bet · H901FöU10 · 2022-02-03 00:00:00 — Vi ser också att detta kostar väldigt mycket pengar. Det finns beräkningar från som visar att de olika utpressningsattackerna totalt kan ha kostat det amerikanska samhället uppemot 70 miljarder och kanske kommer att kosta långt över 100 miljarder . Detta gör, som jag ser det, att vi måste titta på hur det fungerar . Vi har i en situation där sju myndigheter delar på ansvaret. Där skiljer vi oss från andra länder. Detta ramlar mellan stolarna, och det blir inte bra. Det har tillskapats ett cybersäkerhetscenter med goda intentioner, men som vi ser det är det alltför stuprörsorienterat och för smalt. Mandatet är otydligt och fragmenterat. Ingen myndighet har fått lead, huvudansvar, utan man ska samverka - det blir något slags konsensuskultur, har vi förstått det som. Det är inte klart med lokaler, och det blir inte så kraftfullt som det borde vara. Från sida tycker vi därför att det borde inrättas en cybersäkerhetsmyndighet, som skulle få uppgiften att koordinera cyberförsvaret mellan myndigheter och försvara kritisk nationell infrastruktur och samhällskritiska nationella intressen - en myndighet med brett fokus, som omfattar cyberskyddet av myndigheter men även teleoperatörer, elproducenter, distributörer och andra känsliga sektorer och samhällskritiska delar av näringslivet. Vi har, fru talman, i närtid sett hur exempelvis har drabbats av attacker. Kalla vinternätter har uppemot en kvarts miljon människor blivit utan ström. Detta är något som också kan drabba . Man har testat materiel som gör att man kan störa ut internet över stora områden och göra så att ingen kan kommunicera. Detta är hot som också kan drabba , fru talman, och därför ser vi det som viktigt att vi kommer vidare. Detta är något som flera andra länder har gjort och som skulle göra att mer resurser skulle kunna gå till att skydda oss mot cyberattacker. Vi kan konstatera att detta är något som tyvärr bara har börjat. Enligt de rapporter vi fått blir det allvarligare, och det är lätt för utländsk makt eftersom det är svårt att upptäcka. De kan vara i ett land och använda ett företag som gör det; det är väldigt svårt att upptäcka. Detta kan drabba vårt land och viktiga institutioner, och här behöver vi kort sagt förstärka. Därför är det vår uppfattning att vi behöver gå vidare. Cybersäkerhetscentret har bra intentioner, men vi behöver gå vidare och inrätta en cybersäkerhetsmyndighet. Länge var cyberhotet något som man varnade för och något som skulle hända . Det gjorde att det helt enkelt var enkelt att skjuta denna fråga ifrån sig. Konsekvensen blev att hotet inte togs på tillräckligt stort allvar. Man förberedde inte sig själv, sin organisation eller sin myndighet i tillräckligt stor utsträckning. Med perspektiv kan vi nu se att vi har gått från en tämligen avslappnad, och på sina håll rent av naiv, hållning till cyberhotet till att betrakta det med stort allvar. Bara det faktum att vi står här och debatterar ett renodlat cybersäkerhetsbetänkande med motioner säger någonting om hur denna fråga har utvecklats, för verkligheten har verkligen kommit i kapp oss. Det rapporteras om nya attacker eller intrångsförsök om inte så i stort sett . Då ska man bära med sig att det bara är en bråkdel av det som de facto sker som når offentlighetens ljus. redovisade att det sker runt 10 000 aktiviteter mot mål i från utländska statsaktörer. Den siffran är förstås mycket högre . Det som kanske är ännu värre är att vi nu ser alltmer konkret hur cybervapnet faktiskt gör skada, hur det begränsar och stänger verksamheter och hur det för med sig stora ekonomiska kostnader och risker. Cyberhotet är verkligen på riktigt, som när efter ett angrepp tvingades gå ut och berätta att intrånget på deras servrar inte påverkat säkerheten i bilarna. Detsamma gäller när i inte längre kom åt journaler och medicinlistor efter att kommunen drabbats av ett omfattande it-angrepp, eller när närmare 800 av Coops butiker tvingades hålla stängt efter ett stort intrång. Detta är bara