Med anledning av de nya EU-direktiven kopplade till NIS2 har vi tittat närmare på hur det påverkar kommunernas trygghetslarm. Vi har tagit hjälp av MSB:s handläggare Jan-Olof som har bistått med hur han ser på saken.
Kommuner ska säkerställa driftskontinuitet av trygghetslarm – delbetänkande av NIS2
Regeringen har tillkallat en särskild utredare med uppgift att föreslå nödvändiga anpassningar av svensk rätt för att kunna implementera EU:s två direktiv NIS2 och CER. Utredningstiden för CER-direktivet har förlängts medan ett delbetänkande från utredaren gällande NIS2 överlämnades till Regeringen i mars 2024. Delbetänkandet förtydligar att alla kommuner, från och med 1 januari 2025, bör omfattas av direktiven innefattande krav som ledningens deltagande i arbetet med cybersäkerhet samt åtgärder för ökad driftskontinuitet av kommunens tjänster så som trygghetslarm.
Kommuner omfattas av direktiven enligt utredningen
Utredningen har enligt Regeringen (2024) gjort följande bedömning i sitt delbetänkande i frågan huruvida direktiven är tillämpbara på kommunerna:
"Majoriteten av alla kommuner, omfattas av NIS2-direktivets krav redan genom att en stor andel av samtliga kommuner bedriver hemsjukvård och att samtliga uppfyller storlekskravet. Det är kommunen som juridisk person som omfattas som vårdgivare. Det saknas därmed i huvudsak skäl att överväga om kommuner ska omfattas som offentliga förvaltningsverksamheter på lokal nivå enligt artikel 2.5 a. Utredningen föreslår dock i fullständighetens namn att alla kommuner omfattas, men att kommunfullmäktige undantas."
Delbetänkandet föreslår således att direktivets krav ska appliceras på samtliga kommuner och deras tillhandahållna samhällsviktiga tjänster.
SKR (2024) nämner att några av skillnaderna från tidigare NIS-direktivet som kommunerna då även behöver ta i beaktning är att NIS2 ställer tydligare krav på riskanalyser och säkerhetskrav, men också på ledningens deltagande i cybersäkerhetsarbetet. NIS2-direktivet kommer därtill innebära att en administrativ sanktionsavgift införs.
Driftskontinuitet kravställs på trygghetslarmstjänster
Trygghetslarm är en samhällsviktig tjänst som tillhandahålls av kommuner idag. Trygghetslarmstjänster har visat sig sårbara vid återkommande fall av incidenter som påverkar dess funktion. Incidenterna har framför allt härstammat från störningar i mobilnäten men även från bland annat störningar i larmplattformar och roamingplattformar. I delbetänkandet gällande NIS2 återfinns nedan formulering vilket kravställer att bland annat driftskontinuiteten av tjänsternas nätverks- och informationssystem ska säkerställas genom lämpliga åtgärder.
"Medlemsstaterna ska säkerställa att de väsentliga och viktiga verksamhetsutövare som beskrivits vidtar lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska åtgärder för att hantera risker som hotar säkerheten i nätverks- och informationssystem som de använder för sin verksamhet eller för att tillhandahålla sina tjänster."
- strategier för riskanalys och informationssystemens säkerhet,
- incidenthantering,
- driftskontinuitet,
- säkerhet i leveranskedjan,
Skapa driftskontinuitet genom fast och mobil uppkoppling
På Omsorgsportalens fråga till Jan-Olof Olsson, Handläggare på MSB, gällande om redundans i form av fast och mobil uppkoppling av trygghetslarm kommer krävas enligt NIS2 svarar Jan-Olof:
"Kommunerna ska redan i dag identifiera sin samhällsviktig verksamhet och arbeta med att minimera sina risker. Många kommuner har redan problem i vardagen då centralsystem eller kommunikationsnät går ner och trygghetslarm slutar att fungera. En ny reglering om motståndskraft i samhällsviktig verksamhet för att implementera NIS2- och CER-direktiven i Sverige kommer att innebära funktionskrav på olika samhällsviktiga verksamheter, men säkerligen utan att vara på detaljnivå. För att minimera risken med trygghetslarm kan diversitet i uppkopplingen vara ett sätt. I direktiven är frågor som driftskontinuitet och säkerhet i leveranskedjan bärande så att funktionen ska upprätthållas är tydligt."
Sammanfattning
- Trygghetslarm drabbas regelbundet av driftstörningar, delvis härrörande från cyberattacker. MSB har rapporterat om ett stort antal inrapporterade incidenter i kommunikationssystem inom hälso- och sjukvården.
- Jan-Olof Olsson, Handläggare på MSB föreslår att diversitet i uppkopplingen kan vara ett sätt att minimera driftrelaterade risker med trygghetslarm.
- Regeringens tillsatta utredare av NIS2- och CER-direktivet förtydligar att alla kommuner bör omfattas av direktiven varpå exempelvis åtgärder för säkerställd driftkontinuitet av trygghetslarm kravställs.
Källor:
MSB. (2022). Årsrapport, It-incidenter som påverkar samhällsviktiga och digitala tjänster, NIS-leverantörers it-incidentrapportering 2021.
Regeringen. (2024). Nya regler om cybersäkerhet, Delbetänkande av Utredningen om genomförande av NIS2- och CER-direktiven. (SOU 2024:18).
SKR. (2024). NIS 2.