sou · H8B358 · 2020-09-30 00:00:00 — En viktig utgångspunkt för utredningens överväganden i denna del blir att identifiera de uppgifter och ansvarsområden inom om- rådet för informations- och cybersäkerhet som aktuella befintliga myndigheter har och som kan bedömas underlätta för den be- rörda myndigheten att fullgöra de uppgifter som följer av cyber- säkerhetsakten. I detta sammanhang ska beaktas den verksamhet som planeras och är under uppbyggnad i det svenska nationella cybersäkerhets- centret, vilket bl.a. har till uppgift att underlätta samverkan mellan berörda myndigheter på informations- och cybersäkerhetsområdet. Myndigheterna FMV, FRA, Försvarsmakten, MSB, Polismyndig- heten, PTS och Säkerhetspolisen förbereder etable- randet av det nationella cybersäkerhetscentret. Cybersäkerhets- centret ska stärka samlade förmåga att förebygga, upptäcka och hantera antagonistiska cyberhot mot . Centret ska även ge ett utvecklat och samordnat stöd till olika aktörer i offentlig och privat sektor om hur de kan skydda sig mot cyberattacker. Arbetet sker i form av ett gemensamt etableringsprojekt och verksamheten i centret kommer att utvecklas stegvis . I detta sammanhang bör även beaktas förslaget om att ett euro- peiskt kompetenscenter för cybersäkerhet ska inrättas och där med- lemsstaternas behöriga myndigheter kommer att erbjudas att delta. En annan utgångspunkt är att uppgifter och ansvar, t.ex. vad gäller tillsyn, inom informations- och cybersäkerhetsområdet är fördelade på flera myndigheter inom olika samhällssektorer, bl.a. gäller det NIS-direktivets tillämpningsområde och verksamhet som omfattas av regleringen om säkerhetsskydd. När det gäller frågan om förutsättningarna för att etablera en till- synsfunktion inom ramen för den nationella myndigheten för cyber- 1Även juridisk kunskap är viktig i sammanhanget, inte minst då myndigheten kommer att delta i framtagandet av genomförandeakter under cybersäkerhetsakten. Nationell myndighet för cybersäkerhetscertifiering säkerhetscertifiering bör – förutom de krav som anges i EU:s cyber- säkerhetsakt – även beaktas bl.a. de principiella uttalanden som regeringen gjort i skrivelsen 2009/10:79 En tydlig, rättssäker och effek- tiv tillsyn.2 Uppdraget i denna del innebär att utredningen ska lämna förslag på ett nationellt system med myndighetsansvar för de uppgifter som följer av cybersäkerhetsakten. Utredningen tolkar direktivens anvis- ning om att förslaget ska utgå från en befintlig myndighet som att de olika uppgifter, roller, och ansvarsområden som enligt cybersäker- hetsakten ska finnas på nationell nivå i och för sig kan fördelas på en eller flera befintliga myndigheter om det är mer ändamålsenligt och effektivt med en sådan lösning. Utredningen har i skriftlig enkät givit berörda myndig- heter möjlighet att lämna synpunkter på vilken befintlig myndighet som bör vara nationell myndighet för cybersäkerhetscertifiering och om förutsättningarna att organisera certifieringsorgan och tillsyns- funktion i samma myndighet. Utredningen har efter att skriftliga svar lämnats haft möten med berörda myndighetsledningar för att inhämta ytterligare information och synpunkter i dessa två frågor. Försvarsmakten framhåller att det finns många urvalskriterier som är av betydelse för att bedöma vilken myndighet som bör ges upp- giften att vara certifierande myndighet, bl.a. teknisk kompetens, kom- petensförsörjning och förståelse för hotbilden. Myndigheten bedömer att FMV har bäst förutsättningar att bygga och vidmakthålla den för- mågan över tiden. FMV har vidare värdefulla erfarenheter från det arbete som bedrivs . Myndigheten anser vidare att det är främst FMV respektive MSB som bör komma ifråga för uppgiften som till- synsmyndighet. Det är tveksamt om man bör samla certi- fieringsfunktion och tillsynsansvar hos samma myndighet. överväger dock fördelarna med att samla båda funktionerna i en myndighet. De två funktionerna måste dock vara autonoma och väl separerade i förhållande till varandra. 