|
Socialutskottets betänkande 2024/25:SoU10
|
Riksrevisionens rapport om statens arbete med informationssäkerhet i vård och omsorg
Sammanfattning
Utskottet föreslår att riksdagen lägger skrivelsen till handlingarna.
I skrivelsen redogör regeringen för sin bedömning av de iakttagelser som Riksrevisionen har gjort och de rekommendationer som den riktar till regeringen i rapporten Informationssäkerhet i vård och omsorg – statens stöd och tillsyn.
Behandlade förslag
Skrivelse 2024/25:23 Riksrevisionens rapport om statens arbete med informationssäkerhet i vård och omsorg.
Utskottets förslag till riksdagsbeslut
Statens arbete med informationssäkerhet i vård och omsorg
Bilaga
Förteckning över behandlade förslag
Utskottets förslag till riksdagsbeslut
|
Statens arbete med informationssäkerhet i vård och omsorg |
Riksdagen lägger skrivelse 2024/25:23 till handlingarna.
Stockholm den 21 januari 2025
På socialutskottets vägnar
Christian Carlsson
Följande ledamöter har deltagit i beslutet: Christian Carlsson (KD), Fredrik Lundh Sammeli (S), Carina Ståhl Herrstedt (SD), Johan Hultberg (M), Carita Boulwén (SD), Mikael Dahlqvist (S), Jesper Skalberg Karlsson (M), Anna Vikström (S), Leonid Yurkovskiy (SD), Gustaf Lantz (S), Malin Höglund (M), Karin Rågsjö (V), Christofer Bergenblock (C), Mona Olin (SD), Ulrika Westerlund (MP), Lina Nordquist (L) och Karin Sundin (S).
Den 18 april 2024 överlämnade riksdagen Riksrevisionens rapport Informationssäkerhet i vård och omsorg – statens stöd och tillsyn (RiR 2024:6) till regeringen. Den 15 oktober 2024 återkom regeringen till riksdagen med skrivelse 2024/25:23 Riksrevisionens rapport om statens arbete med informationssäkerhet i vård och omsorg.
I betänkandet behandlar utskottet regeringens skrivelse.
Vid utskottets sammanträde den 16 maj 2024 informerade företrädare från Riksrevisionen om Riksrevisionens rapport.
Utskottets förslag i korthet
Riksdagen lägger skrivelsen till handlingarna.
Skrivelsen
Riksrevisionens iakttagelser
Syftet med Riksrevisionens granskning har varit att granska om statens arbete för att stärka skyddet av personuppgifter som hanteras digitalt är effektivt. Granskningen har utgått från följande två delfrågor:
Riksrevisionens övergripande slutsats är att statens arbete med att stärka skyddet för personuppgifter som hanteras digitalt inom vården och omsorgen inte är effektivt. Riksrevisionen konstaterar att detta beror dels på att stödet inte är tillräckligt anpassat efter behoven, dels på att tillsynen är begränsad.
En annan av Riksrevisionens iakttagelser är att lagstiftningen inte ger omsorgsgivare samma skyldigheter att skydda personuppgifter som de vårdgivare som omfattas av lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster, benämnd NIS-lagen, trots att de ofta hanterar lika känsliga uppgifter.
En ytterligare iakttagelse av Riksrevisionen är att Integritetsskyddsmyndighetens (Imy) och Inspektionen för vård och omsorgs tillsyn är begränsad samt att det är oklart om den riktas mot verksamheter där den gör störst nytta. Vidare ger inte tillsynen tillräckligt med rättslig vägledning om vad kraven på informationssäkerhet innebär i praktiken. Riksrevisionen konstaterar även att det är oklart vilka effekter tillsynen har haft.
Slutligen bedömer Riksrevisionen att regeringen inte har sett till att styrningen är sammanhållen. Riksrevisionen konstaterar att regeringen inte tydligt har fastställt en ansvars- och uppgiftsfördelning mellan Imy, Myndigheten för samhällsskydd och beredskap och Socialstyrelsen när det gäller att utforma stöd som motsvarar vårdgivares och omsorgsgivares behov. Riksrevisionen konstaterar också att regeringens åtgärder inte varit tillräckliga för att stärka vårdens och omsorgens informationssäkerhetsarbete, även om visst arbete gjorts. Vidare konstaterar Riksrevisionen att regeringen inte har verkat tillräckligt för att omsorgsgivare ska omfattas av samma krav på säkerhetsåtgärder och systematiskt säkerhetsarbete som vårdgivare.
Riksrevisionen lämnar följande rekommendationer till regeringen:
• Förtydliga Socialstyrelsens ansvar för att ta fram verksamhetsanpassat stöd till vårdens och omsorgens informationssäkerhetsarbete. Stödet bör utformas utifrån vård- och omsorgsgivarens behov och i samråd med relevanta myndigheter. Stödet kan bl.a. innebära att
– identifiera sektorsspecifika risker och sårbarheter för informationssäkerhet
– ge exempel på lämpliga organisatoriska och tekniska säkerhetsåtgärder för informationssäkerhet
– ge stöd och vägledning i hur bestämmelserna för skydd av personuppgifter bör tolkas i generella fall.
