title: Myndigheten för samhällsskydd och beredskaps föreskrifter om åtgärder för att förebygga och begränsa följderna av allvarliga kemikalieolyckor

text: Uttryck som används i lagen (

text: ) om åtgärder för att förebygga och begränsa följderna av allvarliga kemikalieolyckor har samma betydelse i denna författning.

text: Handlingsprogram

text: I 4 § första stycket förordningen om (

text: ) om åtgärder för att förebygga och begränsa följderna av allvarliga kemikalieolyckor finns föreskrifter om vilka uppgifter som en anmälan enligt

text: 7 § lagen (1999:381)

text: om åtgärder för att förebygga och begränsa följderna av allvarliga kemikalieolyckor ska innehålla. I

text: 5 §

text: och

text: 6 § andra stycket

text: förordningen (

text: ) om åtgärder för att förebygga och begränsa följderna av allvarliga kemikalieolyckor finns föreskrifter om undantag från anmälningsplikt. När något av dessa undantag gäller, och om uppgifterna inte lämnats på annat sätt i en ansökan om tillstånd enligt

text: 9 kap. 6 § miljöbalken (1998:808)

text: , ska handlingsprogrammet enligt

text: 8 § lagen (1999:381)

text: om åtgärder för att förebygga och begränsa följderna av allvarliga kemikalieolyckor även innehålla de uppgifter som skulle ha lämnats i en anmälan.

text: Europaparlamentets och rådets direktiv 2012/18/EU av den 4 juli 2012

text: om åtgärder för att förebygga och begränsa faran för allvarliga olyckshändelser där farliga ämnen ingår och om ändring och senare upphävande av

text: rådets direktiv 96/82/EG

text: (EUT L197, 24.7.2012,s. 1 -37, Celexnummer 32012L0018) 2 Förordningen senast ändrad 2015:239.

text: MSBFS 2015:8

text: Intern plan för räddningsinsatser

text: Den interna planen för räddningsinsatser enligt

text: 12 § lagen (1999:381)

text: om åtgärder för att förebygga och begränsa följderna av allvarliga kemikalieolyckor ska innehålla de uppgifter och den information som framgår av bilaga 1 till denna författning.

text: Kommunens plan för räddningsinsatser

text: Kommunens plan för räddningsinsatser enligt

text: 3 kap. 6 § förordningen (2003:789)

text: om skydd mot olyckor ska innehålla de uppgifter och den information som framgår av bilaga 2 till denna författning.

text: Kommunens plan ska samordnas med verksamhetens interna plan för räddningsinsatser enligt

text: 12 § lagen (1999:381)

text: Övningar ska planeras i samarbete med verksamhetsutövaren och ska stå i proportion till verksamhetens omfattning och de risker som verksamheten har.

text: Information till allmänheten

text: Den information som ska finnas tillgänglig för allmänheten enligt

text: 14 § första stycket lagen (1999:381)

text: om åtgärder för att förebygga och begränsa följderna av allvarliga kemikalieolyckor ska kunna nås via kommunens hemsida. Informationen ska ses över och vid behov uppdateras när väsentliga förändringar genomförs vid verksamheten. Om ett kommunalförbund har hand om kommunens räddningstjänst ska informationen kunna nås via såväl förbundets som medlemskommunernas hemsidor.

text: 14 § andra stycket lagen (1999:381)

text: om åtgärder för att förebygga och begränsa följderna av allvarliga kemikalieolyckor ska regelbundet och utan begäran lämnas till allmänheten, dock minst vart femte år. Informationen ska samtidigt lämnas till den som bedriver hälso- och sjukvård, skolverksamhet eller annan aktivitet som besöks av allmänheten om områdena där aktiviteterna bedrivs kan påverkas av en allvarlig kemikalieolycka.

text: Samråd

text: Samrådsredogörelsen enligt 4 § första stycket punkt 8, och 9 § första stycket punkt 4 förordningen (

text: ) om åtgärder för att förebygga och begränsa följderna av allvarliga kemikalieolyckor ska innehålla uppgifter om vilka som deltagit i samrådet, de synpunkter som inkommit, vad samrådet resulterat i och de eventuella åtgärder som vidtagits till följd av samrådet.

text: Samrådsskyldighet enligt

text: 13 § lagen (1999:381)

text: om åtgärder för att förebygga och begränsa följderna av allvarliga kemikalieolyckor gäller inte för sådana åtgärder där samråd skett enligt

text: 6 kap. 4 § miljöbalken (1998:808)

text: Tillsyn

text: Tillsynen ska vara utformad för att medge en planerad och systematisk granskning av de tekniska system samt organisations- och driftsystem som tillämpas vid verksamheten och särskilt omfatta kontroll av 1. att åtgärder har vidtagits för att förebygga allvarliga kemikalieolyckor och för att begränsa följderna av sådana olyckor, 2. att uppgifterna i handlingsprogrammet, säkerhetsrapporten eller någon annan handling som lämnats in till länsstyrelsen överensstämmer med omständigheterna vid verksamheten, samt 3. att allmänheten har fått tillgång till den information som föreskrivs i

text: 14 § lagen (1999:381)

text: En tillsynsplan ska innehålla de uppgifter och den information som framgår av bilaga 3 till denna författning.

text: Ett tillsynsprogram ska för varje verksamhet innehålla de uppgifter och den information som framgår av bilaga 4 till denna författning.

text: Tillsynsplanen ska uppdateras årligen och tillsynsprogrammen ska uppdateras efter varje tillsyn eller tidigare om nya omständigheter motiverar det. ______________

text: Denna författning träder i kraft den 1 juni 2015. Statens räddningsverks föreskrifter (

text: SRVFS 2005:2

text: ) om åtgärder för att förebygga och begränsa följderna av allvarliga kemikalieolyckor ska samtidigt upphöra att gälla.

text: NILS SVARTZ

text: Narges Teimore (Avdelningen för risk- och sårbarhetsreducerande arbete)

text: MSBFS 2015:8

text: Bilaga 1

text: Intern plan för räddningsinsatser

text: 1. Namn eller befattning på de personer som har särskild befogenhet att starta en intern räddningsinsats, samt på de personer som har till uppgift att sköta samordningen av omedelbara räddningsinsatser. 2. Uppgift om vem eller vilka som ansvarar för kontakten med kommunen i fråga om upprättandet av kommunens plan för räddningsinsatser enligt

text: 3 kap. 6 § förordningen (2003:789)

text: om skydd mot olyckor. 3. För varje situation eller slag av händelse som kan förutses och som i verksamheten kan spela en avgörande roll för uppkomsten av en allvarlig kemikalieolycka, ska det finnas en redogörelse av vilka åtgärder som ska vidtas för att begränsa följderna av denna. Denna redogörelse ska även omfatta säkerhetsutrustning och övriga tillgängliga resurser. 4. En redogörelse av varningssystem och de åtgärder som ska vidtas vid varning, samt de åtgärder i övrigt som syftar till att begränsa följderna för de personer som befinner sig inom verksamheten. 5. En redogörelse av rutiner för alarmering till kommunens organisation för räddningstjänst vid en allvarlig kemikalieolycka och den information som ska lämnas vid alarmering. 6. En redogörelse av rutiner för samverkan med kommunens organisation för räddningstjänst vid en olycka, innefattande rutiner för hur stöd ska lämnas vid insatser utanför verksamheten. 7. En redogörelse av hur personalen utbildas och övas och, i förekommande fall, hur samövning med kommunens organisation för räddningstjänst genomförs.

