Myndigheten för samhällsskydd och beredskaps föreskrifter om rapportering av incidenter för leverantörer av samhällsviktiga tjänster

Denna författning innehåller bestämmelser om rapportering av incidenter för leverantörer av samhällsviktiga tjänster enligt 18 § lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster inklusive vad som avses med en betydande inverkan på kontinuiteten i den samhällsviktiga tjänsten.

De uttryck som förklaras i 2 § lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster har samma innebörd i denna författning.

I denna författning avses med akutsjukhus Vårdinrättning som är inrättad för sluten vård och som har särskild akutmottagning för den som behöver omedelbar hälso- och sjukvård. extern aktör Underleverantör, inhyrda konsulter eller motsvarande.

Allmänna råd som ansluter till föreskrifterna finns på sid 7.

Incidenter som orsakar störningar vilka får betydande inverkan på kontinuiteten i den samhällsviktiga tjänsten är rapporteringspliktiga enligt 18 § lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster. Av kapitel 3-9 framgår vad som är betydande inverkan inom respektive sektor.

Incidenter ska rapporteras till Myndigheten för samhällsskydd och beredskap via anvisade kontaktvägar.

Leverantören ska 1. senast inom sex timmar från det att leverantören har identifierat att en incident är rapporteringspliktig, rapportera uppgifter enligt 4 § punkt 1-8 till Myndigheten för samhällsskydd och beredskap. 2. senast inom 24 timmar från det att leverantören har identifierat att en incident är rapporteringspliktig rapportera uppgift enligt 4 § punkt 9, samt vid behov ändra eller komplettera tidigare rapportering. 3. inom fyra veckor från det första rapporteringstillfället rapportera uppgift enligt 4 § punkt 10-11, samt vid behov ändra eller komplettera tidigare rapportering.

En rapport enligt 2 § ska innehålla följande information. 1. Leverantörens namn. 2. Kontaktuppgifter till utsedd kontaktperson eller kontaktfunktion för incidenten och för störningen. 3. Berörd samhällsviktig tjänst. 4. Namn och organisationsnummer till extern aktör dit informationshantering har utkontrakterats i det fall incidenten inträffat hos den externa aktören. 5. En beskrivning av inträffad incident, utifrån a) tidpunkt för när incidenten inträffade och när den upptäcktes, b) om den fortfarande pågår eller tidpunkt för när drabbade nätverk och informationssystem återgick till normaldrift, c) händelseförlopp, d) hanteringen av incidenten, samt e) typ, orsak och konsekvenser. 6. En beskrivning av störningen, utifrån a) tidpunkt för när störningen uppstod samt när och hur den upptäcktes, b) om störningen fortfarande pågår eller tidpunkt för när den upphörde alternativt förväntas upphöra, c) dess påverkan på den samhällsviktiga tjänsten, d) användare som påverkas av störningen, samt e) geografiskt område som påverkas.

Om den rapporterande leverantören inom ett år från det att rapportering har skett konstaterar att lämnade uppgifter är felaktiga ska uppgifterna korrigeras utan onödigt dröjsmål.

Leverantörer inom el ska rapportera incidenter som orsakat störning i den samhällsviktiga tjänsten som 1. har pågått i minst två timmar och som har påverkat a) minst 2 000 kunder, eller b) minst 50 % av kunderna, eller 2. har påverkat styrning och övervakning av transmissionsnät, regionnät eller elproduktion.

Leverantörer inom gasförsörjningen ska rapportera incidenter som orsakat störning i den samhällsviktiga tjänsten som 1. innebär risk för en händelse som resulterar i en avsevärd försämring av försörjningssituationen för gas, 2. kan leda till avbrott i gasförsörjningen, eller 3. har påverkat styrning och övervakning inom ramen för systemansvarstjänst.

Leverantörer inom olja i form av flytande drivmedel och bränslen ska rapportera incidenter som orsakat störning i den samhällsviktiga tjänsten som 1. har pågått i minst 12 timmar, eller 2. påverkar styrning och övervakning av ledning, överföring och distributionsnätverk under minst två timmar.

Leverantörer inom transport ska rapportera incidenter som orsakat störning i den samhällsviktiga tjänsten som 1. har pågått i minst en timme och kan antas ha påverkat a) minst 1000 användare, eller

b) ett sammanhängande geografiskt område om minst 10 000 km , eller 2. har pågått i minst två timmar.

Leverantörer inom bankverksamhet ska rapportera incidenter som orsakat störning i den samhällsviktiga tjänsten som 1. innebär att transaktioner inte kan eller sannolikt inte kommer att kunna initieras eller behandlas för a) minst 25 % av leverantörens normala antal transaktioner, eller b) minst 25 % av leverantörens användare, eller 2. pågår sammanlagt minst tre timmar under en 24-timmars period.

