sou · H9B363 · 2021-07-02 00:00:00 — säkerhet - behov av starkare skydd för nätverks- och informationssystem –behov av starkare skydd för nätverks- och informationssystem –behov av starkare skydd för nätverks- och informationssystem SOU och Ds finns på under Rättsliga dokument. Svara på remiss – hur och varför Statsrådsberedningen, SB PM 2003:2 (reviderad ). Information för dem som ska svara på remiss finns tillgänglig på regeringen.se/remisser. Layout: Kommittéservice, Tryck och remisshantering: , 2021 Regeringen beslutade att tillkalla en särskild ut- redare (dir. 2019:73) med uppdrag att lämna förslag till anpassningar och kompletterande författningsbestämmelser som EU:s cybersäker- hetsakt ger anledning till och att överväga behovet av vissa ytterligare krav på nätverks- och informationssystem till skydd för säkerhet. förordnades lagmannen som särskild utredare. Som sakkunniga förordnades rättssakkunniga , Försvarsdepartementet, ämnesrådet , Försvarsdepartementet, ämnesrådet , , departementssekreteraren , , numera kanslirådet , Infrastrukturdepartementet, numera kanslirådet , , och militärsakkunniga , Försvars- departementet. förordnades bedömningsledaren , Styrelsen för ackreditering och teknisk kontroll (Swedac), verksjuristen , Säkerhetspolisen, verk- samhetschefen , Myndigheten för samhällsskydd och beredskap (MSB), kommendör , Försvarsmakten, juristen , , director , Teknikföretagen, ordföranden för Cyberförsvarsgruppen , Säkerhets- och försvarsföretagen (SOFF), hand- läggaren , , och chefen för /CSEC Dag Ströman, , som experter i utredningen. förordnades även kanslirådet , Försvarsdepartementet, som sakkunnig i utredningen och biträdande säkerhetsskyddschefen , , som expert. entledigades som sakkunnig. Ämnes- sakkunnige , Försvarsdepartementet, förordnades som sakkunnig . förordnades som expert utredaren , Styrelsen för ackreditering och teknisk kontroll (Swedac). Som sekreterare i utredningen anställdes hov- rättsassessorn . Seniora rådgivaren anställdes som huvudsekreterare . Utredningen har tagit namnet (Fö 2019:1). Genom tilläggsdirektiv förlängdes utrednings- tiden för den del av uppdraget som avser anpassningar med anled- ning av EU:s cybersäkerhetsakt (dir. 2020:57). beslutade regeringen i tilläggsdirektiv till utredningen (dir. 2021:10) att förlänga utredningstiden för den del som avser ytterligare krav på verksamheter av betydelse för säkerhet. Utredningen överlämnade delbetänkandet EU:s cybersäkerhetsakt –kompletterande nationella bestämmelser om cybersäkerhetscertifiering (SOU 2020:58) . Härmed överlämnar utredningen slutbetänkandet säkerhet – behov av starkare skydd för nätverks- och informationssystem (SOU 2021:63). Utredningens uppdrag är därmed slutfört. 1.1Förslag till lag om ändring i säkerhetsskyddslagen (2018:585) ............................................................................... 1.2Förslag till förordning om ändring i säkerhetsskyddsförordningen (2018:658) Uppdragets andra del.............................................................. Informations- och cybersäkerhet i olika styrdokument ...... Försvarsbeslutet för perioden –2025 ............. Den nationella säkerhetsstrategin .......................... Nationell strategi för samhällets informations- Det nationella cybersäkerhetscentret.................................... 3.4Samlad informations- och cybersäkerhetshandlingsplan 2020–2023 ............................................................................... Samhällsviktiga och digitala tjänster ...................... 3.5.3Det europeiska ramverket för Regleringen avseende statliga myndigheter........... Regioner och kommuner ........................................ 3.6 Offentliga utredningar och rapporter ................................... 3.7Digitaliseringen och kraven på informations- Digitalisering och informations- och cybersäkerhet ........ Politikens mål för digitalisering............................................. Internationella jämförelser (index) ....................................... 4.6Digitalisering och informations- och cybersäkerhet Utvecklingen av hot, sårbarheter och risker ................ Hot, sårbarheter och risker .................................................. 5.3Cybersäkerhet i – Hot, metoder, brister och beroenden .................................................. Cyberangrepp mot myndigheter ......................................... Cyberangrepp mot företag ................................................... CYBERHOTEN – Så ser hotbilden och attackerna ut mot svenska teknikföretag (2019) ..................................................................... 