0H5B336201736sousouStatens offentliga utredningar 2017:36Statens offentliga utredningarStatens offentliga utredningar3602017-05-02 00:00:002017-05-09 12:40:312017-05-02 00:00:00Informationssäkerhet för samhällsviktiga och digitala tjänsterhtml-echttps://data.riksdagen.se/dokument/H5B336/texthttps://data.riksdagen.se/dokument/H5B336https://data.riksdagen.se/dokumentstatus/H5B336
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01//EN" "http://www.w3.org/TR/html4/strict.dtd">
<HTML>
<HEAD>
<META http-equiv="Content-Type" content="text/html; charset=UTF-8">
<META http-equiv="X-UA-Compatible" content="IE=8">
<TITLE>sou 2017 36 </TITLE>
<META name="generator" content="BCL easyConverter SDK 3.0.60">
<STYLE type="text/css">
body {margin-top: 0px;margin-left: 0px;}
#page_1 {position:relative; overflow: hidden;margin: 0px 0px 0px 0px;padding: 0px;border: none;width: 680px;height: 971px;}
#page_1 #id_1 {border:none;margin: 192px 0px 0px 104px;padding: 0px;border:none;width: 576px;overflow: hidden;}
#page_1 #id_2 {border:none;margin: 76px 0px 0px 482px;padding: 0px;border:none;width: 198px;overflow: hidden;}
#page_1 #dimg1 {position:absolute;top:0px;left:0px;z-index:-1;width:680px;height:971px;}
#page_1 #dimg1 #img1 {width:680px;height:971px;}
#page_2 {position:relative; overflow: hidden;margin: 558px 0px 134px 160px;padding: 0px;border: none;width: 520px;}
#page_3 {position:relative; overflow: hidden;margin: 75px 0px 174px 76px;padding: 0px;border: none;width: 548px;}
#page_4 {position:relative; overflow: hidden;margin: 92px 0px 228px 132px;padding: 0px;border: none;width: 417px;}
#page_5 {position:relative; overflow: hidden;margin: 92px 0px 644px 76px;padding: 0px;border: none;width: 548px;}
#page_6 {position:relative; overflow: hidden;margin: 915px 0px 0px 0px;padding: 0px;border: none;width: 0px;height: 0px;}
#page_7 {position:relative; overflow: hidden;margin: 75px 0px 66px 0px;padding: 0px;border: none;width: 624px;}
#page_8 {position:relative; overflow: hidden;margin: 46px 0px 0px 66px;padding: 0px;border: none;width: 994px;}
#page_8 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 482px;overflow: hidden;}
#page_8 #id_2 {border:none;margin: 32px 0px 0px 66px;padding: 0px;border:none;width: 928px;overflow: hidden;}
#page_8 #id_3 {border:none;margin: 0px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_9 {position:relative; overflow: hidden;margin: 46px 0px 0px 75px;padding: 0px;border: none;width: 856px;}
#page_9 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 856px;overflow: hidden;}
#page_9 #id_2 {border:none;margin: 0px 0px 0px 410px;padding: 0px;border:none;width: 139px;overflow: hidden;}
#page_10 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_10 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 482px;overflow: hidden;}
#page_10 #id_2 {border:none;margin: 32px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_10 #id_3 {border:none;margin: 37px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_11 {position:relative; overflow: hidden;margin: 46px 0px 0px 75px;padding: 0px;border: none;width: 856px;}
#page_11 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 856px;overflow: hidden;}
#page_11 #id_2 {border:none;margin: 0px 0px 0px 404px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_12 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_12 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 482px;overflow: hidden;}
#page_12 #id_2 {border:none;margin: 29px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_12 #id_3 {border:none;margin: 63px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_13 {position:relative; overflow: hidden;margin: 46px 0px 66px 75px;padding: 0px;border: none;width: 549px;}
#page_13 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 549px;overflow: hidden;}
#page_13 #id_2 {border:none;margin: 277px 0px 0px 404px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_14 {position:relative; overflow: hidden;margin: 915px 0px 0px 0px;padding: 0px;border: none;width: 0px;height: 0px;}
#page_15 {position:relative; overflow: hidden;margin: 75px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_15 #dimg1 {position:absolute;top:683px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_15 #dimg1 #img1 {width:415px;height:1px;}
#page_16 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_16 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_16 #id_2 {border:none;margin: 47px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_17 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_17 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_17 #id_2 {border:none;margin: 143px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_18 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_18 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_18 #id_2 {border:none;margin: 83px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_19 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_19 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_19 #id_2 {border:none;margin: 212px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_20 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_20 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_20 #id_2 {border:none;margin: 35px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_21 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_21 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_21 #id_2 {border:none;margin: 39px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_22 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_22 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_22 #id_2 {border:none;margin: 78px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_23 {position:relative; overflow: hidden;margin: 75px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_23 #dimg1 {position:absolute;top:671px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_23 #dimg1 #img1 {width:415px;height:1px;}
#page_24 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_24 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_24 #id_2 {border:none;margin: 73px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_25 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_25 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_25 #id_2 {border:none;margin: 37px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_26 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_26 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 482px;overflow: hidden;}
#page_26 #id_2 {border:none;margin: 40px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_27 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_27 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_27 #id_2 {border:none;margin: 50px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_28 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_28 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_28 #id_2 {border:none;margin: 47px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_29 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_29 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_29 #id_2 {border:none;margin: 122px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_30 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_30 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_30 #id_2 {border:none;margin: 82px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_31 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_31 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_31 #id_2 {border:none;margin: 40px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_32 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_32 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_32 #id_2 {border:none;margin: 40px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_33 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_33 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_33 #id_2 {border:none;margin: 55px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_34 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_34 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 483px;overflow: hidden;}
#page_34 #id_2 {border:none;margin: 114px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_35 {position:relative; overflow: hidden;margin: 46px 0px 66px 75px;padding: 0px;border: none;width: 549px;}
#page_35 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 549px;overflow: hidden;}
#page_35 #id_2 {border:none;margin: 63px 0px 0px 404px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_36 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_36 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 482px;overflow: hidden;}
#page_36 #id_2 {border:none;margin: 32px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_36 #id_3 {border:none;margin: 234px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_36 #dimg1 {position:absolute;top:531px;left:66px;z-index:-1;width:70px;height:1px;font-size: 1px;line-height:nHeight;}
#page_36 #dimg1 #img1 {width:70px;height:1px;}
