sou · H9B363 · 2021-07-02 00:00:00 — Så som uppdraget får förstås har utredningen i denna del endast till uppgift att göra en jämförelse med nationell lagstiftning i andra in- tressanta länder. För att utröna behovet av ytterligare nationella krav på certifiering och godkännande är det emellertid relevant att även göra en kartläggning av gränsöverskridande system och förfaranden som kan aktualiseras på internationell nivå. I kapitel 13 lämnar ut- redningen en sammanfattning av de gränsöverskridande systemen på området. Nationella säkerhetsmyndigheter (NSA) Det ska finnas säkerhetsmyndigheter i EU:s medlemsstater med uppdrag att så långt det är möjligt enligt nationell rätt säkerställa att aktörer på deras territorium vidtar alla lämpliga åtgärder för att skydda säkerhetsskyddsklassificerade EU-uppgifter under förhand- lingar som förs innan ett kontrakt ingås och när ett kontrakt som kräver säkerhetsskyddsavtal genomförs. Vidare ska medlemsstaterna säkerställa att entreprenörerna innehar ett säkerhetsskyddsgodkän- nande av verksamhetsställe på relevant säkerhetsskyddsklassificerings- nivå (se artikel 11 p. 4 och 5 i Rådets beslut om säkerhetsbestämmelser för skydd av säkerhetsskyddsklassificerade EU-uppgifter [2013/488/EU]). Medlemsstaterna ska således utse en nationell säkerhetsmyndighet (NSA) med ansvar för säkerhetsarrangemangen för skydd av uppgif- terna så att Rådets beslut (2013/488/EU, se nedan) respekteras av be- rörda aktörer. Organisationen av säkerhetsmyndigheter varierar i medlemssta- terna. I t.ex. har man en dedikerad myndighet som har det samlade ansvaret för säkerheten nationellt (). I finns i stället flera myndigheter som har olika mandat; Försvarsmakten och Säkerhetspolisen. Härutöver finns internationella överenskommelser. Enligt säkerhetsskyddsförordningen (2018:658) 6 kap. 1 § ska vara nationell säkerhetsmyndighet för internatio- nella säkerhetsskyddsåtaganden gentemot Europeiska unionen och dess medlemsländer inom ramen för EU-arbetet, Nato och Euro- peiska rymdorganet () och fullgöra de uppgifter som en sådan myndighet har enligt dessa internationella säkerhetsskyddsåtagan- den. I 20 § 8 p. förordningen med instruktion för (2009:923) anges att ska vara den nationella säker- hetsmyndighet som ansvarar för att upprätthålla säkerheten för sekre- tessbelagda uppgifter enligt Europeiska rådets säkerhetsföreskrifter samt enligt åtaganden om detta i överenskommelser med Västeuropeiska unionen och Nato inom ramen för samarbetet Part- nerskap för fred. NSA-funktionen i är placerad på UD.185 Säkerhetspolisen är enligt säkerhetsskyddsförordningen 7 kap. 1 § s.k. kompetent säker- hetsmyndighet (med föreskrifts- och tillsynsrätt) civilt medan den mili- tära underrättelse- och säkerhetstjänsten (Must) vid Försvarsmakten är det militärt. FMV är nationell industrisäkerhetsmyndighet enligt förordningens 6 kap. 1 §. NSA ansvarar för att upprätthålla säkerheten för de säkerhets- skyddsklassificerade uppgifter som tar emot från EU, och – oavsett var den förvaras (inrikes/utrikes, myndighet/ organ respektive offentliga/privata). NSA ska vidare periodiskt in- spektera att säkerheten är tillfredställande, vilket sköts av Försvars- makten och Säkerhetspolisen. NSA ansvarar för att personal som hanterar EU-/Nato-konfidentiell information säkerhetsgodkänns (3 kap. säkerhetsskyddslagen). NSA:s uppdrag inbegriper även att säkerhetsplaner för informationen upprättas. NSA-funktionen vid står även som garant för de säkerhetsgodkännanden som görs mot EU, och vad gäller ackrediteringar av it-system och anläggningar. Funktionen han- terar och koordinerar vidare EU-, ESA- och Nato-förfrågningar, där godkännande av respektive delgivning av EU-/ESA-/Nato- interna dokument är en del. 185Regeringskansliets föreskrifter med arbetsordning för (UF 2019:3, 37§) anger att Säkerhetsenheten ansvarar för frågor rörande säkerheten för sekretessbelagda uppgifter enligt säkerhetsskyddsavtal med Europeiska unionens medlemsländer och