text: Bilaga 2

text: Kommunens plan för räddningsinsatser

text: 1. Information om hur kommunens räddningstjänst organiseras vid en allvarlig kemikalieolycka. 2. Redogörelse av hur kommunens räddningstjänst larmas vid en allvarlig kemikalieolycka. 3. Vilka personella och materiella resurser som behövs och hur dessa ska samordnas vid en allvarlig kemikalieolycka. 4. Hur räddningsinsatser ska genomföras, både inom och utanför verksamhetens område, vid en allvarlig kemikalieolycka. 5. Redogörelse av hur allmänheten, närliggande verksamheter, och andra verksamhetsplatser som faller utanför tillämpningsområdet för lagen (

text: ) om åtgärder för att förebygga och begränsa följderna av allvarliga kemikalieolyckor, ska varnas och informeras vid en allvarlig kemikalieolycka. 6. Vilka åtgärder som allmänheten, närliggande verksamheter, samt verksamhetsplatser som faller utanför tillämpningsområdet för lagen (

text: ) om åtgärder för att förebygga och begränsa följderna av allvarliga kemikalieolyckor, ska vidta i händelse av en sådan olycka. 7. Uppgift om hur underrättelser till berörd myndighet i annan stat ska lämnas enligt

text: 6 kap. 10 § tredje stycket lagen (2003:778)

text: om skydd mot olyckor.

text: MSBFS 2015:8

text: Bilaga 3

text: Tillsynsplan

text: 1. Vilket län planen omfattar. 2. En övergripande bedömning av relevanta säkerhetsaspekter. 3. En förteckning över de verksamheter som tillsynsplanen omfattar. 4. En förteckning över grupper av verksamheter enligt 13a § lagen (

text: ) om åtgärder för att förebygga och begränsa följderna av allvarliga kemikalieolyckor vid vilka risken för, eller följderna av en allvarlig kemikalieolycka, är högre på grund av verksamheternas geografiska läge och närhet till varandra, samt deras innehav av farliga ämnen. 5. En förteckning över de verksamheter där andra faktorer i omgivningen än andra verksamheter (externa risker) kan öka faran för en allvarlig kemikalieolycka. 6. Rutiner för tillsyn enligt beslutade tillsynsprogram. 7. Planerade tillsynsaktiviteter inklusive tillsynsbesök. 8. Rutiner för tillsyn enligt

text: 17 §

text: förordningen (2015: 236) om åtgärder för att förebygga och begränsa följderna av allvarliga kemikalieolyckor. 9. Rutiner för samarbete med andra tillsynsmyndigheter.

text: Bilaga 4

text: Tillsynsprogram

text: 1. Verksamhetsutövarens namn eller firmanamn, säte och adress samt verksamhetens adress. 2. Genomförda och planerade tillsynsaktiviteter inklusive tillsynsbesök, samt en sammanfattning av resultatet av genomförda tillsynsaktiviteter. 3. Redovisning av en systematisk bedömning av farorna för allvarliga kemikalieolyckor och uppgifter om hur ofta tillsynsbesök planeras utifrån denna bedömning.

text: MSBFS 2015:8

text: Beställningsadress: Norstedts Juridik AB/Fritzes, 106 47 Stockholm Telefon 08-598 191 90, www.fritzes.se

type: foreskrift


fs: msbfs

title: Myndigheten för samhällsskydd och beredskaps föreskrifter om säkerhetsrådgivare för transport av farligt gods

text: Den vars verksamhet omfattar transporter av farligt gods ska, enligt

text: 11 § lagen (2006:263)

text: om transport av farligt gods, utse en eller flera säkerhetsrådgivare. Detsamma gäller den som till någon annan lämnar farligt gods för transport. Säkerhetsrådgivaren ska under verksamhetsledningens ansvar verka för att skador i samband med transporterna förebyggs. I denna författning finns ytterligare bestämmelser om säkerhetsrådgivare och om undantag från kravet på att ha en säkerhetsrådgivare.

type: stycke

type: paragraf

text: Definitioner

type: rubrik

text: De termer och begrepp som används i lagen (

text: ) om transport av farligt gods har samma betydelse i denna författning. ADR-S Myndigheten för samhällsskydd och beredskaps föreskrifter (

text: MSBFS 2015:1

text: ) om transport av farligt gods på väg och i terräng eller annan författning som ersatt

text: MSBFS 2015:1

text: RID-S Myndigheten för samhällsskydd och beredskaps föreskrifter (

text: MSBFS 2015:2

text: ) om transport av farligt gods på järnväg eller annan författning som ersatt

text: MSBFS 2015:2

text: Jfr

text: Europaparlamentets och rådets direktiv 2008/68/EG av den 24 september 2008

text: om transport av farligt gods på väg, järnväg och inre vattenvägar (EGT L 260, 30.9.2008, s. 13-59, Celex 32008L0068), senast ändrat genom Kommissionens direktiv

text: av den 2 september 2010. 2 Förordningen senast ändrad 2015:9.

text: MSBFS 2015:9

text: IMDG-koden Transportstyrelsens föreskrifter och allmänna råd (

text: TSFS 2013:106

text: ) om transport till sjöss av förpackat farligt gods eller annan författning som ersatt

text: TSFS 2013:106

text: ICAO-TI ICAO Doc. 9284-AN/905 Technical Instructions for the Safe Transport of Dangerous Goods by Air.

text: LFS 2007:23

text: Luftfartsstyrelsens föreskrifter (

text: LFS 2007:23

text: ) om medförande av farligt gods eller annan författning som ersatt

text: LFS 2007:23

text: LFS 2007:49

text: Luftfartsstyrelsens föreskrifter och allmänna råd (

text: LFS 2007:49

text: ) om kommersiellt bruksflyg med helikopter eller annan författning som ersatt

text: LFS 2007:49

text: Undantag

text: Undantag från kravet på att ha säkerhetsrådgivare, enligt

text: 11 § lagen (2006:263)

text: om transport av farligt gods, gäller för den som 1. lämnar farligt gods för transport eller transporterar farligt gods, enligt bestämmelserna om undantag i avsnitt 1.1.3 eller 1.7.1.4 i bilaga A till ADR-S respektive i bilaga 1 till RID-S, 2. lämnar farligt gods för transport eller transporterar farligt gods, när det farliga godset utgörs av sådana ämnen eller föremål för vilka det uttryckligen nämns i Tabell A, kapitel 3.2 i bilaga A till ADR-S respektive i bilaga 1 till RID-S, att de inte omfattas av bestämmelserna, 3. lämnar avfall för inrikes transport under förutsättning att avfallet kommer från den egna verksamheten, att avfallet definieras som farligt avfall enligt

text: 3 § avfallsförordningen (2011:927)

