NIS-DIREKTIVET SÅ PÅVERKAS DIN ORGANISATION
|
|
- Göran Blomqvist
- för 5 år sedan
- Visningar:
Transkript
1 NIS-DIREKTIVET SÅ PÅVERKAS DIN ORGANISATION
2 Det ökade användandet av digitala tjänster och produkter har lett till att EU för första gången har avtalat om en uppsättning regler kring cybersäkerhet, det så kallade NIS-direktivet. Till skillnad från den nya dataskyddsförordningen, GDPR, handlar NIS-direktivet inte om personuppgifter, utan syftar till att uppnå en hög säkerhetsnivå i samhällskritiska nätverk och informationssystem. NIS-direktivet omfattar samtliga EU-länder och trädde i kraft i Sverige i augusti 2018, kort efter GDPR som trädde i kraft i maj är kanske det tyngst lastade året i modern historia vad det gäller upptrappningar av skyldigheter av olika slag för organisationer rörande deras förmåga att skydda information och integritet, både inom privat och offentlig sektor. Vilka omfattas av NIS-direktivet? NIS-direktivet är dedikerat för att säkerställa en hög informationssäkerhetsstandard i samhällsviktiga och digitala tjänster. I praktiken innebär det att direktivet omfattar: - Utvalda myndigheter, så kallade tillsynsmyndigheter - Utvalda leverantörer av samhällsviktiga tjänster, så kallade nyckelaktörer - Vissa leverantörer av digitala tjänster Dessa företag och organisationer kommer påverkas av NIS-direktivet i olika utsträckning, både i form av skyldigheter och säkerhetsåtgärder. I detta whitepaper som är baserat på rådande lagförslag kommer du kunna läsa om hur just kan påverkas, vilka potentiella konsekvenser den står inför samt rekommendationer på adekvata lösningar.
3 Nyckelaktörer Privata aktörer som tillhandahåller samhällskritiska funktioner kan komma att omfattas av NIS-direktivet. Dessa företag och organisationer kallas i lagförslaget för nyckelaktörer. Varje EU-nation gör sitt urval av nyckelaktörer från åtta sektorer som täcker in det mesta inom samhällskritisk infrastruktur, däribland; energi, transporter, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, leverans och distribution av dricksvatten samt digital infrastruktur. Vilka aktörer som utses till nyckelaktörer inom respektive område kommer beslutas av de så kallade tillsynsmyndigheterna. Urvalet ska tillkännages senast 6 månader efter att direktivet har trätt i kraft. Krav på säkerhetsåtgärder För nyckelaktörer handlar NIS-direktivet både om risk- och incidenthantering samt krav på att aktivt arbeta, både organisatoriskt och tekniskt, för att förebygga incidenter i de nätverk och informationssystem som är nödvändiga för att tillhandahålla samhällsviktiga tjänster. I praktiken innebär det krav på att låta utföra årliga riskanalyser, rapporteringsskyldigheter vid incidenter samt krav på att arbeta strukturerat och metodiskt enligt vedertagna standardiserade ramverk, till exempel ISO Som nyckelaktör är det din skyldighet att kunna presentera bevis för att dessa säkerhetsprinciper genomförs kontinuerligt med nödvändig frekvens. Bedömning av incident Vilka typer av incidenter som ska rapporteras skiljer sig mellan olika typer av aktörer. Nyckelaktörer ska rapportera incidenter som har en betydande negativ inverkan på leveransen och kontinuiteten i samhällsviktiga tjänster och produkter. Om en incident är av betydande karaktär bedöms utifrån följande aspekter: - Antal användare som är beroende av den tjänst som den berörda enheten tillhandahåller. - Hur beroende andra sektorer är av den tjänst som den drabbade enheten tillhandahåller. - Vilken inverkan incidenten skulle kunna ha på ekonomisk och samhällelig verksamhet eller allmän säkerhet, uttryckt i grad och varaktighet. - Den drabbade enhetens marknadsandel. - Hur stort geografiskt område som kan ha påverkats av incidenten. - Den drabbade enhetens betydelse för upprätthållandet av en tillräcklig tjänstenivå, med beaktande av tillgången till alternativa sätt för att tillhandahålla tjänsten. Rapportering Som nyckelaktör rapporterar du till CSIRT-enheten vid myndigheten för samhällsskydd och beredskap, MSB. Rapporten ska ske utan onödigt dröjsmål och ska innehålla tillräckligt mycket information för att ge CSIRT-enheten underlag för att kunna fastställa incidentens omfattning.
4 Digitala leverantörer Utöver nyckelaktörer omfattas även leverantörer av digitala tjänster av NIS-direktivet. Digitala leverantören bedöms till skillnad mot nyckelaktörer inte utifrån ett samhällsviktigt perspektiv, utan omfattas av direktivet automatiskt. De organisationer som räknas till digitala leverantörer är: - Internetbaserade marknadsplatser - Internetbaserade sökmotorer - Molntjänster Krav på säkerhetsåtgärder Precis som nyckelaktörerna har digitala leverantörer krav på att arbeta systematiskt och konsekvent för att hantera, rapportera och minimera risker och incidenter som hotar säkerheten i deras nätverk och informationssystem. Till skillnad från nyckelaktörerna behöver däremot digitala leverantörer inte genomgå en säkerhetsanalys som lägger grunden för säkerhetsåtgärderna. Leverantörer av digitala tjänster ska istället själva utarbeta åtgärder för att hantera risker och incidenter. I åtgärdsplanen skall följande aspekter beaktas: - Säkerheten i system och anläggningar - Incidenthantering - Hantering av driftskontinuitet - Övervakning, revision och testning - Efterlevnad av internationella standarder Bedömning av incident Som digital leverantör är du skyldig att rapportera incidenter som har en avsevärd inverkan på tillhandahållandet av tjänsten. Det är en nyansskillnad mot nyckelaktörernas krav, där incidenter som bara har en betydande inverkan på tillhandahållandet av tjänsten ska rapporteras. I lagen anges ett antal faktorer som avgör hur en incident bedöms. Dessa faktorer är: - Antal användare som påverkas av störningen av den samhällsviktiga tjänsten - Hur länge incidenten varar - Hur stort geografiskt område som påverkas av incidenten. Rapportering Som digital leverantör rapporterar du precis som nyckelaktörerna till CSIRT-enheten vid myndigheten för samhällsskydd och beredskap, MSB. Rapporten ska ske utan onödigt dröjsmål och ska innehålla information som ger underlag för att CSIRT-enheten ska kunna fastställa incidentens omfattning.