• Utred hur omsorgsgivare fullt ut kan omfattas av motsvarande bestämmelser för skydd av personuppgifter som vårdgivare.
• Säkerställ att omsorgsgivare och mindre vårdgivare som inte omfattas av NIS-lagen omfattas av krav på att bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete.
Regeringens bedömningar och åtgärder
Regeringen välkomnar Riksrevisionens granskning och anser att rapporten utgör ett värdefullt underlag för regeringens arbete med att stärka informations- och cybersäkerhetsarbetet. Regeringen instämmer huvudsakligen i Riksrevisionens övergripande analys och slutsatser. I skrivelsen anges att regeringen har vidtagit och vidtar flera åtgärder i syfte att stärka informations- och cybersäkerhetsarbetet. Regeringen bedömer sammantaget att Riksrevisionens iakttagelser och rekommendationer tillgodoses av dessa åtgärder.
Regeringen anser att det är viktigt med en tydlig ansvars- och uppgiftsfördelning för att de statliga förvaltningsmyndigheterna ska kunna fullgöra sina uppdrag på ett så effektivt sätt som möjligt. Det är även centralt att myndigheterna samverkar med varandra för att kunna fullgöra sina uppdrag. I likhet med Riksrevisionen anser regeringen att informations- och cybersäkerhetsarbetet kan bli mer samordnat, vilket bl.a. arbetet med en ny nationell informations- och cybersäkerhetsstrategi med tillhörande handlingsplan syftar till.
När det gäller rekommendationen att förtydliga Socialstyrelsens ansvar för att ta fram verksamhetsanpassat stöd anför regeringen att Socialstyrelsen har ett bemyndigande att meddela föreskrifter som är av betydelse för de personuppgiftsansvarigas säkerhetsåtgärder vid behandling av personuppgifter. Därmed, och då även andra myndigheter enligt regeringen har i uppgift att ta fram sådant stöd som Riksrevisionen efterfrågar, bedömer regeringen att det inte är aktuellt med något ytterligare förtydligande av Socialstyrelsens ansvar i dagsläget.
När det sedan gäller rekommendationen att utreda hur omsorgsgivare fullt ut kan omfattas av motsvarande bestämmelser för skydd av personuppgifter som vårdgivare konstaterar regeringen att det finns både likheter och skillnader i regleringen av säkerhetsåtgärder inom hälso- och sjukvården och socialtjänsten. Som en följd av ökad användning av digital teknik inom äldreomsorgen infördes den 1 mars 2024 tydligare regler om säkerhetskrav för användning av sådan teknik i lagen (2001:454) om behandling av personuppgifter inom socialtjänsten (se prop. 2022/23:131 s. 38–48, bet. 2023/24:SoU3, rskr. 2023/24:46). Därutöver infördes bestämmelser om att de personuppgiftsansvariga inom socialtjänsten ska vidta säkerhetsåtgärder i form av behörighetstilldelning och åtkomstkontroll. Enligt vad som anges i skrivelsen riktar sig dessa bestämmelser till all socialtjänst och är inte begränsade till vissa klientgrupper eller vissa typer av insatser. Regeringen anser därför att kraven på omsorgsgivare i huvudsak motsvarar de som gäller för vårdgivare. Mot bakgrund av bl.a. detta anser regeringen att rekommendationen i nuläget inte motiverar några ytterligare åtgärder.
När det slutligen gäller rekommendationen om att säkerställa att omsorgsgivare och mindre vårdgivare som inte omfattas av NIS-lagen omfattas av krav på att bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete anför regeringen att förslagen om införlivandet av NIS2 direktivet[1] i nationell rätt i delbetänkandet Nya regler om cybersäkerhet – där utredningen har föreslagit att kommuner och regioner ska omfattas av den nya cybersäkerhetslagen – bereds inom Regeringskansliet. Bland annat därför anser regeringen att rekommendationen i nuläget inte motiverar några ytterligare åtgärder.
Utskottets ställningstagande
Det är viktigt att statens arbete med informationssäkerhet i vård och omsorg är effektivt. Utskottet välkomnar därför Riksrevisionens rapport och noterar att det finns ett pågående arbete på området. Utskottet delar regeringens bedömningar att det inte behövs några ytterligare åtgärder.
Utskottet föreslår att riksdagen lägger skrivelsen till handlingarna.
Bilaga
Förteckning över behandlade förslag
Regeringens skrivelse 2024/25:23 Riksrevisionens rapport om statens arbete med informationssäkerhet i vård och omsorg.
[1] Europaparlamentets och rådets direktiv (EU) 2022/2555 av den 14 december 2022 om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen, om ändring av förordning (EU) nr 910/2014 och direktiv (EU) 2018/1972 och om upphävande av direktiv (EU) 2016/1148 (NIS 2-direktivet).