sou · H9B363 · 2021-07-02 00:00:00 — av myndigheterna hanterar sekretessreglerade uppgifter som omfattas av ett omvänt skaderekvisit, dvs. med en presumtion för sekretess. Av kartläggningen framkommer även att myndigheterna kommit olika långt i arbetet med informationssäkerhet i verksamheten. I en- käten fick myndigheterna uppskatta hur långt de kommit i sitt infor- mationssäkerhetsarbete. Detta utifrån en skala från 1–6, där nivå 1 innebär att myndigheten inte påbörjat något systematiskt informa- tionssäkerhetsarbete och nivå 6 innebär att det finns ett systematiskt och dokumenterat informationssäkerhetsarbete i hela organisationen.25 Av kartläggningen framgår att framgår att medianen ligger på nivå 4. Flest antal myndigheter (43 av 158 svarande) har uppskattat att de ligger på nivå 4. Det finns därefter en övervikt för nivå 2 och 3 (totalt 64 av 158 myndigheter), dvs. den något lägre nivån. 13 myndigheter har angett att de ligger på nivå 1, och 12 myndigheter att de ligger på nivå 6. Informationsklassning ingår som en del i informationssäker- hetsarbetet enligt kategori 4 i enkäten. Knappt hälften av myndig- 25Skalan utgick från de då gällande föreskrifterna och allmänna råden för myndigheters in- formationssäkerhetsarbete (MSBFS 2016:1). Offentliga utredningar och myndighetsrapporter heterna har angett att de ligger på nivå 1–3. Enligt svaren har hälften av myndigheterna således inte genomfört någon informationsklass- ning. har de flesta av myndigheterna kunnat svara på enkät- frågorna om vilken typ av uppgifter som de hanterar i verksamheten. I delbetänkandet noteras att tidigare kartläggningar om myndig- heters it-kostnader och it-mognad också har omfattat frågor om in- formationssäkerhet och hur långt myndigheterna bedömt att de kom- mit i sitt informationssäkerhetsarbete.26 Utredningen noterar att Myndigheten för digital förvaltning (Digg) redovisar i sin rapport digitala mognad och it-kostnader (2019) resultatet av en enkät till statliga myndigheter. av de myndigheter som ingick i enkätundersökningen hade en väl fun- gerande informationssäkerhetsstrategi på plats som var införd och tillämpades fullt ut på myndigheten. av myndigheterna hade implementerat en informationssäkerhetsstrategi i verksamheten som skulle utvärderas och utvecklas. Ungefär lika stor andel hade påbör- jat implementeringen av en strategi, medan antingen hade påbörjat ett arbete med att ta fram en strategi eller beslutat om en strategi. av myndigheterna uppgav att de endast påbörjat en diskussion om att göra något på området. Utredningen konstaterar att även om svarsalternativen i Digg:s enkät skiljer sig åt jämfört med vad som redovisas i dess kartläggning är de någorlunda jämförbara. Vissa myndigheter har kommit långt i sitt informationssäkerhetsarbete, medan andra avser att påbörja arbetet eller arbetar med frågorna. En mindre andel myndigheter har inte gjort något alls på området. Utredningen noterar att Digg:s enkät dock ger en något mer positiv bild av hur långt myndigheterna kommit i sitt arbete jämfört med utredningen enkät. I Digg:s enkät har myndigheterna även fått uppskatta hur arbetet med informationssäkerhet kommer att se ut på myndigheten jämfört med . av myn- digheterna har svarat att de bedömer att de kommer att ha implementerat en informationssäkerhetsstrategi eller ha en väl fun- gerande informationssäkerhetsstrategi som tillämpas fullt ut på myn- digheten, vilket skulle innebära nästan en dubblering jämfört med läget . Utredningens kartläggning visar även att av myndig- heterna har svarat att de utgår från en standard som stöd för ett 26Kapitel 3 i delbetänkandet. Offentliga utredningar och myndighetsrapporter Bland dessa utgår alla myn- digheter utom en från ISO 27001, vilket är en av de standarder som rekommenderas i de nya föreskrifterna från MSB. av myndigheterna anger att de inte utgår från någon standard och sex myndigheter () har svarat att de inte vet om de gör det. Utredningen konstaterar att