Rapportera it-incident som NIS-leverantör

Digitala tjänster:

Leverantörer av digitala tjänster ska utan onödigt dröjsmål rapportera incidenter som har en avsevärd betydande inverkan på tillhandahållandet av en digital tjänst som de erbjuder inom Europeiska unionen.

Samhällsviktiga tjänster:

Här är de incidenter inom respektive samhällsviktigt område som skulle medföra en betydande störning i de tjänster som verksamheterna tillhandahåller.

Energi

• El - Störningen har pågått i minst två timmar och har påverkat
  minst 2 000 kunder.
• El - Störningen har pågått i minst två timmar och har påverkat
  minst 50 % av kunderna.
• El - Störningen har påverkat styrning och övervakning av
  transmissionsnät, regionnät eller elproduktion.
• Gas - Störningen innebär risk för en händelse som resulterar i en
  avsevärd försämring av försörjningssituationen för gas.
• Gas - Störningen kan leda till avbrott i gasförsörjningen.
• Gas - Störningen har påverkat styrning och övervakning inom
  ramen för systemansvarstjänst.
• Olja - Störningen har pågått i minst 12 timmar.
• Olja - Störningen påverkar styrning och övervakning av ledning,
  överföring och distributionsnätverk under minst två timmar.

Transport

• Störningen har pågått i minst en timme och kan antas ha
  påverkat minst 1000 användare.
• Störningen har pågått i minst en timme och kan antas ha
  påverkat ett sammanhängande geografiskt område om minst 10 000 km2.
• Störningen har pågått i minst två timmar.

Bankverksamhet

• Störningen innebär att transaktioner inte kan eller sannolikt inte kommer att kunna initieras eller behandlas för minst 25 % av leverantörens normala antal transaktioner.
• Störningen innebär att transaktioner inte kan eller sannolikt inte kommer att kunna initieras eller behandlas för minst 25 % av leverantörens användare.
• Störningen pågår sammanlagt minst tre timmar under en 24-
  timmars period.

Finansmarknadsinfrastruktur

• Störningen innebär avvikelse från sådan konnektivitet som avses i art. 11 punkt 5 Kommissionens delegerade förordning (EU) 2017/584 av den 14 juli 2016 om komplettering av Europaparlamentets och rådets direktiv 2014/65/EU avseende tekniska tillsynsstandarder som specificerar organisatoriska krav för handelsplatser.
• Störningen påverkar väsentliga tjänster hos systemviktiga
  finansiella infrastrukturföretag och har pågått i minst en timme
• Störningen har pågått i minst två timmar.

Hälso- och sjukvård

• Störningen innebär att anmälningsskyldighet inträder enligt 3 kap. 5 § första stycket patientsäkerhetslagen (2010:659).
• Störningen har påverkat tillhandahållandet av ambulans och
  ambulanssjukvård enligt 7 kap. 6 § hälso- och sjukvårdslagen (2017:30).
• Störningen innebär att sådan hälso- och sjukvård som baseras på system som insamlar, bearbetar, lagrar eller distribuerar och presenterar information inte kan tillhandahållas i minst två timmar.
• Störningen har pågått i minst sex timmar.

Leverans och distribution av dricksvatten

• Störningen har pågått i minst två timmar och kan antas ha
  påverkat minst 2 000 personer.
• Störningen har pågått i minst två timmar och har påverkat
  akutsjukhus.
• Störningen har påverkat styrning och övervakning av tjänsten.

Digital infrastruktur

• Störningen innebär att toppdomänens namnservertjänst har en tillgänglighet på mindre än 100 procent.
• Störningen innebär förlorad konfidentialitet eller riktighet i lagrade, överförda eller behandlade data i samband med tillhandahållande av en toppdomäns namnservertjänst och har berört fler än 2 500 domännamn.
• Störningen innebär att en rekursiv namnservertjänst har en tillgänglighet på mindre än 100 procent under en sammanhängande period som överstiger en timme.
• Störningen innebär förlorad konfidentialitet eller riktighet i lagrade, överförda eller behandlade data i samband med tillhandahållande av en rekursiv namnservertjänst som har berört fler än 10 000 användare.
• Störningen innebär att en auktoritativ namnservertjänst har en tillgänglighet på mindre än 100 procent under en sammanhängande period som överstiger två timmar
• Störningen innebär förlorad konfidentialitet eller riktighet i lagrade, överförda eller behandlade data i samband med tillhandahållande av en auktoritativ namnservertjänst som har berört fler än 2 500 domännamn.

