prop · H503205 · 2018-04-06 00:00:00 — 19.NIS-direktivet: och rådets direktiv (EU) 2016/1148 av om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen, i den ursprungliga lydelsen 20.säkerhetsprinciper: styrande dokument, till exempel föreskrifter och interna riktlinjer, 21.CSIRT-enhet: enhet för it-säkerhetsincidenter (Computer Security Incident Response Team) Identifiering av leverantörer av samhällsviktiga tjänster 8 § Den som är ansvarig för en verksamhet som tillhandahåller en tjänst som är viktig för att upprätthålla kritisk samhällelig eller ekonomisk verksamhet (samhällsviktig tjänst) ska undersöka om tillhandahållandet av tjänsten är beroende av nätverk eller informationssystem och om en incident skulle medföra en betydande störning vid tillhandahållandet av tjänsten. Följande sektoröverskridande faktorer ska beaktas när leverantören fastställer om en störning är betydande. 1.Det antal användare som är beroende av den tjänst som den berörda enheten tillhandahåller. 2.Hur beroende andra sektorer enligt bilaga 2 till NIS-direktivet är av den tjänst som enheten tillhandahåller. 3.Vilken inverkan incidenter skulle kunna ha på ekonomisk och samhällelig verksamhet eller allmän säkerhet, uttryckt i grad och varaktighet. 5.Hur stort geografiskt område som skulle kunna påverkas av en incident. 6.Enhetens betydelse för upprätthållandet av en tillräcklig tjänstenivå, med beaktande av tillgången till alternativa sätt för att tillhandahålla tjänsten. När det är lämpligt ska även sektorspecifika faktorer beaktas. Tillhandahålls tjänsten även i andra länder i den Europeiska unionen ska den nationella kontaktpunkten samråda med motsvarande funktion i andra berörda länder innan beslut om identifiering fattas. Undersökningen ska dokumenteras. Utseende av företrädare för leverantör av digitala tjänster 9 § En leverantör av digitala tjänster som erbjuder digitala tjänster i men som inte har sitt huvudsakliga etableringsställe inom Europeiska unionen ska utse en företrädare i något av de länder i unionen där tjänsterna erbjuds. Leverantörer av samhällsviktiga tjänster 10 § Leverantörer av samhällsviktiga tjänster ska bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete. 11 § Leverantörer av samhällsviktiga tjänster ska vidta ändamålsenliga och proportionella tekniska och organisatoriska åtgärder för att hantera risker som hotar säkerheten i nätverk och informationssystem som de använder i sin verksamhet. Med beaktande av den senaste tekniska utvecklingen ska dessa åtgärder säkerställa en nivå på säkerheten i nätverk och informationssystem som är lämplig i förhållande till den föreliggande risken. 12 § Leverantörer av samhällsviktiga tjänster ska vidta lämpliga åtgärder för att förebygga och minimera verkningarna av incidenter som påverkar säkerheten i nätverk och informationssystem som används för att tillhandahålla sådana samhällsviktiga tjänster, i syfte att säkerställa kontinuiteten i dessa tjänster. 13 § Leverantörer av samhällsviktiga tjänster ska göra en riskanalys som ska ligga till grund för val av säkerhetsåtgärder enligt 11 och 12 §§. I analysen ska ingå en åtgärdsplan. Analysen ska dokumenteras och uppdateras . Leverantörer av digitala tjänster 14 § Leverantörer av digitala tjänster ska utarbeta och vidta ändamålsenliga och proportionella tekniska och organisatoriska åtgärder för att hantera risker som hotar säkerheten i nätverk och informationssystem som de använder när de tillhandahåller internetbaserade marknadsplatser, internetbaserade sökmotorer eller molntjänster inom unionen. Med beaktande av den senaste tekniska utvecklingen ska dessa åtgärder säkerställa en nivå på säkerheten i nätverk och informationssystem som är lämplig i förhållande till den föreliggande risken, varvid hänsyn ska tas till 1.säkerheten i system och anläggningar, 3.hantering av driftskontinuitet, 4.övervakning, revision och testning och 5.efterlevnad av internationella standarder. 