sou · H9B363 · 2021-07-02 00:00:00 — utgör varken tillräckliga åtgärder för att möta generella krav på in- formations- och cybersäkerhet eller ens möta kraven på säkerhet i nätverks- och informationssystem i säkerhetskänslig verksamhet, då även övriga förutsättningar för en fullgod informations- och cyber- säkerhet måste föreligga. Eftersom utredningens uppdrag är inriktat på att överväga de åtgärder som tas upp i utredningsdirektiven har utredningen därför inte närmare övervägt de övriga åtgärder som bör vidtas för att stärka informations- och cybersäkerheten mer allmänt eller i den säkerhetskänsliga verksamheten, utom när det gäller be- hovet av styrning och samordning då dessa behov även utgör grund- läggande förutsättningar för de överväganden som utredningen gör i betänkandet. Behov av ökad styrning och samordning Flera offentliga utredningar och rapporter har pekat på behovet av att stärka styrningen och samordningen av digitaliseringen, särskilt när det gäller utbyggnad av infrastruktur och samordning av arbete med informations- och cybersäkerhet. Den nationella marknaden utgör en avreglerad marknad med olika skikt av infrastrukturpro- ducenter, operatörer och tjänsteutvecklare. är nationellt i en situation där nästan alla grundläggande samhällsfunktioner förut- sätter och bygger på en fungerande digital infrastruktur. Det saknas dock regler och systematik för och samordning av den digitala utveck- lingen och utbyggnaden. Mot bakgrund av mängden offentliga aktörer är detta en uppgift av betydande omfattning då frågan berör bl.a. fler än 200 statliga förvaltningsmyndigheter, 21 länsstyrelser, 20 regioner, 290 kommu- ner, 80 domstolar, 37 lärosäten, och 40 helägda statliga bolag. Det är en omfattande förvaltning som kompliceras av stora skillnader mellan verksamheterna vad gäller uppdrag, storlek, finansiella resurser och kompetens. Till detta kommer näringslivets verksamheter och alla företag som på något sätt utvecklar, driver och förvaltar samhällets digitala infrastruktur. Motsvarande gäller det övergripande arbetet med att stärka infor- mations- och cybersäkerheten i samhället i stort men även inom säker- hetskänslig och annan samhällsviktig verksamhet. Varje verksamhets- utövare har ansvar för sin egen informations- och cybersäkerhet, bl.a. vad avser säkerhet i nätverks- och informationssystem. Det saknas emellertid tillsyn över såväl statliga myndigheters verksamhet som regioners och kommuners verksamhet avseende nätverks- och informationssystem, utom såvitt avser säkerhetskänslig verksamhet och verksamhet som avser vissa samhällsviktiga och digitala tjänster. Ansvaret för tillsynsverksamhet av informations- och cybersäkerhet på dessa reglerade områden utövas dock av flera olika samråds- och tillsynsmyndigheter med i vissa fall tillämpning av olika regelsystem. Ansvaret för informations- och cybersäkerhet finns således hos många olika aktörer och styrningen och samordningen brister på både statlig, regional och nivå. Bristen på styrning och samordning medför ökade sårbarheter och risker i nätverks- och in- formationssystem i säkerhetskänsliga och andra samhällsviktiga verk- samheter. Utredningen bedömer att det bl.a. finns behov av nationell styrning och samordning vid framtagande av en gemensam hot-, sår- barhets- och riskbedömning till stöd i arbetet med informations- och cybersäkerhet. Berörda myndigheter och övriga aktörer behöver där- för i större utsträckning än vad som sker samverka och samråda i frågor som avser informations- och cybersäkerhet. Bristande förutsättningar för en nationell certifieringsordning för nätverks- och informationssystem i säkerhetskänslig verksamhet En nationell särskilt anpassad certifieringsordning för IKT-produk- ter, -tjänster och -processer som används i nätverks- och informa- tionssystem i säkerhetskänslig verksamhet kan – när vissa förutsätt- ningar är uppfyllda – vara en åtgärd som kan stärka säkerheten i dessa system. Utredningen bedömer att bestämmelserna i säkerhetsskyddslagen och säkerhetsskyddsförordningen redan ger berörda myndigheter möjlighet att föreskriva att certifierade IKT-produkter, -tjänster och -processer, som uppfyller vissa säkerhetskrav, ska användas i nät- verks- och informationssystem i säkerhetskänslig och även medge undantag från en sådan skyldighet. En nationell särskilt anpassad ordning för säkerhetskänslig verk- samhet ställer krav på att det finns en nationellt framtagen gemen- sam hot-, sårbarhets- och riskbedömning som kan ligga till grund för säkerhetskrav och framtagande av s.k. skyddsprofiler för olika IKT-produkter, -tjänster och -processer i dessa system. En sådan bedömning är också en förutsättning för inriktning av det nationella arbetet med det europeiska ramverket för cybersäkerhetscertifier- ing. saknas emellertid