sou · H9B363 · 2021-07-02 00:00:00 — Därför bör ett förslag om sådan process kring samråd inför driftsättning eller väsentlig förändring av informationssystem utsträckas till att omfatta även system för hantering av uppgifter i säkerhetsskyddsklassen konfi- dentiell och högre. Utformningen av kraven bör i övrigt i möjligaste mån följa systematiken i det av regeringen föreslagna kapitlet om skyldigheter när en annan aktör kan få tillgång till säkerhetskänslig verksamhet (kapitel 4 i säkerhetsskyddslagen). Säkerhetsskyddsförord- ningens bestämmelser om förberedande åtgärder inför driftsättning av informationssystem (3 kap. 1–3 §§) bör därför överföras till ett nytt kapitel i säkerhetsskyddslagen. Även om samtliga dessa regler inte avser skyldigheter för enskilda finns ett värde i att ha en samman- hållen ordning för frågorna som relaterar till samrådsprocessen (se vidare nedan). Någon ändring i sak är här inte avsedd, utöver att samma krav vid driftsättning bör gälla också för väsentlig förändring av informa- tionssystemen samt att samråd med Säkerhetspolisen eller Försvars- makten inte längre begränsas till en skriftlig process. 56I medför Säkerhetspolisens och Försvarsmaktens unika kunskaper och utpräglade roller på säkerhetsskyddsområdet att dessa myndigheter framstår som naturligt val i fråga om godkännandemyndighet, men uppgiften att godkänna hade ändå inneburit ytterligare och mer djupgående insatthet i många verksamheter. Krav på godkännande och utvidgat samrådsförfarande för informationssystem Närmare om väsentlig förändring av informationssystem En väsentlig förändring av ett informationssystem kan, i likhet med driftsättning i säkerhetskänslig verksamhet, innebära att systemet börjar hantera säkerhetsskyddsklassificerade uppgifter. En väsentlig förändring av ett informationssystem kan exempelvis vara att –ett befintligt informationssystem ska hantera uppgifter med en högre säkerhetsskyddsklassificering än tidigare, –ett befintligt informationssystem ska integreras eller kommu- nicera med andra informationssystem, eller när exponering av annat skäl väsentligen ökar, eller –ett befintligt informationssystem ska användas i en annan säker- hetskänslig verksamhet (om inte en sådan hantering omfattas av det ursprungliga samrådet). Man kan också uttrycka det som att verksamhetsutövaren driftsätter en förändring av informationssystemet. Utredningen ser följaktligen inte bärande skäl för att kravmässigt göra en distinktion mellan dessa förfaranden. Det kan noteras att den särskilda säkerhetsskyddsbedömning som ska göras vid driftsättning och väsentlig förändring av informa- tionssystem är mer långtgående än säkerhetsskyddsbedömningarna vid förfarandena som kräver säkerhetsskyddsavtal. Skillnaden är emellertid befogad med hänsyn till det särskilt känsliga läge en driftsättning innebär (se ovan). Närmare om samråd och befogenheter För att Säkerhetspolisen och Försvarsmakten ska få likvärdiga för- utsättningar som tillsynsmyndigheterna, för det fall de inte utövar tillsyn, bör också samrådsmyndigheten på motsvarande sätt kunna initiera samråd vid verksamhetsutövarens underlåtelse. Som tidigare berörts är det också motiverat med befogenheter att inom ramen för samrådet besluta åtgärdsföreläggande och vid behov besluta om för- bud. Samrådet med samrådsmyndigheten bör, i likhet med samråd med tillsynsmyndigheterna, inte vara begränsat till en skriftlig pro- cess. Även muntliga samråd med tillsynsmyndigheterna är avsedda att dokumenteras. Det följer redan av förvaltningslagen (2017:900) Krav på godkännande och utvidgat samrådsförfarande för informationssystem att en myndighet som får uppgifter på något annat sätt än genom en handling ska dokumentera dem, om de kan ha betydelse för ett beslut i ärendet (21 §). Vidare underlättar upphävandet av form- kravet för berörd myndighet att göra en lämplig anpassning av sam- rådet utifrån föreliggande omständigheter och behov av skyndsamhet. bör på samma sätt som gäller för tillsynsmyn- digheterna, inom