NIS2 och säkerhetsskyddslagen: var går gränsen?

Säkerhetsskyddslagen (2018:585) skyddar Sveriges säkerhet. Utgångspunkten är vad ett röjande, en förändring eller en otillgänglighet skulle betyda för nationen, och skyddet omfattar informationssäkerhet, fysisk säkerhet och personalsäkerhet tillsammans.

Cybersäkerhetslagen skyddar samhällsviktiga och digitala tjänsters funktion. Utgångspunkten är kontinuitet i leveransen till samhället, och regleringen är inriktad på nätverks- och informationssystem.

De två överlappar därför att samma system ofta bär både nationell säkerhet och samhällsviktig leverans, men de ställer inte samma frågor. Det är därför lagstiftaren löst förhållandet med ett undantag i stället för med en hänvisning.

Lagtexten skiljer på två situationer. Den första gäller en statlig myndighet som till övervägande del bedriver säkerhetskänslig verksamhet enligt säkerhetsskyddslagen. För en sådan myndighet gäller inte cybersäkerhetslagen alls.

Den andra situationen gäller alla övriga. För dem gäller inte skyldigheterna enligt 2 kap. 3 till 10 §§ för den delen av verksamheten som är säkerhetskänslig. Formuleringen den delen är den viktiga: undantaget är avgränsat till verksamheten, inte till juridisk person.

Två konsekvenser följer. Den första är att ett företag med en säkerhetskänslig del och en kommersiell del har kvar fulla skyldigheter för den kommersiella delen. Den andra är att skyldigheter utanför 2 kap. 3 till 10 §§ inte berörs av det partiella undantaget, vilket inkluderar anmälningsplikten i 2 kap. 2 §.

Denna lag gäller inte för en statlig myndighet som till övervägande del bedriver säkerhetskänslig verksamhet enligt säkerhetsskyddslagen (2018:585).

Undantaget förutsätter att ni kan peka ut var den säkerhetskänsliga delen slutar. I en modern it-miljö är det sällan en ren linje. Identitetshantering, nätverk, loggning och säkerhetskopiering är ofta gemensamma för hela organisationen, och ett gemensamt system kan inte gärna vara undantaget till hälften.

Den praktiska följden är att gränsen måste dras i arkitekturen innan den kan dras i dokumentationen. Antingen separeras de gemensamma funktionerna, eller så behandlas de som omfattade av båda regelverken. Det senare är oftast enklare och nästan alltid det som blir resultatet i praktiken.

Vår rekommendation är att skriva ned bedömningen som en förteckning över system med tre kolumner: säkerhetskänsligt, omfattat av cybersäkerhetslagen, eller båda. Systemen i kolumnen båda är de som driver arbetet, och det är också de en granskare kommer att fråga om först.

För den del som inte är undantagen gäller lagen fullt ut, inklusive klassningen efter storlek och de sanktionstak som följer av den. Siffrorna nedan avser alltså den delen av verksamheten, inte den säkerhetskänsliga.

Det är värt att pröva antagandet innan det byggs in i planeringen. Undantaget för statlig myndighet kräver att verksamheten till övervägande del är säkerhetskänslig, vilket är ett högt ställt krav och inte något som följer av att en del av verksamheten är det.

För övriga är undantaget partiellt och lämnar anmälningsplikten orörd. En organisation som drar slutsatsen att den inte behöver anmäla sig därför att den har säkerhetskänslig verksamhet har med största sannolikhet läst 1 kap. 12 § som ett heltäckande undantag när den är det bara för en snäv grupp.

Skriv ned bedömningen med lagrum, datum och vem som fattade den. Det gäller särskilt här, eftersom ett felaktigt antaget undantag inte upptäcks förrän någon frågar varför ni saknas i registret.

Penetrationstest i säkerhetskänslig verksamhet lyder under säkerhetsskyddslagens krav på säkerhetsprövning och på hur uppgifter får hanteras, vilket påverkar vem som får utföra testet och hur resultatet får lämnas ut.

För den delen av verksamheten som omfattas av cybersäkerhetslagen gäller inga sådana krav på utföraren, men bedömningen av åtgärdernas effektivitet enligt 2 kap. 3 § punkt 6 gäller fullt ut.

Konsekvensen för planeringen är att de två delarna oftast behöver testas separat, med olika förutsättningar för utförare och för hur resultatet får spridas. Ta upp gränsdragningen med den som ska utföra testet innan omfattningen fastställs, inte efteråt.