mot · H9023245 · 2021-10-04 00:00:00 — En bättre digital säkerhet – stärkt cybersäkerhet för nutid och framtid ställer sig bakom det som anförs i motionen om att statsunderstödda cyberattacker bör omfattas av den solidariska säkerhetspolitiken, och detta tillkännager för regeringen. ställer sig bakom det som anförs i motionen om att tydligare än när vi blir utsatta för omfattande cyberangrepp bör uttala vilket land som står bakom när attribuering är möjlig, och detta tillkännager för regeringen. ställer sig bakom det som anförs i motionen om att ska driva på för att länderna i och inom EU alltid bör uttala stöd för och sluta upp bakom varandra vid cyberattacker och när det utsatta landet uttalar vem som är den skyldige statsaktören, och detta tillkännager för regeringen. ställer sig bakom det som anförs i motionen om att bör utveckla en tydlig politik för hur man vill se den internationella rättsordningen utvecklas inom cyberområdet, och detta tillkännager för regeringen. ställer sig bakom det som anförs i motionen om att bör driva på för att en digital Genèvekonvention skapas med tydliga normer för lagliga och olagliga aktiviteter och adekvat respons, och detta tillkännager för regeringen. ställer sig bakom det som anförs i motionen om förtroendeskapande åtgärder inom cyberområdet och tillkännager detta för regeringen. ställer sig bakom det som anförs i motionen om att EU bör få en större roll i frågor som rör standarder kring cybersäkerhet, och detta tillkännager för regeringen. ställer sig bakom det som anförs i motionen om en EU-koordineringsmekanism vid storskaliga cyberattacker och tillkännager detta för regeringen. ställer sig bakom det som anförs i motionen om digitalt katastrofteam och tillkännager detta för regeringen. ställer sig bakom det som anförs i motionen om cybervärn och tillkännager detta för regeringen. ställer sig bakom det som anförs i motionen om cybervärnpliktiga och tillkännager detta för regeringen. ställer sig bakom det som anförs i motionen om utveckling av Försvarsmaktens förmåga till både defensiva och offensiva cyberoperationer och tillkännager detta för regeringen. ställer sig bakom det som anförs i motionen om att utveckla kopplingen mellan cyberförsvar och psykologiskt försvar och tillkännager detta för regeringen. ställer sig bakom det som anförs i motionen om att tillsätta en utredning om behovet av förfogandelagstiftning inom cyberområdet som träder i kraft vid höjd beredskap eller krig och tillkännager detta för regeringen. ställer sig bakom det som anförs i motionen om att tillsätta en utredning för att se över ett eventuellt behov av att göra cyberförsvar till en egen försvarsgren och tillkännager detta för regeringen. ställer sig bakom det som anförs i motionen om att tydliggöra att PTS övergripande ansvar för kommunikation också innefattar digital kommunikation och tillkännager detta för regeringen. ställer sig bakom det som anförs i motionen om att förenkla anmälningar av cyberbrottslighet till e-anmälningar som möjliggör nationell lägesbild och hantering och tillkännager detta för regeringen. ställer sig bakom det som anförs i motionen om en översyn av resurserna till it-brottscentrum och tillkännager detta för regeringen. ställer sig bakom det som anförs i motionen om att bankerna ska införa kontrollsystem för utlandsbetalningar som avviker från det normala för att försvåra phishingbrott, och detta tillkännager för regeringen. ställer sig bakom det som anförs i motionen om och tillkännager detta för regeringen. ställer sig bakom det som anförs i motionen om att införa garantier för säkerhetsuppdateringar i digitala konsumentprodukter och tillkännager detta för regeringen. ställer sig bakom det som anförs i motionen om att tydligare kravställningar gällande funktionalitet och säkerhet behöver ställas vid upphandlingar och tillkännager detta för regeringen. ställer sig bakom det som anförs i motionen om att oberoende säkerhetsgenomgångar bör bli ett krav vid större upphandlingar