sou · H8B358 · 2020-09-30 00:00:00 — Nationell myndighet för cybersäkerhetscertifiering CSEC behandlade cirka 30 certifieringar under 2019.8 Parallellt med detta arbete har certifieringsordningen utvecklats vidare i syfte att bli alltmer tydlig och göra arbetet mer effektivt. Vidare har CSEC genomfört tillsyn av två evalueringsföretag med licens att granska it- säkerhet i produkter inom ramen för certifieringsordningen. CSEC gav även stöd till MSB arbetet med att utarbeta säkerhetskrav för bl.a. säkra USB-minnen och krav på säkerhetsfunktioner i databas- hanterare. FMV/CSEC har även uppdraget att ansvara för certifiering av anordningar för skapande av kvalificerade elektroniska underskrifter och anordningar för kvalificerade elektroniska stämplar enligt arti- kel 30 och 39 i och rådets förordning (EU) nr 910/2014 av om elektronisk identifiering och be- trodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv /93/EG. FMV/CSEC har således mångårig erfarenhet av certifiering inom informations- och cybersäkerhetsområdet och är organiserat inom myndigheten för att möta de krav på oberoende som gäller för ett ackrediterat organ för bedömning. Utredningen bedömer att FMV:s uppgifter och verksamhet med- för att myndigheten har både en omfattande och en djup teknisk kompetens inom olika verksamhetsområden, bl.a. inom området för informations- och cybersäkerhet samt inom området certifiering av it-säkerhet i produkter och system. Myndigheten har mot den bakgrun- den förutsättningar för att – utöver själva certifieringsverksamheten – även kunna ansvara för huvuddelen av de övriga uppgifter som följer av cybersäkerhetsakten och europeiska ordningar för cybersäkerhets- certifiering, bl.a. omvärldsbevakning av cybersäkerhet, samverkan med nationella och internationella aktörer samt den certifieringsverksam- het som den nationella myndigheten för cybersäkerhetscertifiering ska ansvara för. När det gäller frågan om tillsynsverksamhet kan noteras att FMV inte har några formella tillsynsuppgifter. kan noteras att myndigheten är föreslagen att vara tillsynsmyndighet för en betydande del av verksamheter som bedriver säkerhetskänslig verk- samhet på försvarsmaterielområdet och som omfattas av regleringen för säkerhetsskydd. I betänkandet Kompletteringar till den nya säker- 8Exempel på certifieringsuppdrag är brandväggar, säkra skrivare, datadioder, Linux operativ- system och produkter för intrångsdetektering. Nationell myndighet för cybersäkerhetscertifiering hetsskyddslagen (SOU 2018:82) föreslås FMV få ansvar för tillsyn över enskilda verksamhetsutövare inom området försvarsmateriel. Det föreslagna tillsynsområdet bedöms omfatta samtliga företag som levererar varor, tjänster och byggentreprenader samt logistik- tjänster kopplade till det militära försvarets förmåga, vilket bedöms omfatta alla leverantörer som myndigheten har tecknat säkerhets- skyddsavtal med. Inom tillsynsområdet finns också leverantörer som tecknat säkerhetsskyddsavtal med andra myndigheter i liknande syf- ten. Andra aktörer som bedriver säkerhetskänslig verksamhet inom området försvarsmateriel kan vara företag som utvecklar koncept för framtida vapensystem eller teknik som väsentligen ska användas i ett militärt sammanhang, utan att det görs på uppdrag av en myndighet. Enligt vad som anges i betänkandet berörs mellan 1 500–2 000 till- synsobjekt inom tillsynsområdet. Betänkandet är föremål för bered- ning i . Myndigheten för samhällsskydd och beredskap (MSB) MSB bedriver verksamhet med att utveckla och stödja informations- och cybersäkerheten i samhället (kapitel 5). MSB del- tar bl.a. aktivt i standardiseringsarbetet inom området informations- säkerhet. I sitt arbete med Common Criteria ger MSB, i samarbete med FMV, ut rekommendationer för användning av en skyddsprofil eller certifierad produkt. Förvaltningen av en referenslista över rekom- menderade skyddsprofiler kommer att ingå i myndighetens löpande arbete för vidareutveckling av stöd inom