0H9B363202163sousouStatens offentliga utredningar 2021:63Statens offentliga utredningarStatens offentliga utredningar6302021-07-02 00:00:002021-07-02 16:19:552021-07-02 00:00:00Sveriges säkerhet - behov av starkare skydd för nätverks- och informationssystemhtml-echttps://data.riksdagen.se/dokument/H9B363/texthttps://data.riksdagen.se/dokument/H9B363https://data.riksdagen.se/dokumentstatus/H9B363
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01//EN" "http://www.w3.org/TR/html4/strict.dtd">
<HTML>
<HEAD>
<META http-equiv="Content-Type" content="text/html; charset=UTF-8">
<META http-equiv="X-UA-Compatible" content="IE=8">
<TITLE>Sveriges säkerhet - behov av starkare skydd för nätverks- och informationssystem</TITLE>
<META name="generator" content="BCL easyConverter SDK 5.0.85">
<STYLE type="text/css">
body {margin-top: 0px;margin-left: 0px;}
#page_1 {position:relative; overflow: hidden;margin: 0px 0px 0px 0px;padding: 0px;border: none;width: 624px;height: 915px;}
#page_1 #id_1 {border:none;margin: 138px 0px 0px 75px;padding: 0px;border:none;width: 549px;overflow: hidden;}
#page_1 #id_2 {border:none;margin: 575px 0px 0px 76px;padding: 0px;border:none;width: 471px;overflow: hidden;}
#page_1 #p1dimg1 {position:absolute;top:0px;left:0px;z-index:-1;width:624px;height:915px;}
#page_1 #p1dimg1 #p1img1 {width:624px;height:915px;}
#page_2 {position:relative; overflow: hidden;margin: 165px 0px 53px 76px;padding: 0px;border: none;width: 548px;}
#page_2 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_2 #id_2 {border:none;margin: 67px 0px 0px 379px;padding: 0px;border:none;width: 169px;overflow: hidden;}
#page_2 #p2dimg1 {position:absolute;top:611px;left:358px;z-index:-1;width:115px;height:63px;}
#page_2 #p2dimg1 #p2img1 {width:115px;height:63px;}
#page_3 {position:relative; overflow: hidden;margin: 620px 0px 106px 132px;padding: 0px;border: none;width: 492px;}
#page_4 {position:relative; overflow: hidden;margin: 75px 0px 121px 76px;padding: 0px;border: none;width: 548px;}
#page_5 {position:relative; overflow: hidden;margin: 92px 0px 301px 132px;padding: 0px;border: none;width: 492px;}
#page_6 {position:relative; overflow: hidden;margin: 75px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_7 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_7 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_7 #id_2 {border:none;margin: 82px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_8 {position:relative; overflow: hidden;margin: 44px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_8 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_8 #id_2 {border:none;margin: 63px 0px 0px 409px;padding: 0px;border:none;width: 139px;overflow: hidden;}
#page_9 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_9 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_9 #id_2 {border:none;margin: 38px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_10 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_10 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_10 #id_2 {border:none;margin: 58px 0px 0px 409px;padding: 0px;border:none;width: 139px;overflow: hidden;}
#page_11 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_11 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_11 #id_2 {border:none;margin: 57px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_12 {position:relative; overflow: hidden;margin: 44px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_12 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_12 #id_2 {border:none;margin: 41px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_13 {position:relative; overflow: hidden;margin: 44px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_13 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 482px;overflow: hidden;}
#page_13 #id_2 {border:none;margin: 62px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_14 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_14 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_14 #id_2 {border:none;margin: 65px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_15 {position:relative; overflow: hidden;margin: 44px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_15 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 482px;overflow: hidden;}
#page_15 #id_2 {border:none;margin: 59px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_16 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_16 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_16 #id_2 {border:none;margin: 322px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_17 {position:relative; overflow: hidden;margin: 915px 0px 0px 0px;padding: 0px;border: none;width: 0px;height: 0px;}
#page_18 {position:relative; overflow: hidden;margin: 75px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_19 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_19 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_19 #id_2 {border:none;margin: 142px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_20 {position:relative; overflow: hidden;margin: 75px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_21 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_21 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_21 #id_2 {border:none;margin: 59px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_22 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_22 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_22 #id_2 {border:none;margin: 43px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_23 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_23 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_23 #id_2 {border:none;margin: 96px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_24 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_24 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_24 #id_2 {border:none;margin: 46px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_25 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_25 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_25 #id_2 {border:none;margin: 43px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_26 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_26 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_26 #id_2 {border:none;margin: 40px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_27 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_27 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_27 #id_2 {border:none;margin: 39px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_28 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_28 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_28 #id_2 {border:none;margin: 43px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_29 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_29 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_29 #id_2 {border:none;margin: 78px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_30 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_30 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_30 #id_2 {border:none;margin: 36px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_31 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_31 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_31 #id_2 {border:none;margin: 32px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_31 #p31dimg1 {position:absolute;top:694px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_31 #p31dimg1 #p31img1 {width:416px;height:1px;}
#page_32 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_32 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_32 #id_2 {border:none;margin: 114px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_33 {position:relative; overflow: hidden;margin: 915px 0px 0px 0px;padding: 0px;border: none;width: 0px;height: 0px;}
#page_34 {position:relative; overflow: hidden;margin: 75px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_35 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_35 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_35 #id_2 {border:none;margin: 41px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_36 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_36 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_36 #id_2 {border:none;margin: 43px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_37 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_37 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_37 #id_2 {border:none;margin: 60px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_38 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_38 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_38 #id_2 {border:none;margin: 43px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_39 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_39 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_39 #id_2 {border:none;margin: 47px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_40 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_40 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_40 #id_2 {border:none;margin: 40px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_41 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_41 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_41 #id_2 {border:none;margin: 39px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_42 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_42 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_42 #id_2 {border:none;margin: 150px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_43 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_43 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_43 #id_2 {border:none;margin: 40px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_44 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_44 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_44 #id_2 {border:none;margin: 37px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_45 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_45 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_45 #id_2 {border:none;margin: 32px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_45 #p45dimg1 {position:absolute;top:694px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_45 #p45dimg1 #p45img1 {width:416px;height:1px;}
#page_46 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_46 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_46 #id_2 {border:none;margin: 36px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_47 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_47 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_47 #id_2 {border:none;margin: 384px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_48 {position:relative; overflow: hidden;margin: 75px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_49 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_49 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_49 #id_2 {border:none;margin: 44px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_50 {position:relative; overflow: hidden;margin: 46px 0px 66px 0px;padding: 0px;border: none;width: 624px;}
#page_50 #id_1 {border:none;margin: 0px 0px 0px 76px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_50 #id_2 {border:none;margin: 32px 0px 0px 0px;padding: 0px;border:none;width: 491px;overflow: hidden;}
#page_50 #id_2 #id_2_1 {float:left;border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 288px;overflow: hidden;}
#page_50 #id_2 #id_2_2 {float:left;border:none;margin: 0px 0px 0px 4px;padding: 0px;border:none;width: 199px;overflow: hidden;}
#page_50 #id_3 {border:none;margin: 16px 0px 0px 76px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_50 #id_4 {border:none;margin: 86px 0px 0px 479px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_50 #tx1 {position:absolute;top:597px;left:288px;width:195px;height:126px;}
#page_51 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_51 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_51 #id_2 {border:none;margin: 201px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_51 #p51dimg1 {position:absolute;top:490px;left:66px;z-index:-1;width:70px;height:1px;font-size: 1px;line-height:nHeight;}
#page_51 #p51dimg1 #p51img1 {width:70px;height:1px;}
#page_52 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_52 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_52 #id_2 {border:none;margin: 281px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_52 #p52dimg1 {position:absolute;top:483px;left:0px;z-index:-1;width:69px;height:1px;font-size: 1px;line-height:nHeight;}
#page_52 #p52dimg1 #p52img1 {width:69px;height:1px;}
#page_53 {position:relative; overflow: hidden;margin: 915px 0px 0px 0px;padding: 0px;border: none;width: 0px;height: 0px;}
#page_54 {position:relative; overflow: hidden;margin: 75px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_55 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_55 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_55 #id_2 {border:none;margin: 26px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_55 #p55dimg1 {position:absolute;top:718px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_55 #p55dimg1 #p55img1 {width:416px;height:1px;}
#page_56 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_56 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_56 #id_2 {border:none;margin: 36px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_57 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_57 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_57 #id_2 {border:none;margin: 47px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_58 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_58 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_58 #id_2 {border:none;margin: 30px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_58 #p58dimg1 {position:absolute;top:742px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_58 #p58dimg1 #p58img1 {width:415px;height:1px;}
#page_59 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_59 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_59 #id_2 {border:none;margin: 70px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_59 #p59dimg1 {position:absolute;top:204px;left:66px;z-index:-1;width:416px;height:283px;}
#page_59 #p59dimg1 #p59img1 {width:416px;height:283px;}
#page_60 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_60 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_60 #id_2 {border:none;margin: 30px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_60 #p60dimg1 {position:absolute;top:706px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_60 #p60dimg1 #p60img1 {width:415px;height:1px;}
#page_61 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_61 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_61 #id_2 {border:none;margin: 87px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_62 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_62 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_62 #id_2 {border:none;margin: 66px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_63 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_63 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_63 #id_2 {border:none;margin: 83px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_64 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_64 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_64 #id_2 {border:none;margin: 38px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_65 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_65 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_65 #id_2 {border:none;margin: 65px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_66 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_66 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_66 #id_2 {border:none;margin: 348px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_67 {position:relative; overflow: hidden;margin: 915px 0px 0px 0px;padding: 0px;border: none;width: 0px;height: 0px;}
#page_68 {position:relative; overflow: hidden;margin: 75px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_69 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_69 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_69 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_69 #p69dimg1 {position:absolute;top:694px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_69 #p69dimg1 #p69img1 {width:416px;height:1px;}
#page_70 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_70 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_70 #id_2 {border:none;margin: 58px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_71 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_71 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_71 #id_2 {border:none;margin: 26px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_71 #p71dimg1 {position:absolute;top:586px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_71 #p71dimg1 #p71img1 {width:416px;height:1px;}
#page_72 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_72 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_72 #id_2 {border:none;margin: 32px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_72 #p72dimg1 {position:absolute;top:670px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_72 #p72dimg1 #p72img1 {width:415px;height:1px;}
#page_73 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_73 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_73 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_73 #p73dimg1 {position:absolute;top:730px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_73 #p73dimg1 #p73img1 {width:416px;height:1px;}
#page_74 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_74 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_74 #id_2 {border:none;margin: 50px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_75 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_75 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_75 #id_2 {border:none;margin: 168px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_76 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_76 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_76 #id_2 {border:none;margin: 32px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_76 #p76dimg1 {position:absolute;top:730px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_76 #p76dimg1 #p76img1 {width:415px;height:1px;}
#page_77 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_77 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_77 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_77 #p77dimg1 {position:absolute;top:718px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_77 #p77dimg1 #p77img1 {width:416px;height:1px;}
#page_78 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_78 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_78 #id_2 {border:none;margin: 28px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_78 #p78dimg1 {position:absolute;top:718px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_78 #p78dimg1 #p78img1 {width:415px;height:1px;}
#page_79 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_79 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_79 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_79 #p79dimg1 {position:absolute;top:718px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_79 #p79dimg1 #p79img1 {width:416px;height:1px;}
#page_80 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_80 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_80 #id_2 {border:none;margin: 30px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_80 #p80dimg1 {position:absolute;top:706px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_80 #p80dimg1 #p80img1 {width:415px;height:1px;}
#page_81 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_81 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_81 #id_2 {border:none;margin: 72px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_82 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_82 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_82 #id_2 {border:none;margin: 32px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_82 #p82dimg1 {position:absolute;top:634px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_82 #p82dimg1 #p82img1 {width:415px;height:1px;}
#page_83 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_83 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_83 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_83 #p83dimg1 {position:absolute;top:658px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_83 #p83dimg1 #p83img1 {width:416px;height:1px;}
#page_84 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_84 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_84 #id_2 {border:none;margin: 45px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_85 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_85 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_85 #id_2 {border:none;margin: 48px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_85 #p85dimg1 {position:absolute;top:223px;left:66px;z-index:-1;width:375px;height:240px;}
#page_85 #p85dimg1 #p85img1 {width:375px;height:240px;}
#page_86 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_86 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_86 #id_2 {border:none;margin: 26px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_86 #p86dimg1 {position:absolute;top:694px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_86 #p86dimg1 #p86img1 {width:415px;height:1px;}
#page_87 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_87 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_87 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_87 #p87dimg1 {position:absolute;top:730px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_87 #p87dimg1 #p87img1 {width:416px;height:1px;}
#page_88 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_88 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_88 #id_2 {border:none;margin: 50px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_89 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_89 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_89 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_89 #p89dimg1 {position:absolute;top:646px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_89 #p89dimg1 #p89img1 {width:416px;height:1px;}
#page_90 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_90 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_90 #id_2 {border:none;margin: 32px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_90 #p90dimg1 {position:absolute;top:730px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_90 #p90dimg1 #p90img1 {width:415px;height:1px;}
#page_91 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_91 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_91 #id_2 {border:none;margin: 351px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_92 {position:relative; overflow: hidden;margin: 75px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_92 #p92dimg1 {position:absolute;top:208px;left:1px;z-index:-1;width:413px;height:211px;}
#page_92 #p92dimg1 #p92img1 {width:413px;height:211px;}
#page_93 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_93 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_93 #id_2 {border:none;margin: 47px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_94 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_94 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_94 #id_2 {border:none;margin: 32px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_94 #p94dimg1 {position:absolute;top:610px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_94 #p94dimg1 #p94img1 {width:415px;height:1px;}
#page_95 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_95 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_95 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_95 #p95dimg1 {position:absolute;top:682px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_95 #p95dimg1 #p95img1 {width:416px;height:1px;}
#page_96 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_96 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_96 #id_2 {border:none;margin: 28px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_96 #p96dimg1 {position:absolute;top:718px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_96 #p96dimg1 #p96img1 {width:415px;height:1px;}
#page_97 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_97 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_97 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_97 #p97dimg1 {position:absolute;top:706px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_97 #p97dimg1 #p97img1 {width:416px;height:1px;}
#page_98 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_98 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_98 #id_2 {border:none;margin: 30px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_98 #p98dimg1 {position:absolute;top:706px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_98 #p98dimg1 #p98img1 {width:415px;height:1px;}
#page_99 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_99 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_99 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_99 #p99dimg1 {position:absolute;top:742px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_99 #p99dimg1 #p99img1 {width:416px;height:1px;}
#page_100 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_100 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_100 #id_2 {border:none;margin: 28px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_100 #p100dimg1 {position:absolute;top:730px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_100 #p100dimg1 #p100img1 {width:415px;height:1px;}
#page_101 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_101 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_101 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_101 #p101dimg1 {position:absolute;top:730px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_101 #p101dimg1 #p101img1 {width:416px;height:1px;}
#page_102 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_102 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_102 #id_2 {border:none;margin: 30px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_102 #p102dimg1 {position:absolute;top:706px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_102 #p102dimg1 #p102img1 {width:415px;height:1px;}
#page_103 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_103 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_103 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_103 #p103dimg1 {position:absolute;top:706px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_103 #p103dimg1 #p103img1 {width:416px;height:1px;}
#page_104 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_104 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_104 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_104 #p104dimg1 {position:absolute;top:718px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_104 #p104dimg1 #p104img1 {width:415px;height:1px;}
#page_105 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_105 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_105 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_105 #p105dimg1 {position:absolute;top:730px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_105 #p105dimg1 #p105img1 {width:416px;height:1px;}
#page_106 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_106 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_106 #id_2 {border:none;margin: 41px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_107 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_107 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_107 #id_2 {border:none;margin: 266px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_108 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_108 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_108 #id_2 {border:none;margin: 30px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_108 #p108dimg1 {position:absolute;top:68px;left:0px;z-index:-1;width:415px;height:650px;}
#page_108 #p108dimg1 #p108img1 {width:415px;height:650px;}
#page_109 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_109 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_109 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_109 #p109dimg1 {position:absolute;top:730px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_109 #p109dimg1 #p109img1 {width:416px;height:1px;}
#page_110 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_110 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_110 #id_2 {border:none;margin: 619px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_111 {position:relative; overflow: hidden;margin: 915px 0px 0px 0px;padding: 0px;border: none;width: 0px;height: 0px;}
#page_112 {position:relative; overflow: hidden;margin: 75px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_112 #p112dimg1 {position:absolute;top:665px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_112 #p112dimg1 #p112img1 {width:415px;height:1px;}
#page_113 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_113 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_113 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_113 #p113dimg1 {position:absolute;top:742px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_113 #p113dimg1 #p113img1 {width:416px;height:1px;}
#page_114 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_114 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_114 #id_2 {border:none;margin: 50px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_115 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_115 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_115 #id_2 {border:none;margin: 41px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_116 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_116 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_116 #id_2 {border:none;margin: 32px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_116 #p116dimg1 {position:absolute;top:670px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_116 #p116dimg1 #p116img1 {width:415px;height:1px;}
#page_117 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_117 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_117 #id_2 {border:none;margin: 31px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_117 #p117dimg1 {position:absolute;top:682px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_117 #p117dimg1 #p117img1 {width:416px;height:1px;}
#page_118 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_118 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_118 #id_2 {border:none;margin: 27px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_118 #p118dimg1 {position:absolute;top:694px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_118 #p118dimg1 #p118img1 {width:415px;height:1px;}
#page_119 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_119 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_119 #id_2 {border:none;margin: 40px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_120 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_120 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_120 #id_2 {border:none;margin: 37px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_121 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_121 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_121 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_121 #p121dimg1 {position:absolute;top:706px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_121 #p121dimg1 #p121img1 {width:416px;height:1px;}
#page_122 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_122 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_122 #id_2 {border:none;margin: 60px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_123 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_123 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_123 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_123 #p123dimg1 {position:absolute;top:730px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_123 #p123dimg1 #p123img1 {width:416px;height:1px;}
#page_124 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_124 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_124 #id_2 {border:none;margin: 40px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_125 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_125 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_125 #id_2 {border:none;margin: 26px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_125 #p125dimg1 {position:absolute;top:586px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_125 #p125dimg1 #p125img1 {width:416px;height:1px;}
#page_126 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_126 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_126 #id_2 {border:none;margin: 655px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_127 {position:relative; overflow: hidden;margin: 915px 0px 0px 0px;padding: 0px;border: none;width: 0px;height: 0px;}
#page_128 {position:relative; overflow: hidden;margin: 75px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_128 #p128dimg1 {position:absolute;top:713px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_128 #p128dimg1 #p128img1 {width:415px;height:1px;}
#page_129 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_129 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_129 #id_2 {border:none;margin: 32px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_129 #p129dimg1 {position:absolute;top:730px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_129 #p129dimg1 #p129img1 {width:416px;height:1px;}
#page_130 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_130 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_130 #id_2 {border:none;margin: 51px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_131 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_131 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_131 #id_2 {border:none;margin: 49px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_132 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_132 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_132 #id_2 {border:none;margin: 77px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_133 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_133 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_133 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_133 #p133dimg1 {position:absolute;top:718px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_133 #p133dimg1 #p133img1 {width:416px;height:1px;}
#page_134 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_134 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_134 #id_2 {border:none;margin: 30px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_134 #p134dimg1 {position:absolute;top:742px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_134 #p134dimg1 #p134img1 {width:415px;height:1px;}
#page_135 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_135 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_135 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_135 #p135dimg1 {position:absolute;top:730px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_135 #p135dimg1 #p135img1 {width:416px;height:1px;}
#page_136 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_136 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_136 #id_2 {border:none;margin: 30px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_136 #p136dimg1 {position:absolute;top:730px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_136 #p136dimg1 #p136img1 {width:415px;height:1px;}
#page_137 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_137 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_137 #id_2 {border:none;margin: 74px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_138 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_138 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_138 #id_2 {border:none;margin: 30px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_138 #p138dimg1 {position:absolute;top:742px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_138 #p138dimg1 #p138img1 {width:415px;height:1px;}
#page_139 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_139 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_139 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_139 #p139dimg1 {position:absolute;top:742px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_139 #p139dimg1 #p139img1 {width:416px;height:1px;}
#page_140 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_140 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_140 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_140 #p140dimg1 {position:absolute;top:718px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_140 #p140dimg1 #p140img1 {width:415px;height:1px;}
#page_141 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_141 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_141 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_141 #p141dimg1 {position:absolute;top:694px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_141 #p141dimg1 #p141img1 {width:416px;height:1px;}
#page_142 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_142 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_142 #id_2 {border:none;margin: 30px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_142 #p142dimg1 {position:absolute;top:742px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_142 #p142dimg1 #p142img1 {width:415px;height:1px;}
#page_143 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_143 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_143 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_143 #p143dimg1 {position:absolute;top:682px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_143 #p143dimg1 #p143img1 {width:416px;height:1px;}
#page_144 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_144 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_144 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_144 #p144dimg1 {position:absolute;top:730px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_144 #p144dimg1 #p144img1 {width:415px;height:1px;}
#page_145 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_145 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_145 #id_2 {border:none;margin: 32px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_145 #p145dimg1 {position:absolute;top:730px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_145 #p145dimg1 #p145img1 {width:416px;height:1px;}
#page_146 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_146 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_146 #id_2 {border:none;margin: 30px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_146 #p146dimg1 {position:absolute;top:730px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_146 #p146dimg1 #p146img1 {width:415px;height:1px;}
#page_147 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_147 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_147 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_147 #p147dimg1 {position:absolute;top:718px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_147 #p147dimg1 #p147img1 {width:416px;height:1px;}
#page_148 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_148 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_148 #id_2 {border:none;margin: 30px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_148 #p148dimg1 {position:absolute;top:742px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_148 #p148dimg1 #p148img1 {width:415px;height:1px;}
#page_149 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_149 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_149 #id_2 {border:none;margin: 691px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_150 {position:relative; overflow: hidden;margin: 75px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_150 #p150dimg1 {position:absolute;top:689px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_150 #p150dimg1 #p150img1 {width:415px;height:1px;}
#page_151 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_151 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_151 #id_2 {border:none;margin: 32px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_151 #p151dimg1 {position:absolute;top:682px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_151 #p151dimg1 #p151img1 {width:416px;height:1px;}
#page_152 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_152 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_152 #id_2 {border:none;margin: 94px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_153 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_153 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_153 #id_2 {border:none;margin: 35px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_154 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_154 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_154 #id_2 {border:none;margin: 30px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_154 #p154dimg1 {position:absolute;top:730px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_154 #p154dimg1 #p154img1 {width:415px;height:1px;}
#page_155 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_155 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_155 #id_2 {border:none;margin: 26px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_155 #p155dimg1 {position:absolute;top:706px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_155 #p155dimg1 #p155img1 {width:416px;height:1px;}
#page_156 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_156 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_156 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_156 #p156dimg1 {position:absolute;top:682px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_156 #p156dimg1 #p156img1 {width:415px;height:1px;}
#page_157 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_157 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_157 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_157 #p157dimg1 {position:absolute;top:694px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_157 #p157dimg1 #p157img1 {width:416px;height:1px;}
#page_158 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_158 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_158 #id_2 {border:none;margin: 32px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_158 #p158dimg1 {position:absolute;top:646px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_158 #p158dimg1 #p158img1 {width:415px;height:1px;}
#page_159 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_159 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_159 #id_2 {border:none;margin: 27px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_159 #p159dimg1 {position:absolute;top:586px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_159 #p159dimg1 #p159img1 {width:416px;height:1px;}
#page_160 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_160 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_160 #id_2 {border:none;margin: 30px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_160 #p160dimg1 {position:absolute;top:718px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_160 #p160dimg1 #p160img1 {width:415px;height:1px;}
#page_161 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_161 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_161 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_161 #p161dimg1 {position:absolute;top:730px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_161 #p161dimg1 #p161img1 {width:416px;height:1px;}
#page_162 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_162 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_162 #id_2 {border:none;margin: 99px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_163 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_163 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_163 #id_2 {border:none;margin: 131px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_164 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_164 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_164 #id_2 {border:none;margin: 32px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_164 #p164dimg1 {position:absolute;top:718px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_164 #p164dimg1 #p164img1 {width:415px;height:1px;}
#page_165 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_165 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_165 #id_2 {border:none;margin: 64px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_166 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_166 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_166 #id_2 {border:none;margin: 61px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_167 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_167 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_167 #id_2 {border:none;margin: 26px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_167 #p167dimg1 {position:absolute;top:718px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_167 #p167dimg1 #p167img1 {width:416px;height:1px;}
#page_168 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_168 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_168 #id_2 {border:none;margin: 26px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_168 #p168dimg1 {position:absolute;top:706px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_168 #p168dimg1 #p168img1 {width:415px;height:1px;}
#page_169 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_169 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_169 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_169 #p169dimg1 {position:absolute;top:730px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_169 #p169dimg1 #p169img1 {width:416px;height:1px;}
#page_170 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_170 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_170 #id_2 {border:none;margin: 59px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_171 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_171 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_171 #id_2 {border:none;margin: 41px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_172 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_172 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_172 #id_2 {border:none;margin: 37px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_173 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_173 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_173 #id_2 {border:none;margin: 147px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_174 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_174 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_174 #id_2 {border:none;margin: 32px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_174 #p174dimg1 {position:absolute;top:730px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_174 #p174dimg1 #p174img1 {width:415px;height:1px;}
#page_175 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_175 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_175 #id_2 {border:none;margin: 165px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_176 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_176 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_176 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_176 #p176dimg1 {position:absolute;top:730px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_176 #p176dimg1 #p176img1 {width:415px;height:1px;}
#page_177 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_177 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_177 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_177 #p177dimg1 {position:absolute;top:718px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_177 #p177dimg1 #p177img1 {width:416px;height:1px;}
#page_178 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_178 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_178 #id_2 {border:none;margin: 30px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_178 #p178dimg1 {position:absolute;top:742px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_178 #p178dimg1 #p178img1 {width:415px;height:1px;}
#page_179 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_179 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_179 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_179 #p179dimg1 {position:absolute;top:730px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_179 #p179dimg1 #p179img1 {width:416px;height:1px;}
#page_180 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_180 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_180 #id_2 {border:none;margin: 114px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_181 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_181 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_181 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_181 #p181dimg1 {position:absolute;top:730px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_181 #p181dimg1 #p181img1 {width:416px;height:1px;}
#page_182 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_182 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_182 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_182 #p182dimg1 {position:absolute;top:658px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_182 #p182dimg1 #p182img1 {width:415px;height:1px;}
#page_183 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_183 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_183 #id_2 {border:none;margin: 40px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_184 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_184 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_184 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_184 #p184dimg1 {position:absolute;top:730px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_184 #p184dimg1 #p184img1 {width:415px;height:1px;}
#page_185 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_185 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_185 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_185 #p185dimg1 {position:absolute;top:598px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_185 #p185dimg1 #p185img1 {width:416px;height:1px;}
#page_186 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_186 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_186 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_186 #p186dimg1 {position:absolute;top:622px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_186 #p186dimg1 #p186img1 {width:415px;height:1px;}
#page_187 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_187 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_187 #id_2 {border:none;margin: 158px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_188 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_188 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_188 #id_2 {border:none;margin: 41px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_189 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_189 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_189 #id_2 {border:none;margin: 31px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_189 #p189dimg1 {position:absolute;top:694px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_189 #p189dimg1 #p189img1 {width:416px;height:1px;}
#page_190 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_190 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_190 #id_2 {border:none;margin: 32px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_190 #p190dimg1 {position:absolute;top:514px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_190 #p190dimg1 #p190img1 {width:415px;height:1px;}
#page_191 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_191 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_191 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_191 #p191dimg1 {position:absolute;top:730px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_191 #p191dimg1 #p191img1 {width:416px;height:1px;}
#page_192 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_192 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_192 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_192 #p192dimg1 {position:absolute;top:682px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_192 #p192dimg1 #p192img1 {width:415px;height:1px;}
#page_193 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_193 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_193 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_193 #p193dimg1 {position:absolute;top:730px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_193 #p193dimg1 #p193img1 {width:416px;height:1px;}
#page_194 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_194 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_194 #id_2 {border:none;margin: 43px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_195 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_195 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_195 #id_2 {border:none;margin: 37px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_196 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_196 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_196 #id_2 {border:none;margin: 68px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_197 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_197 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_197 #id_2 {border:none;margin: 91px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_198 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_198 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_198 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_198 #p198dimg1 {position:absolute;top:730px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_198 #p198dimg1 #p198img1 {width:415px;height:1px;}
#page_199 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_199 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_199 #id_2 {border:none;margin: 112px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_200 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_200 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_200 #id_2 {border:none;margin: 30px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_200 #p200dimg1 {position:absolute;top:706px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_200 #p200dimg1 #p200img1 {width:415px;height:1px;}
#page_201 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_201 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_201 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_201 #p201dimg1 {position:absolute;top:730px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_201 #p201dimg1 #p201img1 {width:416px;height:1px;}
#page_202 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_202 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_202 #id_2 {border:none;margin: 26px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_202 #p202dimg1 {position:absolute;top:718px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_202 #p202dimg1 #p202img1 {width:415px;height:1px;}
#page_203 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_203 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_203 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_203 #p203dimg1 {position:absolute;top:730px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_203 #p203dimg1 #p203img1 {width:416px;height:1px;}
#page_204 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_204 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_204 #id_2 {border:none;margin: 146px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_205 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_205 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_205 #id_2 {border:none;margin: 50px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_206 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_206 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_206 #id_2 {border:none;margin: 30px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_206 #p206dimg1 {position:absolute;top:730px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_206 #p206dimg1 #p206img1 {width:415px;height:1px;}
#page_207 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_207 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_207 #id_2 {border:none;margin: 125px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_208 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_208 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_208 #id_2 {border:none;margin: 30px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_208 #p208dimg1 {position:absolute;top:682px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_208 #p208dimg1 #p208img1 {width:415px;height:1px;}
#page_209 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_209 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_209 #id_2 {border:none;margin: 74px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_210 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_210 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_210 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_210 #p210dimg1 {position:absolute;top:718px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_210 #p210dimg1 #p210img1 {width:415px;height:1px;}
#page_211 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_211 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_211 #id_2 {border:none;margin: 57px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_212 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_212 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_212 #id_2 {border:none;margin: 601px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_213 {position:relative; overflow: hidden;margin: 915px 0px 0px 0px;padding: 0px;border: none;width: 0px;height: 0px;}
#page_214 {position:relative; overflow: hidden;margin: 75px 0px 66px 0px;padding: 0px;border: none;width: 491px;}
#page_214 #p214dimg1 {position:absolute;top:208px;left:77px;z-index:-1;width:413px;height:506px;}
#page_214 #p214dimg1 #p214img1 {width:413px;height:506px;}
#page_215 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_215 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 482px;overflow: hidden;}
#page_215 #id_2 {border:none;margin: 32px 0px 0px 76px;padding: 0px;border:none;width: 402px;overflow: hidden;}
#page_215 #id_3 {border:none;margin: 61px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_215 #p215dimg1 {position:absolute;top:38px;left:68px;z-index:-1;width:413px;height:692px;}
#page_215 #p215dimg1 #p215img1 {width:413px;height:692px;}
#page_216 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_216 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_216 #id_2 {border:none;margin: 73px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_216 #p216dimg1 {position:absolute;top:46px;left:1px;z-index:-1;width:413px;height:280px;}
#page_216 #p216dimg1 #p216img1 {width:413px;height:280px;}
#page_217 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_217 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_217 #id_2 {border:none;margin: 60px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_218 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_218 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_218 #id_2 {border:none;margin: 43px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_219 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_219 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_219 #id_2 {border:none;margin: 38px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_220 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_220 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_220 #id_2 {border:none;margin: 37px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_221 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_221 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_221 #id_2 {border:none;margin: 42px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_222 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_222 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_222 #id_2 {border:none;margin: 59px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_223 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_223 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_223 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_223 #p223dimg1 {position:absolute;top:730px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_223 #p223dimg1 #p223img1 {width:416px;height:1px;}
#page_224 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_224 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_224 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_224 #p224dimg1 {position:absolute;top:730px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_224 #p224dimg1 #p224img1 {width:415px;height:1px;}
#page_225 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_225 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_225 #id_2 {border:none;margin: 32px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_225 #p225dimg1 {position:absolute;top:730px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_225 #p225dimg1 #p225img1 {width:416px;height:1px;}
#page_226 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_226 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_226 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_226 #p226dimg1 {position:absolute;top:646px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_226 #p226dimg1 #p226img1 {width:415px;height:1px;}
#page_227 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_227 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_227 #id_2 {border:none;margin: 29px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_227 #p227dimg1 {position:absolute;top:718px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_227 #p227dimg1 #p227img1 {width:416px;height:1px;}
#page_228 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_228 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_228 #id_2 {border:none;margin: 30px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_228 #p228dimg1 {position:absolute;top:730px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_228 #p228dimg1 #p228img1 {width:415px;height:1px;}
#page_229 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_229 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_229 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_229 #p229dimg1 {position:absolute;top:742px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_229 #p229dimg1 #p229img1 {width:416px;height:1px;}
#page_230 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_230 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_230 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_230 #p230dimg1 {position:absolute;top:694px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_230 #p230dimg1 #p230img1 {width:415px;height:1px;}
#page_231 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_231 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_231 #id_2 {border:none;margin: 42px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_232 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_232 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_232 #id_2 {border:none;margin: 36px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_233 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_233 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_233 #id_2 {border:none;margin: 50px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_234 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_234 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_234 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_234 #p234dimg1 {position:absolute;top:730px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_234 #p234dimg1 #p234img1 {width:415px;height:1px;}
#page_235 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_235 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_235 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_235 #p235dimg1 {position:absolute;top:742px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_235 #p235dimg1 #p235img1 {width:416px;height:1px;}
#page_236 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_236 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_236 #id_2 {border:none;margin: 29px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_236 #p236dimg1 {position:absolute;top:670px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_236 #p236dimg1 #p236img1 {width:415px;height:1px;}
#page_237 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_237 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_237 #id_2 {border:none;margin: 42px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_238 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_238 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_238 #id_2 {border:none;margin: 42px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_239 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_239 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_239 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_239 #p239dimg1 {position:absolute;top:742px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_239 #p239dimg1 #p239img1 {width:416px;height:1px;}
#page_240 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_240 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_240 #id_2 {border:none;margin: 42px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_241 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_241 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_241 #id_2 {border:none;margin: 42px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_242 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_242 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_242 #id_2 {border:none;margin: 39px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_243 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_243 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_243 #id_2 {border:none;margin: 42px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_244 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_244 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_244 #id_2 {border:none;margin: 33px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_245 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_245 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_245 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_245 #p245dimg1 {position:absolute;top:742px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_245 #p245dimg1 #p245img1 {width:416px;height:1px;}
#page_246 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_246 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_246 #id_2 {border:none;margin: 26px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_246 #p246dimg1 {position:absolute;top:718px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_246 #p246dimg1 #p246img1 {width:415px;height:1px;}
#page_247 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_247 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_247 #id_2 {border:none;margin: 41px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_248 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_248 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_248 #id_2 {border:none;margin: 41px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_249 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_249 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_249 #id_2 {border:none;margin: 114px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_250 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_250 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_250 #id_2 {border:none;margin: 67px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_251 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_251 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_251 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_251 #p251dimg1 {position:absolute;top:742px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_251 #p251dimg1 #p251img1 {width:416px;height:1px;}
#page_252 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_252 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_252 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_252 #p252dimg1 {position:absolute;top:730px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_252 #p252dimg1 #p252img1 {width:415px;height:1px;}
#page_253 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_253 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_253 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_253 #p253dimg1 {position:absolute;top:718px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_253 #p253dimg1 #p253img1 {width:416px;height:1px;}
#page_254 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_254 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_254 #id_2 {border:none;margin: 30px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_254 #p254dimg1 {position:absolute;top:742px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_254 #p254dimg1 #p254img1 {width:415px;height:1px;}
#page_255 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_255 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_255 #id_2 {border:none;margin: 41px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_256 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_256 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_256 #id_2 {border:none;margin: 30px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_256 #p256dimg1 {position:absolute;top:706px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_256 #p256dimg1 #p256img1 {width:415px;height:1px;}
#page_257 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_257 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_257 #id_2 {border:none;margin: 59px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_258 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_258 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_258 #id_2 {border:none;margin: 168px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_259 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_259 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_259 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_259 #p259dimg1 {position:absolute;top:742px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_259 #p259dimg1 #p259img1 {width:416px;height:1px;}
#page_260 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_260 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_260 #id_2 {border:none;margin: 95px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_261 {position:relative; overflow: hidden;margin: 915px 0px 0px 0px;padding: 0px;border: none;width: 0px;height: 0px;}
#page_262 {position:relative; overflow: hidden;margin: 75px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_262 #p262dimg1 {position:absolute;top:689px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_262 #p262dimg1 #p262img1 {width:415px;height:1px;}
#page_263 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_263 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_263 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_263 #p263dimg1 {position:absolute;top:742px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_263 #p263dimg1 #p263img1 {width:416px;height:1px;}
#page_264 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_264 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_264 #id_2 {border:none;margin: 30px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_264 #p264dimg1 {position:absolute;top:574px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_264 #p264dimg1 #p264img1 {width:415px;height:1px;}
#page_265 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_265 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_265 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_265 #p265dimg1 {position:absolute;top:718px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_265 #p265dimg1 #p265img1 {width:416px;height:1px;}
#page_266 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_266 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_266 #id_2 {border:none;margin: 32px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_266 #p266dimg1 {position:absolute;top:622px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_266 #p266dimg1 #p266img1 {width:415px;height:1px;}
#page_267 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_267 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_267 #id_2 {border:none;margin: 32px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_267 #p267dimg1 {position:absolute;top:634px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_267 #p267dimg1 #p267img1 {width:416px;height:1px;}
#page_268 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_268 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_268 #id_2 {border:none;margin: 26px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_268 #p268dimg1 {position:absolute;top:694px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_268 #p268dimg1 #p268img1 {width:415px;height:1px;}
#page_269 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_269 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_269 #id_2 {border:none;margin: 29px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_269 #p269dimg1 {position:absolute;top:622px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_269 #p269dimg1 #p269img1 {width:416px;height:1px;}
#page_270 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_270 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_270 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_270 #p270dimg1 {position:absolute;top:622px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_270 #p270dimg1 #p270img1 {width:415px;height:1px;}
#page_271 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_271 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_271 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_271 #p271dimg1 {position:absolute;top:682px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_271 #p271dimg1 #p271img1 {width:416px;height:1px;}
#page_272 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_272 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_272 #id_2 {border:none;margin: 32px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_272 #p272dimg1 {position:absolute;top:670px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_272 #p272dimg1 #p272img1 {width:415px;height:1px;}
#page_273 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_273 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_273 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_273 #p273dimg1 {position:absolute;top:682px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_273 #p273dimg1 #p273img1 {width:416px;height:1px;}
#page_274 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_274 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_274 #id_2 {border:none;margin: 32px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_274 #p274dimg1 {position:absolute;top:670px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_274 #p274dimg1 #p274img1 {width:415px;height:1px;}
#page_275 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_275 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_275 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_275 #p275dimg1 {position:absolute;top:670px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_275 #p275dimg1 #p275img1 {width:416px;height:1px;}
#page_276 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_276 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_276 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_276 #p276dimg1 {position:absolute;top:730px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_276 #p276dimg1 #p276img1 {width:415px;height:1px;}
#page_277 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_277 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_277 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_277 #p277dimg1 {position:absolute;top:718px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_277 #p277dimg1 #p277img1 {width:416px;height:1px;}
#page_278 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_278 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_278 #id_2 {border:none;margin: 26px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_278 #p278dimg1 {position:absolute;top:718px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_278 #p278dimg1 #p278img1 {width:415px;height:1px;}
#page_279 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_279 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_279 #id_2 {border:none;margin: 86px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_280 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_280 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_280 #id_2 {border:none;margin: 50px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_280 #p280dimg1 {position:absolute;top:688px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_280 #p280dimg1 #p280img1 {width:415px;height:1px;}
#page_281 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_281 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_281 #id_2 {border:none;margin: 26px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_281 #p281dimg1 {position:absolute;top:658px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_281 #p281dimg1 #p281img1 {width:416px;height:1px;}
#page_282 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_282 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_282 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_282 #p282dimg1 {position:absolute;top:646px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_282 #p282dimg1 #p282img1 {width:415px;height:1px;}
#page_283 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_283 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_283 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_283 #p283dimg1 {position:absolute;top:694px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_283 #p283dimg1 #p283img1 {width:416px;height:1px;}
#page_284 {position:relative; overflow: hidden;margin: 46px 0px 66px 71px;padding: 0px;border: none;width: 553px;}
#page_284 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 553px;overflow: hidden;}
#page_284 #id_2 {border:none;margin: 28px 0px 0px 402px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_284 #p284dimg1 {position:absolute;top:646px;left:5px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_284 #p284dimg1 #p284img1 {width:415px;height:1px;}
#page_285 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_285 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_285 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_285 #p285dimg1 {position:absolute;top:694px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_285 #p285dimg1 #p285img1 {width:416px;height:1px;}
#page_286 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_286 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_286 #id_2 {border:none;margin: 30px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_286 #p286dimg1 {position:absolute;top:730px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_286 #p286dimg1 #p286img1 {width:415px;height:1px;}
#page_287 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_287 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_287 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_287 #p287dimg1 {position:absolute;top:718px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_287 #p287dimg1 #p287img1 {width:416px;height:1px;}
#page_288 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_288 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_288 #id_2 {border:none;margin: 31px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_288 #p288dimg1 {position:absolute;top:646px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_288 #p288dimg1 #p288img1 {width:415px;height:1px;}
#page_289 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_289 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_289 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_289 #p289dimg1 {position:absolute;top:670px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_289 #p289dimg1 #p289img1 {width:416px;height:1px;}
#page_290 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_290 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_290 #id_2 {border:none;margin: 32px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_290 #p290dimg1 {position:absolute;top:574px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_290 #p290dimg1 #p290img1 {width:415px;height:1px;}
#page_291 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_291 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_291 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_291 #p291dimg1 {position:absolute;top:730px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_291 #p291dimg1 #p291img1 {width:416px;height:1px;}
#page_292 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_292 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_292 #id_2 {border:none;margin: 32px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_292 #p292dimg1 {position:absolute;top:514px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_292 #p292dimg1 #p292img1 {width:415px;height:1px;}
#page_293 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_293 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_293 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_293 #p293dimg1 {position:absolute;top:682px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_293 #p293dimg1 #p293img1 {width:416px;height:1px;}
#page_294 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_294 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_294 #id_2 {border:none;margin: 36px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_294 #p294dimg1 {position:absolute;top:562px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_294 #p294dimg1 #p294img1 {width:415px;height:1px;}
#page_295 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_295 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_295 #id_2 {border:none;margin: 32px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_295 #p295dimg1 {position:absolute;top:718px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_295 #p295dimg1 #p295img1 {width:416px;height:1px;}
#page_296 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_296 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_296 #id_2 {border:none;margin: 30px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_296 #p296dimg1 {position:absolute;top:658px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_296 #p296dimg1 #p296img1 {width:415px;height:1px;}
#page_297 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_297 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_297 #id_2 {border:none;margin: 32px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_297 #p297dimg1 {position:absolute;top:538px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_297 #p297dimg1 #p297img1 {width:416px;height:1px;}
#page_298 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_298 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_298 #id_2 {border:none;margin: 32px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_298 #p298dimg1 {position:absolute;top:706px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_298 #p298dimg1 #p298img1 {width:415px;height:1px;}
#page_299 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_299 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_299 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_299 #p299dimg1 {position:absolute;top:694px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_299 #p299dimg1 #p299img1 {width:416px;height:1px;}
#page_300 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_300 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_300 #id_2 {border:none;margin: 29px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_300 #p300dimg1 {position:absolute;top:706px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_300 #p300dimg1 #p300img1 {width:415px;height:1px;}
#page_301 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_301 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_301 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_301 #p301dimg1 {position:absolute;top:658px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_301 #p301dimg1 #p301img1 {width:416px;height:1px;}
#page_302 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_302 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_302 #id_2 {border:none;margin: 30px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_302 #p302dimg1 {position:absolute;top:682px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_302 #p302dimg1 #p302img1 {width:415px;height:1px;}
#page_303 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_303 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_303 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_303 #p303dimg1 {position:absolute;top:718px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_303 #p303dimg1 #p303img1 {width:416px;height:1px;}
#page_304 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_304 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_304 #id_2 {border:none;margin: 32px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_304 #p304dimg1 {position:absolute;top:706px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_304 #p304dimg1 #p304img1 {width:415px;height:1px;}
#page_305 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_305 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_305 #id_2 {border:none;margin: 50px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_305 #p305dimg1 {position:absolute;top:652px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_305 #p305dimg1 #p305img1 {width:416px;height:1px;}
#page_306 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_306 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_306 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_306 #p306dimg1 {position:absolute;top:634px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_306 #p306dimg1 #p306img1 {width:415px;height:1px;}
#page_307 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_307 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_307 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_307 #p307dimg1 {position:absolute;top:706px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_307 #p307dimg1 #p307img1 {width:416px;height:1px;}
#page_308 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_308 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_308 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_308 #p308dimg1 {position:absolute;top:730px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_308 #p308dimg1 #p308img1 {width:415px;height:1px;}
#page_309 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_309 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_309 #id_2 {border:none;margin: 104px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_310 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_310 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_310 #id_2 {border:none;margin: 30px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_310 #p310dimg1 {position:absolute;top:730px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_310 #p310dimg1 #p310img1 {width:415px;height:1px;}
#page_311 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_311 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_311 #id_2 {border:none;margin: 44px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_312 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_312 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_312 #id_2 {border:none;margin: 32px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_312 #p312dimg1 {position:absolute;top:694px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_312 #p312dimg1 #p312img1 {width:415px;height:1px;}
#page_313 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_313 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_313 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_313 #p313dimg1 {position:absolute;top:730px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_313 #p313dimg1 #p313img1 {width:416px;height:1px;}
#page_314 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_314 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_314 #id_2 {border:none;margin: 183px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_315 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_315 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_315 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_315 #p315dimg1 {position:absolute;top:634px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_315 #p315dimg1 #p315img1 {width:416px;height:1px;}
#page_316 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_316 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_316 #id_2 {border:none;margin: 32px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_316 #p316dimg1 {position:absolute;top:610px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_316 #p316dimg1 #p316img1 {width:415px;height:1px;}
#page_317 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_317 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_317 #id_2 {border:none;margin: 29px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_317 #p317dimg1 {position:absolute;top:718px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_317 #p317dimg1 #p317img1 {width:416px;height:1px;}
#page_318 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_318 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_318 #id_2 {border:none;margin: 32px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_318 #p318dimg1 {position:absolute;top:670px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_318 #p318dimg1 #p318img1 {width:415px;height:1px;}
#page_319 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_319 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_319 #id_2 {border:none;margin: 32px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_319 #p319dimg1 {position:absolute;top:658px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_319 #p319dimg1 #p319img1 {width:416px;height:1px;}
#page_320 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_320 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_320 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_320 #p320dimg1 {position:absolute;top:634px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_320 #p320dimg1 #p320img1 {width:415px;height:1px;}
#page_321 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_321 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_321 #id_2 {border:none;margin: 32px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_321 #p321dimg1 {position:absolute;top:562px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_321 #p321dimg1 #p321img1 {width:416px;height:1px;}
#page_322 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_322 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_322 #id_2 {border:none;margin: 29px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_322 #p322dimg1 {position:absolute;top:694px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_322 #p322dimg1 #p322img1 {width:415px;height:1px;}
#page_323 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_323 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_323 #id_2 {border:none;margin: 29px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_323 #p323dimg1 {position:absolute;top:670px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_323 #p323dimg1 #p323img1 {width:416px;height:1px;}
#page_324 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_324 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_324 #id_2 {border:none;margin: 30px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_324 #p324dimg1 {position:absolute;top:658px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_324 #p324dimg1 #p324img1 {width:415px;height:1px;}
#page_325 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_325 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_325 #id_2 {border:none;margin: 26px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_325 #p325dimg1 {position:absolute;top:694px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_325 #p325dimg1 #p325img1 {width:416px;height:1px;}
#page_326 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_326 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_326 #id_2 {border:none;margin: 124px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_327 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_327 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_327 #id_2 {border:none;margin: 31px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_327 #p327dimg1 {position:absolute;top:694px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_327 #p327dimg1 #p327img1 {width:416px;height:1px;}
#page_328 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_328 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_328 #id_2 {border:none;margin: 29px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_328 #p328dimg1 {position:absolute;top:670px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_328 #p328dimg1 #p328img1 {width:415px;height:1px;}
#page_329 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_329 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_329 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_329 #p329dimg1 {position:absolute;top:646px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_329 #p329dimg1 #p329img1 {width:416px;height:1px;}
#page_330 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_330 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_330 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_330 #p330dimg1 {position:absolute;top:730px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_330 #p330dimg1 #p330img1 {width:415px;height:1px;}
#page_331 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_331 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_331 #id_2 {border:none;margin: 135px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_332 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_332 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_332 #id_2 {border:none;margin: 30px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_332 #p332dimg1 {position:absolute;top:730px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_332 #p332dimg1 #p332img1 {width:415px;height:1px;}
#page_333 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_333 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_333 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_333 #p333dimg1 {position:absolute;top:718px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_333 #p333dimg1 #p333img1 {width:416px;height:1px;}
#page_334 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_334 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_334 #id_2 {border:none;margin: 30px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_334 #p334dimg1 {position:absolute;top:706px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_334 #p334dimg1 #p334img1 {width:415px;height:1px;}
#page_335 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_335 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_335 #id_2 {border:none;margin: 31px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_335 #p335dimg1 {position:absolute;top:622px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_335 #p335dimg1 #p335img1 {width:416px;height:1px;}
#page_336 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_336 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_336 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_336 #p336dimg1 {position:absolute;top:646px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_336 #p336dimg1 #p336img1 {width:415px;height:1px;}
#page_337 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_337 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_337 #id_2 {border:none;margin: 32px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_338 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_338 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_338 #id_2 {border:none;margin: 32px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_338 #p338dimg1 {position:absolute;top:658px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_338 #p338dimg1 #p338img1 {width:415px;height:1px;}
#page_339 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_339 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_339 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_339 #p339dimg1 {position:absolute;top:730px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_339 #p339dimg1 #p339img1 {width:416px;height:1px;}
#page_340 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_340 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_340 #id_2 {border:none;margin: 30px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_340 #p340dimg1 {position:absolute;top:730px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_340 #p340dimg1 #p340img1 {width:415px;height:1px;}
#page_341 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_341 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_341 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_341 #p341dimg1 {position:absolute;top:718px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_341 #p341dimg1 #p341img1 {width:416px;height:1px;}
#page_342 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_342 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_342 #id_2 {border:none;margin: 57px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_343 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_343 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_343 #id_2 {border:none;margin: 57px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_344 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_344 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_344 #id_2 {border:none;margin: 29px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_344 #p344dimg1 {position:absolute;top:694px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_344 #p344dimg1 #p344img1 {width:415px;height:1px;}
#page_345 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_345 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_345 #id_2 {border:none;margin: 26px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_345 #p345dimg1 {position:absolute;top:718px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_345 #p345dimg1 #p345img1 {width:416px;height:1px;}
#page_346 {position:relative; overflow: hidden;margin: 46px 0px 66px 71px;padding: 0px;border: none;width: 553px;}
#page_346 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_346 #id_2 {border:none;margin: 26px 0px 0px 402px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_346 #p346dimg1 {position:absolute;top:670px;left:5px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_346 #p346dimg1 #p346img1 {width:415px;height:1px;}
#page_347 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_347 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_347 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_347 #p347dimg1 {position:absolute;top:730px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_347 #p347dimg1 #p347img1 {width:416px;height:1px;}
#page_348 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_348 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_348 #id_2 {border:none;margin: 54px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_349 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_349 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_349 #id_2 {border:none;margin: 26px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_349 #p349dimg1 {position:absolute;top:574px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_349 #p349dimg1 #p349img1 {width:416px;height:1px;}
#page_350 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_350 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_350 #id_2 {border:none;margin: 583px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_351 {position:relative; overflow: hidden;margin: 915px 0px 0px 0px;padding: 0px;border: none;width: 0px;height: 0px;}
#page_352 {position:relative; overflow: hidden;margin: 75px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_352 #p352dimg1 {position:absolute;top:530px;left:1px;z-index:-1;width:413px;height:157px;}
#page_352 #p352dimg1 #p352img1 {width:413px;height:157px;}
#page_353 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_353 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_353 #id_2 {border:none;margin: 41px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_354 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_354 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_354 #id_2 {border:none;margin: 42px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_355 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_355 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_355 #id_2 {border:none;margin: 38px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_355 #p355dimg1 {position:absolute;top:149px;left:68px;z-index:-1;width:413px;height:192px;}
#page_355 #p355dimg1 #p355img1 {width:413px;height:192px;}
#page_356 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_356 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_356 #id_2 {border:none;margin: 42px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_357 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_357 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_357 #id_2 {border:none;margin: 53px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_357 #p357dimg1 {position:absolute;top:329px;left:68px;z-index:-1;width:413px;height:156px;}
#page_357 #p357dimg1 #p357img1 {width:413px;height:156px;}
#page_358 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_358 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_358 #id_2 {border:none;margin: 38px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_359 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_359 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_359 #id_2 {border:none;margin: 95px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_359 #p359dimg1 {position:absolute;top:383px;left:68px;z-index:-1;width:413px;height:319px;}
#page_359 #p359dimg1 #p359img1 {width:413px;height:319px;}
#page_360 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_360 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_360 #id_2 {border:none;margin: 41px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_361 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_361 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_361 #id_2 {border:none;margin: 33px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_361 #p361dimg1 {position:absolute;top:277px;left:68px;z-index:-1;width:413px;height:174px;}
#page_361 #p361dimg1 #p361img1 {width:413px;height:174px;}
#page_362 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_362 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_362 #id_2 {border:none;margin: 49px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_363 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_363 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_363 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_363 #p363dimg1 {position:absolute;top:385px;left:66px;z-index:-1;width:416px;height:345px;}
#page_363 #p363dimg1 #p363img1 {width:416px;height:345px;}
#page_364 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_364 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_364 #id_2 {border:none;margin: 61px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_365 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_365 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_365 #id_2 {border:none;margin: 47px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_366 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_366 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_366 #id_2 {border:none;margin: 547px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_367 {position:relative; overflow: hidden;margin: 915px 0px 0px 0px;padding: 0px;border: none;width: 0px;height: 0px;}
#page_368 {position:relative; overflow: hidden;margin: 75px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_369 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_369 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_369 #id_2 {border:none;margin: 34px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_369 #p369dimg1 {position:absolute;top:78px;left:68px;z-index:-1;width:413px;height:228px;}
#page_369 #p369dimg1 #p369img1 {width:413px;height:228px;}
#page_370 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_370 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_370 #id_2 {border:none;margin: 39px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_370 #p370dimg1 {position:absolute;top:566px;left:1px;z-index:-1;width:413px;height:186px;}
#page_370 #p370dimg1 #p370img1 {width:413px;height:186px;}
#page_371 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_371 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_371 #id_2 {border:none;margin: 144px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_371 #p371dimg1 {position:absolute;top:46px;left:68px;z-index:-1;width:413px;height:240px;}
#page_371 #p371dimg1 #p371img1 {width:413px;height:240px;}
#page_372 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_372 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_372 #id_2 {border:none;margin: 45px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_372 #p372dimg1 {position:absolute;top:98px;left:1px;z-index:-1;width:413px;height:210px;}
#page_372 #p372dimg1 #p372img1 {width:413px;height:210px;}
#page_373 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_373 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_373 #id_2 {border:none;margin: 37px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_374 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_374 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_374 #id_2 {border:none;margin: 41px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_375 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_375 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_375 #id_2 {border:none;margin: 637px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_376 {position:relative; overflow: hidden;margin: 75px 0px 66px 0px;padding: 0px;border: none;width: 491px;}
#page_376 #p376dimg1 {position:absolute;top:208px;left:77px;z-index:-1;width:413px;height:453px;}
#page_376 #p376dimg1 #p376img1 {width:413px;height:453px;}
#page_377 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_377 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 482px;overflow: hidden;}
#page_377 #id_2 {border:none;margin: 32px 0px 0px 76px;padding: 0px;border:none;width: 402px;overflow: hidden;}
#page_377 #id_3 {border:none;margin: 77px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_377 #p377dimg1 {position:absolute;top:46px;left:68px;z-index:-1;width:413px;height:674px;}
#page_377 #p377dimg1 #p377img1 {width:413px;height:674px;}
#page_378 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_378 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_378 #id_2 {border:none;margin: 75px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_379 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_379 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_379 #id_2 {border:none;margin: 36px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_380 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_380 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_380 #id_2 {border:none;margin: 30px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_380 #p380dimg1 {position:absolute;top:670px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_380 #p380dimg1 #p380img1 {width:415px;height:1px;}
#page_381 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_381 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_381 #id_2 {border:none;margin: 26px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_381 #p381dimg1 {position:absolute;top:718px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_381 #p381dimg1 #p381img1 {width:416px;height:1px;}
#page_382 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_382 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_382 #id_2 {border:none;margin: 186px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_383 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_383 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_383 #id_2 {border:none;margin: 44px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_384 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_384 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_384 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_384 #p384dimg1 {position:absolute;top:730px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_384 #p384dimg1 #p384img1 {width:415px;height:1px;}
#page_385 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_385 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_385 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_385 #p385dimg1 {position:absolute;top:730px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_385 #p385dimg1 #p385img1 {width:416px;height:1px;}
#page_386 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_386 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_386 #id_2 {border:none;margin: 50px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_386 #p386dimg1 {position:absolute;top:640px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_386 #p386dimg1 #p386img1 {width:415px;height:1px;}
#page_387 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_387 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_387 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_387 #p387dimg1 {position:absolute;top:490px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_387 #p387dimg1 #p387img1 {width:416px;height:1px;}
#page_388 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_388 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_388 #id_2 {border:none;margin: 42px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_389 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_389 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_389 #id_2 {border:none;margin: 32px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_389 #p389dimg1 {position:absolute;top:694px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_389 #p389dimg1 #p389img1 {width:416px;height:1px;}
#page_390 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_390 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_390 #id_2 {border:none;margin: 32px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_390 #p390dimg1 {position:absolute;top:730px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_390 #p390dimg1 #p390img1 {width:415px;height:1px;}
#page_391 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_391 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_391 #id_2 {border:none;margin: 40px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_392 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_392 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_392 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_392 #p392dimg1 {position:absolute;top:730px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_392 #p392dimg1 #p392img1 {width:415px;height:1px;}
#page_393 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_393 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_393 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_393 #p393dimg1 {position:absolute;top:706px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_393 #p393dimg1 #p393img1 {width:416px;height:1px;}
#page_394 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_394 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_394 #id_2 {border:none;margin: 60px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_395 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_395 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_395 #id_2 {border:none;margin: 37px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_396 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_396 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_396 #id_2 {border:none;margin: 39px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_397 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_397 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_397 #id_2 {border:none;margin: 59px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_398 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_398 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_398 #id_2 {border:none;margin: 52px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_399 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_399 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_399 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_399 #p399dimg1 {position:absolute;top:730px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_399 #p399dimg1 #p399img1 {width:416px;height:1px;}
#page_400 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_400 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_400 #id_2 {border:none;margin: 66px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_401 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_401 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_401 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_401 #p401dimg1 {position:absolute;top:718px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_401 #p401dimg1 #p401img1 {width:416px;height:1px;}
#page_402 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_402 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_402 #id_2 {border:none;margin: 44px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_403 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_403 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_403 #id_2 {border:none;margin: 49px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_404 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_404 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_404 #id_2 {border:none;margin: 30px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_404 #p404dimg1 {position:absolute;top:706px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_404 #p404dimg1 #p404img1 {width:415px;height:1px;}
#page_405 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_405 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_405 #id_2 {border:none;margin: 49px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_406 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_406 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_406 #id_2 {border:none;margin: 30px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_406 #p406dimg1 {position:absolute;top:706px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_406 #p406dimg1 #p406img1 {width:415px;height:1px;}
#page_407 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_407 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_407 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_407 #p407dimg1 {position:absolute;top:730px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_407 #p407dimg1 #p407img1 {width:416px;height:1px;}
#page_408 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_408 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_408 #id_2 {border:none;margin: 30px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_408 #p408dimg1 {position:absolute;top:742px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_408 #p408dimg1 #p408img1 {width:415px;height:1px;}
#page_409 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_409 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_409 #id_2 {border:none;margin: 42px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_410 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_410 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_410 #id_2 {border:none;margin: 51px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_411 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_411 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_411 #id_2 {border:none;margin: 42px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_412 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_412 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_412 #id_2 {border:none;margin: 29px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_413 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_413 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_413 #id_2 {border:none;margin: 46px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_414 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_414 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_414 #id_2 {border:none;margin: 43px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_415 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_415 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_415 #id_2 {border:none;margin: 40px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_416 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_416 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_416 #id_2 {border:none;margin: 41px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_417 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_417 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_417 #id_2 {border:none;margin: 50px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_418 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_418 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_418 #id_2 {border:none;margin: 69px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_419 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_419 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_419 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_419 #p419dimg1 {position:absolute;top:706px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_419 #p419dimg1 #p419img1 {width:416px;height:1px;}
#page_420 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_420 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_420 #id_2 {border:none;margin: 39px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_421 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_421 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_421 #id_2 {border:none;margin: 46px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_421 #p421dimg1 {position:absolute;top:281px;left:66px;z-index:-1;width:416px;height:320px;}
#page_421 #p421dimg1 #p421img1 {width:416px;height:320px;}
#page_422 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_422 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_422 #id_2 {border:none;margin: 38px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_423 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_423 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_423 #id_2 {border:none;margin: 37px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_424 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_424 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_424 #id_2 {border:none;margin: 38px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_425 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_425 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_425 #id_2 {border:none;margin: 128px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_426 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_426 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_426 #id_2 {border:none;margin: 637px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_427 {position:relative; overflow: hidden;margin: 915px 0px 0px 0px;padding: 0px;border: none;width: 0px;height: 0px;}
#page_428 {position:relative; overflow: hidden;margin: 75px 0px 66px 0px;padding: 0px;border: none;width: 491px;}
#page_428 #p428dimg1 {position:absolute;top:238px;left:77px;z-index:-1;width:413px;height:475px;}
#page_428 #p428dimg1 #p428img1 {width:413px;height:475px;}
#page_429 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_429 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_429 #id_2 {border:none;margin: 59px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_429 #p429dimg1 {position:absolute;top:46px;left:68px;z-index:-1;width:413px;height:222px;}
#page_429 #p429dimg1 #p429img1 {width:413px;height:222px;}
#page_430 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_430 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_430 #id_2 {border:none;margin: 30px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_430 #p430dimg1 {position:absolute;top:742px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_430 #p430dimg1 #p430img1 {width:415px;height:1px;}
#page_431 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_431 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_431 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_431 #p431dimg1 {position:absolute;top:718px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_431 #p431dimg1 #p431img1 {width:416px;height:1px;}
#page_432 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_432 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_432 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_432 #p432dimg1 {position:absolute;top:730px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_432 #p432dimg1 #p432img1 {width:415px;height:1px;}
#page_433 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_433 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_433 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_433 #p433dimg1 {position:absolute;top:646px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_433 #p433dimg1 #p433img1 {width:416px;height:1px;}
#page_434 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_434 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_434 #id_2 {border:none;margin: 43px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_435 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_435 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_435 #id_2 {border:none;margin: 32px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_435 #p435dimg1 {position:absolute;top:718px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_435 #p435dimg1 #p435img1 {width:416px;height:1px;}
#page_436 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_436 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_436 #id_2 {border:none;margin: 32px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_436 #p436dimg1 {position:absolute;top:718px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_436 #p436dimg1 #p436img1 {width:415px;height:1px;}
#page_437 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_437 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_437 #id_2 {border:none;margin: 35px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_437 #p437dimg1 {position:absolute;top:610px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_437 #p437dimg1 #p437img1 {width:416px;height:1px;}
#page_438 {position:relative; overflow: hidden;margin: 46px 0px 66px 71px;padding: 0px;border: none;width: 553px;}
#page_438 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 553px;overflow: hidden;}
#page_438 #id_2 {border:none;margin: 26px 0px 0px 402px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_438 #p438dimg1 {position:absolute;top:598px;left:5px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_438 #p438dimg1 #p438img1 {width:415px;height:1px;}
#page_439 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_439 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_439 #id_2 {border:none;margin: 31px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_439 #p439dimg1 {position:absolute;top:694px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_439 #p439dimg1 #p439img1 {width:416px;height:1px;}
#page_440 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_440 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_440 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_440 #p440dimg1 {position:absolute;top:730px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_440 #p440dimg1 #p440img1 {width:415px;height:1px;}
#page_441 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_441 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_441 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_441 #p441dimg1 {position:absolute;top:694px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_441 #p441dimg1 #p441img1 {width:416px;height:1px;}
#page_442 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_442 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_442 #id_2 {border:none;margin: 32px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_442 #p442dimg1 {position:absolute;top:514px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_442 #p442dimg1 #p442img1 {width:415px;height:1px;}
#page_443 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_443 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_443 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_443 #p443dimg1 {position:absolute;top:742px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_443 #p443dimg1 #p443img1 {width:416px;height:1px;}
#page_444 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_444 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_444 #id_2 {border:none;margin: 26px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_444 #p444dimg1 {position:absolute;top:706px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_444 #p444dimg1 #p444img1 {width:415px;height:1px;}
#page_445 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_445 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_445 #id_2 {border:none;margin: 32px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_445 #p445dimg1 {position:absolute;top:730px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_445 #p445dimg1 #p445img1 {width:416px;height:1px;}
#page_446 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_446 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_446 #id_2 {border:none;margin: 27px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_446 #p446dimg1 {position:absolute;top:694px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_446 #p446dimg1 #p446img1 {width:415px;height:1px;}
#page_447 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_447 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_447 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_447 #p447dimg1 {position:absolute;top:730px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_447 #p447dimg1 #p447img1 {width:416px;height:1px;}
#page_448 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_448 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_448 #id_2 {border:none;margin: 32px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_448 #p448dimg1 {position:absolute;top:598px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_448 #p448dimg1 #p448img1 {width:415px;height:1px;}
#page_449 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_449 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_449 #id_2 {border:none;margin: 157px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_450 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_450 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_450 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_450 #p450dimg1 {position:absolute;top:706px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_450 #p450dimg1 #p450img1 {width:415px;height:1px;}
#page_451 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_451 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_451 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_451 #p451dimg1 {position:absolute;top:730px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_451 #p451dimg1 #p451img1 {width:416px;height:1px;}
#page_452 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_452 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_452 #id_2 {border:none;margin: 26px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_452 #p452dimg1 {position:absolute;top:718px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_452 #p452dimg1 #p452img1 {width:415px;height:1px;}
#page_453 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_453 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_453 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_453 #p453dimg1 {position:absolute;top:730px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_453 #p453dimg1 #p453img1 {width:416px;height:1px;}
#page_454 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_454 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_454 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_454 #p454dimg1 {position:absolute;top:670px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_454 #p454dimg1 #p454img1 {width:415px;height:1px;}
#page_455 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_455 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_455 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_455 #p455dimg1 {position:absolute;top:646px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_455 #p455dimg1 #p455img1 {width:416px;height:1px;}
#page_456 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_456 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_456 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_456 #p456dimg1 {position:absolute;top:694px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_456 #p456dimg1 #p456img1 {width:415px;height:1px;}
#page_457 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_457 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_457 #id_2 {border:none;margin: 49px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_458 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_458 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_458 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_458 #p458dimg1 {position:absolute;top:646px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_458 #p458dimg1 #p458img1 {width:415px;height:1px;}
#page_459 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_459 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_459 #id_2 {border:none;margin: 65px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_460 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_460 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_460 #id_2 {border:none;margin: 34px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_461 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_461 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_461 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_461 #p461dimg1 {position:absolute;top:622px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_461 #p461dimg1 #p461img1 {width:416px;height:1px;}
#page_462 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_462 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_462 #id_2 {border:none;margin: 30px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_462 #p462dimg1 {position:absolute;top:706px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_462 #p462dimg1 #p462img1 {width:415px;height:1px;}
#page_463 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_463 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_463 #id_2 {border:none;margin: 33px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_464 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_464 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_464 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_464 #p464dimg1 {position:absolute;top:646px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_464 #p464dimg1 #p464img1 {width:415px;height:1px;}
#page_465 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_465 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_465 #id_2 {border:none;margin: 26px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_465 #p465dimg1 {position:absolute;top:694px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_465 #p465dimg1 #p465img1 {width:416px;height:1px;}
#page_466 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_466 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_466 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_466 #p466dimg1 {position:absolute;top:730px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_466 #p466dimg1 #p466img1 {width:415px;height:1px;}
#page_467 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_467 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_467 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_467 #p467dimg1 {position:absolute;top:694px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_467 #p467dimg1 #p467img1 {width:416px;height:1px;}
#page_468 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_468 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_468 #id_2 {border:none;margin: 49px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_469 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_469 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_469 #id_2 {border:none;margin: 26px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_469 #p469dimg1 {position:absolute;top:718px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_469 #p469dimg1 #p469img1 {width:416px;height:1px;}
#page_470 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_470 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_470 #id_2 {border:none;margin: 111px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_471 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_471 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_471 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_471 #p471dimg1 {position:absolute;top:730px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_471 #p471dimg1 #p471img1 {width:416px;height:1px;}
#page_472 {position:relative; overflow: hidden;margin: 75px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_472 #p472dimg1 {position:absolute;top:208px;left:1px;z-index:-1;width:413px;height:211px;}
#page_472 #p472dimg1 #p472img1 {width:413px;height:211px;}
#page_473 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_473 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_473 #id_2 {border:none;margin: 45px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_474 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_474 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_474 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_474 #p474dimg1 {position:absolute;top:610px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_474 #p474dimg1 #p474img1 {width:415px;height:1px;}
#page_475 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_475 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_475 #id_2 {border:none;margin: 334px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_476 {position:relative; overflow: hidden;margin: 75px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_476 #p476dimg1 {position:absolute;top:179px;left:0px;z-index:-1;width:415px;height:510px;}
#page_476 #p476dimg1 #p476img1 {width:415px;height:510px;}
#page_477 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_477 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_477 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_477 #p477dimg1 {position:absolute;top:706px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_477 #p477dimg1 #p477img1 {width:416px;height:1px;}
#page_478 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_478 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_478 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_478 #p478dimg1 {position:absolute;top:706px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_478 #p478dimg1 #p478img1 {width:415px;height:1px;}
#page_479 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_479 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_479 #id_2 {border:none;margin: 475px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_480 {position:relative; overflow: hidden;margin: 75px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_480 #p480dimg1 {position:absolute;top:179px;left:0px;z-index:-1;width:415px;height:498px;}
#page_480 #p480dimg1 #p480img1 {width:415px;height:498px;}
#page_481 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_481 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_481 #id_2 {border:none;margin: 30px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_481 #p481dimg1 {position:absolute;top:634px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_481 #p481dimg1 #p481img1 {width:416px;height:1px;}
#page_482 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_482 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_482 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_482 #p482dimg1 {position:absolute;top:730px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_482 #p482dimg1 #p482img1 {width:415px;height:1px;}
#page_483 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_483 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_483 #id_2 {border:none;margin: 150px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_484 {position:relative; overflow: hidden;margin: 75px 0px 66px 0px;padding: 0px;border: none;width: 624px;}
#page_484 #p484dimg1 {position:absolute;top:179px;left:77px;z-index:-1;width:413px;height:499px;}
#page_484 #p484dimg1 #p484img1 {width:413px;height:499px;}
#page_485 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_485 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_485 #id_2 {border:none;margin: 39px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_486 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_486 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_486 #id_2 {border:none;margin: 28px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_486 #p486dimg1 {position:absolute;top:730px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_486 #p486dimg1 #p486img1 {width:415px;height:1px;}
#page_487 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_487 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_487 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_487 #p487dimg1 {position:absolute;top:730px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_487 #p487dimg1 #p487img1 {width:416px;height:1px;}
#page_488 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_488 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_488 #id_2 {border:none;margin: 30px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_488 #p488dimg1 {position:absolute;top:706px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_488 #p488dimg1 #p488img1 {width:415px;height:1px;}
#page_489 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_489 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_489 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_489 #p489dimg1 {position:absolute;top:730px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_489 #p489dimg1 #p489img1 {width:416px;height:1px;}
#page_490 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_490 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_490 #id_2 {border:none;margin: 32px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_490 #p490dimg1 {position:absolute;top:682px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_490 #p490dimg1 #p490img1 {width:415px;height:1px;}
#page_491 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_491 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_491 #id_2 {border:none;margin: 41px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_492 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_492 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_492 #id_2 {border:none;margin: 26px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_492 #p492dimg1 {position:absolute;top:718px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_492 #p492dimg1 #p492img1 {width:415px;height:1px;}
#page_493 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_493 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_493 #id_2 {border:none;margin: 28px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_493 #p493dimg1 {position:absolute;top:730px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_493 #p493dimg1 #p493img1 {width:416px;height:1px;}
#page_494 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_494 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_494 #id_2 {border:none;margin: 141px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_495 {position:relative; overflow: hidden;margin: 915px 0px 0px 0px;padding: 0px;border: none;width: 0px;height: 0px;}
#page_496 {position:relative; overflow: hidden;margin: 75px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_497 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_497 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_497 #id_2 {border:none;margin: 59px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_498 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_498 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_498 #id_2 {border:none;margin: 36px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_499 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_499 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_499 #id_2 {border:none;margin: 41px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_500 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_500 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_500 #id_2 {border:none;margin: 59px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_501 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_501 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_501 #id_2 {border:none;margin: 49px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_502 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_502 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_502 #id_2 {border:none;margin: 50px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_503 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_503 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_503 #id_2 {border:none;margin: 68px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_504 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_504 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_504 #id_2 {border:none;margin: 156px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_505 {position:relative; overflow: hidden;margin: 915px 0px 0px 0px;padding: 0px;border: none;width: 0px;height: 0px;}
#page_506 {position:relative; overflow: hidden;margin: 75px 0px 66px 0px;padding: 0px;border: none;width: 624px;}
#page_507 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_507 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 482px;overflow: hidden;}
#page_507 #id_2 {border:none;margin: 31px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_507 #id_3 {border:none;margin: 144px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_508 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_508 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_508 #id_2 {border:none;margin: 74px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_509 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_509 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 482px;overflow: hidden;}
#page_509 #id_2 {border:none;margin: 32px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_509 #id_3 {border:none;margin: 43px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_510 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_510 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_510 #id_2 {border:none;margin: 138px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_511 {position:relative; overflow: hidden;margin: 915px 0px 0px 0px;padding: 0px;border: none;width: 0px;height: 0px;}
#page_512 {position:relative; overflow: hidden;margin: 46px 0px 66px 0px;padding: 0px;border: none;width: 624px;}
#page_512 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 624px;overflow: hidden;}
#page_512 #id_2 {border:none;margin: 63px 0px 0px 473px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_513 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_513 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_513 #id_2 {border:none;margin: 39px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_514 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_514 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_514 #id_2 {border:none;margin: 42px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_515 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_515 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_515 #id_2 {border:none;margin: 60px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_516 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_516 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_516 #id_2 {border:none;margin: 33px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_517 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_517 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_517 #id_2 {border:none;margin: 42px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_518 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_518 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_518 #id_2 {border:none;margin: 33px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_519 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_519 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_519 #id_2 {border:none;margin: 33px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_520 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_520 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_520 #id_2 {border:none;margin: 61px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_521 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_521 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_521 #id_2 {border:none;margin: 60px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_522 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_522 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_522 #id_2 {border:none;margin: 32px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_523 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_523 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_523 #id_2 {border:none;margin: 39px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_524 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_524 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_524 #id_2 {border:none;margin: 42px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_525 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_525 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_525 #id_2 {border:none;margin: 95px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_526 {position:relative; overflow: hidden;margin: 46px 0px 66px 0px;padding: 0px;border: none;width: 624px;}
#page_526 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 624px;overflow: hidden;}
#page_526 #id_2 {border:none;margin: 199px 0px 0px 473px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_527 {position:relative; overflow: hidden;margin: 915px 0px 0px 0px;padding: 0px;border: none;width: 0px;height: 0px;}
#page_528 {position:relative; overflow: hidden;margin: 46px 0px 66px 0px;padding: 0px;border: none;width: 624px;}
#page_528 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 624px;overflow: hidden;}
#page_528 #id_2 {border:none;margin: 199px 0px 0px 473px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_529 {position:relative; overflow: hidden;margin: 915px 0px 0px 0px;padding: 0px;border: none;width: 0px;height: 0px;}
#page_530 {position:relative; overflow: hidden;margin: 44px 0px 47px 75px;padding: 0px;border: none;width: 549px;}
#page_530 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 549px;overflow: hidden;}
#page_530 #id_2 {border:none;margin: 39px 0px 0px 76px;padding: 0px;border:none;width: 352px;overflow: hidden;}
#page_530 #p530dimg1 {position:absolute;top:14px;left:1px;z-index:-1;width:225px;height:691px;}
#page_530 #p530dimg1 #p530img1 {width:225px;height:691px;}
#page_531 {position:relative; overflow: hidden;margin: 44px 0px 65px 0px;padding: 0px;border: none;width: 624px;}
#page_531 #id_1 {border:none;margin: 0px 0px 0px 64px;padding: 0px;border:none;width: 484px;overflow: hidden;}
#page_531 #id_2 {border:none;margin: 47px 0px 0px 0px;padding: 0px;border:none;width: 624px;overflow: hidden;}
#page_531 #id_3 {border:none;margin: 41px 0px 0px 132px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_532 {position:relative; overflow: hidden;margin: 44px 0px 65px 0px;padding: 0px;border: none;width: 624px;}
#page_532 #id_1 {border:none;margin: 0px 0px 0px 76px;padding: 0px;border:none;width: 483px;overflow: hidden;}
#page_532 #id_2 {border:none;margin: 47px 0px 0px 0px;padding: 0px;border:none;width: 624px;overflow: hidden;}
#page_532 #id_3 {border:none;margin: 41px 0px 0px 474px;padding: 0px;border:none;width: 150px;overflow: hidden;}
#page_533 {position:relative; overflow: hidden;margin: 89px 0px 130px 76px;padding: 0px;border: none;width: 548px;}
#page_533 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_533 #id_2 {border:none;margin: 43px 0px 0px 5px;padding: 0px;border:none;width: 543px;overflow: hidden;}
#page_533 #id_2 #id_2_1 {float:left;border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 217px;overflow: hidden;}
#page_533 #id_2 #id_2_2 {float:left;border:none;margin: 1px 0px 0px 0px;padding: 0px;border:none;width: 326px;overflow: hidden;}
#page_533 #p533dimg1 {position:absolute;top:35px;left:0px;z-index:-1;width:415px;height:24px;}
#page_533 #p533dimg1 #p533img1 {width:415px;height:24px;}
#page_534 {position:relative; overflow: hidden;margin: 93px 0px 121px 138px;padding: 0px;border: none;width: 486px;}
#page_534 #id_1 {float:left;border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 217px;overflow: hidden;}
#page_534 #id_2 {float:left;border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 269px;overflow: hidden;}
#page_535 {position:relative; overflow: hidden;margin: 89px 0px 114px 76px;padding: 0px;border: none;width: 548px;}
#page_535 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_535 #id_2 {border:none;margin: 44px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_535 #id_2 #id_2_1 {float:left;border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 217px;overflow: hidden;}
#page_535 #id_2 #id_2_2 {float:left;border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 331px;overflow: hidden;}
#page_535 #p535dimg1 {position:absolute;top:35px;left:0px;z-index:-1;width:415px;height:24px;}
#page_535 #p535dimg1 #p535img1 {width:415px;height:24px;}
#page_536 {position:relative; overflow: hidden;margin: 92px 0px 123px 132px;padding: 0px;border: none;width: 492px;}
#page_536 #id_1 {float:left;border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 218px;overflow: hidden;}
#page_536 #id_2 {float:left;border:none;margin: 1px 0px 0px 0px;padding: 0px;border:none;width: 274px;overflow: hidden;}
#page_537 {position:relative; overflow: hidden;margin: -38px 0px 0px 0px;padding: 0px;border: none;width: 624px;height: 953px;}
#page_537 #id_1 {float:left;border:none;margin: 886px 0px 0px 57px;padding: 0px;border:none;width: 493px;overflow: hidden;}
#page_537 #id_2 {float:left;border:none;margin: 0px 0px 0px -545px;padding: 0px;border:none;width: 559px;overflow: hidden;}
#page_537 #p537dimg1 {position:absolute;top:38px;left:0px;z-index:-1;width:624px;height:915px;}
#page_537 #p537dimg1 #p537img1 {width:624px;height:915px;}
.dclr {clear:both;float:none;height:1px;margin:0px;padding:0px;overflow:hidden;}
.ft0{font: 37px 'Arial';color: #e4c21d;line-height: 42px;}
.ft1{font: 20px 'Arial';color: #e4c21d;line-height: 23px;}
.ft2{font: 22px 'Arial';color: #e4c21d;margin-left: 7px;line-height: 28px;}
.ft3{font: 22px 'Arial';color: #e4c21d;line-height: 28px;}
.ft4{font: 13px 'Arial';color: #e4c21d;line-height: 16px;}
.ft5{font: 1px 'Arial';line-height: 1px;}
.ft6{font: 11px 'Arial';color: #e4c21d;line-height: 14px;}
.ft7{font: 28px 'Arial';line-height: 32px;}
.ft8{font: 17px 'Arial';line-height: 19px;}
.ft9{font: 19px 'Arial';margin-left: 6px;line-height: 22px;}
.ft10{font: 19px 'Arial';line-height: 22px;}
.ft11{font: italic 16px 'Times New Roman';line-height: 19px;}
.ft12{font: 12px 'Arial';line-height: 15px;}
.ft13{font: 11px 'Times New Roman';line-height: 14px;}
.ft14{font: italic 11px 'Times New Roman';line-height: 14px;}
.ft15{font: italic 11px 'Times New Roman';line-height: 13px;}
.ft16{font: 25px 'Arial';line-height: 28px;}
.ft17{font: 15px 'Arial';line-height: 18px;}
.ft18{font: 13px 'Arial';line-height: 18px;}
.ft19{font: 14px 'Arial';line-height: 18px;}
.ft20{font: italic 15px 'Arial';line-height: 17px;}
.ft21{font: 15px 'Arial';line-height: 17px;}
.ft22{font: italic 13px 'Arial';margin-left: 3px;line-height: 17px;}
.ft23{font: 13px 'Arial';line-height: 17px;}
.ft24{font: italic 13px 'Arial';line-height: 17px;}
.ft25{font: 15px 'Arial';color: #ffffff;line-height: 17px;}
.ft26{font: bold 15px 'Arial';line-height: 18px;}
.ft27{font: 13px 'Arial';line-height: 16px;}
.ft28{font: 15px 'Arial';margin-left: 19px;line-height: 17px;}
.ft29{font: bold 12px 'Arial';line-height: 15px;}
.ft30{font: 8px 'Arial';line-height: 10px;}
.ft31{font: bold 10px 'Arial';line-height: 12px;}
.ft32{font: bold 11px 'Arial';line-height: 14px;}
.ft33{font: 14px 'Arial';line-height: 16px;}
.ft34{font: 15px 'Arial';margin-left: 28px;line-height: 17px;}
.ft35{font: bold 13px 'Arial';line-height: 16px;}
.ft36{font: 15px 'Arial';margin-left: 27px;line-height: 17px;}
.ft37{font: bold 9px 'Arial';line-height: 11px;}
.ft38{font: 15px 'Arial';margin-left: 20px;line-height: 17px;}
.ft39{font: 13px 'Cambria';line-height: 15px;}
.ft40{font: 1px 'Arial';line-height: 15px;}
.ft41{font: 11px 'Arial';line-height: 14px;}
.ft42{font: 14px 'Arial';background-color: #e5e5e5;line-height: 16px;}
.ft43{font: 15px 'Arial';background-color: #e5e5e5;line-height: 17px;}
.ft44{font: 13px 'Arial';background-color: #e5e5e5;line-height: 16px;}
.ft45{font: italic 13px 'Arial';line-height: 18px;}
.ft46{font: 13px 'Arial';line-height: 19px;}
.ft47{font: bold 15px 'Arial';line-height: 21px;}
.ft48{font: bold 17px 'Arial';line-height: 19px;}
.ft49{font: italic 15px 'Arial';line-height: 18px;}
.ft50{font: 15px 'Arial';margin-left: 12px;line-height: 18px;}
.ft51{font: 13px 'Arial';margin-left: 12px;line-height: 19px;}
.ft52{font: 14px 'Arial';margin-left: 12px;line-height: 19px;}
.ft53{font: 14px 'Arial';line-height: 19px;}
.ft54{font: 9px 'Arial';line-height: 13px;position: relative; bottom: 6px;}
.ft55{font: 15px 'Arial';margin-left: 11px;line-height: 18px;}
.ft56{font: 6px 'Arial';line-height: 6px;}
.ft57{font: 9px 'Arial';margin-left: 2px;line-height: 12px;}
.ft58{font: 9px 'Arial';line-height: 12px;}
.ft59{font: bold 13px 'Arial';line-height: 18px;}
.ft60{font: italic 13px 'Arial';line-height: 19px;}
.ft61{font: bold 17px 'Arial';line-height: 20px;}
.ft62{font: bold 15px 'Arial';line-height: 20px;}
.ft63{font: italic 14px 'Arial';line-height: 18px;}
.ft64{font: 15px 'Arial';margin-left: 12px;line-height: 17px;}
.ft65{font: 15px 'Arial';margin-left: 11px;line-height: 17px;}
.ft66{font: 13px 'Arial';margin-left: 11px;line-height: 18px;}
.ft67{font: bold 15px 'Arial';margin-left: 35px;line-height: 20px;}
.ft68{font: bold 15px 'Arial';line-height: 19px;}
.ft69{font: bold 14px 'Arial';line-height: 19px;}
.ft70{font: italic 12px 'Arial';line-height: 15px;}
.ft71{font: italic 14px 'Arial';line-height: 16px;}
.ft72{font: italic 12px 'Arial';line-height: 18px;}
.ft73{font: italic 13px 'Arial';line-height: 16px;}
.ft74{font: italic 11px 'Arial';line-height: 14px;}
.ft75{font: 15px 'Arial';margin-left: 4px;line-height: 17px;}
.ft76{font: 15px 'Arial';margin-left: 4px;line-height: 18px;}
.ft77{font: bold 15px 'Arial';margin-left: 4px;line-height: 18px;}
.ft78{font: bold 17px 'Arial';margin-left: 35px;line-height: 19px;}
.ft79{font: 7px 'Arial';line-height: 9px;position: relative; bottom: 6px;}
.ft80{font: 7px 'Arial';line-height: 7px;}
.ft81{font: 11px 'Arial';margin-left: 2px;line-height: 14px;}
.ft82{font: 11px 'Arial';margin-left: 3px;line-height: 14px;}
.ft83{font: italic 13px 'Arial';margin-left: 4px;line-height: 18px;}
.ft84{font: 11px 'Arial';margin-left: 3px;line-height: 12px;}
.ft85{font: 11px 'Arial';line-height: 12px;}
.ft86{font: 11px 'Arial';margin-left: 3px;line-height: 13px;}
.ft87{font: 11px 'Arial';line-height: 13px;}
.ft88{font: 15px 'Arial';margin-left: 6px;line-height: 18px;}
.ft89{font: bold 15px 'Arial';margin-left: 25px;line-height: 18px;}
.ft90{font: 11px 'Arial';margin-left: 2px;line-height: 13px;}
.ft91{font: italic 11px 'Arial';margin-left: 2px;line-height: 13px;}
.ft92{font: italic 11px 'Arial';margin-left: 2px;line-height: 12px;}
.ft93{font: italic 11px 'Arial';line-height: 12px;}
.ft94{font: 11px 'Arial';margin-left: 2px;line-height: 12px;}
.ft95{font: italic 11px 'Arial';margin-left: 2px;line-height: 14px;}
.ft96{font: 9px 'Arial';margin-left: 3px;line-height: 12px;}
.ft97{font: 7px 'Arial';line-height: 10px;position: relative; bottom: 6px;}
.ft98{font: italic 11px 'Arial';margin-left: 3px;line-height: 13px;}
.ft99{font: italic 9px 'Arial';margin-left: 3px;line-height: 12px;}
.ft100{font: italic 9px 'Arial';line-height: 12px;}
.ft101{font: 8px 'Arial';line-height: 12px;position: relative; bottom: 6px;}
.ft102{font: 9px 'Arial';line-height: 12px;position: relative; bottom: 6px;}
.ft103{font: italic 11px 'Arial';margin-left: 3px;line-height: 12px;}
.ft104{font: bold 17px 'Arial';margin-left: 35px;line-height: 20px;}
.ft105{font: 10px 'Arial';margin-left: 3px;line-height: 12px;}
.ft106{font: italic 10px 'Arial';line-height: 12px;}
.ft107{font: 10px 'Arial';line-height: 12px;}
.ft108{font: 24px 'Arial';margin-left: 46px;line-height: 30px;}
.ft109{font: 24px 'Arial';line-height: 30px;}
.ft110{font: italic 11px 'Arial';line-height: 13px;}
.ft111{font: 15px 'Arial';margin-left: 3px;line-height: 17px;}
.ft112{font: 10px 'Arial';margin-left: 2px;line-height: 13px;}
.ft113{font: 10px 'Arial';line-height: 13px;}
.ft114{font: italic 11px 'Arial';margin-left: 3px;line-height: 14px;}
.ft115{font: 15px 'Times New Roman';line-height: 17px;}
.ft116{font: 15px 'Arial';margin-left: 13px;line-height: 18px;}
.ft117{font: 15px 'Arial';margin-left: 13px;line-height: 17px;}
.ft118{font: 11px 'Arial';line-height: 16px;}
.ft119{font: 10px 'Arial';margin-left: 3px;line-height: 13px;}
.ft120{font: italic 10px 'Arial';margin-left: 2px;line-height: 13px;}
.ft121{font: italic 10px 'Arial';line-height: 13px;}
.ft122{font: bold 13px 'Arial';margin-left: 25px;line-height: 16px;}
.ft123{font: italic 7px 'Arial';line-height: 9px;position: relative; bottom: 6px;}
.ft124{font: 8px 'Arial';line-height: 13px;position: relative; bottom: 6px;}
.ft125{font: italic 14px 'Arial';line-height: 19px;}
.ft126{font: 14px 'Arial';margin-left: 13px;line-height: 18px;}
.ft127{font: 12px 'Arial';line-height: 18px;}
.ft128{font: italic 13px 'Arial';margin-left: 13px;line-height: 18px;}
.ft129{font: italic 15px 'Arial';margin-left: 13px;line-height: 18px;}
.ft130{font: 15px 'Arial';margin-left: 8px;line-height: 18px;}
.ft131{font: 14px 'Arial';margin-left: 8px;line-height: 18px;}
.ft132{font: 13px 'Arial';margin-left: 8px;line-height: 19px;}
.ft133{font: 15px 'Arial';margin-left: 8px;line-height: 17px;}
.ft134{font: 13px 'Arial';margin-left: 12px;line-height: 18px;}
.ft135{font: bold 17px 'Arial';margin-left: 25px;line-height: 19px;}
.ft136{font: italic 14px 'Arial';margin-left: 8px;line-height: 19px;}
.ft137{font: italic 12px 'Arial';line-height: 19px;}
.ft138{font: 12px 'Arial';line-height: 19px;}
.ft139{font: bold 15px 'Arial';margin-left: 29px;line-height: 18px;}
.ft140{font: bold 15px 'Arial';margin-left: 16px;line-height: 18px;}
.ft141{font: 11px 'Arial';margin-left: 4px;line-height: 12px;}
.ft142{font: italic 10px 'Arial';margin-left: 3px;line-height: 12px;}
.ft143{font: 11px 'Arial';margin-left: 4px;line-height: 14px;}
.ft144{font: 10px 'Arial';line-height: 13px;position: relative; bottom: 7px;}
.ft145{font: bold 13px 'Arial';margin-left: 16px;line-height: 16px;}
.ft146{font: 14px 'Arial';margin-left: 12px;line-height: 18px;}
.ft147{font: 13px 'Arial';margin-left: 11px;line-height: 17px;}
.ft148{font: italic 9px 'Arial';margin-left: 2px;line-height: 12px;}
.ft149{font: italic 13px 'Arial';margin-left: 3px;line-height: 18px;}
.ft150{font: 13px 'Arial';margin-left: 4px;line-height: 18px;}
.ft151{font: 13px 'Arial';margin-left: 5px;line-height: 18px;}
.ft152{font: 13px 'Arial';margin-left: 3px;line-height: 17px;}
.ft153{font: 6px 'Arial';line-height: 9px;position: relative; bottom: 6px;}
.ft154{font: 10px 'Arial';margin-left: 2px;line-height: 12px;}
.ft155{font: 13px 'Arial';margin-left: 5px;line-height: 17px;}
.ft156{font: 7px 'Arial';line-height: 8px;position: relative; bottom: 6px;}
.ft157{font: 14px 'Arial';margin-left: 11px;line-height: 17px;}
.ft158{font: 8px 'Arial';line-height: 11px;position: relative; bottom: 6px;}
.ft159{font: 14px 'Arial';line-height: 17px;}
.ft160{font: 14px 'Arial';margin-left: 11px;line-height: 18px;}
.ft161{font: 13px 'Arial';margin-left: 3px;line-height: 18px;}
.ft162{font: bold 15px 'Arial';line-height: 17px;}
.ft163{font: 13px 'Arial';margin-left: 4px;line-height: 17px;}
.ft164{font: bold 15px 'Arial';margin-left: 25px;line-height: 20px;}
.ft165{font: bold 13px 'Arial';line-height: 19px;}
.ft166{font: 15px 'Arial';margin-left: 13px;line-height: 19px;}
.ft167{font: 15px 'Arial';line-height: 19px;}
.ft168{font: 24px 'Arial';margin-left: 32px;line-height: 30px;}
.ft169{font: bold 14px 'Arial';line-height: 18px;}
.ft170{font: bold 17px 'Arial';margin-left: 25px;line-height: 20px;}
.ft171{font: 13px 'Arial';margin-left: 7px;line-height: 18px;}
.ft172{font: 14px 'Arial';margin-left: 6px;line-height: 18px;}
.ft173{font: 13px 'Arial';margin-left: 7px;line-height: 19px;}
.ft174{font: bold 15px 'Cambria';line-height: 17px;}
.ft175{font: 13px 'Arial';margin-left: 13px;line-height: 18px;}
.ft176{font: bold 12px 'Arial';line-height: 14px;}
.ft177{font: 7px 'Arial';line-height: 7px;position: relative; bottom: 6px;}
.ft178{font: bold 14px 'Arial';line-height: 16px;}
.ft179{font: bold 14px 'Arial';margin-left: 16px;line-height: 18px;}
.ft180{font: 12px 'Arial';line-height: 14px;}
.ft181{font: 13px 'Arial';line-height: 14px;}
.ft182{font: 13px 'Arial';line-height: 15px;}
.ft183{font: 15px 'Arial';margin-left: 1px;line-height: 17px;}
.ft184{font: 25px 'Arial';margin-left: 32px;line-height: 30px;}
.ft185{font: 25px 'Arial';line-height: 30px;}
.ft186{font: bold 16px 'Arial';margin-left: 25px;line-height: 20px;}
.ft187{font: bold 16px 'Arial';line-height: 20px;}
.ft188{font: bold 8px 'Arial';line-height: 10px;}
.ft189{font: italic bold 12px 'Arial';line-height: 18px;}
.ft190{font: italic bold 13px 'Arial';line-height: 18px;}
.ft191{font: italic bold 15px 'Arial';line-height: 18px;}
.ft192{font: italic bold 13px 'Arial';line-height: 19px;}
.ft193{font: italic bold 14px 'Arial';line-height: 19px;}
.ft194{font: italic 15px 'Arial';margin-left: 4px;line-height: 18px;}
.ft195{font: italic 14px 'Arial';margin-left: 4px;line-height: 18px;}
.ft196{font: italic 15px 'Arial';margin-left: 3px;line-height: 17px;}
.ft197{font: italic 15px 'Arial';margin-left: 4px;line-height: 17px;}
.ft198{font: 13px 'Arial';line-height: 22px;}
.ft199{font: italic 13px 'Arial';line-height: 22px;}
.ft200{font: 14px 'Arial';line-height: 21px;}
.ft201{font: italic 14px 'Arial';line-height: 21px;}
.ft202{font: 15px 'Arial';line-height: 21px;}
.ft203{font: italic 15px 'Arial';line-height: 21px;}
.ft204{font: 12px 'Arial';line-height: 22px;}
.ft205{font: italic 12px 'Arial';line-height: 22px;}
.ft206{font: 14px 'Arial';margin-left: 13px;line-height: 19px;}
.ft207{font: 13px 'Arial';margin-left: 13px;line-height: 19px;}
.ft208{font: 13px 'Times New Roman';line-height: 15px;}
.ft209{font: 13px 'Times New Roman';line-height: 18px;}
.ft210{font: 8px 'Times New Roman';line-height: 12px;}
.ft211{font: 13px 'Times New Roman';line-height: 17px;}
.ft212{font: 12px 'Times New Roman';line-height: 17px;}
.ft213{font: 5px 'Arial';line-height: 6px;}
.ft214{font: 7px 'Arial';margin-left: 2px;line-height: 9px;}
.ft215{font: italic 7px 'Arial';line-height: 9px;}
.ft216{font: 7px 'Arial';line-height: 9px;}
.ft217{font: 8px 'Arial';line-height: 9px;}
.ft218{font: 13px 'Times New Roman';margin-left: 16px;line-height: 18px;}
.ft219{font: 13px 'Times New Roman';margin-left: 16px;line-height: 17px;}
.ft220{font: 10px 'Times New Roman';line-height: 12px;}
.ft221{font: 11px 'Times New Roman';margin-left: 2px;line-height: 13px;}
.ft222{font: 11px 'Times New Roman';line-height: 13px;}
.ft223{font: 11px 'Times New Roman';margin-left: 3px;line-height: 14px;}
.ft224{font: 11px 'Times New Roman';margin-left: 2px;line-height: 14px;}
.ft225{font: 9px 'Times New Roman';line-height: 12px;}
.ft226{font: 10px 'Times New Roman';margin-left: 2px;line-height: 13px;}
.ft227{font: 10px 'Times New Roman';line-height: 13px;}
.ft228{font: 10px 'Times New Roman';margin-left: 3px;line-height: 13px;}
.ft229{font: 10px 'Times New Roman';line-height: 14px;}
.ft230{font: 11px 'Times New Roman';margin-left: 3px;line-height: 15px;}
.ft231{font: 11px 'Times New Roman';line-height: 15px;}
.ft232{font: 11px 'Times New Roman';margin-left: 2px;line-height: 15px;}
.ft233{font: 9px 'Arial';color: #ffffff;line-height: 12px;}
.ft234{font: 9px 'Arial';color: #ffffff;margin-left: 3px;line-height: 12px;}
.ft235{font: bold 9px 'Arial';color: #ffffff;line-height: 11px;}
.ft236{font: 8px 'Arial';color: #e4c21d;line-height: 0px;}
.ft237{font: 2px 'Arial';color: #e4c21d;line-height: 0px;}
.ft238{font: 1px 'Arial';color: #e4c21d;line-height: 2px;}
.p0{text-align: left;margin-top: 0px;margin-bottom: 0px;}
.p1{text-align: left;padding-right: 224px;margin-top: 13px;margin-bottom: 0px;text-indent: 2px;}
.p2{text-align: left;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p3{text-align: left;padding-right: 239px;margin-top: 16px;margin-bottom: 0px;}
.p4{text-align: left;margin-top: 454px;margin-bottom: 0px;}
.p5{text-align: left;margin-top: 31px;margin-bottom: 0px;}
.p6{text-align: left;margin-top: 13px;margin-bottom: 0px;}
.p7{text-align: left;margin-top: 14px;margin-bottom: 0px;}
.p8{text-align: left;margin-top: 2px;margin-bottom: 0px;}
.p9{text-align: left;margin-top: 15px;margin-bottom: 0px;}
.p10{text-align: justify;padding-right: 132px;margin-top: 151px;margin-bottom: 0px;}
.p11{text-align: justify;padding-right: 127px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p12{text-align: justify;padding-right: 75px;margin-top: 0px;margin-bottom: 0px;}
.p13{text-align: justify;padding-right: 71px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p14{text-align: justify;padding-right: 77px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p15{text-align: left;padding-left: 19px;margin-top: 1px;margin-bottom: 0px;}
.p16{text-align: justify;padding-right: 71px;margin-top: 1px;margin-bottom: 0px;}
.p17{text-align: left;padding-left: 19px;margin-top: 3px;margin-bottom: 0px;}
.p18{text-align: left;margin-top: 19px;margin-bottom: 0px;}
.p19{text-align: left;margin-top: 37px;margin-bottom: 0px;}
.p20{text-align: left;padding-left: 237px;margin-top: 19px;margin-bottom: 0px;}
.p21{text-align: left;padding-left: 237px;margin-top: 1px;margin-bottom: 0px;}
.p22{text-align: right;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p23{text-align: left;padding-left: 14px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p24{text-align: left;margin-top: 10px;margin-bottom: 0px;}
.p25{text-align: left;margin-top: 9px;margin-bottom: 0px;}
.p26{text-align: left;padding-left: 9px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p27{text-align: right;padding-right: 1px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p28{text-align: left;padding-left: 409px;margin-top: 68px;margin-bottom: 0px;}
.p29{text-align: left;padding-left: 19px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p30{text-align: left;padding-left: 66px;margin-top: 10px;margin-bottom: 0px;}
.p31{text-align: left;padding-left: 104px;margin-top: 1px;margin-bottom: 0px;}
.p32{text-align: right;padding-right: 2px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p33{text-align: right;padding-right: 14px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p34{text-align: left;padding-left: 66px;margin-top: 9px;margin-bottom: 0px;}
.p35{text-align: right;padding-right: 72px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p36{text-align: right;padding-right: 71px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p37{text-align: left;padding-left: 27px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p38{text-align: left;padding-left: 37px;margin-top: 1px;margin-bottom: 0px;}
.p39{text-align: left;padding-left: 37px;margin-top: 0px;margin-bottom: 0px;}
.p40{text-align: right;padding-right: 13px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p41{text-align: left;padding-left: 12px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p42{text-align: left;padding-left: 1px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p43{text-align: left;padding-left: 11px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p44{text-align: left;padding-left: 37px;margin-top: 32px;margin-bottom: 0px;}
.p45{text-align: right;padding-right: 104px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p46{text-align: left;padding-left: 6px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p47{text-align: left;padding-left: 63px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p48{text-align: left;padding-left: 311px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p49{text-align: left;padding-left: 66px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p50{text-align: left;padding-left: 57px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p51{text-align: left;padding-left: 10px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p52{text-align: right;padding-right: 10px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p53{text-align: right;padding-right: 66px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p54{text-align: left;padding-left: 7px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p55{text-align: left;padding-left: 8px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p56{text-align: left;margin-top: 151px;margin-bottom: 0px;}
.p57{text-align: justify;padding-right: 127px;margin-top: 11px;margin-bottom: 0px;}
.p58{text-align: justify;padding-right: 127px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p59{text-align: left;padding-left: 403px;margin-top: 48px;margin-bottom: 0px;}
.p60{text-align: justify;padding-left: 66px;margin-top: 32px;margin-bottom: 0px;}
.p61{text-align: justify;padding-left: 66px;padding-right: 1px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p62{text-align: justify;padding-left: 66px;padding-right: 1px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p63{text-align: justify;padding-left: 66px;padding-right: 6px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p64{text-align: justify;padding-right: 66px;margin-top: 32px;margin-bottom: 0px;text-indent: 19px;}
.p65{text-align: justify;padding-right: 66px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p66{text-align: left;padding-right: 209px;margin-top: 41px;margin-bottom: 0px;}
.p67{text-align: justify;padding-right: 66px;margin-top: 10px;margin-bottom: 0px;}
.p68{text-align: justify;padding-right: 71px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p69{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 32px;margin-bottom: 0px;}
.p70{text-align: left;padding-left: 66px;margin-top: 35px;margin-bottom: 0px;}
.p71{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 13px;margin-bottom: 0px;}
.p72{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p73{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p74{text-align: justify;padding-right: 127px;margin-top: 14px;margin-bottom: 0px;}
.p75{text-align: left;padding-left: 66px;margin-top: 42px;margin-bottom: 0px;}
.p76{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 13px;margin-bottom: 0px;}
.p77{text-align: justify;padding-right: 66px;margin-top: 32px;margin-bottom: 0px;}
.p78{text-align: left;padding-right: 122px;margin-top: 35px;margin-bottom: 0px;}
.p79{text-align: justify;padding-right: 71px;margin-top: 10px;margin-bottom: 0px;}
.p80{text-align: justify;padding-right: 67px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p81{text-align: justify;padding-left: 66px;padding-right: 5px;margin-top: 32px;margin-bottom: 0px;}
.p82{text-align: justify;padding-left: 66px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p83{text-align: justify;padding-left: 66px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p84{text-align: justify;padding-left: 66px;padding-right: 5px;margin-top: 10px;margin-bottom: 0px;text-indent: 19px;}
.p85{text-align: justify;padding-left: 66px;padding-right: 5px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p86{text-align: justify;padding-right: 67px;margin-top: 32px;margin-bottom: 0px;}
.p87{text-align: left;padding-right: 79px;margin-top: 36px;margin-bottom: 0px;}
.p88{text-align: justify;padding-right: 67px;margin-top: 9px;margin-bottom: 0px;}
.p89{text-align: justify;padding-left: 66px;margin-top: 32px;margin-bottom: 0px;text-indent: 19px;}
.p90{text-align: left;margin-top: 32px;margin-bottom: 0px;}
.p91{text-align: justify;padding-right: 128px;margin-top: 12px;margin-bottom: 0px;}
.p92{text-align: justify;padding-left: 19px;padding-right: 133px;margin-top: 4px;margin-bottom: 0px;text-indent: -19px;}
.p93{text-align: justify;padding-left: 19px;padding-right: 133px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p94{text-align: justify;padding-left: 19px;padding-right: 128px;margin-top: 9px;margin-bottom: 0px;text-indent: -19px;}
.p95{text-align: left;padding-left: 19px;padding-right: 132px;margin-top: 3px;margin-bottom: 0px;text-indent: -19px;}
.p96{text-align: justify;padding-left: 19px;padding-right: 127px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p97{text-align: justify;padding-left: 19px;padding-right: 132px;margin-top: 3px;margin-bottom: 0px;text-indent: -19px;}
.p98{text-align: justify;padding-left: 19px;padding-right: 132px;margin-top: 9px;margin-bottom: 0px;text-indent: -19px;}
.p99{text-align: justify;padding-left: 19px;padding-right: 128px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p100{text-align: justify;padding-left: 85px;padding-right: 76px;margin-top: 32px;margin-bottom: 0px;}
.p101{text-align: justify;padding-left: 85px;padding-right: 76px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p102{text-align: left;padding-left: 66px;margin-top: 34px;margin-bottom: 0px;}
.p103{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 14px;margin-bottom: 0px;}
.p104{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 2px;margin-bottom: 0px;text-indent: 19px;}
.p105{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p106{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p107{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 55px;margin-bottom: 0px;}
.p108{text-align: justify;padding-right: 72px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p109{text-align: justify;padding-right: 66px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p110{text-align: justify;padding-right: 127px;margin-top: 13px;margin-bottom: 0px;}
.p111{text-align: justify;padding-right: 128px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p112{text-align: left;padding-left: 403px;margin-top: 41px;margin-bottom: 0px;}
.p113{text-align: justify;padding-right: 71px;margin-top: 32px;margin-bottom: 0px;text-indent: 19px;}
.p114{text-align: left;padding-right: 132px;margin-top: 41px;margin-bottom: 0px;}
.p115{text-align: justify;padding-left: 66px;padding-right: 70px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p116{text-align: left;padding-right: 164px;margin-top: 31px;margin-bottom: 0px;}
.p117{text-align: justify;padding-right: 66px;margin-top: 13px;margin-bottom: 0px;}
.p118{text-align: justify;padding-right: 66px;margin-top: 6px;margin-bottom: 0px;text-indent: 19px;}
.p119{text-align: justify;padding-right: 67px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p120{text-align: left;padding-left: 66px;margin-top: 37px;margin-bottom: 0px;}
.p121{text-align: justify;padding-right: 132px;margin-top: 32px;margin-bottom: 0px;}
.p122{text-align: justify;padding-right: 127px;margin-top: 2px;margin-bottom: 0px;text-indent: 19px;}
.p123{text-align: left;padding-right: 187px;margin-top: 36px;margin-bottom: 0px;}
.p124{text-align: justify;padding-right: 128px;margin-top: 13px;margin-bottom: 0px;}
.p125{text-align: justify;padding-left: 66px;padding-right: 6px;margin-top: 32px;margin-bottom: 0px;}
.p126{text-align: justify;padding-right: 72px;margin-top: 32px;margin-bottom: 0px;}
.p127{text-align: left;padding-left: 66px;padding-right: 33px;margin-top: 31px;margin-bottom: 0px;}
.p128{text-align: justify;padding-left: 66px;margin-top: 13px;margin-bottom: 0px;}
.p129{text-align: justify;padding-left: 66px;padding-right: 5px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p130{text-align: justify;padding-right: 128px;margin-top: 32px;margin-bottom: 0px;}
.p131{text-align: left;margin-top: 35px;margin-bottom: 0px;}
.p132{text-align: justify;padding-right: 133px;margin-top: 13px;margin-bottom: 0px;}
.p133{text-align: justify;padding-left: 19px;padding-right: 132px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p134{text-align: left;padding-left: 19px;padding-right: 133px;margin-top: 9px;margin-bottom: 0px;text-indent: -19px;}
.p135{text-align: justify;padding-left: 85px;padding-right: 76px;margin-top: 32px;margin-bottom: 0px;text-indent: -19px;}
.p136{text-align: left;padding-left: 66px;margin-top: 8px;margin-bottom: 0px;}
.p137{text-align: justify;padding-left: 85px;padding-right: 76px;margin-top: 1px;margin-bottom: 0px;}
.p138{text-align: justify;padding-left: 85px;padding-right: 71px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p139{text-align: justify;padding-left: 66px;padding-right: 70px;margin-top: 2px;margin-bottom: 0px;text-indent: 19px;}
.p140{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 9px;margin-bottom: 0px;}
.p141{text-align: justify;padding-right: 72px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p142{text-align: justify;padding-left: 66px;padding-right: 5px;margin-top: 2px;margin-bottom: 0px;text-indent: 19px;}
.p143{text-align: justify;padding-left: 66px;padding-right: 4px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p144{text-align: left;padding-left: 60px;padding-right: 234px;margin-top: 151px;margin-bottom: 0px;text-indent: -60px;}
.p145{text-align: justify;padding-left: 19px;padding-right: 128px;margin-top: 11px;margin-bottom: 0px;text-indent: -18px;}
.p146{text-align: justify;padding-right: 133px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p147{text-align: left;margin-top: 34px;margin-bottom: 0px;}
.p148{text-align: justify;padding-right: 132px;margin-top: 12px;margin-bottom: 0px;}
.p149{text-align: justify;padding-right: 132px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p150{text-align: justify;padding-right: 133px;margin-top: 2px;margin-bottom: 0px;text-indent: 19px;}
.p151{text-align: left;padding-left: 403px;margin-top: 88px;margin-bottom: 0px;}
.p152{text-align: justify;padding-left: 66px;padding-right: 70px;margin-top: 32px;margin-bottom: 0px;}
.p153{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 19px;margin-bottom: 0px;}
.p154{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 20px;margin-bottom: 0px;}
.p155{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 17px;margin-bottom: 0px;}
.p156{text-align: left;padding-left: 255px;margin-top: 16px;margin-bottom: 0px;}
.p157{text-align: left;padding-left: 265px;margin-top: 0px;margin-bottom: 0px;}
.p158{text-align: right;padding-right: 17px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p159{text-align: justify;padding-left: 76px;padding-right: 13px;margin-top: 0px;margin-bottom: 0px;}
.p160{text-align: right;margin-top: 33px;margin-bottom: 0px;}
.p161{text-align: justify;padding-left: 76px;padding-right: 12px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p162{text-align: justify;margin-top: 0px;margin-bottom: 0px;}
.p163{text-align: justify;padding-right: 3px;margin-top: 33px;margin-bottom: 0px;text-indent: 19px;}
.p164{text-align: left;padding-left: 189px;margin-top: 0px;margin-bottom: 0px;}
.p165{text-align: justify;padding-left: 235px;padding-right: 141px;margin-top: 0px;margin-bottom: 0px;text-indent: -18px;}
.p166{text-align: justify;padding-left: 216px;padding-right: 136px;margin-top: 0px;margin-bottom: 0px;}
.p167{text-align: justify;padding-left: 216px;padding-right: 141px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p168{text-align: justify;padding-left: 216px;padding-right: 136px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p169{text-align: left;padding-left: 194px;margin-top: 15px;margin-bottom: 0px;}
.p170{text-align: justify;padding-right: 348px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p171{text-align: justify;padding-left: 66px;padding-right: 84px;margin-top: 32px;margin-bottom: 0px;text-indent: 19px;}
.p172{text-align: left;padding-left: 85px;margin-top: 0px;margin-bottom: 0px;}
.p173{text-align: right;padding-right: 50px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p174{text-align: right;padding-right: 159px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p175{text-align: left;padding-left: 66px;padding-right: 79px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p176{text-align: left;padding-left: 85px;margin-top: 25px;margin-bottom: 0px;}
.p177{text-align: left;padding-left: 66px;padding-right: 76px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p178{text-align: left;padding-left: 66px;padding-right: 76px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p179{text-align: left;padding-left: 60px;padding-right: 181px;margin-top: 31px;margin-bottom: 0px;text-indent: -60px;}
.p180{text-align: left;padding-right: 133px;margin-top: 12px;margin-bottom: 0px;}
.p181{text-align: left;padding-left: 19px;margin-top: 2px;margin-bottom: 0px;}
.p182{text-align: left;padding-left: 199px;padding-right: 317px;margin-top: 15px;margin-bottom: 0px;text-indent: -10px;}
.p183{text-align: right;padding-right: 162px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p184{text-align: left;padding-left: 19px;margin-top: 37px;margin-bottom: 0px;}
.p185{text-align: justify;padding-right: 132px;margin-top: 13px;margin-bottom: 0px;}
.p186{text-align: justify;padding-right: 133px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p187{text-align: justify;padding-right: 128px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p188{text-align: left;padding-left: 403px;margin-top: 30px;margin-bottom: 0px;}
.p189{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 32px;margin-bottom: 0px;}
.p190{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 36px;margin-bottom: 0px;}
.p191{text-align: left;padding-left: 66px;margin-top: 30px;margin-bottom: 0px;}
.p192{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 14px;margin-bottom: 0px;}
.p193{text-align: justify;padding-right: 127px;margin-top: 32px;margin-bottom: 0px;}
.p194{text-align: left;padding-left: 19px;margin-top: 0px;margin-bottom: 0px;}
.p195{text-align: justify;padding-left: 19px;padding-right: 127px;margin-top: 9px;margin-bottom: 0px;text-indent: -19px;}
.p196{text-align: justify;padding-left: 19px;padding-right: 128px;margin-top: 3px;margin-bottom: 0px;text-indent: -19px;}
.p197{text-align: justify;padding-left: 19px;padding-right: 133px;margin-top: 6px;margin-bottom: 0px;text-indent: -19px;}
.p198{text-align: left;margin-top: 8px;margin-bottom: 0px;}
.p199{text-align: justify;padding-right: 127px;margin-top: 19px;margin-bottom: 0px;}
.p200{text-align: left;margin-top: 102px;margin-bottom: 0px;}
.p201{text-align: left;padding-left: 66px;margin-top: 31px;margin-bottom: 0px;}
.p202{text-align: justify;padding-left: 66px;padding-right: 70px;margin-top: 14px;margin-bottom: 0px;}
.p203{text-align: left;padding-left: 142px;padding-right: 97px;margin-top: 13px;margin-bottom: 0px;text-indent: -75px;}
.p204{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 328px;margin-bottom: 0px;}
.p205{text-align: justify;padding-right: 128px;margin-top: 1px;margin-bottom: 0px;}
.p206{text-align: left;padding-right: 133px;margin-top: 16px;margin-bottom: 0px;}
.p207{text-align: left;margin-top: 1px;margin-bottom: 0px;}
.p208{text-align: left;padding-left: 66px;padding-right: 76px;margin-top: 32px;margin-bottom: 0px;}
.p209{text-align: left;padding-left: 66px;margin-top: 36px;margin-bottom: 0px;}
.p210{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 0px;margin-bottom: 0px;}
.p211{text-align: justify;padding-left: 66px;padding-right: 70px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p212{text-align: justify;padding-right: 72px;margin-top: 32px;margin-bottom: 0px;text-indent: 19px;}
.p213{text-align: left;padding-left: 66px;margin-top: 13px;margin-bottom: 0px;}
.p214{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 2px;margin-bottom: 0px;text-indent: 19px;}
.p215{text-align: justify;padding-right: 133px;margin-top: 32px;margin-bottom: 0px;text-indent: 19px;}
.p216{text-align: justify;padding-right: 132px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p217{text-align: left;padding-left: 19px;padding-right: 240px;margin-top: 1px;margin-bottom: 0px;}
.p218{text-align: left;padding-left: 403px;margin-top: 62px;margin-bottom: 0px;}
.p219{text-align: left;padding-left: 127px;padding-right: 193px;margin-top: 36px;margin-bottom: 0px;text-indent: -61px;}
.p220{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 12px;margin-bottom: 0px;}
.p221{text-align: left;padding-left: 66px;margin-top: 14px;margin-bottom: 0px;}
.p222{text-align: left;padding-left: 66px;margin-top: 0px;margin-bottom: 0px;}
.p223{text-align: left;padding-left: 66px;padding-right: 76px;margin-top: 0px;margin-bottom: 0px;}
.p224{text-align: left;margin-top: 30px;margin-bottom: 0px;}
.p225{text-align: left;padding-left: 66px;margin-top: 56px;margin-bottom: 0px;}
.p226{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 1px;margin-bottom: 0px;}
.p227{text-align: justify;padding-right: 133px;margin-top: 10px;margin-bottom: 0px;}
.p228{text-align: justify;padding-right: 128px;margin-top: 6px;margin-bottom: 0px;}
.p229{text-align: left;padding-left: 66px;margin-top: 27px;margin-bottom: 0px;}
.p230{text-align: left;padding-left: 66px;margin-top: 1px;margin-bottom: 0px;}
.p231{text-align: justify;padding-right: 128px;margin-top: 32px;margin-bottom: 0px;text-indent: 19px;}
.p232{text-align: justify;padding-right: 127px;margin-top: 12px;margin-bottom: 0px;}
.p233{text-align: justify;padding-right: 127px;margin-top: 19px;margin-bottom: 0px;text-indent: 19px;}
.p234{text-align: justify;padding-left: 66px;padding-right: 1px;margin-top: 2px;margin-bottom: 0px;text-indent: 19px;}
.p235{text-align: left;padding-left: 60px;padding-right: 195px;margin-top: 31px;margin-bottom: 0px;text-indent: -60px;}
.p236{text-align: justify;padding-right: 128px;margin-top: 11px;margin-bottom: 0px;}
.p237{text-align: left;padding-left: 19px;padding-right: 133px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p238{text-align: left;padding-right: 128px;margin-top: 14px;margin-bottom: 0px;}
.p239{text-align: left;padding-left: 85px;padding-right: 76px;margin-top: 32px;margin-bottom: 0px;text-indent: -19px;}
.p240{text-align: left;padding-left: 85px;padding-right: 76px;margin-top: 10px;margin-bottom: 0px;text-indent: -19px;}
.p241{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 19px;margin-bottom: 0px;}
.p242{text-align: left;padding-left: 66px;padding-right: 76px;margin-top: 26px;margin-bottom: 0px;}
.p243{text-align: left;padding-left: 66px;margin-top: 4px;margin-bottom: 0px;}
.p244{text-align: justify;padding-right: 133px;margin-top: 32px;margin-bottom: 0px;}
.p245{text-align: left;padding-left: 19px;padding-right: 128px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p246{text-align: justify;padding-left: 19px;padding-right: 133px;margin-top: 7px;margin-bottom: 0px;text-indent: -19px;}
.p247{text-align: justify;padding-right: 133px;margin-top: 18px;margin-bottom: 0px;}
.p248{text-align: left;margin-top: 22px;margin-bottom: 0px;}
.p249{text-align: left;padding-right: 137px;margin-top: 1px;margin-bottom: 0px;}
.p250{text-align: left;padding-left: 66px;padding-right: 76px;margin-top: 1px;margin-bottom: 0px;}
.p251{text-align: justify;padding-right: 128px;margin-top: 2px;margin-bottom: 0px;text-indent: 19px;}
.p252{text-align: justify;padding-left: 19px;padding-right: 133px;margin-top: 9px;margin-bottom: 0px;text-indent: -19px;}
.p253{text-align: left;padding-right: 133px;margin-top: 18px;margin-bottom: 0px;}
.p254{text-align: justify;padding-right: 132px;margin-top: 20px;margin-bottom: 0px;}
.p255{text-align: left;padding-left: 66px;margin-top: 32px;margin-bottom: 0px;}
.p256{text-align: justify;padding-left: 85px;padding-right: 76px;margin-top: 9px;margin-bottom: 0px;text-indent: -19px;}
.p257{text-align: left;padding-left: 85px;padding-right: 76px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p258{text-align: left;padding-left: 85px;padding-right: 76px;margin-top: 9px;margin-bottom: 0px;text-indent: -19px;}
.p259{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 20px;margin-bottom: 0px;}
.p260{text-align: left;padding-left: 127px;padding-right: 122px;margin-top: 35px;margin-bottom: 0px;text-indent: -61px;}
.p261{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 11px;margin-bottom: 0px;}
.p262{text-align: justify;padding-right: 66px;margin-top: 2px;margin-bottom: 0px;text-indent: 19px;}
.p263{text-align: left;padding-right: 72px;margin-top: 8px;margin-bottom: 0px;}
.p264{text-align: justify;padding-right: 66px;margin-top: 4px;margin-bottom: 0px;}
.p265{text-align: justify;padding-left: 66px;margin-top: 16px;margin-bottom: 0px;}
.p266{text-align: left;padding-left: 66px;padding-right: 5px;margin-top: 6px;margin-bottom: 0px;}
.p267{text-align: left;padding-left: 19px;padding-right: 132px;margin-top: 9px;margin-bottom: 0px;text-indent: -19px;}
.p268{text-align: left;padding-right: 127px;margin-top: 19px;margin-bottom: 0px;}
.p269{text-align: left;padding-left: 60px;padding-right: 171px;margin-top: 34px;margin-bottom: 0px;text-indent: -60px;}
.p270{text-align: justify;padding-left: 66px;padding-right: 75px;margin-top: 32px;margin-bottom: 0px;}
.p271{text-align: left;padding-left: 142px;padding-right: 153px;margin-top: 17px;margin-bottom: 0px;text-indent: -75px;}
.p272{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 283px;margin-bottom: 0px;}
.p273{text-align: left;padding-right: 128px;margin-top: 82px;margin-bottom: 0px;}
.p274{text-align: justify;padding-right: 133px;margin-top: 2px;margin-bottom: 0px;}
.p275{text-align: left;padding-left: 66px;padding-right: 76px;margin-top: 25px;margin-bottom: 0px;}
.p276{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 32px;margin-bottom: 0px;text-indent: 19px;}
.p277{text-align: justify;padding-left: 66px;padding-right: 70px;margin-top: 11px;margin-bottom: 0px;}
.p278{text-align: left;margin-top: 36px;margin-bottom: 0px;}
.p279{text-align: left;padding-right: 127px;margin-top: 106px;margin-bottom: 0px;}
.p280{text-align: left;padding-left: 127px;padding-right: 40px;margin-top: 31px;margin-bottom: 0px;text-indent: -61px;}
.p281{text-align: left;padding-left: 60px;padding-right: 152px;margin-top: 0px;margin-bottom: 0px;text-indent: -60px;}
.p282{text-align: justify;padding-left: 9px;padding-right: 137px;margin-top: 153px;margin-bottom: 0px;}
.p283{text-align: left;margin-top: 41px;margin-bottom: 0px;}
.p284{text-align: left;padding-left: 403px;margin-top: 42px;margin-bottom: 0px;}
.p285{text-align: justify;padding-left: 66px;padding-right: 70px;margin-top: 13px;margin-bottom: 0px;}
.p286{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 4px;margin-bottom: 0px;text-indent: 19px;}
.p287{text-align: justify;padding-right: 128px;margin-top: 153px;margin-bottom: 0px;}
.p288{text-align: justify;padding-right: 127px;margin-top: 0px;margin-bottom: 0px;}
.p289{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 12px;margin-bottom: 0px;}
.p290{text-align: right;padding-left: 61px;padding-right: 76px;margin-top: 18px;margin-bottom: 0px;}
.p291{text-align: left;padding-left: 66px;margin-top: 23px;margin-bottom: 0px;}
.p292{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 0px;margin-bottom: 0px;}
.p293{text-align: left;padding-right: 133px;margin-top: 32px;margin-bottom: 0px;}
.p294{text-align: left;padding-right: 132px;margin-top: 1px;margin-bottom: 0px;}
.p295{text-align: left;margin-top: 17px;margin-bottom: 0px;}
.p296{text-align: left;padding-right: 133px;margin-top: 1px;margin-bottom: 0px;}
.p297{text-align: left;padding-left: 85px;padding-right: 76px;margin-top: 31px;margin-bottom: 0px;}
.p298{text-align: left;padding-left: 66px;padding-right: 76px;margin-top: 10px;margin-bottom: 0px;}
.p299{text-align: left;padding-left: 66px;padding-right: 79px;margin-top: 4px;margin-bottom: 0px;}
.p300{text-align: justify;padding-right: 128px;margin-top: 14px;margin-bottom: 0px;}
.p301{text-align: justify;padding-right: 132px;margin-top: 73px;margin-bottom: 0px;}
.p302{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 5px;margin-bottom: 0px;text-indent: 19px;}
.p303{text-align: left;padding-left: 66px;margin-top: 131px;margin-bottom: 0px;}
.p304{text-align: left;padding-right: 128px;margin-top: 26px;margin-bottom: 0px;}
.p305{text-align: justify;padding-left: 66px;padding-right: 1px;margin-top: 32px;margin-bottom: 0px;}
.p306{text-align: left;padding-left: 66px;padding-right: 6px;margin-top: 40px;margin-bottom: 0px;}
.p307{text-align: justify;padding-right: 128px;margin-top: 7px;margin-bottom: 0px;text-indent: 19px;}
.p308{text-align: left;margin-top: 6px;margin-bottom: 0px;}
.p309{text-align: justify;padding-right: 128px;margin-top: 8px;margin-bottom: 0px;text-indent: 19px;}
.p310{text-align: left;margin-top: 21px;margin-bottom: 0px;}
.p311{text-align: left;padding-left: 66px;padding-right: 4px;margin-top: 94px;margin-bottom: 0px;}
.p312{text-align: left;padding-left: 60px;padding-right: 255px;margin-top: 31px;margin-bottom: 0px;text-indent: -60px;}
.p313{text-align: justify;padding-right: 127px;margin-top: 7px;margin-bottom: 0px;text-indent: 19px;}
.p314{text-align: justify;padding-right: 128px;margin-top: 20px;margin-bottom: 0px;}
.p315{text-align: justify;padding-right: 133px;margin-top: 313px;margin-bottom: 0px;}
.p316{text-align: left;padding-right: 132px;margin-top: 16px;margin-bottom: 0px;}
.p317{text-align: left;margin-top: 4px;margin-bottom: 0px;}
.p318{text-align: left;padding-left: 66px;margin-top: 128px;margin-bottom: 0px;}
.p319{text-align: left;padding-left: 60px;padding-right: 249px;margin-top: 0px;margin-bottom: 0px;text-indent: -60px;}
.p320{text-align: left;margin-top: 147px;margin-bottom: 0px;}
.p321{text-align: justify;padding-right: 127px;margin-top: 21px;margin-bottom: 0px;}
.p322{text-align: left;padding-left: 397px;margin-top: 32px;margin-bottom: 0px;}
.p323{text-align: justify;padding-left: 66px;padding-right: 70px;margin-top: 32px;margin-bottom: 0px;text-indent: 19px;}
.p324{text-align: justify;padding-left: 66px;padding-right: 6px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p325{text-align: justify;padding-left: 66px;margin-top: 2px;margin-bottom: 0px;text-indent: 19px;}
.p326{text-align: left;padding-left: 60px;padding-right: 195px;margin-top: 35px;margin-bottom: 0px;text-indent: -60px;}
.p327{text-align: justify;padding-right: 127px;margin-top: 46px;margin-bottom: 0px;}
.p328{text-align: left;padding-left: 66px;margin-top: 54px;margin-bottom: 0px;}
.p329{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 9px;margin-bottom: 0px;}
.p330{text-align: justify;padding-right: 128px;margin-top: 30px;margin-bottom: 0px;}
.p331{text-align: left;padding-left: 66px;padding-right: 76px;margin-top: 11px;margin-bottom: 0px;}
.p332{text-align: left;padding-left: 66px;padding-right: 71px;margin-top: 4px;margin-bottom: 0px;}
.p333{text-align: justify;padding-right: 72px;margin-top: 4px;margin-bottom: 0px;text-indent: 19px;}
.p334{text-align: left;padding-left: 127px;padding-right: 115px;margin-top: 31px;margin-bottom: 0px;text-indent: -61px;}
.p335{text-align: left;padding-left: 66px;padding-right: 76px;margin-top: 13px;margin-bottom: 0px;}
.p336{text-align: justify;padding-left: 66px;padding-right: 1px;margin-top: 32px;margin-bottom: 0px;text-indent: 19px;}
.p337{text-align: left;padding-left: 127px;padding-right: 28px;margin-top: 35px;margin-bottom: 0px;text-indent: -61px;}
.p338{text-align: justify;padding-left: 66px;margin-top: 11px;margin-bottom: 0px;}
.p339{text-align: justify;padding-left: 66px;padding-right: 1px;margin-top: 10px;margin-bottom: 0px;}
.p340{text-align: justify;padding-left: 66px;padding-right: 1px;margin-top: 0px;margin-bottom: 0px;}
.p341{text-align: justify;padding-left: 66px;padding-right: 6px;margin-top: 1px;margin-bottom: 0px;}
.p342{text-align: justify;padding-right: 71px;margin-top: 32px;margin-bottom: 0px;}
.p343{text-align: left;margin-top: 16px;margin-bottom: 0px;}
.p344{text-align: left;padding-left: 397px;margin-top: 30px;margin-bottom: 0px;}
.p345{text-align: left;padding-left: 66px;margin-top: 29px;margin-bottom: 0px;}
.p346{text-align: left;padding-left: 66px;padding-right: 76px;margin-top: 14px;margin-bottom: 0px;}
.p347{text-align: left;padding-left: 66px;padding-right: 71px;margin-top: 18px;margin-bottom: 0px;}
.p348{text-align: left;padding-left: 66px;margin-top: 33px;margin-bottom: 0px;}
.p349{text-align: left;padding-left: 66px;padding-right: 71px;margin-top: 31px;margin-bottom: 0px;}
.p350{text-align: justify;padding-right: 127px;margin-top: 6px;margin-bottom: 0px;text-indent: 19px;}
.p351{text-align: justify;padding-right: 133px;margin-top: 12px;margin-bottom: 0px;}
.p352{text-align: left;padding-left: 19px;padding-right: 128px;margin-top: 9px;margin-bottom: 0px;text-indent: -19px;}
.p353{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 11px;margin-bottom: 0px;text-indent: 19px;}
.p354{text-align: justify;padding-right: 133px;margin-top: 14px;margin-bottom: 0px;}
.p355{text-align: justify;padding-left: 66px;padding-right: 70px;margin-top: 12px;margin-bottom: 0px;}
.p356{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 17px;margin-bottom: 0px;}
.p357{text-align: left;padding-left: 66px;margin-top: 61px;margin-bottom: 0px;}
.p358{text-align: justify;padding-right: 127px;margin-top: 18px;margin-bottom: 0px;}
.p359{text-align: left;padding-left: 60px;padding-right: 268px;margin-top: 35px;margin-bottom: 0px;text-indent: -60px;}
.p360{text-align: left;margin-top: 11px;margin-bottom: 0px;}
.p361{text-align: left;padding-left: 85px;padding-right: 71px;margin-top: 9px;margin-bottom: 0px;text-indent: -19px;}
.p362{text-align: left;padding-left: 66px;margin-top: 18px;margin-bottom: 0px;}
.p363{text-align: justify;padding-left: 85px;padding-right: 71px;margin-top: 9px;margin-bottom: 0px;text-indent: -19px;}
.p364{text-align: left;padding-left: 85px;padding-right: 76px;margin-top: 4px;margin-bottom: 0px;text-indent: -19px;}
.p365{text-align: left;padding-left: 66px;margin-top: 60px;margin-bottom: 0px;}
.p366{text-align: left;margin-top: 55px;margin-bottom: 0px;}
.p367{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 11px;margin-bottom: 0px;}
.p368{text-align: left;padding-left: 66px;margin-top: 115px;margin-bottom: 0px;}
.p369{text-align: justify;padding-right: 132px;margin-top: 14px;margin-bottom: 0px;}
.p370{text-align: left;margin-top: 28px;margin-bottom: 0px;}
.p371{text-align: left;padding-left: 66px;padding-right: 76px;margin-top: 9px;margin-bottom: 0px;}
.p372{text-align: left;padding-left: 66px;margin-top: 2px;margin-bottom: 0px;}
.p373{text-align: left;padding-left: 66px;padding-right: 71px;margin-top: 0px;margin-bottom: 0px;}
.p374{text-align: left;padding-left: 19px;padding-right: 128px;margin-top: 10px;margin-bottom: 0px;text-indent: -19px;}
.p375{text-align: justify;padding-left: 19px;padding-right: 132px;margin-top: 6px;margin-bottom: 0px;text-indent: -19px;}
.p376{text-align: left;padding-right: 133px;margin-top: 101px;margin-bottom: 0px;}
.p377{text-align: left;padding-left: 66px;padding-right: 71px;margin-top: 42px;margin-bottom: 0px;}
.p378{text-align: left;margin-top: 42px;margin-bottom: 0px;}
.p379{text-align: left;padding-left: 66px;padding-right: 71px;margin-top: 32px;margin-bottom: 0px;}
.p380{text-align: left;padding-left: 66px;margin-top: 70px;margin-bottom: 0px;}
.p381{text-align: justify;padding-right: 128px;margin-top: 19px;margin-bottom: 0px;}
.p382{text-align: left;padding-left: 397px;margin-top: 28px;margin-bottom: 0px;}
.p383{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 61px;margin-bottom: 0px;}
.p384{text-align: left;padding-left: 66px;padding-right: 71px;margin-top: 6px;margin-bottom: 0px;}
.p385{text-align: left;padding-left: 85px;padding-right: 71px;margin-top: 10px;margin-bottom: 0px;text-indent: -19px;}
.p386{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 16px;margin-bottom: 0px;}
.p387{text-align: left;margin-top: 20px;margin-bottom: 0px;}
.p388{text-align: left;padding-left: 66px;margin-top: 51px;margin-bottom: 0px;}
.p389{text-align: left;padding-left: 60px;padding-right: 137px;margin-top: 34px;margin-bottom: 0px;text-indent: -60px;}
.p390{text-align: justify;padding-right: 67px;margin-top: 14px;margin-bottom: 0px;}
.p391{text-align: justify;padding-right: 71px;margin-top: 27px;margin-bottom: 0px;}
.p392{text-align: left;padding-right: 72px;margin-top: 6px;margin-bottom: 0px;}
.p393{text-align: justify;padding-left: 66px;padding-right: 75px;padding-top: 1px;margin-top: 32px;margin-bottom: 0px;}
.p394{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 3px;margin-bottom: 0px;text-indent: 19px;}
.p395{text-align: left;padding-left: 66px;margin-top: 82px;margin-bottom: 0px;}
.p396{text-align: left;padding-left: 60px;padding-right: 169px;margin-top: 31px;margin-bottom: 0px;text-indent: -60px;}
.p397{text-align: justify;padding-right: 128px;margin-top: 69px;margin-bottom: 0px;}
.p398{text-align: justify;padding-right: 127px;margin-top: 3px;margin-bottom: 0px;}
.p399{text-align: justify;padding-left: 66px;padding-right: 75px;margin-top: 12px;margin-bottom: 0px;}
.p400{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 27px;margin-bottom: 0px;}
.p401{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 1px;margin-bottom: 0px;}
.p402{text-align: left;padding-right: 133px;margin-top: 37px;margin-bottom: 0px;}
.p403{text-align: justify;padding-left: 66px;padding-right: 76px;padding-top: 1px;margin-top: 32px;margin-bottom: 0px;}
.p404{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 1px;margin-bottom: 0px;text-indent: 23px;}
.p405{text-align: left;padding-left: 66px;margin-top: 19px;margin-bottom: 0px;}
.p406{text-align: left;padding-left: 19px;padding-right: 133px;margin-top: 32px;margin-bottom: 0px;text-indent: -19px;}
.p407{text-align: left;padding-left: 60px;padding-right: 165px;margin-top: 35px;margin-bottom: 0px;text-indent: -60px;}
.p408{text-align: justify;padding-right: 132px;margin-top: 11px;margin-bottom: 0px;}
.p409{text-align: left;padding-left: 127px;padding-right: 130px;margin-top: 34px;margin-bottom: 0px;text-indent: -61px;}
.p410{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 8px;margin-bottom: 0px;text-indent: 19px;}
.p411{text-align: justify;padding-right: 127px;margin-top: 1px;margin-bottom: 0px;}
.p412{text-align: justify;padding-right: 72px;margin-top: 2px;margin-bottom: 0px;text-indent: 19px;}
.p413{text-align: left;padding-left: 66px;margin-top: 12px;margin-bottom: 0px;}
.p414{text-align: left;padding-left: 127px;padding-right: 213px;margin-top: 35px;margin-bottom: 0px;text-indent: -61px;}
.p415{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 34px;margin-bottom: 0px;}
.p416{text-align: left;margin-top: 12px;margin-bottom: 0px;}
.p417{text-align: justify;padding-right: 132px;margin-top: 19px;margin-bottom: 0px;}
.p418{text-align: justify;padding-right: 133px;margin-top: 1px;margin-bottom: 0px;}
.p419{text-align: left;padding-left: 66px;padding-right: 76px;margin-top: 66px;margin-bottom: 0px;}
.p420{text-align: left;padding-left: 66px;margin-top: 11px;margin-bottom: 0px;}
.p421{text-align: left;padding-right: 127px;margin-top: 22px;margin-bottom: 0px;}
.p422{text-align: left;padding-right: 132px;margin-top: 49px;margin-bottom: 0px;}
.p423{text-align: left;margin-top: 96px;margin-bottom: 0px;}
.p424{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 10px;margin-bottom: 0px;text-indent: 19px;}
.p425{text-align: left;padding-left: 66px;padding-right: 71px;margin-top: 97px;margin-bottom: 0px;}
.p426{text-align: justify;padding-right: 133px;margin-top: 20px;margin-bottom: 0px;}
.p427{text-align: left;padding-left: 66px;padding-right: 76px;margin-top: 22px;margin-bottom: 0px;}
.p428{text-align: justify;padding-right: 133px;margin-top: 4px;margin-bottom: 0px;}
.p429{text-align: left;padding-right: 133px;margin-top: 50px;margin-bottom: 0px;}
.p430{text-align: left;padding-left: 66px;margin-top: 65px;margin-bottom: 0px;}
.p431{text-align: left;padding-left: 77px;margin-top: 0px;margin-bottom: 0px;}
.p432{text-align: left;padding-right: 133px;margin-top: 0px;margin-bottom: 0px;text-indent: 10px;}
.p433{text-align: left;padding-left: 10px;margin-top: 0px;margin-bottom: 0px;}
.p434{text-align: left;padding-right: 133px;margin-top: 0px;margin-bottom: 0px;}
.p435{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 160px;margin-bottom: 0px;}
.p436{text-align: justify;padding-right: 133px;margin-top: 28px;margin-bottom: 0px;}
.p437{text-align: justify;padding-right: 133px;margin-top: 0px;margin-bottom: 0px;}
.p438{text-align: justify;padding-right: 127px;margin-top: 5px;margin-bottom: 0px;}
.p439{text-align: left;padding-left: 66px;margin-top: 127px;margin-bottom: 0px;}
.p440{text-align: left;margin-top: 23px;margin-bottom: 0px;}
.p441{text-align: left;padding-left: 66px;padding-right: 71px;margin-top: 14px;margin-bottom: 0px;}
.p442{text-align: justify;padding-right: 132px;margin-top: 32px;margin-bottom: 0px;text-indent: 19px;}
.p443{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 32px;margin-bottom: 0px;text-indent: 19px;}
.p444{text-align: left;padding-right: 132px;margin-top: 15px;margin-bottom: 0px;}
.p445{text-align: justify;padding-right: 133px;margin-top: 69px;margin-bottom: 0px;}
.p446{text-align: left;padding-left: 66px;padding-right: 76px;margin-top: 45px;margin-bottom: 0px;}
.p447{text-align: left;padding-right: 128px;margin-top: 32px;margin-bottom: 0px;}
.p448{text-align: left;padding-right: 128px;margin-top: 18px;margin-bottom: 0px;}
.p449{text-align: left;padding-left: 85px;padding-right: 71px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p450{text-align: left;padding-left: 66px;padding-right: 76px;margin-top: 17px;margin-bottom: 0px;}
.p451{text-align: left;margin-top: 18px;margin-bottom: 0px;}
.p452{text-align: left;padding-right: 128px;margin-top: 60px;margin-bottom: 0px;}
.p453{text-align: left;padding-left: 66px;padding-right: 76px;margin-top: 12px;margin-bottom: 0px;}
.p454{text-align: justify;padding-left: 85px;padding-right: 75px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p455{text-align: justify;padding-right: 132px;margin-top: 10px;margin-bottom: 0px;text-indent: 19px;}
.p456{text-align: left;margin-top: 73px;margin-bottom: 0px;}
.p457{text-align: left;margin-top: 26px;margin-bottom: 0px;}
.p458{text-align: justify;padding-left: 85px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p459{text-align: justify;padding-left: 85px;margin-top: 7px;margin-bottom: 0px;text-indent: -19px;}
.p460{text-align: justify;padding-left: 85px;padding-right: 4px;margin-top: 7px;margin-bottom: 0px;text-indent: -19px;}
.p461{text-align: left;padding-left: 127px;padding-right: 153px;margin-top: 35px;margin-bottom: 0px;text-indent: -61px;}
.p462{text-align: justify;padding-left: 66px;padding-right: 5px;margin-top: 13px;margin-bottom: 0px;}
.p463{text-align: left;padding-left: 85px;padding-right: 5px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p464{text-align: justify;padding-left: 85px;padding-right: 5px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p465{text-align: justify;padding-left: 66px;margin-top: 18px;margin-bottom: 0px;}
.p466{text-align: left;padding-left: 136px;padding-right: 82px;margin-top: 0px;margin-bottom: 0px;text-indent: -60px;}
.p467{text-align: justify;padding-left: 85px;padding-right: 4px;margin-top: 153px;margin-bottom: 0px;}
.p468{text-align: justify;padding-left: 104px;padding-right: 9px;margin-top: 9px;margin-bottom: 0px;text-indent: -19px;}
.p469{text-align: left;padding-left: 104px;padding-right: 9px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p470{text-align: justify;padding-left: 104px;padding-right: 9px;margin-top: 10px;margin-bottom: 0px;text-indent: -19px;}
.p471{text-align: justify;padding-left: 104px;padding-right: 9px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p472{text-align: left;padding-left: 104px;padding-right: 9px;margin-top: 9px;margin-bottom: 0px;text-indent: -19px;}
.p473{text-align: right;margin-top: 50px;margin-bottom: 0px;}
.p474{text-align: justify;padding-left: 19px;padding-right: 5px;margin-top: 0px;margin-bottom: 0px;text-indent: -19px;}
.p475{text-align: justify;padding-left: 19px;padding-right: 5px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p476{text-align: left;padding-left: 19px;padding-right: 5px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p477{text-align: left;padding-left: 19px;padding-right: 1px;margin-top: 9px;margin-bottom: 0px;text-indent: -19px;}
.p478{text-align: justify;padding-left: 19px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p479{text-align: left;padding-left: 19px;padding-right: 6px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p480{text-align: justify;padding-left: 19px;padding-right: 6px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p481{text-align: justify;padding-left: 19px;margin-top: 9px;margin-bottom: 0px;text-indent: -19px;}
.p482{text-align: left;padding-left: 28px;padding-right: 142px;margin-top: 32px;margin-bottom: 0px;}
.p483{text-align: left;padding-left: 28px;padding-right: 142px;margin-top: 10px;margin-bottom: 0px;text-indent: -19px;}
.p484{text-align: justify;padding-left: 28px;padding-right: 142px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p485{text-align: left;padding-left: 28px;padding-right: 142px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p486{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 6px;margin-bottom: 0px;text-indent: 19px;}
.p487{text-align: left;padding-right: 72px;margin-top: 32px;margin-bottom: 0px;}
.p488{text-align: left;padding-left: 19px;padding-right: 72px;margin-top: 10px;margin-bottom: 0px;text-indent: -19px;}
.p489{text-align: justify;padding-left: 19px;padding-right: 67px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p490{text-align: justify;padding-right: 66px;margin-top: 14px;margin-bottom: 0px;}
.p491{text-align: justify;padding-left: 66px;margin-top: 19px;margin-bottom: 0px;text-indent: 19px;}
.p492{text-align: left;padding-left: 85px;margin-top: 32px;margin-bottom: 0px;text-indent: -19px;}
.p493{text-align: justify;padding-left: 85px;padding-right: 5px;margin-top: 9px;margin-bottom: 0px;text-indent: -19px;}
.p494{text-align: justify;padding-left: 85px;margin-top: 9px;margin-bottom: 0px;text-indent: -19px;}
.p495{text-align: justify;padding-left: 85px;padding-right: 5px;margin-top: 7px;margin-bottom: 0px;text-indent: -19px;}
.p496{text-align: left;padding-left: 66px;padding-right: 88px;margin-top: 34px;margin-bottom: 0px;}
.p497{text-align: left;padding-left: 66px;padding-right: 5px;margin-top: 27px;margin-bottom: 0px;}
.p498{text-align: left;padding-left: 66px;padding-right: 141px;margin-top: 12px;margin-bottom: 0px;}
.p499{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 10px;margin-bottom: 0px;}
.p500{text-align: left;padding-left: 66px;padding-right: 71px;margin-top: 21px;margin-bottom: 0px;}
.p501{text-align: left;padding-right: 189px;margin-top: 34px;margin-bottom: 0px;}
.p502{text-align: left;padding-right: 133px;margin-top: 51px;margin-bottom: 0px;}
.p503{text-align: left;padding-left: 66px;padding-right: 71px;margin-top: 10px;margin-bottom: 0px;}
.p504{text-align: left;margin-top: 39px;margin-bottom: 0px;}
.p505{text-align: left;padding-left: 66px;margin-top: 24px;margin-bottom: 0px;}
.p506{text-align: justify;padding-right: 67px;margin-top: 19px;margin-bottom: 0px;}
.p507{text-align: left;padding-right: 72px;margin-top: 3px;margin-bottom: 0px;}
.p508{text-align: justify;padding-left: 19px;padding-right: 72px;margin-top: 10px;margin-bottom: 0px;text-indent: -19px;}
.p509{text-align: justify;padding-left: 19px;padding-right: 72px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p510{text-align: left;padding-left: 19px;padding-right: 66px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p511{text-align: left;padding-right: 174px;margin-top: 33px;margin-bottom: 0px;}
.p512{text-align: justify;padding-right: 67px;margin-top: 13px;margin-bottom: 0px;}
.p513{text-align: left;padding-left: 66px;margin-top: 39px;margin-bottom: 0px;}
.p514{text-align: left;padding-left: 19px;padding-right: 133px;margin-top: 10px;margin-bottom: 0px;text-indent: -19px;}
.p515{text-align: left;padding-left: 19px;padding-right: 132px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p516{text-align: left;padding-right: 207px;margin-top: 11px;margin-bottom: 0px;}
.p517{text-align: left;padding-right: 265px;margin-top: 35px;margin-bottom: 0px;}
.p518{text-align: left;padding-right: 133px;margin-top: 29px;margin-bottom: 0px;}
.p519{text-align: left;padding-left: 66px;margin-top: 15px;margin-bottom: 0px;}
.p520{text-align: left;padding-right: 160px;margin-top: 15px;margin-bottom: 0px;}
.p521{text-align: justify;padding-right: 128px;margin-top: 4px;margin-bottom: 0px;}
.p522{text-align: justify;padding-right: 67px;margin-top: 2px;margin-bottom: 0px;text-indent: 19px;}
.p523{text-align: left;padding-right: 241px;margin-top: 11px;margin-bottom: 0px;}
.p524{text-align: left;padding-right: 76px;margin-top: 35px;margin-bottom: 0px;}
.p525{text-align: justify;padding-right: 66px;margin-top: 11px;margin-bottom: 0px;}
.p526{text-align: left;padding-left: 66px;padding-right: 179px;margin-top: 32px;margin-bottom: 0px;}
.p527{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 10px;margin-bottom: 0px;}
.p528{text-align: left;padding-left: 66px;margin-top: 20px;margin-bottom: 0px;}
.p529{text-align: justify;padding-right: 132px;margin-top: 25px;margin-bottom: 0px;}
.p530{text-align: justify;padding-right: 67px;margin-top: 7px;margin-bottom: 0px;text-indent: 19px;}
.p531{text-align: left;padding-right: 197px;margin-top: 11px;margin-bottom: 0px;}
.p532{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 4px;margin-bottom: 0px;text-indent: 19px;}
.p533{text-align: justify;padding-right: 72px;margin-top: 5px;margin-bottom: 0px;text-indent: 19px;}
.p534{text-align: left;padding-right: 71px;margin-top: 40px;margin-bottom: 0px;}
.p535{text-align: left;padding-left: 66px;margin-top: 26px;margin-bottom: 0px;}
.p536{text-align: justify;padding-right: 133px;padding-top: 1px;margin-top: 32px;margin-bottom: 0px;}
.p537{text-align: justify;padding-right: 133px;margin-top: 6px;margin-bottom: 0px;text-indent: 19px;}
.p538{text-align: justify;padding-right: 133px;margin-top: 42px;margin-bottom: 0px;}
.p539{text-align: justify;padding-left: 66px;margin-top: 9px;margin-bottom: 0px;text-indent: 19px;}
.p540{text-align: left;padding-left: 397px;margin-top: 26px;margin-bottom: 0px;}
.p541{text-align: left;padding-left: 66px;margin-top: 16px;margin-bottom: 0px;}
.p542{text-align: justify;padding-right: 132px;margin-top: 0px;margin-bottom: 0px;}
.p543{text-align: justify;padding-right: 133px;margin-top: 25px;margin-bottom: 0px;}
.p544{text-align: left;padding-left: 66px;margin-top: 22px;margin-bottom: 0px;}
.p545{text-align: left;padding-left: 66px;padding-right: 76px;margin-top: 62px;margin-bottom: 0px;}
.p546{text-align: justify;padding-right: 132px;margin-top: 43px;margin-bottom: 0px;}
.p547{text-align: justify;padding-left: 66px;padding-right: 75px;margin-top: 3px;margin-bottom: 0px;text-indent: 19px;}
.p548{text-align: left;padding-left: 85px;margin-top: 1px;margin-bottom: 0px;}
.p549{text-align: left;padding-left: 66px;padding-right: 74px;margin-top: 13px;margin-bottom: 0px;}
.p550{text-align: left;padding-left: 19px;padding-right: 133px;margin-top: 32px;margin-bottom: 0px;}
.p551{text-align: justify;padding-left: 19px;padding-right: 132px;margin-top: 10px;margin-bottom: 0px;text-indent: -19px;}
.p552{text-align: justify;padding-right: 132px;margin-top: 18px;margin-bottom: 0px;}
.p553{text-align: left;padding-right: 133px;margin-top: 30px;margin-bottom: 0px;}
.p554{text-align: left;padding-left: 66px;margin-top: 6px;margin-bottom: 0px;}
.p555{text-align: left;padding-left: 19px;padding-right: 132px;margin-top: 6px;margin-bottom: 0px;text-indent: -19px;}
.p556{text-align: justify;padding-right: 128px;margin-top: 38px;margin-bottom: 0px;}
.p557{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 154px;margin-bottom: 0px;}
.p558{text-align: left;padding-left: 66px;padding-right: 178px;margin-top: 18px;margin-bottom: 0px;}
.p559{text-align: justify;padding-right: 133px;margin-top: 16px;margin-bottom: 0px;}
.p560{text-align: left;padding-left: 66px;padding-right: 38px;margin-top: 37px;margin-bottom: 0px;}
.p561{text-align: justify;padding-left: 66px;padding-right: 6px;margin-top: 11px;margin-bottom: 0px;}
.p562{text-align: justify;padding-right: 128px;margin-top: 0px;margin-bottom: 0px;}
.p563{text-align: left;padding-left: 66px;padding-right: 80px;margin-top: 32px;margin-bottom: 0px;}
.p564{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 67px;margin-bottom: 0px;}
.p565{text-align: left;padding-left: 66px;padding-right: 71px;margin-top: 5px;margin-bottom: 0px;}
.p566{text-align: justify;padding-left: 19px;padding-right: 133px;margin-top: 1px;margin-bottom: 0px;}
.p567{text-align: left;padding-right: 133px;margin-top: 2px;margin-bottom: 0px;}
.p568{text-align: left;padding-left: 66px;margin-top: 90px;margin-bottom: 0px;}
.p569{text-align: left;padding-left: 5px;margin-top: 32px;margin-bottom: 0px;}
.p570{text-align: left;padding-left: 5px;margin-top: 11px;margin-bottom: 0px;}
.p571{text-align: justify;padding-left: 5px;padding-right: 128px;margin-top: 12px;margin-bottom: 0px;}
.p572{text-align: right;padding-right: 132px;margin-top: 1px;margin-bottom: 0px;}
.p573{text-align: left;padding-left: 5px;margin-top: 0px;margin-bottom: 0px;}
.p574{text-align: left;padding-left: 5px;margin-top: 36px;margin-bottom: 0px;}
.p575{text-align: left;padding-left: 5px;padding-right: 138px;margin-top: 28px;margin-bottom: 0px;}
.p576{text-align: justify;padding-left: 5px;padding-right: 133px;margin-top: 0px;margin-bottom: 0px;}
.p577{text-align: left;padding-left: 5px;padding-right: 128px;margin-top: 4px;margin-bottom: 0px;}
.p578{text-align: left;padding-left: 66px;padding-right: 76px;margin-top: 16px;margin-bottom: 0px;}
.p579{text-align: left;padding-right: 127px;margin-top: 63px;margin-bottom: 0px;}
.p580{text-align: left;padding-left: 85px;padding-right: 71px;margin-top: 7px;margin-bottom: 0px;text-indent: -19px;}
.p581{text-align: left;padding-left: 85px;padding-right: 76px;margin-top: 7px;margin-bottom: 0px;text-indent: -19px;}
.p582{text-align: left;padding-right: 133px;margin-top: 40px;margin-bottom: 0px;}
.p583{text-align: left;padding-left: 66px;padding-right: 74px;margin-top: 21px;margin-bottom: 0px;}
.p584{text-align: left;margin-top: 80px;margin-bottom: 0px;}
.p585{text-align: left;padding-right: 128px;margin-top: 1px;margin-bottom: 0px;}
.p586{text-align: justify;padding-left: 66px;padding-right: 75px;margin-top: 13px;margin-bottom: 0px;}
.p587{text-align: left;padding-left: 66px;padding-right: 76px;margin-top: 53px;margin-bottom: 0px;}
.p588{text-align: justify;padding-right: 72px;padding-top: 1px;margin-top: 32px;margin-bottom: 0px;}
.p589{text-align: left;padding-right: 188px;margin-top: 35px;margin-bottom: 0px;}
.p590{text-align: justify;padding-right: 66px;margin-top: 8px;margin-bottom: 0px;}
.p591{text-align: left;padding-right: 72px;margin-top: 1px;margin-bottom: 0px;}
.p592{text-align: justify;padding-right: 67px;margin-top: 0px;margin-bottom: 0px;}
.p593{text-align: left;padding-right: 71px;margin-top: 0px;margin-bottom: 0px;}
.p594{text-align: justify;padding-left: 66px;padding-right: 76px;padding-top: 1px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p595{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 26px;margin-bottom: 0px;}
.p596{text-align: justify;padding-right: 127px;margin-top: 49px;margin-bottom: 0px;}
.p597{text-align: left;padding-left: 66px;padding-right: 93px;margin-top: 39px;margin-bottom: 0px;}
.p598{text-align: left;padding-right: 133px;margin-top: 95px;margin-bottom: 0px;}
.p599{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 5px;margin-bottom: 0px;}
.p600{text-align: justify;padding-left: 66px;padding-right: 70px;margin-top: 1px;margin-bottom: 0px;}
.p601{text-align: justify;padding-right: 127px;margin-top: 32px;margin-bottom: 0px;text-indent: 19px;}
.p602{text-align: justify;padding-right: 128px;margin-top: 42px;margin-bottom: 0px;}
.p603{text-align: left;padding-left: 66px;margin-top: 126px;margin-bottom: 0px;}
.p604{text-align: left;padding-right: 165px;margin-top: 32px;margin-bottom: 0px;}
.p605{text-align: justify;padding-right: 127px;margin-top: 10px;margin-bottom: 0px;}
.p606{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 44px;margin-bottom: 0px;}
.p607{text-align: justify;padding-right: 133px;margin-top: 9px;margin-bottom: 0px;}
.p608{text-align: left;padding-right: 128px;margin-top: 5px;margin-bottom: 0px;}
.p609{text-align: left;padding-left: 66px;margin-top: 5px;margin-bottom: 0px;}
.p610{text-align: left;padding-left: 66px;margin-top: 84px;margin-bottom: 0px;}
.p611{text-align: justify;padding-right: 127px;margin-top: 70px;margin-bottom: 0px;}
.p612{text-align: justify;padding-left: 85px;padding-right: 5px;margin-top: 32px;margin-bottom: 0px;text-indent: -19px;}
.p613{text-align: justify;padding-left: 66px;margin-top: 5px;margin-bottom: 0px;}
.p614{text-align: justify;padding-right: 132px;margin-top: 57px;margin-bottom: 0px;}
.p615{text-align: justify;padding-right: 128px;margin-top: 5px;margin-bottom: 0px;}
.p616{text-align: left;padding-left: 66px;padding-right: 243px;margin-top: 31px;margin-bottom: 0px;}
.p617{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 8px;margin-bottom: 0px;}
.p618{text-align: left;padding-right: 133px;margin-top: 13px;margin-bottom: 0px;}
.p619{text-align: left;padding-right: 127px;margin-top: 23px;margin-bottom: 0px;}
.p620{text-align: justify;padding-left: 66px;padding-right: 75px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p621{text-align: justify;padding-right: 133px;margin-top: 128px;margin-bottom: 0px;}
.p622{text-align: left;padding-right: 128px;margin-top: 6px;margin-bottom: 0px;}
.p623{text-align: left;padding-left: 66px;padding-right: 76px;margin-top: 15px;margin-bottom: 0px;}
.p624{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 18px;margin-bottom: 0px;}
.p625{text-align: left;padding-left: 66px;padding-right: 76px;margin-top: 2px;margin-bottom: 0px;}
.p626{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 2px;margin-bottom: 0px;}
.p627{text-align: justify;padding-right: 72px;margin-top: 40px;margin-bottom: 0px;}
.p628{text-align: justify;padding-right: 67px;margin-top: 6px;margin-bottom: 0px;}
.p629{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 90px;margin-bottom: 0px;}
.p630{text-align: left;margin-top: 43px;margin-bottom: 0px;}
.p631{text-align: justify;padding-right: 133px;padding-top: 1px;margin-top: 12px;margin-bottom: 0px;}
.p632{text-align: left;padding-right: 132px;margin-top: 33px;margin-bottom: 0px;}
.p633{text-align: justify;padding-left: 66px;padding-right: 70px;margin-top: 3px;margin-bottom: 0px;text-indent: 19px;}
.p634{text-align: justify;padding-right: 133px;margin-top: 15px;margin-bottom: 0px;}
.p635{text-align: left;padding-right: 128px;margin-top: 0px;margin-bottom: 0px;}
.p636{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 3px;margin-bottom: 0px;}
.p637{text-align: justify;padding-right: 67px;margin-top: 6px;margin-bottom: 0px;text-indent: 19px;}
.p638{text-align: left;padding-right: 72px;margin-top: 18px;margin-bottom: 0px;}
.p639{text-align: justify;padding-right: 67px;margin-top: 4px;margin-bottom: 0px;}
.p640{text-align: left;padding-left: 66px;padding-right: 108px;margin-top: 30px;margin-bottom: 0px;}
.p641{text-align: left;padding-left: 66px;padding-right: 71px;margin-top: 24px;margin-bottom: 0px;}
.p642{text-align: left;padding-left: 66px;padding-right: 96px;margin-top: 95px;margin-bottom: 0px;}
.p643{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 133px;margin-bottom: 0px;}
.p644{text-align: left;padding-right: 223px;margin-top: 32px;margin-bottom: 0px;}
.p645{text-align: left;padding-right: 132px;margin-top: 0px;margin-bottom: 0px;}
.p646{text-align: left;padding-left: 66px;margin-top: 62px;margin-bottom: 0px;}
.p647{text-align: justify;padding-left: 66px;padding-right: 5px;margin-top: 0px;margin-bottom: 0px;}
.p648{text-align: left;padding-left: 66px;padding-right: 5px;margin-top: 0px;margin-bottom: 0px;}
.p649{text-align: left;padding-left: 66px;padding-right: 5px;margin-top: 2px;margin-bottom: 0px;}
.p650{text-align: justify;padding-right: 132px;margin-top: 10px;margin-bottom: 0px;}
.p651{text-align: left;padding-right: 133px;margin-top: 15px;margin-bottom: 0px;}
.p652{text-align: left;padding-left: 66px;margin-top: 45px;margin-bottom: 0px;}
.p653{text-align: left;padding-right: 133px;margin-top: 20px;margin-bottom: 0px;}
.p654{text-align: left;padding-left: 66px;padding-right: 76px;margin-top: 36px;margin-bottom: 0px;}
.p655{text-align: justify;padding-right: 67px;margin-top: 32px;margin-bottom: 0px;text-indent: 19px;}
.p656{text-align: left;padding-right: 103px;margin-top: 35px;margin-bottom: 0px;}
.p657{text-align: justify;padding-right: 71px;margin-top: 13px;margin-bottom: 0px;}
.p658{text-align: justify;padding-right: 71px;margin-top: 0px;margin-bottom: 0px;}
.p659{text-align: left;padding-left: 66px;margin-top: 43px;margin-bottom: 0px;}
.p660{text-align: left;margin-top: 50px;margin-bottom: 0px;}
.p661{text-align: justify;padding-left: 66px;padding-right: 70px;margin-top: 6px;margin-bottom: 0px;text-indent: 19px;}
.p662{text-align: left;padding-left: 66px;padding-right: 71px;margin-top: 63px;margin-bottom: 0px;}
.p663{text-align: left;padding-right: 165px;margin-top: 35px;margin-bottom: 0px;}
.p664{text-align: left;margin-top: 38px;margin-bottom: 0px;}
.p665{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 31px;margin-bottom: 0px;}
.p666{text-align: justify;padding-left: 5px;padding-right: 72px;margin-top: 32px;margin-bottom: 0px;}
.p667{text-align: justify;padding-left: 5px;padding-right: 66px;margin-top: 2px;margin-bottom: 0px;text-indent: 19px;}
.p668{text-align: right;padding-right: 71px;margin-top: 1px;margin-bottom: 0px;}
.p669{text-align: left;padding-left: 5px;padding-right: 72px;margin-top: 12px;margin-bottom: 0px;}
.p670{text-align: left;padding-left: 5px;padding-right: 72px;margin-top: 0px;margin-bottom: 0px;}
.p671{text-align: justify;padding-left: 5px;padding-right: 72px;margin-top: 4px;margin-bottom: 0px;}
.p672{text-align: left;padding-left: 66px;padding-right: 76px;margin-top: 156px;margin-bottom: 0px;}
.p673{text-align: justify;padding-right: 133px;margin-top: 11px;margin-bottom: 0px;}
.p674{text-align: justify;padding-left: 66px;margin-top: 21px;margin-bottom: 0px;}
.p675{text-align: left;padding-left: 66px;padding-right: 5px;margin-top: 1px;margin-bottom: 0px;}
.p676{text-align: justify;padding-left: 66px;padding-right: 5px;margin-top: 4px;margin-bottom: 0px;}