och tillkännager detta för regeringen. ställer sig bakom det som anförs i motionen om att civilsamhället bör inkluderas i utvecklingen av policyer som påverkar medborgarnas digitala rättigheter och tillkännager detta för regeringen. ställer sig bakom det som anförs i motionen om att ny lagstiftning måste ta hänsyn till svensk konkurrenskraft och begränsningar bör helst tas fram inom EU-samarbetet och tillkännager detta för regeringen. ställer sig bakom det som anförs i motionen om att uppdra åt PTS att genomföra en utredning om sårbarheterna i fibernät och noder för att få en nationell lägesbild, och detta tillkännager för regeringen. ställer sig bakom det som anförs i motionen om att ta fram minimistandarder och funktionskrav för samhällsviktig verksamhet och tillkännager detta för regeringen. ställer sig bakom det som anförs i motionen om att MSB:s/Säpos rekommendationer och best practices bör utvecklas, förtydligas, anpassas och spridas så att flera olika typer av organisationer har förutsättningar att följa rekommendationerna, och detta tillkännager för regeringen. ställer sig bakom det som anförs i motionen om löpande sårbarhetstestning av kritisk infrastruktur och tillkännager detta för regeringen. ställer sig bakom det som anförs i motionen om att monopol och ”single point of failure” i den digitala infrastrukturen ska undvikas och tillkännager detta för regeringen. ställer sig bakom det som anförs i motionen om att bredda kompetensen i samhället om cybersäkerhet, hot och risker via civilsamhället och tillkännager detta för regeringen. ställer sig bakom det som anförs i motionen om behov av CSN-berättigade yrkesutbildningar, exempelvis YH-utbildningar, inom cybersäkerhet och tillkännager detta för regeringen. ställer sig bakom det som anförs i motionen om cybercampus för att stärka forskning, utbildning och innovation kring cybersäkerhet och tillkännager detta för regeringen. ställer sig bakom det som anförs i motionen om kompetensstrategier för att säkerställa en miniminivå av kunskap inom cybersäkerhet i offentlig sektor samt fördjupade och obligatoriska utbildningar för beslutsfattare och tillkännager detta för regeringen. ställer sig bakom det som anförs i motionen om behov av masterutbildningar inom cybersäkerhet och tillkännager detta för regeringen. ställer sig bakom det som anförs i motionen om traineesystem inom cybersäkerhet och tillkännager detta för regeringen. ställer sig bakom det som anförs i motionen om att bör få i uppdrag att skapa ett digitalt stödverktyg till användning vid upphandlingar för att förenkla upphandling av säkra digitala tjänster, och detta tillkännager för regeringen. ställer sig bakom det som anförs i motionen om behov av att utreda om arbete med vissa tjänster ska förutsätta certifiering av kompetens inom cybersäkerhet och tillkännager detta för regeringen. ställer sig bakom det som anförs i motionen om behov av att stödja olika initiativ för att sprida information och medvetenhet om cybersäkerhet och tillkännager detta för regeringen. ställer sig bakom det som anförs i motionen om behov av att kunskap kring cyberbrottslighet förs in i polisutbildningar på alla nivåer och tillkännager detta för regeringen. Internets roll som en arena för aktörer som utmanar svensk säkerhet bortom fredstid har blivit allt viktigare. Flera av de omedelbara hoten mot svenska intressen är digitala. Det påverkar såväl svenska företags konkurrenskraft som samhällets funktionalitet och sammanhållning. blir den kriminella ekonomin allt mer digital. Phishing och identitetsstölder drabbar allt fler. Försäljning av droger sker inte i mörka gathörn utan på darknet. På nätet blir det också allt svårare att veta vem som ligger bakom de säkerhetshotande aktiviteterna när oheliga allianser med gemensamma intressen växer fram mellan främmande makts underrättelsetjänster, kriminella nätverk och extremister. Utvecklingen har pågått , men den politiska nivån i har inte svarat upp mot utvecklingen. ska