Domstolsverkets föreskrifter om informationssäkerhet för gemensamma informationssystem

Dessa föreskrifter innehåller bestämmelser om informationssäkerhet när det gäller informationssystem och enheter som direkt eller indirekt är anslutna till Sveriges Domstolars gemensamma nätverk Domnät.

Föreskrifterna gäller för de allmänna domstolarna, de allmänna förvaltningsdomstolarna, hyres- och arrendenämnderna, Rättshjälpsmyndigheten, Rättshjälpsnämnden och Domstolsverket, samt andra myndigheter som direkt eller indirekt är anslutna till Domnät enligt särskild överenskommelse.

Dessa föreskrifter kompletteras av Sveriges Domstolars ledningssystem för informationssäkerhet.

(Domstolsverkets dnr DOV 2021/532) 1

I dessa föreskrifter avses med

Användare : Den som, genom anställning, uppdrag, praktik eller liknande vid en eller flera myndigheter inom Sveriges Domstolar, är berättigad åtkomst till informationssystem inom Sveriges Domstolar.

Centralt tillhandahållna informationssystem inom Sveriges Domstolar: Informationssystem, nätverk och infrastruktur som tillhandhålls och förvaltas centralt av Domstolsverket. Exempelvis Domnät, verksamhetsstöd, video- och telefonisystem och molntjänster.

Domnät: Sveriges Domstolars g emensamma nätverk som gör åtkomst möjlig till informationssystem inom Sveriges Domstolar och till internet.

E-identifiering och e-underskrift: Används för säker identifiering för åtkomst till informationssystem inom Sveriges Domstolar och för digital underskrift i vissa fall.

Enhet: Teknisk utrustning som används för åtkomst till informationssystem inom Sveriges Domstolar, t.ex. dator, mobil enhet och nätverksutrustning.

Information: Allt innehåll som behandlas digitalt och som rör en myndighets verksamhet.

Informationssystem inom Sveriges Domstolar : Applikationer, tjänster eller andra komponenter som hanterar information och som direkt eller indirekt är anslutna till Domnät. Ett informationssystem kan vara placerat vid Sveriges Domstolar eller hos en extern leverantör.

Informationssäkerhet: Bevarande av konfidentialitet, riktighet, tillgänglighet och spårbarhet hos information.

Informationsägare : Den som har ägaransvaret för information som behandlas i ett eller flera informationssystem.

Molntjänst: Ett internetbaserat informationssystem som tillhandahåller datalagring, programkörning eller andra it-funktioner av extern leverantör.

Sveriges Domstolar : De allmänna domstolarna, de allmänna förvaltningsdomstolarna, hyres- och arrendenämnderna, Rättshjälpsmyndigheten, Rättshjälpsnämnden och Domstolsverket .

Systemägare: Den som har det övergripande ansvaret för ett informationssystem, nätverk eller infrastruktur, inkl. säkerhetsnivån i dessa system.

Säkerhetsskyddsklassificerade uppgifter : Uppgifter som rör säkerhetskänslig verksamhet och som därför omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400), i den mening som avses i säkerhetsskyddslagen (2018:585).

Domstolsverkets generaldirektör har det övergripande ansvaret för informationssäkerheten för centralt tillhandahållna informationssystem inom Sveriges Domstolar och är systemägare för dessa.

Myndighetschef

Myndighetschefen vid respektive myndighet ansvarar för att informationssäkerheten upprätthålls vid myndigheten och ansvarar för att användarna vid respektive myndighet följer dessa föreskrifter.

Myndighetschefen är systemägare för egna informationssystem på myndigheten.

Myndighetschefen är informationsägare till myndighetens information.

Myndighetschefen ansvarar för att Sveriges Domstolars ledningssystem för informationssäkerhet gällande e-identifiering och e-underskrift efterlevs.

Informationssäkerhetschef vid Domstolsverket

Informationssäkerhetschefen har huvudansvar för det övergripande systematiska och riskbaserade informationssäkerhetsarbetet inom Sveriges Domstolar.

Användare

Varje användare ansvarar för att informationssäkerheten upprätthålls genom att följa dessa föreskrifter.

