yttr · H505FöU8y · 2018-04-13 00:00:00 — Ett modernt och stärkt skydd för säkerhet – ny säkerhetsskyddslag beslutade att ge försvarsutskottet tillfälle att yttra sig över proposition 2017/18:89 Ett modernt och stärkt skydd för säkerhet – ny säkerhetsskyddslag och följdmotionerna i de delar som berör utskottets beredningsområde. begränsar sitt yttrande till informationssäkerhetsmässiga aspekter av propositionen och följdmotionerna. Utskottet anser att justitieutskottet bör tillstyrka förslagen i propositionen på de skäl som anförs av regeringen. Utskottet anser också att justitieutskottet bör tillstyrka motion 2017/18:3999 (M, C, L, KD) yrkandena 1–3 och avstyrka motion 2017/18:3980 (V). I yttrandet finns en avvikande mening (V). Ett modernt och stärkt skydd för säkerhet – ny säkerhetsskyddslag Säkerhetsskydd innebär förebyggande åtgärder för att skydda säkerhet mot spioneri, sabotage, terroristbrott och andra brott. Kraven på säkerhetsskyddet har förändrats genom utvecklingen i omvärlden och på informationsteknikområdet, ökningen av säkerhetskänslig verksamhet som bedrivs i enskild regi och en ökad internationell samverkan. För att stärka säkerhetsskyddet föreslår regeringen en ny säkerhetsskyddslag. Den nya lagen innehåller krav på åtgärder som syftar till att skydda uppgifter som är av betydelse för säkerhet eller som ska skyddas enligt ett internationellt åtagande om säkerhetsskydd. Även skyddet av annan säkerhetskänslig verksamhet, t.ex. samhällsviktiga informationssystem, förbättras enligt regeringen. Det förtydligas att lagen gäller i både allmän och enskild verksamhet. Den nya lagen tydliggör skyldigheterna för den som bedriver säkerhetskänslig verksamhet och vikten av att verksamhetsutövarna genomför säkerhetsskyddsanalyser för sina verksamheter. Till följd av den nya lagen föreslås även ett antal ändringar i andra lagar. Lagen och följdändringarna i övriga lagar föreslås träda i kraft . I motion 2017/18:3980 anför m.fl. (V) att det offentliga hanterar mängder av information. Vissa uppgifter klassas som skyddsvärda och en del rör även rikets säkerhet. En viktig förklaring till de brister i fråga om myndigheters informationssäkerhetsarbete som visat på är att förståelsen för vikten av en god informationssäkerhet överlag är alltför liten, vilket i sin tur får till följd att arbetet inte prioriteras tillräckligt i förhållande till riskerna. Det visar inte minst problemen med Transportstyrelsens upphandling på, menar motionärerna som föreslår att regeringen bör ta fram riktlinjer för hur utkontraktering av it-verksamhet så långt som det är möjligt ska kunna undvikas i den offentliga förvaltningen. m.fl. (M, C, L, KD) välkomnar i motion 2017/18:3999 att regeringen har presenterat den aktuella propositionen men anser dock att det finns brister kopplade till denna som behöver hanteras. Skandalen kring Transportstyrelsens utkontraktering av sin it-verksamhet och regeringens bristfälliga hantering av denna fråga understryker behovet av ett bredare omtag när det gäller säkerhetsskyddsarbetet, anför motionärerna som därför föreslår att regeringen bör tillse att tillsynsmyndigheternas ansvar och befogenheter regleras i säkerhetsskyddslagen (yrkande 1), att regeringen bör genomföra en översyn av tillsynsmyndigheternas ansvar, organisation och resursfördelning (yrkande 2) och att bör omfattas av säkerhetsskyddslagens samtliga bestämmelser (yrkande 3). konstaterar att den nationella och internationella digitalisering som sker går i snabb fart. Denna för dock inte bara med sig möjligheter till utveckling. Det finns alltför många exempel på hur obehöriga aktörer kommit åt eller fått möjligheter att komma åt känslig information. Inte minst granskningar har visat på att informationssäkerheten hos svenska myndigheter inte har utvecklats tillräckligt. Utskottet ser därför positivt på de initiativ som regeringen vidtagit, dels den antagna nationella strategin för samhällets informations- och cybersäkerhet (skr. 2016/17:213, bet. 2017/18:FöU4, rskr. 2017/18:142), dels den nu föreslagna säkerhetsskyddslagen. Att den nya lagen innebär att skyddet av säkerhetskänslig verksamhet, t.ex. samhällsviktiga informationssystem, förbättras välkomnas av utskottet. Utskottet ser bl.a. ett behov av en utvecklad och fördjupad myndighetssamverkan för att höja informations- och cybersäkerheten i samhället, vilket regeringen men också utskottet uttryckt tidigare, t.ex. i betänkande 2017/18:FöU4. Utskottet ger också stöd åt regeringens syn i den tidigare nämnda strategin att