sou · H9B363 · 2021-07-02 00:00:00 — Frågan uppkommer om det finns behov av att, utöver den redan befintliga nationella certifieringsordningen för it-säkerhet i produk- ter och system13 och vad som följer genom införandet av det euro- peiska ramverket för cybersäkerhetscertifiering, även införa en sär- skild anpassad nationell certifieringsordning för IKT-produkter, -tjänster och -processer som ska användas i nätverks- och informa- tionssystem i säkerhetskänslig verksamhet. I anslutning till denna frågeställning uppkommer även frågan om certifiering enligt de ordningar som skapas inom ramen för det euro- peiska ramverket för cybersäkerhet kan/bör användas på detta om- råde och om det eventuellt föreligger behov av en kombination av sådana certifieringsordningar. 13Denna nationella certifieringsordning kan delvis eller helt komma att upphöra när mot- svarande europeiska certifieringsordningar antas inom ramen för EU:s cybersäkerhetsakt. Certifiering av nätverks- och informationssystem Utkast till reviderat NIS-direktiv Det kan i detta sammanhang noteras att det pågår ett arbete med att utveckla inom ramen för det så kallade NIS2-direktivet och som föremål för en pågående förhandling inom EU. Enligt det utkast till NIS2-direktiv som offentliggjorts kommer det att ställas betydande krav på säkerhet i nätverks- och informa- tionssystem i berörda verksamheter inom hela unionen. En fråga som då uppkommer i detta sammanhang är om det finns skäl att överväga krav på certifieringar av IKT-produkter, -tjänster och -processer i nätverks- och informationssystem i säkerhetskäns- lig verksamhet och inte analysera behovet av motsvarande krav på certifiering i verksamhet som rör samhällsviktiga och digitala tjänster (NIS2) eller kritisk infrastruktur (se nedan). Vidare uppkommer frågan om den praktiska tillämpningen av krav på säkerhet i nätverks- och informationssystem enligt NIS-lagen och säkerhetsskyddslagen. Detta kan vid en första anblick förefalla okomplicerat men det kan observeras att hos många verksamhets- utövare finns moderna nätverks- och informationssystem som är både omfattande och komplexa, eller i vissa fall mycket komplexa, sam- tidigt som olika delar av nätverks- och informationssystemen kan beröras av bl.a. olika rättsliga och tekniska krav. Det gäller t.ex. krav enligt lagen (2018:1174) om informationssäkerhet för samhällsvik- tiga och digitala tjänster och/eller säkerhetsskyddslagen (2018:585). Det kan därför ifrågasättas om inte säkerhetskraven på IKT-pro- dukter, -tjänster och -processer som tas fram inom ramen för bl.a. det europeiska ramverket för cybersäkerhetscertifiering för att an- vändas i nätverks- och informationssystem på nivån hög bör kunna användas – vid behov efter anpassning till nationella säkerhetskrav – även i säkerhetskänslig verksamhet. Utredningen vill i detta sammanhang betona vikten att det skapas förutsättningar för att det utvecklas fler certifierade IKT-produkter, -tjänster och -processer som kan användas inom ramen för alla ovan nämnda regelverk. Frågan om krav på nationell certifiering av IKT- produkter, -tjänster och -processer i nätverks- och informationssystem i säkerhetskänslig verksamhet kan därför inte behandlas eller bedö- mas avskilt från frågan om den mer allmänna nivån på informations- och cybersäkerhet i samhället generellt och särskilt vad gäller nivån Certifiering av nätverks- och informationssystem på och behovet av ökad säkerhet i verksamheter som rör samhälls- viktiga och digitala tjänster. Förslag till EU-direktiv om kritiska entiteters motståndskraft har presenterat ett förslag till och Rådets direktiv om kritiska entiteters mot- ståndskraft (COM[2020] 829 final). Syftet med förslaget är att för- bättra tillhandahållandet på den inre marknaden av tjänster som är nödvändiga för att upprätthålla centrala samhällsfunktioner eller central ekonomisk verksamhet genom att öka kritiska entiteters mot- ståndskraft som tillhandahåller