prot · H509129 · 2018-06-11 00:00:00 — Den här gruppen har arbetat nu med att ta fram hjälp, stöd och enkla åtgärder för myndigheter att följa när det gäller säkerheten. Statssekreteraren berättade också att den här samarbetsgruppen nu ska bli ett myndighetsråd och få en fastare kontur och större befogenheter på nationell nivå. Man ska också få ett kansli på MSB. Informationssäkerhet för samhällsviktiga och digitala tjänster Alliansen har i ett särskilt yttrande understrukit vikten av att regeringen skyndar på arbetet med att ge Samfi bättre muskler och större befogenheter. Det finns ingen anledning att vänta med en bättre samordning på just den nationella nivån, fru talman. vill ha en cybersäkerhetsmyndighet. Det låter som ett kraftfullt förslag. Tro mig, fru talman! Om man ska ha en myndighet som är ensam ansvarig för all cybersäkerhet i offentlig förvaltning kommer det att bli en mycket omfattande myndighet. Och så stora myndigheter brukar visa sig vara ganska trögrörliga. Vi har ansvarsprincipen som grund i den svenska krishanteringen. Min bedömning är att man inte kan centralisera ansvaret så långt som föreslår. Jag brukar inte säga det; men jag är inte särskilt attraherad av just den idén. Det här är åtminstone för mig den sista debatten med försvarsutskottet den här mandatperioden. Jag vill därför tacka samtliga ledamöter för ett gott samarbete. Jag vill också yrka bifall till utskottets förslag i betänkandet. 71 (S): Informationssäkerhet är inget som det ankommer på en ensam myndighet att ta ansvar för. Kanske fanns när så var fallet, när it fortfarande var en nymodighet och ett smalt intresse och hade en begränsad användarkrets. är läget som bekant ett annat, ett helt annat. Cyberattacker är en realitet som drabbar i stort sett alla samhällets sektorer. Spionage bedrivs i stor utsträckning genom elektronisk inhämtning, och dagens och alldeles säkert morgondagens krig och konflikter kommer på olika sätt att utspela sig i cybermiljön. Mot den bakgrunden måste man säga att NIS-direktivet är både välkommet och viktigt. Direktivet, eller dess svenska uttolkning, lagen om informationssäkerhet för samhällsviktiga och digitala tjänster, syftar till att uppnå en hög säkerhetsnivå i nätverk och informationssystem för digitala tjänster samt samhällsviktiga tjänster. Med den här lagstiftningen på plats har vi ett ramverk som innebär att både offentliga och privata aktörer måste skärpa sitt informationssäkerhetsarbete. Lagförslaget ligger väl i linje med både den försvarspolitiska inriktning som antagits här i riksdag och Nationell informations- och cybersäkerhetsstrategi, som antogs av regeringen . NIS-direktivet är en produkt från Europeiska unionen. EU är i sig en integrerad marknadsplats där varor, tjänster och människor ska kunna röra sig fritt över gränserna. Det övergripande syftet med direktivet är att bygga upp tillit och förtroende mellan medlemsländer och mellan olika aktörer genom att uppnå en hög säkerhetsnivå. Från ett nationellt perspektiv innebär denna lagstiftning att ett bredare grepp tas om it-säkerhetsfrågorna i och med att specifika sektorer pekas ut: Det handlar om energi, transport, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, leverans och distribution av dricksvatten samt digital infrastruktur. Informationssäkerhet för samhällsviktiga och digitala tjänster Samtliga av dessa områden känner vi igen från det pågående arbetet med det civila försvaret. Det handlar alltså om grundläggande funktioner för att det moderna samhället ska fungera. Konkret innebär den nya lagstiftningen att leverantörer av samhällsviktiga och digitala tjänster ska vidta åtgärder för att uppnå ett tillräckligt säkerhetsskydd i sina system. Vad är då samhällsviktiga tjänster? Utgångspunkten är att det handlar om leverantörer som tillhandahåller tjänster som är beroende av nätverk och informationssystem och att en incident skulle medföra en betydande störning vid tillhandahållandet av tjänsten. Om man tycker att