sou · H8B358 · 2020-09-30 00:00:00 — Samtliga åtgärder i handlingsplanen ansluter till någon eller några av de sex strategiska prioriteringar som reger- ingen beslutat i den nationella strategin för samhällets informations- och cybersäkerhet7. Huvuddelen av åtgärderna syftar till att –säkerställa en systematisk och samlad ansats i arbetet med infor- mations- och cybersäkerhet, –öka säkerheten i nätverk, produkter och system samt –stärka förmågan att förebygga, upptäcka och hantera cyberattacker och andra it-incidenter. FRA, Försvarsmakten, MSB och Säkerhetspolisen formaliserade en fördjupad samverkan på informations- och cybersäkerhets- området (inom SAMFI). Denna fördjupade samverkan etablerades innan regeringen aviserade att ett cybersäkerhetscenter skulle inrät- tas 2020 och kan ses som ett ingångsvärde för regeringens uppdrag inför inrättandet av ett nationellt cybersäkerhetscenter.8 fick de fyra myndigheterna ett uppdrag av reger- ingen att förbereda ett inrättande av ett cybersäkerhetscenter samt ge förslag på hur ett sådant center skulle kunna utformas. Myndig- heterna lämnade en gemensam uppdragsredovisning till regeringen som underlag för inrättandet av ett cybersäkerhets- center. Arbetet har skett i nära samverkan med , FMV och PTS. Dessa tre myndigheter ingår i överenskommelsen om en fördjupad myndighetssamverkan inom cybersäkerhet. 2016/17:213. 8Regeringsbeslut (Fö2019/01000/), Uppdrag inför inrättandet av ett natio- nellt cybersäkerhetscenter. Redan i regeringsförklaringen aviserades ett nationellt center för ökad informations- och cybersäkerhet. Ett nationellt cybersäkerhetscenter och en nationell modell för systematiskt informationssäkerhetsarbete är en ny åtgärd i den natio- nella handlingsplanen som bedöms kunna utveckla samhällets infor- mations- och cybersäkerhet. Som samverkansplattformar kan de även samla och samordna arbetet med många av åtgärderna. Centret ska stärka samlade förmåga att förebygga, upp- täcka och hantera antagonistiska cyberhot mot och minska sårbarheter. En tilltänkt fördel är att de i centret ingående myndig- heterna kan och bör dela information och kunskap så att respektive myndighet kan lösa sitt uppdrag på ett effektivare sätt. Ett av centrets syften är att stödja aktörer inom offentlig och privat sektor. Därför har samverkansfrågor utgjort en central del i arbetet med uppdraget. Myndigheterna har arbetat fram ett förslag på hur centret kan be- mannas och föreslår att centret ska byggas upp stegvis –2025. Begreppen cybersäkerhet och informationssäkerhet förekommer i många olika sammanhang, såväl nationellt som internationellt. Ut- redningen kan konstatera att begreppen förekommer i såväl olika författningar som i nationella styrdokument, handlings- planer och allmänna råd. Det finns enligt utredningens mening skäl för att begreppen i största möjliga utsträckning bör ges samma be- tydelse såväl nationellt som internationellt. Det ska noteras att EU:s cybersäkerhetsakt, som är en unionsrättslig författning som är direkt tillämplig i medlemsstaterna, innehåller definitioner av de olika begrepp som förekommer i akten, bl.a. cybersäkerhet och informationssäkerhet. Eftersom cybersäker- hetsakten är direkt tillämplig på nationell nivå bör förekommande begrepp ges samma innebörd och mening när de förekommer i den kompletterande nationella lagstiftningen. Den närmare innebörden av vissa begrepp och bestämmelser som förekommer i cybersäker- hetsakten och som berör effektiva rättsmedel, sanktioner och den nationella processordningen kan dock behöva anpassas till nationella förhållanden. I EU:s cybersäkerhetsakt anges att regleringen inte påverkar med- lemsstaternas befogenheter i fråga om verksamhet som berör allmän säkerhet, försvar, nationell säkerhet och statens verksamhet på straff- rättens område. Utredningen bedömer att många av de IKT-produkter, IKT-tjänster och IKT-processer som kan komma att omfattas av regleringens tillämpningsområde kommer att använ- das i verksamheter