 

Om verktyget inte är tillgängligt så kan rapportering ske skriftligt via formulär. 

Incidentrapporteringsformulär för leverantörer av samhällsviktiga tjänster skede 1 och 2

Vägledning för ifyllande av incidentrapporteringsformulären för samhällsviktiga respektive digitala tjänster

Rapporten skickas då med rekommenderat brev till:

MSB
CERT-SE
Box 6081
171 06 Solna

Det är viktigt att MSB står först i adressen, därefter CERT-SE. Skicka inte med personlig utlämning då vi kan få problem att hämta ut posten.

Lägg rapporten med informationen i ett separat kuvert inuti försändelsekuvertet (kuvert i kuvert). Alternativt kan rapporten lämnas, adresserad till CERT-SE, personligen till vakten i MSB:s reception i Solna på Terminalvägen 14.

Om formulären

Formulären kan med fördel även användas av leverantören vid intern incidentrapportering och vid övning av incidenter samt vid tillfällen då verktyget inte är tillgängligt och rapportering behöver ske skriftligt.

I formulären ska leverantören lämna uppgifter om de olika kategorierna:
hanteringsåtgärder, hot, sårbarheter och förebyggande åtgärder.
Observera att om det behov finns att rapportera mer än en uppgift av varje ovan nämnda kategori ska formulären som finns under rubriken delformulär incidenthantering nedan användas.

Skulle inte IRON-verktyget vara tillgängligt kan du rapportera skriftligt via formulär. 

Incidentrapporteringsformulär för leverantörer av samhällsviktiga tjänster: Skede 3

Vägledning för ifyllande av incidentrapporteringsformulären för samhällsviktiga respektive digitala tjänster

Hur du ska skicka in rapporten beror på om den omfattas av sekretess.

Det är den rapporterande aktören som gör bedömningen.
OBS! Ni kan alltid, oavsett sekretess eller inte, lämna in slutrapporten personligen. Det görs till vakten i MSB:s reception i Solna på Terminalvägen 14. Adressera rapporten till CERT-SE.

Så skyddar MSB din information (länk till publikation)

Ej sekretess:

Mejla till rapport@it-incident.se.

Rekommenderat brev (se adressuppgifter nedan)

Värdepost (se adressuppgifter nedan)

Sekretess, men rör inte Sveriges säkerhet:

Rekommenderat brev

Rekommenderat brev används för rapporter som omfattas av sekretess enligt 18 kapitel 8 § eller 18 kapitel 13 § i offentlighets- och sekretesslagen, OSL (2009:400) och som inte rör Sveriges säkerhet.

Rapporten skickas i kuvert i säkerhetspåse som rekommenderat brev till (exakt adress):

MSB
CERT-SE
Box 6081
171 06 Solna

Sekretess och berör Sveriges säkerhet:

• Signalskydd: Rapporter som omfattas av sekretess på grund av skydd av Sveriges säkerhet ska i första hand rapporteras via signalskyddssystem (MGS, MGM). Det är system som Försvarsmakten har godkänt för att skydda säkerhetsskyddsklassificerade uppgifter.
• Värdepost: Om det inte är möjligt skickas rapporten i kuvert i säkerhetspåse som värdepost till (exakt adress):

MSB
CERT-SE
Terminalvägen 10
171 73 Solna

Kompletteringar

Eftersom it-incidenter kan påverka säkerheten hos statliga myndigheter är det viktigt att informationen är rätt. Det är också viktigt eftersom informationen som lämnas är utgångspunkt för hela samhällets informationssäkerhet.