det där låter krångligt, fru talman, finns det en upprättad förteckning över vilka verksamheter som omfattas och anses tillhandahålla just samhällsviktiga tjänster. Bland annat ska dessa leverantörer göra en riskanalys som ska ligga till grund för val av säkerhetsåtgärder. I analysen ska det ingå en åtgärdsplan. Åtgärdsplanen ska analyseras och uppdateras . Leverantörerna ska också, i likhet med den obligatoriska it-incidentrapportering som gäller för samtliga statliga myndigheter, rapportera incidenter som påverkar kontinuiteten i tjänsterna. Det ska inte stickas under stol med att många företag och organisationer just nu upplever en tung period med nya regleringar rörande deras förmåga att skydda information och skydda kunders integritet. infördes nya personuppgiftsregler, mer känt som GDPR, och kommer alltså NIS-direktivet. Det finns emellertid goda och välmotiverade skäl bakom båda regleringarna. Vi måste dimensionera vår mot motståndskraft i förhållande till den hotbild som vi möter. Avslutningsvis: Den som har följt den försvarspolitiska debatten vet att informations- och cybersäkerhet har fått en alltmer framträdande roll. Exempel från vår omvärld, men också från , visar cybervapnets potential att skada och rent av tvinga ned samhällen på knä. Vi har också sett hur slarv och handhavandefel fått väldigt negativa konsekvenser. Och lika självklart som det är att inkludera det privata näringslivet i det fortsatta arbetet med totalförsvarsplanering är det att ställa tydliga krav på leverantörer av samhällsviktiga tjänster att hålla en hög säkerhetsnivå i sina it-system. 72 (): Sårbarheten i våra it-system och när det gäller digitala tjänster är uppenbar. Man skulle kunna använda till att beskriva det, men jag ska inte göra det. Det här är en försvarsfråga som försvarsutskottet har hand om, men det rör också i allra högsta grad det civila samhället i fredstid. Åtminstone handlar det om de åtgärder som borde vidtas. Utvecklingen av elektronisk informationsöverföring går så snabbt att det är svårt att hänga med. Den rapportering som Myndigheten för samhällsskydd och beredskap får in visar i sin senaste version att knappt en tredjedel av de rapportskyldiga myndigheterna har lämnat in rapporter om en eller flera incidenter. Man kan tycka att det är bra i tron att det verkligen inte händer så mycket över huvud taget. måste man ifrågasätta om detta verkligen stämmer med verkligheten med tanke på att FRA uppskattar att svenska mål utsätts för 10 000 aktiviteter bara från utlandet. Så det stämmer inte riktigt. Informationssäkerhet för samhällsviktiga och digitala tjänster Det visar att vanan eller förmågan hos myndigheterna att rapportera problem är låg. Det är fortfarande otydligt för myndigheterna vad som ska rapporteras in. Det finns egentligen ingen definition av vad som menas med allvarliga incidenter. Det får var och en lista ut själv, och då får man det man får. Men de som gjort det och anmält anger att i av fallen har det lett till begränsade störningar i verksamheten. säger att effekten är stora störningar. Det är väl i allmänhet vanligt folk och verksamheter som drabbas av detta. Men det är alltså otydligt hur omfattande problemen är. Vad handlar det om? Ja, det är kryptotrojaner, vd-bedrägerier och överbelastningsattacker. Vd-bedrägerier innebär att man utger sig för att vara vd och får folk att göra saker. Vem är avsändaren? Ja, det kan också variera. Vi har de utländska kontakterna, men vi har också en hel del inhemsk verksamhet. Dessutom finns det rätt många pigga ungdomar. Det som man kan konstatera och det som är viktigt i det här sammanhanget är att med ett bättre säkerhetsarbete skulle vi kunna stoppa eller i vart fall minska problemen radikalt. EU har genom NIS-direktivet angett vad som måste vara en mininivå av nationell kapacitet, och det är väl bra att man gör det. Det ska finnas en nationell strategi för behöriga myndigheter. Det ska också finnas en organisation för hantering av it-incidenter