sou · H9B363 · 2021-07-02 00:00:00 — 67Beträffande framtagandet av minimistandarder för it-säkerhet i vissa sektorer, se nedan. 68BSI bör involveras i ett tidigt skede i större federala digitaliseringsprojekt. BSI får dock inte utfärda någon säkerhetscertifiering om det finns motstridande tvingande allmänna intressen, särskilt avseende natio- nella säkerhetsangelägenheter.69 Om it-säkerhetsbrister upptäcks kan BSI, i samråd med behöriga tillsynsmyndigheter70, beordra utövare av kritisk verksamhet att åt- gärda bristerna.71 Allianz für Cyber-Sicherheit grundades och ger nationella myn- digheter, företag och föreningar en samarbetsplattform genom vil- ken information om aktuella hot och praktiska cybersäkerhetsåtgär- der kan utbytas. Deltagarna drar nytta av kunskapen och de många engagerade partnerna och kan därmed förbättra skyddet av sin egen it-infrastruktur. Som medlem kan man även få tillgång till BSI:s exper- tis på området. ZITiS – centralkontor för it i säkerhetssektorn I syfte att kontinuerligt utveckla säkerhetsmyndigheternas tekniska färdigheter och förhindra skada till följd av cyberaktivitet inrättades under det federala inrikesministeriet ett kontor för it i säkerhets- sektorn, Zentrale Stelle für Informationstechnik im Sicherheitsbereich (ZITiS). ZITiS är en del av cybersäkerhetsstrategi (se nedan). Kontoret tillhandahåller på detta område tjänster till säkerhetsmyn- digheterna i . ZITiS uppgifter utgår från de nationella säker- hetsmyndigheternas behov. Uppgifterna inbegriper bl.a. telekom- munikationsövervakning, analys av krypto och stordata samt tekniska frågor om säkerhet. Också kvalitetssäkring av de produkter som an- vänds ingår i tjänsterna. Kontoret bidrar med rådgivning och support 69Se lagen om BSI: Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSI- Gesetz – BSIG). utövar den federala myndigheten tillsyn över områdena elektricitet, gas, telekommunikation, post och järnväg. 71Enligt konstitutionell lag har den federala regeringen ingen behörighet att anta regler be- träffande organisationen och funktionen av de offentliga tjänster eller funktioner som till- handahålls av federala stater, utan den behöriga myndigheten på nationell nivå är BSI. Det är BSI som ansvarar för att förebygga och bedöma cyberhot samt utgör den primära tillsyns- myndigheten för IKT-system i kritisk infrastruktur. men har inga befogenheter att ingripa och är inte någon upphand- lingsorganisation. I specifika sektorer, t.ex. banksektorn, kan den behöriga sektors- myndigheten fastställa minimistandarder för it-säkerhet. Övergripande reglering av informations- och cybersäkerhet 2016 antog en uppdaterad nationell cybersäkerhetsstra- tegi72 som tillhandahåller ett strategiskt ramverk för federal cyber- säkerhetsverksamhet. Strategin uppmärksammar bl.a. behovet av att såväl statliga institutioner samarbetar för att säkerställa cybersäker- het som att regeringen arbetar tillsammans med industrin. Att staten har egna säkra informationssystem framhålls som sär- skilt angeläget. Inrättandet av ZITiS är en del av strategin. Att risk- analyser görs och säkra system används, genom tillämpning av lämp- liga säkerhetsprodukter och standarder, är vägledande principer enligt strategin. Det ska ske återkommande utvärderingar av strategin som syftar till att hålla det rättsliga ramverket uppdaterat i förhållande till den snabba tekniska utvecklingen. Reglering och certifiering av it-säkerhet BSI:s övergripande uppgifter och befogenheter regleras i en särskild lag, den s.k. BSI-lagen.73 It-säkerhet hos kritiska infrastrukturer be- handlas särskilt. Verksamhetsutövare i samhällsviktiga sektorer åläggs vissa skyldigheter i lagen, såsom att vidta lämpliga och proportio- nella säkerhetsåtgärder för sina it-system, -komponenter eller -pro- 72Se /topics/national-cyber-security-strategies/ncss-map/national- cyber-security-strategies-interactive-map/strategies/cyber-security-strategy-certifiering for- . Den föregående cybersäkerhetsstrategin var . 