sou · H9B363 · 2021-07-02 00:00:00 — Utgångspunkten för utredningens analys och överväganden i den delen var emellertid behovet av att komplettera det europeiska ram- verket för cybersäkerhetscertifiering med bl.a. kompletterande natio- nell författningsreglering och att lämna förslag på nationell myndighet för cybersäkerhetscertifiering i enlighet med EU:s cybersäkerhets- akt. Utredningens uppdrag var sålunda inte att behandla och överväga frågan om behov av krav på certifiering av IKT-produkter, -tjänster och -processer för att öka säkerheten i nätverks- och informations- system i säkerhetskänslig verksamhet. Redogörelsen i delbetänkan- det är avgränsat mot det behov som förelåg i den första delen av uppdraget och som redovisas i delbetänkandet. Utredningen har dock i delbetänkandet framhållit att certifiering av IKT-produkter, -tjänster och -processer anses allmänt bidra till ökat säkerhet i dessa och därigenom även ökat tillit till funktionalitet och säkerhet. Certifieringsprocessen består av en formell och oberoende utvärdering (evaluering) av IKT-produkter, -tjänster och -processer Certifiering av nätverks- och informationssystem utifrån fastställda kriterier. Certifiering är ett formellt fastställande av resultatet från utvärderingen (evaluering). I det ingår granskning att evalueringsarbetet genomförts med erforderlig noggrannhet och med utnyttjande av godkänd metodik samt att resultatet påvisat att evalueringsobjektet svarar mot någon viss kravnivå enligt givna evalueringskriterier. Ett utfärdat certifikat och tillhörande rapporter informerar användaren om säkerhetsegenskaperna hos IKT-produk- ten, -tjänsten och -processen. Certifiering utgör dessutom ofta ett väsentligt underlag vid ackreditering av system.1 En certifierings- process under ackreditering innebär att en organisation, produkt eller person – av ett ackrediterat certifieringsorgan – bedöms uppfylla krav som ställs i standarder eller andra styrdokument. Det finns särskilda organ med uppgiften att fatta beslut om ut- färdande av certifikat rörande it-säkerhet. Behovet av certifieringsorgan för it-säkerhet grundar sig på att man med internationellt accepte- rade standarder kan bidra med tillit och förtroende (s.k. assurans) såväl inom som mellan organisationer, nationellt och internatio- nellt.2 I är det endast det offentliga organet CSEC vid () som är erkänt inom CCRA och MRA och som certifierar enligt Common Criteria på it- säkerhetsområdet (se nedan).3 I många länder finns inom cybersäkerhetsområdet myndigheter som utgör nationella certifieringsorgan för it-säkerhet, ofta med nära koppling till myndigheter med ansvar för nationell säkerhet (se kapitel 9). Det europeiska ramverket för cybersäkerhetscertifiering Ökad digitalisering, samman- och uppkoppling av bl.a. ”smarta” digitala produkter (IoT) och den allt snabbare tekniska utvecklingen (t.ex. kvantdatorer) leder till ökade cyberhot, sårbarheter och risker i bl.a. nätverks- och informationssystem. För att minska dessa sår- barheter och risker måste nödvändiga åtgärder vidtas för att stärka 1Certifiering utgör ofta ett väsentligt underlag vid ackreditering (driftsgodkännande) av system. En certifiering under ackreditering (kompetensprövning) innebär att en organisation, produkt eller person – av ett ackrediterat certifieringsorgan – bedöms uppfylla kompetenskrav som ställs i standarder eller andra styrdokument. CCRA och svensk standard EN ISO/IEC 17065:2012 innehåller krav på certifierings- organs opartiskhet och oberoende. 