MSBFS 2020:6

Dessa föreskrifter innehåller bestämmelser om sådana säkerhetskrav som avses i 19 § förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap.

Om en annan författning innehåller en bestämmelse som ställer högre krav än kraven i dessa föreskrifter tillämpas den bestämmelsen.

I dessa föreskrifter avses med behandling En åtgärd eller kombination av åtgärder beträffande information, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring.

Myndigheten ska bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete med stöd av standarderna SS-EN ISO/IEC 27001:2017 Informationsteknik - Säkerhetstekniker - Ledningssystem för informationssäkerhet - Krav och SS-EN ISO/IEC 27002:2017

Informationsteknik - Säkerhetstekniker - Riktlinjer för

informationssäkerhetsåtgärder eller motsvarande.

Informationssäkerhetsarbetet ska utformas utifrån de risker och behov myndigheten identifierar. Det ska omfatta all behandling av information som myndigheten ansvarar för och integreras med myndighetens befintliga sätt att leda och styra sin organisation.

När myndigheten utformar informationssäkerhetsarbetet ska den 1. säkerställa att det finns en informationssäkerhetspolicy där ledningens målsättning med och inriktning för informationssäkerhetsarbetet framgår, 2. tydliggöra myndighetsledningens och den övriga organisationens ansvar, inklusive den eller de som utses att leda och samordna informationssäkerhetsarbetet, och ge dessa befattningar de befogenheter som behövs, 3. säkerställa att informationssäkerhetsarbetet tilldelas nödvändiga resurser, 4. upprätta de interna regler, arbetssätt och stöd som behövs, och 5. säkerställa att innehållet i myndighetens interna regler, arbetssätt och stöd utvärderas samt vid behov anpassas.

Utformningen av informationssäkerhetsarbetet ska dokumenteras.

Myndigheten ska säkerställa att informationssäkerhetsarbetet är systematiskt och riskbaserat genom att 1. klassa sin information avseende konfidentialitet, riktighet och tillgänglighet i olika nivåer utifrån vilka konsekvenser ett bristande skydd kan få (informationsklassning), 2. identifiera, analysera och värdera risker för sin information (riskbedömning), 3. utifrån genomförd informationsklassning och riskbedömning identifiera behov av och införa ändamålsenliga och proportionella säkerhetsåtgärder, och 4. utvärdera säkerhetsåtgärderna och vid behov anpassa skyddet av informationen. I arbetet ingår att genomföra en gapanalys.

Informationssäkerhetsarbetet och införda säkerhetsåtgärder ska dokumenteras.

I de fall myndigheten överlåter åt en annan statlig myndighet att fullgöra uppgifter som regleras i dessa föreskrifter ska myndigheterna komma överens om och dokumentera vad respektive myndighet ansvarar för samt hantera de risker överlåtelsen innebär.

Myndighetens ansvar för att klassa sin information enligt 6 § p.1 kan inte överlåtas.

Myndigheten ska, innan den låter en extern aktör behandla information, utifrån informationsklassning och riskbedömning, hantera de risker en sådan behandling innebär. Myndigheten ska i avtal ställa krav på vilka säkerhetsåtgärder den externa aktören ska vidta och hur myndigheten följer upp dessa krav.

Myndigheten ska 1. anpassa bakgrundskontroller av egen och inhyrd personal utifrån vilken information personalen ska få åtkomst till, 2. hålla egen och inhyrd personal informerad om relevanta interna regler, arbetssätt och stöd, 3. utvärdera att interna regler, arbetssätt och stöd används på avsett sätt, 4. säkerställa att egen och inhyrd personal med utpekade roller i informationssäkerhetsarbetet har tillräcklig kompetens för att kunna utföra sina arbetsuppgifter, och 5. utveckla och upprätthålla kompetens hos egen personal avseende informationssäkerhet genom utbildning, informationsinsatser och övning.

Myndigheten ska identifiera och hantera behovet av 1. skalskydd och tillträdesbegränsning för sina lokaler, 2. tekniska system för att larma vid obehörigt tillträde till sina lokaler, och 3. att dela in sina lokaler i fysiskt separerade zoner.

Myndigheten ska ha förmåga att 1. skyndsamt upptäcka och bedöma incidenter och avvikelser, 2. återställa manipulerad eller förlorad information, och 3. bedöma om inträffad incident ska rapporteras externt.

Om en incident eller avvikelse inträffat ska myndigheten identifiera grundorsaker till incidenten eller avvikelsen och vidta åtgärder för att motverka att liknande incidenter och avvikelser inträffar på nytt.

Myndigheten ska, 1. identifiera och hantera behovet av kontinuitet för behandling av information, och 2. öva förmåga att upprätthålla identifierat behov av kontinuitet.

Myndigheten ska minst en gång per år följa upp att informationssäkerhetsarbetet svarar mot myndighetsledningens målsättning och inriktning, genom att sammanställa och analysera resultatet av genomförda 1. utvärderingar av interna regler, arbetssätt och stöd enligt 5 § p. 5, 2. informationsklassningar enligt 6 § p. 1, 3. riskbedömningar enligt 6 § p. 2, 4. utvärderingar av säkerhetsåtgärder enligt 6 § p. 4, och 5. utvärderingar av att interna regler, arbetssätt och stöd används på avsett sätt enligt 9 § p. 3.

Myndighetsledningen ska informera sig om 1. i vilken utsträckning införda säkerhetsåtgärder motsvarar myndighetens behov, 2. allvarliga risker som inte åtgärdats, och 3. övriga hinder för att uppnå ledningens målsättning med och inriktning för informationssäkerhetsarbetet. Allmänna råd Bedömningen av övriga hinder bör inkludera brister avseende tilldelning av ansvar, resurser, mandat och befogenheter samt brister avseende interna regler och arbetssätt.

Myndigheten för samhällsskydd och beredskap får i enskilda fall och om det finns särskilda skäl medge undantag från tillämpningen av dessa föreskrifter.

______________