7 
  
 Strategi för ökad  
  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 7.1 
  
 Bakgrund 
  
 7.1.1 
  
 Samhällets beroende av informationsteknik (IT) 
  
 Utvecklingen inom informationsteknik (IT), dvs. teknik för in- samling, lagring, bearbetning och överföring av information med elektroniska medel, har på kort tid förändrat samhället. IT har blivit ett bekvämt hjälpmedel i många olika sammanhang och utgör grunden för teknik som var svår att föreställa sig för bara något de- cennium sedan. De positiva effekterna berör de allra flesta i sam- hället från privatpersoner till näringsliv och offentlig verksamhet. Det är viktigt att denna utveckling kan fortsätta för att även i framtiden bidra till frihet och ökade möjligheter. 
 En annan sida av utvecklingen är att samhället har blivit starkt beroende av IT. IT har blivit den viktigaste komponenten för in- formationsförsörjning, oavsett om det gäller information till pri- vatpersoner, företagsinformation, teknisk information till styrsy- stem för andra teknikområden, eller någon annan typ av informa- tion. Information är en av de mest värdefulla tillgångarna i dagens samhälle. Den behöver skyddas likaväl som de fysiska tillgångarna. Viktiga samhällsfunktioner kan bli svårt störda, med i värsta fall katastrofala följder, om deras  
 IT-stöd 
  skulle störas eller slås ut. IT är i sig beroende av områdena elförsörjning och telekommunika- tioner för sin funktion (telekommunikationer kan med ett visst synsätt även betraktas som en del av IT), men IT utgör ändå något väsentligt mer än dessa båda områden tillsammans. Det är därför motiverat att betrakta IT som ett separat men samtidigt tvärsekto- riellt område som behöver ägnas särskild uppmärksamhet ur kris- hanteringens alla aspekter. 
 187 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 SOU 2001:41 
  
 Mot bakgrund av ovanstående finner utredningen det lämpligt att betrakta många av samhällets  
 IT-komponenter 
  som delar i en  
 IT-infrastruktur. 
  De delar som ingår är sådana som kan kommuni- cera genom något yttre nätverk, t.ex. Internet. Däremot ingår inte fristående datorer eller interna nätverk utan externa förbindelser. Men när en dator genom ett modem ansluts till omvärlden är den att betrakta som en del av det yttre nätverket och därmed en del av samhällets  
 IT-infrastruktur. 
  Se avsnitten 6.1.1 och 6.4. 
 IT är ett globalt område. Med Internet får man kontakt med organisationer och personer på andra sidan jordklotet lika enkelt som om de befann sig i en omedelbar geografisk närhet. Med den gränslöshet som  
 IT-området 
  präglas av, följer ett starkare behov av internationellt samarbete jämfört med andra områden, inte minst vad gäller  
 IT-säkerhet 
  och krishantering. 
 Tempot i utvecklingen på  
 IT-området 
  är mycket högt, vilket i grunden är positivt. Detta medför dock att nya produkter med täta mellanrum kommer ut på marknaden utan att de säkerhetsmässiga följderna på förhand är kända. Ur marknadens perspektiv kan detta te sig som en nödvändighet. Marknaden efterfrågar en ständigt ut- ökad funktionalitet. Efterfrågan på  
 IT-säkerhet 
  är inte alls lika stor.  
 IT-företagen 
  måste tillgodose marknadens behov, och helst även skapa nya, för att inte snabbt slås ut. Så länge inte  
 IT-säkerhet 
  efterfrågas av marknaden i samma omfattning som funktionalitet, kommer denna att förbli sekundär. 
 Ser man till samhällets behov av skydd är detta ett problem. Kopplat till samhällets starka  
 IT-beroende 
  utgör bristande IT- säkerhet en potentiellt mycket stor sårbarhet. I och med att inte bara näringslivet utan hela samhället kan påverkas av de följder som kan uppstå p.g.a. bristande  
 IT-säkerhet, 
  kan samhället inte enbart förlita sig på att marknaden kommer att lösa problemen. Den offentliga sektorn med staten i spetsen måste enligt utredningens uppfattning ta ett stort ansvar och tillsammans med näringslivet agera kraftfullt för ökad  
 IT-säkerhet. 
  Staten måste därmed vidta ett antal åtgärder för att tillgodose samhällets behov av  
 IT-säkerhet 
  på de områden där inte marknaden till alla delar kan hantera proble- men. 
 Avsnitt 7.2 är utredningens förslag till övergripande strategi för samhällets hantering av  
 IT-säkerhet. 
  Strategin bygger på proposi- tionen  
 Ett informationssamhälle för alla 
 . 
 1  
 Avsnittet innehåller inga egentliga förslag, utan skall ses som en bakgrund till de efterföl- 
  
 1  
 Prop. 1999/2000:86, bet. 1999/2000:TU9, rskr. 1999/2000:256 
 188 
  
 SOU 2001:41 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 jande avsnitten. För att symboliskt markera avsnittets strategiska prägel och att det därmed skiljer sig från de övriga avsnitten ligger en särskild kantlinje i vänstermarginalen. 
 Utredningen föreslår att följande statliga funktioner inrättas: ett tvärsektoriellt samordningsorgan, en utpekad myndighet med övergripande ansvar för samhällets  
 IT-säkerhet, 
  en teknikkompe- tensfunktion, en  
 IT-incidenthanteringsfunktion 
  och en omvärlds- analysfunktion. Utredningens förslag till hur dessa funktioner skall arbeta återfinns i avsnitten  
 7.3–7.6. 
  
 En viktig förebyggande och förtroendeskapande åtgärd är att evaluera och certifiera säkerhet i  
 IT-produkter. 
  Utredningen finner det väsentligt att Sverige etablerar ett system för evaluering och certifiering, liksom att Sverige ansluter sig till den internationella överenskommelse mellan högt utvecklade länder om att ömsesidigt erkänna varandras utfärdade certifikat. Detta diskuteras närmare i avsnitt 7.7. 
  
 7.1.2 
  
 Vissa begrepp 
  
 Det finns många begrepp med snarlik innebörd, där det är oklart vari skillnaden består.  
 IT-säkerhet 
  och informationssäkerhet är två sådana begrepp. Informationssäkerhet är det övergripande begrep- pet, vilket omfattar  
 IT-säkerhet 
  och administrativ säkerhet som är relaterad till hantering av information i olika verksamheter. IT- säkerhet är skydd av information i informationsbehandlande tek- niska system, vilket kan delas upp i datasäkerhet  
 (ADB-säkerhet) 
  och kommunikationssäkerhet. Administrativ säkerhet avser regler för personal, säkerhetsklassning av information, m.m. Begreppen är definierade i Informationstekniska standardiseringens (ITS) rapport  
 Terminologi för Informationssäkerhet 
 . 
 2 
  
 Informationsoperationer och informationskrigföring är två andra begrepp som ligger nära varandra. Informationsoperationer (IO) är det övergripande begreppet, vilket är samlade och samord- nade åtgärder i fred, kris och krig till stöd för ekonomiska, poli- tiska eller militära mål genom att påverka eller utnyttja en mot- ståndares eller annan aktörs information och informationssystem och samtidigt skydda egen information och egna informations- system. Detta benämndes förr informationskrigföring (Informa- tion Warfare, IW), men p.g.a. de felaktiga associationer som ledet krigföring fört med sig, har informationskrigföring övergått till 
  
 2  
 Rapport ITS 6, mars 1994 
 189 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 SOU 2001:41 
  
 att beteckna den delmängd av informationsoperationer som bedrivs i kris och krig. Informationsoperationer behöver dock inte alls ha någon koppling till krig eller förberedelser för krig. En aktör kan välja att använda informationsoperationer för att uppnå sina syften utan att ha några som helst avsikter att övergå till väpnat angrepp. Därmed är skydd mot informationsoperationer en uppgift även för det civila samhället. 
 De defensiva aspekterna av informationsoperationer kallas in- formationssäkring (Information Assurance, IA), vilket innebär skydd av den egna informationen och de egna informations- systemen mot en angripares offensiva informationsoperationer. En skillnad mellan informationssäkring och informationssäkerhet är i vilket perspektiv man ser problemet. I informationssäkerhet har man valt ett nerifrån och  
 upp-perspektiv 
  med tekniken som kärna och administrativ säkerhet som ett viktigt komplement. I informa- tionssäkring har man i stället valt ett uppifrån och  
 ner-perspektiv 
  med säkerhets- och försvarspolitik för ögonen, där helhetssynen är viktigare än de tekniska detaljerna. Det kan diskuteras på vilket sätt valet av perspektiv påverkar innehållet i begreppen och vilka skill- naderna blir i de praktiska åtgärderna som vidtas. Oavsett hur man ser på detta står det klart att  
 IT-säkerhet 
  är en grund för såväl in- formationssäkring som informationssäkerhet, och att berörings- ytorna mellan  
 IT-säkerhet, 
  informationssäkerhet, informationssäk- ring, informationsoperationer och informationskrigföring är så stora att en nationell strategi måste beakta dessa frågor i ett sam- manhang. Detta har också regeringen framhållit i propositionen  
 Ett informationssamhälle för alla . 
  
 3 
  
 Dagens hotbild avseende informationsoperationer mot Sverige är svårbedömd. Inga allvarliga incidenter har inträffat som skulle tyda på att en angripare med samlade och samordnade medel söker påverka svenska informationssystem på bred front. Detta behöver dock inte betyda att hotbilden inte existerar vare sig nu eller i framtiden. Aktörer, t.ex. stater, kan bygga upp en kapacitet att ut- föra offensiva informationsoperationer betydligt mer obemärkt och till en betydligt lägre kostnad än de kan bygga upp en mot- svarande offensiv militär kapacitet. Dessutom saknar geografiska avstånd betydelse. 
 Även om sannolikheten för ett informationsoperationsangrepp mot Sverige med omfattande, allvarliga konsekvenser är svårbe- dömd, är konsekvensutfallet av en sådan magnitud att samhället 
  
 3  
 Prop. 1999/2000:86, bet. 1999/2000:TU9, rskr. 1999/2000:256 
 190 
  
 SOU 2001:41 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 enligt utredningens uppfattning knappast kan negligera denna typ av risk. Ett osannolikt men inte orealistiskt exempel, utgående från en verklig händelse, kan illustrera denna risk. Den verkliga händel- sen är att den 29 och 30 januari 2001 utfärdade det amerikanska företaget Verisign av misstag två certifikat 
 4  
 utställda på Microsoft till en okänd person. Med dessa certifikat kan den okända personen sprida program som bevisligen är producerade av Microsoft. Vad dessa program gör vet ingen. 
 I det hypotetiska fallet är en angripare, som kan vara t.ex. en maffiaorganisation eller en illasinnad nation, den okända mottaga- ren, som dessutom utan att det upptäckts lyckats erhålla fler falska certifikat. Angriparen har lyckats placera programmen tillgängliga från en webbsida som ser ut att vara Microsofts. Programmen ser ut som om de reparerar säkerhetsbrister i Windows NT. Sådana program hämtar systemförvaltare regelbundet. Programmen gör visserligen det de lovar, men öppnar dessutom en tillfällig bakdörr och skickar ett meddelande till angriparen var de har installerats. Angriparen går då in genom de tillfälliga bakdörrarna, etablerar permanenta bakdörrar, byter ut de felaktiga programmen mot äkta vara och avslutar med att städa alla övriga spår. Därigenom har an- griparen fått kontroll över samtliga system där de falska program- men installerats. Genom andra metoder än denna har angriparen även lyckats få motsvarande kontroll över ett stort antal andra sy- stem, varav flera är centrala i samhällsviktiga funktioner. Detta upptäcks inte eftersom angriparen inte avser att utnyttja kontrollen förrän långt senare samlat och samordnat. Angriparen kan därmed samtidigt allvarligt störa eller slå ut flera centrala funktioner i sam- hället såsom politisk ledning, teleföretag, banker osv. Genom det samtidiga förloppet är det inte säkert att det går att reparera eller ens upptäcka grundproblemet innan samhället har tvingats till eftergifter för angriparen eller i värsta fall helt kollapsat. Exemplet visar att konsekvenserna av ett litet misstag kan bli så stora att samhället måste ha en möjlighet att hantera denna typ av problem även om sannolikheten att de skall inträffa är liten. 
  
 4  
 Detta slags certifikat skall inte blandas samman med de certifikat för  
 IT-produkter 
  som diskuteras i avsnitten 7.4.5 och 7.7 
 191 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 SOU 2001:41 
  
 7.1.3 
  
 Tidigare utredningar 
  
 Två statliga uppdrag har tidigare berört  
 IT-säkerhet 
  i ett helhets- perspektiv.  
 Arbetsgruppen för skydd mot informationskrigföring 
  
 (AgIW) presenterade 19 augusti 1998 i sin Rapport 2 
 5  
 en strategi och ansvarsfördelning för skydd mot informationsoperationer (då benämnt informationskrigföring) med tio förslag: 
 En samordningsgrupp på hög nivå inom Regeringskansliet 
 En ny nationell  
 IO-samordning 
  inom Överstyrelsen för civil beredskap (ÖCB) 
 En s.k. StatsCERT under Post- och telestyrelsen (PTS) med stöd av Rikspolisstyrelsen (RPS) 
 Inrättande av en statistikenhet i dialog med Näringslivets säkerhetsdelegation (NSD) 
 Rapporteringsplikt för  
 IT-relaterade 
  incidenter inom statsför- valtningen 
 Försvarsmaktens mandat beträffande signalskyddstjänsten gentemot totalförsvaret – vilket förvaltas av TSA – vidgas till att även omfatta civila informationssystem av betydelse för to- talförsvaret 
 En aktiv  
 IT-kontrollfunktion 
  för statsförvaltningen med För- svarsmakten som bas 
 Författningsändringar i datalagen m.m. initieras snarast Mediebevakning på  
 IT-området 
  
 Förändrade samverkansformer, delgivning, utbildning m.m. på underrättelseområdet vad avser  
 IO-information 
  
 Dessa förslag behandlades av regeringen i propositionen Förändrad omvärld – omdanat försvar. 
 6 
  
 PTS fick senare, som följd av AgIW:s förslag, i uppdrag att ut- reda förutsättningarna för att inrätta en särskild funktion för IT- incidenthantering. I en rapport daterad 28 november 2000 presen- terade PTS sina överväganden och förslag. Utredningen kommen- terar denna rapport i avsnitt 7.5. 
 Det andra övergripande uppdraget hade  
 Statskontoret 
 , som 24 juni 1998 presenterade sin rapport  
 Sammanhållen strategi för sam- hällets  
  
 IT-säkerhet 
 . 
 7 
  
 Detta uppdrag utfördes vid samma tid som AgIW utförde sitt uppdrag. AgIW och Statskontoret hade mellan sig dragit skiljelinjen så att Statskontoret inriktade sig mot hotbil- 
  
 5 
  
 Öppet utdrag ur hemligstämplad rapport 29 maj 1998, FO98 1297/MIL 
  
 6 
  
 Prop. 1998/99:74 
  
 7 
  
 Statskontoret 1998:18 
  
 192 
  
 SOU 2001:41 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 den från enskilda personer upp till organisationer och företag i fredstid, medan AgIW hade hela hotbilden i kris och krig samt hotbilden stater och pakter i fredstid. Resultaten av de båda upp- dragen företer stora likheter, med förslag som i stora drag stämmer överens med varandra. Även Statskontoret lade förslagen om att ÖCB skall ges en samordnande roll och att lagstiftningen skall ses över. Statskontoret föreslog också en statistikfunktion och en statlig incidenthantering. Statskontoret indikerade därvid att man borde överväga att göra rapporteringen obligatorisk för statliga myndigheter. Vidare föreslog Statskontoret att PTS skulle ges i uppdrag att ta initiativ till att åtgärder snarast vidtas för att erhålla en säkrare infrastruktur för Internet i Sverige. PTS fick i regler- ingsbrevet år 2000 av regeringen i uppdrag att utreda möjligheterna vidare. PTS redovisade 31 maj 2000 sina förslag till åtgärder i rapporten  
 Drift av Internet i Sverige oberoende av funktioner utom- lands 
 . 
 8  
 I regleringsbrevet år 2001 har PTS fått tre uppdrag som följer på denna rapport. 
 Statskontorets förslag behandlades av regeringen i propositionen 
 Ett informationssamhälle för alla 
 . 
  
 9  
  
 I denna proposition gjorde regeringen bedömningen att en tvärsektoriell samordning för IT- säkerhet och skydd mot informationskrigföring bör utformas. Det ingår i Sårbarhets- och säkerhetsutredningens direktiv att föreslå hur utformningen skall göras. Regeringen gjorde vidare bedöm- ningen att för den närmaste framtiden bör tre områden prioriteras: skydd mot informationsoperationer, ett säkrare Internet samt elektroniska signaturer och annan säkerhetsteknik. 
  
 Utöver de två nämnda övergripande statliga uppdragen, fick företaget Scott Sverige AB (numera Cell Network AB) 1999 i uppdrag från Försvarsdepartementet att bidra till ökad förståelse för informationsoperationer och strategiskt nationellt  
 IT-skydd. 
  Resultatet blev en rapport 21 december 1999  
 Nationella strukturer för skydd mot informationsoperationer 
 . 
 10  
 Scott fann att ett antal funktioner behöver inrättas: en statistikfunktion, en hjälpfunktion, en analysfunktion, en  
 IT-säkerhetsfunktion 
  och en aktiv IT- kontrollfunktion. 
  
 8 
  
 PTS dnr  
  
 00-8824 
  
 9 
  
 Prop. 1999/2000:86, bet. 1999/2000:TU9, rskr. 1999/2000:256 
  
 10 
  
 Fö. 1999/3025/EC/RC 
  
 193 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 SOU 2001:41 
  
 7.2 
  
 Vision och strategi 
  
 7.2.1 
  
 Vision: Sverige skall vara ett föredöme inom IT- säkerhet 
  
 En strategi för  
 IT-säkerhet 
  kopplad till informationssäkerhet och till den nationella informationsinfrastrukturens säkerhet handlar om hur nationens befintliga, förändrade och nytillkommande resurser skall utnyttjas samordnat för att säkerställa tilliten till hantering av information. Motivet för  
 IT-säkerhetsstrategin 
  är att underlätta att skapa ett säkert informationssamhälle för alla. 
  
 IT-säkerhetsstrategin 
  utgör en grund för informationssäkerhet och säkerhet i total betydelse.  
 IT-säkerhetsstrategin 
  utgör också en av utgångspunkterna för en nationell strategi för skydd mot infor- mationsoperationer. Lika nödvändigt som det är att i fred bygga upp ett militärt försvar är att i fred förbereda skydd av samhället mot informationsoperationer. Därför måste den grundläggande  
 IT-säkerheten 
  utformas så att en smidig omställning av samhället kan ske för att snabbt skydda mot allvarliga informationsattacker. 
 Samhällets  
 IT-säkerhet 
  har stor betydelse för alla politikområ- den. Ingen säkerhet är hundraprocentig, men de risker man tar skall vara medvetna och kvarvarande brister skall vara kända och motiverade. 
 Övergripande  
 IT-politiska 
  mål är att utveckla Sverige som en ledande IT- och Internetnation och att Sverige blir ett informa- tionssamhälle för alla. Därför prioriteras tilliten till IT, kompeten- sen att använda IT samt tillgängligheten till informationssamhällets tjänster. För detta krävs att Sverige agerar föredömligt på  
 IT-säker- 
  hetsområdet. 
  
 7.2.2 
  
 Ansvar för  
  
 IT-säkerhet 
  
 Varje enskild myndighet, organisation eller företag svarar för att den egna informationsbehandlingen sker med betryggande säker- het. Detta medför att varje organisation i den offentliga förvalt- ningen och i näringslivet på en övergripande nivå skall kunna iden- tifiera, bedöma och hantera sitt beroende av IT och de risker som finns förknippade med användningen av IT. 
  
 IT-säkerhet 
  är till sin natur tvärsektoriell. För att åstadkomma ett helhetsperspektiv och en avvägd säkerhet mellan olika samhälls- områden krävs en tvärsektoriell samordning genom samverkan och 
 194 
  
 SOU 2001:41 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 samråd kännetecknad av förtroende, kompetens och bästa resurs- utnyttjande. 
 Riksdag och regering har ett övergripande helhetsansvar för samhällets informationsförsörjning och därmed även för informa- tionssäkerhet främst när det gäller samhällsviktiga funktioner. Detta ansvar gäller lagstiftning och andra regelverk, den offentliga verksamhetens struktur, samordningsorgan och stödfunktioner för att skapa ett helhetsperspektiv. Ansvaret innebär också att staten skall främja uppbyggnaden av en grundläggande förmåga hos såväl samhällets myndigheter som kommunal förvaltning och näringsliv att hantera  
 IT-säkerhet. 
  Detta fråntar dock aldrig de enskilda orga- nisationerna ansvaret för sin egen  
 IT-säkerhet. 
  
 7.2.3 
  
 Säker teknisk infrastruktur 
  
 Samhällsviktiga funktioner inom alla samhällssektorer skall så långt möjligt skyddas från störningar och fungera störningsfritt såväl i fred som under svåra påfrestningar i samhället och i krig. Varje av- brott eller manipulation av dessa kritiska funktioner måste vara be- gränsat, sällan förekommande, hanterbart, isolerat och i så liten utsträckning som möjligt skadligt för nationens väl. 
 Risker måste kunna hanteras. Alternativa möjligheter har avgö- rande betydelse för att minska sårbarheten. För att kunna hantera frågor om infrastrukturens sårbarhet behöver viktiga system och nätverk identifieras och värderas. Kontinuerliga sårbarhetsanalyser och samlade bedömningar skall leda fram till prioriterade åtgärds- förslag, genomförande och uppföljning. 
 En mycket viktig del i samhällets  
 IT-säkerhet 
  är en säker infra- struktur för Internet. Sverige skall kunna bibehålla funktio- naliteten och användbarheten hos Internet oberoende av funk- tioner och system som är placerade utanför landet eller som av andra skäl är utanför svensk kontroll. Med detta avses att Internet skall kunna användas för i huvudsak normal kommunikation mellan privatpersoner, offentlig verksamhet, företag och organisationer. 
 7.2.4 Grundläggande krav för  
 IT-säkerhet 
  
 Krav på  
 IT-säkerhetsåtgärder 
  
 All offentlig förvaltning skall bedrivas med betryggande säkerhet i internt arbete, arbete mellan myndigheter, arbete gentemot med- 
 195 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 SOU 2001:41 
  
 borgarna och internationellt. Förvaltningen skall erbjuda en hög servicegrad och kunna nås elektroniskt samt kunna erbjuda tjänster för spridning och hämtning av information via allmänna kommuni- kationsmetoder. Detta skall ske med god tillförlitlighet, tillgänglig- het och säkerhet. Det skall gå att säkert kommunicera inom landet och med omvärlden. Elektroniska affärer skall kunna bedrivas säkert. Ett informationssamhälle för alla förutsätter även att hela den infrastruktur som informationen beror av är säker och har hög tillgänglighet. Krav ställs på förebyggande säkerhetsåtgärder, på säkerhetsåtgärder vid upptäckt av intrång och på reaktiva åtgärder. Säkerhetsåtgärderna skall medge upptäckt vid försök till intrång samtidigt som de skall ge tillräckligt med tid för att hindra eller begränsa intrånget. 
 Tilltron till ny informationsteknik är i mycket stor grad bero- ende av tilltron till de tekniska systemens säkerhet. Det inkluderar tilltro till att systemen bevarar och garanterar sekretess, äkthet och riktighet avseende den information som hanteras. I förvaltnings- sammanhang är detta viktigt, inte minst för den personliga integri- teten och medborgarnas trygghet. 
 Informationssäkerhet kräver helhetsperspektiv. Informationssäkerhet skall vara tvärsektoriell. 
 I informationsåldern omvandlas samhället från sektorer till nätverk. Detta kräver ett helhetsperspektiv på samhället. Säkerhetsarbetet blir gränslöst när gränserna mellan olika system suddas ut. Nätet har inte ett finare skydd än sin största maska, varför det behövs en gemensam grundläggande säkerhetsnivå i nätverkssamhället. 
 Enskild och offentlig verksamhet måste tillsammans sträva efter att höja denna säkerhetsnivå för att motstå verkan av samordnade angrepp på flera viktiga delar av samhället samtidigt. Informations- säkerheten skall hanteras tvärsektoriellt eftersom angreppen till sin karaktär kan vara samlade och samordnade. Nätet måste också vara tillräckligt starkt i varje viktig del för att allvarliga spridnings- effekter skall undvikas. 
 196 
  
 SOU 2001:41 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 Säkerhetsmedvetenhet skall prägla all utveckling och förändring inom  
 IT-området. 
  
 En god säkerhetsmedvetenhet är av grundläggande betydelse för informationssamhället. Säkerhetsfrågorna måste beaktas redan från första början vid all utveckling inom  
 IT-området. 
  Säkerhetsfunk- tioner som måste tillföras i efterhand innebär problem och ökade kostnader. 
 Säkerhetskrav grundas på fyra pelare: människor, regler, teknik och organisation. 
 En god helhetssyn förutsätter att säkerheten för vardera männi- skor, regler, teknik och organisation är god och att säkerhets- nivåerna är harmoniserade och avvägda mot varandra. Det hjälper inte att exempelvis den tekniska säkerheten är hög om något av de tre andra områdena är förbisett i väsentligt avseende. Människors säkerhetsmedvetenhet och kompetens har stor betydelse. Regler och organisation är också grundläggande. 
  
 7.2.5 
  
 Strategiska uppgifter 
  
 Tvärsektoriell samordning på nationell nivå 
 Det övergripande arbetet med  
 IT-säkerhet 
  kräver en samordning som också är nödvändig för att skapa ett skydd mot informations- operationer. Angrepp mot svenska  
 IT-system 
  kan vara samordnade och samtidigt slå mot flera sektorer i samhället. Osäkerheten om var och hur hot och störningar kan uppstå ökar behovet av en sam- ordnande instans med överblick och kunskap om hur incidenter och konsekvenser skall hanteras och som kan vidta förebyggande åtgärder. P.g.a. den hastighet och de spridningseffekter  
 IT-angrepp 
  kan uppvisa, måste den nationella samordningen ha gemensam överblick och förmåga att med stor snabbhet hantera dynamiska skeenden. 
 Ett tvärsektoriellt samordningsorgan skall ansvara för sektors- övergripande frågor såsom behovsanalys och avvägningar mellan sektorer varunder viktiga verksamheter inom samhällets informa- tionsinfrastruktur sorterar. Organet skall därför utgöra ett viktigt stöd till bl.a. Regeringskansliet för snabbt införande av de förslag och åtgärder som befinns påkallade. Organet kan i vissa lägen även 
 197 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 SOU 2001:41 
  
 vara operativt. Alla delar av samhället behöver kunna representeras på hög nivå för en bred samverkan mellan privat och offentlig sektor. 
 Syftet med den tvärsektoriella samordningen och rådgivningen 
 är 
 att bedöma sårbarhet och hotbild och förändringar av hotbilden med underlag från incidentanalys och övergripande omvärldsanalys 
 att föreslå hur sårbarheten och hotbilden kan omsättas i plane- ringstermer och optimal resursfördelning för skydd av berörda samhällssektorer 
 att föreslå åtgärder som kan omsättas i förebyggande verksam- hetsstöd i form av råd och rekommendationer om  
 IT-säkerhet 
  att åstadkomma en bred helhetssyn i förebyggande syfte, vid kriser och svåra  
 IT-störningar 
  och vara rådgivande till Regeringskansliet 
 att utgöra en krishanteringsresurs vid svåra  
 IT-störningar 
  i samhället. 
  
 IT-incidenthantering 
  
 Syftet med ett centralt stöd för  
 IT-incidenthantering 
  är att i realtid eller nära realtid tillse att attacker mot datasystem avstyrs och upp- hör, samt stödja återställande av systemen vid större attackföretag. Incidentstödet skall ha översikt och kunskaper om  
 IT-hot 
  och IT- säkerhet i ett helhetsperspektiv. Förmåga krävs att kunna skilja okvalificerade och osystematiska intrångsförsök från kvalificerade och systematiska angrepp. Säkerhetsproblem som oklara fel, större avvikelser, incidenter och återstart av system som inte klaras ut av enskilda systemägare skall kunna hanteras. Kvalificerad rådgivning från en hjälpcentral skall kunna lämnas. Ansvaret kvarstår dock ytterst alltid hos systemägaren. 
 Samhällsviktiga funktioner skall ha tillgång till centralt stöd för  
 IT-incidenthantering. 
  Både enskild och offentlig verksamhet om- fattas, eftersom viktiga delar av samhällets infrastruktur drivs i privat regi. Nationellt samarbete är väsentligt eftersom många funktioner är sammankopplade. Varning och larm måste kunna ske så tidigt som möjligt. Internationellt samarbete med utländska motsvarigheter bidrar till snabbare uppbyggnad av kompetensen inom  
 IT-incidenthantering. 
  För att representera Sverige internatio- nellt behöver funktionen ges offentlig status. 
 198 
  
 SOU 2001:41 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 Bearbetning av statistik över  
 IT-incidenter 
  skall medverka till kartläggning av bl.a. typer av intrång och deras inverkan på sårbar- het och betydelse för säkerheten. Detta kräver att en statistikfunk- tion gör en samordnad insamling, uppföljning och utvärdering av vad som framkommit vid de statliga myndigheternas  
 IT-säkerhets- 
  arbete. Statistikfunktionen skall vara en integrerad del i funktionen för  
 IT-incidenthantering. 
  Till en sådan statistikfunktion skall statliga verksamheter åläggas att rapportera alla definierade  
 IT-inci- 
  denter. Incidentrapporter skall efter den centrala bearbetningen återremitteras till systemägaren för att kunna utgöra underlag för skyddsåtgärder. 
 Kommuner, landsting och privata företag bör genom avtal kunna ansluta sig till den centrala funktionen. En förutsättning att så sker är att den centrala funktionen bygger upp ett grundmurat förtroende som leder till att partnerskap kan etableras mellan de offentliga och privata sektorerna. Information måste kunna lämnas utan att svagheter blottställs som missgynnar förtroende och affärsverksamhet. 
 Incidentanalys 
 Incidentanalyserna baseras på uppgifter från det akuta incident- stödet, från statistik över incidenter och från samverkan med inter- nationella organisationer som producerar varningar. Analyserna utgörs av djupgående tekniska undersökningar. Hot och risker skall kunna identifieras beträffande datorutrustning, program och nätverkssystem. 
 Varningar skall kunna utfärdas till bl.a. de trafikförmedlande operatörerna i händelse av överhängande hot. Den samordnade värderingen av tillgänglig information skall kunna resultera i såväl prognoser som strategiska varningar. I de delar näringslivet med- verkar är det helt avgörande att känslig information om företags- specifika förhållanden inte sprids. 
 Övergripande omvärldsanalys 
 Förändringar av hot och sårbarheter på  
 IT-området 
  måste kunna följas nationellt och internationellt med hjälp av strategiska och taktiska omvärldsanalyser som får stöd av civila och militära under- rättelse- och säkerhetsfunktioner. Omvärldsanalysen med sikte på 
 199 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 SOU 2001:41 
  
 IT-säkerhet 
  har även anledning att ur ett helhetsperspektiv upp- märksamma besläktad utveckling inom  
 IT-relaterade 
  medier som kan rubriceras som desinformation, psykologiska operationer eller andra former av informationsoperationer i dess vidaste bemärkelse. 
 Omvärldsanalyserna skall sammansättas med incidentanalyser för att utröna aktörer, metodik och motiv för intrång. Hotbilder skall sammansatta med  
 IT-sårbarhet 
  i samhället möjliggöra bedöm- ning av sannolikhet och risk för angrepp och konsekvenser härav. 
 Hotbilder skall identifieras som anger 
 tänkbara angripares identiteter och avsikter 
 tänkbara tekniker, metoder och förmågor för angrepp tänkbara mål, allt ifrån nationell till individuell nivå. 
 Aktiv  
 IT-kontroll 
  
 Aktiv  
 IT-kontroll 
  syftar till att genom verkliga intrångstester på- visa säkerhetsbrister och svaga punkter i de aktuella  
 IT-systemen. 
  Efter att svaga punkter identifierats är det av stor vikt att dessa analyseras och ligger till grund för konkreta förslag på skyddsåt- gärder. Detta är viktiga led för att förbättra  
 IT-säkerheten, 
  inte minst genom den uppmärksamhet som normalt uppkommer hos systemförvaltare vid aktiv  
 IT-kontroll. 
  Uppmärksamheten höjer medvetenheten och intresset, vilket i sig är säkerhetsbefrämjande. 
 Aktiv  
 IT-kontroll 
  skall utövas i en funktion med hög teknisk kompetens, som skall kunna vara en resurs inom hela statsförvalt- ningen men även kunna stödja samhället i övrigt enligt en övergri- pande inriktning. 
 Förebyggande verksamhetsstöd 
 I förebyggande syfte skall sammanhållna råd och rekommendatio- ner inom  
 IT-säkerhetsområdet 
  snabbt kunna göras tillgängliga för enskild och offentlig verksamhet och utgöra stöd för det distribue- rade ansvaret bland samhällets  
 IT-användare. 
  Det skall medverka till att göra den offentliga förvaltningen till en effektiv och säker användare och föregångare på  
 IT-området 
  med bibehållna krav på insyn, på sekretess och säkerhet samt på skydd av enskildas per- sonliga integritet. 
 Kunskap inom  
 IT-säkerhet 
  ställer krav på program för utbild- ning och ständig vidareutveckling. Det är av stor vikt att ledning- 
 200 
  
 SOU 2001:41 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 arna inom såväl enskild som offentlig verksamhet tar ett särskilt ansvar för att deras anställda ges lämplig utbildning i  
 IT-säkerhet. 
  
 Alla som är förvaltningsansvariga för system eller information av samhällsviktigt slag skall göra regelbundna risk- och säkerhetsana- lyser med upprättande av handlingsplaner för ett kontinuerligt säkerhetsarbete. Dessa planer skall utgöra en del av revisionen. Därigenom blir frågorna samtidigt ledningsfrågor för exekutiv led- ning och styrelse utan att något omfattande regelverk behöver till- skapas. Erfarenhet och metodik att upprätta handlingsplaner kan utnyttjas från arbetet med att förbereda system inför skiftet till år 2000. 
 Samhället i allmänhet och totalförsvaret i synnerhet behöver ha en uppfattning om vilken säkerhetsnivå olika  
 IT-produkter 
  har. Därför behövs ett system för evaluering och certifiering av sådana produkter. 
 Forskning, utveckling och högskoleutbildning 
  
 IT-säkerhetskunskap 
  skall hålla hög kvalitet och vara aktuell i det snabbt föränderliga informationssamhället. En grundläggande för- utsättning för att nationen skall bli ledande på  
 IT-säkerhet 
  är att universitet och högskolor intar en ledande ställning inom forsk- ning, utveckling och utbildning. Kombination av teoretiska kun- skaper med aktuella praktiska erfarenheter och förmåga att utnyttja teori och praktik har en avgörande betydelse. Detta kräver också att universitet och högskolor får ett nära och fruktbärande samar- bete med näringslivet och med de delar av den offentliga verksam- heten som har dagliga uppgifter inom området. Det gäller inte minst grupper som upptäcker incidenter och grupper som genom- för omvärlds- och incidentanalys med anknytning till IT. 
 Lagar och regler 
 Den snabba utvecklingen på  
 IT-området 
  kräver att lagstiftning och andra regelverk utvecklas tillräckligt snabbt. Det bör eftersträvas att skapa ett harmoniserat och sammanhållet regelverk för infor- mationssäkerhet som möjliggör överblick och entydig tillämpning. 
 201 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 SOU 2001:41 
  
 Internationellt arbete 
 Informationssamhället är gränslöst och kräver internationellt sam- ordnade och samverkande organ för att motverka skilda angrepp. Tydliga riktlinjer skall tas fram som kan styra den svenska håll- ningen i strategiskt viktiga frågor avseende det internationella säkerhetsarbetet. Sverige skall aktivt stödja internationella avtal och regler för att främja informationssäkerhet. Sverige skall, grundat på våra principer för specifika intressen, aktivt medverka i sammanhang där frågor om gemensamma standarder och normer för säkerhet, informationsförsörjning och  
 IT-infrastruktur 
  behandlas. 
 Sverige skall aktivt stödja internationella avtal och regler för spårning av obehörig verksamhet inom data- och informations- området. Sådan spårning kan behöva ske över nationsgränser utan tidsfördröjning. Rättssäkerhet och integritet skall beaktas. 
 Sverige skall aktivt stödja internationella avtal och regler för att öka skyddet mot informationsoperationer som kan skada demo- kratiska värden. Informationssäkerhet har stor betydelse för han- tering av informationsoperationer. Frågorna har en plats inom Europeiska unionen och Europarådet. Det är också viktigt att på global nivå kunna skapa en gemensam principiell grund för skydd mot informationsoperationer som kan skada demokratiska värden. 
  
 7.3 
  
 Samordningsorgan för  
  
 IT-säkerhet 
  
 IT-säkerhetsfrågorna 
  har stor betydelse för samhället och är tvär- sektoriella till sin natur. Inom Regeringskansliet berörs flera de- partement av dessa frågor. Detta gäller bl.a.  
 Försvars-, 
 Justitie-, 
  Närings- och Utrikesdepartementen. Så gott som samtliga depar- tement berörs dock indirekt såtillvida att den verksamhet som de är ansvariga för i samhället i större och mindre omfattning är IT- beroende och därför måste säkras mot olika typer av  
 IT-hot. 
  
 På myndighetsnivå föreslås planeringsmyndigheten få ett över- gripande ansvar för  
 IT-säkerhetsfrågorna. 
  I denna uppgift ligger ett ansvar för samordningen av de åtgärder som vidtas på myndighets- nivå för att avvärja  
 IT-hot. 
  Enligt utredningens uppfattning bör en motsvarande samordningsfunktion finnas inom Regeringskansliet. Denna bör ha ett särskilt ansvar för frågor som gäller skydd mot informationsoperationer. Utredningen föreslår därför att ett sam- 
 202 
  
 SOU 2001:41 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 ordningsorgan för  
 IT-säkerhetsfrågor 
  inrättas inom Regerings- kansliet. 
 Samordningsorganet bör även ha uppgifter i akuta situationer vid allvarliga händelser som hotar  
 IT-säkerheten. 
  Uppgiften bör då vara att följa utvecklingen med utgångspunkt från underlag som tas fram av planeringsmyndigheten och andra organ. Samordningsor- ganets uppgift i sådana situationer bör också vara att ta fram underlag för brådskande regeringsbeslut om sådana krävs i den situation som har uppstått. I mycket allvarliga situationer bör sam- ordningsorganet samverka med det nationella krishanteringsorgan som utredningen föreslog i kapitel 5. Ett sådant behov torde främst uppstå om hotet utgörs av informationsoperationer som har stor omfattning eller riktar sig mot särskilt känsliga funktioner i sam- hället. Detta bör också gälla för allvarliga kriser som har ett väsent- ligt inslag av  
 IT-relaterade 
  hot. 
 Samordningsorganet för  
 IT-säkerhet 
  bör bestå av företrädare för olika departement och myndigheter. Företrädare för andra sekto- rer, t.ex. näringslivet, bör också ingå i organet. Organet bör vara en del av Regeringskansliet. I likhet med det nationella krishanter- ingsorganet bör samordningsorganet inte ha några formella be- slutsbefogenheter. Beslut bör normalt tas av berörda myndigheter och andra organ i enlighet med ansvarsprincipen. Samordningsor- ganet har också möjlighet att föreslå att regeringen fattar beslut i vissa frågor. Planeringsmyndigheten bör fungera som kansli åt samordningsorganet. Starka skäl motiverar att planeringsmyndig- heten i egenskap av  
 IT-säkerhetsmyndighet 
  har denna uppgift. 
  
 7.4 
  
 Funktionen för teknikkompetens inom  
  
 IT-säkerhet 
  
 7.4.1 
  
 Allmänt 
  
 Samhället har behov av teknisk expertis för en mängd olika IT- säkerhetsfrågor. Det finns ett övergripande samhällsbehov av ut- veckling, analysförmåga och teknisk rådgivning inom  
 IT-säkerhet. 
  Det finns också hos enskilda myndigheter och företag ett behov av teknisk kompetens inom  
 IT-säkerhet. 
  Den privata konsultmarkna- den har i dag ett brett utbud av tjänster av hög kvalitet på IT- säkerhetsområdet. Myndigheter och företag med behov av tillskott av kompetens på området har all anledning att utnyttja denna resurs. 
 203 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 SOU 2001:41 
  
 Behovet av ökade satsningar på  
 IT-säkerhet 
  understryks av det faktum att flertalet  
 IT-produkter 
  traditionellt inte har utvecklats med beaktande av säkerhet. Tidigare var säkerheten ett marginellt problem. Kostnad och funktionalitet var de två enda parametrarna av väsentligt intresse. I dag är situationen annorlunda när datorerna har kopplats samman i nätverk, med Internet som det riktigt stora globala nätverket. Verkningsfull säkerhet kräver att säkerhets- aspekterna vägs in från början i all utveckling. Men även i dag före- kommer det att  
 IT-produkter 
  utvecklas med bristfällig säkerhet. Det finns också ett stort antal gamla produkter i omlopp. Männi- skan får inte heller glömmas bort i sammanhanget. Även om säker- heten i princip finns och är god i en produkt, kan den kräva en aktiv medverkan av användaren för att kunna utnyttjas. Därför återstår ännu många steg innan alla  
 IT-produkter 
  har en god säker- het som är lätt att utnyttja och som inte är ett allvarligt hinder för funktionaliteten. 
  
 7.4.2 
  
 Motiv för ett statligt engagemang 
  
 Det finns enligt utredningens uppfattning starka skäl som talar för att staten skall kunna erbjuda en hög teknisk kompetens och ett avancerat tekniskt stöd i  
 IT-säkerhetsfrågor: 
  
 Förtroende 
 Försvars- och säkerhetspolitiskt behov av skydd för känsliga uppgifter 
 Garanterad resurs mot informationsoperationer eller andra säkerhetskritiska situationer 
 Officiell samverkan i internationella sammanhang 
 Förtroende 
 De flesta organisationer har hög sekretess kring sina  
 IT-säker- 
  hetsförhållanden. En del organisationer tvekar inför att ge enskilda aktörer det förtroende som krävs för att lösa känsliga säkerhets- problem (liksom det även finns exempel på organisationer som tvekar att ge staten ett sådant förtroende). Organisationen tvingas ta riskerna med att exponera sina allra känsligaste informationssä- kerhetsproblem. Detta problem blir särskilt tydligt för de organi- sationer som själva saknar kompetens på området. Dessa saknar normalt möjlighet att själva bedöma hur seriösa och kompetenta enskilda aktörer är. 
 204 
  
 SOU 2001:41 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 Försvars- och säkerhetspolitiskt behov av skydd för känsliga uppgifter 
 Problemet med förtroende uppkommer också när det gäller säker- hetskritisk teknik för totalförsvaret eller andra kunder i samhället med försvars- eller säkerhetspolitiskt känslig verksamhet. Dessa kunder kan inte i alla lägen förlita sig helt till utbudet av varor och tjänster på marknaden, utan behöver tillgång till teknisk kompetens inom staten för att med en god beställarkompetens så långt det överhuvudtaget är möjligt skydda sig mot avsiktliga eller oavsiktliga säkerhetsbrister. Att utföra uppgifter av betydelse för rikets säkerhet kan inte enbart lämnas till enskilda aktörer på marknaden. 
 Garanterad resurs mot informationsoperationer eller andra säkerhetskritiska situationer 
 Staten behöver säkerställa tillgång till en viss teknisk kompetens att användas bl.a. i säkerhetskritiska situationer. Skulle Sverige t.ex. plötsligt vara utsatt för en informationsoperationsattack kan det vara förödande om det inte finns någon instans med teknisk expertis garanterat tillgänglig. 
 Staten har ett ansvar att hantera skyddet mot informationsope- rationer.  
 IT-säkerhet 
  är en viktig komponent i detta skydd, varför staten måste ha en teknisk kompetens på detta område, att använ- das i förebyggande arbete, vid nationella kriser med  
 IT-inslag 
  eller till att snabbt ta fram skydd mot elakartade program. 
 Officiell samverkan i internationella sammanhang 
 Datakommunikation är i sig en internationell och gränslös förete- else. Därav följer att  
 IT-säkerhet 
  i högsta grad är en internationell fråga. Sverige måste delta i de internationella nätverk som finns och bildas på området. Därför behöver också staten ha en resurs med hög teknisk kompetens för att kunna delta i dessa nätverk och aktivt kunna tillföra kunnande i arbetet. 
 Det finns sålunda skäl att inrätta en statlig eller statligt understödd funktion med hög teknisk kompetens inom IT- säkerhet. Detta får dock inte innebära att staten skall bedriva någon konkurrens på konsultmarknaden. 
 205 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 SOU 2001:41 
  
 7.4.3 
  
 Uppdragsgivare 
  
 Teknikkompetensfunktionen bör arbeta kundorienterat. Uppdra- gen som utförs skall alltid vara beställda direkt av kunden och inte av funktionen själv eller av en tredje part. 
 I princip hela samhället skall kunna vara kunder till funktionen. Den viktigaste målgruppen är dock statliga myndigheter, främst totalförsvarsmyndigheter och myndigheter med särskilda säker- hetsbehov. Kommuner och landsting samt privata företag och organisationer som utgör väsentliga samhällsintressen kan vara en annan målgrupp. Funktionen kommer dock att ha begränsade resurser och blir därför tvungen att starkt prioritera sina uppdrag. 
 Om andra företag, organisationer eller enskilda personer vill an- lita teknikkompetensfunktionen bör funktionen efter avtal kunna hjälpa dessa så länge det inte går ut över mer prioriterade uppgifter. Kundkretsen kan dock inskränkas något i och med att tekniska säkerhetslösningar kan användas för att dölja brottslig verksamhet. Teknikkompetensfunktionen måste säkerställa att den inte under- stöder oseriös verksamhet, bidrar till oegentligheter eller skapar grund för brottslighet. 
 För att kunna fullgöra uppgiften att vara en resurs av hög kvalitet för samhället i teknisk  
 IT-säkerhet, 
  krävs att teknikkom- petensfunktionen kontinuerligt inhämtar kunskaper och informa- tion samt upprätthåller kontakter såväl nationellt som internatio- nellt. 
 Funktionen måste hela tiden besitta mycket hög teknisk kom- petens. Kunskaper måste finnas både på ett allmänt plan om tek- niska principer för  
 IT-säkerhet 
  och mer specifikt om produkter på marknaden, i synnerhet om dem som används i större omfattning av offentliga sektorn, framför allt totalförsvaret. De tekniska detaljkunskaperna om produkter, protokoll, kända tekniska säker- hetsbrister och virus m.m. måste vara sökbara i informationsdata- baser. 
  
 7.4.4 
  
 Samverkan med andra organ 
  
 Samarbete måste utvecklas med andra organisationer på  
 IT-säker- 
  hetsområdet både inom och utom landet. Inom Sverige bör alla se  
 IT-säkerhet 
  som ett mål av gemensamt samhälleligt intresse där samarbete är en viktig faktor för att lyckas.  
 IT-säkerhet 
  är dess- utom en gränslös fråga där problemen oftast är likartade världen 
 206 
  
 SOU 2001:41 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 över, vilket motiverar ett långtgående internationellt samarbete. Detta kan exempelvis gälla utbyte av metodik och erfarenheter, samarbete om analys av elakartade program eller överens- kommelser om evalueringskriterier. Skulle dessutom en allvarlig kris med  
 IT-inslag 
  inträffa är den sannolikt inte geografiskt begränsad till Sverige. Då blir ett internationellt samarbete helt nödvändigt. Kontakter skall därmed hållas med  
 IT-säkerhets- 
  organisationer i andra länder, såsom t.ex. BSI 
 11  
 i Tyskland och CESG 
 12  
 i Storbritannien. 
 Funktionen bör vara drivande i arbetet att bilda internationella nätverk, främst globala men även på europeisk nivå, bl.a. med syfte att harmonisera tekniska  
 IT-säkerhetslösningar 
  och att ha en be- redskap inför internationella kriser med  
 IT-inslag. 
  
 Det krävs också kontakter med  
 IT-leverantörer, 
  t.ex. för att effektivt kunna utföra evalueringar, för att kunna påverka säker- hetslösningar eller för att kunna identifiera potentiella tekniska sårbarheter som kan uppkomma antingen direkt i produkterna eller i kombination med någon annan produkt eller inom något slags system. 
  
 7.4.5 
  
 Teknikkompetensfunktionens uppgifter 
  
 Teknikkompetensfunktionen bör kunna verka inom nedanstående områden. Utredningen vill dock betona att verksamheten bör ha begränsad omfattning, vilket medför att uppdragen måste priorite- ras hårt. Teknikkompetensfunktionen bör inte heller uppträda som aktör på konkurrensutsatta marknader. 
 Evaluering av  
 IT-produkter 
  
 Medverkan i utveckling av  
 IT-säkerhetsprodukter 
  och säkerhet i  
 IT-produkter 
  
 Utbildning, information och rådgivning om teknik inom IT- säkerhetsområdet 
 Insatser mot informationsoperationer eller vid nationella kriser med  
 IT-inslag 
  
 Aktiv hjälp vid svåra  
 IT-säkerhetsincidenter 
  Aktiv  
 IT-kontroll 
  
 Analys av elakartade program 
 Annat tekniskt stöd inom  
 IT-säkerhetsområdet 
  
 11 
  
 BSI = Bundesamt für Sicherheit in der Informationstechnik 
  
 12 
  
 CESG =  
  
 Communications-Electronics 
  Security Group 
 207 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 SOU 2001:41 
  
 Evaluering av  
 IT-produkter 
  
 Samhället i allmänhet och totalförsvaret i synnerhet behöver tilltro till att de säkerhetsfunktioner som finns i olika  
 IT-system 
  verkli- gen utgör det skydd man förväntar sig. Detta gäller för såväl egen- utvecklade produkter som kommersiella produkter. En sådan tilltro kan skapas med ett system för att evaluera och certifiera IT- produkter och  
 IT-system. 
  Med evaluering avses här en formell säkerhetsgranskning av en produkt eller ett system i syfte att skapa en tilltro till att säkerhetsfunktionerna i produkten eller systemet har en adekvat skyddsförmåga. Med certifiering avses här ett utfär- dande av certifikat, dvs. ett fastställande av resultat av evaluering och ett bevis att denna gjorts enligt fastställd metodik och med rätt kompetens. Målet med en evaluering är att erhålla ett certifikat. Certifikatet ger användaren en tilltro till produktens säkerhet. Beställaren av en evaluering är normalt en produktutvecklare, men kan för speciella produkter ibland vara kunden. För en säljare ger ett certifikat ett mervärde till produkten och kan vara ett viktigt försäljningsargument. För en kund ger ett certifikat ett bevis på att produkten på en given granskningsnivå uppfyller de säkerhetskrav man har ställt. 
 Sverige har i dag, till skillnad från många andra tekniskt utveck- lade länder, inget system för evaluering och certifiering. För tilltron till säkerhetsfunktionerna i  
 IT-system 
  bör Sverige följa omvärldens exempel och inrätta ett system för evaluering och certifiering. Det är viktigt att hålla isär dessa båda moment. Evaluering är en teknisk granskningsprocess, medan certifiering är en process som syftar till att säkerställa kvalitet och objektivitet i den utförda evalueringen. Det finns alltid en risk att evalueringen blir bristfälligt utförd om samma instans också gör certifieringen, genom att instansen därmed får lättare att tillfredsställa kundens dvs. systemkonstruktörens vilja att erhålla ett certifikat. I andra länder görs normalt evalueringen av särskilt godkända evaluerings- företag, utom i fråga om försvars- eller säkerhetspolitiskt särskilt känsliga system, medan certifieringen görs av respektive lands IT- säkerhetsmyndighet. Som exempel kan nämnas att i Tyskland gör myndigheten BSI 
 13  
 certifieringar. Certifiering och evaluering diskuteras mer ingående i avsnitt 7.7. 
 I och med att Sverige f.n. saknar ett system för evaluering och certifiering har inga evalueringsföretag etablerat sig. Innan sådana hinner etablera sig kan teknikkompetensfunktionen utföra evalue- 
  
 13  
 BSI = Bundesamt für Sicherheit in der Informationstechnik 
 208 
  
 SOU 2001:41 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 ringar. Men även efter det att evalueringsföretag etablerat sig bör funktionen ha möjlighet att evaluera vissa typer av  
 IT-produkter. 
  Staten behöver upprätthålla kompetensen, samtidigt som vissa kunder, t.ex. totalförsvaret, har så höga sekretesskrav att de inte alltid kan vända sig till den privata marknaden för evalueringar. 
  
