sou · H8B358 · 2020-09-30 00:00:00 — –att koordinera utvecklingen av skyddsprofiler när EU-kommis- sionen lanserar ett direktiv som ska genomföras i nationell rätt. 70I finns två licensierade evalueringsföretag som utför sådana testningar: Combitech och Atsec. 71Certifieringsprocessen beskrivs även i kapitel 5. 72SOGIS-överenskommelsen framställdes som svar på beslut (92/242/EEG) inom informationssystemets säkerhet och efterföljande rådets rekommenda- tion (1995/144/ EG) om säkerhet för informationsteknologi utvärderingskriterier. 73Av dessa är sju (, , , , , och ) certifikatutgivare. MRA ger möjlighet att ömsesidigt erkänna it-produkters säkerhet upp till EAL 4. För evalueringsnivåer däröver, s.k. hög- assuransgranskning på nivå EAL 5–7, är grundregeln ett ömsesidigt godkännande inom specifika teknikområden (t.ex. smarta kort), vilket regleras genom tilläggsavtal. MRA tillämpar således såväl Common Criteria som ITSEC74 och används som verktyg då CCRA inte bedöms lämpligt. on Cybersecurity (CSCG) analy- serar den tekniska utvecklingen och dess betydelse för den digitala inre marknaden, utvärderar hur standarder kan stödja inriktning och regelverk avseende cybersäkerhet och dataskydd samt utformar re- kommendationer för internationella standarder. Eftersom det är av stor vikt att undvika dubbelt och överlappande standardiseringsarbete står koordinering av standardiseringsarbete i fokus för CSCG. I den av CSCG publicerade vitboken on European Cybersecurity Standardisation ges rekommen- dationer om digital säkerhet som en väsentlig tillgång för digital suveränitet och ett digitalt samhälle. Rekommendationerna under- stryker vikten av standardisering av cybersäkerhet för att fullborda den europeiska inre marknaden och höja nivån av cybersäkerhet i generellt. Gruppen har för övrigt bl.a. rekommenderat att kommissionen bör etablera en tydlig och gemensam förståelse för omfattningen och innebörden av begreppet cybersäkerhet i EU. Därutöver finns ett flertal andra organisationer som är delaktiga i standardiseringsaktiviteter relaterade till cybersäkerhet. Den euro- peiska standardiseringsorganisationen är en oberoende och icke-statlig organisation med 34 europeiska länders standardiserings- organ som medlemmar. för Standarder (SIS) är medlem och representerar i organisationen. 74Information Evaluation Criteria (ITSEC) är en uppsättning kriterier för it-säkerhetsevaluering skapade av , , och Neder- länderna –1991. ITSEC har till stor del ersatts av Common Criteria. Standardisering till stöd för cybersäkerhetscertifiering För att stödja skapandet av certifieringsordningar inom det euro- peiska ramverket för cybersäkerhetscertifiering är standardiserings- organens roll viktig.75 Standardiseringsorganisationerna kommer att tillhandahålla nödvändiga standarder till stöd för den ram som ska definieras av på begäran av kommissionen. När det gäller standardiseringsaktiviteter har , utöver förbätt- ringar av diverse samarbeten, bl.a. rekommenderat att standardiser- ingsorganisationer företrädesvis väljer att använda redan befintliga internationella standarder om sådana finns på det specifika området och att ISO/IEC JTC1/SC27 bör betraktas som den första referen- sen för cybersäkerhetsstandardisering.76 Standardernas typsika roll i evaluerings- och certifieringsprocessen avseende IKT illustreras i figuren nedan. Figur 3.2 Standarders roll i cybersäkerhetscertifieringsprocessen Bas för produkt-/ för en typ av och/eller underlag för anspråk Utredningen har översatt texten i originalfiguren till svenska. har en viktig roll när det gäller skapandet av en harmoniserad ram för att utveckla standarder på lämplig nivå. rekommenderar bl.a. att EU:s löpande arbetsprogram för standardisering anpassas till unionens löpande arbetsprogram för europeisk cybersäkerhetscerti- fiering så att standardiseringsorganisationerna kan tillhandahålla lämp- liga standarder för certifieringsordningarna. 