5.5.2Cybersäkerhet – En kartläggning av nuläge 2020 och framtidsutsikter för branschen Internationellt åtagande om säkerhetsskydd ....... Vad som avses med säkerhetsskydd..................................... Särskilt säkerhetskänslig verksamhet ................... Grundläggande bestämmelser om säkerhetsskydd ............. 6.5.4Behörighet att delta i säkerhetskänslig 6.6 Särskild säkerhetsskyddsbedömning ................................... Statliga myndigheter vid upphandling.................. Inför driftsättning av informationssystem .......... Vid förändringar av hotbild eller verksamhet ...... Upphandling av myndigheter............................... Samråd avseende informationssystem ................. Samråd och information vid registerkontroll ...... Samråd avseende ytterligare föreskrifter Samråd vid sänkning av säkerhetsskyddsklass..... Roller och ansvar .................................................................. Säkerhetspolisens roll och uppgifter.................... Försvarsmaktens roll och uppgifter ..................... Närmare om verksamhetsutövarens ansvar......... Säkerhetsskyddsregleringen och NIS-direktivet ................ Indelning i säkerhetsskyddsklasser ...................... Uppgifter som omfattas av ett internationellt åtagande om säkerhetsskydd ................................ Aggregerade och ackumulerade uppgifter ........... Hantering av säkerhetsskyddsklassificerade uppgifter ...... Anteckning om säkerhetsskyddsklass ................. Märkning av lagringsmedium ............................... Hur ska informationssystemet användas? 7.5.3På vilket sätt är informationssystemet av betydelse för säkerhetskänslig verksamhet? mot andra informationssystem? 7.5.5Vilka säkerhetskrav gäller för 7.5.6Vilka säkerhetsskyddsåtgärder behöver införas i och kring informationssystemet? Allmänt om omvärldsbevakning........................... Kompetens och resursplanering ........................... Utveckling av informationssystem ...................................... Allmänt om utveckling av informationssystem... 7.7.2Behovet av process för utveckling Systemdesign och systemutveckling .................... Allmänt om arkitektur .......................................... Import och export av data..................................... Identitets- och behörighetshantering................... Intrångsskydd och intrångsdetektering ............... Granskning vid anskaffning och utveckling ........ Drift- och testmiljö ............................................... Säkerhetskonfiguration av informationssystem.................. Allmänt om säkerhetskonfiguration .................... Skydd mot skadlig kod.......................................... Funktionstester och säkerhetsgranskning........................... 7.9.1Allmänt om funktionstester och Allmänt om åtgärder inför driftsättning.............. Verifiering av funktions- och säkerhetskrav ....... Drift och underhåll............................................................... Allmänt om drift och underhåll ........................... Styrning av drift och underhåll............................. Beslut om undantag av säkerhetsuppdateringar .. Allmänt om operativ säkerhet ............................................. Allmänt om säkerhetsövervakning ...................... Åtgärder vid upptäckta händelser ........................ Övning och utvärdering........................................ Uppföljning och kontroll..................................................... Allmänt om uppföljning och kontroll ................. Efterlevnad av kravställning ................................. Kontroll av åtkomst och behörigheter ................ Uppdatering av dokumentation ........................... Allmänt om incidenthantering ............................................ Allmänt om avveckling ......................................... Avveckling av komponenter................................. Samråd om informationssystem .......................................... Allmänt om samråd............................................... 7.17.2 Samråd inför driftsättning av ett 7.17.3 Samråd vid väsentlig förändring av ett informationssystem ..................................... Offentliga utredningar och myndighetsrapporter.......... Offentliga utredningar och rapporter.................................. Digitaliseringen av samhällsverksamheter........................... Hot, sårbarheter och risker .................................................. Brister i informations- och cybersäkerhet .......................... Behovet av ökad informations- och cybersäkerhet ............ Ökat behov av styrning och samordning av informations- och cybersäkerhet .................................... Tillgången på personal med kompetens inom informations- och cybersäkerhet måste öka ....................... Åtgärder för stärkt säkerhet i nätverks- Nuvarande brister i säkerheten i informationssystem ....... Flera olika åtgärder krävs för att öka säkerheten i informationssystem i säkerhetskänslig verksamhet............... Certifiering av nätverks- och informationssystem ......... Finns krav på evaluering/testning av IKT-produkter, -tjänster och -processer i olika verksamheter?.................... Finns krav på certifiering i andra länder?............................ 12.5.1 Behov av att stärka säkerheten i nätverks- 12.5.2 Förutsättningar för en nationell 12.5.3 Inhämtade synpunkter från Säkerhetspolisen 12.5.4 Behovet av gemensam och fastställd kravbild ..... 12.5.5Behov av nationell sammanställning över IKT-produkter, -tjänster och -processer.............. 12.5.6Det föreligger f.n. inte behov av en nationell särskild ordning för certifiering i Uppdrag till berörda myndigheter ....................................... Krav på godkännande och utvidgat samrådsförfarande Inledning och utgångspunkter ............................................. Allvarliga brister i informationssäkerheten ......................... Utredningar och kartläggningar ........................... 13.2.2 Slutsatser om säkerhetsbrister och -behov .......... Granskning och godkännande .............................. 13.3.2Allmänna krav på informationssäkerhet i statliga myndigheters verksamhet ...................... 13.3.3 Krav på informationssäkerhet med EU:s cybersäkerhetsakt................................. Slutsatser om samrådsförfarandet och skyldigheter i säkerhetskänslig verksamhet ......... 13.4 Pågående åtgärder för ökad informationssäkerhet ............... 13.4.2Utvidgad samrådsskyldighet och befogenheter vid överlåtelse och utkontraktering av 13.4.3 Närmare om tillsynsbefogenheter och ingripande möjligheter ................................... 13.4.4Slutsatser om föreslagna ändringar 13.4.5Åtgärder enligt den samlade informations- Krav i andra länder................................................................ Behov av samordnat samråd och nationellt godkännande för säkerhetskänslig verksamhet .................. Kompletteringarna till säkerhetsskyddslagen kontra Ytterligare stärkt samrådsroll .............................................. 13.8.1 Certifiering som komplement.............................. 13.8.2 Bestämmelserna ska tas in Tillgång till informationssystem vid tillsyn .................. Det finns skäl att införa ytterligare Bestämmelserna ska tas in i säkerhetsskyddslagen............. Handläggning och överklagande ................................ Förvaltningslagen bör gälla vid handläggningen................. Beslut som bör få överklagas ............................................... Offentlighet och sekretess ........................................ Sekretesskyddet hos samrådsmyndigheten......................... Utlämnande av uppgifter i samband med samråd............... Sekretess vid tillsyn .............................................................. Partsinsyn och kommunikation .......................................... De som berörs av förslagen .................................................. Frågan om krav på certifiering ............................................. Förslaget om en stärkt samrådsroll...................................... Konsekvenser för samhället ................................................. Förslaget till lag om ändring i säkerhetsskyddslagen (2018:585) ............................................................................. Common Criteria Recognition Arrangement Computer Emergency Response Team Computer Security Incident Response Team Myndigheten för digital förvaltning Myndigheten för samhällsskydd och bered- Militära underrättelse- och säkerhetstjänsten Styrelsen för ackreditering och teknisk kon- Europeiska unionen (EU) har antagit ett antal strategier, policys och förordningar för att stärka cybersäkerheten i unionen och medlems- staterna. och rådets förordning (EU) 2019/881 av om (Europeiska unionens cybersäkerhets- byrå) och om cybersäkerhetscertifiering av informations- och kom- munikationsteknik och om upphävande av förordning (EU) nr 526/ 2013 (cybersäkerhetsakten) trädde i kraft . Det huvudsakliga syftet med förordningen är att uppnå en hög nivå i fråga om cybersäkerhet, cyberresiliens och förtroende inom unionen och säkerställa en väl fungerande inre marknad. Det europeiska ramverket för cybersäkerhetscertifiering, dvs. EU:s cybersäkerhetsakt och de genomförandeakter som utfärdas med stöd av cybersäkerhetsakten, kommer att reglera den cybersäkerhetscertifiering som följer av en europeisk certifieringsordning för cybersäkerhetscertifiering som fastställts av kommissionen. Utredningens uppdrag i den första delen var att föreslå de anpass- ningar och kompletterande nationella författningsbestämmelser som EU:s cybersäkerhetsakt ger anledning till och som behöver finnas på plats