Ledningsansvaret som försvann

Informationshantering - ett gemensamt ansvar

Arkivarier, registratorer, programmerare, strateger, dataanalytiker, olika ”ägare”, ”samordnare”, akronymer som CIO, CSO, CISO, CDO och DSO. Det är många som arbetar med informationshantering. Rollerna har växt i takt med den ökade komplexiteten i såväl teknik, datahantering som regelverk. Oftast är det verksamheterna själva som skapar, namnger och tillsätter rollerna, ibland styrs det av regelverk.

Utmaningen är att alla dessa roller blir beroende av varandra. Om någon, i sin roll, beslutar om en viss teknisk lösning, vilken information som ska behandlas eller en viss säkerhetsnivå, så påverkar det andra roller, andras ansvar. Verksamhetens informationssystem blir ett ekosystem som bara den som har ansvar för helheten kan orkestrera.

NIS2 och ledningens ansvar

Det är ledningens som ska ansvara för helheten och ledningens engagemang är därför viktig, inte minst när det gäller cybersäkerhet.

Men alltför ofta saknas ledningens engagemang. Det framgår bland annat av Cybersäkerhetskollen som MSB^[1] genomfört flera år. Ledningens engagemang är ett område där det uppvisas stora brister i mätningarna. Samtidigt utgör ledningens styrning grunden för ett målmedvetet, systematiskt, kontinuerligt samt riskbaserat cybersäkerhetsarbete.^[2]

Ledningens bristande engagemang är inte unikt för Sverige, utan vi delar problemet med många andra länder inom EU. De krav som ställs i NIS2^[3] på ledningen i samhällsviktiga och väsentliga verksamheter är ett försök att komma till rätta med det.Medlemsstaterna ska säkerställa att väsentliga och viktiga entiteters ledningsorgan godkänner de riskhanterings åtgärder för cybersäkerhet som dessa entiteter vidtar för att följa artikel 21, övervakar genomförandet av dem och kan ställas till svars för entiteternas överträdelser av den artikeln.^[4]

Cybersäkerhetslagen och ledningens ansvar

NIS2 är ett EU direktiv och ska därför införas i medlemsstaternas egna regleringar.

I den svenska implementeringen av NIS2, Cybersäkerhetslagen (CSL)^[5] är bestämmelsen om ledningens ansvar för säkerhetsåtgärderna inte medtagen. Det som anges om ledningen är dels att de ska genomgå utbildning om säkerhetsåtgärder^[6], dels att personer i ledningen kan förbjudas att utöva ledning^[7]. Ribban för att kunna utfärda ett förbud att utöva ledning ligger mycket högt och därför kommer den formen av ingripande vara sällsynt.

Att de krav som ställs på ledningen enligt NIS2 inte återfinns i CSL är underligt, både för att medlemsstaterna ska införa direktivet, men också för att vi i Sverige har konstaterat att vi har problem med ledningarnas engagemang.

I förarbetena till CSL anges att regleringen gällande ledningens ansvar inte har införts för att ledningarna redan har ett sådant ansvar i Sverige. Regeringen hänvisar i proportionen till generella bestämmelser om ledningens ansvar i bland annat aktiebolagslagen^[8] och kommunallagen^[9] och drar därav slutsatsen att (l)edningen i enskilda och offentliga verksamhetsutövare ansvarar alltså för att godkänna säkerhetsåtgärder och övervaka genomförandet av dem på sätt som framgår av artikel 20 i direktivet utan särskild reglering.^[10]

Det är ett synsätt som jag inte delar. De bestämmelser som regeringen hänvisar till handlar om ledningarnas övergripande ansvar för förvaltning och att leda och styra sin verksamhet. De anger inte vad som specifikt måste komma upp på ledningens bord. De flesta uppgifter, åtminstone i lite större verksamheter, delegeras och når aldrig ledningen. Det gäller även uppgifter som är reglerade i lag. Det är en nödvändighet för att verksamheterna ska fungera. Vill lagstiftaren att något ska hanteras exklusivt av ledningen behöver det regleras specifikt.

Till det kommer att om lagstiftaren vill se en förändring av ledningens engagemang behöver det uttryckas. Det är motsägelsefullt att hänvisa till befintliga regler och förvänta sig en förändring.

Föreskrifter som förtydligar

Myndigheter ges ofta rätt att meddela föreskrifter som kompletterar och förtydligar lagar.