73Genom en lag för att öka säkerheten för it-system (Gesetz zur informa- tionstechnischer Systeme) har införts diverse ändringar av it-säkerhetsregleringar i sektorslagar för kritisk infrastruktur samt befintlig lag om BSI så att byråns uppgifter och befogenheter utvidgats. cesser samt att rapportera cybersäkerhetsincidenter till BSI. Certi- fiering är ett sätt som verksamhetsutövarna kan visa på överensstäm- melse med säkerhetskraven. Ingen särskild certifieringsordning eller godkännandeförfarande krävs enligt lag. Överträdelser av skyldighe- terna i fråga om it-säkerhet74 och rapportering kan föranleda admi- nistrativa sanktioner. Genom Gesetz zur informationstechnischer Systeme, som är en lag om it-säkerhet, har den tyska lagstiftaren före- skrivit obligatoriska åtgärder för att uppnå en enhetlig nivå av säker- het i nätverk och informationssystem inom vissa kritiska infrastruk- turer. I lagen har införts bestämmelserna om kritisk infrastruktur i BSI-lagen som till stor del är i överensstämmelse med säkerhets- kraven i NIS-direktivet.75 BSI får utfärda cybersäkerhetscertifikat efter att överensstäm- melse med uppställda krav bedömts. När BSI gör sin granskning kan den använda sig av en kvalificerad oberoende tredje part.76 Utfärdan- det av certifikat förutsätter att det federala inrikesministeriet bestämt att certifikatutfärdande inte skulle strida mot tvingande allmänna in- tressen, i synnerhet nationella säkerhetsangelägenheter. I enlighet med förordningen om utfärdande av säkerhetscertifikat och erkännanden av BSI, BSI-Zertifizierungs- und -Anerkennungs- verordnung – BSIZertV, fastställer BSI förfaranden för certifiering av it-produkter, -komponenter, -system och skyddsprofiler vad gäller testkriterier, krav på utrustning och tillförlitlighet.77 Regleringen ger även BSI i uppdrag att erkänna och kontrollera behöriga expertorgan.78 74Det är obligatoriskt att åtgärda it-säkerhetsbrister. 75I den utsträckning som kraven i NIS-direktivet inte redan fastställdes i it-säkerhetslagen ändrades BSI-lagen i enlighet med detta 2017. En andra version av it-säkerhetslagen håller på att utarbetas. Den nya lagen strävar efter att hålla jämna steg med den tekniska utvecklingen och stärka den rättliga ramen inom tre området: (1) skydd av kritisk infrastruktur i den privata sektorn inklusive kritiska komponenter och företag av särskilt allmänintresse, (2) konsument- skydd, och (3) skydd av federala it-system. 76BSI kan i sammanhanget definiera krav för hur säkerhetsgranskning och certifiering ska implementeras och vilka bevis som behöver tillhandahållas. 77BSI ska som utgångspunkt publicera listor över certifierade it-system, -produkter och -kom- ponenter samt skyddsprofiler på internet. Sökande underkastar sig ett flertal skyldigheter att bistå och tillmötesgå BSI. BSI kan när som helst kontrollera om vissa krav för certifiering är uppfyllda. 78Die (DAkkS) är det nationella ackrediteringsorganet i i enlighet med förordningen (EG) nr 765/2008 om krav för ackreditering. Riktlinjer för federal cybersäkerhet Regimen för cybersäkerhet inom den federala administrationen fast- ställs i Umsetzungsplan Bund-riktlinjerna. Dessa är endast bindande för den federala administrationen och föreskriver att ett informa- tionssäkerhetshanteringssystem (ISMS) måste implementeras och underhållas i enlighet med BSI IT-Grundschutz. Statliga myndigheter kan certifieras enligt ISO 27001 på grundval av BSI IT-Grundschutz. Certifikatet bekräftar då att it-säkerhetskon- ceptet uppfyller kraven i ISO 27001. Särskilda krav på IKT i säkerhetskänslig verksamhet Allmänt om it-system som behandlar klassificerad information En förutsättning för användning av it-system för klassificerad infor- mation är ett informationssäkerhetskoncept i enlighet med standar- derna för BSI IT-Grundschutz, som it-säkerhetsansvariga ansvarar för. Dessutom finns krav på sekretesskydd som går utöver det grund- läggande it-skyddet och som ska definieras av säkerhetschefer enligt VSA