sou · H9B363 · 2021-07-02 00:00:00 — Även om utred- ningen bedömer att det inte finns förutsättningar för att införa en nationell särskilt anpassad ordning med krav på certi- fiering av IKT-produkter, -tjänster och -produkter i nätverks- och informationssystem i säkerhetskänslig verksamhet bedömer utred- ningen att det bör vidtas åtgärder som kan öka användningen av sådana produkter, tjänster och processer generellt i statliga myndig- heters verksamhet. Det kan t.ex. övervägas om det bör ställas krav på att certifierade, även kommersiella, IKT-produkter, -tjänster och -processer ska användas i nätverks- och informationssystem i övrig verksamhet om det inte finns skäl för undantag från en sådan skyl- dighet. En sådan ordning saknas , eftersom det är upp till varje statlig verksamhetsutövare att i enlighet med ansvarsprin- cipen själv bedöma och besluta om vilka åtgärder som är nödvändiga för att stärka informations- och cybersäkerheten i den egna verk- samheten. Genom att ställa krav på att statliga myndigheter att de bör an- vända certifierade IKT-produkter, -tjänster och -processer så skapas en ordning som förutom att bidra till att stärka säkerheten i nät- verks- och informationssystem även kan bidra till att generera nöd- vändig eller behövlig information och som bidrar till att utveckla kravställningen och grundnivån på säkerheten i IKT-produkter, -tjäns- ter och -processer i nätverks- och informationssystem. En ordning som innebär att i första hand bör certifierade, även kommersiella, IKT-produkter, -tjänster och -processer användas skulle Certifiering av nätverks- och informationssystem ge statliga myndigheter, men även andra aktörer, ett stöd i val av it- säkerhetsprodukter. Det skulle också medföra att det skapas ett grundläggande fundament som kan utvecklas vidare för att stärka säkerheten i nätverks- och informationssystem i olika verksamheter och därigenom även bidra till att möta krav i den säkerhetskänsliga verksamheten. Ett sådant grundläggande fundament saknas dock eftersom det är upp till varje statlig verksamhetsutövare att i enlighet med ansvarsprincipen själv bedöma och besluta om vilka åtgärder som är nödvändiga för att stärka informations- och cybersäkerheten i den egna verksamheten. Figur 12.1 Effekter av ökad användning av certifierade IKT-produkter, -tjänster och -processer Ökade krav på användning och en ökad tillgång på certifierade IKT- produkter, -tjänster och -processer bidrar till att generera kunskap och erfarenheter som kan återföras in i den nationella ordningen utan att behöva röja att produkten, tjänsten och processen används i säkerhetskänslig verksamhet. Granskning (evaluering) av de tillkom- mande funktions- och säkerhetskrav på IKT-produkter, -tjänster Certifiering av nätverks- och informationssystem och -processer i nätverks- och informationssystem som används i säkerhetskänslig verksamhet, och som det europeiska ramverket för cybersäkerhetscertifiering inte omhändertar, kan ske genom den kompletterande nationella granskning (evaluering) som sker, bl.a. med stöd av Säkerhetspolisens och Försvarsmaktens sam- råds- och tillsynsverksamhet samt föreskrifter på område. Vidare kan genom tillsynsverksamheten av säkerhetsskydd kunskap och erfarenheter vinnas när det gäller omfattning av nyttjandegraden av olika IKT-produkter, -tjänster och -processer, vilket kan bidra till att kraftsamla nationella resurser i kravställningen för olika framtida produktkategorier inom bl.a. det europeiska ramverket för cyber- säkerhetscertifiering. Även implementeringsval och design i säker- hetskänslig verksamhet kan påverka kravbilden när det gäller utform- ning och funktionalitet på produkter och tjänster som används i sådan verksamhet. Detta medför också att den befintliga verksamheten i det natio- nella certifieringsorganet CSEC vid () bör kunna utnyttjas på ett mer ändamålsenligt och kostnadseffektivt sätt i verksamhet som gäller evaluering och certifiering av IKT- produkter, -tjänster