sou · H9B387 · 2021-11-02 00:00:00 — Det finns bara i begränsad omfattning författningsreglering till skydd för sådan infor- mation. För att skydda sin information använder många företag och organisationer den ISO-standard som finns för informationssäkerhet. Standarden ligger också till grund för bland annat kraven på statliga myndigheters informationssäkerhetsarbete. ISO-standarden behand- las nedan i avsnitt 10.5.4. En särskild typ av känslig information är personuppgifter. Frågor om hur personuppgifter får behandlas regleras med utgångspunkt i dataskyddsförordningen66. Bestämmelser om personuppgifter behand- las nedan i avsnitt 10.5.5. Där behandlas även lokaliseringsuppgifter som också kan medföra risker om de kommer i fel händer. Många verksamheters värde består i allt större utsträckning av infor- mation. Värdet finns ofta inte i de fysiska varor som produceras utan i information om hur man tillverkar dem, vilka komponenter de be- står av, hur de kopplas ihop och hur systemen är uppbyggda. I de flesta verksamheter finns information som av denna eller andra anled- ningar kan behöva skyddas. 66Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Verksamheter som ska omfattas av granskningssystemet Arbetet med informationssäkerhet utgår från tre krav. Informa- tion behöver skyddas så att •den finns när den behövs (tillgänglighet), •man kan lita på att den är korrekt och inte manipulerad eller för- störd (riktighet), och •endast behöriga personer får ta del av den (konfidentialitet). Bedömning: Det är inte motiverat att i ett svenskt gransknings- system reglera investeringar i verksamhet som hanterar säkerhets- skyddsklassificerade uppgifter särskilt. Investeringar i verksam- heter som hanterar säkerhetsskydds-klassificerad information kommer dock att omfattas av granskningssystemet i den mån de omfattas av tillämpningsområdet i övrigt. Bestämmelser om informationssäkerhet finns i säkerhetsskyddslagen (2018:585). Där finns bestämmelser om säkerhetsskyddsklassificering av uppgifter. Med säkerhetsskyddsklassificerade uppgifter avses upp- gifter som rör säkerhetskänslig verksamhet och som därför omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400) (OSL) eller som skulle ha omfattats av sekretess enligt den lagen, om den hade varit tillämplig. Uppgifter som är säkerhetsskyddsklassificerade ska delas in i någon av fyra säkerhetsskyddsklasser (kvalificerat hemlig, hemlig, konfidentiell eller begränsat hemlig). Det krävs inte något särskilt beslut eller annan åtgärd för att en uppgift ska vara säker- hetsskyddsklassificerad. Investeringar i verksamhet som hanterar säkerhetsskyddsklassificerade uppgifter ska omfattas av ett svenskt granskningssystem i den mån verksamheten omfattas av granskningssystemet i övrigt Många företag som hanterar säkerhetsskyddsklassificerade uppgifter gör det inom ramen för en verksamhet som omfattas av våra förslag på grund av att verksamheten är säkerhetskänslig, se avsnitt 10.7, eller rör strategiskt skyddsvärda produkter och teknologier, se avsnitt 10.3. Verksamheter som ska omfattas av granskningssystemet Det finns dock företag som hanterar säkerhetsskyddsklassifice- rade uppgifter till följd av exempelvis konsultuppdrag och som inte är sådan verksamhet som träffas av det föreslagna granskningssyste- met. Frågan är om även sådan verksamhet bör omfattas av gransk- ningssystemet. En statlig myndighet, kommun eller region som avser att genom- föra en upphandling och ingå ett avtal om varor, tjänster eller bygg- entreprenader ska enligt 2 kap. 6 § säkerhetsskyddslagen i vissa fall se till att det i ett säkerhetsskyddsavtal anges hur kraven på säker- hetsskydd ska tillgodoses av leverantören.67 Det gäller bland annat om det i upphandlingen förekommer säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre. Verk- samhetsutövaren ska också kontrollera att leverantören följer säker- hetsskyddsavtalet. Kravet på säkerhetsskyddsavtal gäller