sou · H8B358 · 2020-09-30 00:00:00 — 7 § När chefen för det ackrediterade organet för bedömning av överensstämmelse utövar verksamhet enligt EU:s cybersäkerhetsakt är denne inte underställd myndighetschefen. 8 § I 40 § förvaltningslagen (2017:900) finns bestämmelser om över- klagande hos allmän förvaltningsdomstol. Denna förordning träder i kraft . 1.3Förslag till förordning om ändring i offentlighets- och sekretessförordningen (2009:641) Härigenom föreskrivs att bilagan till offentlighets- och sekretess- förordningen (2009:641) ska ha följande lydelse. – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – 162.utredning och tillsyn enligt och rådets för- ordning (EU) nr 2019/881 av den om (Europeiska unionens cybersäkerhetsbyrå) och om cybersäkerhetscertifiering av in- formations- och kommunikations- teknik och om upphävande av förordning (EU) nr 526/2013 (cybersäkerhetsakten) och lagen (0000:000) med kompletterande bestämmelser till EU:s cybersäker- hetsakt. –– – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – Denna förordning träder i kraft . 1Senaste lydelse 2020:717. Tillägget innebär inte att någon punkt i bilagan upphävs. Digitaliseringen beskrivs som vår tids starkaste förändringsfaktor och innebär att en allt större andel av aktiviteterna i samhället är be- roende av nätverk och informationssystem som används av myndig- heter, organisationer, företag och privatpersoner. Den digitala utveck- lingen ger stora möjligheter att förbättra och effektivisera människors vardag och olika verksamheter. Digitaliseringen har skapat nya for- mer av kommunikation, datahantering och datalagring. bygger många system för att hantera information huvudsakligen på digital informations- och kommunikationsteknologi (IKT). Med den tilltagande digitaliseringen och globaliseringen, som ökar beroenden över nations-, sektors- och ansvarsgränser, har följt en ökad betoning på cyberfrågor i samhället. Informations- och cyber- säkerhetsarbete, av såväl offentliga som privata aktörer, ses som nödvändigt vid digitaliseringsprocesser för att samhället ska kunna fungera och utvecklas i linje med de mål som finns inom olika politik- områden. som allt fler länder utvecklar strategier, doktriner och förmågor inom cyberområdet ökar förekomsten av cyberattacker mot olika intressen och verksamheter. Hoten kan utgöras av poli- tiskt, ekonomiskt och brottsligt motiverade angrepp, men även oav- siktliga incidenter som påverkar cybersäkerheten ökar. Den kraftiga tillväxten av sakernas internet (IoT), molnet (cloud) och stordata () medför större utsatthet för säkerhetsbrister. Cyberincidenterna kan t.ex. störa tillhandahållandet av nödvändiga tjänster, exempelvis vatten, hälso- och sjukvård, elektricitet och mobila tjänster. Möjligheterna till påverkan i informationssystem i demo- kratiska valprocesser och desinformationskampanjer är också en ut- maning. Genom att samhället och människorna blir alltmer beroende av digital infrastruktur och tjänster genom anslutna enheter och ut- bredd uppkoppling till internet ökar sårbarheten mot cyberattacker till alltmer oroande nivåer. Därutöver syns en ökad hotbild avseende antagonistiska aktörer med hög förmåga till cyberattacker. Vikten av fullgod informations- och cybersäkerhet ökar i motsvarande grad. Genom att kontrollera och certifiera produkter, tjänster och pro- cesser kan man göra dem säkrare och därigenom även öka förtro- endet för dessa. Det finns certifieringsordningar inom ett stort antal områden, bl.a. inom informationssäkerhetsområdet men även på områden som lednings-, miljö- och trafikledningssystem samt inom hälso- och sjukvård. Motsvarande gäller för provning och kontroll inom dessa områden, som utförs av olika ackrediterade organ för bedömning av överensstämmelse av fastställda krav och standarder. Bedömning av överensstämmelse är det gemensamma begreppet för certifiering, provning och kontroll som görs av tredje part för att visa att en produkt, tjänst eller process uppfyller ställda