3Se bl.a. kapitel 5 i utredningens delbetänkande. Certifiering av nätverks- och informationssystem cybersäkerheten i IKT-produkter, -tjänster och -processer i nät- verks- och informationssystem, elektroniska kommunikationsnät samt styr- och kontrollsystem för kritisk infrastruktur, m.m. Det europeiska ramverket för cybersäkerhetscertifiering, dvs. EU:s cybersäkerhetsakt och anslutande genomförandeordningar, innebär att det införs ett omfattande och komplext system på europeisk nivås om ska bidra till att öka informations- och cybersäkerheten i sam- hället, bl.a. i ovan angivna system. I ramverket behandlas och regleras frågor om bl.a. certifiering av IKT-produkter, -tjänster och -proces- ser i nätverks- och informationssystem i syfte att öka säkerheten i dessa system. Det europeiska ramverket för cybersäkerhetscertifier- ing beskrivs närmare i utredningens delbetänkande EU:s cybersäker- hetsakt – kompletterande bestämmelser om cybersäkerhetscertifiering (SOU 2020:58). Den nuvarande nationella ordningen för certifiering av it-säkerhet i produkter och system I 5 § förordningen med instruktion för () anges att det vid myndigheten ska finnas ett nationellt certi- fieringsorgan för it-säkerhet i produkter och system. FMV/certi- fieringsorganet ska verka för att uppnå och vidmakthålla internatio- nellt erkännande för utfärdade certifikat. Certifieringsorganet utgörs av myndighetens enhet Certifieringsorgan för it-säkerhet (CSEC), som har en oberoende ställning inom myndigheten. CSEC har till uppgift att utveckla den nationella certifierings- ordningen för it-säkerhet med regler och metoder för oberoende granskning och se till att ordningen följs. CSEC:s verksamhet styrs bl.a. av standarden ISO/IEC 17065 och lagen om ackreditering och teknisk kontroll som bygger på EG-förordningen 765/20084. CSEC verkar också som nationella certifieringsorgan för it-säker- het i produkter och system enligt den internationella standarden Common Criteria (CC). CSEC:s huvuduppgifter är att skriva certi- fieringsrapporter, utfärda certifikat och publicera en lista på certifie- rade produkter samt granska evalueringsrapporter och utöva tillsyn över evalueringar. 4Europaparlamentets och Rådets förordning (EG) nr 765/2008 av om krav för ackreditering och marknadskontroll i samband med saluföring av produkter och upphävande av förordning (EEG) nr 339/93. Certifiering av nätverks- och informationssystem CSEC ska även licensiera evalueringsföretag och utöva tillsyn över deras verksamhet samt bidra med stöd och råd vid utnyttjandet av CC för kravspecifikation. CSEC deltar även i internationellt samarbete för tolkningar av CC och utveckling av standarder samt marknadsför CC. CSEC represen- terar i arbetet inom ramen för Common Criteria Recognition Arrangement (CCRA) i rollerna som nationellt certifieringsorgan och signatär, där samverkan sker mellan 31 länder, var- av 17 är ackrediterade att utfärda certifikat upp till och med evaluer- ingsnivå EAL2 och upp till EAL4 för skyddsprofiler med tillhörande stöddokument. CSEC representerar även inom den europeiska organisa- tionen SOGIS-MRA. Medlemmarna i CCRA- och SOGIS-MRA-grupperna utövar även vis tillsyn över CSEC och dess certifieringsordning i enlighet med respektive arrangemang. CSEC representerar även FMV i det nationella cybersäkerhets- centret, som är under etablering (se kapitel 3). CSEC verkar i nära samarbete med Militära underrättelse- och säkerhetstjänsten (MUST) i nationella frågor om krypto. MUST granskar och godkänner också it-säkerhetsprodukter för användning i säkerhetskänslig verksamhet. Den svenska myndigheten är nationellt ackrediterings- organ. Det innebär att myndigheten bl.a. ackrediterar evaluerings- laboratorier, certifieringsorgan och kontrollorgan enligt internatio- nella standarder och regelverk. Myndigheten ger även råd i frågor om teknisk kontroll och i frågor om s.k. bedömning av överensstäm- melse. Swedac ackrediterade CSEC som nationellt certifieringsorgan 2008. Swedac utövar även regelbunden tillsyn över CSEC för att säkerställa att certifieringsorganet håller den standard som ligger till grund för ackrediteringen. Certifiering av nätverks- och informationssystem 12.3Finns krav på evaluering/testning av IKT-produkter, -tjänster och -processer i olika verksamheter? Som redovisas i kapitel 3 finns ingen allmän reglering med krav på säkerhet i nätverks- och