Ferill 280. máls. Aðrar útgáfur af skjalinu: PDF - Word Perfect.
156. löggjafarþing 2025.
Þingskjal 715 — 280. mál.
2. umræða.
Nefndarálit með breytingartillögu
um frumvarp til laga um breytingu á varnarmálalögum, nr. 34/2008 (netöryggissveit).
Frá meiri hluta utanríkismálanefndar.
Nefndin hefur fjallað um málið og fengið á sinn fund gesti frá utanríkisráðuneytinu, netöryggissveitinni CERT-ÍS, Fjarskiptastofu og ríkislögreglustjóra.
Nefndinni barst umsögn frá Fjarskiptastofu og minnisblað frá utanríkisráðuneyti sem eru aðgengileg undir málinu á vef Alþingis.
Með frumvarpinu eru lagðar til breytingar á varnarmálalögum, nr. 34/2008, og afleiddar breytingar á ákvæðum laga um Fjarskiptastofu, nr. 75/2021, laga um fjarskipti, nr. 70/2022, og laga um öryggi net- og upplýsingakerfa mikilvægra innviða, nr. 78/2019. Samkvæmt þeim verða netvarnir og netöryggi á sviði varnarmála og starfræksla netöryggissveitar hluti af lögbundnum verkefnum á sviði varnarmála sem heyrir undir utanríkisráðuneytið. Með frumvarpinu er jafnframt lagt til að starfsemi netöryggissveitar CERT-ÍS flytjist frá Fjarskiptastofu til utanríkisráðuneytisins.
Umfjöllun nefndarinnar.
Stefnumótun á sviði netöryggis og netvarna.
Í greinargerð með frumvarpinu segir að netöryggi og netvarnir séu mikilvægur hlekkur í öryggis- og varnarmálum Íslands. Samstarf og samráð á vegum Atlantshafsbandalagsins um netárásir og netvarnir hafi aukist til muna síðustu ár í ljósi aukinnar fjölþáttaógnar og því sé mikilvægt að skýrt sé í varnarmálalögum að netvarnir og netöryggi á sviði varnarmála falli undir varnarmál. Með flutningi netöryggissveitarinnar CERT-ÍS, sem gegnir veigamiklu hlutverki þegar kemur að því að verjast og vinna gegn slíkum árásum, til utanríkisráðuneytisins verði hún nær stefnumótun og framkvæmd öryggis- og varnarmála á Íslandi. Með þeim breytingum sem lagðar eru til með frumvarpi þessu muni einungis sá hluti netöryggismála sem varðar starfsemi netöryggissveitarinnar CERT-ÍS heyra undir utanríkisráðuneytið. Stjórnarmálefni fjarskipta og þar með meginþungi stefnumótunar, aðgerða og löggjafar á sviði netöryggismála muni áfram heyra undir innviðaráðuneytið.
Í umsögn Fjarskiptastofu er bent á að grundvöllur netvarna ríkja hvíli á samfélagslega mikilvægum almennum fyrirtækjum og stofnunum sem geri virkar ráðstafanir til að tryggja netöryggi sitt með fyrirbyggjandi aðgerðum, m.a. í samræmi við netöryggisregluverkið. Netvarnir ríkja hvíli því ekki síður á þessum aðilum en varnarmálatengdum aðilum. Borgaralegt netöryggisregluverk sé því í raun grundvöllur varnarmálatengdrar nálgunar netöryggis. Með breytingum þeim sem lagðar eru til með frumvarpi þessu verði stjórnarfarslegri ábyrgð mikilvægs og viðkvæms málaflokks skipt milli tveggja ráðuneyta. Afar mikilvægt sé að tryggja skýra verkaskiptingu um málaflokk netöryggismála, t.d. varðandi stefnumótun, forsvar, fjármögnun, skipulag, upplýsingamiðlun, atvikameðhöndlun, ástandsvitund og fleira er varðar netöryggismál. Að mati Fjarskiptastofu sé nauðsynlegt samhliða þessari lagasetningu að efla samhæfingu netöryggis þvert á stjórnsýsluna. Þörf sé á því að innleiða hér á landi tilskipun (ESB) 2022/2555 um ráðstafanir til að ná háu sameiginlegu stigi á sviði netöryggis í öllu Sambandinu (NIS2) og samhliða því ráðast í heildstæða greiningarvinnu um skipan netöryggismála hérlendis hvað varðar samspil borgaralegs netöryggis sem leiðir af regluverki ESB og þátta er tengjast netöryggi í samhengi við öryggis- og varnarmál.
