netöryggisvottun á sviði upplýsinga- og fjarskiptatækni.
Virðulegi forseti. Ég mæli hér fyrir frumvarpi til laga um netöryggisvottun á sviði upplýsinga- og fjarskiptatækni. Frumvarpið hefur það að markmiði að innleiða í íslenskan rétt reglugerð Evrópuþingsins og ráðsins (ESB) 2019/881, svonefnda netöryggisgerð sem þegar hefur verið tekin upp í EES-samninginn með ákvörðun sameiginlegu EES-nefndarinnar nr. 22/2023.
Virðulegi forseti. Stafræn umbreyting samfélagsins hefur á undanförnum árum skapað gríðarleg tækifæri til verðmætasköpunar, skilvirkni og bættrar þjónustu. Um leið hefur hún aukið áhættu. Netógnir eru orðnar flóknari, skipulagðari og hafa víðtækari áhrif en áður. Truflun á stafrænum kerfum getur haft áhrif á mikilvæga innviði, fyrirtæki og daglegt líf almennings. Frumvarp þetta er liður í því að efla traust, öryggi og samkeppnishæfni Íslands á stafrænum innri markaði Evrópu.
Markmið reglugerðarinnar sem frumvarpinu er ætlað að innleiða er tvíþætt: annars vegar að styrkja hlutverk Netöryggisstofnunar Evrópusambandsins, ENISA, og hins vegar að koma á samræmdu evrópsku netöryggisvottunarkerfi fyrir vörur, þjónustu og ferla á sviði upplýsinga- og fjarskiptatækni. Netöryggisstofnun Evrópusambandsins var upphaflega sett á laggirnar árið 2004 en með þessari reglugerð var stofnuninni veitt varanlegt umboð og hlutverk hennar víkkað verulega. Hún gegnir nú lykilhlutverki í, í fyrsta lagi stefnumótun og ráðgjöf á sviði netöryggis innan Evrópu, í öðru lagi samhæfingu viðbragða við netógnum, í þriðja lagi eflingu getu aðildarríkja og í fjórða lagi þróun sameiginlegra evrópskra netöryggisvottunarkerfa. Ísland tekur þátt í þessu samstarfi á grundvelli EES-samningsins og með frumvarpi þessu er lagður skýr grundvöllur að virkri þátttöku okkar í þeirri samvinnu. Þetta er sérstaklega mikilvægt fyrir smærri ríki enda virða netógnir ekki landamæri. Með aðild að sameiginlegri evrópskri umgjörð nýtum við sameiginlega sérfræðiþekkingu, greiningar- og viðbragðsgetu sem erfitt væri að byggja upp að fullu á landsvísu ein og óstudd. Evrópska netöryggisvottunarkerfið byggist á því að skapa sameiginleg viðmið og fullvissustig um öryggi tæknilausna. Með því er stuðlað að auknu trausti notenda og komið í veg fyrir að hvert ríki þrói sitt eigið ósamræmda kerfi. Þannig er dregið úr kostnaði fyrirtækja sem starfa yfir landamæri og innri markaður Evrópska efnahagssvæðisins styrktur.
Rétt er að gera sérstaklega grein fyrir því hvað felst í netöryggisvottun samkvæmt frumvarpinu, þ.e. hvaða viðfangsefni geta fallið undir slíka vottun. Í fyrsta lagi getur vottun tekið til vöru, svo sem hugbúnaðar, vélbúnaðar eða annars búnaðar sem er hluti af net- og upplýsingakerfum. Í öðru lagi getur hún tekið til þjónustu, t.d. skýjaþjónustu eða annarrar stafrænnar þjónustu sem byggir á slíkum kerfum. Í þriðja lagi getur vottun tekið til ferla, þ.e. þeirra aðferða og verklags sem notað er við hönnun, þróun, afhendingu og rekstur tæknilausna. Það eru sem sagt þrjú atriði sem vottun getur tekið til, þ.e. vara, þjónusta og ferlar. Þetta er mikilvægt, virðulegi forseti, vegna þess að öryggi stafrænnar þjónustu ræðst ekki eingöngu af vörunni sjálfri heldur einnig af því hvernig hún er byggð upp, rekin og hvernig henni er haldið við. Með því að ná til allra þessara þátta stuðlar vottunarkerfið að heildstæðri nálgun á netöryggi og auknu trausti í stafrænu umhverfi.
Mikilvægt er að árétta að samkvæmt reglugerðinni er netöryggisvottun almennt valkvæð. Aðilar á markaði meta sjálfir hvort þeir óski eftir vottun en slík vottun getur aukið traust, styrkt stöðu þeirra í samkeppni og auðveldað aðgang að mörkuðum.