nationellt organisation och verksamhet som ansvarar för och tar fram en sådan nationell hot-, sårbarhets- och riskbedömning. Vidare är det europeiska ramverket för cybersäkerhetscertifiering under framtagande och utveckling. Det råder dock oklarhet om i vilken omfattning som certifierade IKT-produkter, -tjänster och -processer kommer att vara tillgängliga med stöd av detta ramverk, bl.a. vad gäller IKT-produkter, -tjänster och -processer på den högsta assuransnivån och som även kan användas – vid behov efter anpass- ning – i säkerhetskänslig verksamhet. Det råder även osäkerhet om det finns marknadsmässiga förut- sättningar att införa en nationell särskilt anpassad certifieringsordn- ing för säkerhetskänslig verksamhet då den svenska marknaden bedöms vara allt för liten för att företag ska få ekonomiska incita- ment för att låta certifiera IKT-produkter, -tjänster och -processer för användning i nätverk- och informationssystem i sådan verksam- het. Även om det skulle införas krav på obligatorisk certifiering innebär det inte någon skyldighet att tillhandhålla sådana produkter på den svenska marknaden. Härtill kommer att det nationella certifieringsorganet CSEC vid ansvarar för en nationell ordning för certifiering av it-säkerhet i produkter och system, även om den nationella Common Criteria-baserade certifieringsordningen kan komma att ersättas av en europeisk ordning för cybersäkerhetscerti- fiering (EUCC). Den nationella certifieringsordningen kan utvecklas till att omfatta certifiering av IKT-produkter, -tjänster och -processer i nätverks- och informationssystem i säkerhetskänslig verksamhet. Sammantaget gör utredningen bedömningen att det inte föreligger tillräckliga skäl att föreslå att det införs en nationell särskilt anpassad certifieringsordning för IKT-produkter, -tjänster och -processer som används i nätverks- och informationssystem i säkerhetskänslig verksamhet. Det finns dock behov av att berörda myndigheter gemensamt tar fram hot-, sårbarhets- och riskbedömningar samt skyddsprofiler för olika IKT-produkter, -tjänster och -processer som ska användas i nätverks- och informationssystem i säkerhetskänslig verksamhet. Utredningen föreslår därför att regeringen ger Försvarets mate- rielverk (FMV) i uppdrag att, i samråd och samverkan med främst de myndigheter som ingår i det nationella cybersäkerhetscentret, ut- veckla formerna för hur gemensamt framtagna hot-, sårbarhets- och riskbedömningar samt skyddsprofiler kan tas fram till stöd för krav- ställning på IKT-produkter, -tjänster och -processer som ska användas i nätverks- och informationssystem i säkerhetskänslig verksamhet. En sådan nationellt framtagen bedömning med åtföljande kravställning kan även till del utgöra underlag i det nationella arbetet inom ramen för det europeiska ramverket för cybersäkerhetscertifiering. Utredningen bedömer vidare att informations- och cybersäker- heten i statliga myndigheters verksamhet i övrigt behöver stärkas. Åtgärder bör därför vidtas som bidrar till att myndigheterna använ- der certifierade IKT-produkter, -tjänster och -processer i nätverks- och informationssystem i verksamheten om inte detta framstår som olämpligt eller omöjligt att genomföra. Myndigheten för samhälls- skydd och beredskap (MSB) bedöms ha bemyndigande att i föreskrifter ange sådant krav på statliga myndigheter. En sådan ordning kan även bidra med kunskap och erfarenheter om behov och användning av certifierade IKT-produkter, -tjänster och -processer i nätverks- och informationssystem i statlig verksamhet och även ligga till grund för det nationella arbetet med hot-, sårbarhets- och risk- bedömningar, som utredningen föreslår ska genomföras. Utvidgad samrådsskyldighet och möjligheter att besluta åtgärdsföreläggande och förbud mot driftsättning av informationssystem i säkerhetskänslig verksamhet Med utgångspunkt i utredningsdirektiven och mot bakgrund av de allvarliga brister i informations- och cybersäkerheten som framkom- mer av offentliga utredningar och myndighetsrapporter, finner utred- ningen skäl att överväga ett antal åtgärder som berör driftsättning och väsentlig förändring av informationssystem i säkerhetskänslig verksamhet. Det rör sig bl.a. om kontrollstationer såsom krav på god- kännande, särskild säkerhetsskyddsbedömning, lämplighetsprövning, samråd, förelägganden och förbud. Utredningen kan konstatera att ett eventuellt införande av krav på att informationssystem som behandlar hemliga och/eller kvalifi- cerat hemliga uppgifter ska godkännas av en utpekad central myn- dighet innan driftsättning, kan bidra till att stärka skyddet av in- formationssystem som har betydelse för säkerhetskänslig verksam- het. Denna typ av godkännandeförfarande är vanligt förekommande i andra länder och kan i sig anses utgöra en rimlig åtgärd för att stärka