sou · H9B363 · 2021-07-02 00:00:00 — dels att det ska införas ett nytt kapitel, 3 a kap., och en ny para- graf, 7 kap. 2 a §, av följande lydelse. Skyldigheter inför driftsättning av informationssystem 1 § Innan ett informationssystem som har betydelse för säkerhets- känslig verksamhet tas i drift, eller i väsentliga avseenden förändras, ska verksamhetsutövaren genom en särskild säkerhetsskyddsbedöm- ning ta ställning till vilka säkerhetskrav i informationssystemet som är motiverade och se till att säkerhetsskyddet utformas så att dessa krav tillgodoses. Med utgångspunkt i den särskilda säkerhetsskyddsbedömningen och övriga omständigheter ska verksamhetsutövaren pröva om drift- sättningen eller förändringen av informationssystemet är lämplig från säkerhetsskyddssynpunkt. Verksamhetsutövaren ska också samråda enligt 2 §. Den särskilda säkerhetsskyddsbedömningen och lämplighetspröv- ningen ska dokumenteras. Om lämplighetsprövningen leder till bedömningen att det plane- rade förfarandet är olämpligt från säkerhetsskyddssynpunkt, får det inte inledas. 2 § Om lämplighetsprövningen enligt 1 § leder till bedömningen att det planerade förfarandet inte är olämpligt från säkerhetsskydds- synpunkt, ska verksamhetsutövaren samråda med den myndighet som regeringen bestämmer (samrådsmyndigheten), innan ett informations- system som kan förutses komma att behandla säkerhetsskyddsklassi- ficerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre tas i drift, eller i väsentliga avseenden förändras. Samrådsskyldigheten gäller även i fråga om andra informations- system än sådana som anges i första stycket, om obehörig åtkomst till systemen kan medföra en skada för säkerhet som inte är obetydlig. får besluta att förelägga verksamhetsutöva- ren att vidta åtgärder enligt denna lag och föreskrifter som har med- delats i anslutning till lagen. 3 § Om verksamhetsutövaren inte samråder med samrådsmyndig- heten trots att det finns en skyldighet att göra det, får samrådsmyn- digheten inleda samrådet. 4 § Ett informationssystem som ska användas i säkerhetskänslig verksamhet får inte tas i drift förrän det har godkänts från säkerhets- skyddssynpunkt av verksamhetsutövaren. Godkännandet ska doku- menteras. 5 § Om ett beslut om föreläggande enligt 2 § inte följs eller om det planerade förfarandet är olämpligt från säkerhetsskyddssynpunkt även om ytterligare åtgärder vidtas, får samrådsmyndigheten besluta att driftsättningen eller förändringen av informationssystemet inte får genomföras (förbud). omfattning som det behövs för omfattning som det behövs för tillsynen rätt att få tillträde till tillsynen rätt att få tillgång till områden, lokaler och andra ut- En sanktionsavgift ska be- talas till samråds- eller tillsyns- myndigheten från det att beslutet om att ta ut av- giften har fått laga kraft eller inom den som anges i beslutet. rymmen, dock inte bostäder, som används i verksamhet som omfattas av tillsyn. får be- sluta att förelägga den som står under tillsyn att tillhandahålla information och ge tillträde en- ligt 2 och 3 §§. Ett sådant beslut om föreläggande får förenas med vite. till områden, lokaler och andra utrymmen, dock inte bostäder, som används i verksamhet som omfattas av tillsyn. får be- sluta att förelägga den som står under tillsyn att tillhandahålla information och ge tillgång eller tillträde enligt 2 och 3 §§. Ett sådant beslut om föreläggande får förenas med vite. 2 a § får be- sluta att ta ut en sanktionsavgift av en verksamhetsutövare som 1. har åsidosatt sin skyldighet enligt 3 a kap. 2 § första och andra stycket, 2. har driftsatt eller förändrat ett informationssystem i strid med ett förbud som har meddelats med stöd av 3 a kap. 5 §, eller 3. har lämnat oriktiga upp- gifter i samband med samråd en- ligt 3 a kap. 2 §. En sanktionsavgift ska be- talas till tillsynsmyndigheten från det att be- slutet om att ta ut avgiften har fått laga kraft eller inom den som anges i beslutet. Om sanktionsavgiften inte betalas inom