 IT-system 
  kan innehålla kryptografiska delar. Kryptografi är en viktig metod för att erhålla sekretess. Genom att data krypteras är avsikten att en obehörig som på ett eller annat vis fått tillgång till krypterad data inte skall kunna ta del av informationsinnehållet. Sekretessbelagd information som skall kommuniceras över en kanal som inte är garanterat skyddad för avlyssning, t.ex. Internet, måste vara krypterad. Även sekretessbelagd information som endast ligger lagrad på t.ex. en hårddisk utan att kommuniceras kan behöva krypteras om det finns risk att någon obehörig kommer åt hårddisken, kanske genom stöld. Kryptografiska metoder kan även användas för att skapa elektroniska signaturer. Rätt använda utgör dessa en garanti för riktighet och autenticitet, dvs. att informatio- nen inte har förändrats och att informationen har rätt avsändare. 
 Varje krypto bygger på en eller flera algoritmer, dvs. en följd av matematiska beräkningssteg för att omvandla klartext till krypto- text och vice versa. Det finns outsinliga möjligheter att skapa kryptografiska algoritmer 
 14  
 för att erhålla sekretess, autenticitet och riktighet. Inom totalförsvaret används oftast eget utvecklade, hemliga algoritmer. Kvaliteten på kryptoalgoritmer kan variera av- sevärt. En alltför svag algoritm gör att någon obehörig kan forcera det skydd man har skapat. Ju svagare algoritm desto mindre beräk- ningskapacitet behöver en obehörig för att forcera den. 
 Evalueringar omfattar normalt sett inte att utföra kryptologiska bedömningar av de ingående algoritmernas styrka. Dessa bedöm- ningar har i dag Totalförsvarets signalsskyddssamordning (TSA) 
 15  
 ensamrätt på inom totalförsvaret, och bör alltjämt ha så av kompe- tensskäl. För vissa  
 IT-system 
  med höga krav på sekretess, autenti- citet eller riktighet kan det dock vara motiverat att utföra kryptologiska bedömningar i samband med evaluering. Behovet av detta har kraftigt ökat de senaste tio åren med integreringen av  
 ADB-system 
  och kommunikationssystem. Av detta följer att även teknikkompetensfunktionen måste ha ett nära samarbete med TSA. TSA har f.ö. en nära koppling till och intimt samarbete i metodik- och kompetensfrågor med Försvarets radioanstalt (FRA), som är den svenska signalspaningsorganisationen med 
  
 14 
  
 Vanliga öppet kända algoritmer är t.ex. DES, RSA och MD5 
  
 15 
  
 TSA organiseras f.n. av FM/MUST 
  
 209 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 SOU 2001:41 
  
 ansvar att utföra kryptologisk analys på den spanade radiotrafiken. Denna koppling är mycket värdefull då den starkt bidrar till ett gott svenskt signalskydd. TSA kan därmed undvika de slags misstag som FRA söker utnyttja i sin analys av utländsk krypterad kommunikation. 
 Medverkan i utveckling av  
 IT-säkerhetsprodukter 
  och säkerhet i IT- produkter 
  
 IT-säkerhetsprodukter 
  är sådana vars huvudsyfte är att stärka IT- säkerheten. Det kan gälla brandväggar, antivirusprogram, krypte- ringsutrustning, m.m. Säkra  
 IT-produkter 
  är sådana som i huvud- sak har en annan funktionalitet än  
 IT-säkerhet, 
  men som är kon- struerade med beaktande av  
 IT-säkerhetskrav. 
  Båda slagen av pro- dukter är viktiga för att ge en god  
 IT-säkerhet. 
  Säkra  
 IT-produkter 
  krävs för att inte sårbarheter skall uppkomma vid användande av  
 IT-system. 
 IT-säkerhetsprodukter 
  krävs för att medverka till att skapa ett skydd mot olika hot mot  
 IT-system. 
  
 Dessa typer av produkter behöver ständigt utvecklas. Dessutom finns det kunder som har särskilda behov och inte kan nöja sig med de standardprodukter som finns på marknaden. För dessa kunder kan en statlig teknikkompetensfunktion ge ett värdefullt stöd med att bevaka de säkerhetsaspekter som finns. 
 En statlig teknikkompetensfunktion skall inte i första hand själv bedriva utveckling av sådana produkter annat än möjligen för labo- rationsändamål eller för att ta fram något mycket enkelt program. Däremot skall funktionen kunna utgöra en resurs för att bl.a. inför upphandlingar se till att kravspecifikationer uttrycker den säker- hetsnivå som en kund bör kräva. I vissa fall kan funktionen även utföra tester och verifiera att kraven uppfyllts. 
 Det militära försvaret är en kund som har behov av  
 icke-kom- 
  mersiella  
 IT-produkter. 
  Därmed skulle Försvarsmakten i princip kunna vara en kund till teknikkompetensfunktionen för att få stöd med säkerhetsaspekterna vid utveckling av  
 IT-produkter. 
  Det finns dock sannolikt starka skäl för Försvarsmakten att själv ha kompe- tensen att kunna definiera krav på  
 IT-produkter, 
  om än inte resur- serna att i detalj utveckla dem. Stödet som teknikkompetensfunk- tionen kan erbjuda Försvarsmakten kan då i stället vara att obero- ende kunna granska föreslagna lösningar. 
 210 
  
 SOU 2001:41 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 Utbildning, information och rådgivning om teknik inom IT- säkerhetsområdet 
 Kunskapsförmedling inom  
 IT-säkerhet 
  är generellt sett viktigt. En ökad medvetenhet och en höjd kunskapsnivå i samhället är kanske den enskilt viktigaste åtgärden för att stärka samhällets  
 IT-säker- 
  het. Teknikkompetensfunktionen bör delta i kunskapsförmed- lingen på det tekniska området. 
 Utredningen föreslår att det vid sidan av teknikkompetensfunk- tionen inrättas en  
 IT-incidenthanteringsfunktion, 
  som bl.a. föreslås få en informationsförmedlande roll i bred bemärkelse avseende  
 IT-säkerhet. 
  Arbetsuppdelningen dem emellan är lämpligen att teknikkompetensfunktionen arbetar direkt mot kund med information och råd som kräver en djupare teknisk kompetens, medan  
 IT-incidenthanteringsfunktionen 
  ger råd som är av allmängiltig natur till en kund samt sprider information på bred front till samhället i stort. 
 Teknikkompetensfunktionen bör kunna anordna seminarier, föreläsningar och även vissa kortare utbildningar inom smala tekniska spetsområden med anknytning till  
 IT-säkerhet. 
  Syftet är att komplettera marknaden inom viktiga specialområden som marknaden inte erbjuder utbildning i. 
  
 IT-incidenthanteringsfunktionen 
  kan vara kund till teknikkom- petensfunktionen i fråga om att ta fram information om teknisk  
 IT-säkerhet 
  till samhället. Det kan t.ex. gälla information om hur man installerar och underhåller brandväggar, virusskydd, loggana- lys, m.m.  
 IT-incidenthanteringsfunktionen 
  har sedan ansvaret för att sprida informationen vidare i lämplig form, t.ex. på webbsidor. 
 För att erhålla en hög säkerhet kan kunder behöva rådgivning inte enbart om teknik, utan även om organisation, regler och människa. Man kan därför överväga att för att erhålla en helhet även låta funktionen ha möjlighet att ge rådgivning om kompetens- och utbildningsbehov inom  
 IT-säkerhet, 
  organisationskrav eller regelverk. Andra möjligheter är att låta den föreslagna planerings- myndigheten eller  
 IT-incidenthanteringsfunktionen 
  svara för denna rådgivning, då den inte är av utpräglad teknisk natur. 
 Utbildning som redan finns på marknaden skall däremot inte teknikkompetensfunktionen erbjuda. Det finns ingen anledning att konkurrera med den privata marknaden om att anordna utbildning. Det är inte heller meningen att funktionen skall erbjuda akademisk utbildning. Sådan utbildning erbjuds i dag av universitet och hög- skolor. I den mån den akademiska utbildningens kvantitet eller 
 211 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 SOU 2001:41 
  
 kvalitet skulle bedömas otillräcklig inom  
 IT-säkerhetsområdet 
  är det en brist som måste åtgärdas inom ramen för högskolesystemet. 
 Insatser mot informationsoperationer eller vid nationella kriser med  
 IT-inslag 
  
 Skulle Sverige bli utsatt för en informationsoperationsattack på bred front kan det krävas ett övergripande samarbete mellan flera instanser med kompetens inom IT för att attacken skall kunna av- värjas och för att genomföra eventuell restauration efter attacken. Ett motsvarande övergripande samarbete kan krävas vid andra typer av nationella kriser med  
 IT-inslag. 
  I sådana lägen utgör teknikkompetensfunktionen en viktig komponent i ett samlat, övergripande arbete med tekniska åtgärder. Funktionen bör då övergå till att sätta huvuddelen av sina resurser på att bemöta kri- sen. 
 Det finns anledning att diskutera befogenheter och ansvarsför- hållanden vid informationsoperationsattacker eller vid nationella kriser med  
 IT-inslag. 
  Men det finns inga starka skäl som talar för att teknikkompetensfunktionen skall ha ett egentligt ledningsan- svar ens i sådana lägen. Möjligen kan den undantagsvis få ett dele- gerat ansvar att leda de tekniska insatserna om särskilda omstän- digheter talar för detta. 
 Vid informationsattacker och nationella kriser med  
 IT-inslag 
  där problemen drabbar flera samhällssektorer, bör det tvärsektoriella samordningsorganet vara beställare av funktionens tjänster. 
 Aktiv hjälp vid svåra  
 IT-säkerhetsincidenter 
  
 När en organisation drabbas av en  
 IT-incident 
  och rapporterar denna till en funktion för  
 IT-incidenthantering 
  kan organisationen samtidigt erhålla viss hjälp. Denna hjälp är inte alltid tillräcklig. Problemet kan vara generellt svårlöst eller omöjligt att lösa över telefon, eller också kan problemet vara av en så avancerad natur att det kräver hantering av särskild teknisk kompetens. Teknikkom- petensfunktionen kan bistå med särskilt avancerad rådgivning, och kan även bistå med hjälp på plats. 
 I vissa fall vet inte den anmälande organisationen vad som är or- saken till incidenten. Teknikkompetensfunktionen kan bistå med felsökning. Arbetet kan vara tidskritiskt, t.ex. om ett samhällsvik- 
 212 
  
 SOU 2001:41 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 tigt  
 IT-system 
  inte fungerar och man inte vet orsaken till detta. Dessutom är det viktigt att utröna om incidenten beror på brotts- lighet, t.ex. dataintrång. Eftersom den anmälande organisationen skall göra polisanmälan vid brottsmisstanke kan polisen komma att ställa krav på de åtgärder som vidtas. Teknikkompetensfunktionen skall ha sådan kännedom om polisiärt arbete att åtgärderna funk- tionen rekommenderar inte försvårar utan helst underlättar en senare polisutredning. 
 Man kan överväga om polisen skall kunna avropa tjänster från teknikkompetensfunktionen för att genomföra polisiärt arbete i en annan organisations miljö. Det kan gälla allt från spårning av brottslighet hos en drabbad organisation till tekniskt stöd vid hus- rannsakan. För detta talar att teknikkompetensfunktionen redan kan ha ett försprång i kunskapsnivå genom att en drabbad organi- sation redan anlitat funktionen när de upptäckte incidenten. Funk- tionen kan besitta viss spetskompetens som polisen saknar, eller också kan funktionen utgöra en möjlighet även för polisen att av- ropa vid toppar i belastningen. Mot detta talar förtroendet för funktionen. Organisationer kan komma att tvivla på att det är ett stöd de anlitat och inte en polisutredning. Behovet av förtroende gör att man inte bör låta teknikkompetensfunktionen delta aktivt i polisutredningar utan medgivande av den organisation hos vilken undersökningen skall ske. 
 Aktiv  
 IT-kontroll 
  
 Ett av de effektivaste sätten att höja en organisations medvetenhet om behovet av  
 IT-säkerhet 
  är att utföra aktiv  
 IT-kontroll. 
  Genom att låta behöriga personer göra kartläggningar av nätverk, in- trångsförsök, m.m., upptäcks säkerhetsbrister, inte minst vad gäller konfiguration och användning, förhoppningsvis innan obehöriga personer upptäcker dem. En av de viktigaste effekter som därige- nom uppnås är att man får en uppmärksamhet inom organisationen och därmed en ökad medvetenhet om  
 IT-säkerhet. 
  
 Den som utför aktiv  
 IT-kontroll 
  skall inte ha något ansvar för att åtgärda de brister som upptäcks. Det är enbart den kontrolle- rade organisationens uppgift att avgöra på vilket sätt det skall ske. 
 Det är av nationellt strategiskt värde att aktiv  
 IT-kontroll 
  regel- bundet genomförs på totalförsvarsmyndigheter och andra organi- sationer med samhällsviktiga  
 IT-system. 
  Teknikkompetensfunk- tionen bör kunna erbjuda denna tjänst till de organisationer som så 
 213 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 SOU 2001:41 
  
 önskar på direkt uppdrag från dessa. Eftersom funktionen därige- nom potentiellt kan få insyn i några av samhällets mest sekretess- belagda system är det oundgängligt att funktionen själv måste kunna garantera strängaste sekretess. 
 Man kan i och för sig överväga om teknikkompetensfunktionen även skall kunna agera på uppdrag av en tillsyns- eller revisions- myndighet. För detta talar att tillsyns- och revisionsmyndigheter inte nödvändigtvis själva måste bygga upp den tekniska kompeten- sen. Mot detta talar att teknikkompetensfunktionen inte bör agera utan fullt förtroende från den organisation funktionen agerar hos. Behovet av förtroende för teknikkompetensfunktionen får anses väga tyngre än det eventuella behov av extern kompetens en till- syns- eller revisionsmyndighet kan ha. Problemet kan alltid lösas genom att den kontrollerade organisationen ger sitt förtroende till teknikkompetensfunktionen att utföra aktiv  
 IT-kontroll 
  för en till- syns- eller revisionsmyndighets räkning. 
 Det finns ett antal juridiska oklarheter kring aktiv  
 IT-kontroll. 
  Det är inte nödvändigtvis självklart att en statlig myndighet anses ha mandat att låta utföra aktiv  
 IT-kontroll 
  på sina system och nät- verk. Systemen kan innehålla sekretessbelagd information, varför det är oklart om en myndighet kan anses ha följt de lagar och för- ordningar som gäller om sekretess när man låter en extern part ut- föra aktiv  
 IT-kontroll. 
  Aktiv  
 IT-kontroll 
  faller sannolikt inte under sekretesslagens 13 kap., som behandlar överföring av sekretess till annan myndighet. Vidare kan alltid störningar och skador inträffa p.g.a. själva kontrollen, även om den som utför den ålägger sig försiktighet. Ett annat problem är att man vid aktiv IT- kontroll oavsiktligt kan komma att hamna utanför de nätverk man skall kontrollera. Detta kan t.ex. bero på okända eller bortglömda förbindelser. Vad gäller om man kommer till en annan myndighet, kriminalregistret, ett privat företag, eller för den delen utanför landet? Dessa frågor bör utredas ytterligare så att eventuella författningsändringar skyndsamt kan genomföras för att göra aktiv  
 IT-kontroll 
  till ett hjälpmedel som kan användas med fullt legalt stöd. 
 Värt att notera är att brottsbalkens paragraf om dataintrång inte utesluter aktiv  
 IT-kontroll. 
  För att dataintrång skall anses föreligga måste denna vara olovlig. I och med att aktiv  
 IT-kontroll 
  alltid ut- förs på begäran av den som äger systemen torde den inte kunna anses vara olovlig i lagens mening. 
 214 
  
 SOU 2001:41 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 Analys av elakartade program 
 Elakartade program kan vara t.ex. datavirus, maskar eller trojaner. Med jämna mellanrum drabbas samhället av elakartade program som kan ställa till stor skada på mycket kort tid, och därmed hota vitala samhällsfunktioner. Spridningen sker ofta via  
 e-post. 
  Tiden det tar för programvaran att sprida sig över stora delar av världen har kunnat röra sig om enbart timmar. Framtida teknik kan leda till att elakartade program sprider sig ännu snabbare. 
 Att larma och utfärda varningar är en uppgift för en  
 IT-incident- 
  hanteringsfunktion. Om ett larm eller en varning beror på att ny- upptäckta elakartade program eller misstänkta sådana snabbt håller på att sprida sig i stil med Melissa 1999 eller Arnold letter 2000, bör dock även teknikkompetensfunktionen kopplas in för att ta fram tillfälliga skydd samt åtgärder för att sanera och återställa. Sanno- likt räcker det ofta med att sammanställa, kanalisera och eventuellt göra en svensk anpassning av lösningar som kommer från olika kommersiella antivirusföretag, vars tjänster funktionen bör ut- nyttja i möjligaste mån. Men om så krävs skall teknikkompetens- funktionen själv kunna analysera elakartade program och ta fram de skydd och motåtgärder som krävs. Även om exemplen är få eller inga på elakartade program som är specifikt riktade att slå mot en- bart svenska  
 IT-system 
  är det tekniskt möjligt att framställa sådana. Generella elakartade program kan också ha sitt ursprung i Sverige. I dessa fall är det möjligt att en svensk teknikkompetens- funktion har bättre förutsättningar än någon annan att snabbt ta fram skydd och motåtgärder. 
 För att kunna fullgöra uppgiften att analysera elakartade pro- gram måste teknikkompetensfunktionen ha spetskunskaper på om- rådet. För att skydda samhället mot besvärliga överraskningar i form av elakartade program som bygger på någon ny princip, bör funktionen i möjligaste mån ha kunskaper om principer för elakar- tade program redan innan dessa principer har använts i realiteten. Det kan därför övervägas om funktionen bör bedriva egen forsk- ning och eget utvecklingsarbete i ämnet. 
 Sannolikt är det dock tillräckligt om teknikkompetensfunktio- nen har täta kontakter med forskare och organisationer som sysslar med denna forskning inom och utom landet. Inom de områden där behov av ny forskning finns kan funktionen initiera denna forsk- ning hos någon institution. Lämpliga kontakter inom Sverige är därför främst FOI, universitet och tekniska högskolor. 
 215 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 SOU 2001:41 
  
 Annat tekniskt stöd inom  
 IT-säkerhetsområdet 
  
 Teknikkompetensfunktionen skall ses som samhällets resurs och ett komplement till marknaden inom området teknisk  
 IT-säkerhet. 
  Funktionen skall därför kunna stå till tjänst för samhället även med andra uppgifter än de ovan beskrivna om de har med teknisk IT- säkerhet att göra och där man av någon anledning inte kan vända sig till marknaden. I synnerhet gäller detta för ny teknik där sam- hällets behov av säkerhet inte säkert är automatiskt tillgodosett från början. Ett aktuellt exempel på ett sådant behov av säkerhet är de problem som kan uppstå med skydd av den personlig integrite- ten vid användning av IT. 
 Samhället kan ha behov av tekniska bedömningar av produkter och system, där målet inte är att skapa ett certifikat. Det kan t.ex. gälla en myndighet som, utan att ha behov att gå på djupet, vill ha en oberoende teknisk säkerhetsbedömning av ett system de vill köpa eller skapa själva. Ett annat exempel är funktionen för om- världsanalys, som kan behöva tekniskt underlag för att kunna av- göra om man måste ompröva en hot- och sårbarhetsanalys inom någon samhällssektor. I de frågor där samhället behöver en teknisk  
 IT-säkerhetsanalys 
  skall teknikkompetensfunktionen kunna stå till tjänst med denna. Teknikkompetensfunktionen har en viktig roll att spela i att eliminera de tekniska sårbarheter som uppkommer i samhället undan för undan. 
  
 7.4.6 
  
 Organisatoriska överväganden 
  
 Teknikkompetensfunktionen kan efter en uppbyggnadsfas åtmin- stone delvis vara intäktsfinansierad. De flesta av funktionens upp- gifter är sådana som utförs på uppdrag av en kund. Det är då en rimlig princip att kunderna står för kostnaderna att hålla de resur- ser som krävs för dessa uppgifter. Funktionen skall dock kunna utgöra en tillgänglig resurs vid kriser, varför den även behöver ha en viss anslagsfinansiering. 
 Teknikkompetensfunktionen bör inrättas i en miljö som är tek- nikorienterad för att ha förutsättningar att attrahera kvalificerad kompetens. Utredningen har funnit att FRA utgör en lämplig så- dan miljö, varför utredningen förordar att teknikkompetensfunk- tionen organiseras i nära anslutning till FRA. Ytterligare fördelar med denna miljö är att FRA har en vana vid sekretess samt att FRA redan har några års erfarenhet på  
 IT-säkerhetsområdet. 
  Total- 
 216 
  
 SOU 2001:41 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 försvarets myndigheter och andra myndigheter med särskilda säkerhetsbehov kan i dag anlita FRA som teknisk kompetens för att höja  
 IT-säkerheten 
  och förbättra sina skydd mot informations- operationer. Vidare kan närheten till den kryptologiska kompetensen på FRA vara en fördel för funktionen. 
 Teknikkompetensfunktionen bör ges en från FRA organisato- riskt fristående ställning. Det är dock inte lämpligt att ge teknik- kompetensfunktionen ställning som fristående myndighet. Den bör därför anknytas till en större myndighet som bör fungera som chefsmyndighet för teknikkompetensfunktionen. Utredningen har funnit två tänkbara alternativ till chefsmyndighet: FRA eller den av utredningen föreslagna planeringsmyndigheten. FRA har förde- larna att funktionen ändå enligt utredningens förslag kommer att placeras i dess närhet, och att FRA med sin erfarenhet på området kommer att ha goda förutsättningar att relativt snabbt etablera funktionen. Ett alternativ kan vara att låta den föreslagna plane- ringsmyndigheten bli chefsmyndighet. I så fall skulle man även få fördelen att planeringsmyndigheten lättare kan upprätthålla sitt övergripande ansvar över samhällets  
 IT-säkerhet. 
  Enligt utredning- ens uppfattning är dock fördelarna med FRA som chefsmyndighet övervägande. Utredningen förordar därför denna lösning. 
  
 7.5 
  
 IT-incidenthanteringsfunktionen 
  
 7.5.1 
  
 Allmänt 
  
 PTS fick 25 november 1999 i uppdrag av regeringen att utreda för- utsättningarna för att inrätta en särskild funktion för  
 IT-incident- 
  hantering. 
 16  
 Resultatet presenterades 28 november 2000 i rapporten 
 Förutsättningar för att inrätta en särskild funktion för  
 IT-incident- 
  hantering 
 . 
  
 17  
  
 Näringsdepartementet remitterade rapporten 20 december 2000 till 76 instanser. I missivet framgick att PTS rapport med remissvar skulle överlämnas till Sårbarhets- och säkerhetsutredningen för fortsatt beredning. Den  
  
 IT-incident- 
  
  hanteringsfunktion 
  
 18  
  
 som utredningen föreslår har PTS rapport 
  
 16 
  
 Regeringsbeslut N1999/11654/ITFoU 
  
 17 
  
 PTS dnr  
  
 99-19448 
  
 18 
  
 En  
  
 IT-incidenthanteringsfunktion 
  kan ses som en CERT, vilket står för Computer Emergency Response Team. En svensk översättning saknas. Ordet CERT har använts så ofta att det blivit oklart exakt vad man förväntar sig av en CERT. Det är oklart vad som menas med  
 emergency 
 , i fråga om hur pass allvarlig en incident skall vara innan den anses vara uppgift för en CERT. Det är också oklart vad som menas med  
 response 
 , vilket kan tolkas som hela skalan från att avbryta den egna verksamheten och att reparera eventuella 
 217 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 SOU 2001:41 
  
 som grund. Utredningen har gjort endast ett mindre antal justeringar av PTS förslag för att passa in det i det helhetsförslag som utredningen föreslår, och för att ta hänsyn till vissa av synpunkterna i remissvaren. 
  
 7.5.2 
  
 Motiv för ett statligt engagemang 
  
 Staten behöver ha en fungerande  
 IT-incidenthantering. 
  Funk- tionen för detta skulle i princip kunna upphandlas på den öppna marknaden. Det finns dock ett antal skäl som talar för att staten bör organisera denna funktion: 
 Skydd mot informationsoperationer Brett samhällsintresse 
 Officiell samverkan i internationella sammanhang 
 Skydd mot informationsoperationer 
 Funktionen kommer att hantera information som är sekretessmäs- sigt känslig eller t.o.m. mycket känslig, varför förtroendet för funktionen måste vara orubbligt. Funktionen skall fullgöra upp- giften att föra statistik på de inkommande rapporterna. Statistiken skall analyseras för att kunna identifiera eventuella informations- operationsattacker på bred front mot Sverige. Denna uppgift är säkerhetspolitiskt både så viktig och känslig att den inte utan vidare kan lämnas till privata aktörer. 
 Brett samhällsintresse 
 Målet är att funktionen skall kunna hantera  
 IT-incidenter 
  inte bara inom staten utan på sikt även inom kommuner, landsting och privata företag genom avtal. Det är rimligt att ett så brett åtagande över hela samhället organiseras av staten. 
 skador till att utföra motattacker. Noteras bör att man i dag internationellt har tonat ned  
 response-aspekterna. 
  Det är också, vilket inte är minst viktigt, oklart om en CERT skall anses ha operativa befogenheter eller ha endast varnande och rådgivande uppgifter. Eftersom dessa oklarheter finns används i denna text begreppet  
 IT-incident- 
  hanteringsfunktion, vilket även är termen i PTS rapport. 
 218 
  
 SOU 2001:41 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 Officiell samverkan i internationella sammanhang 
 Sverige måste ha internationella kontakter med motsvarande in- stanser för  
 IT-incidenthantering 
  i andra länder. För att kunna upp- rätthålla den kompetens som krävs i sådana sammanhang och för att tillföra kunnande i arbetet måste staten aktivt arbeta med IT- incidenthantering. 
  
 7.5.3 
  
 Krav på  
  
 IT-incidenthanteringsfunktionen 
  
 Om  
 IT-incidenthanteringsfunktionen 
  skall kunna fullgöra sina uppgifter är det av avgörande betydelse att den skapar och upprätt- håller ett stort antal kontakter på många områden såväl nationellt som internationellt. Funktionen måste sträva efter att bli medlem i välrenommerade  
 IT-säkerhetsorganisationer, 
  t.ex. The Forum of Incident Response and Security Teams (FIRST), som är en inter- nationell paraplyorganisation för  
 IT-incidenthanteringsfunktioner. 
  Funktionen måste se till att ingå i nätverk där man sprider var- ningar och information om risker och sårbarheter. Funktionen måste ha en bred kännedom om aktörer på området i fråga om t.ex. forskning, utbildning, tjänster och produkter. För att inte riskera förtroendet för funktionen skall inte Polisen och Försvarsmakten delta i den, men funktionen måste ha goda relationer med dessa och andra myndigheter som på ett eller annat vis arbetar med IT- säkerhet. Utöver detta skall funktionen naturligtvis ha ett gott för- hållande till alla sina kunder. 
 Både  
 IT-incidenthanteringsfunktionen 
  och teknikkompetens- funktionen skall utföra uppgifter som kräver teknisk kompetens. Det finns dock ett antal skillnader mellan de båda funktionerna, som principiellt kan sammanfattas i att för  
 IT-incidenthanterings- 
  funktionen är tidsaspekten avgörande, medan för teknikkompe- tensfunktionen är den djupa tekniska kompetensen avgörande. 
 När det gäller tidsaspekten måste  
 IT-incidenthanterings- 
  funktionen kunna reagera snabbt med varningar och tidskritisk rådgivning. Teknikkompetensfunktionen har inte detta krav på snabbhet, annat än i sin roll vid akut  
 IT-krishantering 
  eller för att medverka till att ta fram motmedel mot nya elakartade program.  
 IT-incidenthanteringsfunktionens 
  fokus ligger därför på bredd och snabb tillgänglighet, medan de särskilt djupa tekniska kunskaperna utgör teknikkompetensfunktionens särdrag. 
 219 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 SOU 2001:41 
  
 Tyngdpunkten i teknikkompetensfunktionens uppgifter kommer att vara kunduppdrag, medan  
 IT-incidenthanteringsfunk- 
  tionen kommer att ha en tyngdpunkt på hantering, rapportering och statistikföring av incidenter. Därmed finns också en skillnad i hur finansieringen skall ordnas. Teknikkompetensfunktionen blir lämpligen på sikt till stor del intäktsfinansierad, medan  
 IT-inci- 
  denthanteringsfunktionen till större delen bör vara anslags- finansierad. 
  
 7.5.4 
  
 Sammanfattning av förslagen i PTS rapport 
  
 PTS föreslår att en funktion för  
 IT-incidenthantering 
  inrättas på försök i två år i PTS egen regi. Funktionen skall i första hand be- tjäna de statliga myndigheterna. Huvuduppgiften skall vara att motverka angrepp på informations- och kommunikationstekniska system och infrastruktur inom den statliga sektorn. Funktionen skall ta emot och analysera incidentrapporter från myndigheterna. Varningar, råd och annan information skall kunna spridas till myn- digheter, företag , organisationer och privatpersoner i Sverige. Funktionen skall också kunna samverka med enskilda organisatio- ner inom  
 IT-incidenthanteringsområdet. 
  
 Funktionens huvuduppgifter skall enligt PTS vara informa- tionsförmedling, analys och samordning. Informationsförmedling skall i första hand ske på kontorstid, men funktionen bör ha möj- lighet att förmedla varningar dygnet runt alla dagar på året. 
 PTS föreslår att funktionen bör ha beredskap dygnet runt alla dagar på året att medverka med samordning vid pågående  
 IT-inci- 
  denter. 
 Funktionen måste för huvuduppgifterna ta emot incident- rapportering, göra informationsinsamling och statistik samt bedriva nationellt och internationellt samarbete. Funktionen bör kunna förmedla kontakter, utföra servicetjänster och medverka i utbildningar. Om tid medges bör funktionen också, enligt PTS, medverka i utvecklings- och standardiseringsarbete. 
 Funktionen bör enligt PTS bygga upp de bibliotek och databaser som behövs för verksamheten samt effektiva rutiner för arkivering av viktig  
 IT-incidentrelaterad 
  information. 
 PTS föreslår att funktionen skall beakta information om och analysera följande klasser av  
 IT-incidenter: 
  
 Intrångsförsök och dataintrång Avsiktlig störning av tillgänglighet 
 220 
  
 SOU 2001:41 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 Datavirus och trojaner 
 Civila informationsoperationer 
 Informationsattacker 
 Nya typer av  
 IT-incidenter 
  
 PTS föreslår att de rapporter funktionen tar emot om informa- tionsattacker, efter eventuell sammanställning förmedlas vidare till i första hand SPF för analys. Formerna bör utformas av SPF och funktionen gemensamt. 
 PTS ser ingen möjlighet att ge funktionen operativa befogenhe- ter utan författningsändringar, och ser inte heller något skäl till att ge funktionen några sådana befogenheter. Vidare föreslår PTS att polisen inte skall medverka i funktionen men att en god samverkan skall etableras. PTS föreslår att regeringen låter vidare utreda behovet av och formerna för en polisiär medverkan. 
 PTS har bedömt att nuvarande sekretesslagstiftning inte medger att myndigheter kan åläggas att rapportera incidenter till funktio- nen. PTS föreslår därför en frivillig rapportering under försökspe- rioden och att frågorna om rapporteringsplikt och behov av för- ändringar i sekretesslagstiftningen utreds vidare. 
 PTS föreslår att regeringen utreder och om så behövs utarbetar förslag till de författningsändringar som behövs för att underlätta brottsutredningar vid dataintrång. 
  
 7.5.5 
  
 IT-incidenthanteringsfunktionens 
  
  uppgifter 
 Sårbarhets- och säkerhetsutredningen föreslår att  
 IT-incidenthan- 
  teringsfunktionen skall betjäna samtliga statliga myndigheter. Dessutom skall kommuner, landsting och företag kunna ansluta sig till funktionen genom avtal. 
 Funktionen bör vara den naturliga instansen för sina kunder att vända sig till i frågor som rör information om  
 IT-säkerhet 
  och in- formationsoperationer, förebyggande arbete, åtgärder vid inciden- ter eller kontaktförmedling. Myndigheter och övriga anslutna organisationer skall till funktionen rapportera inträffade  
 IT-säker- 
  hetsincidenter. I gengäld sprider funktionen varningar, eventuellt tidskritiska, 
 19  
 och ger återkoppling på det rapporterade materialet. Denna återkoppling kan bestå av statistik, risk- och hotbildsinfor- 
  
 19  
 Med tidskritiska varningar avses här sådana varningar som för att undvika risk för allvarliga skador på  
 IT-system 
  eller motsvarande, måste spridas även utanför ordinarie kontorstid. 
 221 
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer SOU 2001:41 
 mation eller bedömningar av enskilda inträffade säkerhets- incidenter. 
 Funktionen bör hantera dessa uppgifter: 
 Ta emot incidentrapporter Larma och sprida varningar 
 Ge aktiv tidskritisk rådgivning vid akuta  
 IT-säkerhets- 
  incidenter 
 Föra statistik över  
 IT-säkerhetsincidenter 
  
 Sprida kunskap om  
 IT-säkerhet 
  och skydd mot informations- operationer 
 Ge råd och information om 
 åtgärder vid  
 IT-säkerhetsincidenter 
  förberedelser för  
 IT-incidenthantering 
  skyddsåtgärder 
 Ge  
 risk-, 
  sårbarhets- och hotbildsinformation Förmedla kontakter 
 Upprätta arkiv, bibliotek och databaser Standardisering av terminologi 
 Mottagande av incidentrapporter 
 Det finns åtminstone tre syften med en rapportering av  
 IT-säker- 
  hetsincidenter: 
  
 1. 
  
 Den som rapporterar incidenterna kan erhålla hjälp med att be- möta dem. 
  
 2. 
  
 Man rapporterar för att kunna varna andra. 
  
 3. 
  
 Rapportering för statistik, som utgör ett väsentligt underlag t.ex. för att identifiera och urskilja samordnade attacker på bred front mot Sverige och nationella säkerhetsintressen. 
  
 Att ge hjälp vid säkerhetsincidenter och att varna är naturliga upp- gifter för en  
 IT-incidenthanteringsfunktion, 
  varav följer att funk- tionen är en naturlig mottagare av incidentrapportering. Det är viktigt att funktionen för statistik på det rapporterade materialet. Statistiken kommer att vara en central informationskälla för att rätt kunna bedöma vilka insatser funktionen behöver göra. Statistiken kommer också att utgöra ett väsentligt underlag för att kunna identifiera samlade och systematiska angrepp mot Sverige. 
 Funktionen behöver inte nödvändigtvis vara den enda instans i samhället som tar emot incidentrapporter. Företag eller branscher kan välja att skapa egna  
 CERT-organisationer. 
  Detta behöver inte 
 222 
  
 SOU 2001:41 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 vara en svaghet så länge alla dessa organisationer inklusive  
 IT-inci- 
  denthanteringsfunktionen ingår i ett gemensamt nätverk där in- formation och varningar kan utbytas utan onödigt dröjsmål. Det kan dessutom finnas fördelar med branschspecifika organisationer. Dels kan sådana organisationer ha bättre möjligheter att hjälpa sina kunder med de speciella problem som kan finnas i respektive bransch, dels kan det skapa bättre förutsättningar att få privata fö- retag att ansluta sig. 
 På sikt finns det inte något hinder för att även den offentliga sektorn skall kunna välja mellan flera alternativa  
 IT-incidenthan- 
  teringsfunktioner att ansluta sig till. I någon mening finns det redan i dag åtminstone två: CERT som Uppsala Universitet sedan år 2000 driver åt SUNET 
 20  
 för universitet och högskolor, tidigare vid Sunets driftcentral på KTH i Stockholm, samt ÖCB:s testverk- samhet med rapportering av  
 IT-incidenter 
  där ett  
 50-tal 
  myndig- heter deltar. Emellertid, för att kunna fullgöra alla de uppgifter som grundar sig på en rapportering krävs att denna har en tillräcklig volym. Därmed bör i ett inledningsskede alla statliga myndigheter vara obligatoriskt anslutna till en gemensam IT- incidenthanteringsfunktion. 
 Det råder delade meningar om huruvida incidentrapportering skall vara obligatorisk eller frivillig för statliga myndigheter. Det viktigaste argumentet för ett obligatorium är problemet att voly- men annars kan bli otillräcklig för att i tid kunna upptäcka en avan- cerad systematisk informationsattack mot Sverige. Utan en till- räcklig överblick kommer alla incidenter att framstå som spora- diska. Statistiken kommer därmed att bli bristfällig. Volymen är också viktig för att funktionen snabbt skall kunna utveckla kom- petens på  
 IT-incidenthanteringsområdet. 
  Skulle funktionen till större delen tvingas öva sig på fiktiva incidenter riskerar man att förmågan blir lägre än önskvärt när en allvarlig verklig incident in- träffar. 
 Erfarenheterna från ÖCB:s frivilliga testverksamhet är att voly- men har varit mycket liten. Även om det är fullt möjligt att det förekommit endast få incidenter torde enligt utredningens uppfatt- ning skälet till den låga volymen vara att alla incidenter inte har rapporterats eller ens upptäckts. ÖCB gör själva denna bedömning, grundad på att frivilligheten har medfört problem, men även att de flesta myndigheter saknar rutiner och organisation för intern IT- incidenthantering och att de därmed även har begränsade möjlig- 
  
 20  
 SUNET (Swedish University Computer Network) är organisationen som driver de svenska universitetens och högskolornas gemensamma datanätverk 
 223 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 SOU 2001:41 
  
 heter till upptäckt. Vi kan alltså inte med säkerhet veta om det i dag förekommer försök till systematiska attacker mot Sverige eller förberedelser till sådana. 
 Man skall visserligen ha klart för sig att ett obligatorium i sig inte utgör någon garanti för att volymen kommer att öka substantiellt. Ett allvarligt problem är ofta att myndigheter själva antingen inte upptäcker incidenter eller saknar fungerande interna rutiner för rapportering. Detta utgör dock inget argument mot ett obligatorium, utan pekar i stället på ett generellt behov av säkerhetshöjande åtgärder i form av ökad medvetenhet, högre kompetens, bättre teknik, tydligare organisation och klarare regler. Ett obligatorium kan medverka till att skapa incitament för myndigheter att etablera en god intern  
 IT-incidenthantering 
  och allmänt höja  
 IT-säkerhetsnivån. 
  
 Ett argument för frivillig incidentrapportering är att ett obligatorium för statliga myndigheter kan vara juridiskt besvärligt, vilket PTS påtalar i sin rapport. Problemet ligger i sekretesslagen. Uppgifter som är sekretessbelagda inom en myndighet blir inte automatiskt sekretessbelagda inom en myndighet som delgivs dessa uppgifter. PTS förslag till lösning på problemet är att göra rapporteringen frivillig. Det går att lösa detta problem på annat sätt, nämligen genom att den rapporterande myndigheten gör en sekretessgranskning av de uppgifter som rapporteras och därmed ser till att inga hemliga uppgifter rapporteras. Även om rapporteringen därmed får något sämre kvalitet, blir inte kvantiteten mindre, vilket sannolikt i detta fall är av större betydelse. På sikt bör man dock via lagstiftning kombinerat med instruktion för  
 IT-incidenthanteringsfunktionen 
  garantera att rapporterade sekretessbelagda uppgifter även omfattas av sekretess hos funktionen. Med en sådan lösning kan man även erhålla bästa möjliga kvalitet på rapporteringen. 
 Ett annat argument för frivillig incidentrapportering är förtroen- det. Genom att rapporteringen görs frivillig har man en garanti för att de som lämnar uppgifter verkligen gör det med förtroende. Det är onekligen så att ett förtroende för  
 IT-incidenthanteringsfunk- 
  tionen är av avgörande betydelse för att den skall kunna fullgöra sina uppgifter på ett tillfredsställande sätt. Förtroendet uppnås dock endast genom att funktionen visar i praktiken att den är värd ett förtroende. Funktionen får inte lämna ut uppgifter som kan identifieras till enskilda kunder. Funktionen måste kunna ge de rapporterande instanserna någonting värdefullt tillbaka. Funktio- nen får inte heller vara en polis. Skulle funktionen genom de 
 224 
  
 SOU 2001:41 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 inrapporterade uppgifterna upptäcka brottslig eller misstänkt brottslig aktivitet mot en rapporterande organisation skall inte funktionen själv kontakta polisen. Funktionen skall i stället påtala det hela för den organisation som rapporterat och kan rekommen- dera denna att själv kontakta polisen. Detta kan möjligen kräva författningsändringar, men det är nödvändigt för förtroendet att funktionen inte gör polisanmälan av brott den får kännedom om genom rapportering. En obligatorisk incidentrapportering för statliga myndigheter kan visserligen skapa en svårighet för funktio- nen att i ett inledningsskede etablera detta förtroende, men denna svårighet bör inte vara oöverstiglig. 
 Det är svårt att komma runt behovet av en stor volym rapporte- rade incidenter för att upptäcka en avancerad samlad informations- attack mot Sverige. Detta argument får anses väga så tungt att det avgör frågan. Statliga myndigheter bör därmed åläggas att rappor- tera samtliga inträffade  
 IT-säkerhetsincidenter 
  till  
 IT-incident- 
  hanteringsfunktionen. 
 Privata företag och organisationer samt kommuner bör kunna ansluta sig och rapportera till funktionen på frivillig basis genom avtal. Ju fler som ansluter sig desto större underlag kommer funk- tionen att få för sina uppgifter. Detta understryker vikten av att funktionen agerar på ett sådant sätt att den inger ett stort förtro- ende. Företag måste kunna lita på att de behandlas med samma re- spekt som myndigheter och att sekretessen garanteras. Om funk- tionen genom lag, instruktion eller avtal är förbunden att inte lämna ut uppgifter om rapporterade incidenter till tredje part på ett sådant sätt att källan kan spåras, kan detta bidra till att stärka före- tagens möjligheter att ha förtroende för funktionen. 
 Larm och spridning av varningar 
 En central uppgift för funktionen är att kunna larma och sprida varningar om företeelser som kan hota  
 IT-säkerheten. 
  Det kan gälla nya virus eller andra elakartade program som kan utgöra hot eller störningsrisker för  
 IT-system. 
  Det kan gälla nya typer av stör- ningar eller risk för störningar som någon råkat ut för. Det kan gälla intrångsförsök eller annan brottslig verksamhet som man kunnat identifiera t.ex. genom analys av incidentstatistik. 
 Uppgiften att larma är tidskritisk, åtminstone vad gäller att varna för nya virus eller andra elakartade program. Funktionens reaktionstid måste sålunda vara kort. Funktionen måste ha en 
 225 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 SOU 2001:41 
  
 förmåga att snabbt kunna upptäcka nya elakartade program. Denna förmåga skapas dels genom att funktionen har en kanal för tidskritisk inrapportering som är öppen och bevakas dygnet runt, dels genom att funktionen prenumererar på varningar från CERT- organisationer och företag. Funktionen måste ha personal i jour. Vidare måste alla myndigheter och övriga organisationer som är anslutna till funktionen ha kanaler för att kunna ta emot de tidskritiska larmen. 
 Funktionen bör ha flera sätt att sprida varningar på. Varningar av allmängiltig karaktär bör publiceras på Internet. Anslutna organi- sationer bör få varningar sig direkt tillsända, särskilt de varningar som endast berör en eller ett fåtal organisationer. Särskilda kanaler bör användas för de tidskritiska larmen för att de säkert skall upp- märksammas. 
 Funktionen behöver inte alltid själv komma fram till vad som skall varnas om eller ta fram förslag till motåtgärder. Exempelvis kan funktionen för omvärldsanalys eller teknikkompetensfunktio- nen bidra i dessa sammanhang. Men det är viktigt att varningar och förslag till åtgärder kanaliseras genom  
 IT-incidenthanteringsfunk- 
  tionen, så att man får kontroll över att de rapporterande organisa- tionerna får all återkoppling de skall ha. 
 Även i tidskritiska situationer måste funktionen beakta att orga- nisationer lämnat uppgifter om sina incidenter till funktionen i förtroende. Innan varningar sprids måste funktionen se till att de uppgifter som lämnas ut inte kan härröras till den organisation som rapporterat uppgifterna. Om ett förtroende skulle brytas riskerar man att rapporteringen upphör, vilket skulle menligt inverka på funktionens möjligheter att fullgöra sina uppgifter. 
 Det är också viktigt att inte sprida falska varningar. Det finns många osanna rykten spridda om virus som påstås kunna orsaka omfattande skador på de system som drabbas. Dessa rykten sprids ofta med en uppmaning att sprida varningen vidare till så många som möjligt. Detta orsakar irritation och i värsta fall att nätverk, e- postservrar och andra datorer blir överlastade. Vidare skapas var- gen kommer- effekten. När en verklig befogad varning kommer riskerar den att tolkas som ännu ett rykte. Skulle funktionen göra bedömningen att skaderisken blir för hög om man skulle vänta på att få en varning bekräftad innan den sprids vidare, måste varningen då kompletteras med information om att varningen ännu inte är bekräftad och uppgifter om hur man senare kan ta reda på aktuell status på varningen (sann, falsk eller obekräftad). Genom information på webbsidor skall funktionen också se till att 
 226 
  
 SOU 2001:41 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 informera om varningar som är bekräftat falska utan att särskild information sprids via kanalerna för varning. 
 Aktiv tidskritisk rådgivning vid akuta  
 IT-incidenter 
  
 Funktionen skall besitta en sådan kompetens att den vid inträffade  
 IT-incidenter 
  skall kunna ge stöd över telefon med rådgivning om akuta åtgärder. Information som funktionen kan ha genom andra organisationers rapportering om liknande incidenter eller genom kontakter med andra  
 IT-säkerhetsorgan 
  kan bidra till att funktio- nen eventuellt har bättre möjligheter än andra aktörer att över- blicka situationen. 
 Ju högre kompetens en funktion har desto fler typer av inciden- ter kan den hantera. Som tidigare påpekats behöver dock inte funktionen ha kravet att kunna lösa djupare kundspecifika pro- blem. Skulle det inträffa att en incident visar sig vara svårbemästrad p.g.a. t.ex. avsaknad av information eller att incidenten är tekniskt komplicerad, skall dock funktionen kunna hänvisa den rapporte- rande organisationen till aktörer med andra möjligheter att assi- stera. Aktörerna kan vara privata konsulter eller en statlig teknik- kompetensfunktion. Med god kännedom om utbudet av tjänster behöver inte  
 IT-incidenthanteringsfunktionen 
  ha kravet att alltid själv besitta spjutspetskompetens inom alla områden av  
 IT-säker- 
  het. Baskompetensen att kunna ge omedelbara generella råd måste dock vara ett minimikrav. 
 När  
 IT-incidenthanteringsfunktionen 
  väljer att hänvisa vidare måste det göras klart att det är den rapporterande organisationen själv och inte funktionen som fattar beslutet om vilken aktör den skall välja att anlita. Det skulle stå i direkt strid mot ansvarsprinci- pen om  
 IT-incidenthanteringsfunktionen 
  på eget initiativ skulle anlita t.ex. en statlig teknikkompetensfunktion för en rapporte- rande organisations räkning. 
 Statistik över  
 IT-incidenter 
  
 Genom att föra statistik över rapporterade incidenter och över sådana incidenter man eventuellt fått kännedom om från andra källor, kan en  
 IT-incidenthanteringsfunktion 
  skapa underlag för analys av olika slag. Ett av de viktigaste syftena med en sådan stati- stik är att kunna avgöra om Sverige och nationella säkerhetsintres- 
 227 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 SOU 2001:41 
  
 sen är utsatta för en bred och systematisk attack av informations- operationer, eller för att finna indikationer på att en sådan attack håller på att förberedas. Detta är naturligtvis av säkerhetspolitiskt avgörande intresse. 
 Funktionen kan möjligen utföra någon egen analys av materialet och statistiken, men lär huvudsakligen rapportera statistiken vidare för analys hos andra instanser, t.ex. en funktion för omvärlds- analys.  
 IT-incidenthanteringsfunktionen 
  måste ha en dialog med avnämarna av statistiken för att dessa skall få ett underlag av hög kvalitet i rätt tid och med uppgifter av relevans för den analys som skall göras. Observera att funktionen inte kan lämna ifrån sig uppgiften att föra statistik eftersom uppgiften kräver tillgång till sekretessmässigt känsliga incidentrapporter som funktionen er- hållit i förtroende. Statistiken får sålunda av en avnämare inte kunna kopplas till någon enskild rapporterande organisation. Funktionen bör dock själv kunna göra den kopplingen för att kunna återföra ett eventuellt resultat av analysen till de organisa- tioner som berörs av resultatet. 
 Kunskapsspridning om  
 IT-säkerhet 
  och skydd mot informations- operationer 
 Medvetenheten och kunskaperna om  
 IT-säkerhet 
  är inte alltid till- fredsställande överallt i samhället. Uppgiften att höja medvetenhe- ten och kunskapsnivån är en av de allra viktigaste på kort sikt för att samhället skall kunna bli robustare och få en ökad  
 IT-säkerhet. 
  Ett robust  
 IT-samhälle 
  är också den viktigaste komponenten i ett gott skydd mot informationsoperationer. 
 Det är naturligt att  
 IT-incidenthanteringsfunktionen 
  är den centrala aktören i denna uppgift att höja medvetenheten och kun- skapsnivån. Detta blir den logiska fortsättningen på funktionens uppgift att sprida varningar och ge allehanda rådgivning om IT- säkerhet. Det betyder dock inte att funktionen själv måste ta fram och sprida all information eller anordna alla slags utbildningar och seminarier om  
 IT-säkerhet. 
  Men funktionen bör ha en överblick över vad som finns och ha en uppgift att kanalisera informationen. Likaledes bör funktionen genom sin överblick uppmärksamma områden där utbudet av utbildning och information är bristfälligt. Genom sitt kontaktnät kan funktionen initiera förbättringar. 
 228 
  
 SOU 2001:41 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 Rådgivning och information 
  
 IT-incidenthanteringsfunktionen 
  bör ha i uppgift att informera och ge generella råd om  
 IT-säkerhet 
  till hela samhället. Funktionen bör ha skriftligt material om  
 IT-säkerhet 
  både i pappersform och publicerat på webbsidor. Funktionen skall även kunna ge enklare råd över telefon utöver den mer avancerade hjälp vid akuta IT- säkerhetsincidenter som funktionen kan ge eller förmedla till myn- digheter och de företag och organisationer som man har avtal med. 
 Funktionen behöver inte nödvändigtvis själv ta fram de råd man förmedlar, utan kan med fördel ta hjälp av expertis från andra in- stanser. T.ex. kan teknikkompetensfunktionen bistå med att ta fram råd om teknisk  
 IT-säkerhet. 
 IT-incidenthanteringsfunktionen 
  skall dock kunna förmedla alla typer av råd och se till att de finns lättillgängliga. 
 Funktionen skall kunna ge generella råd om lämpliga åtgärder vid olika slag av  
 IT-incidenter. 
  Exempel kan vara åtgärder vid virusangrepp, åtgärder vid misstänkta intrångsförsök eller åtgärder vid tillgänglighetsattacker. 
 21  
 Råden skall gälla både hur man kan avbryta en pågående incident samt hur man kan lindra effekterna av den och restaurera efter den. Råden skall vara utformade så att åtgärderna inte försvårar för en eventuell polisutredning om incidenten beror på brottslig verksamhet. 
 Funktionen skall kunna ge generella råd om lämpliga förberedelser för att kunna hantera de  
 IT-incidenter 
  som kan uppstå. Råd skall ges om vilka förberedelser man skall göra för att kunna upptäcka incidenter, t.ex. att alltid ha uppdaterade antivirusprogram och att ha rutiner för logganalys. Råd skall ges om vilka förberedelser man kan göra för att lindra skade- verkningarna av incidenter, t.ex. att ha säkerhetskopior av väsent- liga data och att ha reservsystem till de system som inte får ha långa avbrott i driften. 
 En viktig del i förberedelserna är att ta fram och underhålla or- ganisation och regler för den egna  
 IT-säkerheten, 
  eller i ett vidare perspektiv informationssäkerheten. Man måste ta fram säkerhets- policy, säkerhetsorganisation med ansvarsfördelning, rutiner för val av personal, driftrutiner, rutiner vid inträffade  
 IT-incidenter 
  m.m. En  
 IT-incidenthanteringsfunktion 
  skall kunna ge råd om vad man behöver ta fram för dokument och hur de skall utformas. 
  
 21  
 Tillgänglighetsattacker kallas även  
 DoS-attacker, 
  där DoS är en förkortning för  
 Denial of Service.  
 Begreppet innebär att en angripare förhindrar legitima användare att använda sina datorer, vanligtvis genom att skicka så pass mycket trafik till dem att volymerna överskrider datorernas kapacitet, vilket medför att de kollapsar 
 229 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 SOU 2001:41 
  
 Funktionen skall kunna ge generella råd om skyddsåtgärder genom teknik, organisation eller regler. Exempel på vad funktionen skall kunna ge råd om är vad man bör tänka på när man ansluter sig mot Internet, vilka säkerhetsåtgärder man bör vidta vid installation av olika programvaror eller exempel på olika policyn man kan ha med för- och nackdelar rörande personalens möjlighet att kryptera filer. 
  