5 Tillsynsmyndigheter För att göra NIS-direktivet verksamt har sex myndigheter utsetts, som emellan sig kommer ansvara för samtliga åtta sektorer. De kallas i lagförslaget för Tillsynsmyndigheter och har i uppgift att se till att nyckelaktörer och digitala leverantörer i respektive sektor följer direktivets överenskomna säkerhetsbestämmelser. Sektor Energi Transporter Bankverksamhet Hälsa- och sjukvård Leverans och distribution av dricksvatten Digital infrastruktur Digitala tjänster Tillsynsmyndighet Statens energimyndighet Transportstyrelsen Finansinspektionen Inspektionen om vård och omsorg Livsmedelsverket Post- och telestyrelsen Post- och telestyrelsen Varje sektor är i sin tur nedbruten i delområden (läs bilaga 2). Uppgifter Utöver att övervaka huruvida direktivet följs har tillsynsmyndigheterna även i uppgift att upprätta föreskrifter av säkerhetsåtgärder och sedan meddela dessa till berörda aktörer. Det är även tillsynsmyndigheten som beslutar om sanktioner och påföljder vid brott eller överträdelse. Rapportering De rapporter som kommer in till MSB granskas och skickas vid behov sedan vidare till berörd tillsynsmyndighet som sedan beslutar hur ärendet ska tas vidare. Tillsynsmyndigheten har med andra ord inga rapporteringsskyldigheter till MSB, utan är istället mottagare av rapporter.
6 Rapporteringsflöde 1. Nyckelaktör (NA) + Digital leverantör (DL) Nyckelaktörer rapporterar incidenter som har en betydande negativ inverkan på leveransen av den samhällskritiska tjänsten, medan Digitala leverantörer rapporterar incidenter som har avsevärd negativ inverkan. Båda rapporterar till CSIRT-enheten vid MSB utan onödigt dröjsmål. 2. CSIRT-enheten (MSB) CSIRT-enheten tar emot rapporter från nyckelaktörer och digitala leverantörer, granskar dem och skickar vidare till berörd tillsynsmyndighet vid behov. 3. Tillsynsmyndighet (TM) Tillsynsmyndigheten granskar rapporter från CSIRT-enheten och beslutar om sanktioner och påföljder vid brott eller överträdelse.
7 Sekretess Alla genererade incidentrapporter kommer till slut att landa hos MSB som offentliga handlingar. Det är inte förrän handlingen begärs ut från myndigheten som en sekretessprövning sker och då endast för det efterfrågade materialet. Även om en incidentrapport beläggs med sekretess finns dock inga garantier för att rapporten inte delas mellan myndigheter. Det finns nämligen ett flertal inte bara giltiga utan tvingande skäl att bryta sekretessen med det tydligt uttryckta syftet att incidentinformation skall delas i kommunikation mellan myndigheter. Slutligen finns även Generalklausulen som kan ge ytterligare skäl att häva sekretessen. Som nyckelaktör eller som leverantör av digitala tjänster får man med andra ord räkna med att information överlämnad till myndighet med anledning av NIS-direktivet kommer spridas vidare inom myndighetsvärlden. Konsekvenser vid överträdelse Gällande vite gör varje EU-nation sin egen översättning till lämplig lokal lag, vilket innebär att konsekvenserna kommer se annorlunda ut i olika länder. I Sverige innebär ett maximalt vite för brott eller överträdelser mot NISdirektivet 10 MSEK. Avgiftens storlek avgörs av den berörda tillsynsmyndigheten med hänsyn till vilken skada eller risk överträdelsen har medfört, samt vilka kostnader leverantören har undvikit genom att undgå direktivet. Eftersom lagen gäller i hela EU riskerar dock de organisationer som är verksamma i fler av unionens länder att behöva betala böter även i dessa. Det betyder att den maximala boten på 10 MSEK gäller för de företag som endast har svenska kunder. Exempelvis har Storbritannien, trots sitt planerade utträde ur EU, ett pågående arbete med att anta NIS-direktivet med samma bötesbelopp som för GDPR, alltså upp till 20M EUR eller 4 % av den årliga koncernomsättningen. Indirekta kostnader Utöver böter leder säkerhetsincidenter nästan alltid till andra indirekta kostnader. Dels i form av de konsekvenser ett skadat varumärke kan orsaka, så som förlorade affärer och samarbeten samt negativ inverkan på aktiekursen och därmed även företagets värde. Leder incidenterna dessutom till rättsliga processer kan även juridiska kostnader tillkomma. Vid haveri kan infrastrukturella kostnader tillkomma i form av återuppbyggnad av system och nätverk. Har incidenten dessutom lett till produktionsstopp kan det förstås påverka vinsten. Ett exempel är rederijätten Maersk som tidigare i år förlorade över 200 miljoner dollar när deras verksamhet sattes ur bruk till följd av en cyberattack de varken kunde detektera eller värja sig mot. Organisatoriska konsekvenser Mer omfattande säkerhetsincidenter kan även leda till organisatoriska konsekvenser där ansvarig personal riskerar sina positioner. Ett aktuellt exempel är IT-skandalen på Transportstyrelsen där generaldirektören tillsammans med minst en annan ur ledningen fick lämna sina tjänster till följd av händelserna. Det kan även göra det svårare att behålla och rekrytera ny personal till företaget.