Leverantörer inom finansmarknadsinfrastruktur ska rapportera incidenter som orsakat störning i den samhällsviktiga tjänsten som 1. innebär avvikelse från sådan konnektivitet som avses i art. 11 punkt 5 Kommissionens delegerade förordning (EU) 2017/584 av den 14 juli 2016 om komplettering av Europaparlamentets och rådets direktiv 2014/65/EU avseende tekniska tillsynsstandarder som specificerar organisatoriska krav för handelsplatser, 2. påverkar väsentliga tjänster hos systemviktiga finansiella infrastrukturföretag och har pågått i minst en timme, eller 3. har pågått i minst två timmar.

Leverantörer inom hälso- och sjukvård ska rapportera incidenter som orsakat störning i den samhällsviktiga tjänsten som 1. innebär att anmälningsskyldighet inträder enligt 3 kap. 5 § första stycket patientsäkerhetslagen (2010:659), 2. har påverkat tillhandahållandet av ambulans och ambulanssjukvård enligt 7 kap. 6 § hälso- och sjukvårdslagen (2017:30), 3. innebär att sådan hälso- och sjukvård som baseras på system som insamlar, bearbetar, lagrar eller distribuerar och presenterar information inte kan tillhandahållas i minst två timmar, eller 4. har pågått i minst sex timmar.

Leverantörer inom leverans och distribution av dricksvatten ska rapportera incidenter som orsakat störning i den samhällsviktiga tjänsten som 1. har pågått i minst två timmar och som a) kan antas ha påverkat minst 2 000 personer, b) har påverkat akutsjukhus, eller 2. har påverkat styrning och övervakning av tjänsten.

Leverantörer inom digital infrastruktur ska rapportera incidenter som orsakat störning i den samhällsviktiga tjänsten som innebär 1. att toppdomänens namnservertjänst har en tillgänglighet på mindre än 100 procent, 2. förlorad konfidentialitet eller riktighet i lagrade, överförda eller behandlade data i samband med tillhandahållande av en toppdomäns namnservertjänst som har berört fler än 2 500 domännamn, 3. att en rekursiv namnservertjänst har en tillgänglighet på mindre än 100 procent under en sammanhängande period som överstiger en timme, 4. förlorad konfidentialitet eller riktighet i lagrade, överförda eller behandlade data i samband med tillhandahållande av en rekursiv namnservertjänst som har berört fler än 10 000 användare, 5. att en auktoritativ namnservertjänst har en tillgänglighet på mindre än 100 procent under en sammanhängande period som överstiger två timmar, eller 6. förlorad konfidentialitet eller riktighet i lagrade, överförda eller behandlade data i samband med tillhandahållande av en auktoritativ namnservertjänst som har berört fler än 2 500 domännamn. ___________________ Denna författning träder i kraft den 1 mars 2019.

Myndigheten för samhällsskydd och beredskap

DAN ELIASSON

Carina Wetzel (Avdelningen för cybersäkerhet och skydd av samhällsviktig verksamhet)

Myndigheten för samhällsskydd och beredskaps allmänna råd om rapportering av incidenter för leverantörer av samhällsviktiga tjänster

Följande allmänna råd ansluter till Myndigheten för samhällsskydd och beredskaps föreskrifter om rapportering av incidenter för leverantörer av samhällsviktiga tjänster. Termer och uttryck som används i föreskrifterna har samma betydelse här.

Allmänna råd har en annan juridisk status än föreskrifter. Allmänna råd är inte tvingande. Deras funktion är att förtydliga innebörden i lag, förordning eller myndighetsföreskrifter och att ge generella rekommendationer om deras tillämpning.

Allmänna råd är markerade med grå bakgrund.

Myndigheten för samhällsskydd och beredskap

ÅKE HOLMGREN

Carina Wetzel (Avdelningen för cybersäkerhet och skydd av samhällsviktig verksamhet)

Anvisade kontaktvägar finns på www.msb.se.

Leverantören bör säkerställa att det finns interna regler och arbetssätt för att utan dröjsmål kunna identifiera om en incident uppfyller kriterierna i kap. 3-9 och därmed är rapporteringspliktig.

p 2. Kontaktuppgifter bör hållas uppdaterade och bör inkludera roll, telefonnummer och e-postadress samt uppgift om tillgänglighet.

p 5. e)

En beskrivning av konsekvenser bör göras utifrån tillgänglighet, riktighet och konfidentialitet.

p 11. Vid rapportering av vilka åtgärder som planeras bör sådana åtgärder som vidtas för att hantera incidentens grundorsak redovisas.

Även uppgifter som vid rapportering bedöms vara korrekta bör korrigeras om de senare visar sig vara felaktiga.

Beställningsadress: Norstedts Juridik, 106 47 Stockholm Telefon: 08-598 191 90 E-postadress: kundservice@nj.se Webbadress: www.nj.se/offentligapublikationer