 Risk-, 
  sårbarhets- och hotbildsinformation 
 En viktig uppgift för  
 IT-incidenthanteringsfunktionen 
  är att för- medla tillgänglig information om risker, sårbarheter och hotbilder på  
 IT-området. 
  Funktionen skall se till att aktuell information finns tillgänglig och att den delges dem som berörs av informatio- nen. I den mån informationen inte är sekretessbelagd skall den även publiceras. Informationen om hotbilder, dvs. vilka aktörer som kan utgöra ett hot och varför, skall vara anpassad till flera olika kundkretsar såsom privatpersoner, enskilda företag, branscher, myndigheter eller hela staten. Informationen om sårbarheter kan t.ex. omfatta kända problem med olika IT- produkter eller problem som kan uppstå med bristande organisation, rutiner och regelverk. 
 Kombinationen av information om hotbild, sårbarheter och konsekvenser av ett fullföljt angrepp är en riskbedömning. En sådan kan vara möjlig att göra exempelvis om man vid analys av rapporterade incidenter kan identifiera systematiska försök till angrepp. En  
 IT-incidenthanteringsfunktion 
  skall kunna förmedla information om aktuella riskbedömningar. 
  
 IT-incidenthanteringsfunktionen 
  behöver inte nödvändigtvis själv utföra den analys som ligger till grund för informationen, utan kan med fördel erhålla informationen från en funktion för omvärldsanalys. Det är dock viktigt att  
 IT-incidenthanterings- 
  funktionen kan förmedla den information som finns. 
 Kontaktförmedling 
 En viktig uppgift för  
 IT-incidenthanteringsfunktionen 
  är att ha en aktuell förteckning över olika aktörer inom  
 IT-säkerhetsområdet. 
  Det kan gälla att veta vilket ansvar eller vilken kompetens olika myndigheter har inom området, vilka företag som kan erbjuda 
 230 
  
 SOU 2001:41 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 olika tjänster, eller vilka svenska och utländska organisationer som agerar i olika sammanhang på området. Funktionen skall kunna förmedla denna information och gärna själv stimulera till att lämpliga kontakter skapas mellan olika aktörer. Funktionen bör naturligtvis själv sträva efter att ha ett så brett kontaktnät som möjligt, såväl inom som utom landet. 
 Arkiv, bibliotek och databaser 
 En naturlig del i  
 IT-incidenthanteringsfunktionens 
  informations- förmedlande roll är att skapa och upprätthålla arkiv, bibliotek och databaser med all slags information om  
 IT-säkerhet 
  och informa- tionsoperationer. Det kan gälla information om sårbarheter och inträffade incidenter, artiklar i ämnet eller länkbibliotek till olika aktörer. Funktionen kommer att behöva informationen för sitt in- terna arbete. Den information som inte är sekretessbelagd bör även vara tillgänglig för allmän sökning i så stor omfattning som möjligt. 
 Standardisering av terminologi 
 PTS föreslår i sin rapport att  
 IT-incidenthanteringsfunktionen 
  skall kunna delta i framför allt internationellt arbete med att stan- dardisera terminologi vad avser  
 IT-incidenter, 
  sårbarheter, m.m. Sårbarhets- och säkerhetsutredningen tillstyrker detta. Fördelen med att ge en  
 IT-incidenthanteringsfunktion 
  denna uppgift är att funktionen ändå måste etablera lämpliga kontakter i de internatio- nella forum där terminologin standardiseras. Dock måste det röra sig om att delta i arbetet och inte att leda det. Andra instanser i samhället kan vara mer lämpade för detta, såsom Informations- tekniska standardiseringen (ITS) eller möjligen Terminologicent- rum (TNC). 
  
 7.5.6 
  
 Förändringar jämfört med PTS rapport 
  
 Till största delen sammanfaller de av Sårbarhets- och säkerhetsut- redningen föreslagna uppgifterna med de uppgifter som PTS före- slår. Vissa skillnader finns dock. Dessa kommenteras i det följande. 
 231 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 SOU 2001:41 
  
 Kundspecifik rådgivning 
 Det är å ena sidan bra om  
 IT-incidenthanteringsfunktionen 
  kan klara av många typer av frågor om  
 IT-säkerhet. 
  Å andra sidan skall dubbelarbete undvikas. I och med att en teknikkompetensfunktion inrättas behöver inte  
 IT-incidenthanteringsfunktionen 
  ha kravet att kunna åta sig att ge djup kundspecifik rådgivning avseende vare sig preventiva eller akuta åtgärder vid  
 IT-incidenter. 
  Sådan rådgivning kommer att kräva ingående analys och särskild kompe- tens för att kunna lösas på bästa sätt, varför teknikkompetens- funktionen är bättre lämpad att hantera denna rådgivning. Oaktat detta måste  
 IT-incidenthanteringsfunktionen 
  ha en sådan bred kompetens att den snabbt kan ge generella råd om åtgärder vid inträffade incidenter eller förslag på lämpliga skyddsåtgärder. 
 Forskning och utveckling 
 Forskning och utveckling bör företrädesvis bedrivas av andra in- stanser, såsom FOI och högskolor. En annan sak är att en  
 IT-inci- 
  denthanteringsfunktion lämpligen har goda kontakter med forskare och institutioner där forskning och utveckling bedrivs. 
 Hotbildsanalys 
  
 IT-incidenthanteringsfunktionen 
  har en viktig uppgift att analysera inträffade incidenter för att kunna urskilja systematiska och kvalificerade angrepp. Funktionen behöver också analysera inci- denter för att på bästa sätt kunna fullgöra sina uppgifter att varna och ge omedelbar hjälp. 
 För att fullständigt kunna identifiera systematiska och kvalifice- rade angrepp och för att kunna komplettera till en hotbildsanalys, krävs dock ytterligare information från bl.a. underrättelsetjänst. Funktionen kommer att sakna sådan information, varför den analys funktionen utför med ett bearbetat underlag måste ges vidare till funktionen för omvärldsanalys och till det tvärsektoriella samordningsorganet. Endast i dessa instanser kan man ha tillräckligt underlag för att kunna utföra djupare analys och bearbetning och därmed säkert kunna uppfatta förändringar i hotbilden. I och med att dessa instanser får utföra den djupare analysen löser man också ett problem som någon remissinstans påpekat, att man inte bör blanda analys med operativ verksamhet. 
 232 
  
 SOU 2001:41 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 Samordning vid pågående  
 IT-incidenter 
  
 Att samordna vid pågående  
 IT-incidenter 
  faller naturligt på ett tvärsektoriellt samordningsorgan, varför uppgiften formellt sett inte skall åläggas  
 IT-incidenthanteringsfunktionen 
  såsom PTS föreslår. Men samordningsorganet bör å andra sidan utnyttja det kontaktnät som  
 IT-incidenthanteringsfunktionen 
  faktiskt kommer att ha.  
 IT-incidenthanteringsfunktionen 
  kommer därför sannolikt i praktiken, om än inte formellt, att bidra till samordningen på det sätt PTS föreslår. 
 Utvecklingsperiod 
 PTS föreslår att  
 IT-incidenthanteringsfunktionen 
  inrättas på för- sök i två år. De flesta remissinstanser har samtyckt till detta. Några har dock anfört farhågor att detta dels kan leda till att funktionen inte kommer att kunna rekrytera kompetent personal, dels att funktionen kommer att bli omöjlig att utvärdera. Sårbarhets- och säkerhetsutredningen finner att dessa farhågor väger tungt. Samti- digt kan man konstatera att en överväldigande majoritet av remiss- instanserna tillstyrker att en  
 IT-incidenthanteringsfunktion 
  George. Det är därför osannolikt att en försöksperiod skulle följas av att funktionen läggs ner. Internationella jämförelser tyder inte heller på detta. Därför föreslår utredningen att funktionen inrättas permanent, med en utvecklingsperiod på två år, efter vilken en ut- värdering av funktionen genomförs. 
 Några remissinstanser har föreslagit att en referensgrupp in- rättas, sammansatt av representanter från myndigheter med kompetens på  
 IT-säkerhetsområdet. 
  Gruppens uppgift skall vara att följa funktionen och att efter utvecklingsperioden utvärdera den efter på förhand angivna kriterier. Sårbarhets- och säkerhets- utredningen samtycker till detta förslag. 
 Frivillig eller obligatorisk incidentrapportering 
 PTS finner att nuvarande sekretesslagstiftning inte medger en rapporteringsplikt, och föreslår i stället att myndigheter rapporte- rar frivilligt under de första två åren. Under den tiden kan behovet av en plikt och möjligheterna till författningsändringar utredas. En majoritet av de remissinstanser som tar upp frågan anser att en rapporteringsplikt vore önskvärd. Sårbarhets- och säkerhetsutred- 
 233 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 SOU 2001:41 
  
 ningen instämmer med dessa remissinstanser, och föreslår därför att en rapporteringsplikt för samtliga statliga myndigheter införs redan från början. För att inte en sådan plikt skall strida mot sek- retesslagen medan den ses över och eventuellt revideras, komplet- teras plikten med att respektive myndighet sekretessgranskar de detaljer som lämnas ut om inträffade incidenter. Detta kan medföra att kvaliteten på rapporteringen inledningsvis blir något sämre, men inte kvantiteten. 
 Typ av  
 IT-incidenter 
  som skall hanteras 
 PTS föreslår att  
 IT-incidenthanteringsfunktionen 
  skall beakta IT- incidenter som innebär angrepp, dvs. intrångsförsök och datain- trång, avsiktlig störning av tillgänglighet, datavirus och trojaner, civila informationsoperationer, informationsattacker samt nya ty- per av  
 IT-incidenter. 
  
 Flera remissinstanser har haft synpunkter på detta. En del har befarat att detta kommer att innebära att alltför många incidenter skall behöva rapporteras. Man har önskat en begränsning som gör att t.ex. enkla virus som stoppas av antivirusprogram inte skall be- höva rapporteras. Några har även funnit terminologin främmande. 
 Sårbarhets- och säkerhetsutredningen föreslår att man inför be- greppet  
 IT-säkerhetsincident. 
  Denna term är hämtad från en ma- gisteruppsats av Rich, 
 22  
 i vilken bl.a. föreslås en enhet- lig terminologi inom området  
 IT-incidenthantering. 
  Begreppet IT- säkerhetsincident definieras där som en händelse som är säkerhets- kritisk för  
 IT-verksamheten. 
  
 Med denna begränsning av de incidenter som skall rapporteras kommer inte mindre allvarliga händelser att omfattas, såsom virus som stoppas av antivirusprogram. Därigenom uppnås att funktio- nen slipper en onödig arbetsbelastning och att man eliminerar in- formation som kan vara störande vid en analys. Man kommer där- emot att inkludera  
 IT-incidenter 
  som kan vara säkerhetskritiska utan att man för den skull har kunnat avgöra om de beror på brottslig verksamhet eller ej. Sådana händelser kan vara nog så vik- tiga att få med i en nationell statistik. 
  
 22  
  
 Rich:  
 Incidentorganisation och incidenthantering.  
 Stockholms Universitet DSV/KTH  
  
 1999–2000. 
  
 234 
  
 SOU 2001:41 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 7.5.7 
  
 Organisatoriska överväganden 
  
 PTS föreslog i sin rapport att  
 IT-incidenthanteringsfunktionen 
  skulle organiseras av PTS. För att kunna ge funktionen bästa förut- sättningar att garantera sekretessen på de inrapporterade inciden- terna har dock utredningen funnit att funktionen bör ges en fristå- ende ställning. Utredningen anser vidare att funktionen bör organiseras i högskolemiljö med teknisk kompetens. Därigenom skapas goda förutsättningar för funktionens kompetensförsörj- ning. 
 Funktionen kommer inte att bli tillräckligt stor för att motivera att den blir en fristående myndighet under något departement, varför den bör ha en chefsmyndighet. Det finns flera tänkbara myndigheter som skulle kunna vara chefsmyndighet. PTS har genom att utreda förutsättningarna för funktionen även en hög beredskap för att relativt snabbt bygga upp funktionen. Plane- ringsmyndigheten kommer att ta med sig erfarenheterna av ÖCB:s försök med incidentrapportering. Utredningen anser dessa vara de två främsta alternativen. Utredningen anser att det är viktigt att funktionen byggs upp snarast möjligt, och finner att PTS med sin beredskap inför uppgiften därför har bäst förutsättningar att vara chefsmyndighet. 
 Det bör påpekas att flera remissinstanser har förordat andra lös- ningar än att låta PTS organisera funktionen. Även om funktionen blir en egen myndighet, finns ändå en koppling till PTS, om än svag, med PTS som chefsmyndighet. Därför föreslår utredningen att  
 IT-incidenthanteringsfunktionen 
  utvärderas efter två års ut- veckling, och att i denna utvärdering ingår en förutsättningslös prövning av huvudmannaskapet. 
  
 7.6 
  
 Omvärldsanalysfunktionen 
  
 Ett effektivt  
 IT-säkerhetsarbete 
  förutsätter att man noga följer ut- vecklingen i omvärlden och analyserar dess konsekvenser för IT- säkerheten. Bevakning bör inte endast inriktas på  
 IT-relaterade 
  frågor utan också avse samhällsutvecklingen i stort samt områden som är beroende av en fungerande  
 IT-verksamhet. 
  Det är också väsentligt att den tekniska utvecklingen inom  
 IT-området 
  bevakas noga i syfte att skapa beredskap att möta inslag i utvecklingen som kan ge upphov till nya typer av  
 IT-hot. 
  Den tekniska utvecklingen bör därför fortlöpande analyseras från säkerhetssynpunkt. Bevak- 
 235 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 SOU 2001:41 
  
 ningen bör särskilt uppmärksamma allvarliga händelser såsom in- formationsoperationer. 
 Det bör vara en naturlig del av omvärldsanalysfunktionens verk- samhet att följa utvecklingen på Internet. Detta bör ske i syfte att identifiera och bedöma företeelser, trender och aktiviteter som kan bidra till att fördjupa omvärldsanalysen i stort. Detta är motiverat med hänsyn till att Internet på kort tid har framträtt som ett nytt väsentligt informationsmedium vid sidan av andra medier som tid- ningar, radio, TV och litteratur. 
 En kvalificerad omvärldsbevakning är resurskrävande. Det är nödvändigt att följa utvecklingen inom en rad specialområden genom egna analyser eller genom att ta del av analyser som görs av andra. Den snabba tekniska utvecklingen medför dessutom att genomgångar av utvecklingen inom ett delområde måste upprepas relativt ofta för att inte bli inaktuella. Det är också angeläget att ha ett omfattande samarbete med analysfunktioner hos organ inom och utom landet som arbetar med liknande frågor. Detta är ett sätt att stämma av och kvalitetssäkra de bedömningar som görs. 
 Av dessa skäl är det inte lämpligt att bygga upp en fristående omvärldsanalysfunktion inom  
 IT-säkerhetsområdet. 
  Omvärlds- analysfunktionen inom detta område bör därför integreras i den omvärldsanalysfunktion som föreslås i kapitel 5. Man kan då ta till- vara de synergieffekter som uppstår, t.ex. vid den generella bevak- ningen av samhällsutvecklingen och den tekniska utvecklingen inom infrastrukturområdet. Synergieffekter bör också finnas i den internationella kontaktverksamheten. 
 Med dessa förutsättningar kan omvärldsanalysfunktionen inom  
 IT-säkerhetsområdet 
  ha en relativt liten fast personalstyrka. Det torde också vara värdefullt för planeringsmyndighetens övriga om- världsbevakning att ha nära kontakt med omvärldsbevakningen inom  
 IT-säkerhetsområdet. 
  Enligt utredningens förslag skall plane- ringsmyndigheten också vara  
 IT-säkerhetsmyndighet 
  och fungera som sekretariat till det  
 IT-säkerhetssamordningsorgan 
  som utred- ningen föreslår inom Regeringskansliet. Detta är ytterligare ett motiv till varför omvärldsanalysfunktionen inom  
 IT-säkerhetsom- 
  rådet bör kopplas till planeringsmyndigheten. 
 236 
  
 SOU 2001:41 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 7.7 
  
 Ett system för certifiering av  
  
 IT-produkter 
  
 7.7.1 
  
 Bakgrund 
  
 Problemen med sårbarheten i samhällets informationssystem upp- märksammas i nyhetsmedier i sort sett varje dag. Rapporterna kan röra sig om intrång i kommersiella system för  
 Internet-tjänster, 
  avancerat spionage i industrins utvecklingsmiljöer eller omfattande hackerangrepp via manipulerade hemdatorer. Hotet från informa- tionsoperationer belyser ytterligare sårbarhetsfrågorna för särskilt kritiska system i infrastrukturen, men också den horisontella störning som kan uppstå vid attacker riktade mot ett stort antal mål inom en eller flera samhällssektorer. 
 Certifiering av  
 IT-säkerhet 
  med stöd av internationellt accepte- rade standarder är ett viktigt område för att skapa tillit och förtro- ende såväl inom en organisation som mellan olika parter. Certifie- ring berör i huvudsak två  
 ISO/IEC-standarder. 
  Den första, ISO/IEC IS 15408,  
 Evalueringskriterier för  
  
 IT-säkerhet 
 , 
  också kallad  
 Common Criteria 
 , behandlar grunden för certifiering vad gäller granskning och evaluering av teknisk  
 IT-säkerhet 
  (produkt- och systemcertifiering). Den andra rör certifiering av ledning av informationssäkerheten i en organisation. Sedan 1999 finns en svensk standard, SS 62 77 99,  
 Ledningssystem för informationssäker- het,  
 som är en svensk bearbetning av den internationella standarden IS 17799,  
 Code of practice for information security management 
 . När det gäller åtgärder för att höja säkerheten i vid bemärkelse i sam- hällets användning av IT är viktigt att satsa resurser på såväl grundläggande teknisk  
 IT-säkerhet 
  som säkerhet i organisationers användning av informationssystem. I detta avsnitt behandlas inte närmare certifiering av ledningssystem för informationssäkerhet. 
 För att kunna granska säkerheten i en produkt eller i ett system krävs en beskriven metodik. Alltför många fall i verkligheten visar på hur man annars i en informell teknisk granskning i efterhand lätt råkar ut för stora svårigheter att påvisa vad som granskningen omfattat och vilken metodik som egentligen tillämpats. Ofta uppstår också brister i dokumentationen av den informella processen. 
 Säkerhetsfunktioner i olika systemkomponenter måste fungera väl och ha motståndskraft mot direkta attacker. Den totala upp- sättningen säkerhetsfunktioner måste också vara tillräcklig för att kunna avbilda verksamhetens regler för åtkomstkontroll, identifie- ring, loggning, larm etc. Helheten i säkerhetslösningarna är här 
 237 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 SOU 2001:41 
  
 väsentlig; säkerhetsfunktionerna i systemet måste tillsammans (också i inbördes samverkan) kunna etablera ett fungerande skydd. 
  
 7.7.2 
  
 Behovet av tillit 
  
 En fortlöpande höjning av säkerheten i informationssystem och nätverk är en grundförutsättning för det framtida informations- samhället. Användarna är beroende av säkerhetsegenskaperna hos de produkter som används för att bygga upp olika system. Dessa egenskaper rör dels förekomsten av de säkerhetsfunktioner som behövs för att uppfylla önskade regler och policy, dels tillit till eller förtroende för att dessa funktioner verkligen fungerar och har en tillräcklig motståndskraft mot attacker. 
 Fackbegreppet för måttet på detta förtroende är assurans. Åt- gärder för att skapa detta kan normalt inte hanteras inom den egna organisationen. Få organisationer har resurser och kompetens för att kunna bedöma säkerheten i de produkter man avser att använda. Man är här beroende av generella, gemensamma åtgärder. Detta gäller i första hand åtgärder som syftar till att reducera sannolikheten för förekomsten av svagheter som någon kan utnyttja i de tekniska lösningarna. Åtgärderna höjer därmed säkerheten i dessa tekniska lösningar. Granskning av de tekniska säkerhetsegenskaperna kallas normalt evaluering. Denna typ av granskning sker i många länder av oberoende tredje part; särskilt godkända och ackrediterade företag. 
 23  
 Resultaten fastställs av certifieringsorgan som även har till uppgift att, ofta tillsammans med det nationella ackrediteringsorganet, övervaka evaluerings- företagen vad gäller deras rutiner, metoder och kompetens. I många länder är även certifieringsorganen själva ackrediterade av den nationella ackrediteringsmyndigheten. 
  
 I regeringens proposition  
 Ett informationssamhälle för alla 
 24  
  
 framhålls vikten av ett fördjupat arbete kring frågor som rör skydd mot informationsoperationer, säkrare Internet, elektroniska sig- naturer och annan säkerhetsteknik. Insatserna skall inriktas mot att skapa förtroende för den nya tekniken genom att bidra till bättre generella förutsättningar för informationssäkerhetsarbetet. Vidare fäster regeringen stor vikt vid de internationella frågorna i infor- mationssäkerhetsarbetet. Sverige skall även i framtiden ha en aktiv roll i det internationella arbetet med dessa frågor. 
  
 23 
  
 På engelska IT Security Evaluation Facilities; ITSEF 
  
 24 
  
 Prop. 1999/2000:86 
  
 238 
  
 SOU 2001:41 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 Ett viktigt exempel på internationell samverkan är i detta sam- manhang den under 2000 tillskapade internationella överenskom- melsen för erkännande av  
 IT-säkerhetscertfikat 
  (Recognition Ar- rangement for IT Security Certificates) baserade på IS 15408. 
 Syftet med denna överenskommelse är att tillse 
 att evalueringar utförs enligt en väldefinierad, internationellt accepterad standard 
 att evalueringsresultat allmänt upplevs som att kraftfullt bidrag till förtroende för säkerheten i granskade produkter 
 en förbättring av tillgången till evaluerade, säkerhetsförstärkta produkter 
 att man eliminerar dubblering av kostnader för upprepade evalueringar i olika länder 
 att man kontinuerligt förbättra effektivitet och kostnadsbild för evaluerings- och certifieringsprocesserna. 
 Bland undertecknarna finns i dag representanter från fjorton av de ledande industriländerna. Bland dessa finns dels länder som redan i dag har egna procedurer för evaluering och certifiering, 
 25  
 dels sådana som f.n. saknar sådana men som likväl har ett berättigat in- tresse av insyn i hur certifiering går till och de inom gruppen tillämpade metoderna för inbördes inspektion av certifieringsorga- nen i respektive land. Sverige har ännu inte undertecknat denna överenskommelse. Sårbarhets- och säkerhetsutredningen anser att Sverige utan dröjsmål skall underteckna överenskommelsen. Delta- gandet torde ligga väl i linje med regeringens uttalanden om vikten av internationell samverkan inom  
 IT-säkerhetsområdet. 
  
 7.7.3 
  
 Utvecklingen i omvärlden 
  
 Idealt borde säkerheten i ett  
 IT-system 
  testas genom att utsätta det för varje tänkbar kombination av indata eller insignaler och samti- digt observera om säkerheten vid något tillfälle åsidosatts. Detta kallas uttömmande testning, vilket i praktiken är omöjligt att ut- föra p.g.a. de ofantligt många kombinationer av indata eller insig- naler som normalt finns. 
 Andra vägar måste därför prövas. Under slutet av  
 1960-talet 
  och början av  
 1970-talet 
  genomförde det amerikanska försvaret ett 
  
 25  
 Beskrivning av ett stort antal länders system för evaluering och certifiering redovisades vid den första internationella konferensen för IS 15408 ( 
 Common Criteria 
 ) i Baltimore, USA maj 2000. Se  
 Burke 
  
 239 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 SOU 2001:41 
  
 större antal framgångsrika intrångsförsök (aktiv  
 IT-kontroll 
  eller s.k.  
 Red  
  
 Team 
 -operationer) 
  mot egna system. Det framgick snart att inriktningen att (enbart) försöka rätta till efterhand upptäckta svagheter inte var en framgångsrik väg. 
 26 
  
 I stället initierades ett forskningsprogram som ledde fram till följande slutsatser. Den säkerhetskritiska delen av systemet: 
 måste vara väl isolerad och modulariserad dvs. finnas i en väl definierad, isolerad och separat fungerande enhet så att den går att granska, 
 måste ha en del som har ansvar för alla åtkomstbeslut, måste alltid vara aktiv, 
 får inte kunna kringgås. 
 För att kunna uppnå detta föreslogs ett antal kriterier (på olika noggrannhetsnivåer) som definierade de olika granskningsåtgär- derna. 
 27  
 En liknande utveckling följde i Europa och Kanada. 
 28  
 Det gemensamma syftet var att främja en utveckling av kommersiella säkerhetsprodukter (inklusive traditionella produkter med ingå- ende säkerhetsfunktioner) som bättre kunde möta säkerhetsmed- vetna köpares krav på säkerhet. 
 En fokusering på försök att påvisa och korrigera existerande svagheter är med andra ord otillräcklig som metod för att komma till rätta med de grundläggande problemen. I stället måste kon- struktion och uppbyggnad av säkerheten genomföras på ett konse- kvent och genomtänkt sätt. Kriterier för granskningsåtgärder har inriktats mot krav på undersökning av konstruktionsprinciper och genomförande. Säkerställande av spårbarhet från identifierade hot och säkerhetsbestämmelser till framtagna säkerhetsfunktioner och mekanismer har blivit en central del av arbetet. Som en del av granskningen genomförs ibland även intrångstester, i första hand för att påvisa att funna brister kan utnyttjas i praktiken. 
 Granskningen innebär således att en part, utvecklaren, skall kunna övertyga någon annan, granskaren (evalueraren) att kon- struktion i fråga om principer och övergripande lösning samt reali- 
  
 26 
  
 Denna inriktning (kallas i USA  
  
 Penetrate and Patch 
 ) används med fördel för att påvisa existerande svagheter i produkter och konfiguration och är i samband med övningar ett effektivt hjälpmedel för att öka driftpersonalens uppmärksamhet och förståelse. Upptäckta och publicerade svagheter bör alltid snarast åtgärdas eftersom dessa ofta utnyttjas som grund för angrepp. Metoden kan däremot inte användas för att bevisa att ett system är säkert 
  
 27 
  
 Trusted Computer System Evaluation Criteria 
  
 ; TCSEC; 1983.  
  
 US-MIL-STD 
  
  5200.28, 1985. 
  
 28 
  
 I Europa,  
  
 IT Security Evaluation Criteria  
 (ITSEC), 1990, 1992. I Kanada,  
 Canadian Trusted Computer Product Evaluation Criteria  
 (CTCPEC), 1990, 1991 
 240 
  
 SOU 2001:41 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 sering svarar mot i förhand fastställda granskningskrav. Ambitio- nen har varit att leverantörerna skall lägga ökad vikt vid omsorgs- full design av säkerheten i tidigt skede av utvecklingen som en lön- sam och effektiv väg mot bättre säkerhetsegenskaper. Ur använ- darnas synvinkel handlar evaluering om att skapa ett mått på önsk- värt förtroende och tillit som ett sätt att reducera sannolikheten för kvarstående svagheter som kan utnyttjas, och därmed reducera riskerna. 
 Tidigare i huvudsak militärt inriktade regler och bedömnings- kriterier har i dag ersatts av kommersiellt orienterade system för evaluering (teknisk säkerhetsgranskning) och certifiering. Arbetet som bedrivits genom internationellt samarbete, syftade till att er- sätta de tidigare nationella eller regionala regelverken med en gemensam standard. Under 1999 fastställdes den nya internatio- nella standarden IS 15408,  
 Evalueringskriterier för  
  
 IT-säkerhet 
  
  (Common Criteria). 
  
 Evaluering innebär att en oberoende part granskar konstruktion och dokumentation enligt fastställda granskningskriterier. Dessa granskningskriterier kan ha olika nivåer. Som exempel kan nämnas att i IS 15408 finns sju fördefinierade nivåer som definierar gransk- ningsåtgärder med successivt ökande krav. Den lägsta nivån inne- bär mycket begränsade åtgärder såväl vad gäller leverantörens underlag som insatsen för evaluering och certifiering. Evalueringar på denna nivå kan genomföras på kort tid. Höga nivåer kräver större insatser och kan, i synnerhet för komplicerade produkter, ta tämligen lång tid. Genom att erbjuda sju olika nivåer kan användare av standarden hos leverantörer respektive upphandlande enheter på kundsidan välja en lämplig nivå med hänsyn till marknadsbehov, kostnader och risker. 
 Under perioden  
 1988–1991 
  formulerade Storbritannien, Frankrike, Tyskland och Nederländerna gemensamt nya kriterier för evaluering av  
 IT-säkerhet 
  ( 
 IT Security Evaluation Criteria 
 ; IT- SEC), vilka rekommenderades av EU:s Ministerråd i en rekom- mendation i april 1995. Arbetet fokuserades på specifikation av granskningskraven och skilde sig gentemot de tidigare amerikanska kriterierna främst genom att inte längre vara inriktade mot opera- tivsystem för fleranvändarsystem samt genom att förutsätta att granskningen kunde genomföras effektivare och snabbare än tidigare. Det senare åstadkoms genom att tydliggöra dokumenta- tions- och granskningsåtgärderna samt genom att lita till obero- ende evalueringsföretag. Däremot lämnades frågan om hur krav på säkerhetsfunktioner (funktionalitet) skulle uttryckas utanför. 
 241 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 SOU 2001:41 
  
 Under  
 1990-talet 
  har Kanada, USA, Storbritannien, Frankrike och Tyskland (inledningsvis även Nederländerna) gemensamt tagit fram underlag för en internationell uppsättning kriterier. 
 29  
 Arbetet har bedrivits i nära samverkan med internationella standardise- ringsorgan (ISO/IEC) och ledde 1999 fram till IS 15408. Ett stort antal länder tillämpar i dag denna standard på nationell nivå. Ett antal ledande länder (USA, Kanada, Storbritannien, Tyskland, Frankrike m.fl.) ingår i den aktiva gruppen. 
 Arbetssättet i Europa har inneburit att leverantören själv genom avtal med något godkänt evalueringsföretag arrangerat evaluering av sin produkt. USA har nu byggt nu upp ett liknande system (NIAP –  
 National Information Assurance Program 
 ). För att möta risken för att evalueringsföretaget kommer under ekonomiskt tryck från leverantören att avge en positiv rapport låter man ett certifieringsorgan granska evalueringsresultatet och först därefter ge ut ett certifikat samt utöva tillsyn över evalueringsföretaget så att det arbetar med godkänd metodik och med erforderlig kompe- tens. Evalueringsföretaget måste även kunna upprätthålla en hög sekretessnivå vad gäller företagshemliga konstruktionsdetaljer som granskarna i vissa fall behöver kunna ta del av. 
 Till skillnad mot tidigare nationella och regionala kriterier inne- fattar den nya standarden även ett bibliotek över kravkomponenter för ett stort antal olika funktionsegenskaper (för säkerhetsfunktio- ner) vilket avsevärt underlättar och förstärker specifikations- processen när det gäller att uttrycka verifierbara krav på säkerhets- funktionerna. 
 En utveckling har också inletts där intressenter och organisatio- ner på kundsidan utvecklar generella kravprofiler för olika produkttyper (s.k. skyddsprofiler –  
 Protection Profiles 
 ). Härigenom förväntas utvecklingen mot en bättre avpassad säkerhet i olika  
 IT-produkter 
  främjas. Upphandlingar kan där så är lämpligt enkelt referera till önskad skyddsprofil. Leverantörernas arbete med att beskriva egenskaperna hos sina produkter enligt standardens krav (Security Target) underlättas också. 
  
 29  
 Till skillnad mot tidigare förfarande i USA (med evaluering utförd av myndighet) har man satsat på att speciellt godkända evalueringsföretag (IT Security Evaluation Facility; ITSEF) skall utföra evalueringen, normalt på uppdrag av utvecklaren/leverantören. Resultatet granskas sedan av en separat, oberoende certifieringsfunktion som kontrollerar att granskningen skett med fastställd metodik och kompetens. Certifieringsfunktionen ger därefter ut ett certifikat som bevis på detta – till stöd för marknaden. 
 242 
  
 SOU 2001:41 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 7.7.4 
  
 Utvecklingen i Sverige 
  
 Området certifiering av  
 IT-säkerhet 
  har analyserats av ett antal ut- redningar och projekt under  
 1990-talet. 
 30 
  
 Arbetet har bedrivits mot bakgrund av den pågående internationella utvecklingen. 
 Inom samtliga länder med egna procedurer för certifiering har man valt att göra denna funktion myndighetsanknuten. Detta har skett bl.a. med hänsyn till områdets koppling till nationell säkerhet men också mot bakgrund av behovet att kunna ha tillgång till avan- cerad kompetens. Samtliga myndigheter har en nära koppling till säkerhetsorgan i de aktuella länderna. Senast efter en offentlig ut- redning har man i Norge valt att lägga denna funktion på Sikkerhetsstaben i Oslo. 
 I detta sammanhang har Styrelsen för ackreditering och teknisk kontroll, SWEDAC, med hänvisning till lagen om teknisk kontroll (1992:1119), framhållit vikten av att certifieringsfunktionen inte får göras till ett statligt monopol. För kritiska delar av statsförvalt- ningens verksamhet skulle detta kunna utgöra ett problem, då Sverige som ett litet land knappast har utrymme för mer än en cer- tifieringsfunktion. Inte minst totalförsvaret behöver låta evaluera produkter som har tagits fram för totalförsvarets egna behov, t.ex. kryptosystem. Att därvid helt kommersialisera certifieringsverk- samheten, med stark potential av utländskt inflytande, är inte lämpligt. Det är troligt att andra länder kommer att se det som märkligt om vitala behov inom den offentliga sektorn inte möts genom att sektorn själv utövar noggrann tillsyn och kontroll. Därför är det väsentligt att det etableras en certifieringsfunktion i statlig regi. 
 Problemet ligger till del i att statens egna behov inte enkelt kan lösas genom samverkan mellan myndigheterna (på eget initiativ). 
 31  
 Det är tydligt att den offentliga sektorns behov inte kan lösas utan åtgärder från regeringen. Det torde nu krävas en samordning för att klara ut statens roll och behov. I synnerhet totalförsvaret har kontinuerliga behov av evaluering som dock hittills i huvudsak endast berört speciellt framtagna produkter. I andra fall har evaluering måst utföras utomlands. 
  
 30 
  
 Statskontorets utvecklingsråd,  
  
 DAS-90-studien 
  (projekt inom Statskontorets Utvecklingsråd),  
 IT4-projektet 
  Certifiering av  
 IT-Integritet 
  [CITI] 1992, förslag från SAMS och Statskontoret samt SWEDAC 
  
 31 
  
 Efter  
  
 DAS-90-arbetets 
  avslutande förbereddes i dåvarande Försvarsstaben ett certifieringsråd med deltagande från Statskontoret, Rikspolisstyrelsen och ÖCB. Initiativet föll dock på förvaltningsrättsliga problem som beslutanderätt, överklagande, osv. 
 243 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 SOU 2001:41 
  
 Frågan gäller emellertid inte bara den offentliga sektorns egna behov. Exporterande företag inom  
 IT-sektorn 
  måste kunna kon- kurrera framgångsrikt på den internationella marknaden. Flera företag har efterfrågat möjligheter att låta sina produkter evalueras i Sverige. Många företag känner tveksamhet att överlämna detalje- rat konstruktionsunderlag till utländska företag eller tvingas över- sätta underlag och beskrivningar från svenska. Ett antal företag har uttryckt intresse för att etablera sig som evalueringsföretag. 
  
 I  
  
 IT-propositionen 
  
 Åtgärder för att bredda och utveckla använd- ningen av informationsteknik 
 32  
  
 från 1996 talas om behovet av att utveckla system för certifiering av  
  
 (IT-säkerhets-) 
  
  produkter. Sverige bör snarast stödja de internationella ansträngningarna att tillämpa IS 15408 och därvid bygga upp ett sådant system. Statens roll som kravställare, både för egen del, och omsorg om säkerheten i kritiska infrastrukturer inom IT- och kommunikationsområdet talar för att staten aktivt bör verka för att ett system för certifiering av  
  
 IT-säkerhet 
  
  i produkter och system kommer till stånd. 
  
 7.7.5 
  
 Utredningens förslag till certifieringsfunktion för IT- säkerhet i produkter 
  
 Som redovisats ovan föreligger i dag en brett tillämpad internatio- nell standard, ISO/IEC IS 15048, för värdering av  
 IT-säkerhet. 
  Standarden kan appliceras på såväl produkter som på enskilda IT- system. Produktevalueringarna dominerar och avser normalt kom- mersiellt tillgängliga produkter. I vissa fall förekommer det att produkter som inte finns på den öppna marknaden evalueras – det gäller framför allt speciella kommunikationssäkerhetskomponenter som kryptosystem, envägsnätfilter m.m. speciellt utvecklade för statens räkning. 
 Flera inom försvaret pågående projekt har behov av evaluering av olika produkter, där man hittills i flera fall tvingats söka sig utomlands. Svensk  
 IT-industri 
  har också efterfrågat tillgång till ett svenskt system för evaluering och certifiering. Sårbarhets- och säkerhets utredningen föreslår att inom landet byggs upp ett system med en sådan funktion. Härvid erfordras ett svenskt regel- verk för hur evaluerings- och certifieringsprocesserna skall realise- ras. Det torde vara lämpligt att här bygga på erfarenheter från de länder som sedan ett antal år har etablerat egna system. Vidare 
  
 32  
 Prop. 1995/96:125, bet. 1996/96:TU19, rskr. 1995/96:282 
 244 
  
 SOU 2001:41 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 krävs en uppbyggnad av evalueringsföretag som kan utföra det egentliga granskningsarbetet. Ett antal svenska företag har uttryckt intresse för att etableras sig för denna typ av uppgift. SWEDAC bör i detta sammanhang medverka vid ackreditering enligt interna- tionella krav av såväl evalueringsföretag (EN 45001; ISO Guide 25) som certifieringsfunktion (EN 45011; ISO Guide 65). 
 Till certifieringsfunktionens uppgifter bör höra: 
 Licensiering av evalueringsföretag efter de principer som tillämpas i andra länder. 
 Stöd och rådgivning vid utnyttjande av evalueringsstandarden för kravspecifikation. 
 Tillsyn av evalueringsföretagen vad gäller kompetens och metodik (i samverkan med SWEDAC). 
 Godkännande av nya evalueringsuppdrag till evalueringsföreta- gen i syfte att säkerställa en rimlig balans mellan ambitionsnivå (vad gäller assuransnivå), produktens komplexitet, bedömd erforderlig tid och resursåtgång. 
 Uppföljning av pågående evalueringsprojekt. Gransknings av evalueringsrapporter. Utgivande av certifikat. 
 Internationell samverkan i syfte att säkerställa och vidmakthålla erkännande av svenska certifikat. 
 Internationell samverkan i syfte att utveckla effektivare meto- dik för evaluering. 
 Lagen om teknisk kontroll (1992:1119) tillkom som ett resultat av en strävan från statsmakterna att avreglera området provning och certifiering. Grunden för ömsesidigt erkännande skall vara interna- tionella standarder och ackreditering via det statliga ackrediterings- organet, i Sveriges fall SWEDAC. SWEDAC anmäler ackredi- terade organ till omvärlden. Ett sådant anmält organ är en av SWEDAC oberoende institution eller motsvarande med uppgift att prova en produkts överensstämmelse med standard och som regeringen har anmält till  
 EG-kommissionen. 
  
 Principen att staten inte skall ha ensamrätt inom certifierings- området är både riktig och viktig. Dock torde utrymmet för konkurrens för själva certifieringsfunktionen vara begränsat. Som tidigare påpekats torde det vara mindre lämpligt att helt kommersialisera certifieringsverksamheten. Flera länder har låtit 
  
 sina 
  
 certifieringsorgan 
  
 ackrediteras 
  
 av 
  
 den 
  
 nationella 
  
 ackrediteringsmyndigheten. 
  
 Samtidigt är 
  
 tillkomsten 
  
 av den 
  
 245 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 SOU 2001:41 
  
 internationella överenskommelsen angående erkännande av IT- certifikat ett tecken på en särskild omsorg att säkerställa en jämn och hög nivå på kvaliteten i utfört arbete. Utgångspunkten anges ha varit att endast de aktiva certifieringsorganen har tillräcklig kunskap och kompetens för att utföra den erforderliga kvalificerade granskningen av organen själva (inbördes granskning,  
 peer review 
 ). Detta kan möjligen ses som en risk för dubbelarbete, men har motiverats, dels av nämnda kompetensskäl, dels med hänsyn till  
 IT-säkerhetsområdets 
  särskilda betydelse för den nationella säkerheten. Till saken hör även att granskningsarbetet i grunden skiljer sig från sedvanlig testning mot överensstämmelse i så motto att man i säkerhetssammanhang strävar efter att skapa underlag och förtroende för  
 icke-existens 
  (av svagheter), snarare än ett verifiera viss på förhand definierad funktion. 
 Tidigare utredningar och projekt har diskuterat hur en certifie- ringsfunktion kan etableras inom landet. Bland remissvaren på  
 CITI-rapporten 
 33 
  
 föreslog bl.a. Försvarsindustriföreningen att För- svarets Materielverk (FMV) borde få i uppgift att inrätta en sådan funktion. 
 Det är väsentligt att funktionen har erforderlig kunskap om säkerhetstekniska svagheter och om hur evaluering i praktiken går till. Därför har utredningen funnit att FMV, som sedan slutet av  
 1980-talet 
  arbetat med evaluerings- och certifieringsfrågor, är lämpat att bygga upp en statlig certifieringsfunktion. Med den kompetens och erfarenhet på området FMV har torde funktionen kunna byggas upp där snabbare än någon annanstans. FMV bör in- ledningsvis erhålla detta uppdrag med särskilt anslag. Efterhand kan del av certifieringsfunktionen vara självfinansierad via avgifter som tas ut i samband med varje certifiering (t.ex. som en viss andel av evalueringskostnaden). Viss del av funktionens kostnader bör dock även på längre sikt finansieras i särskild ordning. För uppbyggnadsarbetet kan initialt krävas extra resurser. 
 Ett system för evaluering och certifiering är av vikt också för den allmänna utvecklingen mot bättre  
 IT-säkerhet 
  i samhället. En certifieringsfunktion bör därför i sammanhanget ses som ett stöd inte bara för försvarssektorn utan i väl så hög grad till det civila samhället och dess näringsliv. Detta kan möjligen anses tala mot att ge en försvarsmyndighet som FMV uppgiften. För en sådan lösning talar dock, förutom tidigare nämnda kompetens- och erfarenhetsskäl, även det faktum att FMV redan i dag har uppdrag 
  
 33  
  
 IT4-projekt 
  4112; 1992 
 246 
  
 SOU 2001:41 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 inte bara mot Försvarsmakten utan även mot andra delar av totalförsvaret (t.ex. ÖCB). På sikt kan tänkas att FMV uppdrag efterhand breddas när det gäller kvalificerat upphandlingsstöd också utanför totalförsvarssektorn. 
 Staten har anledning att via berörda myndigheter (exempelvis Statskontoret, Post- och telestyrelsen, Försvarsmakten) utveckla policy för tillit vad gäller upphandling där krav på säkerhet ingår. Man bör här kunna göra jämförelser med regler som tillämpas i t.ex. Storbritannien och USA för produkter som avses ingå i för samhället säkerhetskritiska system. 
 Sammanfattningsvis föreslår utredningen att FMV får i uppgift att bygga upp ett svenskt system för evaluering och certifiering baserat på IS 15408/EN45001/Hill. 
  
 7.8 
  
 Sammanfattning av förslagen 
  
 Utredningen har följande förslag inom  
 IT-säkerhetsområdet: 
  
 En övergripande strategi för samhällets hantering av  
 IT-säker- 
  het och skydd mot informationsoperationer. 
 Ett tvärsektoriellt samordningsorgan för  
 IT-säkerhet 
  och skydd mot informationsoperationer inrättas i Regeringskansliet 
 Att den av utredningen föreslagna planeringsmyndigheten får ett sammanhållande ansvar för samhällets  
 IT-säkerhet. 
  
 En funktion för teknikkompetens inom  
 IT-säkerhet, 
  vilken inrättas i  
 FRA-miljö 
  som en egen myndighet med FRA som chefsmyndighet. 
 En funktion för  
 IT-incidenthantering, 
  vilken inrättas i högskolemiljö som en egen myndighet med PTS som chefs- myndighet. 
 Att den funktion för omvärldsanalys, vilken inrättas som en del i planeringsmyndigheten, även har kapacitet att bedriva omvärldsanalys inom områdena  
 IT-säkerhet 
  och informationsoperationer. 
 247 
  
 Strategi för ökad  
 IT-säkerhet 
  och skydd mot informationsoperationer 
  
 SOU 2001:41 
  
 Att regeringen låter utreda och föreslå författningsändringar för att kunna garantera hög sekretess inom teknikkompetens- funktionen och  
 IT-incidenthanteringsfunktionen 
  samt att medge obligatorisk incidentrapportering för statsförvaltningen. Att regeringen låter utreda och föreslå författningsändringar för att klargöra förutsättningarna för aktiv  
 IT-kontroll. 
  
 Att FMV får i uppgift att bygga upp ett svenskt system för evaluering och certifiering. 
  
 Att regeringen undertecknar  
 Recognition Arrangement for IT Security Certificates. 
 248 
 8 Civil - militär samverkan 
  
 8.1 
  
 Bakgrund 
  
 I proposition  
 Det nya försvaret  
 1999/2000:30 angavs följande: Beträffande uppgiften att stärka det svenska samhället vid svåra 
 påfrestningar i fred skall Försvarsmakten ha förmåga att samverka med civila myndigheter och ha förmåga att ställa resurser till förfo- gande. Försvarsmakten skall vidare ha förmågan att ställa resurser till förfogande vid räddningstjänst och därutöver kunna lämna stöd till andra myndigheter. Kraven på förmågan att stärka det svenska samhället vid svåra påfrestningar i fred skall inte utgöra en ut- gångspunkt för Försvarsmaktens utformning men skall beaktas i den operativa och territoriella planeringen, vid planeringen av övningsverksamhet samt när det gäller tillgänglighet till materiel- slag och förnödenheter. 
 En av Försvarsmaktens fyra huvuduppgifter är att bidra till att stärka det svenska samhället vid svåra påfrestningar i fred genom att kunna samverka med andra myndigheter och kunna ställa resur- ser till förfogande. Försvarsmakten skall genomföra den planlägg- ning och vidta de förberedelser som behövs för att kunna lösa myndighetens uppgifter. Detta sker nu allt starkare markerat med de senaste försvarsbesluten som grund. 
 Kravet på förmågan för det militära försvaret att samverka med civila myndigheter tillämpas så att Högkvarteret samverkar med centrala myndigheter och Militärdistrikten samverkar med regio- nala och lokala myndigheter. Inom Militärdistrikten samverkar i princip staben regionalt och distriktsgrupperna lokalt. Även distriktsgrupperna kan dock samverka regionalt med t.ex. länssty- relse, länspolis och landsting om samverkan inte kräver omfattande stabsstöd. Inom Militärdistriktens uppgifter ligger att utforma planer för stöd till samhället, även avseende personal- och materiel- resurser 
 249 
  
 Civil - militär samverkan 
  
 SOU 2001:41 
  
 Även civila myndigheter och organisationer måste enligt utredningen i planering av förberedelser inför allvarliga kriser utveckla organisation och system för att när så är motiverat rekvirera militär insats och att samverka med militära resurser i krishantering. Vid snabba eller osäkra förlopp måste denna förmåga finnas dygnet runt, ibland med kort varsel. Väl inövade system måste finnas för vart civila myndigheter skall vända sig för att få svar på frågor, när kompetensen finns inom Försvarsmakten. Behovet gäller självfallet också hur och var man snabbt kan rekvirera militär medverkan. 
 Samverkansförmågan måste utvecklas mellan civila och militära myndigheter. Förmågan till samverkan vid svåra kriser eller oklara situationer måste finnas dygnet runt på minst en områdesnivå. 
  
 8.2 
  
 Erfarenheter av  
  
 civil-militär 
  samverkan 
 Erfarenheter av  
 civil-militär 
  samverkan i sen tid finns bl.a. från in- satserna med anledning av översvämningarna i  
 Arvika-trakten 
  i Västra Värmland under  
 nov–dec 
  2000. Militärt stöd begärdes med räddningstjänstlagen som utgångspunkt. Omfattande insatser genomfördes under drygt sex veckor med sammanlagt 14 medver- kande militära förband, sex hemvärnsförband samt medverkan av lottakåren. Sammanlagt deltog drygt 100 befäl, ca 1 100 värnplik- tiga och 900 hemvärnsmän och lottor. I genomsnitt bestod insatsen av 130 kvinnor och män under perioden, varav  
 6–8 
  befäl. Det är angeläget att alla insatser dokumenteras och blir föremål för utvärdering. Så sker också i  
 Arvika-fallet. 
  Insatsen förefaller enligt hittills gjorda iakttagelser och utvärderingar att ha fungerat väl. Det speglar Försvarsmaktens möjligheter och förmåga att medverka under händelser som innebär påfrestningar i det civila samhället. 
 Vissa initiala problem i insatsen redovisas visserligen i den utvär- dering som genomförts av chefen för Mellersta militärdistriktet. 
 1  
 Organisationen stämde initialt inte överens med den civila sektor- indelningen. En ibland kaotisk situation med behov av snabb omfördelning av resurser och sektorchefer och andra befattnings- havare som var ovana vid att samarbeta med militära enheter bidrog till den röriga situationen (sid. 36). De militära reservelverk som skulle tillföras insatsen visade sig förrådsställda 
  
 1  
 C MD M: Utredning om Försvarsmaktens insatser i Arvika hösten 2000, delrapport 2001-  
 04-25. 
  
 250 
  
 SOU 2001:41 
  
 Civil - militär samverkan 
  
 på olika håll och vid driftkontroll fungerade de ej. Vid provstarter av kompletta elverk fungerade dessa ej på grund av eftersatt underhåll. Onödigt mycket tid åtgick till att transportera delar från olika håll i distriktet och att reparera elverken innan leverans till Arvika (sid. 49). Dessa exempel gäller dock initiala problem. Som helhet bör de militära insatserna under översvämningarna i Arvika bedömas ha medverkat till ett gott resultat. 
 Insatsen i Arvika hade ett relativt utdraget förlopp. Under fyra veckor steg vattennivån successivt med drygt tre meter. Det ut- dragna förloppet gav möjligheter till viss planering, intrimning och korrigering av insatserna. 
 I de europeiska översvämningsfall som utredningen låtit en fors- kargrupp vid FOI studera (bil. 5), redovisas erfarenheter från Frankrike, Nederländerna och Tyskland av mycket kraftigt stigande vattennivåer med höga flöden under relativt kort tid. Ett tänkbart sådant händelseförlopp skulle, liksom ett större damm- brott, ställa större krav på en mycket snabb insatsförmåga, ledning och samband. Såväl ledningsövningar som praktiska övningar mellan civila och militära myndigheter bör regelmässigt genom- föras för svåra, komplexa scenarier. 
 Det är därför angeläget att dra slutsatser av händelseförloppet och insatserna i Arvika anpassade till andra tänkbara förlopp vid framtida översvämningar. Länsstyrelsens åtgärd att utse rädd- ningsledare underlättade i detta fall samverkan med det militära försvaret. Militärdistriktsstaben kunde gruppera en samverkans- officer vid länsstyrelsen. En av slutsatserna från översvämnings- insatserna i  
 Arvika-trakten 
  är att det kan finnas lägen när det kan vara befogat med författningsstöd för att under klart definierade förutsättningar ha möjlighet att hålla militära resurser i beredskap under icke tjänstetid. 
 Ytterligare slutsatser är att så snart det står klart att en insats kan komma att pågå under längre tid än några dygn, en vecka eller längre måste en organisation tillskapas med resurser för att kunna bedöma händelseutvecklingen och samordna olika resursinsatser på civil och militär sida som ett led i krishanteringen. Chefen för Mellersta militärdistriktet föreslår i sin utvärdering att Högkvarte- ret, ÖCB och Räddningsverket regelbundet varje år bör genomföra kortare ledningsövningar för att skapa väl fungerande rutiner i roll- spelet på olika nivåer vid gemensamma insatser. Den civila mål- gruppen skulle bl.a. vara räddningstjänstchefer, polischefer samt chefer för katastrofberedskap. Syftet skulle vara att träna ledning och samverkan mellan Försvarsmakten och totalförsvarsmyndig- 
 251 
  
 Civil - militär samverkan 
  
 SOU 2001:41 
  
 heter på central, regional och lokal nivå och härvid testa gällande planer, sambandssystem och datorstödda lednings- och informa- tionssystem. Samtidigt kan scenariemetoder utvecklas. 
  