Bund. Certifiering enligt tekniska riktlinjer Utöver certifieringen av it-produkter och -system med avseende på deras säkerhetsfunktioner tillhandahåller BSI även tjänsten att certi- fiera enligt tekniska riktlinjer avseende särskilda funktionskrav. En certifiering enligt tekniska riktlinjer krävs om implementeringen av särskilda funktionskrav är avgörande för driften av en it-produkt eller ett it-system. Detta gäller i synnerhet it-produkter eller -system som är avsedda att sättas in i säkerhetskänsliga domäner i . Stor vikt läggs här vid krav som rör elektronisk manipulationsresistens, driftsäkerhet och interoperabilitet.79 Befintliga tekniska riktlinjer gäller för bl.a. smartkortläsare, lag- ring av kryptografiskt signerade dokument och kommunikations- 79Tekniska riktlinjer som specificerar dessa krav har utvecklats och släppts av BSI i nära sam- arbete med industrin. processer80 för officiella dokument. Nya tekniska riktlinjer utvecklas för att möta krav på nationell säkerhet eller för att tillgodose vissa behov av allmänt intresse. Tillverkare och distributörer kan ansöka om certifiering enligt tekniska riktlinjer och få en bedömning av överensstämmelse av sina it-produkter eller -system utfärdad av BSI. Vid certifieringsförfaran- det genomgår it-produkten eller -systemet en oberoende evaluering av överensstämmelse baserat på de testspecifikationer som definieras i den tekniska riktlinjen. Evalueringen av överensstämmelse sker under överinseende av BSI. Efter framgångsrik bedömning av överensstäm- melse utfärdar BSI ett certifikat för it-produkten eller -systemet. Allmänna administrativa instruktioner för skyddet av klassificerat material 2006 utfärdade det federala inrikesministeriet Verschlusssachenan- weisung – VSA Bund81 som är allmänna administrativa instruktioner för det fysiska och organisatoriska skyddet av klassificerat material82. Instruktionerna riktar sig till statliga organisationer som arbetar med klassificerat material83 och därmed måste vidta försiktighetsåtgärder för att skydda det. Instruktionerna anger att vissa åtgärder för it- säkerhet ska vidtas. Enligt instruktionerna ska ”State-of-the-art”-åt- gärder vidtas för att skydda klassificerat material mot risk för förlust av konfidentialitet, tillgänglighet eller integritet.84 Klassificerat mate- rial får endast bearbetas på it-system som är begränsade till att an- 80Kommunikationsmodellen som beskrivs i BSI-TR-03132 gäller för kommunikation mellan myndigheter och skapare av dokument. En del av kommunikationen kräver certifikat. Kryp- tering är också en säkerhetsåtgärd som måste vidtas för vissa meddelandetyper. Utöver denna tekniska riktlinje finns en tillhörande testspecifikation som definierar testkrav för att bestämma riktigheten av genomförandet av kraven som anges i den tekniska riktlinjen. 81Allgemeine Verwaltungsvorschrift des Bundesministeriums des Innern zum materiellen und organisatorischen . 82Klassificerat material avser information, föremål eller fakta som i allmänhetens intresse måste hållas hemliga, i synnerhet för att skydda den federala regeringens eller en federal stats välfärd, oavsett i vilken form materialet presenteras. Affärs-, drifts-, uppfinnings-, skatte- eller andra privata hemligheter eller omständigheter i den personliga sfären kan också vara föremål för sekretess i allmänhetens intresse enligt VSA Bund. 83Med klassificerat material avses alla uppgifter och föremål som behöver hållas hemliga i all- mänhetens intresse, oavsett form. 84Departement som använder it för att bearbeta klassificerat material ska tillsätta it-specia- lister med ansvar för informationssäkerheten. Bara personer med vederbörligt godkännande får arbeta med klassificerat material. Behovet av godkännande för militära säkerhetsändamål ska bestämmas av det federala försvarsministeriet. Se även lagen Sicherheitsüberprüfung om säkerhetskontroll och -godkännande av personer som ska utöva säkerhetskänslig verksamhet, där Bundesamt für Verfassungsschutz utför kontroll