15 § Leverantörer av digitala tjänster ska vidta åtgärder för att före- bygga och minimera den inverkan som incidenter som påverkar säker- heten i deras nätverk och informationssystem marknadsplatser, internetbaserade sökmotorer erbjuds inom unionen, i syfte att säkerställa kontinuiteten i dessa tjänster. Leverantörer av samhällsviktiga tjänster 16 § Leverantörer av samhällsviktiga tjänster ska utan onödigt dröjsmål rapportera incidenter som har en betydande inverkan på kontinuiteten i den samhällsviktiga tjänst som de tillhandahåller. Rapporteringen ska göras till CSIRT-enheten. Rapporterna ska innehålla information som gör det möjligt för CSIRT-enheten att fastställa incidentens eventuella gränsöverskridande verkningar. Rapportering ska inte medföra ökat ansvar för den rapporterande parten. 17 § För att fastställa om en incident har en betydande inverkan på kontinuiteten i den samhällsviktiga tjänsten ska hänsyn framför allt tas till följande faktorer. 1.Det antal användare som påverkas av störningen av den samhällsviktiga tjänsten. 2.Hur länge incidenten varar. 3.Hur stort geografiskt område som påverkas av incidenten. 18 § Är en leverantör av samhällsviktiga tjänster beroende av en tredjepartsleverantör av digitala tjänster för tillhandahållandet av en tjänst som är viktig för att upprätthålla kritisk samhällelig och ekonomisk verksamhet, ska leverantören av samhällsviktiga tjänster rapportera varje betydande inverkan på kontinuiteten i den samhällsviktiga tjänsten till följd av en incident som påverkar leverantören av digitala tjänster. Leverantörer av digitala tjänster 19 § Leverantörer av digitala tjänster ska utan onödigt dröjsmål rapportera alla incidenter som har en avsevärd inverkan på tillhandahållandet av en internetbaserad marknadsplats, internetbaserad sökmotor eller molntjänst som de erbjuder inom unionen. Rapporteringen ska göras till CSIRT-enheten. Rapporterna ska innehålla information som gör det möjligt för CSIRT- enheten att fastställa vilken betydelse eventuell gränsöverskridande inverkan har. Rapportering ska inte medföra ökat ansvar för den rapporterande parten. 20 § För att fastställa om en incident har en avsevärd inverkan ska hänsyn framför allt tas till följande faktorer. Det antal användare som påverkas av incidenten, framför allt användare som är beroende av tjänsten för att kunna tillhandahålla sina egna tjänster. 2.Hur länge incidenten varar. 3.Hur stort geografiskt område som påverkas av incidenten. 4.I vilken utsträckning incidenten stör tjänstens funktion. 5.I vilken utsträckning incidenten inverkar på den ekonomiska och samhälleliga verksamheten. Skyldigheten att rapportera en incident ska endast gälla om leverantören av digitala tjänster har tillgång till den information som behövs för att bedöma en incidents inverkan mot bakgrund av de faktorer som avses i första stycket. Förpliktande att informera allmänheten om en incident 21 § Efter samråd med den berörda leverantören av digitala tjänster får CSIRT-enheten, om det är lämpligt, förplikta leverantören att informera allmänheten om enskilda incidenter. En förutsättning för ett sådant förpliktande är att allmänheten behöver känna till incidenten för att det ska vara möjligt att förhindra en incident eller åtgärda en pågående incident eller om incidentens avslöjande på annat sätt omfattas av allmänintresset. 22 § Den myndighet som regeringen bestämmer ska vara nationell behörig myndighet. Den nationella behöriga myndigheten ska utöva tillsyn över att denna lag och föreskrifter som meddelats i anslutning till lagen följs (tillsynsmyndighet). 23 § har rätt att i den utsträckning det behövs för tillsynen få tillträde till områden, lokaler och andra utrymmen, dock inte bostäder, där verksamhet som omfattas av denna lag bedrivs. 