publisher: Myndigheten för samhällsskydd och beredskap

title: Myndigheten för samhällsskydd och beredskaps föreskrifter om anmälan och identifiering av leverantörer av samhällsviktiga tjänster

text: 1 kap. Inledande bestämmelser

text: Tillämpningsområde

text: Denna författning innehåller bestämmelser om anmälan enligt

text: 23 § lagen (2018:1174)

text: om informationssäkerhet för samhällsviktiga och digitala tjänster samt bestämmelser om identifiering av leverantörer av samhällsviktiga tjänster enligt

text: 3 § 1 st. 1 p. samma lag

text: I 3-9 kap. finns en förteckning över samhällsviktiga tjänster där en incident skulle medföra en betydande störning enligt

text: 3 § 1 st. 1 p. lagen (2018:1174)

text: om informationssäkerhet för samhällsviktiga och digitala tjänster.

text: Begreppsförklaring

text: I denna författning avses med inom 3 kap. energi systemansvarstjänst Systemansvarstjänst transmission (TSO) för gas transmission (TSO) enligt definitionen i

text: artikel 2.4 i Europaparlamentets och rådets direktiv 2009/73/EG av den 13 juli 2009

text: om gemensamma regler för den inre marknaden för naturgas.

text: MSBFS 2018:7

text: systemansvarstjänst Systemansvarstjänst distributionssystem (DSO) för gas distributionssystem (DSO) enligt definitionen i

text: artikel 2.6 i Europaparlamentets och rådets direktiv 2009/73/EG av den 13 juli 2009

text: om gemensamma regler för den inre marknaden för naturgas och om upphävande av direktiv

text: handel och leverans av naturgas Handel och leverans av naturgas enligt definitionen i

text: artikel 2.8 i Europaparlamentets och rådets direktiv 2009/73/EG av den 13 juli 2009

text: inom 4 kap. transport kringliggande installationer Hjälpmedel som  förser luftfartyg med positionsbestämning och tidsanpassad information vid inoch utflygning till flygplatsen,  används för att fastställa luftfartygs position i syfte att möjliggöra säker separering, eller  möjliggöra kommunikation i syfte att utöva flygkontrolltjänst.

text: infrastrukturförvaltning och Infrastrukturförvaltning och trafikledning järnväg trafikledning järnväg enligt

text: artikel 3.2 i Europaparlamentets och rådets direktiv 2012/34/EU av den 21 november 2012

text: om inrättande av ett gemensamt europeiskt järnvägsområde.

text: sjötrafikinformationstjänst Vessel Traffic Service (VTS), enligt definitionen i

text: artikel 3 o i Europaparlamentets och rådets direktiv 2002/59/EG av den 27 juni 2002

text: om inrättande av ett övervaknings- och informationssystem för sjötrafik i gemenskapen.

text: vägmyndigheter Vägmyndigheter enligt definitionen i artikel 2.12 i kommissionens delegerade förordning

text: av den 18 december 2014 om komplettering av

text: Europaparlamentets och rådets direktiv 2010/40/EU

text: vad gäller tillhandahållande av EU-omfattande realtidstrafikinformationstjänster.

text: Göteborgs storstadsområde Ett geografiskt område som omfattar följande kommuner: Ale, Alingsås, Göteborg Härryda, Kungsbacka, Kungälv, Lerum, Lilla Edet, Mölndal, Partille, Stenungssund, Tjörn och Öckerö.

text: Malmös storstadsområde Ett geografiskt område som omfattar följande kommuner: Burlöv, Eslöv, Höör, Kävlinge, Lomma, Lund, Malmö, Skurup, Staffanstorp, Svedala, Trelleborg och Vellinge.

text: Stockholms storstadsområde Ett geografiskt område som omfattar följande kommuner: Botkyrka, Danderyd, Ekerö, Haninge, Huddinge, Järfälla, Lidingö, Nacka, Norrtälje, Nykvarn, Nynäshamn, Salem, Sigtuna, Solna, Sollentuna, Stockholm, Sundbyberg, Södertälje, Täby, Tyresö, Vallentuna, Vaxholm, Värmdö, Upplands-Bro, Upplands Väsby och Österåker.

text: intelligenta transportsystem Intelligenta transportsystem enligt definitionen i

text: artikel 4.1 i Europaparlamentets och rådets direktiv 2010/40/EU av den 7 juli 2010

text: om ett ramverk för införande av intelligenta transportsystem på vägtransportområdet och för gränssnitt mot andra transportslag.

text: MSBFS 2018:7

text: inom 5 kap. bankverksamhet tillsynskategorisering Finansinspektionens årliga tillsynskategorisering som sker i enlighet med Europeiska bankmyndighetens riktlinjer om gemensamma förfaranden och metoder för översyns- och undersökningsprocessen.

text: inom 6 kap. finansmarknadsinfrastruktur centrala motparter Enligt definitionen i

text: artikel 2

text: punkt 1 i

text: Europaparlamentets och rådets förordning 648/2012/EU

text: om OTCderivat, centrala motparter och transaktionsregister.

text: inom 7 kap. hälso- och sjukvård hälso- och sjukvård Hälso- och sjukvård enligt direktiv

text: hälso- och sjukvårdstjänster som hälso- och sjukvårdspersonal tillhandahåller patienter i syfte att bedöma, bibehålla eller återställa deras hälsotillstånd, inbegripet förskrivning, utlämning och tillhandahållande av läkemedel och medicinska hjälpmedel.