och en kontaktpunkt för gränsöverskridande samarbete. Genom att inarbeta detta i svensk lag kommer det att gälla också i , vilket dagens ärende handlar om. Vilka sektorer som det handlar om har vi ju redan hört här i debatten. Det kan konstateras att en del av det som NIS-direktivet kräver har kommit på plats i . Med dagens ärende tar vi ett ytterligare viktigt steg. Men beslut i kammaren är en sak. Det slår mig att vi väldigt sällan tänker på det. Vad vi beslutar är inte verkligheten. Det är först när det är genomfört och i praktiken fungerar som vi har nått resultat. Här finns det mycket att göra. Dessa beslut ska genomföras, vårdas och förvaltas . Det är långt ifrån tillräckligt. På alla nivåer krävs det ett intresse och en vilja att säkerställa att it-baserade verksamheter är att lita på. deltog jag i cyberförsvarsdagen, en årligt återkommande dag med föreläsningar och diskussioner om it och säkerhet. I en paneldiskussion deltog en medarbetare från FRA som arbetar med att granska incidenter. Han arbetar också med säkerheten i it-system hos myndigheter och företag. Hans budskap var egentligen ganska enkelt: Om man följer råden från dem och gör som man ska göra skulle riskerna vara mindre. Men vi har inte ens infört det som man sa , konstaterade han. I ett annat samtal träffade jag också andra, och ett starkt intryck där var att frågor om it-säkerhet ofta lämnas till myndighetens säkerhetsavdelning – punkt. Där finns det ofta hög expertkunskap, och det är bra i sig. Men när enheterna och avdelningarna lämnar sina äskanden eller propåer hanteras de på ledningsnivå som alla andra frågor från alla andra delar av verksamheten. Informationssäkerhet för samhällsviktiga och digitala tjänster En liten enhet med abstrakta och tekniska frågor får sällan det öra från cheferna som skulle behövas. Därmed händer det väldigt lite. Vi har påpekat brister år , sa man till mig. Vi försöker att framföra vad som borde göras, men det händer ingenting. It-frågor och it-säkerhetsfrågor är ofta tekniska och abstrakta. Många av oss förstår mycket litet av hur det tekniskt fungerar. Vi överlåter åt tekniker att sköta saken och det är förmodligen bra på sitt sätt. Men vi lyssnar för dåligt på deras råd eller också förstår vi dem inte. Som samhället och därmed olika verksamheter har utvecklats duger det inte. Frågorna om it-systemen och säkerheten måste upp på ledningsnivå. Skador och brister som kan uppstå leder till kostnader och problem som är alldeles för stora. Här innebär EU-direktivet en del positiva saker. Incidentrapportering har vi satt på plats. Det är bra, för information samlas då in, struktureras och blir därmed intressant och gripbart för chefer. Krav på gränsöverskridande samarbete är av naturen sådant som ofta är intressant för ledningen. Men, som jag sade inledningsvis: Vi måste göra mer. Kritiken mot regeringens hantering av Transportstyrelsens outsourcing av känslig information borde få alla väckarklockor att ringa. Vi moderater anser att det behövs en krisledningsfunktion i Statsrådsberedningen. Det är obegripligt att statsministern flyttade ut den som fanns i stället för att skapa tydliga strukturer för att larma. Effekterna har vi ju sett, och de är väldigt tråkiga. Som framgår av betänkandet har allianspartierna i ett särskilt yttrande noterat att regeringen ”överväger olika alternativ för att stärka den nationella samordningen”. Man får glädjas åt det lilla, kan man säga. Men som Försvarsberedningen konstaterar är ansvaret för dessa frågor spritt på väldigt många myndigheter. Det finns ett starkt behov att snabbt åstadkomma en effektiv nationell samordning vad gäller informations- och cybersäkerhet. Dessutom anser jag att det inom myndigheter och företag måste till en förändring av det slag jag har antytt. Chefer och generaldirektörer måste sätta sig in i frågorna och se till att de har en plats på ledningsnivå. kommer rekryteringen av nya ledare med stor sannolikhet också att innehålla frågor och krav på kunskaper om it och it-säkerhet. Så centralt är detta. Jag tror att det är dags att också vi på politisk nivå inser att det är här skon klämmer. Om vi inte får ledningarna på myndigheter, på företag och i regering att förstå hur centralt detta är kommer för lite att hända. Utvecklingen går snabbt och utnyttjas av andra. Jag yrkar bifall till utskottets förslag, som i det lilla är bra. Jag vill också tacka försvarsutskottets ordförande för hälsningen om bland annat en glad sommar. Vi ses i andra sammanhang! 