på uppdrag av anställande myndighet. vända hård- och mjukvara som godkänts av chefer på myndigheten. Vidare kräver säkerhetsrelaterade ändringar av auktoriserade it-system förhandsgodkännande av berörda säkerhetsansvariga. Tekniska medel för att skydda klassificerat material måste inspekteras av BSI och bedömas lämpliga. It-system som ska behandla klassificerat material måste inspekteras av säkerhetsansvariga före användning. När det gäller undersökningen av om nödvändiga säkerhetsåtgärder vidtagits för komplexa it-system bör BSI konsulteras. BSI ska hjälpa till med genomförandet av instruktionerna.85 Bl.a. ska BSI bedöma lämpligheten av tekniska medel som ska skydda klassificerat material. BSI ska vidare godkänna produkter med säkerhetsfunktioner för it, bl.a. produktion av nyckelmaterial, kryptering och nätseparation som ska användas till klassificerat material måste ha godkänts av.86 Godkännandet måste också innehålla nödvändiga specifikationer an- gående användnings- och driftsvillkor. Produkter som har funktioner för kontroll av systemåtkomst, produktion av klassificerat material, loggning, förebyggande av manipulering av it-system, eller registrer- ing – och som används för material som klassificeras som konfiden- tiellt – bör ha godkänts av BSI. Myndighetschefer kan tillåta användning av andra produkter, särskilt om inga lämpliga godkända produkter finns tillgängliga och det inte är möjligt att få några sådana . Sådana andra produkter inkluderar särskilt produkter som certifierats av BSI i enlighet med Common Criteria, med användning av nationella skydds- profiler. Tills nationella skyddsprofiler blir tillgängliga kan andra BSI- certifierade produkter också användas.87 Godkännanden ska rangordnas efter behovet av skydd för it- applikationer för klassificerat material, på grundval av allmänt veder- tagna säkerhetskriterier och förfaranden, som ska kompletteras med särskilda attackskyddstester när det är nödvändigt. Ytterligare detal- jer ska anges av BSI i en s.k. godkännandeplan som ska godkännas av federala inrikesministeriet. Om it-system ska användas för hemligt material måste säker- hetsansvariga låta BSI utföra vissa tekniska tester av it-systemet för 85Hjälpen inkluderar teknisk testning och utbildning. BSI kan anlita tjänster från andra organ för stöd i detta arbete, men om privata organ ska vara inblandade krävs förhandsgodkännande av det federala inrikesministeriet. Inom försvarsministeriets område ska dessa uppgifter ut- föras av den militära underrättelsetjänsten i samarbete med BSI. 86För begränsat hemligt material avser kraven bara kryptering. 87Vid valet av alternativa produkter ska BSI:s upphandlingsguide användas. att se om nödvändiga it-säkerhetsfunktioner implementerats korrekt. När nätverksbaserade it-system används för klassificerat material kan även säkerhetsansvariga behöva genomföra ett penetrationstest. Aktörer inom informations- och cybersäkerhet Agence nationale de la sécurité des systèmes d’information () är den nationella myndigheten för cyberförsvar och nätverks- och informationssäkerhet. är vidare behörig myndighet för skydds- värda informationssystem. Myndigheten rapporterar till general- sekreteraren för försvar och nationell säkerhet (Secrétariat général de la défense et de la sécurité nationale, SGDSN).88 fastställer tekniska och organisatoriska cybersäkerhetsregler för samhällsviktiga sektorer och godkänner aktörer som ska utöva verksamhet i dessa sek- torer. ANSSI:s godkännande är även nödvändigt när det gäller vissa produkter och system med säkerhetsfunktioner som ska användas i verksamhet som avser nationell säkerhet (se nedan).89 Vid finns ett certifieringsorgan som utfärdar certifikat för it-produkter och föreskriver metoder och evalueringskriterier. Vidare behöver evalueringsföretag licensieras av . prövar sedan att evalueringsföretagen upprätthåller kompetensen i förhållande till dess licens.90 88På nationell nivå har generalsekreteraren för försvar och nationell säkerhet, SGDSN, å pre- miärministerns vägnar ansvaret för att styra den nationella politiken för säkerheten hos infor- mationssystem, inbegripet definiering och koordinering av policy gällande skydd för klassi- ficerad information. För att göra detta är SGDSN beroende av . 