 8.3 
  
 Samhällets behov av stöd från Försvarsmakten vid olika kriser 
  
 Inom försvarsmakten har tidigare gjorts uppskattningar utifrån försvarsbeslutet 1996 om hur det vidgade säkerhetsbegrepp som inrymmer icke militära hot och risker vid sidan av väpnade anfall skall styra totalförsvarets uppgifter. 
 2  
 De scenarier som bedömts särskilt intressanta gäller främst insatser i samband med: 
 Nedfall av radioaktiva ämnen. Svåra störningar i elförsörjningen. 
 Svåra störningar i telekommunikationerna. Svåra störningar i vattenförsörjningen. Svåra störningar vid radio och TV. Översvämningar och dammbrott. Massflykt av asyl- och hjälpsökande. Allvarlig smitta. 
 Terrorism. 
 Kemikalieolyckor och utsläpp av farliga ämnen till sjöss. 
 Militära insatser i samband med kärnteknisk olycka inom eller utom landet kan vara medverkan i samband med bl.a. indikering av utsläpp, sanering, utrymning/avspärrning och sjuktransporter. I samband med svåra störningar i elförsörjningen kan det vara aktuellt med bevakning när sabotagehot föreligger, drivmedelsför- sörjning, reservkraft, inkvartering, transporter, vattenförsörjning samt sambands- och ledningsresurser. 
 Vid svåra störningar i telekommunikationerna kan behov av bl.a. stöd med bevakning och reservkraft samt transporter av personal föreligga. I samband med svåra störningar i vattenförsörjningen kan förutom reservkraft finnas behov av bl.a. vattenrening och vattentransporter till tappningsställen. 
 Behovet vid översvämningar och dammbrott har belysts i sam- band med redovisningen av erfarenheter från översvämningarna i  
 Arvika-trakten 
  hösten 2000. Vid extremt snabba förlopp kan också 
  
 2  
 C Milo Syd, Försvarsmaktens stöd till det civila samhället vid svåra påfrestningar  
 1999-06- 
  17. 
 252 
  
 SOU 2001:41 
  
 Civil - militär samverkan 
  
 finnas behov av militär medverkan vid avspärrning, utrymning, tra- fikreglering, inkvartering, utspisning och krisstöd. 
 I samband med massflykt av asyl- och hjälpsökande till Sverige kan behov föreligga att i samverkan med bl.a. Migrationsverket och polisen ge stöd med underrättelser om flyktingströmmars riktning och storlek, stöd vid sjöräddning, biträde med dirigering av flyk- tingtrafiken m.m. 
 Vid allvarlig smitta kan finnas behov av militära insatser för sjuktransportresurser. Terrorism är att betrakta som grov kriminell handling och därmed en polisiär angelägenhet. Vid militärt stöd måste gränsdragningen mellan polisiärt arbete och militärt stöd vara klar. Militära insatser kan bl.a. bestå av specifik materiel, t.ex. skyddsvästar, hjälmar, mörkerutrustning och förstärkningsvapen, förnödenheter, transporter, utbildning i vapentjänst, ammunitions- röjning och evakuering. 
 Svåra kemikalieolyckor kan ge allvarliga spridningseffekter över stora avstånd. Militär medverkan kan vara flygtransporter och andra transporter, bistånd med evakuering, utspisning, förläggning samt sanering, avlysning och sjöräddning. 
 Exemplen på tänkbara militära insatser vid svåra kriser torde i allt väsentligt vara relevanta idag. Insatsmöjligheter bör planeras med avseende på förmåga över tiden till omedelbara eller näst intill omedelbara insatser, inom 24 timmar, 48 timmar eller under längre tid. 
 Det finns som tidigare redovisats behov av att samöva scenarier över svåra kriser eller händelser mellan militära och civila myndig- heter där militärt stöd är motiverat. Särskilt stort är behovet att öva komplexa händelser där flera myndigheter eller aktörer är berörda och där händelseförlopp är snabba, okontrollerade och svårförut- sägbara. Metodik bör också övas för att hantera helt oförutsedda svåra kriser eller händelser. Scenarieteknik kan också bidra till att rikta uppmärksamhet på bl.a. gränsdragningsfrågor i  
 civil-militärt 
  samarbete. Det är givetvis en fördel om viktiga principfrågor upp- märksammas i anslutning till övningsverksamhet än att det sker under pågående allvarligt händelseförlopp som kräver stora insat- ser. 
 Om polisen exempelvis kunnat använda försvarets helikoptrar i den operativa polisverksamheten för spaning i samband med polis- morden i York hade man höjt sin effektivitet. Flygning fick inte ske till det aktuella spaningsområdet. Polisen tvingades därför transportera spaningsresurser med ordinarie vägfordon. Gällande förordning angavs som skäl för att helikoptrar inte kunde 
 253 
  
 Civil - militär samverkan 
  
 SOU 2001:41 
  
 utnyttjas. Däremot genomfördes vissa transporter av personal med försvarets helikoptrar från Stockholm till Linköping. 
 Förutsättningarna för militär medverkan i stöd till samhället vid svåra kriser och händelser regleras bl.a. i förordningen (1986:1111) om militär medverkan i civil verksamhet och förordningen (2000:45) med instruktion till Försvarsmakten. Det finns enligt utredningen starka skäl att se över gällande regelverk för att klar- lägga förutsättningarna för och underlätta civil – militär samverkan vid svåra kriser och händelser. En genomlysning av gällande regel- verk sker för närvarande inom ramen för utredningen om översyn av Försvarsmaktens stöd till andra myndigheter m.m. (Fö. 2000:06). 
  
 8.4 
  
 Utnyttjande av militära resurser vid civil krishantering 
  
 Som framgått i citat från propositionen Det nya försvaret (prop. 1999/2000:30), skall kraven på den militära förmågan att stärka det svenska samhället vid svåra påfrestningar på samhället i fred inte utgöra en utgångspunkt för Försvarsmaktens utformning och omfattning men skall beaktas i den operativa och territoriella planeringen, vid planering av övningsverksamhet samt när det gäller tillgänglighet till vissa materielslag och förnödenheter m.m. Vid militärt och ekonomiskt likvärdiga alternativ skall enligt propositionen den lösning väljas där Försvarsmakten bäst kan stödja samhället vid räddningstjänst, vid svåra påfrestningar i fred och vid andra former av stöd till myndigheter 
 Redan i totalförsvarsbeslutet 1996 betonades vikten av ett hel- hetstänkande vid utformningen av samhällets åtgärder för att möta olika hot och risker. I beslutet underströks att när resurser dimen- sioneras med primär utgångspunkt i ett visst hot, bör beaktas möj- ligheterna och behovet att dra nytta av åtgärderna också inför andra hotsituationer bl.a. för att stärka Försvarsmakten förmåga att bistå samhället vid svåra kriser och händelser. 
 Fördelarna med en helhetssyn när det gäller frågan om avväg- ning och dimensionering ansågs ligga främst i de samordnings- vinster som kan uppnås i utnyttjande av resurserna. Även med beaktande av krav på unika resurser, beredskapskrav eller andra begränsningar i användandet av vissa resurser, bör effektiverings- och rationaliseringsvinster kunna uppnås genom sam- och 
 254 
  
 SOU 2001:41 
  
 Civil - militär samverkan 
  
 merutnyttjande. Helhetssyn bör således kunna leda till att de totala kostnaderna för samhället att möta hot kan begränsas. 
 Det framhölls att det ur ett samhällsekonomiskt perspektiv inte är helt godtagbart att resurser som avdelats och dimensionerats för ett visst syfte inte utnyttjas även för andra ändamål när detta är möjligt och ändamålsenligt. Det ger ingen optimal användning av allmänna medel att skapa särskilda resurser för varje form av sällan förekommande stor påfrestning om man med samma resurser kan hantera flera typer av sådana påfrestningar. Härtill kommer att samhällets samlade insatser kan bli mera verkningsfulla om utnytt- jande av samhällets alla lämpade resurser ses i ett sammanhang. 
 De särskilda resurser som avdelas för det militära försvaret bör därför utnyttjas även för att bidra till att förebygga och hantera svåra påfrestningar i fred. Utnyttjande av resurserna får dock inte ske på ett sådant sätt att det inverkar menligt på beredskap och Försvarsmaktens förmåga att lösa sina andra uppgifter. 
 I totalförsvarsbeslutet 1996 framhölls vidare att den sedan länge i vårt land gällande grundsatsen att militärt tvång eller våld inte skall brukas mot den egna befolkningen eller andra civila utgör en annan självklar begränsning. Militär personal skall således inte ges uppgifter utanför det traditionella militära verksamhetsområdet som rymmer utövning av våld eller tvång mot enskilda. En annan sak är att utnyttja resurser till stöd för andra myndigheter som är lagligen berättigade att använda tvång eller våld. De militära resurserna bör dock i sådana situationer nyttjas på så sätt att det inte kan uppfattas som ett avsteg från de begränsningar som här angetts. 
 Vidare kan regler rörande konkurrens, upphandling och stats- stöd i vissa fall begränsa möjligheterna att utnyttja totalförsvarets resurser för fredstida ändamål. 
 Av beslutet 1996 framgick också att utnyttjande av militära resurser vid svåra kriser eller händelser kan ske i form av bistånd vid akuta påfrestningar, då samhällets resurser i övrigt är otillräck- liga och behöver kompletteras. Det gäller särskilt vid svåra kriser med snabba och oförutsägbara förlopp. Ett mera regelbundet och planerat utnyttjande kan i vissa fall också vara motiverat. Även in- tegrerade resurser, dvs. resurser som dimensioneras och utnyttjas för uppgifter i såväl fred som vid höjd beredskap kan övervägas. Regelbundet utnyttjade och integrerade resurser bör i så fall regle- ras i särskild ordning i berörda myndigheters instruktioner och inom ramen för budgetprocessen. 
 255 
  
 Civil - militär samverkan 
  
 SOU 2001:41 
  
 8.5 
  
 Samutnyttjande av resurser på Gotland 
  
 Utredningen fick den 7 december 2000 ett tilläggsdirektiv av regeringen för att nära följa det arbete som bedrivs av Rikspolissty- relsen, Försvarsmakten, Kustbevakningen, Tullverket, Länsstyrel- sen i Gotlands län och Sjöfartsverket i enlighet med regeringens beslut den 20 juli 2000 om att belysa behovet av och möjligheterna att utnyttja sina resurser gemensamt. Vid behov skulle också över- vägas hur myndigheternas erfarenheter skulle kunna användas för att åstadkomma en förbättrad helhetssyn. 
 Bakgrunden är att regeringen i propositionen  
 Det nya försvaret  
 (prop. 1999/2000:30) angav att frågan om att utnyttja militära resurser till stöd för andra myndigheter borde bli föremål för en mera generell översyn. Som ett led i en sådan översyn kunde det vara värdefullt med en regional försöksverksamhet för att belysa möjligheterna till ytterligare samverkan mellan Försvarsmakten och civila myndigheter. Riksdagen gav som sin mening tillkänna att Gotland görs till försöksområde för samordning av militär och civil krishantering. 
 Sårbarhets- och säkerhetsutredningen har därefter deltagit i den arbetsgrupp som bildats. Arbetet har slutförts i enlighet med upp- draget. En redovisning av regeringens uppdrag rörande allvarliga olyckor och särskilda samhälleliga kristillstånd har under april 2000 överlämnats till försvarsministern. 
 Som en bakgrund redovisas Gotlands förutsättningar, generellt och inom viktiga samhällsområden. Därefter har en översiktlig analys gjorts av behov av och möjligheter till samutnyttjande av resurser på och runt Gotland. Några modeller för krishantering innebärande ökat samutnyttjande av resurser har studerats och jämförts med dagens situation. Slutsatserna härifrån har legat till grund för överväganden om förändringar i bl.a. organisation och ledningsstruktur samt förslag om ett samverkanscentrum och en försöksverksamhet på Gotland. 
  
 8.5.1 
  
 Befintlig organisation och ledningsstruktur 
  
 Inom vissa områden har myndigheterna var för sig resurser och verksamhet som skulle kunna samutnyttjas respektive samordnas. Här kan exempelvis nämnas ledningscentraler, patrullverksamhet samt stödresurser som förråd och verkstad. Det finns även unika resurser, vars närvaro på ön kan vara av livsavgörande betydelse. 
 256 
  
 SOU 2001:41 
  
 Civil - militär samverkan 
  
 Bland dessa kan nämnas helikoptrar, sjuktransportfordon, tryck- kammare och miljöskyddsfartyg med räddningsdykargrupp. 
 Myndigheterna har idag olika regionindelningar, optimerade ur respektive myndighets uppdrag och inte ur Gotlands perspektiv. En samverkande regional ledning för att i ökad utsträckning kunna samutnyttja resurserna på och runt Gotland, samt ökade möjlighe- ter att utnyttja Försvarsmaktens resurser, torde öka förutsättning- arna för ett effektivt och ekonomiskt utnyttjande av resurserna. 
  
 8.5.2 
  
 Behov av och möjligheter till samutnyttjande av resurser 
  
 Exempel på allvarliga olyckor och särskilda samhälleliga kristill- stånd är enligt redovisningen: 
 Nedfall av radioaktiva ämnen över Gotland. 
 Svåra störningar i viktiga infrastruktursystem:  
 el-, 
 tele-, 
 data-, 
  vatten- och informationsförsörjning. 
 Angrepp på infrastruktur från okänd aktör. 
 Fartygsolyckor och olje- och kemikalieutsläpp (sjöräddning eller miljöräddningstjänst till sjöss). 
 Flygolyckor. 
 Olje- och kemikalieolyckor på land. 
 Massflykt av asyl- och hjälpsökande till Gotland. Allvarlig smitta. 
 Terrorism. 
 Påfrestningar orsakade av svåra väderförhållanden. Omfattande bränder. 
 Beredskapen inför krissituationer på Gotland måste dock vara sådan att den kan möta varje hot, även de som inte har förutsetts. 
 Samverkan är en nödvändig förutsättning för en effektiv kris- hantering. Hit hör främst: 
 Att snabbt få tillgång till en korrekt lägesbild är av avgörande betydelse i alla krissituationer. 
 Ledningsfrågan är central. Det handlar både om behovet av att en effektiv, samgrupperad och samverkande ledning snabbt kan byggas upp, och om att under långvariga insatser har tillräcklig ut- hållighet. I ledningen ingår också att ha tillgång till stabsresurser och tekniska stödsystem. 
 Information, samordnad, korrekt och snabb, är av grundläg- gande betydelse och kräver långtgående samverkan och teknikstöd. 
 257 
  
 Civil - militär samverkan 
  
 SOU 2001:41 
  
 Speciellt viktigt är att informationsfunktionen omedelbart kan börja verka. 
 Fungerande transporter är en förutsättning för tillförsel av resurser från fastlandet och av transport av skadade m.fl. i andra riktningen. Också som ett led i en insats kan transportresurser vara nödvändiga. Helikoptrar är här av speciellt intresse, och det är viktigt att de är snabbt tillgängliga. 
 Sjukvårdsresurserna på Gotland är begränsade, något som i sin tur ställer transportfrågan i fokus, både för att få dit sjukvårds- personal och för att kunna transportera svårt skadade till fast- landet. Här handlar det om att snabbt aktivera de reservmöjligheter som finns på ön (ambulanser, frivilliga). 
  
 8.5.3 
  
 Förändring av organisations- och ledningsstruktur 
  
 Arbetsgruppens enhälliga slutsats har blivit att till regeringen lägga förslag om att inrätta ett samverkanscentrum, kallat GotSam. Med ett permanent bemannat, samgrupperat samverkanscentrum skulle kraven på snabbt igångsättande av ledning tillgodoses. Detta cent- rum bör innefatta lokal och utrustning för ledning i samverkan av vissa funktioner såväl under normala förhållande som vid allvarliga olyckor och särskilda samhälleliga kristillstånd på och runt Gotland. 
 Initialt medför förslaget vissa kostnader för iordningställande av lokal med teknisk utrustning, flyttkostnader m.m. Mer påtagliga ekonomiska vinster bedöms kunna tillgodoräknas först när verk- samheten nått en viss omfattning. Här kan besparingar nås i gemensam administration och andra stödfunktioner, samtidigt som dagliga kontakter och gemensam utbildning skulle möjliggöra en mer flexibel användning av personalresurserna. 
 Både effektivitets- och kvalitetsmässiga vinster kan väntas upp- nås genom en samgruppering. Dessa vinster handlar bl.a. om sam- verkan i beredskap, snabbt igångsättande av insatser och smidig tillgång till resurser, samordnad information, möjligheter till sam- planering och gemensam utbildning samt ökad uthållighet och flexibilitet. 
 258 
  
 SOU 2001:41 
  
 Civil - militär samverkan 
  
 8.5.4 
  
 Syftet med en försöksverksamhet 
  
 Myndigheterna och Gotlands kommun föreslår att en försöksverk- samhet genomförs, där bl.a. möjligheterna till ytterligare sam- verkan med Försvarsmakten och civila myndigheter kan belysas. Försöksverksamheten bör omfatta samgruppering av vissa myndig- heter kring samordnad omvärlds- och resurslägesinformation, planering och beredskap. 
 Syftet med försöksverksamheten bör vara att: 
 Pröva samgruppering. 
 Pröva en samgrupperad och samverkande regional ledning vid övningar av en rad scenarier. 
 Utvärdera nyttan av samgruppering, främst med avseende på olika krisledningskomponenter. 
 Pröva möjligheterna till ett kostnadseffektivt samutnyttjande av resurser. 
 Ge underlag för beslut om framtida samverkansmodell. 
 Försöksverksamheten bör också enligt arbetsgruppen omfatta fort- satta försök på Gotland med radiokommunikationssystem enligt  
 TETRA-standard, 
  och utveckling av ett övergripande krisdatanät som knyter ihop olika ledningssystem. 
 Samverkan i civil och militär krishantering är en väsentlig del i försöksverksamheten. Sårbarhets- och säkerhetsutredningen har deltagit i arbetsgruppen och står bakom de slutsatser och förslag som redovisats till regeringen. Utredningen anser att ett genomfö- rande av försöksverksamheten bör kunna ge ett värdefullt underlag för att utveckla  
 civil-militär 
  samverkan, främst med avseende på krishantering. Samtidigt kan en försöksverksamhet ge underlag för bedömningar av möjliga effektivitetsvinster och kostnadsbespa- ringar samt för behov av att utveckla gemensamma eller integrer- bara ledningssystem. 
  
 8.6 
  
 Militär medverkan i humanitära biståndsinsatser 
  
 Såväl den Europeiska unionen som Förenta Nationerna utvecklar formerna för internationell krishantering. Den omfattande del som ryms inom begreppet fredsfrämjande insatser eller motsvarande behandlas inte av utredningen. 
 Antalet naturkatastrofer i världen har ökat under det senaste de- cenniet. Det har också på ett markant sätt ökat behovet av såväl 
 259 
  
 Civil - militär samverkan 
  
 SOU 2001:41 
  
 internationella hjälpinsatser som av samordning av hjälpinsatserna. Jordbävningen i Turkiet, orkanen Bond i Centralamerika samt översvämningarna i Limpopofloden och Zambesifloden i Mocambique är exempel på naturkatastrofer som krävt stora inter- nationella hjälpinsatser och där behovet av koordinering av insat- serna varit mycket stora. 
 I civila insatser i samband med internationella katastrofer, jord- bävningar översvämningar eller andra allvarliga olyckstillstånd, finns ofta behov av militär kompetens och militära insatser, i princip under civil ledning. Det gäller även av andra humanitära biståndsinsatser, t.ex. av min- och ammunitionsröjning på land och till sjöss. 
 Sverige bidrar som biståndsgivare med omfattande stöd till hu- manitära biståndsinsatser, inte minst för min- och ammunitions- röjning. Svensk militär kompetens tas endast i begränsad omfatt- ning till vara vid insatserna. Däremot förekommer att andra länder hyr in eller anställer svenska militärer för insatser inom t.ex. min- och ammunitionsröjning. 
 Biståndsinsatser motiveras av humanitära skäl. Det är en självklar princip som inte ifrågasätts av utredningen. Däremot konstaterar utredningen att det vore önskvärt med en ökad medverkan i internationella humanitära biståndsinsatser av såväl civil som militär kompetens. Erfarenheter av tidigare och pågående svenska insatser är goda. Ett ökat engagemang och deltagande i internationella humanitära insatser skulle dessutom bidra till kompetensutveckling för krishantering i svåra, oväntade miljöer och situationer. 
 Det är enligt utredningen önskvärt att den svenska krishanter- ingsförmågan utvecklas så att den kan vara en resurs också vid in- ternationella katastrofer och vid humanitära biståndsinsatser, såväl i ett europeiskt som i ett  
 FN-perspektiv. 
  
 8.7 
  
 Sammanfattning och förslag 
  
 Utredningen har i detta kapitel behandlat olika frågor om samver- kan mellan det militära försvaret och det civila samhället vid allvar- liga kriser i fredstid. Den genomgång som utredningen har gjort visar att det finns goda möjligheter att genom en sådan samverkan nå större effektivitet i utnyttjandet av samhällets samlade resurser för att hantera allvarliga krissituationer. Erfarenheten från olika krissituationer visar att det militära försvaret kan bidra med värde- 
 260 
  
 SOU 2001:41 
  
 Civil - militär samverkan 
  
 fulla insatser och att samverkanspotentialen ännu inte är fullt ut- nyttjad. 
 Utredningen anser att vissa åtgärder bör vidtas för att utveckla samarbetet: 
  
 1. 
  
 En inventering av de författningsmässiga hinder som kan finnas mot en fördjupad  
  
 civil-militär 
  samverkan bör göras. Därefter bör de författningar som utan anledning lägger hinder i vägen ändras. 
  
 2. 
  
 Det är väsentligt att ge civila myndigheter en bättre överblick över vilka möjligheter och begränsningar som det militära för- svaret har att stödja det civila samhället vid allvarliga krissitua- tioner i fred. 
  
 3. 
  
 Gotlandsförsöket är ett exempel på att särskilda organisations- former i vissa fall kan utveckla samarbetet. Förutsättningar kan finnas för lokala eller regionala insatser av detta slag också på andra håll. 
  
 4. 
  
 Utredningen anser att det finns anledning till ett mera omfattande, utvecklat samarbete mellan militära och civila myndigheter också vid humanitära insatser under civil ledning utomlands. 
  
 261 
  
 9 
  
 Långsiktiga sårbarhetsfaktorer - klimat och bioteknik 
  
 9.1 
  
 Bakgrund 
  
 Samhällets system för säkerhet och beredskap måste innefatta för- mågan att följa utvecklingstrender som har eller kan få betydelse för framtida inriktning och utformning av säkerhetsarbetet. Lång- siktigt verkande faktorer som klimatutvecklingen och den biotek- niska utvecklingen måste av denna anledning tillmätas stor betydelse. Forsknings- och utvecklingsarbete inom dessa sektorer kräver tvärsektoriell samverkan. 
 Utredningen har tillsammans med Naturvårdsverkets avdelning för miljöanalys genomfört ett tvärvetenskapligt semina- rium/workshop för att kartlägga och belysa nuvarande kunskaps- läge vad gäller sårbarhet och effekter av klimatförändringar. Redo- visningarna har delvis utgått från resultat från SWECLIM- projektet, ett forskningsprojekt finansierat av Stiftelsen för Miljöstrategisk forskning, MISTRA, och Sveriges Meteorologiska och hydrologiska institut, SMHI, med bl.a. Naturvårdsverket som intressent. 
 De slutsatser som redovisas i det följande med avseende på klimatutvecklingen bygger i huvudsak på de många och i väsentliga delar samstämmiga rön som redovisades under seminariet. 
 I flera globala klimatstudier anges en temperaturhöjning med 2,5 grader C under de kommande  
 50–100 
  åren som sannolik. En global ökning av temperaturen med 2,5 grader C bedöms ge en ökning i Sverige med ca 4 grader C som årsmedelvärde, med en större ökning på vintern än på sommaren. Tillsammans med en förväntad ökad årsnederbörd med ca  
 10–20 
  procent medför det effekter i alla naturmiljöer och i samhällets olika sektorer. Överfört till klimatzoners förflyttning motsvarar detta en förflyttning på 0,5 till 1 meter i timmen. För närvarande finns inte bedömningar av hur stormfrekvens och extremnederbörd kan förändras i framtiden. 
 263 
  
 Långsiktiga sårbarhetsfaktorer - klimat och bioteknik 
  
 SOU 2001:41 
  
 En del av dessa klimateffekter leder till en förändrad känslighet. Antalet dagar med extrem kyla bedöms minska, vilket minskar ris- kerna för köldskador av olika slag. Andra effekter på klimatet kan ge en ökad känslighet och sårbarhet, särskilt i fjällekosystem och i Östersjöns känsliga brackvattenekosystem. Även hastigheten i kli- matförändringarna kan ge en sårbarhet i ekosystem med lång om- loppstid, som skog. 
 Samhällets känslighet för klimatförändringar är stor inom flera viktiga områden, som säkra transporter, säker elförsörjning, dammsäkerhet och människors hälsa. En framtida sårbarhet beror till stor del på hur vi idag planerar och tar hänsyn till dessa förändringar genom olika anpassningar och genom att öka säkerhetsmarginalerna, där stor risk finns. Det senare gäller särskilt om extrema vädersituationer med stormar och extremnederbörd blir vanligare. 
  
 9.2 
  
 Kunskapsläget 
  
 Redan nuvarande klimat och väder kan ge stora effekter och sår- barhet i svensk naturmiljö och samhällets olika delar, främst teknisk infrastruktur. Särskilt svåra påfrestningar och skador uppstår vid starka stormar – ofta i komplexa kombinationer av olika effekter (t.ex. storm och högt vattenstånd). 
 En global uppvärmning har observerats under  
 1900-talet. 
  För- klaringen till utvecklingen under de senaste 30 åren är utsläpp av växthusgaser. Effekterna har också kunnat ses i t.ex. glaciärernas mäktighet och havsisens utbredning. 
 Både temperaturen och nederbörden har ökat i Sverige under de senaste 140 åren. Sett mer i detalj har det dock förekommit både upp- och nedgångar. För temperaturen är uppgången tydligast under våren. För ökningen av nederbörden bidrar alla årstider utom sommaren, som inte visar någon klar trend. När det gäller extrema väderhändelser (köld, hetta, stor dygnsnederbörd, stormar) kan man möjligen se en tendens till fler värmerekord och färre köldrekord under de senaste decennierna, medan det i övrigt är svårt att se några varaktiga förändringar. 
 Teknisk infrastruktur uppförs och anläggs ibland utan att till- räcklig hänsyn tas till väderhändelser (extremvindar och extrem nederbörd) som inträffar mycket sällan med nuvarande klimat. Långa klimatologiska mätserier bör återanalyseras för att ge en 
 264 
  
 SOU 2001:41 
  
 Långsiktiga sårbarhetsfaktorer - klimat och bioteknik 
  
 bättre grund för känslighet och sårbarhet i såväl nuvarande som framtida klimat. 
 Klimatförändringar kommer att inträffa i Sverige – förr eller senare och påverkar såväl temperatur som nederbörd. Utgångs- punkten för sårbarhetsanalysen är SWECLIM:s klimatscenarier, som är relevanta för förändrat klimat på 50 till 100 års sikt. 
 Det nordiska klimatet har en större känslighet än det globala i genomsnitt. Årstiderna förskjuts och vi kan få en betydligt kortare vintersäsong. Östersjöns ytvattentemperatur bedöms öka med  
 2–3 
  grader C. 
 Extremvärden för temperaturer påverkas också. Extremt höga temperaturer höjs lika mycket som ökningen av medeltemperatu- ren under sommaren. Extremt låga temperaturer höjs betydligt mer än ökningen av medeltemperaturen under vintern. 
 Den hydrologiska cykeln blir mer intensiv. Nederbörden och vattentillgången ökar i stora delar av landet med  
 10–20 
  % som års- medelvärde, mer under hösten. En ökad medeltemperatur ger en ökad avdunstning från mark och vatten. Vissa delar av södra Sverige kan då få vattenunderskott och torka, speciellt under sommaren. 
 En viss ökning av medelvinden kan ses över landet och särskilt på stora insjöar och på vissa havsområden. Nuvarande modellbe- räkningar kan inte ge grund för en bedömning av förändrad stormfrekvens. 
 Effekter och sårbarhet beror såväl på klimatförändringar som på andra faktorer. Viktiga andra faktorer för att bedöma sårbarheten kan vara: 
 Utveckling av infrastruktur, särskilt teknisk infrastruktur med lång livslängd, såsom vägar, broar, vattenvägar, byggnader, in- dustrier, hamnar, kraftledningar och dammar. 
 Befolkningsdynamiken sett över  
 50–100 
  år och dess effekter på samhällsekonomi och fördelning av samhällets disponibla resurser. 
 Andra miljöproblem som ändras över tiden, t.ex. tillförsel av näringsämnen till vatten och mark, spridning av miljögifter samt utnyttjande av ändliga och förnyelsebara naturresurser. 
 Effekter och sårbarhet i naturmiljö, samt jord- och skogsbruk: 
 Effekterna blir påtagliga för hydrologiska förlopp. Ett förändrat klimat med ökad nederbörd och temperatur enligt SWECLIM:s scenarier ger högre vattenföring i landets norra delar, men mer 
 265 
  
 Långsiktiga sårbarhetsfaktorer - klimat och bioteknik 
  
 SOU 2001:41 
  
 variabla förhållanden i södra Sverige. Allmänt påverkas också den säsongsvisa fördelningen, med mer vattenföring under vintern och en tidigare men mindre kraftig vårflod i förhållande till nuläget. Jämfört med dagens klimat kan vattenföringen bli mer extrem under hösten. 
 Högre vattenflöden i vattendragen och högre nivåer i sjöar och vattendrag påverkar strändernas fysik och ekologi. En reglering av flöden och vattennivåer kan till del motverka de negativa effekterna av högt flöde och höga nivåer. 
 Snötäcket bedöms bli mindre utbrett och ligga kvar kortare tid. Södra Sverige kommer i medeltal inte att ha vintersnö som ligger kvar. Östersjöisen kommer att bli mindre utbredd och i medeltal endast förekomma i Bottenviken och i delar av Bottenhavet. Det förändrade snötäcket kombinerat med förändrade vinter- temperaturer har stor betydelse för tjäldjupet. På snöfria ytor minskar tjäldjupet med högre temperaturer. På snötäckta ytor kan uppvärmningens effekt motverkas av mindre isolering då snödjupet minskar. 
 Ett förändrat klimat enligt SWECLIM:s scenario bedöms ge ökad tillväxt i skogsbruket och jordbruket (både nya grödor och ökad tillväxt). En viss ökad känslighet och sårbarhet finns genom att många skadedjur och sjukdomar idag hålls nere genom våra kli- matförhållanden. 
 Det finns stora potentiella effekter på Östersjön som ekosystem. En förändrad temperatur påverkar direkt olika arter, liksom för- ändrade isförhållanden. En ökad nederbörd i tillrinningsområdet till Östersjön bedöms tillföra mer vatten, vilket kan – om inte det motsvaras av en ökad frekvens saltvatteninbrott - leda till en avse- värd utsötning av vattnet. En ökad vattenföring till Östersjön bedöms också tillföra mer näringsämnen, särskilt om nederbörden sker på hösten. Effekterna av dessa förändringar skulle kunna för- tränga marina arter (torsk) till fördel för limniska arter (abborre, gädda, gös). Risker finns att främmande arter kan spridas till Östersjön. Dynamiken för algblomning i Östersjön kan också på- verkas. 
 Våtmarker spelar en viktig roll i kolets globala kretslopp och ut- gör en stor andel av Sveriges yta. Deras framtida roll i det globala kretsloppet beror ytterst på den hydrologiska statusen i våtmar- kerna. För stora delar av Sverige kan våtmarkerna fortsätta ta upp koldioxid från atmosfären. Effekterna på biologisk mångfald i våt- markerna av en klimatförändring är lite kända. 
 266 
  
 SOU 2001:41 
  
 Långsiktiga sårbarhetsfaktorer - klimat och bioteknik 
  
 Plötsliga förändringar och överraskningar kan inte uteslutas, vilket visar på behovet av ett säkerhetstänkande för att bevara eko- system och biologisk mångfald. 
  
 9.3 
  
 Effekter på sårbarhet, infrastruktur och hälsa 
  
 Risken för erosion, skred och ras ökar med intensivare hydrolo- giska förlopp och kan hota infrastruktur som vägar, banvallar, broar, byggnader, dammar, avlopps- och vattenförsörjningssystem. 
 Samhället behöver en god förmåga att ingripa vid akuta händelser för att minska konsekvenserna vid framtida extrema väderhändelser. Stark vind, storm och orkan, extrema mängder nederbörd, snö och isbeläggning samt saltbeläggning är de faktorer som ger störst skada på infrastruktur. Vid dessa extrema väderhändelser drabbas ofta stora regioner och med flera effekter samtidigt. 
 Särskilt svåra konsekvenser uppstår vid störningar i elförsörj- ningen eftersom samhällets andra delar är beroende av säker eltill- gång. Till andra delar av samhället räknas, transporter,  
 IT-system, 
  telesystem, vatten- och avloppssystem, industrier etc. För eldistri- butionen finns de av väderhändelser känsligaste delarna i de regionala och lokala näten, särskilt i de fall då områden försörjs via luftledningar i skogsområden. Till del kan känsligheten och sårbar- heten minskas genom ett strategiskt uppbyggande av ökad säkerhet i elförsörjningen och elreservkapacitet. 
 En ökad temperatur i våra sjöar kan ha stora effekter på kvalite- ten för dricksvatten, såväl smak, lukt och färg. Det finns en ökad risk för smittämnes- och giftspridning om översvämningar upp- ströms för ut föroreningar i sjöar och vattendrag som används som dricksvattentäkt. Infrastrukturen för vattenförsörjningen har mycket lång livslängd men är känslig för ett förändrat klimat: en långsiktig strategi för minskad sårbarhet måste därför säkra alter- nativa vattentäkter, särskilt grundvattenmagasin. Södra och syd- östra delen av landet är här särskilt känsliga. 
 Ett förändrat klimat med mildare vintrar och förlängda vår- och höstsäsonger kan öka smittspridningen av sjukdomar. Smittämnes- bärare som råttor, vissa insekter och fästingar gynnas av ett mildare klimat, vilket ökar risken för spridning av sjukdomar som TBE (fästingburen hjärninflammation), borrelia, vissa diarrésjukdomar och myggburna infektioner. Ökade temperaturer kan också öka risken för dricksvatteninfektioner. Pollenallergier och astma för- 
 267 
  
 Långsiktiga sårbarhetsfaktorer - klimat och bioteknik 
  
 SOU 2001:41 
  
 väntas få ändrat säsongsinsjuknande, möjligen även en ökning av anfallsintensiteten. Den lägre frekvensen av extrem kyla kommer att ge färre köldrelaterade sjukdomar och skador. 
 Effekterna av klimatförändringar i vår omvärld kan leda till för- ändrade förutsättningar och där minska möjligheterna för ett ut- hålligt jord- och skogsbruk. Detta kan då leda till en ökad mängd klimatflyktingar. Riskerna för storregionala konflikter i vårt när- område kan inte uteslutas. 
  
 9.4 
  
 Forsknings och utvecklingsbehovet 
  
 Utvecklingen av modeller måste fortsätta och klimatscenarier tas fram för att studera extremer i förhållande till förändringar i medelvärden. Det behövs förbättrad kunskap om hur de storskaliga beräkningsresultaten simulerade med globala modeller ska tolkas vidare till regional skala. Vidare behövs förbättrad integration ( t.ex. återkopplingar) mellan olika modeller som beskriver meteorologi, hydrologi, oceanografi och ekosystem. 
 Genom studier av långa tidsserier (30 år eller mera) kan man fånga upp situationer som har låg frekvens och därigenom göra be- dömningar av extrema situationer. Det behövs även studier för att ge bättre kvantitativa bedömningar av felkällor och osäkerheter. 
 Forskning är nödvändig för att ge underlag för effektstudier inom andra områden och sektorer (jordbruk, skogsbruk, ekosys- tem, samhällstruktur, kustzoner) Effektstudier bör utvecklas för samtliga sektorer som är känsliga för klimatpåverkan: 
 Jord- och skogsbruk, fiskerinäring, rennäring. 
 Hydrologiska förlopp, mark och grundvattenförhållanden och deras betydelse för skred, ras och erosion. 
 Limniska, marina och terrestra ekosystem, med hänsyn taget till andra faktorer som påverkar dessa miljöer. 
 Sverige har en unik position för att studera sjukdomars utbred- ning i en klimatgradient. Dessa studier kan vara en viktig länk i att bedöma framtida globala hälsoeffekter av klimatföränd- ringar. 
 Anpassning till ett förändrat klimat: 
 Grundläggande kunskaper om dynamiska förlopp i nationella, regionala och lokala ekosystem. 
 268 
  
 SOU 2001:41 
  
 Långsiktiga sårbarhetsfaktorer - klimat och bioteknik 
  
 Hur vi idag kan ta hänsyn till kommande förändrade villkor för samhällets byggnation av infrastruktur (bl.a. vägar, broar, vatten- och avloppssystem, dammar, etc.) med lång livslängd. Till del finns kunskaper om klimatets betydelse för infra- strukturen. Dessa kunskaper bör kunna utnyttjas på ett mer konsekvent sätt i riskbedömningen vid investeringar i infrastruktur. 
 Hur naturvärden (fjäll, skogs- och jordbrukslandskap, kustzo- ner) och biologisk mångfald kan bevaras genom skapande och säkerställande av migrationskorridorer och av mikromiljöer, som ökar robustheten vid klimatförändringar. 
 En anpassning till ett förändrat klimat kräver nya kompetenser i samhället, nytt underlag för beslut och nya arenor för poli- tiska beslut. 
 Inom MISTRA övervägs nu enligt vad utredningen erfarit att göra ytterligare satsningar inom området. Det är angeläget att så kan ske och att resultaten tillgodogörs i åtgärder för att minska samhällets sårbarhet. 
  
 9.5 
  
 Bioteknisk utveckling 
  
 Utredningen har inte haft samma möjligheter som vad gäller kli- matfrågorna att studera och värdera den biotekniska utvecklingen i ett sårbarhetsperspektiv. Det är dock en angelägen uppgift. 
 Den biotekniska utvecklingen medför både naturliga mutationer i virus och andra mikroorganismer och, som en följd av en helt ny avancerad teknologi, avancerade möjligheter att gentekniskt för- ändra växters, djurs och människors egenskaper. Utvecklingen in- rymmer i sig stora möjligheter men också en betydande sårbarhet. Kartläggningen av den genetiska koden kan tillsammans med andra biotekniska landvinningar ge påverkansmöjligheter som medför risker om de används ovarsamt, i samband med hot eller på annat sätt i skadeframkallande syfte. 
 De flesta länder eftersträvar att etablera en industriell infra- struktur för bioteknik. Utvecklingen inom biotekniken kommer att vara mycket snabb och inrymma nya hot. Den inrymmer också risker för en ökad frekvens genetiskt utvecklade stridsmedel i strid med internationella regelverk och en spridning av dessa till aktörer som inte behöver vara stater. Den snabba utvecklingen inom 
 269 
  
 Långsiktiga sårbarhetsfaktorer - klimat och bioteknik 
  
 SOU 2001:41 
  
 bioteknikområdet är samtidigt ett starkt motiv för att studera och analysera de långsiktiga effekterna. 
 Samhället sårbarhets- och säkerhetsarbete måste inrymma även dessa perspektiv både i planering och i insatser för forskning och utveckling. Såväl klimatutveckling som bioteknisk utveckling för- utsätter aktiv medverkan i internationellt arbete. 
 270 
  
 10 
  
 Forskning för civilt försvar och krishantering 
  
 Den svenska försvarssektorn har traditionellt satsat betydande re- surser på forskning och studier. Denna investering har ansetts nöd- vändig för att säkerställa ett kunskaps- och teknikunderlag för för- svarets operativa förmågor. Det militära försvaret har därvidlag pri- oriterats resursmässigt i linje med den hotbild och de kapacitetsbe- hov som funnits under större delen av efterkrigstiden. Även inom det civila försvaret har betydelsen av forskning och studier lyfts fram, särskilt under den senaste tioårsperioden. Det finns ingen anledning att nu bryta denna tradition av investeringar i långsiktigt kompetenshöjande och kunskapsuppbyggande verksamheter inom totalförsvarsområdet. 
 Efter hand har en breddad hotbild och ett nytt säkerhetspolitiskt koncept vuxit fram. Försvaret fick genom riksdagens beslut 1996 fyra centrala uppgifter, varav två var nya. Särskilt den fjärde upp- giften att stärka det svenska samhället vid svåra påfrestningar i fred berör det civila försvaret, men även internationella insatser (den tredje, att bidra till fred och säkerhet i omvärlden) engagerar detta område. Sedan 1996 års ominriktningsbeslut har betydelsen av militär och civil samverkan, bland annat inom krishanterings- området, ytterligare befästs. Det svenska åtagandet att bidra till EU:s militära och civila krishanteringskapacitet ställer ytterligare krav på kompetens och förmåga. 
 För den fjärde uppgiften framstår de nationella ledningsfrågorna i bred bemärkelse som centrala. Detta nya ansvar innebär radikalt annorlunda problemställningar för det civila försvaret än tidigare fokusering på att erbjuda stöd till Försvarsmakten vid ett väpnat angrepp eller vid nationell isolering. Nu gäller i vissa avseenden den omvända situationen, dvs. det militära försvaret förväntas ge stöd till samhället vid civila, men potentiellt konfliktfyllda, svåra händelser inom eller utanför landet. Den ursprungliga totalförsvarstanken byggde främst på principen om samhälleligt 
 271 
 Forskning för civilt försvar och krishantering SOU 2001:41 
 stöd till nödvändiga militära insatser till skydd av landets territorium och nationens överlevnad. 
 Inte alla säkerhetspolitiska utmaningar kan lösas med militära medel. En rad civila resurser och förmågor måste mobiliseras för att skydda samhällets vitala funktioner i olika avseenden. Ett exem- pel är säkrandet av rikets ledning vid en svår nationell påfrestning. En sådan förmåga ställer en rad krav på fungerande informations- teknologi, en acceptabel informationshantering samt en fungerande kapacitet för beslut, implementering och styrning. Endast i begränsad utsträckning kan den militära infrastrukturen och dess specialkompetenser stötta den nödvändiga civila ledningskapaciteten. 
 Krishantering kräver, som visats i tidigare avsnitt, förmåga inom många områden. Det gäller skydd av infrastruktur, nationell, regio- nal och lokal samordning och ledning, hantering av akuta och kon- sekvensskapande händelser, förmåga att kunna lämna psykologiskt och andligt stöd samt ett utbrett medborgerligt förtroende och en- gagemang för demokratin och rättsstaten. Därtill krävs ett interna- tionellt arbete för att säkerställa denna förmåga i Europa och i FN- sammanhang. 
  
 10.1 
  
 Resurser för nya uppgifter 
  
 Med den ominriktning av det svenska totalförsvaret som skett genom de senaste försvarsbesluten är det rimligt att även en viss omdisponering sker av den forsknings- och studieverksamhet som bedrivs för att bygga upp nödvändig förmåga och kompetens både för det civila försvarets behov och för att utveckla samhällets för- måga att såväl förebygga, skapa beredskap inför, hantera och utvär- dera kriser. 
 Dagens resursprioriteringar inom forskningsfältet speglar tidi- gare epokers behov och motsvarar inte helt de målbilder som nu lyfts fram i försvarsplaneringen. Inte minst är det ämnesmässigt breda och komplexa civila försvarets forskningsinsatser blygsamma jämfört med resurserna för teknikutvecklande och kompetenshö- jande militär forskning. Den tredje och fjärde uppgiften har ännu inte fått ett resursmässigt genomslag inom försvarsforskningen trots att uppgifterna i hög grad berör det civila försvaret nationellt och internationellt. 
 Ett framtida ställningstagande i den centrala resursprioriterings- frågan bör av dessa skäl enligt utredningen även inrymma ett ställ- 
 272 
  
 SOU 2001:41 
  
 Forskning för civilt försvar och krishantering 
  
 ningstagande för en ökad forskning för civilt försvar och krishan- teringsförmåga. Stora krav måste ställas på planering, uppföljning och utvärdering av forskningen. Det bör vara den föreslagna nya planeringsmyndighetens och inte minst regeringskansliets ansvar att säkerställa att  
 FoU-insatserna 
  inom den civila delen inriktas mot relevanta frågeställningar, som samordningsförmåga, lednings- förmåga, anpassningsförmåga och operativ krishanteringsförmåga. 
 Forskningen inom krishanteringsområdet befinner sig i ett ut- vecklingsskede och kan ge väsentliga bidrag till samhällets möjlig- heter att förebygga och begränsa skadeverkningarna av allvarliga kriser. Den nya planeringsmyndigheten som beskrivs i kapitel 5 bör därför också ha egna medel för forsknings- och utvecklings- ändamål inom krishanteringsområdet. Myndigheten kan då uppträda som beställare av forskning och utveckling av förmåga inom detta område. 
 En viktig aspekt är också hur forskare kan stimuleras att bidra till denna nödvändiga kunskapsuppbyggnad. Det är inte självklart att dugliga forskare inom till exempel det samhällsvetenskapliga området finner förutsättningarna tillräckligt goda för att inrikta sin energi på dessa angelägna frågor. Övergripande styrning och upp- följning är endast en del av problematiken. Incitamentsstrukturer behöver skapas för att engagera landets forskarbegåvningar inom detta område. 
  
 10.2 
  
 Forskning till stöd för utbildning 
  
 Även kompetensförsörjningen behöver förändras. Utbildningen av personal inom sårbarhets- och säkerhetsområdet måste i högre grad än som nu är fallet styras mot de arbetsuppgifter som kan anses vara centrala för befattningshavare under deras yrkesverksamma tid. Utbildningen måste förbereda inför kommande uppgifter och kan inte läggas upp efter tidigare epokers hotbild och yrkesbehov. En betydande omdaning av utbildningsformerna och kursinnehållet inom totalförsvarets område torde vara en nödvändig förutsättning för att engagera unga människor i detta arbete. Försvarsområdet konkurrerar med andra tjänstesektorer om det begränsade tillflödet av välutbildade och arbetssugna ungdomar. 
 Vid Försvarshögskolan bedrivs ett viktigt utvecklingsarbete i denna riktning. FHS genomför, förutom utbildningen av office- rare, en rad program och enstaka kurser för civila inom total- 
 273 
  
 Forskning för civilt försvar och krishantering 
  
 SOU 2001:41 
  
 försvaret samt för universitetsstuderande med inriktning mot en yrkesframtid inom området. Chefskurser i internatform har erbju- dits sedan  
 1950-talet. 
  Utbildningen akademiseras och är i flera avseenden likvärdig med annan svensk högskoleutbildning. Skolans program och utbildningsprofil internationaliseras för att dess forskning skall kunna bli en givande part i det internationella kunskapsutbytet. 
 Liksom är fallet inom högskolan i övrigt, måste kopplingen mellan utbildning och forskning stärkas. Utbildningen skall vila på vetenskaplig grund, liksom på beprövad erfarenhet. Ett viktigt tillämpningsområde för forskningen är som utgångspunkt för den utbildning som måste bedrivas i kompetenshöjande syfte. Detta gäller både för grundläggande, längre utbildningar inför rekryte- ringar som för fortbildnings- och chefskurser. Särskilda satsningar behöver göras för att förbereda både militär och civil personal inför det växande antalet utlandstjänstgöringar. Detta fordrar även forskning och pedagogiskt utvecklingsarbete kring internationellt orienterade ämnen. 
 En förutsättning för en god innehållslig kvalitet i utbildningen av olika personalkategorier är att det finns en tillräcklig kår av hög- skolelärare som även är aktiva forskare inom området. Forskning om krishantering liksom försvarsrelaterad forskning behövs vid många av landets universitet och högskolor för att uppnå en sådan utbildningsbas. Samtidigt bör skapas förutsättningar för att forsk- ningsbasen vid totalförsvarets egen högskola även inkluderar områden som berör det civila försvarets behov av kompetent per- sonal inom myndigheter, kommuner och landsting, samt i företag likväl som inom frivilligorganisationer och andra relevanta folkrö- relser. 
  
 10.3 
  
 Mellan kvalitet och relevans 
  
 All samhällsinriktad forskning står inför en balansproblematik. Å ena sidan behövs forskningens resultat inför ställningstaganden i komplexa och svårgripbara samhällsfrågor. En avtappning av kom- petens efterfrågas av de som har till ansvar att genomföra reformer, prioritera mellan sakområden eller fastställa lösningar på olika sam- hällsproblem. Vid tillämpad forskning sammanfaller rollen som be- ställare med denna behovsstyrda efterfrågan på resultat som kan användas mer eller mindre operativt. Inte minst inom försvarssek- torn med ett finansieringssystem av projektuppdrag, dialog mellan 
 274 
  
 SOU 2001:41 
  
 Forskning för civilt försvar och krishantering 
  
 beställare och utförare samt regelbundna avrapporteringar av mil- stolpar, betonas vikten av regelbunden och konkret kompetensav- tappning. 
 Samtidigt kan ingen avtappning ske utan att även en gedigen och ofta långsiktigt verkande kunskapsuppbyggnad möjliggörs. Uthål- lighet är ett honnörsord i detta kompetenshöjande sammanhang. I detta kostnadskrävande värv kan mer kortsiktiga redovisningskrav innebära ett störande inslag, vilka undergräver eller fördröjer den för alla parter önskvärda kompetensuppbyggnaden inom ett forsk- ningsområde. Betydelsen för samhället eller för området på sikt av en viss ny kunskap ställs mot ett mer omedelbart behov av att Peck tiggöra forskningsresultat eller att använda tillgänglig kompetens inom ett fält. För den enskilde forskaren kan dessa motstridiga för- väntningar vara svåra att hantera. 
 Det finns därför ett behov av större satsningar på tidiga insatser inom arbetet med att bygga upp kunskap även för det civila försva- rets och den civila krishanteringens behov. Ett visst risktagande krävs för att öka sannolikheten av att dagens forskning kan ge ett nödvändigt kunskapsstöd i en osäker och komplex framtid. Det förutsätter möjligheter att säkerställa en öppenhet för kontraste- rande analysperspektiv och olika problemställningar inom det civila försvaret och den civila krishanteringens områden. 
 Inom försvarsområdet används ofta begreppen forskning avse- ende kunskapsuppbyggande arbete och studier avseende avtap- pande verksamheter av olika slag. Studier kan delges i skrifter, föredragningar, informella dialoger eller vid akuta beslutsstödsbe- hov genom telefonremisser. Då formerna oftast är muntliga och informella är det svårt att säkra kvaliteten i budskapet. Forsknings- resultat sprids främst i skriftlig form för att möjliggöra den kri- tiska, kvalitetssäkrande granskningen. Kunskaper delges dock även genom utbildningsinsatser, såsom föreläsningar, seminarier och läromedel. Expertuppdrag i utredningar eller beredningar bygger ofta på forskarbaserad kompetens inom ett område. På många sätt är det enklare att fastställa den vetenskapliga halten på en forsk- ningsrapport, än att bedöma kvaliteten på ett mer löpande studie- arbete. 
 Att både forskning och studier i princip behövs är inte om- tvistat. Däremot föreligger en oenighet också inom försvarssektorn om prioriteringar mellan dessa tyngdpunkter, om forskares och analytikers tidsanvändning och om resursfördelningen och den organisatoriska profileringen mellan idealtyperna. Dessa diskussioner förefaller typiska för ett sektorsforskningsområde 
 275 
  
 Forskning för civilt försvar och krishantering 
  
 SOU 2001:41 
  
 med potentiella kunskapsbidrag inom policyrelevanta samhälls- frågor. De påminner till en del om debatten inom högskolan om resursfördelningen mellan grundutbildningsinsatser (avtappning) och forskningsprofileringar (uppbyggnad). 
 Vid sektorsforskning framstår det som särskilt väsentligt att det finns en god beställar- och mottagarkompetens. Inom problemfo- kuserad och delvis tillämpad forskning, till skillnad från disciplin- utvecklande grundforskning, är i vissa avseenden de sedvanliga kvalitetsstärkande utslagningsmekanismerna satta ur spel. Inom forskning som finansieras av forskningsråd och av fakultetsmedel föreligger rätt tydliga spelregler, vilka syftar till att låta mindre goda insatser trängas ut av vetenskapligt mer framgångsrika forskare och projekt. Mekanismerna fungerar både vad gäller pro- jektfinansiering och vid tjänstetillsättningar. Den forskarstyrda forskningen är naturligtvis inte utan problem, men i stort sett kan hävdas att detta sedan länge etablerade beställarsystem har över tid förmått lyfta fram det innovativa, nydanande och kvalitativt högt- stående inom olika discipliner. Systemet har prövats över mycket lång tid och inom en rad vetenskapsområden. Av olika skäl har det inte prövats inom det svenska försvarsforskningsområdet. 
 Risken framstår som större att man inom ett sektorsforsknings- fält får en skyddad enklav av projekt eller tillsvidareanställda fors- kare, som bland annat på grund av hög ämnesrelevans ges kontinu- erlig finansiering utan att behöva utsättas för en kritisk vetenskap- lig granskning. Både ämnesrelevans och vetenskaplig kvalitet måste säkerställas om ambitionen skall förbli solida kunskaper till sektorns nytta snarare än ett nyttiggörande av otillräckligt under- byggda studier. Avtappningen får inte prioriteras till priset av att kunskapskällan sinar, utan att utföraren eller finansiären märker denna kvalitetsdränerande trend. 
 Sålunda bör man inom totalförsvarsforskningsområdet ställa än högre krav på en institutionaliserad beställar- och mottagarkom- petens än vad som behövs inom den friare, och därmed mer utsatta, universitetsforskningen. I försvarssektorns nu rådande finansie- ringssystem med relativt korta uppdrag, ankommer det på bestäl- lare och mottagare inom regeringskansli och myndigheter att kunna hantera en rad svåra balansproblem, som man inom forsk- ningsrådens och fakulteternas egenstyrda finansieringsform i stort har kunnat undvika. 
 276 
  
 SOU 2001:41 
  
 Forskning för civilt försvar och krishantering 
  
 10.4 
  
 Nuvarande hantering av forskning för det civila försvaret 
  
 Överstyrelsen för civil beredskap, ÖCB, har sedan ett antal år haft ansvar för att finansiera funktionsövergripande forskning samt för att samordna forskningen inom det civila försvaret. För att klara denna krävande uppgift har man stegvis byggt upp ett forsknings- administrativt system placerat inom myndighetens analysenhet. Anslag har utlysts i regelbundna cykler och forskare vid universitet och sektorsforskningsinstitut har på olika sätt uppmuntras att inkomma med ansökningar. Ett stort antal ansökningar har varje år behandlats och många har avförts genom denna relativt krävande beredningsprocess. Förutom denna öppna ansökningsform har ett antal ramforskningsprogram etablerats inom för verksamheten prioriterade områden. Dessa fleråriga satsningar på ämnen och miljöer har utarbetats i dialog mellan utförare och beställare. Både vid universitet och vid institut, som t.ex. FOI (FOA), har dylika program etablerats. Under senare år har man i högre grad även ägnat implementeringsfrågorna en hel del möda. Det är välkänt inom forskningsrådssfären att det är svårare att bygga upp en mottagar- och uppföljningskompetens än att skapa en god beställarkompetens. Forskningsimplementering är nu ett prioriterat arbetsområde inom den ansvariga enheten. 
 ÖCB har arbetat längs två huvudspår i sin ambition till en god beredning av ansökningar. För att säkerställa ämnesrelevansen har många av myndighetens företrädare, från de relevanta sakenhe- terna, engagerats i beredningsarbetet av ansökningar och i uppfölj- ning av forskningsresultat. Därtill har en särskild referensgrupp etablerats för att bland de många inkommande ansökningarna lyfta fram det som kan anses ha relevans för verksamheten. I detta arbete har även företrädare för de funktionsansvariga myndig- heterna engagerats. Antingen har de ingått i referensgruppen eller har de fått ansökan på remiss för yttrande. Vid forskardagar, temakonferenser och andra utåtriktade aktiviteter har forsknings- resultat presenterats för olika avnämarkategorier och kontakter har skapats mellan dessa och forskarna inom respektive problem- område. Småskrifter har distribuerats och artiklar har publicerats i Beredskap och andra magasin. De av ÖCB finansierade forskarna har engagerats på många sätt i dessa försök att nå ut med de för verksamheten nyttiga rönen. 
 Beredningsarbetet har även inkluderat ambitionen att säkra den vetenskapliga kvaliteten bland de finansierade projekten. Ett veten- 
 277 
  
 Forskning för civilt försvar och krishantering 
  
 SOU 2001:41 
  
 skapligt råd inrättades tidigt med seniora ledamöter från olika rele- vanta forskningsmiljöer och från hela landet. Rådet tar ställning till projektens forskningsbarhet och potentiella bidrag utifrån veder- tagna vetenskapliga kriterier. Här ställs analys- och metodfrågor i centrum, liksom utförarens kvalifikationer för uppgiften. Arbetet inom detta råd liknar mycket det beredningsarbete som utförs vid de disciplinorienterade forskningsråden. Ofta har dessa erfarna och framåtblickande forskare även möjlighet att lyfta fram värdefulla kunskapsbidrag av potentiell områdesrelevans. Det vetenskapliga rådets ledamöter har inte sällan en god överblick över framtida kunskapsbehov. 
 Den planeringsmyndighet som utredningen föreslår bör få till uppgift att ta ett samlat grepp om dessa frågor och verka för en förstärkning av forsknings- och utvecklingsinsatserna inom civilförsvarets och den civila krishanteringens område. Myndig- heten bör som framhållits tilldelas medel för att också kunna uppträda som beställare av forsknings- och utvecklingsinsatser. Förmågan att kunna utnyttja kompetenser från olika akademiska områden tillsammans med annan relevant kunskap kommer att bli en viktig framgångsfaktor i framtiden. 
  