sådana tjänster. Det avspeglar de upp- maningar om åtgärder som har utfärdats av rådet14 och Europa- parlamentet,15 som båda har uppmuntrat kommissionen att se över den nuvarande strategin för att bättre avspegla de ökade utmaningarna för kritiska entiteter och säkerställa en närmare överensstämmelse med direktivet om säkerhet i nätverks- och informationssystem (NIS-direktivet). Förslaget är förenligt och skapar nära synergier med det föreslagna NIS2-direktivet i syfte att ta itu med den ökade sammankopplingen mellan den fysiska och digitala världen genom en lagstiftningsram med kraftfulla åtgärder för motståndskraft för såväl cyberrelaterade som fysiska aspekter, i enlighet med strategin för EU:s säkerhetsunion. Ett syfte med det föreslagna direktivet är att införa harmonise- rade minimiregler för att säkerställa tillhandahållandet av samhälls- viktiga tjänster på den inre marknaden och öka kritiska entiteters motståndskraft. För att uppnå det målet bör medlemsstaterna iden- tifiera kritiska entiteter som bör omfattas av särskilda krav och till- syn, men också särskilt stöd och vägledning för att uppnå en hög motståndskraft mot alla relevanta risker. Därmed ska medlemssta- terna enligt förslaget säkerställa att kritiska entiteter vidtar lämpliga och proportionella tekniska och organisatoriska åtgärder för att säker- ställa sin motståndskraft samt kan genomföra säkerhetskontroller av personal. Några uttryckliga krav på certifiering anger direktivet emeller- tid inte. 14Europaparlamentets och rådets direktiv /944 av om gemensamma regler för den inre marknaden för el. 15Europaparlamentets och rådets förordning (EU) 2019/943 om den inre marknaden för el. Certifiering av nätverks- och informationssystem Behovet av nationell kravställning Utredningens experter har vidare betonat behovet och vikten av att det finns en gemensamt framtagen och fastställt nationell kravställ- ning som kan ligga till grund för evaluering och certifiering av IKT- produkter, -tjänster och -processer, särskilt på det säkerhetsskyddade området, men även som nationellt instrument inom ramen för det med EU-institutioner och andra medlemsstater gemensamma arbetet med att utveckla det europeiska ramverket för cybersäkerhetscerti- fiering. saknas en sådan kravställning som grundas på en gemen- samt framtagen hotbild, sårbarhets- och riskbedömningar och som möjliggör framtagande av adekvata skyddsprofiler i arbetet med och certifiering av IKT-produkter, -tjänster och -processer. Frågan som också uppkommer är hur arbetet med att styra, orga- nisera och resurssätta arbetet med framtagande av en kravställning ska ske, bl.a. vilken eller vilka myndigheter som ska delta och vilka andra berörda aktörer som är involveras i arbetet. Utredningen be- dömer att utgångspunkten här bör vara att det är en statlig myndig- het som får ansvaret för att utveckla och fastställa kravbilden och säkerhetskrav när det gäller säkerhetskänslig verksamhet och i övrigt på nivån hög inom ramen för det europeiska ramverket för cyber- säkerhetscertifiering. Behovet av nationell sammanställning över certifierade och rekommenderade IKT-produkter, -tjänster och -processer Utredningens experter har även påpekat att en grundläggande för- utsättning för att kunna ställa krav – vid behov med stöd av författ- ning – på att certifierade IKT-produkter, -tjänster och -processer ska användas i nätverks- och informationssystem i säkerhetskänslig verk- samhet är att det kan ske först när en utvecklad sammanställning över certifierade IKT-produkter, -tjänster och -processer är tillgänglig. Flera av utredningens experter på detta område har under utred- ningsarbetet även ifrågasatt om det kan anses föreligga tillräckliga förutsättningar för att införa en nationell särskilt anpassad ordning Certifiering av nätverks- och informationssystem med krav på certifiering av IKT-produkter, -tjänster och -processer enbart för att täcka det nationella behovet på