title: Myndigheten för samhällsskydd och beredskaps föreskrifter om upphävande av Statens räddningsverks föreskrifter om skriftlig redogörelse för brandskyddet (SRVFS 2003:10) och allmänna råd och kommentarer om skriftlig redogörelse för brandskyddet (SRVFS 2004:4)

text: DAN ELIASSON

text: Per Karlsson Avdelningen för räddningstjänst och olycksförebyggande

text: Beställningsadress: Norstedts Juridik, 106 47 Stockholm Telefon: 08-598 191 90 E-post: kundservice@nj.se Webbadress: www.nj.se/offentligapublikationer Beställningsnummer: 19120-11

type: foreskrift


fs: msbfs

title: Myndigheten för samhällsskydd och beredskaps föreskrifter om vissa undantag för Försvarsmakten och gästande utländska militära förband vid hantering och transport av farliga ämnen

text: Dessa föreskrifter innehåller vissa undantag från tillämpningen av lagen (

text: ) om brandfarliga och explosiva varor och lagen (

text: ) om transport av farligt gods.

type: stycke

type: paragraf

text: Verksamhet som utländsk militär bedriver i Sverige undantas från tillämpningen av lagen (

text: ) om transport av farligt gods avseende transporter på land.

text: Ett undantag enligt första stycket gäller under förutsättning att verksamheten bedrivs enligt ett regeringsbeslut samt i enlighet med de internationella överenskommelser som gäller för verksamheten ifråga. Undantaget gäller vidare endast om Försvarsmakten enligt en internationell överenskommelse har rätt att kontrollera säkerheten vid hanteringen och transporterna samt om verksamheten bedrivs med minst samma säkerhet som gäller för Försvarsmaktens verksamhet.

text: 3 4 3 § Försvarsmakten undantas från tillämpningen av ADR-S och RID-S när myndigheten i direkt samband med genomförande av militära övningar transporterar farligt gods för egen eller utländsk militärs räkning. Detta undantag omfattar även transport av soldaters och sjömäns personliga utrustning och beväpning.

text: ___________________________________________________________________________ Förordningen senast ändrad 2020:87. 2 Förordningen senast ändrad 2019:92. 3 Myndigheten för samhällsskydd och beredskaps föreskrifter (

text: MSBFS 2018:5

text: ) om transport av farligt gods på väg och i terräng, eller författning som trätt i dess ställe. 4 Myndigheten för samhällsskydd och beredskaps föreskrifter (

text: MSBFS 2018:6

text: ) om transport av farligt gods på järnväg, eller författning som trätt i dess ställe.

text: ______________ Denna författning träder i kraft den 15 april 2020.

text: DAN ELIASSON

text: Joakim Agås (Avdelningen för räddningstjänst och olycksförebyggande)

text: Beställningsadress:

type: rubrik

text: Norstedts Juridik, 106 47 Stockholm Telefon: 08-598 191 90 E-post: kundservice@nj.se Webbadress: www.nj.se/offentligapublikationer


title: Föreskrift om omsorg för barn med vårdnadshavare i samhällsviktig verksamhet

text: Denna författning innehåller bestämmelser om tillämpningen av 14 § första stycket och 17 § förordningen.

text: I denna författning avses med huvudman, den kommun eller annan huvudman som ska fortsätta bedriva förskola, fritidshem eller annan pedagogisk verksamhet som föreskrivs i förordningen.

text: Bestämmelserna i 2, 3 och 4 §§ ska användas tillsammans för att avgöra, och ligga till grund för huvudmans beslut om, vilka vårdnadshavares barn som ska erbjudas omsorg av huvudmannen.

text: Vårdnadshavare som omfattas

text: Huvudmans skyldighet att erbjuda omsorg enligt 14 § förordningen omfattar den vårdnadshavare vars arbetsinsats är nödvändig för att upprätthålla de samhällsviktiga verksamheter som följer av 3 och 4 §§ i denna författning. En arbetsinsats är nödvändig om ett bortfall av denna kan antas leda till att verksamheten inte kan upprätthållas på en acceptabel nivå.

text: Omsorg enligt 14 § förordningen behöver enbart erbjudas om vårdnadshavaren inte kan ordna omsorg om barnet på annat sätt.

text: Samhällsviktig verksamhet som omfattas

text: Med samhällsviktig verksamhet enligt 17 § förordningen avses verksamhet som upprätthåller:

text: 1. Energiförsörjning a. produktion, lagring, distribution av fasta och flytande bränslen och drivmedel, b. produktion och distribution av el, c. produktion och distribution av fjärrvärme och fjärrkyla, och d. produktion, lagring och distribution av energigas.

text: 2. Finansiella tjänster a. den verksamhet som behövs för att upprätthålla den finansiella sektorns tjänster till allmänhet, företag och offentlig sektor samt för att bibehålla regelefterlevnad och finansiell stabilitet.

text: 3. Handel och industri a. handel och industri av vikt för tillverkning, grossistverksamhet, distribution och försäljning av livsmedel, läkemedel, sjukvårdsmateriel och övrig medicinsk och medicinteknisk utrustning, och b. handel och industri för tillverkning, grossistverksamhet, distribution och försäljning för varor vilken är direkt nödvändig för övrig samhällsviktig verksamhet.

text: 4. Hälso- och sjukvård samt omsorg a. all hälso- och sjukvård, omsorg, socialtjänst samt tandvård som behövs för att upprätthålla liv, hälsa och rimligt goda livsvillkor, b. hantering av avlidna och begravningar, och c. djurhälsovård för tjänstedjur.

text: 5. Information och kommunikation a. infrastruktur för elektroniska kommunikationer, b. framtagande och förmedling av nyheter och samhällsinformation, och c. posttjänster.

text: 6. Kommunalteknisk försörjning a. produktion, lagring och distributionsnät för dricksvatten, b. avledning och rening av avloppsvatten, c. insamling och hantering av avfall, och d. väghållning.

text: 7. Livsmedel a. primärproduktion av livsmedel och foder, b. berednings- och förädlingsindustri, c. kontroll av livsmedelsproduktion, och d. produktionskök kopplade till annan samhällsviktig verksamhet.

text: 8. Militärt försvar a. verksamhet som bedrivs i Försvarsmakten och andra myndigheter som hör till Försvarsdepartementet eller i Fortifikationsverket.

text: 9. Offentlig förvaltning a. riksdag och regering, b. Regeringskansliet samt myndigheterna under riksdagen, c. bevakningsansvariga myndigheter i de delar som rör krishantering, krisberedskap och totalförsvar, d. myndigheter som är nödvändiga för verksamhet enligt 3 §, e. regionernas förvaltning, f. kommunernas förvaltning, g. statlig ekonomihantering, och h. barnomsorg och utbildning inom skolväsendet.

text: 10. Skydd och säkerhet a. rättsväsendet, b. Migrationsverkets förvar, c. statlig och kommunal räddningstjänst, d. bevakningstjänster, e. värdetransporter, f. tull och gränsbevakning och g. alarmeringscentraler som betjänar räddningstjänst, polis samt hälso- och sjukvård.

text: 11. Socialförsäkringar a. den verksamhet som behövs för att upprätthålla utbetalning av pensioner, arbetslöshetsförsäkringar, socialförsäkringar och liknande förmåner och ersättningar.

text: 12. Transporter a. person- och godstrafik med samtliga transportslag (luft, sjö, järnväg och väg) som behövs för att upprätthålla övrig samhällsviktig verksamhet.

text: Till samhällsviktig verksamhet ska även räknas stödfunktioner som samhällsviktig verksamhet enligt 3 § är särskilt beroende av för att kunna upprätthållas på acceptabel nivå.