den tid som anges i första stycket, ska myndigheten lämna den obetalda avgiften för indrivning. Bestämmelser om indrivning finns i lagen (1993:891) om indrivning av statliga fordringar m.m. Vid indrivning får verk- ställighet ske enligt utsökningsbalken. En sanktionsavgift tillfaller staten. Beslut om föreläggande enligt Beslut om föreläggande enligt 4 kap. 9 och 15 §§ och 6 kap. 4 och 3 a kap. 2 §, 4 kap. 9 och 15 §§ och 6 §§ eller sanktionsavgift enligt 6 kap. 4 och 6 §§ eller sanktions- 7 kap. 1 och 2 §§ får överklagas avgift enligt 7 kap. 1, 2 och 2 a §§ till Förvaltningsrätten i . eller beslut om förbud enligt 3 a kap. När ett sådant beslut överklagas 5 § får överklagas till Förvalt- är tillsynsmyndigheten motpart. Prövningstillstånd krävs vid över- sådant beslut överklagas är sam- klagande till kammarrätten. vid överklagande till kammar- Beslut om förbud enligt 4 kap. 11, 17 och 18 §§ och föreläggande enligt 4 kap. 12 och 19 §§ får överklagas till regeringen. Andra beslut enligt denna lag får inte överklagas. 1.Denna lag träder i kraft . 2.Äldre föreskrifter gäller fortfarande för ärenden om samråd som har inletts före ikraftträdandet. 3.En sanktionsavgift enligt 7 kap. 2 a § får beslutas endast för överträdelser som skett efter ikraftträdandet. 1.2Förslag till förordning om ändring i säkerhetsskyddsförordningen (2018:658) Härigenom föreskrivs i fråga om säkerhetsskyddsförordningen (2018:658) dels att 3 kap. 1 § ska ha följande lydelse, dels att 3 kap. 2 och 3 §§ ska upphöra att gälla. som har betydelse för säkerhets- makten är samrådsmyndigheter en- känslig verksamhet tas i drift ska ligt säkerhetsskyddslagen (2018:585) inom sina respektive tillsynsom- ta ställning till vilka säkerhetskrav i systemet som är motiverade och se till att säkerhetsskyddet utformas så att dessa krav tillgodoses. Denna förordning träder i kraft . uppdrag består av två delar, dels att ana- lysera och lämna förslag på kompletterande nationella bestämmelser till EU: cybersäkerhetsakt, dels överväga om det finns behov av att stärka säkerheten i nätverks- och informationssystem i säkerhets- känslig verksamhet. Uppdragets första del har fullgjorts i och med att delbetänkandet EU:s cybersäkerhetsakt – kompletterande nationella bestämmelser om cybersäkerhetscertifiering (SOU 2020:58) överlämnades till statsrådet , Försvarsdepartementet, . I detta slutbetänkande behandlas uppdragets andra del, dvs. över- väganden och förslag när det gäller frågan om det finns behov av att stärka säkerheten i nätverks- och informationssystem i säkerhets- känslig verksamhet. Digitaliseringen beskrivs som vår tids starkaste förändringsfaktor och innebär att en allt större andel av aktiviteterna i samhället är bero- ende av nätverks- och informationssystem som används av myndig- heter, organisationer, företag och privatpersoner. Den digitala utveck- lingen ger stora möjligheter att förbättra och effektivisera människors vardag och olika verksamheter. Digitaliseringen har skapat nya for- mer av kommunikation, datahantering och datalagring. bygger många system för att hantera information huvudsakligen på digital informations- och kommunikationsteknologi (IKT). Med den tilltagande digitaliseringen och globaliseringen, som ökar beroenden över nations-, sektors- och ansvarsgränser, har följt en ökad betoning på cyberfrågor i samhället. säkerhetsarbete, av såväl offentliga som privata aktörer, ses som nöd- vändigt vid digitaliseringsprocesser för att samhället ska kunna fun- gera och utvecklas i linje med de mål som finns inom olika politikom- råden. som allt fler länder utvecklar strategier, doktriner och förmågor inom cyberområdet ökar förekomsten av cyberattacker mot olika intressen och verksamheter. Hoten kan utgöras av politiskt, ekonomiskt och brottsligt motiverade angrepp, men även oavsiktliga incidenter som påverkar cybersäkerheten ökar. Den kraftiga tillväx- ten av bl.a. sakernas internet (IoT), molnet (cloud) och stordata () medför större utsatthet