prop · H503205 · 2018-04-06 00:00:00 — I kravet på att vidta tekniska åtgärder kan ingå bl.a. skydd mot oönskad förändring, skydd mot obehörig insyn, skydd av personer, lokaler och utrustning av betydelse för informationssäkerhet samt skydd vid överföring av data. I organisatoriska åtgärder kan bl.a. ingå att upprätta styrdokument, utforma rutiner, och genomföra uppföljningar. Att leverantörens skyldighet att vidta åtgärder avser nätverk och informationssystem som leverantören använder, innebär i enlighet med skälen till direktivet att säkerhetskraven gäller oavsett om leverantören sköter underhållet av sina nätverk och informationssystem internt eller lägger ut uppgifterna på entreprenad (skäl 52). Vid bedömningen av vad som är en lämplig nivå i förhållande till risken ska enligt NIS-direktivet bl.a. den senaste tekniska utvecklingen beaktas. Det innebär att leverantören ska beakta samtliga tekniska lösningar som vid var tid finns tillgängliga på marknaden. Teknisk utveckling kan därför dels medföra att behovet av säkerhetsåtgärder förändras, dels innebära nya möjligheter att vidta effektiva säkerhetsåtgärder. Kravet på att beakta den tekniska utvecklingen behöver enligt regeringens mening inte uttryckas i den nya lagen, utan ingår i att säkerhetsåtgärderna ska uppnå en lämplig säkerhetsnivå. Med hänsyn till att vad som utgör en lämplig nivå på säkerheten i nätverk och informationssystem kan ändras , exempelvis genom förändringar i den föreliggande risken eller genom nya tekniska lösningar, behöver leverantörer av samhällsviktiga tjänster regelbundet och vid behov se över vilka säkerhetsåtgärder som är lämpliga att vidta. Regeringens förslag: Leverantörer av samhällsviktiga tjänster ska vidta lämpliga åtgärder för att förebygga och minimera verkningar av incidenter som påverkar nätverk och informationssystem som de an- vänder för att tillhandahålla samhällsviktiga tjänster. syfta till att säkerställa kontinuiteten i tjänsterna. Utredningens förslag stämmer i sak överens med regeringens. Remissinstanserna tillstyrker eller har inga invändningar mot för- Skälen för regeringens förslag: Enligt artikel 14.2 i NIS-direktivet ska leverantörer av samhällsviktiga tjänster vidta lämpliga åtgärder för att förebygga och minimera verkningarna av incidenter som påverkar säkerheten i nätverk och informationssystem som används för att till- handahålla sådana samhällsviktiga tjänster, i syfte att säkerställa konti- nuiteten i dessa tjänster. En motsvarande bestämmelse bör införas i den nya lagen. att leverantörer av samhällsviktiga tjänster ska vidta lämpliga åtgärder för att förebygga incidenter och dess verkningar och för att begränsa en inträffad incidents verkan, i syfte att säkerställa kontinuiteten i de till- I arbetet med incidenthantering är det viktigt att dra lärdom av inträffade incidenter. Om en incident har inträffat bör det som regel medföra att säkerhetsåtgärderna skyndsamt ses över. 7.1.6 Ytterligare föreskrifter om säkerhetsåtgärder Regeringens förslag: Regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om vad som krävs av leverantörer av samhällsviktiga tjänster för att de ska uppfylla kraven på säkerhetsåtgärder. Regeringens bedömning: Bestämmelser som främjar användningen av europeiska eller internationellt accepterade standarder och specifikationer av relevans för säkerhetsåtgärder bör meddelas i förordning eller myndighetsföreskrifter. Utredningens förslag stämmer i huvudsak överens med regeringens förslag och bedömning. Utredningen har till skillnad från regeringen endast föreslagit ett bemyndigande för föreskrifter om ett systematiskt och riskbaserat informationssäkerhetsarbete. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över förslaget. Skälen för regeringens förslag och bedömning: Det krävs relativt omfattande och detaljerade föreskrifter om vad leverantörer av samhällsviktiga tjänster ska göra för att fullgöra de ovan föreslagna kraven på säkerhetsåtgärder. Sådana föreskrifter bör meddelas i förordning eller myndighetsföreskrifter. Regeringen bedömer att det utöver möjligheten att meddela verkställighetsföreskrifter behövs ett bemyndigande för regeringen eller den myndighet som regeringen bestämmer. Till skillnad från utredningen anser regeringen att ett bemyndigande behövs inte bara för föreskrifter om kravet på ett systematiskt och riskbaserat informationssäkerhetsarbete, utan även för övriga krav på säkerhetsåtgärder. Anledningen till det är att föreskrifter om exempelvis tekniska och organisatoriska säkerhetsåtgärder avses mer i detalj innehålla skyldigheter för dem som träffas av lagen. Den nya lagen bör därför innehålla ett bemyndigande för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter om kraven på ett syste- matiskt och riskbaserat informationssäkerhetsarbete, riskanalys, tekniska Prop. 2017/18:205 och organisatoriska åtgärder och incidenthantering. Enligt artikel 19 i NIS-direktivet ska medlemsstaterna, med hänsyn till behovet av en enhetlig tillämpning av säkerhetsåtgärder inom EU, uppmuntra användningen av europeiska eller internationellt accepterade standarder och specifikationer av relevans för säkerheten i nätverk och informationssystem. Bestämmelser som främjar användningen av sådana standarder och specifikationer bör enligt regeringens bedömning meddelas i förordning eller myndighetsföreskrifter. 7.2.1Befintliga bestämmelser om incidentrapportering är inte tillräckliga Regeringens bedömning: NIS-direktivet kräver nya bestämmelser om incidentrapportering. Utredningens bedömning stämmer överens med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över be- Skälen för regeringens bedömning: Enligt NIS-direktivet ska leverantörer av samhällsviktiga tjänster, utan onödigt dröjsmål, till den behöriga myndigheten eller CSIRT-enheten rapportera incidenter som har en betydande inverkan på kontinuiteten i de samhällsviktiga tjänster som de tillhandahåller (artikel 14.3). Leverantörer som omfattas av NIS-direktivet kan även omfattas av andra krav på rapportering av incidenter. Exempelvis är statliga myndigheter enligt förordningen om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap skyldiga att till MSB skyndsamt rapportera incidenter som inträffat i myndighetens informationssystem och som allvarligt kan påverka säkerheten i den informationshantering som myndigheten ansvarar för. Vidare ska vissa incidenter enligt 10 a § säkerhetsskyddsförordningen (1996:633) anmälas till den myndighet som utövar tillsyn över säkerhetsskyddet. Det finns även sektorsspecifika krav på rapportering av incidenter i vissa av de sektorer som omfattas av NIS-direktivet. Exempelvis finns inom sektorn finansmarknadsinfrastruktur krav i lagen om värdepappersmarknaden om att rapportera händelser av väsentlig betydelse. när dataskyddsförordningen ska börja tillämpas finns även en skyldighet enligt artikel 33 i den förordningen att anmäla s.k. personuppgiftsincidenter, dvs. säkerhetsincidenter som oavsiktligt påverkar behandlingen av personuppgifter. Den befintliga regleringen om incidentrapportering är inte heltäckande och motsvarar i vissa fall inte de krav som NIS-direktivet ställer. Regeringens bedömning är därför att det i den nya lagen måste införas bestämmelser med krav på incidentrapportering enligt NIS-direktivet. 2017/18:205 7.2.2 Vilka incidenter ska rapporteras? Regeringens förslag: Leverantörer av samhällsviktiga tjänster ska rapportera incidenter som har en betydande inverkan på kontinuiteten i den samhällsviktiga tjänst de tillhandahåller. Regeringens bedömning: Bestämmelser om vilka faktorer som ska beaktas vid bedömningen av om en incident har en betydande inver- kan på kontinuiteten i en samhällsviktig tjänst, och därför medför krav på rapportering, bör meddelas i förordning eller myndighetsföre- Utredningens förslag stämmer i huvudsak överens med regeringens förslag och bedömning. Utredningen har föreslagit en bestämmelse om att leverantörer