sou · H9B363 · 2021-07-02 00:00:00 — och samhällsviktiga verksamheter präglas av gemensamma grunder och samberoenden, bl.a. påverkar brister i det grundläggande systematiska arbetet med informations- och cybersäkerhet i verksamheten även förutsättningarna för att kunna uppnå säkerhet i nätverks- och infor- mationssystem i säkerhetskänslig verksamhet hos samma verksamhets- utövare. Vidare kan cyberangrepp mot en enskild verksamhetsutövare innebära följdskador hos en eller flera andra verksamhetsutövare, vid mer allvarliga angrepp kan i vissa fall kan hela samhällssektorer slås ut. I nästa kapitel (kapitel 11) redovisas utredningens allmänna över- väganden om behovet av att stärka säkerheten i nätverks- och infor- mationssystem i säkerhetskänslig verksamhet. 11Åtgärder för stärkt säkerhet i nätverks- och informationssystem Utredningen har i föregående kapitel behandlat några av de mer grund- läggande frågor som är av betydelse för möjligheterna att kunna stärka informations- och cybersäkerhet mer allmänt men som även utgör förutsättningar för att kunna stärka säkerheten i nätverks- och informationssystem i säkerhetskänslig verksamhet. För nätverks- och informationssystem som används i eller har betydelse för säker- hetskänslig verksamhet finns särskilda krav i säkerhetsskydds- förordningen (2018:658). Det rör sig bl.a. om förberedande åtgärder inför driftsättning av informationssystem och om säkerhetskrav som kontinuerligt ställs på informationssystemen. Bestämmelserna inne- håller även krav på samråd med Säkerhetspolisen eller Försvarsmakten i vissa fall. Detta gäller för informationssystem som kan komma att behandla säkerhetsskyddsklassificerade uppgifter av visst slag och informationssystem där obehörig åtkomst till systemen kan medföra en skada för säkerhet som inte är obetydlig. Bestämmel- serna innebär att det är verksamhetsutövaren som ansvarar för att se till att informationssystemen upprätthåller kraven på informations- säkerhet. Åtgärder för stärkt säkerhet i nätverks- och informationssystem Bedömning: Begreppet informationssystem används i säkerhets- skyddslagen respektive säkerhetsskyddsförordningen, medan be- greppet nätverks- och informationssystem är det begrepp som används i första hand inom bl.a. det europeiska ramverket för cybersäkerhetscertifiering och området för samhällsviktiga och digitala tjänster (dvs. NIS-direktivets tillämpningsområde). Båda begreppen används i nationell författningsreglering och tillämpas för i allt väsentligt samma typer av nätverks- och informations- system. Efter införandet av föreslagna ändringar i säkerhetsskydds- regleringen (se bl.a. prop. 2020/21:194) bör vid en ny författnings- översyn på området frågan om samstämmighet av nu nämnda begrepp övervägas närmare. Som utredningen tidigare anger förekommer, såväl nationellt som internationellt, olika begrepp och definitioner på informations- och cybersäkerhetsområdet. Mångfalden av begrepp väcker frågan vad som avses med begreppet i det sammanhang som det används. Ett exempel på en sådan fråga är om det föreligger någon skillnad mellan begreppet informationssystem, som är det begrepp som används i den nationella regleringen av säkerhetsskydd och begreppet nätverks- och informationssystem, som är det begrepp som används inom bl.a. det europeiska ramverket för cybersäkerhetscertifiering och inom tillämpningsområdet för samhällsviktiga och digitala tjänster, dvs. Det senare begreppet används i den nationella författningsreglering som införts i anslutning till EU:s författningsreglering på angivna områden. Det medför att såväl begreppen informationssystem som nätverks- och informations- system används i den nationella författningsregleringen och tillämpas för i allt väsentligt samma typer av nätverks- och informationssystem. Företeelsen är i och för sig förståelig mot bakgrund av områdets i vissa fall mycket komplexa karaktär och att utvecklingen på nätverks- och informationsområdet sker