Meiri hlutinn styður þá breytingu sem felst í að bæta netvörnum og netöryggi á sviði varnarmála við þau verkefni sem falla undir varnarmál. Þá telur meiri hlutinn að með flutningi netöryggissveitar CERT-ÍS til utanríkisráðuneytisins verði tekið jákvætt skref í átt að því að efla bæði netöryggissveitina og viðbragðsgetu Íslands á sviði netvarna í ljósi aukinna fjölþáttaógna sem beinast að ríkjum. Meiri hlutinn telur ábendingar Fjarskiptastofu um mikilvægi samhæfingar og frekari stefnumótunar á þessu sviði réttmætar. Í greinargerð með frumvarpinu segir að fyrirhugað sé að móta nýja stefnu í öryggis- og varnarmálum á þessu ári auk þess sem fyrirhuguð er endurskoðun á netöryggisstefnu Íslands frá árinu 2022. Fyrirhugað sé að þau ráðuneyti og stofnanir sem hafa með málið að gera vinni fyrir lok árs 2025 að áformum og aðgerðum til aukinnar samhæfingar aðila með það að markmiði að stuðla að auknu netöryggi almennings og alls samfélagsins. Leggur meiri hlutinn áherslu á mikilvægi þessarar vinnu og væntir þess að niðurstaða hennar verði kynnt viðeigandi fastanefndum þingsins.
Meðhöndlun upplýsinga og miðlun þeirra til og frá netöryggissveitinni CERT-ÍS.
Í umfjöllun fyrir nefndinni og í umsögn komu fram áhyggjur af mögulegum áhrifum sem breytt staðsetning CERT-ÍS kunni að hafa á miðlun upplýsinga til og frá nefndinni. Þannig segir í umsögn Fjarskiptastofu að viss hætta sé á því að netöryggissveit sem starfar í varnarmálaumhverfi hafi tilhneigingu til að flokka upplýsingar á trúnaðarstig sem ekki heimilar dreifingu út fyrir varnartengda aðila sem gæti tafið eða hindrað dreifingu upplýsinga um ógnir og netatburði hjá mikilvægum innviðum til Fjarskiptastofu og annarra eftirlitsstjórnvalda. Eðli máls samkvæmt geti netöryggissveitin CERT-ÍS komist í þá stöðu á grundvelli lagaheimilda sinna að öðlast vitneskju um mjög viðkvæma þætti í starfsemi umbjóðenda sinna. Í ljósi þess að starfsemi netöryggissveitar muni lúta yfirstjórn utanríkisráðherra, sem er pólitískt embætti, kunni að skapast hagsmunaárekstrar eða togstreita milli embættisins og hagsmuna umbjóðenda sveitarinnar. Fyrir nefndinni var einnig bent á að mögulegt væri að flutningur netöryggissveitar frá sjálfstæðu eftirlitsstjórnvaldi til ráðuneytis undir ábyrgð ráðherra hefði áhrif á þær upplýsingar sem heimilt væri að miðla til netöryggissveitarinnar.