73 (SD): Syftet med den nya lagen är att uppnå en hög nivå på säkerheten i nätverk och informationssystem. har i många sammanhang på olika sätt gjort klart att vi ser säkrandet av sådana system och en utveckling av ett cyberförsvar som en viktig del av totalförsvarets alla delar. Vi kan också se positivt på att leverantörer av samhällsviktiga tjänster nu ska bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete, fru talman, i fråga om de nätverk och informationssystem som de använder och tillhandahålla dessa samhällsviktiga tjänster. Informationssäkerhet för samhällsviktiga och digitala tjänster Det är lite olyckligt att det kommer i bakvänd ordning. kommer det från EU. Vi har inga problem med det, men vi hade gärna sett att hade tagit ett kraftfullare initiativ här. Men är det som det är, och därför tycker vi att det är bra att detta kommer på plats. Vi måste hålla ett öga på var besluten hamnar, i alla fall i detta avseende. Just i det här fallet rör det sig om säkerhetsåtgärder som oavsett hur man ställer sig till EU hade varit värdefulla att genomföra. Vi ser som sagt positivt på detta. Regeringen eller den myndighet som regeringen bestämmer – här tycker jag att det finns en viss osäkerhet – ska enligt propositionen få meddela föreskrifter. Regeringen eller en myndighet ska alltså meddela föreskrifter för vad som krävs av leverantörer av dessa samhällsviktiga tjänster. Sneglar man på MSB? Eller vad sneglar man på? Vi har dock en positiv grundsyn på att man gör detta på ett bra sätt. Vid utbyte av information måste det enligt regeringen beaktas att utlämnande av uppgifter inte riskerar säkerhet. Utskottet förutsätter att säkerhetsklassad information inte utlämnas till EU-institutioner utan att det först prövas att det lagligen kan ske. Detta är mycket viktigt. Utan detta uttalande hade vi över huvud taget inte kunnat godkänna det här. Ju viktigare detta är och ju fler myndigheter som åläggs att föra säkerhetsarbete, desto större blir oro inför chefskapet och ledarskapet på myndigheterna. kommer man in på utomordentligt känslig information, och man måste agera med ett gott chefskap och ledarskap, där det tyvärr finns undantag. Jag tycker inte att det finns anledning att känna tillförsikt inför till exempel den nye chefen på . Ska vi verkligen ha myndighetschefer här i landet som uttrycker sig på det vis som han gör? Han säger att han mår illa och kan kräkas när han hör företrädaren för ett av landets största partier tala. Är det sådana chefer som är kvalificerade att leda dessa viktiga myndigheter? Jag tycker att man ska gå tillbaka och ställa något slags kompetenskrav. Falluckan ska inte sitta i taket för vare sig politiker, tjänstemän eller chefer i de statliga förvaltningarna när de har visat sig mer eller mindre odugliga. Det finns också massor med bra chefer. Den förra chefen på tycker jag var alldeles utmärkt. Jag kan räkna upp fler. Jag vill dock framhålla vikten av att man ser över utnämningen av chefer på dessa viktiga myndigheter. Vi har lite att göra när det gäller kompetenskraven, tycker jag. Vilka krav ställer vi på ledningen för aktuell myndighet? Man får söka över landet efter någon med rätt kompetens. När det gäller anställningsförfarandet ska inte partiboken avgöra. Det är ointressant om man är sverigedemokrat eller något annat. Kompetensen ska avgöra vem som får befattningen som chef eller ledare på myndigheterna. Civilt skulle man aldrig drömma om att anställa någon för att han