it-säkerhet. MSB deltar också i internationella mötesforum samt bedriver om- världsbevakning kring CC-standarden, både på nationell och interna- tionell nivå, för att i första hand kunna inventera och representera det civila samhällets behov av produktkategorier som är lämpliga att ta fram skyddsprofiler emot. Myndigheten har också särskilda samordningsuppgifter för verk- samhet som omfattas av lagen om samhällsviktiga tjänster (NIS- direktivet). Till det kommer det arbete och de föreskrifter som myn- digheten tar fram för statliga myndigheters informationssäkerhets- arbete. Myndigheten har också teknisk kompetens inom ramen för det arbete som bl.a. bedrivs vid CERT-SE och RAKEL-verksamheterna Nationell myndighet för cybersäkerhetscertifiering samt inom ramen för det stöd man lämnar till ledningsplatser och signalskydd. CERT-SE är nationella CSIRT (Computer Security Incident Response Team) med uppgift att stödja samhället i arbetet med att hantera och förebygga IT-incidenter. Till uppgif- terna hör bl.a. att agera skyndsamt vid inträffade IT-incidenter genom att sprida information samt vid behov arbeta med samordning av åtgärder och medverka i arbete som krävs för att avhjälpa eller lindra effekter av det inträffade, samverka med myndigheter med särskilda uppgifter inom informationssäkerhetsområdet och vara kontaktpunkt gentemot motsvarande funktioner i andra länder samt utveckla samarbetet och informationsutbytet med dessa. Vid den nationella CSIRT funktionen finns medarbetare med en bred teknisk kompetens inom bland annat it-säkerhet. MSB ska vidare enligt den nationella handlingsplanen ta fram och förankra en treårig handlingsplan för ett strategiskt och långsiktigt arbete med standardisering avseende systematiskt och riskbaserat informationssäkerhetsarbete. Åtgärden genomförs tillsammans med FMV/CSEC, berörda myndigheter och organisationer. MSB har dock ingen djupare teknisk kompetens på området för produktcertifieringar och skulle därför behöva bygga upp, etablera och utveckla en sådan verksamhet. Ett alternativ till en sådan åtgärd skulle vara att överföra CSEC:s certifieringsverksamhet och ansvar som nationellt certifieringsorgan för IT-säkerhet till MSB. Frågan om en sådan överföring har varit föremål för övervägande i NISU 2014-utredningen9. Utredningen fann dock inte skäl att förslå någon organisatorisk förändring av CSEC:s verk- samhet. kan noteras att MSB till skillnad från FMV bedriver tillsyn inom tilldelade ansvarsområden Myndighetens till- synsverksamhet bedrivs inom tre delområden som är tillsyn, tillsyns- vägledning och marknadskontroll. PTS är en myndighet med ansvar för elektronisk kommunikation och som sådan en mycket central aktör för säkerhetsarbete på detta område De europeiska certifieringsscheman som kan komma att 9Informations- och cybersäkerhet – i Strategi och åtgärder för säker information i staten (SOU 2015:23). Nationell myndighet för cybersäkerhetscertifiering antas inom ramen för cybersäkerhetsakten kan förväntas omfatta all typ av informations- och kommunikationsteknologi (IKT) och som berör all samhällsverksamhet. kan noteras att myndigheten har begränsad erfarenhet av arbete med nu aktuella cybersäkerhets- certifieringar och saknar därmed den tekniska specialistkompetens som krävs på certifieringsområdet. Utredningen gör bedömningen att PTS nuvarande roll, ansvar och verksamhet på elektronik- och telekommunikationsområdet, som inte innefattar aktuell certifieringsverksamhet, skulle medföra att myndigheten skulle behöva bygga upp en verksamhet med kom- petens och teknisk expertis som möter kraven i cybersäkerhetsakten på förmåga till omvärldsbevakning inom cybersäkerhet och cyber- säkerhetscertifiering, förmåga till samverkan inom området och för- måga att verka som nationell myndighet för cybersäkerhetscerti- fiering på högsta assuransnivån. föreslås utses till nationell myndighet för cybersäkerhetscertifiering Utredningen kan till en början konstatera att såväl