Nefndin óskaði eftir frekari upplýsingum frá utanríkisráðuneytinu varðandi þessa þætti, nánar tiltekið um stöðu upplýsinga sem netöryggissveitin muni búa yfir og hvort hún gæti synjað ráðherra varnarmála eða stjórnvöldum sem starfa á sviði netvarna um upplýsingar, til að mynda í tilfellum þar sem um er að ræða vinnslu upplýsinga sem teljast ekki hafa öryggis- og varnartengt gildi. Einnig óskaði nefndin eftir að gerð væri grein fyrir því hvernig farið verði með skráningu og aðgangsstýringu upplýsinga sem heyra ekki undir hlutverk netöryggissveitar. Í minnisblaði utanríkisráðuneytisins, dags. 6. júní 2025, kemur fram að netöryggissveitin muni starfa sjálfstætt og sem sérstök eining innan utanríkisráðuneytisins. Hún muni ekki hafa aðgang að skjalakerfi utanríkisráðuneytisins og starfsfólk utanríkisráðuneytisins muni ekki hafa aðgang að skjalakerfi netöryggissveitarinnar, þ.e. fullur aðskilnaður verði milli gagna netöryggissveitarinnar og utanríkisráðuneytisins. Þá muni netöryggissveitin starfa á starfssvæði sem aðrir starfsmenn utanríkisráðuneytisins hafa ekki aðgang að. Upplýsingamiðlun frá netöryggissveitinni til ráðuneytisins, þ.m.t. ráðherra, verði bundin við þau verkefni sem netöryggissveitin sinnir fyrir hönd ráðuneytisins eins og þau verða skilgreind samkvæmt breyttum varnarmálalögum. Utanríkisráðuneytið, þ.m.t. ráðherra, muni ekki hafa neina aðkomu að öðrum verkefnum sem netöryggissveitin sinnir, þ.m.t. samkvæmt lögum um öryggi net- og upplýsingakerfa mikilvægra innviða, nema í tilvikum þegar slík mál hafa tengingu við öryggis- og varnarmál eða utanríkismál, t.d. vegnar ábyrgðar erlends ríkis á netárás. Nái lögin fram að ganga sé gert ráð fyrir því að sett verði skriflegt verklag um upplýsingamiðlun og hömlur á henni. Þá verði sett reglugerð um starfsemi netöryggissveitarinnar á grundvelli nýs ákvæðis 16. gr. a, sem fjalli um meðferð upplýsinga, viðeigandi öryggisráðstafanir o.fl. Í slíkri reglugerð yrði fjallað um skipulag upplýsingamiðlunar milli netöryggissveitarinnar og ráðuneytisins, þ.m.t. ráðherra. Verður sú reglugerð unnin í samráði við ríkislögreglustjóra, Persónuvernd, innviðaráðuneytið og Fjarskiptastofu.
Meiri hlutinn telur mikilvægt að tryggt sé að upplýsingaflæði milli netöryggissveitar og annarra aðila sem starfa á sviði netvarna verði ekki hindrað með breyttri staðsetningu netöryggissveitar. Mikilvægt sé að það verði tryggt í þeirri vinnu sem fyrirhuguð er. Meiri hlutinn áréttar að stjórnvöld tryggi skilvirkt skipulag og samhæfingu netöryggis þvert á stjórnsýsluna til að tryggja örugga fjarskiptainnviði og -varnir í þágu samfélagsins, eins og fram kemur í greinargerð með tillögu sem varð að þingsályktun um breytta skipan ráðuneyta í Stjórnarráði Íslands (þskj. 1, 1. mál á 156. löggjafarþingi).
Samanburður við erlend ríki.
Í greinargerð með frumvarpinu er fyrirkomulagi CSIRT-viðbragðsteyma (e. computer security incident response team) í nágrannaríkjum lýst, þar á meðal CSIRT-teymis Danmerkur. Við meðferð málsins óskaði utanríkisráðuneytið eftir því að umfjöllun í greinargerð um fyrirkomulag í Danmörku yrði leiðrétt. Rétt sé að CSIRT-viðbragðsteymi hafi verið hluti af netöryggismiðstöð Danmerkur, sem var hluti af dönsku herleyniþjónustunni, sem er stofnun undir danska varnarmálaráðuneytinu. Síðastliðið haust hafi netöryggismiðstöð Danmerkur verið færð frá netöryggismiðstöðinni og sameinuð nýrri stofnun á sviði almannaöryggis (Styrelsen for Samfundssikkerhed) sem heyrir undir ráðuneyti sem fer með öryggi samfélagsins og neyðarviðbúnað. CSIRT-viðbragðsteymið var aðskilið og er enn undir dönsku herleyniþjónustunni. Það sé til skoðunar hvort viðbragðsteymið verði hluti af hinni nýju stofnun.