.p677{text-align: justify;padding-left: 9px;padding-right: 137px;margin-top: 19px;margin-bottom: 0px;}
.p678{text-align: left;padding-left: 397px;margin-top: 82px;margin-bottom: 0px;}
.p679{text-align: justify;padding-left: 66px;margin-top: 3px;margin-bottom: 0px;text-indent: 19px;}
.p680{text-align: justify;padding-left: 76px;padding-right: 80px;margin-top: 20px;margin-bottom: 0px;}
.p681{text-align: justify;padding-left: 76px;padding-right: 85px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p682{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 24px;margin-bottom: 0px;}
.p683{text-align: justify;padding-right: 66px;margin-top: 19px;margin-bottom: 0px;text-indent: 19px;}
.p684{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 32px;margin-bottom: 0px;text-indent: 23px;}
.p685{text-align: justify;padding-left: 76px;padding-right: 80px;margin-top: 19px;margin-bottom: 0px;}
.p686{text-align: justify;padding-left: 66px;padding-right: 70px;margin-top: 25px;margin-bottom: 0px;}
.p687{text-align: justify;padding-left: 76px;padding-right: 80px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p688{text-align: left;padding-left: 127px;padding-right: 72px;margin-top: 35px;margin-bottom: 0px;text-indent: -61px;}
.p689{text-align: justify;padding-left: 76px;padding-right: 10px;margin-top: 17px;margin-bottom: 0px;}
.p690{text-align: justify;padding-left: 66px;margin-top: 25px;margin-bottom: 0px;}
.p691{text-align: justify;padding-left: 66px;padding-right: 5px;margin-top: 32px;margin-bottom: 0px;text-indent: 19px;}
.p692{text-align: left;padding-left: 127px;padding-right: 30px;margin-top: 35px;margin-bottom: 0px;text-indent: -61px;}
.p693{text-align: justify;padding-left: 76px;padding-right: 9px;margin-top: 17px;margin-bottom: 0px;}
.p694{text-align: justify;padding-left: 66px;margin-top: 20px;margin-bottom: 0px;}
.p695{text-align: left;padding-left: 66px;padding-right: 5px;margin-top: 62px;margin-bottom: 0px;}
.p696{text-align: left;padding-left: 19px;margin-top: 32px;margin-bottom: 0px;}
.p697{text-align: left;margin-top: 7px;margin-bottom: 0px;}
.p698{text-align: left;padding-left: 60px;padding-right: 231px;margin-top: 0px;margin-bottom: 0px;text-indent: -60px;}
.p699{text-align: left;margin-top: 146px;margin-bottom: 0px;}
.p700{text-align: left;padding-left: 397px;margin-top: 169px;margin-bottom: 0px;}
.p701{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 25px;margin-bottom: 0px;}
.p702{text-align: left;padding-left: 60px;padding-right: 199px;margin-top: 36px;margin-bottom: 0px;text-indent: -60px;}
.p703{text-align: justify;padding-left: 9px;padding-right: 76px;margin-top: 17px;margin-bottom: 0px;}
.p704{text-align: justify;padding-left: 76px;padding-right: 9px;margin-top: 32px;margin-bottom: 0px;}
.p705{text-align: justify;padding-left: 76px;padding-right: 9px;margin-top: 10px;margin-bottom: 0px;text-indent: 19px;}
.p706{text-align: justify;padding-left: 60px;padding-right: 67px;margin-top: 31px;margin-bottom: 0px;text-indent: -60px;}
.p707{text-align: justify;padding-left: 9px;padding-right: 76px;margin-top: 18px;margin-bottom: 0px;}
.p708{text-align: justify;padding-right: 66px;margin-top: 24px;margin-bottom: 0px;}
.p709{text-align: justify;padding-right: 66px;margin-top: 16px;margin-bottom: 0px;text-indent: 19px;}
.p710{text-align: justify;padding-left: 136px;padding-right: 98px;margin-top: 0px;margin-bottom: 0px;text-indent: -60px;}
.p711{text-align: justify;padding-left: 85px;padding-right: 9px;margin-top: 153px;margin-bottom: 0px;}
.p712{text-align: justify;padding-left: 104px;padding-right: 9px;margin-top: 7px;margin-bottom: 0px;text-indent: -19px;}
.p713{text-align: justify;padding-left: 104px;padding-right: 4px;margin-top: 9px;margin-bottom: 0px;text-indent: -19px;}
.p714{text-align: justify;padding-left: 104px;padding-right: 4px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p715{text-align: right;margin-top: 97px;margin-bottom: 0px;}
.p716{text-align: justify;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p717{text-align: justify;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p718{text-align: justify;padding-right: 127px;margin-top: 4px;margin-bottom: 0px;text-indent: 19px;}
.p719{text-align: left;padding-left: 66px;padding-right: 131px;margin-top: 35px;margin-bottom: 0px;}
.p720{text-align: left;padding-left: 66px;padding-right: 29px;margin-top: 35px;margin-bottom: 0px;}
.p721{text-align: justify;padding-left: 66px;padding-right: 6px;margin-top: 19px;margin-bottom: 0px;}
.p722{text-align: justify;padding-right: 71px;margin-top: 2px;margin-bottom: 0px;text-indent: 19px;}
.p723{text-align: left;padding-left: 127px;padding-right: 150px;margin-top: 31px;margin-bottom: 0px;text-indent: -61px;}
.p724{text-align: left;padding-right: 72px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p725{text-align: justify;padding-left: 19px;padding-right: 71px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p726{text-align: left;padding-left: 19px;padding-right: 72px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p727{text-align: left;padding-left: 19px;padding-right: 67px;margin-top: 9px;margin-bottom: 0px;text-indent: -19px;}
.p728{text-align: left;padding-right: 72px;margin-top: 61px;margin-bottom: 0px;}
.p729{text-align: justify;padding-left: 19px;padding-right: 66px;margin-top: 32px;margin-bottom: 0px;text-indent: -19px;}
.p730{text-align: justify;padding-left: 19px;padding-right: 67px;margin-top: 7px;margin-bottom: 0px;text-indent: -19px;}
.p731{text-align: justify;padding-left: 19px;padding-right: 72px;margin-top: 5px;margin-bottom: 0px;text-indent: -19px;}
.p732{text-align: justify;padding-right: 67px;margin-top: 18px;margin-bottom: 0px;}
.p733{text-align: justify;padding-right: 66px;margin-top: 16px;margin-bottom: 0px;}
.p734{text-align: justify;padding-left: 66px;padding-right: 1px;margin-top: 11px;margin-bottom: 0px;}
.p735{text-align: justify;padding-left: 66px;padding-right: 6px;margin-top: 0px;margin-bottom: 0px;}
.p736{text-align: justify;padding-left: 66px;padding-right: 6px;margin-top: 16px;margin-bottom: 0px;}
.p737{text-align: left;padding-left: 66px;padding-right: 1px;margin-top: 6px;margin-bottom: 0px;}
.p738{text-align: justify;padding-right: 67px;margin-top: 5px;margin-bottom: 0px;text-indent: 19px;}
.p739{text-align: left;padding-right: 67px;margin-top: 40px;margin-bottom: 0px;}
.p740{text-align: justify;padding-right: 66px;margin-top: 7px;margin-bottom: 0px;text-indent: 19px;}
.p741{text-align: left;padding-right: 71px;margin-top: 21px;margin-bottom: 0px;}
.p742{text-align: justify;padding-left: 66px;margin-top: 6px;margin-bottom: 0px;text-indent: 19px;}
.p743{text-align: justify;padding-left: 66px;margin-top: 15px;margin-bottom: 0px;}
.p744{text-align: left;padding-left: 127px;padding-right: 165px;margin-top: 13px;margin-bottom: 0px;text-indent: -61px;}
.p745{text-align: left;padding-left: 60px;padding-right: 156px;margin-top: 35px;margin-bottom: 0px;text-indent: -60px;}
.p746{text-align: left;padding-left: 66px;padding-right: 1px;margin-top: 112px;margin-bottom: 0px;}
.p747{text-align: left;padding-right: 194px;margin-top: 35px;margin-bottom: 0px;}
.p748{text-align: left;padding-left: 66px;margin-top: 40px;margin-bottom: 0px;}
.p749{text-align: left;padding-left: 60px;padding-right: 141px;margin-top: 35px;margin-bottom: 0px;text-indent: -60px;}
.p750{text-align: justify;padding-right: 67px;margin-top: 11px;margin-bottom: 0px;}
.p751{text-align: justify;padding-right: 67px;margin-top: 8px;margin-bottom: 0px;text-indent: 19px;}
.p752{text-align: justify;padding-right: 72px;margin-top: 22px;margin-bottom: 0px;}
.p753{text-align: justify;padding-right: 128px;margin-top: 93px;margin-bottom: 0px;}
.p754{text-align: left;margin-top: 3px;margin-bottom: 0px;}
.p755{text-align: justify;padding-left: 85px;padding-right: 71px;margin-top: 5px;margin-bottom: 0px;}
.p756{text-align: justify;padding-left: 85px;padding-right: 71px;margin-top: 7px;margin-bottom: 0px;text-indent: -19px;}
.p757{text-align: left;padding-left: 19px;padding-right: 132px;margin-top: 32px;margin-bottom: 0px;text-indent: -19px;}
.p758{text-align: left;padding-left: 19px;padding-right: 132px;margin-top: 10px;margin-bottom: 0px;text-indent: -19px;}
.p759{text-align: left;padding-left: 60px;padding-right: 116px;margin-top: 35px;margin-bottom: 0px;text-indent: -60px;}
.p760{text-align: justify;padding-right: 67px;margin-top: 10px;margin-bottom: 0px;}
.p761{text-align: justify;padding-left: 85px;padding-right: 1px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p762{text-align: justify;padding-left: 85px;margin-top: 4px;margin-bottom: 0px;text-indent: -19px;}
.p763{text-align: justify;padding-left: 19px;padding-right: 66px;margin-top: 32px;margin-bottom: 0px;}
.p764{text-align: justify;padding-left: 19px;padding-right: 66px;margin-top: 4px;margin-bottom: 0px;text-indent: -19px;}
.p765{text-align: justify;padding-right: 66px;margin-top: 37px;margin-bottom: 0px;}
.p766{text-align: justify;padding-left: 127px;padding-right: 88px;margin-top: 34px;margin-bottom: 0px;text-indent: -61px;}
.p767{text-align: left;padding-left: 66px;margin-top: 3px;margin-bottom: 0px;}
.p768{text-align: justify;padding-left: 85px;padding-right: 75px;margin-top: 10px;margin-bottom: 0px;text-indent: -19px;}
.p769{text-align: left;padding-left: 66px;padding-right: 99px;margin-top: 34px;margin-bottom: 0px;}
.p770{text-align: left;padding-right: 97px;margin-top: 35px;margin-bottom: 0px;}
.p771{text-align: left;padding-right: 168px;margin-top: 35px;margin-bottom: 0px;}
.p772{text-align: left;padding-right: 95px;margin-top: 32px;margin-bottom: 0px;}
.p773{text-align: justify;padding-left: 66px;padding-right: 5px;padding-top: 1px;margin-top: 32px;margin-bottom: 0px;}
.p774{text-align: left;padding-left: 66px;padding-right: 41px;margin-top: 34px;margin-bottom: 0px;}
.p775{text-align: justify;padding-left: 66px;padding-right: 5px;margin-top: 41px;margin-bottom: 0px;}
.p776{text-align: justify;padding-right: 67px;margin-top: 19px;margin-bottom: 0px;text-indent: 19px;}
.p777{text-align: left;padding-left: 66px;margin-top: 17px;margin-bottom: 0px;}
.p778{text-align: left;padding-left: 142px;margin-top: 1px;margin-bottom: 0px;}
.p779{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 364px;margin-bottom: 0px;}
.p780{text-align: justify;padding-right: 66px;margin-top: 5px;margin-bottom: 0px;text-indent: 19px;}
.p781{text-align: left;padding-left: 66px;margin-top: 41px;margin-bottom: 0px;}
.p782{text-align: left;padding-left: 136px;padding-right: 57px;margin-top: 0px;margin-bottom: 0px;text-indent: -60px;}
.p783{text-align: justify;padding-left: 85px;padding-right: 4px;margin-top: 2px;margin-bottom: 0px;text-indent: 19px;}
.p784{text-align: justify;padding-left: 85px;padding-right: 4px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p785{text-align: justify;padding-left: 85px;padding-right: 4px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p786{text-align: right;margin-top: 49px;margin-bottom: 0px;}
.p787{text-align: justify;padding-left: 76px;padding-right: 80px;margin-top: 32px;margin-bottom: 0px;}
.p788{text-align: left;margin-top: 64px;margin-bottom: 0px;}
.p789{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 20px;margin-bottom: 0px;text-indent: 19px;}
.p790{text-align: left;padding-left: 66px;margin-top: 25px;margin-bottom: 0px;}
.p791{text-align: left;padding-right: 72px;margin-top: 40px;margin-bottom: 0px;}
.p792{text-align: left;padding-left: 66px;padding-right: 76px;margin-top: 42px;margin-bottom: 0px;}
.p793{text-align: justify;padding-right: 67px;margin-top: 28px;margin-bottom: 0px;}
.p794{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 7px;margin-bottom: 0px;text-indent: 19px;}
.p795{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 30px;margin-bottom: 0px;}
.p796{text-align: right;padding-right: 133px;margin-top: 32px;margin-bottom: 0px;}
.p797{text-align: left;padding-left: 65px;padding-right: 180px;margin-top: 35px;margin-bottom: 0px;text-indent: -60px;}
.p798{text-align: justify;padding-left: 5px;padding-right: 127px;margin-top: 11px;margin-bottom: 0px;}
.p799{text-align: justify;padding-left: 5px;padding-right: 127px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p800{text-align: justify;padding-left: 5px;padding-right: 128px;margin-top: 20px;margin-bottom: 0px;}
.p801{text-align: left;padding-left: 5px;padding-right: 132px;margin-top: 1px;margin-bottom: 0px;}
.p802{text-align: left;padding-left: 5px;padding-right: 133px;margin-top: 0px;margin-bottom: 0px;}
.p803{text-align: left;padding-left: 5px;margin-top: 2px;margin-bottom: 0px;}
.p804{text-align: justify;padding-left: 5px;padding-right: 133px;margin-top: 1px;margin-bottom: 0px;}
.p805{text-align: left;padding-left: 85px;padding-right: 5px;margin-top: 9px;margin-bottom: 0px;text-indent: -19px;}
.p806{text-align: justify;padding-left: 66px;padding-right: 5px;margin-top: 20px;margin-bottom: 0px;}
.p807{text-align: left;padding-right: 72px;margin-top: 148px;margin-bottom: 0px;}
.p808{text-align: justify;padding-left: 127px;padding-right: 236px;margin-top: 31px;margin-bottom: 0px;text-indent: -61px;}
.p809{text-align: justify;padding-right: 128px;margin-top: 9px;margin-bottom: 0px;text-indent: 19px;}
.p810{text-align: left;padding-left: 127px;padding-right: 197px;margin-top: 35px;margin-bottom: 0px;text-indent: -61px;}
.p811{text-align: left;padding-left: 66px;margin-top: 77px;margin-bottom: 0px;}
.p812{text-align: left;padding-left: 60px;padding-right: 165px;margin-top: 31px;margin-bottom: 0px;text-indent: -60px;}
.p813{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 14px;margin-bottom: 0px;text-indent: 19px;}
.p814{text-align: left;padding-left: 66px;padding-right: 71px;margin-top: 135px;margin-bottom: 0px;}
.p815{text-align: left;padding-left: 60px;padding-right: 159px;margin-top: 34px;margin-bottom: 0px;text-indent: -60px;}
.p816{text-align: left;padding-left: 19px;padding-right: 133px;margin-top: 14px;margin-bottom: 0px;text-indent: -19px;}
.p817{text-align: justify;padding-right: 128px;margin-top: 18px;margin-bottom: 0px;}
.p818{text-align: left;padding-left: 66px;margin-top: 73px;margin-bottom: 0px;}
.p819{text-align: left;padding-left: 60px;padding-right: 211px;margin-top: 31px;margin-bottom: 0px;text-indent: -60px;}
.p820{text-align: left;padding-right: 67px;margin-top: 110px;margin-bottom: 0px;}
.p821{text-align: left;padding-left: 127px;padding-right: 134px;margin-top: 31px;margin-bottom: 0px;text-indent: -61px;}
.p822{text-align: left;padding-left: 60px;padding-right: 214px;margin-top: 31px;margin-bottom: 0px;text-indent: -60px;}
.p823{text-align: left;padding-right: 133px;margin-top: 24px;margin-bottom: 0px;}
.p824{text-align: left;padding-right: 133px;margin-top: 4px;margin-bottom: 0px;}
.p825{text-align: left;padding-left: 66px;padding-right: 5px;margin-top: 21px;margin-bottom: 0px;}
.p826{text-align: left;padding-left: 60px;padding-right: 89px;margin-top: 31px;margin-bottom: 0px;text-indent: -60px;}
.p827{text-align: justify;padding-right: 71px;margin-top: 12px;margin-bottom: 0px;}
.p828{text-align: justify;padding-left: 19px;padding-right: 66px;margin-top: 4px;margin-bottom: 0px;}
.p829{text-align: justify;padding-left: 19px;padding-right: 66px;margin-top: 7px;margin-bottom: 0px;text-indent: 13px;}
.p830{text-align: justify;padding-left: 19px;padding-right: 66px;margin-top: 0px;margin-bottom: 0px;text-indent: 13px;}
.p831{text-align: justify;padding-left: 19px;padding-right: 66px;margin-top: 6px;margin-bottom: 0px;text-indent: 13px;}
.p832{text-align: justify;padding-right: 72px;margin-top: 28px;margin-bottom: 0px;}
.p833{text-align: justify;padding-left: 85px;padding-right: 1px;margin-top: 30px;margin-bottom: 0px;}
.p834{text-align: justify;padding-left: 85px;padding-right: 6px;margin-top: 0px;margin-bottom: 0px;text-indent: 13px;}
.p835{text-align: left;padding-left: 127px;padding-right: 36px;margin-top: 36px;margin-bottom: 0px;text-indent: -61px;}
.p836{text-align: left;padding-left: 66px;padding-right: 6px;margin-top: 70px;margin-bottom: 0px;}
.p837{text-align: left;padding-left: 66px;padding-right: 107px;margin-top: 35px;margin-bottom: 0px;}
.p838{text-align: justify;padding-left: 66px;margin-top: 10px;margin-bottom: 0px;}
.p839{text-align: justify;padding-left: 66px;padding-right: 1px;margin-top: 6px;margin-bottom: 0px;text-indent: 19px;}
.p840{text-align: justify;padding-left: 66px;padding-right: 1px;margin-top: 18px;margin-bottom: 0px;}
.p841{text-align: left;padding-left: 66px;padding-right: 6px;margin-top: 1px;margin-bottom: 0px;}
.p842{text-align: justify;padding-right: 67px;margin-top: 2px;margin-bottom: 0px;}
.p843{text-align: justify;padding-right: 67px;margin-top: 4px;margin-bottom: 0px;text-indent: 19px;}
.p844{text-align: justify;padding-right: 66px;margin-top: 0px;margin-bottom: 0px;}
.p845{text-align: justify;padding-right: 71px;margin-top: 33px;margin-bottom: 0px;}
.p846{text-align: left;padding-right: 67px;margin-top: 27px;margin-bottom: 0px;}
.p847{text-align: justify;padding-right: 72px;margin-top: 0px;margin-bottom: 0px;}
.p848{text-align: justify;padding-right: 133px;margin-top: 4px;margin-bottom: 0px;text-indent: 19px;}
.p849{text-align: justify;padding-left: 85px;padding-right: 76px;margin-top: 32px;margin-bottom: 0px;text-indent: -18px;}
.p850{text-align: justify;padding-left: 66px;padding-right: 70px;margin-top: 19px;margin-bottom: 0px;}
.p851{text-align: justify;padding-right: 72px;margin-top: 69px;margin-bottom: 0px;}
.p852{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 4px;margin-bottom: 0px;}
.p853{text-align: justify;padding-left: 19px;padding-right: 72px;margin-top: 32px;margin-bottom: 0px;text-indent: -19px;}
.p854{text-align: justify;padding-right: 66px;margin-top: 18px;margin-bottom: 0px;}
.p855{text-align: left;padding-right: 72px;margin-top: 13px;margin-bottom: 0px;}
.p856{text-align: left;padding-left: 66px;padding-right: 76px;margin-top: 6px;margin-bottom: 0px;}
.p857{text-align: justify;padding-left: 66px;padding-right: 6px;margin-top: 119px;margin-bottom: 0px;}
.p858{text-align: left;padding-left: 66px;padding-right: 71px;margin-top: 498px;margin-bottom: 0px;}
.p859{text-align: left;padding-left: 60px;padding-right: 157px;margin-top: 0px;margin-bottom: 0px;text-indent: -60px;}
.p860{text-align: justify;padding-left: 9px;padding-right: 137px;margin-top: 154px;margin-bottom: 0px;}
.p861{text-align: justify;padding-left: 9px;padding-right: 142px;margin-top: 19px;margin-bottom: 0px;}
.p862{text-align: left;padding-left: 397px;margin-top: 42px;margin-bottom: 0px;}
.p863{text-align: left;padding-left: 66px;padding-right: 6px;margin-top: 32px;margin-bottom: 0px;}
.p864{text-align: left;padding-left: 127px;padding-right: 108px;margin-top: 36px;margin-bottom: 0px;text-indent: -61px;}
.p865{text-align: justify;padding-left: 66px;padding-right: 1px;margin-top: 12px;margin-bottom: 0px;}
.p866{text-align: justify;padding-left: 66px;padding-right: 6px;margin-top: 8px;margin-bottom: 0px;text-indent: 19px;}
.p867{text-align: justify;padding-right: 66px;margin-top: 41px;margin-bottom: 0px;}
.p868{text-align: left;padding-right: 72px;margin-top: 2px;margin-bottom: 0px;}
.p869{text-align: justify;padding-left: 66px;padding-right: 6px;margin-top: 32px;margin-bottom: 0px;text-indent: 19px;}
.p870{text-align: left;padding-left: 127px;padding-right: 162px;margin-top: 34px;margin-bottom: 0px;text-indent: -61px;}
.p871{text-align: justify;padding-left: 9px;padding-right: 142px;margin-top: 157px;margin-bottom: 0px;}
.p872{text-align: justify;padding-left: 9px;padding-right: 142px;margin-top: 7px;margin-bottom: 0px;text-indent: 19px;}
.p873{text-align: justify;padding-right: 128px;margin-top: 40px;margin-bottom: 0px;}
.p874{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 127px;margin-bottom: 0px;}
.p875{text-align: justify;padding-left: 9px;padding-right: 142px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p876{text-align: justify;padding-right: 127px;margin-top: 15px;margin-bottom: 0px;}
.p877{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 50px;margin-bottom: 0px;}
.p878{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 4px;margin-bottom: 0px;}
.p879{text-align: left;padding-right: 133px;margin-top: 10px;margin-bottom: 0px;}
.p880{text-align: left;padding-left: 76px;margin-top: 0px;margin-bottom: 0px;}
.p881{text-align: justify;padding-left: 85px;padding-right: 142px;margin-top: 157px;margin-bottom: 0px;}
.p882{text-align: justify;padding-left: 85px;padding-right: 137px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p883{text-align: justify;padding-left: 85px;padding-right: 137px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p884{text-align: justify;padding-left: 85px;padding-right: 142px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p885{text-align: right;padding-right: 133px;margin-top: 90px;margin-bottom: 0px;}
.p886{text-align: left;padding-right: 133px;margin-top: 112px;margin-bottom: 0px;}
.p887{text-align: left;padding-left: 66px;padding-right: 181px;margin-top: 32px;margin-bottom: 0px;}
.p888{text-align: left;padding-left: 66px;padding-right: 76px;margin-top: 23px;margin-bottom: 0px;}
.p889{text-align: justify;padding-right: 127px;margin-top: 33px;margin-bottom: 0px;}
.p890{text-align: left;padding-left: 66px;padding-right: 76px;margin-top: 30px;margin-bottom: 0px;}
.p891{text-align: justify;padding-right: 67px;margin-top: 26px;margin-bottom: 0px;}
.p892{text-align: justify;padding-right: 66px;margin-top: 1px;margin-bottom: 0px;}
.p893{text-align: justify;padding-right: 133px;margin-top: 117px;margin-bottom: 0px;}
.p894{text-align: left;padding-left: 66px;padding-right: 76px;margin-top: 37px;margin-bottom: 0px;}
.p895{text-align: left;padding-right: 133px;margin-top: 19px;margin-bottom: 0px;}
.p896{text-align: left;padding-right: 133px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p897{text-align: left;padding-right: 128px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p898{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 16px;margin-bottom: 0px;}
.p899{text-align: left;padding-left: 19px;padding-right: 128px;margin-top: 1px;margin-bottom: 0px;}
.p900{text-align: left;padding-left: 19px;margin-top: 11px;margin-bottom: 0px;}
.p901{text-align: left;padding-right: 133px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p902{text-align: left;padding-left: 76px;margin-top: 151px;margin-bottom: 0px;}
.p903{text-align: left;padding-left: 76px;margin-top: 13px;margin-bottom: 0px;}
.p904{text-align: left;padding-left: 95px;padding-right: 195px;margin-top: 11px;margin-bottom: 0px;text-indent: -18px;}
.p905{text-align: left;padding-left: 76px;margin-top: 4px;margin-bottom: 0px;}
.p906{text-align: left;padding-left: 76px;margin-top: 5px;margin-bottom: 0px;}
.p907{text-align: left;padding-left: 95px;padding-right: 187px;margin-top: 5px;margin-bottom: 0px;text-indent: -18px;}
.p908{text-align: left;padding-left: 95px;margin-top: 1px;margin-bottom: 0px;}
.p909{text-align: left;padding-left: 76px;margin-top: 35px;margin-bottom: 0px;}
.p910{text-align: left;padding-left: 76px;margin-top: 12px;margin-bottom: 0px;}
.p911{text-align: left;padding-left: 95px;padding-right: 171px;margin-top: 5px;margin-bottom: 0px;text-indent: -18px;}
.p912{text-align: left;padding-left: 95px;padding-right: 165px;margin-top: 4px;margin-bottom: 0px;text-indent: -18px;}
.p913{text-align: left;padding-left: 76px;margin-top: 34px;margin-bottom: 0px;}
.p914{text-align: left;padding-left: 95px;padding-right: 199px;margin-top: 12px;margin-bottom: 0px;text-indent: -18px;}
.p915{text-align: right;padding-right: 133px;margin-top: 59px;margin-bottom: 0px;}
.p916{text-align: left;padding-left: 19px;padding-right: 151px;margin-top: 5px;margin-bottom: 0px;text-indent: -18px;}
.p917{text-align: left;padding-left: 19px;padding-right: 98px;margin-top: 4px;margin-bottom: 0px;text-indent: -18px;}
.p918{text-align: left;padding-right: 101px;margin-top: 4px;margin-bottom: 0px;}
.p919{text-align: left;padding-left: 19px;padding-right: 91px;margin-top: 1px;margin-bottom: 0px;text-indent: -18px;}
.p920{text-align: left;padding-right: 251px;margin-top: 6px;margin-bottom: 0px;}
.p921{text-align: left;padding-left: 19px;padding-right: 118px;margin-top: 5px;margin-bottom: 0px;text-indent: -18px;}
.p922{text-align: left;padding-left: 19px;padding-right: 160px;margin-top: 4px;margin-bottom: 0px;text-indent: -18px;}
.p923{text-align: left;padding-right: 141px;margin-top: 4px;margin-bottom: 0px;}
.p924{text-align: left;padding-left: 19px;padding-right: 107px;margin-top: 2px;margin-bottom: 0px;text-indent: -18px;}
.p925{text-align: left;padding-left: 19px;padding-right: 92px;margin-top: 4px;margin-bottom: 0px;text-indent: -18px;}
.p926{text-align: left;padding-left: 19px;padding-right: 114px;margin-top: 4px;margin-bottom: 0px;text-indent: -18px;}
.p927{text-align: left;padding-left: 19px;padding-right: 163px;margin-top: 3px;margin-bottom: 0px;text-indent: -18px;}
.p928{text-align: left;padding-left: 19px;padding-right: 185px;margin-top: 12px;margin-bottom: 0px;text-indent: -18px;}
.p929{text-align: left;padding-left: 19px;padding-right: 175px;margin-top: 5px;margin-bottom: 0px;text-indent: -18px;}
.p930{text-align: left;padding-left: 19px;padding-right: 164px;margin-top: 5px;margin-bottom: 0px;text-indent: -18px;}
.p931{text-align: left;padding-left: 19px;padding-right: 142px;margin-top: 4px;margin-bottom: 0px;text-indent: -18px;}
.p932{text-align: left;padding-left: 19px;padding-right: 129px;margin-top: 4px;margin-bottom: 0px;text-indent: -18px;}
.p933{text-align: left;padding-left: 19px;padding-right: 180px;margin-top: 6px;margin-bottom: 0px;text-indent: -18px;}
.p934{text-align: left;padding-left: 19px;padding-right: 138px;margin-top: 4px;margin-bottom: 0px;text-indent: -18px;}
.p935{text-align: left;padding-left: 19px;padding-right: 193px;margin-top: 4px;margin-bottom: 0px;text-indent: -18px;}
.p936{text-align: left;padding-left: 19px;padding-right: 153px;margin-top: 4px;margin-bottom: 0px;text-indent: -18px;}
.p937{text-align: justify;padding-left: 19px;padding-right: 138px;margin-top: 5px;margin-bottom: 0px;text-indent: -18px;}
.p938{text-align: left;padding-left: 19px;padding-right: 174px;margin-top: 4px;margin-bottom: 0px;text-indent: -18px;}
.p939{text-align: left;padding-left: 19px;padding-right: 91px;margin-top: 0px;margin-bottom: 0px;text-indent: -18px;}
.p940{text-align: left;padding-left: 19px;padding-right: 93px;margin-top: 4px;margin-bottom: 0px;text-indent: -18px;}
.p941{text-align: justify;padding-left: 19px;padding-right: 153px;margin-top: 4px;margin-bottom: 0px;text-indent: -18px;}
.p942{text-align: left;padding-left: 19px;padding-right: 88px;margin-top: 4px;margin-bottom: 0px;text-indent: -18px;}
.p943{text-align: left;padding-left: 19px;padding-right: 122px;margin-top: 2px;margin-bottom: 0px;text-indent: -18px;}
.p944{text-align: left;padding-left: 19px;padding-right: 100px;margin-top: 2px;margin-bottom: 0px;text-indent: -18px;}
.p945{text-align: left;padding-left: 19px;padding-right: 77px;margin-top: 1px;margin-bottom: 0px;}
.p946{text-align: justify;padding-left: 19px;padding-right: 76px;margin-top: 6px;margin-bottom: 0px;text-indent: -18px;}
.p947{text-align: left;padding-left: 19px;padding-right: 95px;margin-top: 4px;margin-bottom: 0px;text-indent: -18px;}
.p948{text-align: left;padding-left: 19px;padding-right: 139px;margin-top: 5px;margin-bottom: 0px;text-indent: -18px;}
.p949{text-align: left;padding-left: 19px;padding-right: 117px;margin-top: 4px;margin-bottom: 0px;text-indent: -18px;}
.p950{text-align: justify;padding-left: 19px;padding-right: 80px;margin-top: 5px;margin-bottom: 0px;text-indent: -18px;}
.p951{text-align: left;padding-left: 19px;padding-right: 144px;margin-top: 5px;margin-bottom: 0px;text-indent: -18px;}
.p952{text-align: left;padding-left: 19px;padding-right: 153px;margin-top: 2px;margin-bottom: 0px;text-indent: -18px;}
.p953{text-align: left;padding-left: 19px;padding-right: 149px;margin-top: 4px;margin-bottom: 0px;text-indent: -18px;}
.p954{text-align: left;margin-top: 33px;margin-bottom: 0px;}
.p955{text-align: justify;padding-left: 19px;padding-right: 134px;margin-top: 11px;margin-bottom: 0px;text-indent: -18px;}
.p956{text-align: left;padding-left: 19px;padding-right: 145px;margin-top: 2px;margin-bottom: 0px;text-indent: -18px;}
.p957{text-align: left;margin-top: 5px;margin-bottom: 0px;}
.p958{text-align: left;padding-left: 19px;padding-right: 138px;margin-top: 5px;margin-bottom: 0px;text-indent: -18px;}
.p959{text-align: left;padding-right: 132px;margin-top: 6px;margin-bottom: 0px;}
.p960{text-align: left;padding-left: 19px;padding-right: 179px;margin-top: 0px;margin-bottom: 0px;text-indent: -18px;}
.p961{text-align: left;padding-left: 19px;padding-right: 157px;margin-top: 4px;margin-bottom: 0px;text-indent: -18px;}
.p962{text-align: left;padding-left: 19px;padding-right: 155px;margin-top: 4px;margin-bottom: 0px;text-indent: -18px;}
.p963{text-align: right;padding-right: 61px;margin-top: 0px;margin-bottom: 0px;}
.p964{text-align: left;padding-left: 76px;margin-top: 31px;margin-bottom: 0px;}
.p965{text-align: left;padding-left: 76px;padding-right: 245px;margin-top: 150px;margin-bottom: 0px;}
.p966{text-align: left;padding-left: 76px;margin-top: 10px;margin-bottom: 0px;}
.p967{text-align: justify;padding-left: 76px;padding-right: 127px;margin-top: 12px;margin-bottom: 0px;}
.p968{text-align: left;padding-left: 95px;margin-top: 0px;margin-bottom: 0px;}
.p969{text-align: justify;padding-left: 95px;padding-right: 128px;margin-top: 9px;margin-bottom: 0px;text-indent: -19px;}
.p970{text-align: left;padding-left: 95px;padding-right: 133px;margin-top: 5px;margin-bottom: 0px;text-indent: -19px;}
.p971{text-align: justify;padding-left: 95px;padding-right: 133px;margin-top: 9px;margin-bottom: 0px;text-indent: -19px;}
.p972{text-align: justify;padding-left: 85px;padding-right: 71px;margin-top: 32px;margin-bottom: 0px;text-indent: -19px;}
.p973{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 18px;margin-bottom: 0px;}
.p974{text-align: left;padding-right: 268px;margin-top: 35px;margin-bottom: 0px;}
.p975{text-align: left;padding-right: 210px;margin-top: 0px;margin-bottom: 0px;}
.p976{text-align: left;padding-left: 85px;margin-top: 32px;margin-bottom: 0px;}
.p977{text-align: left;padding-left: 85px;margin-top: 2px;margin-bottom: 0px;}
.p978{text-align: justify;padding-left: 85px;padding-right: 76px;margin-top: 2px;margin-bottom: 0px;}
.p979{text-align: left;padding-left: 66px;padding-right: 86px;margin-top: 34px;margin-bottom: 0px;}
.p980{text-align: justify;padding-right: 133px;margin-top: 19px;margin-bottom: 0px;}
.p981{text-align: left;padding-left: 328px;margin-top: 18px;margin-bottom: 0px;}
.p982{text-align: left;padding-left: 76px;margin-top: 150px;margin-bottom: 0px;}
.p983{text-align: left;padding-left: 76px;margin-top: 1px;margin-bottom: 0px;}
.p984{text-align: left;padding-left: 76px;margin-top: 14px;margin-bottom: 0px;}
.p985{text-align: justify;padding-left: 76px;padding-right: 128px;margin-top: 12px;margin-bottom: 0px;}
.p986{text-align: justify;padding-left: 76px;padding-right: 127px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p987{text-align: left;padding-left: 337px;margin-top: 16px;margin-bottom: 0px;}
.p988{text-align: justify;padding-left: 76px;padding-right: 128px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p989{text-align: left;padding-left: 287px;margin-top: 32px;margin-bottom: 0px;}
.p990{text-align: left;padding-left: 287px;margin-top: 10px;margin-bottom: 0px;}
.p991{text-align: left;padding-left: 76px;margin-top: 84px;margin-bottom: 0px;}
.p992{text-align: left;padding-left: 76px;margin-top: 33px;margin-bottom: 0px;}
.p993{text-align: left;padding-left: 76px;padding-right: 359px;margin-top: 16px;margin-bottom: 0px;}
.p994{text-align: left;padding-left: 76px;padding-right: 93px;margin-top: 12px;margin-bottom: 0px;}
.p995{text-align: left;padding-left: 76px;margin-top: 2px;margin-bottom: 0px;}
.p996{text-align: left;padding-left: 76px;padding-right: 106px;margin-top: 16px;margin-bottom: 0px;}
.p997{text-align: left;padding-left: 76px;padding-right: 84px;margin-top: 14px;margin-bottom: 0px;}
.p998{text-align: left;padding-left: 76px;padding-right: 94px;margin-top: 31px;margin-bottom: 0px;}
.p999{text-align: left;padding-left: 147px;padding-right: 107px;margin-top: 0px;margin-bottom: 0px;}
.p1000{text-align: left;padding-left: 147px;padding-right: 90px;margin-top: 14px;margin-bottom: 0px;}
.p1001{text-align: left;padding-left: 147px;margin-top: 13px;margin-bottom: 0px;}
.p1002{text-align: left;padding-left: 147px;margin-top: 48px;margin-bottom: 0px;}
.p1003{text-align: left;padding-left: 147px;margin-top: 16px;margin-bottom: 0px;}
.p1004{text-align: left;padding-left: 147px;margin-top: 2px;margin-bottom: 0px;}
.p1005{text-align: left;padding-left: 147px;padding-right: 250px;margin-top: 33px;margin-bottom: 0px;}
.p1006{text-align: right;padding-right: 90px;margin-top: 286px;margin-bottom: 0px;}
.p1007{text-align: left;padding-left: 87px;margin-top: 0px;margin-bottom: 0px;}
.p1008{text-align: left;padding-left: 109px;padding-right: 162px;margin-top: 36px;margin-bottom: 0px;text-indent: -22px;}
.p1009{text-align: left;padding-left: 109px;padding-right: 158px;margin-top: 2px;margin-bottom: 0px;text-indent: -22px;}
.p1010{text-align: left;padding-left: 109px;padding-right: 151px;margin-top: 4px;margin-bottom: 0px;text-indent: -22px;}
.p1011{text-align: right;padding-right: 149px;margin-top: 399px;margin-bottom: 0px;}
.p1012{text-align: left;padding-left: 6px;margin-top: 0px;margin-bottom: 0px;}
.p1013{text-align: left;padding-left: 16px;padding-right: 66px;margin-top: 1px;margin-bottom: 0px;}
.p1014{text-align: left;padding-left: 16px;padding-right: 52px;margin-top: 2px;margin-bottom: 0px;text-indent: -10px;}
.p1015{text-align: left;padding-left: 16px;padding-right: 63px;margin-top: 2px;margin-bottom: 0px;text-indent: -10px;}
.p1016{text-align: left;padding-left: 16px;padding-right: 42px;margin-top: 2px;margin-bottom: 0px;text-indent: -10px;}
.p1017{text-align: left;padding-left: 16px;padding-right: 26px;margin-top: 2px;margin-bottom: 0px;text-indent: -10px;}
.p1018{text-align: left;padding-left: 16px;padding-right: 52px;margin-top: 2px;margin-bottom: 0px;text-indent: -11px;}
.p1019{text-align: left;padding-left: 16px;padding-right: 31px;margin-top: 2px;margin-bottom: 0px;text-indent: -9px;}
.p1020{text-align: left;padding-left: 6px;margin-top: 1px;margin-bottom: 0px;}
.p1021{text-align: left;padding-left: 16px;padding-right: 27px;margin-top: 1px;margin-bottom: 0px;}
.p1022{text-align: left;padding-left: 16px;padding-right: 50px;margin-top: 1px;margin-bottom: 0px;text-indent: -10px;}
.p1023{text-align: left;padding-left: 16px;padding-right: 43px;margin-top: 1px;margin-bottom: 0px;text-indent: -16px;}
.p1024{text-align: left;padding-left: 16px;padding-right: 25px;margin-top: 2px;margin-bottom: 0px;text-indent: -15px;}
.p1025{text-align: left;padding-left: 16px;padding-right: 29px;margin-top: 0px;margin-bottom: 0px;}
.p1026{text-align: left;padding-left: 16px;padding-right: 35px;margin-top: 2px;margin-bottom: 0px;text-indent: -15px;}
.p1027{text-align: left;padding-left: 1px;margin-top: 2px;margin-bottom: 0px;}
.p1028{text-align: left;padding-left: 16px;padding-right: 30px;margin-top: 0px;margin-bottom: 0px;}
.p1029{text-align: left;padding-left: 16px;padding-right: 64px;margin-top: 2px;margin-bottom: 0px;text-indent: -15px;}
.p1030{text-align: left;padding-left: 16px;padding-right: 155px;margin-top: 0px;margin-bottom: 0px;text-indent: -15px;}
.p1031{text-align: left;padding-left: 2px;margin-top: 1px;margin-bottom: 0px;}
.p1032{text-align: left;padding-left: 16px;padding-right: 163px;margin-top: 3px;margin-bottom: 0px;text-indent: -15px;}
.p1033{text-align: left;padding-left: 16px;padding-right: 133px;margin-top: 2px;margin-bottom: 0px;text-indent: -15px;}
.p1034{text-align: left;padding-left: 16px;padding-right: 140px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p1035{text-align: left;padding-left: 16px;padding-right: 161px;margin-top: 1px;margin-bottom: 0px;text-indent: -15px;}
.p1036{text-align: left;padding-left: 16px;padding-right: 167px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p1037{text-align: left;padding-left: 16px;padding-right: 171px;margin-top: 2px;margin-bottom: 0px;text-indent: -15px;}
.p1038{text-align: left;padding-left: 16px;margin-top: 0px;margin-bottom: 0px;}
.p1039{text-align: left;padding-left: 16px;padding-right: 195px;margin-top: 3px;margin-bottom: 0px;text-indent: -14px;}
.p1040{text-align: left;padding-left: 16px;padding-right: 162px;margin-top: 2px;margin-bottom: 0px;text-indent: -15px;}
.p1041{text-align: left;padding-left: 16px;padding-right: 164px;margin-top: 1px;margin-bottom: 0px;}
.p1042{text-align: left;padding-left: 16px;padding-right: 153px;margin-top: 2px;margin-bottom: 0px;text-indent: -15px;}
.p1043{text-align: left;padding-left: 16px;padding-right: 128px;margin-top: 1px;margin-bottom: 0px;text-indent: -15px;}
.p1044{text-align: left;padding-left: 16px;padding-right: 151px;margin-top: 2px;margin-bottom: 0px;text-indent: -15px;}
.p1045{text-align: left;padding-left: 16px;padding-right: 39px;margin-top: 0px;margin-bottom: 0px;text-indent: -16px;}
.p1046{text-align: left;padding-left: 16px;padding-right: 42px;margin-top: 2px;margin-bottom: 0px;text-indent: -15px;}
.p1047{text-align: left;padding-left: 16px;padding-right: 33px;margin-top: 3px;margin-bottom: 0px;text-indent: -15px;}
.p1048{text-align: left;padding-left: 16px;padding-right: 38px;margin-top: 1px;margin-bottom: 0px;text-indent: -16px;}
.p1049{text-align: left;padding-left: 16px;padding-right: 41px;margin-top: 3px;margin-bottom: 0px;text-indent: -16px;}
.p1050{text-align: left;padding-left: 16px;padding-right: 53px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p1051{text-align: left;padding-left: 16px;padding-right: 49px;margin-top: 3px;margin-bottom: 0px;text-indent: -16px;}
.p1052{text-align: left;padding-left: 16px;margin-top: 1px;margin-bottom: 0px;}
.p1053{text-align: left;padding-left: 16px;padding-right: 63px;margin-top: 3px;margin-bottom: 0px;text-indent: -15px;}
.p1054{text-align: left;padding-left: 16px;padding-right: 37px;margin-top: 1px;margin-bottom: 0px;}
.p1055{text-align: left;padding-left: 16px;padding-right: 36px;margin-top: 3px;margin-bottom: 0px;text-indent: -16px;}
.p1056{text-align: left;padding-left: 16px;padding-right: 39px;margin-top: 2px;margin-bottom: 0px;text-indent: -15px;}
.p1057{text-align: left;padding-left: 16px;padding-right: 38px;margin-top: 1px;margin-bottom: 0px;}
.p1058{text-align: left;padding-left: 16px;padding-right: 45px;margin-top: 3px;margin-bottom: 0px;text-indent: -16px;}
.p1059{text-align: left;padding-left: 16px;padding-right: 30px;margin-top: 1px;margin-bottom: 0px;}
.p1060{text-align: left;padding-left: 16px;padding-right: 28px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p1061{text-align: left;padding-left: 16px;padding-right: 41px;margin-top: 2px;margin-bottom: 0px;text-indent: -15px;}
.p1062{text-align: left;padding-left: 16px;padding-right: 38px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p1063{text-align: left;padding-left: 16px;padding-right: 86px;margin-top: 0px;margin-bottom: 0px;text-indent: -15px;}
.p1064{text-align: left;padding-left: 16px;padding-right: 78px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p1065{text-align: left;padding-left: 16px;padding-right: 99px;margin-top: 2px;margin-bottom: 0px;text-indent: -15px;}
.p1066{text-align: left;padding-left: 16px;padding-right: 71px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p1067{text-align: left;padding-left: 1px;margin-top: 3px;margin-bottom: 0px;}
.p1068{text-align: left;padding-left: 16px;padding-right: 73px;margin-top: 1px;margin-bottom: 0px;}
.p1069{text-align: left;padding-left: 17px;padding-right: 43px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p1070{text-align: left;padding-left: 17px;padding-right: 24px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p1071{text-align: left;padding-left: 17px;padding-right: 37px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p1072{text-align: left;padding-left: 17px;padding-right: 38px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p1073{text-align: left;padding-left: 17px;padding-right: 20px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p1074{text-align: left;padding-left: 17px;padding-right: 29px;margin-top: 0px;margin-bottom: 0px;}
.p1075{text-align: left;padding-left: 17px;padding-right: 27px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p1076{text-align: left;padding-left: 17px;padding-right: 18px;margin-top: 1px;margin-bottom: 0px;}
.p1077{text-align: left;padding-left: 17px;padding-right: 53px;margin-top: 3px;margin-bottom: 0px;text-indent: -16px;}
.p1078{text-align: left;padding-left: 17px;padding-right: 18px;margin-top: 1px;margin-bottom: 0px;text-indent: -16px;}
.p1079{text-align: left;padding-left: 17px;padding-right: 31px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p1080{text-align: justify;padding-left: 17px;padding-right: 68px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p1081{text-align: left;padding-left: 17px;padding-right: 155px;margin-top: 0px;margin-bottom: 0px;text-indent: -16px;}
.p1082{text-align: left;padding-left: 17px;padding-right: 161px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p1083{text-align: left;padding-left: 17px;padding-right: 134px;margin-top: 1px;margin-bottom: 0px;}
.p1084{text-align: left;padding-left: 17px;padding-right: 144px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p1085{text-align: left;padding-left: 17px;padding-right: 133px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p1086{text-align: left;padding-left: 17px;padding-right: 183px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p1087{text-align: left;padding-left: 17px;padding-right: 140px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p1088{text-align: left;padding-left: 17px;padding-right: 152px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p1089{text-align: left;padding-left: 17px;padding-right: 182px;margin-top: 3px;margin-bottom: 0px;text-indent: -16px;}
.p1090{text-align: left;padding-right: 142px;margin-top: 1px;margin-bottom: 0px;text-indent: 17px;}
.p1091{text-align: left;padding-right: 128px;margin-top: 4px;margin-bottom: 0px;}
.p1092{text-align: left;padding-left: 17px;padding-right: 138px;margin-top: 3px;margin-bottom: 0px;text-indent: -16px;}
.p1093{text-align: left;padding-left: 17px;padding-right: 144px;margin-top: 3px;margin-bottom: 0px;text-indent: -16px;}
.p1094{text-align: left;padding-left: 17px;padding-right: 56px;margin-top: 3px;margin-bottom: 0px;text-indent: -16px;}
.p1095{text-align: left;padding-left: 17px;padding-right: 23px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p1096{text-align: left;padding-right: 19px;margin-top: 1px;margin-bottom: 0px;text-indent: 17px;}
.p1097{text-align: left;padding-left: 17px;padding-right: 36px;margin-top: 1px;margin-bottom: 0px;}
.p1098{text-align: left;padding-left: 17px;padding-right: 59px;margin-top: 3px;margin-bottom: 0px;text-indent: -16px;}
.p1099{text-align: left;padding-left: 17px;padding-right: 40px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p1100{text-align: left;padding-left: 17px;padding-right: 39px;margin-top: 3px;margin-bottom: 0px;text-indent: -16px;}
.p1101{text-align: left;padding-left: 17px;padding-right: 30px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p1102{text-align: justify;padding-left: 17px;padding-right: 26px;margin-top: 1px;margin-bottom: 0px;}
.p1103{text-align: left;padding-left: 17px;padding-right: 22px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p1104{text-align: left;padding-left: 17px;padding-right: 21px;margin-top: 1px;margin-bottom: 0px;text-indent: -16px;}
.p1105{text-align: left;padding-left: 17px;padding-right: 29px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p1106{text-align: left;padding-left: 17px;padding-right: 23px;margin-top: 1px;margin-bottom: 0px;text-indent: -16px;}
.p1107{text-align: left;padding-right: 108px;margin-top: 0px;margin-bottom: 0px;}
.p1108{text-align: left;padding-left: 17px;padding-right: 81px;margin-top: 1px;margin-bottom: 0px;}
.p1109{text-align: left;padding-left: 21px;padding-right: 82px;margin-top: 2px;margin-bottom: 0px;text-indent: -21px;}
.p1110{text-align: left;padding-left: 17px;padding-right: 82px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p1111{text-align: left;padding-left: 17px;padding-right: 81px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p1112{text-align: left;padding-left: 17px;margin-top: 0px;margin-bottom: 0px;}
.p1113{text-align: left;padding-left: 17px;padding-right: 111px;margin-top: 0px;margin-bottom: 0px;}
.p1114{text-align: left;padding-left: 17px;padding-right: 99px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p1115{text-align: left;padding-left: 1px;margin-top: 6px;margin-bottom: 0px;}
.p1116{text-align: left;margin-top: 0px;margin-bottom: 0px;-webkit-transform: rotate(270deg);-moz-transform: rotate(270deg);filter: progid:DXImageTransform.Microsoft.BasicImage(rotation=3);direction: rtl;block-progression: lr;width:915px;height:0px;}
.p1117{text-align: left;margin-top: -85px;margin-bottom: 0px;-webkit-transform: rotate(270deg);-moz-transform: rotate(270deg);filter: progid:DXImageTransform.Microsoft.BasicImage(rotation=3);direction: rtl;block-progression: lr;width:85px;height:0px;}
.p1118{text-align: left;margin-top: -129px;margin-bottom: 0px;-webkit-transform: rotate(270deg);-moz-transform: rotate(270deg);filter: progid:DXImageTransform.Microsoft.BasicImage(rotation=3);direction: rtl;block-progression: lr;width:129px;height:0px;}
.p1119{text-align: left;margin-top: -98px;margin-bottom: 0px;-webkit-transform: rotate(270deg);-moz-transform: rotate(270deg);filter: progid:DXImageTransform.Microsoft.BasicImage(rotation=3);direction: rtl;block-progression: lr;width:98px;height:8px;}
.td0{padding: 0px;margin: 0px;width: 398px;vertical-align: bottom;}
.td1{padding: 0px;margin: 0px;width: 73px;vertical-align: bottom;}
.td2{padding: 0px;margin: 0px;width: 396px;vertical-align: bottom;}
.td3{padding: 0px;margin: 0px;width: 19px;vertical-align: bottom;}
.td4{padding: 0px;margin: 0px;width: 23px;vertical-align: bottom;}
.td5{padding: 0px;margin: 0px;width: 373px;vertical-align: bottom;}
.td6{padding: 0px;margin: 0px;width: 362px;vertical-align: bottom;}
.td7{padding: 0px;margin: 0px;width: 17px;vertical-align: bottom;}
.td8{padding: 0px;margin: 0px;width: 28px;vertical-align: bottom;}
.td9{padding: 0px;margin: 0px;width: 264px;vertical-align: bottom;}
.td10{padding: 0px;margin: 0px;width: 124px;vertical-align: bottom;}
.td11{padding: 0px;margin: 0px;width: 381px;vertical-align: bottom;}
.td12{padding: 0px;margin: 0px;width: 16px;vertical-align: bottom;}
.td13{padding: 0px;margin: 0px;width: 62px;vertical-align: bottom;}
.td14{padding: 0px;margin: 0px;width: 319px;vertical-align: bottom;}
.td15{padding: 0px;margin: 0px;width: 43px;vertical-align: bottom;}
.td16{padding: 0px;margin: 0px;width: 81px;vertical-align: bottom;}
.td17{padding: 0px;margin: 0px;width: 400px;vertical-align: bottom;}
.td18{padding: 0px;margin: 0px;width: 379px;vertical-align: bottom;}
.td19{padding: 0px;margin: 0px;width: 18px;vertical-align: bottom;}
.td20{padding: 0px;margin: 0px;width: 317px;vertical-align: bottom;}
.td21{padding: 0px;margin: 0px;width: 354px;vertical-align: bottom;}
.td22{padding: 0px;margin: 0px;width: 24px;vertical-align: bottom;}
.td23{padding: 0px;margin: 0px;width: 389px;vertical-align: bottom;}
.td24{padding: 0px;margin: 0px;width: 98px;vertical-align: bottom;}
.td25{padding: 0px;margin: 0px;width: 361px;vertical-align: bottom;}
.td26{padding: 0px;margin: 0px;width: 374px;vertical-align: bottom;}
.td27{padding: 0px;margin: 0px;width: 49px;vertical-align: bottom;}
.td28{padding: 0px;margin: 0px;width: 325px;vertical-align: bottom;}
.td29{padding: 0px;margin: 0px;width: 297px;vertical-align: bottom;}
.td30{padding: 0px;margin: 0px;width: 39px;vertical-align: bottom;}
.td31{padding: 0px;margin: 0px;width: 359px;vertical-align: bottom;}
.td32{padding: 0px;margin: 0px;width: 80px;vertical-align: bottom;}
.td33{padding: 0px;margin: 0px;width: 312px;vertical-align: bottom;}
.td34{padding: 0px;margin: 0px;width: 392px;vertical-align: bottom;}
.td35{padding: 0px;margin: 0px;width: 26px;vertical-align: bottom;}
.td36{padding: 0px;margin: 0px;width: 58px;vertical-align: bottom;}
.td37{padding: 0px;margin: 0px;width: 305px;vertical-align: bottom;}
.td38{padding: 0px;margin: 0px;width: 27px;vertical-align: bottom;}
.td39{padding: 0px;margin: 0px;width: 363px;vertical-align: bottom;}
.td40{padding: 0px;margin: 0px;width: 449px;vertical-align: bottom;}
.td41{padding: 0px;margin: 0px;width: 38px;vertical-align: bottom;}
.td42{padding: 0px;margin: 0px;width: 298px;vertical-align: bottom;}
.td43{padding: 0px;margin: 0px;width: 66px;vertical-align: bottom;}
.td44{padding: 0px;margin: 0px;width: 308px;vertical-align: bottom;}
.td45{padding: 0px;margin: 0px;width: 59px;vertical-align: bottom;}
.td46{padding: 0px;margin: 0px;width: 307px;vertical-align: bottom;}
.td47{padding: 0px;margin: 0px;width: 366px;vertical-align: bottom;}
.td48{padding: 0px;margin: 0px;width: 31px;vertical-align: bottom;}
.td49{padding: 0px;margin: 0px;width: 358px;vertical-align: bottom;}
.td50{padding: 0px;margin: 0px;width: 104px;vertical-align: bottom;}
.td51{padding: 0px;margin: 0px;width: 378px;vertical-align: bottom;}
.td52{padding: 0px;margin: 0px;width: 351px;vertical-align: bottom;}
.td53{padding: 0px;margin: 0px;width: 25px;vertical-align: bottom;}
.td54{padding: 0px;margin: 0px;width: 364px;vertical-align: bottom;}
.td55{padding: 0px;margin: 0px;width: 355px;vertical-align: bottom;}
.td56{padding: 0px;margin: 0px;width: 84px;vertical-align: bottom;}
.td57{padding: 0px;margin: 0px;width: 311px;vertical-align: bottom;}
.td58{padding: 0px;margin: 0px;width: 67px;vertical-align: bottom;}
.td59{padding: 0px;margin: 0px;width: 68px;vertical-align: bottom;}
.td60{padding: 0px;margin: 0px;width: 321px;vertical-align: bottom;}
.td61{padding: 0px;margin: 0px;width: 127px;vertical-align: bottom;background: #e5e5e5;}
.td62{padding: 0px;margin: 0px;width: 288px;vertical-align: bottom;background: #e5e5e5;}
.td63{padding: 0px;margin: 0px;width: 127px;vertical-align: bottom;}
.td64{padding: 0px;margin: 0px;width: 288px;vertical-align: bottom;}
.td65{padding: 0px;margin: 0px;width: 135px;vertical-align: bottom;background: #e5e5e5;}
.td66{padding: 0px;margin: 0px;width: 281px;vertical-align: bottom;background: #e5e5e5;}
.td67{padding: 0px;margin: 0px;width: 135px;vertical-align: bottom;}
.td68{padding: 0px;margin: 0px;width: 281px;vertical-align: bottom;}
.td69{padding: 0px;margin: 0px;width: 415px;vertical-align: bottom;}
.td70{padding: 0px;margin: 0px;width: 410px;vertical-align: bottom;}
.td71{padding: 0px;margin: 0px;width: 77px;vertical-align: bottom;}
.td72{padding: 0px;margin: 0px;width: 443px;vertical-align: bottom;}
.td73{padding: 0px;margin: 0px;width: 44px;vertical-align: bottom;}
.td74{padding: 0px;margin: 0px;width: 217px;vertical-align: bottom;}
.td75{padding: 0px;margin: 0px;width: 106px;vertical-align: bottom;}
.td76{padding: 0px;margin: 0px;width: 199px;vertical-align: bottom;}
.td77{padding: 0px;margin: 0px;width: 401px;vertical-align: bottom;}
.td78{padding: 0px;margin: 0px;width: 86px;vertical-align: bottom;}
.td79{padding: 0px;margin: 0px;width: 216px;vertical-align: bottom;}
.td80{padding: 0px;margin: 0px;width: 439px;vertical-align: bottom;}
.td81{padding: 0px;margin: 0px;width: 48px;vertical-align: bottom;}
.td82{padding: 0px;margin: 0px;width: 414px;vertical-align: bottom;}
.td83{padding: 0px;margin: 0px;width: 254px;vertical-align: bottom;}
.td84{padding: 0px;margin: 0px;width: 233px;vertical-align: bottom;}
.td85{padding: 0px;margin: 0px;width: 353px;vertical-align: bottom;}
.td86{padding: 0px;margin: 0px;width: 134px;vertical-align: bottom;}
.td87{padding: 0px;margin: 0px;width: 267px;vertical-align: bottom;}
.td88{padding: 0px;margin: 0px;width: 220px;vertical-align: bottom;}
.td89{padding: 0px;margin: 0px;width: 390px;vertical-align: bottom;}
.td90{padding: 0px;margin: 0px;width: 97px;vertical-align: bottom;}
.td91{padding: 0px;margin: 0px;width: 377px;vertical-align: bottom;}
.td92{padding: 0px;margin: 0px;width: 110px;vertical-align: bottom;}
.td93{padding: 0px;margin: 0px;width: 196px;vertical-align: bottom;}
.td94{padding: 0px;margin: 0px;width: 291px;vertical-align: bottom;}
.td95{padding: 0px;margin: 0px;width: 223px;vertical-align: bottom;}
.td96{padding: 0px;margin: 0px;width: 129px;vertical-align: bottom;}
.td97{padding: 0px;margin: 0px;width: 293px;vertical-align: bottom;}
.td98{padding: 0px;margin: 0px;width: 194px;vertical-align: bottom;}
.td99{padding: 0px;margin: 0px;width: 340px;vertical-align: bottom;}
.td100{padding: 0px;margin: 0px;width: 147px;vertical-align: bottom;}
.td101{padding: 0px;margin: 0px;width: 121px;vertical-align: bottom;}
.td102{padding: 0px;margin: 0px;width: 380px;vertical-align: bottom;}
.td103{padding: 0px;margin: 0px;width: 107px;vertical-align: bottom;}
.td104{padding: 0px;margin: 0px;width: 108px;vertical-align: bottom;}
.td105{padding: 0px;margin: 0px;width: 438px;vertical-align: bottom;}
.td106{padding: 0px;margin: 0px;width: 448px;vertical-align: bottom;}
.td107{padding: 0px;margin: 0px;width: 446px;vertical-align: bottom;}
.td108{padding: 0px;margin: 0px;width: 37px;vertical-align: bottom;}
.td109{padding: 0px;margin: 0px;width: 212px;vertical-align: bottom;}
.td110{padding: 0px;margin: 0px;width: 140px;vertical-align: bottom;}
.td111{padding: 0px;margin: 0px;width: 420px;vertical-align: bottom;}
.td112{padding: 0px;margin: 0px;width: 64px;vertical-align: bottom;}
.tr0{height: 19px;}
.tr1{height: 18px;}
.tr2{height: 21px;}
.tr3{height: 37px;}
.tr4{height: 38px;}
.tr5{height: 28px;}
.tr6{height: 27px;}
.tr7{height: 17px;}
.tr8{height: 15px;}
.tr9{height: 51px;}
.tr10{height: 14px;}
.tr11{height: 50px;}
.tr12{height: 25px;}
.tr13{height: 26px;}
.tr14{height: 48px;}
.tr15{height: 13px;}
.tr16{height: 9px;}
.tr17{height: 11px;}
.t0{width: 471px;font: 13px 'Arial';color: #e4c21d;}
.t1{width: 415px;margin-top: 148px;font: bold 15px 'Arial';}
.t2{width: 379px;margin-left: 37px;margin-top: 1px;font: 12px 'Arial';}
.t3{width: 416px;font: 15px 'Arial';}
.t4{width: 416px;margin-left: 66px;margin-top: 28px;font: 15px 'Arial';}
.t5{width: 378px;margin-left: 104px;margin-top: 1px;font: 12px 'Arial';}
.t6{width: 378px;margin-left: 104px;font: 15px 'Arial';}
.t7{width: 416px;margin-left: 66px;font: 15px 'Arial';}
.t8{width: 487px;font: 15px 'Arial';}
.t9{width: 487px;font: bold 9px 'Arial';}
.t10{width: 379px;margin-left: 37px;font: 13px 'Arial';}
.t11{width: 322px;margin-left: 94px;font: 12px 'Arial';}
.t12{width: 379px;margin-left: 37px;font: 12px 'Arial';}
.t13{width: 482px;font: 15px 'Arial';}
.t14{width: 322px;margin-left: 94px;font: 13px 'Arial';}
.t15{width: 379px;margin-left: 37px;font: 15px 'Arial';}
.t16{width: 322px;margin-left: 94px;margin-top: 1px;font: 13px 'Arial';}
.t17{width: 416px;margin-top: 28px;font: 15px 'Arial';}
.t18{width: 416px;margin-top: 16px;font: 15px 'Arial';}
.t19{width: 415px;margin-top: 152px;font: 15px 'Arial';}
.t20{width: 416px;margin-left: 66px;margin-top: 33px;font: 15px 'Arial';}
.t21{width: 482px;font: bold 11px 'Arial';}
.t22{width: 323px;margin-left: 66px;margin-top: 10px;font: italic 15px 'Arial';}
.t23{width: 416px;margin-left: 66px;font: 13px 'Arial';}
.t24{width: 322px;margin-top: 19px;font: italic 12px 'Arial';}
.t25{width: 415px;font: italic 13px 'Arial';}
.t26{width: 487px;margin-left: 5px;font: bold 9px 'Arial';}
.t27{width: 482px;font: bold 10px 'Arial';}
.t28{width: 487px;font: bold 8px 'Arial';}
.t29{width: 483px;margin-left: 1px;font: 9px 'Arial';}
.t30{width: 352px;font: 8px 'Arial';}
.t31{width: 484px;font: 11px 'Arial';}
.t32{width: 483px;font: 9px 'Arial';}
</STYLE>
</HEAD>
<BODY>
<DIV id="page_1">
<DIV id="p1dimg1">
<IMG src="http://data.riksdagen.se/fil/H9B363/H9B3631x1.jpg" style="width:649px;height:953px" id="p1img1">
</DIV>
<DIV class="dclr"></DIV>
<DIV id="id_1">
<P class="p0 ft0">Sveriges säkerhet</P>
<P class="p1 ft3"><SPAN class="ft1">–</SPAN><SPAN class="ft2">behov av starkare skydd för nätverks- och informationssystem</SPAN></P>
</DIV>
<DIV id="id_2">
<TABLE cellpadding=0 cellspacing=0 class="t0">
<TR>
<TD class="tr0 td0"><P class="p2 ft4">BETÄNKANDE AV</P></TD>
<TD class="tr0 td1"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr1 td0"><P class="p2 ft4">CYBERSÄKERHETSUTREDNINGEN</P></TD>
<TD class="tr1 td1"><P class="p2 ft6">SOU 2021:63</P></TD>
</TR>
</TABLE>
</DIV>
</DIV>
<DIV id="page_2">
<DIV id="p2dimg1">
<INGENBILD zsrc="H9B3632x1.jpg/" id="p2img1">
</DIV>
<DIV id="id_1">
<P class="p0 ft7">Sveriges säkerhet</P>
<P class="p3 ft10"><SPAN class="ft8">–</SPAN><SPAN class="ft9">behov av starkare skydd för nätverks- och informationssystem</SPAN></P>
<P class="p4 ft11">Slutbetänkande av Cybersäkerhetsutredningen</P>
<P class="p5 ft11">Stockholm 2021</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft12">SOU 2021:63</P>
</DIV>
</DIV>
<DIV id="page_3">
<P class="p0 ft13">SOU och Ds finns på regeringen.se under Rättsliga dokument.</P>
<P class="p6 ft14">Svara på remiss – hur och varför</P>
<P class="p0 ft15">Statsrådsberedningen, SB PM 2003:2 (reviderad <NOBR>2009-05-02).</NOBR></P>
<P class="p0 ft13">Information för dem som ska svara på remiss finns tillgänglig på regeringen.se/remisser.</P>
<P class="p7 ft13">Layout: Kommittéservice, Regeringskansliet</P>
<P class="p8 ft13">Omslag: Elanders Sverige AB</P>
<P class="p8 ft13">Tryck och remisshantering: Elanders Sverige AB, Stockholm 2021</P>
<P class="p9 ft13">ISBN <NOBR>978-91-525-0177-1</NOBR> (tryck)</P>
<P class="p8 ft13">ISBN <NOBR>978-91-525-0178-8</NOBR> (pdf)</P>
<P class="p8 ft13">ISSN <NOBR>0375-250X</NOBR></P>
</DIV>
<DIV id="page_4">
<P class="p0 ft16">Till statsrådet Peter Hultqvist</P>
<P class="p10 ft17">Regeringen beslutade den 31 oktober 2019 att tillkalla en särskild ut- redare (dir. 2019:73) med uppdrag att lämna förslag till anpassningar och kompletterande författningsbestämmelser som EU:s cybersäker- hetsakt ger anledning till och att överväga behovet av vissa ytterligare krav på nätverks- och informationssystem till skydd för Sveriges säkerhet.</P>
<P class="p11 ft18">Den 3 februari 2020 förordnades lagmannen Nils Cederstierna som särskild utredare. Som sakkunniga förordnades den 2 mars 2020 rättssakkunniga Karin Byström, Försvarsdepartementet, ämnesrådet Catharina Hallström, Försvarsdepartementet, ämnesrådet Richard Henriksson, Utrikesdepartementet, departementssekreteraren Linnéa Jannes, Utrikesdepartementet, numera kanslirådet Staffan Lindmark, Infrastrukturdepartementet, numera kanslirådet Emelie Smiding, Justitiedepartementet, och militärsakkunniga Anna Weibull, Försvars- departementet. Samma dag förordnades bedömningsledaren Curt- Peter Askolin, Styrelsen för ackreditering och teknisk kontroll (Swedac), verksjuristen Charlotte Hakelius, Säkerhetspolisen, verk- samhetschefen Ronny Harpe, Myndigheten för samhällsskydd och beredskap (MSB), kommendör <NOBR>Per-Ola</NOBR> Johansson, Försvarsmakten, juristen <NOBR>Britt-Marie</NOBR> Jönson, Post- och telestyrelsen, director Mats F. Nilsson, Teknikföretagen, ordföranden för Cyberförsvarsgruppen Richard Oehme, Säkerhets- och försvarsföretagen (SOFF), hand- läggaren Tommy Schönberg, Vinnova, och chefen för FMV/CSEC Dag Ströman, Försvarets materielverk, som experter i utredningen. Den 13 mars 2020 förordnades även kanslirådet Anneli Hagdahl, Försvarsdepartementet, som sakkunnig i utredningen och biträdande säkerhetsskyddschefen Ylva Söderlund, Trafikverket, som expert. Den 8 oktober 2020 entledigades Anna Weibull som sakkunnig. Ämnes- sakkunnige Christer Hellsten, Försvarsdepartementet, förordnades som sakkunnig den 25 november 2020. Catharina Hallström och</P>
</DIV>
<DIV id="page_5">
<P class="p12 ft17"><NOBR>Curt-Peter</NOBR> Askolin entledigades den 12 december 2020. Samma dag förordnades som expert utredaren Magnus Pedersen, Styrelsen för ackreditering och teknisk kontroll (Swedac). Ylva Söderlund entlediga- des den 24 februari 2021.</P>
<P class="p13 ft19">Som sekreterare i utredningen anställdes den 3 februari 2020 hov- rättsassessorn Patrik Roos. Seniora rådgivaren Thomas Wallander anställdes som huvudsekreterare den 10 februari 2020.</P>
<P class="p14 ft17">Utredningen har tagit namnet Cybersäkerhetsutredningen (Fö 2019:1).</P>
<P class="p13 ft18">Genom tilläggsdirektiv den 14 maj 2020 förlängdes utrednings- tiden för den del av uppdraget som avser anpassningar med anled- ning av EU:s cybersäkerhetsakt (dir. 2020:57). Den 18 februari 2021 beslutade regeringen i tilläggsdirektiv till utredningen (dir. 2021:10) att förlänga utredningstiden för den del som avser ytterligare krav på verksamheter av betydelse för Sveriges säkerhet.</P>
<P class="p15 ft21">Utredningen överlämnade delbetänkandet <SPAN class="ft20">EU:s cybersäkerhetsakt</SPAN></P>
<P class="p16 ft24"><SPAN class="ft20">–</SPAN><SPAN class="ft22">kompletterande nationella bestämmelser om cybersäkerhetscertifiering </SPAN><SPAN class="ft23">(SOU 2020:58) i september 2020. Härmed överlämnar utredningen slutbetänkandet </SPAN>Sveriges säkerhet – behov av starkare skydd för nätverks- och informationssystem <SPAN class="ft23">(SOU 2021:63).</SPAN></P>
<P class="p17 ft21">Utredningens uppdrag är därmed slutfört.</P>
<P class="p18 ft21">Stockholm i juli 2021</P>
<P class="p19 ft21">Nils Cederstierna</P>
<P class="p20 ft21">/Thomas Wallander</P>
<P class="p21 ft21"><SPAN class="ft25">/</SPAN>Patrik Roos</P>
</DIV>
<DIV id="page_6">
<P class="p0 ft16">Innehåll</P>
<TABLE cellpadding=0 cellspacing=0 class="t1">
<TR>
<TD colspan=2 class="tr2 td2"><P class="p2 ft26"><A href="#page_18">Förkortningar.....................................................................</A></P></TD>
<TD class="tr2 td3"><P class="p22 ft26"><A href="#page_18">17</A></P></TD>
</TR>
<TR>
<TD colspan=2 class="tr3 td2"><P class="p2 ft26"><A href="#page_20">Sammanfattning ................................................................</A></P></TD>
<TD class="tr3 td3"><P class="p22 ft26"><A href="#page_20">19</A></P></TD>
</TR>
<TR>
<TD colspan=2 class="tr4 td2"><P class="p2 ft26"><A href="#page_34">Summary ..........................................................................</A></P></TD>
<TD class="tr4 td3"><P class="p22 ft26"><A href="#page_34">33</A></P></TD>
</TR>
<TR>
<TD class="tr3 td4"><P class="p2 ft26"><A href="#page_48">1</A></P></TD>
<TD class="tr3 td5"><P class="p23 ft26"><A href="#page_48">Författningsförslag.....................................................</A></P></TD>
<TD class="tr3 td3"><P class="p22 ft26"><A href="#page_48">47</A></P></TD>
</TR>
</TABLE>
<P class="p24 ft21"><SPAN class="ft27">1.1</SPAN><A href="#page_48"><SPAN class="ft28">Förslag till lag om ändring i säkerhetsskyddslagen</SPAN></A></P>
<TABLE cellpadding=0 cellspacing=0 class="t2">
<TR>
<TD class="tr1 td6"><P class="p22 ft12"><A href="#page_48">(2018:585) ...............................................................................</A></P></TD>
<TD class="tr1 td7"><P class="p22 ft21"><A href="#page_48">47</A></P></TD>
</TR>
</TABLE>
<P class="p25 ft21"><SPAN class="ft27">1.2</SPAN><A href="#page_52"><SPAN class="ft28">Förslag till förordning om ändring i</SPAN></A></P>
<TABLE cellpadding=0 cellspacing=0 class="t3">
<TR>
<TD class="tr0 td8"><P class="p2 ft5"> </P></TD>
<TD class="tr0 td9"><P class="p26 ft27"><A href="#page_52">säkerhetsskyddsförordningen (2018:658)</A></P></TD>
<TD class="tr0 td10"><P class="p22 ft12"><A href="#page_52">............................. 51</A></P></TD>
</TR>
<TR>
<TD class="tr3 td8"><P class="p2 ft26"><A href="#page_54">2</A></P></TD>
<TD class="tr3 td9"><P class="p26 ft29"><A href="#page_54">Uppdraget ................................................................</A></P></TD>
<TD class="tr3 td10"><P class="p27 ft26"><A href="#page_54">53</A></P></TD>
</TR>
<TR>
<TD class="tr5 td8"><P class="p2 ft21"><A href="#page_54">2.1</A></P></TD>
<TD class="tr5 td9"><P class="p26 ft30"><A href="#page_54">Inledning .................................................................................</A></P></TD>
<TD class="tr5 td10"><P class="p22 ft21"><A href="#page_54">53</A></P></TD>
</TR>
<TR>
<TD class="tr6 td8"><P class="p2 ft21"><A href="#page_54">2.2</A></P></TD>
<TD class="tr6 td9"><P class="p26 ft30"><A href="#page_54">Bakgrund .................................................................................</A></P></TD>
<TD class="tr6 td10"><P class="p22 ft21"><A href="#page_54">53</A></P></TD>
</TR>
<TR>
<TD class="tr5 td8"><P class="p2 ft21"><A href="#page_57">2.3</A></P></TD>
<TD class="tr5 td9"><P class="p26 ft30"><A href="#page_57">Uppdragets andra del..............................................................</A></P></TD>
<TD class="tr5 td10"><P class="p22 ft21"><A href="#page_57">56</A></P></TD>
</TR>
<TR>
<TD class="tr6 td8"><P class="p2 ft21"><A href="#page_59">2.4</A></P></TD>
<TD class="tr6 td9"><P class="p26 ft30"><A href="#page_59">Definitioner.............................................................................</A></P></TD>
<TD class="tr6 td10"><P class="p22 ft21"><A href="#page_59">58</A></P></TD>
</TR>
<TR>
<TD class="tr6 td8"><P class="p2 ft21"><A href="#page_60">2.5</A></P></TD>
<TD class="tr6 td9"><P class="p26 ft30"><A href="#page_60">Uppdragets omfattning ..........................................................</A></P></TD>
<TD class="tr6 td10"><P class="p22 ft21"><A href="#page_60">59</A></P></TD>
</TR>
<TR>
<TD class="tr5 td8"><P class="p2 ft21"><A href="#page_63">2.6</A></P></TD>
<TD class="tr5 td9"><P class="p26 ft30"><A href="#page_63">Utredningsarbetet...................................................................</A></P></TD>
<TD class="tr5 td10"><P class="p22 ft21"><A href="#page_63">62</A></P></TD>
</TR>
<TR>
<TD class="tr6 td8"><P class="p2 ft21"><A href="#page_65">2.7</A></P></TD>
<TD class="tr6 td9"><P class="p26 ft30"><A href="#page_65">Betänkandets disposition........................................................</A></P></TD>
<TD class="tr6 td10"><P class="p22 ft21"><A href="#page_65">64</A></P></TD>
</TR>
<TR>
<TD class="tr3 td8"><P class="p2 ft26"><A href="#page_68">3</A></P></TD>
<TD class="tr3 td9"><P class="p26 ft31"><A href="#page_68">Utgångspunkter.........................................................</A></P></TD>
<TD class="tr3 td10"><P class="p27 ft26"><A href="#page_68">67</A></P></TD>
</TR>
<TR>
<TD class="tr5 td8"><P class="p2 ft21"><A href="#page_68">3.1</A></P></TD>
<TD class="tr5 td9"><P class="p26 ft30"><A href="#page_68">Inledning .................................................................................</A></P></TD>
<TD class="tr5 td10"><P class="p22 ft21"><A href="#page_68">67</A></P></TD>
</TR>
</TABLE>
<P class="p28 ft31">5</P>
</DIV>
<DIV id="page_7">
<DIV id="id_1">
<P class="p0 ft32">Innehåll<SPAN style="padding-left:377px;">SOU 2021:63</SPAN></P>
<TABLE cellpadding=0 cellspacing=0 class="t4">
<TR>
<TD class="tr2 td3"><P class="p22 ft27"><A href="#page_69">3.2</A></P></TD>
<TD colspan=2 class="tr2 td11"><P class="p29 ft33"><A href="#page_69">Informations- och cybersäkerhet i olika styrdokument ......</A></P></TD>
<TD class="tr2 td12"><P class="p22 ft21"><A href="#page_69">68</A></P></TD>
</TR>
<TR>
<TD class="tr1 td3"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td13"><P class="p29 ft21"><A href="#page_69">3.2.1</A></P></TD>
<TD class="tr1 td14"><P class="p23 ft27"><A href="#page_69">Försvarsbeslutet för perioden </A><NOBR><A href="#page_69">2021–2025 .............</A></NOBR></P></TD>
<TD class="tr1 td12"><P class="p22 ft21"><A href="#page_69">68</A></P></TD>
</TR>
<TR>
<TD class="tr1 td3"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td13"><P class="p29 ft21"><A href="#page_73">3.2.2</A></P></TD>
<TD class="tr1 td14"><P class="p23 ft27"><A href="#page_73">Den nationella säkerhetsstrategin ..........................</A></P></TD>
<TD class="tr1 td12"><P class="p22 ft21"><A href="#page_73">72</A></P></TD>
</TR>
<TR>
<TD class="tr0 td3"><P class="p2 ft5"> </P></TD>
<TD class="tr0 td13"><P class="p29 ft21"><A href="#page_76">3.2.3</A></P></TD>
<TD class="tr0 td14"><P class="p23 ft21"><A href="#page_76">Nationell strategi för samhällets informations-</A></P></TD>
<TD class="tr0 td12"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr1 td3"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td13"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td14"><P class="p23 ft12"><A href="#page_76">och cybersäkerhet....................................................</A></P></TD>
<TD class="tr1 td12"><P class="p22 ft21"><A href="#page_76">75</A></P></TD>
</TR>
<TR>
<TD class="tr1 td3"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td13"><P class="p29 ft21"><A href="#page_77">3.2.4</A></P></TD>
<TD class="tr1 td14"><P class="p23 ft27"><A href="#page_77">Nationell digitaliseringsstrategi .............................</A></P></TD>
<TD class="tr1 td12"><P class="p22 ft21"><A href="#page_77">76</A></P></TD>
</TR>
<TR>
<TD class="tr6 td3"><P class="p22 ft27"><A href="#page_79">3.3</A></P></TD>
<TD colspan=2 class="tr6 td11"><P class="p29 ft27"><A href="#page_79">Det nationella cybersäkerhetscentret....................................</A></P></TD>
<TD class="tr6 td12"><P class="p22 ft21"><A href="#page_79">78</A></P></TD>
</TR>
</TABLE>
<P class="p30 ft21"><SPAN class="ft27">3.4</SPAN><A href="#page_81"><SPAN class="ft28">Samlad informations- och cybersäkerhetshandlingsplan</SPAN></A></P>
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td6"><P class="p2 ft12"><NOBR><A href="#page_81">2020–2023 ...............................................................................</A></NOBR></P></TD>
<TD class="tr7 td12"><P class="p22 ft21"><A href="#page_81">80</A></P></TD>
</TR>
</TABLE>
<P class="p30 ft21"><SPAN class="ft27">3.5</SPAN><A href="#page_84"><SPAN class="ft28">Författningsbestämmelser om informations-</SPAN></A></P>
<TABLE cellpadding=0 cellspacing=0 class="t6">
<TR>
<TD colspan=2 class="tr0 td6"><P class="p2 ft12"><A href="#page_84">och cybersäkerhet ...................................................................</A></P></TD>
<TD class="tr0 td12"><P class="p22 ft21"><A href="#page_84">83</A></P></TD>
</TR>
<TR>
<TD class="tr1 td15"><P class="p2 ft21"><A href="#page_85">3.5.1</A></P></TD>
<TD class="tr1 td14"><P class="p23 ft12"><A href="#page_85">Säkerhetsskydd........................................................</A></P></TD>
<TD class="tr1 td12"><P class="p22 ft21"><A href="#page_85">84</A></P></TD>
</TR>
<TR>
<TD class="tr1 td15"><P class="p2 ft21"><A href="#page_86">3.5.2</A></P></TD>
<TD class="tr1 td14"><P class="p23 ft27"><A href="#page_86">Samhällsviktiga och digitala tjänster ......................</A></P></TD>
<TD class="tr1 td12"><P class="p22 ft21"><A href="#page_86">85</A></P></TD>
</TR>
</TABLE>
<P class="p31 ft21"><SPAN class="ft27">3.5.3</SPAN><A href="#page_88"><SPAN class="ft34">Det europeiska ramverket för</SPAN></A></P>
<TABLE cellpadding=0 cellspacing=0 class="t7">
<TR>
<TD class="tr1 td16"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td14"><P class="p32 ft27"><A href="#page_88">cybersäkerhetscertifiering.......................................</A></P></TD>
<TD class="tr1 td12"><P class="p22 ft21"><A href="#page_88">87</A></P></TD>
</TR>
<TR>
<TD class="tr1 td16"><P class="p33 ft21"><A href="#page_89">3.5.4</A></P></TD>
<TD class="tr1 td14"><P class="p32 ft27"><A href="#page_89">Regleringen avseende statliga myndigheter...........</A></P></TD>
<TD class="tr1 td12"><P class="p22 ft21"><A href="#page_89">88</A></P></TD>
</TR>
<TR>
<TD class="tr1 td16"><P class="p33 ft21"><A href="#page_90">3.5.5</A></P></TD>
<TD class="tr1 td14"><P class="p32 ft27"><A href="#page_90">Regioner och kommuner ........................................</A></P></TD>
<TD class="tr1 td12"><P class="p22 ft21"><A href="#page_90">89</A></P></TD>
</TR>
<TR>
<TD colspan=2 class="tr5 td17"><P class="p32 ft21"><A href="#page_90">3.6 Offentliga utredningar och rapporter ...................................</A></P></TD>
<TD class="tr5 td12"><P class="p22 ft21"><A href="#page_90">89</A></P></TD>
</TR>
</TABLE>
<P class="p34 ft21"><SPAN class="ft27">3.7</SPAN><A href="#page_91"><SPAN class="ft28">Digitaliseringen och kraven på informations-</SPAN></A></P>
<TABLE cellpadding=0 cellspacing=0 class="t7">
<TR>
<TD class="tr0 td3"><P class="p2 ft5"> </P></TD>
<TD colspan=2 class="tr0 td18"><P class="p29 ft12"><A href="#page_91">och cybersäkerhet ...................................................................</A></P></TD>
<TD class="tr0 td19"><P class="p22 ft21"><A href="#page_91">90</A></P></TD>
</TR>
<TR>
<TD class="tr3 td3"><P class="p2 ft26"><A href="#page_92">4</A></P></TD>
<TD colspan=2 class="tr3 td18"><P class="p29 ft35"><A href="#page_92">Digitalisering och informations- och cybersäkerhet ........</A></P></TD>
<TD class="tr3 td19"><P class="p22 ft26"><A href="#page_92">91</A></P></TD>
</TR>
<TR>
<TD class="tr5 td3"><P class="p2 ft27"><A href="#page_92">4.1</A></P></TD>
<TD colspan=2 class="tr5 td18"><P class="p29 ft12"><A href="#page_92">Inledning .................................................................................</A></P></TD>
<TD class="tr5 td19"><P class="p22 ft21"><A href="#page_92">91</A></P></TD>
</TR>
<TR>
<TD class="tr6 td3"><P class="p2 ft27"><A href="#page_93">4.2</A></P></TD>
<TD colspan=2 class="tr6 td18"><P class="p29 ft12"><A href="#page_93">Bakgrund .................................................................................</A></P></TD>
<TD class="tr6 td19"><P class="p22 ft21"><A href="#page_93">92</A></P></TD>
</TR>
<TR>
<TD class="tr5 td3"><P class="p2 ft27"><A href="#page_95">4.3</A></P></TD>
<TD colspan=2 class="tr5 td18"><P class="p29 ft27"><A href="#page_95">Politikens mål för digitalisering.............................................</A></P></TD>
<TD class="tr5 td19"><P class="p22 ft21"><A href="#page_95">94</A></P></TD>
</TR>
<TR>
<TD class="tr1 td3"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td13"><P class="p29 ft21"><A href="#page_95">4.3.1</A></P></TD>
<TD class="tr1 td20"><P class="p23 ft12"><A href="#page_95">Digitaliseringsstrategier ..........................................</A></P></TD>
<TD class="tr1 td19"><P class="p22 ft21"><A href="#page_95">94</A></P></TD>
</TR>
<TR>
<TD class="tr1 td3"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td13"><P class="p29 ft21"><A href="#page_96">4.3.2</A></P></TD>
<TD class="tr1 td20"><P class="p23 ft12"><A href="#page_96">Utvecklingen ...........................................................</A></P></TD>
<TD class="tr1 td19"><P class="p22 ft21"><A href="#page_96">95</A></P></TD>
</TR>
<TR>
<TD class="tr6 td3"><P class="p2 ft27"><A href="#page_98">4.4</A></P></TD>
<TD colspan=2 class="tr6 td18"><P class="p29 ft27"><A href="#page_98">Internationella jämförelser (index) .......................................</A></P></TD>
<TD class="tr6 td19"><P class="p22 ft21"><A href="#page_98">97</A></P></TD>
</TR>
<TR>
<TD class="tr6 td3"><P class="p2 ft27"><A href="#page_100">4.5</A></P></TD>
<TD colspan=2 class="tr6 td18"><P class="p29 ft12"><A href="#page_100">Digitala sårbarheter ................................................................</A></P></TD>
<TD class="tr6 td19"><P class="p22 ft21"><A href="#page_100">99</A></P></TD>
</TR>
</TABLE>
<P class="p30 ft21"><SPAN class="ft27">4.6</SPAN><A href="#page_106"><SPAN class="ft28">Digitalisering och informations- och cybersäkerhet</SPAN></A></P>
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr1 td21"><P class="p2 ft12"><A href="#page_106">i otakt ....................................................................................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_106">105</A></P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">6</P>
</DIV>
</DIV>
<DIV id="page_8">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t8">
<TR>
<TD colspan=2 class="tr8 td23"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr8 td24"><P class="p22 ft32">Innehåll</P></TD>
</TR>
<TR>
<TD class="tr9 td8"><P class="p2 ft26"><A href="#page_112">5</A></P></TD>
<TD class="tr9 td25"><P class="p26 ft35"><A href="#page_112">Utvecklingen av hot, sårbarheter och risker ................</A></P></TD>
<TD class="tr9 td24"><P class="p35 ft26"><A href="#page_112">111</A></P></TD>
</TR>
<TR>
<TD class="tr6 td8"><P class="p2 ft21"><A href="#page_112">5.1</A></P></TD>
<TD class="tr6 td25"><P class="p26 ft12"><A href="#page_112">Inledning ...............................................................................</A></P></TD>
<TD class="tr6 td24"><P class="p36 ft21"><A href="#page_112">111</A></P></TD>
</TR>
<TR>
<TD class="tr5 td8"><P class="p2 ft21"><A href="#page_112">5.2</A></P></TD>
<TD class="tr5 td25"><P class="p26 ft12"><A href="#page_112">Hot, sårbarheter och risker ..................................................</A></P></TD>
<TD class="tr5 td24"><P class="p36 ft21"><A href="#page_112">111</A></P></TD>
</TR>
</TABLE>
<P class="p24 ft21"><SPAN class="ft27">5.3</SPAN><A href="#page_116"><SPAN class="ft28">Cybersäkerhet i Sverige – Hot, metoder,</SPAN></A></P>
<TABLE cellpadding=0 cellspacing=0 class="t3">
<TR>
<TD class="tr1 td19"><P class="p2 ft5"> </P></TD>
<TD colspan=2 class="tr1 td26"><P class="p29 ft12"><A href="#page_116">brister och beroenden 2020 ..................................................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_116">115</A></P></TD>
</TR>
<TR>
<TD class="tr5 td19"><P class="p22 ft27"><A href="#page_120">5.4</A></P></TD>
<TD colspan=2 class="tr5 td26"><P class="p29 ft27"><A href="#page_120">Cyberangrepp mot myndigheter .........................................</A></P></TD>
<TD class="tr5 td22"><P class="p22 ft21"><A href="#page_120">119</A></P></TD>
</TR>
<TR>
<TD class="tr6 td19"><P class="p22 ft27"><A href="#page_121">5.5</A></P></TD>
<TD colspan=2 class="tr6 td26"><P class="p29 ft12"><A href="#page_121">Cyberangrepp mot företag ...................................................</A></P></TD>
<TD class="tr6 td22"><P class="p22 ft21"><A href="#page_121">120</A></P></TD>
</TR>
<TR>
<TD class="tr1 td19"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td27"><P class="p29 ft27"><A href="#page_123">5.5.1</A></P></TD>
<TD class="tr1 td28"><P class="p37 ft21"><A href="#page_123">CYBERHOTEN – Så ser hotbilden</A></P></TD>
<TD class="tr1 td22"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr1 td19"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td27"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td28"><P class="p37 ft21"><A href="#page_123">och attackerna ut mot svenska teknikföretag</A></P></TD>
<TD class="tr1 td22"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr1 td19"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td27"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td28"><P class="p37 ft12"><A href="#page_123">(2019) .....................................................................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_123">122</A></P></TD>
</TR>
</TABLE>
<P class="p38 ft21"><SPAN class="ft27">5.5.2</SPAN><A href="#page_125"><SPAN class="ft36">Cybersäkerhet – En kartläggning av Sveriges</SPAN></A></P>
<TABLE cellpadding=0 cellspacing=0 class="t3">
<TR>
<TD class="tr1 td19"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td13"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td29"><P class="p23 ft27"><A href="#page_125">nuläge 2020 och framtidsutsikter för branschen</A></P></TD>
<TD class="tr1 td30"><P class="p22 ft12"><A href="#page_125">.... 124</A></P></TD>
</TR>
<TR>
<TD class="tr4 td19"><P class="p2 ft26"><A href="#page_128">6</A></P></TD>
<TD colspan=2 class="tr4 td31"><P class="p29 ft35"><A href="#page_128">Säkerhetskänslig verksamhet ....................................</A></P></TD>
<TD class="tr4 td30"><P class="p27 ft26"><A href="#page_128">127</A></P></TD>
</TR>
<TR>
<TD class="tr6 td19"><P class="p2 ft27"><A href="#page_128">6.1</A></P></TD>
<TD colspan=2 class="tr6 td31"><P class="p29 ft12"><A href="#page_128">Inledning ...............................................................................</A></P></TD>
<TD class="tr6 td30"><P class="p22 ft21"><A href="#page_128">127</A></P></TD>
</TR>
<TR>
<TD class="tr6 td19"><P class="p2 ft27"><A href="#page_129">6.2</A></P></TD>
<TD colspan=2 class="tr6 td31"><P class="p29 ft12"><A href="#page_129">Säkerhetsskyddslagen ...........................................................</A></P></TD>
<TD class="tr6 td30"><P class="p22 ft21"><A href="#page_129">128</A></P></TD>
</TR>
<TR>
<TD class="tr1 td19"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td13"><P class="p29 ft21"><A href="#page_129">6.2.1</A></P></TD>
<TD class="tr1 td29"><P class="p23 ft12"><A href="#page_129">Sveriges säkerhet....................................................</A></P></TD>
<TD class="tr1 td30"><P class="p22 ft21"><A href="#page_129">128</A></P></TD>
</TR>
<TR>
<TD class="tr1 td19"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td13"><P class="p29 ft21"><A href="#page_130">6.2.2</A></P></TD>
<TD class="tr1 td29"><P class="p23 ft12"><A href="#page_130">Internationellt åtagande om säkerhetsskydd .......</A></P></TD>
<TD class="tr1 td30"><P class="p22 ft21"><A href="#page_130">129</A></P></TD>
</TR>
<TR>
<TD class="tr5 td19"><P class="p2 ft27"><A href="#page_130">6.3</A></P></TD>
<TD colspan=2 class="tr5 td31"><P class="p29 ft12"><A href="#page_130">Vad som avses med säkerhetsskydd.....................................</A></P></TD>
<TD class="tr5 td30"><P class="p22 ft21"><A href="#page_130">129</A></P></TD>
</TR>
<TR>
<TD class="tr6 td19"><P class="p2 ft27"><A href="#page_134">6.4</A></P></TD>
<TD colspan=2 class="tr6 td31"><P class="p29 ft12"><A href="#page_134">Konsekvenskategorier ..........................................................</A></P></TD>
<TD class="tr6 td30"><P class="p22 ft21"><A href="#page_134">133</A></P></TD>
</TR>
<TR>
<TD class="tr1 td19"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td13"><P class="p29 ft21"><A href="#page_135">6.4.1</A></P></TD>
<TD class="tr1 td29"><P class="p23 ft12"><A href="#page_135">Konsekvensnivåer ..................................................</A></P></TD>
<TD class="tr1 td30"><P class="p22 ft21"><A href="#page_135">134</A></P></TD>
</TR>
<TR>
<TD class="tr1 td19"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td13"><P class="p29 ft21"><A href="#page_135">6.4.2</A></P></TD>
<TD class="tr1 td29"><P class="p23 ft12"><A href="#page_135">Särskilt säkerhetskänslig verksamhet ...................</A></P></TD>
<TD class="tr1 td30"><P class="p22 ft21"><A href="#page_135">134</A></P></TD>
</TR>
<TR>
<TD class="tr5 td19"><P class="p2 ft27"><A href="#page_136">6.5</A></P></TD>
<TD colspan=2 class="tr5 td31"><P class="p29 ft12"><A href="#page_136">Grundläggande bestämmelser om säkerhetsskydd .............</A></P></TD>
<TD class="tr5 td30"><P class="p22 ft21"><A href="#page_136">135</A></P></TD>
</TR>
<TR>
<TD class="tr1 td19"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td13"><P class="p29 ft21"><A href="#page_138">6.5.1</A></P></TD>
<TD class="tr1 td29"><P class="p23 ft12"><A href="#page_138">Informationssäkerhet ............................................</A></P></TD>
<TD class="tr1 td30"><P class="p22 ft21"><A href="#page_138">137</A></P></TD>
</TR>
<TR>
<TD class="tr1 td19"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td13"><P class="p29 ft21"><A href="#page_139">6.5.2</A></P></TD>
<TD class="tr1 td29"><P class="p23 ft12"><A href="#page_139">Fysisk säkerhet ......................................................</A></P></TD>
<TD class="tr1 td30"><P class="p22 ft21"><A href="#page_139">138</A></P></TD>
</TR>
<TR>
<TD class="tr1 td19"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td13"><P class="p29 ft21"><A href="#page_140">6.5.3</A></P></TD>
<TD class="tr1 td29"><P class="p23 ft12"><A href="#page_140">Personalsäkerhet....................................................</A></P></TD>
<TD class="tr1 td30"><P class="p22 ft21"><A href="#page_140">139</A></P></TD>
</TR>
</TABLE>
<P class="p39 ft21"><SPAN class="ft27">6.5.4</SPAN><A href="#page_140"><SPAN class="ft36">Behörighet att delta i säkerhetskänslig</SPAN></A></P>
<TABLE cellpadding=0 cellspacing=0 class="t3">
<TR>
<TD class="tr0 td32"><P class="p2 ft5"> </P></TD>
<TD class="tr0 td33"><P class="p27 ft12"><A href="#page_140">verksamhet .............................................................</A></P></TD>
<TD class="tr0 td22"><P class="p22 ft21"><A href="#page_140">139</A></P></TD>
</TR>
<TR>
<TD colspan=2 class="tr6 td34"><P class="p27 ft27"><A href="#page_140">6.6 Särskild säkerhetsskyddsbedömning ...................................</A></P></TD>
<TD class="tr6 td22"><P class="p22 ft21"><A href="#page_140">139</A></P></TD>
</TR>
<TR>
<TD class="tr1 td32"><P class="p40 ft21"><A href="#page_141">6.6.1</A></P></TD>
<TD class="tr1 td33"><P class="p27 ft21"><A href="#page_141">Statliga myndigheter vid upphandling..................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_141">140</A></P></TD>
</TR>
<TR>
<TD class="tr0 td32"><P class="p40 ft21"><A href="#page_141">6.6.2</A></P></TD>
<TD class="tr0 td33"><P class="p27 ft21"><A href="#page_141">Inför driftsättning av informationssystem ..........</A></P></TD>
<TD class="tr0 td22"><P class="p22 ft21"><A href="#page_141">140</A></P></TD>
</TR>
<TR>
<TD class="tr1 td32"><P class="p40 ft21"><A href="#page_141">6.6.3</A></P></TD>
<TD class="tr1 td33"><P class="p27 ft21"><A href="#page_141">Vid förändringar av hotbild eller verksamhet ......</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_141">140</A></P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">7</P>
</DIV>
</DIV>
<DIV id="page_9">
<DIV id="id_1">
<P class="p0 ft32">Innehåll<SPAN style="padding-left:377px;">SOU 2021:63</SPAN></P>
<TABLE cellpadding=0 cellspacing=0 class="t4">
<TR>
<TD class="tr2 td35"><P class="p2 ft21"><A href="#page_142">6.7</A></P></TD>
<TD class="tr2 td36"><P class="p41 ft27"><A href="#page_142">Samråd</A></P></TD>
<TD class="tr2 td37"><P class="p42 ft12"><A href="#page_142">...................................................................................</A></P></TD>
<TD class="tr2 td38"><P class="p22 ft21"><A href="#page_142">141</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td36"><P class="p41 ft21"><A href="#page_142">6.7.1</A></P></TD>
<TD class="tr1 td37"><P class="p43 ft27"><A href="#page_142">Upphandling av myndigheter...............................</A></P></TD>
<TD class="tr1 td38"><P class="p22 ft21"><A href="#page_142">141</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td36"><P class="p41 ft21"><A href="#page_142">6.7.2</A></P></TD>
<TD class="tr1 td37"><P class="p43 ft27"><A href="#page_142">Samråd avseende informationssystem .................</A></P></TD>
<TD class="tr1 td38"><P class="p22 ft21"><A href="#page_142">141</A></P></TD>
</TR>
<TR>
<TD class="tr0 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr0 td36"><P class="p41 ft21"><A href="#page_142">6.7.3</A></P></TD>
<TD class="tr0 td37"><P class="p43 ft27"><A href="#page_142">Samråd och information vid registerkontroll ......</A></P></TD>
<TD class="tr0 td38"><P class="p22 ft21"><A href="#page_142">141</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td36"><P class="p41 ft21"><A href="#page_143">6.7.4</A></P></TD>
<TD class="tr1 td37"><P class="p43 ft21"><A href="#page_143">Samråd avseende ytterligare föreskrifter</A></P></TD>
<TD class="tr1 td38"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td36"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td37"><P class="p43 ft12"><A href="#page_143">och undantag .........................................................</A></P></TD>
<TD class="tr1 td38"><P class="p22 ft21"><A href="#page_143">142</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td36"><P class="p41 ft21"><A href="#page_143">6.7.5</A></P></TD>
<TD class="tr1 td37"><P class="p43 ft27"><A href="#page_143">Samråd vid sänkning av säkerhetsskyddsklass.....</A></P></TD>
<TD class="tr1 td38"><P class="p22 ft21"><A href="#page_143">142</A></P></TD>
</TR>
<TR>
<TD class="tr6 td35"><P class="p2 ft21"><A href="#page_143">6.8</A></P></TD>
<TD colspan=2 class="tr6 td39"><P class="p41 ft12"><A href="#page_143">Säkerhetsskyddsavtal............................................................</A></P></TD>
<TD class="tr6 td38"><P class="p22 ft21"><A href="#page_143">142</A></P></TD>
</TR>
<TR>
<TD class="tr6 td35"><P class="p2 ft21"><A href="#page_144">6.9</A></P></TD>
<TD colspan=2 class="tr6 td39"><P class="p41 ft12"><A href="#page_144">Roller och ansvar ..................................................................</A></P></TD>
<TD class="tr6 td38"><P class="p22 ft21"><A href="#page_144">143</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td36"><P class="p41 ft21"><A href="#page_145">6.9.1</A></P></TD>
<TD class="tr1 td37"><P class="p43 ft27"><A href="#page_145">Säkerhetspolisens roll och uppgifter....................</A></P></TD>
<TD class="tr1 td38"><P class="p22 ft21"><A href="#page_145">144</A></P></TD>
</TR>
<TR>
<TD class="tr0 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr0 td36"><P class="p41 ft21"><A href="#page_145">6.9.2</A></P></TD>
<TD class="tr0 td37"><P class="p43 ft27"><A href="#page_145">Försvarsmaktens roll och uppgifter .....................</A></P></TD>
<TD class="tr0 td38"><P class="p22 ft21"><A href="#page_145">144</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td36"><P class="p41 ft21"><A href="#page_145">6.9.3</A></P></TD>
<TD class="tr1 td37"><P class="p43 ft27"><A href="#page_145">Tillsynsmyndigheternas roll .................................</A></P></TD>
<TD class="tr1 td38"><P class="p22 ft21"><A href="#page_145">144</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td36"><P class="p41 ft21"><A href="#page_147">6.9.4</A></P></TD>
<TD class="tr1 td37"><P class="p43 ft27"><A href="#page_147">Närmare om verksamhetsutövarens ansvar.........</A></P></TD>
<TD class="tr1 td38"><P class="p22 ft21"><A href="#page_147">146</A></P></TD>
</TR>
<TR>
<TD class="tr6 td35"><P class="p2 ft27"><A href="#page_148">6.10</A></P></TD>
<TD colspan=2 class="tr6 td39"><P class="p41 ft27"><A href="#page_148">Säkerhetsskyddsregleringen och </A><NOBR><A href="#page_148">NIS-direktivet ................</A></NOBR></P></TD>
<TD class="tr6 td38"><P class="p22 ft21"><A href="#page_148">147</A></P></TD>
</TR>
<TR>
<TD class="tr3 td35"><P class="p2 ft26"><A href="#page_150">7</A></P></TD>
<TD colspan=2 class="tr3 td39"><P class="p41 ft26"><A href="#page_150">Informationssäkerhet................................................</A></P></TD>
<TD class="tr3 td38"><P class="p22 ft26"><A href="#page_150">149</A></P></TD>
</TR>
<TR>
<TD class="tr5 td35"><P class="p2 ft21"><A href="#page_150">7.1</A></P></TD>
<TD colspan=2 class="tr5 td39"><P class="p41 ft12"><A href="#page_150">Inledning ...............................................................................</A></P></TD>
<TD class="tr5 td38"><P class="p22 ft21"><A href="#page_150">149</A></P></TD>
</TR>
<TR>
<TD class="tr6 td35"><P class="p2 ft21"><A href="#page_150">7.2</A></P></TD>
<TD colspan=2 class="tr6 td39"><P class="p41 ft12"><A href="#page_150">Informationssäkerhet ...........................................................</A></P></TD>
<TD class="tr6 td38"><P class="p22 ft21"><A href="#page_150">149</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td36"><P class="p41 ft21"><A href="#page_151">7.2.1</A></P></TD>
<TD class="tr1 td37"><P class="p43 ft27"><A href="#page_151">Informationssäkerhetens beståndsdelar ..............</A></P></TD>
<TD class="tr1 td38"><P class="p22 ft21"><A href="#page_151">150</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td36"><P class="p41 ft21"><A href="#page_155">7.2.2</A></P></TD>
<TD class="tr1 td37"><P class="p43 ft27"><A href="#page_155">Säkerhetsskyddsklassificerade uppgifter .............</A></P></TD>
<TD class="tr1 td38"><P class="p22 ft21"><A href="#page_155">154</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td36"><P class="p41 ft21"><A href="#page_155">7.2.3</A></P></TD>
<TD class="tr1 td37"><P class="p43 ft12"><A href="#page_155">Indelning i säkerhetsskyddsklasser ......................</A></P></TD>
<TD class="tr1 td38"><P class="p22 ft21"><A href="#page_155">154</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td36"><P class="p41 ft21"><A href="#page_156">7.2.4</A></P></TD>
<TD class="tr1 td37"><P class="p43 ft21"><A href="#page_156">Uppgifter som omfattas av ett internationellt</A></P></TD>
<TD class="tr1 td38"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr0 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr0 td36"><P class="p2 ft5"> </P></TD>
<TD class="tr0 td37"><P class="p43 ft12"><A href="#page_156">åtagande om säkerhetsskydd ................................</A></P></TD>
<TD class="tr0 td38"><P class="p22 ft21"><A href="#page_156">155</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td36"><P class="p41 ft21"><A href="#page_157">7.2.5</A></P></TD>
<TD class="tr1 td37"><P class="p43 ft27"><A href="#page_157">Aggregerade och ackumulerade uppgifter ...........</A></P></TD>
<TD class="tr1 td38"><P class="p22 ft21"><A href="#page_157">156</A></P></TD>
</TR>
<TR>
<TD class="tr6 td35"><P class="p2 ft21"><A href="#page_158">7.3</A></P></TD>
<TD colspan=2 class="tr6 td39"><P class="p41 ft27"><A href="#page_158">Hantering av säkerhetsskyddsklassificerade uppgifter ......</A></P></TD>
<TD class="tr6 td38"><P class="p22 ft21"><A href="#page_158">157</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td36"><P class="p41 ft21"><A href="#page_158">7.3.1</A></P></TD>
<TD class="tr1 td37"><P class="p43 ft27"><A href="#page_158">Anteckning om säkerhetsskyddsklass .................</A></P></TD>
<TD class="tr1 td38"><P class="p22 ft21"><A href="#page_158">157</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td36"><P class="p41 ft21"><A href="#page_159">7.3.2</A></P></TD>
<TD class="tr1 td37"><P class="p43 ft12"><A href="#page_159">Förvaring ...............................................................</A></P></TD>
<TD class="tr1 td38"><P class="p22 ft21"><A href="#page_159">158</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td36"><P class="p41 ft21"><A href="#page_159">7.3.3</A></P></TD>
<TD class="tr1 td37"><P class="p43 ft27"><A href="#page_159">Märkning av lagringsmedium ...............................</A></P></TD>
<TD class="tr1 td38"><P class="p22 ft21"><A href="#page_159">158</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td36"><P class="p41 ft21"><A href="#page_159">7.3.4</A></P></TD>
<TD class="tr1 td37"><P class="p43 ft12"><A href="#page_159">Distribution...........................................................</A></P></TD>
<TD class="tr1 td38"><P class="p22 ft21"><A href="#page_159">158</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td36"><P class="p41 ft21"><A href="#page_160">7.3.5</A></P></TD>
<TD class="tr1 td37"><P class="p43 ft12"><A href="#page_160">Förstöring..............................................................</A></P></TD>
<TD class="tr1 td38"><P class="p22 ft21"><A href="#page_160">159</A></P></TD>
</TR>
<TR>
<TD class="tr5 td35"><P class="p2 ft21"><A href="#page_160">7.4</A></P></TD>
<TD colspan=2 class="tr5 td39"><P class="p41 ft12"><A href="#page_160">Säkerhetsskyddsanalys .........................................................</A></P></TD>
<TD class="tr5 td38"><P class="p22 ft21"><A href="#page_160">159</A></P></TD>
</TR>
<TR>
<TD class="tr6 td35"><P class="p2 ft21"><A href="#page_161">7.5</A></P></TD>
<TD colspan=2 class="tr6 td39"><P class="p41 ft12"><A href="#page_161">Särskild säkerhetsskyddsbedömning ...................................</A></P></TD>
<TD class="tr6 td38"><P class="p22 ft21"><A href="#page_161">160</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td36"><P class="p41 ft21"><A href="#page_161">7.5.1</A></P></TD>
<TD class="tr1 td37"><P class="p43 ft21"><A href="#page_161">Allmänt om särskild</A></P></TD>
<TD class="tr1 td38"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td36"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td37"><P class="p43 ft12"><A href="#page_161">säkerhetsskyddsbedömning..................................</A></P></TD>
<TD class="tr1 td38"><P class="p22 ft21"><A href="#page_161">160</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td36"><P class="p41 ft21"><A href="#page_162">7.5.2</A></P></TD>
<TD class="tr1 td37"><P class="p43 ft27"><A href="#page_162">Hur ska informationssystemet användas? ...........</A></P></TD>
<TD class="tr1 td38"><P class="p22 ft21"><A href="#page_162">161</A></P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">8</P>
</DIV>
</DIV>
<DIV id="page_10">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td40"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td41"><P class="p2 ft37">Innehåll</P></TD>
</TR>
</TABLE>
<P class="p44 ft21"><SPAN class="ft27">7.5.3</SPAN><A href="#page_162"><SPAN class="ft36">På vilket sätt är informationssystemet av</SPAN></A></P>
<TABLE cellpadding=0 cellspacing=0 class="t10">
<TR>
<TD class="tr1 td15"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td33"><P class="p23 ft27"><A href="#page_162">betydelse för säkerhetskänslig verksamhet? ........</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_162">161</A></P></TD>
</TR>
<TR>
<TD class="tr1 td15"><P class="p40 ft27"><A href="#page_163">7.5.4</A></P></TD>
<TD class="tr1 td33"><P class="p23 ft21"><A href="#page_163">Hur exponeras informationssystemet</A></P></TD>
<TD class="tr1 td22"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr0 td15"><P class="p2 ft5"> </P></TD>
<TD class="tr0 td33"><P class="p23 ft27"><A href="#page_163">mot andra informationssystem? ...........................</A></P></TD>
<TD class="tr0 td22"><P class="p22 ft21"><A href="#page_163">162</A></P></TD>
</TR>
</TABLE>
<P class="p39 ft21"><SPAN class="ft27">7.5.5</SPAN><A href="#page_163"><SPAN class="ft36">Vilka säkerhetskrav gäller för</SPAN></A></P>
<TABLE cellpadding=0 cellspacing=0 class="t11">
<TR>
<TD class="tr0 td42"><P class="p2 ft12"><A href="#page_163">informationssystemet? ..........................................</A></P></TD>
<TD class="tr0 td22"><P class="p22 ft21"><A href="#page_163">162</A></P></TD>
</TR>
</TABLE>
<P class="p39 ft21"><SPAN class="ft27">7.5.6</SPAN><A href="#page_164"><SPAN class="ft36">Vilka säkerhetsskyddsåtgärder behöver införas</SPAN></A></P>
<TABLE cellpadding=0 cellspacing=0 class="t3">
<TR>
<TD class="tr0 td19"><P class="p2 ft5"> </P></TD>
<TD class="tr0 td13"><P class="p2 ft5"> </P></TD>
<TD class="tr0 td33"><P class="p23 ft27"><A href="#page_164">i och kring informationssystemet? .......................</A></P></TD>
<TD class="tr0 td22"><P class="p22 ft21"><A href="#page_164">163</A></P></TD>
</TR>
<TR>
<TD class="tr6 td19"><P class="p22 ft27"><A href="#page_164">7.6</A></P></TD>
<TD colspan=2 class="tr6 td26"><P class="p29 ft12"><A href="#page_164">Omvärldsbevakning ..............................................................</A></P></TD>
<TD class="tr6 td22"><P class="p22 ft21"><A href="#page_164">163</A></P></TD>
</TR>
<TR>
<TD class="tr1 td19"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td13"><P class="p29 ft21"><A href="#page_164">7.6.1</A></P></TD>
<TD class="tr1 td33"><P class="p23 ft27"><A href="#page_164">Allmänt om omvärldsbevakning...........................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_164">163</A></P></TD>
</TR>
<TR>
<TD class="tr1 td19"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td13"><P class="p29 ft21"><A href="#page_165">7.6.2</A></P></TD>
<TD class="tr1 td33"><P class="p23 ft27"><A href="#page_165">Kompetens och resursplanering ...........................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_165">164</A></P></TD>
</TR>
<TR>
<TD class="tr5 td19"><P class="p22 ft27"><A href="#page_167">7.7</A></P></TD>
<TD colspan=2 class="tr5 td26"><P class="p29 ft27"><A href="#page_167">Utveckling av informationssystem ......................................</A></P></TD>
<TD class="tr5 td22"><P class="p22 ft21"><A href="#page_167">166</A></P></TD>
</TR>
<TR>
<TD class="tr1 td19"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td13"><P class="p29 ft21"><A href="#page_167">7.7.1</A></P></TD>
<TD class="tr1 td33"><P class="p23 ft33"><A href="#page_167">Allmänt om utveckling av informationssystem...</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_167">166</A></P></TD>
</TR>
</TABLE>
<P class="p39 ft21"><SPAN class="ft27">7.7.2</SPAN><A href="#page_167"><SPAN class="ft36">Behovet av process för utveckling</SPAN></A></P>
<TABLE cellpadding=0 cellspacing=0 class="t10">
<TR>
<TD class="tr0 td15"><P class="p2 ft5"> </P></TD>
<TD class="tr0 td33"><P class="p23 ft12"><A href="#page_167">av informationssystem ..........................................</A></P></TD>
<TD class="tr0 td22"><P class="p22 ft21"><A href="#page_167">166</A></P></TD>
</TR>
<TR>
<TD class="tr1 td15"><P class="p40 ft27"><A href="#page_168">7.7.3</A></P></TD>
<TD class="tr1 td33"><P class="p23 ft27"><A href="#page_168">Systemdesign och systemutveckling ....................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_168">167</A></P></TD>
</TR>
<TR>
<TD class="tr1 td15"><P class="p40 ft27"><A href="#page_170">7.7.4</A></P></TD>
<TD class="tr1 td33"><P class="p23 ft27"><A href="#page_170">Allmänt om arkitektur ..........................................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_170">169</A></P></TD>
</TR>
<TR>
<TD class="tr1 td15"><P class="p40 ft27"><A href="#page_170">7.7.5</A></P></TD>
<TD class="tr1 td33"><P class="p23 ft12"><A href="#page_170">Separation...............................................................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_170">169</A></P></TD>
</TR>
<TR>
<TD class="tr1 td15"><P class="p40 ft27"><A href="#page_172">7.7.6</A></P></TD>
<TD class="tr1 td33"><P class="p23 ft27"><A href="#page_172">Import och export av data.....................................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_172">171</A></P></TD>
</TR>
</TABLE>
<P class="p38 ft21"><SPAN class="ft27">7.7.7</SPAN><A href="#page_173"><SPAN class="ft36">Säkerhetszoner och kontrollerad</SPAN></A></P>
<TABLE cellpadding=0 cellspacing=0 class="t3">
<TR>
<TD class="tr1 td19"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td43"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td44"><P class="p27 ft27"><A href="#page_173">kommunikation .....................................................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_173">172</A></P></TD>
</TR>
<TR>
<TD class="tr1 td19"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td43"><P class="p29 ft21"><A href="#page_174">7.7.8</A></P></TD>
<TD class="tr1 td44"><P class="p27 ft12"><A href="#page_174">Säkerhetszoner.......................................................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_174">173</A></P></TD>
</TR>
<TR>
<TD class="tr1 td19"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td43"><P class="p29 ft21"><A href="#page_174">7.7.9</A></P></TD>
<TD class="tr1 td44"><P class="p27 ft21"><A href="#page_174">Nödvändig kommunikation .................................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_174">173</A></P></TD>
</TR>
<TR>
<TD class="tr1 td19"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td43"><P class="p29 ft21"><A href="#page_176">7.7.10</A></P></TD>
<TD class="tr1 td44"><P class="p27 ft27"><A href="#page_176">Kryptering..............................................................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_176">175</A></P></TD>
</TR>
<TR>
<TD class="tr1 td19"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td43"><P class="p29 ft21"><A href="#page_179">7.7.11</A></P></TD>
<TD class="tr1 td44"><P class="p27 ft21"><A href="#page_179">Identitets- och behörighetshantering...................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_179">178</A></P></TD>
</TR>
<TR>
<TD class="tr1 td19"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td43"><P class="p29 ft21"><A href="#page_181">7.7.12</A></P></TD>
<TD class="tr1 td44"><P class="p27 ft33"><A href="#page_181">Intrångsskydd och intrångsdetektering ...............</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_181">180</A></P></TD>
</TR>
<TR>
<TD class="tr1 td19"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td43"><P class="p29 ft21"><A href="#page_183">7.7.13</A></P></TD>
<TD class="tr1 td44"><P class="p27 ft21"><A href="#page_183">Granskning vid anskaffning och utveckling ........</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_183">182</A></P></TD>
</TR>
<TR>
<TD class="tr0 td19"><P class="p2 ft5"> </P></TD>
<TD class="tr0 td43"><P class="p29 ft21"><A href="#page_183">7.7.14</A></P></TD>
<TD class="tr0 td44"><P class="p27 ft33"><A href="#page_183">Drift- och testmiljö ...............................................</A></P></TD>
<TD class="tr0 td22"><P class="p22 ft21"><A href="#page_183">182</A></P></TD>
</TR>
<TR>
<TD class="tr6 td19"><P class="p22 ft27"><A href="#page_184">7.8</A></P></TD>
<TD colspan=2 class="tr6 td26"><P class="p27 ft21"><A href="#page_184">Säkerhetskonfiguration av informationssystem..................</A></P></TD>
<TD class="tr6 td22"><P class="p22 ft21"><A href="#page_184">183</A></P></TD>
</TR>
<TR>
<TD class="tr1 td19"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td43"><P class="p29 ft21"><A href="#page_184">7.8.1</A></P></TD>
<TD class="tr1 td44"><P class="p27 ft21"><A href="#page_184">Allmänt om säkerhetskonfiguration ....................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_184">183</A></P></TD>
</TR>
<TR>
<TD class="tr1 td19"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td43"><P class="p29 ft21"><A href="#page_185">7.8.2</A></P></TD>
<TD class="tr1 td44"><P class="p27 ft27"><A href="#page_185">Skydd mot skadlig kod..........................................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_185">184</A></P></TD>
</TR>
<TR>
<TD class="tr6 td19"><P class="p22 ft27"><A href="#page_186">7.9</A></P></TD>
<TD colspan=2 class="tr6 td26"><P class="p27 ft33"><A href="#page_186">Funktionstester och säkerhetsgranskning...........................</A></P></TD>
<TD class="tr6 td22"><P class="p22 ft21"><A href="#page_186">185</A></P></TD>
</TR>
</TABLE>
<P class="p38 ft21"><SPAN class="ft27">7.9.1</SPAN><A href="#page_186"><SPAN class="ft36">Allmänt om funktionstester och</SPAN></A></P>
<TABLE cellpadding=0 cellspacing=0 class="t12">
<TR>
<TD class="tr0 td15"><P class="p2 ft5"> </P></TD>
<TD class="tr0 td33"><P class="p23 ft12"><A href="#page_186">säkerhetsgranskning ..............................................</A></P></TD>
<TD class="tr0 td22"><P class="p22 ft21"><A href="#page_186">185</A></P></TD>
</TR>
<TR>
<TD class="tr1 td15"><P class="p40 ft27"><A href="#page_187">7.9.2</A></P></TD>
<TD class="tr1 td33"><P class="p23 ft12"><A href="#page_187">Funktionstester .....................................................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_187">186</A></P></TD>
</TR>
<TR>
<TD class="tr1 td15"><P class="p40 ft27"><A href="#page_188">7.9.3</A></P></TD>
<TD class="tr1 td33"><P class="p23 ft12"><A href="#page_188">Säkerhetsgranskning..............................................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_188">187</A></P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">9</P>
</DIV>
</DIV>
<DIV id="page_11">
<DIV id="id_1">
<P class="p0 ft32">Innehåll<SPAN style="padding-left:377px;">SOU 2021:63</SPAN></P>
<TABLE cellpadding=0 cellspacing=0 class="t4">
<TR>
<TD class="tr2 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr2 td45"><P class="p41 ft21"><A href="#page_189">7.9.4</A></P></TD>
<TD class="tr2 td46"><P class="p27 ft12"><A href="#page_189">Sårbarhetsskanning ...............................................</A></P></TD>
<TD class="tr2 td22"><P class="p22 ft21"><A href="#page_189">188</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td45"><P class="p41 ft21"><A href="#page_189">7.9.5</A></P></TD>
<TD class="tr1 td46"><P class="p27 ft12"><A href="#page_189">Penetrationstest.....................................................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_189">188</A></P></TD>
</TR>
<TR>
<TD class="tr5 td35"><P class="p22 ft27"><A href="#page_190">7.10</A></P></TD>
<TD colspan=2 class="tr5 td47"><P class="p27 ft27"><A href="#page_190">Inför driftsättning ................................................................</A></P></TD>
<TD class="tr5 td22"><P class="p22 ft21"><A href="#page_190">189</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td45"><P class="p41 ft21"><A href="#page_190">7.10.1</A></P></TD>
<TD class="tr1 td46"><P class="p27 ft21"><A href="#page_190">Allmänt om åtgärder inför driftsättning..............</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_190">189</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td45"><P class="p41 ft21"><A href="#page_192">7.10.2</A></P></TD>
<TD class="tr1 td46"><P class="p27 ft27"><A href="#page_192">Dokumentation .....................................................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_192">191</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td45"><P class="p41 ft21"><A href="#page_192">7.10.3</A></P></TD>
<TD class="tr1 td46"><P class="p27 ft21"><A href="#page_192">Verifiering av funktions- och säkerhetskrav .......</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_192">191</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td45"><P class="p41 ft21"><A href="#page_193">7.10.4</A></P></TD>
<TD class="tr1 td46"><P class="p27 ft27"><A href="#page_193">Driftgodkännande .................................................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_193">192</A></P></TD>
</TR>
<TR>
<TD class="tr6 td35"><P class="p22 ft27"><A href="#page_193">7.11</A></P></TD>
<TD colspan=2 class="tr6 td47"><P class="p27 ft27"><A href="#page_193">Drift och underhåll...............................................................</A></P></TD>
<TD class="tr6 td22"><P class="p22 ft21"><A href="#page_193">192</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td45"><P class="p41 ft21"><A href="#page_193">7.11.1</A></P></TD>
<TD class="tr1 td46"><P class="p27 ft21"><A href="#page_193">Allmänt om drift och underhåll ...........................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_193">192</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td45"><P class="p41 ft21"><A href="#page_193">7.11.2</A></P></TD>
<TD class="tr1 td46"><P class="p27 ft33"><A href="#page_193">Styrning av drift och underhåll.............................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_193">192</A></P></TD>
</TR>
<TR>
<TD class="tr0 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr0 td45"><P class="p41 ft21"><A href="#page_196">7.11.3</A></P></TD>
<TD class="tr0 td46"><P class="p27 ft27"><A href="#page_196">Beslut om undantag av säkerhetsuppdateringar ..</A></P></TD>
<TD class="tr0 td22"><P class="p22 ft21"><A href="#page_196">195</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td45"><P class="p41 ft21"><A href="#page_197">7.11.4</A></P></TD>
<TD class="tr1 td46"><P class="p27 ft27"><A href="#page_197">Säkerhetskopiering................................................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_197">196</A></P></TD>
</TR>
<TR>
<TD class="tr6 td35"><P class="p22 ft27"><A href="#page_197">7.12</A></P></TD>
<TD colspan=2 class="tr6 td47"><P class="p27 ft27"><A href="#page_197">Allmänt om operativ säkerhet .............................................</A></P></TD>
<TD class="tr6 td22"><P class="p22 ft21"><A href="#page_197">196</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td45"><P class="p41 ft21"><A href="#page_198">7.12.1</A></P></TD>
<TD class="tr1 td46"><P class="p27 ft12"><A href="#page_198">Säkerhetsloggning .................................................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_198">197</A></P></TD>
</TR>
<TR>
<TD class="tr6 td35"><P class="p22 ft27"><A href="#page_200">7.13</A></P></TD>
<TD colspan=2 class="tr6 td47"><P class="p27 ft27"><A href="#page_200">Säkerhetsövervakning...........................................................</A></P></TD>
<TD class="tr6 td22"><P class="p22 ft21"><A href="#page_200">199</A></P></TD>
</TR>
<TR>
<TD class="tr0 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr0 td45"><P class="p41 ft21"><A href="#page_200">7.13.1</A></P></TD>
<TD class="tr0 td46"><P class="p27 ft33"><A href="#page_200">Allmänt om säkerhetsövervakning ......................</A></P></TD>
<TD class="tr0 td22"><P class="p22 ft21"><A href="#page_200">199</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td45"><P class="p41 ft21"><A href="#page_201">7.13.2</A></P></TD>
<TD class="tr1 td46"><P class="p27 ft27"><A href="#page_201">Åtgärder vid upptäckta händelser ........................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_201">200</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td45"><P class="p41 ft21"><A href="#page_202">7.13.3</A></P></TD>
<TD class="tr1 td46"><P class="p27 ft27"><A href="#page_202">Tekniska hjälpmedel .............................................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_202">201</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td45"><P class="p41 ft21"><A href="#page_203">7.13.4</A></P></TD>
<TD class="tr1 td46"><P class="p27 ft27"><A href="#page_203">Övning och utvärdering........................................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_203">202</A></P></TD>
</TR>
<TR>
<TD class="tr6 td35"><P class="p22 ft27"><A href="#page_203">7.14</A></P></TD>
<TD colspan=2 class="tr6 td47"><P class="p27 ft21"><A href="#page_203">Uppföljning och kontroll.....................................................</A></P></TD>
<TD class="tr6 td22"><P class="p22 ft21"><A href="#page_203">202</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td45"><P class="p41 ft21"><A href="#page_203">7.14.1</A></P></TD>
<TD class="tr1 td46"><P class="p27 ft21"><A href="#page_203">Allmänt om uppföljning och kontroll .................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_203">202</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td45"><P class="p41 ft21"><A href="#page_205">7.14.2</A></P></TD>
<TD class="tr1 td46"><P class="p27 ft27"><A href="#page_205">Efterlevnad av kravställning .................................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_205">204</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td45"><P class="p41 ft21"><A href="#page_205">7.14.3</A></P></TD>
<TD class="tr1 td46"><P class="p27 ft21"><A href="#page_205">Kontroll av åtkomst och behörigheter ................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_205">204</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td45"><P class="p41 ft21"><A href="#page_205">7.14.4</A></P></TD>
<TD class="tr1 td46"><P class="p27 ft33"><A href="#page_205">Uppdatering av dokumentation ...........................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_205">204</A></P></TD>
</TR>
<TR>
<TD class="tr5 td35"><P class="p22 ft27"><A href="#page_206">7.15</A></P></TD>
<TD colspan=2 class="tr5 td47"><P class="p27 ft33"><A href="#page_206">Allmänt om incidenthantering ............................................</A></P></TD>
<TD class="tr5 td22"><P class="p22 ft21"><A href="#page_206">205</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td45"><P class="p41 ft21"><A href="#page_207">7.15.1</A></P></TD>
<TD class="tr1 td46"><P class="p27 ft27"><A href="#page_207">Grundläggande förutsättningar ............................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_207">206</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td45"><P class="p41 ft21"><A href="#page_207">7.15.2</A></P></TD>
<TD class="tr1 td46"><P class="p27 ft27"><A href="#page_207">Genomförande ......................................................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_207">206</A></P></TD>
</TR>
<TR>
<TD class="tr6 td35"><P class="p22 ft27"><A href="#page_208">7.16</A></P></TD>
<TD colspan=2 class="tr6 td47"><P class="p27 ft12"><A href="#page_208">Avveckling ............................................................................</A></P></TD>
<TD class="tr6 td22"><P class="p22 ft21"><A href="#page_208">207</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td45"><P class="p41 ft21"><A href="#page_208">7.16.1</A></P></TD>
<TD class="tr1 td46"><P class="p27 ft27"><A href="#page_208">Allmänt om avveckling .........................................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_208">207</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td45"><P class="p41 ft21"><A href="#page_209">7.16.2</A></P></TD>
<TD class="tr1 td46"><P class="p27 ft33"><A href="#page_209">Avveckling av komponenter.................................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_209">208</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td45"><P class="p41 ft21"><A href="#page_209">7.16.3</A></P></TD>
<TD class="tr1 td46"><P class="p45 ft21"><A href="#page_209">Avveckling och återanvändning</A></P></TD>
<TD class="tr1 td22"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td45"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td46"><P class="p27 ft12"><A href="#page_209">av lagringsmedia ....................................................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_209">208</A></P></TD>
</TR>
<TR>
<TD class="tr5 td35"><P class="p22 ft27"><A href="#page_210">7.17</A></P></TD>
<TD colspan=2 class="tr5 td47"><P class="p27 ft27"><A href="#page_210">Samråd om informationssystem ..........................................</A></P></TD>
<TD class="tr5 td22"><P class="p22 ft21"><A href="#page_210">209</A></P></TD>
</TR>
<TR>
<TD class="tr1 td35"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td45"><P class="p41 ft21"><A href="#page_210">7.17.1</A></P></TD>
<TD class="tr1 td46"><P class="p27 ft27"><A href="#page_210">Allmänt om samråd...............................................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_210">209</A></P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">10</P>
</DIV>
</DIV>
<DIV id="page_12">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t8">
<TR>
<TD colspan=2 class="tr8 td23"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr8 td24"><P class="p22 ft32">Innehåll</P></TD>
</TR>
<TR>
<TD class="tr11 td48"><P class="p2 ft5"> </P></TD>
<TD class="tr11 td49"><P class="p46 ft21"><A href="#page_210">7.17.2 Samråd inför driftsättning av ett</A></P></TD>
<TD class="tr11 td24"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr1 td48"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td49"><P class="p47 ft12"><A href="#page_210">informationssystem ...............................................</A></P></TD>
<TD class="tr1 td24"><P class="p36 ft21"><A href="#page_210">209</A></P></TD>
</TR>
<TR>
<TD class="tr1 td48"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td49"><P class="p46 ft21"><A href="#page_211">7.17.3 Samråd vid väsentlig förändring</A></P></TD>
<TD class="tr1 td24"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr0 td48"><P class="p2 ft5"> </P></TD>
<TD class="tr0 td49"><P class="p47 ft12"><A href="#page_211">av ett informationssystem .....................................</A></P></TD>
<TD class="tr0 td24"><P class="p36 ft21"><A href="#page_211">210</A></P></TD>
</TR>
<TR>
<TD class="tr3 td48"><P class="p2 ft26"><A href="#page_214">8</A></P></TD>
<TD class="tr3 td49"><P class="p46 ft35"><A href="#page_214">Offentliga utredningar och myndighetsrapporter..........</A></P></TD>
<TD class="tr3 td24"><P class="p35 ft26"><A href="#page_214">213</A></P></TD>
</TR>
<TR>
<TD class="tr6 td48"><P class="p2 ft21"><A href="#page_216">8.1</A></P></TD>
<TD class="tr6 td49"><P class="p46 ft12"><A href="#page_216">Inledning ...............................................................................</A></P></TD>
<TD class="tr6 td24"><P class="p36 ft21"><A href="#page_216">215</A></P></TD>
</TR>
<TR>
<TD class="tr5 td48"><P class="p2 ft21"><A href="#page_217">8.2</A></P></TD>
<TD class="tr5 td49"><P class="p46 ft27"><A href="#page_217">Offentliga utredningar och rapporter..................................</A></P></TD>
<TD class="tr5 td24"><P class="p36 ft21"><A href="#page_217">216</A></P></TD>
</TR>
<TR>
<TD class="tr3 td48"><P class="p2 ft26"><A href="#page_262">9</A></P></TD>
<TD class="tr3 td49"><P class="p46 ft26"><A href="#page_262">Internationell utblick ...............................................</A></P></TD>
<TD class="tr3 td24"><P class="p35 ft26"><A href="#page_262">261</A></P></TD>
</TR>
<TR>
<TD class="tr6 td48"><P class="p2 ft21"><A href="#page_262">9.1</A></P></TD>
<TD class="tr6 td49"><P class="p46 ft12"><A href="#page_262">Inledning ...............................................................................</A></P></TD>
<TD class="tr6 td24"><P class="p36 ft21"><A href="#page_262">261</A></P></TD>
</TR>
<TR>
<TD class="tr5 td48"><P class="p2 ft21"><A href="#page_263">9.2</A></P></TD>
<TD class="tr5 td49"><P class="p46 ft12"><A href="#page_263">Finland...................................................................................</A></P></TD>
<TD class="tr5 td24"><P class="p36 ft21"><A href="#page_263">262</A></P></TD>
</TR>
<TR>
<TD class="tr6 td48"><P class="p2 ft21"><A href="#page_268">9.3</A></P></TD>
<TD class="tr6 td49"><P class="p46 ft12"><A href="#page_268">Norge.....................................................................................</A></P></TD>
<TD class="tr6 td24"><P class="p36 ft21"><A href="#page_268">267</A></P></TD>
</TR>
<TR>
<TD class="tr6 td48"><P class="p2 ft21"><A href="#page_276">9.4</A></P></TD>
<TD class="tr6 td49"><P class="p46 ft12"><A href="#page_276">Danmark ................................................................................</A></P></TD>
<TD class="tr6 td24"><P class="p36 ft21"><A href="#page_276">275</A></P></TD>
</TR>
<TR>
<TD class="tr5 td48"><P class="p2 ft21"><A href="#page_280">9.5</A></P></TD>
<TD class="tr5 td49"><P class="p46 ft12"><A href="#page_280">Nederländerna.......................................................................</A></P></TD>
<TD class="tr5 td24"><P class="p36 ft21"><A href="#page_280">279</A></P></TD>
</TR>
<TR>
<TD class="tr6 td48"><P class="p2 ft21"><A href="#page_287">9.6</A></P></TD>
<TD class="tr6 td49"><P class="p46 ft12"><A href="#page_287">Tyskland ................................................................................</A></P></TD>
<TD class="tr6 td24"><P class="p36 ft21"><A href="#page_287">286</A></P></TD>
</TR>
<TR>
<TD class="tr5 td48"><P class="p2 ft21"><A href="#page_294">9.7</A></P></TD>
<TD class="tr5 td49"><P class="p46 ft12"><A href="#page_294">Frankrike ...............................................................................</A></P></TD>
<TD class="tr5 td24"><P class="p36 ft21"><A href="#page_294">293</A></P></TD>
</TR>
<TR>
<TD class="tr6 td48"><P class="p2 ft21"><A href="#page_300">9.8</A></P></TD>
<TD class="tr6 td49"><P class="p46 ft12"><A href="#page_300">Storbritannien .......................................................................</A></P></TD>
<TD class="tr6 td24"><P class="p36 ft21"><A href="#page_300">299</A></P></TD>
</TR>
<TR>
<TD class="tr6 td48"><P class="p2 ft21"><A href="#page_308">9.9</A></P></TD>
<TD class="tr6 td49"><P class="p46 ft12"><A href="#page_308">USA .......................................................................................</A></P></TD>
<TD class="tr6 td24"><P class="p36 ft21"><A href="#page_308">307</A></P></TD>
</TR>
<TR>
<TD class="tr5 td48"><P class="p2 ft21"><A href="#page_323">9.10</A></P></TD>
<TD class="tr5 td49"><P class="p46 ft12"><A href="#page_323">Kanada ...................................................................................</A></P></TD>
<TD class="tr5 td24"><P class="p36 ft21"><A href="#page_323">322</A></P></TD>
</TR>
<TR>
<TD class="tr6 td48"><P class="p2 ft21"><A href="#page_330">9.11</A></P></TD>
<TD class="tr6 td49"><P class="p46 ft12"><A href="#page_330">Nya Zeeland ..........................................................................</A></P></TD>
<TD class="tr6 td24"><P class="p36 ft21"><A href="#page_330">329</A></P></TD>
</TR>
<TR>
<TD class="tr5 td48"><P class="p2 ft21"><A href="#page_337">9.12</A></P></TD>
<TD class="tr5 td49"><P class="p46 ft12"><A href="#page_337">Australien ..............................................................................</A></P></TD>
<TD class="tr5 td24"><P class="p36 ft21"><A href="#page_337">336</A></P></TD>
</TR>
<TR>
<TD class="tr6 td48"><P class="p2 ft21"><A href="#page_343">9.13</A></P></TD>
<TD class="tr6 td49"><P class="p46 ft12"><A href="#page_343">Gränsöverskridande system .................................................</A></P></TD>
<TD class="tr6 td24"><P class="p36 ft21"><A href="#page_343">342</A></P></TD>
</TR>
<TR>
<TD class="tr6 td48"><P class="p2 ft21"><A href="#page_348">9.14</A></P></TD>
<TD class="tr6 td49"><P class="p46 ft12"><A href="#page_348">Sammanfattande slutsatser ...................................................</A></P></TD>
<TD class="tr6 td24"><P class="p36 ft21"><A href="#page_348">347</A></P></TD>
</TR>
<TR>
<TD class="tr4 td48"><P class="p2 ft26"><A href="#page_352">10</A></P></TD>
<TD class="tr4 td49"><P class="p46 ft26"><A href="#page_352">Allmänna överväganden ...........................................</A></P></TD>
<TD class="tr4 td24"><P class="p35 ft26"><A href="#page_352">351</A></P></TD>
</TR>
<TR>
<TD class="tr6 td48"><P class="p2 ft21"><A href="#page_352">10.1</A></P></TD>
<TD class="tr6 td49"><P class="p46 ft12"><A href="#page_352">Inledning ...............................................................................</A></P></TD>
<TD class="tr6 td24"><P class="p36 ft21"><A href="#page_352">351</A></P></TD>
</TR>
<TR>
<TD class="tr5 td48"><P class="p2 ft21"><A href="#page_352">10.2</A></P></TD>
<TD class="tr5 td49"><P class="p46 ft27"><A href="#page_352">Digitaliseringen av samhällsverksamheter...........................</A></P></TD>
<TD class="tr5 td24"><P class="p36 ft21"><A href="#page_352">351</A></P></TD>
</TR>
<TR>
<TD class="tr6 td48"><P class="p2 ft21"><A href="#page_355">10.3</A></P></TD>
<TD class="tr6 td49"><P class="p46 ft12"><A href="#page_355">Hot, sårbarheter och risker ..................................................</A></P></TD>
<TD class="tr6 td24"><P class="p36 ft21"><A href="#page_355">354</A></P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">11</P>
</DIV>
</DIV>
<DIV id="page_13">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t13">
<TR>
<TD class="tr8 td50"><P class="p2 ft32">Innehåll</P></TD>
<TD colspan=2 class="tr8 td51"><P class="p48 ft32">SOU 2021:63</P></TD>
</TR>
<TR>
<TD class="tr11 td50"><P class="p49 ft21"><A href="#page_357">10.4</A></P></TD>
<TD class="tr11 td52"><P class="p2 ft27"><A href="#page_357">Brister i informations- och cybersäkerhet ..........................</A></P></TD>
<TD class="tr11 td38"><P class="p22 ft21"><A href="#page_357">356</A></P></TD>
</TR>
<TR>
<TD class="tr5 td50"><P class="p49 ft21"><A href="#page_359">10.5</A></P></TD>
<TD class="tr5 td52"><P class="p2 ft27"><A href="#page_359">Behovet av ökad informations- och cybersäkerhet ............</A></P></TD>
<TD class="tr5 td38"><P class="p22 ft21"><A href="#page_359">358</A></P></TD>
</TR>
<TR>
<TD class="tr6 td50"><P class="p49 ft21"><A href="#page_361">10.6</A></P></TD>
<TD class="tr6 td52"><P class="p2 ft21"><A href="#page_361">Ökat behov av styrning och samordning</A></P></TD>
<TD class="tr6 td38"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr1 td50"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td52"><P class="p2 ft27"><A href="#page_361">av informations- och cybersäkerhet ....................................</A></P></TD>
<TD class="tr1 td38"><P class="p22 ft21"><A href="#page_361">360</A></P></TD>
</TR>
<TR>
<TD class="tr5 td50"><P class="p49 ft21"><A href="#page_363">10.7</A></P></TD>
<TD class="tr5 td52"><P class="p2 ft21"><A href="#page_363">Tillgången på personal med kompetens inom</A></P></TD>
<TD class="tr5 td38"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr1 td50"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td52"><P class="p2 ft27"><A href="#page_363">informations- och cybersäkerhet måste öka .......................</A></P></TD>
<TD class="tr1 td38"><P class="p22 ft21"><A href="#page_363">362</A></P></TD>
</TR>
<TR>
<TD class="tr6 td50"><P class="p49 ft21"><A href="#page_365">10.8</A></P></TD>
<TD class="tr6 td52"><P class="p2 ft12"><A href="#page_365">Sammanfattning....................................................................</A></P></TD>
<TD class="tr6 td38"><P class="p22 ft21"><A href="#page_365">364</A></P></TD>
</TR>
<TR>
<TD class="tr3 td50"><P class="p49 ft26"><A href="#page_368">11</A></P></TD>
<TD class="tr3 td52"><P class="p2 ft26"><A href="#page_368">Åtgärder för stärkt säkerhet i nätverks-</A></P></TD>
<TD class="tr3 td38"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr0 td50"><P class="p2 ft5"> </P></TD>
<TD class="tr0 td52"><P class="p2 ft26"><A href="#page_368">och informationssystem ............................................</A></P></TD>
<TD class="tr0 td38"><P class="p22 ft26"><A href="#page_368">367</A></P></TD>
</TR>
<TR>
<TD class="tr6 td50"><P class="p49 ft21"><A href="#page_368">11.1</A></P></TD>
<TD class="tr6 td52"><P class="p2 ft12"><A href="#page_368">Inledning ...............................................................................</A></P></TD>
<TD class="tr6 td38"><P class="p22 ft21"><A href="#page_368">367</A></P></TD>
</TR>
<TR>
<TD class="tr5 td50"><P class="p49 ft21"><A href="#page_369">11.2</A></P></TD>
<TD class="tr5 td52"><P class="p2 ft12"><A href="#page_369">Begreppet informationssystem ............................................</A></P></TD>
<TD class="tr5 td38"><P class="p22 ft21"><A href="#page_369">368</A></P></TD>
</TR>
<TR>
<TD class="tr6 td50"><P class="p49 ft21"><A href="#page_370">11.3</A></P></TD>
<TD class="tr6 td52"><P class="p2 ft27"><A href="#page_370">Nuvarande brister i säkerheten i informationssystem .......</A></P></TD>
<TD class="tr6 td38"><P class="p22 ft21"><A href="#page_370">369</A></P></TD>
</TR>
<TR>
<TD class="tr5 td50"><P class="p49 ft21"><A href="#page_372">11.4</A></P></TD>
<TD class="tr5 td52"><P class="p2 ft21"><A href="#page_372">Flera olika åtgärder krävs för att öka säkerheten i</A></P></TD>
<TD class="tr5 td38"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr1 td50"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td52"><P class="p2 ft12"><A href="#page_372">informationssystem i säkerhetskänslig verksamhet...............</A></P></TD>
<TD class="tr1 td38"><P class="p22 ft21"><A href="#page_372">371</A></P></TD>
</TR>
<TR>
<TD class="tr3 td50"><P class="p49 ft26"><A href="#page_376">12</A></P></TD>
<TD class="tr3 td52"><P class="p2 ft35"><A href="#page_376">Certifiering av nätverks- och informationssystem .........</A></P></TD>
<TD class="tr3 td38"><P class="p22 ft26"><A href="#page_376">375</A></P></TD>
</TR>
<TR>
<TD class="tr6 td50"><P class="p49 ft21"><A href="#page_378">12.1</A></P></TD>
<TD class="tr6 td52"><P class="p2 ft12"><A href="#page_378">Inledning ...............................................................................</A></P></TD>
<TD class="tr6 td38"><P class="p22 ft21"><A href="#page_378">377</A></P></TD>
</TR>
<TR>
<TD class="tr5 td50"><P class="p49 ft21"><A href="#page_379">12.2</A></P></TD>
<TD class="tr5 td52"><P class="p2 ft12"><A href="#page_379">Utgångspunkter....................................................................</A></P></TD>
<TD class="tr5 td38"><P class="p22 ft21"><A href="#page_379">378</A></P></TD>
</TR>
<TR>
<TD class="tr6 td50"><P class="p49 ft21"><A href="#page_383">12.3</A></P></TD>
<TD class="tr6 td52"><P class="p2 ft21"><A href="#page_383">Finns krav på evaluering/testning av </A><NOBR><A href="#page_383">IKT-produkter,</A></NOBR></P></TD>
<TD class="tr6 td38"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr1 td50"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td52"><P class="p2 ft27"><NOBR><A href="#page_383">-tjänster</A></NOBR><A href="#page_383"> och </A><NOBR><A href="#page_383">-processer</A></NOBR><A href="#page_383"> i olika verksamheter?....................</A></P></TD>
<TD class="tr1 td38"><P class="p22 ft21"><A href="#page_383">382</A></P></TD>
</TR>
<TR>
<TD class="tr5 td50"><P class="p49 ft21"><A href="#page_391">12.4</A></P></TD>
<TD class="tr5 td52"><P class="p2 ft27"><A href="#page_391">Finns krav på certifiering i andra länder?............................</A></P></TD>
<TD class="tr5 td38"><P class="p22 ft21"><A href="#page_391">390</A></P></TD>
</TR>
<TR>
<TD class="tr6 td50"><P class="p49 ft21"><A href="#page_395">12.5</A></P></TD>
<TD class="tr6 td52"><P class="p2 ft12"><A href="#page_395">Överväganden .......................................................................</A></P></TD>
<TD class="tr6 td38"><P class="p22 ft21"><A href="#page_395">394</A></P></TD>
</TR>
<TR>
<TD class="tr1 td50"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td52"><P class="p2 ft21"><A href="#page_395">12.5.1 Behov av att stärka säkerheten i nätverks-</A></P></TD>
<TD class="tr1 td38"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr1 td50"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td52"><P class="p50 ft12"><A href="#page_395">och informationssystem .......................................</A></P></TD>
<TD class="tr1 td38"><P class="p22 ft21"><A href="#page_395">394</A></P></TD>
</TR>
<TR>
<TD class="tr1 td50"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td52"><P class="p2 ft21"><A href="#page_396">12.5.2 Förutsättningar för en nationell</A></P></TD>
<TD class="tr1 td38"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr1 td50"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td52"><P class="p50 ft21"><A href="#page_396">certifieringsordning för säkerhetskänslig</A></P></TD>
<TD class="tr1 td38"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr1 td50"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td52"><P class="p50 ft12"><A href="#page_396">verksamhet.............................................................</A></P></TD>
<TD class="tr1 td38"><P class="p22 ft21"><A href="#page_396">395</A></P></TD>
</TR>
<TR>
<TD class="tr1 td50"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td52"><P class="p2 ft21"><A href="#page_404">12.5.3 Inhämtade synpunkter från Säkerhetspolisen</A></P></TD>
<TD class="tr1 td38"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr1 td50"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td52"><P class="p50 ft12"><A href="#page_404">och Försvarsmakten ..............................................</A></P></TD>
<TD class="tr1 td38"><P class="p22 ft21"><A href="#page_404">403</A></P></TD>
</TR>
<TR>
<TD class="tr1 td50"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td52"><P class="p2 ft27"><A href="#page_405">12.5.4 Behovet av gemensam och fastställd kravbild .....</A></P></TD>
<TD class="tr1 td38"><P class="p22 ft21"><A href="#page_405">404</A></P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">12</P>
</DIV>
</DIV>
<DIV id="page_14">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td40"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td41"><P class="p2 ft37">Innehåll</P></TD>
</TR>
</TABLE>
<P class="p44 ft21"><SPAN class="ft27">12.5.5</SPAN><A href="#page_410"><SPAN class="ft38">Behov av nationell sammanställning över</SPAN></A></P>
<TABLE cellpadding=0 cellspacing=0 class="t14">
<TR>
<TD class="tr1 td42"><P class="p2 ft21"><A href="#page_410">certifierade och rekommenderade</A></P></TD>
<TD class="tr1 td22"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr1 td42"><P class="p2 ft27"><NOBR><A href="#page_410">IKT-produkter,</A></NOBR><A href="#page_410"> </A><NOBR><A href="#page_410">-tjänster</A></NOBR><A href="#page_410"> och </A><NOBR><A href="#page_410"><SPAN class="ft39">-</SPAN></A><A href="#page_410">processer..............</A></NOBR></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_410">409</A></P></TD>
</TR>
</TABLE>
<P class="p38 ft21"><SPAN class="ft27">12.5.6</SPAN><A href="#page_413"><SPAN class="ft38">Det föreligger f.n. inte behov av en nationell</SPAN></A></P>
<TABLE cellpadding=0 cellspacing=0 class="t3">
<TR>
<TD class="tr0 td53"><P class="p2 ft5"> </P></TD>
<TD class="tr0 td45"><P class="p2 ft5"> </P></TD>
<TD class="tr0 td37"><P class="p51 ft21"><A href="#page_413">särskild ordning för certifiering i</A></P></TD>
<TD class="tr0 td38"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr1 td53"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td45"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td37"><P class="p51 ft12"><A href="#page_413">säkerhetskänslig verksamhet.................................</A></P></TD>
<TD class="tr1 td38"><P class="p22 ft21"><A href="#page_413">412</A></P></TD>
</TR>
<TR>
<TD class="tr6 td53"><P class="p2 ft27"><A href="#page_423">12.6</A></P></TD>
<TD colspan=2 class="tr6 td54"><P class="p41 ft27"><A href="#page_423">Uppdrag till berörda myndigheter .......................................</A></P></TD>
<TD class="tr6 td38"><P class="p22 ft21"><A href="#page_423">422</A></P></TD>
</TR>
<TR>
<TD class="tr3 td53"><P class="p2 ft26"><A href="#page_428">13</A></P></TD>
<TD colspan=2 class="tr3 td54"><P class="p41 ft35"><A href="#page_428">Krav på godkännande och utvidgat samrådsförfarande</A></P></TD>
<TD class="tr3 td38"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr0 td53"><P class="p2 ft5"> </P></TD>
<TD colspan=2 class="tr0 td54"><P class="p41 ft26"><A href="#page_428">för informationssystem .............................................</A></P></TD>
<TD class="tr0 td38"><P class="p27 ft26"><A href="#page_428">427</A></P></TD>
</TR>
<TR>
<TD class="tr6 td53"><P class="p2 ft27"><A href="#page_429">13.1</A></P></TD>
<TD colspan=2 class="tr6 td54"><P class="p41 ft12"><A href="#page_429">Inledning och utgångspunkter .............................................</A></P></TD>
<TD class="tr6 td38"><P class="p22 ft21"><A href="#page_429">428</A></P></TD>
</TR>
<TR>
<TD class="tr5 td53"><P class="p2 ft27"><A href="#page_430">13.2</A></P></TD>
<TD colspan=2 class="tr5 td54"><P class="p41 ft27"><A href="#page_430">Allvarliga brister i informationssäkerheten .........................</A></P></TD>
<TD class="tr5 td38"><P class="p22 ft21"><A href="#page_430">429</A></P></TD>
</TR>
<TR>
<TD class="tr1 td53"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td45"><P class="p41 ft21"><A href="#page_430">13.2.1</A></P></TD>
<TD class="tr1 td37"><P class="p51 ft27"><A href="#page_430">Utredningar och kartläggningar ...........................</A></P></TD>
<TD class="tr1 td38"><P class="p22 ft21"><A href="#page_430">429</A></P></TD>
</TR>
<TR>
<TD class="tr1 td53"><P class="p2 ft5"> </P></TD>
<TD colspan=2 class="tr1 td54"><P class="p41 ft27"><A href="#page_434">13.2.2 Slutsatser om säkerhetsbrister och </A><NOBR><A href="#page_434">-behov ..........</A></NOBR></P></TD>
<TD class="tr1 td38"><P class="p22 ft21"><A href="#page_434">433</A></P></TD>
</TR>
<TR>
<TD class="tr6 td53"><P class="p2 ft27"><A href="#page_435">13.3</A></P></TD>
<TD colspan=2 class="tr6 td54"><P class="p41 ft12"><A href="#page_435">Nuvarande system.................................................................</A></P></TD>
<TD class="tr6 td38"><P class="p22 ft21"><A href="#page_435">434</A></P></TD>
</TR>
<TR>
<TD class="tr1 td53"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td45"><P class="p41 ft21"><A href="#page_435">13.3.1</A></P></TD>
<TD class="tr1 td37"><P class="p51 ft12"><A href="#page_435">Granskning och godkännande ..............................</A></P></TD>
<TD class="tr1 td38"><P class="p22 ft21"><A href="#page_435">434</A></P></TD>
</TR>
</TABLE>
<P class="p38 ft21"><SPAN class="ft27">13.3.2</SPAN><A href="#page_438"><SPAN class="ft38">Allmänna krav på informationssäkerhet</SPAN></A></P>
<TABLE cellpadding=0 cellspacing=0 class="t15">
<TR>
<TD class="tr1 td55"><P class="p50 ft27"><A href="#page_438">i statliga myndigheters verksamhet ......................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_438">437</A></P></TD>
</TR>
<TR>
<TD class="tr0 td55"><P class="p2 ft21"><A href="#page_441">13.3.3 Krav på informationssäkerhet</A></P></TD>
<TD class="tr0 td22"><P class="p2 ft5"> </P></TD>
</TR>
</TABLE>
<TABLE cellpadding=0 cellspacing=0 class="t11">
<TR>
<TD class="tr1 td42"><P class="p2 ft12"><A href="#page_441">i säkerhetsskyddsregleringen ................................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_441">440</A></P></TD>
</TR>
</TABLE>
<P class="p39 ft21"><SPAN class="ft27">13.3.4</SPAN><A href="#page_443"><SPAN class="ft38">Cybersäkerhetscertifiering i enlighet</SPAN></A></P>
<TABLE cellpadding=0 cellspacing=0 class="t3">
<TR>
<TD class="tr0 td56"><P class="p2 ft5"> </P></TD>
<TD class="tr0 td44"><P class="p27 ft27"><A href="#page_443">med EU:s cybersäkerhetsakt.................................</A></P></TD>
<TD class="tr0 td22"><P class="p22 ft21"><A href="#page_443">442</A></P></TD>
</TR>
<TR>
<TD class="tr1 td56"><P class="p52 ft21"><A href="#page_444">13.3.5</A></P></TD>
<TD class="tr1 td44"><P class="p53 ft33"><A href="#page_444">Slutsatser om samrådsförfarandet och</A></P></TD>
<TD class="tr1 td22"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr1 td56"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td44"><P class="p27 ft27"><A href="#page_444">skyldigheter i säkerhetskänslig verksamhet .........</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_444">443</A></P></TD>
</TR>
<TR>
<TD colspan=2 class="tr6 td34"><P class="p27 ft27"><A href="#page_445">13.4 Pågående åtgärder för ökad informationssäkerhet ...............</A></P></TD>
<TD class="tr6 td22"><P class="p22 ft21"><A href="#page_445">444</A></P></TD>
</TR>
<TR>
<TD class="tr1 td56"><P class="p52 ft21"><A href="#page_446">13.4.1</A></P></TD>
<TD class="tr1 td44"><P class="p27 ft27"><A href="#page_446">Anmälningsplikt ....................................................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_446">445</A></P></TD>
</TR>
</TABLE>
<P class="p38 ft21"><SPAN class="ft27">13.4.2</SPAN><A href="#page_446"><SPAN class="ft38">Utvidgad samrådsskyldighet och befogenheter</SPAN></A></P>
<TABLE cellpadding=0 cellspacing=0 class="t15">
<TR>
<TD class="tr1 td55"><P class="p50 ft21"><A href="#page_446">vid överlåtelse och utkontraktering av</A></P></TD>
<TD class="tr1 td22"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr1 td55"><P class="p50 ft12"><A href="#page_446">säkerhetskänslig verksamhet.................................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_446">445</A></P></TD>
</TR>
<TR>
<TD class="tr1 td55"><P class="p2 ft21"><A href="#page_448">13.4.3 Närmare om tillsynsbefogenheter</A></P></TD>
<TD class="tr1 td22"><P class="p2 ft5"> </P></TD>
</TR>
</TABLE>
<TABLE cellpadding=0 cellspacing=0 class="t14">
<TR>
<TD class="tr0 td42"><P class="p2 ft27"><A href="#page_448">och ingripande möjligheter ...................................</A></P></TD>
<TD class="tr0 td22"><P class="p22 ft21"><A href="#page_448">447</A></P></TD>
</TR>
</TABLE>
<P class="p39 ft21"><SPAN class="ft27">13.4.4</SPAN><A href="#page_449"><SPAN class="ft38">Slutsatser om föreslagna ändringar</SPAN></A></P>
<TABLE cellpadding=0 cellspacing=0 class="t11">
<TR>
<TD class="tr0 td42"><P class="p2 ft12"><A href="#page_449">i säkerhetsskyddslagen ..........................................</A></P></TD>
<TD class="tr0 td22"><P class="p22 ft21"><A href="#page_449">448</A></P></TD>
</TR>
</TABLE>
<P class="p39 ft21"><SPAN class="ft27">13.4.5</SPAN><A href="#page_450"><SPAN class="ft38">Åtgärder enligt den samlade informations-</SPAN></A></P>
<TABLE cellpadding=0 cellspacing=0 class="t16">
<TR>
<TD class="tr1 td42"><P class="p2 ft27"><A href="#page_450">och cybersäkerhetshandlingsplanen .....................</A></P></TD>
<TD class="tr1 td22"><P class="p22 ft21"><A href="#page_450">449</A></P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">13</P>
</DIV>
</DIV>
<DIV id="page_15">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t13">
<TR>
<TD class="tr8 td50"><P class="p2 ft32">Innehåll</P></TD>
<TD class="tr8 td57"><P class="p2 ft40"> </P></TD>
<TD class="tr8 td58"><P class="p22 ft32">SOU 2021:63</P></TD>
</TR>
<TR>
<TD class="tr11 td50"><P class="p49 ft21"><A href="#page_450">13.5</A></P></TD>
<TD class="tr11 td57"><P class="p2 ft12"><A href="#page_450">Krav i andra länder................................................................</A></P></TD>
<TD class="tr11 td58"><P class="p22 ft21"><A href="#page_450">449</A></P></TD>
</TR>
<TR>
<TD class="tr5 td50"><P class="p49 ft21"><A href="#page_452">13.6</A></P></TD>
<TD class="tr5 td57"><P class="p2 ft21"><A href="#page_452">Behov av samordnat samråd och nationellt</A></P></TD>
<TD class="tr5 td58"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr1 td50"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td57"><P class="p2 ft41"><A href="#page_452">godkännande för säkerhetskänslig verksamhet ..................</A></P></TD>
<TD class="tr1 td58"><P class="p22 ft21"><A href="#page_452">451</A></P></TD>
</TR>
<TR>
<TD class="tr6 td50"><P class="p49 ft21"><A href="#page_453">13.7</A></P></TD>
<TD colspan=2 class="tr6 td51"><P class="p2 ft21"><A href="#page_453">Kompletteringarna till säkerhetsskyddslagen kontra</A></P></TD>
</TR>
<TR>
<TD class="tr1 td50"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td57"><P class="p2 ft12"><A href="#page_453">godkännandeförfarande .......................................................</A></P></TD>
<TD class="tr1 td58"><P class="p22 ft21"><A href="#page_453">452</A></P></TD>
</TR>
<TR>
<TD class="tr5 td50"><P class="p49 ft21"><A href="#page_459">13.8</A></P></TD>
<TD class="tr5 td57"><P class="p2 ft12"><A href="#page_459">Ytterligare stärkt samrådsroll ..............................................</A></P></TD>
<TD class="tr5 td58"><P class="p22 ft21"><A href="#page_459">458</A></P></TD>
</TR>
<TR>
<TD class="tr1 td50"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td57"><P class="p2 ft12"><A href="#page_470">13.8.1 Certifiering som komplement..............................</A></P></TD>
<TD class="tr1 td58"><P class="p22 ft21"><A href="#page_470">469</A></P></TD>
</TR>
<TR>
<TD class="tr1 td50"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td57"><P class="p2 ft21"><A href="#page_471">13.8.2 Bestämmelserna ska tas in</A></P></TD>
<TD class="tr1 td58"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr1 td50"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td57"><P class="p50 ft41"><A href="#page_471">i säkerhetsskyddslagen..........................................</A></P></TD>
<TD class="tr1 td58"><P class="p22 ft21"><A href="#page_471">470</A></P></TD>
</TR>
<TR>
<TD class="tr3 td50"><P class="p49 ft26"><A href="#page_472">14</A></P></TD>
<TD class="tr3 td57"><P class="p2 ft29"><A href="#page_472">Tillgång till informationssystem vid tillsyn ..................</A></P></TD>
<TD class="tr3 td58"><P class="p22 ft26"><A href="#page_472">471</A></P></TD>
</TR>
<TR>
<TD class="tr6 td50"><P class="p49 ft21"><A href="#page_472">14.1</A></P></TD>
<TD class="tr6 td57"><P class="p2 ft12"><A href="#page_472">Inledning ...............................................................................</A></P></TD>
<TD class="tr6 td58"><P class="p22 ft21"><A href="#page_472">471</A></P></TD>
</TR>
<TR>
<TD class="tr5 td50"><P class="p49 ft21"><A href="#page_473">14.2</A></P></TD>
<TD class="tr5 td57"><P class="p2 ft21"><A href="#page_473">Det finns skäl att införa ytterligare</A></P></TD>
<TD class="tr5 td58"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr1 td50"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td57"><P class="p2 ft12"><A href="#page_473">en undersökningsbefogenhet ...............................................</A></P></TD>
<TD class="tr1 td58"><P class="p22 ft21"><A href="#page_473">472</A></P></TD>
</TR>
<TR>
<TD class="tr6 td50"><P class="p49 ft21"><A href="#page_475">14.3</A></P></TD>
<TD class="tr6 td57"><P class="p2 ft41"><A href="#page_475">Bestämmelserna ska tas in i säkerhetsskyddslagen.............</A></P></TD>
<TD class="tr6 td58"><P class="p22 ft21"><A href="#page_475">474</A></P></TD>
</TR>
<TR>
<TD class="tr4 td50"><P class="p49 ft26"><A href="#page_476">15</A></P></TD>
<TD class="tr4 td57"><P class="p2 ft29"><A href="#page_476">Handläggning och överklagande ................................</A></P></TD>
<TD class="tr4 td58"><P class="p22 ft26"><A href="#page_476">475</A></P></TD>
</TR>
<TR>
<TD class="tr6 td50"><P class="p49 ft21"><A href="#page_476">15.1</A></P></TD>
<TD class="tr6 td57"><P class="p2 ft12"><A href="#page_476">Förvaltningslagen bör gälla vid handläggningen.................</A></P></TD>
<TD class="tr6 td58"><P class="p22 ft21"><A href="#page_476">475</A></P></TD>
</TR>
<TR>
<TD class="tr6 td50"><P class="p49 ft21"><A href="#page_477">15.2</A></P></TD>
<TD class="tr6 td57"><P class="p2 ft12"><A href="#page_477">Beslut som bör få överklagas ...............................................</A></P></TD>
<TD class="tr6 td58"><P class="p22 ft21"><A href="#page_477">476</A></P></TD>
</TR>
<TR>
<TD class="tr5 td50"><P class="p49 ft21"><A href="#page_478">15.3</A></P></TD>
<TD class="tr5 td57"><P class="p2 ft12"><A href="#page_478">Överklagandeinstans ............................................................</A></P></TD>
<TD class="tr5 td58"><P class="p22 ft21"><A href="#page_478">477</A></P></TD>
</TR>
<TR>
<TD class="tr3 td50"><P class="p49 ft26"><A href="#page_480">16</A></P></TD>
<TD class="tr3 td57"><P class="p2 ft29"><A href="#page_480">Offentlighet och sekretess ........................................</A></P></TD>
<TD class="tr3 td58"><P class="p22 ft26"><A href="#page_480">479</A></P></TD>
</TR>
<TR>
<TD class="tr5 td50"><P class="p49 ft21"><A href="#page_480">16.1</A></P></TD>
<TD class="tr5 td57"><P class="p2 ft41"><A href="#page_480">Sekretesskyddet hos samrådsmyndigheten.........................</A></P></TD>
<TD class="tr5 td58"><P class="p22 ft21"><A href="#page_480">479</A></P></TD>
</TR>
<TR>
<TD class="tr6 td50"><P class="p49 ft21"><A href="#page_481">16.2</A></P></TD>
<TD class="tr6 td57"><P class="p2 ft41"><A href="#page_481">Utlämnande av uppgifter i samband med samråd...............</A></P></TD>
<TD class="tr6 td58"><P class="p22 ft21"><A href="#page_481">480</A></P></TD>
</TR>
<TR>
<TD class="tr6 td50"><P class="p49 ft21"><A href="#page_482">16.3</A></P></TD>
<TD class="tr6 td57"><P class="p2 ft12"><A href="#page_482">Sekretess vid tillsyn ..............................................................</A></P></TD>
<TD class="tr6 td58"><P class="p22 ft21"><A href="#page_482">481</A></P></TD>
</TR>
<TR>
<TD class="tr5 td50"><P class="p49 ft21"><A href="#page_482">16.4</A></P></TD>
<TD class="tr5 td57"><P class="p2 ft12"><A href="#page_482">Partsinsyn och kommunikation ..........................................</A></P></TD>
<TD class="tr5 td58"><P class="p22 ft21"><A href="#page_482">481</A></P></TD>
</TR>
<TR>
<TD class="tr3 td50"><P class="p49 ft26"><A href="#page_484">17</A></P></TD>
<TD class="tr3 td57"><P class="p2 ft29"><A href="#page_484">Konsekvensbeskrivning.............................................</A></P></TD>
<TD class="tr3 td58"><P class="p22 ft26"><A href="#page_484">483</A></P></TD>
</TR>
<TR>
<TD class="tr6 td50"><P class="p49 ft21"><A href="#page_485">17.1</A></P></TD>
<TD class="tr6 td57"><P class="p2 ft12"><A href="#page_485">Inledning ...............................................................................</A></P></TD>
<TD class="tr6 td58"><P class="p22 ft21"><A href="#page_485">484</A></P></TD>
</TR>
<TR>
<TD class="tr5 td50"><P class="p49 ft21"><A href="#page_485">17.2</A></P></TD>
<TD class="tr5 td57"><P class="p2 ft12"><A href="#page_485">Utgångspunkter....................................................................</A></P></TD>
<TD class="tr5 td58"><P class="p22 ft21"><A href="#page_485">484</A></P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">14</P>
</DIV>
</DIV>
<DIV id="page_16">
<DIV id="id_1">
<P class="p0 ft32">SOU 2021:63<SPAN style="padding-left:383px;">Innehåll</SPAN></P>
<TABLE cellpadding=0 cellspacing=0 class="t17">
<TR>
<TD class="tr2 td53"><P class="p2 ft27"><A href="#page_485">17.3</A></P></TD>
<TD class="tr2 td54"><P class="p41 ft12"><A href="#page_485">De som berörs av förslagen ..................................................</A></P></TD>
<TD class="tr2 td38"><P class="p22 ft21"><A href="#page_485">484</A></P></TD>
</TR>
<TR>
<TD class="tr5 td53"><P class="p2 ft27"><A href="#page_486">17.4</A></P></TD>
<TD class="tr5 td54"><P class="p41 ft12"><A href="#page_486">Frågan om krav på certifiering .............................................</A></P></TD>
<TD class="tr5 td38"><P class="p22 ft21"><A href="#page_486">485</A></P></TD>
</TR>
<TR>
<TD class="tr6 td53"><P class="p2 ft27"><A href="#page_487">17.5</A></P></TD>
<TD class="tr6 td54"><P class="p41 ft12"><A href="#page_487">Förslaget om en stärkt samrådsroll......................................</A></P></TD>
<TD class="tr6 td38"><P class="p22 ft21"><A href="#page_487">486</A></P></TD>
</TR>
<TR>
<TD class="tr5 td53"><P class="p2 ft27"><A href="#page_494">17.6</A></P></TD>
<TD class="tr5 td54"><P class="p41 ft12"><A href="#page_494">Konsekvenser för samhället .................................................</A></P></TD>
<TD class="tr5 td38"><P class="p22 ft21"><A href="#page_494">493</A></P></TD>
</TR>
<TR>
<TD class="tr6 td53"><P class="p2 ft27"><A href="#page_494">17.7</A></P></TD>
<TD class="tr6 td54"><P class="p41 ft12"><A href="#page_494">Brottsförebyggande effekter ................................................</A></P></TD>
<TD class="tr6 td38"><P class="p22 ft21"><A href="#page_494">493</A></P></TD>
</TR>
<TR>
<TD class="tr6 td53"><P class="p2 ft27"><A href="#page_494">17.8</A></P></TD>
<TD class="tr6 td54"><P class="p41 ft12"><A href="#page_494">Övriga konsekvenser ............................................................</A></P></TD>
<TD class="tr6 td38"><P class="p22 ft21"><A href="#page_494">493</A></P></TD>
</TR>
<TR>
<TD class="tr4 td53"><P class="p2 ft26"><A href="#page_496">18</A></P></TD>
<TD class="tr4 td54"><P class="p41 ft26"><A href="#page_496">Författningskommentar ............................................</A></P></TD>
<TD class="tr4 td38"><P class="p27 ft26"><A href="#page_496">495</A></P></TD>
</TR>
<TR>
<TD class="tr6 td53"><P class="p2 ft27"><A href="#page_496">18.1</A></P></TD>
<TD class="tr6 td54"><P class="p41 ft21"><A href="#page_496">Förslaget till lag om ändring i säkerhetsskyddslagen</A></P></TD>
<TD class="tr6 td38"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr1 td53"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td54"><P class="p41 ft12"><A href="#page_496">(2018:585) .............................................................................</A></P></TD>
<TD class="tr1 td38"><P class="p22 ft21"><A href="#page_496">495</A></P></TD>
</TR>
</TABLE>
<TABLE cellpadding=0 cellspacing=0 class="t18">
<TR>
<TD colspan=2 class="tr2 td23"><P class="p2 ft26">Referenser ......................................................................</P></TD>
<TD class="tr2 td38"><P class="p27 ft26">505</P></TD>
</TR>
<TR>
<TD class="tr3 td59"><P class="p2 ft26">Bilagor</P></TD>
<TD class="tr3 td60"><P class="p2 ft5"> </P></TD>
<TD class="tr3 td38"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr5 td59"><P class="p2 ft21">Bilaga 1</P></TD>
<TD class="tr5 td60"><P class="p2 ft12">Kommittédirektiv 2019:73 ...........................................</P></TD>
<TD class="tr5 td38"><P class="p22 ft21">511</P></TD>
</TR>
<TR>
<TD class="tr5 td59"><P class="p2 ft21">Bilaga 2</P></TD>
<TD class="tr5 td60"><P class="p2 ft12">Kommittédirektiv 2020:57 ...........................................</P></TD>
<TD class="tr5 td38"><P class="p22 ft21">525</P></TD>
</TR>
<TR>
<TD class="tr5 td59"><P class="p2 ft21">Bilaga 3</P></TD>
<TD class="tr5 td60"><P class="p2 ft12">Kommittédirektiv 2021:10 ...........................................</P></TD>
<TD class="tr5 td38"><P class="p22 ft21">527</P></TD>
</TR>
<TR>
<TD class="tr5 td59"><P class="p2 ft21">Bilaga 4</P></TD>
<TD class="tr5 td60"><P class="p2 ft12">Formell skrivelse...........................................................</P></TD>
<TD class="tr5 td38"><P class="p22 ft21">529</P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">15</P>
</DIV>
</DIV>
<DIV id="page_17">
</DIV>
<DIV id="page_18">
<P class="p0 ft16">Förkortningar</P>
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr12 td61"><P class="p54 ft21">AI</P></TD>
<TD class="tr12 td62"><P class="p23 ft21">Artificiell intelligens</P></TD>
</TR>
<TR>
<TD class="tr13 td63"><P class="p54 ft21">CC</P></TD>
<TD class="tr13 td64"><P class="p23 ft21">Common Criteria</P></TD>
</TR>
<TR>
<TD class="tr13 td61"><P class="p54 ft21">CCRA</P></TD>
<TD class="tr13 td62"><P class="p23 ft42">Common Criteria Recognition Arrangement</P></TD>
</TR>
<TR>
<TD class="tr13 td63"><P class="p54 ft21">CSEC</P></TD>
<TD class="tr13 td64"><P class="p23 ft21">Sveriges certifieringsorgan för <NOBR>IT-säkerhet</NOBR></P></TD>
</TR>
<TR>
<TD class="tr13 td61"><P class="p54 ft21">CERT</P></TD>
<TD class="tr13 td62"><P class="p23 ft21">Computer Emergency Response Team</P></TD>
</TR>
<TR>
<TD class="tr13 td63"><P class="p54 ft21">cPP</P></TD>
<TD class="tr13 td64"><P class="p23 ft21">collaborative Protection Profile</P></TD>
</TR>
<TR>
<TD class="tr13 td61"><P class="p54 ft21">COTS</P></TD>
<TD class="tr13 td62"><P class="p23 ft21">Commercial <NOBR>off-the-shelf</NOBR></P></TD>
</TR>
<TR>
<TD class="tr13 td63"><P class="p54 ft21">CSIRT</P></TD>
<TD class="tr13 td64"><P class="p23 ft27">Computer Security Incident Response Team</P></TD>
</TR>
<TR>
<TD class="tr13 td61"><P class="p54 ft21">DIGG</P></TD>
<TD class="tr13 td62"><P class="p23 ft21">Myndigheten för digital förvaltning</P></TD>
</TR>
<TR>
<TD class="tr13 td63"><P class="p54 ft21">Ds</P></TD>
<TD class="tr13 td64"><P class="p23 ft21">Departementsserien</P></TD>
</TR>
<TR>
<TD class="tr13 td61"><P class="p54 ft21">ENISA</P></TD>
<TD class="tr13 td62"><P class="p23 ft43">European Union Agency for Cybersecurity</P></TD>
</TR>
<TR>
<TD class="tr13 td63"><P class="p54 ft21">EU</P></TD>
<TD class="tr13 td64"><P class="p23 ft21">Europeiska Unionen</P></TD>
</TR>
<TR>
<TD class="tr6 td61"><P class="p54 ft21">EAL</P></TD>
<TD class="tr6 td62"><P class="p23 ft21">Evaluation Assurance Level</P></TD>
</TR>
<TR>
<TD class="tr12 td63"><P class="p54 ft21">FMV</P></TD>
<TD class="tr12 td64"><P class="p23 ft21">Försvarets materielverk</P></TD>
</TR>
<TR>
<TD class="tr6 td61"><P class="p54 ft21">FN</P></TD>
<TD class="tr6 td62"><P class="p23 ft21">Förenta nationerna</P></TD>
</TR>
<TR>
<TD class="tr13 td63"><P class="p54 ft21">FOI</P></TD>
<TD class="tr13 td64"><P class="p23 ft21">Totalförsvarets forskningsinstitut</P></TD>
</TR>
<TR>
<TD class="tr13 td61"><P class="p54 ft21">FRA</P></TD>
<TD class="tr13 td62"><P class="p23 ft21">Försvarets radioanstalt</P></TD>
</TR>
<TR>
<TD class="tr13 td63"><P class="p54 ft21">Fö</P></TD>
<TD class="tr13 td64"><P class="p23 ft21">Försvarsdepartementet</P></TD>
</TR>
<TR>
<TD class="tr13 td61"><P class="p54 ft21">IKT</P></TD>
<TD class="tr13 td62"><P class="p23 ft43">Informations- och kommunikationsteknik</P></TD>
</TR>
<TR>
<TD class="tr13 td63"><P class="p54 ft21">IT</P></TD>
<TD class="tr13 td64"><P class="p23 ft21">Informationsteknik</P></TD>
</TR>
<TR>
<TD class="tr13 td61"><P class="p54 ft21">IVA</P></TD>
<TD class="tr13 td62"><P class="p23 ft21">Kungl. Ingenjörsvetenskapsakademien</P></TD>
</TR>
<TR>
<TD class="tr14 td63"><P class="p2 ft5"> </P></TD>
<TD class="tr14 td64"><P class="p22 ft31">17</P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="page_19">
<DIV id="id_1">
<P class="p0 ft32">Förkortningar<SPAN style="padding-left:354px;">SOU 2021:63</SPAN></P>
<TABLE cellpadding=0 cellspacing=0 class="t20">
<TR>
<TD class="tr12 td65"><P class="p55 ft21">LAN</P></TD>
<TD class="tr12 td66"><P class="p54 ft21">Local Area Network</P></TD>
</TR>
<TR>
<TD class="tr12 td67"><P class="p55 ft21">MSB</P></TD>
<TD class="tr12 td68"><P class="p54 ft33">Myndigheten för samhällsskydd och bered-</P></TD>
</TR>
<TR>
<TD class="tr0 td67"><P class="p2 ft5"> </P></TD>
<TD class="tr0 td68"><P class="p54 ft21">skap</P></TD>
</TR>
<TR>
<TD class="tr13 td65"><P class="p55 ft21">MUST</P></TD>
<TD class="tr13 td66"><P class="p54 ft44">Militära underrättelse- och säkerhetstjänsten</P></TD>
</TR>
<TR>
<TD class="tr13 td67"><P class="p55 ft21">NATO</P></TD>
<TD class="tr13 td68"><P class="p54 ft21">North Atlantic Treaty Organisation</P></TD>
</TR>
<TR>
<TD class="tr13 td65"><P class="p55 ft21">NCSA</P></TD>
<TD class="tr13 td66"><P class="p54 ft21">National Communications Security</P></TD>
</TR>
<TR>
<TD class="tr1 td65"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td66"><P class="p54 ft21">Authority</P></TD>
</TR>
<TR>
<TD class="tr13 td67"><P class="p55 ft21">NDA</P></TD>
<TD class="tr13 td68"><P class="p54 ft21">National Distribution Authority</P></TD>
</TR>
<TR>
<TD class="tr13 td65"><P class="p55 ft21">NSA</P></TD>
<TD class="tr13 td66"><P class="p54 ft21">National Security Authority</P></TD>
</TR>
<TR>
<TD class="tr13 td67"><P class="p55 ft21">OECD</P></TD>
<TD class="tr13 td68"><P class="p54 ft27">Organisation on Economic Cooperation and</P></TD>
</TR>
<TR>
<TD class="tr1 td67"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td68"><P class="p54 ft21">Development</P></TD>
</TR>
<TR>
<TD class="tr13 td65"><P class="p55 ft21">PP</P></TD>
<TD class="tr13 td66"><P class="p54 ft21">Protection Profile</P></TD>
</TR>
<TR>
<TD class="tr13 td67"><P class="p55 ft21">Prop.</P></TD>
<TD class="tr13 td68"><P class="p54 ft21">Proposition</P></TD>
</TR>
<TR>
<TD class="tr6 td65"><P class="p55 ft21">PTS</P></TD>
<TD class="tr6 td66"><P class="p54 ft21">Post- och telestyrelsen</P></TD>
</TR>
<TR>
<TD class="tr12 td67"><P class="p55 ft21">RK</P></TD>
<TD class="tr12 td68"><P class="p54 ft21">Regeringskansliet</P></TD>
</TR>
<TR>
<TD class="tr6 td65"><P class="p55 ft21">SAMFI</P></TD>
<TD class="tr6 td66"><P class="p54 ft44">Samverkansgruppen för informationssäkerhet</P></TD>
</TR>
<TR>
<TD class="tr13 td67"><P class="p55 ft21">SIS</P></TD>
<TD class="tr13 td68"><P class="p54 ft21">Svenska Institutet för Standarder</P></TD>
</TR>
<TR>
<TD class="tr12 td65"><P class="p55 ft21"><NOBR>SOG-IS</NOBR></P></TD>
<TD class="tr12 td66"><P class="p54 ft43">MRA Senior Officials Group Information</P></TD>
</TR>
<TR>
<TD class="tr1 td65"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td66"><P class="p54 ft43">Systems Security – Mutual Recognition</P></TD>
</TR>
<TR>
<TD class="tr0 td65"><P class="p2 ft5"> </P></TD>
<TD class="tr0 td66"><P class="p54 ft21">Agreement</P></TD>
</TR>
<TR>
<TD class="tr13 td67"><P class="p55 ft21">SOU</P></TD>
<TD class="tr13 td68"><P class="p54 ft21">Statens offentliga utredningar</P></TD>
</TR>
<TR>
<TD class="tr13 td65"><P class="p55 ft21">Swedac</P></TD>
<TD class="tr13 td66"><P class="p54 ft42">Styrelsen för ackreditering och teknisk kon-</P></TD>
</TR>
<TR>
<TD class="tr1 td65"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td66"><P class="p54 ft21">troll</P></TD>
</TR>
<TR>
<TD class="tr13 td67"><P class="p55 ft21">ST</P></TD>
<TD class="tr13 td68"><P class="p54 ft21">Security target</P></TD>
</TR>
<TR>
<TD class="tr13 td65"><P class="p55 ft21">Vinnova</P></TD>
<TD class="tr13 td66"><P class="p54 ft21">Verket för innovationssystem</P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">18</P>
</DIV>
</DIV>
<DIV id="page_20">
<P class="p0 ft16">Sammanfattning</P>
<P class="p56 ft26">Uppdraget</P>
<P class="p57 ft18">Europeiska unionen (EU) har antagit ett antal strategier, policys och förordningar för att stärka cybersäkerheten i unionen och medlems- staterna. Europaparlamentets och rådets förordning (EU) 2019/881 av den 17 april 2019 om Enisa (Europeiska unionens cybersäkerhets- byrå) och om cybersäkerhetscertifiering av informations- och kom- munikationsteknik och om upphävande av förordning (EU) nr 526/ 2013 (cybersäkerhetsakten) trädde i kraft den 27 juni 2019. Det huvudsakliga syftet med förordningen är att uppnå en hög nivå i fråga om cybersäkerhet, cyberresiliens och förtroende inom unionen och säkerställa en väl fungerande inre marknad. Det europeiska ramverket för cybersäkerhetscertifiering, dvs. EU:s cybersäkerhetsakt och de genomförandeakter som utfärdas med stöd av cybersäkerhetsakten, kommer att reglera den cybersäkerhetscertifiering som följer av en europeisk certifieringsordning för cybersäkerhetscertifiering som fastställts av kommissionen.</P>
<P class="p58 ft18">Utredningens uppdrag i den första delen var att föreslå de anpass- ningar och kompletterande nationella författningsbestämmelser som EU:s cybersäkerhetsakt ger anledning till och som behöver finnas på plats när förordningen i sin helhet börjar tillämpas den 28 juni 2021. Vidare ingick att även överväga och föreslå vilken befintlig nationell myndighet som ska utses att fullgöra de uppgifter och tilldelas de ansvarsområden som följer av EU:s cybersäkerhetsakt, bl.a. uppdraget att utöva tillsyn över efterlevnaden av det europeiska ramverket för cybersäkerhetscertifiering.</P>
<P class="p58 ft18">Utredningen överlämnade sitt delbetänkande <SPAN class="ft45">Kompletterande be- stämmelser till EU:s cybersäkerhetsakt </SPAN>(SOU 2020:25) i september 2020. Regeringen har efter remissbehandling av utredningens delbetän- kande överlämnat proposition 2020/21:186 <SPAN class="ft45">Kompletterande bestäm-</SPAN></P>
<P class="p59 ft31">19</P>
</DIV>
<DIV id="page_21">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Sammanfattning</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p60 ft18"><SPAN class="ft45">melser till EU:s cybersäkerhetsakt </SPAN>till riksdagen och i den lämnat förslag på en ny lag med kompletterande bestämmelser till EU:s cyber- säkerhetsakt. I den föreslagna lagen finns kompletterande nationella bestämmelser om bl.a. nationell myndighet för cybersäkerhetscerti- fiering, tillsyn, sanktioner och förfarandet vid cybersäkerhetscerti- fiering. Riksdagen har den 9 juni 2021 beslutat i enlighet med vad som föreslås i angivna proposition och fattat beslut om att lagen med kompletterande bestämmelser till EU:s cybersäkerhetsakt ska träda i kraft den 28 juni 2021. Regeringen har i anslutning till att lagen ska börja tillämpas utsett Försvarets materielverk till nationell myn- dighet för cybersäkerhetscertifiering med de uppgifter som följer av det europeiska ramverket för cybersäkerhethetscertifiering, dvs. EU:s cybersäkerhetsakt och de genomförandeförordningar som ska utfördas med stöd av cybersäkerhetsakten.</P>
<P class="p61 ft19">Samtidigt kan noteras att åtgärder som bl.a. rör försvar och natio- nell säkerhet faller utanför EU:s kompetens (art. 4.2 <NOBR>EU-fördraget).</NOBR> I artikel 1.2 EU:s cybersäkerhetsakt anges därför att förordningen inte ska påverka medlemsstaternas befogenheter i fråga om nät- och informationssäkerhet, särskilt inte verksamhet som berör allmän säkerhet, försvar, nationell säkerhet och statens verksamhet på straff- lagstiftningens område.</P>
<P class="p62 ft19">Regeringen framhåller i direktiven till utredningen att det måste kunna ställas särskilda krav på säkerhet på nätverks- och informa- tionssystem för att skydda nationell säkerhet och att det finns anledning att nu överväga om ytterligare nationella krav bör införas för att säkerställa att nätverks- och informationssystem som ska an- vändas i säkerhetskänslig verksamhet uppfyller de krav som behövs för att upprätthålla skyddet av sådana verksamheter.</P>
<P class="p62 ft18">Utredningens uppdrag innefattar därför att bedöma om det finns anledning att införa nationella särskilda krav på att <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer,</NOBR> som ingår i ett nätverks- och informations- system som ska användas i säkerhetskänslig verksamhet, ska vara certifierade enligt en nationell särskilt anpassad certifieringsordning utformad för säkerhetskänslig verksamhet.</P>
<P class="p63 ft17">I uppdraget ingår även att överväga om det finns anledning att införa krav på godkännande från en myndighet för att sådana IKT- produkter, <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> ska få tas i drift i viss eller all säkerhetskänslig verksamhet.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">20</P>
</DIV>
</DIV>
<DIV id="page_22">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td70"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td71"><P class="p2 ft37">Sammanfattning</P></TD>
</TR>
</TABLE>
<P class="p64 ft18">I uppdraget ingår att göra en internationell jämförelse av lagstift- ning som innebär särskilda krav med anledning av nationell säkerhet för <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> som ingår i ett nätverks- eller informationssystem i de länder som bedöms vara av intresse.</P>
<P class="p65 ft46">För nätverks- och informationssystem som används i eller har betydelse för säkerhetskänslig verksamhet finns i dag särskilda krav i säkerhetsskyddsförordningen (2018:658). Det rör sig bl.a. om för- beredande åtgärder inför driftsättning av informationssystem och om säkerhetskrav som kontinuerligt ställs på informationssystemen. Bestämmelserna innehåller även krav på samråd med Säkerhets- polisen eller Försvarsmakten i de fall informationssystemen kan komma att behandla säkerhetsskyddsklassificerade uppgifter av visst slag och informationssystem där obehörig åtkomst till systemen kan medföra en skada för Sveriges säkerhet som inte är obetydlig. Be- stämmelserna föreskriver att det är verksamhetsutövaren som an- svarar för att se till att informationssystemen upprätthåller kraven på informationssäkerhet.</P>
<P class="p66 ft47">Digitaliseringsutvecklingen och kravet på informations- och cybersäkerhet</P>
<P class="p67 ft17">Digitaliseringen beskrivs som vår tids starkaste förändringsfaktor och innebär att en allt större andel av aktiviteterna i samhället är be- roende av nätverks- och informationssystem som används av myn- digheter, organisationer, företag och privatpersoner. Digitaliser- ingen har skapat nya former av kommunikation, datahantering och datalagring, och som medför stora möjligheter att förbättra och effek- tivisera olika verksamheter.</P>
<P class="p68 ft17">Digitaliseringen påverkar hela samhället och området kan beskri- vas som horisontellt, bl.a. för att det omfattar alla samhällssektorer. Den pågående globala digitala utvecklingen och i Sverige går på många plan mycket fort och statliga myndigheter, regioner och kommuner och aktörer i näringslivet bedriver sedan många år olika digitaliser- ingsarbeten. I dag bygger många system för att hantera information huvudsakligen på digital informations- och kommunikationsteknik (IKT).</P>
<P class="p65 ft46">Med den tilltagande globaliseringen och digitaliseringen, som ökar beroenden över <NOBR>nations-,</NOBR> sektors- och ansvarsgränser, har även följt</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">21</P>
</DIV>
</DIV>
<DIV id="page_23">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Sammanfattning</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft18">en ökad betoning på cyberfrågor i samhället. Beroende av digital in- frastruktur och tjänster genom utbredd uppkoppling till internet och anslutna enheter medför ökade sårbarheter vilket ställer högre krav på informations- och cybersäkerhet. Samtidigt som digitala utveck- lingen går snabbt ökar inte informations- och cybersäkerheten i samma takt. Detta gap, och om det ökar ytterligare, medför att ris- kerna för att drabbas av cyberangrepp eller andra <NOBR>it-incidenter</NOBR> också ökar. Gapet kan dock minska genom olika åtgärder som bidrar till att stärka informations- och cybersäkerheten.</P>
<P class="p70 ft48">Nya hot, sårbarheter och risker</P>
<P class="p71 ft18">På samma sätt som digitaliseringen av samhällets olika verksamheter kontinuerligt medför fördelar kan den också föra med sig nya eller förändrade hot, sårbarheter och risker som påverkar informations- och cybersäkerheten i bl.a. nätverks- och informationssystem hos olika verksamhetsutövare. Det innebär att risken för cyberangrepp ökar mot olika samhällsverksamheter, särskilt vad gäller säkerhets- känsliga och andra samhällsviktiga verksamheter, som många har höga skyddsvärden. Hoten kommer främst från statliga aktörer som genomför cyberangrepp i olika syften, bl.a. som förberedelser för cyberangrepp och som industrispionage. Hoten kommer även från kriminella aktörer och ideellt motiverade aktörer, som har förmåga till cyberangrepp för olika syften.</P>
<P class="p72 ft17">Olika förändringsfaktorer, som utvecklingen av t.ex. <NOBR>5G-system,</NOBR> molntjänster, artificiell intelligens och kvantdatorer, medför nya möjligheter men även ökade sårbarheter och risker som kan utnytt- jas och orsaka skada på olika säkerhetskänsliga och samhällsviktiga funktioner och verksamhet men också i näringslivet, t.ex. försvars- industrin.</P>
<P class="p73 ft46">Vidare skapar beroendeförhållanden mellan olika samhällsviktiga verksamheter, t.ex. elektronisk kommunikation och energisektorn, sårbarheter och risker, och cyberangrepp mot en samhällsviktig verk- samhet kan få allvarliga och omfattande följder för en eller flera andra sådana verksamheter och även för totalförsvarets verksamhet.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">22</P>
</DIV>
</DIV>
<DIV id="page_24">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td70"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td71"><P class="p2 ft37">Sammanfattning</P></TD>
</TR>
</TABLE>
<P class="p5 ft48">Allvarliga brister i informations- och cybersäkerheten</P>
<P class="p74 ft19">En tillräcklig informations- och cybersäkerhet kan endast uppnås när alla de olika förutsättningar som krävs för en sådan säkerhet är upp- fyllda, dvs. enhetlig styrning och organisering av arbetet med informa- tions- och cybersäkerhet, ett systematiskt informationssäkerhetsarbete i verksamheten och tekniska åtgärder samt tillsyn av efterlevnaden av regelsystem och ställda krav.</P>
<P class="p11 ft18">Av offentliga utredningar och myndighetsrapporter framkommer att det finns allvarliga brister i informations- och cybersäkerheten på många olika områden inom en rad olika samhällsverksamheter. Detta gäller såväl statliga myndigheters verksamhet som regioner och kom- muner men även organisationer och näringslivet. Av utredningarna och rapporterna framkommer att allvarliga brister finns hos många verksamhetsutövare, både vad avser det systematiska informations- säkerhetsarbetet och vad avser säkerhet i olika nätverks- och infor- mationssystem. Vidare framkommer att det finns allvarliga brister i styrning och organisering, kunskap och kompetens samt resurstill- delning inom området för informations- och cybersäkerhet.</P>
<P class="p58 ft18">Utredningen gör ingen annan bedömning av redovisade brister i och nivån på informations- och cybersäkerheten än den som redo- visas i de offentliga utredningar och rapporter som offentliggjorts under den senaste femårsperioden och lägger dessa till grund för slut- satsen att det måste anses behövas kraftfulla och omfattande åtgärder på många olika områden för att stärka informations- och cybersäker- heten, dels mer allmänt i samhällets olika verksamheter men särskilt vad avser säkerhetskänsliga och andra samhällsviktiga verksamheter. De allvarliga bristerna innebär uppenbara risker för cyberangrepp mot nätverveks- och informationssystem som kan medföra allvarliga konsekvenser för såväl hela samhället som aktörer inom olika verk- samhetsområden, och som därigenom även kan få allvarliga konse- kvenser för verksamheten i totalförsvaret.</P>
<P class="p11 ft18">Uppdraget är avgränsat till att överväga om det finns anledning att införa en nationell särskilt anpassad certifieringsordning för IKT- produkter, <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nätverks- och informationssystem i säkerhetskänslig verksamhet och/eller krav på godkännande av en myndighet innan sådana <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nätverks- och informationssystem får driftsättas. Utredningen kan samtidigt konstatera att enskilda åtgärder av detta slag inte ensamt</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">23</P>
</DIV>
</DIV>
<DIV id="page_25">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Sammanfattning</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft46">utgör varken tillräckliga åtgärder för att möta generella krav på in- formations- och cybersäkerhet eller ens möta kraven på säkerhet i nätverks- och informationssystem i säkerhetskänslig verksamhet, då även övriga förutsättningar för en fullgod informations- och cyber- säkerhet måste föreligga. Eftersom utredningens uppdrag är inriktat på att överväga de åtgärder som tas upp i utredningsdirektiven har utredningen därför inte närmare övervägt de övriga åtgärder som bör vidtas för att stärka informations- och cybersäkerheten mer allmänt eller i den säkerhetskänsliga verksamheten, utom när det gäller be- hovet av styrning och samordning då dessa behov även utgör grund- läggande förutsättningar för de överväganden som utredningen gör i betänkandet.</P>
<P class="p75 ft48">Behov av ökad styrning och samordning</P>
<P class="p76 ft17">Flera offentliga utredningar och rapporter har pekat på behovet av att stärka styrningen och samordningen av digitaliseringen, särskilt när det gäller utbyggnad av infrastruktur och samordning av arbete med informations- och cybersäkerhet. Den nationella marknaden utgör en avreglerad marknad med olika skikt av infrastrukturpro- ducenter, operatörer och tjänsteutvecklare. Sverige är nationellt i en situation där nästan alla grundläggande samhällsfunktioner förut- sätter och bygger på en fungerande digital infrastruktur. Det saknas dock regler och systematik för och samordning av den digitala utveck- lingen och utbyggnaden.</P>
<P class="p72 ft17">Mot bakgrund av mängden offentliga aktörer är detta en uppgift av betydande omfattning då frågan berör bl.a. fler än 200 statliga förvaltningsmyndigheter, 21 länsstyrelser, 20 regioner, 290 kommu- ner, 80 domstolar, 37 lärosäten, och 40 helägda statliga bolag. Det är en omfattande förvaltning som kompliceras av stora skillnader mellan verksamheterna vad gäller uppdrag, storlek, finansiella resurser och kompetens. Till detta kommer näringslivets verksamheter och alla företag som på något sätt utvecklar, driver och förvaltar samhällets digitala infrastruktur.</P>
<P class="p73 ft46">Motsvarande gäller det övergripande arbetet med att stärka infor- mations- och cybersäkerheten i samhället i stort men även inom säker- hetskänslig och annan samhällsviktig verksamhet. Varje verksamhets- utövare har ansvar för sin egen informations- och cybersäkerhet, bl.a.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">24</P>
</DIV>
</DIV>
<DIV id="page_26">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td70"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td71"><P class="p2 ft37">Sammanfattning</P></TD>
</TR>
</TABLE>
<P class="p77 ft18">vad avser säkerhet i nätverks- och informationssystem. Det saknas emellertid i dag tillsyn över såväl statliga myndigheters verksamhet som regioners och kommuners verksamhet avseende nätverks- och informationssystem, utom såvitt avser säkerhetskänslig verksamhet och verksamhet som avser vissa samhällsviktiga och digitala tjänster. Ansvaret för tillsynsverksamhet av informations- och cybersäkerhet på dessa reglerade områden utövas dock av flera olika samråds- och tillsynsmyndigheter med i vissa fall tillämpning av olika regelsystem. Ansvaret för informations- och cybersäkerhet finns således hos många olika aktörer och styrningen och samordningen brister på både statlig, regional och kommunal nivå. Bristen på styrning och samordning medför ökade sårbarheter och risker i nätverks- och in- formationssystem i säkerhetskänsliga och andra samhällsviktiga verk- samheter. Utredningen bedömer att det bl.a. finns behov av nationell styrning och samordning vid framtagande av en gemensam <NOBR>hot-,</NOBR> sår- barhets- och riskbedömning till stöd i arbetet med informations- och cybersäkerhet. Berörda myndigheter och övriga aktörer behöver där- för i större utsträckning än vad som nu sker samverka och samråda i frågor som avser informations- och cybersäkerhet.</P>
<P class="p78 ft47">Bristande förutsättningar för en nationell certifieringsordning för nätverks- och informationssystem i säkerhetskänslig verksamhet</P>
<P class="p79 ft17">En nationell särskilt anpassad certifieringsordning för <NOBR>IKT-produk-</NOBR> ter, <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> som används i nätverks- och informa- tionssystem i säkerhetskänslig verksamhet <SPAN class="ft49">kan </SPAN>– när vissa förutsätt- ningar är uppfyllda – vara en åtgärd som kan stärka säkerheten i dessa system.</P>
<P class="p80 ft18">Utredningen bedömer att bestämmelserna i säkerhetsskyddslagen och säkerhetsskyddsförordningen redan ger berörda myndigheter möjlighet att föreskriva att certifierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer,</NOBR> som uppfyller vissa säkerhetskrav, ska användas i nät- verks- och informationssystem i säkerhetskänslig och även medge undantag från en sådan skyldighet.</P>
<P class="p80 ft46">En nationell särskilt anpassad ordning för säkerhetskänslig verk- samhet ställer krav på att det finns en nationellt framtagen gemen- sam <NOBR>hot-,</NOBR> sårbarhets- och riskbedömning som kan ligga till grund</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">25</P>
</DIV>
</DIV>
<DIV id="page_27">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Sammanfattning</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p81 ft17">för säkerhetskrav och framtagande av s.k. skyddsprofiler för olika <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i dessa system. En sådan bedömning är också en förutsättning för inriktning av det nationella arbetet med det europeiska ramverket för cybersäkerhetscertifier- ing. I dag saknas emellertid nationellt organisation och verksamhet som ansvarar för och tar fram en sådan nationell <NOBR>hot-,</NOBR> sårbarhets- och riskbedömning.</P>
<P class="p82 ft18">Vidare är det europeiska ramverket för cybersäkerhetscertifiering under framtagande och utveckling. Det råder dock i dag oklarhet om i vilken omfattning som certifierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> kommer att vara tillgängliga med stöd av detta ramverk, bl.a. vad gäller <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> på den högsta assuransnivån och som även kan användas – vid behov efter anpass- ning – i säkerhetskänslig verksamhet.</P>
<P class="p83 ft46">Det råder även osäkerhet om det finns marknadsmässiga förut- sättningar att införa en nationell särskilt anpassad certifieringsordn- ing för säkerhetskänslig verksamhet då den svenska marknaden bedöms vara allt för liten för att företag ska få ekonomiska incita- ment för att låta certifiera <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> för användning i nätverk- och informationssystem i sådan verksam- het. Även om det skulle införas krav på obligatorisk certifiering innebär det inte någon skyldighet att tillhandhålla sådana produkter på den svenska marknaden.</P>
<P class="p84 ft17">Härtill kommer att det nationella certifieringsorganet CSEC vid Försvarets materielverk redan i dag ansvarar för en nationell ordning för certifiering av <NOBR>it-säkerhet</NOBR> i produkter och system, även om den nationella <SPAN class="ft49">Common </SPAN><NOBR><SPAN class="ft49">Criteria</SPAN>-baserade</NOBR> certifieringsordningen kan komma att ersättas av en europeisk ordning för cybersäkerhetscerti- fiering (EUCC). Den nationella certifieringsordningen kan på sikt utvecklas till att omfatta certifiering av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nätverks- och informationssystem i säkerhetskänslig verksamhet.</P>
<P class="p85 ft17">Sammantaget gör utredningen bedömningen att det för närvarande inte föreligger tillräckliga skäl att föreslå att det införs en nationell särskilt anpassad certifieringsordning för <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> som används i nätverks- och informationssystem i säkerhetskänslig verksamhet.</P>
<P class="p82 ft46">Det finns dock behov av att berörda myndigheter gemensamt tar fram <NOBR>hot-,</NOBR> sårbarhets- och riskbedömningar samt skyddsprofiler för</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">26</P>
</DIV>
</DIV>
<DIV id="page_28">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td70"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td71"><P class="p2 ft37">Sammanfattning</P></TD>
</TR>
</TABLE>
<P class="p86 ft19">olika <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> som ska användas i nätverks- och informationssystem i säkerhetskänslig verksamhet.</P>
<P class="p65 ft18">Utredningen föreslår därför att regeringen ger Försvarets mate- rielverk (FMV) i uppdrag att, i samråd och samverkan med främst de myndigheter som ingår i det nationella cybersäkerhetscentret, ut- veckla formerna för hur gemensamt framtagna <NOBR>hot-,</NOBR> sårbarhets- och riskbedömningar samt skyddsprofiler kan tas fram till stöd för krav- ställning på <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> som ska användas i nätverks- och informationssystem i säkerhetskänslig verksamhet. En sådan nationellt framtagen bedömning med åtföljande kravställning kan även till del utgöra underlag i det nationella arbetet inom ramen för det europeiska ramverket för cybersäkerhetscertifiering.</P>
<P class="p65 ft18">Utredningen bedömer vidare att informations- och cybersäker- heten i statliga myndigheters verksamhet i övrigt behöver stärkas. Åtgärder bör därför vidtas som bidrar till att myndigheterna använ- der certifierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nätverks- och informationssystem i verksamheten om inte detta framstår som olämpligt eller omöjligt att genomföra. Myndigheten för samhälls- skydd och beredskap (MSB) bedöms redan i dag ha bemyndigande att i föreskrifter ange sådant krav på statliga myndigheter. En sådan ordning kan även bidra med kunskap och erfarenheter om behov och användning av certifierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nätverks- och informationssystem i statlig verksamhet och även ligga till grund för det nationella arbetet med <NOBR>hot-,</NOBR> sårbarhets- och risk- bedömningar, som utredningen föreslår ska genomföras.</P>
<P class="p87 ft47">Utvidgad samrådsskyldighet och möjligheter att besluta åtgärdsföreläggande och förbud mot driftsättning av informationssystem i säkerhetskänslig verksamhet</P>
<P class="p88 ft18">Med utgångspunkt i utredningsdirektiven och mot bakgrund av de allvarliga brister i informations- och cybersäkerheten som framkom- mer av offentliga utredningar och myndighetsrapporter, finner utred- ningen skäl att överväga ett antal åtgärder som berör driftsättning och väsentlig förändring av informationssystem i säkerhetskänslig verksamhet. Det rör sig bl.a. om kontrollstationer såsom krav på god- kännande, särskild säkerhetsskyddsbedömning, lämplighetsprövning, samråd, förelägganden och förbud.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">27</P>
</DIV>
</DIV>
<DIV id="page_29">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Sammanfattning</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p89 ft19">Utredningen kan konstatera att ett eventuellt införande av krav på att informationssystem som behandlar hemliga och/eller kvalifi- cerat hemliga uppgifter ska godkännas av en utpekad central myn- dighet innan driftsättning, kan bidra till att stärka skyddet av in- formationssystem som har betydelse för säkerhetskänslig verksam- het. Denna typ av godkännandeförfarande är vanligt förekommande i andra länder och kan i sig anses utgöra en rimlig åtgärd för att stärka skyddet för nationell säkerhet.</P>
<P class="p82 ft19">Utredningen bedömer att nu pågående lagstiftningsåtgärder, där- ibland de av regeringen föreslagna ändringarna i säkerhetsskydds- lagen (prop. 2020/21:194), inte kan likställas med ett formellt myn- dighetsgodkännande och inte heller kan anses utgöra tillräckliga åtgärder för att skydda informationssystemen i säkerhetskänslig verk- samhet. Ett krav på formellt förhandsgodkännande från en central myndighet torde i och för sig medföra en oberoende tredjeparts- bedömning som bidrar till skapandet av en minimistandard för kon- troll av säkerhet och mer enhetliga säkerhetskrav hos verksamhets- utövarna.</P>
<P class="p83 ft18">Utredningen gör samtidigt bedömningen att ett nationellt införande av ett generellt krav på myndighetgodkännande av informations- system i säkerhetskänslig verksamhet medför ett betydande behov av omorganisering och ökade resurser hos samråds- och tillsyns- myndigheter. Vidare skulle ett sådant krav på godkännande behöva utformas i linje med övriga krav på säkerhetsskydd för informations- system, vilket alltjämt medför att en stor mängd säkerhetskänslig information, om än på lägre nivå, faller utanför regleringen. Innan införandet av ett krav på godkännande övervägs ytterligare bör där- för utvärderas om redan föreslagna författningsändringar på säker- hetsskyddsområdet i förening med en stärkt samrådsroll för Säker- hetspolisen och Försvarsmakten utgör tillräckliga åtgärder när det gäller informationssystem i säkerhetskänslig verksamhet (se nedan). Till detta kommer att vissa centrala myndigheter redan inom befint- liga mandat kan föreskriva om bl.a. krav på certifierade <NOBR>IKT-produk-</NOBR> ter, <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i informationssystem i säkerhetskänslig verksamhet (se ovan) och även som en säkerhetsskyddsåtgärd före- lägga en verksamhetsutövare att använda sådana produkter, tjänster och processer.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">28</P>
</DIV>
</DIV>
<DIV id="page_30">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td70"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td71"><P class="p2 ft37">Sammanfattning</P></TD>
</TR>
</TABLE>
<P class="p90 ft20">Ett utvidgat samrådsförfarande och utökade befogenheter</P>
<P class="p91 ft46">För att göra användningen av ett informationssystem i säkerhets- känslig verksamhet säkrare, och därmed stärka skyddet för Sveriges säkerhet, föreslår utredningen ändringar i säkerhetsskyddslagen. Föreslagna ändringar innebär bl.a. följande åtgärder.</P>
<P class="p92 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">Säkerhetsskyddsförordningens bestämmelser om förberedande åtgärder inför driftsättning av informationssystem ska överföras till säkerhetsskyddslagen.</SPAN></P>
<P class="p93 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">Befintligt krav på verksamhetsutövare att göra en särskild säker- hetsskyddsbedömning utvidgas till att även omfatta planerade väsentliga förändringar av informationssystem som kan ha bety- delse för säkerhetskänslig verksamhet.</SPAN></P>
<P class="p94 ft46"><SPAN class="ft27">–</SPAN><SPAN class="ft51">Verksamhetsutövare ska pröva lämpligheten av en planerad drift- sättning eller väsentlig förändring av informationssystem som har betydelse för säkerhetskänslig verksamhet. Om lämplighetspröv- ningen leder till bedömningen att det planerade förfarandet är olämpligt från säkerhetsskyddssynpunkt ska det inte inledas.</SPAN></P>
<P class="p95 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">Lämplighetsprövningen ska, liksom den särskilda säkerhetsskydds- bedömningen, dokumenteras.</SPAN></P>
<P class="p96 ft53"><SPAN class="ft27">–</SPAN><SPAN class="ft52">I fall verksamhetsutövarens lämplighetsprövning leder till bedöm- ningen att det planerade förfarandet inte är olämpligt från säker- hetsskyddssynpunkt ska verksamhetsutövaren – om övriga rekvi- sit för samråd är uppfyllda – samråda med samrådsmyndigheten (Säkerhetspolisen eller Försvarsmakten).</SPAN></P>
<P class="p97 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">Verksamhetsutövares skyldighet att, inför driftsättning eller väsent- lig förändring av vissa informationssystem, samråda med Säker- hetspolisen eller Försvarsmakten ska inte begränsas till att ske i form av en skriftlig process.</SPAN></P>
<P class="p98 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">Säkerhetspolisen och Försvarsmakten ska, i egenskap av samråds- myndigheter enligt säkerhetsskyddslagen, få inleda samråd och inom ramen för ett samråd besluta åtgärdsföreläggande mot verk- samhetsutövaren att vidta en säkerhetsskyddsåtgärd i berört in- formationssystem.</SPAN></P>
<P class="p99 ft53"><SPAN class="ft27">–</SPAN><SPAN class="ft52">Samrådsmyndigheterna ska även få möjlighet att förbjuda en ur säkerhetsskyddssynpunkt olämplig driftsättning eller förändring</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">29</P>
</DIV>
</DIV>
<DIV id="page_31">
<DIV id="p31dimg1">
<INGENBILD zsrc="H9B36331x1.jpg/" id="p31img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Sammanfattning</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p100 ft17">av informationssystem och besluta sanktionsavgift mot den som åsidosätter samrådsskyldigheten eller agerar i strid med meddelat förbud.<SPAN class="ft54">1</SPAN></P>
<P class="p101 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">Tillsynsmyndigheterna får en ny undersökningsbefogenhet genom möjligheten att, vid äventyr av vite, få tillgång till verksamhets- utövares informationssystem.</SPAN></P>
<P class="p102 ft48">Konsekvenser</P>
<P class="p103 ft21">Utredningen bedömer att skyddet för Sveriges säkerhet stärks genom förslagen.</P>
<P class="p104 ft19">Utredningens förslag att Försvarets materielverk (FMV) ska ges i uppdrag att i samråd och samverkan med andra myndigheter och aktörer ta fram formerna för arbetet med en nationell gemensam <NOBR>hot-,</NOBR> sårbarhets- och riskbedömning kan antas medföra vissa kost- nader. Med anledning av dessa kostnader bör FMV:s anslag ökas. Eventuella kostnader för övriga berörda myndigheter bedöms rym- mas inom befintliga anslagsramar.</P>
<P class="p105 ft17">För de verksamhetsutövare som kommer att träffas av övriga för- slag kan de medföra vissa administrativa bördor och ökade kostnader som bedöms vara begränsade, främst när det gäller det utvidgade samrådsförfarandet.</P>
<P class="p106 ft18">Förslagen innebär även vissa ökade förvaltningskostnader för de myndigheter som kommer att vara samrådsmyndigheter (Säkerhets- polisen och Försvarsmakten). Dessa kostnader är främst beroende av i vilken omfattning som samråd kommer att ske och är i dag svåra att uppskatta. Eventuella kostnader bedöms emellertid vara begrän- sade och kunna rymmas inom befintlig anslagsram och förväntat utökat anslag (se prop. 2020/21:30). Förslagen bedöms också med- föra ökat behov av samverkan mellan samråds- och tillsynsmyn- digheter som kan generera vissa begränsade kostnader, vilka bedöms kunna rymmas inom myndigheternas anslag.</P>
<P class="p107 ft58"><SPAN class="ft56">1</SPAN><SPAN class="ft57">De utökade befogenheterna motsvarar i allt väsentligt vad som föreslås gälla (prop. 2021/21:194) för tillsynsmyndigheter vid verksamhetsutövares anskaffning och överlåtelse av säkerhets- känslig verksamhet. När det gäller verksamhetsutövarens skyldigheter är dock särskilt långt- gående krav på säkerhet motiverade vid just driftsättning och väsentlig förändring av informa- tionssystem som kan komma att behandla säkerhetsklassificerade uppgifter.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">30</P>
</DIV>
</DIV>
<DIV id="page_32">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td70"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td71"><P class="p2 ft37">Sammanfattning</P></TD>
</TR>
</TABLE>
<P class="p64 ft18">Förslaget om en ny undersökningsbefogenhet för tillsynsmyn- digheterna ökar möjligheten till effektiv tillsyn och bedöms inte på- verka kostnaderna för tillsynsmyndigheterna i nämnvärd utsträckning.</P>
<P class="p13 ft17">Förslaget om att tillsynsmyndigheterna ska ha rätt att få tillgång till verksamhetsutövares informationssystem kan leda till att Krono- fogdemyndighetens hjälp behövs vid ett antal tillfällen, men ökningen bedöms inte bli särskilt stor och förväntas inte påverka myndighe- tens verksamhet mer än att konsekvenserna kan hanteras inom be- fintliga anslag för myndigheten.</P>
<P class="p108 ft17">Också den nya bestämmelsen om sanktionsavgift kan komma att bidra till en ökad efterlevnad av regelsystemet och effektivare tillsyn samt i begränsad omfattning öka antalet indrivningsärenden hos Kronofogdemyndigheten.</P>
<P class="p109 ft18">Vidare medför förslagen i fråga om överklagande av samrådsmyn- dighetens beslut att de allmänna förvaltningsdomstolarna får något ökad måltillströmning och därmed fler arbetsuppgifter. Utredningen bedömer emellertid att ökningen av antalet mål kommer att bli be- gränsad och att kostnadsökningarna för domstolarna bör rymmas inom befintliga anslagsramar.</P>
<P class="p80 ft18">Förslagen påverkar i viss mån den kommunala självstyrelsen. Den föreslagna regleringen går dock inte utöver vad som är nödvändigt för att skydda de mest skyddsvärda verksamheterna i samhället.</P>
<P class="p13 ft17">Även om någon ny kriminalisering inte föreslås kan förslagen antas ha vissa brottsförebyggande effekter. Eftersom de utökade befogenheterna torde underlätta för Säkerhetspolisens brottsbekäm- pande verksamhet på säkerhetsskyddsområdet, och då skärpta krav ställs för driftsättning respektive förändring av informationssystem i säkerhetskänslig verksamhet, bedöms förslagen bl.a. motverka data- intrång.</P>
<P class="p80 ft18">Utredningen bedömer att nu nämnda förslag, utöver vad som anförts ovan, inte berör andra områden som anges i 15 § kommitté- förordningen. Förslagen och bedömningarna i övrigt, bl.a. att certi- fierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i ökad utsträckning bör användas av statliga myndigheter, bedöms inte medföra några konsekvenser som behöver redovisas närmare i konsekvensanalysen.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">31</P>
</DIV>
</DIV>
<DIV id="page_33">
</DIV>
<DIV id="page_34">
<P class="p0 ft16">Summary</P>
<P class="p56 ft48">Remit</P>
<P class="p110 ft18">The European Union (EU) has adopted a number of strategies, policies and regulations to strengthen cybersecurity in the EU and its Member States<SPAN class="ft59">. </SPAN><SPAN class="ft45">Regulation (EU) 2019/881 of the European Parlia- ment and of the Council of 17 April 2019 on ENISA (the European Union Agency for Cybersecurity) and on information and communica- tions technology cybersecurity certification and repealing Regulation (EU) No 526/2013 (Cybersecurity Act) </SPAN>entered into force on 27 June 2019. The main purpose of this Regulation is to achieve a high level of cybersecurity, cyber resilience and trust within the Union, and to support the proper functioning of the internal market. The European cybersecurity certification framework, i.e. the EU Cybersecurity Act and implementing acts issued pursuant to the Cybersecurity Act, will regulate cybersecurity certification ensuing from a European cyber- security certification scheme laid down by the Commission.</P>
<P class="p58 ft19">The Inquiry’s remit for this first part consisted of proposing the adaptations and supplementary national statutory provisions neces- sitated by the EU Cybersecurity Act and which must be in place when the entire Regulation begins to apply on 28 June 2021. The remit also included considering and proposing which existing national authority should be designated to perform the tasks and be assigned the areas of responsibility ensuing from the Cybersecurity Act, in- cluding the task of supervising compliance with the European cyber- security certification framework.</P>
<P class="p111 ft46">The Inquiry submitted its interim report<SPAN class="ft60">, Supplementary provi- sions to the EU Cybersecurity Act </SPAN>(SOU 2020:25) in September 2020. Subsequent to the Interim Report of the Inquiry being circulated for comment, the Government has submitted a Bill 2020/21:186 <SPAN class="ft60">Kom- pletterande bestämmelser till EU:s cybersäkerhetsakt </SPAN>[Supplementary</P>
<P class="p112 ft31">33</P>
</DIV>
<DIV id="page_35">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Summary</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p60 ft19">provisions to the EU Cybersecurity Act] to the Riksdag proposing a new act containing supplementary provisions to the EU Cyber- security Act. The proposed act includes supplementary national provi- sions on a national authority for cybersecurity certification, super- vision, fines, and the procedure for cybersecurity certification. On 9 June 2021, the Riksdag passed the government bill and decided that the Act with supplementary provisions to the EU Cybersecurity Act will enter into force on 28 June 2021. In connection with the act entering into force, the Government has designated the Swedish Defence Materiel Administration (FMV) as the national authority for cybersecurity certification with the tasks ensuing from the European cybersecurity certification framework, i.e. the EU Cyber- security Act and the implementing regulations to be issued with the support of the Cybersecurity Act.</P>
<P class="p61 ft17">At the same time, it should be noted that measures relating to areas such as defence and national security fall outside the com- petences of the EU (Article 4(2) of the EU Treaty). Article 1(2) of the EU Cybersecurity Act therefore states that the Regulation is without prejudice to the competences of the Member States regard- ing activities concerning public security, defence, national security and the activities of the State in areas of criminal law.</P>
<P class="p62 ft17">In the terms of reference of the Inquiry, the Government stresses that it must be possible to impose special security requirements on network and information systems in order to protect national security and that there is now reason to consider whether additional national requirements should be introduced to ensure that network and in- formation systems that will be used in <NOBR>security-sensitive</NOBR> activities meet the requirements necessary to maintain the protection of such activities.</P>
<P class="p62 ft19">The Inquiry’s remit therefore includes assessing whether there is reason to introduce national special requirements that ICT products, services and processes which are part of a network and information system that will be used in <NOBR>security-sensitive</NOBR> activities must be cer- tified under a specially adapted national certification scheme designed for such operations.</P>
<P class="p63 ft17">The remit also includes considering whether there is reason to introduce administrative approval requirements for such ICT products, services and processes before they may be deployed in certain or all <NOBR>security-sensitive</NOBR> activities.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">34</P>
</DIV>
</DIV>
<DIV id="page_36">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td72"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td73"><P class="p2 ft37">Summary</P></TD>
</TR>
</TABLE>
<P class="p113 ft17">The remit includes an international comparison of legislation that entails special national security requirements on ICT products, services and processes that are part of a network or information system in countries deemed to be of interest.</P>
<P class="p65 ft46">For network and information systems used in or of importance to <NOBR>security-sensitive</NOBR> activities, there are currently special requirements in the Protective Security Ordinance (2018:658). These include pre- paratory measures prior to the deployment of information systems and ongoing security requirements imposed on these information systems. The provisions also contain requirements for consultation with the Swedish Security Service or the Swedish Armed Forces in cases where the information systems may process classified informa- tion of a certain type and information systems where unauthorised access to these systems could cause harm to Sweden’s security that is not insignificant. The provisions prescribe that the operator is responsible for ensuring that information systems comply with the information security requirements.</P>
<P class="p114 ft47">The growth of digitalisation and the requirement on information security and cybersecurity</P>
<P class="p67 ft18">Digitalisation is described as the most powerful force for change in our time and has resulted in a growing proportion of societal activities becoming dependent on networks and information systems, which are used by government agencies, organisations, companies and private individuals. Digitalisation has created new forms of communication, data processing and data storage that offer major opportunities to improve and streamline different activities.</P>
<P class="p109 ft19">Digitalisation affects the whole of society and this area can be described as horizontal in that it covers all sectors of society. Digital transformation is progressing very rapidly on many levels, globally as well as in Sweden, and central government authorities, regions, municipalities and actors in the business community have been pursuing various digitalisation projects for many years. Today, many information processing systems are based primarily on digital informa- tion and communications technology (ICT).</P>
<P class="p65 ft46">Following in the wake of increasing globalisation and digitalisa- tion, which increase dependencies over national and sectoral borders</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">35</P>
</DIV>
</DIV>
<DIV id="page_37">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Summary</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft17">and across areas of responsibility, is also an increased focus on cyber issues in society. Dependency on digital infrastructure and services through widespread Internet connectivity and connected devices results in increased vulnerability, which places higher demands on information security and cybersecurity. Even though digital trans- formation is progressing rapidly, information security and cyber- security are not keeping pace. This gap, and if it increases further, also increases the risk of being subjected to <NOBR>cyber-attacks</NOBR> or other IT incidents. However, this gap can be reduced by means of various measures that help to strengthen information security and cyber- security.</P>
<P class="p70 ft48">New threats, vulnerabilities and risks</P>
<P class="p71 ft18">Just as the digitalisation of society’s various activities continues to bring benefits, it can also bring with it new or changed threats, vulnerabilities and risks which can have an impact on information security and cybersecurity in the network and information systems of various operators. This means that the risk of <NOBR>cyber-attacks</NOBR> against various critical infrastructures is increasing, in particular against <NOBR>security-sensitive</NOBR> activities and other essential services, many of which have critical assets. The threats come primarily from state actors who carry out <NOBR>cyber-attacks</NOBR> for various purposes, including pre- parations for <NOBR>cyber-attack</NOBR> and as industrial espionage. The threats also come from criminal actors and ideologically motivated actors who have the capacity to carry out <NOBR>cyber-attacks</NOBR> for various purposes.</P>
<P class="p106 ft18">Various factors that can cause significant change, such as the development of 5G systems, cloud services, artificial intelligence and quantum computers, bring with them new opportunities, but also increased vulnerabilities and risks that can be exploited and cause harm to various <NOBR>security-sensitive</NOBR> and essential services and activities, but also to business and industry, such as the defence industry.</P>
<P class="p115 ft46">Furthermore, dependencies between various essential services and activities, such as electronic communications and the energy sector, create vulnerabilities and risks, and <NOBR>cyber-attacks</NOBR> on an essential service can have serious and extensive consequences for one or more of these services and also for the activities of Sweden's total defence.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">36</P>
</DIV>
</DIV>
<DIV id="page_38">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td72"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td73"><P class="p2 ft37">Summary</P></TD>
</TR>
</TABLE>
<P class="p116 ft61">Serious shortcomings in information security and cybersecurity</P>
<P class="p117 ft18">Adequate information security and cybersecurity can only be achieved when all the different conditions required for such security are met: uniform governance of information security and cybersecurity measures and how they are organised; systematic information security work in activities and technical measures; and supervision of com- pliance with the regulations and set requirements.</P>
<P class="p80 ft46">It has emerged from Swedish Government Official Reports and government agency reports that there are serious shortcomings in information security and cybersecurity in many different areas in a range of societal activities. This includes the activities of central government authorities as well as the regions and municipalities, but also the activities of organisations and the business community. It has emerged from Swedish Government Official Reports and govern- ment agency reports that there are serious shortcomings within the activities of many operators, both in terms of systematic informa- tion security work and the security of various network and informa- tion systems. Furthermore, there are serious shortcomings in gover- nance and how information security is organised, as well as know- ledge and skills and resource allocation in the area of information security and cybersecurity.</P>
<P class="p118 ft18">The Inquiry makes no other assessment of the identified short- comings in and level of information security and cybersecurity than that which is described in the Swedish Government Official Reports and government agency reports published over the last five years, and these have been the foundation for the conclusion that a need for powerful and comprehensive measures in many different areas to strengthen information security and cybersecurity must be deemed to exist; on the one hand, more generally in various societal activities, but in particular with regard to <NOBR>security-sensitive</NOBR> activities and other essential services. The serious shortcomings entail manifest risks of <NOBR>cyber-attacks</NOBR> against network and information systems that can have serious consequences for society as a whole as well as for actors in different spheres of activity, which thus can also have serious con- sequences for activities in Sweden’s total defence.</P>
<P class="p119 ft19">The remit is limited to considering whether there is reason to introduce a specially adapted national certification scheme for ICT</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">37</P>
</DIV>
</DIV>
<DIV id="page_39">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Summary</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft46">products, services and processes in network and information systems in <NOBR>security-sensitive</NOBR> operations and/or to introduce requirements for administrative approval before such ICT products, services and processes in network and information systems can be deployed. At the same time, the Inquiry can conclude that individual measures of this kind do not alone constitute sufficient measures to meet general requirements on information security and cybersecurity, or even to meet the security requirements of network and information systems in <NOBR>security-sensitive</NOBR> operations, since other conditions for adequate information security and cybersecurity must also exist. Because the Inquiry’s remit is focused on considering the measures set out in the terms of reference of the Inquiry, the Inquiry has therefore not considered in detail the other measures that ought to be taken to strengthen information security and cybersecurity more generally or in <NOBR>security-sensitive</NOBR> activities, apart from the need for governance and coordination, since these needs also constitute fundamental conditions for the Inquiry’s considerations in its report.</P>
<P class="p120 ft48">Need for increased governance and coordination</P>
<P class="p71 ft18">Swedish Government Official Reports and government agency reports have highlighted the need to strengthen the governance and coordina- tion of digitalisation, in particular with regard to the expansion of infrastructure and the coordination of work with information security and cybersecurity. The national market is a deregulated market with different layers of infrastructure producers, operators and service developers. Nationally, Sweden is in a situation where almost all basic social functions presuppose and are based on a functioning digital infrastructure. However, rules and a systematic approach to and co- ordination of the digital transformation and its expansion are lacking.</P>
<P class="p106 ft18">In view of the large number of public actors, this is a considerable task, since the matter concerns, among others, more than 200 central government administrative authorities, 21 county administrative boards, 20 regions, 290 municipalities, 80 courts, 37 higher education institu- tions, and 40 wholly <NOBR>state-owned</NOBR> companies. This is an extensive administration which is complicated by large differences between these activities in terms of remit, size, financial resources and powers. In addition, there are the activities of the business community and</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">38</P>
</DIV>
</DIV>
<DIV id="page_40">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td72"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td73"><P class="p2 ft37">Summary</P></TD>
</TR>
</TABLE>
<P class="p121 ft21">all companies that develop, operate and manage society’s digital infra- structure in some way.</P>
<P class="p122 ft18">The same applies to the overall work to strengthen information security and cybersecurity in society at large, but also in security- sensitive activities and other essential services. Each operator is responsible for their own information security and cybersecurity, including the security of their network and information systems. However, there is currently no supervision of either the activities of central government authorities or those of the regions and munic- ipalities in the area of network and information systems, except in the area of national security and activities relating to certain essential and digital services. However, supervision of information security and cybersecurity in these regulated areas is exercised by a number of responsible consultation and supervisory authorities with, in some cases, the application of different regulations. Responsibility for in- formation security and cybersecurity thus lies with many different actors, and governance and coordination are lacking at the central, regional and municipal levels. The lack of governance and coordina- tion increases the vulnerability of and risks in network and informa- tion systems in <NOBR>security-sensitive</NOBR> activities and other essential services. The Inquiry considers that there is a need for national governance and coordination in the development of a common threat, vulnerability and risk assessment to support work with information security and cybersecurity. The relevant authorities and other actors therefore need to cooperate and consult more extensively than is currently the case on questions relating to information security and cybersecurity.</P>
<P class="p123 ft62">Insufficient conditions for a national certification scheme for network and information systems</P>
<P class="p0 ft48">of importance to national security</P>
<P class="p124 ft18">A specially adapted national certification scheme for ICT products, services and processes used in network and information systems in <NOBR>security-sensitive</NOBR> activities <SPAN class="ft45">may </SPAN>– when certain conditions are met – be a measure that can strengthen the security of these systems.</P>
<P class="p111 ft46">The Inquiry considers that the provisions in the Protective Security Act and the Protective Security Ordinance already give the relevant authorities the powers to prescribe the use of certified ICT</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">39</P>
</DIV>
</DIV>
<DIV id="page_41">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Summary</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p125 ft17">products, services and processes that meet certain security require- ments in network and information systems in <NOBR>security-sensitive</NOBR> activities, and additionally admit the possibility of derogation from such a requirement.</P>
<P class="p62 ft18">A specially adapted scheme for <NOBR>security-sensitive</NOBR> activities is pre- dicated on the existence of a nationally developed and common threat, vulnerability and risk assessment that can serve as the basis for security requirements and the development of protection profiles for different ICT products, services and processes in these systems. Such an assessment is also essential to the focus of national efforts with the European cybersecurity certification framework. Today, however, there is no organisation or activity that is responsible for and produces such a national threat, vulnerability and risk assessment.</P>
<P class="p83 ft19">Furthermore, the European cybersecurity certification frame- work is still in the process of being produced and developed. How- ever, there is currently a lack of clarity on the extent to which certified ICT products, services and processes will be available under this frame- work, including ICT products, services and processes at the highest assurance level, that can also be used – if necessary after adaptation – in <NOBR>security-sensitive</NOBR> activities.</P>
<P class="p62 ft18">There is also uncertainty as to whether the market conditions exist for introducing a specially adapted national certification scheme for <NOBR>security-sensitive</NOBR> activities, as the Swedish market is judged to be too small for companies to have any financial incentives for having their ICT products, services and processes certified for use in net- works and information systems in such activities. Even if mandatory certification were to be introduced, it would not imply any require- ment to sell such products on the Swedish market.</P>
<P class="p62 ft17">In addition, the national certification body CSEC of the Swedish Defence Materiel Administration is already responsible for a national scheme for the certification of IT security in products and systems, although the national <SPAN class="ft49">Common </SPAN><NOBR><SPAN class="ft49">Criteria</SPAN>-based</NOBR> certification scheme may come to be replaced by a European cybersecurity certification scheme (EUCC). Ultimately, the national certification scheme can be developed to cover the certification of ICT products, services and processes in network and information systems in <NOBR>security-sensitive</NOBR> activities.</P>
<P class="p61 ft53">All in all, the Inquiry considers that there are currently insuffi- cient grounds for proposing the introduction of a specially adapted</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">40</P>
</DIV>
</DIV>
<DIV id="page_42">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td72"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td73"><P class="p2 ft37">Summary</P></TD>
</TR>
</TABLE>
<P class="p126 ft17">national certification scheme for ICT products, services and pro- cesses used in network and information systems in <NOBR>security-sensitive</NOBR> activities.</P>
<P class="p80 ft18">However, there is a need for affected government agencies to produce joint threat, vulnerability and risk assessments and protec- tion profiles for the ICT products, services and processes to be used in network and information systems in <NOBR>security-sensitive</NOBR> activities.</P>
<P class="p65 ft19">The Inquiry therefore proposes that, in consultation and coopera- tion with the government agencies that are part of the <SPAN class="ft63">nationellt cybersäkerhetscenter </SPAN>[national cybersecurity centre] in particular, the Government tasks the Swedish Defence Materiel Administration (FMV) with developing the forms for how common threat, vul- nerability and risk assessments and protection profiles can be pro- duced to support prescribing requirements on ICT products, services and processes to be used in network and information systems in <NOBR>security-sensitive</NOBR> activities. Such a nationally developed assessment with attendant prescribing of requirements can also be used as the basis for national efforts in the context of the European cybersecurity certification framework.</P>
<P class="p119 ft18">Furthermore the Inquiry considers that information security and cybersecurity in the activities of central government authorities in general need to be strengthened. Measures should therefore be taken that contribute to the use of certified ICT products, services and processes in network and information systems by government agencies in their activities unless this seems inappropriate or impos- sible to implement. The Swedish Civil Contingencies Agency (MSB) is already judged to have the authority to specify such requirements for central government authorities in regulations. Such a system could also contribute knowledge and experience about the needs and uses of certified ICT products, services and processes in network and information systems in public sector activities and also serve as the basis for work with threat, vulnerability and risk assessments at the national level, which the Inquiry proposes should be implemented.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">41</P>
</DIV>
</DIV>
<DIV id="page_43">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Summary</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p127 ft61">Expanding the consultation requirement and powers to issue remedial orders and prohibitions in relation to the deployment of information systems in security- sensitive operations</P>
<P class="p128 ft18">Based on the terms of reference of the Inquiry and in light of the serious shortcomings in information security and cybersecurity that have emerged from Swedish Government Official Reports and government agency reports, the Inquiry finds that there is reason to consider a number of measures relating to the deployment of and substantial changes in information systems in <NOBR>security-sensitive</NOBR> ac- tivities. These include checkpoints such as requiring administrative approval, special protective security assessment, suitability assess- ment, consultation, orders and prohibitions.</P>
<P class="p129 ft17">The Inquiry can conclude that introducing requirements on in- formation systems that process secret and/or top secret information to be approved by a designated central government agency prior to deployment could help to strengthen the protection of information systems of importance to national security. This type of approval procedure is common in other countries and can in itself be regarded as a reasonable measure for strengthening the protection of national security.</P>
<P class="p83 ft19">The Inquiry considers that the ongoing legislative measures, in- cluding the amendments proposed by the Government to the Pro- tective Security Act (Govt Bill 2020/21:194), cannot be equated with a formal administrative approval, nor can they be considered to constitute sufficient measures to protect information systems in <NOBR>security-sensitive</NOBR> activities. A requirement for formal prior approval by a central authority ought in itself to entail an independent third- party assessment which would contribute to the creation of a min- imum standard for checking security and more uniform security requirements among operators.</P>
<P class="p82 ft19">At the same time, the Inquiry assesses that the introduction nationally of a general requirement for administrative approval of information systems in <NOBR>security-sensitive</NOBR> activities would entail a significant need for reorganisation and increased resources for the consultation and supervisory authorities. In addition, such an adm- inistrative approval requirement would need to be designed in line with other protective security requirements for information systems,</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">42</P>
</DIV>
</DIV>
<DIV id="page_44">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td72"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td73"><P class="p2 ft37">Summary</P></TD>
</TR>
</TABLE>
<P class="p130 ft18">which would still mean that a large amount of <NOBR>security-sensitive</NOBR> information, albeit at a lower level, would fall outside the scope of the regulation. Therefore, before further consideration is given to the introduction of an administrative approval requirement, there ought to be an evaluation of whether already proposed legislative amendments in the area of protective security, combined with a strengthened consultative role for the Swedish Security Service and the Swedish Armed Forces, constitute sufficient measures when it comes to information systems in <NOBR>security-sensitive</NOBR> activities (see below). In addition, within their existing mandates certain central authorities can already make provision for requiring certified ICT products, services and processes in information systems in security- sensitive activities (see above) and also, as a protective security measure, order an operator to use such products, services and processes.</P>
<P class="p131 ft20">An expanded consultation procedure and greater powers</P>
<P class="p132 ft17">In order to make the use of an information system in security- sensitive activities more secure, and thereby strengthen the protec- tion of Sweden’s security, the Inquiry proposes amendments to the Protective Security Act. The proposed amendments include the following measures.</P>
<P class="p133 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">The provisions of the Protective Security Ordinance on preparatory measures prior to the deployment of information systems should be transferred to the Protective Security Act.</SPAN></P>
<P class="p93 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">Existing requirements on operators to perform a special security assessment are extended to also cover planned substantial changes in information systems that may be of importance to security- sensitive activities.</SPAN></P>