text: ______________ Denna författning träder i kraft 26 mars 2020. Myndigheten för samhällsskydd och beredskap DAN ELIASSON

text: Torkel Schlegel Avdelningen för rättsligt stöd

text: Beställningsadress:


text: Myndigheten för samhällsskydd och beredskaps författningssamling

text: Utgivare: Anna Asp, Myndigheten för samhällsskydd och beredskap Allmänna råd ISSN 2000-1886

text: Utkom från trycket den 26 mars 2020

text: Allmänna råd om omsorg för barn med vårdnadshavare i samhällsviktig verksamhet

text: beslutade den 26 mars 2020.

text: Dessa allmänna råd ansluter till MSB:s föreskrifter (

text: ) om omsorg för barn med vårdnadshavare i samhällsviktig verksamhet samt till

text: 14 § första stycket

text: 15 § tredje stycket

text: och

text: 17 §

text: förordningen (

text: ) om utbildning i vissa skolformer i skolväsendet vid spridning av viss smitta (nedan kallad förordningen).

text: Allmänna råd har en annan juridisk status än föreskrifter. Allmänna råd är inte tvingande. Deras funktion är att förtydliga innebörden i lag, förordning eller myndighetsföreskrifter och att ge generella rekommendationer om deras tillämpning.

text: I dessa råd avses med huvudman, den kommun eller annan huvudman som ska fortsätta bedriva förskola, fritidshem eller annan pedagogisk verksamhet som föreskrivs i förordningen.

text: Tillämpningen av reglerna

text: MSB:s föreskrifter om omsorg för barn med vårdnadshavare i samhällsviktig verksamhet bör tillämpas på så vis att omsorg erbjuds när det behövs för samhällets funktionalitet.

text: Bestämmelserna bör tillämpas på ett ansvars- och tillitsfullt sätt där bedömningen av vilka vårdnadshavare som omfattas av omsorgen bör utgå från verksamhetsutövarens behov av arbetskraft och vårdnadshavarens betydelse för att upprätthålla den samhällsviktiga verksamheten på en acceptabel nivå.

text: Finns det två vårdnadshavare och bara en av dem deltar i samhällsviktig verksamhet bör som utgångspunkt den andra ta hand om barnet.

text: Huvudmans beslut om rätt till omsorg enligt förordningen bör utgå från de uppgifter som lämnas av vårdnadshavaren. Intyg enligt 15 § bör endast begäras in om nödvändigt.

text: Intygets utformning och innehåll bör ställas i relation till rådande situation för att inte medföra en alltför stor belastning på vårdnadshavaren och

text: Allmänna råd

text: verksamhetsutövaren. Huvudmannen bör även beakta svårigheterna för vårdnadshavaren att få en fysisk underskrift på intyget från verksamhetsutövaren.

text: Intyg bör inte innehålla detaljerade beskrivningar av arbetsuppgifter eller kompetenser då detta kan utgöra en informationssäkerhetsrisk.

text: Ett intyg innebär inte per automatik att vårdnadshavaren har rätt till omsorg utan är underlag för huvudmans beslut om sådan. Stor vikt bör dock läggas vid verksamhetsutövarens intygande.

text: Bestämmelserna bör tillämpas med förtroende för varandras bedömningar och ömsesidig respekt mellan berörda parter.

text: Vårdnadshavare som omfattas

text: Vid verksamhetsutövarens bedömning av hur nödvändig den enskilda vårdnadshavaren är för att upprätthålla den samhällsviktiga verksamheten på en acceptabel nivå, bör hänsyn tas till hur personalberoende den berörda verksamheten är. Hänsyn bör även tas till om personen har en nyckelroll eller nyckelkompetens. Kan verksamheten under viss tid bedrivas med en mindre personalstyrka, där vårdnadshavarens arbetsinsats inte är avgörande, bör omsorg enligt förordningen inte erbjudas. Dessa bedömningar bör omprövas vid behov.

text: I bedömningen av vilka arbetsinsatser som är nödvändiga för en samhällsviktig verksamhet bör även hänsyn tas till stödfunktioner som verksamheten är särskilt beroende av för att kunna upprätthållas på en acceptabel nivå. Utövare av samhällsviktig verksamhet bör föra dialog med verksamhetsutövare som bedriver sådana stödfunktioner för att säkerställa att de kan fortsätta att bedriva sin verksamhet.

text: Samhällsviktig verksamhet som omfattas

text: Av 3 och 4 § MSB:s föreskrifter framgår vilka samhällssektorer som omfattas. Av bilagan framgår det mer i detalj vilka typer av verksamheter som bör ses som samhällsviktiga utifrån situationen med coronavirussjukdomen covid-19.

text: Camilla Asp

text: Alexandra Grundel Avdelningen för krisberedskap och civilt försvar

text: Bilaga

text: I tabellen nedan beskrivs de samhällsfunktioner som omfattas av samhällssektorerna i 17 § förordningen och som anges närmare i 3 och 4 §§ i MSB:s föreskrifter (

text: ) om omsorg för barn med vårdnadshavare i samhällsviktig verksamhet. I tabellen ges också exempel på verksamheter som upprätthåller dessa viktiga samhällsfunktioner. Tabellen ska vara vägledande i huvudmans bedömning om vilka vårdnadshavare som är berättigade till barnomsorg enligt förordningen.

text: Tabellen omfattar funktioner och exempel på verksamheter som bör anses som särskilt viktiga i hanteringen av utbrottet av coronavirussjukdomen covid-19. Den är inte uttömmande för vilken verksamhet som alltid måste skyddas eller upprätthållas vid alla givna situationer.

text: De samhällsviktiga verksamheter som anges i tabellen utgör endast exempel på verksamheter under varje funktion, och är alltså inte uttömmande. Huvudmannen är fri att besluta om omsorg för barn till vårdnadshavare som deltar i verksamheter som inte finns med i tabellen men som bedöms vara samhällsviktiga utifrån förordningen och föreskriften.

text: Förändringar i tabellen kan komma att ske. Det kan bli aktuellt att ytterligare begränsa eller utöka de exempel på samhällsviktiga verksamheter som anges i denna bilaga.

text: Samhällssektor Exempel på samhällsviktig verksamhet

text: 1. Energiförsörjning: Exempelvis: a) produktion, lagring, distribution  styrning och övervakning av fasta och flytande bränslen och  drift och felavhjälpande underhåll drivmedel,  lager och depåer b) produktion och distribution av el,  drivmedelsförsäljning. c) produktion och distribution av fjärrvärme och fjärrkyla, och d) produktion, lagring och distribution av energigas.

text: 2. Finansiella tjänster: Exempelvis: a) den verksamhet som behövs för  finansiell infrastruktur för betalningar att upprätthålla den finansiella värdepappersmarknad samt central motpartsclearing. sektorns tjänster till allmänhet,  riksbanken system för stora betalningar. företag och offentlig sektor samt  banker, betaltjänstleverantörer och för att bibehålla regelefterlevnad tredjepartsleverantörer. och finansiell stabilitet.  elektroniska betalningar  banker och kreditmarknadsbolag  fondbolag och allmänna pensionsfonder  aktie- och penningmarknad, valuta, derivat.

text: Allmänna råd

text:  Sak-, liv-, pension-, kredit-, åter- och transportförsäkring, avseende skadereglering och utbetalningar. 3. Handel och industri: Exempelvis: a) handel och industri av vikt för  konstruktion, tillverkning, montage som är nödvändig tillverkning, grossistverksamhet, för annan samhällsviktig verksamhet distribution och försäljning av  handel med varor vilka är direkt nödvändiga för annan livsmedel, läkemedel, samhällsviktig verksamhet sjukvårdsmateriel och övrig medicinsk och medicinteknisk utrustning, och b) handel och industri för tillverkning, grossistverksamhet, distribution och försäljning för varor vilken är direkt nödvändig för övrig samhällsviktig verksamhet.