också för enskilda verksamhetsutövare som ingår avtal om varor, tjänster och byggentreprenader med utomstående leverantörer. Ansvaret för att ett konsultföretag är lämpligt i säkerhetsskydds- hänseende finns enligt säkerhetsskyddslagen alltså hos verksamhets- utövaren. En verksamhetsutövare som ingår säkerhetsskyddsavtal med en leverantör kräver i regel att leverantören måste anmäla om ägar- förhållandena ändras. Verksamhetsutövaren kan då besluta att upp- häva affärsavtalet och därmed återkalla uppgifterna i de fall de änd- rade ägarförhållandena medför att leverantören inte bedöms lämplig att hantera säkerhetsskyddsklassificerade uppgifter. Verksamheter som hanterar säkerhetsskyddsklassificerade upp- gifter i egenskap av verksamhetsutövare enligt säkerhetsskyddslagen omfattas av våra förslag i avsnitt 10.7. Säkerhetsskyddslagens bestäm- melser om säkerhetsskyddsavtal medför dock att det inte är motive- rat att i granskningssystemet inkludera även annan verksamhet som kan hantera säkerhetsskyddsklassificerade uppgifter, till exempel i egenskap av konsulter. Verksamhet som hanterar säkerskyddsklassi- ficerade uppgifter ska därför omfattas av ett svenskt gransknings- system bara i den mån själva verksamheten omfattas av regleringen. 67Enligt förslag i prop. 2020/21:194 Ett starkare skydd för säkerhet ska kravet på säkerhetsskyddsavtal utvidgas till att som huvudregel inte gälla bara upphandlingssituationer, utan alla slags avtal, samarbeten och samverkan. Verksamheter som ska omfattas av granskningssystemet 10.5.4Skyddsvärd information som härrör från annans skyddsvärda verksamhet Bedömning: Det saknas förutsättningar för att nu föreslå att investeringar i verksamhet som hanterar skyddsvärd information som härrör från annans skyddsvärda verksamhet ska regleras särskilt i ett svenskt granskningssystem. Investeringar i verksam- heter som hanterar sådan information omfattas av gransknings- systemet i den mån de omfattas av tillämpningsområdet i övrigt. Många företag som hanterar skyddsvärd information gör det – på motsvarande sätt som när det gäller säkerhetsskyddsklassificerade uppgifter – inom ramen för en verksamhet som omfattas av våra förslag på grund av att verksamheten a)är samhällsviktig, b)tillverkar, utvecklar, bedriver forskning gällande eller tillhanda- håller produkter med dubbla användningsområden eller tillhanda- håller tekniskt bistånd gällande sådana produkter, c)tillverkar, utvecklar, bedriver forskning gällande eller tillhanda- håller krigsmateriel eller tillhandahåller tekniskt stöd avseende krigsmateriel, eller d)rör framväxande teknologier och annan strategiskt skyddsvärd teknologi. Med skyddsvärd information avser vi här annan känslig information än säkerhetsskyddsklassificerade uppgifter, personuppgifter eller lokaliseringsuppgifter. Det kan emellertid också förekomma situa- tioner där en verksamhet, på samma sätt som när det gäller säkerhets- skyddsklassificerade uppgifter, hanterar skyddsvärd information i egenskap av till exempel konsult eller underentreprenör åt en upp- dragsgivare som omfattas, utan att verksamheten hos konsulten eller underentreprenören i sig gör det. Det är alltså frågan om verksam- heter som till följd av uppdrag från eller samarbeten med en verk- samhet som omfattas av förslagen i övrigt hanterar information som är skyddsvärd i uppdragsgivarens verksamhet. Utredningens experter har fört fram att dessa företag kan ha uppdrag hos många företag, även utländska, och myndigheter vilket kan innebära att de har en Verksamheter som ska omfattas av granskningssystemet stor samlad skyddsvärd kunskap och mängd information, även efter avslutade konsultuppdrag. För de verksamheter som inte omfattas av säkerhetsskyddslagen finns inget krav motsvarande kravet på säkerhetsskyddsavtal i säker- hetsskyddslagen. En aktör som anlitar en konsult eller inleder någon annan typ av samarbete med någon annan har inte någon författnings- reglerad