prop · H503205 · 2018-04-06 00:00:00 — övriga tjänster som sektorn tillhandahåller (skäl 23). Vidare ska förteckningen utgöra grund för bedömningen av om en leverantör tillhandahåller en samhällsviktig tjänst. Vid den bedömningen ska det vara tillräckligt att undersöka om leverantören tillhandahåller en tjänst som finns upptagen i förteckningen (skäl 20). Förteckningen tydliggör även medlemsstaternas respektive praxis när det gäller vad som utgör samhällsviktiga tjänster och kan därför användas för att säkerställa en övergripande enhetlighet i medlemsstaternas tillämpning (skäl 23). Den samarbetsgrupp som har inrättats genom direktivet ska hjälpa medlemsstaterna att tillämpa ett enhetligt tillvägagångssätt i förfarandet för identifieringen av samhällsviktiga tjänster (artiklarna 5.6 och 11.3 l). Samarbetsgruppen består av företrädare för medlemsstaterna, kommissionen och (EU:s nätverks- och informationssäkerhetsbyrå, artikel 11.2). företräds av Myndigheten för samhällsskydd och beredskap (MSB). Vad avses med samhällsviktig tjänst? Uttrycket samhällsviktig tjänst förekommer inte i svensk lagstiftning. I stället används andra närliggande uttryck såsom samhällsviktig verksamhet. Uttrycket samhällsviktig verksamhet används bl.a. i risk- och sårbarhetsanalysarbetet, vilket är en viktig del i statliga myndigheters krisberedskapsarbete. I MSB:s föreskrifter och allmänna råd om risk- och sårbarhetsanalyser (MSBFS 2015:4 och MSBFS 2015:5) definieras uttrycket samhällsviktig verksamhet som en verksamhet som uppfyller minst ett av två villkor. Det första är att ett bortfall av eller en svår störning i verksamheten ensamt eller tillsammans med motsvarande händelser i andra verksamheter kan leda till att en allvarlig kris inträffar i samhället. Det andra är att verksamheten ska vara nödvändig eller mycket väsentlig för att en redan inträffad kris i samhället ska kunna hanteras så att skadeverkningarna blir så små som möjligt. I de allmänna råden till ovan nämnda föreskrifter anges att med samhällsviktig verksamhet menas tjänster som är av avgörande betydelse för upprätthållandet av viktiga samhällsfunktioner såsom produktion och distribution av el, produktion och distribution av bränslen och drivmedel, läkemedels- och materielförsörjning, smittskydd för djur och människor, dricksvattenförsörjning, avloppshantering, väghållning och kollektivtrafik. Vid bedömningen av om en tjänst är samhällsviktig kan ledning hämtas i de avvägningar som görs för att bedöma om en verksamhet är samhällsviktig. Det är dock viktigt att vara medveten om de olika regelverkens utgångspunkter. Regelverket om krisberedskap avser att skydda funktioner som absolut behövs för upprätthållandet av viktiga samhällsfunktioner vid allvarliga händelser eller kriser. NIS-direktivets syfte är att förbättra den inre marknadens funktion genom att fastställa åtgärder för säkerhet i nätverk och informationssystem. Det rör sig därför om tjänster som är viktiga för samhällets funktionalitet i sin helhet och där ett avbrott i tjänsten hindrar genomförandet av ekonomisk verksamhet, genererar omfattande ekonomiska förluster, undergräver användarnas förtroende och medför allvarliga konsekvenser för landets och unionens 2017/18:205 ekonomi. Detta innebär bl.a. att uttrycket samhällsviktig tjänst kan omfatta fler funktioner än uttrycket samhällsviktig verksamhet. Eftersom ett syfte med förteckningen är att säkerställa en övergripande enhetlighet mellan medlemsstaternas bedömning av samhällsviktiga tjänster, bör även beaktas hur andra medlemsstater gör sina bedömningar av vad som utgör samhällsviktiga tjänster. Medlemsstaternas bedömning av vad som utgör samhällsviktiga tjänster diskuteras som nämnts i den samarbetsgrupp som har inrättats genom direktivet och i vilken MSB företräder . Som exempel på tjänster som kan anses som samhällsviktiga kan nämnas elöverföring, överföring och lagring av naturgas, infrastrukturförvaltning