av samhällsviktiga tjänster ska rapportera varje inverkan på kontinuiteten i den samhällsviktiga tjänst som de tillhandahåller på grund av en incident som även har påverkat en tredjepartsleverantör av Vidare har utredningen föreslagit att vissa faktorer som ska beaktas för att bedöma om en incident har en betydande inverkan på kontinuiteten ska regleras i den nya lagen. Säkerhetspolisen och Försvarsmakten anser att fler incidenter än vad som har föreslagits bör omfattas av krav på rappor- Energiföretagen och anser att kravet på att rapportera incidenter, oavsett om de har skett hos en tredje- partsleverantör av digitala tjänster, kan innebära att ett orimligt ansvar läggs på leverantörer av samhällsviktiga tjänster. bl.a. Netnod, efterfrågar tydliggörande av när rapportering ska ske enligt den nya lagen och enligt andra regelverk. Säkerhetspolisen anser att det bör klargöras vilken myndighet som ska avgöra enligt vilket regelverk en leverantör ska rapportera en incident om det inte råder konsensus mellan och Kommuner och Landsting påpekar att det är viktigt med tydliga skrivningar om vilka incidenter som ska rapporteras. Skälen för regeringens förslag och bedömning Incidenter som har en betydande inverkan på kontinuiteten ska Enligt artikel 14.3 i NIS-direktivet ska leverantörer av samhällsviktiga tjänster rapportera incidenter som har en betydande inverkan på kontinui- teten i de samhällsviktiga tjänster som de tillhandahåller. törer av samhällsviktiga tjänster är beroende av en tredjepartsleverantör av digitala tjänster för att tillhandahålla en tjänst som är viktig för att upprätthålla kritisk samhällelig och ekonomisk verksamhet, ska leveran- törerna av samhällsviktiga tjänster rapportera varje betydande inverkan på kontinuiteten i de samhällsviktiga tjänsterna till följd av en incident som påverkar leverantören av digitala tjänster (artikel 16.5). incident avses en händelse med en faktisk negativ inverkan på säkerheten i nätverk och informationssystem (artikel 4.7). Försvarsmakten och Säkerhetspolisen anser att det bör införas krav på att rapportera fler incidenter än vad som krävs enligt NIS-direktivet. Försvarsmakten anser att även incidenter som inte har fått en omedelbar effekt på kontinuiteten i de berörda tjänsterna, men som kan leda till en sådan inverkan, bör omfattas av rapporteringskraven. Säkerhetspolisen anser att även andra incidenter än sådana som påverkar tjänstens kontinuitet bör omfattas av rapporteringsskyldigheten. Regeringen instämmer i att det kan finnas behov av bestämmelser om incidentrapportering med anledning av andra incidenter än de som regleras av NIS-direktivet. Regeringen anser emellertid inte att det finns beredningsunderlag för att hantera sådana mer övergripande frågor om informationssäkerhet inom ramen för detta lagstiftningsärende. Enligt den nya lagen ska alltså incidenter med en betydande inverkan på kontinuiteten i samhällsviktiga tjänster rapporteras. Det innebär att incidenter som inverkar negativt på tjänsterna på andra sätt inte behöver rapporteras enligt den nya lagen. När det gäller sådana incidenter kan det dock finnas rapporteringskrav i andra regelverk. Vad som krävs för att en påverkan på kontinuiteten ska anses vara betydande utvecklas närmare nedan. För att motsvara de krav som ställs i artiklarna 14.3 och 16.5 i NIS- direktivet bör bestämmelsen utformas så att den ålägger leverantörer att rapportera incidenter som har en betydande inverkan på kontinuiteten i den samhällsviktiga tjänst de tillhandahåller. En sådan bestämmelse innebär att leverantörer ska rapportera incidenter oavsett var incidenten har skett. Leverantörer av samhällsviktiga tjänster kommer därför även att ha en skyldighet att rapportera incidenter hos exempelvis en tredjepartsleverantör och följdincidenter på grund av en sådan incident, under förutsättning att incidenten har en betydande inverkan på den samhällsviktiga tjänst som leverantören tillhandahåller. Regeringen