sou · H9B363 · 2021-07-02 00:00:00 — Föreskrifterna och allmänna råd gäller för leverantörer av samhällsviktiga tjänster inom sektorn digital infrastruktur. Av 6 § följer att leverantören ska bedöma om risker ska elimineras, reduceras eller accepteras utifrån genomförd riskbedömning enligt 4 §. Om leverantören behöver eliminera eller reducera identifierade risker ska leverantören vidta åtgärder för att hantera riskerna i enlighet med vad som föreskrivs i 8–16 §§ nedan. Leverantören ska därutöver vidta de ytterligare åtgärder som är nöd- vändiga för att hantera de risker som framkommit utifrån genom- förd riskbedömning enligt 4 §. Samtliga åtgärder ska vidtas på en nivå som är proportionerlig i förhållande till den föreliggande risken. Redogörelser för skälen för bedömning av om riskerna ska elimine- ras, reduceras eller accepteras ska dokumenteras och bevaras . I till 6 § anslutna allmänna råd anges att leverantören bör beakta den senaste tekniska utvecklingen för att säkerställa en nivå på säker- heten i nätverk och informationssystem som är lämplig i förhållande till den föreliggande risken. Leverantören bör endast acceptera risker 8Statens energimyndighet, Transportstyrelsen, , och . får meddela sådana föreskrifter för Inspektionen för vård- och omsorgs tillsynsområde. 9Post- och har utfärdat föreskrifterna och allmänna råd med stöd av stöd av 8 § förordningen (2018:1175) om informationssäkerhet för samhällsviktiga och digitala tjänster. Certifiering av nätverks- och informationssystem om riskbedömningen i det aktuella fallet påvisar att säkerheten i den samhällsviktiga tjänsten kan upprätthållas. Av 7 § följer att eventu- ella åtgärder ska dokumenteras. Några formella krav på certifiering av IKT-produkter, -tjänster och -processer i nätverks- och informa- tionssystem uppställs inte. I Statens energimyndighets föreskrifter och allmänna råd om risk- analys och säkerhetsåtgärder för nätverk och informationssystem inom energisektorn (STEMFS 2021:3)10 föreskrivs i 2 § att leve- rantören ska upprätta en systemförteckning över sin IT och OT genom att kartlägga och analysera de IT- och OT-tjänster samt nät- verk och informationssystem som används vid leverantörens till- handahållande av samhällsviktiga tjänster samt hur dessa kommuni- cerar med och är beroende av varandra (punkten 1), inventera vilka hårdvaror som används i leverantörens IT och OT (punkten 2), in- ventera vilka mjukvaror som används i leverantörens IT och OT (punkten 3), identifiera vilka interna och externa nätverk och infor- mationssystem liksom vilka hårdvaror och mjukvaror som är mest kritiska för leverantörens tillhandahållande av samhällsviktiga tjäns- ter (punkten 4), samt upprätta en nätverkskarta avseende leverantö- rens IT och OT (punkten 5). Inga av de övriga angivna sektorsmyndigheterna/tillsynsmyndig- heterna har på motsvarande sätt som PTS eller Statens energimyn- dighet utfärdat några föreskrifter och allmänna råd om riskanalys och säkerhetsåtgärder för nätverk och informationssystem hos leve- rantörer av samhällsviktiga tjänster. Utredningen kan notera att varken i MSB:s föreskrifter eller i någon av sektorsmyndigheternas förskrifter ställs sålunda några for- mella krav på att IKT-produkter, -tjänster eller -processer i nätverks- och informationssystem som används i verksamhet som innefattar samhällsviktiga och digitala tjänster ska vara certifierade enligt en av erkänd certifieringsordning. I föreskrifterna finns i och för sig bestämmelser om att en leverantör ska ha interna regler och arbets- sätt som säkerställer att samtliga nätverk- och informationssystem för samhällsviktiga tjänster uppfyller identifierade behov av informa- tionssäkerhet, dock saknas bestämmelser om evaluering eller certi- fiering av sådana. 