och -processer, även sådana som används i nät- verks- och informationssystem i säkerhetskänslig verksamhet. FMV och dess certifieringsorgan bör därigenom även kunna utvecklas till att – utöver att vara nationell cybersäkerhetsmyndighet enligt det europeiska ramverket för cybersäkerhetscertifiering – utgöra en natio- nell resurs för kompletterande nationella granskningar av IKT-pro- dukter, -tjänster och -processer i nätverks- och informationssystem i bl.a. säkerhetskänslig verksamhet. I detta samarbete bedöms också Försvarsmakten och behöva bidra, framför allt med kompetens inom kryptologi och frågor som rör kryptolös- ningar. Samverkan bör även ske med Myndigheten för samhällsskydd och säkerhet, även om myndigheten inte har några formella uppgifter inom ramen för säkerhetskyddsregleringen. Myndigheten har dock i uppdrag och en central roll med att stärka informations- och cybersäkerheten i samhället mer allmänt och även en central roll när det gäller informations- och cybersäkerhet i nätverks- och infor- mationssystem i samhällsviktiga och digitala tjänster. Sammantaget gör utredningen bedömningen att alla åtgärder som tar sikte på att stärka säkerheten i nätverks- och informationssystem som inte omfattas av reglering av säkerhetsskyddskänslig verksam- Certifiering av nätverks- och informationssystem het bidrar till att mer allmänt höja nivån på informations- och cyber- säkerhet hos statliga myndigheter och därigenom även inom det säkerhetskänsliga området. Utredningen kan konstatera att frågan om eventuell ytterligare reglering av och krav på åtgärder mer allmänt för att stärka informations-och cybersäkerheten i statliga myndigheter inte om- fattas av utredningens uppdrag, som är begränsat till den säkerhets- känsliga verksamheten, och frågeställningen behandlas utöver vad som ovan framhållits därför inte ytterligare i detta betänkande. 12.6Uppdrag till berörda myndigheter Utredningen bedömer att arbetet med att ta fram en nationell krav- ställning, dvs. en gemensamt framtagen och fastställd kravställning som grundas på en gemensam hot-, sårbarhets- och riskbedömning, och som kan ligga till grund för arbetet med att ta fram säkerhetskrav och skyddsprofiler för att evaluera och certifiera IKT-produkter, -tjänster och -processer i bl.a. nätverks- och informationssystem bör påbörjas omgående. En sådan kravställning är också av stor nationell betydelse för att kunna påverka arbetet inom ramen för det euro- peiska ramverket för cybersäkerhetscertifiering. Vidare bör även arbetet med att ta fram en nationell sammanställning över certifie- rade och rekommenderade IKT-produkter, -tjänster och -processer för användning inom främst säkerhetskänslig och samhällsviktig verk- samhet påbörjas. Vilken myndighet som bör ansvara för detta arbete? När det gäller frågan vilken eller vilka myndigheter som bör ges upp- giften och ansvaret för att leda och genomföra detta arbete kan ett antal myndigheter övervägas. Försvarsmakten har etablerade strukturer för denna typ av krav- ställning. Myndighetens huvudsakliga uppgift finns dock i första hand på det militära försvarsområdet till stöd för säkerhet varför en sådan uppgift framstår som mindre lämplig för den myn- digheten. Däremot bör myndigheten kunna delta i och stödja arbetet med att ta fram säkerhetskrav för IKT-produkter, -tjänster och -pro- cesser inom andra samhällsviktiga verksamheter. Certifiering av nätverks- och informationssystem När det gäller Säkerhetspolisen så kan även den myndigheten övervägas då myndigheten har en helhetsbild över de hot som finns mot det civila samhällets säkerhetskänsliga verksamheter och kan därför vara den myndighet som har detta ansvar för kravställningen. Myndigheten har dock – på motsvarande sätt som Försvarsmakten –i första hand ett ansvar för säkerhet (förutom militärt för- svar) och inte ansvar för generell säkerhet för IKT för all samhälls- viktig verksamhet. FRA har en mycket djup och omfattande teknisk kompetens inom