prop · H503205 · 2018-04-06 00:00:00 — Regeringens proposition 2017/18:205 Informationssäkerhet för samhällsviktiga och Regeringen överlämnar denna proposition till . Nätverk och informationssystem spelar en allt viktigare roll i samhället. Deras tillförlitlighet och säkerhet är grundläggande för ekonomisk och samhällelig verksamhet och den inre marknadens funktion. och rådet antog därför 2016 ett direktiv om åtgärder för en hög gemensam nivå på säkerhet i nätverk och informationssystem inom hela EU, det s.k. NIS-direktivet. I syfte att genomföra NIS-direktivet i svensk rätt föreslår regeringen en ny lag om informationssäkerhet för samhällsviktiga och digitala tjänster. Den nya lagen innebär bl.a. att •vissa leverantörer av samhällsviktiga och digitala tjänster ska vidta säkerhetsåtgärder till skydd för säkerheten i nätverk och informationssystem •leverantörerna ska rapportera incidenter som påverkar kontinuiteten i tjänsterna •den myndighet som regeringen bestämmer ska utöva tillsyn över att lagen och föreskrifter som har meddelats i anslutning till den följs, och ska kunna besluta om vitesföreläggande och sanktionsavgift mot den som inte följer lagens bestämmelser. Den nya lagen föreslås träda i kraft . Förslag till riksdagsbeslut ................................................................. Förslag till lag om informationssäkerhet för samhällsviktiga och digitala tjänster .................................. 2.2Förslag till lag om ändring i lagen (2018:000) om informationssäkerhet för samhällsviktiga och Ärendet och dess beredning ............................................................ Övergripande om NIS-direktivet .................................................... En ny lag om informationssäkerhet för samhällsviktiga och En ny lag ska införas ........................................................ Syftet med lagen............................................................... 5.3Lagen ska gälla för vissa leverantörer av samhällsviktiga och digitala tjänster ................................ Undantag från lagens tillämpningsområde ....................... betrodda tjänster och mikroföretag eller Bestämmelser om informationssäkerhet i 5.5Leverantörer av digitala tjänster ska i vissa fall utse Uttryck i lagen.................................................................. Identifiering av leverantörer av samhällsviktiga tjänster ................ 6.1Inledande om NIS-direktivets krav på identifiering av leverantörer av samhällsviktiga tjänster ...................... Förteckning över samhällsviktiga tjänster........................ 6.3Bedömning av vilka leverantörer av samhällsviktiga tjänster som är etablerade i .................................. Säkerhetsåtgärder och incidentrapportering för leverantörer av samhällsviktiga tjänster .............................................................. säkerhetsåtgärder är inte tillräckliga................ Ett systematiskt arbete..................................... Tekniska och organisatoriska åtgärder ............ incidentrapportering är inte tillräckliga ........... Vilka incidenter ska rapporteras? Till vilken myndighet ska När i tiden ska leverantörer rapportera Vilken information ska en incidentrapport Frivillig rapportering av incidenter ................. Säkerhetsåtgärder och incidentrapportering för leverantörer Tillsynens ...............................övergripande utformning Ingripanden ............................................................och sanktioner Straffbestämmelser bör inte införas 10.2Vilka administrativa sanktioner och andra möjligheter till ingripande ska införas? Ett sanktionsavgiftssystem med strikt Hur sanktionsavgiften ska bestämmas i det enskilda fallet............................................ Hinder mot sanktionsavgift ............................ Omedelbar verkställbarhet av förelägganden .................. 11 Nationell kontaktpunkt, CSIRT-enhet och samarbetsgrupp........... 