av järnväg, vattenförsörjning och tillhandahållande och förvaltning av internetdomännamn. Utgångspunkten är att MSB ska upprätta en förteckning över samhällsviktiga tjänster Sedan MSB grundades har myndigheten fått uppdrag i regleringsbrev att redovisa en nationell bedömning av samhällets förmågor, risker, sårbarheter samt identifierade och genomförda åtgärder avseende krisberedskapen. I MSB:s uppdrag ingår också att stödja och samordna arbetet med samhällets informationssäkerhet samt att analysera och bedöma omvärldsutvecklingen inom området. Myndigheten har vidare en samordnande roll inom ramen för samhällets krisberedskap och en central funktion i de nätverk som finns inom krisberedskapsområdet. Dessutom har MSB genom sina uppdrag ett etablerat kontaktnät med merparten av de aktörer som kommer att beröras av bestämmelserna i . Regeringen bedömer i likhet med utredningen att MSB, genom sitt uppdrag att stödja och samordna arbetet med samhällets informationssäkerhet, är den myndighet som är bäst lämpad att identifiera vilka samhällsviktiga tjänster som finns i inom de sektorer som omfattas av direktivet. Det kan poängteras att ingen remissinstans har uttryckt någon annan uppfattning. framför dock att det behövs mer precisa beskrivningar, särskilt när det gäller hälso- och sjukvården, för att MSB på ett bra sätt ska kunna identifiera vilka tjänster som kan anses vara samhällsviktiga. Regeringen bedömer emellertid att MSB genom sitt uppdrag har en sådan övergripande kännedom om de sektorer som direktivet omfattar, att MSB i vart fall med stöd av sektorsspecifika myndigheter kan upprätta förteckningen. En förutsättning för att den nya lagen om informationssäkerhet för samhällsviktiga och digitala tjänster ska kunna tillämpas vid ikraftträdandet är att förteckningen över samhällsviktiga tjänster då är sammanställd. Mot denna bakgrund och på inrådan av utredningen gav regeringen MSB i uppdrag att upprätta förteckningen med stöd av myndigheter med sektorsspecifik kunskap. MSB redovisade uppdraget . Förteckningen bör meddelas i form av föreskrifter. Enligt regeringens bedömning kommer föreskrifterna att behöva gå utöver vad regeringen eller den myndighet som regeringen bestämmer kan meddela med stöd av 8 kap. 7 § regeringsformen. Det bör därför införas ett bemyndigande i den nya lagen. Även om utgångspunkten är att MSB ska upprätta för- Prop. 2017/18:205 teckningen bör det inte slås fast i den nya lagen utan regleras i förord- Anledningen till det är att regeringen vid behov bör kunna ändra vilken myndighet som ska upprätta förteckningen. I den nya lagen bör det därför införas ett bemyndigande om att regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om vilka tjänster som är samhällsviktiga tjänster enligt lagen. 6.3Bedömning av vilka leverantörer av samhällsviktiga tjänster som är etablerade i Regeringens förslag: Leverantörer av samhällsviktiga tjänster ska utan dröjsmål anmäla sig till tillsynsmyndigheten. Av en anmälan ska det framgå om leverantören tillhandahåller samhällsviktiga tjänster i två eller flera medlemsstater inom EU. Det ska i den nya lagen upplysas om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om verkställighet av den nya lagen. Regeringens bedömning: Övriga bestämmelser om hur identifieringen av de leverantörer av samhällsviktiga tjänster som är etablerade i ska fullgöras bör meddelas i förordning eller myndighetsföreskrifter. Utredningens förslag stämmer i huvudsak överens med regeringens förslag och bedömning. Utredningen har föreslagit att det i den nya lagen ska införas en bestämmelse om att de som tillhandahåller samhällsviktiga tjänster är skyldiga att undersöka om de omfattas av den nya lagen. Vidare har utredningen föreslagit att skyldighet att i vissa fall samråda med andra medlemsstater innan beslut om identifiering fattas till viss del ska regleras i den nya lagen. Utredningen har inte föreslagit att leverantörer