skyddet för nationell säkerhet. Utredningen bedömer att nu pågående lagstiftningsåtgärder, där- ibland de av regeringen föreslagna ändringarna i säkerhetsskydds- lagen (prop. 2020/21:194), inte kan likställas med ett formellt myn- dighetsgodkännande och inte heller kan anses utgöra tillräckliga åtgärder för att skydda informationssystemen i säkerhetskänslig verk- samhet. Ett krav på formellt förhandsgodkännande från en central myndighet torde i och för sig medföra en oberoende tredjeparts- bedömning som bidrar till skapandet av en minimistandard för kon- troll av säkerhet och mer enhetliga säkerhetskrav hos verksamhets- utövarna. Utredningen gör bedömningen att ett nationellt införande av ett generellt krav på myndighetgodkännande av informations- system i säkerhetskänslig verksamhet medför ett betydande behov av omorganisering och ökade resurser hos samråds- och tillsyns- myndigheter. Vidare skulle ett sådant krav på godkännande behöva utformas i linje med övriga krav på säkerhetsskydd för informations- system, vilket alltjämt medför att en stor mängd säkerhetskänslig information, om än på lägre nivå, faller utanför regleringen. Innan införandet av ett krav på godkännande övervägs ytterligare bör där- för utvärderas om redan föreslagna författningsändringar på säker- hetsskyddsområdet i förening med en stärkt samrådsroll för Säker- hetspolisen och Försvarsmakten utgör tillräckliga åtgärder när det gäller informationssystem i säkerhetskänslig verksamhet (se nedan). Till detta kommer att vissa centrala myndigheter redan inom befint- liga mandat kan föreskriva om bl.a. krav på certifierade IKT-produk- ter, -tjänster och -processer i informationssystem i säkerhetskänslig verksamhet (se ovan) och även som en säkerhetsskyddsåtgärd före- lägga en verksamhetsutövare att använda sådana produkter, tjänster och processer. Ett utvidgat samrådsförfarande och utökade befogenheter För att göra användningen av ett informationssystem i säkerhets- känslig verksamhet säkrare, och därmed stärka skyddet för säkerhet, föreslår utredningen ändringar i säkerhetsskyddslagen. Föreslagna ändringar innebär bl.a. följande åtgärder. –Säkerhetsskyddsförordningens bestämmelser om förberedande åtgärder inför driftsättning av informationssystem ska överföras till säkerhetsskyddslagen. –Befintligt krav på verksamhetsutövare att göra en särskild säker- hetsskyddsbedömning utvidgas till att även omfatta planerade väsentliga förändringar av informationssystem som kan ha bety- delse för säkerhetskänslig verksamhet. –Verksamhetsutövare ska pröva lämpligheten av en planerad drift- sättning eller väsentlig förändring av informationssystem som har betydelse för säkerhetskänslig verksamhet. Om lämplighetspröv- ningen leder till bedömningen att det planerade förfarandet är olämpligt från säkerhetsskyddssynpunkt ska det inte inledas. –Lämplighetsprövningen ska, liksom den särskilda säkerhetsskydds- bedömningen, dokumenteras. –I fall verksamhetsutövarens lämplighetsprövning leder till bedöm- ningen att det planerade förfarandet inte är olämpligt från säker- hetsskyddssynpunkt ska verksamhetsutövaren – om övriga rekvi- sit för samråd är uppfyllda – samråda med samrådsmyndigheten (Säkerhetspolisen eller Försvarsmakten). –Verksamhetsutövares skyldighet att, inför driftsättning eller väsent- lig förändring av vissa informationssystem, samråda med Säker- hetspolisen eller Försvarsmakten ska inte begränsas till att ske i form av en skriftlig process. –Säkerhetspolisen och Försvarsmakten ska, i egenskap av samråds- myndigheter enligt säkerhetsskyddslagen, få inleda samråd och inom ramen för ett samråd besluta åtgärdsföreläggande mot verk- samhetsutövaren att vidta en säkerhetsskyddsåtgärd i berört in- formationssystem. –Samrådsmyndigheterna ska även få möjlighet att förbjuda en ur säkerhetsskyddssynpunkt olämplig driftsättning eller förändring av informationssystem och besluta sanktionsavgift mot den som åsidosätter samrådsskyldigheten eller agerar i strid med meddelat förbud.1 –Tillsynsmyndigheterna får en ny undersökningsbefogenhet genom möjligheten att, vid äventyr av vite, få tillgång till verksamhets- utövares informationssystem. Utredningen bedömer att skyddet för säkerhet stärks genom förslagen. Utredningens förslag att () ska ges i uppdrag att i samråd och samverkan med andra myndigheter och aktörer ta fram formerna för arbetet med en nationell gemensam hot-, sårbarhets- och riskbedömning kan antas medföra vissa kost- nader. Med anledning av dessa kostnader bör FMV:s anslag ökas. Eventuella kostnader för övriga berörda myndigheter bedöms rym- mas inom befintliga anslagsramar. För de verksamhetsutövare som kommer att träffas av övriga för- slag kan de medföra vissa administrativa bördor och ökade kostnader som bedöms vara begränsade, främst när det gäller det utvidgade samrådsförfarandet. Förslagen innebär även vissa ökade förvaltningskostnader för de myndigheter som kommer att vara samrådsmyndigheter (Säkerhets- polisen och Försvarsmakten). Dessa kostnader är främst beroende av i vilken omfattning som samråd kommer att ske och är svåra att uppskatta. Eventuella kostnader bedöms emellertid vara begrän- sade och kunna rymmas inom befintlig anslagsram och förväntat utökat anslag (se prop. 2020/21:30). Förslagen bedöms också med- föra ökat behov av samverkan mellan samråds- och tillsynsmyn- digheter som kan generera vissa begränsade kostnader, vilka bedöms kunna rymmas inom myndigheternas anslag. 