10Statens energimyndighets föreskrifter och allmänna råd om riskanalys och säkerhetsåtgärder för nätverk och informationssystem inom energisektorn (STEMFS 2021:3). Certifiering av nätverks- och informationssystem Informationssystem i verksamhet hos kommuner och regioner Det finns inte någon formell författningsreglering med krav på att använda certifierade IKT-produkter, -tjänster och -processer i nät- verks- och informationssystem som används i verksamheter som be- drivs av kommuner och regioner, annat än om verksamheten i ett eller flera avseenden träffas av kraven på informationssäkerhet i regler- ingen av säkerhetsskydd eller om samhällsviktiga och digitala tjänster. På motsvarande sätt som gäller för kommuner och regioner finns det för enskilda företag eller enskilda organisationer inte någon formell författningsreglering med krav på att använda certifierade IKT-produkter, -tjänster och -processer i nätverks- och informations- system som används i olika verksamheter. Detta gäller dock inte om verksamheten i ett eller flera avseenden träffas av kraven på infor- mationssäkerhet i regleringen av säkerhetsskydd eller om samhälls- viktiga och digitala tjänster. 12.4Finns krav på certifiering i andra länder? Utredningen har genomfört en översiktlig kartläggning av om det i andra jämförbara länder finns reglering som innefattar krav på certi- fiering av IKT-produkter, -tjänster och -processer i verksamhet som motsvarar den svenska definitionen av säkerhetskänslig verksamhet eller i övrigt definitionen på verksamhet som kan anses beröra natio- nell säkerhet. En sammanfattning av vad som framkommit vid kart- läggningen finns i kapitel 9. Utredningen kan konstatera att det framkommer en splittrad bild av förekomsten av reglering med krav på certifiering av IKT-produk- ter, -tjänster och -processer i verksamhet som kan anses motsvara det svenska begreppet säkerhetskänslig verksamhet eller i övrigt natio- nell säkerhet. I ställs i nationell författning krav på att verksamheter vid valet av säkerhetsåtgärder använder evaluerade produkter och tjäns- ter om dessas funktion är avgörande för att personer inte obefogat ska få tillgång till hemlig eller kvalificerat hemlig information och Certifiering av nätverks- och informationssystem inte heller påverkar driften av kritisk infrastruktur. Evalueringen ska utföras av den nationella säkerhetsmyndigheten (NSM) eller ett ackre- diterat laboratorium som utsetts av NSM. Kraven på själva evaluer- ingen kan uppfyllas genom en certifiering utfärdat av NSM eller ett ackrediterat certifieringsorgan som utsetts av NSM.11 Av inhämtade uppgifter framgår att det finns myndigheter i med ansvar för nationell informations- och cybersäkerhet samt uppgiften att godkänna vissa informationssystem. Några natio- nella krav på certifiering av sådana system har dock inte framkommit. Det kan i vissa fall vara obligatoriskt att inhämta intyg om godkän- nande från behörig myndighet för informationssystem som behand- lar säkerhetsklassificerad information. I finns krav på cybersäkerhetscertifiering i fråga om säkerheten i nätverks- och informationssystem, främst i vissa sek- torer (bl.a. inom transport och sjöfart). För statliga myndigheter finns också krav på att ackreditering av informationssystem som an- vänds för klassificerad information. Sådana system kan vara föremål för certifiering och/eller godkännande. I finns centrala myndigheter med ansvar för nationell cybersäkerhet, evaluering respektive godkännande av informations- säkerhetsprodukter och system för att skydda särskild information av betydelse för staten. Några nationella krav på formell certifiering av nedan angivna system och produkter har inte kunnat noteras. Produkter för information som kan medföra negativa konsekvenser för staten ska dock evalueras av den nationella byrån för kommuni- kationssäkerhet (NBV). Arbetsgruppen för särskild informations- säkerhet, WBI, lämnar sedan råd till som har att godkänna användningen av informationssäkerhetssystem och dess komponenter. Vidare kan användning av viss mjukvaruutrustning som omfattas av försvarskontrakt förutsätta godkännande av s.k. säker- hetskontor. I finns myndigheter med ansvar för informationssäker- het och certifiering respektive