sou · H9B363 · 2021-07-02 00:00:00 — För att kunna bevaka och tillvarata nationella intressen i detta sammanhang måste det finnas en nationell struktur som skapar för- utsättningar för att nationella krav kan bevakas vid hot-, sårbarhets- och riskbedömningar och vid framtagande av skyddsprofiler inom ramen för det europeiska ramverket för cybersäkerhetscertifiering. En annan förutsättning för att ställa krav på att verksamhets- utövare i första hand ska använda certifierade IKT-produkter, -tjäns- ter och-processer är att detupprättas en nationell sammanställning över certifierade IKT-produkter, -tjänster och -processer som bör alternativt inte bör användas i nätverks- och informationssystem i säkerhetskänslig respektive samhällsviktig verksamhet och som under- hålls av en kompetent myndighet (se nedan). 12.5.5Behov av nationell sammanställning över certifierade och rekommenderade IKT-produkter, -tjänster och -processer Utredningen bedömer att en grundläggande förutsättning för att kunna ställa krav – vid behov med stöd av författning – på att certi- fierade IKT-produkter, -tjänster och -processer ska användas i nät- verks- och informationssystem i säkerhetskänslig verksamhet är att det kan ske först när en utvecklad sammanställning över certifierade IKT-produkter, -tjänster och -processer är tillgänglig. Detta kan t.ex. åstadkommas genom att en utsedd myndighet ges i uppdrag att administrera en katalog med certifierade och rekommenderade IKT- produkter, -tjänster och -processer och som underlättar för en verk- samhetsutövare att planera för och införa säkra nätverks- och in- formationssystem (se nedan). Statliga myndigheter bör – om det inte finns skäl att frångå rekom- mendationerna – utgå från denna sammanställning vid val av tekniska komponenter och lösningar för säkerhet i nätverks- och informa- tionssystem i sin verksamhet. Finns certifierade produkter som möter verksamhetens krav så ska de i första hand användas. Finns det inga certifierade IKT-produkter, -tjänster och -processer som möter verk- Certifiering av nätverks- och informationssystem samhetens krav bör det rapporteras till myndigheten för att kunna återföras till framtida kravställning. Aktörer som nyttjar IKT-produkter, -tjänster och -processer från den nationella sammanställningen bidrar även till att skapa en bild över behövliga säkerhetsfunktioner. I den praktiska tillämpningen identifieras brister, risker, nya behov av säkerhetsfunktioner, m.m. och som genererar information som återförs in i systemet för att utgöra grund för att kravställa nästa generation eller version av it- säkerhetsprodukter. Information erhålls direkt från tillverkarna om nya sårbarheter som upptäcks hos aktörerna, vilket kan återföras in i systemet för kommande arbete med kravställning av säkerhet. Vidare kan incidentrapportering och tillsynsverksamhet identifiera risker, sårbarheter eller behov av åtgärder som föds in i systemet. Den föreslagna ordningen bidrar även till en uppdaterad lägesbild över hur, vilka och i vilken omfattning vissa produktkategorier används inom offentlig sektor, dvs. i första hand statliga myndigheter, vilken sedan kan användas för att prioritera vilka fokusområden bör ha i det kravställande och normerande arbetet på central nivå gentemot kommissionen och . Det nu redovisade nationella systemet (ordningen) ger enligt utredningens bedömning betydande möjligheter att dra nytta av det europeiska ramverket för cybersäkerhetscertifiering för nationella ändamål när det gäller att stärka informations- och cybersäkerheten generellt i samhället, men särskilt i säkerhetskänslig verksamhet och samhällsviktig verksamhet. Detta förutsätter att följande beaktas i den fortsatt utvecklingen av den föreslagna ordningen: •Ska i större omfattning nyttja certifierade IKT-produk- ter, -tjänster och -processer är det nödvändigt att det på nationell nivå sker ett aktivt arbete med kravställning och utveckling på området samt samverkan mellan berörda