skyldighet att exempelvis genom avtal kräva att konsulten ska hantera information på ett säkert sätt. Som vi berört i avsnitt 8.3 har lagstiftaren tenderat att i allt större utsträckning lägga ansvaret för att skydda känslig verksamhet på de aktörer vars verksamhet ska skyddas. Det kan tyckas rimligt att den som hanterar skyddsvärda uppgifter ska göra mer för att skydda dessa än vad lagen kräver. Vi bedömer dock att det i avsaknad av annan lagstiftning kan finnas skäl för att investeringar i verksamheter som hanterar skyddsvärd infor- mation utan att utgöra sådan verksamhet som omfattas av våra förslag i övrigt ska kunna granskas. Frågan är då främst hur avgränsningen i så fall kan göras när det gäller vilken information som ska hanteras och hur känslig den ska vara för att verksamheten ska omfattas. I det närmast följande redogör vi för bestämmelser och system som tillämpas och som syftar till att identifiera och klassa infor- mation för att de tre informationssäkerhetsaspekterna – tillgänglig- het, riktighet och konfidentialitet – ska kunna tillgodoses. Systemen syftar alltså till att den som hanterar känslig information ska identi- fiera informationen, värdera vilken skada som kan uppkomma om informationen kommer i orätta händer eller förstörs samt vidta till- räckliga åtgärder för att skydda informationen. Ett sådant system skulle kunna läggas till grund för att identifiera de verksamheter som bör omfattas av ett investeringsgranskningssystem. Vi återkommer därefter till frågan om huruvida verksamheter som hanterar skydds- värd information ska regleras särskilt i ett granskningssystem och hur avgränsningen av tillämpningsområdet i så fall bör göras. Klassning av information enligt ISO-standarden Det finns standarder för hur informationssäkerhetsarbetet kan be- drivas på ett systematiskt sätt och i enlighet med ”best practice”. Stan- darderna kring informationssäkerhet finns i . Serien har tagits fram inom ramen för samarbetet i de internationella Verksamheter som ska omfattas av granskningssystemet standardiseringsorganen.68 Från svensk sida deltar SIS () med experter från de organisationer som valt att delta i SIS arbete på nationell nivå. Myndigheten för samhällsskydd och beredskap (MSB), (), , och är några av de 63 aktörer som deltar i för informationssäkerhet.69 I standardserien för informationssäkerhet finns vägledning för identifiering och värdering av informationstillgångar. En del i denna process är klassificering av informationen utifrån de tre informations- säkerhetskraven tillgänglighet, riktighet och konfidentialitet. Klassi- ficeringen syftar till att identifiera känslig och kritisk information, värdera den och ge den rätt skydd. Informationens värde bestäms genom att den relateras till konsekvensen av exempelvis en otillåten spridning. En organisation som tillämpar ett ledningssystem70 enligt ISO- standarden kan välja att certifiera sig mot standarden, det vill säga visa att den lever upp till standardens krav. Ett certifikat utfärdas av ett certifieringsorgan sedan organisationen genomgått en certifierings- revision vilket innebär att en extern revisor granskat organisationens processer och rutiner utifrån standarden. Uppföljning görs sedan minst en gång . Klassning enligt MSB:s föreskrifter om statliga myndigheters informationssäkerhet MSB som alltså ingår i för informationssäkerhet, och som har i uppgift att samordna arbetet med informationssäkerhet i samhället, har med stöd av 21 § förordningen (2015:1052) om kris- beredskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap utfärdat föreskrifter när det gäller statliga myndigheters informationssäkerhetsarbete.71 Enligt dessa gäller att statliga myndig- heter ska bedriva ett systematiskt och riskbaserat informationssäker- 68ISO () och IEC (International Electrotech- nical Commission). 69https:///standardutveckling/tksidor/tk300399/sistk318/, . 