av samhällsviktiga tjänster ska anmäla sig till tillsynsmyndigheten och därvid även ange om de tillhandahåller samhällsviktiga tjänster i två eller flera medlemsstater. Remissinstanserna: och instämmer i att det bör åläggas de som tillhandahåller samhällsviktiga tjänster att undersöka om de omfattas av lagen. och anser att det bör införas en skyldighet för leverantörerna att anmäla sig till tillsynsmyndigheten om de anser sig uppfylla kraven för att omfattas av den nya lagen. Skälen för regeringens förslag och bedömning NIS-direktivets krav på bedömningen av vilka som är leverantörer av samhällsviktiga tjänster Som framgår ovan ska medlemsstaterna, i ett första steg för att identifiera de leverantörer av samhällsviktiga tjänster som är etablerade på deras territorium, upprätta en förteckning över samhällsviktiga tjänster. 2017/18:205 Det andra steget i identifieringsförfarandet är att bedöma vilka och följaktligen identifiera de leverantörer som uppfyller kraven i direktivet för att anses vara leverantörer av samhällsviktiga tjänster. För del kommer det i praktiken handla om att fastställa vilka leverantörer av samhällsviktiga tjänster som omfattas av den nya lagen. Kriterierna för bedömningen är således att det är fråga om en leverantör som tillhandahåller en samhällsviktig tjänst, att leverantören är etablerad i samt att tillhandahållandet av tjänsten är beroende av nätverk och informationssystem och att en incident skulle medföra en betydande störning vid tillhandahållandet av tjänsten (artikel 5.2). Tillhandahålls tjänsten i två eller flera medlemsstater ska berörda medlemsstater samråda med varandra. Detta samråd ska äga rum innan beslut om identifiering fattas (artikel 5.4). Vid bedömningen av om en incident skulle medföra en betydande störning vid tillhandahållandet av tjänsten ska medlemsstaterna beakta ett antal sektorsöverskridande faktorer och, i lämpliga fall, sektorsspecifika faktorer (artikel 6). Som framgår av avsnitt 5.3 kommer föreskrifter om vad som avses med en betydande störning att meddelas i förordning eller myndighetsföreskrifter. Föreskrifterna kommer i praktiken att utgöra tröskelvärden för vilka som är att anse som leverantörer av samhällsviktiga tjänster. Tröskelvärden för energileverantörer kan exempelvis avse mängden eller andelen av producerad nationell el, och för leverantörer inom hälso- och sjukvårdssektorn antalet patienter som leverantören vårdar . Hur ska bedömningen gå till? Medlemsstaterna kan välja att genomföra detta steg av identifieringsförfarandet på olika sätt. Genomförandet kan exempelvis ske genom upprättandet av ytterligare en förteckning som innehåller alla leverantörer av samhällsviktiga tjänster, eller genom antagandet av nationella bestämmelser som gör det möjligt att fastställa vilka leverantörer som omfattas av skyldigheterna i direktivet (skäl 25). Utredningen har föreslagit att leverantörer som tillhandahåller samhällsviktiga tjänster ska åläggas att undersöka om de omfattas av den nya lagen och följaktligen om de bör identifieras som en leverantör av samhällsviktiga tjänster. Utredningen framhåller särskilt att bedömningen av vilka som är att anse som leverantörer av samhällsviktiga tjänster kräver verksamhetskunskap och att de flesta offentliga leverantörer inom de sektorer och delsektorer som anges i NIS-direktivet redan gör analyser utifrån liknande krav. Regeringen konstaterar dock att en sådan skyldighet som utredningen har föreslagit indirekt redan kommer att finnas genom den nya lagen. Leverantörer som tillhandahåller samhällsviktiga tjänster måste undersöka om de omfattas av den nya lagen för att få klarhet i om de har en skyldighet att vidta säkerhetsåtgärder och rapportera incidenter. Vidare skulle en sådan undersökningsskyldighet som utredningen har föreslagit innebära att ett stort antal leverantörer som tillhandahåller samhällsviktiga tjänster men som uppenbarligen inte är leverantörer