med många olika aktörer involverade, såväl nationellt som internationellt. Man kan notera att i den nationella regleringen på säkerhetsskyddsområdet används begreppet informationssystem genomgående, såväl i gäl- lande författningsreglering som i offentliga utredningar och rappor- ter från myndigheter, vilket medför en utmaning när det gäller vilka Åtgärder för stärkt säkerhet i nätverks- och informationssystem begrepp som utredningen lämpligen bör använda i detta utrednings- arbete. Utredningen anser att det finns starka skäl för att samma begrepp och definition bör användas för nätverks- och informationssystem om det inte finns anledning till annat förhållningssätt. Utredningen kan emellertid konstatera att den nationella författningsregleringen för skydd av säkerhetskänslig verksamhet tidigare och även nu är föremål för revidering och att någon ändring av begreppet informa- tionssystem i denna författningsreglering inte aktualiserats. Uppdraget innefattar frågor – som det uttrycks i direktiven – om behovet av att stärka säkerheten i nätverks- och informationssystem i säkerhetskänslig verksamhet. Utredningen anser att begreppet infor- mationssystem som det används i den nu gällande författningsregler- ingen och i det förslag till förförfattningsförändring som tas upp i propositionen Ett starkare skydd för säkerhet (prop. 2020/ 21:194) bör kvarstå i avvaktan på revidering av lagstiftningen. Vid en ny översyn av författningsregleringen av skydd för säkerhetskänslig verksamhet bör dock frågan om samstämmighet av begreppen på området övervägas närmare. Utredningen använder därför begreppet informationssystem i efterföljande kapitel när frågan om certifiering respektive godkännande av informationssystem övervägs, utom i de fall då begreppet informationssystem relaterar till begreppet nätverks- och informationssystem i annan författning, då det senare begreppet används. I sak avses emellertid inte någon skillnad. 11.3Nuvarande brister i säkerheten i informationssystem Bedömning: Av offentliga utredningar och myndighetsrapporter kan slutsatsen dras att det finns allvarliga brister mer allmänt i informations- och cybersäkerhet hos offentliga och enskilda verk- samhetsutövare. Om motsvarande brister även finns hos verksam- hetsutövare som bedriver säkerhetskänslig verksamhet är svårare att överblicka och redovisa då dessa uppgifter naturligen omfattas av sekretess med stöd av offentlighet- och sekretesslagen. Av vad som anges i ett begränsat antal offentliga utredningar och myn- dighetsrapporter kan ändå – med viss grad av säkerhet – slutsatsen dras att framför allt offentliga verksamhetsutövare, dvs. Åtgärder för stärkt säkerhet i nätverks- och informationssystem myndigheter, regioner och kommuner, som bedriver säkerhets- känslig verksamhet på Säkerhetspolisens tillsynsområde uppvisar allvarliga brister i informations- och cybersäkerhet i verksamheten och att det även gäller brister i säkerheten i informationssystem som används i sådan verksamhet. I vad mån motsvarande brister finns hos enskilda verksamhetsutövare, dvs. företag i näringslivet, är mer osäkert men utredningen bedömer att utgångspunkten här bör vara att även hos dessa behöver säkerheten öka i informa- tionssystem. Angivna brister innebär uppenbara risker för angrepp mot in- formationssystem i säkerhetskänslig verksamhet och som kan med- föra allvarliga konsekvenser för samhället som helhet och för olika aktörer inom samhällsviktiga områden. Som utredningen tidigare framhåller förutsätter förslag på åtgärder som syftar till att stärka säkerheten i informationssystem i säker- hetskänslig verksamhet att det föreligger brister i denna säkerhet alternativt att det kan klarläggas att även om några egentliga brister inte kan observeras så finns det skäl att ytterligare förstärka säker- heten för att motverka eventuella framtida hot, sårbarheter och ris- ker. Genom sammanställningen av de olika offentliga utredningar och rapporter