Minimi-harmonisering med obligatoriska insatser

Minimi-harmonisering innebär – enligt artikel 5 i NIS 2-direktivet – ett minimi-direktiv där medlemsstater får anta bestämmelser som säkerställer en högre cybersäkerhetsnivå.
Artikel 5 ger alltså tolkningen att sådana bestämmelser blir obligatoriska:

Detta direktiv hindrar inte medlemsstaterna från att anta eller behålla bestämmelser som säkerställer en högre cybersäkerhetsnivå, förutsatt att sådana bestämmelser står i överensstämmelse med medlemsstaternas förpliktelser enligt unionsrätten.

Det innebär att vissa lagkrav blir obligatoriska.

Tio obligatoriska insatser
Kommuner, regioner och andra väsentliga verksamhetsutövare har en lagstadgad skyldighet att leva upp till följande tio obligatoriska insatser, enligt Artikel 21 – Riskhanteringsåtgärder för cybersäkerhet:

1. strategier för riskanalys och informationssystemens säkerhet.

2. incidenthantering.

3. driftskontinuitet, exempelvis hantering av säkerhetskopiering och katastrofhantering, och krishantering.

4. säkerhet i leveranskedjan, inbegripet säkerhetsaspekter som rör förbindelserna mellan varje entitet och dess direkta leverantörer eller tjänsteleverantörer.

5. säkerhet vid förvärv, utveckling och underhåll av nätverks- och informationssystem. inbegripet hantering av sårbarheter och sårbarhetsinformation.

6. strategier och förfaranden för att bedöma effektiviteten i riskhanteringsåtgärderna för cybersäkerhet.

7. grundläggande praxis för cyberhygien och utbildning i cybersäkerhet.

8. strategier och förfaranden för användning av kryptografi och, när så är lämpligt, kryptering.

9. personalsäkerhet, strategier för åtkomstkontroll och tillgångsförvaltning.

10. användning inom entiteten, när så är lämpligt, av lösningar för multifaktorautentisering eller kontinuerlig autentisering, säkrade röst-, video- och textkommunikationer och säkrade nödkommunikationssystem.

Regeringen eller den myndighet regeringen bestämmer får meddela föreskrifter om riskhanteringsåtgärder. 

Sårbarhetsanalys obligatorisk 
Åtgärderna ska utgå från ett allriskperspektiv och en riskanalys och vara proportionella i förhållande till risken. 

Länsstyrelsen är högsta civila totalförsvarsmyndighet inom länet och har centrala roller i det civila försvaret. De har även en etablerad relation med kommunerna när det gäller risk- och sårbarhetsanalyser. 

MSB har också en central roll i arbetet med risk- och sårbarhetsanalyser i förordningen (2022:524) om statliga myndigheters beredskap. Myndigheten har också fått en rad uppdrag i regleringsbrev att redovisa en nationell bedömning av samhällets förmågor, risker, sårbarheter samt identifierade och genomförda åtgärder avseende krisberedskapen. Myndigheten kan därför antas ha den kunskap som behövs för att bedöma vilka verksamheter som ska omfattas av regleringen oavsett storlek.

Utredningen föreslår därför att MSB ska vara den myndighet som får besluta om dessa föreskrifter. Innan föreskrifterna meddelas ska MSB ge tillsynsmyndigheterna tillfälle att yttra sig.

Allriskperspektivet
Enligt MSB innebär allriskperspektivet en generell betraktelse:
Allriskperspektivet innebär att aktörerna i möjligaste mån bör söka kostnadseffektiva sätt att minska sårbarheter inom ett brett område och skapa en god generell grund för de strukturer och rutiner som krävs för att hantera en olycka eller kris och dess konsekvenser. 

Exempelvis har äldreomsorgen i Stockholm stad 16 000 trygghetslarm. Här bör ett generellt och kostnadseffektivt sätt och åtgärdspaket väljas – snarare än att studera varje bostad var för sig. 

Av den anledningen förordar EU användandet av internationell standard.

Totalsträckskryptering obligatorisk 
EU-direktivet betonar att särskilt totalsträckskryptering bör inkluderas i lagstiftningen. 

Ett exempel på en dominerande internationell standard med totalsträckskryptering är 5G standalone networks.

Ett modernt trygghetslarm inom äldreomsorgen är numera försett med GPS-funktion för utomhusbruk. Trygghetslarm skulle således ha en totalsträckskryptering baserat på den kryptering som finns i 5G för larm utomhus. Frågan är då om svenska kommuner som vårdgivare kommer att förespråka en kompletterande kryptering inomhus, exempelvis för livevideo i punkt j) ovan. Detta ska beaktas i sårbarhetsanalysen, mot bakgrund av de högre frekvenser som lanseras i samband med introduktionen av 6G redan 2027. En möjlighet är att välja 5G och 6G även inomhus.

I en snar framtid, med ökande andel hemsjukvård och virtuella sjukhus i bostäder, blir totalsträckskryptering och andra riskhanteringsåtgärder ett delat ansvar för flera parter. Vårdgivaren har ett övergripande ansvar men i enlighet med Plan- och bygglagen (PBL) har även fastighetsägare ett ansvar.

Seminarier om ny lagstiftning
Även många bostäder i Sverige blir i en snar framtid föremål för ökad nätutbyggnad inomhus – med högre lagstadgade krav på cybersäkerhet. Den 19 mars inleds med seminariet NIS 2-teknik - Allmännyttans fastighetsbolag. Då sammanfattas det ansvar som kommuner och kommunalt ägda fastighetsbolag har när vården flyttar in i allmännyttans bostäder.

Kontakta gärna Teknikmarknad, till exempel genom att svara på detta email, för mer information om projektet 5G i byggnad, eller om du är intresserad av kommande strategimöten, seminarier eller Användarföreningen. Du anmäler dig till seminarierna på projektets seminariehemsida – www.teknikhuset.org.

Du hittar alla tidigare veckobrev på https://www.5gibyggnad.se/letters.