när förordningen i sin helhet börjar tillämpas . Vidare ingick att även överväga och föreslå vilken befintlig nationell myndighet som ska utses att fullgöra de uppgifter och tilldelas de ansvarsområden som följer av EU:s cybersäkerhetsakt, bl.a. uppdraget att utöva tillsyn över efterlevnaden av det europeiska ramverket för cybersäkerhetscertifiering. Utredningen överlämnade sitt delbetänkande Kompletterande be- stämmelser till EU:s cybersäkerhetsakt (SOU 2020:25) . Regeringen har efter remissbehandling av utredningens delbetän- kande överlämnat proposition 2020/21:186 Kompletterande bestäm- melser till EU:s cybersäkerhetsakt till och i den lämnat förslag på en ny lag med kompletterande bestämmelser till EU:s cyber- säkerhetsakt. I den föreslagna lagen finns kompletterande nationella bestämmelser om bl.a. nationell myndighet för cybersäkerhetscerti- fiering, tillsyn, sanktioner och förfarandet vid cybersäkerhetscerti- fiering. har beslutat i enlighet med vad som föreslås i angivna proposition och fattat beslut om att lagen med kompletterande bestämmelser till EU:s cybersäkerhetsakt ska träda i kraft . Regeringen har i anslutning till att lagen ska börja tillämpas utsett till nationell myn- dighet för cybersäkerhetscertifiering med de uppgifter som följer av det europeiska ramverket för cybersäkerhethetscertifiering, dvs. EU:s cybersäkerhetsakt och de genomförandeförordningar som ska utfördas med stöd av cybersäkerhetsakten. kan noteras att åtgärder som bl.a. rör försvar och natio- nell säkerhet faller utanför EU:s kompetens (art. 4.2 ). I artikel 1.2 EU:s cybersäkerhetsakt anges därför att förordningen inte ska påverka medlemsstaternas befogenheter i fråga om nät- och informationssäkerhet, särskilt inte verksamhet som berör allmän säkerhet, försvar, nationell säkerhet och statens verksamhet på straff- lagstiftningens område. Regeringen framhåller i direktiven till utredningen att det måste kunna ställas särskilda krav på säkerhet på nätverks- och informa- tionssystem för att skydda nationell säkerhet och att det finns anledning att nu överväga om ytterligare nationella krav bör införas för att säkerställa att nätverks- och informationssystem som ska an- vändas i säkerhetskänslig verksamhet uppfyller de krav som behövs för att upprätthålla skyddet av sådana verksamheter. Utredningens uppdrag innefattar därför att bedöma om det finns anledning att införa nationella särskilda krav på att IKT-produkter, -tjänster och -processer, som ingår i ett nätverks- och informations- system som ska användas i säkerhetskänslig verksamhet, ska vara certifierade enligt en nationell särskilt anpassad certifieringsordning utformad för säkerhetskänslig verksamhet. I uppdraget ingår även att överväga om det finns anledning att införa krav på godkännande från en myndighet för att sådana IKT- produkter, -tjänster och -processer ska få tas i drift i viss eller all säkerhetskänslig verksamhet. I uppdraget ingår att göra en internationell jämförelse av lagstift- ning som innebär särskilda krav med anledning av nationell säkerhet för IKT-produkter, -tjänster och -processer som ingår i ett nätverks- eller informationssystem i de länder som bedöms vara av intresse. För nätverks- och informationssystem som används i eller har betydelse för säkerhetskänslig verksamhet finns särskilda krav i säkerhetsskyddsförordningen (2018:658). Det rör sig bl.a. om för- beredande åtgärder inför driftsättning av informationssystem och om säkerhetskrav som kontinuerligt ställs på informationssystemen. Bestämmelserna innehåller även krav på samråd med Säkerhets- polisen eller Försvarsmakten i de fall informationssystemen kan komma att behandla säkerhetsskyddsklassificerade uppgifter av visst slag och informationssystem där obehörig åtkomst till systemen kan medföra en skada för säkerhet som inte är obetydlig. Be- stämmelserna föreskriver att det är verksamhetsutövaren som an- svarar för att se till att informationssystemen upprätthåller kraven på informationssäkerhet. Digitaliseringsutvecklingen och kravet på informations- och cybersäkerhet Digitaliseringen beskrivs som vår tids starkaste förändringsfaktor och innebär att en allt större andel av aktiviteterna i samhället är be- roende av nätverks- och informationssystem som används av myn- digheter, organisationer, företag och privatpersoner. Digitaliser- ingen har skapat nya former av kommunikation, datahantering och datalagring, och som medför stora möjligheter att förbättra och effek- tivisera olika verksamheter. Digitaliseringen påverkar hela samhället och området kan beskri- vas som horisontellt, bl.a. för att det omfattar alla samhällssektorer. Den pågående globala digitala utvecklingen och i går på många plan mycket fort och statliga myndigheter, regioner och kommuner och aktörer i näringslivet