Frågor och svar om RSB-föreskrifterna (MSBFS 2024:5)

Ansvarsområden kan utläsas ur myndighetsinstruktioner eller andra styrande dokument som reglerar myndigheters uppdrag och verksamhet. Ofta handlar det om den verksamhet i samhället som en myndighet bedriver, samordnar, utövar tillsyn över eller förmedlar vägledningar, stöd och annan expertkunskap inom. En länsstyrelses ansvarsområde omfattar länet.

Det finns flera dokument till stöd för aktörer för att hjälpa dem planera inför höjd beredskap och krig.

FOIs hotbildsunderlag med typfall 1-4 och typfall 5 är en bra utgångspunkt.

Hotbildsunderlag i utvecklingen av civilt försvar (Typfall 1-4) (foi.se)

Typfall 5: Utdragen och eskalerande gråzonsproblematik (foi.se)

MSB:s planeringsinriktning för civil beredskap innehåller också beskrivningar av grundantaganden kring höjd beredskap och krig

Vissa myndigheter har också tillhandahållits ytterligare underlag i särskild ordning som kan användas. Det är viktigt att ha i åtanke att skyddsvärdet på analysen kan öka om dessa underlag används.

Av redovisningen bör framgå vilka avgränsningar som gjorts i bedömningen gällande exempelvis ansvarsområde, sektor, organisatorisk nivå eller riskområden. Detta för att tydliggöra för MSB vilka områden som bedömts och vilka som kvarstår.

Syftet med att myndigheten redovisar bakomliggande underlag till de bedömningar som redovisas i risk- och sårbarhetsbedömningen är att tydliggöra graden av noggrannhet i bedömningen.

Exempel på underlag kan vara vetenskapliga rapporter, utredningar eller utvärderingar av händelser. Underlagen kan tydliggöra i vilken grad olika faktorer utretts eller värderats i tidigare led och hur relevanta de är i förhållande till myndighetens redovisade bedömning.

Ansvarsområde är det område myndigheten verkar inom och har något slags ansvar för. Ansvarsområdet går därmed utanför den egna myndighetens verksamhet. Innebörden och omfattningen av olika slags ansvarsområden är avhängigt myndighetens instruktion och varierar därför mellan myndigheterna. Flera myndigheter har dessutom särskilt utpekat ansvar under fredstida kris eller höjd beredskap. Exempel på ansvarsområden är tillsynsansvar eller samordningsansvar för aktörer som verkar inom ett visst område (till exempel elproducenter, telekomoperatörer eller livsmedelsproducenter) eller att tillhandahålla expertkunskap för ett visst område.

Det finns dock inga formella riktlinjer för hur en myndighets ansvarsområde ska ramas in eller beskrivs, utan detta måste utläsas från fall till fall ur myndighetens instruktion, regleringsbrev och övriga styrning. Om myndigheten anser att den inte har något ansvarsområde utöver den egna verksamheten bör myndigheten motivera det i RSB-redovisningen.

För en länsstyrelse utgörs ansvarsområdet av länet. En beskrivning av ansvarsområdet innebär därför för en länsstyrelse en beskrivning av de regionala förhållandena (se förtydligande av regionala förhållanden nedan).

Vissa myndigheter ingår i en eller flera beredskapssektorer. Risk- och sårbarhetsbedömningen ska i sådana fall innehålla en beskrivning av vilken roll, funktion, eller ansvar myndigheten har inom beredskapssektorn.