området för säker- hetskänslig verksamhet. Bl.a. har ifrågasatts möjligheterna att natio- nellt ställa enskilda certifieringskrav för det begränsade användnings- område som det nationella området i detta sammanhang utgör. Från experthåll framhålls vidare att dessa IKT-produkter, -tjänster och -processer som eventuellt tas fram för nationella behov även måste ha en internationell räckvidd eftersom den nationella marknaden inte bedöms som tillräcklig. Det innebär att det föreligger en risk för att det kommer att saknas marknadsmässiga förutsättningar för att ta fram särlösningar för enbart nationella behov. På motsvarande sätt behöver svenska företag som tar fram olika IKT-produkter, -tjänster och -processer verka på den globala marknaden och därför även ha en internationell räckvidd. Förekomsten av certifieringsordningar i andra jämförbara länder Utredningen har genom den internationella utblicken eftersträvat att få en översiktlig bild över förekomsten av certifieringsordningar för nätverks- och informationssystem som används inom området för nationell säkerhet i andra länder. Det ska noteras att den inter- nationella utblicken och kartläggningen i allt väsentligt grundas på tillgänglig offentlig information som kunnat återfinnas på berörda myndigheters hemsidor. I syfte att kvalitetssäkra information har även skriftliga frågor ställts till myndigheterna. Mot bakgrund av att frågeställningarna rör frågor med beröring till nationell säkerhet och försvar har myndigheternas svar av naturliga skäl varit av skiftande slag och digitala möten har inte kunnat avhjälpa bristen av att på plats i olika länder kunna diskutera och inhämta information i frågor av känslig natur. Detta har medfört en begränsning av utredningens möjligheter att få ett fullgott underlag i denna del och informationen i den internationella utblicken ska bedömas mot denna bakgrund. Den internationella utblicken – med ovan angivna begränsningar –ger vid handen att det i några med jämförbara länder finns regleringar som behandlar certifiering av IKT-produkter, -tjänster och -processer i nätverk- och informationssystem som används i verksamhet som motsvarar det svenska begreppet säkerhetskänslig verksamhet eller annars rör nationell säkerhet (se kapitel 9. Certifiering av nätverks- och informationssystem I bl.a. är föreskrivet i författning att IKT-produkter, -tjäns- ter och -processer i nätverks- och informationssystem som behand- lar hemlig eller kvalificerat hemlig information eller som används i kritisk och mycket kritisk infrastruktur ska evalueras, och att evaluer- ingen kan godtas om den bl.a. certifieras av certifieringsorganet vid den norska säkerhetsmyndigheten, och godkänns ) av utpekad myn- dighet.16 I andra länder saknas helt reglering om formella krav på certi- fiering enligt en nationell certifieringsordning för nationell säkerhet även om det i flertalet fall finns krav på att sådana nätverks- och in- formationssystem ska godkännas av en myndighet. 12.5.3Inhämtade synpunkter från Säkerhetspolisen och Försvarsmakten Utredningen har begärt att Säkerhetspolisen, i egenskap av tillsyns- myndighet för den civila delen av tillämpningsområdet för säkerhets- skyddsregleringen och där behovet av ytterligare säkerhetsskydds- åtgärder för nätverks- och informationssystem framstår som mest akut, ska lämna myndighetens bedömning över ett eventuellt behov av att införa en nationell särskilt anpassad certifieringsordning för den säkerhetskänsliga verksamheten. Säkerhetspolisen, som samrått med Försvarsmakten i denna fråga, bedömer att det kan finnas både för- och nackdelar med särskilda certifieringsordningar för nätverk- och informationssystem i säker- hetskänslig verksamhet, men anser att det är oklart om fördelarna överväger, bl.a. om säkerheten skulle öka i de nät- verks- och informationssystem som certifieras. Myndigheten anser att det inte är klarlagt om certifiering är den åtgärd som skulle lösa de brister i