för säkerhetsbrister. Cyberangrepp och -incidenter kan störa tillhandahållandet av nöd- vändiga tjänster som elektricitet, vatten, hälso- och sjukvård, mobila tjänster, m.m. Möjligheterna till påverkan i nätverks- och informa- tionssystem i demokratiska valprocesser och desinformationskam- panjer är också en utmaning. Genom att samhället och människorna blir alltmer beroende av digital infrastruktur och tjänster genom an- slutna enheter och utbredd uppkoppling till internet ökar sårbar- heten mot cyberattacker till alltmer oroande nivåer. Vidare finns en ökad hotbild avseende antagonistiska aktörer med hög förmåga till cyberattacker. Vikten av fullgod informations- och cybersäkerhet ökar därför i motsvarande grad. Det europeiska ramverket för cybersäkerhetscertifiering EU har antagit ett antal strategier, policys och förordningar för att stärka cybersäkerheten i unionen och medlemsstaterna.1 Europaparla- mentets och rådets förordning (EU) 2019/881 av om (Europeiska unionens cybersäkerhetsbyrå) och om cyber- säkerhetscertifiering av informations- och kommunikationsteknik och om upphävande av förordning (EU) nr 526/2013 (cybersäkerhets- akten) trädde i kraft . Förordningen började tillämpas direkt med undantag för vissa artiklar som kräver kompletterande bestämmelser på nationell nivå och som därför ska börja tillämpas . Det huvudsakliga syftet med förordningen är att 1En närmare redogörelse för EU:s strategier och policy finns i utredningens delbetänkande EU:s cybersäkerhetsakt – kompletterande nationella bestämmelser om cybersäkerhetscertifiering (SOU 2020:58). uppnå en hög nivå i fråga om cybersäkerhet, cyberresiliens och förtro- ende inom unionen och säkerställa en väl fungerande inre marknad. för cybersäkerhetscertifiering, dvs. EU:s cyber- säkerhetsakt och de genomförandeakter som utfärdas med stöd av cybersäkerhetsakten, kommer att reglera den cybersäkerhetscerti- fiering som följer av en europeisk certifieringsordning för cyber- säkerhetscertifiering som fastställts av kommissionen. Cybersäker- hetsakten är en EU-förordning vars bestämmelser har direkt effekt och tillämpning i medlemsstaten samt ger utrymme för medlems- staten att besluta om kompletterande nationell lagstiftning och annan författningsreglering. Utgångspunkten kommer att vara att certifieringen även i fram- tiden ska vara frivillig, oavsett om en europeisk ordning för cyber- säkerhetscertifiering finns på plats eller inte. Detta är dock upp till varje medlemsstat att bestämma. Den största skillnaden är att när en sådan europeisk ordning för cybersäkerhetscertifiering finns på plats, får inte längre nationella cybersäkerhetscertifieringar utföras inom det område som täcks av den europeiska ordningen för cybersäker- hetscertifiering. Förordningen innebär också att när en europeisk ordning för cybersäkerhetscertifiering ska användas reglerar förord- ningen vilka krav som ställs på certifieringen, certifieringsorganen och de leverantörer och producenter som innehar ett sådant certifikat. Utredningens uppdrag i den första delen har varit att föreslå de anpassningar och kompletterande nationella författningsbestämmel- ser som EU:s cybersäkerhetsakt ger anledning till och som behöver finnas på plats när hela förordningen i sin helhet börjar tillämpas . I uppdraget har ingått att överväga och föreslå vilken befintlig nationell myndighet som ska utses att fullgöra de uppgifter och tilldelas de ansvarsområden som följer av EU:s cybersäkerhets- akt, bl.a. uppdraget att utöva tillsyn över efterlevnaden av det euro- peiska ramverket för cybersäkerhetscertifiering. Det har även ingått att undersöka vilka kompletterande nationella bestämmelser, bl.a. processuella bestämmelser och bestämmelser om sanktioner, som förordningen kräver eller som det annars finns anledning att införa. Regeringen har efter remissbehandling av utredningens delbetän- kande i proposition 2020/21:186 Kompletterande bestämmelser till EU:s cybersäkerhetsakt lämnat förslag på en