8 Så efterlever NIS-direktivet För att möta NIS-direktivens krav måste alla organisationer som omfattas ägna sig åt konsekvent och riskbaserat IT-säkerhetsarbete. För att kunna skapa bra förutsättningar för efterlevnad finns en rad adekvata säkerhetsaktiviteter som bör vidtas som stödjer arbetet mot compliance. Inventering av system, integrationer och data För att kunna avgöra vilka processer måste genomgå behöver du först och främst vara medveten om vilka system, integrationer och data din IT-miljö innehåller. Genom att göra en kartläggning av dessa kan du få en överskådlig blick av din IT-miljö som lägger grunden för ditt fortsatta arbete med att göra en riskanalys. Kartläggningen är även viktig för att kunna bedöma incidentens omfattning utifrån de kriterier som ställs, till exempel antal drabbade användare, system och geografiska områden. Riskanalys Det finns många skäl till varför företag eller organisationer borde genomföra riskanalyser på regelbunden basis, men de företag som omfattas av NIS-direktivet är skyldiga att göra det. Målet med riskanalysen är att identifiera specifika sårbarheter som verksamheten kan tänkas ha samt vilka hot och risker som verksamheten står inför. Analysen, som ska dokumenteras och uppdateras årligen, ska även innehålla en åtgärdsplan. Ett effektivt sätt att bedöma risker är att testa sina digitala och fysiska miljöer med hjälp av så kallade pentester (penetrationstester). Genom att låta ett team av experter penetrationstesta dina system och/eller fysiska anläggningar kan du identifiera säkerhetsbrister innan någon obehörig gör det och därmed minska incidentrisken. Riskanalysen lägger även grunden för vilka säkerhetsåtgärder behöver vidta. Incidenthantering NIS-direktivet ställer uttalade krav på att alla organisationer som omfattas ska ha en väl genomarbetad incidenthanteringsplan med tydliga incident- och rapporteringsrutiner. Den bör bland annat innefatta hur en incident bedöms och klassificeras, hur den ska hanteras och vidare rapporteras. Nätverksövervakning För att kunna hantera och rapportera incidenter måste du först och främst upptäcka dem. Genom övervakning av trafik och beteendemönster i verksamhetskritiska nät och systemloggar kan man snabbt identifiera avvikelser och i bästa fall hinna åtgärda dem redan innan de hinner klassas som incidenter. För att underlätta arbetet finns managerade tjänster som sköter övervakningen av dina nätverk dygnet runt. Internationella standarder Genom att använda internationella standarder och ramverk som innefattar flera av ovanstående aktiviteter och processer kan du på ett effektivt säkerställa att stora delar av din IT-miljö är rustade för NIS-direktivet. Ett av de accepterade internationella ramverken är ISO som bland annat innefattar kartläggning, riskanalys, kontinuitetshantering och leveranshantering. Blir du ISO-compliant täcker du med andra ord in flera av kraven NISdirektivet ställer på din verksamhet.
9 Har ni fler frågor om NIS-direktivet? Sentor hjälper såväl stora som små bolag att efterleva rådande förordningar och direktiv kopplade till IT-säkerhet. Har ni frågor om hur vi kan hjälpa er att efterleva NIS-direktivet är det bara att kontakta oss. Skicka ett mail till eller ring oss på. Mer information om NIS-direktivet och andra regulatoriska krav hittar ni på sentor.se.
Svensk författningssamling
Svensk författningssamling Förordning om informationssäkerhet för samhällsviktiga och digitala tjänster Publicerad den 27 juni 2018 Utfärdad den 20 juni 2018 Regeringen föreskriver 1 följande. Inledande
Läs merUtredningen om genomförande av NIS-direktivet
Informationssäkerhet för samhällsviktiga och digitala tjänster SOU 2017:36 NIS-direktivet NIS-direktivet är ett av EU beslutat direktiv som ska genomföras i svensk rätt senast den 9 maj 2018 Säkerhet i
Läs merNIS-direktivet. 4 september Johanna Linder Martin Gynnerstedt
NIS-direktivet 4 september 2017 Johanna Linder Martin Gynnerstedt NIS-direktivet Directive concerning the measures for a high common level of security of network and information systems across the union
Läs merInformationssäkerhet för samhällsviktiga och digitala tjänster
Informationssäkerhet för samhällsviktiga och digitala tjänster Betänkande av Utredningen om genomförande av NIS-direktivet Stockholm 2017 SOU 2017:36 Sammanfattning Bakgrund I juli 2016 antog Europaparlamentet
Läs merRegelverk och myndighetsstöd för ökad informationssäkerhet inom dricksvattenförsörjningen (NIS) Anders Östgaard
Regelverk och myndighetsstöd för ökad informationssäkerhet inom dricksvattenförsörjningen (NIS) Anders Östgaard Digitalisering Nivå Digitalisering Incidenter Informationssäkerhet $ Tid NIS-direktivet NIS
Läs merChristoffer Karsberg Internationell samordnare, Enheten för verksamhetssamordning och strategisk analys, MSB
Aktuellt inom informationssäkerhet EU:s direktiv om nätverks- och informationssäkerhet (NIS) och hur det ska genomföras i Sverige Christoffer Karsberg Internationell samordnare, Enheten för verksamhetssamordning
Läs mer- Vad du behöver veta om NIS
NIS-direktivet - Vad du behöver veta om NIS 4 september 2018 Christoffer Karsberg Strateg Samordningsansvarig på MSB gällande NIS-direktivets genomförande NIS-direktivet EU-direktiv som ställer krav på
Läs merNIS-direktivet - Nya krav på informationssäkerhet i samhällsviktiga och digitala tjänster
NIS-direktivet - Nya krav på informationssäkerhet i samhällsviktiga och digitala tjänster PTS informationsmöte om NIS 16 november 2018 Christoffer Karsberg Strateg Samordningsansvarig på MSB för NIS-direktivets
Läs merSvensk författningssamling
Svensk författningssamling Lag om informationssäkerhet för samhällsviktiga och digitala tjänster Publicerad den 27 juni 2018 Utfärdad den 20 juni 2018 Enligt riksdagens beslut 1 föreskrivs 2 följande.
Läs merEnergimyndigheten och NIS-direktivet Panndagarna Tommy Wahlman Projektledare för införande av NIS-direktivet
Energimyndigheten och NIS-direktivet Panndagarna 2018 Tommy Wahlman Projektledare för införande av NIS-direktivet Förslag till agenda 1. Vad gör Energimyndigheten? 2. Studier över fjärrvärmebranschen.
Läs merYttrande över betänkandet Informationssäkerhet för samhällsviktiga och digitala tjänster (SOU 2017:36) 28 LS
Yttrande över betänkandet Informationssäkerhet för samhällsviktiga och digitala tjänster (SOU 2017:36) 28 1 (2) Landstingsrådsberedningen SKRIVELSE 2017-08-16 Landstingsstyrelsen Yttrande över betänkandet
Läs merNIS-direktivet. - Därför är NIS viktigt för kommuner och landsting. 5 september 2018 Christoffer Karsberg
NIS-direktivet - Därför är NIS viktigt för kommuner och landsting 5 september 2018 Christoffer Karsberg Övergripande syftet med NIS-direktivet Nätverks- och informationssystem spelar en viktig roll i samhället.