75I t.ex. artikel 54.1 c i EU:s cybersäkerhetsakt anges att en europeisk ordning för cybersäker- hetscertifiering ska innehålla en hänvisning till standarder som följts vid utvärderingen, om lämpliga sådana finns. 76ENISA, Standardisation in support of the cybersecurity certification, , s. 23 f. horisontella standarder (multisektoriella) för cybersäkerhet ska privi- legieras i utvärderingen av cybersäkerhet. Man invänder även mot konkurrens mellan standardiseringsorganisationer och förespråkar i stället bättre samarbete mellan inblandade aktörer. När en inter- nationell standard finns inom ett specifikt område och täcker en måldomän – åtminstone delvis – måste den enligt väljas i första hand. har även presenterat vissa konkreta förslag på vilka standarder som bör användas vid cybersäkerhetsstandardisering och -evaluering.77 77ENISA, Standardisation in support of the cybersecurity certification, . Det europeiska ramverket för cybersäkerhetscertifiering utgörs av EU:s cybersäkerhetsakt och de europeiska ordningar för cybersäker- hetscertifiering som ska antas (genomförandeakter). I detta kapitel lämnas en närmare redogörelse för strukturen och bestämmelserna i cybersäkerhetsakt och vad som anges om innehållet i en europeisk ordning för cybersäkerhetscertifiering. Det internationella samfundets förmåga att hantera och begränsa cyberangrepp har påverkats av att det inte finns något internationellt ramverk för styrning av cybersäkerhet. Försöken att upprätta bindande internationella cyberrymdsstandarder har präglats av spänningar.1 EU har etablerat ett antal strategiska partnerskap2 på cybersäkerhets- området för att kunna föra regelbundna politiska diskussioner i syfte att bygga tillit och gemensamma samarbetsområden. Resultaten har varit blandade då EU inte setts som en stor aktör inom cybersäker- het i det internationella samfundet.3 EU:s förmåga att hantera cyber- angrepp på politisk och operativ nivå vid en storskalig, gränsöver- skridande incident har ansetts som begränsad, bl.a. på grund av att cybersäkerhet inte integrerats i befintliga samordningsmekanismer 1Vilket sågs bl.a. i bristen på samförstånd i FN-gruppen med myndighetsexperter 2017 (2016–2017 Experts) om hur internationell lagstiftning bör tillämpas på staters hantering av incidenter. Se även Europeiska revisionsrätten, Utmaningar för en ända- målsenlig EU politik för cybersäkerhet, Briefingdokument, , s. 32. 2Med , , , , och . 3Europeiska säkerhets- och försvarsakademin (T. och A. Barrinha), Handbook on cyber security, kap. 3.4 The EU as a partner in cyber diplomacy and defence, . för krishantering på EU-nivå.4 NIS-direktivet var ett första steg för att främja en gemensam riskhanteringskultur genom införandet av säkerhetskrav bestående av rättsliga skyldigheter för de centrala eko- nomiska aktörerna, särskilt leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster. presenterade ett meddelande om ett stärkt system i för cyberresiliens och främjande av en kon- kurrenskraftig och innovativ cybersäkerhetsbransch.5 I meddelandet föreslog kommissionen att det skulle upprättas en ram för säkerhets- certifiering av IKT-produkter och IKT-tjänster (informations- och kommunikationsteknik) i syfte att öka förtroendet och säkerheten på den digitala inre marknaden. Enligt kommissionen framstod IKT- cybersäkerhetscertifiering som särskilt relevant mot bakgrund av den ökade användningen av teknik som krävde en hög nivå av cyber- säkerhet, såsom uppkopplade och automatiserade bilar, elektronisk hälsovård och industriella automatiseringskontrollsystem (IACS).6 Europeiska unionens råd noterade att det krävdes ett fortsatt och närmare samarbete för att skydda EU mot cyberhoten, särskilt vad gällde att hantera gränsöverskridande storskaliga cybersäkerhetsinci- denter. Vidare noterades att de cyberrelaterade hoten och sårbar- heterna fortsatte att utvecklas och intensifieras. I slutsatserna be- kräftades att Enisa-förordningen7 utgjorde en av de centrala delarna av en EU-ram för cyberresiliens, och kommissionen uppmanades att vidta ytterligare åtgärder i frågan om certifiering på EU-nivå.8 Inrät- tandet av ett certifieringssystem skulle kräva att det även inrättades ett lämpligt styrningssystem på EU-nivå, inklusive tillhandahållande av djupgående sakkunskap från ett oberoende EU-organ. Kommissio- nen angav i sitt meddelande 2017 om halvtidsöversynen av strategin 4Samarbetet kring tidiga varningar och ömsesidigt bistånd kräver också ytterligare utveckling, se Rådets slutsatser om EU:s samordnade insatser vid storskaliga cyberincidenter och cyber- kriser, 10085/18, . 