godkännande av it-produkter och -system i säkerhetskänslig verksamhet i landet. Vissa komponenter och ändringar av it-system som ska behandla klassificerat material ska godkännas av chefer på berörda myndigheter. En förutsättning för användning av it-system för klassificerad information är ett in- 11Det rör sig här inte om ett absolut krav på certifiering, utan överensstämmelse kan visas även på andra sätt. Certifiering av nätverks- och informationssystem formationssäkerhetskoncept i enlighet med angivna standarder. Dess- utom finns krav på sekretesskydd som går utöver det grundläggande it-skyddet och som ska definieras av säkerhetschefer enligt admi- nistrativa instruktioner för skyddet av klassificerat material. Utöver certifiering av it-produkter och -system med avseende på deras säker- hetsfunktioner finns även tillgång till tjänsten att certifiera enligt tekniska riktlinjer avseende särskilda funktionskrav. En certifiering enligt tekniska riktlinjer krävs om implementeringen av särskilda funktionskrav är avgörande för driften av en it-produkt eller ett it- system. Detta gäller i synnerhet it-produkter eller -system som är avsedda att sättas in i säkerhetskänsliga domäner i . BSI be- dömer tillverkares och distributörers it-produkter och -system varvid oberoende evaluering av överensstämmelse med de tekniska rikt- linjerna görs.12 I finns centrala myndigheter med ansvar för nationell informations- och cybersäkerhet. Myndigheterna ansvarar för evaluer- ing och -godkännande av informationssystem och dess säkerhets- funktioner där behandlad information är av betydelse för nationell säkerhet. Några nationella krav på certifiering av sådana system har dock inte framkommit När det gäller informationssystem som be- handlar information som klassificerats som kvalificerat hemlig ska generalsekreteraren för försvar och nationell säkerhet (SGDSN) god- känna systemet. I finns myndigheter med ansvar för nationell informations- och cybersäkerhet samt certifiering av IKT. I fråga om produkter som hanterar hemlig information krävs särskilt utvecklat skydd. På denna nivå används normalt inte vanligen förekommande kommersiella lösningar. Tillgång till känslig information ska endast ges till auktoriserade system. Företag som tillhandahåller vissa IKT- produkter och -tjänster för hantering av känslig och officiell infor- mation kan behöva certifiering eller motsvarande. Tillhandahållare av tjänster och tredjepartsleverantörer som hanterar hemlig offentlig information måste vidare erhålla ackreditering och använda lämpligt ackrediterad it-utrustning och godkänd mjukvara. I finns flera departement och federala myndigheter med ansvar för nationell informations- och cybersäkerhet. 12Om it-system ska användas för hemligt material måste säkerhetsansvariga låta BSI utföra vissa tekniska tester av it-systemet för att se om nödvändiga it-säkerhetsfunktioner implemen- terats korrekt. När nätverksbaserade it-system används för klassificerat material kan även säkerhetsansvariga behöva genomföra ett penetrationstest. Certifiering av nätverks- och informationssystem på att driftsättningen av federala informationssystem ska godkännas av behöriga federala tjänstemän. Nationella säkerhetssystem som be- handlar nationell säkerhetsinformation fordrar ytterligare säkerhets- krav som behöver godkännas. Vidare ska sådana system genomgå en oberoende tredjepartsbedömning där systemets överensstämmelse med särskilda instruktioner på området valideras. I kan kom- mersiella informationssäkerhetsprodukter i förhållandevis stor ut- sträckning användas för att skydda nationella säkerhetssystem och klassificerad information (om lösningarna är godkända av NSA och assuransfunktionerna validerade). I finns myndigheter med ansvar för informations- och cybersäkerhet samt certifiering av IKT. Federala departement och myndigheter måste ha sina it-system och tjänster certifierade och ackrediterade innan de godkänns för drift. Organisationer som ingår kontrakt med regeringen