<P class="p93 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">Operators are to examine the suitability of a planned deployment of or substantial change in an information system that is of im- portance to </SPAN><NOBR>security-sensitive</NOBR> activities. If the suitability assess- ment leads to the conclusion that the planned procedure is un- suitable from a protective security point of view, the procedure is not to be commenced.</P>
<P class="p134 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">The suitability assessment, as well as the special security assess- ment, must be documented.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">43</P>
</DIV>
</DIV>
<DIV id="page_45">
<DIV id="p45dimg1">
<INGENBILD zsrc="H9B36345x1.jpg/" id="p45img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Summary</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p135 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">If the operator’s suitability assessment leads to an assessment that the intended procedure is not unsuitable from a protective security point of view, the operator – provided that other necessary prerequisites for consultation are met – is to consult with the consultation authority (the Swedish Security Service or the Swedish Armed Forces).</SPAN></P>
<P class="p136 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">The operator’s requirement to consult with the Swedish Security</SPAN></P>
<P class="p137 ft17">Service or the Swedish Armed Forces prior to the deployment of, or a substantial change in, certain information systems, should not be limited to a written process.</P>
<P class="p138 ft18"><SPAN class="ft21">–</SPAN><SPAN class="ft66">In their capacity as consultation authorities under the Protective Security Act, the Swedish Security Service and the Swedish Armed Forces are to be permitted to initiate consultation and within the context of a consultation to issue remedial orders to the operator to take a protective security measure in the information system.</SPAN></P>
<P class="p101 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">The consultation authorities are to also be given the power to prohibit a deployment of, or change in, an information system that is unsuitable from a protective security point of view, and to impose an administrative fine on a person who fails to comply with the consultation requirement, or acts in contravention of a prohibition that has been issued.</SPAN><SPAN class="ft54">1</SPAN></P>
<P class="p101 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">The supervisory authorities are given a new power of investiga- tion through the possibility, under penalty of a fine, of gaining access to operators’ information systems.</SPAN></P>
<P class="p70 ft48">Consequences</P>
<P class="p76 ft21">The Inquiry assesses that its proposals strengthen the protection of Sweden’s security.</P>
<P class="p139 ft46">The Inquiry’s proposal that the Swedish Defence Materiel Admin- istration (FMV), in consultation and collaboration with other author- ities, should be given the task of developing the forms for a common threat, vulnerability and risk assessment at national level entails</P>
<P class="p140 ft58"><SPAN class="ft56">1</SPAN><SPAN class="ft57">The expanded powers correspond in substance to what is proposed to apply (Govt Bill 2021/ 21:194) for supervisory authorities when operators acquire and transfer ownership of security- sensitive activities. However, with regard to requirements on the operator, especially far- reaching security requirements are justified in particular in connection with the deployment of, and substantial changes in, information systems which may process classified information.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">44</P>
</DIV>
</DIV>
<DIV id="page_46">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td72"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td73"><P class="p2 ft37">Summary</P></TD>
</TR>
</TABLE>
<P class="p126 ft17">certain costs. Due to these costs, FMV's appropriations should be increased. Any costs for other authorities are assessed to be within the existing appropriations.</P>
<P class="p13 ft17">For the operators who will be affected by the proposals, they may entail certain administrative burdens and increased costs, particularly in respect of the expanded consultation procedure, which are assessed as being limited.</P>
<P class="p65 ft19">The proposals also entail certain increased administrative costs for the authorities that will be the consultation authorities (the Swedish Security Service and the Swedish Armed Forces). These costs will depend primarily on the extent to which consultations will take place and are currently difficult to estimate. However, any costs are assessed as being limited and able to be accommodated within the existing appropriation framework and the anticipated increased appropria- tion (see Govt Bill 2020/21:30). Furthermore, the proposals are ex- pected to lead to an increased need for collaboration between the consultation and supervisory authorities, which may generate limited costs. These costs are assessed as being accommodated within the authorities’ appropriations.</P>
<P class="p141 ft17">The proposal for a new power of investigation for the supervisory authorities increases the chances of effective supervision and is not considered to have any significant impact on the costs for the super- visory authorities.</P>
<P class="p80 ft19">The proposal that the supervisory authorities should have the right to gain access to operators’ information systems may lead to the need for assistance from the Swedish Enforcement Authority on a number of occasions, but the increase is not assessed as being particularly great and is not anticipated to affect the Authority’s activities more than that the consequences can be accommodated within the existing appropriation for the Authority.</P>
<P class="p80 ft19">The new provision on an administrative fine may also contribute to increased compliance with the regulations and more effective supervision, and to a limited extent increase the number of enforce- ment cases at the Swedish Enforcement Authority.</P>
<P class="p119 ft46">Furthermore, the proposals concerning appeals against the deci- sions of the consultation authority mean that the administrative courts may have a slightly higher influx of cases and thus more tasks. However, the Inquiry assesses that the increase in the number of cases will be limited and that the increase in costs for the courts</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">45</P>
</DIV>
</DIV>
<DIV id="page_47">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Summary</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p81 ft21">ought to be accommodated within the existing appropriation frame- works.</P>
<P class="p142 ft17">The proposals affect municipal <NOBR>self-government</NOBR> to some extent. However, the proposed regulation does not go beyond what is nec- essary to protect the society’s most critical assets.</P>
<P class="p143 ft17">Even if no new criminalisation is proposed, the proposals can be assumed to have some crime prevention effects. Since the increased powers ought to facilitate the Swedish Security Service’s law enforce- ment activities in the area of protective security, and since more stringent requirements are imposed on the deployment of, and changes in, information systems in <NOBR>security-sensitive</NOBR> activities, it is assessed that the proposals will counteract computer fraud, among other things.</P>
<P class="p83 ft18">Beyond what has been stated above, the Inquiry assesses that the aforementioned proposals do not concern other areas specified in section 15 of the Committees Ordinance. The proposals and assess- ments otherwise, including that certified ICT products, services and processes should be used by government agencies to a greater extent, are assessed to have no consequences that need to be reflected in more detail in the impact assessment.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">46</P>
</DIV>
</DIV>
<DIV id="page_48">
<P class="p0 ft16">1 Författningsförslag</P>
<P class="p144 ft62"><SPAN class="ft48">1.1</SPAN><SPAN class="ft67">Förslag till lag om ändring i säkerhetsskyddslagen (2018:585)</SPAN></P>
<P class="p145 ft18">Härigenom föreskrivs i fråga om säkerhetsskyddslagen (2018:585) <SPAN class="ft45">dels </SPAN>att 6 kap. 3 och 4 §§, 7 kap. 9 § samt 8 kap. 4 § ska ha följande</P>
<P class="p0 ft21">lydelse,</P>
<P class="p146 ft17"><SPAN class="ft49">dels </SPAN>att det ska införas ett nytt kapitel, 3 a kap., och en ny para- graf, 7 kap. 2 a §, av följande lydelse.</P>
<P class="p147 ft26">3 a kap. Skyldigheter inför driftsättning av informationssystem</P>
<P class="p148 ft17"><SPAN class="ft68">1 § </SPAN>Innan ett informationssystem som har betydelse för säkerhets- känslig verksamhet tas i drift, eller i väsentliga avseenden förändras, ska verksamhetsutövaren genom en särskild säkerhetsskyddsbedöm- ning ta ställning till vilka säkerhetskrav i informationssystemet som är motiverade och se till att säkerhetsskyddet utformas så att dessa krav tillgodoses.</P>
<P class="p11 ft19">Med utgångspunkt i den särskilda säkerhetsskyddsbedömningen och övriga omständigheter ska verksamhetsutövaren pröva om drift- sättningen eller förändringen av informationssystemet är lämplig från säkerhetsskyddssynpunkt. Verksamhetsutövaren ska också samråda enligt 2 §.</P>
<P class="p149 ft21">Den särskilda säkerhetsskyddsbedömningen och lämplighetspröv- ningen ska dokumenteras.</P>
<P class="p150 ft17">Om lämplighetsprövningen leder till bedömningen att det plane- rade förfarandet är olämpligt från säkerhetsskyddssynpunkt, får det inte inledas.</P>
<P class="p151 ft31">47</P>
</DIV>
<DIV id="page_49">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Författningsförslag</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p152 ft18"><SPAN class="ft59">2 § </SPAN>Om lämplighetsprövningen enligt 1 § leder till bedömningen att det planerade förfarandet inte är olämpligt från säkerhetsskydds- synpunkt, ska verksamhetsutövaren samråda med den myndighet som regeringen bestämmer (samrådsmyndigheten), innan ett informations- system som kan förutses komma att behandla säkerhetsskyddsklassi- ficerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre tas i drift, eller i väsentliga avseenden förändras.</P>
<P class="p105 ft17">Samrådsskyldigheten gäller även i fråga om andra informations- system än sådana som anges i första stycket, om obehörig åtkomst till systemen kan medföra en skada för Sveriges säkerhet som inte är obetydlig.</P>
<P class="p105 ft17">Samrådsmyndigheten får besluta att förelägga verksamhetsutöva- ren att vidta åtgärder enligt denna lag och föreskrifter som har med- delats i anslutning till lagen.</P>
<P class="p153 ft21"><SPAN class="ft26">3 § </SPAN>Om verksamhetsutövaren inte samråder med samrådsmyndig- heten trots att det finns en skyldighet att göra det, får samrådsmyn- digheten inleda samrådet.</P>
<P class="p154 ft17"><SPAN class="ft68">4 § </SPAN>Ett informationssystem som ska användas i säkerhetskänslig verksamhet får inte tas i drift förrän det har godkänts från säkerhets- skyddssynpunkt av verksamhetsutövaren. Godkännandet ska doku- menteras.</P>
<P class="p155 ft53"><SPAN class="ft69">5 § </SPAN>Om ett beslut om föreläggande enligt 2 § inte följs eller om det planerade förfarandet är olämpligt från säkerhetsskyddssynpunkt även om ytterligare åtgärder vidtas, får samrådsmyndigheten besluta att driftsättningen eller förändringen av informationssystemet inte får genomföras (förbud).</P>
<TABLE cellpadding=0 cellspacing=0 class="t22">
<TR>
<TD class="tr2 td74"><P class="p2 ft20">Lydelse enligt proposition</P></TD>
<TD class="tr2 td75"><P class="p2 ft70">Föreslagen lydelse</P></TD>
</TR>
<TR>
<TD class="tr1 td74"><P class="p2 ft20">2020/21:194</P></TD>
<TD class="tr1 td75"><P class="p2 ft5"> </P></TD>
</TR>
</TABLE>
<P class="p156 ft26">6 kap.</P>
<P class="p157 ft21">3 §</P>
<TABLE cellpadding=0 cellspacing=0 class="t7">
<TR>
<TD class="tr0 td74"><P class="p158 ft21">Tillsynsmyndigheten har i den</P></TD>
<TD class="tr0 td76"><P class="p22 ft21">Tillsynsmyndigheten har i den</P></TD>
</TR>
<TR>
<TD class="tr1 td74"><P class="p158 ft21">omfattning som det behövs för</P></TD>
<TD class="tr1 td76"><P class="p22 ft21">omfattning som det behövs för</P></TD>
</TR>
<TR>
<TD class="tr1 td74"><P class="p158 ft21">tillsynen rätt att få tillträde till</P></TD>
<TD class="tr1 td76"><P class="p22 ft21">tillsynen rätt att få <SPAN class="ft20">tillgång till</SPAN></P></TD>
</TR>
<TR>
<TD class="tr1 td74"><P class="p158 ft21">områden, lokaler och andra ut-</P></TD>
<TD class="tr1 td76"><P class="p22 ft71">informationssystem och <SPAN class="ft33">tillträde</SPAN></P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">48</P>
</DIV>
</DIV>
<DIV id="page_50">
<DIV id="tx1"><SPAN class="ft17">En sanktionsavgift ska be- talas till </SPAN><SPAN class="ft49">samråds- eller </SPAN><SPAN class="ft17">tillsyns- myndigheten inom 30 dagar från det att beslutet om att ta ut av- giften har fått laga kraft eller inom den längre tid som anges i beslutet.</SPAN></DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td77"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td78"><P class="p2 ft37">Författningsförslag</P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<DIV id="id_2_1">
<P class="p159 ft17">rymmen, dock inte bostäder, som används i verksamhet som omfattas av tillsyn.</P>
<P class="p160 ft21">4 §</P>
<P class="p161 ft19">Tillsynsmyndigheten får be- sluta att förelägga den som står under tillsyn att tillhandahålla information och ge tillträde en- ligt 2 och 3 §§. Ett sådant beslut om föreläggande får förenas med vite.</P>
</DIV>
<DIV id="id_2_2">
<P class="p162 ft17">till områden, lokaler och andra utrymmen, dock inte bostäder, som används i verksamhet som omfattas av tillsyn.</P>
<P class="p163 ft18">Tillsynsmyndigheten får be- sluta att förelägga den som står under tillsyn att tillhandahålla information och ge <SPAN class="ft45">tillgång eller </SPAN>tillträde enligt 2 och 3 §§. Ett sådant beslut om föreläggande får förenas med vite.</P>
</DIV>
</DIV>
<DIV id="id_3">
<P class="p164 ft26">7 kap.</P>
<P class="p165 ft49">2 a § Samrådsmyndigheten får be-</P>
<P class="p166 ft45">sluta att ta ut en sanktionsavgift av en verksamhetsutövare som</P>
<P class="p167 ft49">1. har åsidosatt sin skyldighet enligt 3 a kap. 2 § första och andra stycket,</P>
<P class="p168 ft72">2. har driftsatt eller förändrat ett informationssystem i strid med ett förbud som har meddelats med stöd av 3 a kap. 5 §, eller</P>
<P class="p167 ft49">3. har lämnat oriktiga upp- gifter i samband med samråd en- ligt 3 a kap. 2 §.</P>
<P class="p169 ft21">9 §</P>
<P class="p170 ft19">En sanktionsavgift ska be- talas till tillsynsmyndigheten inom 30 dagar från det att be- slutet om att ta ut avgiften har fått laga kraft eller inom den längre tid som anges i beslutet.</P>
</DIV>
<DIV id="id_4">
<P class="p0 ft31">49</P>
</DIV>
</DIV>
<DIV id="page_51">
<DIV id="p51dimg1">
<INGENBILD zsrc="H9B36351x1.jpg/" id="p51img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Författningsförslag</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p171 ft17">Om sanktionsavgiften inte betalas inom den tid som anges i första stycket, ska myndigheten lämna den obetalda avgiften för indrivning. Bestämmelser om indrivning finns i lagen (1993:891) om indrivning av statliga fordringar m.m. Vid indrivning får verk- ställighet ske enligt utsökningsbalken.</P>
<P class="p172 ft21">En sanktionsavgift tillfaller staten.</P>
<P class="p156 ft26">8 kap.</P>
<P class="p157 ft21">4 §</P>
<TABLE cellpadding=0 cellspacing=0 class="t23">
<TR>
<TD class="tr0 td74"><P class="p158 ft21">Beslut om föreläggande enligt</P></TD>
<TD class="tr0 td76"><P class="p22 ft21">Beslut om föreläggande enligt</P></TD>
</TR>
<TR>
<TD class="tr1 td74"><P class="p158 ft12">4 kap. 9 och 15 §§ och 6 kap. 4 och</P></TD>
<TD class="tr1 td76"><P class="p22 ft12"><SPAN class="ft70">3 a </SPAN>kap. <SPAN class="ft70">2 §, </SPAN>4 kap. 9 och 15 §§ och</P></TD>
</TR>
<TR>
<TD class="tr1 td74"><P class="p158 ft21">6 §§ eller sanktionsavgift enligt</P></TD>
<TD class="tr1 td76"><P class="p22 ft27">6 kap. 4 och 6 §§ eller sanktions-</P></TD>
</TR>
<TR>
<TD class="tr1 td74"><P class="p158 ft27">7 kap. 1 och 2 §§ får överklagas</P></TD>
<TD class="tr1 td76"><P class="p22 ft27">avgift enligt 7 kap. 1<SPAN class="ft73">, </SPAN>2 <SPAN class="ft73">och 2 a </SPAN>§§</P></TD>
</TR>
<TR>
<TD class="tr1 td74"><P class="p158 ft27">till Förvaltningsrätten i Stockholm.</P></TD>
<TD class="tr1 td76"><P class="p22 ft74">eller beslut om förbud enligt 3 a kap.</P></TD>
</TR>
<TR>
<TD class="tr1 td74"><P class="p158 ft27">När ett sådant beslut överklagas</P></TD>
<TD class="tr1 td76"><P class="p22 ft21"><SPAN class="ft20">5 § </SPAN>får överklagas till Förvalt-</P></TD>
</TR>
<TR>
<TD class="tr1 td74"><P class="p158 ft33">är tillsynsmyndigheten motpart.</P></TD>
<TD class="tr1 td76"><P class="p22 ft33">ningsrätten i Stockholm. När ett</P></TD>
</TR>
<TR>
<TD class="tr0 td74"><P class="p158 ft27">Prövningstillstånd krävs vid över-</P></TD>
<TD class="tr0 td76"><P class="p22 ft27">sådant beslut överklagas är <SPAN class="ft73">sam-</SPAN></P></TD>
</TR>
<TR>
<TD class="tr1 td74"><P class="p173 ft27">klagande till kammarrätten.</P></TD>
<TD class="tr1 td76"><P class="p22 ft21"><SPAN class="ft20">råds- eller </SPAN>tillsynsmyndigheten</P></TD>
</TR>
<TR>
<TD class="tr1 td74"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td76"><P class="p22 ft27">motpart. Prövningstillstånd krävs</P></TD>
</TR>
<TR>
<TD class="tr1 td74"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td76"><P class="p22 ft21">vid överklagande till kammar-</P></TD>
</TR>
<TR>
<TD class="tr1 td74"><P class="p2 ft5"> </P></TD>
<TD class="tr1 td76"><P class="p174 ft27">rätten.</P></TD>
</TR>
</TABLE>
<P class="p175 ft18">Beslut om förbud enligt 4 kap. 11, 17 och 18 §§ och föreläggande enligt 4 kap. 12 och 19 §§ får överklagas till regeringen.</P>
<P class="p172 ft21">Andra beslut enligt denna lag får inte överklagas.</P>
<P class="p176 ft21"><SPAN class="ft27">1.</SPAN><SPAN class="ft75">Denna lag träder i kraft den 1 juli 2022.</SPAN></P>
<P class="p177 ft17"><SPAN class="ft27">2.</SPAN><SPAN class="ft76">Äldre föreskrifter gäller fortfarande för ärenden om samråd som har inletts före ikraftträdandet.</SPAN></P>
<P class="p178 ft17"><SPAN class="ft27">3.</SPAN><SPAN class="ft76">En sanktionsavgift enligt 7 kap. 2 a § får beslutas endast för överträdelser som skett efter ikraftträdandet.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">50</P>
</DIV>
</DIV>
<DIV id="page_52">
<DIV id="p52dimg1">
<INGENBILD zsrc="H9B36352x1.jpg/" id="p52img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td77"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td78"><P class="p2 ft37">Författningsförslag</P></TD>
</TR>
</TABLE>
<P class="p179 ft62"><SPAN class="ft48">1.2</SPAN><SPAN class="ft67">Förslag till förordning om ändring i säkerhetsskyddsförordningen (2018:658)</SPAN></P>
<P class="p180 ft21">Härigenom föreskrivs i fråga om säkerhetsskyddsförordningen (2018:658)</P>
<P class="p181 ft21"><SPAN class="ft20">dels </SPAN>att 3 kap. 1 § ska ha följande lydelse,</P>
<P class="p15 ft21"><SPAN class="ft20">dels </SPAN>att 3 kap. 2 och 3 §§ ska upphöra att gälla.</P>
<TABLE cellpadding=0 cellspacing=0 class="t24">
<TR>
<TD class="tr1 td79"><P class="p2 ft20">Nuvarande lydelse</P></TD>
<TD class="tr1 td75"><P class="p2 ft70">Föreslagen lydelse</P></TD>
</TR>
</TABLE>
<P class="p182 ft21"><SPAN class="ft35">3</SPAN><SPAN class="ft77">kap. </SPAN>1 §</P>
<TABLE cellpadding=0 cellspacing=0 class="t25">
<TR>
<TD class="tr0 td79"><P class="p29 ft20">Innan ett informationssystem</P></TD>
<TD class="tr0 td76"><P class="p22 ft73">Säkerhetspolisen och Försvars-</P></TD>
</TR>
<TR>
<TD class="tr1 td79"><P class="p2 ft20">som har betydelse för säkerhets-</P></TD>
<TD class="tr1 td76"><P class="p22 ft70">makten är samrådsmyndigheter en-</P></TD>
</TR>
<TR>
<TD class="tr1 td79"><P class="p2 ft20">känslig verksamhet tas i drift ska</P></TD>
<TD class="tr1 td76"><P class="p22 ft74">ligt säkerhetsskyddslagen (2018:585)</P></TD>
</TR>
<TR>
<TD class="tr1 td79"><P class="p2 ft20">verksamhetsutövaren genom en</P></TD>
<TD class="tr1 td76"><P class="p22 ft71">inom sina respektive tillsynsom-</P></TD>
</TR>
<TR>
<TD class="tr1 td79"><P class="p2 ft73">särskild säkerhetsskyddsbedömning</P></TD>
<TD class="tr1 td76"><P class="p183 ft73">råden.</P></TD>
</TR>
<TR>
<TD class="tr1 td79"><P class="p2 ft71">ta ställning till vilka säkerhetskrav</P></TD>
<TD class="tr1 td76"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr1 td79"><P class="p2 ft71">i systemet som är motiverade och</P></TD>
<TD class="tr1 td76"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr0 td79"><P class="p2 ft73">se till att säkerhetsskyddet utformas</P></TD>
<TD class="tr0 td76"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr1 td79"><P class="p2 ft73">så att dessa krav tillgodoses. Säker-</P></TD>
<TD class="tr1 td76"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr1 td79"><P class="p2 ft73">hetsskyddsbedömningen ska doku-</P></TD>
<TD class="tr1 td76"><P class="p2 ft5"> </P></TD>
</TR>
<TR>
<TD class="tr1 td79"><P class="p2 ft20">menteras.</P></TD>
<TD class="tr1 td76"><P class="p2 ft5"> </P></TD>
</TR>
</TABLE>
<P class="p184 ft21">Denna förordning träder i kraft den 1 juli 2022.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">51</P>
</DIV>
</DIV>
<DIV id="page_53">
</DIV>
<DIV id="page_54">
<P class="p0 ft16">2 Uppdraget</P>
<P class="p56 ft48"><SPAN class="ft48">2.1</SPAN><SPAN class="ft78">Inledning</SPAN></P>
<P class="p185 ft17">Cybersäkerhetsutredningens uppdrag består av två delar, dels att ana- lysera och lämna förslag på kompletterande nationella bestämmelser till EU: cybersäkerhetsakt, dels överväga om det finns behov av att stärka säkerheten i nätverks- och informationssystem i säkerhets- känslig verksamhet.</P>
<P class="p111 ft18">Uppdragets första del har fullgjorts i och med att delbetänkandet <SPAN class="ft45">EU:s cybersäkerhetsakt – kompletterande nationella bestämmelser om cybersäkerhetscertifiering </SPAN>(SOU 2020:58) överlämnades till statsrådet Peter Hultqvist, Försvarsdepartementet, i september 2020.</P>
<P class="p186 ft17">I detta slutbetänkande behandlas uppdragets andra del, dvs. över- väganden och förslag när det gäller frågan om det finns behov av att stärka säkerheten i nätverks- och informationssystem i säkerhets- känslig verksamhet.</P>
<P class="p131 ft48"><SPAN class="ft48">2.2</SPAN><SPAN class="ft78">Bakgrund</SPAN></P>
<P class="p110 ft18">Digitaliseringen beskrivs som vår tids starkaste förändringsfaktor och innebär att en allt större andel av aktiviteterna i samhället är bero- ende av nätverks- och informationssystem som används av myndig- heter, organisationer, företag och privatpersoner. Den digitala utveck- lingen ger stora möjligheter att förbättra och effektivisera människors vardag och olika verksamheter. Digitaliseringen har skapat nya for- mer av kommunikation, datahantering och datalagring. I dag bygger många system för att hantera information huvudsakligen på digital informations- och kommunikationsteknologi (IKT).</P>
<P class="p187 ft46">Med den tilltagande digitaliseringen och globaliseringen, som ökar beroenden över <NOBR>nations-,</NOBR> sektors- och ansvarsgränser, har följt en ökad betoning på cyberfrågor i samhället. Informations- och cyber-</P>
<P class="p188 ft31">53</P>
</DIV>
<DIV id="page_55">
<DIV id="p55dimg1">
<INGENBILD zsrc="H9B36355x1.jpg/" id="p55img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Uppdraget</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p189 ft17">säkerhetsarbete, av såväl offentliga som privata aktörer, ses som nöd- vändigt vid digitaliseringsprocesser för att samhället ska kunna fun- gera och utvecklas i linje med de mål som finns inom olika politikom- råden.</P>
<P class="p73 ft18">Samtidigt som allt fler länder utvecklar strategier, doktriner och förmågor inom cyberområdet ökar förekomsten av cyberattacker mot olika intressen och verksamheter. Hoten kan utgöras av politiskt, ekonomiskt och brottsligt motiverade angrepp, men även oavsiktliga incidenter som påverkar cybersäkerheten ökar. Den kraftiga tillväx- ten av bl.a. sakernas internet (IoT), molnet (cloud) och stordata (Big Data) medför större utsatthet för säkerhetsbrister.</P>
<P class="p73 ft18">Cyberangrepp och <NOBR>-incidenter</NOBR> kan störa tillhandahållandet av nöd- vändiga tjänster som elektricitet, vatten, hälso- och sjukvård, mobila tjänster, m.m. Möjligheterna till påverkan i nätverks- och informa- tionssystem i demokratiska valprocesser och desinformationskam- panjer är också en utmaning. Genom att samhället och människorna blir alltmer beroende av digital infrastruktur och tjänster genom an- slutna enheter och utbredd uppkoppling till internet ökar sårbar- heten mot cyberattacker till alltmer oroande nivåer. Vidare finns en ökad hotbild avseende antagonistiska aktörer med hög förmåga till cyberattacker. Vikten av fullgod informations- och cybersäkerhet ökar därför i motsvarande grad.</P>
<P class="p70 ft20">Det europeiska ramverket för cybersäkerhetscertifiering</P>
<P class="p71 ft18">EU har antagit ett antal strategier, policys och förordningar för att stärka cybersäkerheten i unionen och medlemsstaterna.<SPAN class="ft79">1 </SPAN>Europaparla- mentets och rådets förordning (EU) 2019/881 av den 17 april 2019 om Enisa (Europeiska unionens cybersäkerhetsbyrå) och om cyber- säkerhetscertifiering av informations- och kommunikationsteknik och om upphävande av förordning (EU) nr 526/2013 (cybersäkerhets- akten) trädde i kraft den 27 juni 2019. Förordningen började tillämpas direkt med undantag för vissa artiklar som kräver kompletterande bestämmelser på nationell nivå och som därför ska börja tillämpas den 28 juni 2021. Det huvudsakliga syftet med förordningen är att</P>
<P class="p190 ft41"><SPAN class="ft80">1</SPAN><SPAN class="ft81">En närmare redogörelse för EU:s strategier och policy finns i utredningens delbetänkande </SPAN><SPAN class="ft74">EU:s cybersäkerhetsakt – kompletterande nationella bestämmelser om cybersäkerhetscertifiering </SPAN>(SOU 2020:58).</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">54</P>
</DIV>
</DIV>
<DIV id="page_56">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td80"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td81"><P class="p2 ft37">Uppdraget</P></TD>
</TR>
</TABLE>
<P class="p86 ft18">uppnå en hög nivå i fråga om cybersäkerhet, cyberresiliens och förtro- ende inom unionen och säkerställa en väl fungerande inre marknad.</P>
<P class="p65 ft18">EU:s ramverk för cybersäkerhetscertifiering, dvs. EU:s cyber- säkerhetsakt och de genomförandeakter som utfärdas med stöd av cybersäkerhetsakten, kommer att reglera den cybersäkerhetscerti- fiering som följer av en europeisk certifieringsordning för cyber- säkerhetscertifiering som fastställts av kommissionen. Cybersäker- hetsakten är en <NOBR>EU-förordning</NOBR> vars bestämmelser har direkt effekt och tillämpning i medlemsstaten samt ger utrymme för medlems- staten att besluta om kompletterande nationell lagstiftning och annan författningsreglering.</P>
<P class="p65 ft18">Utgångspunkten kommer att vara att certifieringen även i fram- tiden ska vara frivillig, oavsett om en europeisk ordning för cyber- säkerhetscertifiering finns på plats eller inte. Detta är dock upp till varje medlemsstat att bestämma. Den största skillnaden är att när en sådan europeisk ordning för cybersäkerhetscertifiering finns på plats, får inte längre nationella cybersäkerhetscertifieringar utföras inom det område som täcks av den europeiska ordningen för cybersäker- hetscertifiering. Förordningen innebär också att när en europeisk ordning för cybersäkerhetscertifiering ska användas reglerar förord- ningen vilka krav som ställs på certifieringen, certifieringsorganen och de leverantörer och producenter som innehar ett sådant certifikat.</P>
<P class="p119 ft18">Utredningens uppdrag i den första delen har varit att föreslå de anpassningar och kompletterande nationella författningsbestämmel- ser som EU:s cybersäkerhetsakt ger anledning till och som behöver finnas på plats när hela förordningen i sin helhet börjar tillämpas den 28 juni 2021. I uppdraget har ingått att överväga och föreslå vilken befintlig nationell myndighet som ska utses att fullgöra de uppgifter och tilldelas de ansvarsområden som följer av EU:s cybersäkerhets- akt, bl.a. uppdraget att utöva tillsyn över efterlevnaden av det euro- peiska ramverket för cybersäkerhetscertifiering. Det har även ingått att undersöka vilka kompletterande nationella bestämmelser, bl.a. processuella bestämmelser och bestämmelser om sanktioner, som förordningen kräver eller som det annars finns anledning att införa.</P>
<P class="p109 ft46">Regeringen har efter remissbehandling av utredningens delbetän- kande i proposition 2020/21:186 <SPAN class="ft60">Kompletterande bestämmelser till EU:s cybersäkerhetsakt </SPAN>lämnat förslag på en ny lag med komplette- rande bestämmelser till EU:s cybersäkerhetsakt. I den föreslagna lagen finns kompletterande bestämmelser till EU:s cybersäkerhetsakt, bl.a.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">55</P>
</DIV>
</DIV>
<DIV id="page_57">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Uppdraget</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft46">om nationell myndighet för cybersäkerhetscertifiering, vissa hand- läggningsregler vid cybersäkerhetscertifiering, tillsyn och sanktioner. Den nya lagen föreslås träda i kraft den 28 juni 2021. Riksdagen har den 9 juni 2021 beslutat i enlighet med vad som föreslås i propositionen.</P>
<P class="p191 ft48"><SPAN class="ft48">2.3</SPAN><SPAN class="ft78">Uppdragets andra del</SPAN></P>
<P class="p192 ft19">I utredningsdirektivet konstateras att åtgärder för att skydda natio- nell säkerhet faller utanför EU:s kompetens (art. 4.2 <NOBR>EU-fördraget).</NOBR> I artikel 1.2 i EU:s cybersäkerhetsakt anges också att förordningen inte ska påverka medlemsstaternas befogenheter i fråga om nät- och informationssäkerhet, särskilt inte verksamhet som bl.a. berör allmän säkerhet och försvar. Samtidigt framhålls i direktivet att särskilda krav på säkerhet måste kunna ställas på nät- och informationssystem för att skydda <SPAN class="ft63">nationell säkerhet</SPAN>. Säkerhetsskyddslagen (2018:585) gäller för den som till någon del bedriver verksamhet som är av betydelse för Sveriges säkerhet eller som omfattas av ett för Sverige förplik- tande internationellt åtagande om säkerhetsskydd (säkerhetskänslig verksamhet).</P>
<P class="p73 ft18">För nätverks- och informationssystem som används i eller har be- tydelse för säkerhetskänslig verksamhet finns särskilda krav i säker- hetsskyddsförordningen (2018:658). Det rör sig bl.a. om förberedande åtgärder inför driftsättning av nätverks- och informationssystem och om säkerhetskrav som kontinuerligt ställs på dessa system. Be- stämmelserna innehåller även krav på samråd med Säkerhetspolisen eller Försvarsmakten i vissa fall. Detta gäller för nätverks- och infor- mationssystem som kan komma att behandla säkerhetsskyddsklas- sificerade uppgifter av visst slag och informationssystem där obehörig åtkomst till systemen kan medföra en skada för Sveriges säkerhet som inte är obetydlig. Bestämmelserna innebär att det är verksam- hetsutövaren som ansvarar för att se till att nätverks- och informa- tionssystemen upprätthåller kraven på informationssäkerhet.</P>
<P class="p106 ft18">Enligt direktivet finns det anledning att nu överväga om ytterli- gare krav bör införas för att säkerställa att nätverks- och informations- system som ska användas i säkerhetskänslig verksamhet uppfyller de krav som behövs för att upprätthålla skyddet av sådana verksamheter. En möjlighet kan vara – enligt direktivet – att införa krav på att IKT- produkter, <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nätverks- och informations-</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">56</P>
</DIV>
</DIV>
<DIV id="page_58">
<DIV id="p58dimg1">
<INGENBILD zsrc="H9B36358x1.jpg/" id="p58img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td80"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td81"><P class="p2 ft37">Uppdraget</P></TD>
</TR>
</TABLE>
<P class="p193 ft19">system som ska användas i säkerhetskänslig verksamhet ska vara certi- fierade enligt särskilda certifieringsordningar som ställer krav anpas- sade för användning i säkerhetskänslig verksamhet. En kompletterande eller alternativ möjlighet är att införa krav på godkännande från en utpekad myndighet innan en sådan produkt, tjänst eller process tas i drift i säkerhetskänslig verksamhet.</P>
<P class="p194 ft21">Utredningen ska enligt direktivet därför:</P>
<P class="p195 ft46"><SPAN class="ft27">–</SPAN><SPAN class="ft51">bedöma om det finns anledning att införa särskilda krav på att </SPAN><NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> som ingår i ett nätverks- och informationssystem som ska användas i säkerhetskänslig verk- samhet, ska vara certifierade enligt särskilda certifieringsordningar utformade för säkerhetskänslig verksamhet,</P>
<P class="p196 ft46"><SPAN class="ft27">–</SPAN><SPAN class="ft51">överväga om det finns anledning att införa krav på godkännande från en myndighet för att sådana produkter, tjänster och proces- ser ska få tas i drift i viss eller all säkerhetskänslig verksamhet,</SPAN></P>
<P class="p197 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">göra en internationell jämförelse av andra länders lagstiftning som ställer särskilda krav med anledning av nationell säkerhet på </SPAN><NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> som ingår i ett nätverks- och informationssystem,</P>
<P class="p93 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">lämna förslag, förenliga med </SPAN><NOBR>EU-rätten,</NOBR> på hur ett sådant regel- verk skulle kunna se ut, inklusive vilken eller vilka myndigheter som skulle ansvara för uppgiften och vilka sanktioner en sådan reglering bör förenas med,</P>
<P class="p198 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">lämna nödvändiga författningsförslag som behövs och är lämpliga.</SPAN></P>
<P class="p199 ft17">Utredningen ska enligt direktiven i denna del att förhålla sig till betän- kandet <SPAN class="ft49">Kompletteringar till den nya säkerhetsskyddslagen </SPAN>(SOU 2018:82) som förberetts i Regeringskansliet. Regeringen har efter remissbehand- ling av betänkandet i proposition 2020/21:194 <SPAN class="ft49">Ett starkare skydd för Sveriges säkerhet </SPAN>föreslagit ett flertal ändringar i säkerhetsskyddslagen (2018:585).<SPAN class="ft54">2</SPAN></P>
<P class="p200 ft41"><SPAN class="ft56">2</SPAN><SPAN class="ft82">Se vidare kapitel 8 och 13.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">57</P>
</DIV>
</DIV>
<DIV id="page_59">
<DIV id="p59dimg1">
<INGENBILD zsrc="H9B36359x1.jpg/" id="p59img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Uppdraget</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p201 ft48"><SPAN class="ft48">2.4</SPAN><SPAN class="ft78">Definitioner</SPAN></P>
<P class="p202 ft46">Utredningen behandlar frågor och verksamheter som rör begrepp som digitalisering, cyber, informations- och cybersäkerhet, m.m. Be- grepp som informationssäkerhet, <NOBR>it-säkerhet</NOBR> och cybersäkerhet före- kommer i många olika sammanhang, såväl nationellt som internationellt.</P>
<P class="p203 ft32">Figur 2.1 Av figuren framgår hur begreppen cybersäkerhet, <NOBR>it-säkerhet</NOBR> och informationssäkerhet förhåller sig till varandra</P>
<P class="p204 ft18">Som framgår av delbetänkandet förekommer begreppen i såväl olika författningar som i nationella styrdokument, handlingsplaner och all- männa råd. Att begreppen används med delvis olika betydelse i olika sammanhang kan ge upphov till begreppsförvirring om vad som egentligen avses med begreppet i det sammanhang det används. Det finns skäl för att begreppen – som utredningen tidigare framhållit i delbetänkandet – i största möjliga utsträckning bör ges samma bety- delse när det tillämpas nationellt och internationellt, särskilt när det gäller det europeiska samarbetet. Det kan i detta sammanhang note- ras att EU:s cybersäkerhetsakt, som är en unionsrättslig författning som är direkt tillämplig i medlemsstaterna, innehåller definitioner av de</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">58</P>
</DIV>
</DIV>
<DIV id="page_60">
<DIV id="p60dimg1">
<INGENBILD zsrc="H9B36360x1.jpg/" id="p60img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td80"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td81"><P class="p2 ft37">Uppdraget</P></TD>
</TR>
</TABLE>
<P class="p130 ft18">olika begrepp som förekommer i akten, bl.a. cybersäkerhet<SPAN class="ft79">3 </SPAN>och nät- verks- och informationssystem<SPAN class="ft79">4</SPAN>. Eftersom cybersäkerhetsakten är direkt tillämplig på nationell nivå bör i akten förekommande begrepp och deras innebörd i största möjliga utsträckning användas även i frågor och på områden som formellt inte omfattas av aktens tillämp- ningsområde, om det inte finns skäl att använda ett annat begrepp eller ge det ett annat innehåll. Det kan då finnas skäl att begrepp kan behöva anpassas till nationella förhållanden. Ett exempel på begrepp som används i nationell reglering är begreppet <SPAN class="ft45">informationssystem </SPAN>i säkerhetsskyddsförordningen, med vilket avses ett system av sam- mansatt mjuk- och hårdvara som behandlar information<SPAN class="ft79">5</SPAN>. I det euro- peiska ramverket för cybersäkerhetscertifiering respektive i NIS- direktivet används begreppet <SPAN class="ft45">nätverks- och informationssystem</SPAN>.</P>
<P class="p58 ft18">I betänkandet används ett antal begrepp som är centrala för ut- redningens arbete. Några av begreppen har definierats i författning eller andra styrdokument medan andra saknar legaldefinition. Be- grepp som <SPAN class="ft45">certifiering</SPAN>, <SPAN class="ft45">informationssystem</SPAN>, <SPAN class="ft45">nätverks- och informations- system </SPAN>samt <SPAN class="ft45">säkerhetskänslig verksamhet </SPAN>förekommer i olika författ- ningar med angivande av kriterier för begreppen. Andra begrepp, bl.a. <SPAN class="ft45">godkännande</SPAN>, <SPAN class="ft45">driftsättas</SPAN>, <SPAN class="ft45">nät- och informationssäkerhet </SPAN>samt <SPAN class="ft45">natio- nell säkerhet</SPAN>, saknar i många fall dock tydliga och fastlagda defini- tioner varför de används med den betydelse som framgår av det sam- manhang som de används i betänkandet.</P>
<P class="p147 ft48"><SPAN class="ft48">2.5</SPAN><SPAN class="ft78">Uppdragets omfattning</SPAN></P>
<P class="p7 ft21">Enligt direktivet ska utredningen analysera behovet av <SPAN class="ft20">stärkt säkerhet</SPAN></P>
<P class="p205 ft45"><SPAN class="ft21">i</SPAN><SPAN class="ft83">nätverks- och informationssystem </SPAN><SPAN class="ft18">i </SPAN>säkerhetskänslig verksamhet<SPAN class="ft18">, t.ex. överväga om ytterligare krav bör införas för att säkerställa att nät- verks- och informationssystem som ska användas i säkerhetskänslig verksamhet uppfyller de krav som behövs för att upprätthålla skyd- det av sådana verksamheter. Som ovan framgår kan en åtgärd vara att införa krav på att </SPAN><NOBR>IKT-produkter<SPAN class="ft18">,</SPAN></NOBR><SPAN class="ft18"> </SPAN>tjänster <SPAN class="ft18">och </SPAN>processer <SPAN class="ft18">i </SPAN>nätverks- och informationssystem <SPAN class="ft18">som ska användas i </SPAN>säkerhetskänslig verksamhet <SPAN class="ft18">ska vara </SPAN>certifierade <SPAN class="ft18">enligt särskilda certifieringsordningar som ställer</SPAN></P>
<P class="p206 ft85"><SPAN class="ft56">3</SPAN><SPAN class="ft84">All verksamhet som är nödvändig för att skydda nätverks- och informationssystem, använ- dare av dessa system och andra berörda personer mot cyberhot.</SPAN></P>
<P class="p8 ft87"><SPAN class="ft56">4</SPAN><SPAN class="ft86">Ett nätverks- och informationssystem enligt definitionen i artikel 4.1 i direktiv (EU) 2016/1148.</SPAN></P>
<P class="p207 ft41"><SPAN class="ft56">5</SPAN><SPAN class="ft82">5 § säkerhetsskyddsförordningen (2018:658).</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">59</P>
</DIV>
</DIV>
<DIV id="page_61">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Uppdraget</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p189 ft17">krav anpassade för användning i säkerhetskänslig verksamhet. En annan möjlighet är att införa <SPAN class="ft49">krav på godkännande </SPAN>från en utpekad myn- dighet innan en sådan <SPAN class="ft49">produkt, tjänst </SPAN>eller <SPAN class="ft49">process </SPAN>tas <SPAN class="ft49">i drift </SPAN>i säkerhets- känslig verksamhet.</P>
<P class="p102 ft20">Säkerhet i nätverks- och informationssystem</P>
<P class="p71 ft18">Utredningen kan konstatera att <SPAN class="ft45">säkerhet </SPAN>i nätverks- och informations- system, oavsett om dessa finns i verksamheter som är säkerhetskäns- liga eller i annan typ av samhällsviktig verksamhet, inte endast berör säkerhet i tekniska funktioner utan graden av säkerhet definieras även av bl.a. om och hur ett systematiskt informationssystemsäkerhets- arbete bedrivs av verksamhetsutövaren och graden och omfattningen av <NOBR>it-säkerhetsåtgärder</NOBR> som verksamhetsutövaren vidtagit eller vidtar för att skydda nätverks- och informationssystemen i sin verksamhet.</P>
<P class="p73 ft45"><SPAN class="ft18">Det </SPAN>systematiska informationssäkerhetsarbetet <SPAN class="ft18">omfattar organisa- tion, styrning, administration, tekniska åtgärder, resurstilldelning, uppföljning, m.m. Av stor betydelse för säkerhet i nätverks- och informationssystem är – utöver att alla de åtgärder vidtagits som om- fattas av ett systematiskt informationssäkerhetsarbete – att dessa även är skyddade genom olika </SPAN>tekniska åtgärder <SPAN class="ft18">som säkerställer kon- fidentialitet, riktighet och tillgänglighet i systemen. Därtill kommer att nätverks- och informationssystem i olika former av samhälls- verksamheter uppställer varierande krav på organisatoriska, admini- strativa, och tekniska säkerhetsåtgärder för att uppnå fullgod säker- het i den aktuella verksamheten. Säkerhet i nätverks- och informa- tionssystem är därför beroende av både organisation, styrning, admi- nistration, resurser, mänskligt handlade och teknisk funktionalitet. Graden av säkerhet i nätverks- och informationssystem grundas således på ett antal olika förutsättningar och kriterier och för att man ska kunna anse att det föreligger en tillräcklig säkerhet i nätverks- och informationssystem i en verksamhet måste därför många olika åtgärder ha vidtagits. En analys av brister och behov av ytterligare åtgärder för att stärka säkerheten i nätverks- och informationssystem är därför såväl komplicerad som omfattande och förutsätter tillgång till ett antal olika expertresurser.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">60</P>
</DIV>
</DIV>
<DIV id="page_62">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td80"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td81"><P class="p2 ft37">Uppdraget</P></TD>
</TR>
</TABLE>
<P class="p90 ft20">Vad som utgör säkerhetskänslig verksamhet</P>
<P class="p91 ft18">Som ovan framgår ska utredningen analysera behovet av att <SPAN class="ft45">stärka </SPAN>säkerheten i nätverks- och informationssystem i säkerhetskänslig verksamhet. När det gäller nätverks- och informationssystem i säker- hetskänslig verksamhet utgör skyddsföremålet inte endast sådan <SPAN class="ft45">in- formation </SPAN>(uppgifter) som omfattas av säkerhetsskyddsregleringen utan regleringen syftar även till att skydda <SPAN class="ft45">nätverks- och information- ssystem i övrigt </SPAN>som är av betydelse för Sveriges säkerhet, dvs. oavsett om systemen i sig innehåller säkerhetskänsliga uppgifter eller inte.</P>
<P class="p58 ft18">Enligt direktiven är uppdraget avgränsat till nätverks- och informa- tionssystem i den säkerhetskänsliga verksamheten. Säkerhetskänslig verksamhet utgörs enligt säkerhetskyddsregleringen av sådan verksam- het som är av betydelse för Sveriges säkerhet. Varken säkerhetsskydds- lagen eller den till lagen anslutande säkerhetsskyddsförordningen innehåller någon legaldefinition av vad som avses med verksamhet av betydelse för Sveriges säkerhet. I lagmotiven till säkerhetsskydds- lagen, och i den utredning som låg till grund för propositionen med förslag om ny säkerhetsskyddslag kan viss vägledning fås i frågan om vilken samhällsverksamhet som kan anses ha betydelse för Sveriges säkerhet och därför utgör säkerhetskänslig verksamhet enligt den angivna regleringen. I lagmotiven framhålls att utöver verksamhet inom det militära försvaret är även civil samhällsverksamhet av betydelse för Sveriges säkerhet, t.ex. verksamhet som berör statsledningen, energiområdet, kommunikationer, rättsväsendet, m.m. Även viss verk- samhet inom näringslivet kan vara av betydelse för Sveriges säkerhet och bedöms som säkerhetskänslig verksamhet. Samtidigt framhålls att det endast är sådan verksamhet som är särskild skyddsvärd som ska omfattas av regleringen, även om samhällsutvecklingen över tiden kan komma att påverka omfattningen av vilken verksamhet som ska bedömas var av betydelse för Sveriges säkerhet.</P>
<P class="p58 ft18">Utredningen kan konstatera att i begreppet säkerhetskänslig verk- samhet ligger utöver verksamhet på det militära området även en om- fattande civil samhällsverksamhet och då särskilt många verksam- heter inom det civila försvaret som, i vart fall i dagsläget, inte är helt enkel att avgränsa från annan verksamhet som inte utgör säkerhets- känslig verksamhet. Som framgår nedan pågår en uppbyggnad och utveckling av bl.a. det civila försvaret inom ramen för totalförsvaret</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">61</P>
</DIV>
</DIV>
<DIV id="page_63">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Uppdraget</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p208 ft21">och det fortsatta arbetet på området kan i framtiden komma att tydliggöra den närmare avgränsningen.</P>
<P class="p209 ft48"><SPAN class="ft48">2.6</SPAN><SPAN class="ft78">Utredningsarbetet</SPAN></P>
<P class="p103 ft17">Arbetet i denna del av uppdraget inleddes i oktober 2020. Utred- ningen har inledningsvis inhämtat underlag i form av offentliga ut- redningar, propositioner, faktapromemorior, nationella strategier, olika studier m.m.</P>
<P class="p73 ft18">Utredningen har haft tre utredningssammanträden med sakkun- niga och experter. Möjligheten till sedvanliga sammanträden med sakkunniga och experter närvarande har begränsats av rådande om- ständigheter och begränsningar i förutsättningarna att hålla digitala möten för att behandla frågor som rör säkerhetskänslig verksamhet. Utredningen har dock varit angelägen om att – där det varit möjligt</P>
<P class="p210 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft88">ha en öppen dialog och samverka med myndigheter och andra aktörer/intressenter som på olika sätt har bedömts beröras av och ha intresse av utredningens arbete. Utredningen har därför när så förut- sättningar förelegat fortlöpande haft möten (digitala) och kontakter med olika företrädare för myndigheter och olika aktörer. Syftet har varit att både informera om utredningens arbete och att inhämta synpunkter.</SPAN></P>
<P class="p211 ft18">Utredningen har som stöd i arbetet haft flera kontakter med före- trädare för vissa närmare berörda myndigheter, bl.a. Försvarets materiel- verk, Försvarets radioanstalt, Försvarsmakten, Myndigheten för sam- hällsskydd och beredskap, Post- och telestyrelsen och Säkerhets- polisen. Sekretariatet har haft enskilda möten med experter i ut- redningen i syfte att inhämta fördjupad kunskap inom vissa av de sakområden som behandlas i uppdraget samt haft möten (digitala) med privata aktörer med en nära koppling till området.</P>
<P class="p105 ft17">Utredningen har också inhämtat underlag om informations- och cybersäkerhetsverksamhet i andra länder som bedömts vara av in- tresse för utredningen.</P>
<P class="p73 ft17">Utredningen har i enlighet med direktiven hållit sig informerad om arbetet i Regeringskansliet med betänkandet <SPAN class="ft49">Kompletteringar till den nya säkerhetsskyddslagen </SPAN>(SOU 2018:82<SPAN class="ft49">)</SPAN>.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">62</P>
</DIV>
</DIV>
<DIV id="page_64">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td80"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td81"><P class="p2 ft37">Uppdraget</P></TD>
</TR>
</TABLE>
<P class="p212 ft17">Utredningen har samverkat med <NOBR><SPAN class="ft49">It-driftsutredningen</SPAN></NOBR><SPAN class="ft49"> </SPAN>(SOU 2021:1) i frågor som har beröringspunkter med bl.a. säkerhet i nätverks- och informationssystem.</P>
<P class="p80 ft19">Utredningen har även hållit sig uppdaterad om <SPAN class="ft63">Utredningen om civilt försvar </SPAN>(Ju 2018:05) som under våren 2021 lämnat slutbetän- kandet <SPAN class="ft63">Struktur för ökad motståndskraft </SPAN>(SOU 2021:25).</P>
<P class="p108 ft17">Utredningen har också hållit sig underrättad om utvecklingen av cybersäkerhet i EU, bl.a. vad gäller arbetet med att ta fram genom- förandeakter med stöd av EU:s cybersäkerhetsakt och arbetet med <NOBR>NIS2-direktivet.</NOBR></P>
<P class="p108 ft17">Utredningen har löpande hållit företrädare för Försvarsdeparte- mentet respektive Justitiedepartementet informerade om utred- ningsarbetet.</P>
<P class="p109 ft18">Det har funnits begränsningar, bl.a. av sekretesskäl, att kunna ta in ett tillräckligt detaljerat underlag från berörda verksamhetsutövare av säkerhetskänslig verksamhet. Det har påverkat förutsättningarna för att i grunden kunna analysera behovet av att kunna stärka säker- heten i nätverks- och informationssystem på området som är bety- delse för utredningsfrågorna. Härtill kommer att verksamhet som bedöms vara säkerhetskänslig och därför omfattas av regleringen om säkerhetsskydd naturligen även omfattas av sekretess i stora delar, vilket också påverkar uppdraget med att analysera behovet av att stärka säkerheten i nätverks- och informationssystem i sådan verksamhet.</P>
<P class="p65 ft18">Utredningen har initialt i utredningsarbetet noterat förekomsten av ett relativt stort antal offentliga utredningar och rapporter som antingen haft som uppdrag att analysera frågor som berör nätverks- och informationssäkerheten hos framför allt offentliga aktörer i form av myndigheter, regioner och kommuner eller som annars inom ramen för sitt uppdrag berört dessa frågor. Det föreligger även rappor- ter som behandlar nätverks- och informationssäkerheten i närings- livet (kapitel 8 Det kan noteras att utöver de brister som kan obser- veras i mer allmänna termer och som till stor del grundas på öppna källor, bl.a. offentliga utredningar och myndigheters rapporter, om- fattas uppgifter om förekommande brister i nätverks- och informa- tionssystem i säkerhetskänslig verksamhet av sekretess, i vissa fall av kvalificerad sekretess.</P>
<P class="p119 ft46">Utredningen gör bedömningen att en sammanställning av offent- liga utredningar och rapporter som behandlar nätverks- och infor- mationssäkerheten i samhället ger förutsättningar att kunna få en</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">63</P>
</DIV>
</DIV>
<DIV id="page_65">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Uppdraget</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft19">översiktlig och samlad bild av nivån på och omfattningen av säker- heten i nätverks- och informationssystem allmänt hos berörda aktörer, men även i begränsad utsträckning vad gäller säkerheten i nätverks- och informationssystem hos verksamhetsutövare som bedriver säker- hetskänslig verksamhet.</P>
<P class="p73 ft18">Utredningens analys av brister och behovet av att stärka säker- heten i nätverks- och informationssystem i säkerhetskänslig verksam- het grundas därför till stor del på offentliga utredningar och rappor- ter på området samt under utredningstiden inhämtade uppgifter från ett begränsat antal berörda verksamhetsutövare i förening med syn- punkter som lämnats av utredningens sakkunniga och experter.</P>
<P class="p70 ft48"><SPAN class="ft48">2.7</SPAN><SPAN class="ft78">Betänkandets disposition</SPAN></P>
<P class="p213 ft21">I kapitel 1 lämnas författningsförslag.</P>
<P class="p72 ft17">I detta kapitel (2) presenteras uppdraget, definitioner, uppdragets omfattning och avgränsningar, utredningsarbetets genomförande samt betänkandets utformning.</P>
<P class="p105 ft17">I kapitel 3 redogörs för mer centrala utgångspunkter som ligger till grund för utredningsarbetet.</P>
<P class="p105 ft17">I kapitel 4 behandlas mer allmänna frågor om digitalisering och informations- och cybersäkerhet.</P>
<P class="p72 ft21">I kapitel 5 redogörs för utvecklingen av hot, sårbarhet och risker inom informations- och cybersäkerhet.</P>
<P class="p214 ft21">I kapitel 6 behandlas vissa frågor om regleringen av säkerhets- skydd i säkerhetskänslig verksamhet.</P>
<P class="p214 ft21">I kapitel 7 lämnas en närmare beskrivning av begreppet informa- tionssäkerhet i säkerhetskänslig verksamhet.</P>
<P class="p104 ft19">I kapitel 8 lämnas en översiktlig redogörelse för offentliga utred- ningar och rapporter som berör informations- och cybersäkerhet.</P>
<P class="p105 ft17">I kapitel 9 redogörs översiktligt för regelsystem om informations- och cybersäkerhet i några andra länder.</P>
<P class="p105 ft17">Del två av betänkandet innehåller utredningens överväganden och förslag (se nedan).</P>
<P class="p105 ft17">I kapitel 10 lämnas en redogörelse för utredningens allmänna över- väganden om digitaliseringen och behoven av ökad säkerhet i nät- verks- och informationssystem.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">64</P>
</DIV>
</DIV>
<DIV id="page_66">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td80"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td81"><P class="p2 ft37">Uppdraget</P></TD>
</TR>
</TABLE>
<P class="p215 ft17">I kapitel 11 redogörs närmare för utredningens överväganden om behovet av att stärka säkerheten i nätverks- och informationssystem i säkerhetskänslig verksamhet.</P>
<P class="p149 ft17">I kapitel 12 behandlas frågan om behov av en nationell särskilt anpassad certifieringsordning för certifiering av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjäns-</NOBR> ter och <NOBR>-processer</NOBR> i nätverks- och informationssystem i säkerhets- känslig verksamhet.</P>
<P class="p111 ft18">I kapitel 13 analyseras behovet av krav på myndighetsgodkän- nande inför driftsättning av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> inom nätverks- och informationssystem i säkerhetskänslig verksam- het, dvs. system som hanterar säkerhetsskyddsklassificerade uppgifter av visst slag eller som i övrigt är av betydelse för Sveriges säkerhet.</P>
<P class="p186 ft17">I kapitel 14 behandlas frågan om tillgång till nätverks- och infor- mationssystem i samband med tillsyn.</P>
<P class="p216 ft21">I kapitel 15 behandlas vissa processuella frågor om handläggnings- regler och överklagande av beslut.</P>
<P class="p181 ft21">I kapitel 16 behandlas frågor om sekretess.</P>
<P class="p217 ft18">I kapitel 17 lämnas en konsekvensbeskrivning. I kapitel 18 finns författningskommentarer.</P>
<P class="p186 ft17">Bilagorna <NOBR>1–3</NOBR> innehåller kommittédirektiven. I bilaga 4 återfinns utredningens formella skrivelse med frågor till myndigheter i andra länder.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">65</P>
</DIV>
</DIV>
<DIV id="page_67">
</DIV>
<DIV id="page_68">
<P class="p0 ft16">3 Utgångspunkter</P>
<P class="p56 ft48"><SPAN class="ft48">3.1</SPAN><SPAN class="ft78">Inledning</SPAN></P>
<P class="p110 ft19">I detta kapitel tar utredningen upp några av de utgångspunkter som bör beaktas i den fortsatta analysen av behovet av att stärka säker- heten i nätverks- och informationssystem i säkerhetskänslig verk- samhet. Frågan om ökad informations- och cybersäkerhet behandlas i många olika sammanhang, bl.a. i frågor som rör den mer generella utvecklingen av digitaliseringen inom olika samhällsområden. Flera av dessa samhällsområden innefattar verksamheter som bedöms vara säkerhetskänsliga eller som rör samhällsviktiga och digitala tjänster och som är beroende av säkerhet i nätverk och informationssystem i verksamheten.</P>
<P class="p186 ft17">Riksdagen och regeringen har också i olika styrdokument och beslut understrukit vikten av informations- och cybersäkerhet i sam- hället allmänt och särskilt i totalförsvarets verksamhet, bl.a. i den säkerhetskänsliga verksamheten, men även i andra viktiga samhälls- verksamheter.</P>
<P class="p58 ft17">En utgångspunkt är regeringens beslut om att inrätta ett natio- nellt cybersäkerhetscenter och de olika myndighetsuppgifter som följer av beslutet. Berörda myndigheter har även tagit fram samlad infor- mations- och cybersäkerhetsplan med beskrivning av olika åtgärder som ska genomföras för att bl.a. stärka informations- och cyber- säkerheten i samhället.</P>
<P class="p149 ft17">Ytterligare en utgångspunkt är de olika författningar som berör informations- och cybersäkerhetsområdet samt offentliga utredningar och myndighetsrapporter som behandlar frågor om informations- och cybersäkerhet på olika områden.</P>
<P class="p11 ft46">En annan utgångspunkt är utvecklingen av EU:s ramverk för cyber- säkerhetscertifiering och regleringen av samhällsviktiga och digitala</P>
<P class="p218 ft31">67</P>
</DIV>
<DIV id="page_69">
<DIV id="p69dimg1">
<INGENBILD zsrc="H9B36369x1.jpg/" id="p69img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Utgångspunkter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p208 ft21">tjänster <NOBR>(NIS-direktivet)</NOBR> samt förslaget till reviderat <NOBR>NIS-direktiv,</NOBR> s.k. <NOBR>NIS2-direktivet.</NOBR></P>
<P class="p219 ft62"><SPAN class="ft48">3.2</SPAN><SPAN class="ft67">Informations- och cybersäkerhet i olika styrdokument</SPAN></P>
<P class="p220 ft18">Frågor som rör behovet av stärkt informations- och cybersäkerhet i olika samhällsverksamheter behandlas bl.a. i 2020 års försvarsbeslut för perioden <NOBR>2021–2025<SPAN class="ft79">1</SPAN>,</NOBR> den nationella säkerhetsstrategin,<SPAN class="ft79">2 </SPAN>den natio- nella strategin för samhällets informations- och cybersäkerhet<SPAN class="ft79">3 </SPAN>samt den nationella digitaliseringsstrategin<SPAN class="ft79">4</SPAN>.</P>
<P class="p102 ft26"><SPAN class="ft26">3.2.1</SPAN><SPAN class="ft89">Försvarsbeslutet för perioden </SPAN><NOBR>2021–2025</NOBR></P>
<P class="p220 ft18">Regeringens försvarspolitiska proposition (prop. 2020/21:30) <SPAN class="ft45">Total- försvar </SPAN><NOBR><SPAN class="ft45">2021–2025</SPAN></NOBR><SPAN class="ft45"> </SPAN>behandlar, inom ramen för förslag om övergri- pande mål för totalförsvaret och nya mål för det militära respektive civila försvaret, behovet av stärkt informations- och cybersäkerhet. Verksamhetsområdet totalförsvar omfattar den verksamhet som är nödvändig för att förbereda Sverige för krig. I propositionen anges att det civila försvaret ska ha förmåga att bl.a. säkerställa de vikti- gaste samhällsfunktionerna, upprätthålla en nödvändig försörjning, bidra till det militära försvarets förmåga vid väpnat angrepp eller krig i vår omvärld, upprätthålla samhällets motståndskraft mot externa påtryckningar och bidra till att stärka försvarsviljan. Det ska även bidra till att stärka samhällets förmåga att förebygga och hantera svåra påfrestningar på samhället i fred. Vidare anges att genomförandet av den försvarspolitiska inriktningen är ett ansvar för hela samhället, och en fråga som berör samtliga politikområden. Utvecklingen av det civila försvaret kommer att förutsätta åtgärder från många aktö- rer, bl.a. statliga myndigheter, regioner och kommuner, näringsliv, frivilligorganisationer och enskilda individer. Vidare förutsätter den föreslagna utvecklingen mot en ökad militär förmåga att det civila försvaret har förmåga att ge stöd till Försvarsmakten i händelse av</P>
<P class="p221 ft87"><SPAN class="ft80">1</SPAN><SPAN class="ft90">Prop. 2020/21:30, bet. 2020/21:FöU4, rskr. 2020/21:136.</SPAN></P>
<P class="p222 ft87"><SPAN class="ft80">2</SPAN><SPAN class="ft91">Nationell säkerhetsstrategi</SPAN>, Statsrådsberedningen, januari 2017.</P>
<P class="p222 ft93"><SPAN class="ft80">3</SPAN><SPAN class="ft92">Nationell strategi för samhällets informations- och cybersäkerhet, </SPAN><SPAN class="ft85">Skr. 2016/17:213.</SPAN></P>
<P class="p223 ft74"><SPAN class="ft80">4</SPAN><SPAN class="ft81">Regeringens skrivelse 2017/18:47 </SPAN>Hur Sverige blir bäst i världen på att använda digitaliser- ingens möjligheter – en skrivelse om politikens inriktning<SPAN class="ft41">.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">68</P>
</DIV>
</DIV>
<DIV id="page_70">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td82"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td1"><P class="p2 ft37">Utgångspunkter</P></TD>
</TR>
</TABLE>
<P class="p193 ft46">höjd beredskap. I propositionen betonas bl.a. att Sveriges cyberförsvars- förmåga ska stärkas ytterligare och att det systematiska arbetet med informations- och cybersäkerhet behöver stärkas ytterligare hos alla aktörer inom totalförsvaret. Investeringar för att stärka arbetet med säkerhetsskydd och cybersäkerhet ingår i satsningen.</P>
<P class="p224 ft20">Hotbilden inom cyberområdet</P>
<P class="p91 ft18">I propositionen konstaterar regeringen att den teknologiska utveck- lingen, utbredningen av digitala lösningar och ökade datavolymer ska- par stora möjligheter men samtidigt risker och sårbarheter för sam- hället i stort och för myndigheter och andra aktörer. Sårbarheter finns i alltifrån elektroniska kommunikationer, sjö- och luftfart till elnät, industriella styrsystem och i det finansiella systemet. Även den data som genereras medför i sig såväl sårbarheter som möjligheter. Många av de system som är kritiska för att upprätthålla samhällets funktionalitet är redan i fredstid sårbara för störningar. Det pågår ständigt intrångsförsök mot internetanslutna system.</P>
<P class="p216 ft17">I propositionen framhåller regeringen vidare att den delar För- svarsberedningens bedömning att en högre grad av nationell samord- ning behövs på cyberområdet. En viktig komponent i detta arbete är inrättandet av ett cybersäkerhetscenter, som ska ge konkret effekt på Sveriges förmåga att förebygga och hantera antagonistiska hot. Centret ska, i enlighet med vad regeringen redovisar i budgetpropo- sitionen för 2021, stärka Sveriges förmåga att förebygga, upptäcka och hantera antagonistiska cyberhot mot Sverige och minska sår- barheter (se nedan).</P>
<P class="p131 ft20">Cyberförsvar</P>
<P class="p91 ft18">I propositionen anges vidare att ett cyberangrepp kan inför eller under hela eller delar av en konflikt komplettera politiska, diploma- tiska, ekonomiska eller militära medel. Sådana angrepp kan hota en stats handlingsfrihet och ytterst dess suveränitet. Effekterna av ett antagonistiskt cyberangrepp kan få lika stora konsekvenser för sam- hällsviktiga funktioner och kritiska <NOBR>it-system</NOBR> som ett konventionellt väpnat angrepp. Regeringen konstaterar att antalet statsunderstödda</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">69</P>
</DIV>
</DIV>
<DIV id="page_71">
<DIV id="p71dimg1">
<INGENBILD zsrc="H9B36371x1.jpg/" id="p71img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Utgångspunkter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft18">cyberangrepp ökar fortlöpande och angriparnas metoder utvecklas.<SPAN class="ft79">5 </SPAN>Många stater har byggt upp avsevärda resurser i syfte att kunna verka offensivt genom cyberattacker. Förutom att dessa stater utvecklar avancerade metoder och offensiva verktyg har de skapat förmåga att slå brett mot många mål och att upprätthålla uthållighet över tid.</P>
<P class="p73 ft18">I propositionen framhålls att förmågan att i fredstid hantera anta- gonistiska hot behöver förbättras, bl.a. vad avser cyberattacker. Sår- barheter behöver minskas och verksamheter av betydelse för Sveriges säkerhet ska stärka sitt säkerhetsskydd. I detta sammanhang betonas vikten av förmågan att kunna agera samlat för att möta utmaningar och hot såväl i fred som vid höjd beredskap, bl.a. vad avser arbetet med att stärka informations- och cybersäkerheten och minska sår- barheten för att säkerställa de viktigaste samhällsfunktionerna.<SPAN class="ft79">6 </SPAN>Många av de system som är kritiska för att upprätthålla samhällets funk- tionalitet är redan i fredstid sårbara för störningar. Verksamheter av betydelse för Sveriges säkerhet behöver därför stärka sitt säkerhets- skydd. Det framhålls att bl.a. Svenska kraftnät, Energimyndigheten och Strålsäkerhetsmyndigheten har identifierat behov av åtgärder för att stärka cybersäkerheten.</P>
<P class="p106 ft17">Regeringen framhåller vidare att Sveriges cyberförsvar bidrar till att försvåra och höja tröskeln för en aktör som överväger att angripa eller utöva påtryckningar mot Sverige eller svenska intressen. Mot bakgrund av hotbilden anser regeringen,<SPAN class="ft54">7 </SPAN>att Sveriges cyberförsvars- förmåga<SPAN class="ft54">8 </SPAN>bör stärkas ytterligare inklusive förmågan att genomföra offensiva<SPAN class="ft54">9 </SPAN>och defensiva<SPAN class="ft54">10 </SPAN>operationer i cyberdomänen. Utvecklingen av offensiv och defensiv cyberförsvarsförmåga bygger på tre samver- kande delar:</P>
<P class="p225 ft87"><SPAN class="ft80">5</SPAN><SPAN class="ft90">Se även 5 kap. om hotbilder, sårbarheter och risker.</SPAN></P>
<P class="p210 ft85"><SPAN class="ft80">6</SPAN><SPAN class="ft94">I propositionen noteras att även Försvarsberedningen anser att stärkt informations- och cybersäkerhet, ökad redundans och förbättrat säkerhetsskydd är viktigt i den fortsatta utveck- lingen (s. 148).</SPAN></P>
<P class="p223 ft85"><SPAN class="ft80">7</SPAN><SPAN class="ft94">Detta i likhet med Försvarsberedningens bedömning och i enlighet med vad regeringen fram- håller i budgetpropositionen för 2021.</SPAN></P>
<P class="p210 ft85"><SPAN class="ft80">8</SPAN><SPAN class="ft92">Cyberförsvar </SPAN>kan definieras som en nations samlade förmågor och åtgärder, såväl defensiva som offensiva, till skydd för dess kritiska samhällsfunktioner samt förmågan att kunna för- svara sig mot cyberangrepp från kvalificerade motståndare.</P>
<P class="p223 ft85"><SPAN class="ft80">9</SPAN><SPAN class="ft92">Offensiva </SPAN>operationer syftar till att förhindra motståndaren att använda sina system eller att tvinga motståndaren att avbryta angrepp mot svenska system.</P>
<P class="p226 ft41"><SPAN class="ft56">10</SPAN><SPAN class="ft95">Defensiva </SPAN>operationer syftar till att försvara informationssystem inklusive elektroniska kommunikationsnät för att på så sätt förhindra motståndare att påverka information, infor- mationssystem, datorer eller nätverk.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">70</P>
</DIV>
</DIV>
<DIV id="page_72">
<DIV id="p72dimg1">
<INGENBILD zsrc="H9B36372x1.jpg/" id="p72img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td82"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td1"><P class="p2 ft37">Utgångspunkter</P></TD>
</TR>
</TABLE>
<P class="p90 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">kunskap om hoten,</SPAN></P>
<P class="p25 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">skyddsåtgärder, och</SPAN></P>
<P class="p25 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">motåtgärder.</SPAN></P>
<P class="p199 ft18">I propositionen framhålls att Försvarsmakten ansvarar för Sveriges offensiva cyberförsvarsförmåga. Cyberdomänen är en av flera domä- ner där myndigheten ska kunna möta ett antagonistiskt hot med stöd av andra myndigheter, t.ex. Försvarets radioanstalt (FRA) och övriga försvarsunderrättelsemyndigheter, Säkerhetspolisen och Myn- digheten för samhällsskydd och beredskap (MSB). Det systematiska arbetet med informations- och cybersäkerhet behöver dock stärkas ytterligare hos aktörer inom totalförsvaret.<SPAN class="ft79">11 </SPAN>Det finns ett betydande värde av samarbetet mellan FRA, Försvarsmakten och Säkerhets- polisen om utvecklat skydd för de mest skyddsvärda verksamheterna i Sverige mot de allvarligaste hoten. Det finns även skäl att överväga om kvalificerat stöd bör kunna lämnas även till enskilda verksamheter som är att anse som särskilt skyddsvärda.</P>
<P class="p58 ft18">Regeringen konstaterar vidare att kvalificerad personal krävs för att långsiktigt kompetensförsörja och stärka både den offensiva och defensiva cyberförsvarsförmågan. Vidare krävs till följd av den snabba teknikutvecklingen kontinuerlig forskning och utveckling för att bidra till vidmakthållande och utveckling av cyberförsvarsförmågan.</P>
<P class="p11 ft18">I propositionen betonar regeringen att en förutsättning för ett starkt cyberförsvar är, i enlighet med vad regeringen även framhåller i budgetpropositionen för 2021, att samtliga aktörer inom totalför- svaret har en god informations- och cybersäkerhet. Det systematiska arbetet med informations- och cybersäkerhet behöver stärkas ytter- ligare hos dessa aktörer.<SPAN class="ft79">12 </SPAN>För att säkerställa en hög informations- och cybersäkerhet i totalförsvaret är det nödvändigt att informations- och cybersäkerhetsperspektivet beaktas redan i anskaffningsfasen av exempelvis nätverk och <NOBR>it-system.</NOBR></P>
<P class="p111 ft46">Regeringen, liksom Försvarsberedningen, understryker vikten av det förebyggande arbetet och av att öka medvetenheten såväl som</P>
<P class="p227 ft85"><SPAN class="ft56">11</SPAN><SPAN class="ft84">Den cyberrelaterade hotbilden beskrivs utförligt i bl.a. Försvarsberedningens rapporter, den nationella strategin för samhällets informations- och cybersäkerhet (skr. 2016/17:213) och i flera myndigheters årsrapporter.</SPAN></P>
<P class="p228 ft58"><SPAN class="ft56">12</SPAN><SPAN class="ft96">Regeringen framhåller att en del i detta är en ökad rapportering av </SPAN><NOBR>it-incidenter</NOBR> till MSB enligt förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap, liksom anmälan vid säkerhetshotande händelser och verksamhet till Säkerhetspolisen och Försvarsmakten enligt säkerhetsskyddsförordningen (2018:658).</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">71</P>
</DIV>
</DIV>
<DIV id="page_73">
<DIV id="p73dimg1">
<INGENBILD zsrc="H9B36373x1.jpg/" id="p73img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Utgångspunkter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft21">förmågan hos alla användare av <NOBR>it-system</NOBR> för att skapa förutsätt- ningar för utvecklingen av en säkerhetskultur i hela samhället.</P>
<P class="p104 ft18">Regeringen framhåller även att den delar Försvarsberedningens bedömning att en god ledningsförmåga ställer krav på att metoder och infrastruktur för säkra samband fungerar även under störda för- hållanden och med beaktande av krav på sekretess. Myndigheter och organisationer med ansvar inom totalförsvaret behöver, i enlighet med vad regeringen anger i budgetpropositionen för 2021, ha till- gång till säkra och robusta kommunikationstjänster samt nätlösningar med höga säkerhetskrav som är ändamålsenliga för hantering och kommunikation av säkerhetsskyddsklassificerad information. Av särskild vikt är den <NOBR>it-infrastruktur</NOBR> som stöder verksamheten så att information kan utbytas på ett säkert och robust sätt.</P>
<P class="p70 ft26"><SPAN class="ft26">3.2.2</SPAN><SPAN class="ft89">Den nationella säkerhetsstrategin</SPAN></P>
<P class="p220 ft46">Under 2017 antogs en nationell säkerhetsstrategi som innehåller en samlad redovisning av regeringens syn på säkerhet ur ett brett per- spektiv.<SPAN class="ft97">13 </SPAN>Strategin syftar till att stärka förmågan att samordnat och effektivt förebygga och möta omedelbara och långsiktiga hot och utmaningar. I strategin anges inriktningen och den utgör ett över- gripande ramverk för det arbete som krävs för att gemensamt värna Sveriges säkerhet, inom och mellan olika politikområden. I strategin noteras att förutsättningarna för säkerhetsarbetet i Sverige förändras snabbt. I ökad utsträckning påverkas Sverige av vad som sker både nationellt som internationellt. De interna och externa hot som sam- hället i dag möter bedöms vara mer komplexa än tidigare samt upp- står och förändras snabbare än förr. Det handlar om nya sorters hot från nya konstellationer av aktörer. Det går dock inte att förutse exakt vilka nya hot som mest sannolikt kommer att tränga sig på eller vilka strategiska vägval som Sverige kan behöva göra för att av- värja dessa. Men genom att tydligt rikta in det samlade säkerhets- arbetet mot de prioriterade områden och nationella intressen som strategin stakar ut kommer Sverige att kunna stå bättre rustat att förebygga och förhindra samt möta både dagens och morgondagens säkerhetsutmaningar.<SPAN class="ft97">14</SPAN></P>
<P class="p229 ft87"><SPAN class="ft56">13</SPAN><SPAN class="ft98">Nationell säkerhetsstrategi</SPAN>, Statsrådsberedningen, januari 2017.</P>
<P class="p230 ft41"><SPAN class="ft56">14</SPAN><SPAN class="ft82">S. 5.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">72</P>
</DIV>
</DIV>
<DIV id="page_74">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td82"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td1"><P class="p2 ft37">Utgångspunkter</P></TD>
</TR>
</TABLE>
<P class="p231 ft46">Strategin tar sin utgångspunkt i ett antal brett definierade mål för säkerhet och de värden som ligger till grund för dessa mål. I strategin identifieras ett antal områden där Sverige har särskilda intressen att försvara och där det behövs ett förstärkt säkerhetsarbete. Samman- taget utgör detta kärnan i den nationella säkerhetsstrategin.</P>
<P class="p224 ft20">Digitala risker och informations- och cybersäkerhet</P>
<P class="p232 ft18">I den nationella säkerhetsstrategin framhålls att digitaliseringen på- verkar alla delar av samhället. I stort sett hela samhället är i dag bero- ende av fungerande <NOBR>it-system.</NOBR> Det sker en ständigt växande hanter- ing av information i elektroniska kommunikationsnät och <NOBR>it-system</NOBR> och även i industriella och andra styrsystem. <NOBR>It-tjänster</NOBR> i moderna verksamheter är ofta komplexa och utspridda. Det gäller såväl fysiskt och organisatoriskt som nationellt och globalt. Information blir i allt högre grad allmänt tillgängliga. Samtidigt som digitaliseringens för- delar välkomnas står det klart att de risker och hot som den är för- knippad med är några av våra mest komplexa säkerhetsutmaningar. Detta medför att hot blir svårare att upptäcka, att riskerna blir mer svårbedömda och att beroenden blir svårare att överskåda. Exempel på sådana utmaningar är antagonistiska hot såsom informationsope- rationer och elektroniska angrepp mot skyddsvärda informations- och kommunikationssystem, t.ex. i form av dataintrång, sabotage eller spionage mot bl.a. totalförsvarets verksamhet. <NOBR>It-angrepp</NOBR> för att bedöma, påverka eller störa samhällsviktiga funktioner som ett förstadium till en väpnad konflikt hör också hit. <NOBR>It-angrepp</NOBR> riskerar också att otillbörligt påverka utgången av demokratiska val. När det uppstår brister i hanteringen av information, och i synnerhet i dess säkerhet, riskerar detta att få omfattande konsekvenser både för sam- hället i stort och för enskilda invånares integritet. Tilliten till digita- liseringen kan äventyras.</P>
<P class="p233 ft18">I strategin noteras att målet för <NOBR>it-politiken</NOBR> är att Sverige ska vara bäst i världen på att utnyttja digitaliseringens möjligheter. I strategin för den samlade digitaliseringspolitiken ska ingå att hantera den sår- barhet som ofrånkomligen följer av digitaliseringen. <NOBR>It-system</NOBR> med hög driftsäkerhet och starkt skydd mot externa attacker är av mycket stor vikt för säkerheten i samhället och för möjligheterna att hantera olika krisförlopp. En god informations- och cybersäkerhet utmärks</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">73</P>
</DIV>
</DIV>
<DIV id="page_75">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Utgångspunkter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p125 ft17">av att samtliga aktörer känner tillit till information och dess hanter- ing på alla nivåer i samhället. Bästa möjliga förutsättningar ska skapas för alla att ta del av, ha ansvar för och känna tillit till det digitala samhället.</P>
<P class="p82 ft46">I strategin anges vidare att för att bemästra utmaningarna inom informations- och cybersäkerhetsområdet är det viktigt att fort- löpande arbeta för att minska sårbarheter. Detta är en uppgift för alla aktörer i samhället. Förmågan att förebygga, identifiera och hantera <NOBR>it-incidenter</NOBR> och antagonistiska attacker behöver därtill förbättras inom alla samhällsviktiga funktioner. De mest skyddsvärda verksam- heterna ska dessutom svara upp mot de krav som ställs i säkerhets- skyddslagstiftningen. Arbetet med att minska sårbarheter tar sin grund i verksamhetens <NOBR>risk-och</NOBR> sårbarhetsanalys och/eller säkerhetsanalys. En förutsättning för arbetet är en utvecklad samordning och sam- verkan mellan myndigheter och andra aktörer, för att identifiera vad som ska skyddas och vilka ytterligare säkerhetsåtgärder som behöver sättas in. Enligt strategin kommer genomförandet av <NOBR>EU-direktivet</NOBR> om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen <NOBR>(NIS-direktivet)</NOBR> att spela stor roll. Därtill är en robust cyberförsvarsförmåga en viktig del av den samlade ansatsen att stå emot riktade angrepp och försök till på- verkan.</P>
<P class="p234 ft18">I strategin betonas vidare att syftet med den nationella strategin för <NOBR>informations-och</NOBR> cybersäkerhet, som bl.a. bygger på <NOBR>NIS-direk-</NOBR> tivet, är att skapa nödvändiga förutsättningar för kapacitetsutveck- ling, effektiv samverkan och arbete mot en gemensam målbild för att skydda det öppna samhället mot de sårbarheter som följer i digita- liseringens spår. De utmaningar som Sverige står inför delas med fler- talet andra länder. Internationellt samarbete på cyberområdet, inte minst inom <NOBR>EU-kretsen,</NOBR> är en viktig del av den svenska förmågan att främja säkerheten. Därtill bör arbetet med de globala dimensionerna av informations- och cybersäkerhetsfrågorna intensifieras.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">74</P>
</DIV>
</DIV>
<DIV id="page_76">
<DIV id="p76dimg1">
<INGENBILD zsrc="H9B36376x1.jpg/" id="p76img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td82"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td1"><P class="p2 ft37">Utgångspunkter</P></TD>
</TR>
</TABLE>
<P class="p235 ft26"><SPAN class="ft26">3.2.3</SPAN><SPAN class="ft89">Nationell strategi för samhällets informations- och cybersäkerhet</SPAN></P>
<P class="p236 ft18">År 2017 antogs även den nationella strategin för samhällets informa- tions- och cybersäkerhet.<SPAN class="ft79">15 </SPAN>De huvudsakliga syftena med den natio- nella strategin för samhällets informations- och cybersäkerhet är dels att höja medvetenheten och kunskapen i hela samhället dels att bidra till att skapa långsiktiga förutsättningar för samhällets aktörer att arbeta effektivt med informations- och cybersäkerhet.</P>
<P class="p187 ft18">I strategin pekar regeringen ut ett antal strategiska prioriteringar varav en är att säkerställa en systematisk och samlad ansats i arbetet med informations- och cybersäkerhet. Målsättningen i denna del är bl.a. att offentlig förvaltning ska ha kännedom om hot och risker, ta ansvar för sin informationssäkerhet och bedriva ett systematiskt informationssäkerhetsarbete. För att förbättra förutsättningarna för, i första hand, statsförvaltningen att bedriva ett systematiskt infor- mationssäkerhetsarbete på ett mer samordnat sätt uttalar regeringen att det ska finnas en nationell modell till stöd för detta arbete. Vidare ska det finnas en ändamålsenlig tillsyn som skapar förutsättningar för ökad informations- och cybersäkerhet i samhället. Regeringen framhåller att en förutsättning för att reglerna på informationssäker- hetsområdet ska få det genomslag som är avsett är att det finns en tillsyn som kan utföras på ett ändamålsenligt och effektivt sätt.</P>
<P class="p58 ft19">Huvudsyftet med strategin är att bidra till att skapa långsiktiga förutsättningar för samhällets aktörer att arbeta effektivt med infor- mations- och cybersäkerhet samt att höja medvetenheten och kun- skapen i hela samhället. Det övergripande ansvaret för den nationella strategin för samhällets informations- och cybersäkerhet är reger- ingens. Justitie- och inrikesministern är det statsråd som ansvarar för att samordna genomförande och uppföljning av strategin. Alla poli- tikområden är i olika utsträckning berörda av informations- och cyber- säkerhetsfrågorna.</P>
<P class="p149 ft17">Den nationella strategin för samhällets informations- och cyber- säkerhet innehåller sex strategiska prioriteringar:</P>
<P class="p237 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">säkerställa en systematisk och samlad ansats i arbetet med infor- mations- och cybersäkerhet,</SPAN></P>
<P class="p198 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">öka säkerheten i nätverk, produkter och system,</SPAN></P>
<P class="p238 ft100"><SPAN class="ft56">15</SPAN><SPAN class="ft99">Nationell strategi för samhällets informations- och cybersäkerhet, </SPAN><SPAN class="ft58">Skr. 2016/17:213. Med be- greppet cybersäkerhet avses i skrivelsen informationssäkerhet för digital information.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">75</P>
</DIV>
</DIV>
<DIV id="page_77">
<DIV id="p77dimg1">
<INGENBILD zsrc="H9B36377x1.jpg/" id="p77img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Utgångspunkter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p239 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">stärka förmågan att förebygga, upptäcka och hantera cyberattacker och andra </SPAN><NOBR>it-incidenter,</NOBR></P>
<P class="p240 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">öka möjligheterna att förebygga och bekämpa </SPAN><NOBR>it-relaterad</NOBR> brotts- lighet,</P>
<P class="p136 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">öka kunskapen och främja kompetensutvecklingen,</SPAN></P>
<P class="p34 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">stärka det internationella samarbetet.</SPAN></P>
<P class="p241 ft18">Under respektive prioriterat område finns ett antal målsättningar för hur regeringen ska verka inom området. I juni 2018 kompletterades strategin men en bilaga som innehåller en uppdatering om genom- förandet. I bilagan beskrivs en styrningsram som definierar olika aktö- rers ansvar och roll vid genomförandet av strategin.</P>
<P class="p105 ft17">I samband med att strategin kompletterades gav regeringen Myn- digheten för samhällsskydd och beredskap, Försvarets radioanstalt, Försvarets materielverk, Försvarsmakten, Post- och telestyrelsen, Polis- myndigheten och Säkerhetspolisen ett uppdrag att för deras arbete utifrån målen i strategin ta fram en samlad handlingsplan för åren <NOBR>2019–2022</NOBR> (se nedan).</P>
<P class="p72 ft17">Inom Regeringskansliet sker viss uppföljning av arbetet med hand- lingsplanen och koordinering mellan departementen och arbetet leds av Justitiedepartementet.</P>
<P class="p102 ft26"><SPAN class="ft26">3.2.4</SPAN><SPAN class="ft89">Nationell digitaliseringsstrategi</SPAN></P>
<P class="p220 ft18">Regeringen fattade 2017 även beslut om en nationell digitaliserings- strategi.<SPAN class="ft79">16 </SPAN>Det övergripande målet i digitaliseringsstrategin är det av riksdagen beslutade målet att Sverige ska vara bäst i världen på att använda digitaliseringens möjligheter<SPAN class="ft79">17</SPAN>. Strategin anger inriktningen för regeringens digitaliseringspolitik. Visionen är ett hållbart digita- liserat Sverige. Det övergripande målet är att Sverige ska vara bäst i världen på att använda digitaliseringens möjligheter. Digitalt kom- petenta och trygga människor har möjlighet att driva innovation där målmedveten ledning och infrastruktur är viktiga förutsättningar. För att nå det övergripande målet innehåller strategin fem delmål om</P>
<P class="p242 ft93"><SPAN class="ft56">16</SPAN><SPAN class="ft94">Regeringens skrivelse 2017/18:47 </SPAN>Hur Sverige blir bäst i världen på att använda digitaliser- ingens möjligheter – en skrivelse om politikens inriktning<SPAN class="ft85">.</SPAN></P>
<P class="p243 ft41"><SPAN class="ft56">17</SPAN><SPAN class="ft82">Prop. 2011/12:1, utg. omr. 22, bet. 2011/12: TU1, rskr. 2011/12:87.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">76</P>
</DIV>
</DIV>
<DIV id="page_78">
<DIV id="p78dimg1">
<INGENBILD zsrc="H9B36378x1.jpg/" id="p78img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td82"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td1"><P class="p2 ft37">Utgångspunkter</P></TD>
</TR>
</TABLE>
<P class="p244 ft17">digital kompetens, digital trygghet, digital innovation, digital led- ning och digital infrastruktur. Delmålen förklarar hur digitalisering ska kunna bidra till en positiv samhällsutveckling. Delmålen i digita- liseringsstrategin formuleras enligt följande:</P>
<P class="p237 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">i Sverige ska alla kunna utveckla och använda sin digitala kom- petens </SPAN><NOBR>(D-kompetens),</NOBR></P>
<P class="p93 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">i Sverige ska det finnas de bästa förutsättningarna för alla att på ett säkert sätt ta del av, ta ansvar för samt ha tillit till det digitala samhället </SPAN><NOBR>(D-trygghet),</NOBR></P>
<P class="p93 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">i Sverige ska det finnas de bästa förutsättningarna för att digitalt drivna innovationer ska utvecklas, spridas och användas </SPAN><NOBR>(D-inno-</NOBR> vation),</P>
<P class="p245 ft46"><SPAN class="ft27">–</SPAN><SPAN class="ft51">i Sverige ska relevant, målmedveten och rättssäker effektivisering och kvalitetsutveckling ske genom digitalisering </SPAN><NOBR>(D-ledning),</NOBR></P>
<P class="p246 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">hela Sverige bör ha tillgång till infrastruktur som medger snabbt bredband och stabila mobila tjänster och som stöder digitaliser- ing </SPAN><NOBR>(D-infrastruktur).</NOBR></P>
<P class="p247 ft17">Regeringen har uttalat att ett mål för digitaliseringen av den offent- liga förvaltningen är en enklare vardag för medborgare, en öppnare förvaltning som stödjer innovation och delaktighet samt högre kva- litet och effektivitet i verksamheten.<SPAN class="ft54">18 </SPAN>I Sverige ska det finnas de bästa förutsättningarna för alla att på ett säkert sätt ta del av, ta an- svar för samt ha tillit till det digitala samhället. Förutom bl.a. digital kompetens är trygghet och tillgänglighet viktiga faktorer för digital delaktighet.<SPAN class="ft54">19</SPAN></P>
<P class="p11 ft18">Delmålet digital trygghet innebär att människor, företag och orga- nisationer ska känna tillit till och förtroende i användningen av digi- tala tjänster och att det är enkelt att använda dem. Eftersom digita- lisering förändrar samhället i grunden på fler sätt än de som tidigare kopplats ihop med teknikutveckling, ser regeringen ett behov av ett vidare trygghetsperspektiv. Utöver informationssäkerhet och per- sonlig integritet behöver även frågor om människors och företags syn på hur samhället klarar av att hantera de risker som digitaliser-</P>
<P class="p248 ft87"><SPAN class="ft56">18</SPAN><SPAN class="ft86">Budgetpropositionen för 2018, prop. 2017/18:1, utg.omr. 2 s. 93.</SPAN></P>
<P class="p249 ft41"><SPAN class="ft56">19</SPAN><NOBR><SPAN class="ft82">www.regeringen.se/regeringens-politik/digitaliseringsstrategin/digital-trygghet/</SPAN></NOBR> (publice- rad <NOBR>2018-06-14,</NOBR> hämtad <NOBR>2020-05-09).</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">77</P>
</DIV>
</DIV>
<DIV id="page_79">
<DIV id="p79dimg1">
<INGENBILD zsrc="H9B36379x1.jpg/" id="p79img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Utgångspunkter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft19">ingen innebär inkluderas. Förutom bl.a. digital kompetens är trygg- het och tillgänglighet viktiga faktorer för digital delaktighet. Privata och offentliga aktörer behöver agera på ett ansvarsfullt sätt. Det är angeläget att det digitala samhället genomsyras av ett demokratiskt synsätt och att alla ska känna en grundtrygghet i den digitala sam- hällsutvecklingen. Alla ska våga lita på digitala tjänster och både vilja och kunna bidra till användningen av dessa. Det krävs dessutom säkra digitala system, som värnar den personliga integriteten och att identifierade sårbarheter hanteras när människor och samhället i allt högre grad blir beroende av att teknik är uppkopplad och kommu- nicerbar via internet. Digitaliseringskommissionen har identifierat förstärkt säkerhet och integritet liksom tillit till tekniken och till samhället som viktiga frågor att hantera inom ramen för en fram- åtriktad digitaliseringspolitik.<SPAN class="ft101">20</SPAN></P>
<P class="p70 ft48"><SPAN class="ft48">3.3</SPAN><SPAN class="ft78">Det nationella cybersäkerhetscentret</SPAN></P>
<P class="p71 ft18">Cyberhoten mot Sverige och svenska intressen är omfattande. Genom digitalisering och teknikutveckling blir hoten och sårbarheterna fler vilket gör att säkerheten behöver stärkas. I regeringsförklaringen i september 2019 aviserade regeringen att ett nationellt cybersäker- hetscenter ska inrättas 2020. Regeringen uppdrog den 26 september 2019 åt Försvarets radioanstalt, Försvarsmakten, Myndigheten för samhällsskydd och beredskap och Säkerhetspolisen att tillsammans vidta förberedande åtgärder och lämna förslag för att ett nationellt cybersäkerhetscenter ska kunna inrättas under 2020. Uppdraget redo- visades den 16 december 2019.</P>
<P class="p106 ft18">Regeringens beslutade i december 2020<SPAN class="ft79">21 </SPAN>att uppdra åt Försvarets radioanstalt, Försvarsmakten, Myndigheten för samhällsskydd och beredskap och Säkerhetspolisen (myndigheterna) att fördjupa sam- verkan inom cybersäkerhetsområdet genom att utvecklas samarbetet inom ramen för det nationella cybersäkerhetscentret. Myndigheterna ska fortsatt ha en nära samverkan med Försvarets materielverk, Polismyndigheten och Post- och telestyrelsen som ska ges möjlighet att medverka i cybersäkerhetscentrets verksamhet. Myndigheterna ska även fortlöpande informera Regeringskansliet (Försvarsdeparte-</P>
<P class="p213 ft87"><SPAN class="ft56">20</SPAN><SPAN class="ft86">Digitaliseringsstrategin, s. 11.</SPAN></P>
<P class="p250 ft41"><SPAN class="ft56">21</SPAN><SPAN class="ft81">Uppdrag om fördjupad samverkan inom cybersäkerhetsområdet genom ett nationellt cyber- säkerhetscenter, Regeringsbeslut </SPAN><NOBR>2020-12-10,</NOBR> Fö2019/01330.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">78</P>
</DIV>
</DIV>
<DIV id="page_80">
<DIV id="p80dimg1">
<INGENBILD zsrc="H9B36380x1.jpg/" id="p80img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td82"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td1"><P class="p2 ft37">Utgångspunkter</P></TD>
</TR>
</TABLE>
<P class="p244 ft21">mentet och Justitiedepartementet) om den verksamhet som bedrivs inom cybersäkerhetscentret.<SPAN class="ft102">22</SPAN></P>
<P class="p251 ft19">Enligt regeringsbeslutet ska samverkan inom ramen för cyber- säkerhetscentret inledas 2020 och utvecklas stegvis <NOBR>2021–2023.</NOBR> Sam- arbetets innehåll och former ska fastställas genom skriftliga överens- kommelser mellan myndigheterna. Regeringen avser att under 2023 ta ställning till hur cybersäkerhetscentrets verksamhet fortsatt bör inriktas och bedrivas efter 2023.</P>
<P class="p131 ft20">Närmare om uppdraget</P>
<P class="p91 ft18">Det övergripande målet med den fördjupade samverkan inom ramen för det nationella cybersäkerhetscentret är att stärka Sveriges sam- lade förmåga att förebygga, upptäcka och hantera antagonistiska cyberhot. Samverkan med privata och offentliga aktörer ska utgöra en central del av uppdraget i syfte att stärka cybersäkerheten i sam- hället. Inom ramen för cybersäkerhetscentret ska myndigheterna:</P>
<P class="p134 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">koordinera arbetet för att förebygga, upptäcka och hantera cyber- angrepp och andra </SPAN><NOBR>it-incidenter,</NOBR></P>
<P class="p24 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">förmedla råd och stöd avseende hot, sårbarheter och risker,</SPAN></P>
<P class="p252 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">utgöra en nationell plattform för samverkan och informations- utbyte med privata och offentliga aktörer inom cybersäkerhets- området.</SPAN></P>
<P class="p253 ft17">Samverkan inom ramen för cybersäkerhetscentret ska utvecklas steg- vis <NOBR>2021–2023</NOBR> inom följande områden:</P>
<P class="p198 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">samlokalisering av relevanta förmågor från myndigheterna,</SPAN></P>
<P class="p25 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">stöd vid hanteringen av cyberangrepp och andra </SPAN><NOBR>it-incidenter,</NOBR></P>
<P class="p134 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">upprättande av en plan för samlad hantering på nationell nivå vid allvarliga cyberangrepp,</SPAN></P>
<P class="p237 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">tillhandahållande av anpassade och aggregerade lägesbilder och analyser avseende hot, sårbarheter och risker,</SPAN></P>
<P class="p254 ft87"><SPAN class="ft56">22</SPAN><SPAN class="ft86">En gemensam redovisning av arbetet ska lämnas årligen till Regeringskansliet (Försvars- departementet och Justitiedepartementet) i samband med att myndigheternas årsredovisning lämnas till regeringen. Redovisningen ska innehålla såväl en verksamhetsuppföljning som en ekonomisk redovisning.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">79</P>
</DIV>
</DIV>
<DIV id="page_81">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Utgångspunkter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p255 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">riktade och samordnade varningar avseende hot och cyberangrepp,</SPAN></P>
<P class="p256 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">samordning av stödet till förebyggande skyddsåtgärder, exempel- vis tekniska säkerhetsanalyser och kartläggning av verksamheters beredskap vid </SPAN><NOBR>it-incidenter,</NOBR></P>
<P class="p101 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">samordning av, och utgöra kontaktpunkt för, internationella sam- arbeten på myndighetsnivå inom cybersäkerhetscentrets verk- samhet,</SPAN></P>
<P class="p101 ft17"><SPAN class="ft21">–</SPAN><NOBR><SPAN class="ft55">kunskaps-,</SPAN></NOBR> kompetens- och informationsutbyte och samverkan med offentliga och privata aktörer, exempelvis avseende detek- tion, sårbarheter, hot, risker, analys, verktyg och metoder samt internationellt samarbete,</P>
<P class="p257 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">dialog med aktörer inom </SPAN><NOBR>forsknings-,</NOBR> kunskaps- och kompetens- uppbyggnad, och</P>
<P class="p258 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">erbjudande av kompetenshöjande insatser, exempelvis övningar och utbildningar för identifierade målgrupper.</SPAN></P>
<P class="p259 ft19">Cybersäkerhetscentrets verksamhet ska komma till bred nationell nytta inom såväl offentlig som privat verksamhet. Vad gäller mål- gruppsanpassade insatser ska dessa under <NOBR>2021–2023</NOBR> fokusera på ett urval av prioriterade målgrupper utifrån myndigheternas respektive uppdrag. Myndigheterna som samverkar genom cybersäkerhetscen- tret ska bidra till verksamheten inom ramen för sina befintliga upp- gifter. Den fördjupade samverkan inom cybersäkerhetscentret ska inte ta över det ansvar som ligger på de ingående myndigheterna och andra aktörer.</P>
<P class="p260 ft62"><SPAN class="ft48">3.4</SPAN><SPAN class="ft67">Samlad informations- och cybersäkerhetshandlingsplan </SPAN><NOBR>2020–2023</NOBR></P>
<P class="p261 ft46">Regeringen beslutade 2018 att uppdra åt Myndigheten för samhälls- skydd och beredskap, Försvarets radioanstalt, Försvarets materielverk, Försvarsmakten, Post- och telestyrelsen, Polismyndigheten och Säker- hetspolisen att ta fram en samlad handlingsplan för dessa myndighe- ters arbete utifrån målen i den nationella strategin för samhällets</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">80</P>
</DIV>
</DIV>
<DIV id="page_82">
<DIV id="p82dimg1">
<INGENBILD zsrc="H9B36382x1.jpg/" id="p82img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td82"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td1"><P class="p2 ft37">Utgångspunkter</P></TD>
</TR>
</TABLE>
<P class="p126 ft21">informations- och cybersäkerhet (skr. 2016/17:213). Handlingspla- nen ska omfatta åren <NOBR>2019–2022.<SPAN class="ft102">23</SPAN></NOBR></P>
<P class="p262 ft18">Av handlingsplanen ska framgå planerade åtgärder som myndig- heterna enskilt eller i samverkan med andra aktörer avser att vidta för att höja informations- och cybersäkerheten i samhället. Den sam- lade handlingsplanen bör – enligt regeringen – syfta till att bidra till att det sker en samordning avseende myndigheternas åtgärder och aktiviteter. I framtagandet av handlingsplanen ska myndigheterna särskilt samverka bl.a. med den eller de myndigheter som utövar tillsyn med stöd av lagen om informationssäkerhet för samhällsvik- tiga och digitala tjänster samt Myndigheten för digital förvaltning. Myndigheterna bör även på ett systematiskt sätt inhämta idéer och råd och i övrigt samverka med andra relevanta statliga myndigheter, regioner, kommuner, Sveriges Kommuner och Regioner, företag och andra organisationer som kan bidra i arbetet. Handlingsplanen kan även omfatta planerade åtgärder inom ramen för internationella samarbeten. Enligt regeringen finns i det fortsatta arbetet ett behov av en samlad redovisning av vilka åtgärder de sju myndigheterna på eget initiativ planerar att vidta för att höja informations- och cyber- säkerheten i samhället inom ramen för sina befintliga ansvarsområden de kommande åren. Med en samlad handlingsplan kommer – enligt regeringen – styrningen av de sju myndigheterna för att genomföra strategin bli mer ändamålsenlig. Uppdraget bidrar till att ge reger- ingen ett bättre underlag för att kunna analysera om myndigheternas planerade åtgärder är tillräckliga för att nå målsättningarna i strategin och vilka ytterligare åtgärder regeringen behöver vidta. Myndigheten för samhällsskydd och beredskap (MSB) ska vara sammanhållande för en årlig redovisning av den samlade handlingsplanen.<SPAN class="ft79">24</SPAN></P>
<P class="p109 ft46">Regeringen anger vidare att utöver uppdraget om en samlad hand- lingsplan avser den att återkomma med specifika uppdrag som myndig- heterna ska utföra i samverkan. Ett prioriterat uppdrag är framtagandet av en nationell modell för systematiskt informationssäkerhetsarbete</P>
<P class="p263 ft93"><SPAN class="ft56">23</SPAN><SPAN class="ft103">Uppdrag om en samlad informations- och cybersäkerhetshandlingsplan för åren </SPAN><NOBR>2019–2022<SPAN class="ft85">,</SPAN></NOBR><SPAN class="ft85"> regeringsbeslut </SPAN><NOBR><SPAN class="ft85">2018-07-12,</SPAN></NOBR><SPAN class="ft85"> Ju2018/03737/SSK.</SPAN></P>
<P class="p264 ft58"><SPAN class="ft56">24</SPAN><SPAN class="ft96">Myndigheten för samhällsskydd och beredskap ska vara sammanhållande för en årlig redo- visning till Regeringskansliet (Justitiedepartementet, Försvarsdepartementet och Närings- departementet) av dessa myndigheters arbete med att genomföra handlingsplanen. Den första redovisningen lämnades i mars 2020 till Regeringskansliet (Justitiedepartementet, Försvars- departementet och Näringsdepartementet). En redovisning ska därefter lämnas den 1 mars varje år fram till att uppdraget slutredovisas den 1 mars 2023. I samband med de årliga redovis- ningarna bör myndigheterna vid behov uppdatera handlingsplanen så att den ger en rättvisande bild av myndigheternas huvudsakliga aktiviteter.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">81</P>
</DIV>
</DIV>
<DIV id="page_83">
<DIV id="p83dimg1">
<INGENBILD zsrc="H9B36383x1.jpg/" id="p83img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Utgångspunkter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p60 ft18">som utgör en av målsättningarna i den nationella strategin för sam- hällets informations- och cybersäkerhet. Den nationella modellen syftar till att utgöra en gemensam plattform för det systematiska in- formationssäkerhetsarbetet genom at samordna och samla regelverk, metoder, verktyg, utbildningar med mera på ett lättillgängligt sätt.</P>
<P class="p82 ft46">Regeringen anger att strategin ger uttryck för regeringens över- gripande prioriteringar och målsättningar och syftar till att utgöra en plattform för Sveriges fortsatta utvecklingsarbete. Ingen aktör kan ensam lösa utmaningarna på detta område. När flera aktörer arbetar mot samma mål är det särskilt viktigt med samverkan och en gemen- sam riktning. Tillsammans med strategin bidrar den samlade hand- lingsplanen till en sådan riktning och risken minskar för till exempel överlappande arbete eller att centrala behov inte tillgodoses.<SPAN class="ft97">25 </SPAN>Reger- ingen framhåller att myndigheterna i detta uppdrag har centrala an- svarsområden i arbetet för en god <NOBR>informations-och</NOBR> cybersäkerhet i samhället. För ett effektivt genomförande av strategin krävs att myndigheterna i detta uppdrag i så stor utsträckning som möjligt samordnar sitt arbete. Myndigheterna ska därför i sin egen planering och prioritering av verksamheten när så är relevant för myndigheten beakta arbetet med handlingsplanen för att ta tillvara effektivitets- och kvalitetsnyttor i arbetet med hela samhällets informations- och cybersäkerhet. Löpande arbete med informations- och cybersäker- het i den egna organisationen ska dock i enlighet med ansvarsprin- cipen bedrivas kontinuerligt och självständigt. Den typen av åtgärder ska inte ingå i handlingsplanen.</P>
<P class="p82 ft18">De berörda myndigheterna offentliggjorde i mars 2021 en samlad informations- och cybersäkerhetshandlingsplan för <NOBR>2019–2022.<SPAN class="ft79">26</SPAN></NOBR><SPAN class="ft79"> </SPAN>Denna samlade informations- och cybersäkerhetshandlingsplan inne- håller åtgärder som berörda myndigheter enskilt, tillsammans eller i samverkan med andra aktörer avser att vidta för att höja informa- tions- och cybersäkerheten i samhället. I 2021 års redovisning har ett antal åtgärder avslutats, vissa har uppdaterats och ett fåtal har till- kommit. Åtgärderna i handlingsplanen ligger inom ramen för de an-</P>
<P class="p265 ft93"><SPAN class="ft56">25</SPAN><SPAN class="ft94">Försvarsberedningen har i sin rapport </SPAN>Motståndskraft, Inriktningen av totalförsvaret och ut- formningen av det civila försvaret <NOBR>2021–2025</NOBR> <SPAN class="ft85">(Ds 2017:66) betonat vikten av ett kontinuerligt och systematiskt arbete med informations- och cybersäkerhet för en trovärdig totalförsvars- förmåga. För att öka förmågan inom totalförsvaret är det enligt Försvarsberedningen centralt att bygga vidare på arbetet inom krisberedskapen och de strukturer för samhällets informa- tions- och cybersäkerhet som redan är etablerade.</SPAN></P>
<P class="p266 ft74"><SPAN class="ft56">26</SPAN><SPAN class="ft81">S</SPAN>amlad informations- och cybersäkerhetshandlingsplan för åren <NOBR>2019–2022</NOBR> – redovisning 2021<SPAN class="ft41">, publikationsnummer: MSB1635 – mars 2021.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">82</P>
</DIV>
</DIV>
<DIV id="page_84">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td82"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td1"><P class="p2 ft37">Utgångspunkter</P></TD>
</TR>
</TABLE>
<P class="p193 ft18">svarsområden och uppdrag som myndigheterna har. Handlingsplanen ska dock inte ses som en komplett redovisning av alla de åtgärder som de olika myndigheterna avser att genomföra inom sina respek- tive verksamheter på informations- och cybersäkerhetsområdet. Samtliga åtgärder i handlingsplanen ansluter till någon eller några av de sex strategiska prioriteringar som regeringen beslutat i den nationella strategin för samhällets informations- och cybersäkerhet (skr. 2016/17:213). Huvuddelen av åtgärderna syftar till att:</P>
<P class="p237 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">säkerställa en systematisk och samlad ansats i arbetet med infor- mations- och cybersäkerhet,</SPAN></P>
<P class="p198 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">öka säkerheten i nätverk, produkter och system,</SPAN></P>
<P class="p267 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">stärka förmågan att förebygga, upptäcka och hantera cyberattacker och andra </SPAN><NOBR>it-incidenter,</NOBR> och</P>
<P class="p25 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">öka kunskapen och främja kompetensutvecklingen.</SPAN></P>
<P class="p268 ft18">Av redovisningen framgår vilken myndighet som är ansvarig för re- spektive åtgärd, vilka som deltar i arbetet samt vad åtgärden omfattar.</P>
<P class="p269 ft61"><SPAN class="ft48">3.5</SPAN><SPAN class="ft104">Författningsbestämmelser om informations- och cybersäkerhet</SPAN></P>
<P class="p91 ft18">Bestämmelser om myndigheters och övriga aktörers ansvar för informationssäkerhet och säkerhetsskydd finns i flera olika former av författningar. Vissa typer av regleringar som avser ansvar för in- formation utgår från att skydda eller tillvarata särskilda intressen, bl.a. informationssäkerhet, offentlighet, sekretess, integritetsskydd, effektiv förvaltning, m.m. Här finns anledning att även nämna data- skyddsreglernas krav på säkerhet vid behandling av personuppgifter liksom arkivregleringens krav rörande bevarande av handlingar och uppgiftssamlingar över lång tid. Vidare kan sektorsspecifik reglering om hantering av information också innehålla bestämmelser om in- formationssäkerhet.</P>
<P class="p187 ft46">Bestämmelser som reglerar <SPAN class="ft60">informationssäkerhet </SPAN>återfinns i flera olika regelverk. I huvudsak reglerar författningarna antingen skydd för information i viss typ av verksamhet eller särskilt skydd för viss typ av information samt skydd av nätverks- och informationssystem</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">83</P>
</DIV>
</DIV>
<DIV id="page_85">
<DIV id="p85dimg1">
<INGENBILD zsrc="H9B36385x1.jpg/" id="p85img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Utgångspunkter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p270 ft17">i vissa typer av verksamheter. Reglering finns i huvudsak inom om- rådena för säkerhetskänslig verksamhet (säkerhetsskydd) respektive annan samhällsviktig verksamhet, dvs. närmare angivna samhällsvik- tiga och digitala tjänster. I övrigt finns reglering om informations- säkerhet inom bl.a. området för skydd av personuppgifter (dataskydds- förordningen).</P>
<P class="p271 ft29">Figur 3.1 I figuren finns en översiktlig skiss över indelning i de verksamhetsområden som innehåller reglering av informations- och cybersäkerhet</P>
<P class="p272 ft17">Nedan följer översiktlig redogörelse av regleringen av nätverks- och informationssäkerhet som är av mer central betydelse för den fort- satta analysen av utredningsfrågorna.</P>
<P class="p70 ft26"><SPAN class="ft26">3.5.1</SPAN><SPAN class="ft89">Säkerhetsskydd</SPAN></P>
<P class="p261 ft18">En ny säkerhetsskyddslag (2018:585) och den till lagen anslutande säkerhetsskyddsförordningen (2018:658) har trätt i kraft den 1 april 2019. I lagen och förordning finns bestämmelser som ställer krav på särskilda skyddsåtgärder (säkerhetsskydd) för den information och informationssystem som kan påverka rikets säkerhet. Med säker- hetsskydd avses bl.a. skydd av uppgifter som omfattas av sekretess enligt offentlighets- och sekretesslagen jämte skydd av informations-</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">84</P>
</DIV>
</DIV>
<DIV id="page_86">
<DIV id="p86dimg1">
<INGENBILD zsrc="H9B36386x1.jpg/" id="p86img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td82"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td1"><P class="p2 ft37">Utgångspunkter</P></TD>
</TR>
</TABLE>
<P class="p193 ft18">system i övrigt som rör Sveriges säkerhet. Informationssäkerhet är en av tre grundläggande säkerhetsskyddsåtgärder i säkerhetsskyddslagen och ska förebygga att uppgifter som omfattas av sekretess och som rör rikets säkerhet obehörigen röjs, ändras eller förstörs. Vilka upp- gifter som en myndighet ska hålla hemliga med hänsyn till rikets säkerhet avgörs efter en säkerhetsanalys hos respektive myndighet. Ytterligare bestämmelser om kraven på informationssäkerhet finns i säkerhetsskyddsförordningen.</P>
<P class="p11 ft18">Lagen gäller vid verksamhet hos staten, regioner och kommunerna, men även aktiebolag, handelsbolag, föreningar och stiftelser över vilka staten, regionerna och kommunerna utövar ett rättsligt bestäm- mande inflytande. Lagen gäller också för enskilda om verksamheten är av betydelse för rikets säkerhet. Lagstiftningen har därefter kom- pletterats med bestämmelser om skärpt kontroll av statliga myndig- heters utkontraktering och överlåtelse av säkerhetskänslig verksamhet. Säkerhetsskyddslagstiftningen genomgår fortsatt ett omfattande re- formarbete (se kapitel 6, 8 och 13).</P>
<P class="p187 ft18">Försvarsmakten, Säkerhetspolisen och andra tillsynsmyndigheter ansvarar för tillsyn och kontroll av säkerhetsskyddet hos myndig- heter och andra som lagen gäller för.</P>
<P class="p147 ft26"><SPAN class="ft26">3.5.2</SPAN><SPAN class="ft89">Samhällsviktiga och digitala tjänster</SPAN></P>
<P class="p232 ft18"><NOBR>NIS-direktivet<SPAN class="ft79">27</SPAN></NOBR><SPAN class="ft79"> </SPAN>ställer krav på säkerhet i nätverk och informations- system i vissa angivna samhällsviktiga verksamheter.<SPAN class="ft79">28 </SPAN>Reglerna om- fattar leverantörer av samhällsviktiga tjänster och vissa digitala tjäns- ter. Dessa leverantörer kan finnas i både offentlig och privat sektor. Tjänster som omfattas av <NOBR>NIS-direktivet</NOBR> delas in i samhällsviktiga tjänster och digitala tjänster. Samhällsviktiga tjänster är tjänster som är viktiga för att upprätthålla kritisk samhällelig eller ekonomisk verk- samhet. De är indelade i sju sektorer:</P>
<P class="p273 ft107"><SPAN class="ft56">27</SPAN><SPAN class="ft105">Europaparlamentets och Rådets direktiv (EU) 2016/1148 av den 6 juli 2016 </SPAN><SPAN class="ft106">om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen</SPAN>.</P>
<P class="p274 ft41"><SPAN class="ft56">28</SPAN><SPAN class="ft82">Samhällsviktig verksamhet är ett samlingsbegrepp som omfattar de verksamheter, anlägg- ningar, noder, infrastrukturer och tjänster som är av avgörande betydelse för att upprätthålla viktiga samhällsfunktioner.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">85</P>
</DIV>
</DIV>
<DIV id="page_87">
<DIV id="p87dimg1">
<INGENBILD zsrc="H9B36387x1.jpg/" id="p87img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Utgångspunkter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p255 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">bankverksamhet,</SPAN></P>
<P class="p34 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">digital infrastruktur,</SPAN></P>
<P class="p34 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">energi,</SPAN></P>
<P class="p34 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">finansmarknadsinfrastruktur,</SPAN></P>
<P class="p34 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">hälso- och sjukvård,</SPAN></P>
<P class="p34 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">leverans och distribution av dricksvatten,</SPAN></P>
<P class="p34 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">transport.</SPAN></P>
<P class="p153 ft17">I <NOBR>NIS-direktivet</NOBR> används begreppet ”samhällsviktiga tjänster” vilket har ett snävare fokus än ”samhällsviktig verksamhet”. Det är verksam- hetsutövaren själv som ansvarar för att identifiera sig som en sam- hällsviktig tjänst under NIS, och att anmäla detta till berörd tillsyns- myndighet.</P>
<P class="p73 ft18">Lagen (2018:1174) respektive förordningen (2018:1175) om in- formationssäkerhet för samhällsviktiga och digitala tjänster om infor- mationssäkerhet för samhällsviktiga och digitala tjänster trädde i kraft den 1 augusti 2018. Den angivna lagen ställer krav på leverantörer av samhällsviktiga tjänster inom de sju utpekade sektorerna samt, under vissa förutsättningar, leverantörer av digitala tjänster.</P>
<P class="p106 ft18">Myndigheten för samhällsskydd och beredskap (MSB) har med- delat föreskrifter om vilka tjänster inom dessa sektorer som ska anses som samhällsviktiga. Leverantörer av samhällsviktiga tjänster ska vidta adekvata åtgärder för att skydda de nätverks- och informa- tionssystem som de använder för att tillhandahålla samhällsviktiga tjänster.<SPAN class="ft79">29 </SPAN>De ska även rapportera till MSB om incidenter som har en betydande inverkan på kontinuiteten i tjänsterna. Ett antal myndig- heter har genom föreskrift fått i uppgift att bedriva tillsyn över regel- verket inom sina respektive sektorer. En sådan tillsynsmyndighet ska ha befogenhet och medel för att kontrollera att leverantörerna upp- fyller sina skyldigheter samt fastställa regler om sanktioner vid över- trädelse av regelverket. Den nya lagen gäller även för digitala tjänster</P>
<P class="p73 ft46">En leverantör av samhällsviktiga tjänster ska arbeta systematiskt och riskbaserat med sitt informationssäkerhetsarbete. Kraven för leve- rantörer av samhällsviktiga tjänster beskrivs mer detaljerat i Myn-</P>
<P class="p275 ft41"><SPAN class="ft56">29</SPAN><SPAN class="ft81">Myndigheten för samhällsskydd och beredskaps föreskrifter </SPAN><SPAN class="ft74">om informationssäkerhet för leverantörer av samhällsviktiga tjänster </SPAN>(MSBFS 2018:8).</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">86</P>
</DIV>
</DIV>
<DIV id="page_88">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td82"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td1"><P class="p2 ft37">Utgångspunkter</P></TD>
</TR>
</TABLE>
<P class="p193 ft19">digheten för samhällsskydd och beredskaps (MSB) föreskrifter om informationssäkerhet för leverantörer av samhällsviktiga tjänster (MSBFS 2018:8). I föreskrifterna beskrivs hur leverantören ska gå tillväga för att bedriva ett effektivt informationssäkerhetsarbete. Före- skrifterna ger bland annat kunskap, och stöd, om resurser för att identifiera, införa och utvärdera ändamålsenliga och proportioner- liga organisatoriska och tekniska säkerhetsåtgärder.</P>
<P class="p111 ft18">Den angivna regleringen ställer således krav på att verksamhets- utövare som omfattas av regleringen ska bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete i sin verksamhet.,</P>
<P class="p111 ft46">I detta sammanhang kan noteras att <NOBR>NIS-direktivet</NOBR> är föremål för översyn och att kommissionen i december 2020 har offentliggjort ett utkast till ett nytt <NOBR>NIS2-direktiv,</NOBR> som bl.a. utökar tillämpnings- område till fler sektorer i samhällsverksamheten (se kapitel 12</P>
<P class="p5 ft26"><SPAN class="ft26">3.5.3</SPAN><SPAN class="ft89">Det europeiska ramverket för cybersäkerhetscertifiering</SPAN></P>
<P class="p91 ft18">Utredningen lämnade delbetänkandet <SPAN class="ft45">EU:s cybersäkerhetsakt – kom- pletterande nationella bestämmelser om cybersäkerhetscertifiering </SPAN>(SOU 2020:58) till regeringen i september 2020. I delbetänkande lämnar utredningen förslag om att Försvarets materielverk ska utses till nationell cybersäkerhetsmyndighet med uppgift att fullgöra de skyldigheter som följer av EU:s cybersäkerhetsakt. Vidare lämnades förslag om författningsbestämmelser avseende tillsyn, sanktioner, sekretess, m.m. Delbetänkandet har remissbehandlats under 2021.</P>
<P class="p111 ft18">Regeringen överlämnade den 29 april 2021 till riksdagen propo- sitionen <SPAN class="ft45">Kompletterande bestämmelser till EU:s cybersäkerhetsakt </SPAN>(prop. 2020/21:186) med anledning av utredningens delbetänkande. Utredningen har tagit del av vad regeringen anför i propositionen och kommer på motsvarande sätt som gäller för remissinstansernas synpunkter att beakta vad som anförs i propositionen i den utsträck- ning det har betydelse för utredningsarbetet.</P>
<P class="p11 ft17">I EU:s cybersäkerhetsakt anges att regleringen i akten inte på- verkar medlemsstaternas befogenheter i fråga om verksamhet som berör allmän säkerhet, försvar, nationell säkerhet och statens verk- samhet på straffrättens område, dvs. verksamheter som till stor del be- döms utgöra säkerhetskänslig verksamhet enligt den nationella säker- hetsskyddslagstiftningen.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">87</P>
</DIV>
</DIV>
<DIV id="page_89">
<DIV id="p89dimg1">
<INGENBILD zsrc="H9B36389x1.jpg/" id="p89img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Utgångspunkter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p276 ft18">Utredningen har i delbetänkandet gjort bedömningen att många av de <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> som kan komma att omfattas av regleringens tillämpningsområde även kommer att an- vändas i verksamheter som berör samhällsviktiga tjänster och i verk- samhet som berör säkerhetskänslig verksamhet och därför även det svenska totalförsvaret, såväl det militära som det civila försvaret.<SPAN class="ft79">30</SPAN></P>
<P class="p73 ft18">En av utgångspunkterna för utredningens arbete i denna del har därför varit – på motsvarande sätt som i delbetänkandet – att i de analyser och de överväganden som gjorts i olika frågor avseende den säkerhetskänsliga verksamheten även beakta hur utredningens ställ- ningstaganden och förslag kan komma att beröra informations- och cybersäkerhet inom tillämpningsområdet för EU:s cybersäkerhetsakt.</P>
<P class="p70 ft26"><SPAN class="ft26">3.5.4</SPAN><SPAN class="ft89">Regleringen avseende statliga myndigheter</SPAN></P>
<P class="p277 ft18">Grundläggande krav på statliga myndigheters informationssäkerhet finns i förordningen (2015:1052) om krisberedskap och bevaknings- ansvariga myndigheters åtgärder vid höjd beredskap. Av förordningen framgår att varje myndighet ansvarar för att egna informationshanter- ingssystem uppfyller sådana grundläggande och särskilda säkerhets- krav att myndighetens verksamhet kan utföras på ett tillfredsställande sätt.<SPAN class="ft79">31 </SPAN>Behovet av säkra ledningssystem för informationssäkerhet ska särskilt beaktas. Vidare regleras en skyldighet för myndigheterna att rapportera <NOBR>it-incidenter</NOBR> till Myndigheten för samhällsskydd och bered- skap (MSB). Förordningen kompletteras av myndighetens föreskrifter om statliga myndigheters informationssäkerhet<SPAN class="ft79">32</SPAN>, föreskrifter om säkerhetsåtgärder i informationssystem för statliga myndigheter<SPAN class="ft79">33 </SPAN>och om statliga myndigheters rapportering av <NOBR>it-incidenter.<SPAN class="ft79">34</SPAN></NOBR><SPAN class="ft79"> </SPAN>I anslutning till föreskrifterna har myndigheten tagit fram allmänna råd som för- tydligar innebörden av bestämmelserna i föreskrifterna och ger gene- rella rekommendationer om tillämpningen.</P>
<P class="p70 ft87"><SPAN class="ft56">30</SPAN><SPAN class="ft86">Se avsnitt 2.4 i delbetänkandet.</SPAN></P>
<P class="p223 ft85"><SPAN class="ft56">31</SPAN><SPAN class="ft94">19 och 20 §§ förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndig- heters åtgärder vid höjd beredskap.</SPAN></P>
<P class="p223 ft85"><SPAN class="ft56">32</SPAN><SPAN class="ft94">Myndigheten för samhällsskydd och beredskaps föreskrifter </SPAN><SPAN class="ft93">om informationssäkerhet för statliga myndigheter </SPAN>(MSBFS 2020:6).</P>
<P class="p223 ft85"><SPAN class="ft56">33</SPAN><SPAN class="ft94">Myndigheten för samhällsskydd och beredskaps föreskrifter </SPAN><SPAN class="ft93">om säkerhetsåtgärder i informa- tionssystem för statliga myndigheter </SPAN>(MSBFS 2020:7).</P>
<P class="p250 ft41"><SPAN class="ft56">34</SPAN><SPAN class="ft81">Myndigheten för samhällsskydd och beredskaps föreskrifter </SPAN><SPAN class="ft74">om rapportering av </SPAN><NOBR><SPAN class="ft74">it-incidenter</SPAN></NOBR><SPAN class="ft74"> för statliga myndigheter </SPAN>(MSBFS 2020:8).</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">88</P>
</DIV>
</DIV>
<DIV id="page_90">
<DIV id="p90dimg1">
<INGENBILD zsrc="H9B36390x1.jpg/" id="p90img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td82"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td1"><P class="p2 ft37">Utgångspunkter</P></TD>
</TR>
</TABLE>
<P class="p5 ft26"><SPAN class="ft26">3.5.5</SPAN><SPAN class="ft89">Regioner och kommuner</SPAN></P>
<P class="p232 ft46">För regioner och kommuner gäller lagen (2006:544) om kommuners och regioners åtgärder inför och vid extraordinära händelser i freds- tid och höjd beredskap. Bestämmelserna i lagen syftar till att regio- ner och kommuner ska minska sårbarheten i sin verksamhet och ha en god förmåga att hantera krissituationer i fred. Regioner och kom- muner ska därigenom också uppnå en grundläggande förmåga till civilt försvar. Regioner och kommuner ska analysera vilka extraordi- nära händelser i fredstid som kan inträffa i kommunen respektive regionen och hur dessa händelser kan påverka den egna verksam- heten. Resultatet av arbetet ska värderas och sammanställas i en risk- och sårbarhetsanalys. Regioner och kommuner ska vidare, med be- aktande av risk- och sårbarhetsanalysen, för varje ny mandatperiod fastställa en plan för hur de ska hantera extraordinära händelser. Reger- ingen eller den myndighet som regeringen bestämmer får meddela närmare föreskrifter om risk- och sårbarhetsanalyser samt planer för hanteringen av extraordinära händelser. Regleringen omfattar emeller- tid inte specifika bestämmelser med krav på eller om informations- säkerhet.<SPAN class="ft97">35</SPAN></P>
<P class="p278 ft48"><SPAN class="ft48">3.6</SPAN><SPAN class="ft78">Offentliga utredningar och rapporter</SPAN></P>
<P class="p74 ft18">Under den senaste femårsperioden har ett antal offentliga utred- ningar och myndighetsrapporter offentliggjorts som berör informa- tions- och cybersäkerhet och, till viss del, säkerhetsskydd i olika verk- samheter. Både utredningar och rapporter visar det finns besvärande brister i informations- och cybersäkerheten i många offentliga aktö- rers verksamhet och att det därför finns befogad anledning anta att även informations- och cybersäkerheten i den säkerhetsskyddade verk- samheten kan vara bristfälligt. En redogörelse för vad som framkom- mer av utredningarna och rapporterna finns i kapitel 8.</P>
<P class="p279 ft58"><SPAN class="ft56">35</SPAN><SPAN class="ft96">Det kan dock nämnas att vissa föreskrifter som gäller hälso- och sjukvården anger krav på in- formationssäkerhet när vårdgivare behandlar patienters personuppgifter </SPAN><NOBR>(HSLF-FS</NOBR> 2016:40).</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">89</P>
</DIV>
</DIV>
<DIV id="page_91">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Utgångspunkter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p280 ft61"><SPAN class="ft48">3.7</SPAN><SPAN class="ft104">Digitaliseringen och kraven på informations- och cybersäkerhet</SPAN></P>
<P class="p128 ft46">Utredningen kan konstatera att digitaliseringen och hanteringen av information i nätverks- och informationssystem ökar i alla delar av samhället och inom alla samhällsverksamheter. I takt med att den digitala utvecklingen skapar nya möjligheter uppstår nya säkerhets- utmaningar och hela samhället behöver därför kunna hantera både nationella och globala säkerhetsutmaningar. När det uppkommer sårbarheter och brister i olika nätverks- och informationssystem ris- kerar det att få omfattande säkerhets- och integritetsmässiga kon- sekvenser för samhället i stort och för enskilda. En betryggande nät- verks- och informationssäkerhet på alla samhällsområden och på alla nivåer är därför grundläggande för den fortsatta utvecklingen av en säker, innovativ och effektiv digital samhällsverksamhet och förvalt- ning. Den påverkan som den mer generella utvecklingen av sam- hällets digitalisering, och därtill kopplade krav på bl.a. säkra nätverks- och informationssystem, medför går inte att bortse från när en analys ska göras av behovet av att stärka säkerheten i nätverks- och informationssystem i säkerhetskänslig verksamhet. Detta blir även en utgångspunkt för utredningens fortsatta analys och överväganden i de frågor som tas upp i utredningsdirektiven.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">90</P>
</DIV>
</DIV>
<DIV id="page_92">
<DIV id="p92dimg1">
<INGENBILD zsrc="H9B36392x1.jpg/" id="p92img1">
</DIV>
<P class="p281 ft109"><SPAN class="ft16">4</SPAN><SPAN class="ft108">Digitalisering och informations- och cybersäkerhet</SPAN></P>
<P class="p282 ft18"><SPAN class="ft59">Bedömning: </SPAN>Digitaliseringen i samhället sker snabbt och i stor omfattning inom de flesta samhällssektorer. Digitalisering med- för nya arbetssätt, som bygger på nya tekniska möjligheter att samla in stora mängder data. Förändringsfaktorer, bl.a. utveck- lingen av ny teknik, medför att nya sårbarheter och risker upp- står. Informations- och cybersäkerhet i samhället i stort och inom olika samhällsviktiga områden utvecklas inte i motsvarande grad vilket innebär att gapet mellan digitalisering och informations- och cybersäkerhet ökar över tiden. Detta medför även ökade ris- ker för cyberangrepp mot eller <NOBR>it-incidenter</NOBR> i säkerhetskänsliga och andra samhällsviktiga verksamheter.</P>
<P class="p283 ft48"><SPAN class="ft48">4.1</SPAN><SPAN class="ft78">Inledning</SPAN></P>
<P class="p74 ft18">Den pågående digitala utvecklingen i Sverige och i världen går på många plan mycket fort och statliga myndigheter, regioner, kom- muner och aktörer i näringslivet bedriver sedan många år olika digitaliseringsarbeten. Digitaliseringen påverkar hela samhället och området kan beskrivas som horisontellt, bl.a. för att det omfattar alla samhällssektorer. På samma sätt som utvecklingen av digitaliser- ingen kan föra med sig fördelar kan den också föra med sig nya eller förändrade hot och sårbarheter. <NOBR>Covid-19-pandemin</NOBR> under 2020 är ett exempel som har tydliggjort detta genom att många anställda, både i offentlig sektor och i näringslivet, mot bakgrund av rådande om- världsläge har behövt utföra sina arbetsuppgifter på annan plats än den ordinarie arbetsplatsen. Det har fört med sig att myndigheter och företag i större omfattning behövt nyttja internet och olika system</P>
<P class="p284 ft31">91</P>
</DIV>
<DIV id="page_93">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Digitalisering och informations- och cybersäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p189 ft21">för fjärruppkoppling, anskaffa teknisk utrustning och nyttja olika tekniska tjänster.</P>
<P class="p104 ft18">Mot bakgrund av utvecklingen av digitalisering inom olika sam- hällsverksamheter, bl.a. säkerhetskänslig verksamhet, och betydel- sen av stärkt informations- och cybersäkerhet behandlas dessa frågor översiktligt i detta kapitel. Syftet är att belysa betydelsen av infor- mations- och cybersäkerhet när frågor om digitaliseringen behand- las, med fokus bl.a. på olika förändringsfaktorer som utgör utmaningar och ökade sårbarheter och risker för denna säkerhet.</P>
<P class="p70 ft48"><SPAN class="ft48">4.2</SPAN><SPAN class="ft78">Bakgrund</SPAN></P>
<P class="p285 ft46">Riksdagen har vid åtskilliga tillfällen fått ta ställning till proposi- tioner och skrivelser om digitaliseringen och informationsteknikens betydelse för samhällets utveckling inom många olika områden. Rege- ringen har lämnat förslag till mål, strategier och ett antal andra åt- gärder, lagförslag, lägesrapporter om den digitala utvecklingen och lyft fram statens och den offentliga förvaltningens ansvar och upp- gifter i denna utveckling, m.m. Regeringen har även tillsatt utred- ningar i kommittéväsendet för att utreda och lämna förslag om olika frågor som har med digitalisering och it att göra inom olika samhälls- områden och om förvaltningens digitala organisering och utveck- ling. Regeringen har också tillsatt utredningar i kommittéväsendet med operativa uppgifter att utveckla <NOBR>e-förvaltningen.</NOBR> Regeringen har dessutom tillsatt arbetsgrupper, som har utrett olika frågor om <NOBR>e-för-</NOBR> valtning och tillsatt olika så kallade råd för att utveckla <NOBR>e-förvalt-</NOBR> ningen i samverkan med aktörerna i den offentliga sektorn och med näringslivet.</P>
<P class="p286 ft18">Samtidigt har myndighetsansvaret för digitaliserings- och <NOBR>it-frå-</NOBR> gorna, och då även informations- och cybersäkerheten, skiftat under åren. Regeringen har gett olika myndigheter uppgifter som har med samhällets och det offentliga åtagandet för förvaltningens digitali- sering att göra samt inrättat och lagt ner flera myndigheter med uppgifter att utveckla och stödja förvaltningens användning av it. De organisatoriska lösningarna har varit tillfälliga och kortsiktiga. Reger- ingen har även gett statliga myndigheter inom olika politikområden och sektorer uppdrag om förvaltningens digitalisering, bl.a. <NOBR>e-för-</NOBR> valtning, i regleringsbrev och i särskilda regeringsbeslut. Samman-</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">92</P>
</DIV>
</DIV>
<DIV id="page_94">
<DIV id="p94dimg1">
<INGENBILD zsrc="H9B36394x1.jpg/" id="p94img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td83"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td84"><P class="p2 ft37">Digitalisering och informations- och cybersäkerhet</P></TD>
</TR>
</TABLE>
<P class="p193 ft18">fattningsvis kan noteras att det har sedan <NOBR>1970-talet</NOBR> nästan konstant funnits en kommitté, arbetsgrupp eller myndighetsuppdrag med upp- gift att behandla digitalisering och <NOBR>it-frågor.<SPAN class="ft79">1</SPAN></NOBR></P>
<P class="p149 ft17">Dagens digitaliseringsstrategier föregås en rad utredningar under 1980- och <NOBR>1990-talen</NOBR> som har behandlat frågor om ADB (automatisk databehandling) och sedermera it. Bl.a. inrättade den så kallade IT- kommissionen ett ”observatorium för <NOBR>IT-infrastrukturfrågor”</NOBR> i slu- tet av <NOBR>1990-talet</NOBR> i syfte att skapa ett forum för diskussioner och rekommendationer kring frågor rörande den grundläggande infra- strukturen för it.<SPAN class="ft54">2</SPAN></P>
<P class="p111 ft19">Digitaliseringskommissionen, som bildades av regeringen i juni 2012 och som utgjorde <NOBR>IT-kommissionens</NOBR> arvtagare, fick till uppgift att verka för att det <NOBR>it-politiska</NOBR> målet uppnås och att regeringens ambitioner inom området fullföljs.<SPAN class="ft101">3 </SPAN>Digitaliseringskommissionen har utkommit med en rad delbetänkanden på temat Sveriges digitala agenda.<SPAN class="ft101">4 </SPAN>Kommissionen arbete sammanfattades med slutbetänkan- det <SPAN class="ft63">För digitalisering i tiden </SPAN>(SOU 2016:89).</P>
<P class="p187 ft19">De rapporter som publicerats av Digitaliseringskommissionen och andra aktörer visar att analyserna har vidgats från ett infrastruk- tur- och teknikfokus till ett bredare samhällsperspektiv som betrak- tar digitaliseringen som en transformerande kraft som påverkar sam- hället på alla nivåer. Även begreppen förändras från ADB till IT till det nuvarande begreppet digitalisering.</P>
<P class="p287 ft58"><SPAN class="ft56">1</SPAN><SPAN class="ft96">SOU 2017:23, s. 51 ff. I delbetänkandet lämnas en översiktlig redogörelse för regeringens ambitioner för utvecklingen och digitaliseringen av den offentliga förvaltningen och det orga- niserade stödet av denna utveckling under den senaste </SPAN><NOBR>tjugoårs-perioden.</NOBR></P>
<P class="p0 ft110"><SPAN class="ft56">2</SPAN><SPAN class="ft86">Se t.ex. </SPAN>Framtidssäker <NOBR>IT-infrastruktur</NOBR> för Sverige <SPAN class="ft87">(SOU 1999:134).</SPAN></P>
<P class="p0 ft93"><SPAN class="ft56">3</SPAN><SPAN class="ft103">Digitaliseringskommissionen – en kommission för den digitala agendan</SPAN><SPAN class="ft85">, Dir. 2012:61.</SPAN></P>
<P class="p288 ft100"><SPAN class="ft56">4</SPAN><SPAN class="ft99">En digital agenda i människans tjänst – Sveriges digitala ekosystem, dess aktörer och drivkrafter </SPAN><SPAN class="ft58">(SOU 2013:31); </SPAN>En digital agenda i människans tjänst – en ljusnande framtid kan bli vår <SPAN class="ft58">(SOU 2014:13); </SPAN>Gör Sverige i framtiden – digital kompetens <SPAN class="ft58">(SOU 2015:28); </SPAN>Om Sverige i fram- tiden – en antologi om digitaliseringens möjligheter <SPAN class="ft58">(SOU 2015:65); </SPAN>Digitaliseringens transformerande kraft – vägval för framtiden <SPAN class="ft58">(SOU 2015:91) och </SPAN>Digitaliseringens effekter på individ och samhälle – fyra temarapporter <SPAN class="ft58">(SOU 2016:85). Kommissionens arbete avslutades i och med slutbetänkandet </SPAN>För digitalisering i tiden <SPAN class="ft58">(SOU 2016:89).</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">93</P>
</DIV>
</DIV>
<DIV id="page_95">
<DIV id="p95dimg1">
<INGENBILD zsrc="H9B36395x1.jpg/" id="p95img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Digitalisering och informations- och cybersäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p201 ft48"><SPAN class="ft48">4.3</SPAN><SPAN class="ft78">Politikens mål för digitalisering</SPAN></P>
<P class="p213 ft26"><SPAN class="ft26">4.3.1</SPAN><SPAN class="ft89">Digitaliseringsstrategier</SPAN></P>
<P class="p289 ft17">I Sverige har det tagits fram en rad strategier för att tillvarata digi- taliseringens möjligheter. Det övergripande målet i den nuvarande digitaliseringsstrategin är, som tidigare berörts, att Sverige ska vara bäst i världen på att använda digitaliseringens möjligheter. För att nå detta mål har ett antal delmål avseende digital kompetens m.m. for- mulerats (kapitel 3).</P>
<P class="p115 ft18">Regeringen inrättade i mars 2017 Digitaliseringsrådet – inom Reger- ingskansliet – som stöd i arbetet med att förverkliga dessa mål. Digi- taliseringsrådets uppgift är att bidra till bättre samordning och ett effektivt genomförande av regeringens strategiska arbete med digita- lisering. Digitaliseringsrådet är direktrapporterande till digitaliser- ingsministern. Rådets uppgift är i korthet att:</P>
<P class="p34 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">följa och stödja regeringens arbete med digitalisering,</SPAN></P>
<P class="p34 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">följa digitaliseringen i Sverige,</SPAN></P>
<P class="p258 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">följa digitaliseringen i omvärlden och jämföra hur Sverige preste- rar mot andra länder, och</SPAN></P>
<P class="p101 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">lämna förslag till konkreta insatser samt samråda med andra funk- tioner som regeringen inrättat för att arbeta med samhällets digi- talisering.</SPAN></P>
<P class="p290 ft18">Den övergripande digitaliseringsstrategin är dock inte den enda stra- tegin av relevans för digitaliseringsfrågor. I Digitaliseringsrådets rap- port <SPAN class="ft45">En lägesbild av digital ledning</SPAN><SPAN class="ft79">5 </SPAN>2018 ges en översikt av närliggande strategidokument som också har påverkan på digitaliseringsfrågorna.<SPAN class="ft79">6 </SPAN>Digitaliseringsrådet lämnar i rapporten även en uppdaterad läges- bild av de fem delmål som anges i digitaliseringsstrategin. Lägesbil- derna, tillsammans med Digitaliseringskommissionens slutbetänkande<SPAN class="ft79">7</SPAN>, utgör en bas för det vidare arbetet när gäller förståelse om viktiga utmaningar och möjligheter. Under 2019 inriktades rådets verksam-</P>
<P class="p291 ft110"><SPAN class="ft80">5</SPAN><SPAN class="ft91">En lägesbild av digital ledning, </SPAN><SPAN class="ft87">Digitaliseringsrådet, 2018.</SPAN></P>
<P class="p292 ft100"><SPAN class="ft56">6</SPAN><SPAN class="ft57">Bl.a. </SPAN>Nationell strategi för informations- och cybersäkerhet<SPAN class="ft58">, </SPAN>Demokratistrategin<SPAN class="ft58">, </SPAN>Regeringens strategi för standardisering<SPAN class="ft58">, </SPAN>Bredbandsstrategin<SPAN class="ft58">, </SPAN>Nationell inriktning för artificiell intelligens <SPAN class="ft58">(inte formellt en strategi), </SPAN>Regeringens strategi för en digitalt samverkande statsförvaltning<SPAN class="ft58">, m.m.</SPAN></P>
<P class="p250 ft41"><SPAN class="ft80">7</SPAN><SPAN class="ft81">Digitaliseringskommissionens slutbetänkande </SPAN><SPAN class="ft74">Digitaliseringens transformerande kraft – väg- val för framtiden </SPAN>(2015:91).</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">94</P>
</DIV>
</DIV>
<DIV id="page_96">
<DIV id="p96dimg1">
<INGENBILD zsrc="H9B36396x1.jpg/" id="p96img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td83"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td84"><P class="p2 ft37">Digitalisering och informations- och cybersäkerhet</P></TD>
</TR>
</TABLE>
<P class="p293 ft21">het på att fortsätta följa utvecklingen, där analysarbetet är en stor utmaning.<SPAN class="ft102">8</SPAN></P>
<P class="p278 ft26"><SPAN class="ft26">4.3.2</SPAN><SPAN class="ft89">Utvecklingen</SPAN></P>
<P class="p232 ft18">Digitaliseringskommissionen konstaterar att digitaliseringen utgör katalysator och motor i samhällsutvecklingen sedan ett par decen- nier. Utvecklingen innebär helt nya förutsättningar för samhället och människan. Digitaliseringen och användningen av ny teknik föränd- rar förutsättningar och villkor för offentlig sektor och företag, för arbetsliv och utbildning och för tillit och social sammanhållning i samhället. Det som är särskilt kännetecknande för den av digitaliser- ingen drivna samhällsutvecklingen är hastigheten. Utvecklingen är exponentiell. Det beror på att informations- och kommunikations- tekniken (IKT) kontinuerligt och snabbt utvecklar nya användnings- områden och funktioner, högre prestanda samt att användarnas in- tresse för och kompetens att använda tekniken ständigt växer och driver utvecklingen.<SPAN class="ft79">9 </SPAN>Digitalisering innebär digital kommunikation och interaktion mellan människor, verksamheter och saker, dvs. möj- ligheten att samla in, tolka, tillämpa och utveckla allt större kvantiteter av data. Interaktionen via digitala plattformar gör att transaktions- kostnaderna för kontakt och kommunikation, varor och tjänster blir låga. Det innebär en växande marknad även för digitala mellanhänder. Traditionell administrativ handläggning minskar betydligt i det digitala samhället. Eftersom allt som sker digitalt lämnar digitala spår möjlig- görs insamling och tolkning av stora mängder data. Dessa data kan tillämpas för olika saker, såsom kunskapsuppbyggnad och analys, utveckling av tjänster och varor och för kvalitets- och förbättrings- arbete inom de flesta områden. Analys av stora mängder data innebär att kunskap om och förståelse av människan, samhället och miljön kommer att förändras. Det påverkar sättet att arbeta med olika ut- maningar inom de flesta samhällsområden.</P>
<P class="p58 ft18">Begreppet digitalisering har även blivit ett ledord för många aktö- rer som vill lyfta fram innovation, utveckling, framtid, förändring och</P>
<P class="p294 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft111">som det uttrycks – en pågående revolution. Kungl. Ingenjörsveten- skapsakademien (IVA) bedömer att</SPAN></P>
<P class="p295 ft87"><SPAN class="ft56">8</SPAN><NOBR><SPAN class="ft86">https://digitaliseringsradet.se/vi-aer-digitaliseringsraadet/vaart-uppdrag/</SPAN></NOBR> (hämtad <NOBR>2021-05-09).</NOBR></P>
<P class="p296 ft41"><SPAN class="ft56">9</SPAN><SPAN class="ft82">Digitaliseringskommissionens slutbetänkande </SPAN><SPAN class="ft74">Digitaliseringens transformerande kraft – väg- val för framtiden </SPAN>(2015:91), s. 57.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">95</P>
</DIV>
</DIV>
<DIV id="page_97">
<DIV id="p97dimg1">
<INGENBILD zsrc="H9B36397x1.jpg/" id="p97img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Digitalisering och informations- och cybersäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p297 ft27">digitaliseringen innebär en mycket snabb och genomgripande samhälls- förändring, en fjärde industriell revolution.<SPAN class="ft30">10</SPAN></P>
<P class="p192 ft18">Innebörden av denna revolution brukar beskrivas i termer av djup- gående förändringar som påverkar såväl strukturer som individer. Digitaliseringens globala och gränsöverskridande karaktär påverkar alla samhällssektorer men begränsar samtidigt enskilda staters makt i förhållande exempelvis till globalt verkande företag. Det offentliga har dock fortfarande ett ansvar eftersom enskilda företag inte be- höver eller förmår att ta ansvar för helheten eller konsekvenser av digitaliseringen som uppstår i andra eller tredje ledet.</P>
<P class="p106 ft18">I vid mening syftar begreppet digitalisering på processer som förändrar eller skapar något nytt genom användning och integrering av digital teknik. En förutsättning för att digitalisera är att informa- tion finns tillgänglig i digitalt format. Myndigheten för digital för- valtning (DIGG) bedömer att på senare tid har det skett en tydlig ambitionshöjning vad gäller den digitala förvaltningen i Sverige. Sedan bildandet av DIGG år 2018 har flera större projekt initierats. Det handlar framför allt om etablerandet av en förvaltningsgemen- sam digital infrastruktur för informationsutbyte, etableringen av flera nationella grunddatadomäner och ett intensifierat arbete med öppna data. Även styrningen av den offentliga sektorns digitalisering, som tidigare präglades av fragmentering och ett stort självbestämmande, har ändrat fokus och handlar i dag mycket om att öka helhetssynen och konsolidera och standardisera de komponenter och lösningar som behövs i hela eller stora delar av förvaltningen. Denna utveck- ling bedöms kunna ha stor positiv inverkan på den svenska förvalt- ningens förutsättningar att tillvarata digitaliseringens möjligheter.<SPAN class="ft79">11</SPAN></P>
<P class="p70 ft20">Arbetet med digital infrastruktur</P>
<P class="p71 ft18">Myndigheten för digital förvaltning (DIGG) leder ett arbete med att etablera en hållbar digital infrastruktur som ska möjliggöra ett effek- tivt och säkert utbyte av information inom och med det offentliga. Utvecklingen av infrastrukturen ska främja nya förvaltningsgemen- samma tjänster och lösningar för framtiden. Om Sverige ska kunna</P>
<P class="p298 ft93"><SPAN class="ft56">10</SPAN><SPAN class="ft92">Digitalisering för ökad konkurrenskraft</SPAN><SPAN class="ft85">, Kungl. Ingenjörsvetenskapsakademien (IVA), 2019, s. 7.</SPAN></P>
<P class="p299 ft113"><SPAN class="ft56">11</SPAN><NOBR><SPAN class="ft112">www.digg.se/om-oss/nyheter/2021/sveriges-digitala-forvaltning-ar-bra-men-flera-andra-</SPAN></NOBR> <NOBR>ar-battre</NOBR> (hämtad <NOBR>2021-05-09).</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">96</P>
</DIV>
</DIV>
<DIV id="page_98">
<DIV id="p98dimg1">
<INGENBILD zsrc="H9B36398x1.jpg/" id="p98img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td83"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td84"><P class="p2 ft37">Digitalisering och informations- och cybersäkerhet</P></TD>
</TR>
</TABLE>
<P class="p193 ft18">möta kommande samhällsutmaningar, bibehålla välfärden och nå eko- nomisk, social och ekologisk hållbarhet krävs det att svensk offentlig förvaltning utvecklar nya gemensamma lösningar, tillsammans. Digi- talisering är det viktigaste verktyget för att skapa en effektiv och ändamålsenlig förvaltning för framtiden. Ökad tillgång till data och ett ökat informationsflöde mellan aktörer bäddar för stora effekt- hemtagningar i form av bl.a. tidsvinster, minskad administrativ börda och lägre kostnader inom det offentliga. Infrastrukturen möjliggör även att nya datadrivna tekniker, såsom artificiell intelligens (AI), kan användas för att öka innovationsförmågan och ge bättre service. En fullt utvecklad digital infrastruktur ska underlätta för medborgare och företagare i deras myndighetskontakter både nationellt och inom EU, där en uppgift till exempel bara ska behöva lämnas en gång.</P>
<P class="p58 ft19">DIGG har – inom ramen för två regeringsuppdrag – tillsammans med ett stort antal andra myndigheter påbörjat etableringen av de beståndsdelar som ska ingå i den digitala infrastrukturen. Under 2021 och framåt intensifieras arbetet med att bygga upp en hållbar infra- struktur som ska vara säker, enkel och effektiv att använda. Infra- strukturen består i sin enklaste form av ett antal så kallade byggblock som tillsammans utgörs av standarder, modeller, ramverk, strukturer och tjänster. Till detta finns även ett nationellt ramverk för grund- data och en struktur för styrning.<SPAN class="ft101">12</SPAN></P>
<P class="p147 ft48"><SPAN class="ft48">4.4</SPAN><SPAN class="ft78">Internationella jämförelser (index)</SPAN></P>
<P class="p300 ft18">Digitaliseringsrådets uppgift är att följa Sveriges utveckling ur ett internationellt perspektiv. Det sker bland annat genom uppföljningen av ett antal internationella index. Indexen presenterar av olika inter- nationella aktörer och uppdateras i regel en gång per år. Syftet med ett index är att på ett åskådligt sätt jämföra länder med varandra och är uppbyggt genom att mätpunkter inom utvalda områden sam- manvägs för att ranka länder.</P>
<P class="p301 ft87"><SPAN class="ft56">12</SPAN><SPAN class="ft86">De myndigheter som har uppdragen att etablera en förvaltningsgemensam digital infrastruk- tur och ett nationellt ramverk för grunddata är Bolagsverket, DIGG, Domstolsverket, </SPAN><NOBR>E-hälso-</NOBR> myndigheten, Försäkringskassan, Lantmäteriet, Myndigheten för samhällsskydd och bered- skap, Riksarkivet samt Skatteverket.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">97</P>
</DIV>
</DIV>
<DIV id="page_99">
<DIV id="p99dimg1">
<INGENBILD zsrc="H9B36399x1.jpg/" id="p99img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Digitalisering och informations- och cybersäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p255 ft20">Sammanfattning av Sveriges placeringar</P>
<P class="p220 ft46">Sverige har under många år presterat bra i internationella jämförelser och rankas genomgående högt. Utifrån de index som redovisas presterar Sverige bra vad gäller infrastruktur och individers använd- ning i form av till exempel internetanvändning. Några av indexen visar på en lägre rankning för företagens användning av digitaliser- ing. Det område där Sverige presterar lägst är <NOBR>e-förvaltning,</NOBR> vilket går igenom alla index där det finns indikatorer som mäter detta. I varierande grad stämmer de internationella indexen med de fem del- mål som den svenska digitaliseringsstrategin innefattar. I jämförel- serna finns stor övervikt av indikatorer som mäter infrastruktur och kompetens ur ett globalt perspektiv. De indikatorer som försöker fånga aspekter av t.ex. innovation, ledning och trygghet bygger ofta på kvalitativa insamlingar vars metoder – enligt rådet – kan ifråga- sättas. Ett annat generellt problem med indexen är att indikatorerna inte alltid mäter det som man avser att fånga.</P>
<P class="p302 ft18">Såväl Digitaliseringsrådet som Digitaliseringskommissionen an- ser att de internationella jämförelserna täcker endast in delar av de aspekter och trender som bör följas. Djupare kunskap behöver ut- vecklas för att få en adekvat uppfattning om hur Sverige ligger till i förhållande till det yttersta målet ”att bli bäst i världen att använda digitaliseringens möjligheter”. T.ex. behövs det tas fram nya indika- torer. Statistiken bör även kompletteras med andra typer av studier som ger kunskap om variationer, mönster och orsakssamband.</P>
<P class="p73 ft19"><NOBR>EU-kommissionens</NOBR> index, DESI, publiceras varje år och kartläg- ger <NOBR>EU-ländernas</NOBR> prestation inom digitalisering. Under 2020 publi- cerades nya beräkningar som placerar Sverige på en andra plats efter Danmark. Det är en förbättring med en placering sedan förra året. Sverige räknas tillsammans med Danmark, Finland, Nederländerna, Storbritannien, Luxemburg, Belgien och Estland som de högpreste- rande länderna i Europa.<SPAN class="ft101">13</SPAN></P>
<P class="p303 ft41"><SPAN class="ft56">13</SPAN><SPAN class="ft82">Se </SPAN><NOBR>https://ec.europa.eu/digital-single-market/en/digital-economy-and-society-index-desi.</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">98</P>
</DIV>
</DIV>
<DIV id="page_100">
<DIV id="p100dimg1">
<INGENBILD zsrc="H9B363100x1.jpg/" id="p100img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td83"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td84"><P class="p2 ft37">Digitalisering och informations- och cybersäkerhet</P></TD>
</TR>
</TABLE>
<P class="p5 ft48"><SPAN class="ft48">4.5</SPAN><SPAN class="ft78">Digitala sårbarheter</SPAN></P>
<P class="p300 ft18">De visioner och strategier som framhåller digitaliseringens möjlig- heter påpekar att utvecklingen i Sverige verkar gå långsammare jäm- fört med andra länder. Samtidigt finns risk för att digitaliseringen medför att säkerhetsfrågorna förs in alltför sent i processen, vilket negativt kan påverka olika digitaliseringssatsningar.</P>
<P class="p186 ft17">Regeringens delmål <SPAN class="ft49">digital ledning </SPAN>pekar på vikten av att verk- samheter effektiviseras, utvecklas och får högre kvalitet genom styr- ning, mätning och uppföljning. Digitaliseringsrådet menar att den svenska förvaltningen behöver moderniseras och effektiviseras och drar slutsatsen att offentlig sektor behöver kunna svara upp mot växande krav på både ökad informations- och cybersäkerhet och effektivitet i verksamheterna i förening med ökad servicegrad och digitala tjänster.</P>
<P class="p187 ft18">Digitaliseringens möjligheter beror även på i vilken grad meto- derna, bl.a. tillämpning av AI och automatisering, kommer att leda fram till målen om ökad kvalitet och effektivitet. Strävan att auto- matisera olika processer sker i syfte att uppnå ökad kostnadseffekti- vitet och besparingar. Många offentliga utredningar och rapporter framhåller att en ökad digitalisering kan skapa större kostnadseffek- tivitet. Forskning om kostnader för implementering av nya tekniska system visar dock att det kan dröja länge innan ny teknik ger avkast- ning i termer av ökad produktivitet och/eller minskade kostnader.<SPAN class="ft79">14 </SPAN>Vad gäller att digitalisering av komplexa verksamheter kan i själva verket kostnaden vara avsevärd, bl.a. genom att införandet av ny tek- nologi och nya arbetssätt och som medför en längre process där olika mål och behov behöver beaktas samtidigt.</P>
<P class="p111 ft18">Som tidigare berörts medför digitaliseringen såväl ökade tekniska möjligheter som nya risker och sårbarheter. I Digitaliseringsrätts- utredningen betänkande 2018 konstaterades att den politiska inrikt- ningen i Sverige är att den offentliga förvaltningen ska leda vägen när det gäller den digitala omvandlingen och att ny teknik gärna ska tas i bruk tidigt. I betänkandet påpekas att detta mål samtidigt medför att det kommer att finnas ett växande behov av ett informations- och cybersäkerhetsarbete i myndigheternas informationshantering. Ett ökande behov av arbete med informations- och cybersäkerhet med-</P>
<P class="p304 ft74"><SPAN class="ft56">14</SPAN><SPAN class="ft114">Vilse i lasagnen? – En upptäcktsfärd i den svenska digitaliseringens mångbottnade problem- struktur</SPAN><SPAN class="ft41">, s. 21, </SPAN><NOBR><SPAN class="ft41">(FOI-R--4814--SE),</SPAN></NOBR><SPAN class="ft41"> Totalförsvarets forskningsinstitut, 2020.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">99</P>
</DIV>
</DIV>
<DIV id="page_101">
<DIV id="p101dimg1">
<INGENBILD zsrc="H9B363101x1.jpg/" id="p101img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Digitalisering och informations- och cybersäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p305 ft18">för kostnader, vilket erfarenhetsmässigt dock många gånger inte be- aktas när kostnader för verksamheten ska beräknas. Om kostnads- besparingar utgör en drivande kraft för att digitalisera finns en tydlig risk för att bl.a. behovet av <NOBR>informations-och</NOBR> cybersäkerhet inte beaktas i tillräcklig utsträckning. Det finns således en risk att sådant som på kort sikt ses som kostnadsdrivande, som t.ex. säkerhets- aspekter, åsidosätts när nya digitaliseringsprojekt ska genomföras. Ur ett risk- och sårbarhetsperspektiv kan därmed åtgärder för att spara kostnader innebära en risk om säkerhetsarbetet prioriteras ned.</P>
<P class="p62 ft19">Ett argument för en ökad digitalisering av olika samhällsverk- samheter är att ökad automatisering kan frigöra resurser från mer rutinartad administration och i stället tillföras verksamhetens kärn- uppgifter. Automatisering brukar dock inte bara presenteras i termer av behov utan också i termer av nya möjligheter. Bl.a. Vinnova har i en rapport om artificiell intelligens (AI)<SPAN class="ft101">15 </SPAN>betonat att utvecklingen av nya systemlösningar, tjänster och varor inom både offentlig sek- tor och näringslivet rymmer en stor potential för bl.a. ökad effek- tivitet. Vinnova pekar även på ett antal utmaningar och risker, bl.a. risken att <NOBR>AI-lösningar</NOBR> baseras på bristfälliga eller felaktiga algorit- mer och data och att säkerhetsrisker kan uppstå genom medvetet skadlig dataanvändning och datamanipulering.</P>
<P class="p61 ft17">I vilken grad digitalisering kan möta olika typer av utmaningar och t.ex. öka kvaliteten och effektiviteten i olika samhällsverksam- heter är dock en fråga som inte är begränsad till enbart tekniska aspekter. Avgörande är samtidigt hur dessa utmaningar ser ut och vad som menas med begrepp som kvalitet och effektivitet i sam- hällets olika verksamheter samtidigt som säkerheten i nätverks- och informationssystem kan uppnås.</P>
<P class="p82 ft19">Ett grundläggande problem som uppkommer kan handla om under- skattningar av den tid som krävs för att skapa säkra och användar- vänliga system, vilket kan medföra bristfälliga lösningar. Detta kan få allvarliga följdverkningar genom sårbarheter och säkerhetsbrister byggs in i de nya systemen. Samtidigt som signalen från strategi- dokumenten är att myndigheterna ska vara drivande vad gäller digi- talisering finns det ett gap mellan behovet av säkerhet och förutsätt- ningarna att bedriva säkerhetsarbete.</P>
<P class="p306 ft74"><SPAN class="ft56">15</SPAN><SPAN class="ft95">Artificiell intelligens i svenskt näringsliv och samhälle – Analys av utveckling och potential</SPAN><SPAN class="ft41">, Vinnova, 2018.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">100</P>
</DIV>
</DIV>
<DIV id="page_102">
<DIV id="p102dimg1">
<INGENBILD zsrc="H9B363102x1.jpg/" id="p102img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td83"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td84"><P class="p2 ft37">Digitalisering och informations- och cybersäkerhet</P></TD>
</TR>
</TABLE>
<P class="p215 ft17">Sammantaget förmedlas dock i flera rapporter att möjligheterna för ökad effektivitet många gånger väger tyngre än riskerna, oavsett om det gäller digitalisering i allmänhet eller användningen av AI eller ökad automatisering.</P>
<P class="p147 ft20">Brister i styrningen och samordningen</P>
<P class="p110 ft46">Flera utredningar och rapporter har identifierat behovet i Sverige av att stärka styrningen och samordningen av digitaliseringen, särskilt när det gäller utbyggnad av infrastruktur och samordning av infor- mationssäkerhetsarbetet.<SPAN class="ft97">16 </SPAN>Mot bakgrund av mängden offentliga aktö- rer är detta en uppgift av betydande omfattning då frågan berör bl.a. fler än 200 statliga förvaltningsmyndigheter, 21 länsstyrelser, 20 regio- ner, 290 kommuner, fler än 100 andra offentliga aktörer och cirka 40 helägda statliga bolag. Det är en omfattande förvaltning som kom- pliceras av stora skillnader mellan verksamheterna vad gäller storlek, geografi, uppdrag, finansiella resurser och kompetens. Alla ska dock med i den digitala transformationen.<SPAN class="ft97">17 </SPAN>Dessutom tillkommer alla de privata företag som på något sätt driver och förvaltar samhällets infra- struktur.</P>
<P class="p307 ft18">Kungl. Ingenjörsvetenskapsakademien (IVA) påpekar i rappor- ten <SPAN class="ft45">Digitalisering för ökad konkurrenskraft </SPAN>att Sverige har en avregle- rad marknad med olika skikt av infrastrukturproducenter, operatö- rer och tjänsteutvecklare, som å ena sidan har många fördelar men som å andra sidan lider av bristande helhetssyn och samordning. Sverige är mycket nära en situation där alla vitala samhällsfunktioner kräver en välfungerande digital infrastruktur. Denna förutsätts fun- gera minst lika säkert som annan infrastruktur men det saknas regler och planer för drift och utbyggnad. Ansvaret ligger i stället på många händer och samordningen brister på både statlig och kommunal nivå.</P>
<P class="p111 ft46">Enligt IVA är grundläggande infrastruktur för digital kommuni- kation i Sverige är av de viktigaste områdena att styra och samordna. Den svenska digitala infrastrukturen är, menar IVA, uppbyggd en- ligt en lasagnemodell med olika lager av verksamheter, men styrning och samordning är inte fullt ut anpassade till detta. Modellen för-</P>
<P class="p185 ft93"><SPAN class="ft56">16</SPAN><SPAN class="ft103">Digitalisering för ökad konkurrenskraft</SPAN><SPAN class="ft85">, IVA, 2019, s. 49 och 50; </SPAN>Vetenskapsrådets guide till infrastrukturen, <SPAN class="ft85">Vetenskapsrådet, 2018; </SPAN>Digitalisering av det offentliga Sverige <SPAN class="ft85">(ESV 2018:31), Ekonomistyrningsverket (ESV), 2018.</SPAN></P>
<P class="p308 ft41"><SPAN class="ft56">17</SPAN><SPAN class="ft82">Digitaliseringsrådet, 2018, s. 48.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">101</P>
</DIV>
</DIV>
<DIV id="page_103">
<DIV id="p103dimg1">
<INGENBILD zsrc="H9B363103x1.jpg/" id="p103img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Digitalisering och informations- och cybersäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p152 ft18">utsätter att statliga myndigheter och kommuner både investerar och utövar tillsyn, samtidigt som privata aktörer är ansvariga för vitala delar av infrastrukturen. Syftet med samordning och styrning är att se till att både befintliga och nya delar av infrastrukturen har tillräck- lig säkerhet, robusthet och kapacitet. Styrningen och samordningen av digitaliseringsfrågorna är, menar IVA, dock svag och otillräcklig.<SPAN class="ft79">18</SPAN></P>
<P class="p73 ft45"><SPAN class="ft18">I betänkandet </SPAN>reboot – omstart för den digitala förvaltningen 2017 <SPAN class="ft18">påpekas att risken för att de krav på informations- och cybersäkerhet som utfärdas i praktiken fördröjs eller aldrig blir utförda på grund av oklara ansvarsförhållanden.</SPAN><SPAN class="ft79">19 </SPAN><SPAN class="ft18">Utredningen påpekar vidare att det finns en risk för ökad fragmentering av kravställningar när fler aktörer utan samordning utfärdar regler på området, något som kan leda till att samma typ av information riskerar att få helt olika skydd bero- ende på var i förvaltningssystemet som den hanteras.</SPAN><SPAN class="ft79">20</SPAN></P>
<P class="p211 ft18">En fråga som kan uppkomma när behovet av digitalisering be- handlas är skillnaden mellan förväntningar och verklighet. Förvänt- ningar kan leda till missförstånd om vad digital teknik kan åstad- komma. För aktörerna på den öppna marknaden, som i många avse- enden styr hur infrastrukturen och nätverks- och informations- systemen ska utveckla, strävar ofta efter låga kostnader och effektivitet snarare än säkerhet på samhällsnivå och genomtänkt systemfunktion för offentlig verksamhet. Detta leder till en betydande risk att be- hovet av säkerhet och tillförlitlighet på den högre systemnivån inte tillgodoses, bl.a. vad gäller stora system och i systemet ingående kom- munikationer, elförsörjning och påverkan på samhällseffekter. Ett scenario med ett större cyberangrepp och sammanbrott i samhällets funktionalitet, t.ex. mot elförsörjningen, kan få mycket allvarliga och svåra följder för hela eller vitala delar av samhällets funktion.<SPAN class="ft79">21</SPAN></P>
<P class="p70 ft20">Brister i infrastrukturen och sårbarheter med ny teknik</P>
<P class="p220 ft46">Enligt IVA finns i dag ett gap mellan infrastrukturens kapacitet och de digitala tjänsternas faktiska behov av kapacitet. Hos viktiga be- slutsfattare såväl som i samhället i stort saknas dock kunskap om att</P>
<P class="p120 ft87"><SPAN class="ft56">18</SPAN><SPAN class="ft86">IVA, 2019, s. 49 och 50.</SPAN></P>
<P class="p222 ft87"><SPAN class="ft56">19</SPAN><SPAN class="ft86">SOU 2017:114, s. 164.</SPAN></P>
<P class="p222 ft85"><SPAN class="ft56">20</SPAN><SPAN class="ft84">A.a.</SPAN></P>
<P class="p222 ft41"><SPAN class="ft56">21</SPAN><SPAN class="ft82">SOU 2019:59, s. 19 (jfr även s. 22 och 23).</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">102</P>
</DIV>
</DIV>
<DIV id="page_104">
<DIV id="p104dimg1">
<INGENBILD zsrc="H9B363104x1.jpg/" id="p104img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td83"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td84"><P class="p2 ft37">Digitalisering och informations- och cybersäkerhet</P></TD>
</TR>
</TABLE>
<P class="p130 ft46">detta gap existerar.<SPAN class="ft97">22 </SPAN>Detta är allvarligt anser IVA, som menar att det saknas en omfattande kontroll av kvalitet och driftsäkerhet för den digitala infrastrukturen. Det innebär en mycket stor riskaggregering när man utgår från att många funktioner ska fungera. En bakgrund till dessa förhållanden är – enlig IVA – bristande samordning av ut- byggnaden av infrastrukturen. Dagens nationella <NOBR>it-infrastruktur</NOBR> har byggts ut där det funnits affärsmässiga skäl som talat för detta, och bristande koordinering har medfört att det finns för få mötesplatser för fiber, vilket i sin tur leder till bristande redundans. Några få ope- ratörer har etablerat redundanta vägar, men långt ifrån i den utsträck- ning samhället behöver.<SPAN class="ft97">23</SPAN></P>
<P class="p309 ft46">Nya tekniker medför ofta även brister i tekniken som i sig inne- bär sårbarheter. Ny teknik behöver därför testas i skyddade miljöer och introduceras med försiktighet och i lagom takt. För att åstad- komma en kontrollerad och strukturerad utbyggnad av ett nytt system, eller en ny teknik, krävs agenda och planering. Tekniska standarder kan fylla denna funktion och tillämpas ofta just med det syftet. En utmaning är att det kan finnas olika incitament att bygga ut eller exploatera teknik, och att alla incitament inte innebär att tekniken blir säker när den väl är på plats. Om teknik byggs ut i stor skala, med många latenta fel eller sårbarheter kan stora tekniska och säkerhetsmässiga utmaningar följa för att åtgärda problemen. Om tekniken, och därmed dess sårbarheter, sprids okontrollerat kan be- tydande problem uppstå. I bästa fall åtgärdas sårbarheterna löpande, men om utvecklingen är snabb kan detta vara svårt, särskilt om sår- barheterna initialt är okända. Ett exempel som framhålls är utveck- lingen av IoT, vilket kommer att medföra stora utmaningar när det gäller säkra produkter och tjänster ur ett informations- och cyber- säkerhetsperspektiv. Ett annat exempel är bristfälligt genomförda satsningar på ”smarta städer” som inte beaktar risker och sårbarheter med att koppla upp och ihop många olika typer av sensorer och funk- tioner. Denna typ av digitala tjänster möjliggör potentiellt effektivi- seringar men också att många funktioner kan slås ut samtidigt. Om produkter förses med uppkopplingsmöjligheter ger det utrymme för tekniken att användas t.ex. i en säkerhetskänslig miljö. Om upp- kopplingsmöjligheten till en början är okänd, t.ex. för att den införts</P>
<P class="p310 ft87"><SPAN class="ft56">22</SPAN><SPAN class="ft86">IVA, 2019, s. 7.</SPAN></P>
<P class="p296 ft74"><SPAN class="ft56">23</SPAN><SPAN class="ft114">Att motverka överbelastning av samhällsviktiga webbplatser – Slutrapport 2018 från projekt Särimner</SPAN><SPAN class="ft41">, Vetenskapsrådet, 2018.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">103</P>
</DIV>
</DIV>
<DIV id="page_105">
<DIV id="p105dimg1">
<INGENBILD zsrc="H9B363105x1.jpg/" id="p105img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Digitalisering och informations- och cybersäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p81 ft17">längre bak i leverantörskedjan, kan det initialt finnas svårigheter till spårbarhet I detta fall är risken att de tekniska installationerna, sär- skilt om de är mångfaldigade, kan bli en, vissa fall dold, hävstång för angrepp mot t.ex. kritisk infrastruktur eller i övrigt säkerhetskäns- liga informationssystem.</P>
<P class="p82 ft18">En av de mer i dag uppmärksammade teknikerna är den femte generationens telekommunikation (5G). Tekniken innebär en kapa- citetshöjning, dvs. högre dataöverföringshastigheter, större antal sam- tidigt anslutna enheter och kortare svarstider. Dessa tekniska för- bättringar innebär i sin tur att förutsättningar för att bygga digitalt smarta hem och städer ökar då fler uppkopplade enheter kan an- slutas. Risker och sårbarheter med tillämpningen av 5G har uppmärk- sammats i olika sammanhang, bl.a. av Enisa och olika medlemsstater.<SPAN class="ft79">24</SPAN></P>
<P class="p83 ft19">Andra exempel som medför risker och sårbarheter är produkter och tjänster med många användare, t.ex. operativsystem, molntjäns- ter och sökverktyg. När många är beroende av funktion och säkerhet i en enda produkt eller tjänst kan en sårbarhet där orsaka stora kon- sekvenser om den nyttjas av en angripare eller på annat sätt utsätts för oväntade händelser.</P>
<P class="p82 ft19">När en ny eller befintlig teknik ska byggas ut för att tillgodose framtidens krav så måste även infrastrukturen och säkerheten, och den redundans som krävs, stärkas i motsvarande takt och omfatt- ning. Det kan många gånger vara svårt för verksamheten att förstå hur system är uppbyggda och vilka beroenden som finns, speciellt om de upphandlas från en extern part. En enskild leverantör kan svara för funktioner hos många olika verksamheter, till exempel inom myn- digheter och andra offentliga aktörer.</P>
<P class="p82 ft18">En annan utmaning i detta sammanhang är att det i dag är ett fåtal stora teknikföretag som tillsammans har stor makt över det som sker på t.ex. internet. Företagen står för står för en betydande del av den informationshantering och teknik som används i dag. Denna mark- nad fungerar i dag som ett oligopol, vilket bör beaktas när frågan om informations- och cybersäkerhet diskuteras och hanteras.</P>
<P class="p311 ft74"><SPAN class="ft56">24</SPAN><SPAN class="ft81">Se bl.a. Enisa: </SPAN>SECURITY IN 5G SPECIFICATIONS – Controls in 3GPP Security Specifica- tions <SPAN class="ft41">(5G SA), 2021.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">104</P>
</DIV>
</DIV>
<DIV id="page_106">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td83"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td84"><P class="p2 ft37">Digitalisering och informations- och cybersäkerhet</P></TD>
</TR>
</TABLE>
<P class="p312 ft62"><SPAN class="ft48">4.6</SPAN><SPAN class="ft67">Digitalisering och informations- och cybersäkerhet i otakt</SPAN></P>
<P class="p91 ft46">Informations- och cybersäkerhetsarbete är en stödjande verksamhet som syftar till att bl.a. öka säkerheten i nätverks- och informations- system i olika samhällsverksamheter. I och med den ökande digita- liseringen är informations- och cybersäkerhet en förutsättning för att nya verksamheter som uppstår, och ny teknik som utvecklas, ska kunna fungera och användas på ett säkert sätt. Informations- och cybersäkerhet innebär en strävan efter att skydda information så att den alltid finns när den behövs (tillgänglighet), att det går att lita på att den är korrekt och inte manipulerad eller förstörd (riktighet), att endast behöriga personer får ta del av den (konfidentialitet) och att det går att följa hur och när informationen har hanterats och kom- municerats (spårbarhet). Den syftar även till att skydda nätverks- och informationssystem i övrigt.</P>
<P class="p313 ft17">Myndighetens för samhällsskydd och beredskap (MSB) övergri- pande arbete med att stödja och samordna arbetet med samhällets informations- och cybersäkerhet inriktas på strategisk nivå av den nationella informations- och cybersäkerhetsstrategin, som anger sex strategiska prioriteringar:</P>
<P class="p237 ft17"><SPAN class="ft115">•</SPAN><SPAN class="ft116">Säkerställa en systematisk och samlad ansats i arbetet med infor- mations och cybersäkerhet.</SPAN></P>
<P class="p25 ft21"><SPAN class="ft115">•</SPAN><SPAN class="ft117">Öka säkerheten i nätverk, produkter och system.</SPAN></P>
<P class="p134 ft17"><SPAN class="ft115">•</SPAN><SPAN class="ft116">Stärka förmågan att förebygga, upptäcka och hantera cyber- attacker och andra </SPAN><NOBR>it-incidenter.</NOBR></P>
<P class="p267 ft17"><SPAN class="ft115">•</SPAN><SPAN class="ft116">Öka möjligheterna att förebygga och bekämpa </SPAN><NOBR>it-relaterad</NOBR> brotts- lighet.</P>
<P class="p25 ft21"><SPAN class="ft115">•</SPAN><SPAN class="ft117">Öka kunskapen och främja kompetensutvecklingen.</SPAN></P>
<P class="p25 ft21"><SPAN class="ft115">•</SPAN><SPAN class="ft117">Stärka det internationella samarbetet.</SPAN></P>
<P class="p314 ft53">Förutom MSB finns en rad statliga aktörer som har olika roller för det nationella arbetet med informations- och cybersäkerhet, bl.a. Säkerhetspolisen Försvarsmakten, Försvarets radioanstalt (FRA), Försvarets materielverk (FMV), Post- och telestyrelsen (PTS) och Polismyndigheten. Myndigheternas arbete samordnas sedan 2020</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">105</P>
</DIV>
</DIV>
<DIV id="page_107">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Digitalisering och informations- och cybersäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p152 ft18">genom det nationella cybersäkerhetscentret. Regeringen har också gett berörda myndigheter uppdrag att ta fram en samlad handlings- plan med förslag på olika åtgärder som kan stärka Sveriges arbete med informations- och cybersäkerhet. Dessa förslag konkretiserar behov och rekommendationer som identifierats på en mer övergripande nivå i den nationella informations- och cybersäkerhetsstrategin.</P>
<P class="p73 ft18">Digitaliseringsrådet konstaterar att det ser ut ungefär på samma sätt i andra undersökta länder, dvs. att det finns en digitaliserings- strategi men även ett antal andra strategier som berör specifika aspek- ter av digitaliseringen och ofta på liknande områden som i Sverige<SPAN class="ft118">. </SPAN>Samtidigt kan noteras att det i Sverige finns en grupp av myndigheter som fokuserar på digitaliseringens möjligheter, t.ex. ur ett effekti- viseringsperspektiv, och en annan grupp som fokuserar på olika typer av hot, risker och sårbarheter. I takt med ökad digitalisering kommer en ökad samverkan och samordning mellan dessa grupper att få stor betydelse för utvecklingen i sin helhet, annars riskerar gapet mellan digitalisering och informations- och cybersäkerhet att öka ytter- ligare (se nedan).</P>
<P class="p70 ft20">Gapet mellan digitalisering och informations- och cybersäkerhet ökar</P>
<P class="p76 ft17">Den digitala utvecklingen i samhället går snabbt men däremot ökar inte informations- och cybersäkerheten i samma takt. Det innebär att informations- och cybersäkerhetsgapet som uppstår ökar ris- kerna för att drabbas av ett cyberangrepp eller en <NOBR>it-incident,</NOBR> vilket illustreras nedan i figuren nedan.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">106</P>
</DIV>
</DIV>
<DIV id="page_108">
<DIV id="p108dimg1">
<INGENBILD zsrc="H9B363108x1.jpg/" id="p108img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td83"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td84"><P class="p2 ft37">Digitalisering och informations- och cybersäkerhet</P></TD>
</TR>
</TABLE>
<P class="p90 ft29">Figur 4.1 Digitalisering och informationssäkerhet i otakt</P>
<P class="p315 ft17">Gapet kan dock minska genom olika åtgärder, bl.a. genom ett ökat systematiskt informationssäkerhetsarbete och åtgärder som stärker <NOBR>it-säkerheten.</NOBR></P>
<P class="p58 ft18">Inom informations- och cybersäkerhetsområdet betonas ofta vikten av att verksamheter inför ledningssystem för informations- säkerhet (LIS). Ledningssystem för <NOBR>informations-säkerhet</NOBR> är ett stöd för hur informations- och cybersäkerhetsarbetet styrs i en verk- samhet.<SPAN class="ft79">25 </SPAN>En central del är att verksamheten måste ha ledningens uttalade stöd i sitt arbete med informationssäkerhet. Det finns olika typer av svenska och internationella standarder som underlättar arbetet med ledningssystem för informationssäkerhet. Utifrån sådana standarder tar ledningssystem för informationssäkerhet sin utgångs- punkt i en verksamhetsanpassad riskanalys och informations- och cybersäkerhetsarbetet följer en tydlig process.<SPAN class="ft79">26</SPAN></P>
<P class="p111 ft46">God informations- och cybersäkerhet bidrar till att en verksam- het kan bedrivas på ett säkert, ändamålsenligt och effektivt sätt, att risken för att drabbas av avbrott eller störningar i driftmiljön mins- kar. God informations- och cybersäkerhet är också en grundläg-</P>
<P class="p316 ft85"><SPAN class="ft56">25</SPAN><SPAN class="ft84">MSB har utvecklat ett metodstöd för systematiskt informationssäkerhetsarbete. Metod- stödet finns tillgängligt på webben: www.informationssakerhet.se.</SPAN></P>
<P class="p317 ft41"><SPAN class="ft56">26</SPAN><SPAN class="ft82">Se t.ex. den svenska och internationella standardserien </SPAN><NOBR>SS-ISO/IEC</NOBR> 27000.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">107</P>
</DIV>
</DIV>
<DIV id="page_109">
<DIV id="p109dimg1">
<INGENBILD zsrc="H9B363109x1.jpg/" id="p109img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Digitalisering och informations- och cybersäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p189 ft21">gande byggsten för den fortsatta utvecklingen av en säker, innovativ och effektiv digital förvaltning.</P>
<P class="p104 ft18">Samtidigt som digitaliseringens fördelar välkomnas står det klart att de risker och hot som behöver hanteras i dessa sammanhang är några av våra mest komplexa säkerhetsutmaningar. Säkerhetspolisen konstaterar att den största risken för samhället och totalförsvaret utgörs av bristande informationssäkerhet.<SPAN class="ft79">27 </SPAN>Försvarets radioanstalt (FRA) framhåller att säkerheten generellt hos myndigheter och statliga bolag inte är dimensionerad för den befintliga hotbilden.<SPAN class="ft79">28 </SPAN>Dessa uttalanden ska ses i ljuset av att det sker en ständigt växande hantering av information i nätverks- och informationssystem, både i offentlig och enskild verksamhet. Om det uppstår brister i hanter- ingen av information i nätverks- och informationssystem, och i skyddet av densamma, riskerar det att få omfattande konsekvenser både för samhället i stort och för enskilda. Brister i informations- och cybersäkerheten, t.ex. bristande säkerhetsrutiner, kan medföra allvarliga och upprepade störningar i myndigheters nätverks- och in- formationssystem som kan sprida sig till andra sektorer och aktörer.</P>
<P class="p106 ft19">Utvecklingen och användningen av ny teknik och nya innovatio- ner innebär att nya hot och risker behöver hanteras. Hot och risk- skalan inom det informationsteknologiska området spänner från mindre omfattande risker till väl planerade, och med precision rik- tade, angrepp mot vitala delar av samhällets funktionalitet. Även antagonistiska hot såsom informationsoperationer och elektroniska angrepp mot skyddsvärda nätverks- och informationssystem, t.ex. i form av dataintrång, sabotage eller spionage behöver mötas. Det- samma gäller olika former av störningar i mjuk- eller hårdvara eller störningar i driftmiljö. Yttre fysiska händelser som t.ex. bränder, av- grävda kablar, översvämningar och solstormar utgör också en del av hotbilden. I andra fall är det den mänskliga faktorn som kan utnytt- jas vid cyberangrepp eller som ligger bakom <NOBR>it-incidenter.</NOBR></P>
<P class="p318 ft87"><SPAN class="ft56">27</SPAN><SPAN class="ft86">Säkerhetspolisens årsbok 2016, s. 40.</SPAN></P>
<P class="p230 ft41"><SPAN class="ft56">28</SPAN><SPAN class="ft82">FRA:s årsrapport 2016, s. 19.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">108</P>
</DIV>
</DIV>
<DIV id="page_110">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td83"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td84"><P class="p2 ft37">Digitalisering och informations- och cybersäkerhet</P></TD>
</TR>
</TABLE>
<P class="p64 ft18">Sammantaget finns således en rad inriktande initiativ och flera olika styrande dokument som anger vikten av att digitalisering sker i Sverige och att informations- och cybersäkerheten behöver stärkas på många olika verksamhetsområden. Sverige placerar också sig bra i interna- tionella digitaliseringsindex samtidigt som det finns en bekymmer- sam bild över utvecklingen när det gäller informations- och cyber- säkerheten inom många olika samhällssektorer (se även kapitel 8).</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">109</P>
</DIV>
</DIV>
<DIV id="page_111">
</DIV>
<DIV id="page_112">
<DIV id="p112dimg1">
<INGENBILD zsrc="H9B363112x1.jpg/" id="p112img1">
</DIV>
<P class="p319 ft109"><SPAN class="ft16">5</SPAN><SPAN class="ft108">Utvecklingen av hot, sårbarheter och risker</SPAN></P>
<P class="p320 ft48"><SPAN class="ft48">5.1</SPAN><SPAN class="ft78">Inledning</SPAN></P>
<P class="p132 ft17">I detta kapitel lämnas en översiktlig redogörelse över hot, sårbar- heter och risker som påverkar behov av stärkt informations- och cybersäkerhet, såväl allmänt som vad gäller säkerhet i nätverks- och informationssystem i säkerhetskänslig verksamhet. Syftet med redo- görelsen är dock inte att beskriva alla olika typer av hot, risker och sårbarheter som föreligger då sådana sammanställningar redan finns tillgängliga.<SPAN class="ft54">1</SPAN></P>
<P class="p131 ft48"><SPAN class="ft48">5.2</SPAN><SPAN class="ft78">Hot, sårbarheter och risker</SPAN></P>
<P class="p110 ft17">Digitaliseringen påverkar hela samhället och vår säkerhet och eko- nomiska välstånd vilar allt mer på digitala grunder. I dag betraktar därför de flesta länder informations- och cybersäkerhet som en stor nationell utmaning och denna säkerhet anses vara av såväl säker- hetspolitisk som utrikespolitisk och därigenom även av strategisk betydelse. Flera av de samhällsviktiga system som är kritiska för att upprätthålla samhällets funktionalitet är redan i fredstid sårbara för angrepp och störningar. Den teknologiska utvecklingen, utbredningen av digitala lösningar och ökade datavolymer skapar stora möjligheter men innebär samtidigt sårbarheter och risker för såväl samhället i stort som för enskilda myndigheter och andra aktörer, bl.a. i närings- livet.</P>
<P class="p321 ft58"><SPAN class="ft56">1</SPAN><SPAN class="ft96">Se bl.a. World Economic Forum, 2019. Hotbilden inom </SPAN><NOBR>it-området</NOBR> beskrivs närmare av World Economic Forum som genomför en årlig undersökning över de största riskerna som världen står inför I rapporten för 2019 ligger cyberangrepp på femte plats när det gäller sannolikhet och sjunde plats när det gäller konsekvens (www.weforum.org/press/2019/10/cyberattacks- <NOBR>and-fiscal-crises-top-list-of-business-risks-in-2019/).</NOBR></P>
<P class="p322 ft31">111</P>
</DIV>
<DIV id="page_113">
<DIV id="p113dimg1">
<INGENBILD zsrc="H9B363113x1.jpg/" id="p113img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Utvecklingen av hot, sårbarheter och risker</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p323 ft18">De hot, sårbarheter och risker som digitaliseringen medför utgör komplexa säkerhetsutmaningar. Hoten blir svårare att upptäcka, be- roenden blir svårare att överskåda och sårbarheterna och riskerna blir mer svårbedömda. Exempel på sådana utmaningar är antagonistiska hot som informationsoperationer och cyberangrepp mot skyddsvärda nätverks- och informations, t.ex. i form av spionage, sabotage och dataintrång mot totalförsvarets verksamhet.</P>
<P class="p73 ft18">Ett cyberangrepp eller storskalig <NOBR>it-incident</NOBR> bedöms i dag kunna få allvarliga konsekvenser för såväl samhällsviktig och ekonomisk verk- samhet som kritisk infrastruktur. Det kan även medföra påverkan på både militär och civil verksamhet inom totalförsvaret. Cyberangrepp för att bedöma, påverka eller störa samhällsviktiga funktioner som ett förstadium till en väpnad konflikt utgör ett allvarligt hot. Utflytt- ning av väsentliga funktioner i samhällsviktig verksamhet till utlan- det, t.ex. inom energiförsörjningen, har också inneburit att sårbar- heten har förändrats. När det uppstår brister i informations- och cybersäkerheten kan detta få omfattande konsekvenser både för sam- hället i stort och för olika samhällssektorer (se även kapitel 4 och 8).</P>
<P class="p70 ft20">Uppkopplad samhällsviktig verksamhet</P>
<P class="p71 ft18">Stora delar av den samhällsviktiga infrastrukturen, t.ex. energi, och kommunikationer, har industriella informations- och styrsystem<SPAN class="ft79">2 </SPAN>som är uppkopplade mot internet. Dessa system behöver inte alltid vara internetanslutna, men av effektivitetsskäl är de ofta uppkopp- lade mot internet, som ger åtkomst från distans. Många av dessa system är äldre och har därför ofta sårbarheter som en hotaktör kan utnyttja (se kapitel 8). Antalet sårbarheter som är specifika för indu- striella informations- och styrsystem har ökat kraftigt under senare år. Det är ofta en utmaning att på ett ändamålsenligt sätt säkerhets- uppdatera systemen då de inte är byggda för att regelbundet upp- dateras. Detta förstärks av att verksamhetsutövare ofta inte har ut- rymme eller resurser att tillåta att dessa system får förändras, är avstängda eller att åtgärder som medför fördröjningar i datatrafiken införs. Dessa system och de processer de upprätthåller måste dock ha ett adekvat skydd över hela livslängden, som i vissa fall kan uppgå</P>
<P class="p75 ft41"><SPAN class="ft80">2</SPAN><SPAN class="ft81">S.k. Industrial control systems/supervision control accusation data (ICS/SCADA).</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">112</P>
</DIV>
</DIV>
<DIV id="page_114">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td64"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td76"><P class="p2 ft37">Utvecklingen av hot, sårbarheter och risker</P></TD>
</TR>
</TABLE>
<P class="p130 ft18">till mer än 20 år, och verksamhetsutövarna måste ha kunskap om de hot, sårbarheter och risker mot säkerheten i systemen som finns.</P>
<P class="p147 ft20">Sårbarhet genom kritiska beroenden</P>
<P class="p110 ft18">Kritiska beroenden uppstår när funktionen i en samhällsviktig verk- samhet kräver att en annan verksamhet fungerar och där det saknas alternativ. Sådana beroendeförhållanden är en orsak till att samhälls- viktiga verksamheter är sårbara Flera av dessa viktiga funktioner styrs och övervakas med stöd av avancerade nätverks- och informa- tionssystem. När ett cyberangrepp eller tekniskt fel inträffar kan det påverka flera delar av samhället samtidigt och konsekvenserna kan i vissa fall bli svåra att överblicka. Ett exempel på ett sådant förhål- lande är beroendet mellan elförsörjning och elektroniska kommunika- tioner. Det uppkopplade samhället är nämligen beroende av funge- rande elförsörjning och elektroniska kommunikationer.</P>
<P class="p187 ft18">Att allt fler verksamhetsutövare digitaliserar hela eller delar av sin verksamhet innebär ökade krav på tillgänglighet av el och fungerande uppkoppling. En följd av digitalisering och effektivisering är att även förmågan att leverera el och upprätthålla kommunikationer är digi- taliserad, och är därmed sårbar för samma svagheter och utsatt för liknande risker som övrig digitaliserad verksamhet. I de fall styr- och kontrollsystem är exponerade mot internet uppkommer risken för att hotaktörer att utnyttja sårbarheter i systemen för cyberangrepp med betydande konsekvenser för samhället som följd. Förutom de omedelbara konsekvenserna med omfattande strömavbrott så skulle många system som är beroende av fungerande informationstekno- logi upphöra att fungera. Det skulle i dag leda till betydande problem på flera nivåer i samhället. Denna utveckling förstärks i och med det ökade utbudet av IoT. Det skapar stora vinster, men som en följd av detta ökar beroendet av el, och i viss mån ökar de sårbarheter som kommer ur det stora elberoendet.</P>
<P class="p111 ft18">Den internationella dimensionen får samtidigt en alltmer ökad betydelse. Infrastrukturen är i dag sammanflätad och korsar nations- gränser och många privata företag som driver och äger infrastruktu- ren är verksamma i flera länder. Störningar i informationssystem kan därför snabbt röra sig mellan nationell och internationell nivå. En annan sårbarhet i samhället är därför koncentrationen av ett begrän-</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">113</P>
</DIV>
</DIV>
<DIV id="page_115">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Utvecklingen av hot, sårbarheter och risker</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p125 ft17">sat antal stora leverantörer som skapar nya sårbarheter i samhället. Vissa verksamheter tillhandahåller så väsentliga tjänster att när deras funktionalitet upphör eller kraftigt reduceras hotas möjligheten att värna samhällets grundläggande värden.</P>
<P class="p324 ft17">Digitaliseringen och teknikutvecklingen innebär även ändrade förutsättningar för säkerhetsskyddet och informations- och cyber- säkerheten. Efter att regleringen av säkerhetsskydd trädde i kraft har informationstekniken och användningen av den genomgått en bety- dande utveckling. Den tekniska utvecklingen och informationstek- niken påverkar i stort sett alla aspekter av säkerhetskänsliga och sam- hällsviktiga verksamheter.</P>
<P class="p82 ft18">I dag hanteras stora informationsmängder i såväl öppna som hem- liga nätverks- och informationssystem. Den ökade öppenheten med- för t.ex. större risk för att aktörer med antagonistiska avsikter ut- nyttjar de möjligheter som den brett åtkomliga informationen ger för hot och angrepp. Även tillgången till och öppenheten kring stora mängder av information på t.ex. myndigheters webbplatser kan ge användaren nya möjligheter att söka och sammanställa information på ett sätt som kan få konsekvenser för säkerhetsskyddet. Lagring av stora mängder uppgifter i digitala system har ökat kraftigt och fortsätter öka i takt med ökade tekniska möjligheter och ökade ambi- tioner i samhället. Sammanställningar över t.ex. känsliga anläggningar och objekt kan snabbt och enkelt tas fram genom effektiva sök- motorer. Effekten av detta kan bli att uppgifter, som var för sig inte är skyddsvärda, i aggregerad form kan komma att utgöra en stor sårbarhet. Skyddet av de egna informationstillgångarna, bl.a. nätverks- och informationssystemen, blir därför en grundläggande fråga för samhället i stort men även för många olika aktörer inom samhälls- viktiga och säkerhetskänsliga verksamheter. Det är av även grund- läggande betydelse att infrastrukturen med väl fungerande elektroniska kommunikationer är säker, tillgänglig och robust (se kapitel 4).</P>
<P class="p325 ft18">Som framgår av kapitel 4 är en av de stora utmaningarna som finns på informations- och cybersäkerhetsområdet att tekniken ofta ut- vecklas betydligt snabbare än säkerhetsarbetet. Den snabba tekniska utvecklingen på <NOBR>it-området</NOBR> i kombination med myndigheternas ökande nyttjande av teknik och privatägd infrastruktur innebär även en utmaning för myndigheter och andra aktörer att upprätthålla egen teknisk kompetens. Bristande kunskap och kontroll över vilka it- produkter som nyttjas i nationell infrastruktur och olika nätverks-</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">114</P>
</DIV>
</DIV>
<DIV id="page_116">
<DIV id="p116dimg1">
<INGENBILD zsrc="H9B363116x1.jpg/" id="p116img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td64"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td76"><P class="p2 ft37">Utvecklingen av hot, sårbarheter och risker</P></TD>
</TR>
</TABLE>
<P class="p244 ft17">och informationssystem ger nya förutsättningar och möjligheter för olika aktörer att genom olika <NOBR>it-angrepp</NOBR> inhämta information om eller påverka nationella skyddsintressen och tillgångar av strategisk betydelse. Informations- och cybersäkerhet kräver därför i dag en helhetssyn eftersom det är ett komplext och gränsöverskridande område, såväl geografiskt som vad avser bl.a. teknik, administration, ekonomi och juridik.</P>
<P class="p326 ft61"><SPAN class="ft48">5.3</SPAN><SPAN class="ft104">Cybersäkerhet i Sverige – Hot, metoder, brister och beroenden 2020</SPAN></P>
<P class="p232 ft18">I den myndighetsgemensamma rapporten <SPAN class="ft45">Cybersäkerhet i Sverige – Hot, metoder, brister och beroenden 2020 </SPAN>redogör Säkerhetspolisen, Försvarsmakten, Försvarets radioanstalt (FRA) och Myndigheten för samhällsskydd och beredskap (MSB) för den aktuella hotbilden.<SPAN class="ft79">3 </SPAN>Myndigheterna konstaterar att metoder och verktyg för cyberangrepp utvecklas ständigt och hotaktörernas agerande förändras i takt med teknikutvecklingen. Bland de svenska mål som utsätts för cyberangrepp finns verksamheter som är väsentliga för samhällets grundläggande funktioner. Att kunna skydda sig mot cyberangrepp från kvalifice- rade hotaktörer är därför en nationell angelägenhet.</P>
<P class="p131 ft20">Statliga aktörer</P>
<P class="p232 ft18">Av rapporten framkommer att ett stort antal stater bedöms ha för- måga att genomföra cyberangrepp och statliga aktörer använder cyberangrepp för att uppfylla olika nationella intressen. I de flesta länder är aktörerna nationella underrättelse- och säkerhetstjänster eller grupperingar som har kopplingar till dessa. Vissa statliga aktö- rer är mycket kvalificerade och genomför cyberangrepp på ett sätt som är storskaligt, systematiskt, uthålligt och globalt för att tillgodose</P>
<P class="p327 ft58"><SPAN class="ft56">3</SPAN><SPAN class="ft96">Regeringen har uppdragit åt FRA, Försvarsmakten, MSB och Säkerhetspolisen att tillsam- mans vidta förberedande åtgärder och lämna förslag för att ett nationellt cybersäkerhetscenter ska kunna inrättas under 2020. Parallellt med detta sker en fördjupad myndighetssamverkan som syftar till att främja denna uppgift. Som en del i detta har myndigheterna tillsammans med Polismyndigheten gemensamt tagit fram denna rapport. Syftet är att tillsammans – utifrån de lägesuppfattningar som respektive myndighet har – sammanställa en lägesbild som på ett enkelt och tillgängligt sätt beskriver cybersäkerhet ur ett nationellt perspektiv.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">115</P>
</DIV>
</DIV>
<DIV id="page_117">
<DIV id="p117dimg1">
<INGENBILD zsrc="H9B363117x1.jpg/" id="p117img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Utvecklingen av hot, sårbarheter och risker</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft18">det egna landets intressen.<SPAN class="ft79">4 </SPAN>Cyberangrepp erbjuder även goda möjlig- heter till anonymitet, förnekbarhet och vilseledning för den bakom- liggande aktören jämfört med mer traditionella metoder. Detta öpp- nar upp för nya möjligheter att agera utan att hamna i öppna konflikter med andra länder. Myndigheterna konstaterar att cyberangrepp från statliga aktörer mot svenska mål sker hela tiden. Aktörerna utvecklar metodik och verktyg och blir allt mer sofistikerade. Samtidigt fort- sätter de att använda sig av äldre kända metoder så länge dessa fort- satt ger resultat. Även cyberangrepp från statliga aktörer i syfte att inhämta underrättelser pågår ständigt mot svenska mål. De angriper bl.a. verksamheter som hanterar känslig eller skyddsvärd informa- tion som rör Sveriges säkerhet, men även öppen information kan vara av intresse. Det förekommer att cyberangrepp genomförs för att påverka skeenden i Sverige eller utomlands. Allt ifrån stulen in- formation som används för att misskreditera makthavare och splittra landet, till angrepp som syftar till att slå ut infrastruktur, skada tilli- ten till institutioner, eller på annat sätt framtvinga eller förhindra att en stat agerar. Statliga aktörer genomför även angrepp för att få åt- komst till individers personliga information. Angreppen sker exem- pelvis i syfte att få fram känsliga uppgifter som kan användas i ut- pressningssyfte mot personer i maktposition eller personer som har tillgång till information som aktören vill åt. Det sker även i syfte att bedriva flyktingspionage för att kontrollera oppositionella eller tysta opinioner utomlands. För att komma åt information om individer kan verksamheter som hanterar stora mängder av denna typ av upp- gifter angripas. Angrepp sker även direkt mot individers personliga <NOBR>it-utrustning.</NOBR></P>
<P class="p328 ft20">Militär förmåga</P>
<P class="p220 ft46">Statliga aktörer studerar – som förberedelse för att använda cyber- angrepp i konflikter – sårbarheter som kan utnyttjas och utvecklar därefter verktyg som behövs för att genomföra cyberoperationer. Sårbarheterna utnyttjas för att ta sig in i system och infektera dessa</P>
<P class="p329 ft87"><SPAN class="ft80">4</SPAN><SPAN class="ft90">Det kan handla om att ge det egna landet utrikes- och säkerhetspolitiska fördelar, gynna det egna landets forskning och utveckling och skapa konkurrensfördelar för inhemska företag, eller skaffa fram underlag för att utföra påverkansoperationer. Det kan även handla om för- beredande angrepp som genomförs i syfte att skapa förutsättningar att vid ett senare tillfälle kunna genomföra operationer vars syfte exempelvis kan vara att orsaka skada för den verk- samhet som utsätts.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">116</P>
</DIV>
</DIV>
<DIV id="page_118">
<DIV id="p118dimg1">
<INGENBILD zsrc="H9B363118x1.jpg/" id="p118img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td64"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td76"><P class="p2 ft37">Utvecklingen av hot, sårbarheter och risker</P></TD>
</TR>
</TABLE>
<P class="p193 ft18">för att kunna slå ut systemet i det fall en konflikt uppstår. Attackerna förbereds i fredstid och kan sedan koordineras med konventionella stridsmedel om det gynnar operationen. Stater kan även genomföra angrepp som stör eller avbryter försvarsrelaterade eller samhälls- viktiga funktioner i syfte att minska ett lands förmåga att stå emot ett kommande militärt angrepp eller försvaga ett lands motstånds- kraft mot påtryckningar. I konflikter mellan stater är cyberoperatio- ner ett av de medel som kan användas för att minska ett lands för- svarsvilja, bl.a. genom påverkansoperationer där information som stjäls genom cyberangrepp sedan kan manipuleras och publiceras för att påverka opinionen.<SPAN class="ft79">5</SPAN></P>
<P class="p11 ft18">I rapporten konstateras att många länder utvecklar förmåga att genomföra avancerade cyberoperationer, bl.a. i form av offensiva cyber- angrepp. Statliga aktörer bedriver även underrättelseinhämtning mot svenska myndigheter och försvarsindustri, bl.a. söker man informa- tion genom cyberangrepp, i syfte att kartlägga Sveriges förmåga och sårbarheter med koppling till Sveriges försvarsförmåga. Den tekniska utvecklingen är hög och det upptäcks kontinuerligt nya sårbarheter, varför det pågår en ständig kapplöpning mellan medel och motmedel. Det krävs därför ett konstant utvecklingsarbete för att upprätthålla en förmåga till avancerade cyberoperationer.</P>
<P class="p131 ft20">Ekonomiska intressen</P>
<P class="p124 ft18">Kunskap och innovationer är stöldbegärliga för de stater som vill ta genvägar i sin egen teknikutveckling. Genom cyberangrepp och in- dustrispionage uppvägs brister i det egna landets innovationsför- måga. Av rapporten framkommer även att vissa stater bedriver om- fattande program som syftar till att stjäla företagshemligheter från andra länder. Cyberangrepp i syfte att genomföra industrispionage mot svenska mål är vanligt förekommande och innebär att svenska företag som utvecklar ny teknik kan komma att konkurreras ut av sina egna lösningar som stulits av statliga aktörer. Det finns även exempel där statliga aktörer har använt cyberangrepp för att skaffa</P>
<P class="p330 ft113"><SPAN class="ft56">5</SPAN><SPAN class="ft119">Genom att välja vilka mål hotaktören inriktar sig mot och hur stor effekt som ska uppnås, finns möjlighet för en statlig aktör att operera i ett tillstånd av fred där krigets lagar inte är tillämpliga. Problematiken kring attribuering och förnekbarhet stärker denna möjlighet. I det fall ett cyberangrepp orsakar skada på samma sätt som ett konventionellt väpnat angrepp kan det under vissa förutsättningar vara att betrakta som ett väpnat angrepp.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">117</P>
</DIV>
</DIV>
<DIV id="page_119">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Utvecklingen av hot, sårbarheter och risker</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft18">sig monetära tillgångar, exempelvis genom att angripa banker för att stjäla pengar, kryptovaluta eller genom att angripa verksamheter och infektera dem med utpressningstrojaner (ransomware) för ekono- misk utpressning. I tider av sanktioner kan stater sättas under stor ekonomisk press och då kan cyberangrepp för att stjäla pengar vara en lösning för landets överlevnad.</P>
<P class="p70 ft20">Ideologiskt motiverade aktörer</P>
<P class="p220 ft19">I rapporten konstateras att det finns ideologiskt motiverade aktörer som betraktar angrepp mot svenska mål som legitima, även om för- mågan inte motsvarar vilja och ambition att genomföra sådana an- grepp. Försök till cyberangrepp med enklare metoder och tekniska medel bedöms dock fortsätta, t.ex. genom distribuerade överbelast- ningsattacker (DDoS) och kapade hemsidor.</P>
<P class="p70 ft20">Kriminella aktörer</P>
<P class="p289 ft17">I rapporten konstateras att cyberkriminalitet är en internationell och gräns- överskridande verksamhet som genomförs där det finns möj- ligheter till ekonomisk vinning. Vilket mål aktören väljer är vanligen inte intressant, utan det viktigaste är den vinst man kan räkna med. Ransomware, bedrägerier, stölder och liknande kriminella aktiviteter drabbar såväl företag som myndigheter och deras leverantörer, ofta verksamheter med höga skyddsvärden.</P>
<P class="p106 ft18">I rapporten konstateras att en tillbakablick på inträffade händel- ser visar att hotaktörer har en tendens att använda de verktyg som fungerar för stunden. I stället för att använda nya och avancerade metoder väljer de att förfina existerande metoder och det blir allt svårare för användare att upptäcka förfalskningar och bedrägerier. <NOBR>DDoS-angreppen</NOBR> fortsätter där det vanligaste motivet är utpress- ning men också många gånger med intentionen att endast orsaka målet skada. Spridningen av utpressningstrojaner har skiftat från att riktas brett och urskillningslöst, till att i stället riktas mot specifika företag. Kriminella hotaktörer fokuserar även på att in- hämta upp- gifter som antingen används av dem själva, eller så säljs uppgifterna vidare på Darkweb. Tidigare har ett tillvägagångssätt varit att använda phishing av olika slag för att lura till sig sådana uppgifter direkt från</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">118</P>
</DIV>
</DIV>
<DIV id="page_120">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td64"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td76"><P class="p2 ft37">Utvecklingen av hot, sårbarheter och risker</P></TD>
</TR>
</TABLE>
<P class="p121 ft17">enskilda individer. Ett skifte är att aktörer flyttat fokus från angrepp direkt mot individer till att i stället angripa mindre <NOBR>e-handelsplatser</NOBR> där de får större effekt av sina cyberangrepp.</P>
<P class="p147 ft20">Metoder för initial åtkomst</P>
<P class="p110 ft19">Ett viktigt steg i ett cyberangrepp är den initiala kontroll angriparen behöver skaffa sig i systemet man vill få åtkomst till. Målsättningen med detta steg är vanligen att angriparen vill få möjlighet att exe- kvera skadlig kod i systemet för att på så sätt exempelvis erhålla möjligheter att påverka systemet i sig eller kunna nå priviligierad information i detsamma. För att dessa metoder ska kunna användas förutsätts att det finns en eller flera sårbarheter som kan utnyttjas av angriparen. I rapporten redogörs för vanliga eller effektiva metoder som används för att få initial kontroll, vilka ofta benämns attack- eller angreppsvektorer. Dessa metoder används ofta vid cyberangrepp men ska inte betraktas som en uttömmande lista, utan en delmängd av de metoder som ofta används av flera typer av aktörer (se även kapitel 6).</P>
<P class="p58 ft18">I rapporten konstateras vidare att det pågår ständig forskning i jakt på nya och okända sårbarheter, s.k. <NOBR>zero-day-sårbarheter.</NOBR> Okända sårbarheter som upptäcks av hotaktörer kan utnyttjas utan omvärl- dens vetskap och utan skydd mot dessa sårbarheter. Till följd av detta har det uppstått en marknad för <NOBR>zero-days</NOBR> där både statliga och kriminella aktörer utgör köpare och säljare. På denna marknad säljer individer och företag sårbarheter till mäklare, som sedan säljer vidare till andra tillverkare, kriminella eller statliga aktörer.</P>
<P class="p131 ft48"><SPAN class="ft48">5.4</SPAN><SPAN class="ft78">Cyberangrepp mot myndigheter</SPAN></P>
<P class="p124 ft19">Myndigheten för samhällsskydd och beredskap (MSB) presenterar årligen en sammanställning och analys av de rapporter om allvarliga <NOBR>it-incidenter</NOBR> som mottagits från statliga myndigheter sedan april 2016. Myndigheterna ska skyndsamt rapportera <NOBR>it-incidenter</NOBR> som inträffat i myndighetens informationssystem och som allvarligt kan påverka säkerheten i den informationshantering som myndigheten ansvarar för eller i tjänster som myndigheten tillhandahåller åt en annan organisation.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">119</P>
</DIV>
</DIV>
<DIV id="page_121">
<DIV id="p121dimg1">
<INGENBILD zsrc="H9B363121x1.jpg/" id="p121img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Utvecklingen av hot, sårbarheter och risker</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p276 ft19">MSB mottog under 2020 sammanlagt 286 rapporter från 93 myn- digheter. Den vanligaste incidentkategorin var handhavandefel, följt av angrepp, störning i mjukvara eller hårdvara samt störning i drift- miljö. I ungefär hälften av fallen angavs incidenten ha fått begränsade konsekvenser och i ungefär en fjärdedel angavs incidenten ha fått stora konsekvenser.<SPAN class="ft101">6</SPAN></P>
<P class="p105 ft17">Förutom redogörelse för de incidenter som inkommit innehåller rapporten även ett antal lärande exempel på incidenter som inträffat och rekommenderade åtgärder.</P>
<P class="p172 ft21">En analys av de rapporterade incidenterna visar att:</P>
<P class="p256 ft17"><SPAN class="ft21">–</SPAN><NOBR><SPAN class="ft55">Covid-19-pandemin</SPAN></NOBR> förefaller inte bara ha påverkat informations- och cybersäkerheten genom hur och var vi arbetar utan även in- cidentrapporteringen.</P>
<P class="p256 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">Andelen rapporterade angrepp har minskat medan andelen inci- denter relaterade till störningar i driftmiljö, mjuk- eller hårdvara eller rena handhavandefel har ökat.</SPAN></P>
<P class="p136 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">Komplexa system och miljöer får större konsekvenser.</SPAN></P>
<P class="p153 ft17">Baserat på den inkomna rapporteringen bedömer MSB att myndig- heterna bl.a. behöver höja lägstanivån, analysera beroendet till externa leverantörer samt se över sin incidenthantering och incidentrap- portering.</P>
<P class="p102 ft48"><SPAN class="ft48">5.5</SPAN><SPAN class="ft78">Cyberangrepp mot företag</SPAN></P>
<P class="p192 ft45"><SPAN class="ft18">I rapporten </SPAN>Cyberhoten mot Sverige 2019 – En undersökning om hur 100 större svenska bolag ser på cyberbrott nu och i ett framtidsper- spektiv<SPAN class="ft79">7 </SPAN><SPAN class="ft18">redovisas en helhetsbild över hur 100 större svenska bolag ser på cyberhot i dag och i framtiden. Av rapporten framkommer att när det gäller det egna företaget så väntas allt fler attacker mot den egna verksamheten och att cyberbrottsligheten förväntades öka markant under 2019. Närmare hälften (49 procent) av företagen blev utsatta för en cyberattack under 2018, vilket var i nivå med det föregående årets undersökning (47 procent). 65 procent av företagen räknade</SPAN></P>
<P class="p331 ft93"><SPAN class="ft80">6</SPAN><SPAN class="ft94">MSB:s årsrapport </SPAN>Statliga myndigheters <NOBR>it-incidentrapportering</NOBR> 2020 – Utmaningar för en säker och robust informationshantering<SPAN class="ft85">.</SPAN></P>
<P class="p332 ft121"><SPAN class="ft56">7</SPAN><SPAN class="ft120">Cyberhoten mot Sverige 2019 – En undersökning om hur 100 större svenska bolag ser på cyber- brott nu och i ett framtidsperspektiv, PricewaterhouseCoopers (PwC), 2020.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">120</P>
</DIV>
</DIV>
<DIV id="page_122">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td64"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td76"><P class="p2 ft37">Utvecklingen av hot, sårbarheter och risker</P></TD>
</TR>
</TABLE>
<P class="p86 ft19">med att 2019 skulle bli ett besvärligare år med fler cyberattacker mot den egna organisationen. Vidare ansåg 81 procent av företagen att ny teknik som robotik och automatisering ökar riskerna för cyberattacker. Närmare hälften (48 procent) av företagen ansåg att tredjepartsris- ker, dvs. risker som uppkommer till följd av tekniksamarbeten, sam- arbeten med leverantörer och andra former av samarbeten, ökade under 2018.</P>
<P class="p80 ft18">Av rapporten framkommer vidare att en majoritet av företagen anser att Sverige är inte tillräckligt rustat för att möta de ökade cyber- hoten. Undersökningen visar tydligt att de ökade hotbilderna när det gäller cyberbrott har en stor påverkan på hela samhället och att det finns en enighet i näringslivet om problemets omfattning.</P>
<P class="p65 ft46">Enligt rapporten visar resultaten från undersökningen att det åter- står mycket arbete när det gäller prioritering av frågorna om cyber- säkerhet i de svenska storföretagen. Undersökningen visar att få före- tag inser att cybersäkerhet är en verksamhetskritisk fråga med på- verkan på hela företagets existens. T.ex. rapporterar endast 28 procent av informationssäkerhetscheferna (CISO) direkt till verkställande direktören eller styrelse och av dessa är det endast fyra procent som rapporterar till styrelsen. I rapporten framhålls att skillnaden är mar- kant i jämförelse med omvärlden, t.ex. visade den globala undersök- ning <SPAN class="ft60">Global State of Information Security Survey 2018 </SPAN>att 67 procent av företagens CISO:s rapporterar direkt till vd eller styrelse och 27 procent till styrelsen. Anmärkningsvärt är även att närmare hälf- ten (43 procent) av företagen inte tycker eller inte vet om styrelsen är tillräckligt engagerad i cybersäkerhetsfrågorna. 43 procent av före- tagen tycker inte att eller vet inte om styrelsen är tillräckligt engage- rad i cybersäkerhetsfrågorna.</P>
<P class="p333 ft17">Av rapporten framkommer även att 83 procent av företagen anser även att det svenska samhället inte är tillräckligt rustat för att klara av de ökade cyberhoten. Många företag anser att det görs för få in- satser från politiskt håll. 76 procent av tillfrågade företag anser att svenska politiker inte tar cybersäkerhet som samhällsutmaning på tillräckligt stort allvar i dagsläget, andelen som ansåg att politikerna tar cybersäkerhet som samhällsutmaning på tillräckligt stort allvar i dagsläget minskade också från 22 procent till 14 procent. Företagen anser vidare att politikerna gör för lite för att möta den här negativa utvecklingen.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">121</P>
</DIV>
</DIV>
<DIV id="page_123">
<DIV id="p123dimg1">
<INGENBILD zsrc="H9B363123x1.jpg/" id="p123img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Utvecklingen av hot, sårbarheter och risker</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p334 ft35"><SPAN class="ft26">5.5.1</SPAN><SPAN class="ft122">CYBERHOTEN – Så ser hotbilden och attackerna ut mot svenska teknikföretag (2019)</SPAN></P>
<P class="p71 ft45"><SPAN class="ft18">I rapporten </SPAN>CYBERHOTEN – Så ser hotbilden och attackerna ut mot svenska teknikföretag<SPAN class="ft123">8 </SPAN><SPAN class="ft18">framhålls att industrin och företag i Sverige genomgår en omfattande digitalisering. Utvecklingen innebär att ut- rustning och verktyg både kan kopplas upp och kopplas ihop till en rimlig kostnad, samt att data som skapas i olika processer kan fångas upp och användas. Detta ger möjlighet till ökad produktivitet, nya affärsmöjligheter och en ökad miljömässig hållbarhet. Parallellt med dessa möjligheter så har också förväntningarna och kraven ökat från kunder och leverantörer att tjänster ska finnas att tillgå digitalt. Med digitaliseringen kommer samtidigt en ökad sårbarhet som gäller alla företag, oavsett storlek. Digitaliseringen ger upphov till stora risker som måste hanteras. För mindre teknikföretag och underleveran- törer är det tre faktorer som, enligt rapporten, är särskilt utmanande:</SPAN></P>
<P class="p34 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">frekvensen, såväl som konsekvensen, av cyberattacker har ökat,</SPAN></P>
<P class="p258 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">attackerna har även blivit diversifierade, mer sofistikerade och riktade mot specifika sektorer, samt</SPAN></P>
<P class="p257 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">mindre teknikföretag och underleverantörer är numera primära måltavlor.</SPAN></P>
<P class="p70 ft20">Hälften av teknikföretagen har angripits det senaste året</P>
<P class="p71 ft18">I rapporten anges att antalet cyberattacker mot olika företag och myndigheter i Sverige har ökat och uppgår till över 100 000 per år. Angreppen mot företagen sker i olika former. I början av 2020 var över 17 000 datorer infekterade i Sverige, dvs. de var bl.a. angripna av virus eller utgjorde delar av ett botnät. Motsvarande siffra för mobila enheter uppskattas till omkring 400 000. Denna mängd dato- rer och mobiler kan sedan användas för koordinerade attacker mot enskilda företag eller specifika branscher och riskerar då att slå ut exempelvis kritiska produktionssystem. Den mest frekventa formen av angrepp som företagen identifierat sker genom elakartad program- vara som virus och trojaner samt genom att sårbarheter i de digitala systemen utnyttjas för intrång.</P>
<P class="p335 ft74"><SPAN class="ft80">8</SPAN><SPAN class="ft95">CYBERHOTEN – Så ser hotbilden och attackerna ut mot svenska teknikföretag</SPAN><SPAN class="ft41">, Teknikföre- tagen, 2019.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">122</P>
</DIV>
</DIV>
<DIV id="page_124">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td64"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td76"><P class="p2 ft37">Utvecklingen av hot, sårbarheter och risker</P></TD>
</TR>
</TABLE>
<P class="p231 ft19">Av rapporten framkommer vidare att bland Teknikföretagens medlemmar, dvs. tillverkande företag och industrinära tjänsteföre- tag, uppgav nära hälften att de blev utsatta för cyberangrepp under <NOBR>2018–2019.</NOBR> Andelen för företag i övriga sektorer i näringslivet var knappt 25 procent. En särskild utmaning är att cyberattackerna som riktas mot företagen bedrivs långsiktigt och systematiskt där bitar av information läggs samman. I detta perspektiv är mindre teknikföre- tag och underleverantörer nyckelkomponenter för att komma över uppgifter.</P>
<P class="p131 ft20">Olika aktörer utför olika typer av angrepp</P>
<P class="p232 ft46">Av rapporten framkommer att sedan ett antal år tillbaka kommer cyberhoten som möter industrin i Sverige i stor utsträckning från främmande makter. Dessa stater utför själva attackerna eller ger direkt stöd åt kriminella grupperingar för riktade intrångsförsök. Sammantaget är det ett femtontal länder som aktivt opererar med sikte på svenska företag. Attackerna kombineras med påverkansope- rationer, traditionella underrättelseaktiviteter och strategiska uppköp, vilket riktas mot bl.a. företag inom elektronik, kommunikations- teknik och industriella produkter. I sammanhanget kan noteras att en del av de företag som är måltavlor, tillhandahåller civila kompo- nenter och produkter, som har dubbla användningsområden. Genom att produkterna även kan användas för militära ändamål är de av sär- skilt intresse för främmande makter.</P>
<P class="p283 ft20">Angrepp för miljarder och stort mörkertal</P>
<P class="p110 ft19">Av rapporten framkommer även att på samma sätt som attackerna varierar, på samma sätt skiftar konsekvenserna. För Teknikföreta- gens medlemmar innebar cyberattackerna under 2019 att system blev otillgängliga och att data blev publikt eller att affärshemligheter stulits. Bedömningen var att denna utveckling skulle fortsätta med ökande styrka även under år 2020. Samtidigt kan noteras att företag ogärna offentliggör när de blivit attackerade, varför redovisade uppgifter – enligt rapporten – sannolikt döljer ett stort mörkertal. Dessutom förblir många företag ovetandes om att de överhuvudtaget har blivit utsatta för angrepp.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">123</P>
</DIV>
</DIV>
<DIV id="page_125">
<DIV id="p125dimg1">
<INGENBILD zsrc="H9B363125x1.jpg/" id="p125img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Utvecklingen av hot, sårbarheter och risker</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p336 ft18">I rapporten anges att en rimlig uppskattning är att de samlade direkta kostnaderna uppgår till cirka 16 miljarder kronor för svenska företag, vilket främst drabbar de forskningsintensiva industriföre- tagen och företag som arbetar med dem, exempelvis underleveran- törer. Även störningar och avbrott som följer av cyberattacker är riskabla och kan bli kostsamma. Under 2019 rapporterades exempel- vis 50 allvarliga och betydande incidenter. Kostnaden för dessa har inte bl.a. uppskattats, men totalt beräknas en nedstängning eller blockering av datatrafiken i Sverige generera en kostnad för sam- hället på omkring 6 miljarder kronor om dagen.</P>
<P class="p337 ft26"><SPAN class="ft26">5.5.2</SPAN><SPAN class="ft89">Cybersäkerhet – En kartläggning av Sveriges nuläge 2020 och framtidsutsikter för branschen</SPAN></P>
<P class="p338 ft45"><SPAN class="ft18">I studien </SPAN>Cybersäkerhet – En kartläggning av Sveriges nuläge 2020 och framtidsutsikter för branschen<SPAN class="ft79">9 </SPAN><SPAN class="ft18">redovisas bl.a. nuläget och framtids- utsikter för cybersäkerhetsbranschen vad gäller utbildning, företag och kompetens inom området.</SPAN><SPAN class="ft79">10 </SPAN><SPAN class="ft18">Sammanfattningsvis framkommer av studien att den snabba och omfattande digitaliseringen driver ut- vecklingen av cybersäkerhetsmarknaden framåt. Det finns dock ett stort behov av kompetens på området, både när det gäller utbildningar och när det gäller den interna kompetensen hos anställda på myndig- heter och företag. Cybersäkerhet är dessutom ett brett område som sträcker sig utanför </SPAN><NOBR><SPAN class="ft18">it-avdelningar</SPAN></NOBR><SPAN class="ft18"> och rena teknikbolag och därför krävs också olika kompetenser i kombination med cybersäkerhet. Det saknas dock teknisk kompetens i form av ingenjörer men också inom andra yrken som jurister och statsvetare.</SPAN></P>
<P class="p62 ft53">I studien lyfter respondenterna<SPAN class="ft124">11 </SPAN>genomgående människan som den största risken när det kommer till cybersäkerhet, liksom brist-</P>
<P class="p339 ft58"><SPAN class="ft56">9</SPAN><SPAN class="ft57">Kartläggningen utfördes av Unitalent på uppdrag av Linköpings Science Park, Tillväxtverket och Security Link, en centrumbildning vid Linköpings universitet, KTH, Chalmers och FOI.</SPAN></P>
<P class="p340 ft58"><SPAN class="ft56">10</SPAN><SPAN class="ft57">Kartläggningen är avgränsad till att undersöka den svenska marknaden för cybersäkerhet. etta görs främst ur ett nationellt perspektiv, i viss mån sker även en internationell utblick. Begreppet cybersäkerhet är i vissa sammanhang synonymt med </SPAN><NOBR>it-säkerhet</NOBR> och informations- säkerhet – i den här rapporten särskiljs dock begreppen. Cybersäkerhet definieras som en delmängd av <NOBR>it-säkerhet</NOBR> och informationssäkerhet, där det finns ett fokus på att skydda den digitala informationen i system och processer mot ett antagonistiskt hot. Vidare är cyber- säkerhet något som berör många olika typer av verksamheter, med cybersäkerhetsmarknaden respektive cybersäkerhetsbranschen avses i det här fallet de företag och organisationer som arbetar direkt med frågor, produkter eller tjänster gällande cybersäkerhet.</P>
<P class="p341 ft41"><SPAN class="ft56">11</SPAN><SPAN class="ft81">Kartläggningen är baserad på aktuell litteratur, rapporter från myndigheter, medierapporter- ing samt </SPAN><NOBR>semi-strukturerade</NOBR> intervjuer med erfarna personer med kunskaper inom olika om- råden kopplat till cybersäkerhet.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">124</P>
</DIV>
</DIV>
<DIV id="page_126">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td64"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td76"><P class="p2 ft37">Utvecklingen av hot, sårbarheter och risker</P></TD>
</TR>
</TABLE>
<P class="p342 ft17">fälliga riskanalyser och bristande, kontinuerligt säkerhetsarbete. Där- till lyfts att utvecklingen av nya tekniker såsom AI och IoT skapar nya möjligheter men också risker. Enligt studien visar kartläggningen på att det finns stora utvecklingsområden och behov av insatser på området.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">125</P>
</DIV>
</DIV>
<DIV id="page_127">
</DIV>
<DIV id="page_128">
<DIV id="p128dimg1">
<INGENBILD zsrc="H9B363128x1.jpg/" id="p128img1">
</DIV>
<P class="p0 ft16">6 Säkerhetskänslig verksamhet</P>
<P class="p56 ft48"><SPAN class="ft48">6.1</SPAN><SPAN class="ft78">Inledning</SPAN></P>
<P class="p132 ft17">I säkerhetsskyddslagen (2018:585) finns bestämmelser om säkerhets- skydd i säkerhetskänslig verksamhet. Säkerhetsskyddsförordningen (2018:658) innehåller kompletterande bestämmelser till säkerhets- skyddslagen.<SPAN class="ft54">1</SPAN></P>
<P class="p149 ft17">I direktiven framhålls att för <SPAN class="ft49">informationssystem </SPAN>som används i eller har betydelse för säkerhetskänslig verksamhet finns särskilda krav i säkerhetsskyddsförordningen (2018:658). Det rör sig dels om förberedande åtgärder inför driftsättning av sådana informations- system, dels om säkerhetskrav som kontinuerligt ställs på informa- tionssystemen.</P>
<P class="p186 ft17">Bestämmelserna innebär att det är <SPAN class="ft49">verksamhetsutövaren </SPAN>som <SPAN class="ft49">an- svarar </SPAN>för att se till att informationssystemen upprätthåller kraven på informationssäkerhet.</P>
<P class="p216 ft17">Bestämmelserna innehåller även krav på <SPAN class="ft49">samråd </SPAN>med Säkerhets- polisen eller Försvarsmakten i vissa fall. Detta gäller för informations- system som kan komma att behandla säkerhetsskyddsklassificerade uppgifter av visst slag och informationssystem där obehörig åtkomst till systemen kan medföra en skada för Sveriges säkerhet som inte är obetydlig.</P>
<P class="p11 ft18">Enligt direktiven finns det anledning att överväga om <SPAN class="ft45">ytterligare krav </SPAN>bör införas för att säkerställa att <SPAN class="ft45">nätverks- och informationssystem </SPAN>som ska användas i <SPAN class="ft45">säkerhetskänslig verksamhet </SPAN>uppfyller de krav som behövs för att upprätthålla skyddet av sådana verksamheter.</P>
<P class="p11 ft46">I detta avsnitt redogörs översiktligt för relevanta bestämmelser om säkerhetsskydd i säkerhetsskyddslagen respektive den anslutande förordningen. I efterföljande kapitel 7 lämnas en närmare redogörelse för det nationella regelsystemet för <SPAN class="ft60">informationssäkerhet </SPAN>i <SPAN class="ft60">säkerhets-</SPAN></P>
<P class="p343 ft41"><SPAN class="ft56">1</SPAN><SPAN class="ft82">Ord och uttryck som används i förordningen har samma innebörd som i lagen.</SPAN></P>
<P class="p344 ft31">127</P>
</DIV>
<DIV id="page_129">
<DIV id="p129dimg1">
<INGENBILD zsrc="H9B363129x1.jpg/" id="p129img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Säkerhetskänslig verksamhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft46"><SPAN class="ft60">känslig verksamhet</SPAN>, som är det begrepp som används i regleringen för att beskriva åtgärder som syftar till säkerhet i bl.a. nätverks- och infor- mationssystem (informationssystem). I 1 kap. 5 § angivna förordning anges att med informationssystem avses ett <SPAN class="ft60">system av sammansatt mjuk- och hårdvara som behandlar information</SPAN>.</P>
<P class="p345 ft48"><SPAN class="ft48">6.2</SPAN><SPAN class="ft78">Säkerhetsskyddslagen</SPAN></P>
<P class="p346 ft20">Säkerhetskänslig verksamhet <SPAN class="ft21">är enligt 1 kap. 1 § säkerhetsskyddslagen (2018:585)</SPAN><SPAN class="ft102">2 </SPAN><SPAN class="ft21">sådan verksamhet</SPAN></P>
<P class="p30 ft21"><SPAN class="ft115">•</SPAN><SPAN class="ft64">som är av betydelse för </SPAN><SPAN class="ft20">Sveriges säkerhet, </SPAN>eller</P>
<P class="p240 ft17"><SPAN class="ft115">•</SPAN><SPAN class="ft50">som omfattas av ett för Sverige förpliktande </SPAN><SPAN class="ft49">internationellt åta- gande </SPAN>om säkerhetsskydd.</P>
<P class="p347 ft53">Säkerhetsskyddslagens bestämmelser gäller för den som till någon del bedriver säkerhetskänslig verksamhet (<SPAN class="ft125">verksamhetsutövare</SPAN>).</P>
<P class="p348 ft26"><SPAN class="ft26">6.2.1</SPAN><SPAN class="ft89">Sveriges säkerhet</SPAN></P>
<P class="p261 ft17">Säkerhetsskydd har traditionellt uttryckts som olika åtgärder för att skydda totalförsvaret eller rikets säkerhet i övrigt. Uttrycket rikets säkerhet är i säkerhetsskyddslagen numera ersatt av <SPAN class="ft49">Sveriges säkerhet </SPAN>men liksom tidigare finns ingen tydlig definition angiven i säker- hetsskyddslagen. Uttrycket förekommer dock även i annan lagstift- ning och kan sammanfattas som Sveriges oberoende – i betydelsen självständighet och suveränitet – och bestånd. Detta innefattar rätt till okränkta landsgränser, ett bevarande av det svenska självstyret och det demokratiska statsskicket samt av nationens grundläggande funktionalitet.</P>
<P class="p106 ft46">Såväl myndigheter som enskilda driver ett stort antal samhälls- viktiga verksamheter som i helhet eller delar kan vara av större eller mindre betydelse. Detta brukar illustreras med en pyramid där den översta delen utgörs av de verksamheterna som är av betydelse för Sveriges säkerhet ur ett nationellt perspektiv (se figuren i avsnitt 3.5).</P>
<P class="p349 ft58"><SPAN class="ft56">2</SPAN><SPAN class="ft57">I lagen finns också bestämmelser som gäller den som avser att överlåta aktier eller andelar i säkerhetskänslig verksamhet och om internationell samverkan på säkerhetsskyddsområdet.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">128</P>
</DIV>
</DIV>
<DIV id="page_130">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td85"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td86"><P class="p2 ft37">Säkerhetskänslig verksamhet</P></TD>
</TR>
</TABLE>
<P class="p244 ft21">Dessa verksamheter har ett <SPAN class="ft20">kvalificerat skyddsbehov </SPAN>och omfattas av säkerhetsskyddslagen.</P>
<P class="p122 ft46">Uttrycket ”Sveriges säkerhet” tar sikte på sådant som är av grund- läggande betydelse för Sverige. I detta ingår bland annat det militära och civila försvaret, den nationella ekonomin, de brottsbekämpande myndigheterna, domstolarna och sådana leveranser av exempelvis livsmedel, elkraft, dricksvatten och drivmedel som är nödvändiga för samhällets funktionalitet på nationell nivå. Anläggningar, objekt, system och liknande verksamhet identifieras och graderas utifrån vilken typ och grad av skada som direkt eller uppenbart indirekt kan uppstå för Sveriges yttre säkerhet, för Sveriges inre säkerhet, på nationellt sam- hällsviktig verksamhet och för Sveriges ekonomi. Detsamma gäller för anläggningar och objekt där det bedrivs verksamhet som vid en antagonistisk handling kan generera skadekonsekvenser på nationell nivå på andra säkerhetskänsliga verksamheter (s.k. skadegenererande verksamhet).</P>
<P class="p350 ft18">Vad som är av betydelse för Sveriges säkerhet kan <SPAN class="ft45">förändras över tid </SPAN>och i takt med att samhället utvecklas. Ett exempel är hur samhällets funktionalitet de senaste åren blivit mer beroende av datasystem och mobiltelefoni. Av denna anledning är det viktigt att verksamhets- utövare med regelbundenhet uppdaterar sin <SPAN class="ft45">säkerhetsskyddsanalys </SPAN>(se nedan) och bedriver ett fortlöpande <SPAN class="ft45">säkerhetsskyddsarbete</SPAN>.</P>
<P class="p147 ft26"><SPAN class="ft26">6.2.2</SPAN><SPAN class="ft89">Internationellt åtagande om säkerhetsskydd</SPAN></P>
<P class="p351 ft17">Med internationellt åtagande om säkerhetsskydd avses att Sverige förbundit sig att <SPAN class="ft49">skydda </SPAN>något åt en annan stat eller mellanfolklig organisation, t.ex. <SPAN class="ft49">uppgifter </SPAN>som utbytts inom militära samarbeten eller samarbeten mot terrorism.</P>
<P class="p131 ft48"><SPAN class="ft48">6.3</SPAN><SPAN class="ft78">Vad som avses med säkerhetsskydd</SPAN></P>
<P class="p18 ft21">I 1 kap. 2 § säkerhetsskyddslagen anges att med <SPAN class="ft20">säkerhetsskydd </SPAN>avses:</P>
<P class="p352 ft19"><SPAN class="ft115">•</SPAN><SPAN class="ft126">Skydd av säkerhetskänslig verksamhet mot </SPAN><SPAN class="ft63">spioneri, sabotage, terroristbrott och andra brott </SPAN>som kan hota verksamheten samt</P>
<P class="p198 ft21"><SPAN class="ft115">•</SPAN><SPAN class="ft117">Skydd i </SPAN><SPAN class="ft20">andra fall </SPAN>av säkerhetsskyddsklassificerade uppgifter.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">129</P>
</DIV>
</DIV>
<DIV id="page_131">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Säkerhetskänslig verksamhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p189 ft17">Säkerhetsskydd behövs för att skydda säkerhetskänsliga verksam- heter mot olika typer av <SPAN class="ft49">antagonistiska </SPAN>handlingar från hotaktörer med varierande avsikt och förmåga (se kapitel 5).</P>
<P class="p102 ft20">Säkerhetsskydd som ett system av samverkande åtgärder</P>