informationssystem i samhället. Som ut- redningen redovisar i kapitel 6 och 7 finns en detaljerad reglering för skydd av säkerhetskänslig verksamhet i form av säkerhetsskydds- lagen, säkerhetsskyddsförordningen och tillsynsmyndigheternas före- skrifter med krav på olika säkerhetsskyddsåtgärder, bl.a. i form av informationssäkerhetsåtgärder i säkerhetsskyddad verksamhet. Dessa senare författningar innehåller dock inga formella krav på certifiering av IKT-produkter, -tjänster och -processer i nätverks- och informa- tionssystem. Frågan som då uppkommer är om – i de fall det finns en reglering av informationssäkerhet på andra samhällsviktiga områden – det före- kommer krav på att IKT-produkter, -tjänster och -processer i nät- verks- och informationssystem ska certifieras eller i övrigt bli före- mål för evaluering/testning för att uppnå ökad säkerhet. Det blir då närmast fråga om författningsreglering som gäller för –statliga myndigheters verksamhet allmänt, –samhällsviktiga och digitala tjänster i anslutning till NIS-direk- tivet och –övriga samhällssektorer. Krav på informationssäkerhet i statliga myndigheters verksamhet Myndigheten för samhällsskydd och beredskap (MSB) har med stöd av 21 § förordningen (2015:1052) om krisberedskap och bevaknings- ansvariga myndigheters åtgärder vid höjd beredskap utfärdat före- skrifter som ansluter till bestämmelserna om statliga myndigheters informationssäkerhet i 19 § i förordningen. Av 19 § i förordningen följer att varje myndighet har ansvar för säker informationshanter- ing. Ansvaret gäller även när myndighetens information hanteras av en extern aktör eller när myndigheten tillhandahåller andra aktörer tjänster för informationshantering inom e-förvaltning eller mot- svarande. Certifiering av nätverks- och informationssystem I 1 § i myndighetens föreskrifter om informationssäkerhet för statliga myndigheter5 anges att dessa avser sådana säkerhetskrav som avses i 19 § i den angivna förordningen. Av 2 § följer att om en annan författning innehåller en bestämmelse som ställer högre krav än vad som anges i dessa föreskrifter tillämpas den bestämmelsen. Av 4 § följer att en myndighet ska bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete med stöd av standarderna SS-EN ISO/IEC 27001:2017 Informationsteknik – Säkerhetstekniker –Ledningssystem för informationssäkerhet – Krav och SS-EN ISO/ IEC 27002:2017 Informationsteknik – Säkerhetstekniker – Riktlinjer för informationssäkerhetsåtgärder eller motsvarande. Om en myndig- het väljer att använda en annan standard bör myndigheten analysera och dokumentera de likheter och skillnader som finns mellan ISO- standarden och vald standard för att säkerställa att vald standard ger tillräckligt stöd i det systematiska och riskbaserade informations- säkerhetsarbetet. I 5 § anges att informationssäkerhetsarbetet ska utformas utifrån de risker och behov myndigheten identifierar. Det ska omfatta all behandling av information som myndigheten ansvarar för och integ- reras med myndighetens befintliga sätt att leda och styra sin orga- nisation Av 6 § följer att myndigheten ska säkerställa att informations- säkerhetsarbetet är systematiskt och riskbaserat genom att –klassa sin information avseende konfidentialitet, riktighet och tillgänglighet i olika nivåer utifrån vilka konsekvenser ett bristande skydd kan få (informationsklassning), –identifiera, analysera och värdera risker för sin information (risk- bedömning), –utifrån genomförd informationsklassning och riskbedömning identifiera behov av och införa ändamålsenliga och proportionella säkerhetsåtgärder, och –utvärdera säkerhetsåtgärderna och vid behov anpassa skyddet av informationen. I arbetet ingår att genomföra en gapanalys. 