och har it-system som ska behandla säker- hetsklassificerad information (mellan leverantören och en statlig myndighet) måste få sitt system godkänt av en myndighet (PSPC) före det att arbetet kan påbörjas och systemet används. Säkerhets- kraven är emellertid specifika för varje kontrakt och beror på hur känslig den berörda informationen är. I finns departement med ansvar för informations- och cybersäkerhet, bl.a. när det gäller nationell säkerhet. Statliga nationella myndigheter som hanterar hemlig information om natio- nen är skyldiga att ha kontroll över sina system och hålla informa- tionen säker. IKT-systemen kan vidare behöva genomgå en särskild certifierings- och ackrediteringsprocess för att få tas i drift. Detta för- farande regleras i en nationell handbok vars användning rekommen- deras brett i samhället. Rör hanterad information nationell säkerhet måste myndighetens system ackrediteras av den nationella byrån för kommunikationssäkerhet (GCSB) innan ett resulterande formellt godkännande av systemets driftsättning kan ske. Vidare kräver system och tjänster med kompartmentaliserad eller förbehållen (”caveated”) information klassificerad som konfidentiell och högre ackreditering av generaldirektören på GCSB (eller formell delegat). Också använd- ning av högassurans-kryptoutrustning kräver kontroll i form av ackre- ditering av GCSB. Generellt i fall där information och system är klas- sificerade begränsat hemliga (restricted) eller lägre ligger uppgiften att godkänna systemet internt hos organisationens chef. Certifiering av nätverks- och informationssystem I finns myndigheter med ansvar för informations- och cybersäkerhet samt uppgifterna att evaluera respektive certifiera IKT. När det gäller information om statliga angelägenheter som tillhör regeringen behöver berörda IKT-system godkännas innan de får tas i drift. För kvalificerat hemliga system och system som hanterar kvalificerat hemlig eller känslig kompartmentaliserad information är en underrättelse- och säkerhetstjänst (ASD:s generaldirektör) god- kännandeorgan. I övriga fall brukar uppgiften att godkänna systemen ligga hos respektive organisations säkerhetschef. Några motsvarande nationella krav på certifiering av sådana system har dock inte fram- kommit. 12.5.1Behov av att stärka säkerheten i nätverks- och informationssystem Utredningen ska – enligt direktiven - överväga om det finns behov av att stärka säkerheten i nätverks- och informationssystem i säker- hetskänslig verksamhet, t.ex. genom att det införs en nationell sär- skild anpassad ordning med krav på certifiering av IKT-produkter, -tjänster och -processer som ska användas i informationssystem i säkerhetskänslig verksamhet. Utgångpunkten för utredningens överväganden när det gäller frå- gan om det finns anledning att införa en nationell särskilt anpassad ordning för certifiering av IKT-produkter, -tjänster och -processer i nätverks- och informationssystem i säkerhetskänslig verksamhet är att det finns konstaterade brister i säkerheten i systemen som ett krav på certifiering av produkter, tjänster och -processer kan bidra till att åtgärda. Utredningens experter på informations- och cybersäkerhet, bl.a. på området för evaluering och certifiering, har framhållit att IKT- produkter, -tjänster och -processer som genomgår evaluering och certifiering bidrar till att öka säkerheten i nätverks- och informa- tionssystem, men att det inte genom ett sådant förfarande går att uppnå någon fullständig säkerhet. Även andra nödvändiga säkerhets- skyddsåtgärder måste vidtas och finnas på plats. En ökad användning av certifierade IKT-produkter, -tjänster och -processer utgör således endast en delmängd av många andra angelägna åtgärder som behöver Certifiering av nätverks- och informationssystem vidtas inom ramen för ett systematiskt informationssäkerhetsarbete och i arbetet med att stärka it-säkerheten i säkerhetskänslig verk- samhet (se kapitel 10 och 11). Utredningen tolkar vidare uppdraget när det gäller frågan om det