Läs merNIS-direktivet. Nya krav på informationssäkerhet i samhällsviktiga och digitala tjänster.
NIS-direktivet Nya krav på informationssäkerhet i samhällsviktiga och digitala tjänster Jan-olof.olsson@msb.se Varför vi behövs?! Vi ska bidra till samhällets förmåga att Förbygga händelser Så att aktörerna
Läs merRemissyttrande Informationssäkerhet för samhällsviktiga och digitala tjänster
YTTRANDE ÖVER SOU 2017:36 Justitiedepartementet 103 33 Stockholm Remissyttrande Informationssäkerhet för samhällsviktiga och digitala tjänster Sammanfattande synpunkter från SOFF: SOFF välkomnar utredarens
Läs merInformationssäkerhet för samhällsviktiga och digitala tjänster (SOU 2017:36) Remiss från Justitiedepartementet Remisstid den 24 augusti
PM 2017:156 RI (Dnr 110-974/2017) Informationssäkerhet för samhällsviktiga och digitala tjänster (SOU 2017:36) Remiss från Justitiedepartementet Remisstid den 24 augusti Borgarrådsberedningen föreslår
Läs merLathund. IT-säkerhet, GDPR och NIS. Version 3.0
Lathund IT-säkerhet, GDPR och NIS Version 3.0 GDPR skydda personuppgifter Den 25 maj 2018 kommer en ny dataskyddsförordning för samtliga EU-länder som ersätter tidigare lagar kring hantering av personuppgifter.
Läs merMyndigheten för samhällsskydd och beredskaps författningssamling
Myndigheten för samhällsskydd och beredskaps författningssamling Utgivare: Anna Asp, Myndigheten för samhällsskydd och beredskap ISSN 2000-1886 MSBFS Utkom från trycket den 30 oktober 2018 Myndigheten
Läs merNIS-reglering.
NIS-reglering Jan-Olof.Olsson@msb.se Digitalisering och säkerhetsarbete i otakt Övergripande syftet med NIS-direktivet Nätverks- och informationssystem spelar en viktig roll i samhället. Deras tillförlitlighet
Läs merMyndigheten för samhällsskydd och beredskaps författningssamling
Myndigheten för samhällsskydd och beredskaps författningssamling Utgivare: Anna Asp, Myndigheten för samhällsskydd och beredskap ISSN 2000-1886 Utkom från trycket den 8 januari 2019 Myndigheten för samhällsskydd
Läs merSamhällets funktionalitet nuläge och utmaningar
Samhällets funktionalitet nuläge och utmaningar Robust försörjning och skydd av samhällsviktiga funktioner är centralt för befolkningens överlevnad och för att vårt samhälle ska fungera Nationell säkerhetsstrategi,
Läs merKOMMISSIONENS GENOMFÖRANDEFÖRORDNING (EU) / av den
EUROPEISKA KOMMISSIONEN Bryssel den 30.1.2018 C(2018) 471 final KOMMISSIONENS GENOMFÖRANDEFÖRORDNING (EU) / av den 30.1.2018 om tillämpningsföreskrifter för Europaparlamentets och rådets direktiv (EU)
Läs merVägledning om rapportering av incidenter för leverantörer av digitala tjänster enligt NISregleringen
samhällsskydd och beredskap 1 (14) Vägledning om rapportering av incidenter för leverantörer av digitala tjänster enligt NISregleringen samhällsskydd och beredskap 2 (14) MSB:s kontaktperson: Carina Wetzel,
Läs merMyndigheten för samhällsskydd och beredskaps författningssamling
Myndigheten för samhällsskydd och beredskaps författningssamling Utgivare: Anna Asp, Myndigheten för samhällsskydd och beredskap ISSN 2000-1886 Utkom från trycket den 8 januari 2019 Myndigheten för samhällsskydd
Läs merNetnod inkommer härmed med följande synpunkter på Remiss av betänkandet Informationssäkerhet för samhällsviktiga och digitala tjänster (SOU 2017:36)
2017-08-08 Justitiedepartementet Enheten för lagstiftning om allmän ordning och säkerhet och samhällets krisberedskap Netnod inkommer härmed med följande synpunkter på Remiss av betänkandet Informationssäkerhet
Läs merInformationssäkerhet för samhällsviktiga och digitala tjänster
Bilaga Informationssäkerhet för samhällsviktiga och digitala tjänster Betänkande av Utredningen om genomförande av NIS-direktivet Stockholm 2017 SOU 2017:36 Till statsrådet Anders Ygeman Regeringen beslutade
Läs merInformationssäkerhet en förutsättning för effektiv digitalisering. Moderator: William Linnefell, Ekonomistyrningsverket
Informationssäkerhet en förutsättning för effektiv digitalisering Moderator: William Linnefell, Ekonomistyrningsverket Informationssäkerhet en utmaning eller ett stöd i digitaliseringsarbetet? ESV-dagen
Läs merVerksamhetsplan Informationssäkerhet
Diarienummer: KS 2018/0362.016. Verksamhetsplan Informationssäkerhet Gäller från: 2018-12-04 Gäller för: Hela kommunkoncernen Globalt mål: Fastställd av: Kommunstyrelsen Utarbetad av: Annika Sandström
Läs merTillägg om Zervants behandling av personuppgifter
Tillägg om Zervants behandling av personuppgifter Detta tillägg om behandling av personuppgifter är en bilaga till användaravtalet mellan Zervant och kunden och är underkastad dess användarvillkor i den
Läs merKOMMUNAL FÖRFATTNINGSSAMLING 2018: Policy och riktlinjer för hantering av personuppgifter. Antagen av kommunfullmäktige
KOMMUNAL FÖRFATTNINGSSAMLING 2018:1-003 Policy och riktlinjer för hantering av personuppgifter Antagen av kommunfullmäktige 2018-03-27 35 1 Att gälla från och med 2018-05-01 Policy för hantering av personuppgifter
Läs merNya krav på systematiskt informationssäkerhets arbete
Nya krav på systematiskt informationssäkerhets arbete Helena Andersson Verksamheten för cybersäkerhet och skydd av samhällsviktig verksamhet Myndigheten för samhällsskydd och beredskap EU-reglering att
Läs merInformationssäkerhet för samhällsviktiga och digitala tjänster
Informationssäkerhet för samhällsviktiga och digitala tjänster Betänkande av Utredningen om genomförande av NIS-direktivet Stockholm 2017 SOU 2017:36 SOU och Ds kan köpas från Wolters Kluwers kundservice.