 10.5 
  
 Förslag till överblick och kvalitet 
  
 Hur kan ett forskningsfinansieringssystem organiseras för det civila försvarsområdet och den civila krishanteringens område så att man kan uppnå flera önskvärda betingelser? 
 Skapa pluralism och vidsynthet men även möjliggöra syntes och överblick. 
 Uppmuntra framåtblickande, nyfikenhetsbaserade upptäckter i kunskapsuppbyggande syfte samt säkra en mer regelbunden avtappning inför mer omedelbara policybehov. 
 Säkra både vetenskaplig kvalitet och problemrelevans. 
 Skapa en vetenskaplig grund både för ett analytiskt beslutsstöd och som bas till utbildningar för att främja personalförsörj- ningen. 
 Undvik ämnesbredd till priset av bristande djup. 
 Dra fördel av det internationella kunskapsutbudet utan att tappa kontakt med inhemska frågeställningar och utbildnings- behov. 
 278 
  
 SOU 2001:41 
  
 Forskning för civilt försvar och krishantering 
  
 Möjliggör en förnyelse av perspektiv och profilinriktningar utan att förlora de betydande kunskaper och erfarenheter som etablerade institut och forskargrupper besitter. 
 Följande behöver åstadkommas i närtid: 
  
 1. 
  
 En mångfald av forskargrupper måste uppmuntras. Existe- rande, de facto monopolställningar i anslag eller beställarrela- tioner bör brytas och öppnas för konkurrens mellan många möjliga utförare. Både universitet och högskolor samt sektorns specialforskningsinstitut engageras på lika villkor. 
  
 2. 
  
 Många engageras som beställare och mottagare av forskning och studier. Vissa finansiärer eller anslagspotter kan betona långsiktig kunskapsuppbyggnad, medan andra kan prioritera kortare studieuppdrag. En del vill lyfta fram vissa problemom- råden, medan andra ser kunskapsbehoven på andra prioriterade fält. Dessa finansiärer får konkurrera om de bästa forskarna och projektplanerna. En mångfald av intressenter – finansiärer och utförare – inom sektorn behöver skapas. 
  
 3. 
  
 Varje finansiär avkrävs ett ansvar för att bygga upp en god kompetens inför uppgiften. Beställarkompetensen skall om- fatta både förmåga till relevansbedömning samt till vetenskap- lig prövning. Mottagarkompetensen måste gå utöver kameral överblick och inte minst innebära en förmåga till sakmässig uppföljning av forskningsresultaten. Regeringskansliet förvän- tas antingen föregå med gott exempel som en bland flera kom- petenta forskningsfinansiärer, eller delegera det operativa an- svaret för denna krävande verksamhet. 
  
 4. 
  
 Denna mångfald av utförare och beställare knyts samman i ämnes- eller problemfokuserade nätverk tvärs över myndighe- ter och forskargrupper. Nätverk kan skapas med inriktning mot discipliner, som samhällsvetenskap, beteendevetenskap, teknik och samhälle, eller alternativt mot problemområden som infrastrukturfrågor, krishantering, och internationellt fredsfrämjande. Nätverken skall inte begränsas till informa- tionsutbyte på hög nivå, utan vara arbetande grupper med aktiva forskare och forskningsansvariga som kan bidra till att skapa förmåga. Nödvändig överblick och uppföljning av initiativ skapas genom dialog och uppdrag till arbetsgrupper inom dessa nätverk. 
  
 5. 
  
 En sekretariatsfunktion krävs för att driva arbetet inom nätver- Mcclure framåt, initiera studiegrupper, föreslå nya problemområ- 
  
 279 
  
 Forskning för civilt försvar och krishantering 
  
 SOU 2001:41 
  
 den, ordna seminarier och konferenser. Utan ett pådrivande sekretariat lär inte nätverken fungera som arbetande grupper med syfte att lyfta fram överblick och perspektiv på tvärs över olika forskargrupper och mellan dessa och många potentiella beställare och användare. Det civila försvarets och den civila krishanteringens verksamheter spänner över en ansenlig ämnesbredd och engagerar många forskningsmiljöer. Därför är denna institutionalisering av nätverkens gemensamma nod ett nödvändigt inslag. 
  
 6. 
  
 Sekretariatet skall fullgöra en rad uppgifter som påminner om ett forskningsråds ansvar, men i en mer blygsam omfattning. Man skall notera att de traditionella forskningsråden aldrig var de enda finansiärerna inom ett vetenskapsområde, utan de har haft uppgiften att skapa överblick och förnyelse. Sekretariatet bör: 
  
 Säkra en strategisk överblick inom det civila försvarets och den civila krishanteringens ämnesmässigt breda och komplexa verksamhetsområde. 
 Säkra en resursmässig samordning över områdets många beställare och utförare. 
 Säkra en koppling till näringslivet och det civila samhällets nät- verksaktörer. 
 Säkra varje nätverks koppling till den internationella forskningsfronten. 
 Säkra förnyelsen av kompetens och generationsskiften inom forskarkåren genom koppling till utbildande institutioner. Säkra relevansbehov och användarperspektiv på hög nivå genom koppling till demokratiskt sammansatta beredningar och nationella styrorgan. 
 Förslaget ovan tar sin utgångspunkt i behovet av att skapa incitamentsstrukturer som främjar områdesrelevant forskning av god kvalitet. 
 Den myndighetsdominerade styrningen bör kombineras med en mer forskarstyrd arbetsform, där nya impulser och problemställ- ningar kontinuerligt flyter upp inom beredningsarbetet. Detta förefaller som särskilt viktigt inom det en sådan mångfacetterad och decentraliserad verksamhet som det civila försvaret och civil krishantering utgör. Därtill bör man inom denna sfär engagera forskargrupper vid landets universitet och högskolor. Sådana för 
 280 
  
 SOU 2001:41 
  
 Forskning för civilt försvar och krishantering 
  
 kunskapsuppbyggnaden viktiga och pluralistiska konstellationer låter sig inte enkelt underordnas ett myndighetsbaserat styrsystem. 
 Lika viktigt som att uppnå central överblick och en övergripande strategisk inriktning av försvarsforskningen är att stimulera nyda- nande och ofta utmanande forskarinsatser. Dessa kunskapskorn kan få stor betydelse i framtiden, även om de inom stundens ofta snäva relevanskriterier framstår som udda. Risken med att enbart lita till myndighetsbaserade strategidokument är att man uppnår effektivt verkande forskning, men på sikt tappar den nödvändiga kunskapsförnyelsen. 
 281 
 11 Tillsyn i säkerhetsarbetet 
  
 11.1 
  
 Inledning 
  
 Det finns ett flertal samhällsviktiga verksamheter, bl.a. inom tek- nisk infrastruktur och transportsektorn, som är gränssättande för säkerheten och beredskapen och för förmågan att hantera allvarliga krissituationer. En viktig del i säkerhetsarbetet är därför dels före- skrifter som reglerar riskbetonade verksamheter, dels föreskrifter som anger grundläggande säkerhetskrav. Därutöver finns ett behov av att kontrollera att föreskrifterna efterlevs och att föreskrifternas resultatförmåga utvärderas. I detta säkerhetsarbete har tillsyns- funktioner en viktig roll. I det följande redogör utredningen för ett antal viktiga förutsättningar för att åstadkomma en effektiv tillsyn. Vid en genomgång av tillsynsfunktioner inom olika områden kan man konstatera att det finns olika organisatoriska lösningar, men det finns även andra skillnader mellan tillsynsorganens förutsätt- ningar för att utöva tillsyn. Utredningen har bl.a. värderat frågan om betydelsen av att en tillsynsfunktion är juridiskt, ekonomiskt och administrativt fristående i förhållande till den vars verksamhet man utövar tillsyn över. 
  
 11.2 
  
 Begreppet tillsyn 
  
 Det har i tidigare utredningar konstaterats att det inte finns en en- hetlig definition av begreppet tillsyn i lagar och andra föreskrifter. Det finns också skilda uppfattningar om vilka uppgifter som bör ingå i den mest ändamålsenliga tillsynsverksamheten. 
 1  
 I en rapport till expertgruppen för studier i offentlig ekonomi framhålls att det är orealistiskt att ta fram en enda allmängiltig definition av be- 
  
 1  
 Statlig tillsyn – ett förvaltningspolitiskt styrmedel RRV 1996:10, s 10. I prop. 1997/98:45 till miljöbalken innefattas med begreppet tillsyn såväl inspektion, åtgärder för att åstadkomma rättelse som förebyggande åtgärder i tillsynsarbetet 
 283 
  
 Tillsyn i säkerhetsarbetet 
  
 SOU 2001:41 
  
 greppet tillsyn, men att det kan vara meningsfullt att skilja mellan två huvudsakliga användningar av ordet – det vida och det snäva tillsynsbegreppet. 
 2  
 Det vida tillsynsbegreppet innefattar de olika åtgärder som vidtas för att intentionerna i lagstiftningen skall genomföras. Tillsyn blir här ungefär liktydigt med implementering av lagstiftningen och innefattar allt från utfärdande av föreskrifter som preciserar lagarna till inspektions- och informationsverksam- het samt förprövning och utfärdande av tillstånd. Det snäva till- synsbegreppet innefattar endast handlingar som består i att dels undersöka om enskilda företag m.fl. efterföljer lagar och regler, dels vidtar åtgärder för rättelse av uppdagade brister i efterlevnaden. Tillsyn blir här ungefär liktydigt med inspektions- verksamhet. 
 Regeringen har den 21 september 2000 (dir. 2000:62) beslutat att tillkalla en utredare med uppdrag att utreda hur den statliga till- synen kan göras till ett tydligare och effektivare förvaltningspoli- tiskt instrument som bättre bidrar till kontrollen och genom- förandet av demokratiskt fattade beslut (Ju 2000:06). I ett första steg har utredaren för avsikt att kartlägga all lagstiftning inne- hållande begreppet tillsyn, vilka myndigheter som har tillsyns- ansvar m.m. 
 I följande beskrivning tar utredningen i första hand fasta på hur man har utformat den tillsyn – i vid mening – som centrala myn- digheter, länsstyrelser och kommuner utövar och som riktas mot det omgivande samhället. Det är inte en uttömmande redovisning av hur tillsynen har organiserats i samhället, utan organisation och uppgifter för tillsynsmyndigheter kommer att presenteras kort- fattat liksom den lagstiftning som tillsynen grundar sig på. Flertalet av dessa tillsynsmyndigheter har dels till uppgift att utfärda föreskrifter, att ställa villkor i samband med koncession för viss verksamhet, dels att kontrollera att lagar och andra föreskrifter efterlevs samt ge information och rådgivning. För en del av myndigheterna är arbetet helt inriktat på säkerhetsfrågor, t.ex. inspektionerna på trafikområdet, men för andra utgör fastställande och granskning av säkerhetskrav endast en del av uppgifterna och en stor del av resurserna används för att kontrollera att det råder en fri konkurrens, att prissättning är rimlig m.m. Den övergripande uppgiften för dessa myndigheter är att främja utvecklingen inom ett särskilt verksamhetsområde. Exempel på sådana tillsyns- 
  
 2  
 Ds 1998:50, s 57 f. Att se till eller titta på – om tillsynen inom miljöområdet (Rapport till ESO, Expertgruppen för studier i offentlig ekonomi) 
 284 
 SOU 2001:41 Tillsyn i säkerhetsarbetet 
 myndigheter är Post- och telestyrelsen och Statens energi- myndighet. 
 Utredningen beskriver här den tillsyn som kan sägas utgöra en del av ett statligt åtagande. Det är viktigt att påpeka att varje verk- samhetsutövare i första hand har ett eget ansvar för sin verksamhet och att detta ansvar i sig omfattar olika former av kontroller samt intern revision. Den tillsyn som här beskrivs skall således utgöra en oberoende kontroll av verksamheten. Utöver denna tillsyn till- kommer de enskilda medborgarnas egen kontroll och den gransk- ning som utförs av media. 
  
 11.3 
  
 Viktiga förutsättningar för att skapa en effektiv tillsyn 
  
 Riksdagens revisorer har i olika utredningar framhållit att viktiga förutsättningar för statlig tillsyn är lagstiftningens utformning, förekomsten av relevanta tillämpningsföreskrifter samt tillsyns- organets ställning, resurser, kunskaper om det som skall tillses och uppläggningen av arbetet. 
 3  
 Revisorerna har även understrukit vikten av att man i samband med samhällsorganisatoriska föränd- ringar anpassar tillsynens omfattning och inriktning till de nya för- utsättningarna. Här nedan ges en kort sammanfattning av dessa synpunkter. 
 En klar och tydlig lagstiftning är grundläggande framför allt be- träffande ansvarsfördelning och vad tillsynsansvaret omfattar och innebär. I lagstiftningen anges vad som skall tillses, vem som har ansvaret för tillsynen och vilka befogenheter en tillsynsmyndighet har. Ofta anges också verksamhetsutövarens ansvar och vilka sank- tionsåtgärder som kan bli aktuella i de fall brister konstateras. Inom flera områden har en central tillsynsmyndighet även till uppgift att meddela föreskrifter. 
 När det gäller en genomförd granskning av tillsynsorganen på transportområdet har revisorerna konstaterat att det kan vara svårt för inspektionerna att upprätthålla självständighet i sin myndig- hetsutövning, eftersom de till stor del ansågs vara beroende av andra myndigheter för sin normgivning, planering och ekonomi. 
 4  
 För beslutsfattare och allmänheten framstod inspektionernas ställ- ning som oklar och deras självständighet kunde därmed sättas i fråga, både av allmänheten och av företrädare för verksamhetsut- 
  
 3 
  
 Se bl.a.  
 Tillsyn - innebörd och tillämpning 
 , förslag 1994/95:RR9 
  
 4 
  
 1994/95:RR9, s 7 
  
 285 
  
 Tillsyn i säkerhetsarbetet 
  
 SOU 2001:41 
  
 övarna. Revisorerna har vidare i upprepade granskningar kommit fram till att tillsynens oberoende och integritet behöver förstärkas, att det är viktigt att tillsynsansvaret ligger utanför verksamhetsut- övarens kontroll och påverkan. Revisorerna bedömer att ett sätt att åstadkomma en mera självständig tillsyn är att skapa en tillsyns- funktion som är organisatoriskt fristående från den verksamhet som skall tillses samtidigt som de konstaterar att det kan innebära svårigheter att upprätthålla kunskap och kompetens hos ett till- synsorgan när man inte har samma närhet till verksamhets- utövaren. 
 Det kan finnas motstridiga intressen inom den myndighet som skall utöva tillsyn. Utredningen konstaterar här att det t.ex. kan finnas en motsättning mellan tillsynsuppgifter som hänförs till intresset av att tjänster skall tillhandahållas till låga kostnader och tillsynsuppgifter som består i att ställa krav på säkerhet. Energi- myndigheten är ett exempel på en tillsynsmyndighet där en sådan motsättning kan uppkomma, men det finns på ett flertal områden dubbla roller för tillsynsmyndigheter på så sätt att myndigheten såväl skall främja utvecklingen inom ett visst område samtidigt som den har till uppgift att övervaka att företag m.fl. tar tillräcklig hänsyn till säkerhetsaspekter. I de fall säkerhetsmålen är svår- bestämbara är problemet än mer allvarligt. En viktig förutsättning för en effektiv tillsyn är således att tillsynsorgan och verksamhets- utövare har klart för sig vilka förväntningar statsmakterna har på deras arbete. 
 Till sist konstateras att ett sanktionssystem kan bidra till en ef- fektivare tillsyn och bättre lagefterlevnad. 
  
 11.4 
  
 Exempel på hur tillsynsuppgifter har reglerats på olika områden 
  
 Kärnenergiområdet 
 Ett område där en olyckshändelse kan få ytterst allvarliga konse- kvenser är kärnenergiområdet. Att säkerhetsarbetet här är av största vikt återspeglas bl.a. i de författningar som reglerar tillsynen av kärnenergiverksamhet. För kärnteknisk verksamhet krävs tillstånd som meddelas av regeringen eller Statens kärnkraft- inspektion (SKI). Den som har fått tillstånd att bedriva kärn- teknisk verksamhet har det fulla säkerhetsansvaret för driften vid anläggningen, men SKI har till uppgift att se till att ägaren tar sitt 
 286 
  
 SOU 2001:41 
  
 Tillsyn i säkerhetsarbetet 
  
 ansvar och bedriver verksamheten på ett säkert sätt. Vid tillstånds- prövning kan SKI meddela de villkor som krävs med hänsyn till säkerheten. Det är SKI som utövar tillsynen av efterlevnaden av kärntekniklagen (1984:3) och av de villkor eller föreskrifter som meddelats med stöd av lagen. SKI samarbetar i vissa frågor med Statens strålskyddsinstitut (SSI) som bl.a. har till uppgift att övervaka att strålskyddsbestämmelserna efterlevs. Det finns möjlighet att besluta om förelägganden och förbud förenat med vite samt att vidta åtgärder på tillståndshavarens bekostnad och att återkalla tillstånd. Därutöver finns i kärntekniklagen särskilda straffbestämmelser. Enligt utredningen är det tydligt att SKI i sin tillsynsroll har en mycket stark ställning gentemot verksam- hetsutövarna vilket innebär att myndigheten kan agera kraftfullt i säkerhetsfrågor. 
 Teleområdet 
 På teleområdet har Post- och telestyrelsen (PTS) som reglerings- myndighet – fristående från de verksamma teleoperatörerna – ansvar för tillsynen över telemarknaden. Bestämmelser om tillsyn på teleområdet finns i telelagen (1993:597) och teleförordningen (1997:399). PTS skall pröva frågor om tillstånd samt utöva tillsyn över efterlevnaden av telelagens bestämmelser och de föreskrifter och villkor som meddelats med stöd av lagen. 
 5  
 PTS tillsynsuppgifter är inte endast inriktade på att säkerställa en tillräcklig ambition för säkerhetsåtgärder. Bestämmelserna i telelagen syftar även till att enskilda och myndigheter skall få tillgång till effektiva telekommunikationer till lägsta möjliga samhällsekonomiska kostnad. För att kunna utöva tillsyn har PTS rätt att på begäran erhålla det material som behövs och kan meddela de föreskrifter och förbud som behövs för efterlevnaden av lagen. Utöver bestämmelserna i telelagen, teleförordningen berörs teleoperatörerna av olika tillståndsvillkor. Dessa villkor har utfärdats med stöd av telelagen och innebär en utveckling, och i vissa fall ett förtydligande, av på vilket sätt olika skyldigheter skall fullgöras. PTS är därutöver beredskapsmyndighet för tele- kommunikationer och kan meddela föreskrifter om den fredstida planeringen för totalförsvarets behov av telekommunikationer. 
 6  
 PTS har enligt telelagen även möjlighet att meddela föreskrifter om 
  
 5 
  
 57 § telelagen och 2 § teleförordningen 
  
 6 
  
 65 § telelagen och 17 § teleförordningen 
  
 287 
  
 Tillsyn i säkerhetsarbetet 
  
 SOU 2001:41 
  
 avgifter för beredskapsåtgärder på telekommunikationsområdet. Enligt utredningens uppfattning har PTS ett tydligt tillsynsansvar gentemot verksamhetsutövarna inom telekommunikation. Telelagen stadgar att den som inom ett allmänt tillgängligt telenät tillhandahåller teletjänster eller nätkapacitet skall se till att verksamheten uppfyller rimliga krav på god funktion och teknisk säkerhet. PTS får meddela närmare föreskrifter om sådana krav. 
 Miljöbalken 
 Tillsynen över efterlevnaden av föreskrifter enligt miljöbalken är uppdelad i operativ tillsyn – sådan tillsyn som utövas direkt gent- emot den som bedriver en verksamhet eller vidtar en åtgärd – och tillsynsvägledning – sådan tillsyn som består i utvärdering, uppfölj- ning och samordning av den operativa tillsynen samt stöd och råd till de operativa tillsynsmyndigheterna. 
 7  
 Den operativa tillsynen utövas av en särskild kommunal nämnd eller länsstyrelsen medan ansvaret för tillsynsvägledning tillkommer en rad olika centrala myndigheter beroende på verksamhetsområde. 
 Dammsäkerhet 
 Inom dammsäkerhetsområdet skall den som är underhållsskyldig för en dammbyggnad själv utarbeta och följa rutiner för egenkon- troll. 
 8  
 Den underhållsskyldige skall vidare känna till de konsekven- ser som kan bli följden av felfunktioner och använda bästa möjliga teknik för att undvika skador. Om ett dammbrott likväl skulle in- träffa, är den underhållsansvarige ansvarig för de skador som orsakas. Uppförande av en damm liksom ändring och lagning av en damm är tillståndspliktig vattenverksamhet. En ansökan om till- stånd prövas av miljödomstol. Länsstyrelserna har det operativa tillsynsansvaret 
 9  
 för dammsäkerheten. Sedan år 1998 har Affärs- verket svenska kraftnät en samordnande roll inom områdena dammsäkerhet och höga flöden. Enligt sin instruktion skall Svenska kraftnät främja dammsäkerheten i landet och i enlighet 
  
 7 
  
 3 § förordning (1998:900) om tillsyn enligt miljöbalken 
  
 8 
  
 Rutiner för dammägarnas egenkontroll beskrivs i de övergripande riktlinjer för dammsäkerhet som Svenska Kraftverksföreningen har antagit (RIDAS). Även gruvindustrin har beslutat att i tillämpliga delar följa dessa riktlinjer 
  
 9 
  
 För det fall tillsynsansvaret inte överlåtits till kommunerna, jfr Förordning (1998:900) om tillsyn enligt miljöbalken 
  
 288 
  
 SOU 2001:41 
  
 Tillsyn i säkerhetsarbetet 
  
 därmed utarbetar Svenska kraftnät en handbok om egenkontroll och tillsyn med länsstyrelserna som primär målgrupp. I instruk- tionen anges vidare att Svenska kraftnät skall följa utvecklingen vad avser dammsäkerhet i landet, verka för att höga flöden som kan orsaka skador begränsas vid driften av dammar och regelbundet rapportera till regeringen om utvecklingen. Till stöd för arbetet med dammsäkerhetsfrågor har Svenska kraftnät ett rådgivande organ, Dammsäkerhetsrådet. 
 10  
 Svenska kraftnät är dock inte nämnt i tillsynsförordningen som tillsynsvägledande utan i stället anges Naturvårdsverket som tillsynsvägledande myndighet. Läns- styrelserna har på uppdrag av Statens räddningsverk bildat älvvisa samordningsgrupper för de större vattendragen i landet. Dessa älvgrupper är viktiga för att skapa en regional nätverks- och kunskapsuppbyggnad vad gäller höga flöden och dammsäkerhet. I grupperna ingår nyckelpersoner från länsstyrelser, kommuner, dammägare, Vägverket, Banverket m.fl. Älvgrupperna är inte i sig operativa, men de deltagande organisationerna och myndigheterna är operativa var för sig inom sitt område. Länsstyrelserna har en naturlig roll som operativt tillsynsansvarig för dammsäkerhet 
 11  
 men trots ambitioner finns det problem på grund av att resurserna på länsstyrelserna inte är tillräckliga för att utöva den tillsyn som erfordras. En lösning kan vara att de tjänster som erfordras delas av flera länsstyrelser. Därutöver anser utredningen att det kan finnas skäl för en tydligare tillsynsvägledning för dammsäkerhet på central nivå än den främjanderoll som Svenska kraftnät har idag. 
 Allvarliga kemikalieolyckor 
 Lagen (1999:381) om åtgärder för att förebygga och begränsa följderna av allvarliga kemikalieolyckor tillkom i samband med att det nya  
 Seveso-direktivet 
 12 
  
 skulle införlivas i svensk rätt. Lagen föreskriver att för visst slag av verksamheter – där farliga ämnen förekommer i mängder som motsvarar eller överstiger särskilt angivna mängder – skall verksamhetsutövaren vidta särskilda åt- gärder för att förebygga risker för allvarliga kemikalieolyckor och 
  
 10  
 Dammsäkerhetsrådet ersatte den tidigare Dammsäkerhetsnämnden som haft i uppgift att lämna principiella, skriftliga rekommendationer för underhåll och tillsyn av dammar 
  
 11  
 Länsstyrelserna är tillsynsansvarig för den kommunala räddningstjänsten och har i vissa situationer dessutom en operativ ledningsroll inom räddningstjänsten. Länsstyrelserna svarar även för den regionala samordningen av den fysiska planeringen och granskar översiktsplaner ur säkerhetssynpunkt 
  
 12  
 Rådets direktiv (96/82/EEG) om åtgärder för att förebygga och begränsa följderna av allvarliga olyckshändelser där farliga ämnen ingår (Seveso II) 
 289 
  
 Tillsyn i säkerhetsarbetet 
  
 SOU 2001:41 
  
 begränsa följderna för människors hälsa och miljö i de fall en all- varlig kemikalieolycka har inträffat. Verksamhetsutövarens skyldigheter omfattar bl.a. att anmäla verksamheten och att ut- arbeta ett handlingsprogram för hur allvarliga kemikalieolyckor skall förebyggas. Regeringen kan därutöver föreskriva att det skall vara förbjudet att utan tillstånd anlägga en verksamhet som omfattas av lagen, även om tillstånd inte krävs enligt miljöbalken. En ansökan om tillstånd skall prövas av miljödomstol, men regeringen får föreskriva att ansökan om tillstånd för vissa slag av verksamheter skall prövas av länsstyrelsen. För vissa verksamheter får regeringen föreskriva att verksamhetsutövaren skall upprätta säkerhetsrapport och intern plan för räddningsinsatser. Det är Räddningsverket, länsstyrelserna och kommunerna som utövar tillsyn över att lagen och de föreskrifter som har meddelats med stöd av lagen följs. Länsstyrelserna och kommunerna skall ha tillsyn över verksamhet som omfattas av tillståndsplikt enligt miljöbalken i enlighet med den ansvarsfördelning för tillsynen av miljöfarlig verksamhet som följer av miljöbalken. Därutöver har Räddningsverket ett samordnande, kontrollerande och uppföljande ansvar. Tillsynsmyndigheterna har rätt att få tillträde till en verksamhet samt rätt att få de upplysningar och tillgång till de handlingar som behövs för tillsynen. De har befogenhet att meddela förelägganden och förbud, vilka får förenas med vite. Tillsynsmyndigheten kan även – vid underlåtelse att efterfölja ett föreläggande – vidta åtgärden på verksamhetsutövarens bekostnad. 
 Transportområdet 
 Inom transportområdet är tillsynen på olika sätt knuten till inf- rastrukturhållaren. Sjöfartsinspektionen, Luftfartsinspektionen och Järnvägsinspektionen har alla tillsynsuppgifter och de är inrymda i Sjöfartsverket, Luftfartsverket respektive Banverket. Inspektio- nerna har även ett visst tillsynsansvar över dessa myndigheters verksamheter. 
 Riksdagens revisorer har konstaterat att utvecklingstendenserna och problemen till stor del är gemensamma för de olika transport- slagen. Det gäller inslagen av avreglering, egenkontroll, nya former för teknisk provning och kontroll, internationalisering samt beho- vet av tydliga gränser mellan affärsmässig produktion och myndig- hetsuppgifter såsom tillsyn. 
 290 
  
 SOU 2001:41 
  
 Tillsyn i säkerhetsarbetet 
  
 Frågan om behovet av tydliga gränser mellan producerande verksamhet och myndighetsuppgifter sammanhänger med hur man skall säkerställa att sektors- och myndighetsuppgifter kan utövas självständigt gentemot verksamhetsutövare (samt för att uppnå en effektiv förvaltning och produktion). Under slutet av  
 1990-talet 
  har frågan om rollkonflikter inom trafikverken föranlett flera ut- redningar inom Regeringskansliet. Regeringen har analyserat trafikverkens verksamhetsstrukturer och sökt eliminera eventuella konflikter mellan producerande verksamheter och sektorsuppgifter som säkerhetsfrågor och tillsyn. 
 13  
 I dessa utredningar har man i huvudsak identifierat tre olika roller som gäller säkerhet, produk- tion respektive sektorsverksamhet. I den rapport som avsåg Luft- fartsverket menade den anlitade konsulten att det inte var något problem för Luftfartsverket att hantera de olika rollerna, eftersom de inom verket var ansvarsmässigt separerade från varandra under generaldirektörsnivån. Däremot ansågs det vara ett problem för Luftfartsverket att det inom luftfartsmarknaden fanns misstankar om att verket i sin sektorsroll skulle kunna gynna verket i dess producentroll. I den rapport som avsåg Sjöfartsverkets verksam- hetsstruktur 
 14  
 fann konsulten att konflikterna mellan verkets olika roller hade begränsad omfattning. Sjöfartsverket hade enligt rapporten få kommersiella intressen att bevaka, och verket befann sig inte i någon konkurrenssituation gentemot andra intressenter som t.ex. kommuner. Rollkonflikterna ansågs dock utgöra ett pro- blem bl.a. genom att det skapas en osäkerhet om självständigheten i verkets myndighetsbeslut, dvs. att hänsyn tas till det egna produktionsintresset. För att minska följder av rollkonflikter lämnades följande alternativ: (1) tydligare mål och bättre rutiner för att hantera målkonflikter, (2) en organisation baserad på  
 producent-, 
  sektors- respektive regulatorrollen, och (3) Sjöfarts- inspektionen som en separat myndighet. 
 15  
 Även Järnvägs- inspektionens roll har utretts och vid det tillfället menade regeringen att den gällande organisationen på ett ändamålsenligt och tillfredsställande sätt gav det oberoende i säkerhetsfrågor som inspektionen måste ha. Att ombilda inspektionen till en egen 
  
 13 
  
 Se bl.a.  
 Översyn av Luftfartsverkets verksamhetsstruktur 
 , Näringsdepartementet,  
  
 1999-11-18 
  
 14 
  
 Översyn av Sjöfartsverkets mål och roller,  
  
 1999-10-08 
  
 15 
  
 Vid remissbehandlingen framkom  
  
 dels  
 synpunkter om att Sjöfartsinspektionen borde bli en självständig myndighet, eftersom rollerna då skulle kunna renodlas och inspektionen skulle då enbart hantera säkerhetsrelaterade roller,  
 dels  
 synpunkter om att målkonflikter är vanliga i offentlig verksamhet och att genuina målkonflikter inte försvinner i och med att ansvaret för olika mål delas upp på olika organ 
 291 
  
 Tillsyn i säkerhetsarbetet 
  
 SOU 2001:41 
  
 myndighet skulle enligt regeringens bedömning medföra stora ekonomiska nackdelar och dessutom leda till en mer omfattande administration. 
 Tidigare har Inspektionskommittén föreslagit att Luftfarts- inspektionen och Järnvägsinspektionen skulle ombildas till egna myndigheter för att tydligheten i de båda inspektionernas myndig- hetsutövning skulle kunna öka. 
 16 
  
 Riksdagens revisorer har nyligen lämnat ett förslag angående Sjöfartsinspektionens tillsyn innefattande bl.a. att uppgifter rörande tillsyn och säkerhetsnormer bör läggas direkt på inspek- tionen i lagstiftningen för att förtydliga Sjöfartsinspektionens ställning. 
 17  
 Vid Trafikutskottets behandling av förslaget konsta- terade utskottet att man delade revisorernas uppfattning 
 18  
 om att Sjöfartsinspektionens självständighet och integritet i förhållande till Sjöfartsverket och omvärlden måste säkerställas så långt detta är möjligt. Utskottet framhöll att det finns ett principiellt integritets- problem inbyggt i nuvarande organisationsform, men medgav sam- tidigt att en samlad organisation innebär fördelar. Sammanfatt- ningsvis följde utskottet revisorernas förslag om att inspektionens ställning – inom ramen för en oförändrad organisatorisk hemvist inom Sjöfartsverket – bör tydliggöras i den lagstiftning som regle- rar Sjöfartsinspektionens verksamhet. I avvaktan på att så sker var utskottet inte berett att förorda att Sjöfartsinspektionen skiljs ut från Sjöfartsverket. 
 I samband med sin granskning konstaterar riksdagens revisorer att även om det kan vara en fördel för tillsynsorgan med närhet till verksamhetsutövarna, så har revisorerna i flera tidigare gransk- ningar kommit fram till att tillsynens oberoende och integritet be- höver stärkas. Jämfört med Järnvägsinspektionen och Luftfarts- inspektionen är Sjöfartsinspektionen den inspektion som är minst självständig i förhållande till värdmyndigheten. Både Luftfarts- 
  
 16 
  
 En översyn av  
  
 luft-, 
  sjö- och spårtrafikens tillsynsmyndigheter (SOU 1996:82) 
 Inspektionskommittén lämnade inte samma förslag för sjöfartsområdet eftersom Sjöfarts- verkets verksamhet till övervägande del är inriktad på sjösäkerhetsarbete. Enligt kommittén hade inte heller frågan om oberoende och självständighet samma aktualitet eller betydelse som för Luftfartsinspektionen och Järnvägsinspektionen, eftersom Sjöfartsverket inte var infrastrukturhållare på samma sätt som Luftfartsverket och Banverket. 
  
 17 
  
 Riksdagens revisorers förslag 2000/01:RR8. Granskningen avsåg Sjöfartsinspektionens tillsyn; i första hand tillsynens innehåll och uppläggning samt rapportering och analys av tillsyn och olyckor. Granskningen gällde även förutsättningarna för inspektionens tillsyn, och hur inspektionen använt sig av dem. Granskningen omfattade särskilt tillsynsverksam- heten under perioden 1995 – 1999 i syfte att se hur inspektionen åtgärdat tidigare påtalade brister. På ett par områden konstaterades att tillsynen inte var så effektiv som kunde önskas. 
  
 18 
  
 Trafikutskottets betänkande 2000/01:TU8 
  
 292 
  
 SOU 2001:41 
  
 Tillsyn i säkerhetsarbetet 
  
 inspektionen och Järnvägsinspektionen har en tydligare ställning i lagstiftningen. 
 19 
  
 Elområdet 
 Utredningen har i tidigare avsnitt beskrivit det svenska elsystemet, varvid framhållits att säkerheten i elförsörjningen behöver förbättras. Organisationen IEA (International Energy Ageny) 
 20  
 har under år 2000 gjort en landstudie av Sveriges energipolitik och i samband därmed lämnat ett antal rekommendationer. En av dessa är vikten av en oberoende tillsyn på energiområdet och inom elför- sörjningen. I rapporten konstateras att Näringsdepartementet har ansvaret för att utveckla riktlinjer på energiområdet och att Energimyndigheten har ansvaret för att riktlinjerna förverkligas. IEA föreslår att regeringen bör överväga att ytterligare förstärka den funktion inom Energimyndigheten som svarar för reglering av energiområdet genom att funktionen flyttas till en organisation som är helt skild från departementet och Energimyndigheten. 
 I rapporten konstateras vidare att nätavdelningen inom Energi- myndigheten självständigt – inom ramen för ellagen – utövar tillsyn av elnäten. IEA menar dock att regeringen har en dubbel roll eftersom man meddelar föreskrifter för elindustrin samtidigt som staten är ägare till ett av de största företagen. I rapporten förordas en oberoende regleringsmyndighet vilket skulle ge ett avstånd mellan normgivare/tillsynsfunktion och marknads- aktörerna. Vidare rekommenderas en översyn av nätavdelningens roll för att identifiera möjligheter för att stärka dess makt och oberoende vilket skulle förbättra tillsynens kvalitet. 
 Elsäkerhetsverket är tillsynsmyndighet såvitt gäller frågor om el- säkerhet. Elsäkerhetsverket har befogenhet att ingripa när elanläggningar befaras vara farliga att använda och dess uppgift är att se till att det inte uppkommer skador på människor, djur eller egendom. 
 Svenska kraftnät har systemansvaret för el, vilket innebär det övergripande ansvaret för att elektriska anläggningar samverkar 
  
 19 
  
 Övergången till civil bemanning på sjömätnings- och isbrytarfartyg innebär att Sjöfartsverket inrättar en rederifunktion samtidigt som Sjöfartsverket kommer att ha ansvar för tillsynen av fartygen. De ändrade ansvarsförhållandena innebär att verket i viss mån tillser sig självt, vilket självfallet innebär komplicerade avvägningar mellan ekonomiska och andra bedömningar samt frågor om säkerhet. 
  
 20 
  
 IEA är ett självständigt organ som tillkom 1974 inom ramen för OECD (Organisation for Economic  
  
 Co-operation 
  and Development) för att implementera ett internationellt energiprogram. 
 293 
  
 Tillsyn i säkerhetsarbetet 
  
 SOU 2001:41 
  
 driftsäkert så att balans inom hela eller delar av landet kortsiktigt upprätthålls mellan produktion och förbrukning av el. Svenska kraftnät är även elberedskapsmyndighet och fattar som sådan beslut om erforderliga beredskapsåtgärder. 
 Med undantag för Svenska kraftnäts och Elsäkerhetsverkets an- svarsområden utövas tillsynen över ellagen och av föreskrifter och villkor som meddelats med stöd av lagen av Energimyndigheten i egenskap av nätmyndighet. 
 21  
 Nätmyndighetens tillsyn omfattar bl.a. skäligheten av koncessionshavarens tariffer. 
 Tillsynsmyndigheterna, dvs. Svenska kraftnät, Elsäkerhetsverket och Energimyndigheten, får meddela de förelägganden som behövs samt förena dem med vite. I fråga om elsäkerhet och driftsäkerhet har tillsynsmyndigheterna befogenhet att förordna om rättelse på vederbörandens bekostnad eller att förbjuda tillhandahållande eller användning av elmaterial m.m. Energimyndigheten kan dock som sista åtgärd endast återkalla en koncession om ett föreläggande kombinerat med vite inte efterföljs. 
 22 
  
 I december 1999 fick Elnätsutredningen (N 1999:12) i uppdrag att göra en översyn av vissa bestämmelser om nätverksamhet i ellagen. Uppdraget omfattar bl.a. att analysera gränserna för nätmyndighetens tillsynsansvar och att föreslå nödvändiga regler för att precisera detta (dir. 1999:81). I sitt delbetänkande menar Elnätsutredningen att nätmyndighetens tillsyn främst skall omfatta skäligheten av företagens avgifter och övriga villkor för överföring av el och för anslutning till en ledning eller ett ledningsnät. 
 23  
 Elnätsutredningen menar att det är tveksamt om frågan om ett nätföretag håller tillräcklig kvalitet på överföringen faller in under nätmyndighetens ansvarsområde. Utredningen påpekar att det inte finns någon uttrycklig bestämmelse som stadgar att den el som levereras skall hålla en viss kvalitet. Enligt 3 kap 9 § ellagen skall dock överföringen ske på skäliga villkor och övervakningen av denna skyldighet ingår i nätmyndighetens tillsynsansvar. Utredningen föreslår en ny bestämmelse som ålägger nätföretagen att överföra el av tillräckligt god kvalitet. Med kvalitet menar utredningen både leveranssäkerhet och spänningskvalitet. Tvister om nätägarnas skyldigheter i denna del skall prövas av nätmyndigheten efter ansökan av kunden och nätmyndighetens beslut får överklagas till allmän förvaltningsdomstol. 
 24  
 Med den 
  
 21 
  
 12 kap ellagen (1997:857) 
  
 22 
  
 2 kap 18 § ellagen 
  
 23 
  
 SOU 2000:90, Elnätsföretag, Regler och tillsyn 
  
 24 
  
 Utredningen redovisar också att i den finska elmarknadslagen finns regler som innebär skyldighet för nätinnehavaren att underhålla, driva och utveckla sitt nät enligt kundernas 
  
 294 
  
 SOU 2001:41 
  
 Tillsyn i säkerhetsarbetet 
  
 föreslagna bestämmelsen skulle frågan om vad en tillräckligt god kvalitet skall anses innebära få lösas av praxis, t.ex. genom hänvisning till svenska och internationella standarder. 
 25  
 Närmare överväganden om reformbehov i fråga om leveranssäkerhet be- skrivs i kapitel 12. 
  
 11.5 
  
 Utredningens principiella syn vad gäller förutsättningar för en effektiv tillsyn i säkerhetsarbetet 
  
 Som framgått av ovanstående redovisning finns ett flertal viktiga förutsättningar för att åstadkomma en effektiv tillsyn. I säkerhets- arbetet anser utredningen att det finns skäl att särskilt lyfta fram följande principer. 
 Utredningen menar att grunden för en effektiv tillsyn i säker- hetsarbetet är en tydlig lagstiftning. I lagstiftningen skall grund- läggande säkerhetskrav på den verksamhetsansvarige fastställas 
 Tillsynsansvaret skall vara tydligt fördelat och reglerat. Lagstift- ningen skall inte lägga fast säkerhetskrav utan att det samtidigt finns en utpekad tillsynsansvarig myndighet. 
 Den tillsynsansvariga myndigheten skall ha erforderlig kompe- tens och tillräcklig bemanning. Tillsynsorganet skall i princip vara juridiskt, ekonomiskt och administrativt oberoende i förhållande till den vars verksamhet man utövar tillsyn över. 
 Tillsynsorganisationen inom elområdet 
 Utredningen har tidigare framfört att det måste kunna ställas grundläggande säkerhetskrav för att säkra elförsörjningen i freds- tid. 
 26  
 Därutöver menar utredningen att tillsynsansvaret på ett tydligt sätt bör kopplas till de krav som ställs i lagstiftningen. 
 Enligt utredningens uppfattning är dagens tillsynsorganisation på elområdet svåröverskådlig och ger ett splittrat intryck. Det finns en osäkerhet i ansvarsfördelningen mellan tillsyns- 
 rimliga behov och för sin del trygga kundernas tillgång av el av tillräckligt god kvalitet. Närmare bestämmelser om elkvaliteten och den tillåtna längden på elavbrotten regleras i allmänna avtalsvillkor samt i standarder för elkvaliteten som det hänvisas till i villkoren. 
  
 25  
 Enligt Elnätsutredningen skulle en variant kunna vara att ge regeringen, eller den myndighet regeringen bestämmer, rätt att utfärda föreskrifter om vad, som enligt den generella bestämmelsen, skall anses vara godtagbar elkvalitet 
  
 26  
 Se vidare avsnitt 3.1.2 
 295 
  
 Tillsyn i säkerhetsarbetet 
  
 SOU 2001:41 
  
 myndigheterna angående tillsynsansvaret för säkerheten i elförsörj- ningen och det finns en risk för att vissa tillsynsfrågor inte upp- märksammas i tillräcklig grad. Som Elnätsutredningen konstaterat finns det inte någon uttrycklig bestämmelse som stadgar att den el som levereras skall hålla en viss kvalitet med avseende på leveranssäkerhet och spänningskvalitet. Detta försvårar naturligtvis möjligheterna att utöva en effektiv tillsyn. Som tillsynen är organiserad idag finns även en risk för konflikter mellan tillsynsuppgifterna och de främjande och producerande uppgifter som Energimyndigheten och Svenska kraftnät har. 
 För att få ett samlat ansvar för tillsynen av säkerheten på elom- rådet föreslår utredningen att nätavdelningen inom Energimyndig- heten och beredskapsfunktionen inom Svenska kraftnät frigörs från Energimyndigheten respektive Svenska kraftnät och läggs samman med Elsäkerhetsverket till en ny myndighet. Förutom att myndigheten skulle få en mer självständig och tydlig roll skulle synergieffekter uppstå genom att man kan samutnyttja teknisk och annan kompetens. Förslaget till ny tillsynsorganisation beskrivs vidare i avsnitt 13.2.3. 
 Tillsynsansvaret för dammsäkerhet 
 Det är utredningens uppfattning att länsstyrelserna har en naturlig roll som operativt tillsynsansvarig för dammsäkerhet men att det finns problem på grund av att resurserna på länsstyrelserna inte är tillräckliga för att utöva den tillsyn som erfordras. Utredningen förordar en lösning som innebär att en kvalificerad expertkompe- tens på dammsäkerhet står till flera länsstyrelsers förfogande. Där- utöver anser utredningen att det bör finnas en tydligare tillsyns- vägledning för dammsäkerhet på central nivå än den främjanderoll som Svenska kraftnät har idag. Den centrala tillsynsfunktionen bör omfatta såväl kraftverksdammar som dammar för industriändamål och kan med fördel sammanföras med den nya tillsynsmyndighet som utredningen föreslår på elområdet. 
 Tillsynsorganisationen inom trafikområdet 
 För att säkerställa att trafikinspektionernas tillsynsuppgifter utövas självständigt gentemot verksamhetsutövaren menar utredningen att inspektionerna i princip bör vara juridiskt, ekonomiskt och 
 296 
  
 SOU 2001:41 
  
 Tillsyn i säkerhetsarbetet 
  
 administrativt fristående i förhållande till trafikverken. Det administrativa stöd som inspektionerna erhåller från trafikverken idag kan enligt utredningens uppfattning köpas av andra myndigheter. 
  
 11.6 
  
 Sammanfattning och förslag 
  
 I detta kapitel har utredningen behandlat vissa principfrågor som gäller förutsättningar för att bedriva en effektiv tillsyn. 
 Utredningen framhåller betydelsen av: 
 Tydligt formulerade säkerhetskrav. Ett tydligt utpekat tillsynsansvar. 
 Erforderlig kompetens och tillräcklig bemanning vid den tillsynsansvariga myndigheten. 
 Vikten av att säkerhetsaspekterna ges tillräckligt utrymme i den tillsyn som bedrivs. 
 Tillsynsorganets självständighet gentemot den vars verksamhet man utövar tillsyn över. 
 Utredningen förslår: 
 En ny tillsynsmyndighet bildas genom en sammanläggning av Elsäkerhetsverket, nätavdelningen vid Energimyndigheten och beredskapsfunktionen vid Svenska kraftnät. 
 En central tillsynsfunktion för dammsäkerhet avseende såväl kraftverksdammar som dammar för industriändamål skapas. Kvalificerad expertkompetens på dammsäkerhet bör tillföras på länsstyrelsenivå, som kan stå till flera länsstyrelsers förfogande. Trafikinspektionerna bör i princip vara juridiskt, ekonomiskt och administrativt fristående i förhållande till trafikverken. 
 297 
 12 Behovet av lagändringar m.m. 
  
 12.1 
  
 Inledning 
  
 Enligt direktiven skall utredningen lämna förslag till principer för en förbättrad helhetssyn när det gäller planeringen för beredskapen mot svåra påfrestningar i fred. Med tillämpning av ansvars- principen skall beredskapen byggas underifrån så att samhällets basförmåga och den reguljära fredsverksamheten är utgångs- punkten. Det skall prövas om funktionsbegreppet skall behållas. Vid överväganden om det är ändamålsenligt att ge någon myndig- het samordnande uppgifter skall utredningen göra en avvägning mellan behovet av samordning för alla former av hot å ena sidan och behovet av särskiljande inom funktioner samt sektorer inom ramen för ett sammanhängande system å andra sidan. Om utredningen finner att det finns behov av författningsändringar skall lagtekniskt genomarbetade förslag till bestämmelser lämnas. 
 Några av tidigare redovisade huvudpunkter för utredningens överväganden beträffande författningsändringar är följande. 
 En ny grundstruktur skall kunna hantera också andra krissitua- tioner än krig. 
 Grundstrukturen bör inriktas mot situationer som kräver sam- verkan mellan samhällsorgan inom flera olika sektorer. 
 Den nuvarande funktionsindelningen utgår. 
 Ett områdesansvar skall finnas på nationell, regional och lokal nivå, dock med en utvidgad roll för kommunerna. Funktionsindelningen ersätts med ett planeringsansvar, ett samverkansansvar för vissa myndigheter och ett bevakningsan- svar för vissa myndigheter. 
 Förutsättningar skapas för ett samverkansansvar som överskri- der aktuella områdesgränser. 
 Ett nationellt krishanteringsorgan inrättas. Det skall utgöra en del av Regeringskansliet, kunna snabbt träda i funktion vid 
 299 
  
 Behovet av lagändring m.m. 
  
 SOU 2001:41 
  
 kriser och kunna bygga på förberedande arbete utfört av en planeringsmyndighet. 
 Länsstyrelsernas roll vid krishantering utvecklas till förmån för en aktiv stöd- och samordningsroll i förhållande till kom- munerna, framförallt under planeringsskeden men även under insatsskeden. 
 Särskilt viktiga åtgärder för minskad sårbarhet och ökad säker- het är akutsjukvård som en del av skadeavhjälpande insatser och elförsörjningen som en del av den tekniska infra- strukturen. 
  
 12.2 
  
 Konstitutionella frågor 
  
 Regeringsformen ger själva ramen för hur samhället skall vara organiserat och för hur det skall fungera. I detta avsnitt anges vissa utgångspunkter som har relevans för utredningens överväganden angående behov av lagtekniska reformer. Utredningen kommen- terar i avsnitten 12.3.1 och 12.3.2 hur dessa stadganden förhåller sig till det reformbehov som föreligger. 
  
 12.2.1 
  
 Normgivningen 
  
 Såväl under normala fredsförhållanden, vid krig eller krigsfara som vid svåra påfrestningar på samhället i fred gäller att den offentliga makten utövas under lagarna. Detta är den så kallade lagbunden- hetens princip. Den kommunala självstyrelsen är ett centralt sätt att ge folkstyrelsen verkligt innehåll (1 kap. 1 § regeringsformen). Beslutanderätten i kommunerna skall utövas av valda församlingar (1 kap. 7 § regeringsformen). 
 Bestämmelser om förhållandet mellan det enskilda och det all- männa som gäller åligganden för enskilda eller i övrigt avser in- grepp i enskildas personliga eller ekonomiska förhållanden, skall meddelas genom lag (8 kap. 3 § regeringsformen). 
 Huvuddragen av kommunernas organisation och verksamhets- former skall bestämmas genom lag (8 kap. 5 § regeringsformen). 
 Riksdagen kan i lag bemyndiga regeringen att genom förordning meddela föreskrifter i en rad närmare angivna ämnen (8 kap. 7 § regeringsformen). När det gäller svåra påfrestningar på samhället i fred blir särskilt följande ämnen aktuella. 
 Skydd för liv, personlig säkerhet eller hälsa (p. 1), 
 300 
  
 SOU 2001:41 
  
 Behovet av lagändring m.m. 
  