5Myndigheten för samhällsskydd och beredskaps föreskrifter om informationssäkerhet för statliga myndigheter (MSBFS 2020:6). Certifiering av nätverks- och informationssystem MSB har även med stöd av 21 § förordningen (2015:1052)1 om kris- beredskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap utfärdat föreskrifter och allmänna råd om säkerhets- åtgärder i informationssystem för statliga myndigheter.6 Dessa före- skrifter innehåller bestämmelser om sådana säkerhetskrav som avses i 19 § förordningen (2015:1052) om krisberedskap och bevaknings- ansvariga myndigheters åtgärder vid höjd beredskap. Om en annan författning innehåller en bestämmelse som ställer högre krav än kraven i dessa föreskrifter tillämpas den bestämmelsen. Med begreppet informationssystem i föreskrifterna avses appli- kationer, tjänster eller andra komponenter som hanterar informa- tion samt nätverk och infrastruktur. Av 3 kap 1 § i föreskrifterna följer att en myndighet ska vid anskaffning, utveckling eller utkon- traktering av informationssystem identifiera krav på säkerhet i syste- met. I myndighetens allmänna råd till den angivna bestämmelsen anges att ”vid anskaffning av informationssystem bör myndigheten överväga att välja produkter som är certifierade genom tredjeparts- granskning mot etablerad standard.” Några formella krav på att an- vända certifierade IKT-produkter, -tjänster eller -processer finns så- lunda inte i föreskrifterna. Krav på informationssäkerhet för samhällsviktiga och digitala tjänster Till grund för den nationella författningsregleringen om informa- tionssäkerhet för samhällsviktiga och digitala tjänster ligger Europa- parlamentets och rådets direktiv (EU) 2016/1148 av om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen (NIS-direktivet). I NIS-direktivet samt anslutande nationell författningsreglering på området finns bestämmelser som bl.a. reglerar krav på säkerhet i närverks- och informationssystem i verksamheter som rör samhälls- viktiga tjänster. Säkerhet i system och anläggningar enligt artikel 16.1 a i direktiv (EU) 2016/1148 avser säkerheten för nät- och informa- tionssystem och deras fysiska miljö och innefattar följande aspekter: 6Myndigheten för samhällsskydd och beredskaps föreskrifter om säkerhetsåtgärder i infor- mationssystem för statliga myndigheter (MSBFS 2020:7). Certifiering av nätverks- och informationssystem a)Systematisk förvaltning av nät- och informationssystem, vilket avser mappning av informationssystem och fastställande av ett antal ändamålsenliga policyer för hantering av informationssäker- heten, inklusive riskanalys, mänskliga resurser, driftssäkerhet, säker- hetsarkitektur, säker livscykelhantering av data och system och, i förekommande fall, kryptering och hantering av sådan kryptering. b)Fysisk säkerhet och miljösäkerhet, vilket avser tillgången till ett antal åtgärder för att skydda säkerheten för nät- och informa- tionssystem hos leverantörer av digitala tjänster från skador med användning av en riskbaserad strategi som omfattar alla faror och som t.ex. omfattar systemfel, den mänskliga faktorn, avsiktligt skadliga handlingar eller naturfenomen. c)Försörjningstrygghet, vilket avser införande och upprätthållande av lämpliga policyer för att säkerställa tillgängligheten och i före- kommande fall spårbarheten för kritiska insatsprodukter som används för tillhandahållandet av tjänsten. d)Åtkomstkontroll för nät- och informationssystem, vilket avser tillgången till en uppsättning åtgärder för att säkerställa att den fysiska och logiska åtkomsten till nät- och informationssystem, inklusive administrativ säkerhet för nät och informationssystem, tillåts och begränsas baserat på verksamhetskrav och säkerhets- krav. I Kommissionens genomförandeförordning (EU) 2018/151 av om tillämpningsföreskrifter för och rådets direktiv (EU) 2016/1148 om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen finns närmare specificering av de aspekter som ska beaktas av leve- rantörer av digitala tjänster när de hanterar risker som hotar säker- heten i deras nät- och informationssystem samt parametrarna för fastställande av om en incident har avsevärd inverkan.7 7Kommissionens