5Meddelande från Kommissionen till , Rådet, Europeiska ekonomiska och sociala kommittén samt (KOM(2016) 410 slutlig): Stärka system för cyberresiliens och främja en konkurrenskraftig och innovativ cybersäkerhetsbransch. 6Det har funnits meningsskiljaktighet mellan stater om hur befintliga regler i internationell rätt ska gälla för staters användning av informations- och kommunikationsteknik (UNIDIR, The United Nations, Cyberspace and International Peace and Security, Responding to Com- plexity in the 21st Century, 2017, s. 2). 7Europaparlamentets och rådets förordning (EU) nr 526/2013 om Europeiska unionens byrå för nät- och informationssäkerhet () och om upphävande av förordning. 8Rådets slutsatser om att stärka system för cyberresiliens och främja en konkurrens- kraftig och innovativ cybersäkerhetsbransch – . för den digitala inre marknaden att den senast skulle se över mandat för att definiera dess roll i det förändrade cybersäkerhetslandskapet och ta fram förslag på standarder, certi- fiering och märkning på cybersäkerhetsområdet i syfte att öka cyber- säkerheten hos IKT-baserade system.9 presenterade kommissionen ett förslag till en förordning om , ””, och om cyber- säkerhetscertifiering av informations- och kommunikationsteknik (”cybersäkerhetsakten”).10 Syftet med förslaget var att –öka medlemsstaternas och företagens kapacitet och beredskap, –förbättra samarbetet och samordningen mellan medlemsstaterna och EU:s institutioner, byråer och organ, –öka EU:s förmåga att komplettera medlemsstaternas åtgärder, i synnerhet när det gäller gränsöverskridande cyberkriser, –öka allmänhetens och företagens medvetenhet om cybersäkerhets- frågor, –öka den övergripande transparensen i fråga om assuransnivån för cybersäkerhet hos IKT-produkter och IKT-tjänster i syfte att stärka förtroendet för den digitala inre marknaden och för digital innovation, och –undvika splittring av certifieringssystemen i EU och av de tillhö- rande säkerhetskraven och utvärderingskriterierna i de olika med- lemsstaterna och sektorerna. Den föreslagna reformen av , som förutsågs få en större opera- tiv roll i hantering av storskaliga cybersäkerhetsincidenter, stöddes inte av medlemsstaterna, som hellre såg att byråns roll skulle stödja och komplettera deras egna operativa åtgärder.11 9Meddelande från Kommissionen om halvtidsöversynen av genomförandet av strategin för den digitala inre marknaden, COM(2017) 228 final. 10Europaparlamentets och rådets förordning (EU) 2019/881 om (Europeiska unionens cybersäkerhetsbyrå och) och om cybersäkerhetscertifiering av informations- och kommuni- kationsteknik och om upphävande av förordning (EU) nr 526/2013 (cybersäkerhetsakten). 11Europaparlamentets utredningstjänst, Briefing EU Legislation in Progress: and a new cybersecurity act, PE 614.643, . Det finns redan många CERT/CSIRT- enheter på medlemsstatsnivå, men deras kapaciteter varierar avsevärt. antogs och rådets förordning (EU) 2019/881 om (Europeiska unionens cybersäkerhetsbyrå) och om cybersäkerhetscertifiering av informations- och kommuni- kationsteknik och om upphävande av förordning (EU) nr 526/2013 (cybersäkerhetsakten). EU:s cybersäkerhetsakt började tillämpas direkt med undantag för vissa artiklar som kräver kompletterande bestämmelser på nationell nivå och som därför ska börja tillämpas först . Det huvudsakliga syftet med cybersäkerhets- akten är