som berör samhällsviktiga tjänster och i verksam- het som berör säkerhetskänslig verksamhet och det svenska total- försvaret, såväl det civila som det militära försvaret. En av utgångspunkterna för utredningens arbete har därför varit att i de analyser och de överväganden som gjorts i olika frågor även beakta hur utredningens ställningstaganden och förslag kan komma att beröra informations- och cybersäkerhet i bl.a. säkerhetskänslig verksamhet. Utredningen började sitt arbete . Utredningen har inledningsvis inhämtat underlag i form av offentliga utredningar, propositioner, faktapromemorior, nationella strategier, olika studier m.m.Givet rådande omständigheter har arbetet i stor utsträckning kunnat bedrivas på sedvanligt sätt med sammanträden med sakkun- niga och experter, där bl.a. myndigheternas företrädare informerade och lämnade faktauppgifter i olika utredningsfrågor. Utredningen har därutöver haft möten med berörda myndighets- ledningar för att informera sig om förutsättningar för dessa myndig- heter att kunna ansvara för en eller flera av de uppgifter och verksam- heter som utredningen har i uppdrag att analysera och lämna förslag om. Sekretariatet har haft enskilda möten med experter i utred- ningen i syfte att inhämta fördjupad kunskap inom vissa av de sak- områden som behandlas i uppdraget samt haft möten med privata aktörer med en nära koppling till området. Utredningen har bedömt att det inte är nödvändigt att i delbetän- kandet närmare redogöra för den information som inhämtats från berörda myndigheter i andra länder då informationen inte kunnat kvalitetssäkras på sedvanligt sätt, bl.a. då besök hos berörda myndig- heter i dessa länder inte kunnat genomföras på grund av rådande Informationen i de skriftliga underlagen präglas dessutom av viss osäkerhet då ingen av länderna fullt ut fastställt eller genom- fört åtgärder till stöd för införandet av EU:s cybersäkerhetsakt. Utredningen har i enlighet med direktiven hållit sig informerad om arbetet med betänkandet Kompletteringar till den nya säkerhets- skyddslagen (SOU 2018:82). Utredningen har löpande hållit företrädare för Försvarsdeparte- mentet informerade om utredningsarbetet. I detta kapitel presenteras uppdraget, utgångspunkter, definitioner, avgränsningar, utredningsarbetets genomförande samt betänkandets utformning. I kapitel 3 redogörs för begreppet EU:s arbete med cybersäkerhet samt cybersäkerhet och standarder. I kapitel 4 lämnas en redogörelse för strukturen och bestämmelserna i cybersäkerhetsakt. I kapi- tel 5 beskrivs översiktligt den nationella ordningen för certifiering av it-säkerhet i system och produkter samt berörda aktörer. Del två av betänkandet innehåller utredningens överväganden och förslag. I kapitel 6 analyseras behovet av och lämnas förslag på formen för kompletterande nationella författningar. I kapitel 7 analyseras behovet av kompletterande nationell reglering avseende utfärdande av EU- försäkran om överenstämmelse och europeiska cybersäkerhetscerti- fikat. I kapitel 8 analyseras och lämnas förslag på nationell myndig- het för cybersäkerhetscertifiering. I kapitel 9 analyseras och lämnas förslag på kompletterande nationella författningar avseende tillsyns- befogenheter och sanktioner. I kapitel 10 analyseras behovet av kom- pletterande nationella författningar avseende ackreditering av organ för bedömning av överenstämmelse. I kapitel 11 behandlas handlägg- ningsregler och rättsmedel. Sekretessfrågor behandlas i kapitel 12. I kapitel 13 behandlas övriga frågor, bl.a. behovet av samverkan. I kapi- tel 14 lämnas en konsekvensbeskrivning. Slutligen lämnas författnings- kommentarer i kapitel 15. Bilagorna 1 och 2 innehåller kommitté- direktiven. EU:s cybersäkerhetsakt finns i bilaga 3. EU:s cyberekosystem är komplext och mångfacetterat. Det om- fattar ett stort antal inrikespolitiska områden såsom rättsliga och inrikes frågor, den digitala inre marknaden och forskningspolitik. Inom utrikespolitiken är cybersäkerhet viktigt för diplomatin och ämnet spelar en allt viktigare roll i EU:s framväxande försvarspolitik. I detta kapitel lämnas en översiktlig beskrivning över EU:s stra- tegier och policy på cybersäkerhetsområdet. Vidare behandlas be- greppen cybersäkerhet och standardisering. 