ett axplock av aktuella exempel. Samtliga är dessutom exempel från en fredstida verklighet. Inte sällan grundar sig dessa angrepp på samma logik som alltid har varit drivande i den kriminella världen, nämligen att tillskansa sig pengar och andra värden. Det kan vara till exempel innovationer, företagshemligheter eller nydanande forskningsresultat. Och det är alltid på någon annans bekostnad. Cybervapnet är också en del i staters militära verktygslåda och har som sådant potential att leda till omfattande skador på samhällsviktig verksamhet och i värsta fall faktiskt dödsfall. Detta är, återigen, inte något avlägset framtidsscenario. Det räcker att se hur har agerat för att destabilisera med bland annat cyberaktiviteter. I bedrivs nu ett brett arbete för att stärka förmågan att förebygga, upptäcka och hantera cyberhot, bland annat genom att Försvarsmakten har skaffat sig förmåga att verka aktivt och bedriva aktiva cyberoperationer. Man har också etablerat ytterligare ett it-försvarsförband med inrättandet av Försvarsmaktens centrum för cyberförsvar och informationssäkerhet vid KTH. Därmed stärks Försvarsmaktens möjlighet att få tillgång till utbildningar i forskningens framkant, något som också bedöms bidra positivt till myndighetens kompetensförsörjning och kompetensutveckling. Spetsutbildningen för cybersoldater är nu inne på den andra utbildningsomgången. På den civila sidan kommer, som flera har varit inne på, det nyinrättade nationella cybersäkersäkerhetscentrumet att bli en mycket viktig aktör för att stärka samordningen internt i staten, där själva samlokaliseringen av de ingående myndigheterna kommer att stimulera ett tätare samarbete och ge bättre möjligheter att ta fram lägesbilder och att verka gemensamt i den operativa miljön. Cybersäkerhetscentrumet kommer också att bli en väldigt viktig länk mellan stat och näringsliv och kommer att ha en uppgift att förmedla råd och stöd i fråga om hot, sårbarhet och risker. Men vi kan förstås inte slå oss till ro med detta. Mer behövs, och kanske framför allt att fler behöver göra mer. Ett av de viktigaste konstateranden som görs i detta betänkande är att det systematiska arbetet med informations- och cybersäkerhet behöver stärkas hos samtliga aktörer i vårt samhälle. Ett område bland flera där det behövs ytterligare fokus, och som också omnämns i detta betänkande, gäller behovet av att höja kunskapsnivån kring cyberhotet och vad vi kan göra för att skydda oss. Kunskap är i den meningen vår första och viktigaste försvarslinje. Och här behövs både spets och bredd. När det gäller spets handlar det bland annat om forskning. Talar man med de främsta forskarna på cybersäkerhetsområdet är de tydliga med att vi ännu inte har konstruerat tillräckligt säkra system som går att använda i stor skala. Det krävs mer forskning och mer utveckling. När det gäller bredd handlar det om att vi behöver höja medvetandenivån generellt i samhället. Det talas ibland om cyberhygien, alltså att ha säkra lösenord, att inte öppna bilagor från okända avsändare och att uppdatera gamla system. MSB visade i en färsk rapport att många av de misstag som sker är mänskliga och relativt enkla misstag som potentiellt kan leda till större problem. Det är också det som man ser bland de it-incidenter som rapporteras in till MSB. Avslutningsvis: Tiden när cybersäkerhetsfrågorna kunde viftas undan och ses som en onödig kostnadspost och delegeras undan till någon marginaliserad it-avdelning är förbi. Frågan är inte längre vad det kostar att rusta sig för att möta cyberhotet. Frågan är snarare vad det kostar att inte göra det. Med detta yrkar jag bifall till förslaget i betänkandet. Jag tackar för ett bra anförande från ledamoten. Men jag skulle vilja följa upp en liten sak. Jag tror att vi är överens om att mycket bra har hänt , som ledamoten korrekt säger, då man inte har varit så vaken på detta område. Men i stället för att fokusera på det som jag tycker är bra vill jag fokusera lite grann på det som jag kanske inte är helt nöjd med, för