krav. Före- tag som certifierar, provar och kontrollerar granskas med hänsyn till opartiskhet och kompetens av ett ackrediteringsorgan. Certifieringar, prov och kontroller som utförs av ackrediterade organ för bedöm- ning grundas i stor utsträckning på internationella standarder. Avtal om ömsesidigt erkännande av certifikat inom EU har in- gåtts mellan några av medlemsstaterna (se avsnitt 3.5.1). Eftersom avtalen inte omfattar alla medlemsstater begränsas dess tillämplighet och genomslag samt effektiviteten på den inre marknaden. Ett certi- fikat utfärdat av en nationell myndighet för cybersäkerhetscerti- fiering erkänns dessutom i begränsad omfattning av andra medlems- stater. Det medför att inom EU är cybersäkerhetscertifiering av IKT-produkter, IKT-tjänster och IKT-processer begränsad och frag- menterad. I de fall de förekommer är det oftast på medlemsstatsnivå eller inom ramen för industridrivna system. Företag kan därför be- höva certifiera sina IKT-produkter, IKT-tjänster och IKT-processer i flera medlemsstater där de bedriver verksamhet. I syfte att uppnå en hög nivå av cybersäkerhet, cyberresiliens och förtroende inom EU och sträva efter att säkerställa en väl fungerande inre marknad antogs och rådets förordning (EU) 2019/881 om (Europeiska unionens cyber- säkerhetsbyrå) och om cybersäkerhetscertifiering av informations- och kommunikationsteknik och om upphävande av förordning (EU) nr 526/2013 (cybersäkerhetsakten). Cybersäkerhetsakten är en EU- förordning vars bestämmelser har direkt effekt och tillämpning i med- lemsstaten samt ger utrymme för medlemsstaten att besluta om kom- pletterande nationell lagstiftning och annan författningsreglering. EU:s cybersäkerhetsakt är uppdelad i två delar, där den första delen reglerar mandat och uppgifter i byråns arbete med att stärka informations- och cybersäkerheten i unionen och dess medlemsstater. Genom den andra delen av akten införs ett europeiskt ramverk för cybersäkerhetscertifiering som bl.a. ålägger medlemsstaterna att utse nationella myndigheter med ansvar för certifierings- och tillsyns- verksamheten samt i de nationella rättsordningarna införa sanktions- system och effektiva rättsmedel i syfte att säkerställa en ändamålsenlig och effektiv tillämpning av cybersäkerhetsakten i medlemsstaterna. Dessa bestämmelser i akten träder i kraft . Utredningens uppdrag i denna del av utredningsarbetet är att föreslå de anpassningar och kompletterande författningsbestämmelser som EU:s cybersäkerhetsakt ger anledning till på nationell nivå. Syftet är att säkerställa att den kompletterande nationella reglering som be- hövs finns på plats när cybersäkerhetsakten börjar tillämpas i sin hel- het . –analysera om kompletterande bestämmelser behöver införas i den svenska regleringen när det gäller utfärdande av EU-försäkran om överensstämmelse respektive europeiska cybersäkerhetscertifikat, –analysera om kompletterande bestämmelser behöver införas i den svenska regleringen för organ för bedömning av överensstämmelse, –föreslå vilken befintlig nationell myndighet som ska få i uppdrag att ansvara för certifierings- respektive tillsynsverksamhet, och –analysera och föreslå vilka övriga kompletterande nationella be- stämmelser, bl.a. vad avser handläggning av ärenden, effektiva rätts- medel och sanktioner, som cybersäkerhetsakten kräver eller bör införa. Utredningen ska i nästa fas av utredningsarbetet överväga om det finns anledning att införa krav på certifiering och godkännande av produkter, tjänster och processer inom nätverks- och informations- system som ska användas i säkerhetskänslig verksamhet. Arbetet i den delen ska redovisas i ett slutbetänkande . Direktiven finns i sin helhet i bilagorna 1 och 2. Utredningen kan konstatera att införandet av det europeiska ram- verket för cybersäkerhetscertifiering berör frågor och verksamheter som behandlas försvarsbeslut, Försvarsberedningens rap- porter och flera av de policy- och strategidokument och handlings- planer som antagits