3.2EU:s strategier och policy på cybersäkerhetsområdet Den digitala agendan för () Den digitala agendan för () lades fram som en del av 2020-strategin.1 Den digitala agendan föreslår ett bättre utnyttjande av potentialen i informations- och kommunikations- teknologin (IKT) för att främja innovation, ekonomisk tillväxt och framåtskridande. Några av åtgärderna är att verkställa en digital inre marknad, stärka interoperabilitet och standarder, forskning och innovation och dra fördel av en smart teknikanvändning i samhället, exempelvis e-hälsa, telemedicinsystem och smarta transportsystem.2 1Europa 2020 är EU:s gemensamma strategi för tillväxt och sysselsättning. Strategin har tre övergripande prioriteringar: smart tillväxt, hållbar tillväxt och tillväxt för alla. Kvantitativa mål på EU-nivå fastställdes av 2010 och ska vara uppfyllda inom fem områden: sysselsättning, social delaktighet, utbildning, forskning och utveckling samt klimat och energi. 2Meddelande från Kommissionen till , Rådet, Europeiska ekonomiska och sociala kommittén och : En digital agenda för , KOM(2010)245 slutlig, . Kommissionen antog 2013, tillsammans med den höga represen- tanten för utrikesfrågor och säkerhetspolitik, för cyber- säkerhet: En öppen, säker och trygg cyberrymd. Strategin har en hel- hetssyn och omfattar såväl de civila aspekterna av cybersäkerhet som cyberförsvar till stöd för den gemensamma försvars- och säkerhets- politiken. Strategin anger huvuddragen av EU:s vision inom områ- det, förtydligar olika aktörers roller och ansvarsområden, samt pre- senterar de åtgärder som bör vidtas. Strategin syftar till att göra EU:s digitala miljö säkrast i världen, som grundläggande värden och friheter försvaras.3 Det är huvudsakligen en uppgift för EU:s medlemsstater att arbeta med utmaningar inom cyberrymden, men särskilda åtgärder föreslogs som kunde förbättra unionens samlade insatser. Vidare presenterades strategiska prioriteringar och olika EU-institutioner tilldelades uppgifter. Utifrån cyberfrågornas komplexitet, de många inblandade aktö- rerna och riskernas gränslösa natur föreslogs att cybersäkerhets- frågorna fördelas över tre skilda pelare: nätverks- och informations- säkerhet, upprätthållande av lag och ordning samt försvar. Vidare framhölls att medlemsländerna och kommissionen borde underrätta varandra om större cyberincidenter och -angrepp. Strategin för cybersäkerhet har kommit att bli en hörnsten i EU:s politik, även om strategin formulerats brett och snarare ger uttryck för en vision än ett mätbart mål.4 Strategin är sammanlänkad med tre strategier som antagits senare, dvs. den europeiska säkerhetsagendan, strategin för den digitala inre marknaden samt den globala strategin för EU:s utrikes- och säkerhetspolitik. Rådet antog 2014 ett ramverk för policy för cyberförsvar, vilket efter- frågats i cybersäkerhetsstrategin. I ramverket ges prioriteringar och olika EU-institutioner tilldelas uppgifter att utföra.5 I fokus är en 3Gemensamt meddelande från Europeiska kommissionen och Europeiska avdelningen för yttre åtgärder, för cybersäkerhet: En öppen, säker och trygg cyberrymd, (2013) 4Europeiska kommissionen, Commision staff working document: Assessment of the EU 2013 cybersecurity strategy, SWD(2017) 295 final, . 