Avsnitt
1.1 Motiv till granskning
Digitaliseringen har slagit igenom i alla samhällssektorer på alla nivåer. Det ökar behovet av informations- och cybersäkerhet. Cybersäkerhetshotet sägs öka[1], men insynen i risk- och hotbilden samt existerande sårbarheter är begränsad. Konsultföretaget PwC har konstaterat att svenska företag drabbas av cyberattacker i högre utsträckning än motsvarande nordiska företag och att trenden är ökande.[2] Riskerna och hoten är dock svåra att uppskatta och definiera. Mörkertalet är stort på området; attacker som förekommer eller avvärjs, liksom brister som identifieras, blir inte alltid publika. Alla intrång identifieras inte heller. Myndigheten för samhällsskydd och beredskap (MSB) konstaterade i sin årsrapport att stora delar av den offentliga förvaltningen inte arbetar systematiskt med sin informationssäkerhet och att det behövs en generell satsning på att stärka det systematiska informationssäkerhetsarbetet i den offentliga förvaltningen.[3]
Enligt beräkningar från EU var kostnaderna för cyberattacker på den globala ekonomin 5,5 miljarder euro under 2020. Enligt Europaparlamentet går skadorna som orsakas av cyberattacker bortom ekonomi och hotar EU:s demokratiska grunder såväl som samhällets grundläggande funktioner. Nödvändiga tjänster och viktiga sektorer som transport, energi, hälsa och finans har blivit alltmer beroende av digitala teknologier. Detta, tillsammans med ett ständigt ökande antal fysiska objekt uppkopplade till nätet kan få stora konsekvenser och kan göra cybersäkerhet till en fråga om liv och död.[4]
Ansvaret för att hantera riskerna, hoten och sårbarheterna samt öka säkerheten är delat, både inom Regeringskansliet och mellan myndigheter. Vissa departement och myndigheter kan sägas vara centrala för arbetet, men är samtidigt inte de enda som arbetar med frågorna.[5] Det nationella informations- och cybersäkerhetsarbetet är uppdelat i olika, delvis överlappande, ansvarsområden, både på departements- och på myndighetsnivå. Försvarsdepartementet och Justitiedepartementet kan sägas vara centrala. Men även Utrikesdepartementet, Näringsdepartementet, Infrastrukturdepartementet, Utbildningsdepartementet, Finansdepartementet och Socialdepartementet är involverade. Inom varje departement deltar dessutom flera olika enheter i arbetet. Det har dock saknats en sammanhållande funktion inom Regeringskansliet som säkerställer en holistisk styrning avseende informations- och cybersäkerhet. Däremot finns interdepartementala grupper på handläggar-, chefstjänstemanna-, huvudmanna-, och statssekreterarnivå som diskuterar frågorna.[6]
Det delade ansvaret på Regeringskansliet speglas även hos myndigheterna. Försvarets radioanstalt (FRA), Säkerhetspolisen (Säpo), Försvarsmakten, Myndighetens för samhällsskydd och beredskap (MSB), Polismyndigheten, Post- och telestyrelsen (PTS) och Försvarets materielverk (FMV) kan sägas vara de centrala myndigheterna på området. Ingen av dem har däremot ett övergripande ansvar. Regeringens styrning av dem hanteras av tre olika departement och de arbetar mot olika övergripande mål inom sina respektive politikområden. Detta skapar en risk för att regeringens och myndigheternas åtgärder inte är koherenta.[7] Sedan 1990-talet har det vid ett flertal tillfällen[8] framförts synpunkter kring att informations- och cybersäkerhet är en tvärsektoriell fråga som kräver en samlad styrning. Frågans tvärsektoriella natur i kombination med vår förvaltningsmodell med fristående myndigheter ställer stora krav på Regeringskansliets beredningsförmåga. Riksrevisionen identifierade 2014[9] problem kopplade till Regeringskansliets bristande förmåga att bereda frågor rörande informationssäkerhet på ett samlat sätt. Regeringens informations- och cybersäkerhetsstrategi[10] formulerar ett antal strategiska prioriteringar för arbetet. Sex år efter införandet tycks det fortfarande finnas problem inom samtliga av strategins områden. Det är därför angeläget att granska regeringens strategi såväl som åtgärderna för att förverkliga den.