Redovisningen bör omfatta den information som länsstyrelsen bedömer är relevant för aktörer som mottar redovisningen att ta del av avseende förhållanden i länet som är relevanta för riskbilden. Beskrivningen av regionala förhållanden kan exempelvis redogöra för:

• geologiska och meteorologiska förhållanden, exempelvis förutsättningar för ras, skred eller översvämningar,
• befolkningsmängden i länet varierar kraftigt över året till följd av exempelvis turism.
• länet är tätt- eller glesbefolkat,
• samhällsviktiga transport- och infrastrukturnoder i länet, exempelvis större flygplatser, internet- och kommunikationsinfrastruktur, datacenter och hamnar,
• särskilda naturresurser som det finns mycket av i länet, exempelvis järnmalm, trä eller jordbruksmark,
• särskild industri i länet, exempelvis kärnkraftverk, dammar och vattenverk, stålverk, kvarnar,
• omständigheter i länet som innebär risker för olyckor och händelser som involverar farliga ämnen/CBRNE, som t ex industrier och transporter,
• särskilda kultur- eller naturvärden i länet sett till exempelvis utrotningshotade arter och biologisk mångfald,
• större områden som präglas av social utsatthet och kriminalitet,
• om länets geografiska placering är särskilt viktig ur ett totalförsvarsperspektiv.

Beskrivningen av den samhällsviktiga verksamhet som bedrivs av myndigheten, utifrån regleringsbrev, instruktioner eller annat utpekande, bör vara kortfattad, sammanhängande och främst fokuserat på vad som är utmärkande för verksamheten. Redogör för grunderna till att verksamheten bedöms som samhällsviktig och hur den prioriteras i förhållande till myndighetens andra uppgifter.

Redogör i sammanfattande ordalag för ett urval av de viktiga samhällsfunktioner eller typer av samhällsviktig verksamhet som bedrivs i länet. Redovisningen ska fokusera på funktioner och typer av verksamheter som är särskilt påverkade av regionala förhållanden (se exempel på regionala förhållanden i svar på fråga gällande 6 §). Redovisningen ska inte innehålla beskrivning av enskilda verksamheter, om så inte anses nödvändigt för sammanhanget.

Av beskrivningen bör framgå vad som utmärker dessa funktioner eller typer av verksamheter och vilka geografiska förhållanden som påverkar eller påverkas av dem. Beskrivningen bör omfatta omständigheter kring den samhällsviktig verksamhet eller viktiga samhällsfunktioner som kan vara relevant utifrån geografisk placering och tvärt om.

Länsstyrelsen ska utifrån sin kännedom om nationella och regionala förhållanden göra en bedömning om det inom deras ansvars- eller geografiska område finns viktiga funktioner och samhällsviktig verksamhet som är relevanta ur ett nationellt perspektiv.

Förenklat exempel 1

De regionala förhållandena i län A gör att den viktiga transportnoden A1 påverkas av skredrisken i ett område i länet. Centralorten är tätbefolkad och majoriteten av länets arbetsplatser är placerade där. Genom tätorten går en av landets främsta huvudleder för transporter (människor, varor och farligt gods). Leden underdimensionerad för den höga belastning som främst blir vid rusningstider vardagar. Ökad skaderisk.

Förenklat exempel 2

Län B utgörs av en stor glesbefolkad yta. Man har identifierat flera kritiska beroenden utifrån dessa regionala förutsättningar. Länet har generellt låg befolkningstäthet och långa avstånd mellan mindre ortet och byar. Under vintersäsongen flerdubblas invånarna pga. skidturism. Flera små strategiska energistationer är kritiska för försörjning av drivmedel till räddningstjänst och ambulans kopplat till utryckningsverksamheten. Säsongsvariationer påverkar även förmågan då resurssättningen är beräknad på antal året runt-boende i kommunerna.

Vägnätet är dåligt utbyggt i stora arealer av skogsmarker med hög brandrisk. Vilket gör framkomligheten vid skogsbrandsbekämpning svår.

Begreppen ”hot” samt ”risk” finns båda beskrivna i 2 § i föreskriften.
Ett hot är i grunden ett grovt beskrivet generellt riskscenario som utgår från en typhändelse eller en företeelse som kan vara skadlig.