text: , att avfallet är inplacerat i förpackningsgrupp III i del 2 i ADR-S eller RID-S och att hanteringen av avfallet inte utgör verksamhetens huvud- eller biverksamhet, 4. vid enstaka tillfällen lämnar farligt gods för transport eller vid enstaka tillfällen transporterar farligt gods, lokalt i anknytning till arbetsområden där anläggnings-, byggnads-, industri-, jordbruks- eller skogsarbete utförs enligt bestämmelserna i avsnitt 13.2.2 i bilaga S till ADR-S, 5. transporterar farligt gods med traktor, terrängvagn eller motorredskap till arbetsområden där anläggnings-, byggnads-, industri-, jordbrukseller skogsarbete utförs enligt bestämmelserna i kapitel 13.2 i bilaga S till ADR-S, 6. lämnar farligt gods för transport eller transporterar farligt gods, när det farliga godset utgörs av tömda, ej rengjorda, uttjänta förpackningar enligt bestämmelserna i kapitel 16.0 i bilaga S till ADR-S eller RID-S,

text: 7. lämnar farligt gods för transport eller transporterar farligt gods, enligt bestämmelserna om undantag i IMDG-koden i  avsnitt 1.1.1.7,  avsnitt 1.1.1.9,  avsnitt 1.5.1.4,  särbestämmelserna i kapitel 3.3,  kapitel 3.4 eller  kapitel 3.5, 8. vid enstaka tillfällen lämnar farligt gods för sjötransport eller vid enstaka tillfällen transporterar farligt gods till sjöss, under förutsättning att risken är liten för sådana skador som avses i

text: 2 § första stycket lagen (2006:263)

text: om transport av farligt gods, 9. transporterar sådant farligt gods i sjöfart som är avsett för fartygets drift eller för arbetet ombord, 10. transporterar farligt gods i sjöfart med fritidsfartyg eller som privatperson, under förutsättning att godset är avsett för privat bruk och förpackat i den detaljhandelsförpackning som är avsedd för den aktuella produkten, 11. lämnar farligt gods för transport eller transporterar farligt gods, enligt bestämmelserna om undantag i ICAO-TI i  del 1, kapitel 1.1.5,  del 1, kapitel 2.2 – 2.6,  del 1, kapitel 6.1.4,  särbestämmelserna i del 3, eller  sektion II i förpackningsinstruktionerna 965-970 i del 4, 12. transporterar farligt gods som tas ombord av passagerare eller besättning enligt bestämmelserna om undantag i del 8 i ICAO-TI, 13. lämnar farligt gods för transport eller transporterar farligt gods enligt undantaget i 12 §

text: LFS 2007:23

text: , 14. lämnar farligt gods för transport eller transporterar farligt gods enligt undantagen i 4 kap 22-34 §§

text: LFS 2007:49

text: , eller 15. vid enstaka tillfällen lämnar farligt gods för transport eller vid enstaka tillfällen transporterar farligt gods i luftfart för eget bruk och utan ersättning. Undantag från kravet på att ha säkerhetsrådgivare gäller för Polismyndigheten, Säkerhetspolisen, Tullverket och Kustbevakningen när de lämnar farligt gods för transport eller transporterar farligt gods enligt bestämmelserna i kapitel 18.1 i bilaga S till ADR-S. Undantag från kravet på att ha säkerhetsrådgivare gäller för Polismyndigheten och kontrollorgan för fordon när dess personal utför flygande inspektion respektive kontroll av fordon enligt kapitel 18.2 första stycket i bilaga S till ADR-S. Detsamma gäller för Polismyndigheten och

text: MSBFS 2015:9

text: Kustbevakningen när dess personal förflyttar fordon enligt kapitel 18.2 andra stycket i bilaga S till ADR-S.

text: Säkerhetsrådgivarens uppgifter

text: Säkerhetsrådgivaren ska 1. se till att bestämmelserna i lagen om transport av farligt gods och bestämmelser som meddelats med stöd av denna lag följs, 2. ge råd till verksamheten om tillämpningen av de bestämmelser som avses i 1., och 3. upprätta en årsrapport till verksamhetsledningen om verksamheten avseende transport av farligt gods. Årsrapporten enligt första stycket ska arkiveras i fem år och på begäran uppvisas för Myndigheten för samhällsskydd och beredskap.

text: Säkerhetsrådgivaren ska se till att det finns anpassade metoder och rutiner bland annat för att 1. identifiera farligt gods som lämnas för transport eller transporteras, 2. följa de särskilda krav som gäller för transportmedel och utrustning för transport av farligt gods, när sådana ska anskaffas, 3. kontrollera utrustning som används för transport, lastning eller lossning av farligt gods, 4. säkerställa att berörda arbetstagare genomgår anpassad utbildning och att denna dokumenteras, 5. kunna agera snabbt och effektivt vid eventuella olyckor eller tillbud under transport, lastning eller lossning av farligt gods, 6. undersöka och om det krävs upprätta rapporter över olyckor, tillbud eller allvarliga regelöverträdelser under transport, lastning eller lossning av farligt gods, 7. förhindra upprepning av olyckor, tillbud eller allvarliga regelöverträdelser, 8. ta hänsyn till lagar, förordningar och särskilda krav för transport av farligt gods vid val av underleverantörer eller annan tredje part, 9. säkerställa att den personal som utför lastning, lossning eller transport av farligt gods har de arbetsbeskrivningar och instruktioner som behövs, 10. öka medvetenheten om farorna vid transport, lastning eller lossning av farligt gods, 11. säkerställa att de handlingar och den säkerhetsutrustning som ska medföras, finns i transportmedlet och motsvarar gällande bestämmelser, 12. säkerställa att bestämmelserna om lastning och lossning följs, och 13. säkerställa att det vid landtransport av farligt gods finns en skyddsplan enligt delavsnitt 1.10.3.2 i ADR-S och RID-S.

text: Säkerhetsrådgivaren ska ansvara för att en rapport lämnas till verksamhetsledningen om en olycka har inträffat där det farliga godset har medfört skada på liv, hälsa, miljö eller egendom. Även allvarliga tillbud till sådana olyckor ska rapporteras.

text: Examination

text: Säkerhetsrådgivaren ska ha kunskap om reglerna för, och riskerna med, transport av farligt gods samt om säkerhetsrådgivarens uppgifter. Dessa kunskaper prövas vid en examination som genomförs av Myndigheten för samhällsskydd och beredskap. Examinationen består av ett skriftligt prov anpassat till det eller de transportslag som säkerhetsrådgivaren ska ansvara för enligt bilaga 1.

text: Intyg

text: Myndigheten för samhällsskydd och beredskap utfärdar intyg för säkerhetsrådgivare efter godkänd examination enligt 7 §. Intyget gäller i fem år och ska till sitt innehåll motsvara förlagan i bilaga 2. Giltighetstiden för intyget kan förlängas med fem år i taget från utgångsdatum, under förutsättning att innehavaren har genomgått och godkänts vid förnyad examination enligt 7 §. Examinationen kan genomföras upp till tolv månader före utgången av intygets giltighetstid.

text: Meddelande om utsedd säkerhetsrådgivare

text: Den som ska ha säkerhetsrådgivare ska omgående meddela till Myndigheten för samhällsskydd och beredskap vem eller vilka personer som har utsetts. Meddelande om utsedd säkerhetsrådgivare ska göras på det sätt som myndigheten anvisar.

text: Undantag i enskilda fall

text: Myndigheten för samhällsskydd och beredskap får, undantagsvis och förutsatt att säkerheten inte äventyras, vid tydligt definierade och tidsbegränsade transporter som utförs i Sverige, utfärda individuella tillstånd för att medge undantag från tillämpningen av denna författning. ______________ Denna författning träder i kraft den 1 juli 2015. Statens räddningsverks föreskrifter (

text: SRVFS 2006:9

text: ) om säkerhetsrådgivare för transport av farligt gods ska samtidigt upphöra att gälla.