fallstudierna av de fem typmyndig- heterna bekräftar till stora delar den bild som enkätundersökningen ger avseende verksamhet, uppgifter och informationssäkerhet. Av de fem fallstudiemyndigheterna bedriver såväl en stor som en mindre myndighet samhällsviktig verksamhet, vilket ställer särskilda krav på säkerhet och it-driftslösningar. Samtliga fem myndigheter hanterar i större eller mindre omfattning skyddsvärda uppgifter, där olika typer av sekretessreglerade uppgifter och känsliga personuppgifter är van- ligast förekommande. Två av myndigheterna hanterar även säker- hetsskyddsklassificerade uppgifter. Några fallstudiemyndigheter lyf- ter svårigheten att bedöma skyddsvärdet på aggregerade uppgifter i verksamheten. De upplever också att det är svårt att få stöd i denna typ av bedömningar, t.ex. från expertmyndigheter. Av kartläggningen framkommer att företrädare för några fallstudie- myndigheter anser att det kan vara svårt att avgöra vilka krav på it- driftslösningar som ställs för olika typer av uppgifter som hanteras i verksamheten. Det gäller framför allt känsliga personuppgifter och uppgifter som omfattas av ett omvänt skaderekvisit, dvs. där det finns en presumtion för sekretess. För att värna säkerheten hanterar de aktuella myndigheterna denna typ av uppgifter i egen regi. Utredningen konstaterar vidare att fallstudiemyndigheterna har kommit olika långt i sitt informationssäkerhetsarbete. Det finns ingen tydlig koppling till myndighetsstorlek. Stora myndigheter hanterar i regel en större mängd uppgifter och måste därför lägga mer tid på informationsklassificering jämfört med mindre myndigheter. En av de mindre myndigheterna pekar på att informationssäkerhetsarbetet kräver att myndigheten har egen kompetens och förmåga att arbeta med informationssäkerhet, vilket kan vara svårt att uppnå. I utredningens enkät fick myndigheterna även besvara ett antal frågor om informationssäkerhet vid it-upphandling. Myndigheterna har fått uppskatta var de står på en tre-gradig skala, där den lägsta nivån innebär att man inte reflekterat över frågan på myndigheten och den högsta att myndigheten har ett etablerat arbetssätt på plats. Svaren på de fyra frågorna visar i sig myndigheternas mognadsgrad i Offentliga utredningar och myndighetsrapporter olika steg i upphandlingsprocessen.27 Av svaren framgår att en majo- ritet av myndigheterna har påbörjat en diskussion om kravkatalog eller har en kravkatalog med säkerhetskrav på plats som används vid upphandling och för att värdera anbudssvar. Av svaren framkommer att myndigheterna inte har kommit lika långt när det gäller att veri- fiera säkerhetskrav vid leverans och driftsättning eller att verifiera kraven under avtalets giltighetstid.28 Utredningen noterar att den sammantagna bilden är att kraven på it-drift styrs av vilken typ av verksamhet en myndighet bedriver och vilken typ av uppgifter myndigheten hanterar. Små myndigheter kan därmed behöva ställa lika höga krav på säkra it-driftslösningar som större myndigheter. Utredningen noterar att det kan finnas flera hinder för myndig- heter att säkerställa en säker it-drift. Hindren kan finnas både inom den egna myndigheten och utanför myndigheten. Hinder utgörs av bl.a. –svårigheter att tolka lagstiftning, –avsaknad av relevant kompetens inom verksamheten, –bristande informationsklassificering, –svårigheter att hitta lösningar som möter verksamhetens krav, och –stora kostnader för de lösningar som verksamheten kräver. Av utredningens kartläggning framkommer att 143 myndigheter upp- ger att svårigheter att tolka lagstiftning tillsammans med bristande informationsklassificering och avsaknad av relevant kompetens inom verksamheten utgör de största hindren för säker it-drift. Detta är särskilt tydligt för de stora myndigheterna. Mindre myndigheter an- ger i rangordning avsaknad av relevant kompetens, svårigheter att tolka lagstiftning och stora kostnader för de lösningar som verksam- heten kräver som hinder. Myndigheternas uppgifter om bristande in- formationsklassificering överensstämmer med myndigheternas upp- skattningar av det egna informationssäkerhetsarbetet. 