FRA (tidigare var det MCF)^[11] har bemyndigande att meddela föreskrifter som kompletterar CSL i olika avseenden. Myndigheten får bland annat ge kompletterande regler gällande säkerhetsåtgärder enligt 2 kap. 3 § CSL och utbildning enlig 2 kap. 4 § CSL.^[12]

Med stöd av detta bemyndigande meddelade MCF föreskriften Myndigheten för civilt försvars föreskrifter och allmänna råd om säkerhetsåtgärder och ledningens utbildning för väsentliga och viktiga verksamhetsutövare MCFFS 2026:11 (i fortsättning benämnd föreskriften).

Förutom bestämmelser om säkerhetsåtgärder och utbildning för ledningen, innehåller föreskriften också regler om Roller, ansvar och befogenheter.

Det är osäkert om detta är något myndigheten får föreskriva om. Den svenska lagstiftaren är tydlig med att ledningens ansvar inte behöver regleras i CSL. Eftersom föreskrifterna ska komplettera och förtydliga lagen i de delar det finns ett bemyndigande, verkar myndigheten ha gjort en mycket vid tolkning av sin föreskriftsrätt. Det finns därför en påtaglig risk att föreskrifterna i denna del faller vid en domstolsprövning.

Ledningens ansvar i föreskriften

I föreskrifterna beskrivs ledningens roll enligt följande.

För att verksamhetsutövaren ska kunna vidta lämpliga och proportionella säkerhetsåtgärder ska ledningen godkänna och övervaka genomförandet av säkerhetsåtgärder genom att säkerställa att

1. det finns fastställda mål och inriktning för cybersäkerheten,
2. ledningens uppgifter i cybersäkerhetsarbetet är tydliggjorda,
3. det finns resurser för att bedriva ett systematiskt och riskbaserat cybersäkerhetsarbete,
4. de roller och ansvarsområden som cybersäkerhetsarbetet kräver har tillräckliga befogenheter och resurser för att utföra tilldelade uppgifter,
   samt
5. ledningen blir informerad om genomförandet av säkerhetsåtgärderna och verksamhetsutövarens nivå av cybersäkerhet vid behov men minst en gång per år.^[13]

Det första stycket motsvarar NIS2, men när innebörden av att godkänna och övervaka genomförandet av säkerhetsåtgärder beskrivs i punkterna handlar det om traditionellt ledningsarbete, såsom att fastställa mål, se till att det finns resurser och hålla sig informerad. De specifika krav som ställs på ledningen enligt NIS2 tycks ha tappat sin betydelse.

Samordnare, systemägare och informationsägare i föreskriften

I föreskriften regleras även rollerna samordnare, informationsägare och systemägare. Kort kan dessa roller beskrivas så här.

• Samordnaren har som uppgift att samordna det systematiska och riskbaserade arbetet med cybersäkerhet och utvärdera nivån av cyber säkerhet i förhållande till externa krav, interna behov och identifierade risker.^[14]
• Informationsägaren ska, för den informationsmängd som informationsägaren ansvarar för, säkerställa att lämpliga och proportionella säkerhetsåtgärder är vidtagna för informationsbehandlingen.^[15]
• Systemägaren ska, för de system som denne ansvarar för, säkerställa att systemen, under hela deras livslängd, är skyddade med lämpliga och proportionella säkerhetsåtgärder.^[16]

Rättsligt ansvar

Det är som regel den juridiska personen dvs. själva organisationen, som bär ansvar för vad som sker i verksamheten. I vissa fall kan ett ansvar bäras också av enskilda personer som exempelvis ledningens ansvar enligt artikel 20 i NIS2. Ett annat vardagligt, men helt annorlunda exempel, är bilförarens ansvar för bilkörningen. Det är bilförarens ansvar att köra lagligt, hålla rätt hastighet, stanna vid rött ljus osv. Det gäller oavsett om bilkörningen sker i tjänsten eller inte. Ledningen kan vare sig fatta beslut om eller ta ansvar för bilkörningen. Mantrat - att ledningen alltid har det yttersta ansvaret - är med andra ord fel.

När ett ansvar regleras rättsligt har det en annan skärpa än om det finns i ett allmänt råd, en vägledning, en standard eller i organisationens egna riktlinjer. Det rättsliga ansvaret kan ha en långtgående effekt på den som bär det. Därför måste den som får ett sådant ansvar också få rätt förutsättningar för att ta ansvaret.