text: NILS SVARTZ

text: Brita Skärdin (Avd. för risk- och sårbarhetsreducerande arbete)

text: MSBFS 2015:9

text: Bilaga 1

text: Prov för säkerhetsrådgivare

text: Provet enligt 7 § ska minst omfatta följande ämnesområden.

text: Ämnesområde Land Sjö Luft

text: Risker med transport av farligt gods  olycksorsaker X X X  konsekvenser av en olycka X X X Klassificering av farligt gods  metoder för klassificering av lösningar och X X X blandningar  struktur hos ämnesförteckningen, klasser X X X av farligt gods och klassificeringskriterier  egenskaper hos transporterade farliga X X X ämnen och föremål, fysikaliska och kemiska samt toxikologiska egenskaper Allmänna bestämmelser för  förpackningar X X X  tankar och tankcontainrar (slag, kodning, X X märkning, tillverkning, första och återkommande kontroll) Bestämmelser om  märkning och etikettering av förpackningar X X X  applicering av storetiketter X X  märkning med orangefärgade skyltar X X Uppgifter i godsdeklaration X X X Försändningssätt och försändningsvillkor X X X (komplett last, transport i bulk, transport i IBC-behållare, transport i containrar, transport i fasta eller avmonterbara tankar) Transport av passagerare X X Förbud och försiktighetsåtgärder vid X X X samlastning Separation av gods X X X

text: Ämnesområde Land Sjö Luft

text: Begränsning av transporterad mängd och X X X undantagna mängder Säkring av last X X X Åtgärder vid lastning och lossning  fyllnadsgrad X X  rengöring respektive avgasning före X X lastning och efter lossning Utbildning av personal och fordonsbesättning X X X Handlingar som ska medföras  transporthandling/godsdeklaration X X X  skriftliga instruktioner X  fordonscertifikat X  förarintyg X  övriga handlingar X X X Säkerhetsinstruktioner; tillämpning av X X X instruktioner och användning av personlig skyddsutrustning Övervakningskrav (parkering) X Trafikregler och trafikrestriktioner X X Utsläpp av miljöskadliga ämnen vid drift eller X X X olycksfall Bestämmelser för transportutrustning X

text: MSBFS 2015:9

text: Bilaga 2

text: Förlaga för intyg

text: Intyg för säkerhetsrådgivare för transport av farligt gods

text: Nationalitetsbeteckning för utfärdande stat:

text: Personnummer/Intygsnummer:

text: Födelsedatum:

text: Födelseort:

text: Förnamn:

text: Efternamn:

text: Nationalitet:

text: Innehavarens namnteckning:

text: Gäller till och med…(datum) för verksamheter som transporterar eller lämnar farligt gods för transport:

text: på väg

text: på järnväg

text: till sjöss

text: i luft

text: Utfärdat av:

text: Myndigheten för samhällsskydd och beredskap 651 81 Karlstad 0771 - 240 240

text: Datum: Namnteckning:


title: om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap finns föreskrifter om varje myndighets ansvar för säker informationshantering. Ansvaret gäller även när myndighetens information hanteras av en extern aktör eller när myndigheten tillhandahåller andra aktörer tjänster för informationshantering inom e-förvaltning eller motsvarande. I de fall en myndighet anlitar en annan myndighet för att fullgöra uppgifter som regleras i denna författning ska de berörda myndigheterna tydligt dokumentera sitt samarbete. Det ska i dokumentationen tydliggöras vilken myndighet som är ansvarig för att uppfylla kraven som ställs i denna författning. Informationsklassning enligt 9 § p.1 ska utföras av den myndighet som äger informationen.

text: Denna författning innehåller föreskrifter som ansluter till bestämmelserna om statliga myndigheters informationssäkerhet i

text: 19 § förordningen (2015:1052)

text: om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap.

text: Om det i en annan författning finns någon bestämmelse om statliga myndigheters informationssäkerhet som avviker från denna författning, gäller den bestämmelsen.

text: I

text: 19 § förordningen (2015:1052)

text: Allmänna råd som ansluter till föreskrifterna finns på sid 5.

text: MSBFS 2016:1

text: Begreppsförklaring

text: I denna författning avses med

text: informationsklassning Att genom konsekvensanalys identifiera skyddsbehovet för en viss informationsmängd.

text: informationsmängd Information som är avgränsad för ett visst ändamål.

text: informationssäkerhet Bevarande av konfidentialitet, riktighet och tillgänglighet hos information.

text: ledningssystem för Ett sätt för organisationens ledning att på ett informationssäkerhet systematiskt sätt styra arbetet med informationssäkerhet i syfte att planera, genomföra, kontrollera, följa upp, utvärdera och förbättra säkerheten i verksamhetens informationshantering.

text: Ledningssystem för informationssäkerhet

text: Varje myndighet ska bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete med stöd av ett ledningssystem för informationssäkerhet. I detta arbete ska standarderna ISO/IEC 27001:2014 och ISO/IEC 27002:2014 beaktas. Tillräckliga resurser ska tilldelas för informationssäkerhetsarbetet samt löpande och regelbunden information lämnas till myndighetsledningen.

text: Ledningssystemet ska utformas utifrån verksamhetens behov och vara styrande för all hantering av information som myndigheten ansvarar för. Genom ledningssystemet ska myndigheten 1. tydliggöra myndighetsledningens och den övriga organisationens ansvar för myndighetens informationssäkerhetsarbete, 2. tilldela nödvändiga befogenheter för de roller som arbetet med informationssäkerhet kräver, detta gäller särskilt för den eller de som ska utses för att leda och samordna arbetet, 3. säkerställa att informationssäkerhetsarbetet bedrivs samordnat samt att det regelbundet utvärderas och löpande utvecklas.

text: Närmare krav på myndigheternas informationssäkerhetsarbete

text: Myndigheten ska upprätta en informationssäkerhetspolicy, andra styrande dokument samt den dokumentation som i övrigt krävs för att kunna bedriva ett ändamålsenligt arbete med myndighetens informationssäkerhet. Av informationssäkerhetspolicyn ska ansvarsfördelningen för verksamhetens informationsmängder framgå.

text: Myndigheten ska eftersträva en god säkerhetskultur där alla i organisationen har kunskap om och förståelse för behoven av säker informationshantering, genom att 1. informera medarbetare om krav på säker informationshantering och relevanta regler inom området, 2. regelbundet, och enligt en beslutad utbildningsplan, genomföra utbildningar rörande informationssäkerhet som är anpassade till medarbetarnas uppgifter, samt 3. regelbundet, och enligt en beslutad övningsplan, genomföra övningar för att pröva och utveckla myndighetens säkerhetsåtgärder för kontinuitetshantering avseende informationssäkerhet.