på nationell nivå för att stärka informations- och cybersäkerheten i samhället. Den nationella strategin för informations- och cybersäkerhet i samhället blir styrande för hur organisering och utformning av uppgifter och ansvarsområden på den nationella nivån kan ske och som behöver komplettera det europeiska ramverket för cybersäkerhetscertifiering. Detta gäller särskilt frågorna om vilken myndighet som bör utses att vara nationell myndighet för cybersäkerhetscertifiering och hur systemet för tillsyn av efterlevnaden av cybersäkerhetsakten och europeiska ordningar för cybersäkerhetscertifiering bör organiseras och utformas. Det finns därför skäl att i detta sammanhang inled- ningsvis återge några av de principiella ställningstaganden som kom- mer till uttryck i de olika dokumenten på området och vad som anges i den av de berörda myndigheterna antagna handlingsplanen. försvarsbeslut (prop. 2014/15:109, bet. 2014/15:FöU11, rskr. 2014/15:251) fastslogs att den samlade svenska förmågan att förebygga, motverka och aktivt hantera konsekvenserna av civila och militära hot, händelser, attacker och angrepp i cybermiljön måste ut- vecklas och förstärkas. Grunden i en robust cyberförsvarsförmåga är att säkerställa funktionalitet i samhällsviktiga funktioner och att skydda den mest skyddsvärda verksamheten, inklusive sådana system som är vitala för totalförsvaret, mot antagonistiska angrepp från kva- Ett svenskt cyberförsvar kräver samordning och koordinering av kompetenser, samt utpekade och övade beslutsvägar, mellan olika myndigheter och samhällsfunktioner. Det pågår stän- digt intrångsförsök mot internetanslutna system. Sårbarheter måste hanteras på både hård- och mjukvarusidan. Den som ansvarar för ett it-system måste utgå från att intrång och attacker kan lyckas, trots att en stor mängd faktiskt avvärjs. Försvarsberedningen framhåller i sin delrapport : Inriktningen av totalförsvaret och utformningen av det civila försvaret 2021–2025 (Ds 2017:66) att cybersäkerhet och internetrelaterade frågor diskuteras i allt fler multilaterala sammanhang och utgör en alltmer integrerad del i utrikespolitiken. Frågorna spänner över ett brett fält och innefattar bl.a. folkrätt, försvars- och säkerhetspolitik, mänskliga rättigheter och global utveckling. tilltar mot- sättningarna kring normer för internet och dess utveckling. För- svarsberedningen konstaterar att cybersäkerhetsfrågor får allt större betydelse i utrikes- och säkerhetspolitiken liksom för den nationella säkerheten. De globala cyberdiskussionerna befinner sig i ett forma- tivt skede. De internationella skeendena har tydliga och långtgående konsekvenser för nationella förhållanden. Cyberattacker är ett all- varligt hot mot befolkningens liv och hälsa, samhällets funktionalitet och vår förmåga att upprätthålla våra grundläggande värden. Med- vetenheten om detta har ökat . De mest skyddsvärda verksamheterna bedrivs inte solitärt utan är beroende av funktiona- litet och säkerhet inom andra verksamheter. Arbetet med skydd för de mest skyddsvärda verksamheterna kan därför inte bedrivas isole- rat, utan måste ske koordinerat med det samlade arbetet med sam- hällets informations- och cybersäkerhet. Försvarsberedningen framhåller att en utvecklad förmåga på infor- mations- och cybersäkerhetsområdet, inklusive en god underrättelse- förmåga i den digitala miljön, ökar möjligheten att upprätthålla vår nationella suveränitet och aktivt bidrar med skydd för kritisk infra- struktur. Vidare konstaterar man att ett kontinuerligt och systematiskt arbete med informations- och cybersäkerhet spelar en avgörande roll för att samhällets aktörer ska kunna upprätthålla en väl avvägd cyber- förmåga i totalförsvaret. Försvarsberedningen framhåller också att skyddsarbetet är ett gemensamt ansvar för hela samhället och måste bedrivas på central, regional och lokal nivå, hos myndigheter, företag och organisationer i . Den tekniska säkerheten behöver fortsatt stärkas som hänsyn tas till att det i