2Se även delbetänkande Statlig tillsyn – Granskning på medborgarnas uppdrag (SOU 2002:14). Nationell myndighet för cybersäkerhetscertifiering övervägs bedöms MSB vara den myndighet som har bäst förutsätt- ningar att utgöra tillsynsmyndighet. () anger att myndigheten ser flera möjliga myndigheter som kan få ansvar för cybersäkerhetscerti- fiering, även om det finns både för- och nackdelar i samtliga fall. FMV:s huvuduppdrag och kärnverksamhet är att upphandla varor och tjänster för Försvarsmaktens behov. I detta ingår produkter som är, eller kan vara, certifierade. Det finns konstitutionella utmaningar att organisera de uppgifter som följer av EU:s cybersäkerhetsakt, var och en med olika och eventuellt motstridiga verksamhetsmål, inom ramen för samma myndighet. Myndigheten ser en utmaning med att både certifieringsverksamhet och tillsyn skulle hanteras inom ramen för myndighetens organisation. Ifall en sådan konstruktion förordas bör ledning kunna hämtas från hur den militära flyginspektionen i Försvarsmakten är organiserat. Den är en fristående enhet organise- rad i Försvarsmaktens Högkvarter och lyder direkt under regeringen i frågor om tillsyn. I övriga frågor lyder militära flyginspektionen under överbefälhavaren. Verksamheten leds av en flygsäkerhetsinspek- tör.3 Om tillsynsverksamheten organiseras inom myndigheten enligt en sådan modell kan kravet på oberoende mötas. I sammanhanget kan uppmärksammas alternativet med en nämndmyndighet med myn- digheten som värdmyndighet.4 En sådan organisation skulle i större utsträckning möta krav på oberoende. Myndigheten framhåller även att myndigheten i sin roll som nationell industrisäkerhetsmyndighet är medlem i internationella forum för industrisäker- het, där det drivs gemensamt arbete med att ta fram ramverk inom cybersäkerhet för skydd av säkerhetsskyddsklassificerad informa- tion till stöd för industrin. FMV är den myndighet i som tecknar flest säkerhetsskyddsavtal, såväl nationellt som internatio- nellt, där man har cirka 1 500 säkerhetsskyddsavtal med företag, varav cirka 150 är s.k. nivå 1 avtal som omfattar drygt 2 000 registerkontrollerade anställda i företagen. En möjlig myndighet är även MSB, med sin roll som samordnande myndighet i informations- och cybersäkerhetsfrågor samt med föreskriftsrätt för statliga myn- digheter rörande informationssäkerhet. En annan möjlig myndighet 3I 21 a § förordningen (2007:1266) med instruktion för Försvarsmakten anges att när flyg- säkerhetsinspektören utövar sin tillsynsfunktion över militär luftfart är flygsäkerhetsinspek- tören inte underställd överbefälhavaren. Motsvarande reglering finns i 21 § angående Försvars- inspektören för hälsa och miljös tillsynsansvar. 418 § myndighetsförordningen (2007:515). Nationell myndighet för cybersäkerhetscertifiering är PTS som har erfarenhet av tillsynsfrågor och har även en utpekad roll när det gäller den s.k. eIDAS-förordningen, som berör certifier- ingsområdet. () framhåller att vid FMV finns redan det nationella certifieringsorganet för it-säkerhet i system och pro- dukter. Myndigheten anser att det därför är lämpligt att FMV utses till nationell myndighet för cybersäkerhetscertifiering enligt cyber- säkerhetsakten. Tillsynsfunktionen måste ha god kännedom om om- rådet för tillsynen. är det viktigt att det organ som får till uppgift att utöva tillsyn är självständigt i förhållande till den verk- samhet som tillsynen riktas mot. En förutsättning för att en myndig- het får både certifierings- och tillsynsansvaret är därför att funktio- nerna tydligt skiljs åt organisatoriskt inom myndigheten. Myndigheten för samhällsskydd och beredskap (MSB) anser att uppdraget att vara nationell myndighet för cybersäkerhetscertifiering i första hand bör i sin helhet bör ges till myndigheten. Myndigheten kan skapa positiva synergieffekter och säkerställa att resultatet av till- synsarbetet kan få direkt nytta i arbetet med att stärka samhällets in- formations- och cybersäkerhet. Myndigheten