24 § får förelägga den som står under tillsyn att tillhandahålla information i enlighet med 26 och 27 §§. Ett föreläggande får förenas med vite. 25 § har rätt att få verkställighet hos av beslut som avser åtgärder enligt denna lag. Då gäller bestämmelserna i utsökningsbalken om verkställighet av förpliktelser som inte avser betalningsskyldighet eller avhysning. Leverantörer av samhällsviktiga tjänster 26 § Vid tillsyn ska en leverantör av samhällsviktiga tjänster tillhandahålla tillsynsmyndigheten 1. den information som är nödvändig för att bedöma säkerheten i leverantörens nätverk och informationssystem, inbegripet dokumenterade 2.bevis för ett effektivt genomförande av säkerhetsprinciper, såsom resultaten av en säkerhetsrevision utförd av tillsynsmyndigheten eller en auktoriserad revisor och, i det senare fallet, att ge tillsynsmyndigheten tillgång till resultaten, inklusive de underliggande bevisen, och 3.annan information som behövs vid bedömningen av om leverantören uppfyller sina skyldigheter. När tillsynsmyndigheten begär sådan information eller bevis ska den uppge syftet med begäran och precisera vilken information som krävs. Leverantörer av digitala tjänster 27 § Vid tillsyn ska en leverantör av digitala tjänster tillhandahålla tillsynsmyndigheten den information som behövs för en bedömning av säkerheten i leverantörernas nätverk och informationssystem, inbegripet dokumenterade säkerhetsprinciper. 28 § Tillsynsåtgärder beträffande leverantörer av digitala tjänster får vidtas endast när tillsynsmyndigheten har fått kännedom om att leverantören inte uppfyller kraven i 14, 15 eller 16 §§. 29 § Om tillsynsmyndigheten finner skäl att misstänka att en leverantör av samhällsviktiga tjänster inte följer lagen eller föreskrifter som har meddelats i anslutning till lagen, ska myndigheten underrätta leverantören om detta förhållande och ge denne möjlighet att yttra sig inom skälig tid. 30 § Om tillsynsmyndigheten konstaterar att en leverantör av samhällsviktiga tjänster eller en leverantör av digitala tjänster inte följer lagen eller föreskrifter som har meddelats i anslutning till lagen, ska tillsynsmyndigheten genom påpekanden eller liknande förfaranden försöka åstadkomma rättelse. 31 § får meddela de förelägganden som behövs för att leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster ska uppfylla de säkerhetskrav och krav på incidentrapportering som följer av denna lag och av föreskrifter som har meddelats i anslutning till lagen. Ett föreläggande får förenas med vite. 32 § ska besluta att sanktionsavgift ska tas ut av den som 1.underlåter att vidta säkerhetsåtgärder enligt 11, 12, 14 eller 15 §§ 2.underlåter att incidentrapportera enligt 16 eller 19 §§. Avgiften tillfaller staten. 33 § Sanktionsavgiften ska bestämmas till lägst och högst . 34 § När sanktionsavgiftens storlek bestäms ska hänsyn tas till samtliga relevanta omständigheter. Särskild hänsyn ska tas till den skada eller risk för skada som uppstått till följd av regelöverträdelsen, om leverantören har begått en överträdelse samt de kostnader som leverantören undvikit till följd av överträdelsen. 35 § Sanktionsavgiften får efterges helt eller delvis om överträdelsen är ringa eller ursäktlig eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut avgiften. 36 § får inte ingripa med sanktionsavgift om överträdelsen omfattas av ett föreläggande om vite och överträdelsen ligger till grund för en ansökan om utdömande av vitet. 37 § Ett beslut om sanktionsavgift ska vara skriftligt och innehålla skälen för beslutet. Innan tillsynsmyndigheten beslutar om sanktionsavgift ska den som beslutet kommer att riktas mot ges tillfälle att yttra sig. 38 § Sanktionsavgift får inte beslutas om den som anspråket riktas mot inte har getts tillfälle att yttra sig efter överträdelsen. 39 § Sanktionsavgiften ska betalas till tillsynsmyndigheten efter det att beslutet om sanktionsavgiften fått laga kraft eller den som anges i beslutet. 