70Med ledningssystem avses de processer och rutiner som styr en organisations verksamhet. Den del av en organisations övergripande ledningssystem som syftar till att bland annat införa, upprätthålla och utveckla organisationens informationssäkerhet brukar benämnas organisa- tionens ledningssystem för informationssäkerhet, se Myndigheten för samhällsskydd och bered- skaps föreskrifter om informationssäkerhet för statliga myndigheter (MSBFS 2020:6). 71Myndigheten för samhällsskydd och beredskaps föreskrifter om informationssäkerhet för statliga myndigheter (MSBFS 2020:6). Verksamheter som ska omfattas av granskningssystemet hetsarbete med stöd av ISO-standarderna eller motsvarande. Statliga myndigheter ska enligt föreskrifterna säkerställa att informations- säkerhetsarbetet är systematiskt och riskbaserat genom att bland annat klassa sin information avseende konfidentialitet, riktighet och tillgänglighet i olika nivåer utifrån vilka konsekvenser ett bristande skydd kan få (informationsklassning). De ska också identifiera, analy- sera och värdera risker för sin information (riskbedömning). Enligt de allmänna råden till föreskrifterna bör myndigheterna också fastställa kriterier och nivåer för bedömning av konsekvens. Ett exempel på myndighetsföreskrifter som innehåller bestäm- melser om informationsklassning är föreskrifter om säkerhet, RKF 2019:2. Enligt dem gäller bland annat att informa- tion som hanteras i , och som inte är säkerhets- skyddsklassificerade uppgifter, ska delas in i informationsklasser ut- ifrån den skada eller inverkan som ett röjande av informationen kan medföra för regeringen eller . De tre klasser som ska används är mycket skyddsvärd för information vars röjande skulle kunna orsaka stor skada eller få stor inverkan på förmågan att be- driva verksamheten, skyddsvärd för information vars röjande skulle kunna orsaka skada eller få inverkan på förmågan att bedriva verk- samheten, eller mindre skyddsvärd för information vars röjande skulle kunna orsaka mindre eller ingen skada och som inte får någon inver- kan på förmågan att bedriva verksamheten. I föreskrifterna erinras om att uppgifter som omfattas av säkerhetsskyddslagen ska klassi- ficeras på det sätt som gäller i den lagen. Klassning av information enligt MSB:s föreskrifter om informationssäkerhet för leverantörer av samhällsviktiga tjänster När det gäller samhällsviktiga tjänster, det vill säga tjänster som är vik- tiga för att upprätthålla kritisk samhällelig eller ekonomisk verksam- het, finns bestämmelser om säkerhet i nätverk och informationssystem i lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster (NIS-lagen). Leverantörer av samhällsviktiga tjänster ska bedriva ett systematiskt och riskbaserat informationssäkerhets- arbete avseende nätverk och informationssystem som de använder för att tillhandahålla samhällsviktiga tjänster. MSB har med stöd av bemyndigande i NIS-lagen utfärdat föreskrifter som innebär att leverantörer av samhällsviktiga tjänster enligt NIS-lagen är skyldiga Verksamheter som ska omfattas av granskningssystemet att bedriva ett systematiskt och riskbaserat informationssäkerhets- arbete med stöd av ISO-standarderna eller motsvarande. I föreskrif- terna anges också att leverantörer av samhällsviktiga tjänster ska ha ett dokumenterat arbetssätt för sitt informationssäkerhetsarbete som stöd för att klassa information med utgångspunkt i vilka konse- kvenser som kan uppkomma vid brister i konfidentialitet, riktighet och tillgänglighet. MSB:s metodstöd för informationssäkerhet MSB har vidare tagit fram ett Metodstöd för informationssäkerhet. Metodstödet bygger på standarden ISO/IEC 27000-serien. Metod- stödet innehåller vägledningar, råd, tips, mallar och andra verktyg. I Metodstödet anges värdet av information genom att den rela- teras till den konsekvens som en förlust, otillåten spridning eller annan skada på informationen leder till. Konsekvenserna värderas i tre olika nivåer – måttlig, betydande eller