1De utökade befogenheterna motsvarar i allt väsentligt vad som föreslås gälla (prop. 2021/21:194) för tillsynsmyndigheter vid verksamhetsutövares anskaffning och överlåtelse av säkerhets- känslig verksamhet. När det gäller verksamhetsutövarens skyldigheter är dock särskilt långt- gående krav på säkerhet motiverade vid just driftsättning och väsentlig förändring av informa- tionssystem som kan komma att behandla säkerhetsklassificerade uppgifter. Förslaget om en ny undersökningsbefogenhet för tillsynsmyn- digheterna ökar möjligheten till effektiv tillsyn och bedöms inte på- verka kostnaderna för tillsynsmyndigheterna i nämnvärd utsträckning. Förslaget om att tillsynsmyndigheterna ska ha rätt att få tillgång till verksamhetsutövares informationssystem kan leda till att Krono- fogdemyndighetens hjälp behövs vid ett antal tillfällen, men ökningen bedöms inte bli särskilt stor och förväntas inte påverka myndighe- tens verksamhet mer än att konsekvenserna kan hanteras inom be- fintliga anslag för myndigheten. Också den nya bestämmelsen om sanktionsavgift kan komma att bidra till en ökad efterlevnad av regelsystemet och effektivare tillsyn samt i begränsad omfattning öka antalet indrivningsärenden hos . Vidare medför förslagen i fråga om överklagande av samrådsmyn- dighetens beslut att de allmänna förvaltningsdomstolarna får något ökad måltillströmning och därmed fler arbetsuppgifter. Utredningen bedömer emellertid att ökningen av antalet mål kommer att bli be- gränsad och att kostnadsökningarna för domstolarna bör rymmas inom befintliga anslagsramar. Förslagen påverkar i viss mån den kommunala självstyrelsen. Den föreslagna regleringen går dock inte utöver vad som är nödvändigt för att skydda de mest skyddsvärda verksamheterna i samhället. Även om någon ny kriminalisering inte föreslås kan förslagen antas ha vissa brottsförebyggande effekter. Eftersom de utökade befogenheterna torde underlätta för Säkerhetspolisens brottsbekäm- pande verksamhet på säkerhetsskyddsområdet, och då skärpta krav ställs för driftsättning respektive förändring av informationssystem i säkerhetskänslig verksamhet, bedöms förslagen bl.a. motverka data- intrång. Utredningen bedömer att nu nämnda förslag, utöver vad som anförts ovan, inte berör andra områden som anges i 15 § kommitté- förordningen. Förslagen och bedömningarna i övrigt, bl.a. att certi- fierade IKT-produkter, -tjänster och -processer i ökad utsträckning bör användas av statliga myndigheter, bedöms inte medföra några konsekvenser som behöver redovisas närmare i konsekvensanalysen. Union (EU) has adopted a number of strategies, policies and regulations to strengthen cybersecurity in the EU and its Member States. Regulation (EU) 2019/881 of Parlia- ment and of the Council of on (for Cybersecurity) and on information and communica- tions technology cybersecurity certification and repealing Regulation (EU) No 526/2013 (Cybersecurity Act) entered into force on 27 2019. The main purpose of this Regulation is to achieve a high level of cybersecurity, cyber resilience and trust within the Union, and to support the proper functioning of the internal market. cybersecurity certification framework, i.e. the EU Cybersecurity Act and implementing acts issued pursuant to the Cybersecurity Act, will regulate cybersecurity certification ensuing from a European cyber- security certification scheme laid down by the Commission. The Inquiry’s remit for this first part consisted of proposing the adaptations and supplementary national statutory provisions neces- sitated by the EU Cybersecurity Act and which must be in place when the entire Regulation begins to apply on 28 2021. The remit also included considering and proposing which existing national authority should be designated to perform the tasks and be assigned the areas of responsibility ensuing from the Cybersecurity Act, in- cluding the task of supervising compliance with cyber- security certification framework. The Inquiry submitted its interim report, Supplementary provi- sions to the EU Cybersecurity Act (SOU 2020:25) in . Subsequent to the Interim Report of the Inquiry being circulated for