text: 4. Hälso- och sjukvård samt omsorg: Exempelvis: a) all hälso- och sjukvård, omsorg,  offentligt finansierad hälso- och sjukvård socialtjänst samt tandvård som  kommunal hälso- och sjukvård behövs för att upprätthålla liv,  verksamhet enligt

text: socialtjänstlagen (2001:453)

text: , lagen hälsa och rimligt goda livsvillkor, (

text: ) om stöd och service till vissa b) hantering av avlidna och funktionshindrade, lagen (

text: ) med särskilda begravningar, och bestämmelser om vård av unga och lagen (

text: ) c) djurhälsovård för tjänstedjur om vård av missbrukare i vissa fall  tandvård  sjukvårdsupplysning (1177, giftinformationscentral och läkemedelsupplysning)  laboratorier (inkl. tillverkning av reagenser)  smittskydd (för djur och människor (zoonoser), epidemiologisk övervakning, smittspårning, samordning, information och utbildning)  läkemedelsförsörjning (tillverkning/beredning och inspektion, import, grossistlager, leverans, apotek, recepthantering, licensgivning, dosdispensering, biverkningsrapportering, batchrelease – frisläppning av läkemedel, leverantörer)  blod och blodkomponenter  sjukvårdsmateriel (tillverkning/import, leverans, beredning, godkännande och inspektion av medicinsktekniska produkter inklusive kontroll och grossistlager)  POSOM verksamhet  bårhus, begravningslokaler, krematorier 5. information och kommunikation: Exempelvis: a) infrastruktur för elektroniska  transmissionsnät kommunikationer, framtagande 1. nät och tjänsteövervakning/-styrning, och förmedling av nyheter och incidenthantering samhällsinformation, och 2. felanmälan och felavhjälpning b) posttjänster. 3. skydd mot fysiska och logiska intrång

text: Allmänna råd

text: 4. förmedla lägesinformation 5. utföra uppgraderingar  accessnät, 1. nät- och tjänsteövervakning/-styrning 2. upprätthållande av viss incidenthantering och felavhjälpning  DNS- och namnserver tjänster (styrning/övervakning)  felanmälan och felavhjälpning  GNSS, allmänt tillgänglig utrustning för tid och takt  styrning/övervakning  datacenter som innehåller grunddata, befolkningsdata eller övriga data väsentliga för annan samhällsviktig verksamhet  journalistisk- och redaktionell verksamhet avseende nyheter, granskande och samhällsinformation inkluderat tekniskt stöd och drift av intern infrastruktur  insamling, sortering och utdelning av brev och paket 6. Kommunalteknisk försörjning: Exempelvis: a) produktion, lagring och  drift och underhåll distributionsnät för dricksvatten,  styrning/övervakning b) avledning och rening av  provtagning avloppsvatten,  insamling av avfall c) insamling och hantering av avfall,  akut underhåll/ felavhjälpning och  snöröjning d) väghållning.

text: 7. Livsmedel: Exempelvis: a) primärproduktion av livsmedel  animalieproduktion, inklusive primärproduktion och foder, 1. foderframställning b) berednings- och 2. avelsverksamhet förädlingsindustri, 3. insatsvaror, dricksvattenförsörjning c) kontroll av livsmedelsproduktion, 4. krisledningsfunktioner, operativa och ledningscentraler d) produktionskök kopplade till 5. teknisk service annan samhällsviktig verksamhet. 6. avfallshantering 7. destruktionskapacitet

text:  växtodling, inklusive primärproduktion 1. krisledningsfunktion 2. teknisk service, avfallshantering, växtrådgivning och laboratorier 3. diagnostik och analys av farliga ämnen och destruktionsanläggningar

text:  slakterier, mejerier, kvarnar, bagerier m.m.  import av livsmedel, råvaror, ingredienser, insatsvaror etc.  framställning av rå- och insatsvaror  laborativ analysverksamhet

text: Allmänna råd

text:  kontrollmyndigheter och offentlig livsmedelskontrollverksamhet i samband med slakt, styckningsverksamhet och gränskontroll samt kommunernas arbete med RASFF och utbrottshantering  storkök, som tillhandahåller mat till annan samhällsviktig verksamhet  grossistverksamhet, distributionscentraler för livsmedel  livsmedelshandel 8. Militärt försvar: a) verksamhet som bedrivs i Försvarsmakten och andra myndigheter som hör till Försvarsdepartementet eller i Fortifikationsverket

text: 9. Offentlig förvaltning: Exempelvis: a) riksdag och regering,  Regeringskansliet och myndigheterna under riksdagen b) Regeringskansliet samt  den verksamhet inklusive ledning och administrativt myndigheterna under riksdagen, stöd som krävs för att kunna fortsätta bedriva sin c) bevakningsansvariga myndigheter samhällsviktiga verksamhet. i de delar som rör krishantering,  hos bevakningsansvariga myndigheter: krisberedskap och totalförsvar, 1. intern styrning (kris- och krigsledningsd) Myndigheter som är nödvändiga organisation), för att upprätthålla funktionerna i 2. aktörsgemensam samverkan, kommunikation, 3 §, operativ verksamhet och e) regionernas förvaltning, 3. andra specifika uppgifter som tilldelats f) kommunernas förvaltning, myndighet som är av betydelse för krisberedskap g) statlig ekonomihantering, och och krishantering h) barnomsorg och utbildning inom  länsstyrelsernas förvaltning skolväsendet 1. intern styrning (kris- och krigsledningsorganisation) 2. aktörsgemensam samverkan, kommunikation 3. uppgifter enligt förordningen (

text: ) om länsstyrelsernas krisberedskap och uppgifter, förordningen (

text: ) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap samt förordningen (

text: ) om totalförsvar och höjd beredskap.  kommunernas och regionernas förvaltning, den verksamhet, inklusive ledning och administrativt stöd, som krävs för att kommunen/regionen ska kunna fortsätta bedriva sin samhällsviktiga verksamhet  statlig ekonomihantering, löneutbetalningar och fakturahantering  skola och annan pedagogisk verksamhet 10. Skydd och säkerhet: Exempelvis: a) rättsväsendet,  polis b) migrationsverkets förvar,  åklagare  domstolar

text: Allmänna råd

text: c) statlig och kommunal  kriminalvård räddningstjänst,  kustbevakning d) bevakningstjänster,  offentliga försvarare, offentliga biträden och e) värdetransporter, målsägarbiträden i mål med tvingande tidsfrister f) tull och gränsbevakning, och  alarmeringscentraler som betjänar räddningstjänst, g) alarmeringscentraler som betjänar polis, omsorg och- eller hälso- och sjukvård räddningstjänst, polis samt hälso-  bevakningstjänster avseende skyddsvakter, väktare, och sjukvård. ordningsvakter  kommunal räddningstjänst inklusive deltidsanställda  sjöräddning, flygräddning, och övrig statlig räddningstjänst. 11. Socialförsäkringar: Exempelvis: a) den verksamhet som behövs för  administration och utbetalning av sjukförsäkring, att upprätthålla utbetalning av förälörsäkring, försörjningsstöd, lönegaranti, pensioner, studiemedel arbetslöshetsförsäkringar, socialförsäkringar och liknande förmåner och ersättningar.

text: 12. Transporter: Exempelvis: a) person- och godstrafik med  statlig och kommunal infrastruktur samtliga transportslag (luft, sjö,  trafikledning, sjötrafikinformationstjänst, lotsning, järnväg och väg) som behövs för isbrytning, underhåll, farledsservice att upprätthålla övrig  kollektivtrafikens fordon, förare, uppställning/ samhällsviktig verksamhet. uppläggningsplats, trafikledning etc.  särskilda persontransporter, färdtjänst, riksfärdtjänst, sjukresor och skolskjuts Stödfunktioner till ovanstående samhällsviktiga relevanta stödfunktioner som samhällsviktig verksamhet är verksamheter. särskilt beroende av för att kunna upprätthållas på en acceptabel nivå.