<P class="p71 ft19">Säkerhetsskydd kan övergripande beskrivas som ett system av sam- verkande åtgärder som syftar till att skapa ett heltäckande skydd. Olika verksamhetsutövare har många gånger olika förutsättningar för verksamheten och säkerhetsskyddsåtgärderna måste därför an- passas efter den säkerhetskänsliga verksamhetens förutsättningar. Detta gör säkerhetsskydd till ett många gånger komplext område där olika åtgärder måste fogas samman för att värna Sveriges säkerhet eller det Sverige åtagit sig att skydda åt andra stater och mellan- folkliga organisationer.</P>
<P class="p115 ft127">Säkerhetsskydd kan beskrivas som ett system av åtgärder som utifrån säkerhetsskyddsanalysen tillsammans skyddar den säkerhets- känsliga verksamheten. Merparten av åtgärderna inom säkerhetsskydd kan sorteras in i någon av de tre säkerhetsskyddsåtgärderna <SPAN class="ft72">infor- mationssäkerhet</SPAN>, <SPAN class="ft72">fysisk säkerhet </SPAN>och <SPAN class="ft72">personalsäkerhet</SPAN>. Andra åtgärder som ingår i systemet av säkerhetsskydd är exempelvis anmälan av säker- hetshotande händelser och säkerhetsskyddsavtal med leverantörer.</P>
<P class="p106 ft18">En grundförutsättning för ett heltäckande säkerhetsskydd är sam- spelet mellan olika typer av åtgärder som överlappar varandra. Ex- empelvis räcker det inte att enbart skydda ett informationssystem med informationssäkerhet som hindrar intrång via internet. Det krävs även fysisk säkerhet för att förhindra att obehöriga kommer åt datautrustningen samt personalsäkerhet för att förebygga att personer som inte är pålitliga ur säkerhetssynpunkt får arbeta med systemet.</P>
<P class="p73 ft18">Utöver samspelet måste hela kedjan av åtgärder vara jämnstark så att det inte finns några svaga länkar. Om exempelvis personal reser med säkerhetsskyddsklassificerade uppgifter mellan arbetsplatser måste transporten regleras så den inte utgör en sårbarhet. I annat fall kan en angripare utnyttja detta och slå till på en plats där nivån av säkerhetsskydd är lägre än på arbetsplatserna.</P>
<P class="p106 ft18">Begreppet säkerhetskänslig verksamhet omfattar således såväl mili- tär som civil verksamhet och är oberoende av om verksamheten be- drivs av det offentliga eller av enskilda aktörer. Inom många verk-</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">130</P>
</DIV>
</DIV>
<DIV id="page_132">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td85"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td86"><P class="p2 ft37">Säkerhetskänslig verksamhet</P></TD>
</TR>
</TABLE>
<P class="p86 ft19">samheter är endast <SPAN class="ft63">en viss del</SPAN>, <SPAN class="ft63">tillgång </SPAN>eller <SPAN class="ft63">funktion </SPAN>av betydelse för Sveriges säkerhet. Verksamhetsutövaren måste då analysera vilka delar som är säkerhetskänsliga så att säkerhetsskyddsåtgärderna inte görs onödigt omfattande men inte heller missar delar som omfattas av säkerhetsskyddslagens krav.</P>
<P class="p108 ft17">Utgångspunkten är att verksamheten ska ha direkt betydelse för Sveriges säkerhet men även verksamhetsutövare som t.ex. levererar driftstjänster såsom data och telekommunikation, kan anses bedriva verksamhet som är av betydelse för Sveriges säkerhet. Det kan då vara den <SPAN class="ft49">samlade betydelsen </SPAN>som indirekt aktualiserar behovet av säkerhetsskydd även om de enskilda uppdragen sedda var och en för sig inte är säkerhetskänsliga.</P>
<P class="p65 ft45"><SPAN class="ft18">Den som hanterar </SPAN>säkerhetsskyddsklassificerade uppgifter <SPAN class="ft18">anses redan på den grunden bedriva säkerhetskänslig verksamhet eftersom uppgifterna i sig är av betydelse för Sveriges säkerhet. Detta oavsett om uppgifterna rör den egna verksamheten eller härrör från någon annan verksamhetsutövare, t.ex. vid arkivförvaring av handlingar. Även verksamheter som hanterar </SPAN>allmänt åtkomlig information <SPAN class="ft18">såsom meteorologiska data och kartor </SPAN>kan <SPAN class="ft18">vara säkerhetskänsliga. Uppgif- terna kan exempelvis behöva vara tillgängliga för nationell flygtrafik- ledning eller olika former av beredskap för reparationer av nationellt viktig infrastruktur.</SPAN></P>
<P class="p119 ft17">De internationella åtagandena om säkerhetsskydd som staten Sverige har åtagit sig omfattar framför allt <SPAN class="ft49">hantering av uppgifter</SPAN>.</P>
<P class="p108 ft17">Sverige har förbundit sig att skydda säkerhetsskyddsklassificerade uppgifter för ett trettiotal andra stater och mellanfolkliga organisa- tioner, bl.a. EU och NATO.</P>
<P class="p65 ft19">Därutöver har Sverige även andra internationella åtaganden gäl- lande exempelvis luftfartsskydd. <SPAN class="ft63">Verksamheter som omfattas av sådana åtaganden </SPAN>är att anse som <SPAN class="ft63">säkerhetskänsliga</SPAN>. Det förekommer att myn- digheter vid samarbete med utländska myndigheter självständigt kom- mer överens om olika typer av skyddsåtgärder. Denna typ av egna överenskommelser gör dock inte att verksamheten omfattas av säker- hetsskyddslagen.</P>
<P class="p109 ft18"><SPAN class="ft45">Säkerhetsskyddsanalys är </SPAN>grunden för säkerhetsskydd. Själva be- dömningen av om en verksamhet är säkerhetskänslig eller inte har sin grund i verksamhetens säkerhetsskyddsanalys. Efter det initiala</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">131</P>
</DIV>
</DIV>
<DIV id="page_133">
<DIV id="p133dimg1">
<INGENBILD zsrc="H9B363133x1.jpg/" id="p133img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Säkerhetskänslig verksamhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p189 ft21">konstaterandet att verksamheten är säkerhetskänslig följer en mer detaljerad analys av på vilket sätt och i vilken utsträckning.<SPAN class="ft102">3</SPAN></P>
<P class="p209 ft20">Skillnaden mellan säkerhetsskydd och andra säkerhetsåtgärder<SPAN class="ft102">4</SPAN></P>
<P class="p71 ft46">Utöver behovet av säkerhetsskydd försöker de flesta verksamheter skydda sig mot olika risker för att inte drabbas av exempelvis pro- duktionsavbrott. I många fall är skyddet inriktat på olyckor, men det kan även i likhet med säkerhetsskydd ta höjd för antagonistiska hand- lingar såsom anlagda bränder eller industrispionage. Säkerhetsskyd- det och andra säkerhetsåtgärder kan mycket väl sammanfalla men det är i så fall viktigt att klargöra vilka perspektiv som är grunden för respektive åtgärd.</P>
<P class="p353 ft18">Säkerhetsåtgärder som utgår från verksamhetens egna krav och incitament är valfria, medan skyddet av det som faller inom ramen för säkerhetsskydd är tvingande genom lag. Denna skillnad i per- spektiv påverkar det grundläggande arbetet med analyser och efter- följande val av åtgärder och hur omfattande dessa behöver vara. I exempelvis en affärsriskanalys kan den bedömda sannolikheten för olika händelser vägas mot kostnaden för åtgärder och vilka möjliga förluster organisationen är beredd att acceptera.</P>
<P class="p106 ft18">I en säkerhetsskyddsanalys beaktas inte sannolikheten, utan ut- gångspunkten är i stället de <SPAN class="ft45">konsekvenser </SPAN>som måste undvikas. Utrym- met att själv välja vad som är en lagom skyddsnivå är begränsat efter- som principen är att skyddet för en säkerhetskänslig verksamhet ska vara detsamma oavsett vem som är verksamhetsutövare.</P>
<P class="p73 ft18">Säkerhetsskyddets huvudsakliga inriktning att <SPAN class="ft45">skydda mot anta- gonistiska handlingar </SPAN>gör att säkerhetsåtgärder som renodlat syftar till att minska konsekvenserna av olyckor i regel inte utgör fullgoda säkerhetsskyddsåtgärder. Det finns vissa åtgärder som är förbehållna säkerhetskänslig verksamhet. Merparten av dessa finns inom perso- nalsäkerhetsområdet i form av de registerkontroller som ska utföras innan och under anställning. Med detta perspektiv blir det ännu tyd- ligare hur viktigt det är att hålla isär åtgärder som vidtas med avse- ende på säkerhetsskydd från verksamhetens övriga behov.</P>
<P class="p208 ft85"><SPAN class="ft80">3</SPAN><SPAN class="ft94">För dessa moment har Säkerhetspolisen gett ut en separat vägledning, </SPAN><SPAN class="ft93">Säkerhetsskyddsanalys</SPAN>, där begreppen utvecklas.</P>
<P class="p243 ft41"><SPAN class="ft80">4</SPAN><SPAN class="ft81">1 kap. 2 § säkerhetsskyddslagen.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">132</P>
</DIV>
</DIV>
<DIV id="page_134">
<DIV id="p134dimg1">
<INGENBILD zsrc="H9B363134x1.jpg/" id="p134img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td85"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td86"><P class="p2 ft37">Säkerhetskänslig verksamhet</P></TD>
</TR>
</TABLE>
<P class="p5 ft48"><SPAN class="ft48">6.4</SPAN><SPAN class="ft78">Konsekvenskategorier</SPAN></P>
<P class="p354 ft49"><SPAN class="ft17">Verksamhetsutövare ska </SPAN>identifiera anläggningar, objekt, system eller liknande verksamhet <SPAN class="ft17">som har betydelse för Sveriges säkerhet utifrån vilken typ av skada en antagonistisk handling direkt eller uppenbart indirekt skulle kunna medföra. Identifieringen ska göras enligt föl- jande konsekvenskategorier</SPAN><SPAN class="ft54">5</SPAN><SPAN class="ft17">:</SPAN></P>
<P class="p99 ft18"><SPAN class="ft115">•</SPAN><SPAN class="ft128">Skada för Sveriges yttre säkerhet</SPAN>: Sveriges yttre säkerhet kan delas in i förmågan att upprätthålla nationellt försvar (territoriell suve- ränitet) samt Sveriges integritet, oberoende och handlingsfrihet (politisk självständighet). Utöver Försvarsmakten finns andra verksamheter, till exempel vissa myndigheter och enskilda inom försvarsindustrin, som är viktiga för det militära försvarets för- måga att utföra sitt uppdrag inom ramen för totalförsvaret.</P>
<P class="p96 ft18"><SPAN class="ft115">•</SPAN><SPAN class="ft128">Skada för Sveriges inre säkerhet</SPAN>: Sveriges inre säkerhet rör för- mågan att upprätthålla och säkerställa grundläggande strukturer i form av det demokratiska statsskicket, rättsväsendet och den brotts- bekämpande förmågan på nationell nivå. Säkerhetsskyddet för Sveriges inre säkerhet handlar till stor del om att skydda särskilt kritiska anläggningar, funktioner och informationssystem.</P>
<P class="p96 ft45"><SPAN class="ft115">•</SPAN><SPAN class="ft128">Skada på nationellt samhällsviktig verksamhet</SPAN><SPAN class="ft18">: Verksamheter som rör leveranser, tjänster och funktioner som är nödvändiga för sam- hällets funktionalitet på nationell nivå. Dessa verksamheter finns ofta inom, men är inte begränsat till, sektorerna energiförsörjning, livsmedelsförsörjning, elektroniska kommunikationer, vattenför- sörjning, transporter och finansiella tjänster.</SPAN></P>
<P class="p93 ft49"><SPAN class="ft115">•</SPAN><SPAN class="ft129">Skada för Sveriges ekonomi</SPAN><SPAN class="ft17">: Verksamheter som är nödvändiga för den nationella betalningsförmågan och där en ekonomisk skada kan få negativa konsekvenser för Sveriges suveränitet, handlings- frihet och oberoende.</SPAN></P>
<P class="p98 ft49"><SPAN class="ft115">•</SPAN><SPAN class="ft129">Skadegenererande verksamhet</SPAN><SPAN class="ft17">: Verksamheter som, om de utsätts för antagonistisk handling, kan generera direkta eller uppenbara indirekta skadekonsekvenser på andra säkerhetskänsliga verksam- heter på nationell nivå genom påverkan på liv, hälsa och infra- struktur.</SPAN></P>
<P class="p5 ft41"><SPAN class="ft56">5</SPAN><SPAN class="ft82">2 kap. 2 § Säkerhetspolisens föreskrifter om säkerhetsskydd.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">133</P>
</DIV>
</DIV>
<DIV id="page_135">
<DIV id="p135dimg1">
<INGENBILD zsrc="H9B363135x1.jpg/" id="p135img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Säkerhetskänslig verksamhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p201 ft26"><SPAN class="ft26">6.4.1</SPAN><SPAN class="ft89">Konsekvensnivåer</SPAN></P>
<P class="p355 ft18">Säkerhetskänslig verksamhet som identifierats tillhöra en konsekvens- kategori enligt ovan ska därefter <SPAN class="ft45">graderas </SPAN>utifrån <SPAN class="ft45">konsekvensnivåer </SPAN>beroende på hur allvarlig skada en antagonistisk handling skulle kunna medföra.<SPAN class="ft79">6 </SPAN>Till skillnad från konsekvenskategori kan en verksamhet som helhet bara tillhöra en konsekvensnivå. Om verksamheten åter- finns i flera konsekvenskategorier väljs den konsekvensnivå där den potentiella graden av skada för Sveriges säkerhet är som störst.</P>
<P class="p172 ft21">Indelningen i konsekvensnivåer sker enligt följande:</P>
<P class="p30 ft21"><SPAN class="ft115">•</SPAN><SPAN class="ft64">Nivå 5: Synnerligen allvarlig skada för Sveriges säkerhet.</SPAN></P>
<P class="p34 ft21"><SPAN class="ft115">•</SPAN><SPAN class="ft64">Nivå 4: Allvarlig skada för Sveriges säkerhet.</SPAN></P>
<P class="p30 ft21"><SPAN class="ft115">•</SPAN><SPAN class="ft64">Nivå 3: Inte obetydlig skada för Sveriges säkerhet.</SPAN></P>
<P class="p30 ft21"><SPAN class="ft115">•</SPAN><SPAN class="ft64">Nivå 2: Ringa skada för Sveriges säkerhet.</SPAN></P>
<P class="p258 ft17"><SPAN class="ft115">•</SPAN><SPAN class="ft50">Nivå 1: Inte mätbar eller inte relevant konsekvens med bäring på Sveriges säkerhet.</SPAN></P>
<P class="p241 ft17">De verksamheter som bedöms tillhöra konsekvensnivåerna 4 och 5 benämns <SPAN class="ft49">särskilt säkerhetskänslig verksamhet </SPAN>och omfattas av sär- skilda bestämmelser (se nedan). Verksamheter som vid ett angrepp endast bedöms kunna medföra skada enligt nivå 1 omfattas inte av kraven på säkerhetsskydd.</P>
<P class="p70 ft26"><SPAN class="ft26">6.4.2</SPAN><SPAN class="ft89">Särskilt säkerhetskänslig verksamhet</SPAN></P>
<P class="p356 ft17">Verksamhet som tillhör de ovannämnda konsekvensnivåerna 4 och 5 benämns som särskilt säkerhetskänsliga verksamheter och omfattas av två särskilda krav:<SPAN class="ft54">7</SPAN></P>
<P class="p136 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">rapportering till tillsynsmyndighet,</SPAN></P>
<P class="p240 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">dimensionering med hjälp av dimensionerande hotbeskrivning (DHB).</SPAN></P>
<P class="p357 ft87"><SPAN class="ft80">6</SPAN><SPAN class="ft90">2 kap. 3 § Säkerhetspolisens föreskrifter om säkerhetsskydd.</SPAN></P>
<P class="p230 ft41"><SPAN class="ft80">7</SPAN><SPAN class="ft81">2 kap. 6 och 8 §§ Säkerhetspolisens föreskrifter om säkerhetsskydd.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">134</P>
</DIV>
</DIV>
<DIV id="page_136">
<DIV id="p136dimg1">
<INGENBILD zsrc="H9B363136x1.jpg/" id="p136img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td85"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td86"><P class="p2 ft37">Säkerhetskänslig verksamhet</P></TD>
</TR>
</TABLE>
<P class="p90 ft20">Rapportering till tillsynsmyndighet</P>
<P class="p358 ft18">Verksamhetsutövare som bedriver <SPAN class="ft45">särskilt säkerhetskänslig </SPAN>verksam- het ska <SPAN class="ft45">rapportera </SPAN>till respektive tillsynsmyndighet att sådan verksam- het bedrivs. Syftet med rapporteringen är att tillsynsmyndigheterna ska kunna ha en samlad bild över vilka verksamhetsutövare som är verksamma inom respektive tillsynsmyndighets ansvarsområde. Detta så att såväl tillsyn som rådgivning ska kunna prioriteras för de verksamheterna som är av störst betydelse för Sveriges säkerhet. De verksamhetsutövare som står direkt under Säkerhetspolisens till- synsansvar ska rapportera dit.<SPAN class="ft79">8 </SPAN>De verksamhetsutövare som står direkt under Försvarsmaktens tillsynsansvar ska rapportera dit.</P>
<P class="p131 ft20">Dimensionerande hotbeskrivningar (DHB)</P>
<P class="p199 ft18">Säkerhetspolisen tar i samråd med tillsynsmyndigheterna fram <SPAN class="ft45">dimen- sionerande hotbeskrivningar </SPAN>(DHB) till de verksamhetsutövare som bedriver särskilt säkerhetskänslig verksamhet. En DHB syftar till att ge en långsiktigt hållbar beskrivning av en antagen angripares för- måga, oberoende av om det för stunden föreligger ett konkret hot mot verksamheten. Verksamhetsutövaren ska använda den DHB:n för att dimensionera sitt säkerhetsskydd vilket innebär att DHB i prak- tiken utgör en lägstanivå för vad säkerhetsskyddet ska klara av att skydda mot.<SPAN class="ft79">9</SPAN></P>
<P class="p359 ft62"><SPAN class="ft48">6.5</SPAN><SPAN class="ft67">Grundläggande bestämmelser om säkerhetsskydd</SPAN></P>
<P class="p360 ft20">Skyldigheter för den som bedriver säkerhetskänslig verksamhet</P>
<P class="p232 ft18">I 2 kap. 1 § säkerhetsskyddslagen anges att den som bedriver säker- hetskänslig verksamhet ska utreda behovet av säkerhetsskydd (<SPAN class="ft45">säker- hetsskyddsanalys</SPAN>). Säkerhetsskyddsanalysen ska dokumenteras.</P>
<P class="p111 ft46">Med utgångspunkt i analysen ska verksamhetsutövaren planera och vidta de <SPAN class="ft60">säkerhetsskyddsåtgärder </SPAN>som behövs med hänsyn till verk-</P>
<P class="p5 ft87"><SPAN class="ft56">8</SPAN><SPAN class="ft86">Se vidare information på Säkerhetspolisens webbplats.</SPAN></P>
<P class="p207 ft41"><SPAN class="ft56">9</SPAN><SPAN class="ft82">Närmare beskrivning av DHB finns i Säkerhetspolisens vägledning </SPAN><SPAN class="ft74">Säkerhetsskyddsanalys</SPAN>.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">135</P>
</DIV>
</DIV>
<DIV id="page_137">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Säkerhetskänslig verksamhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft18">samhetens art och omfattning, förekomst av säkerhetsskyddsklassi- ficerade uppgifter och övriga omständigheter.</P>
<P class="p73 ft18">Verksamhetsutövaren ska även kontrollera säkerhetsskyddet i den egna verksamheten, anmäla och rapportera sådant som är av vikt för säkerhetsskyddet och i övrigt vidta de åtgärder som krävs enligt den angivna lagen. Så långt det är möjligt ska säkerhetsskyddsåtgärderna utformas så att de inte medför någon skada eller annan olägenhet för andra allmänna eller enskilda intressen.</P>
<P class="p70 ft20">Säkerhetsskyddsåtgärder</P>
<P class="p220 ft18">Med <SPAN class="ft45">säkerhetsskyddsåtgärder </SPAN>avses i den angivna lagen åtgärder som syftar till informationssäkerhet, fysisk säkerhet och personalsäkerhet.</P>
<P class="p172 ft21">I 2 kap. 2 § samma lag anges att <SPAN class="ft20">informationssäkerhet </SPAN>ska</P>
<P class="p258 ft17"><SPAN class="ft27">1.</SPAN><SPAN class="ft130">förebygga att säkerhetsskyddsklassificerade uppgifter </SPAN><SPAN class="ft49">obehörigen röjs, ändras, görs otillgängliga eller förstörs</SPAN>, och</P>
<P class="p361 ft19"><SPAN class="ft27">2.</SPAN><SPAN class="ft131">förebygga skadlig inverkan </SPAN><SPAN class="ft63">i övrigt på uppgifter </SPAN>och <SPAN class="ft63">informations- system </SPAN>som gäller säkerhetskänslig verksamhet.</P>
<P class="p362 ft21">I 3 § anges att f<SPAN class="ft20">ysisk säkerhet </SPAN>ska</P>
<P class="p256 ft49"><SPAN class="ft27">1.</SPAN><SPAN class="ft130">förebygga att obehöriga får </SPAN>tillträde till områden, byggnader och andra anläggningar eller objekt <SPAN class="ft17">där de kan få tillgång till säkerhets- skyddsklassificerade uppgifter eller där säkerhetskänslig verksam- het i övrigt bedrivs, och</SPAN></P>
<P class="p257 ft17"><SPAN class="ft27">2.</SPAN><SPAN class="ft130">förebygga skadlig inverkan på sådana områden, byggnader, anlägg- ningar eller objekt som avses i 1.</SPAN></P>
<P class="p362 ft21">I 4 § anges att <SPAN class="ft20">personalsäkerhet </SPAN>ska</P>
<P class="p363 ft60"><SPAN class="ft27">1.</SPAN><SPAN class="ft132">förebygga att personer som </SPAN>inte är pålitliga från säkerhetssynpunkt <SPAN class="ft46">deltar i en verksamhet där de kan få tillgång till säkerhetsskydds- klassificerade uppgifter eller i en verksamhet som av någon annan anledning är säkerhetskänslig, och</SPAN></P>
<P class="p364 ft17"><SPAN class="ft27">2.</SPAN><SPAN class="ft130">säkerställa att de som deltar i säkerhetskänslig verksamhet har </SPAN><SPAN class="ft49">tillräcklig kunskap </SPAN>om säkerhetsskydd.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">136</P>
</DIV>
</DIV>
<DIV id="page_138">
<DIV id="p138dimg1">
<INGENBILD zsrc="H9B363138x1.jpg/" id="p138img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td85"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td86"><P class="p2 ft37">Säkerhetskänslig verksamhet</P></TD>
</TR>
</TABLE>
<P class="p193 ft19">Som inledningsvis nämnts kan säkerhetsskydd övergripande be- skrivas som ett system av samverkande åtgärder som syftar till att skapa ett heltäckande skydd. Merparten av åtgärderna inom säker- hetsskydd kan sorteras in i något av de tre huvudområdena infor- mationssäkerhet, fysisk säkerhet och personalsäkerhet vilka här för- klaras översiktligt. Säkerhetsskyddslagen benämner dessa tre områden säkerhetsskyddsåtgärder och för respektive område har Säkerhets- polisen gett ut specifika vägledningar.</P>
<P class="p147 ft26"><SPAN class="ft26">6.5.1</SPAN><SPAN class="ft89">Informationssäkerhet</SPAN></P>
<P class="p358 ft18">Alla verksamheter är beroende av att kunna inhämta, lagra, bearbeta och kommunicera information i olika former. Den tekniska utveck- lingen har på senare år gjort informationssystem till viktiga verktyg i hanteringen, men även pappersdokument används fortfarande. Säker- hetsskyddsåtgärden informationssäkerhet syftar till att skydda infor- mation oavsett form och förekomst, elektronisk såväl som fysisk. Informationssäkerhet ska förebygga att säkerhetsskyddsklassificerade uppgifter obehörigen röjs, ändras, görs otillgängliga eller förstörs.<SPAN class="ft79">10</SPAN></P>
<P class="p146 ft17">Informationssäkerhet ska även förebygga skadlig inverkan i övrigt på uppgifter och informationssystem som gäller säkerhetskänslig verksamhet.</P>
<P class="p11 ft18">I likhet med fysisk säkerhet är informationssäkerhet inte begrän- sat till tekniska åtgärder utan inkluderar även bl.a. rutiner och är beroende av en god personalsäkerhet med relevanta utbildningar. Säker- hetsskyddsklassificerade uppgifter kan förekomma i pappersform som utskrivna dokument, fotografier, ritningar etc. Informations- säkerhet kan då exempelvis innebära att dokumenten förses med anteckning om aktuell säkerhetsskyddsklass och att förvaring sker på ett betryggande sätt i brandskyddade och låsbara skåp. Behovet av samordning mellan olika säkerhetsskyddsåtgärder blir tydligt i detta exempel. Personalen som hanterar dokumenten behöver utbildas i anteckningens innebörd och förvaringsskåpen måste dimensionerats i förhållande till den fysiska säkerheten i övrigt. Rutiner för hanter- ing, delning, kopiering och destruktion är andra exempel på åtgärder.</P>
<P class="p187 ft18">Hantering av säkerhetsskyddsklassificerade uppgifter sker i dag ofta i informationssystem. De flesta verksamhetsutövare använder</P>
<P class="p295 ft41"><SPAN class="ft56">10</SPAN><SPAN class="ft82">2 kap. 2 § säkerhetsskyddslagen.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">137</P>
</DIV>
</DIV>
<DIV id="page_139">
<DIV id="p139dimg1">
<INGENBILD zsrc="H9B363139x1.jpg/" id="p139img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Säkerhetskänslig verksamhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p152 ft19"><NOBR>e-post</NOBR> och digitala meddelandetjänster för kommunikation samt olika former av dataprogram för textbehandling och dokumenthantering. Informationssystemen kan på detta sätt komma att innehålla stora mängder säkerhetsskyddsklassificerade uppgifter vilket gör dem skydds- värda.</P>
<P class="p73 ft18">Ett informationssystem behöver dock inte innehålla säkerhets- skyddsklassificerade uppgifter för att vara skyddsvärt. Även infor- mationssystem som t.ex. samlar in väderdata till flygledning eller styr- system på kraftverk kan vara viktiga för säkerhetskänslig verksamhet.</P>
<P class="p73 ft18">I fråga om informationssystem kan informationssäkerhet exem- pelvis bestå av att systemen ska separeras från andra informations- system med logiska funktioner såsom t.ex. brandväggar som hindrar kommunikation eller genom att ha fysiskt avskilda nätverk som inte kan kommunicera med varandra eller internet.</P>
<P class="p211 ft19">En vanlig åtgärd är att använda kryptografiska funktioner, s.k. signalskydd, då säkerhetsskyddsklassificerade uppgifter överförs mellan informationssystem. Då informationssäkerhet inte bara handlar om skydd mot att uppgifter röjs behöver informationssystemen också skyddas mot olika former av hot som är inriktande på att störa eller förstöra och sådana som är inriktade mot att obehörigen ändra in- formationen. Exempel på sådana säkerhetsskyddsåtgärder kan vara säkerhetskopiering, s.k. backup, för att säkerhetsställa tillgänglighet och digitala signaturer som ett sätt att kontrollera så att uppgifter inte obehörigen ändrats.</P>
<P class="p73 ft46">I 7 kapitel behandlas närmare begreppen <SPAN class="ft60">skyddsvärda uppgifter </SPAN>och <SPAN class="ft60">informationssäkerhet </SPAN>när det gäller regleringen om säkerhetsskydd.</P>
<P class="p255 ft26"><SPAN class="ft26">6.5.2</SPAN><SPAN class="ft89">Fysisk säkerhet</SPAN></P>
<P class="p220 ft18">Fysisk säkerhet ska förebygga obehörigt tillträde till och skadlig in- verkan på områden, byggnader och andra anläggningar eller objekt där säkerhetsskyddsklassificerade uppgifter finns eller där säkerhets- känslig verksamhet bedrivs.<SPAN class="ft79">11 </SPAN>Fysisk säkerhet är även en viktig för- utsättning för att obehöriga inte på annat sätt ska få insyn i verksam- heten eller ta del av säkerhetsskyddsklassificerade uppgifter.</P>
<P class="p365 ft41"><SPAN class="ft56">11</SPAN><SPAN class="ft82">2 kap. 3 § säkerhetsskyddslagen.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">138</P>
</DIV>
</DIV>
<DIV id="page_140">
<DIV id="p140dimg1">
<INGENBILD zsrc="H9B363140x1.jpg/" id="p140img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td85"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td86"><P class="p2 ft37">Säkerhetskänslig verksamhet</P></TD>
</TR>
</TABLE>
<P class="p5 ft26"><SPAN class="ft26">6.5.3</SPAN><SPAN class="ft89">Personalsäkerhet</SPAN></P>
<P class="p232 ft18">Personalsäkerhet består av två delar, säkerhetsprövning och utbild- ning. Säkerhetsprövning syftar till att förebygga att personer som inte är pålitliga ur säkerhetsynpunkt deltar i säkerhetskänslig verk- samhet eller på annat sätt ges tillgång till säkerhetsskyddsklassifi- cerade uppgifter. Utbildning syftar till att säkerställa att de som deltar i säkerhetskänslig verksamhet har tillräcklig kunskap om säkerhets- skydd för att uppfylla det krav på behörighet och kompetens som deltagandet kräver.<SPAN class="ft79">12 </SPAN>Säkerhetsprövningen görs för att klargöra om en person kan antas vara lojal mot de intressen som ska skyddas och i övrigt pålitlig ur säkerhetssynpunkt. Viktiga aspekter att utreda är eventuella dubbla lojaliteter, intressekonflikter, bristande säkerhets- medvetandet och andra sårbarheter.</P>
<P class="p131 ft26"><SPAN class="ft26">6.5.4</SPAN><SPAN class="ft89">Behörighet att delta i säkerhetskänslig verksamhet</SPAN></P>
<P class="p351 ft17">I 1 kap. 3 § säkerhetsskyddsförordningen anges att behörig att <SPAN class="ft49">ta del av säkerhetsskyddsklassificerade uppgifter </SPAN>eller <SPAN class="ft49">i övrigt delta i säkerhets- känslig verksamhet </SPAN>är, om inte något annat följer av bestämmelser i lag, endast den som</P>
<P class="p198 ft21"><SPAN class="ft27">1.</SPAN><SPAN class="ft133">har bedömts pålitlig från säkerhetssynpunkt,</SPAN></P>
<P class="p25 ft21"><SPAN class="ft27">2.</SPAN><SPAN class="ft133">har tillräckliga kunskaper om säkerhetsskydd, och</SPAN></P>
<P class="p252 ft17"><SPAN class="ft27">3.</SPAN><SPAN class="ft130">behöver uppgifterna eller annan tillgång till verksamheten för att kunna utföra sitt arbete eller på annat sätt delta i den säkerhets- känsliga verksamheten.</SPAN></P>
<P class="p131 ft48"><SPAN class="ft48">6.6</SPAN><SPAN class="ft78">Särskild säkerhetsskyddsbedömning</SPAN></P>
<P class="p110 ft46">Inom säkerhetsskydd förekommer uttrycket <SPAN class="ft60">särskild säkerhetsskydds- bedömning </SPAN>vid vissa upphandlingar, driftsättning eller ändringar i in- formationssystem och förändringar i hotbild eller verksamhet.<SPAN class="ft97">13</SPAN></P>
<P class="p366 ft87"><SPAN class="ft56">12</SPAN><SPAN class="ft86">2 kap. 4 § säkerhetsskyddslagen.</SPAN></P>
<P class="p296 ft41"><SPAN class="ft56">13</SPAN><SPAN class="ft82">Se Säkerhetspolisens vägledning Säkerhetsskyddsanalys om metod för särskild säkerhets- skyddsbedömning.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">139</P>
</DIV>
</DIV>
<DIV id="page_141">
<DIV id="p141dimg1">
<INGENBILD zsrc="H9B363141x1.jpg/" id="p141img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Säkerhetskänslig verksamhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p201 ft26"><SPAN class="ft26">6.6.1</SPAN><SPAN class="ft89">Statliga myndigheter vid upphandling</SPAN></P>
<P class="p355 ft46">Statliga myndigheter ska vid vissa upphandlingar samråda med Säker- hetspolisen.<SPAN class="ft97">14 </SPAN>Innan samrådet kan ske ska en <SPAN class="ft60">särskild säkerhetsskydds- bedömning </SPAN>göras för att identifiera och dokumentera vilka säkerhets- skyddsklassificerade uppgifter eller säkerhetskänsliga informations- system som leverantören kan få del av och som kräver säkerhetsskydd.</P>
<P class="p191 ft26"><SPAN class="ft26">6.6.2</SPAN><SPAN class="ft89">Inför driftsättning av informationssystem</SPAN></P>
<P class="p367 ft17">Verksamhetsutövare, oavsett om det är en myndighet eller enskild, ska <SPAN class="ft49">innan </SPAN>ett informationssystem som har betydelse för säkerhets- känslig verksamhet <SPAN class="ft49">tas i drift </SPAN>genomföra och dokumentera en sär- skild säkerhetsskyddsbedömning.<SPAN class="ft54">15</SPAN></P>
<P class="p106 ft18">Genom den särskilda säkerhetsskyddsbedömningen ska verksam- hetsutövaren ta ställning till vilka säkerhetskrav som är motiverade och se till att säkerhetsskyddet utformas så att dessa krav tillgodoses. I vissa fall ska även samråd med Säkerhetspolisen ske.<SPAN class="ft79">16</SPAN></P>
<P class="p102 ft26"><SPAN class="ft26">6.6.3</SPAN><SPAN class="ft89">Vid förändringar av hotbild eller verksamhet</SPAN></P>
<P class="p220 ft17">Vid <SPAN class="ft49">förändringar i hotbilden </SPAN>eller om verksutövaren genomför <SPAN class="ft49">en förändring som kan antas få betydlig påverkan på verksamheten </SPAN>ska en särskild säkerhetsskyddsbedömning genomföras.<SPAN class="ft54">17 </SPAN>En förändring av hotbild kan identifieras av såväl tillsynsmyndigheten som verksam- hetsutövaren vid exempelvis säkerhetshotande händelser eller genom omvärldsbevakning. Exempel på förändringarna i verksamheten är upphandlingar, nyetablering, förändringar av säkerhetskänsliga system eller flytt till nya lokaler.</P>
<P class="p368 ft87"><SPAN class="ft56">14</SPAN><SPAN class="ft86">2 kap. 6 § säkerhetsskyddsförordningen.</SPAN></P>
<P class="p222 ft87"><SPAN class="ft56">15</SPAN><SPAN class="ft86">3 kap. 1 § säkerhetsskyddsförordningen.</SPAN></P>
<P class="p223 ft85"><SPAN class="ft56">16</SPAN><SPAN class="ft94">Se avsnitt 6.7.2 om samråd gällande informationssystem samt Säkerhetspolisens </SPAN><SPAN class="ft93">Vägledning i säkerhetsskydd – Informationssäkerhet</SPAN>, juni 2019.</P>
<P class="p222 ft41"><SPAN class="ft56">17</SPAN><SPAN class="ft82">2 kap. 12 § Säkerhetspolisens föreskrifter om säkerhetsskydd.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">140</P>
</DIV>
</DIV>
<DIV id="page_142">
<DIV id="p142dimg1">
<INGENBILD zsrc="H9B363142x1.jpg/" id="p142img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td85"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td86"><P class="p2 ft37">Säkerhetskänslig verksamhet</P></TD>
</TR>
</TABLE>
<P class="p5 ft48"><SPAN class="ft48">6.7</SPAN><SPAN class="ft78">Samråd</SPAN></P>
<P class="p369 ft17">Inom säkerhetsskydd finns olika situationer som medför <SPAN class="ft49">skyldighet </SPAN>att samråda mellan myndigheter, verksamheter och Säkerhetspolisen respektive Försvarsmakten.</P>
<P class="p147 ft26"><SPAN class="ft26">6.7.1</SPAN><SPAN class="ft89">Upphandling av myndigheter</SPAN></P>
<P class="p148 ft17">Statliga myndigheter som avser genomföra en upphandling som inne- bär krav på säkerhetsskyddsavtal ska <SPAN class="ft49">innan förfarandet inleds </SPAN>sam- råda med Säkerhetspolisen eller Försvarsmakten. Innan samrådet kan ske ska verksamhetsutövaren genomföra en särskild säkerhetsskydds- bedömning. Säkerhetspolisen respektive Försvarsmakten kan inom ramen för samrådet förbjuda myndigheten att genomföra upphand- lingen.</P>
<P class="p131 ft26"><SPAN class="ft26">6.7.2</SPAN><SPAN class="ft89">Samråd avseende informationssystem</SPAN></P>
<P class="p57 ft18">Verksamhetsutövare ska i vissa fall skriftligen samråda med Säker- hetspolisen respektive Försvarsmakten innan ett informationssystem tas i drift eller i väsentliga avseenden förändras.<SPAN class="ft79">18 </SPAN>Kravet gäller oav- sett om det är en myndighet eller enskild som är verksamhetsutövare.</P>
<P class="p15 ft21">Samråd ska ske vid driftsättning eller väsentlig förändring av:</P>
<P class="p252 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">informationssystem som behandlar eller kan komma att behandla säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen </SPAN><SPAN class="ft49">konfidentiell </SPAN>eller <SPAN class="ft49">högre</SPAN>, eller</P>
<P class="p96 ft18"><SPAN class="ft27">–</SPAN><SPAN class="ft134">andra informationssystem om det vid obehörig åtkomst till systemet kan </SPAN><SPAN class="ft45">medföra en skada </SPAN>för Sveriges säkerhet som <SPAN class="ft45">inte är obetydlig</SPAN>.</P>
<P class="p147 ft26"><SPAN class="ft26">6.7.3</SPAN><SPAN class="ft89">Samråd och information vid registerkontroll</SPAN></P>
<P class="p91 ft17">En tillsynsmyndighet som beslutar om placering i säkerhetsklass eller ansöker om registerkontroll för personal hos en enskild verksam- hetsutövare ska vid behov samråda med verksamhetsutövaren i fråga om säkerhetsprövningsåtgärder.</P>
<P class="p370 ft41"><SPAN class="ft56">18</SPAN><SPAN class="ft82">3 kap. 2 § säkerhetsskyddsförordningen.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">141</P>
</DIV>
</DIV>
<DIV id="page_143">
<DIV id="p143dimg1">
<INGENBILD zsrc="H9B363143x1.jpg/" id="p143img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Säkerhetskänslig verksamhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p276 ft17">Samråd ska ske löpande under hela den tid som deltagandet i den säkerhetskänsliga verksamheten pågår. Det är särskilt viktigt att sam- råd sker i de fall det vid registerkontroll framkommer uppgifter som kan antas ha betydelse för säkerhetsprövning.</P>
<P class="p102 ft26"><SPAN class="ft26">6.7.4</SPAN><SPAN class="ft89">Samråd avseende ytterligare föreskrifter och undantag</SPAN></P>
<P class="p289 ft17">En tillsynsmyndighet som avser meddela föreskrifter som komplet- terar eller ger undantag från bestämmelser i Säkerhetspolisens före- skrifter om säkerhetsskydd ska innan beslut fattas samråda med Säker- hetspolisen.<SPAN class="ft54">19</SPAN></P>
<P class="p115 ft18">Samrådet är en del i att koordinera kravbilden så att en myndighet inte fattar beslut som leder till en obalans i skyddet för Sveriges säker- het. Denna obalans kan uppstå om en säkerhetskänslig verksamhet bedrivs i en sektor men påverkar verksamheten i en annan. Så är exem- pelvis förhållandet i fråga om elförsörjningsverksamhet och elektro- nisk kommunikation som hanteras av Affärsverket Svenska kraftnät respektive Post- och Telestyrelsen (PTS).</P>
<P class="p70 ft26"><SPAN class="ft26">6.7.5</SPAN><SPAN class="ft89">Samråd vid sänkning av säkerhetsskyddsklass</SPAN></P>
<P class="p289 ft17">Om det finns skäl att omklassificera en handling med kvalificerat hem- lig uppgift krävs samråd innan så sker.<SPAN class="ft54">20 </SPAN>Samråd ska ske med verksam- hetens högsta chef eller motsvarande organ och med den som upp- rättat handlingen.<SPAN class="ft54">21 </SPAN>Samråd kan även vara lämpligt i fråga om uppgifter i lägre säkerhetsskyddsklass än kvalificerat hemlig men detta är inget krav.<SPAN class="ft54">22</SPAN></P>
<P class="p102 ft48"><SPAN class="ft48">6.8</SPAN><SPAN class="ft78">Säkerhetsskyddsavtal</SPAN></P>
<P class="p192 ft18">Av 2 kap. 6 § säkerhetsskyddslagen följer att <SPAN class="ft45">statliga myndigheter, regioner och kommuner </SPAN>som avser att genomföra en <SPAN class="ft45">upphandling </SPAN>och ingå ett avtal om bl.a. varor och tjänster ska se till att det i ett säker-</P>
<P class="p371 ft85"><SPAN class="ft56">19</SPAN><SPAN class="ft94">7 kap. 8 § säkerhetsskyddsförordningen och 9 kap. 1 § Säkerhetspolisens föreskrifter om säkerhetsskydd.</SPAN></P>
<P class="p372 ft87"><SPAN class="ft56">20</SPAN><SPAN class="ft86">3 kap. 8 § Säkerhetspolisens föreskrifter om säkerhetsskydd.</SPAN></P>
<P class="p222 ft87"><SPAN class="ft56">21</SPAN><SPAN class="ft86">Anteckning om samrådet ska göras på handlingen.</SPAN></P>
<P class="p373 ft113"><SPAN class="ft56">22</SPAN><SPAN class="ft112">Samråd och hantering av säkerhetsskyddsklassificerade handlingar utvecklas ytterligare i Säkerhetspolisens </SPAN><SPAN class="ft121">Vägledning i säkerhetsskydd, Informationssäkerhet</SPAN>, 2020.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">142</P>
</DIV>
</DIV>
<DIV id="page_144">
<DIV id="p144dimg1">
<INGENBILD zsrc="H9B363144x1.jpg/" id="p144img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td85"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td86"><P class="p2 ft37">Säkerhetskänslig verksamhet</P></TD>
</TR>
</TABLE>
<P class="p293 ft21">hetsskyddsavtal anges hur kraven på säkerhetsskydd enligt 2 kap. 1 § ska tillgodoses av leverantören om</P>
<P class="p374 ft46"><SPAN class="ft27">–</SPAN><SPAN class="ft51">det i upphandlingen förekommer säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen </SPAN><SPAN class="ft60">konfidentiell </SPAN>eller <SPAN class="ft60">högre</SPAN>, eller</P>
<P class="p375 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">upphandlingen i övrigt avser eller ger leverantören tillgång till säker- hetskänslig verksamhet av motsvarande betydelse för Sveriges säkerhet.</SPAN></P>
<P class="p247 ft17">Dessa bestämmelser gäller även för <SPAN class="ft49">enskilda verksamhetsutövare </SPAN>som ingår avtal om bl.a. varor och tjänster med utomstående leverantörer. Verksamhetsutövaren ska kontrollera att leverantören följer säker- hetsskyddsavtalet.</P>
<P class="p131 ft48"><SPAN class="ft48">6.9</SPAN><SPAN class="ft78">Roller och ansvar</SPAN></P>
<P class="p110 ft18">Då säkerhetsskydd omfattar flera typer av verksamheter hos såväl myndigheter som enskilda finns ett stort antal aktörer med olika roller och ansvar.<SPAN class="ft79">23 </SPAN>Säkerhetspolisen och Försvarsmakten är som till- synsmyndigheter övergripande ansvariga för att bl.a. utöva tillsyn och meddela föreskrifter. Försvarsmakten ansvarar för den egna myndig- heten, Fortifikationsverket, Försvarshögskolan samt de myndigheter som ligger under Försvarsdepartementets ansvarsområde. Säkerhets- polisen ansvarar för övriga myndigheter samt regioner och kommuner.</P>
<P class="p146 ft21">Utöver Säkerhetspolisen och Försvarsmakten finns ett antal ytter- ligare tillsynsmyndigheter vilka redogörs för nedan.</P>
<P class="p122 ft19">Tillsynsmyndigheterna får meddela kompletterande föreskrifter inom sitt respektive ansvarsområde. Därutöver har vissa myndig- heter rätt att meddela föreskrifter inom speciella områden, exempelvis Försvarsmakten om kryptografiska funktioner och Regeringskansliet samt Försvarets materielverk om utfärdande av säkerhetsintyg för personer respektive leverantörer.</P>
<P class="p376 ft41"><SPAN class="ft56">23</SPAN><SPAN class="ft82">7 kap. </SPAN><NOBR>1–11</NOBR> §§ säkerhetsskyddsförordningen, 9 kap. 1 § Säkerhetspolisens föreskrifter om säkerhetsskydd.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">143</P>
</DIV>
</DIV>
<DIV id="page_145">
<DIV id="p145dimg1">
<INGENBILD zsrc="H9B363145x1.jpg/" id="p145img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Säkerhetskänslig verksamhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p201 ft26"><SPAN class="ft26">6.9.1</SPAN><SPAN class="ft89">Säkerhetspolisens roll och uppgifter</SPAN></P>
<P class="p220 ft18">Säkerhetspolisen är Sveriges nationella säkerhetstjänst med ansvar för Sveriges inre säkerhet. En av myndighetens uppgifter är enligt 3 § polislagen (1984:387) att fullgöra uppgifter enligt säkerhetsskyddslagen.</P>
<P class="p73 ft18">Säkerhetspolisen utövar tillsyn av säkerhetsskydd i syfte att kon- trollera att verksamhetsutövare följer lag och annan författning. Vidare har Säkerhetspolisen rätt att meddela föreskrifter inom säkerhets- skyddsområdet och ett uppdrag att lämna råd till Regeringskansliet, Justitiekanslern, riksdagen och dess myndigheter.</P>
<P class="p106 ft19">När Säkerhetspolisen lämnar råd kan detta t.ex. bestå av utbild- ningar, föreläsningar och tester av säkerhetsskyddsåtgärder. Det är viktigt i sammanhanget poängtera att det alltid är verksamhetsut- övaren som har ansvaret för sina skyddsvärden och de åtgärder som vidtas för att skydda dessa.</P>
<P class="p115 ft18">Säkerhetspolisen har även en central roll att verka som samråds- myndighet, exempelvis i vissa upphandlingssituationer och vid för- ändring och idrifttagande av informationssystem (se avsnitt 6.7 Samrådsdialoger). Vidare är det Säkerhetspolisen som tar emot an- mälningar vid säkerhetshotande händelser och verksamhet, bl.a. it- incidenter eller om säkerhetsskyddsklassificerade uppgifter kan ha röjts.</P>
<P class="p73 ft46">Säkerhetspolisen ansvarar även för att utföra registerkontroll vid säkerhetsprövning av de personer vars anställning eller deltagande i säkerhetskänslig verksamhet har placerats i säkerhetsklass.<SPAN class="ft97">24</SPAN></P>
<P class="p255 ft26"><SPAN class="ft26">6.9.2</SPAN><SPAN class="ft89">Försvarsmaktens roll och uppgifter</SPAN></P>
<P class="p331 ft17">Försvarsmakten har motsvarande uppgifter och roll som Säkerhets- polisen inom myndighetens eget ansvarsområde.</P>
<P class="p70 ft26"><SPAN class="ft26">6.9.3</SPAN><SPAN class="ft89">Tillsynsmyndigheternas roll</SPAN></P>
<P class="p261 ft46">Utöver de två huvudaktörerna Säkerhetspolisen och Försvarsmakten finns ytterligare ett antal tillsynsmyndigheter som utövar tillsyn över enskilda verksamhetsutövare inom en avgränsad sektor eller ett geo-</P>
<P class="p377 ft58"><SPAN class="ft56">24</SPAN><SPAN class="ft57">Kontrollen innebär slagning mot bland annat belastningsregistret och misstankeregistret. Registerkontroll beskrivs mer utförligt i Säkerhetspolisens vägledning Personalsäkerhet.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">144</P>
</DIV>
</DIV>
<DIV id="page_146">
<DIV id="p146dimg1">
<INGENBILD zsrc="H9B363146x1.jpg/" id="p146img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td85"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td86"><P class="p2 ft37">Säkerhetskänslig verksamhet</P></TD>
</TR>
</TABLE>
<P class="p293 ft21">grafiskt område. Följande myndigheter har ansvar för respektive område:</P>
<P class="p24 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">Affärsverket Svenska kraftnät: elförsörjning.</SPAN></P>
<P class="p134 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">Post- och Telestyrelsen (PTS): elektronisk kommunikation och posttjänst.</SPAN></P>
<P class="p133 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">Transportstyrelsen: civil flygtrafiktjänst, militär flygtrafiklednings- tjänst och verksamhet som i övrigt är av betydelse för luftfarts- skydd, hamnskydd och sjöfartsskydd.</SPAN></P>
<P class="p237 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">Länsstyrelserna: andra enskilda verksamhetsutövare än de som täcks in av ovanstående myndigheters ansvar.</SPAN></P>
<P class="p247 ft17">Det bör förtydligas att tillsynsmyndigheterna endast har ansvar för tillsyn av enskilda verksamhetsutövare inkluderat statliga, kommu- nala och regionala bolag.</P>
<P class="p216 ft17">Säkerhetspolisen utövar tillsyn av tillsynsmyndigheterna samt andra myndigheter som tangerar en sektor, t.ex. Trafikverket och Energi- myndigheten.</P>
<P class="p186 ft17">Tillsynen får även utövas hos leverantörer som omfattas av ett säkerhetsskyddsavtal och hos enskilda verksamhetsutövare som leve- rantören i sin tur anlitat inom ramen för avtalet.</P>
<P class="p149 ft17">I det fall en tillsynsmyndighet vid tillsyn upptäcker allvarliga bris- ter som trots tidigare påpekanden inte rättats till ska myndigheten in- formera Säkerhetspolisen och Försvarsmakten.</P>
<P class="p186 ft17">Undantag från informationsplikten finns gällande vissa verksam- hetsutövare som är leverantörer.<SPAN class="ft54">25</SPAN></P>
<P class="p186 ft17">Säkerhetspolisen och Försvarsmakten kan utöva tillsyn även i de fall en verksamhet sorterar under en tillsynsmyndighets ansvars- område.</P>
<P class="p111 ft18">Tillsynsmyndigheterna har utöver tillsyn ett ansvar för rådgiv- ning och är den huvudsakliga kontakten för enskilda verksamhetsut- övare vid frågor om säkerhetsskydd och tillämpning av bestämmelser. Det är tillsynsmyndigheterna som beslutar om placering i säker- hetsklass för enskilda verksamhetsutövare.<SPAN class="ft79">26 </SPAN>Tillsynsmyndigheterna har även rätt att efter samråd med Säkerhetspolisen medge undantag</P>
<P class="p378 ft87"><SPAN class="ft56">25</SPAN><SPAN class="ft86">Se Säkerhetspolisens vägledning </SPAN><SPAN class="ft110">Säkerhetsskyddad upphandling</SPAN>.</P>
<P class="p207 ft41"><SPAN class="ft56">26</SPAN><SPAN class="ft82">Se Säkerhetspolisens vägledning </SPAN><SPAN class="ft74">Personalsäkerhet</SPAN>.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">145</P>
</DIV>
</DIV>
<DIV id="page_147">
<DIV id="p147dimg1">
<INGENBILD zsrc="H9B363147x1.jpg/" id="p147img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Säkerhetskänslig verksamhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p379 ft19">från Säkerhetspolisens föreskrifter om säkerhetsskydd och inom respektive område meddela ytterligare kompletterande föreskrifter.</P>
<P class="p102 ft26"><SPAN class="ft26">6.9.4</SPAN><SPAN class="ft89">Närmare om verksamhetsutövarens ansvar</SPAN></P>
<P class="p220 ft18">Den som bedriver säkerhetskänslig verksamhet har grundläggande skyldigheter att utreda behovet av säkerhetsskydd, planera och vidta säkerhetsskyddsåtgärder samt kontrollera det egna säkerhetsskyd- det.<SPAN class="ft79">27 </SPAN>Det finns dock ingen förteckning, tillståndsprövningsprocess eller liknande som tydligt pekar ut vilka som bedriver säkerhetskäns- lig verksamhet. Det är i stället, i likhet med vad som gäller inom många andra lagreglerade områden, varje verksamhetsutövares egna ansvar att hålla sig informerad, göra bedömningar och bedriva sin verksam- het enligt de författningar som gäller på säkerhetsskyddsområdet.</P>
<P class="p73 ft18">Arbetet med säkerhetsskydd behöver inledas med ett aktivt ställ- ningstagande om huruvida en verksamhet till någon del är säkerhets- känslig. I praktiken medför detta att verksamhetsutövare, om svaret inte är uppenbart, behöver genomföra det första steget av processen för säkerhetsskyddsanalys.</P>
<P class="p211 ft18">Säkerhetsskyddsanalys är grunden för säkerhetsskydd. För den som bedriver säkerhetskänslig verksamhet är ansvaret långtgående. Verksamhetsutövaren ska planera och vidta de säkerhetsskyddsåt- gärder som behövs med hänsyn till verksamhetens art och omfatt- ning, förekomst av säkerhetsskyddsklassificerade uppgifter och övriga omständigheter.<SPAN class="ft79">28</SPAN></P>
<P class="p73 ft18">Om säkerhetskänslig verksamhet utkontrakteras sträcker sig an- svaret även utanför den egna organisationen, i och med behovet av att reglera och kontrollera säkerhetsskyddet hos den anlitade leveran- tören. Även om verksamhetsutövarens ansvar är långtgående finns utrymme att utforma och bedriva säkerhetsskyddsarbetet på det sätt som passar den egna organisationen, detta så länge en tillräcklig nivå av säkerhetsskydd uppnås enligt principen att skyddet bör vara det- samma oavsett var, hur och av vem som verksamheten bedrivs.</P>
<P class="p380 ft87"><SPAN class="ft56">27</SPAN><SPAN class="ft86">2 kap. 1 § säkerhetsskyddslagen.</SPAN></P>
<P class="p250 ft41"><SPAN class="ft56">28</SPAN><SPAN class="ft81">I Säkerhetspolisens vägledning </SPAN><SPAN class="ft74">Säkerhetsskyddsanalys </SPAN>finns ett antal indikatorer att använda som grund för en initial bedömning.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">146</P>
</DIV>
</DIV>
<DIV id="page_148">
<DIV id="p148dimg1">
<INGENBILD zsrc="H9B363148x1.jpg/" id="p148img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td85"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td86"><P class="p2 ft37">Säkerhetskänslig verksamhet</P></TD>
</TR>
</TABLE>
<P class="p5 ft48"><SPAN class="ft48">6.10</SPAN><SPAN class="ft135">Säkerhetsskyddsregleringen och </SPAN><NOBR>NIS-direktivet</NOBR></P>
<P class="p300 ft18">Den som bedriver säkerhetskänslig verksamhet behöver ofta förhålla sig till krav även i annan lagstiftning. Detta kan i likhet med behovet av säkerhetsskydd och andra säkerhetsåtgärder (se ovan). Skillnaden mellan säkerhetsskydd och andra säkerhetsåtgärder, innebära såväl utmaningar som möjligheter till synergieffekter. Verksamhetsutövare bör därför på ett eller annat sätt inventera och bedöma vilka lagkrav som ställs på verksamheten för att få en samlad bild och kunna skapa ett effektivt säkerhetsskydd.</P>
<P class="p11 ft18">Vissa lagkrav kan uppfyllas med samma eller liknande typer av åtgärder som behövs för säkerhetsskydd, exempelvis skydd mot in- trång i informationssystem som hanterar personuppgifter eller skydd mot otillbörligt tillträde i hamnar och på kärnkraftverk. I andra fall finns motstridiga syften som måste uppfyllas, exempelvis krav skydd mot olika former av angrepp samtidigt som viss tillgänglighet måste säkerställas. I vissa fall framgår gränsdragningar och undantag av för- fattning vilket gör det tydligt om ett krav står över ett annat. Ett sådant exempel är de regler som implementerats i svensk rätt till följd av det så kallade <NOBR>NIS-direktivet.</NOBR> I Sverige har <NOBR>NIS-direktivet</NOBR> imple- menterats genom lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster. Lagen gäller för leverantörer inom sju sektorer som tillhandahåller samhällsviktiga tjänster som är cen- trala för att upprätthålla kritisk samhällelig eller ekonomisk verksam- het samt vissa leverantörer av digitala tjänster.<SPAN class="ft79">29 </SPAN>Genom lagen ställs krav på bland annat <SPAN class="ft45">skydd av informationssystem </SPAN>och incidentrappor- tering till Myndigheten för samhällsskydd och beredskap (MSB). Verksamhetsutövare i de sju sektorerna eller verksamhetsutövare som levererar digitala tjänster bedriver i vissa fall även säkerhets- känslig verksamhet vilket kan skapa en möjlig konfliktsituation med krav från olika lagar. Det finns dock ett undantag i lagen om infor- mationssäkerhet för samhällsviktiga och digitala tjänster, som gör att den lagen inte gäller för verksamhet som omfattas av krav på säker- hetsskydd enligt säkerhetsskyddslagen. För verksamhetsutövare som endast till någon del bedriver säkerhetskänslig verksamhet innebär det att vissa delar av verksamheten kan då omfattas av kraven på säkerhetsskydd och andra delar av lagen om informationssäkerhet för samhällsviktiga och digitala tjänster. Detta kan ha betydelse vid</P>
<P class="p310 ft41"><SPAN class="ft56">29</SPAN><SPAN class="ft82">8 § lagen (2018:1174) om informationssäkerhet i samhällsviktiga och digitala tjänster.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">147</P>
</DIV>
</DIV>
<DIV id="page_149">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Säkerhetskänslig verksamhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p60 ft17">exempelvis anmälan av säkerhetshotande händelser så att känslig in- formation om en sårbarhet i informationssystem kommuniceras på ett tillräckligt säkert sätt och till rätt myndighet.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">148</P>
</DIV>
</DIV>
<DIV id="page_150">
<DIV id="p150dimg1">
<INGENBILD zsrc="H9B363150x1.jpg/" id="p150img1">
</DIV>
<P class="p0 ft16">7 Informationssäkerhet</P>
<P class="p56 ft48"><SPAN class="ft48">7.1</SPAN><SPAN class="ft78">Inledning</SPAN></P>
<P class="p381 ft18">Informationssäkerhet handlar om att skydda information ur olika aspekter. I och med den ökade digitaliseringen ökar informations- mängderna och olika verksamheter är beroende av fungerande nät- verks- och informationssystem (informationssystem). Information kan inhämtas, lagras, kommuniceras och bearbetas i olika former. En verksamhet har i allmänhet stora mängder information som av olika anledningar kan vara skyddsvärd. Detta innebär att en verksamhets- utövare kan behöva identifiera och skydda den information som är värdefull (skyddsvärd information)<SPAN class="ft79">1</SPAN>. Det kan uppstå stora negativa konsekvenser för en verksamhet, och i vissa fall även för samhället i stort, om skyddsvärd informationen blir röjd för obehörig, om den obehörigen förändras eller om den inte finns till hands när den be- hövs. Att säkerställa en tillräcklig informationssäkerhet innebär att vidta åtgärder för att skydda informationen så att negativa konse- kvenser inte uppstår. För att få en effektiv och säker informations- hantering är en förutsättning att informationssäkerhetsarbetet bedrivs systematiskt.<SPAN class="ft79">2 </SPAN>Som framgår av kapitel 6 ska den informationssäker- het som bedrivs inom ramen för säkerhetsskyddarbetet samordnas med det <SPAN class="ft45">övriga </SPAN>informationssäkerhetsarbetet i verksamheten.</P>
<P class="p131 ft48"><SPAN class="ft48">7.2</SPAN><SPAN class="ft78">Informationssäkerhet</SPAN></P>
<P class="p74 ft18">Begreppet <SPAN class="ft45">informationssäkerhet </SPAN>infördes i 1996 års lagstiftning om säkerhetsskydd som en ersättning till det tidigare begreppet sekretes- skydd. I dag är termen informationssäkerhet allmänt spridd och accep-</P>
<P class="p360 ft87"><SPAN class="ft56">1</SPAN><SPAN class="ft86">2 kap. 2 § säkerhetsskyddslagen (2018:585).</SPAN></P>
<P class="p294 ft41"><SPAN class="ft56">2</SPAN><SPAN class="ft82">På bl.a. webbplatsen www.informationssakerhet.se finns stöd i hur ett systematiskt informa- tionssäkerhetsarbete kan bedrivas.</SPAN></P>
<P class="p382 ft31">149</P>
</DIV>
<DIV id="page_151">
<DIV id="p151dimg1">
<INGENBILD zsrc="H9B363151x1.jpg/" id="p151img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Informationssäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft18">terad, och den används inom skilda verksamheter där kraven och behoven av skydd skiljer sig åt. Begreppet avser skydd av olika slag av information hos såväl myndigheter som enskilda. Åtgärder som avser informationssäkerhet enligt säkerhetsskyddslagen kan inte sär- skiljas från informationssäkerhet i en vidare bemärkelse. Exempel på detta är skydd mot skadlig kod och användarautentisering som är relevanta åtgärder även för nätverks- och informationssystem (infor- mationssystem) som inte är av betydelse för Sveriges säkerhet.<SPAN class="ft79">3</SPAN></P>
<P class="p102 ft26"><SPAN class="ft26">7.2.1</SPAN><SPAN class="ft89">Informationssäkerhetens beståndsdelar</SPAN></P>
<P class="p220 ft18"><SPAN class="ft45">Informationssäkerhet </SPAN>enligt regleringen om säkerhetsskydd innebär åtgärder av olika slag för att skydda information som är av betydelse för säkerhetskänslig verksamhet. Sådan information förekommer i olika miljöer och verksamheter och hanteras och används på flera olika sätt. Därför måste säkerhetsskyddsåtgärderna anpassas för att passa för dessa skiftande förutsättningar. Uppgifternas form saknar i sammanhanget betydelse och åtgärderna måste avse såväl elektro- niskt lagrade och kommunicerade uppgifter som uppgifter på papper samt uppgifter som kan läsas ut ur t.ex. bilder eller materiel.</P>
<P class="p106 ft19">Man kan beskriva informationens livscykel från det att den skapas till det att den upphör eller förstörs och att utifrån denna beskriv- ning identifiera moment som har betydelse för säkerheten. Dessa moment i informationshanteringen kan skyddas genom administra- tiva, fysiska eller tekniska säkerhetsskyddsåtgärder eller genom en kombination av dessa. För att beskriva åtgärdernas karaktär kan de indelas i tre kategorier:<SPAN class="ft101">4</SPAN></P>
<P class="p136 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">administrativ informationssäkerhet,</SPAN></P>
<P class="p34 ft21"><SPAN class="ft21">–</SPAN><NOBR><SPAN class="ft65">it-säkerhet,</SPAN></NOBR></P>
<P class="p34 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">kommunikationssäkerhet.</SPAN></P>
<P class="p383 ft85"><SPAN class="ft80">3</SPAN><SPAN class="ft94">Redogörelsen för Informationssäkerhet i detta kapitel grundas bl.a. på uppgifter som finns i Säkerhetspolisens </SPAN><SPAN class="ft93">Vägledning i säkerhetsskydd, Informationssäkerhet</SPAN>, 2020. Motsvarande upp- gifter finns även i Försvarsmaktens <SPAN class="ft93">Handbok Försvarsmaktens säkerhetstjänst, Informations- säkerhet, H Säk Infosäk </SPAN>2013.</P>
<P class="p384 ft100"><SPAN class="ft56">4</SPAN><SPAN class="ft57">Indelningen följer i princip </SPAN>Rådets beslut av den 23 september 2013 om säkerhetsbestämmelser för skydd av säkerhetsskyddsklassificerade <NOBR>EU-uppgifter</NOBR> <SPAN class="ft58">(2013/488/EU).</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">150</P>
</DIV>
</DIV>
<DIV id="page_152">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td23"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td24"><P class="p2 ft37">Informationssäkerhet</P></TD>
</TR>
</TABLE>
<P class="p244 ft17">Syftet med denna kategorisering är dels att åtgärderna riktar sig mot olika målgrupper, dels att genomförandet av åtgärderna kräver olika typer av kompetens.</P>
<P class="p147 ft26">Administrativ informationssäkerhet</P>
<P class="p232 ft18">Till de <SPAN class="ft45">administrativa </SPAN>informationssäkerhetsåtgärderna hör åtgärder som tar sikte på rutiner, arbetsflöden och arbetsledning. Här kan näm- nas bestämmelser om registrering, distribution, kopiering, kvittering och inventering av handlingar som innehåller säkerhetsskyddsklas- sificerade uppgifter. Ett exempel på en sådan bestämmelse är att hand- lingar som placerats i informationssäkerhetsklass <SPAN class="ft45">konfidentiell </SPAN>eller <SPAN class="ft45">högre </SPAN>ska kvitteras av den som tar del av handlingen. En för säkerhets- skyddet central fråga är reglerna om behörighet till säkerhetsskydds- klassificerade uppgifter. Behörighetskriteriet innebär att en person för att vara behörig till hemliga uppgifter ska vara pålitlig från ett säkerhetsperspektiv, ha relevanta kunskaper om säkerhetsskyddet och ha behov av uppgifterna för sin tjänst eller för sitt uppdrag.</P>
<P class="p131 ft26"><NOBR>It-säkerhet</NOBR></P>
<P class="p232 ft18"><NOBR><SPAN class="ft45">It-säkerheten</SPAN></NOBR><SPAN class="ft45"> </SPAN>innefattar regler om handhavande och rutiner för in- formationssystem (nätverks- och informationssystem) jämte tekniska krav på säkerhetsfunktioner i systemen och komponenter. För att även säkerställa att tillgängligheten är i enlighet med verksamhetens krav bör informationssystem som används i säkerhetskänslig verk- samhet vara föremål för kontinuitetsplanering. Säkerhetskopiering är också en viktig åtgärd som ger ett skydd i termer kring tillgänglighet och riktighet. Till <NOBR>it-säkerheten</NOBR> hör även bestämmelser som rör krav på säkerhetsgodkännande av <NOBR>it-system</NOBR> inför driftsättning. Ett exem- pel på en säkerhetsskyddsbestämmelse inom <NOBR>it-säkerheten</NOBR> är att lag- ringsmedia som innehåller säkerhetsklassificerade uppgifter ska för- varas och hanteras på samma sätt som säkerhetsskyddsklassificerade handlingar. Åtgärder som behörighetskontroll och skydd mot obe- hörig avlyssning är också viktiga beståndsdelar av <NOBR>it-säkerheten.</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">151</P>
</DIV>
</DIV>
<DIV id="page_153">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Informationssäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p255 ft26">Kommunikationssäkerhet</P>
<P class="p261 ft19">Termen <SPAN class="ft63">signalskydd </SPAN>används för att beskriva det i huvudsak krypto- grafiska skyddet för information i s.k. signalskyddssystem. Bestäm- melser om signalskydd och kryptografiska funktioner förekommer i dag i flera olika författningar. Försvarsmakten har i uppgift att leda och bedriva militär säkerhetstjänst samt leda och samordna signal- skyddstjänsten. Det innebär arbete med säkra kryptografiska funk- tioner som är avsedda att skydda skyddsvärd information samt även biträda Regeringskansliet i frågor som rör kryptoverksamhet och annan signalskyddsverksamhet. Bestämmelsen om vad säkerhets- skyddslagen ska skydda mot.</P>
<P class="p70 ft26">Syftet med informationssäkerhet</P>
<P class="p289 ft21">I säkerhetsskyddslagen anges att säkerhetsskyddsåtgärden <SPAN class="ft20">informa- tionssäkerhet </SPAN>ska:</P>
<P class="p240 ft21"><SPAN class="ft27">1.</SPAN><SPAN class="ft133">förebygga att säkerhetsskyddsklassificerade uppgifter </SPAN><SPAN class="ft20">obehörigen röjs</SPAN>, <SPAN class="ft20">ändras</SPAN>, <SPAN class="ft20">görs otillgängliga </SPAN>eller <SPAN class="ft20">förstörs</SPAN>, och</P>
<P class="p385 ft125"><SPAN class="ft27">2.</SPAN><SPAN class="ft136">förebygga skadlig inverkan i övrigt på uppgifter </SPAN><SPAN class="ft53">och </SPAN>informations- system <SPAN class="ft53">som gäller säkerhetskänslig verksamhet.</SPAN></P>
<P class="p386 ft17">Även om det finns flera olika definitioner av begreppet informations- säkerhet så är tre kriterier vanligen återkommande: <SPAN class="ft49">konfidentialitet</SPAN>, <SPAN class="ft49">riktighet </SPAN>och <SPAN class="ft49">tillgänglighet</SPAN>.</P>
<P class="p70 ft20">Konfidentialitet</P>
<P class="p289 ft17">Informationssäkerhet syftar till att förhindra att information <SPAN class="ft49">röjs för obehöriga</SPAN>.</P>
<P class="p70 ft20">Riktighet</P>
<P class="p220 ft46">Informationen som är av betydelse för en verksamhet behöver ofta även skyddas så att den <SPAN class="ft60">inte kan förändras av obehöriga</SPAN>. I många fall är en behörighetsstyrning som säkerställer att endast behörig person kan förändra informationen en tillräcklig skyddsåtgärd. En annan</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">152</P>
</DIV>
</DIV>
<DIV id="page_154">
<DIV id="p154dimg1">
<INGENBILD zsrc="H9B363154x1.jpg/" id="p154img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td23"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td24"><P class="p2 ft37">Informationssäkerhet</P></TD>
</TR>
</TABLE>
<P class="p244 ft17">säkerhetsskyddsåtgärd för att skydda information där riktigheten är kritisk, kan vara att använda kryptografiska funktioner så som ex- empelvis elektronisk signering.<SPAN class="ft54">5 </SPAN>Även här handlar det i en säkerhets- skyddskontext om att skydda uppgifter och informationssystem som är av betydelse för en säkerhetskänslig verksamhet mot antago- nistiska hot.</P>
<P class="p131 ft20">Tillgänglighet</P>
<P class="p232 ft18">Förutom att säkerställa att information inte röjs för obehöriga, syftar också informationssäkerhetsarbetet till att säkerställa att in- formationen finns <SPAN class="ft45">tillgänglig </SPAN>när den behövs. I en säkerhetsskydds- kontext handlar det om att säkerställa att skyddet av uppgifter och informationssystem som är av betydelse för säkerhetskänslig verk- samhet skyddas så att en antagonist inte kan göra dessa otillgängliga. En säkerhetsskyddsåtgärd kan inriktas mot att skydda verksamheten, snarare än ett informationssystem, med så kallade <SPAN class="ft45">kontinuitetsåt- gärder</SPAN>. Sådana åtgärder kan exempelvis vara så enkla som att se till att skyddsvärd information finns utskriven på papper, eller finns till- gänglig i flera informationssystem. Sådana alternativa åtgärder måste dock utformas så att eventuella säkerhetsskyddsklassificerade upp- gifter ges ett erforderligt säkerhetsskydd.<SPAN class="ft79">6</SPAN></P>
<P class="p131 ft20">Standarder till stöd för informationssäkerhet</P>
<P class="p132 ft17">I syfte att öka informationssäkerheten finns flera etablerade svenska standarder, bl.a.:</P>
<P class="p198 ft21"><SPAN class="ft27">–</SPAN><NOBR><SPAN class="ft64">SS-ISO/IEC</SPAN></NOBR> 27000,</P>
<P class="p25 ft21"><SPAN class="ft27">–</SPAN><NOBR><SPAN class="ft64">SS-ISO/IEC</SPAN></NOBR> 27001,</P>
<P class="p25 ft21"><SPAN class="ft27">–</SPAN><NOBR><SPAN class="ft64">SS-ISO/IEC</SPAN></NOBR> 27002,</P>
<P class="p25 ft21"><SPAN class="ft27">–</SPAN><NOBR><SPAN class="ft64">SS-ISO/IEC</SPAN></NOBR> 27003.</P>
<P class="p268 ft46">Standarderna i ISO <NOBR>27000-serien</NOBR> är framtagna av internationella expert- grupper inom ISO/IEC (International Organization for Standardiza-</P>
<P class="p387 ft87"><SPAN class="ft56">5</SPAN><SPAN class="ft86">4 kap. 22 § Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd.</SPAN></P>
<P class="p207 ft41"><SPAN class="ft56">6</SPAN><SPAN class="ft82">2 kap. 19 § Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">153</P>
</DIV>
</DIV>
<DIV id="page_155">
<DIV id="p155dimg1">
<INGENBILD zsrc="H9B363155x1.jpg/" id="p155img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Informationssäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft53">tion/International Electrotechnical Commission) där Sverige med- verkar genom SIS, (Swedish Standards Institute). SIS deltar aktivt i det internationella arbetet i såväl ISO/IEC som på europeisk nivå inom <NOBR>CEN-CENELEC</NOBR> (European Committee for Standardization – European Committee for Electrotechnical Standardization).</P>
<P class="p345 ft26"><SPAN class="ft26">7.2.2</SPAN><SPAN class="ft89">Säkerhetsskyddsklassificerade uppgifter</SPAN></P>
<P class="p220 ft45">Säkerhetsskyddsklassificerade uppgifter <SPAN class="ft18">är uppgifter som rör säkerhets- känslig verksamhet och som </SPAN>omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400) <SPAN class="ft18">eller som skulle </SPAN>omfattas av sekretess om lagen var tillämplig<SPAN class="ft18">.</SPAN><SPAN class="ft79">7 </SPAN><SPAN class="ft18">För verksamheter där offentlighets- och sekre- tesslagen inte är tillämplig behöver verksamhetsutövaren således göra en fiktiv sekretessprövning.</SPAN></P>
<P class="p73 ft18">Säkerhetsskyddsklassificerade uppgifter kan också vara uppgifter som <SPAN class="ft45">omfattas av ett internationellt åtagande om säkerhetsskydd</SPAN>. Sådana avtal har Sverige ingått med ett antal olika länder och mellanfolkliga organisationer. Det kan t.ex. röra sig om <NOBR>EU-klassificerad</NOBR> informa- tion. Hur och i vilken nivå en klassificering sker regleras vanligen i bi- eller multilaterala avtal om säkerhetsskydd.</P>
<P class="p70 ft26"><SPAN class="ft26">7.2.3</SPAN><SPAN class="ft89">Indelning i säkerhetsskyddsklasser</SPAN></P>
<P class="p289 ft17">Säkerhetsskyddsklassificerade uppgifter ska delas in i <SPAN class="ft49">säkerhetsskydds- klasser </SPAN>utifrån den skada som ett röjande av uppgiften kan medföra för Sveriges säkerhet.<SPAN class="ft54">8 </SPAN>Indelningen i säkerhetsskyddsklasser ska göras enligt följande:</P>
<P class="p136 ft21"><SPAN class="ft115">•</SPAN><SPAN class="ft64">kvalificerat hemlig vid en synnerligen allvarlig skada,</SPAN></P>
<P class="p30 ft21"><SPAN class="ft115">•</SPAN><SPAN class="ft64">hemlig vid en allvarlig skada,</SPAN></P>
<P class="p34 ft21"><SPAN class="ft115">•</SPAN><SPAN class="ft64">konfidentiell vid en inte obetydlig skada, eller</SPAN></P>
<P class="p30 ft21"><SPAN class="ft115">•</SPAN><SPAN class="ft64">begränsat hemlig vid endast ringa skada.</SPAN></P>
<P class="p388 ft87"><SPAN class="ft80">7</SPAN><SPAN class="ft90">1 kap. 2 § andra stycket säkerhetsskyddslagen (2018:585).</SPAN></P>
<P class="p226 ft41"><SPAN class="ft80">8</SPAN><SPAN class="ft81">2 kap. 5 § första stycket säkerhetsskyddslagen (2018:585), 3 kap. 7 § säkerhetsskyddsförord- ningen (2018:658) och 2 kap. 2 § Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhets- skydd.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">154</P>
</DIV>
</DIV>
<DIV id="page_156">
<DIV id="p156dimg1">
<INGENBILD zsrc="H9B363156x1.jpg/" id="p156img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td23"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td24"><P class="p2 ft37">Informationssäkerhet</P></TD>
</TR>
</TABLE>
<P class="p126 ft17">I förarbetena till den nya säkerhetsskyddslagen ges ingen närmare förklaring till vad som avses med respektive skadenivå. Det är därför ytterst upp till rättstillämpningen att avgöra vad som utgör en skada för Sveriges säkerhet.</P>
<P class="p65 ft18">Vid indelningen av uppgifter i säkerhetsskyddsklasser bör even- tuella konsekvenser av ett röjande som framstår som helt orimliga inte beaktas. Bedömningen bör ske utifrån vad som är det rimliga scenariot om uppgifterna röjs.<SPAN class="ft79">9 </SPAN>Att klassificeringen ska ske utifrån den skada som ett röjande kan medföra för Sveriges säkerhet innebär dock att det inte ska beaktas vilken skada det kan medföra om upp- gifterna blir otillgängliga för verksamhetsutövaren eller om de mani- puleras och inte längre kan anses riktiga.</P>
<P class="p65 ft18">Syftet med indelningen av uppgifter i säkerhetsskyddsklasser är att fastställa en korrekt <SPAN class="ft45">lägsta skyddsnivå </SPAN>för uppgifterna i respektive säkerhetsskyddsklass.<SPAN class="ft79">10 </SPAN>En verksamhetsutövare som tar emot en säker- hetsskyddsklassificerad handling av en annan verksamhetsutövare är inte bunden av den tidigare säkerhetsskyddsklassificeringen av upp- gifterna i handlingen, förutom när det gäller uppgifter som omfattas av ett internationellt åtagande om säkerhetsskydd.</P>
<P class="p109 ft18">Utgångspunkten bör dock ändå vara att den ursprungliga säker- hetsskyddsklassificeringen ska godtas om det inte tillkommit några nya omständigheter sedan indelningen i säkerhetsskyddsklass gjordes. Det är normalt den verksamhetsutövare som upprättat handlingen som har bäst förutsättning att bedöma vilken skada ett röjande skulle medföra för Sveriges säkerhet, särskilt om uppgifterna rör verksam- hetsutövarens egen verksamhet.</P>
<P class="p389 ft35"><SPAN class="ft26">7.2.4</SPAN><SPAN class="ft122">Uppgifter som omfattas av ett internationellt åtagande om säkerhetsskydd</SPAN></P>
<P class="p390 ft138">Säkerhetsskyddsklassificerade uppgifter som omfattas av <SPAN class="ft137">ett interna- tionellt åtagande om säkerhetsskydd </SPAN>ska delas in i säkerhetsskyddsklass, om de inte redan har klassificerats av en annan stat eller en mellan-</P>
<P class="p391 ft85"><SPAN class="ft56">9</SPAN><SPAN class="ft84">Enligt samma princip bör man inte heller beakta vad som skulle hända om andra uppgifter skulle röjas vid samma tidpunkt. I annat fall riskerar indelningen i säkerhetsskyddsklasser att leda till att i princip samtliga uppgifter delas in i någon av de högre klasserna, vilket inte är syftet med lagstiftningen.</SPAN></P>
<P class="p392 ft41"><SPAN class="ft56">10</SPAN><SPAN class="ft82">Indelningen i säkerhetsskyddsklass är därför inte avgörande vid en prövning av om sekre- tessen hindrar ett utlämnande av en säkerhetsskyddsklassificerad handling.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">155</P>
</DIV>
</DIV>
<DIV id="page_157">
<DIV id="p157dimg1">
<INGENBILD zsrc="H9B363157x1.jpg/" id="p157img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Informationssäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p393 ft21">folklig organisation.<SPAN class="ft102">11 </SPAN>En befintlig klassificering ska då godtas, om det inte tillkommit några nya omständigheter sedan indelningen i säkerhets- skyddsklass gjordes, och ligga till grund för bestämmande av skydds- nivå.<SPAN class="ft102">12</SPAN></P>
<P class="p394 ft18">I vissa internationella samarbeten förekommer det att en svensk verksamhetsutövare upprättar handlingar som innehåller uppgifter som omfattas av ett internationellt åtagande om säkerhetsskydd. I sådana fall ska uppgifterna delas in i säkerhetsskyddsklass utifrån den skada ett röjande av uppgiften kan medföra för Sveriges förhållande till den andra staten eller den mellanfolkliga organisationen.</P>
<P class="p70 ft26"><SPAN class="ft26">7.2.5</SPAN><SPAN class="ft89">Aggregerade och ackumulerade uppgifter</SPAN></P>
<P class="p261 ft19"><SPAN class="ft63">Aggregerade uppgifter </SPAN>innebär att <SPAN class="ft63">olika </SPAN>typer av uppgifter samlas och tillsammans utgör ett <SPAN class="ft63">nytt skyddsvärde</SPAN>, medan <SPAN class="ft63">ackumulerade uppgif- ter </SPAN>betyder en <SPAN class="ft63">ökad volym </SPAN>av samma typ av uppgifter.</P>
<P class="p106 ft19">Om enskilda uppgifter som saknar säkerhetsskyddsklass eller är indelade i en av säkerhetsskyddsklasserna <SPAN class="ft63">begränsat hemlig</SPAN>, <SPAN class="ft63">konfiden- tiell </SPAN>eller <SPAN class="ft63">hemlig </SPAN>samlas, kan det i vissa fall medföra att en <SPAN class="ft63">högre </SPAN>säker- hetsskyddsklass ska tillämpas på uppgiftssamlingen. Så är fallet om den aggregerade eller ackumulerade informationen gör att en anta- gonist kan dra andra, nya slutsatser av uppgiftssamlingen än av varje enskild uppgift.<SPAN class="ft101">13</SPAN></P>
<P class="p73 ft18">Av förarbetena till säkerhetsskyddslagen framgår att en klassifi- cering av en samling av uppgifter inte bör göras i större utsträckning och med placering i högre klass än vad som är nödvändigt. Detta för att bl.a. begränsa onödiga administrativa kostnader och onödiga in- grepp i enskildas integritet. Endast i undantagsfall, där det finns ett tydligt samband mellan uppgifterna som gör att skadan av ett röjande skulle bli mer allvarlig, bör det vara aktuellt att höja klassificeringen på en sammanställning av uppgifter.</P>
<P class="p395 ft87"><SPAN class="ft56">11</SPAN><SPAN class="ft86">2 kap. 5 § andra stycket säkerhetsskyddslagen (2018:585).</SPAN></P>
<P class="p210 ft85"><SPAN class="ft56">12</SPAN><SPAN class="ft94">Se Säkerhetspolisens vägledning </SPAN><SPAN class="ft93">Introduktion till säkerhetsskydd </SPAN>för mer information om in- ternationella åtaganden om säkerhetsskydd och de internationella motsvarigheterna till de svenska säkerhetsskyddsklasserna.</P>
<P class="p230 ft41"><SPAN class="ft56">13</SPAN><SPAN class="ft82">4 kap. 6 § Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">156</P>
</DIV>
</DIV>
<DIV id="page_158">
<DIV id="p158dimg1">
<INGENBILD zsrc="H9B363158x1.jpg/" id="p158img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td23"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td24"><P class="p2 ft37">Informationssäkerhet</P></TD>
</TR>
</TABLE>
<P class="p396 ft61"><SPAN class="ft48">7.3</SPAN><SPAN class="ft104">Hantering av säkerhetsskyddsklassificerade uppgifter</SPAN></P>
<P class="p124 ft53">Nedan följer en översiktlig sammanställning av hanteringsreglerna för säkerhetsskyddsklassificerade uppgifter i respektive säkerhets- skyddsklass. Dessa utgör minimikrav och en verksamhetsutövare kan komplettera reglerna i interna styrdokument.</P>
<P class="p224 ft26"><SPAN class="ft26">7.3.1</SPAN><SPAN class="ft89">Anteckning om säkerhetsskyddsklass</SPAN></P>
<P class="p232 ft18">En säkerhetsskyddsklassificerad handling ska förses med en anteck- ning om vilken säkerhetsskyddsklass uppgifterna i handlingen har, i syfte att klargöra vilka hanteringsregler som gäller för handlingen.<SPAN class="ft79">14 </SPAN>Kravet på anteckning gäller både för fysiska och elektroniska säker- hetsskyddsklassificerade handlingar. Om det i samma handling före- kommer uppgifter som är indelade i olika säkerhetsskyddsklasser ska den högsta säkerhetsskyddsklassen anges. Anteckningen bör vara röd och omgärdas av en enkel ram upp till och med säkerhetsskydds- klassen hemlig. För säkerhetsskyddsklassen kvalificerat hemlig bör anteckningen omgärdas av en dubbel ram.<SPAN class="ft79">15 </SPAN>För elektroniska hand- lingar eller uppgiftsamlingar där formatet inte stödjer en anteckning kan uppgift om säkerhetsskyddsklass i stället anges i filnamnet.</P>
<P class="p58 ft18">Även enskilda verksamhetsutövare kan behöva hänvisa till tillämp- liga sekretessbestämmelser i offentlighets- och sekretesslagen, detta för att underlätta hanteringen av handlingar som distribueras mellan enskilda och offentliga verksamhetsutövare och för att åstadkomma transparens i säkerhetsskyddsklassificeringen.</P>
<P class="p111 ft46">Om en säkerhetsskyddsklassificerad handling inte längre ska vara indelad i säkerhetsskyddsklass eller ska delas in i annan säkerhets-</P>
<P class="p397 ft107"><SPAN class="ft56">14</SPAN><SPAN class="ft105">5 kap. 5 § offentlighets- och sekretesslagen (2009:400), 1 § offentlighets- och sekretessför- ordningen (2009:641), 3 kap. 7 § säkerhetsskyddsförordningen (2018:658) och 3 kap. </SPAN><NOBR>4–6</NOBR> §§ Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd.</P>
<P class="p398 ft58"><SPAN class="ft56">15</SPAN><SPAN class="ft96">Anteckningen bör även innehålla hänvisning till tillämplig sekretessbestämmelse i offentlig- hets- och sekretesslagen, datum då anteckningen gjordes, samt vilken verksamhetsutövare som har gjort anteckningen. På så sätt uppfyller även anteckningen kriterierna för en sekretess- markering. För allmänna handlingar i säkerhetsskyddsklassen kvalificerat hemlig ska det på anteck- ningen även framgå om det är chefen för </SPAN><NOBR>Justitie-,</NOBR> <NOBR>Utrikes-,</NOBR> eller Försvarsdepartementet som prövar om handlingen efter begäran kan utlämnas till en enskild.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">157</P>
</DIV>
</DIV>
<DIV id="page_159">
<DIV id="p159dimg1">
<INGENBILD zsrc="H9B363159x1.jpg/" id="p159img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Informationssäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p208 ft21">skyddsklass än vad som anges på handlingen, ska detta antecknas på handlingen.<SPAN class="ft102">16</SPAN></P>
<P class="p209 ft26"><SPAN class="ft26">7.3.2</SPAN><SPAN class="ft89">Förvaring</SPAN></P>
<P class="p399 ft17">En säkerhetsskyddsklassificerad handling ska förvaras i ett förvar- ingsutrymme med säkerhet som motsvarar den skyddsnivå som skydds- dimensioneringen kräver.<SPAN class="ft54">17</SPAN></P>
<P class="p102 ft26"><SPAN class="ft26">7.3.3</SPAN><SPAN class="ft89">Märkning av lagringsmedium</SPAN></P>
<P class="p220 ft18"><SPAN class="ft45">Lagringsmedium </SPAN>för säkerhetsskyddsklassificerade uppgifter i säker- hetskyddsklass <SPAN class="ft45">konfidentiell </SPAN>eller <SPAN class="ft45">högre </SPAN>ska märkas med säkerhets- skyddsklass och identifieringsuppgift. Om lagringsmediet är fast mon- terat i annan utrustning ska i stället utrustningen märkas så att det fortfarande framgår att lagringsmediet innehåller säkerhetsskydds- klassificerade uppgifter. Om ett sådant lagringsmedium i efterhand avlägsnas från utrustningen ska lagringsmediet märkas.<SPAN class="ft79">18 </SPAN>Med den fast- ställda identiteten kan en förteckning över verksamhetsutövarens lag- ringsmedia avseende säkerhetsskyddsklassificerade uppgifter upprättas, utifrån vilken en inventering kan ske.</P>
<P class="p70 ft26"><SPAN class="ft26">7.3.4</SPAN><SPAN class="ft89">Distribution</SPAN></P>
<P class="p355 ft18">Verksamhetsutövaren ska som en del i säkerhetsskyddsarbetet upp- rätta dokumenterade rutiner över hur denne avser att i säkerhetsskydds- klass <SPAN class="ft45">konfidentiell </SPAN>eller <SPAN class="ft45">högre </SPAN>distribuera säkerhetsskyddsklassificerade</P>
<P class="p400 ft58"><SPAN class="ft56">16</SPAN><SPAN class="ft57">Det bör i anteckningen framgå vem som har fattat beslut om att ändra säkerhetsskyddsklass och datum för beslutet. Om handlingen är allmän ska beslutet om att säkerhetskyddsklassen ändrats antecknas i det register där handlingen är diarieförd. För säkerhetsskyddsklassificerade handlingar i säkerhetsskyddsklassen kvalificerat hemlig ska ett sådant beslut föregås av samråd med den som har upprättat handlingen och med verksamhetsutövarens högsta chef eller mot- svarande organ, eller den som sådan chef eller organ bestämmer.</SPAN></P>
<P class="p210 ft85"><SPAN class="ft56">17</SPAN><SPAN class="ft94">3 kap. 10 § Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd. Se även Säker- hetspolisens </SPAN><SPAN class="ft93">Vägledning i säkerhetsskydd – Fysisk säkerhet, </SPAN>2020, för mer information om för- varing<SPAN class="ft93">.</SPAN></P>
<P class="p401 ft113"><SPAN class="ft56">18</SPAN><SPAN class="ft112">3 kap. 13 § Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd. Märkningen med säkerhetsskyddsklass syftar till att uppmärksamma den som hanterar lagringsmediet på att det innehåller säkerhetsskyddsklassificerade uppgifter samt i vilken säkerhetsskyddsklass. Märkning med identifieringsuppgift syftar till att fastställa en specifik identitet för ett lagrings- medium som innehåller säkerhetsskyddsklassificerade uppgifter.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">158</P>
</DIV>
</DIV>
<DIV id="page_160">
<DIV id="p160dimg1">
<INGENBILD zsrc="H9B363160x1.jpg/" id="p160img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td23"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td24"><P class="p2 ft37">Informationssäkerhet</P></TD>
</TR>
</TABLE>
<P class="p244 ft21">fysiska handlingar och lagringsmedia med säkerhetsskyddsklassifi- cerade elektroniska handlingar.<SPAN class="ft102">19</SPAN></P>
<P class="p150 ft17">För försändelser av säkerhetsskyddsklassificerade handlingar till och från utlandet ska Utrikesdepartementets kurirförbindelse anli- tas, såvida inte handlingen skyddas av kryptografiska funktioner som har godkänts av Försvarsmakten. Tillsynsmyndigheterna får medge undantag från detta krav.</P>
<P class="p147 ft26"><SPAN class="ft26">7.3.5</SPAN><SPAN class="ft89">Förstöring</SPAN></P>
<P class="p351 ft17">Säkerhetsskyddsklassificerade uppgifter ska förstöras på ett sätt som omöjliggör åtkomst och återskapande av uppgifterna. Metoder för förstöring är t.ex. dokumentförstörare eller bränning. Vid använd- ning av dokumentförstörare ska verksamhetsutövaren säkerställa att spånet efter förstöring inte går att utläsa och att det inte går att åter- skapa handlingen.<SPAN class="ft54">20</SPAN></P>
<P class="p146 ft17">Förstöring av en säkerhetsskyddsklassificerad allmän handling i säkerhetsskyddsklassen <SPAN class="ft49">hemlig </SPAN>eller <SPAN class="ft49">kvalificerat hemlig </SPAN>ska doku- menteras.</P>
<P class="p186 ft17">Förstöring av säkerhetsskyddsklassificerade uppgifter kan även utföras av en leverantör. Verksamhetsutövaren behöver då reglera de säkerhetsskyddsåtgärder som leverantören behöver vidta i ett säker- hetsskyddsavtal.</P>
<P class="p147 ft48"><SPAN class="ft48">7.4</SPAN><SPAN class="ft78">Säkerhetsskyddsanalys</SPAN></P>
<P class="p74 ft127">En verksamhetsutövare som utvecklar ett informationssystem som har betydelse för säkerhetskänslig verksamhet är ansvarig för att säkerhetsskyddet kring ett sådant informationssystem utformas så att författningarna avseende säkerhetsskydd efterlevs. Säkerhetsskydds- åtgärden informationssäkerhet ska, utöver att skydda <SPAN class="ft72">säkerhetsskydds- klassificerade uppgifter</SPAN>, också skydda <SPAN class="ft72">andra uppgifter </SPAN>samt själva <SPAN class="ft72">informa- tionssystemen </SPAN>som hanterar uppgifter i en säkerhetskänslig verksamhet. Sådana skyddsåtgärder tar framför allt sikte på att tillgodose behovet</P>
<P class="p402 ft85"><SPAN class="ft56">19</SPAN><SPAN class="ft84">3 kap. 10 § säkerhetsskyddsförordningen (2018:658). 3 kap. 14 och 16 §§ Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd.</SPAN></P>
<P class="p317 ft41"><SPAN class="ft56">20</SPAN><SPAN class="ft82">3 kap. 25 och 26 §§ Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">159</P>
</DIV>
</DIV>
<DIV id="page_161">
<DIV id="p161dimg1">
<INGENBILD zsrc="H9B363161x1.jpg/" id="p161img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Informationssäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p403 ft21">av tillgänglighet och riktighet.<SPAN class="ft102">21 </SPAN>Vilka åtgärder som är motiverade att vidta ska analyseras och bedömas i verksamhetens <SPAN class="ft20">säkerhetsskydds- analys</SPAN><SPAN class="ft102">22 </SPAN>samt i förekommande fall i ett informationssystems <SPAN class="ft20">särskilda säkerhetsskyddsbedömning</SPAN>.</P>
<P class="p394 ft18">Verksamhetsutövaren ska vid en särskild säkerhetsskyddsbedöm- ning enligt 3 kap. 1 § säkerhetsskyddsförordningen (2018:658) beakta såväl de <SPAN class="ft45">enskilda </SPAN>säkerhetsskyddsklassificerade uppgifterna som den <SPAN class="ft45">totala mängden </SPAN>sådana uppgifter som kan komma att behandlas i in- formationssystemet, dvs. <SPAN class="ft45">aggregerad </SPAN>och <SPAN class="ft45">ackumulerad </SPAN>information i systemet.</P>
<P class="p70 ft48"><SPAN class="ft48">7.5</SPAN><SPAN class="ft78">Särskild säkerhetsskyddsbedömning</SPAN></P>
<P class="p213 ft26"><SPAN class="ft26">7.5.1</SPAN><SPAN class="ft89">Allmänt om särskild säkerhetsskyddsbedömning</SPAN></P>
<P class="p277 ft18">Av 3 kap. 1 § säkerhetsskyddsförordningen (2018:658) framgår att <SPAN class="ft45">innan </SPAN>ett informationssystem som har betydelse för säkerhetskäns- lig verksamhet <SPAN class="ft45">tas i drift </SPAN>ska verksamhetsutövaren genom en <SPAN class="ft45">särskild säkerhetsskyddsbedömning </SPAN>ta ställning till vilka säkerhetskrav i syste- met som är motiverade och se till att säkerhetsskyddet utformas så att dessa krav tillgodoses. Den särskilda säkerhetsskyddsbedömningen utgör grunden för det säkerhetsskyddsarbete som ska bedrivas för ett informationssystem av betydelse för säkerhetskänslig verksam- het. Då den särskilda säkerhetsskyddsbedömningen ska klargöra vilka säkerhetskrav som är motiverade för ett sådant informationssystem blir den ett viktigt stöd för verksamhetsutövaren under utvecklings- processen. Säkerhetsskyddsbedömningen ska <SPAN class="ft45">dokumenteras</SPAN>.</P>
<P class="p404 ft17">Den särskilda säkerhetsskyddsbedömningen bör kunna ge svar på ett antal frågor:</P>
<P class="p136 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">hur ska informationssystemet användas och av vem?</SPAN></P>
<P class="p258 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">på vilket sätt är informationssystemet av betydelse för säkerhets- känslig verksamhet?</SPAN></P>
<P class="p257 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">hur exponeras informationssystemet mot andra informations- system?</SPAN></P>
<P class="p136 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">vilka säkerhetskrav gäller för informationssystemet?</SPAN></P>
<P class="p405 ft87"><SPAN class="ft56">21</SPAN><SPAN class="ft86">2 kap. 2 § säkerhetsskyddslagen (2018:585).</SPAN></P>
<P class="p230 ft74"><SPAN class="ft56">22</SPAN><SPAN class="ft82">Se bl.a. Säkerhetspolisens </SPAN>Vägledning i säkerhetsskydd – Säkerhetsskyddsanalys<SPAN class="ft41">, 2019.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">160</P>
</DIV>
</DIV>
<DIV id="page_162">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td23"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td24"><P class="p2 ft37">Informationssäkerhet</P></TD>
</TR>
</TABLE>
<P class="p406 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">vilka säkerhetsskyddsåtgärder behöver införas i och kring infor- mationssystemet?</SPAN></P>
<P class="p278 ft26"><SPAN class="ft26">7.5.2</SPAN><SPAN class="ft89">Hur ska informationssystemet användas?</SPAN></P>
<P class="p232 ft18">En särskild säkerhetsskyddsbedömning för ett informationssystem ska klarlägga vad informationssystemet ska användas till och av vem det ska användas, detta gäller också om informationssystem är avsett att användas i flera verksamheter. I vissa fall sker utveckling av infor- mationssystemet för en specifik verksamhet, men det är inte ovanligt att informationssystem över tid kan komma att användas i andra verksamheter där behovet av säkerhetskyddsåtgärder är annorlunda. Förändringar av säkerhetsskyddsåtgärder som behöver ske i efter- hand kan medföra betydande kostnader och det är därför många gånger en fördel att verksamhetsutövaren har ett långsiktigt perspektiv och vid behov planerar för ett bredare användningsområde.</P>
<P class="p407 ft26"><SPAN class="ft26">7.5.3</SPAN><SPAN class="ft89">På vilket sätt är informationssystemet av betydelse för säkerhetskänslig verksamhet?</SPAN></P>
<P class="p408 ft17">En verksamhetsutövare behöver även klarlägga på vilket sätt informa- tionssystemet har betydelse för säkerhetskänslig verksamhet. I denna bedömning kan olika frågeställningar bli aktuella för att identifiera berörda skyddsvärden:</P>
<P class="p198 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">ska säkerhetsskyddsklassificerade uppgifter behandlas i systemet?</SPAN></P>
<P class="p134 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">vilken skada för Sveriges säkerhet kan uppstå om uppgifterna som informationssystemet behandlar röjs?</SPAN></P>
<P class="p133 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">ska informationssystemet behandla uppgifter som omfattas av ett för Sverige förpliktande internationellt åtagande om säkerhets- skydd?</SPAN></P>
<P class="p133 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">vilken skada för Sveriges säkerhet kan uppstå om uppgifterna som informationssystemet ska behandla görs otillgängliga eller obe- hörigen förändras?</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">161</P>
</DIV>
</DIV>
<DIV id="page_163">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Informationssäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p189 ft17">Säkerhetsskyddsklassificering och vad som framgår av verksamhets- utövarens säkerhetsskyddsanalys är viktiga ingångsvärden för be- dömningen.</P>
<P class="p409 ft26"><SPAN class="ft26">7.5.4</SPAN><SPAN class="ft89">Hur exponeras informationssystemet mot andra informationssystem?</SPAN></P>
<P class="p261 ft18">I bedömningen kan verksamhetsutövaren även behöva analysera hur informationssystemet kan komma att exponeras mot och interagera med andra informationssystem. Verksamhetsutövaren kan dokumen- tera detta genom att ta fram en övergripande design som beskriver hur informationssystemet ska kommunicera med andra informations- system och andra logiska samband som finns till informationssystemet.</P>
<P class="p70 ft26"><SPAN class="ft26">7.5.5</SPAN><SPAN class="ft139">Vilka säkerhetskrav gäller för informationssystemet?</SPAN></P>
<P class="p355 ft46">När samtliga skyddsvärden är identifierade och bedömda ska kraven på säkerhet fastställas för skyddet av informationssystemet. Dessa krav framgår främst av bestämmelserna i säkerhetsskyddslagen (2018:585), säkerhetsskyddsförordningen (2018:658) och i Säkerhets- polisens föreskrifter (PMFS 2019:2) om säkerhetsskydd samt För- svarsmaktens föreskrifter om säkerhetsskydd (FFS 2019:2) Fort- sättningsvis refereras i första hand till Säkerhetspolisens föreskrifter om informationssäkerhet i säkerhetskänslig verksamhet. I Försvars- maktens förskrifter finns i allt väsentligt motsvarande bestämmelser om informationssäkerhet och de gäller inom myndighetens tillsyns- område.</P>
<P class="p410 ft18">Vilka krav som är tillämpliga beror på vilken typ av säkerhets- skyddsklassificerade uppgifter som ska hanteras i informationssyste- met. Om informationssystemet även ska behandla uppgifter som omfattas av ett för Sverige förpliktande internationellt åtagande om säkerhetsskydd måste också de krav som följer av den internationella överenskommelsen identifieras och dokumenteras.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">162</P>
</DIV>
</DIV>
<DIV id="page_164">
<DIV id="p164dimg1">
<INGENBILD zsrc="H9B363164x1.jpg/" id="p164img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td23"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td24"><P class="p2 ft37">Informationssäkerhet</P></TD>
</TR>
</TABLE>
<P class="p235 ft26"><SPAN class="ft26">7.5.6</SPAN><SPAN class="ft89">Vilka säkerhetsskyddsåtgärder behöver införas i och kring informationssystemet?</SPAN></P>
<P class="p57 ft17">När säkerhetskraven är identifierade måste verksamhetsutövaren ana- lysera vilka <SPAN class="ft49">säkerhetsskyddsåtgärder </SPAN>som är motiverade att vidta i och kring informationssystemet.</P>
<P class="p187 ft18">De krav på säkerhetsskyddsåtgärder som följer av bestämmel- serna i de angivna författningarna kräver ofta en bredare analys för att fastställa på vilket sätt de ska tillämpas. Det framgår t.ex. inte av bestämmelserna var i ett informationssystem säkerhetskyddsåtgär- derna ska appliceras och hur de ska dimensioneras.</P>
<P class="p11 ft18">Huvudprincipen är att säkerhetsskyddsåtgärderna ska anpassas utifrån det <SPAN class="ft45">högsta </SPAN>identifierade <SPAN class="ft45">skyddsvärdet </SPAN>som informationssyste- met avser att hantera, vilken <SPAN class="ft45">hotbild </SPAN>som föreligger mot dessa skydds- värden, <SPAN class="ft45">hur </SPAN>och av <SPAN class="ft45">vem </SPAN>informationssystemet ska <SPAN class="ft45">användas </SPAN>samt <SPAN class="ft45">hur </SPAN>det ska <SPAN class="ft45">exponeras</SPAN>. Det kan därutöver finnas skäl till att vidta ytter- ligare säkerhetsåtgärder än vad som framgår av författningarna.</P>
<P class="p11 ft18">När behovet av säkerhetsskyddsåtgärder analyseras bör en utgångs- punkt vara att de utformas så att de kompletterar och överlappar varandra, dvs. säkerhetsskyddsåtgärderna bör byggas i <SPAN class="ft45">flera lager</SPAN>. För- delen med detta är att även om en säkerhetsskyddsåtgärd visar sig vara otillräcklig, finns flera andra säkerhetsskyddsåtgärder som kan träda in och exempelvis förhindra ett försök till intrång.<SPAN class="ft79">23</SPAN></P>
<P class="p58 ft19">I följande avsnitt redogörs översiktligt för några olika säkerhets- skyddsåtgärder som kan implementeras i ett informationssystem som har betydelse för säkerhetskänslig verksamhet.<SPAN class="ft101">24</SPAN></P>
<P class="p147 ft48"><SPAN class="ft48">7.6</SPAN><SPAN class="ft78">Omvärldsbevakning</SPAN></P>
<P class="p6 ft26"><SPAN class="ft26">7.6.1</SPAN><SPAN class="ft89">Allmänt om omvärldsbevakning</SPAN></P>
<P class="p91 ft46">En verksamhetsutövare måste förhålla sig till de <SPAN class="ft60">hot </SPAN>som ett infor- mationssystem kan vara exponerat mot och de <SPAN class="ft60">sårbarheter </SPAN>som finns i och kring informationssystemet. För att en verksamhetsutövare ska kunna få en uppfattning om nya eller förändrade hot, uppkomst av nya sårbarheter, t.ex. i programvaror som används, behöver verk-</P>
<P class="p248 ft87"><SPAN class="ft56">23</SPAN><SPAN class="ft86">Inom engelsk facklitteratur brukar denna princip beskrivas som </SPAN><SPAN class="ft110">defence in depth</SPAN>.</P>
<P class="p411 ft100"><SPAN class="ft56">24</SPAN><SPAN class="ft96">Se Säkerhetspolisens </SPAN>Vägledning i säkerhetsskydd, Informationssäkerhet, <SPAN class="ft58">2020, och Försvars- maktens </SPAN>Handbok Försvarsmaktens säkerhetstjänst, Informationssäkerhet, H Säk Infosäk, <SPAN class="ft58">2013.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">163</P>
</DIV>
</DIV>
<DIV id="page_165">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Informationssäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft19">samhetsutövaren löpande bevaka händelser i omvärlden som kan påverka säkerheten i verksamhetsutövarens informationssystem.</P>
<P class="p73 ft18">Bestämmelser om omvärldsbevakning finns i Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd. I 4 kap. 2 § anges att verksamhetsutövaren ska kontinuerligt anpassa säkerhetsskyddsåt- gärder i informationssystem för att möta förändringar av hot och sårbarheter. Verksamhetsutövaren ska även fastställa hur detta ska genomföras och vem som ansvarar för att identifiera förändringarna. Denne behöver därför ha förmåga att bedöma hur en sårbarhet, t.ex. i en programvara, kan påverka säkerheten i verksamhetsutövarens informationssystem och därefter ta ställning till om sårbarheten be- höver åtgärdas omgående eller inte.</P>
<P class="p73 ft17">De stora tillverkarna av programvara publicerar normalt säker- hetsuppdateringar (s.k. säkerhetspatchar) när en sårbarhet i en pro- gramvara blir känd. Tillverkaren har ofta redan gjort någon form av värdering av hur allvarlig sårbarheten är som säkerhetsuppdateringen ska åtgärda, vilket kan ligga till grund för verksamhetsutövarens be- dömning av hur sårbarheten kan påverka verksamhetsutövarens in- formationssystem.</P>
<P class="p106 ft18">Information om nya attackmetoder och sårbarheter i hård- och mjukvara publiceras löpande i omvärlden och det kan därför vara svårt att manuellt inhämta och distribuera denna typ av information. Som stöd i detta kan en verksamhetsutövare behöva använda ett system som automatiskt hämtar in och distribuerar relevant infor- mation till berörd personal. Oavsett om omvärldsbevakning sker manuellt eller med ett tekniskt stöd är det av vikt att verksamhets- utövaren har en inventarieförteckning för den mjuk- och hårdvara som förekommer i verksamhetsutövarens informationssystem efter- som det annars kan uppstå problem för verksamhetsutövaren att veta vilka sårbarheter som är relevanta att ta ställning till.</P>
<P class="p70 ft26"><SPAN class="ft26">7.6.2</SPAN><SPAN class="ft89">Kompetens och resursplanering</SPAN></P>
<P class="p261 ft46">Om en verksamhetsutövare ska ha förutsättningar att kunna hålla ett informationssystem i drift och upprätthålla säkerheten krävs både resurser och kompetens. Utan en planering för detta riskerar säker- hetsarbetet att åsidosättas. Bestämmelser relaterade till kompetens</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">164</P>
</DIV>
</DIV>
<DIV id="page_166">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td23"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td24"><P class="p2 ft37">Informationssäkerhet</P></TD>
</TR>
</TABLE>
<P class="p342 ft21">och resursplanering återfinns i Säkerhetspolisens föreskrifter om säker- hetsskydd (PMFS 2019:2).</P>
<P class="p412 ft17">Av bestämmelserna i 2 kap. 16 § PMFS 2019:2 framgår att verk- samhetsutövaren ska säkerställa att det finns resurser och kompeten- ser tillgängliga i den utsträckning som krävs för att upprätthålla säker- hetsskyddet.</P>
<P class="p80 ft18">Av bestämmelserna i 4 kap. 3 § PMFS 2019:2 framgår att verk- samhetsutövaren ska se till att den som deltar i <SPAN class="ft45">utveckling</SPAN>, <SPAN class="ft45">framtag- ning av arkitektur</SPAN>, <SPAN class="ft45">testning </SPAN>och <SPAN class="ft45">drift </SPAN>av informationssystem som har betydelse för säkerhetskänslig verksamhet har tillräcklig kompetens avseende informationssäkerhet och sårbarheter i aktuellt informa- tionssystem.</P>
<P class="p65 ft18">Utveckling av informationssystem eller mjukvara i ett informa- tionssystem kan ske i olika plattformar och baseras på en mängd olika programmeringsspråk. Var och en av dessa <NOBR>it-plattformar</NOBR> kan ha inne- boende sårbarheter som både kan nyttjas av en hotaktör vid ett an- grepp och som kan påverka driftsäkerheten i informationssystemet. Den som deltar i utveckling av informationssystem måste av därför ha adekvat och aktuell kompetens om de sårbarheter som finns i de plattformar där utveckling sker för att sårbarheter ska kunna om- händertas. Motsvarande förhållningssätt till kompetens gäller även för den som arbetar med drift av informationssystem. Utveckling av informationssystem är ett arbete som ofta bedrivs i projektform av ett utvecklingsteam som är skräddarsytt för det specifika utveck- lingsprojektet. Inte sällan är den personal som utvecklar informa- tionssystemet inhyrd eller i övrigt organisatoriskt frånskild från den personal som ska arbeta med drift och förvaltning av informations- systemet. Av denna anledning är det av vikt att den mottagande orga- nisationen (driftorganisationen) som ska arbeta med drift och för- valtning av informationssystemet har rätt kompetenser och resurser innan informationssystemet tas i drift. Detta bidrar även till att drift- organisationen kan upprätthålla tillräcklig funktionalitet och säker- hetsskydd för informationssystemet över tid. Verksamhetsutövaren bör därför innan ett informationssystem av betydelse för säkerhets- känslig verksamhet tas i drift planera för drift och förvaltning av informationssystemet. I detta ligger att fastställa vilka resurser och kompetenser som erfordras för drift och förvaltning av informations- systemet. Att utbildning av personal eller nyrekryteringar tar tid och</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">165</P>
</DIV>
</DIV>
<DIV id="page_167">
<DIV id="p167dimg1">
<INGENBILD zsrc="H9B363167x1.jpg/" id="p167img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Informationssäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p189 ft21">är ytterligare aspekt, varför planeringen för drift och förvaltning bör ske på ett tidigt stadium.</P>
<P class="p104 ft17">I 8 § anges att verksamhetsutövaren även ska – innan ett informa- tionssystem som har betydelse för säkerhetskänslig verksamhet tas i drift – <SPAN class="ft49">dokumentera </SPAN>de <SPAN class="ft49">resurser </SPAN>och <SPAN class="ft49">kompetenser </SPAN>som krävs för att bibehålla fastställt säkerhetsskydd under informationssystemets för- väntade livstid.</P>
<P class="p70 ft48"><SPAN class="ft48">7.7</SPAN><SPAN class="ft78">Utveckling av informationssystem</SPAN></P>
<P class="p413 ft26"><SPAN class="ft26">7.7.1</SPAN><SPAN class="ft89">Allmänt om utveckling av informationssystem</SPAN></P>
<P class="p289 ft17">Att utveckla ett informationssystem som har betydelse för säker- hetskänslig verksamhet kan vara en resurs- och tidskrävande akti- vitet. Det kräver en tydlig <SPAN class="ft49">kravbild </SPAN>utifrån en <SPAN class="ft49">särskild säkerhetsskydds- bedömning</SPAN>, men också ett <SPAN class="ft49">strukturerat arbetssätt </SPAN>och <SPAN class="ft49">god kompetens </SPAN>om de risker och sårbarheter som kan kopplas till de plattformar i vilket utvecklingen sker.</P>
<P class="p414 ft35"><SPAN class="ft26">7.7.2</SPAN><SPAN class="ft122">Behovet av process för utveckling av informationssystem</SPAN></P>
<P class="p285 ft19">Utveckling av informationssystem som ska användas i säkerhets- känslig verksamhet är en aktivitet som kräver noggrann planering och ett systematiskt arbetssätt. Om verksamhetsutövaren inte tar fram en egen process för utvecklingen, finns vedertagna koncept och pro- cesser för hur utveckling av ett informationssystem kan genomföras. Oavsett vilken metod eller process som används vid utveckling behöver verksamhetsutövaren planera med ett långsiktigt perspektiv för hanteringen av informationssystemet, dvs. från utvecklingen av systemet till avveckling av detsamma (systemets livscykel).<SPAN class="ft101">25 </SPAN>En sådan process bör bl.a. innefatta:</P>
<P class="p136 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">planering,</SPAN></P>
<P class="p34 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">utveckling,</SPAN></P>
<P class="p415 ft41"><SPAN class="ft56">25</SPAN><SPAN class="ft81">Ett exempel på en sådan process utgör </SPAN><SPAN class="ft74">Software Development Life Cycle </SPAN>(SDLC), som är en vedertagen term för att beskriva en utvecklingsprocess där säkerhet tas i beaktande genom utvecklingsprocessens alla faser.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">166</P>
</DIV>
</DIV>
<DIV id="page_168">
<DIV id="p168dimg1">
<INGENBILD zsrc="H9B363168x1.jpg/" id="p168img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td23"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td24"><P class="p2 ft37">Informationssäkerhet</P></TD>
</TR>
</TABLE>
<P class="p90 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">testning,</SPAN></P>
<P class="p25 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">implementation,</SPAN></P>
<P class="p25 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">drift, och</SPAN></P>
<P class="p25 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">avveckling av ett informationssystem.</SPAN></P>
<P class="p199 ft46">Oavsett val av modell för utveckling är det viktigt att verksamhets- utövaren säkerställer en integration av säkerhetsarbetet som en natur- lig del av utvecklingsprocessen för att tillvarata säkerhetsskydds- kraven i hela livscykelperspektivet för informationssystemet.</P>
<P class="p224 ft26"><SPAN class="ft26">7.7.3</SPAN><SPAN class="ft89">Systemdesign och systemutveckling</SPAN></P>
<P class="p416 ft20">Allmänt om systemdesign och systemutveckling</P>
<P class="p185 ft17">Genom att införa olika säkerhetsrelaterade aktiviteter i varje steg under en utvecklingsprocess för ett informationssystem ökar möj- ligheterna att uppnå en ändamålsenlig och kostnadseffektiv säkerhet. För att uppnå en säker <SPAN class="ft49">systemdesign </SPAN>och <SPAN class="ft49">systemutveckling </SPAN>behöver ett antal aktiviteter genomföras, t.ex.:</P>
<P class="p237 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">utbildning av utvecklare i säker systemutveckling (kodning, kod- hantering och ramverk),</SPAN></P>
<P class="p24 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">hotmodellering,</SPAN></P>
<P class="p25 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">statisk och dynamisk kodanalys.</SPAN></P>
<P class="p417 ft17">Verksamhetsutövaren bör även upprätta en separation av utvecklings- miljön från test- och produktionsmiljöerna.<SPAN class="ft54">26</SPAN></P>
<P class="p131 ft20">Hotmodellering</P>
<P class="p232 ft46"><SPAN class="ft60">Hotmodellering </SPAN>är en process där potentiella tillvägagångssätt som en hotaktör kan tänkas nyttja för att angripa ett informationssystem identifieras.<SPAN class="ft97">27 </SPAN>Syftet med hotmodellering är att utifrån en systematisk</P>
<P class="p248 ft87"><SPAN class="ft56">26</SPAN><SPAN class="ft86">4 kap. 4 och 5 §§ Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd.</SPAN></P>
<P class="p418 ft41"><SPAN class="ft56">27</SPAN><SPAN class="ft82">Organisationen MITRE har tagit fram ett ramverk (ATT&CK framework) som beskriver olika attackmetoder, vilka kända aktörer som använt dessa och hur de kan motverkas eller upptäckas.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">167</P>
</DIV>
</DIV>
<DIV id="page_169">
<DIV id="p169dimg1">
<INGENBILD zsrc="H9B363169x1.jpg/" id="p169img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Informationssäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft18">analys få en bild av vilka typer av angrepp en verksamhetsutövare kan drabbas av. Vid genomförandet av en hotmodellering identifieras systemets olika komponenter, kommunikationsvägar, flöden av data och potentiella hot samt attacker mot dessa. Detta arbete ska resul- tera i en lista med säkerhetsfunktioner som ska implementeras och potentiella säkerhetsbrister som ska hanteras i den fortsatta utveck- lingen av informationssystemet. En sådan hotmodellering kan t.ex. göras i samband med framtagandet av den <SPAN class="ft45">särskilda säkerhetsskydds- bedömningen </SPAN>för informationssystemet.</P>
<P class="p70 ft20">Säker kodning och kodhantering</P>
<P class="p220 ft19">Vid <SPAN class="ft63">systemutveckling </SPAN>bör man utveckla arbetssätt som ger <SPAN class="ft63">god kod- kvalitet </SPAN>och <SPAN class="ft63">stabil funktionalitet, </SPAN>t.ex. kan det ske i testdriven utveck- ling, där koden kontrolleras löpande för att upptäcka säkerhetsbris- ter. En verksamhetsutövare kan t.ex. använda automatiserad statisk kodanalys för att identifiera enklare säkerhetsbrister i koden. Ut- vecklaren får då information om vilka problem som upptäckts i käll- koden och hur dessa kan åtgärdas. Verksamhetsutövaren kan även genomföra återkommande kodgranskning under hela utvecklings- processen.</P>
<P class="p106 ft18">Proprietära<SPAN class="ft79">28 </SPAN>säkerhetslösningar tenderar ofta att bli sårbara. Av denna anledning bör standardiserade och väletablerade produkter, protokoll och algoritmer i den omfattning det är möjligt användas. Vid utveckling av informationssystem bör även standardiserade och välbeprövade programvarubibliotek användas.</P>
<P class="p73 ft18"><SPAN class="ft45">Tredjepartsbibliotek </SPAN>används ofta i utvecklingsprojekt för att skynda på utvecklingen, då dessa kan erbjuda en genväg för att uppnå en viss funktionalitet. Dessa bibliotek bör dock granskas innan de inklu- deras i projektet då de kan innehålla sårbarheter. Har biblioteket hunnit användas brett i projektet kan det vara svårt att ta bort eller byta ut biblioteket i efterhand. Det är även viktigt att alla tredjeparts- bibliotek som används i projektet kontinuerligt uppdateras, så att even- tuella säkerhetsuppdateringar som publiceras inkluderas i projektet.</P>
<P class="p419 ft41"><SPAN class="ft56">28</SPAN><SPAN class="ft81">Proprietär </SPAN><SPAN class="ft74">programvara </SPAN>är programvara som har restriktioner, t.ex. satta av ägaren, vad gäller att använda, modifiera eller kopiera.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">168</P>
</DIV>
</DIV>
<DIV id="page_170">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td23"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td24"><P class="p2 ft37">Informationssäkerhet</P></TD>
</TR>
</TABLE>
<P class="p5 ft26"><SPAN class="ft26">7.7.4</SPAN><SPAN class="ft89">Allmänt om arkitektur</SPAN></P>
<P class="p232 ft18">Med begreppet <SPAN class="ft45">arkitektur </SPAN>i ett informationssystem avses vanligen en detaljerad specifikation över vilka ingående komponenteter ett in- formationssystem ska bestå av och gränssnitten mellan dessa. Kom- ponenter kan exempelvis utgöras av hårdvara, t.ex. infrastrukturkom- ponenter, eller mjukvara i form av applikationer och plattformar. Ett gränssnitt kan t.ex. vara kommunikationsprotokoll eller hur kom- ponenterna ska sammankopplas rent fysiskt.</P>
<P class="p186 ft17">Med begreppet arkitektur avses även uppbyggnaden inom ett in- formationssystem, exempelvis i fråga hur olika entiteter inom infor- mationssystem tillåts kommunicera med varandra, samt beroenden mellan entiteter.</P>
<P class="p131 ft26"><SPAN class="ft26">7.7.5</SPAN><SPAN class="ft89">Separation</SPAN></P>
<P class="p360 ft20">Allmänt om separation</P>
<P class="p124 ft19">Ett informationssystem och programvaror och komponenter som ingår i det innehåller i regel både kända och okända sårbarheter som under vissa omständigheter kan nyttjas av en hotaktör. Vilken insats som krävs av en hotaktör för att utnyttja en sådan sårbarhet är till stor del beroende av hur informationssystemet exponeras.</P>
<P class="p11 ft18">Ett informationssystem som <SPAN class="ft45">inte kommunicerar </SPAN>med något annat informationssystem har generellt sett en låg grad av exponering gent- emot externa hotaktörer. Ett informationssystem som <SPAN class="ft45">kommunicerar </SPAN>med ett eller flera andra informationssystem har däremot en högre exponering, vilket också öppnar upp fler möjliga vägar till angrepp.</P>
<P class="p146 ft17">För att minska exponering av informationssystem som innehåller säkerhetsskyddsklassificerade uppgifter är separation mellan infor- mationssystem en viktig säkerhetsskyddsåtgärd.</P>
<P class="p149 ft17">Bestämmelser relaterade till separation av informationssystem återfinns i Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhets- skydd.</P>
<P class="p11 ft46">Av bestämmelserna i 4 kap. 20 § i PMFS 2019:2 framgår att verk- samhetsutövaren ska se till att informationssystem som är avsett för att behandla säkerhetsskyddsklassificerade uppgifter i säkerhetsskydds- klassen begränsat <SPAN class="ft60">hemlig </SPAN>eller <SPAN class="ft60">konfidentiell</SPAN>, <SPAN class="ft60">logiskt </SPAN>separeras från infor-</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">169</P>
</DIV>
</DIV>
<DIV id="page_171">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Informationssäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p189 ft21">mationssystem eller nätverk som inte omfattas av motsvarande krav på säkerhetsskydd.</P>
<P class="p104 ft18">Av 21 § samma föreskrifter framgår att verksamhetsutövaren ska se till att informationssystem som är avsett för att behandla säker- hetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen <SPAN class="ft45">hemlig </SPAN>eller <SPAN class="ft45">kvalificerat hemlig</SPAN>, <SPAN class="ft45">fysiskt </SPAN>separeras från informationssystem eller nätverk som inte omfattas av motsvarande krav på säkerhetsskydd. Informationssystem som är avsett för att behandla säkerhetsskydds- klassificerade uppgifter i säkerhetsskyddsklassen <SPAN class="ft45">hemlig </SPAN>eller <SPAN class="ft45">kvalifi- cerat hemlig</SPAN>, ska tillåta endast envägskommunikation vid import re- spektive export av data.</P>
<P class="p70 ft20">Logisk separation</P>
<P class="p220 ft18">Med logisk separation avses att möjligheten till kommunikation mellan informationssystem förhindras med stöd av mjuk- eller hård- vara. En verksamhetsutövare ska säkerställa att ett informations- system som är avsett för att behandla säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen <SPAN class="ft45">begränsat hemlig </SPAN>eller <SPAN class="ft45">konfiden- tiell</SPAN>, logiskt separeras från informationssystem eller nätverk som inte omfattas av motsvarande krav på säkerhetsskydd.</P>
<P class="p106 ft18">Ett informationssystem avsett för att behandla säkerhetsskydds- klassificerade uppgifter i säkerhetsskyddsklassen <SPAN class="ft45">begränsat hemlig </SPAN>eller <SPAN class="ft45">konfidentiell </SPAN>kan i vissa fall <SPAN class="ft45">dela </SPAN>infrastrukturkomponenter med ett informationssystem som inte omfattas av säkerhetsskydd. De tekniska lösningar som finns tillgängliga för att dela infrastruktur medför både risker och sårbarheter som en verksamhetsutövare be- höver hantera. Att dela infrastrukturkomponenter mellan sådana in- formationssystem bör därför ske restriktivt.</P>
<P class="p172 ft21">Vid logisk separation föreligger bl.a. följande risker:</P>
<P class="p34 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">sårbarheter i tekniken,</SPAN></P>
<P class="p34 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">sårbarheter i implementationen av tekniken,</SPAN></P>
<P class="p34 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">felaktiga konfigurationer.</SPAN></P>
<P class="p241 ft46">Om den virtuella infrastrukturen delas mellan ett informationssystem som behandlar säkerhetsskyddsklassificerade uppgifter och ett infor- mationssystem som inte omfattas av säkerhetsskydd kan en hotaktör</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">170</P>
</DIV>
</DIV>
<DIV id="page_172">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td23"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td24"><P class="p2 ft37">Informationssäkerhet</P></TD>
</TR>
</TABLE>
<P class="p244 ft17">angripa den virtuella infrastrukturen och får åtkomst till det andra informationssystemet med hjälp av en sårbarhet i det ena informa- tionssystemet.</P>
<P class="p11 ft18">Även om informationssystem avsedda för att behandla säkerhets- skyddsklassificerade uppgifter i säkerhetsskyddsklassen <SPAN class="ft45">begränsat hem- lig </SPAN>eller <SPAN class="ft45">konfidentiell </SPAN>inte ska kommunicera med informationssystem eller nätverk som saknar motsvarande krav på säkerhetsskydd, före- ligger ibland behov av sådan kommunikation. Om sådan kommu- nikation ska kunna realiseras måste verksamhetsutövaren <SPAN class="ft45">ansöka om undantag</SPAN>. Både Säkerhetspolisen och tillsynsmyndigheterna har möj- lighet att medge undantag från bestämmelserna i Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd. Innan en tillsyns- myndighet fattar beslut om undantag ska myndigheten <SPAN class="ft45">samråda </SPAN>med Säkerhetspolisen.</P>
<P class="p131 ft20">Fysisk separation</P>
<P class="p124 ft18">Med fysisk separation avses att ett informationssystem inte har några fysiska sammankopplingar med ett annat informationssystem, om det inte omfattas av motsvarande krav på säkerhetsskydd.</P>
<P class="p149 ft17">En verksamhetsutövare ska se till att informationssystem som är avsett för att behandla säkerhetsskyddsklassificerade uppgifter i säker- hetsskyddsklassen <SPAN class="ft49">hemlig </SPAN>eller <SPAN class="ft49">kvalificerat hemlig</SPAN>, fysiskt separeras från informationssystem eller nätverk som inte omfattas av motsva- rande krav på säkerhetsskydd.</P>
<P class="p147 ft26"><SPAN class="ft26">7.7.6</SPAN><SPAN class="ft89">Import och export av data</SPAN></P>
<P class="p232 ft18">Om data ska importeras till informationssystem avsett för att behandla säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen <SPAN class="ft45">be- gränsat hemlig </SPAN>eller <SPAN class="ft45">konfidentiell</SPAN>, från ett informationssystem som inte omfattas av säkerhetsskydd, behöver verksamhetsutövaren tillse att import görs på ett sådant sätt att informationssystemen inte kan kommunicera med varandra. En metod för genomföra sådan import kan vara att importera data via bärbar lagringsmedia.</P>
<P class="p111 ft46">För informationssystem avsett för att behandla säkerhetsskydds- klassificerade uppgifter i säkerhetsskyddsklassen <SPAN class="ft60">hemlig </SPAN>eller <SPAN class="ft60">kvalifi- cerat hemlig</SPAN>, får import och export av data endast ske via <SPAN class="ft60">envägskom-</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">171</P>
</DIV>
</DIV>
<DIV id="page_173">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Informationssäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft18"><SPAN class="ft45">munikation</SPAN>. Med envägskommunikation avses att information enbart kan flöda åt ett håll. Om import och export behöver utföras sam- tidigt ska dessa funktioner, så långt det är möjligt, <SPAN class="ft45">separeras </SPAN>för att göra det svårt att öppna upp en <SPAN class="ft45">dubbelriktad kommunikationskanal</SPAN>.</P>
<P class="p115 ft18">Vid import av data kan verksamhetsutövaren behöva en funktion som kan detektera förekomst av skadlig kod, eller på annat sätt veri- fiera integriteten i data som importeras. Ett tillvägagångsätt kan vara att exekvera data i ett fristående informationssystem, s.k. sandlåda (sand box). Med denna metod kan verksamhetsutövaren kontrollera innehållet och i förkommande fall ”tvätta” filerna eller förhindra filerna från att importeras.</P>
<P class="p70 ft26"><SPAN class="ft26">7.7.7</SPAN><SPAN class="ft89">Säkerhetszoner och kontrollerad kommunikation</SPAN></P>
<P class="p420 ft20">Allmänt</P>
<P class="p71 ft18">Ett sätt att minska exponeringen av ett informationssystem är att säkerställa att det kommunicerar på ett <SPAN class="ft45">kontrollerat </SPAN>sätt. Ett infor- mationssystem av betydelse för säkerhetskänslig verksamhet bör där- för utformas enligt principen om kontrollerad kommunikation. Med detta avses att verksamhetsutövaren först fastställer hur och på vilket sätt ett sådant informationssystem får kommunicera. Därefter bör verksamhetsutövaren införa lämpliga säkerhetskyddsåtgärder som säkerhetsställer att informationssystem endast tillåts kommunicera på ett kontrollerat sätt.</P>
<P class="p73 ft18">Bestämmelser relaterade till kontrollerad kommunikation återfinns i Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd. Av bestämmelserna i 4 kap. 19 § framgår att verksamhetsutövaren ska se till att informationssystem som har betydelse för säkerhetskänslig verksamhet kommunicerar på ett kontrollerat sätt med komponen- ter eller delsystem inom samma informationssystem, och kommuni- cerar på ett kontrollerat sätt med informationssystem eller nätverk som inte omfattas av krav på säkerhetsskydd.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">172</P>
</DIV>
</DIV>
<DIV id="page_174">
<DIV id="p174dimg1">
<INGENBILD zsrc="H9B363174x1.jpg/" id="p174img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td23"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td24"><P class="p2 ft37">Informationssäkerhet</P></TD>
</TR>
</TABLE>
<P class="p5 ft26"><SPAN class="ft26">7.7.8</SPAN><SPAN class="ft89">Säkerhetszoner</SPAN></P>
<P class="p232 ft18">Ett teoretiskt koncept som brukar användas för att åskådliggöra olika principer för att minska exponeringen av ett informationssystem är att modellera <SPAN class="ft45">olika säkerhetszoner</SPAN>. I denna kontext placeras ett in- formationssystem i en säkerhetszon baserat på hur skyddsvärt det är. Säkerhetskyddssåtgärder bör säkerställa att endast tillåten kommu- nikation kan ske från en zon till en nästliggande zon.<SPAN class="ft79">29 </SPAN>Informations- system som omfattas av motsvarande krav på säkerhetsskydd kan placeras i samma säkerhetszon.</P>
<P class="p216 ft17">En hotaktör med ett slumpmässigt mål har oftast inte kunskap och resurser som krävs för att få åtkomst till de mest skyddsvärda zonerna. En målinriktad hotaktör med mer kunskap och resurser kan försöka komma åt de mer skyddsvärda informationssystemen. En avancerad hotaktör kan förfoga över stora resurser, vilket kan möj- liggöra kompromettering av det mest skyddsvärda informations- systemen.</P>
<P class="p111 ft53">Informationssystem kan i vissa fall vara placerade inom samma säkerhetszon och kan kommunicera direkt med varandra och dela infrastrukturkomponenter. Kommunikation mellan dessa bör dock ske på ett kontrollerat sätt, t.ex. med hjälp av brandvägg.</P>
<P class="p224 ft26"><SPAN class="ft26">7.7.9</SPAN><SPAN class="ft89">Nödvändig kommunikation</SPAN></P>
<P class="p148 ft17">För att fastställa <SPAN class="ft49">vilken </SPAN>kommunikation som ska <SPAN class="ft49">tillåtas </SPAN>i ett infor- mationssystem och vilka skyddsåtgärder som är lämpliga för att för- hindra otillåten kommunikation kan en verksamhetsutövare genom- föra en hotmodellering.</P>
<P class="p131 ft20">Kommunicering på ett kontrollerat sätt</P>
<P class="p232 ft46">Ett informationssystem innehåller flera olika entiteter (användare, funktioner m.m.), som kommunicerar med varandra för att utbyta information. När en entitet tillåts att kommunicera med en annan öpp- nas möjliga vägar till angrepp som kan nyttjas av en hotaktör. Ett annat sätt att beskriva detta är att entiteterna exponerar en angreppsyta.</P>
<P class="p421 ft58"><SPAN class="ft56">29</SPAN><SPAN class="ft96">Det bör därför exempelvis inte vara möjligt att upprätta kommunikation direkt från zon 4 till zon 2 eller 1, utan att passera mellanliggande zon(er) där data verifieras innan de skickas vidare.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">173</P>
</DIV>
</DIV>
<DIV id="page_175">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Informationssäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p89 ft18">Med begreppet kommunicerar på ett kontrollerat sätt avses att verksamhetsutövaren har gjort ett medvetet ställningstagande kring hur entiteter tillåts kommunicera sinsemellan, samt hur dessa får kom- municera med entiteter i andra informationssystem. Med begreppet avses även att verksamhetsutövaren har infört säkerhetsskyddsåt- gärder som förhindrar kommunikation som inte är tillåten. En viktig princip att beakta för att kunna uppnå kontrollerad kommunikation är att endast nödvändig kommunikation mellan entiteter ska tillåtas, och övrig kommunikation förhindras.</P>
<P class="p82 ft18">För att minska exponering av angreppsytor bör verksamhetsut- övaren tillse att informationssystem som har betydelse för säker- hetskänslig verksamhet endast kommunicerar på ett kontrollerat sätt med komponenter eller delsystem inom samma informationssystem, samt kommunicerar på ett kontrollerat sätt med informationssystem eller nätverk som inte omfattas av krav på säkerhetsskydd. Åtkomst- kontroll avgör vilka funktioner som får kommunicera med varandra, vilket medför att möjliga vägar till angrepp kraftigt reduceras. Endast specifikt utpekade funktioner bör kunna kommunicera med varandra.</P>
<P class="p83 ft19">Kommunikation mellan entiteter kan även begränsas genom exem- pelvis VLAN och brandväggar som endast tillåter godkänd kommu- nikation mellan olika nätsegment. Stödjande eller säkerhetsrelaterade funktioner i ett informationssystem, t.ex. administration (manage- ment), loggning eller säkerhetskopiering bör utföras och hanteras i avskilda nätsegment. Syftet med detta är att minska exponering av angreppsytor och begränsa möjligheter för en hotaktör att få åtkomst till känsliga resurser som kan ge administrativa behörigheter eller påverka spårbarheten. Vidare bör kommunikation till sådana nätseg- ment, när så är möjligt, krypteras för att förhindra obehörig insyn och påverkan.</P>
<P class="p82 ft53">Vid kommunikation av säkerhetsskyddsklassificerade uppgifter över förbindelser utanför verksamhetsutövarens kontroll, krävs krypto- grafiska funktioner som har godkänts av Försvarsmakten.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">174</P>
</DIV>
</DIV>
<DIV id="page_176">
<DIV id="p176dimg1">
<INGENBILD zsrc="H9B363176x1.jpg/" id="p176img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td23"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td24"><P class="p2 ft37">Informationssäkerhet</P></TD>
</TR>
</TABLE>
<P class="p5 ft26"><SPAN class="ft26">7.7.10</SPAN><SPAN class="ft140">Kryptering</SPAN></P>
<P class="p416 ft20">Allmänt om kryptering</P>
<P class="p91 ft18">Datakommunikation som inte är krypterad kan med enkla medel avlyssnas av någon som har tillgång till kommunikationen. Det- samma gäller för information på lagringsmedia. Kryptering är därför en viktig åtgärd för att skydda information från obehörig åtkomst när den transporteras i ett nätverk, eller när den lagras. Kryptering kan även användas för att skydda information mot förändring genom så kallad elektronisk signering, vilket också kan användas för att be- visa en identitet (autentisering) med exempelvis smarta kort.</P>
<P class="p58 ft18">Av bestämmelserna i 3 kap. 5 § och 7 kap. 5 § i säkerhetsskyddsför- ordningen (2018:658) framgår att innan säkerhetsskyddsklassificerade uppgifter behandlas i ett informationssystem utanför verksamhets- utövarens kontroll ska denne försäkra sig om att säkerhetsskyddet för uppgifterna i systemet är tillräckligt. Om säkerhetsskyddsklassi- ficerade uppgifter ska kommuniceras till ett informationssystem utan- för verksamhetsutövarens kontroll ska uppgifterna skyddas med hjälp av kryptografiska funktioner som har godkänts av Försvarsmakten.</P>
<P class="p186 ft17">Bestämmelser om kryptering finns även i Säkerhetspolisens före- skrifter (PMFS 2019:2) om säkerhetsskydd.<SPAN class="ft54">30</SPAN></P>
<P class="p58 ft18">Av bestämmelserna i 4 kap. 22 § i PMFS 2019:2 framgår att verk- samhetsutövaren ska analysera behovet av användning av krypto- grafiska funktioner till skydd för säkerhetsskyddsklassificerade upp- gifter och uppgifter som behöver skyddas från ett riktighetsperspektiv. En verksamhetsutövare behöver analysera behovet av kryptografiska funktioner för data i vila och data under transport och därefter införa de skyddsåtgärder som är motiverade. Med data i vila menas att den lagras på ett lagringsmedium såsom exempelvis en hårddisk eller en mobil enhet. Med data under transport menas att den rör sig mellan olika komponenter i ett datanätverk.</P>
<P class="p111 ft46">För att kryptering av information ska bli robust krävs en kedja av fungerade åtgärder. I detta ingår bl.a. säker hantering av kryptonyck- lar, skydd av kryptografisk utrustning och teknisk implementation av den kryptografiska funktionaliteten i informationssystemet.</P>
<P class="p422 ft41"><SPAN class="ft56">30</SPAN><SPAN class="ft82">3 kap. 21 § och 4 kap. 22 och 28 §§ Säkerhetspolisens föreskrifter (PMFS 2019:2) om säker- hetsskydd.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">175</P>
</DIV>
</DIV>
<DIV id="page_177">
<DIV id="p177dimg1">
<INGENBILD zsrc="H9B363177x1.jpg/" id="p177img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Informationssäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p255 ft20">Chiffersviter</P>
<P class="p220 ft45">Chiffersviter <SPAN class="ft18">används bl.a. vid handskakning i </SPAN>kommunikationsproto- kollet Transport Layer Security (TLS)<SPAN class="ft18">, som är vanligt förekommande för kryptering av datakommunikation. Vid handskakningen för- handlar parterna om vilka algoritmer som ska användas vid kommu- nikationen. I detta sammanhang är det viktigt att handskakningen endast tillåter </SPAN>algoritmer <SPAN class="ft18">som verksamhetsutövaren har godkänt för ändamålet. Med jämna mellanrum upptäcks sårbarheter i de algorit- mer som används för kryptografi. Att genomföra omvärldsbevak- ning för att inhämta av information om sådana sårbarheter är därför viktigt för att verksamhetsutövaren ska ha möjlighet att byta ut brist- fälliga algoritmer eller implementationer i god tid.</SPAN></P>
<P class="p70 ft20">Public Key Infrastructure (PKI)</P>
<P class="p71 ft18">För att användare och komponenter inom ett informationssystem på ett enkelt sätt ska kunna verifiera identiteter och andra entiteter i informationssystemet kan s.k. <SPAN class="ft45">Public Key Infrastructure (PKI) </SPAN>an- vändas. PKI innebär att verksamhetsutövaren implementerar en in- frastruktur för <SPAN class="ft45">certifikat </SPAN>och <SPAN class="ft45">nyckelhantering</SPAN>, där en eller flera certi- fikatutfärdare<SPAN class="ft79">31 </SPAN>är utgivare av digitala certifikat. Digitala certifikat knyter en publik nyckel till ett subjekt, t.ex. ett användarnamn, på certifikatet och signeras elektroniskt av certifikatutfärdaren. Förli- tande parter kan sedan verifiera att en motpart har en privat nyckel som står i relation till en publik nyckel och som i sin tur är elek- troniskt signerad av, en av dem, betrodd certifikatutfärdare.</P>
<P class="p73 ft46"><NOBR>PKI-infrastrukturen</NOBR> kan användas för olika tillämpningar, bl.a. krypterade anslutningar mellan klienter och servrar, signerad och/ eller krypterad <NOBR>e-post</NOBR> eller tvåfaktorsinloggning med s.k. smarta kort.<SPAN class="ft97">32</SPAN></P>
<P class="p255 ft20">Krypteringsnyckel</P>
<P class="p71 ft18">Hur krypteringsnycklar skyddas är avgörande för hur säker en funk- tion för kryptering kan anses vara. Att säkerställa att ingen obehörig kan få åtkomst till de nycklar som används vid kryptering, och i före-</P>
<P class="p413 ft87"><SPAN class="ft56">31</SPAN><SPAN class="ft86">Certificate Authority.</SPAN></P>
<P class="p250 ft41"><SPAN class="ft56">32</SPAN><SPAN class="ft81">Hantering av </SPAN><NOBR>PKI-miljön</NOBR> och rutiner kring utfärdande av digitala certifikat beskrivs i ett så kallat Certificate Practice Statement (CPS).</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">176</P>
</DIV>
</DIV>
<DIV id="page_178">
<DIV id="p178dimg1">
<INGENBILD zsrc="H9B363178x1.jpg/" id="p178img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td23"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td24"><P class="p2 ft37">Informationssäkerhet</P></TD>
</TR>
</TABLE>
<P class="p130 ft19">kommande fall signering, är därför viktigt. En verksamhetsutövare kan behöva reglera nyckelhantering både ur administrativt och tek- niskt perspektiv, t.ex. genom bestämmelser om hur och när krypter- ingsnycklar utfärdas, byts ut och förstörs.</P>
<P class="p11 ft46">Krypteringsnycklar bör säkerhetskopieras centralt så att dekryp- tering är möjlig även om originalnyckeln har försvunnit.<SPAN class="ft97">33 </SPAN>Signer- ingsnycklar bör dock inte säkerhetskopieras då det påverkar signer- ingens oavvislighet, d.v.s. att innehavaren av signeringsnyckel kan hävda att någon annan har signerat ett objekt i dennes namn.</P>
<P class="p224 ft20">Kryptografiska funktioner som godkänts av Försvarsmakten</P>
<P class="p232 ft17">Om säkerhetsskyddsklassificerade uppgifter ska <SPAN class="ft49">kommuniceras </SPAN>till ett informationssystem <SPAN class="ft49">utanför verksamhetsutövarens kontroll</SPAN>, ska upp- gifterna skyddas med hjälp av kryptografiska funktioner som har godkänts av Försvarsmakten.</P>
<P class="p216 ft17">Med begreppet kontroll menas att verksamhetsutövaren ska ha sådan kontroll över den förbindelse som används för att överföra (kommunicera) de säkerhetsskyddsklassificerade uppgifterna, att obe- hörig avlyssning kan sägas vara utesluten.</P>
<P class="p11 ft19">Om verksamhetsutövaren saknar sådan kontroll ska i stället krypto- grafiska funktioner som har godkänts av Försvarsmakten användas för att skydda de säkerhetsskyddsklassificerade uppgifterna vid över- föring. I praktiken innebär begreppet kontroll att verksamhetsutöva- ren ska besitta både administrativ kontroll över informationssyste- met/datanätet och fysisk kontroll över förbindelsen så att obehörig åtkomst för avlyssning kan förhindras.</P>
<P class="p11 ft18">Försvarsmakten är den myndighet som får utfärda föreskrifter om kryptografiska funktioner som är avsedda för skydd av säkerhets- känslig verksamhet. Vid behov av kryptografiska funktioner som god- känts av Försvarsmakten kan en verksamhetsutövare i första hand kontakta Myndigheten för samhällsskydd och beredskap (MSB) som har i uppdrag att samordna beställningar av signalskydd.</P>
<P class="p423 ft41"><SPAN class="ft56">33</SPAN><SPAN class="ft82">S.k. Key Escrow.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">177</P>
</DIV>
</DIV>
<DIV id="page_179">
<DIV id="p179dimg1">
<INGENBILD zsrc="H9B363179x1.jpg/" id="p179img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Informationssäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p201 ft26"><SPAN class="ft26">7.7.11</SPAN><SPAN class="ft140">Identitets- och behörighetshantering</SPAN></P>
<P class="p413 ft20">Allmänt</P>
<P class="p220 ft19">För att säkerställa att endast behöriga får åtkomst till ett informa- tionssystem och spårbarhet till olika händelser är en verksamhets- utövares identitets- och behörighetshantering ett viktigt arbete. Detta arbete innefattar många delar, allt från <NOBR>ID-kontroll</NOBR> för att verifiera identiteten på en person som ska tilldelas ett användarkonto i ett informationssystem, till att följa upp och säkerställa att en användare har rätt behörigheter över tid.</P>
<P class="p72 ft17">Bestämmelser om identitets och behörighetshantering återfinns bland annat i Säkerhetspolisens föreskrifter (PMFS 2019:2) om säker- hetsskydd.</P>
<P class="p102 ft20">Behörighetsstyrning</P>
<P class="p71 ft46">Åtkomst inom ett informationssystem baseras som regel på en an- vändare (eller ett användarkonto) till vilket det tilldelas behörigheter som styr vad användaren kommer åt. Med behörighetsstyrning avses främst administrativa åtgärder för att styra och hantera åtkomst till och inom ett informationssystem. De administrativa åtgärderna handlar främst om processer, rutiner och regler som beskriver hur verksamhetsutövarens ska hantera användare och deras behörigheter i ett informationssystem. Viktiga perspektiv att beakta vid behörig- hetsstyrning är tilldelning, förändring och uppföljning av användare och behörigheter.</P>
<P class="p424 ft18">Huvudprincipen vid behörighetsstyrning för ett informations- system av betydelse för säkerhetskänslig verksamhet är att en använ- dare av ett sådant informationssystem endast tilldelas de behörig- heter som denne behöver för att kunna utföra sina arbetsuppgifter.<SPAN class="ft79">34 </SPAN>En annan viktig princip att beakta vid behörighetsstyrning är att till- delade behörigheter bör tidsbegränsas.</P>
<P class="p425 ft113"><SPAN class="ft56">34</SPAN><SPAN class="ft112">Denna princip beskrivs bl.a. i internationella standarder och facklitteratur. I engelsk fack- litteratur används begreppet ”least privileged access” som benämning för denna princip.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">178</P>
</DIV>
</DIV>
<DIV id="page_180">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td23"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td24"><P class="p2 ft37">Informationssäkerhet</P></TD>
</TR>
</TABLE>
<P class="p90 ft20">Identitetshantering och spårbarhet över tid</P>
<P class="p91 ft18">En digital identitet kan beskrivas som en representation av en fysisk individ i ett informationssystem. För att en individ ska kunna an- vända ett informationssystem skapas en digital identitet, i de flesta fall i form av ett användarkonto. Ett användarkonto tilldelas i sin tur behörigheter som ger åtkomst till olika resurser i informationssystemet.</P>
<P class="p111 ft19">Alla utställda identiteter i ett informationssystem som har bety- delse för säkerhetskänslig verksamhet ska vara unika över tid, det vill säga över hela informationssystemets livstid. Anledningen till detta är att identiteten ska kunna knytas till en unik fysisk person under hela informationssystemets livstid, samt att spårbarheten för vad olika individer gjort i informationssystemet ska vara tillförlitlig.</P>
<P class="p58 ft18">Åtkomst inom ett informationssystem ska vara spårbar till an- tingen individ, system eller resurs. Spårbarheten till individ är viktigt vid brottsutredningar samt för att kunna upptäcka och utreda inci- denter. Det finns dock ofta konton i informationssystem som inte kan kopplas till en fysisk individ, t.ex. tjänstekonton som används främst för att utföra automatiserat bakgrundsarbete i ett informations- system. Även om tjänstekonton inte går att koppla till en fysisk indi- vid är det lika viktigt att dessa identiteter är och förblir unika över tid.</P>
<P class="p111 ft17">Identiteter kan ställas ut på många sätt och i olika former. När verksamhetsutövare tar fram processer, rutiner och regler inom ramen för sin behörighetsstyrning är det viktigt att säkerställa att:</P>
<P class="p237 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">användarkonton inte återanvänds under informationssystemets livstid,</SPAN></P>
<P class="p237 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">användarkonton aldrig tas bort från ett informationssystem, utan i stället avaktiveras om de inte används,</SPAN></P>
<P class="p134 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">det sker kontinuerlig uppföljning av tilldelade användarkonton och deras behörighet.</SPAN></P>
<P class="p426 ft17">Det är även viktigt att verksamhetsutövaren har processer som säker- hetsställer att alla identiteter i ett informationssystem har utgivits på ett tillförlitligt sätt.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">179</P>
</DIV>
</DIV>
<DIV id="page_181">
<DIV id="p181dimg1">
<INGENBILD zsrc="H9B363181x1.jpg/" id="p181img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Informationssäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p255 ft20">Behörighetskontrollsystem</P>
<P class="p220 ft19">En teknisk funktion som styr användarnas åtkomst i ett informa- tionssystem, eller mellan informationssystem, benämns behörighets- kontrollsystem. Ett behörighetskontrollsystem baseras ofta på olika roller som kan tilldelas till användarna. Dessa roller styr användarnas skriv- och läsrättigheter till den information som finns i informa- tionssystemet. För att förenkla hantering samt uppföljning av be- hörigheter hanteras detta många gånger i en central funktion, ofta benämnd centralt behörighetskontrollsystem.</P>
<P class="p72 ft17">Ett centralt behörighetskontrollsystem kan utgöra ett intressant angreppsmål. Det är därför viktigt att verksamhetsutövaren vidtar adekvata säkerhetsskyddsåtgärder för att förhindra att systemet ut- gör den svagaste kedjan i länken, i fråga om kontrollen av åtkomst till information.</P>
<P class="p73 ft18">Ett centralt behörighetskontrollsystem ska ges ett säkerhetsskydd som motsvarar det högsta säkerhetsskydd som de anslutna infor- mationssystemen omges av. Vid val av skyddsåtgärder för ett centralt behörighetskontrollsystem blir därför säkerhetsskyddsklassificeringen av informationen i de anslutna informationssystemen ett viktigt in- gångsvärde. Skyddsåtgärderna bör omfatta såväl tekniska som admi- nistrativa säkerhetsåtgärder.</P>
<P class="p70 ft26"><SPAN class="ft26">7.7.12</SPAN><SPAN class="ft140">Intrångsskydd och intrångsdetektering</SPAN></P>
<P class="p420 ft20">Allmänt</P>
<P class="p71 ft18">Intrångsskydd beskrivs som administrativa eller tekniska åtgärder som vidtas för att skydda informationssystem mot obehörig åtkomst.<SPAN class="ft79">35 </SPAN>Bestämmelser om intrångsskydd och intrångsdetektering finns i Säker- hetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd. I före- skrifterna beskrivs intrångsdetektering som administrativa eller tek- niska åtgärder som vidtas för att detektera intrång eller försök eller förberedelse till intrång i informationssystem.</P>
<P class="p73 ft46">Av bestämmelserna i 4 kap. 29 § i PMFS 2019:2 framgår att verk- samhetsutövaren ska förse ett informationssystem som är avsett för att behandla säkerhetsskyddsklassificerade uppgifter i säkerhetsskydds-</P>
<P class="p427 ft41"><SPAN class="ft56">35</SPAN><SPAN class="ft81">3 kap. 4 § säkerhetsskyddsförordningen (2018:658) och 4 kap. </SPAN><NOBR>29–30</NOBR> §§ Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">180</P>
</DIV>
</DIV>
<DIV id="page_182">
<DIV id="p182dimg1">
<INGENBILD zsrc="H9B363182x1.jpg/" id="p182img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td23"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td24"><P class="p2 ft37">Informationssäkerhet</P></TD>
</TR>
</TABLE>
<P class="p244 ft49"><SPAN class="ft17">klassen </SPAN>konfidentiell <SPAN class="ft17">eller </SPAN>högre <SPAN class="ft17">och som </SPAN>kommunicerar med andra informationssystem<SPAN class="ft17">, med funktioner för intrångsskydd och intrångs- detektering.</SPAN></P>
<P class="p11 ft46">Av 30 § framgår att verksamhetsutövaren även ska förse ett in- formationssystem som <SPAN class="ft60">kommunicerar med andra informationssystem </SPAN>och där en incident kan medföra <SPAN class="ft60">mer än ringa skada för Sveriges säker- het </SPAN>med funktioner för intrångsdetektering och intrångsskydd.</P>
<P class="p5 ft20">Tekniska hjälpmedel</P>
<P class="p351 ft17"><SPAN class="ft49">Intrångsskydd </SPAN>(Intrusion Prevention) har som funktion att stoppa eller blockera oönskade aktiviteter som pågår i ett nätverk eller i ett informationssystem.</P>
<P class="p11 ft19">Syftet med <SPAN class="ft63">intrångsdetektering </SPAN>(Intrusion Detection) är att iden- tifiera och göra verksamhetsutövaren uppmärksam på oönskade akti- viteter som pågår i ett nätverk eller i ett informationssystem.</P>
<P class="p58 ft19">Funktioner för och intrångsskydd och intrångsdetektering kan i praktiken se ut på olika sätt, från nätverksbaserade produkter<SPAN class="ft101">36 </SPAN>till programvara som installeras i någon del av informationssystemet<SPAN class="ft101">37</SPAN>. Det är viktigt att de system som avses användas kan analysera de pro- tokoll som används inom systemet samt identifiera angrepp på dessa protokoll eller tjänster. En verksamhetsutövare måste således analy- sera var informationssystemet är exponerat och var sådana säker- hetsfunktioner ska implementeras.</P>
<P class="p11 ft18">Nätverksbaserade produkter för intrångsdetektering och intrångs- skydd kan dock bli mindre effektiva till följd av den tekniska utveck- lingen, där en stor del av all nätverkstrafik är krypterad och därmed svårare att inspektera. I vissa fall är det möjligt att t.ex. placera server- tjänster bakom en lastbalanserare som handhar kryptering gentemot klienter. Dekryptering av nätverkstrafiken sker då innan denna skickas vidare till servern, vilket möjliggör inspektion av nätverkstrafiken.</P>
<P class="p111 ft46">Systemnära intrångsskydd och intrångsdetektering kan ge bättre skydds- och detekteringsförmåga än nätverksbaserade motsvarigheter,</P>
<P class="p428 ft85"><SPAN class="ft56">36</SPAN><SPAN class="ft84">Nätverksbaserade produkter tar oftast sikte på att upptäcka skadliga aktiviteter i nätverks- trafik benämns </SPAN><SPAN class="ft93">Network Intrusion Detection System </SPAN>(NIDS). Produkter som även förhindrar skadliga aktiviteter i nätverkstrafik benämns vanligen <SPAN class="ft93">Network Intrusion Prevention System </SPAN>(NIPS).</P>
<P class="p228 ft113"><SPAN class="ft56">37</SPAN><SPAN class="ft119">Operativsystemnära mekanismer för detektion eller prevention benämns </SPAN><SPAN class="ft121">Host Intrustion Detection System </SPAN>(HIDS) respektive <SPAN class="ft121">Host Intrusion Prevention System </SPAN>(HIPS). Utöver dessa finns även applikationsnära skydd som är specialiserade på vissa nätverksprotokoll, t.ex. <SPAN class="ft121">Web Application Firewalls </SPAN>(WAF) för webbaserad kommunikation.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">181</P>
</DIV>
</DIV>
<DIV id="page_183">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Informationssäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p189 ft17">eftersom de ligger närmare systemet där händelsen sker. Det är dock av vikt att även implementera säkerhetsövervakning som kan agera på larm då en hotaktör i de flesta fall kan ta sig runt dessa skydd om tid ges.</P>
<P class="p102 ft26"><SPAN class="ft26">7.7.13</SPAN><SPAN class="ft140">Granskning vid anskaffning och utveckling</SPAN></P>
<P class="p220 ft18">Under arbetet med anskaffning eller utveckling av ett informations- system av betydelse för säkerhetskänslig verksamhet är den <SPAN class="ft45">särskilda säkerhetsskyddsbedömningen </SPAN>central. Genom denna fastställer verk- samhetsutövaren vilka säkerhetsskyddsåtgärder <SPAN class="ft45">(säkerhetskrav) </SPAN>i in- formationssystemet som är motiverade utifrån hur informations- systemet ska användas. Den särskilda säkerhetsskyddsbedömningen blir därefter ett stöd för verksamhetsutövaren när säkerhetsskyddet ska utformas och granskas så att dessa krav tillgodoses.</P>
<P class="p105 ft17">I 4 kap 4 § Säkerhetspolisens föreskrifter (PMFS 2019:2) om säker- hetsskydd anges att verksamhetsutövaren ska se till att <SPAN class="ft49">egenutvecklad programvara </SPAN>i informationssystem som har betydelse för säkerhets- känslig verksamhet <SPAN class="ft49">granskas </SPAN>för att upptäcka och åtgärda säkerhets- brister och sårbarheter.</P>
<P class="p106 ft46">I 5 § anges att verksamhetsutövaren ska se till att <SPAN class="ft60">tredjepartspro- gramvara </SPAN>i informationssystem som har betydelse för säkerhetskäns- lig verksamhet <SPAN class="ft60">granskas </SPAN>för att upptäcka och åtgärda säkerhetsbrister och sårbarheter, eller att programvaran på annat sätt bedöms vara tillförlitlig från säkerhetsskyddssynpunkt.</P>
<P class="p345 ft26"><SPAN class="ft26">7.7.14</SPAN><SPAN class="ft140">Drift- och testmiljö</SPAN></P>
<P class="p220 ft19">Om ett informationssystem ska implementeras i en befintlig <NOBR>it-miljö</NOBR> (driftmiljö) bör <SPAN class="ft63">testning </SPAN>av informationssystemet utföras i åtskild it- miljö (testmiljö), som på ett realistiskt sätt efterliknar den <NOBR>it-miljö</NOBR> där informationssystemet ska implementeras. Syftet med testmiljön är att säkerställa att sårbarheter inte införs i driftmiljön, att undvika störningar i driftmiljön, samt att testerna i övrigt blir tillförlitliga.</P>
<P class="p105 ft17">Förutom att driftmiljön bör vara separerad från testmiljön, bör även testmiljön vara separerad från den <NOBR>it-miljö</NOBR> där utveckling sker. Verksamhetsutövaren bör således även upprätta en så kallad utveck- lingsmiljö.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">182</P>
</DIV>
</DIV>
<DIV id="page_184">
<DIV id="p184dimg1">
<INGENBILD zsrc="H9B363184x1.jpg/" id="p184img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td23"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td24"><P class="p2 ft37">Informationssäkerhet</P></TD>
</TR>
</TABLE>
<P class="p5 ft48"><SPAN class="ft48">7.8</SPAN><SPAN class="ft78">Säkerhetskonfiguration av informationssystem</SPAN></P>
<P class="p6 ft26"><SPAN class="ft26">7.8.1</SPAN><SPAN class="ft89">Allmänt om säkerhetskonfiguration</SPAN></P>
<P class="p232 ft18"><SPAN class="ft45">Säkerhetskonfigurering</SPAN>, s.k. härdning, innebär att operativsystem, nät- verkskomponenter, andra komponenter, inbyggda programvaror, data- baser och andra applikationer som ingår i ett informationssystem konfigureras på ett så säkert sätt som möjligt.<SPAN class="ft79">38 </SPAN>Exempelvis kan åt- komsträttigheterna i systemet och de delar som ingår begränsas, möjliga vägar till angrepp via sårbara funktioner i infrastrukturkom- ponenter och applikationer skäras av och exponering mot andra in- formationssystem eller externa enheter förhindras.</P>
<P class="p58 ft18">Bestämmelser om säkerhetskonfigurering återfinns i Säkerhets- polisens föreskrifter (PMFS 2019:2) om säkerhetsskydd. Av bestäm- melserna i 4 kap. 23 § i PMFS 2019:2 framgår att verksamhetsutövaren ska för informationssystem som har betydelse för säkerhetskänslig verksamhet tillämpa konfiguration som använder lämpliga säker- hetsfunktioner, stänger av funktioner som inte används och även i övrigt reducerar sårbarheter.</P>
<P class="p11 ft19">S.k. härdning utgår från principen att det som inte behövs för in- formationssystemets definierade funktion ska vara begränsat avse- ende åtkomst, avstängt eller borttaget ur informationssystemet. I arbe- tet med härdning behövs dock en avvägning av vilka åtgärder som ska vidtas, där man särskilt bör beakta hur informationssystemet ex- poneras samt vilken hotbild verksamhetsutövaren har att förhålla sig till. Härdning bör ske utan att informationssystemets stabilitet på- verkas och därutöver kan användarvänligheten vara en aspekt att beakta. Härdning bör vara en del av en standardkonfiguration och automa- tiseras så långt det är möjligt för att minimera risken för felkon- figurationer.</P>
<P class="p187 ft19">För att härda ett informationssystem finns det olika <SPAN class="ft63">rekommen- dationer </SPAN>från både tillverkare och andra aktörer på marknaden. Till- verkarspecifika rekommendationer eller andra allmänt kända och verifierade inställningar bör i första hand användas om sådana finns. Kvaliteten på rekommendationerna kan dock vara svår att bedöma, och varierar från tillverkare till tillverkare.</P>
<P class="p429 ft41"><SPAN class="ft56">38</SPAN><SPAN class="ft82">3 kap. 4 § säkerhetsskyddsförordningen (2018:658) och 4 kap. 23 § Säkerhetspolisens före- skrifter (PMFS 2019:2) om säkerhetsskydd.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">183</P>
</DIV>
</DIV>
<DIV id="page_185">
<DIV id="p185dimg1">
<INGENBILD zsrc="H9B363185x1.jpg/" id="p185img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Informationssäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p276 ft17">Som alternativ till dessa finns olika <SPAN class="ft49">standarder </SPAN>utgivna av olika <SPAN class="ft49">oberoende organisationer</SPAN>. Dessa är oftast mer konceptuella och om- fattar de vanligaste delarna i ett informationssystem.</P>
<P class="p73 ft46">För att säkerställa att en hotaktör inte ska kunna påverka ett in- formationssystem behöver säkerhetsskyddsåtgärderna utformas så att de kompletterar och överlappar varandra. Ett sätt att åstadkomma detta är att säkerhetsskyddsåtgärderna <SPAN class="ft60">byggs i flera lager.</SPAN><SPAN class="ft97">39</SPAN></P>
<P class="p191 ft26"><SPAN class="ft26">7.8.2</SPAN><SPAN class="ft89">Skydd mot skadlig kod</SPAN></P>
<P class="p413 ft20">Allmänt om skydd mot skadlig kod</P>
<P class="p289 ft17"><SPAN class="ft49">Skadlig kod </SPAN>är ett samlingsnamn för olika typer av programvaror som orsakar avsiktlig störning eller skada.<SPAN class="ft54">40 </SPAN>I begreppet skadlig kod ingår bl.a. virus, maskar, trojaner, exploits och rootkits.</P>
<P class="p72 ft17">Skydd mot skadlig kod syftar till att skydda informationssystemet mot programkod som är tänkt att användas för att otillbörligt ändra, röja, exfiltrera, förstöra eller avlyssna uppgifter, filer eller program- vara som lagras eller kommuniceras till eller från ett informations- system.</P>
<P class="p73 ft18">Bestämmelser om skydd mot skadlig kod finns i Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd.<SPAN class="ft79">41 </SPAN>Av bestämmelserna i 4 kap. 27 § i PMFS 2019:2 framgår att verksamhetsutövaren ska för informationssystem som har betydelse för säkerhetskänslig verksam- het analysera behovet av och i förekommande fall besluta att använda de funktioner för skydd mot skadlig kod som är nödvändiga från säkerhetsskyddssynpunkt.</P>
<P class="p430 ft87"><SPAN class="ft56">39</SPAN><SPAN class="ft86">Säkerhetsskyddåtgärder att implementera kan t.ex. vara:</SPAN></P>
<P class="p431 ft87"><SPAN class="ft58">–</SPAN><SPAN class="ft86">fysisk plombering för att upptäcka eventuell manipulation av hårdvara,</SPAN></P>
<P class="p431 ft85"><SPAN class="ft58">–</SPAN><SPAN class="ft84">Secure Boot för verifiering av uppstartsprocess,</SPAN></P>
<P class="p431 ft85"><SPAN class="ft58">–</SPAN><SPAN class="ft84">hårddiskkryptering,</SPAN></P>
<P class="p431 ft85"><SPAN class="ft58">–</SPAN><SPAN class="ft84">skydd av systemfiler (åtkomstkontroll),</SPAN></P>
<P class="p431 ft85"><SPAN class="ft58">–</SPAN><SPAN class="ft84">vitlistning av godkända hårdvaruenheter,</SPAN></P>
<P class="p431 ft85"><SPAN class="ft58">–</SPAN><SPAN class="ft84">vitlistning och signering av godkända applikationer,</SPAN></P>
<P class="p431 ft85"><SPAN class="ft58">–</SPAN><SPAN class="ft84">användning av lokal brandvägg,</SPAN></P>
<P class="p431 ft85"><SPAN class="ft58">–</SPAN><SPAN class="ft84">skydd mot skadlig kod,</SPAN></P>
<P class="p431 ft85"><SPAN class="ft58">–</SPAN><SPAN class="ft84">detektering och skydd mot skadliga aktiviteter (intrångsdetektering/intrångsskydd).</SPAN></P>
<P class="p222 ft85"><SPAN class="ft56">40</SPAN><SPAN class="ft84">I engelsk facklitteratur används begreppet </SPAN><SPAN class="ft93">malicious code </SPAN>eller kortformen <SPAN class="ft93">malware</SPAN>.</P>
<P class="p223 ft41"><SPAN class="ft56">41</SPAN><SPAN class="ft81">3 kap. 4 § säkerhetsskyddsförordningen (2018:658) och 4 kap. 27 § Säkerhetspolisens före- skrifter (PMFS 2019:2) om säkerhetsskydd.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">184</P>
</DIV>
</DIV>
<DIV id="page_186">
<DIV id="p186dimg1">
<INGENBILD zsrc="H9B363186x1.jpg/" id="p186img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td23"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td24"><P class="p2 ft37">Informationssäkerhet</P></TD>
</TR>
</TABLE>
<P class="p90 ft20">Tekniska hjälpmedel</P>
<P class="p351 ft17">En verksamhetsutövare som har ett informationssystem som är av be- tydelse för säkerhetskänslig verksamhet behöver i första hand göra en analys av vilka funktioner för skydd mot skadlig kod som är lämp- liga utifrån hur informationssystemet ska användas. Därefter behö- ver verksamhetsutövaren besluta vilka funktioner som ska användas, och slutligen införa dessa funktioner till skydd av informations- systemet.<SPAN class="ft54">42</SPAN></P>
<P class="p111 ft18">Det vanligaste skyddet mot skadlig kod är antivirusprogramvara, som med hjälp av signaturer söker efter hela eller delar av filer som kan ha ett skadligt beteende. Det är dock enkelt för en hotaktör att skapa nya versioner av skadlig kod som inte upptäcks av antivirus- programvaran då signaturen inte längre matchar. Antivirusprogram- vara kan därför vara ett svagt skydd mot en kvalificerad aktör, men ska ses som ett grundläggande skydd av informationssystem.</P>
<P class="p187 ft17">Utöver antivirusprogramvaror finns olika säkerhetsprodukter som ytterligare kan stärka skyddet. Initialt bör dock inbyggda funk- tioner användas så långt det är möjligt för att minimera kostnader och komplexitet. Vidare bör rutiner för att kontrollera att skyddet mot skadlig kod är aktivt tas fram och dokumenteras.</P>
<P class="p131 ft48"><SPAN class="ft48">7.9</SPAN><SPAN class="ft78">Funktionstester och säkerhetsgranskning</SPAN></P>
<P class="p416 ft26"><SPAN class="ft26">7.9.1</SPAN><SPAN class="ft89">Allmänt om funktionstester och säkerhetsgranskning</SPAN></P>
<P class="p351 ft49">Funktionstester <SPAN class="ft17">och </SPAN>säkerhetsgranskning <SPAN class="ft17">syftar till att säkerhetsställa att informationssystemet lever upp till den kravställning som ställs på systemet.</SPAN><SPAN class="ft54">43</SPAN></P>
<P class="p111 ft46">Funktionstester kan säkerställa att systemet är robust och att in- formationen i systemet är tillgänglig och korrekt. Med säkerhets-</P>
<P class="p18 ft87"><SPAN class="ft56">42</SPAN><SPAN class="ft86">Effektivt skydd mot skadlig kod kan bestå av:</SPAN></P>
<P class="p432 ft85"><SPAN class="ft58">–</SPAN><SPAN class="ft141">programexekveringskontroll (så kallad vitlistning) så att enbart godkända program kan exekveras,</SPAN></P>
<P class="p433 ft87"><SPAN class="ft58">–</SPAN><SPAN class="ft86">behörighetsstyrning (begränsning av administratörsrättigheter),</SPAN></P>
<P class="p432 ft85"><SPAN class="ft58">–</SPAN><SPAN class="ft141">begränsning av möjlighet att exekvera scriptkod inom olika dokumenttyper såsom exem- pelvis Microsoft Office dokument och </SPAN><NOBR>PDF-filer,</NOBR></P>
<P class="p433 ft85"><SPAN class="ft58">–</SPAN><SPAN class="ft84">lokala brandväggar som hindrar skadlig programvara från att sprida sig vidare till andra system,</SPAN></P>
<P class="p433 ft85"><SPAN class="ft58">–</SPAN><SPAN class="ft84">funktioner som försvårar att exploatera sårbarheter, exempelvis buffertöverskridning, och</SPAN></P>
<P class="p433 ft85"><SPAN class="ft58">–</SPAN><SPAN class="ft84">antivirusprogramvara.</SPAN></P>
<P class="p434 ft41"><SPAN class="ft56">43</SPAN><SPAN class="ft82">3 kap. 1 och 4 §§ säkerhetsskyddsförordningen (2018:658), 2 kap. 17 § och 4 kap. </SPAN><NOBR>12–17</NOBR> §§ Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">185</P>
</DIV>
</DIV>
<DIV id="page_187">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Informationssäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft18">granskning utökas detta till att även säkerhetsställa att informations- systemet kan motstå angrepp och andra incidenter som kan utsätta systemet eller informationen för exponering. Dessa tester och gransk- ningar bör genomföras löpande under utvecklingsarbetet för att mini- mera arbetet med rättningar av avvikelser vid driftsättning.</P>
<P class="p115 ft46">I detta avsnitt beskrivs åtgärder som en verksamhetsutövare bör vidta vid funktionstester och säkerhetsgranskning av ett informations- system som har betydelse för säkerhetskänslig verksamhet.</P>
<P class="p201 ft26"><SPAN class="ft26">7.9.2</SPAN><SPAN class="ft89">Funktionstester</SPAN></P>
<P class="p220 ft18">Bestämmelser om <SPAN class="ft45">granskning </SPAN>av informationssystem återfinns bl.a. i Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd. Av bestämmelserna i 4 kap. 4 § i PMFS 2019:2 framgår att verksam- hetsutövaren ska se till att <SPAN class="ft45">egenutvecklad programvara </SPAN>i informations- system som har betydelse för säkerhetskänslig verksamhet granskas för att upptäcka och åtgärda säkerhetsbrister och sårbarheter.</P>
<P class="p106 ft18">Av 5 § följer att verksamhetsutövaren ska se till att <SPAN class="ft45">tredjeparts- programvara </SPAN>i informationssystem som har betydelse för säkerhets- känslig verksamhet granskas för att upptäcka och åtgärda säkerhets- brister och sårbarheter, eller att programvaran på annat sätt bedöms vara tillförlitlig från säkerhetsskyddssynpunkt.</P>
<P class="p105 ft17">För att säkerställa att programvaran eller systemet fungerar enligt kravställning bör därför <SPAN class="ft49">tester </SPAN>utföras för att säkerställa att <SPAN class="ft49">integritet </SPAN>och <SPAN class="ft49">tillgänglighet </SPAN>kan garanteras.</P>
<P class="p73 ft18"><SPAN class="ft45">Funktionstester </SPAN>kan bestå av t.ex. belastningstester, redundans- tester och verifiering av indata. Funktionsrelaterade tester av ett in- formationssystem benämns ofta acceptanstest. Acceptanstest innebär att informationssystemet testas mot olika fördefinierade testfall som beskriver en händelse och hur informationssystem ska bete sig vid givna parametrar. Under sådana tester är säkerhetsfunktionerna ofta bara en delmängd av flera funktioner som testas.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">186</P>
</DIV>
</DIV>
<DIV id="page_188">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td23"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td24"><P class="p2 ft37">Informationssäkerhet</P></TD>
</TR>
</TABLE>
<P class="p5 ft26"><SPAN class="ft26">7.9.3</SPAN><SPAN class="ft89">Säkerhetsgranskning</SPAN></P>
<P class="p416 ft20">Säkerhetsgranskning <SPAN class="ft21">kan bestå av:</SPAN></P>
<P class="p25 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">granskning av </SPAN><SPAN class="ft20">styrning </SPAN>i fråga om <SPAN class="ft20">rutiner </SPAN>och <SPAN class="ft20">regelverk,</SPAN></P>
<P class="p134 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">teknisk granskning som syftar till att </SPAN><SPAN class="ft49">verifiera säkerheten </SPAN>i olika <SPAN class="ft49">tekniska </SPAN>implementationer i ett informationssystem.</P>
<P class="p358 ft18">Vid <SPAN class="ft45">utveckling av egen programvara </SPAN>bör tekniska säkerhetsgransk- ningar genomföras löpande under utvecklingsprocessen för att enklare kunna upptäcka och åtgärda säkerhetsproblem i ett tidigt skede. Verk- samhetsutövaren kan därför behöva ta fram rutiner och metodstöd för ändamålet så att tekniska säkerhetsgranskningar blir en naturlig del av utvecklingsprocessen.</P>
<P class="p187 ft19">Även om granskning av delkomponenter genomförs under en ut- vecklingsprocess bör en sammantagen säkerhetsgranskning genom- föras, där alla komponenter i informationssystemet testas tillsam- mans. Detta kan lämpligen ske i slutskedet av utvecklingsprocessen, t.ex. genom ett penetrationstest (se nedan).</P>
<P class="p186 ft17">Efter att upptäckta brister och sårbarheter har åtgärdats kan ytter- ligare en granskning behöva ske för att verifiera att dessa i praktiken är åtgärdade, eller på annat sätt motverkats. Säkerhetsgranskningar bör därutöver även genomföras löpande efter att driftsättning har skett.</P>
<P class="p131 ft20">Granskning av programvara från tredje part</P>
<P class="p232 ft18">Vid användning av programvara som inte utvecklats av verksamhets- utövaren (<SPAN class="ft45">s.k. tredjepartsprogramvara</SPAN>), är det viktigt att verksamhets- utövaren undersöker om denna programvara har oönskad funktiona- litet som negativt kan påverka säkerheten i ett informationssystem där programvaran ska användas. Om det kan antas att tredjeparts- programvara inte granskats av en part som verksamhetsutövaren be- dömer som tillförlitlig, bör verksamhetsutövaren själv genomföra en grundlig säkerhetsgranskning av programvaran innan den implemen- teras i ett informationssystem. Syfte med en sådan grundlig säkerhets- granskning är att upptäcka oönskad funktionalitet samt skydda infor- mationssystemet mot exempelvis dolda kanaler och skadlig kod som kan finnas i tredjepartsprogramvaran. Där det är lämpligt bör även</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">187</P>
</DIV>
</DIV>
<DIV id="page_189">
<DIV id="p189dimg1">
<INGENBILD zsrc="H9B363189x1.jpg/" id="p189img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Informationssäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p208 ft21">säkerhetskonfigurationen granskas så att produkten implementeras på ett korrekt sätt.</P>
<P class="p209 ft26"><SPAN class="ft26">7.9.4</SPAN><SPAN class="ft89">Sårbarhetsskanning</SPAN></P>
<P class="p289 ft17">En <SPAN class="ft49">sårbarhetsskanning </SPAN>är en metod som används för att automatiskt kontrollera att säkerhetsuppdateringar är installerade på en <NOBR>it-infra-</NOBR> struktur, system och applikationer. En sårbarhetsskanner kan även hitta enklare brister i konfiguration.</P>
<P class="p105 ft17">En sårbarhetsskanning är ofta ett verktyg som används under ett penetrationstest, men kan även automatiseras för regelbunden kon- troll av applikationer och infrastruktur i <NOBR>it-miljön</NOBR> i syfte att över tid ha kontroll över uppdaterings- och säkerhetsnivån i nätverken. En sårbarhetsskanning kan genomföras både med och utan inloggning i målsystemen.<SPAN class="ft54">44</SPAN></P>
<P class="p70 ft26"><SPAN class="ft26">7.9.5</SPAN><SPAN class="ft89">Penetrationstest</SPAN></P>
<P class="p367 ft17">Ett <SPAN class="ft49">penetrationstest </SPAN>är en metod som används för att säkerställa att it- infrastruktur, system och applikationer kan stå emot ett angrepp genom att använda samma metoder som en hotaktör.</P>
<P class="p106 ft18">Penetrationstester kan utföras med olika metodik och det finns ett antal standarder att använda som stöd i testningen samt i bedöm- ningen av brister. Ett penetrationstest kan utföras på allt från en hel <NOBR>it-infrastruktur</NOBR> till enskilda system eller applikationer. Metoderna kan skilja sig mellan olika testscenarier. Det finns i huvudsak tre vanligt</P>
<P class="p435 ft87"><SPAN class="ft56">44</SPAN><SPAN class="ft90">Flertalet sårbarhetsskannrar erbjuder möjlighet att genomföra aggressiva tester som t.ex. </SPAN><NOBR><SPAN class="ft110">Denial-of-Service-attacker</SPAN></NOBR><SPAN class="ft110"> </SPAN><NOBR>(DoS-attacker).</NOBR> Flertalet sårbarhetsskanners erbjuder även möjlighet att genomföra <NOBR>webbapplikations-skanningar.</NOBR> Det finns också lösningar som enbart genomför skanningar på webbapplikationer. Dessa kan ses som ett komplement till renodlade penetra- tionstester.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">188</P>
</DIV>
</DIV>
<DIV id="page_190">
<DIV id="p190dimg1">
<INGENBILD zsrc="H9B363190x1.jpg/" id="p190img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td23"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td24"><P class="p2 ft37">Informationssäkerhet</P></TD>
</TR>
</TABLE>
<P class="p244 ft21">förekommande koncept för penetrationstester som benämns <SPAN class="ft20">black- box</SPAN><SPAN class="ft102">45</SPAN>, <SPAN class="ft20">whitebox</SPAN><SPAN class="ft102">46 </SPAN>och <SPAN class="ft20">greybox</SPAN><SPAN class="ft102">47</SPAN>.</P>
<P class="p150 ft17">Ett penetrationstest med godkänt resultat kan dock <SPAN class="ft49">inte ses som en garant för att inte bli utsatt för obehörigt intrång</SPAN>, eftersom det inte finns några garantier att samtliga sårbarheter upptäckts under testet. Ett penetrationstest ger däremot en indikation av hur väl säkerhets- arbetetsarbetet fungerar.</P>
<P class="p111 ft18">De brister som upptäcks vid granskning bör dokumenteras och graderas.<SPAN class="ft79">48 </SPAN>Graderingen kan sedan ligga till grund för i vilken ord- ning säkerhetsbristerna ska åtgärdas eller på annat sätt motverkas. Efter åtgärdens införande bör ytterligare test ske för att säkerställa att åtgärden har gett avsedd effekt. Rapportering och dokumenta- tion efter ett penetrationstest bör delges berörda inom en organisa- tion så att de får en djupare kunskap om bl.a. upptäckta sårbarheter.</P>
<P class="p131 ft48"><SPAN class="ft48">7.10</SPAN><SPAN class="ft135">Inför driftsättning</SPAN></P>
<P class="p6 ft26"><SPAN class="ft26">7.10.1</SPAN><SPAN class="ft140">Allmänt om åtgärder inför driftsättning</SPAN></P>
<P class="p232 ft18">Innan ett informationssystem tas <SPAN class="ft45">i drift </SPAN>behöver verksamhetsutöva- ren säkerställa att informationssystemet är färdigställt och att det kan användas operativt i den säkerhetskänsliga verksamheten. Detta inne- fattar bl.a. att <SPAN class="ft45">verifiera funktions</SPAN>- och <SPAN class="ft45">säkerhetskrav</SPAN>, tillse att relevant <SPAN class="ft45">systemdokumentation är upprättad</SPAN>, genomföra ett eventuellt <SPAN class="ft45">samråd</SPAN></P>
<P class="p436 ft85"><SPAN class="ft56">45</SPAN><SPAN class="ft103">Blackbox </SPAN>är ett koncept där de penetrationstestare som ska utföra testerna inte får någon förhandsinformation om organisationens <NOBR>it-miljö.</NOBR> Även om detta koncept är realistiskt i för- hållande till de förutsättningar en hotaktör har används konceptet väldigt sparsamt. Anledning till detta är att ett penetrationstest enligt konceptet <NOBR>black-box</NOBR> är extremt tidsödande och sällan ger heltäckande resultat då ett penetrationstest vanligtvis genomförs inom en begränsad tids- period.</P>
<P class="p205 ft107"><SPAN class="ft56">46</SPAN><SPAN class="ft142">Whitebox </SPAN>är ett koncept där de penetrationstestare som ska utföra testerna får fullständig tillgång till information om organisationens <NOBR>it-miljö</NOBR> innan testet påbörjas. Vanligtvis ges pene- trationstestarna även fullständig åtkomst till nätverk, konton, applikationer samt eventuell källkod. Denna metodik är vanligtvis mest effektiv och ger ofta ett heltäckande resultat då tiden kan nyttjas mer effektivt och fler sårbarheter kan upptäckas och graderas.</P>
<P class="p437 ft85"><SPAN class="ft56">47</SPAN><SPAN class="ft103">Greybox </SPAN>är ett koncept som utgör en kombination av blackbox och whitebox. Här kan in- formationstilldelning och åtkomst anpassas efter behov och förutsättningar. Denna metodik används ofta i övningar med s.k. blue- och <NOBR>red-team</NOBR> mellan säkerhetsövervakning och pene- trationstestare för att testa upptäckandeförmågan och rutiner för incidenthantering inom organisationen.</P>
<P class="p438 ft58"><SPAN class="ft56">48</SPAN><SPAN class="ft96">Gradering av säkerhetsbrister kan ske med hjälp av t.ex. </SPAN><SPAN class="ft100">Common Vulnerability Scoring System </SPAN>(CVSS). CVSS beaktar olika aspekter av en sårbarhet som t.ex. attackvektor, komplexitet och påverkan på konfidentialitet, riktighet och tillgänglighet. Baserat på dessa parametrar räknas ett värde från 0 till 10 fram, där 0 innebär låg risk för informationssystemet och 10 innebär kritisk risk.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">189</P>
</DIV>
</DIV>
<DIV id="page_191">
<DIV id="p191dimg1">
<INGENBILD zsrc="H9B363191x1.jpg/" id="p191img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Informationssäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p60 ft18">med Säkerhetspolisen samt fatta <SPAN class="ft45">beslut om driftgodkännande</SPAN>.<SPAN class="ft79">49 </SPAN>Drift- sättning är det sista steget i en utvecklingsprocess innan ett informa- tionssystem kan börja användas operativt av verksamhetsutövaren.</P>
<P class="p82 ft18">Bestämmelser om driftsättning finns bl.a. i Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd. Av bestämmelserna i 4 kap. 7 § i PMFS 2019:2 framgår att verksamhetsutövaren ska, innan ett informationssystem som har betydelse för säkerhetskäns- lig verksamhet tas i drift, genomföra <SPAN class="ft45">tester av säkerhetsskyddsåtgär- derna</SPAN>. Resultatet ska dokumenteras och jämföras med de säkerhets- krav som gäller för informationssystemet. Den särskilda säkerhets- skyddsbedömningen ska uppdateras med eventuella avvikelser och de kompensatoriska åtgärder som måste vidtas.</P>
<P class="p82 ft18">Av bestämmelserna i 4 kap. 9 § i PMFS 2019:2 framgår att verk- samhetsutövaren ska, innan samråd enligt 3 kap. 2 § säkerhetsskydds- förordningen (2018:658) sker med Säkerhetspolisen, kontrollera och dokumentera att de säkerhetskrav som identifierats i den särskilda säkerhetsskyddsbedömningen har implementerats och att säkerhets- skyddsåtgärderna ger avsedd effekt.</P>
<P class="p83 ft18">Av bestämmelserna i 4 kap. 25 § i PMFS 2019:2 framgår att verk- samhetsutövaren även ska ha dokumentation som visar logiska sam- band och inbördes beroenden mellan komponenter som används i informationssystem som har betydelse för säkerhetskänslig verksamhet.</P>
<P class="p82 ft18">Av 26 § följer att verksamhetsutövaren ska för informations- system som är avsett för att behandla säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen <SPAN class="ft45">kvalificerat hemlig</SPAN>, dokumentera vilken hård- och mjukvara som används i informationssystemet och deras inbördes beroenden. Kraven gäller <SPAN class="ft45">även informationssystem </SPAN>där en incident kan medföra <SPAN class="ft45">synnerligen allvarlig skada </SPAN>för Sveriges säkerhet.</P>
<P class="p82 ft46">I nästa avsnitt beskrivs närmare de åtgärder som en verksamhets- utövare behöver genomföra innan driftsättning sker av informations- system som har betydelse för säkerhetskänslig verksamhet.</P>
<P class="p439 ft41"><SPAN class="ft56">49</SPAN><SPAN class="ft81">Se 3 kap. </SPAN><NOBR>1–3</NOBR> §§ säkerhetsskyddsförordningen (2018:658) och 3 kap. 1 § och 4 kap. <NOBR>7–9,</NOBR> 25 och 26 §§ Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">190</P>
</DIV>
</DIV>
<DIV id="page_192">
<DIV id="p192dimg1">
<INGENBILD zsrc="H9B363192x1.jpg/" id="p192img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td23"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td24"><P class="p2 ft37">Informationssäkerhet</P></TD>
</TR>
</TABLE>
<P class="p5 ft26"><SPAN class="ft26">7.10.2</SPAN><SPAN class="ft140">Dokumentation</SPAN></P>
<P class="p91 ft19">Upprättad <SPAN class="ft63">systemdokumentation </SPAN>är normalt en förutsättning för att få översikt över ett informationssystem. Det är också en förutsätt- ning för att effektivt kunna hantera driftrelaterade problem och in- cidenter. Systemdokumentationen är även ett hjälpmedel för att identifiera vilka delar av informationssystemet som berörs av en säker- hetsuppdatering som ska installeras, vilka delar som berörs av en in- träffad incident samt i övrigt för att kunna identifiera beroenden mellan olika komponenter i ett informationssystem.</P>
<P class="p58 ft18">Verksamhetsutövaren ska upprätta systemdokumentation för in- formationssystemet innan det driftsätts. Systemdokumentation kan behövas i olika delar av en organisation, och den måste därför ut- formas på ett sådant sätt att den är till nytta för de olika avsedda mot- tagarna.<SPAN class="ft79">50 </SPAN>Systemdokumentation bör även finnas i pappersform så att den är möjlig att ta del av även om den elektroniskt lagrade dokumen- tationen är otillgänglig, t.ex. vid större störningar i nätverken.</P>
<P class="p147 ft26"><SPAN class="ft26">7.10.3</SPAN><SPAN class="ft140">Verifiering av funktions- och säkerhetskrav</SPAN></P>
<P class="p232 ft18">För att en verksamhetsutövare ska kunna säkerhetsställa att ett in- formationssystem som har betydelse för säkerhetskänslig verksam- het uppfyller säkerhetskraven och att de säkerhetskyddsåtgärder som identifierats i den särskilda säkerhetsskyddsbedömningen ger öns- kad effekt, behöver informationssystemet ha genomgått <SPAN class="ft45">testning </SPAN>innan driftsättning. Resultatet av dessa ska jämföras mot verksamhetsut- övarens funktionella och säkerhetsrelaterade krav för informations- systemet. Detta är ett sätt att verifiera att informationssystemet upp- fyller de krav som verksamhetsutövaren fastställt. Kraven identifieras och fastställs av verksamhetsutövaren i den särskilda säkerhetsskydds- bedömningen, och i förkommande fall genom hotmodellering. Den särskilda säkerhetsskyddsbedömningen är ett styrande dokument för alla delar i utvecklingen av ett informationssystem som ska an- vändas i säkerhetskänslig verksamhet. Detta gäller inte minst i den</P>
<P class="p440 ft87"><SPAN class="ft56">50</SPAN><SPAN class="ft86">Systemdokumentation kan innehålla bl.a.:</SPAN></P>
<P class="p432 ft85"><SPAN class="ft58">–</SPAN><SPAN class="ft141">beskrivningar av informationssystemets arkitektur med ingående hård- och mjukvara (Solution Architecture Document, SAD),</SPAN></P>
<P class="p433 ft87"><SPAN class="ft58">–</SPAN><SPAN class="ft86">förklaring av hur varje komponent inom systemet fungerar, och</SPAN></P>
<P class="p432 ft41"><SPAN class="ft58">–</SPAN><SPAN class="ft143">beskrivningar av hur systemet bör underhållas och vad som ska göras vid vissa kända problem.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">191</P>
</DIV>
</DIV>
<DIV id="page_193">
<DIV id="p193dimg1">
<INGENBILD zsrc="H9B363193x1.jpg/" id="p193img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Informationssäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p208 ft21">del i utvecklingsprocessen där en verksamhetsutövare ska genomföra tester och säkerhetsgranskningar.</P>
<P class="p209 ft26"><SPAN class="ft26">7.10.4</SPAN><SPAN class="ft140">Driftgodkännande</SPAN></P>
<P class="p220 ft18">Av 3 kap. 3 § säkerhetsskyddsförordningen framgår att ett informa- tionssystem som ska användas i säkerhetskänslig verksamhet inte får tas i drift förrän det har <SPAN class="ft45">godkänts </SPAN>ur säkerhetsskyddssynpunkt <SPAN class="ft45">av verksamhetsutövaren</SPAN>. Godkännandet ska dokumenteras.</P>
<P class="p73 ft46">Under vissa omständigheter är en verksamhetsutövare skyldig att även samråda med Säkerhetspolisen innan ett informationssystem tas i drift eller i väsentliga avseenden förändras.</P>
<P class="p255 ft48"><SPAN class="ft48">7.11</SPAN><SPAN class="ft135">Drift och underhåll</SPAN></P>
<P class="p213 ft26"><SPAN class="ft26">7.11.1</SPAN><SPAN class="ft140">Allmänt om drift och underhåll</SPAN></P>
<P class="p261 ft17">Arbetet med <SPAN class="ft49">drift </SPAN>och <SPAN class="ft49">underhåll </SPAN>av informationssystem avser dels att hantera olika driftrelaterade problem som kan uppstå, dels att tillse att säkerheten i informationssystemet upprätthålls över tid. Viktiga delar i detta arbete är att tillse att informationssystemet hålls upp- dateras, att föråldrad programvara byts ut samt att förändringar och avveckling genomförs på ett kontrollerat sätt.<SPAN class="ft54">51</SPAN></P>
<P class="p106 ft18">Bestämmelser relaterade till drift och underhåll finns bl.a. i Säker- hetspolisens föreskrifter om säkerhetsskydd (PMFS 2019:2).</P>
<P class="p102 ft26"><SPAN class="ft26">7.11.2</SPAN><SPAN class="ft140">Styrning av drift och underhåll</SPAN></P>
<P class="p220 ft17">För att tillgodose att säkerheten i ett informationssystem upprätt- hålls över tid är det viktigt att en verksamhetsutövare har en tydlig <SPAN class="ft49">styrning </SPAN>av hur <SPAN class="ft49">drift </SPAN>och <SPAN class="ft49">underhåll </SPAN>av ett informationssystem ska han- teras. Om drift och underhåll av ett informationssystem inte han- teras på ett medvetet och strukturerat sätt av verksamhetsutövaren, kan det leda till att systemets tillförlitlighet påverkas, t.ex. genom tillgänglighetsrelaterade problem eller andra sårbarheter i informa- tionssystemet.</P>
<P class="p441 ft113"><SPAN class="ft56">51</SPAN><SPAN class="ft112">Se 3 kap. 4 § säkerhetsskyddsförordningen (2018:658) och 3 kap. 3, </SPAN><NOBR>25–27</NOBR> §§ och 4 kap. 2, 10, 24, 34 och 38 §§ Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">192</P>
</DIV>
</DIV>
<DIV id="page_194">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td23"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td24"><P class="p2 ft37">Informationssäkerhet</P></TD>
</TR>
</TABLE>
<P class="p442 ft17">Av bestämmelserna i 4 kap. 10 § i PMFS 2019:2 framgår att verk- samhetsutövaren ska <SPAN class="ft49">fastställa rutiner </SPAN>för hanteringen av informa- tionssystem som har betydelse för säkerhetskänslig verksamhet under systemets förväntade livstid.</P>
<P class="p11 ft18">Traditionellt styrs drift och underhåll av ett informationssystem med stöd av ett skriftligt ramverk som innehåller både över gripande principer och anvisningar för hur olika driftrelaterade frågor ska han- teras i praktiken. Oavsett styrmodell är det viktigt att styrdokumenten anpassas utifrån den egna verksamhetens förutsättningar och informa- tionssystemets komplexitet och omfattning. En allt för detaljreglerad styrning kan i vissa fall medföra att driften blir för svårhanterad, och en allt för svag reglering kan medföra att kontrollen över informa- tionssystemet blir bristfällig.</P>
<P class="p187 ft19">Vid framtagande av styrning för hur drift av informationssystem bör verksamhetsutövaren bl.a. beakta perspektiven:</P>
<P class="p198 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">felhantering,</SPAN></P>
<P class="p25 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">förändringshantering,</SPAN></P>
<P class="p25 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">uppdateringar,</SPAN></P>
<P class="p25 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">incidenthantering,</SPAN></P>
<P class="p25 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">kontinuitetshantering.</SPAN></P>
<P class="p381 ft18">Det är av vikt att verksamhetsutövaren etablerar tydliga roller med beskrivning av vem som gör vad, vem som har vilket ansvar och vem som har vilka befogenheter. I sammanhanget är det även av vikt att ansvaret för säkerheten i ett informationssystem tydligt anges. För- ändringar i styrande dokument för drift bör endast genomföras efter att de har godkänts av en kompetent och specifikt utpekad person eller funktion hos verksamhetsutövaren. Den praktiska hanteringen av driften av ett informationssystem bör, där det är tekniskt möjligt, hanteras konsekvent med samma verktyg och hjälpmedel.</P>
<P class="p131 ft20">Förändringshantering</P>
<P class="p91 ft46">En grundläggande princip är att informationssystem som används i säkerhetskänslig verksamhet ska hållas uppdaterade så att säkerhets- brister och sårbarheter motverkas. I praktiken innebär detta att verk-</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">193</P>
</DIV>
</DIV>
<DIV id="page_195">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Informationssäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft18">samhetsutövaren måste förse både mjuk- och hårdvaran i informa- tionssystemet med de säkerhetsuppdateringar som publiceras av till- verkaren, samt i övrigt byta ut äldre versioner av programvara som inte längre kan förses med säkerhetsuppdateringar. Större förändringar i ett informationssystem, särskilt när ny programvara implemente- ras, kan påverka både säkerheten och tillgängligheten. Förändringar av befintlig programvara eller implementation av ny programvara som kan komma att påverka informationssystemet bör därför ske under kontrollerade former. En annan viktig aspekt att beakta vid förändringar i ett informationssystem är att förändringar inte genom- förs på ett sådant sätt som åsidosätter säkerhetsfunktioner i infor- mationssystemet, antingen tillfälligt eller permanent.</P>
<P class="p70 ft20">Säkerhetsuppdatering</P>
<P class="p220 ft18">Informationssystem som innehåller programvara som inte är upp- daterad är i många fall ett tacksamt mål för en hotaktör. Sårbarheter i programvaror identifieras löpande och blir ibland publikt kända redan innan tillverkaren av programvaran hunnit åtgärda sårbarheten och publicerat en säkerhetsuppdatering. Regelbunden uppdatering av programvara genom säkerhetsuppdateringar (s.k. säkerhetspatchar) är en åtgärd som utgör en del av det grundläggande skyddet av ett informationssystem.</P>
<P class="p106 ft19">Syftet med säkerhetsuppdateringar är att användaren ska ha en möjlighet att åtgärda publikt kända sårbarheter i programvaran och på så sätt minska risker för att drabbas av ett angrepp via dessa. Hur en känd sårbarhet i programvara kan nyttjas av en hotaktör skiljer sig naturligtvis åt och beror till stor del på hur programvaran är implementerad och konfigurerad av användaren.</P>
<P class="p105 ft17">Säkerhetsuppdateringar publiceras inte bara för mjukvara såsom applikationer och operativsystem, utan även för hårdvara i infrastruk- tur såsom exempelvis switchar, routrar och servrar.</P>
<P class="p70 ft20">Utbyte av programvara</P>
<P class="p220 ft46">Av bestämmelserna i 4 kap. 24 § i PMFS 2019:2 framgår att verksam- hetsutövaren ska se till att <SPAN class="ft60">programvara </SPAN>i informationssystem som har betydelse för säkerhetskänslig verksamhet hålls <SPAN class="ft60">uppdaterad </SPAN>så att</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">194</P>
</DIV>
</DIV>
<DIV id="page_196">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td23"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td24"><P class="p2 ft37">Informationssäkerhet</P></TD>
</TR>
</TABLE>
<P class="p130 ft18">säkerhetsbrister och sårbarheter motverkas. Om det finns särskilda skäl får verksamhetsutövaren besluta om undantag från dessa krav.</P>
<P class="p111 ft18">Informationssystem som innehåller föråldrade versioner eller utgåvor av programvara är också ett tacksamt mål för en hotaktör. När en tillverkare släpper en ny version eller utgåva av en program- vara upphör ofta publiceringen av säkerhetsuppdateringar till äldre versioner av programvaran. Äldre versioner av programvaran kan ha tillgång till support under en övergångsperiod som fastställs av till- verkaren. Det är därför av vikt att verksamhetsutövaren har känne- dom om när tillverkarens support för en programvara upphör (s.k. <NOBR>”end-of-life”)</NOBR> och har en plan för när avveckling av den föråldrade programvaran ska ske. Programvara som inte längre erhåller säker- hetsuppdateringar från tillverkaren bör därför avvecklas och ersättas.</P>
<P class="p58 ft19">Ett informationssystem som hanterar säkerhetsskyddsklassifi- cerade uppgifter får inte anslutas direkt mot internet för hämtning av uppdateringar. Säkerhetsuppdateringar behöver därför hämtas till ett separat informationssystem och därefter, på ett kontrollerat sätt, föras över till informationssystemet som hanterar de säkerhetsskydds- klassificerade uppgifterna.</P>
<P class="p11 ft18">Om möjligt bör <SPAN class="ft45">ny programvara testas </SPAN>i ett informationssystem som är separerat från det informationssystem där programvaran ska installeras och användas. Detta ger verksamhetsutövaren möjlighet att testa och granska hur den nya programvaran beter sig, utan att det kan påverka informationssystemet som är i drift. Samma testför- farande bör om möjligt även tillämpas vid <SPAN class="ft45">uppdatering </SPAN>av och <SPAN class="ft45">utbyte </SPAN>av befintlig programvara. Informationssystem som beskrivs ovan be- nämns ofta i termer av testmiljö respektive driftsmiljö.</P>
<P class="p131 ft26"><SPAN class="ft26">7.11.3</SPAN><SPAN class="ft140">Beslut om undantag av säkerhetsuppdateringar</SPAN></P>
<P class="p236 ft18">En grundläggande princip är att informationssystem som används i säkerhetskänslig verksamhet ska hållas uppdaterade så att säkerhets- brister och sårbarheter motverkas. Som ovan framgår innebär detta att verksamhetsutövaren måste förse både mjuk- och hårdvaran i in- formationssystemet med de säkerhetsuppdateringar som publiceras av tillverkaren, samt i övrigt byta ut äldre versioner av programvara som inte längre kan förses med säkerhetsuppdateringar.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">195</P>
</DIV>
</DIV>
<DIV id="page_197">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Informationssäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p443 ft17">Om det finns särskilda skäl får en verksamhetsutövare besluta om <SPAN class="ft49">undantag </SPAN>från <SPAN class="ft49">kravet på att programvara </SPAN>i ett informationssystem som har betydelse för säkerhetskänslig verksamhet hålls <SPAN class="ft49">uppdaterad</SPAN>. Så kan vara fallet om det inte är tekniskt möjligt att installera säker- hetsuppdateringarna eller i det fall verksamhetsutövaren konstaterat att det uppenbarligen är obehövligt då andra kompenserade åtgärder har vidtagits.</P>
<P class="p102 ft26"><SPAN class="ft26">7.11.4</SPAN><SPAN class="ft140">Säkerhetskopiering</SPAN></P>
<P class="p220 ft18">Säkerhetskopiering är många gånger en livlina och det kan få stora konsekvenser om den är bristfällig, eftersom information som regel är en verksamhetsutövares viktigaste resurs. Brister i säkerhetskopier- ingen kan vid dataförlust åsamka verksamhetsutövaren stor skada. Även förlust av till synes ganska oviktig information kan skada verk- samheten. Verksamhetsutövaren bör därför ta fram rutiner för hur säkerhetskopiering ska hanteras.</P>
<P class="p70 ft48"><SPAN class="ft48">7.12</SPAN><SPAN class="ft135">Allmänt om operativ säkerhet</SPAN></P>
<P class="p71 ft19">Med <SPAN class="ft63">operativ säkerhet </SPAN>avses det operativa arbete som syftar till att upptäcka, försvåra och hantera skadlig inverkan på informations- systemet samt obehörig avlyssning av, åtkomst till och nyttjande av informationssystemet. Inom detta område är <SPAN class="ft63">säkerhetsloggning</SPAN>, <SPAN class="ft63">logg- uppföljning</SPAN>, <SPAN class="ft63">säkerhetsövervakning </SPAN>och <SPAN class="ft63">incidenthantering </SPAN>viktiga om- råden. Bestämmelser relaterade till operativt säkerhetsarbetet åter- finns i säkerhetsskyddsförordningen.</P>
<P class="p211 ft18">Av bestämmelserna i 3 kap. 4 § säkerhetsskyddsförordningen fram- går att en verksamhetsutövare som ansvarar för ett informationssystem som ska användas i säkerhetskänslig verksamhet ska vidta lämpliga skyddsåtgärder för att kunna <SPAN class="ft45">upptäcka</SPAN>, <SPAN class="ft45">försvåra </SPAN>och <SPAN class="ft45">hantera skadlig inverkan </SPAN>på informationssystemet samt <SPAN class="ft45">obehörig avlyssning av</SPAN>, <SPAN class="ft45">åt- komst till </SPAN>och <SPAN class="ft45">nyttjande </SPAN>av informationssystemet. Verksamhetsut- övaren ska också se till att <SPAN class="ft45">spårbarhet </SPAN>finns för händelser som är av betydelse för säkerheten i systemet.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">196</P>
</DIV>
</DIV>
<DIV id="page_198">
<DIV id="p198dimg1">
<INGENBILD zsrc="H9B363198x1.jpg/" id="p198img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td23"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td24"><P class="p2 ft37">Informationssäkerhet</P></TD>
</TR>
</TABLE>
<P class="p5 ft26"><SPAN class="ft26">7.12.1</SPAN><SPAN class="ft140">Säkerhetsloggning</SPAN></P>
<P class="p416 ft20">Allmänt om säkerhetsloggning</P>
<P class="p232 ft19">Loggning kan göras med olika syften. En verksamhetsutövare som är ansvarig för ett informationssystem av betydelse för säkerhets- känslig verksamhet bör primärt logga händelser med syfte att kunna upptäcka och utreda skadlig eller otillåten påverkan, obehörig åtkomst och funktionsstörningar i informationssystemet.<SPAN class="ft101">52</SPAN></P>
<P class="p146 ft17">En logg kan beskrivas som insamlad information om en händelse och om när händelsen inträffat i ett informationssystem. Loggar är ett hjälpmedel för att kunna veta vad som hänt i ett informations- system vid ett givet tillfälle.</P>
<P class="p11 ft19">Loggar är en förutsättning för att en verksamhetsutövare kunna uppnå spårbarhet till olika händelser som inträffar i ett informa- tionssystem. Spårbarhet är i sin tur en förutsättning för att en verk- samhetsutövare ska kunna leda i bevis vem som har gjort vad i ett informationssystem vid ett givet tillfälle, t.ex. vem som haft åtkomst till säkerhetsskyddsklassificerade uppgifter. Detta är viktigt vid miss- tanke om brott. Vid en eventuell misstanke om brott måste en verk- samhetsutövare kunna försäkra sig om vem som gjort vad i informa- tionssystemet och där är loggar en viktig förutsättning. I övrigt är loggar även ett hjälpmedel för att i efterhand kunna identifiera orsaken till incidenter av olika slag.</P>
<P class="p58 ft18">Bestämmelser om loggning återfinns i Säkerhetspolisens före- skrifter (PMFS 2019:2) om säkerhetsskydd. Av bestämmelserna i 4 kap. 31 § i PMFS 2019:2 framgår att verksamhetsutövaren ska logga hän- delser som kan påverka säkerheten i informationssystem som har betydelse för säkerhetskänslig verksamhet (säkerhetsloggning).</P>
<P class="p11 ft19">Av 32 § framgår att verksamhetsutövaren ska ha rutiner för logg- ning av händelser som kan påverka säkerheten i informationssystem som har betydelse för säkerhetskänslig verksamhet. Rutinerna ska omfatta hur verksamhetsutövaren ska kunna upptäcka skadlig eller obehörig åtkomst eller påverkan samt funktionsstörningar. Rutinerna ska även omfatta vad som behövs i övrigt samt vilka åtgärder som ska vidtas vid upptäckta händelser.</P>
<P class="p111 ft46">Av 33 § framgår att för informationssystem som är avsett för att behandla säkerhetsskyddsklassificerade uppgifter ska rutinerna om-</P>
<P class="p444 ft41"><SPAN class="ft56">52</SPAN><SPAN class="ft82">Se 3 kap. 4 § säkerhetsskyddsförordningen (2018:658) och 4 kap. </SPAN><NOBR>31–35</NOBR> §§ Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">197</P>
</DIV>
</DIV>
<DIV id="page_199">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Informationssäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p189 ft17">fatta loggning av användning och ändring av behörigheter med system- administrativ åtkomst och av roller med särskild behörighet i infor- mationssystemet.</P>
<P class="p73 ft18">Av 34 § framgår att verksamhetsutövaren ska bevara säkerhets- loggar i minst 10 år. För informationssystem som är avsett för att behandla säkerhetsskyddsklassificerade uppgifter i säkerhetsskydds- klassen kvalificerat hemlig ska säkerhetsloggar bevaras i minst 25 år.</P>
<P class="p105 ft17">Av 35 § framgår att verksamhetsutövaren ska vidta åtgärder för att skydda säkerhetsloggar mot obehörig åtkomst, ändring eller för- störing.</P>
<P class="p70 ft20">Vad ska loggas?</P>
<P class="p220 ft19">Vad som ska loggas i ett informationssystem är beroende av flera olika faktorer, bl.a. hur och av vilka informationssystemet ska an- vändas och hur det exponeras samt syftet med loggningen.</P>
<P class="p106 ft18">Loggar kan generas från olika typer av loggkällor. Loggning kan t.ex. ske i en programvara, i ett operativsystem eller i olika kompo- nenter i infrastrukturen för ett informationssystem. Vad som ska loggas och vilka loggkällor som ska användas behöver verksamhetsutövaren fastställa innan ett informationssystem tas i drift.</P>
<P class="p102 ft20">Logguppföljning och åtgärder vid upptäckta händelser</P>
<P class="p71 ft19">Logguppföljning är en viktig åtgärd för att kunna upptäcka skadlig eller otillåten påverkan, obehörig åtkomst och funktionsstörningar i ett informationssystem. Logguppföljning kan ske med jämna inter- valler eller i realtid som en del av en funktion för säkerhetsövervakning. För att arbetet med logguppföljning ska ge önskad effekt behöver verksamhetsutövaren ta fram rutiner som beskriver hur verksam- hetsutövarens personal ska arbeta med logguppföljning. Det är även viktigt att rutinerna innehåller en tydligt beskriven eskaleringsord- ning som stöd i beslut om åtgärd vid en upptäckt händelse, t.ex. att incidenthantering ska påbörjas.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">198</P>
</DIV>
</DIV>
<DIV id="page_200">
<DIV id="p200dimg1">
<INGENBILD zsrc="H9B363200x1.jpg/" id="p200img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td23"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td24"><P class="p2 ft37">Informationssäkerhet</P></TD>
</TR>
</TABLE>
<P class="p90 ft20">Hantering av säkerhetsloggar</P>
<P class="p91 ft18">Att upprätthålla tillförlitligheten till de loggar som genereras är en mycket viktig aspekt som en verksamhetsutövare behöver beakta. En av anledningarna till detta är att loggar ofta används som underlag i internutredningar som kan leda till disciplinära åtgärder eller vid bevisföring i brottsmål. Om riktigheten i loggarna kan ifrågasättas kan det leda till att ansvar inte kan utkrävas av den som gjort sig skyl- dig till brott. En annan aspekt som en verksamhetsutövare behöver beakta är att loggar kan innehålla skyddsvärda uppgifter och att kon- fidentialiteten för loggarna därmed behöver upprätthållas.</P>
<P class="p146 ft17">Loggar kan skyddas på flera olika sätt, där en grundläggande åt- gärd för att skydda både riktigheten i loggarna och samtidigt upp- rätthålla konfidentialiteten är att begränsa åtkomsten till loggarna genom en strikt behörighetshantering. Tillförlitligheten kan stärkas ytterligare med hjälp av kryptografiska funktioner, t.ex. genom elek- tronisk signering.<SPAN class="ft54">53</SPAN></P>
<P class="p147 ft48"><SPAN class="ft48">7.13</SPAN><SPAN class="ft135">Säkerhetsövervakning</SPAN></P>
<P class="p6 ft26"><SPAN class="ft26">7.13.1</SPAN><SPAN class="ft140">Allmänt om säkerhetsövervakning</SPAN></P>
<P class="p351 ft17">Med <SPAN class="ft49">säkerhetsövervakning </SPAN>avses en funktion som arbetar med <SPAN class="ft49">aktiv </SPAN>övervakning av ett informationssystem med syfte att kunna upp- täcka, försvåra och hantera skadlig inverkan på informationssyste- met samt obehörig avlyssning av, åtkomst till och nyttjande av ett informationssystem.</P>
<P class="p11 ft19">Säkerhetsövervakning är en funktion där personal med hjälp av olika tekniska hjälpmedel aktivt söker efter oönskade aktiviteter i ett informationssystem. Vid upptäckt agerar funktionen genom att för- söka förhindra t.ex. ett intrångsförsök. Skulle ett intrångsförsök lyckas utreder funktionen hur, var och varför intrånget skedde samt vad som behövs för att förhindra framtida intrång.</P>
<P class="p445 ft87"><SPAN class="ft56">53</SPAN><SPAN class="ft86">För att kunna använda loggar vid en utredning är det viktigt att säkerställa att informations- systemen och dess loggar har korrekta tidsangivelser. Ett sätt att hantera detta är att använda standardprotokollet Network Time Protocol (NTP) för synkronisering mot gemensamma tidkällor.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">199</P>
</DIV>
</DIV>
<DIV id="page_201">
<DIV id="p201dimg1">
<INGENBILD zsrc="H9B363201x1.jpg/" id="p201img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Informationssäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p276 ft19">Bestämmelser om säkerhetsövervakning återfinns i Säkerhets- polisens föreskrifter (PMFS 2019:2) om säkerhetsskydd.<SPAN class="ft101">54</SPAN></P>
<P class="p73 ft19">Av bestämmelserna i 4 kap. 36 § i PMFS 2019:2 framgår att verk- samhetsutövaren ska använda funktion för säkerhetsövervakning av informationssystem som är avsett för att behandla säkerhetsskydds- klassificerade uppgifter i säkerhetsskyddsklassen <SPAN class="ft63">hemlig </SPAN>eller <SPAN class="ft63">kvalifi- cerat hemlig</SPAN>. Kraven gäller även informationssystem där en incident kan medföra <SPAN class="ft63">allvarlig </SPAN>eller <SPAN class="ft63">synnerligen allvarlig skada </SPAN>för Sveriges säkerhet.</P>
<P class="p105 ft17">Av 37 § framgåratt verksamhetsutövaren ska ha <SPAN class="ft49">rutiner för säker- hetsövervakning </SPAN>enligt 36 §. Rutinerna ska omfatta vad som ska över- vakas och vem som ansvarar för övervakningen. Rutinerna ska även omfatta vad som behövs i övrigt samt vilka åtgärder som ska vidtas vid upptäckta händelser.</P>
<P class="p106 ft19">En funktion för säkerhetsövervakning är beroende av både en tek- nisk plattform och av kompetent personal. Personal som arbetar med säkerhetsövervakning tillhör ofta en del i en verksamhet som benämns <SPAN class="ft63">Security Operations Center </SPAN>(SOC). Vid sidan av en SOC finns ofta även en funktion för driftövervakning som benämns <SPAN class="ft63">Net- work Operations Center </SPAN>(NOC). En NOC fokuserar oftast på över- vakning av informationssystem med syfte att upprätthålla tillgäng- lighet och prestanda. Båda dessa funktioner kompletterar varandra och utgör sammantaget en viktig funktion för att upprätthålla säker- heten i ett informationssystem.</P>
<P class="p105 ft17">Hur arbetet med säkerhetsövervakning ska genomföras behöver verksamhetsutövaren fastställa och därefter reglera i interna styr- dokument. Styrdokumenten bör innehålla en beskriven eskalerings- ordning som stöd i beslut om åtgärd när ett potentiellt intrång eller en annan oönskad händelse upptäcks.</P>
<P class="p70 ft26"><SPAN class="ft26">7.13.2</SPAN><SPAN class="ft140">Åtgärder vid upptäckta händelser</SPAN></P>
<P class="p261 ft46">När funktionen för säkerhetsövervakning upptäcker ett potentiellt intrång eller en annan oönskad händelse i ett informationssystem bör det även finnas en tydlig beskriven eskaleringsordning att ta stöd</P>
<P class="p446 ft41"><SPAN class="ft56">54</SPAN><SPAN class="ft81">3 kap. 4 § säkerhetsskyddsförordningen (2018:658) och 4 kap. 36 och 37 §§ Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">200</P>
</DIV>
</DIV>
<DIV id="page_202">
<DIV id="p202dimg1">
<INGENBILD zsrc="H9B363202x1.jpg/" id="p202img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td23"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td24"><P class="p2 ft37">Informationssäkerhet</P></TD>
</TR>
</TABLE>
<P class="p447 ft18">av. Utifrån denna kan de som arbetar med säkerhetsövervakning fatta beslut om vidare åtgärd. Fortsatta åtgärder kan exempelvis vara:</P>
<P class="p198 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">att inleda fördjupad analys av händelsen, eller</SPAN></P>
<P class="p25 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">incidenthantering.</SPAN></P>
<P class="p381 ft46">En fördjupad analys kan bestå av granskning av loggar i en loggkälla, t.ex. ett operativsystem, en programvara eller i infrastrukturkompo- nenter.<SPAN class="ft97">55 </SPAN>Även analys av minnesavbilder, nätverkstrafik och eventuell skadlig kod kan vara en del av den fördjupade analysen.</P>
<P class="p224 ft26"><SPAN class="ft26">7.13.3</SPAN><SPAN class="ft140">Tekniska hjälpmedel</SPAN></P>
<P class="p351 ft17">Som ett stöd för arbetet med säkerhetsövervakning finns olika pro- gramvaror anpassade för ändamålet. <SPAN class="ft49">Security Information and Event Management </SPAN>(SIEM) är en vanlig benämning på en sådan program- vara som kan vara ett stöd vid säkerhetsövervakning av skyddsvärda system.</P>
<P class="p187 ft18">SIEM sköter insamling och aggregering av loggar som genererats av olika loggkällor i ett informationssystem. Baserat på innehållet i loggarna identifierar och kategoriserar SIEM möjliga incidenter och händelser som skett i informationssystemet och gör sedan en auto- matisk analys av dem. SIEM har därefter två syften:</P>
<P class="p96 ft46"><SPAN class="ft27">–</SPAN><SPAN class="ft51">Tillhandahålla rapporter gällande säkerhetsrelaterade incidenter och händelser såsom förekomst av skadlig kod, misslyckade in- loggningsförsök, avaktiverade användarkonton som återaktiveras och andra potentiellt skadliga aktiviteter i informationssystemet.</SPAN></P>
<P class="p92 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">Generera larm, om det under den automatiska analysen visar att sig att det förekommer potentiellt skadliga aktiviteter i informa- tionssystemet (den automatiska analysen utgår från ett fördefi- nierat regelverk där det framgår vilka parametrar och tröskelvär- den som ska generera ett larm).</SPAN></P>
<P class="p448 ft46">Att bygga upp en funktion för säkerhetsövervakning, t.ex. SOC, är ett tidskrävande arbete. För att minska risken för inlåsningseffekter</P>
<P class="p254 ft41"><SPAN class="ft56">55</SPAN><SPAN class="ft82">Fördjupad analys kan även göras i switchar, routrar, brandväggar, </SPAN><NOBR>VPN-koncentratorer</NOBR> och i de inbyggda skyddsfunktionerna i samma komponenter, t.ex. intrångsdetektering eller inne- hållsfiltrering.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">201</P>
</DIV>
</DIV>
<DIV id="page_203">
<DIV id="p203dimg1">
<INGENBILD zsrc="H9B363203x1.jpg/" id="p203img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Informationssäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p189 ft17">kan verksamhetsutövaren, innan tekniska hjälpmedel införskaffas, definiera hur säkerhetsövervakningen ska bedrivas både under en upp- byggnadsfas och på sikt.</P>
<P class="p102 ft26"><SPAN class="ft26">7.13.4</SPAN><SPAN class="ft140">Övning och utvärdering</SPAN></P>
<P class="p220 ft18">Ett sätt att testa och utvärdera styrdokument, personella resurser och tekniska hjälpmedel som används i en funktion för säkerhets- övervakning är att genomföra övningar. Genom samarbete med pene- trationstestare kan funktionen för säkerhetsövervakning öva olika angreppsscenarion i informationssystemet, vilket gör att t.ex. tröskel- värden för generering av larm kan testas och finjusteras. Genom ett oannonserat angrepp med hjälp av penetrationstestare kan även verk- samhetsutövarens incidenthantering sättas på prov och utvärderas.</P>
<P class="p70 ft48"><SPAN class="ft48">7.14</SPAN><SPAN class="ft135">Uppföljning och kontroll</SPAN></P>
<P class="p213 ft26"><SPAN class="ft26">7.14.1</SPAN><SPAN class="ft140">Allmänt om uppföljning och kontroll</SPAN></P>
<P class="p261 ft18">Uppföljning och kontroll är viktiga verktyg för att kunna säkerhets- ställa att säkerhetsskyddet för ett informationssystem upprätthålls över tid och ger avsedd effekt. Ett viktigt förhållningssätt som verk- samhetsutövaren bör tillämpa i fråga om uppföljning och kontroll är att det sker med ett organisatoriskt <SPAN class="ft45">oberoende </SPAN>mot den som utför drift, förändringar och underhåll i informationssystemet. Detta för att uppföljning och kontroll ska kunna ske med ett oberoende. Bestäm- melser relaterade uppföljning och kontroll finns i Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd.<SPAN class="ft79">56</SPAN></P>
<P class="p72 ft17">Av bestämmelserna i 2 kap. 26 § PMFS 2019:2 framgår att verk- samhetsutövaren ska regelbundet</P>
<P class="p136 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">utvärdera om säkerhetsskyddsåtgärderna ger avsedd effekt,</SPAN></P>
<P class="p258 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">identifiera brister och sårbarheter i säkerhetsskyddet och genom- föra förbättringar,</SPAN></P>
<P class="p449 ft18"><SPAN class="ft21">–</SPAN><SPAN class="ft66">kontrollera och följa upp det säkerhetsskyddsarbete som bedrivs på uppdrag av verksamhetsutövaren hos externa aktörer, och</SPAN></P>
<P class="p450 ft41"><SPAN class="ft56">56</SPAN><SPAN class="ft81">Se 2 kap. 13 och 26 §§ och 4 kap. 2, 11 och 13 §§ Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">202</P>
</DIV>
</DIV>
<DIV id="page_204">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td23"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td24"><P class="p2 ft37">Informationssäkerhet</P></TD>
</TR>
</TABLE>
<P class="p406 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">i övrigt kontrollera och följa upp att verksamheten följer regel- verket för säkerhetsskydd.</SPAN></P>
<P class="p426 ft17">Verksamhetsutövaren ska dokumentera åtgärderna i en plan som ska uppdateras löpande. I planen ska det anges vilken funktion som är ansvarig för åtgärderna.</P>
<P class="p11 ft18">Av bestämmelserna i 4 kap. 11 § PMFS 2019:2 framgår att verk- samhetsutövaren ska årligen granska säkerheten i informationssystem som är avsett för att behandla säkerhetsskyddsklassificerade uppgif- ter i säkerhetsskyddsklassen hemlig eller kvalificerat hemlig eller i informationssystem där en incident kan medföra allvarlig eller syn- nerligen allvarlig skada för Sveriges säkerhet.</P>
<P class="p11 ft18">Uppföljning och granskning av säkerheten i ett informationssystem bör vara av såväl <SPAN class="ft45">administrativ </SPAN>som <SPAN class="ft45">teknisk </SPAN>karaktär.</P>
<P class="p15 ft21">Administrativ säkerhetsgranskning kan exempelvis ta sikte på:</P>
<P class="p252 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">att identifiera brister i verksamhetens efterlevnad av den styrning som reglerar drift, förändring och underhåll av informations- systemet, eller</SPAN></P>
<P class="p245 ft18"><SPAN class="ft27">–</SPAN><SPAN class="ft134">att identifiera brister i användarnas efterlevnad av de regler och rutiner som reglerar hur informationssystemet får användas.</SPAN></P>
<P class="p451 ft21">En teknisk säkerhetsgranskning kan exempelvis ta sikte på:</P>
<P class="p134 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">att identifiera generella brister och sårbarheter i funktioner i och kring informationssystemet,</SPAN></P>
<P class="p133 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">att granska om informationssystemet är skyddat mot publikt kända sårbarheter som borde vara omhändertagna inom ramen för verk- samhetsutövarens omvärldsbevakning, eller</SPAN></P>
<P class="p133 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">att identifiera brister i efterlevnad av den styrning som reglerar drift och underhåll av informationssystemet, exempelvis gällande hantering av tjänstekonton och användarkonton med systemad- ministrativ åtkomst.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">203</P>
</DIV>
</DIV>
<DIV id="page_205">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Informationssäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p201 ft26"><SPAN class="ft26">7.14.2</SPAN><SPAN class="ft140">Efterlevnad av kravställning</SPAN></P>
<P class="p220 ft18">De säkerhetskrav som identifierats i den särskilda säkerhetsskydds- bedömningen bör följas upp med regelbundna kontroller. Dessa kon- troller kan t.ex. vara i form av säkerhetsgranskningar, sårbarhets- skanningar och penetrationstester. Syftet med dessa kontroller är att verifiera att de säkerhetsfunktioner och den säkerhetskonfiguration som initialt applicerades vid driftsättning upprätthålls över tid. Säker- hetsarbetet måste kontinuerligt revideras och skyddet blir oftast mest effektivt om det iterativt anpassas och uppdateras.</P>
<P class="p72 ft17">Nya attackvägar och sårbarheter kräver att skyddet anpassas och det är inte ovanligt att säkerhetsåtgärder avaktiveras eller av andra orsaker blir ineffektiva med tiden.</P>
<P class="p105 ft17">Ny funktionalitet förs in, vilket både kan introducera nya sår- barheter och ändra hur verksamheten använder systemet. Därför är det en fördel om granskningar genomförs systematiskt och är årligt återkommande, men också att det rutinmässigt genomförs vid större förändringar.</P>
<P class="p102 ft26"><SPAN class="ft26">7.14.3</SPAN><SPAN class="ft140">Kontroll av åtkomst och behörigheter</SPAN></P>
<P class="p413 ft21">Uppföljning av <SPAN class="ft20">åtkomst </SPAN>och <SPAN class="ft20">behörigheter </SPAN>är nödvändigt då:</P>
<P class="p256 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">förändringar kan ske i användarens anställning (t.ex. kan använ- daren byta enhet eller arbetsuppgifter, vara tjänstledig under en längre tid eller lämna projektdeltagande i förtid),</SPAN></P>
<P class="p136 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">insiders kan ha tilldelat sig otillbörliga behörigheter,</SPAN></P>
<P class="p258 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">externa hotaktörer eller insiders kan ha skapat helt nya behörig- heter, eller</SPAN></P>
<P class="p257 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">gamla användarkonton felaktigt kan ha återaktiverats (av misstag eller av en insider).</SPAN></P>
<P class="p70 ft26"><SPAN class="ft26">7.14.4</SPAN><SPAN class="ft140">Uppdatering av dokumentation</SPAN></P>
<P class="p220 ft19">Lika viktigt som att upprätta dokumentation vid driftsättning av ett nytt informationssystem, system eller applikation är arbetet med att se till att dokumentationen uppdateras över tid. Vid ny eller föränd-</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">204</P>
</DIV>
</DIV>
<DIV id="page_206">
<DIV id="p206dimg1">
<INGENBILD zsrc="H9B363206x1.jpg/" id="p206img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td23"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td24"><P class="p2 ft37">Informationssäkerhet</P></TD>
</TR>
</TABLE>
<P class="p293 ft21">rad funktionalitet i it- miljö, system eller applikation ska befintlig dokumentation ses över.<SPAN class="ft102">57</SPAN></P>
<P class="p278 ft48"><SPAN class="ft48">7.15</SPAN><SPAN class="ft135">Allmänt om incidenthantering</SPAN></P>
<P class="p74 ft17">En <NOBR>it-incident</NOBR> kan bero på såväl ett avsiktligt som ett oavsiktligt agerande av egen personal eller av en hotaktör. De konsekvenser som kan uppstå vid en sådan incident är exempelvis att informations- systemet blir otillgängligt eller att information i systemet har för- vanskats, förstörts eller röjts till obehörig. Oavsett orsak är det vik- tigt att incidenter hanteras på ett strukturerat sätt för att den säker- hetskänsliga verksamheten så snart som möjligt ska kunna återgå till normalläge.</P>
<P class="p111 ft18">Begreppet <NOBR>it-incident</NOBR> återfinns i 2 kap. 10 § säkerhetsskyddsför- ordningen (2018:658) där det av rubriksättningen framgår att en it- incident är en typ av säkerhetshotande händelse. Bestämmelser rela- terade till hantering av säkerhetshotande händelser finns därutöver i Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd.</P>
<P class="p111 ft18">Av bestämmelserna i 2 kap. 20 § PMFS 2019:2 framgår att verk- samhetsutövaren ska ha rutiner för hantering av säkerhetshotande händelser som är av betydelse för verksamhetens säkerhetsskydd.</P>
<P class="p58 ft18">Av 21 § framgår att verksamhetsutövaren ska vid säkerhetshotande händelser som är av betydelse för verksamhetens säkerhetsskydd vidta åtgärder så att skadlig inverkan på den säkerhetskänsliga verksam- heten minimeras och så att den säkerhetskänsliga verksamheten så snart som möjligt kan återgå till normalläge.</P>
<P class="p186 ft17">Av 22 § framgår att verksamhetsutövaren ska utvärdera inträffade säkerhetshotande händelser som är av betydelse för verksamhetens säkerhetsskydd. Utifrån utvärderingen ska verksamhetsutövaren in- föra de förbättringar som krävs för att minimera skadeeffekten av liknande händelser i framtiden.</P>
<P class="p111 ft46">I nästa avsnitt redogörs för åtgärder som en verksamhetsutövare ska och bör beakta i fråga om incidenthantering för ett informations- system som har betydelse för säkerhetskänslig verksamhet.</P>
<P class="p452 ft113"><SPAN class="ft56">57</SPAN><SPAN class="ft119">Det kan beröra policydokument, systemdokumentation, rutiner, driftsdokumentation, för- valtningsdokumentation, utvecklardokumentation, nätverkskartor, inventarielistor, m.m.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">205</P>
</DIV>
</DIV>
<DIV id="page_207">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Informationssäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p201 ft26"><SPAN class="ft26">7.15.1</SPAN><SPAN class="ft140">Grundläggande förutsättningar</SPAN></P>
<P class="p220 ft17">För att en verksamhetsutövare ska kunna hantera <NOBR>it-incidenter</NOBR> på ett tillfredställande sätt krävs att två grundläggande komponenter finns på plats redan på förhand. Den viktigaste komponenten är att verk- samhetsutövaren format en arbetsgrupp som är redo att ta sig an de utmaningar en <NOBR>it-incident</NOBR> medför. I en sådan grupp är god teknisk it- och säkerhetskompetens viktigt, likväl som insikt i och förståelse för <NOBR>it-miljön.</NOBR> En incidenthanteringsgrupp bör även bestå av personal som kan hantera rättsliga frågor, personal- och arbetsgivarfrågor samt kommunikationsfrågor.</P>
<P class="p106 ft18">Den andra viktiga komponenten är att verksamhetsutövaren tagit fram en incidenthanteringsplan. Syftet med planen är att den ska vara ett stöd i den praktiska incidenthanteringen. En incidenthanterings- plan bör vara konkret och kärnfull för att vara praktiskt användbar. En incidenthanteringsplan bör även innehålla beskrivningar av roller och ansvarsområden, mandat, prioriteringsordning, utredning, mini- mering av skador, återställning, dokumentering och rapportering.</P>
<P class="p102 ft26"><SPAN class="ft26">7.15.2</SPAN><SPAN class="ft140">Genomförande</SPAN></P>
<P class="p453 ft17">Att hantera en <NOBR>it-incident</NOBR> kan vara komplicerat och tidskrävande och syftar till att:</P>
<P class="p136 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">minimera skadeverkan i informationssystemet,</SPAN></P>
<P class="p34 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">utreda omfattning och orsak,</SPAN></P>
<P class="p258 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">återställa informationssysteminformationssystemet till normal- läge,</SPAN></P>
<P class="p257 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">dokumentera och rapportera incidenten till berörda intressenter, och</SPAN></P>
<P class="p454 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">utvärdera och dra lärdom av incidenten för att kunna införa de förbättringar som krävs för att minska sannolikheten för, eller mini- mera skadeeffekten av, liknande händelser i framtiden.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">206</P>
</DIV>
</DIV>
<DIV id="page_208">
<DIV id="p208dimg1">
<INGENBILD zsrc="H9B363208x1.jpg/" id="p208img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td23"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td24"><P class="p2 ft37">Informationssäkerhet</P></TD>
</TR>
</TABLE>
<P class="p5 ft48"><SPAN class="ft48">7.16</SPAN><SPAN class="ft135">Avveckling</SPAN></P>
<P class="p6 ft26"><SPAN class="ft26">7.16.1</SPAN><SPAN class="ft140">Allmänt om avveckling</SPAN></P>
<P class="p91 ft18">En vanligt förekommande orsak till avveckling är att ett befintligt informationssystem ska ersättas av ett annat. Att övergången från det befintliga till det nya kan ske utan oplanerade avbrott i den säker- hetskänsliga verksamheten, är ofta en viktig fråga att beakta i sådana sammanhang. Andra viktiga frågor som kan bli aktuella vid avveck- ling är migrering och arkivering av data. Att avveckla ett informa- tionssystem är därför ett arbete som ofta kräver noggrann planering.</P>
<P class="p186 ft17">Utbyte och avveckling av komponenter i ett informationssystem är något som normalt sett sker mer frekvent än utbyte av hela infor- mationssystem.</P>
<P class="p216 ft17">Av bestämmelserna i 4 kap. 10 § i PMFS 2019:2 framgår att verk- samhetsutövaren ska fastställa rutiner för hanteringen av informa- tionssystem som har betydelse för säkerhetskänslig verksamhet under systemets förväntade livstid.</P>
<P class="p11 ft46">Av bestämmelserna i 3 kap. 3 § i PMFS 2019:2 framgår att verk- samhetsutövaren ska ha rutiner för behandling av säkerhetsskydds- klassificerade uppgifter och handlingar. Rutinerna ska reglera vad som gäller för spårbarhet, upprättande, kopiering, utskrift, utdrag, kvit- tering, förvaring, distribution, medförande, inventering och destruk- tion samt vad som behövs i övrigt för att upprätthålla ett fullgott säkerhetsskydd. Verksamhetsutövaren ska ha rutiner för behandling av uppgifter som behöver skyddas från ett tillgänglighets- eller riktig- hetsperspektiv.</P>
<P class="p455 ft17">Av bestämmelserna i 3 kap. 27 § i PMFS 2019:2 framgår att verk- samhetsutövaren ska ha rutiner för avveckling eller återanvändning av lagringsmedium som används i säkerhetskänslig verksamhet. Ruti- nerna ska säkerställa att information på lagringsmediet inte kan åter- skapas.<SPAN class="ft54">58</SPAN></P>
<P class="p456 ft87"><SPAN class="ft56">58</SPAN><SPAN class="ft86">Rutiner för avveckling av informationssystem bör omfatta hur:</SPAN></P>
<P class="p433 ft87"><SPAN class="ft58">–</SPAN><SPAN class="ft86">avveckling av lagringsmedier ska hanteras,</SPAN></P>
<P class="p433 ft85"><SPAN class="ft58">–</SPAN><SPAN class="ft84">avveckling av komponenter ska hanteras,</SPAN></P>
<P class="p433 ft85"><SPAN class="ft58">–</SPAN><SPAN class="ft84">migrering av säkerhetsskyddsklassificerade uppgifter och övrig data ska hanteras,</SPAN></P>
<P class="p433 ft85"><SPAN class="ft58">–</SPAN><SPAN class="ft84">arkivering av data ska hanteras samt hur länge data ska bevaras, och</SPAN></P>
<P class="p433 ft41"><SPAN class="ft58">–</SPAN><SPAN class="ft82">avvecklingen ska dokumenteras.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">207</P>
</DIV>
</DIV>
<DIV id="page_209">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Informationssäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p201 ft26"><SPAN class="ft26">7.16.2</SPAN><SPAN class="ft140">Avveckling av komponenter</SPAN></P>
<P class="p355 ft17">Vissa komponenter som används inom ett informationssystem inne- håller systemrelaterad information som beskriver hur säkerhetsåt- gärder i informationssystemet, helt eller i vissa delar, är konfigurerade eller uppbyggda. Om en hotaktör får åtkomst till sådan information kan den i vissa fall användas för att underlätta ett angrepp på infor- mationssystemet. Det är därför viktigt att verksamhetsutövaren gör en bedömning av om den typen av information är skyddsvärd och hur den i så fall ska hanteras vid avveckling av de komponenter där den förekommer.</P>
<P class="p106 ft18">Även om systemrelaterad information raderas, t.ex. genom en systemåterställning, är det inte alltid en heltäckande åtgärd då infor- mationen kan finnas kvar i en minneskrets inom komponenten. Före- komst av minneskretsar bör därför beaktas särskilt vid avveckling av komponenter som innehåller säkerhetsskyddsklassificerad eller på annat sätt skyddsvärd information.</P>
<P class="p102 ft26"><SPAN class="ft26">7.16.3</SPAN><SPAN class="ft140">Avveckling och återanvändning av lagringsmedia</SPAN></P>
<P class="p220 ft18">En verksamhetsutövare är skyldig att ta fram rutiner för avveckling eller återanvändning av <SPAN class="ft45">lagringsmedia </SPAN>som använts i säkerhetskänslig verksamhet. Dessa rutiner ska säkerställa att information på lagrings- mediet inte kan återskapas och bör beskriva vilket tillvägagångssätt som ska tillämpas för respektive säkerhetskyddsklass.</P>
<P class="p73 ft18">En vanlig metod för att förhindra möjligheten att återskapa infor- mation på lagringsmedia är överskrivning av data. Detta innebär att befintligt data vid upprepade tillfällen skrivs över och ersätts av annan data. En annan metod är att förstöra nyckeln till krypterade lagrings- media. Båda dessa metoder har vid tillfällen visat sig innehålla sår- barheter som inneburit att den som har tillgång till lagringsmediet kunnat återskapa delar av informationen. Med anledning av detta bör återanvändning av lagringsmedia ske restriktivt och endast i de fall då lagringsmediet kommer att återanvändas i ett informationssystem som omfattas av säkerhetsskydd.</P>
<P class="p106 ft19">För lagringsmedia som inte ska återanvändas av verksamhets- utövaren bör avveckling ske genom fysisk destruktion.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">208</P>
</DIV>
</DIV>
<DIV id="page_210">
<DIV id="p210dimg1">
<INGENBILD zsrc="H9B363210x1.jpg/" id="p210img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td23"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td24"><P class="p2 ft37">Informationssäkerhet</P></TD>
</TR>
</TABLE>
<P class="p5 ft48"><SPAN class="ft48">7.17</SPAN><SPAN class="ft135">Samråd om informationssystem</SPAN><SPAN class="ft144">59</SPAN></P>
<P class="p6 ft26"><SPAN class="ft26">7.17.1</SPAN><SPAN class="ft140">Allmänt om samråd</SPAN></P>
<P class="p232 ft18">Av bestämmelserna i 3 kap. 2 § säkerhetsskyddsförordningen (2018:658) framgår att innan ett informationssystem som kan förutses komma att behandla säkerhetsskyddsklassificerade uppgifter i säkerhetsskydds- klassen konfidentiell eller högre tas i drift, eller i väsentliga avse- enden förändras, ska verksamhetsutövaren skriftligen samråda med Säkerhetspolisen.<SPAN class="ft79">60 </SPAN>Om verksamhetsutövaren hör till Försvarsmak- tens tillsynsområde enligt 7 kap. 1 § första stycket 1, ska denne i stället samråda med Försvarsmakten.</P>
<P class="p187 ft18">Samrådsskyldigheten gäller även i fråga om <SPAN class="ft45">andra informations- system </SPAN>än sådana som anges i första stycket, om obehörig åtkomst till systemen kan medföra en <SPAN class="ft45">skada för Sveriges säkerhet </SPAN>som <SPAN class="ft45">inte är obetydlig</SPAN>. Vid ett sådant samråd lämnar Säkerhetspolisen ett <SPAN class="ft45">yttrande </SPAN>kring de säkerhetsskyddsåtgärder verksamhetsutövaren har vidtagit, eller har för avsikt att vidta, samt hur dessa förhåller sig till bestäm- melserna om säkerhetsskydd i författningarna.</P>
<P class="p147 ft26"><SPAN class="ft26">7.17.2</SPAN><SPAN class="ft140">Samråd inför driftsättning av ett informationssystem</SPAN></P>
<P class="p232 ft19">Den särskilda säkerhetsskyddsbedömningen är central när en verk- samhetsutövare ska <SPAN class="ft63">samråda </SPAN>med Säkerhetspolisen. En verksamhets- utövare kan inleda ett samråd med Säkerhetspolisen redan vid fram- tagandet av design och arkitektur för ett informationssystem för att i ett tidigt skede få stöd i bedömningen av om säkerhetsskydds- åtgärderna för informationssystemet uppfyller bestämmelserna om säkerhetsskydd.</P>
<P class="p149 ft17">I de fall en verksamhetsutövare har för avsikt att <SPAN class="ft49">utveckla </SPAN>ett in- formationssystem som ska nyttjas av andra verksamhetsutövare, föreligger samrådsskyldighet primärt för den verksamhetsutövare som utvecklar informationssystemet.</P>
<P class="p187 ft18">Ett samråd avslutas alltid med ett slutligt <SPAN class="ft45">yttrande </SPAN>från Säkerhets- polisen till verksamhetsutövaren <SPAN class="ft45">inför driftsättning</SPAN>. I yttrandet läm- nar myndigheten synpunkter på de säkerhetsskyddsåtgärder verk-</P>
<P class="p457 ft87"><SPAN class="ft56">59</SPAN><SPAN class="ft86">Se även kapitel 13.</SPAN></P>
<P class="p296 ft41"><SPAN class="ft56">60</SPAN><SPAN class="ft82">3 kap. 2 § säkerhetsskyddsförordningen (2018:658) och 4 kap. 9 § Säkerhetspolisens före- skrifter (PMFS 2019:2) om säkerhetsskydd.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">209</P>
</DIV>
</DIV>
<DIV id="page_211">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Informationssäkerhet</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p81 ft17">samhetsutövaren har vidtagit, eller har för avsikt att vidta, och hur dessa förhåller sig till bestämmelserna om säkerhetsskydd i författ- ningarna.</P>
<P class="p129 ft17">Säkerhetspolisen anger att för myndigheten ska kunna lämna ett ”kvalitativt” yttrande förutsätts att verksamhetsutövaren har:</P>
<P class="p458 ft18"><SPAN class="ft21">–</SPAN><SPAN class="ft66">genomfört tester och verifierat att de säkerhetsskyddsåtgärder (säkerhetskrav) som identifierats i den särskilda säkerhetsskydds- bedömningen har implementerats och att de ger avsedd effekt,</SPAN></P>
<P class="p459 ft18"><SPAN class="ft21">–</SPAN><SPAN class="ft66">säkerställt att samtliga identifierade sårbarheter och säkerhets- brister i informationssystemet som kan medföra negativ påverkan för den säkerhetskänsliga verksamheten har omhändertagits, och</SPAN></P>
<P class="p460 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">säkerställt att eventuella undantag och kompenserande åtgärder som vidtagits i förhållande till säkerhetskraven i den särskilda säker- hetsskyddsbedömningen är dokumenterade.</SPAN></P>
<P class="p461 ft35"><SPAN class="ft26">7.17.3</SPAN><SPAN class="ft145">Samråd vid väsentlig förändring av ett informationssystem</SPAN></P>
<P class="p462 ft17">Vad som utgör en <SPAN class="ft49">väsentlig förändring </SPAN>i ett informationssystem kan vara svårt att entydigt definiera. En väsentlig förändring kan ta sig uttryck på många olika sätt, t.ex. när:</P>
<P class="p463 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">ett befintligt informationssystem ska hantera uppgifter med en högre säkerhetsskyddsklassificering än tidigare,</SPAN></P>