många fall är den mänskliga faktorn som ligger bakom incidenter eller utnyttjas vid angrepp. De åtgärder som vidtas för att exempelvis höja lägstanivån i informations- och cyber- säkerhetsarbetet anses hänga samman med arbetet att skydda sam- hället mot avsiktliga cyberattacker. I Försvarsberedningens rapport : Inriktningen av säker- hetspolitiken och utformningen av det militära försvaret 2021–2025 (Ds 2019:8) noteras att de mest kvalificerade hoten inom cyber- området utgörs i första hand av cyberangrepp utförda av statliga eller statsunderstödda aktörer. Det konstateras vidare att med tillräcklig tid, kompetens och resurser kan alla enheter som är uppkopplade till internet hackas. Många stater har genom utveckling av avancerade metoder och offensiva verktyg skapat förmåga att genom cyber- attacker slå brett mot många mål och upprätthålla uthållighet över tiden. De cyberangrepp som kontinuerligt utsätts för kan t.ex. syfta till att hitta information om landets försvarsförmåga och planering eller ståndpunkter inför en förhandling. Det kan röra sig om att stjäla patent, forskningsresultat eller industrihemligheter för att t.ex. främja ekonomisk utveckling i sitt eget land. Det kan också röra sig om att störa eller förstöra funktionaliteten i för kritisk infrastruktur. Cyberattacker bedöms kunna få lika stora kon- sekvenser för samhällsviktiga funktioner och kritisk infrastruktur som ett konventionellt väpnat angrepp.1 Försvarsberedningen anser att cyberförsvar med både defensiva och offensiva åtgärder ska kunna agera proaktivt för att upptäcka, få information om och hantera cyberintrång, olika former av cyberangrepp, en hotande cyberoperation, eller för att fastställa en cyberoperations ursprung. Cyberattacker och olika former av in- trång i it-system kan utgöra ett separat antagonistiskt hot såväl som ett delmoment tillsammans med andra politiska, diplomatiska, eko- nomiska och militära maktmedel. Spionage och angrepp från statliga 1Försvarsberedningen noterar att såväl EU som Nato slagit fast att ett cyberangrepp kan ut- lösa förpliktelser enligt artikel 42.7 i respektive artikel 5 i Washingtonfördraget. och statsunderstödda aktörer mot skyddsvärd verksamhet i eller mot svenska intressen i utlandet kan syfta till att tillskansa sig information om svenska ekonomiska intressen, företag, forskning, försvarsförmåga och planering, våra säkerhetspolitiska avsikter, sam- hällsviktig verksamhet och kritisk infrastruktur. Det kan också handla om att en motståndare vill vilseleda, binda begränsade resurser eller försvåra effektivt beslutsfattande inför ett väpnat angrepp och på det sättet försämra våra förutsättningar att sätta oss till motvärn. Redan i fredstid är beroendet av elförsörjning och elektroniska kommuni- kationer mycket stort i . Den långtgående digitaliseringen i samhället har möjliggjort avancerade välfärdstjänster som inte kom- mer att kunna upprätthållas under de störda förhållanden som kan komma att råda under en allvarlig säkerhetspolitisk kris eller i krig. 2017 fattade regeringen beslut om en ny nationell säkerhetsstrategi för Sverige.2 I strategin, som var en utgångspunkt för att stärka nationella säkerhet, framhålls att aktivt ska värna nationella intressen och försvara dem närhelst de riskerar att under- mineras, bl.a. vad avser hot och risker som finns på det informations- teknologiska området. För att bemästra utmaningarna inom infor- mations- och cybersäkerhetsområdet är det viktigt att fortlöpande arbeta för att minska sårbarheter. Detta är en uppgift för alla aktörer Förmågan att förebygga, identifiera och hantera it-inci- denter och antagonistiska attacker behöver förbättras inom alla sam- hällsviktiga funktioner. De mest skyddsvärda verksamheterna ska dessutom svara upp mot de krav som ställs i säkerhetsskyddslagstift- ningen. Arbetet med att minska sårbarheter tar sin grund i verksam- hetens risk- och sårbarhetsanalys och/eller säkerhetsanalys. En förut- sättning för arbetet är en utvecklad samordning och samverkan mellan myndigheter och andra aktörer, för att identifiera vad som ska skyd- das och vilka ytterligare säkerhetsåtgärder som behöver sättas in. En robust cyberförsvarsförmåga framhålls som en viktig del av vår sam- lade ansats att stå emot riktade angrepp och försök till påverkan. 