enligt regeringens strategi vara det land i världen som är bäst på att nyttja digitaliseringens möjligheter. Det är bra. Men det innebär som utgångspunkt också att vi blir det land som blir mest utsatt för digitaliseringens risker. Det ger politiken ett stort ansvar att skapa förutsättningar för en säker digitalisering av myndigheter, företag och medborgare. Medvetenhet kring frågans aktualitet, komplexitet och potentiella konsekvenser saknas på högsta politiska nivå i kommuner, regioner men också inom . Det kan ifrågasättas om en statsminister som säger att han aldrig handlat på nätet kan utgöra det ledarskap som behövs för att frågan ska komma högre upp inom . Cybersäkerhet är en fråga som hanteras på ett stort antal departement där bristande helhetsbild leder till konkurrens om resurser och mandat mellan myndigheter snarare än fokus på hur samhällsproblem ska lösas. geopolitiska läge och starka innovationskraft gör oss till ett utsatt land. Till de stora underrättelsehoten brukar , och pekas ut av Säkerhetspolisen. Men oavsett om det är en stat eller en kriminell gruppering som ligger bakom attacken är det lätt för individer, företag och myndigheter att bli drabbade direkt eller indirekt. I en händelse av en större cyberkonflikt, antingen som en del av en större konventionell konflikt eller begränsad till den digitala domänen, kommer alla att bli drabbade med potentiellt mycket stora konsekvenser för vårt samhälles funktionalitet, vårt lands handlingsfrihet och enskilda individers integritet. I ett digitalt samhälle är vi beroende av digitala tjänster för välfärd och vardag. När de facto monopol som BankID inte fungerar kan du inte längre göra digitala betalningar, boka vård eller legitimera dig digitalt. Ju mer digitala vi blir desto mer sårbara blir vi . Därför måste kraven på de samhällskritiska funktionerna öka liksom att säkerhetshotande monopol måste undvikas. Kan du legitimera dig med flera tjänster är konsekvensen av en attack mot en enskild tjänst mindre. Det svåra med IT-säkerhet är inte säkerheten, utan hur den kombineras med att ha fungerande, enkla, öppna tjänster som kontinuerligt är uppkopplade till ett överkomligt pris. måste digitaliseras för att inte förlora konkurrenskraft och innovation. Men det måste ske säkert. Här har halkat efter. Det är i gränslandet mellan säkerhet och samhällsutveckling som politiska förslag kring cybersäkerhet måste balansera. Det är med den inställning som våra förslag har tagits fram. måste fortsätta vara en spjutspets för öppen handel, individuella friheter och digitala tjänster. Skyddet för vårt samhällets säkerhet, att värna befolkningens liv och hälsa, samhällets funktionalitet och grundläggande värden såsom demokrati, rättssäkerhet och mänskliga fri- och rättigheter tar sin början på den digitala arenan. Och för att klara det behövs en sköld som skyddar mot de som vill skada eller utnyttja våra friheter och vår öppenhet. En god cybersäkerhet är också en konkurrensfördel i en global digital ekonomi. Den som har en robust verksamhet som klarar att leverera även under cyberattacker vinner över den som står still. Den som kan skydda sina hemligheter behåller sina konkurrensfördelar. vill att ska ligga i framkant i den digitaliserade utvecklingen och upptrappningen vi ser på den internationella arenan påverkar alla delar av det svenska samhället. För att ska kunna möta de komplexa hoten har internationella kommitté tillsammans med ansvariga riksdagsledamöter gjort ett stort insamlingsarbete och samtalat med en lång rad av mest kunniga personer inom cyber- och informationssäkerhet från myndigheter, fristående experter och näringsliv men också internationella organisationer inom cybersäkerhet. Det har resulterat i en rapport som sedan omvandlats till denna kommittémotion utifrån de förutsättningar som gäller för motioner. Rapporten bygger på ett stort antal samtal med experter på området, liksom genomgång av litteratur kring cybersäkerhet. Det är genom dessa samtal och