 In– eller utförsel av varor, av pengar eller av andra tillgångar, tillverkning, kommunikationer, kreditgivning, näringsverk- samhet, ransonering, återanvändning och återvinning av mate- rial, utformning av byggnader, anläggningar och bebyggelse- miljö eller tillståndsplikt i fråga om åtgärder med byggnader och anläggningar (p. 3), samt 
 Trafik eller ordningen på allmän plats (p. 5). 
 Riksdagen kan vidare genom lag bemyndiga regeringen att i en för- ordning bestämma att föreskrifterna skall börja tillämpas (8 kap. 10 § regeringsformen). Såvitt här är aktuellt kan bemyndigandet inte gå utöver de ämnen som nämns i 7 § första stycket. Därvid kan riksdagen vidare bestämma att föreskrifter skall underställas riksdagen inom viss tid. Det kan också föreskrivas att regeringens förordning skall upphöra att gälla om underställning inte sker (8 kap. 12 § regeringsformen). 
  
 12.2.2 
  
 Fri- och rättigheter 
  
 I regeringsformens 2 kap. anges ett antal grundläggande fri- och rättigheter. Varje enskild är tillförsäkrad bland annat mötes- och demonstrationsfrihet. Det finns också skydd mot påtvingade kroppsliga ingrepp och mot frihetsberövande (2 kap. 1 §  
 3–4 
  p, 2 kap. 6 § och 2 kap. 8 § regeringsformen). De fri- och rättigheter som anges i detta kapitel i regeringsformen har inte endast en prin- cipiell innebörd utan är rättsligen bindande. 
 Ett antal begränsningar av tillåtna inskränkningar i fri- och rät- tigheter finns i regeringsformen 2 kap. 12 § och följande para- grafer. Av särskild betydelse är att mötesfriheten och demonstra- tionsfriheten får begränsas av hänsyn till ordning och säkerhet vid sammankomsten eller demonstrationen eller till trafiken. I övrigt får dessa friheter begränsas endast av hänsyn till rikets säkerhet eller för att motverka farsot (2 kap. 14 § regeringsformen). I regeringsformen 2 kap. 12 § stadgas också att förslag till lag om begränsning av fri- och rättigheter kan uppskjutas på begäran av tio riksdagsledamöter. 
 Skydd för egendom föreskrivs i regeringsformen 2 kap. 18 §. Ingen kan tvingas avstå sin egendom till det allmänna eller till någon enskild genom expropriation eller annat sådant förfogande eller tåla att det allmänna inskränker användningen av mark eller byggnad utom när det krävs för att tillgodose angelägna allmänna 
 301 
  
 Behovet av lagändring m.m. 
  
 SOU 2001:41 
  
 intressen. Den som tvingas avstå sin egendom skall få ersättning för förlusten. Motsvarande gäller till förmån för den för vilken det allmänna inskränker användningen av mark eller byggnad på sådant sätt att pågående markanvändning inom berörd del av fastigheten avsevärt försvåras eller skada uppkommer som är betydande i för- hållande till värdet på denna del av fastigheten. Ersättning skall i samtliga fall bestämmas enligt grunder som anges i lag. 
  
 12.2.3 
  
 Regler för beredskap och krig 
  
 Lagformen kan enligt regeringsformen 13 kap. 6 § förbigås vid vissa typer av extrema situationer. 
 Om Sverige är i krig eller krigsfara eller om det råder sådana utomordentliga förhållanden som är föranledda av krig eller av krigsfara vari landet har befunnit sig, kan regeringen med stöd av bemyndigande i lag genom förordning meddela sådana föreskrifter i visst ämne som enligt grundlag annars skall meddelas genom lag. 
 Det är vidare möjligt att bemyndiga regeringen att besluta att bestämmelser avsedda för vissa extrema situationer skall börja tillämpas. Erfordras det med hänsyn till försvarsberedskapen, även i annat fall än som nämnts, kan regeringen med stöd av bemyndi- gande i lag genom förordning bestämma att i lag meddelad före- skrift om rekvisition eller annat sådant förfogande skall börja eller upphöra att tillämpas. I de aktuella fallen är det fråga om krig eller krigsfara, åtminstone som orsak till att utomordentliga förhållan- den råder. 
 Det nämns alltså inte något i 13 kap. 6 § regeringsformen om de situationer där fara för Sverige saknar nära samband med krig. 
 I lag med bemyndigande som avses med bestämmelsen i 13 kap. 6 § regeringsformen om utökad normgivningsmakt för regeringen vid krig eller krigsfara skall det noga anges under vilka förutsättningar bemyndigandet får utnyttjas. 
  
 12.3 
  
 En generell definition av svåra påfrestningar på samhället i fred? 
  
 Försök att skapa lagstiftning för svåra påfrestningar på samhället i fred har gjorts vid olika tillfällen. Den följande redogörelsen är av- sedd att ge underlag för en bedömning av vilka lagtekniska ansatser 
 302 
  
 SOU 2001:41 
  
 Behovet av lagändring m.m. 
  
 som står till buds för att avgränsa situationer där operativ krishan- tering är aktuell. 
  
 12.3.1 
  
 Tidigare förslag till definitioner 
  
 Hot- och riskutredningens  
 ansats (SOU 1995:19) var att reglera situationer med svåra påfrestningar på samhället i fred genom att föreslå en utvidgning av räddningstjänstlagen. Det skulle krävas ett särskilt beslut från regeringens sida för att sätta lagstiftningen i tillämpning. Den föreslagna lagstiftningen syftade till skydd för liv, personlig säkerhet eller hälsa. Skydd skulle fungera emot vissa hän- delser som utgår från delar av utredningens scenarier. Händelserna utgjorde förebilder för förutsättningar som skulle gälla för att det föreslagna nya regelverket skulle få tillämpas. Vidare hade händel- serna att göra med minskning av tillgång eller ökning av efterfrågan på förnödenheter. Remisskritik framfördes emot att föreslagna åtgärder inte är räddningstjänst och att närmare rättsliga överväganden inte gjorts. 
 Hot- och riskutredningen utgick från att ämnen enligt 8 kap. 7 och 10 § regeringsformen är ett mera snävt uttryck än syften (SOU 1995:19 s. 194). Detta synes ha skett med utgångspunkt från framställningen hos Bishop och Williams (Sveriges Grundlagar, 12 uppl. 1980, s. 190), där begränsningen till ämnen betonas. Författarna tillägger dock att bemyndiganden om ikraft- trädande förekommer i praktiken utan direkt lagstöd i regerings- formen, bl.a. i fråga om civillag, skattelag och processlag. De menar att detta möjligen har skett till följd av ett förbiseende hos lagstif- taren 
 Campbell och Torres anser emellertid (Grundla- garna, 1980, s. 276) att den övergripande beteckningen följande ämnen används som en sammanfattande benämning på uttryck som inte är språkligt ekvivalenta, och där bl.a. p. 1 är en ändamåls- bestämning men där andra uttryck under de följande punkterna stämmer bättre överens med beteckningen ämnen. Detta talar för att begränsningen bör uppfattas avse syften. 
  
 I departementspromemorian  
 Regeringens och myndigheternas befogenheter vid svåra påfrestningar på samhället  
 (Ds 1996:4) föreslogs att bestämmelser för svåra påfrestningar i fred skulle tas in i en särskild lag. Bestämmelserna skulle tillämpas under vissa förutsättningar utan att någon särskild åtgärd behövdes för att sätta dem i tillämpning. Förslaget hänvisade i detta sammanhang till att 
  
 303 
  
 Behovet av lagändring m.m. 
  
 SOU 2001:41 
  
 en väsentlig funktion kunde falla bort. De centrala bestämmelserna i lagen avsåg åtgärder som behövs för att undvika knapphet på resurser. Dessa åtgärder i den föreslagna lagens  
 4-6 
  §§ avsåg för- foganden över egendom, tjänsteplikt och omfördelning av resurser för sjukvård. 
 Remisskritik framfördes mot att förutsättningarna för att tillämpa lagen var alltför oklara och mot att ersättningsfrågor inte lösts. Därvid avsågs såväl ersättning till enskilda som fördelning av kostnader mellan olika subjekt inom det allmänna. Det framhölls också att förhållandet till annan lagstiftning behövde analyseras, särskilt vad det gällde räddningstjänstlagen. 
 Promemorieförslaget innehöll regler där det inte nämns något bemyndigande för regeringen eller skulle behövas någon särskild åtgärd enligt 8 kap. 7 respektive 10 §§ regeringsformen för att reglerna skulle börja tillämpas. Valet av ämnen för förfoganden i förslaget anknyter emellertid nära till delar av vad som stadgas i 8 kap. 7 § regeringsformen. Detta får tolkas så att förslaget bygger på att detta stadgande ändå skulle få betydelse. I sin tur bör detta ha förutsatt en avvägning när det gäller vilka delar av Hot- och riskutredningens scenarier som går in under tillåtna ämnen eller syften i det stadgandet. 
 Inget av de båda nämnda förslagen innehöll något resonemang utifrån ordning och säkerhet (8 kap. 7 § 1 st. 5 p. regeringsfor- men). En gemensam nämnare kan ha varit en avsikt att begränsa förslagen till någon form av reparativa åtgärder för att förslagen skulle rymmas inom området för regeringens förordningsmakt, samtidigt som man respekterar och undviker att komma i konflikt med grundläggande fri- och rättigheter. 
 Vissa principiella  
 juridisk-tekniska 
  skillnader finns mellan de två nu nämnda förslagen. Dessa är inte stora, liksom skillnader i prak- tiska effekter torde ha blivit begränsade. Båda utredningarna söker vidga tillämpningen av regler som redan finns. Hot- och riskutred- ningen önskade använda flertalet materiella bestämmelser i förfo- gandelagen, fastän den nya normgivningen skulle tas in i rädd- ningstjänstlagen. Promemorieförslaget upptog hänvisningar till andra, fredstida stadganden i räddningstjänstlagen (34 och 45 §§) där det talas om myndigheters skyldighet att bidra med personal och om ingrepp i annans rätt. Det senare förslagets hänvisningar till befintliga lagregler som skulle börja tillämpas gjordes dock på väsentliga punkter inte i lagtext utan i författningskommentar. 
 1 
  
 1  
 Ds 1996:4  
 s.81–82 
  
 304 
  
 SOU 2001:41 
  
 Behovet av lagändring m.m. 
  
 Promemorieförslaget kritiserades för oklara avgränsningar mot räddningstjänstlagen. I förslaget gjordes emellertid delvis en sådan avgränsning genom att en påbörjad plikttjänstgöring enligt den lagen skulle gå före. 
 2  
 Andra frågor kvarstod emellertid om att beslut enligt vanlig lag kan komma att kollidera med beslut enligt normer avsedda för svåra påfrestningar i fred, t.ex. kompetenskon- flikter mellan beslutande myndigheter. 
 Arbetsgruppen för ledningskedjan  
 (Ds 1998:32) strävade efter att klargöra fördelning av ansvar, befogenheter, skyldigheter och re- surser vid en svår påfrestning på samhället i fred. Arbetsgruppens slutsats var att en särskild definition av ett sådant tillstånd inte be- hövs. Därvid anförde arbetsgruppen att svåra påfrestningar i fred är ett tillstånd och att det inte behöver röra sig om händelser som in- träffar plötsligt. Den föreslog att ansvarsförhållanden klargörs genom administrativa normer, där det anges att statliga och kom- munala myndigheter har skyldighet att planera för extraordinära situationer. Vidare resonerade arbetsgruppen kring stödfunktioner åt regeringskansliet och förordade bland olika möjligheter att Överstyrelsen för civil beredskap skulle få en sådan funktion, dock utan att det skulle medföra något bestämmande inflytande. 
  
 Remissynpunkter framställdes från två helt skilda utgångs- punkter. Ibland ifrågasätts mer eller mindre direkt om någon speciell reglering för svåra påfrestningar i fred alls behövs. Andra remissinstanser påpekar att den föreslagna utgångspunkten lämnar öppet vilka befogenheter myndigheterna skall ha i en sådan situation. Utgångspunkterna vid remissvaren över förslagen från arbetsgruppen för ledningskedjan speglade helt olika prognoser om det fredstida samhällets förmåga att hantera varje tänkbar påfrest- ning som är mer eller mindre möjlig att förutse. 
 I betänkandet Totalförsvarsplikt för det nya försvaret (SOU 2000:21) lämnade  
 Pliktutredningen  
 förslag till en lag om tjänsteplikt vid allvarliga störningar i viktiga samhällsfunktioner. 
 Pliktutredningens ansats är lagtekniskt i stor utsträckning den samma som promemorieförslagets. Med allvarliga störningar i viktiga samhällsfunktioner avses omfattande avbrott inom landet i kommunikationerna eller försörjningen med livsnödvändiga förnö- denheter eller tjänster om avbrottet medför allvarlig fara för många människors liv, personliga säkerhet eller hälsa. Definitionen har emellertid inte längre någon hänvisning till något enskilt av de sce- narier som Hot- och riskutredningen arbetade med. 
  
 2  
 Ds 1996:4 s. 83 
 305 
  
 Behovet av lagändring m.m. 
  
 SOU 2001:41 
  
 Pliktutredningen återkommer emellertid till Hot- och riskutred- ningens ansats att särskilt nämna avbrott i kommunikationer. Metodmässigt innebär detta att man på nytt anknyter till den ut- redningens ansats att klargöra när en situation som innebär en svår påfrestning i fred skall anses ha inträffat, nämligen genom att ange vissa konkreta händelser som redan har inträffat. Samtidigt söker man förena detta med en annan lagteknisk ansats genom att även ta hänsyn till fara för skadliga eller farliga händelser som ännu inte har inträffat. 
  
 12.3.2 
  
 Utredningens slutsatser om teknik för lagändringar beträffande krishantering 
  
 Försöken att formulera en tydlig och allmängiltig definition av ett begrepp svåra påfrestningar på samhället i fred har som framgått mött betydande svårigheter. Begreppet har i begränsad utsträck- ning kommit till användning i olika lagstiftningssammanhang, nämligen i lagen (1992:1403) om totalförsvar och höjd beredskap som en utgångspunkt för verksamhetsplanering, i elberedskaps- lagen (1997:288) som en faktor att beakta vid granskning av en an- mälan från den som har koncession respektive i radio- och TV- lagen (1996:844) som en del av villkor för sändningstillstånd. 
 Olika utredningar har försökt att formulera ett allmängiltigt be- grepp som en utgångspunkt för fortsatt reformarbete med kris- hantering. Samtliga har avstått från att framställa förslag till grund- lagsändringar. När det gällt konkreta åtgärder har deras förslag väsentligen avsett reparativa åtgärder. I stor utsträckning har för- slagen haft att göra med att det allmännas service till befolkningen skall kunna fungera även när den sätts på allvarliga prov, inte minst inom sjukvården. 
 En enhetlig definition av ett allmänt uttryck eller lagtekniskt be- grepp svåra påfrestningar på samhället i fred har onekligen vissa praktiska fördelar för att skapa klarhet i diskussionen kring och lagstiftningen om samhällets hantering av kriser. Betydande svårig- heter uppstår emellertid när man måste konstatera att svåra på- frestningar lika väl som en serie av enskilda händelser kan vara till- stånd, utdragna över tiden och med många och sammansatta orsaker och verkningar. En alltför abstrakt definition blir vag och leder till minskad förutsebarhet. En alltför konkret definition riskerar att inte bli heltäckande. 
 306 
  
 SOU 2001:41 
  
 Behovet av lagändring m.m. 
  
 Ett gemensamt element i tidigare utredningars strävanden efter en generell definition synes ha varit att liv och hälsa skall skyddas i ett sådant läge. Detta överensstämmer med stadganden om regeringens förordningsmakt i regeringsformen 8 kap. 7 och 10 §§. 
 Stadgandenas ordalydelse ger besked om hur förordningsmakten skall vara begränsad. Mot bakgrund av de resonemang som tidigare utredningar fört om regler för hantering av fredstida påfrestningar finns det dock anledning att här söka vägledning utöver ordalagen. Enligt utredningens mening finner man här en allmän konstitutio- nell princip om vilka syften det är möjligt för det allmänna att till- godose utan att grundlagsmässiga hänsyn träds för när. För detta talar också den mycket strikta uppdelning som framgår av 13 kap. regeringsformen mellan samhällets ordinära åtgärder och de för- skjutningar som kan föranledas av krig eller krigsfara. 
 Även med ett breddat säkerhetsbegrepp och med en helhetssyn på hantering av säkerhetsfrågor över hotskalan i dess helhet finns det enligt utredningens mening inte anledning att ifrågasätta den rådande uppfattningen att krig är en i så hög grad extraordinär på- frestning att endast den motiverar en generell omställning av hur det allmännas verksamhet får och skall bedrivas. 
 Det vore knappast ens om man övervägde grundlagsändringar fruktbart att söka åstadkomma en allmängiltig och heltäckande lagteknisk definition för ett begrepp om svåra påfrestningar i fred. Själva uttrycket svåra påfrestningar på samhället i fred får emeller- tid fortsatt betydelse som en allmän orienteringspunkt för diskus- sionen om lösningar för samhällets krishantering. De uttryck om fredstida krishantering och liknande som används i det följande är inte avsedda att ha en sådan övergripande och allmängiltig bety- delse som man tidigare eftersträvat för uttrycket svåra påfrest- ningar i fred. 
 Utredningen drar följande övergripande slutsatser om hur lag- ändringar bör ske. 
 Förändringar för en situation som i någon mening motsvarar svåra påfrestningar på samhället i fred bör göras med minsta möjliga ingrepp i det fredstida samhällets organisation i en- skilda lagar som redan finns. 
 Någon form av särskild undantagslag bör inte komma i fråga. Bestämmelserna bör kunna tillämpas i speciella situationer som är angivna med så stor precision som möjligt. 
 Det finns inte någon särskild fördel med att bestämmelserna skall börja tillämpas genom ett särskilt beslut av regeringen. 
 307 
  
 Behovet av lagändring m.m. 
  
 SOU 2001:41 
  
 Med den valda lösningen med ändringar i begränsad omfattning i lagar som redan finns kan man uppnå att det allmännas verksamhet när rättssamhället sätts på prov fortfarande bedrivs på ett förutse- bart, rättssäkert och effektivt sätt. Detta ger också uttryck för en mycket viktig demokratisk grundsats, nämligen att samhällets hantering av kriser är en normal verksamhet för att råda bot på omständigheter som inte är normala. 
 Utredningens uppdrag omfattar enligt direktiven i första hand att skapa ett planeringssystem för hantering av kriser i fredstid. Om lagstiftning bedöms erforderlig skall lagtekniskt genom- arbetade förslag lämnas. De förslag till lagtekniska lösningar som lämnas gäller väsentligen övergripande frågor av administrativ art. I detaljfrågor där ytterligare överväganden av saklig eller politisk art är påkallade genomför utredningen resonemang om inriktningen av fortsatt lagstiftningsarbete. Detta sker även med hänsyn till att ytterligare utredningar i vissa ämnen eller detaljfrågor har aviserats. 
  
 12.4 
  
 Regler för kommuner och länsstyrelser 
  
 12.4.1 
  
 Vissa huvuddrag i den kommunala organisationen 
  
 Kommunallagen (1991:900) gäller både för kommuner och lands- ting. För att inte tynga framställningen när någon särskild distink- tion inte behövs används i fortsättningen uttrycket kommuner utan att landstingen lämnas utanför resonemanget. 
 Kommunallagen innehåller i 2 kap. 1 § en allmän avgränsning av den kommunala kompetensen. Kommuner och landsting får själva ha hand om sådana angelägenheter av allmänt intresse som har an- knytning till kommunens eller landstingets område eller deras medlemmar och som inte skall handhas enbart av staten, en annan kommun, ett annat landsting eller någon annan. I detta ligger bl.a. en  
 lokaliseringsprincip  
 såtillvida att en kommun inte får sköta en angelägenhet som ankommer enbart på en annan kommun. Enligt 2 kap. 4 § finns särskilda föreskrifter om kommunernas och landstingens befogenheter på vissa områden. Som exempel på lagar som utvidgar eller närmare bestämmer den kommunala kom- petensen kan nämnas lagen (1970:663) om vissa kommunala befogenheter i fråga om sysselsättning för handikappade, lagen (1986:753) om kommunal tjänsteexport och lagen (1994:693) om rätt för kommuner och landsting att lämna internationell katastrofhjälp och annat bistånd. Även inom kommunallagens ram 
 308 
  
 SOU 2001:41 
  
 Behovet av lagändring m.m. 
  
 förekommer bestämmelser med motsvarande syften. Kommuner har t.ex. rätt att driva näringsverksamhet under förutsättning att den inte drivs i vinstsyfte och att anställa politiska sekreterare (2 kap. 7 § och 4 kap. 30 §). 
 Bestämmelser om samverkan mellan kommuner finns bl.a. i fråga om gemensamma nämnder och kommunalförbund (3 kap. 3 a 
 – 3 d §§ och 20 – 28 §§). 
 Om inte något annat är särskilt föreskrivet skall nämndernas verksamhetsområden och inbördes förhållanden bestämmas av fullmäktige. Vidare är det fullmäktige som beslutar i ärenden av principiell beskaffenhet eller annars av större vikt för kommunen eller landstinget, bl.a. nämndernas organisation och verksamhets- former (3 kap. 4 § och 9 §). Fullmäktiges beslut om delegation till nämnder fattas i allmänhet en gång om året i anslutning till att budgeten fastställs. Det är också möjligt att besluta om delegation till nämnder när anslag beviljas. (Se 3 kap. 12 §.) 
 Föreskrifter om den kommunala organisationen under krig eller krigsfara finns i lagen (1988:97) om förfarandet hos kommunerna, förvaltningsmyndigheterna och domstolarna under krig eller krigsfara m.m. Lagen är en beredskapslag som kan sättas i tillämp- ning genom beslut av regeringen. Den innehåller i  
 6–10 
  §§ be- stämmelser om visst minsta antal ledamöter som erfordras för att beslut skall få fattas och om möjligheter att överflytta beslutsbefo- genheter till kommunstyrelsen, till ordföranden i en nämnd eller till en eller flera andra nämnder. Förutsättningarna för detta är re- lativt vagt angivna med uttryck som inte kan anstå eller synner- lig vikt. 
 Enligt lagen (1994:1720) om civilt försvar finns det en skyldig- het för kommuner och landsting att vidta beredskapsförberedelser i samverkan med varandra och med statliga myndigheter. Ansvaret för förberedelserna och inriktningen av dessa ankommer i första hand på kommunstyrelsen respektive landstingsstyrelsen. Kom- muner och landsting är också skyldiga att medverka i utbildning som avser beredskapsförberedelserna (se 2 kap.  
 1–2, 
  4 §§). Därut- över ansvarar kommunstyrelsen under höjd beredskap (dvs. vid krig eller krigsfara) för ledningen av den del av det civila försvaret som kommunen skall bedriva (3 kap. 1 §). Kommunstyrelsen skall också verka för att beredskapsförberedelser som berör kommunen får en enhetlig inriktning och för att samverkan kommer till stånd. Kommuner och landsting är skyldiga att lämna hjälp till andra kommuner eller landsting som har en för totalförsvaret viktig upp- gift som blivit oskäligt betungande till följd av krigsskada eller 
 309 
 Behovet av lagändring m.m. SOU 2001:41 
 andra utomordentliga förhållanden som orsakats av krig eller krigsfara. 
  
 12.4.2 
  
 Hemställan från Svenska Kommunförbundet 
  
 Svenska Kommunförbundet har i en skrivelse till regeringen den 14 juni 1999 berört några av de kommunalrättsliga problem som kan tänkas uppkomma vid extraordinära händelser, dvs. vid andra situationer än vid höjd beredskap. 
 Oavsett om en sådan händelse betecknas som en svår påfrest- ning i fred eller som något annat kan situationen, enligt vad Kommunförbundet framhåller, ställa särskilda krav på ledning, samordning och information. Ett sätt att uppfylla stora krav på förmåga till beslut utan dröjsmål är att inrätta en krislednings- grupp, vars beslut kan beröra flera olika nämnders verksamhets- områden. 
 Kommunförbundet noterar att kommunallagen inte innehåller några särskilda bestämmelser om handlingssätt vid svåra påfrest- ningar, utan kommunernas agerande, organisation och beslutsfat- tande måste i varje situation hålla sig inom kommunallagens be- stämmelser. För att en krissituation skall kunna hanteras på bästa sätt är det viktigt att ingen tvekan råder beträffande en krisled- ningsgrupps legalitet och dess rättsliga befogenhet att fatta beslut, vilket kan göra det nödvändigt att beslutskompetens överflyttas från nämnder. En uppfattning som förekommer bland kommu- nerna är att beslutskompetensen bör flyttas till kommunstyrelsen. Med nuvarande utformning av kommunallagen 3 kap. 9 § är det enligt Kommunförbundet tveksamt om detta kan ske, eftersom det är kommunfullmäktige som skall besluta om nämndernas verksam- hetsområden. 
 Utöver det som Kommunförbundet anfört bör här tilläggas att en uppfattning förekommer att kommunstyrelsen redan med nuva- rande rättsläge har rätt att hantera kriser och överta befogenheter från nämnder på grund av stadgandet i 6 kap. 1 § kommunallagen. Detta innehåller att kommunstyrelsen skall leda och samordna för- valtningen av kommunens angelägenheter och ha uppsikt över övriga nämnders verksamhet. Den nyss nämnda uppfattningen framstår emellertid som mindre väl grundad med hänsyn till stadgandet i 11 kap. 7 § regeringsformen, som garanterar bl.a. kommunala nämnders självständighet genom att stadga att ingen 
 310 
  
 SOU 2001:41 
  
 Behovet av lagändring m.m. 
  
 myndighet, inte heller riksdagen, har möjlighet att bestämma hur en förvaltningsmyndighet skall besluta i ett enskilt ärende. 
 Kommunförbundet hemställer i skrivelsen att regeringen vidtar de lagändringar som behövs för att kommunernas kompetens och befogenheter vid svåra påfrestningar skall klarläggas. Därvid bör enligt Kommunförbundet lagstöd införas för att kommunstyrelsen skall ges befogenhet att överta beslutanderätt från andra nämnder. 
 Arbete pågår inom Justitiedepartementet med direktiv till en särskild utredare för att klarlägga de frågor som förts fram av Kommunförbundet. Något beslut av regeringen om sådana direktiv föreligger ännu inte. 
 Kommunförbundet har i en skrift som utarbetats och utgivits i samarbete med Överstyrelsen för civil beredskap angivit fyra olika modeller för hur krishantering skall kunna ske inom en kommun.  
 Utskottsmodellen  
 bygger på inrättande av utskott enligt 6 kap. 20– 22 §§ kommunallagen. Varje berörd nämnd väljer inom sig ett kris- utskott. De ledamöter som utsetts utgör gemensamt en krisled- ningsgrupp, som emellertid inte gemensamt kan fatta beslut. Sådana fattas av varje utskott för sig, men förutsätts då ske efter gemensamma diskussioner med de andra krisutskotten inom kommunen.  
 Delegeringsmodellen  
 har en liknande innebörd.  
 Bråds- kandemodellen  
 innebär en ytterligare variant efter samma utgångs- punkt genom att man beslutar om delegation enligt 6 kap. 36 § kommunallagen i ärenden som inte kan avvaktas.  
 Kommunstyrelse- modellen  
 skiljer sig från de andra modellerna på så sätt att den innebär att beslut fattas kollektivt, inte av en person med delega- tion. Beslut kan också fattas av en särskild krisledningsnämnd, som likaledes förutsätts kunna överta andra nämnders beslutsbefogen- heter. Kommunförbundet påpekar även här att ett sådant överta- gande är problematiskt med hänsyn till regeln i 3 kap. 9 § 3 p. kommunallagen, som innebär att beslut om nämnders organisation och verksamhetsformer ankommer på kommunfullmäktige. 
  
 12.4.3 
  
 Närmare om innebörden av den kommunala självstyrelsen 
  
 Frågor om den kommunala självstyrelsens närmare innebörd har behandlats av Kommittén om den kommunala självstyrelsens grundlagsskydd i betänkandet  
 Den kommunala självstyrelsen och grundlagen  
 (SOU 1996:129). 
 311 
  
 Behovet av lagändring m.m. 
  
 SOU 2001:41 
  
 Kommittén anförde att den kommunala självstyrelsen aldrig kan vara total. Detta har på senare tid uttryckts med att kommunal självstyrelse är en grundläggande, normativ idé och princip om relationen mellan staten och kommunala organ. Bestämmande för relationens utformning anses för det första vara vilka områden inom den offentliga sektorn som skall vara statliga respektive kommunala. Ansvars- och uppgiftsfördelningen har i stor utsträck- ning grundats på praktiska överväganden. Den har inte reglerats i regeringsformen på annat sätt än att det föreskrivs att kommunernas åligganden och befogenheter skulle meddelas i lag. Förhållandet mellan staten och den kommunala självstyrelsen präglas av en helhetssyn där staten och kommunerna samverkar på skilda områden och i olika former för att uppnå gemensamma sam- hälleliga mål. I förarbetena till regeringsformen ansågs att arbets- och befogenhetsfördelningen i ganska vid omfattning måste kunna ändras i takt med samhällsutvecklingen. 
 Kommittén drog slutsatsen att det är angeläget även för fram- tiden att gränserna för en kommunal självstyrelsesektor inte slås fast i grundlagen, utan i stället kan ändras i takt med den fortsatta samhällsutvecklingen. Detta hindrar emellertid inte att vissa principer för ansvars- och uppgiftsfördelningen kan komma till ut- tryck i regeringsformen. 
 I regeringsformen saknas enligt kommittén regler som säker- ställer att den kommunala självstyrelsen beaktas vid normgivning. Ett sådant stadgande skulle fylla en viktig funktion och få till följd en regelmässig avvägning av självstyrelseintressena. 
 Kommittén föreslog närmare angivna ändringar i regerings- formen utifrån följande förslag till formulering av den kommunala självstyrelsens innebörd. 
 Den kommunala självstyrelsen är en grundläggande och allom- fattande princip för relationen mellan stat och kommun. Den säger att kommunen respektive landstinget själv skall  
 styra 
 , dvs. besluta inom sitt område beträffande de kommunala angelägenheterna. Vilka dessa angelägenheter är bestäms genom lag. Några av dem är specialreglerade i särskild lag, och här föreligger i regel en skyldig- het för kommunen eller landstinget att ombesörja dem. En förut- sättning för den kommunala självstyrelsen är den kommunala be- skattningsrätten. – Utmärkande för den offentliga sektorn är sam- verkan mellan stat och kommun. Det finns motstående intressen. Den kommunala självstyrelsen kan därför inte vara total. Frihets- graden varierar efter angelägenheternas art. Men för folkstyrelsen representerar den kommunala självstyrelsen grundläggande värden. 
 312 
  
 SOU 2001:41 
  
 Behovet av lagändring m.m. 
  
 Den skall därför ha en reell innebörd och väga mycket tungt i rela- tion till de motstående intressen som kan finnas. 
  
 12.4.4 
  
 Allmänt om tänkbara styrmedel 
  
 Lagbundenhetens princip framträder på detta område när det anges i 8 kap. 5 § regeringsformen att kommunernas uppgifter skall framgå av lag. 
 Nämndorganisation och uppgifter skall beslutas av fullmäktige. Nuvarande kommunala samarbetsformer mellan flera kommuner utgörs av gemensamma nämnder och kommunalförbund. 
 När man överväger åtgärder för att hantera en kris som berör en eller flera kommuner måste inte minst tidsfaktorn beaktas noga. I en krissituation finns ofta inte tidsmässigt utrymme för vanlig be- redning, vare sig för fullmäktige- eller nämndbeslut eller för etable- ring av samarbete mellan flera kommuner. 
 I praktiken har kommuner i krissituationer inrättat informella samarbets- och samordningsorgan. Likaså har kommuner tillämpat beredskapsplaner för situationer som är allvarliga men inte alls har haft att göra med beredskap, något som avser krig eller krigsfara. Situationer där man lagar efter läglighet har i många lägen inne- hållit tydliga uttryck för den vilja till samverkan, problemlösning och improvisation som finns. Ur ett rättsligt perspektiv finns det anledning att ifrågasätta åtgärder som inte är förutsebara. 
 Från ett principiellt synsätt kan man i och för sig betvivla om man över huvud taget behöver ange att kommuner skall hantera kriser eller planera för krishantering. Argumentet mot att något sådant skulle vara nödvändigt är då att regeringsformen bygger på att krig och krigsfara är de enda tillstånd som är så speciella att man behöver göra någon anpassning av samhället. Till detta kommer att kommunernas uppgifter enligt lag åvilar dem i varje tänkbart läge. 
 På motsvarande sätt måste man närmare överväga om det i någon situation kan vara nödvändigt att överflytta ansvar eller befogenheter att fatta beslut från en nämnd till någon annan nämnd eller från en kommun till någon annan beslutsinstans. Den kommunala organisationen är emellertid mycket sammansatt och komplicerad även i mindre kommuner. Frågan är om det är realistiskt att varje nämnd i varje kommun kommer att fungera godtagbart i ett krisläge. Vidare innehåller den kommunala kompetensen bl.a. en geografisk begränsning. Det finns inte något lagstöd för att kommuner i fredstida krissituationer skulle få ägna 
 313 
  
 Behovet av lagändring m.m. 
  
 SOU 2001:41 
  
 sig åt andra kommuners angelägenheter på ett sätt som inte är tillåtet i vanliga situationer. 
  
 12.4.5 
  
 När sätts samhällets krisåtgärder på särskilda prov? 
  
 Som redan berörts bör lösningar som innebär samverkan vara huvudregel för krishantering inom och mellan kommuner. Detta bör kunna förverkligas genom att kommunerna fortsätter att sluta avtal för gemensam krishantering. Emellertid är detta inte tillräck- ligt som beredskap för svåra påfrestningar i fred, vilka kan beröra ett flertal kommuner, även i andra kombinationer än vad som för- utsetts planeringsmässigt. Personer i ansvarig ställning kan ha helt olika uppfattningar om en påfrestnings omfattning och tänkbara konsekvenser. Samma sak gäller slutsatser i värderingsfrågor om i vilket avseende en påfrestning drabbar mest påtagligt eller hur prioriteringar bör göras för att den skall kunna hanteras. 
 När man överväger tänkbara fredstida kriser och katastrofer finns en svårighet som är en svårlöst paradox, nämligen att man försöker förutse det som man vet inte går att förutse fullt ut i alla enskildheter. Olika konstruktioner måste göras. Hot- och riskut- redningen arbetade med scenarioteknik. De situationer som skisseras nedan är präglade av de scenarier som Hot- och riskut- redningen formulerade. Vidare innehåller de detaljer som återgår på verkliga händelser. Inte något beskrivet förlopp gör anspråk på att göra detta i varje detalj, utan det finns ett resonerande moment. Detta utgår dock från fullt tänkbara tillspetsningar av situationer som verkligen har inträffat. Erfarenheter från olika övningar i spelform har utnyttjats. Exemplen bör betraktas som illustrationer. De skall i varierande art och grad åskådliggöra de problem som nämnts i närmast föregående stycke. Det är inte heller så att någon situation som beskrivs gör anspråk på att vara av en sådan dignitet att den skulle motsvara en svår påfrestning. 
 En allmän iakttagelse som utredningen gjort vid studium av be- fintlig krisplanering och vid besök hos myndigheter är att samver- kan i ett krisläge försvåras betydligt när överläggningar skall föras mellan mer än två berörda parter. 
 Några inslag i svårhanterade situationer kan tänkas vara följande. Miljöfarliga ämnen används på ett riskabelt sätt i en kommun, vilket får omfattande och menliga effekter för grundvattenförsörj- 
 ningen i minst en angränsande kommun. 
 314 
  
 SOU 2001:41 
  
 Behovet av lagändring m.m. 
  
 Ett utsläpp av frätande ämnen utvecklas därhän att en utrymning i stor skala visar sig nödvändig. Förutom informationsproblem är de nyss nämnda meningsskiljaktigheterna om katastrofens omfatt- ning och effekter för handen. Skadliga effekter uppkommer i flera kommuner. Oenighet råder om vilka effekter som inträffat, om hur de avhjälps bäst och om vem som har bäst förutsättningar att bidra till detta. 
 Det sista exemplet visar klart svårigheten att förutse varje tänk- bart behov. Det kan t.ex. bli fråga om ökade insatser från social- tjänsten för att ta hand om oroliga människor, behov av skollokaler för inkvartering och förläggning eller förstärkning med ytterligare förskole- och lärarpersonal som får ta hand om stora grupper av barn i förskole- och skolåldern. 
 Efter ett omfattande oväder uppstår oenighet mellan två länssty- relser om var huvudansvaret för insatser på regional nivå bör ligga. Företrädare tar kontakter med en central statlig myndighet som i det aktuella läget saknar formella befogenheter att inskrida. Clarke het råder vidare mellan länsstyrelsernas företrädare och den centrala myndigheten om innebörden av kontakten. Konflikten löses slutligen sedan länsstyrelserna enats om att ledningsansvaret bör utövas där de mätbara effekterna av ovädret varit mest påtag- liga. 
 Läckage av giftigt sediment från en industridamm tilltar snabbt. Information framförs till olika kommunala och statliga befatt- ningshavare, av vilka inte någon anser att tänkbara skadliga effekter är av den art som faller inom vederbörandes ansvarsområde. Olika bedömningar förekommer huruvida situationen kan komma att falla inom ramen för räddningstjänst eller ej. 
 Som ett praktiskt exempel på svårigheten att betrakta operativ krishantering (sådan utredningen definierat denna i kapitel 5) och räddningstjänst som i huvudsak ekvivalenta kan vidare anföras diskoteksbranden i Göteborg hösten 1998. Insatsen från rädd- ningstjänstens sida kunde avslutas efter ett par timmar. Åtgärder av olika slag och omfattning inom ramen för operativ krishantering har pågått under mycket lång tid därefter. 
 Det sagda belyser att situationer väl kan tänkas uppstå där sam- ordning och informationsutbyte inte är tillräckliga medel för snabb hantering av kriser på den kommunala nivån. 
 Även med dessa synpunkter anser utredningen att det inte finns skäl att frångå uppfattningen att samverkan utifrån befintlig plane- ring är det väsentligaste styrmedlet. Det finns däremot betydande vinster att göra genom att skapa förutsebarhet om vad som skall 
 315 
  
 Behovet av lagändring m.m. 
  
 SOU 2001:41 
  
 ske när samverkan inte visar sig möjlig eller effektiv, därför att ut- vecklingen sker i en annan riktning eller omfattning än vad befint- lig planering täcker eller därför att oenighet råder. 
 Redan en sådan förutsebarhet kan i praktiken bidra till att an- svarsprincipen betonas och stärks. Det blir möjligt att undvika effektivitetsförluster, missförstånd och handlingsförlamning. 
  
 12.4.6 
  
 Närmare om omfattning och utformning av reformer 
  
 Utredningens slutsatser om behovet av reformer omfattar följande frågor. 
 Kommunerna bör i lag åläggas att utifrån riskanalys och säker- hetsrevision planera för robusthet i utförandet av kommunala åligganden och hantering av svåra påfrestningar. 
 Lagstöd bör införas för att ge möjlighet att inrätta en krisorganisation med beslutsbefogenheter inom en enstaka kommun. 
 Ett ytterligare reformbehov kan föreligga i fråga om samord- ning mellan flera kommuner i situationer där förutsatt samver- kan inte fungerar. 
 I detta sammanhang vill utredningen återkomma till vad som tidigare anförts om den kommunala självstyrelsen. Denna har inte någon absolut innebörd. Emellertid är den av central betydelse och leder till grannlaga överväganden inte minst om hur maktmissbruk skall kunna förhindras. Utredningen kan inte finna att den kom- munala självstyrelsen är utslagsgivande i en situation där någon ut- satt kommuns situation är sådan att den kommunen inte förmår utföra sina uppgifter ensam. 
 När det gäller förutsättningarna för att befogenheter skall kunna överföras inom ramen för operativ krishantering inom en kommun eller ett landsting förtjänar det att erinras om vissa huvudpunkter i de försök som gjorts att definiera en svår påfrestning på samhället i fred. 
 Bortfall av kommunikationer 
 Brist på förnödenheter eller sjukvårdsresurser Skada på person eller egendom 
 Fara för de olägenheter som nämnts 
 Anknytning till ett eller flera av Hot- och riskutredningens scenarier 
 316 
  
 SOU 2001:41 
  
 Behovet av lagändring m.m. 
  
 Dessa försök har emellertid avsett att finna en generell definition. När det handlar om att begränsa olägenheterna av hot mot att kommuners åligganden fullgörs bör definitionen anknyta direkt till detta och till de effekter man vill undvika. Sådana kriterier kan vara följande. 
 Faran berör flera olika sektorer av kommunens verksamhet. Allvarlig fara för liv, hälsa eller synnerligen omfattande materi- ell skada föreligger, vilket kräver insatser utöver räddnings- tjänst. 
 Tillgängliga egna resurser för att bibehålla kvaliteten i utföran- det av sina uppgifter framstår som klart otillräckliga. 
 En situation utvecklas på ett mycket snabbt och okontrollerat sätt. 
 Påtagliga svårigheter föreligger att överblicka det aktuella läget. Allvarliga hinder föreligger i möjligheter att lämna information om farans utveckling. 
 Tidsutdräkt skulle allvarligt försvåra möjligheter att återställa de skador som kan tänkas uppstå. 
 Samtidigt måste garantier mot maktmissbruk formuleras. 
 Det kan förtjäna att övervägas om någon särskild möjlighet till inhibition bör införas. Med de betoningar som har gjorts av sam- verkan som huvudregel för krishantering och om fördelning av ini- tiativrätt och beslut ter sig en sådan möjlighet inte nödvändig ut- över vad som stadgas enligt 28 § förvaltningsprocesslagen (1971:291). 
  
 12.4.7 
  
 Ändrade befogenheter inom en kommun eller mellan kommuner? 
  
 En viktig aspekt av garantier mot maktmissbruk är att ta avstånd från inslag som skulle kunna uppfattas som att den kommunala självstyrelsen, låt vara i en extrem situation där förutsatt samverkan inte fungerar, inskränks till den grad att en statlig befälsrätt skulle införas. I stället bör statens konfliktlösande roll betonas. En viktig roll kan komma att spelas av det nationella krishanteringsorgan som utredningen föreslår skall inrättas och utgöra en del av Regeringskansliet. 
 Hantering av kriser inom en kommun bör uppfattas som en an- gelägenhet som i utpräglad grad avser en kommuns rätt att styra i sina egna angelägenheter. Det skulle enligt utredningens bedöm- 
 317 
  
 Behovet av lagändring m.m. 
  
 SOU 2001:41 
  
 ning föra alltför långt att införa någon möjlighet till beslutsrätt på den statliga eller regionala nivån när oenighet uppstår på den lokala nivån. Detta hindrar inte att särskilda överväganden är påkallade när det gäller hälso- och sjukvård. Till detta återkommer utred- ningen i avsnitt 12.5. 
 Det fallet att samverkan inte är tillräcklig eller möjlig när det är två eller flera kommuner som berörs bör uppmärksammas särskilt. Om en gemensam instans inrättas för hantering kommuner emellan av krissituationer består det kommunala ansvaret och in- flytandet. Man undviker också de negativa associationer som en möjlig statlig befälsrätt kan ge upphov till. 
 En sådan metod för gemensam kommunal krishantering skulle kunna uppfattas som att en tvistande part ges bestämmanderätt över en annan. Det förtjänar att framhållas att själva förutsebarhe- ten om hur en tvist skall lösas i sig är ett incitament till att samver- kan skall fungera även i en mycket pressad situation, utan att detta leder till att en svagare part missgynnas. 
 Sådana ändringar i den kommunala beslutsordningen vore emellertid även i olika avseenden mera långtgående och detaljerade än vad som gäller för beredskapssituationer enligt lagen om civilt försvar. Utredningens uppdrag omfattar att se över systemet för planering för civilt försvar och svåra påfrestningar i fred. Det om- fattar däremot inte att se över lagstiftningen för beredskapsförhål- landen generellt, där anknytningen till krig eller krigsfara bygger på vad som stadgas i 13 kap. regeringsformen. Förslagen och det som utredningen anför om ytterligare reformbehov kan emellertid ge anledning till fortsatt översyn av beredskapslagstiftningen 
 Frågan är då hur man bör skapa möjligheter i kommunallagen för att lösa kriser inom en kommun och i vad mån det finns anledning att gå vidare för att skapa en gemensam ordning för hantering av kriser där flera kommuner berörs och där samverkan inte är tillräcklig. Utredningen har, mot bakgrund även av de allmänna utgångspunkter för förslag till författningsändringar som redovisas i detta kapitel, slutligen stannat för att föreslå att kommunala nämnders befogenheter skall kunna överflyttas inom samma kommun. Beslutsbefogenheterna bör i ett sådant fall ankomma på kommunstyrelsen. Detta anknyter nära till den kommunstyrelsemodell som skisserats av Svenska Kommun- förbundet. Denna modell har en mycket väsentlig fördel framför andra modeller, nämligen att beslut även i kritiska situationer med nödvändiga förenklingar fortfarande fattas gemensamt och under gemensamt ansvar, snarare än att man bygger på delegation till 
 318 
  
 SOU 2001:41 
  
 Behovet av lagändring m.m. 
  
 enstaka beslutsfattare. En annan mycket viktig fördel som uppnås är att tvivel inte kan råda om kommunstyrelsens legitimitet som beslutsfattare i krissituationer. De tillägg som utredningen förordar beträffande 6 kap. kommunallagen är avsedda att utgöra speciallag i förhållande till fullmäktiges beslut om nämnder enligt 3 kap. 9 § kommunallagen, som då inte behöver ändras på det sätt Kommunförbundet skisserat. 
 Enligt utredningens mening kan erforderliga förändringar uppnås genom ändringar i kommunallagen enligt följande 
 . 
  
 I 2 kap. kommunallagen kan klargöras kommunernas skyldig- het och behörighet att planera för fredstida kriser. 
 Det kan då också slås fast att krishantering faller inom den kommunala kompetensen även med avseende på andra kom- muner än den egna. 
 Kommunstyrelsen kan genom tillägg i 6 kap. kommunallagen ges möjlighet att tillfälligt ta över de befogenheter som utövas av kommunala nämnder. 
 Förutsättningarna för ändring av beslutsbefogenheterna bör anknytas till att allvarlig fara föreligger för att kommunen inte skall kunna fullgöra sina uppgifter enligt vad som redovisats i avsnitt 12.4.6. 
 Utredningen redovisar även i mera översiktlig form synpunkter kring lagändringar för att möjliggöra en gemensam kommunal krishantering. Redovisningen är avsedd särskilt att ge underlag för vidare överväganden inom ramen för den utredning om kommunalrättsliga frågor som Justitiedepartementet avser att tillsätta. 
 Överflyttning av ansvars- och beslutsbefogenheter skulle i extremt svåra situationer kunna ske till krisdelegerade, som utses bland per- soner som valts av fullmäktige i de berörda kommunerna. Detta kan enligt utredningens bedömning tillgodose regeringsformens krav på att beslutanderätten i kommuner skall utövas av valda för- samlingar. 
 En tillfällig omfördelning mellan flera kommuner för vissa mycket speciella situationer där inte krisens geografiska utbredning kunnat förutses är en mycket svår politisk bedömning. Beslutet att krisdelegerade skall träda i verksamhet bör därför ankomma på regeringen. Det är viktigt att krisdelegerades befogenheter blir rätt avpassade till den situation som är för handen. Möjligheter till begränsningar för varje enskilt fall måste 
 319 
 Behovet av lagändring m.m. SOU 2001:41 
 därför finnas såväl geografiskt, verksamhetsmässigt som tidsmässigt. 
 Ytterligare behov av lagändringar för att möjliggöra en gemensam kommunal krishantering kan tillgodoses på exempelvis följande sätt. 
 Bestämmelser om krisdelegerade som skall kunna utöva befogenheter i två eller flera kommuner kan införas i 3 kap. kommunallagen närmast efter vad som stadgas om gemen- samma nämnder och om kommunalförbund. 
 Kommunerna skall i början av varje valperiod låta fullmäktige utse särskilda delegerade för operativ krishantering flera kom- muner emellan. 
 Beslut att krisdelegerade skall träda i funktion fattas av regeringen på initiativ av en eller flera bland de kommuner som berörs. 
 Beslutet skall ange vilka kommuner eller nämnder inom kommuner som berörs, vilka personer bland delegerade som skall utöva befogenheterna och en tidsbegränsning, som skall kunna utvidgas. 
  
 12.4.8 
  
 Samordning mellan två län 
  
 Länsstyrelsernas uppgifter i lägen som har anknytning till situatio- ner som innebär svåra påfrestningar på samhället i fred har framför allt att göra med räddningstjänst. Sålunda skall länsstyrelsen svara för räddningstjänsten vid utsläpp av radioaktiva ämnen från en kärnteknisk anläggning när utsläppet har en sådan omfattning att särskilda åtgärder krävs för att skydda allmänheten. Samma sak gäller vid överhängande fara för ett sådant utsläpp (se 28 § rädd- ningstjänstlagen). 
 När det erfordras omfattande räddningsinsatser i kommunal räddningstjänst, skall länsstyrelsen ta över ansvaret för räddnings- tjänsten i de kommuner som berörs av insatserna. Om insatserna även innefattar statlig räddningstjänst skall länsstyrelsen svara för samordning av insatserna (se 34 § räddningstjänstförordningen). 
 Räddningstjänst i egentlig mening faller inte inom ramen för Sårbarhets- och säkerhetsutredningens uppdrag. Utredningen har tidigare utvecklat (avsnitt 5.3) att länsstyrelsens uppgifter vid fredstida kriser i första hand kommer att avse bistånd vid planering, koordinering och samordning. 
 320 
  
 SOU 2001:41 
  
 Behovet av lagändring m.m. 
  
 Med denna inriktning gör sig behovet av reformer angående länsstyrelserna inte lika tydligt gällande som när det gäller kommu- nerna. Det finns emellertid anledning att uppmärksamma tänkbara situationer där länsstyrelsens bistånd till kommunerna försvåras eller hindras av oklarheter i fördelning av uppgifter i konkreta fall mellan flera länsstyrelser. 
 I avsnitt 12.4.7 har utredningen fört resonemang kring möjlig- heter att lösa tvistigheter mellan två kommuner i samband med operativ krishantering. Det som sagts där gäller i viss utsträckning även länsstyrelsernas samordnande roll. Med hänsyn till begräns- ningar i utredningsuppdraget och med hänsyn till frågor kring be- tydelsen av den kommunala självstyrelsen har utredningen avstått från att lägga fram detaljerade författningsförslag i den delen. En motsvarande ändring i länsstyrelseinstruktionen kan emellertid skisseras för det fall senare överväganden skulle ge till resultat att man behöver ge ytterligare formella bestämmelser för att lösa tvister i extrema krissituationer på lokal och regional nivå. Något av de ändringar som skisseras kan uppfattas vara inom området för befogenheter som regeringen redan har. Utredningen vill emeller- tid betona att betydande vinster kan göras genom ett tydliggörande av ansvar och beslutsvägar i krissituationer. 
 Utredningen drar följande slutsatser om tänkbara ändringar i läns- styrelseinstruktionen 
 Regeringen ges möjlighet att förordna att flera länsstyrelsers insatser skall ledas av en av dessa. 
 Förordnande får ges på initiativ av någon berörd länsstyrelse eller kommun. 
 Förordnande får ges när det är oundgängligen påkallat för att vidmakthålla flera länsstyrelsers stödjande eller koordinerande insatser gentemot kommuner. 
  
 12.5 
  
 Resurser för sjukvården 
  
 12.5.1 
  
 Normgivning 
  
 Hälso- och sjukvårdslagen (1982:763) innehåller ett allmänt hållet stadgande att varje landsting skall erbjuda en god hälso- och sjuk- vård åt dem som är bosatta inom landstinget. Även i övrigt skall landstinget verka för en god hälsa hos hela befolkningen. Behov skall ge företräde till vården  
 (2–3 
  §). Varje landsting har ansvar för 
 321 
  
 Behovet av lagändring m.m. 
  
 SOU 2001:41 
  
 dem som är bosatta inom dess område. Ansvaret gäller också per- soner som vistas där tillfälligt och som är i omedelbart behov av vård  
 (3–4 
  §§). Planering skall ske med utgångspunkt i befolkning- ens behov och avse även den hälso- och sjukvård som erbjuds av privata och andra vårdgivare. Samverkan skall ske i planering och utveckling av hälso- och sjukvården med samhällsorgan, organisa- tioner och privata vårdgivare  
 (7–8 
  §§). Regeringen bemyndigas att meddela särskilda föreskrifter om hälso- och sjukvård under krig, krigsfara eller sådana utomordentliga förhållanden som är en följd av krig eller krigsfara (33 §). 
  