aktörer i dessa frågor. •Vidare förutsätter det föreslagna ordningen att det finns ett tyd- ligt nationellt engagemang i arbetet med kommissionen och i arbete med det europeiska ramverket för cybersäkerhets- certifiering, dvs. arbetet med de framtida certifieringsordningarna. Om så inte sker finns – enligt utredningens bedömning – en uppen- bar risk för att det uppstår ett läge där nationellt ställer krav på nyttjande men inte deltar och påverkar utformningen och därmed inte heller utvecklar och tillgodoser säkerheten utifrån Certifiering av nätverks- och informationssystem nationella behov och krav. Det innebär att stora delar av de resur- ser som tillförs det nationella arbetet med det europeiska ram- verket med cybersäkerhetscertifiering inte kommer det nationella arbetet med att stärka informations- och cybersäkerheten tillgodo. •För att åstadkomma ett ändamålsenligt och effektivt arbete med att stärka informations- och cybersäkerheten måste centrala myn- digheter ges tydliga roller och uppgifter som ett aktivt deltagande av svensk industri i arbetet säkerställs. Det innebär att myndigheter med ansvar inom informations- och cybersäkerhet ska få ett tydligt uppdrag att delta i det nationella arbetet inom ramen för respektive ansvarsområde. De författningar som primärt berörs är NIS-lagen och säkerhetsskyddslagen, vilket innebär att MSB, Försvarsmakten, Säkerhetspolisen och berörda sektorsmyndigheter utgör centrala aktörer i detta arbete. Vidare måste näringslivet delta i arbetet, bl.a. stora företag som , , m.fl. Vidare behöver intresseorganisationer i form av t.ex. Teknikföretagen och Säkerhets- och försvarsföretagen (SOFF) delta, detta för att kunna samla och ge innovationsföretag som kommer beröras av den föreslagna ordningen ökade möjligheter att delta. Sammanfattningsvis anser utredningen att en nationell ordning med framtagande av den kravställning som utredningen föreslår ska tas fram och upprättandet av den ovan angivna sammanställningen be- höver utvecklas omgående och som bidrar till att möta ökade krav på säkerhet i nätverks- och informationssystem i säkerhetskänsliga respektive samhällsviktiga verksamheter. En sådan ordning bedöms också i betydande omfattning bidra till att resultaten av det euro- peiska ramverket för cybersäkerhetscertifiering kan återföras till det nationella arbetet med att stärka säkerheten i nätverks- och informa- tionssystem mer allmänt i samhället men särskilt vad gäller säker- hetskänslig respektive samhällsviktig verksamhet. En sådan ordning kommer därigenom även att i betydande omfattning bidra till att stärka utvecklingen av informations- och cybersäkerheten i totalförsvaret, såväl det civila som det militära försvaret. Utredningen vill betona att användningen av certifie- rade IKT-produkter, -tjänster och -processer inte i sig självt skapar ett fullgod skydd och tillräckliga mekanismer för en korrekt och säker informationshantering. Den föreslagna ordningen ska ses som ett kom- Certifiering av nätverks- och informationssystem plement och en åtgärd i det systematiska informations- och cyber- säkerhetsarbetet som också understödjer säkerhetsskyddskänslig verk- samhet. Övriga säkerhetsskyddsåtgärder i form av rekommendationer/ vägledningar kring designval/it-arkitektur är en nödvändighet och ut- gör kompletterade åtgärder för att kunna åtgärda många av de allvar- liga brister som finns i informations- och cybersäker- heten i många verksamheter, vilket tidigare redovisats i 8 kapitlet. 