sou · H9B363 · 2021-07-02 00:00:00 — Utredningen kan konstatera att i begreppet säkerhetskänslig verk- samhet ligger utöver verksamhet på det militära området även en om- fattande civil samhällsverksamhet och då särskilt många verksam- heter inom det civila försvaret som, i vart fall , inte är helt enkel att avgränsa från annan verksamhet som inte utgör säkerhets- känslig verksamhet. Som framgår nedan pågår en uppbyggnad och utveckling av bl.a. det civila försvaret inom ramen för totalförsvaret och det fortsatta arbetet på området kan komma att tydliggöra den närmare avgränsningen. Arbetet i denna del av uppdraget inleddes . Utred- ningen har inledningsvis inhämtat underlag i form av offentliga ut- redningar, propositioner, faktapromemorior, nationella strategier, olika studier m.m. Utredningen har haft tre utredningssammanträden med sakkun- niga och experter. Möjligheten till sedvanliga sammanträden med sakkunniga och experter närvarande har begränsats av rådande om- ständigheter och begränsningar i förutsättningarna att hålla digitala möten för att behandla frågor som rör säkerhetskänslig verksamhet. Utredningen har dock varit angelägen om att – där det varit möjligt –ha en öppen dialog och samverka med myndigheter och andra aktörer/intressenter som på olika sätt har bedömts beröras av och ha intresse av utredningens arbete. Utredningen har därför när så förut- sättningar förelegat fortlöpande haft möten (digitala) och kontakter med olika företrädare för myndigheter och olika aktörer. Syftet har varit att både informera om utredningens arbete och att inhämta synpunkter. Utredningen har som stöd i arbetet haft flera kontakter med före- trädare för vissa närmare berörda myndigheter, bl.a. Försvarets materiel- verk, , Försvarsmakten, Myndigheten för sam- hällsskydd och beredskap, och Säkerhets- polisen. Sekretariatet har haft enskilda möten med experter i ut- redningen i syfte att inhämta fördjupad kunskap inom vissa av de sakområden som behandlas i uppdraget samt haft möten (digitala) med privata aktörer med en nära koppling till området. Utredningen har också inhämtat underlag om informations- och cybersäkerhetsverksamhet i andra länder som bedömts vara av in- tresse för utredningen. Utredningen har i enlighet med direktiven hållit sig informerad om arbetet i med betänkandet Kompletteringar till den nya säkerhetsskyddslagen (SOU 2018:82). Utredningen har samverkat med (SOU 2021:1) i frågor som har beröringspunkter med bl.a. säkerhet i nätverks- och informationssystem. Utredningen har även hållit sig uppdaterad om Utredningen om civilt försvar (Ju 2018:05) som lämnat slutbetän- kandet Struktur för ökad motståndskraft (SOU 2021:25). Utredningen har också hållit sig underrättad om utvecklingen av cybersäkerhet i EU, bl.a. vad gäller arbetet med att ta fram genom- förandeakter med stöd av EU:s cybersäkerhetsakt och arbetet med NIS2-direktivet. Utredningen har löpande hållit företrädare för Försvarsdeparte- mentet respektive informerade om utred- ningsarbetet. Det har funnits begränsningar, bl.a. av sekretesskäl, att kunna ta in ett tillräckligt detaljerat underlag från berörda verksamhetsutövare av säkerhetskänslig verksamhet. Det har påverkat förutsättningarna för att i grunden kunna analysera behovet av att kunna stärka säker- heten i nätverks- och informationssystem på området som är bety- delse för utredningsfrågorna. Härtill kommer att verksamhet som bedöms vara säkerhetskänslig och därför omfattas av regleringen om säkerhetsskydd naturligen även omfattas av sekretess i stora delar, vilket också påverkar uppdraget med att analysera behovet av att stärka säkerheten i nätverks- och informationssystem i sådan verksamhet. Utredningen har initialt i utredningsarbetet noterat förekomsten av ett relativt stort antal offentliga utredningar och rapporter som antingen haft som uppdrag att analysera frågor som berör nätverks- och informationssäkerheten hos framför allt offentliga aktörer i form av myndigheter, regioner