<P class="p464 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">ett befintligt informationssystem ska integreras eller kommuni- cera med andra informationssystem, eller när exponering av annat skäl väsentligen ökar, eller</SPAN></P>
<P class="p463 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">ett befintligt informationssystem ska användas i en annan säker- hetskänslig verksamhet.</SPAN></P>
<P class="p465 ft18">En verksamhetsutövare ska göra en bedömning av vad som kan anses utgöra en <SPAN class="ft45">väsentlig förändring</SPAN>. För stöd i en sådan bedömning kan verksamhetsutövaren samråda med Säkerhetspolisen. Innan en väsent- lig förändring av ett informationssystem genomförs bör verksamhets- utövaren genomföra en <SPAN class="ft45">särskild säkerhetsskyddsbedömning</SPAN>. Genom den särskilda säkerhetsskyddsbedömningen sätter verksamhetsutöva-</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">210</P>
</DIV>
</DIV>
<DIV id="page_212">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td23"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td24"><P class="p2 ft37">Informationssäkerhet</P></TD>
</TR>
</TABLE>
<P class="p126 ft21">ren ramarna för vilka säkerhetsskyddsåtgärder som ska vidtas i och med att förändringen genomförs.</P>
<P class="p262 ft19">På motsvarande sätt som vid ett samråd innan ett informations- system ska tas i drift, lämnar Säkerhetspolisen ett <SPAN class="ft63">skriftligt yttrande </SPAN>till verksamhetsutövaren. I yttrandet lämnar myndigheten synpunk- ter på de säkerhetsskyddsåtgärder som verksamhetsutövaren har vid- tagit, eller har för avsikt att vidta, och hur dessa förhåller sig till be- stämmelserna om säkerhetsskydd i författningarna.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">211</P>
</DIV>
</DIV>
<DIV id="page_213">
</DIV>
<DIV id="page_214">
<DIV id="p214dimg1">
<INGENBILD zsrc="H9B363214x1.jpg/" id="p214img1">
</DIV>
<P class="p466 ft109"><SPAN class="ft16">8</SPAN><SPAN class="ft108">Offentliga utredningar och myndighetsrapporter</SPAN></P>
<P class="p467 ft18"><SPAN class="ft59">Bedömning: </SPAN>Av offentliga utredningar och myndighetsrapporter framkommer en mycket bekymmersam bild över nivån och omfatt- ningen av informations- och cybersäkerhet i samhället allmänt och särskilt vad gäller i säkerhetskänslig verksamhet och annan sam- hällsviktig verksamhet. Av utredningarna och rapporterna fram- kommer bl.a.:</P>
<P class="p468 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">att cybersäkerhet föreslås utgöra ett särskilt beredskapsområde och inte någon egen beredskapssektor då regeringen inte har utsett någon samordnande myndighet för cybersäkerhetsom- rådet,</SPAN></P>
<P class="p469 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">att det behöver etableras samverkansformer med övriga sär- skilda beredskapsområden,</SPAN></P>
<P class="p470 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">att det behöver finnas en nationell funktion med uppgift att stödja myndigheter och samhället i övrigt i arbetet med att före- bygga och hantera angrepp inom informations- och kommu- nikationsområdet samt upprätthålla en aktuell lägesbild över samhällets digitala miljö, vilket är en viktig verksamhet för bl.a. det civila försvaret,</SPAN></P>
<P class="p471 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">att myndigheter som bedriver de mest skyddsvärda verksam- heterna i många fall har svårt att bedöma vad som är skydds- värt med hänsyn till Sveriges säkerhet,</SPAN></P>
<P class="p469 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">att myndigheter också vanligtvis har svårt att bedöma hot- bilden mot den egna verksamheten,</SPAN></P>
<P class="p472 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">att myndigheter i stor utsträckning även saknar förmågan att bedöma den egna verksamhetens sårbarheter,</SPAN></P>
<P class="p473 ft31">213</P>
</DIV>
<DIV id="page_215">
<DIV id="p215dimg1">
<INGENBILD zsrc="H9B363215x1.jpg/" id="p215img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Offentliga utredningar och myndighetsrapporter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p474 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">att som en följd av dessa brister har många myndigheter svårt att vidta ändamålsenliga och kostnadseffektiva säkerhetsskydds- åtgärder,</SPAN></P>
<P class="p475 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">att det finns allvarliga brister i arbetet med informations- och cybersäkerhet samt att arbetet med informations- och cyber- säkerhet och säkerhetsskydd dessutom inte är tillräckligt integ- rerade,</SPAN></P>
<P class="p476 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">att det på nationell nivå saknas enhetlig styrning och sam- ordning av arbetet med informations- och cybersäkerhet,</SPAN></P>
<P class="p475 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">att det är svårt att få en sammanhängande bild av samtliga regel- verk om informations- och cybersäkerhet samt säkerhets- skydd och hur de ska tolkas,</SPAN></P>
<P class="p475 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">att avsaknaden av en samlad statlig strategi leder till att varje myndighet gör egna utredningar, bedömningar och bygger egna lösningar för att uppfylla krav på informations- och cyber- säkerhet,</SPAN></P>
<P class="p477 ft19"><SPAN class="ft27">–</SPAN><SPAN class="ft146">att krav på digitalisering och kostnadseffektiva lösningar ofta ställs mot höga krav på informations- och cybersäkerhet,</SPAN></P>
<P class="p478 ft19"><SPAN class="ft27">–</SPAN><SPAN class="ft146">att höga krav på informations- och cybersäkerhet påverkar i sig möjligheterna att nyttja kostnadseffektiva </SPAN><NOBR>it-driftstjänster,</NOBR></P>
<P class="p479 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">att det finns svårigheter med att formulera ändamålsenliga krav för </SPAN><NOBR>it-drift</NOBR> som påverkar kostnadseffektiviteten,</P>
<P class="p480 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">att informations- och cybersäkerhet inte prioriteras och att det inte avsätts tillräckligt med resurser för denna verksamhet hos många verksamhetsutövare,</SPAN></P>
<P class="p475 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">att det finns föråldrade nätverks- och informationssystem hos ett stort antal myndigheter som dessutom är verksamhetskri- tiska system,</SPAN></P>
<P class="p475 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">att teknikskulden avseende nätverks- och informationssystem påverkar förutsättningarna att arbeta med informations- och cybersäkerhet i systemen,</SPAN></P>
<P class="p481 ft18"><SPAN class="ft27">–</SPAN><SPAN class="ft134">att föråldrade nätverks- och informationssystem medför ris- ker för bristande informations- och cybersäkerhet samt säker-</SPAN></P>
</DIV>
<DIV id="id_3">
<P class="p0 ft31">214</P>
</DIV>
</DIV>
<DIV id="page_216">
<DIV id="p216dimg1">
<INGENBILD zsrc="H9B363216x1.jpg/" id="p216img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td87"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td88"><P class="p2 ft37">Offentliga utredningar och myndighetsrapporter</P></TD>
</TR>
</TABLE>
<P class="p482 ft21">hetsskydd, vilket även medför bristande hushållning med sta- tens medel,</P>
<P class="p483 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">att det finns allvarliga brister i arbetet med systematisk infor- mationssäkerhet hos många verksamhetsutövare,</SPAN></P>
<P class="p484 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">att det brister bl.a. i förmågan att genomföra informations- klassificering, som ligger till grund för säkerhetsskyddsåtgär- der hos verksamhetsutövare,</SPAN></P>
<P class="p485 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">att det är svårt att finna personer med kompetens inom it, säkerhet och upphandling,</SPAN></P>
<P class="p485 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">att bristen på relevant kompetens upplevs som ett stort hinder för säker </SPAN><NOBR>it-drift,</NOBR> och</P>
<P class="p485 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">att myndigheterna har kommit olika långt i sitt informations- och cybersäkerhetsarbete.</SPAN></P>
<P class="p283 ft48"><SPAN class="ft48">8.1</SPAN><SPAN class="ft78">Inledning</SPAN></P>
<P class="p124 ft18">Ett antal offentliga utredningar och myndighetsrapporter samt andra rapporter som berör informationssäkerhet i olika verksamheter har offentliggjorts under den senaste femårsperioden. I några av utred- ningarna och rapporterna berörs även frågor om informationssäker- het inom ramen för regleringen av säkerhetsskydd i olika verksam- heter. I detta kapitel redogörs för ett urval av dessa utredningar och rapporter i de delar som behandlar frågor om informationssäkerhet mer allmänt och informationssäkerhet inom ramen för säkerhets- skydd, såväl i offentlig som enskild verksamhet.</P>
<P class="p58 ft18">Urvalet har skett med utgångspunkt i direktiven att utredningen ska analysera om det finns behov av att stärka säkerheten i nätverks- och informationssystem i säkerhetskänslig verksamhet. Urvalet grun- das på behovet av att – om möjlig – få en översiktlig bild över nivån på och omfattningen av nätverks- och informationssäkerheten i an- givna verksamheter, särskilt vad avser den säkerhetskänsliga verksam- heten, men även hur arbetet med att stärka informationssäkerheten allmänt och i säkerhetskänslig verksamhet har utvecklats över tiden, eftersom dessa två frågor har beröringspunkter.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">215</P>
</DIV>
</DIV>
<DIV id="page_217">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Offentliga utredningar och myndighetsrapporter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p201 ft48"><SPAN class="ft48">8.2</SPAN><SPAN class="ft78">Offentliga utredningar och rapporter</SPAN></P>
<P class="p221 ft26">År 2014</P>
<P class="p420 ft20">Informationssäkerheten i den civila statsförvaltningen (RiR 2014:223)</P>
<P class="p355 ft46">Riksrevisionen konstaterade i granskningsrapporten <SPAN class="ft60">Informations- säkerheten i den civila statsförvaltningen </SPAN>(RiR 2014:223) att reger- ingen gett olika myndigheter flera uppdrag med stor betydelse för informationssäkerheten i statsförvaltningen men att regeringen i liten utsträckning hade informerat sig om status på informationssäker- heten. Man noterade att regeringen i regleringsbreven inte hade ställt krav på myndigheternas nivå för informationssäkerhet. I de fall regler- ingsbreven innehöll krav på it handlar det mer om effektivisering av myndighetens it eller krav på enskilda system. Vidare utgjorde enligt regeringen risk- och sårbarhetsanalyser samt förmågebedömningar vik- tiga underlag för att möjliggöra en effektiv uppföljning, styrning och inriktning av den sammantagna krisberedskapen i samhället. Påpekan- den om brister i risk- och sårbarhetsanalyserna hade dessutom gjorts under flera år.</P>
<P class="p486 ft18">Riksrevisionens bedömning av den aktuella handlingsplanen för informationssäkerhet var att mål och åtgärder var av blandad karak- tär. Det fanns heller ingen central funktion i Regeringskansliet med ett utpekat ansvar för att dels vara mottagare av strategiskt viktig information som underlag för styrning från regeringens sida, dels bereda ärenden som rör informationssäkerheten i statsförvaltningen. Riksrevisionen framhöll att den granskat om informationssäker- heten i den civila delen av statsförvaltningen är ändamålsenlig utifrån ökande hot. Riksrevisionens samlade slutsats av granskningen var att arbetet med informationssäkerheten inte är ändamålsenligt sett till de hot och risker som finns och påpekade att granskningen visade på omfattande brister i statsförvaltningen. Regeringen hade inte heller någon samlad lägesbild som inkluderar hot, i vilken omfattning och mot vilka hoten realiseras samt vilka skyddsåtgärder myndigheterna vidtar. Det hade inte heller någon av regeringens stöd- och tillsyns- myndigheter. Det innebar att den samlade förmågan att kunna han- tera de konsekvenser som kan bli följden av en allvarlig incident till stora delar var okänd. Av det skälet var det nödvändigt att regeringen och dessa myndigheter vidtar åtgärder, så att det går att få en samlad</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">216</P>
</DIV>
</DIV>
<DIV id="page_218">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td87"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td88"><P class="p2 ft37">Offentliga utredningar och myndighetsrapporter</P></TD>
</TR>
</TABLE>
<P class="p487 ft21">bild av läget och utifrån detta anpassa säkerheten till de behov som finns. Riksrevisionen framhöll att granskningen visade att</P>
<P class="p488 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">regeringen inte utövat en effektiv styrning av informationssäker- heten i den civila statsförvaltningen och</SPAN></P>
<P class="p489 ft46"><SPAN class="ft27">–</SPAN><SPAN class="ft51">regeringens stöd- och tillsynsmyndigheter endast delvis hade vid- tagit nödvändiga åtgärder för att informera sig och regeringen om vilka hot som finns mot den civila statsförvaltningen, i vilken omfattning de realiseras och vilka skyddsåtgärder som vidtas.</SPAN></P>
<P class="p490 ft18">Riksrevisionen framhöll hade vidare att den som ett led i gransk- ningen uppdragit åt Myndigheten för samhällsskydd och beredskap (MSB), Försvarets radioanstalt (FRA) och Säkerhetspolisen att hämta in och analysera uppgifter om läget för informationssäkerheten i statsförvaltningen. Redovisningen av dessa uppdrag innebar ny och väsentlig, ny information om läget. Vart och ett av myndigheternas yttranden pekade dessutom entydigt i samma riktning. Riksrevisio- nen drog till följd av granskningen slutsatsen att läget var allvarligt för de myndigheter som fått sina skydd testade mot intrång av FRA, och även för flera av de myndigheter vars säkerhetsskydd kontrolle- rats av Säkerhetspolisen. Enbart det faktum att myndigheterna har ett ansvar för sin informationssäkerhet verkar inte vara tillräckligt för att uppnå en god informationssäkerhet i statsförvaltningen. Säker- hetspolisen hade i sin tillsyn funnit systematiska brister i säkerhets- skyddsarbetet, framför allt i fråga om it- och informationssäkerhet hos de mest skyddsvärda myndigheterna. Det handlar till exempel om skadekonsekvensbeskrivningar som antingen saknas eller innehåller ekonomiska eller andra konsekvenser för den egna verksamheten i stället för de som rör rikets säkerhet eller terrorism. Det kan också handla om att det saknas förmågebedömningar av tänkta angripare, vilket medför att det blir oklart hur informationssäkerheten ska dimen- sioneras. Dessa brister ledde sammantaget till att dessa myndigheter inte kan ta fram ändamålsenliga kravspecifikationer för att värna de mest skyddsvärda informationstillgångarna.</P>
<P class="p262 ft18">Riksrevisionen betonade att det var betydande brister i säkerhets- arbetet som hade upptäckts. FRA:s penetrationstester som sker på begäran av en myndighet visade på att säkerhetsnivån är otillräcklig på flertalet av de myndigheter som blivit testade. FRA testar dess- utom informationssäkerheten på en avgränsad del av statsförvaltningen,</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">217</P>
</DIV>
</DIV>
<DIV id="page_219">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Offentliga utredningar och myndighetsrapporter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p60 ft19">vilket innebär att FRA saknar kännedom om statusen på informa- tionssäkerhet för merparten av myndigheterna i statsförvaltningen. Om inte ens de mest skyddsvärda verksamheterna hade ägnat frågan tillräcklig uppmärksamhet var risken stor att motsvarande brister åter- finns även i övriga förvaltningen.</P>
<P class="p82 ft18">Riksrevisionen konstaterade vidare att statusen på kunskapsläget för informationssäkerheten i statsförvaltningen var oklart. Varken regeringen eller någon av stöd- och tillsynsmyndigheterna hade en bra och systematiskt underbyggd lägesbild, vilket är en förutsättning för att kunna säkerställa att man vidtar rätt åtgärder. För att arbetet med informationssäkerhet i förvaltningen ska vara effektivt krävs kunskap om såväl hot och risker som vilka hot som förverkligas och vilka skyddsåtgärder myndigheterna vidtar. Regeringen hade organi- serat arbetet på ett sätt som gör att man får kunskap om hot och risker på en övergripande nivå. Genom Säkerhetspolisens tillsyn får man även kunskap om realiserade hot och vidtagna skyddsåtgärder för de mest samhällskritiska verksamheterna. Vilka hot eller risker som realiseras mot de myndigheter som inte omfattas av säkerhetsskydds- lagstiftningen eller vilka skyddsåtgärder dessa myndigheter vidtar fanns dock ingen myndighet som kontrollerar. Regeringen hade inte heller genom regleringsbrev eller på annat sätt krävt att myndighe- terna lämnar sådan information. MSB och FRA hade i avrapporter- ingen av regeringsuppdragen om obligatorisk incidenthantering och ett tekniskt detektering- och varningssystem uttryckt att dessa åt- gärder åtminstone delvis skulle kunna ge sådan information. Dessa frågor bereddes dock – flera år efter att behovet uttryckts – fortfa- rande i Regeringskansliet. Regeringen hade således i visst avseende styrt mot en förbättrad säkerhet genom att ge dessa myndigheter uppdrag. När sedan uppdragen redovisats blev de liggande länge i Regeringskansliet utan åtgärd, vilket försvårade att få till stånd en gemensam lägesbild att utgå från när säkerheten ska förbättras.</P>
<P class="p142 ft17">Riksrevisionen konstaterade även att eftersom varken regeringen eller stöd och tillsynsmyndigheterna hade den fulla bilden av i vilken omfattning hot realiseras eller vilka skyddsåtgärder myndigheterna vidtar saknades en nödvändig förutsättning för ett effektivt arbete med informationssäkerhet.</P>
<P class="p82 ft46">Riksrevisionen fann att även myndigheternas risk- och sårbarhets- analyser hade omfattande brister när det gäller informationssäkerhet. Trots att det ställs uttryckliga krav på att informationssäkerhet ska</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">218</P>
</DIV>
</DIV>
<DIV id="page_220">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td87"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td88"><P class="p2 ft37">Offentliga utredningar och myndighetsrapporter</P></TD>
</TR>
</TABLE>
<P class="p86 ft18">beaktas i analyserna, var det inte alla myndigheter som gjorde det. Det var dessutom stora variationer mellan myndigheter på hur analy- serna struktureras. Av dessa skäl var det svårt att aggregera informa- tionen från flera myndigheter, vilket gjorde det omöjligt att upprätta en gemensam lägesbild av informationssäkerheten på central nivå. Detta ledde i sin tur till att det blir svårt att analysera vilka brister som finns och därmed kunna göra en grundlig riskbedömning. Då blir det naturligtvis också svårt att vidta lämpliga åtgärder för att bygga upp nödvändig förmåga.</P>
<P class="p80 ft19">Riksrevisionen noterade vidare att både Säkerhetspolisen, genom sin tillsyn, och FRA, genom sin stödjande och rådgivande verksamhet, får kunskap om brister i enskilda myndigheters informationssäker- het. Ingen av myndigheterna har dock lämnat någon mer aggregerad redovisning av bristerna och vilken status det är på myndigheternas informationssäkerhet till Regeringskansliet. Ett skäl som angavs till varför så inte har skett är att det saknas en naturlig mottagare i Reger- ingskansliet.</P>
<P class="p109 ft46">Riksrevisionen konstaterade vidare att MSB har inget mandat att utöva tillsyn över myndigheternas informationssäkerhet. Avsakna- den av dessa verktyg försvårar för MSB att arbeta effektivt. Det fanns sedan fem år föreskrifter för ledningssystem för informations- säkerheten (LIS) utfärdade av MSB. <NOBR>LIS-föreskrifterna</NOBR> ska stödja uppbyggnaden och vidmakthållandet av informationssäkerheten på myndigheterna. Efterlevnaden visade sig dålig när föreskrifterna 2014 hade utvärderats då inte ens hälften av myndigheterna – enligt Riks- revisionens bedömning – kunde anses uppfylla kraven i föreskrif- terna, vilket talar starkt för att många myndigheter inte prioriterar informationssäkerheten. Det tyder också på att utfärdande av före- skrifter behöver kompletteras med ett uppföljnings- eller tillsyns- ansvar. Ett tydligt och väl anpassat regelverk är dessutom en förut- sättning för att uppnå effektivitet i arbetet med informationssäkerhet. Riksrevisionen drog därför slutsatsen att det regelverk som styr myn- digheternas arbete med informationssäkerhet bättre kan behöva an- passas till olika typer av statlig verksamhet för att kunna nå önskvärda mål.</P>
<P class="p262 ft46">Riksrevisionen konstaterade att även om frågan om informa- tionssäkerhet i hög grad var aktualiserad av regeringen fanns det så- ledes stora brister. Ett skäl till problemen att få till stånd en bättre informationssäkerhet var sannolikt – enligt Riksrevisionen – att det</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">219</P>
</DIV>
</DIV>
<DIV id="page_221">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Offentliga utredningar och myndighetsrapporter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p60 ft18">inte finns någon funktion som ansvarar för informationssäkerheten som helhet i statsförvaltningen, inklusive Regeringskansliet, och som är mottagare av viktig information om denna. Inte heller hade något av statsråden ett uttalat ansvar för just informationssäkerheten i stats- förvaltningen. Frågor om informationssäkerhet hanterades antingen på det departement som respektive myndighet lyder under eller be- reds i samråd med andra departement, även om informationssäker- het är en dimension som spänner över hela statsförvaltningen och dessutom har bäring på flera funktioner såsom förvaltningspolitik, intern styrning och kontroll, krishantering samt brottsbekämpning. Beroende på vilken funktion som anses mest styrande kommer an- svaret för att samordna ärendet att variera mellan olika departement. Dessa förhållanden gör att i praktiken är det inget departement som har ett samlat ansvar för informationssäkerheten i statsförvaltningen. Det innebär att det inte finns en given funktion i Regeringskansliet som kan stå för styrning och samordning av informationssäkerheten, såsom fallet är med till exempel krisberedskap där ett visst departe- ment har ett utpekat ansvar. Det betyder dessutom att det saknas en självklar mottagare av information i Regeringskansliet när det gäller informationssäkerhet. Riksrevisionen ansåg att detta var en brist som orsakar svårigheter att styra och följa upp statusen på myndig- heternas informationssäkerhet.</P>
<P class="p491 ft18">Riksrevisionen noterade vidare att regeringens tillsyns- och stöd- myndigheter, framför allt MSB, Säkerhetspolisen och FRA, är på olika sätt aktiva när det gäller informationssäkerhet. MSB verkar brett över hela den offentliga sektorn med uppdrag att främja en god informa- tionssäkerhet, men har inte till uppgift att utöva tillsyn över informa- tionssäkerheten i enskilda myndigheter. Dåvarande Rikspolisstyrel- sen genom Säkerhetspolisen utövar tillsyn, men har av resursskäl inte möjlighet att göra det i hela förvaltningen utan har inriktat sin tillsyn på de myndigheter som har den allra mest skyddsvärda verk- samheten. FRA agerar endast på begäran av enskilda myndigheter, och har i praktiken inte möjlighet att testa säkerheten på alla myn- digheter. Dessa myndigheter samverkar också tillsammans med PTS, Försvarsmakten och Försvarets materielverk när det gäller informa- tionssäkerhet (SAMFI). Trots dessa myndigheters verksamhet och samverkan visade granskningen att det skulle behöva göras mer, och att myndigheterna saknar mandat för det. Säkerhetspolisen bedriver viss tillsyn inriktad på särskilt skyddsvärd verksamhet, vilket utgör en</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">220</P>
</DIV>
</DIV>
<DIV id="page_222">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td87"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td88"><P class="p2 ft37">Offentliga utredningar och myndighetsrapporter</P></TD>
</TR>
</TABLE>
<P class="p86 ft19">mindre del av den samlade statsförvaltningen. MSB utfärdar föreskrif- ter om ledningssystem för informationssäkerhet (LIS), men har inte till uppgift att utöva tillsyn över myndigheters arbete med informa- tionssäkerhet. Riksrevisionen bedömde att resurser för tillsyn gene- rellt inte har prioriterats i tillräcklig utsträckning.</P>
<P class="p80 ft18">Riksrevisionen ansåg vidare att när det gäller stödet till myndig- heterna fanns resursaspekter som var värda särskild uppmärksamhet. Den första aspekten var att det saknas en samlad avvägning för staten hur mycket resurser som behöver satsas på skyddsåtgärder sett till de risker som finns. Det fanns inte en samlad riskvärdering, utan i stället råder osäkerhet om hur starkt skyddet är, vilka händelser som ägt rum och hur hoten utvecklas. En samlad lägesbild hade gett förutsättningar för en samlad värdering av riskerna och sannolikhe- ten att hot realiseras. Detta hade i sin tur kunnat vägas mot hur om- fattande stödet behöver vara. Inträffade händelser har visat att kost- naderna kan bli betydande dels för att hantera händelsen, dels för att ställa till rätta efteråt. Risker för informationssäkerheten kan således potentiellt leda till omfattande skada, inte minst i form av extra kost- nader. Därför är det angeläget att åtgärder vidtas och prioriteras för att kontrollera dessa risker.</P>
<P class="p109 ft18">Den andra aspekten var att varje myndighet har ett eget ansvar för hela sin verksamhet i såväl normalläge som i krisläge, vilket är nöd- vändigt för att verksamheten ska kunna bedrivas effektivt. Det är dock sannolikt inte tillräckligt eftersom de flesta myndigheter har svårt att rekrytera och upprätthålla den kompetens som behövs för att möta behoven. De av regeringen utpekade stödmyndigheterna har dess- utom begränsade resurser och saknar möjlighet att lämna operativt stöd till enskilda myndigheter i någon större utsträckning. Riksrevi- sionen menade att det fanns behov av ett bättre utbyggt stöd som riktar sig till hela statsförvaltningen, och som kompletterar de en- skilda myndigheternas egen kompetens. Det skulle kunna leda till en bättre säkerhet totalt i statsförvaltningen, samtidigt som den totala kostnaden för informationssäkerhet borde bli väsentligt lägre än om varje myndighet håller sig med specialistkompetens.</P>
<P class="p68 ft17">Riksrevisionen konstaterade att granskningen visade att det råder oklarhet om läget i informationssäkerheten i statsförvaltningen och lämnade bl.a. följande rekommendationer till regeringen och reger- ingens stöd- och tillsynsmyndigheter:</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">221</P>
</DIV>
</DIV>
<DIV id="page_223">
<DIV id="p223dimg1">
<INGENBILD zsrc="H9B363223x1.jpg/" id="p223img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Offentliga utredningar och myndighetsrapporter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p492 ft23"><SPAN class="ft21">–</SPAN><SPAN class="ft147">angivna brister förelåg redan 2007, och då bristerna fortfarande inte är åtgärdade är det angeläget med en skyndsam hantering,</SPAN></P>
<P class="p493 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">låt utreda om regelverket som styr arbetet med informations- säkerheten är ändamålsenligt i sin nuvarande utformning och om ansvaret för att utöva tillsyn över informationssäkerheten i den civila statsförvaltningen kan samlas och koordineras på ett bättre sätt än i dag,</SPAN></P>
<P class="p464 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">utöka tillsynen av informationssäkerheten i den civila statsför- valtningen, så att den omfattar väsentligt mer än endast de allra mest skyddsvärda delarna,</SPAN></P>
<P class="p464 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">överväg att låta tillsynsmyndigheten få mandat att utfärda sank- tioner mot myndigheter som inte vidtar nödvändiga åtgärder efter en tillsyn som visat på brister,</SPAN></P>
<P class="p494 ft18"><SPAN class="ft21">–</SPAN><SPAN class="ft66">se till att det finns en funktion och en process i Regeringskansliet med syfte att samlat hantera informationssäkerheten och som även ska vara mottagare av information om en samlad lägesbild och annan nödvändig information om läget för informations- säkerheten i statsförvaltningen,</SPAN></P>
<P class="p495 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">Säkerhetspolisen och FRA bör var för sig systematiskt avge agg- regerade rapporter om säkerhetsläget till Regeringskansliet och MSB.</SPAN></P>
<P class="p496 ft45">En bild av myndigheternas informationssäkerhetsarbete 2014 – tillämpning av MSB:s föreskrifter</P>
<P class="p338 ft45">Myndigheten för samhällsskydd och beredskap <SPAN class="ft18">(MSB) genomförde 2014 även en kartläggning</SPAN><SPAN class="ft79">1 </SPAN><SPAN class="ft18">(enkätundersökning) av hur statliga myn- digheter tillämpar myndighetens föreskrifter om statliga myndig- heters informationssäkerhet (2009:10) och i övrigt arbetar med in- formationssäkerhet. Enkäten lämnades till 351 myndigheter varav 334 myndigheter besvarade enkäten. Frågor om hur det praktiska informationssäkerhetsarbetet går till, och som redovisas i rapporten, ställdes till de 227 myndigheter som själva har hand om sitt informa- tionssäkerhetsarbete. Enligt myndigheten gav kartläggningen en god</SPAN></P>
<P class="p497 ft41"><SPAN class="ft80">1</SPAN><SPAN class="ft81">En bild av myndigheternas informationssäkerhetsarbete 2014 – tillämpning av MSB:s före- skrifter (MSB740).</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">222</P>
</DIV>
</DIV>
<DIV id="page_224">
<DIV id="p224dimg1">
<INGENBILD zsrc="H9B363224x1.jpg/" id="p224img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td87"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td88"><P class="p2 ft37">Offentliga utredningar och myndighetsrapporter</P></TD>
</TR>
</TABLE>
<P class="p193 ft18">bild av hur myndigheterna själva uppfattade sitt arbete med informa- tionssäkerhet och hur de arbetar med föreskrifternas olika krav. Av resultaten från enkäten framkom bl.a. att 84 procent av myndig- heterna har en informationssäkerhetspolicy men att 26 procent av myndigheterna kontrollerar inte efterlevnaden, dvs. att policyer och riktlinjer följs av medarbetarna. Vidare framkom att 38 procent av de som leder och samordnar informationssäkerhetsarbetet i myndig- heterna uppges sakna tillräcklig kompetens, resurser eller mandat för att utgöra uppdraget på ett tillfredsställande sätt. Det fram gick även att 67 procent av myndigheterna har en informationsklassningsmodell för att identifiera informationstillgångarna och kunna ställa rätt krav på informationssäkerheten samtidigt som 41 procent av myndighe- terna uppgav att det inte är tydligt uttalat vem som ansvarar för att informationsklassning genomförs och 59 procent av myndigheterna uppgav att det inte är fastslaget när informationsklassning ska ske.</P>
<P class="p187 ft18">Av resultaten framkom vidare att 78 procent av myndigheterna har en metod för riskanalys men att 42 procent saknar regler för vad riskanalyser ska omfatta eller när det ska ske, samtidigt som 35 pro- cent av myndigheterna saknar ett uttalat ansvar för vem som ska initiera riskanalyserna. Det framkom också att 45 procent av de myn- digheter som besvarat enkäten uppgav att myndighetens ledning i stor utsträckning löpande håller sig informerade om arbetet med informationssäkerhet medan 37 procent av myndigheterna har ingen eller en mycket begränsad utvärdering av informationssäkerhets- arbetet på myndigheten. I samband med enkäten angav myndighe- terna de önskade mer stöd, bl.a. med kravställning, uppföljning, infor- mationsklassning och kontinuitetsplanering.</P>
<P class="p131 ft26">År 2015</P>
<P class="p360 ft20">En bild av kommunernas informationssäkerhetsarbete 2015</P>
<P class="p124 ft45">Myndigheten för samhällsskydd och beredskap <SPAN class="ft18">(MSB) redovisade i en rapport 2015 resultaten av en granskning av informationssäkerheten i kommunerna</SPAN><SPAN class="ft79">2 </SPAN><SPAN class="ft18">varvid myndigheten fann att fler än 70 procent av kommunerna inte arbetade systematiskt med informationssäkerhet, att över 40 procent inte hade någon utpekad funktion för informa-</SPAN></P>
<P class="p253 ft74"><SPAN class="ft56">2</SPAN><SPAN class="ft114">En bild av kommunernas informationssäkerhetsarbete 2015, Myndigheten för samhällsskydd och beredskap (MSB), </SPAN><SPAN class="ft41">2015.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">223</P>
</DIV>
</DIV>
<DIV id="page_225">
<DIV id="p225dimg1">
<INGENBILD zsrc="H9B363225x1.jpg/" id="p225img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Offentliga utredningar och myndighetsrapporter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p189 ft21">tionssäkerhet och att ungefär samma andel inte genomförde någon riskanalys i informationssäkerhetsarbetet.</P>
<P class="p209 ft26">År 2016</P>
<P class="p498 ft45">Informationssäkerheten i Sveriges kommuner – Analys och rekommendationer utifrån MSB:s kommunenkät 2015</P>
<P class="p499 ft45">Myndigheten för samhällsskydd och beredskap <SPAN class="ft18">(MSB)</SPAN><SPAN class="ft79">3 </SPAN><SPAN class="ft18">redovisade i en ny rapport en analys och rekommendationer av den enkätunder- sökning som gjordes 2015 (se ovan). MSB konstaterade i rapporten att resultatet tyder på att informationssäkerheten i kommunerna bör stärkas på flera områden. En klar majoritet av kommunerna arbetar inte systematiskt med informationssäkerhet. Kontroll och tillsyn av säkerheten i informationssystemen genomförs i liten omfattning. En majoritet av kommunerna saknar en plan för bortfall av information i kommunens kritiska verksamhetsprocesser. Övning och utbildning är eftersatta områden. Kommunerna har i och för sig påbörjat in- förandet av ett ramverk för informationssäkerhet och utsett ansvar, men har inte implementerat ett arbete med informationsklassning och riskhantering i någon större utsträckning. Enbart en tredjedel av kommunerna har ett systematiskt arbetssätt i sitt arbete med infor- mationssäkerhet och huvuddelen av kommunerna har otillräcklig riskhantering. Sju av tio kommuner lägger tio procent eller mindre av en arbetskraft på att säkra informationen i kommunen. Enkätsvaren tyder vidare på att det finns ett gap mellan det som står i kommunens informationssäkerhetspolicy och det som operationaliseras i verk- samheten. Det finns därmed sannolikt större verksamhetsrisker hos kommunerna avseende informationssäkerheten än de är medvetna om. När det gäller hur kommuner arbetar med informationssäkerhet är det mycket som liknar arbetet hos de statliga myndigheterna. En avgörande skillnad är dock att arbetet med informationssäkerhet vid myndigheterna med stor sannolikhet gynnats av att myndigheten har föreskriftsrätt inom området. Föreskrifterna innehåller en hän- visning till standarder inom området </SPAN><NOBR><SPAN class="ft18">(SS-ISO/IEC</SPAN></NOBR><SPAN class="ft18"> 27001 och 27002) vilket troligen ytterligare fungerat som stöd för myndigheterna i arbetet med att driva informationssäkerhetsfrågor. Sveriges kommu-</SPAN></P>
<P class="p500 ft100"><SPAN class="ft56">3</SPAN><SPAN class="ft148">Informationssäkerheten i Sveriges kommuner </SPAN><SPAN class="ft58">– </SPAN>Analys och rekommendationer utifrån MSB:s kom- munenkät 2015<SPAN class="ft58">, Myndigheten för samhällsskydd och beredskap, december 2016, MSB1045.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">224</P>
</DIV>
</DIV>
<DIV id="page_226">
<DIV id="p226dimg1">
<INGENBILD zsrc="H9B363226x1.jpg/" id="p226img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td87"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td88"><P class="p2 ft37">Offentliga utredningar och myndighetsrapporter</P></TD>
</TR>
</TABLE>
<P class="p130 ft17">ner har inte motsvarande informationssäkerhetsföreskrifter, vilket troligen bidragit till att det finns större brister i kommunerna, exem- pelvis i fråga om informationsklassning och riskanalyser.</P>
<P class="p501 ft45">Informationssäkerhetsarbete på nio myndigheter – En andra granskning av informationssäkerhet i staten (RiR 2016:8)</P>
<P class="p57 ft18"><SPAN class="ft45">Riksrevisionen </SPAN>genomförde 2016 en andra granskning av informations- säkerhet i staten och granskade hur ett antal myndigheter arbetar med sin informationssäkerhet. Resultatet av granskningen redovisades i granskningsrapporten <SPAN class="ft45">Informationssäkerhetsarbete på nio myndigheter – en andra granskning av informationssäkerhet i staten </SPAN>(RiR 2016:8). Syf- tet med denna granskning var att åter granska informationssäkerhets- arbetet vid de myndigheter som Riksrevisionen granskade <NOBR>2005–2007<SPAN class="ft79">4</SPAN></NOBR><SPAN class="ft79"> </SPAN>och undersöka om regeringen säkerställer att de granskade myndig- heterna har en effektiv intern styrning och kontroll av sin informa- tionssäkerhet. Granskningen omfattar de myndigheter vars arbete med informationssäkerhet granskades under åren <NOBR>2005–2007.<SPAN class="ft79">5</SPAN></NOBR></P>
<P class="p187 ft18">Riksrevisionen konstaterade i rapporten att granskningen visade att det ännu omkring tio år efter de granskningar Riksrevisionen då gjorde av informationssäkerhet fortfarande fanns allvarliga brister i myndigheternas arbete med informationssäkerhet.<SPAN class="ft79">6 </SPAN>Granskningen visade även att det fanns enskilda delar av arbetet som fungerar väl, vilket till stor del kan förklaras av vissa initiativ från enskilda indi- vider eller delar av en verksamhet snarare än som ett resultat av ett systematiskt informationssäkerhetsarbete förankrat på ledningsnivå. Riksrevisionen framhöll att det fanns ett ansenligt behov av ännu fler insatser för att bygga upp och förvalta en informationssäkerhet som håller jämna steg med de ökande hoten som framkom genom Riks- revisionens förra granskning av informationssäkerhet.<SPAN class="ft79">7</SPAN></P>
<P class="p502 ft93"><SPAN class="ft56">4</SPAN><SPAN class="ft84">Riksrevisionens granskningsrapport </SPAN>Informationssäkerheten i den civila statsförvaltningen <SPAN class="ft85">(RiR 2014:23).</SPAN></P>
<P class="p437 ft85"><SPAN class="ft56">5</SPAN><SPAN class="ft84">Arbetsförmedlingen, Affärsverket svenska kraftnät, Bolagsverket, Försäkringskassan, Lant- mäteriet, Migrationsverket, Post- och telestyrelsen, Sjöfartsverket och Statens tjänstepensions- verk. Regeringen, Regeringskansliet och Ekonomistyrningsverket har också ingått i gransk- ningen.</SPAN></P>
<P class="p8 ft87"><SPAN class="ft56">6</SPAN><SPAN class="ft86">S. 4.</SPAN></P>
<P class="p296 ft41"><SPAN class="ft56">7</SPAN><SPAN class="ft82">Se Riksrevisionens granskningsrapport </SPAN><SPAN class="ft74">Informationssäkerheten i den civila statsförvaltningen </SPAN>(RiR 2014:23).</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">225</P>
</DIV>
</DIV>
<DIV id="page_227">
<DIV id="p227dimg1">
<INGENBILD zsrc="H9B363227x1.jpg/" id="p227img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Offentliga utredningar och myndighetsrapporter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p255 ft26">År 2017</P>
<P class="p420 ft20">Säkerhetspolisens rapport om generella brister i säkerhetsskyddet</P>
<P class="p220 ft18"><SPAN class="ft45">Säkerhetspolisen </SPAN>fick 2016 i uppdrag av regeringen att redovisa dels en samlad bild av vilka generella brister som finns i säkerhetsskyddet hos de myndigheter Säkerhetspolisen har tillsyn över som bedriver mest skyddsvärd verksamhet, dels vilka ytterligare åtgärder som kan behöva vidtas för att hantera dessa brister.<SPAN class="ft79">8 </SPAN>I Säkerhetspolisens redo- visning av inventeringen av säkerhetsskyddet hos myndigheter och institutioner som utifrån sin verksamhet är av högt skyddsvärde, t.ex. energiförsörjning, telekommunikation och finanssektor, framkom att ju mer frekvent en myndighet hanterar generella säkerhetsfrågor i sin kärnverksamhet, desto bättre är den på säkerhetsskydd. Hos ett flertal myndigheter fanns dock brister i arbetet med t.ex. den egna säkerhetsanalysen.</P>
<P class="p209 ft20">digitalforvaltning.nu (SOU 2017:23)</P>
<P class="p220 ft46">Regeringen beslutade i 2016 att tillkalla en särskild utredare för att analysera och lämna förslag till effektiv styrning av utveckling, in- förande och förvaltning av nationella digitala tjänster. I uppdraget ingick bl.a. analysera och lämna förslag till utformning av organisering och ansvarsfördelning för de nationella digitala tjänsterna, åtgärder och incitament för att uppnå en ökad användning av de nationella digitala tjänsterna, och samverkan mellan offentlig och privat sektor i tillhandahållandet av de nationella digitala tjänsterna. Regeringen beslutade i november 2016 att utvidga uppdraget och i tilläggsdirek- tivet fick utredaren även i uppdrag att analysera hur digitaliseringen i den offentliga sektorn kan stärkas genom att, inom ramen för den befintliga myndighetsstrukturen, samla ansvaret för dessa frågor till en myndighet. Den del av uppdraget som avsåg att samla ansvaret för digitaliseringen i den offentliga sektorn skulle redovisas senast den 15 mars 2017.</P>
<P class="p302 ft46">Utredningen om effektiv styrning av nationella digitala tjänster lämnade delbetänkandet <SPAN class="ft60">digitalforvaltning.nu </SPAN>(SOU 2017:23) i mars 2017. I delbetänkandet konstaterade bl.a. att digitaliseringen av för-</P>
<P class="p503 ft113"><SPAN class="ft56">8</SPAN><SPAN class="ft112">Säkerhetspolisens pressmeddelande den 16 mars 2017, www.sakerhetspolisen.se/ovrigt/ </SPAN><NOBR>pressrum/aktuellt/aktuellt/2017-03-16-sakerhets-skyddet-maste-starkas/gapet-mellan-hot-</NOBR> <NOBR>och-skydd-vaxer-sakerhetsskyddetmaste</NOBR> starkas.html.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">226</P>
</DIV>
</DIV>
<DIV id="page_228">
<DIV id="p228dimg1">
<INGENBILD zsrc="H9B363228x1.jpg/" id="p228img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td87"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td88"><P class="p2 ft37">Offentliga utredningar och myndighetsrapporter</P></TD>
</TR>
</TABLE>
<P class="p193 ft18">valtningen inte en intern angelägenhet utan en vital del av arbetet med att utveckla den nationella digitala infrastrukturen. Digitalisering har därför inte bara som syfte att underlätta för enskilda (medbor- gare) och företag. Den syftar också till att främja konkurrenskraften. Med detta breda perspektiv finns det – enligt utredningen – också skäl att uppmärksamma de risker som följer av en alltmer utvecklad an- vändning och spridning av individrelaterad information. Utredningen har därför valt att integrera frågor om bl.a. informationssäkerhet i utvecklingen och genomförandet av den digitala förvaltningen. Bl.a. denna fråga har därför kommit att ta en större plats i utrednings- arbetet än direktivet gett uttryck för och utredningen lämnar även flera förslag som rör frågor om bl.a. informationssäkerhet. Utred- ningen påpekade att Sverige har halkat efter jämförbara länder när det gäller digital förvaltning. Orsaken är främst ett medvetet val att delegera ansvaret för arbetet med <NOBR>e-förvaltning</NOBR> till myndigheterna. Att arbetet varit framgångsrikt i många avseenden kompenserar inte för de begränsningar detta har inneburit. Utredningen fann att reger- ingen har avstått från att använda de styrinstrument som står till buds, t.ex. genom att inte förtydliga vilka uppdrag myndigheterna har när det gäller digitalisering. Vidare saknas styrande mål för vad som ska uppnås. Det är inte heller tydligt vad som ska anses vara offentliga åtaganden i den nationella digitala infrastrukturen.<SPAN class="ft79">9 </SPAN>Utred- ningen menade att politiken för digital förvaltning bör utformas mot bakgrund av dess roll i den nationella digitala infrastrukturen. En prioriterad fråga är vilket som ska vara det offentliga åtagandet i denna infrastruktur, både i principiella termer och vilka tjänster som det offentliga ska tillhandahålla.<SPAN class="ft79">10 </SPAN>Vidare behöver säkerhetsfrågorna integ- reras i digitaliseringen av den offentliga sektorn. Stödet till statliga och kommunala myndigheter behöver stärkas i dessa frågor. Detta inte minst för att informationssäkerhet täcks in av flera olika lagar som bitvis överlappar varandra. Detsamma kan – enligt utredningen – sägas om ansvaret för de myndigheter som har uppdrag inom om- rådena för bl.a. informationssäkerhet. Samtidigt skiljer sig myndig- heternas befogenheter betydligt. Frågor om bl.a. informationssäker- het har under utredningens arbete kommit upp i många samman- hang. Det är avgörande att myndigheternas informationssystem är uppbyggda för att klara av en ökad användning och är motstånds-</P>
<P class="p504 ft87"><SPAN class="ft56">9</SPAN><SPAN class="ft86">S. 89 ff.</SPAN></P>
<P class="p207 ft41"><SPAN class="ft56">10</SPAN><SPAN class="ft82">S. 97 ff.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">227</P>
</DIV>
</DIV>
<DIV id="page_229">
<DIV id="p229dimg1">
<INGENBILD zsrc="H9B363229x1.jpg/" id="p229img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Offentliga utredningar och myndighetsrapporter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft18">kraftiga mot eventuella angrepp.<SPAN class="ft79">11 </SPAN>Utredningen ansåg att det behövs en övergripande plan för att stärka digitaliseringen av den offentliga sektorn. Enligt planen, som enligt utredningen bör bestå av sju punk- ter varav en är att bl.a. informationssäkerhet ska beaktas i varje skede av arbetet med att bygga ut den digitala förvaltningen.</P>
<P class="p73 ft18">Utredningen ansåg vidare att eftersom frågan om bl.a. informa- tionssäkerhet är av avgörande betydelse för att digitaliseringen ska lyckas bör området ska utgöra ett särskilt prioriterat område i upp- draget. Det behöver beaktas redan från början i förberedelserna inför att axla det samlade ansvaret för den offentliga sektorns digitaliser- ing. Det ska då knytas sådan kompetens till den myndighet som får uppdraget, som behövs för att beakta bl.a. informationssäkerhets- skydd i ett tidigt skede av olika projekt och uppdrag. I uppdraget ska även ingå att ansvara för samverkan med bl.a. MSB och PTS för att säkerställa att frågorna om informationssäkerhet ständigt är närva- rande när digitaliseringen genomförs. Utredningen föreslog vidare att det i uppdraget för den nya digitaliseringsmyndigheten ingå att bl.a. samverka med MSB och PTS för att underlätta myndigheternas arbete med bl.a. informationssäkerhet. Enligt utredningen behöver säkerhetsfrågorna integreras i digitaliseringen av den offentliga sek- torn. Utredningens bedömning är att stödet till statliga och kommu- nala myndigheter därför behöver stärkas i dessa frågor.</P>
<P class="p70 ft20">Reboot – omstart för den digitala förvaltningen (SOU 2017:114)</P>
<P class="p71 ft18">Utredningen om effektiv styrning av nationella digitala tjänster fram- höll i slutbetänkandet <SPAN class="ft45">reboot – omstart för den digitala förvaltningen </SPAN>(SOU 2017:114) att för att digitaliseringen och dess effekter ska åtnjuta alla aktörers, inklusive individernas, förtroende och leva upp till förväntningarna om trygghet och säkerhet måste informations- säkerhetsarbetet inom offentliga myndigheter styras på ett mer kraft- fullt sätt och därmed genomsyra samtliga digitaliseringsprocesser. En kombination av krav på ett systematiskt och riskbaserat infor- mationssäkerhetsarbete, incidentrapportering och tillsyn tillsammans med ett ändamålsenligt stöd ska säkerställa att samhällets aktörer ges möjlighet att hantera och prioritera informationssäkerhetsbehoven. Utredningen konstaterade samtidigt att det ofta är svårt att motivera</P>
<P class="p505 ft41"><SPAN class="ft56">11</SPAN><SPAN class="ft82">S. 102 ff.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">228</P>
</DIV>
</DIV>
<DIV id="page_230">
<DIV id="p230dimg1">
<INGENBILD zsrc="H9B363230x1.jpg/" id="p230img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td87"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td88"><P class="p2 ft37">Offentliga utredningar och myndighetsrapporter</P></TD>
</TR>
</TABLE>
<P class="p77 ft46">investeringar i informationssäkerhet eftersom det sällan ger en syn- bar eller upplevd nytta direkt vid investeringstillfället. Informations- säkerhet kan t.o.m. av vissa betraktas som något som endast för- dyrar, försvårar och riskerar att försena och till och med stoppa pro- jekt. Många organisationer undviker därför att sätta sig in i vilka värden säker hantering av information ger på längre sikt. Inte sällan betraktas också informationssäkerhetsfrågor som enbart <NOBR>it-frågor</NOBR> vilket innebär att säkerhetsåtgärder av administrativ och organisato- risk art mer eller mindre förbises, exempelvis utformning och följ- samhet till arbetssätt och rutiner. Dessutom hänvisas resursförfrå- gningar till att ingå i rådande <NOBR>it-budget</NOBR> som i sin tur inte behöver vara föremål för någon strategisk satsning. Utredningen framhöll att informationssäkerhet ska genomsyra alla processer som handlar om digitalisering, vilket även påpekats i tidigare utredningar och rappor- ter.<SPAN class="ft97">12 </SPAN>Utredningen noterade även att Riksrevisionen hade påpekat att det behövs en starkare styrning från regeringen gentemot myndig- heterna, så att nödvändiga säkerhetsåtgärder verkligen blir genom- förda. Att enbart ta fram ett övergripande regelverk är inte tillräckligt för att säkerheten ska bli god.<SPAN class="ft97">13</SPAN></P>
<P class="p119 ft18">Utredningen noterade att arbetet med informationssäkerhet är dag till stor del varje organisations eget ansvar. I och med att organi- sationer i dag är allt mer beroende av andra för sin informationshan- tering, exempelvis i de förvaltningsgemensamma digitala funktio- nerna, är det nödvändigt med samordnade åtgärder för att reducera risker och behålla säkerhetsnivån. Möjligheterna att ytterligare kraf- tigt öka resurser som läggs ned på informationssäkerhetsarbetet är dock begränsade inom många organisationer.</P>
<P class="p65 ft18">Utredningen konstaterade vidare att det nationella informations- säkerhetsarbetet är i dag uppdelat i olika, delvis överlappande, an- svarsområden, både på departements- och på myndighetsnivå. Detta gör att det i dag saknas ett enhetligt regelverk för och ett enhetligt arbetssätt med samhällets informationssäkerhetsarbete och att det finns få gemensamma krav på informationssäkerhet. Expert- och sektors- myndigheter har, utifrån sitt specifika ansvarsområde eller expert- område, gett ut föreskrifter som i olika grad har bäring på informa-</P>
<P class="p506 ft106"><SPAN class="ft56">12</SPAN><SPAN class="ft142">Informations- och cybersäkerhet i Sverige – Strategi och åtgärder för säker information i staten </SPAN><SPAN class="ft107">(SOU 2015:23), betänkande av NISU 2014. Utredningen föreslog bl.a. att det bör etableras en nationell modell för att styra samhällets informationssäkerhet.</SPAN></P>
<P class="p507 ft74"><SPAN class="ft56">13</SPAN><SPAN class="ft114">Informationssäkerhetsarbete på nio myndigheter – En andra granskning av informationssäker- het i staten </SPAN><SPAN class="ft41">(RiR 2016:8).</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">229</P>
</DIV>
</DIV>
<DIV id="page_231">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Offentliga utredningar och myndighetsrapporter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p305 ft18">tionssäkerhet. Genom att fler aktörer – utan samordning – utfärdar regler på området finns dessutom en stor risk att fragmenteringen av kravställningen på området ökar. Detta får inte sällan till resultat att erfarenheter och kunskap som finns inte nyttjas effektivt, att de resur- ser som allokeras inte används inom de områden där bristerna är som störst och att utfärdade informationssäkerhetskrav fördröjs eller aldrig blir utförda på grund av oklara ansvarsförhållanden.</P>
<P class="p62 ft18">Utredningen menade att det fragmenterade arbetet leder till att det saknas gemensamma riktlinjer för vilket skydd olika typer av in- formationstillgångar minst bör ha. Detta leder till att samma typ av information riskerar att få helt olika skydd beroende på var i för- valtningssystemet som den hanteras. Detta innebär inte sällan även effektivitetsbrister då lösningar får olika utformning vilket skapar en minskad interoperabilitet som i sin tur leder till en ökad kostnad.</P>
<P class="p61 ft18">Utredningen ansåg att även bristen av samordnat rättsligt stöd medför svårigheter att säkerställa att offentliga aktörer har rätt förut- sättningar i sitt arbete med att genomföra och förvalta digitaliserings- arbetet på ett sådant sätt att de tjänster som erbjuds uppfyller till- räckliga krav på tillgänglighet, riktighet och konfidentialitet.</P>
<P class="p82 ft18">Utredningen noterade vidare att den inte har kunnat finna någon samordnad tillsyn av det systematiska informationssäkerhetsarbetet. Viss tillsyn finns, t.ex. Post- och telestyrelsen (PTS) inom området elektronisk kommunikation samt Försvarsmakten och Säkerhets- polisen gällande säkerhetsskyddet. När det gäller kommuner, de som kanske kommer att erbjuda flest digitala tjänster, finns dock inte några lagkrav på att arbeta systematiskt med informationssäkerhet, inga krav på att rapportera incidenter och inte heller någon tillsyn. Inom vissa delar av det offentligas verksamhet kommer tillsynen utökas genom <NOBR>NIS-direktivet,</NOBR> men den tillsynen är endast gentemot samhällsviktig verksamhet inom de sju sektorerna energi, transporter, bankverksam- het, finansmarknadsinfrastruktur, hälso- och sjukvård, leverans och distribution av dricksvatten samt digital infrastruktur. Detta är dock bara en delmängd av de elva sektorer som MSB identifierat som sam- hällsviktiga sektorer. Utöver de samhällsviktiga sektorerna finns all övrig offentlig verksamhet som i dagsläget i stort är helt utan tillsyn. Utredningen framhöll att vid införande av tillsyn är det viktigt att regleringens olika delar samspelar så att det inte uppstår en obalans mellan dem. Om t.ex. vissa delar av tillsynsverksamheten är detal- jerat reglerad med avseende på vilka prestationer en tillsynsmyn-</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">230</P>
</DIV>
</DIV>
<DIV id="page_232">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td87"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td88"><P class="p2 ft37">Offentliga utredningar och myndighetsrapporter</P></TD>
</TR>
</TABLE>
<P class="p77 ft19">dighet ska åstadkomma medan andra delar har mer övergripande målformuleringar finns en risk att den detaljerade regleringen får en starkt styrande inverkan på tillsynen, med den konsekvensen att annan mer strategiskt inriktad tillsyn får stå tillbaka. Det finns också en stor risk att organisationer som är utsatta för tillsyn fokuserar arbetet på de delar som granskas mer specifikt och att arbetet att jobba med informationssäkerhet över hela linjen får stå tillbaka. De uppföljningar som har gjorts inom området informationssäkerhet har bl.a. visat att myndigheternas granskning av sitt eget informations- säkerhetsarbete behöver effektiviseras. Granskningen kan bedrivas med olika metoder och på olika nivåer. Den kan också behöva kom- bineras med rapportering av resultatet av genomförda granskningar för att uppnå avsedd effekt. Olika alternativa vägar för att stärka både granskning och rapportering av informationssäkerhetsarbetet bör övervägas.</P>
<P class="p68 ft21">Utredningen föreslog mot den ovan angivna bakgrunden bl.a. att regeringen:</P>
<P class="p488 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">inleder ett arbete att samordna och strukturera reglering inom in- formationssäkerhetsområdet,</SPAN></P>
<P class="p508 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">ger digitaliseringsmyndigheten i uppdrag att ta fram och mäta nyckeltal för informationssäkerhetsrelaterade aspekter i syfte att följa informationssäkerhetsmognaden i förhållande till digitali- seringen,</SPAN></P>
<P class="p509 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">tar fram rättsliga krav som omfattar samtliga offentliga myndig- heter att införa ett systematiskt och riskbaserat informations- säkerhetsarbete, och</SPAN></P>
<P class="p510 ft53"><SPAN class="ft27">–</SPAN><SPAN class="ft52">ger MSB i uppdrag att utreda hur tillsyn över informationssäker- hetsområdet och incidentrapportering kan genomföras.</SPAN></P>
<P class="p511 ft20">Länsstyrelsernas förutsättningar att stödja kommuner gällande informationssäkerhet</P>
<P class="p512 ft45">Myndigheten för samhällsskydd och beredskap (MSB) <SPAN class="ft18">gav 2017 Hög- skolan i Skövde, institutionen för Informationsteknologi, i uppdrag att genomföra en studie med syfte att kartlägga länsstyrelsernas fak- tiska möjligheter och hur de arbetar med att samordna och stödja kommunernas arbete avseende informationssäkerhet. I rapporten</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">231</P>
</DIV>
</DIV>
<DIV id="page_233">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Offentliga utredningar och myndighetsrapporter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p152 ft46">framhålls att resultatet visar att länsstyrelserna behöver ett tydligt uppdrag med tillhörande mandat och resurser för att ha förutsätt- ningar att kunna samordna och stödja kommunerna i deras infor- mationssäkerhetsarbete. Detta anser de involverade länsstyrelserna saknas i nuläget. Dessutom visar resultatet på att det finns omfattande kompetensbrist inom informationssäkerhetsområdet. Kompetens- bristen finns såväl i det interna arbetet som i det externa arbetet ut mot kommunerna, allt från ledningsnivå till operativ nivå. Det finns även behov av tydligare roller både strategiskt och operativt för att sätta igång arbetet och möjliggöra en tydligare överblick. Detta be- hövs för att ge förutsättningar till länsstyrelserna för att kunna sam- ordna och stödja kommunerna i informationssäkerhetsarbetet relaterat till kris och höjd beredskap men även för att erhålla en strategisk helhetssyn på informationssäkerhetsarbetet utifrån ett samhällsper- spektiv.</P>
<P class="p513 ft20">Bevakningsansvariga myndigheters informations- och cybersäkerhet</P>
<P class="p71 ft45">Myndigheten för samhällsskydd och beredskap (MSB) <SPAN class="ft18">fick 2017 i uppdrag av regeringen att, i samverkan med Försvarsmakten och Säkerhets- polisen, redovisa en sammanvägd rapport utifrån samtliga bevaknings- ansvariga myndigheters redovisningar av analyser och bedömningar av sin informationssäkerhet i de delar av den egna verksamheten som är nödvändiga för att myndigheten ska kunna utföra sitt arbete. Säkerhetspolisen och Försvarsmakten har i samverkan bidragit med sina respektive perspektiv på den bild och den analys som MSB sam- manställt baserat på redovisningarna.</SPAN></P>
<P class="p73 ft18">MSB konstaterade att redovisningarnas varierande kvalitet och omfattning beror på myndigheternas varierande mognad i informa- tionssäkerhetsarbetet. En mogen organisation identifierar många ris- ker som är relevanta och organisationen har ett systematiskt arbets- sätt för att åtgärda bristerna. En mindre mogen organisation identi- fierar färre brister och inte nödvändigtvis de som är mest kritiska för verksamheten. Därutöver tenderar en mindre mogen organisation att inte heller precisera vilka åtgärder som ska genomföras för att minska de identifierade riskerna. Det är av största vikt att alla myndigheter uppnår en nivå av informations- och cybersäkerhet där de har för- måga att arbeta systematiskt så att de kan identifiera sina risker och</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">232</P>
</DIV>
</DIV>
<DIV id="page_234">
<DIV id="p234dimg1">
<INGENBILD zsrc="H9B363234x1.jpg/" id="p234img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td87"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td88"><P class="p2 ft37">Offentliga utredningar och myndighetsrapporter</P></TD>
</TR>
</TABLE>
<P class="p293 ft21">åtgärda brister på ett adekvat sätt. MSB drar bl.a. följande övergri- pande slutsatser av redovisningarna:</P>
<P class="p514 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">det finns brister i koppling mellan verksamhetsansvar och infor- mations- och cybersäkerhetsansvar,</SPAN></P>
<P class="p198 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">få myndigheter följer myndighetens föreskrifter i sin helhet,</SPAN></P>
<P class="p134 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">underlaget från bevakningsansvariga myndigheter kan förbättras gällande både omfattning och kvalitet,</SPAN></P>
<P class="p515 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">arbetet med informations- och cybersäkerhet och säkerhetsskydd är inte tillräckligt integrerat.</SPAN></P>
<P class="p131 ft26">År 2018</P>
<P class="p516 ft72">Säkerhetspolisens offentliga redovisning – Säkerhetsskydd hos myndigheter med mest skyddsvärd verksamhet</P>
<P class="p57 ft18"><SPAN class="ft45">Säkerhetspolisen </SPAN>rapporterade 2018 att de myndigheter som bedriver de mest skyddsvärda verksamheterna i många fall har svårt att be- döma vad som är skyddsvärt med hänsyn till Sveriges säkerhet. Enligt Säkerhetspolisen har myndigheter också vanligtvis svårt att bedöma hotbilden mot den egna verksamheten. I stor utsträckning saknar även myndigheter förmågan att bedöma den egna verksam- hetens sårbarheter. Som följd av dessa brister har många myndig- heter svårt att vidta ändamålsenliga och kostnadseffektiva säkerhets- skyddsåtgärder. Säkerhetspolisen finner det därför angeläget att alla myndigheter genomför säkerhetsanalyser och bedömer vilken infor- mation och verksamhet som är skyddsvärd. Dessutom framhålls att säkerhetsarbetet bör prioriteras högre.<SPAN class="ft79">14</SPAN></P>
<P class="p517 ft20">Granskning av Transportstyrelsens upphandling av <NOBR>it-drift</NOBR> (Ds 2018:6)</P>
<P class="p110 ft46">Regeringen beslutade den 3 augusti 2017 att en utredare skulle granska den upphandling av <NOBR>it-drift</NOBR> som gjordes av Transportstyrelsen under 2014 och 2015 och som har medfört att säkerhetskänslig och av</P>
<P class="p518 ft41"><SPAN class="ft56">14</SPAN><SPAN class="ft82">Säkerhetspolisens offentliga redovisning </SPAN><SPAN class="ft74">Säkerhetsskydd hos myndigheter med mest skydds- värd verksamhet</SPAN>, <NOBR>2018-02-13.</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">233</P>
</DIV>
</DIV>
<DIV id="page_235">
<DIV id="p235dimg1">
<INGENBILD zsrc="H9B363235x1.jpg/" id="p235img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Offentliga utredningar och myndighetsrapporter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p189 ft21">andra skäl sekretessbelagd information har hanterats på ett sätt som strider mot svensk lag.<SPAN class="ft102">15</SPAN></P>
<P class="p104 ft18">Utredaren lämnade departementspromemorian <SPAN class="ft45">Granskning av Transportstyrelsens upphandling av </SPAN><NOBR><SPAN class="ft45">it-drift</SPAN></NOBR><SPAN class="ft45"> </SPAN>(Ds 2018:6) till regeringen i februari 2018. Utredaren konstaterade i promemorian att gransk- ningen har funnit brister i Transportstyrelsens hantering av hemliga uppgifter och andra skyddsvärda uppgifter, bl.a. känsliga person- uppgifter. Utredaren drog slutsatsen att den grundläggande orsaken till varför Transportstyrelsens upphandling och outsourcing kom att dras med dessa brister var att man i allt för hög grad saknade relevant kunskap om vilken information myndigheten hade och saknade känne- dom om hur denna information ska hanteras. Utredaren konstate- rade att arbetet med informationssäkerhet vid myndigheten var efter- satt under lång tid och att säkerhetsfunktionerna vid myndigheten var utspridda och saknade tillräcklig samordning. Vidare har de som haft kännedom och kunskap om säkerhetsfrågorna av säkerhetsskäl inte velat tala om dem. Man har även saknat tillräckliga kunskaper om relevanta regler och hur de ska tillämpas.</P>
<P class="p106 ft18">Utredaren bedömde vidare att den andra huvudsakliga orsaken till att upphandlingen av <NOBR>it-driften</NOBR> ledde till olyckliga konsekvenser var en orealistisk tidplan. Transportstyrelsen inledde tre upphand- lingar samtidigt. Det fanns en snäv tidsgräns för leverantörens över- tagande av <NOBR>it-driften</NOBR> och slutpunkten för Trafikverkets leverans. Vidare var dokumentation och analys av befintlig information i it- systemen bristfällig. Den tredje grundläggande orsaken var bristen på kommunikation, såväl inom myndigheten som med andra berörda aktörer. Organisationen kring upphandlingen var komplex och där- för ett hinder för effektiv kommunikation inom myndigheten. Kon- takterna med Trafikverket kunde ha varit mer omfattande och på högre nivå. Vidare verkar styrelsen endast ha fått översiktlig infor- mation om händelseförloppet och regeringen har inte involverats för att hantera de uppkomna svårigheterna.</P>
<P class="p211 ft18">Utredaren ansåg att när det gäller ansvarsfrågan kunde dessa tre huvudsakliga brister härledas främst till myndighetens ledning. Ut- redaren ansåg bl.a. att det innebar att styrelsen och de tidigare gene- raldirektörerna hade ett ansvar för hur myndigheten varit organiserad, prioriterat sina resurser och agerat i praktiken. Även andra befattnings- havare bar också ett ansvar, bl.a. ansvariga avdelningschefer, projekt-</P>
<P class="p519 ft41"><SPAN class="ft56">15</SPAN><SPAN class="ft82">N2017/04991/SUBT.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">234</P>
</DIV>
</DIV>
<DIV id="page_236">
<DIV id="p236dimg1">
<INGENBILD zsrc="H9B363236x1.jpg/" id="p236img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td87"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td88"><P class="p2 ft37">Offentliga utredningar och myndighetsrapporter</P></TD>
</TR>
</TABLE>
<P class="p244 ft21">ledare och säkerhetsfunktioner, som alla brustit i olika hänseenden när det gäller de tre ovan angivna bristerna.<SPAN class="ft102">16</SPAN></P>
<P class="p278 ft20">Juridik som stöd för förvaltningens digitalisering (SOU 2018:25)</P>
<P class="p110 ft18">Digitaliseringsrättsutredningen lämnade betänkandet <SPAN class="ft45">Juridik som stöd för förvaltningens digitalisering </SPAN>(SOU 2018:25) i mars 2018. Ut- redningen framhöll att av direktiven framgår att den ska särskilt beakta behovet av informationssäkerhet i sitt arbete. Utredningen noterade att under kartläggningsarbetet, och utifrån övriga kontakter den har haft inom ramen för utredningen, har det tydliggjorts att informationssäkerhet är en förutsättning för den fortsatta utvecklingen av en trygg, innovativ och effektiv digitalt samverkande förvaltning. I betänkandet framhöll utredningen att förvaltningens digitalisering inte kan diskuteras utan att frågor om informationssäkerhet belyses särskilt. Utredningen konstaterade att god informationssäkerhet be- hövs för att möta nya risker i verksamheten. Utredningen fann att i digitaliseringsarbetet står myndigheterna inför många gemensamma utmaningar. Det gäller inte minst informationssäkerheten. Flera aktörer har påtalat att ju mer information som samlas in och hanteras desto svårare blir det att leva upp till säkerhetskraven.<SPAN class="ft79">17 </SPAN>Varje myn- dighet ansvarar självständigt för att informationsklassa sin infor- mation.<SPAN class="ft79">18 </SPAN>Men när myndigheter samverkar och utbyter information framhålls att det behövs en enhetlig informationsklassning för att informationen ska få likvärdigt skydd hos alla myndigheter som hanterar den. Inom ramen för myndighetsgemensamma system upp- står dessutom ofta nya informationsmängder och även dessa måste kunna hanteras korrekt ur ett informationssäkerhetsperspektiv.</P>
<P class="p58 ft46">I utredningen kartläggningsarbete efterfrågande myndighetsrepre- sentanter mer styrande reglering kring myndigheternas informations- säkerhetsarbete. Man framförde att det vore lämpligt med en förvalt- ningsgemensam reglering av behörighetsstyrning. På så sätt skulle man kunna säkerställa tillgänglighet till information av god kvalitet till</P>
<P class="p520 ft93"><SPAN class="ft56">16</SPAN><SPAN class="ft84">Departementspromemorian </SPAN>Granskning av Transportstyrelsens upphandling av <NOBR>it-drift</NOBR> <SPAN class="ft85">(Ds 2018:6), s. 3 ff.</SPAN></P>
<P class="p434 ft93"><SPAN class="ft56">17</SPAN><SPAN class="ft103">Ny finansieringsmodell för grunddatautbyte mellan statliga myndigheter samt kommuner och landsting </SPAN><SPAN class="ft85">(ESV 2017:54).</SPAN></P>
<P class="p521 ft113"><SPAN class="ft56">18</SPAN><SPAN class="ft119">Med informationsklassning avses att genom konsekvensanalys identifiera skyddsbehovet för en viss informationsmängd. Se 4 § Myndigheten för samhällsskydd och beredskaps före- skrifter om statliga myndigheters informationssäkerhet (MSBFS 2016:1).</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">235</P>
</DIV>
</DIV>
<DIV id="page_237">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Offentliga utredningar och myndighetsrapporter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p305 ft18">dem som har ett konstaterat behov av att ta del av informationen från en viss källa. Vidare framfördes att ett bredare tillsynsuppdrag över myndigheters arbete med informations- och cybersäkerhet be- hövs. Vidare framhölls att varje myndighet ansvarar dessutom för sina bedömningar och <NOBR>informationssäkerhets-,</NOBR> dataskydds- och sek- retessfrågor måste beaktas såväl ur ett individ- som ur ett samhälls- perspektiv. Det finns en oro över att uppgifter som en myndighet publicerar på aggregerad nivå ska kunna återskapas till personupp- gifter om de kombineras med uppgifter som t.ex. har hämtats från en annan källa, eller att något säkerhetsrelaterat hot kan uppstå som en enskild myndighet inte har överblick över. Ett par aktörer har där- för uppmärksammat behovet av en central aktör som har överblick över samtliga öppna data som publiceras av myndigheterna. Myn- digheterna måste också beakta eventuella verksamhetsrisker som kan uppstå till följd av publicering av öppna data som rör verksamheten.</P>
<P class="p83 ft19">Utredningen framhöll att den uppmärksammat att många av de utmaningar kring informationssäkerhet som myndigheterna står inför är gemensamma för hela förvaltningen. Det är en avgörande förut- sättning för att informationssäkerhetsfrågorna ska få den uppmärk- samhet de förtjänar att frågorna prioriteras av myndighetsledningen. Verksamheten behöver avsätta tillräckliga resurser, såväl tidsmässiga som personella, för att kunna arbeta aktivt och löpande med infor- mationssäkerheten. Om det saknas tillräckliga resurser för informa- tionssäkerhetsarbetet finns det en risk för att verksamhetens fokus läggs på leveranserna i kärnverksamheten i första hand och på säker- heten i andra hand.</P>
<P class="p62 ft18">Utredningen noterade att flera aktörer har framhållit behovet av att hantera frågor om informationssäkerhet vid myndighetssam- verkan. Det gäller särskilt myndighetssamverkan eller som inklu- derar informationsutbyten. Information som utbyts mellan myndig- heter behöver ha ett tillräckligt skydd hos alla aktörer som hanterar den. Informationsutbyten kan också medföra att nya informations- mängder uppstår. Det behöver finnas en beredskap för att hantera dessa informationsmängder på ett säkert och ansvarsfullt sätt. Av- saknaden av reglering tenderar att medföra att varje myndighet upp- finner sina egna rutiner för informationssäkerhet när det gäller klassning av informationstillgångar, utformning av roller och behörighetstill- delning för åtkomst till information i <NOBR>it-system,</NOBR> val av tekniska, admi- nistrativa och organisatoriska säkerhetsåtgärder, m.m. En tydligare</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">236</P>
</DIV>
</DIV>
<DIV id="page_238">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td87"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td88"><P class="p2 ft37">Offentliga utredningar och myndighetsrapporter</P></TD>
</TR>
</TABLE>
<P class="p86 ft19">reglering som lägger grunden till en förvaltningsgemensam syn på informationssäkerheten i den offentliga förvaltningen efterfrågas.</P>
<P class="p65 ft18">Utredningen konstaterade att reglering av informationssäkerhet som träffar olika aktörer och information, med delvis olika syften, finns spridd i olika föreskrifter. Utredningen menade att ett mer sammanhållet arbete med informationssäkerhet i den offentliga för- valtningen har potential att effektivisera den digitala utvecklingen utan att säkerheten åsidosätts. Det gäller inte minst när myndigheter sam- arbetar i gemensamma utvecklingsarbeten som innefattar informa- tionsutbyten. Mot den bakgrunden bedömer utredningen att det även efter genomförandet av bl.a. <NOBR>NIS-direktivet</NOBR> och ikraftträdandet av en ny säkerhetsskyddslag, kommer att vara angeläget att utforma en generell informationssäkerhetsreglering som omfattar hela för- valtningen, dvs. också kommuner och regioner. I syfte att stärka in- formationssäkerheten i hela den offentliga förvaltningen föreslår ut- redningen därför att regeringen låter utreda förutsättningarna för att ta fram en kompletterande reglering om informationssäkerhet som omfattar hela den offentliga förvaltningen.</P>
<P class="p68 ft17">Utredningen framhöll att förutsättningarna att tillhandahålla viss samordnad <NOBR>it-drift</NOBR> till den offentliga förvaltningen i stort bör fort- satt övervägas. Behovet av författningsreglering avseende en sådan sam- ordnad <NOBR>it-drift</NOBR> bör övervägas i detta sammanhang. Reglering torde bl.a. ge ökad rättslig tydlighet vad avser förhållandet till upphandlings- regelverket.</P>
<P class="p65 ft18">Utredningens påpekade samtidigt att inom informationssäker- hetsområdet saknas viss reglering som träffar hela den offentliga för- valtningen. För att uppnå nödvändig säkerhet och skydd för infor- mation och upprätthålla enskildas förtroende för den digitala utveck- lingen i hela den offentliga förvaltningen är det angeläget att etablera ett gemensamt förhållningssätt till informationssäkerhetsfrågorna som omfattar den offentliga förvaltningen i stort. Informationssäker- heten bör som utgångspunkt angripas på ett enhetligt sätt av samt- liga myndigheter. Ett mer sammanhållet arbete med informations- säkerhet i den offentliga förvaltningen har potential att effektivisera den digitala utvecklingen i offentlig förvaltning utan att säkerheten åsidosätts. Det gäller inte minst när myndigheter samarbetar i gemen- samma utvecklingsarbeten som innefattar informationsutbyte. För att reducera risker och behålla en god säkerhetsnivå hos alla samver- kande myndigheter är det angeläget att myndigheter vidtar samord-</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">237</P>
</DIV>
</DIV>
<DIV id="page_239">
<DIV id="p239dimg1">
<INGENBILD zsrc="H9B363239x1.jpg/" id="p239img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Offentliga utredningar och myndighetsrapporter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p189 ft17">nade informationssäkerhetsåtgärder. Regeringen bör därför låta ut- reda förutsättningarna för att ta fram en kompletterande reglering om informationssäkerhet som omfattar hela den offentliga förvalt- ningen.</P>
<P class="p73 ft18">Utredningen noterade i detta sammanhang vad <SPAN class="ft45">Utredningen om effektiv styrning av nationella digitala tjänster </SPAN>föreslår i sitt slutbetän- kande om att regeringen tar fram rättsliga krav för ett systematiskt och riskbaserat informationssäkerhetsarbete för samtliga offentliga myndigheter.<SPAN class="ft79">19 </SPAN>Utredningen uttalade att den ansluter till de bedöm- ningar som den utredningen har gjort men anser att det finns skäl att utveckla förslaget ytterligare. Enligt utredningens bedömning behövs ett rättsligt styrmedel som utgör ett tydligt incitament för myn- dighetsledningar att prioritera och ge nödvändiga resurser till arbetet med informationssäkerhet, samtidigt som ledning ges i fråga om vilka åtgärder som behöver vidtas. Ytterligare förvaltningsgemen- samma rättsregler kan ge såväl styrning som stöd inom informations- säkerhetsområdet. Vissa generella och grundläggande krav på infor- mationssäkerhetsarbetet för hela den offentliga förvaltningen skulle kunna regleras i form av lag. En sådan informationssäkerhetslag, för den offentliga förvaltningen i stort, i kombination med föreskrifts- rätt, kan – enligt utredningens uppfattning – vara en lämplig form för ytterligare styrning och stöd inom informationssäkerhetsområdet. En lag om informationssäkerhet har möjlighet att lägga grunden till en mer enhetlig ansats i informationssäkerhetsarbetet inom den offent- liga förvaltningen. Ett större mått av enhetlighet ger bättre förutsätt- ningar att t.ex. effektivisera gemensamma utvecklingsarbeten i den offentliga förvaltningen.</P>
<P class="p209 ft20">Kompletteringar till den nya säkerhetsskyddslagen (SOU 2018:82)</P>
<P class="p220 ft18">Regeringen beslutade den 23 mars 2017 att tillkalla en särskild ut- redare med uppdrag att överväga vissa frågor i säkerhetsskyddslag- stiftningen (dir. 2017:32). Förslagen skulle komplettera de förslag som lämnats i betänkandet <SPAN class="ft45">En ny säkerhetsskyddslag </SPAN>(SOU 2015:25). Utredningen skulle enligt direktiven kartlägga behovet av att före- bygga att säkerhetsskyddsklassificerade uppgifter eller i övrigt säker- hetskänslig verksamhet utsätts för risker i samband med utkontrak-</P>
<P class="p505 ft41"><SPAN class="ft56">19</SPAN><SPAN class="ft82">SOU 2017:114, kapitel 9.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">238</P>
</DIV>
</DIV>
<DIV id="page_240">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td87"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td88"><P class="p2 ft37">Offentliga utredningar och myndighetsrapporter</P></TD>
</TR>
</TABLE>
<P class="p126 ft17">tering och upplåtelse. Utredningen lämnade betänkandet <SPAN class="ft49">Komplet- teringar till den nya säkerhetsskyddslagen </SPAN>(SOU 2018:82) i november 2018.</P>
<P class="p65 ft46">Utredningen konstaterade att det finns flera brister i säkerhets- skyddsarbetet som t.ex. yttrar sig vid utkontraktering av säkerhetskäns- lig verksamhet men också vid vissa upplåtelser och andra förfaranden där utomstående involveras i den säkerhetskänsliga verksamheten. Vissa av bristerna gäller säkerhetsskyddet generellt, t.ex. att verksam- hetsutövaren inte tillämpar säkerhetsskyddsreglerna eller har bris- tande kunskap om sina skyddsvärden. Sådana brister accentueras när verksamhetsutövaren utkontrakterar en del av den säkerhetskänsliga verksamheten eller på annat sätt kopplar in utomstående i verksam- heten. Andra brister handlar specifikt om olika förfaranden där utom- stående involveras i den säkerhetskänsliga verksamheten, däribland utkontraktering och upplåtelse men också andra förfaranden. Bris- terna handlar om att man inte alltid prövar om förfarandet är lämp- ligt eller att det är svårt att pröva lämpligheten, att säkerhetsskydds- avtal kan vara bristfälliga, att man inte följer upp förfarandet medan det pågår och att det saknas tillräckliga möjligheter för samhället att ingripa mot förfaranden som är olämpliga från säkerhetsskyddssyn- punkt.</P>
<P class="p522 ft19">Utredningen konstaterade att stora konsekvenser kan uppstå när <NOBR>it-drift</NOBR> läggs ut hos privata företag. Utkontraktering kan innebära att flera kunders system och information samlas i samma lagrings- medium eller lagringsmiljö, vilket innebär en ökad exponering. Vissa företag ser ett bra säkerhetsarbete som en konkurrensfördel och sat- sar därför resurser på säkerhet. Andra företag har inga incitament för att investera i säkerhetshöjande åtgärder som ofta är kostsamma och produktionshämmande.</P>
<P class="p65 ft18">Utredningen noterade att det finns verksamhetsutövare som inte tillämpar säkerhetsskyddslagen. I betänkandet <SPAN class="ft45">En ny säkerhetsskydds- lag </SPAN>(SOU 2015:25) anges att det antagligen finns verksamheter av stor betydelse för Sveriges säkerhet som över huvud taget inte till- lämpar säkerhetsskyddslagstiftningen (s. 477). Denna bild stöds av det som framkommit under utredningens möten med myndigheter, enskilda och utredningens experter. Att verksamhetsutövare som be- driver säkerhetskänslig verksamhet inte tillämpar säkerhetsskyddslag- stiftningen är i sig allvarligt eftersom det innebär en sårbarhet för de värden som lagstiftningen ska skydda. Inte minst innebär det en</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">239</P>
</DIV>
</DIV>
<DIV id="page_241">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Offentliga utredningar och myndighetsrapporter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p305 ft18">överhängande risk för att man inte gör en säkerhetsskyddsanalys, vilket i sin tur kan leda till bristande kunskap om de egna skydds- värdena. Det framstår som särskilt allvarligt med brister i tillämp- ningen vid utkontraktering och upplåtelsen eftersom säkerhetskäns- lig verksamhet och säkerhetsskyddsklassificerade uppgifter därigenom kan utsättas för ytterligare sårbarheteter. En utebliven eller bristande säkerhetsskyddsanalys kan leda till att verksamhet utkontrakteras eller andra slags förfaranden inleds i fall där det av säkerhetsskydds- käl inte borde ske. I andra fall kan det leda till att en i och för sig lämplig utkontraktering, upplåtelse eller något annat förfarande äger rum utan att det ingås ett säkerhetsskyddsavtal. Detta innebär också en ökad risk för att motparten i avtalet inte vidtar de säkerhetsskydds- åtgärder som behövs, vilket kan leda till sårbarheter och skador för Sveriges säkerhet. Den omständigheten att den nya säkerhetsskydds- lagen i större utsträckning än tidigare kommer att gälla för enskilda verksamhetsutövare underströk – enligt utredningen bedömning – behovet av förebyggande åtgärder.</P>
<P class="p83 ft18">Utredningen ansåg vidare att det finns bristande kunskaper om egna skyddsvärden. En bild som tydligt framträdde under utred- ningens möten med experter, myndigheter och enskilda var att många verksamhetsutövare saknar tillräcklig kunskap om vilka skyddsvär- den som finns i den egna verksamheten. Sådana brister har ofta blivit synliga inför och under utkontrakteringar. Utredningen framhöll att Säkerhetspolisen har bl.a. observerat att det har förekommit utkon- traktering av säkerhetskänslig verksamhet utan säkerhetsskydds- avtal, att säkerhetsskyddet vid utkontraktering har dimensionerats på fel sätt och att verksamhetsutövare har saknat kunskap om verk- samhetens roll i samhället, dess betydelse för Sveriges säkerhet och om beroenden mellan den utkontrakterade verksamheten och annan verksamhet av betydelse för Sveriges säkerhet. Bristerna kan i stor utsträckning härledas till bristande kunskaper om den egna verksam- hetens skyddsvärden, bl.a. har verksamhetsutövare inte känt till vilka känsliga uppgifter som hanterats i verksamheten. Vidare har verk- samhetsutövare inte varit medvetna om vilka beroenden som finns till den egna verksamheten och hur dessa beroenden påverkar Sveriges säkerhet. Sådana brister utgör ett påtagligt problem vid utkontrak- teringar eftersom kunskap om egna skyddsvärden är en förutsättning för att verksamhetsutövaren ska kunna formulera krav på hur leve- rantören ska tillgodose kraven på säkerhetsskydd. Bristande kunskaper</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">240</P>
</DIV>
</DIV>
<DIV id="page_242">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td87"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td88"><P class="p2 ft37">Offentliga utredningar och myndighetsrapporter</P></TD>
</TR>
</TABLE>
<P class="p193 ft18">om skyddsvärden utgör ett problem vid bl.a. utkontrakteringar. Ut- redningen menade det behöver införas förebyggande åtgärder som syftar till att höja verksamhetsutövarnas kunskap om egna skyddsvär- den. Detta är inte bara viktigt för att förebygga negativa konsekven- ser vid utkontraktering utan också vid upplåtelser, upphandlingar och andra förfaranden där utomstående får tillgång till säkerhetsskydds- klassificerade uppgifter eller i övrigt säkerhetskänslig verksamhet.</P>
<P class="p186 ft17">Med utgångspunkt i kartläggningen av utvecklingsbehovet före- slog utredningen en bred ansats och ett antal förebyggande åtgärder som inte enbart är inriktade på utkontraktering och upplåtelse, utan som kan aktualiseras även vid vissa andra förfaranden med utom- stående parter.</P>
<P class="p149 ft17">Regeringen har i den påföljande lagstiftningsprocessen delat mer- parten av utredningens bedömningar (prop. 2020/21:194). I kapitel 13 redogörs närmare för regeringens lagförslag.</P>
<P class="p131 ft26">År 2019</P>
<P class="p523 ft63">Granskningsrapport: Föråldrade <NOBR>it-system</NOBR> – hinder för en effektiv digitalisering (RIR 2019:28)</P>
<P class="p57 ft18"><SPAN class="ft45">Riksrevisionen </SPAN>har granskat förekomsten av föråldrade <NOBR>it-system</NOBR> hos ett drygt <NOBR>60-tal</NOBR> större myndigheter. Fokus för granskningen har varit om myndigheterna och regeringen har gjort tillräckligt för att hantera de problem som föråldrade <NOBR>it-system</NOBR> innebär. Gransk- ningen, som redovisades i granskningsrapporten <SPAN class="ft45">Föråldrade </SPAN><NOBR><SPAN class="ft45">it-system</SPAN></NOBR></P>
<P class="p411 ft45"><SPAN class="ft73">–</SPAN><SPAN class="ft149">hinder för en effektiv digitalisering </SPAN><SPAN class="ft18">(RIR 2019:28), visar att det finns föråldrade </SPAN><NOBR><SPAN class="ft18">it-system</SPAN></NOBR><SPAN class="ft18"> hos ett stort antal myndigheter. Hos många myndigheter är det dessutom ett flertal av de verksamhetskritiska it- systemen som är föråldrade. Riksrevisionen bedömer att detta dess- utom är ny kunskap. Det har således inte funnits någon bred bild av problemet med föråldrade </SPAN><NOBR><SPAN class="ft18">it-system</SPAN></NOBR><SPAN class="ft18"> i förvaltningen. Digitaliseringen går fort och nya </SPAN><NOBR><SPAN class="ft18">it-system</SPAN></NOBR><SPAN class="ft18"> utvecklas och blir ständigt mer effektiva. Föråldrade </SPAN><NOBR><SPAN class="ft18">it-system</SPAN></NOBR><SPAN class="ft18"> är vanligen förknippade med risker för bristande informationssäkerhet. Det finns stor risk för att föråldrade </SPAN><NOBR><SPAN class="ft18">it-system</SPAN></NOBR><SPAN class="ft18"> även innebär bristande hushållning med statens medel. Föråldrade it- system kräver även mycket resurser som innebär en undanträngning av myndighetens innovationsförmåga. Det blir färre resurser över till att ta till sig ny digital teknik och att utveckla och anamma nya och</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">241</P>
</DIV>
</DIV>
<DIV id="page_243">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Offentliga utredningar och myndighetsrapporter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p60 ft18">mer effektiva <NOBR>it-system.</NOBR> Många föråldrade system gör det också svårt eller omöjligt att, baserat på det befintliga systemet, utveckla nya tjänster eller funktionalitet eller att förändra och utveckla befintliga verksamhetsprocesser. Därmed påverkar <NOBR>it-systemen</NOBR> också myndig- heternas verksamhetsutveckling. Närmare hälften av myndigheterna uppger att myndighetens fortsatta digitaliseringsarbete i ganska eller mycket stor utsträckning försvåras av problem i enskilda <NOBR>it-system</NOBR> eller av <NOBR>it-miljön</NOBR> i stort. Ett föråldrat <NOBR>it-system</NOBR> och problem med det enskilda systemet hos en myndighet innebär stora konsekvenser för möjligheterna att bedriva verksamheten hos en annan myndighet eller privat aktör. <NOBR>It-kostnaderna</NOBR> för de myndigheter som var före- mål för granskning är ungefär 19 miljarder. Den bristande effektivi- teten som kan kopplas till föråldrade <NOBR>it-system</NOBR> är därmed väsentlig även ur ett budgetperspektiv. Vidare svararade ungefär 80 procent av myndigheterna att man har svårigheter att upprätthålla eftersträvad nivå av informationssäkerhet för något eller några verksamhetskri- tiska system och 12 procent svararade att det är ett problem för samt- liga eller en majoritet av de verksamhetskritiska systemen. Föråldrade <NOBR>it-system</NOBR> innebär därmed även en väsentlig risk ur ett informations- säkerhetsperspektiv.</P>
<P class="p83 ft18">Riksrevisionens slutsats är sammantaget att problemet med för- åldrade <NOBR>it-system</NOBR> är så allvarligt och utbrett att det innebär ett hinder för en fortsatt effektiv digitalisering av statsförvaltningen. Riksrevi- sionen drar även slutsatsen att en stor del av de undersökta myndig- heterna inte har eller använder de verktyg som behövs. Det innebär i sin tur man får svårigheter att analysera och förstå hur förändringar påverkar verksamhetens mål och det blir därmed också svårare att definiera ett framtida önskvärt läge. Det kan noteras att ungefär 70 pro- cent av myndigheterna svarade att <NOBR>it-miljön</NOBR> är komplex på grund av ett stort antal heterogena system. Mer än hälften har en arkitektur som strävar i flera olika riktningar till förfång för helheten (spretig arkitektur). Riksrevisionen bedömer vidare att frånvaron av mål- arkitektur och arkitekturstyrning är en av flera bakomliggande för- klaringar till att många myndigheter i dag har <NOBR>it-system</NOBR> som kan anses vara föråldrade utifrån verksamhetens behov. En arkitektur- styrning utifrån en målarkitektur är därmed centralt för att vidmakt- hålla och utveckla en <NOBR>it-miljö</NOBR> som effektivt stödjer verksamhetens behov. Behovet av målarkitektur och arkitekturstyrning accentueras med storleken på myndighetens totala <NOBR>it-miljö.</NOBR> Riksrevisionen be-</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">242</P>
</DIV>
</DIV>
<DIV id="page_244">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td87"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td88"><P class="p2 ft37">Offentliga utredningar och myndighetsrapporter</P></TD>
</TR>
</TABLE>
<P class="p86 ft18">dömer att myndigheternas bristande arbete med digitaliseringsstra- tegier kan även de vara en förklaring till att många myndigheter brot- tas med en <NOBR>it-miljö</NOBR> bestående av föråldrade <NOBR>it-system</NOBR> i varierande omfattning. En sådan strategi anger en riktning för vad myndigheten totalt sett vill uppnå med sin digitalisering. Det ger därmed en rikt- linje som varje enskilt projekt som rör <NOBR>it-utveckling</NOBR> eller förvaltning i någon utsträckning behöver förhålla sig till. Omvänt blir det utan en strategi svårt att åstadkomma en effektivt fungerande helhet.</P>
<P class="p524 ft72">Kommunernas informationssäkerhetsarbete – en övergripande kartläggning av kommunernas systematiska informationssäkerhetsarbete</P>
<P class="p525 ft45">Sveriges Kommuner och Regioner (SKR) <SPAN class="ft18">genomförde under våren 2019 en webbenkät om hur långt kommunerna kommit i sitt syste- matiska informationssäkerhetsarbete. SKR utarbetade webbenkäten tillsammans med MSB. Enkäten var utformad för att kartlägga om resurser avsatts för att driva informationssäkerhetsarbetet, om grund- läggande åtgärder vidtagits och vilken mognadsgrad den svarande kommunen själv skattade att den nått. Sammanfattningsvis framkom av enkäten att det finns en djup och bred förståelse av hur viktigt ett grundläggande systematiskt informationssäkerhetsarbete är för all fortsatt digitalisering. Det som fortfarande återstår på många håll är styrning, ledning, avsatta medel och resurser för arbetets planering och genomförande samt en tydlig uppföljning som är integrerad i övrig verksamhetsuppföljning. Det återstår fortsatt arbete i införandet av ett systematiskt och riskbaserat informationssäkerhetsarbete, inom samtliga undersökta områden i enkäten, bl.a. informerar sig färre än 3 av 10 kommunledningar om statusen för informationssäkerhets- arbetet, i endast 2 av 10 kommuner omsätts ledningens mål i kon- kreta handlingsplaner. I strax över 5 av 10 kommuner finns en hanter- ing av informationssäkerhetsriskerna. Strax över 5 av 10 kommuner har ett etablerat arbetssätt för klassning av informationstillgångar. I 6 av 10 kommuner finns ett etablerat arbetssätt för hantering av infor- </SPAN><NOBR><SPAN class="ft18">mationssäkerhetsincidenter/-avvikelser.</SPAN></NOBR><SPAN class="ft18"> I 4 av 10 kommuner finns ett etablerat arbetssätt för planering som säkerställer verksamhetens kontinuitet. Få kommuner uppger nya säkerhetsskyddslagen eller </SPAN><NOBR><SPAN class="ft18">NIS-direktivet</SPAN></NOBR><SPAN class="ft18"> som en faktor till att informationssäkerhet hamnat högre på prioriteringsordningen. Av resultatet från undersökningen kan dras slutsatsen att ett införande av ett systematiskt och risk-</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">243</P>
</DIV>
</DIV>
<DIV id="page_245">
<DIV id="p245dimg1">
<INGENBILD zsrc="H9B363245x1.jpg/" id="p245img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Offentliga utredningar och myndighetsrapporter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p152 ft46">baserat informationssäkerhetsarbete beror ofta på ledningens aktiva engagemang, och här uppvisar många kommuner brister. Snarare före- faller ledningen delegera ned även styrningen av arbetet i organisa- tionen. Vissa av de kommuner som själva skattat sitt arbete högt verkar ha kommit så långt tack vare intresserade och motiverade med- arbetare som givits utrymme att utforma informationssäkerhets- arbetet. Vidare verkar det som om många kommuner själva tar fram sina arbetsmetoder. En gemensam nämnare bland de kommuner som inte skattat sitt arbete högt är att ledningen delegerat ansvaret för uppdraget, men inte tilldelat resurser. Att engagera ledningen verkar vara kopplat till frågan om medvetenhet. Det förefaller ofta saknas tillräcklig kunskap om den egna organisationens behov av informa- tionssäkerhet hos såväl den politiska- som tjänstemannaledningen. Den ökade graden av digitalisering och högre krav från allmänheten att få ta del av information verkar driva arbetet med informations- säkerhet. De som lyckats med sitt arbete förefaller ha tagit ett en- hetligt grepp om frågan och arbetat aktivt med att förenkla sina arbets- sätt och anpassar dem efter lokala förhållanden. Avsaknaden av ett systematiskt angreppssätt verkar begränsande på kommunens arbete, även där medarbetare uppmärksammat behovet av informationssäker- het. Här verkar det vanligare med ad <NOBR>hoc-insatser</NOBR> med situations- anpassade lösningar, som troligtvis kostar större resurser men inte nödvändigtvis med högre kvalitet.</P>
<P class="p526 ft45">En struktur för uppföljning av det systematiska informationssäkerhetsarbetet i den offentliga förvaltningen – Redovisning av regeringens uppdrag</P>
<P class="p527 ft49">Myndigheten för samhällsskydd och beredskap (MSB) <SPAN class="ft17">fick 2019 även regeringens uppdrag att ta fram en struktur för uppföljning av det systematiska informationssäkerhetsarbetet i den offentliga förvalt- ningen.</SPAN><SPAN class="ft54">20</SPAN></P>
<P class="p115 ft46">MSB redovisade myndighetens svar i skrivelsen <SPAN class="ft60">En struktur för upp- följning av det systematiska informationssäkerhetsarbetet i den offentliga förvaltningen. </SPAN>I svaret påpekade myndigheten att en uppföljning av informationssäkerhetsarbetet upplevs ofta som en utmaning, samtidigt som det är en förutsättning för att en organisation ska kunna uppnå</P>
<P class="p528 ft41"><SPAN class="ft56">20</SPAN><SPAN class="ft82">Ju2019/03058/SSK, Ju2019/02421/SSK.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">244</P>
</DIV>
</DIV>
<DIV id="page_246">
<DIV id="p246dimg1">
<INGENBILD zsrc="H9B363246x1.jpg/" id="p246img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td87"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td88"><P class="p2 ft37">Offentliga utredningar och myndighetsrapporter</P></TD>
</TR>
</TABLE>
<P class="p193 ft18">och bibehålla ett adekvat skydd. Målsättningen med uppföljnings- strukturen är att statliga myndigheter, kommuner och regioner ska erbjudas stöd i sitt uppföljnings- och förbättringsarbete och att reger- ingen ska få en samlad nivåbedömning av det systematiska informa- tionssäkerhetsarbetet i offentlig förvaltning. Myndigheten utvecklade i samverkan med företrädare för målgruppen en uppföljningsmodell. Modellen delar in det systematiska informationssäkerhetsarbetet i fyra nivåer, som är tänkta att motsvara ett stegvis utvecklingsarbete. Genom att besvara uppföljningsmodellens frågeformulär får en orga- nisation automatisk återkoppling om sin nivå, styrkor och utveck- lingsområden. Kompletterande återkoppling (benchmarking) erhålls efter inrapportering till MSB. I analysen av det samlade underlaget kan MSB dra slutsatser om vad för stöd och satsningar som är på- kallade på nationell nivå. Uppföljningsstrukturen löper över två år, med lansering planerad till 2021. Därefter kommer uppföljningen att genomföras regelbundet i tvåårscykler, vilket bl.a. ger möjlighet att identifiera utvecklingstrender över tid. MSB bedömer att myndig- hetens uppföljningsstruktur bör kunna bidra till ett förbättrat och mer enhetligt arbete med informationssäkerhet inom offentlig för- valtning. Detta förutsätter dock ett brett deltagande från den offent- liga förvaltningen, främjande av en positiv och bejakande uppföljnings- kultur, samt resurssättning av identifierade förbättringsområden.</P>
<P class="p131 ft26">År 2020</P>
<P class="p416 ft20">Cybersäkerhet i Sverige – Hot, metoder, brister och beroenden 2020</P>
<P class="p232 ft45">Försvarets radioanstalt <SPAN class="ft18">(FRA), </SPAN>Försvarsmakten<SPAN class="ft18">, </SPAN>Myndigheten för sam- hällsskydd och säkerhet <SPAN class="ft18">(MSB) och </SPAN>Säkerhetspolisen <SPAN class="ft18">har i en fördjupad myndighetssamverkan tillsammans med </SPAN>Polismyndigheten <SPAN class="ft18">gemen- samt tagit fram rapporten </SPAN>Cybersäkerhet i Sverige – Hot, metoder, bris- ter och beroenden 2020.<SPAN class="ft79">21 </SPAN><SPAN class="ft18">I rapporten påpekas att det finns en avsak- nad av ett strukturerat säkerhetsarbete. Cybersäkerhet är en viktig del i nästan allt säkerhetsarbete eftersom digital information och digitala tjänster används i de flesta verksamheter. Samtidigt har det visat sig att arbetet med cybersäkerhet i Sverige går trögt, med brister i cyber-</SPAN></P>
<P class="p529 ft41"><SPAN class="ft56">21</SPAN><SPAN class="ft82">Rapporten är framtagen av Försvarets radioanstalt, Försvarsmakten, Myndigheten för sam- hällsskydd och beredskap, Polismyndigheten och Säkerhetspolisen inom ramen för en för- djupad samverkan.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">245</P>
</DIV>
</DIV>
<DIV id="page_247">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Offentliga utredningar och myndighetsrapporter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p125 ft17">säkerheten som följd. Genomförda granskningar och tillsyner visar att arbetet med cybersäkerhet inte är ändamålsenligt sett till de hot och risker som finns.</P>
<P class="p82 ft18">I rapporten görs bedömningen att det är vanligt förekommande med brister i systematiskt cybersäkerhetsarbete. Planering och genom- förande av säkerhetsarbete är en dynamisk process som kräver fort- löpande uppföljning och utvärdering. De framsteg som sker inom informationsteknik gör att samhället behöver förhålla sig till nya teknologier i samband med sin verksamhetsutövning. Dessa teknik- språng ställer krav på att verksamheterna förstår och kan bedöma förändringar i sin teknikanvändning. När ny teknik introduceras kan det ske gradvis och det kan vara svårt att fastställa en tidpunkt när man behöver revidera en säkerhetsanalys. Det är dock ofta svårt att tydligt definiera ett särskilt tillfälle när en verksamhet har infört ny teknik i sådan omfattning att den påverkar tidigare gjorda bedömningar.</P>
<P class="p61 ft18">I rapporten pekas också på förekomsten av bristande kravställ- ning vid upphandling och utkontraktering. I Sverige är många verk- samhetsutövare i hög utsträckning beroende av informationstekno- logi. Kraven på hur en verksamhet ska hantera sin cybersäkerhet ställs genom reglering, men de finns även i form av marknadsmässiga krav på effektivitet, kvalitet och säkerhet för att kunna upprätthålla verksamhetens konkurrenskraft. Det är svårt för vissa verksamhets- utövare att helt på egen hand uppfylla de krav som ställs på säkerhet. En lösning för dessa verksamheter kan vara att utkontraktera sina behov till en tjänsteleverantör som har bättre möjligheter att möta säkerhetskraven. Genom att utkontraktera dessa delar av verksam- heten kan verksamhetsutövarna lägga ett större fokus på sin kärn- verksamhet samtidigt som cybersäkerheten blir bättre. En utmaning</P>
<P class="p340 ft18"><SPAN class="ft21">–</SPAN><SPAN class="ft150">som noteras i rapporten – är att väl beskriven kravställning är en förutsättning för en bra upphandling. Att kravställa cybersäkerhet kräver kompetens, både när det gäller anskaffning av varor, tjänster och vid utkontraktering. Det finns tillfällen där anskaffning av varor och tjänster som hanterar information med ett högt skyddsvärde har genomförts utan tillräcklig identifiering och värdering av systemets skyddsvärden. Det har skapat risker för den information eller verk- samhet som systemet hanterar, vilket innebär att krav på säkerhet i stället arbetas in i efterhand, vilket medför risk för att upphand- lingen kan behöva göras om. Även i de fall en helt ny upphandling inte behöver ske är säkerhet kostsamt och ibland svårt att arbeta in i</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">246</P>
</DIV>
</DIV>
<DIV id="page_248">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td87"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td88"><P class="p2 ft37">Offentliga utredningar och myndighetsrapporter</P></TD>
</TR>
</TABLE>
<P class="p77 ft46">efterhand. Med en korrekt kravställning kan i vissa fall en utkontrak- tering av <NOBR>it-infrastruktur</NOBR> till tjänsteleverantörer vara en säkerhets- höjande åtgärd. Vid ett beslut om utkontraktering behöver beställaren emellertid förstå hur tjänsterna som ska levereras är konstruerade och vad en sådan lösning innebär ur säkerhetssynpunkt. För att av- göra om en utkontraktering ger ett tillräckligt skydd krävs att den som beställer har en förmåga att bedöma helheten i den lösning som erbjuds. Då krävs också en förståelse för hur olika tekniska säker- hetsfunktioner fungerar och hur de tillsammans skapar en samman- hållen säkerhetslösning, men dessa bedömningar sker ofta – enligt rapporten – på ett otillräckligt sätt. Det är vanligt att flera tjänste- leverantörer delar på hanteringen av utkontrakterad <NOBR>it-infrastruktur,</NOBR> exempelvis som underleverantörer.</P>
<P class="p530 ft18">I rapporten noteras att det kan vara svårare för kunden att ställa krav på en kontinuerlig säkerhetsnivå som följs av samtliga leveran- törer. Större tjänsteleverantörer som erbjuder sina tjänster gentemot svenska verksamhetsutövare bedriver i regel sin verksamhet i flera länder och omfattas på så vis av en annan jurisdiktion än den svenska. Det medför att utländsk lagstiftning kan bli tillämplig för de tjänster man levererar i Sverige, och den ger i vissa fall leverantören – och dess underleverantörer – rätt att ta del av information som hanteras inom ramen för den tjänst som levereras.</P>
<P class="p80 ft18"><SPAN class="ft21">I</SPAN><SPAN class="ft151">rapporten påpekas att utkontraktering av </SPAN><NOBR>it-infrastruktur</NOBR> inne- bär även att det skapas ett beroende av tjänsteleverantören. När it- tjänster utkontrakteras sker det inte sällan till globala tjänsteleve- rantörer, vilket innebär att det beroende som uppstår är interna- tionellt. Detta uttrycks ibland som en risk för förlust av digital suve- ränitet, ett begrepp som använts i <NOBR>EU-sammanhang</NOBR> och innebär att en stat förlorar delar av sin kontroll över sitt oberoende, självstän- dighet och handlingsfrihet på det digitala området. En annan effekt av utkontraktering av <NOBR>it-tjänster</NOBR> är att tjänsteleverantörer samlar flera kunder med verksamheter som innehåller skyddsvärden. Det inne- bär att den samlade mängden av kundernas information och tjänster hos en tjänsteleverantör gör att leverantören behöver beakta om dess verksamhet – till följd av kundernas skyddsvärden – når en nivå där den i sig är att betrakta som säkerhetskänslig. För att detta överhuvud- taget ska vara möjligt för tjänsteleverantören måste dock kunden kommunicera detta, då leverantören inte som regel själv kan identi- fiera detta genom sin leverans av det avtalade uppdraget.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">247</P>
</DIV>
</DIV>
<DIV id="page_249">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Offentliga utredningar och myndighetsrapporter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p89 ft18">I rapporten noteras även att en vanlig form av utkontraktering sker via delade molntjänster, dvs. att en verksamhet i stället för att på egen hand investera i egen hård- och mjukvara hyr de resurser som behövs, vilket kan vara allt från enskilda applikationer till hela eller delar av efterfrågad <NOBR>it-infrastruktur.</NOBR> Det innebär dock säker- hetsutmaningar eftersom verksamhetsutövaren i praktiken lämnar över kontroll över system och information till en tjänsteleverantör. Användandet av molntjänster innebär dessutom att insynen för- sämras för verksamhetsutövaren jämfört med om man hade hanterat behovet inom den egna verksamheten. En annan utmaning med delade molntjänster är att informationen i de allra flesta fall är indirekt exponerade mot såväl andra kunder som övriga på internet. Med andra ord kan en sårbarhet, såväl administrativ som teknisk, eller en fel- aktig konfiguration innebära att informationen direkt blir exponerad och sannolikt snabbt spridd till obehöriga. Det innebär att verksam- hetsutövare måste hantera problematiken kring överförda hotbilder. Hotbilden mot en molntjänst blir den sammanlagda hotbilden mot alla kunder som använder molntjänsten. Molnlösningar innebär också att en hotaktör inte längre enbart är hänvisad till att angripa ägaren till den information eller tjänst man vill påverka. Förutom moln- tjänstleverantören har alla övriga kunder en logisk access till den gemensamma <NOBR>it-infrastrukturen</NOBR> hos en leverantör. Det innebär att man är beroende av ett gott <NOBR>it-säkerhetsarbete</NOBR> hos såväl de andra kun- derna som sin leverantör. Sådana hot är både svåra att bedöma och att hantera. Svårigheter att logga och spåra datatrafik i komplexa moln- miljöer kan dessutom göra det svårt att utreda incidenter ur såväl ett juridiskt som ett tekniskt perspektiv.</P>
<P class="p491 ft19">I rapporten påpekas att en annan samhällsutmaning är att moln- tjänsterna koncentreras till ett fåtal leverantörer. Det innebär att en hotaktör kan inhämta från eller slå ut flera samhällskritiska system samtidigt om man får tillgång till miljön. Den sammanlagda konse- kvensen för samhället av ett angrepp blir i dessa fall högre än konse- kvensen för ett angrepp mot ett enskilt system. Samtidigt kan en stor leverantör ha större resurser att fördela till sitt säkerhetsarbete, vilket kan göra dem svårare att angripa.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">248</P>
</DIV>
</DIV>
<DIV id="page_250">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td87"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td88"><P class="p2 ft37">Offentliga utredningar och myndighetsrapporter</P></TD>
</TR>
</TABLE>
<P class="p90 ft26">År 2021</P>
<P class="p531 ft20">Säker och kostnadseffektiv <NOBR>it-drift</NOBR> – rättsliga förutsättningar för utkontraktering (SOU 2021:1)</P>
<P class="p110 ft18">Regeringen beslutade den 26 september 2019 att ge en särskild ut- redare i uppdrag att kartlägga och analysera statliga myndigheters behov av säker och kostnadseffektiv <NOBR>it-drift</NOBR> samt hur dessa behov till- godoses. Utredaren ska också analysera säkerhetsmässiga och rätts- liga förutsättningar för samordnad statlig <NOBR>it-drift</NOBR> och lämna förslag på mer varaktiga former för sådan <NOBR>it-drift,</NOBR> om det bedöms lämpligt ur ett säkerhetsperspektiv, och de författningsförslag som detta krä- ver. Utredaren ska även analysera de rättsliga förutsättningarna för statliga myndigheter, kommuner och regioner att med bibehållen säkerhet utkontraktera <NOBR>it-drift</NOBR> till privata leverantörer och vid behov lämna författningsförslag.</P>
<P class="p186 ft17">Genom tilläggsdirektiv den 2 juli 2020 förlängdes utredningstiden i den del som avser att föreslå mer varaktiga former för samordnad statlig <NOBR>it-drift</NOBR> till den 15 oktober 2021.</P>
<P class="p58 ft18"><NOBR>It-driftsutredningen</NOBR> lämnade i december 2020 sitt delbetänkande <SPAN class="ft45">Säker och kostnadseffektiv </SPAN><NOBR><SPAN class="ft45">it-drift</SPAN></NOBR><SPAN class="ft45"> – rättsliga förutsättningar för utkon- traktering </SPAN>(SOU 2021:1). I delbetänkande redogör utredningen bl.a. för kartläggningen av statliga myndigheters <NOBR>it-drift,</NOBR> omvärldsanaly- sen och analysen av de rättsliga förutsättningarna för utkontrakter- ing av <NOBR>it-drift</NOBR> till privata tjänsteleverantörer. I slutbetänkande fokuserar utredningen på frågan om samordnad statlig <NOBR>it-drift,</NOBR> utvärderingen av Försäkringskassans uppdrag om samordnad <NOBR>it-drift,</NOBR> exempel på samordnad <NOBR>it-drift</NOBR> mellan myndigheter i Sverige, en analys av de säkerhetsmässiga och rättsliga förutsättningarna för samordnad stat- lig <NOBR>it-drift</NOBR> samt eventuella förslag om samordnad, säker och kost- nadseffektiv statlig <NOBR>it-drift</NOBR> jämte en konsekvensanalys.</P>
<P class="p11 ft46">Utredningen redogör i delbetänkandet för ett antal kartläggningar som gjorts under de senaste åren och som rör frågor om säker och kostnadseffektiv <NOBR>it-drift</NOBR> i den offentliga förvaltningen. Med utgångs- punkt i direktiven bedömer den att det finns behov av att dels följa upp några av de frågeställningar som ingått i tidigare kartläggningar, dels bredda och fördjupa kunskapen om <NOBR>it-driften</NOBR> i dag och behoven framåt liksom säkerhetsaspekter och hinder kopplade till statliga myn- digheters <NOBR>it-drift.</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">249</P>
</DIV>
</DIV>
<DIV id="page_251">
<DIV id="p251dimg1">
<INGENBILD zsrc="H9B363251x1.jpg/" id="p251img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Offentliga utredningar och myndighetsrapporter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p276 ft18">I delbetänkandet redogörs för den första delen i kartläggningen som omfattar en enkät till 200 statliga myndigheter. I urvalet ingår myndigheterna i den statliga redovisningsorganisationen, exklusive försvarsmyndigheter, myndigheter med en värdmyndighet och små myndigheter med särskilt låg omsättning. Syftet med enkäten är att få en representativ bild av myndigheternas informationshantering och säkerhet, hur deras <NOBR>it-drift</NOBR> och kostnader för <NOBR>it-drift</NOBR> ser ut i dag, deras framtida behov och vilka eventuella hinder för säker och kost- nadseffektiv <NOBR>it-drift</NOBR> som finns. Bakgrundsvariabler som myndig- hetsstorlek, finansieringsform och departementstillhörighet har in- gått i analysen. Enkäten genomfördes mellan den 16 mars 2020 och den 30 juni 2020. Totalt förväntades 180 myndigheter inkomma med svar. Totalt har 158 myndigheter besvarat hela eller delar av enkäten, fyra myndigheter har meddelat att de avstår och 18 myndigheter har inte svarat. Svarsfrekvensen uppgår till 88 procent. En bortfallsana- lys visar att de myndigheter som inte svarat omfattar såväl små som medelstora myndigheter och med olika typer av verksamhet och verk- samhetsområden. Enkätens representativitet är därmed mycket god.</P>
<P class="p106 ft18">I delbetänkandet redovisar utredningen kartläggningen, fallstudier av fem myndigheter och en digital workshop med 16 myndigheter.</P>
<P class="p292 ft23"><SPAN class="ft21">I</SPAN><SPAN class="ft152">kartläggningen har frågor ställts om bl.a. verksamhet, informations- säkerhet och uppgiftshantering, </SPAN><NOBR>it-drift</NOBR> och kostnader, hinder för it- drift samt behoven framåt. Parametrar för analysen har varit myndig- heternas storlek, verksamhet och uppgiftshantering samt vilka krav som utifrån detta ställs på <NOBR>it-driften.</NOBR></P>
<P class="p532 ft17">Utredningen konstaterar att olika verksamheter har olika behov av säker och kostnadseffektiv <NOBR>it-drift.</NOBR> För samhällskritisk verksam- het ställs högre krav på säkra <NOBR>it-driftslösningar</NOBR> än för verksamheter som inte är samhällskritiska. Icke samhällskritiska verksamheter kan dock hantera känsliga personuppgifter som i sig ställer krav på säker- het. Myndigheternas verksamhet och vilka uppgifter de hanterar på- verkar vilka krav som ställs på <NOBR>it-driften</NOBR> och i sin tur vilka behov av säker och kostnadseffektiv <NOBR>it-drift</NOBR> som finns i den statliga förvalt- ningen. Den första delen i enkäten hanterar denna typ av frågeställ- ningar.<SPAN class="ft54">22</SPAN></P>
<P class="p106 ft18">Utredningen beskriver samhällsviktig verksamhet som ett samlings- begrepp som omfattar de verksamheter, anläggningar, noder, infra- strukturer och tjänster som är av avgörande betydelse för att upp-</P>
<P class="p519 ft41"><SPAN class="ft56">22</SPAN><SPAN class="ft82">S. 64 ff.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">250</P>
</DIV>
</DIV>
<DIV id="page_252">
<DIV id="p252dimg1">
<INGENBILD zsrc="H9B363252x1.jpg/" id="p252img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td87"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td88"><P class="p2 ft37">Offentliga utredningar och myndighetsrapporter</P></TD>
</TR>
</TABLE>
<P class="p77 ft46">rätthålla viktiga samhällsfunktioner inom en samhällssektor. Med samhällsviktig verksamhet avses dels verksamhet som måste fungera för att inte dess bortfall ska leda till en samhällsstörning, dels verk- samhet som måste finnas för att hantera en samhällsstörning när den väl inträffar. Ett drygt <NOBR>20-tal</NOBR> myndigheter har ett särskilt utpekat ansvar för att inom olika samverkansområden planera och vidta för- beredelser för att skapa förmåga att hantera en kris, förebygga sår- barheter och motstå hot och risker.<SPAN class="ft97">23 </SPAN>I detta ansvar ingår bl.a. att beakta behovet av säkerhet och kompatibilitet i de tekniska system som är nödvändiga för att myndigheterna ska kunna utföra sitt arbete. Samverkansområdena omfattar teknisk infrastruktur, transporter, farliga ämnen, ekonomisk säkerhet och skydd samt undsättning och vård. Övriga myndigheter, som inte har ett särskilt sektors- eller bevakningsansvar ska själva bedöma om de bedriver samhällsviktig verksamhet eller inte.</P>
<P class="p533 ft17">I enkäten fick myndigheterna ange om de bedriver verksamhet som kan bedömas vara samhällsviktig. 55 av 158 svarande myndig- heter (35 procent) bedömer att de bedriver samhällsviktig verksam- het, medan 100 myndigheter (63 procent) bedömer att de inte gör det. Tre myndigheter anger att de inte vet om de bedriver samhälls- viktig verksamhet.</P>
<P class="p65 ft17">Av kartläggningen framkommer att det finns ett visst samband mellan samhällsviktig verksamhet och storlek på myndighet. Större myndigheter bedriver i högre utsträckning samhällsviktig verksamhet jämfört med mindre myndigheter. Av svaren framgår att myndig- heternas samhällsviktiga verksamhet finns inom flera samhällssek- torer, med viss övervikt på skydd och säkerhet, offentlig förvaltning, hälso- och sjukvård och finansiella tjänster.</P>
<P class="p80 ft18">Av kartläggningen framkommer att en mindre andel av myndig- heterna hanterar uppgifter som kräver den högsta formen av skydd, dvs. säkerhetsskyddsklassificerad information. Flertalet av myndig- heterna (cirka 90 procent) hanterar någon form av skyddsvärd in- formation i sin verksamhet. Endast 14 av 158 myndigheter bedömer att de inte hanterar någon form av skyddsvärda eller i övrigt känsliga uppgifter, varvid olika typer av sekretessreglerade uppgifter är van- ligast förekommande liksom känsliga personuppgifter.</P>
<P class="p534 ft41"><SPAN class="ft56">23</SPAN><SPAN class="ft82">Se förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åt- gärder vid höjd beredskap.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">251</P>
</DIV>
</DIV>
<DIV id="page_253">
<DIV id="p253dimg1">
<INGENBILD zsrc="H9B363253x1.jpg/" id="p253img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Offentliga utredningar och myndighetsrapporter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p323 ft18">Av kartläggningen framgår att av 152 svarande myndigheter hante- rar 61 myndigheter (40 procent) säkerhetsskyddsklassificerade upp- gifter medan 85 myndigheter (56 procent) inte gör det. Större myn- digheter hanterar i högre grad säkerhetsskyddsklassificerade uppgifter jämfört med mindre myndigheter. Myndigheternas säkerhetsskydds- klassificerade uppgifter fördelar sig på olika säkerhetsskyddsklasser. Ett fåtal myndigheter anger att de inte vet om de hanterar säkerhets- skyddsklassificerade uppgifter.<SPAN class="ft79">24 </SPAN>Majoriteten av myndigheterna han- terar säkerhetsskyddsklassificerad information som klassats som hemlig, konfidentiell eller begränsat hemlig. Ett fåtal myndigheter hanterar uppgifter i den högsta säkerhetsskyddsklassen. Några myn- digheter anger att de inte vet vilka säkerhetsskyddsklasser uppgifterna ligger inom, alternativt att de inte vet om de har säkerhetsskyddsklassi- ficerade uppgifter i verksamheten.</P>
<P class="p106 ft18">Av kartläggningen framkommer att drygt 123 myndigheter (80 pro- cent) hanterar någon form av sekretessreglerade uppgifter i övrigt i kärnverksamheten. 29 myndigheter svarar att de inte gör det och fem myndigheter vet inte om de gör det. 90 myndigheter uppger att de hanterar uppgifter med absolut sekretess, vilket ställer särskilda krav på säkerhetslösningar i <NOBR>it-driften.</NOBR> 80 procent av myndigheterna hanterar sekretessreglerade uppgifter som omfattas av ett omvänt skaderekvisit, dvs. med en presumtion för sekretess.</P>
<P class="p73 ft18">Av kartläggningen framkommer även att myndigheterna kommit olika långt i arbetet med informationssäkerhet i verksamheten. I en- käten fick myndigheterna uppskatta hur långt de kommit i sitt infor- mationssäkerhetsarbete. Detta utifrån en skala från <NOBR>1–6,</NOBR> där nivå 1 innebär att myndigheten inte påbörjat något systematiskt informa- tionssäkerhetsarbete och nivå 6 innebär att det finns ett systematiskt och dokumenterat informationssäkerhetsarbete i hela organisationen.<SPAN class="ft79">25</SPAN></P>
<P class="p73 ft18">Av kartläggningen framgår att framgår att medianen ligger på nivå 4. Flest antal myndigheter (43 av 158 svarande) har uppskattat att de ligger på nivå 4. Det finns därefter en övervikt för nivå 2 och 3 (totalt 64 av 158 myndigheter), dvs. den något lägre nivån. 13 myndigheter har angett att de ligger på nivå 1, och 12 myndigheter att de ligger på nivå 6. Informationsklassning ingår som en del i informationssäker- hetsarbetet enligt kategori 4 i enkäten. Knappt hälften av myndig-</P>
<P class="p535 ft87"><SPAN class="ft56">24</SPAN><SPAN class="ft86">S. 67 f.</SPAN></P>
<P class="p250 ft41"><SPAN class="ft56">25</SPAN><SPAN class="ft81">Skalan utgick från de då gällande föreskrifterna och allmänna råden för myndigheters in- formationssäkerhetsarbete (MSBFS 2016:1).</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">252</P>
</DIV>
</DIV>
<DIV id="page_254">
<DIV id="p254dimg1">
<INGENBILD zsrc="H9B363254x1.jpg/" id="p254img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td87"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td88"><P class="p2 ft37">Offentliga utredningar och myndighetsrapporter</P></TD>
</TR>
</TABLE>
<P class="p193 ft18">heterna har angett att de ligger på nivå <NOBR>1–3.</NOBR> Enligt svaren har hälften av myndigheterna således inte genomfört någon informationsklass- ning. Samtidigt har de flesta av myndigheterna kunnat svara på enkät- frågorna om vilken typ av uppgifter som de hanterar i verksamheten.</P>
<P class="p186 ft17">I delbetänkandet noteras att tidigare kartläggningar om myndig- heters <NOBR>it-kostnader</NOBR> och <NOBR>it-mognad</NOBR> också har omfattat frågor om in- formationssäkerhet och hur långt myndigheterna bedömt att de kom- mit i sitt informationssäkerhetsarbete.<SPAN class="ft54">26</SPAN></P>
<P class="p11 ft18">Utredningen noterar att Myndigheten för digital förvaltning (Digg) redovisar i sin rapport <SPAN class="ft45">Myndigheters digitala mognad och </SPAN><NOBR><SPAN class="ft45">it-kostnader</SPAN></NOBR><SPAN class="ft45"> </SPAN>(2019) resultatet av en enkät till statliga myndigheter. 14 procent av de myndigheter som ingick i enkätundersökningen hade en väl fun- gerande informationssäkerhetsstrategi på plats som var införd och tillämpades fullt ut på myndigheten. 25 procent av myndigheterna hade implementerat en informationssäkerhetsstrategi i verksamheten som skulle utvärderas och utvecklas. Ungefär lika stor andel hade påbör- jat implementeringen av en strategi, medan 30 procent antingen hade påbörjat ett arbete med att ta fram en strategi eller beslutat om en strategi. Knappt tio procent av myndigheterna uppgav att de endast påbörjat en diskussion om att göra något på området.</P>
<P class="p58 ft17">Utredningen konstaterar att även om svarsalternativen i Digg:s enkät skiljer sig åt jämfört med vad som redovisas i dess kartläggning är de någorlunda jämförbara. Vissa myndigheter har kommit långt i sitt informationssäkerhetsarbete, medan andra avser att påbörja arbetet inom kort eller arbetar med frågorna. En mindre andel myndigheter har inte gjort något alls på området.</P>
<P class="p11 ft19">Utredningen noterar att Digg:s enkät dock ger en något mer positiv bild av hur långt myndigheterna kommit i sitt arbete jämfört med utredningen enkät. I Digg:s enkät har myndigheterna även fått uppskatta hur arbetet med informationssäkerhet kommer att se ut på myndigheten år 2021 jämfört med 2019. Drygt 70 procent av myn- digheterna har svarat att de bedömer att de år 2021 kommer att ha implementerat en informationssäkerhetsstrategi eller ha en väl fun- gerande informationssäkerhetsstrategi som tillämpas fullt ut på myn- digheten, vilket skulle innebära nästan en dubblering jämfört med läget år 2019.</P>
<P class="p58 ft19">Utredningens kartläggning visar även att 77 procent av myndig- heterna har svarat att de utgår från en standard som stöd för ett</P>
<P class="p9 ft41"><SPAN class="ft56">26</SPAN><SPAN class="ft82">Kapitel 3 i delbetänkandet.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">253</P>
</DIV>
</DIV>
<DIV id="page_255">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Offentliga utredningar och myndighetsrapporter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p305 ft18">systematiskt informationssäkerhetsarbete. Bland dessa utgår alla myn- digheter utom en från ISO 27001, vilket är en av de standarder som rekommenderas i de nya föreskrifterna från MSB. Knappt 20 procent av myndigheterna anger att de inte utgår från någon standard och sex myndigheter (4 procent) har svarat att de inte vet om de gör det.</P>
<P class="p62 ft18">Utredningen konstaterar att fallstudierna av de fem typmyndig- heterna bekräftar till stora delar den bild som enkätundersökningen ger avseende verksamhet, uppgifter och informationssäkerhet. Av de fem fallstudiemyndigheterna bedriver såväl en stor som en mindre myndighet samhällsviktig verksamhet, vilket ställer särskilda krav på säkerhet och <NOBR>it-driftslösningar.</NOBR> Samtliga fem myndigheter hanterar i större eller mindre omfattning skyddsvärda uppgifter, där olika typer av sekretessreglerade uppgifter och känsliga personuppgifter är van- ligast förekommande. Två av myndigheterna hanterar även säker- hetsskyddsklassificerade uppgifter. Några fallstudiemyndigheter lyf- ter svårigheten att bedöma skyddsvärdet på aggregerade uppgifter i verksamheten. De upplever också att det är svårt att få stöd i denna typ av bedömningar, t.ex. från expertmyndigheter.</P>
<P class="p83 ft18">Av kartläggningen framkommer att företrädare för några fallstudie- myndigheter anser att det kan vara svårt att avgöra vilka krav på it- driftslösningar som ställs för olika typer av uppgifter som hanteras i verksamheten. Det gäller framför allt känsliga personuppgifter och uppgifter som omfattas av ett omvänt skaderekvisit, dvs. där det finns en presumtion för sekretess. För att värna säkerheten hanterar de aktuella myndigheterna denna typ av uppgifter i egen regi.</P>
<P class="p62 ft18">Utredningen konstaterar vidare att fallstudiemyndigheterna har kommit olika långt i sitt informationssäkerhetsarbete. Det finns ingen tydlig koppling till myndighetsstorlek. Stora myndigheter hanterar i regel en större mängd uppgifter och måste därför lägga mer tid på informationsklassificering jämfört med mindre myndigheter. En av de mindre myndigheterna pekar på att informationssäkerhetsarbetet kräver att myndigheten har egen kompetens och förmåga att arbeta med informationssäkerhet, vilket kan vara svårt att uppnå.</P>
<P class="p61 ft18">I utredningens enkät fick myndigheterna även besvara ett antal frågor om informationssäkerhet vid <NOBR>it-upphandling.</NOBR> Myndigheterna har fått uppskatta var de står på en <NOBR>tre-gradig</NOBR> skala, där den lägsta nivån innebär att man inte reflekterat över frågan på myndigheten och den högsta att myndigheten har ett etablerat arbetssätt på plats. Svaren på de fyra frågorna visar i sig myndigheternas mognadsgrad i</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">254</P>
</DIV>
</DIV>
<DIV id="page_256">
<DIV id="p256dimg1">
<INGENBILD zsrc="H9B363256x1.jpg/" id="p256img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td87"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td88"><P class="p2 ft37">Offentliga utredningar och myndighetsrapporter</P></TD>
</TR>
</TABLE>
<P class="p536 ft21">olika steg i upphandlingsprocessen.<SPAN class="ft102">27 </SPAN>Av svaren framgår att en majo- ritet av myndigheterna har påbörjat en diskussion om kravkatalog eller har en kravkatalog med säkerhetskrav på plats som används vid upphandling och för att värdera anbudssvar. Av svaren framkommer att myndigheterna inte har kommit lika långt när det gäller att veri- fiera säkerhetskrav vid leverans och driftsättning eller att verifiera kraven under avtalets giltighetstid.<SPAN class="ft102">28</SPAN></P>
<P class="p537 ft17">Utredningen noterar att den sammantagna bilden är att kraven på <NOBR>it-drift</NOBR> styrs av vilken typ av verksamhet en myndighet bedriver och vilken typ av uppgifter myndigheten hanterar. Små myndigheter kan därmed behöva ställa lika höga krav på säkra <NOBR>it-driftslösningar</NOBR> som större myndigheter.</P>
<P class="p11 ft46">Utredningen noterar att det kan finnas flera hinder för myndig- heter att säkerställa en säker <NOBR>it-drift.</NOBR> Hindren kan finnas både inom den egna myndigheten och utanför myndigheten. Hinder utgörs av bl.a.</P>
<P class="p308 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">svårigheter att tolka lagstiftning,</SPAN></P>
<P class="p25 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">avsaknad av relevant kompetens inom verksamheten,</SPAN></P>
<P class="p25 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">bristande informationsklassificering,</SPAN></P>
<P class="p134 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">svårigheter att hitta lösningar som möter verksamhetens krav, och</SPAN></P>
<P class="p24 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">stora kostnader för de lösningar som verksamheten kräver.</SPAN></P>
<P class="p199 ft18">Av utredningens kartläggning framkommer att 143 myndigheter upp- ger att svårigheter att tolka lagstiftning tillsammans med bristande informationsklassificering och avsaknad av relevant kompetens inom verksamheten utgör de största hindren för säker <NOBR>it-drift.</NOBR> Detta är särskilt tydligt för de stora myndigheterna. Mindre myndigheter an- ger i rangordning avsaknad av relevant kompetens, svårigheter att tolka lagstiftning och stora kostnader för de lösningar som verksam- heten kräver som hinder. Myndigheternas uppgifter om bristande in- formationsklassificering överensstämmer med myndigheternas upp- skattningar av det egna informationssäkerhetsarbetet.</P>
<P class="p538 ft85"><SPAN class="ft56">27</SPAN><SPAN class="ft84">MSB har gett ut en särskild vägledning om att upphandla informationssäkert (MSB1177). I vägledningen beskrivs bl.a. aktiviteter för att uppnå informationssäkerhet i upphandlingens tre steg – förbereda, upphandla och realisera.</SPAN></P>
<P class="p308 ft41"><SPAN class="ft56">28</SPAN><SPAN class="ft82">S. 74 f.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">255</P>
</DIV>
</DIV>
<DIV id="page_257">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Offentliga utredningar och myndighetsrapporter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p89 ft46">Utredningen noterar att när det gäller bristande informations- klassificering pågår arbete på flera myndigheter. Myndigheterna har i flera fall klassat delar av informationen, men inte all information. Bristande kompetens och resurser lyfts fram som problem i samman- hanget, men även tidsbrist anges. En myndighet anger att de saknar systemstöd för informationsklassificering. En annan myndighet menar att det är svårt att översätta informationsklassificeringen till konkreta säkerhetsnivåer i både hård- och mjukvara. Ytterligare ett problem som lyfts fram är svårigheten att informationsklassa aggregerad in- formation.</P>
<P class="p539 ft18">Utredningen noterar vidare att avsaknad av relevant kompetens upplevs som ett lika stort hinder för säker <NOBR>it-drift</NOBR> som bristande informationsklassificering. Flera små myndigheter uppger att det är svårt att som liten myndighet ha egen kompetens inom it, säkerhet och beställarkompetens. Det kan också vara svårt att hitta och rekry- tera rätt kompetens, t.ex. när nyckelpersoner slutar. Enligt flera myn- digheter ses kompetensbrist som en riskfaktor. Flera myndigheter köper in kompetens från antingen en annan myndighet eller från företag, vilket i sig innebär ett beroende av extern kompetens.</P>
<P class="p83 ft18">Av kartläggningen framgår att det tredje största hindret som myn- digheterna ser är svårigheter att tolka gällande lagstiftning. Oklar- heter vad gäller användning av molntjänster verkar vara vanligast. Svårigheten att göra bedömningar av säkerhetsskydd lyfts också fram som ett problem av flera myndigheter, liksom oklarheter kring krav på datalagring och dataskydd. En myndighet menar att det är svårt att få en sammanhängande bild av samtliga regelverk och hur de ska tolkas beroende på vilken tjänst som ska utvärderas. En annan myn- dighet pekar på att det är svårt att få juridik, it och informations- säkerhet att mötas. Ytterligare en myndighet lyfter fram att det inte är tolkningen av lagstiftningen som är problemet, utan snarare effek- terna av tolkningen som medför svårigheter att genomföra upp- handlingar och upprätthålla en stabil <NOBR>it-drift</NOBR> över tid.</P>
<P class="p85 ft17">Av kartläggningen framgår även att stora kostnader för de lös- ningar som verksamheten kräver utgör ytterligare ett hinder för säker <NOBR>it-drift.</NOBR> Flera myndigheter framhåller att säkerhet kostar och alter- nativet med egen drift bedöms som relativt kostsamt av flera myn- digheter. Någon myndighet påpekar att även samordnad <NOBR>it-drift</NOBR> kan vara en relativt dyr lösning.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">256</P>
</DIV>
</DIV>
<DIV id="page_258">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td87"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td88"><P class="p2 ft37">Offentliga utredningar och myndighetsrapporter</P></TD>
</TR>
</TABLE>
<P class="p64 ft19">Även svårigheter att hitta lösningar som möter verksamhetens krav upplevs som ett hinder. När fler tjänster blir molnbaserade blir det svårare att hitta lösningar som uppfyller säkerhetskraven. Hårda säkerhetskrav påverkar i sig möjligheterna att nyttja billigare och effektiva <NOBR>it-driftstjänster.</NOBR> Flera myndigheter lyfter svårigheten att kravställa. Verksamhetens krav på digitalisering och kostnadseffek- tiva lösningar ställs ofta mot krav på säkerhet.</P>
<P class="p108 ft17">Andra hinder för säker <NOBR>it-drift</NOBR> som lyfts fram i enkäten är bl.a. att det finns för lite resurser för it och säkerhet och att säkerhet inte prioriteras tillräckligt i verksamheten. Några myndigheter lyfter att de har en teknikskuld att hantera, vilket påverkar förutsättningarna att arbeta med säkerhetsfrågor. En myndighet menar att avsaknaden av en samlad statlig strategi leder till att varje myndighet gör egna utredningar, bedömningar och bygger egna lösningar för att uppfylla säkerhetskraven.</P>
<P class="p109 ft18">Utredningen har också undersökt vilka hinder som myndighe- terna ser för att kunna upprätthålla en kostnadseffektiv <NOBR>it-drift.</NOBR> Flera myndigheter upplever höga krav på säkerhet och leverantörsbero- ende eller andra inlåsningseffekter som hinder för en kostnadseffek- tiv <NOBR>it-drift.</NOBR> Stora myndigheter uppger även svårigheten att formulera ändamålsenliga krav på <NOBR>it-drift</NOBR> som ett hinder. Flera myndigheter anger att säkerhet kostar och att säkerhetskrav påverkar möjlighe- terna att använda kostnadseffektiva <NOBR>it-lösningar.</NOBR> Svårigheter att for- mulera ändamålsenliga krav för <NOBR>it-drift</NOBR> kan också påverka kostnads- effektiviteten. Att hitta rätt kravnivå som dessutom håller under hela avtalsperioden är en stor utmaning.</P>
<P class="p65 ft19"><NOBR>It-driftsutredningens</NOBR> delbetänkande <SPAN class="ft63">Säker och kostnadseffektiv it- drift – rättsliga förutsättningar för utkontraktering </SPAN>(SOU 2021:1) har remissbehandlats under arbetet med detta slutbetänkande och remiss- svar har lämnats i maj 2021. Uppdraget att föreslå mer varaktiga for- mer för samordnad statlig <NOBR>it-drift</NOBR> ska redovisas utredningens slut- betänkande senast den 15 oktober 2021.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">257</P>
</DIV>
</DIV>
<DIV id="page_259">
<DIV id="p259dimg1">
<INGENBILD zsrc="H9B363259x1.jpg/" id="p259img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Offentliga utredningar och myndighetsrapporter</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p255 ft20">Struktur för ökad motståndskraft (SOU 2021:25)</P>
<P class="p220 ft19">Regeringen beslutade 2018 att tillsätta en utredning som ska ana- lysera och föreslå en struktur för ansvar, ledning och samordning inom civilt försvar på central, regional och lokal nivå.<SPAN class="ft101">29 </SPAN>En viktig del av att stärka det civila försvaret är att skapa tydliga lednings- och ansvarsförhållanden för att åstadkomma samordning såväl inom det civila försvaret som mellan det civila och det militära försvaret, Denna struktur ska också stärka samhällets krisberedskap.</P>
<P class="p73 ft18">Utredningen lämnade sitt betänkande <SPAN class="ft45">Struktur för ökad motstånds- kraft </SPAN>(SOU 2021:25) i mars 2021. Utredningen föreslår att samver- kansområdena avvecklas och ersätts av tio beredskapssektorer och fyra särskilda beredskapsområden. I dessa ingår myndigheter med ansvar för verksamheter och funktioner som är särskilt viktiga att upprätthålla under kris, höjd beredskap och ytterst i krig. En myn- dighet i varje beredskapssektor föreslås få ett mandat att inrikta och samordna arbetet inom sektorn, en sektorsansvarig myndighet. Ut- redningens definition av begreppet samhällsviktig verksamhet är att med detta avses verksamhet, tjänst eller infrastruktur som upprätt- håller eller säkerställer samhällsfunktioner som är nödvändiga för samhällets grundläggande behov, värden eller säkerhet. Med stöd av definitionen har utredningen identifierat vilka statliga myndigheter som ansvarar för samhällsviktig verksamhet och därefter samman- fört myndigheter med ansvar inom samma samhällssektor. Utred- ningen föreslår att tio sådana beredskapssektorer inrättas med var sin sektorsansvarig myndighet. Med en indelning av statliga myndig- heter i sektorer skapas – enligt utredningen – en organisatorisk platt- form för såväl planering som operativ hantering av fredstida kriser, höjd beredskap och ytterst krig. I princip samtliga viktiga samhälls- funktioner är direkt beroende av el, vatten och elektroniska kom- munikationer. På samma sätt är de flesta beroende av transporter och fungerande betalningssystem. Arbetet i respektive beredskapssektor ska skapa förutsättningar för att kunna upprätthålla den samhälls- viktiga verksamheten under svåra påfrestningar och därigenom stärka samhällets säkerhet. Det gemensamma arbetet i sektorerna ska bidra till ökad försvarseffekt i händelse av ett väpnat angrepp och en god förmåga att hantera fredstida kriser. Myndigheterna inom beredskaps- sektorerna ska arbeta tillsammans. Samtidigt betonar utredningen vik-</P>
<P class="p505 ft41"><SPAN class="ft56">29</SPAN><SPAN class="ft82">Dir. 2018:79.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">258</P>
</DIV>
</DIV>
<DIV id="page_260">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td87"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td88"><P class="p2 ft37">Offentliga utredningar och myndighetsrapporter</P></TD>
</TR>
</TABLE>
<P class="p126 ft21">ten av samverkan mellan sektorerna. Sektorerna är ömsesidigt bero- ende av varandra.</P>
<P class="p262 ft18">Utredningen har – utöver de tio föreslagna sektorerna med sek- torsansvariga myndigheter – identifierat fyra särskilda beredskaps- områden som ska ses som en del av beredskapssystemet. Enligt ut- redningen är verksamheterna av en sådan karaktär att de inte kan utgöra beredskapssektorer med en sektorsansvarig myndighet. Några av dessa områden omfattar enbart en myndighet och i några av verk- samheterna ingår myndigheter utanför det civila försvaret såsom För- svarsmakten och Försvarets radioanstalt (FRA). Samtidigt fyller dessa verksamheter en viktig funktion i beredskapssystemet som hel- het, bl.a. cybersäkerhet.</P>
<P class="p65 ft46">Utredningen framhåller att den delar Försvarsberedningens be- dömning att ett systematiskt arbete med informations- och cyber- säkerhet spelar en avgörande roll för att en trovärdig totalförsvars- förmåga ska kunna uppnås. Detta gäller såväl hos staten, kommuner, regioner och näringsliv. Det behöver finnas en nationell funktion med uppgift att stödja myndigheter och samhället i övrigt i arbetet med att förebygga och hantera angrepp inom informations- och kom- munikationsområdet samt upprätthålla en aktuell lägesbild över sam- hällets digitala miljö. Verksamheten är viktig för det civila försvaret. Utredningen föreslår att cybersäkerhet ska vara ett särskilt bered- skapsområde. Utredningen bedömer att det inte är möjligt att före- slå verksamheten som en beredskapssektor eftersom både Försvars- makten och FRA ingår i arbetet med cybersäkerhetscentret samt att regeringen hittills inte har pekat ut någon samordnande myndighet för cybersäkerhetsområdet. Det finns i dag ett etablerat samarbete och samverkan mellan myndigheterna inom cybersäkerhetsområdet genom bl.a. Samverkansgruppen för informationssäkerhet (SAMFI). Formerna för samverkan med de föreslagna beredskapssektorerna kommer att behöva byggas upp när dessa etablerats. Det behöver även etableras samverkansformer med de övriga tre särskilda bered- skapsområdena.</P>
<P class="p80 ft18">Betänkandet är föremål för remissbehandling under utredningens arbete med detta slutbetänkande och remissinstansernas synpunkter har därför inte kunnat beaktas inom ramen för detta arbete.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">259</P>
</DIV>
</DIV>
<DIV id="page_261">
</DIV>
<DIV id="page_262">
<DIV id="p262dimg1">
<INGENBILD zsrc="H9B363262x1.jpg/" id="p262img1">
</DIV>
<P class="p0 ft16">9 Internationell utblick</P>
<P class="p56 ft48"><SPAN class="ft48">9.1</SPAN><SPAN class="ft78">Inledning</SPAN></P>
<P class="p110 ft19">När det gäller utredningens uppdrag att överväga om det bör införas ytterligare krav på certifiering och godkännande till skydd för Sveriges säkerhet ingår att göra en internationell jämförelse. Jämförelsen ska avse lagstiftning som innebär särskilda krav med anledning av natio- nell säkerhet för <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> som ingår i ett nätverks- eller informationssystem i länder som utredaren be- dömer vara av intresse. Utredningen har mot denna bakgrund sökt information om systemen i Danmark, Finland, Norge, Nederländerna, Frankrike, Tyskland, Storbritannien, USA, Kanada, Australien och Nya Zeeland.</P>
<P class="p11 ft18">Arbetet har bedrivits främst genom undersökning av lagstiftning och i förekommande fall förarbeten samt övrig information från officiella webbplatser. Vad gäller materialinsamlingen bör beaktas att materialet funnits tillgängligt på originalspråk, i något fall komplet- terat av mer eller mindre officiella översättningar till engelska. Skriftliga frågor har ställts till nationella myndigheter i de undersökta länderna (se den formella skrivelsen i bilaga 3 till betänkandet) och svar har inkommit från merparten av de kontaktade myndigheterna. I ett par fall har de skriftliga svaren även kompletterats med uppgifter som lämnats vid digitala möten med företrädare för myndigheterna.<SPAN class="ft79">1</SPAN></P>
<P class="p58 ft18">Avsnitten för respektive land inleds med en beskrivning av cen- trala aktörer med särskilt ansvar för nationell informations- och cyber- säkerhet. Efter denna redovisning av organisation m.m. redogörs för landets arbete med att stärka informations- och cybersäkerheten, med fokus på särskilda krav på godkännande och/eller certifiering av IKT i säkerhetskänslig verksamhet. En sammanfattning av sådana krav</P>
<P class="p354 ft41"><SPAN class="ft56">1</SPAN><SPAN class="ft82">Australien och Nya Zeeland har emellertid inte inkommit med svar inom angiven tidsfrist. Utredningen har haft digitala möten med </SPAN><SPAN class="ft74">Nasjonal sikkerhetsmyndighet </SPAN>i Norge och <SPAN class="ft74">Traficom </SPAN>i Finland (se nedan).</P>
<P class="p540 ft31">261</P>
</DIV>
<DIV id="page_263">
<DIV id="p263dimg1">
<INGENBILD zsrc="H9B363263x1.jpg/" id="p263img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p189 ft17">i andra länder lämnas också i kapitel 12 och 13. I de fall där den natio- nella regleringen är omfattande och/eller behandlar flera relevanta områden överlappande sammanfattas de särskilda kraven även i före- varande kapitel.</P>
<P class="p73 ft18">Det kan inledningsvis noteras att vissa länder i sin reglering av informationssäkerhet gör en tydlig distinktion mellan samhällsviktig och säkerhetskänslig verksamhet medan somliga nationella system behandlar kritisk infrastruktur och nationell säkerhet tillsammans. Vidare tillskriver länder dessa begrepp olika betydelser. I vissa länder definieras nationell säkerhet i författning medan somliga inte har någon vedertagen definition eller premierar annan begreppsanvänd- ning på området. I flera länder använder man begreppet kritisk infra- struktur i stället för samhällsviktig verksamhet. Också användningen av tekniska termer varierar något mellan länderna, t.ex. i fråga om it- respektive <NOBR>IKT-säkerhet</NOBR> och <NOBR>-incidenter.</NOBR></P>
<P class="p106 ft18">De flesta länderna har bestämmelser om informationssäkerhet som reglerar klassificeringen av skyddsvärd information, vilket motsvarar det svenska klassificeringssystemet i säkerhetsskyddslagen. Det före- ligger emellertid inte full överensstämmelse mellan antalet klassificer- ingsnivåer.<SPAN class="ft79">2 </SPAN>När begreppet klassificerad (”Classified”) används avses i första hand skyddsvärd information.</P>
<P class="p105 ft17">Även om vissa säkerhetsskyddsrättsliga skillnader mellan länderna kan identifieras framgår inte av den öppet tillgängliga information som utredningen samlat in från andra länder närmare hur den fak- tiska tillämpligheten ser ut i respektive land och därmed inte heller i vilken utsträckning det i praktiken förekommer undantag från ord- ningarna och speciallösningar.</P>
<P class="p70 ft48"><SPAN class="ft48">9.2</SPAN><SPAN class="ft78">Finland</SPAN></P>
<P class="p213 ft26">Aktörer inom informations- och cybersäkerhet</P>
<P class="p420 ft20">Transport- och kommunikationsverket (Traficom)</P>
<P class="p76 ft17">Det finska transport- och kommunikationsverket <SPAN class="ft49">Traficom </SPAN>är en myndighet som ansvarar för nationella frågor som gäller tillstånd, registrering och övervakning inom trafik, transport och kommuni- kation. Verket främjar bl.a. cybersäkerheten i landet.</P>
<P class="p541 ft41"><SPAN class="ft80">2</SPAN><SPAN class="ft81">Detta kan bl.a. skapa utmaningar när det gäller att dela skyddsvärd information mellan länder.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">262</P>
</DIV>
</DIV>
<DIV id="page_264">
<DIV id="p264dimg1">
<INGENBILD zsrc="H9B363264x1.jpg/" id="p264img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p90 ft20">Nationellt cybersäkerhetscenter</P>
<P class="p232 ft18">Vid <SPAN class="ft45">Traficom </SPAN>finns Finlands cybersäkerhetscenter.<SPAN class="ft79">3 </SPAN>Centret bedriver bl.a. verksamhet för nationell informations- och kommunikations- säkerhet <NOBR>(NCSA-FI,</NOBR> se nedan) och som ansvarar för säkerhetsfrågor vid elektronisk dataöverföring och hantering av säkerhetsklassifi- cerat material. Cybersäkerhetscentret har till uppgift att se till att nationella författningar om informationssäkerhet, störningsfrihet och skydd vid konfidentiell kommunikation efterlevs. Centret utfärdar vidare föreskrifter och rekommendationer, genomför utredningar inom sina verksamhetsområden samt utövar tillsyn över berörda aktörer. Centret utvecklar och övervakar kommunikationsnätens och <NOBR>-tjänsternas<SPAN class="ft79">4</SPAN></NOBR><SPAN class="ft79"> </SPAN>tillförlitlighet och säkerhet. Centrets verksamhets- områden innefattar bl.a. televerksamhet, digitala tjänster enligt NIS- direktivet, stark autentisering och betrodda elektroniska tjänster (eIDAS). Centret tar också fram lägesbilder inom cybersäkerhet.<SPAN class="ft79">5</SPAN></P>
<P class="p58 ft17">Vidare kan det nationella cybersäkerhetscentret bevilja det s.k. Cybersäkerhetsmärket som visar att en produkt eller tjänst som för- setts med märket uppfyller kraven på informationssäkerhet. Märket används i smarta konsumentprodukter som kan ansluta till internet, s.k. <NOBR>IoT-enheter,</NOBR> och applikationer nära sammankopplade med sådana produkter.<SPAN class="ft54">6</SPAN></P>
<P class="p186 ft17">Centret har även en <NOBR>CERT-verksamhet</NOBR> <NOBR>(CERT-FI)</NOBR> med uppgif- terna att undersöka hot och angrepp mot informationssäkerheten i nät- och kommunikationstjänster och informera om frågor som gäller informationssäkerhet.<SPAN class="ft54">7</SPAN></P>
<P class="p11 ft46"><NOBR>NCSA-FI</NOBR> är den nationella godkännandemyndigheten för säker- hetsackreditering (SAA)<SPAN class="ft97">8</SPAN>. <NOBR>NCSA-FI</NOBR> arbetar med att stödja olika aktö- rers förebyggande säkerhetsarbete. Myndighetens uppgifter innefattar</P>
<P class="p416 ft87"><SPAN class="ft56">3</SPAN><SPAN class="ft86">Cybersäkerhetscentret är en del av </SPAN><SPAN class="ft110">Traficom </SPAN>med vissa självständiga funktioner som styrs av lag.</P>
<P class="p288 ft107"><SPAN class="ft56">4</SPAN><SPAN class="ft105">Ett kommunikationsnät är ett system för överföring av signaler som används för att tillhanda- hålla tillgängliga elektroniska kommunikationstjänster. Elektroniska kommunikationstjänster utgörs av överföring av signaler i elektroniska kommunikationsnät.</SPAN></P>
<P class="p542 ft85"><SPAN class="ft56">5</SPAN><SPAN class="ft84">I juni 2020 lämnade den finska regeringen en proposition till riksdagen med förslag till för- fattningsändringar bl.a. med anledning av EU:s cybersäkerhetsakt (RP 98/2020 rd). I denna utnämns </SPAN><SPAN class="ft93">Cybersäkerhetscentret </SPAN>vid <SPAN class="ft93">Traficom </SPAN>till nationell myndighet för cybersäkerhetscerti- fiering enligt cybersäkerhetsakten, både vad avser uppgiften att bevilja cybersäkerhetscertifier- ing och utövandet av tillsyn.</P>
<P class="p542 ft85"><SPAN class="ft56">6</SPAN><SPAN class="ft103">Traficom </SPAN>definierar förfaringssätt för testningen. Standarden ETSI EN 303645, som beskri- ver grundläggande cybersäkerhetskrav på IoT, utgör här grunden varav <SPAN class="ft93">Traficom </SPAN>valt ett antal krav att tillämpas.</P>
<P class="p434 ft85"><SPAN class="ft56">7</SPAN><SPAN class="ft84">Utöver allmän information om informationssäkerhet kan </SPAN><NOBR>CERT-FI</NOBR> bistå med teknisk ut- redning av allvarliga informationssäkerhetskränkningar.</P>
<P class="p207 ft74"><SPAN class="ft56">8</SPAN><SPAN class="ft114">Security Accreditation Authority</SPAN><SPAN class="ft41">.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">263</P>
</DIV>
</DIV>
<DIV id="page_265">
<DIV id="p265dimg1">
<INGENBILD zsrc="H9B363265x1.jpg/" id="p265img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft46">bedömning och godkännande av informationssystem som behandlar säkerhetsklassificerad information. Tjänsterna erbjuds åt myndigheter och företag som behandlar nationellt eller internationellt säkerhets- klassificerad information. <NOBR>NCSA-FI</NOBR> är även den nationella godkän- nandemyndigheten för krypteringsprodukter.</P>
<P class="p191 ft20">Övriga säkerhetsmyndigheter</P>
<P class="p355 ft19">Utrikesministeriet har det samlade ansvaret för internationella för- pliktelser som gäller informationssäkerhet. Utrikesministeriet är den nationella säkerhetsmyndigheten (NSA)<SPAN class="ft101">9 </SPAN>som styr den nationella verksamheten i dessa frågor och bl.a. ansvarar för beredningen av inter- nationella säkerhetsavtal samt övervakar att internationellt särskilt känslig information skyddas och hanteras korrekt.</P>
<P class="p105 ft17">Försvarsministeriet, Huvudstaben och Skyddspolisen är övriga ut- sedda säkerhetsmyndigheter (DSA)<SPAN class="ft54">10</SPAN>.</P>
<P class="p70 ft26">Nationell cybersäkerhetsstrategi och cybersäkerhetsdirektör</P>
<P class="p261 ft19">2013 antog Finland en nationell cybersäkerhetsstrategi.<SPAN class="ft101">11 </SPAN>Målsättningar med strategin är bl.a. att främja samverkan på området mellan dels myndigheter och andra aktörer, dels internationellt, samt att för- bättra lägesbilden respektive kunskapen i fråga om cybersäkerheten. Att stärka förmågan att avvärja cyberhot mot samhällsviktig verk- samhet är ett annat mål.</P>
<P class="p211 ft19">Den nationella cybersäkerhetsstrategin uppdaterades 2019 och inkluderade då inrättande av en nationell cybersäkerhetsdirektör. Upp- draget som statens cybersäkerhetsdirektör grundar sig på ett princip- beslut som statsrådet godkände 2019, som en del av den nationella cybersäkerhetsstrategin. Enligt strategin ska cybersäkerhetsdirektören samordna utvecklingen, planeringen och beredskapen i fråga om cyber- säkerheten. De tre strategiska riktlinjerna i principbeslutet är interna- tionellt samarbete, ledning av cybersäkerhet, förbättrad samordning av planering och beredskap samt utveckling av kompetens inom cyber- säkerhet.</P>
<P class="p505 ft110"><SPAN class="ft80">9</SPAN><SPAN class="ft91">National Security Authority</SPAN><SPAN class="ft87">.</SPAN></P>
<P class="p222 ft110"><SPAN class="ft56">10</SPAN><SPAN class="ft98">Designated Security Authority</SPAN><SPAN class="ft87">. </SPAN>Traficom <SPAN class="ft87">har också </SPAN><NOBR><SPAN class="ft87">DSA-uppgifter.</SPAN></NOBR></P>
<P class="p222 ft41"><SPAN class="ft56">11</SPAN><SPAN class="ft82">Se </SPAN><NOBR>https://turvallisuuskomitea.fi/sv/strategi-for-cybersakerheten.</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">264</P>
</DIV>
</DIV>
<DIV id="page_266">
<DIV id="p266dimg1">
<INGENBILD zsrc="H9B363266x1.jpg/" id="p266img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p231 ft18">Förverkligandet av den nationella cybersäkerheten anknyter till <SPAN class="ft45">Säkerhetsstrategin för samhället </SPAN>(2017) och till de i strategin beskrivna allmänna principerna om samordning av beredskapen och säkerhe- ten. Strategin och genomförandet av den är också ett led igenom- förandet av EU:s cybersäkerhetsstrategi. Den nationella cybersäker- hetsstrategin ska såväl granskas som utvärderas kontinuerligt.<SPAN class="ft79">12</SPAN></P>
<P class="p131 ft26">Övergripande reglering av informationssäkerhet</P>
<P class="p236 ft63">Lagen om informationshantering inom den offentliga förvaltningen (906/2019) <SPAN class="ft19">beskriver de minimikrav på informationssäkerhet som ska iakttas inom den offentliga förvaltningen. I </SPAN>lagen om tjänster inom elektronisk kommunikation <SPAN class="ft19">(917/2014</SPAN>) <SPAN class="ft19">finns angivet vissa av Traficoms uppgifter samt skyldigheter för kommunikationsförmed- lare att sörja för informationssäkerhet.</SPAN><SPAN class="ft101">13</SPAN></P>
<P class="p11 ft45"><SPAN class="ft18">Enligt </SPAN>lagen om bedömning av informationssäkerheten i myndig- heternas informationssystem och datakommunikation <SPAN class="ft18">(1406/2011) har </SPAN>Traficom <SPAN class="ft18">till uppgift att på begäran göra bedömningar av överens- stämmelse med kraven på informationssäkerhet i informationssystem och datakommunikation som en myndighet innehar eller planerar att anskaffa. Statliga myndigheter får, för bedömning av informa- tionssäkerheten i sina informationssystem och sin datakommunika- tion, bara använda sig av det förfarande som anges i lagen (</SPAN>Traficoms <SPAN class="ft18">bedömning) eller av ett sådant bedömningsorgan som har godkänts av </SPAN>Traficom <SPAN class="ft18">enligt </SPAN>lagen om bedömningsorgan för informationssäkerhet <SPAN class="ft18">(1405/2011). </SPAN>Traficom <SPAN class="ft18">gör utredningar om nivån på informations- säkerheten och utfärdar även intyg som visar att informationssyste- met eller datakommunikationen godkänts. Bedömningsgrunderna för informationssäkerheten utgörs bl.a. av EU:s bestämmelser om informationssäkerhet eller informationssäkerhetskrav i en fastställd</SPAN></P>
<P class="p543 ft85"><SPAN class="ft56">12</SPAN><SPAN class="ft84">De nationella arrangemangen för cybersäkerhetsarbetet i Finland är för närvarande under granskning och kommer sannolikt att genomgå förändringar inom en snar framtid. Landet har två nyligen utvecklade program för cybersäkerhet som är relaterade till målet att förbättra cybersäkerheten: rapporten </SPAN><SPAN class="ft93">Tietoturvan ja tietosuojan parantaminen yhteiskunnan kriittisillä toimialoilla </SPAN>och <SPAN class="ft93">Digital säkerhet inom den offentliga förvaltningen – Genomförandeplan Haukka </SPAN><NOBR><SPAN class="ft93">2020–2023</SPAN>.</NOBR></P>
<P class="p228 ft58"><SPAN class="ft56">13</SPAN><SPAN class="ft99">Traficom </SPAN>får bl.a. meddela föreskrifter om kvalitetskrav på kommunikationsnät och kom- munikationstjänster, om informationssäkerhet och om kompatibilitet gällande klassificering i viktighetsordning och säkrande, om elektroniskt och fysiskt skydd av kommunikationsnät och tillhörande utrustningsutrymmen samt om standarder som ska iakttas respektive andra jämförbara tekniska krav på kommunikationsnät och kommunikationstjänster.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">265</P>
</DIV>
</DIV>
<DIV id="page_267">
<DIV id="p267dimg1">
<INGENBILD zsrc="H9B363267x1.jpg/" id="p267img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft18">standard. Bedömningen av informationssystemen ska göras i enlig- het med nu nämnda lagar (1406/2011 respektive 1405/2011).</P>
<P class="p115 ft45">Lagen om bedömningsorgan för informationssäkerhet <SPAN class="ft18">(1405/2011) innehåller bestämmelser om ett förfarande genom vilket företag till- förlitligt kan visa en utomstående att de i sin verksamhet sörjt för en viss informationssäkerhetsnivå. Enligt lagen godkänner </SPAN>Traficom <SPAN class="ft18">be- dömningsorganen för informationssäkerhet och övervakar deras verk- samhet. Den i lagen angivna ackrediterings- och bemyndigandeproces- sen avseende organen för bedömning av överensstämmelse motsvarar i allt väsentligt vad som anges i EU:s cybersäkerhetsakt. Kraven på dessa organ är dock delvis annorlunda, vilket betyder att ett organ för be- dömning av överensstämmelse enligt den nationella lagen inte får ställning som ett organ för bedömning av överensstämmelse enligt </SPAN><NOBR><SPAN class="ft18">EU-förordningen.</SPAN></NOBR><SPAN class="ft18"> Därför måste ackrediteringen och bemyndigandet enligt cybersäkerhetsakten genomföras separat.</SPAN><SPAN class="ft79">14</SPAN></P>
<P class="p106 ft17">När det gäller behovet att använda cybersäkerhetscertifiering har verksamhetsutövaren själv att göra en riskbedömning och vidta åt- gärder för att nå en tillräckligt säker nivå. Även andra sätt än certi- fiering kan användas för att uppnå tillräcklig säkerhet.</P>
<P class="p102 ft26">Särskilda krav på IKT i säkerhetskänslig verksamhet</P>
<P class="p355 ft72"><SPAN class="ft127">I den nyss nämnda </SPAN>lagen om bedömning av informationssäkerheten i myndigheternas informationssystem och datakommunikation <SPAN class="ft127">(1406/2011) delegeras en rätt till statsrådet att föreskriva att en myndighet är skyldig att skaffa ett intyg om </SPAN>godkännande <SPAN class="ft127">från </SPAN>Traficom <SPAN class="ft127">i fråga om infor- mationssystem där säkerhetsklassificerade handlingar behandlas (8 a §).</SPAN><SPAN class="ft153">15 </SPAN><SPAN class="ft127">Detta gäller handlingar som hör till säkerhetsklass I eller II, dvs. på de två högsta nivåerna (av fyra) där störst skada för nationell säkerhet riskeras.</SPAN><SPAN class="ft153">16 </SPAN><SPAN class="ft127">Den som önskar ett intyg om godkännande ska för- binda sig att upprätthålla informationssäkerhetsnivån och ge </SPAN>Traficom</P>
<P class="p544 ft87"><SPAN class="ft56">14</SPAN><SPAN class="ft86">Se prop. RP 98/2020 rd s. 110.</SPAN></P>
<P class="p222 ft87"><SPAN class="ft56">15</SPAN><SPAN class="ft86">Några nationella krav på certifiering av sådana system har dock inte framkommit.</SPAN></P>
<P class="p292 ft107"><SPAN class="ft56">16</SPAN><SPAN class="ft154">Indelning i säkerhetsklass I ska ske om obehörigt röjande eller obehörig användning av sek- retessbelagda uppgifter i handlingen kan orsaka särskilt stor skada för försvaret, för för- beredelser inför undantagsförhållanden, för internationella relationer, för brottsbekämpningen, för den allmänna säkerheten eller för stats- och samhällsekonomins funktion, eller på något annat jämförbart sätt för Finlands säkerhet. Säkerhetsklass II aktualiseras om röjande eller användning kan orsaka betydande skada för ett sådant skyddat intresse som anges ovan. Det finns ytterligare två säkerhetsklasser som kan komma i fråga vid risk för skada respektive lindrig skada för skyddade intressen.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">266</P>
</DIV>
</DIV>
<DIV id="page_268">
<DIV id="p268dimg1">
<INGENBILD zsrc="H9B363268x1.jpg/" id="p268img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p193 ft18">tillträde till informationssystemen för utredning. Den nu nämnda föreskriftsrätten har emellertid aldrig utnyttjats, vilket innebär att det i nuläget inte är obligatoriskt att skaffa godkännande för informa- tionssystem i säkerhetskänslig verksamhet. I stället kan verksamhets- utövare frivilligt ansöka om ett sådant intyg. Eftersom förfarandet är frivilligt är något sanktionssystem inte knutet till det.<SPAN class="ft79">17</SPAN></P>
<P class="p11 ft63">Statsrådets förordning om säkerhetsklassificering av handlingar inom statsförvaltningen (1101/2019) <SPAN class="ft19">innehåller bestämmelser om säkerhets- klassificering av skyddsvärda handlingar och om informationssäkerhets- åtgärder som gäller behandlingen av sådana handlingar. I förordningen uppställs vissa säkerhetskrav på informations- och datakommunika- tionssystem som används för behandling av säkerhetsklassificerade handlingar.</SPAN><SPAN class="ft101">18</SPAN></P>
<P class="p131 ft48"><SPAN class="ft48">9.3</SPAN><SPAN class="ft78">Norge</SPAN></P>
<P class="p6 ft26">Aktörer inom informations- och cybersäkerhet</P>
<P class="p360 ft20">Ansvariga departement</P>
<P class="p132 ft49"><SPAN class="ft17">I Norge har </SPAN>Justitie- och beredskapsdepartementet <SPAN class="ft17">ett särskilt ansvar för nationell cybersäkerhet i den civila sektorn och ska forma reger- ingens politik för cybersäkerhet, inklusive upprättande av nationella krav och rekommendationer för offentliga och privata verksamheter. </SPAN>Försvarsdepartementet <SPAN class="ft17">har det yttersta ansvaret för cybersäkerheten i försvarssektorn.</SPAN><SPAN class="ft54">19</SPAN></P>
<P class="p131 ft20">Nasjonal sikkerhetsmyndighet (NSM)</P>
<P class="p232 ft18"><SPAN class="ft45">Nasjonal sikkerhetsmyndighet </SPAN>(NSM) är en sektorsövergripande expert- och tillsynsmyndighet inom nationell säkerhet. NSM är underord- nat <SPAN class="ft45">Justitie- och beredskapsdepartementet </SPAN>och den ledande aktören i landet på informations- och cybersäkerhetsområdet. NSM tar emot anmälningar om allvarliga cyberattacker mot samhällsviktig verksam- het och <NOBR>IKT-säkerhetsincidenter</NOBR> samt rapporterar till ovan angivna</P>
<P class="p360 ft87"><SPAN class="ft56">17</SPAN><SPAN class="ft86">Inom social välfärd och hälsovård.</SPAN></P>
<P class="p0 ft87"><SPAN class="ft56">18</SPAN><SPAN class="ft86">Bl.a. ska säkra krypteringslösningar användas.</SPAN></P>
<P class="p542 ft41"><SPAN class="ft56">19</SPAN><SPAN class="ft82">Departementen har ett brett spektrum av instrument för att ta hand om sitt respektive ansvar för cybersäkerhet, bl.a. genom utveckling av regelverk och kunskap, tillsynsverksamhet och rådgivning respektive vägledning.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">267</P>
</DIV>
</DIV>
<DIV id="page_269">
<DIV id="p269dimg1">
<INGENBILD zsrc="H9B363269x1.jpg/" id="p269img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft18">departement.<SPAN class="ft79">20 </SPAN>NSM ger vidare information, råd och vägledning om förebyggande säkerhetsarbete. NSM utövar certifieringsverksamhet avseende <NOBR>it-säkerhet</NOBR> i produkter och system (SERTIT, se nedan) och ansvarar för det nationella cybersäkerhetscentret (NCSC, se nedan), som i sin tur inrymmer den nationella <NOBR>CERT-funktionen</NOBR> (se nedan).<SPAN class="ft79">21 </SPAN>Myndigheten har även en roll att <SPAN class="ft45">evaluera </SPAN>respektive <SPAN class="ft45">god- känna </SPAN>vissa produkter, tjänster och skyddsvärda informationssystem av avgörande betydelse för säkerhetskänslig verksamhet (se nedan).</P>
<P class="p70 ft20">Nasjonalt cybersikkerhetssenter (NCSC)</P>
<P class="p289 ft49">Nasjonalt cybersikkerhetssenter <SPAN class="ft17">(NCSC) är en avdelning som ingår i NSM och har till uppgift att stärka landets motståndskraft och be- redskap i den digitala domänen. Verksamheten bedrivs i nära sam- arbete med operatörer av infrastruktur och övriga aktörer i närings- livet.</SPAN></P>
<P class="p106 ft18">NCSC hjälper till att skydda grundläggande nationella funktio- ner, offentlig förvaltning och företag mot cyberattacker. Centret ger råd och rekommendationer till såväl statliga myndigheter som privata företag, bl.a. när det gäller hantering av cyberattacker, samt uppställer informationssäkerhetskrav för IKT. Dessutom erbjuder centret en rad tekniska informationssäkerhetstjänster,<SPAN class="ft79">22 </SPAN>och det producerar även en gemensam lägesbild. <NOBR>IKT-säkerhetstjänsterna</NOBR> inbegriper tekniska säkerhetsutredningar, kartläggning av sårbarheter i offentlig verk- samhet och kritisk infrastruktur, certifiering av <NOBR>it-säkerhet</NOBR> (SERTIT, se nedan)<SPAN class="ft79">23 </SPAN>samt penetrationstestning. Vissa av tjänsterna är endast tillgängliga för verksamheter som omfattas av den nationella säker- hetslagen (se nedan).<SPAN class="ft79">24</SPAN></P>
<P class="p545 ft93"><SPAN class="ft56">20</SPAN><SPAN class="ft94">NSM får riktlinjer från både </SPAN>Justitie- och beredskapsdepartementet <SPAN class="ft85">och </SPAN>Försvarsdepartementet <SPAN class="ft85">på deras respektive områden.</SPAN></P>
<P class="p372 ft87"><SPAN class="ft56">21</SPAN><SPAN class="ft86">NSM har cirka 300 anställda.</SPAN></P>
<P class="p373 ft107"><SPAN class="ft56">22</SPAN><SPAN class="ft154">Se bl.a. NSM:s grundprinciper för </SPAN><NOBR>IKT-säkerhet,</NOBR> den 15 april 2020, v. 2.0, som definierar en uppsättning principer och åtgärder för att skydda informationssystem och data.</P>
<P class="p223 ft85"><SPAN class="ft56">23</SPAN><SPAN class="ft94">Certifieringen baseras på standardiserade krav och metoder som är internationella erkända, som </SPAN><SPAN class="ft93">Common Criteria</SPAN>.</P>
<P class="p210 ft87"><SPAN class="ft56">24</SPAN><SPAN class="ft90">Med tekniska säkerhetstjänster avses ett antal för samhället centrala strategiska tjänster som NSM erbjuder till samhällets aktörer. Dessa är för det stora flertalet frivilliga men för de aktörer som omfattas av landets säkerhetsskyddslag obligatoriska, exempelvis ansvaret för natio- nella certifieringslösningar.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">268</P>
</DIV>
</DIV>
<DIV id="page_270">
<DIV id="p270dimg1">
<INGENBILD zsrc="H9B363270x1.jpg/" id="p270img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p442 ft17">Centrets huvudsakliga operativa uppgifter kommer till uttryck genom <NOBR>CERT-arbetet<SPAN class="ft54">25</SPAN></NOBR><SPAN class="ft54"> </SPAN>och genom <SPAN class="ft49">Varslingssystem for digital infra- struktur </SPAN>(VDI, Nationellt sensorsystem)<SPAN class="ft54">26 </SPAN>och detektering respektive hantering av <NOBR>it-incidenter.</NOBR></P>
<P class="p147 ft20">Nationellt certifieringsmyndighet för <NOBR>it-säkerhet</NOBR> – SERTIT</P>
<P class="p110 ft19">Den nationella säkerhetsmyndigheten NSM har ansvar att vara cer- tifieringsmyndighet för <NOBR>it-säkerhet</NOBR> i produkter och system i Norge enligt <SPAN class="ft63">Common Criteria</SPAN>. Certifieringsorganet vid NSM, SERTIT, som representerar Norge i det internationella arrangemanget CCRA, är också internationellt erkänt som certifikatutgivare inom CCRA. NSM, representerat av SERTIT, är också del av den europeiska överens- kommelsen <NOBR>SOG-IS</NOBR> MRA<SPAN class="ft101">27</SPAN>.</P>
<P class="p186 ft17">Utöver att driva den <SPAN class="ft49">Common </SPAN><NOBR><SPAN class="ft49">Criteria</SPAN>-baserade</NOBR> nationella certi- fieringsordningen övervakar SERTIT den professionella statusen hos ackrediterade evalueringsföretags personal.</P>
<P class="p131 ft26">Nationell cybersäkerhetsstrategi</P>
<P class="p236 ft46">Norge antog en ny nationell cybersäkerhetsstrategi 2019.<SPAN class="ft97">28 </SPAN>Med stra- tegin vill regeringen skapa en gemensam grund för att hantera digitala säkerhetsutmaningar. Vidareutvecklingen av strategin base- ras på behovet av ett stärkt <NOBR>offentlig-privat,</NOBR> <NOBR>civil-militärt<SPAN class="ft97">29</SPAN></NOBR><SPAN class="ft97"> </SPAN>och inter- nationellt samarbete. Ett av de övergripande målen med strategin är att kritiska samhällsfunktioner ska stödjas av en robust och pålitlig digital infrastruktur. Delmål är att myndigheterna ska ha en över- blick över nationell kritisk digital infrastruktur och ställa krav på säkerhet i denna.</P>
<P class="p546 ft93"><SPAN class="ft56">25</SPAN><SPAN class="ft103">Norwegian Computer Emergency Response Team </SPAN><SPAN class="ft85">(NorCERT) är en funktion i NCSC som ansvarar för Norges nationella </SPAN><NOBR><SPAN class="ft85">CERT-funktion</SPAN></NOBR><SPAN class="ft85"> och utgör bl.a. en koordinerande enhet för incidenter kring </SPAN><NOBR><SPAN class="ft85">it-säkerhet.</SPAN></NOBR><SPAN class="ft85"> Enhetens verksamhetscenter hanterar allvarliga cyberattacker mot kritisk social infrastruktur och information.</SPAN></P>
<P class="p437 ft85"><SPAN class="ft56">26</SPAN><SPAN class="ft84">VDI drivs av NCSC och består av sensorer som används för verksamheter inom Norges kritiska infrastruktur. VDI är ett slags digitalt inbrottslarm som utlöses vid misstänkt aktivitet i nätverket.</SPAN></P>
<P class="p317 ft87"><SPAN class="ft56">27</SPAN><SPAN class="ft86">NSM är även certifikatutgivare under </SPAN><NOBR>SOG-IS</NOBR> MRA.</P>
<P class="p0 ft87"><SPAN class="ft56">28</SPAN><SPAN class="ft86">Se </SPAN><NOBR>www.regjeringen.no/no/dokumenter/nasjonal-strategi-for-digital-sikkerhet/id2627177.</NOBR></P>
<P class="p434 ft41"><SPAN class="ft56">29</SPAN><SPAN class="ft82">Strategin identifierar att också cyberattacker mot civil infrastruktur kan utmana landets för- måga att skydda nationell säkerhet.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">269</P>
</DIV>
</DIV>
<DIV id="page_271">
<DIV id="p271dimg1">
<INGENBILD zsrc="H9B363271x1.jpg/" id="p271img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p255 ft26">Sektorslagstiftning</P>
<P class="p367 ft17">Norge har inte genomfört <NOBR>NIS-direktivet</NOBR> i nationell lag. För när- varande behandlas dock ett förslag till en lag om säkerhet i nätverk och informationssystem på området.<SPAN class="ft54">30</SPAN></P>
<P class="p73 ft46">I Norge finns ett flertal författningar om cybersäkerhet som gäller olika sektorer, däribland regleringar om användning av IKT i finans- sektorn <NOBR>(FOR-2003-05-21-630),</NOBR> elektronisk kommunikation i tele- komindustrin <NOBR>(LOV-2003-07-04-8</NOBR> och <NOBR>FOR-2004-02-16-401),</NOBR> samt säkerhet och beredskap i energisektorn <NOBR>(FOR-2012-12-07-1157).</NOBR></P>
<P class="p191 ft26">Informations- och cybersäkerhet inom nationell säkerhet</P>
<P class="p420 ft20">Nationell säkerhet</P>
<P class="p71 ft23"><SPAN class="ft21">I</SPAN><SPAN class="ft155">Norge finns en lag om nationell säkerhet (</SPAN><SPAN class="ft24">sikkerhetsloven</SPAN>, LOV- <NOBR>2018-06-01-24).</NOBR> Begreppet nationell säkerhet<SPAN class="ft156">31 </SPAN>definieras i lagen och täcker Norges suveränitet, territoriella integritet och demokratiska statliga system och allmänna politiska säkerhetsintressen.</P>
<P class="p547 ft17">Varje nationellt säkerhetsintresse avser grundläggande nationella funktioner. Dessa funktioner är tjänster, produktion och andra typer av aktiviteter som är så viktiga att en helt eller delvis förlust av funk- tionen skulle få allvarliga konsekvenser för nationella säkerhets- intressen.</P>
<P class="p73 ft18">Departementen och NSM ska inom sina respektive ansvarsom- råden peka ut, klassificera och övervaka skyddsvärda infrastrukturer och objekt. Vid denna klassificering i enlighet med säkerhetslagen ska tonvikt läggas på i vilken utsträckning grundläggande nationella funktioner beror på den aktuella infrastrukturen eller objektet samt den berörda aktörens skadebedömning.</P>
<P class="p548 ft21">Säkerhetslagen gäller för:</P>
<P class="p34 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">alla statliga myndigheter (och motsvarande) och kommuner,</SPAN></P>
<P class="p363 ft159"><SPAN class="ft21">–</SPAN><SPAN class="ft157">efter beslut av ansvarigt departement,</SPAN><SPAN class="ft158">32 </SPAN>för privata aktörer som hanterar klassificerad information, informationssystem, föremål</P>
<P class="p549 ft107"><SPAN class="ft56">30</SPAN><SPAN class="ft154">Se </SPAN><NOBR>www.regjeringen.no/no/dokumenter/horing-nou-2018-14-ikt-sikkerhet-i-alle-ledd-og-</NOBR> <NOBR>utkast-til-lov-som-gjennomforer-nis-direktivet-i-norsk-rett/id2623252/?expand</NOBR> =horingsnotater.</P>
<P class="p230 ft87"><SPAN class="ft56">31</SPAN><SPAN class="ft86">”Nasjonale sikkerhetsinteresser”.</SPAN></P>
<P class="p250 ft41"><SPAN class="ft56">32</SPAN><SPAN class="ft81">Varje departement pekar således ut grundläggande nationella funktioner och identifierar verksamheter som är av avgörande betydelse för dessa funktioner.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">270</P>
</DIV>
</DIV>
<DIV id="page_272">
<DIV id="p272dimg1">
<INGENBILD zsrc="H9B363272x1.jpg/" id="p272img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p550 ft21">eller infrastruktur, eller deltar i aktiviteter som är av avgörande betydelse för grundläggande nationella funktioner, och</P>
<P class="p551 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">privata tillhandahållare av varor eller tjänster som kan medföra till- gång till klassificerad information eller kritiska objekt respektive infrastrukturer.</SPAN><SPAN class="ft54">33</SPAN></P>
<P class="p552 ft17">Information, informationssystem, infrastruktur och objekt som om- fattas av lagen ska förses med en lämplig nivå av säkerhet. Skydds- åtgärder ska identifieras utifrån en riskbedömning och med beaktande av tillämplig klassificeringsnivå.</P>
<P class="p131 ft20">Krav på evaluering och certifiering</P>
<P class="p91 ft18">I en föreskrift om verksamheters arbete med förebyggande säkerhet, <SPAN class="ft45">virksomhetsikkerhetsforskriften </SPAN><NOBR>(FOR-2018-12-20-2053)<SPAN class="ft79">34</SPAN>,</NOBR> uppställs olika säkerhetskrav på berörda aktörer, bl.a. för att skydda vissa in- formationssystem. Verksamheter som hanterar risker förknippade med skyddsvärda informationssystem ska uppnå en försvarlig säker- hetsnivå genom att data och tjänster skyddas mot oönskad påverkan (49 §). Vissa säkerhetsåtgärder ska genomföras och kontrolleras (jfr 9, 11 och 15 §§).</P>
<P class="p58 ft18">I nu nämnda föreskrift finns en allmän bestämmelse om evaluer- ing respektive certifiering. När en verksamhet väljer säkerhetsåtgär- der ska den använda evaluerade produkter och tjänster om dessas funktion är avgörande för att personer inte obefogat ska få tillgång till hemlig eller kvalificerat hemlig information och inte heller ska kunna påverka driften av kritisk infrastruktur. Evalueringen ska ske genom metodisk utveckling och testning av produkten eller tjänsten och vara verifierbar. Evalueringen ska utföras av den nationella säker- hetsmyndigheten, NSM, eller ett ackrediterat laboratorium som ut- setts av NSM (16 §).<SPAN class="ft79">35 </SPAN>Kraven på evalueringen kan uppfyllas genom en certifiering utfärdat av NSM eller ett ackrediterat certifierings-</P>
<P class="p553 ft85"><SPAN class="ft56">33</SPAN><SPAN class="ft84">Lagen ger kungen rätt att föreskriva om skyddsvärda informationssystem, utpekande av godkännandemyndigheter och krav för leverantörer.</SPAN></P>
<P class="p8 ft110"><SPAN class="ft56">34</SPAN><SPAN class="ft86">Ansvarigt departement är </SPAN>Justitie- och beredskapsdepartementet<SPAN class="ft87">.</SPAN></P>
<P class="p411 ft58"><SPAN class="ft56">35</SPAN><SPAN class="ft96">Av NSM:s handbok framgår att behövliga säkerhetsåtgärder ska evalueras och certifieras i enlighet med NSM:s krav. NSM utgår från </SPAN><NOBR>ISO-certifierade</NOBR> produkter och tjänster. Om till- fredsställande standarder inte finns kommer NSM att ställa uttryckliga krav anpassade till den aktuella klassificeringsnivån. Det kan tilläggas att evalueringsuppdrag kan tillställas SERTIT.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">271</P>
</DIV>
</DIV>
<DIV id="page_273">
<DIV id="p273dimg1">
<INGENBILD zsrc="H9B363273x1.jpg/" id="p273img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p403 ft21">organ som utsetts av NSM.<SPAN class="ft102">36 </SPAN>NSM kan vidare godkänna använd- ningen av produkter och tjänster som har evaluerats eller certifierats i andra länder (17 §).</P>
<P class="p209 ft20">Krav på godkännande av informationssystem</P>
<P class="p76 ft17">För att kunna använda informationssystem som antingen behandlar säkerhetsklassificerad information eller är av avgörande betydelse för grundläggande nationella funktioner ska en godkännandemyn- dighet bedöma om kraven på säkerhet i systemen är uppfyllda och meddela beslut om godkännande.</P>
<P class="p105 ft17">Säkerhetsåtgärder som skyddar ett informationssystem ska ha en acceptabel risk- och säkerhetsnivå för att erhålla ett säkerhetsgod- kännande. För informationssystem som hanterar säkerhetsklassifi- cerad information ska säkerhetsgodkännandet beslutas innan systemet kan tas i drift <NOBR>(6–3</NOBR> § <SPAN class="ft49">sikkerhetsloven</SPAN>). Ett beslut om säkerhetsgod- kännande är giltigt i upp till fem år eller tills betydande ändringar av informationssystemet gjorts.</P>
<P class="p106 ft19">Säkerhetsåtgärder definieras i närmare detalj i föreskrifter som meddelats med stöd av säkerhetslagen och i allmänna råd som utfär- dats av NSM. De åtgärder som ska vidtas differentieras av klassificer- ingsnivån för informationen som behandlas i informationssystemet, eller systemets klassificeringsnivå när själva systemet är att bedöma som infrastruktur av avgörande betydelse för grundläggande natio- nella funktioner.</P>
<P class="p73 ft18">När en verksamhet beslutat att utveckla ett skyddsvärt informa- tionssystem ska den <SPAN class="ft45">informera </SPAN>NSM. Skyldigheten att lämna infor- mation gäller dock bara om NSM behöver godkänna systemet. I annat fall måste verksamhetsutövarna se till att informationssystem som ska behandla säkerhetsklassificerad information är godkända innan de används. Andra skyddsvärda informationssystem ska god- kännas så snart som möjligt (50 § <SPAN class="ft45">virksomhetsikkerhetsforskriften</SPAN>).<SPAN class="ft79">37</SPAN></P>
<P class="p73 ft46">Verksamhetsutövaren ska dokumentera att den bedömt och han- terat risken på ett tillfredsställande sätt och i samband med detta</P>
<P class="p527 ft85"><SPAN class="ft56">36</SPAN><SPAN class="ft94">NSM ställer således krav på aktörer som utför certifiering och utvärdering av produkter och tjänster. Ackreditering av laboratorier och certifieringsorgan ska ske i enlighet med ISO- och </SPAN><NOBR>IEC-standarder.</NOBR> Organen för bedömning av överenstämmelse ackrediteras av <SPAN class="ft93">Norsk Akkredi- tering </SPAN>som är Norges nationella ackrediteringsorgan i enlighet med <NOBR>EU-förordningen</NOBR> om krav för ackreditering (EG 765/2008).</P>
<P class="p554 ft41"><SPAN class="ft56">37</SPAN><SPAN class="ft82">Det är verksamhetsutövaren som har att täcka kostnaderna för godkännandet.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">272</P>
</DIV>
</DIV>
<DIV id="page_274">
<DIV id="p274dimg1">
<INGENBILD zsrc="H9B363274x1.jpg/" id="p274img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p406 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">identifiera behovet av skydd utifrån informationssystemets funk- tion och driftsmiljö,</SPAN></P>
<P class="p24 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">fastställa säkerhetskrav baserade på behovet av skydd,</SPAN></P>
<P class="p134 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">etablera säkerhetsåtgärder som uppfyller säkerhetskraven under informationssystemets livstid, och</SPAN></P>
<P class="p198 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">kontrollera att säkerhetsåtgärderna fungerar som avsett.</SPAN></P>
<P class="p199 ft18">Om verksamheter hanterar särskilt skyddsvärd information och säkerhetsklassificerade uppgifter ska åtgärderna säkerställa att infor- mationen inte med enkla medel går förlorad, ändras eller görs oåtkomlig och inte heller kan offentliggörs för obehöriga. Om risken motiverar det måste informationen också skyddas mot avancerade attackmeto- der. När det gäller konfidentiell, hemlig eller kvalificerat hemlig in- formation förutsätter en tillräcklig säkerhetsnivå att obehöriga inte obemärkt kan komma åt informationen.</P>
<P class="p11 ft46">NSM genomför kontroller och utövar tillsyn<SPAN class="ft97">38 </SPAN>över efterlevnaden av säkerhetslagen. NSM ska på <SPAN class="ft60">förhand </SPAN>godkänna informationssystem som behandlar säkerhetsklassificerad information och vilka</P>
<P class="p555 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">ska användas utomlands eller har anslutning utanför den egna verk- samheten,</SPAN></P>
<P class="p514 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">har användare som inte är säkerhetsgodkända för rätt nivå, re- spektive</SPAN></P>
<P class="p237 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">bearbetar kvalificerat hemlig (”strengt hemmelig”) eller hemlig information.</SPAN></P>
<P class="p552 ft17">NSM godkänner vidare skyddsvärda informationssystem som är ut- pekade som, eller har avgörande betydelse för, infrastruktur eller objekt klassificerade som mycket kritiska eller kritiska.</P>
<P class="p111 ft46">Godkännandet av ett skyddsvärt informationssystem innefattar en planerad och systematisk granskning av om verksamheten upp-</P>
<P class="p556 ft58"><SPAN class="ft56">38</SPAN><SPAN class="ft96">Tillsyn enligt lagen kan också utföras av sektorsmyndigheter efter beslut av berört departe- ment. Som tidigare berörts ger NSM även verksamheter vägledning om identifiering av risker och sårbarheter. Om behövliga säkerhetsåtgärder inte vidtagits kan NSM förelägga verksam- hetsutövaren att åtgärda bristerna, t.ex. en undermålig riskanalys, vid äventyr av vite. Admini- strativa sanktioner är en annan ingripandemöjlighet som står till buds vid överträdelser. I sista hand anmäler NSM brott mot säkerhetsregleringen till </SPAN><SPAN class="ft100">Politiets sikkerhetstjeneste en </SPAN>varpå en process förs vid domstol.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">273</P>
</DIV>
</DIV>
<DIV id="page_275">
<DIV id="p275dimg1">
<INGENBILD zsrc="H9B363275x1.jpg/" id="p275img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft18">nått en rimlig säkerhetsnivå.<SPAN class="ft79">39 </SPAN>Processen utgörs av en dokumentations- genomgång som bl.a. tar fasta på om och hur <NOBR>IKT-incidenter</NOBR> hanteras. Vid granskningen utvärderas vidare informationssystemets opera- tiva miljö, dess behov av skydd och om föreslagna säkerhetsåtgärder är tillräckliga för att uppnå lämpligt skydd.</P>
<P class="p73 ft18">Även kryptosystem som ska användas för att skydda säkerhets- klassificerad information ska godkännas av NSM. Kraven på beslut av NSM om förhandsgodkännande av informationssystem gäller så- ledes även på försvarsområdet.<SPAN class="ft79">40 </SPAN>Som en del av godkännandeprocessen finns som sagt också krav på evaluering av komponenter (se ovan).</P>
<P class="p73 ft18">Behörigt departement kan bestämma att godkännande av infor- mationssystemet ska göras av en tillsynsmyndighet. Vidare kan NSM bestämma att en tillsynsmyndighet eller verksamhetsutövare ska god- känna berört informationssystem. En verksamhetsutövare som har ett skyddsvärt informationssystem och som inte omfattas av nämnda krav på förhandsgodkännande ska godkänna systemet själv (51 §).<SPAN class="ft79">41</SPAN></P>
<P class="p106 ft18">Överträdelser av skyldigheterna enligt säkerhetslagen är straffbe- lagda. Till detta kommer att NSM har ett antal undersöknings- befogenheter och möjlighet att besluta åtgärdsföreläggande vid vite.</P>
<P class="p105 ft17">Kontaktpersoner på NSM har framfört att en av de största för- delarna med det nationella godkännandeförfarandet är att det skapar en minimistandard för kontroll av säkerhet och mer enhetliga säker- hetskrav hos verksamhetsutövarna på de aktuella nivåerna. Vidare anser man att då det rör sig om de största riskerna för nationell säker- het finns ett större behov av en oberoende tredjepartsbedömning (av en central myndighet).</P>
<P class="p557 ft85"><SPAN class="ft56">39</SPAN><SPAN class="ft94">Om det finns ett särskilt behov av att använda ett skyddsvärt informationssystem innan det godkänts kan godkännandemyndigheten bevilja ett tillfälligt tillstånd vid behov och om det finns särskilda skäl.</SPAN></P>
<P class="p210 ft85"><SPAN class="ft56">40</SPAN><SPAN class="ft94">NSM har alltså ansvar för godkännanden inom samtliga sektorer. Försvaret har flest system som behandlar säkerhetsklassificerad information och är den sektor som har störst behov av NSM:s godkännanden.</SPAN></P>
<P class="p554 ft41"><SPAN class="ft56">41</SPAN><SPAN class="ft82">NSM och relevanta tillsynsmyndigheter ska informeras om sådana informationssystem.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">274</P>
</DIV>
</DIV>
<DIV id="page_276">
<DIV id="p276dimg1">
<INGENBILD zsrc="H9B363276x1.jpg/" id="p276img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p5 ft48"><SPAN class="ft48">9.4</SPAN><SPAN class="ft78">Danmark</SPAN></P>
<P class="p7 ft26">Aktörer inom informations- och cybersäkerhet</P>
<P class="p360 ft20">Nationellt cybersäkerhetscenter</P>
<P class="p232 ft18"><SPAN class="ft45">Center for Cybersikkerhed </SPAN>är Danmarks nationella <NOBR>it-säkerhetsmyn-</NOBR> dighet och har i uppdrag att stödja en hög nivå av informationssäker- het i den informations- och kommunikationsteknologiska infra- struktur som kritiska funktioner är beroende av. En del av uppdraget är att ge råd om cybersäkerhet till nationella samhällsviktiga myndig- heter och privata företag. Centret är en del av Försvarets underrättelse- tjänst och hör till Försvarsministeriet.</P>
<P class="p58 ft18">Cybersäkerhetscentret tillhandahåller en nätverkssäkerhetstjänst som innefattar analys och hantering av säkerhetsincidenter hos myn- digheter och företag som anslutit sig till tjänsten. Centret har distri- buerat intrångsdetekteringssystem för ett antal nätverk i verksamheter som avser kritisk infrastruktur och där känslig myndighetsinfor- mation förekommer, inklusive försvar. De högsta statliga organen och myndigheterna kan på begäran anslutas till tjänsten. Regioner, kommuner och företag inom samhällsviktig verksamhet kan anslutas till tjänsten om centret bedömer att det kommer att bidra till en högre nivå av informationssäkerhet i samhället.<SPAN class="ft79">42 </SPAN>Centret övervakar också nätkommunikationen i samhällsviktig verksamhet och kritisk infrastruktur.</P>
<P class="p131 ft20">Säkerhets- och underrättelsetjänst</P>
<P class="p185 ft17">Den danska säkerhets- och underrättelsetjänsten, <SPAN class="ft49">Politiets Efterret- ningstjeneste </SPAN>(PET), är ansvarig för att identifiera, förhindra, utreda och svara på hot mot friheten, demokratin och säkerheten i det danska samhället. PET ger rådgivning inom ett antal områden, däribland informationssäkerhet.</P>
<P class="p376 ft41"><SPAN class="ft56">42</SPAN><SPAN class="ft82">Försvarsministeriet kan fastställa närmare regler om villkoren för anslutning samt föreläg- ganden om medverkan (vid äventyr av böter).</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">275</P>
</DIV>
</DIV>
<DIV id="page_277">
<DIV id="p277dimg1">
<INGENBILD zsrc="H9B363277x1.jpg/" id="p277img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p255 ft26">Reglering av informations- och cybersäkerhet</P>
<P class="p420 ft20">Allmänt</P>
<P class="p355 ft46">Graden av digitalisering i Danmark är mycket hög. I landet finns ingen nationell övergripande säkerhetslagstiftning. Det finns emellertid en regeringsförordning som reglerar informationssäkerhet inom stat- liga myndigheter samt särskilda krav på säkerhet i nätverks- och infor- mationssystem i vissa sektorer (se nedan).</P>
<P class="p191 ft20">Nationell cybersäkerhetsstrategi</P>
<P class="p285 ft18">Danmark har antagit en nationell strategi för informations- och cyber- säkerhet för åren <NOBR>2018–2021.<SPAN class="ft79">43</SPAN></NOBR><SPAN class="ft79"> </SPAN>Under dessa år ämnar regeringen att markant öka investeringarna i landets informations- och cybersäkerhet. Genom den nationella strategin lanserar regeringen även 25 initiativ och 6 riktade strategier för de mest kritiska sektorernas informations- säkerhetsarbete, med fokus på att öka den tekniska motståndskraften i den digitala infrastrukturen och den allmänna medvetenheten samt stärka nationell samordning och samarbete på området. Enligt den nationella strategin är följande områden s.k. kritiska sektorer som ska ta fram egna informations- och cybersäkerhetsstrategier:</P>
<P class="p136 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">telekommunikation,</SPAN></P>
<P class="p34 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">hälsa,</SPAN></P>
<P class="p34 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">energi,</SPAN></P>
<P class="p30 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">ekonomi,</SPAN></P>
<P class="p34 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">sjöfart, och</SPAN></P>
<P class="p136 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">transport.</SPAN><SPAN class="ft102">44</SPAN></P>
<P class="p259 ft18">Med den nationella strategin har det således blivit ett krav att en dedikerad informations- och cybersäkerhetsenhet skapas för var och en av de kritiska sektorerna i samhället – och central finansiering ges för detta. Varje sektor måste utveckla en specifik strategi med hän- syn till de specifika hot och sårbarheter som gäller i sektorn. Sektors-</P>
<P class="p558 ft58"><SPAN class="ft56">43</SPAN><SPAN class="ft57">Se </SPAN><NOBR>https://digst.dk/media/16815/national_strategi_for_cyber-_og_</NOBR> informationssikkerhed_ pdfa.pdf.</P>
<P class="p230 ft41"><SPAN class="ft56">44</SPAN><SPAN class="ft82">Samtliga sektorer förutom telekommunikation täcks av </SPAN><NOBR>NIS-direktivet.</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">276</P>
</DIV>
</DIV>
<DIV id="page_278">
<DIV id="p278dimg1">
<INGENBILD zsrc="H9B363278x1.jpg/" id="p278img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p121 ft17">strategierna ska godkännas av en central statlig kommitté. Respektive sektor har vidare inrättat en decentraliserad cyber- och informations- säkerhetsenhet (DCIS).<SPAN class="ft54">45</SPAN></P>
<P class="p147 ft20">Cybersäkerhetscentrets befogenheter</P>
<P class="p110 ft60">Bekendtgørelse af lov om Center for Cybersikkerhed <SPAN class="ft46">är en lag som reglerar det nationella cybersäkerhetscentrets uppgifter och befogen- heter. Bl.a. får centrets nätverkssäkerhetstjänst, utan föregående dom- stolsbeslut, behandla en mängd olika uppgifter som härrör från be- rörda organisationer samt vidta diverse utredningar.</SPAN></P>
<P class="p224 ft20">Informationssäkerhet hos myndigheter i säkerhetskänslig verksamhet</P>
<P class="p232 ft18">Det finns en regeringsförordning (”sikkerhedscirkulæret”) som regle- rar informationssäkerhet inom statliga myndigheter, inklusive krav på ackreditering av informationssystem som används för klassifi- cerad information. Sådana system kan vara föremål för certifiering och/eller godkännande. Ärenden som rör nationell säkerhet samord- nas av en ministerkommitté för säkerhet medan hanteringen av större cyberincidenter samordnas av cybersäkerhetscentret.</P>
<P class="p131 ft20">Säkerhet i nätverk och informationssystem i vissa sektorer</P>
<P class="p110 ft45">Lov om sikkerhed i net- og informationssystemer i transportsektoren <SPAN class="ft18">(LOV nr 441, </SPAN><NOBR><SPAN class="ft18">2018-05-08)</SPAN></NOBR><SPAN class="ft18"> reglerar bl.a. säkerhetskrav för tillhanda- hållare av viktiga transporttjänster. Dessa ska vidta lämpliga och proportionerliga tekniska och organisatoriska åtgärder för att han- tera riskerna för säkerheten i sina nätverk och informationssystem. </SPAN><NOBR>Transport-,</NOBR> byggnads- och bostadsministern <SPAN class="ft18">fastställer närmare regler om nödvändiga åtgärder och att dokumentation ska ske genom ackre- diterad certifiering i enlighet med reglerna och en internationellt erkänd standard för kontroll av säkerheten i nätverk och informa- tionssystem. Ministern kan slutligen fastställa regler om den infor- mation som han eller hon ska få om valet av certifieringsordning.</SPAN></P>
<P class="p559 ft41"><SPAN class="ft56">45</SPAN><SPAN class="ft82">Den danska näringsmyndigheten och </SPAN><SPAN class="ft74">Rådet för Digital Sikkerhed </SPAN>har inlett en säkerhets- kontroll baserad på standarden ISO 27001 som genererar en översikt och riktmärke för före- tags digitala säkerhet och riktlinjer för hur man kan förbättra den.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">277</P>
</DIV>
</DIV>
<DIV id="page_279">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p336 ft45"><SPAN class="ft18">I 3 kap. 5 § </SPAN>Bekendtgørelse om sikkerhed i net- og informationssyste- mer i transportsektoren <SPAN class="ft18">(verkställande order: BEK nr 1042, </SPAN><NOBR><SPAN class="ft18">2018-08-06)</SPAN></NOBR><SPAN class="ft18"> anges att tillhandahållare av viktiga transporttjänster inom två år från sin utnämning ska dokumentera till </SPAN><NOBR>Transport-,</NOBR> byggnads- och bo- stadsverket <SPAN class="ft18">att tillhandahållaren har erhållit en ackrediterad certi- fiering i enlighet med den verkställande ordern och en internationellt erkänd standard för kontroll av säkerheten i nätverk och informa- tionssystem., t.ex. DS/EN ISO/IEC 27001 eller motsvarande.</SPAN></P>
<P class="p82 ft60">Bekendtgørelse om sikkerhed i net- og informationssystemer af betyd- ning for skibes sikkerhed og deres sejlads <SPAN class="ft46">(verkställande order: BEK nr 46, </SPAN><NOBR><SPAN class="ft46">2019-01-15)</SPAN></NOBR><SPAN class="ft46"> föreskriver att tillhandahållare av sjöfartstjänster, inom två år efter det att de utsetts, måste vara certifierade i enlighet med en internationellt erkänd standard för kontroll av säkerheten i nätverk och informationssystem, t.ex. DS/EN ISO/IEC 27001 eller motsvarande. Certifieringen ska omfatta den del av operatörens nät- verk och informationssystem som operatören är beroende av för att tillhandahålla sjötjänsten och där en händelse kan komma att ha en betydande inverkan på fartygssäkerhet och dess navigering. Certifier- ingen måste utföras som en ackrediterad certifiering av ett certifierings- organ som är ackrediterat enligt relevant standard. Ackrediteringen måste i sin tur göras av antingen det nationella ackrediteringsorganet DANAK eller ett liknande ackrediteringsorgan, som är medsignatär till EA:s (European cooperation for Accreditation) eller IAF:s (International Accreditation Forum) multilaterala avtal om ömse- sidigt erkännande som täcker relevant certifieringsstandard (se 4 kap. 6 och 7 §§).</SPAN></P>
<P class="p560 ft26">Sammanfattning av särskilda krav på IKT i säkerhetskänslig verksamhet</P>
<P class="p561 ft17">I <SPAN class="ft49">Danmark </SPAN>finns krav på cybersäkerhetscertifiering i fråga om säker- heten i nätverks- och informationssystem främst i vissa sektorer (såsom transport och sjöfart). För statliga myndigheter finns också krav på ackreditering av informationssystem som används för skydds- värd information. Sådana system kan vara föremål för certifiering och/ eller godkännande.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">278</P>
</DIV>
</DIV>
<DIV id="page_280">
<DIV id="p280dimg1">
<INGENBILD zsrc="H9B363280x1.jpg/" id="p280img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p5 ft48"><SPAN class="ft48">9.5</SPAN><SPAN class="ft78">Nederländerna</SPAN></P>
<P class="p7 ft26">Aktörer inom informations- och cybersäkerhet</P>
<P class="p360 ft20">Justitiedepartementet och nationellt cybersäkerhetscenter</P>
<P class="p351 ft17">Justitie- och säkerhetsdepartementet, <SPAN class="ft49">Ministerie van Justitie en Veiligheid</SPAN>, har det övergripande ansvaret för informationssäkerheten i Nederländerna.</P>
<P class="p58 ft18">Nederländerna har valt att samla huvuddelen av sin <NOBR>IKT-säker-</NOBR> hetsexpertis och incidenthantering på nationell nivå i ett nationellt cybersäkerhetscenter, <SPAN class="ft45">Nationaal Cyber Security Centrum </SPAN>(NCSC). Detta inkluderar både en nationell rapporteringspunkt, <NOBR>CERT-funktion,</NOBR> samordningsansvar för <NOBR>IKT-händelser,</NOBR> övervakning och informations- utbyte (se nedan). I landet hanteras således cybersäkerhetsrelaterade ärenden centralt hos NCSC. NCSC driver också ett offentligt anmäl- ningssystem riktat till mindre verksamheter och allmänheten. Centret fungerar som en kontakt mellan de olika ansvariga organen inom cybersäkerhet och ska därmed säkerställa samordning av de olika akti- viteterna. NCSC utgör en del av Justitie- och säkerhetsdepartementet.</P>
<P class="p11 ft19">NCSC:s lagstadgade uppgifter på cybersäkerhetsområdet anges i den nationella lagen om säkerhet i nätverk och informationssystem (<SPAN class="ft63">Wet beveiliging netwerk- en informatiesystemen</SPAN>, Wbni). Centret tar fram olika riktlinjer för <NOBR>it-säkerhet.<SPAN class="ft101">46</SPAN></NOBR><SPAN class="ft101"> </SPAN>Centret samlar även in och delar med sig av kunskap om cyberhot och <NOBR>-sårbarheter.</NOBR> Centret har vidare till uppgift att ge råd till industrin inom de samhällsviktiga sekto- rerna. Råden till allmänheten avser främst <NOBR>it-säkerhetshot</NOBR> och inci- denthantering.</P>
<P class="p146 ft17">Myndigheter och organisationer inom samhällsviktig sektor är skyldiga att rapportera allvarliga cybersäkerhetsincidenter till NCSC. I lagen anges att NCSC även är CSIRT för leverantörer av samhälls- viktiga tjänster<SPAN class="ft54">47</SPAN>.</P>
<P class="p186 ft17">När det gäller implementeringen av det kommande <NOBR>NIS2-direk-</NOBR> tivet är avsikten att <SPAN class="ft49">National Coordinator for Security and Counter- terrorism</SPAN>, som är en del av säkerhets- och justitiedepartementet, ska ansvara för samordning av tillsynen.<SPAN class="ft54">48</SPAN></P>
<P class="p6 ft87"><SPAN class="ft56">46</SPAN><SPAN class="ft86">Säkerhetsriktlinjerna avser bl.a. mobilapplikationer och transportlagersäkerhet (TLS).</SPAN></P>
<P class="p0 ft87"><SPAN class="ft56">47</SPAN><SPAN class="ft86">Se </SPAN><NOBR>NIS-direktivet.</NOBR></P>
<P class="p562 ft58"><SPAN class="ft56">48</SPAN><SPAN class="ft96">Ansvar för regleringen av och tillsyn över sektorerna vattenhantering, transport och hamnar ska ligga hos </SPAN><SPAN class="ft100">Ministeriet för infrastruktur och vattenhantering </SPAN>(<SPAN class="ft100">Infrastructuur & Waterstaat</SPAN>).</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">279</P>
</DIV>
</DIV>
<DIV id="page_281">
<DIV id="p281dimg1">
<INGENBILD zsrc="H9B363281x1.jpg/" id="p281img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p563 ft20">Algemene Inlichtingen- en Veiligheidsdienst (AIVD) – den allmänna underrättelse- och säkerhetstjänsten</P>
<P class="p355 ft18">Nederländernas allmänna underrättelse- och säkerhetstjänst, <SPAN class="ft45">Algemene Inlichtingen- en Veiligheidsdienst </SPAN>(AIVD), är ett generaldirektorat vid inrikesministeriet (<SPAN class="ft45">ministerie van Binnenlandse Zaken en Koninkrijks- relaties</SPAN>, BZK) och lyder under inrikesministern. AIVD spelar en vik- tig roll för den nationella säkerheten och försöker identifiera risker och hot mot nationell säkerhet så tidigt som möjligt.</P>
<P class="p70 ft20">NBV – nationell byrå för kommunikationssäkerhet</P>
<P class="p71 ft18">Den nationella byrån för kommunikationssäkerhet, <SPAN class="ft45">Nationaal Bureau voor Verbindingsbeveiliging </SPAN>(NBV), är en enhet vid AIVD som evalue- rar och utvecklar tekniska säkerhetsprodukter för skydd av känslig, sekretessbelagd, information av avgörande betydelse för regeringen. NBV har till uppgift att evaluera säkerhetsprodukter innan dessa ska godkännas för att skydda särskild information. De kriterier som tillämpas vid evalueringen beror främst på klassificeringen av den särskilda information<SPAN class="ft79">49 </SPAN>som utrustningen måste kunna bearbeta och säkra. NBV ger också råd om säkerhetsprodukternas användning till potentiella användare och organisationer. Med sin expertkompetens om informationssäkerhet bidrar NBV till nationell säkerhet i Neder- länderna. NBV ansvarar vidare för produktion och distribution av nyckelmaterial för olika kryptografiska utrustningar.<SPAN class="ft79">50</SPAN></P>
<P class="p106 ft18">NBV har till uppgift att lämna råd i fråga om <NOBR>it-produkter</NOBR> och <NOBR>-tjänster</NOBR> relaterade till nationell säkerhet. Om NBV bedömer att en utvärderad produkt är lämplig utfärdar man ett särskilt råd till en arbetsgrupp för särskild informationssäkerhet, <SPAN class="ft45">Werkgroep Bijzondere Informatiebeveiliging </SPAN>(WBI, se nedan), som fattar beslut om att god-</P>
<P class="p564 ft85"><SPAN class="ft93">Ekonomiministeriet </SPAN>(<SPAN class="ft93">Economische Zaken</SPAN>) svarar för sektoriell reglering och tillsyn avseende energi, olja och digitala tjänster. Övervakningen för dessa sektorer genomförs av <SPAN class="ft93">Agentschap Telecom</SPAN>.</P>
<P class="p565 ft58"><SPAN class="ft56">49</SPAN><SPAN class="ft57">Informationen inbegriper statshemligheter och annan speciell information som, hos obe- höriga, kan påverka statens, dess allierades eller ett eller flera ministeriers intressen negativt.</SPAN></P>
<P class="p226 ft41"><SPAN class="ft56">50</SPAN><SPAN class="ft81">NBV kan hjälpa regeringen med utformningen av en säker och högkvalitativ </SPAN><NOBR>IKT-infra-</NOBR> struktur. NBV kan också arbeta med andra ämnen som påverkar viktiga delar av den neder- ländska infrastrukturen.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">280</P>
</DIV>
</DIV>
<DIV id="page_282">
<DIV id="p282dimg1">
<INGENBILD zsrc="H9B363282x1.jpg/" id="p282img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p244 ft21">känna produkten. Råden innehåller samtliga förutsättningar för säker användning av produkten.<SPAN class="ft102">51</SPAN></P>
<P class="p278 ft20">WBI – arbetsgrupp för informationssäkerhet</P>
<P class="p132 ft17">WBI är en arbetsgrupp för informationssäkerhet i vilken <NOBR>försvars-,</NOBR> <NOBR>inrikes-,</NOBR> justitie- och säkerhets- samt utrikesministerierna ingår.<SPAN class="ft54">52 </SPAN>Ministerier vänder sig till WBI för råd om speciell informations- säkerhet.<SPAN class="ft54">53 </SPAN>WBI får i sin tur instruktioner från en kommitté för under- rättelsetjänst, <SPAN class="ft49">Comité Verenigde Inlichtingendiensten Nederland </SPAN>(CVIN).</P>
<P class="p194 ft21">WBI:s uppgifter inbegriper</P>
<P class="p25 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">politisk rådgivning avseende särskild informationssäkerhet,</SPAN></P>
<P class="p25 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">råd till inrikesministeriet om att – efter evalueringsundersökningar</SPAN></P>
<P class="p566 ft17">– bevilja godkännande av användning av tekniska informations- säkerhetssystem eller komponenter av dessa för att skydda sär- skild information,</P>
<P class="p94 ft19"><SPAN class="ft27">–</SPAN><SPAN class="ft146">råd till AIVD när det gäller tillhandahållande av nationellt ut- vecklade tekniska informationssäkerhetssystem eller </SPAN><NOBR>-kompo-</NOBR> nenter till tredje part som godkänts eller kommer att godkännas efter evaluering av säkerheten för särskild information, och</P>
<P class="p198 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">rådgivning om nationell kryptoverksamhet.</SPAN><SPAN class="ft102">54</SPAN></P>
<P class="p131 ft20">Nationellt cybersäkerhetsråd</P>
<P class="p110 ft46">Det nederländska cybersäkerhetsrådet <SPAN class="ft60">Cyber Security Raad </SPAN>(CSR), inrättat av NCSC, är ett nationellt oberoende organ som har till upp- gift att tillhandahålla strategiska råd om cybersäkerhet till den neder- ländska regeringen och näringslivet samt att övervaka utvecklingen</P>
<P class="p426 ft85"><SPAN class="ft56">51</SPAN><SPAN class="ft84">Det yttersta ansvaret för installation av en säkerhetsprodukt ligger inte på NBV eller WBI utan hos en avdelnings generalsekreterare, och en säkerhetschef ansvarar för genomförandet av en säkerhetspolicy. Nu nämnda personer kan avvika från NBV:s råd men avdelningen får då ta ansvar för eventuellt tillkommande risker.</SPAN></P>
<P class="p567 ft85"><SPAN class="ft56">52</SPAN><SPAN class="ft84">Även en representant från AIVD ingår i WBI. Denna representant är också ordförande för WBI.</SPAN></P>
<P class="p8 ft87"><SPAN class="ft56">53</SPAN><SPAN class="ft86">Medlemmarna i WBI har rätt att inspektera säkerhetsklassificerade dokument.</SPAN></P>
<P class="p294 ft41"><SPAN class="ft56">54</SPAN><SPAN class="ft82">Se den nederländska förordningen nr 2350225/01 om inrättandet av arbetsgruppen för sär- skild informationssäkerhet den 27 juni 2005 (</SPAN><SPAN class="ft74">Instellingsregeling WBI</SPAN>).</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">281</P>
</DIV>
</DIV>
<DIV id="page_283">
<DIV id="p283dimg1">
<INGENBILD zsrc="H9B363283x1.jpg/" id="p283img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p189 ft21">på cybersäkerhetsområdet. Rådet levererar även olika typer av pro- dukter.</P>
<P class="p209 ft20">Certifieringsorgan</P>
<P class="p71 ft19"><SPAN class="ft63">TÜV Rheinland Nederland B.V. </SPAN>(TÜV Rheinland) ansvarar för att implementera och driva den nederländska certifieringsordningen för <NOBR>it-säkerhet</NOBR> (NSCIB). TÜV Rheinland är ett certifieringsorgan ackre- diterat av det nederländska ackrediteringsrådet <SPAN class="ft63">RvA</SPAN><SPAN class="ft101">55 </SPAN>som certifierar säkerheten i <NOBR>it-produkter</NOBR> och <NOBR>-system</NOBR> i enlighet med de förfaranden som anges i <NOBR>NSCIB-dokumentationen</NOBR> och <SPAN class="ft63">Common Criteria </SPAN>(CC) respektive <SPAN class="ft63">The Common Evaluation Methodology </SPAN>(CEM). I detta sammanhang är certifieringsorganet ansvarigt för att utfärda samt- liga produktcertifikat, och organet offentliggör alla certifikat utfär- dade enligt NSCIB i enlighet med villkoren i CCRA och <NOBR>SOG-IS</NOBR> MRA för internationellt erkännande.<SPAN class="ft101">56</SPAN></P>
<P class="p106 ft17">TÜV Rheinland har också till uppgift att licensiera evaluerings- företag enligt NSCIB och bedöma dessa företags tekniska rapporter. Personalen vid evalueringsföretagen måste genomgå en utbildning godkänd av TÜV Rheinland för att bli licensierade.</P>
<P class="p102 ft20">Agentschap Telecom</P>
<P class="p71 ft19">Den övergripande implementeringen av EU:s cybersäkerhetsakt hand- has av <SPAN class="ft63">Ministeriet för Ekonomi och Klimatpolitik </SPAN>som utsetts till natio- nell myndighet för cybersäkerhetscertifiering i enlighet med akten. De uppgifter som följer av cybersäkerhetsakten har ministeriet dele- gerat till landets telestyrelse, <SPAN class="ft63">Agentschap Telecom</SPAN>. <SPAN class="ft63">Agentschap Telecom </SPAN>kommer därmed att certifiera och utöva tillsyn enligt cybersäkerhets- akten.<SPAN class="ft101">57</SPAN></P>
<P class="p568 ft87"><SPAN class="ft56">55</SPAN><SPAN class="ft86">Registrerat enligt C078 för </SPAN><SPAN class="ft110">Common Criteria</SPAN>.</P>
<P class="p223 ft85"><SPAN class="ft56">56</SPAN><SPAN class="ft94">Beroende på mandat kan tillsynsmyndigheter och regelgivare ingripa i vissa stadier av pro- duktlivscykeln.</SPAN></P>
<P class="p250 ft41"><SPAN class="ft56">57</SPAN><SPAN class="ft95">Agentschap Telecom </SPAN>föreslås vidare ha ansvaret för tillsyn enligt <NOBR>NIS2-direktivet</NOBR> över sekto- rer inom energi, olja och tillhandahållande av digitala tjänster.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">282</P>
</DIV>
</DIV>
<DIV id="page_284">
<DIV id="p284dimg1">
<INGENBILD zsrc="H9B363284x1.jpg/" id="p284img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t26">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p569 ft26">Övergripande reglering av informations- och cybersäkerhet</P>
<P class="p570 ft20">Nationell cybersäkerhetsstrategi</P>
<P class="p571 ft18">I sin nationella cybersäkerhetsstrategi från 2018 konstaterar Neder- länderna att cybersäkerhet är nära kopplad till nationell säkerhet till följd av digitaliseringen i samhället. I strategin anges att förmågan ska förbättras för att kunna hantera <NOBR>IKT-överträdelser</NOBR> som hotar den nationella säkerheten. Vidare finns intresse av att tillsammans med privata aktörer bevaka utvecklingen av en certifieringsordning för leverantörer av cybersäkerhetstjänster.<SPAN class="ft79">58</SPAN></P>
<P class="p572 ft18">I cybersäkerhetsstrategin presenteras sju mål och nödvändiga åtgärder för att uppnå dessa mål. Bland dessa åtgärder ingår obliga- torisk rapportering av cyberhot och incidenter samt krav på att kritiska processer utvecklar sin förmåga att stå emot cyberattacker.<SPAN class="ft79">59 </SPAN>Det kan konstateras att Nederländerna lägger särskilt stort fokus på att förbättra cybersäkerheten i landet genom att upprätta infor- mationsdelningsstrukturer och samarbete mellan offentlig och privat sektor. Det senaste årtiondet har allt fler nya aktörer, från både offentlig och privat sektor involverats i arbetet med att utveckla den</P>
<P class="p573 ft21">nationella strategin.</P>
<P class="p574 ft20">Färdplan för cybersäkerhet i hård- och mjukvara</P>
<P class="p571 ft45"><SPAN class="ft18">I det strategiska dokumentet </SPAN>Roadmap for Digital Hard- and Soft- ware Security<SPAN class="ft79">60 </SPAN><SPAN class="ft18">erbjuds en uppsättning åtgärder för att eliminera säkerhetsgap i hård- och mjukvara, upptäcka sårbarheter och mildra deras konsekvenser under produktens hela livscykel. Som åtgärder för ökad digital säkerhet och transpararens föreslår färdplanen bl.a. standardisering och certifiering. Man önskar harmonisera de olika standardiserings- och certifieringsinitiativen så mycket som möjligt och aktivt bidra till ett brett ömsesidigt erkännande av standarder</SPAN></P>
<P class="p575 ft106"><SPAN class="ft56">58</SPAN><SPAN class="ft142">National Cyber Security Agenda – A cyber secure </SPAN><SPAN class="ft107">Netherlands, se </SPAN><NOBR><SPAN class="ft107">www.enisa.europa.eu/topics/national-cyber-security-strategies/ncss-map/national-cyber-</SPAN></NOBR><SPAN class="ft107"> </SPAN><NOBR><SPAN class="ft107">security-strategies-interactive-map/strategies/national-cyber-security-strategy-1.</SPAN></NOBR><SPAN class="ft107"> Strategin ska utvärderas årligen.</SPAN></P>
<P class="p576 ft85"><SPAN class="ft56">59</SPAN><SPAN class="ft84">2017 utarbetade Nederländernas regering även en internationell cybersäkerhetsstrategi: </SPAN><SPAN class="ft93">Building Digital Bridges. International Cyber Strategy: Towards an integrated international cyber policy</SPAN>.</P>
<P class="p577 ft41"><SPAN class="ft56">60</SPAN><SPAN class="ft82">Ministry of Economic Affairs and Climate Policy (2018). </SPAN><SPAN class="ft74">Roadmap for Digitally Secure Hardware and Software. The Hague: Ministry of Economic Affairs and Climate Policy</SPAN>.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">283</P>
</DIV>
</DIV>
<DIV id="page_285">
<DIV id="p285dimg1">
<INGENBILD zsrc="H9B363285x1.jpg/" id="p285img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft19">och certifikat.<SPAN class="ft101">61 </SPAN>Vidare insisterar man på en aktiv utveckling av det europeiska ramverket för cybersäkerhetscertifiering enligt EU:s cyber- säkerhetsakt och ett snabbt antagande av obligatorisk certifiering för specifika <NOBR>IKT-produktgrupper,</NOBR> dvs. produkter som utgör den största risken. På lång sikt bör enligt landet obligatorisk certifiering eller efterlevnad av en <NOBR>CE-märkning</NOBR> för alla produkter med internet- anslutning implementeras genom gradvis utvidgning.</P>
<P class="p70 ft20">Grundläggande informationssäkerhet i offentlig sektor</P>
<P class="p289 ft49">Baseline informatiebeveiliging Overheid <SPAN class="ft17">(BIO) är ett grundläggande ramverk för informationssäkerhet som omfattar hela den offentliga sektorn. Det är Inrikesministeriet som svarar för regleringen. Ram- verket syftar till att</SPAN></P>
<P class="p257 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">öka samordningen mellan statliga och privata aktörer och där- igenom förbättra informationssäkerheten,</SPAN></P>
<P class="p34 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">minska den administrativ bördan för regeringen och industrin,</SPAN></P>
<P class="p34 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">möta internationella regleringar och standarder, och</SPAN></P>
<P class="p34 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">minska underhållskostnaderna.</SPAN></P>
<P class="p70 ft20">Nationella <NOBR>it-säkerhetsordningar</NOBR></P>
<P class="p285 ft19">När det gäller produktcertifiering har en nederländsk certifierings- ordning på <NOBR>it-säkerhetsområdet,</NOBR> <SPAN class="ft63">NSCIB</SPAN>, inrättats för att möjliggöra evaluering och certifiering i landet av <NOBR>it-säkerhetsprodukter</NOBR> och <NOBR>-system</NOBR> på ett sätt som överensstämmer med <SPAN class="ft63">Common </SPAN><NOBR><SPAN class="ft63">Criteria</SPAN>-metodiken</NOBR> <NOBR>(ISO-standard</NOBR> 15408). AIVD<SPAN class="ft101">62</SPAN>/NLNCSA<SPAN class="ft101">63 </SPAN>är ägare av certifierings- ordningen. Självbedömning tillåts inte.</P>
<P class="p115 ft46">Vidare finns en nationell ordning för grundläggande bedömning av säkerhetsprodukter, <SPAN class="ft60">BSPA </SPAN>(Baseline Security Product Assessment), som är avsedd att bedöma lämpligheten av <NOBR>it-säkerhetsprodukter<SPAN class="ft97">64</SPAN></NOBR><SPAN class="ft97"> </SPAN>i den ”känsliga men oklassificerade” domänen, på grundläggande evaluer-</P>
<P class="p578 ft85"><SPAN class="ft56">61</SPAN><SPAN class="ft94">Nederländerna strävar efter att proaktivt skapa kopplingar till globala standardiserings- och certifieringsinitiativ via </SPAN><NOBR>NEN-standardiseringsplattformen.</NOBR></P>
<P class="p372 ft87"><SPAN class="ft56">62</SPAN><SPAN class="ft98">Algemene Inlichtingen- en Veiligheidsdienst </SPAN>(den allmänna underrättelse- och säkerhetstjänsten).</P>
<P class="p222 ft87"><SPAN class="ft56">63</SPAN><SPAN class="ft86">Nederländernas nationella byrå för kommunikationssäkerhet.</SPAN></P>
<P class="p222 ft41"><SPAN class="ft56">64</SPAN><SPAN class="ft82">Bl.a. IoT omfattas.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">284</P>
</DIV>
</DIV>
<DIV id="page_286">
<DIV id="p286dimg1">
<INGENBILD zsrc="H9B363286x1.jpg/" id="p286img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p244 ft21">ingsnivå. Kraven uttrycks i det nederländska <SPAN class="ft20">Baseline Informatie- beveiliging Rijksdienst </SPAN>(BIR).</P>
<P class="p278 ft26">Särskilda krav på IKT i säkerhetskänslig verksamhet</P>
<P class="p416 ft20">Informationssäkerhet i produkter och system</P>
<P class="p232 ft17">Som ovan berörts genomgår produkter som är av avgörande bety- delse för säkerheten hos särskild offentlig information evaluering av den nationella byrån för kommunikationssäkerhet, NBV, innan dessa ska godkännas för skydd av informationen. Efter framgångsrik evaluer- ing lämnar en arbetsgrupp för särskild informationssäkerhet, <SPAN class="ft49">WBI</SPAN>, råd till Inrikesministeriet som har att besluta om godkännande för användning av systemet eller dess komponenter.<SPAN class="ft54">65 </SPAN>Några andra natio- nella krav på certifiering av nämnda system och produkter har dock inte kunnat noteras.</P>
<P class="p131 ft20">ABDO 2017 – försvarskontrakt</P>
<P class="p124 ft18">Det nederländska försvarsdepartementets dokument <SPAN class="ft45">ABDO 2017 </SPAN>innehåller cybersäkerhetskrav för försvarskontrakt där bl.a. leveran- törer ska vidta vissa säkerhetsåtgärder. I dokumentet finns krav på att viss utrustning, såsom krypto eller specifik mjukvara för säker anslutning, endast får användas om den godkänts av ett s.k. säker- hetskontor (DISS/ISO). Godkännandet är automatiskt applicerbart också på utrustning som har godkänts av NBV. Sådan utrustning är föremål för en evaluering av NBV. Byråns godkännande gäller i prin- cip för staten. Det automatiska godkännandet av säkerhetskontoret innebär att utrustningen också kan användas utanför staten med hänsyn till ett hemligt avtal av försvarsdepartementet. En lista över utrustning godkänd av NBV finns tillgänglig på nätet. Säkerhets- kontors godkännande gäller också automatiskt för utrustning som har godkänts av försvarsdepartementets säkerhetsmyndighet. Säker- hetskontoret kan också godkänna utrustning själv.</P>
<P class="p579 ft113"><SPAN class="ft56">65</SPAN><SPAN class="ft119">Detta följer av den nederländska förordningen nr 2350225/01 </SPAN><SPAN class="ft121">om inrättandet av arbetsgruppen för särskild informationssäkerhe</SPAN>t (<SPAN class="ft121">Instellingsregeling WBI</SPAN>, <NOBR>2005-06-27).</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">285</P>
</DIV>
</DIV>
<DIV id="page_287">
<DIV id="p287dimg1">
<INGENBILD zsrc="H9B363287x1.jpg/" id="p287img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p201 ft48"><SPAN class="ft48">9.6</SPAN><SPAN class="ft78">Tyskland</SPAN></P>
<P class="p221 ft26">Aktörer inom informations- och cybersäkerhet</P>
<P class="p420 ft20">BSI – federal byrå för informationssäkerhet</P>
<P class="p220 ft18">I Tyskland har den federala byrån för informationssäkerhet, <SPAN class="ft45">Bunde- samt für Sicherheit in der Informationstechnik </SPAN>(BSI), till uppgift att på nationell nivå främja säkerhet inom it och försvara mot cyber- säkerhetshot. BSI är även det nationella certifieringsorganet för federal <NOBR>it-säkerhet.<SPAN class="ft79">66</SPAN></NOBR><SPAN class="ft79"> </SPAN>Byrån är underordnad det federala inrikesmini- steriet, <SPAN class="ft45">das Bundesministerium des Innern</SPAN>, och ska informera mini- steriet om sin verksamhet. Uppgifterna inbegriper bl.a.</P>
<P class="p34 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">testning och evaluering av säkerheten i </SPAN><NOBR>it-system,</NOBR></P>
<P class="p34 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">utfärdande av säkerhetscertifikat,</SPAN></P>
<P class="p363 ft19"><SPAN class="ft21">–</SPAN><SPAN class="ft160">drift av krypto- och säkerhetshanteringssystem för federala in- formationssäkerhetssystem som används inom statlig säkerhet (eller andra av myndigheten särskilt utpekade områden),</SPAN></P>
<P class="p580 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">rådgivning om och genomförande av tekniska tester för att skydda viss officiellt hemlig information mot obehörig åtkomst,</SPAN></P>
<P class="p449 ft18"><SPAN class="ft21">–</SPAN><SPAN class="ft66">utveckling av säkerhetskrav för federal it och lämplighetskrav på entreprenörer inom </SPAN><NOBR>it-området</NOBR> med speciella skyddsbehov, och</P>
<P class="p581 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">tillhandahållande av </SPAN><NOBR>it-säkerhetsprodukter</NOBR> och stöd till federala myndigheter som ansvarar för <NOBR>it-säkerhet.</NOBR></P>
<P class="p241 ft18">För att fullgöra sina uppgifter kan BSI bl.a. rekommendera säker- hetsåtgärder och användning av vissa säkerhetsprodukter. BSI kan vidare fastställa minimistandarder avseende säkerhetskrav för att säkra federal it.<SPAN class="ft79">67 </SPAN>BSI tillhandahåller även tekniska riktlinjer och specifika- tioner som används av de federala myndigheterna som en ram för utveckling av krav på entreprenörer och <NOBR>it-produkter</NOBR> vid upphandling.<SPAN class="ft79">68 </SPAN>I nationell rätt kan föreskrivas att federala myndigheter är skyldiga att införskaffa <NOBR>it-säkerhetsprodukter</NOBR> av BSI. Som certifieringsorgan har BSI även att erkänna, bedöma och utbilda evalueringsföretag.</P>
<P class="p201 ft87"><SPAN class="ft56">66</SPAN><SPAN class="ft86">Vid BSI finns bl.a. funktionerna </SPAN><NOBR><SPAN class="ft110">CERT-Bund</SPAN></NOBR><SPAN class="ft110"> </SPAN>och <SPAN class="ft110">Nationales </SPAN><NOBR><SPAN class="ft110">IT-Lagezentrum</SPAN>.</NOBR></P>
<P class="p222 ft87"><SPAN class="ft56">67</SPAN><SPAN class="ft86">Beträffande framtagandet av minimistandarder för </SPAN><NOBR>it-säkerhet</NOBR> i vissa sektorer, se nedan.</P>
<P class="p222 ft41"><SPAN class="ft56">68</SPAN><SPAN class="ft82">BSI bör involveras i ett tidigt skede i större federala digitaliseringsprojekt.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">286</P>
</DIV>
</DIV>
<DIV id="page_288">
<DIV id="p288dimg1">
<INGENBILD zsrc="H9B363288x1.jpg/" id="p288img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p215 ft17">BSI får dock inte utfärda någon säkerhetscertifiering om det finns motstridande tvingande allmänna intressen, särskilt avseende natio- nella säkerhetsangelägenheter.<SPAN class="ft54">69</SPAN></P>
<P class="p186 ft17">Om <NOBR>it-säkerhetsbrister</NOBR> upptäcks kan BSI, i samråd med behöriga tillsynsmyndigheter<SPAN class="ft54">70</SPAN>, beordra utövare av kritisk verksamhet att åt- gärda bristerna.<SPAN class="ft54">71</SPAN></P>
<P class="p131 ft20">Allians för cybersäkerhet</P>
<P class="p148 ft17"><SPAN class="ft49">Allianz für </SPAN><NOBR><SPAN class="ft49">Cyber-Sicherheit</SPAN></NOBR><SPAN class="ft49"> </SPAN>grundades 2012 och ger nationella myn- digheter, företag och föreningar en samarbetsplattform genom vil- ken information om aktuella hot och praktiska cybersäkerhetsåtgär- der kan utbytas. Deltagarna drar nytta av kunskapen och de många engagerade partnerna och kan därmed förbättra skyddet av sin egen <NOBR>it-infrastruktur.</NOBR> Som medlem kan man även få tillgång till BSI:s exper- tis på området.</P>
<P class="p131 ft20">ZITiS – centralkontor för it i säkerhetssektorn</P>
<P class="p110 ft18">I syfte att kontinuerligt utveckla säkerhetsmyndigheternas tekniska färdigheter och förhindra skada till följd av cyberaktivitet inrättades under det federala inrikesministeriet ett kontor för it i säkerhets- sektorn, <SPAN class="ft45">Zentrale Stelle für Informationstechnik im Sicherheitsbereich </SPAN>(ZITiS). ZITiS är en del av Tysklands cybersäkerhetsstrategi (se nedan). Kontoret tillhandahåller på detta område tjänster till säkerhetsmyn- digheterna i Tyskland. ZITiS uppgifter utgår från de nationella säker- hetsmyndigheternas behov. Uppgifterna inbegriper bl.a. telekom- munikationsövervakning, analys av krypto och stordata samt tekniska frågor om säkerhet. Också kvalitetssäkring av de produkter som an- vänds ingår i tjänsterna. Kontoret bidrar med rådgivning och support</P>
<P class="p582 ft93"><SPAN class="ft56">69</SPAN><SPAN class="ft84">Se lagen om BSI: </SPAN>Gesetz über das Bundesamt für Sicherheit in der Informationstechnik <SPAN class="ft85">(BSI- Gesetz – BSIG).</SPAN></P>
<P class="p434 ft85"><SPAN class="ft56">70</SPAN><SPAN class="ft84">T.ex. utövar den federala myndigheten </SPAN><SPAN class="ft93">Bundesnetzagentur </SPAN>tillsyn över områdena elektricitet, gas, telekommunikation, post och järnväg.</P>
<P class="p542 ft87"><SPAN class="ft56">71</SPAN><SPAN class="ft86">Enligt konstitutionell lag har den federala regeringen ingen behörighet att anta regler be- träffande organisationen och funktionen av de offentliga tjänster eller funktioner som till- handahålls av federala stater, utan den behöriga myndigheten på nationell nivå är BSI. Det är BSI som ansvarar för att förebygga och bedöma cyberhot samt utgör den primära tillsyns- myndigheten för </SPAN><NOBR>IKT-system</NOBR> i kritisk infrastruktur.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">287</P>
</DIV>
</DIV>
<DIV id="page_289">
<DIV id="p289dimg1">
<INGENBILD zsrc="H9B363289x1.jpg/" id="p289img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p189 ft21">men har inga befogenheter att ingripa och är inte någon upphand- lingsorganisation.</P>
<P class="p209 ft20">Sektorsmyndigheter</P>
<P class="p76 ft17">I specifika sektorer, t.ex. banksektorn, kan den behöriga sektors- myndigheten fastställa minimistandarder för <NOBR>it-säkerhet.</NOBR></P>
<P class="p102 ft26">Övergripande reglering av informations- och cybersäkerhet</P>
<P class="p413 ft20">Nationell cybersäkerhetsstrategi</P>
<P class="p220 ft18">2016 antog Tyskland en uppdaterad nationell cybersäkerhetsstra- tegi<SPAN class="ft79">72 </SPAN>som tillhandahåller ett strategiskt ramverk för federal cyber- säkerhetsverksamhet. Strategin uppmärksammar bl.a. behovet av att såväl statliga institutioner samarbetar för att säkerställa cybersäker- het som att regeringen arbetar tillsammans med industrin.</P>
<P class="p106 ft19">Att staten har egna säkra informationssystem framhålls som sär- skilt angeläget. Inrättandet av ZITiS är en del av strategin. Att risk- analyser görs och säkra system används, genom tillämpning av lämp- liga säkerhetsprodukter och standarder, är vägledande principer enligt strategin. Det ska ske återkommande utvärderingar av strategin som syftar till att hålla det rättsliga ramverket uppdaterat i förhållande till den snabba tekniska utvecklingen.</P>
<P class="p102 ft20">Reglering och certifiering av <NOBR>it-säkerhet</NOBR></P>
<P class="p71 ft46">BSI:s övergripande uppgifter och befogenheter regleras i en särskild lag, den s.k. <NOBR>BSI-lagen.<SPAN class="ft97">73</SPAN></NOBR><SPAN class="ft97"> </SPAN><NOBR>It-säkerhet</NOBR> hos kritiska infrastrukturer be- handlas särskilt. Verksamhetsutövare i samhällsviktiga sektorer åläggs vissa skyldigheter i lagen, såsom att vidta lämpliga och proportio- nella säkerhetsåtgärder för sina <NOBR>it-system,</NOBR> <NOBR>-komponenter</NOBR> eller <NOBR>-pro-</NOBR></P>
<P class="p583 ft107"><SPAN class="ft56">72</SPAN><SPAN class="ft154">Se </SPAN><NOBR>www.enisa.europa.eu/topics/national-cyber-security-strategies/ncss-map/national-</NOBR> <NOBR>cyber-security-strategies-interactive-map/strategies/cyber-security-strategy-certifiering</NOBR> for- germany. Den föregående cybersäkerhetsstrategin var från 2011.</P>
<P class="p226 ft87"><SPAN class="ft56">73</SPAN><SPAN class="ft90">Genom en lag för att öka säkerheten för </SPAN><NOBR>it-system</NOBR> (<SPAN class="ft110">Gesetz zur Erhöhung der Sicherheit informa- tionstechnischer Systeme</SPAN>) från 2015 har införts diverse ändringar av <NOBR>it-säkerhetsregleringar</NOBR> i sektorslagar för kritisk infrastruktur samt befintlig lag om BSI så att byråns uppgifter och befogenheter utvidgats.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">288</P>
</DIV>
</DIV>
<DIV id="page_290">
<DIV id="p290dimg1">
<INGENBILD zsrc="H9B363290x1.jpg/" id="p290img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p244 ft17">cesser samt att rapportera cybersäkerhetsincidenter till BSI. Certi- fiering är ett sätt som verksamhetsutövarna kan visa på överensstäm- melse med säkerhetskraven. Ingen särskild certifieringsordning eller godkännandeförfarande krävs enligt lag. Överträdelser av skyldighe- terna i fråga om <NOBR>it-säkerhet<SPAN class="ft54">74</SPAN></NOBR><SPAN class="ft54"> </SPAN>och rapportering kan föranleda admi- nistrativa sanktioner.</P>
<P class="p11 ft45"><SPAN class="ft18">Genom </SPAN>Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme<SPAN class="ft18">, som är en lag om </SPAN><NOBR><SPAN class="ft18">it-säkerhet,</SPAN></NOBR><SPAN class="ft18"> har den tyska lagstiftaren före- skrivit obligatoriska åtgärder för att uppnå en enhetlig nivå av säker- het i nätverk och informationssystem inom vissa kritiska infrastruk- turer. I lagen har införts bestämmelserna om kritisk infrastruktur i </SPAN><NOBR><SPAN class="ft18">BSI-lagen</SPAN></NOBR><SPAN class="ft18"> som till stor del är i överensstämmelse med säkerhets- kraven i </SPAN><NOBR><SPAN class="ft18">NIS-direktivet.</SPAN><SPAN class="ft79">75</SPAN></NOBR></P>