text: vårdgivare statlig myndighet, landsting och kommun i fråga om sådan hälsooch sjukvårdsverksamhet som myndigheten, landstinget eller kommunen har ansvar för (offentlig vårdgivare) samt annan juridisk person eller enskild näringsidkare som bedriver hälso- och sjukvårdsverksamhet (privat vårdgivare)

text: inom 8 kap. distribution och leverans av dricksvatten akutsjukhus Vårdinrättning som är inrättad för sluten vård och som har särskild akutmottagning för den som behöver omedelbar hälso- och sjukvård.

text: inom 9 kap. digital infrastruktur auktoritativ namnserver Server som har den auktoritativa informationen om kopplingen mellan domännamn och ip-adress.

text: DNS-tjänst Tjänst som levereras på internet och som möjliggör att domännamn översätts till ip-adresser.

text: rekursiv namnserver Server som levererar ip-adresser som är kopplade till domännamn, antingen genom en tidigare hämtning som tillfälligt har lagrats (cache) eller genom att hämta ipadresser från den auktoritativa namnservern för domännamnet.

text: toppdomänens namnservertjänst Den tjänst som registreringsenheten för toppdomänen har, och som levererar information om domännamn som är registrerade under toppdomänen, inklusive den tillhörande databasen med registrerade domännamn och tillhörande hänvisningar till auktoritativa namnservrar och DNSSEC-nycklar.

type: kapitel

text: 2 kap. Anmälningsskyldighet

text: En leverantör av samhällsviktig tjänst ska utan dröjsmål anmäla följande till berörd tillsynsmyndighet. 1. Leverantör och berörd tjänst, inbegripet a) Namn på leverantör

text: MSBFS 2018:7

text: b) Organisationsnummer c) Kontaktuppgifter d) Berörd samhällsviktig tjänst e) Om den samhällsviktiga tjänsten tillhandahålls i två eller flera medlemsstater inom Europeiska unionen, samt i så fall vilka. 2. Anmälan av kontaktperson och ansvarig för incidentrapporteringskonton a) För- och efternamn b) E-postadress c) Mobiltelefonnummer

text: En leverantör som anmält sig som en leverantör av en samhällsviktig tjänst enligt 2 kap 1 § ska utan dröjsmål informera berörd tillsynsmyndighet om förändringar av kontaktpersoner eller om leverantören inte längre uppfyller kriterierna för att utgöra en leverantör av samhällsviktig tjänst.

text: 3 kap. Identifiering av leverantörer av samhällsviktiga tjänster inom energi

text: Med samhällsviktiga tjänster rörande el där incidenter skulle medföra en betydande störning vid tillhandahållandet av tjänsten avses 1. elöverföring som tillhandahålls av certifierat transmissionsnätsföretag enligt lagen (

text: ) om certifiering av transmissionsnätsföretag för el, 2. elöverföring i regionnät enligt definitionen i

text: 2 § 8 p.

text: Energimarknadsinspektionens föreskrifter och allmänna råd (

text: EIFS 2012:4

text: ) om redovisning av nätverksamhet, 3. eldistribution till elanvändare med styrel prioritetsklass 1–5 enligt

text: 5 § förordningen (2011:931)

text: om planering för prioritering av samhällsviktiga elanvändare, 4. elproduktion som är ansluten till stam- eller regionnät med undantag för industrimottryck eller annan elproduktion direkt ansluten till industri, eller 5. elhandel som bedrivs av den som åtagit sig balansansvar i enlighet med

text: ellagen (1997:857)

text: Med samhällsviktiga tjänster rörande olja i form av flytande petroleumbaserade och förnybara drivmedel och bränslen där incidenter skulle medföra en betydande störning vid tillhandahållandet av tjänsten avses

text: 1. tjänsterna import, export, produktion, raffinering, bearbetning eller försäljning som hanterar minst a) 500 000 ton/år för petroleumbaserade drivmedel och bränslen eller b) 50 000 ton/år för biodrivmedel och biobränslen, 2. tillhandahållande av drivmedelslager och depåer, a) med sammanlagd kapacitet på minst 100 000 m , b) med sammanlagd kapacitet på minst 20 000 m och med avgörande betydelse för regional försörjning, eller c) med sammanlagd kapacitet på minst 10 000 m för jetbränsle, eller 3. överföringstjänst i ledningar, egen överföring eller logistik för flytande drivmedel och bränslen med kapacitet för a) 500 000 ton/år, eller b) 250 000 ton/år för jetbränsle.

text: En tjänst enligt första stycket om den utförs för eget bruk inom ett industriområde omfattas inte. Depåområden där flera leverantörer har cisterner med gemensam lastningseller lossningsutrustning ska betraktas som ett drivmedelslager vid beräkning av volym.

text: Med samhällsviktiga tjänster rörande gasförsörjningen där incidenter skulle medföra en betydande störning vid tillhandahållandet av tjänsten avses 1. systemansvarstjänst för transmission (TSO), 2. systemansvarstjänst för distributionssystem (DSO), 3. handel och leverans av naturgas, eller 4. kondensering av naturgas samt hantering av kondenserad naturgas som omfattar minst 20 GWh per år.