12.5.6Det föreligger f.n. inte behov av en nationell särskild ordning för certifiering i säkerhetskänslig verksamhet Utgångspunkten är enligt direktiven att överväga om det finns skäl att införa en nationell särskilt anpassad certifieringsordning för IKT- produkter, -tjänster och -processer i nätverks- och informationssystem i säkerhetskänslig verksamhet. Under utredningens gång har därför förutsättningarna för att införa en nationell certifieringsordning för IKT-produkter, -tjänster eller -processer enbart för säkerhetskänslig verksamhet diskuterats. Som ovan anges måste ett antal grundläggande förutsättningar föreligga och andra faktorer beaktas för att överväga införande av en nationell anpassad ordning för (krav) certifiering av IKT-produkter, -tjänster och -processer i nätverks- och informationssystem i säker- hetskänslig verksamhet. Dessa är bl.a.: –nuvarande regelsystem för säkerhetskänslig verksamhet, –tillgång till en gemensam och fastställd nationell kravbild som byg- ger på en gemensam hot-, sårbarhets- och riskbedömning till stöd för arbetet med skyddsprofiler, –en nationell sammanställning över certifierade och rekommende- rade IKT-produkter, -tjänster och -produkter, –den fortsatta utvecklingen av det europeiska ramverket för cyber- säkerhetscertifiering, och –tillgång till en tillräckligt omfattande nationell marknad, dvs. till- räcklig utbud och efterfrågan på certifierade IKT-produkter, -tjäns- ter och -produkter som skapar ekonomiska incitament för företag tillhandhålla sådana produkter, tjänster och -processer för säker- hetskänslig verksamhet. Certifiering av nätverks- och informationssystem Frågan om behovet av och eventuella krav på användning av certi- fierade IKT-produkter, -tjänster och -processer i nätverks- och in- formationssystem i verksamhetsutövares säkerhetskänsliga verksam- het bör i första hand – enligt utredningen bedömning – regleras i föreskrifter som utfärdas av berörda tillsynsmyndigheter och som meddelas med stöd av säkerhetsskyddslagen och säkerhetsskyddsför- ordningen. Vidare bör frågan om eventuella behov och krav dessutom utgöra en central del av det samråd om bl.a. säkerheten i informations- systemet som en verksamhetsutövare ska ha med tillsynsmyndigheten vid framtagande, utveckling och driftsättning av informationssystem i säkerhetskänslig verksamhet. En sådan utvecklad samrådsprocess kan dessutom bidra till att utveckla generella krav och rekommenda- tioner när det gäller ökat utnyttjande av certifierade IKT-produkter, -tjänster och -processer. I detta sammanhang bör uppmärksammas de svårigheter som uppkommer för en verksamhetsutövare i frågan vem som ska fast- ställa certifieringskrav, säkerhetsprofiler och andra eventuella krav på säkerhetsnivåer, m.m. och som bör ligga till grund för samrådet. Samrådsförfarandet, bl.a. vad avser rådgivning, rekommendationer, säkerhetsbeslut, m.m. i dessa frågor, försvåras genom av- saknad av närmare reglering inom detta område. Som framgår ovan bedömer utredningen att gällande regelsystem för säkerhetskänslig verksamhet medger tillsynsmyndigheterna att inom ramen för föreskriftsrätten närmare reglera och ställa krav på att en verksamhetsutövare ska använda evaluerade och certi- fierade IKT-produkter, -tjänster och -processer i nätverks- och in- formationssystem när säkerheten i systemet kräver en sådan åtgärd. roll vid samrådet bör inledas redan då sådant system planeras eftersom säkerhet behöver utgöra en central del av nätverks- och informationssystemet funktion och design och där adekvat kravställning och frågan om användande av certifierade IKT- produkter, -tjänster och -processer utgör en viktig del av samrådet. Utredningen anser att denna möjlighet bör prövas i syfte att stärka säkerheten i nätverk- och informationssystem i säkerhetskänslig verk- samhet. Det kan t.ex. avse IKT-produkter, -tjänster och -processer som kommer att bli framtagna med stöd av det europeiska ramverket för cybersäkerhetscertifiering, företrädesvis på assuransnivån hög, Certifiering av nätverks- och informationssystem Det kan dock uppstå behov av ytterligare evaluering av sådana pro- dukter, tjänster och produkter med anledning av de nationella säker- hetskrav som finns i säkerhetskänslig verksamhet. Den nuvarande nationella ordningen för certifiering av it-säkerhet i produkter och system Som ovan framgår finns det redan en nationell ordning för certi- fiering av it-säkerhet i produkter och