Endast den som har anställning, uppdrag, praktik eller liknande vid en eller flera myndigheter inom Sveriges Domstolar får ges åtkomst till Domnät och informationssystem inom Sveriges Domstolar.

Myndighetschefen eller den myndighetschefen har delegerat uppgiften till ansvarar för att en användare endast har den åtkomst till informationssystem som användaren behöver för att kunna fullgöra sina arbetsuppgifter.

Utbildning

Varje myndighet ska utbilda och informera samtliga användare om dessa föreskrifter, samt se till att de genomgår Domstolsverkets e-utbildning i informationssäkerhet i samband med att anställning, uppdrag, praktik eller liknande påbörjas och därefter årligen.

Ansvarsförbindelse

Varje myndighet ska se till att samtliga nya användare undertecknar ansvarsförbindelse för användare av informationssystem inom Sveriges Domstolar efter genomgången e-utbildning.

Endast enheter som är godkända av Domstolsverket får användas för åtkomst till Domnät och informationssystem inom Sveriges Domstolar.

Endast programvaror som är godkända av Domstolsverket får laddas ned och installeras på enheter och i informationssystem inom Sveriges Domstolar.

Endast molntjänster som är godkända av Domstolsverket får användas för hantering av information.

Generella användarkrav

Inloggningsuppgifter och behörigheter är personliga och ska inte lånas ut eller på annat sätt göras åtkomliga för andra.

Informationssystem och enheter är avsedda att användas i tjänsten. Privat användning av t.ex. Officepaketet, internet och e-post är tillåten i begränsad omfattning.

En användare får inte stänga av, manipulera eller på annat sätt kringgå IT-säkerhetstjänster som finns på enheter och i informationssystemen. IT-säkerhetstjänster är t.ex. antivirusprogram, webbfilter och e-postfilter.

Kontroll mot skadlig kod ska alltid göras i samband med att en enhet tar emot elektroniska filer från externa lagringsmedier, till exempel USB-minne eller externa lagringstjänster.

En användare som upptäcker incidenter, fel eller brister som kan ha betydelse för informationssäkerheten inom Sveriges Domstolar, ska anmäla detta till närmaste chef vid myndigheten för vidare hantering.

Hantering av information

Vid hantering av information via e-post ska de e-posttjänster som Domstolsverket anvisar användas.

En användare ska hantera känslig information på ett sådant sätt att risken för att obehöriga får del av den minimeras.

Säkerhetsskyddsklassificerade uppgifter ska inte hanteras i informationssystem eller enheter som direkt eller indirekt är anslutna till Domnät, utan ska hanteras separat och i särskild ordning.

Hantering av enheter

En användare ska hantera en enhet på ett sätt som minimerar risken för att obehöriga får tillgång till den. Om en användare lämnar en enhet utan uppsikt ska den vara låst.

Vid förlust av en enhet ska detta snarast anmälas till driftsansvarig eller motsvarande funktion för vidare hantering och åtgärd.

Särskilt om mobilt arbete

Vid mobilt arbete ska användaren se till att ingen obehörig kan ta del av information som visas på skärmen eller spelas upp från enheten.

Det är inte tillåtet att använda lokal eller central administratörsbehörighet vid användande av Vera via fjärråtkomst. Lokal eller central administratörsbehörighet får endast användas i Sveriges Domstolars lokaler.

Vid misstanke om användning av informationssystem inom Sveriges Domstolar i strid med dessa föreskrifter ska ansvarig myndighetschef kontrollera användandet.

I förebyggande syfte har Domstolsverkets informationssäkerhetschef och myndighetscheferna inom Sveriges Domstolar rätt att kontrollera att dessa föreskrifter följs. Kontroll kan ske såväl av enskilda användare som generellt. Kontroll sker med hjälp av loggning eller andra tekniska verktyg. ____________

1. Dessa föreskrifter träder i kraft den 1 januari 2022.

2. Genom dessa föreskrifter upphävs Domstolsverkets föreskrifter (DVFS 2015:5) om informationssäkerhet för gemensamma IT-system.

DOMSTOLSVERKET

Thomas Rolén

Marita Stjernmira