40 § Ett beslut om sanktionsavgift får verkställas utan föregående dom eller utslag om avgiften inte har betalts inom den tid som anges i 39 §. 41 § Om sanktionsavgiften inte betalas inom den tid som anges i 39 §, ska tillsynsmyndigheten lämna den obetalda avgiften för indrivning. 42 § En beslutad sanktionsavgift faller bort om beslutet om avgiften inte har verkställts från det att beslutet fick laga kraft. 43 § Den myndighet som regeringen bestämmer ska vara gemensam nationell kontaktpunkt. av it-säkerhetsincidenter (CSIRT- enhet) 44 § Den myndighet som regeringen bestämmer ska vara CSIRT-enhet. 45 § Regeringen eller den myndighet som regeringen bestämmer får, beträffande leverantörer av samhällsviktiga tjänster, meddela föreskrifter om 1.vilka sektorspecifika och sektoröverskridande faktorer som ska beaktas för att fastställa om en incident medför en betydande störning vid identifiering av leverantörer av samhällsviktiga tjänster enligt 8 §, 2.ett systematiskt och riskbaserat informationssäkerhetsarbete enligt 10 §, och 3.vilka faktorer som ska användas för att avgöra om en incident har en betydande inverkan på kontinuiteten i en samhällsviktig tjänst enligt 17 § och därför medför krav på rapportering. Leverantörer av samhällsviktiga tjänster 46 § Regeringen eller den myndighet regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen, beträffande leverantörer av samhällsviktiga tjänster, meddela föreskrifter om 1.vilka tjänster som är viktiga för att upprätthålla kritisk samhällelig eller ekonomisk verksamhet (samhällsviktiga tjänster), 2.utformningen av säkerhetsåtgärder som avses i 11 och 12 §§, 3.rapportering av incidenter som avses i 16 §, och 4.förutsättningarna för frivillig rapportering av incidenter. Leverantörer av digitala tjänster 47 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen, beträffande leverantörer av digitala tjänster, meddela föreskrifter om 1.rapportering av incidenter som avses i 19 § och 2.förutsättningarna för frivillig rapportering av incidenter. 48 § får bestämma att ett beslut om föreläggande enligt denna lag ska gälla . 49 § En myndighets beslut enligt denna lag eller enligt föreskrifter som meddelats i anslutning till lagen får överklagas till allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. Kammarrättens avgörande i ett mål enligt denna lag får inte överklagas. Denna lag träder i kraft . Remissinstanser som har gett in yttrande , Attunda tingsrätt, Bodens kommun, Datainspektionen, , , , , Energiföretagen , Energigas , , , , , , Försvarshögskolan, Försvarsmakten, Förvaltningsrätten i , , , , Inspektionen för vård och omsorg, It- och telekomföretagen, , , , läns landsting, Kammarrätten i , kommun, Kungl. Tekniska Högskolan, , Lantmäteriet, , , , kommun, , i , i , i län, i , kommun, Myndigheten för samhällsskydd och beredskap, , Netnod, , , , , , , , , läns landsting, SME-D, , , Statens servicecenter, , , , , , , , , , , , , och , , Svenskt vatten, Hamnar, Kommuner och Landsting, Säkerhets- och försvarsföretagen, Säkerhetspolisen, , , Transportstyrelsen, Tågoperatörerna, , Västra och kommun. Övriga som har yttrat sig Advenica, , , och , , och Utgivarna. Remissinstanser som uttryckligen har avstått från att yttra sig ombudsmän, och . Remissinstanser som inte har gett in något yttrande , , , , kommun, , , kommun, , kommun, , kommun, kommun, kommun, , kommun, , , , , Svensk handel, Swedavia, Transportföretagen och Vårdföretagarna. Förslag till lag om informationssäkerhet för samhällsviktiga och digitala tjänster Härigenom föreskrivs1 följande. 1 § Syftet med denna lag är att uppnå en hög nivå på säkerheten i nätverk och informationssystem för digitala tjänster samt för samhällsviktiga tjänster inom sektorerna –hälso- och sjukvård, –leverans och distribution av dricksvatten, och –digital infrastruktur. Genom lagen genomförs och rådets direktiv (EU) 2016/1148 av om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen (NIS- direktivet). 