kunskapsinhämtning som förslagen i rapporten har arbetats fram. Därtill har vi läst och tagit till oss olika rapporter på området och satt oss in i olika fallbeskrivningar. Vår förhoppning är att våra förslag kan bidra till att göra säkrare och inleda en politisk debatt som sätter cybersäkerhet så högt på agendan som den behöver vara. Cybersäkerhet brukar ofta hanteras som en försvarsfråga, det är den också, men rapporten och förslagen tar en bredare ansats och inkluderar behov av åtgärder i hela samhället. tillväxt och säkerhet förutsätter att förmågor att hantera digitala hot ökar. Vi är redan under attack. Vi behöver ett starkare digitalt försvar. Sårbarheter och hot från främmande makt Systematisk kartläggning, underrättelser, överbelastningsattacker, cyberintrång för att få skyddsvärd information om företag, samhällsviktig verksamhet eller individer, både FRA, och försvarsberedningen konstaterar att det är de cyberattacker som utförs av statsunderstödda aktörer eller statliga aktörer som utgör de största cyberhoten mot vårt land. Syftet är att stänga ner samhällsviktig verksamhet, göra oss rädda och minska vår handlingsfrihet. Och alla drabbas; enskilda individer, små företag, stora företag, kommuner och regioner, samhällsviktig verksamhet och statlig verksamhet. cybersäkerhet måste förbättras med ett öppet och hållbart samhälle som grund. Ett cybersäkerhetscenter bestående av ett antal statliga myndigheter och cybersoldater hos Försvarsmakten räcker inte. Fler måste göra mer och tänka längre som Säkerhetspolisens chef uttryckte det när presenterar sin årsrapport . Gapet mellan digitaliseringshastigheten och utvecklingen av cybersäkerhet i behöver minska. En person med god kunskap sa under ett av våra samtal ”Den stora oron är att vi inte gör tillräckligt kvalificerat jobb på bredden i samhället.” Här finns stor anledning till oro men också möjlighet till bättring, om samhället kraftsamlar. Det är många länder som har en förmåga att utföra cyberangrepp, ofta med hög uthållighet och samordningsförmåga. Både och genomför koordinerade antagonistiska handlingar mot och kan använda sig av stora resurser för att nå sina målsättningar. Den som har tid, kompetens och resurser kan ta sig in i alla delar av internet. Och dom som gör det är andra länders säkerhetstjänster, underrättelsetjänster och försvarsmakter. Ingen skillnad görs mellan civilt och militärt, offentligt och privat. Ingen är fredad. Det betyder att alla är en potentiell måltavla. Storskaligheten i attackerna kan vara svåra att stå emot också för den bästa. För andra är attacken helt omöjliga att ens upptäcka förrän det är . De aktörer som utför dessa aktiviteter har utrikes- säkerhets- och försvarspolitiska samt ekonomiska syften med sin verksamhet och vill gynna sitt lands intressen. Försvarsberedningen skriver att konsekvenserna av ett cyberangrepp kan bli lika stora för samhällsviktig verksamhet och kritisk infrastruktur som ett konventionellt militärt angrepp. En skillnad är dock att det kan göras från distans. Genom cyberangrepp kan länderna uppnå sina syftet på ett sätt som ofta är både anonymt och förnekbart. Det är en utmaning för och andra länder att hantera eftersom det riskerar att leda till att länderna kommer undan med sina attacker. Det ökande antalet cyberattacker kan sägas vara symptom på de globala geopolitiska utmaningarna. Det är en del i den hybridkrigföring som pågår. Andra medel är påverkansoperationer, desinformation och sabotage. Det är medel som i sig får både större spridning och effekt i en digitaliserad värld. Angripande länder försöker öka det egna landets handlingsfrihet genom att angripa andra länders sårbarheter, försöka påverka förtroendet mellan ett lands ledning och dess befolkning, tillförskaffa sig information man annars inte hade haft och slå split mellan allierade länder. Komplexa beroenden gör att konsekvenserna av cyberangrepp är mycket svåröverblickbara, och därmed svårhanterliga för den som blir utsatt. Den