2Nationell säkerhetsstrategi, Statsrådsberedningen, . I digitaliseringsstrategin3 framhålls att förutsättningarna i ska vara de bästa för alla att på ett säkert sätt ta del av, ta ansvar för och ha tillit till det digitala samhället. Nationell informations- och cybersäkerhetsstrateg nationella strategin för samhällets informations- och cyber- säkerhet4 framhålls att det finns ett stort behov av att utveckla sam- hällets informations- och cybersäkerhet. I strategin framhålls att ett strukturerat och riskbaserat arbete med informations- och cyber- säkerhet bidrar till att säkerställa den fortsatta digitaliseringen av samhället och hävda säkerhet och nationella in- tressen. Ett strukturerat och riskbaserat arbete med informations- och cybersäkerhet är också en viktig förutsättning för svensk tillväxt och konkurrenskraft, samt en nödvändighet för att näringslivet ska kunna utveckla och tillhandahålla konkurrenskraftiga varor och tjäns- ter. För att informationshantering och it-användning i samhället ska kunna utvecklas på ett tryggt och säkert sätt krävs att alla aktörer har en helhetssyn på informationssäkerhet, som ska vara en självklar och integrerad del i allt arbete på alla nivåer i samhället. I strategin framhålls att ett systematiskt informations- och cyber- säkerhetsarbete är nödvändigt för att samhällets aktörer ska kunna upprätthålla en väl avvägd nivå av informations- och cybersäkerhet, även om alla system för informations- och cybersäkerhet i samhället inte kan skyddas mot alla typer av hot och risker. Den tekniska säkerheten behöver därför fortsatt stärkas som hänsyn måste tas till att det i många fall är den mänskliga faktorn som ligger bakom incidenter eller utnyttjas vid angrepp. Av den anledningen är det viktigt att även öka medvetenheten såväl som hanteringsförmå- gan hos alla användare av it-system och att skapa förutsättningar för utvecklingen av en säkerhetskultur i hela samhället. Vidare anges att arbetet med samhällets informations- och cybersäkerhet framför allt behöver prioritera att säkerställa en systematisk och samlad ansats i arbetet och öka säkerheten i nätverk, produkter och system. Myn- digheter, kommuner, regioner, företag och andra organisationer ska 3För ett hållbart digitaliserat – en digitaliseringsstrategi, (dnr N2017/03643/D). 4Nationell strategi för samhällets informations- och cybersäkerhet, regeringens skr. 2016/17:213. ha kännedom om hot och risker, ta ansvar för sin informations- säkerhet och bedriva ett systematiskt informationssäkerhetsarbete. Vidare behöver förmågan att förebygga, upptäcka och hantera cyber- attacker- och andra it-incidenter stärkas. Även möjligheterna att före- bygga och bekämpa it-relaterad brottslighet behöver stärkas. Också kunskapen och kompetensutvecklingen på området behöver stärkas och det internationella samarbetet öka. I strategin anges även att i syfte att få genomslag för strategins målsättningar ska det finnas en nationell modell till stöd för det systematiska informationssäkerhetsarbetet. bedriver de olika aktörerna i samhället sitt informationssäkerhetsarbete på delvis olika sätt, utifrån olika förutsättningar och behov, baserat på flera olika regelverk och delvis olika uppfattningar om hot och risker. Samma information kan få olika skydd i olika organisationer och kunskapen om vilket skydd som är lämpligt och tillgängligt för en viss typ av information är hos många aktörer ofullständig. När många aktörer är beroende av varandra i sin informationshantering är det dock nödvändigt med samordnade åtgärder för att reducera risker och behålla säkerhetsnivån. Aktörer som har en sämre informations- säkerhet kan äventyra säkerheten för