FMV/CSEC, som MSB och PTS har uppgifter och bedriver verksamhet inom området för informations- och kommunikationsteknologi (IKT). Utred- ningen bedömer att finns både fördelar och nackdelar när det gäller vilken av dessa myndigheter som bör anförtros uppdraget att vara nationell myndighet med ansvar för de uppgifter som följer av det europeiska ramverket för cybersäkerhetscertifiering. Till FMV:s fördel talar att myndigheten genom sitt uppdrag att bl.a. vara nationell myndighet för certifiering av system och pro- dukter inom it-säkerhet redan har en bred och djup kunskap om cybersäkerhetscertifiering och även lång erfarenhet av både omvärlds- bevakning av dessa frågor samt internationell och nationell samverkan med andra berörda aktörer på området. Inom myndigheten finns redan organisatoriskt CSEC som ett ackrediterat organ för bedöm- ning enheten av överensstämmelse vid certifiering av system och produkter på området it-säkerhet. Även om MSB respektive PTS har redovisade uppgifter och an- svar inom informations- och kommunikationsteknologi bedriver ingen av dessa myndigheter verksamhet som innefattar prövning och teknisk bedömning för cybersäkerhetscertifiering, vilket innebär att Nationell myndighet för cybersäkerhetscertifiering CSEC:s verksamhet skulle behöva föras över till en av dessa myndig- heter alternativt att motsvarande verksamhet skulle behöva byggas upp vid myndigheten. Även uppgifterna avseende omvärldsbevak- ning och samverkan på området skulle enligt utredningens bedöm- ning förutsätta att kompetens tillförs och byggs upp för att möta kraven på dessa områden enligt cybersäkerhetsakten. Kraven på orga- nisatoriska förändringar i form av ett överförande av CSEC till en av dessa myndigheter och ett ökat resursbehov för kompetensupp- byggnad bedömer utredningen inte medföra några fördelar i för- hållande till att motsvarande verksamhet utvecklas vid FMV. Sammantaget talar det angivna för – enligt utredningens bedöm- ning – för att FMV bör anförtros uppgiften att vara nationell myndig- het för cybersäkerhetscertifiering för med ansvar för omvärldsbevak- ning, samverkan och certifieringsverksamhet på högsta assuransnivån. Det medför att myndigheten bör få uppdraget att vara den nationella myndigheten för cybersäkerhetscertifiering som anges i artikel 56.5 a, och 56.6. FMV får då i uppgift att vara den nationella myndighet som enligt artikel 56.6 får utfärda cybersäkerhetscertifikat när en euro- peisk ordning för cybersäkerhetscertifiering som antagits enligt arti- kel 49 kräver assuransnivå hög. Efter förhandsgodkännande av myn- digheten får ett sådant enskilt europeiskt cybersäkerhetscertifikat även utfärdas av ett organ för bedömning av överensstämmelse. Myn- digheten får även genom allmän delegering på förhand till ett organ för bedömning av överensstämmelse ge detta tillstånd att utfärda europeiskt cybersäkerhetscertifikat. Utredningen vill i detta sammanhang framhålla att det europeiska ramverket för cybersäkerhetscertifiering är under införande i med- lemsstaterna och någon europeisk ordning för sådan certifiering har ännu inte antagits, även om ett utkast till sådan ordning offentlig- gjorts . Det innebär att den framtida omfatt- ningen av certifieringsverksamheten på grundval av en eller flera sådana europeiska ordningar blir svår att bedöma och därför även dess organisatoriska och resursmässiga konsekvenser. Detta innebär enligt utredningen att nu aktuella frågeställningar bör tas upp till ny bedömning när omfattningen och resursbehovet av certifierings- verksamheten närmare kan bedömas. Utredningens överväganden och förslag när det gäller frågan om FMV även bör ha ansvar för tillsynsfunktion eller om det är lämp- ligare och mer ändamålsenligt att ansvaret för certifierings- respektive Nationell myndighet för cybersäkerhetscertifiering tillsynsverksamheten fördelas på två olika myndigheter behandlas nedan i avsnitt 8.4. 