och kommuner eller som annars inom ramen för sitt uppdrag berört dessa frågor. Det föreligger även rappor- ter som behandlar nätverks- och informationssäkerheten i närings- livet (kapitel 8 Det kan noteras att utöver de brister som kan obser- veras i mer allmänna termer och som till stor del grundas på öppna källor, bl.a. offentliga utredningar och myndigheters rapporter, om- fattas uppgifter om förekommande brister i nätverks- och informa- tionssystem i säkerhetskänslig verksamhet av sekretess, i vissa fall av kvalificerad sekretess. Utredningen gör bedömningen att en sammanställning av offent- liga utredningar och rapporter som behandlar nätverks- och infor- mationssäkerheten i samhället ger förutsättningar att kunna få en översiktlig och samlad bild av nivån på och omfattningen av säker- heten i nätverks- och informationssystem allmänt hos berörda aktörer, men även i begränsad utsträckning vad gäller säkerheten i nätverks- och informationssystem hos verksamhetsutövare som bedriver säker- hetskänslig verksamhet. Utredningens analys av brister och behovet av att stärka säker- heten i nätverks- och informationssystem i säkerhetskänslig verksam- het grundas därför till stor del på offentliga utredningar och rappor- ter på området samt inhämtade uppgifter från ett begränsat antal berörda verksamhetsutövare i förening med syn- punkter som lämnats av utredningens sakkunniga och experter. I kapitel 1 lämnas författningsförslag. I detta kapitel (2) presenteras uppdraget, definitioner, uppdragets omfattning och avgränsningar, utredningsarbetets genomförande samt betänkandets utformning. I kapitel 3 redogörs för mer centrala utgångspunkter som ligger till grund för utredningsarbetet. I kapitel 4 behandlas mer allmänna frågor om digitalisering och informations- och cybersäkerhet. I kapitel 5 redogörs för utvecklingen av hot, sårbarhet och risker inom informations- och cybersäkerhet. I kapitel 6 behandlas vissa frågor om regleringen av säkerhets- skydd i säkerhetskänslig verksamhet. I kapitel 7 lämnas en närmare beskrivning av begreppet informa- tionssäkerhet i säkerhetskänslig verksamhet. I kapitel 8 lämnas en översiktlig redogörelse för offentliga utred- ningar och rapporter som berör informations- och cybersäkerhet. I kapitel 9 redogörs översiktligt för regelsystem om informations- och cybersäkerhet i några andra länder. Del två av betänkandet innehåller utredningens överväganden och förslag (se nedan). I kapitel 10 lämnas en redogörelse för utredningens allmänna över- väganden om digitaliseringen och behoven av ökad säkerhet i nät- verks- och informationssystem. I kapitel 11 redogörs närmare för utredningens överväganden om behovet av att stärka säkerheten i nätverks- och informationssystem i säkerhetskänslig verksamhet. I kapitel 12 behandlas frågan om behov av en nationell särskilt anpassad certifieringsordning för certifiering av IKT-produkter, -tjäns- ter och -processer i nätverks- och informationssystem i säkerhets- känslig verksamhet. I kapitel 13 analyseras behovet av krav på myndighetsgodkän- nande inför driftsättning av IKT-produkter, -tjänster och -processer inom nätverks- och informationssystem i säkerhetskänslig verksam- het, dvs. system som hanterar säkerhetsskyddsklassificerade uppgifter av visst slag eller som i övrigt är av betydelse för säkerhet. I kapitel 14 behandlas frågan om tillgång till nätverks- och infor- mationssystem i samband med tillsyn. I kapitel 15 behandlas vissa processuella frågor om handläggnings- regler och överklagande av beslut. I kapitel 16 behandlas frågor om sekretess. I kapitel 17 lämnas en konsekvensbeskrivning. I kapitel 18 finns författningskommentarer. Bilagorna 1–3 innehåller kommittédirektiven. I bilaga 4 återfinns utredningens formella skrivelse med frågor till myndigheter i andra länder. I detta kapitel tar utredningen upp några av de utgångspunkter som bör beaktas i den fortsatta analysen av behovet av att stärka säker- heten i nätverks- och informationssystem i