sou · H9B363 · 2021-07-02 00:00:00 — I NIS-direktivet används begreppet ”samhällsviktiga tjänster” vilket har ett snävare fokus än ”samhällsviktig verksamhet”. Det är verksam- hetsutövaren själv som ansvarar för att identifiera sig som en sam- hällsviktig tjänst under , och att anmäla detta till berörd tillsyns- myndighet. Lagen (2018:1174) respektive förordningen (2018:1175) om in- formationssäkerhet för samhällsviktiga och digitala tjänster om infor- mationssäkerhet för samhällsviktiga och digitala tjänster trädde i kraft . Den angivna lagen ställer krav på leverantörer av samhällsviktiga tjänster inom de sju utpekade sektorerna samt, under vissa förutsättningar, leverantörer av digitala tjänster. Myndigheten för samhällsskydd och beredskap (MSB) har med- delat föreskrifter om vilka tjänster inom dessa sektorer som ska anses som samhällsviktiga. Leverantörer av samhällsviktiga tjänster ska vidta adekvata åtgärder för att skydda de nätverks- och informa- tionssystem som de använder för att tillhandahålla samhällsviktiga tjänster.29 De ska även rapportera till MSB om incidenter som har en betydande inverkan på kontinuiteten i tjänsterna. Ett antal myndig- heter har genom föreskrift fått i uppgift att bedriva tillsyn över regel- verket inom sina respektive sektorer. En sådan tillsynsmyndighet ska ha befogenhet och medel för att kontrollera att leverantörerna upp- fyller sina skyldigheter samt fastställa regler om sanktioner vid över- trädelse av regelverket. Den nya lagen gäller även för digitala tjänster En leverantör av samhällsviktiga tjänster ska arbeta systematiskt och riskbaserat med sitt informationssäkerhetsarbete. Kraven för leve- rantörer av samhällsviktiga tjänster beskrivs mer detaljerat i Myn- 29Myndigheten för samhällsskydd och beredskaps föreskrifter om informationssäkerhet för leverantörer av samhällsviktiga tjänster (MSBFS 2018:8). digheten för samhällsskydd och beredskaps (MSB) föreskrifter om informationssäkerhet för leverantörer av samhällsviktiga tjänster (MSBFS 2018:8). I föreskrifterna beskrivs hur leverantören ska gå tillväga för att bedriva ett effektivt informationssäkerhetsarbete. Före- skrifterna ger bland annat kunskap, och stöd, om resurser för att identifiera, införa och utvärdera ändamålsenliga och proportioner- liga organisatoriska och tekniska säkerhetsåtgärder. Den angivna regleringen ställer således krav på att verksamhets- utövare som omfattas av regleringen ska bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete i sin verksamhet., I detta sammanhang kan noteras att NIS-direktivet är föremål för översyn och att kommissionen har offentliggjort ett utkast till ett nytt NIS2-direktiv, som bl.a. utökar tillämpnings- område till fler sektorer i samhällsverksamheten (se kapitel 12 3.5.3Det europeiska ramverket för cybersäkerhetscertifiering Utredningen lämnade delbetänkandet EU:s cybersäkerhetsakt – kom- pletterande nationella bestämmelser om cybersäkerhetscertifiering (SOU 2020:58) till regeringen . I delbetänkande lämnar utredningen förslag om att ska utses till nationell cybersäkerhetsmyndighet med uppgift att fullgöra de skyldigheter som följer av EU:s cybersäkerhetsakt. Vidare lämnades förslag om författningsbestämmelser avseende tillsyn, sanktioner, sekretess, m.m. Delbetänkandet har remissbehandlats . Regeringen överlämnade till propo- sitionen Kompletterande bestämmelser till EU:s cybersäkerhetsakt (prop. 2020/21:186) med anledning av utredningens delbetänkande. Utredningen har tagit del av vad regeringen anför i propositionen och kommer på motsvarande sätt som gäller för remissinstansernas synpunkter att beakta vad som anförs i propositionen i den utsträck- ning det har betydelse för utredningsarbetet. I EU:s cybersäkerhetsakt anges att regleringen i akten inte på- verkar medlemsstaternas befogenheter i fråga om verksamhet som berör allmän säkerhet, försvar, nationell säkerhet och statens verk- samhet på straffrättens område, dvs. verksamheter som till