27MSB har gett ut en särskild vägledning om att upphandla informationssäkert (MSB1177). I vägledningen beskrivs bl.a. aktiviteter för att uppnå informationssäkerhet i upphandlingens tre steg – förbereda, upphandla och realisera. Offentliga utredningar och myndighetsrapporter Utredningen noterar att när det gäller bristande informations- klassificering pågår arbete på flera myndigheter. Myndigheterna har i flera fall klassat delar av informationen, men inte all information. Bristande kompetens och resurser lyfts fram som problem i samman- hanget, men även tidsbrist anges. En myndighet anger att de saknar systemstöd för informationsklassificering. En annan myndighet menar att det är svårt att översätta informationsklassificeringen till konkreta säkerhetsnivåer i både hård- och mjukvara. Ytterligare ett problem som lyfts fram är svårigheten att informationsklassa aggregerad in- formation. Utredningen noterar vidare att avsaknad av relevant kompetens upplevs som ett lika stort hinder för säker it-drift som bristande informationsklassificering. Flera små myndigheter uppger att det är svårt att som liten myndighet ha egen kompetens inom it, säkerhet och beställarkompetens. Det kan också vara svårt att hitta och rekry- tera rätt kompetens, t.ex. när nyckelpersoner slutar. Enligt flera myn- digheter ses kompetensbrist som en riskfaktor. Flera myndigheter köper in kompetens från antingen en annan myndighet eller från företag, vilket i sig innebär ett beroende av extern kompetens. Av kartläggningen framgår att det tredje största hindret som myn- digheterna ser är svårigheter att tolka gällande lagstiftning. Oklar- heter vad gäller användning av molntjänster verkar vara vanligast. Svårigheten att göra bedömningar av säkerhetsskydd lyfts också fram som ett problem av flera myndigheter, liksom oklarheter kring krav på datalagring och dataskydd. En myndighet menar att det är svårt att få en sammanhängande bild av samtliga regelverk och hur de ska tolkas beroende på vilken tjänst som ska utvärderas. En annan myn- dighet pekar på att det är svårt att få juridik, it och informations- säkerhet att mötas. Ytterligare en myndighet lyfter fram att det inte är tolkningen av lagstiftningen som är problemet, utan snarare effek- terna av tolkningen som medför svårigheter att genomföra upp- handlingar och upprätthålla en stabil it-drift . Av kartläggningen framgår även att stora kostnader för de lös- ningar som verksamheten kräver utgör ytterligare ett hinder för säker it-drift. Flera myndigheter framhåller att säkerhet kostar och alter- nativet med egen drift bedöms som relativt kostsamt av flera myn- digheter. Någon myndighet påpekar att även samordnad it-drift kan vara en relativt dyr lösning. Offentliga utredningar och myndighetsrapporter Även svårigheter att hitta lösningar som möter verksamhetens krav upplevs som ett hinder. När fler tjänster blir molnbaserade blir det svårare att hitta lösningar som uppfyller säkerhetskraven. Hårda säkerhetskrav påverkar i sig möjligheterna att nyttja billigare och effektiva it-driftstjänster. Flera myndigheter lyfter svårigheten att kravställa. Verksamhetens krav på digitalisering och kostnadseffek- tiva lösningar ställs ofta mot krav på säkerhet. Andra hinder för säker it-drift som lyfts fram i enkäten är bl.a. att det finns för lite resurser för it och säkerhet och att säkerhet inte prioriteras tillräckligt i verksamheten. Några myndigheter lyfter att de har en teknikskuld att hantera, vilket påverkar förutsättningarna att arbeta med säkerhetsfrågor. En myndighet menar att avsaknaden av en samlad statlig strategi leder till att varje myndighet gör egna utredningar, bedömningar och bygger egna lösningar för att uppfylla säkerhetskraven. Utredningen har också undersökt vilka hinder som myndighe- terna ser för att kunna upprätthålla en kostnadseffektiv