allvarlig nivå. De tar sikte på hur skadan påverkar den egna eller annans verksamhet ur olika aspekter. Att även konsekvenser som uppstår för annan verksamhet, det vill säga utanför den egna organisationen, ska beaktas vid bedöm- ningen är särskilt aktuellt när det gäller information som är kritisk för olika typer av samhällsviktiga funktioner. Klassning enligt KLASSA – ett verktyg för kommuners och regioners arbete med informationssäkerhet När det gäller kommuners och regioners arbete med informations- säkerhet har SKR tagit fram verktyget KLASSA.72 Verktyget har fokus på att snabbt få fram en handlingsplan för att nå upp till en minimi- nivå på skyddsåtgärder. Klassningen i KLASSA bygger på modellen för informationsklassning i MSB:s metodstöd. MSB har också utarbetat en vägledning för kommunerna när det gäller informationssäkerhet.73 72Verktyget togs fram med anledning av det informationsläckage som skedde i samband med utkontraktering av it-verksamhet hos Transportstyrelsen. 73Kommunens informationssäkerhet – en vägledning, MSB508, . Verksamheter som ska omfattas av granskningssystemet Verksamheter saknar tillräcklig kunskap om informations känslighet Statliga myndigheters skyldighet att klassa sin information och att identifiera, analysera och värdera risker för informationen är som ovan framgått reglerad i föreskrifter. Även leverantörer av samhällsviktiga tjänster enligt NIS-lagen ska klassa sin information. Sådana leveran- törer kan vara både privata aktörer, kommuner och regioner. När det gäller kommuner och regioner i övrigt finns ingen författningsregle- rad skyldighet att klassa information. Det förutsätts dock att dessa aktörer bedriver ett informationssäkerhetsarbete i enlighet med bland annat SKR:s verktyg KLASSA och med stöd av MSB:s metodstöd. Sammanfattningsvis har alltså statliga myndigheter och leverantörer av samhällsviktiga tjänster författningsreglerade krav på sig att klassa sin information. Övriga kommuner och regioner bör klassa sin infor- mation i enlighet med KLASSA. För privata aktörer som inte omfattas av NIS-lagen finns ingen författningsreglerad skyldighet att klassa information som inte om- fattas av säkerhetsskyddslagens bestämmelser om säkerhetsskydds- klassificering. Privata aktörer kan dock använda sig av och välja att certifiera sig enligt standarden ISO 27000-serien. De privata aktörerna kan ha stora egna intressen av att arbeta aktivt med informationssäkerhet och klassa information för att skydda sin verksamhet ur olika aspekter. Ett sådant är intresset av att upprätt- hålla sin konkurrenskraft genom att förhindra att känslig infor- mation om produkter eller affärs- eller driftförhållanden sprids. Ett annat är att kunna visa samarbetspartners att man tar väl hand om både sin egen och andras känsliga information. Som vi tidigare fört fram är det också rimligt att den som hanterar skyddsvärd informa- tion ska göra mer för att skydda denna än vad lagen kräver av dem. Både befintliga regelverk, aktörernas egenintresse och deras eget ansvar talar för utgångspunkten att företag som bedriver verksamhet som hanterar information som är känslig för sådan verksamhet som omfattas av våra förslag i övrigt borde bedriva ett seriöst informa- tionssäkerhetsarbete som innefattar klassning av information. Även om företagets egen medvetenhet om vikten av informationssäker- hetsarbete och klassning skulle brista, borde det kunna förutsättas att den verksamhet som informationen ursprungligen härrör från ställer krav i fråga om informationssäkerheten och uppmärksammar företaget på frågan. Verksamheter som ska omfattas av granskningssystemet I en sammanställning som MSB gjort över inrapporterade NIS- incidenter konstaterar MSB emellertid att avtal mellan NIS-leve- rantörer och deras underleverantörer ofta är bristfälliga när det gäller krav på att underleverantören bedriver ett ändamålsenligt informa- tionssäkerhetsarbete.74 I rapporten rekommenderar