säkerhetskänslig verk- samhet. Frågan om ökad informations- och cybersäkerhet behandlas i många olika sammanhang, bl.a. i frågor som rör den mer generella utvecklingen av digitaliseringen inom olika samhällsområden. Flera av dessa samhällsområden innefattar verksamheter som bedöms vara säkerhetskänsliga eller som rör samhällsviktiga och digitala tjänster och som är beroende av säkerhet i nätverk och informationssystem i verksamheten. och regeringen har också i olika styrdokument och beslut understrukit vikten av informations- och cybersäkerhet i sam- hället allmänt och särskilt i totalförsvarets verksamhet, bl.a. i den säkerhetskänsliga verksamheten, men även i andra viktiga samhälls- verksamheter. En utgångspunkt är regeringens beslut om att inrätta ett natio- nellt cybersäkerhetscenter och de olika myndighetsuppgifter som följer av beslutet. Berörda myndigheter har även tagit fram samlad infor- mations- och cybersäkerhetsplan med beskrivning av olika åtgärder som ska genomföras för att bl.a. stärka informations- och cyber- säkerheten i samhället. Ytterligare en utgångspunkt är de olika författningar som berör informations- och cybersäkerhetsområdet samt offentliga utredningar och myndighetsrapporter som behandlar frågor om informations- och cybersäkerhet på olika områden. En annan utgångspunkt är utvecklingen av för cyber- säkerhetscertifiering och regleringen av samhällsviktiga och digitala tjänster (NIS-direktivet) samt förslaget till reviderat NIS-direktiv, s.k. NIS2-direktivet. 3.2Informations- och cybersäkerhet i olika styrdokument Frågor som rör behovet av stärkt informations- och cybersäkerhet i olika samhällsverksamheter behandlas bl.a. försvarsbeslut för perioden –20251, den nationella säkerhetsstrategin,2 den natio- nella strategin för samhällets informations- och cybersäkerhet3 samt den nationella digitaliseringsstrategin4. 3.2.1Försvarsbeslutet för perioden –2025 Regeringens försvarspolitiska proposition (prop. 2020/21:30) Total- försvar 2021–2025 behandlar, inom ramen för förslag om övergri- pande mål för totalförsvaret och nya mål för det militära respektive civila försvaret, behovet av stärkt informations- och cybersäkerhet. Verksamhetsområdet totalförsvar omfattar den verksamhet som är nödvändig för att förbereda för krig. I propositionen anges att det civila försvaret ska ha förmåga att bl.a. säkerställa de vikti- gaste samhällsfunktionerna, upprätthålla en nödvändig försörjning, bidra till det militära försvarets förmåga vid väpnat angrepp eller krig i vår omvärld, upprätthålla samhällets motståndskraft mot externa påtryckningar och bidra till att stärka försvarsviljan. Det ska även bidra till att stärka samhällets förmåga att förebygga och hantera svåra påfrestningar på samhället i fred. Vidare anges att genomförandet av den försvarspolitiska inriktningen är ett ansvar för hela samhället, och en fråga som berör samtliga politikområden. Utvecklingen av det civila försvaret kommer att förutsätta åtgärder från många aktö- rer, bl.a. statliga myndigheter, regioner och kommuner, näringsliv, frivilligorganisationer och enskilda individer. Vidare förutsätter den föreslagna utvecklingen mot en ökad militär förmåga att det civila försvaret har förmåga att ge stöd till Försvarsmakten i händelse av 2020/21:30, bet. 2020/21:FöU4, rskr. 2020/21:136. 2Nationell säkerhetsstrategi, Statsrådsberedningen, . 3Nationell strategi för samhällets informations- och cybersäkerhet, Skr. 2016/17:213. 