arbetar med många verk- tyg och med ett brett perspektiv på området. Arbetet inkluderar bland annat samordning och operativt arbete i enlighet med NIS-regler- ingen avseende informationssäkerhet hos leverantörer av samhälls- viktiga och digitala tjänster, samt arbetet med offentlig sektor och övrig samhällsviktig verksamhet som bedrivs vid myndigheten. Myn- digheten har en god förståelse och inblick i brister och utmaningar på informations- och cybersäkerhetsområdet vilket underlättar ett tillsynsarbete. Myndigheten driver en rad nätverk, har löpande stra- tegisk och operativ omvärldsbevakning, genomför tematiska kart- läggningar och tar emot incidentrapporter. Myndigheten driver ett intensivt arbete med att etablera en regelbunden uppföljning av in- formationssäkerhetsarbetet i offentlig sektor. Allt detta ger myndig- heten tillgång till underlag för vad ett tillsynsarbete behöver omfatta. Myndigheten har erfarenhet av att samordna den informationssäker- hetstillsyn som bedrivs inom ramen för NIS-direktivet. Dessutom har myndigheten eget tillsynsansvar inom andra områden. Myndig- heten har i och med detta byggt upp kompetens inom tillsyn och är väl insatt i hur tillsyn på informationssäkerhetsområdet bedrivs. Myndigheten har ett stort internationellt engagemang vilket under- lättar arbetet som nationell myndighet för cybersäkerhetscertifiering, Nationell myndighet för cybersäkerhetscertifiering eftersom uppgiften förutsätter god förståelse för internationellt stan- dardiseringsarbete samt innebär krav på att vara kontaktpunkt till både EU och . Myndigheten deltar inom standardiseringsarbetet på internationell och europeisk nivå. Dessutom är myndigheten natio- nell kontaktpunkt för en rad centrala samarbeten på EU nivå. Upp- giften som nationell myndighet för cybersäkerhetscertifiering förut- sätter omfattande samverkan med privata aktörer. Myndigheten har god vana av privat-offentlig samverkan inom området informations- och cybersäkerhet, bl.a. genom forum för informationsdelning om informationssäkerhet. framhåller bl.a. att FMV alternativt det nya nationella cybersäkerhetscentret är huvudkandidater till nationell myndighet för cybersäkerhetscertifiering. Centret, eller den myn- dighet som centret inryms i, bör få rollen att vara nationell myndig- het för cybersäkerhetscertifiering eftersom det krävs specialistkompe- tenser för att certifiera. Enligt kommer centret att ha etablerade kontaktytor mot exempelvis FRA, Säkerhetspolisen och MUST och genom dessa kunna erhålla relevant information om hotbild och sårbarheter i mjukvaruprodukter. Centret kommer också genom ett nära samarbete med den privata sektorn snabbt kunna fånga upp behov, feedback och annat som berör certifieringen. Post och () framhåller att myndigheten har inte en tydlig roll i fråga om certifieringsorgan och tillsynsfunktion. Myndigheten berörs dock av EU:s cybersäkerhetsakt eftersom aktö- rer som myndigheten utövar tillsyn över kan komma att omfattas av kommande europeiska certifieringsordningar.5 För myndighetens del blir de europeiska certifieringsordningarna på de områden som myn- digheten har ett tillsynsansvar av betydelse inte bara avseende certi- fieringsordningarna utan även de säkerhetsstandarder som kraven baserar sig på. Certifieringsordningarna och säkerhetsstandarderna blir relevanta vid såväl tillsyn som vid utformning av föreskrifter inom myndighetens tillsynsområden. Myndigheten bedömer att FMV/ CSEC är den myndighet som är mest lämpad att vara certifierings- organ eftersom den myndigheten redan har uppgifter på området och som har en verksamhet som är närmast de uppgifter som ska utföras. FMV/CSEC bör ha bäst förutsättningar och kortast start- 5PTS har tillsynsansvar avseende lagen (2003:389) om elektronisk kommunikation, lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster, eIDAS-för- ordningen ((EU) nr 910/2014) och säkerhetsskyddslagen (2018:585). Nationell myndighet för cybersäkerhetscertifiering sträcka för uppdraget. FMV