Euro- samt enligt åtaganden om detta i överenskommelser med Nato och Europeiska rymdorganet (). Rådets beslut om skydd av säkerhetsskyddsklassificerade antog Europeiska unionens råd ett beslut om säkerhetsbestämmelser för skydd av säkerhetsskyddsklassifi- cerade EU-uppgifter (2013/488/EU). Beslutet fastställer grundläg- gande principer och miniminormer för säkerhet för att skydda säker- hetsskyddsklassificerade EU-uppgifter186 som ska gälla för rådet och rådets generalsekretariat. Reglerna ska iakttas av medlemsstaterna i enlighet med deras nationella författningar, så att de alla kan vara för- vissade om att säkerhetsskyddsklassificerade EU-uppgifter ges en mot- svarande skyddsnivå. Rådets beslut innehåller bl.a. bestämmelser om hur säkerhets- skyddsklassificerade EU-uppgifter i kommunikations- och informa- tionssystem ska skyddas. Dessa system ska till en början genomgå en ackrediteringsprocess, där godkännandet från säkerhetssynpunkt syftar till att skapa förvissning om att alla lämpliga säkerhetsåtgärder vidtagits och att tillräckligt hög skyddsnivå för uppgifterna och syste- men uppnåtts i enlighet med beslutet. Vidare ska säkerhetsåtgärder genomföras för att skydda system som hanterar uppgifter på säker- hetsskyddsklassificeringsnivån EU CONFIDENTIAL och högre mot vissa risker för oavsiktlig spridning. Om de säkerhetsskydds- klassificerade EU-uppgifterna skyddas med hjälp av kryptoprodukter, ska sådana produkter godkännas på föreskrivet sätt. Rådet är krypto- godkännande myndighet för uppgifter på säkerhetsskyddsklassifi- ceringsnivån EU SECRET. Konfidentialiteten för uppgifter på säkerhetsskyddsklassificeringsnivån EU CONFIDENTIAL eller EU RESTRICTED ska skyddas genom kryptoprodukter som har godkänts av rådets generalsekreterare. Uppgifter på denna nivå inom medlemsstaternas nationella system får även skyddas genom krypto- produkter som godkänts av en medlemsstats kryptogodkännande myndighet. Endast godkänd utrustning eller godkända anordningar ska an- vändas för att skydda säkerhetsskyddsklassificerade EU-uppgifter på nivån EU CONFIDENTIAL eller högre. Om angivna produkter inte används ska uppgifterna antingen överföras på elektroniska medier som 186Säkerhetsskyddsklassificerade EU-uppgifter är uppgifter vars obehöriga röjande skulle kunna åsamka Europeiska unionens eller en eller flera av dess medlemsstaters väsentliga intressen olika grader av skada. skyddas med godkända kryptoprodukter eller som föreskrivet av den behöriga säkerhetsmyndigheten om säkerhetsåtgärder. När säkerhetsskyddsklassificerade EU-uppgifter överförs på elek- tronisk väg ska godkända kryptoprodukter användas (artikel 10.7). Trots detta krav får specifika förfaranden i krissituationer eller spe- cifika tekniska konfigurationer enligt bilaga IV till beslutet tillämpas. I bilagan beskrivs bl.a. ett förfarande för utvärdering och godkän- nande av produkter för it-säkerhet. Säkerhetsnivån, som avser den grad av förtroende som krävs i säkerhetsåtgärderna, ska kontrolleras genom att internationellt erkända eller nationellt godkända proces- ser och metoder används. Detta inbegriper i första hand evaluering, skyddsåtgärder och revision. Kryptoprodukter för skydd av säker- hetsskyddsklassificerade EU-uppgifter ska evalueras och godkännas av en medlemsstats nationella kryptogodkännande myndighet. Innan sådana kryptoprodukter rekommenderas för godkännande av rådet eller generalsekreteraren ska de ha genomgått och klarat en andra- partsevaluering av en medlemsstats kvalificerade utvärderingsmyn- dighet, Appropriately Qualified Authority (AQUA) som inte deltagit i utformningen eller tillverkningen av utrustningen. Hur detaljerad andrapartsevalueringen ska vara beror på den planerade högsta säker- hetsskyddsklassificeringsnivån för de säkerhetsskyddsklassificerade EU-uppgifter som ska skyddas genom dessa produkter. En kvalifi- cerad utvärderingsmyndighet (AQUA) ska vara en kryptogodkän- nande myndighet i en medlemsstat, vilken har ackrediterats