text: I syfte att hantera hot och risker som rör informationssäkerheten i verksamheten ska myndigheten med stöd av modeller som myndigheten beslutar 1. klassa information med utgångspunkt i konfidentialitet, riktighet och tillgänglighet i olika nivåer utifrån vilka konsekvenser som kan uppstå av ett bristande skydd, 2. identifiera, analysera och bedöma hot och risker för verksamhetens information, system och tjänster, 3. utifrån informationsklassningens resultat och genomförd riskanalys identifiera och vidta de åtgärder som krävs för att uppfylla skyddsbehovet, 4. följa upp och utvärdera vidtagna åtgärder och gjorda bedömningar av hot och risker, 5. kontinuerligt utveckla skyddet för att över tid upprätthålla informationens behov av säkerhet, samt 6. fortlöpande dokumentera vidtagna åtgärder enligt denna paragraf. Av de beslutade modellerna ska det bland annat framgå vid vilka tidpunkter och i vilka situationer som myndigheten genomför informationsklassning och analys av hot och risker, samt vem som ansvarar för åtgärderna. De beslutade modellerna ska vara kända av de som berörs i organisationen.

text: Särskilt om intern incidenthantering och kontinuitetshantering

text: Myndigheten ska ha rutiner för att identifiera, rapportera, bedöma, hantera och dokumentera incidenter som kan påverka säkerheten i den informationshantering som myndigheten ansvarar för eller i tjänster som myndigheten tillhandahåller åt en annan organisation. Myndigheten ska ha rutiner för att lära av sådana inträffade incidenter och utförda åtgärder.

text: Myndigheten ska ha rutiner för kontinuitetshantering som tydliggör hur verksamhetens informationshantering upprätthålls vid större störningar och avbrott. Förhållanden som kan uppstå i samband med fredstida kriser och under höjd beredskap ska beaktas.

text: MSBFS 2016:1

text: ______________ Denna författning träder i kraft den 4 april 2016, då Myndigheten för samhällsskydd och beredskaps föreskrifter (

text: MSBFS 2009:10

text: ) om statliga myndigheters informationssäkerhet ska upphöra att gälla.

text: HELENA LINDBERG

text: Helena Andersson (Avdelningen för utveckling av samhällsskydd)

text: Myndigheten för samhällsskydd och beredskaps allmänna råd om statliga myndigheters informationssäkerhet

text: Följande allmänna råd ansluter till Myndigheten för samhällsskydd och beredskaps föreskrifter om statliga myndigheters informationssäkerhet. Termer och uttryck som används i föreskrifterna har samma betydelse här. Allmänna råd har en annan juridisk status än föreskrifter. Allmänna råd är inte tvingande. Deras funktion är att förtydliga innebörden i lag, förordning eller myndighetsföreskrifter och att ge generella rekommendationer om deras tillämpning. Allmänna råd är markerade med grå bakgrund.

text: CECILIA NYSTRÖM

text: MSBFS 2016:1

text: Kommentarer till 1 - 3 §§

text: Dessa föreskrifter reglerar myndigheternas arbete med informationssäkerhet. Informationssäkerhetsarbetet syftar till att hindra obehörig åtkomst, säkerställa tillgänglighet vid behörig användning samt att informationen inte förändras eller förstörs på ett obehörigt sätt. Det ska även vara möjligt att spåra vem som har gjort vad och när med informationen. Att en extern aktör är involverad i organisationens informationshantering innebär ofta ett behov av att vidta särskilda åtgärder för att upprätthålla avsedd nivå av informationssäkerhet. Med extern aktör avses andra statliga myndigheter, leverantör av myndighetsgemensamma tjänster inkluderat olika typer av direktåtkomst och e-förvaltningstjänster, utkontraktering av verksamhet eller informationshantering, inhyrda konsulter och motsvarande.

text: När uppdrag att hantera myndighetens information ges till extern aktör bör myndigheten analysera de säkerhetsåtgärder som ska vidtas av myndigheten själv och de krav som ska ställas på den externa aktören.

text: Vissa myndigheter kan, exempelvis på grund av att de är mycket små, behöva samverka med en annan myndighet (en värdmyndighet) när det gäller att utföra det praktiska arbetet med informationssäkerhet eller informationshantering i sin helhet. Myndigheten kan då överlåta till värdmyndigheten att helt eller delvis fullgöra de uppgifter som åligger myndigheten enligt dessa föreskrifter.

text: Kommentarer till 5 §

text: Stöd för hur ett ledningssystem för informationssäkerhet (LIS) kan införas och utformas finns även på www.informationssäkerhet.se, ytterligare stöd för informationssäkerhetsarbete finns på www.msb.se.

text: Kommentarer till 6 §

text: Myndighetens ledning har ansvar för att styra och skapa förutsättningar för myndighetens informationssäkerhetsarbete. Denna uppgift förutsätter uppdaterad kunskap om organisationens behov av och förutsättningar för säker hantering av information.

text: Myndighetens ledning bör följa upp och utvärdera informationssäkerhetsarbetet flera gånger per år. Utvärdering bör särskilt ske i samband med mer omfattande omorganisationer, förändringar av it-infrastrukturen eller andra motsvarande förändringar där skäl finns att misstänka att informationssäkerheten kan påverkas.

text: Kommentarer till 7 §

text: Ett systematiskt och kontinuerligt informationssäkerhetsarbete förutsätter ett antal olika styrande dokument. Dokumentens övergripande syfte är att styra och stödja arbetet med att införliva informationssäkerhet i verksamhetens arbetssätt, processer, system och tjänster. Informationssäkerhetspolicyn och andra styrande dokument utgör dokumentationen av LIS.

text: Myndighetens dokumentation av informationssäkerhetsarbetet bör utgöra en del av den löpande informationen till myndighetsledningen och utgöra ett av underlagen vid myndighetens uppföljning och utvärdering. En informationssäkerhetspolicy bör innehålla en beskrivning av verksamhetens behov av informationssäkerhet samt mål och övergripande principer för hur informationssäkerheten i verksamheten ska vara utformad, upprätthållas och utvecklas. Myndighetens informationssäkerhetspolicy bör utgå från verksamhetens inriktning, organisation, intressent- och författningskrav samt identifierade hot och risker. Styrande dokument bör upprättas i den omfattning som krävs för en kontinuerlig ledning och styrning av verksamhetens informationssäkerhet. De styrande dokumenten bör tydliggöra kraven på dokumentation av hur informationssäkerhetsarbetet bedrivs. Myndigheten bör säkerställa att informationssäkerhetspolicyn och de styrande dokumenten kommuniceras till berörd personal, inklusive berörda externa parter.

text: Kommentarer till 8 §

text: En god säkerhetskultur innebär i korthet att medarbetarna känner sig delaktiga i, är motiverade för och har förståelse för hur och varför informationssäkerhetsarbetet bedrivs.

text: Myndighetens ledning bör tydliggöra kopplingen mellan säker informationshantering och möjligheten att utföra organisationens uppgifter för medarbetarna.

text: God säkerhetskultur avseende informationssäkerhet förutsätter att medarbetare känner till och medverkar till att gällande regelverk följs. Åtgärder som utbildning och övning skapar förutsättningar för det. Olika uppgifter i organisationen förutsätter olika kunskap och kompetens rörande informationssäkerhet. Det är av vikt att utbildningen anpassas till både arbetsuppgifterna och den befintliga kompetensnivån i organisationen.