5Europeiska unionens råd, 2014, EU Cyber Defence Policy Framework. förmågeutveckling för den gemensamma säkerhets- och försvars- politiken (GSFP). I takt med att cyberrymden blivit alltmer militariserad har den kommit att ses som det femte krig- föringsområdet. Cyberförsvar skyddar cyberrymdens system, nät- verk och kritiska infrastruktur mot angrepp med militära metoder eller andra slags metoder. Strategi för en digital inre marknad (DSM) Kommissionen antog 2015 en strategi för en digital inre marknad, vilket var en av åtgärderna i den digitala agendan (se ovan). Syftet med strategin för en digital inre marknad är att förbättra tillgången till digitala varor och tjänster genom att skapa rätt villkor för att maximera den digitala ekonomins tillväxtpotential.6 Kommissionen framhöll att den globala ekonomin snabbt blev alltmer digitaliserad och att IKT utgjorde ett fundament för moderna ekonomiska system. För att främja den europeiska digitala ekonomins tillväxt och för- bättra förutsättningarna för utvecklingen av digitala nät och tjänster bedömdes det finnas behov av samordnade åtgärder. Kommissionen antog 2015 en ny säkerhetsagenda för (2015– 2020) som ersatte den tidigare interna säkerhetsstrategin. Den euro- peiska säkerhetsagendans mål är att förbättra brottsbekämpning och rättsliga åtgärder mot it-brottslighet, främst genom att förnya och uppdatera befintlig politik och lagstiftning.7 Den syftar också till att identifiera hinder för rättsliga utredningar av it-brottslighet och för- bättra cyberkapacitetsuppbyggnaden.8 De nya och komplexa hot som har vuxit fram , präglade av att vara alltmer inter- nationella och gränsöverskridande, ansågs kräva ett effektivt och sam- ordnat svar från europeisk nivå. Alla berörda aktörer måste därför grunda sitt arbete bl.a. på ett mer sektoröverskridande tillvägagångs- 6Meddelande från Kommissionen till , Rådet, Europeiska ekonomiska och sociala kommittén samt : En strategi för en inre digital marknad i (COM(2015) 192 final), . 7Europeiska kommissionen, Europeiska säkerhetsagendan, COM(2015) 185 final, . 8Meddelande från kommissionen till , Rådet, Europeiska ekonomiska och sociala kommittén samt : En säkerhetsagenda för (COM(2015) 185 final), . sätt, dvs. att policy och praktisk handling ska samordnas mellan alla relevanta EU-institutioner. Vidare ska säkerhetens interna och externa aspekter förenas, dvs. ska säkerhetsåtgärderna såväl inom som utan- för EU samordnas, eftersom de är ömsesidigt beroende. Rådets slutsatser om cyberdiplomati Europeiska unionens råd presenterade sina slutsatser om cyberdiplomati och konstaterade att frågor rörande cyberrymden stod för betydande möjligheter men också föränderliga utmaningar för EU:s utrikespolitik. Det handlade särskilt om cybersäkerhet, främ- jande och skydd av mänskliga rättigheter på internet, tillämpningen av befintlig internationell rätt, rättsstatsprincipen och uppförande- normer på internet, förvaltning av internet, den digitala ekonomin, cyberkapacitetsuppbyggnad samt strategiska relationer i cyberfrågor. Rådet ansåg att EU och dess medlemsstater borde hantera dessa över- gripande och mångfasetterade frågor genom en enhetlig internatio- nell politik för cyberrymden som främjade EU:s politiska, ekonomiska och strategiska intressen. En sådan politik borde enligt rådet bygga på befintliga policydokument. Man skulle också fortsätta dialogen med såväl viktiga internationella partners och organisationer som det civila samhället och den privata sektorn.9 På politisk nivå utvecklades därefter en ram för en gemensam diplomatisk respons (”Joint EU Diplomatic Response”) från EU mot offensiva cyberaktiviteter, den s.k. verktygslådan för cyber- diplomati.10 EU ska även stödja framtagningen av frivilliga, icke- bindande normer för ansvarsfullt agerande för stater i cyberrymden samt de regionala förtroendeskapande åtgärder (CBM) som arbetat fram. Dessa är avsedda att förstärka mellanstatligt samarbete, transparens, förutsägbarhet och stabilitet och minska risken att kon- flikter uppkommer p.g.a. användningen av IKT. 9Europeiska unionens råd, Rådets slutsatser som cyberdiplomati, 6122/15, . 