på grundval av kriterier som rådet har fastställt för att genomföra andraparts- evalueringen av kryptoprodukter för skydd av säkerhetsskyddsklas- sificerade EU-uppgifter.187 AQUA, dvs. godkänd andrapartsevaluerare av krypto inom EU, finns i fem medlemsstater, däribland Sverige188. , , och är de övriga kryptogodkända länderna.189 Även om säkerhetskraven i det nu nämnda beslutet formellt endast riktar sig till rådet och den egna organisationen har angivna krav in- korporerats även i multilaterala avtal (se nedan) som en form av stan- dard och bästa praxis i ett vidare sammanhang. I denna del blir det 187Det kan emellertid även förhålla sig på det sättet att EU accepterar att en medlemsstat använder s.k. Nato-godkänt krypto. 188Det är Swedish NCSA (Authority) som är AQUA i , och vidare är Must Swe NCSA (utpekade av NSA på UD). 189Alla länder skapar sina egna för nationellt bruk, men vissa kryptoprodukter som blir evaluerade kan fritt användas för EU-klassificerade uppgifter och motsvarande, med för- delen att produkterna är föremål för ömsesidigt erkännande. därmed fråga om en gemensam regeluppsättning för säkerhet och en samverkan mellan medlemsstaterna om hur säkerhetsskyddsklas- sificerade EU-uppgifter ska hanteras. Vid hantering av gemensamt hemliga uppgifter ingår EU:s medlems- stater bl.a. multilaterala säkerhetsskyddsavtal för att skydda upp- gifterna. I dessa avtal hänvisas till rådets beslut (se ovan) i fråga om gällande säkerhetskrav och -åtgärder, vilket innebär att godkända kryptoprodukter/gemensamhetsprodukter ska användas. Avtalet anger att rådets beslut ska respekteras och att det nationella skyddet minst ska motsvara det som föreskrivs vad gäller hanteringen av säker- hetsskyddsklassificerade EU-uppgifter. EU:s medlemsstater har ingått ett multilateralt avtal om skydd av säkerhetsskyddsklassificerade uppgifter som utbyts i EU:s intresse (2011/C 202/05). Syftet med avtalet är att skydda säkerhetsskydds- klassificerade uppgifter som härrör från unionen eller parterna. Genom det multilaterala avtalet förbinder sig parterna att vidta alla lämpliga åtgärder enigt nationell rätt för att säkerställa att den säkerhetsnivå som ges säkerhetsskyddsklassificerade uppgifter som omfattas av avtalet är likvärdig med den som ges enligt säkerhets- bestämmelserna inom unionens råd för säkerhetsskyddsklassifice- rade EU-uppgifter som har motsvarande säkerhetsskyddsklassificer- ingsnivå (artikel 3). Parterna ska vidare säkerställa att de uppgifter som omfattas av avtalet har vederbörligt skydd (artikel 6). Varje part ska också säkerställa att lämpliga åtgärder190 vidtas för skydd av de säkerhetsskyddsklassificerade uppgifter som hanteras i kommunika- tions- och informationssystem (artikel 7). 190Sådana åtgärder ska åtminstone säkerställa uppgifternas konfidentialitet, integritet och till- gänglighet. Liksom vid utbyte på EU-nivå (se ovan) aktualiseras gemensamma hemliga uppgifter också vid Nato-samarbetet. För att skydda Nato-information och informationssystem som behandlar Nato-information eller Nato-utrustning kan krav i natio- nell rätt gälla när inget annat följer av Nato:s säkerhetsregler. Förutom nationella klassificeringar av hemlig information be- aktas att det även finns kategorier som avser Nato: Nato Restricted, Nato Confidential, Nato Secret och Cosmic Top Secret. Behörighet krävs för tillgång till Nato-klassificerad information för ett specifikt kontrakt. Vissa internationella avtal kräver Nato- godkännanden för personal och organisationer. Ett kryptosystem avsett att skydda information klassificerad Nato Secret och uppåt ska vara godkänt av , (NAMILCOM) vilket innefattar en andrapartsevaluering av Nato’s and (). För att natio- nellt skydda Nato Restricted och Nato Confidential ska systemet vara godkänt av lämplig myndighet i landet. För länder som inte tillhör Nato krävs det dock ett särskilt godkännande för detta, och ett sådant har och Swe NCSA (dvs. En allt viktigare aspekt för IKT-system är