ny lag med komplette- rande bestämmelser till EU:s cybersäkerhetsakt. I den föreslagna lagen finns kompletterande bestämmelser till EU:s cybersäkerhetsakt, bl.a. om nationell myndighet för cybersäkerhetscertifiering, vissa hand- läggningsregler vid cybersäkerhetscertifiering, tillsyn och sanktioner. Den nya lagen föreslås träda i kraft . har beslutat i enlighet med vad som föreslås i propositionen. I utredningsdirektivet konstateras att åtgärder för att skydda natio- nell säkerhet faller utanför EU:s kompetens (art. 4.2 ). I artikel 1.2 i EU:s cybersäkerhetsakt anges också att förordningen inte ska påverka medlemsstaternas befogenheter i fråga om nät- och informationssäkerhet, särskilt inte verksamhet som bl.a. berör allmän säkerhet och försvar. framhålls i direktivet att särskilda krav på säkerhet måste kunna ställas på nät- och informationssystem för att skydda nationell säkerhet. Säkerhetsskyddslagen (2018:585) gäller för den som till någon del bedriver verksamhet som är av betydelse för säkerhet eller som omfattas av ett för förplik- tande internationellt åtagande om säkerhetsskydd (säkerhetskänslig verksamhet). För nätverks- och informationssystem som används i eller har be- tydelse för säkerhetskänslig verksamhet finns särskilda krav i säker- hetsskyddsförordningen (2018:658). Det rör sig bl.a. om förberedande åtgärder inför driftsättning av nätverks- och informationssystem och om säkerhetskrav som kontinuerligt ställs på dessa system. Be- stämmelserna innehåller även krav på samråd med Säkerhetspolisen eller Försvarsmakten i vissa fall. Detta gäller för nätverks- och infor- mationssystem som kan komma att behandla säkerhetsskyddsklas- sificerade uppgifter av visst slag och informationssystem där obehörig åtkomst till systemen kan medföra en skada för säkerhet som inte är obetydlig. Bestämmelserna innebär att det är verksam- hetsutövaren som ansvarar för att se till att nätverks- och informa- tionssystemen upprätthåller kraven på informationssäkerhet. Enligt direktivet finns det anledning att nu överväga om ytterli- gare krav bör införas för att säkerställa att nätverks- och informations- system som ska användas i säkerhetskänslig verksamhet uppfyller de krav som behövs för att upprätthålla skyddet av sådana verksamheter. En möjlighet kan vara – enligt direktivet – att införa krav på att IKT- produkter, -tjänster och -processer i nätverks- och informations- system som ska användas i säkerhetskänslig verksamhet ska vara certi- fierade enligt särskilda certifieringsordningar som ställer krav anpas- sade för användning i säkerhetskänslig verksamhet. En kompletterande eller alternativ möjlighet är att införa krav på godkännande från en utpekad myndighet innan en sådan produkt, tjänst eller process tas i drift i säkerhetskänslig verksamhet. Utredningen ska enligt direktivet därför: –bedöma om det finns anledning att införa särskilda krav på att IKT-produkter, -tjänster och -processer som ingår i ett nätverks- och informationssystem som ska användas i säkerhetskänslig verk- samhet, ska vara certifierade enligt särskilda certifieringsordningar utformade för säkerhetskänslig verksamhet, –överväga om det finns anledning att införa krav på godkännande från en myndighet för att sådana produkter, tjänster och proces- ser ska få tas i drift i viss eller all säkerhetskänslig verksamhet, –göra en internationell jämförelse av andra länders lagstiftning som ställer särskilda krav med anledning av nationell säkerhet på IKT-produkter, -tjänster och -processer som ingår i ett nätverks- och informationssystem, –lämna förslag, förenliga med , på hur ett sådant regel- verk skulle kunna se ut, inklusive vilken eller vilka myndigheter som skulle ansvara för uppgiften och vilka sanktioner en sådan reglering bör förenas med, –lämna nödvändiga författningsförslag som behövs och är lämpliga. Utredningen ska enligt direktiven i denna del att förhålla sig till betän- kandet Kompletteringar till den nya säkerhetsskyddslagen (SOU 