informations- och cybersäkerhetsområdet. Myndigheten har också i uppdrag att stödja Försvarsmakten i verksamhet som avser utveckling och vidmakthållande av Försvarsmaktens cyberförsvars- förmåga. Verksamheten inom FRA är dock mer av teknisk karaktär där den förmåga myndigheten besitter är kritisk för säker- het och där fokus är att nyttja denna unika förmåga till att stödja andra verksamheter. Med det som utgångspunkt är myndighetens roll mer att stödja i arbetet med att ta fram de mer tekniska kraven i en ordning som övervägs. Utredningen bedömer att alla dessa tre myndigheter dock är cen- trala – var och en utifrån sina förutsättningar – för det kvalificerade arbetet som behöver ske i samband med att det tas fram en nationell kravställning för IKT-produkter, -tjänster och -processer. MSB har ett brett uppdrag och mandat på området för sam- hällets informations – och cybersäkerhet och har som ovan framgår en roll och uppgift på området inom ramen för SAMFI-arbetet. MSB har även ett övergripande ansvar för att utfärda föreskrifter och allmänna råd för statliga myndigheters informationssäkerhet och för verksamheter som avser samhällsviktiga och digitala tjänster (NIS- lagen). Inom ramen för NIS-arbetet sker också ett strukturerat arbete mellan MSB och de myndigheter som har tillsynsansvar för de samhällsviktiga sektorer som omfattar. Detta samarbete ger framöver också en möjlighet för MSB att struk- turerat få del av de utmaningar som dessa samhällskritiska sektorer har vad avser IKT. Denna kunskap kan vägas samman med den unika kunskap avseende kvalificerade hot- och riskbedömningar som För- svarsmakten, Säkerhetspolisen och FRA besitter. MSB har teknisk kompetens på området genom det arbete som myndigheten bedriver i sitt systematiska informationssäkerhetsarbete men myndigheten skulle behöva att i viss omfattning stärka den Certifiering av nätverks- och informationssystem djupa tekniska kompetensen som krävs för det samlade arbetet med kravställning för IKT-produkter, -tjänster och -processer i nätverks- och informationssystem i säkerhetskänslig verksamhet. Härtill kom- mer att myndighetens ansvarsområde formellt inte omfattar verk- samhet inom den säkerhetskänsliga verksamheten, som primärt är Säkerhetspolisens och Försvarsmaktens ansvarsområden inom re- spektive tillsynsområde. FMV är den myndighet som har den högsta kompetensen när det kommer till frågor som rör evaluering och certifiering av IKT- produkter, -tjänster och -produkter. Myndigheten har vidare – i linje med de bedömningar och förslag som lämnats i utredningens del- betänkande (SOU 2020:58), och som delas av regeringen, – fått del- vis nya uppgifter på området, bl.a. som nationell myndighet för cybersäkerhetscertifiering. FMV framstår mot den bakgrunden som lämplig myndighet att få i uppgift och ansvar att leda och organisera arbetet med att ta fram struktur för en nationell kravställning, dvs. en gemensamt framtagen och fastställd kravställning som grundas på en gemensam hot-, sår- barhets- och riskbedömning, och som kan ligga till grund för arbetet med att ta fram säkerhetskrav och skyddsprofiler för att evaluera och certifiera IKT-produkter, -tjänster och -processer i bl.a. nätverks- och informationssystem. En sådan kravställning är också av stor natio- nell betydelse för att kunna påverka arbetet inom ramen för det europeiska ramverket för cybersäkerhetscertifiering, där myndighe- ten också har en viktig uppgift som nationell myndighet för cyber- säkerhetscertifiering. I uppgiften bör även ingå att överväga hur arbetet med att ta fram en nationell sammanställning över certifie- rade och rekommenderade IKT-produkter, -tjänster och -processer för användning inom främst säkerhetskänslig och annan samhälls- viktig verksamhet kan utföras. Ett första steg i att etablera en ordning som denna bör vara ett regeringsuppdrag till FMV att i samråd med Försvarsmakten, Säker- hetspolisen, FRA och MSB, ta fram ett närmare förslag till hur en ordning som den nu föreslagna kan etableras till . Certifiering av nätverks- och informationssystem Detta myndighetsgemensamma arbete bedrivs lämpligen inom ramen för det cybersäkerhetscentrum som etablerats av Försvars- makten, MSB, FRA och Säkerhetspolisen och där även flera andra myndigheter av vikt för en ordning som denna redan ingår. I uppdraget bör också ingå att samråda och samverka med de myndigheter som har tillsynsansvar inom NIS-området. 