text: 4 kap. Identifiering av leverantörer av samhällsviktiga tjänster inom transport

text: Med samhällsviktiga tjänster rörande lufttransport där incidenter skulle medföra en betydande störning vid tillhandahållandet av tjänsten avses 1. tillhandahållande av flygplatser med en passagerarfrekvens överstigande 1 000 000 passagerare per/år och dess kringliggande installationer, eller 2. flygkontrolltjänster.

text: MSBFS 2018:7

text: Med samhällsviktiga tjänster rörande järnvägstransport där incidenter skulle medföra en betydande störning vid tillhandahållandet av tjänsten avses 1. infrastrukturförvaltning eller trafikledning av järnväg, med huvudspår överstigande 200 spårkilometer, 2. persontrafik som trafikerar huvudspår där trafikarbetet årligen överstiger 1 500 000 framförda tågkilometer, eller 3. godstrafik som trafikerar huvudspår där trafikarbetet årligen överstiger 1 500 000 framförda tågkilometer.

text: Med samhällsviktiga tjänster rörande sjöfart där incidenter skulle medföra en betydande störning vid tillhandahållandet av tjänsten avses 1. tillhandahållande av hamnar a) som hanterar en godsmängd överstigande 100 000 ton per år, b) som hanterar minst 200 000 passagerare per år över en femårsperiod, eller c) som ingår i TEN-T nätverket, eller 2. sjötrafikinformationstjänst.

text: Med samhällsviktiga tjänster rörande vägtransport där incidenter skulle medföra en betydande störning vid tillhandahållandet av tjänsten avses 1. trafikstyrning och trafikledning av vägmyndigheter avseende a) TEN-T vägnät, eller b) vägnät ingående i Stockholms, Göteborgs eller Malmös storstadsområden, eller 2. intelligenta transportsystem, för tjänsterna a) larmcentraler för eCall, eller b) rikstäckande statliga databaser som innehåller uppgifter om hastighetsgräns, vägbredd, bärighet, samt rekommenderad väg för farligt gods.

text: 5 kap. Identifiering av leverantörer av samhällsviktiga tjänster inom bankverksamhet

text: Med samhällsviktiga tjänster rörande bankverksamhet där incidenter skulle medföra en betydande störning vid tillhandahållandet av tjänsten avses betaltjänster enligt 1 kap. 2 § 1–6 p. lagen (

text: ) om betaltjänster som tillhandahålls av 1. kreditinstitut enligt

text: 1 kap. 5 § 10 p. lagen (2004:297)

text: om bank- och finansieringsrörelse som enligt Finansinspektionens årliga tillsynskategorisering tillhör kategori 1 eller 2, eller

text: 2. utländska kreditinstitut som driver finansieringsrörelse i Sverige genom en filial med en balansomslutning om minst 500 miljarder kronor.

text: 6 kap. Identifiering av leverantörer av samhällsviktiga tjänster inom finansmarknadsinfrastruktur

text: Med samhällsviktiga tjänster rörande finansmarknadsinfrastruktur där incidenter skulle medföra en betydande störning vid tillhandahållandet av tjänsten avses 1. tillhandahållande av handelsplatser med en sammanlagd handelsomsättning om minst 1 miljard kr/dag, eller 2. tjänster som utförs av centrala motparter.

text: 7 kap. Identifiering av leverantörer av samhällsviktiga tjänster inom hälso- och sjukvård

text: Med samhällsviktiga tjänster rörande hälso- och sjukvård där incidenter skulle medföra en betydande störning vid tillhandahållandet av tjänsten avses 1. hälso- och sjukvård som bedrivs av en vårdgivare och som omfattas av hälso- och

text: sjukvårdslagen (2017:30)

text: tandvårdslagen (1985:125)

text: eller detaljhandel med läkemedel enligt lagen (

text: ) om handel med läkemedel, a) där antalet anställd legitimerad vårdpersonal eller på annat sätt anlitad legitimerad vårdpersonal överstiger 50 årsarbetskrafter, eller b) där minst 20 000 expedieringar av receptbelagda läkemedel utförs per år.

text: 8 kap. Identifiering av leverantörer av samhällsviktiga tjänster inom leverans och distribution av dricksvatten

text: Med samhällsviktiga tjänster avseende leverans och distribution av dricksvatten där incidenter skulle medföra en betydande störning vid tillhandahållandet av tjänsten avses 1. leveranser av dricksvatten som en huvudman enligt

text: 2 § lagen (2006:412)

text: om allmänna vattentjänster tillhandahåller a) minst 20 000 personer, eller b) akutsjukhus.

text: MSBFS 2018:7

text: 9 kap. Identifiering av leverantörer av samhällsviktiga tjänster inom digital infrastruktur

text: Med samhällsviktiga tjänster rörande digital infrastruktur där incidenter skulle medföra en betydande störning vid tillhandahållandet av tjänsten avses 1. administration och förvaltning av domännamn på internet som utförs av registreringsenheter för toppdomäner med fler än 250 000 aktiva domäner, eller 2. DNS-tjänster i form av a) en auktoritativ namnservertjänst som har fler än 25 000 aktiva domännamn anslutna, eller b) en rekursiv namnservertjänst som används av fler än 100 000 användare.