starkes rätt, maktpolitik, har blivit viktigare på bekostnad av den nu utmanade multilaterala, regelbaserade världsordning. , ett litet export- och importberoende demokratiskt land baserat på en kunskapsekonomi, riskerar att bli en av de stora förlorarna om den regelbaserade ordningen går förlorad. Vårt lands sårbarheter och beroenden kan mycket väl redan vara kartlagt av främmande makt . Kanske har de till och med en bättre samlad uppfattning om dessa än vad våra egna myndigheter har eftersom någon samlad översyn inte gjorts av svenska myndigheter. Vi utgår som samhälle ifrån att främmande makt inte redan har ett informationsövertag över våra samlade it- och cybersårbarheter. Men det kan man på inget sätt räkna med. Men det är inte bara utländsk makt som ägnar sig åt aggressiv och subversiv verksamhet, kriminella ligor agerar allt oftare i cyberdomänen och kostar stort lidande hos enskilda utsatta. För att förbättra samhällets motståndskraft mot cyberhot på bredden i samhället vill : Se en solidarisk cybersäkerhet i en orolig värld. Stärka försvar mot cyberattacker. Se en cybersäkerhet för hela samhället där näringsliv och det offentliga arbetar tillsammans. Skydda den digitala infrastrukturen Bygga kompetens på bredden i samhället genom kraftsamling och specialiserade utbildningar både inom studieförbund och universitet och högskolor. En solidarisk cybersäkerhet i en orolig omvärld Som vi beskrivit ovan utsätts och andra länder för statsunderstödda cyberattacker med geopolitiska, ekonomiska och försvarsmässiga syften. De är ofta både anonyma och förnekbara. Det finns en uppenbar risk att länder riskerar komma undan om de vare sig avslöjas eller straffas för sina antagonistiska handlingar. Ett sätt för länder att ändå få kunskap om och kunna veta vem som ligger bakom sådana statsunderstödda cyberattacker är genom underrättelsearbete och samarbete mellan underrättelsetjänster. Men information som fås genom underrättelsearbete kan inte alltid avslöjas vilket bidrar till att det är svårt att peka ut ansvariga, även om underrättelsetjänsten vet vem som står bakom. Det finns också ett politiskt pris för den som pekar ut andra länder som skyldiga. Det finns dock exempel på länder som har gått ut och avslöjat vilket land som ligger bakom en cyberattack, nämnas kan när utsattes för en stor cyberattack där både anställdas och stortingsledamöters e-postadresser utsattes för dataintrång och stora mängder information stals. Syftet var att tillförskaffa sig information om och från norska politiker. En cyberattack som alltså riktades mot demokratins kärna vilket i sig inte är något ovanligt, också Demokraterna i har drabbats såväl som Macron i . nekade inte bara till anklagelserna utan kom också med motanklagelser, skyllde på för att försämra de bilaterala relationerna och dagen därpå genomfördes också en rysk en flygning med strategiskt bombflyg med nukleär kapacitet i . Inga EU-länder, inte heller de nordiska länderna, ställde upp bakom då de pekade ut som ansvariga, vilket lämnade dem ensamma att stå upp mot rysk aggressivitet. [1] utsattes för ytterligare ett dataintrång . saknas ett internationellt regelverk, en digital Genevekonvention, som tydliggör både vad som är acceptabla handlingar i cyberdomänen, men också vad som är en adekvat respons. Tallinmanualen ger en indikation av nuläget men ett större grepp behöver tas. När det saknas tydlighet riskerar en outtalad och icke överenskommen praxis utvecklas som inte gynnar små länders säkerhet. När internationella regler och standarder saknas blir också samarbete mellan länder svårare, både förebyggande, kapacitetsbyggande och responsivt. Mer behöver göras och allt fler länder har en uttalad syn på hur man vill att det internationella samarbetet utvecklas, vilka normer och standarder som vi vill se i ett internationellt regelverk kring cybersäkerhet. Här måste vidare steg tas, också för att ska kunna påverka och driva utvecklingen på den internationella arenan. Det saknas också