ramen för samrådet få besluta att förelägga verk- samhetsutövaren att vidta åtgärder för att fullgöra sina skyldigheter enligt säkerhetsskyddslagen och föreskrifter som har meddelats i an- slutning till den lagen. Åtgärdsföreläggandet fyller, även inför drift- sättning eller förändring av informationssystem, funktionen att be- skriva vad som behöver göras för att det planerade förfarandet ska vara godtagbart från säkerhetsskyddssynpunkt.57 Befogenheten möj- liggör för samrådsmyndigheten att förelägga verksamhetsutövaren att vidta säkerhetsskyddsåtgärder för att avhjälpa brister i ett infor- mationssystem som kan komma att behandla säkerhetsklassificerade uppgifter. Frågan är kopplad till vilka krav på säkerhetsskyddsåtgär- der som Säkerhetspolisen har föreskrivit. Det skulle t.ex. kunna vara föreläggande om att vidta konkreta säkerhetsskyddsåtgärder såsom flerfaktorsautentisering58 eller att åtgärda brister i separationen av informationssystem. kan vidare t.ex. förelägga verksamhetsutövaren att göra en dimensionerad hotbildsbedömning (jfr avsnitt 6.4.2) om sådan underlåtits. Ytterligare ett exempel är att det finns krav på att verksamhetsutövaren ska genomföra egna granskningar av informationssystem och samrådsmyndigheten anser att genomförda granskningar inte är tillräckliga, då skulle myndig- heten kunna förelägga verksamhetsutövaren att genomföra komplet- terande granskningar. Förutsatt att Säkerhetspolisen eller Försvars- makten föreskrivit ett krav på användande av certifierad IKT-produkt så skulle samrådsmyndigheten även kunna förelägga verksamhets- utövaren att använda en sådan certifierad produkt vid driftsättning eller förändring av sitt informationssystem. 57Behovet av att säkerhetsbrister åtgärdas kan öka när det rör sig om driftsättning av ett in- formationssystem av påtaglig betydelse för samhällsviktig verksamhet och nationell säkerhet. Förvaltningslagen innehåller allmänna krav på skyndsam handläggning. Å andra sidan kan en verksamhetsutövares planering av en driftsättning i vissa fall ta . 58Flerfaktorsautentisering är en metod för åtkomstkontroll där användare endast beviljas åt- komst efter att framgångsrikt ha presenterat flera separata bevis för en autentiseringsmeka- nism. En lyckad identitetskontroll förutsätter vanligtvis två eller flera former av information (t.ex. lösenord, smartkort och biometrisk autentisering) inom kategorierna kunskap, innehav och inneboende. Krav på godkännande och utvidgat samrådsförfarande för informationssystem den behöver enligt utredningen inte kunna förenas med vite. Ett skäl till detta är att följden av att inte följa ett föreläggande är att det planerade förfarandet inte får genomföras, och att något ytterligare incitament för verksamhetsutövaren att följa föreläggandet inte lär behövas. Därutöver bör överträdelser av samrådsskyldigheten eller agerande i strid mot meddelat förbud kunna föranleda sanktionsavgift (se nedan). Ett förbud bör även kunna aktualiseras när den planerade drift- sättningen eller förändringen av ett informationssystem bedöms olämpligt även om ytterligare åtgärder vidtas. Möjligheten att besluta sådana förbud är av stor vikt för att förhindra att förfaranden som kan skada säkerhet genomförs. Befogenheten bör tillkomma respektive samrådsmyndighet, bl.a. eftersom samrådsmyndigheten genom samrådet redan är insatt i ärendet och ett sådant förfarande är i linje med vad som gäller för tillsyn vid anskaffning och över- låtelse av säkerhetskänslig verksamhet.59 Det bör framhållas att ett beslut om att förbjuda ett visst förfarande är en mycket långtgående åtgärd och bör användas restriktivt. måste också i varje enskilt fall göra en proportionalitetsbedömning.60 Ett krav på lämplighetsprövning bör införas Säkerhetspolisen anser att verksamhetsutövaren även inför driftsätt- ning och väsentlig förändring av informationssystem bör göra en lämplighetsprövning i enlighet med vad som gäller vid anskaffning, utkontraktering och överlåtelse av säkerhetskänslig verksamhet. Verk- samhetsutövaren ska således pröva lämpligheten av införandet av ett informationssystem baserat på dess möjliga påverkan på säkerhet. Prövningen avser att hantera situationer där introduce- randet av ett informationssystem kommer innebära stora risker för säkerhet och som inte kan hanteras genom att vidta säker- hetsskyddsåtgärder. Det kan exempelvis röra som om funktioner som: 59Överklagande av dessa förbudsbeslut ska dock ske till förvaltningsdomstol och inte reger- ingen (se kapitel 15). 