Informationssäkerhet för samhällsviktiga och digitala tjänster SOU 2017:36
NIS-direktivet NIS-direktivet är ett av EU beslutat direktiv som ska genomföras i svensk rätt senast den 9 maj 2018 Säkerhet i Nätverk och Informationssystem (NIS) Syftet: Att uppnå en hög gemensam nivå av säkerhet i nätverk och informationssystem för att förbättra den inre marknadens funktion
Genomförande i svensk rätt Ny lag om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster Ny förordning om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster Myndighetsföreskrifter Genomförandeakter
Annan likartad reglering Personuppgiftsreglering Sveriges säkerhet, brottsbekämpning Statliga myndigheters skyldighet att incidentrapportera
Reglerna gäller för leverantörer av samhällsviktiga tjänster inom sju olika sektorer Energi Transporter Bankverksamhet Finansmarknadsinfrastruktur Hälso- och sjukvård Leverans och distribution av dricksvatten Digital infrastruktur
Reglerna gäller också för leverantörer av digitala tjänster Internetbaserad marknadsplats Internetbaserad sökmotor Molntjänster
Undantag Verksamhet av betydelse för Sveriges säkerhet Elektronisk kommunikation Betrodda tjänster (t.ex. elektronisk identifiering) Lex specialis (bankverksamhet, finansmarknadsinfrastruktur)
Det ställs olika krav på leverantörer av samhällsviktiga tjänster och på leverantörer av digitala tjänster
Leverantör av samhällsviktig tjänst Tillhandahåller en tjänst som viktig för att upprätthålla kritisk samhällelig eller ekonomisk verksamhet tillhandhållandet av tjänsten är beroende av nätverk och informationssystem en incident skulle medföra en betydande störning av tillhandahållandet av tjänsten (art och omfattning)
Krav på leverantörer av samhällsviktiga tjänster Vidta tekniska och organisatoriska åtgärder Systematiskt informationssäkerhetsarbete Riskanalys Rapportera incidenter med betydande inverkan på kontinuiteten i tjänsten
Leverantörer av digitala tjänster Behöver inte vara samhällsviktiga Vidta tekniska och organisatoriska åtgärder Rapportera incidenter med avsevärd inverkan på tillhandahållandet av tjänsten
Föreslagna tillsynsmyndigheter Energi Transporter Bankverksamhet Finansmarknadsinfrastruktur Hälso- och sjukvård Leverans och distribution av dricksvatten Digital infrastruktur Digitala tjänster Statens energimyndighet Transportstyrelsen Finansinspektionen Finansinspektionen Insp för vård och omsorg Livsmedelsverket Post- och telestyrelsen Post- och telestyrelsen
Tillsynmyndighetens uppgifter Utöva tillsyn över att regelverket följs digitala tjänster bara i efterhand Meddela föreskrifter Besluta om förelägganden vid vite och sanktioner (även mot myndigheter) Vägledning och stöd till leverantörerna
Myndigheten för samhällsskydd och beredskap Upprätta förteckning över samhällsviktiga tjänster Nationell kontaktpunkt CSIRT-enhet (mottagare av incidentrapporter) Ingå i samarbetsgrupp på EU-nivå Leda samarbetsforum för tillsynsmyndigheterna på nationell nivå
Incidentrapportering Incidenter som har betydande/avsevärd inverkan Utan onödigt dröjsmål Till CSIRT-enheten vid MSB Nationella kontaktpunkten/csirt-enheten (MSB) vidarerapporterar till EU MSB vidarebefordrar till berörd tillsynsmyndighet
Sanktioner Tillsynsmyndigheten beslutar Även mot myndigheter Om säkerhetsåtgärder inte vidtagits eller incidenter inte rapporterats 5 000 10 000 000 Kan jämkas eller efterges Kan överklagas
Sekretess Befintliga regler om sekretess är tillräckliga för att tillgodose skyddet för de uppgifter som kan komma att lämnas inom ramen för incidentrapporteringen.