att vara ärlig. Jag är glad över att ledamoten påpekar att vi inte har skapat tillräckligt säkra system som behövs och att det behövs mer forskning och utveckling. Då undrar jag varför regeringen inte anser att det är lämpligt att satsa på ett cybercampus som och har föreslagit borde etableras. En annan sak där jag är lite nyfiken på hur regeringen och Socialdemokraterna, som är samma sak, tänker är varför de anser att man inte bör kartlägga de svagheter som finns i många av våra system. Våra ledande experter säger att det är ganska sannolikt att vi får utgå från att länder som , kanske etcetera också har en väldigt bra kartläggning av våra svagheter eftersom de testar dem löpande. gör inte vi det själva på ett systematiskt sätt. Jag undrar hur det kommer sig att regeringen inte anser att det är lämpligt. Detsamma gäller kopplat till den som under fem har föreslagit borde etableras där vi har de ledande säkerhetsexperterna för att när det är intrång etcetera säkra kunskap för alla andra myndigheter än den som har drabbats, så att de faktiskt får tillgång till information om hur man förbättrar situationen, hur man kan rädda sig ur det och vad man kan göra för att undvika samma problem en gång till. Jag vill därför gärna höra lite grann om hur det kommer sig att man säger nej till dessa saker. Jag nämnde i mitt anförande inrättandet av Försvarsmaktens centrum för cybersäkerhet och informationssäkerhet, CDIS vid KTH. Det kan man se som ett exempel där staten nu ökar sitt insteg och bygger tätare relationer till akademin. Jag tror att det är helt nödvändigt att vi fortsätter i denna riktning. Här finns också kopplingen till utbildningen av cybersoldater som har kommit igång på ett väldigt bra sätt och som ser ut att ge väldigt goda resultat. Jag ser framför mig att vi behöver stärka denna del. Staten behöver ta ett ännu tydligare grepp när det gäller forskning och utbildning eftersom detta är ett område där det behöver göras mer. När det sedan gäller det här med att kartlägga sårbarheter och brister får man väl ändå säga att vi gör det , på flera olika sätt. Ett exempel är att FRA bedriver en väldigt aktiv verksamhet där de besöker framför allt myndigheter och gör så kallade penetrationstester. Det finns en hög efterfrågan i statsförvaltningen på den typen av tjänster. Vi har även systemet med it-incidentrapportering, där jag delar oro kring att rapporteringen inte har nått den nivå vi skulle ha önskat oss. Det finns dock en tydlig instruktion om att så ska ske. Där finns också en potential att utifrån de rapporteringar som kommer in faktiskt dra slutsatser; jag refererade delvis till dem i mitt eget anförande. MSB sammanställer de incidenter som rapporteras in till myndigheten och delger dem sedan offentligt, och där ser man att mänskliga misstag - som jag nämnde - är en av de stora förklaringarna till många av de incidenter som sker. Jag tackar så mycket för svaret. Jag är glad att vi är överens om behovet av att fokusera vidare på att utveckla forskningsområdet och den samverkan som är en väsentlig del av detta. Forskning är nämligen en del, och den är jätteviktig - men det är just samarbetet med näringslivet som gör att det leder till utveckling etcetera. Det gäller självklart också utifrån ett näringslivspolitiskt perspektiv, att förhoppningsvis får ett positivt bnp-bidrag, men det handlar inte minst om att säkra att kunskapen blir bättre och att det faktiskt kommer ut produkter på marknaden som kan hjälpa oss här i . Vi är som sagt helt överens om att mycket bra har hänt. Ni får gärna kopiera vårt cybercampusförslag, ; det är helt okej. Detsamma gäller när det kommer till att säkra att efterrapporteringen och analysen av incidentrapporteringen i större omfattning leder till bättre spridning av kunskapen. Det är där vi ser svagheten - vi och många experter med oss. En annan fråga jag gärna skulle vilja ha svar på handlar om att vi från sida har föreslagit att oberoende säkerhetsgranskningar kan vara relevant i samband med upphandling av