finns anledning att införa en nationell särskilt anpassad ordning för certifiering av IKT-produkter, -tjänster och -processer i nätverks- och informationssystem i säkerhetskänslig verksamhet som att ut- gångspunkten är att utreda behovet av en särskild certifieringsord- ning som till struktur, regelsystem och arbetsformer motsvarar den nu befintliga nationella certifieringsordningen vid FMV/CSEC, men som är anpassad för den säkerhetskänsliga verksamheten. Utred- ningens överväganden om det finns anledning att införa en nationell särskilt anpassad ordning för certifiering av IKT-produkter, -tjänster och -processer i nätverks- och informationssystem i säkerhetskäns- lig verksamhet ska därför göras mot den ovan angivna bakgrunden. Det kan konstateras att det därutöver måste föreligga ett antal förutsättningar för att möjliggöra ett införande och tillämpning av en sådan ordning och att i detta sammanhang även att ett antal andra bedömningar behöver göras, bl.a. vilken påverkan som certi- fieringar som sker med stöd av det europeiska ramverket kan ha för behovet av nationella certifieringar av IKT-produkter, -tjänster och -processer i nätverks- och informationssystem i för säkerhetskänslig verksamhet. Dessa förutsättningar och andra grundläggande fråge- ställningar behandlas mer utförligt i efterföljande avsnitt. 12.5.2Förutsättningar för en nationell certifieringsordning för säkerhetskänslig verksamhet Frågan om krav på certifiering av IKT-produkter, -tjänster och -pro- cesser i säkerhetskänslig verksamhet berör även frågor av rättslig karaktär, dvs. hur detta i sådana fall ska regleras. Oavsett om regler- ingen sker i lag, förordning eller förskrifter ställer det rättsliga krav på dels att eventuella krav är förutsebara, dels att de begrepp och definitioner som används i regleringen är tydligt definierade, vilket får en särskild betydelse om det finns administrativa åtgärder och sanktioner kopplade till krav på en aktör att använda certifierade IKT-produkter, -tjänster och -processer i en viss typ av verksamhet. Certifiering av nätverks- och informationssystem Den fråga som inledningsvis uppkommer är om nu gällande regel- system för informationssäkerhet i säkerhetskänslig verksamhet ger stöd för att närmare reglera och ställa krav på användning av evalue- rade och certifierade IKT-produkter, -tjänster och -processer i nät- verks- och informationssystem i sådan verksamhet. Av 4 § första stycket i säkerhetsskyddsförordningen framgår – när det gäller säkerhetskrav för informationssystem som används i säkerhetskänslig verksamhet – att en verksamhetsutövare som an- svarar för ett informationssystem som ska användas i sådan verksam- het ska vidta lämpliga skyddsåtgärder för att kunna upptäcka, försvåra och hantera skadlig inverkan på informationssystemet samt obehö- rig avlyssning av, åtkomst till och nyttjande av informationssyste- met. Av 6 § följer att Säkerhetspolisen och Försvarsmakten får inom respektive myndighets tillsynsområde meddela föreskrifter om undan- tag från kraven i 4 §. Utredningen noterar att av Säkerhetspolisen förskrifter om gransk- ning vid utveckling och anskaffning av informationssystem i säker- hetskänslig verksamhet framgår att verksamhetsutövaren ska se till att egenutvecklad programvara i informationssystem som har bety- delse för säkerhetskänslig verksamhet granskas för att upptäcka och åtgärda säkerhetsbrister och sårbarheter (4 §). Vidare anges att verk- samhetsutövaren ska se till att tredjepartsprogramvara i informations- system som har betydelse för säkerhetskänslig verksamhet granskas för att upptäcka och åtgärda säkerhetsbrister och sårbarheter, eller att programvaran på annat sätt bedöms vara tillförlitlig från säker- hetsskyddssynpunkt (5 §). Utredningens experter från Säkerhetspolisen respektive För- svarsmakten har under utredningsarbetet gjort bedömningen att nu gällande författningsreglering av säkerhetsskydd i och för sig ger stöd för att meddela föreskrifter som anger att en verksamhetsutövare