text: Exempelvis:  ledningsfunktioner,  IT-support,  kommunikation,  fastighets och lokalservice,  lokalvård,  varuförsörjning av kritiska varor och materiel,  måltidstjänster,  tvätt av skyddskläder,  säkerhetsfunktioner,  tillstånds- och tillsynsverksamhet.

text: Beställningsadress:

text: Norstedts Juridik, 106 47 Stockholm Telefon: 08-598 191 90 E-post: kundservice@nj.se Webbadress: www.nj.se/offentligapublikationer


title: Myndigheten för samhällsskydd och beredskaps föreskrifter om ändring av Myndigheten för samhällsskydd och beredskaps föreskrifter (MSBFS 2015:9) om säkerhetsrådgivare för transport av farligt gods

text: Myndigheten för samhällsskydd och beredskap får besluta om undantag från 8 § och förlänga giltighetstiden för intyg för säkerhetsrådgivare för transport av farligt gods till sjöss och i luft om det på grund av extraordinära händelser i samhället inte är möjligt att genomföra examination enligt villkoren i 7 §. ______________

text: ___________________________________________________________________________ Förordningen senast ändrad 2019:92.

text: Denna författning träder i kraft den 1 juli 2020.

text: DAN ELIASSON

text: Joakim Agås Avdelningen för räddningstjänst och olycksförebyggande

text: Beställningsadress:

text: Norstedts Juridik, 106 47 Stockholm Telefon: 08-598 191 90 E-post: kundservice@nj.se Webbadress: www.nj.se/offentligapublikationer Beställningsnummer: 19120-05


text: 1 kap.

text: ISSN 2000-1886 Utkom från trycket den 11 september 2020

text: Myndigheten för samhällsskydd och beredskaps föreskrifter om informationssäkerhet för statliga myndigheter;

text: beslutade den 1 september 2020.

text: Myndigheten för samhällsskydd och beredskap föreskriver följande med stöd av

text: 21 § förordningen (2015:1052)

text: om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap och beslutar följande allmänna råd .

text: Tillämpningsområde

text: Dessa föreskrifter innehåller bestämmelser om sådana säkerhetskrav som avses i

text: 19 § förordningen (2015:1052)

text: om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap.

text: Om en annan författning innehåller en bestämmelse som ställer högre krav än kraven i dessa föreskrifter tillämpas den bestämmelsen.

text: Begreppsförklaring

text: I dessa föreskrifter avses med behandling En åtgärd eller kombination av åtgärder beträffande information, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring.

text: ___________________________________________________________________________ Förordningen senast ändrad genom SFS 2020:25. 2 Allmänna råd har en annan juridisk status än föreskrifter. De är inte tvingande. Deras funktion är att förtydliga innebörden i lag, förordning och föreskrifter och att ge generella rekommendationer om deras tillämpning.

text: gapanalys Identifiering av skillnaden mellan införda säkerhetsåtgärder och identifierat behov av säkerhetsåtgärder.

text: informationssäkerhet Bevarande av konfidentialitet, riktighet och tillgänglighet hos information.

text: ledningssystem för Del av myndighetens övergripande informationssäkerhet ledningssystem, baserat på en metodik för verksamhetsrisk, som syftar till att upprätta, införa, driva, övervaka, granska, underhålla och utveckla organisationens informationssäkerhet.

text: Systematiskt och riskbaserat informationssäkerhetsarbete

text: Myndigheten ska bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete med stöd av standarderna SS-EN ISO/IEC 27001:2017 Informationsteknik - Säkerhetstekniker - Ledningssystem för informationssäkerhet - Krav och SS-EN ISO/IEC 27002:2017

text: Informationsteknik - Säkerhetstekniker - Riktlinjer för

text: informationssäkerhetsåtgärder eller motsvarande.

text: Allmänna råd

text: Om myndigheten väljer att använda en annan standard bör myndigheten analysera och dokumentera de likheter och skillnader som finns mellan ISO-standarden och vald standard för att säkerställa att vald standard ger tillräckligt stöd i det systematiska och riskbaserade informationssäkerhetsarbetet.

text: Hur informationssäkerhetsarbetet ska utformas

text: Informationssäkerhetsarbetet ska utformas utifrån de risker och behov myndigheten identifierar. Det ska omfatta all behandling av information som myndigheten ansvarar för och integreras med myndighetens befintliga sätt att leda och styra sin organisation.

text: När myndigheten utformar informationssäkerhetsarbetet ska den 1. säkerställa att det finns en informationssäkerhetspolicy där ledningens målsättning med och inriktning för informationssäkerhetsarbetet framgår, 2. tydliggöra myndighetsledningens och den övriga organisationens ansvar, inklusive den eller de som utses att leda och samordna informationssäkerhetsarbetet, och ge dessa befattningar de befogenheter som behövs, 3. säkerställa att informationssäkerhetsarbetet tilldelas nödvändiga resurser, 4. upprätta de interna regler, arbetssätt och stöd som behövs, och 5. säkerställa att innehållet i myndighetens interna regler, arbetssätt och stöd utvärderas samt vid behov anpassas.

text: Utformningen av informationssäkerhetsarbetet ska dokumenteras.

text: Allmänna råd

text: Myndigheten bör tydliggöra vilka befattningar som är ansvariga för att säkerställa att information skyddas på avsett sätt (informationsägare). Den eller de som utses att leda och samordna informationssäkerhetsarbetet bör ges en oberoende, kravställande och granskande roll. Myndigheten bör utvärdera hur interna regler, arbetssätt och stöd svarar mot identifierade risker och behov. Utvärdering bör ske regelbundet och vid behov, såsom i samband med verksamhetsuppföljning, omorganisation, förändrade rättsliga krav och inför beslut att låta myndighetens information behandlas av en annan statlig myndighet eller en extern aktör. Utvärderingen bör ske genom interna kontroller, granskningar, interna och externa revisioner eller motsvarande. Interna regler och arbetssätt bör tydliggöra hur och när utvärdering ska ske.

text: Hur informationssäkerhetsarbetet ska bedrivas

text: Myndigheten ska säkerställa att informationssäkerhetsarbetet är systematiskt och riskbaserat genom att 1. klassa sin information avseende konfidentialitet, riktighet och tillgänglighet i olika nivåer utifrån vilka konsekvenser ett bristande skydd kan få (informationsklassning), 2. identifiera, analysera och värdera risker för sin information (riskbedömning), 3. utifrån genomförd informationsklassning och riskbedömning identifiera behov av och införa ändamålsenliga och proportionella säkerhetsåtgärder, och 4. utvärdera säkerhetsåtgärderna och vid behov anpassa skyddet av informationen. I arbetet ingår att genomföra en gapanalys.

text: Informationssäkerhetsarbetet och införda säkerhetsåtgärder ska dokumenteras.