60I fall Säkerhetspolisen och Försvarsmakten har tillsynsansvar ska de enligt regeringens pro- position 2020/21:194 även ha möjlighet att ingripa i vissa pågående förfaranden genom före- läggande. Krav på godkännande och utvidgat samrådsförfarande för informationssystem –kraftigt påverkar samhällets motståndskraft, t.ex. att flera redun- danta samhällsviktiga funktioner ersätts av ett informationssystem, och/eller –sammanställningar av olika datamängder som inte ska vara möj- liga att sammanställa (s.k. aggregat-problematik). Det rör sig alltså om funktioner som oavsett hur väl dessa skyddas innebär ett stort risktagande för säkerhet. Lämplighetspröv- ningen syftar således primärt till att verksamhetsutövaren i ett tidigt skede ska vara tvungen att ta ställning till om digitaliseringen är lämplig med tanke på dess effekt på säkerhet. Lämplighets- prövningens största effekt är dock att i ett tidigt skede få upp frågor gällande säkerhet och att tvinga verksamhetsutövaren att ta ställning. Det innebär också, i de fall som digitaliseringen bedöms olämplig, att onödigt utvecklingsarbete inte behöver genomföras.61 Som framgår ovan bör enligt Säkerhetspolisen lämplighetspröv- ningen göras före den särskilda säkerhetsskyddsbedömningen, direkt efter att verksamhetsutövaren har konstaterat att det finns ett behov av ett nytt informationssystem eller en väsentlig förändring. Reger- ingen har emellertid föreslagit att säkerhetsskyddsbedömningen ska göras först, när det gäller anskaffning och överlåtelse av säkerhets- känslig verksamhet. Ett skäl till den omvända ordning som Säkerhets- polisen förespråkar är att inga skyddsåtgärder kan minska framtida säkerhetsrisker när en driftsättning i säkerhetskänslig verksamhet väl sker, och att den särskilda säkerhetsskyddsbedömningen syftar till att identifiera just åtgärder för ökad säkerhet i systemet. Denna prövning syftar till att i ett tidigt skede tydliggöra för verksamhets- utövaren, i ett bredare perspektiv, huruvida planerad digitalisering är lämplig och erforderliga krav över huvud taget kan mötas (se ovan). Åandra sidan torde sådana slutsatser till följd av en lämplighets- prövning i sig förutsätta en bedömning av risker och hot, vilket en säkerhetsskyddsbedömning inbegriper. Utredningen finner mot bakgrund av det ovan anförda att verk- samhetsutövaren, i likhet med vad som gäller när en annan aktör kan få tillgång till säkerhetskänslig verksamhet, även ska vidta en lämp- lighetsprövning inför driftsättning eller väsentlig förändring av in- formationssystem i säkerhetskänslig verksamhet och att prövningen 61Säkerhetspolisen och Försvarsmakten torde kunna meddela närmare vägledning om för- farandet i sina föreskrifter. Krav på godkännande och utvidgat samrådsförfarande för informationssystem Tillräckliga skäl att avvika från den ordningsföljd som föreslås gälla vid anskaffning och överlåtelse av säkerhetskänslig verksamhet – genom att föreskriva att lämplighetsprövningen ska ske före den särskilda säkerhetsskyddsbedömningen – föreligger inte. Då lämplighetsprövningen fyller en annan funktion än verksamhets- utövarens godkännande av driftsättning, som innebär ett beslut att kvarstående risker med användning av informationssystemet accep- teras, ska befintligt krav på godkännande kvarstå. Godkännandet sker lämpligen efter fullbordat samråd. Närmare om överlappningar, undantag och samverkan Fråga uppkommer om skyldigheten att pröva det planerade förfaran- dets lämplighet även