i vissa fall ska använda IKT-produkter, -tjänster och -processer som ska vara evaluerade och certifierade enligt en viss ordning men att några sådana föreskrifter inte utfärdats. Utredningen gör därför bedömningen att nuvarande författnings- reglering ger tillräckligt utrymme för tillsynsmyndigheterna att – vid behov – kunna meddela närmare föreskrifter om krav på användning av evaluerade och certifierade IKT-produkter, -tjänster och -proces- ser i nätverks- och informationssystem i säkerhetskänslig verksamhet. Certifiering av nätverks- och informationssystem Den nationella ordningen för certifiering av it-säkerhet i produkter och system I detta sammanhang kan noteras att det finns en nationell ordning för certifiering av it-säkerhet i produkter och system, även om den ordningen inte närmare reglerar vad som ska gälla för certifiering av IKT-produkter, -tjänster och -processer på det säkerhetsskyddade området. Den fråga som då uppkommer är om denna certifierings- ordning kan anses ge samma möjligheter att uppnå tillräcklig säker- het i nätverks- och informationssystem som en särskilt anpassad certifieringsordning med certifieringskrav på området kan medföra. Här uppkommer även frågan vilken uppgift och roll som det nationella certifieringsorganet CSEC bör och kan ha när det kom- mer till frågan om evaluering och certifiering av IKT-produkter, -tjänster och -processer i säkerhetskänslig verksamhet. Här ska note- ras att den nu gällande nationella certifieringsordningen kan komma att upphöra om/när en motsvarande certifieringsordning inom ramen för det europeiska ramverket för cybersäkerhetscertifiering införs, som då blir den gällande certifieringsordningen på det aktuella området. Vidare kan noteras att regeringen har givit FMV i uppdrag att vara nationell cybersäkerhetsmyndighet enligt EU:s cybersäker- hetsakt med uppgifter som följer av denna förordning, vilket bl.a. innebär att det nationella certifieringsorganet CSEC, som är en fris- tående enhet i vid myndigheten, har ansvar för certifieringar på nivå hög enligt det europeiska ramverket för cybersäkerhetscertifiering. Frågan om vilken betydelse den befintliga nationella ordningen för certifiering av it-säkerhet i produkter och system kan få när det gäller att överväga eventuellt behov av att införa en särskild mot- svarande ordning för det säkerhetskänsliga området behandlas mer i efterföljande avsnitt. Det europeiska ramverket för cybersäkerhet För nationellt vidkommande uppkommer även frågan vilken bety- delse och påverkan som certifieringsordningar inom ramen för det europeiska ramverket för cybersäkerhetscertifiering – utöver vad som följer direkt av tillämpningsområdet för dessa ordningar – kan få för arbetet med att stärka den nationella informations- och cybersäker- Certifiering av nätverks- och informationssystem heten, och särskilt vad gäller nätverks- och informationssystem i säker- hetskänslig verksamhet. Utredningen noterar att de olika certifieringsordningar som kom- mer att etableras inom ramen för det europeiska ramverket för cyber- säkerhetscertifiering kan förväntas användas för certifiering av allt från programvaror, IoT, molntjänster till olika styr- och kontrollsystem, dvs. många olika former och typer av informations- och kommuni- kationsteknologi (IKT) och som berör nätverks- och informations- system. Utredningens experter har under utredningsarbetet framhållit behovet av att fler certifierade IKT-produkter, -tjänster och -pro- cesser för nivån hög tas fram inom ramen för det europeiska ramverket för cybersäkerhetscertifiering och att dessa ska kunna användas – vid behov efter anpassning till nationella krav – i såväl säkerhetskänslig som annan samhällsviktig verksamhet. Målbilden bör vara att certifierade IKT-produkter, -tjänster och -processer på nivån hög och som tas fram inom det angivna ram- verket, eller på annat sätt, ska kunna användas också nationellt på motsvarande sätt som sker inom ramen för samarbetet inom CCRA och där aktivt deltagit.