text: Allmänna råd

text: Myndigheten bör som stöd för arbetet med informationsklassning och riskbedömning fastställa 1. vilka befattningar som ansvarar för att informationsklassning och riskbedömning genomförs, 2. när och i vilka situationer informationsklassning och riskbedömning ska genomföras, och 3. kriterier och nivåer för bedömning av konsekvens. Myndigheten bör använda samma kriterier och nivåer för bedömning av konsekvens vid informationsklassning och riskbedömning. Kriterierna och nivåerna bör utformas så att bedömningarna ger resultat som kan jämföras över tid. Myndighetens behov av spårbarhet samt autenticitet hos informationen liksom informationens behov av bevarande över tid bör beaktas vid informationsklassning. Myndigheten bör bedöma vilka risker det medför när information som myndigheten ansvarar för ackumuleras eller aggregeras. Vid val av ändamålsenliga och proportionella säkerhetsåtgärder bör myndigheten kombinera organisatoriska, administrativa, fysiska och tekniska åtgärder. För att underlätta informationssäkerhetsarbetet bör myndigheten gruppera beslutade säkerhetsåtgärder i skyddsnivåer och koppla dem till informationsklassningens konsekvensnivåer. Förmågan att med beslutade skyddsåtgärder upprätthålla tillräckligt skydd på respektive skyddsnivå bör regelbundet utvärderas och vid behov utvecklas och anpassas.

text: När annan statlig myndighet eller en extern aktör behandlar myndighetens information

text: I de fall myndigheten överlåter åt en annan statlig myndighet att fullgöra uppgifter som regleras i dessa föreskrifter ska myndigheterna komma överens om och dokumentera vad respektive myndighet ansvarar för samt hantera de risker överlåtelsen innebär.

text: Myndighetens ansvar för att klassa sin information enligt 6 § p.1 kan inte överlåtas.

text: Myndigheten ska, innan den låter en extern aktör behandla information, utifrån informationsklassning och riskbedömning, hantera de risker en sådan behandling innebär. Myndigheten ska i avtal ställa krav på vilka säkerhetsåtgärder den externa aktören ska vidta och hur myndigheten följer upp dessa krav.

text: Allmänna råd

text: Avtalet mellan myndigheten och den externa aktören bör reglera 1. att den externa aktören ska ha tillräcklig kompetens avseende informationssäkerhet, 2. hur den externa aktören ska överlämna information till myndigheten om misstänkta eller inträffade incidenter, avvikelser och sårbarheter, 3. hur den externa aktören ska följa upp sitt egna och eventuella underleverantörers systematiska och riskbaserade informationssäkerhetsarbete, och 4. hur myndighetens information ska återlämnas när avtalet upphör.

text: Säkerhetsåtgärder avseende behandling av information

text: Åtgärder för att säkerställa att personal behandlar information på ett säkert sätt

text: Myndigheten ska 1. anpassa bakgrundskontroller av egen och inhyrd personal utifrån vilken information personalen ska få åtkomst till, 2. hålla egen och inhyrd personal informerad om relevanta interna regler, arbetssätt och stöd, 3. utvärdera att interna regler, arbetssätt och stöd används på avsett sätt, 4. säkerställa att egen och inhyrd personal med utpekade roller i informationssäkerhetsarbetet har tillräcklig kompetens för att kunna utföra sina arbetsuppgifter, och 5. utveckla och upprätthålla kompetens hos egen personal avseende informationssäkerhet genom utbildning, informationsinsatser och övning.

text: Allmänna råd

text: Bakgrundskontroller bör ske genom intervju, kontakt med referenser samt verifiering av akademiska, yrkesmässiga och övriga kvalifikationer.

text: Åtgärder för att försvåra obehörig tillgång till information i myndighetens lokaler

text: Myndigheten ska identifiera och hantera behovet av 1. skalskydd och tillträdesbegränsning för sina lokaler, 2. tekniska system för att larma vid obehörigt tillträde till sina lokaler, och 3. att dela in sina lokaler i fysiskt separerade zoner.

text: Åtgärder för att hantera incidenter och avvikelser

text: Myndigheten ska ha förmåga att 1. skyndsamt upptäcka och bedöma incidenter och avvikelser, 2. återställa manipulerad eller förlorad information, och 3. bedöma om inträffad incident ska rapporteras externt.

text: Om en incident eller avvikelse inträffat ska myndigheten identifiera grundorsaker till incidenten eller avvikelsen och vidta åtgärder för att motverka att liknande incidenter och avvikelser inträffar på nytt.

text: Allmänna råd

text: Inträffade incidenter och avvikelser bör föranleda översyn av det systematiska och riskbaserade informationssäkerhetsarbetet inklusive införda säkerhetsåtgärder. I syfte att utveckla skyddet av information bör den eller de som utsetts att leda och samordna informationssäkerhetsarbetet hos myndigheten ha åtkomst till information om inträffade incidenter och avvikelser.

text: Åtgärder för att upprätthålla kontinuitet under incidenter och kriser

text: Myndigheten ska, 1. identifiera och hantera behovet av kontinuitet för behandling av information, och 2. öva förmåga att upprätthålla identifierat behov av kontinuitet.

text: Allmänna råd

text: Myndigheten bör i sitt kontinuitetsarbete 1. omhänderta tillgänglighetskraven från genomförd informationsklassning, 2. identifiera myndighetens behov av uthållighet över tid, 3. beakta behovet av att tillämpa alternativa arbetssätt, och 4. tydliggöra hur beslut om att tillämpa alternativa arbetssätt respektive beslut om att återgå till normal verksamhet fattas. Kontinuitetsarbetet bör utvärderas 1. efter genomförda övningar, 2. vid organisationsförändringar, 3. när information överlämnas till annan statlig myndighet eller extern aktör, 4. vid förändring av rättslig reglering eller verksamhetskrav, och 5. om brister upptäcks i samband med att alternativa arbetssätt används.

text: Uppföljning av informationssäkerhetsarbetet

text: Myndigheten ska minst en gång per år följa upp att informationssäkerhetsarbetet svarar mot myndighetsledningens målsättning och inriktning, genom att sammanställa och analysera resultatet av genomförda 1. utvärderingar av interna regler, arbetssätt och stöd enligt 5 § p. 5, 2. informationsklassningar enligt 6 § p. 1, 3. riskbedömningar enligt 6 § p. 2, 4. utvärderingar av säkerhetsåtgärder enligt 6 § p. 4, och 5. utvärderingar av att interna regler, arbetssätt och stöd används på avsett sätt enligt 9 § p. 3.

text: Allmänna råd

text: Uppföljningen av myndighetens informationssäkerhetsarbete bör hållas samman av den eller de som utsetts att leda och samordna informationssäkerhetsarbetet vid myndigheten.

text: Myndighetsledningen ska informera sig om 1. i vilken utsträckning införda säkerhetsåtgärder motsvarar myndighetens behov, 2. allvarliga risker som inte åtgärdats, och 3. övriga hinder för att uppnå ledningens målsättning med och inriktning för informationssäkerhetsarbetet. Allmänna råd Bedömningen av övriga hinder bör inkludera brister avseende tilldelning av ansvar, resurser, mandat och befogenheter samt brister avseende interna regler och arbetssätt.

text: Undantag

text: Myndigheten för samhällsskydd och beredskap får i enskilda fall och om det finns särskilda skäl medge undantag från tillämpningen av dessa föreskrifter.

text: Ikraftträdande och övergångsbestämmelser

text: Dessa föreskrifter träder i kraft den 1 oktober 2020 då Myndigheten för samhällsskydd och beredskaps föreskrifter och allmänna råd (

text: MSBFS 2016:1

text: ) om statliga myndigheters informationssäkerhet upphör att gälla.

text: Åtgärder enligt 10 § ska vara införda senast den 1 oktober 2021.

text: DAN ELIASSON

text: Helena Andersson (Avdelningen för cybersäkerhet och säker kommunikation)

text: Beställningsadress:

text: Norstedts Juridik, 106 47 Stockholm Telefon: 08-598 191 90 E-post: kundservice@nj.se Webbadress: www.nj.se/offentligapublikationer Beställningsnummer: 19120-06

type: kapitel


publisher: Myndigheten för samhällsskydd och beredskap

title: Myndigheten för samhällsskydd och beredskaps föreskrifter om säkerhetsåtgärder i informationssystem för statliga myndigheter

text: Dessa föreskrifter innehåller bestämmelser om sådana säkerhetskrav som avses i

text: 19 § förordningen (2015:1052)

text: om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap.

