sou · H8B358 · 2020-09-30 00:00:00 — Transmission and adoption of a candidate cybersecurity certification scheme Webbplats om europeiska ordningar för cybersäkerhetscertifiering I artikel 50 anges att ska underhålla en särskild webbplats med information om och offentliggörande av europeiska ordningar för cybersäkerhetscertifiering, europeiska cybersäkerhetscertifikat och EU-intyg om överensstämmelse, även information med avseende på europeiska ordningar för cybersäkerhetscertifiering som är giltiga, på indragna och utgångna europeiska cybersäkerhetscerti- fikat och EU-försäkringar om överensstämmelse, och på förteck- ningen över länkar till cybersäkerhetsinformation som tillhandahålls i enlighet med artikel 55. I tillämpliga fall ska det på webbplatsen också anges vilka nationella ordningar för cybercertifiering som har ersatts av en europeisk ordning för cybersäkerhetscertifiering. Säkerhetsmålsättningarna för europeiska ordningar för cybersäkerhetscertifiering I artikel 51 föreskrivs att en europeisk ordning för cybersäkerhets- certifiering ska vara utformad för att, i tillämpliga fall, uppnå minst de säkerhetsmålsättningar som anges i bestämmelsen. Assuransnivåer för europeiska ordningar för cybersäkerhetscertifiering I artikel 52 anges att en europeisk ordning för cybersäkerhetscertifier- ing får innehålla en eller flera av assuransnivåerna ”grundläggande”, ”betydande” och ”hög” för IKT- produkter, IKT-tjänster och IKT- processer. Assuransnivån för en europeisk certifieringsordning utgör förtro- endegrunden för att en IKT-produkt, IKT-tjänst eller IKT-process uppfyller säkerhetskraven i en särskild europeisk ordning för cyber- säkerhetscertifiering. I syfte att säkerställa konsekvens i den euro- peiska ramen för cybersäkerhetscertifiering ska en europeisk ordning för cybersäkerhetscertifiering kunna specificera assuransnivån för EU-försäkringar om överensstämmelse och europeiska cybersäker- hetscertifikat som utfärdats inom ramen för den ordningen. En EU- försäkran om överensstämmelse kan endast avse assuransnivån grund- läggande medan ett europeiskt cybersäkerhetscertifikat kan avse någon av assuransnivåerna grundläggande, betydande eller hög. Assuransnivåerna avspeglar motsvarande stringens och djup i fråga om utvärdering av IKT-produkten, IKT-tjänsten och IKT-pro- cessen och fastställs genom hänvisning till tekniska specifikationer, standarder och förfaranden med koppling till detta, inbegripet tek- niska kontroller, som ska mildra eller förhindra incidenter. Varje assuransnivå bör vara konsekvent inom de olika sektoriella områden där certifiering tillämpas. En europeisk ordning för cybersäkerhetscertifiering kan ha flera utvärderingsnivåer beroende på hur stringent och djupgående utvär- deringsmetoden är. Utvärderingsnivåer ska motsvara en av assurans- nivåerna och vara kopplad till en lämplig kombination av assurans- komponenter. För samtliga assuransnivåer bör IKT-produkten, -tjänsten eller -processen omfatta en rad säkra funktioner som fast- ställs i ordningen. I artikel 53 anges att en europeisk ordning för cybersäkerhetscerti- fiering kan ge tillverkaren eller leverantören av IKT-produkter, IKT- tjänster eller IKT-processer möjlighet att göra en självbedömning av överensstämmelse, dvs. en EU-försäkran om överensstämmelse. En självbedömning av överensstämmelse ska dock endast tillåtas i för- hållande till IKT-produkter, -tjänster och -processer med låg risk som motsvarar assuransnivån grundläggande. Denna typ av bedömning av överensstämmelse bedöms lämplig för IKT-produkter och -tjänster med lägre komplexitet som inte utgör en stor risk för det allmänna samhällsintresset.25 Komponenter i europeiska ordningar för cybersäkerhetscertifiering Av artikel 54 framgår att en europeisk ordning för cybersäkerhets- certifiering ska innehålla bl.a. föremålet och tillämpningsområdet för certifieringsordningen, inbegripet typen eller kategorierna av de IKT- produkter, IKT-tjänster och IKT-processer som omfattas av