1.2 Övergripande revisionsfråga och avgränsningar
Vår övergripande revisionsfråga är: Har regeringens arbete för att stärka Sveriges informations- och cybersäkerhet varit effektivt?
Vi utgår från två delfrågor:
- Är den nationella informations- och cybersäkerhetsstrategin effektivt utformad?
- Har regeringen implementerat den nationella informations- och cybersäkerhetsstrategin på ett effektivt sätt?
Med implementering avses i det här fallet att man aktivt arbetar med att genomföra strategin och dess åtgärder ur ett livscykelperspektiv. Det innebär att man löpande utvärderar och arbetar med ständiga förbättringar för att nå målen i strategin.
Fokus i granskningen är på regeringens och Regeringskansliets (Statsrådsberedningen, Försvarsdepartementet, Justitiedepartementet, Utrikesdepartementet, Finansdepartementet, Utbildningsdepartementet, Näringsdepartementet, Infrastrukturdepartementet och Socialdepartementet) arbete. För att följa styrningen och få en bild av eventuella behov som myndigheterna har framfört till regeringen och hur regeringen har hanterat dessa berörs även vissa myndigheter av granskningen. De myndigheter som i huvudsak är föremål för styrningen och förser regeringen med underlag är de sju myndigheter som samverkar i det nationella cybersäkerhetscentret (NCSC), det vill säga FRA, Säpo, Försvarsmakten, MSB, Polismyndigheten, PTS och FMV.[11]
Regeringskansliets arbete med informations- och cybersäkerhet tar sin utgångspunkt i förordningen (1996:1515) med instruktion för Regeringskansliet. Enligt den hade Justitiedepartementet fram till årsskiftet 2022/23 ansvar för förvaltnings- och lagstiftningsärenden om informations- och cybersäkerhet, i den mån sådana ärenden inte hör till något annat departement. Numera har Försvarsdepartementet det ansvaret. Begreppet ”cybersäkerhet” fördes in i förordningen hösten 2022, dessförinnan angavs endast ”informationssäkerhet”. Därtill ansvarar varje departement för informations- och cybersäkerhetsfrågor inom sitt ansvarsområde utan att det särskilt anges i förordningen. Den omständigheten att ansvaret för informations- och cybersäkerhetsfrågor är spritt på flera departement är skälet till att Regeringskansliet under årens lopp på olika sätt har samordnat arbetet med sådana frågor. Samordningsarbetet är alltså ett komplement till det sedvanliga linjearbetet.
De problemindikationer som låg till grund för beslut om att inleda granskning rörde i huvudsak regeringens och Regeringskansliets förmåga att bereda och styra informations- och cybersäkerhetsområdet ur ett strategiskt perspektiv. Granskningens huvudsakliga inriktning har därför varit innehållet i regeringens styrning snarare än hur styrningen har genomförts gentemot varje enskild myndighet. Det innebär i sin tur att det arbete som sker ”i linjen” på respektive departement i huvudsak inte har varit föremål för granskning och därmed beskrivs i begränsad omfattning i rapporten.
Granskningen har inte omfattat myndigheternas eller Regeringskansliets interna informations- och cybersäkerhet. Eftersom strategin beslutades 2017 avser granskningen i huvudsak perioden 2017–2022.