it-drift. Flera myndigheter upplever höga krav på säkerhet och leverantörsbero- ende eller andra inlåsningseffekter som hinder för en kostnadseffek- tiv it-drift. Stora myndigheter uppger även svårigheten att formulera ändamålsenliga krav på it-drift som ett hinder. Flera myndigheter anger att säkerhet kostar och att säkerhetskrav påverkar möjlighe- terna att använda kostnadseffektiva it-lösningar. Svårigheter att for- mulera ändamålsenliga krav för it-drift kan också påverka kostnads- effektiviteten. Att hitta rätt kravnivå som dessutom håller under hela avtalsperioden är en stor utmaning. delbetänkande Säker och kostnadseffektiv it- drift – rättsliga förutsättningar för utkontraktering (SOU 2021:1) har remissbehandlats under arbetet med detta slutbetänkande och remiss- svar har lämnats . Uppdraget att föreslå mer varaktiga for- mer för samordnad statlig it-drift ska redovisas utredningens slut- betänkande . Offentliga utredningar och myndighetsrapporter Struktur för ökad motståndskraft (SOU 2021:25) Regeringen beslutade att tillsätta en utredning som ska ana- lysera och föreslå en struktur för ansvar, ledning och samordning inom civilt försvar på central, regional och lokal nivå.29 En viktig del av att stärka det civila försvaret är att skapa tydliga lednings- och ansvarsförhållanden för att åstadkomma samordning såväl inom det civila försvaret som mellan det civila och det militära försvaret, Denna struktur ska också stärka samhällets krisberedskap. Utredningen lämnade sitt betänkande Struktur för ökad motstånds- kraft (SOU 2021:25) . Utredningen föreslår att samver- kansområdena avvecklas och ersätts av tio beredskapssektorer och fyra särskilda beredskapsområden. I dessa ingår myndigheter med ansvar för verksamheter och funktioner som är särskilt viktiga att upprätthålla under kris, höjd beredskap och ytterst i krig. En myn- dighet i varje beredskapssektor föreslås få ett mandat att inrikta och samordna arbetet inom sektorn, en sektorsansvarig myndighet. Ut- redningens definition av begreppet samhällsviktig verksamhet är att med detta avses verksamhet, tjänst eller infrastruktur som upprätt- håller eller säkerställer samhällsfunktioner som är nödvändiga för samhällets grundläggande behov, värden eller säkerhet. Med stöd av definitionen har utredningen identifierat vilka statliga myndigheter som ansvarar för samhällsviktig verksamhet och därefter samman- fört myndigheter med ansvar inom samma samhällssektor. Utred- ningen föreslår att tio sådana beredskapssektorer inrättas med var sin sektorsansvarig myndighet. Med en indelning av statliga myndig- heter i sektorer skapas – enligt utredningen – en organisatorisk platt- form för såväl planering som operativ hantering av fredstida kriser, höjd beredskap och ytterst krig. I princip samtliga viktiga samhälls- funktioner är direkt beroende av el, vatten och elektroniska kom- munikationer. På samma sätt är de flesta beroende av transporter och fungerande betalningssystem. Arbetet i respektive beredskapssektor ska skapa förutsättningar för att kunna upprätthålla den samhälls- viktiga verksamheten under svåra påfrestningar och därigenom stärka samhällets säkerhet. Det gemensamma arbetet i sektorerna ska bidra till ökad försvarseffekt i händelse av ett väpnat angrepp och en god förmåga att hantera fredstida kriser. Myndigheterna inom beredskaps- sektorerna ska arbeta tillsammans. Offentliga utredningar och myndighetsrapporter ten av samverkan mellan sektorerna. Sektorerna är ömsesidigt bero- ende av varandra. Utredningen har – utöver de tio föreslagna sektorerna med sek- torsansvariga myndigheter – identifierat fyra särskilda beredskaps- områden som ska ses som en del av beredskapssystemet. Enligt ut- redningen är verksamheterna av en sådan karaktär att de inte kan utgöra beredskapssektorer med en sektorsansvarig myndighet. Några av dessa områden omfattar enbart en myndighet och i några av verk- samheterna ingår myndigheter utanför det civila försvaret såsom