stor del be- döms utgöra säkerhetskänslig verksamhet enligt den nationella säker- hetsskyddslagstiftningen. Utredningen har i delbetänkandet gjort bedömningen att många av de IKT-produkter, -tjänster och -processer som kan komma att omfattas av regleringens tillämpningsområde även kommer att an- vändas i verksamheter som berör samhällsviktiga tjänster och i verk- samhet som berör säkerhetskänslig verksamhet och därför även det svenska totalförsvaret, såväl det militära som det civila försvaret.30 En av utgångspunkterna för utredningens arbete i denna del har därför varit – på motsvarande sätt som i delbetänkandet – att i de analyser och de överväganden som gjorts i olika frågor avseende den säkerhetskänsliga verksamheten även beakta hur utredningens ställ- ningstaganden och förslag kan komma att beröra informations- och cybersäkerhet inom tillämpningsområdet för EU:s cybersäkerhetsakt. 3.5.4Regleringen avseende statliga myndigheter Grundläggande krav på statliga myndigheters informationssäkerhet finns i förordningen (2015:1052) om krisberedskap och bevaknings- ansvariga myndigheters åtgärder vid höjd beredskap. Av förordningen framgår att varje myndighet ansvarar för att egna informationshanter- ingssystem uppfyller sådana grundläggande och särskilda säkerhets- krav att myndighetens verksamhet kan utföras på ett tillfredsställande sätt.31 Behovet av säkra ledningssystem för informationssäkerhet ska särskilt beaktas. Vidare regleras en skyldighet för myndigheterna att rapportera it-incidenter till Myndigheten för samhällsskydd och bered- skap (MSB). Förordningen kompletteras av myndighetens föreskrifter om statliga myndigheters informationssäkerhet32, föreskrifter om säkerhetsåtgärder i informationssystem för statliga myndigheter33 och om statliga myndigheters rapportering av it-incidenter.34 I anslutning till föreskrifterna har myndigheten tagit fram allmänna råd som för- tydligar innebörden av bestämmelserna i föreskrifterna och ger gene- rella rekommendationer om tillämpningen. 30Se avsnitt 2.4 i delbetänkandet. 3119 och 20 §§ förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndig- heters åtgärder vid höjd beredskap. 32Myndigheten för samhällsskydd och beredskaps föreskrifter om informationssäkerhet för statliga myndigheter (MSBFS 2020:6). 33Myndigheten för samhällsskydd och beredskaps föreskrifter om säkerhetsåtgärder i informa- tionssystem för statliga myndigheter (MSBFS 2020:7). 34Myndigheten för samhällsskydd och beredskaps föreskrifter om rapportering av it-incidenter för statliga myndigheter (MSBFS 2020:8). För regioner och kommuner gäller lagen (2006:544) om kommuners och regioners åtgärder inför och vid extraordinära händelser i freds- tid och höjd beredskap. Bestämmelserna i lagen syftar till att regio- ner och kommuner ska minska sårbarheten i sin verksamhet och ha en god förmåga att hantera krissituationer i fred. Regioner och kom- muner ska därigenom också uppnå en grundläggande förmåga till civilt försvar. Regioner och kommuner ska analysera vilka extraordi- nära händelser i fredstid som kan inträffa i kommunen respektive regionen och hur dessa händelser kan påverka den egna verksam- heten. Resultatet av arbetet ska värderas och sammanställas i en risk- och sårbarhetsanalys. Regioner och kommuner ska vidare, med be- aktande av risk- och sårbarhetsanalysen, för varje ny mandatperiod fastställa en plan för hur de ska hantera extraordinära händelser. Reger- ingen eller den myndighet som regeringen bestämmer får meddela närmare föreskrifter om risk- och sårbarhetsanalyser samt planer för hanteringen av extraordinära händelser. Regleringen omfattar emeller- tid inte specifika bestämmelser med krav på eller om informations- säkerhet.35 3.6Offentliga utredningar och rapporter har ett antal offentliga utred- ningar och myndighetsrapporter offentliggjorts som berör informa- tions- och cybersäkerhet och, till viss del, säkerhetsskydd i olika verk- samheter. Både utredningar och rapporter visar det finns besvärande brister i informations- och cybersäkerheten i många offentliga aktö- rers verksamhet och att det därför finns befogad anledning anta att även informations- och cybersäkerheten i den säkerhetsskyddade verk- samheten kan vara bristfälligt. En redogörelse för vad som framkom- mer av utredningarna och rapporterna finns i kapitel 8. 