hänsyn till detta att det endast utses en tillsynsmyndighet för samtliga sektorer. Regeringen anser emellertid att det inom de nu berörda sektorerna är viktigt att höja kompetensen när det gäller informationssäkerhet. Det är därför inte orimligt att kräva att tillsynsmyndigheterna skaffar den kompetens som krävs. Med hänsyn särskilt till de skilda förhållanden som råder inom sektorerna och att förutsättningarna för en effektiv tillsyn förbättras om tillsynsmyndigheten har kunskap om den verksamhet som är föremål för tillsynen och om annan närliggande reglering, anser regeringen att utgångspunkten för tillsynens utformning bör vara att det ska finnas en tillsynsmyndighet för varje sektor.