12.1Behövs ett starkare skydd för uppgifter som leverantörer ska rapportera vid en incident och tillhandahålla vid tillsyn? Behövs ytterligare reglering för att tillgodose NIS- direktivets krav på informationsutbyte med andra medlemsstater och kommissionen? 2017/18:205 15 Författningskommentar................................................................... Förslaget till lag om informationssäkerhet för samhällsviktiga och digitala tjänster ................................ Förslaget till lag om ändring i lagen (2018:000) om informationssäkerhet för samhällsviktiga och Informationssäkerhet för samhällsviktiga och digitala tjänster (SOU 2017:36)...................................... Förteckning över remissinstanserna ............................... Utdrag ur protokoll vid regeringssammanträde ....... Regeringen föreslår att antar regeringens förslag till 1.lag om informationssäkerhet för samhällsviktiga och digitala tjänster, 2.lag om ändring i lagen (2018:000) om informationssäkerhet för samhällsviktiga och digitala tjänster. 2017/18:205 2 Regeringen har följande förslag till lagtext. 2.1Förslag till lag om informationssäkerhet för samhällsviktiga och digitala tjänster Härigenom föreskrivs1 följande. 1 § Syftet med denna lag är att uppnå en hög nivå på säkerheten i nätverk och informationssystem för 1. samhällsviktiga tjänster inom sektorerna –hälso- och sjukvård, –leverans och distribution av dricksvatten, –digital infrastruktur, och 2. digitala tjänster. 2 § I lagen avses med 1. nätverk och informationssystem: a)ett elektroniskt kommunikationsnät enligt 1 kap. 7 § lagen (2003:389) om elektronisk kommunikation, b)en enhet eller en grupp enheter som är sammankopplade eller hör samman med varandra, av vilka en eller flera genom ett program utför automatisk behandling av digitala uppgifter, eller c)digitala uppgifter som lagras, behandlas, hämtas eller överförs med sådana hjälpmedel som omfattas av a och b för att de ska kunna driftas, användas, skyddas och underhållas, 2. säkerhet i nätverk och informationssystem: nätverks och informationssystems förmåga att vid en viss tillförlitlighetsnivå motstå åtgärder som undergräver tillgängligheten, autenticiteten, riktigheten eller konfidentialiteten hos lagrade, överförda eller behandlade uppgifter eller hos de besläktade tjänster som erbjuds genom eller är tillgängliga via dessa nätverk och informationssystem, 3. samhällsviktig tjänst: en tjänst som är viktig för att upprätthålla kritisk samhällelig eller ekonomisk verksamhet, 1 Jfr och rådets direktiv (EU) 2016/1148 av om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen, i den ursprungliga lydelsen. 4. digital tjänst: en tjänst i den mening som avses i artikel 1.1 b i och rådets direktiv (EU) 2015/1535 av om ett informationsförfarande beträffande tekniska föreskrifter och beträffande föreskrifter för informationssamhällets tjänster, och som utgör en internetbaserad marknadsplats, internetbaserad sökmotor eller molntjänst, 5. internetbaserad marknadsplats: en tjänst som gör det möjligt för konsumenter eller näringsidkare enligt definitionen i artikel 4.1 a respektive 4.1 b i och rådets direktiv /11/EU av om alternativ tvistlösning vid konsumenttvister och om ändring av förordning (EG) nr 2006/2004 och direktiv /22/EG (direktivet om alternativ tvistlösning) att ingå internetbaserade köpeavtal eller tjänsteavtal med näringsidkare, antingen på webbplatsen för den internetbaserade marknadsplatsen eller på en webbplats som tillhör en näringsidkare och där datatjänster som tillhandahålls av en internetbaserad marknadsplats används, 6. internetbaserad sökmotor: en tjänst som gör det möjligt för användare att göra sökningar på i princip alla webbplatser eller webbplatser på ett visst språk genom en förfrågan om vilket ämne som helst i form av ett nyckelord, en fras eller någon annan inmatning, och som returnerar länkar som innehåller information om det