kan överlappa med motsvarande krav vid anskaff- ning, utkontraktering och överlåtelse av säkerhetskänslig verksamhet. Om ett sådant förfarande omfattas av reglerna om överlåtelse av säkerhetskänslig verksamhet kan sättas ifråga om förfarandet även behöver omfattas av den nu föreslagna skyldigheten att göra en lämp- lighetsprövning. Samma sak gäller förslaget om krav på samråd. Sam- råd vid utkontraktering respektive driftsättning prövar emellertid olika saker. Ett samråd vid utkontraktering ska göras före upphandlingen där leverantören vidtar åtgärder som medför att denne får tillgång till säkerhetskänslig verksamhet. Efter samrådet för utkontraktering sker själva upphandlingen. Om driftsättning av ett informationssystem omfattas av det som upphandlas bör själva driftsättningen också blir föremål för samråd. I det samrådet ska då prövas om tillräckliga skydds- åtgärder i systemet är vidtagna. I detta avseende kan samråden således inte anses vara överlappande.62 När det gäller frågan om att undvika överlappande regleringar anser Säkerhetspolisen att det inte är påkallat med en rätt att besluta om undantag från de föreslagna skyldigheterna i säker- hetsskyddslagen avseende samråd m.m. Ett sådant behov av undan- tag kan möjligen minska av den av regeringen övervägda63 skyldig- heten för tillsynsmyndigheten att i vissa fall ge samrådsmyndigheten 62I t.ex. fall då verksamhetsutövaren köper in ett färdigt informationssystem, som inte heller ska driftsättas av leverantören, kommer leverantören aldrig att få tillgång till de säkerhets- skyddsklassificerade uppgifterna. 63Regeringen utreder frågan om yttrande vid samråd i sitt fortsatta arbete med säkerhetsskyddsförordningen. Krav på godkännande och utvidgat samrådsförfarande för informationssystem tillfälle att yttra sig vid ett samråd. Utredningen finner således inte anledning att i denna del lämna förslag på föreskriftsrätt i fråga om undantag. Vidare torde samrådsmyndigheterna, när dessa inte utövar tillsyn, i behövliga fall informeras av tillsynsmyndigheten om verksamhets- utövare planerar driftsättning av informationssystem och därmed få kännedom om denne vidtar erforderliga åtgärder. Denna samverkan kan lösas praktiskt. Sanktionsavgift som ett komplement En avsaknad av ingripandebefogenheter gör att det finns en risk att verksamhetsutövare är mindre benägna att efterleva säkerhetsskydds- lagstiftningens krav, särskilt eftersom säkerhetsskyddsåtgärder kan vara kostsamma. Det har också framkommit att det finns fall där påpekade brister inte rättats till (se bl.a. SOU 2015:25 s. 476–478). Detta är inte en acceptabel ordning när det gäller åtgärder som ska motverka risker för säkerhet. Utredningen anser därför att det, i linje med regeringens förslag i proposition 2020/21:194, bör införas en möjlighet även för samrådsmyndigheten att besluta om sanktionsavgift för att säkerställa säkerhetsskyddslagstiftningens efter- levnad. Utredningen finner på de av regeringen anförda skälen att sanktionsavgift är ett lämpligt ingripande vid överträdelser som avser samrådsskyldigheten och meddelat förbud (se prop. 2020/21:194, s. 85 ff.). Samrådsmyndigheternas befogenhet bör i denna del mot- svara tillsynsmyndigheternas och följa samma system som reger- ingen föreslagit (se avsnitt 13.4.4 och det av regeringen föreslagna 7 kap. i säkerhetsskyddslagen om administrativa sanktionsavgifter). Således ska det inte vara obligatoriskt att ta ut sanktionsavgift när en överträdelse konstaterats, utan det är samrådsmyndigheten som avgör om en avgift ska tas ut i det enskilda fallet. De omständigheter som särskilt ska beaktas vid den bedömningen anges i den av reger- ingen föreslagna 7 kap. 3 § i säkerhetsskyddslagen. Även statliga myn- digheter, kommuner och regioner ska kunna påföras sanktionsavgift. Innan samrådsmyndigheten tar ut en sanktionsavgift ska verksamhets- utövaren, enligt förvaltningslagen, ges tillfälle att yttra sig. För ett effektivt samrådsförfarande som bidrar till ett bättre säker- hetsskydd