Säkerhetsrav från regelverk

Cybersäkerhetslagen, luftfartslagen, GDPR och DORA är exempel på lagar som ska skydda samhället. Regelverken kräver ett systematiskt arbete för att t ex skydda liv, hälsa, ekonomi, samhällsfunktioner och miljö.

Samhället är idag utsatt för en mängd hot. Samhällsviktiga tjänster säkerställer samhällsfunktioner nödvändiga för samhällets grundläggande behov. Här är några exempel på lagar och regler som ställer krav mot företag och offentlig verksamhet avseende på säkerhet

Det finns naturligtvis många fler aspekter och detaljer inom varje kategori av säkerhetskrav, och det är viktigt att följa de specifika reglerna och riktlinjerna som gäller för den relevanta branschen eller verksamheten.

1. Luftfartslagen ställer krav på piloter, flygplan, flygplatser med mer så att luftfarten är säker.

2. Patientsäkerhetslagen ska främja patientsäkerheten. Det innefattar rapportering och uppföljning av händelser som påverkar patientsäkerheten.

3. Medicinteknisk förordning (MDR) reglerar bkrav för utformning, tillverkning och användning av medicintekniska produkter för att säkerställa deras säkerhet och prestanda.

4. Läkemedelslagen: Läkemedelslagen reglerar tillverkning, import, försäljning och användning av läkemedel. Den innehåller krav på kvalitet, säkerhet och effektivitet hos läkemedel.

5. Dataskyddsförordningen: GDPR reglerar behandlingen av personuppgifter. Det ställer krav på att personuppgifter behandlas på ett säkert sätt för att skydda individens integritet.

6. Miljölagstiftning: I många länder finns lagar och förordningar som reglerar företags miljöpåverkan och kräver att organisationer ska ha systematiska processer för att hantera och minska sin miljöpåverkan.

7. Livsmedelssäkerhetslagar: Inom livsmedelsindustrin finns det lagar och standarder som kräver att företag har systematiska metoder för att säkerställa livsmedelssäkerhet och kvalitet.

8. Säkerhetsskyddslagen gäller skydd av verksamhet eller information som kan ha betydelse för Sveriges säkerhet.

Direktivet om resiliens för kritiska enheter (CER) syftar till att minska sårbarheter och stärka den fysiska motståndskraften hos kritiska enheter samt ersätta direktivet om europeisk kritisk infrastruktur från 2008. Dessa är enheter som tillhandahåller vitala tjänster som EU-medborgarnas försörjning och den inre marknadens funktion är beroende av. De nya reglerna kommer att stärka motståndskraften hos kritisk infrastruktur mot en rad hot, inklusive naturkatastrofer, terroristattacker, insiderhot eller sabotage.

DORA krav innebär krav på ramverk för riskhantering, incidenthanteringsplan, rapportering vid incidenter osv. Gäller finansiella sektorn (revision, bank, försäkring med mera)

DORA tar upp en viktig fråga inom EU finansreglering. Innan DORA hanterade finansiella institutioner de huvudsakliga kategorierna av operativ risk främst genom kapitalallokering, men de hanterade inte alla komponenter av operativ resiliens. DORA kommer att tillämpas på ett brett spektrum av finansiella enheter, inklusive kreditinstitut, institut för elektroniska pengar, värdepappersbolag, försäkringsbolag och återförsäkringsbolag. DORA ingår i NIS2-direktivet, men för banker och finansiella marknadsinfrastrukturorganisationer.

Det inför riktade regler om:

• Hantering av risker för information och kommunikationsteknologi (IKT)
• Hantering, klassificering och rapportering av IKT-relaterade incidenter
• Testning av digital operativ resiliens
• Hantering av IKT-tredjepartsrisker (inklusive införandet av en tillsynsram för kritiska IKT-tredjepartstjänsteleverantörer)

Efter DORA ska dessa organisationer också följa regler för skydd, upptäckt, begränsning, återhämtning och reparationsförmåga mot IKT-relaterade incidenter. DORA hänvisar uttryckligen till IKT-risk och sätter upp regler för hantering av IKT-risk, incidentrapportering, operativ resiliens-testning och övervakning av IKT-tredjepartsrisker. Denna förordning erkänner att IKT-incidenter och en brist på operativ resiliens kan äventyra stabiliteten i hela det finansiella systemet, även om det finns "tillräckligt" kapital för de traditionella riskkategorierna.

Kom ihåg, Digital Operational Resilience Act (DORA) är en förordning, inte ett direktiv, så den är bindande i sin helhet och direkt tillämplig i alla EU-medlemsstater.

AI-förordningen ska säkerställa att användning av AI-system är säkra, respekterar mänskliga rättigheter och underlättar för innovation och investering inom AI. AI-förordningen ska gälla alla som använder AI-system i privat och offentlig verksamhet.

Användning av AI-system regleras med en riskbaserad modell, viss användning kan förbjudas och annat tillåtas med restriktioner. Det kommer finnas krav på t ex tillsyn och registrering. För AI-system med hög risk krävs på transparens, kvalitetssäkring och möjlighet till granskning.