text: MSBFS 2016:1

text: Myndigheten bör ha rutiner för utbildning som säkerställer att personalen har tillräcklig kunskap om gällande regler för informationssäkerhet. Rutinerna bör omfatta all personal. Myndigheten bör ha en plan som säkerställer att all personal har tillräcklig kompetens för att kunna utföra sina arbetsuppgifter. Utbildning bör genomföras minst vartannat år. Vid anlitande av externa parter bör krav ställas på tillräcklig kompetens avseende informationssäkerhet. Övningar av myndighetens säkerhetsåtgärder för kontinuitetshantering avseende informationssäkerhet bör ske minst vartannat år. De bör utvärderas och erfarenheterna bör återkopplas till verksamheten.

text: Kommentarer till 9 §

text: Myndighetens systematiska informationssäkerhetsarbete bör ständigt utvecklas för att omhänderta interna och externa krav. Ett sådant arbete förutsätter flera steg som bygger på varandra och som sedan upprepas. Arbetet underlättas genom att myndigheten i förväg specificerar olika skyddsnivåer. Information med olika skyddsbehov kan därefter knytas till lämplig skyddsnivå. Med skyddsnivå menas grupperingar av åtgärder vilka används för att skydda information som med hjälp av informationsklassning konstaterats ha samma skyddsbehov.

text: Myndigheten bör kontinuerligt analysera hot och risker i verksamheten. Resultatet av genomförda analyser bör leda till beslut om anpassade säkerhetsåtgärder. Behovet av att säkerställa spårbarhet i informationshanteringen bör särskilt beaktas vid valet av säkerhetsåtgärder. Myndigheten bör utveckla standardiserade skyddsnivåer där säkerhetsåtgärder sammanförs på ett sätt som motsvarar myndighetens informationsklassningsmodell. Särskild uppmärksamhet bör läggas på att verksamhetens säkerhetskrav beaktas vid utveckling, upphandling, anskaffning och avveckling av resurser för informationsbehandling. Vid utveckling av e-tjänster bör åtgärder vidtas för att säkerställa att medborgare och samverkande parter inte drabbas av skada. Etablerade säkerhetsåtgärder bör verifieras och godkännas av ansvarig för informationsbehandling i it-systemet innan driftsättning. Relevans och nytta av vidtagna åtgärder bör utvärderas genom regelbunden granskning och uppföljning. Intern granskning bör kompletteras med oberoende extern granskning. Fortlöpande dokumentation om klassning, riskanalyser och andra bedömningar bör sammanställas på ett sätt som underlättar utvärdering av informationssäkerhetsarbetet.

text: I dokumentationen bör även informationssäkerhetsaspekter beaktas avseende − myndighetens interna informationshantering, − myndighetens information som hanteras av extern part, och − tjänster som myndigheten erbjuder andra aktörer inom e-förvaltning eller motsvarande.

text: Vägledning för informationsklassning finns på www.msb.se.

text: Kommentarer till 10 -11 §§

text: Rutiner för intern incidenthantering bör vara utformade så att de bidrar till att mildra effekter av, säkra bevisning om, dra lärdomar från och förhindra upprepande av incident, samt för att underlätta återgång till normal drift. Rutiner för intern incidenthantering bör vara kommunicerade till berörd personal och berörda externa parter. Kännedom om rutinerna bör regelbundet följas upp. Myndigheten bör säkerställa att det finns rutiner för att hantera incidenter som kan ha orsakats av brottsliga gärningar. Rapportering av inträffade incidenter bör regelmässigt ske till den eller de befattningshavare som utsetts för att leda och samordna informationssäkerhetsarbetet.

text: För att kontinuerligt kunna anpassa informationssäkerhetsarbetet till verksamhetens behov och på detta sätt bedriva ett ändamålsenligt informationssäkerhetsarbete, krävs kunskap om risker och sårbarheter, exempelvis information om inträffade incidenter. I sådan dokumentation som i övrigt krävs enligt 7 § bör både uppgifter om eventuella brister i det systematiska informationssäkerhetsarbetet och allvarligare incidenter ingå. Intern incidenthantering bidrar till att säkerställa att myndigheten har möjlighet att uppfylla kraven på obligatorisk it-incidentrapportering för statliga myndigheter enligt förordning (

text: ) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap och Myndigheten för samhällsskydd och beredskaps föreskrifter (

text: MSBFS 2016:2

text: ) om statliga myndigheters rapportering av it-incidenter.

text: För att kunna sätta samman en helhetsbild över inträffade incidenter och händelser i myndighetens it-system och för att säkerställa jämförbarhet mellan loggar bör myndigheten se till att alla system har en enhetlig tid.

text: Större störningar, avbrott och kriser kan orsaka stora problem för en organisations informationshantering. Det kan exempelvis handla om långvariga elavbrott, omfattande sjukdomsfrånvaro hos personalen, allvarliga virusangrepp eller dataintrång samt översvämningar i datorhallar.

text: MSBFS 2016:1

text: Rutiner för kontinuitetshantering ger möjlighet för en organisation att förbereda sig inför och därmed enklare kunna hantera organisationens behov vid större störningar, avbrott och kriser. Stöd för kontinuitetshanteringsarbetet kan hämtas från genomförda riskanalyser vilka ger en bild av de typer av störningar, avbrott och kriser som särskilt bör beaktas. En god kännedom om vilka de viktigaste verksamheterna är, och vilka resurser som är nödvändiga för att upprätthålla dem, underlättar arbetet.

text: I rutiner för kontinuitetshantering bör roller med tillhörande ansvar och befogenheter definieras. Rutinerna bör även säkerställa att verksamheten kan bedrivas enligt den nivå av kontinuitet som behöver upprätthållas och som beslutats. Genom rutiner för kontinuitetshantering bör myndigheten efter genomförd analys av risker och sårbarheter − säkerställa den nivå av kontinuitet för informationshantering som krävs vid större störningar, avbrott och kriser, − identifiera alternativa arbetssätt, − fastställa krisorganisation, samt − fastställa hur stöd för återgång till normal verksamhet ska utformas.

text: Myndighetens rutiner rörande kontinuitetshantering bör regelbundet följas upp och utvärderas. Detta bör särskilt ske i samband med − övningar där säkerhetsåtgärderna för kontinuitetshantering prövas, samt − större organisationsändringar och förändrade verksamhetskrav.

text: MSBFS 2016:1

text: Beställningsadress: Wolters Kluwers kundservice, 106 47 Stockholm Telefon: 08-598 191 90, www.wolterskluwer.se E-post: kundservice@wolterskluwer.se


title: Myndigheten för samhällsskydd och beredskaps föreskrifter om statliga myndigheters rapportering av it-incidenter

text: Denna författning innehåller föreskrifter om hur statliga myndigheter till Myndigheten för samhällsskydd och beredskap ska rapportera itincidenter som allvarligt kan påverka säkerheten i den informationshantering som myndigheten ansvarar för, eller i tjänster som myndigheten levererar till en annan organisation, enligt

text: 20 § förordningen (2015:1052)

text: om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap.

text: Kontaktuppgifter

text: Varje myndighet ska meddela aktuella kontaktuppgifter för den funktion vid myndigheten som ska ta emot information om it-incidenter från Myndigheten för samhällsskydd och beredskap.

text: Rapporteringspliktiga it-incidenter

text: I

text: 20 § förordningen (2015:1052)

text: om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap finns grundläggande bestämmelser om vilka it-incidenter som ska rapporteras till Myndigheten för samhällsskydd och beredskap.

