sou · H8B358 · 2020-09-30 00:00:00 — Utredningen kan konstatera att eftersom några europeiska ord- ningar för cybersäkerhetscertifiering, utöver det nu aktuella utkastet till en sådan ordning, ännu inte formellt antagits eller fastställts före- ligger en osäkerhet om vilka krav som kan komma att ställas på den nationella tillsynen för att möta framtida behoven av tillsyn med anled- ning av de europeiska ordningar som kan komma att antas på området. Utredningen bedömer dock att cybersäkerhetsaktens olika be- stämmelser om tillsyn ger utrymme för att med en tillräcklig grad av säkerhet kunna lämna förslag om hur den natio- nella tillsynsverksamheten bör organiseras och utformas. Utredningen gör bedömningen, på motsvarande sätt som gäller för kom- pletterande nationella föreskrifter för cybersäkerhetscertifiering, att utrymmet för berörda myndigheter att meddela ytterligare föreskrifter på tillsynsområdet blir begränsat då eventuella myn- dighetsföreskrifter måste beakta den framtida unionsrättens reglering på området. Den närmare innebörden av begreppet tillsyn är inte närmare defi- nierad vare sig i EU:s cybersäkerhetsakt eller i den nationella rätts- ordningen, även om begreppet förekommer på olika verksamhetsom- råden. En tydlig avgränsning till begrepp som rådgivning vägledning, och utbildning saknas. För att tillsynen ska vara ändamålsenlig och effektiv krävs att det inte råder oklarhet om när en myndighet upp- träder i rollen som tillsynsmyndighet, vad som är föremål för tillsyn och hur tillsynen ska gå till. I samband med att en myndighet lämnar rådgivning uppkommer ofta en risk för att råd lämnas om vad som ska göras snarare än hur något bör göras. Detta medför att råd som tillsynsmyndigheten lämnar kan utmynna i att tillsynsobjektet vidtar åtgärder som senare blir föremål för tillsyn, vilket kan underminera själva syftet med till- synen som en fristående granskning. Detta väcker också tveksam- Nationell myndighet för cybersäkerhetscertifiering heter vad gäller objektivitet eftersom tillsynsmyndighetens förmåga att upptäcka brister vid en efterföljande tillsyn kan ifrågasättas. Det är således viktigt att tillsynsobjektets tydliga ansvar för åtgärder inte påverkas eller förskjuts i riktning mot tillsynsmyndigheten, vilket det finns en risk för om tillsynsmyndigheten ska utöva tillsyn och lämna råd till samma verksamhetsutövare. Ett tydliggörande av tillsynsverksamhetens inriktning och syfte skapar också förutsägbarhet och minskar utrymmet för godtycklig- het. Det är därför viktigt att det av regleringen framgår vad tillsynen syftar till och innebörden av denna. Vidare är ramarna för tillsynens omfattning av betydelse för att kunna fastställa hur långt tillsyns- myndigheternas befogenheter sträcker sig. Det finns även behov av att närmare reglera hur tillsynsverksamheten ska bedrivas. finns heller ingen formell eller författningsreglerad tillsyns- struktur för den verksamhet som det europeiska ramverket för cyber- säkerhetscertifiering kommer att omfatta. Det kommer därför att finnas ett behov av att upprätthålla en översiktlig och sammanhållen bild över tillsynsverksamheten för att kunna följa upp, utvärdera och utveckla tillsynen på området.11 Utredningen kan konstatera att omfattningen av tillsynsverksam- heten är svår att bedöma då det är fråga om lagstiftning som inte tidigare tillämpats vilket medför svårigheter att uppskatta antalet till- synsobjekt. Det är en förutsättning att tillsynsmyndigheten har en lägesbild över vilka tillsynsobjekt som man har i uppdrag att kon- trollera för att kunna bedriva ändamålsenlig och effektiv tillsyn. Utredningen kan vidare konstatera att eftersom det inte be- drivs någon formell tillsyn av verksamheter på cybersäkerhetsaktens tillämpningsområde är det svårt att få en tydlig bild över tillgången på sak- och tillsynskompetens för den tillsyn som införs. Exper- terna i utredningen har upplyst att det råder brist på kompetent personal för uppgifter, bl.a. tillsyn, som följer av cybersäkerhetsaktens införande. Även om det inom FMV och certifieringsorganet CSEC finns kompetens om certifiering av it-säkerhet i produkter och system medför bristen på kompetens att den blivande tillsyns- funktionen behöver vidta åtgärder för kunna bedriva en ändamåls- enlig och effektiv tillsyn, eftersom rekrytering och utbildning kom- mer att ta tid i anspråk. 