att säkerställa en väl fungerande inre marknad och sträva efter att uppnå en hög nivå i fråga om cybersäkerhet, cyber- resiliens och förtroende inom unionen. Det europeiska ramverket för cybersäkerhetscertifiering är avsett att bl.a. ge följande fördelar för företag och enskilda:12 –cybersäkerhetsakten ska stödja och underlätta utvecklingen av en europeisk cybersäkerhetspolitik genom att harmonisera villkoren och de materiella kraven för cybersäkerhetscertifiering av IKT- produkter och IKT-tjänster i EU, –europeiska ordningar för cybersäkerhetscertifiering ska hänvisa till gemensamma standarder eller kriterier för utvärderings- och test- metoder, vilket bidrar till användningen av gemensamma säkerhets- lösningar i EU och undanröjer hinder för den inre marknaden, –cybersäkerhetsakten ska stödja och komplettera genomförandet av NIS-direktivet genom att förse de företag som omfattas av direktivet med ett verktyg för att visa att nät- och informations- säkerhetskraven uppfylls i hela unionen, –de europeiska ordningarna för cybersäkerhetscertifiering ska ha företräde framför de nationella systemen och ersätter befintliga parallella nationella ordningar avseende samma IKT-produkter eller IKT-tjänster på en angiven tillförlitlighetsnivå, 12Se motiveringen i kommissionens förslag till cybersäkerhetsakten, COM (2017)477 final, s. 13. –företag ska bara behöva certifiera produkten en gång, och certi- fikat som utfärdas enligt de europeiska ordningarna ska gälla i alla medlemsstater, –företag ska få en kontaktpunkt för cybersäkerhetscertifiering inom EU, och –en produkt eller tjänst ska – beroende på cybersäkerhetsbehov – certifieras enligt en högre eller lägre nivå av säkerhet. EU:s cybersäkerhetsakt finns intagen som bilaga till delbetänkandet. Artiklarna 3–45 i EU:s cybersäkerhetsakt anger mål och uppgifter samt reglerar organisatoriska frågor som rör . ska främja spridningen av cybersäkerhetscertifiering i unionen, bl.a. genom att bidra till inrättandet och underhållandet av ett ramverk för cybersäker- hetscertifiering på unionsnivå (europeiskt ramverk för cybersäkerhets- certifiering). I en av kommissionen gjord utvärdering av note- rades att för cybersäkerhet inte samordnades i tillräcklig utsträckning och att detta ledde till bristande synergieffekter mellan verksamhet och andra aktörers.13 EU:s cybersäkerhetsakt syftar till att stärka samordnande roll.14 En mer översiktlig beskrivning av roll och uppdrag har lämnats i kapitel 3. Ett övergripande europeiskt ramverk för cybersäkerhetscertifiering I artiklarna 46–65 i EU:s cybersäkerhetsakt finns bestämmelser om ett övergripande europeiskt ramverk för cybersäkerhetscertifiering. Genom cybersäkerhetsakten skapas en ram för inrättandet av certi- fieringsordningar för IKT-produkter, IKT-tjänster och IKT-proces- ser15 (europeiska ordningar för cybersäkerhetscertifiering). 13Europeiska kommissionen, Study on the Evaluation of for Network and , Final Report, 2017. 14Europeiska revisionsrätten, Utmaningar för en ändamålsenlig EU politik för cybersäkerhet, Briefingdokument, , s. 41, och skäl 20 i EU:s cybersäkerhetsakt. 15Med sådana produkter, tjänster och processer avses delar, eller en grupp av delar, i nätverks- och informationssystem, tjänster som helt eller huvudsakligen består i överföring, lagring, hämtning eller behandling av information via nätverks- och informationssystem och verksam- EU:s cybersäkerhetsakt inför en möjlighet för tillverkare och leverantörer att upprätta en s.k. EU-försäkran om överensstämmelse eller ansöka om ett europeiskt cybersäkerhetscertifikat som intygar att en särskild IKT-produkt, IKT-tjänst eller IKT-process uppfyller kraven i en europeisk ordning för cybersäkerhetscertifiering. En EU-försäkran om överenstämmelse eller ett europeiskt cyber- säkerhetscertifikat ska intyga att produkterna, tjänsterna och pro- cesserna uppfyller angivna säkerhetskrav när det gäller att skydda tillgänglighet, autenticitet, integritet och