Ett tydligt ansvarsområde

Det är ofta bra att följa närhetsprincipen när uppdrag och ansvar delas ut, men ska det rättsliga ansvaret bäras av enskilda medarbetare måste det röra sig om tydligt definierade ansvarsområden.

Enligt föreskriften ska systemägaren ansvara för visst eller vissa system. Ett system definieras i föreskriften som ett nät- och informationssystem som definieras i CSL.^[17] Men definitionen är vid och det är svårt att utifrån den förstå systemägarens ansvarsområde. Var börjar ett system och var slutar det? I vilket system ingår den tekniska plattformen? Är exempelvis MS Office 365 ett system eller flera? Hur förhåller sig systemägarna till varandra? Hur förhåller sig ansvaret till CIO?

Även förhållandet mellan de båda s.k. ägarrollerna är otydligt. Informationsägaren ska i sitt ansvar säkerställa att lämpliga och proportionella säkerhetsåtgärder är vidtagna för informationsbehandlingen. I de fall då informationsägaren kan säga nej till att behandla viss information i visst system kan det gå bra, men om det handlar om för verksamheten vitala system, som det inte finns alternativa lösningar för, då har informationsägaren inte möjlighet att säga nej. Vem bestämmer då, vem tar ansvar för att lämpliga och proportionella säkerhetsåtgärder vidtas?

Mandat och resurser

Förutom ett tydligt ansvarsområde, behöver den ansvarige också få mandat att ta erforderliga beslut och resurser för att kunna agera. Det kan avse såväl ekonomiska och personella resurser som kompetens.

Enligt föreskriften ska ledningen se till att de roller och ansvarsområden som cybersäkerhetsarbetet kräver har tillräckliga befogenheter och resurser för att utföra tilldelade uppgifter. För att det ska vara möjligt måste ansvarsområdena vara tydliga och rollerna inte överlappa varandra. I många verksamheter kommer ledningen därför ha svårt att fördela mandaten och resurserna, då det finns alltför många beroenden och otydliga gränssnitt.

För verksamheten innebär otydliga roller och ansvarsområden att arbetet riskerar att bli ineffektivt eller inte alls bli av. Det kan också skapas felaktiga förväntningar och interna motsättningar. Den som ska bära ett otydligt ansvar, utan tillräckligt med mandat och resurser, riskerar att bli frustrerad, stressad och känna sig uppgiven. Men det finns också en risk att den som får ansvar bevakar sitt revir och försvårar samarbeten. Om det utdelade ansvaret blir en chimär så kommer såväl verksamheten, medarbetarna som cybersäkerhetsarbetet bli lidande.

Gör om

Det finns många samhällsviktiga verksamheter och ännu fler är de som ska inneha dessa olika roller och ansvar. I min text har jag tagit upp många osäkerhetsfaktorer. Det handlar om ledningens ansvar, myndigheternas mandat att meddela föreskrifter, ansvarsrollernas utformning, om att tilldela enskilda medarbetare ansvar, beslutsmandat och resurser i en komplex miljö. Med alla dessa verksamheter och alla osäkerhetsfaktorer riskerar röran att bli stor.

Om lagstiftaren anser att roller och ansvarsområden som samordnare, informationsägare och systemägare ska regleras rättsligt, så anser jag att det ska ske i CSL. Lagstiftaren behöver utforma rollerna tydligt så att mandat och resurser kan utdelas i överensstämmelse med ansvaret. Lagstiftaren behöver också vara tydlig med vilka konsekvenser som kan bli aktuella för den ansvarige om hen brister i sitt ansvar.

Dessa roller och ansvar får inte utformas så att de samhällskritiska verksamheternas ansvar förminskas. Komplexa problem, kräver att många delar i en organisation samverkar och de kan sällan lösas av enskilda medarbetare. Istället behövs väl fungerande verksamheter med genomtänkta organisationsstrukturer, bra samarbete och tydlig inriktning. I NIS2 betonas behovet av riskhanteringskultur i samhällsviktiga och väsentliga verksamheter.^[18] För att få med hela verksamheten och för att skapa en riskhanteringskultur behövs det engagerade ledningar.

Det viktigaste är därför att ledningens ansvar regleras i CSL såsom ansvaret är utformat i NIS2.