text: 1. Denna författning träder i kraft den 1 november 2018. 2. I 3 kap. 1 § 1 p. ska stamnätsföretag enligt lagen (

text: ) om certifiering av stamnätsföretag för el fram till 1 januari 2019 likställas med transmissionsnätsföretag.

text: Myndigheten för samhällsskydd och beredskap

text: DAN ELIASSON

text: Jan-Olof Olsson (Avdelningen för cybersäkerhet och skydd av samhällsviktig verksamhet)

text: MSBFS 2018:7

text: Beställningsadress: Norstedts Juridik, 106 47 Stockholm Telefon: 08-598 191 90 E-postadress: kundservice@nj.se Webbadress: www.nj.se/offentligapublikationer

type: foreskrift


fs: msbfs

title: Myndigheten för samhällsskydd och beredskaps föreskrifter om informationssäkerhet för leverantörer av samhällsviktiga tjänster

text: Denna författning innehåller bestämmelser om det systematiska och riskbaserade informationssäkerhetsarbete som leverantörer av samhällsviktiga tjänster ska bedriva enligt

text: 11 § lagen (2018:1174)

text: om informationssäkerhet för samhällsviktiga och digitala tjänster.

type: stycke

type: paragraf

text: Sådant systematiskt och riskbaserat informationssäkerhetsarbete som avses i 1 § ska även omfatta den hantering av nätverk och informationssystem som utkontrakteras till en extern aktör. Innan utkontraktering ska risker för den samhällsviktiga tjänsten identifieras och hanteras. De säkerhetsåtgärder som den externa aktören ska vidta ska regleras i avtal.

text: Uttryck i författningen

type: rubrik

text: De uttryck som definieras i

text: 2 § i lagen (2018:1174)

text: om informationssäkerhet för samhällsviktiga och digitala tjänster har samma innebörd i denna författning.

text: I denna författning avses med extern aktör Underleverantörer, inhyrda konsulter eller motsvarande.

text: Allmänna råd som ansluter till föreskrifterna finns på sid 5.

text: MSBFS 2018:8

text: informationsklassning Att genom konsekvensanalys identifiera skyddsbehovet för en viss typ av information.

text: informationssäkerhet Bevarande av konfidentialitet, riktighet och tillgänglighet hos information.

text: ledningssystem för Del av leverantörens övergripande informationssäkerhet ledningssystem, baserad på en metodik för verksamhetsrisk, som syftar till att upprätta, införa, driva, övervaka, granska, underhålla och utveckla organisationens informationssäkerhet.

text: leverantör Leverantör av samhällsviktig tjänst enligt Myndigheten för samhällsskydd och beredskaps föreskrifter (

text: MSBFS 2018:7

text: ) om anmälan och identifiering av leverantörer av samhällsviktiga tjänster.

text: Systematiskt och riskbaserat informationssäkerhetsarbete

text: Varje leverantör ska bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete med stöd av standarderna SS-EN ISO/IEC 27001:2017 och SS-EN ISO/IEC 27002:2017 om ledningssystem för informationssäkerhet eller motsvarande. Det systematiska och riskbaserade informationssäkerhetsarbetet ska utformas och samordnas utifrån organisationens behov. Det ska vara styrande avseende informationshantering i nätverk och informationssystem som används för att tillhandahålla samhällsviktiga tjänster. Arbetet ska dokumenteras.

text: En leverantör ska utifrån identifierade risker och behov 1. tydliggöra ledningens och övriga organisationens ansvar avseende informationssäkerhetsarbetet, 2. tilldela nödvändiga resurser, mandat och befogenheter för de funktioner som arbetet med informationssäkerhet kräver, samt 3. säkerställa att informationssäkerhetsarbetet regelbundet och vid behov utvärderas och anpassas. Arbetet ska dokumenteras.

text: Närmare krav på informationssäkerhetsarbetet

text: En leverantör ska upprätta en informationssäkerhetspolicy där ledningens målsättning med och inriktning för organisationens informationssäkerhetsarbete framgår. Leverantören ska också upprätta de

text: interna regler och det stöd som i övrigt krävs för organisationens informationssäkerhetsarbete.

text: En leverantör ska ha ett dokumenterat arbetssätt för sitt informationssäkerhetsarbete som stöd för att 1. klassa information med utgångspunkt i vilka konsekvenser som kan uppkomma vid brister i konfidentialitet, riktighet och tillgänglighet, 2. identifiera, analysera och värdera risker för organisationens information, nätverk och informationssystem, 3. utifrån genomförd informationsklassning och riskbedömning införa ändamålsenliga och proportionella säkerhetsåtgärder, 4. följa upp och utvärdera säkerhetsåtgärder i syfte att vid behov anpassa skyddet av informationen, samt 5. fortlöpande dokumentera vidtagna åtgärder enligt punkt 1-4.

text: En leverantör ska ha interna regler och arbetssätt som säkerställer att medarbetarna har kunskap om säker hantering av information, genom att 1. hålla relevanta interna regler och stöd för säker informationshantering kända för medarbetarna, 2. regelbundet och utifrån identifierat behov och arbetsuppgifter utveckla och upprätthålla medarbetarnas kompetens genom utbildning, informationsinsatser och övning, samt 3. följa upp och utvärdera organisationens förmåga att förmedla kunskap till medarbetarna om säker hantering av information.