är det av stor vikt att den verksamhetsutövare som är skyl- Krav på godkännande och utvidgat samrådsförfarande för informationssystem dig att samråda lämnar korrekta uppgifter till samrådsmyndigheten i samband med samrådet. I syfte att motverka att oriktiga uppgifter lämnas vid samråd bör det vara möjligt att besluta om sanktions- avgift mot verksamhetsutövare när så ändå har skett.64 Försvarsmakten har väckt frågan om inte även en underlåtelse av verksamhetsutövaren att godkänna driftsättningen av ett informa- tionssystem i säkerhetskänslig verksamhet bör kunna föranleda sank- tionsavgift från samrådsmyndigheten. Utredningen lämnar förslag om samrådsmyndighetens möjlighet att ta ut sanktionsavgift, och bedömer att utgångspunkten bör vara att godkännandet sker efter det att samrådet avslutats. En risk med en sådan befogenhet som Försvarsmakten föreslår är således att samrådsrollen blir alltför ut- sträckt. Överträdelser som enligt utredningens förslag ska kunna rendera en sanktionsavgift är om samrådsskyldigheten åsidosatts, för- bud inte respekteras eller oriktiga uppgifter lämnats vid samråd. Verk- samhetsutövaren får inte – utan att först samråda – driftsätta eller väsentligen ändra informationssystem som kan förutses komma att behandla konfidentiella uppgifter och högre, eller andra system där åtkomst kan medföra inte obetydlig skada för säkerhet. Om denna skyldighet överträds ska alltså sanktionsavgift kunna utdömas av samrådsmyndigheten. En annan fråga är om tillsynsmyndigheterna bör ha befogenheten att ta ut sanktionsavgift vid bristande godkän- nande och vilken skada som annars riskeras för säkerhet. Mot bakgrund av de förslag som regeringen respektive utredningen lämnar om anmälningsplikt, lämplighetsprövning, nya kraftfulla verk- tyg för samråds- och tillsynsmyndigheterna (bl.a. åtgärdsföreläggande och förbud) och sanktionssystemet i övrigt finns, enligt utredningens mening, inte tillräckliga skäl att även sanktionsbe- lägga godkännandkravet. Om det med tillkommande erfarenheter visar sig finnas behov av sanktioner även i denna del får den frågan be- handlas närmare i kommande lagstiftningsärende. 64I vilken mån oriktiga uppgifter lämnats uppsåtligen eller i vilken utsträckning det varit oakt- samt ska beaktas vid bedömningen av om sanktionsavgift ska tas ut (se den av regeringen i proposition 2020/21:194 föreslagna 6 kap. 3 § i säkerhetsskyddslagen). Krav på godkännande och utvidgat samrådsförfarande för informationssystem Säkerhetspolisen och Försvarsmakten får anses ha möjlighet att inom befintligt mandat föreskriva bl.a. om krav på användning av certifie- rad IKT, när så bedöms lämpligt, som en säkerhetsskyddsåtgärd som ger möjlighet att öka säkerheten i informationssystemet. Dessutom kommer den föreslagna befogenheten att besluta åtgärdsföreläg- gande att inrymma sådana krav på certifiering som en säkerhets- skyddsåtgärd. Även om det från experthåll lämnats synpunkter på att det är oklart i vilken utsträckning en sådan åtgärd har ändamåls- enliga effekter för säkerheten i systemet bedömer utredningen att en användning av certifierade IKT-produkter kan stärka säkerheten i nätverks- och informationssystemen (se utförligare redogörelse i kapitel 12). Krav på ökad användning av IKT-produkter certifierade inom det europeiska ramverket för cybersäkerhetscertifiering, med tillägg av de nationella krav som kan komma att ställas, är ett sätt att höja säkerheten i informations- och nätverkssystem. Utredningen kan sam- tidigt notera att användning av certifierad IKT, oavsett tillägg av natio- nella krav, inte ger någon garanti för fullständig säkerhet i systemen. Utredningen bedömer att möjligheten till ökad användning av certi- fierad IKT i förening med samrådsmyndigheternas möjlighet att när- mare reglera denna fråga (genom föreskrifter och förelägganden vid samråd om att vidta säkerhetsskyddsåtgärder) torde medföra ökad säkerhet i informationssystemen. Härtill kommer rätten att förbjuda planerade förfaranden som