att dessa alltmer behöver säkerställa informations konfidentialitet men även bibehålla dess integritet och tillgänglighet. Utmaningarna med samhällets ökande grad av digitalisering är gränsöverskridande och många. Nationella myndigheter i de flesta jämförbara länder tillstår att den digitala ut- vecklingen medför oerhörda positiva möjligheter som ett stort antal säkerhetsutmaningar måste hanteras. I syfte att öka cybersäkerheten i IKT-system har många stater utvecklat sina egna nationella ordningar för cybersäkerhetscerti- fiering med olika cybersäkerhetskrav och assuransnivåer, vilka åter- speglar deras rättsliga och ekonomiska kontexter. Särskilda krav på evaluering och certifiering av IKT förekommer i varierande säker- hetskänsliga domäner. Flertalet länder har också infört krav på god- kännande av informationssystem i säkerhetskänslig verksamhet. finns även gränsöverskridande processer för evaluering och ackre- ditering av IKT, inbegripet användning av kryptoutrustning. Merparten av de undersökta länderna lägger stor vikt vid en hel- hetssyn, även om de organisatoriska lösningarna för att skapa skydd skiljer sig något åt.191 Alla länder har också en eller flera nationella svarsmiljöer för hantering av IKT-händelser. Överlag lägger länderna tonvikt på att organisera sitt cybersäkerhetsarbete på ett sätt som säkerställer att förebyggande säkerhetsarbete ses i ett sammanhang av brottsförebyggande, beredskap och incidenthantering.192 ökar medvetenheten om vikten av att inkludera alla relevanta aktörer i cybersäkerhetsarbetet.193 Flera av länderna prioriterar att inkludera offentliga och privata företag, säkerhetsindustrin, den akademiska världen och andra organisationer både i utvecklingen av nationella cybersäkerhetsstrategier och genomförandet av anslutande åtgärder.194 har myndigheterna i flera av länderna varit mycket tydliga med att cybersäkerhet är ett högt prioriterat område på den politiska agendan. I linje med detta har de offentliga bud- geterna för organ som ansvarar för cybersäkerhet ökat betydligt . Detta återspeglar en växande oro över IKT-riskbilden och en större vilja att stoppa denna utveckling. Länderna investerar i att bygga både offensiva och defensiva kapa- citeter relaterade till cybersäkerhet. Dock finns inga länder som har övergripande nationella indikatorer för att mäta IKT- säkerhet. Ett genomgående drag är att justitie-/inrikes- och försvars- departement har centrala roller i länderna. Flera länder utvecklar också sin egen ”cyberdiplomati” som en del av utrikestjänsten. Av utredningens internationella jämförelse av ett tiotal utländska system framgår att nästintill alla länder har krav på att informations- 191Skydd av personliga uppgifter är visserligen en viktig faktor i samband med informations- säkerhet, men denna aspekt behandlas inte närmare i detta betänkande med hänsyn till upp- dragets snävare utformning. Av samma anledning har också brottsbekämpande myndigheter lämnats därhän. Inte heller personal- eller fysisk säkerhet tillägnas närmare studier i kapitlet, om än dessa utgör delar av informationssäkerheten. 192Mekanismer och plattformar för informationsutbyte är ofta nära integrerade med incident- hanteringsmiljöer. 193I vissa länder med särskilt stort fokus på samarbete mellan offentlig och privat sektor har marknadsincitament skapats för innovation och utveckling av säkerhetslösningar, samt en grund för implementering av övergripande standarder för cybersäkerhet. Dessa länder in- kluderar många relevanta aktörer i utvecklingen av sina cybersäkerhetsstrategier och genom- förandet av åtgärder. 