text: Särskilt om nätverk och informationssystem

text: En leverantör ska ha interna regler och arbetssätt som säkerställer att samtliga nätverk och informationssystem för samhällsviktiga tjänster uppfyller identifierade behov av informationssäkerhet. Drift och förvaltning över tid, arkitektur samt sammankoppling mot andra nätverk och informationssystem ska särskilt beaktas. Arbetet ska dokumenteras.

text: En leverantör ska ha interna regler och arbetssätt för att upptäcka och vidta åtgärder för att minimera konsekvenserna av incidenter och avvikelser avseende informationshanteringen i nätverk och informationssystem som används för att tillhandahålla samhällsviktiga tjänster. Efter avslutad incidenthantering ska leverantören identifiera grundorsaker till att incidenter och avvikelser inträffat samt vidta åtgärder för att förhindra att liknande incidenter och avvikelser inträffar på nytt.

text: MSBFS 2018:8

text: Arbetet ska dokumenteras.

text: I syfte att minska effekten av en incidents negativa inverkan på den samhällsviktiga tjänsten ska en leverantör ha interna regler och arbetssätt som tydliggör hur 1. leverantören identifierar behovet av kontinuitet för den samhällsviktiga tjänsten, 2. förmågan att upprätthålla kontinuitet vid incidenter säkerställs och övas avseende information, nätverk och informationssystem, samt 3. arbetet för att minska effekterna av incidenter utvärderas och vid behov anpassas och utvecklas. Arbetet ska dokumenteras.

text: Denna författning träder i kraft den 1 november 2018.

text: DAN ELIASSON

text: Tove Wätterstam (Avdelningen för cybersäkerhet och skydd av samhällsviktig verksamhet)

text: Myndigheten för samhällsskydd och beredskaps allmänna råd om informationssäkerhet för leverantörer av samhällsviktiga tjänster

text: Följande allmänna råd kompletterar Myndigheten för samhällsskydd och beredskaps föreskrifter om leverantörer av samhällsviktiga tjänsters informationssäkerhet. Termer och uttryck som används i föreskrifterna har samma betydelse här.

text: Allmänna råd har en annan juridisk status än föreskrifter. Allmänna råd är inte tvingande. Deras funktion är att förtydliga innebörden i lag, förordning eller myndighetsföreskrifter och att ge generella rekommendationer om deras tillämpning. Allmänna råd är markerade med grå bakgrund.

text: ÅKE HOLMGREN

text: MSBFS 2018:8

text: Tillämpningsområde

text: Utkontraktering

text: I avtalet mellan leverantören och den externa aktören bör tydliggöras hur uppföljning av överenskomna säkerhetsåtgärder och det systematiska och riskbaserade informationssäkerhetsarbetet ska ske. Dessutom bör det framgå hur den externa aktören ska överlämna information till leverantören om misstänkta eller inträffade incidenter, avvikelser och sårbarheter. Krav på tillräcklig kunskap och kompetens avseende informationssäkerhet bör också framgå av avtalet. Har avtal ingåtts med extern aktör innan denna författning har trätt i kraft bör leverantören analysera hur avtalet förhåller sig till kraven i denna författning samt vidta nödvändiga säkerhetsåtgärder.

text: Användning av standarder

text: Om en leverantör valt att använda en annan standard än de som anges i 5 § i denna författning bör leverantören analysera och dokumentera de likheter och skillnader som finns mellan respektive standarder. Analysen bör ge underlag för att säkerställa att vald standard ger tillräckligt stöd i arbetet. Arbetet med informationssäkerhet bör integreras med leverantörens befintliga sätt att leda och styra sin organisation.

text: Intern ledning och styrning av informationssäkerhetsarbetet Då en leverantör identifierar organisationens behov av informationssäkerhet bör rättsliga krav, gällande avtal, samt interna regelverk som styr hur leverantören hanterar sin information beaktas. En leverantör bör ha interna regler och arbetssätt som säkerställer att medarbetare med särskilt utpekade funktioner i informationssäkerhetsarbetet har tillräcklig kunskap och kompetens om säker informationshantering för att kunna utföra sina arbetsuppgifter. En leverantör bör minst en gång per år utvärdera informationssäkerhetsarbetet, inklusive interna regler och stöd. Utvärdering bör också ske i samband med verksamhetsuppföljning, omorganisationer, förändrade rättsliga krav, förändringar rörande nätverk och informationssystem samt vid utkontraktering. Utvärderingen bör omfatta både styrningen av informationssäkerhetsarbetet och effekten av införda säkerhetsåtgärder. Utvärderingen bör ske genom interna kontroller, granskningar, interna och externa revisioner eller motsvarande. Interna regler och arbetssätt bör tydliggöra hur valet av metod för utvärdering ska ske.

text: Styrande dokument

text: Det bör framgå vilka interna regler och arbetssätt för informationssäkerhetsarbetet som är styrande respektive vägledande.