Läs merGDPR. General Data Protection Regulation
GDPR General Data Protection Regulation GDPR - Vad vet ni om GDPR? - Var står ni idag? - Var ligger ansvaret internt att hantera GDPR? Kort om GDPR Vad händer 25 maj 2018 träder en omfattande reform av
Läs merMyndigheten för samhällsskydd och beredskaps författningssamling
Myndigheten för samhällsskydd och beredskaps författningssamling Utgivare: Anna Asp, Myndigheten för samhällsskydd och beredskap ISSN 2000-1886 Utkom från trycket den 8 januari 2019 Myndigheten för samhällsskydd
Läs merBilaga 9 Säkerhet Dnr: /2015 Förfrågningsunderlag
Förfrågningsunderlag stockholm.se Utbildningsförvaltningen Avdelningen för utveckling och samordning Hantverkargatan 2F 104 22 Stockholm Växel 08-508 33 000 www.stockholm.se Innehåll 1 Inledning 3 2 Krav
Läs merGräns för utkontraktering av skyddsvärd information
Promemoria 2017-07-24 Statsrådsberedningen Gräns för utkontraktering av skyddsvärd information 1. Regeringen avser att sätta en gräns för utkontraktering av skyddsvärd information Enligt Säkerhetspolisen
Läs merPolicy och riktlinje för hantering av personuppgifter i Trosa kommun
Policy och riktlinje för hantering av personuppgifter i Trosa kommun Antagen av: Kommunfullmäktige 2018-04-25, 36, dnr KS 2018/65 Dokumentkategori: Styrdokument Dokumenttyp: Policy Kommunstyrelsen Policy
Läs merInstruktion för åtgärdsplan vid personuppgiftsincidenter
Instruktion för åtgärdsplan vid personuppgiftsincidenter Innehållsförteckning Åtgärdsplan för personuppgiftsincidenter... 3 Bakgrund och syfte... 3 Vad är en personuppgiftsincident?... 3 Exempel på personuppgiftsincidenter...
Läs merÅrlig tillsyn över incidentrapportering och inträffade incidenter Hi3G Access AB
AVSKRIVNINGSBESLUT 1(6) Datum Vår referens 2015-06-16 Dnr: 15-1621 Nätsäkerhetsavdelningen Karin Lodin 08-678 56 04 karin.lodin@pts.se Årlig tillsyn över incidentrapportering och inträffade incidenter
Läs merProgrammet för säkerhet i industriella informations- och styrsystem
www.msb.se/ics Programmet för säkerhet i industriella informations- och styrsystem Kristina Blomqvist Programansvarig Anders Östgaard Handläggare MSB ska bidra till samhällets förmåga att Vad gäller allt
Läs merStyrande dokument. Riktlinjer för dataskydd. Fastställd av Kommunstyrelsen. Senast reviderad av Gäller från och med
Styrande dokument för dataskydd Fastställd av Kommunstyrelsen Senast reviderad av 2018-05-17 Gäller från och med 2018-05-25 Innehållsförteckning 1 Inledning 3 2 Omfattning 3 3 Bakgrund 3 4 Personuppgiftsansvar
Läs merBilaga 3 till F:203. Säkerhet. Dnr 93-25-09 Fasta och mobila operatörstjänster samt transmission -C. Bilaga 3. Säkerhet
Bilaga 3 Säkerhet Säkerhet 2 (8) Innehållsförteckning Bilaga 3 Säkerhet 1 Allmänt 3 2 Säkerhet 4 2.1 Administrativa säkerhetskrav 4 2.1.1 Basnivå för informationssäkerhet 4 2.1.2 Uppföljning och kontroll
Läs merGDPR OCH OUTSOURCING - VEM BÄR ANSVARET?
GDPR OCH OUTSOURCING - VEM BÄR ANSVARET? GDPR och outsourcing vem bär ansvaret? Vi har under de senaste åren kunnat följa en utveckling där allt fler företag och myndigheter väljer att lägga ut delar av
Läs merInformation om dataskyddsförordningen
Information om dataskyddsförordningen 2018-04-12 Agenda Kort om dataskyddsförordningen (GDPR) Info om centralt GDPR-projekt Övriga frågor Bakgrund Dataskyddsförordningen (GDPR) ersätter personuppgiftslagen
Läs merStyrande dokument. Policy och riktlinje för hantering av personuppgifter i Göteborgs Stad
Styrande dokument Policy och riktlinje för hantering av personuppgifter i Göteborgs Stad 2BDetta dokument gäller för Göteborgs Stads samtliga nämnder samt styrelser i sådana organisationer där Göteborgs
Läs merNYA FÖRORDNINGAR OM PERSONUPPGIFTER (GDPR) VAD BETYDER DET FÖR DITT FÖRETAG?
NYA FÖRORDNINGAR OM PERSONUPPGIFTER (GDPR) VAD BETYDER DET FÖR DITT FÖRETAG? JobMatchtalent i samarbete med webcrm, SEPTEMBER 2017 Innehåll Översikt 3 Vad är GDPR? 4 Varför är GDPR så viktig för alla företag?