ser därför inget behov av en sådan särskild bestämmelse om skyldighet att rapportera påverkan på kontinuiteten på grund av en incident som även har påverkat en tredjepartsleverantör av digitala tjänster som utredningen har föreslagit. Energiföretagen och anser att skyldigheten att rapportera incidenter hos tredjepartsleverantörer av digitala tjänster kan innebära att ett orimligt ansvar läggs på leverantörer av samhällsviktiga tjänster. Energiföretagen menar att kravet innebär att leverantörer av samhällsviktiga tjänster måste stå som garant för tredjepartsleverantörers säkerhet samt ha full överblick över tredjepartsleverantörers risker. efterfrågar klargöranden av hur långt ansvaret för tredjepartsleverantörers säkerhet sträcker sig. Med anledning av Energiföretagen läns landstings synpunkter finns det anledning att poängtera att leverantörer av samhällsviktiga tjänster inom ramen för det egna säkerhetsarbetet kan ha anledning att beakta eventuella risker som är kopplade till en tredjepartsleverantör som leverantören är beroende av för att tillhandahålla den samhällsviktiga tjänsten. Däremot innebär kravet på att rapportera incidenter som härrör från en tredjepartsleverantör inte att leverantörer av samhällsviktiga tjänster övertar tredjepartsleverantörens eventuella skyldigheter att vidta säkerhetsåtgärder. Det är också naturligt att leverantörer inte alltid kommer att ha förutsättningar att kunna rapportera närmare detaljer kring en incident som har sitt ursprung hos en tredjepartsleverantör. 2017/18:205 Flera remissinstanser, bl.a. Netnod, vill att det tydliggörs när rapportering ska ske enligt den nya lagen och enligt andra regelverk. Som framgår av avsnitt 5.4 ska vissa leverantörer av betrodda tjänster, vissa leverantörer av elektroniska kommunikationstjänster och leverantörer som omfattas av krav i annan författning som motsvarar skyldigheterna i den nya lagen inte tillämpa den nya lagen alls. Sådana leverantörer ska således inte rapportera incidenter enligt den nya lagen. Rapporteringskraven i den nya lagen ska inte heller gälla för säkerhetskänslig verksamhet. Incidenter i sådan verksamhet ska även fortsättningsvis rapporteras enligt säkerhetsskyddsregleringen. Vidare ska de nu föreslagna rapporteringskraven inte gälla för leverantörer av digitala tjänster som är mikroföretag eller små företag. I övrigt ersätter inte rapporteringskrav i andra regelverk de krav på incidentrapportering som föreslås. Vissa leverantörer kan därför, vilket flera remissinstanser såsom också påpekar, vara tvungna att rapportera samma incident enligt flera regelverk. Om en leverantör av samhällsviktiga tjänster är osäker på vilket eller vilka regelverk som gäller för en inträffad incident bör berörda tillsynsmyndigheter kontaktas. Råder det tveksamhet om en incident ska rapporteras enligt säkerhetsskyddsregleringen bör leverantören i första hand kontakta Säkerhetspolisen eller Försvarsmakten för vägledning. Om en incident som rör säkerhet felaktigt rapporteras enligt den nya lagen bör vidare leverantören uppmärksammas på detta. Regeringen förutsätter att berörda myndigheter kan samverka kring vart och enligt vilket regelverk incidentrapportering ska ske och ser därför inget behov av att, såsom Säkerhetspolisen föreslår, reglera att någon myndighet ska ha tolkningsföreträde i det avseendet. Föreskrifter om vad som avses med en betydande inverkan på kontinuiteten Vid bedömningen av om en incident har en betydande inverkan på kontinuiteten i den samhällsviktiga tjänsten ska, enligt artikel 14.4 i NIS- direktivet, hänsyn framför allt tas till ett antal angivna faktorer. De faktorer som är av betydelse vid bedömningen är det antal användare som påverkas av störningen i den samhällsviktiga tjänsten, hur länge incidenten varar och hur stort geografiskt område som påverkas av incidenten. Som och Kommuner och Landsting påpekar är det viktigt med tydlighet i fråga om vilka incidenter som ska rapporteras. Enligt