text: Om en annan författning innehåller en bestämmelse som ställer högre krav än kraven i dessa föreskrifter tillämpas den bestämmelsen.

text: Begreppsförklaring

text: I dessa föreskrifter avses med extern aktör Leverantör som inte omfattas av dessa föreskrifter, inhyrd personal eller motsvarande. informationssystem Applikationer, tjänster eller andra komponenter som hanterar information. I begreppet ingår också nätverk och infrastruktur.

text: ___________________________________________________________________________ Förordningen senast ändrad genom SFS 2020:25. 2 Allmänna råd har en annan juridisk status än föreskrifter. De är inte tvingande. Deras funktion är att förtydliga innebörden i lag, förordning och föreskrifter och att ge generella rekommendationer om deras tillämpning.

text: it-miljö Den samlade mängden informationssystem som används för att behandla information som myndigheten ansvarar för.

text: produktionsmiljö Den del av it-miljön som myndigheten använder för att utföra sitt uppdrag.

text: redundant funktion Två eller flera, identiska eller olika, funktioner som oberoende av varandra uppfyller samma syfte.

text: systemadministrativ Behörighet med priviligierade rättigheter som behörighet ger möjlighet att förändra grundläggande funktioner och säkerhetsfunktioner i ett informationssystem.

text: säkerhetsfunktion Funktion som svarar för viss del av säkerheten såsom behörighetskontrollsystem, säkerhetsloggning, intrångsdetektering, intrångsskydd eller skydd mot skadlig kod.

text: säkerhetsloggning Elektronisk registrering av säkerhetsrelaterade händelser.

text: Grundläggande bestämmelser

text: Ansvar

text: Myndigheten ska, för varje informationssystem, tydliggöra vilken befattning som ansvarar för att införa, förvalta, följa upp och utvärdera säkerhetsåtgärder (systemägare).

text: Omvärldsbevakning och riskbedömning

text: Myndigheten ska bedriva omvärldsbevakning för att underlätta identifiering och hantering av hot mot och sårbarheter i myndighetens informationssystem.

text: Myndigheten ska genomföra riskbedömning för enskilda informationssystem och myndighetens produktionsmiljö i sin helhet.

text: Allmänna råd Riskbedömningar bör även genomföras för myndighetens utvecklings-, testrespektive utbildningsmiljö. Myndigheten bör överväga att ge systemägaren för berört informationssystem i uppgift att säkerställa att riskbedömning genomförs.

text: Dokumentation av it-miljön

text: Myndigheten ska upprätthålla uppdaterad dokumentation över 1. hård- och mjukvara som används i varje enskilt informationssystem, 2. beroenden mellan olika interna informationssystem respektive beroenden av informationssystem hos externa aktörer, 3. vilka informationssystem som behandlar information som har behov av utökat skydd, och 4. vilka informationssystem som är centrala för myndighetens förmåga att utföra sitt uppdrag.

text: Allmänna råd

text: Tekniskt stöd bör användas för att upprätthålla uppdaterad dokumentation. Beroenden bör tydliggöras i en systemkarta eller motsvarande. Information som är i behov av utökat skydd bör identifieras med stöd av informationsklassning enligt 6 §

text: MSBFS 2020:6

text: Utveckling, anskaffning och utkontraktering

text: Kravställning och kontroll

text: Myndigheten ska, vid utveckling, anskaffning eller utkontraktering av informationssystem, identifiera krav på säkerhet avseende 1. uppdelning i nätverkssegment, 2. filtrering av nätverkstrafik, 3. behörigheter, digitala identiteter och autentisering, 4. kryptering, 5. säkerhetskonfigurering, 6. säkerhetstester och granskningar, 7. ändringshantering, uppgradering och uppdatering, 8. robust och korrekt tid, 9. säkerhetskopiering, 10. säkerhetsloggning och tillhörande analys, 11. övervakning av nätverkstrafik, 12. övervakning av informationssystem inklusive säkerhetsfunktioner, 13. skydd mot skadlig kod, 14. skydd av utrustning, 15. redundans och återställning, 16. kontinuitet under fredstida krissituation samt inför och vid höjd beredskap, 17. arkivering, och 18. avveckling.

text: Myndigheten ska dokumentera vilka säkerhetsåtgärder som valts för att möta respektive krav.

text: Allmänna råd

text: Vid anskaffning av informationssystem bör myndigheten överväga att välja produkter som är certifierade genom tredjepartsgranskning mot etablerad standard.

text: Myndigheten ska, innan driftsättning och inför förändring som kan påverka säkerheten i informationssystemen, 1. genom säkerhetstester och granskning kontrollera att valda säkerhetsåtgärder är tillräckliga för att möta identifierade krav på säkerhet, och 2. verifiera att det finns nödvändig dokumentation för drift och förvaltning.

text: I de fall brister identifieras ska myndigheten riskbedöma och hantera dessa brister innan driftsättning eller inför förändring som kan påverka säkerheten i informationssystemen.

text: Allmänna råd

text: Nödvändig dokumentation för drift och förvaltning bör omfatta arkitektur, ingående komponenter, konfiguration, dataflöden och övrig relevant systeminformation. Av dokumentationen bör även framgå vem som är systemägare samt om och till vilken extern aktör informationssystemet är utkontrakterat.

text: Utvecklings-, test- och utbildningsmiljöer

text: Myndighetens arbete med utveckling och tester som kan påverka informationssäkerheten i produktionsmiljön ska ske i en från produktionsmiljön avskild del av it-miljön.

text: Myndigheten ska identifiera och hantera behovet av en utbildningsmiljö som är avskild från produktionsmiljön.

text: Drift och förvaltning

text: Uppdelning i nätverkssegment och filtrering av nätverkstrafik

text: Myndigheten ska förhindra spridning av incidenter och minska konsekvenser av angrepp genom att placera informationssystem med olika funktioner i separata nätverkssegment i sin produktionsmiljö.

text: Allmänna råd

text: Följande funktioner i produktionsmiljön bör placeras i separata nätverkssegment: 1. Klienter för användare. 2. Klienter för administration. 3. Servrar. 4. Centrala systemsäkerhetsfunktioner i form av behörighetskontrollsystem, säkerhetsloggning, filtrering och liknande. 5. Centrala stödfunktioner i form av skrivare, scanner och liknande. 6. Trådlösa nätverk. 7. Gästnätverk. 8. Externt åtkomliga tjänster. 9. Informationssystem som sammankopplas med informationssystem hos extern aktör. 10. Industriella informations- och styrsystem. 11. System som innehåller sårbarheter som inte kan hanteras.

text: Myndigheten ska filtrera nätverkstrafiken så att endast nödvändiga dataflöden förekommer mellan olika nätverkssegment.

text: Behörigheter, digitala identiteter och autentisering

text: Myndigheten ska säkerställa att endast behöriga användare och informationssystem har åtkomst till it-miljön och utforma sin behörighetshantering på ett sådant sätt att varje digital identitet inte har mer åtkomst till information och informationssystem än vad den behöver.

text: Allmänna råd

text: Behörighetshanteringen bör säkerställa att 1. digitala identiteter i produktionsmiljön är unika, 2. digitala identiteter och behörigheter är godkända innan de kopplas till en användare eller ett informationssystem, 3. tilldelade behörigheter är tidsbegränsade och kontrolleras en gång per år, 4. behovet av att använda olika kataloger för digitala identiteter och behörigheter är identifierat och hanterat, och 5. olika digitala identiteter används vid åtkomst till utvecklings- och testmiljö respektive produktionsmiljö.