säkerhetsskyddet som har konstaterats. Effekterna av ytter- ligare krav på certifiering av IKT-produkter, -tjänster och -processer i nätverks- och informationssystem som används i säkerhetskänslig verksamhet behöver därför utredas närmare innan en sådan reglering införs. Säkerhetspolisen pekar vidare på att det är osäkert vilken påverkan som framtida certifieringar inom ramen för det 16I exempelvis ska vissa it-system och -produkter, som är avsedda att användas i säkerhetskänslig verksamhet, certifieras enligt tekniska riktlinjer avseende särskilda funk- tionskrav. En oberoende evaluering av överensstämmelse görs baserat på de testspecifikationer som definieras i den tekniska riktlinjen. Certifiering av nätverks- och informationssystem europeiska ramverket för cybersäkerhetscertifiering kan få för möj- ligheten att stärka säkerheten i nätverks- och informationssystem. Myndigheten kommer att behöva förhålla sig till de certifieringar som kommer att utfärdas med stöd av olika certifieringsordningar enligt EU:s cybersäkerhetsakt. Detta förhållningssätt kan med för- del förtydligas genom att behöriga myndigheter inom säkerhets- skyddet i föreskrifter och genom vägledning anger hur verksamhets- utövare ska förhålla sig till och tillämpa sådana certifieringar. Säkerhetspolisen anser sammanfattningsvis att en nationell sär- skild anpassad certifieringsordning för säkerhetskänslig verksamhet inte bör tas fram och dessutom behöver frågan om effek- terna av sådan certifieringsordning på säkerheten i nätverks- och in- formationssystem utredas närmare. 12.5.4Behovet av gemensam och fastställd kravbild Flera av utredningens experter har samstämmigt framhållit att en grundläggande förutsättning för att överväga införande av en nationell särskilt anpassad ordning för certifiering av IKT-produkter, -tjänster och -processer i nätverks- och informationssystem i säkerhetskäns- lig verksamhet är att det finns en nationell, gemensam och fastställd hot-, sårbarhets- och riskbedömning. En certifiering av IKT-pro- dukter, -tjänster och -processer behöver utgå från en gemensam be- dömning som grund för det efterföljande arbetet med att ta fram gemensamma säkerhetskrav och nivåer för att kunna ta fram ade- kvata skyddsprofiler och granskningsscheman. Detta behov före- ligger såväl för arbetet med informations- och cybersäkerhet i stort i samhället och som för arbetet med att stärka säkerheten i nätverks- och informationssystem i säkerhetskänslig verksamhet. saknas dock en sådan nationell gemensam struktur för framtagning av hot-, sårbarhets och riskbedömning och en reglerad kravbild på säkerhetsnivåer och skyddsprofiler. Eftersom säkerhetshöjande effek- ter kommer ur den kravställning som ligger bakom certifieringen blir en central frågeställning i detta sammanhang hur formerna för att ta fram kravställning i samband med certifiering av IKT-produkter, -tjänster och -processer i nätverks- och informationssystem ska se ut. Utredningen anser att det är av betydande nationellt intresse att en formell struktur etableras för arbetet med att ta fram en gemen- Certifiering av nätverks- och informationssystem sam hot-, sårbarhets- och riskbedömning som kan ligga till grund för nationell kravställning och verksamhet, och som också kan an- vändas för nationella syften inom det EU-gemensamma arbetet med framställning av skyddsprofiler inom ramen för bl.a. det europeiska ramverket för cybersäkerhetscertifiering (se nedan). Formerna för arbetet med kravställning Utgångspunkten för all certifiering är att det finns krav på det som ska certifieras och en ordning för hur detta ska ske, hur gransk- ningen och evalueringen ska gå till. Detta gäller oaktat vilken typ av IKT-produkt, -tjänster eller -process det rör sig om. Hur dessa krav ut- trycks kan också variera utifrån vilken typ av verksamhet det rör sig om. En vanlig utgångspunkt är en internationell standard som tagits fram för ändamålet, t.ex. en ISO-standard