35Det kan dock nämnas att vissa föreskrifter som gäller hälso- och sjukvården anger krav på in- formationssäkerhet när vårdgivare behandlar patienters personuppgifter (HSLF-FS 2016:40). 3.7Digitaliseringen och kraven på informations- och cybersäkerhet Utredningen kan konstatera att digitaliseringen och hanteringen av information i nätverks- och informationssystem ökar i alla delar av samhället och inom alla samhällsverksamheter. I takt med att den digitala utvecklingen skapar nya möjligheter uppstår nya säkerhets- utmaningar och hela samhället behöver därför kunna hantera både nationella och globala säkerhetsutmaningar. När det uppkommer sårbarheter och brister i olika nätverks- och informationssystem ris- kerar det att få omfattande säkerhets- och integritetsmässiga kon- sekvenser för samhället i stort och för enskilda. En betryggande nät- verks- och informationssäkerhet på alla samhällsområden och på alla nivåer är därför grundläggande för den fortsatta utvecklingen av en säker, innovativ och effektiv digital samhällsverksamhet och förvalt- ning. Den påverkan som den mer generella utvecklingen av sam- hällets digitalisering, och därtill kopplade krav på bl.a. säkra nätverks- och informationssystem, medför går inte att bortse från när en analys ska göras av behovet av att stärka säkerheten i nätverks- och informationssystem i säkerhetskänslig verksamhet. Detta blir även en utgångspunkt för utredningens fortsatta analys och överväganden i de frågor som tas upp i utredningsdirektiven. 4Digitalisering och informations- och cybersäkerhet Bedömning: Digitaliseringen i samhället sker snabbt och i stor omfattning inom de flesta samhällssektorer. Digitalisering med- för nya arbetssätt, som bygger på nya tekniska möjligheter att samla in stora mängder data. Förändringsfaktorer, bl.a. utveck- lingen av ny teknik, medför att nya sårbarheter och risker upp- står. Informations- och cybersäkerhet i samhället i stort och inom olika samhällsviktiga områden utvecklas inte i motsvarande grad vilket innebär att gapet mellan digitalisering och informations- och cybersäkerhet ökar över tiden. Detta medför även ökade ris- ker för cyberangrepp mot eller it-incidenter i säkerhetskänsliga och andra samhällsviktiga verksamheter. Den pågående digitala utvecklingen i och i världen går på många plan mycket fort och statliga myndigheter, regioner, kom- muner och aktörer i näringslivet bedriver olika digitaliseringsarbeten. Digitaliseringen påverkar hela samhället och området kan beskrivas som horisontellt, bl.a. för att det omfattar alla samhällssektorer. På samma sätt som utvecklingen av digitaliser- ingen kan föra med sig fördelar kan den också föra med sig nya eller förändrade hot och sårbarheter. Covid-19-pandemin är ett exempel som har tydliggjort detta genom att många anställda, både i offentlig sektor och i näringslivet, mot bakgrund av rådande om- världsläge har behövt utföra sina arbetsuppgifter på annan plats än den ordinarie arbetsplatsen. Det har fört med sig att myndigheter och företag i större omfattning behövt nyttja internet och olika system Digitalisering och informations- och cybersäkerhet för fjärruppkoppling, anskaffa teknisk utrustning och nyttja olika tekniska tjänster. Mot bakgrund av utvecklingen av digitalisering inom olika sam- hällsverksamheter, bl.a. säkerhetskänslig verksamhet, och betydel- sen av stärkt informations- och cybersäkerhet behandlas dessa frågor översiktligt i detta kapitel. Syftet är att belysa betydelsen av infor- mations- och cybersäkerhet när frågor om digitaliseringen behand- las, med fokus bl.a. på olika förändringsfaktorer som