89ANSSI ger vidare säkerhetsrekommendationer i fråga om tillhandahållare av kvalificerade betrodda tjänster. Kvalificering av en tjänsteleverantör intygar att denne uppfyller kraven från på kompetens och i standarder. Det finns bl.a. kvalificerade granskare av säkerhet i informationssystem (PASSI). 90ANSSI har tagit fram en vägledning för certifieringsprocessen och en guide för utarbetandet av en säkerhetspolicy för informationssystem (PSSI Guide). Målet med PSSI-guiden är att ge support till informationssystemens säkerhetschefer för att utveckla en it-säkerhetspolicy inom sina organisationer. Den fokuserar på 16 domäner inom cybersäkerhet, särskilt informa- tionssystem, säkerhetsriskhantering, assurans och certifiering, incidenthantering samt planer- ing av företagskontinuitet. anger även detaljerade regler för säkerheten hos informa- tionssystem i små och medelstora företag i sin guide om god it-praxis, Guide des bonnes pratiques de l’informatique. AQSSI – Kvalificerade myndigheter för säkerhet i informationssystem På lokal nivå finns en organisation, Autorité qualifiée pour la sécurité des systèmes (AQSSI), med ansvar för informationssystemsäkerhet i förvaltning, offentliga anläggningar och decentraliserade tjänster. Chefen för organisationen ska definiera en säkerhetspolicy för infor- mationssystem och säkerhetsställa genomförandet av gällande re- glering. AQSSI ska också utse s.k. godkännandemyndigheter för be- rörda system (se nedan). Centre d’Évaluation de la Sécurité des Technologies de l’Information (CESTI) utför oberoende och opartiska evalueringar vid certifier- ingsprocesser enligt Common Criteria och/eller den nationella ord- ningen för grundläggande säkerhetscertifiering av it-produkter (CSPN). Evalueringscentret är godkänt av . Övergripande reglering av informations- och cybersäkerhet Nationell strategi och informationssystem har antagit en nationell cybersäkerhetsstrategi som gäller sedan 201591 – och i samband med det har man framhållit vikten av att prioritera införlivandet av cybersäkerhet i kritisk infrastruktur, s.k. skydd av kritisk informationsinfrastruktur (CIIP). Alla informationssystem i statlig förvaltning omfattas av särskilda säkerhetskrav (se nedan). Behovet av att använda produkter och tjäns- ter som är kvalificerade enligt samt att skydda myndighe- ternas mest känsliga uppgifter på det nationella territoriet är fram- trädande i det nationella systemet. har länge rekommenderat en process för säkerhetsgod- kännande av informationssystem för att bygga förtroende för syste- men och deras framtida drift. Som utgångspunkt är det dock chefen för den berörda organisationen som ska fatta beslutet om godkännande. 91Se /topics/national-cyber-security-strategies/ncss-map/national- cyber-security-strategies-interactive-map/strategies/information-systems-defence-and- security-frances-strategy. Certification de Sécurité de Niveau (CSPN) är en nationell certifieringsordning för säkerhetscertifiering av it-produkter på grund- läggande nivå, som tagits fram, ägs och drivs av , där evaluer- ing ska utföras av en oberoende tredje part licensierad av ANSSI.92 Certifieringsordningen avser att uppfylla kraven i artikel 54 i EU:s cybersäkerhetsakt (om minimikomponenter) och är redan delvis kom- patibel med akten. Syftet med evaluering och certifiering enligt ord- ningen är att bedöma en produkts motståndskraft mot en måttlig nivå av angrepp. är certifieringsorgan och utfärdar nationellt giltiga certifikat. Riktlinjer för grundskydd av myndigheters it-system Référentiel Général de Sécurité (RGS) är riktlinjer som tillhandahålls av , avser ett grundskydd93 som gäller för it-system som an- vänds av administrativa myndigheter. Myndigheterna är skyldiga att säkerställa säkerheten hos sitt elektroniska datautbyte och sin kom- munikation. Här är dataskydd en viktig aspekt. Industriella informations- och styrsystem har tagit fram ett dokument med rekommendationer och direktiv till stöd för ökad cybersäkerhet i industriella informations- och styrsystem där certifiering och godkännandeprocesser är åter- kommande inslag.94 Bl.a. ska vissa tjänster95, produkter96, metoder och personer97 vara certifierade. 92Även verksamhetsutövare omfattas av certifieringsordningen. Ordningen tillåter för övrigt inte självbedömning. 93Lägsta rekommenderade skyddsnivå för informationssystem och organisation. 94Agence Nationale de la Sécurité des Systèmes d’Information (), (2014): Cybersecurity for . riskanalys av verksamheten, cybersäkerhetsträning och säkerhetsgranskning. datadioder samt enheter som används i trådlösa nätverk. 97Fysisk tillgång till enheter på plats ska förbehållas certifierad personal. IKT i säkerhetskänslig verksamhet Skyddsvärd information i system Alla informationssystem som hanterar säkerhetsklassificerad infor- mation ska godkännas så att systemet är kvalificerat att hantera sådana uppgifter i enlighet med eftersträvade säkerhetsmål och åter- stående säkerhetsrisker accepteras. Sådana informationssystem ska godkännas av en s.k. godkännandemyndighet. Om informations- systemet behandlar information som klassificerats som kvalificerat hemlig är SGDSN godkännandemyndighet.98 Dessutom måste säker- hetsfunktionerna för dessa system godkännas av ANSSI.99 Godkän- nandebeslut måste som utgångspunkt fattas innan informationssyste- met tas i drift (”l’homologation du système”).100 Det ovan anförda följer av Instruction générale interministérielle n°1300 (IGI 1300) – en instruktion som bl.a. fastställer regler för skydd av information som rör nationella försvarshemligheter. Instruktionen anger villkor för att hantera känsliga och klassificerade uppgifter och säkerställa deras skydd. Instruktionen uppställer organisatoriska, tekniska och kon- traktuella villkor för att säkerställa tillräcklig tillförlitlighet. T.ex. måste varje entitet som hanterar skyddsvärd information definiera roller och ansvar enligt instruktionen och berörda informationssystem ska ackrediteras på lämplig nivå av behörig myndighet före bearbet- ning av klassificerad information. har deltagit i utarbetandet av instruktionen genom att definiera regler för att skydda informationen när den behandlas i informationssystem.101 98Godkännandeorgan för berörda system utses annars av berörd AQSSI i de fall systemet tillhör en organisation eller enhet under ledning av en minister. Det kan vara den kvalificerade myndigheten. När SGDSN ska godkänna systemet är medlem i godkännandekom- mittén. När informationssystemet tillhör en privat organisation ligger godkännandeaukto- ritetens ansvar hos det eller de organ som berörs av systemet. 99Godkända säkerhetsanordningar i informationssystemen syftar till att skydda mot obehörig åtkomst. Godkännande begärs vanligtvis av den myndighet som ansvarar för utvecklingen eller användningen av systemet. Intyg om godkännande av förmågan att skydda relevant informa- tion utfärdas efter en säkerhetsevaluering av licensierade laboratorier. Ett tillstånd kan återkallas före giltighetstidens utgång beroende på utvecklingen av hot eller upptäckten av sårbarheter. 100Godkännandebeslutet gäller för en period om maximalt för ett informationssystem på konfidentiell säkerhetsnivå respektive på hemlig eller kvalificerat hemlig nivå. God- kännandemyndigheten fastställer villkoren för att upprätthålla säkerhetsgodkännande för in- formationssystemet. 101Skyddsmärket ”Diffusion restreinte” kan användas när avslöjande av information sannolikt skulle påverka suveräna intressen. Används känsliga informationssystem, eller Diffusion restreinte- märkta system, måste använda betrodda säkerhetsprodukter. I det senare fallet ska använda säkerhetsprodukter vara godkända på rätt nivå, kvalificerade eller certifierade av .