som tagits fram inom ramen för . Det finns i dags- läget över 22 000 globala standarder som ISO tagit fram, bl.a. stan- darden ISO-27001 avseende informationssäkerhet. När det gäller höga krav på it-säkerhet så har arbetet internatio- nellt skett inom ramen för Common Criteria Recognition Arrange- ment (CCRA), och motsvarande överenskommelse inom , – Mutual Recogni- tion Arrangement (MRA).17 Som beskrivs i utredningens delbetänkande (SOU 2020:58) till- låts privata certifieringsorgan endast att utfärda certifikat på nivån ”grundläggande” eller ”betydande”. För nivån ”hög”, som kan anses motsvara säkerhetskraven i säkerhetskänslig verksamhet, är det den nationella myndigheten för cybersäkerhetscertifiering som är behörig.18 Med den utgångspunkten uppkommer frågan hur formerna för arbe- tet med att ta fram en nationell kravbild ska se ut och vilken eller vilka myndigheter som bör ansvara för detta arbete. 17Denna ordning beskrivs i utredningens delbetänkande EU:s cybersäkerhetsakt – komplette- rande bestämmelser om cybersäkerhetscertifiering (SOU 2020:58). Där beskrivs certifiering och betydelsen av standarder i evaluerings- och certifieringsarbetet (s. 75 ff.). 18Se avsnitt 3.5 i delbetänkandet. Certifiering av nätverks- och informationssystem och pågående arbete med kravställning Utredningen kan notera att berörda myndigheter har inom ramen för samverkan i SAMFI bedrivit olika arbeten för att ta fram gemen- samma skyddsprofiler för IKT-produkter, -tjänster och -processer. I den Nationella handlingsplanen för samhällets informationssäkerhet redogörs för arbetet och där bl.a. målet för detta anges som: Att svenska myndigheter, och andra verksamheter, ska få stöd vid upp- handling av it-säkerhetsprodukter, genom att myndigheterna i utvecklar en serie skyddsprofiler. Skyddsprofilerna utgör grund för minimikrav på säkerhetsfunktioner och granskning av sådana produkter som har stor betydelse för verksamheters informationssäkerhet.19 Den föreslagna åtgärden innebar att bl.a.: –utveckla och certifiera skyddsprofiler, –ta fram föreskrifter (MSB) med krav på it-produkternas säkerhets- egenskaper, baserade på kraven i certifierade skyddsprofiler, och –ta fram råd och anvisningar för hur verksamheter kan använda produkter som certifieras för att uppnå god informationssäkerhet. Genomförandet av arbetet med föreslagna åtgärder skulle ske enligt följande: –Arbetet med skyddsprofiler skulle genomföras av MSB med stöd av FMV/CSEC och experter från övriga myndigheter i SAMFI. –Arbetet med föreskrifter med krav på it-produkternas säkerhets- egenskaper skulle genomföras av MSB i samverkan med FMV/ CSEC och Försvarsmakten samt andra berörda aktörer. I Samlad informations- och cybersäkerhetshandlingsplan för åren 2019–2022, från de myndigheter som har ingått i SAMFI och ingår i det nationella cybersäkerhetscentret, finns föl- jande målsättningar och förslag på åtgärder: –etablera och förvalta en referenslista för it-säkerhetsprodukter där MSB i samverkan med FMV anges som ansvariga,20 19Kapitel 5.2 – Ökad användning av CC-evaluerade produkter. Certifiering av nätverks- och informationssystem –utveckla säkerhetskrav för specifika it-produkter med FMV i sam- verkan med MSB som ansvariga,21 –utveckling och anskaffning av it-säkerhetsprodukter med För- svarsmakten och FMV som ansvariga myndigheter. Utredningen kan notera att det historiska nationella arbetet kring säkerhetskrav på IKT-produkter, -tjänster och -processer har skett mer systematiskt inom ramen för Försvarsmaktens arbete och då med fokus på det egna behovet och inte primärt generella behov i övriga samhällsviktiga verksamheter. Det arbete som bedrivit utifrån samhällets mer allmänna behov har skett inom ramen för SAMFI och primärt i samarbete mellan MSB och FMV och med stöd av i första hand Försvarsmakten och FRA, vilket framkommer av de handlingsplaner för informations- och cybersäkerhet som redogörs för ovan. Utredningen kan också notera