av samhällsviktiga tjänster, exempelvis för att det står klart att en incident inte skulle medföra en betydande störning enligt de tröskelvärden som antagits, måste genomföra undersökningen. Regeringen anser mot den bakgrunden inte att det bör införas en skyldighet för dem som tillhandahåller samhällsviktiga tjänster att undersöka om de omfattas av den nya lagen. Däremot bör det övervägas om de som omfattas av den nya lagen ska åläggas att anmäla sig till tillsynsmyndigheten. och anser att det bör införas en anmälningsplikt, bl.a. för att det underlättar identifieringen. Myndigheterna anser också att en anmälningsplikt är nödvändig för att tillsynsmyndigheten ska veta vilka tillsynsobjekt den har. Med hänsyn både till behovet av att underlätta identifieringen av de leverantörer av samhällsviktiga tjänster som är etablerade i och till att tillsynsmyndigheten ska kunna utföra sitt tillsynsuppdrag på ett fullgott sätt, anser regeringen att det i den nya lagen bör införas en bestämmelse om att leverantörer av samhällsviktiga tjänster utan dröjsmål ska anmäla sig till tillsynsmyndigheten. I bestämmelsen bör även anges att det av anmälan ska framgå om leverantören tillhandahåller samhällsviktiga tjänster i två eller flera medlemsstater, för att på så sätt underlätta bedömningen av om ett samråd med andra medlemsstater enligt artikel 5.4 ska ske innan ett beslut om identifiering fattas. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om vilken information som en anmälan ska innehålla liksom föreskrifter om de närmare formerna för fullgörandet av anmälningsskyldigheten. För att upplysa om att det i anslutning till den nya lagen kan komma att meddelas verkställighetsföreskrifter, såsom bl.a. föreskrifter om anmälningsskyldigheten, bör den nya lagen innehålla en bestämmelse om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om verkställighet av lagen. Det behövs även andra föreskrifter för att fullgöra skyldigheten att bedöma och följaktligen identifiera vilka leverantörer av samhällsviktiga tjänster som är etablerade i . Det kan t.ex. vara fråga om bestämmelser om vilken eller vilka myndigheter som ska ansvara för identifieringen, hur processen närmare ska gå till och hur uppgifterna om vilka leverantörer som är identifierade ska hållas aktuella och läggas till grund för information till kommissionen. Vidare krävs att identifieringsprocessen genomför skyldigheten att enligt artikel 5.4 samråda med andra medlemsstater i vissa fall innan beslut om identifiering fattas. Utredningen har föreslagit att sistnämnda skyldighet bör regleras i den nya lagen. Regeringen anser dock att sådana bestämmelser, liksom andra föreskrifter som behövs för att fullgöra kraven på identifiering enligt direktivet, bör meddelas i förordning eller myndighetsföreskrifter. 2017/18:205 7 incidentrapportering för leverantörer av NIS-direktivet ställer krav på leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster att vidta vissa säkerhetsåtgärder och att rapportera vissa incidenter. I detta avsnitt behandlas kraven på leverantörer av samhällsviktiga tjänster. Kraven på leverantörer av digitala tjänster behandlas i avsnitt 8. Befintliga bestämmelser om säkerhetsåtgärder är Regeringens bedömning: NIS-direktivet kräver nya bestämmelser Utredningens bedömning stämmer överens med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över be- Skälen för regeringens bedömning: Enligt NIS-direktivet ska leve- rantörer av samhällsviktiga tjänster vidta säkerhetsåtgärder till skydd för säkerheten i nätverk och informationssystem. Vissa leverantörer av samhällsviktiga tjänster som omfattats av NIS- direktivet omfattas av rättsliga krav på säkerhetsåtgärder i nätverk och informationssystem. Exempelvis ska statliga myndigheter enligt förordningen (2015:1052) om krisberedskap och bevaknings- ansvariga myndigheters åtgärder vid höjd beredskap se till att deras informationssystem uppfyller sådana