194Sedan 2010 har samtliga av de undersökta länderna utvecklat egna nationella strategier för informations-, it- och/eller cybersäkerhet. Flertalet länder har en nationell säkerhetsstrategi som cybersäkerhetsstrategin är förankrad i. system som kan komma att hantera hemlig och/eller kvalificerat hemlig information ska godkännas av en utpekad nationell myn- dighet, eller ett departement, innan systemet får driftsättas i säker- hetskänslig verksamhet. Nationella krav på evaluering och/eller certi- fiering av motsvarande IKT framstår som emellertid inte som lika vanliga, om än det förekommer i ett par jämförbara länder. Utred- ningen kan notera att det på området finns betydande orga- nisatoriska skillnader mellan merparten av de undersökta länderna och . Utredningen bedömer att det finns skäl att som utgångspunkt för överväganden i de frågor som tas upp i direktiven till utredningen behandla några mer grundläggande frågor om digitaliseringens konse- kvenser för informations- och cybersäkerhet mer allmänt, utvecklingen av hot, risker och sårbarheter som följer av den pågående digitaliser- ingen samt förekomsten av brister i informations- och cybersäker- heten inom säkerhetskänsliga och samhällsviktiga verksamhetsområden. Vidare behandlas även betydelsen av styrning och samordning av arbetet med informations och – cybersäkerhet samt behovet av kom- petens på detta område. Förekomsten av brister inom dessa områden kan allvarligt påverka förutsättningarna att kunna åstadkomma stärkt informations- och cybersäkerhet inom olika viktiga samhällsverk- samheter, bl.a. vad gäller säkerhet i nätverks- och informationssystem som används i säkerhetskänslig verksamhet. Bedömning: Den pågående digitala utvecklingen i och i världen går på många plan mycket fort. Digitaliseringen påverkar hela samhället och området kan beskrivas som horisontellt, bland annat för att det omfattar alla samhällssektorer. På samma sätt som utvecklingen av digitaliseringen kan föra med sig fördelar kan den också föra med sig nya eller förändrade hot, sårbarheter och risker som påverkar informations- och cybersäkerheten i bl.a. nät- verks- och informationssystem hos olika verksamhetsutövare. Utredningen kan konstatera – och som också Digitaliseringskom- missionen framhåller – att digitaliseringen utgör en katalysator och motor i samhällsutvecklingen och att utvecklingen nu går mycket fort. Samhällsutvecklingen har genom historien varit nära sammanlänkad med den tekniska utvecklingen. Det som är särskilt kännetecknande för den av digitaliseringen drivna samhällsutvecklingen är hastigheten i utvecklingen. Det har sin grund iatt informations- och kommunikationstekniken (IKT) kontinuer- ligt och snabbt utvecklar nya användningsområden och funktioner, högre prestanda samt att användarnas intresse för och kompetens att använda tekniken ständigt växer och driver utvecklingen. Det med- för en omvälvande förändring och en transformering inom flera vik- tiga samhällsområden. Det medför nya förutsättningar för samhället istort och påverkar alla samhällsaktörer, t.ex. påverkar det sättet att arbeta med olika utmaningar inom de flesta samhällsområden. Digi- taliseringen och användningen av ny teknik förändrar förutsättningar och villkor för både offentlig och enskild verksamhet. Som framgår av kapitel 4 har tagit fram en rad olika strategier för att tillvarata digitaliseringens möjligheter. I det övergripande målet iden nuvarande digitaliseringsstrategin anges att ska vara bäst i världen på att använda digitaliseringens möjligheter som ett antal olika delmål satts upp, bl.a. ska det finnas de bästa för- utsättningarna för alla att på ett säkert sätt ta del av, ta ansvar för och ha tillit till det digitala samhället (D-trygghet). Betydelsen av att stärks inom digital infrastruktur och datahantering har pekats på i både regeringsuppdrag och internatio- nella mätningar. Olika initiativ sker för att i större utsträckning kunna strukturera, tillgängliggöra och vidareutnyttja centrala datamängder, skapa en gemensam digital infrastruktur för informationsutbyte samt utveckla och effektivisera verksamheter genom datadriven innova- tion och automatisering med stöd av AI-tillämpningar. Därutöver är användandet av molntjänster och outsourcad it-drift redan en reali- tet för många myndigheter. Myndigheten för digital förvaltning (DIGG) bedömer också