begärda innehållet, 7.molntjänst: en tjänst som möjliggör tillgång till en skalbar och elastisk pool av delbara dataresurser, 8.NIS-direktivet: och rådets direktiv (EU) 2016/1148 av om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen, 9.företrädare: en fysisk eller juridisk person som uttryckligen har utsetts att agera för en leverantör och till vilken myndigheter kan vända sig, istället för till leverantören, i frågor som gäller de skyldigheter som leverantören har enligt NIS-direktivet, 10.incident: en händelse med en faktisk negativ inverkan på säker- heten i nätverk och informationssystem, och 11. risk: en rimligen identifierbar omständighet eller händelse med en potentiell negativ inverkan på säkerheten i nätverk och informationssystem. 3 § Lagen gäller för 1.leverantörer av det slag som anges i bilaga 2 till NIS-direktivet och som tillhandahåller en samhällsviktig tjänst, under förutsättning att leverantören är etablerad i , att tillhandahållandet av tjänsten är beroende av nätverk och informationssystem och att en incident skulle medföra en betydande störning vid tillhandahållandet av tjänsten (leverantörer av samhällsviktiga tjänster), och 2.juridiska personer som tillhandahåller en digital tjänst och som har sitt huvudsakliga etableringsställe i eller har utsett en företrädare som är etablerad här (leverantörer av digitala tjänster). I 10 § finns en bestämmelse som gäller för andra leverantörer. 2017/18:205 4 § Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om vilka tjänster som är samhällsviktiga tjänster och vad som avses med en betydande störning enligt 3 § första stycket 1. Undantag från lagens tillämpningsområde Leverantörer av elektroniska kommunikationstjänster 5 § Lagen gäller inte för företag som tillhandahåller allmänna kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster och därför omfattas av kraven i 5 kap. 6 b och c §§ lagen (2003:389) om elektronisk kommunikation. Leverantörer av betrodda tjänster 6 § Lagen gäller inte för leverantörer av betrodda tjänster som omfattas av kraven i artikel 19 i och rådets förordning (EU) nr 910/2014 av om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv /93/EG. Leverantörer av digitala tjänster som är mikroföretag eller små företag 7 § Lagen gäller inte för leverantörer av digitala tjänster som är mikroföretag eller små företag enligt definitionen i kommissionens rekommendation 2003/361/EG av om definitionen av mikroföretag samt små och medelstora företag. 8 § Lagen gäller inte för verksamhet som omfattas av krav på säkerhetsskydd enligt säkerhetsskyddslagen (1996:627). Leverantörer som omfattas av krav på informationssäkerhet i andra författningar 9 § Om det i lag eller annan författning finns bestämmelser som innehåller krav på säkerhetsåtgärder och incidentrapportering ska de bestämmelserna gälla om verkan av kraven minst motsvarar verkan av skyldigheterna enligt denna lag, med beaktande av bestämmelsernas omfattning samt vilken tillsyn och vilka sanktioner som är kopplade till kraven i bestämmelserna. 10 § En juridisk person som erbjuder digitala tjänster i men som inte har sitt huvudsakliga etableringsställe inom Europeiska unionen och inte heller har utsett en företrädare som är etablerad i en medlemsstat där tjänsterna erbjuds, ska, om inte något undantag från lagens tillämpnings- område enligt 5–9 §§ är tillämpligt, utse en sådan företrädare. Skyldigheter för leverantörer av samhällsviktiga tjänster 11 § Leverantörer av samhällsviktiga tjänster ska bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete avseende nätverk och informationssystem som de använder för att tillhandahålla samhällsviktiga tjänster. 12 § Leverantörer av samhällsviktiga tjänster ska göra en riskanalys som ska ligga till grund för val av säkerhetsåtgärder enligt 13 och 14 §§. I analysen ska det ingå en åtgärdsplan. Analysen ska dokumenteras och uppdateras . 