11Se bl.a. i den civila statsförvaltningen (RIR 2014:23). Nationell myndighet för cybersäkerhetscertifiering Frågan är då hur tillsynsverksamheten kan organiseras och utfor- mas med utgångspunkt i bl.a. de krav på tillsynsverksamheten som föreskrivs i cybersäkerhetsakten och i linje med regeringens skriv- else En tydlig, rättssäker och effektiv tillsyn (skr. 2009/10:79).12 Utredningen redogör nedan för några av de mer principiella ut- gångspunkter som bör ligga till grund för fortsatta överväganden om organisering och utformning av den tillsynsverksamhet som cyber- säkerhetsakten anger ska finnas på nationell nivå i en medlemsstat. I det sammanhanget redogörs även för några av de utredningar som tidigare behandlat frågor om tillsyn på informations- och kommu- nikationssäkerhetsområdet. Regeringens skrivelse En tydlig, rättssäker och effektiv tillsyn (skr. 2009/10:79) I regeringens skrivelse En tydlig, rättssäker och effektiv tillsyn (skr. 2009/10:79), lämnas generella bedömningar och görs principiella ställningstaganden av hur en tillsynsreglering bör vara utformad. I skrivelsen framhålls bl.a. betydelsen av enhetlighet i fråga om offent- lig tillsyn. Det lämnas utrymme för att göra avsteg från de bedömningar som görs i skrivelsen. Ett viktigt skäl för att precisera tillsynsbegreppet anges vara att en tydlig definition gör det enklare att skilja granskandet från främjande verksamhet. Ett tydligt och avgränsat tillsynsbegrepp behöver inte hindra att tillsyns- myndigheter även kan ha till uppgift att arbeta främjande och förebyg- gande för att effektivt uppnå lagstiftningens mål. Det är i allmänhet inte är lämpligt att tillsynsmyndigheten ger råd om hur tillsyns- objekten ska agera i specifika ärenden. Ett skäl till det anges vara att det kan uppstå svårigheter om tillsynsmyndigheten tidigare lämnat råd i ärenden som sedan blir föremål för tillsyn. framhålls att inom vissa tillsynsområden kan skäl tala för att, utöver upplys- ningar om gällande rätt, så kan även rekommendationer och vägled- ning utgöra del av tillsynen. En annan faktor som tas upp är vilka risker regelöverträdelser kan orsaka. 12Statskontoret framhåller i sin rapport till om tillsynen betydelsen av att staten ser till- synen som ett sammanhållet system, där de olika delarna reglering, organisering, styrning, finansiering och ingripandemöjligheter samspelar för att bästa möjliga resultat av verksam- heten ska kunna åstadkommas (s. 93). Nationell myndighet för cybersäkerhetscertifiering risker för exempelvis människors liv och hälsa kan påverka såväl be- hovet av en enhetlig tillsyn som utformning av sanktioner. I skrivelsen framhålls att det är viktigt att utgå från de förutsätt- ningar som gäller för det specifika tillsynsområdet. Det går inte att bortse från att många tillsynsområden har väsentligt olika förutsätt- ningar som påverkar hur tillsynsregelverket bör utformas för att effek- tivt bidra till att de materiella reglerna efterlevs och intentionerna i regelverken förverkligas. Faktorer som kan behöva vägas in är bland annat vem som bedriver den verksamhet som tillsynen avser, vilket slag av verksamhet som tillsynen riktas mot, vilka risker regelöver- trädelser kan orsaka och hur det materiella regelverk som tillsynen avser är utformat. Vidare påpekas att det måste beaktas att tillsyn är kostnadskrävande och orsakar störningar och påfrestningar för den som kontrolleras. I skrivelsen framhålls att begreppet tillsyn främst bör användas för verksamhet som avser självständig granskning för att kontrollera om tillsynsobjektet uppfyller krav som följer