1.3 Bedömningsgrunder
Den övergripande utgångspunkten för granskningen är målen för Sveriges säkerhet: att värna befolkningens liv och hälsa, liksom samhällets funktionalitet, samt förmågan att upprätthålla grundläggande värden som demokrati, rättssäkerhet och mänskliga fri- och rättigheter.[12] Informations- och cybersäkerhetsstrategin har även sin utgångspunkt i det it-politiska målet att Sverige ska vara bäst i världen på att använda digitaliseringens möjligheter.[13]
Regeringen har uttryckt uppfattningen att ”informations- och cybersäkerhetsarbete är en nödvändig verksamhet för att värna kvaliteten och effektiviteten hos samhällets funktioner och en förutsättning för att digitaliseringens möjligheter ska kunna tas tillvara”.[14] Något som även försvarsutskottet har ställt sig bakom.[15] Vidare konstaterade regeringen i försvarsbeslutet 2015 att den samlade svenska förmågan att förebygga, motverka och aktivt hantera konsekvenserna av civila och militära hot, händelser, attacker och angrepp i cybermiljön måste utvecklas och förstärkas.[16]
Försvarsutskottet har understrukit vikten av samverkan och en gemensam riktning för arbetet på cybersäkerhetsområdet eftersom ingen kan lösa säkerhetsutmaningarna ensam[17] och har instämt i regeringens och Försvarsberedningens bedömning att en högre grad av samordning behövs på cybersäkerhetsområdet.[18] Utskottet förutsatte att regeringen säkerställer att Regeringskansliet har en ändamålsenlig organisationsstruktur för att hantera frågor kopplade till informations- och cybersäkerhet.[19]
En gemensam modell för systematiskt informationssäkerhetsarbete borde enligt utskottet kunna öka samverkan inom området eftersom en sådan kan göra det enklare för organisationer att möta relevanta krav och styra sitt informationssäkerhetsarbete samtidigt som expert- och tillsynsmyndigheternas kompetens därmed skulle användas mer effektivt.[20] Samverkan bör också inkludera näringslivet,[21] och utskottet har påpekat vikten av att det finns en samordnad planering mellan myndigheter och andra aktörer i händelse av en cyberattack eller annan allvarlig it-incident.[22] Utskottet har också uttryckt att det är nödvändigt med internationellt samarbete för att främja informations- och cybersäkerheten eftersom den digitala utvecklingen är gränslös.[23]
Även Försvarsberedningen har framfört behov av koordinering och helhetsperspektiv. De mest skyddsvärda verksamheterna bedrivs inte solitärt utan är beroende av funktionalitet och säkerhet inom andra verksamheter. Arbetet med skydd för de mest skyddsvärda verksamheterna kan därför enligt beredningen inte bedrivas isolerat, utan måste ske koordinerat med det samlade arbetet med samhällets informations- och cybersäkerhet.[24]
Avseende styrningen av statsförvaltningen har regeringen framfört att den bör vara långsiktig, strategisk, helhetsinriktad, sammanhållen, verksamhetsanpassad och tillitsbaserad. Det innebär bland annat att regeringen ska vara tydlig med vilken inriktning myndigheternas verksamhet ska ha, men att detaljstyrning och onödig administration bör undvikas. Ordningen förutsätter en bra uppföljning av myndigheternas resultat och verksamhet och att regeringen ingriper om den bedömer att myndigheterna inte sköter sina uppgifter på ett ändamålsenligt sätt.[25]
Operationaliserade bedömningsgrunder för delfråga ett
Bedömningsgrunden för delfråga ett utgår dels från de övergripande uttalandena ovan, dels från internationell bästa praxis.
Som internationell bästa praxis utgår vi i huvudsak från Enisas (European Union Agency for Network and Information Security) Good Practice Guide för att ta fram, implementera och arbeta med en nationell cybersäkerhetsstrategi ur ett livscykelperspektiv.[26] Avseende framtagandet av strategin rekommenderar Enisa att man:
- bestämmer vision, omfattning, målsättningar och prioriteringar
- använder ett riskbaserat tillvägagångsätt
- inventerar nuvarande politik, lagstiftning och förmågor
- tar fram en tydlig lednings- och styrningsstruktur
- identifierar och involverar intressenter
- etablerar betrodda strukturer för informationsdelning
- tar fram en plan för implementering av strategin samt följer upp och utvärderar den.
För att en strategi på informations- och cybersäkerhetsområdet ska utgöra ett effektivt styrinstrument anser Riksrevisionen, utöver vad som framförs ovan, att den även bör omfatta:
- en analys som definierar den strategiska utmaningen och dess natur
- en vägledande policy för att hantera den strategiska utmaningen
- en uppsättning sammanhängande åtgärder designade för att förverkliga den vägledande policyn[27]
- avvägningar och prioriteringar
- utpekade resurser för att uppnå målen.