bedriver olika digitaliser- ingsarbeten. bygger många system för att hantera information huvudsakligen på digital informations- och kommunikationsteknik (IKT). Med den tilltagande globaliseringen och digitaliseringen, som ökar beroenden över nations-, sektors- och ansvarsgränser, har även följt en ökad betoning på cyberfrågor i samhället. Beroende av digital in- frastruktur och tjänster genom utbredd uppkoppling till internet och anslutna enheter medför ökade sårbarheter vilket ställer högre krav på informations- och cybersäkerhet. som digitala utveck- lingen går snabbt ökar inte informations- och cybersäkerheten i samma takt. Detta gap, och om det ökar ytterligare, medför att ris- kerna för att drabbas av cyberangrepp eller andra it-incidenter också ökar. Gapet kan dock minska genom olika åtgärder som bidrar till att stärka informations- och cybersäkerheten. Nya hot, sårbarheter och risker På samma sätt som digitaliseringen av samhällets olika verksamheter kontinuerligt medför fördelar kan den också föra med sig nya eller förändrade hot, sårbarheter och risker som påverkar informations- och cybersäkerheten i bl.a. nätverks- och informationssystem hos olika verksamhetsutövare. Det innebär att risken för cyberangrepp ökar mot olika samhällsverksamheter, särskilt vad gäller säkerhets- känsliga och andra samhällsviktiga verksamheter, som många har höga skyddsvärden. Hoten kommer främst från statliga aktörer som genomför cyberangrepp i olika syften, bl.a. som förberedelser för cyberangrepp och som industrispionage. Hoten kommer även från kriminella aktörer och ideellt motiverade aktörer, som har förmåga till cyberangrepp för olika syften. Olika förändringsfaktorer, som utvecklingen av t.ex. 5G-system, molntjänster, artificiell intelligens och kvantdatorer, medför nya möjligheter men även ökade sårbarheter och risker som kan utnytt- jas och orsaka skada på olika säkerhetskänsliga och samhällsviktiga funktioner och verksamhet men också i näringslivet, t.ex. försvars- industrin. Vidare skapar beroendeförhållanden mellan olika samhällsviktiga verksamheter, t.ex. elektronisk kommunikation och energisektorn, sårbarheter och risker, och cyberangrepp mot en samhällsviktig verk- samhet kan få allvarliga och omfattande följder för en eller flera andra sådana verksamheter och även för totalförsvarets verksamhet. Allvarliga brister i informations- och cybersäkerheten En tillräcklig informations- och cybersäkerhet kan endast uppnås när alla de olika förutsättningar som krävs för en sådan säkerhet är upp- fyllda, dvs. enhetlig styrning och organisering av arbetet med informa- tions- och cybersäkerhet, ett systematiskt informationssäkerhetsarbete i verksamheten och tekniska åtgärder samt tillsyn av efterlevnaden av regelsystem och ställda krav. Av offentliga utredningar och myndighetsrapporter framkommer att det finns allvarliga brister i informations- och cybersäkerheten på många olika områden inom en rad olika samhällsverksamheter. Detta gäller såväl statliga myndigheters verksamhet som regioner och kom- muner men även organisationer och näringslivet. Av utredningarna och rapporterna framkommer att allvarliga brister finns hos många verksamhetsutövare, både vad avser det systematiska informations- säkerhetsarbetet och vad avser säkerhet i olika nätverks- och infor- mationssystem. Vidare framkommer att det finns allvarliga brister i styrning och organisering, kunskap och kompetens samt resurstill- delning inom området för informations- och cybersäkerhet. Utredningen gör ingen annan bedömning av redovisade brister i och nivån på informations- och cybersäkerheten än den som redo- visas i de offentliga utredningar och rapporter som offentliggjorts och lägger dessa till grund för slut- satsen att det måste anses behövas kraftfulla och omfattande åtgärder på många olika områden för att stärka informations- och cybersäker- heten, dels mer allmänt i samhällets olika verksamheter men särskilt vad avser säkerhetskänsliga och andra samhällsviktiga verksamheter. De allvarliga bristerna innebär uppenbara risker för cyberangrepp mot nätverveks- och informationssystem som kan medföra allvarliga konsekvenser för såväl hela samhället som aktörer inom olika verk- samhetsområden, och som därigenom även kan få allvarliga konse- kvenser för verksamheten i totalförsvaret. Uppdraget är avgränsat till att överväga om det finns anledning att införa en nationell särskilt anpassad certifieringsordning för IKT- produkter, -tjänster och -processer i nätverks- och informationssystem i säkerhetskänslig verksamhet och/eller krav på godkännande av en myndighet innan sådana IKT-produkter, -tjänster och -processer i nätverks- och informationssystem får driftsättas. Utredningen kan konstatera att enskilda åtgärder av detta slag inte ensamt