har rätt partibok. Överläggningen var härmed avslutad. (Beslut skulle fattas .) § 13 om finansieringssystemet för kärnavfallshantering om finansie-ringssystemet för kärnavfallshantering betänkande 2017/18:FöU15 om finansieringssystemet för kärnavfallshantering (skr. 2017/18:141) 74 (-): I den aktuella skrivelsen lägger fram ett antal rekommendationer till regeringen. Flera av dessa har regeringen beaktat, men det finns fortfarande utrymme för förbättringar. En av de rekommendationerna är att regeringen bör utveckla rapporteringen av de samlade riskerna i finansieringssystemet. ger flera olika alternativ för hur en sådan rapportering skulle kunna genomföras. Exempelvis kan det ske i budgetpropositionerna, i resultatskrivelser till eller i årsredovisningen för staten. Regeringen har valt alternativet att genomföra rapporteringen till av systemets balans och statens samlade risk i kommande budgetpropositioner. Man aviserar att rapporteringen kommer att ske . Enligt min mening är denna rapportering inte tillräcklig. Jag anser att rapporteringen i stället bör ske mer frekvent, minst två gånger per mandatperiod. Jag yrkar därmed bifall till reservationen. 75 (S): Jag vill börja med att yrka bifall till förslaget i försvarsutskottets betänkande 2017/18:FöU15 och avslag på reservationen. har behandlat regeringens skrivelse som tar upp granskning och rapport av finansieringssystemet för kärnavfallshantering. omfattar finansieringssystemet stora kostnader, och riskerna för att staten ska tvingas bekosta omhändertagande av använt kärnbränsle och kärnavfall ska och måste minimeras så långt som möjligt. Enligt svensk lag ska kärnkraftsföretagen stå för alla kostnader för att ta hand om och slutförvara kärnavfallet. De ska också bekosta rivningen av kärnkraftverken och andra kärntekniska anläggningar. avsätter kärnkraftsföretagen pengar för att täcka kostnaderna för detta. Medlen förvaltas av Kärnavfallsfonden. Förutom de avgifter som ägarna betalar ställer de också finansiella säkerheter för avgifter som ännu inte har betalats in till fonden och för oförutsedda händelser. Kostnaderna för rivning av, forskning om och hantering av kärnavfall och använt kärnbränsle har uppgått till ca . Kostnaderna gäller mellanlagring av kärnavfall, demontering av kärnkraftverket i med mera. Den beräknade totalkostnaden för avvecklingen av kärnkraften ligger på . Det statliga finansieringssystemet för omhändertagande av kärnkraftens restprodukter ska täcka kostnaderna för avveckling och avfallshantering , enligt Svensk Kärnbränslehanterings, SKB:s, tidsplan. Med tanke på den långa tidsperioden finns det en inbyggd osäkerhet i systemet. övergripande slutsats är att det finns stora osäkerheter i och oenigheter om hur omfattande de framtida kostnaderna och intäkterna i finansieringssystemet kan bli. om finansie-ringssystemet för kärnavfallshantering Beräkningarna granskas av , , som i sin tur lämnar förslag till regeringen om storlek på avgifter och säkerheter. Sedan fattar regeringen beslut om avgifter och säkerheter för reaktorinnehavarna. Finansieringssystemet har sannolikt varit underfinansierat, och statens ekonomiska säkerheter har varit otillräckliga. Det behövs ett helhetsansvar för analys och bedömning av risker i finansieringssystemet. välkomnar därför de åtgärder som regeringen har vidtagit avseende de nya reglerna om finansiering av kärnavfallshanteringen som utskottet behandlade i betänkande 2017/18:FöU2. Regeringen gav SSM och i uppdrag att förbereda och genomföra en överföring av SSM:s ansvar under finansieringslagstiftningen till . De kommer genom de nya arbetsuppgifterna att ha ett övergripande ansvar för att analysera och bedöma riskerna i finansieringssystemet. Genom denna förändring samlas ansvaret för finansieringsfrågorna på färre aktörer, vilket leder till att en bättre överblick skapas. Regeringen kommer i det fortsatta arbetet att överväga att ytterligare förtydliga ansvar. Överföringen av ansvaret till ska vara genomförd . gör bedömningen att de åtgärder som regeringen nu aviserar i sin skrivelse är relevanta, bland annat att de samlade bedömningarna av riskerna ska rapporteras till . Utskottet ser även positivt på att belyser SSM:s och möjligheter att besluta om föreskrifter och riskbegränsande villkor för att ytterligare begränsa statens risk. Det finns en bred enighet i utskottet om detta. Med tanke på att jag inte kandiderar till igen och att detta är min allra sista ärendedebatt i denna fina kammare vill jag passa på att tacka för den tid som jag har haft förmånen att arbeta i och framför allt i försvarsutskottet. Det har varit tolv fantastiskt intressanta och fina år för min del, med debatter som ibland har andats oenighet men framför allt debatter som faktiskt har präglats av enighet i våra för landet så viktiga frågor. Jag tackar kollegor och ledamöter för ett bra arbetsklimat i utskottet, men jag tackar framför allt all kanslipersonal som på ett proffsigt och bra sätt alltid har varit stadgan och ryggraden i försvarsutskottets arbete. 76 (SD): Vi delar utskottets uppfattning; det är ingen hemlighet. Framför allt tycker vi, som sas, att regeringen har tagit till sig kritiken från och lägger fram förslag om att man ska följa detta i allt väsentligt. Det känner vi oss mycket tillfreds med. Därför ställer vi oss bakom detta. är för kärnkraften. Där skiljer vi oss lite grann från de övriga partierna. Möjligtvis är Liberalerna också för. Det kan finnas någon mer. om finansie-ringssystemet för kärnavfallshantering Vi vill också ha forskning och en utveckling av kärnkraften. Men det är en annan debatt. Vi vet att man nu trycker ned uran i bergrummet. Man tror att detta ska bli tätt och att det inte ska bli någon strålning. Jag vet inte. Jag känner bara en osäkerhet. Men jag vill ställa en fråga som jag har ställt tidigare. Vidtar man åtgärder för att kunna ta upp det ganska enkelt? Jag får uppfattningen att man inte gör det. När det gäller den nya kärnkraften kommer man, med den forskning som finns, att kunna upparbeta det ännu mer, kanske upp till 90–om det som jag har läst stämmer. Vore det då inte ganska bra att kunna återanvända detta uran och slippa bryta uran runt om i världen? Det tycker jag. Jag återkommer i fråga om detta, dels när jag kan mer om detta ämne, dels när jag förstår vilka kostnader det är för detta. När jag talar med dem som förvarar uranet säger de att man då får bestämma att man ska ta upp detta igen till en viss kostnad. Det är vår inriktning, och det återkommer jag till i motioner under kommande mandatperioder. Men att fortsätta bryta uran på detta sätt, när forskningen är nästan framme vid nya reaktorer som kan upparbeta detta, tycker jag är en bra lösning, om inte annat så för andra länder som är kloka nog att fortsätta med kärnkraften. Jag vill tacka försvarsutskottets ledamöter för ett, som jag uppfattar det, mycket trevligt, bra och givande bemötande. Det har varit trevligt och lärorikt. Vi syns igen. Överläggningen var härmed avslutad. (Beslut skulle fattas .) § 14 Kompletterande bestämmelser till EU:s förordning om gasanordningar betänkande 2017/18:FöU16 Kompletterande bestämmelser till EU:s förordning om gasanordningar (prop. 2017/18:178) vice talmannen konstaterade att ingen talare var anmäld. (Beslut skulle fattas .) § 15 En ny strafftidslag betänkande 2017/18:JuU30 En ny strafftidslag (prop. 2017/18:250) 77 (V): Vi befinner oss i ett politiskt skede där det talas otroligt mycket om längre straff och hårdare tag. Då kan det vara bra att påminna sig om att det inte alltid har sett ut så i den kriminalpolitiska debatten. Precis som under alla politiska tidsperioder varierar politikernas vilja att markera sina ställningstaganden. Tittar vi lite bakåt i tiden skedde det däremot debatter om hårdare tag under valrörelserna 1982, 1991 och 2006. är vi här igen. Allt kommer igen, både i mode och i politik. I en sådan här debatt om straff ska vi ändå påminna oss om hur straffrätten fungerar i .