Läs merMED ISO KAN TEAMENGINE MÖTA ÖKADE KUNDKRAV OCH EFTERLEVA GDPR
MED ISO 27001 KAN TEAMENGINE MÖTA ÖKADE KUNDKRAV OCH EFTERLEVA GDPR Med ISO 27001 kan TeamEngine möta ökade kundkrav och efterleva GDPR Molntjänstföretaget TeamEngine möttes av ökade säkerhetskrav från
Läs merBilaga 3 Säkerhet. Bilaga 3 Säkerhet. Dnr 93-25-09 Kommunikation som tjänst - A
2 (8) Innehållsförteckning 1 Allmänt 3 2 4 2.1 Administrativa säkerhetskrav 4 2.2 Allmänna tekniska säkerhetskrav 7 3 (8) 1 Allmänt 4 (8) 2 Tele2 bedriver en verksamhet vars produktion till största delen
Läs merÅrlig tillsyn rörande incidentrapportering och inträffade driftstörningar och avbrott
BESLUT 1(6) Datum Vår referens Aktbilaga 2015-08-12 Dnr: 15-2012 10 Nätsäkerhetsavdelningen Peder Cristvall 08-678 55 29 Peder.cristvall@pts.se TeliaSonera AB Stab Juridik 123 86 Farsta Att: Per Hemrin
Läs merTillsyn efter inträffad integritetsincident i fakturasystem
BESLUT 1(6) Datum Vår referens Aktbilaga 2014-09-30 Dnr: 14-6336 9 Nätsäkerhetsavdelningen Karin Lodin 08-678 56 04 karin.lodin@pts.se Tillsyn efter inträffad integritetsincident i fakturasystem Saken
Läs merSÅ FÖRBEREDER NI ER INFÖR DATASKYDDSLAGEN (GDPR)
SÅ FÖRBEREDER NI ER INFÖR DATASKYDDSLAGEN (GDPR) Dataskyddslagen (GDPR) Det har sedan en lång tid tillbaka pågått diskussioner kring en uppdatering av EU:s dataskyddslag som i grunden inte har uppdaterats
Läs merPersonuppgiftsbiträdesavtal
1 Personuppgiftsbiträdesavtal Parter Klubb Organisationsnummer Adress Postadress Nedan: ansvarig Bolag Organisationsnummer Adress Postadress Nedan: biträdet Kontaktperson: Telefonnummer: Mejladress: Kontaktperson:
Läs merGDPR NYA DATASKYDDSFÖRORDNINGEN
GDPR NYA DATASKYDDSFÖRORDNINGEN GDPR NYA DATASKYDDSFÖRORDNINGEN GENERAL DATA PROTECTION REGULATION De nya reglerna gäller från och med den 25 maj 2018 och ersätter PUL Syfte: Stärka integritetsskyddet
Läs merDataskyddspolicy CENTRO KAKEL OCH KLINKER AB
Dataskyddspolicy CENTRO KAKEL OCH KLINKER AB 1 Allmänt Centro Kakel och Klinker AB (nedan kallat Centro) erkänner den allmänna dataskyddsförordningen (nedan kallad "GDPR") (förordning (EU) 2016/679) och
Läs merKommittédirektiv. Genomförande av EU-direktiv om åtgärder för en hög gemensam nivå av säkerhet i nätverk och informationssystem. Dir.
Kommittédirektiv Genomförande av EU-direktiv om åtgärder för en hög gemensam nivå av säkerhet i nätverk och informationssystem Dir. 2016:29 Beslut vid regeringssammanträde den 31 mars 2016 Sammanfattning
Läs merGDPR- Seminarium 2017
GDPR- Seminarium 2017 Guldfågeln Arena Jonas Lindbäck 070-526 82 27 jonas.lindback@aditor.se Dataskyddsförordningen GDPR Martin Brinnen 2017-10-24 Ett par nyheter En förordning gäller som svensk lag Harmonisering
Läs merRiktlinjer för dataskydd
1 Riktlinjer för dataskydd Inledning Följande riktlinje syftar till att konkretisera policyn för dataskydd samt ge vägledning och råd vid hantering av personuppgifter i X kommun. Riktlinjen, som grundar
Läs merVÄGLEDNING ATT UPPHANDLA PÅ ETT SÄKERT SÄTT
VÄGLEDNING ATT UPPHANDLA PÅ ETT SÄKERT SÄTT Sid 2 (7) Innehåll 1. Att upphandla på ett säkert... 3 2. Identifiera krav... 4 3. Samråd vid säkerhetsskyddad upphandling... 6 Sid 3 (7) 1. Att upphandla på
Läs merSSF Säkerhetschef. Informationssäkerhet Per Oscarson
SSF Säkerhetschef Informationssäkerhet 2016-12-01 Per Oscarson Innehåll Onsdag Introduktion till informationssäkerhet Hotbild Styrning av informationssäkerhet Organisation Incidenter Torsdag LSF (Tommy
Läs merUtvärdering och förebyggande åtgärder
TREDJE SKEDETS RAPPORTERING: Utvärdering och förebyggande åtgärder Skedet ska rapporteras inom 4 veckor fr.o.m. det att rapporteringsplikt har konstaterats. Uppgifter som omfattas av sekretess för skydd
Läs merÅrlig tillsyn över incidentrapportering och inträffade incidenter Hi3G Access AB
AVSKRIVNINGSBESLUT 1(6) Datum Vår referens 2016-04-29 Dnr: 16-1282 Nätsäkerhetsavdelningen Anders Lindell 08-678 55 41 anders.lindell@pts.se Hi3G Access AB Årlig tillsyn över incidentrapportering och inträffade
Läs merRiktlinjer för säkerhetsarbetet vid Uppsala universitet
Dnr UFV 2010/424 Riktlinjer för säkerhetsarbetet vid Uppsala universitet Fastställda av Universitetsdirektören 2010-03-31 Innehållsförteckning 1 Inledning 3 2 Ansvar 3 3 Underlåtelse 3 4 Definitioner 3
Läs merEUs nya personuppgiftslagstiftning. Agnes Andersson Hammarstrand, IT-advokat Setterwalls Advokatbyrå
EUs nya personuppgiftslagstiftning Agnes Andersson Hammarstrand, IT-advokat Setterwalls Advokatbyrå Ny personuppgiftsförordning - en fråga för alla 2 Agenda Personuppgiftslagen idag Nya lagen - bakgrund
Läs merINFORMATIONSSÄKERHET OCH DATASKYDD
INFORMATIONSSÄKERHET OCH DATASKYDD Sveriges säkerhet (rike) Säkerhetsskyddslag Samhällsviktiga & digitala tjänster NIS-direktivet Offentlig sektor Sektorsspecifika lagstiftningar Individens säkerhet Dataskyddsförordningen
Läs merSynpunkter föreskrifter och allmänna råd Kapitel Punkt Synpunkter Förslag till ändring Övriga kommentarer