2018:82) som förberetts i . Regeringen har efter remissbehand- ling av betänkandet i proposition 2020/21:194 Ett starkare skydd för säkerhet föreslagit ett flertal ändringar i säkerhetsskyddslagen (2018:585).2 2Se vidare kapitel 8 och 13. Utredningen behandlar frågor och verksamheter som rör begrepp som digitalisering, cyber, informations- och cybersäkerhet, m.m. Be- grepp som informationssäkerhet, it-säkerhet och cybersäkerhet före- kommer i många olika sammanhang, såväl nationellt som internationellt. Figur 2.1 Av figuren framgår hur begreppen cybersäkerhet, it-säkerhet och informationssäkerhet förhåller sig till varandra Som framgår av delbetänkandet förekommer begreppen i såväl olika författningar som i nationella styrdokument, handlingsplaner och all- männa råd. Att begreppen används med delvis olika betydelse i olika sammanhang kan ge upphov till begreppsförvirring om vad som egentligen avses med begreppet i det sammanhang det används. Det finns skäl för att begreppen – som utredningen tidigare framhållit i delbetänkandet – i största möjliga utsträckning bör ges samma bety- delse när det tillämpas nationellt och internationellt, särskilt när det gäller det europeiska samarbetet. Det kan i detta sammanhang note- ras att EU:s cybersäkerhetsakt, som är en unionsrättslig författning som är direkt tillämplig i medlemsstaterna, innehåller definitioner av de olika begrepp som förekommer i akten, bl.a. cybersäkerhet3 och nät- verks- och informationssystem4. Eftersom cybersäkerhetsakten är direkt tillämplig på nationell nivå bör i akten förekommande begrepp och deras innebörd i största möjliga utsträckning användas även i frågor och på områden som formellt inte omfattas av aktens tillämp- ningsområde, om det inte finns skäl att använda ett annat begrepp eller ge det ett annat innehåll. Det kan då finnas skäl att begrepp kan behöva anpassas till nationella förhållanden. Ett exempel på begrepp som används i nationell reglering är begreppet informationssystem i säkerhetsskyddsförordningen, med vilket avses ett system av sam- mansatt mjuk- och hårdvara som behandlar information5. I det euro- peiska ramverket för cybersäkerhetscertifiering respektive i NIS- direktivet används begreppet nätverks- och informationssystem. I betänkandet används ett antal begrepp som är centrala för ut- redningens arbete. Några av begreppen har definierats i författning eller andra styrdokument medan andra saknar legaldefinition. Be- grepp som certifiering, informationssystem, nätverks- och informations- system samt säkerhetskänslig verksamhet förekommer i olika författ- ningar med angivande av kriterier för begreppen. Andra begrepp, bl.a. godkännande, driftsättas, nät- och informationssäkerhet samt natio- nell säkerhet, saknar i många fall dock tydliga och fastlagda defini- tioner varför de används med den betydelse som framgår av det sam- manhang som de används i betänkandet. Enligt direktivet ska utredningen analysera behovet av stärkt säkerhet inätverks- och informationssystem i säkerhetskänslig verksamhet, t.ex. överväga om ytterligare krav bör införas för att säkerställa att nät- verks- och informationssystem som ska användas i säkerhetskänslig verksamhet uppfyller de krav som behövs för att upprätthålla skyd- det av sådana verksamheter. Som ovan framgår kan en åtgärd vara att införa krav på att IKT-produkter, tjänster och processer i nätverks- och informationssystem som ska användas i säkerhetskänslig verksamhet ska vara certifierade enligt särskilda certifieringsordningar som ställer 3All verksamhet som är nödvändig för att skydda nätverks- och informationssystem, använ- dare av dessa system och andra berörda personer mot cyberhot. 4Ett nätverks- och informationssystem enligt definitionen i artikel 4.1 i direktiv (EU) 2016/1148. 