konfidentialitet hos lagrade, överförda eller behandlade data eller de funktioner eller tjänster som tillhandahålls av eller är tillgängliga via dessa produkter, tjänster och processer. EU-försäkringar om överenstämmelse och europeiska cybersäker- hetscertifikat syftar även till att hjälpa slutanvändarna att göra infor- merade val och bidra till att harmonisera cybersäkerhetsrutinerna inom unionen.16 I skäl 71 anges att de europeiska ordningarna för cybersäkerhets- certifiering bör bygga på vad som redan existerar på internationell och nationell nivå och, om så krävs, på tekniska specifikationer från forum och konsortier. I ordningarna ska befintliga standarder användas i för- hållande till de tekniska kraven och utvärderingsförfaranden som pro- dukterna måste uppfylla. Inga egna tekniska standarder bör utvecklas.17 IEU:s cybersäkerhetsakt anges att certifieringsordningar som drivs av industrin eller andra privata organisationer inte bör ingå i cyber- säkerhetsaktens tillämpningsområde.18 Cybersäkerhetsakten ska inte påverka tillämpningen av unions- rätt som innehåller särskilda bestämmelser om certifiering av IKT- produkter, IKT-tjänster och IKT-processer, t.ex. Europaparlamen- tets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (den allmänna dataskyddsförord- ningen, GDPR).19 heter som utförs för att utforma, utveckla, tillhandahålla eller underhålla en IKT-produkt eller IKT-tjänst (artikel 2.12–2.14). 16Skäl 93 och 95. 17När det gäller europeiska standarder ombesörjs detta av de europeiska standardiseringsorga- nisationerna, och det godkänns av Europeiska kommissionen genom offentliggörande i Euro- peiska unionens officiella tidning (se förordning (EU) nr 1025/2012). 19Skäl 74 och artikel 1 andra stycket. Cybersäkerhetsakten ska inte heller påverka medlemsstaternas befogenheter i fråga om verksamhet som berör allmän säkerhet, för- svar, nationell säkerhet och statens verksamhet på straffrättens om- råde (artikel 2). Cybersäkerhetscertifiering kan vara en kostsam process, vilket i sin tur kan leda till högre priser för kunder och konsumenter. Be- hovet av certifiering kan också variera beroende på i vilket samman- hanget produkterna och tjänsterna ska användas och den snabba tekniska utvecklingen. Därför bör det – enligt cybersäkerhetsakten –även fortsättningsvis vara frivilligt att använda en europeisk cyber- säkerhetscertifiering, om inte annat föreskrivs i unionsrätten eller medlemsstaternas nationella rätt som antagits i enlighet med unions- rätten. På vissa områden kan det bli nödvändigt att införa särskilda krav på cybersäkerhet och göra cybersäkerhetscertifiering obligatorisk för vissa IKT-produkter, IKT-tjänster och IKT-proces- ser för att förbättra cybersäkerheten i unionen.20 Kommissionen ska med jämna mellanrum följa upp vilka effekter antagna europeiska ordningar för cybersäkerhetscertifiering har på tillgången till säkra IKT-produkter, IKT-tjänster och IKT-processer på den inre marknaden och bör regelbundet bedöma i hur hög ut- sträckning tillverkare och leverantörer av IKT-produkter, -tjänster och -processer i unionen använder certifieringsordningarna, effekti- viteten hos de europeiska ordningarna för cybersäkerhetscertifiering och huruvida bestämda ordningar borde göras obligatoriska. Bedöm- ningen bör göras mot bakgrund av unionens lagstiftning med kopp- ling till cybersäkerhet, särskilt direktiv (EU) 2016/1148, med beaktande av säkerheten i nätverks- och informationssystem som används av leverantörer av samhällsviktiga tjänster.21 I avsaknad av harmoniserad unionsrätt får medlemsstaterna införa nationella tekniska föreskrifter som föreskriver obligatorisk certi- fiering inom ramen för en europeisk ordning för cybersäkerhets- certifiering i enlighet med och rådets direktiv (EU) 2015/1535 om ett informationsförfarande beträffande tek- niska föreskrifter och beträffande föreskrifter för informationssam- hällets tjänster. Medlemsstaterna får även använda europeisk cybersäkerhetscerti- fiering