av lagar och andra bindande föreskrifter. En grundläggande förutsättning för tillsynen är att tillsynsorganet har författningsreglerade möjligheter att in- gripa. Tillsynsorganen bör ha rätt att av den objektsansvarige få del av de upplysningar eller handlingar som behövs för tillsynen. Till- synsorganet bör även ha tillträdesrätt till utrymmen som används i den tillsynspliktiga verksamheten. Tillsynsorganen bör ha möjlighet att begära biträde från . Vidare bör tillsyns- organen ha möjlighet att ålägga den som är tillsynsobjektet ansvar för att utöva egen kontroll av sin verksamhet. Alla ingripanden bör kunna överklagas. Tillsyn enligt förslag av NISU 2014 Frågan om tillsyn över den statliga sektorns informationssäkerhet behandlades i betänkandet Informations- och cybersäkerhet i –Strategi och åtgärder för säker information i staten (SOU 2015:23). Utredningen konstaterade att ett antal myndigheter vid sidan om Försvarsmakten, Säkerhetspolisen och sektorsmyndigheterna har till- synsansvar inom informationssäkerhetsområdet, bl.a. Datainspek- tionen, och . Enligt utredningen är detta en krävande uppgift som ställer höga krav på Nationell myndighet för cybersäkerhetscertifiering expertkompetens då tillsynsansvaret omfattar alla aspekter av infor- mationssäkerhet, allt från administrativ säkerhet till it-säkerhet och krypto. Enligt utredningen är det inte rimligt att kräva eller förut- sätta att den bredd och djup i kompetens som krävs ska finnas inom varje tillsynsmyndighet. Betydligt effektivare och mer rationellt vore om tillsynen genomförs i samverkan med en utpekad myndighet som har den djupa kompetens som krävs. Då skulle tillsynsmyndig- heten ha ansvaret och kunskapen om föremålet för tillsyn, och sam- tidigt dra fördel av expertmyndighetens djupa fackkunskaper. Detta bidrar till kvalitet och stabilitet i tillsynen och en jämn tillämpning av informationssäkerhetskraven på tillsynsobjekten. En samordning av stöd till tillsynsverksamheten vore också effektivt sett till både eko- nomi och säkerhet. I betänkandet angavs bl.a. att tillsynen över den statliga sektorns informationssäkerhet borde samordnas och förstärkas. MSB borde enligt förslaget utöva tillsyn över myndigheternas informationssäker- hetsarbete. I betänkandet konstateras att ett en sådan tillsynsuppgift föranleder ökad samverkan med myndigheter i det myndighetsråd som föreslogs. Vidare framhölls nödvändigheten av samordning i förhåll- ande till den tillsyn som utövas under säkerhetsskyddslagen för att undvika överlappande tillsynsansvar. Även samordning med den till- syn inom staten avseende informationssäkerhet som sker genom sek- torsansvariga myndigheters försorg borde öka. Utredningen ansåg angeläget att noga följa utvecklingen och inom en inte alltför avlägsen framtid följa upp frågan, bl.a. med hänsyn till NIS-direktivet. Utredningen om genomförande av NIS-direktivet I betänkandet Informationssäkerhet för samhällsviktiga och digitala tjänster (SOU 2017:36) analyserade utredningen behovet och utform- ningen av tillsyn med anledning av NIS-direktivets genomförande i den svenska rättsordningen. I kommittédirektiven till utredningen angavs att befintliga myndigheter borde behålla eller komplettera nu- varande roller. MSB borde mot bakgrund av sitt ansvar att samordna arbetet med samhällets informationssäkerhet få en samordnande roll mellan tillsynsmyndigheterna i syfte att få en samlad bild över EU- direktivets genomförande och tillämpning i . Nationell myndighet för cybersäkerhetscertifiering dock inte medföra något övertagande av sektorsmyndigheternas an- svar för tillsyn över aktörer eller något mandat att styra hur dessa myndigheter ska använda sina resurser. Enligt direktiven borde utgångspunkten därför vara att tillsyns- myndigheterna inom de sektorer som omfattas av NIS-direktivet även fortsättningsvis har kvar ansvaret för att kontrollera att aktörerna följer respektive sektors regler om informationssäkerhet. För de sek- torer