sou · H9B363 · 2021-07-02 00:00:00 — Till detta kommer att NSM har ett antal undersöknings- befogenheter och möjlighet att besluta åtgärdsföreläggande vid vite. Kontaktpersoner på NSM har framfört att en av de största för- delarna med det nationella godkännandeförfarandet är att det skapar en minimistandard för kontroll av säkerhet och mer enhetliga säker- hetskrav hos verksamhetsutövarna på de aktuella nivåerna. Vidare anser man att då det rör sig om de största riskerna för nationell säker- het finns ett större behov av en oberoende tredjepartsbedömning (av en central myndighet). 39Om det finns ett särskilt behov av att använda ett skyddsvärt informationssystem innan det godkänts kan godkännandemyndigheten bevilja ett tillfälligt tillstånd vid behov och om det finns särskilda skäl. 40NSM har alltså ansvar för godkännanden inom samtliga sektorer. Försvaret har flest system som behandlar säkerhetsklassificerad information och är den sektor som har störst behov av NSM:s godkännanden. 41NSM och relevanta tillsynsmyndigheter ska informeras om sådana informationssystem. Aktörer inom informations- och cybersäkerhet är nationella it-säkerhetsmyn- dighet och har i uppdrag att stödja en hög nivå av informationssäker- het i den informations- och kommunikationsteknologiska infra- struktur som kritiska funktioner är beroende av. En del av uppdraget är att ge råd om cybersäkerhet till nationella samhällsviktiga myndig- heter och privata företag. Centret är en del av Försvarets underrättelse- tjänst och hör till . Cybersäkerhetscentret tillhandahåller en nätverkssäkerhetstjänst som innefattar analys och hantering av säkerhetsincidenter hos myn- digheter och företag som anslutit sig till tjänsten. Centret har distri- buerat intrångsdetekteringssystem för ett antal nätverk i verksamheter som avser kritisk infrastruktur och där känslig myndighetsinfor- mation förekommer, inklusive försvar. De högsta statliga organen och myndigheterna kan på begäran anslutas till tjänsten. Regioner, kommuner och företag inom samhällsviktig verksamhet kan anslutas till tjänsten om centret bedömer att det kommer att bidra till en högre nivå av informationssäkerhet i samhället.42 Centret övervakar också nätkommunikationen i samhällsviktig verksamhet och kritisk infrastruktur. Den danska säkerhets- och underrättelsetjänsten, Politiets Efterret- ningstjeneste (PET), är ansvarig för att identifiera, förhindra, utreda och svara på hot mot friheten, demokratin och säkerheten i det danska samhället. PET ger rådgivning inom ett antal områden, däribland informationssäkerhet. 42Försvarsministeriet kan fastställa närmare regler om villkoren för anslutning samt föreläg- ganden om medverkan (vid äventyr av böter). Reglering av informations- och cybersäkerhet Graden av digitalisering i är mycket hög. I landet finns ingen nationell övergripande säkerhetslagstiftning. Det finns emellertid en regeringsförordning som reglerar informationssäkerhet inom stat- liga myndigheter samt särskilda krav på säkerhet i nätverks- och infor- mationssystem i vissa sektorer (se nedan). har antagit en nationell strategi för informations- och cyber- säkerhet för åren 2018–2021.43 Under dessa år ämnar regeringen att markant öka investeringarna i landets informations- och cybersäkerhet. Genom den nationella strategin lanserar regeringen även 25 initiativ och 6 riktade strategier för de mest kritiska sektorernas informations- säkerhetsarbete, med fokus på att öka den tekniska motståndskraften i den digitala infrastrukturen och den allmänna medvetenheten samt stärka nationell samordning och samarbete på området. Enligt den nationella strategin är följande områden s.k. kritiska sektorer som ska ta fram egna informations- och cybersäkerhetsstrategier: –sjöfart, och Med den nationella strategin har det således blivit ett krav att en dedikerad informations- och cybersäkerhetsenhet skapas för var och en av de kritiska sektorerna i samhället – och central finansiering ges för detta. Varje sektor måste utveckla en specifik strategi med hän- syn till de specifika hot och sårbarheter som gäller i sektorn. 