Mikael Oscarsson (KD):
Det verkar finnas några missförstånd hos justitieministern om idén med en cybersäkerhetsmyndighet. Låt mig inleda med att komma till rätta med dessa missförstånd. Justitieministern säger att det inte är möjligt att skapa en ny myndighet med ett mandat så omfattande att den inte behöver samverka med andra myndigheter. Det är det första missförståndet.
Självfallet ska en cybersäkerhetsmyndighet inte ha något slags enväldigt mandat som förhindrar samverkan med andra myndigheter. Justitieministern säger vidare i sitt svar att det inte är möjligt att skapa en ny myndighet som kan överta det ansvar som vilar på varje verksamhetsutövare. Det är missförstånd nummer två. Självfallet ska en cybersäkerhetsmyndighet inte överta något som helst ansvar från verksamhetsutövaren.
I stället ska myndigheten verka för att en mer sammanhållen och enhetlig reglering och tillsyn träffar verksamhetsutövaren så att resurserna kan läggas på bra cybersäkerhet i stället för på ändlösa analyser och tolkningar av regleringar.
Justitieministern säger slutligen i sitt svar - och här har jag den sista invändningen - att informationssäkerhet inte kan "betraktas som en separat verksamhet; det är en del av - och en förutsättning för - nästan allt annat i dagens samhälle". Det är det tredje och sista missförståndet. Informations- och cybersäkerhet måste genomsyra allt; det är självklart. Det är ingen separat verksamhet.
Det cybersäkerhetsmyndigheten ska göra är just detta: tillse att säkerheten verkligen kan genomsyra allt på ett kostnadseffektivt och ändamålsenligt sätt. Det är inte fråga om en centralisering av det ansvar varje verksamhetsutövare har för sin egen säkerhet.
I dag träffas företag, kommuner, statliga myndigheter, landsting och alla organisationer av en ständigt ökad reglering. Denna reglering inriktas nästan alltid på ett perspektiv åt gången. Det kan vara dataskydd för personuppgifter, driftssäkerhet, säkerhetsskydd och så vidare, men regleringen följer nästan alltid samma mönster och kräver nästan samma sak. För det första, herr talman, ska viktig information eller viktiga system identifieras.
För det andra ska analyser av risk genomföras. För det tredje ska tekniska och administrativa säkerhetsåtgärder införas. Slutligen ska incidenter rapporteras. För en teleoperatör, till exempel, kan ett enda it-system stå under en handfull olika detaljerade regleringar kopplade till cybersäkerheten.
I stället för att kunna hantera systemets säkerhet sammanhållet tvingas operatören att i praktiken ha separata stuprör - det känns bekant - som svar på den detaljerade regleringen. Operatören tvingas till fem olika riskanalyser för it-systemet i stället för en . Det krävs olika interna lösningar för att försöka leva upp till alla dessa fragmenterade rättsliga krav.
Hela organisationer får byggas upp inom kommuner, statliga myndigheter och landsting för att hantera de olika säkerhetskraven. Ett exempel är dataskyddsförordningen, GDPR, en ny reglering som främst berör cybersäkerhetsområdet och som återigen gett upphov till nya organisationer, nya analyser och nya sätt att leda och styra cybersäkerheten internt. Varför ser det ut så här, justitieministern?
Jo, anledningen är att Sverige saknar ett sammanhållet grepp om landets cybersäkerhet. Situationen är akut. Medan de organisationer jag räknade upp paralyseras av allt analyserande som regeringen kräver förbereder angripare nästa angrepp. Det som krävs är en cybersäkerhetsmyndighet som får ett sammanhållningsansvar för cybersäkerheten i Sverige.