10Europeiska unionens råd, Slutsatser om en ram för en gemensam diplomatisk respons från EU mot skadlig it-verksamhet, 9916/17, . För övrigt har verktygslådan för cyber- diplomati bl.a. använts för att inleda en dialog med efter ”Wannacry-angreppet”. Detta ledde inte till en gemensam åtgärd, utan enskilda medlemsstater antog i stället stånd- punkt. En global strategi för Europeiska unionens utrikes- och säkerhetspolitik Den höga representanten för utrikesfrågor och säkerhetspolitik före- slog 2016 en global strategi för EU:s utrikes- och säkerhetspolitik (GUSP) Delade visioner, gemensamma åtgärder: Ett starkare . Den globala strategin syftade till att främja EU:s roll i världen genom bl.a. ett förnyat åtagande avseende cybersäkerhetfrågor. Större stra- tegisk autonomi var ett mål. EU ska navigera vad som beskrivs som en svår och omstridd, sammankopplad och komplex värld.11 En av prioriteringarna är unionens säkerhet, vilket avseende cybersäkerhet bl.a. innebär att utveckla de teknologiska förmågorna för att öka resiliensen i kritisk infrastruktur, nätverk och tjänster, att utveckla innovativa IKT-system som garanterar datas tillgänglighet och in- tegritet, att integrera cyberfrågorna inom alla politikområden och att utveckla plattformarna för samarbete. EU har stärkt sina strategier på cyberområdet genom att inkludera cybersäkerhet i politiska prioriteringar. Förtro- ende och säkerhet var kärnan i strategin för en digital inre marknad, medan kampen mot cyberbrott var en av de tre pelarna i den euro- peiska säkerhetsagendan. Efter att ha genomfört nämnda strategier presenterade kommissionen 2016 ytterligare åtgärder för att utöka cybersäkerhetsindustrin och hantera cyberhot. Vid sammanställningar avseende cybersäkerhetsarbete, där EU och den privata marknaden behövt arbeta tillsammans, har bl.a. certifiering identifieras som ett område. Man har i detta sammanhang sett behov av att motverka fragmenteringen p.g.a. skiftande nationella system samt förbättra effektiviteten i de som används.12 11Europeiska unionens råd 2016. Shared vision, Common action: A stronger Europe: A global strategy for Union’s Foreign and Security Policy. 12Europeiska kommissionen, Commission Staff Working Document, Contractual Public Partner- ship on Cybersecurity & Accompanying Measures, SWD(2016) 2016 final. Stärka system för cyberresiliens och främja en konkurrenskraftig och innovativ cybersäkerhetsbransch För att förverkliga cybersäkerhetsstrategin och strategin för en inre digital marknad antog kommissionen ett meddelande om stärkt motståndskraft i nätverk och informationssystem (cyber- resiliens). Kommissionen ansåg att skyddet mot cyberincidenter, trots många initiativ, fortfarande var otillräckligt, vilket kunde undergräva den digitala inre marknaden, det ekonomiska livet och samhällslivet i stort. Mot denna bakgrund åtog sig kommissionen att undersöka hur den föränderliga cybersäkerhetssituationen kunde mötas och analyserade vilka ytterligare åtgärder som behövdes för att öka EU:s cyberresiliens, förmåga att hantera incidenter och främja en kon- kurrenskraftig och innovativ cybersäkerhetsbransch i . Åt- gärderna delades in i tre huvudområden: –ett intensifierat samarbete för att stärka beredskapen och hantera cyberincidenter, –utmaningar på inre marknad för cybersäkerhet, och –främjande av industriell kapacitet på cybersäkerhetsområdet. Åtgärder för främjandet av den framväxande inre marknaden för cybersäkerhetsprodukter och -tjänster i EU handlar om skapandet av en ram för säkerhetscertifiering av IKT-produkter och IKT-tjäns- ter och att öka kunskaperna om befintliga finansieringsmekanismer bland cybersäkerhetsaktörer för att öka investeringarna i cybersäker- het i små och medelstora företag. Området industriell kapacitet på cybersäkerhetsområdet avser att främja konkurrenskraft och inno- vation för den europeiska cybersäkerhetsbranschen. Gemensamt ramverk för att motverka hybridhot 2016 antog kommissionen ett gemensamt ramverk för att motverka hybridhot,13 baserat på bl.a. säkerhetsagendan, den globala strategin för utrikes- och säkerhetspolitik och cybersäkerhetsstrategin. Ramen inriktades på cyberhot mot både kritisk infrastruktur och privata användare och betonade att cyberangrepp kunde genomföras genom desinformationskampanjer på sociala