För- svarsmakten och (). fyller dessa verksamheter en viktig funktion i beredskapssystemet som hel- het, bl.a. cybersäkerhet. Utredningen framhåller att den delar Försvarsberedningens be- dömning att ett systematiskt arbete med informations- och cyber- säkerhet spelar en avgörande roll för att en trovärdig totalförsvars- förmåga ska kunna uppnås. Detta gäller såväl hos staten, kommuner, regioner och näringsliv. Det behöver finnas en nationell funktion med uppgift att stödja myndigheter och samhället i övrigt i arbetet med att förebygga och hantera angrepp inom informations- och kom- munikationsområdet samt upprätthålla en aktuell lägesbild över sam- hällets digitala miljö. Verksamheten är viktig för det civila försvaret. Utredningen föreslår att cybersäkerhet ska vara ett särskilt bered- skapsområde. Utredningen bedömer att det inte är möjligt att före- slå verksamheten som en beredskapssektor eftersom både Försvars- makten och FRA ingår i arbetet med cybersäkerhetscentret samt att regeringen inte har pekat ut någon samordnande myndighet för cybersäkerhetsområdet. Det finns ett etablerat samarbete och samverkan mellan myndigheterna inom cybersäkerhetsområdet genom bl.a. Samverkansgruppen för informationssäkerhet (SAMFI). Formerna för samverkan med de föreslagna beredskapssektorerna kommer att behöva byggas upp när dessa etablerats. Det behöver även etableras samverkansformer med de övriga tre särskilda bered- skapsområdena. Betänkandet är föremål för remissbehandling under utredningens arbete med detta slutbetänkande och remissinstansernas synpunkter har därför inte kunnat beaktas inom ramen för detta arbete. När det gäller utredningens uppdrag att överväga om det bör införas ytterligare krav på certifiering och godkännande till skydd för säkerhet ingår att göra en internationell jämförelse. Jämförelsen ska avse lagstiftning som innebär särskilda krav med anledning av natio- nell säkerhet för IKT-produkter, -tjänster och -processer som ingår i ett nätverks- eller informationssystem i länder som utredaren be- dömer vara av intresse. Utredningen har mot denna bakgrund sökt information om systemen i , , , , , , , , , och . Arbetet har bedrivits främst genom undersökning av lagstiftning och i förekommande fall förarbeten samt övrig information från officiella webbplatser. Vad gäller materialinsamlingen bör beaktas att materialet funnits tillgängligt på originalspråk, i något fall komplet- terat av mer eller mindre officiella översättningar till engelska. Skriftliga frågor har ställts till nationella myndigheter i de undersökta länderna (se den formella skrivelsen i bilaga 3 till betänkandet) och svar har inkommit från merparten av de kontaktade myndigheterna. I ett par fall har de skriftliga svaren även kompletterats med uppgifter som lämnats vid digitala möten med företrädare för myndigheterna.1 Avsnitten för respektive land inleds med en beskrivning av cen- trala aktörer med särskilt ansvar för nationell informations- och cyber- säkerhet. Efter denna redovisning av organisation m.m. redogörs för landets arbete med att stärka informations- och cybersäkerheten, med fokus på särskilda krav på godkännande och/eller certifiering av IKT i säkerhetskänslig verksamhet. En sammanfattning av sådana krav 1Australien och har emellertid inte inkommit med svar inom angiven tidsfrist. Utredningen har haft digitala möten med Nasjonal sikkerhetsmyndighet i och Traficom i (se nedan). i andra länder lämnas också i kapitel 12 och 13. I de fall där den natio- nella regleringen är omfattande och/eller behandlar flera relevanta områden överlappande sammanfattas de särskilda kraven även i före- varande kapitel. Det kan inledningsvis noteras att vissa länder i sin reglering av informationssäkerhet gör en tydlig distinktion mellan samhällsviktig och säkerhetskänslig verksamhet medan somliga nationella system behandlar kritisk infrastruktur och nationell säkerhet tillsammans. Vidare tillskriver länder dessa begrepp olika betydelser. I