certifier- ingsordningen och en tydlig beskrivning av syftet med ordningen och hur de valda standarderna, utvärderingsmetoderna och assurans- nivåerna överensstämmer med behoven hos ordningens avsedda an- vändare. En europeisk ordning för cybersäkerhetscertifiering kan möjlig- göra både självbedömning av överensstämmelse och certifiering för IKT-produkter, -tjänster eller -processer. I dessa fall bör ordningen föreskriva tydliga möjligheter för konsumenter och andra användare att skilja mellan IKT-produkter, -tjänster eller -processer med avse- ende på vilken tillverkare eller leverantör av IKT-produkter, -tjänster eller -processer som har ansvar för bedömningen, och IKT som har certifierats av en tredje part.26 En bedömning av överensstämmelse avser det förfarande genom vilket man utvärderar om fastställda krav för en IKT-produkt, -tjänst eller -process har uppfyllts. Detta förfarande utförs av en oberoende tredje part som inte är tillverkaren eller leverantören av de IKT-pro- dukter, -tjänster eller -processer som bedöms. Bedömning av över- ensstämmelse och certifiering utgör inte i sig någon garanti för att certifierade IKT-produkter och -tjänster är cybersäkra. De är snarare förfaranden och tekniska metoder för att intyga att IKT-produkter, -tjänster och -processer har testats och att de uppfyller vissa cyber- säkerhetskrav som fastställs på annan plats, t.ex. i tekniska standarder.27 Valet av lämplig certifiering och därtill knutna säkerhetskrav av användarna av europeiska cybersäkerhetscertifikat bör grundas på en riskanalys som avser risker med användningen av IKT-produkten, -tjänsten eller -processen. Assuransnivån bör därför stå i proportion till nivån på den risk som är förenad med den avsedda användningen av en IKT-produkt, -tjänst eller -process.28 Kompletterande cybersäkerhetsinformation för certifierade IKT-produkter, IKT-tjänster och IKT-processer I artikel 55 anges att tillverkaren eller leverantören av IKT-produkter, IKT-tjänster eller IKT-processer för vilka en EU-försäkran om över- ensstämmelse har utfärdats eller som är certifierade ska lämna kom- pletterande cybersäkerhetsinformation enligt vad som anges i bestäm- melsen. I artikel 56 anges att IKT-produkter, IKT-tjänster och IKT-processer som har certifierats enligt en europeisk ordning för cybersäkerhets- certifiering, som antagits enligt artikel 49 ska förutsättas överens- stämma med kraven i en sådan ordning. Vidare anges att cybersäker- hetscertifieringen ska vara frivillig, om inte annat anges i unionsrätten eller i medlemsstaternas nationella rätt. I punkten 4 anges att de organ för bedömning av överensstäm- melse som avses i artikel 60 ska utfärda europeiska cybersäkerhets- certifikat i enlighet med artikeln som avser assuransnivå grundläg- gande eller betydande på grundval av de kriterier som ingår i den europeiska ordningen för cybersäkerhetscertifiering, som antagits av kommissionen i enlighet med artikel 49. Ipunkten 5 anges att genom undantag från punkten 4, och i moti- verade fall, får en europeisk ordning för cybersäkerhetscertifiering föreskriva att ett europeiskt cybersäkerhetscertifikat som är ett re- sultat av den ordningen får utfärdas endast av ett offentligt organ. Ett sådant organ ska vara ett av följande: a)En nationell myndighet för cybersäkerhetscertifiering som avses i artikel 58.1. b)Ett offentligt organ som är ackrediterat som organ för bedöm- ning av överensstämmelse i enlighet med artikel 60.1. Av punkten 6 framgår att om en europeisk ordning för cybersäker- hetscertifiering som antagits enligt artikel 49 kräver assuransnivån hög ska det europeiska cybersäkerhetscertifikatet enligt den ord- ningen endast utfärdas av en nationell myndighet för cybersäker- hetscertifiering eller, i följande fall, av ett organ för bedömning av överensstämmelse: a)Efter förhandsgodkännande av den nationella myndigheten för cybersäkerhetscertifiering för varje enskilt europeiskt cybersäker- hetscertifikat som utfärdats av ett organ för