Sammanställning av hot kallas även för ”riskidentifiering”. En risk ett analyserat hot där man har bedömt hur pass allvarligt det är, genom att konkretisera händelsen och göra en bedömning avseende sannolikhet och konsekvens. Detta moment kallas ofta ”riskanalys”. En förutsättning för att kunna identifiera och analysera risker, det vill säga bedöma sannolikhet och konsekvens, är att vidareutveckla identifierade hot till mer specifika scenarion. Till exempel skulle hotet ”översvämning” kunna vidareutvecklas till ett scenario som gör mer specifika antaganden kring översvämningens omfattning, var den inträffar och vid vilken tidpunkt. Därefter kan man analysera sannolikhet och konsekvens utifrån det specifika scenariot.

Beskrivningen av hoten är alltså ett slags bruttoinventering av det som kan störa och skada det som ska skyddas. Beskrivningen av risker analyserar hoten och bedömer hur sannolikt det är att scenariot inträffar, samt vilka konsekvenserna blir om hoten realiseras.

Av praktiska skäl kommer en riskanalys endast kunna göras för ett urval av hoten. Myndigheten behöver därför göra en bedömning av vilka hot som ska analyseras närmre.

MSB förespråkar att myndigheten väljer att analysera sådana risker där myndigheten besitter tillräcklig kunskap för att analysera sannolikhet och konsekvens. Detta sammanfaller med sådana typer av hot som hör myndighetens ansvarsområde, eller sådana hot som särskilt påverkar ansvarsområdet. Sådana analyser kan bidra med bakgrundsinformation och dimensionerande utgångspunkter som andra aktörer kan utgå från i sitt RSA-arbete samt i övrig beredskapsplanering.

Länsstyrelserna bör redovisa risker som är utmärkande för det geografiska området (se svar på frågan om ”regionala förhållanden” gällande 6 §). Det kan exempelvis handla om att det finns ett kärnkraftverk i länet, infrastrukturella noder i länet av stor betydelse (till exempel större hamnar eller flygplatser) eller förhållanden som gör länet extra sårbart för olika typer av naturhändelser. Det skulle kunna handla om demografiska faktorer, exempelvis att länet har mycket turism.

Med fredstida krissituationer avses, enligt 6 § förordning (2022:524) om statliga myndigheters beredskap, situationer som

• avviker från det normala,
• drabbar många människor, stora delar av samhället eller hotar grundläggande värden,
• innebär en allvarlig störning eller en överhängande risk för en allvarlig störning av viktiga samhällsfunktioner, och
• kräver samordnade och skyndsamma åtgärder från flera aktörer.

Naturligtvis kan situationer som uppfyller kriterierna för en ”fredstida kris” även inträffa under höjd beredskap och krig, antingen till följd av krigshandlingar eller av andra skäl. Myndigheterna bör därför beakta om höjd beredskap och krig påverkar hanteringen av de kriser som identifieras.

Begreppet ”grundläggande värden” återfinns i 6 § förordning (2022:524) om statliga myndigheters beredskap.

Det finns ingen enhetlig förteckning över vilka dessa värden är men de återfinns i diverse underlag såsom Gemensamma grunder-ramverk för samverkan och ledning. Grundläggande värden kopplar till mål formulerade av riksdag och regering. MSB är av uppfattningen att företeckningen i Gemensamma grunder bör användas som utgångspunkt.

De grundläggande värdena, utan rangordning, är:

• Människors liv och hälsa
• Samhällets funktionalitet
• Demokrati, rättssäkerhet och mänskliga fri- och rättigheter
• Miljö och ekonomiska värden
• Nationell suveränitet.

Redovisning av hur regionala förhållanden påverkar hot, sårbarheter och risker är hänger ihop med samhällsviktig verksamhet som påverkas av regionala förhållanden i 6 §. Lika väl som regionala förhållanden kan påverka risker och sårbarhet för samhällsviktig verksamhet så finns det regionala förhållanden som påverkar vilka konsekvenserna blir av inträffade händelser.

Förenklat exempel

Klimatförändringar gör stora delar av län G ännu mer sårbart för översvämningar och torka på grund av stora öppna jordbruksarealer utan naturliga vattendrag. I dessa områden finns flera viktiga noder för samhällsviktig infrastruktur som påverkas negativt av översvämning och höga temperaturer.