13Krav på godkännande och utvidgat samrådsförfarande för informationssystem Förslag: Säkerhetsskyddsförordningens bestämmelser om för- beredande åtgärder inför driftsättning av informationssystem ska överföras till säkerhetsskyddslagen. Dessutom införs krav på verksamhetsutövaren att pröva om en driftsättning av ett informationssystem i säkerhetskänslig verk- samhet, eller en väsentlig förändring av informationssystemet, är lämplig ur säkerhetsskyddssynpunkt. Lämplighetsprövningen ska, liksom den särskilda säkerhetsskyddsbedömningen, dokumen- teras. Om lämplighetsprövningen leder till bedömningen att det planerade förfarandet är olämpligt från säkerhetsskyddssynpunkt får det inte inledas. Om lämplighetsprövningen leder till bedöm- ningen att det planerade förfarandet inte är olämpligt från säker- hetsskyddssynpunkt ska verksamhetsutövaren i vissa fall samråda med samrådsmyndigheten (Säkerhetspolisen eller Försvarsmakten). Eventuella samråd med Säkerhetspolisen eller Försvarsmakten ska emellertid inte begränsas till en skriftlig process. Även samrådsmyndigheten ska ha rätt att initiera samråd. Sam- rådsmyndigheten ska inom ramen för ett samråd kunna besluta åtgärdsföreläggande mot verksamhetsutövaren. Om ett sådant före- läggande inte följs eller om det planerade förfarandet är olämpligt från säkerhetsskyddssynpunkt även om ytterligare åtgärder vidtas, ska samrådsmyndigheten få besluta att driftsättningen eller för- ändringen av informationssystemet inte får genomföras (förbud). Befintligt krav på att verksamhetsutövaren ska godkänna drift- sättningen av ett informationssystem som ska användas i säker- hetskänslig verksamhet ska uppfyllas efter samrådet. Krav på godkännande och utvidgat samrådsförfarande för informationssystem Bedömning: Även med beaktande av de ändringar i säkerhets- skyddslagen (2018:585) som regeringen föreslagit finns behov av att ytterligare stärka säkerheten i nätverks- och infor- mationssystem som ska användas i säkerhetskänslig verksamhet. Ett krav på att informationssystem som behandlar vissa säker- hetsklassificerade uppgifter, eller andra informationssystem där obehörig åtkomst kan medföra en skada för säkerhet, ska godkännas av en utpekad central myndighet före driftsättning torde i sammanhanget kunna bidra till ökad säkerhet. finns emellertid övervägande skäl att i stället först utvärdera vilka effekter de kompletterande säkerhetsskyddsbestämmelserna, i för- ening med en stärkt samrådsroll, har. I utredningsdirektiven anges att särskilda krav på säkerhet måste kunna ställas på nätverks- och informationssystem för att skydda nationell säkerhet. Utredningen ska enligt direktiven överväga om det finns anledning att införa krav på godkännande från en utpekad myn- dighet av IKT-produkter, -tjänster och -processer inom nätverks- och informationssystem som ska tas i drift i viss eller all säkerhets- känslig verksamhet. I detta kapitel redogörs för utredningens analys, överväganden och förslag i frågan om det bör införas ett sådant krav. Frågan om behovet av krav på certifiering av nätverks- och infor- mationssystem i säkerhetskänslig verksamhet har behandlats i före- gående kapitel. Utredningen är enligt utredningsdirektiven också fri att lämna sådana författningsförslag som i övrigt behövs och är lämpliga. Vid bedömningen av om det finns behov av ett nytt krav på formellt för- handsgodkännande behöver en jämförelse göras med det befintliga systemet och de av regeringen föreslagna ändringarna i säkerhets- skyddslagen som avses träda i kraft (se