bedömning av överens- stämmelse. b)Efter allmän delegering på förhand av uppgiften att utfärda ett sådant europeiskt cybersäkerhetscertifikat till ett organ för be- dömning av överensstämmelse från den nationella myndigheten för cybersäkerhetscertifiering. I punkten 9 anges att ett europeiskt cybersäkerhetscertifikat ska ut- färdas för den period som fastställs i den europeiska ordningen för cybersäkerhetscertifiering och får förnyas under förutsättning att de relevanta kraven alltjämt uppfylls. Av punkten 10 framgår att ett europeiskt cybersäkerhetscertifikat som utfärdats i enlighet med denna artikel ska erkännas i alla med- lemsstater. Nationella ordningar och certifikat för cybersäkerhetscertifiering I artikel 57.1 anges att de nationella ordningarna för cybersäkerhets- certifiering och därtill hörande förfaranden, för IKT-produkter, IKT-tjänster och IKT-processer som omfattas av en europeisk ord- ning för cybersäkerhetscertifiering, ska upphöra att ha verkan från och med den dag som anges i den genomförandeakt som antagits i enlighet med artikel 49.7. Nationella ordningar för cybersäkerhets- certifiering och därtill hörande förfaranden för IKT-produkter, -tjäns- ter och -processer som inte omfattas av en europeisk ordning för cybersäkerhetscertifiering får kvarstå. Av punkten 2 framgår att medlemsstaterna inte får införa nya nationella ordningar för cybersäkerhetscertifiering av de IKT-pro- dukter, -tjänster och -processer som omfattas av en befintlig euro- peisk ordning för cybersäkerhetscertifiering. Av punkten 3 framgår att befintliga certifikat som utfärdats enligt nationella ordningar för cybersäkerhetscertifiering och som omfat- tas av en europeisk ordning för cybersäkerhetscertifiering ska förbli giltiga tills de löper ut. Hänvisningar i nationell lagstiftning till nationella standarder som har upphört att ha verkan i och med att en europeisk ordning för cybersäkerhetscertifiering har trätt i kraft kan orsaka förvirring.29 Medlemsstaterna bör därför se till att antagandet av en europeisk ord- ning för cybersäkerhetscertifiering avspeglas i deras nationella lag- stiftning.30 Nationella myndigheter för cybersäkerhetscertifiering I artikel 58.1 anges att varje medlemsstat ska utse en eller flera natio- nella myndigheter för cybersäkerhetscertifiering på sitt territorium eller, efter överenskommelse med en annan medlemsstat, utse en eller flera nationella myndigheter för cybersäkerhetscertifiering som är etablerade i denna andra medlemsstat som ansvariga för tillsyns- uppgifterna i den utseende medlemsstaten. Av punkten 2 följer att medlemsstaten ska underrätta kommissio- nen om vilka nationella myndigheter för cybersäkerhetscertifiering som utsetts. Om en medlemsstat utser mer än en myndighet ska den också informera kommissionen om vilka uppgifter som var och en av dessa myndigheter tilldelats. Av punkten 7 framgår att nationella myndigheter för cybersäker- hetscertifiering bl.a. ska –övervaka och kontrollera efterlevnaden av bestämmelserna i euro- peiska ordningar för cybersäkerhetscertifiering, –övervaka att IKT-produkters, IKT-tjänsters och IKT-processers överensstämmelse med kraven i de europeiska cybersäkerhets- certifikat som utfärdats inom deras respektive territorier, i sam- arbete med andra berörda marknadsövervakningsmyndigheter, –kontrollera att tillverkare eller leverantörer av IKT-produkter, IKT-tjänster eller IKT-processer som är etablerade inom deras re- spektive territorier fullgör sina skyldigheter när de genomför själv- bedömning av överensstämmelse enligt artikel 53.2 och 53.3 och motsvarande europeisk ordning för cybersäkerhetscertifiering, –aktivt bistå och stödja de nationella ackrediteringsorganen med övervakning och kontroll av verksamhet som bedrivs av organen för bedömning av överensstämmelse i enlighet med denna för- ordning, –övervaka och kontrollera den verksamhet som bedrivs av de offent- liga organ som avses i artikel 56.5, –i tillämpliga fall utfärda bemyndiganden för organ för