Virðulegi forseti. Með frumvarpinu er lagt til að Fjarskiptastofa verði landsbundið netöryggisvottunaryfirvald hér á landi. Stofnunin býr þegar yfir víðtækri reynslu á sviði net- og upplýsingakerfa og gegnir lykilhlutverki í netöryggismálum samkvæmt gildandi lögum. Í frumvarpinu er kveðið á um að sá aðili sem óskar eftir netöryggisvottun skuli bera allan kostnað sem af henni hlýst. Þetta á við um undirbúning, samræmismat, útgáfu vottorðs og eftir atvikum þann kostnað sem hlýst af útvistun verkefna skv. 4. gr. frumvarpsins. Þetta er grundvallaratriði af tveimur ástæðum. Í fyrsta lagi er vottunin valkvæð. Það er því hvorki málefnalegt né réttlátt að íslenskir skattgreiðendur bæru kostnaðinn af því að einstök fyrirtæki, innlend eða erlend, kjósi að afla sér vottunar til að styrkja eigin markaðsstöðu. {Kliður í þingsal.] Í öðru lagi er þetta mikilvægt til að tryggja að Ísland verði ekki — það er einhver að tala hér í hliðarsal. (Forseti hringir.)
(Forseti (EÁs): Forseti biður um hljóð í hliðarsölum.)
Í öðru lagi er þetta mikilvægt til að tryggja að Ísland verði ekki vettvangur svonefndrar vottunarferðaþjónustu, þar sem fyrirtæki sem hafa engin raunveruleg tengsl við Ísland leiti hingað eingöngu til að fá útgefin vottorð frá Fjarskiptastofu með tilheyrandi stjórnsýslu- og sérfræðikostnaði fyrir íslenska ríkið. Með því að kveða skýrt á um fulla kostnaðarþátttöku umsækjanda er í fyrsta lagi tryggt að fjárhagsleg ábyrgð liggi hjá þeim sem njóta ávinningsins, í öðru lagi aaaað Fjarskiptastofa geti sinnt sínum kjarnahlutverkum án þess að það leiði til ósanngjarns álags á ríkissjóð og í þriðja lagi að hvatar séu eðlilegir og byggðir á raunverulegri þörf fyrir vottun en ekki á mögulegum fjárhagslegum ávinningi af því að nýta íslenska stjórnsýslu án endurgjalds.
Frumvarpið veitir jafnframt Fjarskiptastofu nauðsynlegar heimildir til eftirlits, upplýsingaöflunar og beitingar viðurlaga enda kveður reglugerðin á um að aðildarríki skuli setja skilvirk, hófleg og letjandi viðurlög vegna brota. Fyrirmyndir að upphæðum dagsekta og stjórnvaldssekta eru fengnar úr lögum um Fjarskiptastofu og lögum um öryggi net- og upplýsingakerfa mikilvægra innviða. Þær eru því í samræmi við það sem þekkist á skyldum sviðum íslensks réttar.
Frumvarpið hefur verið unnið í samráði við Fjarskiptastofu og haft var opið samráð í samráðsgátt stjórnvalda. Í umsögnum var m.a. lögð áhersla á að ekki yrði gengið lengra en reglugerðin krefðist og að vottun yrði áfram valkvæð. Hér er því ekki um neina gullhúðun að ræða. Áhrif frumvarpsins á atvinnulífið eru þannig takmörkuð að því leyti að það leggur ekki nýjar skyldur á fyrirtæki umfram það sem leiðir af reglugerðinni sjálfri. Þeir aðilar sem kjósa að afla sér vottunar bera sjálfir kostnað af henni. Á móti geta þeir notið ávinnings í formi aukins trausts og bættrar samkeppnisstöðu.
Virðulegi forseti. Netöryggi er samfélagslegt öryggismál. Öruggir stafrænir innviðir eru forsenda efnahagslegs stöðugleika, verndar persónuupplýsinga og trausts í viðskiptum og opinberri þjónustu. Með frumvarpi þessu er stigið mikilvægt skref til að samræma íslenskt regluverk evrópskum viðmiðum, styrkja innlenda umgjörð og efla alþjóðlegt samstarf á þessu sviði.
Virðulegi forseti. Ég hef þá lokið framsögu minni um frumvarpið og vísa að öðru leyti til frumvarpsins sjálfs og greinargerðar sem fylgir því. Ég legg til að að lokinni 1. umræðu verði málinu vísað til hv. umhverfis- og samgöngunefndar og til 2. umræðu.