 12.5.2 
  
 Central ledning inom sjukvården 
  
 Socialstyrelsen är central förvaltningsmyndighet för hälso- och sjukvård. Av de formella föreskrifter som meddelats är endast ett mindre antal fortfarande i kraft. Tidigare har Socialstyrelsen utfär- dat Allmänna råd, vilka emellertid successivt satts ur kraft, bl.a. Medicinsk katastrofberedskap (Allmänna råd 1992:5). Numera publicerar Socialstyrelsen motsvarande dokument under beteck- ningen Riktlinjer. Socialstyrelsen publicerar också ett betydande antal rapporter bl.a. i beredskapsfrågor. Vissa rapporter har en be- skrivande och analyserande funktion med utgångspunkt från enskilda händelser medan andra avser central eller regional uppfölj- ning av beredskapsfrågor. Rapporterna skall vara vägledande och kunna underlätta det arbete som bedrivs av de lokala sjukvårdshu- vudmännen. Ett flertal rapporter har utgivits under en gemensam beteckning, Vårdprinciper i kris och krig, bl.a. om planeringsin- riktning för katastrofsituationer. 
 Socialstyrelsen bedriver i samarbete med landsting och För- svarsmakten ett projekt för att skapa ett datoriserat system för re- gional sjukvårdsledning, det s.k.  
 IS-SWEDE-systemet. 
  Det skall kunna samverka med andra funktioners ledningssystem, bl.a. med räddningstjänst och polis. För närvarande används det i provdrift inom fyra landsting för att stödja den vardagliga akutsjukvården. Målet är att samtliga landsting eller motsvarande skall ansluta sig till systemet inom de närmaste åren. Tekniska förutsättningar kommer då att finnas för att genomföra en central ledning av sjuk- vården såväl vid svåra påfrestningar i fred som vid ett väpnat an- grepp. 
 Socialstyrelsen har vidare i mars 2000 uppmärksammat de frågor som bolagisering/privatisering och anlitande av entreprenörer in- 
 322 
  
 SOU 2001:41 
  
 Behovet av lagändring m.m. 
  
 nebär. I en skrivelse till sjukvårdshuvudmännen sammanfattade Socialstyrelsen exempel på åtgärder för beredskapsplanering som bör regleras i avtal. Socialstyrelsen hemställde att sjukvårdshuvud- männen redovisar hur beredskapsaspekterna reglerats. 
  
 12.5.3 
  
 Bakgrund till reformbehov 
  
 Inom ramen för ordinarie organisation hanterar sjukvården s.k. vardagsolyckor. Katastrofplanering får betydelse för hantering av stora olyckor. En viss uttunning av den ordinarie bemanningen kan då ske för att möta det behov av vård som ett kraftigt ökat antal kirurgiska eller andra patienter föranleder. Detta innebär en viss anpassning av ordinarie organisation. I en extrem fredstida katastrofsituation, som enligt Socialstyrelsen motsvarar de lägen som brukat diskuteras under beteckningen svåra påfrestningar på samhället i fred, är det inte givet att den normala vårdstandarden kan upprätthållas genomgående utan att prioriteringar måste göras. 
 Under en följd av år har sjukvården genomgått omfattande strukturförändringar. Den dagliga sjukvården är inte avpassad till det resursbehov som kan uppstå i samband med svåra påfrestningar i fred. Under tiden mellan år 1995 och år 1998 begränsades möjlig- heten att i händelse av kris eller krig friställa vårdkapacitet inom den medicinska korttidssjukvården från omkring 30 procent till att i stort sett helt försvinna. Marginaler inom den internmedicinska verksamheten saknas i stort sett. 
 Multipla eller över landet utbredda katastrofer kan komma att nödvändiggöra förutom nya informations- och ledningssystem som utnyttjar modern teknik även ändrade legala förutsättningar. Svåra påfrestningar på samhället i fred har visserligen låg sannolikhet. Konsekvenserna för samhället i stort skulle kunna bli förödande om hälso- och sjukvårdsresurser inte kan utnyttjas optimalt så att patienter får en efter omständigheterna optimal vård, utan att detta försvåras av geografiska eller regionala hänsyn. Sjukvårdshuvudmännen har inte rätt enligt hälso- och sjukvårdslagen att prioritera andra delar av landet före egna behov. Detta motverkar att de själva beslutar om omfördelning av personal, resurser och patienter, särskilt i situationer där flera landsting drabbas. 
 Som praktiska exempel på situationer där omprioriteringar kan bli tvingande nödvändiga med mycket kort varsel kan här kortfattat hänvisas till två scenarier som utredningen har studerat. 
 323 
  
 Behovet av lagändring m.m. 
  
 SOU 2001:41 
  
 Det första omfattar en tågurspårning med brand som följd och med mycket allvarliga brännskador hos omkring 50 personer. Det andra innebär ett terroristangrepp med biologiska stridsmedel i anslutning till allmänna kommunikationsmedel, vilket innebär en risk för att mellan 50 000 och 100 000 personer insjuknar i en livshotande sjukdom inom ett par dagar. 
 Exempel som de nämnda kan förefalla drastiska. Fastän de är mycket osannolika framstår de som fullt realistiska. Om sådana situationer verkligen inträffar, kommer det att uppfattas som mycket stötande att nödvändiga omprioriteringar inte kan göras. Det är angeläget att administrativa förutsättningar skapas så att de kan göras på ett ordnat och förutsebart sätt. 
 Den kommunala beredskapskungörelsen (1964:722) upphävdes den 1 juli 1995. Enligt 9 § hade Socialstyrelsen ett ansvar för att övervaka planläggningen av den civila hälso- och sjukvårdens samt det civila hälsoskyddets krigsorganisation. Vidare skulle Socialsty- relsen samordna rikets förberedelser för försörjning med läkemedel och sjukvårdsutrustning i krig och sörja för utbildning av sjukvårdspersonal. Socialstyrelsen skulle i krig centralt under regeringen leda den civila hälso- och sjukvården. Därvid fick Socialstyrelsen med hänsyn till behovet inom en särskild del av riket eller inom en viss verksamhetsgren av den civila hälso- och sjukvården i krig besluta om utnyttjande av vårdplatser och förflyttning av personal, patienter och förnödenheter samt i övrigt bestämma om de civila hälso- och sjukvårdsresursernas utnyttjande. 
 Civilbefälhavarna hade tidigare möjlighet att besluta om omför- delning av sjukvårdsresurser inom civilområdet vid höjd beredskap, 12 a § förordningen (1988:1121) med instruktion för civil- befälhavarna. Förordningen upphävdes vid ingången av år 2001 i och med att civilbefälhavarna avvecklades. 
 Någon motsvarande reglering finns alltså inte längre vare sig för fredstida förhållanden, beredskap eller krig. 
  
 12.5.4 
  
 Utredningens slutsatser om reformbehovet 
  
 Utredningen har i avsnitt 12.4.4 och följande utvecklat synpunkter kring tänkbara hinder för att kommunernas verksamhet i ett kris- läge skall kunna utövas på det bästa sätt som över huvud taget är möjligt med hänsyn till det läge som råder. Merparten av de syn- punkter som utvecklats i det nämnda avsnittet är av betydelse för 
 324 
  
 SOU 2001:41 
  
 Behovet av lagändring m.m. 
  
 de lösningar som kan stå till buds för sjukvårdens del. De lagänd- ringar som diskuterats där skall göra det möjligt för styrelser i kommuner eller landsting att tillfälligt ta över befogenheter från nämnder. Vid extrema fredstida kriser bör sjukvårdshuvudmännen inte heller vara begränsade till att beakta att en god sjukvård skall kunna erbjudas inom det egna geografiska området, utan även kunna beakta andra huvudmäns behov. 
 Till detta kommer emellertid vissa ytterligare hänsyn. När det gäller sjukvården bör det beaktas att tidspress och medborgarnas önskemål kan väntas utsätta denna för ett ovanligt intensivt tryck. Det ter sig mycket mera sannolikt här än på andra områden att en omfördelning av resurser kan komma att beröra Sverige i dess hel- het. I sådana situationer skulle det inte vara godtagbart att avvakta samverkans- och förhandlingslösningar på frågor som inte har kunnat förutses i alla enskildheter. 
 Utredningens slutsats är att en möjlighet till fredstida omfördel- ning av resurser inom sjukvården vid extrema påfrestningar bör genomföras redan nu. Med hänsyn till den centrala myndighetsroll som finns hos Socialstyrelsen och att det är fråga om mycket ovan- liga men ytterst allvarliga händelser bör beslut om överflyttande av förnödenheter, personal eller patienter ankomma på den myndig- heten efter samråd med berörda sjukvårdshuvudmän/landsting. Regeln bör i allt väsentligt utformas efter mönster av vad som tidi- gare gällt enligt kommunala beredskapskungörelsen. Förutsätt- ningarna för ett sådant beslut bör anknyta till händelser eller skaderisker av synnerligen extrem art. 
 Utredningen har i anslutning till resonemang om hur kommu- nala beslutsbefogenheter skall utövas i krislägen i avsnitt 12.4 även berört betydelsen av den kommunala självstyrelsen. När det gäller beslut om hälso- och sjukvården kan emellertid så svåra situationer uppstå att hänsynen till den kommunala självstyrelsen någon gång kan väga mindre tungt än vad som gäller för beslut i kommuner och landsting i allmänhet. För att säkerställa ett politiskt inflytande och ansvar bör beslut om ledning av hälso- och sjukvården i extrema situationer ankomma på regeringen eller den myndighet som regeringen bestämmer, närmast Socialstyrelsen. 
 Regeringen och Socialstyrelsen bör åläggas att samråda med be- rörda landsting. Samrådsskyldigheten måste gälla såväl i bered- nings- och beslutsskedet hos regeringen som senare i verkställandeskedet hos Socialstyrelsen. 
 325 
  
 Behovet av lagändring m.m. 
  
 SOU 2001:41 
  
 Utredningen anser att det inte heller på detta område finns skäl att införa en särskild möjlighet till inhibition utöver vad som redan finns på förvaltningsrättens område. 
 När det gäller regelns form av lag eller förordning beaktar utred- ningen att det är fråga om en regel vars syfte är att skydda liv och hälsa. En tillämpning av det resonemang utredningen utvecklat i konstitutionella frågor i avsnitt 12.3.2 kan tala för att regeln då skulle kunna beslutas av regeringen efter bemyndigande i lag enligt regeringsformen 8 kap. 7 § utan hinder av vad som stadgas i 8 kap. 5 § om lagform för grunderna om kommunernas organisation och verksamhetsformer. En motsvarande regel för höjd beredskap finns i 33 § hälso- och sjukvårdslagen. Den tidigare regeln i 9 § kommunala beredskapskungörelsen (1964:722) tillkom år 1981, dvs. efter det att 1974 års regeringsform trätt i kraft. 
 Det bör emellertid också beaktas att kommunala beredskaps- kungörelsen ingick i ett regelverk som tillkommit tidigare. Utredningen beaktar också att hälso- och sjukvården har en helt central plats i sjukvårdshuvudmännens verksamhet. Om man ger regeringen möjlighet att besluta om formerna för att överlåta åt Socialstyrelsen att tillfälligt utöva utökade beslutsbefogenheter skulle detta kunna uppfattas som en urholkning av sjukvårdshu- vudmännens inflytande och ansvar. Utredningen anser därför att det är väsentligt att det i lag klart anges under vilka förutsättningar regeringen eller den myndighet som regeringen bestämmer under extrema fredstida kriser får utöva särskilda befogenheter på hälso- och sjukvårdens område. 
 Förslagen innebär att möjligheter till omfördelning i fredstid kan bli större än vad som följer av beredskapslagstiftningen. Ut- redningens uppdrag enligt direktiven omfattar inte normgivning för höjd beredskap. Anledning kan finnas att närmare värdera detta förhållande vid en översyn av beredskapsfrågor. 
 Frågor kan uppkomma om hur ändringarna i kommunallagen re- spektive i hälso- och sjukvårdslagen skall tillämpas i förhållande till varandra. Beslut om omfördelning av resurser enligt hälso- och sjukvårdslagen kan i allmänhet komma att avse mera brådskande (ibland med behov av beslut inom sex till tolv timmar efter anmälan) och mera preciserade åtgärder än sådana som landsting- ens styrelser kan komma att få handlägga. Detta medför att ett be- slut om omfördelning av förnödenheter, personal eller patienter enligt hälso- och sjukvårdslagen bör ha företräde. 
 Förslagen kan tänkas få arbetsrättsliga konsekvenser. Det är inte givet att arbetsgivares rätt att leda arbete inom sjukvården innebär 
 326 
  
 SOU 2001:41 
  
 Behovet av lagändring m.m. 
  
 en rätt att beordra arbete på helt andra tider eller platser än vad som följer av anställnings- och kollektivavtal eller kan stämma mindre väl överens med arbetsrättslig lagstiftning. Sjukvårdshu- vudmännens rätt att beordra arbetstagare till tjänstgöring eller omfattande förflyttningar är alltså inte given. När det gäller polis- tjänstgöring har man för situationer då samhället utsätts för särskilt svåra och påfrestande situationer från ordnings- och säkerhetssynpunkt förutsatt att tillgången på beredskapspoliser kan tillgodoses genom avtalslösningar (1 § förordningen, 1986:616, om beredskapspolisen). Utredningen, som även påpekar att tjänstepliktsfrågor nyligen övervägts av Pliktutredningen (SOU 2000:21), vill utan att ta ställning i frågan om tjänsteplikt dra slutsatsen att sjukvårdsarbetsmarknadens parter som ett led i huvudmännens planering för fredstida krishantering har anledning att i förhandlingar närmare överväga frågorna. 
 Lagändringar kan göras enligt följande. 
 Av de ändringar som förordats när det gäller kommunallagen följer att i ett extremt fredstida krisläge sjukvårdshuvud- männen inte är begränsade till att beakta endast det egna geografiska ansvarsområdet. 
 Bland målsättningsstadgandena i hälso- och sjukvårdslagen bör införas en kompletterande regel om sjukvårdshuvudmännens planering för fredstida kriser. 
 I ett sådant lagstiftningsärende bör närmare utvecklas att en ständigt aktuell beredskap för katastrofer, svåra påfrestningar i fred och höjd beredskap kräver en för ändamålet anpassad led- ningsorganisation. Beredskapen förutsätter vidare utbildning, övning och utrustning. 
 I hälso- och sjukvårdslagen bör regeringen eller den myndighet regeringen bestämmer ges rätt att besluta om omfördelning av förnödenheter, personal och patienter. 
 Förutsättningar för att detta skall få ske bör utformas med ut- gångspunkt från förutsättningarna för styrelsers övertagande av befogenheter från nämnder enligt 6 kap. kommunallagen, dock med ytterligare betoningar av den aktuella situationens karaktär av ett extremt krisläge. 
 Beslut om att Socialstyrelsen skall få utöva en sådan rätt bör i ett extremt krisläge ankomma på regeringen. 
 Såväl regeringen som Socialstyrelsen skall vara skyldig att kontinuerligt samråda med berörda sjukvårdshuvudmän. 
 327 
  
 Behovet av lagändring m.m. 
  
 SOU 2001:41 
  
 12.6 
  
 Elberedskap 
  
 12.6.1 
  
 Normgivning 
  
 I ellagens (1997:857) 8 kap. finns föreskrifter om systemansvar och balansansvar. Systemansvar innebär ett övergripande ansvar för att elektriska anläggningar samverkar driftsäkert så att balans inom hela eller delar av landet kortsiktigt upprätthålls mellan produktion och förbrukning av el. Balansansvar innebär att en elleverantör bara får leverera el i uttagspunkter där någon har åtagit sig det ekono- miska ansvaret för att det nationella elsystemet tillförs lika mycket el som tas ut i uttagspunkten. Ett sådant åtagande görs genom avtal med den systemansvariga myndigheten. (Se 8 kap. 1 § och 4 §). Be- stämmelser om skyddsåtgärder finns i 9 kap. I 12 kap. 1 § sägs att tillsynen över efterlevnaden av lagen och av föreskrifter eller villkor som har meddelats med stöd av lagen utövas av den eller de myndigheter regeringen bestämmer. Frågor om elsäkerhet och driftsäkerheten hos det nationella elsystemet tillses av El- säkerhetsverket respektive Affärsverket svenska kraftnät. Dess- utom utövar Statens energimyndighet tillsyn bl.a. över skäligheten av nättariffer. 
 I ellagen finns ett stadgande som kan få betydelse vid en svår påfrestning i fred, fastän det inte är avsett speciellt för en sådan situation. Den systemansvariga myndigheten (Svenska kraftnät) får för att upprätthålla balans mellan produktion och konsumtion av el beordra ökning eller minskning hos en producent. Detta bedöms i vissa situationer inte vara tillräckligt. Enligt 8 kap. 2 § ellagen får Svenska Kraftnät i ett sådant fall begränsa eller helt stänga av konsumtionen inom ett visst område. Denna åtgärd är av mycket drastiskt slag och har enligt uppgift aldrig tillämpats. Från- kopplingen skall ske så rättvist som möjligt, bl.a. genom att s.k. roterande belastningsfrånkoppling (RoBo) tillämpas. 
 3  
 Det är därvid inte möjligt att göra någon skillnad eller prioritering mellan olika användare. 
 Bestämmelser om beredskap vid produktion och överföring av el samt vid handel med el finns i elberedskapslagen (1997:288), vilken reglerar bl.a. planering för elförsörjning vid höjd beredskap, men som kan få verkningar även för verksamheten i fredstid. Elbered- skapsmyndigheten (Svenska kraftnät) får ålägga den som driver verksamhet enligt lagen att vidta beredskapsåtgärder. Beslutet får inte vara mer betungande än som kan anses vara skäligt med 
  
 3  
 Se prop. 1996/97:136 s. 74 
 328 
  
 SOU 2001:41 
  
 Behovet av lagändring m.m. 
  
 hänsyn till anläggningens eller verksamhetens omfattning och betydelse. Svenska kraftnät skall beakta de effekter en åtgärd kan få på beredskapen inför svåra påfrestningar på samhället i fred (5 §). 
 Svenska kraftnät är hänvisat till att i första hand sluta avtal med producenter och har i flera sammanhang efterlyst normgivning om s.k. prioriteringsordningar. 
 4  
 Det anses för närvarande inte vara säkert klarlagt vilka tekniska förutsättningar som finns att genom- föra prioriteringar mellan enskilda användare av el. Tekniska möj- ligheter kan emellertid tänkas bli verklighet inom en nära framtid. 
 Bland Svenska kraftnäts åtgärder på avtalsmässig grund skall här nämnas en överenskommelse med Försvarsmakten den 29 augusti 2000 om stöd till elförsörjningen i fred. Svenska kraftnät har vidare den 22 december 2000 slutfört en upphandling av effektreserver, vilken innebär ökade möjligheter till eltillskott under en sträng vinter genom möjlighet att starta sju närmare angivna kraftverk. Kostnaden fördelas på de balansansvariga elföretagen. 
  
 12.6.2 
  
 Närmare om bakgrunden till nuvarande lagstiftning 
  
 Enligt det s.k. elmarknadsdirektivet (96/92/EG) skall elmarknaden i full omfattning vara konkurrensutsatt som ett viktigt steg mot fullbordande av den inre marknaden för energi. Effektiviteten vid produktion, överföring och distribution av el skall öka samtidigt som försörjningstryggheten och den europeiska ekonomins kon- kurrensförmåga stärks och miljöskyddet respekteras. Enligt artikel 23 i direktivet får en medlemsstat tillfälligt vidta nödvändiga skyddsåtgärder i händelse av en plötslig kris på energimarknaden om personers, anordningars eller anläggningars fysiska skydd eller säkerhet hotas eller om systemets tillstånd hotas. Åtgärderna får endast orsaka minsta möjliga störning i den inre marknadens funk- tion och får inte vara mer omfattande än vad som är absolut nöd- vändigt för att avhjälpa de plötsliga svårigheter som har uppstått. 
 Direktivets bestämmelser om skyddsåtgärder ansågs inte behöva leda till några lagändringar när direktivet implementerades i svensk rätt. 
 5 
  
 Ellagen tillkom som en del av den s.k. elmarknadsreformen. Denna innebar en avreglering av elmarknaden. Tidigare gjorde man inte någon skillnad mellan producent- och distributörsansvar. El- 
  
 4 
  
 Se t.ex. skr. 1998/99:33 s. 34 med hänvisning till prop. 1996/97:11 s. 53. 
  
 5 
  
 Prop. 1997/98:59 s. 29 
  
 329 
  
 Behovet av lagändring m.m. 
  
 SOU 2001:41 
  
 marknadsreformen bygger bl.a. på att produktionen av el skall ske i konkurrens. 
 Genom fortsatt reformarbete har olika tänkbara konfliktsitua- tioner reglerats. Lagändringar som trätt i kraft den 1 november 1999 innehöll att ansvaret för att det finns en balansansvarig i en elanvändares uttagspunkt flyttas över från elanvändaren till elleve- rantörerna (se prop. 1998/99:137). Vidare infördes regler om leve- ransskyldighet för samtliga elleverantörer. Leveransskyldigheten upphör endast om abonnemanget upphör, om en annan leverantör tar över leveransen eller om elanvändaren har försummat sina skyl- digheter gentemot leverantören. Genom reglerna kommer det alltid att finnas en elleverantör gentemot vilken elanvändaren är betalningsansvarig. 
 Däremot finns det inte någon närmare reglering av hur leverans av el skall säkerställas i relationen mellan producenter och elanvän- dare i stort. Det är en allvarlig brist vad gäller samhällets förmåga att via tillsyn ställa säkerhetskrav på elleverantörerna. Bakgrunden till nuvarande regel i 5 § elberedskapslagen om rätt att föreskriva beredskapsåtgärder är här av intresse. Elberedskapsutredningen (SOU 1996:149) föreslog att åtgärder skulle få föreskrivas för såväl beredskap som fredstida kriser. Ersättning skulle utgå för åtgärder som avsåg beredskap enligt ett avgiftssystem. Däremot skulle er- sättning inte utgå för åtgärder som avsåg fredstida förhållanden. I propositionen (1996/97:86) begränsades regeln i 5 § elberedskaps- lagen, utan närmare kommentar till utredningens förslag, till att avse endast beredskapslägen. Svenska kraftnät skall emellertid be- akta effekter för beredskapen mot svåra påfrestningar på samhället i fred. Ersättningssystemet för beredskapsåtgärder bygger på en av- gift som tas ut av innehavare av nätkoncession. 
  
 12.6.3 
  
 Reformbehovet 
  
 Tillgången på el, leveranssäkerheten hos el och kvaliteten på den levererade elen tillhör de centrala frågor för den tekniska infra- strukturen som utredningen betraktar som absolut grundläggande för att samhället skall kunna fungera vid en svår fredstida påfrest- ning. Den får särskild betydelse genom att el i sin tur är en förut- sättning för att andra grundläggande verksamheter och nyttigheter skall kunna fungera. 
 Tillgången på reserveffekt har minskat. Nu finns inte längre någon reservkapacitet, utan det är tveksamt om tillgänglig effekt 
 330 
  
 SOU 2001:41 
  
 Behovet av lagändring m.m. 
  
 alltid är tillräcklig vinterdagar med sträng kyla. Det förtjänar vidare framhållas att bortfall av eltillförsel inom stora områden vid olika tillfällen varit mycket nära att inträffa. Under senare år har saltav- lagringar fått till följd att elproduktionen och distributionen i västra Skåne varit endast några minuter från att slås ut. Till följd av att systemet bygger på redundans hade det varit en relativt lång- varig och komplicerad procedur att sätta det i drift på nytt om ett avbrott verkligen hade inträffat. 
 Något ändrat principiellt synsätt beträffande val av styrmedel är inte nödvändigt. Ansvaret för fredstida säkerhetsåtgärder är i hög grad en fråga om tillsyn och ekonomiska lösningar. Denna kan väljas utifrån olika ytterligheter som innebär finansiering från an- vändares, det allmännas eller från producenternas sida. I det senare fallet kommer producenternas åtgärder i sista hand att bekostas genom högre elpriser. Elberedskapslagen bygger på ett mellanting i form av ett avgiftssystem. Med hänsyn till grunderna för elmark- nadsreformen ter sig en lösning genom skattefinansiering långt ifrån självklar. Avgiftsfinansiering eller egenfinansiering av säker- hetsåtgärder torde i allmänhet vara att föredra. 
 Utredningen har i avsnitt 4 redogjort för olika principiella möj- ligheter när det gäller åtgärder som avser fredstida kriser. Utifrån vad som sagts där ter sig en lösning med avgiftsfinansiering god- tagbar även för säkerhetsåtgärder som avser svåra påfrestningar på samhället i fred. En sådan lösning kan emellertid inte innebära att varje fredstida säkerhetsåtgärd skall finansieras avgiftsvis. Framför ett renodlat producentansvar har dock avgiftsfinansiering den för- delen att kostnadsfördelningen har utsikter att bli förutsebar och rättvis, vilket underlättar elmarknadens funktionssätt såväl under normala förhållanden som i kris. Detta får också bedömas stå i överensstämmelse med  
 EU-rättsliga 
  regler på området. 
 Med hänsyn till att elberedskapslagen i princip är en bered- skapslag ter det sig vanskligt att göra det nuvarande stadgandet i 5 § elberedskapslagen direkt tillämpligt även för fredstida kris- situationer. Närmare överväganden är påkallade om hur ålägganden skall utformas för balansansvariga inom ramen för 8 kap. ellagen så att fredstida kriser skall kunna förebyggas. 
 I samband med bortfall av elleveranser omkring årsskiftet 2000 – 2001 har Näringsdepartementet aviserat en översyn av regelverket på detta område. Utformningen i detalj bl.a. av ett avgiftssystem bör lämpligen kunna ske inom ramen för en sådan utredning. 
 Det står emellertid klart att de möjligheter som står till buds för att säkerställa funktionen hos det nationella elsystemet inte är till- 
 331 
  
 Behovet av lagändring m.m. 
  
 SOU 2001:41 
  
 räckliga eller nyanserade på det sätt som behövs för att hävda säkerhetskrav på elsystemets leveransförmåga. Uppdelningen av tillsynsfrågor på tre olika myndigheter kan också ifrågasättas. Ut- redningen finner mycket angeläget att kompletteringar sker bl.a. genom ändringar i 8 kap. ellagen enligt vad som anges nedan. 
 Utredningen föreslår följande utgångspunkter för lagändringar och fortsatta reformer 
 Närmare överväganden görs om möjligheter till samordning av den fredstida myndighetstillsynen på elområdet i enlighet med vad utredningen beskrivit om tillsynsfrågor i kapitel 11. 
 Skyldighet införs för elproducenter att vidta förberedelser för att motverka fredstida leveransbortfall av el i huvudsak enligt den ordning som ligger till grund för 5 § elberedskapslagen. Denna skyldighet samordnas med 8 kap. ellagen. 
 Finansiering bör ske genom ett avgiftssystem, dock inte så att varje fredstida säkerhetsåtgärd finansieras på det sättet. Ytterligare kompletteringar görs i anslutning till nuvarande regler i 8 kap. ellagen om möjligheter att fastställa prioriteringsordningar och om att fastställa säkerhetsnivåer för produktion och leverans av el. 
 332 
  
 13 
  
 Organisatoriska konsekvenser av utredningens förslag 
  
 13.1 
  
 Utgångspunkter 
  
 I detta kapitel beskrivs de organisatoriska konsekvenserna av de förslag som utredningen har redovisat i tidigare kapitel. Med orga- nisatoriska konsekvenser avser utredningen en förändrad myndig- hetsstruktur eller uppgiftsfördelning mellan olika organ. 
 Utredningen har redovisat principiellt hållna organisationsför- slag i kapitlen 5, 7 och 11. En översikt över dessa förslag redovisas i avsnitt 13.2. Förslag som medför en förändrad myndighetsstruktur redovisas endast för den centrala nivån. På lokal och regional nivå medför utredningens förslag att kommunerna och länsstyrelserna får vidgade uppgifter i krishanteringsarbetet. Däremot behöver strukturella förändringar inte genomföras på dessa nivåer. 
 Grundläggande för utredningens förslag är att lokala och regio- nala organ ges ett ökat ansvar inom krishanteringsområdet. Resur- serna för krishantering på dessa nivåer behöver därför förstärkas. Inom den centrala myndighetsorganisationen bör resurserna dock kunna minskas. Detta gäller trots att utredningen föreslår nya upp- gifter och en höjd ambitionsnivå inom  
 IT-säkerhetsområdet 
  och vissa andra områden. En anledning till detta är att nuvarande funk- tionsindelning avskaffas. 
 De förslag som utredningen redovisar på central nivå kommer att få konsekvenser för viss personal. Detta sammanhänger med att utredningens förslag medför förändringar i myndighetsstrukturen. I det följande beskriver utredningen därför relativt detaljerat för- ändringarna på denna nivå. Syftet är att ge berörda myndigheter och berörd personal möjligheter att bilda sig en uppfattning om förslagens konsekvenser. 
 Som utredningen framhöll i kapitel 1 har utredningstiden varit kort. Den blev också kortare än avsett beroende på att utredningen inte gavs möjlighet att påbörja sitt arbete förrän i mars 2000. Detta medför att preciseringar och fortsatt utredningsarbete krävs inom 
 333 
  
 Organisatoriska konsekvenser av utredningens förslag 
  
 SOU 2001:41 
  
 vissa områden. Vad gäller den centrala nivån föreslår utredningen att en organisationskommitté tillsätts för att organisera planerings- myndigheten och för att bilda vissa av de  
 IT-säkerhetsorgan 
  som föreslås. Det bör ankomma på organisationskommittén att preci- sera uppgifterna för vissa organ. Utredningen behandlar genomfö- randefrågorna närmare i kapitel 15. 
 Med hänsyn till att det råder en viss osäkerhet om detaljer i utredningens organisationsförslag är det svårt att i nuvarande läge redovisa exakta uppgifter om dimensioneringen av de organ som utredningen föreslår. Mer detaljerade uppgifter om dimension- eringen bör tas fram av organisationskommittén och av de övriga organ som enligt utredningens förslag bör engageras igenom- förandearbetet. Utredningen har trots detta valt att redovisa vissa bedömningar av dimensioneringen av de nya organ som föreslås. Anledningen är att man vid prövningen av utredningens förslag måste ha en grov uppfattning om dimensioneringen av dessa organ. De samlade ekonomiska konsekvenserna av utredningens förslag behandlas i kapitel 14. 
  
 13.2 
  
 Översikt över utredningens organisationsförslag 
  
 13.2.1 
  
 Organisation för krishantering 
  
 I kapitel 5 föreslog utredningen ett nytt system för hanteringen av allvarliga kriser i samhället. Med allvarliga kriser avser utredningen i första hand svåra påfrestningar på samhället i fred samt ett väpnat angrepp mot landet. Till begreppet allvarliga kriser räknar utred- ningen även kriser som på lokal eller regional nivå som kan uppfattas som en svår påfrestning på det regionala eller lokala sam- hället. 
 Det nya krishanteringssystemet bygger på att det skall finnas tre typer av ansvar: områdesansvar, samverkansansvar och bevaknings- ansvar. Områdesansvar bör finnas på nationell, regional och lokal nivå. Av störst betydelse vid hanteringen av akuta krissituationer är områdesansvaret. De organ som uppbär detta ansvar skall svara för att helhetsaspekterna beaktas såväl i en akut krissituation som i olika skeden före och efter en allvarlig krissituation. Dessa organ skall också svara för att behovet av tvärsektoriell samordning och samverkan tillgodoses. 
 Med  
 områdesansvar  
 avses att det på varje nivå skall finnas ett organ som har det yttersta ansvaret för att krishanteringen anpassas till de behov som finns inom det aktuella geografiska 
 334 
  
 SOU 2001:41 
  
 Organisatoriska konsekvenser av utredningens förslag 
  
 ansvarsområdet och verkar för att de aktörer som finns inom detta område uppträder samordnat och effektivt vid hanteringen av krisen. 
 Med  
 samverkansansvar  
 avses att en myndighet åläggs att sam- verka med andra organ i syfte att tillgodose de krav på samordning och samverkan som finns inom vissa sakområden som har bety- delse för hanteringen av mycket allvarliga kriser i samhället. 
 Med  
 bevakningsansvar  
 avses att en myndighet åläggs att genom- föra de åtgärder som krävs för att tillgodose statsmakternas krav på anpassningsförmåga inför ett skärpt säkerhetspolitiskt läge och de övriga åtgärder som krävs för att upprätthålla myndighetens verk- samhet vid höjd beredskap. 
 Utredningens förslag vad gäller samverkans- och bevakningsan- svar medför att nuvarande funktionsindelning inom det civila försvaret kan avskaffas. Det är också nödvändigt att se över bered- skapsförordningen och nuvarande system med beredskapsmyndig- heter. Detta system bör ersättas av ett nytt system som bygger på att ett antal myndigheter tilldelas samverkans- och/eller bevak- ningsansvar enligt ovan. 
  
 På  
 nationell nivå bör områdesansvaret utövas av regeringen med stöd av ett nationellt krishanteringsorgan 
 . På central nivå bör också inrättas en  
 planeringsmyndighet  
 med uppgift att svara för plane-  
  
 rings-, 
  
  analys- och informationsuppgifter inom krishanteringsom- rådet samt att stödja det nationella krishanteringsorganet med olika typer av insatser. Utredningens förslag innebär att planeringsmyndigheten delvis tar över uppgifter som idag utförs av ÖCB och SPF. Utredningen behandlar frågor om planerings- myndighetens uppgifter och dimensionering närmare i avsnitt 13.3. 
  
 På  
 regional  
 nivå bör områdesansvaret utövas av länsstyrelsen. Länsstyrelsens roll bör framförallt inriktas på stöd åt kommuner- nas krishantering samt samordning av centrala myndigheters enga- gemang i krisförlopp på lokal och regional nivå. Länsstyrelserna bör också ha  
 uppföljnings-, 
  utvärderings- och tillsynsuppgifter vad gäller den kommunala krishanteringen. 
 På  
 lokal  
 nivå bör områdesansvaret utövas av kommunstyrelsen. Utredningen anser att kommunernas roll vid hanteringen av allvar- liga kriser i samhället bör förstärkas. Utredningen har därför före- slagit att kommunerna tilldelas ett planeringsansvar också för andra allvarliga krissituationer än höjd beredskap. Utredningen har också föreslagit förändringar av lagstiftningen vad gäller möjligheterna att inrätta särskilda krisledningsorgan inom en kommun. 
 335 
  
 Organisatoriska konsekvenser av utredningens förslag 
  
 SOU 2001:41 
  
 Som nämnts medför det krishanteringssystem som utredningen föreslår att lokala och regionala organ ges en vidgad roll i krishan- teringen. Detta är naturligt m h t de säkerhetspolitiska förändringar som har skett på senare år. Dessa förändringar har lett till en ökad betoning av andra allvarliga krissituationer än väpnat angrepp. Detta grundläggande synsätt medför att samspelet mellan olika nivåer i krishanteringssystemet blir ett annat än vad som har gällt inom det civila försvaret. Utredningens grundsyn medför att kommunernas roll betonas väsentligt starkare än tidigare. De för- slag som utredningen redovisade i kapitel 4 om planeringssystemet är ett uttryck för detta. Ett väsentligt inslag i det nya planeringssy- stemet är en vidgad medverkan från kommuner och länsstyrelser i dialogen om vilka prioriteringar som bör göras i säkerhets- och beredskapsarbetet. 
 Utredningens förslag medför att resursförstärkningar krävs i krishanteringsorganisationen på lokal och regional nivå. Utred- ningen återkommer till frågor om finansieringen av dessa resursförstärkningar i kapitel 14. 
  
 13.2.2 
  
 Organisation för  
  
 IT-säkerhet 
  
 Utredningen har i kapitel 7 föreslagit en rad åtgärder inom IT- säkerhetsområdet. Syftet med dessa åtgärder är att öka samhällets förmåga att förebygga, upptäcka och motverka dataintrång, virus- spridning, manipulering av information eller programvaror samt andra händelser som hotar  
 IT-säkerheten. 
  En särskilt allvarlig form av sådana händelser är informationsoperationer, dvs. samordnade åtgärder för att nå ekonomiska, politiska eller militära mål genom att påverka eller utnyttja en motståndares  
 IT-system 
  och informa- tionen som lagras i dessa. Informationsoperationer kan också användas i rent kriminella syften. 
 Utredningen anser att  
 IT-säkerheten 
  och skyddet mot informa- tionsoperationer är en mycket väsentlig del av arbetet med att minska sårbarheten i samhället. Som framgick av kapitlen 6 och 7 betraktar utredningen  
 IT-system 
  med förmåga att kommunicera med varandra som en betydelsefull del av samhällets infrastruktur. Utredningen har också påvisat att intrång via  
 IT-system 
  kan utgöra ett allvarligt hot mot samhällets telekommunikationer och annan  
 IT-beroende 
  verksamhet. 
 De ökade hoten mot  
 IT-systemen 
  är ett globalt problem som bl.a. har sin grund i den allt intensivare användningen av nätverk 
 336 
  
 SOU 2001:41 
  
 Organisatoriska konsekvenser av utredningens förslag 
  
 med enhetliga kommunikationsprotokoll som Internet. En rad länder har vidtagit åtgärder för att möta dessa hot. Utredningens förslag har därför sin motsvarighet i åtgärder som har vidtagits eller planeras i många andra utvecklade länder. 
 Utredningens förslag innebär att nya  
 IT-säkerhetsfunktioner 
  in- rättas inom vissa områden. Fyra sådana funktioner föreslås: ett övergripande samordningsorgan inom  
 IT-säkerhetsområdet, 
  en omvärldsanalysfunktion med inriktning på kvalificerade  
 IT-hot, 
  en teknikkompetensfunktion och en  
 IT-incidenthanteringsfunktion. 
  Dessutom föreslår utredningen att ett system för säkerhetsinriktad evaluering och certifiering av  
 IT-produkter 
  inrättas. 
 Enligt utredningens förslag bör det övergripande samordnings- organet placeras inom Regeringskansliet. Planeringsmyndigheten bör fungera som sammanhållande  
 IT-säkerhetsmyndighet 
  och i denna egenskap utgöra kansli åt samordningsorganet. Planerings- myndigheten bör också svara för den omvärldsbevakning som krävs inom området. 
 Teknikkompetensfunktionen bör i en fristående ställning knytas till Försvarets radioanstalt (FRA). FRA är en civil myndighet som har hög kompetens inom området.  
 IT-incidenthanteringsfunktio- 
  nen bör under ett uppbyggnadsskede knytas till PTS. Funktionen bör ha en fristående ställning i förhållande till PTS. Ansvaret för att bygga upp ett statligt system för säkerhetsinriktad evaluering och certifiering av  
 IT-produkter 
  bör läggas på Försvarets materielverk (FMV). FMV har särskild kompetens inom området teknisk evaluering. 
 De förslag som utredningen har redovisat medför en väsentlig ambitionshöjning inom  
 IT-säkerhetsområdet. 
  Ökade resurser måste därför tillföras denna verksamhet. Utredningen bedömer att de funktioner som har beskrivits ovan totalt kan komma att kräva ett resurstillskott på  
 35–40 
  årsarbetskrafter. En utökning av dessa resurser kan krävas på sikt. En del av den verksamhet som föreslås bör dock på sikt kunna finansieras med avgifter. De funktioner som planeringsmyndigheten bör svara för torde kunna begränsas till  
 5–10 
  årsarbetskrafter. 
  
 13.2.3 
  
 Tillsynsorganisationen inom elområdet 
  
 Utredningen behandlade i kapitel 11 tillsynsfrågorna på ett princi- piellt plan. I kapitlet redovisades också vissa förslag vad gäller till- synsorganisationen inom elområdet. Utredningen har också före- 
 337 
  
 Organisatoriska konsekvenser av utredningens förslag 
  
 SOU 2001:41 
  
 slagit att lagstiftningen inom detta område skall skärpas i syfte att möjliggöra en effektivare tillsyn. 
 Utredningens organisationsförslag innebär att Energimyndighe- tens nätavdelning och beredskapsfunktionen inom Svenska kraftnät frigörs från Energimyndigheten respektive Affärsverket Svenska Kraftnät och läggs samman med Elsäkerhetsverket till en ny myndighet. Den nya myndigheten bör ha ett samlat ansvar för tillsynsfrågorna inom elområdet. Den bör också fungera som central förvaltningsmyndighet för dammsäkerhetsfrågor.  
 Ut-red- 
  ningen kan inte se att det skulle uppstå några  
 gräns-dragnings- 
  problem i förhållande till annan verksamhet inom Energimyndig- heten och Affärsverket svenska kraftnät. Tvärtom renodlas rollerna enligt det förslag som utredningen redovisar. Nuvarande organisa- tion är enligt utredningens uppfattning svåröverskådlig och medför risk för att vissa tillsynsfrågor inte uppmärksammas i tillräcklig grad. I nuvarande organisation finns också risk för konflikter mellan tillsynsuppgifterna och de främjande och producerande uppgifter som Energimyndigheten och Svenska kraftnät har. 
 En sammanläggning av tillsynsfunktionerna borde medföra att vissa synergieffekter uppstår vid samutnyttjandet av teknisk och annan kompetens. Elsäkerhetsverket är dessutom en liten myndig- het som har verksamhet på flera håll i landet. Erfarenheten visar att det är svårt att nå full effektivitet i administrationen av myndig- heter som är alltför små. En samordning av tillsynsfunktionerna inom elområdet skulle medföra att bättre förutsättningar skapas för en effektiv administration av verksamheten. Den största fördelen är dock att förutsättningar skapas för en samordnad och kraftfull tillsynsverksamhet inom elområdet. 
 Utredningen föreslår således att en ny tillsynsmyndighet bildas genom en sammanläggning av Elsäkerhetsverket, nätavdelningen vid Energimyndigheten och beredskapsfunktionen vid Svenska kraftnät. Till den nya myndigheten bör föras befintliga tillsynsupp- gifter inom elområdet samt de tillsynsuppgifter som kan bli följden av de skärpningar av ellagen som utredningen har föreslagit. Ut- redningen återkommer till frågor om genomförandet av förslaget i kapitel 15. 
 338 
  
 SOU 2001:41 
  
 Organisatoriska konsekvenser av utredningens förslag 
  
 13.3 
  
 Planeringsmyndigheten 
  
 13.3.1 
  
 Uppgifter 
  
 Planeringsmyndighetens uppgifter har berörts på flera ställen i be- tänkandet. I det följande ges en samlad bild av de uppgifter som denna myndighet bör ha. 
 Planeringsmyndighetens uppgift bör vara att lämna stöd till det nationella krishanteringsorganet och till övriga organ inom kris- hanteringssystemet samt att svara för  
 planerings-, 
 samordnings-, 
  informations- och analysuppgifter inom säkerhets- och bered- skapsområdet. Planeringsmyndigheten bör också fungera som IT- säkerhetsmyndighet och i denna egenskap lämna stöd åt det IT- samordningsorgan som utredningen anser bör inrättas inom Regeringskansliet. Vidare bör planeringsmyndigheten svara för viss omvärldsanalys inom  
 IT-säkerhetsområdet. 
  
 Planeringsmyndigheten bör ta över vissa av de uppgifter som idag utförs av ÖCB och SPF. Vidare behöver uppgiftsfördelningen mellan planeringsmyndigheten och SRV renodlas. De  
 IT-säker- 
  hetsuppgifter som planeringsmyndigheten tilldelas utförs inte alls idag eller är utspridda på ett stort antal organ. Utredningen åter- kommer till konsekvenserna för olika myndigheter längre fram i detta kapitel. 
 Planeringsmyndighetens uppgifter kan hänföras till följande verksamhetsområden: 
 Information och ledningsstöd Planering och samordning Analys och utveckling Internationell verksamhet 
 Information och ledningsstöd 
 Uppgifterna inom detta område omfattar dels kansli- och sekretariatsfunktionerna för det nationella krishanteringsorganet och det övergripande samordningsorganet för  
 IT-säkerhetsfrågor 
  dels olika uppgifter inom informations- och ledningsstödsområdet. 
 Kansli- och sekretariatsfunktionerna har beskrivits relativt ingående i kapitlen 5 och 7. Anledningen till att dessa uppgifter bör läggas på planeringsmyndigheten och inte på något eller några organ inom Regeringskansliet är i första hand de kopplingar som finns mellan planeringsmyndighetens övriga uppgifter och kansli- 
 339 
  
 Organisatoriska konsekvenser av utredningens förslag 
  
 SOU 2001:41 
  
 och sekretariatsfunktionerna. Om dessa uppgifter placerades inom Regeringskansliet finns risk för dubbelarbete och dåligt resursut- nyttjande i den samlade krishanteringsorganisationen. 
 I övrigt bör planeringsmyndigheten ha nedanstående del- uppgifter inom verksamhetsområdet information och lednings- stöd. 
 Metodik för beslutsfattande och samverkan vid allvarliga kriser 
 Krishanteringsförmåga byggs upp genom återkommande utbild- ning och övning. Övningar behöver regelbundet genomföras såväl i form av ledningsövningar som i form av samverkansövningar. Ut- veckling av scenarier och övningsmodeller bör ske på grundval av erfarenheter och faktiskt inträffade händelser. En väl genomarbetad metodik för samverkan krävs för att åstadkomma ett enhetligt uppträdande och för att kunna utnyttja alla resurser effektivt. Planeringsmyndigheten bör svara för metodutveckling inom detta område och skall förmedla de erfarenheter som förvärvas till andra aktörer i krishanteringssystemet. 
 Metodik för informationshantering vid allvarliga kriser 
 Ledning, samordning och information är uppgifter som är nära kopplade till varandra vid allvarliga krisförlopp. Inom informa- tionsberedskapen har värdefulla erfarenheter byggts upp om hur information bör förmedlas till krisaktörer, media och allmänhet. Planeringsmyndigheten bör ha till uppgift att vidareutveckla meto- diken inom detta område och att verka för att de erfarenheter som har vunnits kan nyttiggöras i akuta krissituationer. 
 Tekniskt ledningsstöd 
 Tekniskt ledningsstöd krävs för att inhämta, analysera, bearbeta och förmedla information på ett tillförlitligt och säkert sätt. En effektiv krishantering förutsätter att alla aktörer som ansvarar för ledning och samordning har tillgång till samma information samti- digt. Planeringsmyndigheten bör värdera de behov av ledningsstöd som finns inom krishanteringssystemet och samordna utvecklingen av tekniska stödsystem inom detta område. 
 340 
  
 SOU 2001:41 
  
 Organisatoriska konsekvenser av utredningens förslag 
  
 Planering och samordning 
 Utredningen har i kapitel 4 skisserat huvuddragen i ett nytt plane- ringssystem. Systemet bygger på att planeringsinsatserna utgår från en helhetssyn som omfattar också andra allvarliga kriser på sam- hällsnivå än höjd beredskap. Den ekonomiska planeringsram som föreslås bör omfatta medel för alla dessa krissituationer. Plane- ringssystemet förutsätter också ett breddat deltagande i plane- ringsprocessen. Företrädare för lokala och regionala organ måste ges möjlighet att deltaga i och påverka processen. 
 Planeringsmyndigheten bör vara sammanhållande för arbetet inom det nya planeringssystemet. Detta innebär bl.a. att ett krav på samordning av det beslutsunderlag som behöver tas fram. Detta förutsätter att grundsyner och inriktningsdokument tas fram för olika områden. Utredningen har tidigare givit exempel på områden som är särskilt väsentliga från sårbarhets- och säkerhetssynpunkt. 
 Planeringsmyndigheten bör också svara för att förslag till fördel- ning av den ekonomiska planeringsramen tas fram och redovisas för regeringen. Detta måste givetvis ske i samverkan med de områ- desansvariga organen på lokal och regional nivå och med myndig- heter och andra organ som är verksamma inom områden som har stor betydelse från sårbarhets- och säkerhetssynpunkt. Utgångs- punkten bör bl.a. vara kvalificerade risk- och sårbarhetsanalyser. 
 Uppföljnings- och utvärderingsinsatser bör också vara en väsentlig del av uppgifterna. Dessa insatser bör särskilt inriktas mot områden som uppfattas som särskilt väsentliga från sårbarhets- och säkerhetssynpunkt. Metodutveckling krävs för att skapa möjligheter att analysera komplexa beroendeförhållanden mellan olika system. 
 Planeringsmyndigheten bör ha en samordnande roll inom IT- säkerhetsområdet och vara sammanhållande för arbetet med att utveckla gemensamma strategier och riktlinjer inom detta område. Det finns en naturlig koppling mellan denna uppgift och uppgiften att fungera som kansli åt det samordningsorgan inom Regeringskansliet som utredningen har föreslagit inom  
 IT-säker- 
  hetsområdet. 
 Analys och utveckling 
 Kvalificerad omvärldsbevakning och omvärldsanalys inom områden som kan generera allvarliga kriser på samhällsnivå är en 
 341 
  
 Organisatoriska konsekvenser av utredningens förslag 
  
 SOU 2001:41 
  
 nödvändig förutsättning för att skapa krishanteringsförmåga. Risk- och sårbarhetsanalyser vad gäller specifika verksamheter och system inom dessa områden bör ingå i arbetet. Denna analys- verksamhet bör understödjas av forsknings- och utvecklings- insatser inom olika områden. 
 Planeringsmyndighetens analysverksamhet bör bl.a. omfatta analyser av samhällsutvecklingen inom områden som är relevanta från krishanteringssynpunkt, analyser av beroendeförhållanden och sårbarhet inom områden som teknisk infrastruktur, samhällsviktiga transporter, m.m. I vissa fall kan det vara motiverat att genomföra sektorsanalyser inriktade på vissa samhällsområden, t.ex. närings- livet eller olika branscher inom detta. 
 Resultatet av omvärldsanalyserna bör bl.a. kunna utgöra ett ingångsvärde för planeringsprocessen. Ett annat syfte bör vara att göra det lättare för olika organ inom krishanteringssystemet att bedöma akuta situationer som kan kräva insatser. Planeringsmyn- digheten bör samverka med Försvarsmakten/MUST, FRA, FOI, FHS, universitet och högskolor och andra organ i syfte att bredda underlaget för analysverksamheten. 
 Planeringsmyndigheten bör ha till uppgift att samordna och be- ställa forsknings- och utvecklingsarbete inom krishanteringsområ- det. Tonvikten bör läggas på forsknings- och utvecklingsinsatser som avser krishanteringsmetodik samt risk- och sårbarhetsproblem på central nivå. Inom detta område bör planeringsmyndigheten bl.a. svara för initiering av forsknings- och utvecklingsinsatser samt analys och bearbetning av forskningsresultat. 
 Planeringsmyndigheten bör också samordna kompetensutveck- lingen för de personer som har viktiga befattningar i krishanter- ingssystemet. I denna uppgift bör ingå att hantera olika frågor om personalförsörjningen inom det civila försvaret. 
 Internationell verksamhet 
 Planeringsmyndigheten bör stödja det nationella krishanteringsor- ganet i detta organs roll som kontaktorgan för internationell sam- verkan inom krishanteringsområdet. Planeringsmyndigheten bör också utveckla egna kontakter med krishanteringsorgan utomlands och följa utvecklingen inom detta område. Detta förutsätter kon- takter med EU, FN, NATO och andra internationella organisatio- ner. Det är dock väsentligt att myndighetens internationella 
 342 
  
 SOU 2001:41 
  
 Organisatoriska konsekvenser av utredningens förslag 
  
 kontaktverksamhet samordnas med de kontakter som måste hante- ras på departementsnivå. 
  
 13.3.2 
  
 Dimensionering 
  
 Som nämnts anser utredningen att en organisationskommitté bör tillsättas för att genomföra vissa av de organisationsförändringar som utredningen har föreslagit. Det bör ingå i uppdraget för orga- nisationskommittén att konkretisera planeringsmyndighetens upp- gifter och att föreslå en dimensionering av verksamheten. Den dimensionering som utredningen redovisar i detta avsnitt är således preliminär. 
 Enligt utredningens uppfattning bör ambitionsnivån läggas högt inom de områden som planeringsmyndigheten ges ansvar för. Denna bedömning utgår från utredningens grunduppfattning att sårbarheten i samhället inom vissa områden är för hög och att det är angeläget att öka säkerheten innan samhället drabbas av en svår påfrestning i detta uttrycks egentliga bemärkelse. Utredningen uppfattar också planeringsmyndigheten som ett strategiskt verktyg för regeringen i arbetet med att förebygga sådana händelser eller förlopp. 
 Planeringsmyndigheten föreslås ta över vissa av de uppgifter som ÖCB och SPF har idag. Vissa uppgifter behöver också föras över från SRV till planeringsmyndigheten. I de flesta fall kommer såväl uppgifternas innehåll som sättet att arbeta med dem att förändras. Planeringsmyndigheten skall också arbeta över ett bredare krisspektra än dessa myndigheter. För vissa av de uppgifter som förs över behöver ambitionsnivån dessutom höjas väsentligt. Detta gäller bl.a. inom områden som omvärldsbevakning och omvärldsanalys, metodutveckling inom krishanteringsområdet samt uppföljning och utvärdering av genomförda insatser. Trots dessa skillnader ger den nuvarande dimensioneringen av de uppgifter som bör föras till planeringsmyndigheten en viss vägledning för dimensioneringen av planeringsmyndighetens framtida uppgifter inom detta område. 
 Däremot är det svårare att bedöma hur de helt nya uppgifter som tillförs planeringsmyndigheten skall dimensioneras. Enligt utredningens uppfattning bör man beträffande dessa uppgifter tillämpa en försiktighetsprincip, dvs. börja med en relativt liten bemanning för att sedan utöka om bemanningen visar sig vara otillräcklig. Generellt gäller också att den personal som planerings- 
 343 
  
 Organisatoriska konsekvenser av utredningens förslag 
  
 SOU 2001:41 
  
 myndigheten har anledning att knyta till sig bör vara högt kvalifi- cerad vilket medför att det kan ta tid att bemanna myndigheten. 
 Ytterligare en omständighet som påverkar dimensioneringen är planeringsmyndighetens möjligheter till att upphandla tjänster från andra organ. Inom delar av verksamheten torde det enligt utred- ningens uppfattning ligga nära till hands att ha en begränsad egen personalstyrka och istället förfoga över medel för att lägga ut upp- drag på eller köpa tjänster från forsknings- och sektorsmyndig- heter, universitet och högskolor och konsultföretag. 
 Om man väger samman dessa omständigheter anser utredningen att c:a 100 årsarbetskrafter kan vara ett rimligt riktmärke för plane- ringsmyndighetens dimensionering i ett utgångsläge. Till detta kommer resurser vid den tekniska enhet som ÖCB har regeringens uppdrag att organisera. Denna verksamhet bör knytas till plane- ringsmyndigheten utan att ingå i planeringsmyndighetens organi- sation. En lämplig organisationsform kan vara att den tekniska enheten ges en relativt självständig ställning och att planerings- myndigheten görs till chefsmyndighet för den tekniska enheten. 
  