att det har det skett en tydlig ambitionshöjning vad gäller den digitala förvaltningen i . har flera större pro- jekt initierats, bl.a. etablerandet av en förvaltningsgemensam digital infrastruktur för informationsutbyte, etableringen av flera nationella grunddatadomäner och ett intensifierat arbete med öppna data. har styrningen av den offentliga sektorns digitalisering, som tidigare präglades av fragmentering och ett stort självbestämmande, ändrat fokus och handlar mycket om att öka helhetssynen och konso- lidera och standardisera de komponenter och lösningar som behövs i hela eller stora delar av förvaltningen. Denna utveckling bedöms kunna ha stor positiv inverkan på den svenska förvaltningens förut- sättningar att tillvarata digitaliseringens möjligheter. Statliga myndigheter bedriver olika digitaliserings- arbeten. Digitaliseringen har använts och används fortsatt som ett verktyg för att uppnå kostnadsbesparingar, effektivisera och utveckla myndigheters förmåga att lösa sina uppdrag. Från att tidigare ha datoriserat informationshantering är svenska myndigheter nu inne i en fas som karaktäriseras av effektivisering och kapacitetsförbättring av sin verksamhet och tillgängliggörande av data, som är ett viktigt steg mot att ska kunna tillvarata digitaliseringens möjligheter. DIGG leder även ett arbete med att etablera en hållbar digital infrastruktur som ska möjliggöra ett effektivt och säkert utbyte av information inom och med det offentliga. Utvecklingen av infrastruk- turen ska främja nya förvaltningsgemensamma tjänster och lösningar för framtiden. Arbetet med den digitala infrastrukturen möjliggör även att nya datadrivna tekniker, t.ex. AI, kan användas för att öka inno- vationsförmågan och ge bättre service. En fullt utvecklad digital infra- struktur ska underlätta för medborgare och företagare i deras myn- dighetskontakter både nationellt och inom EU, där en uppgift till exempel bara ska behöva lämnas en gång. Utredningen anser att man dock inte kan bortse för att digitali- seringen även medför nya eller förändrade hot, sårbarheter och ris- ker. I takt med ett större beroende till och sammankoppling av olika digitala system, t.ex. nätverks- och informationssystem, skapas situa- tioner där cyberangrepp och enskilda it-incidenter kan få stora och svårutredda konsekvenser som även kan påverka andra aktörer. På motsvarande sätt kan cyberangrepp och it-incidenter utanför den egna verksamheten, även utanför det egna landet, medföra stora natio- nella konsekvenser och för offentliga och enskilda aktörer. Digita- liseringsrådet framhåller vikten av funktionell säkerhet i digitala system, dvs. att nätverks- och informationssystem är tillförlitliga, tillgängliga och robusta. Över tid kan man förvänta sig att en hög informations- och cybersäkerhet också bidrar till ökad tillit för information och för nätverks- och informationssystem. Ökad tillit stödjer ökad använd- ning av de digitala systemen vilket i sin tur driver på transformer- ingen i samhället. 10.3Hot, sårbarheter och risker Bedömning: Digitaliseringen av samhällets olika verksamheter medför att hot, sårbarheter och risker kontinuerligt ökar. Det innebär att risken för cyberangrepp ökar mot olika samhällsverk- samheter, särskilt vad gäller säkerhetskänsliga och andra sam- hällsviktiga verksamheter, som många har höga skyddsvärden. Hoten kommer främst från statliga aktörer som genomför cyberangrepp i olika syften, bl.a. som förberedelser för cyberangrepp och som industrispionage. Hoten kommer även från kriminella aktörer och ideellt motiverade aktörer, som har förmåga till cyber- angrepp för olika syften. Att kunna skydda sig mot cyberangrepp från kvalificerade hotaktö- rer är en nationell angelägenhet. Metoder och verktyg för cyber- angrepp utvecklas ständigt och hotaktörernas spelplan förändras i takt med teknikutvecklingen. Bland de svenska mål som utsätts för cyberangrepp finns verksamheter som är väsentliga för samhällets grundläggande funktioner.