4Regeringens skrivelse 2017/18:47 Hur blir bäst i världen på att använda digitaliser- ingens möjligheter – en skrivelse om politikens inriktning. I propositionen betonas bl.a. att cyberförsvars- förmåga ska stärkas ytterligare och att det systematiska arbetet med informations- och cybersäkerhet behöver stärkas ytterligare hos alla aktörer inom totalförsvaret. Investeringar för att stärka arbetet med säkerhetsskydd och cybersäkerhet ingår i satsningen. I propositionen konstaterar regeringen att den teknologiska utveck- lingen, utbredningen av digitala lösningar och ökade datavolymer ska- par stora möjligheter men risker och sårbarheter för sam- hället i stort och för myndigheter och andra aktörer. Sårbarheter finns i alltifrån elektroniska kommunikationer, sjö- och luftfart till elnät, industriella styrsystem och i det finansiella systemet. Även den data som genereras medför i sig såväl sårbarheter som möjligheter. Många av de system som är kritiska för att upprätthålla samhällets funktionalitet är redan i fredstid sårbara för störningar. Det pågår ständigt intrångsförsök mot internetanslutna system. I propositionen framhåller regeringen vidare att den delar För- svarsberedningens bedömning att en högre grad av nationell samord- ning behövs på cyberområdet. En viktig komponent i detta arbete är inrättandet av ett cybersäkerhetscenter, som ska ge konkret effekt på förmåga att förebygga och hantera antagonistiska hot. Centret ska, i enlighet med vad regeringen redovisar i budgetpropo- sitionen , stärka förmåga att förebygga, upptäcka och hantera antagonistiska cyberhot mot och minska sår- barheter (se nedan). I propositionen anges vidare att ett cyberangrepp kan inför eller under hela eller delar av en konflikt komplettera politiska, diploma- tiska, ekonomiska eller militära medel. Sådana angrepp kan hota en stats handlingsfrihet och ytterst dess suveränitet. Effekterna av ett antagonistiskt cyberangrepp kan få lika stora konsekvenser för sam- hällsviktiga funktioner och kritiska it-system som ett konventionellt väpnat angrepp. Regeringen konstaterar att antalet statsunderstödda cyberangrepp ökar fortlöpande och angriparnas metoder utvecklas.5 Många stater har byggt upp avsevärda resurser i syfte att kunna verka offensivt genom cyberattacker. Förutom att dessa stater utvecklar avancerade metoder och offensiva verktyg har de skapat förmåga att slå brett mot många mål och att upprätthålla uthållighet . I propositionen framhålls att förmågan att i fredstid hantera anta- gonistiska hot behöver förbättras, bl.a. vad avser cyberattacker. Sår- barheter behöver minskas och verksamheter av betydelse för säkerhet ska stärka sitt säkerhetsskydd. I detta sammanhang betonas vikten av förmågan att kunna agera samlat för att möta utmaningar och hot såväl i fred som vid höjd beredskap, bl.a. vad avser arbetet med att stärka informations- och cybersäkerheten och minska sår- barheten för att säkerställa de viktigaste samhällsfunktionerna.6 Många av de system som är kritiska för att upprätthålla samhällets funk- tionalitet är redan i fredstid sårbara för störningar. Verksamheter av betydelse för säkerhet behöver därför stärka sitt säkerhets- skydd. Det framhålls att bl.a. , och har identifierat behov av åtgärder för att stärka cybersäkerheten. Regeringen framhåller vidare att cyberförsvar bidrar till att försvåra och höja tröskeln för en aktör som överväger att angripa eller utöva påtryckningar mot eller svenska intressen. Mot bakgrund av hotbilden anser regeringen,7 att cyberförsvars- förmåga8 bör stärkas ytterligare inklusive förmågan att genomföra offensiva9 och defensiva10 operationer i cyberdomänen. Utvecklingen av offensiv och defensiv cyberförsvarsförmåga bygger på tre samver- kande delar: 5Se även 5 kap. om hotbilder, sårbarheter och risker. 6I propositionen noteras att även Försvarsberedningen anser att stärkt informations- och cybersäkerhet, ökad redundans och förbättrat säkerhetsskydd är viktigt i den fortsatta utveck- lingen (s. 148). 7Detta i likhet med Försvarsberedningens bedömning och i enlighet med vad regeringen fram- håller i budgetpropositionen . 8Cyberförsvar kan definieras som en nations samlade förmågor och åtgärder, såväl defensiva som offensiva, till skydd för dess kritiska samhällsfunktioner samt förmågan att kunna för- svara sig mot cyberangrepp från kvalificerade motståndare. 9Offensiva operationer syftar till att förhindra motståndaren att använda sina system eller att tvinga motståndaren att avbryta angrepp mot svenska system. 