text: Systematiskt arbetssätt

text: Av interna regler och arbetssätt för informationsklassning och riskbedömning bör framgå  kriterier och nivåer som bedömningarna ska utgå från,  när i tid och i vilka situationer informationsklassning och riskbedömning ska genomföras, samt  vilken funktion som ansvarar för att informationsklassning och riskbedömning genomförs. Den konsekvensbedömning som genomförs vid informationsklassning bör ha sin utgångspunkt i riskbedömningens kriterier och nivåer. Verksamhetens behov av spårbarhet samt äkthet och ursprung (autenticitet) hos informationen bör särskilt beaktas. Vid bedömning av risker bör även hot och sårbarheter identifieras och värderas. Vid val av ändamålsenliga och proportionella säkerhetsåtgärder bör leverantören kombinera organisatoriska, fysiska och tekniska åtgärder. Den åtgärdsplan som följer av genomförd riskbedömning bör omhänderta samtliga behov av att utveckla säkerheten i nätverks- och informationssystem och tydliggöra vilken funktion som ansvarar för att valda säkerhetsåtgärder införs och utvärderas. För att underlätta informationssäkerhetsarbetet bör leverantören gruppera beslutade säkerhetsåtgärder i skyddsnivåer och koppla dem till informationsklassningens konsekvensnivåer. Förmågan att med beslutade skyddsåtgärder upprätthålla tillräckligt skydd på respektive skyddsnivå bör regelbundet utvärderas och vid behov utvecklas.

text: Kunskap och kompetens

text: Uppföljning och utvärdering av organisationens förmåga att förmedla kunskap om säker hantering av information bör genomföras minst vartannat år.

text: MSBFS 2018:8

text: Informationssäkerhet för nätverk och informationssystem

text: En leverantörs arbetssätt bör säkerställa att den tekniska utvecklingen beaktas och att tekniska hot och sårbarheter löpande identifieras och omhändertas. En leverantör bör säkerställa att det finns korrekt och tillräcklig dokumentation avseende nätverk och informationssystem. En leverantör bör upprätta separata miljöer för tester och utveckling som är skild från produktionsmiljön. Vid val av säkerhetsåtgärder i form av krypto- och it-säkerhetsprodukter, bör alltid behovet av att välja produkter som är certifierade genom tredjepartsgranskning mot lämplig standard analyseras.

text: Incidenthantering

text: Interna regler och arbetssätt bör innehålla krav på loggning i syfte att identifiera och verifiera händelser i nätverk och informationssystem. I detta ingår att säkerställa enhetlig användning av korrekt och spårbar tid för att möjliggöra jämförbarhet mellan loggar från leverantörens nätverk och informationssystem. Inträffade incidenter och avvikelser bör föranleda översyn av det systematiska och riskbaserade arbetssättet samt införda säkerhetsåtgärder. I syfte att utveckla skyddet av information, nätverk och informationssystem bör den som utsetts att leda och samordna informationssäkerhetsarbetet hos leverantören ha åtkomst till information om inträffade incidenter och avvikelser.

text: Kontinuitetshantering

text: Vid bedömning av behovet av kontinuitet i den samhällsviktiga tjänsten bör både kvantitet och kvalitet beaktas liksom avtalad utfästelse avseende leveransen. Av interna regler och arbetssätt för att uppnå kontinuitet för information, nätverk och informationssystem vid incidenter och avvikelser bör framgå  accepterad återställandetid,  hur beslut om att tillämpa alternativa arbetssätt respektive beslut om att återgå till normalt arbetssätt fattas, samt  behovet av uthållighet över tid.

text: Utvärdering av kontinuitetsarbetet bör särskilt ske efter genomförda övningar, vid organisationsförändringar inklusive utkontraktering, vid förändrade rättliga krav eller verksamhetskrav, samt om brister upptäcks i samband med att alternativa arbetssätt används.


text: 1 kap. Inledande bestämmelser

text: Tillämpningsområde

text: Denna författning innehåller bestämmelser om rapportering av incidenter för leverantörer av samhällsviktiga tjänster enligt

text: 18 § lagen (2018:1174)

text: om informationssäkerhet för samhällsviktiga och digitala tjänster inklusive vad som avses med en betydande inverkan på kontinuiteten i den samhällsviktiga tjänsten.

text: Begreppsförklaringar

text: De uttryck som förklaras i

text: 2 § lagen (2018:1174)

text: om informationssäkerhet för samhällsviktiga och digitala tjänster har samma innebörd i denna författning.

text: I denna författning avses med akutsjukhus Vårdinrättning som är inrättad för sluten vård och som har särskild akutmottagning för den som behöver omedelbar hälso- och sjukvård. extern aktör Underleverantör, inhyrda konsulter eller motsvarande.

text: Allmänna råd som ansluter till föreskrifterna finns på sid 7.

text: MSBFS 2018:9

text: hälso- och sjukvård Hälso- och sjukvård enligt Europarlamentets och

text: rådets direktiv 2011/24/EU

text: av den 9 mars om tillämpningen av patienträttigheter vid gränsöverskridande hälso- och sjukvård.

text: leverantör Leverantör av samhällsviktig tjänst enligt Myndigheten för samhällsskydd och beredskaps föreskrifter (

text: ) om anmälan och identifiering av leverantörer av samhällsviktiga tjänster.

text: systemviktiga finansiella Med systemviktiga finansiella infrastrukturföretag infrastrukturföretag avses

text:  värdepapperscentral enligt

text: 1 kap. 3 § lagen (1998:1479)

text: om värdepapperscentraler och kontoföringar av finansiella instrument,  central motpart enligt definitionen i

text: artikel 2

text: punkt 1 i

text: Europaparlamentets och rådets förordning (EU) nr 648/2012 av den 4 juli 2012

text: om OTC-derivat, centrala motparter och transaktionsregister, eller  clearingorganisation enligt 1 kap. 4b § lagen (

text: ) om värdepappersmarknaden.