8.3.2Certifieringsorganet och krav på oberoende ställning Förslag: Vid () ska finnas ett ackre- diterat organ för bedömning av överensstämmelse enligt EU:s cybersäkerhetsakt. När chefen för det ackrediterade organet för bedömning av överensstämmelse utövar verksamhet enligt EU:s cybersäkerhets- akt är denne inte underställd myndighetschefen. Bedömning: Certifieringsorganets ekonomiska resurser bör be- stämmas i särskild ordning av regeringen. Med utredningens förslag att FMV ska vara nationell myndighet för cybersäkerhetscertifiering uppkommer även frågan om CSEC, som är en organisatorisk enhet inom myndigheten , har en sådan organisatorisk ställning och arbetsformer att dessa möter de krav som följer av cybersäkerhetsaktens reglering av ackrediterade organ för bedömning av överensstämmelse för bedömning. I artikel 56.4 anges att de organ för bedömning av överensstäm- melse som avses i artikel 60 får utfärda europeiska cybersäkerhets- certifikat som avser assuransnivå ”grundläggande” eller ”betydande” på grundval av de kriterier som anges en europeisk ordning för cyber- säkerhetscertifiering, som antagits av kommissionen i enlighet med artikel 49. Ett europeiskt cybersäkerhetscertifikat får utfärdas av en natio- nell myndighet för cybersäkerhetscertifiering enligt artikel 56.5 a och 56.6 om certifieringsorganet har ackrediterats som ett organ för bedömning av överensstämmelse enligt punkt 1 i artikel 60. Av artikel 56.5 a följer att ett sådant organ i vissa fall, dvs. när det anges i en europeisk ordning för cybersäkerhetscertifiering, ska vara en nationell myndighet för cybersäkerhetscertifiering under förut- sättning att certifieringsorganet vid myndigheten uppfyller ställda krav på ett ackrediterat organ för bedömning av överensstämmelse. I artikel 60.1 anges att organen för bedömning av överensstäm- melse ska ackrediteras av det nationella ackrediteringsorgan som Nationell myndighet för cybersäkerhetscertifiering utsetts i enlighet med förordning (EG) nr 765/2008. Sådan ackredi- tering ska dock endast utfärdas under förutsättning att organet för bedömning av överensstämmelse uppfyller kraven i bilagan till cyber- säkerhetsakten. I punkten 1 i bilagan föreskrivs att organ för bedöm- ning av överensstämmelse ska vara ett tredjepartsorgan som är obe- roende av den organisation eller de IKT-produkter, IKT-tjänster eller IKT-processer som det bedömer. Om ett organ för bedömning av överensstämmelse ägs eller drivs av en offentlig myndighet eller institution ska det säkerställas och dokumenteras att organet har en oberoende ställning och att inga intressekonflikter föreligger mellan den nationella myndigheten för cybersäkerhetscertifiering och organet för bedömning av överensstämmelse. Vidare föreskrivs att ett organ för bedömning av överensstäm- melse, dess högsta ledning och den personal som ansvarar för att ut- föra bedömningen av överensstämmelse, inte får utgöras av någon som konstruerar, tillverkar, levererar, installerar, köper, äger, an- vänder eller underhåller den IKT-produkt, IKT-tjänst eller IKT- process som bedöms, eller de som företräder någon av dessa parter (punkten 4).10 Ett organ för bedömning av överensstämmelse, dess högsta led- ning och den personal som ansvarar för genomförandet av bedöm- ningen av överensstämmelse får inte heller delta direkt i konstruk- tionen, tillverkningen, marknadsföringen, installationen, användningen eller underhållet av IKT-produkter, IKT-tjänster eller IKT-proces- ser som bedöms, eller företräda de parter som bedriver sådan verk- samhet (punkten 5). Ett organ för bedömning av överensstämmelse, dess högsta led- ning och den personal som ansvarar för genomförandet av bedöm- ningen av överensstämmelse får inte heller delta i någon verksamhet som kan påverka deras objektivitet eller integritet i samband med den bedömningen av överensstämmelse, särskilt vad gäller konsult- tjänster (punkten 5). En medlemsstat ska även säkerställa att den verksamhet som be- drivs av den nationella myndigheten för cybersäkerhetscertifiering