Länsstyrelsen ska beakta kommuner och regioners RSA-redovisningar som underlag och identifiera vad som kan vara användbart i deras analyser för att ta fram en regional riskbild. Länsstyrelsen behöver inte uttömmande återge vad kommuner och region redovisat. Den regionala RSA:n ska inte vara en aggregering av kommuner och regioners rapporter.

Relevanta saker att ta upp skulle kunna vara:

• Sårbarheter som redovisats av flera kommuner
  
  Exempel:
  Kommunerna A, D och G har redovisat att de bedömer att risken för sabotage vid vattenreservoarer/vattentäkter har ökat.
• Sårbarheter som redovisats av en kommun och som andra kommuner behöver känna till, då de kommer påverkas av den.
  
  Exempel:
  Sårbarheter/risker i en damm som kommuner längre ner längs vattendraget bör känna till.
• Brister i förmåga eller ökade behov av stöd som kommuner/regioner rapporterat om och som faller inom länsstyrelsen samordningsansvar.

Myndigheten ska redogöra för vad som förändrats gällande hot, risker, sårbarhet och förmåga samt vad som ligger bakom förändringen. Med utgångspunkt i nuläget, som redogörs enligt 8 §, ska myndigheten beskriva vilka förutsättningar som ändrats från föregående redovisningstillfälle och hur de påverkar risk hot, risker, sårbarheter och förmåga.

Förenklat exempel

Myndigheten A är utsatt för risken att deras informationssystem för lagring av känsliga personuppgifter hackas. Myndigheten blir regelbundet utsatt för intrång av olika antagonistiska aktörer. Under föregående år har myndigheten utökat sina resurser för IT-säkerhet. Detta har tydligt visat att antalet intrångsförsök som påverkat myndigheten negativt har minskat. Myndigheten bedömer att risken för intrång kvarstår men sårbarheten har minskat.

Empirisk erfarenhet är av särskilt intresse vid analys och bedömning på nationell nivå, och det är därför viktigt att denna inkluderas. I redovisning ska det därför tydligt framgå vilka erfarenheter eller slutsatser av inträffade händelser eller genomförda övningar myndigheten dragit kopplat till bedömningen av hot, risker, sårbarheter och förmåga.

Förenklat exempel

Myndighet X har under föregående år genomfört en övning kriskommunikation i samarbete med myndighet Y samt aktör Z och W. Under övningen framkom det tydligt att kommunikation mellan myndighet Y och näringslivsaktörer försvåras kraftigt vid störningar hos nätoperatör 1. Detta med anledning av myndighetens avtal med nätleverantören inte omfattar backup eller UPS vid elavbrott eller störningar i energiförsörjningen. Denna sårbarhet var tidigare okänd men har efter övningen utretts och avtal omförhandlas under Q2 år XXXX.

Avsikten med denna bestämmelse är att myndigheterna redovisar de åtgärder de redan har kännedom om med en hänvisning till vilken aktör som utför eller ansvarar för åtgärden. Kunskap om dessa åtgärder kan myndigheten ha fått genom exempelvis samverkansmöten, avtal eller annat. Det finns inget krav på att myndigheterna ska samla in information om åtgärder från aktörerna inom sina ansvarsområden.

Bestämmelsen innebär att åtgärderna ska vara sådana som syftar till att hantera de risker och sårbarheter som tidigare redovisats. Åtgärder bör ha en tydlig koppling till identifierade problem, och inte vara frikopplade från identifierade risker och sårbarheter. En beskrivning av utvecklingsarbeten, arbetsformer och samverkansgrupper är i sig inte åtgärder.

Att en åtgärd är planerad betyder exempelvis att den finns med i organisationens verksamhetsplan, att den är budgeterad och att den är resurssatt. En planerad åtgärd har också ett fastställt tidsspann för genomförande.