att frågan om kravställning på IKT-produkter, -tjänster och -processer för samhällsviktig verksam- het är en fråga som angivna ansvariga myndigheter för informations- och cybersäkerhet arbetat med . Det arbete som bedrivits har dock varit av begränsad omfattning vad avser det fak- tiska framtagandet av IKT-produkter, -tjänster och -processer för samhället i stort. En del av förklaringen till detta står sannolikt att finna i att arbetet tidigare bedrivits splittrat hos flera olika myndig- heter med olika ansvar för denna typ av kravställning. Därtill kom- mer att ingen myndighet haft det uttalade direkta ansvaret från reger- ingen att bedriva detta arbete samlat. Närmare om arbetet med att ta fram skyddsprofiler Det kan noteras att det arbete som bedrivits nationellt har från början utgått från CCRA och inom ramen för detta alltmer utifrån arbetet med så kallade Collaborative protection profiles (CPP). Arbete med CPP har internationellt bedrivits inom ramen för CCRA och där inom olika arbetsgrupper, s.k. International Technical Com- munities (iTC). De iTC som skapas inom ramen för arbetet i CCRA i syfte att ta fram en CPP utgörs främst av olika experter från natio- Certifiering av nätverks- och informationssystem nella myndigheter, produktleverantörer, laboratorier, och andra in- tressenter med. I har arbeten med flera olika CPP genomförts, dels har svenska aktörer deltagit i det internationella arbetet inom ramen för iTC för olika internationella CPP, därtill har ett nationellt arbete bedrivits för (), brandväggar, VoIP klienter till mobila enheter, m.m. Utgångspunkten för arbetet har varit att dessa IKT-produkter, -tjänster och -processer även ska kunna tillhandhållas på den internationella marknaden. De centrala myn- digheterna i detta arbete har främst varit FMV och MSB med stöd av Försvarsmakten, och FRA. Även Säkerhetspolisen har i viss utsträck- ning deltagit i arbetet. Utredningen bedömer att det finns förutsättningar och en god grund för att etablera en mer strukturerad nationell pro- cess för kravställning i samband med certifiering av IKT-produkter, -tjänster och -processer, bl.a. i syfte att skapa förutsättningar att kunna utveckla och få tillgång till certifierade IKT-produkter, -tjäns- ter och -processer på nivå ”hög” inom ramen för det europeiska ramverket för cybersäkerhetscertifiering. Efterhand som IKT-pro- dukter, -tjänster och -processer utvecklas av olika aktörer i närings- livet, kommer allt fler sådana certifierade IKT-produkter, -tjänster och -processer att finnas tillgängliga och som kan användas inom ramen för såväl säkerhetskänslig verksamhet enligt säkerhetsskydds- lagen (2018:585) och som lagen (2018:1174) om informationssäker- het för samhällsviktiga och digitala tjänster men även inom övrig verksamhet. Sammanfattningsvis gör utredningen bedömningen att denna typ av arbete och reglering av säkerhetsnivåer och krav måste ske i form av sammanhållet ansvar för samhällets informations- och cybersäker- het och utgå från en central instans (myndighet) med sådant ansvar. Utredningen bedömer vidare att eftersom säkerhetsmässiga sam- beroenden är utbredda inom informations- och cybersäkerhetsom- rådet pekar detta mot att gemensamma certifieringsordningar inom ramen för det europeiska ramverket för cybersäkerhetscertifiering kan komma att användas i stor utsträckning. Det medför även ett nationellt behov av att gemensamt med andra länder påverka och ta fram relevanta skyddsprofiler till grund för evaluering och certifiering av IKT-produkter, -tjänster och -processer som sker med stöd av det europeiska ramverket för cybersäkerhetscertifiering. Certifiering av nätverks- och informationssystem utbredda säkerhetsberoendet innebär att nationell säkerhet kan till- varatas genom ett aktivt nationellt deltagande i utarbetandet av gemen- samma skyddsprofiler och ett sådant samarbete innebär inte avsteg från den egna rådigheten över nationell säkerhet och försvar.