regeringen kan det därför behövas ytterligare vägledning för att berörda leverantörer ska kunna avgöra om en incident kan anses ha en betydande inverkan på kontinuiteten. Förutom de redan angivna faktorerna bör även sektorsspecifika förhållanden kunna beaktas. Utredningen har föreslagit att bestämmelser som motsvarar artikel 14.4 bör införas i den nya lagen och att andra bestämmelser om vilka faktorer som ska beaktas för att avgöra om en incident har betydande inverkan på kontinuiteten bör meddelas i förordning eller myndighetsföreskrifter. För att inte onödigt tynga den nya lagen med detaljerade bestämmelser anser regeringen dock att samtliga bestämmelser om vilka faktorer som ska be- aktas bör meddelas i förordning eller myndighetsföreskrifter. föreskrifter ska, i enlighet med förslaget i avsnitt 7.2.7, få meddelas av Prop. 2017/18:205 regeringen eller den myndighet som regeringen bestämmer. 7.2.3Till vilken myndighet ska incidentrapporteringen göras? Regeringens förslag: I den nya lagen ska det anges att incidentrapporteringen ska göras till den myndighet som regeringen bestämmer. Regeringens bedömning: Incidentrapporteringen bör göras till den s.k. CSIRT-enheten. Utredningens förslag stämmer i sak överens med regeringens förslag Utredningen har föreslagit att det i den nya lagen ska anges att incidentrapporteringen ska göras till CSIRT-enheten. Remissinstanserna: anser att rapportering bör ske till både CSIRT-enheten och tillsynsmyndigheten. efterfrågar samordning av incidentrapportering enligt olika regelverk. Skälen för regeringens förslag och bedömning: Enligt artikel 14.3 i NIS-direktivet ska incidentrapporteringen ske till den behöriga myndig- heten, dvs. tillsynsmyndigheten, eller CSIRT-enheten. om leverantörer av samhällsviktiga tjänster ska rapportera till tillsyns- myndigheten eller till CSIRT-enheten. I avsnitt 9.1 gör regeringen bedömningen att det som utgångspunkt ska utses en tillsynsmyndighet för varje sektor. utöva tillsyn över tillämpningen av den nya lagen. kommer vid en incidentrapportering är ett av de viktigaste verktygen i Det talar för att rapporteringen ska ske till I avsnitt 11.2 gör regeringen bedömningen att MSB som utgångspunkt ska vara CSIRT-enhet (Computer Security Incident Response Team). CSIRT-enhetens uppgifter ska enligt direktivet omfatta bl.a. övervakning av incidenter på nationell nivå, tillhandahållande av tidiga varningar, informationsspridning till relevanta aktörer vid incidenter, åtgärder vid incidenter, tillhandahållande av dynamisk risk- och incidentanalys samt deltagande i (bilaga 1). som har inrättats genom direktivet och som består av företrädare för medlemsstaternas CSIRT-enheter och CERT-EU (incidenthanterings- organisationen för EU:s institutioner, organ och kontor). närvarande i nätverket för räkning. olika sätt bidra till utveckling av förtroende och tillit mellan medlems- staterna och främja ett snabbt och effektivt operativt samarbete (artikel Mot bakgrund av CSIRT-enhetens roll och uppdrag när det gäller han- tering av incidenter är regeringens bedömning att incidentrapportering enligt den nya lagen bör göras till CSIRT-enheten. tillsynsmyndigheternas behov av information om incidenter bör det dock i förordning införas bestämmelser om att CSIRT-enheten ska överlämna information om incidenter till den tillsynsmyndighet som utövar tillsyn över den rapporterande leverantören, se avsnitt 11.2. 2017/18:205 inte, som förespråkar, ske även till tillsynsmyndigheten eftersom det skulle innebära att fler myndigheter behöver ta fram och bekosta sådan infrastruktur som behövs för att på ett lämpligt sätt kunna ta emot incidentrapporter. Uttrycket CSIRT-enheten bör inte användas i lagtext. I den nya lagen ska därför anges att rapporteringen ska ske till den myndighet som regeringen bestämmer. Flera remissinstanser, såsom , och Kommuner och Landsting, efterfrågar samordning av incidentrapportering enligt olika regelverk. Kommuner och Landsting menar exempelvis att en myndighet borde ta emot incidentrapporter enligt flera regelverk och sedan skicka vidare till andra berörda myndigheter. Regeringen instämmer i att det – i den mån det är möjligt – kan finnas fördelar med att samordna rapportering enligt olika regelverk. Det finns dock inte beredningsunderlag för att genomföra en sådan samordning som remissinstanserna efterfrågar inom ramen för detta lagstiftningsärende. 