<P class="p58 ft18">BSI får utfärda cybersäkerhetscertifikat efter att överensstäm- melse med uppställda krav bedömts. När BSI gör sin granskning kan den använda sig av en kvalificerad oberoende tredje part.<SPAN class="ft79">76 </SPAN>Utfärdan- det av certifikat förutsätter att det federala inrikesministeriet bestämt att certifikatutfärdande inte skulle strida mot tvingande allmänna in- tressen, i synnerhet nationella säkerhetsangelägenheter.</P>
<P class="p11 ft18">I enlighet med förordningen om utfärdande av säkerhetscertifikat och erkännanden av BSI, <NOBR><SPAN class="ft45">BSI-Zertifizierungs-</SPAN></NOBR><SPAN class="ft45"> und </SPAN><NOBR><SPAN class="ft45">-Anerkennungs-</SPAN></NOBR><SPAN class="ft45"> verordnung – BSIZertV</SPAN>, fastställer BSI förfaranden för certifiering av <NOBR>it-produkter,</NOBR> <NOBR>-komponenter,</NOBR> <NOBR>-system</NOBR> och skyddsprofiler vad gäller testkriterier, krav på utrustning och tillförlitlighet.<SPAN class="ft79">77 </SPAN>Regleringen ger även BSI i uppdrag att erkänna och kontrollera behöriga expertorgan.<SPAN class="ft79">78</SPAN></P>
<P class="p584 ft87"><SPAN class="ft56">74</SPAN><SPAN class="ft86">Det är obligatoriskt att åtgärda </SPAN><NOBR>it-säkerhetsbrister.</NOBR></P>
<P class="p562 ft107"><SPAN class="ft56">75</SPAN><SPAN class="ft105">I den utsträckning som kraven i </SPAN><NOBR>NIS-direktivet</NOBR> inte redan fastställdes i <NOBR>it-säkerhetslagen</NOBR> ändrades <NOBR>BSI-lagen</NOBR> i enlighet med detta 2017. En andra version av <NOBR>it-säkerhetslagen</NOBR> håller på att utarbetas. Den nya lagen strävar efter att hålla jämna steg med den tekniska utvecklingen och stärka den rättliga ramen inom tre området: (1) skydd av kritisk infrastruktur i den privata sektorn inklusive kritiska komponenter och företag av särskilt allmänintresse, (2) konsument- skydd, och (3) skydd av federala <NOBR>it-system.</NOBR></P>
<P class="p434 ft85"><SPAN class="ft56">76</SPAN><SPAN class="ft84">BSI kan i sammanhanget definiera krav för hur säkerhetsgranskning och certifiering ska implementeras och vilka bevis som behöver tillhandahållas.</SPAN></P>
<P class="p437 ft85"><SPAN class="ft56">77</SPAN><SPAN class="ft84">BSI ska som utgångspunkt publicera listor över certifierade </SPAN><NOBR>it-system,</NOBR> <NOBR>-produkter</NOBR> och <NOBR>-kom-</NOBR> ponenter samt skyddsprofiler på internet. Sökande underkastar sig ett flertal skyldigheter att bistå och tillmötesgå BSI. BSI kan när som helst kontrollera om vissa krav för certifiering är uppfyllda.</P>
<P class="p585 ft58"><SPAN class="ft56">78</SPAN><SPAN class="ft99">Die Deutsche Akkreditierungsstelle GmbH </SPAN>(DAkkS) är det nationella ackrediteringsorganet i Tyskland i enlighet med förordningen (EG) nr 765/2008 <SPAN class="ft100">om krav för ackreditering</SPAN>.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">289</P>
</DIV>
</DIV>
<DIV id="page_291">
<DIV id="p291dimg1">
<INGENBILD zsrc="H9B363291x1.jpg/" id="p291img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p255 ft20">Riktlinjer för federal cybersäkerhet</P>
<P class="p220 ft18">Regimen för cybersäkerhet inom den federala administrationen fast- ställs i <SPAN class="ft45">Umsetzungsplan </SPAN><NOBR><SPAN class="ft45">Bund</SPAN>-riktlinjerna.</NOBR> Dessa är endast bindande för den federala administrationen och föreskriver att ett informa- tionssäkerhetshanteringssystem (ISMS) måste implementeras och underhållas i enlighet med <SPAN class="ft45">BSI </SPAN><NOBR><SPAN class="ft45">IT-Grundschutz</SPAN>.</NOBR></P>
<P class="p105 ft17">Statliga myndigheter kan certifieras enligt ISO 27001 på grundval av <SPAN class="ft49">BSI </SPAN><NOBR><SPAN class="ft49">IT-Grundschutz</SPAN>.</NOBR> Certifikatet bekräftar då att <NOBR>it-säkerhetskon-</NOBR> ceptet uppfyller kraven i ISO 27001.</P>
<P class="p70 ft26">Särskilda krav på IKT i säkerhetskänslig verksamhet</P>
<P class="p420 ft20">Allmänt om <NOBR>it-system</NOBR> som behandlar klassificerad information</P>
<P class="p586 ft17">En förutsättning för användning av <NOBR>it-system</NOBR> för klassificerad infor- mation är ett informationssäkerhetskoncept i enlighet med standar- derna för <SPAN class="ft49">BSI </SPAN><NOBR><SPAN class="ft49">IT-Grundschutz</SPAN>,</NOBR> som <NOBR>it-säkerhetsansvariga</NOBR> ansvarar för. Dessutom finns krav på sekretesskydd som går utöver det grund- läggande <NOBR>it-skyddet</NOBR> och som ska definieras av säkerhetschefer enligt <SPAN class="ft49">VSA Bund</SPAN>.</P>
<P class="p70 ft20">Certifiering enligt tekniska riktlinjer</P>
<P class="p220 ft18">Utöver certifieringen av <NOBR>it-produkter</NOBR> och <NOBR>-system</NOBR> med avseende på deras säkerhetsfunktioner tillhandahåller BSI även tjänsten att certi- fiera enligt tekniska riktlinjer avseende särskilda funktionskrav. En certifiering enligt tekniska riktlinjer krävs om implementeringen av särskilda funktionskrav är avgörande för driften av en <NOBR>it-produkt</NOBR> eller ett <NOBR>it-system.</NOBR> Detta gäller i synnerhet <NOBR>it-produkter</NOBR> eller <NOBR>-system</NOBR> som är avsedda att sättas in i säkerhetskänsliga domäner i Tyskland. Stor vikt läggs här vid krav som rör elektronisk manipulationsresistens, driftsäkerhet och interoperabilitet.<SPAN class="ft79">79</SPAN></P>
<P class="p106 ft21">Befintliga tekniska riktlinjer gäller för bl.a. smartkortläsare, lag- ring av kryptografiskt signerade dokument och kommunikations-</P>
<P class="p587 ft41"><SPAN class="ft56">79</SPAN><SPAN class="ft81">Tekniska riktlinjer som specificerar dessa krav har utvecklats och släppts av BSI i nära sam- arbete med industrin.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">290</P>
</DIV>
</DIV>
<DIV id="page_292">
<DIV id="p292dimg1">
<INGENBILD zsrc="H9B363292x1.jpg/" id="p292img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p588 ft21">processer<SPAN class="ft102">80 </SPAN>för officiella dokument. Nya tekniska riktlinjer utvecklas för att möta krav på nationell säkerhet eller för att tillgodose vissa behov av allmänt intresse.</P>
<P class="p262 ft18">Tillverkare och distributörer kan ansöka om certifiering enligt tekniska riktlinjer och få en bedömning av överensstämmelse av sina <NOBR>it-produkter</NOBR> eller <NOBR>-system</NOBR> utfärdad av BSI. Vid certifieringsförfaran- det genomgår <NOBR>it-produkten</NOBR> eller <NOBR>-systemet</NOBR> en oberoende evaluering av överensstämmelse baserat på de testspecifikationer som definieras i den tekniska riktlinjen. Evalueringen av överensstämmelse sker under överinseende av BSI. Efter framgångsrik bedömning av överensstäm- melse utfärdar BSI ett certifikat för <NOBR>it-produkten</NOBR> eller <NOBR>-systemet.</NOBR></P>
<P class="p589 ft20">Allmänna administrativa instruktioner för skyddet av klassificerat material</P>
<P class="p512 ft18">2006 utfärdade det federala inrikesministeriet <SPAN class="ft45">Verschlusssachenan- weisung – VSA Bund</SPAN><SPAN class="ft79">81 </SPAN>som är allmänna administrativa instruktioner för det fysiska och organisatoriska skyddet av klassificerat material<SPAN class="ft79">82</SPAN>. Instruktionerna riktar sig till statliga organisationer som arbetar med klassificerat material<SPAN class="ft79">83 </SPAN>och därmed måste vidta försiktighetsåtgärder för att skydda det. Instruktionerna anger att vissa åtgärder för it- säkerhet ska vidtas. Enligt instruktionerna ska <NOBR>”State-of-the-art”-åt-</NOBR> gärder vidtas för att skydda klassificerat material mot risk för förlust av konfidentialitet, tillgänglighet eller integritet.<SPAN class="ft79">84 </SPAN>Klassificerat mate- rial får endast bearbetas på <NOBR>it-system</NOBR> som är begränsade till att an-</P>
<P class="p590 ft107"><SPAN class="ft56">80</SPAN><SPAN class="ft105">Kommunikationsmodellen som beskrivs i </SPAN><NOBR><SPAN class="ft106">BSI-TR-03132</SPAN></NOBR><SPAN class="ft106"> </SPAN>gäller för kommunikation mellan myndigheter och skapare av dokument. En del av kommunikationen kräver certifikat. Kryp- tering är också en säkerhetsåtgärd som måste vidtas för vissa meddelandetyper. Utöver denna tekniska riktlinje finns en tillhörande testspecifikation som definierar testkrav för att bestämma riktigheten av genomförandet av kraven som anges i den tekniska riktlinjen.</P>
<P class="p591 ft93"><SPAN class="ft56">81</SPAN><SPAN class="ft103">Allgemeine Verwaltungsvorschrift des Bundesministeriums des Innern zum materiellen und organisatorischen Schutz von Verschlusssachen</SPAN><SPAN class="ft85">.</SPAN></P>
<P class="p592 ft107"><SPAN class="ft56">82</SPAN><SPAN class="ft105">Klassificerat material avser information, föremål eller fakta som i allmänhetens intresse måste hållas hemliga, i synnerhet för att skydda den federala regeringens eller en federal stats välfärd, oavsett i vilken form materialet presenteras. </SPAN><NOBR>Affärs-,</NOBR> <NOBR>drifts-,</NOBR> <NOBR>uppfinnings-,</NOBR> skatte- eller andra privata hemligheter eller omständigheter i den personliga sfären kan också vara föremål för sekretess i allmänhetens intresse enligt <SPAN class="ft106">VSA Bund</SPAN>.</P>
<P class="p593 ft85"><SPAN class="ft56">83</SPAN><SPAN class="ft84">Med klassificerat material avses alla uppgifter och föremål som behöver hållas hemliga i all- mänhetens intresse, oavsett form.</SPAN></P>
<P class="p264 ft58"><SPAN class="ft56">84</SPAN><SPAN class="ft96">Departement som använder it för att bearbeta klassificerat material ska tillsätta </SPAN><NOBR>it-specia-</NOBR> lister med ansvar för informationssäkerheten. Bara personer med vederbörligt godkännande får arbeta med klassificerat material. Behovet av godkännande för militära säkerhetsändamål ska bestämmas av det federala försvarsministeriet. Se även lagen <SPAN class="ft100">Sicherheitsüberprüfung </SPAN>om säkerhetskontroll och <NOBR>-godkännande</NOBR> av personer som ska utöva säkerhetskänslig verksamhet, där <SPAN class="ft100">Bundesamt für Verfassungsschutz </SPAN>utför kontroll på uppdrag av anställande myndighet.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">291</P>
</DIV>
</DIV>
<DIV id="page_293">
<DIV id="p293dimg1">
<INGENBILD zsrc="H9B363293x1.jpg/" id="p293img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft18">vända hård- och mjukvara som godkänts av chefer på myndigheten. Vidare kräver säkerhetsrelaterade ändringar av auktoriserade <NOBR>it-system</NOBR> förhandsgodkännande av berörda säkerhetsansvariga. Tekniska medel för att skydda klassificerat material måste inspekteras av BSI och bedömas lämpliga. <NOBR>It-system</NOBR> som ska behandla klassificerat material måste inspekteras av säkerhetsansvariga före användning. När det gäller undersökningen av om nödvändiga säkerhetsåtgärder vidtagits för komplexa <NOBR>it-system</NOBR> bör BSI konsulteras.</P>
<P class="p594 ft21">BSI ska hjälpa till med genomförandet av instruktionerna.<SPAN class="ft102">85 </SPAN>Bl.a. ska BSI bedöma lämpligheten av tekniska medel som ska skydda klassificerat material.</P>
<P class="p139 ft18">BSI ska vidare godkänna produkter med säkerhetsfunktioner för it, bl.a. produktion av nyckelmaterial, kryptering och nätseparation som ska användas till klassificerat material måste ha godkänts av.<SPAN class="ft79">86 </SPAN>Godkännandet måste också innehålla nödvändiga specifikationer an- gående användnings- och driftsvillkor. Produkter som har funktioner för kontroll av systemåtkomst, produktion av klassificerat material, loggning, förebyggande av manipulering av <NOBR>it-system,</NOBR> eller registrer- ing – och som används för material som klassificeras som konfiden- tiellt – <SPAN class="ft45">bör </SPAN>ha godkänts av BSI. Myndighetschefer kan tillåta användning av andra produkter, särskilt om inga lämpliga godkända produkter finns tillgängliga och det inte är möjligt att få några sådana i tid. Sådana andra produkter inkluderar särskilt produkter som certifierats av BSI i enlighet med <SPAN class="ft45">Common Criteria</SPAN>, med användning av nationella skydds- profiler. Tills nationella skyddsprofiler blir tillgängliga kan andra BSI- certifierade produkter också användas.<SPAN class="ft79">87</SPAN></P>
<P class="p106 ft18">Godkännanden ska rangordnas efter behovet av skydd för it- applikationer för klassificerat material, på grundval av allmänt veder- tagna säkerhetskriterier och förfaranden, som ska kompletteras med särskilda attackskyddstester när det är nödvändigt. Ytterligare detal- jer ska anges av BSI i en s.k. godkännandeplan som ska godkännas av federala inrikesministeriet.</P>
<P class="p106 ft18">Om <NOBR>it-system</NOBR> ska användas för hemligt material måste säker- hetsansvariga låta BSI utföra vissa tekniska tester av <NOBR>it-systemet</NOBR> för</P>
<P class="p595 ft58"><SPAN class="ft56">85</SPAN><SPAN class="ft57">Hjälpen inkluderar teknisk testning och utbildning. BSI kan anlita tjänster från andra organ för stöd i detta arbete, men om privata organ ska vara inblandade krävs förhandsgodkännande av det federala inrikesministeriet. Inom försvarsministeriets område ska dessa uppgifter ut- föras av den militära underrättelsetjänsten </SPAN><SPAN class="ft100">MAD </SPAN>i samarbete med BSI.</P>
<P class="p222 ft87"><SPAN class="ft56">86</SPAN><SPAN class="ft86">För begränsat hemligt material avser kraven bara kryptering.</SPAN></P>
<P class="p222 ft41"><SPAN class="ft56">87</SPAN><SPAN class="ft82">Vid valet av alternativa produkter ska BSI:s upphandlingsguide användas.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">292</P>
</DIV>
</DIV>
<DIV id="page_294">
<DIV id="p294dimg1">
<INGENBILD zsrc="H9B363294x1.jpg/" id="p294img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p130 ft18">att se om nödvändiga <NOBR>it-säkerhetsfunktioner</NOBR> implementerats korrekt. När nätverksbaserade <NOBR>it-system</NOBR> används för klassificerat material kan även säkerhetsansvariga behöva genomföra ett penetrationstest.</P>
<P class="p147 ft48"><SPAN class="ft48">9.7</SPAN><SPAN class="ft78">Frankrike</SPAN></P>
<P class="p6 ft26">Aktörer inom informations- och cybersäkerhet</P>
<P class="p416 ft20">ANSSI – nationell cybersäkerhetsmyndighet</P>
<P class="p232 ft45">Agence nationale de la sécurité des systèmes d’information <SPAN class="ft18">(ANSSI) är den nationella myndigheten för cyberförsvar och nätverks- och informationssäkerhet. ANSSI är vidare behörig myndighet för skydds- värda informationssystem. Myndigheten rapporterar till general- sekreteraren för försvar och nationell säkerhet (Secrétariat général de la défense et de la sécurité nationale, SGDSN).</SPAN><SPAN class="ft79">88 </SPAN><SPAN class="ft18">ANSSI fastställer tekniska och organisatoriska cybersäkerhetsregler för samhällsviktiga sektorer och godkänner aktörer som ska utöva verksamhet i dessa sek- torer. ANSSI:s godkännande är även nödvändigt när det gäller vissa produkter och system med säkerhetsfunktioner som ska användas i verksamhet som avser nationell säkerhet (se nedan).</SPAN><SPAN class="ft79">89</SPAN></P>
<P class="p216 ft17">Vid ANSSI finns ett certifieringsorgan som utfärdar certifikat för <NOBR>it-produkter</NOBR> och föreskriver metoder och evalueringskriterier. Vidare behöver evalueringsföretag licensieras av ANSSI. ANSSI prövar sedan att evalueringsföretagen upprätthåller kompetensen i förhållande till dess licens.<SPAN class="ft54">90</SPAN></P>
<P class="p596 ft107"><SPAN class="ft56">88</SPAN><SPAN class="ft105">På nationell nivå har generalsekreteraren för försvar och nationell säkerhet, SGDSN, å pre- miärministerns vägnar ansvaret för att styra den nationella politiken för säkerheten hos infor- mationssystem, inbegripet definiering och koordinering av policy gällande skydd för klassi- ficerad information. För att göra detta är SGDSN beroende av ANSSI.</SPAN></P>
<P class="p437 ft85"><SPAN class="ft56">89</SPAN><SPAN class="ft84">ANSSI ger vidare säkerhetsrekommendationer i fråga om tillhandahållare av kvalificerade betrodda tjänster. Kvalificering av en tjänsteleverantör intygar att denne uppfyller kraven från ANSSI på kompetens och i standarder. Det finns bl.a. kvalificerade granskare av säkerhet i informationssystem (PASSI).</SPAN></P>
<P class="p542 ft85"><SPAN class="ft56">90</SPAN><SPAN class="ft84">ANSSI har tagit fram en vägledning för certifieringsprocessen och en guide för utarbetandet av en säkerhetspolicy för informationssystem (PSSI Guide). Målet med </SPAN><NOBR>PSSI-guiden</NOBR> är att ge support till informationssystemens säkerhetschefer för att utveckla en <NOBR>it-säkerhetspolicy</NOBR> inom sina organisationer. Den fokuserar på 16 domäner inom cybersäkerhet, särskilt informa- tionssystem, säkerhetsriskhantering, assurans och certifiering, incidenthantering samt planer- ing av företagskontinuitet. ANSSI anger även detaljerade regler för säkerheten hos informa- tionssystem i små och medelstora företag i sin guide om god <NOBR>it-praxis,</NOBR> <SPAN class="ft93">Guide des bonnes pratiques de l’informatique</SPAN>.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">293</P>
</DIV>
</DIV>
<DIV id="page_295">
<DIV id="p295dimg1">
<INGENBILD zsrc="H9B363295x1.jpg/" id="p295img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p255 ft20">AQSSI – Kvalificerade myndigheter för säkerhet i informationssystem</P>
<P class="p220 ft45"><SPAN class="ft18">På lokal nivå finns en organisation, </SPAN>Autorité qualifiée pour la sécurité des systèmes <SPAN class="ft18">(AQSSI), med ansvar för informationssystemsäkerhet i förvaltning, offentliga anläggningar och decentraliserade tjänster. Chefen för organisationen ska definiera en säkerhetspolicy för infor- mationssystem och säkerhetsställa genomförandet av gällande re- glering. AQSSI ska också utse s.k. godkännandemyndigheter för be- rörda system (se nedan).</SPAN></P>
<P class="p70 ft20">CESTI – evalueringscenter</P>
<P class="p399 ft49">Centre d’Évaluation de la Sécurité des Technologies de l’Information <SPAN class="ft17">(CESTI) utför oberoende och opartiska evalueringar vid certifier- ingsprocesser enligt </SPAN>Common Criteria <SPAN class="ft17">och/eller den nationella ord- ningen för grundläggande säkerhetscertifiering av </SPAN><NOBR><SPAN class="ft17">it-produkter</SPAN></NOBR><SPAN class="ft17"> (CSPN). Evalueringscentret är godkänt av ANSSI.</SPAN></P>
<P class="p70 ft26">Övergripande reglering av informations- och cybersäkerhet</P>
<P class="p413 ft20">Nationell strategi och informationssystem</P>
<P class="p289 ft17">Frankrike har antagit en nationell cybersäkerhetsstrategi som gäller sedan 2015<SPAN class="ft54">91 </SPAN>– och i samband med det har man framhållit vikten av att prioritera införlivandet av cybersäkerhet i kritisk infrastruktur, s.k. skydd av kritisk informationsinfrastruktur (CIIP).</P>
<P class="p105 ft17">Alla informationssystem i statlig förvaltning omfattas av särskilda säkerhetskrav (se nedan). Behovet av att använda produkter och tjäns- ter som är kvalificerade enligt ANSSI samt att skydda myndighe- ternas mest känsliga uppgifter på det nationella territoriet är fram- trädande i det nationella systemet.</P>
<P class="p211 ft18">ANSSI har länge rekommenderat en process för säkerhetsgod- kännande av informationssystem för att bygga förtroende för syste- men och deras framtida drift. Som utgångspunkt är det dock chefen för den berörda organisationen som ska fatta beslutet om godkännande.</P>
<P class="p597 ft58"><SPAN class="ft56">91</SPAN><SPAN class="ft57">Se </SPAN><NOBR>www.enisa.europa.eu/topics/national-cyber-security-strategies/ncss-map/national-</NOBR> <NOBR>cyber-security-strategies-interactive-map/strategies/information-systems-defence-and-</NOBR> <NOBR>security-frances-strategy.</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">294</P>
</DIV>
</DIV>
<DIV id="page_296">
<DIV id="p296dimg1">
<INGENBILD zsrc="H9B363296x1.jpg/" id="p296img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p90 ft20">Nationell certifieringsordning</P>
<P class="p232 ft45">Certification de Sécurité de Premier Niveau <SPAN class="ft18">(CSPN) är en nationell certifieringsordning för säkerhetscertifiering av </SPAN><NOBR><SPAN class="ft18">it-produkter</SPAN></NOBR><SPAN class="ft18"> på grund- läggande nivå, som tagits fram, ägs och drivs av ANSSI, där evaluer- ing ska utföras av en oberoende tredje part licensierad av ANSSI.</SPAN><SPAN class="ft79">92 </SPAN><SPAN class="ft18">Certifieringsordningen avser att uppfylla kraven i artikel 54 i EU:s cybersäkerhetsakt (om minimikomponenter) och är redan delvis kom- patibel med akten. Syftet med evaluering och certifiering enligt ord- ningen är att bedöma en produkts motståndskraft mot en måttlig nivå av angrepp. ANSSI är certifieringsorgan och utfärdar nationellt giltiga certifikat.</SPAN></P>
<P class="p131 ft20">Riktlinjer för grundskydd av myndigheters <NOBR>it-system</NOBR></P>
<P class="p124 ft18"><SPAN class="ft45">Référentiel Général de Sécurité </SPAN>(RGS) är riktlinjer som tillhandahålls av ANSSI, avser ett grundskydd<SPAN class="ft79">93 </SPAN>som gäller för <NOBR>it-system</NOBR> som an- vänds av administrativa myndigheter. Myndigheterna är skyldiga att säkerställa säkerheten hos sitt elektroniska datautbyte och sin kom- munikation. Här är dataskydd en viktig aspekt.</P>
<P class="p147 ft20">Industriella informations- och styrsystem</P>
<P class="p132 ft17">ANSSI har tagit fram ett dokument med rekommendationer och direktiv till stöd för ökad cybersäkerhet i industriella informations- och styrsystem där certifiering och godkännandeprocesser är åter- kommande inslag.<SPAN class="ft54">94 </SPAN>Bl.a. ska vissa tjänster<SPAN class="ft54">95</SPAN>, produkter<SPAN class="ft54">96</SPAN>, metoder och personer<SPAN class="ft54">97 </SPAN>vara certifierade.</P>
<P class="p598 ft85"><SPAN class="ft56">92</SPAN><SPAN class="ft84">Även verksamhetsutövare omfattas av certifieringsordningen. Ordningen tillåter för övrigt inte självbedömning.</SPAN></P>
<P class="p8 ft87"><SPAN class="ft56">93</SPAN><SPAN class="ft86">Lägsta rekommenderade skyddsnivå för informationssystem och organisation.</SPAN></P>
<P class="p434 ft93"><SPAN class="ft56">94</SPAN><SPAN class="ft103">Agence Nationale de la Sécurité des Systèmes d’Information </SPAN><SPAN class="ft85">(ANSSI), (2014): </SPAN>Cybersecurity for Industrial Control Systems. Detailed measures<SPAN class="ft85">. Paris.</SPAN></P>
<P class="p0 ft87"><SPAN class="ft56">95</SPAN><SPAN class="ft86">T.ex. riskanalys av verksamheten, cybersäkerhetsträning och säkerhetsgranskning.</SPAN></P>
<P class="p0 ft85"><SPAN class="ft56">96</SPAN><SPAN class="ft84">T.ex. datadioder samt enheter som används i trådlösa nätverk.</SPAN></P>
<P class="p0 ft41"><SPAN class="ft56">97</SPAN><SPAN class="ft82">Fysisk tillgång till enheter på plats ska förbehållas certifierad personal.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">295</P>
</DIV>
</DIV>
<DIV id="page_297">
<DIV id="p297dimg1">
<INGENBILD zsrc="H9B363297x1.jpg/" id="p297img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p255 ft26">IKT i säkerhetskänslig verksamhet</P>
<P class="p420 ft20">Skyddsvärd information i system</P>
<P class="p355 ft46">Alla informationssystem som hanterar säkerhetsklassificerad infor- mation ska godkännas så att systemet är kvalificerat att hantera sådana uppgifter i enlighet med eftersträvade säkerhetsmål och åter- stående säkerhetsrisker accepteras. Sådana informationssystem ska godkännas av en s.k. godkännandemyndighet. Om informations- systemet behandlar information som klassificerats som kvalificerat hemlig är SGDSN godkännandemyndighet.<SPAN class="ft97">98 </SPAN>Dessutom måste säker- hetsfunktionerna för dessa system godkännas av ANSSI.<SPAN class="ft97">99 </SPAN>Godkän- nandebeslut måste som utgångspunkt fattas innan informationssyste- met tas i drift (”l’homologation du système”).<SPAN class="ft97">100 </SPAN>Det ovan anförda följer av <SPAN class="ft60">Instruction générale interministérielle n°1300 </SPAN>(IGI 1300) – en instruktion som bl.a. fastställer regler för skydd av information som rör nationella försvarshemligheter. Instruktionen anger villkor för att hantera känsliga och klassificerade uppgifter och säkerställa deras skydd. Instruktionen uppställer organisatoriska, tekniska och kon- traktuella villkor för att säkerställa tillräcklig tillförlitlighet. T.ex. måste varje entitet som hanterar skyddsvärd information definiera roller och ansvar enligt instruktionen och berörda informationssystem ska ackrediteras på lämplig nivå av behörig myndighet före bearbet- ning av klassificerad information. ANSSI har deltagit i utarbetandet av instruktionen genom att definiera regler för att skydda informationen när den behandlas i informationssystem.<SPAN class="ft97">101</SPAN></P>
<P class="p415 ft85"><SPAN class="ft56">98</SPAN><SPAN class="ft94">Godkännandeorgan för berörda system utses annars av berörd AQSSI i de fall systemet tillhör en organisation eller enhet under ledning av en minister. Det kan vara den kvalificerade myndigheten. När SGDSN ska godkänna systemet är ANSSI medlem i godkännandekom- mittén. När informationssystemet tillhör en privat organisation ligger godkännandeaukto- ritetens ansvar hos det eller de organ som berörs av systemet.</SPAN></P>
<P class="p599 ft58"><SPAN class="ft56">99</SPAN><SPAN class="ft57">Godkända säkerhetsanordningar i informationssystemen syftar till att skydda mot obehörig åtkomst. Godkännande begärs vanligtvis av den myndighet som ansvarar för utvecklingen eller användningen av systemet. Intyg om godkännande av förmågan att skydda relevant informa- tion utfärdas efter en säkerhetsevaluering av licensierade laboratorier. Ett tillstånd kan återkallas före giltighetstidens utgång beroende på utvecklingen av hot eller upptäckten av sårbarheter.</SPAN></P>
<P class="p210 ft85"><SPAN class="ft56">100</SPAN><SPAN class="ft84">Godkännandebeslutet gäller för en period om maximalt fem år för ett informationssystem på konfidentiell säkerhetsnivå respektive två år på hemlig eller kvalificerat hemlig nivå. God- kännandemyndigheten fastställer villkoren för att upprätthålla säkerhetsgodkännande för in- formationssystemet.</SPAN></P>
<P class="p600 ft58"><SPAN class="ft56">101</SPAN><SPAN class="ft96">Skyddsmärket ”Diffusion restreinte” kan användas när avslöjande av information sannolikt skulle påverka suveräna intressen. Används känsliga informationssystem, eller </SPAN><SPAN class="ft100">Diffusion restreinte</SPAN>- märkta system, måste använda betrodda säkerhetsprodukter. I det senare fallet ska använda säkerhetsprodukter vara godkända på rätt nivå, kvalificerade eller certifierade av ANSSI.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">296</P>
</DIV>
</DIV>
<DIV id="page_298">
<DIV id="p298dimg1">
<INGENBILD zsrc="H9B363298x1.jpg/" id="p298img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p601 ft18">Ett säkerhetsgodkännande innebär ett formellt erkännande att den bedömda säkerhetsprodukten kan skydda information upp till angiven nivå eller att bedömt informationssystem kan bearbeta in- formation på en viss klassificeringsnivå i enlighet med säkerhetsmålen och att återstående säkerhetsrisker accepteras. Den ansvarige organi- sationen intygar således, efter riskbedömning, att skyddet av infor- mationen och systemet säkerställs till önskad nivå.</P>
<P class="p131 ft20">Kritiska informationssystem</P>
<P class="p232 ft18">Utöver vad som krävs av <NOBR>EU-lagstiftningen</NOBR> är operatörer av s.k. kritiska informationssystem skyldiga enligt en fransk lag om militär planering, <SPAN class="ft45">Les Lois de Programmation Militaire</SPAN>, att skydda sina in- formationssystem genom cyberresiliens. Här har ANSSI en stor roll när det gäller att bidra med stöd till verksamhetsutövarna, förebygga cyberattacker och samla rapporter. Vidare kan certifiering vara av vikt för verksamhetsutövarna i de samhällsviktiga sektorerna.</P>
<P class="p146 ft49">La loi <NOBR>n°2018-607</NOBR> relative à la programmation militaire pour les années <NOBR>2019–2025</NOBR> <SPAN class="ft17">är en lag som rör militär programmering och innehåller bestämmelser om förstärkning av kapaciteten att detek- tera, karaktärisera och förhindra cyberattacker för att höja nationens säkerhet (se artikel 34). Samtidigt stärks mandatet för ANSSI att agera mot händelser som kan påverka nationell säkerhet och orga- nisationers informationssystem. Om en attack rör kritisk infrastruk- tur kan ANSSI, tillsammans med den angripne, fastställa lämpliga skyddsåtgärder.</SPAN></P>
<P class="p11 ft45">Systèmes d’information d’importance vitale <SPAN class="ft18">är en särskild </SPAN><NOBR><SPAN class="ft18">CIIP-lag</SPAN></NOBR><SPAN class="ft18"> som fastställer gemensamma minimikrav för cybersäkerhet hos kri- tiska verksamhetsutövare. Det rör sig om infrastrukturer som anses behöva särskilt skydd. Lagens säkerhetskrav gäller för såväl offent- liga som privata verksamhetsutövares mest kritiska informations- system.</SPAN><SPAN class="ft79">102 </SPAN><SPAN class="ft18">Verksamhetsutövarna är bl.a. skyldiga att meddela ANSSI om incidenter som inträffar i deras kritiska informationssystem. En noggrann evalueringsprocess, framtagen av ANSSI, möjliggör kvalifi-</SPAN></P>
<P class="p602 ft58"><SPAN class="ft56">102</SPAN><SPAN class="ft96">ANSSI har upprättat tekniska och organisatoriska regler som är sektorsöverskridande och huvudsakligen består av grundläggande cybersäkerhetsåtgärder, inbegripet bl.a. nätverksmapp- ning, nätverkssegmentering, implementering av tillförlitliga detekteringsfunktioner och ackre- ditering. Bortom säkerhetskraven bidrar ramverket till att bygga nationens motståndskraft.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">297</P>
</DIV>
</DIV>
<DIV id="page_299">
<DIV id="p299dimg1">
<INGENBILD zsrc="H9B363299x1.jpg/" id="p299img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p403 ft21">cering av kandiderande cybersäkerhetsleverantörer<SPAN class="ft102">103 </SPAN>och produkter som uppfyller tillräckliga säkerhetskrav.<SPAN class="ft102">104</SPAN></P>
<P class="p70 ft20">Pågående reform av regelverket</P>
<P class="p76 ft17">Frankrike genomför för närvarande en reform av sina föreskrifter om skyddet av nationell säkerhet. Den nya regleringen ska träda i kraft den 1 juli 2021 och bygger huvudsakligen på dekret nr 2019- 1271 om metoder för klassificering och skydd av nationella försvars- hemligheter<SPAN class="ft54">105 </SPAN>samt IGI 1300.</P>
<P class="p70 ft20">Övriga kontroller av IKT</P>
<P class="p220 ft19">Frankrike tillämpar kontroller för export av programvara och hård- vara för informationssäkerhet, inklusive kryptering. Dessutom kon- trollerar Frankrike leverans och import av kryptering till Frankrike.</P>
<P class="p105 ft49">Instruction interministérielle n°901 <SPAN class="ft17">definierar särskilda regler för skydd av känsliga informationssystem, särskilt de som hanterar in- formation märkt ”Restricted”, mot alla typer av hot. Målet med instruktionen är säkerställa kontinuitet hos verksamheter och för- hindra att känslig information röjs.</SPAN></P>
<P class="p72 ft17">En allmän bestämmelse i försvarskoden, <SPAN class="ft49">Code de la Défense</SPAN>, till- låter franska myndigheter som står inför ett hot, mot t.ex. dess natio- nella intressen, att vidta alla tekniska åtgärder som anses nödvändiga för att tillskriva eller mildra en attack genom att få tillgång till infor- mation. Frankrike kräver också godkännande av utländska invester- ingar i känsliga sektorer som är avgörande för Frankrikes nationella intresse.</P>
<P class="p603 ft87"><SPAN class="ft56">103</SPAN><SPAN class="ft86">Leverantörer kan t.ex. kvalificeras för tjänster inom säkerhetsgranskningar.</SPAN></P>
<P class="p223 ft85"><SPAN class="ft56">104</SPAN><SPAN class="ft84">Berörda organ ackrediteras av den franska ackrediteringskommittén COFRAC och licen- sieras av ANSSI.</SPAN></P>
<P class="p250 ft74"><SPAN class="ft56">105</SPAN><SPAN class="ft114">Décret n° </SPAN><NOBR>2019-1271</NOBR> du 2 décembre 2019 relatif aux modalités de classification et de protection du secret de la défense nationale<SPAN class="ft41">.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">298</P>
</DIV>
</DIV>
<DIV id="page_300">
<DIV id="p300dimg1">
<INGENBILD zsrc="H9B363300x1.jpg/" id="p300img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p604 ft26">Sammanfattning av särskilda krav på IKT i säkerhetskänslig verksamhet</P>
<P class="p605 ft19">Av inhämtade uppgifter framgår att det finns centrala myndigheter i Frankrike med ansvar för nationell informations- och cybersäkerhet och <NOBR>IKT-evaluering</NOBR> och <NOBR>-godkännande</NOBR> av informationssystem och dess säkerhetsfunktioner där behandlad information är av betydelse för nationell säkerhet. När det gäller informationssystem som be- handlar information som klassificerats som kvalificerat hemlig ska generalsekreteraren för försvar och nationell säkerhet (SGDSN) god- känna systemet. Några nationella krav på certifiering av sådana system har dock inte framkommit.</P>
<P class="p131 ft48"><SPAN class="ft48">9.8</SPAN><SPAN class="ft78">Storbritannien</SPAN></P>
<P class="p6 ft26">Aktörer inom informations- och cybersäkerhet</P>
<P class="p416 ft20">GCHQ – underrättelse- och säkerhetstjänst</P>
<P class="p91 ft63">Government Communications Headquarters <SPAN class="ft19">(GCHQ) är en under- rättelse- och säkerhetstjänst som har till uppgift att skydda Stor- britannien och dess medborgare från individer, grupper och länder som vill orsaka skada. Det finns bl.a. nationella krav på att GCHQ ska säkra (”assure”) kryptoutrustning som ska användas i säkerhets- känslig verksamhet. Vid GCHQ finns det nationella cybersäkerhets- centret (se nedan).</SPAN></P>
<P class="p131 ft20">Nationellt cybersäkerhetscenter</P>
<P class="p110 ft18">Det nationella cybersäkerhetscentret, <SPAN class="ft45">National Cyber Security Centre </SPAN>(NCSC), besitter expertkunskap om cybersäkerhet samt tillhanda- håller råd för offentlig och privat sektor. NCSC är en del av GCHQ och svarar för informationssäkerheten.<SPAN class="ft79">106 </SPAN>Centret utgör landets tek- niska myndighet för cyberhot.<SPAN class="ft79">107 </SPAN>Centrets uppgifter är bl.a. att mot- verka cyberbrott och svara på cybersäkerhetsincidenter och säkra nät- verk för att minimera skador i samhället. Kritiska samhällssektorer</P>
<P class="p416 ft87"><SPAN class="ft56">106</SPAN><SPAN class="ft90">Ytterst är det premiärministern och kabinettet som är ansvariga för regeringens säkerhet.</SPAN></P>
<P class="p205 ft113"><SPAN class="ft56">107</SPAN><SPAN class="ft119">I Storbritannien kategoriseras cyberhot som ett ”tier 1 threat”. Under 2011 uppskattade den brittiska regeringen, i sin rapport, Detica, Cabinet Office (2011): </SPAN><SPAN class="ft121">The cost of cyber crime, </SPAN>att nationen förlorade 27 miljarder pund årligen på grund av brist på cybersäkerhet.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">299</P>
</DIV>
</DIV>
<DIV id="page_301">
<DIV id="p301dimg1">
<INGENBILD zsrc="H9B363301x1.jpg/" id="p301img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p152 ft18">är ett fokusområde. Centret erbjuder vidare certifiering som täcker en rad produkter, tjänster och organisationer – även på assuransnivån hög (främst kryptografiska produkter).<SPAN class="ft79">108 </SPAN>Som certifieringsorgan har centret också till uppgift att godkänna evalueringsföretag.</P>
<P class="p105 ft17">I fråga om utveckling av produkter som hanterar särskilt känslig information, t.ex. information som klassificeras som hemlig eller kva- lificerat hemlig, rekommenderar emellertid centret att utvecklaren söker ytterligare specialistsråd om de särskilda hot som behöver beaktas i sammanhanget.</P>
<P class="p70 ft20"><NOBR>CERT-UK</NOBR></P>
<P class="p220 ft17">Ansvaret för hantering av <NOBR>IKT-incidenter</NOBR> i Storbritannien har på nationell nivå tilldelats <NOBR>CERT-UK.</NOBR> <NOBR>CERT-UK</NOBR> grundades 2014 och var en viktig investering som en uppföljning av den nationella cyber- säkerhetsstrategin (se nedan). <NOBR>CERT-UK</NOBR> fokuserar på att ha en upp- daterad lägesbild, incidenthantering på nationell nivå samt stödja verksamheter med samhällskritisk infrastruktur.</P>
<P class="p70 ft26">Reglering av informations- och cybersäkerhet</P>
<P class="p420 ft20">Nationell cybersäkerhetsstrategi</P>
<P class="p71 ft18">Storbritannien antog en nationell cybersäkerhetsstrategi 2016 som utvärderas kontinuerligt för att hålla det rättsliga ramverket upp- daterat i förhållande till den tekniska utvecklingen.<SPAN class="ft79">109 </SPAN>Ett mål med strategin är att fördjupa det internationella samarbetet på området. Strategin identifierar också ett behov av utvidgat nationellt sam- arbete mellan regeringen och privat respektive offentlig sektor för ökat säkerhetsmedvetande kring internet. Storbritannien lägger stort vikt vid att förbättra cybersäkerheten genom att upprätta informa-</P>
<P class="p606 ft58"><SPAN class="ft56">108</SPAN><SPAN class="ft96">För vissa hotmodeller och teknologier genomför centret oberoende utvärderingar av pro- dukter (främst kryptografiska produkter) som kräver ett certifikat från centret på nivå hög. Bedömningen görs i enlighet med en viss assuransordning innehållande detaljerade krav som härstammar från vissa principer avseende hög assurans: produkter ska komma från betrodda leverantörer med bevisad hög kunskap om hotdomänen, utvecklare som följer bästa praxis, produkter med specifika säkerhetsfunktioner med identifierade sårbarheter, oberoende bedöm- ning av anspråkgjord säkerhetsfunktion, avsiktlig drift, och ett betrott läge.</SPAN></P>
<P class="p230 ft41"><SPAN class="ft56">109</SPAN><SPAN class="ft82">Se </SPAN><NOBR>www.gov.uk/government/publications/national-cyber-security-strategy-2016-to-2021.</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">300</P>
</DIV>
</DIV>
<DIV id="page_302">
<DIV id="p302dimg1">
<INGENBILD zsrc="H9B363302x1.jpg/" id="p302img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p244 ft21">tionsdelningsstrukturer och samarbete mellan offentlig och privat sektor.</P>
<P class="p251 ft18">Även i tidigare nationella strategier har klargjorts att myndighe- ternas inställning till cybersäkerhet är riskbaserad och att arbetet måste göras i partnerskap med privata aktörer. Man har följaktligen inlett ett gemensamt initiativ mellan myndigheterna och industrin om informationsdelning och samarbete för att möta de digitala hoten, kallat <NOBR><SPAN class="ft45">Cyber-Security</SPAN></NOBR><SPAN class="ft45"> Information Sharing Partnership </SPAN>(CiSP).</P>
<P class="p186 ft17">Cyberattacker mot kritisk infrastruktur bedöms kunna ha störst inverkan på den nationella säkerheten. Därför är det en strategisk prioritering att vidta åtgärder för att öka cybersäkerheten hos kritisk nationell infrastruktur.</P>
<P class="p111 ft18">Den nationella cybersäkerhetsstrategin framhåller att krypto- grafisk kapacitet är grundläggande för att skydda landets mest käns- liga information och användningen av nationella säkerhetsfunktio- ner. För att upprätthålla tillräcklig förmåga kräver man kompetens och teknik från privat sektor som är garanterad av GCHQ.<SPAN class="ft79">110</SPAN></P>
<P class="p146 ft17">Storbritannien köper inte produkter eller tjänster ”från hyllan” när det gäller kvalificerat hemliga (”highly classified”) eller känsliga tekniker.<SPAN class="ft54">111</SPAN></P>
<P class="p11 ft18">Strategin framhåller att NCSC ska vara en auktoritet när det gäller nationella cybersäkerhetsangelägenheter. Därutöver syftar lanser- ingen av två nya cyberinnovationscenter till att driva utvecklingen av avancerade cyberprodukter och nya dynamiska cybersäkerhetsföretag.</P>
<P class="p186 ft17">Det kan konstateras att Storbritannien, i likhet med Tyskland, har organ med mandat vars syfte är att säkerställa kritisk infrastruk- tur och kritiska samhällsfunktioner, oavsett om detta är civilt eller militärt.</P>
<P class="p131 ft20">Ramverk för säkerhetspolicy</P>
<P class="p232 ft46">Den brittiska regeringen har antagit en säkerhetspolicy, <SPAN class="ft60">The security policy framework</SPAN>,<SPAN class="ft97">112 </SPAN>som beskriver de standarder, riktlinjer för bästa praxis och metoder som krävs för att skydda nationella statliga till-</P>
<P class="p607 ft85"><SPAN class="ft56">110</SPAN><SPAN class="ft84">Detta bedöms kräva att arbetet utförs i Storbritannien av brittiska medborgare med erfor- derligt säkerhetsgodkännande. Vidare förväntas berörda företag vara helt öppna med GCHQ när det gäller att diskutera design- och implementeringsdetaljer.</SPAN></P>
<P class="p608 ft100"><SPAN class="ft56">111</SPAN><SPAN class="ft96">HM Government (2015), </SPAN>National Security Strategy and Strategic Defence and Security Review 2015. A Secure and Prosperous United Kingdom<SPAN class="ft58">. London: HM Government.</SPAN></P>
<P class="p207 ft41"><SPAN class="ft56">112</SPAN><SPAN class="ft81">Cabinet Office, </SPAN><SPAN class="ft74">HMG Security Policy Framework</SPAN>, version 1.1, maj 2018.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">301</P>
</DIV>
</DIV>
<DIV id="page_303">
<DIV id="p303dimg1">
<INGENBILD zsrc="H9B363303x1.jpg/" id="p303img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p189 ft17">gångar (människor, information och infrastruktur). Policyn fokuserar på de resultat som krävs för att uppnå en proportionerlig och risk- hanterad strategi för säkerhet som gör det möjligt för statliga orga- nisationer att fungera effektivt och säkert. Den innehåller också beskrivningar av god förvaltning och stark säkerhetskultur på orga- nisatorisk nivå.</P>
<P class="p73 ft18">Policyn anger riskhantering på styrelsenivå som en övergripande princip på säkerhetsområdet. Här ska bedömningar göras för att identifiera potentiella hot, sårbarheter och lämpliga kontroller för att minska riskerna till en acceptabel nivå.<SPAN class="ft79">113 </SPAN>Bl.a. ska det finnas ut- bildade specialister som kan analysera hot mot och potentiella ska- dor på verksamheten. Vidare behövs assuransprocesser för att säker- ställa att begränsningar är och förblir effektiva.</P>
<P class="p106 ft18">Informationssäkerhet är ett annat område som policyn behand- lar. Personalen i statliga organisationer förutsätts vara utbildade att på ett ansvarsfullt sätt hantera informationen de kommer i kontakt med i sin verksamhet. Det ska också finnas mekanismer och processer som säkerställer att tillgångar är korrekt klassificerade och lämpligt skyddade. Man behöver ha ett förtroende för att säkerhetskontroller (se nedan) är effektiva och att system och tjänster kan skydda den information de har. För denna saks skull ska det ska finnas ett över- gripande program för informationsassurans som drivs av styrelsen.</P>
<P class="p73 ft46">Vidare ska statliga organisationer identifiera om de har teknik och tjänster som avser kritisk nationell infrastruktur och i så fall hantera risker därefter.<SPAN class="ft97">114 </SPAN>Policyn föreskriver säkerhetskontroller som</P>
<P class="p609 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">minskar potentiella hot,</SPAN></P>
<P class="p34 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">hanteras aktivt och hålls uppdaterade,</SPAN></P>
<P class="p34 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">skyddar mot och korrigerar skadligt beteende, och</SPAN></P>
<P class="p256 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">säkerställer att kritisk teknik och kritiska tjänster är motstånds- kraftiga mot cyberattacker och har möjlighet att återhämta sig från sådana.</SPAN></P>
<P class="p610 ft87"><SPAN class="ft56">113</SPAN><SPAN class="ft86">En årlig rapporteringsprocess behövs för att säkerställa lämplig riskhantering.</SPAN></P>
<P class="p250 ft41"><SPAN class="ft56">114</SPAN><SPAN class="ft82">Myndigheter i Storbritannien kräver också att leverantörer som ska behandla känslig in- formation uppfyller givna informationssäkerhetsstandarder.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">302</P>
</DIV>
</DIV>
<DIV id="page_304">
<DIV id="p304dimg1">
<INGENBILD zsrc="H9B363304x1.jpg/" id="p304img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p90 ft20">Cyber Essentials</P>
<P class="p232 ft18"><SPAN class="ft45">Cyber Essentials </SPAN>är ett initiativ från NCSC som stöds av den brittiska regeringen och industrin för att ge organisationer en grundläggande nivå av cybersäkerhetskontroller som skydd mot de vanligaste cyber- hoten.<SPAN class="ft79">115 </SPAN>Det är fråga om en certifieringsordning som täcker grunderna för cybersäkerhet i en organisations verksamhet eller ett företags it- system och bedöms av regeringen passa alla typer av organisationer. Förutom att stimulera en utbredd användning av grundläggande säker- hetskontroller mot mindre avancerade <NOBR>IKT-incidenter</NOBR> syftar ordningen till att tillhandahålla klarhet när det gäller bästa cybersäkerhets- praxis. Tillsammans med <SPAN class="ft45">Cyber </SPAN><NOBR><SPAN class="ft45">Essentials</SPAN>-systemet</NOBR> har regeringen publicerat <SPAN class="ft45">Assurance Framework </SPAN>som gör det möjligt för organisatio- ner att få certifieringar för att försäkra kunder, investerare, försäk- ringsbolag och andra att de har vidtagit lämpliga säkerhetsåtgärder för cybersäkerhet. Systemet är som utgångspunkt frivilligt. Andra aktörer än NCSC kan vara certifieringsorgan (om de är ackredite- rade). Innehållet i <SPAN class="ft45">Cyber Essentials </SPAN>ska tillämpas av statliga myndig- heter vid vissa upphandlingar (se nedan). Övrig offentlig och privat sektor kan välja att tillämpa de förebyggande åtgärderna, också vid affärer med privata tillhandahållare i leverantörskedjan. Även organi- sationer baserade utomlands kan använda sig av ordningen.</P>
<P class="p187 ft18">Den brittiska regeringen kräver att leverantörer som bjuder på centrala regeringskontrakt som involverar hantering av känslig och personlig information eller tillhandahållande av vissa <NOBR>IKT-produkter</NOBR> och <NOBR>-tjänster</NOBR> ska erhålla certifiering mot Cyber <NOBR>Essentials-ordningen.</NOBR> Det är därmed obligatoriskt för leverantörerna att visa att de möter de tekniska krav som certifieringsordningen föreskriver. Brandväg- gar, säker konfiguration, åtkomstkontroll, skydd mot skadlig pro- gramvara och patchhantering är tekniska områden som täcks. Kraven aktualiseras när kontrakt medför att</P>
<P class="p134 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">personlig information om medborgare, statligt anställda eller ministrar hanteras av en leverantör, eller</SPAN></P>
<P class="p611 ft58"><SPAN class="ft56">115</SPAN><SPAN class="ft99">Cyber </SPAN><NOBR><SPAN class="ft100">Essentials</SPAN>-ordningen</NOBR> fokuserar på att tillhandahålla råd och verktyg för att hjälpa företag att förstå och agera på cybersäkerhetshot samt att certifiera vissa typer av cybersäkerhets- tjänster och utbildningar. <SPAN class="ft100">Cyber Essentials </SPAN>utvecklades eftersom varken ISO 27001 eller andra tänkbara standarder var tillräckligt åläggande för att motverka vanliga internetbaserade hot.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">303</P>
</DIV>
</DIV>
<DIV id="page_305">
<DIV id="p305dimg1">
<INGENBILD zsrc="H9B363305x1.jpg/" id="p305img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p612 ft17"><SPAN class="ft21">–</SPAN><NOBR><SPAN class="ft55">IKT-system</SPAN></NOBR> och <NOBR>-tjänster</NOBR> tillhandahålls för att lagra eller bearbeta data på nivå ”Official” enligt regeringens ordning för skyddsmärk- ning (Government Protective Marking scheme).</P>
<P class="p465 ft18">Utöver ovanstående kan <SPAN class="ft45">Cyber Essentials </SPAN>användas från fall till fall vid upphandlingar om den upphandlande myndigheten finner det lämpligt. En sådan användning kräver att en cybersäkerhetsrisk iden- tifieras som inte skulle hanteras av något befintligt säkerhetskrav och där användningen av <SPAN class="ft45">Cyber Essentials </SPAN>är ett relevant och propor- tionellt alternativ, t.ex. när data finns utanför landet. Avtal kan vara undantagna från kraven om det kan påvisas att användning av <SPAN class="ft45">Cyber Essentials </SPAN>antingen är irrelevant eller klart oproportionerligt, t.ex. där en cybersäkerhetsrisk är bedöms vara mycket låg.</P>
<P class="p82 ft19">Leverantörer kan även visa på överensstämmelse med de tekniska kraven på andra sätt än genom ett certifikat, såtillvida den avtals- ingående myndigheten är nöjd med uppfyllandet av Cyber Essentials- kraven. Normalt sett ska detta verifieras av en tekniskt kompetent och oberoende tredje part. Att skaffa certifikatet anses emellertid oftast vara det enklaste sättet att demonstrera att man uppfyller kraven, även om andra former av bevis är acceptabla.</P>
<P class="p83 ft18">Företag som ska leverera till försvarsmarknaden förutsätts ha en Cyber <NOBR>Essentials-certifiering.</NOBR> Sådan certifiering krävs för tilldelning av försvarskontrakt som inbegriper överföring av information rörande det brittiska försvarsdepartementet. Certifieringen tilldelas mot bak- grund av en validerad självbedömning som sökanden vidtar och gör att organisationen framstår som en pålitlig och cybersäker aktör inför leverans till försvarssektorn.<SPAN class="ft79">116</SPAN></P>
<P class="p82 ft18"><SPAN class="ft45">Cyber Essentials Plus </SPAN>erbjuder en högre assuransnivå genom extern testning av organisationens cybersäkerhet, där bl.a. sårbarhetstester ska utföras. Vid några upphandlingar med högre risk är det troligt att inte heller <SPAN class="ft45">Cyber Essentials Plus </SPAN>på egen hand kommer ge tillräck- lig assurans, och ytterligare, bredare, säkerhetskrav kommer då att specificeras, t.ex. ISO <NOBR>27000-serien.<SPAN class="ft79">117</SPAN></NOBR></P>
<P class="p338 ft107"><SPAN class="ft56">116</SPAN><SPAN class="ft105">Efter att organisationen gjort en självbedömning av sin implementering av kontrolltemana, som är godkänd av en ledande befattningshavare, ska ett oberoende certifieringsorgan utifrån självskattningen bedöma huruvida en lämplig standard nåtts. Därefter kan certifiering tilldelas. Detta alternativ erbjuder en grundläggande nivå av assurans. Åtgärderna är inte utformade för att adressera mer avancerade riktade attacker.</SPAN></P>
<P class="p613 ft58"><SPAN class="ft56">117</SPAN><SPAN class="ft96">Leverantörer som uppfyller ISO </SPAN><NOBR>27001-standarden</NOBR> där <SPAN class="ft100">Cyber Essentials </SPAN>krav, antingen på grundnivå eller <NOBR>Plus-nivå</NOBR> (vid behov), inkluderats i tillämpningsområdet och verifierats som</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">304</P>
</DIV>
</DIV>
<DIV id="page_306">
<DIV id="p306dimg1">
<INGENBILD zsrc="H9B363306x1.jpg/" id="p306img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p90 ft20">Minimistandard för cybersäkerhet</P>
<P class="p91 ft18">Den tekniska standarden <SPAN class="ft45">Minimum Cyber Security Standard</SPAN><SPAN class="ft79">118 </SPAN>är ett dokument som definierar minimiåtgärder för säkerhet som departe- ment och statliga myndigheter ska vidta för att skydda sina <NOBR>it-tjäns-</NOBR> ter. Tillgång till känslig information och viktiga operativa tjänster ska endast ges till identifierade, autentiserade och auktoriserade an- vändare eller system. System som hanterar känslig information ska skyddas från utnyttjande av kända sårbarheter.</P>
<P class="p11 ft19">Standarden kräver bl.a. att driften av operativsystem och mjuk- varupaket ska patchas regelbundet. Vidare ska data krypteras när organisationen inte kan förvänta sig fysiskt skydd av berörd enhet. Det ska också säkerställas att angivna standarder uppfylls av tillhanda- hållare av tjänster från tredje part. Detta kan uppnås genom att leve- rantörer försäkrar (”assure”) sin cybersäkerhet mot regeringens cyber- säkerhetsstandard, eller genom att kräva att de åtminstone har ett giltigt Cyber <NOBR>Essentials-certifikat.<SPAN class="ft101">119</SPAN></NOBR></P>
<P class="p131 ft20">Standard och vägledning för cybersäkerhet på försvarsområdet</P>
<P class="p185 ft17">I Storbritannien ska en standard för cybersäkerhet, <SPAN class="ft49">Def Stan </SPAN><NOBR><SPAN class="ft49">05-138</SPAN>,</NOBR> tillämpas vid upphandlingar av försvarsdepartementet och försvars- leverantörer. Denna standard specificerar de åtgärder som måste vidtas på respektive cyberrisknivå som ett avtal med försvarsdeparte- mentet bedöms innebära.</P>
<P class="p11 ft46">Försvarsdepartementet uppställer krav beroende på hur cyberrisk- profilen ser ut. Krav för en hög cyberriskprofil avser bl.a. upprätt- hållandet av en Cyber Essentials <NOBR>Plus-certifiering</NOBR> och att ha en policy för att kontrollera användningen av auktoriserad programvara.</P>
<P class="p614 ft85">sådant, skulle betraktas som innehavare av en motsvarande standard till <SPAN class="ft93">Cyber Essentials</SPAN>. Sådana leverantörer behöver därför inte Cyber <NOBR>Essentials-certifiering,</NOBR> förutsatt att certifier- ingsorganet som utför denna verifiering är ackrediterat att utfärda ett <SPAN class="ft93">Cyber </SPAN><NOBR><SPAN class="ft93">Essentials</SPAN>-certi-</NOBR> fikat. Dock behöver de flesta företagen med ISO 27001 anta <SPAN class="ft93">Cyber Essentials </SPAN>som komplement till ISO 27001.</P>
<P class="p615 ft100"><SPAN class="ft56">118</SPAN><SPAN class="ft99">Minimum Cyber Security Standard</SPAN><SPAN class="ft58">, juni 2018, version 1.0. </SPAN>The Cabinet Office Government Security Group <SPAN class="ft58">(GSG) har utfärdat minimistandarder för bl.a. cybersäkerhet och incident- hantering som definierar säkerhetsåtgärder som departementen måste implementera.</SPAN></P>
<P class="p296 ft41"><SPAN class="ft56">119</SPAN><SPAN class="ft82">Organisationen får, som en del av sin riskbedömning, själv avgöra om Cyber Essentials ger tillräcklig säkerhet.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">305</P>
</DIV>
</DIV>
<DIV id="page_307">
<DIV id="p307dimg1">
<INGENBILD zsrc="H9B363307x1.jpg/" id="p307img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p255 ft20">CAPS – certifierade assisterade produkter</P>
<P class="p289 ft49">The National Cyber Security Centre <SPAN class="ft17">(NCSC), tillsammans med part- ners, erbjuder certifiering av assisterade produkter, </SPAN>Certified Assisted Products <SPAN class="ft17">(CAPS). CAPS kombinerar NCSC:s kryptografiska kun- skap med den privata sektorns expertis och resurser för att påskynda utvecklingen av produkter av hög kvalitet. CAPS är en ordning för evaluering av högkvalitativa produkter som utvecklats av industrin för användning av den brittiska regeringen och andra lämpliga orga- nisationer.</SPAN></P>
<P class="p106 ft18">Kryptografiska produkter använder kryptering för att ge säkerhet. Exempel är <NOBR>skiv-,</NOBR> länk- och nätverkskrypterare, säkra radioapparater och åtkomstkontrollenheter. CAPS verifierar också produkter som styr dataflödet mellan domäner med olika klassificeringar. CAPS verifierar att produkter uppfyllt standarderna för den brittiska reger- ingens policy. Policyn anger godkända standarder som ska tillämpas när kryptering används för att skydda offentlig klassificerad data.</P>
<P class="p73 ft18">Utvecklare kan införliva lämpliga kryptografiska eller allmänna algoritmer i sina produkter och skicka in dem för evaluering av CAPS. När det väl accepterats, och efter inledande diskussioner mellan NCSC och utvecklaren, ger ett konsult- och rådgivningsavtal företag till- gång till NCSC:s kunskap, kompetens och erfarenhet inom infor- mationsassurans, kompletterat med en rad vägledningsdokumenta- tion innan produkterna går in i fullständig evaluering.</P>
<P class="p73 ft46">När produkterna slutligen godkänts utfärdas ett certifikat och/eller godkännandebrev som beskriver nivån på det kryptografiska skyddet som erbjuds. Bl.a. kan en förutsättning för tjänsten vara att utveck- laren ackrediterats enligt regeringens ”List <NOBR>X”-ordning<SPAN class="ft97">120</SPAN></NOBR><SPAN class="ft97"> </SPAN>(se nedan).</P>
<P class="p616 ft20">List X – särskilda säkerhetskrav på företag i säkerhetskänslig verksamhet</P>
<P class="p71 ft46">Tillhandahållare av tjänster och tredjepartsleverantörer som hanterar hemliga tillgångar måste tillämpa lämpliga säkerhetskontroller, inbe- gripet List <NOBR>X-ackreditering.</NOBR> Omfattas företaget av List X är det skyl- digt att vidta vissa säkerhetsåtgärder för övervakningen av lämpliga</P>
<P class="p617 ft58"><SPAN class="ft56">120</SPAN><SPAN class="ft96">List </SPAN><NOBR>X-entreprenörer</NOBR> är företag som är verksamma i Storbritannien och arbetar med brit- tiska statliga kontrakt som kräver att de hanterar sekretessbelagd information på nivå hemlig eller högre. Dessa entreprenörer måste uppfylla vissa säkerhetskrav som anges i <SPAN class="ft100">Cabinet</SPAN></P>
<P class="p230 ft74">Office’s <SPAN class="ft41">dokument </SPAN>Security Requirements for List X Contractors, april 2014, v. 10.0 <SPAN class="ft41">(se nedan).</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">306</P>
</DIV>
</DIV>
<DIV id="page_308">
<DIV id="p308dimg1">
<INGENBILD zsrc="H9B363308x1.jpg/" id="p308img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p244 ft17">säkerhetsaspekter, bl.a. på organisatorisk nivå och beträffande säker- hetsgodkännande av personal. Vidare kräver t.ex. <NOBR>it-utrustningen</NOBR> lämplig ackreditering, och endast godkänd mjukvara får användas i <NOBR>it-utrustningen.</NOBR></P>
<P class="p147 ft26">Sammanfattning av särskilda krav på IKT</P>
<P class="p91 ft46">Av inhämtade uppgifter framgår att det finns myndigheter i Stor- britannien med ansvar för nationell informations- och cybersäkerhet och certifiering av IKT. I fråga om produkter som hanterar hemlig information krävs särskilt utvecklat skydd. På denna nivå används normalt inte vanligen förekommande kommersiella lösningar. Till- gång till känslig information ska endast ges till auktoriserade system.<SPAN class="ft97">121 </SPAN>Företag som tillhandahåller vissa <NOBR>IKT-produkter</NOBR> och <NOBR>-tjänster</NOBR> för hantering av känslig officiell information kan behöva certifiering eller motsvarande. Tillhandahållare av tjänster och tredjepartsleverantö- rer som hanterar hemlig offentlig information måste vidare erhålla ackreditering och använda lämpligt ackrediterad <NOBR>it-utrustning</NOBR> och godkänd mjukvara.</P>
<P class="p378 ft48"><SPAN class="ft48">9.9</SPAN><SPAN class="ft78">USA</SPAN></P>
<P class="p6 ft26">Aktörer inom informations- och cybersäkerhet</P>
<P class="p360 ft20">Inledning</P>
<P class="p124 ft18">I USA är den nationella kapaciteten för <NOBR>IKT-säkerhet</NOBR> spridd över flera aktörer (se nedan), inklusive <NOBR>US-CERT,</NOBR> ett separat ICS CERT (CERT för <NOBR>SCADA-system),</NOBR> en nationell arbetsgrupp för utred- ning i det digitala rummet (NCIJTF) under FBI:s regi, <SPAN class="ft45">US Cyber Command under Department of Defense</SPAN>, <SPAN class="ft45">Intelligence Community In- cident Response Center </SPAN><NOBR>(IC-IRC),</NOBR> <SPAN class="ft45">National Security Agency/ Central Security Services Threat Operations Center </SPAN>(NTOC), <SPAN class="ft45">DoD Defense Cyber Crime Center </SPAN>(DC3) och det nyetablerade <SPAN class="ft45">Cyber Threat Intelligence Integration Center </SPAN>(CTIIC). Samtidigt är ambitionen att <SPAN class="ft45">ICT incident management </SPAN>ska vara en gemensam insats från dessa aktörer, samordnad genom <SPAN class="ft45">National Cyber Security and Communi-</SPAN></P>
<P class="p618 ft41"><SPAN class="ft56">121</SPAN><SPAN class="ft82">Huruvida detta innebär att vissa </SPAN><NOBR>IKT-system</NOBR> behöver godkännas av en utpekad myndighet framstår dock inte som helt klart.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">307</P>
</DIV>
</DIV>
<DIV id="page_309">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p189 ft17"><SPAN class="ft49">cations Integration Center </SPAN>(NCCIC). NCCIC ska bl.a. ha en upp- daterad situationbild, genomföra <NOBR>IKT-incidenthantering</NOBR> och <NOBR>-kon-</NOBR> troll och vara en nationell knutpunkt för de federala myndigheterna, underrättelsetjänsten och polismyndigheterna. <NOBR>US-CERT</NOBR> och ICS- CERT är en integrerad del av NCCIC. Department of Homeland Security (DHS) ansvarar för <SPAN class="ft49">National Cyber Incident Response Plan </SPAN>(NCIRP).</P>
<P class="p115 ft17">De olika organen i den amerikanska satsningen på <NOBR>IKT-säkerhet</NOBR> illustrerar den mångfacetterade bilden i ett stort land med en kom- plex organisation. Medan DHS, genom <SPAN class="ft49">National Cyber Security and Communications Integration Center </SPAN>(NCCIC), ska hantera digital risk proaktivt och tillhandahålla informationsdelning om digitala sårbar- heter, har <SPAN class="ft49">National Cyber Investigative Joint Task Force </SPAN>(NCIJTF), som består av 19 underrättelsetjänster och brottsbekämpande myn- digheter, som mål att säkra internet genom att aktivt jaga hotfulla aktörer.</P>
<P class="p70 ft20">Inrikes säkerhet och cybersäkerhet</P>
<P class="p76 ft49">Department of Homeland Security <SPAN class="ft17">(DHS) har i uppdrag att samordna arbetet med att förhindra katastrofer och hot mot nationen samt att agera till skydd för befolkningen vid sådana händelser. I personalen ingår bl.a. cybersäkerhetsanalytiker.</SPAN></P>
<P class="p73 ft45">Cybersecurity and Infrastructure Security Agency <SPAN class="ft18">(CISA) är en ledande cybersäkerhetsmyndighet på federal nivå. CISA ger råd om riskhantering och utgör kärnan i det kollektiva försvaret mot cyber- och fysiska hot mot landets kritiska infrastruktur. CISA erbjuder, utöver rådgivning, teknisk hjälp och utbildning på informations- säkerhetsområdet. Myndigheten är underställd DHS tillsyn.</SPAN></P>
<P class="p73 ft63">National Risk Management Center <SPAN class="ft19">(NRMC) är inrymt i CISA och arbetar för att identifiera, analysera, prioritera och hantera hot med potentiellt stora konsekvenser för kritisk infrastruktur. NRMC samarbetar med privat sektor och andra viktiga aktörer inom kritisk infrastruktur för att skapa ett informationsutbyte som gynnar säker- het och resiliens i och mellan samhällsviktiga sektorer.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">308</P>
</DIV>
</DIV>
<DIV id="page_310">
<DIV id="p310dimg1">
<INGENBILD zsrc="H9B363310x1.jpg/" id="p310img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p90 ft20">Övriga federala säkerhetsmyndigheter</P>
<P class="p232 ft45">Defence Counterintelligence and Security Agency <SPAN class="ft18">(DCSA) är en federal säkerhetsmyndighet med uppdrag att skydda landets säker- hetskänsliga arbetsplatser och dess personal. Vid myndigheten finns </SPAN>Center for Development of Security Excellence <SPAN class="ft18">(CDSE) som erbjuder säkerhetsprodukter och </SPAN><NOBR><SPAN class="ft18">-tjänster</SPAN></NOBR><SPAN class="ft18"> till civil och militär personal inom såväl försvarsdepartementet (</SPAN>U.S. Department of Defense<SPAN class="ft18">, DoD) som den federala regeringen i övrigt samt godkända entreprenörer enligt the </SPAN>National Industrial Security Program <SPAN class="ft18">(NISP, se nedan). Centret utbildar, certifierar, validerar och främjar olika personalkategorier inom nationell säkerhetskänslig verksamhet.</SPAN><SPAN class="ft79">122</SPAN></P>
<P class="p58 ft17"><SPAN class="ft49">National Security Agency </SPAN>(NSA) är en federal myndighet i USA som lyder under DoD. NSA svarar för landets signalspaning och upprätthåller också säkra (krypterade) kommunikationer för högt uppsatta befattningshavare. NSA driver <SPAN class="ft49">National Information Assurance Partnership </SPAN>(NIAP, se nedan) som är ett amerikanskt regeringsini- tiativ för att möta utmaningar med säkerhetstestning bland <NOBR>it-till-</NOBR> verkare och <NOBR>-konsumenter.</NOBR></P>
<P class="p147 ft20">Nationellt integrationscenter för cybersäkerhet och kommunikation</P>
<P class="p124 ft63">National Cybersecurity and Communications Integration Center <SPAN class="ft19">(NCCIC) är en del av cybersäkerhetsdivisionen hos CISA. NCCIC har till uppgift att säkerställa att relevant information rörande risk- bild, incidenter och analyser skyddas och delas. NCCIC delar infor- mation mellan offentliga och privata företag och är också ett dygnet </SPAN><NOBR><SPAN class="ft19">runt-center</SPAN></NOBR><SPAN class="ft19"> som utgör en kontaktpunkt för federala myndigheter, underrättelsetjänster och polismyndigheterna.</SPAN></P>
<P class="p131 ft20">Office of Management and Budget</P>
<P class="p232 ft46"><SPAN class="ft60">Office of Management and Budget </SPAN>(OMB) är enligt lag ansvarigt för att övervaka federala myndigheters informationssäkerhets- och sekre- tesspraxis och för att utveckla och styra genomförandet av policyer och riktlinjer som stöder och upprätthåller dessa metoder. Inom</P>
<P class="p619 ft113"><SPAN class="ft56">122</SPAN><SPAN class="ft119">Certifieringen av personal sker på olika nivåer och områden. Merparten av certifierings- programmen ackrediteras av </SPAN><SPAN class="ft121">the National Commission for Certifying Agencies </SPAN>(NCCA).</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">309</P>
</DIV>
</DIV>
<DIV id="page_311">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft19">OMB delegeras dessa ansvarsområden till <SPAN class="ft63">Office of the Federal Chief Information Officer </SPAN>(OFCIO) som samarbetar med partners inom regeringen för att utveckla cybersäkerhetspolicyer, genomföra data- driven tillsyn över byråns cybersäkerhetsprogram och samordna det federala svaret på cyberincidenter.</P>
<P class="p620 ft17">OMB arbetar kontinuerligt för att effektivt anpassa befintlig säker- hetspraxis till ett mer modernt teknologilandskap medan standardi- seringen bland federala myndigheter ökar.</P>
<P class="p70 ft20">Nationellt säkerhetsråd</P>
<P class="p289 ft17"><SPAN class="ft49">National Security Council </SPAN>(NSC) ansvarar för att koordinera policy- initiativ med presidentens seniora rådgivare samt befattningshavare inom militären och underrättelsetjänsten. Cybersäkerhetsdirektora- tet vid NSC ger bl.a. presidenter råd i frågor om cybersäkerhet av betydelse för nationell säkerhet. NSC och OMB samarbetar med federala myndigheter för att implementera administrationens cyber- säkerhetsprioriteringar.</P>
<P class="p70 ft20">Nationellt institut för tekniska standarder</P>
<P class="p71 ft45">National Institute of Standards and Technology <SPAN class="ft18">(NIST) är USA:s nationella institut för standarder och teknologi. NIST drivs av USA:s handelsdepartement och dess kärnverksamhet avser utveckling av kritiska mätningslösningar och informationssäkerhetsstandarder. NIST ansvarar för att utveckla riktlinjer, inklusive minimikrav för federala informationssystem. För ackreditering av evalueringsföre- tag ställer NIST vissa krav på och bedömer personalens kompetens samt anger evalueringskrav för ackreditering. NIST tillhandahåller även verktyg och vägledning för att öka användningen av kryptering.</SPAN></P>
<P class="p70 ft20">Kommitté för nationella säkerhetssystem</P>
<P class="p220 ft60">Committee on National Security Systems<SPAN class="ft46">, CNSS, är en organisation som på nationell nivå fastställer cybersäkerhetspolicy, direktiv, in- struktioner och vägledning för amerikanska departement och myn- digheter när det gäller skydd av nationella säkerhetssystem (se nedan).</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">310</P>
</DIV>
</DIV>
<DIV id="page_312">
<DIV id="p312dimg1">
<INGENBILD zsrc="H9B363312x1.jpg/" id="p312img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p90 ft20">Tillsyn och ansvar på sektornivå</P>
<P class="p232 ft18">I USA utövas tillsyn på cybersäkerhetsområdet vanligen sektoriellt. Olika federala departement och myndigheter har ansvar att verka sektorsspecifikt i respektive samhällsviktig sektor. Sektorsmyndig- heterna är ansvariga att samarbeta med DHS för att implementera <NOBR>NIPP-regleringen</NOBR> (National Infrastructure Protection Plan), utveckla skyddsprogram, resiliensstrategier och därmed sammanhängande krav, och ge vägledning om skydd av kritisk infrastruktur på sektornivå.<SPAN class="ft79">123</SPAN></P>
<P class="p131 ft26">Allmän reglering på cybersäkerhetsområdet</P>
<P class="p360 ft20">Inledning</P>
<P class="p110 ft18">De amerikanska myndigheterna har uppgett att cyberhotet är den största nationella säkerhetsutmaningen. USA ser ett tydligt behov av att inkludera alla relevanta aktörer i sitt cybersäkerhetsarbete. Detta återspeglas bl.a. i det faktum att myndigheterna i USA upprättat en s.k. ”whole of <NOBR>government”-strategi</NOBR> för cybersäkerhet (samma strategi som i kampen mot terrorism). I praktiken innebär detta att alla offentliga organ arbetar tillsammans över ansvarslinjer för att uppnå ett gemensamt mål att minska säkerhetsriskerna. Ett sådant tillväga- gångssätt ställer höga krav på inrättandet av funktionella samarbets- strukturer där alla relevanta aktörer deltar.<SPAN class="ft79">124 </SPAN>Det kan konstateras att USA lägger särskilt stort fokus på att förbättra cybersäkerheten genom att upprätta informationsdelningsstrukturer och samarbete mellan offentlig och privat sektor. Landet betonar behovet av ökad inno- vation relaterad till säkerhetslösningar till följd av allt strängare krav på effektivitet och mobilitet.</P>
<P class="p621 ft85"><SPAN class="ft56">123</SPAN><SPAN class="ft84">För övrigt finns inga krav på att ge statliga tjänstemän fysisk tillgång till anläggningar, på att i en nödsituation avstå från kontroll av anläggningar eller på att tillhandahålla källkod eller andra dekrypteringsfunktioner.</SPAN></P>
<P class="p622 ft58"><SPAN class="ft56">124</SPAN><SPAN class="ft96">Flera länder erkänner att mandat och befogenheter hos myndigheter ofta överlappar var- andra och att brist på samarbete och samarbete kan leda till framväxten av ”blinda fläckar”.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">311</P>
</DIV>
</DIV>
<DIV id="page_313">
<DIV id="p313dimg1">
<INGENBILD zsrc="H9B363313x1.jpg/" id="p313img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p255 ft20">Nationell cybersäkerhetsstrategi</P>
<P class="p220 ft17">2018 antog USA, genom presidenten och försvarsdepartementet, en ny nationella cybersäkerhetsstrategi.<SPAN class="ft54">125 </SPAN>Strategin fokuserar på stärkt samarbete, skydd av kritisk infrastruktur och säkrande av offentliga och privata system och information som rör försvaret samt främ- jandet av en säker digital ekonomi. Strategins mål är att försvara natio- nen och främja amerikanskt välstånd.</P>
<P class="p73 ft19">Strategin bygger på och utvecklar arbetet som påbörjats under <SPAN class="ft63">Executive Order 13800</SPAN>, <SPAN class="ft63">Strengthening the Cybersecurity of Federal Networks and Critical Infrastructure</SPAN>. Den verkställande ordern iden- tifierar betydelsen av uppdragsleverans, servicekvalitet och säkerstäl- lande av medborgarnas information även om skadliga cyberaktörer försöker störa dessa tjänster.</P>
<P class="p191 ft20">Verkställande order om cybersäkerhet</P>
<P class="p289 ft17">USA:s president undertecknade den 12 maj 2021 en verkställande order för att förbättra landets cybersäkerhet och skydda statliga nät- verk mot bakgrund av att den senaste tidens eskalerande cybersäker- hetsincidenter i offentlig och privat sektor talar för att cybersäker- hetsförsvaret är otillräckligt.</P>
<P class="p548 ft21">Den verkställande ordern syftar till att</P>
<P class="p258 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">förbättra delningen av cybersäkerhetsinformation mellan reger- ingen och privat sektor,</SPAN></P>
<P class="p30 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">stärka den nationella svarsförmågan,</SPAN></P>
<P class="p258 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">implementera starkare cybersäkerhetsstandarder i den federala regeringen,</SPAN></P>
<P class="p136 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">förbättra mjukvarusäkerheten i leveranskedjan,</SPAN></P>
<P class="p34 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">inrätta en styrelse för granskning av cybersäkerhet,</SPAN></P>
<P class="p34 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">inrätta en handbok för svar på cyberincidenter,</SPAN></P>
<P class="p258 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">förbättra detekteringen av cybersäkerhetsincidenter mot statliga nätverk, och</SPAN></P>
<P class="p136 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">förbättra utredande och avhjälpande förmågor.</SPAN></P>
<P class="p623 ft113"><SPAN class="ft56">125</SPAN><SPAN class="ft119">Se </SPAN><NOBR>www.defense.gov/Explore/News/Article/Article/1641969/white-house-releases-first-</NOBR> <NOBR>national-cyber-strategy-in-15-years.</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">312</P>
</DIV>
</DIV>
<DIV id="page_314">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p90 ft20">Ramverk för cybersäkerhet</P>
<P class="p91 ft45">The Cybersecurity Enhancement Act of 2014 <SPAN class="ft18">är en lag på federal nivå som syftar till att tillhandahålla ett </SPAN><NOBR><SPAN class="ft18">offentlig-privat</SPAN></NOBR><SPAN class="ft18"> partnerskap för att stärka cybersäkerheten och allmänhetens kunskap på området.</SPAN></P>
<P class="p186 ft17">NIST har i samarbete med regeringen och privat sektor tagit fram ett ramverk för cybersäkerhet vilket ratificerats av kongressen som ett ansvarsområde inom <SPAN class="ft49">the Cybersecurity Enhancement Act of 2014</SPAN>. Ramverket, som är frivilligt och används brett, syftar till att hjälpa organisationer att hantera sina cybersäkerhetsrisker och <NOBR>-incidenter</NOBR> med anpassade åtgärder.</P>
<P class="p58 ft18">Även om det inte är vanligt att ha en allmän lag för cybersäkerhet används allt fler standarder som grund för informationssäkerhets- arbetet. Många av dessa standarder överlappar varandra genom att de reglerar implementeringen av ett kontrollsystem för informations- säkerhet, med målet om ett mer strukturerat och systematiskt arbete för att förbättra kvaliteten på informationssäkerheten i allmänhet och genomförandet av riskreducerande åtgärder i synnerhet. Ett exempel på en sådan standard är <SPAN class="ft45">Framework for Improving Critical Infra- structure Cybersecurity</SPAN>, publicerad av <SPAN class="ft45">National Institute of Standards and Technology </SPAN>(NIST) i USA.</P>
<P class="p131 ft20">Program för evaluering av kommersiellt utvecklade <NOBR>it-produkter</NOBR></P>
<P class="p91 ft18">NIAP tillhandahåller gemensamma kriterier för testning och valider- ing av kommersiellt utvecklade <NOBR>it-produkter.</NOBR> NIAP ansvarar för den nationella, <SPAN class="ft45">Common </SPAN><NOBR><SPAN class="ft45">Criteria</SPAN>-baserade,</NOBR> certifieringsordningen <SPAN class="ft45">CCEVS</SPAN>. <SPAN class="ft45">CCEVS </SPAN>tillämpas för evalueringar av kommersiella <NOBR>it-produkter</NOBR> för användning i nationella säkerhetssystem. I samarbete med NIST god- känner NIAP också testningslaboratorier som ska utföra säkerhets- evalueringar i den privata sektorn enligt <SPAN class="ft45">Common Criteria</SPAN>.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">313</P>
</DIV>
</DIV>
<DIV id="page_315">
<DIV id="p315dimg1">
<INGENBILD zsrc="H9B363315x1.jpg/" id="p315img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p255 ft20">Federala myndigheters informationssäkerhet</P>
<P class="p220 ft19">I amerikansk lag föreskrivs att <SPAN class="ft63">the Director of the Office of Manage- men</SPAN>t<SPAN class="ft63">, </SPAN>i samråd med <SPAN class="ft63">the Secretary of Homeland Security</SPAN>, ska bestämma vilka standarder för informationssäkerhet som ska användas för fede- rala system, och bli kontrollerade emot.<SPAN class="ft101">126</SPAN></P>
<P class="p105 ft49">Federal Information Security Modenization Act 2014 <SPAN class="ft17">(FISMA) är en lag som reglerar federal informationssäkerhet. FISMA identifie- rar myndighetens chef som ansvarig för sin respektive organisations förhållningssätt till cybersäkerhet. Myndigheterna är ansvariga för att allokera nödvändig personal, processer och teknologi för att skydda federal data.</SPAN><SPAN class="ft54">127</SPAN></P>
<P class="p106 ft18"><SPAN class="ft45">Office of Management and Budget </SPAN>(OMB) publicerar årliga rap- porter i enlighet med FISMA vilka bl.a. innehåller analyser av in- trångsdetekterings- och förebyggande kapacitet samt och uppgifter som rapporterats av federala myndigheter. Rapporten sammanfattar även cybersäkerhetsprestandan hos myndigheterna utifrån självbedöm- ningar som respektive informationschef gjort. Självbedömningen är en skriftlig redogörelse som ger varje myndighet möjlighet att er- bjuda inblick i framgångar eller utmaningar från det senaste året, och i vissa fall formulera myndighetens framtida prioriteringar.</P>
<P class="p73 ft45">NIST Risk Management Framework <SPAN class="ft18">(RMF) är grunden för krav och kontroll av alla federala myndigheters informations- och </SPAN><NOBR><SPAN class="ft18">it-säker-</SPAN></NOBR><SPAN class="ft18"> het. I FISMA uppställs krav för myndigheterna avseende skydd av alla </SPAN><NOBR><SPAN class="ft18">it-system</SPAN></NOBR><SPAN class="ft18"> som dessa hanterar. RMF behandlar även nationell säkerhet. Ramverket består av en enhetlig klassningsmodell med krav på åtgärder beroende på informationens och systemens klassifiering. Det innehåller möjlighet till lokala anpassningar, regler för kontroll av efterlevnad (certifiering) samt driftsgodkännande av verksamhets- ansvarig (ackreditering).</SPAN><SPAN class="ft79">128</SPAN></P>
<P class="p106 ft21"><SPAN class="ft20">NIST Cybersecurity framework </SPAN>(CSF) är till skillnad från RMF ett frivilligt stöd till privata aktörer att välja ett adekvat skydd. I prin-</P>
<P class="p624 ft85"><SPAN class="ft56">126</SPAN><SPAN class="ft84">Sektorsmyndigheter är skyldiga att arbeta med the </SPAN><SPAN class="ft93">Department of Homeland Security </SPAN>för att implementera det sektoriella <NOBR>NIPP-partnerskapsmodellen</NOBR> och ramverk för riskhantering, utveckla skyddande program, resiliensstrategier m.m. och på sektornivå tillhandahålla väg- ledning om skydd för kritisk infrastruktur.</P>
<P class="p625 ft85"><SPAN class="ft56">127</SPAN><SPAN class="ft84">Varje myndighetschef är ansvarig för att delegera denna behörighet till informationssäker- hetschefen.</SPAN></P>
<P class="p626 ft87"><SPAN class="ft56">128</SPAN><SPAN class="ft86">Krav som ingår i RMF är ”mappade” mot ISO 27001 (och tvärtom, men noteras bör att vilka åtgärder som ska göras inte styrs av ISO 27000 eftersom i den senare överlåts risk- bedömningen och val av åtgärder till verksamhetsutövaren, vilket är mycket mer centralt styrt i RMF).</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">314</P>
</DIV>
</DIV>
<DIV id="page_316">
<DIV id="p316dimg1">
<INGENBILD zsrc="H9B363316x1.jpg/" id="p316img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p77 ft18">cip delar CSF upp åtgärder i olika kategorier. Inom respektive kate- gori kan man välja en nivå. Man kan därmed skapa profiler för olika typer av verksamheter som anger vilka nivåer man bör sträva efter i varje nivå. Sådana profiler finns utarbetade inom flera sektorer. CSF är standardsoberoende, dvs. man kan använda CSF och dess metodik tillsammans med andra standarder, beroende på vad respektive orga- nisation redan valt att använda. CSF kan därmed sägas vara ett slags ”metaspråk” för säkerhetsåtgärder.<SPAN class="ft79">129 </SPAN>CSF kan även användas av orga- nisationers ledningar för att förstå nuläget samt besluta om vilken profil den egna organisationen ska ha och utgör samtidigt ett verktyg för ledningarna att mäta och styra arbetet.</P>
<P class="p65 ft19">NIST SP <NOBR>800-171</NOBR> är en särskild publikation som anger krav för skydd av konfidentialitet i s.k. kontrollerad oklassificerad informa- tion (CUI).<SPAN class="ft101">130 </SPAN>Dokumentet innehåller rekommendationer som riktar sig till federala myndigheter och behandlar säkerhetskontroller av komponenter tillverkade av kommersiella aktörer. Kraven används av federala myndigheter som ingått avtal med <NOBR>icke-federala</NOBR> organi- sationer. Riktlinjerna är tillämpliga på alla federala informationssystem med undantag för nationella säkerhetssystem (se nedan). Syftet är att de krav som ställs på organisationer och informationssystem ska överensstämma med och komplettera andra etablerade informations- säkerhetsstandarder.</P>
<P class="p109 ft18">NIST SP <NOBR>800-53</NOBR> tillhandahåller en katalog av säkerhetskontroller för federala informationssystem och organisationer samt en process för att välja anpassbara kontroller som ska skydda tillgångar, individer och nationen från en serie olika hot, däribland antagonistiska cyber- attacker, som uppkommer i samband med driften av informations- system. Säkerhetskontrollerna är utformade för att främja överens- stämmelse med tillämplig författning och gällande standarder och</P>
<P class="p627 ft85"><SPAN class="ft56">129</SPAN><SPAN class="ft141">Genom att organisationer som i sig valt olika standarder (t.ex. NIST RMF, ISO 27000, CMMC etc.) alla ganska lätt kan karaktärisera sig via CSF, så är CSF ett sätt att lätt skapa jämförelser mellan olika organisationers införda säkerhetsåtgärder.</SPAN></P>
<P class="p628 ft58"><SPAN class="ft56">130</SPAN><SPAN class="ft96">Publikationen utvecklades till följd av NIST:s ansvar enligt </SPAN><SPAN class="ft100">Federal Information Security Modenization Act 2014 </SPAN>(FISMA). Vid framtagandet av standarder och riktlinjer med anledning av FISMA efterhör NIST med andra federala myndigheter och privat sektor för att förbättra informationssäkerhet och effektivitet samt tillse att publikationerna kompletterar standar- derna och riktlinjerna som antagits för att skydda nationella säkerhetssystem. NIST arbetar också med diverse aktörer för att upprätta kartläggningar av och relationer till säkerhetsstan- darder och riktlinjer som utvecklats av <SPAN class="ft100">International Organization for Standardization and International Electrotechnical Commission </SPAN>(ISO/IEC). NIST innehåller ett flertal delmoment för anpassning till den egna verksamheten.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">315</P>
</DIV>
</DIV>
<DIV id="page_317">
<DIV id="p317dimg1">
<INGENBILD zsrc="H9B363317x1.jpg/" id="p317img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p189 ft21">adresserar krav tvärs över den federala regeringen och kritisk infra- struktur.</P>
<P class="p104 ft17">NIST SP <NOBR>800-53,</NOBR> <NOBR>800-53A</NOBR> respektive <NOBR>800-37</NOBR> beskriver en riskhan- teringsprocess som inbegriper kategorisering av informationssystem, val och bedömning<SPAN class="ft54">131 </SPAN>av säkerhetskontroller samt godkännande av informationssystemens drift.</P>
<P class="p73 ft18"><SPAN class="ft45">FIPS Publication 200 </SPAN>är en obligatorisk federal standard utveck- lad av NIST som uppställer minimikrav på säkerhet i federala in- formationssystem och kan kombineras med NIST SP <NOBR>800-53.</NOBR> NIST SP <NOBR>800-53</NOBR> avser vidare att ge stöd åt federala myndigheter att möta kraven i FIPS 200. Sådana standarder och riktlinjer som NIST tar fram får dock inte tillämpas på nationella säkerhetssystem utan ut- tryckligt godkännande av behöriga federala tjänstemän som utövar politisk auktoritet över sådana system, om än riktlinjerna i NIST SP <NOBR>800-53</NOBR> utvecklats för att komplettera liknande vägledning för natio- nella säkerhetssystem (se nedan).</P>
<P class="p70 ft20">Kommersiella lösningar för hantering av klassificerad information</P>
<P class="p285 ft45"><SPAN class="ft18">NSA:s program </SPAN>Commercial Solutions for Classified <SPAN class="ft18">(CSfC) gör det möjligt för kommersiella produkter att användas i lagerlösningar som skyddar klassificerad </SPAN><NOBR><SPAN class="ft18">NSS-information.</SPAN></NOBR><SPAN class="ft18"> NSA:s strategi för att skydda klassificerad information inbegriper både kommersiellt baserade och traditionella </SPAN><NOBR><SPAN class="ft18">”Government-off-the-Shelf</SPAN></NOBR><SPAN class="ft18"> Information Assurance” </SPAN><NOBR><SPAN class="ft18">-lösningar.</SPAN></NOBR><SPAN class="ft18"> Informationsassuransdirektoratet (IAD) letar emellertid först efter kommersiell teknik för att formulera lösningar som hjäl- per kunder att skydda klassificerad information. En anledning är att detta tillvägagångssätt kan ge snabbare lösningar. Lösningarna enligt CSfC är designade eller godkända av NSA. Berörda komponenter ska vidare vara validerade enligt NIAP och uppfylla skyddsprofil- kraven samt valideras mot </SPAN>Common Criteria<SPAN class="ft18">. Slutligen ska de inbyggda assuransfunktionerna vara baserade på standarder, såsom NIST </SPAN><NOBR><SPAN class="ft18">800-30.</SPAN></NOBR></P>
<P class="p629 ft113"><SPAN class="ft56">131</SPAN><SPAN class="ft119">Ansvaret för utförandet av säkerhetskontrollbedömningar ligger ofta hos informations- systemets ägare. Kontrollbedömningarna visar att de kontroller som organisationen valt imple- menteras korrekt och uppfyller kraven på säkerhet i författningar och standarder.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">316</P>
</DIV>
</DIV>
<DIV id="page_318">
<DIV id="p318dimg1">
<INGENBILD zsrc="H9B363318x1.jpg/" id="p318img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p90 ft20">Upphandling av informationssäkerhetssystem</P>
<P class="p232 ft18">USA har haft regler som krävt att vissa myndigheter ska begära god- kännande av tillsynsmyndigheter vid upphandling av informations- säkerhetssystem.<SPAN class="ft79">132 </SPAN><SPAN class="ft45">Federal Acquisition Regulation </SPAN>är en uppsättning regler om offentlig upphandling som omfattar alla upphandlingar och avtalsprocedurer associerade med den amerikanska regeringen. DoD är det administrativa organet bakom regelverket.</P>
<P class="p11 ft60"><SPAN class="ft46">Enligt </SPAN>Defence Federal Acquisition Regulation Supplement <SPAN class="ft46">(DFARS, paragraf </SPAN><NOBR><SPAN class="ft46">252.204-7012)</SPAN></NOBR><SPAN class="ft46"> måste leverantörer eller tillverkare på för- svarsområdet implementera de av NIST rekommenderade kraven för att påvisa tillräcklig informationssäkerhet. För tillverkare som är del av en federal eller statlig myndighets leverantörskedja är säkerhets- kraven obligatoriska. </SPAN>The Manufacturing Extension Partnership National Network <SPAN class="ft46">vid NIST tillhandahåller en handbok om självbedömning, </SPAN>NIST Handbook 162<SPAN class="ft46">, som är avsedd att hjälpa tillverkare som leve- rerar produkter åt DoD att bedöma sin cybersäkerhet i förhållande till säkerhetskraven i NIST SP </SPAN><NOBR><SPAN class="ft46">800-171</SPAN></NOBR><SPAN class="ft46"> och DFARS.</SPAN><SPAN class="ft97">133 </SPAN><SPAN class="ft46">Även privata organisationer och andra aktörer uppmuntras att använda sig av väg- ledningen.</SPAN></P>
<P class="p630 ft26">IKT i säkerhetskänslig verksamhet</P>
<P class="p360 ft20">Federala informationssystem och nationella säkerhetssystem</P>
<P class="p631 ft21">Nationella säkerhetssystem (NSS)<SPAN class="ft102">134</SPAN>, och även många andra infor- mationssystem, är föremål för avancerade cyberhot.</P>
<P class="p122 ft18">NIAP (se ovan) samarbetar med användare av nationella säker- hetssystem för att säkerställa att skyddsprofiler tillhandahåller en strömlinjeformad certifieringsväg för kommersiella informationssäker- hetsprodukter som används i deras system. Som ovan nämnts kan CSfC möjliggöra användning av kommersiella produkter i lösningar som skyddar klassificerad <NOBR>NSS-information.</NOBR></P>
<P class="p632 ft93"><SPAN class="ft56">132</SPAN><SPAN class="ft84">I </SPAN>Cybersecurity law overview – a report by Mannheimer Swartling<SPAN class="ft85">, april 2017, s. 4 (fotnot 10), anges att regleringen sedan 2016 verkar kräva en självbedömning.</SPAN></P>
<P class="p398 ft58"><SPAN class="ft56">133</SPAN><SPAN class="ft96">Råden kan lämna utrymme för alternativa metoder att bibehålla säkerhet så länge tillverka- ren meddelar behörig myndighet om ändringarna och får dem godkända. I slutändan kan öve- rensstämmelse med DFARS endast uppnås genom godkännande av DoD.</SPAN></P>
<P class="p205 ft58"><SPAN class="ft56">134</SPAN><SPAN class="ft96">Ett nationellt säkerhetssystem är ett informationssystem (inklusive alla telekommunika- tionssystem) som används eller drivs av en myndighet och har betydelse för nationell säkerhet.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">317</P>
</DIV>
</DIV>
<DIV id="page_319">
<DIV id="p319dimg1">
<INGENBILD zsrc="H9B363319x1.jpg/" id="p319img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p276 ft18">Den riskhanteringsprocess som beskrivs i NIST SP <NOBR>800-53,</NOBR> <NOBR>800-53A</NOBR> respektive <NOBR>800-37</NOBR> har tidigare redogjorts för. <SPAN class="ft45">CNSS Instruction 1253 </SPAN>tillhandahåller motsvarande vägledning i fråga om nationella säker- hetssystem.<SPAN class="ft79">135 </SPAN>Tillstånd att driftsätta eller använda ett informations- system ges av behöriga tjänstemän och baseras på att säkerhetsrisken för organisationen, individer och nationen är acceptabel. Den slutgil- tiga åtgärden innan ett system tas i drift är alltså att den godkännande tjänstemannen uttryckligen accepterar risken. Varje steg i riskhan- teringsramverket kan utföras av <NOBR>icke-federala</NOBR> externa leverantörer med undantag för auktoriseringssteget – dvs. acceptansen av risker är ett inneboende federalt ansvar för vilket ledande befattningshavare hålls ansvariga.<SPAN class="ft79">136</SPAN></P>
<P class="p115 ft46"><SPAN class="ft60">CNSS Instruction 1253 </SPAN>tillhandahåller, med stöd av det nationella säkerhetsdirektivet (National Security Directive 42), federala organi- sationer en process för säkerhetskategorisering av nationella säkerhets- system som hanterar nationell säkerhetsinformation.<SPAN class="ft97">137 </SPAN>Instruktionen hänvisar också till en omfattande uppsättning säkerhetskontroller och förbättringar förknippade med valet av den bestämda nivån av potentiell påverkan (eller förlust) på konfidentialitet, integritet och tillgänglighet som kan tillämpas på alla nationella säkerhetssystem som utvecklats och används av den nationella säkerhetsgemenskapen<SPAN class="ft97">138</SPAN>. Följaktligen tillhandahåller instruktionen även skräddarsydda väg- ledningar, så att organisationer kan välja en robust uppsättning säker- hetskontroller för att säkra sina nationella säkerhetssystem, baserat på bedömd risk. Instruktionen är avsedd att användas som ett verk- tyg av ingenjörer för informationssäkerhetssystem, auktoriserade tjänstemän och informationssäkerhetsansvariga på myndigheter för att kunna välja och komma överens om lämpligt skydd för ett natio- nellt säkerhetssystem.</P>
<P class="p633 ft46">Alla federala organisationer som driver, använder eller förvaltar nationella säkerhetssystem måste etablera och implementera ett risk- hanteringsprogram för informationsassurans (IARMP). Det finns vidare</P>
<P class="p70 ft87"><SPAN class="ft56">135</SPAN><SPAN class="ft86">Den innehåller även riktlinjer om grundläggande säkerhetskontroller.</SPAN></P>
<P class="p373 ft58"><SPAN class="ft56">136</SPAN><SPAN class="ft96">Auktoriseringsbeslutet är direkt kopplat till hanteringen av risker relaterade till upphand- ling och användning av komponentprodukter, system och tjänster från externa leverantörer.</SPAN></P>
<P class="p223 ft85"><SPAN class="ft56">137</SPAN><SPAN class="ft84">Kunder med nationella säkerhetssystem (NSS) måste följa CNSSI 1253:s krav och kontroller. Dessas system testas mot instruktionens säkerhetskontroller.</SPAN></P>
<P class="p600 ft58"><SPAN class="ft56">138</SPAN><SPAN class="ft96">Dessa federala organisationer är ansvariga för att processa klassificerad säkerhetsinforma- tion och har ett behov av att säkert kunna överföra sekretessbelagd information mellan säkerhets- domäner utan att kompromissa säkerheten hos informationen eller respektive domän.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">318</P>
</DIV>
</DIV>
<DIV id="page_320">
<DIV id="p320dimg1">
<INGENBILD zsrc="H9B363320x1.jpg/" id="p320img1">
</DIV>
<DIV id="id_1">
<P class="p0 ft32">SOU 2021:63<SPAN style="padding-left:323px;">Internationell utblick</SPAN></P>
<P class="p244 ft21">ett riskhanteringsramverk (RMF) som syftar till att underlätta organisationernas riskhantering.</P>
<P class="p122 ft18">CNSSI 1253 bygger på NIST SP <NOBR>800-53</NOBR> och är ämnad att fungera som ett kompletterande dokument till denna publikation. En skill- nad är emellertid att CNSSI <NOBR>1253-metoden</NOBR> uttryckligen definierar associeringar av konfidentialitet, integritet och tillgänglighet med säkerhetskontroller och förfinar användningen av säkerhetskontroller för den nationella säkerhetsgemenskapen. CNSS använder vidare flera separata kategoriseringar för respektive säkerhetsmål. Instruktionen tillhandahåller sedan lämpliga säkerhetsbaslinjer för varje möjlig systemkategorisering med hjälp av kontroller från NIST SP <NOBR>800-53.<SPAN class="ft79">139</SPAN></NOBR><SPAN class="ft79"> </SPAN>För nationella säkerhetssystem, där skillnad förekommer mellan CNSSI 1253 och <NOBR>NIST-dokumentation,</NOBR> äger instruktionen företräde.</P>
<P class="p111 ft18">Därefter görs en tredjepartsbedömning<SPAN class="ft79">140 </SPAN>genom att en organisa- tion oberoende validerar en aktörs systems överensstämmelse med CNSSI 1253. Undersökande organisation intygar att en säkerhets- bedömningsrapport (SAR) enligt CNSSI 1253 från berörd aktör ger en fullständig bedömning av de tillämpliga säkerhetskontroller som anges i säkerhetsbedömningsplanen (SAP). SAR dokumenterar test- ningen för att validera systemet mot ett urval av CNSSI <NOBR>1253-säker-</NOBR> hetskontroller för system som exempelvis kan kräva hög konfiden- tialitet, hög integritet och hög tillgänglighet.<SPAN class="ft79">141</SPAN></P>
<P class="p216 ft17">I många fall behövs ytterligare säkerhetskontroller eller förbätt- rade kontroller för att möta de specifika hoten mot eller sårbarheterna hos ett nationellt säkerhetssystem.</P>
<P class="p131 ft20">Ytterligare tekniska säkerhetsåtgärder för informationssystem</P>
<P class="p91 ft46">Den nationella säkerhetsgemenskapen har policyn att medlemsorga- nisationer ska tillämpa ömsesidighet med avseende på certifiering av system och systemkomponenter i möjligaste mån.<SPAN class="ft97">142 </SPAN>I CNSS 1253</P>
<P class="p634 ft85"><SPAN class="ft56">139</SPAN><SPAN class="ft84">Det är chefen för organisationen som avgör vilken metod för val av säkerhetskontroller som ska användas för det egna nationella säkerhetssystemet. Ett nationellt säkerhetssystem – som tillhandahåller unika funktioner, fungerar i olika miljöer och är föremål för avancerade cyberhot – förutsätter att en riskbaserad metod antas på företagsnivå när de slutliga säkerhets- kontrollerna ska implementeras.</SPAN></P>
<P class="p317 ft87"><SPAN class="ft56">140</SPAN><SPAN class="ft90">Denna ska vara godkänd av tillämplig standard.</SPAN></P>
<P class="p635 ft107"><SPAN class="ft56">141</SPAN><SPAN class="ft105">Testade säkerhetskontroller kan analyseras för att bestämma vilka säkerhetskontroller som ska testas för att säkerställa överensstämmelse med CNSSI 1253:s säkerhetsbaslinjer.</SPAN></P>
<P class="p294 ft41"><SPAN class="ft56">142</SPAN><SPAN class="ft82">För att stödja reciprocitet mellan nationella säkerhetsorganisationer kräver många para- metrar i NIST SP </SPAN><NOBR>800-53-kontrollkatalogen</NOBR> specifik instansiering.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">319</P>
</DIV>
</DIV>
<DIV id="page_321">
<DIV id="p321dimg1">
<INGENBILD zsrc="H9B363321x1.jpg/" id="p321img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft18">definieras värden<SPAN class="ft79">143 </SPAN>för tillämpliga kontroller som skapar en standard för att certifiera att en kontroll mildrar ett hot. I olika risktrösklar eller hotscenarier kan vissa ansvariga operatörer kräva att system avviker från denna standard. I dessa situationer kan ytterligare tek- niker läggas till, eller arkitektoniska implementeringar modifieras för att på ett adekvat sätt minska risken. Genom att upprätta en standard för nyckelparametrar har organisationer en känd baslinje när de accepterar certifieringar av teknik eller system från andra orga- nisationer inom den nationella säkerhetsgemenskapen och behöver inte duplicera den nivån av certifiering.<SPAN class="ft79">144</SPAN></P>
<P class="p73 ft18">Organisationstjänstemän, såsom informationssystemets ägare, uppdragsgivare, auktoriserare och informationssäkerhetschefer, bör bestämma de användningsbegränsningar som, med anledning av cyber- hot, krävs för systemet. Exempel på användningsbegränsningar är begränsning av antingen informationen som ett informationssystem kan bearbeta, lagra eller överföra eller sättet på vilket ett uppdrag automatiseras, att förbjuda externa informationssystem åtkomst till kritisk organisationsinformation genom att ta bort utvalda system- komponenter från nätverket (dvs. ”air gapping”), samt att förbjuda information med måttlig eller stor påverkan på ett informations- system som allmänheten kan få tillgång till, såvida inte ett uttryckligt beslut fattas som tillåter sådan åtkomst.</P>
<P class="p106 ft19">Alla företag som ska leverera på uppdrag av DoD måste nå upp till en viss typ av krav och certifieringssystem som USA utvecklat. Det rör sig om fem nivåer av säkerhet enligt <SPAN class="ft63">Cybersecurity Maturity Model Certification </SPAN>(CMMC) – ett obligatoriskt regelverk för leve- rantörer<SPAN class="ft101">145 </SPAN>som DoD nyligen tagit fram.<SPAN class="ft101">146 </SPAN>CMMC granskar och kom- binerar olika cybersäkerhetsstandarder och bästa praxis och kart-</P>
<P class="p453 ft85"><SPAN class="ft56">143</SPAN><SPAN class="ft84">T.ex. ytterligare precisering av hur och i vilken omfattning vissa kontroller ska ske när det gäller nationella säkerhetssystem.</SPAN></P>
<P class="p636 ft58"><SPAN class="ft56">144</SPAN><SPAN class="ft96">När ömsesidigt erkännande av certifiering ska utsträckas över auktoriserande tjänstemän, eller när ett system tillhandahåller säkerhet för ett annat system, förhandlas värdena för dessa parametrar mellan relevanta auktoriserare, och resultaten dokumenteras för båda systemen.</SPAN></P>
<P class="p222 ft87"><SPAN class="ft56">145</SPAN><SPAN class="ft86">Detta gäller bl.a. för svenska företag som Saab och Combitech.</SPAN></P>
<P class="p292 ft85"><SPAN class="ft56">146</SPAN><SPAN class="ft84">CMMC utvecklades av DoD i samarbete med </SPAN><SPAN class="ft93">Carnegie Mellon University </SPAN>och <SPAN class="ft93">Johns Hopkins University Applied Physics Laboratory</SPAN>. Det primära målet med modellen är att skydda information från försvarsindustriella och tekniska basen (DIB). Informationen som omfattas av CMMC är klassificerad som antingen ”Federal Contract Information”, information från eller till regeringen enligt kontrakt som inte är avsett för offentliggörande, eller ”Controlled Unclassified Information”, information som kräver skydd eller spridningskontroll i enlighet med författningar och regeringsövergripande policy. CMMC mäter cybersäkerhetsmognad och tillhandahåller bästa praxis tillsammans med ett certifieringselement för att säkerställa implementeringen av metoder som är associerade med varje mognadsnivå. Den senaste versio- nen släpptes 2020.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">320</P>
</DIV>
</DIV>
<DIV id="page_322">
<DIV id="p322dimg1">
<INGENBILD zsrc="H9B363322x1.jpg/" id="p322img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p77 ft18">lägger dessa kontroller och processer över flera mognadsnivåer som sträcker sig från grundläggande cyberhygien till avancerad. CMMC är endast tillämplig på <NOBR>DIB-entreprenörers</NOBR> oklassificerade nätverk som hanterar federal kontraktsinformation eller kontrollerad oklassi- ficerad information. För en given <NOBR>CMMC-nivå</NOBR> kommer tillhörande kontroller och processer, när de implementeras, att minska risken mot en specifik uppsättning cyberhot. Självbedömning är inte tillåtet. Målet är att CMMC ska vara kostnadseffektivt och överkomligt för småföretag att implementera på lägre <NOBR>CMMC-nivåer.</NOBR> Auktoriserade och ackrediterade oberoende bedömningsorganisationer (C3PAO) kommer att genomföra bedömningar och utfärda <NOBR>CMMC-certifikat</NOBR> till <SPAN class="ft45">Defense Industrial </SPAN><NOBR><SPAN class="ft45">Base</SPAN>-företag</NOBR> (DIB) på lämplig nivå. Före denna process uppmuntras <NOBR>DIB-företag</NOBR> att genomföra en självbedömning enligt CMMC:s bedömningsguide.<SPAN class="ft79">147</SPAN></P>
<P class="p119 ft46">CMMC kan sägas bestå av en serie åtgärder inom olika kategorier av områden som företag har att genomföra. CMMC delas in i fem mognadsnivåer där organisationen behöver både införa egna konkreta åtgärder (som till stor del kommer från NIST RMF) inom respektive kategori samt egen förmåga att självständigt hantera säkerhetsarbetet. Ju högre mognadsnivå, desto större fokus sätts på organisationens egen personal, kompetens och förmåga att hänga med i teknikut- vecklingen och täppa till säkerhetsproblem för egen maskin (utan att krav på varje enskild åtgärd ingår i listan av åtgärder från NIST). Varje organisation måste underkastas extern kontroll och bedömning (dvs. certifiering). DoD ställer sedan krav på vilken nivå organisatio- ner måste ha nått för att få delta i mer eller mindre kritiska upp- handlingar.</P>
<P class="p637 ft18">CMMC på lägsta nivån kräver inte utförligt pappersarbete och omfattande dokumentering utan inför ett antal obligatoriska säker- hetsåtgärder. På nivå 2 behöver man bygga bl.a. ledningssystem. På nivå 3 krävs ett fulländat certifieringssystem, och många krav enligt <NOBR>NIST-regelverket</NOBR> aktualiseras.<SPAN class="ft79">148 </SPAN>På övre nivåerna är de krav som ökar att myndigheten eller företaget ska visa att man har tillgång till experter som systematiskt arbetar inom <NOBR>it-säkerhet,</NOBR> har kompetens och följer med i utvecklingen på området – alltså krav på personal</P>
<P class="p638 ft85"><SPAN class="ft56">147</SPAN><SPAN class="ft84">NSA utvecklar </SPAN><NOBR>produktnivå-krav</NOBR> i statliga skyddsprofiler och möjliggör för kunder att välja komponenter från <NOBR>CSfC-listan.</NOBR></P>
<P class="p639 ft113"><SPAN class="ft56">148</SPAN><SPAN class="ft119">På nivå 3 inkluderar CMMC de 110 säkerhetskrav som specificeras i NIST SP </SPAN><NOBR>800-171.</NOBR> Därutöver inkorporerar modellen ytterligare processer från ett antal andra standarder och källor, bl.a. avseende kritiska säkerhetskontroller för effektiv cyberförsvarsförmåga.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">321</P>
</DIV>
</DIV>
<DIV id="page_323">
<DIV id="p323dimg1">
<INGENBILD zsrc="H9B363323x1.jpg/" id="p323img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p152 ft53">som säkerhetsanalyseras på ett effektivt sätt. Härigenom tilldelar led- ningen resurser åt cybersäkerhetsarbetet. Cyberskyddsansvariga måste ha viss kompetensnivå och ska även genomgå kurser för att få behöv- ligt certifikat i sin arbetsroll.</P>
<P class="p640 ft26">Sammanfattning av särskilda krav på IKT i säkerhetskänslig verksamhet</P>
<P class="p261 ft18">Av inhämtade uppgifter framgår att det finns departement och cen- trala myndigheter i USA med ansvar för nationell informations- och cybersäkerhet. Det finns bl.a. krav på att driftsättningen av federala informationssystem ska godkännas av behöriga federala tjänstemän. Nationella säkerhetssystem som behandlar nationell säkerhetsinfor- mation fordrar ytterligare säkerhetskrav som behöver godkännas. Vidare ska sådana system genomgå en oberoende tredjepartsbedöm- ning där systemets överensstämmelse med särskilda instruktioner på området valideras. I USA kan kommersiella informationssäkerhets- produkter i förhållandevis stor utsträckning användas för att skydda nationella säkerhetssystem och klassificerad information (om lös- ningarna är godkända av NSA och assuransfunktionerna validerade).<SPAN class="ft79">149</SPAN></P>
<P class="p70 ft48"><SPAN class="ft48">9.10</SPAN><SPAN class="ft135">Kanada</SPAN></P>
<P class="p213 ft26">Aktörer inom informations- och cybersäkerhet</P>
<P class="p413 ft20">CSE – kommunikationssäkerhet</P>
<P class="p220 ft18">I Kanada har den statliga myndigheten <SPAN class="ft45">Communications Security Establishment Canada </SPAN>(CSE) det främsta ansvaret för <NOBR>it-säkerhet</NOBR> och skyddet av federala institutioners elektroniska information och informationsinfrastruktur<SPAN class="ft79">150 </SPAN>av betydelse för den kanadensiska sta- ten. CSE är ansvarig för landets signalspaning och utgör den tekniska myndigheten för cybersäkerhet. Myndigheten ska försvara statliga</P>
<P class="p641 ft107"><SPAN class="ft56">149</SPAN><SPAN class="ft105">Det framstår som att utgångspunkten i USA är att ansvaret för godkännande av system ytterst ska ligga hos en enskild person/personal, snarare än på organisationen som sådan.</SPAN></P>
<P class="p210 ft87"><SPAN class="ft56">150</SPAN><SPAN class="ft86">Myndigheten får använda och avslöja infrastrukturinformation för att testa system eller genomföra cybersäkerhets- och informationssäkringsaktiviteter på den infrastruktur från vilken informationen förvärvades. Information om en kanadensare eller en person i Kanada kan anskaffas tillfälligtvis under utförandet av aktiviteter enligt ett lagligen grundat/utfärdat tillstånd.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">322</P>
</DIV>
</DIV>
<DIV id="page_324">
<DIV id="p324dimg1">
<INGENBILD zsrc="H9B363324x1.jpg/" id="p324img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p121 ft17">nätverk och system samt skydda mot cybersäkerhetshot. Vidare ska myndigheten leda utvecklingen av betrodda leverantörer för staten och kritisk infrastruktur samt motverka risken för opålitlig utrust- ning. Ansvarsområdet omfattar också upphandling, distribution, kon- troll och användning av kryptografiska enheter och krypteringsnyckel- material för nationella säkerhetssystem.</P>
<P class="p111 ft46">CSE:s verksamhet inbegriper bl.a. testning och evaluering av pro- dukter, mjukvara och system.<SPAN class="ft97">151 </SPAN>Som certifieringsorgan utfärdar CSE nödvändiga certifikat om godkännande av evaluerare. CSE driver också det nationella cybersäkerhetscentret (se nedan).</P>
<P class="p5 ft20">Nationellt cybersäkerhetscenter</P>
<P class="p232 ft45">The Canadian Centre for Cyber Security <SPAN class="ft18">är landets myndighet för cybersäkerhet. Centret samarbetar med både den offentliga och pri- vata sektorn. Centret bedriver operativ cybersäkerhetsverksamhet och leder regeringens arbete med anledning av cybersäkerhetshändelser. Myndigheten inrymmer även den nationella </SPAN><NOBR><SPAN class="ft18">CSIRT-funktionen</SPAN></NOBR><SPAN class="ft18"> (Computer Security Incident Response Team).</SPAN></P>
<P class="p146 ft17">Centrets verksamhetsområden inbegriper därutöver bl.a. natio- nell expertrådgivning och praktisk support i fråga om cybersäkerhet, utveckling av cybersäkerhetsprodukter samt försvar av nationella cybersystem (inklusive statliga system).</P>
<P class="p11 ft18">Centret är även nationellt certifieringsorgan för <SPAN class="ft45">Common Criteria</SPAN>- evalueringar som utförs i Kanada. Centret driver det kanadensiska <SPAN class="ft45">Common </SPAN><NOBR><SPAN class="ft45">Criteria</SPAN>-programmet</NOBR> för att certifiera <NOBR>it-produkter</NOBR> som testats av kanadensiska ackrediterade testningslaboratorier. Förutom att tillhandahålla vägledning åt både offentliga och privata organisa- tioner publicerar centret direktiv om cybersäkerhet för projekt inom regeringen. Centret kan vidare föreskriva specifika cybersäkerhets- standarder för statliga myndigheter. Centret har dessutom gett ut ett flertal direktiv om <NOBR>it-säkerhet</NOBR> som är obligatoriska att följa för såväl statliga myndigheter som privata företag.<SPAN class="ft79">152</SPAN></P>
<P class="p236 ft58"><SPAN class="ft56">151</SPAN><SPAN class="ft96">CSE kan få ett cybersäkerhetsbemyndigande som, i cyber- och informationssäkerhetssyfte, tillåter myndigheten att få tillgång till en federal institutions informationsinfrastruktur eller information av betydelse för staten och förvärva all information som härrör från, riktas till, lagras på eller överförs på eller genom den infrastrukturen i syfte att hjälpa till att skydda den från ofog, obehörig användning eller störningar. Myndigheten kan även få ett bemyndigande att utföra angivna aktiviteter för att främja defensiva eller aktiva cyberoperationer samt andra aktiviteter som är rimliga och nödvändiga för verksamheten.</SPAN></P>
<P class="p207 ft41"><SPAN class="ft56">152</SPAN><SPAN class="ft81">Direktiven avser bl.a. </SPAN><NOBR>it-säkerhet</NOBR> för hantering av kommunikationssäkerhet och kryptografi.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">323</P>
</DIV>
</DIV>
<DIV id="page_325">
<DIV id="p325dimg1">
<INGENBILD zsrc="H9B363325x1.jpg/" id="p325img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p255 ft20">Public Safety Canada</P>
<P class="p355 ft18"><SPAN class="ft45">Public Safety Canada </SPAN>(PSC) är ett departement som skapades 2003 för att säkerställa samordning mellan alla federala departement och myndigheter som ansvarar för nationell säkerhet. Uppdraget är att skydda landet från olika risker som naturkatastrofer, brott och terror- ism genom ökad nationell säkerhet och motståndskraft. Departe- mentet stödjer och rapporterar till ministern för allmän säkerhet och beredskap i frågor som rör allmän säkerhet och nödhantering som inte tilldelats någon annan federal organisation. Departementet arbetar också med andra statliga organisationer, gemenskaper, privat sektor och internationella partners på säkerhetsområdet, bl.a. i syfte att skydda kritisk infrastruktur och kritisk information.</P>
<P class="p72 ft49"><SPAN class="ft17">PSC ansvarar också för </SPAN>Cyber Incident Management Framework for Canada <SPAN class="ft17">(CIMF) som är ett vägledande dokument för guvernö- rer, ägare och operatörer av kritiska infrastrukturer samt andra sek- torpartners (se nedan).</SPAN></P>
<P class="p105 ft49"><SPAN class="ft17">Inom PSC finns </SPAN>Canadian Cyber Incident Response Center <SPAN class="ft17">(CCIRC) som ansvarar för att övervaka och tillhandahålla råd om cyberhot och samordna det nationella svaret på eventuella cyber- säkerhetsincidenter. CCIRC:s fokus är att skydda nationell kritisk infrastruktur mot cyberattacker.</SPAN></P>
<P class="p70 ft26">Reglering av informations- och cybersäkerhet</P>
<P class="p420 ft20">Nationell cybersäkerhetsstrategi</P>
<P class="p76 ft17">Kanada har antagit en nationell cyberstrategi från 2018 som bl.a. betonar behovet av samarbete mellan regeringen och privat sektor för att öka cybersäkerheten i landet.<SPAN class="ft54">153 </SPAN>Skyddet av kritisk infrastruk- tur<SPAN class="ft54">154 </SPAN>är ett prioriterat område.</P>
<P class="p642 ft107"><SPAN class="ft56">153</SPAN><SPAN class="ft105">Se </SPAN><NOBR>cyberhttps://www.publicsafety.gc.ca/cnt/rsrcs/pblctns/ntnl-cbr-scrt-strtg/index-</NOBR> en.aspx#s1.</P>
<P class="p626 ft41"><SPAN class="ft56">154</SPAN><SPAN class="ft82">Att förbättra motståndskraften hos kritisk infrastruktur genom en lämplig kombination av säkerhetsåtgärder för att hantera avsiktliga och oavsiktliga incidenter och störningar är ett verksamhetsområde för </SPAN><SPAN class="ft74">Public Safety Canada </SPAN>(se nedan).</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">324</P>
</DIV>
</DIV>
<DIV id="page_326">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p90 ft20">Ramverk för hantering av cyberincidenter</P>
<P class="p91 ft18"><SPAN class="ft45">Cyber Incident Management </SPAN>Framework (CIMF) publicerades 2013 av PSC och är utformat för att komplettera och knyta samman be- fintliga ramar och planer för federala, provinsiella och territoriella nödhanteringsramverk och <NOBR>-planer</NOBR> samt nödplaner från ägare och operatörer av kritiska infrastrukturer. Syftet med CIMF är att till- handahålla en strategi för hela nationen för hantering av och sam- ordning vid cyberhot eller <NOBR>-incidenter.</NOBR> Ramverket anger roller och ansvarsområden för samtliga styrningsnivåer och aktörer i kritisk infrastruktur när det gäller samordnat förebyggande av, svar på och återhämtning från <NOBR>it-incidenter.</NOBR> CIMF är således tänkt att göra det möjligt för varje organisation att fullt ut och effektivt delta i en sam- ordnat nationell cyberincidentrespons.</P>
<P class="p131 ft20">Nationella certifieringssystem</P>
<P class="p132 ft17">Som ovan nämnts finns det en nationell ordning för certifiering av <NOBR>it-produkter</NOBR> enligt <SPAN class="ft49">Common Criteria</SPAN>. Bl.a. små och medelstora före- tag kan ansöka om att bli certifierade under grundläggande cyber- säkerhetskriterier uppställda av det kanadensiska cybersäkerhets- centret.</P>
<P class="p11 ft63">CyberSecure Canada Certification <SPAN class="ft19">är ett annat certifieringspro- gram som hjälper små och mellanstora företag att implementera certifieringskrav för ökat skydd mot cyberattacker. Programmet in- begriper ett antal säkerhetskontroller som utvecklats i samarbete med det nationella cybersäkerhetscentret. Organisationerna måste imple- mentera säkerhetskontrollområdena för att kunna erhålla certifier- ing enligt programmet.</SPAN></P>
<P class="p111 ft60">The Baseline Cyber Security Controls for Small and Medium Organizations <SPAN class="ft46">är ett dokument ämnat för små och medelstora organisa- tioner som vill ha rekommendationer för att förbättra sin cybersäker- het. Dokumentet presenterar det nationella cybersäkerhetscentrets grundläggande cybersäkerhetskontroller för de nationella företagen.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">325</P>
</DIV>
</DIV>
<DIV id="page_327">
<DIV id="p327dimg1">
<INGENBILD zsrc="H9B363327x1.jpg/" id="p327img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p255 ft20">MITS – minimikrav på <NOBR>it-säkerhet</NOBR> för federala myndigheter</P>
<P class="p220 ft45">Operational Security Standard: Management of Information Tech- nology Security <SPAN class="ft18">(MITS) definierar grundläggande säkerhetskrav som federala departement och myndigheter måste uppfylla för att säker- ställa säkerheten för informations- och </SPAN><NOBR><SPAN class="ft18">it-tillgångar</SPAN></NOBR><SPAN class="ft18"> under deras kon- troll. Standarden tillhandahåller riktlinjer på organisationsnivå och för hanteringen av </SPAN><NOBR><SPAN class="ft18">it-säkerhetsprogram</SPAN></NOBR><SPAN class="ft18"> samt ett antal skyddsåtgär- der. Standarden kräver bl.a. att departementen har sina system eller tjänster certifierade och ackrediterade innan de godkänns för drift. Utförandet av certifieringen beror på kvantiteten av och kvaliteten på de certifieringsbevis</SPAN><SPAN class="ft79">155 </SPAN><SPAN class="ft18">som krävs av ackrediteringsmyndigheten.</SPAN></P>
<P class="p106 ft18">Departementen och myndigheterna måste regelbundet granska ackrediteringen av systemen eller tjänsterna om dessa förändrats av- sevärt eller om det är motiverat på grund av förändringar i riskmiljön.</P>
<P class="p73 ft17">För vanliga system eller tjänster är <SPAN class="ft49">the Government of Canada Chief Information Officer </SPAN>ackrediteringsmyndighet. För system eller tjänster som är specifika för ett departement ansvarar program- eller tjänsteleverantören för ackreditering. För system eller tjänster som delas av två eller flera organisationer är chefen för programmet eller tjänsten ackrediteringsmyndighet.</P>
<P class="p115 ft19">Departementet ska genomföra en årlig självbedömning av sina <NOBR>it-säkerhetsprogram</NOBR> för att se om de överensstämmer med statliga säkerhetspolicys och standarder. Åtkomstkontroll genom krav på säker- hetsgodkännande av personal, användning av krypto samt nätverks- segregering är exempel på förebyggande åtgärder.</P>
<P class="p105 ft17">Den statliga säkerhetspolicyn kräver att departementen tillämpar sanktioner i förhållande till <NOBR>it-säkerhetsincidenter</NOBR> när det förekom- mit försumlighet.</P>
<P class="p643 ft87"><SPAN class="ft56">155</SPAN><SPAN class="ft86">Sådana bevis kan innehålla resultaten av alla tillämpliga hot- och riskbedömningar, en be- dömning av affärseffekter, en integritetsbedömning, en sårbarhetsbedömning, säkerhetstester och produktevaluering, självbedömningar, revisioner och säkerhetsgranskningar och relaterade juridiska eller politiska bedömningar som visar överensstämmelse med relevant lagstiftning eller policy.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">326</P>
</DIV>
</DIV>
<DIV id="page_328">
<DIV id="p328dimg1">
<INGENBILD zsrc="H9B363328x1.jpg/" id="p328img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p644 ft20"><NOBR>It-säkerhetskrav</NOBR> vid hantering av säkerhetsklassificerad statlig information</P>
<P class="p232 ft18">När aktörer ingår kontrakt med den kanadensiska regeringen blir vissa krav på <NOBR>it-säkerhet</NOBR> tillämpliga när organisationen ska hantera skyd- dad eller säkerhetsklassificerad information elektroniskt. Säkerhets- kraven är dock specifika för varje kontrakt och säkerhetsnivån beror på hur känslig den berörda informationen är.</P>
<P class="p58 ft18">För att få behörighet att processa känslig information elektroniskt måste den berörda organisationen först ha genomgått en säkerhets- prövning eller ha ett säkerhetsgodkännande för anläggningen. Dessa åtgärder ska säkerställa att endast betrodda individer och organisa- tioner med ett giltigt behov av kunskap får tillgång till känslig myn- dighetsinformation (om t.ex. militära planer). Vidare krävs en förmåga att skydda dokument. Dessutom kan det behövas s.k. organisations- godkännanden när det gäller informationssäkerheten. Organisatio- nerna måste även underkasta sig <NOBR>it-säkerhetsinspektioner<SPAN class="ft79">156</SPAN></NOBR><SPAN class="ft79"> </SPAN>och rappor- tera <NOBR>it-säkerhetsincidenter.</NOBR> Organisationen behöver också säkerställa att dess säkerhetschef förstår <NOBR>it-kraven.</NOBR> Dessutom kan krävas att organisationen erhåller ett skriftligt godkännande från <SPAN class="ft45">Public Services and Procurement Canada </SPAN>(PSPC) innan skyddad eller sekretessbelagd statlig information nås elektroniskt.</P>
<P class="p58 ft19">I federala kontrakt mellan regeringen och privata organisationer ingår klausuler med säkerhetskrav<SPAN class="ft101">157</SPAN>. När organisationer tilldelas kon- trakt med regeringen som kräver att de använder sina egna <NOBR>it-system</NOBR> för att lagra, bearbeta och/eller skapa skyddad eller säkerhetsklassi- ficerad information måste de ha tillstånd enligt PSPC:s <SPAN class="ft63">Contract Security Program </SPAN>(CSP) före det att arbetet kan påbörjas. Organisa- tionen får inte använda sitt <NOBR>it-system</NOBR> för att hantera informationen förrän <NOBR>it-säkerhetsinspektionsprocessen</NOBR> är klar och formaliserad i ett skriftligt <NOBR>it-godkännandebrev</NOBR> från PSPC:s CSP. Att börja använda ett sådant <NOBR>it-system</NOBR> utan tillstånd utgör ett brott mot villkoren i avtalet. <NOBR>It-godkännanden</NOBR> är kontraktsspecifika och gäller under hela kontraktets löptid.<SPAN class="ft101">158</SPAN></P>
<P class="p310 ft87"><SPAN class="ft56">156</SPAN><SPAN class="ft90">Efter </SPAN><NOBR>it-säkerhetsinspektionen</NOBR> ger <NOBR>it-inspektören</NOBR> rekommendationer som ska valideras.</P>
<P class="p645 ft85"><SPAN class="ft56">157</SPAN><SPAN class="ft84">Säkerhetskrav anger de säkerhetsnivåer som krävs för att skydda känslig information, till- gångar och arbetsplatser.</SPAN></P>
<P class="p437 ft87"><SPAN class="ft56">158</SPAN><SPAN class="ft86">Ytterligare </SPAN><NOBR>it-säkerhetsåtgärder</NOBR> för organisationer kan avse auktorisering av organisationer att sända och ta emot känslig information med s.k. <NOBR>COMSEC-material,</NOBR> dvs. objekt som är utformade för att säkra eller verifiera telekommunikationsinformation, t.ex. en kryptografisk nyckel.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">327</P>
</DIV>
</DIV>
<DIV id="page_329">
<DIV id="p329dimg1">
<INGENBILD zsrc="H9B363329x1.jpg/" id="p329img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p89 ft18">En precisering av säkerhetskraven för ett kontrakt kan återfinnas i en begäran om förslag respektive checklistan för säkerhetskrav, <SPAN class="ft45">Security Requirements Check List </SPAN>(TBS/SCT <NOBR>350-103),</NOBR> ifylld av det avtalsslutande departementet. I checklistan kan kryssas i huruvida leverantören kommer att behöva använda sina <NOBR>it-system</NOBR> för att elektroniskt bearbeta, producera eller lagra skyddad (protected)<SPAN class="ft79">159 </SPAN>och/eller klassificerad information och/eller data. Den senare typen gäller information eller tillgångar som, om de äventyras, kan för- väntas skada det nationella intresset, försvaret och upprätthållandet av Kanadas sociala, politiska och ekonomiska stabilitet. Klassificerad information finns på nivåerna konfidentiell, hemlig och kvalificerat hemlig.<SPAN class="ft79">160 </SPAN>Om svaret är ja behöver <NOBR>it-säkerhetskraven</NOBR> för upphand- lingen specificeras i ett tekniskt dokument. Leverantören måste också beakta dokumentet <SPAN class="ft45">Treasury Board of Canada Secretariat – Opera- tional Security Standard: Management of Information Treasury Board of Canada Secretariat – Operational Security Standard: Management of Information Technology Security </SPAN>(MITS, se ovan). Om det kom- mer att finnas en elektronisk länk mellan leverantörens <NOBR>it-system</NOBR> och den statliga myndigheten måste leverantören få sina <NOBR>it-system</NOBR> godkända.<SPAN class="ft79">161 </SPAN>Berört departement måste också tillhandahålla anslut- ningskriterier som beskriver villkoren och åtkomstnivån för den elek- troniska länken.<SPAN class="ft79">162</SPAN></P>
<P class="p491 ft18"><SPAN class="ft45">The Contract Security Manual </SPAN>(CSM) beskriver de krav som orga- nisationer inom den privata sektorn måste följa för att skydda statlig information och tillgångar som tillhandahålls eller produceras av organisationer som tilldelats ett statligt kontrakt med säkerhetskrav. Det gäller organisationer som är registrerade i PSPC:s CSP och alla kontrakt – kanadensiska eller utländska – som PSPC ansvarar för. Denna handbok avhandlar bl.a. ovan nämnda checklista för säkerhets- krav, säkerhetskontroller och elektronisk informationssäkerhet.</P>
<P class="p646 ft107"><SPAN class="ft56">159</SPAN><SPAN class="ft105">Gäller information eller tillgångar som, om de äventyras, kan förväntas orsaka skada på ett </SPAN><NOBR>icke-nationellt</NOBR> intresse – dvs. ett enskilt intresse som en person eller en organisation.</P>
<P class="p647 ft85"><SPAN class="ft56">160</SPAN><SPAN class="ft84">Vidare krävs behörighet för tillgång till </SPAN><NOBR>Nato-klassificerad</NOBR> information för ett specifikt kontrakt. Vissa internationella avtal kräver <NOBR>Nato-godkännanden</NOBR> krävs för personal och orga- nisationer.</P>
<P class="p648 ft85"><SPAN class="ft56">161</SPAN><SPAN class="ft84">Den avtalsslutande säkerhetsmyndigheten är ansvarig för att säkerställa att leverantörerna uppfyller säkerhetskraven i checklistan.</SPAN></P>
<P class="p649 ft41"><SPAN class="ft56">162</SPAN><SPAN class="ft82">Ingen information som rör ett skyddat eller klassificerat statligt kontrakt får släppas av leverantörer utan föregående skriftligt godkännande.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">328</P>
</DIV>
</DIV>
<DIV id="page_330">
<DIV id="p330dimg1">
<INGENBILD zsrc="H9B363330x1.jpg/" id="p330img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p604 ft26">Sammanfattning av särskilda krav på IKT i säkerhetskänslig verksamhet</P>
<P class="p650 ft17">Av inhämtade uppgifter framgår att det finns centrala myndigheter i Kanada med ansvar för nationell informations- och cybersäkerhet och certifiering av IKT. Vidare måste federala departement och myn- digheter ha sina <NOBR>it-system</NOBR> och tjänster certifierade och ackrediterade innan de godkänns för drift.</P>
<P class="p187 ft18">Organisationer som ingår kontrakt med regeringen och har it- system som ska behandla säkerhetsklassificerad information (mellan leverantören och en statlig myndighet) måste få sitt system godkänt av en myndighet (PSPC) före det att arbetet kan påbörjas och syste- met används. Säkerhetskraven är emellertid specifika för varje kon- trakt och beror på hur känslig den berörda informationen är.</P>
<P class="p147 ft48"><SPAN class="ft48">9.11</SPAN><SPAN class="ft135">Nya Zeeland</SPAN></P>
<P class="p6 ft26">Aktörer inom informations- och cybersäkerhet</P>
<P class="p416 ft20">Byrån för kommunikationssäkerhet</P>
<P class="p91 ft63">Government Communications Security Bureau <SPAN class="ft19">(GCSB) är ett departe- ment med uppdrag att bidra till Nya Zeelands nationella säkerhet genom att tillhandahålla informations- och cybersäkerhet till landets regering och kritiska infrastrukturorganisationer.</SPAN><SPAN class="ft101">163 </SPAN><SPAN class="ft19">GCSB samlar in och analyserar underrättelser samt samarbetar med och ger stöd åt andra nationella myndigheter. Myndigheten har två kommunika- tionsavlyssningsstationer samt kommunikations- och kryptografi- specialister i sin personal.</SPAN></P>
<P class="p131 ft20">Nationellt cybersäkerhetscenter</P>
<P class="p110 ft46">Inom GCSB finns <SPAN class="ft60">National Cyber Security Centre </SPAN>(NCSC) som har i uppdrag att samordna landets cybersäkerhetsaktiviteter. Centret tillhandahåller avancerade funktioner och tjänster för detektering av cyberhot och störningar till statliga myndigheter och organisationer av nationell betydelse (såsom tillhandahållare av kritisk infrastruk-</P>
<P class="p651 ft41"><SPAN class="ft56">163</SPAN><SPAN class="ft82">På ett mer övergripande plan ansvarar premiärministerns och kabinettets departement för rådgivning om nationell säkerhet till regeringen.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">329</P>
</DIV>
</DIV>
<DIV id="page_331">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p189 ft17">tur). Centret svarar vidare på kraftfulla cyberincidenter på nationell nivå och genomför cyberhotsanalyser. Man främjar en säkerhets- kultur baserad på standarder som anges i regeringens skyddskrav, <SPAN class="ft49">Protective Security Requirements </SPAN>(PSR) och <SPAN class="ft49">New Zealand Informa- tion Security Manual </SPAN>(NZISM).</P>
<P class="p70 ft20">Säkerhets- och underrättelsetjänst</P>
<P class="p355 ft45">New Zealand Security Intelligence Service <SPAN class="ft18">(NZSIS) är en statlig myn- dighet som har till uppdrag att skydda Nya Zeeland genom att utreda hot mot den nationella säkerheten och analysera underrättelser för att kunna ge nationella beslutsfattare god säkerhetsrådgivning. NZSIS tillhandahåller också ett antal tjänster till andra myndigheter, bl.a. råd om personal- och fysisk säkerhet. Man ansvarar även för att under- hålla landets statliga säkerhetsklassificeringssystem (</SPAN>New Zealand Government Security Classification System<SPAN class="ft18">).</SPAN></P>
<P class="p70 ft20">DIA – departementet för inrikes frågor</P>
<P class="p71 ft49">Office of the Government Chief Information Officer <SPAN class="ft17">(GCIO) vid </SPAN>The Department of Internal Affairs <SPAN class="ft17">(DIA) tillhandahåller rådgivning och förvaltning åt sektor- och statliga system och </SPAN><NOBR><SPAN class="ft17">IKT-processer,</SPAN></NOBR><SPAN class="ft17"> in- klusive </SPAN><NOBR><SPAN class="ft17">IKT-assurans</SPAN></NOBR><SPAN class="ft17"> och </SPAN><NOBR><SPAN class="ft17">-säkerhet.</SPAN></NOBR><SPAN class="ft17"> DIA har ansvar för ett assurans- ramverk för statlig </SPAN><NOBR><SPAN class="ft17">IKT-drift,</SPAN></NOBR><SPAN class="ft17"> </SPAN><NOBR>All-of-Government</NOBR> ICT Operations Assurance Framework<SPAN class="ft17">. Systemet syftar till att ge hög nivå av tillför- litlighet i digitala offentliga tjänster.</SPAN></P>
<P class="p102 ft20"><NOBR>IKT-säkerhetsexperter</NOBR></P>
<P class="p71 ft60">The Security and Related Services Panel <SPAN class="ft46">är en grupp branschexperter som är har i uppdrag av regeringen att förse myndigheter med IKT- säkerhetstjänster och råd om säkerhets- och sekretessfrågor.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">330</P>
</DIV>
</DIV>
<DIV id="page_332">
<DIV id="p332dimg1">
<INGENBILD zsrc="H9B363332x1.jpg/" id="p332img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p90 ft20">NCPO – nationellt cyberpolicykontor</P>
<P class="p91 ft19"><SPAN class="ft63">National Cyber Policy Office </SPAN>(NCPO) leder utvecklingen av landets cybersäkerhetspolicy och ger politiska råd till regeringen om inve- steringar i cybersäkerhetsaktiviteter. NCPO driver landets natio- nella CERT, CERT NZ. CERT NZ har till uppgift att identifiera hot och sårbarheter samt tillhandahålla tjänster för incidentrappor- tering och samordning av gensvar. CERT NZ arbetar med flera olika organisationer på cybersäkerhetsområdet.</P>
<P class="p131 ft26">Reglering av informations- och cybersäkerhet</P>
<P class="p360 ft20">Nationell cybersäkerhetsstrategi</P>
<P class="p124 ft18">Nya Zeelands senaste nationella cybersäkerhetsstrategi är från 2019.<SPAN class="ft79">164 </SPAN>Strategin betonar behovet av samarbete mellan offentlig och privat sektor samt internationellt för att öka cybersäkerheten i landet. Vidare framhålls vikten av utbildningsåtgärder för att öka medbor- garnas cybersäkerhetsmedvetande. Att skydda samhällsviktig infor- mationsinfrastruktur i landet är ett annat område som prioriteras. Slutligen vill man även fokusera på att investera mer i individer och resurser med särskild kompetens på cybersäkerhetsområdet.<SPAN class="ft79">165</SPAN></P>
<P class="p131 ft20">AISEP – program för evaluering av informationssäkerhet</P>
<P class="p232 ft63">Australasian Information Security Evaluation Program <SPAN class="ft19">(AISEP) syf- tar till att säkerställa att evaluerade säkerhetsprodukter är tillgängliga för att tillgodose behoven hos australiensiska och nyzeeländska myndigheter. AISEP möjliggör evaluering och certifiering av pro- dukter enligt </SPAN>Common Criteria <SPAN class="ft19">(CC) och fortsatt underhåll av assuran- sen hos evaluerade produkter. En annan av programmets funktioner avser erkännande av produkter evaluerade enligt en utländsk ordning med vilken AISEP har ett avtal om ömsesidigt erkännande (van- ligtvis CCRA).</SPAN></P>
<P class="p58 ft45">The AISEP Evaluated Products List <SPAN class="ft18">(EPL) underhålls av </SPAN>Australian Signals Directorate <SPAN class="ft18">(ASD) och innehåller en lista över godkända pro-</SPAN></P>
<P class="p5 ft87"><SPAN class="ft56">164</SPAN><SPAN class="ft90">Se </SPAN><NOBR>https://dpmc.govt.nz/publications/new-zealands-cyber-security-strategy-2019.</NOBR></P>
<P class="p207 ft41"><SPAN class="ft56">165</SPAN><SPAN class="ft81">Det kan tilläggas att tillsyn på cybersäkerhetsområdet utövas på sektoriell basis.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">331</P>
</DIV>
</DIV>
<DIV id="page_333">
<DIV id="p333dimg1">
<INGENBILD zsrc="H9B363333x1.jpg/" id="p333img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p189 ft21">dukter för skyddet av klassificerad information, bl.a. godkända skydds- profiler.</P>
<P class="p104 ft46">Innan myndigheter väljer en produkt som inte utvärderats av AISEP rekommenderas man att kontakta GCSB för att efterhöra om produkten kommer att erkännas i Nya Zeeland när den har full- ständig evaluering i en utländsk ordning. Evalueringar som genom- förs enligt CC i andra nationer kan erkännas av GCSB under AISEP. Att en produkt genomgått <NOBR>CC-evaluering</NOBR> innebär dock inte nöd- vändigtvis att den är lämplig för det avsedda ändamålet. Vanligtvis kommer sådana produkter att ha kryptografisk funktionalitet som inte täcks i tillräcklig grad under CC.<SPAN class="ft97">166</SPAN></P>
<P class="p652 ft20">Närmare om krav på informationssäkerhet</P>
<P class="p220 ft46">NCSC rekommenderar att myndigheter i sina nätverk och system använder produkter som regeringen godkänt då dessa ger högre nivåer av assurans i förhållande till säkerhetsöverväganden. Centret ser vidare certifiering av organisationers informationssystem som en väsentlig komponent av styrnings- och assuransprocessen.</P>
<P class="p191 ft20">PSR – säkerhetsskyddskrav</P>
<P class="p71 ft45">Protective Security Requirements <SPAN class="ft18">(PSR) ges ut av NZSIS och anger regeringens krav på informationssäkerhet. Säkerhetskraven anger bl.a. vad statliga myndigheter ska beakta för att säkerställa att de hanterar säkerheten ändamålsenligt och effektivt. PSR innehåller grundläg- gande säkerhetskrav och riktlinjer för styrning och säkerhet samt support för bästa praxis, och inkorporerar även </SPAN>New Zealand Infor- mation Security Manual <SPAN class="ft18">(NZISM, se nedan). Ett av de obligatoriska kraven enligt PSR är att berörda organisationer årligen ska använda en evidensbaserad bedömningsprocess för att ge assurans om att organisationens säkerhetsförmåga är ändamålsenlig (GOV8). På be- gäran ska en försäkringsrapport tillhandahållas regeringen.</SPAN><SPAN class="ft79">167 </SPAN><SPAN class="ft18">PSR innehåller också en process för årlig självbedömning av säkerhet och</SPAN></P>
<P class="p75 ft87"><SPAN class="ft56">166</SPAN><SPAN class="ft86">Se www.nzism.gcsb.govt.nz/xml/index/3212.</SPAN></P>
<P class="p250 ft41"><SPAN class="ft56">167</SPAN><SPAN class="ft82">I ett </SPAN><NOBR>PSR-hanteringsprotokoll</NOBR> beskrivs vikten av certifiering och ackreditering av informa- tionssäkerhet för att skydda organisationers information.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">332</P>
</DIV>
</DIV>
<DIV id="page_334">
<DIV id="p334dimg1">
<INGENBILD zsrc="H9B363334x1.jpg/" id="p334img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p244 ft21">assurans. Alla statliga organisationer är skyldiga att hålla information om regeringen och statens resurser säker.<SPAN class="ft102">168</SPAN></P>
<P class="p150 ft17">Vidare behöver <NOBR>IKT-systemen</NOBR> genomgå en certifierings- och ackrediteringsprocess i enlighet med NZISM, för att vara godkända att tas i drift sedan informationssäkerhetsåtgärder vidtagits. Säker- hetsåtgärderna måste valideras för att säkerställa att de fungerar som förväntat. Processen bygger på en riskbedömning, tillämpningen av kontroller som beskrivs i NZISM och bestämning av eventuell kvar- varande risk.</P>
<P class="p186 ft17">PSR rekommenderar även att andra organisationer än statliga betraktar angivna krav som bästa praxis.</P>
<P class="p131 ft20">NZISM – handbok om informationssäkerhet</P>
<P class="p232 ft46">NZISM är en omfattande och detaljerad handbok utgiven av GCSB som beskriver processer och <NOBR>IKT-säkerhetskontroller</NOBR> som är väsent- liga för skyddet av statlig information och system.<SPAN class="ft97">169 </SPAN>Handboken är avsedd att användas av statliga organisationer, men även privata organisationer uppmuntras att använda den. Handboken gäller också för organisationer som ingått ett formellt avtal med Nya Zeelands regering för att få tillgång till klassificerad information. Den används framför allt för att styra myndigheters arbete med informations- och cybersäkerhet. Även om de övergripande kraven är obligatoriska för departement och myndigheter när de bygger sin <NOBR>it-infrastruktur</NOBR> krävs inte överensstämmelse med handboken enligt lag. Vidare kon- trolleras inte de åtgärder som organisationerna bör eller ska vidta.<SPAN class="ft97">170 </SPAN>Vilken bindande roll PSR har förtydligas däremot genom ett kabi- nettdirektiv (CAB MIN (14) 39/38).</P>
<P class="p350 ft18">Enligt NZISM ska respektive myndighetschef ansvara för infor- mationssäkerheten inom sin organisation. Handboken, som används av såväl myndigheters informationssäkerhetschefer som leverantö- rer, entreprenörer och konsulter som tillhandahåller tjänster till myndigheter, innehåller ett ramverk för certifiering och ackrediter- ing samt tekniska minimisäkerhetsstandarder (i linje med bl.a. ISO/ IEC). Information klassificerad som konfidentiell, hemlig eller kvali-</P>
<P class="p653 ft85"><SPAN class="ft56">168</SPAN><SPAN class="ft84">Säkerhetsåtgärderna måste även uppfylla kraven i </SPAN><SPAN class="ft93">New Zealand Government Security Classification System</SPAN>.</P>
<P class="p8 ft87"><SPAN class="ft56">169</SPAN><SPAN class="ft90">Handboken har sitt ursprung i Australiens ISM (se nedan), men är i dag helt omskriven.</SPAN></P>
<P class="p207 ft41"><SPAN class="ft56">170</SPAN><SPAN class="ft81">Är det fråga om nationell säkerhet kan dock undantag aktualiseras.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">333</P>
</DIV>
</DIV>
<DIV id="page_335">
<DIV id="p335dimg1">
<INGENBILD zsrc="H9B363335x1.jpg/" id="p335img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p255 ft21">ficerat hemlig är föremål för fler kontroller än övrig information.</P>
<P class="p401 ft18"><SPAN class="ft21">I</SPAN><SPAN class="ft161">den process som handboken föreskriver för </SPAN><NOBR>IKT-system</NOBR> måste certi- fiering slutföras innan nödvändig ackreditering kan äga rum. Resul- tatet av en ackreditering är ett godkännande för driftsättning, från ackrediteringsorganet till systemägaren. Syftet är att bekräfta huru- vida resultaten av en lämplig systemgranskning är av acceptabel stan- dard. Processen i sin helhet bygger på en riskbedömning och tillämp- ning av vissa kontroller samt bestämning av eventuellt kvarvarande risk.<SPAN class="ft79">171 </SPAN>För samtliga myndigheters informationssystem är informa- tionssäkerhetschefen certifikatutfärdare.<SPAN class="ft79">172 </SPAN>Ackrediteringen tilldelas när systemet överensstämmer med handboken och ackrediterings- organet accepterar kvarvarande säkerhetsrisk. Ackrediteringen inne- bär ett formellt godkännande att ta systemet i drift. Myndigheter får inte tillåta att deras system hanterar sekretessbelagd information över den klassificeringsnivå som systemet fått ackreditering för.</P>
<P class="p73 ft19">Det är systemägaren som är ansvarig för den övergripande driften av informationssystemet. Systemägaren måste därmed även se till att systemet är ackrediterat för att uppfylla organisationens operativa krav och att ackrediteringen underhålls.<SPAN class="ft101">173 </SPAN>Myndigheterna får inte använda ett system utan giltig ackreditering såvida inte ackrediterings- organet beviljat dispens.</P>
<P class="p73 ft18">För myndigheter med system som hanterar information som rör nationell säkerhet är GCSB:s generaldirektör behörig ackrediterings- myndighet oavsett informationens klassificeringsnivå. Också använd- ning av <NOBR>högassurans-kryptoutrustning</NOBR> samt system med kompart- mentaliserad eller förbehållen (”caveated”) information klassificerad som konfidentiell och högre kräver kontroll i form av ackreditering av GCSB (eller formell delegat).<SPAN class="ft79">174 </SPAN>När det gäller information och system klassificerade som begränsat hemliga (restricted) och lägre, svarar generellt respektive myndighetschef för ackrediteringen.</P>
<P class="p654 ft85"><SPAN class="ft56">171</SPAN><SPAN class="ft84">Certifiering förutsätter att valda kontroller är lämpliga och överensstämmer med PSR och särskilt de relevanta </SPAN><NOBR>NCISM-komponenterna</NOBR> samt fungerar ändamålsenligt.</P>
<P class="p223 ft85"><SPAN class="ft56">172</SPAN><SPAN class="ft84">Uppdraget att utarbeta certifiering ligger hos värdmyndigheten eller den ledande organi- sationen.</SPAN></P>
<P class="p223 ft85"><SPAN class="ft56">173</SPAN><SPAN class="ft84">Ledningen eller systemägaren ska vidare avge formella påståenden om vissa aktiviteter för informationssystemet.</SPAN></P>
<P class="p210 ft87"><SPAN class="ft56">174</SPAN><SPAN class="ft86">Det kan tilläggas att s.k. fack upprättas för att ge ytterligare skydd åt information av be- tydelse för nationell säkerhet. I övriga fall då informationen är begränsat hemlig eller systemet klassificerats som konfidentiellt och högre har respektive organisations vd eller det ledande organet att acceptera kvarvarande säkerhetsrisk med driften av informationssystemet (vilket ackrediteringen förutsätter).</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">334</P>
</DIV>
</DIV>
<DIV id="page_336">
<DIV id="p336dimg1">
<INGENBILD zsrc="H9B363336x1.jpg/" id="p336img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p655 ft17">När myndigheters system hanterar känslig information ämnad endast för nationellt bruk (”New Zealand Eyes Only”) måste myn- digheterna säkerställa att en nyzeeländsk medborgare, som arbetar för regeringen, alltid har kontroll över systemet och informationen. Sådana system är särskilt känsliga och kräver ytterligare säkerhetsåt- gärder vid anslutning till andra system.<SPAN class="ft54">175</SPAN></P>
<P class="p80 ft18">Produkter som tillhandahåller säkerhetsfunktioner för att skydda klassificerad information evalueras av assuransskäl. Myndigheter som väljer högassuransprodukter måste kontakta GCSB och uppfylla alla produktspecifika krav innan något köp görs.<SPAN class="ft79">176</SPAN></P>
<P class="p65 ft19">För att säkerställa nätverkssäkerhet och funktionalitet behöver varje ändring av ett nätverk godkännas och kontrolleras genom lämpliga ledningsprocesser. När det gäller system klassificerade konfidentiella, hemliga eller kvalificerat hemliga måste myndigheterna implemen- tera nätverksåtkomstkontroller i alla nätverk. Alla myndigheter som överväger att distribuera ett trådlöst kvalificerat hemligt nätverk be- höver ansöka om godkännande från GCSB innan de initierar några nätverksprojekt. Myndigheter får inte använda sådana trådlösa nät- verk såvida inte säkerheten för myndighetens trådlösa distribution godkänts av GCSB.<SPAN class="ft101">177</SPAN></P>
<P class="p656 ft26">Sammanfattning av särskilda krav på IKT i säkerhetskänslig verksamhet</P>
<P class="p525 ft18">Av inhämtade uppgifter framgår att det finns departement i Nya Zeeland med ansvar för informations- och cybersäkerhet<SPAN class="ft45">, </SPAN>bl.a. när det gäller nationell säkerhet. Statliga myndigheter som hanterar hem- lig information om nationen är skyldiga att ständigt ha kontroll över sina system och hålla informationen säker. <NOBR>IKT-systemen</NOBR> kan vidare behöva genomgå en särskild certifierings- och ackrediteringsprocess för att få tas i drift. Detta förfarande regleras i en nationell handbok vars användning rekommenderas brett i samhället. Rör hanterad in-</P>
<P class="p657 ft85"><SPAN class="ft56">175</SPAN><SPAN class="ft84">Myndigheter som har åtkomst till ett system som innehåller hemlig information om natio- nella intressen och ett system med samma klassificering som inte är ackrediterat för att behandla sådan information måste använda en evaluerad produkt med assuransnivå EAL2 (eller högre) eller motsvarande skyddsprofil.</SPAN></P>
<P class="p658 ft85"><SPAN class="ft56">176</SPAN><SPAN class="ft84">Myndigheter måste vidare bekräfta integriteten hos programvara som de installerar innan de distribueras i ett system för att säkerställa att ingen oavsiktlig programvara installeras sam- tidigt.</SPAN></P>
<P class="p392 ft41"><SPAN class="ft56">177</SPAN><SPAN class="ft82">Alla trådlösa åtkomstpunkter som används för statliga trådlösa nätverk måste vara </SPAN><NOBR>”Wi-Fi</NOBR> <NOBR>Alliance”-certifierade.</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">335</P>
</DIV>
</DIV>
<DIV id="page_337">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft46">formation nationell säkerhet måste myndighetens system ackredite- ras av den nationella byrån för kommunikationssäkerhet (GCSB) innan ett resulterande formellt godkännande av systemets driftsätt- ning kan ske. Vidare kräver system och tjänster med kompartmen- taliserad eller förbehållen (”caveated”) information klassificerad som konfidentiell och högre ackreditering av generaldirektören på GCSB (eller formell delegat). Också användning av <NOBR>högassurans-kryptout-</NOBR> rustning kräver kontroll i form av ackreditering av GCSB. Generellt i fall där information och system är klassificerade begränsat hemliga (restricted) eller lägre ligger uppgiften att godkänna systemet internt hos organisationens chef.</P>
<P class="p659 ft48"><SPAN class="ft48">9.12</SPAN><SPAN class="ft135">Australien</SPAN></P>
<P class="p213 ft26">Aktörer inom informations- och cybersäkerhet</P>
<P class="p420 ft20">ASD – Australienska signaldirektoratet</P>
<P class="p76 ft49">Australian Signals Directorate <SPAN class="ft17">(ASD) är en statlig myndighet med uppdraget att försvara Australien från globala hot och att främja Australiens nationella intressen. Ytterst ansvarig för ASD är För- svarsministern. ASD arbetar med underrättelse- och säkerhetstjänst samt cybersäkerhet för att stödja regeringen, försvarsmakten och samhället i stort. ASD har funktioner inom kryptografi och IKT. ASD utför bl.a. produktevalueringar av programvara och </SPAN><NOBR><SPAN class="ft17">IKT-ut-</SPAN></NOBR><SPAN class="ft17"> rustning som används för att skydda hemlig och kvalificerat hemlig information.</SPAN></P>
<P class="p70 ft20">Nationellt cybersäkerhetscenter</P>
<P class="p355 ft18"><SPAN class="ft45">Australian Cyber Security Center </SPAN>(ACSC) är en del av ASD. ACSC leder och samordnar den australiensiska regeringens insatser för ökad nationell cybersäkerhet. Centret utgör ett nav för samarbete mellan offentlig och privat sektor samt inom informationsdelning avseende cybersäkerhet. Centret bistår med cybersäkerhetsrådgivning och stöd i hela det australienska samhället. Inom centret finns den nationella <NOBR>CERT-funktionen</NOBR> som svarar på cybersäkerhetshot och incidenter.</P>
<P class="p106 ft18">ACSC certifierar produktevalueringar vilka utförs av licensierade kommersiella evalueringsföretag (AISEF, se nedan) i enlighet med</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">336</P>
</DIV>
</DIV>
<DIV id="page_338">
<DIV id="p338dimg1">
<INGENBILD zsrc="H9B363338x1.jpg/" id="p338img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p244 ft21"><SPAN class="ft20">Common Criteria </SPAN>som en del av det australiensiska programmet för evaluering av informationssäkerhet, AISEP.</P>
<P class="p278 ft20">AISEF och ACA – evalueringar</P>
<P class="p110 ft45">Australian Information Security Evaluation Facility <SPAN class="ft18">(AISEF) är ett privat företag licensierat av ASD och ackrediterat av </SPAN>National Association of Testing Authority, Australia <SPAN class="ft18">(NATA), för att genom- föra evalueringar i enlighet med Australasian </SPAN>Information Security Evaluation Program, <SPAN class="ft18">AISEP (se nedan). Utvärderingsaktiviteterna är certifierade av </SPAN>Australian Certification Authority <SPAN class="ft18">(ACA). Samtliga evalueraringsföretag måste godkännas av ACA. AISEF och ACA genomför evaluerings- och certifieringsaktiviteterna genom samarbete.</SPAN></P>
<P class="p131 ft20"><NOBR>NATA-ackreditering</NOBR></P>
<P class="p148 ft49">National Association of Testing Authority, Australia <SPAN class="ft17">(NATA) är Australiens nationella ackrediteringsorgan för ackreditering av organ för bedömning av överensstämmelse. NATA är också Australiens s.k. övervakningsmyndighet inom </SPAN>Organisation for Economic Co- operation and Development <SPAN class="ft17">(OECD).</SPAN></P>
<P class="p58 ft19">NATA har ingått ett samförståndsavtal (Memorandum of Under- standing) med den australienska regeringen som erkänner dess nyckelroll i Australiens tekniska infrastruktur. Regeringen rekom- menderar användning av <NOBR>NATA-ackrediterade</NOBR> företag när detta är ett alternativ och uppmuntrar organisationer att göra detsamma.<SPAN class="ft101">178</SPAN></P>
<P class="p149 ft17">NATA tillhandahåller oberoende assurans om teknisk kompe- tens och integritet hos organ för bedömning av överenstämmelse. Detta görs för kunder som behöver förtroende för leveransen av sina produkter och tjänster. Förutom ackreditering tillhandahåller NATA bedömningar och utbildningstjänster till laboratorier och tekniska anläggningar.</P>
<P class="p381 ft58"><SPAN class="ft56">178</SPAN><SPAN class="ft96">Avtalet anger vidare att NATA är skyldig att vidta alla ackrediteringsaktiviteter opartiskt i enlighet med kraven i ISO/IEC 17011 och tillhandahålla nationellt ledarskap genom att ge ut</SPAN></P>
<P class="p205 ft58">ackrediteringsprogram som medför att ackrediterade organ möter nationella intressen. I tillämpliga fall ska NATA:s procedurer överensstämma med internationella standarder. Dokumentet innehåller även ett antal ytterligare åtaganden som syftar till att involvera andra viktiga aktörer i aktiviteterna och skapa transparens. Regeringen å sin sida åtar sig att assistera NATA finansiellt och informera organisationer om NATA:s roll som nationellt ackrediter- ingsorgan. Vidare kräver regeringen att just NATA utför ackreditering i vissa situationer.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">337</P>
</DIV>
</DIV>
<DIV id="page_339">
<DIV id="p339dimg1">
<INGENBILD zsrc="H9B363339x1.jpg/" id="p339img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p443 ft21">NATA har också undertecknat internationella ackrediterings- avtal som föranleder ömsesidigt erkännande.</P>
<P class="p209 ft20">IRAP</P>
<P class="p71 ft63">The Information Security Registered Assessors Program <SPAN class="ft19">(IRAP) är </SPAN><NOBR><SPAN class="ft19">ASD-certifierade</SPAN></NOBR><SPAN class="ft19"> </SPAN><NOBR><SPAN class="ft19">IKT-experter</SPAN></NOBR><SPAN class="ft19"> som har särskild kunskap om ISM- säkerhetskrav (se nedan). IRAP syftar till att säkerställa att aktörer inom regeringen och industrin kan få tillgång till högkvalitativa be- dömningar av IKT. Bedömarna kan tillhandahålla bedömningar av bl.a. informationssystem upp till ”top </SPAN><NOBR><SPAN class="ft19">secret”-nivån.</SPAN></NOBR><SPAN class="ft19"> De ackrediterar eller certifierar dock inte system å ASD:s vägnar.</SPAN></P>
<P class="p70 ft26">Reglering av informations- och cybersäkerhet</P>
<P class="p420 ft20">Allmänt</P>
<P class="p76 ft17">Lagtext om det nationella cybersäkerhetsarbetet är begränsad i Australien. Landet lägger visserligen stora ansträngningar på cyber- säkerhet, men gör det utan lagstiftning och förlitar sig mer på ”mjuk lag” (soft law).<SPAN class="ft54">179</SPAN></P>
<P class="p102 ft20">Nationell cybersäkerhetsstrategi</P>
<P class="p71 ft18">2020 antog Australien en ny cybersäkerhetstrategi.<SPAN class="ft79">180 </SPAN>I strategin an- ges att regeringen kommer att stödja företagens cybermotstånd bl.a. genom att dela hotinformation, ställa tydliga förväntningar på roller och stärka partnerskap. Regeringen avser vidare att arbeta med in- dustrin för att skydda landets mest kritiska system från mer all- varliga hot. Dessutom ges brottsbekämpande myndigheter större befogenhet att skydda medborgarna online.</P>
<P class="p73 ft46">Strategin framhåller även att berörda företag bör producera säkra produkter och tjänster samt att en frivillig uppförandekod kommer att beskriva regeringens säkerhetsförväntningar för internetanslutna konsumentenheter som medborgarna använder dagligen. Regeringen bedömer att lagstiftningsreformer och ett samarbete med industrin</P>
<P class="p30 ft110"><SPAN class="ft56">179</SPAN><SPAN class="ft86">Se </SPAN>Cybersecurity law overview – a report by Mannheimer Swartling<SPAN class="ft87">, april 2017, s. 8.</SPAN></P>
<P class="p230 ft41"><SPAN class="ft56">180</SPAN><SPAN class="ft82">Se </SPAN><NOBR>www.homeaffairs.gov.au/about-us/our-portfolios/cyber-security/strategy.</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">338</P>
</DIV>
</DIV>
<DIV id="page_340">
<DIV id="p340dimg1">
<INGENBILD zsrc="H9B363340x1.jpg/" id="p340img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p244 ft21">behövs för att tydliggöra industrins skyldigheter angående cyber- säkerhet i framtiden.</P>
<P class="p122 ft46">Slutligen kommer den australienska regeringen att lägga mer resur- ser på att öka allmänhetens medvetenhet om cybersäkerhetshot.</P>
<P class="p90 ft20">AISEP – program för evaluering av <NOBR>it-säkerhetsprodukter</NOBR></P>
<P class="p185 ft49">Australasian Information Security Evaluation Program<SPAN class="ft17">, AISEP, han- terar evaluering och certifiering av </SPAN><NOBR><SPAN class="ft17">it-säkerhetsprodukter</SPAN></NOBR><SPAN class="ft17"> enligt </SPAN>Com- mon <NOBR>Criteria<SPAN class="ft17">-standarden</SPAN></NOBR><SPAN class="ft17"> för att skydda system och information mot cyberhot. Det är främst australienska och nyzeeländska statliga myn- digheter som förvärvar och använder de certifierade </SPAN><NOBR><SPAN class="ft17">it-säkerhets-</SPAN></NOBR><SPAN class="ft17"> produkterna. Genom AISEP är Australien och Nya Zeeland signatärer inom CCRA.</SPAN><SPAN class="ft54">181</SPAN></P>
<P class="p131 ft20">ISM – nationell handbok för informationssäkerhet</P>
<P class="p351 ft17">Som en del av sin rådgivning tillhandahåller ACSC <SPAN class="ft49">Australian Govern- ment Information Security Manual </SPAN>(ISM) innehållande ett ramverk för cybersäkerhet som organisationer kan tillämpa för att skydda sina system och information från cyberhot.<SPAN class="ft54">182</SPAN></P>
<P class="p216 ft17">Organisationer är som utgångspunkt inte skyldiga enligt lag att följa ISM. ISM är vidare subsidiär i förhållande till avvikande lag- stiftning. Syftet med cybersäkerhetsprinciperna i ISM är att ge prak- tisk vägledning om cybersäkerhet, inbegripet <NOBR>IKT-säkerhet.</NOBR> Hand- boken använder ett ramverk för riskhantering som är baserat på NIST <NOBR>800-37</NOBR> (se ovan under USA), enligt vilket systemet ska definie- ras och anpassade säkerhetskontroller införs. ISM används framför allt för att styra myndigheters arbete med informations- och cyber- säkerhet.</P>
<P class="p111 ft46">När det gäller informationstillgångar som ägs av eller anförtrotts den australiensiska regeringen finns ett antal grundläggande krav på informationssäkerhet som aktörer tillämpar. Bl.a. måste varje enhet säkerställa en säker drift av sina <NOBR>IKT-system</NOBR> för att skydda informa-</P>
<P class="p660 ft87"><SPAN class="ft56">181</SPAN><SPAN class="ft90">Certifikat på evalueringsnivåerna EAL </SPAN><NOBR>1–4</NOBR> är därmed ömsesidigt erkända.</P>
<P class="p207 ft41"><SPAN class="ft56">182</SPAN><SPAN class="ft81">ISM är avsedd att användas av informationssäkerhets- och </SPAN><NOBR>it-chefer.</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">339</P>
</DIV>
</DIV>
<DIV id="page_341">
<DIV id="p341dimg1">
<INGENBILD zsrc="H9B363341x1.jpg/" id="p341img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft19">tion om statliga angelägenheter genom att tillämpa ISM:s cyber- säkerhetsprinciper under alla stadier av varje systems livscykel.<SPAN class="ft101">183</SPAN></P>
<P class="p73 ft18">För kvalificerat hemliga (”top secret”) system kan bedömningar av säkerhetskontroller genomföras av <NOBR>ASD-bedömare</NOBR> (eller deras delegater). På nivån hemlig och lägre kan säkerhetsbedömningen av systemen göras av en organisations egna bedömare eller <NOBR>IRAP-be-</NOBR> dömare (Information Security Registered Assessors Program). I alla fall ska bedömarna ha ett lämpligt säkerhetsgodkännande och till- räcklig kompetens i förhållande till berörd systemtyp.<SPAN class="ft79">184</SPAN></P>
<P class="p73 ft46">Innan ett system får tas i drift behöver beslut fattas i fråga om åtföljande säkerhetsrisk kan accepteras. Om riskerna med systemets drift accepteras kan driftsättningen godkännas, annars kan den nekas. Den som har till uppgift att godkänna systemet (authorising officer) kan dessutom, i avvaktan på att en acceptabel standard nås, kräva ytterligare information av systemägaren eller tillåta driftsätt- ning av systemet med vissa användningsbegränsningar. För kvali- ficerat hemliga system och system som bearbetar, lagrar eller kom- municerar kvalificerat hemlig eller känslig kompartmentaliserad in- formation är ASD:s generaldirektör godkännandeorgan. På nivån hemlig och lägre ligger uppgiften att godkänna systemet hos en orga- nisations informationssäkerhetschef eller motsvarande. I alla fall bör godkännaren ha en lämplig nivå av kompetens och förståelse för säker- hetsrisker.</P>
<P class="p661 ft18">Som tidigare berörts utför ASD produktevalueringar i syfte att tillhandahålla en högre nivå av assurans hos produkters säkerhets- funktionalitet. Som vägledning vid anskaffning (”acquisition”) hän- visar ISM till dessa evalueringar som sker genom dels programmet <SPAN class="ft45">ASD Cryptographic Evaluation </SPAN>(ACE) för produkter som används för att skydda klassificerad (”classified”) information, dels <SPAN class="ft45">High Assurance </SPAN><NOBR><SPAN class="ft45">Evaluation</SPAN>-programmet</NOBR> för produkter som används för mycket känslig (”highly classified”) information. Vid upphandling av specifik <NOBR>IKT-utrustning</NOBR> med assuransnivån hög kontaktas ACSC.</P>
<P class="p72 ft21">ISM har många likheter med NIST RMF (se ovan), fast är något förenklad.</P>
<P class="p662 ft107"><SPAN class="ft56">183</SPAN><SPAN class="ft105">Se den australienska regeringens </SPAN><SPAN class="ft106">Protective Security Policy Framework</SPAN>, Policy 11 om robusta <NOBR>IKT-system</NOBR> (www.protectivesecurity.gov.au/information/Pages/default.aspx).</P>
<P class="p372 ft41"><SPAN class="ft56">184</SPAN><SPAN class="ft82">Ibid.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">340</P>
</DIV>
</DIV>
<DIV id="page_342">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p90 ft20">Policyramverk för säkerhetsskydd</P>
<P class="p232 ft18"><NOBR><SPAN class="ft45">Attorney-General’s</SPAN></NOBR><SPAN class="ft45"> Department </SPAN>inom den australienska regeringen har tagit fram ett policyramverk för säkerhetsskydd, där robusta <NOBR>IKT-system</NOBR> är en del av policyn. Huvudkravet i denna del är att aktö- rerna måste säkerställa en säker drift av sina <NOBR>IKT-system</NOBR> för att skydda information om statliga angelägenheter genom att tillämpa ISM:s cybersäkerhetsprinciper under alla stadier av varje systems livscykel. Enheter får endast hantera information om <NOBR>IKT-systemets</NOBR> drift auktoriserats av behörig auktoritet. När man skapar nya <NOBR>IKT-system</NOBR> eller implementerar förbättringar av befintliga system måste beslutet att godkänna att ett <NOBR>IKT-system</NOBR> tas i drift baseras på den riskbase- rade cybersäkerhetsstrategin i ISM. Det krävs att alla <NOBR>IKT-system</NOBR> erhåller godkännande inför driftsättningen för att säkerställa att en lämplig säkerhetsnivå tillämpas på systemet och att återstående säker- hetsrisker accepterats av den berörda myndigheten. <NOBR>IKT-systemen</NOBR> måste vara godkända för åtminstone den känslighet eller klassificer- ing av information som det kommer att behandla.</P>
<P class="p216 ft17">Bemyndigande att driva ett <NOBR>IKT-system</NOBR> är inte permanent. Under ett <NOBR>IKT-systems</NOBR> livscykel kan det kräva att godkännande återkallas för att kunna drivas eller så småningom tas ur drift. T.ex. kan för- ändringar av systemet eller upptäckten av nya cyberhot motivera en omprövning.</P>
<P class="p186 ft17">Kvalificerat hemliga system ska säkerhetsbedömas, och i tillämp- liga fall godkännas, av ASD.</P>
<P class="p663 ft26">Sammanfattning av särskilda krav på IKT i säkerhetskänslig verksamhet</P>
<P class="p57 ft18">Av inhämtade uppgifter framgår att det finns myndigheter i Australien med ansvar för nationell informations- och cybersäkerhet samt upp- gifter att evaluera respektive certifiera IKT. När det gäller informa- tion om statliga angelägenheter som tillhör regeringen behöver berörda <NOBR>IKT-system</NOBR> godkännas innan de får tas i drift. För kvalifice- rat hemliga system och system som hanterar kvalificerat hemlig eller känslig kompartmentaliserad information är en underrättelse- och säkerhetstjänst (ASD:s generaldirektör) godkännandeorgan. I övriga fall brukar uppgiften att godkänna systemen ligga hos respektive</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">341</P>
</DIV>
</DIV>
<DIV id="page_343">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p208 ft21">organisations säkerhetschef. Några motsvarande nationella krav på certifiering av sådana system har dock inte framkommit.</P>
<P class="p209 ft48"><SPAN class="ft48">9.13</SPAN><SPAN class="ft135">Gränsöverskridande system</SPAN></P>
<P class="p213 ft26">Inledning</P>
<P class="p289 ft17">Så som uppdraget får förstås har utredningen i denna del endast till uppgift att göra en jämförelse med nationell lagstiftning i andra in- tressanta länder. För att utröna behovet av ytterligare nationella krav på certifiering och godkännande är det emellertid relevant att även göra en kartläggning av gränsöverskridande system och förfaranden som kan aktualiseras på internationell nivå. I kapitel 13 lämnar ut- redningen en sammanfattning av de gränsöverskridande systemen på området.</P>
<P class="p70 ft26">Nationella säkerhetsmyndigheter (NSA)</P>
<P class="p277 ft18">Det ska finnas säkerhetsmyndigheter i EU:s medlemsstater med uppdrag att så långt det är möjligt enligt nationell rätt säkerställa att aktörer på deras territorium vidtar alla lämpliga åtgärder för att skydda säkerhetsskyddsklassificerade <NOBR>EU-uppgifter</NOBR> under förhand- lingar som förs innan ett kontrakt ingås och när ett kontrakt som kräver säkerhetsskyddsavtal genomförs. Vidare ska medlemsstaterna säkerställa att entreprenörerna innehar ett säkerhetsskyddsgodkän- nande av verksamhetsställe på relevant säkerhetsskyddsklassificerings- nivå (se artikel 11 p. 4 och 5 i <SPAN class="ft45">Rådets beslut om säkerhetsbestämmelser för skydd av säkerhetsskyddsklassificerade </SPAN><NOBR><SPAN class="ft45">EU-uppgifter</SPAN></NOBR><SPAN class="ft45"> </SPAN>[2013/488/EU]). Medlemsstaterna ska således utse en nationell säkerhetsmyndighet (NSA) med ansvar för säkerhetsarrangemangen för skydd av uppgif- terna så att Rådets beslut (2013/488/EU, se nedan) respekteras av be- rörda aktörer.</P>
<P class="p106 ft46">Organisationen av säkerhetsmyndigheter varierar i medlemssta- terna. I t.ex. Frankrike har man en dedikerad myndighet som har det samlade ansvaret för säkerheten nationellt (ANSSI). I Sverige finns i stället flera myndigheter som har olika mandat; Försvarsmakten och Säkerhetspolisen. Härutöver finns internationella överenskommelser.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">342</P>
</DIV>
</DIV>
<DIV id="page_344">
<DIV id="p344dimg1">
<INGENBILD zsrc="H9B363344x1.jpg/" id="p344img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p601 ft46">Enligt säkerhetsskyddsförordningen (2018:658) 6 kap. 1 § ska Regeringskansliet vara nationell säkerhetsmyndighet för internatio- nella säkerhetsskyddsåtaganden gentemot Europeiska unionen och dess medlemsländer inom ramen för <NOBR>EU-arbetet,</NOBR> Nato och Euro- peiska rymdorganet (ESA) och fullgöra de uppgifter som en sådan myndighet har enligt dessa internationella säkerhetsskyddsåtagan- den. I 20 § 8 p. förordningen med instruktion för Regeringskansliet (2009:923) anges att Regeringskansliet ska vara den nationella säker- hetsmyndighet som ansvarar för att upprätthålla säkerheten för sekre- tessbelagda uppgifter enligt Europeiska rådets säkerhetsföreskrifter samt enligt Sveriges åtaganden om detta i överenskommelser med Västeuropeiska unionen och Nato inom ramen för samarbetet <SPAN class="ft60">Part- nerskap för fred</SPAN>.</P>
<P class="p350 ft18"><NOBR>NSA-funktionen</NOBR> i Sverige är placerad på UD.<SPAN class="ft79">185 </SPAN>Säkerhetspolisen är enligt säkerhetsskyddsförordningen 7 kap. 1 § s.k. kompetent säker- hetsmyndighet (med föreskrifts- och tillsynsrätt) civilt medan den mili- tära underrättelse- och säkerhetstjänsten (Must) vid Försvarsmakten är det militärt. FMV är nationell industrisäkerhetsmyndighet enligt förordningens 6 kap. 1 §.</P>
<P class="p187 ft18">NSA ansvarar för att upprätthålla säkerheten för de säkerhets- skyddsklassificerade uppgifter som Sverige tar emot från EU, ESA och NATO – oavsett var den förvaras (inrikes/utrikes, myndighet/ organ respektive offentliga/privata). NSA ska vidare periodiskt in- spektera att säkerheten är tillfredställande, vilket sköts av Försvars- makten och Säkerhetspolisen. NSA ansvarar för att personal som hanterar <NOBR>EU-/Nato-konfidentiell</NOBR> information säkerhetsgodkänns (3 kap. säkerhetsskyddslagen). NSA:s uppdrag inbegriper även att säkerhetsplaner för informationen upprättas.</P>
<P class="p186 ft17"><NOBR>NSA-funktionen</NOBR> vid Regeringskansliet står även som garant för de säkerhetsgodkännanden som görs mot EU, ESA och NATO vad gäller ackrediteringar av <NOBR>it-system</NOBR> och anläggningar. Funktionen han- terar och koordinerar vidare <NOBR>EU-,</NOBR> ESA- och <NOBR>Nato-förfrågningar,</NOBR> där godkännande av krypton respektive delgivning av <NOBR>EU-/ESA-/Nato-</NOBR> interna dokument är en del.</P>
<P class="p664 ft87"><SPAN class="ft56">185</SPAN><SPAN class="ft90">Regeringskansliets föreskrifter med arbetsordning för Utrikesdepartementet (UF 2019:3,</SPAN></P>
<P class="p437 ft87"><SPAN class="ft58">37</SPAN><SPAN class="ft86">§) anger att Säkerhetsenheten ansvarar för frågor rörande säkerheten för sekretessbelagda uppgifter enligt säkerhetsskyddsavtal med Europeiska unionens medlemsländer och Euro- peiska rådet samt enligt åtaganden om detta i överenskommelser med Nato och Europeiska rymdorganet (ESA).</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">343</P>
</DIV>
</DIV>
<DIV id="page_345">
<DIV id="p345dimg1">
<INGENBILD zsrc="H9B363345x1.jpg/" id="p345img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p201 ft162">Rådets beslut om skydd av säkerhetsskyddsklassificerade</P>
<P class="p230 ft26"><NOBR>EU-uppgifter</NOBR> och AQVA</P>
<P class="p261 ft18">Den 23 september 2013 antog Europeiska unionens råd ett beslut om säkerhetsbestämmelser för skydd av säkerhetsskyddsklassifi- cerade <NOBR>EU-uppgifter</NOBR> (2013/488/EU). Beslutet fastställer grundläg- gande principer och miniminormer för säkerhet för att skydda säker- hetsskyddsklassificerade <NOBR>EU-uppgifter<SPAN class="ft79">186</SPAN></NOBR><SPAN class="ft79"> </SPAN>som ska gälla för rådet och rådets generalsekretariat. Reglerna ska iakttas av medlemsstaterna i enlighet med deras nationella författningar, så att de alla kan vara för- vissade om att säkerhetsskyddsklassificerade <NOBR>EU-uppgifter</NOBR> ges en mot- svarande skyddsnivå.</P>
<P class="p106 ft18">Rådets beslut innehåller bl.a. bestämmelser om hur säkerhets- skyddsklassificerade <NOBR>EU-uppgifter</NOBR> i kommunikations- och informa- tionssystem ska skyddas. Dessa system ska till en början genomgå en ackrediteringsprocess, där godkännandet från säkerhetssynpunkt syftar till att skapa förvissning om att alla lämpliga säkerhetsåtgärder vidtagits och att tillräckligt hög skyddsnivå för uppgifterna och syste- men uppnåtts i enlighet med beslutet. Vidare ska säkerhetsåtgärder genomföras för att skydda system som hanterar uppgifter på säker- hetsskyddsklassificeringsnivån <SPAN class="ft45">EU CONFIDENTIAL </SPAN>och högre mot vissa risker för oavsiktlig spridning. Om de säkerhetsskydds- klassificerade <NOBR>EU-uppgifterna</NOBR> skyddas med hjälp av kryptoprodukter, ska sådana produkter godkännas på föreskrivet sätt. Rådet är krypto- godkännande myndighet för uppgifter på säkerhetsskyddsklassifi- ceringsnivån <SPAN class="ft45">EU SECRET</SPAN>. Konfidentialiteten för uppgifter på säkerhetsskyddsklassificeringsnivån <SPAN class="ft45">EU CONFIDENTIAL </SPAN>eller <SPAN class="ft45">EU RESTRICTED </SPAN>ska skyddas genom kryptoprodukter som har godkänts av rådets generalsekreterare. Uppgifter på denna nivå inom medlemsstaternas nationella system får även skyddas genom krypto- produkter som godkänts av en medlemsstats kryptogodkännande myndighet.</P>
<P class="p106 ft46">Endast godkänd utrustning eller godkända anordningar ska an- vändas för att skydda säkerhetsskyddsklassificerade <NOBR>EU-uppgifter</NOBR> på nivån <SPAN class="ft60">EU CONFIDENTIAL </SPAN>eller högre. Om angivna produkter inte används ska uppgifterna antingen överföras på elektroniska medier som</P>
<P class="p665 ft41"><SPAN class="ft56">186</SPAN><SPAN class="ft82">Säkerhetsskyddsklassificerade </SPAN><NOBR>EU-uppgifter</NOBR> är uppgifter vars obehöriga röjande skulle kunna åsamka Europeiska unionens eller en eller flera av dess medlemsstaters väsentliga intressen olika grader av skada.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">344</P>
</DIV>
</DIV>
<DIV id="page_346">
<DIV id="p346dimg1">
<INGENBILD zsrc="H9B363346x1.jpg/" id="p346img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t26">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p666 ft21">skyddas med godkända kryptoprodukter eller som föreskrivet av den behöriga säkerhetsmyndigheten om säkerhetsåtgärder.</P>
<P class="p667 ft18">När säkerhetsskyddsklassificerade <NOBR>EU-uppgifter</NOBR> överförs på elek- tronisk väg ska godkända kryptoprodukter användas (artikel 10.7). Trots detta krav får specifika förfaranden i krissituationer eller spe- cifika tekniska konfigurationer enligt bilaga IV till beslutet tillämpas. I bilagan beskrivs bl.a. ett förfarande för utvärdering och godkän- nande av produkter för <NOBR>it-säkerhet.</NOBR> Säkerhetsnivån, som avser den grad av förtroende som krävs i säkerhetsåtgärderna, ska kontrolleras genom att internationellt erkända eller nationellt godkända proces- ser och metoder används. Detta inbegriper i första hand evaluering, skyddsåtgärder och revision. Kryptoprodukter för skydd av säker- hetsskyddsklassificerade <NOBR>EU-uppgifter</NOBR> ska evalueras och godkännas av en medlemsstats nationella kryptogodkännande myndighet. Innan sådana kryptoprodukter rekommenderas för godkännande av rådet eller generalsekreteraren ska de ha genomgått och klarat en andra- partsevaluering av en medlemsstats kvalificerade utvärderingsmyn- dighet, <SPAN class="ft45">Appropriately Qualified Authority </SPAN>(AQUA) som inte deltagit i utformningen eller tillverkningen av utrustningen. Hur detaljerad andrapartsevalueringen ska vara beror på den planerade högsta säker- hetsskyddsklassificeringsnivån för de säkerhetsskyddsklassificerade <NOBR>EU-uppgifter</NOBR> som ska skyddas genom dessa produkter. En kvalifi- cerad utvärderingsmyndighet (AQUA) ska vara en kryptogodkän- nande myndighet i en medlemsstat, vilken har ackrediterats på grundval av kriterier som rådet har fastställt för att genomföra andraparts- evalueringen av kryptoprodukter för skydd av säkerhetsskyddsklas- sificerade <NOBR>EU-uppgifter.<SPAN class="ft79">187</SPAN></NOBR></P>
<P class="p668 ft18">AQUA, dvs. godkänd andrapartsevaluerare av krypto inom EU, finns i fem medlemsstater, däribland Sverige<SPAN class="ft79">188</SPAN>. Frankrike, Italien, Nederländerna och Tyskland är de övriga kryptogodkända länderna.<SPAN class="ft79">189 </SPAN>Även om säkerhetskraven i det nu nämnda beslutet formellt endast riktar sig till rådet och den egna organisationen har angivna krav in- korporerats även i multilaterala avtal (se nedan) som en form av stan- dard och bästa praxis i ett vidare sammanhang. I denna del blir det</P>
<P class="p669 ft85"><SPAN class="ft56">187</SPAN><SPAN class="ft84">Det kan emellertid även förhålla sig på det sättet att EU accepterar att en medlemsstat under viss tid använder s.k. </SPAN><NOBR>Nato-godkänt</NOBR> krypto.</P>
<P class="p670 ft85"><SPAN class="ft56">188</SPAN><SPAN class="ft84">Det är Swedish NCSA (National Communications Security Authority) som är AQUA i Sverige, och vidare är Must Swe NCSA (utpekade av NSA på UD).</SPAN></P>
<P class="p671 ft41"><SPAN class="ft56">189</SPAN><SPAN class="ft82">Alla länder skapar sina egna krypton för nationellt bruk, men vissa kryptoprodukter som blir evaluerade kan fritt användas för </SPAN><NOBR>EU-klassificerade</NOBR> uppgifter och motsvarande, med för- delen att produkterna är föremål för ömsesidigt erkännande.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">345</P>
</DIV>
</DIV>
<DIV id="page_347">
<DIV id="p347dimg1">
<INGENBILD zsrc="H9B363347x1.jpg/" id="p347img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p189 ft17">därmed fråga om en gemensam regeluppsättning för säkerhet och en samverkan mellan medlemsstaterna om hur säkerhetsskyddsklas- sificerade <NOBR>EU-uppgifter</NOBR> ska hanteras.</P>
<P class="p102 ft26">Multilateralt säkerhetsskyddsavtal</P>
<P class="p355 ft18">Vid hantering av gemensamt hemliga uppgifter ingår EU:s medlems- stater bl.a. multilaterala säkerhetsskyddsavtal för att skydda upp- gifterna. I dessa avtal hänvisas till rådets beslut (se ovan) i fråga om gällande säkerhetskrav och <NOBR>-åtgärder,</NOBR> vilket innebär att godkända kryptoprodukter/gemensamhetsprodukter ska användas. Avtalet anger att rådets beslut ska respekteras och att det nationella skyddet minst ska motsvara det som föreskrivs vad gäller hanteringen av säker- hetsskyddsklassificerade <NOBR>EU-uppgifter.</NOBR></P>
<P class="p73 ft18">EU:s medlemsstater har ingått ett multilateralt avtal om skydd av säkerhetsskyddsklassificerade uppgifter som utbyts i EU:s intresse (2011/C 202/05). Syftet med avtalet är att skydda säkerhetsskydds- klassificerade uppgifter som härrör från unionen eller parterna.</P>
<P class="p106 ft18">Genom det multilaterala avtalet förbinder sig parterna att vidta alla lämpliga åtgärder enigt nationell rätt för att säkerställa att den säkerhetsnivå som ges säkerhetsskyddsklassificerade uppgifter som omfattas av avtalet är likvärdig med den som ges enligt säkerhets- bestämmelserna inom unionens råd för säkerhetsskyddsklassifice- rade <NOBR>EU-uppgifter</NOBR> som har motsvarande säkerhetsskyddsklassificer- ingsnivå (artikel 3). Parterna ska vidare säkerställa att de uppgifter som omfattas av avtalet har vederbörligt skydd (artikel 6). Varje part ska också säkerställa att lämpliga åtgärder<SPAN class="ft79">190 </SPAN>vidtas för skydd av de säkerhetsskyddsklassificerade uppgifter som hanteras i kommunika- tions- och informationssystem (artikel 7).</P>
<P class="p672 ft41"><SPAN class="ft56">190</SPAN><SPAN class="ft82">Sådana åtgärder ska åtminstone säkerställa uppgifternas konfidentialitet, integritet och till- gänglighet.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">346</P>
</DIV>
</DIV>
<DIV id="page_348">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p90 ft26">NATO:s regler för säkerhet</P>
<P class="p673 ft17">Liksom vid utbyte på <NOBR>EU-nivå</NOBR> (se ovan) aktualiseras gemensamma hemliga uppgifter också vid <NOBR>Nato-samarbetet.</NOBR></P>
<P class="p186 ft17">För att skydda <NOBR>Nato-information</NOBR> och informationssystem som behandlar <NOBR>Nato-information</NOBR> eller <NOBR>Nato-utrustning</NOBR> kan krav i natio- nell rätt gälla när inget annat följer av Nato:s säkerhetsregler.</P>
<P class="p111 ft19">Förutom nationella klassificeringar av hemlig information be- aktas att det även finns kategorier som avser Nato: <SPAN class="ft63">Nato Restricted</SPAN>, <SPAN class="ft63">Nato Confidential</SPAN>, <SPAN class="ft63">Nato Secret </SPAN>och <SPAN class="ft63">Cosmic Top Secret</SPAN>.</P>
<P class="p146 ft17">Behörighet krävs för tillgång till <NOBR>Nato-klassificerad</NOBR> information för ett specifikt kontrakt. Vissa internationella avtal kräver Nato- godkännanden för personal och organisationer.</P>
<P class="p11 ft18">Ett kryptosystem avsett att skydda information klassificerad <SPAN class="ft45">Nato Secret </SPAN>och uppåt ska vara godkänt av <SPAN class="ft45">Nato Military Committee</SPAN>, (NAMILCOM) vilket innefattar en andrapartsevaluering av <SPAN class="ft45">Nato’s Information Security and Evaluation Agency </SPAN>(SECAN). För att natio- nellt skydda <SPAN class="ft45">Nato Restricted </SPAN>och <SPAN class="ft45">Nato Confidential </SPAN>ska systemet vara godkänt av lämplig myndighet i landet. För länder som inte tillhör Nato krävs det dock ett särskilt godkännande för detta, och ett sådant har Sverige och Swe NCSA (dvs. Must).</P>
<P class="p131 ft48"><SPAN class="ft48">9.14</SPAN><SPAN class="ft135">Sammanfattande slutsatser</SPAN></P>
<P class="p124 ft19">En allt viktigare aspekt för <NOBR>IKT-system</NOBR> är att dessa alltmer behöver säkerställa informations konfidentialitet men även bibehålla dess integritet och tillgänglighet. Utmaningarna med samhällets ökande grad av digitalisering är gränsöverskridande och många. Nationella myndigheter i de flesta jämförbara länder tillstår att den digitala ut- vecklingen medför oerhörda positiva möjligheter samtidigt som ett stort antal säkerhetsutmaningar måste hanteras.</P>
<P class="p111 ft18">I syfte att öka cybersäkerheten i <NOBR>IKT-system</NOBR> har många stater utvecklat sina egna nationella ordningar för cybersäkerhetscerti- fiering med olika cybersäkerhetskrav och assuransnivåer, vilka åter- speglar deras rättsliga och ekonomiska kontexter. Särskilda krav på evaluering och certifiering av IKT förekommer i varierande säker- hetskänsliga domäner. Flertalet länder har också infört krav på god- kännande av informationssystem i säkerhetskänslig verksamhet. Det</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">347</P>
</DIV>
</DIV>
<DIV id="page_349">
<DIV id="p349dimg1">
<INGENBILD zsrc="H9B363349x1.jpg/" id="p349img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Internationell utblick</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p81 ft21">finns även gränsöverskridande processer för evaluering och ackre- ditering av IKT, inbegripet användning av kryptoutrustning.</P>
<P class="p325 ft18">Merparten av de undersökta länderna lägger stor vikt vid en hel- hetssyn, även om de organisatoriska lösningarna för att skapa skydd skiljer sig något åt.<SPAN class="ft79">191 </SPAN>Alla länder har också en eller flera nationella svarsmiljöer för hantering av <NOBR>IKT-händelser.</NOBR> Överlag lägger länderna tonvikt på att organisera sitt cybersäkerhetsarbete på ett sätt som säkerställer att förebyggande säkerhetsarbete ses i ett sammanhang av brottsförebyggande, beredskap och incidenthantering.<SPAN class="ft79">192 </SPAN>Samtidigt ökar medvetenheten om vikten av att inkludera alla relevanta aktörer i cybersäkerhetsarbetet.<SPAN class="ft79">193 </SPAN>Flera av länderna prioriterar att inkludera offentliga och privata företag, säkerhetsindustrin, den akademiska världen och andra organisationer både i utvecklingen av nationella cybersäkerhetsstrategier och genomförandet av anslutande åtgärder.<SPAN class="ft79">194 </SPAN>Under de senaste åren har myndigheterna i flera av länderna varit mycket tydliga med att cybersäkerhet är ett högt prioriterat område på den politiska agendan. I linje med detta har de offentliga bud- geterna för organ som ansvarar för cybersäkerhet ökat betydligt de senaste åren. Detta återspeglar en växande oro över <NOBR>IKT-riskbilden</NOBR> och en större vilja att stoppa denna utveckling.</P>
<P class="p83 ft18">Länderna investerar i att bygga både offensiva och defensiva kapa- citeter relaterade till cybersäkerhet. Dock finns för närvarande inga länder som har övergripande nationella indikatorer för att mäta IKT- säkerhet. Ett genomgående drag är att <NOBR>justitie-/inrikes-</NOBR> och försvars- departement har centrala roller i länderna. Flera länder utvecklar också sin egen ”cyberdiplomati” som en del av utrikestjänsten.</P>
<P class="p82 ft46">Av utredningens internationella jämförelse av ett tiotal utländska system framgår att nästintill alla länder har krav på att informations-</P>
<P class="p674 ft107"><SPAN class="ft56">191</SPAN><SPAN class="ft105">Skydd av personliga uppgifter är visserligen en viktig faktor i samband med informations- säkerhet, men denna aspekt behandlas inte närmare i detta betänkande med hänsyn till upp- dragets snävare utformning. Av samma anledning har också brottsbekämpande myndigheter lämnats därhän. Inte heller personal- eller fysisk säkerhet tillägnas närmare studier i kapitlet, om än dessa utgör delar av informationssäkerheten.</SPAN></P>
<P class="p675 ft85"><SPAN class="ft56">192</SPAN><SPAN class="ft84">Mekanismer och plattformar för informationsutbyte är ofta nära integrerade med incident- hanteringsmiljöer.</SPAN></P>
<P class="p647 ft85"><SPAN class="ft56">193</SPAN><SPAN class="ft84">I vissa länder med särskilt stort fokus på samarbete mellan offentlig och privat sektor har marknadsincitament skapats för innovation och utveckling av säkerhetslösningar, samt en grund för implementering av övergripande standarder för cybersäkerhet. Dessa länder in- kluderar många relevanta aktörer i utvecklingen av sina cybersäkerhetsstrategier och genom- förandet av åtgärder.</SPAN></P>
<P class="p676 ft41"><SPAN class="ft56">194</SPAN><SPAN class="ft82">Sedan 2010 har samtliga av de undersökta länderna utvecklat egna nationella strategier för </SPAN><NOBR>informations-,</NOBR> it- och/eller cybersäkerhet. Flertalet länder har en nationell säkerhetsstrategi som cybersäkerhetsstrategin är förankrad i.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">348</P>
</DIV>
</DIV>
<DIV id="page_350">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td89"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td90"><P class="p2 ft37">Internationell utblick</P></TD>
</TR>
</TABLE>
<P class="p342 ft17">system som kan komma att hantera hemlig och/eller kvalificerat hemlig information ska godkännas av en utpekad nationell myn- dighet, eller ett departement, innan systemet får driftsättas i säker- hetskänslig verksamhet. Nationella krav på evaluering och/eller certi- fiering av motsvarande IKT framstår som emellertid inte som lika vanliga, om än det förekommer i ett par jämförbara länder. Utred- ningen kan samtidigt notera att det på området finns betydande orga- nisatoriska skillnader mellan merparten av de undersökta länderna och Sverige.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">349</P>
</DIV>
</DIV>
<DIV id="page_351">
</DIV>
<DIV id="page_352">
<DIV id="p352dimg1">
<INGENBILD zsrc="H9B363352x1.jpg/" id="p352img1">
</DIV>
<P class="p0 ft16">10 Allmänna överväganden</P>
<P class="p56 ft48"><SPAN class="ft48">10.1</SPAN><SPAN class="ft135">Inledning</SPAN></P>
<P class="p110 ft18">Utredningen bedömer att det finns skäl att som utgångspunkt för överväganden i de frågor som tas upp i direktiven till utredningen behandla några mer grundläggande frågor om digitaliseringens konse- kvenser för informations- och cybersäkerhet mer allmänt, utvecklingen av hot, risker och sårbarheter som följer av den pågående digitaliser- ingen samt förekomsten av brister i informations- och cybersäker- heten inom säkerhetskänsliga och samhällsviktiga verksamhetsområden.</P>
<P class="p11 ft18">Vidare behandlas även betydelsen av styrning och samordning av arbetet med informations och – cybersäkerhet samt behovet av kom- petens på detta område. Förekomsten av brister inom dessa områden kan allvarligt påverka förutsättningarna att kunna åstadkomma stärkt informations- och cybersäkerhet inom olika viktiga samhällsverk- samheter, bl.a. vad gäller säkerhet i nätverks- och informationssystem som används i säkerhetskänslig verksamhet.</P>
<P class="p131 ft48"><SPAN class="ft48">10.2</SPAN><SPAN class="ft135">Digitaliseringen av samhällsverksamheter</SPAN></P>
<P class="p677 ft18"><SPAN class="ft59">Bedömning: </SPAN>Den pågående digitala utvecklingen i Sverige och i världen går på många plan mycket fort. Digitaliseringen påverkar hela samhället och området kan beskrivas som horisontellt, bland annat för att det omfattar alla samhällssektorer. På samma sätt som utvecklingen av digitaliseringen kan föra med sig fördelar kan den också föra med sig nya eller förändrade hot, sårbarheter och risker som påverkar informations- och cybersäkerheten i bl.a. nät- verks- och informationssystem hos olika verksamhetsutövare.</P>
<P class="p678 ft31">351</P>
</DIV>
<DIV id="page_353">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Allmänna överväganden</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p305 ft18">Utredningen kan konstatera – och som också Digitaliseringskom- missionen framhåller – att digitaliseringen utgör en katalysator och motor i samhällsutvecklingen sedan ett par decennier tillbaka och att utvecklingen nu går mycket fort. Samhällsutvecklingen har genom historien varit nära sammanlänkad med den tekniska utvecklingen. Det som är särskilt kännetecknande för den av digitaliseringen drivna samhällsutvecklingen är hastigheten i utvecklingen. Det har sin grund</P>
<P class="p340 ft18"><SPAN class="ft21">i</SPAN><SPAN class="ft150">att informations- och kommunikationstekniken (IKT) kontinuer- ligt och snabbt utvecklar nya användningsområden och funktioner, högre prestanda samt att användarnas intresse för och kompetens att använda tekniken ständigt växer och driver utvecklingen. Det med- för en omvälvande förändring och en transformering inom flera vik- tiga samhällsområden. Det medför nya förutsättningar för samhället</SPAN></P>
<P class="p340 ft23"><SPAN class="ft21">i</SPAN><SPAN class="ft163">stort och påverkar alla samhällsaktörer, t.ex. påverkar det sättet att arbeta med olika utmaningar inom de flesta samhällsområden. Digi- taliseringen och användningen av ny teknik förändrar förutsättningar och villkor för både offentlig och enskild verksamhet.</SPAN></P>
<P class="p679 ft18">Som framgår av kapitel 4 har Sverige tagit fram en rad olika strategier för att tillvarata digitaliseringens möjligheter. I det övergripande målet</P>
<P class="p340 ft17"><SPAN class="ft21">i</SPAN><SPAN class="ft88">den nuvarande digitaliseringsstrategin anges att Sverige ska vara bäst i världen på att använda digitaliseringens möjligheter samtidigt som ett antal olika delmål satts upp, bl.a. ska det finnas de bästa för- utsättningarna för alla att på ett säkert sätt ta del av, ta ansvar för och ha tillit till det digitala samhället </SPAN><NOBR>(D-trygghet).</NOBR></P>
<P class="p62 ft19">Betydelsen av att Sverige stärks inom digital infrastruktur och datahantering har pekats på i både regeringsuppdrag och internatio- nella mätningar. Olika initiativ sker för att i större utsträckning kunna strukturera, tillgängliggöra och vidareutnyttja centrala datamängder, skapa en gemensam digital infrastruktur för informationsutbyte samt utveckla och effektivisera verksamheter genom datadriven innova- tion och automatisering med stöd av <NOBR>AI-tillämpningar.</NOBR> Därutöver är användandet av molntjänster och outsourcad <NOBR>it-drift</NOBR> redan en reali- tet för många myndigheter.</P>
<P class="p61 ft18">Myndigheten för digital förvaltning (DIGG) bedömer också att det på senare tid har det skett en tydlig ambitionshöjning vad gäller den digitala förvaltningen i Sverige. Sedan 2018 har flera större pro- jekt initierats, bl.a. etablerandet av en förvaltningsgemensam digital infrastruktur för informationsutbyte, etableringen av flera nationella grunddatadomäner och ett intensifierat arbete med öppna data. Vidare</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">352</P>
</DIV>
</DIV>
<DIV id="page_354">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td91"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td92"><P class="p2 ft37">Allmänna överväganden</P></TD>
</TR>
</TABLE>
<P class="p86 ft18">har styrningen av den offentliga sektorns digitalisering, som tidigare präglades av fragmentering och ett stort självbestämmande, ändrat fokus och handlar i dag mycket om att öka helhetssynen och konso- lidera och standardisera de komponenter och lösningar som behövs i hela eller stora delar av förvaltningen. Denna utveckling bedöms kunna ha stor positiv inverkan på den svenska förvaltningens förut- sättningar att tillvarata digitaliseringens möjligheter.</P>
<P class="p80 ft18">Statliga myndigheter bedriver sedan många år olika digitaliserings- arbeten. Digitaliseringen har använts och används fortsatt som ett verktyg för att uppnå kostnadsbesparingar, effektivisera och utveckla myndigheters förmåga att lösa sina uppdrag. Från att tidigare ha datoriserat informationshantering är svenska myndigheter nu inne i en fas som karaktäriseras av effektivisering och kapacitetsförbättring av sin verksamhet och tillgängliggörande av data, som är ett viktigt steg mot att Sverige ska kunna tillvarata digitaliseringens möjligheter.</P>
<P class="p109 ft18">DIGG leder även ett arbete med att etablera en hållbar digital infrastruktur som ska möjliggöra ett effektivt och säkert utbyte av information inom och med det offentliga. Utvecklingen av infrastruk- turen ska främja nya förvaltningsgemensamma tjänster och lösningar för framtiden. Arbetet med den digitala infrastrukturen möjliggör även att nya datadrivna tekniker, t.ex. AI, kan användas för att öka inno- vationsförmågan och ge bättre service. En fullt utvecklad digital infra- struktur ska underlätta för medborgare och företagare i deras myn- dighetskontakter både nationellt och inom EU, där en uppgift till exempel bara ska behöva lämnas en gång.</P>
<P class="p65 ft18">Utredningen anser att man dock inte kan bortse för att digitali- seringen även medför nya eller förändrade hot, sårbarheter och ris- ker. I takt med ett större beroende till och sammankoppling av olika digitala system, t.ex. nätverks- och informationssystem, skapas situa- tioner där cyberangrepp och enskilda <NOBR>it-incidenter</NOBR> kan få stora och svårutredda konsekvenser som även kan påverka andra aktörer. På motsvarande sätt kan cyberangrepp och <NOBR>it-incidenter</NOBR> utanför den egna verksamheten, även utanför det egna landet, medföra stora natio- nella konsekvenser och för offentliga och enskilda aktörer. Digita- liseringsrådet framhåller vikten av funktionell säkerhet i digitala system, dvs. att nätverks- och informationssystem är tillförlitliga, tillgängliga och robusta. Över tid kan man förvänta sig att en hög informations- och cybersäkerhet också bidrar till ökad tillit för information och för nätverks- och informationssystem. Ökad tillit stödjer ökad använd-</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">353</P>
</DIV>
</DIV>
<DIV id="page_355">
<DIV id="p355dimg1">
<INGENBILD zsrc="H9B363355x1.jpg/" id="p355img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Allmänna överväganden</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p208 ft21">ning av de digitala systemen vilket i sin tur driver på transformer- ingen i samhället.</P>
<P class="p209 ft48"><SPAN class="ft48">10.3</SPAN><SPAN class="ft135">Hot, sårbarheter och risker</SPAN></P>
<P class="p680 ft18"><SPAN class="ft59">Bedömning: </SPAN>Digitaliseringen av samhällets olika verksamheter medför att hot, sårbarheter och risker kontinuerligt ökar. Det innebär att risken för cyberangrepp ökar mot olika samhällsverk- samheter, särskilt vad gäller säkerhetskänsliga och andra sam- hällsviktiga verksamheter, som många har höga skyddsvärden.</P>
<P class="p681 ft17">Hoten kommer främst från statliga aktörer som genomför cyberangrepp i olika syften, bl.a. som förberedelser för cyberangrepp och som industrispionage. Hoten kommer även från kriminella aktörer och ideellt motiverade aktörer, som har förmåga till cyber- angrepp för olika syften.</P>
<P class="p682 ft17">Att kunna skydda sig mot cyberangrepp från kvalificerade hotaktö- rer är en nationell angelägenhet. Metoder och verktyg för cyber- angrepp utvecklas ständigt och hotaktörernas spelplan förändras i takt med teknikutvecklingen. Bland de svenska mål som utsätts för cyberangrepp finns verksamheter som är väsentliga för samhällets grundläggande funktioner.</P>
<P class="p211 ft46">Som framgår av den myndighetsgemensamma rapporten som Säker- hetspolisen, Försvarsmakten, Försvarets radioanstalt (FRA) och Myn- digheten för samhällsskydd och beredskap (MSB) offentliggjort 2020 ökar den aktuella hotbilden (se kapitel 5). Ett stort antal stater be- döms i dagsläget ha förmåga att genomföra cyberangrepp och använder cyberangrepp för att uppfylla olika nationella intressen. Vissa statliga aktörer är dessutom mycket kvalificerade och genomför cyberangrepp på ett sätt som är storskaligt, systematiskt, uthålligt och globalt. Cyber- angrepp ger även angriparen möjligheter till anonymitet, förnekbar- het och vilseledning jämfört med mer traditionella metoder, vilket öppnar upp för nya möjligheter att agera utan att hamna i öppna kon- flikter med andra länder. Cyberangrepp från statliga aktörer pågår ständigt mot svenska mål i syfte att inhämta underrättelser. De an- griper bland annat verksamheter som hanterar känslig eller skydds- värd information som rör Sveriges säkerhet, men även öppen infor- mation kan vara av intresse.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">354</P>
</DIV>
</DIV>
<DIV id="page_356">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td91"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td92"><P class="p2 ft37">Allmänna överväganden</P></TD>
</TR>
</TABLE>
<P class="p64 ft18">I rapporten påpekas också att många länder utvecklar förmåga att genomföra avancerade cyberoperationer, bl.a. i form av offensiva cyberangrepp, t.ex. angrepp som stör eller avbryter försvarsrelate- rade eller samhällsviktiga funktioner i syfte att minska ett lands förmåga att stå emot ett kommande militärt angrepp eller försvaga ett lands motståndskraft mot påtryckningar. Statliga aktörer bedri- ver även underrättelseinhämtning mot svenska myndigheter och för- svarsindustri i form av cyberangrepp i syfte att kartlägga Sveriges förmåga och sårbarheter med koppling till den nationella försvars- förmågan. Statliga aktörer studerar – som förberedelse för att an- vända cyberangrepp i konflikter – sårbarheter som kan utnyttjas och utvecklar därefter verktyg som behövs för att genomföra cyberope- rationer. Sårbarheterna utnyttjas för att ta sig in i system och infek- tera dessa för att kunna slå ut systemet i det fall en konflikt uppstår. Attackerna förbereds således i fredstid och kan sedan koordineras med konventionella stridsmedel om det gynnar operationen. Takten i den tekniska utvecklingen är hög och det upptäcks kontinuerligt nya sårbarheter och det pågår en ständig kapplöpning mellan medel och motmedel och det krävs därför ett fortlöpande utvecklingsarbete för att upprätthålla en förmåga till och skydd mot avancerade cyber- operationer.</P>
<P class="p683 ft18">Cyberangrepp genomförs även av stater som bedriver omfattande program som syftar till att genom industrispionage stjäla företags- hemligheter från andra länder för att påskynda sin egen teknikut- veckling. Cyberangrepp i syfte att genomföra industrispionage mot svenska mål är vanligt förekommande och innebär att svenska företag som utvecklar ny teknik kan komma att konkurreras ut av sina egna lösningar som stulits av statliga aktörer.</P>
<P class="p65 ft19">Cyberangrepp genomförs även av kriminella aktörer som bedri- ver cyberkriminalitet där det finns möjligheter till ekonomisk vinning. Ransomware, bedrägerier, stölder och liknande kriminella aktiviteter drabbar såväl myndigheter som företag och deras leverantörer, som ofta bedriver verksamheter med höga skyddsvärden. Cyberangrepp genomförs också av ideologiskt motiverade aktörer, som betraktar angrepp mot svenska mål som legitima, även om förmågan inte mot- svarar vilja och ambition att genomföra sådana angrepp. Försök till cyberangrepp med enklare metoder och tekniska medel bedöms dock fortsätta, t.ex. genom distribuerade överbelastningsattacker och kapade hemsidor.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">355</P>
</DIV>
</DIV>
<DIV id="page_357">
<DIV id="p357dimg1">
<INGENBILD zsrc="H9B363357x1.jpg/" id="p357img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Allmänna överväganden</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p684 ft18">Sammanfattningsvis kan utredningen konstatera att hotbilden är sammansatt, komplex och fortlöpande ökar. Cyberangreppen både ökar i omfattning och blir alltmer tekniskt avancerade i takt med den globala teknikutvecklingen på cyberområdet. Den nationella ambi- tionen med den pågående digitaliseringen i samhället och av säker- hetskänsliga och andra samhällsviktiga verksamheter öppnar upp för nya sårbarheter och risker, bl.a. i de nätverks- och informationssystem som används i dessa verksamheter.</P>
<P class="p105 ft17">Som utredningen tidigare beskrivit följs takten i digitaliseringen inte av motsvarande utveckling när det gäller informations- och cyber- säkerhet i stort i samhället och inom många viktiga samhällsverksam- heter kapitel 4).</P>
<P class="p70 ft48"><SPAN class="ft48">10.4</SPAN><SPAN class="ft135">Brister i informations- och cybersäkerhet</SPAN></P>
<P class="p685 ft18"><SPAN class="ft59">Bedömning: </SPAN>Av offentliga utredningar och myndighetsrapporter framkommer att det finns allvarliga brister i informations- och cybersäkerheten inom en rad olika samhällsverksamheter. Detta gäller såväl statliga myndigheter som regioner och kommuner men även organisationer och näringslivet. Bristerna innebär uppenbara risker för angrepp mot nätverveks- och informationssystem som kan medföra allvarliga konsekvenser för samhället och aktörer inom olika verksamhetsområden.</P>
<P class="p686 ft18">Utredningen har – som framgår ovan – strävat efter att skaffa sig en överblicksbild över nivån på informations- och cybersäkerhet i säkerhetskänslig verksamhet. Utredningen har tagit del av offentliga utredningar och myndighetsrapporter som offentliggjorts under den senast femårsperioden, några har offentliggjorts så sent som under 2020 och 2021. Ett fåtal av dessa utredningar har behandlat frågor med anknytning till nivån på informations- och cybersäkerhet i säker- hetskänsliga verksamheter. De övriga utredningar som förekommer i detta avseende omfattas naturligen av sekretess eller i något fall även av kvalificerad sekretess, vilket innebär att utredningen inte haft tillgång till allt underlag som kan belysa om det föreligger anled- ning att föreslå att det införs en nationellt anpassad certifierings- ordning för <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nätverks- och</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">356</P>
</DIV>
</DIV>
<DIV id="page_358">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td91"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td92"><P class="p2 ft37">Allmänna överväganden</P></TD>
</TR>
</TABLE>
<P class="p342 ft21">informationssystem i säkerhetskänslig verksamhet. Utredningen anser att detta påverkat förutsättningarna för utredningsarbetet.</P>
<P class="p262 ft18">Även om det av offentliggjorda utredningar och myndighets- rapporter som utredningen tagit del av, och som redogjorts för i kapi- tel 8, kan dras slutsatsen att det förekommer allvarliga brister i in- formations- och cybersäkerheten i verksamheten hos många offentliga aktörer och i viss mån även i företag så kan inte dras en tillräckligt säker slutsats om nivån när det gäller den säkerhetskänsliga verksamheten.</P>
<P class="p65 ft18">Utredningen bedömer dessutom att när det gäller aktörer och verksamheter som avser säkerhetskänslig verksamhet finns anled- ning att göra viss åtskillnad vid analyser av verksamhet som bedrivs inom Säkerhetspolisens respektive Försvarsmaktens ansvarsområde. Inom den senare myndighetens ansvarsområde återfinns i huvudsak myndigheter under Försvarsdepartementet, dvs. i första hand inom den militära försvarssektorn. Inom Säkerhetspolisens tillsynsområde återfinns i praktiken övriga aktörer som bedriver säkerhetskänslig verksamhet. Försvarsmakten har en sedan lång tid tillbaka meddelat föreskrifter om informations- och cybersäkerhet som gäller för de övriga s.k. försvarsmyndigheterna och har dessutom genom den mili- tära säkerhets- och underrättelsetjänstens (MUST) arbete en väl- utvecklad ordning för att bedriva tillsynsverksamhet inom tilldelat ansvarsområde. Utredningen har i samtal med experter med anknyt- ning till Försvarsmaktens tillsynsområde inte erhållit sådan informa- tion att det finns befogad anledning anta att det på det området skulle förekomma motsvarande allvarliga brister i informations- och cyber- säkerheten som kan återfinnas hos övriga civila aktörer som – i större eller mindre omfattning – bedriver verksamhet som omfattas av regler- ingen om säkerhetsskydd.</P>
<P class="p109 ft18">Det innebär också att när utredningen analyserar behov av åtgär- der för att stärka säkerheten i nätverks- och informationssystem i säkerhetskänslig verksamhet blir utgångspunkten i denna del den överblicksbild på brister i informations- och cybersäkerhet som kan observeras i första hand hos statliga myndigheter samt kommuner och regioner inom Säkerhetspolisens tillsynsområde. Av några rap- porter och studier kan även dras vissa slutsatser när det gäller brister i informations- och cybersäkerhet hos företag i näringslivet.</P>
<P class="p119 ft46">Av sammanställningen av offentliga utredningar och myndig- hetsrapporter framkommer en mycket bekymmersam bild av nivån på och omfattningen av informations- och cybersäkerheten i främst</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">357</P>
</DIV>
</DIV>
<DIV id="page_359">
<DIV id="p359dimg1">
<INGENBILD zsrc="H9B363359x1.jpg/" id="p359img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Allmänna överväganden</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft46">offentlig verksamhet men även till viss del hos enskilda verksamhets- utövare. Sammantaget måste bristerna bedömas som allvarliga och utredningen anser att omfattande och samordnade åtgärder behöver vidtas i syfte att stärka informations- och cybersäkerheten i sam- hället i stort och särskilt inom säkerhetskänsliga och andra samhälls- viktiga verksamheter. Frågor som berör förslag på mer övergripande åtgärder för att öka informations- och cybersäkerheten inom angivna verksamheter, såväl vad avser styrning som organisering och resurs- behov, kräver omfattande utredningsresurser. Även om frågorna be- rör förutsättningarna för de åtgärder som utredningen har att över- väga ligger dessa frågor utanför utredningsuppdraget och utredningen har avgränsat arbetet främst till frågorna om behov av certifiering respektive godkännande av myndighet av <NOBR>IKT-produkter,</NOBR> – tjänster och <NOBR>-processer</NOBR> i nätverks- och informationssystem i säkerhetskänslig verksamhet.</P>
<P class="p513 ft48"><SPAN class="ft48">10.5</SPAN><SPAN class="ft135">Behovet av ökad informations- och cybersäkerhet</SPAN></P>
<P class="p685 ft18"><SPAN class="ft59">Bedömning: </SPAN>Den digitala utvecklingen i samhället visar att det blir allt mer nödvändigt för alla typer av myndigheter, kommuner och regioner, organisationer och företag att arbeta systematiskt med informationssäkerhet. Det finns en grupp av myndigheter som fokuserar på digitaliseringens möjligheter, t.ex. ur ett effek- tiviseringsperspektiv, och en annan grupp som fokuserar på olika typer av hot, sårbarheter och risker. I takt med ökad digitalisering kommer en ökad samverkan och samordning mellan dessa grup- per att få betydelse för utvecklingen i sin helhet.</P>
<P class="p687 ft18">Vidare krävs att informations- och cybersäkerhet går från att vara en teknikfråga till en strategisk verksamhetsfråga hos verk- samhetsutövare. Ledningsfunktioner i olika former av verksam- heter behöver ta ett större ansvar för det systematiska arbetet med informations- och cybersäkerhet. För det krävs kunskap och kompetens samt att dessa frågor i högre grad integreras i verk- samhetsutövarnas ordinarie styrningsprocesser, t.ex. i system för ledning- och ekonomistyrning.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">358</P>
</DIV>
</DIV>
<DIV id="page_360">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td91"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td92"><P class="p2 ft37">Allmänna överväganden</P></TD>
</TR>
</TABLE>
<P class="p86 ft18">Digitaliseringen är något som ofta drivs genom att visa på nytta, t.ex. genom att förenkla processer och arbetssätt. Digitaliseringen med- för att myndigheter och andra aktörer måste ha tillgång till och kunna behandla digital information. Detta ställer krav på ett struk- turerat arbetssätt för att säkerställa att den information som behand- las hanteras på ett säkert sätt. Med säker hantering avses både att säkra tillgång till öppen information och att information som inte är öppen ska skyddas. Det kräver även att nätverks- och informations- system som används för styrning och kontroll av verksamhet på samhällsviktiga områden är säkra. När det uppstår brister i informa- tions- och cybersäkerheten kan följden bli omfattande konsekvenser både för samhället i stort och för individers integritet.</P>
<P class="p80 ft19">Utredningen kan emellertid konstatera att det många gånger är en betydande utmaning att kunna motivera investeringar i informa- tions- och cybersäkerhet eftersom det inte omedelbart ger synbar eller upplevd nytta direkt vid investeringstillfället. Åtgärder som syftar till en stärkt informations- och cybersäkerhet i verksamheten kan i många fall betraktas som något som endast riskerar att försvåra, försena och fördyra ett projekt eller den löpande verksamheten. Många aktörer ser även utmaningar med att sätta sig in i vilka värden en säker hantering av information och säkra nätverks- och informa- tionssystem har på längre sikt.</P>
<P class="p119 ft18">Utredningen kan även konstatera att inte sällan betraktas också informations- och cybersäkerhetsfrågor som enbart <NOBR>it-säkerhetsfrå-</NOBR> gor vilket medför att säkerhetsåtgärder av administrativ och organi- satorisk art riskerar att förbises, t.ex. när det gäller utformning och följsamhet av rutiner och arbetssätt. Krav på personella och ekono- miska resurser i syfte att stärka informations- och cybersäkerheten tenderar dessutom ofta att ingå ordinarie budgetarbete för verksam- heten och riskerar därmed också att inte tas upp eller beaktas som en strategisk lednings- och resursfråga.</P>
<P class="p109 ft18">Ett aktivt arbete med informations- och cybersäkerhet är en för- utsättning för en fortsatt säker digitalisering. Det bör ses som ett grundkrav i alla verksamhetsutövares hantering av information samt nätverks- och informationssystem. Målbilden för styrning inom in- formations- och cybersäkerhetsområdet bör vara att få motsvarande effekt av styrningen som på t.ex. arbetsmiljö och miljöområdet. Det innebär att höja medvetenheten om behovet av strategisk styrning och ett systematiskt informationssäkerhetsarbete och att tydliggöra</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">359</P>
</DIV>
</DIV>
<DIV id="page_361">
<DIV id="p361dimg1">
<INGENBILD zsrc="H9B363361x1.jpg/" id="p361img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Allmänna överväganden</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p60 ft18">detta inte bara hos statliga myndigheter utan även hos andra offent- liga och enskilda verksamhetsutövare. Alla statliga myndigheter och andra offentliga aktörer, dvs. regioner och kommuner, måste bedriva ett systematiskt och riskbaserat informations- och cybersäkerhetsarbete med stöd av ett ledningssystem för informationssäkerhet. Vikten av att medvetenheten om informations- och cybersäkerhet ökar och att dessa frågor ingår i alla digitaliseringsprocesser har också tidigare fram- hållits i olika offentliga utredningar och rapporter (kapitel 4 och 8).</P>
<P class="p688 ft62"><SPAN class="ft48">10.6</SPAN><SPAN class="ft164">Ökat behov av styrning och samordning av informations- och cybersäkerhet</SPAN></P>
<P class="p689 ft18"><SPAN class="ft59">Bedömning: </SPAN>Bristen på reglering, styrning och samordning i det samlade arbetet med att stärka informations- och cybersäkerhe- ten i samhället i stort medför betydande utmaningar för både offentliga och enskilda verksamhetsutövare. Åtgärder krävs som ger offentliga och enskilda aktörer förutsättningar att kunna uppnå en tillräcklig grad av informations- och cybersäkerhet i verksam- heten. Det närmare behovet av ytterligare reglering samt tyd- ligare styrning och samordning av arbetet med samhällets infor- mations- och cybersäkerhet bör därför utredas i särskild ordning.</P>
<P class="p690 ft18">Utredningen kan konstatera att arbetet med informations- och cyber- säkerhet i dag är – i enligt med den nationella regleringen och model- len för arbetet med informations- och cybersäkerhet – i allt väsent- ligt varje verksamhetsutövares eget ansvar. I och med att verksam- hetsutövare i dag är blir allt mer beroende av andra aktörer för sin informationshantering, bl.a. i förvaltningsgemensamma digitala system- lösningar och funktioner, är det nödvändigt med samordnade åtgärder för att öka informations- och cybersäkerheten, dvs säkerhetsnivån och samtidigt reducera sårbarheter och risker i informations- och nätverkssystemen.</P>
<P class="p62 ft18">Utredningen kan även notera att det nationella informations- och cybersäkerhetsarbetet alltjämt är uppdelat i olika, delvis överlappande, ansvarsområden, både på departements- och på myndighetsnivå. Detta medför att det i dag också saknas ett enhetligt regelverk och ett en- hetligt arbetssätt för samhällets informations- och cybersäkerhets- arbete samtidigt som det är få gemensamma krav på informations-</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">360</P>
</DIV>
</DIV>
<DIV id="page_362">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td91"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td92"><P class="p2 ft37">Allmänna överväganden</P></TD>
</TR>
</TABLE>
<P class="p77 ft18">och cybersäkerhet, utom när det gäller tillsynsmyndigheternas krav på säkerhet i nätverks- och informationssystem i säkerhetskänslig verksamhet och verksamhet som avser samhällsviktiga och digitala tjänster. Expert- och sektorsmyndigheter har, utifrån sitt specifika ansvarsområde eller expertområde, gett ut föreskrifter som i olika grad ställer krav på säkerhet i dessa system.</P>
<P class="p65 ft18">Utredningen bedömer att det finns en stor risk att fragmenter- ingen av bl.a. kravställningen på området ökar när flera aktörer – om inte samordning sker när det är möjligt – utfärdar föreskrifter och allmänna råd om informations- och cybersäkerhet för olika verksam- heter på området Detta riskerar även att få till följd att kunskap och erfarenheter som finns hos olika aktörer inte nyttjas ändamålsenligt och effektivt, dvs. att tillgängliga resurser inte riktas mot och används inom de områden där bristerna i informations- och cybersäkerheten är som störst. Det riskerar även att information om och krav på åt- gärder för att möta hot och reducera sårbarheter och risker fördröjs eller aldrig blir utförda på grund av oklara ansvarsförhållanden.</P>
<P class="p109 ft18">Utredningen bedömer att det fragmenterade arbetet även leder till att det i allt väsentligt inom den samlade offentliga sektorn saknas gemensamma riktlinjer för vilket skydd olika typer av nätverks- och informationssystem bör ha. Detta riskerar att leda till att samma typ av information och nätverks- och informationssystem kan erhålla olika skyddsåtgärder beroende på vilken verksamhetsutövare som han- terar informationen och var i dennes system som informationen och nätverks- och informationssystemen finns. Detta riskerar att med- föra effektivitetsbrister och ökade kostnader, då systemen kan få olika utformning som medför minskad interoperabilitet.</P>
<P class="p80 ft46">Utredningen behandlar i delbetänkande vissa frågor med anknyt- ning till tillsyn, bl.a. att det är viktigt att regleringens olika delar sam- spelar så att det inte uppstår en obalans mellan dem. Om t.ex. vissa delar av tillsynsverksamheten är reglerad med avseende på vilka pre- stationer en tillsynsmyndighet ska åstadkomma medan andra delar har mer övergripande målformuleringar finns en risk att den detal- jerade regleringen får en styrande inverkan på tillsynen, med den kon- sekvensen att annan mer strategiskt inriktad tillsyn får stå tillbaka. Det finns också en stor risk att verksamhetsutövare som är utsatta för tillsyn fokuserar arbetet på de delar som granskas mer specifikt och att arbetet med det övergripande arbetet med informations- säkerhet får stå tillbaka.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">361</P>
</DIV>
</DIV>
<DIV id="page_363">
<DIV id="p363dimg1">
<INGENBILD zsrc="H9B363363x1.jpg/" id="p363img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Allmänna överväganden</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p691 ft17">Mot bakgrund av detta anser utredningen att bristen på gemen- sam reglering, styrning och samordning av arbetet med informa- tions- och cybersäkerhet medför betydande utmaningar i arbetet för såväl offentliga som enskilda verksamhetsutövare, t.ex. när det gäller arbete uppnå tillräcklig säkerhet i nätverks- och informationssystem i verksamheten.</P>
<P class="p82 ft18">Utredningen bedömer dock att förlag på åtgärder som ger offent- liga och enskilda aktörer bättre förutsättningar med att genomföra och förvalta digitaliseringsarbetet och samtidigt uppnå en tillräcklig grad av informations- och cybersäkerhet kräver en fördjupad analys som ligger utanför utredningens uppdrag. Utredningen anser dock att frågan om gemensamma regler och tydligare styrning och sam- ordning av arbetet med samhällets informations- och cybersäkerhet bör utredas och analyseras ytterligare i särskild ordning.</P>
<P class="p692 ft62"><SPAN class="ft48">10.7</SPAN><SPAN class="ft164">Tillgången på personal med kompetens inom informations- och cybersäkerhet måste öka</SPAN></P>
<P class="p693 ft46"><SPAN class="ft165">Bedömning: </SPAN>Det finns i dag ett omfattande behov av personal med kompetens i informations- och cybersäkerhet på olika nivåer hos många verksamhetsutövare, såväl inom den offentliga verk- samheten som i näringslivet. Tillgången på personal med kompe- tens inom informations- och cybersäkerhet behöver därför öka.</P>
<P class="p694 ft18">En förutsättning för att kunna hantera frågor om informations- och cybersäkerhet i offentlig och privat sektor är att det finns tillgång till kvalificerad kompetens på området. Det råder emellertid en stor brist på kompetens inom informations- och cybersäkerhetsområdet.</P>
<P class="p82 ft53">Enligt IT & Telekomföretagens rapport <NOBR><SPAN class="ft125">IT-kompetensbristen</SPAN></NOBR><SPAN class="ft125"> – en rapport om den svenska digitala sektorns behov av spetskompetens</SPAN><SPAN class="ft124">1 </SPAN>är bristen på kompetens så stor att den fortsatta utvecklingen och till- växtkraften inom hotas. I rapporten bedöms underskottet ligga på ungefär 70 000 personer i Sverige år 2022.</P>
<P class="p695 ft74"><SPAN class="ft80">1</SPAN><NOBR><SPAN class="ft95">IT-kompetensbristen</SPAN></NOBR> – en rapport om den svenska digitala sektorns behov av spetskompetens<SPAN class="ft41">, IT & Telekomföretagens, 2020.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">362</P>
</DIV>
</DIV>
<DIV id="page_364">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td91"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td92"><P class="p2 ft37">Allmänna överväganden</P></TD>
</TR>
</TABLE>
<P class="p696 ft21">Brister som kan ha sin orsak i kompetensbrist på området är:</P>
<P class="p252 ft17"><SPAN class="ft115">•</SPAN><SPAN class="ft116">En betydande andel myndigheter arbetar inte systematiskt med att identifiera sina skyddsvärden eller att säkerhetsskyddsklassi- ficera sina uppgifter.</SPAN></P>
<P class="p98 ft17"><SPAN class="ft115">•</SPAN><SPAN class="ft116">Säkerhetsincidenter med misstänkt eller konstaterad informations- förlust av hemliga uppgifter till följd av bristfälligt implementerad och underhållen </SPAN><NOBR>it-säkerhetsarkitektur.</NOBR></P>
<P class="p237 ft167"><SPAN class="ft115">•</SPAN><NOBR><SPAN class="ft166">It-system</SPAN></NOBR> som hanterar skyddsvärd information är uppkopplat mot ett öppet nätverk.</P>
<P class="p697 ft21"><SPAN class="ft115">•</SPAN><SPAN class="ft117">Bristfälliga kravställningar på cybersäkerhet vid upphandlingar.</SPAN></P>
<P class="p314 ft19">I Digitaliseringsrådets lägesbild för digital kompetens beskrivs be- hovet av digital kompetensförsörjning där informationssäkerhet är en del. En av rekommendationerna i lägesbilden är att utöka antalet utbildningsplatser för digitala specialister hos lärosätena genom rik- tade insatser. För informationssäkerhet är det dock inte bara antalet utbildningsplatser som är ett problem utan avsaknaden av utbild- ningar hos universitet och högskolor.</P>
<P class="p11 ft18">I ett digitalt samhälle behöver alla grundläggande digital kompe- tens för att kunna vara delaktiga. Kompetensen handlar om att förstå såväl möjligheter som risker. Internetstiftelsen anger att den gene- rella internetkunskapen behöver öka i Sverige för att fler ska förstå riskerna med användandet av digitala tjänster och vad man själv kan göra för att förebygga riskerna. Digitaliseringsrådet framhåller be- hovet att växla upp arbetet med att nå alla invånare för att öka kun- skapen om bland annat informationssäkerhetsfrågor. Digitaliserings- rådet föreslår att även att t.ex. Myndigheten för samhällsskydd och beredskap (MSB) kartlägger vilken typ av ytterligare stöd som efter- frågas hos myndigheter och kommuner och regioner och i vilken om- fattning det befintliga metodstödet används och är känt.</P>
<P class="p58 ft18">Utredningen kan konstatera att bristen på informations- och cyber- säkerhetskompetens i olika verksamheter är något som utmanar säker- heten hos många verksamhetsutövare. Även om tekniska risker många gånger kan hanteras riskerar ett mer strukturerat arbete med infor- mations- och cybersäkerhet och som ser till olika aspekter och risker i verksamheten att falla bort eller bli underutvecklat. Rätt kompetens</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">363</P>
</DIV>
</DIV>
<DIV id="page_365">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Allmänna överväganden</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p208 ft21">är också en förutsättning för att kunna driva systematiskt arbetet med informations- och cybersäkerhet.</P>
<P class="p209 ft48"><SPAN class="ft48">10.8</SPAN><SPAN class="ft135">Sammanfattning</SPAN></P>
<P class="p192 ft46">Av vad som framkommer av offentliga utredningar och myndighets- rapporter under den senaste femårsperioden kan slutsatsen dras att det pågår en omfattande digitalisering av det svenska samhället och av verksamheter inom flera viktiga samhällsområden. Digitaliser- ingen medför stora utvecklingsmöjligheter men medför också ökade hot, sårbarheter och risker. Informations- och cybersäkerheten har inte utvecklats på motsvarande sätt vilket medför att gapet mellan digitaliseringen och informations- och cybersäkerheten ökat och fort- sätter att öka om inte kraftfulla åtgärder vidtas på området. Orsaken till att gapet ökar har sin förklaring bl.a. i form av brister i reglering, styrning och samordning av arbetet med informations- och cyber- säkerhet samt brist på kompetent personal. Åtgärder som behöver vidtas innefattar bl.a. bättre styrning och samordning av arbetet med att stärka informations- och cybersäkerheten mer allmänt i samhället och särskilt inom säkerhetskänsliga och samhällsviktiga verksam- heter. Vidare behöver utbildning och tillgång till personal med kom- petens inom informations- och cybersäkerhet öka. Många verksam- hetsutövare behöver också förbättra arbetet med ett systematiskt informationssäkerhetsarbete.</P>
<P class="p211 ft18">Utredningen har genom kartläggningen och sammanställningen av offentliga utredningar och myndighetsrapporter i ett tidigt skede av utredningsarbetet dragit slutsatsen att det föreligger flera olika mer eller mindre allvarliga brister i informations- och cybersäkerheten mer allmänt inom många samhällssektorer och viktiga samhällsverksam- heter, bl.a. i säkerhetskänsliga verksamheter på främst Säkerhetspolisens tillsynsområde. Utredningen bedömer att flera åtgärder krävs för att stärka säkerheten i dessa verksamheter. Arbetet med att överväga sådana mer generella åtgärder för att stärka informations- och cyber- säkerheten i viktiga samhällsverksamheter kräver en fördjupad och omfattande analys och ligger dessutom utanför utredningens uppdrag som är avgränsad till den säkerhetskänsliga verksamheten. Utredningen vill samtidigt framhålla att frågan med att stärka informations- och cybersäkerheten i samhället i stort och inom olika säkerhetskänsliga</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">364</P>
</DIV>
</DIV>
<DIV id="page_366">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td91"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td92"><P class="p2 ft37">Allmänna överväganden</P></TD>
</TR>
</TABLE>
<P class="p77 ft18">och samhällsviktiga verksamheter präglas av gemensamma grunder och samberoenden, bl.a. påverkar brister i det grundläggande systematiska arbetet med informations- och cybersäkerhet i verksamheten även förutsättningarna för att kunna uppnå säkerhet i nätverks- och infor- mationssystem i säkerhetskänslig verksamhet hos samma verksamhets- utövare. Vidare kan cyberangrepp mot en enskild verksamhetsutövare innebära följdskador hos en eller flera andra verksamhetsutövare, vid mer allvarliga angrepp kan i vissa fall kan hela samhällssektorer slås ut. I nästa kapitel (kapitel 11) redovisas utredningens allmänna över- väganden om behovet av att stärka säkerheten i nätverks- och infor- mationssystem i säkerhetskänslig verksamhet.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">365</P>
</DIV>
</DIV>
<DIV id="page_367">
</DIV>
<DIV id="page_368">
<P class="p698 ft109"><SPAN class="ft16">11</SPAN><SPAN class="ft168">Åtgärder för stärkt säkerhet i nätverks- och informationssystem</SPAN></P>
<P class="p699 ft48"><SPAN class="ft48">11.1</SPAN><SPAN class="ft135">Inledning</SPAN></P>
<P class="p74 ft46">Utredningen har i föregående kapitel behandlat några av de mer grund- läggande frågor som är av betydelse för möjligheterna att kunna stärka informations- och cybersäkerhet mer allmänt men som även utgör förutsättningar för att kunna stärka säkerheten i nätverks- och informationssystem i säkerhetskänslig verksamhet. För nätverks- och informationssystem som används i eller har betydelse för säker- hetskänslig verksamhet finns i dag särskilda krav i säkerhetsskydds- förordningen (2018:658). Det rör sig bl.a. om förberedande åtgärder inför driftsättning av informationssystem och om säkerhetskrav som kontinuerligt ställs på informationssystemen. Bestämmelserna inne- håller även krav på samråd med Säkerhetspolisen eller Försvarsmakten i vissa fall. Detta gäller för informationssystem som kan komma att behandla säkerhetsskyddsklassificerade uppgifter av visst slag och informationssystem där obehörig åtkomst till systemen kan medföra en skada för Sveriges säkerhet som inte är obetydlig. Bestämmel- serna innebär att det är verksamhetsutövaren som ansvarar för att se till att informationssystemen upprätthåller kraven på informations- säkerhet.</P>
<P class="p700 ft31">367</P>
</DIV>
<DIV id="page_369">
<DIV id="p369dimg1">
<INGENBILD zsrc="H9B363369x1.jpg/" id="p369img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Åtgärder för stärkt säkerhet i nätverks- och informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p201 ft48"><SPAN class="ft48">11.2</SPAN><SPAN class="ft135">Begreppet informationssystem</SPAN></P>
<P class="p680 ft18"><SPAN class="ft59">Bedömning: </SPAN>Begreppet informationssystem används i säkerhets- skyddslagen respektive säkerhetsskyddsförordningen, medan be- greppet nätverks- och informationssystem är det begrepp som används i första hand inom bl.a. det europeiska ramverket för cybersäkerhetscertifiering och området för samhällsviktiga och digitala tjänster (dvs. <NOBR>NIS-direktivets</NOBR> tillämpningsområde). Båda begreppen används i nationell författningsreglering och tillämpas för i allt väsentligt samma typer av nätverks- och informations- system. Efter införandet av föreslagna ändringar i säkerhetsskydds- regleringen (se bl.a. prop. 2020/21:194) bör vid en ny författnings- översyn på området frågan om samstämmighet av nu nämnda begrepp övervägas närmare.</P>
<P class="p701 ft18">Som utredningen tidigare anger förekommer, såväl nationellt som internationellt, olika begrepp och definitioner på informations- och cybersäkerhetsområdet. Mångfalden av begrepp väcker frågan vad som avses med begreppet i det sammanhang som det används. Ett exempel på en sådan fråga är om det föreligger någon skillnad mellan begreppet informationssystem, som är det begrepp som används i den nationella regleringen av säkerhetsskydd och begreppet nätverks- och informationssystem, som är det begrepp som används inom bl.a. det europeiska ramverket för cybersäkerhetscertifiering och inom tillämpningsområdet för samhällsviktiga och digitala tjänster, dvs. <NOBR>NIS-direktivets</NOBR> tillämpningsområde. Det senare begreppet används i den nationella författningsreglering som införts i anslutning till EU:s författningsreglering på angivna områden. Det medför att såväl begreppen informationssystem som nätverks- och informations- system används i den nationella författningsregleringen och tillämpas för i allt väsentligt samma typer av nätverks- och informationssystem. Företeelsen är i och för sig förståelig mot bakgrund av områdets i vissa fall mycket komplexa karaktär och att utvecklingen på nätverks- och informationsområdet sker över tid med många olika aktörer involverade, såväl nationellt som internationellt. Man kan samtidigt notera att i den nationella regleringen på säkerhetsskyddsområdet används begreppet informationssystem genomgående, såväl i gäl- lande författningsreglering som i offentliga utredningar och rappor- ter från myndigheter, vilket medför en utmaning när det gäller vilka</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">368</P>
</DIV>
</DIV>
<DIV id="page_370">
<DIV id="p370dimg1">
<INGENBILD zsrc="H9B363370x1.jpg/" id="p370img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td93"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td94"><P class="p2 ft37">Åtgärder för stärkt säkerhet i nätverks- och informationssystem</P></TD>
</TR>
</TABLE>
<P class="p126 ft21">begrepp som utredningen lämpligen bör använda i detta utrednings- arbete.</P>
<P class="p522 ft18">Utredningen anser att det finns starka skäl för att samma begrepp och definition bör användas för nätverks- och informationssystem om det inte finns anledning till annat förhållningssätt. Utredningen kan emellertid konstatera att den nationella författningsregleringen för skydd av säkerhetskänslig verksamhet tidigare och även nu är föremål för revidering och att någon ändring av begreppet informa- tionssystem i denna författningsreglering inte aktualiserats.</P>
<P class="p65 ft18">Uppdraget innefattar frågor – som det uttrycks i direktiven – om behovet av att stärka säkerheten i nätverks- och informationssystem i säkerhetskänslig verksamhet. Utredningen anser att begreppet infor- mationssystem som det används i den nu gällande författningsregler- ingen och i det förslag till förförfattningsförändring som tas upp i propositionen <SPAN class="ft45">Ett starkare skydd för Sveriges säkerhet </SPAN>(prop. 2020/ 21:194) bör kvarstå i avvaktan på revidering av lagstiftningen. Vid en ny översyn av författningsregleringen av skydd för säkerhetskänslig verksamhet bör dock frågan om samstämmighet av begreppen på området övervägas närmare. Utredningen använder därför begreppet informationssystem i efterföljande kapitel när frågan om certifiering respektive godkännande av informationssystem övervägs, utom i de fall då begreppet informationssystem relaterar till begreppet nätverks- och informationssystem i annan författning, då det senare begreppet används. I sak avses emellertid inte någon skillnad.</P>