utgör utmaningar och ökade sårbarheter och risker för denna säkerhet. har vid åtskilliga tillfällen fått ta ställning till proposi- tioner och skrivelser om digitaliseringen och informationsteknikens betydelse för samhällets utveckling inom många olika områden. Rege- ringen har lämnat förslag till mål, strategier och ett antal andra åt- gärder, lagförslag, lägesrapporter om den digitala utvecklingen och lyft fram statens och den offentliga förvaltningens ansvar och upp- gifter i denna utveckling, m.m. Regeringen har även tillsatt utred- ningar i kommittéväsendet för att utreda och lämna förslag om olika frågor som har med digitalisering och it att göra inom olika samhälls- områden och om förvaltningens digitala organisering och utveck- ling. Regeringen har också tillsatt utredningar i kommittéväsendet med operativa uppgifter att utveckla e-förvaltningen. Regeringen har dessutom tillsatt arbetsgrupper, som har utrett olika frågor om e-för- valtning och tillsatt olika så kallade råd för att utveckla e-förvalt- ningen i samverkan med aktörerna i den offentliga sektorn och med näringslivet. har myndighetsansvaret för digitaliserings- och it-frå- gorna, och då även informations- och cybersäkerheten, skiftat . Regeringen har gett olika myndigheter uppgifter som har med samhällets och det offentliga åtagandet för förvaltningens digitali- sering att göra samt inrättat och lagt ner flera myndigheter med uppgifter att utveckla och stödja förvaltningens användning av it. De organisatoriska lösningarna har varit tillfälliga och kortsiktiga. Reger- ingen har även gett statliga myndigheter inom olika politikområden och sektorer uppdrag om förvaltningens digitalisering, bl.a. e-för- valtning, i regleringsbrev och i särskilda regeringsbeslut. Digitalisering och informations- och cybersäkerhet fattningsvis kan noteras att det har nästan funnits en kommitté, arbetsgrupp eller myndighetsuppdrag med upp- gift att behandla digitalisering och it-frågor.1 Dagens digitaliseringsstrategier föregås en rad utredningar som har behandlat frågor om ADB (automatisk databehandling) och sedermera it. Bl.a. inrättade den så kallade IT- kommissionen ett ”observatorium för IT-infrastrukturfrågor” i slu- tet av i syfte att skapa ett forum för diskussioner och rekommendationer kring frågor rörande den grundläggande infra- strukturen för it.2 , som bildades av regeringen och som utgjorde arvtagare, fick till uppgift att verka för att det it-politiska målet uppnås och att regeringens ambitioner inom området fullföljs.3 har utkommit med en rad delbetänkanden på temat digitala agenda.4 Kommissionen arbete sammanfattades med slutbetänkan- det För digitalisering i tiden (SOU 2016:89). De rapporter som publicerats av och andra aktörer visar att analyserna har vidgats från ett infrastruk- tur- och teknikfokus till ett bredare samhällsperspektiv som betrak- tar digitaliseringen som en transformerande kraft som påverkar sam- hället på alla nivåer. Även begreppen förändras från ADB till IT till det nuvarande begreppet digitalisering. 1SOU 2017:23, s. 51 ff. I delbetänkandet lämnas en översiktlig redogörelse för regeringens ambitioner för utvecklingen och digitaliseringen av den offentliga förvaltningen och det orga- niserade stödet av denna utveckling under den senaste tjugoårs-perioden. 2Se t.ex. Framtidssäker IT-infrastruktur för (SOU 1999:134). – en kommission för den digitala agendan, Dir. 2012:61. 