större infrastruktur som är säkerhetskritisk. Bland annat har en sådan nyhet om varit uppe i pressen , men vi har mycket samhällskritisk infrastruktur som handlas upp. Det har också varit några incidenter, som har påverkat socialdemokratiska regeringar, där upphandling inte har skett på ett helt korrekt sätt. Att säkra de oberoende säkerhetsgranskningarna i dessa samhällskritiska upphandlingar skulle göra att vi höjer säkerhetsnivån från början, så att det inte är de som bygger systemen som också avgör om de är säkra nog. Det skulle vara intressant att höra ledamotens och Socialdemokraternas syn på detta. Jag vill bara nämna att regeringen gav i uppdrag att jobba med att ta fram stöd när det gäller upphandlingar av samhällskritisk verksamhet - bara som ett exempel. I det här sammanhanget ska jag också nämna den nya, uppdaterade säkerhetsskyddslagen som ju delvis är en effekt av det ledamoten nämner, nämligen de problem vi har sett vid tidigare upphandlingar och vad de kan leda till. Här finns det numera rätt stränga krav i lagstiftningen. Ytterst kan en tillsynsmyndighet faktiskt gå in och avbryta upphandlingar om man bedömer att de inte är tillräckligt säkra och att dessa perspektiv inte har omhändertagits. Vi känner ju alla till att mycket samhällsviktig och samhällskritisk verksamhet ligger på privata aktörer som verkar på uppdrag av det offentliga, så vi behöver ha ögonen på den här frågan. Det är det den nya och uppdaterade säkerhetsskyddslagen försöker adressera. Det här ska inte kunna falla mellan stolarna, utan här ska vi ha ett tydligt kontrollsystem så att vi tidigt kan upptäcka brister och åtgärda dem. Det har sagts så mycket klokt här att jag ett tag funderade över om jag skulle stryka mitt anförande, för väldigt mycket kommer att bli upprepningar. Men jag tänkte ändå att jag går upp i talarstolen och pratar . Jag vill börja med att säga att det förebyggande arbetet är helt avgörande för ett väl fungerande totalförsvar, liksom för ett väl fungerande samhälle. Svagheter i grundläggande infrastruktur, såväl den tydligt fysiska infrastrukturen och den digitala infrastrukturen som försörjning och andra viktiga samhällsfunktioner, innebär en sårbarhet både för angrepp och andra störningar. Robustheten i alla våra samhällsfunktioner måste öka. Mer behöver göras för att förebygga kriser, och det civila försvaret behöver stärkas. Vi vet att även händelser i andra länder indirekt kan drabba på olika sätt då ekonomi och andra system hänger samman. Det har vi ju upplevt i samband med pandemin, om inte annat. Cyberangrepp pågår, , från flera olika aktörer. är bara ett exempel på en stormakt som bedriver avancerat cyberspionage för att främja sin egen ekonomiska utveckling och utveckla sin egen militära förmåga. Det sker genom omfattande underrättelseinhämtning och stöld av teknologi, forskning och utveckling. Påverkanskampanjer och desinformation når oss på flera olika sätt som spioneri och massövervakning via internet aktualiserar många frågor om cybersäkerhet. De flesta angrepp mot digitala system sker av ekonomiska skäl, och de är ofta kopplade till internationella ligor. En mindre del av angreppen sker av militära eller politiska skäl. Men även om syftet med de flesta angrepp är brottslighet i ekonomiskt syfte kan resultatet ändå bli allvarliga störningar av stora och viktiga verksamheter i samhället, och svagheterna kan utnyttjas för angrepp på stat. Att den digitala infrastrukturen är global och tillgänglig är avgörande för att företag och organisationer ska kunna bedriva sin verksamhet och dela kunskap mellan människor i olika länder. En öppen värld gynnar på många sätt och är en förutsättning för att miljöhot och säkerhetshot ska kunna hanteras. Den snabba digitaliseringen gör dock frågor om sårbarhet i våra samhällssystem högaktuella. Många viktiga samhällsfunktioner är beroende av de digitala systemen, vilket gör dem känsliga både för dataintrång och för andra störningar. Energiförsörjning, livsmedelsförsörjning, vattenrening och