som redogörs för i kapitel 8 framkommer en bekym- mersam bild över nivån på informations- och cybersäkerheten i många samhällsviktiga verksamheter, detta gäller såväl säkerhetskäns- liga verksamheter som verksamheter som avser samhällsviktiga och digitala tjänster. Denna bild har också bekräftats av utredningens sakkunniga och experter under utredningsarbetet. Som utredningen konstaterar i kapitel 8 respektive 10 berör bristerna många olika delar av informations- och cybersäkerheten, bl.a. vad gäller brister i styrning och samordning av arbetet med informations- och cyber- säkerhet men även i det systematiska informationssäkerhetsarbetet och i it-säkerheten hos både offentliga och enskilda verksamhets- utövare. Åtgärder för stärkt säkerhet i nätverks- och informationssystem 11.4Flera olika åtgärder krävs för att öka säkerheten i informationssystem i säkerhetskänslig verksamhet Bedömning: Det saknas en enhetlig styrning och samordning av arbetet med att stärka informations- och cybersäkerheten i säker- hetskänslig verksamhet. Vidare behöver det systematiska infor- mationssäkerhetsarbetet och säkerheten i nätverks- och informa- tionssystem hos verksamhetsutövare i sådan verksamhet öka. Det krävs därför åtgärder som ger offentliga och enskilda aktörer bättre förutsättningar att kunna uppnå informations- och cyber- säkerhet i den säkerhetskänsliga verksamheten. Frågan om behov av ytterligare åtgärder – utöver vad som anges i direktiven – be- döms dock ligga utanför utredningens uppdrag och behandlas inte vidare i betänkandet. Som ovan framkommer anser utredningen att det finns ett stort behov av att stärka säkerheten i nät- och informationssystem i säker- hetskänslig verksamhet, särskilt vad gäller verksamheten på Säker- hetspolisens tillsynsområde. Behoven som framträder genom sam- manställningen av offentliga utredningar och myndighetsrapporter framstår – mot redovisade aktuella hot, sårbarheter och risker – som akuta och omfattande inom flera olika områden på informations- och cybersäkerhetsområdet. Behoven av stärkt säkerhet i nätverks- och informationssystem i säkerhetskänslig verksamhet finns hos många aktörer som bedriver sådan verksamhet, bl.a. statliga myndig- heter, regioner och kommuner. Det krävs åtgärder inom såväl arbetet med systematisk informationssäkerhet som mer it-tekniska åtgärder för att stärka denna säkerhet. Vidare behöver kompetensen och kunskapen om informations- och cybersäkerhet öka hos myn- digheter och verksamhetsutövare, hos vilka även frågor om strategisk styrning och ökade resurser på området behöver uppmärksammas mer. Informations- och cybersäkerhet kan endast uppnås när alla väsentliga förutsättningar för en sådan säkerhet är uppfyllda. Utredningen kan konstatera att arbetet med informations- och cybersäkerhet är i allt väsentligt varje verksamhetsutövares eget ansvar, även när det gäller den säkerhetskänsliga verksamheten. Detta gäller även om Säkerhetspolisen och Försvarsmakten inom respek- tive tillsynsområde har både en stödjande roll och uppgiften att – Åtgärder för stärkt säkerhet i nätverks- och informationssystem tillsammans med övriga tillsynsmyndigheter – kontrollera att regel- systemet efterlevs. I och med att hot, sårbarheter och risker förändras och ökar ställs ökade krav på gemensam och samordnad hantering av åtgärder för att stärka informations- och cybersäkerheten inom det säkerhets- känsliga området och särskilt vad avser de informationssystem som hanterar skyddsvärd eller mycket skyddsvärd information. Mot- svarande krav på gemensamma och samordnade åtgärder gäller också för att stärka nätverks- och informationssystem som används för styrning och kontroll av säkerhetskänsliga funktioner och verksam- heter inom bl.a. elektroniska kommunikationer och, energiförsörj- ning, och som är av betydelse för säkerhet. Verksamhetsut- övare inom säkerhetskänslig verksamhet blir allt mer beroende av andra aktörer för sin informationshantering, bl.a. i