10Defensiva operationer syftar till att försvara informationssystem inklusive elektroniska kommunikationsnät för att på så sätt förhindra motståndare att påverka information, infor- mationssystem, datorer eller nätverk. –kunskap om hoten, –skyddsåtgärder, och I propositionen framhålls att Försvarsmakten ansvarar för offensiva cyberförsvarsförmåga. Cyberdomänen är en av flera domä- ner där myndigheten ska kunna möta ett antagonistiskt hot med stöd av andra myndigheter, t.ex. () och övriga försvarsunderrättelsemyndigheter, Säkerhetspolisen och Myn- digheten för samhällsskydd och beredskap (MSB). Det systematiska arbetet med informations- och cybersäkerhet behöver dock stärkas ytterligare hos aktörer inom totalförsvaret.11 Det finns ett betydande värde av samarbetet mellan FRA, Försvarsmakten och Säkerhets- polisen om utvecklat skydd för de mest skyddsvärda verksamheterna i mot de allvarligaste hoten. Det finns även skäl att överväga om kvalificerat stöd bör kunna lämnas även till enskilda verksamheter som är att anse som särskilt skyddsvärda. Regeringen konstaterar vidare att kvalificerad personal krävs för att långsiktigt kompetensförsörja och stärka både den offensiva och defensiva cyberförsvarsförmågan. Vidare krävs till följd av den snabba teknikutvecklingen kontinuerlig forskning och utveckling för att bidra till vidmakthållande och utveckling av cyberförsvarsförmågan. I propositionen betonar regeringen att en förutsättning för ett starkt cyberförsvar är, i enlighet med vad regeringen även framhåller i budgetpropositionen , att samtliga aktörer inom totalför- svaret har en god informations- och cybersäkerhet. Det systematiska arbetet med informations- och cybersäkerhet behöver stärkas ytter- ligare hos dessa aktörer.12 För att säkerställa en hög informations- och cybersäkerhet i totalförsvaret är det nödvändigt att informations- och cybersäkerhetsperspektivet beaktas redan i anskaffningsfasen av exempelvis nätverk och it-system. Regeringen, liksom Försvarsberedningen, understryker vikten av det förebyggande arbetet och av att öka medvetenheten såväl som 11Den cyberrelaterade hotbilden beskrivs utförligt i bl.a. Försvarsberedningens rapporter, den nationella strategin för samhällets informations- och cybersäkerhet (skr. 2016/17:213) och i flera myndigheters årsrapporter. 12Regeringen framhåller att en del i detta är en ökad rapportering av it-incidenter till MSB enligt förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap, liksom anmälan vid säkerhetshotande händelser och verksamhet till Säkerhetspolisen och Försvarsmakten enligt säkerhetsskyddsförordningen (2018:658). förmågan hos alla användare av it-system för att skapa förutsätt- ningar för utvecklingen av en säkerhetskultur i hela samhället. Regeringen framhåller även att den delar Försvarsberedningens bedömning att en god ledningsförmåga ställer krav på att metoder och infrastruktur för säkra samband fungerar även under störda för- hållanden och med beaktande av krav på sekretess. Myndigheter och organisationer med ansvar inom totalförsvaret behöver, i enlighet med vad regeringen anger i budgetpropositionen , ha till- gång till säkra och robusta kommunikationstjänster samt nätlösningar med höga säkerhetskrav som är ändamålsenliga för hantering och kommunikation av säkerhetsskyddsklassificerad information. Av särskild vikt är den it-infrastruktur som stöder verksamheten så att information kan utbytas på ett säkert och robust sätt. antogs en nationell säkerhetsstrategi som innehåller en samlad redovisning av regeringens syn på säkerhet ur ett brett per- spektiv.13 Strategin syftar till att stärka förmågan att samordnat och effektivt förebygga och möta omedelbara och långsiktiga hot och utmaningar. I strategin anges inriktningen och den utgör ett över- gripande ramverk för det arbete som krävs för att gemensamt värna säkerhet, inom och mellan olika politikområden. I strategin noteras att förutsättningarna för säkerhetsarbetet i förändras snabbt. I ökad