Svar på remiss gällande förslag till: Föreskrift om anmälan och identifiering av leverantörer av samhällsviktiga tjänster, dnr 2018:05893 Svarande organisation: Referens/diarienr: Energigas Sverige 2018-05893
Läs merRIKTLINJER FÖR HANTERING AV PERSONUPPGIFTSINCIDENT
RIKTLINJER FÖR HANTERING AV PERSONUPPGIFTSINCIDENT Dessa riktlinjer omfattar de skyldigheter som den personuppgiftsansvariga har när en personuppgiftsincident inträffar enligt dataskyddsförordningen artikel
Läs merDataskyddsförordningen
Dataskyddsförordningen - En översikt om de nya reglerna Observera att denna broschyr endast ger information om dataskyddsförordningen och ska inte uppfattas som juridisk rådgivning. Lindmark Welinder uppmanar
Läs merAllmänna Råd. Datainspektionen informerar Nr 3/2017
Datainspektionen informerar Nr 3/2017 Allmänna Råd Den nya EU-förordningen om dataskydd som träder ikraft i maj 2018 innehåller bestämmelser om dataskyddsombudet. Bestämmelserna reglerar vilken roll och
Läs merRiktlinjer fö r behandling av persönuppgifter, Sydna rkes kömmunalfö rbund
Syfte Riktlinjen har som syfte att göra policyn för behandling av personuppgifter konkret den ger vägledning i hur hantering av personuppgifter skall ske inom Sydnärkes kommunalförbund. Riktlinjen är antagen
Läs merSSF Säkerhetschef. Informationssäkerhet Per Oscarson
SSF Säkerhetschef Informationssäkerhet 2016-11-30 Per Oscarson Incidenter och incidenthantering Innehåll Hot och incidenter Typer av incidenter Hantering av incidenter Legala krav Allvarliga störningar
Läs merWHITE PAPER. Dataskyddsförordningen
WHITE PAPER Dataskyddsförordningen Detta whitepaper handlar om den nya dataskyddsförordningen som ska tillämpas från och med den 25 maj 2018. Vad innebär den egentligen? När du läst igenom dokumentet hittar
Läs merÅrlig tillsyn över incidentrapportering och inträffade integritetsincidenter Telia Company AB
AVSKRIVNINGSBESLUT 1(6) Datum Vår referens 2016-04-29 Dnr: 16-1327 Nätsäkerhetsavdelningen Anna Montelius 08-678 58 12 anna.montelius@pts.se Telia Company AB Årlig tillsyn över incidentrapportering och
Läs merPERSONUPPGIFTSBITRÄDESAVTAL
PERSONUPPGIFTSBITRÄDESAVTAL Detta personuppgiftsbiträdesavtal, nedan Avtalet, har träffats mellan 1. Underentreprenör, nedan Personuppgiftsansvarig och 2. Bellmans åkeri & entreprenad AB, 556402-9006,
Läs merBESKRIVNING AV PERSONUPPGIFTSHANTERING
BESKRIVNING AV PERSONUPPGIFTSHANTERING Elisabeth Bexell BRIZAD BEHANDLINGSKONSULT AB 1. Inledning Det här dokumentet beskriver regler och riktlinjer för hantering av personuppgifter inom Brizad Behandlingskonsult
Läs merTillsyn med anledning av integritetsincident rörande hemliga nummer
AVSKRIVNINGSBESLUT 1(6) Datum Vår referens Aktbilaga 2019-10-01 Dnr: 19-7757 9 Avdelningen för säker kommunikation Tele2 Sverige AB Tillsyn med anledning av integritetsincident rörande hemliga nummer Saken
Läs merEtt eller flera dataskyddsombud?
Dataskyddsförordningen (GDPR) kommer att gälla som lag i alla EU:s medlemsländer från och med den 25 maj 2018. Förordningen kommer att ersätta personuppgiftslagen (1998:204), PuL, och vara direkt tillämplig
Läs mer(5)
TILLSYNSPLAN Datum Vår referens Sida 2019-01-15 19-352 1(5) PTS tillsynsplan 2019-2020 för säkra kommunikationsnät och -tjänster Post- och telestyrelsen (PTS) är tillsynsmyndighet över sektorn elektronisk
Läs merPolicy. Policy för informationssäkerhet och personuppgiftshantering i Herrljunga kommun DIARIENUMMER: KS 47/2018 FASTSTÄLLD: VERSION: 1
DIARIENUMMER: KS 47/2018 FASTSTÄLLD: 2018-04-10 VERSION: 1 SENAS T REVIDERAD: GILTIG TILL: DOKUMENTANSVAR: Tills vidare Fullmäktige Policy Policy för informationssäkerhet och personuppgiftshantering i
Läs merAvbrott i bredbandstelefonitjänst
BESLUT 1(7) Datum Vår referens Aktbilaga 2013-10-17 Dnr: 12-9626 37 Nätsäkerhetsavdelningen Karin Lodin 073-644 56 04 karin.lodin@pts.se Avbrott i bredbandstelefonitjänst Saken Tillsyn enligt 7 kap. 1
Läs merBilaga - Personuppgiftsbiträdesavtal
Bilaga - Personuppgiftsbiträdesavtal Detta avtal reglerar förhållandet mellan personuppgiftsansvarig, Kunden, och Personuppgiftsbiträdet, Ecuni AB. Med Personuppgiftsbiträdet avses Ecuni AB för de av Kunden
Läs merPolicy. Dataskyddspolicy. För kommunstyrelse och nämnder KS Föreskrifter Plan. Program Reglemente Riktlinjer Strategi Taxa
KS18-410 003 Dataskyddspolicy För kommunstyrelse och nämnder Föreskrifter Plan Policy Program Reglemente Riktlinjer Strategi Taxa Innehåll Bakgrund... 3 Syfte... 3 Ansvar... 3 Styrelse och nämnder... 3
Läs merSystematiskt arbete med skydd av samhällsviktig verksamhet
SAMMANFATTNING AV Systematiskt arbete med skydd av samhällsviktig verksamhet Stöd för arbete med riskhantering, kontinuitetshantering och att hantera händelser 2 Kapitel eller TITEL Skydd av samhällsviktig
Läs merPolicy för behandling av personuppgifter
Policy för behandling av personuppgifter Rättslig grund Dokumentägare Antagen datum Upprättad av Antagen av VD 2018-05-28 [Legal] Styrelsen Dokumenttyp Publiceras Ersätter Version Policy Intranätet 1.0