En strategi utan tilldelade resurser, i synnerhet finansiella, har på informations- och cybersäkerhetsområdet ett begränsat värde som styrinstrument.[28] Huruvida finansieringen utgörs av dedikerade medel i myndigheternas befintliga anslag eller av nya medel är av mindre betydelse. Det viktiga är att strategin faktiskt pekar ut prioriteringar och resurssättning i förhållande till de mål som ska uppnås.[29]
I diskursen kring nationella cybersäkerhetsstrategier diskuteras fem dilemman och fem perspektiv som kräver olika former av avvägningar sinsemellan.[30] Inom dessa perspektiv och dilemman finns två huvudsakliga spänningsområden mellan civilt och militärt respektive underrättelse/kontraspionage och brottsbekämpning. Perspektiven kan vara olika gällande målsättningar, organisation och underliggande värden och uppfattningar[31] och påverka hur man ser på öppenhet, hotaktörens motiv, om man agerar passivt eller offensivt gentemot en hotaktör/brottsling samt informationsdelning. Därför är det av vikt att ta skillnaderna i syn på omgivningen mellan olika aktörer i beaktande när man tar fram en nationell cybersäkerhetsstrategi.[32]
Operationaliserade bedömningsgrunder för delfråga två
För att bedöma implementeringen av strategin använder Riksrevisionen de femton områden som Enisa anser bör ingå som en del av implementeringen. De femton områdena kopplar också till de sex strategiska prioriteringarna i den nationella informations- och cybersäkerhetsstrategin enligt nedan (de strategiska prioriteringarna står i fetstil och områdena i kursiv stil):
- Säkerställa en systematisk och samlad ansats i arbetet med informations- och cybersäkerhet
a. Ta fram en nationell cyberkontinuitetsplan
b. Etablera privat-offentliga samarbeten
c. Institutionalisera samarbeten mellan myndigheter - Öka säkerheten i nätverk, produkter och system
a. Skydda kritisk infrastruktur
b. Etablera en grundnivå/baseline för säkerhetsåtgärder
c. Skapa incitament för den privata sektorn att investera i säkerhetsåtgärder - Stärka förmågan att förebygga, upptäcka och hantera cyberattacker och andra it-incidenter
a. Genomför cybersäkerhetsövningar
b. Etablera mekanismer för incidentrapportering
c. Etablera en förmåga att hantera incidenter - Stärka förmågan att förebygga och bekämpa it-relaterad brottslighet
a. Vidta åtgärder för att motverka it-relaterad brottslighet - Öka kunskapen och främja kompetensutvecklingen
a. Höj användares medvetandenivå (avseende informations- och cybersäkerhetshot)
b. Stärk möjligheterna till kompetensutveckling och utbildning
c. Främja forskning och innovation kopplat till informations- och cybersäkerhet - Stärka det internationella samarbetet
a. Samarbeta internationellt
Ett av Enisas områden, att skapa balans mellan säkerhet och integritet- och dataskydd, faller däremot inte naturligt in under ett av de sex fokusområdena. Men genom att arbeta med Enisas punkter kan regeringen alltså implementera den nationella strategin.
I bedömningen av regeringens arbete utgår Riksrevisionen från att regeringen bör vidta åtgärder i någon utsträckning inom de olika områdena. Åtgärderna behöver ges resurser och det ska vara tydligt hur de är tänkta att bidra till genomförandet av strategin. Riksrevisionen anser vidare att regeringen måste följa upp och utvärdera åtgärdernas effekter löpande för att kunna genomföra ständiga förbättringar.
1.4 Metod och genomförande
Granskningen har genomförts av en projektgrupp bestående av Marcus Pettersson (projektledare), Helena Fröberg och Ylva Ericsson. Företrädare för Regeringskansliet (Finansdepartementet, Försvarsdepartementet, Infrastrukturdepartementet, Justitiedepartementet, Näringsdepartementet, Socialdepartementet Utbildningsdepartementet och Utrikesdepartementet), FRA, Försvarsmakten, MSB, Polismyndigheten och Säpo har fått tillfälle att faktagranska och i övrigt lämna synpunkter på ett utkast till granskningsrapport.