förvaltningsgemen- samma digitala funktioner och systemlösningar och det blir alltmer nödvändigt med samordnade åtgärder för att öka informations- och cybersäkerheten, dvs. säkerhetsnivån och reducera sår- barheter och risker i informations- och nätverkssystemen. Utredningen kan konstatera att det finns en rad olika statliga aktörer som har olika uppdrag och roller för det nationella arbetet med informations- och cybersäkerhet i säkerhetskänslig verksam- het. Säkerhetspolisen och Försvarsmakten är samrådsmyndigheter och har även tillsynsansvar. Vidare har (), () och övriga tillsynsmyndigheter upp- drag och roller på området. Myndigheternas arbete samordnas genom det nationella cybersäkerhetscentret. Myndigheterna har på regeringens uppdrag tagit fram en samlad handlingsplan med förslag på olika åtgärder som kan stärka arbete med infor- mations- och cybersäkerhet (se kapitel 3). Dessa förslag och åtgär- der ska konkretisera behov och rekommendationer som identifierats på en mer övergripande nivå i den nationella informations- och cyber- säkerhetsstrategin. Den centrala handlingsplanen som myndigheterna i cybersäkerhetscentret lagt fram stödjer i och för sig till del genom föreslagna åtgärder en ökad ambition med att stärka informations- och cybersäkerheten i säkerhetskänslig verksamhet. Utredningen kan notera att regeringen anger att upp- gifterna i det nationella cybersäkerhetscentret är mer av samverkans- karaktär och att varje myndighet i enlighet med ansvarsprincipen har ansvar för respektive myndighets eget ansvars- och tillsynsområde. Åtgärder för stärkt säkerhet i nätverks- och informationssystem Utredningen kan även konstatera att förändrad hotbild med åt- följande ökning av sårbarheter och risker i förening med den snabba tekniska utvecklingen ställer ökade krav på enhetlig styrning samt gemensamma och samordnade åtgärder när det gäller framtagande av bl.a. en nationell hotbild och sårbarhets- och riskbedömningar som kan tillämpas av verksamhetsutövare inom det säkerhetskäns- liga området (se även kapitel 12). Vidare behöver arbetet med systematisk informationssäkerhet öka mer generellt hos verksamhetsutövare och vikten av detta gör sig särskilt påmind inom det säkerhetskänsliga området, bl.a. vad gäller strategisk styrning, ökning av kompetens och tilldelning av såväl ekonomiska som personella resurser hos ansvariga verksam- hetsutövare. Det är ett rimligt antagande att många verksamhets- utövare, inom olika samhällsområden med olika förutsättningar och krav, kan komma att behöva stöd från en central myndighet i arbetet med informations- och cybersäkerhet, särskilt vad gäller anskaffning och utveckling av nätverks- och informationssystem i säkerhets- känslig verksamhet, men även hot-, sårbarhets- och riskbedömning i anslutning till anskaffning och utveckling av sådana system. Ut- redningen anser därför att omfattande åtgärder bör skyndsamt vid- tas för att höja informations- och cybersäkerheten mer allmänt och särskilt vad gäller nivån på säkerheten i nätverks- och informations- system. Utöver åtgärder som omhändertar de allvarliga brister som framkommit bör även åtgärder genomföras som bidrar till att öka användningen av certifierade IKT-produkter, -tjänster och -proces- ser i nätverks- och informationssystem i samhället generellt, men särskilt i säkerhetskänsliga verksamheter och i verksamheter som avser samhällsviktiga digitala tjänster. Åtgärder som generellt bidrar till ökad användning av certifierade IKT-produkter, -tjänster och -pro- cesser i statliga myndigheters verksamhet bör därför eftersträvas (se kapitel 12). Som utredningen tidigare anger förutsätter flera av dessa fråge- ställningar fördjupad analys innan förslag på närmare åtgärder kan lämnas och som kan bidra till att öka informations- och cybersäker- heten mer allmänt, men särskilt vad gäller säkerheten i informations- system i säkerhetskänslig verksamhet och övrig samhällsviktig verk- samhet. Frågorna