övriga. Detta har betydelse för möjligheterna till en digitalt samverkande förvaltning, men även för den återupptagna planeringen för civilt försvar som är beroende av goda förutsättningar att dela känslig information inom statsförvaltningen. I strategin anges att en nationell modell bedöms även kunna bidra till att aktörer gör mer enhetliga bedömningar av hot, risker och säker- hetsåtgärder och att likartade uppgifter och informationssystem hos olika verksamhetsutövare uppnår en adekvat och likartad skydds- nivå. Genom att de myndigheter som har ett särskilt ansvar på infor- mationssäkerhetsområdet, och de övriga myndigheter som t.ex. har föreskriftsrätt eller tillsyn på området, aktivt bidrar i arbetet med den nationella modellen kan den motverka fragmentering av styr- ningen och öka samverkan inom området. Genom att den nationella modellen ska bygga på erkända standarder, vara flexibel och skalbar kan verksamheter med olika förutsättningar dra nytta av modellen. Modellen bör i första steget inriktas mot statliga myndigheter, men utformas med målet att den ska kunna vara till nytta för hela den offentliga sektorn, andra organisationer och företag. I strategin framhålls även vikten av samverkan och informations- delning inom och mellan berörda aktörer och att samverkan och in- formationsdelning på informations- och cybersäkerhetsområdet ska stärkas, bl.a. då informationssäkerhetens komplexitet, karaktär och snabba utvecklingstakt samt gränsöverskridande kräver en effektiv samverkan. I strategin framhålls att samverkansgruppen för informations- säkerhet (SAMFI), som består av ett antal statliga myndigheter med särskilda uppgifter på informationssäkerhetsområdet, spelar en vik- tig roll genom att verka för säkra informationstillgångar i samhället.5 Vidare framhålls att på informations- och cybersäkerhetsområdet finns flera exempel på plattformar för offentlig-privat samverkan, bl.a. ett antal forum för informationsdelning (FIDI) inom olika sek- torer och områden. Det finns ett behov av att fortsatt utveckla in- formationsdelningen gällande hot, risker och säkerhetsåtgärder i syfte att skyddet snabbt ska kunna anpassas hos fler aktörer. I strategin anges att det ska finnas en ändamålsenlig tillsyn som skapar förutsättningar för en ökad informations- och cybersäkerhet i samhället. En förutsättning för att reglerna på informationssäker- hetsområdet ska få det genomslag som är avsett är att det finns en tillsyn som kan utföras på ett ändamålsenligt och effektivt sätt. Vidare framhålls att ett flertal åtgärder behöver vidtas när det gäller tillsyn. I första hand behöver tillsynen av sådan verksamhet som om- fattas av samhällsviktig verksamhet inom de sektorer som pekas ut i NIS-direktivet och säkerhetsskyddslagstiftningen utvecklas. I SAMFI samarbetar myndigheter med av regeringen särskilt utpekat ansvar för informationssäkerhetsfrågor i samhället. Genom informa- tionsutbyte och samverkan stödjer deltagande myndigheter varand- ras arbete med samhällets informationssäkerhet. Den samlade informations- och cybersäkerhetshandlingsplanen6 innehåller åtgärder som myndigheterna enskilt, tillsammans eller i samverkan med andra aktörer avser att vidta för att höja informations- och cybersäkerheten i samhället. 5I samverkansgruppen ingår Myndigheten för samhällsskydd och beredskap (MSB), , (), Försvarsmakten, , () samt Säkerhetspolisen. MSB har det administrativa ansvaret för gruppen. 6MSB, FRA, FMV, Försvarsmakten, PTS, Polisen, Säkerhetspolisen (): Samlad informations- och cybersäkerhetshandlingsplan för åren 2019–2022. vilken myndighet som är ansvarig för respektive åtgärd, vilka som deltar i arbetet samt vad åtgärden omfattar. Åtgärderna i handlings- planen ligger inom ramen för de ansvarsområden och uppdrag som myndigheterna har. Handlingsplanen utgör dock inte någon samlad redovisning av alla de åtgärder som de olika myndigheterna avser att genomföra inom sina respektive verksamheter på informations- och cybersäkerhetsområdet.