stödet vid upphandling av säker elektronisk kommunikation och andra it-relaterade tjänster bör stärkas och att det är viktigt att de verksamheter som har behov av en hög nivå av driftssäkerhet inom kommunikationsnät och it-relaterade tjänster ställer krav på detta vid upphandling. Utskottet anser likt regeringen att det är nödvändigt att främja kunskaps- och kompetensutvecklingen på informationssäkerhetsområdet i samhället, inte minst bland myndigheter. Myndigheten för samhällsskydd och beredskap (MSB) och Säkerhetspolisen spelar bl.a. här en viktig roll genom t.ex. utförandet av sina respektive regeringsuppdrag. Regeringen har dessutom sett till genom en ändring i säkerhetsskyddsförordningen (1996:633) som trädde i kraft att statliga myndigheter, innan en utkontraktering inleds, ska samråda med någon av tillsynsmyndigheterna Säkerhetspolisen eller Försvarsmakten. Dessa myndigheter ska också ha möjlighet att besluta att sådana förfaranden inte får genomföras. Regeringen har också gett en särskild utredare i uppdrag att bl.a. kartlägga behovet av att förebygga att säkerhetsskyddsklassificerade uppgifter eller i övrigt säkerhetskänslig verksamhet utsätts för risker i samband med utkontraktering, upplåtelse eller överlåtelse av sådan verksamhet och föreslå åtgärder (dir. 2017:32). Utredningen om utkontraktering av säkerhetskänslig verksamhet, sanktioner och tillsyn ska redovisas . Utskottet anser således inte att det finns skäl att föreslå några nya åtgärder i fråga om utkontraktering. Utskottet föreslår därför att justitieutskottet avstyrker motion 2017/18:3980 (V). Även om utskottet välkomnar att regeringen har presenterat propositionen så understryks behovet av ett bredare omtag avseende säkerhetsskyddsarbetet pga. skandalen kring Transportstyrelens utkontraktering av sin it-verksamhet samt regeringens bristfälliga hantering av denna fråga. Detta infattar såväl säkerhetsskyddslagen som säkerhetskyddsförordningen, men även de föreskrifter och anvisningar som tillsynsmyndigheterna utfärdar generellt eller riktar mot berörda aktörer. Utskottet konstaterar att regeringen har försökt att hantera denna situation genom propositionen och genom vissa förändringar i säkerhetskyddsförordningen, men även genom tillsättandet av utredningen om utkontraktering av säkerhetskänslig verksamhet, sanktioner och tillsyn, som utskottet ser fram emot att ta del av. Frågan hastar dock på grund av det säkerhetspolitiska läget. Utskottet anser att det finns brister kopplat till propositionen som behöver hanteras omgående och anser att regeringen bör tillse att tillsynsmyndigheternas ansvar och befogenheter regleras i säkerhetsskyddslagen, att regeringen bör genomföra en översyn av tillsynsmyndigheternas ansvar, organisation och resursfördelning och att frågan om hur bör omfattas av säkerhetsskyddslagens bestämmelser ska utredas. Utskottet anser således att justitieutskottet bör tillstyrka förslagen i propositionen på de skäl som anförs av regeringen men också föreslå med tillstyrkande av motion 2017/18:3999 (M, C, L, KD) yrkandena 1–3 att ställer sig bakom vad som anförs i motionen och tillkännager detta för regeringen. Följande ledamöter har deltagit i beslutet: (L), (S), (M), (S), (S), (M), (C), (MP), (M), (S), (SD), (V), (KD), (S), (S), (M) och (-). Propositionen (V) (V) anför: har återkommande granskat myndigheternas informationssäkerhetsarbete. rapporter har visat på ett flertal brister. En viktig förklaring till de brister i fråga om myndigheters informationssäkerhetsarbete som visat på är att förståelsen för vikten av en god informa-tionssäkerhet överlag är alltför liten, vilket i sin tur får till följd att arbetet inte prioriteras tillräckligt i förhållande till riskerna. som myndigheterna inte klarar av att hantera uppgifterna är det dominerande påbudet att allt fler it-områden ska läggas ut på entreprenad. Det är allvarligt att regeringen inte har försäkrat sig om att det finns nödvändiga förutsättningar för myndigheterna att upprätthålla en god informationssäkerhetsnivå. Även om det i propositionen lämnas förslag som rör säkerhetsprövning m.m. vid exempelvis upphandling anser jag ändå att det är ett riskmoment i sig att utkontraktera uppgifter som innebär hantering av säkerhetskänslig information. Jag anser därför att regeringen bör ta fram riktlinjer för hur utkontraktering av it-verksamhet så långt som det är möjligt ska kunna undvikas i den offentliga förvaltningen. Detta innebär att jag anser att justitieutskottet bör tillstyrka motion 2017/18:3980 (V).