 13.4 
  
 Översikt över utredningens organisationsförslag 
  
 13.4.1 
  
 Allmänt 
  
 I det följande redovisar utredningen konsekvenserna för den be- fintliga myndighetsstrukturen av de förslag som utredningen har lämnat. Framställningen begränsas till den centrala myndighetsni- vån. Anledningen är att inga strukturella åtgärder krävs för att genomföra utredningens förslag på lokal och regional nivå. Konse- kvenserna för kommunerna bör dessutom göras till föremål för överläggningar mellan staten och kommunerna. 
 Utredningen tar inte heller upp de organisatoriska konsekven- serna av att ett nationellt krishanteringsorgan och ett samord- ningsorgan för  
 IT-säkerhet 
  inrättas inom Regeringskansliet. Dessa konsekvenser torde organisatoriskt vara relativt begränsade. Ut- redningen begränsar sig till att konstatera att olika organisatoriska lösningar är möjliga men kommenterar inte närmare hur dessa organ bör infogas i Regeringskansliets organisation. 
 344 
  
 SOU 2001:41 
  
 Organisatoriska konsekvenser av utredningens förslag 
  
 13.4.2 
  
 Konsekvenser för ÖCB 
  
 ÖCB är enligt sin instruktion central förvaltningsmyndighet för frågor om ledning och samordning av verksamhet inom det civila försvaret och skall även samordna den frivilliga försvarsverksam- heten inom denna verksamhet. ÖCB skall i fred leda och samordna beredskapsförberedelser vid övriga funktionsansvariga myndighe- ter. Vidare skall myndigheten analysera och konkretisera en rad för det civila försvaret gemensamma frågor och verka för ett enhetligt uppträdande bland myndigheterna i dessa frågor. ÖCB svarar vidare för studier och planering samt för samordningen av funk- tionsövergripande forskning. ÖCB har under de senaste åren i olika former utvecklat stödet till de områdesansvariga organen, dvs. länsstyrelser och kommuner. ÖCB har även regeringens uppdrag att utveckla och förlägga en teknisk enhet till Sollefteå, huvudsakligen för drift och underhåll av olika tekniska system. 
 ÖCB är dessutom funktionsansvarig myndighet för funktionen Civil ledning (CL), Försörjning med industrivaror (IF) och Trans- porter (Tp). 
 Utredningens förslag innebär att flertalet uppgifter som ingår i den s.k. samordningsrollen förs över till planeringsmyndigheten. Uppgifternas innehåll samt arbetssättet måste dock anpassas till de nya förutsättningar som gäller för planeringsmyndigheten. Funk- tionerna CL, IF och Tp avvecklas enligt utredningens förslag. 
 Civil ledning 
 Huvuddelen av de samordningsuppgifter som ÖCB har inom det civila försvaret räknas till funktionen Civil ledning. Huvuddelen av dessa samordningsuppgifter överförs till planeringsmyndigheten. Även vissa uppgifter som rör utbildnings- och övningsverksamhet samt tekniskt ledningsstöd bör överföras till planeringsmyndig- heten. Också vissa frågor om  
 civil-militär 
  samverkan samt utveckling av ledningssystem bör överföras till myndigheten. 
 Försörjning med industrivaror 
 Funktionens uppgifter vad gäller försörjning med industrivaror, beredskapslagring och försörjningsavtal med företag avvecklas. Den informationssamverkan med näringslivet som utvecklats inom ramen för ÖCB:s samordningsroll bör överföras till planerings- 
 345 
  
 Organisatoriska konsekvenser av utredningens förslag 
  
 SOU 2001:41 
  
 myndigheten. Uppgifterna bör koncentreras till omvärldsanalyser med särskild inriktning på  
 näringslivs-, 
  bransch- och sårbarshets- analyser. 
 Försörjningskommissionens verksamhet bör renodlas och dess roll vid hantering av försörjningskriser preciseras. Försörjnings- kommissionen är en renodlad beredskapsmyndighet som inte be- driver någon verksamhet i fred. Kommissionen bör administrativt knytas till planeringsmyndigheten. 
 Den internationella verksamheten omfattar dels samverkan med Norge och Finland genom särskilda avtal dels visst förtroendeska- pande samarbete inom PFF och NATO:s Planning boards and Committees. Dessa uppgifter bör överföras till planeringsmyndig- heten. 
 Transporter 
 ÖCB har inom ramen för sitt funktionsansvar inom transport- området svarat för viss omvärldsbevakning och samordning avseende transportsektorns beredskapsförberedelser. Delar av denna verksamhet bör överföras till planeringsmyndigheten. Ett internationellt samarbete har utvecklats inom ramen för PFF och NATO:s olika transportkommittéer. Denna verksamhet bör överföras till planeringsmyndigheten. 
 Övrigt 
 Frågor som rör det civila försvarets personalförsörjning bör över- föras till planeringsmyndigheten. Detta innebär att frågor som rör kontakter med frivilliga försvarsorganisationer och andra icke- statliga organisationer samt frågor som rör civilplikt bör övertas av den nya myndigheten. 
 De uppgifter vid ÖCB som inte förs över till planeringsmyndig- heten bör enligt utredningens uppfattning avvecklas. Utredningen vill dock betona att den beskrivning som har gjorts av planerings- myndighetens uppgifter inte är definitiv eller i alla avseenden uttömmande. Ett slutligt förslag om vilka uppgifter som pla- neringsmyndigheten bör ha och vilka uppgifter som bör föras över från ÖCB till planeringsmyndigheten bör utarbetas av den organisationskommitté som utredningen föreslår i kapitel 15. 
 346 
  
 SOU 2001:41 
  
 Organisatoriska konsekvenser av utredningens förslag 
  
 13.4.3 
  
 Konsekvenser för SPF 
  
 SPF är enligt sin instruktion central förvaltningsmyndighet för det psykologiska försvaret. Myndigheten skall leda och samordna planläggningen av det psykologiska försvaret, sprida kunskap om säkerhetspolitiken och totalförsvaret samt främja och samordna andra myndigheters information inom dessa områden. Myndighe- ten skall också bistå andra myndigheter genom att utarbeta råd och rekommendationer för informationsverksamheten vid svåra på- frestningar på samhället i fred. SPF skall följa och analysera medie- beredskapen under dessa förhållanden och lämna underlag för regeringens beslut inom detta område. I uppgifterna ingår också forskningssamordning inom verksamhetsområdet. 
 SPF har under senare år bidragit med värdefulla kunskaper vad gäller informationshantering under kriser och sambandet mellan denna verksamhet och lednings- och samordningsuppgifter under dessa förhållanden. Den kompetens som SPF har byggt upp inom detta område bör tas tillvara inom ramen för det nya krishanter- ingssystemet och inom den nya planeringsmyndigheten. SPF:s uppgifter inom detta område bör därför överföras till planerings- myndigheten. 
 Planeringsmyndigheten övertar även ansvaret för de uppdrag som regeringen tidigare gett till SPF med anledning av Kelly samt har ansvar för och beredskap för eventuellt kommande regeringsuppdrag rörande Kelly. 
 SPF är funktionsansvarig myndighet för funktionen Psykolo- giskt försvar. Utredningens förslag innebär att funktionen Psykologiskt försvar avvecklas. Viss beredskapsverksamhet med inriktning på det civila försvaret bör dock kvarstå och överföras till planeringsmyndigheten. I första hand gäller detta uppgifter som har betydelse i samband med anpassningsåtgärder inför ett skärpt säkerhetspolitiskt läge. 
 För att säkerställa massmediaföretagens beredskapsplanering och samverkan med regeringen föreslås att en särskild Media- kommission inrättas. Denna bör organiseras som en vilande beredskapsmyndighet i fred (jfr Försörjningskommissionen). Mediakommission bör - i likhet med Försörjningskommissionen - utgöra en egen myndighet och ha en av regeringen utsedd chef. Denne bör rekryteras bland personer som har en central roll inom massmediaföretagen. Kommissionen bör dock inte bedriva någon utåtriktad verksamhet under normala förhållanden (utöver 
 347 
  
 Organisatoriska konsekvenser av utredningens förslag 
  
 SOU 2001:41 
  
 beredskapsförberedelser). Den bör i likhet med Försörjnings- kommissionen administrativt knytas till planeringsmyndigheten. 
 De uppgifter vid SPF som inte förs över till planeringsmyndig- heten bör enligt utredningens uppfattning avvecklas. Utredningen vill dock betona att den beskrivning som har gjorts av planerings- myndighetens uppgifter inte är definitiv eller i alla avseenden uttömmande. Ett slutligt förslag om vilka uppgifter som planeringsmyndigheten bör ha och vilka uppgifter som bör föras över från SPF till planeringsmyndigheten bör utarbetas av den organisationskommitté som utredningen föreslår i kapitel 15. 
  
 13.4.4 
  
 Konsekvenser för SRV 
  
 SRV är enligt sin instruktion central förvaltningsmyndighet för frågor om olycks- och skadeförebyggande åtgärder enligt rädd- ningstjänstlagen, landtransporter av farligt gods, anordnande av skyddsrum och skyddade utrymmen, räddningstjänst samt sanering av radioaktiva ämnen från en kärnteknisk anläggning om detta inte är en uppgift för någon annan myndighet. SRV är även central tillsynsmyndighet enligt lagen om åtgärder för att förebygga och begränsa följderna av allvarliga kemikalieolyckor. I SRV:s uppgifter ingår att samordna samhällets verksamhet för olycks- och skadeförebyggande åtgärder enligt räddningstjänst- lagen samt inom räddningstjänsten. SRV har inom dessa områden angelägna uppgifter för bl.a. metod- och kompetensutveckling 
 SRV är funktionsansvarig myndighet för funktionen Befolk- ningsskydd och räddningstjänst. Utredningens förslag innebär att funktionen Befolkningsskydd och räddningstjänst avvecklas. SRV:s uppgift att svara för produktionen av platser för kommunal ledning bör överföras till planeringsmyndighetens tekniska enhet i Sollefteå. Övergripande frågor vad gäller fysiskt skydd för befolk- ningen bör överföras till planeringsmyndigheten. Enligt utredning- ens uppfattning är det väsentligt att ett enhetligt synsätt tillämpas inom det civila försvaret vad gäller fysiskt skydd. Frågor som kan lösas genom normgivning inom byggnadsområdet bör överföras till Boverket. SRV bör behålla de beredskapsuppgifter som myndigheten har vad gäller krigsräddningstjänsten. 
 RRV har i sin nyligen avslutade granskning av SRV 
 1  
 redovisat vissa brister i ansvarsfördelningen mellan SRV och ÖCB. Gransk- ningen genomfördes på uppdrag av regeringen. Kommuner och 
  
 1  
 Hinder för ett effektivare resursutnyttjande. RRV nr 2001:9. 
 348 
  
 SOU 2001:41 
  
 Organisatoriska konsekvenser av utredningens förslag 
  
 länsstyrelser upplever enligt RRV de båda myndigheternas roller som oklara. Det uppges också finnas ett konkurrensförhållande mellan myndigheterna som försvårar samverkan. SRV uppges inte heller underordna sig ÖCB:s samordningsansvar inom det civila försvaret. 
 För egen del konstaterar utredningen att  
 LEMO-utredningen 
 2 
  
 redan år 1993 riktade uppmärksamheten mot liknande problem. Enligt utredningens uppfattning är det angeläget att oklarheter av detta slag inte förs över till den nya organisationen. SRV:s uppgif- ter bör därför renodlas till att avse kompetensutveckling samt fack- och sektorsuppgifter inom de områden som SRV svarar för enligt sin instruktion. Detta kan medföra att vissa samordnings- och poli- cyuppgifter inom riskhanteringsområdet och det internationella området bör överföras från SRV till planeringsmyndigheten. Det bör ankomma på den organisationskommitté som utredningen föreslår i kapitel 15 att närmare precisera gränssnittet mellan SRV och planeringsmyndigheten. 
 Utredningen har tidigare i betänkandet framhållit att kommu- nerna bör ges en vidgad roll i krishanteringsarbetet. Utredningen ser också ett behov av resursförstärkningar på lokal nivå för att kommunerna skall klara de nya uppgifterna. Det är därför väsent- ligt att utbildningen inom säkerhets- och beredskapsområdet byggs ut och anpassas bättre till kommunernas behov. Utredningen anser att SRV:s skolverksamhet med en annan inriktning och ett annat huvudmannaskap skulle kunna användas för detta ändamål. Utredningen föreslår att regeringen prövar möjligheterna att åstadkomma ett gemensamt huvudmannaskap mellan staten och kommunerna för skolverksamheten. Praktiskt skulle detta kunna ske genom att lösgöra skolverksamheten från SRV och att överlåta skolorna till ett aktiebolag som ägs gemensamt av staten och kommunerna. En sådan åtgärd skulle förbättra kommunernas inflytande över den utbildning som behövs för att kommunerna skall kunna ta på sig en vidgad roll inom krishanteringsområdet. 
  
 13.4.5 
  
 Konsekvenser för PTS, FRA och FMV 
  
 Utredningen föreslog i kapitel 7 att PTS, FRA och FMV skall ges vissa uppgifter inom  
 IT-säkerhetsområdet. 
  Dessa uppgifter innebär dels ett uppdrag från regeringen att organisera berörda  
 IT-säker- 
  
 2  
 Ansvars- och uppgiftsfördelning inom det civila försvaret. SOU 1993:95. 
 349 
  
 Organisatoriska konsekvenser av utredningens förslag 
  
 SOU 2001:41 
  
 hetsfunktioner dels ett uppdrag att svara för driften av dessa funk- tioner. 
 PTS bör enligt utredningens förslag ges i uppdrag att organisera och driva  
 IT-incidenthanteringsfunktionen. 
  FRA bör ges motsva- rande uppdrag vad gäller teknikkompetensfunktionen. FMV bör ges i uppdrag att organisera ett system för säkerhetsinriktad evaluering och certifiering av  
 IT-produkter. 
  
 Berörda myndigheter bör tillföras särskilda medel för att genomföra dessa uppdrag. Det bör ankomma på respektive myn- dighet att förutsättningslöst pröva dimensioneringen av respektive  
 IT-säkerhetsfunktion. 
  Utredningens bedömning är att berörda funktioner totalt kan komma att kräva ett trettiotal årsarbetskraf- ter. 
  
 13.4.6 
  
 Konsekvenser för övriga myndigheter 
  
 Med övriga myndigheter avser utredningen centrala statliga myn- digheter som har funktionsansvar eller beredskapsansvar enligt beredskapsförordningen (1993:242). 
 Utredningen föreslog i kapitel 5 att den funktionsindelning som finns inom det civila försvaret skall avvecklas. Därmed försvinner också det funktionsansvar som ett antal myndigheter inom det civila försvaret har. Funktionsansvaret medför att den funktionsan- svariga myndigheten skall samordna verksamheten inom funktio- nen. Den funktionsansvariga myndigheten svarar också för funk- tionsövningar och viss annan verksamhet som är inriktad på funktionens gemensamma behov. 
 I det krishanteringssystem som utredningen föreslår tilldelas vissa centrala myndigheter samverkans- och/eller bevakningsan- svar. Dessa åligganden bör regleras i en särskild förordning och i berörda myndigheters instruktioner. Kompletterande anvisningar kan meddelas årligen i regleringsbreven. 
 Samverkansansvar innebär att myndigheten skall samordna sitt arbete vad gäller allvarliga kriser med andra organ som är verk- samma inom ett område som är samhällsviktigt och där det finns starka beroendeförhållanden mellan olika organs verksamhet. Bevakningsansvar innebär att myndigheten skall upprätthålla kompetens och vidtaga de övriga åtgärder som krävs för att kunna upprätthålla en verksamhet vid höjd beredskap. 
 Bevakningsansvaret har beröringspunkter med det beredskaps- ansvar som uttrycks i beredskapsförordningen men medför inte 
 350 
  
 SOU 2001:41 
  
 Organisatoriska konsekvenser av utredningens förslag 
  
 samma långtgående krav som denna vad gäller planeringsåtgärder. Däremot bör uttryckliga krav ställas på att myndigheten skall ha anpassningsförmåga inför ett skärpt säkerhetspolitiskt läge. Utred- ningen anser att beredskapsansvaret bör ersättas av ett bevaknings- ansvar för vissa myndigheter. 
 Det är inte möjligt att nu redovisa en komplett lista över de myndigheter som bör ha samverkans- och/eller bevakningsansvar. Utredningen föreslår i kapitel 15 att en översyn skall genomföras av beredskapsförordningen och att en ny förordning bör tas fram. Då bör också klaras ut vilka myndigheter som bör ha samverkans- och/eller bevakningsansvar och den närmare innebörden av dessa ansvar i det enskilda fallet. 
  
 13.5 
  
 Sammanfattning och förslag 
  
 I detta kapitel har utredningen redovisat de organisatoriska konse- kvenserna av de förslag som lämnats. Tonvikten har lagts på den centrala nivån. Anledningen är att förslagen på denna nivå får strukturella konsekvenser med nybildning av vissa myndigheter och nedläggning av andra som följd. Lokala och regionala organ ges vidgade uppgifter och ett vidgat ansvar. Detta förutsätter resursförstärkningar i krishanteringsorganisationen på lokal och regional nivå (kommuner och länsstyrelser). 
 Utredningen har föreslagit ett antal strukturella förändringar på central nivå. Inom Regeringskansliet nybildas två organ: ett natio- nellt krishanteringsorgan och ett samordningsorgan för  
 IT-säker- 
  het. På central myndighetsnivå nybildas en planeringsmyndighet och vissa  
 IT-säkerhetsorgan. 
  De senare omfattar en  
 IT-incident- 
  hanteringsfunktion, en teknikkompetensfunktion och ett system för säkerhetsinriktad evaluering och certifiering. 
 Förslagen medför att ÖCB och SPF bör läggas ned. En stor del av de uppgifter som dessa myndigheter har inom planerings- och samordningsområdet respektive informationsberedskapen bör dock överföras till planeringsmyndigheten. Begränsade uppgifter kan också behöva överföras från SRV till planeringsmyndigheten. 
 Utredningen föreslår också att ett nytt huvudmannaskap införs för SRV:s skolverksamhet. Anledningen är att utredningens förslag förutsätter en ny inriktning av den utbildningsverksamhet som riktar sig till kommunerna och ett ökat inflytande för dessa över utbildningens inriktning. 
 351 
  
 Organisatoriska konsekvenser av utredningens förslag 
  
 SOU 2001:41 
  
 Bildandet av planeringsmyndigheten samt nedläggningen av ÖCB och SPF frigör  
 50–60 
  årsarbetskrafter jämfört med dagens organisation. Bildandet av de  
 IT-säkerhetsorgan 
  som knyts till PTS, FRA och FMV kräver dock ett nytillskott om  
 30–35 
  årsar- betskrafter. Förstärkningen av länsstyrelsernas resurser inom kris- hanteringsområdet kan beräknas kräva ett resurstillskott på om- kring 20 årsarbetskrafter. Detta innebär att de förändringar som utredningen föreslår inom den statliga myndighetsorganisationen totalt sett kan genomföras utan personalförstärkningar. 
 Däremot krävs ett nettotillskott av resurser till den kommunala krishanteringsverksamheten. Utredningen vill inte ange någon storlek på detta resurstillskott med hänsyn till de överläggningar som bör hållas med kommunerna. Däremot anvisar utredningen i kapitel 14 en möjlig finansieringskälla till de resurstillskott som erfordras i den kommunala krishanteringsverksamheten. 
 352 
  
 14 
  
 Ekonomiska konsekvenser av utredningens förslag 
  
 Vissa av utredningens förslag medför ökade kostnader. Det rör sig dels om de ökade satsningar på sårbarhetsreducerande åtgärder inom den tekniska infrastrukturen som utredningen föreslog i kapitel 6 dels om det nettotillskott av resurser som krävs för att kommunerna skall kunna axla sin nya roll i krishanteringssystemet. Dessutom sker en betydande omfördelning av kostnader inom den statliga myndighetsorganisationen. Bl.a. sker en minskning av kostnaderna vid de nuvarande verksamheterna vid ÖCB, SPF och SRV. Samtidigt ökar kostnaderna för  
 IT-säkerhet, 
  den regionala krishanteringsorganisationen och för vissa andra uppgifter. 
 Utredningen är angelägen om att redovisa ett förslag som är kostnadsneutralt. Utredningen vill därför anvisa möjliga finansie- ringskällor till de kostnadsökningar som föreslås inom vissa områden. Vad gäller den statliga myndighetsorganisationen inom de områden som berörs av utredningens förslag har detta redan gjorts i kapitel 13. Kostnaderna för myndighetsorganisationen som sådan minskar enligt utredningens förslag något trots de nya upp- gifter som tillkommer. Däremot krävs resurstillskott för kommu- nernas satsningar inom krishanteringsområdet. Resurstillskott krävs också för att klara de ökade satsningar på sårbarhetsmins- kande åtgärder i den tekniska infrastrukturen som utredningen föreslår. I sammanhanget bör erinras om att utredningen i kapitel 4 har föreslagit att avgiftsfinansiering bör användas i ökad utsträck- ning för att bekosta säkerhetsåtgärder vad gäller den tekniska infrastrukturen. 
 Utredningen föreslår därför att resurstillskotten finansieras på följande sätt: 
  
 1. 
  
 Omfördelning inom det civila försvarets ekonomiska planeringsram bl.a. genom minskade anslag till försörjningsbe- redskap och skyddsrumsbyggande 
  
 353 
  
 Ekonomiska konsekvenser av utredningens förslag 
  
 SOU 2001:41 
  
 2. 
  
 Realisering av vissa besparingsmöjligheter i SRV:s skolverk- samhet 
  
 Regeringen har i  
 Förändrad omvärld - omdanat försvar  
 (prop. 1998/99:74) gjort bedömningen att satsningar på åtgärder vad gäller försörjningsberedskapen och skyddsrumsbyggandet bör kunna minskas väsentligt. Regeringens bedömning har givetvis sin grund i det förändrade säkerhetspolitiska läget. De områden som nämns omfattar satsningar som är avsedda för höjd beredskap och som knappast bidrar till förmågan att klara fredstida kriser. Mot denna bakgrund borde medel kunna frigöras från dessa områden och tillföras de ändamål som utredningen vill främja. Dessa åtgärder bör kunna genomföras inom den ekonomiska planerings- ram som nu finns avsatt för ändamål inom det civila försvaret. 
  
 RRV gör i den granskning av SRV som omnämndes i kapitel 13 bedömningen att det finns överkapacitet i SRV:s skolverksamhet. Kapacitetsutnyttjandet i denna verksamhet uppgick enligt RRV:s granskning till 60 % under år 2000. Dessutom är viss pliktutbild- ning enligt RRV överdimensionerad. Kostnaderna för SRV:s skol- verksamhet uppgick år 2000 till 453 Mkr. Delar av verksamheten är avgiftsfinansierad. SRV förutser också en utvidgning av viss utbild- ning. Det underlag som RRV har redovisat visar att medel kan fri- göras från SRV:s skolverksamhet genom en anpassning av produk- tionskapaciteten. 
 Utredningens slutsats är således att de nettotillskott av resurser som utredningen anser behövs inom vissa områden utan olägenhe- ter kan finansieras genom omfördelning från vissa ändamål inom det civila försvarets ekonomiska planeringsram och genom bespa- ringar inom SRV:s skolverksamhet. De förändringar som i övrigt sker inom den statliga myndighetsorganisationen kan finansieras genom omfördelning av förvaltningskostnader. 
 354 
 15 Genomförandefrågor 
  
 15.1 
  
 Utredningsarbetet 
  
 Utredningen har haft ett omfattande uppdrag. Utredningens direktiv berör flertalet av de frågor som har anknytning till beredskapen mot svåra påfrestningar på samhället i fred och verksamheten inom det civila försvaret. I utredningens uppdrag har dessutom ingått att belysa vissa  
 IT-säkerhetsfrågor. 
  Till detta kommer att utredningstiden har varit kort. Av olika skäl kom utredningsarbetet inte igång förrän i mars 2000. Utredningstiden har därför omfattat drygt ett år. 
 Den korta utredningstiden har medfört att utredningen har tvingats att prioritera mellan de arbetsuppgifter som tas upp i direktiven. Detta har inneburit att utredningen har koncentrerat sig på att skapa en grundstruktur med tillhörande styrsystem för samhällets krishantering. Grundstrukturen präglas av utredningens strävan att främja en helhetssyn på allvarliga kriser i samhället – oavsett om dessa gäller höjd beredskap eller andra allvarliga kris- situationer. 
 Utöver grundstrukturen har utredningen inriktat sig på att utarbeta ett relativt detaljerat förslag vad gäller  
 IT-säkerheten. 
  Anledningen är att dessa frågor betonas särskilt i utredningens direktiv. I den ursprungliga versionen av direktiven – juni 1999 – var avsikten att utredningen skulle redovisa ett särskilt delbetän- kande i dessa frågor. Beträffande  
 IT-frågorna 
  har utredningen också delvis kunnat utgå från delutredningar som har gjorts av andra organ enligt särskilt uppdrag från regeringen. 
 Utredningen har också valt att redovisa ett relativt detaljerat förslag vad gäller andra delar av den tekniska infrastrukturen än  
 IT-verksamhet. 
  Främst gäller detta elförsörjningen och telekommunikationerna. Anledningen till att utredningen har behandlat dessa områden särskilt ingående är att den tekniska infrastrukturen – elförsörjningen, telekommunikationerna och 
 355 
  
 Genomförandefrågor 
  
 SOU 2001:41 
  
 viss  
 IT-verksamhet 
  – enligt utredningens bedömning har en avgörande betydelse för flertalet väsentliga funktioner i det moderna samhället och för medborgarnas trygghet och säkerhet. Utredningen anser också att dessa frågor bör ges hög prioritet i det fortsatta arbetet med sårbarhets- och säkerhetsfrågorna. 
 Det betänkande som utredningen lägger fram innehåller av dessa skäl inte ett färdigt paket med lösningar på alla de problem som aktualiseras vid övergången till ett nytt krishanteringssystem. Kompletterande insatser behövs inom flera områden. Vidare behöver utredningens förslag samordnas med resultatet av annan pågående utredningsverksamhet, bl.a. Försvarsberedningens arbete och vissa utredningar som pågår inom Regeringskansliet. Utred- ningen syftar bl.a. på det utredningsarbete vad gäller Regerings- kansliets krishantering som pågår inom Statsrådsberedningen samt det arbete som har genomförts inom Försvarsdepartementet vad gäller den särskilda planläggningen. Inom författnings- området krävs samordning med resultatet av de sektorvisa genomgångar som f.n. pågår inom Regeringskansliet. 
 I det följande beskriver utredningen översiktligt de viktigaste inslagen i det genomförandearbete som krävs för att det nya kris- hanteringssystemet med stödsystem skall vara komplett. Utred- ningen vill betona att genomförandet kan ske stegvis och att alla detaljer inte behöver vara klara samtidigt. Tvärtom kan det vara fördelaktigt att genomföra vissa förslag vad gäller styrsystem och arbetsmetoder successivt för att på så sätt pröva sig fram och vinna erfarenheter. Enligt utredningens uppfattning är det av största vikt att man i genomförandearbetet prioriterar insatser för att sätta upp den myndighetsorganisation som utredningen har föreslagit. Då planeringsmyndigheten har organiserats kan denna dessutom ta på sig att vara den drivande kraften i det fortsatta förändringsarbetet. 
  
 15.2 
  
 Organisering av det nationella krishanterings- organet och planeringsmyndigheten 
  
 De organisationsförslag som utredningen har redovisat medför att ÖCB och SPF läggs ned som myndigheter. En stor del av de upp- gifter som ÖCB och SPF har i dag kommer att övergå till den nya planeringsmyndigheten. Uppgifternas innehåll förändras dock. Kontinuiteten med nuvarande organisation medför att det är angeläget att ta till vara den kompetens och de erfarenheter som 
 356 
  
 SOU 2001:41 
  
 Genomförandefrågor 
  
 har byggts upp vid dessa myndigheter. Detta medför att det är väsentligt att organisationsförändringen sker snabbt för att undvika alltför stora avgångar bland berörda myndigheters personal. Av samma skäl är det väsentligt att personalen vid ÖCB och SPF på ett tidigt stadium ges tydliga besked om vilken verksamhet som kommer att bedrivas i den nya planerings- myndigheten. En viss övertalighet torde komma att uppstå bland den personal som i dag är anställd vid ÖCB och SPF. 
 Utredningen underströk i kapitel 13 att de förslag som utred- ningen redovisar i betänkandet förutsätter att SRV:s roll renodlas till att fungera som kompetens- och sektorsmyndighet inom räddningstjänstens område och inom de övriga områden som nämns i myndighetens instruktion. Med tidigare inriktning av verksamheten inom SRV finns risk stor att det konkurrens- förhållande som under många år har rått mellan ÖCB och SRV kvarstår också en ny myndighetsstruktur. Utredningen har därför föreslagit att vissa policy- och samordningsuppgifter av över- gripande karaktär förs över från SRV till planeringsmyndigheten. Dessa uppgifter har begränsad omfattning. Utredningen har också konstaterat att det finns anledning att överväga en förändrad inriktning och ett förändrat huvudmannaskap för SRV:s skolor. En sådan åtgärd skulle främja den vidgade roll för kommunerna i krishanteringsarbetet som utredningen eftersträvar. 
 Bildandet av planeringsmyndigheten är en relativt omfattande förändring. Det är därför motiverat att tillsätta en organisations- kommitté med uppgift att genomföra vissa kompletterande utredningsinsatser och att sköta det praktiska arbetet med att etablera myndigheten. Utredningsuppgifterna bör bl.a. omfatta konkretisering av den nya myndighetens uppgifter och samarbets- relationer till andra organ. De praktiska uppgifterna omfattar bl.a. utformning av den nya myndighetens organisation, bemanning av myndigheten, anskaffning av lokaler, uppbyggnad av administrativa rutiner, m.m. 
 Utredningen vill ånyo understryka att det är mycket väsent- ligt att den organisationsförändring som har föreslagits sker så snabbt som möjligt. Enligt utredningens uppfattning borde regeringen redan i höst kunna redovisa ett principförslag om att den nya planeringsmyndigheten skall inrättas. Organisa- tionskommittén kan tillsättas så snart som riksdagen har tagit ställning till regeringens förslag. Planeringsmyndigheten kan då påbörja sitt arbete den 1 juli 2002. 
 357 
  
 Genomförandefrågor 
  
 SOU 2001:41 
  
 Den tekniska enhet som ÖCB har fått regeringens uppdrag att organisera i Sollefteå bör knytas till planeringsmyndigheten fr.o.m. den 1 juli 2002. Planeringsmyndigheten bör vara chefsmyndighet för den tekniska enheten. 
 Arbetet med att organisera det nationella krishanteringsorganet bör utföras av det departement till vilket krishanteringsorganet skall knytas. Denna uppgift är mer begränsad än uppgiften att sätta upp den nya planeringsmyndigheten. Genomförandearbetet omfattar vissa kompletterande utredningsinsatser i syfte att klar- göra krishanteringsorganets ställning i förhållande till andra organ inom Regeringskansliet och i förhållande till de myndigheter som kommer att engageras i organets arbete. Det kan också finnas anledning att precisera hur krishanteringsorganet skall relateras till Regeringskansliets krigsorganisation och till den krishantering vid mindre allvarliga kriser som sker inom den ordinarie departe- mentsorganisationen. Det nationella krishanteringsorganet bör sättas upp vid samma tidpunkt som planeringsmyndigheten. 
  
 15.3 
  
 Organisering av vissa  
  
 IT-säkerhetsorgan 
  
 Utredningen har föreslagit att planeringsmyndigheten skall ha ett samlat ansvar för  
 IT-säkerhetsfrågorna 
  på myndighetsnivå, dvs. vara  
 IT-säkerhetsmyndighet. 
  Planeringsmyndigheten bör också fungera som kansli åt det samordningsorgan för  
 IT-säkerhetsfrågor 
  som utredningen anser bör inrättas inom Regeringskansliet. Detta organ bör sättas upp av det departement som organet knyts till. Detta bör ske med inriktningen att samordningsorganet bör påbörja sin verksamhet den 1 juli 2002, dvs. vid den tidpunkt då planeringsmyndigheten och det nationella krishanteringsorganet enligt utredningens förslag etableras. 
 Enligt utredningens uppfattning finns det anledning att komma igång med  
 IT-incidenthanteringsfunktionen 
  så fort som möjligt. Regeringen bör därför uppdra åt PTS att organisera en  
 IT-incidenthanteringsfunktion 
  som en försöksverksamhet under en tvåårsperiod. Slutlig ställning till formerna för verksamheten och definitivt huvudmannaskap för verksamheten bör tas efter det att försöksverksamheten har avslutats. Ett regeringsuppdrag till PTS med denna innebörd bör kunna lämnas redan under förhösten 2001. 
 Den teknikkompetensfunktion som utredningen har föreslagit bör i en fristående form knytas till FRA. Regeringen bör därför 
 358 
  
 SOU 2001:41 
  
 Genomförandefrågor 
  
 uppdra åt FRA att organisera en teknikkompetensfunktion med det innehåll som utredningen har föreslagit. Denna organisations- förändring bör vara genomförd senast den 1 juli 2002. 
 Uppgiften att bygga upp ett system för säkerhetsinriktad evaluering och certifiering bör läggas på FMV. Regeringen bör därför uppdra åt FMV att genomföra detta arbete. Arbetet bör vara slutfört senast den 1 juli 2002. 
  
 15.4 
  
 Organisering av en ny tillsynsorganisation inom elområdet 
  
 Utredningen har föreslagit att Elsäkerhetsverket, nätavdelningen inom Energimyndigheten och beredskapsfunktionen vid Svenska kraftnät (inklusive dammsäkerhetsfunktionen) skall läggas samman till en ny tillsynsmyndighet inom elområdet, med över- gripande tillsynsansvar även för dammsäkerhet. En organisations- kommitté bör tillsättas för att förbereda den nya myndighetens verksamhet. Detta arbete bör i tiden samordnas med den översyn av lagstiftningen inom elområdet som utredningen föreslog i kapitel 12. 
  
 15.5 
  
 Organisering av övriga delar av myndighets- strukturen inom krishanteringsområdet 
  
 Utredningen har föreslagit att vissa centrala myndigheter skall till- delas samverkans- och/eller bevakningsansvar. Dessa förslag med- för inte några förändringar av myndighetsstrukturen inom stats- förvaltningen. Det är i stället fråga om ändrade uppgifter. 
 Detta arbete bör kopplas till en översyn av beredskapsförord- ningen (1993:242). Ett första steg i arbetet bör vara att precisera begreppen samverkansansvar och bevakningsansvar och att arbeta in dessa begrepp i en ny förordning. Därefter bör man klara ut vilka myndigheter som bör ha samverkans- och/eller bevaknings- ansvar och vilken innebörd som dessa åtaganden bör ha i det enskilda fallet. Bestämmelser om detta bör arbetas in i respektive myndighets instruktion. 
 Detta arbete bör genomföras inom Regeringskansliet med något departement som sammanhållande. Arbetet bör vara slutfört den 1 juli 2002. Delar av arbetet bör slutföras i sådan tid att delresultat kan redovisas i det förslag om att inrätta planeringsmyndigheten 
 359 
  
 Genomförandefrågor 
  
 SOU 2001:41 
  
 som regeringen enligt utredningens uppfattning bör redovisa för riksdagen under hösten 2001. 
  
 15.6 
  
 Etablering av ett nytt planeringssystem för krishanteringen 
  
 Utredningen har föreslagit att ett nytt planeringssystem som syftar till att minska risken för och konsekvenserna av allvarliga kriser i samhället. Grundläggande för det nya planeringssystemet bör vara att planeringen bör avse alla typer av allvarliga krissituationer och att deltagandet i den nya planeringsprocessen bör vidgas väsentligt jämfört med vad som gäller i nuvarande planeringssystem. 
 Arbetet med att bygga upp ett nytt planeringssystem är relativt omfattande. Följande arbetsmoment ingår: 
  
 1. 
  
 Framtagning av mål för krishanteringen. 
  
 2. 
  
 Detta arbete innebär att förslag till mål skall formuleras för krishanteringen. Detta bör ske i enlighet med de principer som utredningen lade fast i avsnitt 4.2. Mål bör formuleras för de samhällsområden som bedöms ha särskild betydelse från säker- hetssynpunkt samt för verksamheten inom det civila försvaret. 
  
 3. 
  
 Precisering av innehållet i den ekonomiska planeringsramen. 
  
 4. 
  
 Utredningen har översiktligt beskrivit vilka kostnader som bör finansieras över den ekonomiska planeringsramen. Fortsatt arbete behövs dock i syfte att avgränsa planeringsramen. Man måste också klara ut vilka anslag som skall ingå i ramen. 
  
 5. 
  
 Metodutveckling avseende omvärldsbevakning samt risk- och sårbarhetsanalyser. 
  
 Utredningen har föreslagit att kvalificerade risk- och sårbarhets- analyser med inriktning på samhällsnivån skall genomföras på lokal, regional och central nivå med respektive områdesansvarigt organ som sammanhållande. Innehållet i och formerna för dessa risk- och sårbarhetsanalyser behöver utredas närmare. 
 Ovanstående arbetsmoment behöver inte vara helt klara till den 1 juli 2002. Systemet bör utvecklas successivt under några år. Man får också räkna med att formerna för och innehållet i planerings- processen behöver tas fram stegvis. Det bör uppdras åt organisa- tionskommittén att ta fram ett översiktligt förslag till planerings- system till den 1 juli 2002. 
 En övergångsprocedur behövs för den planeringsperiod som berörs av förändringen. Det bör ankomma på organisations- 
 360 
  
 SOU 2001:41 
  
 Genomförandefrågor 
  
 kommittén att ta fram ett förslag till hur övergången skall ske. I viss utsträckning måste arbetet bygga på underlag som utarbetas av ÖCB. 
  
 15.7 
  
 Reformerad lagstiftning inom vissa områden 
  
 Utredningen har i kapitel 12 redovisat vissa bedömningar vad gäller behovet av författningsändringar. De mest brådskande av dessa åtgärder är de författningsändringar som är en förutsättning för att den nya myndighetsorganisationen inom krishanterings- området skall kunna etableras. Det är också angeläget att snabbt genomföra de förslag som gäller kommunerna. 
 Lagstiftningsarbetet bör samordnas med de förslag som kan bli resultatet av de sektorvisa genomgångar som för närvarande ge- nomförs inom Regeringskansliet. 
  
 15.8 
  
 Överläggningar med kommunerna om uppgifter och ersättning i det nya krishanteringssystemet 
  
 Kommunerna föreslås få vidgade uppgifter i det krishanterings- system som utredningen har föreslagit. Nuvarande ersättnings- system avser kommunernas verksamhet inom det civila försvaret. Ett nytt ersättningssystem som beaktar de nya förutsättningarna behöver tas fram. Utformningen av detta system och storleken på ersättningen måste klaras ut i överläggningar mellan staten och kommunerna. I dessa överläggningar bör även innebörden av kommunernas nya uppgifter preciseras. Regeringen bör utse en förhandlingsman som ges till uppgift att ta upp överläggningar med Svenska kommunförbundet. Detta arbete bör påbörjas så snart som grundförutsättningarna har klarlagts. 
  
 15.9 
  
 Sammanfattning och förslag 
  
 Utredningen har i betänkandet redovisat huvuddragen i ett nytt krishanteringssystem. Betänkandet kan – vad gäller detaljerings- graden – jämföras med den utredning som Försvarets rationali- seringsinstitut redovisade år 1984. Denna utredning bildade grund för det ledningssystem för det civila försvaret som ännu tillämpas i sina huvuddrag. 
 361 
  
 Genomförandefrågor 
  
 SOU 2001:41 
  
 Som framgått av redovisningen i detta kapitel återstår visst arbete innan det nya krishanteringssystemet kan etableras. Enligt utredningens uppfattning bör man i det fortsatta arbetet prioritera de organisatoriska och författningsmässiga åtgärder som krävs för att sätta upp den nya myndighetsorganisationen på central nivå och de författningsändringar som krävs för att länsstyrelserna och kommunerna skall kunna ta på sig de nya uppgifter som utred- ningen har föreslagit. 
 Genomförandearbetet omfattar insatser inom bl.a. följande områden: 
  
 1. 
  
 Organisering av det nationella krishanteringsorganet och planeringsmyndigheten. 
  
 2. 
  
 Organisering av vissa  
  
 IT-säkerhetsorgan. 
  
 3. 
  
 Organisering av en ny tillsynsorganisation inom elområdet. 
  
 4. 
  
 Organisering av övriga delar av myndighetsstrukturen inom krishanteringsområdet. 
  
 5. 
  
 Etablering av ett nytt planeringssystem för krishanterings- arbetet. 
  
 6. 
  
 Reformerad lagstiftning inom vissa områden. 
  
 7. 
  
 Överläggningar med Svenska Kommunförbundet om uppgifter och ersättning för kommunerna i det nya krishanterings- systemet. 
  
 362 
 Särskilt yttrande av sakkunnige Key Hedström 
 Jag delar utredningens uppfattning om behovet av utveckling och reformer inom sådana områden som systemet för ledning och sam- ordning inom det civila försvaret samt  
 IT-säkerheten 
  och säkerhe- ten på elområdet. 
 Tyvärr, har utredningens förslag på dessa områden kompletterats med en grandios överbyggnad i form av ett nytt krishanteringssystem, som lånar sina drag från de total- försvarsstrukturer som nu är mogna för avveckling eller redan har avvecklats. Utredningen föreslår således att ett flertal nya institutioner och begrepp introduceras i det fredsorganiserade samhället, med omfattande praktiska, organisatoriska, legala och ekonomiska konsekvenser, såväl för verksamheten inom staten, landstingen och kommunerna, som för enskilda verksamhets- utövare. Detta omfattande grepp, i kombination med den genomgående bristen på konkretion och precision i beskrivningen av såväl problem som lösningar, inger allvarliga betänkligheter. Det kan noteras, att det inte ens varit möjligt att närmare avgränsa vilka frågor och åtgärder som faller inom ramen för krishanterings- systemet. 
 Utredningens grundsyn reser frågan om huruvida arbetet inom det statliga politikområdet Skydd mot olyckor och inom den kommunala räddningstjänsten skall anslutas till, eller till och med underordnas, ett centralt uppritat, övergripande koncept för kris- hantering. Detta skulle i så fall innebära en helomvändning i fråga om den utveckling, bort från sådana koncept, som pågått under avsevärd tid inom dessa områden. Denna utveckling hör ihop med en insikt om att förmågan att förebygga och att ingripa mot olika nödlägen, allvarliga såväl som mindre allvarliga, bygger på erfaren- heter från faktiskt inträffade händelser och på den förmåga till samverkan mellan berörda organ som redan finns eller håller på att utvecklas i olika delar av landet. 
 363 
  
 Särskilt yttrande 
  
 SOU 2001:41 
  
 Det nu framlagda betänkandet kräver således att mycket viktiga principiella ställningstaganden görs. Dessutom återstår mycket arbete med att precisera förslagen och deras konsekvenser i form av nödvändig författningsreglering m.m. En av de frågor som enligt min uppfattning bör ägnas särskild uppmärksamhet i fortsättningen är hur kommunernas skyldigheter i de här berörda avseendena bör regleras. Det är därvid väsentligt att beakta de förslag som kan komma att lämnas av den särskilde utredaren för översynen av räddningstjänstlagstiftningen. För att tillgodose behoven av effektivare samordning på nationell nivå bör alternativ i form av förstärkning av olika funktioner inom Regeringskansliet prövas. 
 Slutligen vill jag framhålla följande med anledning av utredning- ens resonemang om organisatoriska konsekvenser och om förhållandet mellan den nya planeringsmyndigheten och Rädd- ningsverket. Resonemangen är inte bara oklara utan förefaller också bygga på okunskap om sambandet mellan förebyggande, konsekvensbegränsande och skadeavhjälpande åtgärder med avseende på olyckor. Räddningsverkets roll har utvecklats av statsmakterna med betoning av detta samband. Jag anser att det är synnerligen viktigt att samhällets skydd mot olyckor fortsätter att utvecklas i huvudsak inom ramen för etablerade fredstida strukturer och inte såsom en del av ett övergripande system för civilt försvar och vissa odefinierade svåra påfrestningar på samhället i fred. 
 364 
  
 SOU 2001:41 
  
 Särskilt yttrande 
  
 Särskilt yttrande av sakkunnige 
 Campbell 
 Sårbarhets- och säkerhetsutredningen har omspänt ett stort och centralt område för trygghet och säkerhet i samhället. Den har be- handlat såväl principfrågor som förslag till förändrad lagstiftning. Det har skett med tidspress och med krav på förankring hos olika berörda aktörer. Utredningen tar som utgångspunkt det omfat- tande utredningsmaterial som utarbetats under  
 1990-talet 
  liksom det arbete som bedrivits parallellt för att lägga grunden för ett reformerat försvar. Enligt min mening ger detta goda förutsätt- ningar för att kunna lägga fram relativt långtgående förslag inom området både vad gäller principer för hantering som struktur och ansvarsfördelning. 
 De förslag utredning lägger fram är enligt min uppfattning väl underbyggda och avvägda. Förslagen borde dock, mot bakgrund av tillgängligt material vara mer precisa och långtgående. Det gäller inte minst lagstiftningsavsnittet avseende bl.a. kommunal lednings- organisation vid kriser. 
 Utredningen tar på ett förtjänstfullt sätt upp behoven av ett bredare synsätt vad gäller sårbarhet och säkerhet. Det paras bara delvis med förslag om kompetensförstärkning hos dem som verkar inom sektorn. Detsamma gäller behovet av en utbildning för dem som söker sig till sektorn och som tillfredställer behoven i kom- muner, stat och näringsliv. Det allmänna utbildningssystemet till- godoser i dagens läge inte dessa behov. 
 I utredningen förs ett resonemang om att skilja ut Räddnings- verket skolor och ge dem en ny huvudman. Det skapar förutsätt- ningar för att med dessa som bas skapa nya utbildningar som till- godoser det bredare perspektivet. Det bör också enligt min upp- fattning ge en plattform för att anordna vidareutbildning av dem som verkar inom sektorn för att möta de framtida behoven. I sammanhanget är det viktigt att peka på att de framtida behoven avser såväl offentlig sektor som det privata näringslivet. 
 365 
  
 Särskilt yttrande 
  
 SOU 2001:41 
  
 Enligt min uppfattning bör alla berörda parter inklusive närings- livet ingå i diskussionen om det framtida huvudmannaskapet lik- som i utformningen av de utbildningar som skall ges vid skolorna. Förslaget att ge skolorna ett nytt huvudmannaskap har också för- delen att det skapar en breddad trovärdighet. 
 Dessutom ger förslaget en tydligare rollfördelning mellan utbilda- ren och tillsynsmyndigheten för densamma. Ett alternativ till för- slaget om bolagisering av skolorna med delägande från berörda parter kan vara att inlemma dem i det allmänna skolsystemet. 
 366 
  
 SOU 2001:41 
  
 Särskilt yttrande 
  
 Särskilt yttrande av sakkunnige 
 Owens 
 Jag står helt bakom utredarens förslag till ett nationellt krishanter- ingssystem baserat på områdesansvaret hos kommuner, länsstyrelser och regeringen. Detta förslag tydliggör samtidigt det politiska ansvaret för en helhetssyn på krishantering, något som en sektorsmyndighet eller sektorsorgan aldrig kan eller bör ta på sig. Förslaget innebär därmed en modernisering av synen på svensk krishantering, åtminstone upp till en nivå som redan finns i flertalet jämförbara  
 EU-länder. 
  För att ytterligare understyrka grundprincipen med områdesansvar borde, enligt min mening, sektorsmyndigheterna åläggas ett absolut samverkansansvar med områdesansvariga organ, således inte bara ansvar att samverka med vissa utpekade sektorsmyndigheter. 
 Jag delar utredarens uppfattning att säkerhet och beredskap måste byggas underifrån och att kommunerna har en nyckelroll i sammanhanget. Jag stödjer förslagen att lösa upp gränserna mellan fredsuppgifter och uppgifter vid höjd beredskap samt att tillgäng- liga medel skall kunna användas friare, dvs. inte bara för kompletterande åtgärder inför höjd beredskap. Utredaren har därmed förtjänstfullt visat vägen för ett krishanteringssystem som inte tar sin utgångspunkt i totalförsvaret, men som väl kan anpassas till att lösa även dessa uppgifter. 
 Jag anser dock att stödet till kommunerna är styvmoderligt behandlat av utredaren, särskilt frågan om länsstyrelsernas delvis nya samordnande roll gentemot kommunerna. Länsstyrelsernas mandat, dvs. ansvar, befogenheter och skyldigheter borde ha preci- serats, särskilt frågan om befogenheter i skadeförebyggande situa- tioner när räddningstjänstlagen inte kan tillämpas. Färska exempel visar att länsstyrelserna upplever sig ha oklara mandat och otillräckliga resurser för att i god tid förebygga skador t.ex. vid höga flöden. Det är inte rimligt att svensk krishantering fortfa- rande ska bygga på att vi ska tvingas vänta så länge att det blir fara för liv, egendom och miljö. 
 Länsstyrelserna har i utgångsläget mycket knappa resurser och har därmed även låg uthållighet i krissituationer. Enligt min mening är det nödvändigt att väsentligt mer resurser omfördelas till länsstyrelsernas disposition. I detta sammanhang är de föreslagna tjugotalet tjänster bara en grundplåt. 
 367 
  
 Särskilt yttrande 
  
 SOU 2001:41 
  
 Slutligen känns det märkligt för mig att utredaren, i en sektor som årligen omsätter 2.000 miljoner kronor, ska behöva känna sig manad att i detta skede av reformarbetet föreslå en personalram för den nybildade planeringsmyndigheten. Detta ser jag som fjärran från modern mål- och resultatstyrning. Det borde rimligen an- komma på den föreslagna organisationskommittén att först kon- kretisera verksamhetens inriktning och omfattning. Därefter, när fördelningen av uppgifter mellan central, regional och lokal nivå har gjorts, borde det finnas underlag för ställningstagande till be- hovet av gemensamma stödresurser. 
 368 
  
 SOU 2001:41 
  
 Särskilt yttrande 
  
 Särskilt yttrande av sakkunniga 
  
 Meyer 
  Eksborg 
 Utredningens förslag innebär stora och i vissa fall principiella förändringar bl.a. vad gäller hur samhällets insatser skall samordnas och ledas vid kriser av olika slag och svårhetsgrad. Enligt min mening förs dock resonemangen som ligger till grund för förslagen genomgående på en mycket övergripande nivå. Även förslagen brister i stor utsträckning i konkretion och precision. Detta gör det svårt att värdera såväl effekterna av de föreslagna förändringarna som behovet av t.ex. författningsändringar. 
 Vad beträffar behovet av författningsändringar har utredningen inte haft tid att arbeta fram konkreta författningsförslag utan valt att mer skissartat ange hur lagstiftningen skulle kunna ändras på vissa områden. De lagstiftningsmässiga konsekvenserna av utredningens förslag har inte blivit ordentligt penetrerade. Dels kan det finnas behov av författningsändringar även på andra områden än de av utredningen angivna. Dels bygger de av utredningen skissade författningsändringarna inte på någon reell analys av hur de lagda materiella förslagen bäst kan implementeras genom lagstiftning. 
 När det gäller tillsynsfrågorna anser jag att utredningsmaterialet är alltför magert för att över huvud taget kunna ligga till grund för några förslag. Tillsynsproblematiken är synnerligen komplex och utredningen har inte gjort några egentliga överväganden. Dessutom utreds dessa frågor i annan ordning. Enligt min mening borde utredningen därför ha avstått från förslag i denna del. 
 Utredningen slår fast vissa principer för militär medverkan i civil verksamhet. Även denna fråga utreds i annan ordning och det kan inte uteslutas att den utredningen kan komma fram till andra ställningstaganden. 
 369