vattenförsörjning, sjukvård och många andra delar av det moderna samhället är alltså sårbara då det mesta är digitaliserat. Det är sårbarheter som vi behöver kunna hantera och förebygga. Därför behöver cybersäkerheten höjas i alla verksamheter i samhället, både i offentlig sektor och i privat sektor, och behöver stärka sin förmåga att förebygga och bemöta attacker. Inrättandet av det nya nationella cybersäkerhetscentret är en viktig del i att formera ett säkrare försvar mot cyberattacker och i arbetet med att skydda samhällsviktig infrastruktur. Försvarsmakten, MSB och Säkerhetspolisen har i uppdrag att fördjupa samverkan inom området, och myndigheterna ska ha en nära samverkan med FMV, och , som också ska ges möjlighet att medverka i centrets verksamhet. behöver en samlad förmåga att förebygga, upptäcka och hantera antagonistiska hot. Tanken är att cybersäkerhetscentrets verksamhet ska komma till bred nationell nytta inom såväl offentlig som privat verksamhet och göra säkrare genom att höja den samlade förmågan att möta cyberhoten och öka förmågan att effektivt stödja offentliga och privata aktörer. Verksamheten i centret ska utvecklas stegvis , och 2023 ska regeringen ta ställning till hur cybersäkerhetscentrets verksamhet fortsatt bör inriktas och bedrivas. Det ingår i det nya nationella centrets uppgifter att förmedla råd och stöd i fråga om hot, sårbarheter och risker. Man ska också samordna stödet till förebyggande skyddsåtgärder, exempelvis tekniska säkerhetsanalyser, och kartlägga verksamheters beredskap vid it-incidenter. Även internationell samverkan är av stor vikt för att kunna upprätthålla den öppna värld vi ser som viktig. Vi ska komma ihåg, vilket har sagts tidigare här, att teknikutvecklingen på området går snabbt. Kontinuerlig forskning krävs för att bidra till att vidmakthålla och utveckla cyberförsvarsförmågan, och till det behövs kvalificerad personal för att långsiktigt kompetensförsörja och stärka förmågan. Försvarsmakten, med stöd av FRA, har etablerat en cyberförsvarsförmåga. Försvarsmakten har bland annat etablerat en militär virtuell träningsanläggning samt påbörjat grundutbildningen av cybersoldater. Ett trettiotal värnpliktiga har inlett befattningsutbildningen. Målsättningen är att utbilda 60 värnpliktiga . inrättade Försvarsmakten och informationssäkerhet vid KTH. CDIS, som det förkortas, bidrar till Försvarsmaktens möjlighet att få tillgång till utbildningar i forskningens framkant som stöd för Försvarsmaktens kompetensförsörjning och kompetensutveckling. Ambitionen är att utveckla kunskap och skapa nya metoder, verktyg, koncept och tillämpningar inom området cyberförsvar och informationssäkerhet. Samverkan mellan staten och näringslivet inom cybersäkerhetsområdet är av stor vikt, som vi har varit inne på tidigare. Mycket av den samhällsviktiga verksamheten ägs och drivs av näringslivet, och det pågår samverkansprogram för att arbeta med samverkan mellan staten och näringslivet. Det tvärsektoriella näringslivsrådet, som ska vara verklighet, är mycket viktigt vad gäller cybersäkerhet men också generellt för ett starkare civilt försvar. En långsiktig samverkan mellan privata och offentliga aktörer är en central del för att klara av det civila försvaret och krisberedskapen . Näringslivet behöver i ökad utsträckning vara involverat - och känna sig involverat - i arbetet med att säkerställa de viktigaste samhällsfunktionerna. Hur detta ska bli verklighet behöver arbetas fram i nära dialog mellan privata och offentliga aktörer. Här behöver behovet av förberedelser och omfattningen av verksamheten kartläggas och sedan åtgärdas för att säkerställa en rimlig beredskap. Det tvärsektoriella näringslivsrådet är planerat att tillsättas , uppger . vill alltså utveckla och säkerställa resurser både till det nationella cybersäkerhetscentret och till internationella cybersäkerhetssamarbeten. Precis detta har jag hört här att övriga partier vill göra, så låt oss då göra det! Överläggningen var härmed avslutad. (Beslut skulle fattas .)