Läs merPolicy för informations- säkerhet och personuppgiftshantering
Policy för informations- säkerhet och personuppgiftshantering i Vårgårda kommun Beslutat av: Kommunfullmäktige för beslut: 208-04- För revidering ansvarar: Kommunfullmäktige Ansvarig verksamhet: Strategisk
Läs merMyndigheten för samhällsskydd och beredskaps författningssamling
Myndigheten för samhällsskydd och beredskaps författningssamling Utgivare: Key Hedström, Myndigheten för samhällsskydd och beredskap ISSN 2000-1886 MSBFS Utkom från trycket den 11 mars 2016 Myndigheten
Läs merInformationssäkerhet Informationssäkerhet. Medicinteknisk säkerhetskurs
Informationssäkerhet Medicinteknisk säkerhetskurs 2018-03-14, Sanja Hebib Informationssäkerhet Information är en tillgång som, liksom andra viktiga tillgångar, har ett värde och som måste skyddas. Informationssäkerhet
Läs merÅrlig tillsyn rörande incidentrapportering och åtgärder med anledning av inträffade störningar och avbrott av betydande omfattning Tele2 Sverige AB
BESLUT 1(5) Datum Vår referens Aktbilaga 2018-04-25 Dnr: 18-1017 Nätsäkerhetsavdelningen Enheten för driftsäkerhet och betrodda tjänster Tele2 Sverige AB Årlig tillsyn rörande incidentrapportering och
Läs merKoncernkontoret Enheten för säkerhet och intern miljöledning
Koncernkontoret Enheten för säkerhet och intern miljöledning Johan Reuterhäll Informationssäkerhetschef johan.reuterhall@skane.se RIKTLINJER Datum: 2017-12-07 Dnr: 1604263 1 (8) Riktlinjer för informationssäkerhet
Läs merKungsbacka Kommun. Rapport: Granskning av IT-säkerhet. Juni Max Wann-Hansson. Jesper Ehrner Vilhelmsson. Hardik Patel
Kungsbacka Kommun Rapport: Granskning av IT-säkerhet Juni 2018 Max Wann-Hansson Jesper Ehrner Vilhelmsson Hardik Patel Innehåll 1. Inledning... 2 1.1 Bakgrund... 2 1.2 Syfte... 3 1.3 Genomförande... 3
Läs merPERSONUPPGIFTSBITRÄDESAVTAL Hantering av personuppgifter i Skyddat Webbaserat informationssystem (WIS)
1 (6) Hantering av personuppgifter i Skyddat Webbaserat informationssystem (WIS) Detta personuppgiftsbiträdesavtal reglerar Personuppgiftsbiträdets behandling av personuppgifter för den Personuppgiftsansvariges
Läs mer2018:7. Tillsyn enligt NIS-direktivet kostnader och finansiering
2018:7 Tillsyn enligt NIS-direktivet kostnader och finansiering MISSIV 1 (1) DATUM 2018-03-12 ERT DATUM 2017-10-19 DIARIENR 2017/242 ER BETECKNING Ju2017/08091/L4 Regeringen Justititedepartementet 103
Läs merÅrlig tillsyn över incidentrapportering och inträffade incidenter Com Hem AB
AVSKRIVNINGSBESLUT 1(7) Datum Vår referens 2016-04-29 Dnr: 16-2574 Nätsäkerhetsavdelningen Mikael Ejner 08-678 57 21 mikael.ejner@pts.se Com Hem AB Årlig tillsyn över incidentrapportering och inträffade
Läs merDataskyddsförordningen GDPR
Dataskyddsförordningen GDPR 2017-12-14 1 När? Dataskyddsförordningen 25 maj 2018. Dataskyddslag - SOU 2017:39 En ny dataskyddslag kompletterande bestämmelser till EU:s dataskyddsförordning. 2 Vad är en
Läs merFinansinspektionens författningssamling
Finansinspektionens författningssamling Utgivare: Finansinspektionen, Sverige, www.fi.se ISSN 1102-7460 Finansinspektionens föreskrifter om verksamhet för betaltjänstleverantörer; beslutade den 17 april
Läs merInformationssäkerhetspolicy
Informationssäkerhetspolicy KS/2018:260 Ansvarig: Kanslichef Gäller från och med: 2018-07-19 Uppföljning / revidering ska senast ske: 2019-07-19 Beslutad av kommunfullmäktige 2018-06-20, 60 Innehållsförteckning
Läs merTMALL 0141 Presentation v 1.0. Cybersäkerhet och ny lagstiftning
TMALL 0141 Presentation v 1.0 Cybersäkerhet och ny lagstiftning Bertil Bergkuist Säkerhet och Risk IT IT-Säkerhetssamordnare bertil.bergkuist@trafikverket.se Direkt: 010-125 71 39 Trafikverket Solna strandväg
Läs merDigitalisering en möjlighet om vi når säkerhet
Digitalisering en möjlighet om vi når säkerhet Presentation 2017-12-08 2 En innovativ bransch i kontinuerlig utveckling 1960 1970 1980 1990 2000 2010 Presentation 2017-12-08 3 På 2020-talet, är det då
Läs merför klagomålsförfaranden vid påstådda överträdelser av betaltjänstdirektiv 2
EBA/GL/2017/13 05/12/2017 Riktlinjer för klagomålsförfaranden vid påstådda överträdelser av betaltjänstdirektiv 2 1. Efterlevnads- och rapporteringsskyldigheter Riktlinjernas status 1. Detta dokument innehåller
Läs merInformationssäkerhetspolicy KS/2018:260
Informationssäkerhetspolicy KS/2018:260 Innehållsförteckning Antagen av kommunfullmäktige den [månad_år] Informationssäkerhetspolicy...22 Ändringar införda till och med KF, [nr/år] Inledning och bakgrund...22
Läs merTillsyn över säkerhetsarbete hos underleverantör
AVSKRIVNINGSBESLUT 1(6) Datum Vår referens Aktbilaga 2018-12-13 Dnr: 17-5292 44 Nätsäkerhetsavdelningen Hi3G Access AB Tillsyn över säkerhetsarbete hos underleverantör Saken Tillsyn över säkerhetsarbete
Läs merBilaga Från standard till komponent
Bilaga Från standard till komponent TYP REFERENS ÅR Riskhantering ISO 31000 Riskhantering Principer och riktlinjer innehåller principer och generella riktlinjer för riskhantering och kan användas av offentliga,
Läs mer