55 § säkerhetsskyddsförordningen (2018:658). krav anpassade för användning i säkerhetskänslig verksamhet. En annan möjlighet är att införa krav på godkännande från en utpekad myn- dighet innan en sådan produkt, tjänst eller process tas i drift i säkerhets- känslig verksamhet. Säkerhet i nätverks- och informationssystem Utredningen kan konstatera att säkerhet i nätverks- och informations- system, oavsett om dessa finns i verksamheter som är säkerhetskäns- liga eller i annan typ av samhällsviktig verksamhet, inte endast berör säkerhet i tekniska funktioner utan graden av säkerhet definieras även av bl.a. om och hur ett systematiskt informationssystemsäkerhets- arbete bedrivs av verksamhetsutövaren och graden och omfattningen av it-säkerhetsåtgärder som verksamhetsutövaren vidtagit eller vidtar för att skydda nätverks- och informationssystemen i sin verksamhet. Det systematiska informationssäkerhetsarbetet omfattar organisa- tion, styrning, administration, tekniska åtgärder, resurstilldelning, uppföljning, m.m. Av stor betydelse för säkerhet i nätverks- och informationssystem är – utöver att alla de åtgärder vidtagits som om- fattas av ett systematiskt informationssäkerhetsarbete – att dessa även är skyddade genom olika tekniska åtgärder som säkerställer kon- fidentialitet, riktighet och tillgänglighet i systemen. Därtill kommer att nätverks- och informationssystem i olika former av samhälls- verksamheter uppställer varierande krav på organisatoriska, admini- strativa, och tekniska säkerhetsåtgärder för att uppnå fullgod säker- het i den aktuella verksamheten. Säkerhet i nätverks- och informa- tionssystem är därför beroende av både organisation, styrning, admi- nistration, resurser, mänskligt handlade och teknisk funktionalitet. Graden av säkerhet i nätverks- och informationssystem grundas således på ett antal olika förutsättningar och kriterier och för att man ska kunna anse att det föreligger en tillräcklig säkerhet i nätverks- och informationssystem i en verksamhet måste därför många olika åtgärder ha vidtagits. En analys av brister och behov av ytterligare åtgärder för att stärka säkerheten i nätverks- och informationssystem är därför såväl komplicerad som omfattande och förutsätter tillgång till ett antal olika expertresurser. Vad som utgör säkerhetskänslig verksamhet Som ovan framgår ska utredningen analysera behovet av att stärka säkerheten i nätverks- och informationssystem i säkerhetskänslig verksamhet. När det gäller nätverks- och informationssystem i säker- hetskänslig verksamhet utgör skyddsföremålet inte endast sådan in- formation (uppgifter) som omfattas av säkerhetsskyddsregleringen utan regleringen syftar även till att skydda nätverks- och information- ssystem i övrigt som är av betydelse för säkerhet, dvs. oavsett om systemen i sig innehåller säkerhetskänsliga uppgifter eller inte. Enligt direktiven är uppdraget avgränsat till nätverks- och informa- tionssystem i den säkerhetskänsliga verksamheten. Säkerhetskänslig verksamhet utgörs enligt säkerhetskyddsregleringen av sådan verksam- het som är av betydelse för säkerhet. Varken säkerhetsskydds- lagen eller den till lagen anslutande säkerhetsskyddsförordningen innehåller någon legaldefinition av vad som avses med verksamhet av betydelse för säkerhet. I lagmotiven till säkerhetsskydds- lagen, och i den utredning som låg till grund för propositionen med förslag om ny säkerhetsskyddslag kan viss vägledning fås i frågan om vilken samhällsverksamhet som kan anses ha betydelse för säkerhet och därför utgör säkerhetskänslig verksamhet enligt den angivna regleringen. I lagmotiven framhålls att utöver verksamhet inom det militära försvaret är även civil samhällsverksamhet av betydelse för säkerhet, t.ex. verksamhet som berör statsledningen, energiområdet, kommunikationer, rättsväsendet, m.m. Även viss verk- samhet inom näringslivet kan vara av betydelse för säkerhet och bedöms som säkerhetskänslig verksamhet. framhålls att det endast är sådan verksamhet som är särskild skyddsvärd som ska omfattas av regleringen, även om samhällsutvecklingen över tiden kan komma att påverka omfattningen av vilken verksamhet som ska bedömas var av betydelse för säkerhet.