Breytingartillögur.
Í umsögn Fjarskiptastofu eru lagðar til tvær breytingar á frumvarpinu. Í fyrsta lagi er bent á að samhliða breytingu á 9. gr. laga um Fjarskiptastofu, nr. 75/2021, sem lögð er til með b-lið 1. tölul. 4. gr. frumvarpsins, sé þörf á að breyta fyrirsögn greinarinnar þar sem hún varði ekki lengur netöryggissveitina. Samkvæmt efni hinnar breyttu greinar sé rétt að fyrirsögnin verði „Öryggisvottun“.
Í öðru lagi er lögð til breyting á e-lið 3. tölul. 4. gr. frumvarpsins sem leggur til breytingu á 1. málsl. 1. mgr. og 1. málsl. 2. mgr. 10. gr. laga um öryggi net- og upplýsingakerfa mikilvægra innviða, nr. 78/2019. Með frumvarpinu er lagt til að í stað Fjarskiptastofu hafi netöryggissveit heimildir til að upplýsa almenning um atvik ef almenningsvitundar er þörf til að koma í veg fyrir eða takast á við atvik og þegar upplýsingagjöf um atvik er af öðrum ástæðum nauðsynleg í þágu almannahagsmuna. Einnig sé heimilt að tilkynna um veikleika og almennar hættur ef það er nauðsynlegt í þágu almannahagsmuna. Fjarskiptastofa bendir á að stofnunin sé eftirlitsstjórnvald og samhæfingarstjórnvald á sviði borgaralegs netöryggis á Íslandi. Þar af leiðandi geti stofnunin haft undir höndum upplýsingar sem nauðsynlegt er að koma á framfæri við almenning til að tryggja netöryggi. Því sé nauðsynlegt að stofnunin hafi einnig þessa heimild. Leggur stofnunin því til að bæði Fjarskiptastofa og netöryggissveit hafi þessa heimild. Meiri hlutinn er sammála þessum sjónarmiðum og leggur til breytingar þess efnis.
Auk þessa leggur meiri hlutinn til tæknilega breytingu þess efnis að sameina 5. og 6. mgr. 2. gr. frumvarpsins. Er það til að lagfæra mistök í frumvarpinu og verður ákvæðið þannig í samræmi við orðalag athugasemdar við ákvæðið í greinargerð.
Að framangreindu virtu leggur meiri hlutinn til að frumvarpið verði samþykkt með eftirfarandi
BREYTINGU:
1. 6. mgr. 2. gr. flytjist og verði lokamálsliður 5. mgr.
2. Við 4. gr.
a. Efnisgrein b-liðar 1. tölul. fái fyrirsögn, svohljóðandi: Öryggisvottun.
b. E-liður 3. tölul. orðist svo: Á eftir orðinu „Fjarskiptastofu“ í 1. málsl. 1. mgr. og 1. málsl. 2. mgr. 10. gr. laganna kemur: og netöryggissveit.
Dagbjört Hákonardóttir og Sigurður Helgi Pálmason voru fjarverandi við afgreiðslu málsins en rita undir álitið samkvæmt heimild í 2. mgr. 29. gr. þingskapa.
Alþingi, 11. júní 2025.
| Pawel Bartoszek, form. |
Dagbjört Hákonardóttir, frsm. |
Eydís Ásbjörnsdóttir. | |
| Sigmar Guðmundsson. | Sigurður Helgi Pálmason. | ||