13 § Leverantörer av samhällsviktiga tjänster ska vidta ändamålsenliga och proportionella tekniska och organisatoriska åtgärder för att hantera risker som hotar säkerheten i nätverk och informationssystem som de använder för att tillhandahålla samhällsviktiga tjänster. Åtgärderna ska säkerställa en nivå på säkerheten i nätverken och informationssystemen som är lämplig i förhållande till risken. 14 § Leverantörer av samhällsviktiga tjänster ska vidta lämpliga åtgärder för att förebygga och minimera verkningar av incidenter som påverkar nätverk och informationssystem som de använder för att tillhandahålla samhällsviktiga tjänster. Åtgärderna ska syfta till att säkerställa kontinuiteten i tjänsterna. Skyldigheter för leverantörer av digitala tjänster 15 § Leverantörer av digitala tjänster ska vidta de tekniska och organisatoriska åtgärder som de anser ändamålsenliga och proportionella och som hanterar risker som hotar säkerheten i nätverk och informationssystem som de använder när de tillhandahåller digitala tjänster inom Europeiska unionen. Åtgärderna ska säkerställa en nivå på säkerheten i nätverken och informationssystemen som är lämplig i förhållande till risken. 16 § Leverantörer av digitala tjänster ska vidta åtgärder för att förebygga och minimera verkningar av incidenter som påverkar nätverk och informationssystem som de använder. Skyldigheten gäller endast i förhållande till verkningar som sådana incidenter har på digitala tjänster som leverantören erbjuder inom Europeiska unionen. Åtgärderna ska syfta till att säkerställa kontinuiteten i tjänsterna. 17 § Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om säkerhetsåtgärder enligt 11–16 §§. 2017/18:205 Incidentrapportering Rapporteringsskyldighet för leverantörer av samhällsviktiga tjänster 18 § Leverantörer av samhällsviktiga tjänster ska utan onödigt dröjsmål rapportera incidenter som har en betydande inverkan på kontinuiteten i den samhällsviktiga tjänst som de tillhandahåller. Rapporteringen ska göras till den myndighet som regeringen bestämmer. Rapporteringsskyldighet för leverantörer av digitala tjänster 19 § Leverantörer av digitala tjänster ska utan onödigt dröjsmål rapportera incidenter som har en avsevärd inverkan på tillhandahållandet av en digital tjänst som de erbjuder inom Europeiska unionen. Rapporteringen ska göras till den myndighet som regeringen bestämmer. 20 § Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om incidentrapportering enligt 18 och 19 §§. 21 § Den myndighet som regeringen bestämmer ska vara tillsyns- ska utöva tillsyn över att denna lag och föreskrifter som har meddelats i anslutning till lagen följs. 22 § Tillsynsåtgärder när det gäller leverantörer av digitala tjänster får vidtas endast när tillsynsmyndigheten har befogad anledning att anta att en leverantör inte uppfyller kraven i 15, 16 eller 19 §. Anmälningsskyldighet för leverantörer av samhällsviktiga tjänster 23 § Leverantörer av samhällsviktiga tjänster ska utan dröjsmål anmäla sig till tillsynsmyndigheten. Av en anmälan ska det framgå om leveran- tören tillhandahåller en samhällsviktig tjänst i två eller flera medlems- stater inom Europeiska unionen. 24 § Den som står under tillsyn ska på begäran tillhandahålla tillsyns- myndigheten den information som behövs för tillsynen. 25 § har i den omfattning det behövs för tillsynen rätt att få tillträde till områden, lokaler och andra utrymmen, dock inte bostäder, som används i verksamhet som omfattas av lagen. 26 § får förelägga den som står under tillsyn att tillhandahålla information och ge tillträde enligt 24 och 25 §§. Ett sådant föreläggande får förenas med vite. 27 § får begära handräckning av för att genomföra de åtgärder som avses i 24 och 25 §§. Vid handräckning gäller bestämmelserna i utsökningsbalken om verkställighet av förpliktelser som inte avser betalningsskyldighet, avhysning eller avlägsnande. 28 § får meddela de förelägganden som behövs för att leverantörer ska uppfylla kraven på utseende av företrädare, säkerhetsåtgärder och incidentrapportering enligt 10, 12–16, 18 och 19 §§ och enligt föreskrifter som har meddelats i anslutning till de paragraferna. Ett sådant föreläggande får förenas med vite. 29 § ska ta ut en sanktionsavgift av den som underlåter att 1.göra en anmälan till tillsynsmyndigheten enligt 23 § eller enligt föreskrifter som har meddelats i anslutning till den paragrafen, 2.vidta säkerhetsåtgärder enligt någon av 12–16 §§ eller enligt föreskrifter som har meddelats i anslutning till de paragraferna, eller 3.rapportera incidenter enligt 18 eller 19 § eller enligt föreskrifter som har meddelats i anslutning till de paragraferna. 30 § En sanktionsavgift ska bestämmas till lägst och högst . 31 § När sanktionsavgiftens storlek bestäms ska särskild hänsyn tas till den skada eller risk för skada som uppstått till följd av överträdelsen, om leverantören har begått en överträdelse och de kostnader som leverantören har undvikit till följd av överträdelsen. 32 § En sanktionsavgift får efterges helt eller delvis om överträdelsen är ringa eller ursäktlig eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut avgiften. 33 § En sanktionsavgift får inte beslutas om överträdelsen omfattas av ett föreläggande om vite och överträdelsen ligger till grund för en ansökan om utdömande av vitet. 34 § En sanktionsavgift får endast beslutas om den som avgiften ska tas ut av har fått tillfälle att yttra sig från det att överträdelsen ägde rum. Ett beslut om sanktionsavgift ska delges. 2017/18:205 35 § En sanktionsavgift ska betalas till tillsynsmyndigheten från det att beslutet om att ta ut avgiften har fått laga kraft eller inom den som anges i beslutet. Om sanktionsavgiften inte betalas inom den tid som anges i första stycket, ska myndigheten lämna den obetalda avgiften för indrivning. Bestämmelser om indrivning finns i lagen (1993:891) om indrivning av statliga fordringar m.m. Vid indrivning får verkställighet ske enligt utsökningsbalken. En sanktionsavgift tillfaller staten. 36 § En beslutad sanktionsavgift faller bort till den del beslutet om avgiften inte har verkställts från det att beslutet fick laga kraft. 37 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om verkställighet av denna lag. Förordnande om att beslut ska gälla 38 § får bestämma att ett beslut om föreläggande enligt denna lag ska gälla . 39 § beslut enligt denna lag får överklagas till allmän förvaltningsdomstol. När ett sådant beslut överklagas är tillsynsmyndigheten motpart i domstolen. Prövningstillstånd krävs vid överklagande till kammarrätten. Denna lag träder i kraft . 2.2 Förslag till lag om ändring i lagen (2018:000) Prop. 2017/18:205 om informationssäkerhet för samhällsviktiga Härigenom föreskrivs att 8 § lagen (2018:000) om informationssäkerhet för samhällsviktiga och digitala tjänster ska ha följande lydelse. Lydelse enligt SFS 2018:000 Lagen gäller inte för verksamhet som omfattas av krav på säkerhetsskydd enligt säkerhetsskyddslagen (1996:627). Lagen gäller inte för verksamhet som omfattas av säkerhetsskyddslagen (2018:000). Denna lag träder i kraft . 2017/18:205 3 Ärendet och dess beredning antog och rådet direktiv (EU) 2016/1148 om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och in- formationssystem i hela unionen, kallat NIS-direktivet. ska anta och offentliggöra de bestämmelser i lagar och andra författningar som är nödvändiga för att genomföra direktivet. Dessa bestämmelser ska tillämpas . direktivet finns i bilaga 1. Regeringen beslutade att ge en särskild utredare i uppdrag att föreslå hur NIS-direktivet ska genomföras i svensk rätt. överlämnade utredaren betänkandet Informationssäkerhet för samhällsviktiga och digitala tjänster (SOU 2017:36). av betänkandet finns i bilaga 2. Betänkandets lagförslag finns i bilaga 3. Betänkandet har remitterats. En förteckning över remissinstanserna finns i bilaga 4. Remissyttrandena finns tillgängliga i