text: Allmänna råd som ansluter till föreskrifterna finns på sid 5.

text: MSBFS 2016:2

text: De rapporteringspliktiga it-incidenterna kan utgöras av kategorierna 1. störning i mjuk- eller hårdvara, 2. störning i driftmiljö, 3. informationsförlust eller informationsläckage, 4. informationsförvanskning, 5. hindrad tillgång till information, 6. säkerhetsbrist i en produkt, 7. angrepp, 8. handhavandefel, 9. oönskad eller oplanerad störning i kritisk infrastruktur, eller 10. annan plötslig oförutsedd händelse som lett till skada.

text: När rapportering ska ske

text: Varje myndighet ska rapportera en it-incident senast 24 timmar efter det att myndigheten upptäckt den rapporteringspliktiga incidenten.

text: Hur rapportering ska ske

text: Rapporterna ska lämnas till Myndigheten för samhällsskydd och beredskap via anvisade kontaktvägar.

text: En rapport ska innehålla 1. myndighetens namn, 2. en beskrivning av it-incidenten som även inkluderar en övergripande redovisning av händelseförlopp och vidtagna åtgärder, 3. den exakta eller uppskattade tidpunkten för när it-incidenten inträffade, 4. när myndigheten upptäckte it-incidenten och om den alltjämt pågår eller är avslutad, 5. till vilken eller vilka kategorier enligt 3 § som it-incidenten hör, samt 6. myndighetens initiala bedömning av it-incidentens omfattning och konsekvenser, både faktiska och potentiella. I rapporten ska om möjligt även anges bedömd sekretess för den information som rapporteras in. Om den rapporterande myndigheten vid sin interna incidentutredning konstaterar att inrapporterade uppgifter om kategorier, omfattning och konsekvenser varit missvisande eller felaktiga ska myndigheten komplettera eller korrigera sin rapport så snart som möjligt.

text: På begäran av Myndigheten för samhällsskydd och beredskap ska en rapporterande myndighet lämna uppgifter som kompletterar rapporteringen enligt 6 §.

text: Sådana uppgifter ska lämnas snarast, om inget annat överenskommits med Myndigheten för samhällsskydd och beredskap.

text: En myndighet som inte kan lämna en rapport enligt 6 § får i samråd med Myndigheten för samhällsskydd och beredskap lämna en preliminär rapport. Samråd ska ske innan tidsfristen för rapportering enligt 4 § går ut. Rapporten ska innehålla den information som finns att tillgå vid inrapporteringstillfället samt när myndigheten upptäckte it-incidenten, om den fortfarande pågår eller är avslutad, samt vilken eller vilka kategorier i 3 § som orsakat incidenten. Den fullständiga rapporten enligt 6 § ska i ett sådant fall lämnas senast två veckor från det att it-incidenten upptäcktes.

text: Utkontraktering

text: Om en myndighet överlåter en del av sin informationshantering till en icke statlig aktör ska myndigheten i överlåtelseavtalet se till att motparten åtar sig att rapportera it-incidenter i berörda system till myndigheten på ett sätt som motsvarar kraven enligt denna författning. Myndigheten ska utan dröjsmål vidarebefordra en sådan rapport till Myndigheten för samhällsskydd och beredskap. Skyldigheten enligt första stycket gäller med avseende på avtal som träffas efter denna författnings ikraftträdande.

text: Polisanmälda it-incidenter

text: I det fall en myndighet har polisanmält en it-incident behöver myndigheten inte lämna en rapport enligt 6 § utan endast en kopia på polisanmälan. ____________ Denna författning träder i kraft den 4 april 2016.

text: HELENA LINDBERG

text: Ingela Darhammar Hellström (Avdelningen för utveckling av samhällsskydd)

text: MSBFS 2016:2

text: Myndigheten för samhällsskydd och beredskaps allmänna råd om statliga myndigheters rapportering av it-incidenter

text: Dessa allmänna råd ansluter till Myndigheten för samhällsskydd och beredskaps föreskrifter om statliga myndigheters rapportering av itincidenter. Termer och uttryck som används i föreskrifterna används med samma betydelse i dessa allmänna råd. Allmänna råd har en annan juridisk status än föreskrifter. Allmänna råd är inte tvingande. Deras funktion är att förtydliga innebörden i lag, förordning eller myndighetsföreskrifter och att ge generella rekommendationer om deras tillämpning. Allmänna råd är markerade med grå bakgrund.

text: CECILIA NYSTRÖM

text: MSBFS 2016:2

text: Författningens syfte och tillämpningsområde (1-2 §§)

text: Bakgrund

text: Föreskrifterna om it-incidentrapportering syftar till att skapa en systematisk, bred och samlad rapportering av allvarliga it-incidenter. Rapporteringen ökar möjligheten att hantera och begränsa konsekvenserna av sådana itincidenter och på det sättet bidra till att öka samhällets informationssäkerhet.

text: It-incidenthantering

text: Varje myndighet ansvarar för att ta fram de processer och rutiner som myndigheten behöver för att kunna uppfylla kraven på it-incidentrapportering enligt denna författning. Av Myndigheten för samhällsskydd och beredskaps föreskrifter om statliga myndigheters informationssäkerhet (

text: MSBFS 2016:1

text: ) framgår vilka krav som ställs på en myndighet. Myndigheten ska ha interna rutiner för att identifiera, rapportera, bedöma, hantera och dokumentera incidenter som kan påverka säkerheten i den informationshantering som myndigheten svarar för eller i tjänster som myndigheten tillhandahåller åt en annan organisation. Myndigheten ska även ha processer för att lära av sådana inträffade incidenter och utförda åtgärder.

text: It-incident

text: Begreppet ”it” (informationsteknik) bör tolkas som teknik för insamling, lagring, bearbetning, produktion, återfinnande, utplåning samt kommunikation och presentation av information (data, text, ljud, bild). Med ”it-incident” bör förstås en oönskad och oplanerad it-relaterad händelse som kan påverka säkerheten i organisationens eller samhällets informationshantering och som kan innebära en störning i organisationens förmåga att bedriva sin verksamhet.

text: Begreppet it-incident rymmer både tekniskt orienterade säkerhetsincidenter och informationssäkerhetsaspekter. Definitionen harmonierar med svenska och internationella standarder inom ISO/IEC 27000-serien och de begrepp som används internationellt. En it-incident kan således vara en händelse som påverkar eller stör data, telekommunikation, hård- eller mjukvara. Orsaken kan vara bristande kompetens, mänskliga misstag, tekniska sammanbrott eller naturhändelser.

text: Kontaktuppgifter

text: Kontaktuppgifter för den funktion vid myndigheten som ska ta emot information med koppling till it-incidenter bör inkludera telefonnummer, e-postadresser och postadress samt uppgift om bemanning.

text: Eventuella sekretessbelagda uppgifter som lämnas till MSB hanteras enligt gällande bestämmelser.