2 § I lagen avses med 1. nätverk och informationssystem: a)ett elektroniskt kommunikationsnät enligt 1 kap. 7 § lagen (2003:389) om elektronisk kommunikation, b)en enhet eller en grupp enheter som är sammankopplade eller hör samman med varandra, av vilka en eller flera genom ett program utför automatisk behandling av digitala uppgifter, eller c) digitala uppgifter som lagras, behandlas, hämtas eller överförs med sådana hjälpmedel som omfattas av a och b för att de ska kunna driftas, användas, skyddas och underhållas, 2. säkerhet i nätverk och informationssystem: nätverk och informationssystems förmåga att vid en viss tillförlitlighetsnivå motstå åtgärder som undergräver tillgängligheten, autenticiteten, riktigheten eller konfidentialiteten hos lagrade, överförda eller behandlade uppgifter eller hos de besläktade tjänster som erbjuds genom eller är tillgängliga via dessa nätverk och informationssystem, 1 Jfr och rådets direktiv (EU) 2016/1148 av om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen, i den ursprungliga lydelsen. 3. samhällsviktig tjänst: en tjänst som är viktig för att upprätthålla kritisk samhällelig eller ekonomisk verksamhet, 4.digital tjänst: en tjänst i den mening som avses i artikel 1.1 b i och rådets direktiv (EU) 2015/1535 av om ett informationsförfarande beträffande tekniska föreskrifter och beträffande föreskrifter för informationssamhällets tjänster, och som utgör en internetbaserad marknadsplats, internetbaserad sökmotor eller molntjänst, 5.internetbaserad marknadsplats: en tjänst som gör det möjligt för konsumenter eller näringsidkare enligt definitionen i artikel 4.1 a respektive 4.1 b i och rådets direktiv /11/EU av om alternativ tvistlösning vid konsumenttvister och om ändring av förordning (EG) nr 2006/2004 och direktiv /22/EG (direktivet om alternativ tvistlösning) att ingå internetbaserade köpeavtal eller tjänsteavtal med näringsidkare, antingen på webbplatsen för den internetbaserade marknadsplatsen eller på en webbplats som tillhör en näringsidkare och där datatjänster som tillhandahålls av en internetbaserad marknadsplats används, 6. internetbaserad sökmotor: en tjänst som gör det möjligt för användare att göra sökningar på i princip alla webbplatser eller webbplatser på ett visst språk genom en förfrågan om vilket ämne som helst i form av ett nyckelord, en fras eller någon annan inmatning, och som returnerar länkar som innehåller information om det begärda innehållet, 7.molntjänst: en tjänst som möjliggör tillgång till en skalbar och elastisk pool av delbara dataresurser, 8.företrädare: en fysisk eller juridisk person som uttryckligen har utsetts att agera för en leverantör av digitala tjänster och till vilken myndigheter kan vända sig, i stället för till leverantören av digitala tjänster, i frågor som gäller de skyldigheter som leverantören av digitala tjänster har enligt denna lag, 9.incident: en händelse med en faktisk negativ inverkan på säkerheten inätverk och informationssystem, och 10.risk: en rimligen identifierbar omständighet eller händelse med en potentiell negativ inverkan på säkerheten i nätverk och informationssystem. 3 § Lagen gäller för 1.leverantörer av det slag som anges i bilaga 2 till NIS-direktivet och som tillhandahåller en samhällsviktig tjänst, under förutsättning att leverantören är etablerad i , att tillhandahållandet av tjänsten är beroende av nätverk och informationssystem och att en incident skulle medföra en betydande störning vid tillhandahållandet av tjänsten (leverantörer av samhällsviktiga tjänster). 2.juridiska personer som tillhandahåller en digital tjänst och som har sitt huvudsakliga etableringsställe i eller har utsett en företrädare som är etablerad här (leverantörer av digitala tjänster). I 10 § finns en bestämmelse som gäller för andra leverantörer. 