text: störning i den samhällsviktiga En konsekvens av en incident som tjänsten innebär att den samhällsviktiga tjänsten inte levereras som normalt.

text: 2 kap. Rapportering

text: Rapporteringspliktig incident

text: Incidenter som orsakar störningar vilka får betydande inverkan på kontinuiteten i den samhällsviktiga tjänsten är rapporteringspliktiga enligt

text: 18 § lagen (2018:1174)

text: om informationssäkerhet för samhällsviktiga och digitala tjänster. Av kapitel 3-9 framgår vad som är betydande inverkan inom respektive sektor.

text: Hur rapportering ska ske

text: Incidenter ska rapporteras till Myndigheten för samhällsskydd och beredskap via anvisade kontaktvägar.

text: När rapportering ska ske

text: Leverantören ska 1. senast inom sex timmar från det att leverantören har identifierat att en incident är rapporteringspliktig, rapportera uppgifter enligt 4 § punkt 1-8 till Myndigheten för samhällsskydd och beredskap. 2. senast inom 24 timmar från det att leverantören har identifierat att en incident är rapporteringspliktig rapportera uppgift enligt 4 § punkt 9, samt vid behov ändra eller komplettera tidigare rapportering. 3. inom fyra veckor från det första rapporteringstillfället rapportera uppgift enligt 4 § punkt 10-11, samt vid behov ändra eller komplettera tidigare rapportering.

text: Rapportens innehåll

text: En rapport enligt 2 § ska innehålla följande information. 1. Leverantörens namn. 2. Kontaktuppgifter till utsedd kontaktperson eller kontaktfunktion för incidenten och för störningen. 3. Berörd samhällsviktig tjänst. 4. Namn och organisationsnummer till extern aktör dit informationshantering har utkontrakterats i det fall incidenten inträffat hos den externa aktören. 5. En beskrivning av inträffad incident, utifrån a) tidpunkt för när incidenten inträffade och när den upptäcktes, b) om den fortfarande pågår eller tidpunkt för när drabbade nätverk och informationssystem återgick till normaldrift, c) händelseförlopp, d) hanteringen av incidenten, samt e) typ, orsak och konsekvenser. 6. En beskrivning av störningen, utifrån a) tidpunkt för när störningen uppstod samt när och hur den upptäcktes, b) om störningen fortfarande pågår eller tidpunkt för när den upphörde alternativt förväntas upphöra, c) dess påverkan på den samhällsviktiga tjänsten, d) användare som påverkas av störningen, samt e) geografiskt område som påverkas.

text: MSBFS 2018:9

text: 7. Bedömning av konsekvenser för andra än användare av den samhällsviktiga tjänsten. 8. Bedömning av konsekvenser i andra medlemsstater inom EU. 9. Uppgift om åtgärder för att minimera konsekvenserna av incidenten. 10. Uppgift om tidigare vidtagna åtgärder för att förebygga och hantera liknande incidenter. 11. Uppgift om nya åtgärder för att förhindra att liknande incidenter inträffar på nytt.

text: Om den rapporterande leverantören inom ett år från det att rapportering har skett konstaterar att lämnade uppgifter är felaktiga ska uppgifterna korrigeras utan onödigt dröjsmål.

text: 3 kap. Rapporteringspliktiga incidenter inom energi

text: Leverantörer inom el ska rapportera incidenter som orsakat störning i den samhällsviktiga tjänsten som 1. har pågått i minst två timmar och som har påverkat a) minst 2 000 kunder, eller b) minst 50 % av kunderna, eller 2. har påverkat styrning och övervakning av transmissionsnät, regionnät eller elproduktion.

text: Leverantörer inom gasförsörjningen ska rapportera incidenter som orsakat störning i den samhällsviktiga tjänsten som 1. innebär risk för en händelse som resulterar i en avsevärd försämring av försörjningssituationen för gas, 2. kan leda till avbrott i gasförsörjningen, eller 3. har påverkat styrning och övervakning inom ramen för systemansvarstjänst.

text: Leverantörer inom olja i form av flytande drivmedel och bränslen ska rapportera incidenter som orsakat störning i den samhällsviktiga tjänsten som 1. har pågått i minst 12 timmar, eller 2. påverkar styrning och övervakning av ledning, överföring och distributionsnätverk under minst två timmar.

text: 4 kap. Rapporteringspliktiga incidenter inom transport

text: Leverantörer inom transport ska rapportera incidenter som orsakat störning i den samhällsviktiga tjänsten som 1. har pågått i minst en timme och kan antas ha påverkat a) minst 1000 användare, eller

text: b) ett sammanhängande geografiskt område om minst 10 000 km , eller 2. har pågått i minst två timmar.

text: 5 kap. Rapporteringspliktiga incidenter inom bankverksamhet

text: Leverantörer inom bankverksamhet ska rapportera incidenter som orsakat störning i den samhällsviktiga tjänsten som 1. innebär att transaktioner inte kan eller sannolikt inte kommer att kunna initieras eller behandlas för a) minst 25 % av leverantörens normala antal transaktioner, eller b) minst 25 % av leverantörens användare, eller 2. pågår sammanlagt minst tre timmar under en 24-timmars period.