system, även om den ordningen inte närmare reglerar vad som ska gälla för certifiering av IKT-pro- dukter, -tjänster och -processer på det säkerhetsskyddade området. Osäkerhet råder dock kring giltigheten av denna certifieringsord- ning när en motsvarande certifieringsordning fastställs inom ramen för det europeiska ramverket för cybersäkerhetscertifiering. Vidare kan noteras att regeringen har givit FMV i uppdrag att vara nationell cybersäkerhetsmyndighet enligt EU:s cybersäkerhetsakt med uppgif- ter som följer av denna förordning, vilket bl.a. innebär att det nationella certifieringsorganet CSEC, som är en fristående enhet i vid myndig- heten, har ansvar för certifieringar på nivå hög enligt det europeiska ramverket för cybersäkerhetscertifiering. Det råder dock osäkerhet om vilken uppgift och roll som det nationella certifieringsorganet CSEC bör och kan ha, utöver vad som följer av det europeiska ram- verket för cybersäkerhetscertifiering, bl.a. när det kommer till frågan om evaluering och certifiering av IKT-produkter, -tjänster och -pro- cesser i säkerhetskänslig verksamhet. Denna fråga behöver utredas ytterligare i belysning av utvecklingen av det europeiska ramverket för cybersäkerhetscertifiering. En gemensam och fastställd nationell kravbild Som ovan framgår är en grundläggande förutsättning i sig för en natio- nell särskild anpassad ordning för certifiering tillgången på en av be- rörda myndigheter gemensam och fastställd nationell kravbild som i sin tur grundas på gemensam hot-, sårbarhets- och riskbedömning, och som kan ligga till grund för framtagande av säkerhetskrav och skyddsprofiler. Utredningen kan konstatera att frågan om kravställning på IKT- produkter, -tjänster och -processer är en fråga som ansvariga myn- Certifiering av nätverks- och informationssystem digheter för informations- och cybersäkerhet arbetat med . I Samlad informations- och cybersäkerhetshandlingsplan för åren 2019–2022, från de myndigheter som har ingått i SAMFI och ingår i det nationella cybersäkerhetscentret framkommer att det dock finns målsättningar och förslag på åtgärder, dock har – enligt uppgift – inte något mer konkret arbete ännu påbörjats. Utredningen bedömer att behovet av ta fram en sådan kravställ- ning är angeläget och att detta arbete bör omgående påbörjas, efter- som det är av betydelse inte bara för möjligheten att åstadkomma ökad säkerhet i nätverks- och informationssystem i säkerhetskänslig verksamhet utan även har stor betydelse för möjligheterna att natio- nellt kunna påverka arbetet med att ta fram och certifiera säkra IKT- produkter, -tjänster och -processer inom ramen för det europeiska ramverket för cybersäkerhetscertifiering. Nationell sammanställning över certifierade och rekommenderade IKT-produkter, -tjänster och -produkter Som tidigare framgår finns ett stort behov av en nationell samman- ställning över evaluerade och certifierade samt rekommenderade IKT-produkter, -tjänster och -produkter som kan användas i såväl säkerhetskänslig verksamhet som verksamhet som rör samhällsvik- tiga och digitala tjänster. Någon sådan sammanställning finns ännu inte och utredningen anser att även arbetet med en sådan samman- ställning bör omgående påbörjas. Utvecklingen och effekter av det europeiska ramverket för cybersäkerhetscertifiering Utvecklingen av olika certifieringsordningar inom ramen för det euro- peiska ramverket för cybersäkerhetscertifiering har betydelse för be- dömningen av behov av ytterligare ordningar för certifiering på natio- nell nivå av IKT-produkter, -tjänster och -produkter i nätverks- och informationssystem i säkerhetskänslig verksamhet. Oklarheter om den framtida utvecklingen av och tillämpningsområdet för olika certi- fieringsordningar medför dock svårigheter att bedöma behov av och utformningen av en nationell särskild ordning för evaluering och certi- fiering av IKT-produkter, -tjänster och -produkter i nätverks- och Certifiering av nätverks- och informationssystem