<P class="p702 ft62"><SPAN class="ft48">11.3</SPAN><SPAN class="ft164">Nuvarande brister i säkerheten i informationssystem</SPAN></P>
<P class="p703 ft18"><SPAN class="ft59">Bedömning: </SPAN>Av offentliga utredningar och myndighetsrapporter kan slutsatsen dras att det finns allvarliga brister mer allmänt i informations- och cybersäkerhet hos offentliga och enskilda verk- samhetsutövare. Om motsvarande brister även finns hos verksam- hetsutövare som bedriver säkerhetskänslig verksamhet är svårare att överblicka och redovisa då dessa uppgifter naturligen omfattas av sekretess med stöd av offentlighet- och sekretesslagen. Av vad som anges i ett begränsat antal offentliga utredningar och myn- dighetsrapporter kan ändå – med viss grad av säkerhet – slutsatsen dras att framför allt offentliga verksamhetsutövare, dvs. statliga</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">369</P>
</DIV>
</DIV>
<DIV id="page_371">
<DIV id="p371dimg1">
<INGENBILD zsrc="H9B363371x1.jpg/" id="p371img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Åtgärder för stärkt säkerhet i nätverks- och informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p704 ft46">myndigheter, regioner och kommuner, som bedriver säkerhets- känslig verksamhet på Säkerhetspolisens tillsynsområde uppvisar allvarliga brister i informations- och cybersäkerhet i verksamheten och att det även gäller brister i säkerheten i informationssystem som används i sådan verksamhet. I vad mån motsvarande brister finns hos enskilda verksamhetsutövare, dvs. företag i näringslivet, är mer osäkert men utredningen bedömer att utgångspunkten här bör vara att även hos dessa behöver säkerheten öka i informa- tionssystem.</P>
<P class="p705 ft17">Angivna brister innebär uppenbara risker för angrepp mot in- formationssystem i säkerhetskänslig verksamhet och som kan med- föra allvarliga konsekvenser för samhället som helhet och för olika aktörer inom samhällsviktiga områden.</P>
<P class="p690 ft46">Som utredningen tidigare framhåller förutsätter förslag på åtgärder som syftar till att stärka säkerheten i informationssystem i säker- hetskänslig verksamhet att det föreligger brister i denna säkerhet alternativt att det kan klarläggas att även om några egentliga brister inte kan observeras så finns det skäl att ytterligare förstärka säker- heten för att motverka eventuella framtida hot, sårbarheter och ris- ker. Genom sammanställningen av de olika offentliga utredningar och rapporter som redogörs för i kapitel 8 framkommer en bekym- mersam bild över nivån på informations- och cybersäkerheten i många samhällsviktiga verksamheter, detta gäller såväl säkerhetskäns- liga verksamheter som verksamheter som avser samhällsviktiga och digitala tjänster. Denna bild har också bekräftats av utredningens sakkunniga och experter under utredningsarbetet. Som utredningen konstaterar i kapitel 8 respektive 10 berör bristerna många olika delar av informations- och cybersäkerheten, bl.a. vad gäller brister i styrning och samordning av arbetet med informations- och cyber- säkerhet men även i det systematiska informationssäkerhetsarbetet och i <NOBR>it-säkerheten</NOBR> hos både offentliga och enskilda verksamhets- utövare.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">370</P>
</DIV>
</DIV>
<DIV id="page_372">
<DIV id="p372dimg1">
<INGENBILD zsrc="H9B363372x1.jpg/" id="p372img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td93"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td94"><P class="p2 ft37">Åtgärder för stärkt säkerhet i nätverks- och informationssystem</P></TD>
</TR>
</TABLE>
<P class="p706 ft62"><SPAN class="ft48">11.4</SPAN><SPAN class="ft164">Flera olika åtgärder krävs för att öka säkerheten i informationssystem i säkerhetskänslig verksamhet</SPAN></P>
<P class="p707 ft18"><SPAN class="ft59">Bedömning: </SPAN>Det saknas en enhetlig styrning och samordning av arbetet med att stärka informations- och cybersäkerheten i säker- hetskänslig verksamhet. Vidare behöver det systematiska infor- mationssäkerhetsarbetet och säkerheten i nätverks- och informa- tionssystem hos verksamhetsutövare i sådan verksamhet öka. Det krävs därför åtgärder som ger offentliga och enskilda aktörer bättre förutsättningar att kunna uppnå informations- och cyber- säkerhet i den säkerhetskänsliga verksamheten. Frågan om behov av ytterligare åtgärder – utöver vad som anges i direktiven – be- döms dock ligga utanför utredningens uppdrag och behandlas inte vidare i betänkandet.</P>
<P class="p708 ft18">Som ovan framkommer anser utredningen att det finns ett stort behov av att stärka säkerheten i nät- och informationssystem i säker- hetskänslig verksamhet, särskilt vad gäller verksamheten på Säker- hetspolisens tillsynsområde. Behoven som framträder genom sam- manställningen av offentliga utredningar och myndighetsrapporter framstår – mot redovisade aktuella hot, sårbarheter och risker – som akuta och omfattande inom flera olika områden på informations- och cybersäkerhetsområdet. Behoven av stärkt säkerhet i nätverks- och informationssystem i säkerhetskänslig verksamhet finns hos många aktörer som bedriver sådan verksamhet, bl.a. statliga myndig- heter, regioner och kommuner. Det krävs åtgärder inom såväl arbetet med systematisk informationssäkerhet som mer <NOBR>it-tekniska</NOBR> åtgärder för att stärka denna säkerhet. Vidare behöver kompetensen och kunskapen om informations- och cybersäkerhet öka hos myn- digheter och verksamhetsutövare, hos vilka även frågor om strategisk styrning och ökade resurser på området behöver uppmärksammas mer. Informations- och cybersäkerhet kan endast uppnås när alla väsentliga förutsättningar för en sådan säkerhet är uppfyllda.</P>
<P class="p109 ft46">Utredningen kan konstatera att arbetet med informations- och cybersäkerhet i dag är i allt väsentligt varje verksamhetsutövares eget ansvar, även när det gäller den säkerhetskänsliga verksamheten. Detta gäller även om Säkerhetspolisen och Försvarsmakten inom respek- tive tillsynsområde har både en stödjande roll och uppgiften att –</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">371</P>
</DIV>
</DIV>
<DIV id="page_373">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Åtgärder för stärkt säkerhet i nätverks- och informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p81 ft21">tillsammans med övriga tillsynsmyndigheter – kontrollera att regel- systemet efterlevs.</P>
<P class="p325 ft18">I och med att hot, sårbarheter och risker förändras och ökar ställs ökade krav på gemensam och samordnad hantering av åtgärder för att stärka informations- och cybersäkerheten inom det säkerhets- känsliga området och särskilt vad avser de informationssystem som hanterar skyddsvärd eller mycket skyddsvärd information. Mot- svarande krav på gemensamma och samordnade åtgärder gäller också för att stärka nätverks- och informationssystem som används för styrning och kontroll av säkerhetskänsliga funktioner och verksam- heter inom bl.a. elektroniska kommunikationer och, energiförsörj- ning, och som är av betydelse för Sveriges säkerhet. Verksamhetsut- övare inom säkerhetskänslig verksamhet blir allt mer beroende av andra aktörer för sin informationshantering, bl.a. i förvaltningsgemen- samma digitala funktioner och systemlösningar och det blir alltmer nödvändigt med samordnade åtgärder för att öka informations- och cybersäkerheten, dvs. säkerhetsnivån och samtidigt reducera sår- barheter och risker i informations- och nätverkssystemen.</P>
<P class="p83 ft18">Utredningen kan konstatera att det finns en rad olika statliga aktörer som har olika uppdrag och roller för det nationella arbetet med informations- och cybersäkerhet i säkerhetskänslig verksam- het. Säkerhetspolisen och Försvarsmakten är samrådsmyndigheter och har även tillsynsansvar. Vidare har Försvarets radioanstalt (FRA), Försvarets materielverk (FMV) och övriga tillsynsmyndigheter upp- drag och roller på området. Myndigheternas arbete samordnas sedan 2020 genom det nationella cybersäkerhetscentret. Myndigheterna har på regeringens uppdrag tagit fram en samlad handlingsplan med förslag på olika åtgärder som kan stärka Sveriges arbete med infor- mations- och cybersäkerhet (se kapitel 3). Dessa förslag och åtgär- der ska konkretisera behov och rekommendationer som identifierats på en mer övergripande nivå i den nationella informations- och cyber- säkerhetsstrategin. Den centrala handlingsplanen som myndigheterna i cybersäkerhetscentret lagt fram stödjer i och för sig till del genom föreslagna åtgärder en ökad ambition med att stärka informations- och cybersäkerheten i säkerhetskänslig verksamhet.</P>
<P class="p83 ft46">Utredningen kan samtidigt notera att regeringen anger att upp- gifterna i det nationella cybersäkerhetscentret är mer av samverkans- karaktär och att varje myndighet i enlighet med ansvarsprincipen har ansvar för respektive myndighets eget ansvars- och tillsynsområde.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">372</P>
</DIV>
</DIV>
<DIV id="page_374">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td93"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td94"><P class="p2 ft37">Åtgärder för stärkt säkerhet i nätverks- och informationssystem</P></TD>
</TR>
</TABLE>
<P class="p113 ft17">Utredningen kan även konstatera att förändrad hotbild med åt- följande ökning av sårbarheter och risker i förening med den snabba tekniska utvecklingen ställer ökade krav på enhetlig styrning samt gemensamma och samordnade åtgärder när det gäller framtagande av bl.a. en nationell hotbild och sårbarhets- och riskbedömningar som kan tillämpas av verksamhetsutövare inom det säkerhetskäns- liga området (se även kapitel 12).</P>
<P class="p65 ft46">Vidare behöver arbetet med systematisk informationssäkerhet öka mer generellt hos verksamhetsutövare och vikten av detta gör sig särskilt påmind inom det säkerhetskänsliga området, bl.a. vad gäller strategisk styrning, ökning av kompetens och tilldelning av såväl ekonomiska som personella resurser hos ansvariga verksam- hetsutövare. Det är ett rimligt antagande att många verksamhets- utövare, inom olika samhällsområden med olika förutsättningar och krav, kan komma att behöva stöd från en central myndighet i arbetet med informations- och cybersäkerhet, särskilt vad gäller anskaffning och utveckling av nätverks- och informationssystem i säkerhets- känslig verksamhet, men även <NOBR>hot-,</NOBR> sårbarhets- och riskbedömning i anslutning till anskaffning och utveckling av sådana system. Ut- redningen anser därför att omfattande åtgärder bör skyndsamt vid- tas för att höja informations- och cybersäkerheten mer allmänt och särskilt vad gäller nivån på säkerheten i nätverks- och informations- system. Utöver åtgärder som omhändertar de allvarliga brister som framkommit bör även åtgärder genomföras som bidrar till att öka användningen av certifierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-proces-</NOBR> ser i nätverks- och informationssystem i samhället generellt, men särskilt i säkerhetskänsliga verksamheter och i verksamheter som avser samhällsviktiga digitala tjänster. Åtgärder som generellt bidrar till ökad användning av certifierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-pro-</NOBR> cesser i statliga myndigheters verksamhet bör därför eftersträvas (se kapitel 12).</P>
<P class="p709 ft18">Som utredningen tidigare anger förutsätter flera av dessa fråge- ställningar fördjupad analys innan förslag på närmare åtgärder kan lämnas och som kan bidra till att öka informations- och cybersäker- heten mer allmänt, men särskilt vad gäller säkerheten i informations- system i säkerhetskänslig verksamhet och övrig samhällsviktig verk- samhet. Frågorna berörs inte heller i direktiven och utredningen har därför – som tidigare framgår – avgränsat utredningsarbetet till frå- gorna om det finns anledning att införa en nationell särskilt anpassad</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">373</P>
</DIV>
</DIV>
<DIV id="page_375">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Åtgärder för stärkt säkerhet i nätverks- och informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p60 ft18">certifieringsordning för <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och processer som används i informationssystem i säkerhetskänslig verksamhet och/ eller kräva godkännande av en myndighet innan ett sådant system får driftsättas samt vissa därtill anslutande frågor. Den första frågeställ- ningen gällande certifiering behandlas i kapitel 12 och den senare frå- gan om krav på godkännande övervägs i kapitel 13.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">374</P>
</DIV>
</DIV>
<DIV id="page_376">
<DIV id="p376dimg1">
<INGENBILD zsrc="H9B363376x1.jpg/" id="p376img1">
</DIV>
<P class="p710 ft109"><SPAN class="ft16">12</SPAN><SPAN class="ft168">Certifiering av nätverks- och informationssystem</SPAN></P>
<P class="p711 ft17"><SPAN class="ft68">Förslag: </SPAN>Regeringen ska ge Försvarets materielverk (FMV) i upp- drag att i samråd med övriga myndigheter som ingår i det natio- nella cybersäkerhetscentret och övriga tillsynsmyndigheter inom säkerhetsskyddsområdet</P>
<P class="p712 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">analysera och lämna förslag på formerna för framtagande av ordning för nationell kravställning som utgör grund för evaluer- ing och/eller certifiering av </SPAN><NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-pro-</NOBR> cesser i nätverks- och informationssystem i säkerhetskänslig verksamhet,</P>
<P class="p713 ft18"><SPAN class="ft27">–</SPAN><SPAN class="ft134">analysera och lämna förslag på vilka resurser som behövs för att inrätta en sådan ordning, vilka myndigheter som bör ges i uppgift att bidra till kravställningsarbetet samt hur näringsliv och företag kan beredas möjlighet att delta i arbetet,</SPAN></P>
<P class="p471 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">analysera och lämna förslag på formerna för hur myndigheter och andra verksamhetsutövare kan få stöd vid upphandling och användning av certifierade </SPAN><NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-proces-</NOBR> ser i syfte att främja ökad användning av certifierade <NOBR>IKT-pro-</NOBR> dukter, <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i säkerhetskänslig verksamhet, och</P>
<P class="p714 ft46"><SPAN class="ft27">–</SPAN><SPAN class="ft51">analysera behov av och formerna för framtagande av en natio- nell sammanställning över certifierade och rekommenderade </SPAN><NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> för användning i nät- verks- och informationssystem i säkerhetskänslig verksamhet.</P>
<P class="p715 ft31">375</P>
</DIV>
<DIV id="page_377">
<DIV id="p377dimg1">
<INGENBILD zsrc="H9B363377x1.jpg/" id="p377img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Certifiering av nätverks- och informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p162 ft19"><SPAN class="ft169">Bedömning: </SPAN>Eftersom det bl.a. saknas en nationell fastställd <NOBR>hot-,</NOBR> sårbarhets- och riskbedömning som kan ligga till grund för kravställning och framtagande av skyddsprofiler vid certifiering av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> och då oklarheter råder kring övriga förutsättningar föreligger för närvarande inte skäl att föreslå att den aktuella certifieringsordningen införs.</P>
<P class="p716 ft19">Tillsynsmyndigheterna kan redan i dag ställa krav på att certi- fierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> ska användas med stöd av gällande författningar som reglerar krav på säkerhetsskydds- åtgärder i säkerhetskänslig verksamhet.</P>
<P class="p716 ft18">En nationell gemensamt framtagen och fastställd <NOBR>hot-,</NOBR> sår- barhets- och riskbedömning utgör en av flera förutsättningar för införande av en nationell särskilt anpassad ordning för certifiering av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nätverks- och infor- mationssystem i säkerhetskänslig verksamhet. Att ställa krav på certifierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> vid upphand- ling och driftsättning förutsätter kunskap och teknisk kompetens på området. För att stödja användning av certifierade <NOBR>IKT-pro-</NOBR> dukter, <NOBR>-tjänster</NOBR> och <NOBR>-produkter</NOBR> behöver det finnas stöd i form av råd och anvisningar om hur certifiering kan användas som krav- ställning vid upphandling, vilka eventuellt ytterligare säkerhets- relevanta krav som kan behöva ställas vid upphandlingen och hur certifierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nätverks- och informationssystem kan driftsättas på ett sätt som höjer säker- heten i systemen. Stöd kan t.ex. lämnas av central funktion som även tillhandahåller en nationell sammanställning över certifierade och rekommenderade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> för användning i nätverks- och informationssystem i säkerhetskäns- lig verksamhet.</P>
<P class="p717 ft18">Vidare föreligger oklarhet hur det europeiska ramverket för cybersäkerhetscertifiering utvecklas och i vilken utsträckning som <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> på nivå hög kommer att finnas tillgängliga och som – vid behov efter nationell anpassning kan användas i säkerhetskänslig verksamhet.</P>
<P class="p717 ft18">Det råder även osäkerhet om den nationella marknaden är till- räckligt omfattande för att medge förutsättningar för införande av en nationell certifieringsordning för säkerhetskänslig verksamhet.</P>
</DIV>
<DIV id="id_3">
<P class="p0 ft31">376</P>
</DIV>
</DIV>
<DIV id="page_378">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td9"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td95"><P class="p2 ft37">Certifiering av nätverks- och informationssystem</P></TD>
</TR>
</TABLE>
<P class="p5 ft48"><SPAN class="ft48">12.1</SPAN><SPAN class="ft135">Inledning</SPAN></P>
<P class="p74 ft46">Som framgår av föregående kapitel (kapitel 10 och 11) gör utred- ningen bedömningen att det föreligger allvarliga brister i informa- tions- och cybersäkerheten inom många samhällsverksamheter och då även inom verksamheter som är att bedöma som säkerhetskäns- liga. Det finns brister vad avser såväl det systematiska informations- säkerhetsarbetet och som i <NOBR>it-säkerheten.</NOBR> Det finns enligt utred- ningens uppfattning därför ett stort behov av att skyndsamt vidta många olika åtgärder inom ramen för det systematiska informations- säkerhetsarbetet och i <NOBR>it-säkerheten</NOBR> hos många aktörer inom såväl offentlig som enskild verksamhet för att öka säkerheten i närverks- och informationssystem. Detta berör frågor om organisering, styr- ning- och ledning av verksamheter, kompetens inom cybersäkerhet, kunskapsuppbyggnad, m.m. Flertalet av dessa frågeställningar och åtgärder är av komplex och långsiktig karaktär och kan varken be- handlas närmare av utredningen eller bedöms ens ligga i utredningens uppdrag som det formulerats i direktiven.</P>
<P class="p718 ft18">Utredningen ska dock enligt direktivet överväga om ytterligare krav bör införas för att säkerställa att nätverks- och informations- system som ska användas i säkerhetskänslig verksamhet uppfyller de krav som behövs för att upprätthålla skyddet av sådana verksamheter. En möjlighet kan – enligt direktivet – vara att införa krav på att IKT- produkter, <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nätverks- och informationssystem som ska användas i säkerhetskänslig verksamhet ska vara certifierade enligt en nationell särskild certifieringsordning som ställer krav an- passade för användning i säkerhetskänslig verksamhet. Vidare anges att en kompletterande eller alternativ möjlighet är att införa krav på godkännande från en utpekad myndighet innan en sådan <NOBR>IKT-pro-</NOBR> dukt, <NOBR>-tjänst</NOBR> eller <NOBR>-process</NOBR> tas i drift i säkerhetskänslig verksamhet.</P>
<P class="p111 ft46">I detta kapitel redogörs för utredningens analys och övervägan- den när det gäller frågan om det bör införas krav på att <NOBR>IKT-produk-</NOBR> ter, <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nätverks- och informationssystem som ska användas i säkerhetskänslig verksamhet ska vara certifierade en- ligt en särskild certifieringsordning som ställer krav anpassade för användning i säkerhetskänslig verksamhet. Frågan om godkännande av myndighet innan driftsättning av sådana system behandlas i nästa kapitel.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">377</P>
</DIV>
</DIV>
<DIV id="page_379">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Certifiering av nätverks- och informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p201 ft48"><SPAN class="ft48">12.2</SPAN><SPAN class="ft135">Utgångspunkter</SPAN></P>
<P class="p192 ft19">Det systematiska informations- och cybersäkerhetsarbetet inklude- rar bl.a. uppgifter att identifiera informationsmängder i verksam- heten, klassa dessa och göra val avseende säkerhetsåtgärder för att skydda informationen. Ett systematiskt informations- och cyber- säkerhetsarbete innefattar administrativa, fysiska och tekniska åtgär- der, och där analys och behov av t.ex. evaluerade och certifierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nätverks- och information- ssystem utgör en delmängd av alla åtgärder som kan behövas för att uppnå tillräcklig säkerhet i systemen.</P>
<P class="p719 ft20">Innebörden av evaluering och certifiering av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR></P>
<P class="p71 ft19">Frågan i vilken utsträckning som <SPAN class="ft63">certifiering </SPAN>av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjäns-</NOBR> ter och <NOBR>-processer</NOBR> i nätverks- och informationssystem kan anses bidra till ökad säkerhet i sådana system har tidigare behandlats i utred- ningens delbetänkande (kapitel 3 och 5). Utredningen behandlar i delbetänkandet bl.a. betydelsen av och formerna för certifiering av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> jämte behovet och betydel- sen av att använda vedertagna standarder i evaluerings- och certifier- ingsarbetet (s. 75 ff.).</P>
<P class="p73 ft18">Utgångspunkten för utredningens analys och överväganden i den delen var emellertid behovet av att komplettera det europeiska ram- verket för cybersäkerhetscertifiering med bl.a. kompletterande natio- nell författningsreglering och att lämna förslag på nationell myndighet för cybersäkerhetscertifiering i enlighet med EU:s cybersäkerhets- akt. Utredningens uppdrag var sålunda inte att behandla och överväga frågan om behov av <SPAN class="ft45">krav på certifiering </SPAN>av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> för att öka säkerheten i nätverks- och informations- system i säkerhetskänslig verksamhet. Redogörelsen i delbetänkan- det är avgränsat mot det behov som förelåg i den första delen av uppdraget och som redovisas i delbetänkandet.</P>
<P class="p211 ft18">Utredningen har dock i delbetänkandet framhållit att certifiering av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> anses allmänt bidra till ökat säkerhet i dessa och därigenom även ökat tillit till funktionalitet och säkerhet. Certifieringsprocessen består av en formell och oberoende utvärdering (evaluering) av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">378</P>
</DIV>
</DIV>
<DIV id="page_380">
<DIV id="p380dimg1">
<INGENBILD zsrc="H9B363380x1.jpg/" id="p380img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td9"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td95"><P class="p2 ft37">Certifiering av nätverks- och informationssystem</P></TD>
</TR>
</TABLE>
<P class="p193 ft18">utifrån fastställda kriterier. Certifiering är ett formellt fastställande av resultatet från utvärderingen (evaluering). I det ingår granskning att evalueringsarbetet genomförts med erforderlig noggrannhet och med utnyttjande av godkänd metodik samt att resultatet påvisat att evalueringsobjektet svarar mot någon viss <SPAN class="ft45">kravnivå </SPAN>enligt givna <SPAN class="ft45">evalueringskriterier</SPAN>. Ett utfärdat certifikat och tillhörande rapporter informerar användaren om säkerhetsegenskaperna hos <NOBR>IKT-produk-</NOBR> ten, <NOBR>-tjänsten</NOBR> och <NOBR>-processen.</NOBR> Certifiering utgör dessutom ofta ett väsentligt underlag vid ackreditering av system.<SPAN class="ft79">1 </SPAN>En certifierings- process under ackreditering innebär att en organisation, produkt eller person – av ett ackrediterat certifieringsorgan – bedöms uppfylla krav som ställs i standarder eller andra styrdokument.</P>
<P class="p11 ft18">Det finns särskilda organ med uppgiften att fatta beslut om ut- färdande av certifikat rörande <NOBR>it-säkerhet.</NOBR> Behovet av certifieringsorgan för <NOBR>it-säkerhet</NOBR> grundar sig på att man med internationellt accepte- rade standarder kan bidra med tillit och förtroende (s.k. assurans) såväl inom som mellan organisationer, nationellt och internatio- nellt.<SPAN class="ft79">2 </SPAN>I Sverige är det för närvarande endast det offentliga organet CSEC vid Försvarets materielverk (FMV) som är erkänt inom CCRA och <NOBR>SOG-IS</NOBR> MRA och som certifierar enligt <SPAN class="ft45">Common Criteria </SPAN>på it- säkerhetsområdet (se nedan).<SPAN class="ft79">3</SPAN></P>
<P class="p216 ft17">I många länder finns inom cybersäkerhetsområdet myndigheter som utgör nationella certifieringsorgan för <NOBR>it-säkerhet,</NOBR> ofta med nära koppling till myndigheter med ansvar för nationell säkerhet (se kapitel 9).</P>
<P class="p131 ft20">Det europeiska ramverket för cybersäkerhetscertifiering</P>
<P class="p91 ft46">Ökad digitalisering, samman- och uppkoppling av bl.a. ”smarta” digitala produkter (IoT) och den allt snabbare tekniska utvecklingen (t.ex. kvantdatorer) leder till ökade cyberhot, sårbarheter och risker i bl.a. nätverks- och informationssystem. För att minska dessa sår- barheter och risker måste nödvändiga åtgärder vidtas för att stärka</P>
<P class="p132 ft85"><SPAN class="ft56">1</SPAN><SPAN class="ft84">Certifiering utgör ofta ett väsentligt underlag vid ackreditering (driftsgodkännande) av system. En certifiering under ackreditering (kompetensprövning) innebär att en organisation, produkt eller person – av ett ackrediterat certifieringsorgan – bedöms uppfylla kompetenskrav som ställs i standarder eller andra styrdokument.</SPAN></P>
<P class="p567 ft85"><SPAN class="ft56">2</SPAN><SPAN class="ft84">Bl.a. CCRA och svensk standard EN ISO/IEC 17065:2012 innehåller krav på certifierings- organs opartiskhet och oberoende.</SPAN></P>
<P class="p317 ft41"><SPAN class="ft56">3</SPAN><SPAN class="ft82">Se bl.a. kapitel 5 i utredningens delbetänkande.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">379</P>
</DIV>
</DIV>
<DIV id="page_381">
<DIV id="p381dimg1">
<INGENBILD zsrc="H9B363381x1.jpg/" id="p381img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Certifiering av nätverks- och informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p125 ft17">cybersäkerheten i <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nät- verks- och informationssystem, elektroniska kommunikationsnät samt styr- och kontrollsystem för kritisk infrastruktur, m.m.</P>
<P class="p62 ft18">Det europeiska ramverket för cybersäkerhetscertifiering, dvs. EU:s cybersäkerhetsakt och anslutande genomförandeordningar, innebär att det införs ett omfattande och komplext system på europeisk nivås om ska bidra till att öka informations- och cybersäkerheten i sam- hället, bl.a. i ovan angivna system. I ramverket behandlas och regleras frågor om bl.a. certifiering av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-proces-</NOBR> ser i nätverks- och informationssystem i syfte att öka säkerheten i dessa system. Det europeiska ramverket för cybersäkerhetscertifier- ing beskrivs närmare i utredningens delbetänkande <SPAN class="ft45">EU:s cybersäker- hetsakt – kompletterande bestämmelser om cybersäkerhetscertifiering </SPAN>(SOU 2020:58).</P>
<P class="p720 ft20">Den nuvarande nationella ordningen för certifiering av <NOBR>it-säkerhet</NOBR> i produkter och system</P>
<P class="p128 ft18">I 5 § förordningen med instruktion för Försvarets materielverk (FMV) anges att det vid myndigheten ska finnas ett nationellt certi- fieringsorgan för <NOBR>it-säkerhet</NOBR> i produkter och system. FMV/certi- fieringsorganet ska verka för att uppnå och vidmakthålla internatio- nellt erkännande för utfärdade certifikat. Certifieringsorganet utgörs av myndighetens enhet Sveriges Certifieringsorgan för <NOBR>it-säkerhet</NOBR> (CSEC), som har en oberoende ställning inom myndigheten.</P>
<P class="p62 ft19">CSEC har till uppgift att utveckla den nationella certifierings- ordningen för <NOBR>it-säkerhet</NOBR> med regler och metoder för oberoende granskning och se till att ordningen följs. CSEC:s verksamhet styrs bl.a. av standarden ISO/IEC 17065 och lagen om ackreditering och teknisk kontroll som bygger på <NOBR>EG-förordningen</NOBR> 765/2008<SPAN class="ft101">4</SPAN>. CSEC verkar också som Sveriges nationella certifieringsorgan för <NOBR>it-säker-</NOBR> het i produkter och system enligt den internationella standarden <SPAN class="ft63">Common Criteria </SPAN>(CC). CSEC:s huvuduppgifter är att skriva certi- fieringsrapporter, utfärda certifikat och publicera en lista på certifie- rade produkter samt granska evalueringsrapporter och utöva tillsyn över evalueringar.</P>
<P class="p721 ft41"><SPAN class="ft80">4</SPAN><SPAN class="ft81">Europaparlamentets och Rådets förordning (EG) nr 765/2008 av den 9 juli 2008 </SPAN><SPAN class="ft74">om krav för ackreditering och marknadskontroll i samband med saluföring av produkter och upphävande av förordning (EEG) nr 339/93</SPAN>.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">380</P>
</DIV>
</DIV>
<DIV id="page_382">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td9"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td95"><P class="p2 ft37">Certifiering av nätverks- och informationssystem</P></TD>
</TR>
</TABLE>
<P class="p212 ft17">CSEC ska även licensiera evalueringsföretag och utöva tillsyn över deras verksamhet samt bidra med stöd och råd vid utnyttjandet av CC för kravspecifikation.</P>
<P class="p13 ft17">CSEC deltar även i internationellt samarbete för tolkningar av CC och utveckling av standarder samt marknadsför CC. CSEC represen- terar Sverige i arbetet inom ramen för <SPAN class="ft49">Common Criteria Recognition Arrangement </SPAN>(CCRA) i rollerna som nationellt certifieringsorgan och signatär, där samverkan för närvarande sker mellan 31 länder, var- av 17 är ackrediterade att utfärda certifikat upp till och med evaluer- ingsnivå EAL2 och upp till EAL4 för skyddsprofiler med tillhörande stöddokument.</P>
<P class="p108 ft17">CSEC representerar även Sverige inom den europeiska organisa- tionen <NOBR>SOGIS-MRA.</NOBR></P>
<P class="p68 ft17">Medlemmarna i CCRA- och <NOBR>SOGIS-MRA-grupperna</NOBR> utövar även vis tillsyn över CSEC och dess certifieringsordning i enlighet med respektive arrangemang.</P>
<P class="p13 ft21">CSEC representerar även FMV i det nationella cybersäkerhets- centret, som är under etablering (se kapitel 3).</P>
<P class="p722 ft17">CSEC verkar i nära samarbete med Militära underrättelse- och säkerhetstjänsten (MUST) i nationella frågor om krypto. MUST granskar och godkänner också <NOBR>it-säkerhetsprodukter</NOBR> för användning i säkerhetskänslig verksamhet.</P>
<P class="p65 ft19">Den svenska myndigheten Swedac är nationellt ackrediterings- organ. Det innebär att myndigheten bl.a. ackrediterar evaluerings- laboratorier, certifieringsorgan och kontrollorgan enligt internatio- nella standarder och regelverk. Myndigheten ger även råd i frågor om teknisk kontroll och i frågor om s.k. bedömning av överensstäm- melse. Swedac ackrediterade CSEC som nationellt certifieringsorgan 2008. Swedac utövar även regelbunden tillsyn över CSEC för att säkerställa att certifieringsorganet håller den standard som ligger till grund för ackrediteringen.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">381</P>
</DIV>
</DIV>
<DIV id="page_383">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Certifiering av nätverks- och informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p723 ft61"><SPAN class="ft48">12.3</SPAN><SPAN class="ft170">Finns krav på evaluering/testning av </SPAN><NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i olika verksamheter?</P>
<P class="p71 ft18">Som redovisas i kapitel 3 finns i dag <SPAN class="ft45">ingen allmän reglering </SPAN>med krav på säkerhet i nätverks- och informationssystem i samhället. Som ut- redningen redovisar i kapitel 6 och 7 finns i dag en detaljerad reglering för skydd av säkerhetskänslig verksamhet i form av säkerhetsskydds- lagen, säkerhetsskyddsförordningen och tillsynsmyndigheternas före- skrifter med krav på olika säkerhetsskyddsåtgärder, bl.a. i form av informationssäkerhetsåtgärder i säkerhetsskyddad verksamhet. Dessa senare författningar innehåller dock <SPAN class="ft45">inga formella krav på certifiering </SPAN>av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nätverks- och informa- tionssystem.</P>
<P class="p73 ft18">Frågan som då uppkommer är om – i de fall det finns en reglering av informationssäkerhet på andra samhällsviktiga områden – det före- kommer krav på att <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nät- verks- och informationssystem ska certifieras eller i övrigt bli före- mål för evaluering/testning för att uppnå ökad säkerhet.</P>
<P class="p548 ft21">Det blir då närmast fråga om författningsreglering som gäller för</P>
<P class="p34 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">statliga myndigheters verksamhet allmänt,</SPAN></P>
<P class="p258 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">samhällsviktiga och digitala tjänster i anslutning till </SPAN><NOBR>NIS-direk-</NOBR> tivet och</P>
<P class="p30 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">övriga samhällssektorer.</SPAN></P>
<P class="p70 ft20">Krav på informationssäkerhet i statliga myndigheters verksamhet</P>
<P class="p71 ft17">Myndigheten för samhällsskydd och beredskap (MSB) har med stöd av 21 § förordningen (2015:1052) om krisberedskap och bevaknings- ansvariga myndigheters åtgärder vid höjd beredskap utfärdat före- skrifter som ansluter till bestämmelserna om statliga myndigheters informationssäkerhet i 19 § i förordningen. Av 19 § i förordningen följer att varje myndighet har ansvar för säker informationshanter- ing. Ansvaret gäller även när myndighetens information hanteras av en extern aktör eller när myndigheten tillhandahåller andra aktörer tjänster för informationshantering inom <NOBR>e-förvaltning</NOBR> eller mot- svarande.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">382</P>
</DIV>
</DIV>
<DIV id="page_384">
<DIV id="p384dimg1">
<INGENBILD zsrc="H9B363384x1.jpg/" id="p384img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td9"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td95"><P class="p2 ft37">Certifiering av nätverks- och informationssystem</P></TD>
</TR>
</TABLE>
<P class="p655 ft18">I 1 § i myndighetens föreskrifter om informationssäkerhet för statliga myndigheter<SPAN class="ft79">5 </SPAN>anges att dessa avser sådana säkerhetskrav som avses i 19 § i den angivna förordningen. Av 2 § följer att om en annan författning innehåller en bestämmelse som ställer högre krav än vad som anges i dessa föreskrifter tillämpas den bestämmelsen.</P>
<P class="p65 ft18">Av 4 § följer att en myndighet ska bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete med stöd av standarderna <NOBR>SS-EN</NOBR> ISO/IEC 27001:2017 Informationsteknik – Säkerhetstekniker</P>
<P class="p658 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft76">Ledningssystem för informationssäkerhet – Krav och </SPAN><NOBR>SS-EN</NOBR> ISO/ IEC 27002:2017 Informationsteknik – Säkerhetstekniker – Riktlinjer för informationssäkerhetsåtgärder eller motsvarande. Om en myndig- het väljer att använda en annan standard bör myndigheten analysera och dokumentera de likheter och skillnader som finns mellan ISO- standarden och vald standard för att säkerställa att vald standard ger tillräckligt stöd i det systematiska och riskbaserade informations- säkerhetsarbetet.</P>
<P class="p141 ft17">I 5 § anges att informationssäkerhetsarbetet ska utformas utifrån de risker och behov myndigheten identifierar. Det ska omfatta all behandling av information som myndigheten ansvarar för och integ- reras med myndighetens befintliga sätt att leda och styra sin orga- nisation</P>
<P class="p724 ft17">Av 6 § följer att myndigheten ska säkerställa att informations- säkerhetsarbetet är systematiskt och riskbaserat genom att</P>
<P class="p725 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">klassa sin information avseende konfidentialitet, riktighet och tillgänglighet i olika nivåer utifrån vilka konsekvenser ett bristande skydd kan få (informationsklassning),</SPAN></P>
<P class="p726 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">identifiera, analysera och värdera risker för sin information (risk- bedömning),</SPAN></P>
<P class="p509 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">utifrån genomförd informationsklassning och riskbedömning identifiera behov av och införa ändamålsenliga och proportionella säkerhetsåtgärder, och</SPAN></P>
<P class="p727 ft19"><SPAN class="ft27">–</SPAN><SPAN class="ft146">utvärdera säkerhetsåtgärderna och vid behov anpassa skyddet av informationen. I arbetet ingår att genomföra en gapanalys.</SPAN></P>
<P class="p728 ft41"><SPAN class="ft56">5</SPAN><SPAN class="ft82">Myndigheten för samhällsskydd och beredskaps föreskrifter om informationssäkerhet för statliga myndigheter (MSBFS 2020:6).</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">383</P>
</DIV>
</DIV>
<DIV id="page_385">
<DIV id="p385dimg1">
<INGENBILD zsrc="H9B363385x1.jpg/" id="p385img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Certifiering av nätverks- och informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft18">MSB har även med stöd av 21 § förordningen (2015:1052)1 om kris- beredskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap utfärdat föreskrifter och allmänna råd om säkerhets- åtgärder i informationssystem för statliga myndigheter.<SPAN class="ft79">6 </SPAN>Dessa före- skrifter innehåller bestämmelser om sådana säkerhetskrav som avses i 19 § förordningen (2015:1052) om krisberedskap och bevaknings- ansvariga myndigheters åtgärder vid höjd beredskap. Om en annan författning innehåller en bestämmelse som ställer högre krav än kraven i dessa föreskrifter tillämpas den bestämmelsen.</P>
<P class="p73 ft19">Med begreppet informationssystem i föreskrifterna avses appli- kationer, tjänster eller andra komponenter som hanterar informa- tion samt nätverk och infrastruktur. Av 3 kap 1 § i föreskrifterna följer att en myndighet ska vid anskaffning, utveckling eller utkon- traktering av informationssystem identifiera krav på säkerhet i syste- met. I myndighetens allmänna råd till den angivna bestämmelsen anges att ”vid anskaffning av informationssystem bör myndigheten överväga att välja produkter som är certifierade genom tredjeparts- granskning mot etablerad standard.” Några formella krav på att an- vända certifierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> eller <NOBR>-processer</NOBR> finns så- lunda inte i föreskrifterna.</P>
<P class="p70 ft20">Krav på informationssäkerhet för samhällsviktiga och digitala tjänster</P>
<P class="p71 ft17">Till grund för den nationella författningsregleringen om informa- tionssäkerhet för samhällsviktiga och digitala tjänster ligger Europa- parlamentets och rådets direktiv (EU) 2016/1148 av den 6 juli 2016 om åtgärder för en hög gemensam nivå på säkerhet i <SPAN class="ft49">nätverks- och informationssystem </SPAN>i hela unionen <NOBR>(NIS-direktivet).</NOBR></P>
<P class="p115 ft18">I <NOBR>NIS-direktivet</NOBR> samt anslutande nationell författningsreglering på området finns bestämmelser som bl.a. reglerar krav på säkerhet i närverks- och informationssystem i verksamheter som rör samhälls- viktiga tjänster. Säkerhet i system och anläggningar enligt artikel 16.1 a i direktiv (EU) 2016/1148 avser säkerheten för nät- och informa- tionssystem och deras fysiska miljö och innefattar följande aspekter:</P>
<P class="p419 ft41"><SPAN class="ft80">6</SPAN><SPAN class="ft81">Myndigheten för samhällsskydd och beredskaps föreskrifter om säkerhetsåtgärder i infor- mationssystem för statliga myndigheter (MSBFS 2020:7).</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">384</P>
</DIV>
</DIV>
<DIV id="page_386">
<DIV id="p386dimg1">
<INGENBILD zsrc="H9B363386x1.jpg/" id="p386img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td9"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td95"><P class="p2 ft37">Certifiering av nätverks- och informationssystem</P></TD>
</TR>
</TABLE>
<P class="p729 ft18"><SPAN class="ft27">a)</SPAN><SPAN class="ft171">Systematisk förvaltning av nät- och informationssystem, vilket avser mappning av informationssystem och fastställande av ett antal ändamålsenliga policyer för hantering av informationssäker- heten, inklusive riskanalys, mänskliga resurser, driftssäkerhet, säker- hetsarkitektur, säker livscykelhantering av data och system och, i förekommande fall, kryptering och hantering av sådan kryptering.</SPAN></P>
<P class="p489 ft19"><SPAN class="ft21">b)</SPAN><SPAN class="ft172">Fysisk säkerhet och miljösäkerhet, vilket avser tillgången till ett antal åtgärder för att skydda säkerheten för nät- och informa- tionssystem hos leverantörer av digitala tjänster från skador med användning av en riskbaserad strategi som omfattar alla faror och som t.ex. omfattar systemfel, den mänskliga faktorn, avsiktligt skadliga handlingar eller naturfenomen.</SPAN></P>
<P class="p730 ft46"><SPAN class="ft33">c)</SPAN><SPAN class="ft173">Försörjningstrygghet, vilket avser införande och upprätthållande av lämpliga policyer för att säkerställa tillgängligheten och i före- kommande fall spårbarheten för kritiska insatsprodukter som används för tillhandahållandet av tjänsten.</SPAN></P>
<P class="p731 ft17"><SPAN class="ft21">d)</SPAN><SPAN class="ft88">Åtkomstkontroll för nät- och informationssystem, vilket avser tillgången till en uppsättning åtgärder för att säkerställa att den fysiska och logiska åtkomsten till nät- och informationssystem, inklusive administrativ säkerhet för nät och informationssystem, tillåts och begränsas baserat på verksamhetskrav och säkerhets- krav.</SPAN></P>
<P class="p732 ft45"><SPAN class="ft18">I </SPAN>Kommissionens genomförandeförordning (EU) 2018/151 av den 30 januari 2018 om tillämpningsföreskrifter för Europaparlamentets och rådets direktiv (EU) 2016/1148 om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen <SPAN class="ft18">finns närmare specificering av de aspekter som ska beaktas av leve- rantörer av digitala tjänster när de hanterar risker som hotar säker- heten i deras nät- och informationssystem samt parametrarna för fastställande av om en incident har avsevärd inverkan.</SPAN><SPAN class="ft79">7</SPAN></P>
<P class="p733 ft58"><SPAN class="ft56">7</SPAN><SPAN class="ft96">Kommissionens genomförandeförordning (EU) 2018/151 av den 30 januari 2018 om till- lämpningsföreskrifter för Europaparlamentets och rådets direktiv (EU) 2016/1148 om åt- gärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen vad gäller närmare specificering av de aspekter som ska beaktas av leverantörer av digitala tjänster när de hanterar risker som hotar säkerheten i deras nät- och informationssystem samt parametrarna för fastställande av om en incident har avsevärd inverkan. I förordningen fram- hålls att enligt direktiv (EU) 2016/1148 bör (1) leverantörer av digitala tjänster fritt kunna vidta de tekniska och organisatoriska åtgärder som de anser lämpliga för att hantera risker för</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">385</P>
</DIV>
</DIV>
<DIV id="page_387">
<DIV id="p387dimg1">
<INGENBILD zsrc="H9B363387x1.jpg/" id="p387img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Certifiering av nätverks- och informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p89 ft18">I lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster finns bestämmelser om informationssäkerhet för sådana tjänster. Lagen gäller för (1) leverantörer av det slag som anges i bilaga 2 till <NOBR>NIS-direktivet</NOBR> och som tillhandahåller en sam- hällsviktig tjänst, under förutsättning att leverantören är etablerad i Sverige, att tillhandahållandet av tjänsten är beroende av nätverk och informationssystem och att en incident skulle medföra en betydande störning vid tillhandahållandet av tjänsten (leverantörer av samhälls- viktiga tjänster), och (2) juridiska personer som tillhandahåller en digital tjänst och som har sitt huvudsakliga etableringsställe i Sverige eller har utsett en företrädare som är etablerad här (leverantörer av digitala tjänster). Av 8 § framgår att lagen dock inte gäller för verk- samhet som omfattas av säkerhetsskyddslagen (2018:585). Vidare anges i 9 § att när det gäller leverantörer som omfattas av krav på in- formationssäkerhet i andra författningar ska – om det i lag eller annan författning finns bestämmelser som innehåller krav på säkerhetsåt- gärder och incidentrapportering – de bestämmelserna gälla om verkan av kraven minst motsvarar verkan av skyldigheterna enlig lagen, varvid bestämmelsernas omfattning ska beaktas samt vilken tillsyn och vilka sanktioner som är kopplade till kraven i bestämmelserna.</P>
<P class="p61 ft46">I 5 § i förordningen (2018:1175) om informationssäkerhet för samhällsviktiga och digitala tjänster anges att leverantörer av sam- hällsviktiga tjänster och leverantörer av digitala tjänster ska när det gäller organisatoriska och tekniska åtgärder beakta europeiska och</P>
<P class="p734 ft58">säkerheten i deras nät- och informationssystem, om dessa åtgärder säkerställer en lämplig säker- hetsnivå och tar hänsyn till de aspekter som föreskrivs i direktivet. (2) När leverantörer av digitala tjänster fastställer vilka tekniska och organisatoriska åtgärder som är ändamålsenliga och proportionella bör de ta ett systematiskt grepp på informationssäkerheten och tillämpa ett riskbaserat tillvägagångssätt. (3) För att garantera säkerheten för system och anläggningar bör leverantörer av digitala tjänster genomföra bedömnings- och analysförfaranden. Förfaran- dena bör omfatta en systematisk förvaltning av nät- och informationssystem, fysisk säkerhet och miljösäkerhet, försörjningstrygghet och åtkomstkontroll. (4) När leverantörer av digitala tjänster utför en riskanalys inom ramen för en systematisk förvaltning av nät- och informa- tionssystem bör de uppmuntras att identifiera särskilda risker och kvantifiera deras betydelse, t.ex. genom att identifiera hot mot kritiska tillgångar och hur dessa hot påverkar driften och fastställa hur de bäst kan begränsas baserat på befintlig kapacitet och befintliga resurskrav.</P>
<P class="p340 ft58"><SPAN class="ft58">(5)</SPAN><SPAN class="ft57">Policyn för mänskliga resurser kan avse förvaltningen av kompetens, inklusive aspekter förbundna med utvecklingen av säkerhetsrelaterad kompetens och åtgärder för att öka med- vetenheten. Vid fastställandet av ett antal ändamålsenliga policyer för driftssäkerhet bör leve- rantören av digitala tjänster uppmuntras att ta hänsyn till aspekter rörande förändringshanter- ing, sårbarhetshantering, formaliserade drifts- och förvaltningsmetoder och systemmappning.</SPAN></P>
<P class="p735 ft87"><SPAN class="ft87">(6)</SPAN><SPAN class="ft90">Policyerna för säkerhetsarkitektur kan i synnerhet omfatta segregering av nätverk och system liksom specifika säkerhetsåtgärder för kritisk drift såsom förvaltningsdrift. Segreger- ingen av nätverk och system kan göra det möjligt för en leverantör av digitala tjänster att skilja mellan element som dataflöden och datorresurser som hör till en kund, en grupp av kunder, leverantören av digitala tjänster eller tredje part.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">386</P>
</DIV>
</DIV>
<DIV id="page_388">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td9"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td95"><P class="p2 ft37">Certifiering av nätverks- och informationssystem</P></TD>
</TR>
</TABLE>
<P class="p244 ft21">internationellt accepterade standarder och specifikationer vid ut- formningen av säkerhetsåtgärder.</P>
<P class="p181 ft21">Av 6 § följer att vid bedömningen av om säkerhetsåtgärder enligt</P>
<P class="p411 ft18">15 § lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster säkerställer en nivå på säkerheten i nätverk och informationssystem som är lämplig i förhållande till risken, ska bl.a. beaktas säkerheten i system och anläggningar (punkten 1), hanter- ing av driftskontinuitet, övervakning (punkten 3), revision och test- ning (punkten 4), och efterlevnad av internationella standarder (punk- ten 5). I förordningen anges vidare att i artikel 2 i kommissionens genomförandeförordning om leverantörer av digitala tjänster finns bestämmelser som närmare anger vad som avses med bl.a. punk- terna 1 och <NOBR>3–5.</NOBR></P>
<P class="p58 ft18">I förordningen anges vidare att Myndigheten för samhällsskydd och beredskap får, efter att ha gett tillsynsmyndigheterna och Social- styrelsen tillfälle att yttra sig, meddela föreskrifter om systematiskt och riskbaserat informationssäkerhetsarbete enligt 11 § lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster. Statens energimyndighet, Transportstyrelsen, Finansinspek- tionen, Livsmedelsverket och Post- och telestyrelsen får meddela föreskrifter om säkerhetsåtgärder enligt <NOBR>12–14</NOBR> §§ lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster för sina respektive tillsynsområden. Socialstyrelsen får meddela sådana föreskrifter för Inspektionen för vård och omsorgs tillsynsområde. Innan föreskrifterna meddelas ska Myndigheten för samhällsskydd och beredskap ges tillfälle att yttra sig. Vidare anges att Myndigheten för samhällsskydd och beredskap ska lämna råd och stöd till tillsyns- myndigheterna och Socialstyrelsen när de tar fram föreskrifterna.</P>
<P class="p11 ft45">Myndigheten för samhällsskydd och beredskap <SPAN class="ft18">har med stöd av den angivna lagen och förordningen meddelat föreskrifter om informa- tionssäkerhet för leverantörer av samhällsviktiga tjänster med krav på att aktörer med verksamhet inom samhällsviktiga tjänster ska be- driva ett systematiskt arbete med informationssäkerhet och vidta åtgärder som stärker </SPAN><NOBR><SPAN class="ft18">it-säkerheten</SPAN></NOBR><SPAN class="ft18"> i verksamheten. I 8 § angivna före- skrifter anges att leverantör ska ha ett dokumenterat arbetssätt för sitt informationssäkerhetsarbete som stöd för att klassa information med utgångspunkt i vilka konsekvenser som kan uppkomma vid bris- ter i konfidentialitet, riktighet och tillgänglighet (punkten 1), iden- tifiera, analysera och värdera risker för organisationens information,</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">387</P>
</DIV>
</DIV>
<DIV id="page_389">
<DIV id="p389dimg1">
<INGENBILD zsrc="H9B363389x1.jpg/" id="p389img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Certifiering av nätverks- och informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p60 ft19">nätverk och informationssystem (punkten 2), utifrån genomförd in- formationsklassning och riskbedömning införa ändamålsenliga och proportionella säkerhetsåtgärder (punkten 3) samt följa upp och ut- värdera säkerhetsåtgärder i syfte att vid behov anpassa skyddet av informationen (punkten 4). Av 10 § följer att en leverantör ska ha interna regler och arbetssätt som säkerställer att samtliga nätverk och informationssystem för samhällsviktiga tjänster uppfyller identifierade behov av informationssäkerhet. Drift och förvaltning över tid, arkitek- tur samt sammankoppling mot andra nätverk och informationssystem ska särskilt beaktas.</P>
<P class="p324 ft17">De angivna sektorsmyndigheterna/tillsynsmyndigheterna inom respektive sektor har rätt att meddela föreskrifter på respektive område.<SPAN class="ft54">8</SPAN></P>
<P class="p61 ft18"><SPAN class="ft45">Post och telestyrelsen </SPAN>har utfärdat myndighetsföreskrifter och all- männa råd om säkerhetsåtgärder för samhällsviktiga tjänster inom sektorn digital infrastruktur (TSFS 2021:3)<SPAN class="ft79">9 </SPAN>I föreskrifterna finns bestämmelser om säkerhetsåtgärder för nätverk och informations- system enligt <NOBR>12–14</NOBR> §§ lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster. Föreskrifterna och allmänna råd gäller för leverantörer av samhällsviktiga tjänster inom sektorn digital infrastruktur. Av 6 § följer att leverantören ska bedöma om risker ska elimineras, reduceras eller accepteras utifrån genomförd riskbedömning enligt 4 §. Om leverantören behöver eliminera eller reducera identifierade risker ska leverantören vidta åtgärder för att hantera riskerna i enlighet med vad som föreskrivs i <NOBR>8–16</NOBR> §§ nedan. Leverantören ska därutöver vidta de ytterligare åtgärder som är nöd- vändiga för att hantera de risker som framkommit utifrån genom- förd riskbedömning enligt 4 §. Samtliga åtgärder ska vidtas på en nivå som är proportionerlig i förhållande till den föreliggande risken. Redogörelser för skälen för bedömning av om riskerna ska elimine- ras, reduceras eller accepteras ska dokumenteras och bevaras i fem år. I till 6 § anslutna allmänna råd anges att leverantören bör beakta den senaste tekniska utvecklingen för att säkerställa en nivå på säker- heten i nätverk och informationssystem som är lämplig i förhållande till den föreliggande risken. Leverantören bör endast acceptera risker</P>
<P class="p736 ft85"><SPAN class="ft80">8</SPAN><SPAN class="ft94">Statens energimyndighet, Transportstyrelsen, Finansinspektionen, Livsmedelsverket och Post- och telestyrelsen. Socialstyrelsen får meddela sådana föreskrifter för Inspektionen för vård- och omsorgs tillsynsområde.</SPAN></P>
<P class="p737 ft58"><SPAN class="ft56">9</SPAN><SPAN class="ft57">Post- och telestyrelsen har utfärdat föreskrifterna och allmänna råd med stöd av stöd av 8 § förordningen (2018:1175) om informationssäkerhet för samhällsviktiga och digitala tjänster.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">388</P>
</DIV>
</DIV>
<DIV id="page_390">
<DIV id="p390dimg1">
<INGENBILD zsrc="H9B363390x1.jpg/" id="p390img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td9"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td95"><P class="p2 ft37">Certifiering av nätverks- och informationssystem</P></TD>
</TR>
</TABLE>
<P class="p126 ft17">om riskbedömningen i det aktuella fallet påvisar att säkerheten i den samhällsviktiga tjänsten kan upprätthållas. Av 7 § följer att eventu- ella åtgärder ska dokumenteras. Några formella krav på certifiering av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i <SPAN class="ft49">nätverks- och informa- tionssystem </SPAN>uppställs inte.</P>
<P class="p80 ft46">I <SPAN class="ft60">Statens energimyndighets </SPAN>föreskrifter och allmänna råd om risk- analys och säkerhetsåtgärder för nätverk och informationssystem inom energisektorn (STEMFS 2021:3)<SPAN class="ft97">10 </SPAN>föreskrivs i 2 § att leve- rantören ska upprätta en systemförteckning över sin IT och OT genom att kartlägga och analysera de IT- och <NOBR>OT-tjänster</NOBR> samt nät- verk och informationssystem som används vid leverantörens till- handahållande av samhällsviktiga tjänster samt hur dessa kommuni- cerar med och är beroende av varandra (punkten 1), inventera vilka hårdvaror som används i leverantörens IT och OT (punkten 2), in- ventera vilka mjukvaror som används i leverantörens IT och OT (punkten 3), identifiera vilka interna och externa nätverk och infor- mationssystem liksom vilka hårdvaror och mjukvaror som är mest kritiska för leverantörens tillhandahållande av samhällsviktiga tjäns- ter (punkten 4), samt upprätta en nätverkskarta avseende leverantö- rens IT och OT (punkten 5).</P>
<P class="p738 ft18">Inga av de övriga angivna sektorsmyndigheterna/tillsynsmyndig- heterna har på motsvarande sätt som PTS eller Statens energimyn- dighet utfärdat några föreskrifter och allmänna råd om riskanalys och säkerhetsåtgärder för nätverk och informationssystem hos leve- rantörer av samhällsviktiga tjänster.</P>
<P class="p80 ft19">Utredningen kan notera att varken i MSB:s föreskrifter eller i någon av sektorsmyndigheternas förskrifter ställs sålunda några for- mella krav på att <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> eller <NOBR>-processer</NOBR> i <SPAN class="ft63">nätverks- och informationssystem </SPAN>som används i verksamhet som innefattar samhällsviktiga och digitala tjänster ska vara <SPAN class="ft63">certifierade </SPAN>enligt en av Sverige erkänd certifieringsordning. I föreskrifterna finns i och för sig bestämmelser om att en leverantör ska ha interna regler och arbets- sätt som säkerställer att samtliga nätverk- och informationssystem för samhällsviktiga tjänster uppfyller identifierade behov av informa- tionssäkerhet, dock saknas bestämmelser om evaluering eller certi- fiering av sådana.</P>
<P class="p739 ft58"><SPAN class="ft56">10</SPAN><SPAN class="ft96">Statens energimyndighets föreskrifter och allmänna råd om riskanalys och säkerhetsåtgärder för nätverk och informationssystem inom energisektorn (STEMFS 2021:3).</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">389</P>
</DIV>
</DIV>
<DIV id="page_391">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Certifiering av nätverks- och informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p255 ft20">Informationssystem i verksamhet hos kommuner och regioner</P>
<P class="p220 ft18">Det finns i dag inte någon formell författningsreglering med krav på att använda certifierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i <SPAN class="ft45">nät- verks- och informationssystem </SPAN>som används i verksamheter som be- drivs av kommuner och regioner, annat än om verksamheten i ett eller flera avseenden träffas av kraven på informationssäkerhet i regler- ingen av säkerhetsskydd eller om samhällsviktiga och digitala tjänster.</P>
<P class="p70 ft20">Näringslivet och företag</P>
<P class="p220 ft19">På motsvarande sätt som gäller för kommuner och regioner finns det för enskilda företag eller enskilda organisationer i dag inte någon formell författningsreglering med krav på att använda certifierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i <SPAN class="ft63">nätverks- och informations- system </SPAN>som används i olika verksamheter. Detta gäller dock inte om verksamheten i ett eller flera avseenden träffas av kraven på infor- mationssäkerhet i regleringen av säkerhetsskydd eller om samhälls- viktiga och digitala tjänster.</P>
<P class="p70 ft48"><SPAN class="ft48">12.4</SPAN><SPAN class="ft135">Finns krav på certifiering i andra länder?</SPAN></P>
<P class="p192 ft18">Utredningen har genomfört en översiktlig kartläggning av om det i andra jämförbara länder finns reglering som innefattar krav på certi- fiering av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i verksamhet som motsvarar den svenska definitionen av säkerhetskänslig verksamhet eller i övrigt definitionen på verksamhet som kan anses beröra natio- nell säkerhet. En sammanfattning av vad som framkommit vid kart- läggningen finns i kapitel 9.</P>
<P class="p105 ft17">Utredningen kan konstatera att det framkommer en splittrad bild av förekomsten av reglering med krav på certifiering av <NOBR>IKT-produk-</NOBR> ter, <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i verksamhet som kan anses motsvara det svenska begreppet säkerhetskänslig verksamhet eller i övrigt natio- nell säkerhet.</P>
<P class="p73 ft46">I <SPAN class="ft60">Norge </SPAN>ställs i nationell författning krav på att verksamheter vid valet av säkerhetsåtgärder använder <SPAN class="ft60">evaluerade </SPAN>produkter och tjäns- ter om dessas funktion är avgörande för att personer inte obefogat ska få tillgång till hemlig eller kvalificerat hemlig information och</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">390</P>
</DIV>
</DIV>
<DIV id="page_392">
<DIV id="p392dimg1">
<INGENBILD zsrc="H9B363392x1.jpg/" id="p392img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td9"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td95"><P class="p2 ft37">Certifiering av nätverks- och informationssystem</P></TD>
</TR>
</TABLE>
<P class="p77 ft18">inte heller påverkar driften av kritisk infrastruktur. Evalueringen ska utföras av den nationella säkerhetsmyndigheten (NSM) eller ett ackre- diterat laboratorium som utsetts av NSM. <SPAN class="ft45">Kraven på själva evaluer- ingen </SPAN>kan uppfyllas genom en <SPAN class="ft45">certifiering </SPAN>utfärdat av NSM eller ett ackrediterat certifieringsorgan som utsetts av NSM.<SPAN class="ft79">11</SPAN></P>
<P class="p80 ft19">Av inhämtade uppgifter framgår att det finns myndigheter i <SPAN class="ft63">Finland </SPAN>med ansvar för nationell informations- och cybersäkerhet samt uppgiften att godkänna vissa informationssystem. Några natio- nella krav på <SPAN class="ft63">certifiering </SPAN>av sådana system har dock inte framkommit. Det kan i vissa fall vara obligatoriskt att inhämta intyg om godkän- nande från behörig myndighet för informationssystem som behand- lar säkerhetsklassificerad information.</P>
<P class="p80 ft19">I <SPAN class="ft63">Danmark </SPAN>finns krav på cybersäkerhetscertifiering i fråga om säkerheten i nätverks- och informationssystem, främst i vissa sek- torer (bl.a. inom transport och sjöfart). För statliga myndigheter finns också krav på att ackreditering av informationssystem som an- vänds för klassificerad information. Sådana system kan vara föremål för certifiering och/eller godkännande.</P>
<P class="p109 ft46">I <SPAN class="ft60">Nederländerna </SPAN>finns centrala myndigheter med ansvar för nationell cybersäkerhet, evaluering respektive godkännande av informations- säkerhetsprodukter och system för att skydda särskild information av betydelse för staten. Några nationella krav på formell <SPAN class="ft60">certifiering </SPAN>av nedan angivna system och produkter har inte kunnat noteras. Produkter för information som kan medföra negativa konsekvenser för staten ska dock evalueras av den nationella byrån för kommuni- kationssäkerhet (NBV). Arbetsgruppen för särskild informations- säkerhet, WBI, lämnar sedan råd till Inrikesministeriet som har att godkänna användningen av informationssäkerhetssystem och dess komponenter. Vidare kan användning av viss mjukvaruutrustning som omfattas av försvarskontrakt förutsätta godkännande av s.k. säker- hetskontor.</P>
<P class="p740 ft18">I <SPAN class="ft45">Tyskland </SPAN>finns myndigheter med ansvar för informationssäker- het och certifiering respektive godkännande av <NOBR>it-produkter</NOBR> och <NOBR>-system</NOBR> i säkerhetskänslig verksamhet i landet. Vissa komponenter och ändringar av <NOBR>it-system</NOBR> som ska behandla klassificerat material ska godkännas av chefer på berörda myndigheter. En förutsättning för användning av <NOBR>it-system</NOBR> för klassificerad information är ett in-</P>
<P class="p741 ft41"><SPAN class="ft56">11</SPAN><SPAN class="ft82">Det rör sig här inte om ett absolut krav på certifiering, utan överensstämmelse kan visas även på andra sätt.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">391</P>
</DIV>
</DIV>
<DIV id="page_393">
<DIV id="p393dimg1">
<INGENBILD zsrc="H9B363393x1.jpg/" id="p393img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Certifiering av nätverks- och informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p60 ft46">formationssäkerhetskoncept i enlighet med angivna standarder. Dess- utom finns krav på sekretesskydd som går utöver det grundläggande <NOBR>it-skyddet</NOBR> och som ska definieras av säkerhetschefer enligt admi- nistrativa instruktioner för skyddet av klassificerat material. Utöver certifiering av <NOBR>it-produkter</NOBR> och <NOBR>-system</NOBR> med avseende på deras säker- hetsfunktioner finns även tillgång till tjänsten att certifiera enligt tekniska riktlinjer avseende särskilda funktionskrav. En certifiering enligt tekniska riktlinjer krävs om implementeringen av särskilda funktionskrav är avgörande för driften av en <NOBR>it-produkt</NOBR> eller ett it- system. Detta gäller i synnerhet <NOBR>it-produkter</NOBR> eller <NOBR>-system</NOBR> som är avsedda att sättas in i säkerhetskänsliga domäner i Tyskland. BSI be- dömer tillverkares och distributörers <NOBR>it-produkter</NOBR> och <NOBR>-system</NOBR> varvid oberoende evaluering av överensstämmelse med de tekniska rikt- linjerna görs.<SPAN class="ft97">12</SPAN></P>
<P class="p742 ft19">I <SPAN class="ft63">Frankrike </SPAN>finns centrala myndigheter med ansvar för nationell informations- och cybersäkerhet. Myndigheterna ansvarar för <SPAN class="ft63">evaluer- ing </SPAN>och <NOBR>-godkännande</NOBR> av informationssystem och dess säkerhets- funktioner där behandlad information är av betydelse för nationell säkerhet. Några nationella krav på <SPAN class="ft63">certifiering </SPAN>av sådana system har dock inte framkommit När det gäller informationssystem som be- handlar information som klassificerats som kvalificerat hemlig ska generalsekreteraren för försvar och nationell säkerhet (SGDSN) god- känna systemet.</P>
<P class="p82 ft18">I <SPAN class="ft45">Storbritannien </SPAN>finns myndigheter med ansvar för nationell informations- och cybersäkerhet samt <SPAN class="ft45">certifiering </SPAN>av IKT. I fråga om produkter som hanterar hemlig information krävs särskilt utvecklat skydd. På denna nivå används normalt inte vanligen förekommande kommersiella lösningar. Tillgång till känslig information ska endast ges till auktoriserade system. Företag som tillhandahåller vissa IKT- produkter och <NOBR>-tjänster</NOBR> för hantering av känslig och officiell infor- mation kan behöva <SPAN class="ft45">certifiering </SPAN>eller motsvarande. Tillhandahållare av tjänster och tredjepartsleverantörer som hanterar hemlig offentlig information måste vidare erhålla ackreditering och använda lämpligt ackrediterad <NOBR>it-utrustning</NOBR> och godkänd mjukvara.</P>
<P class="p83 ft18">I <SPAN class="ft45">USA </SPAN>finns flera departement och federala myndigheter med ansvar för nationell informations- och cybersäkerhet. Det finns krav</P>
<P class="p743 ft113"><SPAN class="ft56">12</SPAN><SPAN class="ft112">Om </SPAN><NOBR>it-system</NOBR> ska användas för hemligt material måste säkerhetsansvariga låta BSI utföra vissa tekniska tester av <NOBR>it-systemet</NOBR> för att se om nödvändiga <NOBR>it-säkerhetsfunktioner</NOBR> implemen- terats korrekt. När nätverksbaserade <NOBR>it-system</NOBR> används för klassificerat material kan även säkerhetsansvariga behöva genomföra ett penetrationstest.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">392</P>
</DIV>
</DIV>
<DIV id="page_394">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td9"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td95"><P class="p2 ft37">Certifiering av nätverks- och informationssystem</P></TD>
</TR>
</TABLE>
<P class="p77 ft18">på att driftsättningen av federala informationssystem ska godkännas av behöriga federala tjänstemän. Nationella säkerhetssystem som be- handlar nationell säkerhetsinformation fordrar ytterligare säkerhets- krav som behöver godkännas. Vidare ska sådana system genomgå en oberoende tredjepartsbedömning där systemets överensstämmelse med särskilda instruktioner på området valideras. I USA kan kom- mersiella informationssäkerhetsprodukter i förhållandevis stor ut- sträckning användas för att skydda nationella säkerhetssystem och klassificerad information (om lösningarna är godkända av NSA och assuransfunktionerna validerade).</P>
<P class="p80 ft19">I <SPAN class="ft63">Kanada </SPAN>finns myndigheter med ansvar för informations- och cybersäkerhet samt <SPAN class="ft63">certifiering </SPAN>av IKT. Federala departement och myndigheter måste ha sina <NOBR>it-system</NOBR> och tjänster <SPAN class="ft63">certifierade </SPAN>och ackrediterade innan de godkänns för drift. Organisationer som ingår kontrakt med regeringen och har <NOBR>it-system</NOBR> som ska behandla säker- hetsklassificerad information (mellan leverantören och en statlig myndighet) måste få sitt system godkänt av en myndighet (PSPC) före det att arbetet kan påbörjas och systemet används. Säkerhets- kraven är emellertid specifika för varje kontrakt och beror på hur känslig den berörda informationen är.</P>
<P class="p109 ft18">I <SPAN class="ft45">Nya Zeeland </SPAN>finns departement med ansvar för informations- och cybersäkerhet, bl.a. när det gäller nationell säkerhet. Statliga nationella myndigheter som hanterar hemlig information om natio- nen är skyldiga att ha kontroll över sina system och hålla informa- tionen säker. <NOBR>IKT-systemen</NOBR> kan vidare behöva genomgå en särskild <SPAN class="ft45">certifierings</SPAN>- och ackrediteringsprocess för att få tas i drift. Detta för- farande regleras i en nationell handbok vars användning rekommen- deras brett i samhället. Rör hanterad information nationell säkerhet måste myndighetens system ackrediteras av den nationella byrån för kommunikationssäkerhet (GCSB) innan ett resulterande formellt godkännande av systemets driftsättning kan ske. Vidare kräver system och tjänster med kompartmentaliserad eller förbehållen (”caveated”) information klassificerad som konfidentiell och högre ackreditering av generaldirektören på GCSB (eller formell delegat). Också använd- ning av <NOBR>högassurans-kryptoutrustning</NOBR> kräver kontroll i form av ackre- ditering av GCSB. Generellt i fall där information och system är klas- sificerade begränsat hemliga (restricted) eller lägre ligger uppgiften att godkänna systemet internt hos organisationens chef.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">393</P>
</DIV>
</DIV>
<DIV id="page_395">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Certifiering av nätverks- och informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p276 ft19">I <SPAN class="ft63">Australien </SPAN>finns myndigheter med ansvar för informations- och cybersäkerhet samt uppgifterna att <SPAN class="ft63">evaluera </SPAN>respektive <SPAN class="ft63">certifiera </SPAN>IKT. När det gäller information om statliga angelägenheter som tillhör regeringen behöver berörda <NOBR>IKT-system</NOBR> godkännas innan de får tas i drift. För kvalificerat hemliga system och system som hanterar kvalificerat hemlig eller känslig kompartmentaliserad information är en underrättelse- och säkerhetstjänst (ASD:s generaldirektör) god- kännandeorgan. I övriga fall brukar uppgiften att godkänna systemen ligga hos respektive organisations säkerhetschef. Några motsvarande nationella krav på certifiering av sådana system har dock inte fram- kommit.</P>
<P class="p70 ft48"><SPAN class="ft48">12.5</SPAN><SPAN class="ft135">Överväganden</SPAN></P>
<P class="p744 ft26"><SPAN class="ft26">12.5.1</SPAN><SPAN class="ft140">Behov av att stärka säkerheten i nätverks- och informationssystem</SPAN></P>
<P class="p261 ft17">Utredningen ska – enligt direktiven - överväga om det finns behov av att stärka säkerheten i nätverks- och informationssystem i säker- hetskänslig verksamhet, t.ex. genom att det införs en nationell sär- skild anpassad ordning med krav på certifiering av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> som ska användas i informationssystem i säkerhetskänslig verksamhet.</P>
<P class="p105 ft17">Utgångpunkten för utredningens överväganden när det gäller frå- gan om det finns anledning att införa en nationell särskilt anpassad ordning för certifiering av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nätverks- och informationssystem i säkerhetskänslig verksamhet är att det finns konstaterade brister i säkerheten i systemen som ett krav på certifiering av produkter, tjänster och <NOBR>-processer</NOBR> kan bidra till att åtgärda.</P>
<P class="p73 ft18">Utredningens experter på informations- och cybersäkerhet, bl.a. på området för evaluering och certifiering, har framhållit att IKT- produkter, <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> som genomgår evaluering och certifiering bidrar till att öka säkerheten i nätverks- och informa- tionssystem, men att det inte genom ett sådant förfarande går att uppnå någon fullständig säkerhet. Även andra nödvändiga säkerhets- skyddsåtgärder måste vidtas och finnas på plats. En ökad användning av certifierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> utgör således endast en delmängd av många andra angelägna åtgärder som behöver</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">394</P>
</DIV>
</DIV>
<DIV id="page_396">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td9"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td95"><P class="p2 ft37">Certifiering av nätverks- och informationssystem</P></TD>
</TR>
</TABLE>
<P class="p130 ft18">vidtas inom ramen för ett systematiskt informationssäkerhetsarbete och i arbetet med att stärka <NOBR>it-säkerheten</NOBR> i säkerhetskänslig verk- samhet (se kapitel 10 och 11).</P>
<P class="p111 ft18">Utredningen tolkar vidare uppdraget när det gäller frågan om det finns anledning att införa en nationell särskilt anpassad ordning för certifiering av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nätverks- och informationssystem i säkerhetskänslig verksamhet som att ut- gångspunkten är att utreda behovet av en särskild certifieringsord- ning som till struktur, regelsystem och arbetsformer motsvarar den nu befintliga nationella certifieringsordningen vid FMV/CSEC, men som är anpassad för den säkerhetskänsliga verksamheten. Utred- ningens överväganden om det finns anledning att införa en nationell särskilt anpassad ordning för certifiering av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nätverks- och informationssystem i säkerhetskäns- lig verksamhet ska därför göras mot den ovan angivna bakgrunden. Det kan samtidigt konstateras att det därutöver måste föreligga ett antal förutsättningar för att möjliggöra ett införande och tillämpning av en sådan ordning och att i detta sammanhang även att ett antal andra bedömningar behöver göras, bl.a. vilken påverkan som certi- fieringar som sker med stöd av det europeiska ramverket kan ha för behovet av nationella certifieringar av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nätverks- och informationssystem i för säkerhetskänslig verksamhet. Dessa förutsättningar och andra grundläggande fråge- ställningar behandlas mer utförligt i efterföljande avsnitt.</P>
<P class="p745 ft35"><SPAN class="ft26">12.5.2</SPAN><SPAN class="ft145">Förutsättningar för en nationell certifieringsordning för säkerhetskänslig verksamhet</SPAN></P>
<P class="p6 ft20">Befintligt regelsystem</P>
<P class="p124 ft18">Frågan om krav på certifiering av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-pro-</NOBR> cesser i säkerhetskänslig verksamhet berör även frågor av rättslig karaktär, dvs. hur detta i sådana fall ska regleras. Oavsett om regler- ingen sker i lag, förordning eller förskrifter ställer det rättsliga krav på dels att eventuella krav är förutsebara, dels att de begrepp och definitioner som används i regleringen är tydligt definierade, vilket får en särskild betydelse om det finns administrativa åtgärder och sanktioner kopplade till krav på en aktör att använda certifierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i en viss typ av verksamhet.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">395</P>
</DIV>
</DIV>
<DIV id="page_397">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Certifiering av nätverks- och informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p336 ft18">Den fråga som inledningsvis uppkommer är om nu gällande regel- system för informationssäkerhet i säkerhetskänslig verksamhet ger stöd för att närmare reglera och ställa krav på användning av evalue- rade och certifierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nät- verks- och informationssystem i sådan verksamhet.</P>
<P class="p82 ft18">Av 4 § första stycket i säkerhetsskyddsförordningen framgår – när det gäller säkerhetskrav för informationssystem som används i säkerhetskänslig verksamhet – att en verksamhetsutövare som an- svarar för ett informationssystem som ska användas i sådan verksam- het ska vidta <SPAN class="ft45">lämpliga skyddsåtgärder </SPAN>för att kunna upptäcka, försvåra och hantera skadlig inverkan på informationssystemet samt obehö- rig avlyssning av, åtkomst till och nyttjande av informationssyste- met. Av 6 § följer att Säkerhetspolisen och Försvarsmakten får inom respektive myndighets tillsynsområde meddela föreskrifter om undan- tag från kraven i 4 §.</P>
<P class="p83 ft18">Utredningen noterar att av Säkerhetspolisen förskrifter om <SPAN class="ft45">gransk- ning </SPAN>vid utveckling och anskaffning av informationssystem i säker- hetskänslig verksamhet framgår att verksamhetsutövaren ska se till att <SPAN class="ft45">egenutvecklad programvara </SPAN>i informationssystem som har bety- delse för säkerhetskänslig verksamhet <SPAN class="ft45">granskas </SPAN>för att upptäcka och åtgärda säkerhetsbrister och sårbarheter (4 §). Vidare anges att verk- samhetsutövaren ska se till att <SPAN class="ft45">tredjepartsprogramvara </SPAN>i informations- system som har betydelse för säkerhetskänslig verksamhet <SPAN class="ft45">granskas </SPAN>för att upptäcka och åtgärda säkerhetsbrister och sårbarheter, eller att programvaran på annat sätt <SPAN class="ft45">bedöms vara tillförlitlig </SPAN>från säker- hetsskyddssynpunkt (5 §).</P>
<P class="p62 ft18">Utredningens experter från Säkerhetspolisen respektive För- svarsmakten har under utredningsarbetet gjort bedömningen att nu gällande författningsreglering av säkerhetsskydd i och för sig ger stöd för att meddela föreskrifter som anger att en verksamhetsutövare i vissa fall <SPAN class="ft45">ska </SPAN>använda <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> som ska vara <SPAN class="ft45">evaluerade </SPAN>och <SPAN class="ft45">certifierade </SPAN>enligt en viss ordning men att några sådana föreskrifter inte utfärdats.</P>
<P class="p61 ft18">Utredningen gör därför bedömningen att nuvarande författnings- reglering ger tillräckligt utrymme för tillsynsmyndigheterna att – vid behov – kunna meddela närmare föreskrifter om <SPAN class="ft45">krav </SPAN>på användning av evaluerade och certifierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-proces-</NOBR> ser i nätverks- och informationssystem i säkerhetskänslig verksamhet.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">396</P>
</DIV>
</DIV>
<DIV id="page_398">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td9"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td95"><P class="p2 ft37">Certifiering av nätverks- och informationssystem</P></TD>
</TR>
</TABLE>
<P class="p644 ft20">Den nationella ordningen för certifiering av <NOBR>it-säkerhet</NOBR> i produkter och system</P>
<P class="p91 ft18">I detta sammanhang kan noteras att det finns en nationell ordning för certifiering av <NOBR>it-säkerhet</NOBR> i produkter och system, även om den ordningen inte närmare reglerar vad som ska gälla för certifiering av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> på det säkerhetsskyddade området. Den fråga som då uppkommer är om denna certifierings- ordning kan anses ge samma möjligheter att uppnå tillräcklig säker- het i nätverks- och informationssystem som en särskilt anpassad certifieringsordning med certifieringskrav på området kan medföra.</P>
<P class="p58 ft18">Här uppkommer även frågan vilken uppgift och roll som det nationella certifieringsorganet CSEC bör och kan ha när det kom- mer till frågan om evaluering och certifiering av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i säkerhetskänslig verksamhet. Här ska note- ras att den nu gällande nationella certifieringsordningen kan komma att upphöra om/när en motsvarande certifieringsordning inom ramen för det europeiska ramverket för cybersäkerhetscertifiering införs, som då blir den gällande certifieringsordningen på det aktuella området. Vidare kan noteras att regeringen har givit FMV i uppdrag att vara nationell cybersäkerhetsmyndighet enligt EU:s cybersäker- hetsakt med uppgifter som följer av denna förordning, vilket bl.a. innebär att det nationella certifieringsorganet CSEC, som är en fris- tående enhet i vid myndigheten, har ansvar för certifieringar på nivå hög enligt det europeiska ramverket för cybersäkerhetscertifiering.</P>
<P class="p146 ft17">Frågan om vilken betydelse den befintliga nationella ordningen för certifiering av <NOBR>it-säkerhet</NOBR> i produkter och system kan få när det gäller att överväga eventuellt behov av att införa en särskild mot- svarande ordning för det säkerhetskänsliga området behandlas mer i efterföljande avsnitt.</P>
<P class="p147 ft20">Det europeiska ramverket för cybersäkerhet</P>
<P class="p110 ft46">För nationellt vidkommande uppkommer även frågan vilken bety- delse och påverkan som certifieringsordningar inom ramen för det europeiska ramverket för cybersäkerhetscertifiering – utöver vad som följer direkt av tillämpningsområdet för dessa ordningar – kan få för arbetet med att stärka den nationella informations- och cybersäker-</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">397</P>
</DIV>
</DIV>
<DIV id="page_399">
<DIV id="p399dimg1">
<INGENBILD zsrc="H9B363399x1.jpg/" id="p399img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Certifiering av nätverks- och informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p125 ft21">heten, och särskilt vad gäller nätverks- och informationssystem i säker- hetskänslig verksamhet.</P>
<P class="p325 ft17">Utredningen noterar att de olika certifieringsordningar som kom- mer att etableras inom ramen för det europeiska ramverket för cyber- säkerhetscertifiering kan förväntas användas för certifiering av allt från programvaror, IoT, molntjänster till olika styr- och kontrollsystem, dvs. många olika former och typer av informations- och kommuni- kationsteknologi (IKT) och som berör nätverks- och informations- system.</P>
<P class="p82 ft17">Utredningens experter har under utredningsarbetet framhållit behovet av att fler certifierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-pro-</NOBR> cesser för nivån hög tas fram inom ramen för det europeiska ramverket för cybersäkerhetscertifiering och att dessa ska kunna användas – vid behov efter anpassning till nationella krav – i såväl säkerhetskänslig som annan samhällsviktig verksamhet.</P>
<P class="p63 ft17">Målbilden bör vara att certifierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> på nivån hög och som tas fram inom det angivna ram- verket, eller på annat sätt, ska kunna användas också nationellt på motsvarande sätt som sker inom ramen för samarbetet inom CCRA och där Sverige aktivt deltagit.</P>
<P class="p62 ft19">Frågan uppkommer om det finns behov av att, utöver den redan befintliga nationella certifieringsordningen för <NOBR>it-säkerhet</NOBR> i produk- ter och system<SPAN class="ft101">13 </SPAN>och vad som följer genom införandet av det euro- peiska ramverket för cybersäkerhetscertifiering, även införa en sär- skild anpassad nationell certifieringsordning för <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> som ska användas i nätverks- och informa- tionssystem i säkerhetskänslig verksamhet.</P>
<P class="p324 ft17">I anslutning till denna frågeställning uppkommer även frågan om certifiering enligt de ordningar som skapas inom ramen för det euro- peiska ramverket för cybersäkerhet kan/bör användas på detta om- råde och om det eventuellt föreligger behov av en kombination av sådana certifieringsordningar.</P>
<P class="p746 ft113"><SPAN class="ft56">13</SPAN><SPAN class="ft112">Denna nationella certifieringsordning kan delvis eller helt komma att upphöra när mot- svarande europeiska certifieringsordningar antas inom ramen för EU:s cybersäkerhetsakt.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">398</P>
</DIV>
</DIV>
<DIV id="page_400">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td9"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td95"><P class="p2 ft37">Certifiering av nätverks- och informationssystem</P></TD>
</TR>
</TABLE>
<P class="p90 ft20">Utkast till reviderat <NOBR>NIS-direktiv</NOBR></P>
<P class="p232 ft18">Det kan i detta sammanhang noteras att det för närvarande pågår ett arbete med att utveckla <NOBR>NIS-ramverket</NOBR> inom ramen för det så kallade <NOBR>NIS2-direktivet</NOBR> och som föremål för en pågående förhandling inom EU. Enligt det utkast till <NOBR>NIS2-direktiv</NOBR> som offentliggjorts kommer det att ställas betydande krav på säkerhet i nätverks- och informa- tionssystem i berörda verksamheter inom hela unionen.</P>
<P class="p111 ft18">En fråga som då uppkommer i detta sammanhang är om det finns skäl att överväga krav på certifieringar av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nätverks- och informationssystem i säkerhetskäns- lig verksamhet och inte samtidigt analysera behovet av motsvarande krav på certifiering i verksamhet som rör samhällsviktiga och digitala tjänster (NIS2) eller kritisk infrastruktur (se nedan).</P>
<P class="p58 ft18">Vidare uppkommer frågan om den praktiska tillämpningen av krav på säkerhet i nätverks- och informationssystem enligt <NOBR>NIS-lagen</NOBR> och säkerhetsskyddslagen. Detta kan vid en första anblick förefalla okomplicerat men det kan observeras att hos många verksamhets- utövare finns moderna nätverks- och informationssystem som är både omfattande och komplexa, eller i vissa fall mycket komplexa, sam- tidigt som olika delar av nätverks- och informationssystemen kan beröras av bl.a. olika rättsliga och tekniska krav. Det gäller t.ex. krav enligt lagen (2018:1174) om informationssäkerhet för samhällsvik- tiga och digitala tjänster och/eller säkerhetsskyddslagen (2018:585).</P>
<P class="p111 ft19">Det kan därför ifrågasättas om inte säkerhetskraven på <NOBR>IKT-pro-</NOBR> dukter, <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> som tas fram inom ramen för bl.a. det europeiska ramverket för cybersäkerhetscertifiering för att an- vändas i nätverks- och informationssystem på nivån hög bör kunna användas – vid behov efter anpassning till nationella säkerhetskrav – även i säkerhetskänslig verksamhet.</P>
<P class="p58 ft18">Utredningen vill i detta sammanhang betona vikten att det skapas förutsättningar för att det utvecklas fler certifierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> som kan användas inom ramen för alla ovan nämnda regelverk. Frågan om krav på nationell certifiering av IKT- produkter, <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nätverks- och informationssystem i säkerhetskänslig verksamhet kan därför inte behandlas eller bedö- mas avskilt från frågan om den mer allmänna nivån på informations- och cybersäkerhet i samhället generellt och särskilt vad gäller nivån</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">399</P>
</DIV>
</DIV>
<DIV id="page_401">
<DIV id="p401dimg1">
<INGENBILD zsrc="H9B363401x1.jpg/" id="p401img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Certifiering av nätverks- och informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p189 ft21">på och behovet av ökad säkerhet i verksamheter som rör samhälls- viktiga och digitala tjänster.</P>
<P class="p209 ft20">Förslag till <NOBR>EU-direktiv</NOBR> om kritiska entiteters motståndskraft</P>
<P class="p285 ft46"><NOBR>EU-kommissionen</NOBR> har den 16 december 2020 presenterat ett förslag till <SPAN class="ft60">Europaparlamentets och Rådets direktiv om kritiska entiteters mot- ståndskraft </SPAN>(COM[2020] 829 final). Syftet med förslaget är att för- bättra tillhandahållandet på den inre marknaden av tjänster som är nödvändiga för att upprätthålla centrala samhällsfunktioner eller central ekonomisk verksamhet genom att öka kritiska entiteters mot- ståndskraft som tillhandahåller sådana tjänster. Det avspeglar de upp- maningar om åtgärder som nyligen har utfärdats av rådet<SPAN class="ft97">14 </SPAN>och Europa- parlamentet,<SPAN class="ft97">15 </SPAN>som båda har uppmuntrat kommissionen att se över den nuvarande strategin för att bättre avspegla de ökade utmaningarna för kritiska entiteter och säkerställa en närmare överensstämmelse med direktivet om säkerhet i nätverks- och informationssystem <NOBR>(NIS-direktivet).</NOBR> Förslaget är förenligt och skapar nära synergier med det föreslagna <NOBR>NIS2-direktivet</NOBR> i syfte att ta itu med den ökade sammankopplingen mellan den fysiska och digitala världen genom en lagstiftningsram med kraftfulla åtgärder för motståndskraft för såväl cyberrelaterade som fysiska aspekter, i enlighet med strategin för EU:s säkerhetsunion.</P>
<P class="p104 ft19">Ett syfte med det föreslagna direktivet är att införa harmonise- rade minimiregler för att säkerställa tillhandahållandet av samhälls- viktiga tjänster på den inre marknaden och öka kritiska entiteters motståndskraft. För att uppnå det målet bör medlemsstaterna iden- tifiera kritiska entiteter som bör omfattas av särskilda krav och till- syn, men också särskilt stöd och vägledning för att uppnå en hög motståndskraft mot alla relevanta risker. Därmed ska medlemssta- terna enligt förslaget säkerställa att kritiska entiteter vidtar lämpliga och proportionella tekniska och organisatoriska åtgärder för att säker- ställa sin motståndskraft samt kan genomföra säkerhetskontroller av personal. Några uttryckliga krav på certifiering anger direktivet emeller- tid inte.</P>
<P class="p208 ft85"><SPAN class="ft56">14</SPAN><SPAN class="ft94">Europaparlamentets och rådets direktiv 2019/944 av den 5 juni 2019 om gemensamma regler för den inre marknaden för el.</SPAN></P>
<P class="p243 ft41"><SPAN class="ft56">15</SPAN><SPAN class="ft82">Europaparlamentets och rådets förordning (EU) 2019/943 om den inre marknaden för el.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">400</P>
</DIV>
</DIV>
<DIV id="page_402">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td9"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td95"><P class="p2 ft37">Certifiering av nätverks- och informationssystem</P></TD>
</TR>
</TABLE>
<P class="p90 ft20">Behovet av nationell kravställning</P>
<P class="p232 ft18">Utredningens experter har vidare betonat behovet och vikten av att det finns en gemensamt framtagen och fastställt nationell kravställ- ning som kan ligga till grund för evaluering och certifiering av IKT- produkter, <NOBR>-tjänster</NOBR> och <NOBR>-processer,</NOBR> särskilt på det säkerhetsskyddade området, men även som nationellt instrument inom ramen för det med <NOBR>EU-institutioner</NOBR> och andra medlemsstater gemensamma arbetet med att utveckla det europeiska ramverket för cybersäkerhetscerti- fiering. I dag saknas en sådan kravställning som grundas på en gemen- samt framtagen hotbild, sårbarhets- och riskbedömningar och som möjliggör framtagande av adekvata skyddsprofiler i arbetet med eva- luering och certifiering av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer.</NOBR></P>
<P class="p187 ft19">Frågan som också uppkommer är hur arbetet med att styra, orga- nisera och resurssätta arbetet med framtagande av en kravställning ska ske, bl.a. vilken eller vilka myndigheter som ska delta och vilka andra berörda aktörer som är involveras i arbetet. Utredningen be- dömer att utgångspunkten här bör vara att det är en statlig myndig- het som får ansvaret för att utveckla och fastställa kravbilden och säkerhetskrav när det gäller säkerhetskänslig verksamhet och i övrigt på nivån hög inom ramen för det europeiska ramverket för cyber- säkerhetscertifiering.</P>
<P class="p747 ft45">Behovet av nationell sammanställning över certifierade och rekommenderade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR></P>
<P class="p57 ft18">Utredningens experter har även påpekat att en grundläggande för- utsättning för att kunna ställa krav – vid behov med stöd av författ- ning – på att certifierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> ska användas i nätverks- och informationssystem i säkerhetskänslig verk- samhet är att det kan ske först när en utvecklad <SPAN class="ft45">sammanställning </SPAN>över certifierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> är tillgänglig.</P>
<P class="p147 ft20">Marknadsfrågor</P>
<P class="p124 ft53">Flera av utredningens experter på detta område har under utred- ningsarbetet även ifrågasatt om det kan anses föreligga tillräckliga förutsättningar för att införa en nationell särskilt anpassad ordning</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">401</P>
</DIV>
</DIV>
<DIV id="page_403">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Certifiering av nätverks- och informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft46">med krav på certifiering av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> enbart för att täcka det nationella behovet på området för säker- hetskänslig verksamhet. Bl.a. har ifrågasatts möjligheterna att natio- nellt ställa enskilda certifieringskrav för det begränsade användnings- område som det nationella området i detta sammanhang utgör. Från experthåll framhålls vidare att dessa <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> som eventuellt tas fram för nationella behov även måste ha en internationell räckvidd eftersom den nationella marknaden inte bedöms som tillräcklig. Det innebär att det föreligger en risk för att det kommer att saknas marknadsmässiga förutsättningar för att ta fram särlösningar för enbart nationella behov. På motsvarande sätt behöver svenska företag som tar fram olika <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> verka på den globala marknaden och därför även ha en internationell räckvidd.</P>
<P class="p748 ft20">Förekomsten av certifieringsordningar i andra jämförbara länder</P>
<P class="p71 ft18">Utredningen har genom den internationella utblicken eftersträvat att få en översiktlig bild över förekomsten av certifieringsordningar för nätverks- och informationssystem som används inom området för nationell säkerhet i andra länder. Det ska noteras att den inter- nationella utblicken och kartläggningen i allt väsentligt grundas på tillgänglig offentlig information som kunnat återfinnas på berörda myndigheters hemsidor. I syfte att kvalitetssäkra information har även skriftliga frågor ställts till myndigheterna. Mot bakgrund av att frågeställningarna rör frågor med beröring till nationell säkerhet och försvar har myndigheternas svar av naturliga skäl varit av skiftande slag och digitala möten har inte kunnat avhjälpa bristen av att på plats i olika länder kunna diskutera och inhämta information i frågor av känslig natur. Detta har medfört en begränsning av utredningens möjligheter att få ett fullgott underlag i denna del och informationen i den internationella utblicken ska bedömas mot denna bakgrund.</P>
<P class="p172 ft21">Den internationella utblicken – med ovan angivna begränsningar</P>
<P class="p401 ft18"><SPAN class="ft21">–</SPAN><SPAN class="ft161">ger vid handen att det i några med Sverige jämförbara länder finns regleringar som behandlar certifiering av </SPAN><NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nätverk- och informationssystem som används i verksamhet som motsvarar det svenska begreppet säkerhetskänslig verksamhet eller annars rör nationell säkerhet (se kapitel 9.).</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">402</P>
</DIV>
</DIV>
<DIV id="page_404">
<DIV id="p404dimg1">
<INGENBILD zsrc="H9B363404x1.jpg/" id="p404img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td9"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td95"><P class="p2 ft37">Certifiering av nätverks- och informationssystem</P></TD>
</TR>
</TABLE>
<P class="p64 ft18">I bl.a. Norge är föreskrivet i författning att <NOBR>IKT-produkter,</NOBR> <NOBR>-tjäns-</NOBR> ter och <NOBR>-processer</NOBR> i nätverks- och informationssystem som behand- lar hemlig eller kvalificerat hemlig information eller som används i kritisk och mycket kritisk infrastruktur ska evalueras, och att evaluer- ingen <SPAN class="ft45">kan </SPAN>godtas om den bl.a. certifieras av certifieringsorganet vid den norska säkerhetsmyndigheten, och godkänns ) av utpekad myn- dighet.<SPAN class="ft79">16 </SPAN>I andra länder saknas helt reglering om formella krav på <SPAN class="ft45">certi- fiering </SPAN>enligt en nationell certifieringsordning för nationell säkerhet även om det i flertalet fall finns krav på att sådana nätverks- och in- formationssystem ska godkännas av en myndighet.</P>
<P class="p749 ft26"><SPAN class="ft26">12.5.3</SPAN><SPAN class="ft140">Inhämtade synpunkter från Säkerhetspolisen och Försvarsmakten</SPAN></P>
<P class="p750 ft19">Utredningen har begärt att <SPAN class="ft63">Säkerhetspolisen, </SPAN>i egenskap av tillsyns- myndighet för den civila delen av tillämpningsområdet för säkerhets- skyddsregleringen och där behovet av ytterligare säkerhetsskydds- åtgärder för nätverks- och informationssystem framstår som mest akut, ska lämna myndighetens bedömning över ett eventuellt behov av att införa en nationell särskilt anpassad certifieringsordning för den säkerhetskänsliga verksamheten.</P>
<P class="p65 ft46"><SPAN class="ft60">Säkerhetspolisen</SPAN>, som samrått med <SPAN class="ft60">Försvarsmakten </SPAN>i denna fråga, bedömer att det kan finnas både för- och nackdelar med särskilda certifieringsordningar för nätverk- och informationssystem i säker- hetskänslig verksamhet, men anser att det för närvarande är oklart om fördelarna överväger, bl.a. om säkerheten skulle öka i de nät- verks- och informationssystem som certifieras. Myndigheten anser att det inte är klarlagt om certifiering är den åtgärd som skulle lösa de brister i säkerhetsskyddet som har konstaterats. Effekterna av ytter- ligare krav på certifiering av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nätverks- och informationssystem som används i säkerhetskänslig verksamhet behöver därför utredas närmare innan en sådan reglering införs.</P>
<P class="p751 ft18"><SPAN class="ft45">Säkerhetspolisen </SPAN>pekar vidare på att det för närvarande är osäkert vilken påverkan som framtida certifieringar inom ramen för det</P>
<P class="p752 ft87"><SPAN class="ft56">16</SPAN><SPAN class="ft86">I exempelvis Tyskland ska vissa </SPAN><NOBR>it-system</NOBR> och <NOBR>-produkter,</NOBR> som är avsedda att användas i säkerhetskänslig verksamhet, certifieras enligt tekniska riktlinjer avseende särskilda funk- tionskrav. En oberoende evaluering av överensstämmelse görs baserat på de testspecifikationer som definieras i den tekniska riktlinjen.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">403</P>
</DIV>
</DIV>
<DIV id="page_405">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Certifiering av nätverks- och informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft18">europeiska ramverket för cybersäkerhetscertifiering kan få för möj- ligheten att stärka säkerheten i nätverks- och informationssystem. Myndigheten kommer att behöva förhålla sig till de certifieringar som kommer att utfärdas med stöd av olika certifieringsordningar enligt EU:s cybersäkerhetsakt. Detta förhållningssätt kan med för- del förtydligas genom att behöriga myndigheter inom säkerhets- skyddet i föreskrifter och genom vägledning anger hur verksamhets- utövare ska förhålla sig till och tillämpa sådana certifieringar.</P>
<P class="p73 ft53"><SPAN class="ft125">Säkerhetspolisen </SPAN>anser sammanfattningsvis att en nationell sär- skild anpassad certifieringsordning för säkerhetskänslig verksamhet inte bör tas fram i nuläget och dessutom behöver frågan om effek- terna av sådan certifieringsordning på säkerheten i nätverks- och in- formationssystem utredas närmare.</P>
<P class="p191 ft26"><SPAN class="ft26">12.5.4</SPAN><SPAN class="ft140">Behovet av gemensam och fastställd kravbild</SPAN></P>
<P class="p355 ft18">Flera av utredningens experter har samstämmigt framhållit att en grundläggande förutsättning för att överväga införande av en nationell särskilt anpassad ordning för certifiering av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nätverks- och informationssystem i säkerhetskäns- lig verksamhet är att det finns en nationell, gemensam och fastställd <NOBR>hot-,</NOBR> sårbarhets- och riskbedömning. En certifiering av <NOBR>IKT-pro-</NOBR> dukter, <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> behöver utgå från en gemensam be- dömning som grund för det efterföljande arbetet med att ta fram gemensamma säkerhetskrav och nivåer för att kunna ta fram ade- kvata skyddsprofiler och granskningsscheman. Detta behov före- ligger såväl för arbetet med informations- och cybersäkerhet i stort i samhället och som för arbetet med att stärka säkerheten i nätverks- och informationssystem i säkerhetskänslig verksamhet. För närvarande saknas dock en sådan nationell gemensam struktur för framtagning av <NOBR>hot-,</NOBR> sårbarhets och riskbedömning och en reglerad kravbild på säkerhetsnivåer och skyddsprofiler. Eftersom säkerhetshöjande effek- ter kommer ur den kravställning som ligger bakom certifieringen blir en central frågeställning i detta sammanhang hur formerna för att ta fram kravställning i samband med certifiering av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nätverks- och informationssystem ska se ut.</P>
<P class="p106 ft18">Utredningen anser att det är av betydande nationellt intresse att en formell struktur etableras för arbetet med att ta fram en gemen-</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">404</P>
</DIV>
</DIV>
<DIV id="page_406">
<DIV id="p406dimg1">
<INGENBILD zsrc="H9B363406x1.jpg/" id="p406img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td9"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td95"><P class="p2 ft37">Certifiering av nätverks- och informationssystem</P></TD>
</TR>
</TABLE>
<P class="p130 ft53">sam <NOBR>hot-,</NOBR> sårbarhets- och riskbedömning som kan ligga till grund för nationell kravställning och verksamhet, och som också kan an- vändas för nationella syften inom det <NOBR>EU-gemensamma</NOBR> arbetet med framställning av skyddsprofiler inom ramen för bl.a. det europeiska ramverket för cybersäkerhetscertifiering (se nedan).</P>
<P class="p224 ft20">Formerna för arbetet med kravställning</P>
<P class="p232 ft18">Utgångspunkten för all certifiering är att det finns krav på det som ska certifieras och en ordning för hur detta ska ske, hur gransk- ningen och evalueringen ska gå till. Detta gäller oaktat vilken typ av <NOBR>IKT-produkt,</NOBR> <NOBR>-tjänster</NOBR> eller <NOBR>-process</NOBR> det rör sig om. Hur dessa krav ut- trycks kan också variera utifrån vilken typ av verksamhet det rör sig om.</P>
<P class="p11 ft19">En vanlig utgångspunkt är en internationell standard som tagits fram för ändamålet, t.ex. en <NOBR>ISO-standard</NOBR> som tagits fram inom ramen för <SPAN class="ft63">International Organization for Standardization</SPAN>. Det finns i dags- läget över 22 000 globala standarder som ISO tagit fram, bl.a. stan- darden <NOBR>ISO-27001</NOBR> avseende informationssäkerhet.</P>
<P class="p58 ft19">När det gäller höga krav på <NOBR>it-säkerhet</NOBR> så har arbetet internatio- nellt skett inom ramen för <SPAN class="ft63">Common Criteria Recognition Arrange- ment </SPAN>(CCRA), och motsvarande överenskommelse inom Europa, <SPAN class="ft63">Senior Officials Group Information Systems Security – Mutual Recogni- tion Arrangement </SPAN><NOBR>(SOG-IS</NOBR> MRA).<SPAN class="ft101">17</SPAN></P>
<P class="p111 ft18">Som beskrivs i utredningens delbetänkande (SOU 2020:58) till- låts privata certifieringsorgan endast att utfärda certifikat på nivån ”grundläggande” eller ”betydande”. För nivån ”hög”, som kan anses motsvara säkerhetskraven i säkerhetskänslig verksamhet, är det den nationella myndigheten för cybersäkerhetscertifiering som är behörig.<SPAN class="ft79">18 </SPAN>Med den utgångspunkten uppkommer frågan <SPAN class="ft45">hur </SPAN>formerna för arbe- tet med att ta fram en nationell kravbild ska se ut och <SPAN class="ft45">vilken </SPAN>eller <SPAN class="ft45">vilka </SPAN>myndigheter som bör ansvara för detta arbete.</P>
<P class="p753 ft107"><SPAN class="ft56">17</SPAN><SPAN class="ft105">Denna ordning beskrivs i utredningens delbetänkande </SPAN><SPAN class="ft106">EU:s cybersäkerhetsakt – komplette- rande bestämmelser om cybersäkerhetscertifiering </SPAN>(SOU 2020:58). Där beskrivs certifiering och betydelsen av standarder i evaluerings- och certifieringsarbetet (s. 75 ff.).</P>
<P class="p754 ft41"><SPAN class="ft56">18</SPAN><SPAN class="ft82">Se avsnitt 3.5 i delbetänkandet.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">405</P>
</DIV>
</DIV>
<DIV id="page_407">
<DIV id="p407dimg1">
<INGENBILD zsrc="H9B363407x1.jpg/" id="p407img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Certifiering av nätverks- och informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p255 ft20">Tidigare och pågående arbete med kravställning</P>
<P class="p220 ft19">Utredningen kan notera att berörda myndigheter har inom ramen för samverkan i SAMFI bedrivit olika arbeten för att ta fram gemen- samma skyddsprofiler för <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer.</NOBR></P>
<P class="p73 ft60"><SPAN class="ft46">I den </SPAN>Nationella handlingsplanen för samhällets informationssäkerhet <SPAN class="ft46">från 2012 redogörs för arbetet och där bl.a. målet för detta anges som:</SPAN></P>
<P class="p755 ft12">Att svenska myndigheter, och andra verksamheter, ska få stöd vid upp- handling av <NOBR>it-säkerhetsprodukter,</NOBR> genom att myndigheterna i SAMFI utvecklar en serie skyddsprofiler. Skyddsprofilerna utgör grund för minimikrav på säkerhetsfunktioner och granskning av sådana produkter som har stor betydelse för verksamheters informationssäkerhet.<SPAN class="ft80">19</SPAN></P>
<P class="p541 ft21">Den föreslagna åtgärden innebar att bl.a.:</P>
<P class="p34 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">utveckla och certifiera skyddsprofiler,</SPAN></P>
<P class="p361 ft23"><SPAN class="ft21">–</SPAN><SPAN class="ft147">ta fram föreskrifter (MSB) med krav på </SPAN><NOBR>it-produkternas</NOBR> säkerhets- egenskaper, baserade på kraven i certifierade skyddsprofiler, och</P>
<P class="p361 ft18"><SPAN class="ft21">–</SPAN><SPAN class="ft66">ta fram råd och anvisningar för hur verksamheter kan använda produkter som certifieras för att uppnå god informationssäkerhet.</SPAN></P>
<P class="p450 ft17">Genomförandet av arbetet med föreslagna åtgärder skulle ske enligt följande:</P>
<P class="p449 ft19"><SPAN class="ft21">–</SPAN><SPAN class="ft160">Arbetet med skyddsprofiler skulle genomföras av MSB med stöd av FMV/CSEC och experter från övriga myndigheter i SAMFI.</SPAN></P>
<P class="p756 ft19"><SPAN class="ft21">–</SPAN><SPAN class="ft160">Arbetet med föreskrifter med krav på </SPAN><NOBR>it-produkternas</NOBR> säkerhets- egenskaper skulle genomföras av MSB i samverkan med FMV/ CSEC och Försvarsmakten samt andra berörda aktörer.</P>
<P class="p624 ft49"><SPAN class="ft17">I </SPAN>Samlad informations- och cybersäkerhetshandlingsplan för åren <NOBR>2019–2022,</NOBR> <SPAN class="ft17">från de myndigheter som tidigare har ingått i SAMFI och numera ingår i det nationella cybersäkerhetscentret, finns föl- jande målsättningar och förslag på åtgärder:</SPAN></P>
<P class="p257 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">etablera och förvalta en referenslista för </SPAN><NOBR>it-säkerhetsprodukter</NOBR> där MSB i samverkan med FMV anges som ansvariga,<SPAN class="ft102">20</SPAN></P>
<P class="p652 ft110"><SPAN class="ft56">19</SPAN><SPAN class="ft86">Kapitel 5.2 – </SPAN>Ökad användning av <NOBR>CC-evaluerade</NOBR> produkter.</P>
<P class="p230 ft41"><SPAN class="ft56">20</SPAN><SPAN class="ft82">Kapitel 1.1.13.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">406</P>
</DIV>
</DIV>
<DIV id="page_408">
<DIV id="p408dimg1">
<INGENBILD zsrc="H9B363408x1.jpg/" id="p408img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td9"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td95"><P class="p2 ft37">Certifiering av nätverks- och informationssystem</P></TD>
</TR>
</TABLE>
<P class="p757 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">utveckla säkerhetskrav för specifika </SPAN><NOBR>it-produkter</NOBR> med FMV i sam- verkan med MSB som ansvariga,<SPAN class="ft102">21</SPAN></P>
<P class="p758 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">utveckling och anskaffning av </SPAN><NOBR>it-säkerhetsprodukter</NOBR> med För- svarsmakten och FMV som ansvariga myndigheter.</P>
<P class="p247 ft17">Utredningen kan notera att det historiska nationella arbetet kring säkerhetskrav på <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> har skett mer systematiskt inom ramen för Försvarsmaktens arbete och då med fokus på det egna behovet och inte primärt generella behov i övriga samhällsviktiga verksamheter. Det arbete som bedrivit utifrån samhällets mer allmänna behov har skett inom ramen för SAMFI och primärt i samarbete mellan MSB och FMV och med stöd av i första hand Försvarsmakten och FRA, vilket framkommer av de handlingsplaner för informations- och cybersäkerhet som redogörs för ovan.</P>
<P class="p187 ft18">Utredningen kan också notera att frågan om kravställning på <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> för samhällsviktig verksam- het är en fråga som angivna ansvariga myndigheter för informations- och cybersäkerhet arbetat med under en längre tid. Det arbete som bedrivits har dock varit av begränsad omfattning vad avser det fak- tiska framtagandet av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> för samhället i stort. En del av förklaringen till detta står sannolikt att finna i att arbetet tidigare bedrivits splittrat hos flera olika myndig- heter med olika ansvar för denna typ av kravställning. Därtill kom- mer att ingen myndighet haft det uttalade direkta ansvaret från reger- ingen att bedriva detta arbete samlat.</P>
<P class="p131 ft20">Närmare om arbetet med att ta fram skyddsprofiler</P>
<P class="p232 ft18">Det kan noteras att det arbete som bedrivits nationellt har från början utgått från CCRA och inom ramen för detta alltmer utifrån arbetet med så kallade <SPAN class="ft45">Collaborative protection profiles </SPAN>(CPP). Arbete med CPP har internationellt bedrivits inom ramen för CCRA och där inom olika arbetsgrupper, s.k. <SPAN class="ft45">International Technical Com- munities </SPAN>(iTC). De iTC som skapas inom ramen för arbetet i CCRA i syfte att ta fram en CPP utgörs främst av olika experter från natio-</P>
<P class="p147 ft41"><SPAN class="ft56">21</SPAN><SPAN class="ft82">Kapitel 1.3.5.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">407</P>
</DIV>
</DIV>
<DIV id="page_409">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Certifiering av nätverks- och informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p81 ft21">nella myndigheter, produktleverantörer, laboratorier, och andra in- tressenter med.</P>
<P class="p325 ft17">I Sverige har arbeten med flera olika CPP genomförts, dels har svenska aktörer deltagit i det internationella arbetet inom ramen för iTC för olika internationella CPP, därtill har ett nationellt arbete bedrivits för <SPAN class="ft49">Virtual Private Network </SPAN>(VPN), brandväggar, VoIP klienter till mobila enheter, m.m. Utgångspunkten för arbetet har varit att dessa <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> även ska kunna tillhandhållas på den internationella marknaden. De centrala myn- digheterna i detta arbete har främst varit FMV och MSB med stöd av Försvarsmakten, och FRA. Även Säkerhetspolisen har i viss utsträck- ning deltagit i arbetet.</P>
<P class="p82 ft46">Utredningen bedömer att det sedan tidigare finns förutsättningar och en god grund för att etablera en mer strukturerad nationell pro- cess för kravställning i samband med certifiering av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer,</NOBR> bl.a. i syfte att skapa förutsättningar att kunna utveckla och få tillgång till certifierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjäns-</NOBR> ter och <NOBR>-processer</NOBR> på nivå ”hög” inom ramen för det europeiska ramverket för cybersäkerhetscertifiering. Efterhand som <NOBR>IKT-pro-</NOBR> dukter, <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> utvecklas av olika aktörer i närings- livet, kommer allt fler sådana certifierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> att finnas tillgängliga och som kan användas inom ramen för såväl säkerhetskänslig verksamhet enligt säkerhetsskydds- lagen (2018:585) och som lagen (2018:1174) om informationssäker- het för samhällsviktiga och digitala tjänster men även inom övrig verksamhet.</P>
<P class="p742 ft18">Sammanfattningsvis gör utredningen bedömningen att denna typ av arbete och reglering av säkerhetsnivåer och krav måste ske i form av sammanhållet ansvar för samhällets informations- och cybersäker- het och utgå från en central instans (myndighet) med sådant ansvar.</P>
<P class="p82 ft18">Utredningen bedömer vidare att eftersom säkerhetsmässiga sam- beroenden är utbredda inom informations- och cybersäkerhetsom- rådet pekar detta mot att gemensamma certifieringsordningar inom ramen för det europeiska ramverket för cybersäkerhetscertifiering i framtiden kan komma att användas i stor utsträckning. Det medför även ett nationellt behov av att gemensamt med andra länder påverka och ta fram relevanta skyddsprofiler till grund för evaluering och certifiering av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> som sker med stöd av det europeiska ramverket för cybersäkerhetscertifiering. Det</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">408</P>
</DIV>
</DIV>
<DIV id="page_410">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td9"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td95"><P class="p2 ft37">Certifiering av nätverks- och informationssystem</P></TD>
</TR>
</TABLE>
<P class="p77 ft18">utbredda säkerhetsberoendet innebär att nationell säkerhet kan till- varatas genom ett aktivt nationellt deltagande i utarbetandet av gemen- samma skyddsprofiler och ett sådant samarbete innebär inte avsteg från den egna rådigheten över nationell säkerhet och försvar.</P>
<P class="p80 ft18">För att kunna bevaka och tillvarata nationella intressen i detta sammanhang måste det finnas en nationell struktur som skapar för- utsättningar för att nationella krav kan bevakas vid <NOBR>hot-,</NOBR> sårbarhets- och riskbedömningar och vid framtagande av skyddsprofiler inom ramen för det europeiska ramverket för cybersäkerhetscertifiering.</P>
<P class="p65 ft18">En annan förutsättning för att ställa krav på att verksamhets- utövare i första hand ska använda certifierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjäns-</NOBR> ter <NOBR>och-processer</NOBR> är att detupprättas en <SPAN class="ft45">nationell sammanställning </SPAN>över certifierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> som bör alternativt inte bör användas i nätverks- och informationssystem i säkerhetskänslig respektive samhällsviktig verksamhet och som under- hålls av en kompetent myndighet (se nedan).</P>
<P class="p759 ft26"><SPAN class="ft26">12.5.5</SPAN><SPAN class="ft140">Behov av nationell sammanställning över certifierade och rekommenderade </SPAN><NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR><SPAN class="ft174">-</SPAN>processer</NOBR></P>
<P class="p760 ft18">Utredningen bedömer att en grundläggande förutsättning för att kunna ställa krav – vid behov med stöd av författning – på att certi- fierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> ska användas i nät- verks- och informationssystem i säkerhetskänslig verksamhet är att det kan ske först när en utvecklad <SPAN class="ft45">sammanställning </SPAN>över certifierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> är tillgänglig. Detta kan t.ex. åstadkommas genom att en utsedd myndighet ges i uppdrag att administrera en katalog med certifierade och rekommenderade IKT- produkter, <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> och som underlättar för en verk- samhetsutövare att planera för och införa säkra nätverks- och in- formationssystem (se nedan).</P>
<P class="p109 ft18">Statliga myndigheter bör – om det inte finns skäl att frångå rekom- mendationerna – utgå från denna sammanställning vid val av tekniska komponenter och lösningar för säkerhet i nätverks- och informa- tionssystem i sin verksamhet. Finns certifierade produkter som möter verksamhetens krav så ska de i första hand användas. Finns det inga certifierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> som möter verk-</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">409</P>
</DIV>
</DIV>
<DIV id="page_411">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Certifiering av nätverks- och informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p125 ft21">samhetens krav bör det rapporteras till myndigheten för att kunna återföras till framtida kravställning.</P>
<P class="p234 ft19">Aktörer som nyttjar <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> från den nationella sammanställningen bidrar även till att skapa en bild över behövliga säkerhetsfunktioner. I den praktiska tillämpningen identifieras brister, risker, nya behov av säkerhetsfunktioner, m.m. och som genererar information som återförs in i systemet för att utgöra grund för att kravställa nästa generation eller version av it- säkerhetsprodukter. Information erhålls direkt från tillverkarna om nya sårbarheter som upptäcks hos aktörerna, vilket kan återföras in i systemet för kommande arbete med kravställning av säkerhet. Vidare kan incidentrapportering och tillsynsverksamhet identifiera risker, sårbarheter eller behov av åtgärder som föds in i systemet. Den föreslagna ordningen bidrar även till en uppdaterad lägesbild över hur, vilka och i vilken omfattning vissa produktkategorier används inom offentlig sektor, dvs. i första hand statliga myndigheter, vilken sedan kan användas för att prioritera vilka fokusområden Sverige bör ha i det kravställande och normerande arbetet på central nivå gentemot kommissionen och Enisa.</P>
<P class="p61 ft18">Det nu redovisade nationella systemet (ordningen) ger enligt utredningens bedömning betydande möjligheter att dra nytta av det europeiska ramverket för cybersäkerhetscertifiering för nationella ändamål när det gäller att stärka informations- och cybersäkerheten generellt i samhället, men särskilt i säkerhetskänslig verksamhet och samhällsviktig verksamhet. Detta förutsätter samtidigt att följande beaktas i den fortsatt utvecklingen av den föreslagna ordningen:</P>
<P class="p761 ft46"><SPAN class="ft115">•</SPAN><SPAN class="ft51">Ska Sverige i större omfattning nyttja certifierade </SPAN><NOBR>IKT-produk-</NOBR> ter, <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> är det nödvändigt att det på nationell nivå sker ett aktivt arbete med kravställning och utveckling på området samt samverkan mellan berörda aktörer i dessa frågor.</P>
<P class="p762 ft18"><SPAN class="ft115">•</SPAN><SPAN class="ft134">Vidare förutsätter det föreslagna ordningen att det finns ett tyd- ligt nationellt engagemang i arbetet med kommissionen och i Enisa:s arbete med det europeiska ramverket för cybersäkerhets- certifiering, dvs. arbetet med de framtida certifieringsordningarna. Om så inte sker finns – enligt utredningens bedömning – en uppen- bar risk för att det uppstår ett läge där Sverige nationellt ställer krav på nyttjande men inte deltar och påverkar utformningen och därmed inte heller utvecklar och tillgodoser säkerheten utifrån</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">410</P>
</DIV>
</DIV>
<DIV id="page_412">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td9"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td95"><P class="p2 ft37">Certifiering av nätverks- och informationssystem</P></TD>
</TR>
</TABLE>
<P class="p763 ft46">nationella behov och krav. Det innebär att stora delar av de resur- ser som tillförs det nationella arbetet med det europeiska ram- verket med cybersäkerhetscertifiering inte kommer det nationella arbetet med att stärka informations- och cybersäkerheten tillgodo.</P>
<P class="p764 ft18"><SPAN class="ft115">•</SPAN><SPAN class="ft175">För att åstadkomma ett ändamålsenligt och effektivt arbete med att stärka informations- och cybersäkerheten måste centrala myn- digheter ges tydliga roller och uppgifter samtidigt som ett aktivt deltagande av svensk industri i arbetet säkerställs. Det innebär att myndigheter med ansvar inom informations- och cybersäkerhet ska få ett tydligt uppdrag att delta i det nationella arbetet inom ramen för respektive ansvarsområde. De författningar som i dag primärt berörs är </SPAN><NOBR>NIS-lagen</NOBR> och säkerhetsskyddslagen, vilket innebär att MSB, Försvarsmakten, Säkerhetspolisen och berörda sektorsmyndigheter utgör centrala aktörer i detta arbete. Vidare måste näringslivet delta i arbetet, bl.a. stora företag som Ericsson, Saab, m.fl. Vidare behöver intresseorganisationer i form av t.ex. Teknikföretagen och Säkerhets- och försvarsföretagen (SOFF) delta, detta för att kunna samla och ge innovationsföretag som kommer beröras av den föreslagna ordningen ökade möjligheter att delta.</P>
<P class="p765 ft18">Sammanfattningsvis anser utredningen att en nationell ordning med framtagande av den kravställning som utredningen föreslår ska tas fram och upprättandet av den ovan angivna sammanställningen be- höver utvecklas omgående och som bidrar till att möta ökade krav på säkerhet i nätverks- och informationssystem i säkerhetskänsliga respektive samhällsviktiga verksamheter. En sådan ordning bedöms också i betydande omfattning bidra till att resultaten av det euro- peiska ramverket för cybersäkerhetscertifiering kan återföras till det nationella arbetet med att stärka säkerheten i nätverks- och informa- tionssystem mer allmänt i samhället men särskilt vad gäller säker- hetskänslig respektive samhällsviktig verksamhet. En sådan ordning kommer därigenom även att i betydande omfattning bidra till att stärka utvecklingen av informations- och cybersäkerheten i totalförsvaret, såväl det civila som det militära försvaret.</P>
<P class="p65 ft46">Utredningen vill samtidigt betona att användningen av certifie- rade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> inte i sig självt skapar ett fullgod skydd och tillräckliga mekanismer för en korrekt och säker informationshantering. Den föreslagna ordningen ska ses som ett kom-</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">411</P>
</DIV>
</DIV>
<DIV id="page_413">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Certifiering av nätverks- och informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p152 ft18">plement och en åtgärd i det systematiska informations- och cyber- säkerhetsarbetet som också understödjer säkerhetsskyddskänslig verk- samhet. Övriga säkerhetsskyddsåtgärder i form av rekommendationer/ vägledningar kring <NOBR>designval/it-arkitektur</NOBR> är en nödvändighet och ut- gör kompletterade åtgärder för att kunna åtgärda många av de allvar- liga brister som för närvarande finns i informations- och cybersäker- heten i många verksamheter, vilket tidigare redovisats i 8 kapitlet.</P>
<P class="p766 ft35"><SPAN class="ft26">12.5.6</SPAN><SPAN class="ft145">Det föreligger f.n. inte behov av en nationell särskild ordning för certifiering i säkerhetskänslig verksamhet</SPAN></P>
<P class="p76 ft17">Utgångspunkten är enligt direktiven att överväga om det finns skäl att införa en nationell särskilt anpassad certifieringsordning för IKT- produkter, <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nätverks- och informationssystem i säkerhetskänslig verksamhet. Under utredningens gång har därför förutsättningarna för att införa en nationell certifieringsordning för <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> eller <NOBR>-processer</NOBR> enbart för säkerhetskänslig verksamhet diskuterats.</P>
<P class="p106 ft46">Som ovan anges måste ett antal grundläggande förutsättningar föreligga och andra faktorer beaktas för att överväga införande av en nationell anpassad ordning för (krav) certifiering av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nätverks- och informationssystem i säker- hetskänslig verksamhet. Dessa är bl.a.:</P>
<P class="p767 ft20"><SPAN class="ft21">–</SPAN><SPAN class="ft65">nuvarande </SPAN>regelsystem för säkerhetskänslig verksamhet<SPAN class="ft21">,</SPAN></P>
<P class="p256 ft49"><SPAN class="ft21">–</SPAN><SPAN class="ft55">tillgång till en </SPAN>gemensam och fastställd nationell kravbild <SPAN class="ft17">som byg- ger på en gemensam </SPAN><NOBR><SPAN class="ft17">hot-,</SPAN></NOBR><SPAN class="ft17"> sårbarhets- och riskbedömning till stöd för arbetet med skyddsprofiler,</SPAN></P>
<P class="p257 ft49"><SPAN class="ft21">–</SPAN><SPAN class="ft55">en </SPAN>nationell sammanställning <SPAN class="ft17">över certifierade och rekommende- rade </SPAN><NOBR><SPAN class="ft17">IKT-produkter,</SPAN></NOBR><SPAN class="ft17"> </SPAN><NOBR><SPAN class="ft17">-tjänster</SPAN></NOBR><SPAN class="ft17"> och </SPAN><NOBR><SPAN class="ft17">-produkter,</SPAN></NOBR></P>
<P class="p258 ft20"><SPAN class="ft21">–</SPAN><SPAN class="ft65">den fortsatta </SPAN>utvecklingen <SPAN class="ft21">av det </SPAN>europeiska ramverket för cyber- säkerhetscertifiering<SPAN class="ft21">, och</SPAN></P>
<P class="p768 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">tillgång till en tillräckligt omfattande </SPAN><SPAN class="ft49">nationell marknad</SPAN>, dvs. till- räcklig utbud och efterfrågan på certifierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjäns-</NOBR> ter och <NOBR>-produkter</NOBR> som skapar ekonomiska incitament för företag tillhandhålla sådana produkter, tjänster och <NOBR>-processer</NOBR> för säker- hetskänslig verksamhet.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">412</P>
</DIV>
</DIV>
<DIV id="page_414">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td9"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td95"><P class="p2 ft37">Certifiering av nätverks- och informationssystem</P></TD>
</TR>
</TABLE>
<P class="p90 ft20">Nuvarande regelsystem</P>
<P class="p232 ft18">Frågan om behovet av och eventuella krav på användning av certi- fierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nätverks- och in- formationssystem i verksamhetsutövares säkerhetskänsliga verksam- het bör i första hand – enligt utredningen bedömning – regleras i föreskrifter som utfärdas av berörda tillsynsmyndigheter och som meddelas med stöd av säkerhetsskyddslagen och säkerhetsskyddsför- ordningen. Vidare bör frågan om eventuella behov och krav dessutom utgöra en central del av det samråd om bl.a. säkerheten i informations- systemet som en verksamhetsutövare ska ha med tillsynsmyndigheten vid framtagande, utveckling och driftsättning av informationssystem i säkerhetskänslig verksamhet. En sådan utvecklad samrådsprocess kan dessutom bidra till att utveckla generella krav och rekommenda- tioner när det gäller ökat utnyttjande av certifierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer.</NOBR></P>
<P class="p187 ft18">I detta sammanhang bör uppmärksammas de svårigheter som uppkommer för en verksamhetsutövare i frågan vem som ska fast- ställa certifieringskrav, säkerhetsprofiler och andra eventuella krav på säkerhetsnivåer, m.m. och som bör ligga till grund för samrådet. Samrådsförfarandet, bl.a. vad avser rådgivning, rekommendationer, säkerhetsbeslut, m.m. i dessa frågor, försvåras redan i dag genom av- saknad av närmare reglering inom detta område.</P>
<P class="p11 ft18">Som framgår ovan bedömer utredningen att gällande regelsystem för säkerhetskänslig verksamhet medger tillsynsmyndigheterna redan i dag att inom ramen för föreskriftsrätten närmare reglera och ställa krav på att en verksamhetsutövare ska använda evaluerade och certi- fierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nätverks- och in- formationssystem när säkerheten i systemet kräver en sådan åtgärd. Tillsynsmyndighetens roll vid samrådet bör inledas redan då sådant system planeras eftersom säkerhet behöver utgöra en central del av nätverks- och informationssystemet funktion och design och där adekvat kravställning och frågan om användande av certifierade IKT- produkter, <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> utgör en viktig del av samrådet.</P>
<P class="p58 ft46">Utredningen anser att denna möjlighet bör prövas i syfte att stärka säkerheten i nätverk- och informationssystem i säkerhetskänslig verk- samhet. Det kan t.ex. avse <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> som kommer att bli framtagna med stöd av det europeiska ramverket för cybersäkerhetscertifiering, företrädesvis på assuransnivån hög,</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">413</P>
</DIV>
</DIV>
<DIV id="page_415">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Certifiering av nätverks- och informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft19">Det kan dock uppstå behov av ytterligare evaluering av sådana pro- dukter, tjänster och produkter med anledning av de nationella säker- hetskrav som finns i säkerhetskänslig verksamhet.</P>
<P class="p769 ft20">Den nuvarande nationella ordningen för certifiering av <NOBR>it-säkerhet</NOBR> i produkter och system</P>
<P class="p285 ft18">Som ovan framgår finns det i dag redan en nationell ordning för certi- fiering av <NOBR>it-säkerhet</NOBR> i produkter och system, även om den ordningen inte närmare reglerar vad som ska gälla för certifiering av <NOBR>IKT-pro-</NOBR> dukter, <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> på det säkerhetsskyddade området. Osäkerhet råder dock kring giltigheten av denna certifieringsord- ning när en motsvarande certifieringsordning fastställs inom ramen för det europeiska ramverket för cybersäkerhetscertifiering. Vidare kan noteras att regeringen har givit FMV i uppdrag att vara nationell cybersäkerhetsmyndighet enligt EU:s cybersäkerhetsakt med uppgif- ter som följer av denna förordning, vilket bl.a. innebär att det nationella certifieringsorganet CSEC, som är en fristående enhet i vid myndig- heten, har ansvar för certifieringar på nivå hög enligt det europeiska ramverket för cybersäkerhetscertifiering. Det råder dock osäkerhet om vilken uppgift och roll som det nationella certifieringsorganet CSEC bör och kan ha, utöver vad som följer av det europeiska ram- verket för cybersäkerhetscertifiering, bl.a. när det kommer till frågan om evaluering och certifiering av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-pro-</NOBR> cesser i säkerhetskänslig verksamhet. Denna fråga behöver utredas ytterligare i belysning av utvecklingen av det europeiska ramverket för cybersäkerhetscertifiering.</P>
<P class="p209 ft20">En gemensam och fastställd nationell kravbild</P>
<P class="p289 ft17">Som ovan framgår är en grundläggande förutsättning i sig för en natio- nell särskild anpassad ordning för certifiering tillgången på en av be- rörda myndigheter gemensam och fastställd nationell kravbild som i sin tur grundas på gemensam <NOBR>hot-,</NOBR> sårbarhets- och riskbedömning, och som kan ligga till grund för framtagande av säkerhetskrav och skyddsprofiler.</P>
<P class="p106 ft18">Utredningen kan konstatera att frågan om kravställning på IKT- produkter, <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> är en fråga som ansvariga myn-</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">414</P>
</DIV>
</DIV>
<DIV id="page_416">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td9"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td95"><P class="p2 ft37">Certifiering av nätverks- och informationssystem</P></TD>
</TR>
</TABLE>
<P class="p77 ft18">digheter för informations- och cybersäkerhet arbetat med under en längre tid. <SPAN class="ft45">I Samlad informations- och cybersäkerhetshandlingsplan för åren </SPAN><NOBR><SPAN class="ft45">2019–2022,</SPAN></NOBR><SPAN class="ft45"> </SPAN>från de myndigheter som tidigare har ingått i SAMFI och numera ingår i det nationella cybersäkerhetscentret framkommer att det dock finns målsättningar och förslag på åtgärder, dock har – enligt uppgift – inte något mer konkret arbete ännu påbörjats.</P>
<P class="p80 ft18">Utredningen bedömer att behovet av ta fram en sådan kravställ- ning är angeläget och att detta arbete bör omgående påbörjas, efter- som det är av betydelse inte bara för möjligheten att åstadkomma ökad säkerhet i nätverks- och informationssystem i säkerhetskänslig verksamhet utan även har stor betydelse för möjligheterna att natio- nellt kunna påverka arbetet med att ta fram och certifiera säkra IKT- produkter, <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> inom ramen för det europeiska ramverket för cybersäkerhetscertifiering.</P>
<P class="p770 ft20">Nationell sammanställning över certifierade och rekommenderade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-produkter</NOBR></P>
<P class="p512 ft19">Som tidigare framgår finns ett stort behov av en nationell samman- ställning över evaluerade och certifierade samt rekommenderade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-produkter</NOBR> som kan användas i såväl säkerhetskänslig verksamhet som verksamhet som rör samhällsvik- tiga och digitala tjänster. Någon sådan sammanställning finns ännu inte och utredningen anser att även arbetet med en sådan samman- ställning bör omgående påbörjas.</P>
<P class="p771 ft20">Utvecklingen och effekter av det europeiska ramverket för cybersäkerhetscertifiering</P>
<P class="p117 ft18">Utvecklingen av olika certifieringsordningar inom ramen för det euro- peiska ramverket för cybersäkerhetscertifiering har betydelse för be- dömningen av behov av ytterligare ordningar för certifiering på natio- nell nivå av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-produkter</NOBR> i nätverks- och informationssystem i säkerhetskänslig verksamhet. Oklarheter om den framtida utvecklingen av och tillämpningsområdet för olika certi- fieringsordningar medför dock svårigheter att bedöma behov av och utformningen av en nationell särskild ordning för evaluering och certi- fiering av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-produkter</NOBR> i nätverks- och</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">415</P>
</DIV>
</DIV>
<DIV id="page_417">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Certifiering av nätverks- och informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p189 ft17">informationssystem i säkerhetskänslig verksamhet. Vidare bör effek- terna – som också Säkerhetspolisen och Försvarsmakten anför – av utvecklingen av det europeiska ramverket för cybersäkerhetscerti- fiering beaktas och utvärderas innan en nationell särskilt anpassat ordning för certifiering införs, även om det inte finns några formella hinder i sig mot en sådan ordning eftersom det gäller frågor som rör bl.a. försvar och säkerhet.</P>
<P class="p70 ft20">Nationell marknad</P>
<P class="p220 ft18">Frågan om ett eventuellt införande av en nationell särskilt anpassad ordning för certifiering av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nätverks- och informationssystem i säkerhetskänslig verksamhet väcker även – som ovan framgår – marknads- och handelsrelaterade frågor. En mer svårbedömd frågeställning är om det finns förutsätt- ningar för försörjning av den svenska marknaden, dvs. tillgång till certifierade och lämpliga <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> för användning i nätverks- och informationssystem i säkerhetskäns- lig verksamhet. Certifiering av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-pro-</NOBR> cesser utförs på initiativ av producerande företag i syfte att vinna konkurrens- eller marknadsfördelar. En evaluering och certifiering innebär kostnader som behöver kalkyleras och göras till en del av beslutsunderlag. Det råder stor osäkerhet om den svenska marknaden är tillräckligt omfattande för att skapa förutsättningar och ekono- miska incitament för aktuella företag att låta evaluera och certifiera <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i enlighet med nationella krav på säkerhet. Det förefaller inte självklart att företag med en global marknad för <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> kommer att få eller ha incitament att lägga resurser och i detta sammanhang inte obetydliga kostnader för certifiering som ger tillgång till en i sam- manhanget – globalt sett – mycket begränsad marknad.</P>
<P class="p106 ft18">Vidare riskerar nationella certifieringskrav som t.ex. inte ansluter till gemensamma standarder att i betydande mån begränsa utbudet av tillgängliga <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> och därigenom också negativt påverka samhällets cybersäkerhet och förmåga till att upprätthålla och utveckla säkerhetsskydd. Om en sådan ordning om- fattar <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> som också omfattas av krav på nationella godkännanden medför detta att Sverige kan</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">416</P>
</DIV>
</DIV>
<DIV id="page_418">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td9"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td95"><P class="p2 ft37">Certifiering av nätverks- och informationssystem</P></TD>
</TR>
</TABLE>
<P class="p77 ft18">komma att ställa krav som går utöver de som gemensamt beslutats inom t.ex. det europeiska kryptosamarbetet. Detta skulle innebära att svenska företag på området skulle få konkurrensnackdelar gentemot övrig europeisk industri på området. Det väcker även frågan om det finns risk för uppkomsten av handelshinder gentemot andra med- lemsstater som godkänt <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> inom ramen för t.ex. det europeiska kryptosamarbetet.</P>
<P class="p80 ft46">Utredningen bedömer att även ovan angivna marknads- och han- delsrelaterade frågor behöver analyseras ytterligare innan det kan bli aktuellt att införa en nationell ordning av det aktuella slaget.</P>
<P class="p772 ft45">Slutsatser i frågan om behovet av en nationell särskilt anpassad ordning för certifiering av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nätverks- och informationssystem i säkerhetskänslig verksamhet</P>
<P class="p67 ft17">För att en nationell särskilt anpassad ordning för certifiering ska ha förutsättningar att fungera ställs krav på strukturer, funktioner och processer som i dag i viss mån saknas. Det har inte varit möjligt för utredningen att inom ramen för uppdraget, främst på grund av till- gänglig tid och resurser, att i tillräcklig omfattning utreda alla dessa frågor och det väcker även frågan om angivna frågor kan anses rym- mas i uppdraget som det formulerats i direktiven. Att utreda, överväga och föreslå om, och i sådana fall, hur angivna strukturer, funktioner och processer kan skapas och hur de bör och kan fungera, kräver i flera av frågorna långtgående analyser och klargöranden. Det har inte bedömts möjligt att inom ramen för utredningen – och som upp- draget formulerats – att genomföra denna typ av djupgående analy- ser och utredningar.</P>
<P class="p109 ft18">Flera av de ovan behandlade frågeställningarna är av sådan grund- läggande karaktär och behöver bli föremål för en djupare och samlad analys varför ett förslag att införa en nationell särskilt anpassad ord- ning för certifiering av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nät- verks- och informationssystem i säkerhetskänslig verksamhet för närvarande inte är lämplig och skulle sannolikt inte heller framgångs- rikt kunna omsättas i praktik. Flera av de ovan angivna frågeställ- ningarna indikerar dessutom på behov av omfattande undantag från obligatoriskt användande av certifierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">417</P>
</DIV>
</DIV>
<DIV id="page_419">
<DIV id="p419dimg1">
<INGENBILD zsrc="H9B363419x1.jpg/" id="p419img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Certifiering av nätverks- och informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p773 ft21">och <NOBR>-processer</NOBR> i aktuell verksamhet.<SPAN class="ft102">22 </SPAN>Sådana behov av undantag kom- mer troligen också främst att uppkomma hos de myndigheter som i störst omfattning redan hanterar skyddsvärd information och skydds- värda system.</P>
<P class="p679 ft18">Sammanfattningsvis bedömer utredningen att det för närvarande inte finns tillräckliga skäl att införa en nationell särskilt anpassad ord- ning med krav på certifiering av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-pro-</NOBR> cesser som används i säkerhetskänslig verksamhet</P>
<P class="p82 ft18">Det är viktigt att åtgärder som planeras införs fullt ut först när nationell kravställning och en sammanställning med certifierade och rekommenderade <NOBR>IKT-produkter.</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> finns till- gänglig. Samtidigt kommer verksamheter som omfattas av nationella godkännanden, t.ex. kryptoprodukter och specifika verksamheter med särskilda krav och förutsättningar, att eventuellt behöva undan- tas från en nationell certifieringsordning på området.</P>
<P class="p83 ft17">Utredningen kan samtidigt notera att frågan om krav på och användning av certifierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nätverks- och informationssystem bör kunna utgöra del i det för- stärkta samråd som är under införande och där även Säkerhetspolisen och Försvarsmakten föreslås få möjlighet att besluta åtgärdsföre- läggande och förbjuda driftsättning i de fall systemen inte bedöms som säkra (se vidare kapitel 13.).</P>
<P class="p774 ft63">Behov av att öka användningen av certifierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i statlig verksamhet</P>
<P class="p338 ft18">Utredningen vill i detta sammanhang samtidigt framhålla att det finns behov av att öka användningen av certifierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i statlig verksamhet. Det är i dag upp till en statlig myndighet, dvs. verksamhetsutövare, att själv avgöra om en <NOBR>IKT-produkt,</NOBR> <NOBR>-tjänst</NOBR> eller <NOBR>-process</NOBR> är tillräckligt säker, att eventuella kryptofunktioner är korrekt implementerade och att det finns säker- hetsfunktioner som är granskade av någon annan än tillverkaren själv. Det är således upp till varje myndighet, dvs. verksamhetsutövare, att</P>
<P class="p775 ft87"><SPAN class="ft56">22</SPAN><SPAN class="ft90">Till detta kommer att det kan finnas behov av att en nationell certifieringsordning anpassad för säkerhetskänslig verksamhet skapar synergier med eventuella krav, till följd av </SPAN><NOBR>NIS2-direk-</NOBR> tivet, att väsentliga och viktiga entiteter certifierar viss IKT enligt särskilda europeiska ord- ningar för cybersäkerhetscertifiering.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">418</P>
</DIV>
</DIV>
<DIV id="page_420">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td9"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td95"><P class="p2 ft37">Certifiering av nätverks- och informationssystem</P></TD>
</TR>
</TABLE>
<P class="p126 ft21">på eget ansvar avgöra behovet av att använda certifierade <NOBR>IKT-pro-</NOBR> dukter, <NOBR>-tjänster</NOBR> och <NOBR>-processer.</NOBR></P>
<P class="p522 ft18">Myndigheten för samhällsskydd och beredskap (MSB) anger i och för sig i myndighetens allmänna råd att en statlig myndighet bör <SPAN class="ft45">överväga </SPAN>– vid anskaffning av informationssystem – att välja produk- ter som är certifierade genom tredjepartsgranskning mot etablerad standard, med det är endast en rekommendation. En sådan åtgärd är därför frivillig för statliga myndigheter och det är oklart för utred- ningen i vilken utsträckning som myndigheterna följer detta råd.</P>
<P class="p65 ft18">Utredningen bedömer – som tidigare anges – att informations- och cyberssäkerheten i statliga myndigheters verksamhet behöver stärkas och en åtgärd är att myndigheterna i större utsträckning använder certifierade kommersiella <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nätverks- och informationssystem i verksamheten om inte detta fram- står som olämpligt eller omöjligt att genomföra. Även om utred- ningen bedömer att det för närvarande inte finns förutsättningar för att införa en nationell särskilt anpassad ordning med krav på certi- fiering av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-produkter</NOBR> i nätverks- och informationssystem i säkerhetskänslig verksamhet bedömer utred- ningen att det bör vidtas åtgärder som kan öka användningen av sådana produkter, tjänster och processer generellt i statliga myndig- heters verksamhet. Det kan t.ex. övervägas om det bör ställas krav på att certifierade, även kommersiella, <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> ska användas i nätverks- och informationssystem i övrig verksamhet om det inte finns skäl för undantag från en sådan skyl- dighet. En sådan ordning saknas för närvarande, eftersom det är upp till varje statlig verksamhetsutövare att i enlighet med ansvarsprin- cipen själv bedöma och besluta om vilka åtgärder som är nödvändiga för att stärka informations- och cybersäkerheten i den egna verk- samheten.</P>
<P class="p776 ft18">Genom att ställa krav på att statliga myndigheter att de bör an- vända certifierade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> så skapas en ordning som förutom att bidra till att stärka säkerheten i nät- verks- och informationssystem även kan bidra till att generera nöd- vändig eller behövlig information och som bidrar till att utveckla kravställningen och grundnivån på säkerheten i <NOBR>IKT-produkter,</NOBR> <NOBR>-tjäns-</NOBR> ter och <NOBR>-processer</NOBR> i nätverks- och informationssystem.</P>
<P class="p109 ft46">En ordning som innebär att i första hand bör certifierade, även kommersiella, <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> användas skulle</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">419</P>
</DIV>
</DIV>
<DIV id="page_421">
<DIV id="p421dimg1">
<INGENBILD zsrc="H9B363421x1.jpg/" id="p421img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Certifiering av nätverks- och informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft18">ge statliga myndigheter, men även andra aktörer, ett stöd i val av it- säkerhetsprodukter. Det skulle också medföra att det skapas ett grundläggande fundament som kan utvecklas vidare för att stärka säkerheten i nätverks- och informationssystem i olika verksamheter och därigenom även bidra till att möta krav i den säkerhetskänsliga verksamheten. Ett sådant grundläggande fundament saknas dock för närvarande eftersom det är upp till varje statlig verksamhetsutövare att i enlighet med ansvarsprincipen själv bedöma och besluta om vilka åtgärder som är nödvändiga för att stärka informations- och cybersäkerheten i den egna verksamheten.</P>
<P class="p777 ft176">Figur 12.1 Effekter av ökad användning av certifierade</P>
<P class="p778 ft29"><NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR></P>
<P class="p779 ft18">Ökade krav på användning och en ökad tillgång på certifierade IKT- produkter, <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> bidrar till att generera kunskap och erfarenheter som kan återföras in i den nationella ordningen utan att behöva röja att produkten, tjänsten och processen används i säkerhetskänslig verksamhet. Granskning (evaluering) av de tillkom- mande funktions- och säkerhetskrav på <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">420</P>
</DIV>
</DIV>
<DIV id="page_422">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td9"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td95"><P class="p2 ft37">Certifiering av nätverks- och informationssystem</P></TD>
</TR>
</TABLE>
<P class="p77 ft46">och <NOBR>-processer</NOBR> i nätverks- och informationssystem som används i säkerhetskänslig verksamhet, och som det europeiska ramverket för cybersäkerhetscertifiering inte omhändertar, kan ske genom den kompletterande nationella granskning (evaluering) som redan i dag sker, bl.a. med stöd av Säkerhetspolisens och Försvarsmaktens sam- råds- och tillsynsverksamhet samt föreskrifter på område. Vidare kan genom tillsynsverksamheten av säkerhetsskydd kunskap och erfarenheter vinnas när det gäller omfattning av nyttjandegraden av olika <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer,</NOBR> vilket kan bidra till att kraftsamla nationella resurser i kravställningen för olika framtida produktkategorier inom bl.a. det europeiska ramverket för cyber- säkerhetscertifiering. Även implementeringsval och design i säker- hetskänslig verksamhet kan påverka kravbilden när det gäller utform- ning och funktionalitet på produkter och tjänster som används i sådan verksamhet.</P>
<P class="p780 ft18">Detta medför också att den befintliga verksamheten i det natio- nella certifieringsorganet CSEC vid Försvarets materielverk (FMV) bör kunna utnyttjas på ett mer ändamålsenligt och kostnadseffektivt sätt i verksamhet som gäller evaluering och certifiering av IKT- produkter, <NOBR>-tjänster</NOBR> och <NOBR>-processer,</NOBR> även sådana som används i nät- verks- och informationssystem i säkerhetskänslig verksamhet. FMV och dess certifieringsorgan bör därigenom även kunna utvecklas till att – utöver att vara nationell cybersäkerhetsmyndighet enligt det europeiska ramverket för cybersäkerhetscertifiering – utgöra en natio- nell resurs för kompletterande nationella granskningar av <NOBR>IKT-pro-</NOBR> dukter, <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nätverks- och informationssystem i bl.a. säkerhetskänslig verksamhet. I detta samarbete bedöms också Försvarsmakten och Försvarets radioanstalt behöva bidra, framför allt med kompetens inom kryptologi och frågor som rör kryptolös- ningar. Samverkan bör även ske med Myndigheten för samhällsskydd och säkerhet, även om myndigheten i dag inte har några formella uppgifter inom ramen för säkerhetskyddsregleringen. Myndigheten har dock i uppdrag och en central roll med att stärka informations- och cybersäkerheten i samhället mer allmänt och även en central roll när det gäller informations- och cybersäkerhet i nätverks- och infor- mationssystem i samhällsviktiga och digitala tjänster.</P>
<P class="p119 ft46">Sammantaget gör utredningen bedömningen att alla åtgärder som tar sikte på att stärka säkerheten i nätverks- och informationssystem som inte omfattas av reglering av säkerhetsskyddskänslig verksam-</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">421</P>
</DIV>
</DIV>
<DIV id="page_423">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Certifiering av nätverks- och informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p189 ft17">het bidrar till att mer allmänt höja nivån på informations- och cyber- säkerhet hos statliga myndigheter och därigenom även inom det säkerhetskänsliga området.</P>
<P class="p73 ft18">Utredningen kan samtidigt konstatera att frågan om eventuell ytterligare reglering av och krav på åtgärder mer allmänt för att stärka <NOBR>informations-och</NOBR> cybersäkerheten i statliga myndigheter inte om- fattas av utredningens uppdrag, som är begränsat till den säkerhets- känsliga verksamheten, och frågeställningen behandlas utöver vad som ovan framhållits därför inte ytterligare i detta betänkande.</P>
<P class="p70 ft48"><SPAN class="ft48">12.6</SPAN><SPAN class="ft135">Uppdrag till berörda myndigheter</SPAN></P>
<P class="p71 ft46">Utredningen bedömer att arbetet med att ta fram en nationell krav- ställning, dvs. en gemensamt framtagen och fastställd kravställning som grundas på en gemensam <NOBR>hot-,</NOBR> sårbarhets- och riskbedömning, och som kan ligga till grund för arbetet med att ta fram säkerhetskrav och skyddsprofiler för att evaluera och certifiera <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i bl.a. nätverks- och informationssystem bör påbörjas omgående. En sådan kravställning är också av stor nationell betydelse för att kunna påverka arbetet inom ramen för det euro- peiska ramverket för cybersäkerhetscertifiering. Vidare bör även arbetet med att ta fram en nationell sammanställning över certifie- rade och rekommenderade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> för användning inom främst säkerhetskänslig och samhällsviktig verk- samhet påbörjas.</P>
<P class="p781 ft20">Vilken myndighet som bör ansvara för detta arbete?</P>
<P class="p76 ft17">När det gäller frågan vilken eller vilka myndigheter som bör ges upp- giften och ansvaret för att leda och genomföra detta arbete kan ett antal myndigheter övervägas.</P>
<P class="p73 ft18">Försvarsmakten har etablerade strukturer för denna typ av krav- ställning. Myndighetens huvudsakliga uppgift finns dock i första hand på det militära försvarsområdet till stöd för Sveriges säkerhet varför en sådan uppgift framstår som mindre lämplig för den myn- digheten. Däremot bör myndigheten kunna delta i och stödja arbetet med att ta fram säkerhetskrav för <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-pro-</NOBR> cesser inom andra samhällsviktiga verksamheter.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">422</P>
</DIV>
</DIV>
<DIV id="page_424">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td9"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td95"><P class="p2 ft37">Certifiering av nätverks- och informationssystem</P></TD>
</TR>
</TABLE>
<P class="p655 ft18">När det gäller Säkerhetspolisen så kan även den myndigheten övervägas då myndigheten har en helhetsbild över de hot som finns mot det civila samhällets säkerhetskänsliga verksamheter och kan därför vara den myndighet som har detta ansvar för kravställningen. Myndigheten har dock – på motsvarande sätt som Försvarsmakten</P>
<P class="p658 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft76">i första hand ett ansvar för Sveriges säkerhet (förutom militärt för- svar) och inte ansvar för generell säkerhet för IKT för all samhälls- viktig verksamhet.</SPAN></P>
<P class="p65 ft17">FRA har en mycket djup och omfattande teknisk kompetens inom informations- och cybersäkerhetsområdet. Myndigheten har också i uppdrag att stödja Försvarsmakten i verksamhet som avser utveckling och vidmakthållande av Försvarsmaktens cyberförsvars- förmåga. Verksamheten inom FRA är dock mer av teknisk karaktär där den förmåga myndigheten besitter är kritisk för Sveriges säker- het och där fokus är att nyttja denna unika förmåga till att stödja andra verksamheter. Med det som utgångspunkt är myndighetens roll mer att stödja i arbetet med att ta fram de mer tekniska kraven i en ordning som nu övervägs.</P>
<P class="p119 ft18">Utredningen bedömer att alla dessa tre myndigheter dock är cen- trala – var och en utifrån sina förutsättningar – för det kvalificerade arbetet som behöver ske i samband med att det tas fram en nationell kravställning för <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer.</NOBR></P>
<P class="p65 ft18">MSB har i dag ett brett uppdrag och mandat på området för sam- hällets informations – och cybersäkerhet och har som ovan framgår en roll och uppgift på området inom ramen för <NOBR>SAMFI-arbetet.</NOBR> MSB har även ett övergripande ansvar för att utfärda föreskrifter och allmänna råd för statliga myndigheters informationssäkerhet och för verksamheter som avser samhällsviktiga och digitala tjänster (NIS- lagen). Inom ramen för <NOBR>NIS-arbetet</NOBR> sker också sedan flera år tillbaka ett strukturerat arbete mellan MSB och de myndigheter som har tillsynsansvar för de samhällsviktiga sektorer som NIS omfattar. Detta samarbete ger framöver också en möjlighet för MSB att struk- turerat få del av de utmaningar som dessa samhällskritiska sektorer har vad avser IKT. Denna kunskap kan vägas samman med den unika kunskap avseende kvalificerade hot- och riskbedömningar som För- svarsmakten, Säkerhetspolisen och FRA besitter.</P>
<P class="p109 ft46">MSB har teknisk kompetens på området genom det arbete som myndigheten bedriver i sitt systematiska informationssäkerhetsarbete men myndigheten skulle behöva att i viss omfattning stärka den</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">423</P>
</DIV>
</DIV>
<DIV id="page_425">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Certifiering av nätverks- och informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p60 ft19">djupa tekniska kompetensen som krävs för det samlade arbetet med kravställning för <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i nätverks- och informationssystem i säkerhetskänslig verksamhet. Härtill kom- mer att myndighetens ansvarsområde formellt inte omfattar verk- samhet inom den säkerhetskänsliga verksamheten, som primärt är Säkerhetspolisens och Försvarsmaktens ansvarsområden inom re- spektive tillsynsområde.</P>
<P class="p129 ft17">FMV är den myndighet som nu har den högsta kompetensen när det kommer till frågor som rör evaluering och certifiering av IKT- produkter, <NOBR>-tjänster</NOBR> och <NOBR>-produkter.</NOBR> Myndigheten har vidare – i linje med de bedömningar och förslag som lämnats i utredningens del- betänkande (SOU 2020:58), och som delas av regeringen, – fått del- vis nya uppgifter på området, bl.a. som nationell myndighet för cybersäkerhetscertifiering.</P>
<P class="p83 ft46">FMV framstår mot den bakgrunden som lämplig myndighet att få i uppgift och ansvar att leda och organisera arbetet med att ta fram struktur för en nationell kravställning, dvs. en gemensamt framtagen och fastställd kravställning som grundas på en gemensam <NOBR>hot-,</NOBR> sår- barhets- och riskbedömning, och som kan ligga till grund för arbetet med att ta fram säkerhetskrav och skyddsprofiler för att evaluera och certifiera <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i bl.a. nätverks- och informationssystem. En sådan kravställning är också av stor natio- nell betydelse för att kunna påverka arbetet inom ramen för det europeiska ramverket för cybersäkerhetscertifiering, där myndighe- ten också har en viktig uppgift som nationell myndighet för cyber- säkerhetscertifiering. I uppgiften bör även ingå att överväga hur arbetet med att ta fram en nationell sammanställning över certifie- rade och rekommenderade <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> för användning inom främst säkerhetskänslig och annan samhälls- viktig verksamhet kan utföras.</P>
<P class="p679 ft46">Ett första steg i att etablera en ordning som denna bör vara ett regeringsuppdrag till FMV att i samråd med Försvarsmakten, Säker- hetspolisen, FRA och MSB, ta fram ett närmare förslag till hur en ordning som den nu föreslagna kan etableras till den 1 januari 2023.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">424</P>
</DIV>
</DIV>
<DIV id="page_426">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td9"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td95"><P class="p2 ft37">Certifiering av nätverks- och informationssystem</P></TD>
</TR>
</TABLE>
<P class="p655 ft18">Detta myndighetsgemensamma arbete bedrivs lämpligen inom ramen för det cybersäkerhetscentrum som nu etablerats av Försvars- makten, MSB, FRA och Säkerhetspolisen och där även flera andra myndigheter av vikt för en ordning som denna redan ingår.</P>
<P class="p108 ft17">I uppdraget bör också ingå att samråda och samverka med de myndigheter som har tillsynsansvar inom <NOBR>NIS-området.</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">425</P>
</DIV>
</DIV>
<DIV id="page_427">
</DIV>
<DIV id="page_428">
<DIV id="p428dimg1">
<INGENBILD zsrc="H9B363428x1.jpg/" id="p428img1">
</DIV>
<P class="p782 ft109"><SPAN class="ft16">13</SPAN><SPAN class="ft168">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</SPAN></P>
<P class="p711 ft21"><SPAN class="ft26">Förslag: </SPAN>Säkerhetsskyddsförordningens bestämmelser om för- beredande åtgärder inför driftsättning av informationssystem ska överföras till säkerhetsskyddslagen.</P>
<P class="p783 ft18">Dessutom införs krav på verksamhetsutövaren att pröva om en driftsättning av ett informationssystem i säkerhetskänslig verk- samhet, eller en väsentlig förändring av informationssystemet, är lämplig ur säkerhetsskyddssynpunkt. Lämplighetsprövningen ska, liksom den särskilda säkerhetsskyddsbedömningen, dokumen- teras. Om lämplighetsprövningen leder till bedömningen att det planerade förfarandet är olämpligt från säkerhetsskyddssynpunkt får det inte inledas. Om lämplighetsprövningen leder till bedöm- ningen att det planerade förfarandet inte är olämpligt från säker- hetsskyddssynpunkt ska verksamhetsutövaren i vissa fall samråda med samrådsmyndigheten (Säkerhetspolisen eller Försvarsmakten). Eventuella samråd med Säkerhetspolisen eller Försvarsmakten ska emellertid inte begränsas till en skriftlig process.</P>
<P class="p784 ft18">Även samrådsmyndigheten ska ha rätt att initiera samråd. Sam- rådsmyndigheten ska inom ramen för ett samråd kunna besluta åtgärdsföreläggande mot verksamhetsutövaren. Om ett sådant före- läggande inte följs eller om det planerade förfarandet är olämpligt från säkerhetsskyddssynpunkt även om ytterligare åtgärder vidtas, ska samrådsmyndigheten få besluta att driftsättningen eller för- ändringen av informationssystemet inte får genomföras (förbud).</P>
<P class="p785 ft17">Befintligt krav på att verksamhetsutövaren ska godkänna drift- sättningen av ett informationssystem som ska användas i säker- hetskänslig verksamhet ska uppfyllas efter samrådet.</P>
<P class="p786 ft31">427</P>
</DIV>
<DIV id="page_429">
<DIV id="p429dimg1">
<INGENBILD zsrc="H9B363429x1.jpg/" id="p429img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t27">
<TR>
<TD class="tr10 td69"><P class="p2 ft31">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p787 ft18"><SPAN class="ft59">Bedömning: </SPAN>Även med beaktande av de ändringar i säkerhets- skyddslagen (2018:585) som regeringen nyligen föreslagit finns behov av att ytterligare stärka säkerheten i nätverks- och infor- mationssystem som ska användas i säkerhetskänslig verksamhet. Ett krav på att informationssystem som behandlar vissa säker- hetsklassificerade uppgifter, eller andra informationssystem där obehörig åtkomst kan medföra en skada för Sveriges säkerhet, ska godkännas av en utpekad central myndighet före driftsättning torde i sammanhanget kunna bidra till ökad säkerhet. För närvarande finns emellertid övervägande skäl att i stället först utvärdera vilka effekter de kompletterande säkerhetsskyddsbestämmelserna, i för- ening med en stärkt samrådsroll, har.</P>
<P class="p781 ft48"><SPAN class="ft48">13.1</SPAN><SPAN class="ft135">Inledning och utgångspunkter</SPAN></P>
<P class="p71 ft18">I utredningsdirektiven anges att särskilda krav på säkerhet måste kunna ställas på nätverks- och informationssystem för att skydda nationell säkerhet. Utredningen ska enligt direktiven överväga om det finns anledning att införa krav på godkännande från en utpekad myn- dighet av <NOBR>IKT-produkter,</NOBR> <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> inom nätverks- och informationssystem som ska tas i drift i viss eller all säkerhets- känslig verksamhet. I detta kapitel redogörs för utredningens analys, överväganden och förslag i frågan om det bör införas ett sådant krav. Frågan om behovet av krav på certifiering av nätverks- och infor- mationssystem i säkerhetskänslig verksamhet har behandlats i före- gående kapitel.</P>
<P class="p106 ft18">Utredningen är enligt utredningsdirektiven också fri att lämna sådana författningsförslag som i övrigt behövs och är lämpliga. Vid bedömningen av om det finns behov av ett nytt krav på formellt för- handsgodkännande behöver en jämförelse göras med det befintliga systemet och de av regeringen föreslagna ändringarna i säkerhets- skyddslagen som avses träda i kraft den 1 december 2021 (se propo- sitionen <SPAN class="ft45">Ett starkare skydd för Sverige säkerhet </SPAN>[prop. 2020/21:194]). I sammanhanget är effekterna av en utvidgad samrådsskyldighet och utökade tillsynsbefogenheter av särskilt intresse. En stärkt samråds- roll för Säkerhetspolisen och Försvarsmakten är ett tänkbart alter- nativ till godkännandeförfarandet som övervägs närmare.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">428</P>
</DIV>
</DIV>
<DIV id="page_430">
<DIV id="p430dimg1">
<INGENBILD zsrc="H9B363430x1.jpg/" id="p430img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td96"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td49"><P class="p2 ft37">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
</TR>
</TABLE>
<P class="p601 ft18">Som berörts i det föregående är begreppsanvändningen på infor- mationssäkerhetsområdet inte helt konsekvent. Flera <NOBR>EU-dokument,</NOBR> såsom <NOBR>NIS-direktivet,</NOBR> EU:s cybersäkerhetsakt m.fl., omfattar <SPAN class="ft45">nät- verks- och informationssystem </SPAN>medan begreppet <SPAN class="ft45">informationssystem </SPAN>företrädesvis används på säkerhetsskyddsområdet. Enligt vissa natio- nella definitioner kan nätverk ingå i begreppet informationssystem (se t.ex. MSBFS 2020:7). Med informationssystem avses enligt säker- hetsskyddsförordningen (2018:658) ett system av sammansatt mjuk- och hårdvara som behandlar information (5 §). Med hänsyn till den begreppsanvändning som är dominerande i Sverige vad beträffar säker- hetsskydd använder utredningen i detta kapitel främst begreppet infor- mationssystem när författning relaterar till det. I avsnitt 11.2 redogörs närmare för övervägandena kring begreppen.</P>
<P class="p131 ft48"><SPAN class="ft48">13.2</SPAN><SPAN class="ft135">Allvarliga brister i informationssäkerheten</SPAN></P>
<P class="p6 ft26"><SPAN class="ft26">13.2.1</SPAN><SPAN class="ft140">Utredningar och kartläggningar</SPAN><SPAN class="ft102">1</SPAN></P>
<P class="p232 ft45"><SPAN class="ft18">Som framgår av kapitel 8 har </SPAN>Utredningen om vissa säkerhetsskydds- frågor <SPAN class="ft18">(SOU 2018:82) identifierat ett antal allvarliga problem och brister i säkerhetsskyddsarbetet i Sverige. Enligt denna utredning gäller vissa av bristerna säkerhetsskyddet generellt, t.ex. att verksam- hetsutövaren inte tillämpar säkerhetsskyddsreglerna eller har bris- tande kunskap om sina skyddsvärden. Det konstateras att det finns verksamheter av stor betydelse för Sveriges säkerhet som inte alls tillämpar säkerhetsskyddslagens bestämmelser. Utöver att medveten- heten om säkerhetsskyddsregleringen är för dålig hos vissa verksam- hetsutövare kopplas problemen till att säkerhetsskyddsarbetet inte har en tillräckligt framskjuten roll inom verksamheten. Andra bris- ter handlar specifikt om olika förfaranden där utomstående involve- ras i den säkerhetskänsliga verksamheten. Bristerna handlar om att man inte alltid prövar om förfarandet är lämpligt eller att det är svårt att pröva lämpligheten, att säkerhetsskyddsavtal kan vara bristfälliga, att man inte följer upp förfarandet medan det pågår och att det sak- nas tillräckliga möjligheter för samhället att ingripa mot förfaranden</SPAN></P>
<P class="p788 ft41"><SPAN class="ft56">1</SPAN><SPAN class="ft82">Se kap. 8 för en utförligare redogörelse av bristerna i informationssäkerheten.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">429</P>
</DIV>
</DIV>
<DIV id="page_431">
<DIV id="p431dimg1">
<INGENBILD zsrc="H9B363431x1.jpg/" id="p431img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t27">
<TR>
<TD class="tr10 td69"><P class="p2 ft31">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p403 ft21">som är olämpliga från säkerhetsskyddssynpunkt.<SPAN class="ft102">2 </SPAN>Denna uppfatt- ning delas av regeringen.<SPAN class="ft102">3</SPAN></P>
<P class="p106 ft18">Av kapitel 8 framgår vidare att det genomförts ett stort antal ut- redningar om och kartläggningar av informationssäkerheten i Sverige det senaste decenniet. Som utredningen anfört i kapitel 3 görs be- dömningen att detta underlag får anses ge en tillräckligt säker bild av förekommande brister i nationell informationssäkerhet.</P>
<P class="p73 ft17">Nedan redogörs för vad som i huvudsak framkommit om bris- terna i syfte att belysa om det finns ytterligare behov av åtgärder för att öka säkerheten i nätverk och informationssystem.</P>
<P class="p73 ft127">När det gäller informationssäkerhet inom ramen för säkerhets- skyddet har det identifierats behov av att förtydliga och utvidga säker- hetsskyddschefens roll i arbetet med att ta fram och bibehålla ett väl anpassat skydd. Behovet har bl.a. framkommit genom flera upp- märksammade händelser de senaste åren där det visat sig att centrala verksamhetsutövare haft ett eftersatt säkerhetsskydd. Ett exempel är den upphandling om förändrad <NOBR>it-drift</NOBR> hos Transportstyrelsen som medförde att säkerhetsskyddsklassificerade och av andra skäl sekretess- belagda uppgifter hanterades på ett sätt som stred mot svensk lag. Under 2017 genomfördes därför en granskning av upphandlingen som redovisas i promemorian <SPAN class="ft72">Granskning av Transportstyrelsens upp- handling av </SPAN><NOBR><SPAN class="ft72">it-drift</SPAN></NOBR><SPAN class="ft72"> </SPAN>(Ds 2018:6). Av granskningen framgår att det före- kommit allvarliga brister i Transportstyrelsens hantering av hemliga uppgifter och andra skyddsvärda uppgifter, bl.a. känsliga person- uppgifter, för att man i allt för hög grad saknade relevant kunskap om vilken information myndigheten hade och hur denna information skulle hanteras. Skäl till detta var bl.a. att arbetet med informations- säkerhet vid myndigheten var eftersatt under lång tid samt avsakna- den av tillräcklig kunskap om relevanta regler. Utredaren identifierade att säkerhetsfunktionerna på myndigheten var utspridda och saknade tillräcklig samordning. Enligt utredaren uppfattade säkerhetsskydds- chefen att det var svårt att få genomslag för säkerhetsskyddsfrågor både på ledningsnivå och i verksamheten samt att säkerhetsfrågorna kom in alldeles för sent i processen.<SPAN class="ft153">4</SPAN></P>
<P class="p789 ft18">Myndigheten för samhällsskydd och beredskap (MSB) fick 296 rap- porter år 2019 om allvarliga <NOBR>it-incidenter</NOBR> från 101 myndigheter, vil-</P>
<P class="p790 ft110"><SPAN class="ft80">2</SPAN><SPAN class="ft91">Kompletteringar till den nya säkerhetsskyddslagen </SPAN><SPAN class="ft87">(SOU 2018:82), s. 24 och 196.</SPAN></P>
<P class="p222 ft110"><SPAN class="ft80">3</SPAN><SPAN class="ft90">Prop. 2020/21:194, </SPAN>Ett starkare skydd för Sverige säkerhet<SPAN class="ft87">, s. 75.</SPAN></P>
<P class="p222 ft41"><SPAN class="ft80">4</SPAN><SPAN class="ft81">Ds 2018:6 s. 98 och 220.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">430</P>
</DIV>
</DIV>
<DIV id="page_432">
<DIV id="p432dimg1">
<INGENBILD zsrc="H9B363432x1.jpg/" id="p432img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td96"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td49"><P class="p2 ft37">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
</TR>
</TABLE>
<P class="p77 ft18">ket motsvarar 40 procent av det totala antalet rapporteringsskyldiga myndigheter. Motsvarande siffror för 2018 var 297 rapporter från 34 procent av myndigheterna. Den vanligaste typen av incident under 2019 var handhavandefel, följd av rapporterade angrepp och oönskad eller oplanerad störning i kritisk infrastruktur.</P>
<P class="p65 ft19">MSB har de senaste åren gjort flera kartläggningar av informa- tionssäkerhetsarbetet i länsstyrelserna och kommunerna samt små och medelstora företag (se kapitel 8). Resultaten visar att det på i princip samtliga nivåer behövs ytterligare resurser och kompetens på informationssäkerhetsområdet samt tydligare ansvarsroller. MSB drar även slutsatserna att få myndigheter följer myndighetens föreskrif- ter i sin helhet samt att arbetet med informations- och cybersäkerhet och säkerhetsskydd inte är tillräckligt integrerat. Man konstaterar vidare att företagens informationssäkerhet inte ökar i samma takt som den digitala utvecklingen i samhället. Också för kommunernas del återstår arbete i införandet av ett systematiskt och riskbaserat informationssäkerhetsarbete, inom samtliga undersökta områden. Många gånger förefaller det saknas tillräcklig kunskap om den egna organisationens behov av informationssäkerhet. Särskilt informa- tionssäkerhetsarbete relaterat till säkerhetsskydd eller samhällsviktig verksamhet uppfattas ofta som en utmaning. MSB anser att en för- bättring av informationssäkerhetsarbetet är påkallad men bedömer att såväl deltagande av offentlig förvaltning som resurstillsättning behövs.</P>
<P class="p141 ft17">Det finns ytterligare studier om läget för informationssäkerheten i regioner och kommuner som visar att det föreligger stora utma- ningar för huvuddelen av aktörerna i arbetet med att skapa en säker digitalisering. En av de största utmaningarna för en enskild offentlig aktör är att ha tillräckliga resurser för att informationssäkra sina it- miljöer.<SPAN class="ft54">5</SPAN></P>
<P class="p65 ft18">Vidare framgår av Riksrevisionens rapport <SPAN class="ft45">Föråldrade </SPAN><NOBR><SPAN class="ft45">it-system</SPAN></NOBR><SPAN class="ft45"> – hinder för en effektiv digitalisering </SPAN>(RiR 2019:28) att det finns ett stort antal större myndigheter som har föråldrade <NOBR>it-system,</NOBR> varav ett fler- tal av verksamhetskritisk karaktär, och att många myndigheter inte gör tillräckligt för att hantera de problem som systemen innebär. Riks- revisionen fann också att regeringen hade bristande kunskap om</P>
<P class="p791 ft74"><SPAN class="ft56">5</SPAN><SPAN class="ft114">Övergripande studie av offentlig </SPAN><NOBR>it-drift</NOBR> (informationssäkerhet) i Västra Götaland<SPAN class="ft41">, Knowit, 2020.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">431</P>
</DIV>
</DIV>
<DIV id="page_433">
<DIV id="p433dimg1">
<INGENBILD zsrc="H9B363433x1.jpg/" id="p433img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t27">
<TR>
<TD class="tr10 td69"><P class="p2 ft31">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p189 ft21">förekomsten och konsekvenserna av problemen med föråldrade it- system.</P>
<P class="p139 ft18">Genom <NOBR><SPAN class="ft45">It-driftsutredningens</SPAN></NOBR><SPAN class="ft45"> </SPAN>(SOU 2021:1)<SPAN class="ft79">6 </SPAN>kartläggning av 200 stat- liga myndigheter framkommer att hälften av myndigheterna inte arbetar systematiskt med informationssäkerhet i sin verksamhet. Enligt insamlade enkätsvar hanterar 40 procent säkerhetsskyddsklas- sificerade uppgifter, medan 4 procent inte vet om de hanterar sådana uppgifter.<SPAN class="ft79">7 </SPAN><NOBR>It-driftsutredningen</NOBR> bedömer att två av de största hindren för säker <NOBR>it-drift</NOBR> är bristande informationsklassificering och avsak- nad av kompetens inom it och säkerhet.</P>
<P class="p73 ft18">Därutöver har Säkerhetspolisen rapporterat att de myndigheter som bedriver de mest skyddsvärda verksamheterna i många fall har svårt att bedöma vad som är skyddsvärt med hänsyn till Sveriges säkerhet. Enligt Säkerhetspolisen har myndigheter också vanligtvis svårt att bedöma hotbilden mot den egna verksamheten. I stor ut- sträckning saknar även myndigheter förmågan att bedöma den egna verksamhetens sårbarheter. Som följd av dessa brister har många myndigheter svårt att vidta ändamålsenliga och kostnadseffektiva säkerhetsskyddsåtgärder. Säkerhetspolisen finner det därför ange- läget att alla myndigheter genomför säkerhetsanalyser och bedömer vilken information och verksamhet som är skyddsvärd. Dessutom framhålls att säkerhetsarbetet bör prioriteras högre.<SPAN class="ft79">8</SPAN></P>
<P class="p106 ft18">Sverige anses ha en hög nivå av digitalisering. Dock bedöms cyber- sårbarheten vara besvärande hög.<SPAN class="ft79">9 </SPAN>Enligt OECD behöver regeringen vidta olika åtgärder för en bättre hantering av data. Bl.a. förespråkas ökade befogenheter för och användning av DIGG.<SPAN class="ft79">10</SPAN></P>
<P class="p105 ft17">Även flera av utredningens experter har påtalat att informations- säkerhetsarbetet i Sverige är undermåligt. Utredningen har också varit i kontakt med andra aktörer på den svenska <NOBR>IKT-marknaden</NOBR> – både offentliga och privata – som påpekat att det brådskar med att göra <NOBR>IKT-systemen</NOBR> säkrare.</P>
<P class="p792 ft93"><SPAN class="ft80">6</SPAN><SPAN class="ft94">Delbetänkandet </SPAN>Säker och kostnadseffektiv <NOBR>it-drift</NOBR> – rättsliga förutsättningar för utkontraktering <SPAN class="ft85">(SOU 2021:1).</SPAN></P>
<P class="p223 ft85"><SPAN class="ft80">7</SPAN><SPAN class="ft94">Utredningen skickade en enkät till 200 statliga myndigheter. 22 myndigheter svarade inte på frågorna.</SPAN></P>
<P class="p223 ft85"><SPAN class="ft80">8</SPAN><SPAN class="ft94">Säkerhetspolisens offentliga redovisning </SPAN><SPAN class="ft93">Säkerhetsskydd hos myndigheter med mest skyddsvärd verksamhet</SPAN>, <NOBR>2018-02-13.</NOBR></P>
<P class="p223 ft93"><SPAN class="ft80">9</SPAN><SPAN class="ft94">ITU: </SPAN>Global Cybersecurity Index (GCI<SPAN class="ft85">), 2018, och OECD: </SPAN>Digital Government Index<SPAN class="ft85">, resul- tat för 2019.</SPAN></P>
<P class="p243 ft74"><SPAN class="ft56">10</SPAN><SPAN class="ft82">OECD: </SPAN>Digital Government Review of Sweden – Towards a <NOBR>Data-driven</NOBR> Public Sector<SPAN class="ft41">, 2019.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">432</P>
</DIV>
</DIV>
<DIV id="page_434">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td96"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td49"><P class="p2 ft37">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
</TR>
</TABLE>
<P class="p5 ft26"><SPAN class="ft26">13.2.2</SPAN><SPAN class="ft140">Slutsatser om säkerhetsbrister och </SPAN><NOBR>-behov</NOBR></P>
<P class="p232 ft18">Som utredningen anfört i föregående kapitel kan konstateras att det under det senaste decenniet framkommit av olika offentliga kart- läggningar och utredningar att det finns betydande brister i såväl det systematiska informationssäkerhetsarbetet som i själva <NOBR>it-säkerheten.</NOBR> Kompetensbrist, utebliven eller inkorrekt informationsklassificer- ing och undermåliga <NOBR>it-system</NOBR> är en del av problembilden. Bristerna förekommer brett i samhället, både hos offentliga och privata aktö- rer. Underlaget ger vid handen att mycket information samlas i informationssystemen, varav en betydande del är skyddsvärd. Fråga uppkommer då om motsvarande brister föreligger i även säkerhets- känslig verksamhet. För denna slutsats talar förarbetena till kom- pletteringarna till den nya säkerhetsskyddslagen (SOU 2018:82 och prop. 2020/21:194), <NOBR><SPAN class="ft45">It-driftsutredningens</SPAN></NOBR><SPAN class="ft45"> </SPAN>kartläggning samt utlåtan- den av utredningens experter. Det kan således antas att nu nämnda problem med informationssäkerhet även gör sig påtagligt gällande i säkerhetskänslig verksamhet.</P>
<P class="p58 ft18">Utredningen gör mot bakgrund av vad som ovan redovisats be- dömningen att det finns ett betydande behov av att om möjligt vidta åtgärder för att stärka säkerheten i nätverk och informationssystem. Behovet framstår som skyndsamt. Som framgår av kapitel 4, 5 och 8 förekommer allvarliga angrepp mot <NOBR>it-systemen</NOBR> i dag. Om säker- heten inte höjs i nätverken och informationssystemen finns en uppen- bar risk att det uppstår allvarliga följder och skador i samhället och för Sveriges säkerhet. I utredningsdirektiven anges att en möjlig skydds- åtgärd i sammanhanget skulle kunna vara att ställa krav på godkän- nande från utpekad myndighet innan driftsättning av systemen. Utred- ningen kan konstatera att något sådant krav inte finns i befintlig reglering men att säkerhetsskyddslagstiftningen är föremål för kom- pletteringar. Så sent som i maj 2021 föreslog regeringen i sin proposi- tion <SPAN class="ft45">Ett starkare skydd för Sverige säkerhet </SPAN>(prop. 2020/21:194) bety- dande kompletteringar bl.a. vad gäller organisation och tillsyn av säkerhetskänslig verksamhet, inbegripet informationssäkerhet.</P>
<P class="p58 ft46">De konstaterade allvarliga bristerna i arbetet med informations- säkerheten ligger till grund för utredningens överväganden om den nuvarande och föreslagna ordningen bör kompletteras med ett for- mellt krav på godkännande innan driftsättning sker av <NOBR>IKT-systemen</NOBR> i säkerhetskänslig verksamhet. Ett sådant krav kan avse alla system i</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">433</P>
</DIV>
</DIV>
<DIV id="page_435">
<DIV id="p435dimg1">
<INGENBILD zsrc="H9B363435x1.jpg/" id="p435img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t27">
<TR>
<TD class="tr10 td69"><P class="p2 ft31">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p189 ft17">säkerhetskänslig verksamhet, vissa delar av sådan verksamhet eller endast system som hanterar information som delas in i viss säkerhets- skyddsklass.</P>
<P class="p102 ft48"><SPAN class="ft48">13.3</SPAN><SPAN class="ft135">Nuvarande system</SPAN></P>
<P class="p192 ft18">Som utredningen konstaterat i föregående avsnitt föreligger bety- dande brister brett inom flera olika samhällsområden och hos alla typer av aktörer. Fråga uppkommer då om den nuvarande regler- ingen i förening med föreslagna lagstiftningsåtgärder på säkerhets- skyddsområdet kan anses tillräckliga för att säkerställa fullgod säker- het i nätverks- och informationssystem i säkerhetskänslig verksamhet.</P>
<P class="p102 ft26"><SPAN class="ft26">13.3.1</SPAN><SPAN class="ft140">Granskning och godkännande</SPAN></P>
<P class="p413 ft20">Begrepp och nationella system</P>
<P class="p220 ft17">Såsom redogjorts för i kapitel 3 och 11 föreligger viss osäkerhet i fråga om innebörden av begreppen granskning, godkännande och ackreditering och deras inbördes förhållanden. Att granskning i sam- manhanget certifieringsgranskning av produkt eller tjänst inte sker innebär inte att produkten eller systemet på säkerhetsskyddsnivå inte är granskade eller godkända. Militära underrättelse- och säker- hetstjänsten (Must) som tillsynsutövare inom Försvarsmakten och som nationell kryptomyndighet har, liksom Säkerhetspolisen, nyckel- roller i detta.</P>
<P class="p211 ft18">Kryptomekanismer som föreskrivs i säkerhetsskyddsförordningen granskas av Must som också utfärdar nationella godkännanden. Så- dana granskningar och godkännanden finns också avseende produkter utanför det omedelbara kryptoområdet. Must är också tillsynsmyn- dighet inom Försvarsmakten och granskar system, dvs. sammansatta system av ibland hundratals produkter, liksom ”system av system”.<SPAN class="ft79">11 </SPAN>Verksamhetschefen godkänner efter att systemet befunnits uppfylla aktuella krav. Säkerhetspolisen har en liknande roll gentemot andra myndigheter och privat sektor. Det är verksamhetsutövaren som har uppgiften att godkänna driftsättningen av informationssystem i säker-</P>
<P class="p220 ft58"><SPAN class="ft56">11</SPAN><SPAN class="ft57">Försvarsmakten har tillsynsansvar för säkerhetsskyddet inom försvarssektorn, dvs. de myn- digheter som ligger under Försvarsdepartementet samt Försvarshögskolan och Fortifikations- verket. Dessa myndigheter är i vissa fall skyldiga att samråda med Försvarsmakten.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">434</P>
</DIV>
</DIV>
<DIV id="page_436">
<DIV id="p436dimg1">
<INGENBILD zsrc="H9B363436x1.jpg/" id="p436img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td96"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td49"><P class="p2 ft37">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
</TR>
</TABLE>
<P class="p342 ft17">hetskänslig verksamhet (se nedan) efter Säkerhetspolisens eller För- svarsmaktens granskning och utlåtande om uppfyllandet av säkerhets- och författningskrav. Nu nämnda granskningar och godkännanden ska inte förväxlas med motsvarande termer avseende certifierings- verksamheten.</P>
<P class="p65 ft18">Av utredningens internationella jämförelse (se kapitel 9 och av- snitt 13.5) framgår att ackreditering respektive godkännande av skydds- värda informationssystem ofta hänger ihop och mer eller mindre används synonymt (jfr t.ex. Australiens system med Nya Zeelands krav). I detta sammanhang inbegriper ackreditering (”accreditation”) och godkännande eller tillåtelse (”authorisation”) att en behörig per- son dels formellt accepterar återstående säkerhetsrisker med drift av informationssystemet, dels godkänner/tillåter dess driftsättning. När fråga är om det för nationen mest skyddsvärda brukar uppgiften att ackreditera/godkänna ligga hos ett departement eller en myndighet. Vidare kan noteras att kraven på godkännande i säkerhetskänslig verksamhet vanligtvis gäller informationssystemen och den informa- tion som systemen behandlar. Kravet på formellt godkännande syftar här till att bidra till ökad säkerhet i informationssystem. Det före- kommer också att vissa it- och informationssäkerhetsprodukter, inte minst kryptoutrustning, omfattas av godkännandeförfarandena.</P>
<P class="p119 ft17">Ett godkännande kan även innebära att en process tillåts fort- skrida, utan att närmare ställningstagande till eller dokumentation av befintliga brister görs. Detta förfarande framstår emellertid, enligt föreliggande system, inte som dominerande på området. Om inte annat anges avses fortsättningsvis med godkännande ett behörigen fattat beslut att acceptera kvarvarande säkerhetsrisker med driftsät- tning av ett informationssystem.</P>
<P class="p65 ft18">Vid utredningen har framkommit att kraven på godkännande pri- märt tar sikte på tre parametrar: antingen nationell säkerhet, säker- hetsklassificerad information på viss nivå, eller assuransnivå (hög). Värt att framhålla är emellertid att assuransnivån hög inte automa- tiskt innebär att berörd produkt, tjänst eller process även ska vara säkerhetsskyddsklassificerad, om än dessa i praktiken inte sällan torde vara skyddsvärda.<SPAN class="ft79">12 </SPAN>Krav på godkännande i förhållande till assurans- nivå och produkttyp förefaller vara vanligast förekommande i fråga</P>
<P class="p793 ft58"><SPAN class="ft56">12</SPAN><SPAN class="ft96">Vidare hänger själva assuransnivån snarare ihop med evaluerings- och certifieringsprocesser än godkännandeförfaranden. Assurans avser tilltro till en produkt och har inget att göra med om produkten är säkerhetsskyddsklassificerad – vanligen är den inte det.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">435</P>
</DIV>
</DIV>
<DIV id="page_437">
<DIV id="p437dimg1">
<INGENBILD zsrc="H9B363437x1.jpg/" id="p437img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t27">
<TR>
<TD class="tr10 td69"><P class="p2 ft31">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p189 ft21">om s.k. <NOBR>högassurans-kryptoutrustning</NOBR> (se t.ex. systemen i Australien och Nya Zeeland).</P>
<P class="p209 ft20">Gränsöverskridande krypto- och säkerhetssamarbete</P>
<P class="p71 ft46">Godkännande av kryptoprodukter och vissa närliggande produkter sker inte enbart mot nationella krav och föreskrifter utan också inom ramen för ett internationellt kryptosamarbete (se kapitel 9). Detta kryptosamarbete utgör en gemensam bottenplatta för tekniska krav och processer som medverkar till att göra såväl produkter som pro- cesser föremål för ömsesidiga granskningar, värderingar och god- kännanden. Detta medför interoperabilitet mellan nationer och orga- nisationer och skapar också en internationell marknad för denna typ av produkter. Inte minst genom det europeiska kryptosamarbetet som genom gemensamma krav och möjligheter till ömsesidiga god- kännanden skapas en inre marknad för krypto- och andra säkerhets- produkter.<SPAN class="ft97">13 </SPAN>I sammanhanget bidrar <NOBR>AQUA-förfarandet</NOBR> till ett ökat förtroende (se kapitel 9).<SPAN class="ft97">14</SPAN></P>
<P class="p794 ft72">Rådets beslut om säkerhetsbestämmelser för skydd av säkerhetsskydds- klassificerade <NOBR>EU-uppgifter</NOBR> <SPAN class="ft127">(2013/488/EU) innehåller bestämmelser om hur säkerhetsskyddsklassificerade </SPAN><NOBR><SPAN class="ft127">EU-uppgifter</SPAN></NOBR><SPAN class="ft127"> i kommunika- tions- och informationssystem ska skyddas. Dessa system ska genomgå en ackrediteringsprocess och vissa säkerhetsåtgärder ska vidtas.</SPAN></P>
<P class="p73 ft18">Överföring av klassificerad <NOBR>EU-information</NOBR> ska enligt Rådets be- slut ske med godkänd krypteringsmetod. För överföring av säkerhets- skyddsklassificerade <NOBR>EU-uppgifter</NOBR> på nivåerna <SPAN class="ft45">EU RESTRICTED </SPAN>och <SPAN class="ft45">EU CONFIDENTIAL </SPAN>ställs krav på metod som omfattas av nationellt godkännande. För överföring av <NOBR>EU-uppgifter</NOBR> säkerhets- skyddsklassificerade som <SPAN class="ft45">EU SECRET </SPAN>eller högre ställs krav på an-</P>
<P class="p795 ft85"><SPAN class="ft56">13</SPAN><SPAN class="ft94">Det bör observeras att ordningen och processen för kryptogodkännande kan brytas upp, vilket i sin tur har inverkan på de internationella krypto- och säkerhetssamarbetena, inbegripet möjligheterna till ömsesidiga godkännanden.</SPAN></P>
<P class="p636 ft107"><SPAN class="ft56">14</SPAN><SPAN class="ft154">Den s.k. </SPAN><NOBR>AQUA-evalueringen</NOBR> är ett system för <NOBR>EU-samarbete</NOBR> på kryptoområdet. Vid elektronisk överföring av säkerhetsskyddsklassificerade <NOBR>EU-uppgifter</NOBR> ska som utgångspunkt godkända kryptoprodukter användas. Kryptoprodukterna som ska skydda dessa uppgifter ska evalueras och godkännas av en medlemsstats nationella kryptogodkännande myndighet. En del av godkännandeprocessen avser andrapartsevaluering av en medlemsstats kvalificerade ut- värderingsmyndighet (AQUA) – i antingen Frankrike, Italien, Nederländerna, Sverige eller Tyskland – som inte deltagit i utformningen eller tillverkningen av utrustningen. Det kan emellertid även förhålla sig på det sättet att EU accepterar att en medlemsstat under viss tid använder s.k. <NOBR>Nato-godkänt</NOBR> krypto.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">436</P>
</DIV>
</DIV>
<DIV id="page_438">
<DIV id="p438dimg1">
<INGENBILD zsrc="H9B363438x1.jpg/" id="p438img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t26">
<TR>
<TD class="tr10 td96"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td49"><P class="p2 ft37">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
</TR>
</TABLE>
<P class="p796 ft18">vändning av produkter som omfattas av specifikt <NOBR>EU-godkännande</NOBR> som innefattar andrapartsevaluering utförd av annan medlemsstat.<SPAN class="ft79">15 </SPAN>Vidare finns inom såväl det europeiska säkerhetssamarbetet som inom Nato en pågående diskussion om huruvida man bör närma sig användandet av s.k. ”kommersiellt tillgängliga produkter” för skyd-</P>
<P class="p573 ft21">det av begränsat hemlig information.</P>
<P class="p797 ft26"><SPAN class="ft26">13.3.2</SPAN><SPAN class="ft140">Allmänna krav på informationssäkerhet i statliga myndigheters verksamhet</SPAN></P>
<P class="p798 ft19">Som framgår av kapitel 3 och 12 har Myndigheten för samhällsskydd och beredskap (MSB) uppdaterat sina föreskrifter om informations- säkerhet för statliga myndigheter.<SPAN class="ft101">16 </SPAN>Föreskrifterna ställer krav på att myndigheterna ska bedriva ett systematiskt och riskbaserat informa- tionssäkerhetsarbete. MSB har även utfärdat nya föreskrifter om säkerhetsåtgärder i informationssystem <NOBR>(it-säkerhet)</NOBR> för statliga myn- digheter.<SPAN class="ft101">17 </SPAN>Dessa föreskrifter är tvingande och ligger till grund för myndigheternas arbete med säkerhet i nätverk och informations- system<SPAN class="ft101">18</SPAN>.</P>
<P class="p799 ft18">MSB:s reviderade föreskrifter om informationssäkerhet för stat- liga myndigheter (MSBFS 2020:6) anger att myndigheterna ska be- driva ett systematiskt och riskbaserat informationssäkerhetsarbete med stöd av vissa internationellt erkända standarderna (ISO/IEC <NOBR>27001-serien)</NOBR> eller motsvarande (4 §). Systematiskt informations- säkerhetsarbete ska vidare utformas utifrån de risker och behov som myndigheten identifierar (5 och 6 §§). Ändringarna innebär att det nu ställs tydligare krav på myndighetsledningens uppgift att inrikta, säkerställa resurser och följa upp informationssäkerhetsarbetet.<SPAN class="ft79">19 </SPAN>Kraven är tämligen allmänt hållna och även om de anger att informa-</P>
<P class="p800 ft107"><SPAN class="ft56">15</SPAN><SPAN class="ft105">Även om säkerhetskraven i nu nämnda beslut utformats för Rådet och den egna organisa- tionen har angivna krav inkorporerats även i multilaterala säkerhetsskyddsavtal som en form av säkerhetsstandard vid utbyte av säkerhetsskyddsklassificerade uppgifter. Hänvisningen i dessa avtal till Rådets beslut i fråga om gällande säkerhetskrav innebär således bl.a. att god- kända kryptoprodukter/gemensamhetsprodukter ska användas.</SPAN></P>
<P class="p801 ft93"><SPAN class="ft56">16</SPAN><SPAN class="ft84">MSBFS 2020:6, </SPAN>Myndigheten för samhällsskydd och beredskaps föreskrifter om informations- säkerhet för statliga myndigheter<SPAN class="ft85">.</SPAN></P>
<P class="p802 ft93"><SPAN class="ft56">17</SPAN><SPAN class="ft84">MSBFS 2020:7, </SPAN>Myndigheten för samhällsskydd och beredskaps föreskrifter om säkerhetsåtgärder i informationssystem för statliga myndigheter<SPAN class="ft85">.</SPAN></P>
<P class="p803 ft87"><SPAN class="ft56">18</SPAN><SPAN class="ft86">Det bör noteras att MSB i föreskrifterna enbart använder begreppet informationssystem.</SPAN></P>
<P class="p804 ft41"><SPAN class="ft56">19</SPAN><SPAN class="ft82">Ändringarna innebär att det nu ställs tydligare krav på myndighetsledningens uppgift att inrikta, säkerställa resurser och följa upp informationssäkerhetsarbetet. Det har även tillkom- mit nya krav på säkerhetsåtgärder rörande lokaler och personal.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">437</P>
</DIV>
</DIV>
<DIV id="page_439">
<DIV id="p439dimg1">
<INGENBILD zsrc="H9B363439x1.jpg/" id="p439img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t27">
<TR>
<TD class="tr10 td69"><P class="p2 ft31">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p81 ft17">tion ska behandlas utifrån informationsklassning och riskbedöm- ning, finns inte några uttryckliga krav på godkännande av nätverk och informationssystemen. De omfattar inte heller andra aktörer än statliga myndigheter.</P>
<P class="p82 ft17">MSB:s föreskrifter om <NOBR>it-säkerhet</NOBR> (MSBFS 2020:7) inriktar myn- digheternas arbete genom att tydliggöra vilka säkerhetsåtgärder som en statlig myndighet minst ska ha på plats i den tekniska <NOBR>it-miljön.</NOBR> Föreskrifterna är subsidiära till författningar som ställer högre krav (1 kap. 2 §). Enligt 3 kap. 2 § ska statliga myndigheter, innan drift- sättning och inför förändring som kan påverka säkerheten i informa- tionssystemen,</P>
<P class="p464 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">genom säkerhetstester och granskning kontrollera att valda säker- hetsåtgärder är tillräckliga för att möta identifierade krav på säker- het, och</SPAN></P>
<P class="p805 ft21"><SPAN class="ft21">–</SPAN><SPAN class="ft65">verifiera att det finns nödvändig dokumentation för drift och förvaltning.</SPAN></P>
<P class="p694 ft18">I de fall brister identifieras ska myndigheten riskbedöma och hantera dessa brister innan driftsättning eller inför förändring som kan på- verka säkerheten i informationssystemen. Myndigheterna ska vidare ha interna regler för dels kryptering med krav på godkännande av krypteringslösningar (4 kap. 9 § 2 p.), dels ärendehantering med krav på vilka kriterier som ska användas för att godkänna hård- och mjuk- vara innan installation eller användning (4 kap. 12 § 1 p.). MSB be- dömer att majoriteten av de säkerhetsåtgärder som nämns i före- skrifterna om <NOBR>it-säkerhet</NOBR> redan är införda.<SPAN class="ft79">20 </SPAN>Utredningen noterar dock att det här inte finns någon tillsyn eller något sanktionssystem.</P>
<P class="p82 ft18">Till följd av <NOBR>NIS-direktivet</NOBR> har MSB meddelat föreskrifter om anmälan och identifiering av leverantörer av samhällsviktiga tjänster (MSBFS 2018:7) samt rapportering av <NOBR>it-incidenter</NOBR> för statliga myn- digheter (2020:8). På området har MSB också tagit fram föreskrifter om informationssäkerhet och metodstöd för leverantörer av sam- hällsviktiga tjänster. Sådana leverantörer ska enligt regleringen be- driva ett systematiskt och riskbaserat informationssäkerhetsarbete</P>
<P class="p806 ft87"><SPAN class="ft56">20</SPAN><SPAN class="ft90">Det kan tilläggas att </SPAN><SPAN class="ft110">Utredningen om civilt försvar </SPAN>(SOU 2021:25) föreslagit en ny bered- skapsförordning men att dess bestämmelse om informationssäkerhet (14 §) motsvarar den nu gällande (19 §): ”Varje myndighet ansvarar för att egna informationshanteringssystem upp- fyller sådana grundläggande och särskilda säkerhetskrav att myndighetens verksamhet kan utföras på ett tillfredsställande sätt”.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">438</P>
</DIV>
</DIV>
<DIV id="page_440">
<DIV id="p440dimg1">
<INGENBILD zsrc="H9B363440x1.jpg/" id="p440img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td96"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td49"><P class="p2 ft37">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
</TR>
</TABLE>
<P class="p588 ft21">med stöd av ISO <NOBR>27000-standarden</NOBR> (5 §).<SPAN class="ft102">21 </SPAN>Särskilda krav på att IKT ska godkännas av en utpekad myndighet anges inte.</P>
<P class="p109 ft18">Det kan i detta sammanhang noteras att <NOBR>NIS-direktivet</NOBR> är före- mål för upphävande genom ett nytt direktiv (NIS2) som bl.a. med- för ändrade definitioner av och krav på samhällsviktiga verksamheter i EU. Förslaget till <NOBR>NIS2-direktivet</NOBR> innehåller inte krav på formellt godkännande. Dock ska noteras att medlemsstaterna enligt den före- slagna artikeln 21.1, för kontroll av att vissa krav är uppfyllda, ges möjlighet att kräva att väsentliga och viktiga entiteter certifierar viss IKT enligt särskilda europeiska certifieringsordningar. Frågan om krav på certifiering behandlas i kapitel 12.</P>
<P class="p65 ft18">Som redogjorts för i föregående kapitel har sektorsmyndigheterna till följd av bl.a. <NOBR>NIS-regleringen</NOBR> föreskriftsrätt avseende informa- tionssäkerhet inom sina respektive ansvarsområden. Dessa författ- ningar är emellertid begränsade och i förekommande fall huvudsak- ligen av mer allmän karaktär. <SPAN class="ft45">Statens energimyndighet </SPAN>har förvisso föreskrivit flera specifika krav på riskanalys och säkerhetsåtgärder för nätverk och informationssystem inom energisektorn. Vidare har PTS nyligen meddelat föreskrifter relaterade till NIS som bl.a. kräver att leverantörer av samhällsviktiga tjänster inom digital infrastruktur ska vidta säkerhetsåtgärder avseende nätverk och informationssystem för att hantera vissa risker. Nu nämnda föreskrifter innehåller emeller- tid inga formella krav på att produkter, tjänster eller processer inom nätverks- och informationssystem som används i samhällsviktig verk- samhet ska vara godkända.</P>
<P class="p68 ft17">Sammanfattningsvis kan konstateras att varken i MSB:s generella förskrifter för statliga myndigheter eller föreskrifter utfärdade av MSB och sektorsmyndigheter på <NOBR>NIS-området</NOBR> förekommer det några krav på godkännande från en utpekad myndighet av nätverks- och informationssystem.</P>
<P class="p807 ft41"><SPAN class="ft56">21</SPAN><SPAN class="ft82">Även leverantörer av digitala tjänster ska vidta säkerhetsåtgärder för att hantera risker och säkerställa kontinuiteten.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">439</P>
</DIV>
</DIV>
<DIV id="page_441">
<DIV id="p441dimg1">
<INGENBILD zsrc="H9B363441x1.jpg/" id="p441img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t27">
<TR>
<TD class="tr10 td69"><P class="p2 ft31">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p808 ft35"><SPAN class="ft26">13.3.3</SPAN><SPAN class="ft145">Krav på informationssäkerhet i säkerhetsskyddsregleringen</SPAN><SPAN class="ft177">22</SPAN></P>
<P class="p213 ft20">Inledning</P>
<P class="p76 ft17">Att ansvaret för identifiering och bedömning av behovet av säker- hetsskydd är knutet till verksamhetsutövaren har ansetts vara grund- läggande för säkerhetsskyddslagstiftningen.<SPAN class="ft54">23</SPAN></P>
<P class="p73 ft18">Som framgår av kapitel 6 och 7 uppställer säkerhetsskyddsregler- ingen särskilda krav för informationssystem som används i eller har betydelse för säkerhetskänslig verksamhet. Verksamhetsutövare ska dels vidta förberedande åtgärder inför driftsättning av sådana infor- mationssystem, dels tillgodose de säkerhetskrav som kontinuerligt ställs på informationssystemen.<SPAN class="ft79">24 </SPAN>Vidare finns det krav på samråd med Säkerhetspolisen eller Försvarsmakten i vissa fall.</P>
<P class="p70 ft20">Säkerhetsskyddsavtal och samråd vid vissa anskaffningar</P>
<P class="p355 ft19">Verksamhetsutövare har enligt säkerhetsskyddslagen en skyldighet att ingå säkerhetsskyddsavtal inför vissa upphandlingar och andra anskaffningar, om den leverantör som anlitas kan få tillgång till verk- samhetsutövarens säkerhetskänsliga verksamhet. Säkerhetsskyddsav- talet ska klargöra för leverantören vilka säkerhetsskyddsåtgärder som denne ska vidta under samarbetets gång för att säkerhetsskyddet ska kunna tillgodoses.</P>
<P class="p72 ft17">Skyldigheten att ingå säkerhetsskyddsavtal kompletteras för stat- liga myndigheter med ett krav på att göra en särskild säkerhets- skyddsbedömning och samråda med tillsynsmyndigheten inför vissa särskilt känsliga upphandlingar.</P>
<P class="p73 ft46">Tillsynsmyndigheten får under samrådet förelägga myndigheten att vidta åtgärder enligt säkerhetsskyddslagen och de föreskrifter som har meddelats i anslutning till den lagen. Om ett föreläggande inte följs eller om tillsynsmyndigheten bedömer att säkerhetsskydds- lagens krav inte kan tillgodoses trots att ytterligare åtgärder vidtas,</P>
<P class="p120 ft87"><SPAN class="ft56">22</SPAN><SPAN class="ft86">Hittills gällande säkerhetsskyddsreglering har redogjorts för mer ingående i kapitel 6 och 7.</SPAN></P>
<P class="p223 ft85"><SPAN class="ft56">23</SPAN><SPAN class="ft94">Bedömningen av om en verksamhetsutövare omfattas av säkerhetsskyddslagen är beroende av att denne gjort en korrekt analys av verksamhetens skyddsvärden.</SPAN></P>
<P class="p250 ft41"><SPAN class="ft56">24</SPAN><SPAN class="ft81">Verksamhetsutövaren är skyldig att se till att informationssystemet upprätthåller kraven på informationssäkerhet.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">440</P>
</DIV>
</DIV>
<DIV id="page_442">
<DIV id="p442dimg1">
<INGENBILD zsrc="H9B363442x1.jpg/" id="p442img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td96"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td49"><P class="p2 ft37">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
</TR>
</TABLE>
<P class="p244 ft21">får tillsynsmyndigheten besluta att myndigheten inte får genomföra upphandlingen.</P>
<P class="p278 ft20">Inför driftsättning av skyddsvärda informationssystem</P>
<P class="p110 ft18">En verksamhetsutövare som avser att driftsätta ett informations- system som har betydelse för säkerhetskänslig verksamhet är ansvarig för att säkerhetsskyddet kring ett sådant informationssystem utfor- mas så att författningarna avseende säkerhetsskydd efterlevs.<SPAN class="ft79">25 </SPAN>Innan ett sådant informationssystem tas i drift ska verksamhetsutövaren enligt Säkerhetspolisens föreskrifter om säkerhetsskydd (4 kap. 7 § PMFS 2019:2) genomföra tester av sina säkerhetsskyddsåtgärder.<SPAN class="ft79">26</SPAN></P>
<P class="p11 ft46">Innan ett informationssystem som kan förutses komma att be- handla säkerhetsskyddsklassificerade uppgifter i säkerhetsskydds- klassen <SPAN class="ft60">konfidentiell </SPAN>eller <SPAN class="ft60">högre </SPAN>tas i drift, eller i väsentliga avseenden förändras, ska verksamhetsutövaren skriftligen samråda med Säker- hetspolisen (3 kap. 2 § säkerhetsskyddsförordningen [2018:658]). Om verksamhetsutövaren hör till Försvarsmaktens tillsynsområde enligt 7 kap. 1 § första stycket 1 säkerhetsskyddsförordningen, ska denne i stället samråda med Försvarsmakten. Samrådsskyldigheten gäller även i fråga om andra informationssystem, om obehörig åtkomst till systemen kan medföra en skada för Sveriges säkerhet som inte är obetydlig.<SPAN class="ft97">27</SPAN></P>
<P class="p809 ft46">Vidare följer av 3 kap. 3 § säkerhetsskyddsförordningen att ett informationssystem som ska användas i säkerhetskänslig verksamhet</P>
<P class="p198 ft87"><SPAN class="ft56">25</SPAN><SPAN class="ft86">Detta gäller såväl vid utveckling som anskaffning av ett system.</SPAN></P>
<P class="p288 ft107"><SPAN class="ft56">26</SPAN><SPAN class="ft105">Verksamhetsutövaren ska vidare årligen granska säkerheten i informationssystem som är avsett för att behandla uppgifter i säkerhetsskyddsklassen </SPAN><SPAN class="ft106">hemlig </SPAN>eller <SPAN class="ft106">kvalificerat hemlig </SPAN>eller i informationssystem där en incident kan medföra allvarlig eller synnerligen allvarlig skada för Sveriges säkerhet (4 kap. 11 § Säkerhetspolisens föreskrifter om säkerhetsskydd [PMFS 2019:2]). Försvarsmaktens förskrifter (FFS 2019:2, 9 kap. 2 §) anger att berörd verksamhetsutövare (dvs. en myndighet som hör till Försvarsdepartementet) ska kontrollera att en leverantör följer säkerhetsskyddsavtalet samt att kontrollen ska genomföras varje år om säkerhetsskyddsavtalet avser kvalificerat hemliga uppgifter eller säkerhetskänslig verksamhet som är av synnerlig be- tydelse för Sverige säkerhet.</P>
<P class="p411 ft58"><SPAN class="ft56">27</SPAN><SPAN class="ft96">Vid ett sådant samråd lämnar Säkerhetspolisen ett yttrande kring de säkerhetsskyddsåtgär- der verksamhetsutövaren vidtagit, eller har för avsikt att vidta, samt hur dessa förhåller sig till bestämmelserna om säkerhetsskydd i författningarna. För att Säkerhetspolisen ska kunna lämna ett kvalitativt yttrande förutsätts att verksamhetsutövaren genomfört tester och ver- ifierat att de säkerhetsskyddsåtgärder (säkerhetskrav) som identifierats i den särskilda säker- hetsskyddsbedömningen har implementerats och att de ger avsedd effekt, säkerställt att samt- liga identifierade sårbarheter och säkerhetsbrister i informationssystemet som kan medföra negativ påverkan för den säkerhetskänsliga verksamheten har omhändertagits. samt säkerställt att eventuella undantag och kompenserande åtgärder som vidtagits i förhållande till säkerhets- kraven i den särskilda säkerhetsskyddsbedömningen är dokumenterade.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">441</P>
</DIV>
</DIV>
<DIV id="page_443">
<DIV id="p443dimg1">
<INGENBILD zsrc="H9B363443x1.jpg/" id="p443img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t27">
<TR>
<TD class="tr10 td69"><P class="p2 ft31">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p189 ft21">inte får tas i drift förrän det har godkänts ur säkerhetsskyddssyn- punkt av verksamhetsutövaren.</P>
<P class="p209 ft20">Överlåtelse av säkerhetskänslig verksamhet</P>
<P class="p285 ft18">En verksamhetsutövare som avser att överlåta säkerhetskänslig verk- samhet är skyldig att göra en särskild säkerhetsskyddsbedömning och en lämplighetsprövning samt samråda med en samrådsmyndighet. Sam- rådsmyndigheten har möjlighet att förelägga verksamhetsutövare att vidta åtgärder för att uppfylla sina skyldigheter enligt lagen och ytterst besluta att en överlåtelse inte får genomföras (förbud).</P>
<P class="p70 ft20">Övrig reglering</P>
<P class="p220 ft18">Försvarsmakten och Säkerhetspolisen utfärdar föreskrifter kring hur system som hanterar Sveriges säkerhet konstrueras och vägledningar som styr andra myndigheter och privata aktörer inom säkerhets- skyddet. Försvarsmakten har tagit fram både föreskrifter och detal- jerade interna kravställningsdokument (s.k. KSF:er)<SPAN class="ft79">28 </SPAN>för att under- lätta att rätt säkerhet uppnås i <NOBR>it-systemen.</NOBR> T.ex. har Försvarsmakten utförliga krav på <NOBR>it-säkerhetsförmågor</NOBR> hos <NOBR>it-system.</NOBR></P>
<P class="p810 ft35"><SPAN class="ft26">13.3.4</SPAN><SPAN class="ft145">Cybersäkerhetscertifiering i enlighet med EU:s cybersäkerhetsakt</SPAN></P>
<P class="p71 ft18">På cybersäkerhetsområdet har även den nationella myndigheten för cybersäkerhetscertifiering, FMV, sedan den 28 juni 2021 långtgående tillsynsbefogenheter och sanktionsmöjligheter (se EU:s cybersäker- hetsakt och lagen (2021:553) med kompletterande bestämmelser till EU:s cybersäkerhetsakt). Systemet avser cybersäkerhetscertifiering av IKT och syftar till att generellt höja nivån på cybersäkerhet, men inbegriper inget sådant godkännandeförfarande som utredningsdirek- tiven beskriver.</P>
<P class="p811 ft41"><SPAN class="ft56">28</SPAN><SPAN class="ft82">KSF står för ”Krav på säkerhetsförmågor”.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">442</P>
</DIV>
</DIV>
<DIV id="page_444">
<DIV id="p444dimg1">
<INGENBILD zsrc="H9B363444x1.jpg/" id="p444img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td96"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td49"><P class="p2 ft37">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
</TR>
</TABLE>
<P class="p812 ft26"><SPAN class="ft26">13.3.5</SPAN><SPAN class="ft140">Slutsatser om samrådsförfarandet och skyldigheter i säkerhetskänslig verksamhet</SPAN></P>
<P class="p236 ft18">Som framgår av det ovan anförda ska verksamhetsutövaren vidta ett antal åtgärder innan informationssystem får användas i säkerhets- känslig verksamhet. När informationssystem kan komma att be- handla uppgifter i säkerhetsskyddsklassen <SPAN class="ft45">konfidentiell </SPAN>eller <SPAN class="ft45">högre</SPAN>, eller i fråga om andra informationssystem där obehörig åtkomst kan medföra en <SPAN class="ft45">inte obetydlig skada för Sveriges säkerhet</SPAN>, ska verksam- hetsutövaren vidare samråda med Säkerhetspolisen eller Försvars- makten innan driftsättning eller vid väsentliga förändringar av syste- met. Innebörden av ett sådant samråd är dock inte helt klar. Det är inte heller klart vilka verktyg som står till buds om en verksamhets- utövare beslutar att driftsätta ett informationssystem trots ett nega- tivt samrådsyttrande från Säkerhetspolisen eller Försvarsmakten.<SPAN class="ft79">29</SPAN></P>
<P class="p205 ft18"><SPAN class="ft21">I</SPAN><SPAN class="ft150">vilket fall som helst innehåller säkerhetsskyddsregleringen inga ut- tryckliga krav på att tillsynsmyndigheten, eller någon annan utpekad myndighet, ska godkänna driftsättningen av informationssystem i säkerhetskänslig verksamhet.</SPAN><SPAN class="ft79">30 </SPAN>Det finns visserligen redan förfaran- den där vissa <NOBR>IKT-produkter</NOBR> i säkerhetskänslig verksamhet behöver godkännas av en utpekad myndighet, men dessa krav avser i huvud- sak krypto som i sammanhanget utgör en begränsad del av området.</P>
<P class="p11 ft18">Enligt utredningen är det samrådsförfarande som följer av säker- hetsskyddsregleringen – till skillnad från ett förfarande med formellt godkännande – inte ett uttryck för tillåtelse (se utförligare resone- mang nedan). Ansvaret för informationssystems säkerhetsskydd och samråd ligger vidare ytterst hos verksamhetsutövaren och inte hos någon tillsyns- eller samordningsmyndighet. Det innebär dock inte att tillsynsmyndigheten inte ska eller kan överpröva verksamhetsut- övarens bedömningar. Utredningen noterar också att det i dag endast finns begränsade befogenheter att ingripa mot den som inte sköter sitt säkerhetsskydd. Tillsynen på säkerhetsskyddsområdet är i huvud- sak av rådgivande och stödjande karaktär. Möjligheten för tillsyns- eller samordningsmyndigheten att förbjuda ett förfarande gäller endast vid vissa upphandlingar av statliga myndigheter och överlåtelser av</P>
<P class="p504 ft87"><SPAN class="ft56">29</SPAN><SPAN class="ft86">Sannolikt hindrar inte ett negativt samrådsyttrande en driftsättning.</SPAN></P>
<P class="p418 ft41"><SPAN class="ft56">30</SPAN><SPAN class="ft82">Vid kommunikation av säkerhetsskyddsklassificerade uppgifter till ett informationssystem utanför verksamhetsutövarens kontroll ska däremot uppgifterna skyddas med hjälp av krypto- grafiska funktioner som godkänts av Försvarsmakten.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">443</P>
</DIV>
</DIV>
<DIV id="page_445">
<DIV id="p445dimg1">
<INGENBILD zsrc="H9B363445x1.jpg/" id="p445img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t27">
<TR>
<TD class="tr10 td69"><P class="p2 ft31">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p152 ft18">säkerhetskänslig verksamhet.<SPAN class="ft79">31 </SPAN>Tillsynsmyndigheterna har inga sär- skilda undersökningsbefogenheter och kan inte besluta sanktioner. Avsaknaden av sedvanliga tillsynsbefogenheter och möjligheter att ingripa gör att det finns en risk att verksamhetsutövare är mindre benägna att följa tillsynsmyndigheternas anvisningar och säkerhets- skyddslagstiftningens krav. Som regeringen konstaterat i propositio- nen <SPAN class="ft45">Ett starkare skydd för Sverige säkerhet </SPAN>(se prop. 2020/21:194, s. 21 f.) finns därför behov av att ytterligare skärpa säkerhetsskyddslagstift- ningen.</P>
<P class="p73 ft46">Den nuvarande ordningen innebär brister och medför att det finns en uppenbar risk för att aktörer inom informationssäkerhetsområdet kan agera skadligt för Sveriges säkerhet. Sammantaget kan regleringen inte anses tillräcklig för att nå fullgod informationssäkerhet i nät- verks- och informationssystem som ska användas i säkerhetskänslig verksamhet.</P>
<P class="p813 ft17">Utredningen noterar att regeringen i nyss nämnda proposition föreslagit att tillsynsmyndigheten ska få sedvanliga tillsynsbefogen- heter och kunna besluta sanktionsavgift, i syfte att möta behovet av skärpningar för att skydda Sveriges säkerhet. Delar av regeringens lagförslag behandlas nedan.</P>
<P class="p102 ft48"><SPAN class="ft48">13.4</SPAN><SPAN class="ft135">Pågående åtgärder för ökad informationssäkerhet</SPAN></P>
<P class="p192 ft18">För att stärka skyddet för Sveriges säkerhet har regeringen föreslagit vissa ändringar i säkerhetsskyddslagen (prop. 2020/21:194) som är avsedda att träda i kraft den 1 december 2021. Fråga uppkommer om dessa är tillräckliga för att omhänderta problemen med informations- säkerhet. Enligt utredningen kan lagskärpningarna i sig tjäna som belysning för de fortsatta övervägandena i fråga om behovet av ytter- ligare krav på godkännande.</P>
<P class="p814 ft58"><SPAN class="ft56">31</SPAN><SPAN class="ft57">Fr.o.m. den 1 december 2021 kommer tillsynsmyndigheten i stort även ha motsvarande be- fogenheter i samband med vissa förfaranden som kräver säkerhetsskyddsavtal (se nedan).</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">444</P>
</DIV>
</DIV>
<DIV id="page_446">
<DIV id="p446dimg1">
<INGENBILD zsrc="H9B363446x1.jpg/" id="p446img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td96"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td49"><P class="p2 ft37">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
</TR>
</TABLE>
<P class="p5 ft26"><SPAN class="ft26">13.4.1</SPAN><SPAN class="ft140">Anmälningsplikt</SPAN></P>
<P class="p91 ft18"><SPAN class="ft21">I</SPAN><SPAN class="ft150">dag finns på säkerhetsskyddsområdet ingen skyldighet för en verk- samhetsutövare att anmäla sin verksamhet. Som tidigare berörts har regeringen dock föreslagit att den som till någon del bedriver säker- hetskänslig verksamhet ska anmäla detta till en tillsynsmyndighet.</SPAN></P>
<P class="p815 ft169"><SPAN class="ft178">13.4.2</SPAN><SPAN class="ft179">Utvidgad samrådsskyldighet och befogenheter vid överlåtelse och utkontraktering av säkerhetskänslig verksamhet</SPAN></P>
<P class="p605 ft46">Regeringen har nu föreslagit en utvidgad skyldighet för verksam- hetsutövaren att i vissa fall samråda med tillsynsmyndigheten<SPAN class="ft97">32</SPAN>. En- ligt lagförslaget ska en verksamhetsutövare som avser att genomföra en upphandling, ingå ett avtal eller inleda en samverkan eller ett sam- arbete med en annan aktör, först ingå ett säkerhetsskyddsavtal med aktören, om aktören genom förfarandet kan få tillgång till säkerhets- känslig verksamhet av viss betydelse för Sveriges säkerhet. Innan ett sådant förfarande ska verksamhetsutövaren även göra en särskild säker- hetsskyddsbedömning och lämplighetsprövning. Om lämplighets- prövningen leder till bedömningen att det planerade förfarandet inte är olämpligt från säkerhetsskyddssynpunkt, ska verksamhetsutöva- ren samråda med tillsynsmyndigheten innan den inleder förfarandet, om det planerade förfarandet innebär att den andra aktören kan få tillgång till</P>
<P class="p816 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen hemlig eller högre, eller</SPAN></P>
<P class="p514 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">annan säkerhetskänslig verksamhet av motsvarande betydelse för Sveriges säkerhet.</SPAN></P>
<P class="p358 ft46">Motsvarande krav föreslås gälla inför överlåtelse av säkerhetskänslig verksamhet. De föreslagna ändringarna i säkerhetsskyddslagen inne- bär vidare att tillsynsmyndigheten inom ramen för ett samråd får före- lägga verksamhetsutövaren att vidta åtgärder enligt säkerhetsskydds-</P>
<P class="p817 ft113"><SPAN class="ft56">32</SPAN><SPAN class="ft119">Tillsynsmyndigheten är en sektorsmyndighet som ska kontrollera att verksamhetsutövaren följer lagen. Tillsyn i detta syfte ska även få utövas hos de aktörer som verksamhetsutövare ingått säkerhetsskyddsavtal med. Liksom tidigare ska tillsynen bedrivas sektorsvis. Försvars- makten och Säkerhetspolisen har emellertid en särställning inom tillsynen och samordningen avseende säkerhetsskyddet (jfr kapitel 6 och 8).</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">445</P>
</DIV>
</DIV>
<DIV id="page_447">
<DIV id="p447dimg1">
<INGENBILD zsrc="H9B363447x1.jpg/" id="p447img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t27">
<TR>
<TD class="tr10 td69"><P class="p2 ft31">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft19">lagen och föreskrifter som meddelats i anslutning till den lagen. Sam- rådsansvaret fördelas mellan tillsynsmyndigheterna utifrån deras re- spektive ansvarsområde. Om verksamhetsutövaren inte samråder med tillsynsmyndigheten trots att det finns en skyldighet att göra det, ska tillsynsmyndigheten få inleda samrådet. Om ett beslut om före- läggande inte följs eller om tillsynsmyndigheten bedömer att det planerade förfarandet är olämpligt från säkerhetsskyddssynpunkt även om ytterligare åtgärder vidtas, ska tillsynsmyndigheten få besluta att verksamhetsutövaren inte får genomföra det planerade förfarandet (förbud). Utöver att tillsynsmyndigheten ska få förbjuda ett olämp- ligt förfarande kan den även ingripa i ett pågående förfarande (se nedan).</P>
<P class="p73 ft18">I sammanhanget bör framhållas att regeringen i sitt fortsatta för- ordningsarbete utreder om det i säkerhetsskyddsförordningen ska införas en skyldighet för tillsynsmyndigheterna att i vissa fall ge Säkerhetspolisen respektive Försvarsmakten tillfälle att yttra sig under ett samråd, eller i övrigt innan samrådet avslutas, så att deras unika kunskaper om bl.a. hotbilder vid behov kan tillföras ärendet.<SPAN class="ft79">33</SPAN></P>
<P class="p211 ft18">Tillsynsmyndighetens åtgärdsföreläggande inom ramen för ett sam- råd kan exempelvis gälla vad en verksamhetsutövare behöver förbättra</P>
<P class="p292 ft18"><SPAN class="ft21">i</SPAN><SPAN class="ft150">fråga om säkerhetsskyddsåtgärderna som anges i 2 kap. </SPAN><NOBR>2–4</NOBR> §§ säker- hetsskyddslagen, dvs. informationssäkerhet, personalsäkerhet och fysisk säkerhet. Föreläggandet bör också enligt regeringen kunna innebära att verksamhetsutövaren vid en senare tidpunkt under sam- rådsförfarandet ska återrapportera till tillsynsmyndigheten hur olika åtgärder har genomförts. I samrådet fyller alltså föreläggandet funk- tionen att beskriva vad som behöver göras för att det planerade för- farandet ska vara godtagbart från säkerhetsskyddssynpunkt. Dessa förelägganden behöver enligt regeringen inte kunna förenas med vite. Huvudskälet till detta är att följden av att inte följa ett föreläggande är att det planerade förfarandet inte får genomföras, och att något ytter- ligare incitament för verksamhetsutövaren att följa föreläggandet inte behövs. Föreläggande under samråd överlappar till viss del med be- fogenheten att besluta om åtgärdsföreläggande vid tillsyn (se nedan).<SPAN class="ft79">34</SPAN></P>
<P class="p818 ft87"><SPAN class="ft56">33</SPAN><SPAN class="ft86">Prop. 2020/21:194 s. 59.</SPAN></P>
<P class="p230 ft41"><SPAN class="ft56">34</SPAN><SPAN class="ft82">Prop. 2020/21:194, s. 61.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">446</P>
</DIV>
</DIV>
<DIV id="page_448">
<DIV id="p448dimg1">
<INGENBILD zsrc="H9B363448x1.jpg/" id="p448img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td96"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td49"><P class="p2 ft37">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
</TR>
</TABLE>
<P class="p819 ft35"><SPAN class="ft26">13.4.3</SPAN><SPAN class="ft145">Närmare om tillsynsbefogenheter och ingripande möjligheter</SPAN></P>
<P class="p512 ft19">Genom den föreslagna säkerhetsskyddslagstiftningen ges tillsyns- myndigheterna även vissa undersökningsbefogenheter och möjlig- heter att besluta vitesföreläggande och sanktionsavgift mot den som inte följer säkerhetsskyddslagstiftningens krav.</P>
<P class="p109 ft18">Den som står under tillsyn ska på begäran ge tillsynsmyndigheten den information som behövs för tillsynen. Tillsynsmyndigheten har rätt att i den omfattning det behövs för tillsynen få tillträde till om- råden, lokaler och andra utrymmen, dock inte bostäder, som an- vänds i verksamhet som omfattas av tillsyn.<SPAN class="ft79">35 </SPAN>Tillsynsmyndigheten får vidare förelägga den som står under tillsyn att tillhandahålla in- formation och att ge tillträde till lokaler och liknande, vid äventyr av vite. Tillsynsmyndigheten får även begära handräckning av Kronofogde- myndigheten för att genomföra tillsynsåtgärder.</P>
<P class="p80 ft19">Regleringen av sanktionsavgift föreslås bygga på strikt ansvar. Det kommer emellertid inte vara obligatoriskt att ta ut sanktions- avgift för överträdelser, utan det ligger hos tillsynsmyndigheten att bedöma om en överträdelse ska leda till sanktionsavgift i det enskilda fallet. En sanktionsavgift ska enligt regeringen bestämmas till lägst 25 000 kronor och högst 50 miljoner kronor. För en statlig myndig- het, kommun eller region är det högsta sanktionsbeloppet dock 10 miljoner kronor. Vissa överträdelser av säkerhetsskyddslagstift- ningen är dessutom straffsanktionerade.<SPAN class="ft101">36</SPAN></P>
<P class="p820 ft85"><SPAN class="ft56">35</SPAN><SPAN class="ft84">Utredningen noterar att undersökningsbefogenheterna inte innefattar en uttrycklig rätt till tillgång till tillsynsobjekts informationssystem. Denna fråga behandlas i kapitel 14.</SPAN></P>
<P class="p264 ft58"><SPAN class="ft56">36</SPAN><SPAN class="ft96">Den som röjer säkerhetsskyddsklassificerade uppgifter för någon obehörig på ett sätt som kan medföra men för Sveriges säkerhet kan, under vissa förutsättningar, ha gjort sig skyldig till obehörig befattning med hemlig uppgift, grov obehörig befattning med hemlig uppgift eller vårdslöshet med hemlig uppgift enligt 19 kap. 7, 8 eller 9 § brottsbalken (BrB). Vidtas gärningen för att gå främmande makt tillhanda kan det i stället vara fråga om spioneri eller grovt spioneri enligt 19 kap. 5 eller 6 § BrB. Åsidosättanden av åligganden enligt säkerhetsskyddslagen kan även utgöra tjänstefel enligt 20 kap. 1 § BrB, om det sker vid myndighetsutövning, t.ex. i sam- band med en säkerhetsprövning av personal. Dessutom kan någon som olovligen röjer en hemlig (säkerhetsskyddsklassificerad) uppgift i vissa fall göra sig skyldig till brott mot tyst- nadsplikt enligt 20 kap. 3 § BrB. Detta gäller även om uppgiften hanterats av en enskild verk- samhetsutövare (5 kap. 2 § första stycket säkerhetsskyddslagen).</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">447</P>
</DIV>
</DIV>
<DIV id="page_449">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t27">
<TR>
<TD class="tr10 td69"><P class="p2 ft31">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p821 ft35"><SPAN class="ft26">13.4.4</SPAN><SPAN class="ft145">Slutsatser om föreslagna ändringar i säkerhetsskyddslagen</SPAN></P>
<P class="p128 ft18">Utredningen kan konstatera att den föreslagna lagstiftningen på säkerhetsskyddsområdet innebär införandet av en anmälningsplikt och utvidgad samrådsskyldighet för verksamhetsutövaren samt ut- ökade befogenheter och ingripandemöjligheter för tillsynsmyndig- heter. Samrådet som aktualiseras i ett förhållandevis tidigt skede möj- liggör för berörda att lämna synpunkter på verksamhetsutövarens planerade förfarande (som innebär eventuell hantering av säkerhets- skyddsklassificerade uppgifter). Åtgärdsförelägganden, i vissa fall vid äventyr av vite, och sanktionsavgifter torde i detta sammanhang kunna vara effektiva verktyg för att få aktörer i säkerhetskänslig verksamhet att följa uppställda säkerhetskrav, vilket i förlängningen kan bidra till ökad informationssäkerhet.</P>
<P class="p83 ft18">Den föreslagna samrådsskyldigheten – med tillsynsmyndighetens befogenheter att inleda samråd och vid samrådet besluta åtgärd- sföreläggande och förbjuda ett ur säkerhetsskyddssynpunkt olämp- ligt förfarande – uppvisar visserligen vissa likheter med ett godkän- nandeförfarande, men utgör inte ett formellt krav på tillstånd. Vidare gäller dessa skyldigheter och befogenheter endast när en annan aktör än verksamhetsutövaren kan få tillgång till säkerhetskänslig verk- samhet (och säkerhetsskyddsavtal eventuellt ska ingås) genom upp- handling, samverkan, samarbete eller överlåtelse. Dessa förfaranden skiljer sig således från driftsättning av informationssystem som är en operativ åtgärd av verksamhetsutövaren utan att säkerhetskänslig verk- samhet behöver exponeras för utomstående.</P>
<P class="p61 ft18">Frågan är då om den av regeringen föreslagna regleringen ändå med- för effekter för säkerheten i nätverks- och informationssystem som är ändamålsenliga och likvärdiga med ett krav på förhandsgodkän- nande från en utpekad myndighet. I det följande behandlar utred- ningen argument för och emot införandet av ett kompletterande for- mellt godkännandeförfarande.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">448</P>
</DIV>
</DIV>
<DIV id="page_450">
<DIV id="p450dimg1">
<INGENBILD zsrc="H9B363450x1.jpg/" id="p450img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td96"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td49"><P class="p2 ft37">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
</TR>
</TABLE>
<P class="p822 ft35"><SPAN class="ft26">13.4.5</SPAN><SPAN class="ft145">Åtgärder enligt den samlade informations- och cybersäkerhetshandlingsplanen</SPAN></P>