propo- sitionen Ett starkare skydd för säkerhet [prop. 2020/21:194]). I sammanhanget är effekterna av en utvidgad samrådsskyldighet och utökade tillsynsbefogenheter av särskilt intresse. En stärkt samråds- roll för Säkerhetspolisen och Försvarsmakten är ett tänkbart alter- nativ till godkännandeförfarandet som övervägs närmare. Krav på godkännande och utvidgat samrådsförfarande för informationssystem Som berörts i det föregående är begreppsanvändningen på infor- mationssäkerhetsområdet inte helt konsekvent. Flera EU-dokument, såsom NIS-direktivet, EU:s cybersäkerhetsakt m.fl., omfattar nät- verks- och informationssystem medan begreppet informationssystem företrädesvis används på säkerhetsskyddsområdet. Enligt vissa natio- nella definitioner kan nätverk ingå i begreppet informationssystem (se t.ex. MSBFS 2020:7). Med informationssystem avses enligt säker- hetsskyddsförordningen (2018:658) ett system av sammansatt mjuk- och hårdvara som behandlar information (5 §). Med hänsyn till den begreppsanvändning som är dominerande i vad beträffar säker- hetsskydd använder utredningen i detta kapitel främst begreppet infor- mationssystem när författning relaterar till det. I avsnitt 11.2 redogörs närmare för övervägandena kring begreppen. 13.2Allvarliga brister i informationssäkerheten Som framgår av kapitel 8 har Utredningen om vissa säkerhetsskydds- frågor (SOU 2018:82) identifierat ett antal allvarliga problem och brister i säkerhetsskyddsarbetet i . Enligt denna utredning gäller vissa av bristerna säkerhetsskyddet generellt, t.ex. att verksam- hetsutövaren inte tillämpar säkerhetsskyddsreglerna eller har bris- tande kunskap om sina skyddsvärden. Det konstateras att det finns verksamheter av stor betydelse för säkerhet som inte alls tillämpar säkerhetsskyddslagens bestämmelser. Utöver att medveten- heten om säkerhetsskyddsregleringen är för dålig hos vissa verksam- hetsutövare kopplas problemen till att säkerhetsskyddsarbetet inte har en tillräckligt framskjuten roll inom verksamheten. Andra bris- ter handlar specifikt om olika förfaranden där utomstående involve- ras i den säkerhetskänsliga verksamheten. Bristerna handlar om att man inte alltid prövar om förfarandet är lämpligt eller att det är svårt att pröva lämpligheten, att säkerhetsskyddsavtal kan vara bristfälliga, att man inte följer upp förfarandet medan det pågår och att det sak- nas tillräckliga möjligheter för samhället att ingripa mot förfaranden 1Se kap. 8 för en utförligare redogörelse av bristerna i informationssäkerheten. Krav på godkännande och utvidgat samrådsförfarande för informationssystem som är olämpliga från säkerhetsskyddssynpunkt.2 Denna uppfatt- ning delas av regeringen.3 Av kapitel 8 framgår vidare att det genomförts ett stort antal ut- redningar om och kartläggningar av informationssäkerheten i det . Som utredningen anfört i kapitel 3 görs be- dömningen att detta underlag får anses ge en tillräckligt säker bild av förekommande brister i nationell informationssäkerhet. Nedan redogörs för vad som i huvudsak framkommit om bris- terna i syfte att belysa om det finns ytterligare behov av åtgärder för att öka säkerheten i nätverk och informationssystem. När det gäller informationssäkerhet inom ramen för säkerhets- skyddet har det identifierats behov av att förtydliga och utvidga säker- hetsskyddschefens roll i arbetet med att ta fram och bibehålla ett väl anpassat skydd. Behovet har bl.a. framkommit genom flera upp- märksammade händelser där det visat sig att centrala verksamhetsutövare haft ett eftersatt säkerhetsskydd. Ett exempel är den upphandling om förändrad it-drift hos Transportstyrelsen som medförde att säkerhetsskyddsklassificerade och av andra skäl sekretess- belagda uppgifter hanterades på ett sätt som stred mot svensk lag. genomfördes därför en granskning av upphandlingen som redovisas i promemorian Granskning av Transportstyrelsens upp- handling av it-drift (Ds 2018:6). Av granskningen framgår att det före- kommit allvarliga brister