MSB därför att NIS-leverantörer bör se över bland annat kravställningar gentemot externa aktörer och i dem inkludera att den externa parten måste kunna säkerställa att underleverantörer bedriver ett ändamålsenligt informationssäkerhetsarbete. MSB rekommenderar också att NIS- leverantörerna ska arbeta med bland annat riskanalyser, informa- tionsvärdering och klassning. Rapporten tyder på att det hos samhällsviktiga och andra verksam- heter som hanterar känslig information sannolikt saknas tillräcklig kunskap när det gäller både informationens känslighet och informa- tionssäkerhetsarbete. Det innebär att det kan både finnas och han- teras känslig information i en verksamhet utan att ägaren till den är fullt medveten om dess betydelse. Våra förslag innebär bland annat att de samhällsviktiga verksamheter som ska omfattas av granskningssystemet ska anges i myndighets- föreskrifter. Det är alltså inte ännu helt klart vilka aktörer som kom- mer att omfattas av granskningssystemet till följd av att de bedriver samhällsviktig verksamhet. Det innebär att det inte går att nu skaffa sig någon närmare uppfattning om vilka aktörer som kan hantera sådan information som är känslig för dessa verksamheter. Vi be- dömer dock att det kan finnas behov av att granska investeringar i verksamhet som hanterar känslig information som härrör från sam- hällsviktig och annan verksamhet som omfattas av våra förslag men som inte i sig utgör en sådan verksamhet som omfattas. En grundläggande förutsättning för att investeringar i verksam- heter som hanterar skyddsvärd information ska kunna omfattas av ett granskningssystem är att det med tillräckligt stor förutsägbarhet ska vara möjligt att identifiera verksamheterna. För att detta ska vara möjligt krävs – sedan de primära verksamheterna pekats ut – att den 74NIS-leverantörers it-incidentrapportering – En samlad bild över rapporterade it- incidenter i samhällsviktiga och digitala tjänster, MSB1695, . Verksamheter som ska omfattas av granskningssystemet skyddsvärda informationen kan identifieras och värderas utifrån vilka konsekvenser som kan uppkomma om informationen till exempel hamnar i orätta händer. Både den aktör som på olika sätt anförtror andra känslig infor- mation om sin skyddsvärda verksamhet och den som anförtros sådan information har ett ansvar för att informationen skyddas på ett ade- kvat sätt. Det gäller oavsett om denna skyldighet är författnings- reglerad eller inte. Aktörer som hanterar skyddsvärd information har alltså ett ansvar för att analysera vilken information de hanterar och vilken skada – för egen eller annans verksamhet – som kan uppstå om informationen kommer i orätta händer. För att identifieringen av de aktuella verksamheterna ska kunna göras på ett rättssäkert och tillräckligt förutsägbart sätt behövs dock enligt vår bedömning ett allmängiltigt system för och en författ- ningsreglerad skyldighet att klassa informationen. Det finns inte någon allmängiltig skyldighet eller något system som gäller för alla aktörer när det kommer till att värdera och klassa den information som de hanterar. Det saknas alltså ett regel- verk eller annat system för informationsklassning som är lämpligt att använda sig av för att gränsa av tillämpningsområdet för ett invester- ingsgranskningssystem. En författningsreglerad skyldighet att klassa information har som nämnts införts för leverantörer av samhällsviktiga tjänster enligt NIS- lagen. Av MSB:s rapport över inrapporterade NIS-incidenter fram- går dock att denna skyldighet inte uppfylls på ett tillfredsställande sätt. Enligt rapporten finns det brister i informationssäkerhetsarbetet och kravställningen både hos primära system- och informations- ägare och hos deras leverantörer samt underleverantörer. Vi bedömer sammanfattningsvis att det inte finns förutsättningar att i ett svenskt granskningssystem reglera investeringar i verksam- het som hanterar skyddsvärd information särskilt.