utsträckning påverkas av vad som sker både nationellt som internationellt. De interna och externa hot som sam- hället möter bedöms vara mer komplexa än tidigare samt upp- står och förändras snabbare än . Det handlar om nya sorters hot från nya konstellationer av aktörer. Det går dock inte att förutse exakt vilka nya hot som mest sannolikt kommer att tränga sig på eller vilka strategiska vägval som kan behöva göra för att av- värja dessa. Men genom att tydligt rikta in det samlade säkerhets- arbetet mot de prioriterade områden och nationella intressen som strategin stakar ut kommer att kunna stå bättre rustat att förebygga och förhindra samt möta både dagens och morgondagens säkerhetsutmaningar.14 13Nationell säkerhetsstrategi, Statsrådsberedningen, . Strategin tar sin utgångspunkt i ett antal brett definierade mål för säkerhet och de värden som ligger till grund för dessa mål. I strategin identifieras ett antal områden där har särskilda intressen att försvara och där det behövs ett förstärkt säkerhetsarbete. Samman- taget utgör detta kärnan i den nationella säkerhetsstrategin. Digitala risker och informations- och cybersäkerhet I den nationella säkerhetsstrategin framhålls att digitaliseringen på- verkar alla delar av samhället. I stort sett hela samhället är bero- ende av fungerande it-system. Det sker en ständigt växande hanter- ing av information i elektroniska kommunikationsnät och it-system och även i industriella och andra styrsystem. It-tjänster i moderna verksamheter är ofta komplexa och utspridda. Det gäller såväl fysiskt och organisatoriskt som nationellt och globalt. Information blir i allt högre grad allmänt tillgängliga. som digitaliseringens för- delar välkomnas står det klart att de risker och hot som den är för- knippad med är några av våra mest komplexa säkerhetsutmaningar. Detta medför att hot blir svårare att upptäcka, att riskerna blir mer svårbedömda och att beroenden blir svårare att överskåda. Exempel på sådana utmaningar är antagonistiska hot såsom informationsope- rationer och elektroniska angrepp mot skyddsvärda informations- och kommunikationssystem, t.ex. i form av dataintrång, sabotage eller spionage mot bl.a. totalförsvarets verksamhet. It-angrepp för att bedöma, påverka eller störa samhällsviktiga funktioner som ett förstadium till en väpnad konflikt hör också hit. It-angrepp riskerar också att otillbörligt påverka utgången av demokratiska val. När det uppstår brister i hanteringen av information, och i synnerhet i dess säkerhet, riskerar detta att få omfattande konsekvenser både för sam- hället i stort och för enskilda invånares integritet. Tilliten till digita- liseringen kan äventyras. I strategin noteras att målet för it-politiken är att ska vara bäst i världen på att utnyttja digitaliseringens möjligheter. I strategin för den samlade digitaliseringspolitiken ska ingå att hantera den sår- barhet som ofrånkomligen följer av digitaliseringen. It-system med hög driftsäkerhet och starkt skydd mot externa attacker är av mycket stor vikt för säkerheten i samhället och för möjligheterna att hantera olika krisförlopp. En god informations- och cybersäkerhet utmärks av att samtliga aktörer känner tillit till information och dess hanter- ing på alla nivåer i samhället. Bästa möjliga förutsättningar ska skapas för alla att ta del av, ha ansvar för och känna tillit till det digitala samhället. I strategin anges vidare att för att bemästra utmaningarna inom informations- och cybersäkerhetsområdet är det viktigt att fort- löpande arbeta för att minska sårbarheter. Detta är en uppgift för alla aktörer i samhället. Förmågan att förebygga, identifiera och hantera it-incidenter och antagonistiska attacker behöver därtill förbättras inom alla samhällsviktiga funktioner. De mest skyddsvärda verksam- heterna ska dessutom svara upp mot de krav som ställs i säkerhets- skyddslagstiftningen. Arbetet med att minska sårbarheter tar sin grund i verksamhetens risk-och sårbarhetsanalys och/eller säkerhetsanalys.