bedömning av överensstämmelse i enlighet med artikel 60.3 och begränsa, till- fälligt upphäva eller återkalla befintliga bemyndiganden om orga- nen för bedömning av överensstämmelse inte uppfyller kraven i cybersäkerhetsakten, –behandla klagomål från fysiska eller juridiska personer avseende europeiska cybersäkerhetscertifikat som utfärdats av nationella myndigheter för cybersäkerhetscertifiering eller europeiska cyber- säkerhetscertifikat som utfärdats av organ för bedömning av över- ensstämmelse i enlighet med artikel 56.6, eller avseende en EU- försäkran av överensstämmelse som utfärdats enligt artikel 53, –lämna en årlig sammanfattande rapport om den verksamhet som bedrivits enligt leden b, c och d i denna punkt eller enligt punkt 8 till och europeiska gruppen för cybersäkerhetscertifiering, –samarbeta med andra nationella myndigheter för cybersäkerhets- certifiering eller andra myndigheter, bl.a. genom att utbyta infor- mation om IKT-produkter, IKT-tjänster och IKT-processer som eventuellt avviker från kraven i cybersäkerhetsakten eller från kraven i särskilda europeiska ordningar för cybersäkerhetscerti- fiering, och –övervaka relevant utveckling på området cybersäkerhetscertifiering. I punkten 8 anges de minimibefogenheter som varje nationell myn- dighet för cybersäkerhetscertifiering ska ha för att kunna fullgöra till- syn över efterlevnaden av det europeiska ramverket för cybersäker- hetscertifiering. Av punkten 9 framgår att nationella myndigheter för cybersäker- hetscertifiering ska samarbeta med varandra och med kommissio- nen, bl.a. genom att utbyta information, erfarenheter och god praxis när det gäller cybersäkerhetscertifiering och tekniska frågor som rör cybersäkerhet hos IKT-produkter, -tjänster och -processer. I artikel 59.1 anges att de nationella myndigheterna för cybersäker- hetscertifiering omfattas av inbördes granskning i syfte att uppnå likvärdiga standarder i hela unionen för EU-försäkringar om över- ensstämmelse och europeiska cybersäkerhetscertifikat. Av punkten 4 framgår att den inbördes granskningen ska utföras av minst två nationella myndigheter för cybersäkerhetscertifiering från andra medlemsstater och kommissionen och ska utföras minst . får delta i den inbördes granskningen. Organen för bedömning av överensstämmelse Av artikel 60.1 framgår att organen för bedömning av överensstäm- melse ska ackrediteras av det nationella ackrediteringsorgan som ut- setts i enlighet med förordning (EG) nr 765/2008. Sådan ackrediter- ing ska endast utfärdas under förutsättning att organet för bedömning av överensstämmelse uppfyller kraven i bilagan till EU:s cybersäker- hetsakt. I punkten 2 anges att om ett europeiskt cybersäkerhetscertifikat utfärdas av en nationell myndighet för cybersäkerhetscertifiering en- ligt artikel 56.5 a och 56.6 ska certifieringsorganet hos den nationella myndigheten för cybersäkerhetscertifiering ackrediteras som ett organ för bedömning av överensstämmelse enligt punkten 1. Av punkten 3 framgår att om de europeiska ordningarna för cyber- säkerhetscertifiering innehåller särskilda eller ytterligare krav enligt artikel 54.1 f ska endast organ för bedömning av överensstämmelse som uppfyller dessa krav bemyndigas av den nationella myndigheten för cybersäkerhetscertifiering att utföra uppgifter inom ramen för sådana ordningar. Av punkten 4 framgår att ackrediteringen som avses i punkten 1 ska utfärdas till organen för bedömning av överensstämmelse för en period på högst och får förnyas på samma villkor under förut- sättning att organet för bedömning av överensstämmelse fortfarande uppfyller kraven i denna artikel. Nationella ackrediteringsorgan ska vidta alla lämpliga åtgärder inom en rimlig tidsram för att begränsa, tillfälligt upphäva eller återkalla ackrediteringen av ett organ för be- dömning av överensstämmelse som utfärdats i enlighet med punkten 1 om villkoren för ackrediteringen inte har uppfyllts, eller inte längre uppfylls eller om åtgärder som vidtagits av organet för