text: En digital identitet bör endast användas av en individ. Digitala identiteter och behörigheter som ger tillgång till externt åtkomliga informationssystem samt utvecklings-, test- och utbildningsmiljö bör hanteras i olika kataloger skilda från kataloger för produktionsmiljön.

text: Digitala identiteter som ger systemadministrativ behörighet ska endast användas för systemadministration och tilldelas restriktivt.

text: Allmänna råd

text: En digital identitet med systemadministrativ behörighet bör endast ges åtkomst till en begränsad del av produktionsmiljön.

text: Flerfaktorsautentisering ska användas vid 1. egen och inhyrd personals åtkomst till produktionsmiljön via externt nätverk, 2. systemadministrativ åtkomst till informationssystem, och 3. åtkomst till informationssystem som behandlar information som bedömts ha behov av utökat skydd.

text: Myndigheten ska ha interna regler för hantering av autentiseringsuppgifter med krav på 1. längd och komplexitet, 2. när byte ska ske, 3. hur distribution ska ske, och 4. hur autentiseringsuppgifterna ska skyddas.

text: Allmänna råd

text: Tekniska system bör användas för att stödja efterlevnaden av reglerna avseende längd, komplexitet och byte.

text: Kryptering

text: Myndigheten ska identifiera och hantera behovet av kryptering för att skydda information mot obehörig åtkomst och obehörig förändring vid överföring och lagring.

text: Allmänna råd

text: Kryptering bör användas för att skydda 1. säkerhetsloggar mot obehörig åtkomst och obehörig förändring, 2. autentiseringsuppgifter mot obehörig åtkomst och obehörig förändring, och 3. information i behov av utökat skydd mot obehörig åtkomst och obehörig förändring vid överföring till informationssystem utanför myndighetens kontroll. ..Myndigheten bör identifiera behovet av att kryptera e-post på transportlagret i enlighet med OSI-modellen (Information technology - Open Systems Interconnection - Basic Reference Model: The Basic Model, ISO/IEC 7498-1) eller motsvarande. Myndigheten bör också införa möjlighet att använda sådan kryptering vid överföring av e-post till och från andra statliga myndigheter. Myndigheten bör införa möjlighet att verifiera myndigheten som avsändare respektive mottagare av e-post.

text: Myndigheten ska använda Domain Name System Security Extensions (DNSSEC) avseende samtliga domännamn som myndigheten registrerat i domännamnssystemet (DNS).

text: Myndigheten ska ha interna regler för kryptering med krav på 1. hantering av krypteringsnycklar, 2. godkännande och förvaltning av krypteringslösningar, och 3. hur krypteringsalgoritmer, krypteringsprotokoll och nyckellängder ska väljas.

text: Säkerhetskonfigurering

text: Myndigheten ska, för att skydda informationssystem mot obehörig åtkomst, 1. byta ut förinställda autentiseringsuppgifter, 2. stänga av, ta bort eller blockera systemfunktioner som inte behövs, och 3. i övrigt anpassa konfigurationer för att uppnå avsedd säkerhet.

text: Säkerhetstester och granskningar

text: Myndigheten ska säkerställa att säkerhetstester och granskningar möjliggör identifiering av sårbarheter. Myndigheten ska ha interna regler för hur kontroll görs av att 1. informationssystemen är uppdaterade, 2. valda säkerhetsåtgärder är införda på korrekt sätt, och 3. genomförda säkerhetskonfigurationer är tillräckliga.

text: Allmänna råd

text: Automatiserade säkerhetstester och manuella granskningar bör kombineras vid kontroll av säkerheten i informationssystemen.

text: Ändringshantering, uppgradering och uppdatering

text: Myndigheten ska säkerställa att förändringar i informationssystem genomförs på ett strukturerat och spårbart sätt. Myndigheten ska ha interna regler för ändringshantering med krav på 1. vilka kriterier som ska användas för att godkänna hård- och mjukvara innan installation eller användning, 2. hur risker för incidenter och avvikelser i samband med förändring i produktionsmiljön ska identifieras och hanteras, 3. hur mjukvara, utan onödigt dröjsmål, ska uppdateras till senaste version, 4. hur utbyte eller uppgradering av hård- och mjukvara som inte längre uppdateras eller stöds av leverantören ska säkerställas utan onödigt dröjsmål, och 5. hur risker ska hanteras när uppdatering eller uppgradering enligt punkt 3 och 4 inte kan genomföras.

text: Allmänna råd

text: Säkerhetsuppdateringar bör införas skyndsamt och behovet av att automatisera uppdateringar bör övervägas. För att undvika störning vid förändring bör myndigheten genomföra tester och ta fram en plan för återställning innan förändringen genomförs. De interna reglerna bör tydliggöra hur risker för incidenter och avvikelser i samband med förändringar i utvecklings-, test- och utbildningsmiljö identifieras och hanteras.

text: Korrekt och spårbar tid

text: Myndigheten ska använda robust och korrekt tid spårbar till den svenska tillämpningen av koordinerad universell tid, UTC(SP), i sin produktionsmiljö.

text: Allmänna råd

text: ..Myndigheten bör använda tidstjänsten Swedish Distributed Time Service på www.ntp.se. Behovet av att använda robust och korrekt tid spårbar till den svenska tillämpningen av koordinerad universell tid, UTC (SP) i utvecklings-, test- och utbildningsmiljö bör identifieras och hanteras.

text: Säkerhetskopiering

text: Myndigheten ska, för att kunna återställa information som förlorats eller förvanskats, regelbundet säkerhetskopiera sin information.

text: Allmänna råd

text: Myndigheten bör 1. en gång per dygn säkerhetskopiera information som behövs för myndighetens förmåga att utföra sitt uppdrag, och 2. en gång per år, eller vid större förändringar av produktionsmiljön, verifiera förmågan att, inom för myndigheten godtagbar tidsperiod, återställa information från säkerhetskopior. Vid bedömning av säkerhetskopieringens omfattning och intervall, bör programvara, konfiguration respektive information hanteras separat. Behovet av säkerhetskopiering och förmåga till återställning av information i utvecklings-, test- och utbildningsmiljö bör identifieras och hanteras.

text: Säkerhetskopior ska förvaras skilda från produktionsmiljön och skyddas mot skada, obehörig åtkomst och obehörig förändring.

text: Säkerhetsloggning och övervakning

text: Myndigheten ska, för att säkerställa spårbarhet i informationssystem, logga följande säkerhetsrelaterade händelser: 1. Obehörig åtkomst och försök till obehörig åtkomst till it-miljö och enskilda informationssystem. 2. Förändringar av konfigurationer och säkerhetsfunktioner som förutsätter priviligierade rättigheter. 3. Förändringar av behörighet för användare och informationssystem. 4. Åtkomst till information som bedömts ha behov av utökat skydd.

text: Myndigheten ska analysera innehållet i säkerhetsloggarna för att upptäcka och hantera incidenter och avvikelser. Säkerhetsloggarna ska 1. möjliggöra utredning av intrång, tekniska fel och brister i säkerheten, 2. utformas på ett sätt som möjliggör jämförbarhet mellan olika loggar, och 3. vara tillgängliga för analys under fastställd bevarandetid.

text: Myndigheten ska dokumentera hur säkerhetsloggarna ska användas samt var loggningsuppgifter hämtas och lagras, hur de skyddas och hur länge de ska bevaras.

text: Allmänna råd

text: En säkerhetslogg bör innehålla uppgift om vem eller vad som agerat, vad som har skett och vid vilken tidpunkt. För att skapa jämförbarhet bör myndigheten använda myndighetens tidstjänst för samtliga säkerhetsloggar. Säkerhetsloggar bör samlas i ett för ändamålet avsett informationssystem.

text: Myndigheten ska identifiera och hantera behovet av intrångsdetektering och intrångsskydd.