43Se informationssikkerhed_ pdfa.pdf. 44Samtliga sektorer förutom telekommunikation täcks av NIS-direktivet. strategierna ska godkännas av en central statlig kommitté. Respektive sektor har vidare inrättat en decentraliserad cyber- och informations- säkerhetsenhet (DCIS).45 Bekendtgørelse af lov om är en lag som reglerar det nationella cybersäkerhetscentrets uppgifter och befogen- heter. Bl.a. får centrets nätverkssäkerhetstjänst, utan föregående dom- stolsbeslut, behandla en mängd olika uppgifter som härrör från be- rörda organisationer samt vidta diverse utredningar. Informationssäkerhet hos myndigheter i säkerhetskänslig verksamhet Det finns en regeringsförordning (”sikkerhedscirkulæret”) som regle- rar informationssäkerhet inom statliga myndigheter, inklusive krav på ackreditering av informationssystem som används för klassifi- cerad information. Sådana system kan vara föremål för certifiering och/eller godkännande. Ärenden som rör nationell säkerhet samord- nas av en ministerkommitté för säkerhet medan hanteringen av större cyberincidenter samordnas av cybersäkerhetscentret. Säkerhet i nätverk och informationssystem i vissa sektorer Lov om sikkerhed i net- og informationssystemer i transportsektoren (LOV nr 441, ) reglerar bl.a. säkerhetskrav för tillhanda- hållare av viktiga transporttjänster. Dessa ska vidta lämpliga och proportionerliga tekniska och organisatoriska åtgärder för att han- tera riskerna för säkerheten i sina nätverk och informationssystem. Transport-, byggnads- och bostadsministern fastställer närmare regler om nödvändiga åtgärder och att dokumentation ska ske genom ackre- diterad certifiering i enlighet med reglerna och en internationellt erkänd standard för kontroll av säkerheten i nätverk och informa- tionssystem. Ministern kan slutligen fastställa regler om den infor- mation som han eller hon ska få om valet av certifieringsordning. 45Den danska näringsmyndigheten och Rådet för Digital Sikkerhed har inlett en säkerhets- kontroll baserad på standarden ISO 27001 som genererar en översikt och riktmärke för före- tags digitala säkerhet och riktlinjer för hur man kan förbättra den. I 3 kap. 5 § Bekendtgørelse om sikkerhed i net- og informationssyste- mer i transportsektoren (verkställande order: nr 1042, ) anges att tillhandahållare av viktiga transporttjänster från sin utnämning ska dokumentera till Transport-, byggnads- och bo- stadsverket att tillhandahållaren har erhållit en ackrediterad certi- fiering i enlighet med den verkställande ordern och en internationellt erkänd standard för kontroll av säkerheten i nätverk och informa- tionssystem., t.ex. DS/EN ISO/IEC 27001 eller motsvarande. Bekendtgørelse om sikkerhed i net- og informationssystemer af betyd- ning for skibes sikkerhed og deres sejlads (verkställande order: nr 46, ) föreskriver att tillhandahållare av sjöfartstjänster, efter det att de utsetts, måste vara certifierade i enlighet med en internationellt erkänd standard för kontroll av säkerheten i nätverk och informationssystem, t.ex. DS/EN ISO/IEC 27001 eller motsvarande. Certifieringen ska omfatta den del av operatörens nät- verk och informationssystem som operatören är beroende av för att tillhandahålla sjötjänsten och där en händelse kan komma att ha en betydande inverkan på fartygssäkerhet och dess navigering. Certifier- ingen måste utföras som en ackrediterad certifiering av ett certifierings- organ som är ackrediterat enligt relevant standard. Ackrediteringen måste i sin tur göras av antingen det nationella ackrediteringsorganet DANAK eller ett liknande ackrediteringsorgan, som är medsignatär till EA:s (European cooperation for Accreditation) eller IAF:s () multilaterala avtal om ömse- sidigt erkännande som täcker relevant certifieringsstandard (se 4 kap. 6 och 7 §§). Sammanfattning av särskilda krav på IKT i säkerhetskänslig verksamhet I finns krav på cybersäkerhetscertifiering i fråga om säker- heten i nätverks- och informationssystem främst i vissa sektorer (såsom transport och sjöfart). För statliga myndigheter finns också krav på ackreditering av informationssystem som används för skydds- värd information. Sådana system kan vara föremål för certifiering och/ eller godkännande. Aktörer inom informations- och cybersäkerhet Justitie- och säkerhetsdepartementet, en Veiligheid, har det övergripande ansvaret för informationssäkerheten i . har valt att samla huvuddelen av sin IKT-säker- hetsexpertis och incidenthantering på nationell nivå i ett nationellt cybersäkerhetscenter, Centrum (NCSC). Detta inkluderar både en nationell rapporteringspunkt, CERT-funktion, samordningsansvar för IKT-händelser, övervakning och informations- utbyte (se nedan). I landet hanteras således cybersäkerhetsrelaterade ärenden centralt hos NCSC. NCSC driver också ett offentligt anmäl- ningssystem riktat till mindre verksamheter och allmänheten. Centret fungerar som en kontakt mellan de olika ansvariga organen inom cybersäkerhet och ska därmed säkerställa samordning av de olika akti- viteterna. NCSC utgör en del av Justitie- och säkerhetsdepartementet. NCSC:s lagstadgade uppgifter på cybersäkerhetsområdet anges i den nationella lagen om säkerhet i nätverk och informationssystem (beveiliging netwerk- en informatiesystemen, Wbni). Centret tar fram olika riktlinjer för it-säkerhet.46 Centret samlar även in och delar med sig av kunskap om cyberhot och -sårbarheter. Centret har vidare till uppgift att ge råd till industrin inom de samhällsviktiga sekto- rerna. Råden till allmänheten avser främst it-säkerhetshot och inci- denthantering. Myndigheter och organisationer inom samhällsviktig sektor är skyldiga att rapportera allvarliga cybersäkerhetsincidenter till NCSC. I lagen anges att NCSC även är CSIRT för leverantörer av samhälls- viktiga tjänster47. När det gäller implementeringen av det kommande NIS2-direk- tivet är avsikten att National Coordinator for Security and Counter- terrorism, som är en del av säkerhets- och , ska ansvara för samordning av tillsynen.48 46Säkerhetsriktlinjerna avser bl.a. mobilapplikationer och transportlagersäkerhet (TLS). 48Ansvar för regleringen av och tillsyn över sektorerna vattenhantering, transport och hamnar ska ligga hos Ministeriet för infrastruktur och vattenhantering (Infrastructuur & Waterstaat). Algemene Inlichtingen- en Veiligheidsdienst (AIVD) – den allmänna underrättelse- och säkerhetstjänsten allmänna underrättelse- och säkerhetstjänst, Algemene Inlichtingen- en Veiligheidsdienst (AIVD), är ett generaldirektorat vid inrikesministeriet (ministerie van Binnenlandse Zaken en Koninkrijks- relaties, BZK) och lyder under inrikesministern. AIVD spelar en vik- tig roll för den nationella säkerheten och försöker identifiera risker och hot mot nationell säkerhet . NBV – nationell byrå för kommunikationssäkerhet Den nationella byrån för kommunikationssäkerhet, voor Verbindingsbeveiliging (NBV), är en enhet vid AIVD som evalue- rar och utvecklar tekniska säkerhetsprodukter för skydd av känslig, sekretessbelagd, information av avgörande betydelse för regeringen. NBV har till uppgift att evaluera säkerhetsprodukter innan dessa ska godkännas för att skydda särskild information. De kriterier som tillämpas vid evalueringen beror främst på klassificeringen av den särskilda information49 som utrustningen måste kunna bearbeta och säkra. NBV ger också råd om säkerhetsprodukternas användning till potentiella användare och organisationer. Med sin expertkompetens om informationssäkerhet bidrar NBV till nationell säkerhet i Neder- länderna. NBV ansvarar vidare för produktion och distribution av nyckelmaterial för olika kryptografiska utrustningar.50 NBV har till uppgift att lämna råd i fråga om it-produkter och -tjänster relaterade till nationell säkerhet. Om NBV bedömer att en utvärderad produkt är lämplig utfärdar man ett särskilt råd till en arbetsgrupp för särskild informationssäkerhet, Werkgroep Bijzondere Informatiebeveiliging (WBI, se nedan), som fattar beslut om att god- (Economische Zaken) svarar för sektoriell reglering och tillsyn avseende energi, olja och digitala tjänster. Övervakningen för dessa sektorer genomförs av . 49Informationen inbegriper statshemligheter och annan speciell information som, hos obe- höriga, kan påverka statens, dess allierades eller ett eller flera ministeriers intressen negativt. 50NBV kan hjälpa regeringen med utformningen av en säker och högkvalitativ IKT-infra- struktur. NBV kan också arbeta med andra ämnen som påverkar viktiga delar av den neder- ländska infrastrukturen. Råden innehåller samtliga förutsättningar för säker användning av produkten.51 WBI – arbetsgrupp för informationssäkerhet WBI är en arbetsgrupp för informationssäkerhet i vilken försvars-, inrikes-, justitie- och säkerhets- samt utrikesministerierna ingår.52 Ministerier vänder sig till WBI för råd om speciell informations- säkerhet.53 WBI får i sin tur instruktioner från en kommitté för under- rättelsetjänst, Comité Verenigde Inlichtingendiensten Nederland (CVIN). –politisk rådgivning avseende särskild informationssäkerhet, –råd till inrikesministeriet om att – efter evalueringsundersökningar – bevilja godkännande av användning av tekniska informations- säkerhetssystem eller komponenter av dessa för att skydda sär- skild information, –råd till AIVD när det gäller tillhandahållande av nationellt ut- vecklade tekniska informationssäkerhetssystem eller -kompo- nenter till tredje part som godkänts eller kommer att godkännas efter evaluering av säkerheten för särskild information, och –rådgivning om nationell kryptoverksamhet.54 Det nederländska cybersäkerhetsrådet Raad (CSR), inrättat av NCSC, är ett nationellt oberoende organ som har till upp- gift att tillhandahålla strategiska råd om cybersäkerhet till den neder- ländska regeringen och näringslivet samt att övervaka utvecklingen 51Det yttersta ansvaret för installation av en säkerhetsprodukt ligger inte på NBV eller WBI utan hos en avdelnings generalsekreterare, och en säkerhetschef ansvarar för genomförandet av en säkerhetspolicy. nämnda personer kan avvika från men avdelningen får då ta ansvar för eventuellt tillkommande risker. 52Även en representant från AIVD ingår i WBI. Denna representant är också ordförande för . 53Medlemmarna i WBI har rätt att inspektera säkerhetsklassificerade dokument. 54Se den nederländska förordningen nr 2350225/01 om inrättandet av arbetsgruppen för sär- skild informationssäkerhet (Instellingsregeling WBI). Rådet levererar även olika typer av pro- dukter. TÜV Rheinland Nederland B.V. (TÜV Rheinland) ansvarar för att implementera och driva den nederländska certifieringsordningen för it-säkerhet (NSCIB). TÜV Rheinland är ett certifieringsorgan ackre- diterat av det nederländska ackrediteringsrådet RvA55 som certifierar säkerheten i it-produkter och -system i enlighet med de förfaranden som anges i NSCIB-dokumentationen och Common Criteria (CC) respektive The Common Evaluation Methodology (). I detta sammanhang är certifieringsorganet ansvarigt för att utfärda samt- liga produktcertifikat, och organet offentliggör alla certifikat utfär- dade enligt NSCIB i enlighet med villkoren i CCRA och MRA för internationellt erkännande.56 TÜV Rheinland har också till uppgift att licensiera evaluerings- företag enligt NSCIB och bedöma dessa företags tekniska rapporter. Personalen vid evalueringsföretagen måste genomgå en utbildning godkänd av TÜV Rheinland för att bli licensierade. Den övergripande implementeringen av EU:s cybersäkerhetsakt hand- has av Ministeriet för Ekonomi och Klimatpolitik som utsetts till natio- nell myndighet för cybersäkerhetscertifiering i enlighet med akten. De uppgifter som följer av cybersäkerhetsakten har ministeriet dele- gerat till landets telestyrelse, . kommer därmed att certifiera och utöva tillsyn enligt cybersäkerhets- akten.57 55Registrerat enligt C078 för Common Criteria. 56Beroende på mandat kan tillsynsmyndigheter och regelgivare ingripa i vissa stadier av pro- duktlivscykeln. 57Agentschap föreslås vidare ha ansvaret för tillsyn enligt NIS2-direktivet över sekto- rer inom energi, olja och tillhandahållande av digitala tjänster. Övergripande reglering av informations- och cybersäkerhet I sin nationella cybersäkerhetsstrategi konstaterar att cybersäkerhet är nära kopplad till nationell säkerhet till följd av digitaliseringen i samhället. I strategin anges att förmågan ska förbättras för att kunna hantera IKT-överträdelser som hotar den nationella säkerheten. Vidare finns intresse av att tillsammans med privata aktörer bevaka utvecklingen av en certifieringsordning för leverantörer av cybersäkerhetstjänster.58 I cybersäkerhetsstrategin presenteras sju mål och nödvändiga åtgärder för att uppnå dessa mål. Bland dessa åtgärder ingår obliga- torisk rapportering av cyberhot och incidenter samt krav på att kritiska processer utvecklar sin förmåga att stå emot cyberattacker.59 Det kan konstateras att lägger särskilt stort fokus på att förbättra cybersäkerheten i landet genom att upprätta infor- mationsdelningsstrukturer och samarbete mellan offentlig och privat sektor. Det senaste årtiondet har allt fler nya aktörer, från både offentlig och privat sektor involverats i arbetet med att utveckla den Färdplan för cybersäkerhet i hård- och mjukvara I det strategiska dokumentet Roadmap for Digital Hard- and Soft- ware Security60 erbjuds en uppsättning åtgärder för att eliminera säkerhetsgap i hård- och mjukvara, upptäcka sårbarheter och mildra deras konsekvenser under produktens hela livscykel. Som åtgärder för ökad digital säkerhet och transpararens föreslår färdplanen bl.a. standardisering och certifiering. Man önskar harmonisera de olika standardiserings- och certifieringsinitiativen så mycket som möjligt och aktivt bidra till ett brett ömsesidigt erkännande av standarder 58National Agenda – A cyber secure , se /topics/national-cyber-security-strategies/ncss-map/national-cyber- security-strategies-interactive-map/strategies/national-cyber-security-strategy-1. Strategin ska utvärderas . 592017 utarbetade även en internationell cybersäkerhetsstrategi: Digital . International Cyber Strategy: Towards an integrated international cyber policy. 60Ministry of Economic Affairs and Climate Policy (2018). Roadmap for Digitally Secure Hardware and Software. The Hague: Policy. och certifikat.61 Vidare insisterar man på en aktiv utveckling av det europeiska ramverket för cybersäkerhetscertifiering enligt EU:s cyber- säkerhetsakt och ett snabbt antagande av obligatorisk certifiering för specifika IKT-produktgrupper, dvs. produkter som utgör den största risken. På lång sikt bör enligt landet obligatorisk certifiering eller efterlevnad av en CE-märkning för alla produkter med internet- anslutning implementeras genom gradvis utvidgning. Grundläggande informationssäkerhet i offentlig sektor Baseline informatiebeveiliging Overheid (BIO) är ett grundläggande ramverk för informationssäkerhet som omfattar hela den offentliga sektorn. Det är som svarar för regleringen. Ram- verket syftar till att –öka samordningen mellan statliga och privata aktörer och där- igenom förbättra informationssäkerheten, –minska den administrativ bördan för regeringen och industrin, –möta internationella regleringar och standarder, och –minska underhållskostnaderna. När det gäller produktcertifiering har en nederländsk certifierings- ordning på it-säkerhetsområdet, NSCIB, inrättats för att möjliggöra evaluering och certifiering i landet av it-säkerhetsprodukter och -system på ett sätt som överensstämmer med Common Criteria-metodiken (ISO-standard 15408). AIVD62/NLNCSA63 är ägare av certifierings- ordningen. Självbedömning tillåts inte. Vidare finns en nationell ordning för grundläggande bedömning av säkerhetsprodukter, BSPA (Assessment), som är avsedd att bedöma lämpligheten av it-säkerhetsprodukter64 i den ”känsliga men oklassificerade” domänen, på grundläggande evaluer- 61Nederländerna strävar efter att proaktivt skapa kopplingar till globala standardiserings- och certifieringsinitiativ via NEN-standardiseringsplattformen. 62Algemene Inlichtingen- en Veiligheidsdienst (den allmänna underrättelse- och säkerhetstjänsten). 63Nederländernas nationella byrå för kommunikationssäkerhet. Kraven uttrycks i det nederländska Baseline Informatie- beveiliging Rijksdienst (). Särskilda krav på IKT i säkerhetskänslig verksamhet Informationssäkerhet i produkter och system Som ovan berörts genomgår produkter som är av avgörande bety- delse för säkerheten hos särskild offentlig information evaluering av den nationella byrån för kommunikationssäkerhet, NBV, innan dessa ska godkännas för skydd av informationen. Efter framgångsrik evaluer- ing lämnar en arbetsgrupp för särskild informationssäkerhet, WBI, råd till som har att besluta om godkännande för användning av systemet eller dess komponenter.65 Några andra natio- nella krav på certifiering av nämnda system och produkter har dock inte kunnat noteras. Det nederländska försvarsdepartementets dokument 2017 innehåller cybersäkerhetskrav för försvarskontrakt där bl.a. leveran- törer ska vidta vissa säkerhetsåtgärder. I dokumentet finns krav på att viss utrustning, såsom krypto eller specifik mjukvara för säker anslutning, endast får användas om den godkänts av ett s.k. säker- hetskontor (DISS/ISO). Godkännandet är automatiskt applicerbart också på utrustning som har godkänts av NBV. Sådan utrustning är föremål för en evaluering av NBV. Byråns godkännande gäller i prin- cip för staten. Det automatiska godkännandet av säkerhetskontoret innebär att utrustningen också kan användas utanför staten med hänsyn till ett hemligt avtal av försvarsdepartementet. En lista över utrustning godkänd av NBV finns tillgänglig på nätet. Säkerhets- kontors godkännande gäller också automatiskt för utrustning som har godkänts av försvarsdepartementets säkerhetsmyndighet. Säker- hetskontoret kan också godkänna utrustning själv. 65Detta följer av den nederländska förordningen nr 2350225/01 om inrättandet av arbetsgruppen för särskild informationssäkerhet (Instellingsregeling WBI, ). Aktörer inom informations- och cybersäkerhet BSI – federal byrå för informationssäkerhet I har den federala byrån för informationssäkerhet, Bunde- samt für Sicherheit in der Informationstechnik (BSI), till uppgift att på nationell nivå främja säkerhet inom it och försvara mot cyber- säkerhetshot. BSI är även det nationella certifieringsorganet för federal it-säkerhet.66 Byrån är underordnad det federala inrikesmini- steriet, das Bundesministerium des Innern, och ska informera mini- steriet om sin verksamhet. –testning och evaluering av säkerheten i it-system, –utfärdande av säkerhetscertifikat, –drift av krypto- och säkerhetshanteringssystem för federala in- formationssäkerhetssystem som används inom statlig säkerhet (eller andra av myndigheten särskilt utpekade områden), –rådgivning om och genomförande av tekniska tester för att skydda viss officiellt hemlig information mot obehörig åtkomst, –utveckling av säkerhetskrav för federal it och lämplighetskrav på entreprenörer inom it-området med speciella skyddsbehov, och –tillhandahållande av it-säkerhetsprodukter och stöd till federala myndigheter som ansvarar för it-säkerhet. För att fullgöra sina uppgifter kan BSI bl.a. rekommendera säker- hetsåtgärder och användning av vissa säkerhetsprodukter. BSI kan vidare fastställa minimistandarder avseende säkerhetskrav för att säkra federal it.67 BSI tillhandahåller även tekniska riktlinjer och specifika- tioner som används av de federala myndigheterna som en ram för utveckling av krav på entreprenörer och it-produkter vid upphandling.68 I nationell rätt kan föreskrivas att federala myndigheter är skyldiga att införskaffa it-säkerhetsprodukter av BSI. Som certifieringsorgan har BSI även att erkänna, bedöma och utbilda evalueringsföretag. 66Vid BSI finns bl.a. funktionerna CERT-Bund och Nationales IT-Lagezentrum.