inte uppfyller tillräckliga säkerhetskrav. Mot bakgrund av det ovan anförda, och med beaktande av de änd- ringar i säkerhetsskyddslagen som regeringen föreslagit, anser utred- ningen att nu nämnda åtgärder bör utvärderas innan kompletterande krav på myndighetsgodkännande, eller införande av en nationellt särskilt anpassad ordning för certifiering av IKT i säkerhetskänslig verksamhet, övervägs. Krav på godkännande och utvidgat samrådsförfarande för informationssystem 13.8.2Bestämmelserna ska tas in i säkerhetsskyddslagen Bestämmelserna om samråd, förelägganden och förbud kommer med den utvidgning som utredningen föreslår delvis att avse förhållanden mellan enskilda och det allmänna. De innehåller också skyldigheter för enskilda. De bör därför tas in i säkerhetsskyddslagen.65 I lagen bör anges att myndigheten som verksamhetsutövaren ska samråda med är den myndighet som regeringen bestämmer. I förordning om ändring i säkerhetsskyddsförordningen bör föreskrivas att Säkerhets- polisen och Försvarsmakten är samrådsmyndigheter enligt säkerhets- skyddslagen inom sitt respektive ansvarsområde. 65Säkerhetsskyddsförordningens bestämmelser om förberedande åtgärder inför driftsättning av informationssystem (3 kap. 1–3 §§) ska överföras till säkerhetsskyddslagen. 14Tillgång till informationssystem vid tillsyn Förslag: I säkerhetsskyddslagen införs en ny bestämmelse med innebörden att tillsynsmyndigheten ska, i den omfattning som det behövs för tillsynen, ha rätt att få tillgång till informationssystem som används i verksamhet som omfattas av tillsyn. Tillsynsmyn- digheten ska även få besluta att förelägga den som står under till- syn att ge tillgång till sådana informationssystem samt ha möjlig- het att förena föreläggandet med vite. Bedömning: kommer kunna begära hand- räckning av för att genomföra den ovan nämnda tillsynsåtgärden. Den som står under tillsyn enligt säkerhetsskyddslagen (2018:585) ska enligt regeringens lagförslag i propositionen Ett starkare skydd för säkerhet (prop. 2020/21:194) ge tillsynsmyndigheten den information som behövs för tillsynen och, i nödvändig omfattning, tillträde till områden, lokaler och andra utrymmen, dock inte bostä- der, som används i verksamhet som omfattas av tillsyn. Tillsynsmyn- digheten ska vidare enligt förslaget få förelägga den som står under tillsyn att tillhandahålla informationen och ge tillträde till utrym- mena vid äventyr av vite (6 kap. 3 och 4 §§). ska även få begära handräckning av för att genomföra tillsynsåtgärderna (6 kap. 5 §). Utredningen noterar att ovan nämnda undersökningsbefogen- heter inte inbegriper någon uttrycklig rätt för tillsynsmyndigheten Tillgång till informationssystem vid tillsyn att få tillgång till verksamhetsutövarens informationssystem. Beho- vet av en sådan befogenhet behandlas nedan. 14.2Det finns skäl att införa ytterligare en undersökningsbefogenhet Ett skäl för regeringens förslag (prop. 2020/21:194) att införa under- sökningsbefogenheter är att en tillträdesrätt bedöms vara nödvändig för att tillsynsmyndigheterna ska kunna bedriva ett effektivt arbete med att kontrollera att säkerhetsskyddslagen följs och att därigenom motverka skador på säkerhet. Varken befintlig eller före- slagen säkerhetsskyddsreglering innehåller emellertid befogenheter för utövande av tillsyn över verksamhetsutövarens informations- system av betydelse för säkerhetskänslig verksamhet. Befogenhet att få tillgång till information och uppgifter om ett informationssystem är inte samma sak som att få tillträde eller tillgång till själva infor- mationssystemet (se nedan). Utredningen anser att ett effektivt system för tillsyn inte kan bygga på antagandet att det finns samförstånd mellan tillsynsmyn- digheten och tillsynsobjektet. Detta gäller inte minst med hänsyn till de skyddsvärden det är fråga om samt eftersom antalet verksamheter av betydelse för säkerhet har ökat i takt med privatiseringen av offentlig verksamhet och får antas fortsätta öka framöver (se prop. 2017/18:89 s. 125).