bedömning av överensstämmelse strider mot bestämmelserna i cybersäkerhets- akten. I artikel 61.1 anges att de nationella myndigheterna för cybersäker- hetscertifiering ska anmäla till kommissionen de organ som har ackre- diterats och, i tillämpliga fall, bemyndigade i enlighet med artikel 60.3 att utfärda europeiska cybersäkerhetscertifikat på angivna assurans- nivåer enligt artikel 52. Av punkten 2 följer att kommissionen ska, efter ikraftträdan- det av en europeisk ordning för cybersäkerhetscertifiering, offent- liggöra en förteckning över de organ för bedömning av överensstäm- melse som har anmälts. Av punkten 4 följer att en nationell myndighet för cybersäkerhets- certifiering får lämna in en begäran till kommissionen om att stryka ett organ för bedömning av överensstämmelse, som anmälts av den myndigheten, från den förteckning som avses i punkten 2. Europeiska gruppen för cybersäkerhetscertifiering Av artikel 62 följer att en europeisk grupp för cybersäkerhetscertifier- ing ska bildas. Gruppen ska bestå av företrädare för nationella myn- digheter för cybersäkerhetscertifiering eller företrädare för andra be- rörda nationella myndigheter. Gruppen ska ha i uppgift att bl.a. ge råd till och bistå kommissionen i dess arbete för att säkerställa ett konsekvent genomförande och en konsekvent tillämpning av det europeiska ramverket för cybersäkerhetscertifiering, särskilt när det gäller frågor som rör unionens löpande arbetsprogram, cybersäker- hetscertifiering, strategisamordning och utarbetandet av de europe- iska ordningarna för cybersäkerhetscertifiering. Rätt att lämna in klagomål I artikel 63.1 anges att fysiska och juridiska personer ska ha rätt att lämna in klagomål till utfärdaren av ett europeiskt cybersäkerhets- certifikat eller, när klagomålet rör ett europeiskt cybersäkerhetscerti- fikat som utfärdats av ett organ för bedömning av överensstämmelse som handlar i enlighet med artikel 56.6, till den berörda nationella myndigheten för cybersäkerhetscertifiering. Rätt till ett effektivt rättsmedel I artikel 64.1 anges att fysiska och juridiska personer ska ha rätt till effektiva rättsmedel avseende a)beslut avseende ett europeiskt cybersäkerhetscertifikat som inne- has av fysiska och juridiska personer och som meddelats av den myndighet eller det organ som avses i artikel 63.1, och b)underlåtenhet att vidta åtgärder med anledning av ett klagomål som lämnats in till den myndighet eller det organ som avses i artikel 63.1. I artikel 65 anges att medlemsstaterna ska fastställa regler om sank- tioner vid överträdelser av det europeiska ramverket för cybersäker- hetscertifiering och europeiska certifieringsordningar, och ska vidta alla nödvändiga åtgärder för att se till att de tillämpas. Sanktionerna ska vara effektiva, proportionella och avskräckande. I detta kapitel redogörs för den nationella ordningen för certifiering av it-säkerhet i system och produkter som tillämpas av certifierings- organet CSEC vid . Vidare lämnas en över- siktlig redogörelse för några av de övriga myndigheter som hanterar frågor om cybersäkerhet. Avslutningsvis redogörs översiktligt för Samverkansgruppen för informationssäkerhet. Förslaget med att ut- veckla ett nationellt cybersäkerhetscenter har behandlats i avsnitt 2.3.4. Certifiering innebär godkänd revision. Certifiering är den process som utförs av ett certifieringsorgan som kan leda till utfärdandet av ett certifikat. Organ med uppgift att utfärda certifikat finns på många olika områden och dessa organ är normalt inte myndigheter. Certi- fikatet är ett offentligt dokument utfärdat av certifieringsorganet som bekräftar att en specifik produkt framgångsrikt genomgått ut- värdering. Certifikatet kan t.ex. vara i form av en licens, ett diplom eller en legitimation. För att få ett certifikat ska organisationen ha genomgått en s.k. certifieringsrevision. Certifieringen består av en formell och oberoende utvärdering av produkter, tjänster och pro- cesser utifrån fastställda kriterier. Certifiering