förtroendeskapande mekanismer vad gäller internationellt cybersäkerhetssamarbete. Länge och har det funnits många sådana exempelvis inom nedrustningsområdet. På samma sätt som varit aktiv i det arbetet skulle vi kunna bidra aktivt till att det skapas sådana mekanismer vad gäller cybersäkerhet. Kostnaden för aggressiva statsunderstödda cyberaktiviteter mot måste höjas, och det rejält. Det är en del av vårt lands motståndskraft att kunna agera när vi och våra demokratiska grannländer utsätts, i fred, krig och allt däremellan. Den solidariska säkerhetspolitiken bör, som vi ser det, omfatta också cyberdomänen och hot och attacker som länder utsätts för på den arenan. Inte heller har en historia av att avslöja vilka länder som ligger bakom cyberattacker mot vårt land. Ett undantag är värt att notera är när Säkerhetspolisen pekade ut och GRU (ryska militära underrättelsetjänsten) för att ligga bakom cyberdataintrånget mot 2017 - 2018 där syftet var att svartmåla svenska idrottare som fuskare, och på så sätt sätta sig själv och sina egna dopade idrottare i bättre dager. Eftersom det psykologiska försvaret av börjar i avslöjandet så är det viktigt att också från politiskt håll vara tydlig med att utsätts för andra staters cyberangrepp, och att vi har en hotbild mot oss så att medborgarna kan agera utifrån känd fakta. Därtill bör övervägas om ytterligare åtgärder såsom sanktioner och diplomatiska utvisningar behövs i varje enskilt fall. Hade det funnits ett internationellt regelverk och internationella normer hade sådana beslut underlättats. bör med likasinnade inom , EU och i det transatlantiska samarbetet arbeta för en gemensam ordning så länge ett globalt regelsystem saknas. Därtill kan man tänka sig att EU på samma sätt som för exempelvis skogsbränder får till uppgift att koordinera enskilda medlemsländers expertresurser inom cyberområdet i det fall ett land utsätts för en omfattande cyberattack som de inte kan klara av själva, och landets myndigheter ber om stöd. Precis som i räddningstjänstsamarbetet inom EU (civilskyddssamarbetet) ska det vara frivilligt att både anmäla in nationella resurser och att vid varje enskilt tillfälle kunna välja om man vill bidra med dem eller inte. På samma sätt som inom civilskyddssamarbetet hade EU också kunnat ha medfinansieringsresurser för att bygga upp sådana nationella kompetenser som EU samlat saknar. skulle vid behov kunna bidra till en sådan solidarisk cyberpolitik genom att både självständigt och inom ramen för EU:s civila krishanteringsmekanism bygga upp ett världsledande digitalt katastrofteam som kan tillhanda kommunikativ infrastruktur i kriser, naturliga kriser såväl sådana som skapats av cyberangrepp, eller krig. Stärkt försvar mot cyberattacker När statsminister beordrade ÖB att Försvarsmakten skulle hålla gränsen under ubåtskrisen med grundstötningen av U137 i så hade förmågan att göra så. Någon riktig gräns går inte att hålla i cyberrymden, men en svensk statsminister måste ha medlen att på ett aktivt sätt kunna skydda kritiska svenska intressen också i den digitala arenan. Kopplingarna mellan infrastruktur, psykologiskt försvar och samhällets totala försvarsförmåga är digitala och avgörs i en digital arena där frågorna hänger ihop. attackeras digitalt, det är vi får förmågor som motsvarar hotet. behöver ha en aktiv försvarsförmåga att snabbt kunna skydda viktiga tillgångar, spåra angripare, störa angripare och slå tillbaka mot angripare. Försvarsmakten har ansvaret för detta när en statsaktör attackerar och kan genomföra både defensiva och offensiva operationer. De defensiva operationerna syftar till ett försvar av informationssystem för att förneka motståndaren tillgång till att påverka svenska nätverk. Offensiva operationer handlar om att förhindra motståndaren från att genomföra angreppen, bland annat genom att attackera motståndarens system system, eller genomföra andra aktiviteter som får motståndaren att avbryta attacken. Förmågan till bägge behöver utvecklas.