informationssystem i säkerhetskänslig verksamhet. Vidare bör effek- terna – som också Säkerhetspolisen och Försvarsmakten anför – av utvecklingen av det europeiska ramverket för cybersäkerhetscerti- fiering beaktas och utvärderas innan en nationell särskilt anpassat ordning för certifiering införs, även om det inte finns några formella hinder i sig mot en sådan ordning eftersom det gäller frågor som rör bl.a. försvar och säkerhet. Frågan om ett eventuellt införande av en nationell särskilt anpassad ordning för certifiering av IKT-produkter, -tjänster och -processer i nätverks- och informationssystem i säkerhetskänslig verksamhet väcker även – som ovan framgår – marknads- och handelsrelaterade frågor. En mer svårbedömd frågeställning är om det finns förutsätt- ningar för försörjning av den svenska marknaden, dvs. tillgång till certifierade och lämpliga IKT-produkter, -tjänster och -processer för användning i nätverks- och informationssystem i säkerhetskäns- lig verksamhet. Certifiering av IKT-produkter, -tjänster och -pro- cesser utförs på initiativ av producerande företag i syfte att vinna konkurrens- eller marknadsfördelar. En evaluering och certifiering innebär kostnader som behöver kalkyleras och göras till en del av beslutsunderlag. Det råder stor osäkerhet om den svenska marknaden är tillräckligt omfattande för att skapa förutsättningar och ekono- miska incitament för aktuella företag att låta evaluera och certifiera IKT-produkter, -tjänster och -processer i enlighet med nationella krav på säkerhet. Det förefaller inte självklart att företag med en global marknad för IKT-produkter, -tjänster och -processer kommer att få eller ha incitament att lägga resurser och i detta sammanhang inte obetydliga kostnader för certifiering som ger tillgång till en i sam- manhanget – globalt sett – mycket begränsad marknad. Vidare riskerar nationella certifieringskrav som t.ex. inte ansluter till gemensamma standarder att i betydande mån begränsa utbudet av tillgängliga IKT-produkter, -tjänster och -processer och därigenom också negativt påverka samhällets cybersäkerhet och förmåga till att upprätthålla och utveckla säkerhetsskydd. Om en sådan ordning om- fattar IKT-produkter, -tjänster och -processer som också omfattas av krav på nationella godkännanden medför detta att kan Certifiering av nätverks- och informationssystem komma att ställa krav som går utöver de som gemensamt beslutats inom t.ex. det europeiska kryptosamarbetet. Detta skulle innebära att svenska företag på området skulle få konkurrensnackdelar gentemot övrig europeisk industri på området. Det väcker även frågan om det finns risk för uppkomsten av handelshinder gentemot andra med- lemsstater som godkänt IKT-produkter, -tjänster och -processer inom ramen för t.ex. det europeiska kryptosamarbetet. Utredningen bedömer att även ovan angivna marknads- och han- delsrelaterade frågor behöver analyseras ytterligare innan det kan bli aktuellt att införa en nationell ordning av det aktuella slaget. Slutsatser i frågan om behovet av en nationell särskilt anpassad ordning för certifiering av IKT-produkter, -tjänster och -processer i nätverks- och informationssystem i säkerhetskänslig verksamhet För att en nationell särskilt anpassad ordning för certifiering ska ha förutsättningar att fungera ställs krav på strukturer, funktioner och processer som i viss mån saknas. Det har inte varit möjligt för utredningen att inom ramen för uppdraget, främst på grund av till- gänglig tid och resurser, att i tillräcklig omfattning utreda alla dessa frågor och det väcker även frågan om angivna frågor kan anses rym- mas i uppdraget som det formulerats i direktiven. Att utreda, överväga och föreslå om, och i sådana fall, hur angivna strukturer, funktioner och processer kan skapas och hur de bör och kan fungera, kräver i flera av frågorna långtgående analyser och klargöranden. Det har inte bedömts möjligt att inom ramen för utredningen – och som upp- draget formulerats – att