är även den myndighet som har bäst kompetens och flest närliggande uppgifter för rollen som till- synsmyndighet. Om det går att skapa en tillsynsfunktion på FMV som är tillräckligt avskild och oberoende från såväl verksamheten som certifieringsorganisation som myndighetens övriga verksamhet som berör användning av certifierade produkter bedöms FMV vara mest lämpad även som tillsynsmyndighet. Om bedömningen är att FMV inte bör ha uppgifterna som både certifieringsorgan och till- synsmyndighet har PTS möjlighet att bygga upp en sådan tillsyns- funktion. Då det inte finns några direkta synergier med befintlig verksamhet på myndigheten skulle tillskott av resurser krävas och en längre startsträcka kan förväntas än om uppgiften läggs på FMV. Säkerhetspolisen påpekar att den nationella myndigheten för cyber- säkerhetscertifiering får ett brett uppdrag. Den myndighet som pekas ut att bli nationell myndighet behöver ha en mycket bred kompetens och hög förmåga inom ett flertal områden, framför allt inom teknik och certifiering av IKT-produkter, tjänster och processer. Det är endast FMV/CSEC som, tillsammans med FRA, har den kom- petens och förmåga som krävs för att kunna hantera uppdraget som nationell myndighet för cybersäkerhetscertifiering. En förutsättning för att ge en och samma myndighet ansvar både för certifiering och tillsyn är att funktionerna är tydligt åtskilda organisatoriskt. I övrigt ser myndigheten inte att det skulle föreligga några hinder mot att organisera certifieringsorgan och tillsynsfunktion i en och samma myndighet. () påpekar att den framtida omfattningen av den nationella myndighetens arbete är svår att upp- skatta. Däremot bör konsekvenserna av att myndigheter i alla med- lemsstater säkerställer harmoniserade cybersäkerhetskrav för infor- mations- och kommunikationsteknologi (IKT) inte underskattas. Ansvaret för it-säkerhet på angränsande områden bör övervägas vid val av myndigheter och eventuell fördelning av uppgifter. Cyber- säkerhetsaktens tillsynsfunktioner som angränsar tillsyn av säkerhets- skydd bör hanteras av tillsynsansvariga myndigheter. Cybersäkerhets- aktens tillsynsfunktioner som omfattar samhällsviktiga och digitala tjänster bör hanteras av de myndigheter som utövar tillsyn över sådana tjänster eller att möjligheter till samverkande tillsyn mellan dessa tillsynsfunktioner beaktas. För cybersäkerhetsaktens tillsyns- uppgifter bör även övervägas hur angränsningar till andra tillsyns- Nationell myndighet för cybersäkerhetscertifiering ansvar kan effektiviseras. Myndigheten föreslår därför att tillsyn som avser certifikat med hög assuransnivå och som inbegriper säkerhets- skyddsklassificerade uppgifter eller informationssystem som gäller säkerhetskänslig verksamhet bör genomföras av de myndigheter som utövar tillsyn på området. Den nationella myndigheten eller myndig- heterna bör kunna arbeta på ett sådant sätt så att nationella säkerhets- intressen inte påverkas av rapporteringskraven eller andra aspekter av certifieringsordningarna. En myndighet med ansvar för certifier- ingsordningen måste ha god förmåga att hantera de informations- säkerhetsrisker som insamlandet av information om it-system inne- bär samt en förståelse vilka antagonistiska hot som är förknippade med detta. Vidare bör det beaktas i vilken mån tillsynsmyndighetens uppdrag kan omfatta information, informationsdelning, samråd eller angränsa till ärenden om säkra kryptografiska funktioner och infor- mationssäkerhet. Genomförandet av EU:s cybersäkerhetsakt i andra länder Utredningen har i syfte att få en bild av hur EU:s cybersäkerhetsakt införs i jämförbara medlemsstater sökt information om bl.a. hur nationella myndigheter för cybersäkerhetscertifiering organiseras. Med hänsyn till den begränsade utredningstid som stått till förfog- ande och rådande omständigheter i omvärlden har utredningen haft begränsad möjlighet att göra en sedvanlig internationell utblick genom att inhämta uppgifter vid t.ex. myndighetsbesök i