text: Rapporteringspliktig it-incident (3 §)

text: Varje myndighet gör en självständig bedömning av vilka it-incidenter som omfattas av rapporteringsskyldigheten i 20 §. Det har blivit allt vanligare att myndigheter, parallellt med att kommersiella it-relaterade tjänster upphandlas, även samverkar sinsemellan och med kommuner kring olika typer av it-relaterade lösningar. Sådana samarbeten kan till exempel vara gemensamma system, gemensamma driftmiljöer, gemensamma kommunikationslösningar eller molntjänster. Störningar i denna typ av lösningar kan leda till att verksamhet hos ett flertal myndigheter och i förlängningen samhället påverkas negativt. Det är därför viktigt att itincidenter som allvarligt påverkar säkerheten rapporteras. För bedömning av allvarlighetsgraden hos en it-incident kan myndigheten ta del av information som tillhandahålls på Myndigheten för samhällsskydd och beredskaps webbplats www.cert.se. Som ledning för den bedömning som en rapporterande myndighet ska göra avseende vilken eller vilka kategorier en it-incident hänför sig till kan följande exempel och beskrivningar användas.

text: Störning i mjuk- och hårdvara

text: Kan exempelvis innefatta fel i system, komponent eller programvara samt oväntad funktion i system eller komponent eller systemkrasch.

text: Störning i driftmiljö

text: Kan exempelvis bestå i haveri i tekniskt system eller komponent, eller förlust av tillgänglighet i system. Hit räknas även störningar i system med säkerhetsfunktioner, exempelvis säkerhetskopiering.

text: Informationsförlust eller informationsläckage

text: Tillgänglighetsförluster kan vara permanenta eller temporära. Exempelvis är en informationsförlust orsakad av brand i serverhall ofta permanent, medan systemfel eller en omfattande överbelastningsattack kan leda till temporär tillgänglighetsförlust. Kategorin förlust av tillgänglighet till, eller läckage av

text: MSBFS 2016:2

text: information i myndighetens informationssystem, kan inkludera felaktig avyttring av teknisk utrustning som innehåller information som inte ska vara allmänt tillgänglig, eller otillåtet offentliggörande av sådan information. Informationsläckage innebär att myndighetens information inte gått förlorad men att någon på obehörigt sätt skaffat sig tillgång till den. Vid informationsläckage kan det vara svårt att bedöma hur stor spridning informationen fått eller om läckaget inneburit att den aktör som skaffat sig tillgång till informationen behållit den för eget bruk. Osäkerhet om hur stor spridning informationen fått bör beaktas vid bedömning av hur allvarlig incidenten är.

text: Informationsförvanskning eller hindrad tillgång till information

text: Förvanskning av information kan leda till att informationen helt eller delvis har blivit korrumperad eller att det inte går att säkerställa dess riktighet. Hindrad tillgång till information kan exempelvis innebära att informationen eller ett system där informationen finns inte kan användas på avsett sätt.

text: Säkerhetsbrist i en produkt

text: Kategorin kan exempelvis innefatta it-incidenter orsakade av säkerhetsluckor eller annan sårbarhet i tekniskt hjälpmedel som används av myndigheten.

text: Angrepp

text: I ett initialt skede kan det vara svårt att avgöra varifrån ett angrepp kommer eller om det faktiskt rör sig om ett angrepp. Till kategorin räknas exempelvis överbelastningsattack, införande av skadlig kod, intrång i informationssystem (s.k. hackning), olovligt nyttjande eller annat missbruk av lösenord, olovlig åtkomst till information genom skadliga program och obehörig användning av informationssystem. Som angrepp räknas även angrepp som möjliggjorts eller genomförts av egen personal eller personer som på motsvarande sätt har en anknytning till den drabbade myndigheten, exempelvis inhyrd personal.

text: Handhavandefel

text: Kategorin omfattar exempelvis it-incidenter som orsakas av internt felaktigt bruk eller felaktig implementering av tekniskt system eller komponent.

text: Oönskad eller oplanerad störning i kritisk infrastruktur

text: Funktionen hos myndighetens informationssystem är ofta starkt beroende av tillgång till extern försörjning av el och kommunikationstjänster, men även

text: interna system för att trygga funktionen i kritisk infrastruktur. Till kategorin bör därför räknas it-incidenter som orsakas av exempelvis elektriskt fel, vattenskada eller störning i funktioner för avbrottsfri kraftförsörjning, kylning eller ventilation.

text: Annan plötslig oförutsedd händelse som lett till skada

text: Till kategorin kan räknas it-incidenter som orsakats av annan händelse än de som omfattas av kategorierna som nämnts ovan men som av rapporterande myndighet inte bedöms kunna sorteras in i någon av dessa kategorier.

text: Rapportering av it-incidenter (4-10 §§)

text: Tidsram

text: I och med att myndigheterna ska rapportera it-incidenten senast 24 timmar från upptäckt får Myndigheten för samhällsskydd och beredskap på ett tidigt stadium indikationer på om till exempel flera myndigheter eller organisationer samtidigt drabbats. Sådana incidenter kan kräva omedelbara åtgärder av fler aktörer än den rapporterande myndigheten. Fler aktörer än de som direkt är berörda kan på så sätt få en tidig information och varning. Detta innebär en möjlighet att begränsa konsekvenserna och spridningen av en inträffad it-incident.

text: Myndigheten anses ha upptäckt it-incidenten när information om den hanteras i utpekad intern process för hantering av it-incidenter eller när säkerhetsansvarig eller motsvarande fått kännedom om incidenten.

text: Anvisade kontaktvägar

text: Myndigheten för samhällsskydd och beredskap anvisar ett tekniskt gränssnitt för inrapportering av it-incidenter, samt tillhandahåller den information som behövs för att använda gränssnittet. Av olika skäl kan det finnas behov av att använda alternativa av MSB anvisade kontaktvägar såsom kommunikation för e-post eller telefon. Information om anvisade kontaktvägar för obligatorisk it-incidentrapportering finns på Myndigheten för samhällsskydd och beredskaps webbplats www.cert.se där information av betydelse för it-incidenthantering publiceras.

text: MSBFS 2016:2

text: Rapport om en it-incident

text: En rapport enligt 6 § bör inte innehålla personuppgifter.

text: Konsekvenser bör beskrivas med stöd av den kategorisering som Myndigheten för samhällsskydd och beredskap tillhandahåller.

text: Kompletterande uppgifter

text: Om det finns misstankar om att de it-incidenter som har rapporterats kan få snabb spridning eller omfattande konsekvenser för samhället kan en fördjupad analys behövas. På begäran av Myndigheten för samhällsskydd och beredskap ska den rapporterande myndigheten lämna kompletterande uppgifter till rapporteringen enligt 6 §. Kompletterande uppgifter kan också komma att begäras in för att avgöra om it-incidenter som olika myndigheter har rapporterat in har något samband med varandra eller om de exempelvis har orsakats av samma säkerhetsbrist i en produkt. Syftet med kompletteringen är att bidra i arbetet med att begränsa skadan och förebygga att liknande it-incidenter inträffar i samhället. Vilken information som den rapporterande myndigheten bör komplettera med och hur den ska hanteras avgörs i samråd med Myndigheten för samhällsskydd och beredskap. Information om hur de kompletterande uppgifterna och övrig information hanteras hos Myndigheten för samhällsskydd och beredskap finns på www.cert.se.

text: Om personuppgifter lämnas till Myndigheten för samhällsskydd och beredskap vid en begäran enligt 7 § ska behandlingen vid behov regleras genom särskild överenskommelse.

text: Preliminär rapport

text: En preliminär rapport bör endast lämnas i undantagsfall.

text: MSBFS 2016:2