genomförandeförordning (EU) 2018/151 av om till- lämpningsföreskrifter för och rådets direktiv (EU) 2016/1148 om åt- gärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen vad gäller närmare specificering av de aspekter som ska beaktas av leverantörer av digitala tjänster när de hanterar risker som hotar säkerheten i deras nät- och informationssystem samt parametrarna för fastställande av om en incident har avsevärd inverkan. I förordningen fram- hålls att enligt direktiv (EU) 2016/1148 bör (1) leverantörer av digitala tjänster fritt kunna vidta de tekniska och organisatoriska åtgärder som de anser lämpliga för att hantera risker för Certifiering av nätverks- och informationssystem I lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster finns bestämmelser om informationssäkerhet för sådana tjänster. Lagen gäller för (1) leverantörer av det slag som anges i bilaga 2 till NIS-direktivet och som tillhandahåller en sam- hällsviktig tjänst, under förutsättning att leverantören är etablerad i , att tillhandahållandet av tjänsten är beroende av nätverk och informationssystem och att en incident skulle medföra en betydande störning vid tillhandahållandet av tjänsten (leverantörer av samhälls- viktiga tjänster), och (2) juridiska personer som tillhandahåller en digital tjänst och som har sitt huvudsakliga etableringsställe i eller har utsett en företrädare som är etablerad här (leverantörer av digitala tjänster). Av 8 § framgår att lagen dock inte gäller för verk- samhet som omfattas av säkerhetsskyddslagen (2018:585). Vidare anges i 9 § att när det gäller leverantörer som omfattas av krav på in- formationssäkerhet i andra författningar ska – om det i lag eller annan författning finns bestämmelser som innehåller krav på säkerhetsåt- gärder och incidentrapportering – de bestämmelserna gälla om verkan av kraven minst motsvarar verkan av skyldigheterna enlig lagen, varvid bestämmelsernas omfattning ska beaktas samt vilken tillsyn och vilka sanktioner som är kopplade till kraven i bestämmelserna. I 5 § i förordningen (2018:1175) om informationssäkerhet för samhällsviktiga och digitala tjänster anges att leverantörer av sam- hällsviktiga tjänster och leverantörer av digitala tjänster ska när det gäller organisatoriska och tekniska åtgärder beakta europeiska och säkerheten i deras nät- och informationssystem, om dessa åtgärder säkerställer en lämplig säker- hetsnivå och tar hänsyn till de aspekter som föreskrivs i direktivet. (2) När leverantörer av digitala tjänster fastställer vilka tekniska och organisatoriska åtgärder som är ändamålsenliga och proportionella bör de ta ett systematiskt grepp på informationssäkerheten och tillämpa ett riskbaserat tillvägagångssätt. (3) För att garantera säkerheten för system och anläggningar bör leverantörer av digitala tjänster genomföra bedömnings- och analysförfaranden. Förfaran- dena bör omfatta en systematisk förvaltning av nät- och informationssystem, fysisk säkerhet och miljösäkerhet, försörjningstrygghet och åtkomstkontroll. (4) När leverantörer av digitala tjänster utför en riskanalys inom ramen för en systematisk förvaltning av nät- och informa- tionssystem bör de uppmuntras att identifiera särskilda risker och kvantifiera deras betydelse, t.ex. genom att identifiera hot mot kritiska tillgångar och hur dessa hot påverkar driften och fastställa hur de bäst kan begränsas baserat på befintlig kapacitet och befintliga resurskrav. (5)Policyn för mänskliga resurser kan avse förvaltningen av kompetens, inklusive aspekter förbundna med utvecklingen av säkerhetsrelaterad kompetens och åtgärder för att öka med- vetenheten. Vid fastställandet av ett antal ändamålsenliga policyer för driftssäkerhet bör leve- rantören av digitala tjänster uppmuntras att ta hänsyn till aspekter rörande förändringshanter- ing, sårbarhetshantering, formaliserade drifts- och förvaltningsmetoder och systemmappning. (6)Policyerna för säkerhetsarkitektur kan i synnerhet