<P class="p110 ft18">Utredningen noterar att FMV, FRA, Försvarsmakten, MSB, Polisen, PTS och Säkerhetspolisen enligt den samlade informations- och cybersäkerhetshandlingsplanen<SPAN class="ft79">37 </SPAN>vidtar ett antal åtgärder inom sina respektive ansvarsområden för att stärka informations- och cyber- säkerheten i det svenska samhället. Dock avser de pågående och plane- rade åtgärderna inte ytterligare krav på godkännande och/eller certi- fiering av IKT i säkerhetskänslig verksamhet. Den åtgärd som ligger närmast de frågor som utredningen arbetar med avser övervägandet av en nationell modell för cybersäkerhet där arbetet ska drivas av det natio- nella cybersäkerhetscentret. Den nationella handlingsplanen har även målsättningen att öka tillgången till säkra kryptosystem för it- och kommunikationslösningar, bl.a. genom att FMV med stöd av FRA, Försvarsmakten och MSB utarbetar en åtgärdsplan för säkra krypto- grafiska funktioner i samhället. Åtgärder har emellertid ännu inte vidtagits i denna del.</P>
<P class="p278 ft48"><SPAN class="ft48">13.5</SPAN><SPAN class="ft135">Krav i andra länder</SPAN></P>
<P class="p110 ft18">Utredningen har i kapitel 9 gjort en kartläggning av ett tiotal ut- ländska system på området, med fokus på särskilda krav på IKT i säker- hetskänslig verksamhet. Nästintill alla länder har någon form av god- kännandeförfarande. Vanligt förekommande är en modell där en utpekad nationell myndighet, eller ett departement, har det yttersta ansvaret att inom sin jurisdiktion godkänna informationssystem som hanterar uppgifter som rör nationell säkerhet samt hemlig och/eller kvalificerat hemlig information.<SPAN class="ft79">38 </SPAN>Motsvarande krav på godkännande gäller i flera av de undersökta länderna också för vissa informations- säkerhetsprodukter i säkerhetskänslig verksamhet, inte minst krypto- utrustning. Samrådsförfarande i linje med den svenska modellen före- kommer däremot inte i nämnvärd utsträckning i utlandet.</P>
<P class="p187 ft18">Med tanke på de likheter som finns mellan Sverige och de övriga länderna i Norden är det naturligt att i första hand göra en jämförelse</P>
<P class="p823 ft85"><SPAN class="ft56">37</SPAN><SPAN class="ft84">MSB, FRA, FMV, Försvarsmakten, PTS, Polisen, Säkerhetspolisen: </SPAN><SPAN class="ft93">Samlad informations- och cybersäkerhetshandlingsplan </SPAN><NOBR><SPAN class="ft93">2019–2022</SPAN>,</NOBR> Redovisning mars 2021.</P>
<P class="p824 ft41"><SPAN class="ft56">38</SPAN><SPAN class="ft82">I övriga fall brukar uppgiften att godkänna </SPAN><NOBR>IKT-systemen</NOBR> ligga hos respektive organisations informationssäkerhetschef eller motsvarande.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">449</P>
</DIV>
</DIV>
<DIV id="page_451">
<DIV id="p451dimg1">
<INGENBILD zsrc="H9B363451x1.jpg/" id="p451img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t27">
<TR>
<TD class="tr10 td69"><P class="p2 ft31">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p60 ft18">med dessa. I Norge ska s.k. skyddsvärda informationssystem god- kännas av en nationell säkerhetsmyndighet (NSM), och även infor- mationssystem som ska behandla kvalificerat hemlig eller hemlig in- formation måste godkännas av NSM innan de tas i bruk.<SPAN class="ft79">39 </SPAN>I Finland har det nationella cybersäkerhetscentret vid Transport- och kommu- nikationsverket (<SPAN class="ft45">Traficom) </SPAN>behörigheten att godkänna informa- tionssystem i säkerhetskänslig verksamhet. Statsrådet har rätt att föreskriva att en myndighet är skyldig att skaffa ett intyg om godkän- nande från <SPAN class="ft45">Traficom </SPAN>i fråga om informationssystem som behandlar handlingar som hör till de två högsta säkerhetsklasserna (av fyra) där störst skada för nationell säkerhet riskeras. Denna föreskriftsrätt har emellertid inte utnyttjats, varför godkännande för informationssystem för närvarande inte är obligatoriskt i Finland. I Danmark uppställs krav på informationssäkerhet inom statliga myndigheter som inne- fattar ackreditering av informationssystem som används för klassi- ficerad information. Sådana system kan vara föremål för certifiering och/eller godkännande.</P>
<P class="p83 ft18">Om myndigheter i exempelvis Nya Zeeland har informations- system som behandlar information som rör nationell säkerhet måste systemet enligt nationell reglering ackrediteras av en central myn- dighet för kommunikationssäkerhet (GCSB) innan ett resulterande formellt godkännande av systemets driftsättning kan ske. Detta gäller oavsett informationens klassificeringsnivå. Ackreditering av gene- raldirektören på GCSB (eller formell delegat) krävs vidare för an- vändning av <NOBR>högassurans-kryptoutrustning</NOBR> samt system och tjänster med kompartmentaliserad eller förbehållen (”caveated”) information klassificerad som <SPAN class="ft45">konfidentiell </SPAN>och <SPAN class="ft45">högre</SPAN>.</P>
<P class="p82 ft19">I Australien måste just kvalificerat hemliga (”top secret”) system och system som bearbetar, lagrar eller kommunicerar kvalificerat hemlig eller känslig kompartmentaliserad information godkännas av en underrättelsetjänst (ASD) innan systemet får tas i drift.</P>
<P class="p83 ft18">Av den internationella jämförelsen kan slutsatsen dras att författ- ningar och förvaltningssystem på säkerhetsskyddsområdet inte sällan påtagligt skiljer sig åt mellan olika länder. Av inhämtad tillgänglig information framgår emellertid inte närmare hur den faktiska tillämp- ligheten ser ut i respektive land och i vilken utsträckning det i prakti- ken förekommer undantag eller speciallösningar (jfr avsnitt 9.9).</P>
<P class="p825 ft41"><SPAN class="ft56">39</SPAN><SPAN class="ft81">Även kryptosystem som ska användas för att skydda säkerhetsklassificerad information måste godkännas av den nationella säkerhetsmyndigheten.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">450</P>
</DIV>
</DIV>
<DIV id="page_452">
<DIV id="p452dimg1">
<INGENBILD zsrc="H9B363452x1.jpg/" id="p452img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td96"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td49"><P class="p2 ft37">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
</TR>
</TABLE>
<P class="p826 ft62"><SPAN class="ft48">13.6</SPAN><SPAN class="ft164">Behov av samordnat samråd och nationellt godkännande för säkerhetskänslig verksamhet</SPAN></P>
<P class="p827 ft17">Säkerhetspolisen expert har under utredningen tagit upp frågan om behov av ett nationellt godkännande för säkerhetskänslig verksam- het där ett informationssystem används av flera verksamhetsutövare. I samband med det har – efter samverkan med Försvarsmakten – följande synpunkter lämnats.</P>
<P class="p828 ft180">Säkerhetspolisen ser att det finns ett behov av att lämna ett samordnat samråd och godkännande inför driftsättning av informationssystem. Detta har kommit till uttryck genom att flera verksamhetsutövare in- kommit med förfrågan till Säkerhetspolisen om samråd om driftsättning av informationssystem som är lika i sin natur, t.ex. fristående dator för hemlig information. Det finns också ett behov av gemensamma nät- verkskopplade informationssystem där flera verksamhetsutövare tillsam- mans kan utbyta information. För sådana informationssystem skulle ett nationellt godkännande enligt Säkerhetspolisen innebära att säkerhets- skyddet på ett mer enhetligt sätt omhändertas.<SPAN class="ft80">40</SPAN></P>
<P class="p829 ft180">I dagsläget har Säkerhetspolisen kännedom om i vart fall en verksam- hetsutövare som har samordnat samrådsprocessen inför driftsättning av ett informationssystem som ska användas av andra verksamhetsutövare. Förhållandet har genomgått en samrådsprocess och har inte resulterat i ett negativt yttrande från Säkerhetspolisen. Ett sådant godkännande kan dock innebära svårigheter vid tillsyn då det kan vara svårt att avgöra vil- ken verksamhetsutövare som ska bära ansvaret för en brist i säkerhets- skyddet i ett sådant informationssystem.</P>
<P class="p829 ft12">Att informationssystem godkänns för användning för alla eller flera verksamhetsutövare skulle dock i sig kunna vara positivt och i förläng- ningen möjliggöra för dessa att få tillgång till säkra informationssystem.</P>
<P class="p830 ft41">Frågan blir då vem som ska godkänna driftsättningen i ett sådant fall. Att en verksamhetsutövare själv godkänner ett informationssystem inne- bär vissa problem om hur ansvaret ska fördelas mellan de olika verksam- heterna. Ett nationellt godkännande bör därför i dessa fall lämnas av en central myndighet och kompletteras med att vissa säkerhetsskydds- frågor ska hanteras med ett lokalt godkännande hos respektive verksam- hetsutövare. Exempel på sådana frågor som bör hanteras i ett lokalt god- kännande kan vara säkerställande av att utrustningen har ett tillräckligt fysiskt skydd och att endast behörig personal har tillgång till systemet.</P>
<P class="p831 ft12">En möjlig lösning är att informationssystem som är avsedda att stödja flera eller alla säkerhetskänsliga verksamheter ska nationellt godkännas av Säkerhetspolisen. Även övriga tillsynsmyndigheter bör kunna natio- nellt godkänna informationssystem inom egen sektor efter samråd med</P>
<P class="p832 ft41"><SPAN class="ft56">40</SPAN><SPAN class="ft82">Med godkännande avses här primärt ett beslut av utpekad myndighet genom vilket kvar- varande säkerhetsrisker med verksamhetsutövares driftsättning av ett informationssystem accepteras.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">451</P>
</DIV>
</DIV>
<DIV id="page_453">
<DIV id="p453dimg1">
<INGENBILD zsrc="H9B363453x1.jpg/" id="p453img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t27">
<TR>
<TD class="tr10 td69"><P class="p2 ft31">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p833 ft12">Säkerhetspolisen. En sådan reglering bör avgränsas till informations- system som avser att hantera säkerhetsskyddsklassificerade uppgifter.</P>
<P class="p834 ft181">En reglering med nationellt godkännande bör kompletteras med att en eller flera myndigheter får i uppdrag att till andra myndigheter till- handahålla informationssystem för behandling av säkerhetsskyddsklas- sificerade uppgifter.</P>
<P class="p834 ft182">Sammanfattningsvis kan det konstateras att det finns ett behov av att kunna godkänna driftsättning av informationssystem för flera eller alla verksamhetsutövare samtidigt. En sådan lösning har både för- och nack- delar och skulle behöva hantera de andra frågor som nämnts ovan för att på ett ändamålsenligt sätt passa in i den säkerhetsskyddsrättsliga regler- ingen. Frågan om ett sådant nationellt godkännande behöver därför ut- redas närmare.</P>
<P class="p835 ft62"><SPAN class="ft48">13.7</SPAN><SPAN class="ft164">Kompletteringarna till säkerhetsskyddslagen kontra godkännandeförfarande</SPAN></P>
<P class="p561 ft17">Nästa fråga som utredningen har att ta ställning till är om de före- slagna ändringarna i säkerhetsskyddslagen är tillräckliga för att jäm- ställa med ett krav på formellt godkännande från en utpekad myn- dighet.</P>
<P class="p82 ft18">Enligt förslaget till ändring av säkerhetsskyddslagen ska verksam- hetsutövare som avser att anskaffa, utkontraktera eller överlåta säker- hetskänslig verksamhet i vissa fall samråda med sin tillsynmyndighet. Om förfarandet är olämpligt ur säkerhetsskyddssynpunkt kan till- synsmyndigheten besluta att det inte får genomföras och även in- gripa i ett pågående förfarande. Om tillsynsmyndigheten inom ramen för ett samråd inte förbjuder ett förfarande som verksamhetsutövaren planerar kan det möjligen uppfattas som ett informellt tyst godkän- nande.<SPAN class="ft79">41 </SPAN>Därmed kan verksamhetsutövare inleda vissa förfaranden som innebär hantering av hemliga uppgifter. Den föreslagna förbuds- möjligheten avser emellertid inte själva driftsättningen av informations- system. Även om tillsynsmyndigheten också ges en generell befogenhet att besluta åtgärdsförelägganden vid tillsyn saknas i nu nämnda del motsvarande förebyggande åtgärder. Inte heller står det klart huru- vida ett negativt samrådsyttrande från berörd myndighet hindrar verk-</P>
<P class="p836 ft41"><SPAN class="ft56">41</SPAN><SPAN class="ft81">Huruvida den föreslagna säkerhetsskyddsordningen kommer att innebära ett de facto- god- kännande är i dag oklart då myndigheterna har olika synpunkter om detta.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">452</P>
</DIV>
</DIV>
<DIV id="page_454">
<DIV id="p454dimg1">
<INGENBILD zsrc="H9B363454x1.jpg/" id="p454img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td96"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td49"><P class="p2 ft37">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
</TR>
</TABLE>
<P class="p193 ft18">samhetsutövares beslut att driftsätta informationssystem.<SPAN class="ft79">42 </SPAN>En skillnad mellan processerna är att samrådet inte resulterar i en tydlig stämpel på att förfarandet är lämpligt utan bara inbegriper att det inte bedömts olämpligt. Inte desto mindre torde den föreslagna ordningen – inbe- gripet anmälningsplikten och möjligheten att vid samråd besluta åt- gärdsföreläggande och förbud – i likhet med angivna krav på formellt förhandsgodkännande bidra till ökad informationssäkerhet i informa- tionssystemen. Kraven bör medföra dels ökad identifiering av ansvar för säkerhetsskydd,<SPAN class="ft79">43 </SPAN>dels minskad risk för förfaranden som är olämp- liga från säkerhetsskyddssynpunkt. Det tillkommer incitament för nog- grannare kontroll av säkerheten i verksamheterna. Den föreslagna regleringen säkerställer emellertid inte en utomstående myndighets ställningstagande i varje tillämpligt fall. Å andra sidan förutsätter även ett effektivt förfarande för myndighetsgodkännande att verk- samhetsutövaren anmäler sitt informationssystem för godkännande.</P>
<P class="p58 ft18">Ett krav på godkännande från en myndighet innan driftsättning innebär enligt Säkerhetspolisens expert att den godkännande myn- digheten till viss del övertar ansvaret från verksamhetsutövaren och förändrar den för svensk säkerhetsskyddslagstiftning grundläggande principen att det är verksamhetsutövaren som ansvarar för att säker- hetsskyddet i den egna verksamheten är tillräcklig. En sådan regler- ing innebär både för- och nackdelar.</P>
<P class="p11 ft18">Utredningen anser inte att ett förhandsgodkännande från en myn- dighet fråntar verksamhetsutövarens ansvar för säkerheten i sina informationssystem. Godkännandet av en driftsättning innebär visser- ligen att riskerna och säkerhetsnivån vid tidpunkten för godkän- nandemyndighetens granskning av verksamhetsutövarens dokumen- tation accepteras, men det är fortfarande verksamhetsutövaren som ansvarar för att se till att informationssystemet upprätthåller kraven på informationssäkerhet. Utöver skyldigheterna att anmäla sin säker- hetskänsliga verksamhet och se till att berörda system är godkända skulle verksamhetsutövaren ha att fortlöpande kontrollera säkerhe- ten och åtgärda eventuella brister i systemen.<SPAN class="ft79">44 </SPAN>Dock kan det uppstå svårigheter att närmare bedöma innehållet i det formella godkännan-</P>
<P class="p650 ft85"><SPAN class="ft56">42</SPAN><SPAN class="ft84">Ett sådant agerande skulle förmodligen innebära att verksamhetsutövaren blir föremål för tillsyn, men eftersom driftsättningen av informationssystemet redan skett har då även den even- tuella skadan för Sveriges säkerhet inträffat. Tillsynen syftar till att kontrollera att regelverket följs och är inte en förebyggande åtgärd.</SPAN></P>
<P class="p317 ft87"><SPAN class="ft56">43</SPAN><SPAN class="ft86">Den föreslagna anmälningsplikten bör också underlätta tillsynsverksamheten.</SPAN></P>
<P class="p296 ft41"><SPAN class="ft56">44</SPAN><SPAN class="ft82">Andra aspekter är tillräckligt fysiskt skydd och att endast behörig personal får tillgång till systemet.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">453</P>
</DIV>
</DIV>
<DIV id="page_455">
<DIV id="p455dimg1">
<INGENBILD zsrc="H9B363455x1.jpg/" id="p455img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t27">
<TR>
<TD class="tr10 td69"><P class="p2 ft31">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p305 ft18">det och vid efterföljande tillsyn av verksamheten förhålla sig till god- kännandemyndighetens tidigare godkännande. T.ex. kan en tillsyns- myndighets benägenhet att utdöma sanktioner för observerade säker- hetsbrister i ett informationssystem påverkas om myndigheten tidigare godkänt driftsättning av systemet och det inte genomgått någon väsentlig förändring. En annan fråga som uppstår är om ett godkän- nande kan överföras till annan myndighet.</P>
<P class="p837 ft63">För- och nackdelar med ett myndighetsgodkännande av informationssystem</P>
<P class="p838 ft46">Det kan noteras att <NOBR>it-system</NOBR> blir alltmer komplexa. Risk för skada på Sveriges säkerhet – orsakad av försumlighet, olyckshändelse eller antagonistiskt angrepp – kan uppstå omedelbart vid driftsättning av ett informationssystem i säkerhetskänslig verksamhet. Skada kan upp- komma genom att säkerhetsskyddsklassificerade uppgifter röjs, för- vanskas eller förstörs. T.ex. kan ett dataintrång röja alla uppgifter i ett system,<SPAN class="ft97">45 </SPAN>och det som väl är röjt går inte att ta tillbaka. Skada kan också uppstå genom att <NOBR>it-systemet</NOBR> förstörs och funktionalitet slås ut varpå kontinuitet i den säkerhetskänsliga verksamheten inte kan upprätthållas.<SPAN class="ft97">46 </SPAN>Därför är det viktigt att tillräckliga skyddsåtgärder vidtas före driftsättningen. Ett krav på förhandsgodkännande av be- rört informationssystems driftsättning från en kompetent oberoende tredje part kan medverka till att reducera sådana säkerhetsrisker ytter- ligare.</P>
<P class="p839 ft18">En fördel med ett godkännandeförfarande med en central myn- dighet som godkännandeorgan är att det bidrar till skapandet av en minimistandard för kontroll av säkerhet och mer enhetliga säker- hetskrav hos verksamhetsutövarna på de aktuella nivåerna. Särskilt för system som behandlar hemliga eller kvalificerat hemliga upp- gifter, dvs. det mest skyddsvärda för Sverige, finns anledning att ställa långtgående krav på säkerheten. Här gör sig nämligen de största ris-</P>
<P class="p840 ft58"><SPAN class="ft56">45</SPAN><SPAN class="ft57">Ett dataintrång behöver emellertid inte nödvändigtvis innebära att alla uppgifter i systemet röjs. En annan fråga är om uppgifterna ändå </SPAN><SPAN class="ft100">betraktas </SPAN>som röjda. Normalt sett bör man be- trakta alla uppgifter som röjda om det inte går att visa att de inte kan ha röjts för obehöriga med anledning av intrånget. I vissa undantagsfall kan dock konstateras att intrånget är av- gränsat till vissa delar och då behöver inte uppgifter som finns i andra delar av systemet be- traktas som röjda. Således bör information i ett system där dataintrång kunnat påvisas betrak- tas som röjd tills tekniska undersökningar kunnat fastställa omfattning av intrånget.</P>
<P class="p841 ft41"><SPAN class="ft56">46</SPAN><SPAN class="ft81">Säkerhetsskyddet syftar inte till att motverka påverkan på uppgifternas riktighet och till- gänglighet genom försumlighet eller olyckshändelse.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">454</P>
</DIV>
</DIV>
<DIV id="page_456">
<DIV id="p456dimg1">
<INGENBILD zsrc="H9B363456x1.jpg/" id="p456img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td96"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td49"><P class="p2 ft37">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
</TR>
</TABLE>
<P class="p126 ft17">kerna gällande, vilket – även om inte behovet av teknisk kompetens nödvändigtvis ökar – kan motivera en oberoende tredjepartsbedöm- ning av en central nationell myndighet.</P>
<P class="p80 ft23"><SPAN class="ft21">Å</SPAN><SPAN class="ft163">ena sidan är det en rimlig utgångspunkt att verksamhetsutöva- ren själv ansvarar för verksamhetens skyddsvärden. Å andra sidan måste fördelarna med ett absolut ansvar för informationssäkerheten</SPAN></P>
<P class="p842 ft23"><SPAN class="ft21">i</SPAN><SPAN class="ft163">informationsbehandlingen ställas mot vikten av kvalitetssäkring av att säkerhetskraven är uppfyllda för att förhindra allvarlig skada för Sveriges säkerhet. Till risken att informationssystemen annars blir angripna hör att informationssäkerhetsarbetet i stor utsträckning är eftersatt och utmaningarna på området är betydande.</SPAN><SPAN class="ft156">47</SPAN></P>
<P class="p843 ft18">Ett argument för att ansvaret att godkänna informationssyste- mets driftsättning bör kvarstå på verksamhetsutövaren är att denne torde ha bäst inblick i den egna verksamhetens förutsättningar och prioriteringar, särskilt när det gäller att acceptera kvarvarande säker- hetsrisker. En utomstående, även med god kompetens och omfat- tande erfarenhet av informationssäkerhet och <NOBR>IKT-system,</NOBR> kan svår- ligen överblicka verksamhetens förutsättningar på samma sätt. Detta talar för att beslut om godkännande och därmed om hantering av residualrisker bör ske inom den egna organisationen.</P>
<P class="p109 ft18">Det kan tilläggas att s.k. godkännandemyndigheter i utlandet ofta har omfattande ansvar, kompetens respektive tillsynsbefogenheter på informationssäkerhetsområdet. Detta kan jämföras med Försvars- maktens roll på säkerhetsskyddsområdet (särskilt i fråga om krypto). Trots de nyligen föreslagna bestämmelserna om säkerhetsskydd finns utrymme för en aktör att i vissa fall driftsätta ett informationssystem</P>
<P class="p844 ft18"><SPAN class="ft21">i</SPAN><SPAN class="ft150">säkerhetskänslig verksamhet utan att tillsynsmyndigheten gjort en mer ingående granskning av riskerna.</SPAN><SPAN class="ft79">48 </SPAN>I t.ex. Norge utgör godkän- nandemyndighetens process för godkännande av informationssystem som behandlar säkerhetsklassificerad information en planerad och systematisk granskning av systemet – i form av en dokumentations- genomgång – för att fastställa om det uppnås en lämplig säkerhetsnivå. Genomgången tar också fasta på om och hur negativa <NOBR>IKT-händelser</NOBR> hanteras. Vid granskningen utvärderas även informationssystemets</P>
<P class="p845 ft85"><SPAN class="ft56">47</SPAN><SPAN class="ft84">Med undantag för Säkerhetspolisens och Försvarsmaktens områden råder i sektorerna all- varliga brister när det gäller systemsäkerhet och kompetens, såväl vid offentliga som privata aktörer.</SPAN></P>
<P class="p392 ft41"><SPAN class="ft56">48</SPAN><SPAN class="ft82">Försvarsmakten gör dock i tillämpliga fall en ingående granskning innan driftsättning, så länge berörd myndighet hemställer om samråd.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">455</P>
</DIV>
</DIV>
<DIV id="page_457">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t27">
<TR>
<TD class="tr10 td69"><P class="p2 ft31">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft18">operativa miljö, dess behov av skydd och om föreslagna säkerhets- åtgärder är tillräckliga för att uppnå en lämplig skyddsnivå.</P>
<P class="p73 ft18">Den föreslagna möjligheten för tillsynsmyndigheterna på säker- hetsskyddsområdet att besluta en förhållandevis hög sanktionsavgift för överträdelser, som komplement till vitesföreläggande, kan i sig vara en tydlig och effektiv ekonomisk sanktion för den som har ett otillräckligt skydd för säkerhetsskyddsklassificerade uppgifter. Åt- gärden riktar sig vanligen mot en konstaterad överträdelse och är i huvudsak en tillbakaverkande sanktion som är handlingsdirigerande genom att verka avskräckande. När säkerhetsskyddsklassificerade upp- gifter väl röjts uppstår dock oåterkallelig risk för skada för Sveriges säkerhet, oavsett eventuellt efterföljande repressalier. I stället för att vara avhängig huruvida incitamenten i det enskilda fallet kan förutses tillräckligt motverka risktagande, t.ex. för stora och resursstarka aktörer, kan ett krav på formellt förhandsgodkännande förhindra att säkerhetskänsliga uppgifter över huvud taget hanteras före det att behörig myndighet finner säkerhetsriskläget acceptabelt. Ett god- kännandeförfarande kan också minska risken för att Sveriges säker- het skadas av misstag. Åtgärderna har olika skyddsändamål då kravet på godkännande syftar till att säkerställa att alla säkerhetskrav är upp- fyllda i förväg (innan informationssystemet används), medan sank- tionssystemet i sig primärt har en repressiv verkan. Sanktioner är alltså en för sen åtgärd då skadliga uppgifter redan kan vara röjda.</P>
<P class="p106 ft18">Utredningen noterar vidare att Sverige inte har något sådant god- kännandeförfarande som förekommer i merparten av jämförbara län- der. Den svenska samrådsmodellen framstår i sammanhanget som säregen. Regleringen som innebär att verksamhetsutövaren ska testa sina säkerhetsskyddsåtgärder och godkänna sitt informationssystem innan det får tas i drift i säkerhetskänslig verksamhet motsvarar när- mast vad som brukar gälla i utlandet för information som inte är hemlig eller kvalificerat hemlig.</P>
<P class="p70 ft20">Sammanfattande bedömning av behovet av myndighetsgodkännande</P>
<P class="p71 ft18">Sammantaget kan det enligt utredningen inte antas att effekterna av den nya säkerhetsskyddsregleringen blir att likställa med ett krav på formellt förhandsgodkännande från en utpekad myndighet. Även om det kommande systemet är tämligen omfattande är det enligt ut-</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">456</P>
</DIV>
</DIV>
<DIV id="page_458">
<DIV id="p458dimg1">
<INGENBILD zsrc="H9B363458x1.jpg/" id="p458img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td96"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td49"><P class="p2 ft37">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
</TR>
</TABLE>
<P class="p86 ft46">redningens mening inte tillräckligt heltäckande. Mot bakgrund av de allvarliga följder som nationell säkerhet riskerar bedömer utred- ningen att det finns starka skäl att överväga införandet av ett sådant godkännandeförfarande som finns i flertalet andra jämförbara län- der.<SPAN class="ft97">49 </SPAN>Ett motsvarande krav kan fylla funktionen som en ytterligare välbehövlig kontrollstation och därmed bidra till stärkt informa- tionssäkerhet i säkerhetskänslig verksamhet.<SPAN class="ft97">50 </SPAN>Som anförts ovan medför emellertid ett sådant krav även ett antal svårigheter. Ändå finner utredningen att det finns behov av att införa ytterligare krav när det gäller driftsättning av informationssystem i säkerhetskänslig verksamhet. I linje med regleringen i flertalet jämförbara länder hade ett krav på myndighetgodkännande lämpligen kunnat avse informa- tionssystem som ska hantera hemlig och/eller kvalificerat hemlig in- formation.<SPAN class="ft97">51</SPAN></P>
<P class="p118 ft18">Ett alternativ till att nu införa ett nytt krav är att avvakta tills effek- terna av de kompletterande bestämmelserna till säkerhetsskyddslagen utvärderats.<SPAN class="ft79">52 </SPAN>Utredningen anser dock inte att det finns tillräcklig an- ledning att vänta med att införa ytterligare krav på informationssystem i säkerhetskänslig verksamhet för att se effekten av de nya åtgärderna. Det är snarare angeläget att i samband med övriga skärpningar av till- synssystemet också införa krav på myndighetsgodkännande av sär- skilt skyddsvärda informationssystem, eller ett likvärdigt förfarande, som ytterligare en säkerhetsskyddsåtgärd.</P>
<P class="p65 ft18">Säkerhetspolisen har, efter samverkan med Försvarsmakten, argu- menterat för att varken samråd, ett negativt samrådsyttrande eller tillsyn formellt förhindrar driftsättning av informationssystem i säker- hetskänslig verksamhet. Mot denna bakgrund har myndigheterna föreslagit att samrådsrollen inför driftsättning och vid väsentlig för- ändring av informationssystem stärks genom att Säkerhetspolisen och Försvarsmakten ges möjlighet att förelägga verksamhetsutövare att vidta säkerhetsskyddsåtgärder och, om föreläggandet inte följs, besluta om att det ifrågavarande systemet inte får tas i drift eller för-</P>
<P class="p846 ft58"><SPAN class="ft56">49</SPAN><SPAN class="ft96">Med tanke på de likheter som finns mellan Sverige och de övriga länderna i Norden är det naturligt att dessa system kan tjäna som vägledning i frågan om krav på godkännande.</SPAN></P>
<P class="p593 ft85"><SPAN class="ft56">50</SPAN><SPAN class="ft84">Ställningstagande i fråga om kvalificerat hemlig information kräver även särskilt god för- måga att göra en hotbildsanalys.</SPAN></P>
<P class="p847 ft85"><SPAN class="ft56">51</SPAN><SPAN class="ft84">Dock bör observeras att inte särskilt många aktörer hanterar sådana system. Antalet system som behandlar kvalificerat hemliga uppgifter är begränsat och återfinns främst hos Försvars- makten, FRA och Säkerhetspolisen.</SPAN></P>
<P class="p591 ft41"><SPAN class="ft56">52</SPAN><SPAN class="ft82">Även etablerandet av cybersäkerhetscentret och dess planerade arbete är relevant i samman- hanget.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">457</P>
</DIV>
</DIV>
<DIV id="page_459">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t27">
<TR>
<TD class="tr10 td69"><P class="p2 ft31">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft18">ändras i väsentliga avseenden. En sådan lösning innebär inte någon ändring av ansvarsförhållandena och kan enligt utredningens mening vara ett lämpligt alternativ till ett krav på förhandsgodkännande från en myndighet. Fråga uppkommer således om de föreslagna verktygen i praktiken skulle omhänderta eventuella risker vid behandling av säkerhetsskyddsklassificerade uppgifter på ett likvärdigt och fullgott sätt, trots att det inte rör sig om ett formellt myndighetsgodkän- nande. Denna lösning utvärderas i avsnitt 13.8.</P>
<P class="p115 ft18">När det gäller frågan om behov av ett samordnat samråd och nation- ellt godkännande inför driftsättning av ett informationssystem, som används av flera verksamhetsutövare i säkerhetskänslig verksamhet, delar utredningen Säkerhetspolisens uppfattning (se avsnitt 13.6). På de av Säkerhetspolisen anförda skälen behöver frågan om ett sådant nationellt godkännande för säkerhetskänslig verksamhet utredas när- mare i särskild ordning och behandlas därför inte vidare i detta be- tänkande.</P>
<P class="p70 ft48"><SPAN class="ft48">13.8</SPAN><SPAN class="ft135">Ytterligare stärkt samrådsroll</SPAN></P>
<P class="p71 ft18">Enligt Säkerhetspolisen och Försvarsmakten bör uppgiften att god- känna driftsättning av informationssystem ligga kvar hos verksam- hetsutövaren. Även om verksamhetsutövaren i vissa säkerhetskäns- liga fall även ska samråda med Säkerhetspolisen eller Försvarsmakten bedömer dessa myndigheter att man för närvarande inte har möj- lighet att vidta åtgärder inför eller förbjuda en driftsättning eller väsentlig förändring av informationssystem i säkerhetskänslig verk- samhet. Däremot kan dessa myndigheter inleda tillsyn.</P>
<P class="p106 ft18">Tillsyn är emellertid en reaktiv åtgärd. Ett dataintrång kan ske redan under själva driftsättningen varför tillsyn inte är en ändamålse- nlig åtgärd för att skydda mot röjandet av säkerhetsskyddsklassi- ficerade uppgifter och därmed skada på Sveriges säkerhet. För att undvika dessa följder vid driftsättning eller väsentlig förändring av informationssystem behövs således möjlighet att vidta åtgärder innan en driftsättning sker. En samrådsskyldighet och möjlighet att både förelägga verksamhetsutövaren att vidta säkerhetsskyddsåtgärder och förbjuda en driftsättning eller förändring av ett informationssystem är i sammanhanget tänkbara förebyggande åtgärder.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">458</P>
</DIV>
</DIV>
<DIV id="page_460">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td96"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td49"><P class="p2 ft37">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
</TR>
</TABLE>
<P class="p601 ft46">Säkerhetspolisen och Försvarsmakten har bedömt att det inte finns skäl att flytta ansvaret för säkerhetsskyddet från verksamhets- utövare på det sätt som ett godkännande av en myndighet innan driftsättning skulle innebära. I stället har Säkerhetspolisen och För- svarsmakten föreslagit att deras samrådsroll inför driftsättning och vid väsentlig förändring av informationssystem stärks på samma sätt som nu sker när det gäller utkontraktering och överlåtelse av säker- hetskänslig verksamhet. Härigenom ges myndigheterna möjlighet att besluta åtgärdsföreläggande inom ramen för samrådet och, om föreläggandet inte följs, förbjuda det planerade förfarandet. Utred- ningen kan konstatera att de av regeringen föreslagna kompletter- ingarna till säkerhetsskyddslagen inte ger tillsyns- eller samrådsmyn- digheterna rätt att besluta att en driftsättning eller väsentlig föränd- ring av ett informationssystem inte får genomföras (förbud). En sådan stärkt samrådsroll har betydande likheter med ett krav på förhands- godkännande från en myndighet.</P>
<P class="p848 ft17">Nedan följer en beskrivning av hur en driftsättning eller väsentlig förändring av ett informationssystem i säkerhetskänslig verksamhet bör gå till enligt Säkerhetspolisen – från det att behovet uppstår till driftsättning.</P>
<P class="p237 ft17"><SPAN class="ft27">1.</SPAN><SPAN class="ft130">Behov av nytt informationssystem, digitalisering, (verksamhets- utövaren).</SPAN></P>
<P class="p198 ft21"><SPAN class="ft27">2.</SPAN><SPAN class="ft133">Lämplighetsprövning (verksamhetsutövaren, se nedan).</SPAN></P>
<P class="p267 ft17"><SPAN class="ft27">3.</SPAN><SPAN class="ft130">Särskild säkerhetsskyddsbedömning (verksamhetsutövaren) (krav- ställning + lämplighetsprövning).</SPAN></P>
<P class="p237 ft17"><SPAN class="ft27">4.</SPAN><SPAN class="ft130">Beslut om utveckling om så bedömts lämpligt (verksamhetsut- övaren).</SPAN></P>
<P class="p237 ft17"><SPAN class="ft27">5.</SPAN><SPAN class="ft130">Begäran om samråd – inkluderat särskild säkerhetsskyddsbedöm- ning (verksamhetsutövaren).</SPAN></P>
<P class="p198 ft21"><SPAN class="ft27">6.</SPAN><SPAN class="ft133">Utveckling (verksamhetsutövaren).</SPAN></P>
<P class="p25 ft21"><SPAN class="ft27">7.</SPAN><SPAN class="ft133">Test av säkerhetsskyddsåtgärder (verksamhetsutövaren).</SPAN></P>
<P class="p514 ft21"><SPAN class="ft27">8.</SPAN><SPAN class="ft133">Uppdatering av särskild säkerhetsskyddsbedömning skickas till Säkerhetspolisen (verksamhetsutövaren).</SPAN></P>
<P class="p24 ft21"><SPAN class="ft27">9.</SPAN><SPAN class="ft133">Samrådsyttrande inklusive förelägganden (Säkerhetspolisen)</SPAN></P>
<P class="p25 ft21">10.Hantera förelägganden (verksamhetsutövaren).</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">459</P>
</DIV>
</DIV>
<DIV id="page_461">
<DIV id="p461dimg1">
<INGENBILD zsrc="H9B363461x1.jpg/" id="p461img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t27">
<TR>
<TD class="tr10 td69"><P class="p2 ft31">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p849 ft17">11.Meddela Säkerhetspolisen planerat driftsättningsdatum (eventu- ellt behöver minsta tid från meddelande till driftsättning regleras) (verksamhetsutövaren).</P>
<P class="p136 ft21">12.Eventuellt förbud (Säkerhetspolisen).</P>
<P class="p34 ft21"><SPAN class="ft27">13.</SPAN><SPAN class="ft183">Godkännande ur säkerhetsskyddssynpunkt (verksamhetsutövaren).</SPAN></P>
<P class="p34 ft21"><SPAN class="ft27">14.</SPAN>Driftsättning (verksamhetsutövaren).</P>
<P class="p850 ft18">Det kan tilläggas att driftsättning av informationssystem i säkerhets- känslig verksamhet endast föranleder samråd med Säkerhetspolisen eller Försvarsmakten (beroende på vilket tillsynsområde verksamhets- utövaren tillhör). Endast Säkerhetspolisen och Försvarsmakten har den samlade bilden av hoten mot Sveriges säkerhet och Sveriges samlade skyddsvärden. Med hänsyn till dessa myndigheters unika sakkunskap och utpräglade roll på området finns inte skäl att ändra ordningen för vem verksamhetsutövaren ska samråda med vid drift- sättning eller förändring av informationssystem.<SPAN class="ft79">53 </SPAN>Att ytterligare öka Säkerhetspolisens och Försvarsmaktens befogenheter att inrikta säkerhetsarbetet, överpröva analyser respektive beslut, begära kom- pletterande säkerhetsåtgärder och förbjuda olämpliga driftsättningar eller förändringar av informationssystem är att anse som ett rimligt alternativ till det övervägda kravet på förhandsgodkännande. En sådan lösning innebär inte heller någon ändring av ansvaret för säkerhets- skyddet i informationssystemet. Ett förfarande för godkännande av driftsättning hanterar inte heller helheten då framtida förändringar inte omhändertas.<SPAN class="ft79">54 </SPAN>Det bör vidare framhållas att det finns betydande organisatoriska skillnader mellan å ena sidan Sverige, å andra sidan merparten av jämförbara länder där man har en central nationell cyber- säkerhetmyndighet (t.ex. Danmark, Finland och Norge)<SPAN class="ft79">55 </SPAN>med långt- gående befogenheter och samlad kompetens inom informations- och cybersäkerhet, medan ansvaret för nationell informationssäkerhet i</P>
<P class="p367 ft85"><SPAN class="ft56">53</SPAN><SPAN class="ft94">För att samrådet ska vara verkningsfullt och motverka potentiellt skadlig exponering av upp- gifter eller verksamhet i övrigt, bör det, liksom tidigare, påbörjas innan verksamhetsutövaren inleder det förfarande som medför krav på samråd.</SPAN></P>
<P class="p292 ft85"><SPAN class="ft56">54</SPAN><SPAN class="ft94">Som tidigare berörts kan baskrav för system bygga på befintliga internationella standarder och certifieringsordningar. Sedan behöver den specifika applikationen och dess fysiska miljö säkerställas. Den myndighet som hanterar kommande tillsyn behöver också på ett tydligt sätt ge återkoppling till verksamhetsutövaren på insänd anmälan att föreslagen specifik applikations driftsättning kan accepteras. Detta skall inte ses som ett generellt godkännande utan som en accept för driftsättning för just denna situation. Denna specifika applikation kommer därefter att vid behov vara föremål för tillsyn.</SPAN></P>
<P class="p554 ft41"><SPAN class="ft56">55</SPAN><SPAN class="ft114">Nasjonal sikkerhetsmyndighet </SPAN>i Norge har cirka 300 anställda.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">460</P>
</DIV>
</DIV>
<DIV id="page_462">
<DIV id="p462dimg1">
<INGENBILD zsrc="H9B363462x1.jpg/" id="p462img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td96"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td49"><P class="p2 ft37">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
</TR>
</TABLE>
<P class="p77 ft18">Sverige är påtagligt splittrat och placerat på ett flertal olika myndig- heter, däribland <NOBR>sektors-/tillsynsmyndigheter.</NOBR> Införandet av ett gene- rellt krav på att informationssystem, som behandlar hemliga och/ eller kvalificerat hemliga uppgifter, ska godkännas av en utpekad myn- dighet hade sålunda bl.a. medfört behov av substantiella tillskott och omallokering av resurser.<SPAN class="ft79">56 </SPAN>Sammantaget bedömer utredningen att det lämpligaste alternativet i nuläget är att stärka samrådsrollen på det sätt som Säkerhetspolisen och Försvarsmakten föreslagit och efter viss tid utvärdera säkerhetseffekterna av myndigheternas nya verktyg. Tillkommande erfarenheter får utvisa eventuella behov av kompletterande krav på myndighetsgodkännande.</P>
<P class="p65 ft18">En möjlig form för hur verksamhetsutövarens beslut om god- kännande av driftsättning kan ske med en ökad roll för samrådsmyn- digheten är att beslutet föregås av en lämplighetsprövning och sam- råd med Säkerhetspolisen eller Försvarsmakten. Omfattningen av ett sådant samråd behöver dock öka om en sådan stödjande process ska träffa de organisationer som är i behov av stöd. Därför bör ett förslag om sådan process kring samråd inför driftsättning eller väsentlig förändring av informationssystem utsträckas till att omfatta även system för hantering av uppgifter i säkerhetsskyddsklassen <SPAN class="ft45">konfi- dentiell </SPAN>och <SPAN class="ft45">högre</SPAN>. Utformningen av kraven bör i övrigt i möjligaste mån följa systematiken i det av regeringen föreslagna kapitlet om skyldigheter när en annan aktör kan få tillgång till säkerhetskänslig verksamhet (kapitel 4 i säkerhetsskyddslagen). Säkerhetsskyddsförord- ningens bestämmelser om förberedande åtgärder inför driftsättning av informationssystem (3 kap. <NOBR>1–3</NOBR> §§) bör därför överföras till ett nytt kapitel i säkerhetsskyddslagen. Även om samtliga dessa regler inte avser skyldigheter för enskilda finns ett värde i att ha en samman- hållen ordning för frågorna som relaterar till samrådsprocessen (se vidare nedan). Någon ändring i sak är här inte avsedd, utöver att samma krav vid driftsättning bör gälla också för väsentlig förändring av informa- tionssystemen samt att samråd med Säkerhetspolisen eller Försvars- makten inte längre begränsas till en skriftlig process.</P>
<P class="p851 ft87"><SPAN class="ft56">56</SPAN><SPAN class="ft86">I Sverige medför Säkerhetspolisens och Försvarsmaktens unika kunskaper och utpräglade roller på säkerhetsskyddsområdet att dessa myndigheter framstår som naturligt val i fråga om godkännandemyndighet, men uppgiften att godkänna hade ändå inneburit ytterligare och mer djupgående insatthet i många verksamheter.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">461</P>
</DIV>
</DIV>
<DIV id="page_463">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t27">
<TR>
<TD class="tr10 td69"><P class="p2 ft31">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p255 ft20">Närmare om väsentlig förändring av informationssystem</P>
<P class="p220 ft46">En väsentlig förändring av ett informationssystem kan, i likhet med driftsättning i säkerhetskänslig verksamhet, innebära att systemet börjar hantera säkerhetsskyddsklassificerade uppgifter. En väsentlig förändring av ett informationssystem kan exempelvis vara att</P>
<P class="p364 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">ett befintligt informationssystem ska hantera uppgifter med en högre säkerhetsskyddsklassificering än tidigare,</SPAN></P>
<P class="p101 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">ett befintligt informationssystem ska integreras eller kommu- nicera med andra informationssystem, eller när exponering av annat skäl väsentligen ökar, eller</SPAN></P>
<P class="p256 ft17"><SPAN class="ft21">–</SPAN><SPAN class="ft55">ett befintligt informationssystem ska användas i en annan säker- hetskänslig verksamhet (om inte en sådan hantering omfattas av det ursprungliga samrådet).</SPAN></P>
<P class="p624 ft17">Man kan också uttrycka det som att verksamhetsutövaren driftsätter en förändring av informationssystemet. Utredningen ser följaktligen inte bärande skäl för att kravmässigt göra en distinktion mellan dessa förfaranden.</P>
<P class="p73 ft18">Det kan noteras att den särskilda säkerhetsskyddsbedömning som ska göras vid driftsättning och väsentlig förändring av informa- tionssystem är mer långtgående än säkerhetsskyddsbedömningarna vid förfarandena som kräver säkerhetsskyddsavtal. Skillnaden är emellertid befogad med hänsyn till det särskilt känsliga läge en driftsättning innebär (se ovan).</P>
<P class="p70 ft20">Närmare om samråd och befogenheter</P>
<P class="p220 ft18">För att Säkerhetspolisen och Försvarsmakten ska få likvärdiga för- utsättningar som tillsynsmyndigheterna, för det fall de inte utövar tillsyn, bör också samrådsmyndigheten på motsvarande sätt kunna initiera samråd vid verksamhetsutövarens underlåtelse. Som tidigare berörts är det också motiverat med befogenheter att inom ramen för samrådet besluta åtgärdsföreläggande och vid behov besluta om för- bud. Samrådet med samrådsmyndigheten bör, i likhet med samråd med tillsynsmyndigheterna, inte vara begränsat till en skriftlig pro- cess. Även muntliga samråd med tillsynsmyndigheterna är avsedda att dokumenteras. Det följer redan av förvaltningslagen (2017:900)</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">462</P>
</DIV>
</DIV>
<DIV id="page_464">
<DIV id="p464dimg1">
<INGENBILD zsrc="H9B363464x1.jpg/" id="p464img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td96"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td49"><P class="p2 ft37">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
</TR>
</TABLE>
<P class="p77 ft18">att en myndighet som får uppgifter på något annat sätt än genom en handling snarast ska dokumentera dem, om de kan ha betydelse för ett beslut i ärendet (21 §). Vidare underlättar upphävandet av form- kravet för berörd myndighet att göra en lämplig anpassning av sam- rådet utifrån föreliggande omständigheter och behov av skyndsamhet. Samrådsmyndigheten bör på samma sätt som gäller för tillsynsmyn- digheterna, inom ramen för samrådet få besluta att förelägga verk- samhetsutövaren att vidta åtgärder för att fullgöra sina skyldigheter enligt säkerhetsskyddslagen och föreskrifter som har meddelats i an- slutning till den lagen. Åtgärdsföreläggandet fyller, även inför drift- sättning eller förändring av informationssystem, funktionen att be- skriva vad som behöver göras för att det planerade förfarandet ska vara godtagbart från säkerhetsskyddssynpunkt.<SPAN class="ft79">57 </SPAN>Befogenheten möj- liggör för samrådsmyndigheten att förelägga verksamhetsutövaren att vidta säkerhetsskyddsåtgärder för att avhjälpa brister i ett infor- mationssystem som kan komma att behandla säkerhetsklassificerade uppgifter. Frågan är kopplad till vilka krav på säkerhetsskyddsåtgär- der som Säkerhetspolisen har föreskrivit. Det skulle t.ex. kunna vara föreläggande om att vidta konkreta säkerhetsskyddsåtgärder såsom flerfaktorsautentisering<SPAN class="ft79">58 </SPAN>eller att åtgärda brister i separationen av informationssystem. Samrådsmyndigheten kan vidare t.ex. förelägga verksamhetsutövaren att göra en dimensionerad hotbildsbedömning (jfr avsnitt 6.4.2) om sådan underlåtits. Ytterligare ett exempel är att det finns krav på att verksamhetsutövaren ska genomföra egna granskningar av informationssystem och samrådsmyndigheten anser att genomförda granskningar inte är tillräckliga, då skulle myndig- heten kunna förelägga verksamhetsutövaren att genomföra komplet- terande granskningar. Förutsatt att Säkerhetspolisen eller Försvars- makten föreskrivit ett krav på användande av certifierad <NOBR>IKT-produkt</NOBR> så skulle samrådsmyndigheten även kunna förelägga verksamhets- utövaren att använda en sådan certifierad produkt vid driftsättning eller förändring av sitt informationssystem. Dessa åtgärdsföreläggan-</P>
<P class="p793 ft58"><SPAN class="ft56">57</SPAN><SPAN class="ft96">Behovet av att säkerhetsbrister åtgärdas kan öka när det rör sig om driftsättning av ett in- formationssystem av påtaglig betydelse för samhällsviktig verksamhet och nationell säkerhet. Förvaltningslagen innehåller allmänna krav på skyndsam handläggning. Å andra sidan kan en verksamhetsutövares planering av en driftsättning i vissa fall ta ett par år.</SPAN></P>
<P class="p847 ft87"><SPAN class="ft56">58</SPAN><SPAN class="ft86">Flerfaktorsautentisering är en metod för åtkomstkontroll där användare endast beviljas åt- komst efter att framgångsrikt ha presenterat flera separata bevis för en autentiseringsmeka- nism. En lyckad identitetskontroll förutsätter vanligtvis två eller flera former av information (t.ex. lösenord, smartkort och biometrisk autentisering) inom kategorierna kunskap, innehav och inneboende.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">463</P>
</DIV>
</DIV>
<DIV id="page_465">
<DIV id="p465dimg1">
<INGENBILD zsrc="H9B363465x1.jpg/" id="p465img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t27">
<TR>
<TD class="tr10 td69"><P class="p2 ft31">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p270 ft17">den behöver enligt utredningen inte kunna förenas med vite. Ett skäl till detta är att följden av att inte följa ett föreläggande är att det planerade förfarandet inte får genomföras, och att något ytterligare incitament för verksamhetsutövaren att följa föreläggandet inte lär behövas. Därutöver bör överträdelser av samrådsskyldigheten eller agerande i strid mot meddelat förbud kunna föranleda sanktionsavgift (se nedan).</P>
<P class="p73 ft18">Ett förbud bör även kunna aktualiseras när den planerade drift- sättningen eller förändringen av ett informationssystem bedöms olämpligt även om ytterligare åtgärder vidtas. Möjligheten att besluta sådana förbud är av stor vikt för att förhindra att förfaranden som kan skada Sveriges säkerhet genomförs. Befogenheten bör tillkomma respektive samrådsmyndighet, bl.a. eftersom samrådsmyndigheten genom samrådet redan är insatt i ärendet och ett sådant förfarande är i linje med vad som gäller för tillsyn vid anskaffning och över- låtelse av säkerhetskänslig verksamhet.<SPAN class="ft79">59 </SPAN>Det bör framhållas att ett beslut om att förbjuda ett visst förfarande är en mycket långtgående åtgärd och bör användas restriktivt. Samrådsmyndigheten måste också i varje enskilt fall göra en proportionalitetsbedömning.<SPAN class="ft79">60</SPAN></P>
<P class="p70 ft20">Ett krav på lämplighetsprövning bör införas</P>
<P class="p71 ft18">Säkerhetspolisen anser att verksamhetsutövaren även inför driftsätt- ning och väsentlig förändring av informationssystem bör göra en lämplighetsprövning i enlighet med vad som gäller vid anskaffning, utkontraktering och överlåtelse av säkerhetskänslig verksamhet. Verk- samhetsutövaren ska således pröva lämpligheten av införandet av ett informationssystem baserat på dess möjliga påverkan på Sveriges säkerhet. Prövningen avser att hantera situationer där introduce- randet av ett informationssystem kommer innebära stora risker för Sveriges säkerhet och som inte kan hanteras genom att vidta säker- hetsskyddsåtgärder. Det kan exempelvis röra som om funktioner som:</P>
<P class="p545 ft85"><SPAN class="ft56">59</SPAN><SPAN class="ft94">Överklagande av dessa förbudsbeslut ska dock ske till förvaltningsdomstol och inte reger- ingen (se kapitel 15).</SPAN></P>
<P class="p852 ft41"><SPAN class="ft56">60</SPAN><SPAN class="ft81">I fall Säkerhetspolisen och Försvarsmakten har tillsynsansvar ska de enligt regeringens pro- position 2020/21:194 även ha möjlighet att ingripa i vissa pågående förfaranden genom före- läggande.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">464</P>
</DIV>
</DIV>
<DIV id="page_466">
<DIV id="p466dimg1">
<INGENBILD zsrc="H9B363466x1.jpg/" id="p466img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td96"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td49"><P class="p2 ft37">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
</TR>
</TABLE>
<P class="p853 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">kraftigt påverkar samhällets motståndskraft, t.ex. att flera redun- danta samhällsviktiga funktioner ersätts av ett informationssystem, och/eller</SPAN></P>
<P class="p726 ft17"><SPAN class="ft27">–</SPAN><SPAN class="ft50">sammanställningar av olika datamängder som inte ska vara möj- liga att sammanställa (s.k. </SPAN><NOBR>aggregat-problematik).</NOBR></P>
<P class="p854 ft18">Det rör sig alltså om funktioner som oavsett hur väl dessa skyddas innebär ett stort risktagande för Sveriges säkerhet. Lämplighetspröv- ningen syftar således primärt till att verksamhetsutövaren i ett tidigt skede ska vara tvungen att ta ställning till om digitaliseringen är lämplig med tanke på dess effekt på Sveriges säkerhet. Lämplighets- prövningens största effekt är dock att i ett tidigt skede få upp frågor gällande Sveriges säkerhet och att tvinga verksamhetsutövaren att ta ställning. Det innebär också, i de fall som digitaliseringen bedöms olämplig, att onödigt utvecklingsarbete inte behöver genomföras.<SPAN class="ft79">61</SPAN></P>
<P class="p109 ft18">Som framgår ovan bör enligt Säkerhetspolisen lämplighetspröv- ningen göras före den särskilda säkerhetsskyddsbedömningen, direkt efter att verksamhetsutövaren har konstaterat att det finns ett behov av ett nytt informationssystem eller en väsentlig förändring. Reger- ingen har emellertid föreslagit att säkerhetsskyddsbedömningen ska göras först, när det gäller anskaffning och överlåtelse av säkerhets- känslig verksamhet. Ett skäl till den omvända ordning som Säkerhets- polisen förespråkar är att inga skyddsåtgärder kan minska framtida säkerhetsrisker när en driftsättning i säkerhetskänslig verksamhet väl sker, och att den särskilda säkerhetsskyddsbedömningen syftar till att identifiera just åtgärder för ökad säkerhet i systemet. Denna prövning syftar till att i ett tidigt skede tydliggöra för verksamhets- utövaren, i ett bredare perspektiv, huruvida planerad digitalisering är lämplig och erforderliga krav över huvud taget kan mötas (se ovan).</P>
<P class="p847 ft17"><SPAN class="ft21">Å</SPAN><SPAN class="ft88">andra sidan torde sådana slutsatser till följd av en lämplighets- prövning i sig förutsätta en bedömning av risker och hot, vilket en säkerhetsskyddsbedömning inbegriper.</SPAN></P>
<P class="p119 ft18">Utredningen finner mot bakgrund av det ovan anförda att verk- samhetsutövaren, i likhet med vad som gäller när en annan aktör kan få tillgång till säkerhetskänslig verksamhet, även ska vidta en lämp- lighetsprövning inför driftsättning eller väsentlig förändring av in- formationssystem i säkerhetskänslig verksamhet och att prövningen</P>
<P class="p855 ft41"><SPAN class="ft56">61</SPAN><SPAN class="ft82">Säkerhetspolisen och Försvarsmakten torde kunna meddela närmare vägledning om för- farandet i sina föreskrifter.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">465</P>
</DIV>
</DIV>
<DIV id="page_467">
<DIV id="p467dimg1">
<INGENBILD zsrc="H9B363467x1.jpg/" id="p467img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t27">
<TR>
<TD class="tr10 td69"><P class="p2 ft31">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft18">ska dokumenteras. Tillräckliga skäl att avvika från den ordningsföljd som föreslås gälla vid anskaffning och överlåtelse av säkerhetskänslig verksamhet – genom att föreskriva att lämplighetsprövningen ska ske före den särskilda säkerhetsskyddsbedömningen – föreligger inte. Då lämplighetsprövningen fyller en annan funktion än verksamhets- utövarens godkännande av driftsättning, som innebär ett beslut att kvarstående risker med användning av informationssystemet accep- teras, ska befintligt krav på godkännande kvarstå. Godkännandet sker lämpligen efter fullbordat samråd.</P>
<P class="p70 ft20">Närmare om överlappningar, undantag och samverkan</P>
<P class="p355 ft18">Fråga uppkommer om skyldigheten att pröva det planerade förfaran- dets lämplighet även kan överlappa med motsvarande krav vid anskaff- ning, utkontraktering och överlåtelse av säkerhetskänslig verksamhet. Om ett sådant förfarande omfattas av reglerna om överlåtelse av säkerhetskänslig verksamhet kan sättas ifråga om förfarandet även behöver omfattas av den nu föreslagna skyldigheten att göra en lämp- lighetsprövning. Samma sak gäller förslaget om krav på samråd. Sam- råd vid utkontraktering respektive driftsättning prövar emellertid olika saker. Ett samråd vid utkontraktering ska göras före upphandlingen där leverantören vidtar åtgärder som medför att denne får tillgång till säkerhetskänslig verksamhet. Efter samrådet för utkontraktering sker själva upphandlingen. Om driftsättning av ett informationssystem omfattas av det som upphandlas bör själva driftsättningen också blir föremål för samråd. I det samrådet ska då prövas om tillräckliga skydds- åtgärder i systemet är vidtagna. I detta avseende kan samråden således inte anses vara överlappande.<SPAN class="ft79">62</SPAN></P>
<P class="p106 ft18">När det gäller frågan om att undvika överlappande regleringar anser Säkerhetspolisen att det i nuläget inte är påkallat med en rätt att besluta om undantag från de föreslagna skyldigheterna i säker- hetsskyddslagen avseende samråd m.m. Ett sådant behov av undan- tag kan möjligen minska av den av regeringen övervägda<SPAN class="ft79">63 </SPAN>skyldig- heten för tillsynsmyndigheten att i vissa fall ge samrådsmyndigheten</P>
<P class="p682 ft85"><SPAN class="ft56">62</SPAN><SPAN class="ft94">I t.ex. fall då verksamhetsutövaren köper in ett färdigt informationssystem, som inte heller ska driftsättas av leverantören, kommer leverantören aldrig att få tillgång till de säkerhets- skyddsklassificerade uppgifterna.</SPAN></P>
<P class="p856 ft41"><SPAN class="ft56">63</SPAN><SPAN class="ft81">Regeringen utreder för närvarande frågan om yttrande vid samråd i sitt fortsatta arbete med säkerhetsskyddsförordningen.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">466</P>
</DIV>
</DIV>
<DIV id="page_468">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td96"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td49"><P class="p2 ft37">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
</TR>
</TABLE>
<P class="p244 ft17">tillfälle att yttra sig vid ett samråd. Utredningen finner således inte anledning att i denna del lämna förslag på föreskriftsrätt i fråga om undantag.</P>
<P class="p186 ft17">Vidare torde samrådsmyndigheterna, när dessa inte utövar tillsyn, i behövliga fall informeras av tillsynsmyndigheten om verksamhets- utövare planerar driftsättning av informationssystem och därmed få kännedom om denne vidtar erforderliga åtgärder. Denna samverkan kan lösas praktiskt.</P>
<P class="p131 ft20">Sanktionsavgift som ett komplement</P>
<P class="p232 ft18">En avsaknad av ingripandebefogenheter gör att det finns en risk att verksamhetsutövare är mindre benägna att efterleva säkerhetsskydds- lagstiftningens krav, särskilt eftersom säkerhetsskyddsåtgärder kan vara kostsamma. Det har också framkommit att det finns fall där påpekade brister inte rättats till (se bl.a. SOU 2015:25 s. <NOBR>476–478).</NOBR> Detta är inte en acceptabel ordning när det gäller åtgärder som ska motverka risker för Sveriges säkerhet. Utredningen anser därför att det, i linje med regeringens förslag i proposition 2020/21:194, bör införas en möjlighet även för samrådsmyndigheten att besluta om sanktionsavgift för att säkerställa säkerhetsskyddslagstiftningens efter- levnad. Utredningen finner på de av regeringen anförda skälen att sanktionsavgift är ett lämpligt ingripande vid överträdelser som avser samrådsskyldigheten och meddelat förbud (se prop. 2020/21:194, s. 85 ff.). Samrådsmyndigheternas befogenhet bör i denna del mot- svara tillsynsmyndigheternas och följa samma system som reger- ingen föreslagit (se avsnitt 13.4.4 och det av regeringen föreslagna 7 kap. i säkerhetsskyddslagen om administrativa sanktionsavgifter). Således ska det inte vara obligatoriskt att ta ut sanktionsavgift när en överträdelse konstaterats, utan det är samrådsmyndigheten som avgör om en avgift ska tas ut i det enskilda fallet. De omständigheter som särskilt ska beaktas vid den bedömningen anges i den av reger- ingen föreslagna 7 kap. 3 § i säkerhetsskyddslagen. Även statliga myn- digheter, kommuner och regioner ska kunna påföras sanktionsavgift. Innan samrådsmyndigheten tar ut en sanktionsavgift ska verksamhets- utövaren, enligt förvaltningslagen, ges tillfälle att yttra sig.</P>
<P class="p122 ft18">För ett effektivt samrådsförfarande som bidrar till ett bättre säker- hetsskydd är det av stor vikt att den verksamhetsutövare som är skyl-</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">467</P>
</DIV>
</DIV>
<DIV id="page_469">
<DIV id="p469dimg1">
<INGENBILD zsrc="H9B363469x1.jpg/" id="p469img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t27">
<TR>
<TD class="tr10 td69"><P class="p2 ft31">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p305 ft19">dig att samråda lämnar korrekta uppgifter till samrådsmyndigheten i samband med samrådet. I syfte att motverka att oriktiga uppgifter lämnas vid samråd bör det vara möjligt att besluta om sanktions- avgift mot verksamhetsutövare när så ändå har skett.<SPAN class="ft101">64</SPAN></P>
<P class="p82 ft18">Försvarsmakten har väckt frågan om inte även en underlåtelse av verksamhetsutövaren att godkänna driftsättningen av ett informa- tionssystem i säkerhetskänslig verksamhet bör kunna föranleda sank- tionsavgift från samrådsmyndigheten. Utredningen lämnar förslag om <SPAN class="ft45">samråds</SPAN>myndighetens möjlighet att ta ut sanktionsavgift, och bedömer att utgångspunkten bör vara att godkännandet sker efter det att samrådet avslutats. En risk med en sådan befogenhet som Försvarsmakten föreslår är således att samrådsrollen blir alltför ut- sträckt. Överträdelser som enligt utredningens förslag ska kunna rendera en sanktionsavgift är om samrådsskyldigheten åsidosatts, för- bud inte respekteras eller oriktiga uppgifter lämnats vid samråd. Verk- samhetsutövaren får inte – utan att först samråda – driftsätta eller väsentligen ändra informationssystem som kan förutses komma att behandla <SPAN class="ft45">konfidentiella </SPAN>uppgifter och <SPAN class="ft45">högre</SPAN>, eller andra system där åtkomst kan medföra inte obetydlig skada för Sveriges säkerhet. Om denna skyldighet överträds ska alltså sanktionsavgift kunna utdömas av samrådsmyndigheten. En annan fråga är om <SPAN class="ft45">tillsynsmyndigheterna </SPAN>bör ha befogenheten att ta ut sanktionsavgift vid bristande godkän- nande och vilken skada som annars riskeras för Sveriges säkerhet. Mot bakgrund av de förslag som regeringen respektive utredningen lämnar om anmälningsplikt, lämplighetsprövning, nya kraftfulla verk- tyg för samråds- och tillsynsmyndigheterna (bl.a. åtgärdsföreläggande och förbud) och sanktionssystemet i övrigt finns, enligt utredningens mening, för närvarande inte tillräckliga skäl att även sanktionsbe- lägga godkännandkravet. Om det med tillkommande erfarenheter visar sig finnas behov av sanktioner även i denna del får den frågan be- handlas närmare i kommande lagstiftningsärende.</P>
<P class="p857 ft41"><SPAN class="ft56">64</SPAN><SPAN class="ft81">I vilken mån oriktiga uppgifter lämnats uppsåtligen eller i vilken utsträckning det varit oakt- samt ska beaktas vid bedömningen av om sanktionsavgift ska tas ut (se den av regeringen i proposition 2020/21:194 föreslagna 6 kap. 3 § i säkerhetsskyddslagen).</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">468</P>
</DIV>
</DIV>
<DIV id="page_470">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td96"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td49"><P class="p2 ft37">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
</TR>
</TABLE>
<P class="p5 ft26"><SPAN class="ft26">13.8.1</SPAN><SPAN class="ft140">Certifiering som komplement</SPAN></P>
<P class="p232 ft19">Säkerhetspolisen och Försvarsmakten får anses ha möjlighet att inom befintligt mandat föreskriva bl.a. om krav på användning av certifie- rad IKT, när så bedöms lämpligt, som en säkerhetsskyddsåtgärd som ger möjlighet att öka säkerheten i informationssystemet. Dessutom kommer den föreslagna befogenheten att besluta åtgärdsföreläg- gande att inrymma sådana krav på certifiering som en säkerhets- skyddsåtgärd. Även om det från experthåll lämnats synpunkter på att det är oklart i vilken utsträckning en sådan åtgärd har ändamåls- enliga effekter för säkerheten i systemet bedömer utredningen att en användning av certifierade <NOBR>IKT-produkter</NOBR> kan stärka säkerheten i nätverks- och informationssystemen (se utförligare redogörelse i kapitel 12).</P>
<P class="p58 ft18">Krav på ökad användning av <NOBR>IKT-produkter</NOBR> certifierade inom det europeiska ramverket för cybersäkerhetscertifiering, med tillägg av de nationella krav som kan komma att ställas, är ett sätt att höja säkerheten i informations- och nätverkssystem. Utredningen kan sam- tidigt notera att användning av certifierad IKT, oavsett tillägg av natio- nella krav, inte ger någon garanti för fullständig säkerhet i systemen. Utredningen bedömer att möjligheten till ökad användning av certi- fierad IKT i förening med samrådsmyndigheternas möjlighet att när- mare reglera denna fråga (genom föreskrifter och förelägganden vid samråd om att vidta säkerhetsskyddsåtgärder) torde medföra ökad säkerhet i informationssystemen. Härtill kommer rätten att förbjuda planerade förfaranden som inte uppfyller tillräckliga säkerhetskrav.</P>
<P class="p131 ft26">Sammanfattande slutsatser</P>
<P class="p408 ft17">Mot bakgrund av det ovan anförda, och med beaktande av de änd- ringar i säkerhetsskyddslagen som regeringen föreslagit, anser utred- ningen att nu nämnda åtgärder bör utvärderas innan kompletterande krav på myndighetsgodkännande, eller införande av en nationellt särskilt anpassad ordning för certifiering av IKT i säkerhetskänslig verksamhet, övervägs.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">469</P>
</DIV>
</DIV>
<DIV id="page_471">
<DIV id="p471dimg1">
<INGENBILD zsrc="H9B363471x1.jpg/" id="p471img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t27">
<TR>
<TD class="tr10 td69"><P class="p2 ft31">Krav på godkännande och utvidgat samrådsförfarande för informationssystem</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p201 ft26"><SPAN class="ft26">13.8.2</SPAN><SPAN class="ft140">Bestämmelserna ska tas in i säkerhetsskyddslagen</SPAN></P>
<P class="p220 ft18">Bestämmelserna om samråd, förelägganden och förbud kommer med den utvidgning som utredningen föreslår delvis att avse förhållanden mellan enskilda och det allmänna. De innehåller också skyldigheter för enskilda. De bör därför tas in i säkerhetsskyddslagen.<SPAN class="ft79">65 </SPAN>I lagen bör anges att myndigheten som verksamhetsutövaren ska samråda med är den myndighet som regeringen bestämmer. I förordning om ändring i säkerhetsskyddsförordningen bör föreskrivas att Säkerhets- polisen och Försvarsmakten är samrådsmyndigheter enligt säkerhets- skyddslagen inom sitt respektive ansvarsområde.</P>
<P class="p858 ft113"><SPAN class="ft56">65</SPAN><SPAN class="ft112">Säkerhetsskyddsförordningens bestämmelser om förberedande åtgärder inför driftsättning av informationssystem (3 kap. </SPAN><NOBR>1–3</NOBR> §§) ska överföras till säkerhetsskyddslagen.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">470</P>
</DIV>
</DIV>
<DIV id="page_472">
<DIV id="p472dimg1">
<INGENBILD zsrc="H9B363472x1.jpg/" id="p472img1">
</DIV>
<P class="p859 ft185"><SPAN class="ft16">14</SPAN><SPAN class="ft184">Tillgång till informationssystem vid tillsyn</SPAN></P>
<P class="p860 ft18"><SPAN class="ft59">Förslag: </SPAN>I säkerhetsskyddslagen införs en ny bestämmelse med innebörden att tillsynsmyndigheten ska, i den omfattning som det behövs för tillsynen, ha rätt att få tillgång till informationssystem som används i verksamhet som omfattas av tillsyn. Tillsynsmyn- digheten ska även få besluta att förelägga den som står under till- syn att ge tillgång till sådana informationssystem samt ha möjlig- het att förena föreläggandet med vite.</P>
<P class="p861 ft21"><SPAN class="ft26">Bedömning: </SPAN>Tillsynsmyndigheten kommer kunna begära hand- räckning av Kronofogdemyndigheten för att genomföra den ovan nämnda tillsynsåtgärden.</P>
<P class="p378 ft48"><SPAN class="ft48">14.1</SPAN><SPAN class="ft135">Inledning</SPAN></P>
<P class="p300 ft18">Den som står under tillsyn enligt säkerhetsskyddslagen (2018:585) ska enligt regeringens lagförslag i propositionen <SPAN class="ft45">Ett starkare skydd för Sveriges säkerhet </SPAN>(prop. 2020/21:194) ge tillsynsmyndigheten den information som behövs för tillsynen och, i nödvändig omfattning, tillträde till områden, lokaler och andra utrymmen, dock inte bostä- der, som används i verksamhet som omfattas av tillsyn. Tillsynsmyn- digheten ska vidare enligt förslaget få förelägga den som står under tillsyn att tillhandahålla informationen och ge tillträde till utrym- mena vid äventyr av vite (6 kap. 3 och 4 §§). Tillsynsmyndigheten ska även få begära handräckning av Kronofogdemyndigheten för att genomföra tillsynsåtgärderna (6 kap. 5 §).</P>
<P class="p186 ft17">Utredningen noterar att ovan nämnda undersökningsbefogen- heter inte inbegriper någon uttrycklig rätt för tillsynsmyndigheten</P>
<P class="p862 ft31">471</P>
</DIV>
<DIV id="page_473">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Tillgång till informationssystem vid tillsyn</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p863 ft21">att få tillgång till verksamhetsutövarens informationssystem. Beho- vet av en sådan befogenhet behandlas nedan.</P>
<P class="p864 ft62"><SPAN class="ft48">14.2</SPAN><SPAN class="ft164">Det finns skäl att införa ytterligare en undersökningsbefogenhet</SPAN></P>
<P class="p865 ft46">Ett skäl för regeringens förslag (prop. 2020/21:194) att införa under- sökningsbefogenheter är att en tillträdesrätt bedöms vara nödvändig för att tillsynsmyndigheterna ska kunna bedriva ett effektivt arbete med att kontrollera att säkerhetsskyddslagen följs och att därigenom motverka skador på Sveriges säkerhet. Varken befintlig eller före- slagen säkerhetsskyddsreglering innehåller emellertid befogenheter för utövande av tillsyn över verksamhetsutövarens informations- system av betydelse för säkerhetskänslig verksamhet. Befogenhet att få tillgång till information och uppgifter om ett informationssystem är inte samma sak som att få tillträde eller tillgång till själva infor- mationssystemet (se nedan).</P>
<P class="p866 ft17">Utredningen anser att ett effektivt system för tillsyn inte kan bygga på antagandet att det finns samförstånd mellan tillsynsmyn- digheten och tillsynsobjektet. Detta gäller inte minst med hänsyn till de skyddsvärden det är fråga om samt eftersom antalet verksamheter av betydelse för Sveriges säkerhet har ökat i takt med privatiseringen av offentlig verksamhet och får antas fortsätta öka framöver (se prop. 2017/18:89 s. 125).</P>
<P class="p83 ft18">Samhällets utveckling och den ökande digitaliseringen av säker- hetskänslig verksamhet innebär att tillsynsmyndigheten vid tillsyn som regel behöver kontrollera vilka säkerhetsskyddåtgärder som vidtagits i informationssystem. För att genomföra en sådan kontroll är det, till skillnad från t.ex. kontroll av fysiska säkerhetsskyddsåtgär- der, i de flesta fall inte tillräckligt att passivt besiktiga informations- systemet genom designgranskning, granskning av olika dokument och underlag samt intervjuer. Det är först efter genomförandet av aktiva tekniska kontroller, t.ex. simulerade angreppsförsök, som det går att bedöma om de säkerhetsskyddsåtgärder som vidtagits i syste- met är tillräckliga, eller det kan påvisas att ett informationssystem inte är exponerat mot oskyddade nätverk. Kontroll av informationssäker- heten i ett informationssystem kan därmed endast ske genom att aktivt kontrollera och testa säkerhetsskyddsåtgärderna i systemet</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">472</P>
</DIV>
</DIV>
<DIV id="page_474">
<DIV id="p474dimg1">
<INGENBILD zsrc="H9B363474x1.jpg/" id="p474img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td97"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td98"><P class="p2 ft37">Tillgång till informationssystem vid tillsyn</P></TD>
</TR>
</TABLE>
<P class="p126 ft21">tillsammans med dess omkringliggande infrastruktur, s.k. teknisk säkerhetsgranskning.<SPAN class="ft102">1</SPAN></P>
<P class="p262 ft18">För att tillsynsmyndigheten ska kunna bedriva en effektiv tillsyn även avseende informationssystem bör den därför ha rätt att, i den omfattning som det behövs för tillsynen, få tillgång till de informa- tionssystem som är av betydelse för säkerhetskänslig verksamhet och som används i verksamhet som omfattas av tillsyn.<SPAN class="ft79">2 </SPAN>Mot detta intresse måste man ställa den enskildes rättigheter. Var och en har bl.a. rätt till skydd mot husrannsakan och liknande intrång samt mot intrång i den personliga integriteten och för sin korrespondens.<SPAN class="ft79">3 </SPAN>Husrannsakan kan också göras i <NOBR>it-miljö.</NOBR> Även en undersökning i ett informationssystem på distans, som inte inbegriper fysisk tillgång till systemet, motsvarar, i fråga om integritetsintrång, i princip en husrannsakan (jfr SOU 2017:100, s. <NOBR>314–316).</NOBR> Det kan tilläggas att undersökningsmetoden inte syftar till beslagtagande av den elektro- niskt lagrade informationen. Inskränkningar i den enskildes skydd kan godtas, under förutsättning att de är lagliga och nödvändiga i ett demokratiskt samhälle för att tillgodose något av de intressen som artikel 8 i Europakonventionen anger, däribland den nationella säker- heten. Den nu föreslagna rätten till tillgång avser en avgränsad krets, nämligen aktörer som använder informationssystem i säkerhetskäns- lig verksamhet. Förslaget bedöms vara nödvändigt för att tillsyns- myndigheterna ska kunna bedriva ett effektivt arbete med att kon- trollera att säkerhetsskyddslagen följs och att därigenom motverka skador på Sveriges säkerhet. Den föreslagna tillgångsrätten bedöms således utgöra en godtagbar inskränkning av enskildas fri- och rättig- heter. Det ankommer dock alltid på de rättstillämpande myndigheterna att göra en bedömning av om den vidtagna undersökningsåtgärden är proportionerlig i det enskilda fallet (jfr 5 § tredje stycket för- valtningslagen [2017:900]).</P>
<P class="p867 ft107"><SPAN class="ft56">1</SPAN><SPAN class="ft105">I t.ex. Finland har Transport- och kommunikationsverket rätt att av myndigheter få tillgång till uppgifterna om de informationssystem och den datakommunikation som verket ska bedöma eller som är föremål för utredning samt, i den utsträckning det behövs för bedömningens ut- förande, tillträde till informationssystemet och lokaler där uppgifter som ingår i systemet behandlas (6 § lagen [2011/1406] om bedömning av informationssäkerheten i myndigheternas informa- tionssystem och datakommunikation).</SPAN></P>
<P class="p868 ft85"><SPAN class="ft56">2</SPAN><SPAN class="ft84">Därmed kan undersökningar komma att göras i informationssystem som innehåller säker- hetsskyddsklassificerade uppgifter.</SPAN></P>
<P class="p639 ft113"><SPAN class="ft56">3</SPAN><SPAN class="ft119">Se 2 kap. 6 § regeringsformen och artikel 8 i Europakonventionen. En genomsökning av datalagrad information på ett kontor kan utgöra en inskränkning av verksamhetsutövarens rätt till respekt för sin korrespondens (se bl.a. </SPAN><SPAN class="ft121">Wieser and Bicos Beteiligungen GmbH mot Österrike</SPAN>, mål nr 74336/01 och dom den 16 oktober 2007).</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">473</P>
</DIV>
</DIV>
<DIV id="page_475">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Tillgång till informationssystem vid tillsyn</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p869 ft17">På samma sätt som när det gäller tillträde till lokaler och liknande bör tillsynsmyndigheten även få förelägga den som står under tillsyn att ge tillgång till informationssystem vid äventyr av vite, samt få be- gära handräckning av Kronofogdemyndigheten för att genomföra tillsynsåtgärden.</P>
<P class="p870 ft187"><SPAN class="ft48">14.3</SPAN><SPAN class="ft186">Bestämmelserna ska tas in i säkerhetsskyddslagen</SPAN></P>
<P class="p128 ft18">Bestämmelserna om tillgång till informationssystem avser, på samma sätt som tillsynsmyndighetens övriga befogenheter, delvis förhållandet mellan enskilda och det allmänna och gäller delvis även skyldigheter för enskilda gentemot det allmänna. De ska därför tas in i säkerhets- skyddslagen, lämpligen genom ett tillägg till de av regeringen föreslagna bestämmelserna om undersökningsbefogenheter i 6 kap. 3 och 4 §§ (se prop. 2020/21:194, s. 12).</P>
<P class="p324 ft17">Utredningen bedömer att tillsynsmyndigheten redan med stöd av den av regeringen föreslagna bestämmelsen i 6 kap. 5 § säkerhets- skyddslagen kan begära handräckning av Kronofogdemyndigheten för att genomföra den ovan nämnda tillsynsåtgärden, utan att lydel- sen behöver ändras. Denna bestämmelse hänvisar nämligen tillbaka till 6 kap. 3 §.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">474</P>
</DIV>
</DIV>
<DIV id="page_476">
<DIV id="p476dimg1">
<INGENBILD zsrc="H9B363476x1.jpg/" id="p476img1">
</DIV>
<P class="p0 ft16">15 Handläggning och överklagande</P>
<P class="p871 ft21"><SPAN class="ft26">Förslag: </SPAN>Samrådsmyndighetens beslut om föreläggande under sam- råd samt om förbud och sanktionsavgift ska få överklagas till Förvaltningsrätten i Stockholm. På samma sätt ska även tillsyns- myndighetens beslut att förelägga tillsynsobjekt att ge tillgång till informationssystem få överklagas. När sådana beslut överklagas ska samråds- eller tillsynsmyndigheten vara motpart i domstolen. Det ska krävas prövningstillstånd vid överklagande till kammar- rätten.</P>
<P class="p872 ft17">Tillsynsmyndighetens beslut att förelägga tillsynsobjektet att ge tillgång till informationssystem ska kunna överklagas.</P>
<P class="p861 ft21"><SPAN class="ft26">Bedömning: </SPAN>Det behövs inga kompletterande regler om ärende- handläggningen hos myndigheterna.<SPAN class="ft102">1</SPAN></P>
<P class="p283 ft48"><SPAN class="ft48">15.1</SPAN><SPAN class="ft135">Förvaltningslagen bör gälla vid handläggningen</SPAN></P>
<P class="p110 ft18">Förvaltningslagen gäller för handläggning av ärenden hos förvalt- ningsmyndigheterna och handläggning av förvaltningsärenden hos domstolarna. Lagen innehåller bl.a. bestämmelser om grunderna för god förvaltning och allmänna krav på handläggning av ärenden. Ut- redningen bedömer att samrådsmyndigheternas handläggning av sam- rådsärenden och deras möjlighet att besluta om förelägganden och förbud kommer att utgöra sådan handläggning av ärenden som med- för att förvaltningslagen är tillämplig. Detsamma gäller i fråga om andra ärenden enligt säkerhetsskyddslagen, såsom tillsynsärenden.</P>
<P class="p873 ft58"><SPAN class="ft56">1</SPAN><SPAN class="ft96">Ovan angivet förslag om rätten till klagomål avseende samrådsmyndighetens beslut kan in- föras genom tillägg till den av regeringen i proposition 2020/21:194 förslagna bestämmelsen om överklagande, 8 kap. 4 § första stycket i säkerhetsskyddslagen (2018:585).</SPAN></P>
<P class="p322 ft31">475</P>
</DIV>
<DIV id="page_477">
<DIV id="p477dimg1">
<INGENBILD zsrc="H9B363477x1.jpg/" id="p477img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Handläggning och överklagande</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p323 ft18">I 3 § förvaltningslagen finns emellertid ett undantag för hand- läggning av ärenden i den brottsbekämpande verksamheten hos bl.a. Säkerhetspolisen. Utredningen anser dock att starka skäl talar för att förvaltningslagens bestämmelser bör gälla fullt ut vid Säkerhetspolisens handläggning av ärenden om samråd, förelägganden, förbud och sank- tionsavgift. En sådan ordning skulle skapa en stadga och förutsebar- het i förfarandet som är önskvärd, inte minst med hänsyn till att den föreslagna regleringen delvis rör myndighetsutövning mot enskilda. Vidare ligger denna lösning i linje med regeringens förslag om hand- läggningsregler för tillsynsmyndigheterna på säkerhetsskyddsområ- det. Utredningen noterar att regeringen redan förutskickat att det på förordningsnivå införs en bestämmelse om att undantaget i 3 § förvaltningslagen inte gäller för Säkerhetspolisen vid nu aktuella ärende- typer (se prop. 2020/21:194, s. 68).</P>
<P class="p70 ft48"><SPAN class="ft48">15.2</SPAN><SPAN class="ft135">Beslut som bör få överklagas</SPAN></P>
<P class="p71 ft18">Enskildas rätt enligt artikel 6 i Europakonventionen till en rättvis domstolsprövning innebär att det bör finnas möjlighet att överklaga beslut om sanktionsavgift, förelägganden och förbud för en verk- samhetsutövare att genomföra en driftsättning eller förändring av informationssystem. Även myndigheter och andra offentliga aktörer som samrådsmyndighetens beslut gått emot bör ha rätt att överklaga.<SPAN class="ft79">2</SPAN></P>
<P class="p106 ft17">Likaledes bör tillsynsmyndighetens beslut att förelägga tillsyns- objekt att ge tillgång till informationssystem få överklagas. Utred- ningen bedömer att ett sådant överklagande ska vara möjligt enligt den av regeringen föreslagna lydelsen av 8 kap. 4 § säkerhetsskydds- lagen. Denna bestämmelse hänvisar nämligen tillbaka till 6 kap. 4 § (se prop. 2020/21:194, s. 15).</P>
<P class="p874 ft87"><SPAN class="ft80">2</SPAN><SPAN class="ft90">Regeringen har föreslagit att tillsynsmyndigheters beslut om föreläggande under samråd eller vid tillsyn samt om förbud och sanktionsavgift ska få överklagas. I samband med det har regeringen bedömt att övriga beslut enligt säkerhetsskyddslagen inte bör få överklagas (prop. 2020/21:194, s. 109 ff.).</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">476</P>
</DIV>
</DIV>
<DIV id="page_478">
<DIV id="p478dimg1">
<INGENBILD zsrc="H9B363478x1.jpg/" id="p478img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t28">
<TR>
<TD class="tr10 td99"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td100"><P class="p2 ft188">Handläggning och överklagande</P></TD>
</TR>
</TABLE>
<P class="p5 ft48"><SPAN class="ft48">15.3</SPAN><SPAN class="ft135">Överklagandeinstans</SPAN></P>
<P class="p300 ft19">Eftersom beslut om sanktionsavgift och förelägganden vid samråd är förvaltningsbeslut är det en naturlig utgångspunkt att besluten överklagas till allmän förvaltningsdomstol, även om det kan vara fråga om känsliga uppgifter ur ett säkerhetsperspektiv. Genom att beslu- ten får överklagas till allmän förvaltningsdomstol kan vidare pröv- ningen ansluta till en befintlig processordning.</P>
<P class="p11 ft46">Målen enligt de föreslagna bestämmelserna är av ett så särpräglat slag att det kan bli svårt att skapa och upprätthålla tillräcklig kom- petens hos alla förvaltningsrätter. Detta gäller särskilt eftersom an- talet mål kan förväntas bli få. Dessutom bör den typen av känsliga uppgifter som kan förekomma i ärendena hållas inom en så begränsad krets som möjligt. Det finns därför skäl att koncentrera mål enligt de föreslagna bestämmelserna till en domstol. Domstolen kan där- med upparbeta den särskilda kompetens på området som krävs, orga- nisera arbetet med dessa mål på ett lämpligt sätt och vidta de säker- hetsskyddsåtgärder som kan behövas. Anförda argument har föranlett regeringen att föreslå att överklagande av tillsynsmyndighetens beslut om förelägganden och sanktionsavgift ska få ske till Förvaltnings- rätten i Stockholm (se prop. 2020/21:194, s. 109 f.).<SPAN class="ft97">3 </SPAN>Denna domstol bör av samma skäl även vara första överklagandeinstans för samråds- myndighetens motsvarande beslut.<SPAN class="ft97">4 </SPAN>Även tillsynsmyndighetens beslut att förelägga tillsynsobjekt att ge tillgång till informationssystem bör, i likhet med vad som gäller för övriga undersökningsbefogen- heter, följa angiven ordning för klagomål.</P>
<P class="p122 ft18">När det gäller tillsynsmyndigheters ärenden om förbud kan dessa kräva känsliga utrikespolitiska bedömningar och innehålla känslig in- formation. Regeringen har med detta föreslagit att tillsynsmyndighe- tens beslut om förbud mot överlåtelser och andra förfaranden ska få överklagas till regeringen (se prop. 2020/21:194, s. 111). En verksam- hetsutövares driftsättning eller förändring av ett informationssystem innebär emellertid, till skillnad från en anskaffning eller överlåtelse av säkerhetskänslig verksamhet, inte nödvändigtvis att säkerhetsskydds- klassificerade uppgifter exponeras för utomstående. I dessa fall torde en prövning av ett förbudsbeslut mer sällan aktualisera den sorts ut-</P>
<P class="p206 ft85"><SPAN class="ft56">3</SPAN><SPAN class="ft84">Det kan vidare konstateras att den organisatoriska frågan om säkerhetsskydd avgörs av dom- stolen.</SPAN></P>
<P class="p824 ft41"><SPAN class="ft56">4</SPAN><SPAN class="ft82">De angivna fördelarna gäller också Kammarrätten i Stockholm, som i förekommande fall överprövar förvaltningsrättens avgöranden.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">477</P>
</DIV>
</DIV>
<DIV id="page_479">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Handläggning och överklagande</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p60 ft18"><NOBR>rikes-,</NOBR> försvars- och säkerhetspolitiska överväganden som bör han- teras av regeringen. Vidare bör samrådet i de allra flesta fall vara till- räckligt för att verksamhetsutövare självmant ska avstå från förfa- randen som samrådstillsynsmyndigheten anser vara olämpliga från säkerhetsskyddssynpunkt. Utredningen anser således att även sam- rådsmyndighetens beslut om förbud ska få överklagas till förvaltnings- domstol. Med denna ordning undgår man dessutom risken för paral- lella processen hos domstol respektive regeringen om samma sak.</P>
<P class="p82 ft19">Om en enskild överklagar en myndighets beslut följer det av 7 a § förvaltningsprocesslagen (1971:291) att myndigheten är den enskil- des motpart i domstol. Detsamma bör gälla om beslut överklagas av en myndighet. Det bör därför anges i bestämmelsen om rätt till över- klagande att samrådsmyndigheten är motpart i domstolen när ett beslut överklagas. Vidare bör det anges att prövningstillstånd krävs vid överklagande till kammarrätten.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">478</P>
</DIV>
</DIV>
<DIV id="page_480">
<DIV id="p480dimg1">
<INGENBILD zsrc="H9B363480x1.jpg/" id="p480img1">
</DIV>
<P class="p0 ft16">16 Offentlighet och sekretess</P>
<P class="p871 ft21"><SPAN class="ft26">Bedömning: </SPAN>Förslagen medför inga behov av ändringar i offent- lighets- och sekretesslagen.</P>
<P class="p875 ft17">Det finns inte skäl att överväga några inskränkningar av reglerna i förvaltningslagen och förvaltningsprocesslagen om partsinsyn och kommunikation.</P>
<P class="p131 ft48"><SPAN class="ft48">16.1</SPAN><SPAN class="ft135">Sekretesskyddet hos samrådsmyndigheten</SPAN></P>
<P class="p74 ft18">I ärenden om samråd kan det förekomma uppgifter som är mycket känsliga och som omfattas av sekretess hos verksamhetsutövaren. Aktuell sekretessgrund kan antas vara primärt försvarssekretess en- ligt 15 kap. 2 § offentlighets- och sekretesslagen (2009:400), OSL. I vissa fall kan även utrikessekretess och underrättelsesekretess en- ligt 15 kap. 1 § respektive 18 kap. 2 § OSL aktualiseras. Sekretess enligt de nu nämnda paragraferna gäller oavsett hos vilken myndighet upp- gifterna finns. Om samrådsmyndigheten genom samrådet får tillgång till uppgifter som är sekretessbelagda enligt dessa bestämmelser, kommer uppgifterna därför att ha samma sekretesskydd hos samråds- myndigheten som de haft hos verksamhetsutövaren.</P>
<P class="p11 ft19">Det finns enligt utredningens bedömning inte skäl att utöka det befintliga sekretesskyddet för allmänna intressen genom ändringar i OSL. När det gäller sekretess med hänsyn till enskildas intressen för uppgifter som lämnas till samrådsmyndigheterna inom ramen för sam- råd kan det finnas behov av ett kompletterande skydd, som företrä- desvis bör åstadkommas genom ändringar i offentlighets- och sekre- tessförordningen (2009:641).<SPAN class="ft101">1</SPAN></P>
<P class="p876 ft58"><SPAN class="ft56">1</SPAN><SPAN class="ft96">Regeringen har bedömt att ett kompletterande sekretesskydd för uppgifter som enskilda lämnar till tillsynsmyndigheterna inom ramen för samråd och tillsyn skulle kunna åstadkommas genom ändringar i offentlighets- och sekretessförordningen (prop. 2020/21:194, s. 113). Ut- redningen har erfarit att frågan övervägs inom Regeringskansliet (Justitiedepartementet).</SPAN></P>
<P class="p322 ft31">479</P>
</DIV>
<DIV id="page_481">
<DIV id="p481dimg1">
<INGENBILD zsrc="H9B363481x1.jpg/" id="p481img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Offentlighet och sekretess</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p201 ft48"><SPAN class="ft48">16.2</SPAN><SPAN class="ft135">Utlämnande av uppgifter i samband med samråd</SPAN></P>
<P class="p192 ft18">En annan fråga är i vilken mån en verksamhetsutövare som omfattas av OSL över huvud taget kan överlämna uppgifter som omfattas av sekretess till samrådsmyndigheten i ett ärende om samråd. Sekretess gäller nämligen även mellan myndigheter, vilket innebär att upp- gifter som omfattas av sekretess hos en verksamhetsutövare inte kan överlämnas till samrådsmyndigheten med mindre än att det tillåts med stöd av en sekretessbrytande bestämmelse. I samrådsärenden torde uppgifter som begärs från samrådsmyndigheten och som om- fattas av sekretess hos verksamhetsutövaren kunna lämnas över med stöd av 10 kap. 2 § OSL, som föreskriver att sekretess inte hindrar att en uppgift lämnas till en enskild eller till en annan myndighet, om det är nödvändigt för att den utlämnande myndigheten ska kunna fullgöra sin verksamhet.<SPAN class="ft79">2 </SPAN>Eftersom myndigheten i de aktuella fallen har en skyldighet att samråda med samrådsmyndigheten bör ett över- lämnande av sekretessbelagda uppgifter inom ramen för samrådet regelmässigt kunna ske med stöd av 10 kap. 2 § OSL. Ett överläm- nande bör i många fall också kunna ske enligt 10 kap. 27 § OSL, s.k. generalklausulen, som medger utlämnande om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse som uppgiften ska skydda. Det finns därmed stöd för de verksamhetsut- övare som omfattas av OSL att lämna över de sekretessbelagda upp- gifter som krävs för samrådet till samrådsmyndigheten.</P>
<P class="p106 ft19">När det gäller frågan i vilken utsträckning tillsynsmyndigheten kan lämna sekretessbelagda uppgifter till samrådsmyndigheten,<SPAN class="ft101">3 </SPAN>t.ex. rörande en enskild verksamhetsutövare, bedömer utredningen, med utgångspunkt i de förslag som lämnats rörande samrådsmyndighe- ternas roll (se kapitel 13), att ett sådant överlämnande bör kunna ske med stöd av 10 kap. 27 § OSL.<SPAN class="ft101">4</SPAN></P>
<P class="p877 ft85"><SPAN class="ft80">2</SPAN><SPAN class="ft94">I de fall samrådsmyndigheten även utövar tillsyn kan tillsynsobjektet lämna över begärda uppgifter med stöd av 10 kap. 17 § OSL, som bl.a. föreskriver att sekretess inte hindrar att en uppgift lämnas till en myndighet om uppgiften behövs där för tillsyn över den myndighet där uppgiften förekommer.</SPAN></P>
<P class="p210 ft85"><SPAN class="ft80">3</SPAN><SPAN class="ft94">Regeringen har anfört att man vid behov får återkomma till frågan i vilken utsträckning tillsynsmyndigheterna kan lämna sekretessbelagda uppgifter till samordningsmyndigheterna (prop. 2020/21:194, s. 113 f.).</SPAN></P>
<P class="p878 ft107"><SPAN class="ft56">4</SPAN><SPAN class="ft154">Om information rutinmässigt kommer att utbytas kan det finnas ett behov av att införa en uppgiftsskyldighet för uppgiftslämnande myndighet som möjliggör ett utlämnande enligt</SPAN></P>
<P class="p372 ft41"><SPAN class="ft58">10</SPAN><SPAN class="ft82">kap. 28 § OSL.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">480</P>
</DIV>
</DIV>
<DIV id="page_482">
<DIV id="p482dimg1">
<INGENBILD zsrc="H9B363482x1.jpg/" id="p482img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td47"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td101"><P class="p2 ft37">Offentlighet och sekretess</P></TD>
</TR>
</TABLE>
<P class="p5 ft48"><SPAN class="ft48">16.3</SPAN><SPAN class="ft135">Sekretess vid tillsyn</SPAN></P>
<P class="p74 ft18">Också i tillsynsärenden kan det förekomma uppgifter som är mycket känsliga och som omfattas av sekretess hos tillsynsobjekten. Utöver de i föregående avsnitt angivna sekretessgrunderna, och i förekom- mande fall sekretess i det internationella samarbetet enligt 15 kap. 1 a § OSL, kan vid tillsyn eventuell sekretess enligt andra bestäm- melser överföras från tillsynsobjektet till tillsynsmyndigheten enligt 11 kap. 1 § OSL. Vidare kan i tillsynsärenden uppgifter som begärs från tillsynsmyndigheten och som omfattas av sekretess hos tillsyns- objektet lämnas över för tillsynen med stöd av 10 kap. 17 § OSL.<SPAN class="ft79">5 </SPAN>Utredningen anser således inte att den undersökningsbefogenhet som föreslås, vilken kan möjliggöra tillgång till känsliga uppgifter, ger anledning till ändringar i OSL (jfr regeringens överväganden i prop. 2020/21:194, s. 112 ff.).</P>
<P class="p131 ft48"><SPAN class="ft48">16.4</SPAN><SPAN class="ft135">Partsinsyn och kommunikation</SPAN></P>
<P class="p110 ft18">Vid samrådsmyndighetens handläggning enligt den föreslagna regler- ingen om samråd gäller förvaltningslagen (2017:900). När ett beslut om föreläggande i ett samrådsärende överklagas till förvaltnings- domstol gäller förvaltningsprocesslagen (1971:291). De nu nämnda lagarna innehåller vissa bestämmelser om partsinsyn och kommuni- kation. I 10 § förvaltningslagen föreskrivs att den som är part i ett ärende har rätt att ta del av allt material som har tillförts ärendet. Av 25 § samma lag följer att en myndighet innan den fattar beslut i ett ärende, om det inte är uppenbart obehövligt, ska underrätta den som är part om allt material av betydelse för beslutet och ge parten tillfälle att inom en bestämd tid yttra sig över materialet. Av 18 § förvalt- ningsprocesslagen framgår att en part, innan ett mål avgörs, som huvudregel ska ha fått kännedom om det som tillförts målet genom annan än honom eller henne själv och fått tillfälle att yttra sig över det. Även enligt 10 § första stycket och 12 § förvaltningsprocess- lagen gäller en viss underrättelseskyldighet gentemot part.</P>
<P class="p187 ft46">De nu nämnda bestämmelserna gäller, enligt 10 § och 25 § tredje stycket förvaltningslagen respektive 19 § förvaltningsprocesslagen, med de begränsningar som följer av 10 kap. 3 § OSL. Av 10 kap. 3 §</P>
<P class="p879 ft41"><SPAN class="ft56">5</SPAN><SPAN class="ft82">Bestämmelsens tillämplighet förutsätter att tillsynsobjektet är en myndighet där uppgiften förekommer.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">481</P>
</DIV>
</DIV>
<DIV id="page_483">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Offentlighet och sekretess</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p305 ft19">första stycket OSL framgår att sekretess inte hindrar att en enskild, som är part i ett mål eller ärende hos domstol eller annan myndighet och som på grund av sin partsställning har rätt till insyn i handlägg- ningen, tar del av en handling eller annat material i målet eller ären- det. En sådan handling eller ett sådant material får dock inte lämnas ut till parten i den utsträckning det av hänsyn till allmänt eller enskilt intresse är av synnerlig vikt att sekretessbelagd uppgift i materialet inte röjs. I sådana fall ska parten på annat sätt få upplysning om vad materialet innehåller i den utsträckning det behövs för att parten ska kunna ta till vara sin rätt och det kan ske utan allvarlig skada för det intresse som sekretessen ska skydda. Upplysningsskyldigheten kan fullgöras både skriftligen och muntligen, t.ex. genom en muntlig redogörelse för innehållet i vissa handlingar (prop. 1971:30 s. 431 och 443).</P>
<P class="p83 ft46">Som framgår ovan kan det i ett samrådsärende förekomma sekre- tessbelagda uppgifter av mycket känslig natur. Ett röjande av sådana uppgifter, även till någon som är part i ärendet, skulle i vissa fall kunna skada Sveriges säkerhet. Sveriges säkerhet är ett synnerligen starkt allmänt intresse. När det finns anledning att ingripa med stöd av de föreslagna bestämmelserna torde därför en tillämpning av 10 kap. 3 § OSL regelmässigt resultera i bedömningen att det är av synnerlig vikt att inte röja uppgifter av sådan karaktär att det skulle innebära skada för Sveriges säkerhet att lämna ut dem. En annan bedömning kan göras när det gäller mindre känsliga uppgifter av mer teknisk karaktär, som t.ex. vilken typ av säkerhetsskyddsåtgärd som är nöd- vändig för att uppnå ett väl anpassat säkerhetsskydd i det planerade förfarandet. Utredningen anser mot denna bakgrund att bestämmel- serna i förvaltningslagen och förvaltningsprocesslagen tillsammans med kravet på synnerlig vikt i 10 kap. 3 § OSL på ett rimligt sätt balanserar intresset av partsinsyn och kommunikation mot intresset av att skydda känsliga uppgifter i de aktuella ärendena. Mot denna bakgrund bedöms det inte behövas några inskränkningar av reglerna om partsinsyn och kommunikation.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">482</P>
</DIV>
</DIV>
<DIV id="page_484">
<DIV id="p484dimg1">
<INGENBILD zsrc="H9B363484x1.jpg/" id="p484img1">
</DIV>
<P class="p880 ft16">17 Konsekvensbeskrivning</P>
<P class="p881 ft21"><SPAN class="ft26">Bedömning: </SPAN>Skyddet för Sveriges säkerhet stärks genom för- slagen.</P>
<P class="p882 ft18">Utredningens förslag att Försvarets materielverk (FMV) ges i uppdrag att – i samråd och samverkan med andra myndigheter och aktörer – ta fram formerna för arbetet med en nationell gemen- sam <NOBR>hot-,</NOBR> sårbarhets- och riskbedömning medför vissa kostnader. Med anledning av dessa kostnader bör FMV:s anslag ökas. Even- tuella kostnader för övriga myndigheter bedöms rymmas inom respektive myndighets befintliga anslagsram.</P>
<P class="p883 ft18">För de verksamhetsutövare som kommer att träffas av övriga förslag kan de innebära ökade kostnader och administrativa bör- dor. Eventuella kostnader för statliga myndigheter bedöms rym- mas inom respektive myndighets befintliga anslagsram.</P>
<P class="p882 ft19">Förslagen innebär även vissa ökade förvaltningskostnader för de myndigheter som kommer att vara samrådsmyndigheter (Säker- hetspolisen och Försvarsmakten). Dessa begränsade kostnader bedöms emellertid rymmas inom befintlig anslagsram och för- väntat utökat anslag (se prop. 2020/21:30).</P>
<P class="p884 ft17">Förslagen medför dessutom att Kronofogdemyndigheten och de allmänna förvaltningsdomstolarna får något fler arbetsupp- gifter. De kostnadsökningarna bedöms inte bli större än att de ryms inom befintliga anslag.</P>
<P class="p884 ft17">Utredningens bedömningar i övrigt, bl.a. att certifierade IKT- produkter, <NOBR>-tjänster</NOBR> och <NOBR>-processer</NOBR> i ökad utsträckning bör an- vändas av statliga myndigheter, kan antas medföra kostnader men också besparingar om sådana åtgärder genomförs, samtidigt som dessa är svåra att beräkna.</P>
<P class="p885 ft31">483</P>
</DIV>
<DIV id="page_485">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Konsekvensbeskrivning</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p201 ft48"><SPAN class="ft48">17.1</SPAN><SPAN class="ft135">Inledning</SPAN></P>
<P class="p202 ft18">I utredningens uppdrag ingår att analysera konsekvenserna av lämnade förslag i enlighet med <NOBR>14–15</NOBR> a §§ kommittéförordningen (1998:1474). Eftersom utredningen lämnar författningsförslag ska konsekvensana- lysen också göras i enlighet med 6 och 7 §§ förordningen (2007:1244) om konsekvensutredning vid regelgivning.</P>
<P class="p73 ft18">I utredningsdirektiven anges att utredningen ska bedöma de eko- nomiska konsekvenserna av förslagen för det allmänna och för en- skilda. Om förslagen kan förväntas leda till kostnadsökningar för det allmänna ska utredningen föreslå hur dessa ska finansieras. Utred- ningen ska särskilt ange konsekvenserna för företag i form av kost- nader och ökade administrativa bördor samt personella konsekvenser för berörda myndigheter.</P>
<P class="p73 ft46">I detta kapitel redovisas utredningens bedömning av konsekven- serna av de förslag utredningen lämnar. Förslagen syftar framför allt till att ytterligare skärpa säkerhetsskyddslagstiftningen.</P>
<P class="p255 ft48"><SPAN class="ft48">17.2</SPAN><SPAN class="ft135">Utgångspunkter</SPAN></P>
<P class="p71 ft18">Säkerhetsskydd handlar om skyddet för Sveriges mest skyddsvärda verksamheter. Konsekvenserna av att skyddet fallerar kan därför bli mycket allvarliga. Den föreslagna regleringen syftar bl.a. till att göra vissa säkerhetsskyddsfrågor mer centrala hos verksamhetsutövare, att förhindra driftsättningar och väsentliga förändringar av informa- tionssystem som är olämpliga ur säkerhetsskyddssynpunkt samt att öka efterlevnaden av säkerhetsskyddslagstiftningen. Förslagen inne- bär på detta sätt en förstärkning av skyddet för Sveriges säkerhet.</P>
<P class="p70 ft48"><SPAN class="ft48">17.3</SPAN><SPAN class="ft135">De som berörs av förslagen</SPAN></P>
<P class="p71 ft18">Förslagen ska bidra till att stärka skyddet för Sveriges säkerhet. Ut- redningens förslag berör, förutom uppdraget till Försvarets materiel- verk (FMV), framför allt de statliga myndigheter som utredningen föreslår ska vara samrådsmyndigheter med tillkommande befogen- heter enligt säkerhetsskyddslagen (Säkerhetspolisen och Försvars- makten) och verksamhetsutövare som har informationssystem av be- tydelse för säkerhetskänslig verksamhet. Förslagen kan även beröra</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">484</P>
</DIV>
</DIV>
<DIV id="page_486">
<DIV id="p486dimg1">
<INGENBILD zsrc="H9B363486x1.jpg/" id="p486img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t28">
<TR>
<TD class="tr10 td102"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td103"><P class="p2 ft188">Konsekvensbeskrivning</P></TD>
</TR>
</TABLE>
<P class="p447 ft18">tillsynsmyndigheter på säkerhetsskyddsområdet som samverkar med samrådsmyndigheterna samt Kronofogdemyndigheten och domstolar.</P>
<P class="p147 ft48"><SPAN class="ft48">17.4</SPAN><SPAN class="ft135">Frågan om krav på certifiering</SPAN></P>
<P class="p74 ft18">Utredningen föreslår att regeringen ska ge Försvarets materielverk (FMV) i uppdrag att – i samråd och samverkan med andra myndig- heter och berörda aktörer – ta fram formerna för arbetet med en nationell gemensam <NOBR>hot-,</NOBR> sårbarhets- och riskbedömning. Uppdraget medför vissa kostnader för såväl FMV som andra myndigheter och aktörer som deltar i arbetet. Med anledning av dessa kostnader bör FMV:s anslag ökas. Eventuella kostnader för övriga myndigheter kan antas vara begränsade och bedöms rymmas inom myndigheter- nas befintliga anslag. Utredningen lämnar i övrigt inga förslag i denna del. Vidare konsekvenser som kan följa av uppdraget går inte att bedöma i dag utan får analyseras i anslutning till det fortsatta arbetet.</P>
<P class="p11 ft18">Utredningens bedömningar i övrigt, bl.a. att certifierade IKT- produkter, <NOBR>-tjänster</NOBR> och processer i ökad utsträckning bör användas av myndigheter, kan initialt antas medföra ökade kostnader i sam- band med att sådana åtgärder genomförs, samtidigt som dessa är svåra att beräkna. Däremot kan en ökad användning av certifierad IKT minska behovet av egen testning och kvalitetssäkring, vilket kan med- föra framtida kostnadsbesparingar. Kostnaderna och besparingarna går emellertid inte att beräkna och ligger dessutom utanför utred- ningens uppdrag att beskriva då åtgärderna inte direkt följer av för- slag som utredningen lämnar.</P>
<P class="p58 ft46">När det gäller de konsekvenser som följer av det europeiska ram- verket för cybersäkerhetscertifiering är dessa fortfarande svårbedömda då europeiska ordningar för sådan certifiering inte börjat tillämpas<SPAN class="ft97">1 </SPAN>och den närmare omfattningen av framtida frivillig eller obligatorisk cybersäkerhetscertifiering enligt det europeiska ramverket inte är känd.</P>
<P class="p886 ft41"><SPAN class="ft56">1</SPAN><SPAN class="ft82">Dock har Enisa den 26 maj 2021 formellt överlämnat den första slutliga versionen av en euro- peisk certifieringsordning (EUCC) till </SPAN><NOBR>EU-kommissionen.</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">485</P>
</DIV>
</DIV>
<DIV id="page_487">
<DIV id="p487dimg1">
<INGENBILD zsrc="H9B363487x1.jpg/" id="p487img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Konsekvensbeskrivning</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p887 ft20">Internationell handel med tredje land och ömsesidigt erkännande av certifikat</P>
<P class="p289 ft17">I utredningsdirektiven anges att utredningen även ska beakta de konsekvenser som bl.a. införandet av det europeiska ramverket för cybersäkerhetscertifiering kan få när det gäller internationell handel med tredjeland samt hur det påverkar erkännande och utfärdande av certifikat och andra åtaganden som följer av Sveriges medlemskap i bl.a. CCRA.</P>
<P class="p106 ft18">Utredningen har i sitt delbetänkande (avsnitt 13.5) påbörjat att analysera sådana effekter av EU:s cybersäkerhetsakt. De slutsatser som presenterats Kommerskollegiums rapport <SPAN class="ft45">The Cyber Effect – the implications of IT security regulation on international trade </SPAN>(2018) gör sig fortfarande gällande. Eftersom <NOBR>EU-kommissionen</NOBR> ännu inte for- mellt antagit någon europeisk ordning för cybersäkerhetscertifier- ing, och utredningen inte heller föreslagit en särskild nationell certi- fieringsordning utformad för säkerhetskänslig verksamhet, saknas skäl för ytterligare konsekvensanalys i dessa avseenden.</P>
<P class="p70 ft48"><SPAN class="ft48">17.5</SPAN><SPAN class="ft135">Förslaget om en stärkt samrådsroll</SPAN></P>
<P class="p213 ft20">Konsekvenser för verksamhetsutövare</P>
<P class="p220 ft18">Förslagen innebär till viss del att verksamhetsutövare, dvs. myndig- heter, andra offentliga aktörer och företag, påförs ytterligare krav som kan komma att medföra bl.a. ekonomiska konsekvenser.</P>
<P class="p106 ft18">Verksamhetsutövare ska redan i dag ha god kännedom om sina skyddsvärden och göra en särskild säkerhetsskyddsbedömning vid driftsättning av informationssystem i säkerhetskänslig verksamhet. Vad gäller förslaget om att verksamhetsutövare, utöver en säkerhets- skyddsbedömning, även ska göra en lämplighetsprövning inför drift- sättning eller väsentlig förändring av informationssystemet bör de bedömningarna utgå från den säkerhetsskyddsanalys som alla verk- samhetsutövare redan i dag har en skyldighet att göra enligt 2 kap. 1 § säkerhetsskyddslagen (2018:585)<SPAN class="ft79">2</SPAN>. Kravet på att göra en särskild säkerhetsskyddsbedömning och lämplighetsprövning innebär att ris- kerna för de skyddsvärden som har identifierats i säkerhetsskyddsana-</P>
<P class="p888 ft41"><SPAN class="ft80">2</SPAN><SPAN class="ft81">Regeringens lagförslag i proposition 2021/21:194 innebär inte någon ändring av kravet på säkerhetsskyddsanalys i 2 kap. 1 § säkerhetsskyddslagen.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">486</P>
</DIV>
</DIV>
<DIV id="page_488">
<DIV id="p488dimg1">
<INGENBILD zsrc="H9B363488x1.jpg/" id="p488img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t28">
<TR>
<TD class="tr10 td102"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td103"><P class="p2 ft188">Konsekvensbeskrivning</P></TD>
</TR>
</TABLE>
<P class="p193 ft18">lysen konkretiseras i förhållande till en viss situation. Detta medför därför inte något betydande merarbete eller annan kostnad. Utred- ningen har emellertid föreslagit att den särskilda säkerhetsskydds- bedömningen även ska göras innan en <SPAN class="ft45">väsentlig förändring </SPAN>av infor- mationssystem som har betydelse för säkerhetskänslig verksamhet. Att verksamhetsutövaren också i denna situation ska <SPAN class="ft45">se till </SPAN>att säker- hetsskyddet utformas så att motiverade säkerhetskrav i systemet till- godoses, kan innebära visst merarbete.<SPAN class="ft79">3 </SPAN>Om den föreslagna lämplighets- prövningen mynnar ut i bedömningen att förfarandet inte är olämpligt från säkerhetsskyddssynpunkt, ska verksamhetsutövaren även samråda med Säkerhetspolisen eller Försvarsmakten (samrådsmyndigheten) om övriga rekvisit enligt nuvarande 3 kap. 2 § säkerhetsskyddsförord- ningen (2018:658)<SPAN class="ft79">4 </SPAN>är uppfyllda. Samrådet bör bygga på det underlag som verksamhetsutövaren redan tagit fram inom ramen för den sär- skilda säkerhetsskyddsbedömningen. Utredningen anser därför att den faktiska arbetsinsatsen för att inleda och genomföra samrådet är begränsad. Däremot kan samrådsprocessen göra att det tar längre tid att inleda ett förfarande än vad som annars hade varit fallet, vilket kan påverka verksamheten negativt. Hur lång tid samrådet kommer att ta och vad det kommer att mynna ut i har dock verksamhets- utövaren ofta en möjlighet att själv påverka.</P>
<P class="p187 ft19">Det som kan ha störst ekonomisk påverkan är förslagen om att samrådsmyndigheten under vissa omständigheter ska få besluta om förbud mot att genomföra en planerad driftsättning eller förändring av informationssystem för att förhindra skada för Sveriges säkerhet. För den verksamhetsutövare som meddelas förbud kan det innebära t.ex. att verksamhetsutövaren måste köpa en tjänst av en annan mot- part som kräver högre ersättning. Möjligheten att besluta om förbud är dock ett sistahandsalternativ när övriga möjligheter är uttömda eller bedöms som utsiktslösa.</P>
<P class="p186 ft17">Vidare innebär förslaget om att tillsynsmyndigheten ska få ytter- ligare en undersökningsbefogenhet att verksamhetsutövare kan be- höva ge tillsynsmyndigheten tillgång till sina informationssystem. Kostnaderna för att bistå tillsynsmyndigheten bör dock som regel vara begränsade.</P>
<P class="p889 ft58"><SPAN class="ft56">3</SPAN><SPAN class="ft96">Befintligt krav på särskild säkerhetsskyddsbedömning innebär att verksamhetsutövaren endast inför </SPAN><SPAN class="ft100">driftsättning </SPAN>av ett sådant system ska ta ställning till vilka säkerhetskrav i systemet som är motiverade och se till att säkerhetsskyddet utformas så att dessa krav tillgodoses.</P>
<P class="p207 ft41"><SPAN class="ft56">4</SPAN><SPAN class="ft82">Utredningen föreslår att denna bestämmelse överförs till säkerhetsskyddslagen.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">487</P>
</DIV>
</DIV>
<DIV id="page_489">
<DIV id="p489dimg1">
<INGENBILD zsrc="H9B363489x1.jpg/" id="p489img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Konsekvensbeskrivning</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p276 ft19">Utredningens förslag innebär också möjlighet för samrådsmyn- digheterna att besluta om sanktionsavgifter för vissa överträdelser av regelsystemet.<SPAN class="ft101">5 </SPAN>För verksamhetsutövare som följer gällande krav leder förslaget inte till några ökade kostnader. För de aktörer som inte följer gällande regler innebär förslaget ekonomiska konsekvenser och kan medföra ökade kostnader eftersom sanktionsavgifter ska kunna tas ut utan krav på uppsåt eller oaktsamhet. Det föreslås ingen be- gränsning av storleken på sanktionsavgifterna i förhållande till den ekonomiska aktörens årsomsättning vilket kan leda till att mindre aktörer riskerar relativt sett högre avgifter. Eftersom en sanktions- avgift kan uppgå till höga belopp beroende på bl.a. överträdelsens allvar kan förslaget i denna del även förväntas leda till en bättre regel- efterlevnad.</P>
<P class="p211 ft18">Genom möjligheten att överklaga myndigheternas beslut om före- läggande, förbud och sanktionsavgift till domstol bedömer utredningen att ett fullgott skydd för enskildas rättigheter säkerställs.</P>
<P class="p105 ft17">Mot bakgrund av det ovan anförda bedömer utredningen att för- slagen i de flesta fall endast kommer medföra begränsade administrativa och andra kostnader för offentliga och enskilda verksamhetsutövare. Kostnadsökningen för statliga myndigheter som är verksamhetsut- övare bör enligt utredningen rymmas inom respektive myndighets be- fintliga anslagsram.</P>
<P class="p102 ft20">Konsekvenser för samråds- och tillsynsmyndigheterna</P>
<P class="p71 ft18">I syfte att höja ambitionsnivån för samrådsprocessen kommer Säker- hetspolisens och Försvarsmaktens roll inom säkerhetsskyddet delvis att förändras. Utredningens förslag innebär bl.a. en viss utvidgning av Säkerhetspolisens och Försvarsmaktens ansvar för samråd och rätt att inleda sådana. Vidare föreslår utredningen att Säkerhetspolisen och Försvarsmakten som samrådsmyndigheter ska få vissa nya befo- genheter, t.ex. möjlighet att besluta om förbud mot driftsättning eller väsentlig förändring av informationssystem i säkerhetskänslig verksamhet samt besluta om åtgärdsförelägganden och sanktionsav- gift mot den som inte efterlever säkerhetsskyddslagstiftningens krav. Även om utredningen föreslår att stärkt samrådsroll tillkommer be-</P>
<P class="p890 ft41"><SPAN class="ft80">5</SPAN><SPAN class="ft81">Förslaget om sanktionsavgift tydliggör för ekonomiska aktörer vilka sanktioner som kan bli aktuella vid överträdelser och under vilka förutsättningar avgift kan beslutas.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">488</P>
</DIV>
</DIV>
<DIV id="page_490">
<DIV id="p490dimg1">
<INGENBILD zsrc="H9B363490x1.jpg/" id="p490img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t28">
<TR>
<TD class="tr10 td102"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td103"><P class="p2 ft188">Konsekvensbeskrivning</P></TD>
</TR>
</TABLE>
<P class="p86 ft21">fogenheterna befintliga myndigheter på säkerhetsskyddsområdet som redan har många liknande uppgifter.</P>
<P class="p262 ft18">För att samrådsmyndigheterna ska kunna fullgöra sina nya skyl- digheter enligt säkerhetsskyddslagen ska berörda verksamhetsutövare i större utsträckning samråda med och lämna uppgifter till myndig- heterna. Detta innebär ett ökat administrativt arbete och därtill hörande kostnader för myndigheterna. Eftersom verksamhetsutöva- rens skyldighet att samråda enligt utredningens förslag även är bero- ende av att en lämplighetsprövning leder till bedömningen att det planerade förfarandet inte är olämpligt, bör en ökning av antalet sam- råd inte bli annat än begränsad.<SPAN class="ft79">6</SPAN></P>
<P class="p65 ft18">Den föreslagna sanktionsbestämmelsen är en komplettering till det av regeringen förslagna sanktionssystemet i säkerhetsskyddslagen och innebär en motsvarande befogenhet för samrådsmyndigheten att besluta att en avgift ska kunna tas ut oavsett om överträdelsen skett uppsåtligen eller av oaktsamhet.<SPAN class="ft79">7 </SPAN>Att sanktionsavgiftssystemet bygger på strikt ansvar underlättar för myndigheternas bedömning i fråga om att ta ut sanktionsavgift. Det ska emellertid inte vara obli- gatoriskt att ta ut sanktionsavgift för överträdelser som kan leda till sanktionsavgift. Genom att myndigheterna själva får besluta om sanktionsavgift kan sanktionsförfarandet antas bli effektivare och enklare. Förslaget bedöms ha positiva effekter för myndigheternas möjligheter till övervakning av skyldigheter utan att påverka kost- naderna i någon större utsträckning. Kostnader kan antas tillkomma för delgivning av beslut om sanktionsavgift.</P>
<P class="p109 ft18">Sammantaget kan utredningens förslag om kompletterande befo- genheter för Säkerhetspolisen och Försvarsmakten förväntas leda till en effektivare samrådsprocess. Möjligheten att ingripa ligger i tillämp- liga delar i linje med regeringens lagförslag i proposition 2020/21:194 beträffande tillsynsmyndigheternas befogenheter på säkerhetsskydds- området, med undantaget att vitesföreläggande vid pågående förfa- rande inte får beslutas av samrådsmyndigheten.</P>
<P class="p119 ft18">Säkerhetspolisen och Försvarsmakten måste ha tillräckliga resur- ser för att på ett effektivt sätt kunna utöva sin förstärkta samrådsroll</P>
<P class="p891 ft58"><SPAN class="ft56">6</SPAN><SPAN class="ft96">Dessa kostnader är främst beroende av i vilken omfattning som samråd kommer att ske och är i dag svåra att uppskatta. Eventuella kostnader bedöms emellertid inledningsvis vara begränsade.</SPAN></P>
<P class="p892 ft58"><SPAN class="ft56">7</SPAN><SPAN class="ft96">För att samrådsmyndigheterna – i likhet med vad som enligt regeringen bör gälla för tillsyns- myndigheter vid verksamhetsutövares anskaffning, utkontraktering och överlåtelse av säkerhets- känslig verksamhet – ska kunna beivra regelöverträdelser innehåller den föreslagna regleringen bestämmelser om möjlighet att påföra en verksamhetsutövare en sanktionsavgift.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">489</P>
</DIV>
</DIV>
<DIV id="page_491">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Konsekvensbeskrivning</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p60 ft18">på säkerhetsskyddsområdet. Detta innebär att samrådsverksamhe- ten ska ha de personella, tekniska och ekonomiska resurser som be- hövs för att på ett effektivt sätt kunna utföra sin uppgift. Med hän- syn till Säkerhetspolisens och Försvarsmaktens omfattande kompetens och utpräglade roller inom informationssäkerhet på säkerhetsskydds- området bör behovet av att, som en följd av att myndigheterna till- delas nya befogenheter och sanktionsmöjligheter, initialt utbilda personal och ändra vissa arbetsformer, vara förhållandevis litet. För- slaget torde inte heller innebära att verksamheterna hos myndig- heterna behöver omorganiseras nämnvärt, utan merparten av de nya uppgifterna bör kunna tilldelas den existerande organisationen. I den mån den utvidgade samrådsverksamheten hos Säkerhetspolisen och Försvarsmakten förutsätter planering av organisation och arbetssätt samt upprättande av anvisningar respektive föreskrifter för samråds- förfarandet och verksamhetsutövarens lämplighetsprövning bedöms vissa uppgifter kunna lösas genom en omorganisering av resurserna samtidigt som vissa resurstillskott kan behövas. Uppgifterna bedöms för övrigt inte ha annat än marginella konsekvenser för arbetsför- delningen med andra myndigheter.</P>
<P class="p61 ft19">Utredningen bedömer vidare att den ökade samverkan mellan sam- råds- och tillsynsmyndigheter som kan förekomma i samband med driftsättning och förändring av informationssystem inte får annat än marginella ekonomiska effekter för myndigheterna.</P>
<P class="p324 ft17">Sammanfattningsvis kommer alltså kostnaderna för samrådsmyn- digheterna att öka, men de bedöms vara begränsade. Behovet av resur- ser som de nya uppgifterna kan föranleda inledningsvis avser främst viss personalförstärkning.</P>
<P class="p324 ft17">Utredningen föreslår dessutom att tillsynsmyndigheterna ska få en ny undersökningsbefogenhet: möjligheten att, vid äventyr av vite, få tillgång till verksamhetsutövarens informationssystem. Förslaget i denna del bedöms ha positiva effekter för myndigheternas möjlig- heter till effektiv tillsyn utan att påverka kostnaderna i någon större utsträckning.</P>
<P class="p61 ft19">Genom budgetpropositionen för 2021 utökades tillsynsmyndig- heters anslag med 100 miljoner kronor från och med 2021 och med ytterligare 10 miljoner kronor från och med 2022. Regeringen har dessutom i propositionen <SPAN class="ft63">Totalförsvaret </SPAN><NOBR><SPAN class="ft63">2021–2025</SPAN></NOBR><SPAN class="ft63"> </SPAN>(prop. 2020/21:30) aviserat en inriktning att anslagen kommer utökas med ytterligare 10 miljoner kronor från och med 2024.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">490</P>
</DIV>
</DIV>
<DIV id="page_492">
<DIV id="p492dimg1">
<INGENBILD zsrc="H9B363492x1.jpg/" id="p492img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t28">
<TR>
<TD class="tr10 td102"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td103"><P class="p2 ft188">Konsekvensbeskrivning</P></TD>
</TR>
</TABLE>
<P class="p231 ft19">De av utredningen föreslagna kompletteringarna förväntas inte på- verka samråds- och tillsynsmyndigheternas verksamheter mer än att konsekvenserna kan hanteras inom nu nämnda anslag.</P>
<P class="p147 ft20">Konsekvenser för Kronofogdemyndigheten</P>
<P class="p124 ft18">Den nya bestämmelsen om sanktionsavgift kan komma att öka an- talet ärenden hos Kronofogdemyndigheten något. Även förslaget om att tillsynsmyndigheterna ska ha rätt att få tillgång till verksam- hetsutövares informationssystem kan leda till att Kronofogdemyn- dighetens hjälp behövs vid ett antal tillfällen, men ökningen bedöms inte bli särskilt stor och förväntas inte påverka Kronofogdemyn- dighetens verksamhet mer än att konsekvenserna kan hanteras inom befintliga anslag för myndigheten.</P>
<P class="p131 ft20">Konsekvenser för domstolarna</P>
<P class="p232 ft18">Samrådsmyndighetens beslut om föreläggande under samråd, förbud och om att ta ut sanktionsavgift ska enligt utredningens förslag få överklagas till Förvaltningsrätten i Stockholm.<SPAN class="ft79">8 </SPAN>För prövning i Kam- marrätten i Stockholm kommer det enligt förslaget krävas prövnings- tillstånd. Utredningen bedömer att ökningen av antalet mål kommer att bli begränsad. Även med beaktande av att målen kan vara kom- plexa finner utredningen därför att kostnaderna för den ökade mål- tillströmningen torde vara begränsade. Domstolarnas säkerhetsskydd kan även behöva anpassas med anledning av de säkerhetsskydds- klassificerade uppgifter som kan förekomma i målen. Utredningen anser dock i nuläget att både kostnaderna för den något ökade mål- tillströmningen och eventuella anpassningar av säkerhetsskyddet bör rymmas inom befintliga anslagsramar.</P>
<P class="p893 ft41"><SPAN class="ft56">8</SPAN><SPAN class="ft82">Det kan tilläggas att tillsynsmyndighetens beslut att förelägga den som står under tillsyn att ge tillgång till informationssystem enligt 6 kap. 3 § säkerhetsskyddslagen inte får överklagas (se 8 kap. 4 § tredje stycket, lydelse enligt proposition 2020/21:194).</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">491</P>
</DIV>
</DIV>
<DIV id="page_493">
<DIV id="p493dimg1">
<INGENBILD zsrc="H9B363493x1.jpg/" id="p493img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Konsekvensbeskrivning</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p255 ft20">Konsekvenser för den kommunala självstyrelsen</P>
<P class="p220 ft46">Kommuner och regioner kan bedriva verksamhet av betydelse för Sveriges säkerhet. Säkerhetskänslig verksamhet i sådan verksamhet som kommuner och regioner bedriver, t.ex. räddningstjänst, energi- eller dricksvattenförsörjning och sjukvård, kan påverkas av förslagen. Om samrådsmyndigheten beslutar om förbud mot att inleda ett förfarande innebär det att kommunen eller regionen ifråga inte fritt kan förfoga över sin egendom. Förslagen påverkar alltså i viss mån den kommunala självstyrelsen. Den föreslagna regleringen går dock inte utöver vad som är nödvändigt för att skydda de mest skydds- värda verksamheterna i samhället. Dessutom ska förbud användas restriktivt och som en sista utväg när andra åtgärder inte är tillräck- liga. Förslagen berör därför den kommunala självstyrelsen på det minst ingripande sätt som är möjligt.</P>
<P class="p781 ft20">Kompetensförsörjning</P>
<P class="p71 ft18">Det finns i dag ett stort behov av kompetensförsörjning inom säkerhetsskyddsområdet. Många tillsynsmyndigheter och andra aktö- rer har påpekat att det redan i dag är svårt att rekrytera personal med rätt kompetens. Bl.a. finns det brist på personer med kunskap om it- säkerhet, informationssäkerhet och allmän kunskap om säkerhets- skydd. Om kompetensförsörjningen inte hanteras finns det en risk att förslagen inte får det genomslag som behövs för att höja ambi- tionsnivån inom säkerhetsskyddet. Förslagen i detta betänkande kommer emellertid endast innebära att behovet av kompetensför- sörjning ökar i begränsad utsträckning. Betänkandets förslag kan sam- tidigt medföra att den spetskompetens inom säkerhetsskydd och cybersäkerhet som finns vid expertmyndigheterna, genom det sam- rådsförfarandet, i större utsträckning kan tas till vara som resurs för samhällets cybersäkerhet. Vidare har regeringen den 20 maj 2021 gett Säkerhetspolisen och Försvarsmakten i uppdrag att utreda hur kom- petensförsörjningen kan tryggas (Ju2021/02005)<SPAN class="ft79">9</SPAN>. Lösningar för han- tering av eventuella konsekvenser på grund av kompetensbrist kan således i första hand identifieras genom pågående utredningsåtgärder.</P>
<P class="p894 ft41"><SPAN class="ft80">9</SPAN><SPAN class="ft81">Uppdraget ska redovisas till Regeringskansliet (Justitiedepartementet och Försvarsdeparte- mentet) senast den 1 mars 2022.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">492</P>
</DIV>
</DIV>
<DIV id="page_494">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t28">
<TR>
<TD class="tr10 td102"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td103"><P class="p2 ft188">Konsekvensbeskrivning</P></TD>
</TR>
</TABLE>
<P class="p5 ft48"><SPAN class="ft48">17.6</SPAN><SPAN class="ft135">Konsekvenser för samhället</SPAN></P>
<P class="p74 ft46">Syftet med det föreslagna systemet är att förbättra säkerheten i nät- verks- och informationssystem i säkerhetskänslig verksamhet. Efter- som även skyddet för Sveriges säkerhet därmed stärks kan regleringen anses ha övergripande positiva konsekvenser för hela samhället.</P>
<P class="p224 ft48"><SPAN class="ft48">17.7</SPAN><SPAN class="ft135">Brottsförebyggande effekter</SPAN></P>
<P class="p74 ft18">Även om någon ny kriminalisering inte används kan förslaget antas ha vissa brottsförebyggande effekter. Regeringen har gjort bedöm- ningen att all Säkerhetspolisens verksamhet, även på säkerhetsskydds- området, i någon mening är brottsbekämpande (se prop. 2013/14:110 s. 481 och prop. 2015/16:65 s. 40). De föreslagna befogenheterna kommer således i viss mån att underlätta för den brottsbekämpande verksamheten. Säkerhetsskyddet stärks och den skärpta regleringen av säkerhet i nätverks- och informationssystem bör vidare försvåra full- bordandet av dataintrång, bl.a. då ökade krav ställs för verksamhets- utövares driftsättning respektive förändring av system som har bety- delse för säkerhetskänslig verksamhet.</P>
<P class="p131 ft48"><SPAN class="ft48">17.8</SPAN><SPAN class="ft135">Övriga konsekvenser</SPAN></P>
<P class="p618 ft17">Följande områden berörs inte av förslagen (15 § kommittéförord- ningen):</P>
<P class="p198 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">sysselsättning och offentlig service i olika delar av landet,</SPAN></P>
<P class="p25 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">jämställdheten mellan kvinnor och män, eller</SPAN></P>
<P class="p25 ft21"><SPAN class="ft27">–</SPAN><SPAN class="ft64">möjligheterna att nå de integrationspolitiska målen.</SPAN></P>
<P class="p895 ft17">Förslagen bedöms inte heller i övrigt medföra några konsekvenser som behöver redovisas i detta sammanhang.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">493</P>
</DIV>
</DIV>
<DIV id="page_495">
</DIV>
<DIV id="page_496">
<P class="p0 ft16">18 Författningskommentar</P>
<P class="p144 ft62"><SPAN class="ft48">18.1</SPAN><SPAN class="ft164">Förslaget till lag om ändring i säkerhetsskyddslagen (2018:585)</SPAN></P>
<P class="p360 ft26">3 a kap. Skyldigheter inför driftsättning av informationssystem</P>
<P class="p236 ft72"><SPAN class="ft189">1 § </SPAN>Innan ett informationssystem som har betydelse för säkerhetskäns- lig verksamhet tas i drift, eller i väsentliga avseenden förändras, ska verk- samhetsutövaren genom en särskild säkerhetsskyddsbedömning ta ställ- ning till vilka säkerhetskrav i informationssystemet som är motiverade och se till att säkerhetsskyddet utformas så att dessa krav tillgodoses.</P>
<P class="p58 ft72">Med utgångspunkt i den särskilda säkerhetsskyddsbedömningen och övriga omständigheter ska verksamhetsutövaren pröva om driftsättningen eller förändringen av informationssystemet är lämplig från säkerhets- skyddssynpunkt. Verksamhetsutövaren ska också samråda enligt 2 §.</P>
<P class="p149 ft20">Den särskilda säkerhetsskyddsbedömningen och lämplighetspröv- ningen ska dokumenteras.</P>
<P class="p150 ft49">Om lämplighetsprövningen leder till bedömningen att det planerade förfarandet är olämpligt från säkerhetsskyddssynpunkt, får det inte in- ledas.</P>
<P class="p451 ft21">Övervägandena finns i avsnitt 13.8.</P>
<P class="p58 ft19">Paragrafen, som är ny, innehåller bestämmelser om särskild säker- hetsskyddsbedömning, lämplighetsprövning och samråd inför drift- sättning och väsentlig förändring av informationssystem i säkerhets- känslig verksamhet. Bestämmelserna motsvarar delvis nuvarande 3 kap. 1 § i säkerhetsskyddsförordningen (2018:658).</P>
<P class="p111 ft46">Av <SPAN class="ft60">första stycket </SPAN>framgår att en verksamhetsutövare ska göra en särskild säkerhetsskyddsbedömning innan denne inleder ett sådant förfarande som avses i bestämmelsen. Det innebär att verksamhets- utövaren ska dels identifiera de säkerhetskrav som informations- systemet behöver, dels se till att säkerhetsskyddet utformas så att</P>
<P class="p382 ft31">495</P>
</DIV>
<DIV id="page_497">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Författningskommentar</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p60 ft18">dessa krav tillgodoses. Bestämmelsen motsvarar nuvarande 3 kap. 1 § säkerhetsskyddsförordningen med det tillägget att den särskilda säker- hetsskyddsbedömningen ska omfatta även väsentliga förändringar av informationssystem som kan ha betydelse för säkerhetskänslig verk- samhet. Den särskilda säkerhetsskyddsbedömningen ska utgöra ett underlag för den lämplighetsprövning som ska göras och som regle- ras i andra stycket.</P>
<P class="p82 ft18">Enligt <SPAN class="ft45">andra stycket </SPAN>ska verksamhetsutövaren, med utgångspunkt i den särskilda säkerhetsskyddsbedömningen och övriga omständig- heter, pröva om det planerade förfarandet är lämpligt från säker- hetsskyddssynpunkt. Verksamhetsutövaren ska därvid bl.a. beakta behovet av säkerhetsskydd och om det är möjligt att uppnå ett till- räckligt säkerhetsskydd. Det kan finnas förfaranden som inte är lämp- liga oavsett vilka säkerhetsskyddsåtgärder som vidtas, t.ex. när flera redundanta samhällsviktiga funktioner ersätts av ett informations- system, eller vid sammanställningar av olika datamängder, s.k. agg- regering av uppgifter, som inte ska vara möjliga att sammanställa. Sådana funktioner innebär stora risker för Sveriges säkerhet och kan inte skyddas i tillräcklig utsträckning. En driftsättning eller väsentlig förändring av informationssystem i säkerhetskänslig verksamhet kan även vara olämplig av andra skäl.</P>
<P class="p83 ft18">Lämplighetsprövningen ska grundas på säkerhetsskyddsanalysen och den särskilda säkerhetsskyddsbedömningen samt sådan informa- tion om exempelvis hotbilder och kritiska beroenden mellan verk- samheter som verksamhetsutövaren skaffat sig eller fått från sam- råds- eller tillsynsmyndigheten.</P>
<P class="p82 ft18">Både den särskilda säkerhetsskyddsbedömningen och lämplighets- prövningen ska avse samtliga moment i det planerade förfarandet. Säkerhetsskyddsklassificerade uppgifter kan röjas under såväl drift- sättning som förändring av informationssystemet. Verksamhetsut- övaren behöver inkludera aktuellt moment i den särskilda säkerhets- skyddsbedömningen och lämplighetsprövningen.</P>
<P class="p85 ft17">Av <SPAN class="ft49">tredje stycket </SPAN>framgår att den särskilda säkerhetsskyddsbedöm- ningen och lämplighetsprövningen ska dokumenteras. Bestämmel- sen motsvarar delvis nuvarande 3 kap. 1 § säkerhetsskyddsförord- ningen.</P>
<P class="p82 ft19">I <SPAN class="ft63">fjärde stycket </SPAN>klargörs att verksamhetsutövaren inte får inleda det planerade förfarandet om lämplighetsprövningen enligt andra</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">496</P>
</DIV>
</DIV>
<DIV id="page_498">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td18"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td104"><P class="p2 ft37">Författningskommentar</P></TD>
</TR>
</TABLE>
<P class="p244 ft21">stycket leder till bedömningen att det är olämpligt från säkerhets- skyddssynpunkt.</P>
<P class="p314 ft45"><SPAN class="ft190">2 § </SPAN>Om lämplighetsprövningen enligt 1 § leder till bedömningen att det planerade förfarandet inte är olämpligt från säkerhetsskyddssyn- punkt, ska verksamhetsutövaren samråda med den myndighet som regeringen bestämmer (samrådsmyndigheten), innan ett informations- system som kan förutses komma att behandla säkerhetsskyddsklassi- ficerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre tas i drift, eller i väsentliga avseenden förändras.</P>
<P class="p11 ft72">Samrådsskyldigheten gäller även i fråga om andra informations- system än sådana som anges i första stycket, om obehörig åtkomst till syste- men kan medföra en skada för Sveriges säkerhet som inte är obetydlig.</P>
<P class="p146 ft49">Samrådsmyndigheten får besluta att förelägga verksamhetsutövaren att vidta åtgärder enligt denna lag och föreskrifter som har meddelats i anslutning till lagen.</P>
<P class="p451 ft21">Övervägandena finns i avsnitt 13.8.</P>
<P class="p146 ft17">Paragrafen, som är ny, innehåller bestämmelser om samråd och åtgärdsföreläggande. Bestämmelserna motsvarar delvis nuvarande 3 kap. 2 § säkerhetsskyddsförordningen.</P>
<P class="p111 ft18">Enligt <SPAN class="ft45">första stycket </SPAN>ska verksamhetsutövaren, om lämplighets- prövningen enligt 1 § leder till bedömningen att det planerade för- farandet inte är olämpligt från säkerhetsskyddssynpunkt, i vissa fall samråda med samrådsmyndigheten. I stycket anges även att reger- ingen ska utse samrådsmyndigheter enligt lagen. I övrigt motsvarar bestämmelserna i <SPAN class="ft45">första </SPAN>och <SPAN class="ft45">andra stycket</SPAN>, om skyldigheten att sam- råda, 3 kap. 2 § säkerhetsskyddsförordningen.</P>
<P class="p111 ft18">Verksamhetsutövaren ska ta initiativ till samråd efter det att den särskilda säkerhetsskyddsbedömningen och lämplighetsprövningen har genomförts men innan det planerade förfarandet inleds. Det kan dock vara av vikt att verksamhetsutövaren inte endast fokuserar på det enskilda moment som kräver samråd utan att denne ser det planerade förfarandet i dess helhet.</P>
<P class="p187 ft46">En naturlig utgångspunkt är att verksamhetsutövaren inleder sam- rådet genom att ge in dokumentationen av den särskilda säkerhets- skyddsbedömningen och lämplighetsprövningen till samrådsmyn- digheten. Vilket ytterligare underlag som kan vara nödvändigt att ge in kan variera från fall till fall. En beskrivning av den planerade drift-</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">497</P>
</DIV>
</DIV>
<DIV id="page_499">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Författningskommentar</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft19">sättningen eller förändringen av informationssystemet bör ges in, liksom eventuell dokumentation avseende förfarandet. I många fall kan verksamhetsutövaren även behöva ge samrådsmyndigheten till- gång till relevanta delar av sin säkerhetsskyddsanalys.</P>
<P class="p73 ft18">Samrådet kan bl.a. omfatta frågan om en planerad driftsättning bör ändras, eller en förändring av ett informationssystem bör be- gränsas, på något sätt för att inte vara olämplig. Samrådsmyndig- hetens prövning bör också innefatta en bedömning av vad driftsätt- ningen kan innebära på längre sikt, t.ex. vid omvärldsförändringar och ändrade hotbilder. Hur omfattande samrådet behöver vara får av- göras med hänsyn till omständigheterna i det enskilda fallet.</P>
<P class="p73 ft19">Enligt <SPAN class="ft63">tredje stycket </SPAN>får samrådsmyndigheten inom ramen för samrådet förelägga verksamhetsutövaren att vidta åtgärder för att full- göra sina skyldigheter enligt lagen och föreskrifter som har med- delats i anslutning till den. Ett föreläggande kan innehålla anvisningar om vilka ytterligare säkerhetsskyddsåtgärder för berört informa- tionssystem som verksamhetsutövaren behöver vidta. Föreläggandet kan också innebära att verksamhetsutövaren vid en senare tidpunkt under samrådet ska återrapportera till samrådsmyndigheten hur olika åtgärder har utförts.</P>
<P class="p72 ft17">Utgångspunkten är att samrådet ska ha avslutats innan det pla- nerade förfarandet inleds. Det innebär bl.a. att en driftsättning som utgångspunkt får påbörjas först när samrådet har genomförts och under förutsättning att samrådsmyndigheten inte har fattat beslut om förbud enligt 5 §.</P>
<P class="p105 ft17">Om samrådsmyndigheten bedömer att syftet med samrådet har uppfyllts och att verksamhetsutövaren kan gå vidare med det plane- rade förfarandet bör myndigheten fatta beslut om att avsluta sam- rådet utan vidare åtgärd.</P>
<P class="p105 ft17">I vilka fall samrådsmyndigheten får besluta om förbud mot att inleda det planerade förfarandet regleras i 5 §.</P>
<P class="p153 ft49"><SPAN class="ft191">3 § </SPAN>Om verksamhetsutövaren inte samråder med samrådsmyndig- heten trots att det finns en skyldighet att göra det, får samrådsmyndig- heten inleda samrådet.</P>
<P class="p362 ft21">Övervägandena finns i avsnitt 13.8.</P>
<P class="p72 ft17">Paragrafen, som är ny, innehåller bestämmelser om när samråds- myndigheten får inleda ett samråd.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">498</P>
</DIV>
</DIV>
<DIV id="page_500">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td18"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td104"><P class="p2 ft37">Författningskommentar</P></TD>
</TR>
</TABLE>
<P class="p231 ft19">Enligt paragrafen får samrådsmyndigheten inleda ett samråd om verksamhetsutövaren underlåter att göra det trots att samrådsskyl- dighet föreligger. Utgångspunkten är att verksamhetsutövaren ska ta initiativ till samrådet när det föreligger en samrådsskyldighet enligt 2 §. Det kan dock inträffa att samrådsmyndigheten får känne- dom om att någon avser att genomföra ett samrådspliktigt för- farande och att något samråd inte har inletts av verksamhetsutövaren. I en sådan situation kan samrådsmyndigheten med stöd av bestäm- melsen själv inleda ett samråd. Det som föreskrivs i 2 § tredje stycket om förelägganden och 5 § om förbud gäller även i fråga om ett sådant samråd.</P>
<P class="p817 ft60"><SPAN class="ft192">4 § </SPAN>Ett informationssystem som ska användas i säkerhetskänslig verk- samhet får inte tas i drift förrän det har godkänts från säkerhetsskydds- synpunkt av verksamhetsutövaren. Godkännandet ska dokumenteras.</P>
<P class="p343 ft21">Övervägandena finns i avsnitt 13.8.</P>
<P class="p58 ft18">Paragrafen, som är ny, innehåller bestämmelser om godkännande av ett informationssystems driftsättning i säkerhetskänslig verksam- het. motsvarar nuvarande 3 kap. 3 § säkerhetsskyddsförordningen.</P>
<P class="p149 ft17">Bestämmelsen innebär att verksamhetsutövaren måste fatta ett formellt beslut om att informationssystemet får tas i bruk. Beslutet ska dokumenteras. En naturlig utgångspunkt är att verksamhetsut- övaren godkänner en driftsättning av informationssystemet först efter att samrådet har avslutats.</P>
<P class="p817 ft125"><SPAN class="ft193">5 § </SPAN>Om ett beslut om föreläggande enligt 2 § inte följs eller om det planerade förfarandet är olämpligt från säkerhetsskyddssynpunkt även om ytterligare åtgärder vidtas, får samrådsmyndigheten besluta att drift- sättningen eller förändringen av informationssystemet inte får genom- föras (förbud).</P>
<P class="p7 ft21">Övervägandena finns i avsnitt 13.8.</P>
<P class="p187 ft18">Paragrafen, som är ny, innehåller bestämmelser om när samråds- myndigheten får besluta att en driftsättning eller väsentlig föränd- ring av ett informationssystem inte får genomföras (förbud).</P>
<P class="p111 ft18">Av paragrafen framgår att samrådsmyndigheten får besluta att det planerade förfarandet inte får genomföras om ett föreläggande inte</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">499</P>
</DIV>
</DIV>
<DIV id="page_501">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Författningskommentar</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p189 ft21">följs eller om förfarandet är olämpligt från säkerhetsskyddssynpunkt även om ytterligare åtgärder vidtas.</P>
<P class="p104 ft18">Så långt det är möjligt bör samrådsmyndigheten sträva efter att eventuella problem ska hanteras genom samrådet och förelägganden. Det kan dock finnas fall där en verksamhetsutövare, trots föreläg- ganden, inte vidtar de åtgärder som behövs för att förfarandet ska vara lämpligt från säkerhetsskyddssynpunkt. Det kan också finnas förfaranden som är olämpliga oavsett vilka säkerhetsskyddsåtgärder som vidtas. Ett exempel kan vara att det i verksamheten förekommer säkerhetsskyddsklassificerade uppgifter som är så känsliga för Sveriges säkerhet att det inte under några förhållanden är lämpligt att de be- handlas av verksamhetsutövaren i uppkopplade informationssystem. Samtidigt följer av 5 § förvaltningslagen (2017:900) att beslut om förbud får fattas bara om det är proportionerligt. En proportionali- tetsbedömning ska göras i varje enskilt fall. Bedömningen ska bl.a. avse om det önskade resultatet kan uppnås på något annat och mindre ingripande sätt och om det avsedda resultatet står i rimligt för- hållande till de olägenheter som kan antas uppstå för den som åtgär- den riktas mot. Av kravet på proportionalitet följer att möjligheten att förbjuda verksamhetsutövaren att genomföra ett visst förfarande ska användas restriktivt.</P>
<P class="p70 ft26">6 kap.</P>
<P class="p289 ft17"><SPAN class="ft68">3 § </SPAN>Tillsynsmyndigheten har i den omfattning som det behövs för tillsynen rätt att få <SPAN class="ft49">tillgång till informationssystem och </SPAN>tillträde till om- råden, lokaler och andra utrymmen, dock inte bostäder, som används i verksamhet som omfattas av tillsyn.</P>
<P class="p356 ft17"><SPAN class="ft68">4 § </SPAN>Tillsynsmyndigheten får besluta att förelägga den som står under tillsyn att tillhandahålla information och ge <SPAN class="ft49">tillgång eller </SPAN>tillträde enligt 2 och 3 §§. Ett sådant beslut om föreläggande får förenas med vite.</P>
<P class="p362 ft21">Övervägandena finns i kapitel 14.</P>
<P class="p106 ft18">De av regeringen i proposition 2020/21:194 föreslagna paragra- ferna reglerar tillsynsmyndighetens rätt att få tillträde till områden, lokaler och andra utrymmen samt möjlighet att besluta föreläggan-</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">500</P>
</DIV>
</DIV>
<DIV id="page_502">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td18"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td104"><P class="p2 ft37">Författningskommentar</P></TD>
</TR>
</TABLE>
<P class="p121 ft21">den om information och tillträde (6 kap. 3 och 4 §§ säkerhetsskydds- lagen).</P>
<P class="p150 ft17">Ändringarna innebär att tillsynsmyndigheten dels ges en ny undersökningsbefogenhet som innebär rätt att få tillgång till själva informationssystemet, dels får möjlighet att förelägga den som står under tillsyn att ge sådan tillgång.</P>
<P class="p11 ft18">Som utgångspunkt ska tillsynsmyndigheten i första hand försöka få verksamhetsutövaren att frivillig ge myndigheten tillgång till in- formationssystemet. För att tillsynsmyndigheten ska ha rätt att få tillgång till informationssystem krävs att systemet används i verks- amhet som omfattas av tillsyn enligt 6 kap. 1 § och att informations- tillgången behövs för tillsynen. Rätten motsvaras av en skyldighet för den som står under tillsyn att tillhandahålla det begärda tillträdet. Det intrång som tillgången innebär måste stå i proportion till be- hovet av tillsynsåtgärden. Tillgångsrätten ger inte tillsynsmyndig- heten rätt att bereda sig tillgång med tvång. Om den som står under tillsyn inte samarbetar kan dock tillsynsmyndigheten förelägga denna att ge tillgång vid äventyr av vite och i sista hand begära handräck- ning av Kronofogdemyndigheten. Om ett föreläggande förenas med vite är lagen (1985:206) om viten tillämplig.</P>
<P class="p131 ft26">7 kap.</P>
<P class="p351 ft49"><SPAN class="ft191">2 a § </SPAN>Samrådsmyndigheten får besluta att ta ut en sanktionsavgift av en verksamhetsutövare som</P>
<P class="p896 ft49"><SPAN class="ft73">1.</SPAN><SPAN class="ft194">har åsidosatt sin skyldighet enligt 3 a kap. 2 § första och andra stycket,</SPAN></P>
<P class="p897 ft63"><SPAN class="ft73">2.</SPAN><SPAN class="ft195">har driftsatt eller förändrat ett informationssystem i strid med ett förbud som har meddelats med stöd av 3 a kap. 5 §, eller</SPAN></P>
<P class="p194 ft20"><SPAN class="ft73">3.</SPAN><SPAN class="ft196">har lämnat oriktiga uppgifter i samband med samråd enligt 3 a kap.</SPAN></P>
<P class="p207 ft20">2 §.</P>
<P class="p18 ft21">Övervägandena finns i kapitel 13.</P>
<P class="p216 ft17">Paragrafen, som är ny, reglerar uttömmande vid vilka överträ- delser samrådsmyndigheten får ta ut en sanktionsavgift av en verk- samhetsutövare, nämligen i fall samrådsskyldigheten åsidosatts, med- delat förbud inte respekteras samt då oriktiga uppgifter lämnats vid samrådet.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">501</P>
</DIV>
</DIV>
<DIV id="page_503">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Författningskommentar</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p276 ft18">Det är inte obligatoriskt att ta ut sanktionsavgift när en över- trädelse har konstaterats, utan det är samrådsmyndigheten som av- gör om en avgift ska tas ut i det enskilda fallet. De omständigheter som särskilt ska beaktas vid den bedömningen anges i 7 kap. 3 § säker- hetsskyddslagen. Också statliga myndigheter, kommuner och regio- ner kan påföras sanktionsavgift.</P>
<P class="p115 ft46">Innan samrådsmyndigheten tar ut en sanktionsavgift ska verksam- hetsutövaren ges tillfälle att yttra sig. Detta följer av förvaltningslagen.</P>
<P class="p898 ft18"><SPAN class="ft59">9 § </SPAN>En sanktionsavgift ska betalas till <SPAN class="ft45">samråds- </SPAN>eller tillsynsmyndig- heten inom 30 dagar från det att beslutet om att ta ut avgiften har fått laga kraft eller inom den längre tid som anges i beslutet.</P>
<P class="p105 ft17">Om sanktionsavgiften inte betalas inom den tid som anges i första stycket, ska myndigheten lämna den obetalda avgiften för indrivning. Bestämmelser om indrivning finns i lagen (1993:891) om indrivning av statliga fordringar m.m. Vid indrivning får verkställighet ske en- ligt utsökningsbalken.</P>
<P class="p548 ft21">En sanktionsavgift tillfaller staten.</P>
<P class="p405 ft21">Övervägandena finns i kapitel 13.</P>
<P class="p72 ft17">Paragrafen innehåller bestämmelser om betalning och indrivning av sanktionsavgifter.</P>
<P class="p105 ft17">Ändringen i <SPAN class="ft49">första stycket </SPAN>innebär att det som anges där om betal- ning till tillsynsmyndigheten också, i tillämpliga fall, gäller i förhål- lande till samrådsmyndigheten.</P>
<P class="p70 ft26">8 kap.</P>
<P class="p261 ft17"><SPAN class="ft68">4 § </SPAN>Beslut om föreläggande enligt <SPAN class="ft49">3 a kap. 2 §, </SPAN>4 kap. 9 och 15 §§ och 6 kap. 4 och 6 §§ eller sanktionsavgift enligt 7 kap. 1, 2 och 2 a §§ <SPAN class="ft49">eller beslut om förbud enligt 3 a kap. 5 § </SPAN>får överklagas till Förvalt- ningsrätten i Stockholm. När ett sådant beslut överklagas är <SPAN class="ft49">samråds- </SPAN>eller tillsynsmyndigheten motpart. Prövningstillstånd krävs vid över- klagande till kammarrätten.</P>
<P class="p73 ft18">Beslut om förbud enligt 4 kap. 11, 17 och 18 §§ och föreläggande enligt 4 kap. 12 och 19 §§ får överklagas till regeringen.</P>
<P class="p172 ft21">Andra beslut enligt denna lag får inte överklagas.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">502</P>
</DIV>
</DIV>
<DIV id="page_504">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td18"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td104"><P class="p2 ft37">Författningskommentar</P></TD>
</TR>
</TABLE>
<P class="p90 ft21">Övervägandena finns i kapitel 15.</P>
<P class="p899 ft18">Paragrafen innehåller bestämmelser om överklagande. Ändringen i <SPAN class="ft45">första stycket </SPAN>innebär att även samrådsmyndighetens</P>
<P class="p562 ft53">beslut om föreläggande under samråd samt om förbud eller sank- tionsavgift får överklagas till Förvaltningsrätten i Stockholm och att samrådsmyndigheten är motpart när sådana beslut överklagas.</P>
<P class="p90 ft26">Ikraftträdande</P>
<P class="p900 ft20"><SPAN class="ft73">1.</SPAN><SPAN class="ft196">Denna lag träder i kraft den 1 juli 2022.</SPAN></P>
<P class="p901 ft49"><SPAN class="ft73">2.</SPAN><SPAN class="ft194">Äldre föreskrifter gäller fortfarande för ärenden om samråd som har inletts före ikraftträdandet.</SPAN></P>
<P class="p896 ft49"><SPAN class="ft73">3.</SPAN><SPAN class="ft194">En sanktionsavgift enligt 7 kap. 2 a § får beslutas endast för över- trädelser som skett efter ikraftträdandet.</SPAN></P>
<P class="p817 ft18">Eftersom de föreslagna lagändringarna är mycket angelägna bör för- slagen, även med beaktande av att ett skyndsamt ikraftträdande ger berörda aktörer en relativt kort tid att förbereda sig, träda i kraft så snart som möjligt. Med hänsyn till den tid som de olika leden i lag- stiftningsprocessen kan förväntas ta, anser utredningen att ett ikraft- trädande är möjligt tidigast den 1 juli 2022.</P>
<P class="p146 ft17"><SPAN class="ft49">Punkt 1 </SPAN>föreskriver att lagen träder i kraft den 1 juli 2022. De föreslagna bestämmelserna om skyldigheter vid driftsättning av in- formationssystem bör inte ges retroaktiv verkan för sådana system som tagits i drift före ikraftträdandet.</P>
<P class="p186 ft17">Enligt <SPAN class="ft49">punkt 2 </SPAN>gäller äldre föreskrifter fortfarande för ärenden om samråd som har inletts före ikraftträdandet. Det innebär att ärenden om samråd i samband med driftsättningar och väsentliga föränd- ringar av informationssystem som har inletts före ikraftträdandet handläggs enligt äldre föreskrifter.</P>
<P class="p111 ft46">Enligt <SPAN class="ft60">punkt 3 </SPAN>får en sanktionsavgift beslutas av samrådsmyndig- heten endast för överträdelser som har skett efter ikraftträdandet.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">503</P>
</DIV>
</DIV>
<DIV id="page_505">
</DIV>
<DIV id="page_506">
<P class="p880 ft16">Referenser</P>
<P class="p902 ft48">Offentliga tryck</P>
<P class="p903 ft26">Propositioner</P>
<P class="p904 ft49"><SPAN class="ft17">Prop. 2020/21:186, </SPAN>Kompletterande bestämmelser till EU:s cybersäkerhetsakt.</P>
<P class="p905 ft21">Prop. 2020/21:30, Totalförsvar <NOBR>2021–2025.</NOBR></P>
<P class="p906 ft21">Prop. 2020/21:1, <SPAN class="ft20">Budgetproposition för 2021</SPAN>, utg.omr. 6.</P>
<P class="p907 ft49"><SPAN class="ft17">Prop. 2017/18:205, </SPAN>Informationssäkerhet för samhällsviktiga och digitala tjänster<SPAN class="ft17">.</SPAN></P>
<P class="p906 ft21">Prop. 2017/18:1, <SPAN class="ft20">Budgetproposition för 2018</SPAN>, utg.omr. 2.</P>
<P class="p906 ft20"><SPAN class="ft21">Prop. 2017/18:89, </SPAN>Ett modernt och stärkt skydd för Sveriges säkerhet</P>
<P class="p908 ft20"><SPAN class="ft73">–</SPAN><SPAN class="ft197">ny säkerhetsskyddslag</SPAN><SPAN class="ft21">.</SPAN></P>
<P class="p909 ft26">Skrivelser</P>
<P class="p910 ft21">Statsrådsberedningen (2017): <SPAN class="ft20">Nationell säkerhetsstrategi.</SPAN></P>
<P class="p911 ft49"><SPAN class="ft17">Skr. 2017/18:47, </SPAN>Hur Sverige blir bäst i världen på att använda digitaliseringens möjligheter – en skrivelse om politikens inriktning<SPAN class="ft17">.</SPAN></P>
<P class="p912 ft49"><SPAN class="ft17">Skr. 2016/17:213, </SPAN>Nationell strategi för samhällets informations- och cybersäkerhet<SPAN class="ft17">.</SPAN></P>
<P class="p913 ft26">Lagrådsremisser</P>
<P class="p914 ft17">Regeringens lagrådsremiss <NOBR>2021-03-18,</NOBR> <SPAN class="ft49">Ett starkare skydd för Sveriges säkerhet</SPAN>.</P>
<P class="p915 ft31">505</P>
</DIV>
<DIV id="page_507">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Referenser</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p0 ft26">Statens offentliga utredningar</P>
<P class="p416 ft20"><SPAN class="ft21">SOU 2021:25 </SPAN>Struktur för ökad motståndskraft<SPAN class="ft21">.</SPAN></P>
<P class="p916 ft49"><SPAN class="ft17">SOU 2021:1 </SPAN>Säker och kostnadseffektiv <NOBR>it-drift</NOBR> – rättsliga förutsättningar för utkontraktering<SPAN class="ft17">.</SPAN></P>
<P class="p917 ft49"><SPAN class="ft17">SOU 2020:25 </SPAN>EU:s cybersäkerhetsakt – kompletterande nationella bestämmelser om cybersäkerhetscertifiering<SPAN class="ft17">.</SPAN></P>
<P class="p918 ft199"><SPAN class="ft198">SOU 2018:82 </SPAN>Kompletteringar till den nya säkerhetsskyddslagen<SPAN class="ft198">. SOU 2018:25 </SPAN>Juridik som stöd för förvaltningens digitalisering<SPAN class="ft198">. SOU 2017:114 </SPAN><NOBR>reboot–omstart</NOBR> för den digitala förvaltningen<SPAN class="ft198">.</SPAN></P>
<P class="p919 ft20"><SPAN class="ft21">SOU 2017:36 </SPAN>Informationssäkerhet för samhällsviktiga och digitala tjänster<SPAN class="ft21">.</SPAN></P>
<P class="p920 ft201"><SPAN class="ft200">SOU 2017:23 </SPAN>digitalforvaltning.nu<SPAN class="ft200">. SOU 2016:89 </SPAN>För digitalisering i tiden<SPAN class="ft200">.</SPAN></P>
<P class="p8 ft20"><SPAN class="ft21">SOU 2016:85 </SPAN>Digitaliseringens effekter på individ och samhälle</P>
<P class="p15 ft20"><SPAN class="ft20">–</SPAN><SPAN class="ft196">fyra temarapporter</SPAN><SPAN class="ft21">.</SPAN></P>
<P class="p921 ft49"><SPAN class="ft17">SOU 2015:91 </SPAN>Digitaliseringens transformerande kraft – vägval för framtiden<SPAN class="ft17">.</SPAN></P>
<P class="p922 ft49"><SPAN class="ft17">SOU 2015:65 </SPAN>Om Sverige i framtiden – en antologi om digitaliseringens möjligheter<SPAN class="ft17">.</SPAN></P>
<P class="p923 ft203"><SPAN class="ft202">SOU 2015:28 </SPAN>Gör Sverige i framtiden – digital kompetens<SPAN class="ft202">. SOU 2015:25 </SPAN>En ny säkerhetsskyddslag<SPAN class="ft202">.</SPAN></P>
<P class="p924 ft49"><SPAN class="ft17">SOU 2015:23 </SPAN>Informations- och cybersäkerhet i Sverige. Strategi och åtgärder för säker information i staten<SPAN class="ft17">.</SPAN></P>
<P class="p925 ft49"><SPAN class="ft17">SOU 2014:13 </SPAN>En digital agenda i människans tjänst – en ljusnande framtid kan bli vår<SPAN class="ft17">.</SPAN></P>
<P class="p926 ft60"><SPAN class="ft46">SOU 2013:31 </SPAN>En digital agenda i människans tjänst – Sveriges digitala ekosystem, dess aktörer och drivkrafter<SPAN class="ft46">.</SPAN></P>
<P class="p927 ft20"><SPAN class="ft21">SOU 2010:25 </SPAN>Översyn av verksamhet och organisation på informationssäkerhetsområdet<SPAN class="ft21">.</SPAN></P>
</DIV>
<DIV id="id_3">
<P class="p0 ft31">506</P>
</DIV>
</DIV>
<DIV id="page_508">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td105"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td27"><P class="p2 ft37">Referenser</P></TD>
</TR>
</TABLE>
<P class="p5 ft26">Departementspromemorior</P>
<P class="p928 ft125"><SPAN class="ft53">Ds 2019:8 </SPAN>Värnkraft: Inriktningen av säkerhetspolitiken och utformningen av det militära försvaret <NOBR>2021–2025<SPAN class="ft53">.</SPAN></NOBR></P>
<P class="p8 ft20"><SPAN class="ft21">Ds 2018:6 </SPAN>Granskning av Transportstyrelsens upphandling av <NOBR>it-drift<SPAN class="ft21">.</SPAN></NOBR></P>
<P class="p929 ft49"><SPAN class="ft17">Ds 2017:66 </SPAN>Motståndskraft: Inriktningen av totalförsvaret och utformningen av det civila försvaret <NOBR>2021–2025<SPAN class="ft17">.</SPAN></NOBR></P>
<P class="p131 ft48">Rapporter</P>
<P class="p6 ft20"><SPAN class="ft21">Digitaliseringsrådet (2018): </SPAN>En lägesbild av digital ledning<SPAN class="ft21">.</SPAN></P>
<P class="p930 ft17">Ekonomistyrningsverket (2018): <SPAN class="ft49">Digitalisering av det offentliga Sverige</SPAN>.</P>
<P class="p931 ft49"><SPAN class="ft17">Enisa (2021): </SPAN>SECURITY IN 5G SPECIFICATIONS – Controls in 3GPP Security Specifications (5G SA)<SPAN class="ft17">.</SPAN></P>
<P class="p932 ft60"><SPAN class="ft46">FOI (2020): </SPAN>Vilse i lasagnen? En upptäcktsfärd i den svenska Digitaliseringens mångbottnade problemstruktur <NOBR><SPAN class="ft46">(FOI-R--4814--SE).</SPAN></NOBR></P>
<P class="p8 ft21">Försvarets radioanstalts <SPAN class="ft20">årsrapport 2016</SPAN>.</P>
<P class="p933 ft45"><SPAN class="ft18">Högskolan i Skövde (2017): </SPAN>Länsstyrelsernas förutsättningar att stödja kommuner gällande informationssäkerhet<SPAN class="ft18">.</SPAN></P>
<P class="p934 ft45"><SPAN class="ft18">IT & Telekomföretagens (2020): </SPAN><NOBR>IT-kompetensbristen</NOBR> – en rapport om den svenska digitala sektorns behov av spetskompetens<SPAN class="ft18">.</SPAN></P>
<P class="p935 ft45"><SPAN class="ft18">Knowit (2020): </SPAN>Övergripande studie av offentlig <NOBR>it-drift</NOBR> (informationssäkerhet) i Västra Götaland (slutrapport)<SPAN class="ft18">.</SPAN></P>
<P class="p936 ft60"><SPAN class="ft46">Kommerskollegiums rapport </SPAN>The Cyber Effect – the implications of IT security regulation on international trade <SPAN class="ft46">(2018).</SPAN></P>
<P class="p8 ft21">Kungl. Ingenjörsvetenskapsakademin (2019): <SPAN class="ft20">Digitalisering</SPAN></P>
<P class="p15 ft20">för ökad konkurrenskraft<SPAN class="ft21">.</SPAN></P>
<P class="p937 ft17">Myndigheten för samhällsskydd och beredskap (2021): <SPAN class="ft49">En struktur för uppföljning av det systematiska </SPAN><NOBR><SPAN class="ft49">informations-säkerhetsarbetet</SPAN></NOBR><SPAN class="ft49"> i den offentliga förvaltningen</SPAN>.</P>
<P class="p938 ft17">Myndigheten för samhällsskydd och beredskap, m.fl. (2021): <SPAN class="ft49">Samlad informations- och cybersäkerhetshandlingsplan </SPAN><NOBR><SPAN class="ft49">2019–2022,</SPAN></NOBR><SPAN class="ft49"> </SPAN>MSB1635.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">507</P>
</DIV>
</DIV>
<DIV id="page_509">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Referenser</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p939 ft17">Myndigheten för samhällsskydd och beredskap (2020): <SPAN class="ft49">Statliga myndigheters </SPAN><NOBR><SPAN class="ft49">it-incidentrapportering</SPAN></NOBR><SPAN class="ft49"> 2020 – Utmaningar för en säker och robust informationshantering</SPAN>.</P>
<P class="p940 ft17">Myndigheten för digital förvaltning (2019): <SPAN class="ft49">Myndigheters digitala mognad och </SPAN><NOBR><SPAN class="ft49">it-kostnader</SPAN>.</NOBR></P>
<P class="p941 ft17">Myndigheten för samhällsskydd och beredskap (2017): <SPAN class="ft49">Bevakningsansvariga myndigheters informations- och cybersäkerhet</SPAN>.</P>
<P class="p942 ft53">Myndigheten för samhällsskydd och beredskap (2016): <SPAN class="ft125">Nationell handlingsplan för samhällets informationssäkerhet</SPAN>.</P>
<P class="p943 ft46">Myndigheten för samhällsskydd och beredskap (2016): <SPAN class="ft60">Informationssäkerheten i Sveriges kommuner – Analys och rekommendationer utifrån MSB:s kommunenkät 2015</SPAN>.</P>
<P class="p944 ft21">Myndigheten för samhällsskydd och beredskap (2015): <SPAN class="ft20">En bild av kommunernas informationssäkerhetsarbete 2015</SPAN>.</P>
<P class="p308 ft21">Myndigheten för samhällsskydd och beredskap (2014): <SPAN class="ft20">En bild</SPAN></P>
<P class="p945 ft20">av myndigheternas informationssäkerhetsarbete 2014 – tillämpning av MSB:s föreskrifter<SPAN class="ft21">.</SPAN></P>
<P class="p946 ft17">PricewaterhouseCoopers (2020): <SPAN class="ft49">Cyberhoten mot Sverige 2019 – En undersökning om hur 100 större svenska bolag ser på cyberbrott nu och i ett framtidsperspektiv.</SPAN></P>
<P class="p942 ft49"><SPAN class="ft17">Riksrevisionen (2019): </SPAN>Föråldrade <NOBR>it-system</NOBR> – hinder för en effektiv digitalisering<SPAN class="ft17">, (RIR 2019:28).</SPAN></P>
<P class="p947 ft45"><SPAN class="ft18">Riksrevisionen (2016): </SPAN>Informationssäkerhetsarbete på nio myndigheter – En andra granskning av informationssäkerheten</P>
<P class="p194 ft21"><SPAN class="ft20">i</SPAN><SPAN class="ft196">staten, </SPAN>(RiR 2016:8).</P>
<P class="p948 ft49"><SPAN class="ft17">Riksrevisionen (2014): </SPAN>Informationssäkerheten i den civila statsförvaltningen, <SPAN class="ft17">(RIR 2014:23).</SPAN></P>
<P class="p949 ft46">Sveriges Kommuner och Regioner (2019): <SPAN class="ft60">Kommunernas informationssäkerhetsarbete – en övergripande kartläggning av kommunernas systematiska informationssäkerhetsarbete</SPAN>.</P>
<P class="p8 ft20"><SPAN class="ft21">Säkerhetspolisen (2019): </SPAN>Vägledning i säkerhetsskydd</P>
<P class="p15 ft20"><SPAN class="ft20">–</SPAN><SPAN class="ft196">Informationssäkerhet</SPAN><SPAN class="ft21">.</SPAN></P>
<P class="p950 ft17">Säkerhetspolisen (2017): Säkerhetsskydd <SPAN class="ft49">hos myndigheter med mest skyddsvärd verksamhet, </SPAN>Säkerhetspolisens offentliga redovisning till regeringen <NOBR>(2017-25007-5).</NOBR></P>
</DIV>
<DIV id="id_3">
<P class="p0 ft31">508</P>
</DIV>
</DIV>
<DIV id="page_510">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td105"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td27"><P class="p2 ft37">Referenser</P></TD>
</TR>
</TABLE>
<P class="p90 ft21">Säkerhetspolisens <SPAN class="ft20">årsbok 2016</SPAN>.</P>
<P class="p951 ft60"><SPAN class="ft46">Vetenskapsrådet (2018): </SPAN>Att motverka överbelastning av samhälls- viktiga webbplatser Slutrapport 2018 från projekt Särimner<SPAN class="ft46">.</SPAN></P>
<P class="p952 ft49"><SPAN class="ft17">Teknikföretagen (2019): </SPAN>CYBERHOTEN – Så ser hotbilden och attackerna ut mot svenska teknikföretag<SPAN class="ft17">.</SPAN></P>
<P class="p953 ft49"><SPAN class="ft17">Unitalent AB (2020): </SPAN>Cybersäkerhet – En kartläggning av Sveriges nuläge 2020 och framtidsutsikter för branschen<SPAN class="ft17">.</SPAN></P>
<P class="p317 ft20"><SPAN class="ft21">Vetenskapsrådet (2018): </SPAN>Vetenskapsrådets guide till infrastrukturen<SPAN class="ft21">.</SPAN></P>
<P class="p930 ft60"><SPAN class="ft46">Vinnova (2018): </SPAN>Artificiell intelligens i svenskt näringsliv och samhälle – Analys av utveckling och potential<SPAN class="ft46">, (slutrapport).</SPAN></P>
<P class="p954 ft26">Övrigt</P>
<P class="p955 ft46">Finska regeringens proposition (RP 98/2020 rd) till riksdagen <SPAN class="ft60">med förslag till lagar om ändring av lagen om tjänster inom elektronisk kommunikation och av vissa lagar som har samband med den</SPAN>.</P>
<P class="p956 ft20"><SPAN class="ft21">Försvarsmakten (2013): </SPAN>Handbok Försvarsmaktens säkerhetstjänst, Informationssäkerhet, H Säk Infosäk<SPAN class="ft21">.</SPAN></P>
<P class="p308 ft20"><SPAN class="ft21">ITU (2018): </SPAN>Global Cybersecurity Index (GCI<SPAN class="ft21">).</SPAN></P>
<P class="p957 ft21">OECD (2019): <SPAN class="ft20">Digital Government Index</SPAN>, resultat för 2019.</P>
<P class="p958 ft20"><SPAN class="ft21">OECD (2019): </SPAN>Digital Government Review of Sweden – Towards a <NOBR>Data-driven</NOBR> Public Sector<SPAN class="ft21">, 2019.</SPAN></P>
<P class="p959 ft205"><SPAN class="ft204">Säkerhetspolisen </SPAN>Hotbild mot säkerhetskänslig verksamhet<SPAN class="ft204">, 2019. Säkerhetspolisens </SPAN>Vägledning i säkerhetsskydd Fysisk säkerhet<SPAN class="ft204">, 2020.</SPAN></P>
<P class="p960 ft49"><SPAN class="ft17">Säkerhetspolisens </SPAN>Vägledning i säkerhetsskydd, Informations- säkerhet, <SPAN class="ft17">2020.</SPAN></P>
<P class="p961 ft49"><SPAN class="ft17">Säkerhetspolisens </SPAN>Vägledning i säkerhetsskydd – Introduktion till säkerhetsskydd<SPAN class="ft17">, 2019.</SPAN></P>
<P class="p962 ft49"><SPAN class="ft17">Säkerhetspolisens </SPAN>Vägledning i säkerhetsskydd – Säkerhetsskydds- analys, <SPAN class="ft17">2019.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">509</P>
</DIV>
</DIV>
<DIV id="page_511">
</DIV>
<DIV id="page_512">
<DIV id="id_1">
<P class="p963 ft32">Bilaga 1</P>
<P class="p964 ft16">Kommittédirektiv 2019:73</P>
<P class="p965 ft47">Cybersäkerhet – genomförandet av cybersäkerhetsakten och vissa åtgärder till skydd för säkerhetskänslig verksamhet</P>
<P class="p966 ft21">Beslut vid regeringssammanträde den 31 oktober 2019</P>
<P class="p909 ft26">Sammanfattning</P>
<P class="p967 ft18">En särskild utredare ska föreslå de anpassningar och kompletterande författningsbestämmelser som cybersäkerhetsakten ger anledning till. Syftet är att säkerställa att den kompletterande nationella reglering som behövs finns på plats när hela förordningen börjar tillämpas den 28 juni 2021. Utredaren ska också överväga om det finns anledning att införa ytterligare krav för att skydda verksamheter som är av bety- delse för Sveriges säkerhet.</P>
<P class="p968 ft21">Utredaren ska bl.a.</P>
<P class="p969 ft53"><SPAN class="ft115">•</SPAN><SPAN class="ft206">undersöka vilka kompletterande nationella föreskrifter, exempel- vis processuella bestämmelser och bestämmelser om sanktioner, som förordningen kräver eller Sverige bör införa,</SPAN></P>
<P class="p970 ft17"><SPAN class="ft115">•</SPAN><SPAN class="ft116">föreslå vilken befintlig myndighet som ska få i uppdrag att vara tillsynsmyndighet,</SPAN></P>
<P class="p971 ft17"><SPAN class="ft115">•</SPAN><SPAN class="ft116">analysera om, och i så fall föreslå vilka kompletterande bestäm- melser som bör införas dels om självbedömning av överensstäm- melse med de krav som ställs i certifieringsordningar och dels om organ för bedömning av överensstämmelse i den svenska regler- ingen,</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">511</P>
</DIV>
</DIV>
<DIV id="page_513">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Bilaga 1</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p972 ft18"><SPAN class="ft115">•</SPAN><SPAN class="ft134">bedöma om det bör införas krav på certifiering och godkännande av vissa produkter, tjänster och processer som ska användas i verk- samheter som är av betydelse för Sveriges säkerhet och föreslå hur ett sådant system skulle kunna utformas, och</SPAN></P>
<P class="p257 ft17"><SPAN class="ft115">•</SPAN><SPAN class="ft50">lämna sådana författningsförslag som i övrigt behövs och är lämp- liga.</SPAN></P>
<P class="p973 ft46">Uppdraget ska i den del som avser anpassningar med anledning av <NOBR>EU-förordningen</NOBR> redovisas senast den 1 juni 2020. I den del som av- ser regler för verksamheter som är av betydelse för Sveriges säkerhet ska uppdraget redovisas senast den 1 mars 2021.</P>
<P class="p201 ft26">Den nya regleringen – cybersäkerhetsakten</P>
<P class="p220 ft18">Europaparlamentets och rådets förordning (EU) 2019/881 av den 17 april 2019 om Enisa (Europeiska unionens cybersäkerhetsbyrå) och om cybersäkerhetscertifiering av informations- och kommuni- kationsteknik och om upphävande av förordning (EU) nr 526/2013 (cybersäkerhetsakten) trädde i kraft den 27 juni 2019. Förordningen började tillämpas direkt med undantag för vissa artiklar som kräver kompletterande bestämmelser på nationell nivå och som därför ska börja tillämpas först den 28 juni 2021. Det huvudsakliga syftet med förordningen är att säkerställa en väl fungerande inre marknad och samtidigt sträva efter att uppnå en hög nivå i fråga om cybersäkerhet, cyberresiliens och förtroende inom unionen.</P>
<P class="p73 ft18">Förordningen är uppdelad i två delar. Den första delen gäller fast- ställandet av mål, uppgifter och organisatoriska frågor som rör Enisa. Denna del kräver enligt regeringens bedömning ingen särskild kompletterande nationell reglering från medlemsstaternas sida. Den andra delen reglerar fastställandet av ett europeiskt ramverk för cyber- säkerhetscertifiering. Syftet är att säkerställa en tillfredsställande nivå</P>
<P class="p401 ft18"><SPAN class="ft21">i</SPAN><SPAN class="ft151">fråga om cybersäkerhet för informations- och kommunikations- teknik (IKT) i unionen samt att undvika en fragmentering av den inre marknaden när det gäller certifieringsordningar i unionen. Ska- pandet av europeiska ordningar för cybersäkerhetscertifiering kom- mer att medföra att certifikat som utfärdas enligt dessa certifierings- ordningar blir giltiga och erkända i alla medlemsstater. Förutom att beskriva de säkerhetsmålsättningar som ska beaktas i utformningen</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">512</P>
</DIV>
</DIV>
<DIV id="page_514">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td106"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td30"><P class="p2 ft37">Bilaga 1</P></TD>
</TR>
</TABLE>
<P class="p77 ft18">av de europeiska ordningarna för cybersäkerhetscertifieringar, anger förordningen vad minimiinnehållet i sådana ordningar bör vara. För- ordningen anger också väsentliga funktioner och uppgifter för Enisa inom cybersäkerhetscertifiering. Kommissionen kommer att utarbeta löpande arbetsprogram för europeisk cybersäkerhetscertifiering där det fastställs strategiska prioriteringar för framtida europeiska ord- ningar för cybersäkerhetscertifiering. De europeiska certifieringsord- ningarna kommer sedan att utarbetas av Enisa, med hjälp av expertråd och i nära samarbete med den europeiska gruppen för cybersäker- hetscertifiering (ECCG), som också har inrättats genom förord- ningen. Gruppens uppgifter regleras i förordningen och består bl.a. i att ge råd till och bistå kommissionen vad gäller cybersäkerhets- certifiering och utarbetande av de europeiska ordningarna för cyber- säkerhetscertifiering. En annan uppgift för gruppen är att underlätta anpassningen av de europeiska ordningarna till internationellt erkända standarder och att, där så är lämpligt, lämna rekommendationer till Enisa om att samarbeta med relevanta internationella standardiser- ingsorganisationer för att åtgärda brister eller luckor i de befintliga internationellt erkända standarderna. Kommissionen ska, med stöd från Enisa, vara ordförande i gruppen. Kommissionen antar sedan de europeiska ordningarna för cybercertifiering genom genomförande- akter.</P>
<P class="p683 ft18">En europeisk ordning för cybersäkerhetscertifiering får innehålla en eller flera av följande assuransnivåer för <NOBR>IKT-produkter,</NOBR> IKT- tjänster och <NOBR>IKT-processer,</NOBR> dvs. på vilken nivå produkten, tjänsten eller processen har utvärderats: ”grundläggande”, ”betydande” eller ”hög”. Varje europeiskt cybersäkerhetscertifikat kan avse någon av assuransnivåerna medan <NOBR>EU-försäkran</NOBR> om överensstämmelse endast kan avse assuransnivån ”grundläggande”. De säkerhetskrav som mot- svarar varje assuransnivå ska anges i den relevanta europeiska ord- ningen för cybersäkerhetscertifiering. Certifikatet eller <NOBR>EU-försäk-</NOBR> ran om överensstämmelse ska hänvisa till tekniska specifikationer, standarder och förfaranden med koppling till detta, inbegripet tek- niska kontroller, som syftar till att minska risken för eller förhindra cybersäkerhetsincidenter. Ett europeiskt cybersäkerhetscertifikat eller en <NOBR>EU-försäkran</NOBR> om överensstämmelse med assuransnivån ”grund- läggande” ska försäkra att motsvarande säkerhetskrav är uppfyllda, inbegripet säkerhetsfunktioner, och att utvärderingen har skett på en nivå som avser att minimera kända grundläggande risker för inci-</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">513</P>
</DIV>
</DIV>
<DIV id="page_515">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Bilaga 1</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p60 ft18">denter och cyberattacker. Den utvärdering som ska göras ska inne- fatta åtminstone en granskning av den tekniska dokumentationen. Om en sådan granskning inte är lämplig ska alternativa utvärder- ingsinsatser med likvärdig effekt utföras. Om en europeisk ordning för cybersäkerhetscertifiering ger möjlighet till självbedömning av överensstämmelse bör det vara tillräckligt att tillverkaren eller leve- rantören har gjort en självbedömning av <NOBR>IKT-produktens,</NOBR> <NOBR>IKT-tjäns-</NOBR> tens eller <NOBR>IKT-processens</NOBR> överensstämmelse med certifieringsord- ningen. För assuransnivån ”betydande” bör utvärderingen, utöver kraven för assuransnivån ”grundläggande”, åtminstone omfatta en kontroll av överensstämmelsen mellan <NOBR>IKT-produktens,</NOBR> <NOBR>IKT-tjäns-</NOBR> tens eller <NOBR>IKT-processens</NOBR> säkerhetsfunktioner och den tekniska doku- mentationen. För assuransnivån ”hög” bör utvärderingen, utöver kraven för assuransnivån ”betydande”, åtminstone omfatta ett effek- tivitetstest som bedömer resistensen hos <NOBR>IKT-produktens,</NOBR> <NOBR>IKT-tjäns-</NOBR> tens eller <NOBR>IKT-processens</NOBR> säkerhetsfunktioner gentemot genomtänkta cyberangrepp som utförs av personer med betydande kompetens och resurser. En europeisk ordning för cybersäkerhetscertifiering kan ha flera olika utvärderingsnivåer beroende på hur stringent och djupgående den aktuella utvärderingsmetoden är.</P>
<P class="p83 ft18">Enligt förordningen ska övervakning, tillsyn och verkställighets- uppgifter framför allt ligga hos medlemsstaterna. Medlemsstaterna ska utse en eller flera tillsynsmyndigheter, så kallade nationella myn- digheter för cybersäkerhetscertifiering. Myndigheten eller myndig- heterna kommer bl.a. att få i uppdrag att övervaka och kontrollera organ för bedömning av överensstämmelse, innehavare av europeiska cybersäkerhetscertifikat och utfärdare av en <NOBR>EU-försäkran</NOBR> om över- ensstämmelse. Ett organ för bedömning av överensstämmelse är ett organ som utför bedömning av överensstämmelse, bl.a. genom kali- brering, provning, certifiering och kontroll.</P>
<P class="p82 ft18">Förordningens bestämmelser ska inte påverka tillämpningen av särskilda bestämmelser om frivillig eller obligatorisk certifiering i andra unionsrättsakter. Förordningen ska heller inte påverka med- lemsstaternas befogenheter i fråga om verksamhet som berör allmän säkerhet, försvar, nationell säkerhet och statens verksamhet på straff- rättens område. Den delen av förordningen som rör cybersäkerhets- certifiering kommer att kräva anpassningar och kompletterande för- fattningsbestämmelser på nationell nivå.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">514</P>
</DIV>
</DIV>
<DIV id="page_516">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td106"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td30"><P class="p2 ft37">Bilaga 1</P></TD>
</TR>
</TABLE>
<P class="p90 ft26">Uppdraget att genomföra EU:s cybersäkerhetsakt</P>
<P class="p360 ft20">Allmänna riktlinjer för uppdraget</P>
<P class="p232 ft46">Cybersäkerhetsakten kommer att reglera den cybersäkerhetscerti- fiering som följer av en europeisk certifieringsordning för cybersäker- hetscertifiering som fastställts av kommissionen. I dag bestämmer en producent själv om en produkt, tjänst eller process ska certifieras och i så fall vilket certifieringsorgan som ska utföra certifieringen. Utgångspunkten kommer att vara att certifieringen även i framtiden ska vara frivillig, oavsett om en europeisk ordning för cybersäker- hetscertifiering finns på plats eller inte. Detta är dock upp till varje medlemsstat att bestämma. Den största skillnaden är att när en sådan europeisk ordning för cybersäkerhetscertifiering finns på plats, får inte längre nationella cybersäkerhetscertifieringar utföras inom det område som täcks av den europeiska ordningen för cybersäkerhets- certifiering. Förordningen innebär också att när en europeisk ordning för cybersäkerhetscertifiering ska användas reglerar förordningen vilka krav som ställs på certifieringen, certifieringsorganen och de leverantörer och producenter som innehar ett sådant certifikat. Det finns därför ett behov av att ta fram en nationell reglering som kom- pletterar förordningen.</P>
<P class="p17 ft21">Utredaren ska därför</P>
<P class="p134 ft17"><SPAN class="ft115">•</SPAN><SPAN class="ft116">lämna förslag till författningsbestämmelser som kompletterar cybersäkerhetsakten.</SPAN></P>
<P class="p974 ft20">Vilken myndighet ska vara nationell myndighet för cybersäkerhetscertifiering?</P>
<P class="p124 ft18">Cybersäkerhetsakten föreskriver att varje medlemsstat ska utse en eller flera nationella myndigheter för cybersäkerhetscertifiering på sitt territorium som ansvariga för tillsynsuppgifterna. Alternativt kan medlemsstaten, efter överenskommelse med en annan medlemsstat, utse en eller flera nationella myndigheter för cybersäkerhetscerti- fiering som är etablerade i denna andra medlemsstat (artikel 58).</P>
<P class="p111 ft46">Flertalet av cybersäkerhetsaktens bestämmelser om nationella myndigheter för cybersäkerhetscertifiering gäller direkt och medför inga krav på eller behov av kompletterande nationella bestämmelser. Medlemsstaterna ska dock underrätta kommissionen om vilka myn-</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">515</P>
</DIV>
</DIV>
<DIV id="page_517">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Bilaga 1</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p81 ft17">digheter som utsetts och, om fler än en myndighet utsetts, vilka upp- gifter de olika myndigheterna ska ha. Myndigheterna kommer bl.a. även att ha en roll när det gäller utfärdandet av europeiska cyber- säkerhetscertifikat (på nivån ”hög”), och då måste medlemsstaterna säkerställa att denna verksamhet är avskild från uppgifterna som myndigheten ska utföra som tillsynsmyndighet och att den utförs av oberoende enheter.</P>
<P class="p129 ft17">Vissa andra frågor är i och för sig reglerade i förordningen men tillåter ytterligare nationell reglering. Detta gäller exempelvis regler- ingen om tillsynsmyndighetens befogenheter i artikel 58.8. Det är vidare upp till medlemsstaterna att inom vissa angivna ramar reglera bl.a. tillsynsmyndighetens organisation och se till att myndigheten har tillräckliga resurser.</P>
<P class="p83 ft18">Vid tillsynsmyndigheten kommer det att samlas känslig informa- tion om cybersäkerheten i vissa produkter, tjänster och processer eftersom myndigheten kommer att ha ett särskilt ansvar för utfär- dande av certifikat enligt den högsta assuransnivån. Det är därför viktigt att myndigheten har personal med erfarenhet av och förmåga att bedöma och hantera uppgifter enligt de krav som ställs i offent- lighets- och sekretesslagen (2009:400) och säkerhetsskyddslagen (2018:585). Sveriges certifieringsorgan för <NOBR>it-säkerhet</NOBR> som är loka- liserat vid Försvarets materielverk, CSEC, ska enligt sin instruktion i sin verksamhet beakta nationella säkerhetsintressen. Ett sådant krav bör därför införas även i den reglering som föreslås av utredaren.</P>
<P class="p82 ft18">Styrelsen för ackreditering och teknisk kontroll (Swedac) har i dag vissa av de uppgifter som den nationella myndigheten för cyber- säkerhetscertifiering ska ha. Enligt sin instruktion ska Swedac bl.a. ansvara för frågor om teknisk kontroll, vilket inkluderar ackrediter- ing och frågor i övrigt om bedömning av överensstämmelse. Swedac ska särskilt ansvara för ordningar för bedömning av överensstäm- melse/teknisk provning och kontroll. Detta inbegriper att i EU, inter- nationellt och nationellt verka för öppna och harmoniserade tekniska kontrollordningar, ackrediteringssystem och normer för ömsesidigt godtagande av resultat från provningar, certifieringar och andra bevis om överensstämmelse som undanröjer tekniska handelshinder samt upprätthålla och vidareutveckla öppna, kostnadseffektiva och behovs- anpassade ordningar för teknisk kontroll och bedömning av överens- stämmelse. Swedac är även nationellt ackrediteringsorgan i enlighet med Europaparlamentets och rådets förordning (EG) nr 765/2008</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">516</P>
</DIV>
</DIV>
<DIV id="page_518">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td106"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td30"><P class="p2 ft37">Bilaga 1</P></TD>
</TR>
</TABLE>
<P class="p193 ft17">av den 9 juli 2008 om krav för ackreditering och marknadskontroll i samband med saluföring av produkter och upphävande av förord- ning (EEG) nr 339/93 och anmäler och utövar tillsyn över organ som enligt lagen (2011:791) om ackreditering och teknisk kontroll ska an- mälas för uppgifter i samband med bedömning av överensstämmelse enligt bestämmelser som gäller inom EU.</P>
<P class="p11 ft18">För att undvika att den nationella myndigheten för cybersäker- hetscertifiering tilldelas uppgifter som redan utförs av Swedac bör utredaren kartlägga hur förhållandet mellan den nationella myndig- heten för cybersäkerhetscertifiering och Swedac ska se ut, i vilka fall de två myndigheterna ska samarbeta och vilket behov av komplet- terande nationella bestämmelser som behövs. Det är viktigt att ut- redaren i detta arbete beaktar de kostnader, den tid och andra aspek- ter som en dubbel granskning av såväl Swedac som den nationella tillsynsmyndigheten kommer att innebära för den som blir granskad.</P>
<P class="p15 ft21">Utredaren ska därför</P>
<P class="p134 ft17"><SPAN class="ft115">•</SPAN><SPAN class="ft116">föreslå vilken befintlig myndighet som ska få i uppdrag att vara nationell tillsynsmyndighet för cybersäkerhetscertifiering,</SPAN></P>
<P class="p198 ft21"><SPAN class="ft115">•</SPAN><SPAN class="ft117">ta ställning till hur myndighetens organisation påverkas,</SPAN></P>
<P class="p551 ft17"><SPAN class="ft115">•</SPAN><SPAN class="ft116">kartlägga vilket förhållande den nationella myndigheten för cyber- säkerhetscertifiering ska ha till Swedac och hur uppgifterna ska för- delas dem emellan för att undvika såväl överlappande granskningar som luckor i tillsynen, samt</SPAN></P>
<P class="p195 ft18"><SPAN class="ft115">•</SPAN><SPAN class="ft175">utarbeta nödvändiga kompletterande författningsförslag, inklusive om de befogenheter som den nationella myndigheten för cyber- säkerhetscertifiering ska tilldelas, i syfte att myndigheten ska kunna utföra de uppgifter som följer av förordningen.</SPAN></P>
<P class="p147 ft20">Ska det införas kompletterande bestämmelser om sanktioner?</P>
<P class="p124 ft18">Cybersäkerhetsakten innehåller i artikel 65 bestämmelser om att med- lemsstaterna ska fastställa regler om sanktioner vid överträdelser av den delen av förordningen som reglerar ett ramverk för cybersäker- hetscertifiering och för överträdelser av europeiska ordningar för cybersäkerhetscertifiering. Medlemsstaterna ska också vidta alla nöd- vändiga åtgärder för att se till att de tillämpas. Sanktionerna ska vara effektiva, proportionella och avskräckande. I artikel 58.8 finns en</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">517</P>
</DIV>
</DIV>
<DIV id="page_519">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Bilaga 1</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p69 ft18">lista över de befogenheter som de nationella myndigheterna för cyber- säkerhetscertifiering måste ha. I punkt f anges att myndigheterna ska utdöma sanktioner i enlighet med nationell rätt och kräva att över- trädelser av skyldigheterna i förordningen omedelbart upphör. Med- lemsstaterna ska vidare enligt artikel 65 anmäla dessa regler och åt- gärder samt eventuella ändringar som berör dem till kommissionen utan dröjsmål. I förordningen saknas dock närmare bestämmelser om hur detta ska gå till och vilka som ska kunna drabbas av sank- tioner. Till detta kommer också att det föreslagna systemet är fri- villigt. Om sanktionerna för att bryta mot ett system som inte är obligatoriskt är för långtgående finns det risk för att aktörer inte kommer att använda sig av den europeiska cybersäkerhetscertifier- ingen eller att de vänder sig till länder med mildare sanktionssystem. Samtidigt får det europeiska systemet inte bli tandlöst för dem som trots allt väljer att använda sig av det. Det finns därför behov av att analysera och ta ställning till i vilken utsträckning överträdelser av förordningen bör bli föremål för sanktioner i Sverige.</P>
<P class="p548 ft21">Utredaren ska därför</P>
<P class="p258 ft17"><SPAN class="ft115">•</SPAN><SPAN class="ft50">analysera vilka kompletterande bestämmelser om sanktioner som Sverige behöver eller bör införa,</SPAN></P>
<P class="p34 ft21"><SPAN class="ft115">•</SPAN><SPAN class="ft64">lämna sådana författningsförslag som behövs och är lämpliga.</SPAN></P>
<P class="p209 ft20">Processuella frågor och rätten att klaga</P>
<P class="p355 ft18">Av artikel 58.8 i förordningen framgår det att utövandet av tillsyns- myndighetens befogenheter ska vara föremål för lämpliga skydds- åtgärder, bl.a. effektiva rättsmedel. Enligt artikel 58.8 d ska tillsyns- myndigheten ha befogenhet att få tillgång till lokaler hos organ för bedömning av överensstämmelse eller hos innehavare av ett europeiskt cybersäkerhetscertifikat i enlighet med unionsrätten eller nationell processrätt. Fysiska och juridiska personer ska, enligt förordningen, ha rätt att lämna in klagomål till utfärdaren av ett europeiskt cybersäker- hetscertifikat eller, när klagomålet rör ett europeiskt cybersäkerhetscerti- fikat som utfärdats av ett organ för bedömning av överensstämmelse, till den behöriga nationella myndigheten för cybersäkerhetscertifiering (artikel 63.1). Vidare ska fysiska och juridiska personer ha rätt till ett effektivt rättsmedel mot den myndighet eller de organ som nämnts ovan och som fattat ett beslut, och när det gäller underlåtenhet att</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">518</P>
</DIV>
</DIV>
<DIV id="page_520">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td106"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td30"><P class="p2 ft37">Bilaga 1</P></TD>
</TR>
</TABLE>
<P class="p121 ft17">vidta åtgärder med anledning av ett klagomål som lämnats in till myndigheten eller organet (artikel 64.1). Detta torde för svensk del bäst tillgodoses genom en rätt för enskilda att överklaga tillsyns- myndighetens beslut till allmän förvaltningsdomstol.</P>
<P class="p186 ft17">Behovet av kompletterande nationella bestämmelser i de ovanstå- ende frågorna behöver bli föremål för närmare analys.</P>
<P class="p194 ft21">Utredaren ska därför</P>
<P class="p195 ft18"><SPAN class="ft115">•</SPAN><SPAN class="ft175">analysera i vilken utsträckning det behövs kompletterande be- stämmelser om utövandet av tillsynsmyndighetens befogenheter,</SPAN></P>
<P class="p93 ft17"><SPAN class="ft115">•</SPAN><SPAN class="ft116">ta ställning till i vilken utsträckning det behövs kompletterande bestämmelser om de rättsmedel för enskilda som regleras i för- ordningen, och</SPAN></P>
<P class="p25 ft21"><SPAN class="ft115">•</SPAN><SPAN class="ft117">lämna sådana författningsförslag som behövs och är lämpliga.</SPAN></P>
<P class="p278 ft20">Hur ska förordningens bestämmelser om organ</P>
<P class="p975 ft63">för bedömning av överensstämmelse och självbedömning av överensstämmelse genomföras?</P>
<P class="p57 ft18">Förordningen reglerar även organ för bedömning av överensstäm- melse, som bl.a. kan utfärda europeiska cybersäkerhetscertifikat. I bilagan till förordningen finns närmare bestämmelser med krav på dessa organ, bl.a. om upprätthållande av konfidentialitet och tystnads- plikt. Organen för bedömning av överensstämmelse ska ackrediteras av det nationella ackrediteringsorganet – i Sveriges fall är det Swedac. I fall där ett europeiskt cybersäkerhetscertifikat utfärdas av en natio- nell myndighet för cybersäkerhetscertifiering ska certifieringsorga- net hos den nationella myndigheten för cybersäkerhetscertifiering ackrediteras som organ för bedömning av överensstämmelse.</P>
<P class="p146 ft17">En europeisk ordning för cybersäkerhetscertifiering kan också ge tillverkare eller leverantörer möjlighet att göra en självbedömning av överensstämmelse. Detta tillåts endast i förhållande till produkter, tjänster och processer där de uppfyllda säkerhetskraven är ställda på en lägre nivå. I förordningen finns bestämmelser om hur detta ska gå till (artikel 53). Där anges också att detta är frivilligt att utfärda, om inte annat anges i unionsrätten eller i medlemsstaternas natio- nella rätt.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">519</P>
</DIV>
</DIV>
<DIV id="page_521">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Bilaga 1</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p976 ft21">Utredaren ska därför</P>
<P class="p258 ft17"><SPAN class="ft115">•</SPAN><SPAN class="ft50">föreslå hur bestämmelserna om kraven på organen för överens- stämmelse ska genomföras,</SPAN></P>
<P class="p363 ft17"><SPAN class="ft115">•</SPAN><SPAN class="ft50">analysera om nuvarande sekretessbestämmelser för offentliga organ och bestämmelser om tystnadsplikt för privata aktörer behöver anpassas eller ny lagstiftning föreslås, med anledning av förord- ningens reglering om tystnadsplikt och konfidentialitet hos orga- nen för överensstämmelse, och</SPAN></P>
<P class="p136 ft21"><SPAN class="ft115">•</SPAN><SPAN class="ft64">lämna sådana författningsförslag som behövs och är lämpliga.</SPAN></P>
<P class="p120 ft20">Frivillighet</P>
<P class="p220 ft18">Cybersäkerhetscertifieringen ska enligt förordningen vara frivillig, om inte annat anges i unionsrätten eller i medlemsstaternas natio- nella rätt (artikel 56.2). Förordningen ger dock kommissionen i upp- drag att regelbundet bedöma effektiviteten hos och användningen av de antagna europeiska ordningarna för cybersäkerhetscertifiering och huruvida en specifik europeisk ordning för cybersäkerhetscertifier- ing ska göras obligatorisk genom unionsrätten i syfte att säkerställa en adekvat cybersäkerhetsnivå och förbättra den inre marknadens funktion. Den första bedömningen ska göras senast den 31 december 2023, och efterföljande bedömningar ska göras minst en gång vart- annat år. Kommissionen ska sedan på grundval av bedömningen fast- ställa om produkter, tjänster eller processer ska omfattas av en obli- gatorisk certifieringsordning.</P>
<P class="p106 ft18">Som tidigare nämnts upphör de nationella ordningarna för cyber- säkerhetscertifiering och tillhörande förfaranden att gälla så fort det finns europeiska motsvarigheter. Befintliga certifikat kommer dock att förbli giltiga till dess att de löper ut. Medlemsstaterna förbinder sig också att inte införa nya nationella ordningar, som omfattas av en befintlig europeisk ordning för cybersäkerhetscertifiering, och ska meddela kommissionen och ECCG om alla avsikter att utarbeta nya nationella ordningar för cybersäkerhetscertifiering. Detta regleras i för- ordningen och kommer att påverka såväl innehavare av befintliga certifikat som de certifieringsorgan som i dag utfärdar certifikat enligt andra ordningar. Verksamheter måste anpassas till det nya systemet,</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">520</P>
</DIV>
</DIV>
<DIV id="page_522">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td106"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td30"><P class="p2 ft37">Bilaga 1</P></TD>
</TR>
</TABLE>
<P class="p447 ft19">och branschen måste hålla sig uppdaterad om de förslag till euro- peiska ordningar för cybersäkerhetscertifiering som utarbetas.</P>
<P class="p194 ft21">Utredaren ska därför</P>
<P class="p352 ft19"><SPAN class="ft115">•</SPAN><SPAN class="ft126">hålla sig uppdaterad om hur arbetet med att utarbeta europeiska ordningar för cybersäkerhetscertifiering fortgår, och</SPAN></P>
<P class="p198 ft21"><SPAN class="ft115">•</SPAN><SPAN class="ft117">lämna sådana författningsförslag som behövs och är lämpliga.</SPAN></P>
<P class="p278 ft20">Certifiering på den högsta assuransnivån</P>
<P class="p232 ft18">I Sverige finns i dag vid Försvarets materielverk ett nationellt certi- fieringsorgan för <NOBR>it-säkerhet</NOBR> i produkter och system, CSEC. CSEC ska i sin verksamhet beakta nationella säkerhetsintressen och verka för att uppnå och vidmakthålla internationellt erkännande för utfär- dade certifikat. Dessutom är CSEC Sveriges signatär och represen- tant inom den internationella överenskommelsen för ömsesidigt er- kännande av certifikat, Common Criteria Recognition Arrangement (CCRA), och motsvarande överenskommelse inom Europa, Senior Officials Group Information Systems Security – Mutual Recognition Arrangement <NOBR>(SOG-IS</NOBR> MRA), (5 § förordningen [2007:854] med instruktion för Försvarets materielverk). Detta innebär att CSEC representerar och tar tillvara landets intressen inom organisationerna. Som nationellt certifieringsorgan ansvarar CSEC för att ta fram och utveckla regler för granskning av <NOBR>it-säkerhet</NOBR> i produkter och system enligt Common Criteria, CC. CSEC licensierar företag som utför granskningar enligt dessa regler samt utövar tillsyn över dessa före- tag. Produkter som certifierats av CSEC används bl.a. av Försvars- makten. CC erkänns internationellt av världens ledande länder inom <NOBR>it-säkerhet</NOBR> och anses obligatoriskt för <NOBR>it-produkter</NOBR> i kritiska infra- strukturer i flera länder. CSEC har även som uppdrag att samverka internationellt med andra certifieringsorgan och säkerhetsmyndigheter.</P>
<P class="p122 ft18">CCRA och <NOBR>SOG-IS</NOBR> MRA tillåter endast statliga certifieringsorgan, vilket medför att det i dag bara är CSEC som utfärdar certifikat en- ligt den standarden i Sverige. Med cybersäkerhetsakten tillåts privata certifieringsorgan endast att utfärda certifikat på nivån ”grundläg- gande” eller ”betydande”. För nivån ”hög” är det den nationella myn- digheten för cybersäkerhetscertifiering som är behörig. Myndigheten kan dock delegera detta till ett organ för bedömning av överensstäm- melse genom en allmän delegering på förhand av uppgiften eller efter</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">521</P>
</DIV>
</DIV>
<DIV id="page_523">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Bilaga 1</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p208 ft21">förhandsgodkännande av varje enskilt europeiskt cybersäkerhets- certifikat.</P>
<P class="p977 ft21">Utredaren ska därför</P>
<P class="p34 ft21"><SPAN class="ft115">•</SPAN><SPAN class="ft64">föreslå hur certifiering på assuransnivån ”hög” ska genomföras i</SPAN></P>
<P class="p978 ft17">Sverige och utreda om detta kan och bör regleras genom författ- ning. Utredaren ska ha som utgångspunkt att CSEC ska ha en roll då det gäller denna typ av certifiering.</P>
<P class="p979 ft59">Uppdraget att överväga om det bör införas krav på certifiering och godkännande till skydd för Sveriges säkerhet</P>
<P class="p261 ft19">Särskilda krav på säkerhet måste kunna ställas på nät- och informa- tionssäkerhet för att skydda nationell säkerhet. Åtgärder för att skydda nationell säkerhet faller utanför EU:s kompetens (art. 4.2 <NOBR>EU-fördraget).</NOBR> Av artikel 1.2 cybersäkerhetsakten framgår även att förordningen inte ska påverka medlemsstaternas befogenheter i fråga om nät- och informationssäkerhet, särskilt inte verksamhet som be- rör allmän säkerhet, försvar, nationell säkerhet och statens verksam- het på strafflagstiftningens område.</P>
<P class="p106 ft18">Säkerhetsskyddslagen gäller för den som till någon del bedriver verksamhet som är av betydelse för Sveriges säkerhet eller som om- fattas av ett för Sverige förpliktande internationellt åtagande om säker- hetsskydd (säkerhetskänslig verksamhet). För informationssystem som används i eller har betydelse för säkerhetskänslig verksamhet finns särskilda krav i säkerhetsskyddsförordningen (2018:658). Det rör sig dels om förberedande åtgärder inför driftsättning av sådana informationssystem, dels om säkerhetskrav som kontinuerligt ställs på informationssystemen. Bestämmelserna innehåller även krav på samråd med Säkerhetspolisen eller Försvarsmakten i vissa fall. Detta gäller för informationssystem som kan komma att behandla säkerhets- skyddsklassificerade uppgifter av visst slag och informationssystem där obehörig åtkomst till systemen kan medföra en skada för Sveriges säkerhet som inte är obetydlig. Bestämmelserna innebär att det är verksamhetsutövaren som ansvarar för att se till att informations- systemen upprätthåller kraven på informationssäkerhet.</P>
<P class="p73 ft46">Det finns anledning att överväga om ytterligare krav bör införas för att säkerställa att nätverks- och informationssystem som ska an- vändas i säkerhetskänslig verksamhet uppfyller de krav som behövs</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">522</P>
</DIV>
</DIV>
<DIV id="page_524">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr10 td106"><P class="p2 ft32">SOU 2021:63</P></TD>
<TD class="tr10 td30"><P class="p2 ft37">Bilaga 1</P></TD>
</TR>
</TABLE>
<P class="p193 ft18">för att upprätthålla skyddet av sådana verksamheter. En möjlighet kan vara att införa krav på att produkter, tjänster och processer inom nätverks- och informationssystem som ska användas i säkerhetskäns- lig verksamhet ska vara certifierade enligt särskilda certifieringsord- ningar som ställer krav anpassade för användning i säkerhetskänslig verksamhet. En kompletterande eller alternativ möjlighet är att in- föra krav på godkännande från en utpekad myndighet innan en sådan produkt, tjänst eller process tas i drift i säkerhetskänslig verksamhet.</P>
<P class="p194 ft21">Utredaren ska därför:</P>
<P class="p195 ft46"><SPAN class="ft115">•</SPAN><SPAN class="ft207">bedöma om det finns anledning att införa särskilda krav på att produkter, tjänster och processer som ingår i ett nätverks- och informationssystem som ska användas i säkerhetskänslig verksam- het, ska vara certifierade enligt särskilda certifieringsordningar ut- formade för säkerhetskänslig verksamhet,</SPAN></P>
<P class="p196 ft18"><SPAN class="ft115">•</SPAN><SPAN class="ft175">överväga om det finns anledning att införa krav på godkännande från en myndighet för att sådana produkter, tjänster och pro- cesser ska få tas i drift i viss eller all säkerhetskänslig verksamhet,</SPAN></P>
<P class="p96 ft18"><SPAN class="ft115">•</SPAN><SPAN class="ft175">göra en internationell jämförelse av lagstiftning som innebär sär- skilda krav med anledning av nationell säkerhet för produkter, tjänster och processer som ingår i ett nätverks- eller informations- system i länder som utredaren bedömer vara av intresse,</SPAN></P>
<P class="p93 ft17"><SPAN class="ft115">•</SPAN><SPAN class="ft116">lämna förslag, förenliga med </SPAN><NOBR>EU-rätten,</NOBR> på hur ett sådant regel- verk skulle kunna se ut, inklusive vilken eller vilka myndigheter som skulle ansvara för uppgiften och vilka sanktioner en sådan reglering bör förenas med,</P>
<P class="p25 ft21"><SPAN class="ft115">•</SPAN><SPAN class="ft117">lämna nödvändiga författningsförslag som behövs och är lämpliga.</SPAN></P>
<P class="p980 ft17">Utredningen har i denna del att förhålla sig till betänkandet Kom- pletteringar till den nya säkerhetsskyddslagen (SOU 2018:82) som för närvarande bereds i Regeringskansliet.</P>
<P class="p131 ft26">Övriga frågor</P>
<P class="p351 ft17">Utredaren är fri att inom de ramar som anges i de allmänna riktlin- jerna ta upp och belysa även andra frågeställningar som är relevanta för uppdraget.</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">523</P>
</DIV>
</DIV>
<DIV id="page_525">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr10 td69"><P class="p2 ft32">Bilaga 1</P></TD>
<TD class="tr10 td58"><P class="p2 ft32">SOU 2021:63</P></TD>
</TR>
</TABLE>
<P class="p443 ft17">Om utredaren kommer fram till att det krävs eller är lämpligt med kompletterande nationella bestämmelser i andra delar ska sådana kunna föreslås.</P>
<P class="p102 ft26">Konsekvensbeskrivningar</P>
<P class="p220 ft18">Utredaren ska bedöma de ekonomiska konsekvenserna av förslagen för det allmänna och för enskilda. Om förslagen kan förväntas leda till kostnadsökningar för det allmänna, ska utredaren föreslå hur dessa ska finansieras. Utredaren ska särskilt ange konsekvenserna för företag i form av kostnader och ökade administrativa bördor samt personella konsekvenser för berörda myndigheter.</P>
<P class="p73 ft46">Utredaren ska även beakta de konsekvenser som förordningens genomförande kan få när det gäller internationell handel med tredje- land och erkännande och utfärdande av certifikat och andra åtagan- den som följer av Sveriges medlemskap i bl.a. CCRA.</P>
<P class="p201 ft26">Kontakter och redovisning av uppdraget</P>
<P class="p289 ft21">Utredaren ska hålla Regeringskansliet (Försvarsdepartementet) in- formerat om det löpande arbetet.</P>
<P class="p104 ft18">Vid genomförandet av uppdraget ska utredaren hålla sig informe- rad om och beakta relevant arbete som bedrivs inom Regerings- kansliet (exempelvis arbetet med betänkandet Kompletteringar till den nya säkerhetsskyddslagen, SOU 2018:82), utredningsväsendet och inom EU. Under genomförandet av uppdraget ska utredaren, i den utsträckning som bedöms lämplig, också ha en dialog med och inhämta upplysningar från myndigheter, näringslivet och andra som kan vara berörda av de aktuella frågorna.</P>
<P class="p105 ft17">Uppdraget ska redovisas i den del som avser anpassningar med anledning av <NOBR>EU-förordningen</NOBR> senast den 1 juni 2020. I den del som avser regler till skydd för Sveriges säkerhet ska uppdraget redovisas senast den 1 mars 2021.</P>
<P class="p981 ft21">(Försvarsdepartementet)</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">524</P>
</DIV>
</DIV>
<DIV id="page_526">
<DIV id="id_1">
<P class="p963 ft32">Bilaga 2</P>
<P class="p964 ft16">Kommittédirektiv 2020:57</P>
<P class="p982 ft48">Tilläggsdirektiv till</P>
<P class="p983 ft48">Cybersäkerhetsutredningen (Fö 2019:01)</P>
<P class="p984 ft21">Beslut vid regeringssammanträde den 14 maj 2020</P>
<P class="p909 ft26">Förlängd tid för en del av uppdraget</P>
<P class="p985 ft18">Regeringen beslutade den 31 oktober 2019 kommittédirektiv om att ge en särskild utredare i uppdrag att föreslå de anpassningar och kompletterande författningsbestämmelser som cybersäkerhetsakten ger anledning till samt att överväga om det finns anledning att införa ytterligare krav för att skydda verksamheter som är av betydelse för Sveriges säkerhet (dir. 2019:73). Enligt direktiven skulle utredaren redovisa den del av uppdraget som avser anpassningar med anledning av cybersäkerhetsakten senast den 1 juni 2020.</P>
<P class="p986 ft46">Utredningstiden förlängs för en del av uppdraget. Den del av upp- draget som avser anpassningar med anledning av cybersäkerhetsakten ska i stället redovisas senast den 31 augusti 2020.</P>
<P class="p987 ft21">(Försvarsdepartementet)</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">525</P>
</DIV>
</DIV>
<DIV id="page_527">
</DIV>
<DIV id="page_528">
<DIV id="id_1">
<P class="p963 ft32">Bilaga 3</P>
<P class="p964 ft16">Kommittédirektiv 2021:10</P>
<P class="p982 ft48">Tilläggsdirektiv till</P>
<P class="p983 ft48">Cybersäkerhetsutredningen (Fö 2019:01)</P>
<P class="p984 ft21">Beslut vid regeringssammanträde den 18 februari 2021</P>
<P class="p909 ft26">Förlängd tid för en del av uppdraget</P>
<P class="p985 ft18">Regeringen beslutade den 31 oktober 2019 kommittédirektiv om att ge en särskild utredare i uppdrag att föreslå de anpassningar och kom- pletterande författningsbestämmelser som cybersäkerhetsakten ger anledning till samt att överväga om det finns anledning att införa ytterligare krav för att skydda verksamheter som är av betydelse för Sveriges säkerhet (dir. 2019:73). Enligt direktiven skulle den del som avser regler för verksamheter som är av betydelse för Sveriges säker- het redovisas senast den 1 mars 2021.</P>
<P class="p988 ft46">Utredningstiden förlängs för en del av uppdraget. Den del av upp- draget som avser regler för verksamheter som är av betydelse för Sveriges säkerhet ska i stället redovisas senast den 30 juni 2021.</P>
<P class="p987 ft21">(Försvarsdepartementet)</P>
</DIV>
<DIV id="id_2">
<P class="p0 ft31">527</P>
</DIV>
</DIV>
<DIV id="page_529">
</DIV>
<DIV id="page_530">
<DIV id="p530dimg1">
<INGENBILD zsrc="H9B363530x1.jpg/" id="p530img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t29">
<TR>
<TD class="tr10 td107"><P class="p2 ft41">SOU 2021:63</P></TD>
<TD class="tr10 td108"><P class="p2 ft58">Bilaga 4</P></TD>
</TR>
</TABLE>
<P class="p989 ft113">[Date]</P>
<P class="p990 ft113">Komm2021/</P>
<P class="p224 ft31">SWEDISH GOVERNMENT OFFICIAL REPORTS</P>
<P class="p198 ft31">The Cyber Security Inquiry</P>
<P class="p8 ft113">Fö 2019:1</P>
<P class="p991 ft33">Request for information</P>
<P class="p992 ft208">To [whom it may concern]</P>
<P class="p993 ft209">(National authority) (Att: Mr./Ms. Xx Yy)</P>
<P class="p994 ft209">The Swedish Government has appointed Chief Judge Nils Cederstierna as Inquiry Chair to examine the need to strengthen the cybersecurity in information and communication systems (networks) in activities relevant to national security.</P>
<P class="p966 ft208">Chief Judge Nils Cederstierna is assisted by Mr. Thomas Wallander,</P>
<P class="p995 ft208">Principal Secretary, and Mr. Patrik Roos, Inquiry Secretary, as well as</P>
<P class="p995 ft208">Government Advisors and experts from Government Authorities.</P>
<P class="p996 ft211">The directives to the Inquiry state that it should gather information and examine whether certification of information and communications technology <NOBR>(ICT-products,</NOBR> <NOBR>-services</NOBR> and <NOBR>-processes),</NOBR> or requirements for approval of such products, services and processes can contribute to strengthening security in information- and communication systems (networks).<SPAN class="ft210">1</SPAN></P>
<P class="p997 ft212">The directives also state that the Inquiry should gather information and examine regulatory systems in this area in comparable countries. It would be much appreciated if you could assist the Inquiry with information about</P>
<P class="p998 ft216"><SPAN class="ft213">1</SPAN><SPAN class="ft214">In September 2020 the Inquiry Chair submitted an interim report to the Swedish Government. The report included proposed national provisions on cyber security certification in support of the EU Cybersecurity Act (2019/881). The report (including an English summary) </SPAN><SPAN class="ft215">EU:s cybersäkerhetsakt – kompletterande nationella bestämmelser om cybersäkerhet </SPAN>(SOU 2020:58), is available online.</P>
</DIV>
<DIV id="id_2">
<TABLE cellpadding=0 cellspacing=0 class="t30">
<TR>
<TD class="tr15 td109"><P class="p2 ft30">Telephone: +46 8 405 10 00</P></TD>
<TD class="tr15 td110"><P class="p2 ft80">Postal address: SE 103 33 Stockholm<SPAN class="ft58">529</SPAN></P></TD>
</TR>
<TR>
<TD class="tr16 td109"><P class="p2 ft217">Fax: +46 8 723 11 89</P></TD>
<TD class="tr16 td110"><P class="p2 ft217">Street address: Jakobsgatan 9</P></TD>
</TR>
<TR>
<TD class="tr17 td109"><P class="p2 ft30">Web: www.regeringen.se</P></TD>
<TD class="tr17 td110"><P class="p2 ft30"><NOBR>E-mail:</NOBR> fo.registrator@gov.se</P></TD>
</TR>
</TABLE>
</DIV>
</DIV>
<DIV id="page_531">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t31">
<TR>
<TD class="tr10 td111"><P class="p2 ft41">Bilaga 4</P></TD>
<TD class="tr10 td112"><P class="p2 ft41">SOU 2021:63</P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p999 ft212">regulatory systems in this area in your country. The information that is specifically requested can be found in the attached question compilation.</P>
<P class="p1000 ft211">It would also be much appreciated if we could have the opportunity to ask supplementary questions and discuss the topic at a digital meeting in the near future. The information is of importance for the understanding and analysis of how a regulatory system in the field can be developed. The information will be included in the official report that is to be submitted to the Government. Please be advised that the report is to be submitted no later than 30 June 2021.</P>
<P class="p1001 ft208">The Inquiry appreciate if the information is sent via email <NOBR>(Word-file).</NOBR></P>
<P class="p1002 ft208">Sincerely,</P>
<P class="p1003 ft208">Nils Cederstierna</P>
<P class="p1004 ft208">Inquiry Chair</P>
<P class="p1005 ft209">Contact information to the Inquiry Secretary: Tel. +46 <NOBR>73-067</NOBR> 12 41 patrik.roos@regeringskansliet.se</P>
<P class="p1006 ft58">2 (3)</P>
</DIV>
<DIV id="id_3">
<P class="p0 ft113">530</P>
</DIV>
</DIV>
<DIV id="page_532">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t32">
<TR>
<TD class="tr10 td107"><P class="p2 ft41">SOU 2021:63</P></TD>
<TD class="tr10 td108"><P class="p2 ft58">Bilaga 4</P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p1007 ft32">Compilation of questions</P>
<P class="p1008 ft209"><SPAN class="ft208">1</SPAN><SPAN class="ft218">Please provide a short overview of regulatory systems (legislation) and responsible authorities in the field of information security within national security and critical infrastructure.</SPAN></P>
<P class="p1009 ft211"><SPAN class="ft208">2</SPAN><SPAN class="ft219">Please provide information regarding any special requirements (e.g. requirement for certification and/or approval) for information systems (including networks or </SPAN><NOBR>ICT-products,</NOBR> <NOBR>-services</NOBR> and <NOBR>-processes)</NOBR> used in or of importance to national security? How is national security defined in your country?</P>
<P class="p1010 ft211"><SPAN class="ft208">3</SPAN><SPAN class="ft219">Please provide information regarding special requirements (e.g. requirement for certification and/or approval) for information systems (including networks or </SPAN><NOBR>ICT-products,</NOBR> <NOBR>-services</NOBR> and <NOBR>-processes)</NOBR> used in or of importance to critical infrastructure? How are essential entities and critical infrastructure defined?</P>
<P class="p1011 ft58">3 (3)</P>
</DIV>
<DIV id="id_3">
<P class="p0 ft113">531</P>
</DIV>
</DIV>
<DIV id="page_533">
<DIV id="p533dimg1">
<INGENBILD zsrc="H9B363533x1.jpg/" id="p533img1">
</DIV>
<DIV id="id_1">
<P class="p0 ft16">Statens offentliga utredningar 2021</P>
<P class="p24 ft27">Kronologisk förteckning</P>
</DIV>
<DIV id="id_2">
<DIV id="id_2_1">
<P class="p1012 ft222"><SPAN class="ft220">1.</SPAN><SPAN class="ft221">Säker och kostnadseffektiv </SPAN><NOBR>it-drift</NOBR></P>
<P class="p1013 ft13"><SPAN class="ft220">–</SPAN><SPAN class="ft223">rättsliga förutsättningar för utkontraktering. I.</SPAN></P>
<P class="p1014 ft13"><SPAN class="ft220">2.</SPAN><SPAN class="ft224">Krav på kunskaper i svenska och samhällskunskap för svenskt medborgarskap. Ju.</SPAN></P>
<P class="p1015 ft13"><SPAN class="ft220">3.</SPAN><SPAN class="ft224">Skolbibliotek för bildning och utbildning. U.</SPAN></P>
<P class="p1016 ft13"><SPAN class="ft220">4.</SPAN><SPAN class="ft224">Informationsöverföring inom vård och omsorg. S.</SPAN></P>
<P class="p1017 ft13"><SPAN class="ft220">5.</SPAN><SPAN class="ft224">Ett förbättrat system för arbetskrafts- invandring. Ju.</SPAN></P>
<P class="p1018 ft13"><SPAN class="ft13">6.</SPAN><SPAN class="ft224">God och nära vård. Rätt stöd till psykisk hälsa. S.</SPAN></P>
<P class="p1019 ft13"><SPAN class="ft225">7.</SPAN><SPAN class="ft224">Förstärkt skydd för väljarna vid röst- mottagningen. Ju.</SPAN></P>
<P class="p1020 ft222"><SPAN class="ft220">8.</SPAN><SPAN class="ft221">När behovet får styra</SPAN></P>
<P class="p1021 ft13"><SPAN class="ft220">–</SPAN><SPAN class="ft223">ett tandvårdssystem för en mer jäm lik tandhälsa. Vol. 1 & Vol. 2, bilagor + Sammanfattning (häfte). S.</SPAN></P>
<P class="p1022 ft13"><SPAN class="ft220">9.</SPAN><SPAN class="ft224">Vem kan man lita på? Enkel och ändamålsenlig användning av betrodda tjänster i den offentliga förvaltningen. I.</SPAN></P>
<P class="p1023 ft13"><SPAN class="ft220">10.</SPAN><SPAN class="ft224">Radiologiska skador – skadestånd, säkerheter, skadereglering. M.</SPAN></P>
<P class="p1024 ft13"><SPAN class="ft220">11.</SPAN><SPAN class="ft224">Bättre möjligheter för elever att nå kunskapskraven – aktivt stöd- och elevhälsoarbete samt stärkt utbildning för elever med intellektuell funktions- nedsättning. U.</SPAN></P>
<P class="p0 ft222"><SPAN class="ft220">12.</SPAN><SPAN class="ft221">Andra chans för krisande företag</SPAN></P>
<P class="p1025 ft13"><SPAN class="ft220">–</SPAN><SPAN class="ft223">En ny lag om företagsrekonstruktion. Ju.</SPAN></P>
<P class="p1026 ft13"><SPAN class="ft220">13.</SPAN><SPAN class="ft224">En teknikneutral grundlags bestämmelse för regeringsbeslut. Ju.</SPAN></P>
<P class="p1027 ft13"><SPAN class="ft220">14.</SPAN><SPAN class="ft224">Boende på (o)lika villkor</SPAN></P>
<P class="p1028 ft13"><SPAN class="ft220">–</SPAN><SPAN class="ft223">merkostnader i bostad med särskild service för vuxna enligt LSS. S.</SPAN></P>
<P class="p1029 ft13"><SPAN class="ft220">15.</SPAN><SPAN class="ft224">Föreningsfrihet och terrorist organisationer. Ju.</SPAN></P>
</DIV>
<DIV id="id_2_2">
<P class="p1030 ft13"><SPAN class="ft220">16.</SPAN><SPAN class="ft224">En väl fungerande ordning för val och beslutsfattande i kommuner och regioner. Fi.</SPAN></P>
<P class="p1031 ft13"><SPAN class="ft225">17.</SPAN><SPAN class="ft224">Ett moderniserat konsumentskydd. Fi.</SPAN></P>
<P class="p1032 ft13"><SPAN class="ft220">18.</SPAN><SPAN class="ft224">Bolags rörlighet över gränserna. Volym 1 & 2. Ju.</SPAN></P>
<P class="p1033 ft13"><SPAN class="ft220">19.</SPAN><SPAN class="ft224">En stärkt försörjningsberedskap för hälso- och sjukvården. Del 1 och 2. S.</SPAN></P>
<P class="p1034 ft13"><SPAN class="ft220">20.</SPAN><NOBR><SPAN class="ft224">Ecris-TCN</SPAN></NOBR> – ett mer effektivt utbyte av brottmålsdomar mot tredjelands- medborgare. Ju.</P>
<P class="p1035 ft13"><SPAN class="ft220">21.</SPAN><SPAN class="ft224">En klimatanpassad miljöbalk för samtiden och framtiden. M.</SPAN></P>
<P class="p1036 ft13"><SPAN class="ft220">22.</SPAN><SPAN class="ft224">Hårdare regler för nya nikotin- produkter. S.</SPAN></P>
<P class="p1037 ft13"><SPAN class="ft220">23.</SPAN><SPAN class="ft224">Stärkt planering för en hållbar utveckling. Fi.</SPAN></P>
<P class="p1027 ft13"><SPAN class="ft220">24.</SPAN><SPAN class="ft224">Äga avfall</SPAN></P>
<P class="p1038 ft13"><SPAN class="ft13">–</SPAN><SPAN class="ft224">en del av den cirkulära ekonomin. M.</SPAN></P>
<P class="p1027 ft13"><SPAN class="ft220">25.</SPAN><SPAN class="ft224">Struktur för ökad motståndskraft. Ju.</SPAN></P>
<P class="p754 ft13"><SPAN class="ft220">26.</SPAN><SPAN class="ft224">Använd det som fungerar. M.</SPAN></P>
<P class="p1039 ft13"><SPAN class="ft225">27.</SPAN><SPAN class="ft224">Ett förbud mot rasistiska organisationer. Ju.</SPAN></P>
<P class="p8 ft13"><SPAN class="ft220">28.</SPAN><SPAN class="ft224">Immunitet för utställningsföremål. Ku.</SPAN></P>
<P class="p1040 ft13"><SPAN class="ft220">29.</SPAN><SPAN class="ft224">Ökade möjligheter att förhindra illegal handel via post. I.</SPAN></P>
<P class="p8 ft13"><SPAN class="ft220">30.</SPAN><SPAN class="ft224">Kampen om tiden</SPAN></P>
<P class="p1038 ft13"><SPAN class="ft13">–</SPAN><SPAN class="ft224">mer tid till lärande. U.</SPAN></P>
<P class="p1027 ft13"><SPAN class="ft220">31.</SPAN><SPAN class="ft224">Kontroller på väg. I.</SPAN></P>
<P class="p1027 ft222"><SPAN class="ft220">32.</SPAN><SPAN class="ft221">Papper, poddar och ...</SPAN></P>
<P class="p1041 ft13">Pliktmateriallagstiftning för ett tryggat källmaterial. U.</P>
<P class="p1042 ft13"><SPAN class="ft220">33.</SPAN><SPAN class="ft224">En tioårig grundskola. Införandet av en ny årskurs 1 i grundskolan, grundsärskolan, specialskolan och sameskolan. U.</SPAN></P>
<P class="p1043 ft13"><SPAN class="ft220">34.</SPAN><SPAN class="ft224">Börja med barnen! En sammanhållen god och nära vård för barn och unga. S.</SPAN></P>
<P class="p1044 ft13"><SPAN class="ft220">35.</SPAN><SPAN class="ft224">En stärkt rättsprocess och en ökad lagföring. Ju.</SPAN></P>
</DIV>
</DIV>
</DIV>
<DIV id="page_534">
<DIV>
<DIV id="id_1">
<P class="p1045 ft13"><SPAN class="ft220">36.</SPAN><SPAN class="ft224">Gode män och förvaltare – en över- syn. Ju.</SPAN></P>
<P class="p1046 ft13"><SPAN class="ft220">37.</SPAN><SPAN class="ft224">Stärkt rätt till personlig assistans. Ökad rättssäkerhet för barn, fler grundläggande behov och tryggare sjukvårdande insatser. S.</SPAN></P>
<P class="p0 ft13"><SPAN class="ft220">38.</SPAN><SPAN class="ft224">En ny lag om ordningsvakter m.m. Ju.</SPAN></P>
<P class="p1047 ft13"><SPAN class="ft220">39.</SPAN><SPAN class="ft224">Ombuds tillgång till vård- och omsorgsuppgifter och förenklad behörighetskontroll inom vården. S.</SPAN></P>
<P class="p1048 ft13"><SPAN class="ft220">40.</SPAN><SPAN class="ft224">Mervärdesskatt vid inhyrd personal för vård och social omsorg. Fi.</SPAN></P>
<P class="p1027 ft13"><SPAN class="ft220">41.</SPAN><SPAN class="ft224">VAB för vårdåtgärder i skolan. S.</SPAN></P>
<P class="p1049 ft13"><SPAN class="ft220">42.</SPAN><SPAN class="ft224">Stärkta åtgärder mot penningtvätt och finansiering av terrorism. Fi.</SPAN></P>
<P class="p1050 ft13"><SPAN class="ft220">43.</SPAN><SPAN class="ft224">Ett förstärkt skydd mot sexuella kränkningar. Ju.</SPAN></P>
<P class="p8 ft13"><SPAN class="ft220">44.</SPAN><SPAN class="ft224">Tillgänglighetsdirektivet. S.</SPAN></P>
<P class="p1051 ft13"><SPAN class="ft220">45.</SPAN><SPAN class="ft224">En </SPAN><NOBR>EU-anpassad</NOBR> djurläkemedels- lagstiftning. Del 1 och 2. N.</P>
<P class="p207 ft222"><SPAN class="ft220">46.</SPAN><SPAN class="ft221">Snabbare lagföring</SPAN></P>
<P class="p1052 ft13"><SPAN class="ft220">–</SPAN><SPAN class="ft223">ett snabbförfarande i brottmål. Ju.</SPAN></P>
<P class="p1053 ft13"><SPAN class="ft220">47.</SPAN><SPAN class="ft224">Ett nytt regelverk för bygglov. Del 1 och 2. Fi.</SPAN></P>
<P class="p207 ft222"><SPAN class="ft220">48.</SPAN><SPAN class="ft221">I en värld som ställer om.</SPAN></P>
<P class="p1054 ft13">Sverige utan fossila drivmedel 2040. M.</P>
<P class="p8 ft13"><SPAN class="ft220">49.</SPAN><SPAN class="ft224">Kommuner mot brott. Ju.</SPAN></P>
<P class="p1055 ft13"><SPAN class="ft220">50.</SPAN><SPAN class="ft224">Fri hyressättning vid nyproduktion. Ju.</SPAN></P>
<P class="p1056 ft13"><SPAN class="ft220">51.</SPAN><SPAN class="ft224">Skydd av arter – vårt gemensamma ansvar. Vol. 1 och 2. M.</SPAN></P>
<P class="p207 ft222"><SPAN class="ft220">52.</SPAN><SPAN class="ft221">Vilja välja vård och omsorg.</SPAN></P>
<P class="p1057 ft13">En hållbar kompetensförsörjning inom vård och omsorg om äldre. S.</P>
<P class="p8 ft13"><SPAN class="ft220">53.</SPAN><SPAN class="ft224">En rättssäker vindkraftsprövning. M.</SPAN></P>
<P class="p1058 ft13"><SPAN class="ft220">54.</SPAN><SPAN class="ft224">Ändrade regler i medborgarskaps- lagen. Ju.</SPAN></P>
<P class="p207 ft222"><SPAN class="ft220">55.</SPAN><SPAN class="ft221">Mikroföretagarkonto</SPAN></P>
<P class="p1059 ft13"><SPAN class="ft220">–</SPAN><SPAN class="ft223">schabloniserad inkomstbeskattning för de minsta företagen. Fi.</SPAN></P>
<P class="p1060 ft13"><SPAN class="ft220">56.</SPAN><SPAN class="ft224">Nya regler om utländska föräldraskap och adoption i vissa fall. Ju.</SPAN></P>
<P class="p1061 ft13"><SPAN class="ft220">57.</SPAN><SPAN class="ft224">Om folkbokföring, samordnings- nummer och identitetsnummer. Fi.</SPAN></P>
<P class="p1062 ft13"><SPAN class="ft220">58.</SPAN><SPAN class="ft224">Läge och kvalitet i hyressättningen. Ju.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p1063 ft13"><SPAN class="ft220">59.</SPAN><SPAN class="ft224">Vägen till tillgänglighet – långsiktig, strategisk och i samverkan. S.</SPAN></P>
<P class="p1064 ft13"><SPAN class="ft220">60.</SPAN><SPAN class="ft224">Förenklingar för mikroföretag och modernisering av bokföringslagen. N.</SPAN></P>
<P class="p1065 ft13"><SPAN class="ft220">61.</SPAN><SPAN class="ft224">Utvisning på grund av brott – ett skärpt regelverk. Ju.</SPAN></P>
<P class="p1066 ft227"><SPAN class="ft220">62.</SPAN><SPAN class="ft226">Användning av </SPAN><NOBR>e-legitimation</NOBR> i tjänsten i den offentliga förvaltningen. I.</P>
<P class="p1067 ft222"><SPAN class="ft220">63.</SPAN><SPAN class="ft221">Sveriges säkerhet</SPAN></P>
<P class="p1068 ft13">– behov av starkare skydd för nätverks- och informationssystem. Fö.</P>
</DIV>
</DIV>
</DIV>
<DIV id="page_535">
<DIV id="p535dimg1">
<INGENBILD zsrc="H9B363535x1.jpg/" id="p535img1">
</DIV>
<DIV id="id_1">
<P class="p0 ft16">Statens offentliga utredningar 2021</P>
<P class="p24 ft27">Systematisk förteckning</P>
</DIV>
<DIV id="id_2">
<DIV id="id_2_1">
<P class="p0 ft41">Finansdepartementet</P>
<P class="p1069 ft13">En väl fungerande ordning för val och beslutsfattande i kommuner och regioner. [16]</P>
<P class="p8 ft13">Ett moderniserat konsumentskydd. [17]</P>
<P class="p1070 ft13">Stärkt planering för en hållbar utveckling. [23]</P>
<P class="p1071 ft13">Mervärdesskatt vid inhyrd personal för vård och social omsorg. [40]</P>
<P class="p1072 ft13">Stärkta åtgärder mot penningtvätt och finansiering av terrorism. [42]</P>
<P class="p1073 ft13">Ett nytt regelverk för bygglov. Del 1 och 2. [47]</P>
<P class="p8 ft13">Mikroföretagarkonto</P>
<P class="p1074 ft13"><SPAN class="ft220">–</SPAN><SPAN class="ft223">schabloniserad inkomstbeskattning för de minsta företagen. [55]</SPAN></P>
<P class="p1075 ft13">Om folkbokföring, samordningsnummer och identitetsnummer. [57]</P>
<P class="p295 ft41">Försvarsdepartementet</P>
<P class="p8 ft222">Sveriges säkerhet</P>
<P class="p1076 ft227"><SPAN class="ft220">–</SPAN><SPAN class="ft228">behov av starkare skydd för nätverks- och informationssystem. [63]</SPAN></P>
<P class="p18 ft41">Infrastrukturdepartementet</P>
<P class="p1077 ft13">Säker och kostnadseffektiv <NOBR>it-drift</NOBR> rättsliga förutsättningar för utkontraktering. [1]</P>
<P class="p1078 ft229">Vem kan man lita på? Enkel och ändamåls enlig användning av betrodda tjänster i den offentliga förvaltningen. [9]</P>
<P class="p1072 ft13">Ökade möjligheter att förhindra illegal handel via post. [29]</P>
<P class="p8 ft13">Kontroller på väg. [31]</P>
<P class="p1079 ft13">Användning av <NOBR>e-legitimation</NOBR> i tjänsten i den offentliga förvaltningen. [62]</P>
<P class="p451 ft41">Justitiedepartementet</P>
<P class="p1080 ft13">Krav på kunskaper i svenska och samhällskunskap för svenskt medborgarskap. [2]</P>
</DIV>
<DIV id="id_2_2">
<P class="p1081 ft13">Ett förbättrat system för arbetskrafts invandring. [5]</P>
<P class="p1082 ft13">Förstärkt skydd för väljarna vid röst- mottagningen. [7]</P>
<P class="p207 ft222">Andra chans för krisande företag</P>
<P class="p1083 ft13"><SPAN class="ft220">–</SPAN><SPAN class="ft223">En ny lag om företagsrekonstruktion. [12]</SPAN></P>
<P class="p1084 ft13">En teknikneutral grundlagsbestämmelse för regeringsbeslut. [13]</P>
<P class="p1085 ft13">Föreningsfrihet och terroristorganisationer. [15]</P>
<P class="p1086 ft13">Bolags rörlighet över gränserna. Volym 1 & 2. [18]</P>
<P class="p1087 ft13"><NOBR>Ecris-TCN</NOBR> – ett mer effektivt utbyte av brottmålsdomar mot tredjelandsmed- borgare. [20]</P>
<P class="p8 ft13">Struktur för ökad motståndskraft. [25]</P>
<P class="p1084 ft13">Ett förbud mot rasistiska organisationer. [27]</P>
<P class="p1088 ft13">En stärkt rättsprocess och en ökad lag föring. [35]</P>
<P class="p1088 ft13">Gode män och förvaltare – en översyn. [36]</P>
<P class="p8 ft13">En ny lag om ordningsvakter m.m. [38]</P>
<P class="p1089 ft13">Ett förstärkt skydd mot sexuella kränkningar. [43]</P>
<P class="p207 ft222">Snabbare lagföring</P>
<P class="p1090 ft231"><SPAN class="ft220">–</SPAN><SPAN class="ft230">ett snabbförfarande i brottmål. [46] Kommuner mot brott. [49]</SPAN></P>
<P class="p1091 ft231">Fri hyressättning vid nyproduktion. [50] Ändrade regler i medborgarskapslagen. [54]</P>
<P class="p1092 ft13">Nya regler om utländska föräldraskap och adoption i vissa fall. [56]</P>
<P class="p8 ft13">Läge och kvalitet i hyressättningen. [58]</P>
<P class="p1093 ft13">Utvisning på grund av brott – ett skärpt regelverk. [61]</P>
<P class="p295 ft41">Kulturdepartementet</P>
<P class="p754 ft13">Immunitet för utställningsföremål. [28]</P>
</DIV>
</DIV>
</DIV>
<DIV id="page_536">
<DIV>
<DIV id="id_1">
<P class="p0 ft41">Miljödepartementet</P>
<P class="p1094 ft13">Radiologiska skador – skadestånd, säkerheter, skadereglering. [10]</P>
<P class="p1095 ft13">En klimatanpassad miljöbalk för samtiden och framtiden. [21]</P>
<P class="p207 ft222">Äga avfall</P>
<P class="p1096 ft231"><SPAN class="ft13">–</SPAN><SPAN class="ft232">en del av den cirkulära ekonomin. [24] Använd det som fungerar. [26]</SPAN></P>
<P class="p754 ft222">I en värld som ställer om.</P>
<P class="p1097 ft13">Sverige utan fossila drivmedel 2040. [48]</P>
<P class="p1095 ft13">Skydd av arter – vårt gemensamma ansvar. Vol. 1 och 2. [51]</P>
<P class="p8 ft13">En rättssäker vindkraftsprövning. [53]</P>
<P class="p451 ft41">Näringsdepartementet</P>
<P class="p1098 ft13">En <NOBR>EU-anpassad</NOBR> djurläkemedels- lagstiftning. Del 1 och 2. [45]</P>
<P class="p1099 ft13">Förenklingar för mikroföretag och modernisering av bokföringslagen. [60]</P>
<P class="p343 ft41">Socialdepartementet</P>
<P class="p1100 ft13">Informationsöverföring inom vård och omsorg. [4]</P>
<P class="p1101 ft13">God och nära vård. Rätt stöd till psykisk hälsa. [6]</P>
<P class="p207 ft222">När behovet får styra</P>
<P class="p1102 ft13"><SPAN class="ft13">–</SPAN><SPAN class="ft224">ett tandvårdssystem för en mer jäm lik tandhälsa. Vol. 1 & Vol. 2, bilagor + Sammanfattning (häfte). [8]</SPAN></P>
<P class="p1103 ft13">Boende på (o)lika villkor – merkostnader i bostad med särskild service för vuxna enligt LSS. [14]</P>
<P class="p1104 ft13">En stärkt försörjningsberedskap för hälso- och sjukvården. Del 1 och 2. [19]</P>
<P class="p1105 ft13">Hårdare regler för nya nikotinprodukter. [22]</P>
<P class="p1075 ft13">Börja med barnen! En sammanhållen god och nära vård för barn och unga. [34]</P>
<P class="p1099 ft13">Stärkt rätt till personlig assistans. Ökad rättssäkerhet för barn, fler grundläggande behov och tryggare sjukvårdande insatser. [37]</P>
<P class="p1106 ft13">Ombuds tillgång till vård- och omsorgsuppgifter och förenklad behörighetskontroll inom vården. [39]</P>
</DIV>
<DIV id="id_2">
<P class="p1107 ft13">VAB för vårdåtgärder i skolan. [41] Tillgänglighetsdirektivet. [44]</P>
<P class="p317 ft222">Vilja välja vård och omsorg.</P>
<P class="p1108 ft13">En hållbar kompetensförsörjning inom vård och omsorg om äldre. [52]</P>
<P class="p1109 ft13">Vägen till ökad tillgänglighet – långsiktig, strategisk och i samverkan. [59]</P>
<P class="p451 ft41">Utbildningsdepartementet</P>
<P class="p1110 ft13">Skolbibliotek för bildning och utbildning. [3]</P>
<P class="p1111 ft13">Bättre möjligheter för elever att nå kunskapskraven – aktivt stöd- och elevhälsoarbete samt stärkt utbildning för elever med intellektuell funktions- nedsättning. [11]</P>
<P class="p0 ft13">Kampen om tiden</P>
<P class="p1112 ft13">– mer tid till lärande. [30]</P>
<P class="p8 ft13">Papper, poddar och ...</P>
<P class="p1113 ft13">Pliktmateriallagstiftning för ett tryggat källmaterial. [32]</P>
<P class="p1114 ft13">En tioårig grundskola. Införandet av en ny årskurs 1 i grundskolan, grundsärskolan, specialskolan och sameskolan. [33]</P>
</DIV>
</DIV>
</DIV>
<DIV id="page_537">
<DIV id="p537dimg1">
<IMG src="http://data.riksdagen.se/fil/H9B363/H9B363537x1.jpg" style="width:649px;height:953px" id="p537img1">
</DIV>
<DIV class="dclr"></DIV>
<DIV>
<DIV id="id_1">
<P class="p0 ft233"><SPAN class="ft233">103</SPAN><SPAN class="ft234">33 Stockholm Växel </SPAN><NOBR>08-405 10 00 www.regeringen.se</NOBR></P>
<P class="p1115 ft235">ISBN <NOBR>978-91-525-0178-8<SPAN class="ft37"> </SPAN>ISSN</NOBR> <NOBR>0375-250X</NOBR></P>
</DIV>
<DIV id="id_2">
<!--[if lte IE 7]><P style="margin-left:0px;margin-top:0px;margin-right:-915px;margin-bottom:0px;" class="p1116 ft236"><![endif]--><!--[if gte IE 8]><P style="margin-left:-915px;margin-top:0px;margin-right:0px;margin-bottom:915px;" class="p1116 ft236"><![endif]--><![if ! IE]><P style="margin-left:-458px;margin-top:458px;margin-right:-457px;margin-bottom:457px;" class="p1116 ft236"><![endif]>Agneta S Öberg</P>
<!--[if lte IE 7]><P style="margin-left:0px;margin-top:-85px;margin-right:-85px;margin-bottom:85px;" class="p1117 ft237"><![endif]--><!--[if gte IE 8]><P style="margin-left:-85px;margin-top:-85px;margin-right:0px;margin-bottom:170px;" class="p1117 ft237"><![endif]--><![if ! IE]><P style="margin-left:-43px;margin-top:-42px;margin-right:-42px;margin-bottom:127px;" class="p1117 ft237"><![endif]>Bild och bildbearbetning:</P>
<!--[if lte IE 7]><P style="margin-left:0px;margin-top:-129px;margin-right:-129px;margin-bottom:129px;" class="p1118 ft237"><![endif]--><!--[if gte IE 8]><P style="margin-left:-129px;margin-top:-129px;margin-right:0px;margin-bottom:258px;" class="p1118 ft237"><![endif]--><![if ! IE]><P style="margin-left:-65px;margin-top:-64px;margin-right:-64px;margin-bottom:193px;" class="p1118 ft237"><![endif]>Bild: Jackie Niam och Luerat Satichob</P>
<!--[if lte IE 7]><P style="margin-left:551px;margin-top:-98px;margin-right:-641px;margin-bottom:98px;" class="p1119 ft238"><![endif]--><!--[if gte IE 8]><P style="margin-left:461px;margin-top:-98px;margin-right:-551px;margin-bottom:188px;" class="p1119 ft238"><![endif]--><![if ! IE]><P style="margin-left:506px;margin-top:-53px;margin-right:-596px;margin-bottom:143px;" class="p1119 ft238"><![endif]>Omslag: Elanders Sverige AB</P>
</DIV>
</DIV>
</DIV>
</BODY>
</HTML>
H9B363sou_2021__63.pdf6123604pdfSveriges säkerhet - behov av starkare skydd för nätverks- och informationssystemhttps://data.riksdagen.se/fil/10E576D4-F20D-44A9-AA8C-7D406EC37774