grundläggande och särskilda säker- hetskrav att myndighetens verksamhet kan utföras på ett tillfredsställande För verksamhet som är av betydelse för säkerhet finns i säkerhetsskyddsregleringen krav på att förebygga att uppgifter som rör rikets säkerhet obehörigen röjs, ändras eller förstörs. sektorsspecifika bestämmelser i vissa av de sektorer som omfattas av Inom sektorn finansmarknadsinfrastruktur finns exempel- vis krav i lagen (2007:528) om värdepappersmarknaden, enligt vilka börser ska identifiera och hantera de risker som kan uppstå i verksam- heten och ha säkra tekniska system. För samtliga leverantörer som omfattas av NIS-direktivet finns även krav i personuppgiftsregleringen på tekniska och organisatoriska åtgärder när det gäller personuppgifts- Befintlig reglering är inte heltäckande och i vissa fall är syftet med säkerhetsåtgärderna ett annat än det som anges i NIS-direktivet. Regeringens bedömning är därför att det måste införas bestämmelser med krav på säkerhetsåtgärder i den nya lagen om informationssäkerhet för samhällsviktiga och digitala tjänster. Regeringens förslag: Leverantörer av samhällsviktiga tjänster ska bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete avseende nätverk och informationssystem som de använder för att tillhandhålla samhällsviktiga tjänster. Utredningens förslag stämmer i sak överens med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över för- Skälen för regeringens förslag: Regeringen anser att en förutsättning för en väl anpassad säkerhet i nätverk och informationssystem är att det bedrivs ett systematiskt och riskbaserat informationssäkerhetsarbete. Föreskrifter om systematiskt och riskbaserat informationssäkerhetsarbete finns för statliga myndigheter i Myndigheten för samhällsskydd och beredskaps (MSB) föreskrifter och allmänna råd om statliga myndigheters informationssäkerhet, MSBFS 2016:1. Ett systematiskt informationssäkerhetsarbete innebär bl.a. att arbetet bedrivs långsiktigt, kontinuerligt och metodiskt samt att det finns en tydlig rollfördelning med särskilt utpekat ansvar. På så vis kan verksamhetens ledning på ett systematiskt sätt styra arbetet med informationssäkerhet i syfte att planera, genomföra, kontrollera, följa upp, utvärdera och förbättra säkerheten i verksamhetens informationshantering. En del i detta arbete är olika typer av analyser, t.ex. verksamhetsanalys, riskanalys och GAP-analys (analys som jämför nuvarande säkerhetsnivå med den önskade). Mot denna bakgrund anser regeringen liksom utredningen att det bör införas krav på leverantörer av samhällsviktiga tjänster att bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete. Till skillnad från utredningen anser regeringen dock att lagbestämmelsen bör utformas på så sätt att det tydligt framgår att kravet endast avser sådana nätverk och informationssystem som en leverantör använder för att tillhandahålla samhällsviktiga tjänster. Regeringens förslag: Leverantörer av samhällsviktiga tjänster ska göra en riskanalys som ska ligga till grund för val av säkerhets- I analysen ska det ingå en åtgärdsplan. dokumenteras och uppdateras . Utredningens förslag stämmer överens med regeringens. Remissinstanserna: och Svenskt vatten till- avstyrker förslaget och anser i stället att leverantörerna bör få välja vilken sorts analys som är lämplig att göra och om en åtgärdsplan ska ingå i analysen. landsting anser inte att riskanalyser ska behöva uppdateras så ofta som Skälen för regeringens förslag: NIS-direktivets krav på säkerhets- åtgärder innebär i stort att leverantörer av samhällsviktiga tjänster ska vidta vissa ändamålsenliga och proportionella åtgärder för att hantera säkerhetsrisker i nätverk och informationssystem, se avsnitt 7.1.4 och 2017/18:205 7.1.5. För att en leverantör ska kunna identifiera vilka åtgärder som är relevanta anser regeringen liksom utredningen att det är nödvändigt att leverantören genomför en riskanalys. anser