där det saknas tillsyn över informationssäkerhet behövde det övervägas vilken myndighet som kan anförtros den uppgiften. Inriktningen borde enligt kommittédirektiven vara att Post- och tele- styrelsen (PTS) gav fortsatt och vid behov kompletterande ansvar för tillsyn av de digitala infrastrukturer som nämnas i bilaga 2 till NIS-direktivet. I betänkandet redogjordes för myndigheternas olika tillsynsfunk- tioner inom berörda samhällssektorer. Utredningen föreslog att varje sektor och för de digitala tjänster som omfattas av lagstiftningen ska en tillsynsmyndighet ansvara för att övervaka att regelverket följs. Utredningen föreslog att MSB ska inom ramen för sitt uppdrag ha en samlad bild av NIS-direktivets genomförande och tillämpning i genom att leda ett samarbetsforum där samtliga tillsynsmyn- digheter ska ingå samt ta emot tillsynsmyndighetens bedömning av brister i nätverk och informationssystem. I bedömningen bör ingå brister som upptäcks vid tillsyn men även svårigheter vid tillämpning och tolkning av regelverket. Utredningen föreslog vidare att MSB ska tillhandahålla tillsyns- myndigheterna det metodstöd för tillsyn som behövs för en effektiv tillsyn enligt det föreslagna regelverket. Regeringens proposition 2017/18:205 Informationssäkerhet för samhällsviktiga och digitala tjänster I propositionen 2017/18:205 Informationssäkerhet för samhällsviktiga och digitala tjänster framhålls att nätverk och informationssystem spelar en allt viktigare roll i samhället. Deras tillförlitlighet och säker- het är grundläggande för ekonomisk och samhällelig verksamhet och den inre marknadens funktion. I syfte att genomföra NIS-direktivet i svensk rätt föreslog regeringen en ny lag om informationssäkerhet för samhällsviktiga och digitala tjänster. Den nya lagen innebär bl.a. att vissa leverantörer av samhällsviktiga och digitala tjänster ska vidta Nationell myndighet för cybersäkerhetscertifiering säkerhetsåtgärder till skydd för säkerheten i nätverk och informa- tionssystem och att leverantörerna ska rapportera incidenter som påverkar kontinuiteten i tjänsterna. Vidare anges att den myndighet som regeringen bestämmer ska utöva tillsyn över att lagen och före- skrifter som har meddelats i anslutning till den följs, och att myndig- heten ska kunna besluta om vitesföreläggande och sanktionsavgift mot den som inte följer lagens bestämmelser. Den nya lagen trädde i kraft . Betänkandet En ny säkerhetsskyddslag (SOU 2015:25) I betänkandet En ny säkerhetsskyddslag (SOU 2015:25) behandlades frågan om tillsyn av säkerhetsskyddet. Utredningen konstaterade i betänkandet att formerna för tillsynen av säkerhetsskyddet i väsent- liga avseenden avviker från hur offentlig tillsyn normalt är ordnad. Utredningen framhöll att tillsynen har ett stort inslag av råd och stöd till verksamhetsutövarna. underströk utredningen att det finns svårigheter med att förena en rådgivande roll med en kon- trollerande roll och att det vore olyckligt med en utveckling mot att myndigheter som utövar tillsyn är så restriktiva i sin rådgivning att det innebär ett försämrat säkerhetsskydd. Utredningen stannade för bedömningen att det inte fanns tillräckliga skäl för att förändra tillsynens inriktning och genomförande. Utredningen lade däremot fram vissa förslag om ändringar i fråga om placeringen av tillsynsansvaret, bl.a. att MSB skulle ta över tillsynsansvaret för kommuner och landsting från Säkerhetspolisen och även länsstyrel- sernas ansvar för enskilda verksamheter som inte ligger under någon annan myndighets tillsynsområde. Förslaget beträffande MSB fick ett blandat mottagande i samband med remitteringen av betänkandet. Regeringens proposition 2017/18:89 Ett modernt och stärkt skydd för säkerhet – ny säkerhetsskyddslag I propositionen 2017/18:89 Ett modernt och stärkt skydd för säkerhet – ny säkerhetsskyddslag noterades att ansvaret för tillsyn en- ligt säkerhetsskyddslagen är uppdelat mellan flera myndigheter. I propositionen framhölls att