i Transportstyrelsens hantering av hemliga uppgifter och andra skyddsvärda uppgifter, bl.a. känsliga person- uppgifter, för att man i allt för hög grad saknade relevant kunskap om vilken information myndigheten hade och hur denna information skulle hanteras. Skäl till detta var bl.a. att arbetet med informations- säkerhet vid myndigheten var eftersatt samt avsakna- den av tillräcklig kunskap om relevanta regler. Utredaren identifierade att säkerhetsfunktionerna på myndigheten var utspridda och saknade tillräcklig samordning. Enligt utredaren uppfattade säkerhetsskydds- chefen att det var svårt att få genomslag för säkerhetsskyddsfrågor både på ledningsnivå och i verksamheten samt att säkerhetsfrågorna kom in alldeles för sent i processen.4 Myndigheten för samhällsskydd och beredskap (MSB) fick 296 rap- porter om allvarliga it-incidenter från 101 myndigheter, vil- 2Kompletteringar till den nya säkerhetsskyddslagen (SOU 2018:82), s. 24 och 196. 2020/21:194, Ett starkare skydd för säkerhet, s. 75. 4Ds 2018:6 s. 98 och 220. Krav på godkännande och utvidgat samrådsförfarande för informationssystem ket motsvarar av det totala antalet rapporteringsskyldiga myndigheter. Motsvarande siffror var 297 rapporter från av myndigheterna. Den vanligaste typen av incident var handhavandefel, följd av rapporterade angrepp och oönskad eller oplanerad störning i kritisk infrastruktur. MSB har gjort flera kartläggningar av informa- tionssäkerhetsarbetet i länsstyrelserna och kommunerna samt små och medelstora företag (se kapitel 8). Resultaten visar att det på i princip samtliga nivåer behövs ytterligare resurser och kompetens på informationssäkerhetsområdet samt tydligare ansvarsroller. MSB drar även slutsatserna att få myndigheter följer myndighetens föreskrif- ter i sin helhet samt att arbetet med informations- och cybersäkerhet och säkerhetsskydd inte är tillräckligt integrerat. Man konstaterar vidare att företagens informationssäkerhet inte ökar i samma takt som den digitala utvecklingen i samhället. Också för kommunernas del återstår arbete i införandet av ett systematiskt och riskbaserat informationssäkerhetsarbete, inom samtliga undersökta områden. förefaller det saknas tillräcklig kunskap om den egna organisationens behov av informationssäkerhet. Särskilt informa- tionssäkerhetsarbete relaterat till säkerhetsskydd eller samhällsviktig verksamhet uppfattas ofta som en utmaning. MSB anser att en för- bättring av informationssäkerhetsarbetet är påkallad men bedömer att såväl deltagande av offentlig förvaltning som resurstillsättning behövs. Det finns ytterligare studier om läget för informationssäkerheten i regioner och kommuner som visar att det föreligger stora utma- ningar för huvuddelen av aktörerna i arbetet med att skapa en säker digitalisering. En av de största utmaningarna för en enskild offentlig aktör är att ha tillräckliga resurser för att informationssäkra sina it- miljöer.5 Vidare framgår av it-system – hinder för en effektiv digitalisering (RiR 2019:28) att det finns ett stort antal större myndigheter som har föråldrade it-system, varav ett fler- tal av verksamhetskritisk karaktär, och att många myndigheter inte gör tillräckligt för att hantera de problem som systemen innebär. Riks- revisionen fann också att regeringen hade bristande kunskap om 5Övergripande studie av offentlig it-drift (informationssäkerhet) i , Knowit, 2020. Krav på godkännande och utvidgat samrådsförfarande för informationssystem förekomsten och konsekvenserna av problemen med föråldrade it- system. Genom (SOU 2021:1)6 kartläggning av 200 stat- liga myndigheter framkommer att hälften av myndigheterna inte arbetar systematiskt med informationssäkerhet i sin verksamhet. Enligt insamlade enkätsvar hanterar säkerhetsskyddsklas- sificerade uppgifter, medan inte vet om de hanterar sådana uppgifter.7 bedömer att två av de största hindren för säker it-drift är bristande informationsklassificering och avsak- nad av kompetens inom it och säkerhet.