4 § Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om vilka tjänster som är samhällsviktiga tjänster och vad som avses med en betydande störning enligt 3 § första stycket 1. Undantag från lagens tillämpningsområde Leverantörer av elektroniska kommunikationstjänster 5 § Lagen gäller inte för företag som tillhandahåller allmänna kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster och därför omfattas av kraven i 5 kap. 6 b och c §§ lagen (2003:389) om elektronisk kommunikation. Leverantörer av betrodda tjänster 6 § Lagen gäller inte för leverantörer av betrodda tjänster som omfattas av kraven i artikel 19 i och rådets förordning (EU) nr 910/2014 av om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv /93/EG. Leverantörer av digitala tjänster som är mikroföretag eller små företag 7 § Lagen gäller inte för leverantörer av digitala tjänster som är mikroföretag eller små företag enligt definitionen i kommissionens rekommendation 2003/361/EG av om definitionen av mikroföretag samt små och medelstora företag. 8 § Lagen gäller inte för verksamhet som omfattas av krav på säkerhetsskydd enligt säkerhetsskyddslagen (1996:627). Leverantörer som omfattas av krav på informationssäkerhet i andra författningar 9 § Om det i lag eller annan författning finns bestämmelser som innehåller krav på säkerhetsåtgärder och incidentrapportering, ska de bestämmelserna gälla om verkan av kraven minst motsvarar verkan av skyldigheterna enligt denna lag. 10 § En juridisk person som erbjuder digitala tjänster i men som inte har sitt huvudsakliga etableringsställe inom Europeiska unionen ska, om inte något undantag från lagens tillämpningsområde enligt 5–9 §§ är tillämpligt, utse en företrädare som är etablerad i en medlemsstat där tjänsterna erbjuds. Skyldigheter för leverantörer av samhällsviktiga tjänster 11 § Leverantörer av samhällsviktiga tjänster ska bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete avseende nätverk och informationssystem som de använder för att tillhandahålla samhällsviktiga tjänster. 12 § Leverantörer av samhällsviktiga tjänster ska göra en riskanalys som ska ligga till grund för val av säkerhetsåtgärder enligt 13 och 14 §§. I analysen ska det ingå en åtgärdsplan. Analysen ska dokumenteras och uppdateras . 13 § Leverantörer av samhällsviktiga tjänster ska vidta ändamålsenliga och proportionella tekniska och organisatoriska åtgärder för att hantera risker som hotar säkerheten i nätverk och informationssystem som de använder för att tillhandahålla samhällsviktiga tjänster. Åtgärderna ska säkerställa en nivå på säkerheten i nätverken och informationssystemen som är lämplig i förhållande till risken. 14 § Leverantörer av samhällsviktiga tjänster ska vidta lämpliga åtgärder för att förebygga och minimera verkningar av incidenter som påverkar nätverk och informationssystem som de använder för att tillhandahålla samhällsviktiga tjänster. Åtgärderna ska syfta till att säkerställa kontinuiteten i tjänsterna. Skyldigheter för leverantörer av digitala tjänster 15 § Leverantörer av digitala tjänster ska vidta de tekniska och organisatoriska åtgärder som de anser ändamålsenliga och proportionella och som hanterar risker som hotar säkerheten i nätverk och informationssystem som de använder när de tillhandahåller digitala tjänster inom Europeiska unionen. Åtgärderna ska säkerställa en nivå på säkerheten i nätverken och informationssystemen som är lämplig i förhållande till risken. 16 § Leverantörer av digitala tjänster ska vidta åtgärder för att förebygga och minimera verkningar av incidenter som påverkar nätverk och informationssystem som de använder. Skyldigheten gäller endast i förhållande till verkningar som sådana incidenter har på digitala tjänster som leverantören erbjuder inom Europeiska unionen. Åtgärderna ska syfta till att säkerställa kontinuiteten i tjänsterna. 17 § Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om säkerhetsåtgärder enligt 11–16 §§. Rapporteringsskyldighet för leverantörer av samhällsviktiga tjänster