berörs inte heller i direktiven och utredningen har därför – som tidigare framgår – avgränsat utredningsarbetet till frå- gorna om det finns anledning att införa en nationell särskilt anpassad Åtgärder för stärkt säkerhet i nätverks- och informationssystem certifieringsordning för IKT-produkter, -tjänster och processer som används i informationssystem i säkerhetskänslig verksamhet och/ eller kräva godkännande av en myndighet innan ett sådant system får driftsättas samt vissa därtill anslutande frågor. Den första frågeställ- ningen gällande certifiering behandlas i kapitel 12 och den senare frå- gan om krav på godkännande övervägs i kapitel 13. 12Certifiering av nätverks- och informationssystem Förslag: Regeringen ska ge () i upp- drag att i samråd med övriga myndigheter som ingår i det natio- nella cybersäkerhetscentret och övriga tillsynsmyndigheter inom säkerhetsskyddsområdet –analysera och lämna förslag på formerna för framtagande av ordning för nationell kravställning som utgör grund för evaluer- ing och/eller certifiering av IKT-produkter, -tjänster och -pro- cesser i nätverks- och informationssystem i säkerhetskänslig verksamhet, –analysera och lämna förslag på vilka resurser som behövs för att inrätta en sådan ordning, vilka myndigheter som bör ges i uppgift att bidra till kravställningsarbetet samt hur näringsliv och företag kan beredas möjlighet att delta i arbetet, –analysera och lämna förslag på formerna för hur myndigheter och andra verksamhetsutövare kan få stöd vid upphandling och användning av certifierade IKT-produkter, -tjänster och -proces- ser i syfte att främja ökad användning av certifierade IKT-pro- dukter, -tjänster och -processer i säkerhetskänslig verksamhet, och –analysera behov av och formerna för framtagande av en natio- nell sammanställning över certifierade och rekommenderade IKT-produkter, -tjänster och -processer för användning i nät- verks- och informationssystem i säkerhetskänslig verksamhet. Certifiering av nätverks- och informationssystem Bedömning: Eftersom det bl.a. saknas en nationell fastställd hot-, sårbarhets- och riskbedömning som kan ligga till grund för kravställning och framtagande av skyddsprofiler vid certifiering av IKT-produkter, -tjänster och -processer och då oklarheter råder kring övriga förutsättningar föreligger inte skäl att föreslå att den aktuella certifieringsordningen införs. Tillsynsmyndigheterna kan ställa krav på att certi- fierade IKT-produkter, -tjänster och -processer ska användas med stöd av gällande författningar som reglerar krav på säkerhetsskydds- åtgärder i säkerhetskänslig verksamhet. En nationell gemensamt framtagen och fastställd hot-, sår- barhets- och riskbedömning utgör en av flera förutsättningar för införande av en nationell särskilt anpassad ordning för certifiering av IKT-produkter, -tjänster och -processer i nätverks- och infor- mationssystem i säkerhetskänslig verksamhet. Att ställa krav på certifierade IKT-produkter, -tjänster och -processer vid upphand- ling och driftsättning förutsätter kunskap och teknisk kompetens på området. För att stödja användning av certifierade IKT-pro- dukter, -tjänster och -produkter behöver det finnas stöd i form av råd och anvisningar om hur certifiering kan användas som krav- ställning vid upphandling, vilka eventuellt ytterligare säkerhets- relevanta krav som kan behöva ställas vid upphandlingen och hur certifierade IKT-produkter, -tjänster och -processer i nätverks- och informationssystem kan driftsättas på ett sätt som höjer säker- heten i systemen. Stöd kan t.ex. lämnas av central funktion som även tillhandahåller en nationell sammanställning över certifierade och rekommenderade IKT-produkter, -tjänster och -processer för användning i nätverks- och informationssystem i säkerhetskäns- lig verksamhet. Vidare föreligger oklarhet hur det europeiska ramverket för cybersäkerhetscertifiering utvecklas och i vilken utsträckning som IKT-produkter, -tjänster och -processer på nivå hög kommer att finnas tillgängliga och som – vid behov efter nationell anpassning kan användas i säkerhetskänslig verksamhet. Det råder även osäkerhet om den nationella marknaden är till- räckligt omfattande för att medge förutsättningar för införande av en nationell certifieringsordning för säkerhetskänslig verksamhet. Certifiering av nätverks- och informationssystem Som framgår av föregående kapitel (kapitel 10 och 11) gör utred- ningen bedömningen att det föreligger allvarliga brister i informa- tions- och cybersäkerheten inom många samhällsverksamheter och då även inom verksamheter som är att bedöma som säkerhetskäns- liga. Det finns brister vad avser såväl det systematiska informations- säkerhetsarbetet och som i it-säkerheten. Det finns enligt utred- ningens uppfattning därför ett stort behov av att skyndsamt vidta många olika åtgärder inom ramen för det systematiska informations- säkerhetsarbetet och i it-säkerheten hos många aktörer inom såväl offentlig som enskild verksamhet för att öka säkerheten i närverks- och informationssystem. Detta berör frågor om organisering, styr- ning- och ledning av verksamheter, kompetens inom cybersäkerhet, kunskapsuppbyggnad, m.m. Flertalet av dessa frågeställningar och åtgärder är av komplex och långsiktig karaktär och kan varken be- handlas närmare av utredningen eller bedöms ens ligga i utredningens uppdrag som det formulerats i direktiven. Utredningen ska dock enligt direktivet överväga om ytterligare krav bör införas för att säkerställa att nätverks- och informations- system som ska användas i säkerhetskänslig verksamhet uppfyller de krav som behövs för att upprätthålla skyddet av sådana verksamheter. En möjlighet kan – enligt direktivet – vara att införa krav på att IKT- produkter, -tjänster och -processer i nätverks- och informationssystem som ska användas i säkerhetskänslig verksamhet ska vara certifierade enligt en nationell särskild certifieringsordning som ställer krav an- passade för användning i säkerhetskänslig verksamhet. Vidare anges att en kompletterande eller alternativ möjlighet är att införa krav på godkännande från en utpekad myndighet innan en sådan IKT-pro- dukt, -tjänst eller -process tas i drift i säkerhetskänslig verksamhet. I detta kapitel redogörs för utredningens analys och övervägan- den när det gäller frågan om det bör införas krav på att IKT-produk- ter, -tjänster och -processer i nätverks- och informationssystem som ska användas i säkerhetskänslig verksamhet ska vara certifierade en- ligt en särskild certifieringsordning som ställer krav anpassade för användning i säkerhetskänslig verksamhet. Frågan om godkännande av myndighet innan driftsättning av sådana system behandlas i nästa kapitel. Certifiering av nätverks- och informationssystem Det systematiska informations- och cybersäkerhetsarbetet inklude- rar bl.a. uppgifter att identifiera informationsmängder i verksam- heten, klassa dessa och göra val avseende säkerhetsåtgärder för att skydda informationen. Ett systematiskt informations- och cyber- säkerhetsarbete innefattar administrativa, fysiska och tekniska åtgär- der, och där analys och behov av t.ex. evaluerade och certifierade IKT-produkter, -tjänster och -processer i nätverks- och information- ssystem utgör en delmängd av alla åtgärder som kan behövas för att uppnå tillräcklig säkerhet i systemen. Innebörden av evaluering och certifiering av IKT-produkter, -tjänster och -processer Frågan i vilken utsträckning som certifiering av IKT-produkter, -tjäns- ter och -processer i nätverks- och informationssystem kan anses bidra till ökad säkerhet i sådana system har tidigare behandlats i utred- ningens delbetänkande (kapitel 3 och 5). Utredningen behandlar i delbetänkandet bl.a. betydelsen av och formerna för certifiering av IKT-produkter, -tjänster och -processer jämte behovet och betydel- sen av att använda vedertagna standarder i evaluerings- och certifier- ingsarbetet (s. 75 ff.).