medier.14 Inom ramen note- rades också behovet av att förbättra medvetenheten och samarbetet mellan EU och Nato, vilket specificerades i de gemensamma förklar- ingarna från EU och Nato 2016 och 2018.15 Resilience, Deterrence and Defence: strong cybersecurity in Europe Kommissionen lämnade en beskrivning över till- ståndet i unionen, ett s.k. state of the union, som specifikt behandlade cybersäkerhet.16 I ett gemensamt meddelande till Europaparlamen- tet och rådet beskrev kommissionen och unionens höga represen- tant för utrikes frågor och säkerhetspolitik att EU:s medborgare och privata sektor blivit alltmer beroende av digitala tjänster och tekno- logier, som antalet cyberattacker ökat. För att möta denna situation föreslogs åtgärder på tre områden:17 –bygga upp EU:s resiliens mot cyberangrepp, –skapa effektiva avskräckningsmedel mot cyberbrott, och –stärka det internationella samarbetet om cybersäkerhet. 13Medlemsstaterna har huvudansvaret för att motverka hybridhot riktade mot den nationella nivån. Flera av EU:s medlemsstater står dock inför liknande hot, vilka dessutom kan vara riktade mot gränsöverskridande nätverk och infrastrukturer. Dessa hot bemöts mer effektivt genom ett samordnat svar från EU-nivån. Detta genom att skapa synergier mellan alla relevanta verk- tyg och instrument och genom att främja samarbete mellan samtliga relevanta aktörer. 14Europeiska kommissionen/Europeiska utrikestjänsten, Gemensam ram för att motverka hybridhot – Europeiska unionens insatser, (2016) 18 final, . 15Gemensam förklaring från Europeiska rådets ordförande, kommissionens ordförande och Nordatlantiska fördragsorganisationens generalsekreterare, och . 16Europeiska kommissionen 2017, State of the Union 2017, Cybersecurity. 17Europeiska kommissionen och unionens höga representant for utrikes frågor och säkerhets- politik, Gemensamt meddelande till och rådet, Resiliens, avskräckning och försvar: ett starkt cyberförsvar för EU (/2017/450 final), . Meddelandet inbegrep en uppdatering av strategin för cybersäkerhet . Under den första punkten föreslogs bl.a. en ny cybersäker- hetsmyndighet som skulle bygga på , men med ett starkare mandat, liksom en certifieringsram för cybersäkerhet på EU-nivå som ett steg mot en inre cybersäkerhetsmarknad. Det nya cyber- säkerhetspaketet presenterade ett antal lagstiftningsförslag, bl.a. avseende cybersäkerhetsakten. En plan för genomförandet av NIS- direktivet och snabb incidenthantering upptogs som andra områden för åtgärder. Cybersecurity in Digital Single Market Utifrån den kommande revisionen av lämnade kommissionens mekanism för vetenskaplig rådgivning – dvs. högnivågruppen av vetenskapliga rådgivare – ett antal rekom- mendationer . De tio rekommendationerna riktade sig mot policynivån i EU med utgångspunkt i cybersäkerhet för den digitala inre marknaden.18 Gruppen gjorde också några observationer som inte direkt riktade sig till något politikområde. En avsåg förhål- landet att cyberhoten var komplexa, multidisciplinära och snabb- rörliga och att cybersäkerhet inte kunde ses som en väldefinierad vetenskaplig disciplin. En annan observation var att det fanns en obalans mellan ledtiderna för EU-lagstiftning och den höga omsätt- ningshastigheten på digitala teknologier. Exempelvis riskerade delar av det emotsedda NIS-direktivet att vara utdaterat för dess implementering. De som utformade EU-politiken behövde innovativa processer för att hantera detta. I en tredje observation lyftes några spänningar i debatten, där det inte fanns vare sig bevis eller konsensus mellan experter. En sådan avsåg valet mellan centra- liserad och decentraliserad it-styrning för online-transaktioner. Valet hade politiska implikationer och det fanns teknisk argumentation för båda sidor. 18Europeiska kommissionen 2017, Cybersecurity in Digital Single Market, Scientific Advice Mechanism (), Advisors, Scientific Opinion No. 2/2017, . redogjorde för en studie på uppdrag av Europa- parlamentet avseende cybersäkerhet i GSFP.