4En digital agenda i människans tjänst – digitala ekosystem, dess aktörer och drivkrafter (SOU 2013:31); En digital agenda i människans tjänst – en ljusnande framtid kan bli vår (SOU 2014:13); Gör – digital kompetens (SOU 2015:28); Om i fram- tiden – en antologi om digitaliseringens möjligheter (SOU 2015:65); Digitaliseringens transformerande kraft – vägval för framtiden (SOU 2015:91) och Digitaliseringens effekter på individ och samhälle – fyra temarapporter (SOU 2016:85). Kommissionens arbete avslutades i och med slutbetänkandet För digitalisering i tiden (SOU 2016:89). Digitalisering och informations- och cybersäkerhet 4.3Politikens mål för digitalisering I har det tagits fram en rad strategier för att tillvarata digi- taliseringens möjligheter. Det övergripande målet i den nuvarande digitaliseringsstrategin är, som tidigare berörts, att ska vara bäst i världen på att använda digitaliseringens möjligheter. För att nå detta mål har ett antal delmål avseende digital kompetens m.m. for- mulerats (kapitel 3). Regeringen inrättade – inom – som stöd i arbetet med att förverkliga dessa mål. Digi- taliseringsrådets uppgift är att bidra till bättre samordning och ett effektivt genomförande av regeringens strategiska arbete med digita- lisering. är direktrapporterande till digitaliser- ingsministern. Rådets uppgift är i korthet att: –följa och stödja regeringens arbete med digitalisering, –följa digitaliseringen i , –följa digitaliseringen i omvärlden och jämföra hur preste- rar mot andra länder, och –lämna förslag till konkreta insatser samt samråda med andra funk- tioner som regeringen inrättat för att arbeta med samhällets digi- talisering. Den övergripande digitaliseringsstrategin är dock inte den enda stra- tegin av relevans för digitaliseringsfrågor. I rap- port En lägesbild av digital ledning5 2018 ges en översikt av närliggande strategidokument som också har påverkan på digitaliseringsfrågorna.6 lämnar i rapporten även en uppdaterad läges- bild av de fem delmål som anges i digitaliseringsstrategin. Lägesbil- derna, tillsammans med slutbetänkande7, utgör en bas för det vidare arbetet när gäller förståelse om viktiga utmaningar och möjligheter. 5En lägesbild av digital ledning, , 2018. Nationell strategi för informations- och cybersäkerhet, Demokratistrategin, Regeringens strategi för standardisering, Bredbandsstrategin, Nationell inriktning för artificiell intelligens (inte formellt en strategi), Regeringens strategi för en digitalt samverkande statsförvaltning, m.m. slutbetänkande Digitaliseringens transformerande kraft – väg- val för framtiden (2015:91). Digitalisering och informations- och cybersäkerhet het på att fortsätta följa utvecklingen, där analysarbetet är en stor utmaning.8 konstaterar att digitaliseringen utgör katalysator och motor i samhällsutvecklingen sedan ett par decen- nier. Utvecklingen innebär helt nya förutsättningar för samhället och människan. Digitaliseringen och användningen av ny teknik föränd- rar förutsättningar och villkor för offentlig sektor och företag, för arbetsliv och utbildning och för tillit och social sammanhållning i samhället. Det som är särskilt kännetecknande för den av digitaliser- ingen drivna samhällsutvecklingen är hastigheten. Utvecklingen är exponentiell. Det beror på att informations- och kommunikations- tekniken (IKT) kontinuerligt och snabbt utvecklar nya användnings- områden och funktioner, högre prestanda samt att användarnas in- tresse för och kompetens att använda tekniken ständigt växer och driver utvecklingen.9 Digitalisering innebär digital kommunikation och interaktion mellan människor, verksamheter och saker, dvs. möj- ligheten att samla in, tolka, tillämpa och utveckla allt större kvantiteter av data. Interaktionen via digitala plattformar gör att transaktions- kostnaderna för kontakt och kommunikation, varor och tjänster blir låga. Det innebär en växande marknad även för digitala mellanhänder. Traditionell administrativ handläggning minskar betydligt i det digitala samhället. Eftersom allt som sker digitalt lämnar digitala spår möjlig- görs insamling och tolkning av stora mängder data. Dessa data kan tillämpas för olika saker, såsom kunskapsuppbyggnad och analys, utveckling av tjänster och varor och för kvalitets- och förbättrings- arbete inom de flesta områden. Analys av stora mängder data innebär att kunskap om och förståelse av människan, samhället och miljön kommer att förändras. Det påverkar sättet att arbeta med olika ut- maningar inom de flesta samhällsområden. Begreppet