Att det inte finns förutsättningar att genomföra en åtgärd kan exempelvis vara tidsbrist, för höga kostnader, avsaknad av kompetenser, att åtgärden nedprioriterats mm. Det kan också röra sig om att man inte har mandat eller i övrigt författningsstöd för att genomföra en åtgärd, men att den ändå anses vara av betydelse för myndighetens eller sektorns förmågeutveckling.

Tid och resurs ska redovisas övergripande, till exempel genom att ange tidsspann då åtgärden ska genomföras i form av vilka år eller vilka månader. Resurssättning kan anges i form av årsarbetskraft eller kronor. Om fastslagen, dokumenterad eller beslutad tids-och resurssättning saknas är en grov uppskattning tillräcklig för redovisningen.

Syftet med att efterfråga information om tids- och resurssättning är att MSB vill kunna få en bild av vilka åtgärder som faktiskt är planerade. Som MSB ser det är risken annars att det åtgärder som redovisas i en RSB blir mer av allmänna konstateranden av att något behöver göras, snarare än konkreta åtgärder som faktiskt kommer genomföras och leda till stärkt förmåga.

Avsikten med denna bestämmelse är att myndigheterna redovisar de åtgärder de redan har kännedom om med en hänvisning till vilken aktör som utför eller ansvarar för åtgärden. Kunskap om dessa åtgärder kan myndigheten ha fått genom exempelvis samverkansmöten, avtal eller annat. Det finns inget krav på att myndigheterna ska samla in information om åtgärder från aktörerna inom sina ansvarsområden.

Myndigheten ska redogöra för åtgärder de planerar, påbörjat eller genomfört som förväntas förbättra myndighetens förmåga att till kontinuitet i verksamheten. Behovet av åtgärder bör grundas på analyser under arbetet med kontinuitetshantering. Av redogörelsen ska framgå åtgärdens omfattning och det förväntade effekten av åtgärden, dvs. på vilket sätt den förväntar öka förmågan till kontinuitet eller bidra till att stärka myndighetens arbete med kontinuitetshantering.

Förenklat exempel

Myndigheten har under arbetet med kontinuitetshantering identifierat kritiska beroenden för en av sina samhällsviktig verksamhet. Man har utifrån det tagit fram en åtgärdsplan för att minska beroendet och på så vis förbättrat sin förmåga att upprätthålla verksamheten (kontinuitet). Åtgärden beskrivs översiktligt med förväntad effekt samt när den förväntas vara genomförd.

Samhällsviktig verksamhet: Nationellt register som används av flera myndigheter och är kritiskt i deras myndighetsutövning.

Kritiskt beroende: En inloggningsplattform för hantering av data. Endast avtal med en leverantör för drift och support.

Åtgärd: Se över befintligt avtal, omförhandla tid för support/felavhjälpning.

Köpa in ett backupsystem med tillhörande support för sömlös övergång vid eventuella avbrott.

Förväntad effekt: Systemen ska samverka för att minska risk för avbrott. Användarna ska inte märka om ett av systemen går ner.

Genomförande: Myndigheten ska genomföra åtgärden under innevarande år i samverkan och samfinansiering med myndighet X och Y.

Myndigheten ska redogöra för de åtgärder de planerar, påbörjat eller genomfört som förväntas bidra till att andra aktörer inom ansvarsområdet också bedriver ett systematiskt arbete för att kunna upprätthålla den egna samhällsviktiga verksamheten (kontinuitet).

Förenklat exempel

Myndighet A har upprättat ett forum för privat-offentlig samverkan inom ansvarsområdet med fokus på utveckling av arbete med kontinuitetshantering med erfarenhetsutbyte. Det genomför samverkansmöten med teoretiska övningar tre gånger per år. Varje möte har ett utsett tema där övningen har syfte att utbyta erfarenhet och information om varandras verksamheter och roller inför och under fredstida kriser och höjd beredskap. Forumet upprättades förra året och har hitintills haft fyra möten. Bland annat har frågor om lokal samverkan och avtal i samband med störningar av bränsledistribution.

Inför redovisningen 2024 kommer inga ytterligare underlag att skickas ut.