comment, the Government has submitted a 2020/21:186 Kom- pletterande bestämmelser till EU:s cybersäkerhetsakt [Supplementary provisions to the EU Cybersecurity Act] to the Riksdag proposing a new act containing supplementary provisions to the EU Cyber- security Act. The proposed act includes supplementary national provi- sions on a national authority for cybersecurity certification, super- vision, fines, and the procedure for cybersecurity certification. On 9 2021, the Riksdag passed the government bill and decided that the Act with supplementary provisions to the EU Cybersecurity Act will enter into force on 28 2021. In connection with the act entering into force, the Government has designated the () as the national authority for cybersecurity certification with the tasks ensuing from cybersecurity certification framework, i.e. the EU Cyber- security Act and the implementing regulations to be issued with the support of the Cybersecurity Act. At the same time, it should be noted that measures relating to areas such as defence and national security fall outside the com- petences of the EU (Article 4(2) of the ). Article 1(2) of the EU Cybersecurity Act therefore states that the Regulation is without prejudice to the competences of the Member States regard- ing activities concerning public security, defence, national security and the activities of the State in areas of criminal law. In the terms of reference of the Inquiry, the Government stresses that it must be possible to impose special security requirements on network and information systems in order to protect national security and that there is now reason to consider whether additional national requirements should be introduced to ensure that network and in- formation systems that will be used in security-sensitive activities meet the requirements necessary to maintain the protection of such activities. The Inquiry’s remit therefore includes assessing whether there is reason to introduce national special requirements that ICT products, services and processes which are part of a network and information system that will be used in security-sensitive activities must be cer- tified under a specially adapted national certification scheme designed for such operations. The remit also includes considering whether there is reason to introduce administrative approval requirements for such ICT products, services and processes before they may be deployed in certain or all security-sensitive activities. The remit includes an international comparison of legislation that entails special national security requirements on ICT products, services and processes that are part of a network or information system in countries deemed to be of interest. For network and information systems used in or of importance to security-sensitive activities, there are currently special requirements in the Ordinance (2018:658). These include pre- paratory measures prior to the deployment of information systems and ongoing security requirements imposed on these information systems. The provisions also contain requirements for consultation with the or the Swedish Armed Forces in cases where the information systems may process classified informa- tion of a certain type and information systems where unauthorised access to these systems could cause harm to ’s security that is not insignificant. The provisions prescribe that the operator is responsible for ensuring that information systems comply with the information security requirements. The growth of digitalisation and the requirement on information security and cybersecurity Digitalisation is described as the most powerful force for change in our time and has resulted in a growing proportion of societal activities becoming dependent on networks and information systems, which are used by government agencies, organisations, companies and private individuals. Digitalisation has created new forms of communication, data processing and data storage that offer major opportunities to improve and streamline different activities. Digitalisation affects the whole of society and this area can be described as horizontal in that it covers all sectors of society. Digital transformation is progressing very rapidly on many levels, globally as well as in , and central government authorities, regions, municipalities and actors in the business community have been pursuing various digitalisation projects for many years. Today, many information processing systems are based primarily on digital informa- tion and communications technology (ICT). Following in the wake of increasing globalisation and digitalisa- tion, which increase dependencies over national and sectoral borders and across areas of responsibility, is also an increased focus on cyber issues in society.