text: Allmänna råd

text: Behovet av intrångsdetektering och intrångsskydd bör bedömas för enskilda informationssystem och för myndighetens produktionsmiljö i sin helhet. Behovet bör även bedömas för myndighetens utvecklings- test- och utbildningsmiljö.

text: Myndigheten ska identifiera och hantera behovet av realtidsövervakning av informationssystem.

text: Skydd mot skadlig kod

text: Myndigheten ska använda mjukvara som ger skydd mot skadlig kod. För informationssystem där sådan mjukvara inte finns tillgänglig ska andra åtgärder vidtas som ger motsvarande skydd.

text: Skydd av utrustning

text: Myndigheten ska skydda den utrustning som informationssystem består av mot skador och obehörig åtkomst, genom att 1. placera centrala servrar och central nätverksutrustning i särskilda itutrymmen, 2. tilldela behörighet till särskilda it-utrymmen restriktivt, 3. identifiera och hantera behovet av övervakning och larm i särskilda itutrymmen, 4. registrera tillträde till särskilda it-utrymmen på individnivå och spara dokumentationen under fastställd bevarandetid, och 5. ha interna regler för hur mobil utrustning ska skyddas.

text: Redundans och återställning

text: Myndigheten ska, för att säkerställa tillgänglighet till information och informationssystem vid incidenter och avvikelser, 1. ha interna regler för återställning av produktionsmiljön i sin helhet och för enskilda informationssystem, 2. öva återställning av informationssystem som är centrala för myndighetens förmåga att utföra sitt uppdrag, och 3. placera centrala servrar och central nätverksutrustning som skapar redundant funktion i olika särskilda it-utrymmen.

text: Allmänna råd

text: Övning av återställning bör ske regelbundet och utifrån identifierat behov av tillgänglighet.

text: För myndigheter med ett särskilt ansvar för krisberedskapen

text: De myndigheter som har ett särskilt ansvar för krisberedskapen enligt

text: 10 § förordning (2015:1052)

text: om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap ska, utöver vad som framgår av kapitel 2 – 4 i dessa föreskrifter, 1. använda flerfaktorsautentisering och realtidsövervakning för informationssystem som är centrala för myndighetens förmåga att utföra sitt uppdrag, och 2. en gång per kvartal verifiera förmågan till återställning av dessa system.

text: Myndigheten ska, en gång per kvartal, kontrollera funktionen hos informationssystem som ska användas för informationsdelning under fredstida krissituationer.

text: Allmänna råd

text: ..Myndigheten bör använda Swedish Government Secure Intranet (SGSI) och Radiokommunikation för effektiv ledning (RAKEL) som stöd för informationsdelning under fredstida krissituationer.

text: Undantag

text: Dessa föreskrifter träder i kraft den 1 oktober 2020. Åtgärder i 4 kap 1 § (nätverkssegmentering), 5 § (flerfaktorsautenticering), 19 § (realtidsövervakning), 21 § (skydd av utrustning), och 5 kapitlet 1 § ska vara införda senast den 1 oktober 2021.

text: Myndigheten för samhällsskydd och beredskap

text: DAN ELIASSON

text: Beställningsadress:

text: Norstedts Juridik, 106 47 Stockholm Telefon: 08-598 191 90 E-post: kundservice@nj.se Webbadress: www.nj.se/offentligapublikationer Beställningsnummer: 19120-07


text: 1 kap.

text: ISSN 2000-1886 Utkom från trycket den 11 september 2020

text: Myndigheten för samhällsskydd och beredskaps föreskrifter om rapportering av it-incidenter för statliga myndigheter;

text: beslutade den 1 september 2020.

text: Myndigheten för samhällsskydd och beredskap föreskriver följande med stöd av

text: 21 § förordningen (2015:1052)

text: om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap.

text: Tillämpningsområde

text: Dessa föreskrifter innehåller bestämmelser om rapportering av it-incidenter enligt

text: 20 § förordningen (2015:1052)

text: It-incidenter som omfattas av rapporteringsskyldighet

text: Med it-incidenter som omfattas av rapporteringsskyldighet menas en it-incident som 1. påverkat riktigheten, tillgängligheten eller konfidentialiteten hos den information som bedömts ha behov av utökat skydd, eller 2. inneburit att informationssystem som behandlar information som bedömts ha behov av utökat skydd inte kunnat upprätthålla avsedd funktionalitet, eller 3. påverkat myndighetens förmåga att utföra sitt uppdrag, eller 4. i övrigt allvarligt kan påverka säkerheten i den informationshantering som myndigheten ansvarar för, eller i tjänster som myndigheten tillhandahåller åt en annan organisation.

text: Bedömningen av om informationen är i behov av utökat skydd ska ske genom informationsklassning enligt 6 § p.1 Myndigheten för samhällsskydd och beredskaps föreskrifter om informationssäkerhet för statliga myndigheter (

text: MSBFS 2020:6

text: ___________________________________________________________________________ Förordningen senast ändrad genom SFS 2020:25

text: Hur rapportering ska ske

text: It-incidenter ska rapporteras via av Myndigheten för samhällsskydd och beredskap anvisade kontaktvägar genom notifiering enligt 4 § och slutrapportering enligt 5 §.

text: Myndigheten ska skyndsamt, dock senast sex timmar från det att myndigheten har identifierat att en it-incident omfattas av rapporteringsskyldighet, lämna en övergripande beskrivning av vad som inträffat (notifiering).

text: Myndigheten ska inom fyra veckor från det att myndigheten identifierat att en it-incident omfattas av rapporteringsskyldighet lämna följande uppgifter (slutrapportering). 1. Myndighetens namn. 2. En beskrivning av inträffad it-incident, utifrån

text: a. tidpunkt för när it-incidenten inträffade och när den upptäcktes, b. tidpunkt för när drabbade informationssystem återgick till normaldrift, c. händelseförlopp, d. hanteringen av it-incidenten, och e. typ, orsak och konsekvenser.

text: 3. Vidtagna och planerade åtgärder med anledning av den inträffade it-incidenten.

text: På begäran av Myndigheten för samhällsskydd och beredskap ska myndigheten lämna uppgifter som kompletterar rapporteringen enligt 5 §.

text: Om myndigheten inom ett år från det att slutrapportering har skett konstaterar att lämnade uppgifter är felaktiga ska uppgifterna korrigeras utan onödigt dröjsmål.

text: Utkontraktering

text: Om myndigheten överlåter en del av sin informationshantering till en aktör som inte omfattas av rapporteringsskyldighet ska myndigheten se till att aktören åtar sig att rapportera it-incidenter till myndigheten på ett sådant sätt att myndigheten kan uppfylla kraven i dessa föreskrifter.

text: Skyldigheten enligt första stycket gäller med avseende på överenskommelser som träffas efter dessa föreskrifters ikraftträdande.

text: Kontaktuppgifter

text: Myndigheten ska hålla Myndigheten för samhällsskydd och beredskap informerad om aktuella kontaktuppgifter till den funktion vid myndigheten som ska ta emot information om it-incidenter från Myndigheten för samhällsskydd och beredskap.

text: Ikraftträdande

text: Dessa föreskrifter träder i kraft den 1 oktober 2020 då Myndigheten för samhällsskydd och beredskaps föreskrifter och allmänna råd (

text: MSBFS 2016:2

text: ) om statliga myndigheters rapportering av it-incidenter upphör att gälla.

text: DAN ELIASSON

text: Andreas Häll (Avdelningen för cybersäkerhet och säker kommunikation)

text: Beställningsadress:

text: Norstedts Juridik, 106 47 Stockholm Telefon: 08-598 191 90 E-post: kundservice@nj.se Webbadress: www.nj.se/offentligapublikationer Beställningsnummer: 19120-08