MSBFS 2018:11

Myndigheten för samhällsskydd och

beredskaps författningssamling

1

Utgivare: Anna Asp, Myndigheten för samhällsskydd och beredskap

ISSN 2000-1886

MSBFS

2018:11

Utkom från trycket

den 8 januari 2019

Myndigheten för samhällsskydd och beredskaps

föreskrifter 1 om frivillig rapportering av incidenter i

tjänster som är viktiga för samhällets funktionalitet;

beslutade den 18 december 2018.

Myndigheten för samhällsskydd och beredskap föreskriver följande med

stöd av 15 § förordningen (2018:1175) om informationssäkerhet för

samhällsviktiga och digitala tjänster.

Tillämpningsområde

1 § Denna författning innehåller bestämmelser om frivillig rapportering

av incidenter enligt artikel 20 i Europaparlamentets och rådets direktiv (EU)

nr 2016/1148 av den 6 juli 2016 om åtgärder för en hög gemensam nivå på

säkerhet i nätverks- och informationssystem i hela unionen (NIS-direktivet).

Författningen gäller inte leverantörer som omfattas av lagen (2018:1174)

om informationssäkerhet för samhällsviktiga och digitala tjänster.

Begreppsförklaringar

2 §

De uttryck som förklaras i 2 § lagen (2018:1174) om informations-

säkerhet för samhällsviktiga och digitala tjänster har samma innebörd i

denna författning.

3 § I denna författning avses med

extern aktör

Underleverantör, inhyrd konsult eller

motsvarande.

störning

En konsekvens av en incident som innebär

att en tjänst inte levereras normalt.

1 Allmänna råd som ansluter till föreskrifterna finns på sid 5.

MSBFS

2018:11

2

Rapportering

Hur rapportering ska ske

4 § En aktör som väljer att rapportera en incident som avses i 1 § första

stycket ska lämna in rapporten till Myndigheten för samhällsskydd och

beredskap via anvisade kontaktvägar.

När rapportering ska ske

5 § En aktör som väljer att rapportera en incident ska lämna information

enligt 7 § punkt 1-9 utan onödigt dröjsmål.

6 § Aktören ska inom fyra veckor från det första rapporteringstillfället

lämna information enligt 7 § punkt 10-11, samt vid behov ändra eller

komplettera tidigare lämnade uppgifter.

Rapportens innehåll

7 § En rapport enligt 4 § ska innehålla

1. Aktörens namn och organisationsnummer.

2. Kontaktuppgifter till utsedd kontaktperson eller kontaktfunktion för

incidenten och för störningen.

3. Berörd tjänst.

4. Namn och organisationsnummer till extern aktör dit informations-

hantering har utkontrakterats i det fall incidenten inträffat hos den

externa aktören.

5. En beskrivning av inträffad incident utifrån

a) tidpunkt för när incidenten inträffade och när den upptäcktes,

b) om den fortfarande pågår eller tidpunkt för när drabbade nätverk och

informationssystem återgick till normaldrift,

c) händelseförlopp,

d) hanteringen av incidenten, samt

e) typ, orsak och konsekvenser.

6. En beskrivning av störningen utifrån

a) tidpunkt för när störningen uppstod samt när och hur den

upptäcktes,

b) om störningen i tjänsten fortfarande pågår eller tidpunkt för när den

upphörde alternativt förväntas upphöra,

c) dess påverkan på tjänsten,

d) användare som påverkas av störningen, samt

e) vilket geografiskt område som påverkas av störningen.

MSBFS

2018:11

3

7. Bedömning av konsekvenser för andra än användare av tjänsten.

8. Bedömning av konsekvenser i andra medlemsstater inom EU.

9. Uppgift om åtgärder för att minimera konsekvenserna av incidenten.

10. Uppgift om tidigare vidtagna åtgärder för att förebygga och hantera

liknande incidenter.

11. Uppgift om nya åtgärder för att förhindra att liknande incidenter

inträffar på nytt.

8 § Om den rapporterande aktören inom ett år från det att rapportering har

skett konstaterar att lämnade uppgifter är felaktiga kan uppgifterna

korrigeras.

____________

Denna författning träder i kraft den 1 mars 2019.

Myndigheten för samhällsskydd och beredskap

DAN ELIASSON

Carina Wetzel

(Avdelningen för cybersäkerhet och skydd av

samhällsviktig verksamhet)

MSBFS

2018:11

4

MSBFS

2018:11

5

Myndigheten för samhällsskydd och beredskaps

allmänna råd om frivillig rapportering av incidenter i

tjänster som är viktiga för samhällets funktionalitet

Följande allmänna råd ansluter till Myndigheten för samhällsskydd och

beredskaps föreskrifter om frivillig rapportering av incidenter i tjänster som är

viktiga för samhällets funktionalitet. Termer och uttryck som används i

föreskrifterna har samma betydelse här.

Allmänna råd har en annan juridisk status än föreskrifter. Allmänna råd är inte

tvingande. Deras funktion är att förtydliga innebörden i lag, förordning eller

myndighetsföreskrifter och att ge generella rekommendationer om deras

tillämpning.

Allmänna råd är markerade med grå bakgrund.

Myndigheten för samhällsskydd och beredskap

ÅKE HOLMGREN

Carina Wetzel

(Avdelningen för cybersäkerhet och skydd av

samhällsviktig verksamhet)

MSBFS

2018:11

6

Frivillig rapportering

Hur rapportering ska ske

4 §

Anvisade kontaktvägar finns på www.msb.se.

Rapportens innehåll

7 §

p. 2.

Kontaktuppgifter bör hållas uppdaterade och bör inkludera roll,

telefonnummer och e-postadress samt uppgift om tillgänglighet.

p. 5. e)

En beskrivning av konsekvenser bör göras utifrån tillgänglighet, riktighet

och konfidentialitet.

p. 11.

Vid rapportering av vilka åtgärder som planeras bör sådana åtgärder som

vidtas för att hantera incidentens grundorsak redovisas.

8 §

Även uppgifter som vid rapportering bedöms vara korrekta bör korrigeras

om de senare visar sig vara felaktiga.

MSBFS

2018:11

7

MSBFS

2018:11

8

Beställningsadress:

Norstedts Juridik, 106 47 Stockholm

Telefon: 08-598 191 90

E-postadress:

kundservice@nj.se

Webbadress:

www.nj.se/offentligapublikationer