vissa länder definieras nationell säkerhet i författning medan somliga inte har någon vedertagen definition eller premierar annan begreppsanvänd- ning på området. I flera länder använder man begreppet kritisk infra- struktur i stället för samhällsviktig verksamhet. Också användningen av tekniska termer varierar något mellan länderna, t.ex. i fråga om it- respektive IKT-säkerhet och -incidenter. De flesta länderna har bestämmelser om informationssäkerhet som reglerar klassificeringen av skyddsvärd information, vilket motsvarar det svenska klassificeringssystemet i säkerhetsskyddslagen. Det före- ligger emellertid inte full överensstämmelse mellan antalet klassificer- ingsnivåer.2 När begreppet klassificerad (”Classified”) används avses i första hand skyddsvärd information. Även om vissa säkerhetsskyddsrättsliga skillnader mellan länderna kan identifieras framgår inte av den öppet tillgängliga information som utredningen samlat in från andra länder närmare hur den fak- tiska tillämpligheten ser ut i respektive land och därmed inte heller i vilken utsträckning det i praktiken förekommer undantag från ord- ningarna och speciallösningar. Aktörer inom informations- och cybersäkerhet Det finska transport- och kommunikationsverket Traficom är en myndighet som ansvarar för nationella frågor som gäller tillstånd, registrering och övervakning inom trafik, transport och kommuni- kation. Verket främjar bl.a. cybersäkerheten i landet. 2Detta kan bl.a. skapa utmaningar när det gäller att dela skyddsvärd information mellan länder. Vid Traficom finns cybersäkerhetscenter.3 Centret bedriver bl.a. verksamhet för nationell informations- och kommunikations- säkerhet (NCSA-FI, se nedan) och som ansvarar för säkerhetsfrågor vid elektronisk dataöverföring och hantering av säkerhetsklassifi- cerat material. Cybersäkerhetscentret har till uppgift att se till att nationella författningar om informationssäkerhet, störningsfrihet och skydd vid konfidentiell kommunikation efterlevs. Centret utfärdar vidare föreskrifter och rekommendationer, genomför utredningar inom sina verksamhetsområden samt utövar tillsyn över berörda aktörer. Centret utvecklar och övervakar kommunikationsnätens och -tjänsternas4 tillförlitlighet och säkerhet. Centrets verksamhets- områden innefattar bl.a. televerksamhet, digitala tjänster enligt NIS- direktivet, stark autentisering och betrodda elektroniska tjänster (eIDAS). Centret tar också fram lägesbilder inom cybersäkerhet.5 Vidare kan det nationella cybersäkerhetscentret bevilja det s.k. Cybersäkerhetsmärket som visar att en produkt eller tjänst som för- setts med märket uppfyller kraven på informationssäkerhet. Märket används i smarta konsumentprodukter som kan ansluta till internet, s.k. IoT-enheter, och applikationer nära sammankopplade med sådana produkter.6 Centret har även en CERT-verksamhet (CERT-FI) med uppgif- terna att undersöka hot och angrepp mot informationssäkerheten i nät- och kommunikationstjänster och informera om frågor som gäller informationssäkerhet.7 NCSA-FI är den nationella godkännandemyndigheten för säker- hetsackreditering ()8. NCSA-FI arbetar med att stödja olika aktö- rers förebyggande säkerhetsarbete. 3Cybersäkerhetscentret är en del av Traficom med vissa självständiga funktioner som styrs av lag. 4Ett kommunikationsnät är ett system för överföring av signaler som används för att tillhanda- hålla tillgängliga elektroniska kommunikationstjänster. Elektroniska kommunikationstjänster utgörs av överföring av signaler i elektroniska kommunikationsnät. 5I lämnade den finska regeringen en proposition till med förslag till för- fattningsändringar bl.a. med anledning av EU:s cybersäkerhetsakt (RP 98/2020 rd). I denna utnämns Cybersäkerhetscentret vid Traficom till nationell myndighet för cybersäkerhetscerti- fiering enligt cybersäkerhetsakten, både vad avser uppgiften att bevilja cybersäkerhetscertifier- ing och utövandet av tillsyn. 6Traficom definierar förfaringssätt för testningen.