behovet är stort av ett förbättrat säkerhetsskydd hos såväl offentliga som enskilda verksamhetsutövare. Nationell myndighet för cybersäkerhetscertifiering Den nya säkerhetsskyddslagen utvidgar i viss mån kraven på offent- liga aktörer och kommer också på ett tydligare sätt att omfatta en- skilda verksamheter. Det är svårt att förutsäga hur många enskilda verksamhetsutövare som kommer att vara skyldiga att tillämpa lag- stiftningen. Det kan dock konstateras att antalet verksamheter som har betydelse för säkerhet, och som drivs i enskild regi, har ökat i takt med privatiseringen av offentlig verksamhet. Det innebär sammantaget med den snabba digitaliseringen av samhället att det kan antas att verksamheter med central betydelse för säkerhet även kommer att drivas av enskilda aktörer. Att tillsynen över såväl offentliga som enskilda verksamhetsutövare även fram- över fungerar på ett tillfredsställande sätt är därför mycket angeläget. I propositionen framhölls att en ny säkerhetsskyddslag bör kom- pletteras med en möjlighet att utfärda sanktioner mot aktörer som brister i sitt säkerhetsskyddsarbete. När det gäller frågan om tillsyn finns anledning att på nytt utreda vilka myndigheter som bör ha upp- gifter att utöva tillsyn enligt säkerhetsskyddslagen. Även ett infö- rande av sanktionsmöjligheter medför ett behov av att se över till- synsstrukturen eftersom det också innebär att tillsynens karaktär behöver förändras från dagens inriktning mot rådgivning och stöd till tillsyn i en mer traditionell mening. Kompletteringar till den nya säkerhetsskyddslagen (SOU 2018:82) I betänkandet Kompletteringar till den nya säkerhetsskyddslagen (SOU 2018:82) lämnar utredningen förslag på en utökad tillsyn över säkerhetskänslig verksamhet. Utredningen fann att det finns brister när det gäller tillsynsverksamheten och regleringen av tillsynen på säkerhetsskyddsområdet. Utredningen menade att det inte är defini- erat och avgränsat vad tillsynen syftar till och avser. Ingen myndig- het har en samlad bild över tillsynen. Vidare saknas det reglering om hur tillsynsmyndigheterna ska utbyta hotinformation med Säker- hetspolisen och Försvarsmakten. Utredningen bedömde att själva till- synen har bedrivits i alltför begränsad omfattning. Vidare an- såg utredningen att tillsynsmyndigheterna saknar de befogenheter som krävs för att de ska kunna genomföra en effektiv tillsyn och åstadkomma rättelse. Tillsynskompetensen behöver också öka hos många tillsynsmyndigheter och det behöver skapas en överblick över Nationell myndighet för cybersäkerhetscertifiering vilka tillsynsobjekt som finns inom respektive tillsynsområde. Betän- kandet har remissbehandlats och är föremål för beredning i . Det ingår utredningens uppdrag att beakta den fortsatta beredningen av betänkandet. 8.4.3Nationell myndighet med ansvar för tillsyn Förslag: () ska vara nationell myn- dighet för cybersäkerhetscertifiering enligt artikel 58 i EU:s cyber- säkerhetsakt. Myndigheten ska fullgöra de tillsynsuppgifter som följer av artikel 58.7. Bedömning: Regeringen kan meddela de verkställighetsföreskrif- ter som behövs för genomförandet av tillsynsverksamheten enligt artikel 58.7. FMV bör organisera tillsynsfunktionen i myndigheten så att kraven på oberoende enligt EU:s cybersäkerhetsakt uppnås. I artikel 58 i EU:s cybersäkerhetsakt anges att medlemsstaterna bör kunna utse mer än en nationell myndighet med ansvar för att utföra uppgifter som rör kontroll och övervakning av det europeiska ram- verket för cybersäkerhetscertifiering. Medlemsstaterna får vid behov använda eller anpassa organisationsstrukturer vid genomförandet av cybersäkerhetsakten. Cybersäkerhetscertifiering av IKT-produkter, -tjänster och -pro- cesser med stöd av EU:s cybersäkerhetsakt tar sikte på att förebygga eller minska allvarliga konsekvenser till följd av hot och angrepp mot system för informations- och cybersäkerhet som finns inom alla sam- hällets områden, bl.a. inom samhällsviktiga verksamheter