omfatta segregering av nätverk och system liksom specifika säkerhetsåtgärder för kritisk drift såsom förvaltningsdrift. Segreger- ingen av nätverk och system kan göra det möjligt för en leverantör av digitala tjänster att skilja mellan element som dataflöden och datorresurser som hör till en kund, en grupp av kunder, leverantören av digitala tjänster eller tredje part. Certifiering av nätverks- och informationssystem internationellt accepterade standarder och specifikationer vid ut- formningen av säkerhetsåtgärder. Av 6 § följer att vid bedömningen av om säkerhetsåtgärder enligt 15 § lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster säkerställer en nivå på säkerheten i nätverk och informationssystem som är lämplig i förhållande till risken, ska bl.a. beaktas säkerheten i system och anläggningar (punkten 1), hanter- ing av driftskontinuitet, övervakning (punkten 3), revision och test- ning (punkten 4), och efterlevnad av internationella standarder (punk- ten 5). I förordningen anges vidare att i artikel 2 i kommissionens genomförandeförordning om leverantörer av digitala tjänster finns bestämmelser som närmare anger vad som avses med bl.a. punk- terna 1 och 3–5. I förordningen anges vidare att Myndigheten för samhällsskydd och beredskap får, efter att ha gett tillsynsmyndigheterna och Social- styrelsen tillfälle att yttra sig, meddela föreskrifter om systematiskt och riskbaserat informationssäkerhetsarbete enligt 11 § lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster. , Transportstyrelsen, Finansinspek- tionen, och får meddela föreskrifter om säkerhetsåtgärder enligt 12–14 §§ lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster för sina respektive tillsynsområden. får meddela sådana föreskrifter för Inspektionen för vård och omsorgs tillsynsområde. Innan föreskrifterna meddelas ska Myndigheten för samhällsskydd och beredskap ges tillfälle att yttra sig. Vidare anges att Myndigheten för samhällsskydd och beredskap ska lämna råd och stöd till tillsyns- myndigheterna och när de tar fram föreskrifterna. Myndigheten för samhällsskydd och beredskap har med stöd av den angivna lagen och förordningen meddelat föreskrifter om informa- tionssäkerhet för leverantörer av samhällsviktiga tjänster med krav på att aktörer med verksamhet inom samhällsviktiga tjänster ska be- driva ett systematiskt arbete med informationssäkerhet och vidta åtgärder som stärker it-säkerheten i verksamheten. I 8 § angivna före- skrifter anges att leverantör ska ha ett dokumenterat arbetssätt för sitt informationssäkerhetsarbete som stöd för att klassa information med utgångspunkt i vilka konsekvenser som kan uppkomma vid bris- ter i konfidentialitet, riktighet och tillgänglighet (punkten 1), iden- tifiera, analysera och värdera risker för organisationens information, Certifiering av nätverks- och informationssystem nätverk och informationssystem (punkten 2), utifrån genomförd in- formationsklassning och riskbedömning införa ändamålsenliga och proportionella säkerhetsåtgärder (punkten 3) samt följa upp och ut- värdera säkerhetsåtgärder i syfte att vid behov anpassa skyddet av informationen (punkten 4). Av 10 § följer att en leverantör ska ha interna regler och arbetssätt som säkerställer att samtliga nätverk och informationssystem för samhällsviktiga tjänster uppfyller identifierade behov av informationssäkerhet. Drift och förvaltning , arkitek- tur samt sammankoppling mot andra nätverk och informationssystem ska särskilt beaktas. De angivna sektorsmyndigheterna/tillsynsmyndigheterna inom respektive sektor har rätt att meddela föreskrifter på respektive område.8 Post och har utfärdat myndighetsföreskrifter och all- männa råd om säkerhetsåtgärder för samhällsviktiga tjänster inom sektorn digital infrastruktur (TSFS 2021:3)9 I föreskrifterna finns bestämmelser om säkerhetsåtgärder för nätverk och informations- system enligt 12–14 §§ lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster.