sou · H9B363 · 2021-07-02 00:00:00 — En sådan reglering bör avgränsas till informations- system som avser att hantera säkerhetsskyddsklassificerade uppgifter. En reglering med nationellt godkännande bör kompletteras med att en eller flera myndigheter får i uppdrag att till andra myndigheter till- handahålla informationssystem för behandling av säkerhetsskyddsklas- sificerade uppgifter. Sammanfattningsvis kan det konstateras att det finns ett behov av att kunna godkänna driftsättning av informationssystem för flera eller alla verksamhetsutövare . En sådan lösning har både för- och nack- delar och skulle behöva hantera de andra frågor som nämnts ovan för att på ett ändamålsenligt sätt passa in i den säkerhetsskyddsrättsliga regler- ingen. Frågan om ett sådant nationellt godkännande behöver därför ut- redas närmare. 13.7Kompletteringarna till säkerhetsskyddslagen kontra godkännandeförfarande Nästa fråga som utredningen har att ta ställning till är om de före- slagna ändringarna i säkerhetsskyddslagen är tillräckliga för att jäm- ställa med ett krav på formellt godkännande från en utpekad myn- dighet. Enligt förslaget till ändring av säkerhetsskyddslagen ska verksam- hetsutövare som avser att anskaffa, utkontraktera eller överlåta säker- hetskänslig verksamhet i vissa fall samråda med sin tillsynmyndighet. Om förfarandet är olämpligt ur säkerhetsskyddssynpunkt kan till- synsmyndigheten besluta att det inte får genomföras och även in- gripa i ett pågående förfarande. Om tillsynsmyndigheten inom ramen för ett samråd inte förbjuder ett förfarande som verksamhetsutövaren planerar kan det möjligen uppfattas som ett informellt tyst godkän- nande.41 Därmed kan verksamhetsutövare inleda vissa förfaranden som innebär hantering av hemliga uppgifter. Den föreslagna förbuds- möjligheten avser emellertid inte själva driftsättningen av informations- system. Även om tillsynsmyndigheten också ges en generell befogenhet att besluta åtgärdsförelägganden vid tillsyn saknas i nu nämnda del motsvarande förebyggande åtgärder. Inte heller står det klart huru- vida ett negativt samrådsyttrande från berörd myndighet hindrar verk- 41Huruvida den föreslagna säkerhetsskyddsordningen kommer att innebära ett de facto- god- kännande är oklart då myndigheterna har olika synpunkter om detta. Krav på godkännande och utvidgat samrådsförfarande för informationssystem samhetsutövares beslut att driftsätta informationssystem.42 En skillnad mellan processerna är att samrådet inte resulterar i en tydlig stämpel på att förfarandet är lämpligt utan bara inbegriper att det inte bedömts olämpligt. Inte desto mindre torde den föreslagna ordningen – inbe- gripet anmälningsplikten och möjligheten att vid samråd besluta åt- gärdsföreläggande och förbud – i likhet med angivna krav på formellt förhandsgodkännande bidra till ökad informationssäkerhet i informa- tionssystemen. Kraven bör medföra dels ökad identifiering av ansvar för säkerhetsskydd,43 dels minskad risk för förfaranden som är olämp- liga från säkerhetsskyddssynpunkt. Det tillkommer incitament för nog- grannare kontroll av säkerheten i verksamheterna. Den föreslagna regleringen säkerställer emellertid inte en utomstående myndighets ställningstagande i varje tillämpligt fall. Å andra sidan förutsätter även ett effektivt förfarande för myndighetsgodkännande att verk- samhetsutövaren anmäler sitt informationssystem för godkännande. Ett krav på godkännande från en myndighet innan driftsättning innebär enligt Säkerhetspolisens expert att den godkännande myn- digheten till viss del övertar ansvaret från verksamhetsutövaren och förändrar den för svensk säkerhetsskyddslagstiftning grundläggande principen att det är verksamhetsutövaren som ansvarar för att säker- hetsskyddet i den egna verksamheten är tillräcklig. En sådan regler- ing innebär både för- och nackdelar. Utredningen anser inte att ett förhandsgodkännande från en myn- dighet fråntar verksamhetsutövarens ansvar för säkerheten i sina informationssystem. Godkännandet av en driftsättning innebär visser- ligen att riskerna och säkerhetsnivån för godkän- nandemyndighetens granskning av verksamhetsutövarens dokumen- tation accepteras, men det är fortfarande verksamhetsutövaren som ansvarar för att se till att informationssystemet upprätthåller kraven på informationssäkerhet. Utöver skyldigheterna att anmäla sin säker- hetskänsliga verksamhet och se till att berörda system är godkända skulle verksamhetsutövaren ha att fortlöpande kontrollera säkerhe- ten och åtgärda eventuella brister i systemen.44 Dock kan det uppstå svårigheter att närmare bedöma innehållet i det formella godkännan- 42Ett sådant agerande skulle förmodligen innebära att verksamhetsutövaren blir föremål för tillsyn, men eftersom driftsättningen av informationssystemet redan skett har då även den even- tuella skadan för säkerhet inträffat. Tillsynen syftar till att kontrollera att regelverket följs och är inte en förebyggande åtgärd. 43Den föreslagna anmälningsplikten bör också underlätta tillsynsverksamheten. 44Andra aspekter är tillräckligt fysiskt skydd och att endast behörig personal får tillgång till systemet. Krav på godkännande och utvidgat samrådsförfarande för informationssystem det och vid efterföljande tillsyn av verksamheten förhålla sig till god- kännandemyndighetens godkännande. T.ex. kan en tillsyns- myndighets benägenhet att utdöma sanktioner för observerade säker- hetsbrister i ett informationssystem påverkas om myndigheten godkänt driftsättning av systemet och det inte genomgått någon väsentlig förändring. En annan fråga som uppstår är om ett godkän- nande kan överföras till annan myndighet. För- och nackdelar med ett myndighetsgodkännande av informationssystem Det kan noteras att it-system blir alltmer komplexa. Risk för skada på säkerhet – orsakad av försumlighet, olyckshändelse eller antagonistiskt angrepp – kan uppstå vid driftsättning av ett informationssystem i säkerhetskänslig verksamhet. Skada kan upp- komma genom att säkerhetsskyddsklassificerade uppgifter röjs, för- vanskas eller förstörs. T.ex. kan ett dataintrång röja alla uppgifter i ett system,45 och det som väl är röjt går inte att ta tillbaka. Skada kan också uppstå genom att it-systemet förstörs och funktionalitet slås ut varpå kontinuitet i den säkerhetskänsliga verksamheten inte kan upprätthållas.46 Därför är det viktigt att tillräckliga skyddsåtgärder vidtas före driftsättningen. Ett krav på förhandsgodkännande av be- rört informationssystems driftsättning från en kompetent oberoende tredje part kan medverka till att reducera sådana säkerhetsrisker ytter- ligare. En fördel med ett godkännandeförfarande med en central myn- dighet som godkännandeorgan är att det bidrar till skapandet av en minimistandard för kontroll av säkerhet och mer enhetliga säker- hetskrav hos verksamhetsutövarna på de aktuella nivåerna. Särskilt för system som behandlar hemliga eller kvalificerat hemliga upp- gifter, dvs. det mest skyddsvärda för , finns anledning att ställa långtgående krav på säkerheten. Här gör sig nämligen de största ris- 45Ett dataintrång behöver emellertid inte nödvändigtvis innebära att alla uppgifter i systemet röjs. En annan fråga är om uppgifterna ändå betraktas som röjda. Normalt sett bör man be- trakta alla uppgifter som röjda om det inte går att visa att de inte kan ha röjts för obehöriga med anledning av intrånget. I vissa undantagsfall kan dock konstateras att intrånget är av- gränsat till vissa delar och då behöver inte uppgifter som finns i andra delar av systemet be- traktas som röjda. Således bör information i ett system där dataintrång kunnat påvisas betrak- tas som röjd tills tekniska undersökningar kunnat fastställa omfattning av intrånget. 46Säkerhetsskyddet syftar inte till att motverka påverkan på uppgifternas riktighet och till- gänglighet genom försumlighet eller olyckshändelse. Krav på godkännande och utvidgat samrådsförfarande för informationssystem kerna gällande, vilket – även om inte behovet av teknisk kompetens nödvändigtvis ökar – kan motivera en oberoende tredjepartsbedöm- ning av en central nationell myndighet. Åena sidan är det en rimlig utgångspunkt att verksamhetsutöva- ren själv ansvarar för verksamhetens skyddsvärden. Å andra sidan måste fördelarna med ett absolut ansvar för informationssäkerheten iinformationsbehandlingen ställas mot vikten av kvalitetssäkring av att säkerhetskraven är uppfyllda för att förhindra allvarlig skada för säkerhet. Till risken att informationssystemen annars blir angripna hör att informationssäkerhetsarbetet i stor utsträckning är eftersatt och utmaningarna på området är betydande.47 Ett argument för att ansvaret att godkänna informationssyste- mets driftsättning bör kvarstå på verksamhetsutövaren är att denne torde ha bäst inblick i den egna verksamhetens förutsättningar och prioriteringar, särskilt när det gäller att acceptera kvarvarande säker- hetsrisker. En utomstående, även med god kompetens och omfat- tande erfarenhet av informationssäkerhet och IKT-system, kan svår- ligen överblicka verksamhetens förutsättningar på samma sätt. Detta talar för att beslut om godkännande och därmed om hantering av residualrisker bör ske inom den egna organisationen. Det kan tilläggas att s.k. godkännandemyndigheter i utlandet ofta har omfattande ansvar, kompetens respektive tillsynsbefogenheter på informationssäkerhetsområdet. Detta kan jämföras med Försvars- maktens roll på säkerhetsskyddsområdet (särskilt i fråga om krypto). Trots de föreslagna bestämmelserna om säkerhetsskydd finns utrymme för en aktör att i vissa fall driftsätta ett informationssystem isäkerhetskänslig verksamhet utan att tillsynsmyndigheten gjort en mer ingående granskning av riskerna.48 I t.ex. utgör godkän- nandemyndighetens process för godkännande av informationssystem som behandlar säkerhetsklassificerad information en planerad och systematisk granskning av systemet – i form av en dokumentations- genomgång – för att fastställa om det uppnås en lämplig säkerhetsnivå. Genomgången tar också fasta på om och hur negativa IKT-händelser hanteras. Vid granskningen utvärderas även informationssystemets 47Med undantag för Säkerhetspolisens och Försvarsmaktens områden råder i sektorerna all- varliga brister när det gäller systemsäkerhet och kompetens, såväl vid offentliga som privata aktörer. 48Försvarsmakten gör dock i tillämpliga fall en ingående granskning innan driftsättning, så länge berörd myndighet hemställer om samråd. Krav på godkännande och utvidgat samrådsförfarande för informationssystem operativa miljö, dess behov av skydd och om föreslagna säkerhets- åtgärder är tillräckliga för att uppnå en lämplig skyddsnivå. Den föreslagna möjligheten för tillsynsmyndigheterna på säker- hetsskyddsområdet att besluta en förhållandevis hög sanktionsavgift för överträdelser, som komplement till vitesföreläggande, kan i sig vara en tydlig och effektiv ekonomisk sanktion för den som har ett otillräckligt skydd för säkerhetsskyddsklassificerade uppgifter. Åt- gärden riktar sig vanligen mot en konstaterad överträdelse och är i huvudsak en tillbakaverkande sanktion som är handlingsdirigerande genom att verka avskräckande. När säkerhetsskyddsklassificerade upp- gifter väl röjts uppstår dock oåterkallelig risk för skada för säkerhet, oavsett eventuellt efterföljande repressalier. I stället för att vara avhängig huruvida incitamenten i det enskilda fallet kan förutses tillräckligt motverka risktagande, t.ex. för stora och resursstarka aktörer, kan ett krav på formellt förhandsgodkännande förhindra att säkerhetskänsliga uppgifter över huvud taget hanteras före det att behörig myndighet finner säkerhetsriskläget acceptabelt. Ett god- kännandeförfarande kan också minska risken för att säker- het skadas av misstag. Åtgärderna har olika skyddsändamål då kravet på godkännande syftar till att säkerställa att alla säkerhetskrav är upp- fyllda i förväg (innan informationssystemet används), medan sank- tionssystemet i sig primärt har en repressiv verkan. Sanktioner är alltså en för sen åtgärd då skadliga uppgifter redan kan vara röjda. Utredningen noterar vidare att inte har något sådant god- kännandeförfarande som förekommer i merparten av jämförbara län- der. Den svenska samrådsmodellen framstår i sammanhanget som säregen. Regleringen som innebär att verksamhetsutövaren ska testa sina säkerhetsskyddsåtgärder och godkänna sitt informationssystem innan det får tas i drift i säkerhetskänslig verksamhet motsvarar när- mast vad som brukar gälla i utlandet för information som inte är hemlig eller kvalificerat hemlig. Sammanfattande bedömning av behovet av myndighetsgodkännande Sammantaget kan det enligt utredningen inte antas att effekterna av den nya säkerhetsskyddsregleringen blir att likställa med ett krav på formellt förhandsgodkännande från en utpekad myndighet. Även om det kommande systemet är tämligen omfattande är det enligt ut- Krav på godkännande och utvidgat samrådsförfarande för informationssystem redningens mening inte tillräckligt heltäckande. Mot bakgrund av de allvarliga följder som nationell säkerhet riskerar bedömer utred- ningen att det finns starka skäl att överväga införandet av ett sådant godkännandeförfarande som finns i flertalet andra jämförbara län- der.49 Ett motsvarande krav kan fylla funktionen som en ytterligare välbehövlig kontrollstation och därmed bidra till stärkt informa- tionssäkerhet i säkerhetskänslig verksamhet.50 Som anförts ovan medför emellertid ett sådant krav även ett antal svårigheter. Ändå finner utredningen att det finns behov av att införa ytterligare krav när det gäller driftsättning av informationssystem i säkerhetskänslig verksamhet. I linje med regleringen i flertalet jämförbara länder hade ett krav på myndighetgodkännande lämpligen kunnat avse informa- tionssystem som ska hantera hemlig och/eller kvalificerat hemlig in- formation.51 Ett alternativ till att nu införa ett nytt krav är att avvakta tills effek- terna av de kompletterande bestämmelserna till säkerhetsskyddslagen utvärderats.52 Utredningen anser dock inte att det finns tillräcklig an- ledning att vänta med att införa ytterligare krav på informationssystem i säkerhetskänslig verksamhet för att se effekten av de nya åtgärderna. Det är snarare angeläget att i samband med övriga skärpningar av till- synssystemet också införa krav på myndighetsgodkännande av sär- skilt skyddsvärda informationssystem, eller ett likvärdigt förfarande, som ytterligare en säkerhetsskyddsåtgärd. Säkerhetspolisen har, efter samverkan med Försvarsmakten, argu- menterat för att varken samråd, ett negativt samrådsyttrande eller tillsyn formellt förhindrar driftsättning av informationssystem i säker- hetskänslig verksamhet. Mot denna bakgrund har myndigheterna föreslagit att samrådsrollen inför driftsättning och vid väsentlig för- ändring av informationssystem stärks genom att Säkerhetspolisen och Försvarsmakten ges möjlighet att förelägga verksamhetsutövare att vidta säkerhetsskyddsåtgärder och, om föreläggandet inte följs, besluta om att det ifrågavarande systemet inte får tas i drift eller för- 49Med tanke på de likheter som finns mellan och de övriga länderna i är det naturligt att dessa system kan tjäna som vägledning i frågan om krav på godkännande. 50Ställningstagande i fråga om kvalificerat hemlig information kräver även särskilt god för- måga att göra en hotbildsanalys. 51Dock bör observeras att inte särskilt många aktörer hanterar sådana system. Antalet system som behandlar kvalificerat hemliga uppgifter är begränsat och återfinns främst hos Försvars- makten, FRA och Säkerhetspolisen. 52Även etablerandet av cybersäkerhetscentret och dess planerade arbete är relevant i samman- hanget. Krav på godkännande och utvidgat samrådsförfarande för informationssystem ändras i väsentliga avseenden. En sådan lösning innebär inte någon ändring av ansvarsförhållandena och kan enligt utredningens mening vara ett lämpligt alternativ till ett krav på förhandsgodkännande från en myndighet. Fråga uppkommer således om de föreslagna verktygen i praktiken skulle omhänderta eventuella risker vid behandling av säkerhetsskyddsklassificerade uppgifter på ett likvärdigt och fullgott sätt, trots att det inte rör sig om ett formellt myndighetsgodkän- nande. Denna lösning utvärderas i avsnitt 13.8. När det gäller frågan om behov av ett samordnat samråd och nation- ellt godkännande inför driftsättning av ett informationssystem, som används av flera verksamhetsutövare i säkerhetskänslig verksamhet, delar utredningen uppfattning (se avsnitt 13.6). På de av Säkerhetspolisen anförda skälen behöver frågan om ett sådant nationellt godkännande för säkerhetskänslig verksamhet utredas när- mare i särskild ordning och behandlas därför inte vidare i detta be- tänkande. Enligt och Försvarsmakten bör uppgiften att god- känna driftsättning av informationssystem ligga kvar hos verksam- hetsutövaren. Även om verksamhetsutövaren i vissa säkerhetskäns- liga fall även ska samråda med Säkerhetspolisen eller Försvarsmakten bedömer dessa myndigheter att man inte har möj- lighet att vidta åtgärder inför eller förbjuda en driftsättning eller väsentlig förändring av informationssystem i säkerhetskänslig verk- samhet. Däremot kan dessa myndigheter inleda tillsyn. Tillsyn är emellertid en reaktiv åtgärd. Ett dataintrång kan ske redan under själva driftsättningen varför tillsyn inte är en ändamålse- nlig åtgärd för att skydda mot röjandet av säkerhetsskyddsklassi- ficerade uppgifter och därmed skada på säkerhet. För att undvika dessa följder vid driftsättning eller väsentlig förändring av informationssystem behövs således möjlighet att vidta åtgärder innan en driftsättning sker. En samrådsskyldighet och möjlighet att både förelägga verksamhetsutövaren att vidta säkerhetsskyddsåtgärder och förbjuda en driftsättning eller förändring av ett informationssystem är i sammanhanget tänkbara förebyggande åtgärder. Krav på godkännande och utvidgat samrådsförfarande för informationssystem Säkerhetspolisen och Försvarsmakten har bedömt att det inte finns skäl att flytta ansvaret för säkerhetsskyddet från verksamhets- utövare på det sätt som ett godkännande av en myndighet innan driftsättning skulle innebära. I stället har Säkerhetspolisen och För- svarsmakten föreslagit att deras samrådsroll inför driftsättning och vid väsentlig förändring av informationssystem stärks på samma sätt som sker när det gäller utkontraktering och överlåtelse av säker- hetskänslig verksamhet. Härigenom ges myndigheterna möjlighet att besluta åtgärdsföreläggande inom ramen för samrådet och, om föreläggandet inte följs, förbjuda det planerade förfarandet. Utred- ningen kan konstatera att de av regeringen föreslagna kompletter- ingarna till säkerhetsskyddslagen inte ger tillsyns- eller samrådsmyn- digheterna rätt att besluta att en driftsättning eller väsentlig föränd- ring av ett informationssystem inte får genomföras (förbud). En sådan stärkt samrådsroll har betydande likheter med ett krav på förhands- godkännande från en myndighet. Nedan följer en beskrivning av hur en driftsättning eller väsentlig förändring av ett informationssystem i säkerhetskänslig verksamhet bör gå till enligt Säkerhetspolisen – från det att behovet uppstår till driftsättning. 1.Behov av nytt informationssystem, digitalisering, (verksamhets- utövaren). 2.Lämplighetsprövning (verksamhetsutövaren, se nedan). 3.Särskild säkerhetsskyddsbedömning (verksamhetsutövaren) (krav- ställning + lämplighetsprövning). 4.Beslut om utveckling om så bedömts lämpligt (verksamhetsut- övaren). 5.Begäran om samråd – inkluderat särskild säkerhetsskyddsbedöm- ning (verksamhetsutövaren). 6.Utveckling (verksamhetsutövaren). 7.Test av säkerhetsskyddsåtgärder (verksamhetsutövaren). 8.Uppdatering av särskild säkerhetsskyddsbedömning skickas till Säkerhetspolisen (verksamhetsutövaren). 9.Samrådsyttrande inklusive förelägganden (Säkerhetspolisen) 10.Hantera förelägganden (verksamhetsutövaren). Krav på godkännande och utvidgat samrådsförfarande för informationssystem 11.Meddela Säkerhetspolisen planerat driftsättningsdatum (eventu- ellt behöver minsta tid från meddelande till driftsättning regleras) (verksamhetsutövaren). 12.Eventuellt förbud (Säkerhetspolisen). 13.Godkännande ur säkerhetsskyddssynpunkt (verksamhetsutövaren). 14.Driftsättning (verksamhetsutövaren). Det kan tilläggas att driftsättning av informationssystem i säkerhets- känslig verksamhet endast föranleder samråd med Säkerhetspolisen eller Försvarsmakten (beroende på vilket tillsynsområde verksamhets- utövaren tillhör). Endast Säkerhetspolisen och Försvarsmakten har den samlade bilden av hoten mot säkerhet och samlade skyddsvärden. Med hänsyn till dessa myndigheters unika sakkunskap och utpräglade roll på området finns inte skäl att ändra ordningen för vem verksamhetsutövaren ska samråda med vid drift- sättning eller förändring av informationssystem.53 Att ytterligare öka Säkerhetspolisens och Försvarsmaktens befogenheter att inrikta säkerhetsarbetet, överpröva analyser respektive beslut, begära kom- pletterande säkerhetsåtgärder och förbjuda olämpliga driftsättningar eller förändringar av informationssystem är att anse som ett rimligt alternativ till det övervägda kravet på förhandsgodkännande. En sådan lösning innebär inte heller någon ändring av ansvaret för säkerhets- skyddet i informationssystemet. Ett förfarande för godkännande av driftsättning hanterar inte heller helheten då framtida förändringar inte omhändertas.54 Det bör vidare framhållas att det finns betydande organisatoriska skillnader mellan å ena sidan , å andra sidan merparten av jämförbara länder där man har en central nationell cyber- säkerhetmyndighet (t.ex. , och )55 med långt- gående befogenheter och samlad kompetens inom informations- och cybersäkerhet, medan ansvaret för nationell informationssäkerhet i 53För att samrådet ska vara verkningsfullt och motverka potentiellt skadlig exponering av upp- gifter eller verksamhet i övrigt, bör det, liksom tidigare, påbörjas innan verksamhetsutövaren inleder det förfarande som medför krav på samråd. 54Som tidigare berörts kan baskrav för system bygga på befintliga internationella standarder och certifieringsordningar. Sedan behöver den specifika applikationen och dess fysiska miljö säkerställas. Den myndighet som hanterar kommande tillsyn behöver också på ett tydligt sätt ge återkoppling till verksamhetsutövaren på insänd anmälan att föreslagen specifik applikations driftsättning kan accepteras. Detta skall inte ses som ett generellt godkännande utan som en accept för driftsättning för just denna situation. Denna specifika applikation kommer därefter att vid behov vara föremål för tillsyn. 55Nasjonal sikkerhetsmyndighet i har cirka 300 anställda. Krav på godkännande och utvidgat samrådsförfarande för informationssystem är påtagligt splittrat och placerat på ett flertal olika myndig- heter, däribland sektors-/tillsynsmyndigheter. Införandet av ett gene- rellt krav på att informationssystem, som behandlar hemliga och/ eller kvalificerat hemliga uppgifter, ska godkännas av en utpekad myn- dighet hade sålunda bl.a. medfört behov av substantiella tillskott och omallokering av resurser.56 Sammantaget bedömer utredningen att det lämpligaste alternativet är att stärka samrådsrollen på det sätt som Säkerhetspolisen och Försvarsmakten föreslagit och utvärdera säkerhetseffekterna av myndigheternas nya verktyg. Tillkommande erfarenheter får utvisa eventuella behov av kompletterande krav på myndighetsgodkännande. En möjlig form för hur verksamhetsutövarens beslut om god- kännande av driftsättning kan ske med en ökad roll för samrådsmyn- digheten är att beslutet föregås av en lämplighetsprövning och sam- råd med Säkerhetspolisen eller Försvarsmakten. Omfattningen av ett sådant samråd behöver dock öka om en sådan stödjande process ska träffa de organisationer som är i behov av stöd.