Justitiedeparte- mentet (Ju2017/03997/L4). I denna proposition föreslås de lagändringar som bedöms nödvändiga för att genomföra NIS-direktivet i svensk rätt. Regeringen beslutade att inhämta Lagrådets yttrande över de lagförslag som finns i bilaga 5. i bilaga 6. Regeringen följer i allt väsentligt Lagrådets synpunkter. Lagrådets synpunkter behandlas i avsnitt 5.2 och 5.4.3 och i författnings- I förhållande till lagrådsremissen har det även gjorts en ändring i 2 § 9. Ändringen är författningsteknisk och i övrigt av enkel beskaffenhet. Lagrådets yttrande har därför inte inhämtats. Vidare har det gjorts vissa redaktionella och språkliga ändringar. 4 Övergripande om NIS-direktivet Syftet med NIS-direktivet är att förbättra den inre marknadens funktion genom att skapa tillit och förtroende och att fastställa åtgärder för att uppnå en hög gemensam nivå på säkerhet i nätverk och informations- system inom unionen. Flera av åtgärderna syftar mer specifikt till att säkerställa kontinuiteten i de samhällsviktiga och digitala tjänster som omfattas av direktivet. Direktivet innebär bl.a. att vissa leverantörer av samhällsviktiga tjäns- ter och vissa leverantörer av digitala tjänster ska vidta säkerhetsåtgärder för att hantera risker och incidenter i nätverk och informationssystem som de är beroende av för att kunna tillhandahålla tjänsterna. törerna ska också rapportera incidenter som har en betydande eller avse- värd påverkan på kontinuiteten i tjänsterna. För att en leverantör ska anses vara en sådan leverantör av samhälls- viktiga tjänster som omfattas av direktivet krävs att leverantören bedriver verksamhet inom någon av de enheter som särskilt pekas ut i direktivet. 2017/18:205 Enheterna utgör olika slags leverantörer inom sju olika sektorer. torerna är energi, transport, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, leverans och distribution av dricksvatten samt digital infrastruktur. Dessutom krävs att den tjänst som tillhandahålls är samhällsviktig, att tillhandahållandet av tjänsten är beroende av nätverk och informationssystem och att en incident skulle medföra en betydande störning vid tillhandahållandet av tjänsten. Medlemsstaterna är skyldiga att dels upprätta en förteckning över de tjänster som är samhällsviktiga, dels identifiera de leverantörer på deras territorium som tillhandahåller sådana tjänster. De leverantörer av digitala tjänster som omfattas av direktivet är sådana som tillhandahåller internetbaserade marknadsplatser, internetbaserade sökmotorer eller molntjänster. Medlemsstaterna ska enligt direktivet utse myndigheter med särskilda uppgifter, t.ex. tillsynsmyndigheter, nationella kontaktpunkter och enheter för hantering av incidenter, s.k. CSIRT-enheter (Computer Security Incident Response Team). Medlemsstaterna ska också säkerställa att tillsynsmyndigheterna har befogenheter och medel för att kontrollera att leverantörerna uppfyller sina skyldigheter samt fastställa regler om sanktioner för överträdelse av de nationella bestämmelser som antagits enligt direktivet. Direktivet innehåller vidare en skyldighet för varje medlemsstat att anta en nationell strategi för säkerhet i nätverk och informationssystem. När det gäller leverantörer av samhällsviktiga tjänster får medlemsstaterna anta eller behålla bestämmelser som syftar till att uppnå en högre nivå på säkerheten i nätverk och informationssystem än vad som anges i direktivet. För leverantörer av digitala tjänster får medlemsstaterna emellertid inte införa ytterligare säkerhets- eller rapporteringskrav. Närmare redogörelse för NIS-direktivets innehåll ges löpande genom propositionen. 5En ny lag om informationssäkerhet för samhällsviktiga och digitala tjänster 5.1En ny lag ska införas Regeringens förslag: NIS-direktivet ska i huvudsak genomföras genom en ny lag om informationssäkerhet för samhällsviktiga och digitala tjänster. Utredningens förslag stämmer i sak överens med regeringens.