i samband med utfärdande av europeiska cybersäkerhetscertifikat som avses i artikel 56.5 a och 56.6 är strikt avskild från uppgifter och 10Förbudet ska inte hindra att bedömda IKT-produkter som är nödvändiga för verksamheten inom organet för bedömning av överensstämmelse används eller att IKT-produkterna används för personligt bruk. Nationell myndighet för cybersäkerhetscertifiering ansvarsområden i förhållande till tillsynsverksamheten och att dessa verksamheter utförs oberoende av varandra. Vidare ska den natio- nella myndigheten som utövar tillsyn vara oberoende av de enheter som den utövar tillsyn över vad gäller dess organisation, beslut om finansiering, rättsliga struktur och beslutsfattande. Utredningen kan notera att organisationsenheten CSEC i egen- skap av nationellt certifieringsorgan av it-säkerhet är orga- niserat på ett sätt som möter kraven på oberoende ställning inom myndigheten för att möta de krav som anges i internationella överenskommelser och övriga bestämmelser i syfte att vara ett ackrediterad organ för bedömning av överensstämmelse. Frågan är då om CSEC:s nuvarande organisation och ställning inom FMV kan anses uppfylla de krav som anges i bilagan till EU:s cybersäkerhetsakt. Enligt punkten 19 i bilagan ska ett organ för be- dömning av överensstämmelse uppfylla de krav som anges i relevant standard som harmoniserats enligt förordning (EG) nr 765/2008 för ackreditering av organ för bedömning av överensstämmelse som ut- för certifiering av IKT-produkter, IKT-tjänster eller IKT-processer. Utredningen kan konstatera att CSEC är ackrediterad som organ för bedömning av överensstämmelse som utför certifiering av IKT-produkter, IKT-tjänster eller IKT-processer och får därför anses uppfylla kraven i denna punkt. Vidare anges i punkten 6 i bilagan att när ett organ för bedömning av överensstämmelse ägs eller drivs av en offentlig myndighet eller institution ska det säkerställas och dokumenteras att organet har en oberoende ställning och att inga intressekonflikter föreligger mellan den nationella myndigheten för cybersäkerhetscertifiering och orga- net för bedömning av överensstämmelse. FMV har föreslagit att det kan finnas skäl att stärka CSEC:s obe- roende inom myndigheten för att möta kraven på oberoende och att bl.a. organiseringen av den militära flygsäkerhetsinspektionen i För- svarsmakten kan tjäna som förebild i detta avseende. Utredningen delar myndighetens bedömning och anser att CSEC:s oberoende inom FMV ska säkerställas genom att det i författning anges att det organ för certifiering som ska finnas i myndigheten, dvs. CSEC, i sin certifieringsverksamhet är en oberoende funk- tion inom myndigheten . Fråga uppkommer om även chefen för certifieringsorganet bör utses av regeringen och om budget och ekonomiska resurser bör bestämmas i särskild ordning. Nationell myndighet för cybersäkerhetscertifiering Utredningen bedömer att vad som anges i punkten 6 (se ovan) i förening med att certifieringsorganets oberoende regleras i den kompletterande nationella författningsregleringen utgör tillräckliga åtgärder för att säkerställa certifieringsorganets oberoende i den natio- nella myndigheten för cybersäkerhetscertifiering (FMV). Det saknas därför skäl att föreslå ytterligare åtgärder, t.ex. att chefen för certifieringsorganet ska utses av någon annan än chefen för myndigheten. Utredningen anser dock att certifieringsorganets ekonomiska resurser bör beslutas i särskild ordning av regeringen. Det innebär sammantaget att certifieringsorganet, dvs. CSEC, be- döms möta angivna krav i bilagan till EU:s cybersäkerhetsakt som oberoende organ för bedömning av överensstämmelse. I utredningsdirektiven anges att vid finns ett nationellt certifieringsorgan för it-säkerhet i produkter och system och att myndigheten, certifieringsorganet, ska i sin verksam- het beakta nationella säkerhetsintressen. Ett sådant krav bör införas även i den reglering som föreslås av utredningen. Utredningen noterar