digitalisering har även blivit ett ledord för många aktö- rer som vill lyfta fram innovation, utveckling, framtid, förändring och –som det uttrycks – en pågående revolution. Ingenjörsveten- skapsakademien (IVA) bedömer att 8https:///vi-aer-digitaliseringsraadet/vaart-uppdrag/ (hämtad ). slutbetänkande Digitaliseringens transformerande kraft – väg- val för framtiden (2015:91), s. 57. Digitalisering och informations- och cybersäkerhet digitaliseringen innebär en mycket snabb och genomgripande samhälls- förändring, en fjärde industriell revolution.10 Innebörden av denna revolution brukar beskrivas i termer av djup- gående förändringar som påverkar såväl strukturer som individer. Digitaliseringens globala och gränsöverskridande karaktär påverkar alla samhällssektorer men begränsar enskilda staters makt i förhållande exempelvis till globalt verkande företag. Det offentliga har dock fortfarande ett ansvar eftersom enskilda företag inte be- höver eller förmår att ta ansvar för helheten eller konsekvenser av digitaliseringen som uppstår i andra eller tredje ledet. I vid mening syftar begreppet digitalisering på processer som förändrar eller skapar något nytt genom användning och integrering av digital teknik. En förutsättning för att digitalisera är att informa- tion finns tillgänglig i digitalt format. Myndigheten för digital för- valtning (DIGG) bedömer att har det skett en tydlig ambitionshöjning vad gäller den digitala förvaltningen i . Sedan bildandet av DIGG har flera större projekt initierats. Det handlar framför allt om etablerandet av en förvaltningsgemen- sam digital infrastruktur för informationsutbyte, etableringen av flera nationella grunddatadomäner och ett intensifierat arbete med öppna data. Även styrningen av den offentliga sektorns digitalisering, som tidigare präglades av fragmentering och ett stort självbestämmande, har ändrat fokus och handlar mycket om att öka helhetssynen och konsolidera och standardisera de komponenter och lösningar som behövs i hela eller stora delar av förvaltningen. Denna utveck- ling bedöms kunna ha stor positiv inverkan på den svenska förvalt- ningens förutsättningar att tillvarata digitaliseringens möjligheter.11 Arbetet med digital infrastruktur Myndigheten för digital förvaltning (DIGG) leder ett arbete med att etablera en hållbar digital infrastruktur som ska möjliggöra ett effek- tivt och säkert utbyte av information inom och med det offentliga. Utvecklingen av infrastrukturen ska främja nya förvaltningsgemen- samma tjänster och lösningar för framtiden. 10Digitalisering för ökad konkurrenskraft, Kungl. (), 2019, s. 7. 11www.digg.se/om-oss/nyheter/2021/sveriges-digitala-forvaltning-ar-bra-men-flera-andra- ar-battre (hämtad ). Digitalisering och informations- och cybersäkerhet möta kommande samhällsutmaningar, bibehålla välfärden och nå eko- nomisk, social och ekologisk hållbarhet krävs det att svensk offentlig förvaltning utvecklar nya gemensamma lösningar, tillsammans. Digi- talisering är det viktigaste verktyget för att skapa en effektiv och ändamålsenlig förvaltning för framtiden. Ökad tillgång till data och ett ökat informationsflöde mellan aktörer bäddar för stora effekt- hemtagningar i form av bl.a. tidsvinster, minskad administrativ börda och lägre kostnader inom det offentliga. Infrastrukturen möjliggör även att nya datadrivna tekniker, såsom artificiell intelligens (AI), kan användas för att öka innovationsförmågan och ge bättre service. En fullt utvecklad digital infrastruktur ska underlätta för medborgare och företagare i deras myndighetskontakter både nationellt och inom EU, där en uppgift till exempel bara ska behöva lämnas en gång. DIGG har – inom ramen för två regeringsuppdrag – tillsammans med ett stort antal andra myndigheter påbörjat etableringen av de beståndsdelar som ska ingå i den digitala infrastrukturen. och framåt intensifieras arbetet med att bygga upp en hållbar infra- struktur som ska vara säker, enkel och effektiv att använda.