genomföra denna typ av djupgående analy- ser och utredningar. Flera av de ovan behandlade frågeställningarna är av sådan grund- läggande karaktär och behöver bli föremål för en djupare och samlad analys varför ett förslag att införa en nationell särskilt anpassad ord- ning för certifiering av IKT-produkter, -tjänster och -processer i nät- verks- och informationssystem i säkerhetskänslig verksamhet inte är lämplig och skulle sannolikt inte heller framgångs- rikt kunna omsättas i praktik. Flera av de ovan angivna frågeställ- ningarna indikerar dessutom på behov av omfattande undantag från obligatoriskt användande av certifierade IKT-produkter, -tjänster Certifiering av nätverks- och informationssystem och -processer i aktuell verksamhet.22 Sådana behov av undantag kom- mer troligen också främst att uppkomma hos de myndigheter som i störst omfattning redan hanterar skyddsvärd information och skydds- värda system. Sammanfattningsvis bedömer utredningen att det inte finns tillräckliga skäl att införa en nationell särskilt anpassad ord- ning med krav på certifiering av IKT-produkter, -tjänster och -pro- cesser som används i säkerhetskänslig verksamhet Det är viktigt att åtgärder som planeras införs fullt ut först när nationell kravställning och en sammanställning med certifierade och rekommenderade IKT-produkter. -tjänster och -processer finns till- gänglig. kommer verksamheter som omfattas av nationella godkännanden, t.ex. kryptoprodukter och specifika verksamheter med särskilda krav och förutsättningar, att eventuellt behöva undan- tas från en nationell certifieringsordning på området. Utredningen kan notera att frågan om krav på och användning av certifierade IKT-produkter, -tjänster och -processer i nätverks- och informationssystem bör kunna utgöra del i det för- stärkta samråd som är under införande och där även Säkerhetspolisen och Försvarsmakten föreslås få möjlighet att besluta åtgärdsföre- läggande och förbjuda driftsättning i de fall systemen inte bedöms som säkra (se vidare kapitel 13. Behov av att öka användningen av certifierade IKT-produkter, -tjänster och -processer i statlig verksamhet Utredningen vill i detta sammanhang framhålla att det finns behov av att öka användningen av certifierade IKT-produkter, -tjänster och -processer i statlig verksamhet. Det är upp till en statlig myndighet, dvs. verksamhetsutövare, att själv avgöra om en IKT-produkt, -tjänst eller -process är tillräckligt säker, att eventuella kryptofunktioner är korrekt implementerade och att det finns säker- hetsfunktioner som är granskade av någon annan än tillverkaren själv. Det är således upp till varje myndighet, dvs. 22Till detta kommer att det kan finnas behov av att en nationell certifieringsordning anpassad för säkerhetskänslig verksamhet skapar synergier med eventuella krav, till följd av NIS2-direk- tivet, att väsentliga och viktiga entiteter certifierar viss IKT enligt särskilda europeiska ord- ningar för cybersäkerhetscertifiering. Certifiering av nätverks- och informationssystem på eget ansvar avgöra behovet av att använda certifierade IKT-pro- dukter, -tjänster och -processer. Myndigheten för samhällsskydd och beredskap (MSB) anger i och för sig i myndighetens allmänna råd att en statlig myndighet bör överväga – vid anskaffning av informationssystem – att välja produk- ter som är certifierade genom tredjepartsgranskning mot etablerad standard, med det är endast en rekommendation. En sådan åtgärd är därför frivillig för statliga myndigheter och det är oklart för utred- ningen i vilken utsträckning som myndigheterna följer detta råd. Utredningen bedömer – som tidigare anges – att informations- och cyberssäkerheten i statliga myndigheters verksamhet behöver stärkas och en åtgärd är att myndigheterna i större utsträckning använder certifierade kommersiella IKT-produkter, -tjänster och -processer i nätverks- och informationssystem i verksamheten om inte detta fram- står som olämpligt eller omöjligt att genomföra.