7.2.4När i tiden ska leverantörer rapportera incidenter? Regeringens förslag: Rapporteringen ska göras utan onödigt dröjsmål. Utredningens förslag stämmer överens med regeringens. Remissinstanserna: Energigas och tillstyrker förslaget. anser att det bör klargöras vad som menas med utan onödigt dröjsmål. Bodens kommun och kommun anser att det bör sättas en bestämd tidsgräns för när rapportering ska ske. Skälen för regeringens förslag: Enligt artikel 14.3 i NIS-direktivet ska rapportering av incidenter ske utan onödigt dröjsmål. I den nya lagen bör det införas en motsvarande bestämmelse. anser att det bör klargöras vad som menas med utan onödigt dröjsmål. Någon närmare precisering anges inte i direktivet. Att CSIRT-enheten ska underrättas utan onödigt dröjsmål när en incident som har en betydande inverkan på kontinuiteten i den samhällsviktiga tjänsten har inträffat bör dock innebära att den berörda leverantören ska rapportera så snart de uppgifter som ska lämnas finns tillgängliga. Mot bakgrund av direktivets syfte att säkerställa kontinuiteten i de samhällsviktiga tjänsterna är det dock inte rimligt att leverantören, för att fullgöra sin rapporteringsskyldighet, tvingas att prioritera ned arbetet med att hantera den inträffade incidenten. Rapporteringen bör därför ske efter att de första kritiska åtgärderna för att avhjälpa incidenten har vidtagits. Om en incident påverkar fler leverantörer eller om en incident är gränsöverskridande bör dock rapporteringen ske för att konsekvenserna ska kunna begränsas. Med hänsyn till att innebörden av utan onödigt dröjsmål kan variera kraftigt bör någon absolut tidsgräns – såsom Bodens kommun och kommun efterfrågar – inte införas i den nya lagen. Närmare bestämmelser om när i tiden rapportering ska ske kan meddelas av regeringen eller den myndighet som regeringen bestämmer. Vilken information ska en incidentrapport Regeringens bedömning: Bestämmelser om vilken information en incidentrapport ska innehålla bör meddelas i förordning eller myndighetsföreskrifter. Utredningens förslag stämmer delvis överens med regeringens bedömning. Utredningen har föreslagit att vissa bestämmelser om vilken information som en incidentrapport ska innehålla ska tas in i den nya lagen. Vidare har utredningen föreslagit att det i den nya lagen ska införas en bestämmelse om att incidentrapportering inte ska medföra ökat ansvar för den rapporterande parten. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över förslaget. Skälen för regeringens bedömning: Enligt artikel 14.3 i NIS- direktivet ska en incidentrapport innehålla uppgifter som gör det möjligt för CSIRT-enheten att fastställa incidentens eventuella gränsöverskridande verkningar. Några andra uttryckliga krav på vad en incidentrapport ska innehålla ställs inte i NIS-direktivet. För att uppfylla syftet med incidentrapporteringen bör dock en rapport innehålla information som gör att tillsynsmyndigheterna och den nationella kontaktpunkten kan fullgöra sina uppgifter, se avsnitt 9.2 och 11.1. Det innebär att en incidentrapport behöver innehålla bl.a. en beskrivning av incidenten och de åtgärder som har vidtagits för att hantera den. Utredningen har föreslagit att kravet på att incidentrapporter ska innehålla information som gör det möjligt för CSIRT-enheten att fastställa incidentens eventuella gränsöverskridande verkningar bör meddelas i lag och att andra bestämmelser om t.ex. vad rapporterna ska innehålla och de närmare formerna för rapporteringen ska meddelas i förordning eller myndighetsföreskrifter.