utlandet. Även möjligheten till sedvanlig kvalitetssäkring av erhållna uppgifter har påverkats. Utredningen har i första hand eftersökt information på berörda myndigheters officiella webbsidor. I bl.a. Finland6 och 6Den finska regeringen har lämnat en proposition till (RP 98/2020 rd) med förslag till lagändringar med anledning av EU:s cybersäkerhetsakt. I lagförslaget utnämns det natio- nella Cybersäkerhetscentret vid (Traficom) till natio- nell myndighet för cybersäkerhetscertifiering enligt cybersäkerhetsakten, både vad gäller funktionen att bevilja cybersäkerhetscertifikat på högsta assuransnivån och utövandet av till- syn. Cybersäkerhetsaktens krav på strikt åtskillnad mellan den nationella cybersäkerhetscer- tifieringsmyndighetens certifieringsverksamhet och samma myndighets tillsynsverksamhet bedöms leda till ett ökat resursbehov och kräva att Traficom omorganiseras. Den finska reger- ingen anser att de nya uppgifterna kan tilldelas den existerande organisationen, men inte att samma personer ska få bevilja certifikat på assuransnivån hög och sköta tillsynsupp- gifter rörande anmälningar om överensstämmelse och kontrollorgan. Nationell myndighet för cybersäkerhetscertifiering Nederländerna7 har förslag lämnats på kompletterande nationell lag- stiftning med anledning av EU:s cybersäkerhetsakt. 8.3.1Förslag på nationell myndighet för cybersäkerhetscertifiering Mot bakgrund av bl.a. ovan angivna utgångspunkter bedömer utred- ningen att det finns följande möjliga alternativ för hur ansvaret att lösa de angivna uppgifterna kan organiseras. •En och samma myndighet får i uppdrag att vara nationell myn- dighet för cybersäkerhetscertifiering och att etablera tillsyns- funktionen. •En myndighet får i uppdrag att vara nationell myndighet för cybersäkerhetscertifiering och en annan fristående myndighet får i uppdrag att ansvara för den nationella tillsynsfunktionen. •En ansvarig sektorsmyndighet får uppdraget att inom sin sektor vara nationell myndighet för cybersäkerhetscertifiering och även ansvara för myndighetens tillsynsfunktionen inom sektorn. När det gäller frågan om det bör vara en eller flera myndigheter som ska ansvara för angivna uppgifter och verksamhetsområden gör ut- redningen bedömningen att uppgifterna som avser omvärldsbevak- ning, samverkan och ansvar för certifieringsverksamheten bör hållas samman i en myndighet, som verksamheten förutsätter en nära samverkan med övriga berörda myndigheter med uppgifter och ansvar som berör informations- och cybersäkerhetsområdet. Frågan om den myndighet som ska vara nationell myndighet för cybersäker- hetscertifiering även bör ha ansvar för tillsynen av efterlevnaden av det europeiska ramverket för cybersäkerhetscertifiering behandlas i avsnitt 8.4. 7Regeringen i har föreslagit en ny lag för genomförande av EU:s cybersäker- hetsakt. Ministeriet för Ekonomi och Klimatpolitik föreslås utses till nationell myndighet för cybersäkerhetscertifiering. Enligt motiven till lagförslaget planerar ministeriet att lägga de uppgifter som följer av cybersäkerhetsakten på landets telestyrelse, (se /uitvoeringswetcyberbeveiligingsverordening, ). Effekti- vitetsskäl anförs till grund för införandet av samtliga funktioner i en befintlig organisation med erfarenhet av både verkställande arbete och separerad tillsynsverksamhet inom den digitala domänen. Nationell myndighet för cybersäkerhetscertifiering Vilken eller vilka befintliga nationella myndigheter som bör till- delas ansvaret att fullgöra en eller flera av uppgifterna bör grundas på de uppgifter och verksamhetsområden som aktuella myndigheter ansvarar för eller om en myndighet kan bygga upp en ända- målsenlig och kostnadseffektiv verksamhet för att lösa uppgifterna. Utredningen bedömer att med ovan angivna utgångspunkter bör uppgiften att vara nationell myndighet för cybersäkerhetscertifiering i första hand tilldelas en myndighet som redan arbetar med informa- tions- och cybersäkerhetsfrågor, och om möjligt även bedriver