och säker- hetskänslig verksamhet. EU:s cybersäkerhetsakt är utformad på ett sätt som ger den verk- samhetsansvarige ett stort ansvar och bedömningsutrymme i fråga om såväl regelverkets tillämplighet som att bestämma hur verksam- heten ska bedrivas för att möta kraven i regleringen. Det kan med- föra utmaningar i fråga om möjligheter att ingripa, som förutsätter Nationell myndighet för cybersäkerhetscertifiering tydlighet om vilka brister som behöver åtgärdas. Ett annat förhål- lande som är viktigt att beakta är att lagstiftningens karaktär medför att det kan finnas ett stort behov av vägledning och stöd till de verk- samheter som har att tillämpa cybersäkerhetsakten och europeiska cybersäkerhetsordningar. Särskilt i förhållande till företag, bl.a. till- verkare och leverantörer, men även organ för bedömning av över- ensstämmelse, kan finnas ett större behov av råd och stöd vid regel- verkets tillämpning. Det behovet kan dessutom komma att öka i de fall europeiska ordningar som föreskriver tvingande cybersäkerhets- certifiering kommer att införas. Mot den bakgrunden kan det antas att cybersäkerhetsaktens genom- slag kan komma att vara beroende av om de myndigheter som har ett särskilt ansvar för certifiering och tillsyn på olika sätt kan i en till- räcklig omfattning vägleda och stödja berörda aktörer i deras verk- samhet. Utredningen anser att till en början bör en förebyggande inrikt- ning i tillsynsarbetet ske. Flera av experterna i utredningen har också framhållit att det är viktigt att tillsynen utgår från samverkan och ger utrymme för en dialog mellan myndighet och den verksamhet som berörs av tillsynen. Det är utredningens bedömning det inom det nu aktuella tillsynsområdet är viktigt att det finns goda förutsättningar för samverkan mellan myndigheter och enskilda verksamheter. Om brister i verksamheten kan medföra åtgärder som till exempel var- ningar och vitessanktionerade åtgärdsförelägganden, kan det minska benägenheten att på eget initiativ ta upp brister med den myndighet som kontrollerar att kraven på området för cybersäkerhetscertifier- ing efterlevs. Det kan medföra en risk att sådana inslag skulle kunna medföra att värdefullt erfarenhetsutbyte, till exempel i fråga om säker- hetshot mellan de verksamheter som kontrolleras och den myndig- het som utövar tillsynen motverkas. Även vilken form av verksamhet som tillsynen riktas mot bör beaktas i sammanhanget. De tillsynsobjekt och verksamheter som kan komma att beröras av tillsynen är främst de som utfärdar EU- försäkran om överensstämmelse eller europeiska cybersäkerhetscer- tifikat, dvs. tillverkare och leverantörer samt organ för bedömning av överensstämmelse av IKT-produkter, -tjänster och -processer. De aktörer som berörs finns inom många olika branscher och verksam- hetsområden. Aktörerna utgörs av stora, medelstora och små före- tag, som i egenskap av tillverkare eller leverantör tillhandahåller an- Nationell myndighet för cybersäkerhetscertifiering givna produkter, tjänster och processer på marknaden. Organ för bedömning kan utgöras av en nationell myndighet eller företag på marknaden. Det rör sig således om aktörer i verksamheter med olika inriktning och karaktär inom en rad olika områden för informations- och cybersäkerhet. Detta talar också för att ha en enhetlig tillsyn i syfte att uppnå stabilitet och samsyn inom tillsynsverksamheten på området. Inte bara bred och djup kunskap om cybersäkerhetscertifiering och informations- och cybersäkerhetsäkerhet är viktiga komponen- ter för en tillsynsmyndighet utan även djup och bred erfarenhet av informationssäkerhet inom olika samhällsområden bör tillmätas stor betydelse. Härtill kommer att myndigheten också ska ha tillräcklig kunskap och förståelse för verksamhet som faller inom det euro- peiska ramverkets tillämpningsområde. En annan faktor som ska beaktas när man bedömer hur ett tillsyns- system ska utformas är vilka risker som eventuella regelöverträdelser kan komma att medföra.