kan även avse personer. innebär certifieringsrevisionen att en extern revisor granskar organisationens processer och rutiner på det område som aktuell standard handlar om. Certifiering informerar och försäkrar köparna och användarna om säkerhetsegenskaperna hos produkterna och Genom att certifiera sig mot en standard visar man att sin organisation uppfyller kraven i den standarden. Certifiering under ackreditering innebär att en organisation, pro- dukt eller person av ett ackrediterat certifieringsorgan bedöms upp- fylla krav som ställs i standarder eller andra styrdokument. Här görs det även regelbundna kontroller av att t.ex. certifierad personal håller sin kompetens uppdaterad eller att en certifierad produkt fortsätter att överensstämma med kraven. Certifiering av t.ex. it-säkerhet består av ett formellt fastställande av resultatet från en evaluering,1 och det finns alltså organ med upp- giften att fatta beslut om utfärdande av certifikat rörande it-säkerhet. CCRA och svensk standard EN ISO/IEC 17065:20122 innehåller krav på certifieringsorgans opartiskhet och oberoende. Behovet av certi- fieringsorgan för it-säkerhet grundar sig på att man med internatio- nellt accepterade standarder kan bidra med tillit och förtroende (s.k. assurans) såväl inom som mellan organisationer, nationellt och inter- nationellt. Inom cybersäkerhetsområdet finns i många länder myndig- heter som utgör nationella certifieringsorgan för it-säkerhet; ofta med nära koppling till myndigheter med ansvar för nationell säker- het eller landets regering.3 Utöver ett behov av generellt arbete för bättre cybersäkerhet har det funnits en efterfrågan från Försvarsmakten och it-industrin på ett svenskt system för att kunna evaluera och certifiera it-säkerhets- produkter och system. Certifieringsfunktionen är sålunda att betrakta som ett stöd för såväl försvarssektorn som övriga delar av samhället, däribland näringslivet.4 I är det endast det offentliga organet CSEC (vid FMV) som är erkänt inom CCRA och MRA och som certifierar enligt Common Criteria på it-säkerhetsområdet. 1I detta sammanhang ingår granskning att evalueringsarbetet genomförts med erforderlig nog- grannhet och med utnyttjande av godkänd metodik samt att resultatet påvisat att evaluerings- objektet svarar mot någon viss kravnivå enligt givna evalueringskriterier. Certifiering utgör ofta ett väsentligt underlag vid ackreditering av system. 2Denna standard innehåller krav vid certifiering av produkter, processer och tjänster. 3SIS, Terminologi för informationssäkerhet, teknisk , , s. 59. 4Viss översyn av verksamhet och organisation på informationssäkerhetsområdet, SOU 2010:25, s. 25. () ska i enlighet med Försvarsmaktens investeringsplan och uppdrag ansvara för upphandling av bl.a. varor och tjänster inom den del av materielförsörjningsområdet som inte omfattas av Försvarsmaktens upphandlingsansvar. FMV ska även biträda Försvarsmakten i bl.a. planeringen av materiel- och logistik- försörjningen samt med materielsystemkunskap. FMV ska också biträda Försvarsmakten med kompetens när det gäller upphandling och vidmakthållande. FMV får inom sitt verksamhetsområde även tillhandahålla tjänster åt andra än Försvarsmakten.5 FMV är en s.k. industrisäkerhetsmyndighet enligt säkerhets- skyddslagen och har i betänkandet Kompletteringar till den nya säker- hetsskyddslagen (SOU 2018:82) föreslagits bli tillsynsmyndighet enligt säkerhetsskyddslagen för försvarsföretag. Genom stärkt internationell samverkan har FMV bi- dragit till att ta fram ett ramverk för stöd till att hantera cyberhot, sårbarheter och motåtgärder – något som kan användas av säkerhets- experter inom både stat och näringsliv. Arbetet är ett resultat av ett samarbete inom () gällande strategier för nationell cybersäkerhet, policyer för nationell industrisäkerhet och bästa praxis i detta sammanhang. Mot bakgrund av att flera av deltagarländerna i MISWG redan har mot- svarande nationella modeller kan dessutom harmonisering uppnås.6