att en leverantör ska få välja vilken sorts analys som är lämplig att göra i leverantörens verksamhet. Eftersom de säkerhetsåtgärder som NIS- direktivet ålägger leverantörer att vidta har till syfte att hantera risker är det emellertid en riskanalys som är relevant för att åstadkomma kvalitativa bedömningar av vilka säkerhetsåtgärder som är lämpliga. Leverantörer av samhällsviktiga tjänster bör därför åläggas att göra en sådan analys som ska ligga till grund för valet av säkerhetsåtgärder. För att riskanalysen ska bli ett beslutsstöd för prioriteringar och avvägningar mellan olika typer av säkerhetsåtgärder bör den innehålla beskrivningar och bedömningar av relevanta hot och risker. Den bör även innehålla bedömningar av hur effektiva befintliga säkerhetsåtgärder är i förhållande till riskerna. Dessutom bör det av analysen framgå vilka negativa konsekvenser en incident skulle kunna medföra. Som Säkerhetspolisen påpekar finns det inget som hindrar att arbetet med riskanalysen samordnas och integreras med sådant riskanalysarbete som sker enligt annan lagstiftning. anser att leverantören bör få välja om en åtgärdsplan ska ingå i riskanalysen. anser inte att leverantörer ska åläggas att uppdatera riskanalysen utan vid behov. För att riskanalysen ska bli ett reellt och levande verktyg i arbetet med att vidta lämpliga säkerhetsåtgärder anser regeringen dock att analysen bör dokumenteras, innehålla en åtgärdsplan och uppdateras . Ett sådant åliggande bör därför också föras in i den nya lagen. 7.1.4Tekniska och organisatoriska åtgärder Regeringens förslag: Leverantörer av samhällsviktiga tjänster ska vidta ändamålsenliga och proportionella tekniska och organisatoriska åtgärder för att hantera risker som hotar säkerheten i nätverk och informationssystem som de använder för att tillhandahålla samhällsviktiga tjänster. Åtgärderna ska säkerställa en nivå på säkerheten i nätverken och informationssystemen som är lämplig i förhållande till risken. Utredningens förslag stämmer i sak överens med regeringens. Remissinstanserna: och tillstyrker förslaget. vill att det tydliggörs vad syftet med säkerhetsåtgärder enligt NIS-direktivet är. Vissa remissinstanser pekar på att förslaget kan innebära omfattande åligganden för leverantörerna. Skälen för regeringens förslag: Enligt artikel 14.1 i NIS-direktivet ska leverantörer av samhällsviktiga tjänster vidta ändamålsenliga och proportionella tekniska och organisatoriska åtgärder för att hantera risker som hotar säkerheten i nätverk och informationssystem som de använder i sin verksamhet. Åtgärderna ska, med beaktande av den senaste tekniska utvecklingen, säkerställa en nivå på säkerheten i nätverk och informa- tionssystem som är lämplig i förhållande till den föreliggande risken. efterfrågar ett tydliggörande av vad syftet med Prop. 2017/18:205 säkerhetsåtgärderna enligt direktivet är. Syftet med åtgärderna är att säkerställa en nivå på säkerheten i nätverk och informationssystem som är lämplig i förhållande till risken. Med säkerhet i nätverk och informationssystem avses systemens förmåga att vid en viss tillförlitlighetsnivå motstå åtgärder som undergräver tillgängligheten, autenticiteten, riktigheten eller konfidentialiteten hos lagrade, överförda eller behandlade uppgifter eller hos de besläktade tjänster som erbjuds genom eller är tillgängliga via dessa nätverk och informationssystem (artikel 4.2). Med risk avses en rimlig identifierbar omständighet eller händelse med en potentiell negativ inverkan på säkerheten i nätverk och informationssystem (artikel 4.9). För säkerhetsåtgärden incidenthantering, se avsnitt 7.1.5, är syftet att säkerställa kontinuiteten i de tillhandahållna tjänsterna. En bestämmelse som motsvarar artikel 14.1 i NIS-direktivet bör införas i den nya lagen. Att en sådan bestämmelse, såsom bl.a. Tågoperatörerna påpekar, kommer att innebära åligganden för leverantörerna kan inte föranleda någon annan bedömning.