certi- fieringsverksamhet på området. Detta innebär att det främst är någon av de myndigheter som ingår i samverkansgruppen för informations- säkerhet (SAMFI) som kan komma ifråga för att tilldelas de upp- gifter och ansvarsområden som följer av cybersäkerhetsakten. I kapitel 2 och 5 finns en närmare redogörelse för SAMFI myn- digheternas olika roller, uppgifter och ansvarsområden inom ramen för arbetet med att utveckla och stärka informations- och cyber- säkerheten i landet. Utöver dessa myndigheter bedriver Totalför- svarets forskningsinstitut (FOI) forsknings- och utvecklingsarbete på området. Det finns även andra myndigheter som i sin verksamhet hanterar informations- och kommunikationssäkerhet, dock bedöms ingen av dessa myndigheter bedriva sådan verksamhet att de bör vara aktuella för sådana uppgifter som ska anförtros den nationella myn- digheten för cybersäkerhetscertifiering. Flera av de nu aktuella myndigheterna har utöver sina huvud - uppgifter vissa uppgifter med beröring till informations- och kom- munikationssäkerhet. Försvarsmakten, FRA, , och Polisen har sina huvudsakliga roller och ansvar inom ramen för för- svar och säkerhet och bedriver försvarsverksamhet, underrättelse- och säkerhetstjänst samt brottsbekämpning. Ingen av de sist nämnda myndigheterna, inte heller FOI, bedriver dock sådan verksam- het som medför att det framstår som naturligt eller ändamålsenligt att tilldela en eller flera av dessa myndigheter ansvar för en eller flera av de uppgifter som följer genom cybersäkerhetsaktens införande i . En eller flera av dessa myndigheter kan dock komma att be- röras av frågor som rör cybersäkerhetscertifiering, t.ex. inom ramen för den egna verksamheten eller i egenskap av tillsynsmyndighet, vilket ställer krav på samverkan på nationell nivå mellan den myn- dighet som får ansvar att vara nationell myndighet för cybersäker- Nationell myndighet för cybersäkerhetscertifiering hetscertifiering och andra berörda myndigheter. Frågan om behovet av utökad samverkan mellan myndigheterna behandlas i kapitel 13. Utredningen bedömer därför att det i första hand är FMV, MSB och PTS som kan komma i fråga som nationell myndighet för cyber- säkerhetscertifiering. FMV:s huvudsakliga uppdrag är att biträda Försvarsmakten i planer- ingen av materiel- och logistikförsörjningen och med materielsystem- kunskap. Myndigheten biträder också med kompetens när det gäller vidmakthållande och upphandling och ansvarar för upphandling av bl.a. varor och tjänster inom materielförsörjningsområdet som inte omfattas av Försvarsmaktens egna upphandlingsansvar. FMV har genom stärkt internationell samverkan bidragit till att ta fram ett ramverk för stöd till att hantera cyberhot, sårbarheter och motåtgärder, vilket kan användas av säkerhetsexperter inom både stat och näringsliv. Arbetet är ett resultat av ett samarbete inom Multi- national () som arbetar med strategier för nationell cybersäkerhet, policyer för nationell industrisäkerhet och bästa praxis i detta sammanhang. Mot bakgrund av att flera av deltagarländerna i MISWG redan har motsvarande nationella modeller uppnås dessutom harmoniering på området. FMV bedriver verksamhet som kräver bred och djup kun- skap och teknisk kompetens inom ramen för verksamhet som nationella certifieringsorgan för IT-säkerhet i produkter och system (CSEC). FMV ska enligt myndighetens instruktion i sin verksamhet verka för att uppnå och vidmakthålla internationellt erkännande för utfärdade certifikat samt vara signatär och representant inom den internationella överenskommelsen för ömsesidigt erkän- nande av certifikat (CCRA) och motsvarande överenskommelse inom (MRA). FMV ska i sin verksamhet även be- akta nationella säkerhetsintressen. FMV/CSEC har inom ramen för CCRA och den europeiska motsvarigheten SOG-IS medverkat i det fortsatta arbetet med att utveckla och effektivisera Common Criteria, där arbetet är inriktat på att främja en ökad harmonisering av kraven på it-säkerhet för specifika produktkategorier.