text: 6 kap. Rapporteringspliktiga incidenter inom finansmarknadsinfrastruktur

text: Leverantörer inom finansmarknadsinfrastruktur ska rapportera incidenter som orsakat störning i den samhällsviktiga tjänsten som 1. innebär avvikelse från sådan konnektivitet som avses i art. 11 punkt 5 Kommissionens delegerade förordning

text: (EU) 2017/584

text: av den 14 juli 2016 om komplettering av

text: Europaparlamentets och rådets direktiv 2014/65/EU

text: avseende tekniska tillsynsstandarder som specificerar organisatoriska krav för handelsplatser, 2. påverkar väsentliga tjänster hos systemviktiga finansiella infrastrukturföretag och har pågått i minst en timme, eller 3. har pågått i minst två timmar.

text: 7 kap. Rapporteringspliktiga incidenter inom hälso- och sjukvård

text: Leverantörer inom hälso- och sjukvård ska rapportera incidenter som orsakat störning i den samhällsviktiga tjänsten som 1. innebär att anmälningsskyldighet inträder enligt

text: 3 kap. 5 § första stycket patientsäkerhetslagen (2010:659)

text: , 2. har påverkat tillhandahållandet av ambulans och ambulanssjukvård enligt

text: 7 kap. 6 § hälso- och sjukvårdslagen (2017:30)

text: , 3. innebär att sådan hälso- och sjukvård som baseras på system som insamlar, bearbetar, lagrar eller distribuerar och presenterar information inte kan tillhandahållas i minst två timmar, eller 4. har pågått i minst sex timmar.

text: MSBFS 2018:9

text: 8 kap. Rapporteringspliktiga incidenter inom leverans och distribution av dricksvatten

text: Leverantörer inom leverans och distribution av dricksvatten ska rapportera incidenter som orsakat störning i den samhällsviktiga tjänsten som 1. har pågått i minst två timmar och som a) kan antas ha påverkat minst 2 000 personer, b) har påverkat akutsjukhus, eller 2. har påverkat styrning och övervakning av tjänsten.

text: 9 kap. Rapporteringspliktiga incidenter inom digital infrastruktur

text: Leverantörer inom digital infrastruktur ska rapportera incidenter som orsakat störning i den samhällsviktiga tjänsten som innebär 1. att toppdomänens namnservertjänst har en tillgänglighet på mindre än 100 procent, 2. förlorad konfidentialitet eller riktighet i lagrade, överförda eller behandlade data i samband med tillhandahållande av en toppdomäns namnservertjänst som har berört fler än 2 500 domännamn, 3. att en rekursiv namnservertjänst har en tillgänglighet på mindre än 100 procent under en sammanhängande period som överstiger en timme, 4. förlorad konfidentialitet eller riktighet i lagrade, överförda eller behandlade data i samband med tillhandahållande av en rekursiv namnservertjänst som har berört fler än 10 000 användare, 5. att en auktoritativ namnservertjänst har en tillgänglighet på mindre än 100 procent under en sammanhängande period som överstiger två timmar, eller 6. förlorad konfidentialitet eller riktighet i lagrade, överförda eller behandlade data i samband med tillhandahållande av en auktoritativ namnservertjänst som har berört fler än 2 500 domännamn. ___________________ Denna författning träder i kraft den 1 mars 2019.

text: DAN ELIASSON

text: Carina Wetzel (Avdelningen för cybersäkerhet och skydd av samhällsviktig verksamhet)

text: Myndigheten för samhällsskydd och beredskaps allmänna råd om rapportering av incidenter för leverantörer av samhällsviktiga tjänster

text: Följande allmänna råd ansluter till Myndigheten för samhällsskydd och beredskaps föreskrifter om rapportering av incidenter för leverantörer av samhällsviktiga tjänster. Termer och uttryck som används i föreskrifterna har samma betydelse här.

text: Allmänna råd har en annan juridisk status än föreskrifter. Allmänna råd är inte tvingande. Deras funktion är att förtydliga innebörden i lag, förordning eller myndighetsföreskrifter och att ge generella rekommendationer om deras tillämpning.

text: Allmänna råd är markerade med grå bakgrund.

text: ÅKE HOLMGREN

text: MSBFS 2018:9

text: 2 kap. Rapportering

text: Hur rapportering ska ske

text: Anvisade kontaktvägar finns på www.msb.se.

text: När rapportering ska ske

text: Leverantören bör säkerställa att det finns interna regler och arbetssätt för att utan dröjsmål kunna identifiera om en incident uppfyller kriterierna i kap. 3-9 och därmed är rapporteringspliktig.

text: Rapportens innehåll

text: p 2. Kontaktuppgifter bör hållas uppdaterade och bör inkludera roll, telefonnummer och e-postadress samt uppgift om tillgänglighet.

text: p 5. e)

text: En beskrivning av konsekvenser bör göras utifrån tillgänglighet, riktighet och konfidentialitet.

text: p 11. Vid rapportering av vilka åtgärder som planeras bör sådana åtgärder som vidtas för att hantera incidentens grundorsak redovisas.

text: Även uppgifter som vid rapportering bedöms vara korrekta bör korrigeras om de senare visar sig vara felaktiga.

text: Beställningsadress: Norstedts Juridik, 106 47 Stockholm Telefon: 08-598 191 90 E-postadress: kundservice@nj.se Webbadress: www.nj.se/offentligapublikationer