Granskningens iakttagelser är baserade på dokumentstudier och intervjuer. För att besvara granskningsfrågorna har vi dels gått igenom underlag från framtagandet av den nationella informations- och cybersäkerhetsstrategin liksom strategin i sig, dels gått igenom den faktiska styrning som har riktats till myndigheterna genom instruktioner, regleringsbrev och uppdrag liksom tilldelning av medel. Utöver det har vi kartlagt utredningsdirektiv och lagändringar på området. För att göra en bedömning av hur myndigheterna har arbetat med att genomföra regeringens styrning har vi tagit del av skriftliga underlag i form av interna inriktningar, uppdrag och återrapportering.
Vi har tagit del av material från beredningar inom Regeringskansliet. Även återrapporteringar och underlag från myndigheterna såsom lägesanalyser, påtalanden om brister, förbättringsförslag, önskemål om styrning, samt material från dialoger med myndigheterna har studerats. Detta har givit en bild av hur beredningarna har gått till och vilka som har varit delaktiga, liksom vilken information regeringens beslut baseras på, om myndigheterna får gehör, och om frågor har beretts men sedan inte resulterat i någon åtgärd. Vi har även tagit del av underlag från de interdepartementala grupper där informations- och cybersäkerhet diskuterats. Det skriftliga materialet har kompletterats med intervjuer med Regeringskansliet och myndigheterna för att få en djupare förståelse för processerna och för att kunna förklara eventuella brister i regeringens styrning. Riksrevisionen har i granskningen genomfört cirka 70 intervjuer. Av dessa har 42 intervjuer (40 respondenter) genomförts med myndigheter.[33] 16 av intervjuerna (23 respondenter) har genomförts med Regeringskansliet.[34] Övriga intervjuer har genomförts med personer från näringslivet eller andra organisationer.
Avseende handlingar, arbetsmaterial och övrigt skriftligt underlag från myndigheterna har Riksrevisionen tagit del av cirka tvåhundra dokument hos främst FRA, Säpo, MSB och Försvarsmakten. Hos FRA har Riksrevisionen tagit del av hela den akt som myndigheten har sammanställt och diariefört avseende arbetet med att förbereda, inrätta och driva arbetet i det Nationella cybersäkerhetscentret. Riksrevisionen har tagit del av tillgängliga protokoll avseende möten inom GD‑gruppen såväl som den strategiska ledningsgruppen inom ramen för Nationellt cybersäkerhetscenter.
Riksrevisionen har även tagit del av samtliga tillgängliga protokoll (cirka 15 protokoll) från mötena i den interdepartementala grupp (ida-gruppen) som tidigare Infrastrukturdepartementet ansvarade för. Avseende underlag kopplat till den statssekreterargrupp som knöts till ida-gruppen under Infrastrukturdepartementet har Riksrevisionen tagit del av totalt cirka 40 dokument av arbetsmaterial fördelat på fem departement.[35] Utöver dessa dokument har Riksrevisionen även tagit del av promemorior och powerpointpresentationer som har tagits fram inom arbetet knutet till ida-gruppen under Infrastrukturdepartementet såväl som underlag som togs fram av den informella ida-gruppen under Justitiedepartementet. Riksrevisionen har även begärt in och tagit del av ungefär 190 underlag rörande den ordinarie myndighetsstyrningen som departementen har genomfört.
Arbetet med strategiska frågor kopplat till informations- och cybersäkerhet i Regeringskansliet har under granskningsperioden löpande bedrivits av ett begränsat antal personer. Enligt Riksrevisionens bedömning uppskattningsvis 10–15 handläggare, och 10–15 huvudmän eller chefstjänstemän samt utöver det ett tiotal statssekreterare. Riksrevisionen bedömer utifrån ovan angivna att det underlag som har inhämtats i granskningen är tillräckligt för att stödja de iakttagelser och slutsatser som presenteras i granskningsrapporten.