i samband med offentlig upphandling och inom ramen för och rådets direktiv /24/EU om offentlig upphandling.22 I syfte att säkerställa en harmonisering och undvika fragmenter- ing kommer nationella ordningar eller förfaranden för certifiering av IKT-produkter, -tjänster eller -processer som omfattas av en euro- peisk ordning för cybersäkerhetscertifiering upphöra att gälla från och med den dag som fastställs av kommissionen genom en sådan ord- ning (genomförandeakt).23 Medlemsstaterna får inte heller införa nya nationella ordningar för cybersäkerhetscertifiering av IKT-produkter, -tjänster eller -pro- cesser som redan omfattas av en befintlig europeisk ordning för cyber- säkerhetscertifiering. Medlemsstaterna är dock inte förhindrade att anta eller behålla nationella ordningar för cybersäkerhetscertifiering för att skydda den nationella säkerheten.24 4.3.2Artiklar i EU:s cybersäkerhetsakt I detta avsnitt lämnas en översiktlig redogörelse för de artiklar i EU:s cybersäkerhetsakt som berör utredningens uppdrag. Europeiskt ramverk för cybersäkerhetscertifiering I artikel 46 anges att europeiskt ramverk för cybersäkerhetscertifier- ing ska inrättas för att förbättra förutsättningarna för den inre mark- nadens funktion genom att höja cybersäkerhetsnivån i unionen och möjliggöra en harmoniserad strategi på unionsnivå för europeiska ordningar för cybersäkerhetscertifiering i syfte att skapa en digital inre marknad för IKT-produkter, IKT-tjänster och IKT-processer. 22Se motiveringen i förslaget till cybersäkerhetsakten, COM (2017) 477, s. 12. Jfr även skäl 91, artikel 1 andra stycket och artikel 57 i cybersäkerhetsakten. Unionens löpande arbetsprogram för europeisk cybersäkerhetscertifiering I artikel 47 anges att kommissionen ska offentliggöra unionens löpande arbetsprogram för europeisk cybersäkerhetscertifiering (nedan kallat unionens löpande arbetsprogram) i vilket strategiska prioriteringar ska fastställas för framtida europeiska ordningar för cybersäkerhets- certifiering. I unionens löpande arbetsprogram ska det särskilt ingå en förteckning över IKT-produkter, IKT-tjänster och IKT-proces- ser eller kategorier av sådana som kan gagnas av att omfattas av en europeisk ordning för cybersäkerhetscertifiering. Begäran om en europeisk ordning för cybersäkerhetscertifiering Enligt artikel 48 får kommissionen begära att utarbetar ett för- slag till certifieringsordning eller ser över en befintlig europeisk ord- ning för cybersäkerhetscertifiering på grundval av unionens löpande arbetsprogram. I motiverade fall får kommissionen eller europeiska gruppen för cybersäkerhetscertifiering begära att utarbetar ett förslag till certifieringsordning eller ser över en befintlig europeisk ordning för cybersäkerhetscertifiering som inte ingår i unionens löpande arbetsprogram (se avsnitt 13.2.1). Utarbetande, antagande och översyn av en europeisk ordning för cybersäkerhetscertifiering I artikel 49 anges att efter en begäran från kommissionen i enlighet med artikel 48 ska utarbeta ett förslag till certifieringsordning som uppfyller de krav som anges i artiklarna 51, 52 och 54. Efter en begäran från europeiska gruppen för cybersäkerhetscertifiering i en- lighet med artikel 48.2 får utarbeta ett förslag till certifierings- ordning som uppfyller de krav som anges i artiklarna 51, 52 och 54. Figuren nedan illustrerar förfarandet för framtagande av de euro- peiska ordningarna för cybersäkerhetscertifiering. to consult all relevant stakeholders by means of formal, open, transparent and inclusive Request for a European In duly justified cases, Commission or ECCG may a candidate scheme or review an existing one beyond URWP Opinion of ECCG to be taken of outmost Based on the URWP, prepare a candidate scheme or review an existing one Programme (URWP) Preparation of a Union Rolling Work Programme Request to prepare a candidate cybersecurity certifications scheme Preparation of a candidate cybersecurity certification scheme