att den bestämmelse som redan finns anger att myndigheten, certifieringsorganet, i sin verksamhet ska beakta nationella säkerhetsintressen. Bestämmelsen är enligt sin lydelse be- gränsad till viss certifieringsverksamhet och det kan råda osäkerhet om bestämmelsens tillämpningsområde. Det bör därför enligt utred- ningens bedömning införas en motsvarande bestämmelse för myn- digheten FMV och dess certifieringsorgan och som ska tillämpas i myndighetens verksamhet som följer av EU:s cybersäkerhetsakt. Det finns därför skäl att införa en sådan bestämmelse i den komplette- rande författningsreglering som föreslås. Utredningen har i kapitel 4 och avsnitt 8.2 redogjort närmare för cybersäkerhetsaktens struktur och olika bestämmelser. Det finns dock skäl att i detta sammanhang inledningsvis översiktligt återge de huvuduppgifter som utredningen bedömer ligger till grund för och därmed blir styrande för hur tillsynsverksamheten lämpligen kan och bör organiseras. Nationell myndighet för cybersäkerhetscertifiering Genom det europeiska ramverket för cybersäkerhetscertifiering fastställs en mekanism för inrättandet av europeiska ordningar för cybersäkerhetscertifiering. Av artikel 58 framgår att en nationell myn- dighet för cybersäkerhetscertifiering ska ansvara för tillsynen av efterlevnaden av det europeiska ramverket för cybersäkerhetscerti- fiering. I artikel 54 anges att en europeisk ordning för cybersäker- hetscertifiering ska innehålla minst de komponenter och regleringar som anges i den artikeln. I punkten j anges bl.a. att en sådan ordning ska innehålla regler för övervakning av efterlevnaden av IKT-produk- ter, IKT-tjänster och IKT-processer när det gäller kraven för EU- försäkran om överensstämmelse eller europeiska cybersäkerhetscer- tifikat, inklusive mekanismer för att visa fortsatt överensstämmelse med de angivna cybersäkerhetskraven. Vidare ska enligt punkten k anges de villkor som ska gälla för utfärdande, bibehållande, fortsätt- ande och förnyelse av europeiska cybersäkerhetscertifikat samt vill- kor för utvidgning eller inskränkning av tillämpningsområdet för certifiering. Av punkten följer att även bestämmelser om följderna för IKT-produkter, IKT-tjänster och IKT-processer för vilka en EU- försäkran om överensstämmelse har utfärdats eller som har certifierats, men som inte överensstämmer med kraven i ordningen, ska anges. Kommissionen kommer i unionens löpande arbetsprogram att fast- ställa strategiska prioriteringar för framtida europeiska ordningar för cybersäkerhetscertifiering. Även om något arbetsprogram ännu inte offentliggjorts har offentliggjort ett första ut- kast till en europeisk ordning för cybersäkerhetscertifiering av IKT- produkter som uppfyller kraven för på assuransnivåerna ”betydande” respektive ”hög”. Vidare anges vad som ska gälla vid när vissa be- stämmelser inte efterlevs. Utredningen kan notera att den föreslagna ordningen, utöver att närmare ange vilka krav som ska uppfyllas för att ett cybersäkerhets- certifikat ska kunna utfördas, också innehåller en detaljerad och om- fattande reglering av bl.a. olika frågor som kan uppkomma i samband med handläggningen av en ansökan, utfärdande och underhåll av ett certifikat samt vad som gäller ett eventuellt återkallande av certifikatet. Utredningen bedömer att de olika europeiska ordningarna i bety- dande omfattning kommer att reglera de olika krav som ska gälla vid såväl handläggningen av olika ärenden som omfattas av cybersäker- hetsaktens tillämpningsområde, som grunderna för själva bedömning av överensstämmelse men även vad som ska gälla i form av tillsyn. Nationell myndighet för cybersäkerhetscertifiering Eftersom såväl cybersäkerhetsaktens bestämmelser som bestämmel- serna i de europeiska ordningarna för cybersäkerhetscertifiering har direkt effekt och är tillämpliga i en medlemsstat uppkommer frågan i vilken utsträckning det finns utrymme och behov av och förutsätt- ningar för kompletterande nationell reglering på området.