MSB kan komma att kontakta er för en fördjupad analys om det finns misstankar om att de it-incidenter som har rapporterats kan få snabb spridning eller omfattande konsekvenser för samhället.

MSB kan också begära in kompletterande uppgifter för att avgöra om it-incidenter från olika aktörer har något samband eller om de exempelvis har orsakats av samma anledning. Syftet är att begränsa skada och förebygga liknande it-incidenter i samhället.

Upptäcker ni som rapporterande myndighet att uppgifter om kategorier, omfattning och konsekvenser varit missvisande eller felaktiga ska ni komplettera eller korrigera rapporten så snart som möjligt.

Delformulär incidentrapportering

Delformulär Ytterligare hanteringsåtgärder

Delformulär Ytterligare hot

Delformulär Ytterligare sårbarheter

Delformulär Ytterligare förebyggande åtgärder

På regeringens uppdrag vidarebefordrar MSB från och med 1 oktober 2022 de notifieringar och ifyllda formulär som rapporteras in till MSB, och som innehåller beskrivningar av incidenter som kan antas ha sin grund i en brottslig handling, till Polismyndigheten där en polisanmälan kan komma att upprättas. Syftet är att öka andelen polisanmälda it-brott och öka möjligheten att klara upp fler brott.

Det är endast incidentrapporter där den rapporterande organisationen har angett att incidenten är orsakad av en mänsklig handling i antagonistiskt syfte, eller där den organisationen i fritext har beskrivit att det handlar om ett angrepp, som omfattas av detta. 

Notifieringar och ifyllda formulär bedöms var för sig. Om en rapporterande organisation i sin notifiering har angett att incidenten de notifierar om har, eller verkar ha, sin grund i en brottslig handling så kommer informationen att vidarebefordras till Polismyndigheten. Om den rapporterande organisationen därefter skickar en ett ifyllt formulär där de anger en annan orsak till incidenten så kommer inte det ifyllda formuläret att vidarebefordras till Polismyndigheten. På motsvarande sätt gäller också att om en rapporterande organisation vid sin notifiering anger en orsak som inte kan antas av vara brottslig så kommer informationen inte att vidarebefordras till Polismyndigheten. Om den organisationen sedan skickar in ett ifyllt formulär där de anger en orsak som kan antas vara brottslig så kommer det ifyllda formuläret att vidarebefordras till Polismyndigheten.

Delningen av information till Polismyndigheten genomförs inom ramen för det nationella cybersäkerhetscentrets (NCSC-SE) verksamhet. Information som delas till Polismyndigheten kan också komma att delas med andra myndigheter inom NCSC-SE:s verksamhet.

När Polismyndigheten mottagit notifieringen eller incidentrapporten bedöms huruvida ett brott som hör under allmänt åtal har förövats, om en polisanmälan ska upprättas och om en förundersökning i så fall ska inledas. Informationen som inkommer till Polismyndigheten, såväl som till andra myndigheter inom NCSC-SE, behandlas utifrån tillämpliga sekretessregler.
På detta sätt når de aktörer som rapporterar in incidenter den del av Polismyndigheten som hanterar it-brott på ett nytt sätt.
Den nya rutinen för informationsdelning kommer att utvärderas om ett år, bland annat rörande sätt att både främja incidentrapportering och polisanmälan.

MSB kommer även fortsättningsvis att uppmana NIS-leverantörer och statliga myndigheter att göra en polisanmälan om de bedömer att incidenten kan ha orsakats av en brottslig handling eftersom det åligger myndigheten att göra det enligt NIS-regleringen och krisberedskapsförordningen.

Inom vissa organisationer sköts incidentrapportering respektive polisanmälan på olika sätt eller av olika delar av organisationen. Det kan vara värt att se över en sådan ordning i ljuset av det ovanstående. Det åligger rapporteringspliktiga organisationer att ha en intern rutin för att samlat hantera rapportering om inträffade incidenter utifrån den samlade kravbilden.