#page_37 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_37 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_37 #id_2 {border:none;margin: 128px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_38 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_38 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_38 #id_2 {border:none;margin: 50px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_39 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_39 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_39 #id_2 {border:none;margin: 58px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_40 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_40 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_40 #id_2 {border:none;margin: 59px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_41 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_41 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_41 #id_2 {border:none;margin: 416px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_41 #dimg1 {position:absolute;top:348px;left:0px;z-index:-1;width:53px;height:1px;font-size: 1px;line-height:nHeight;}
#page_41 #dimg1 #img1 {width:53px;height:1px;}
#page_42 {position:relative; overflow: hidden;margin: 46px 0px 66px 0px;padding: 0px;border: none;width: 624px;}
#page_42 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 624px;overflow: hidden;}
#page_42 #id_2 {border:none;margin: 49px 0px 0px 132px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_42 #dimg1 {position:absolute;top:168px;left:125px;z-index:-1;width:430px;height:556px;}
#page_42 #dimg1 #img1 {width:430px;height:556px;}
#page_43 {position:relative; overflow: hidden;margin: 75px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_44 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_44 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_44 #id_2 {border:none;margin: 47px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_45 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_45 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_45 #id_2 {border:none;margin: 48px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_46 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_46 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 483px;overflow: hidden;}
#page_46 #id_2 {border:none;margin: 601px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_47 {position:relative; overflow: hidden;margin: 75px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_48 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_48 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 483px;overflow: hidden;}
#page_48 #id_2 {border:none;margin: 42px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_49 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_49 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_49 #id_2 {border:none;margin: 94px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_50 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_50 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_50 #id_2 {border:none;margin: 52px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_51 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_51 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_51 #id_2 {border:none;margin: 39px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_52 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_52 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_52 #id_2 {border:none;margin: 95px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_53 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_53 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_53 #id_2 {border:none;margin: 95px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_54 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_54 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_54 #id_2 {border:none;margin: 36px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_55 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_55 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_55 #id_2 {border:none;margin: 113px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_56 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_56 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_56 #id_2 {border:none;margin: 147px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_57 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_57 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_57 #id_2 {border:none;margin: 113px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_58 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_58 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 483px;overflow: hidden;}
#page_58 #id_2 {border:none;margin: 70px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_59 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_59 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_59 #id_2 {border:none;margin: 45px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_59 #dimg1 {position:absolute;top:700px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_59 #dimg1 #img1 {width:415px;height:1px;}
#page_60 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_60 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_60 #id_2 {border:none;margin: 48px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_61 {position:relative; overflow: hidden;margin: 46px 0px 66px 75px;padding: 0px;border: none;width: 549px;}
#page_61 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 549px;overflow: hidden;}
#page_61 #id_2 {border:none;margin: 49px 0px 0px 404px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_62 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_62 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_62 #id_2 {border:none;margin: 48px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_63 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_63 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_63 #id_2 {border:none;margin: 49px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_63 #dimg1 {position:absolute;top:724px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_63 #dimg1 #img1 {width:415px;height:1px;}
#page_64 {position:relative; overflow: hidden;margin: 915px 0px 0px 0px;padding: 0px;border: none;width: 0px;height: 0px;}
#page_65 {position:relative; overflow: hidden;margin: 75px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_66 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_66 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_66 #id_2 {border:none;margin: 72px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_67 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_67 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_67 #id_2 {border:none;margin: 94px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_68 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_68 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_68 #id_2 {border:none;margin: 96px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_69 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_69 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_69 #id_2 {border:none;margin: 49px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_69 #dimg1 {position:absolute;top:724px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_69 #dimg1 #img1 {width:415px;height:1px;}
#page_70 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_70 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_70 #id_2 {border:none;margin: 36px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_71 {position:relative; overflow: hidden;margin: 46px 0px 66px 75px;padding: 0px;border: none;width: 549px;}
#page_71 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 549px;overflow: hidden;}
#page_71 #id_2 {border:none;margin: 50px 0px 0px 404px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_72 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_72 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_72 #id_2 {border:none;margin: 87px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_73 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_73 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_73 #id_2 {border:none;margin: 86px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_74 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_74 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_74 #id_2 {border:none;margin: 53px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_75 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_75 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_75 #id_2 {border:none;margin: 60px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_76 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_76 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_76 #id_2 {border:none;margin: 167px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_77 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_77 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_77 #id_2 {border:none;margin: 208px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_78 {position:relative; overflow: hidden;margin: 915px 0px 0px 0px;padding: 0px;border: none;width: 0px;height: 0px;}
#page_79 {position:relative; overflow: hidden;margin: 75px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_80 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_80 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_80 #id_2 {border:none;margin: 36px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_81 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_81 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_81 #id_2 {border:none;margin: 58px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_82 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_82 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_82 #id_2 {border:none;margin: 35px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_83 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_83 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_83 #id_2 {border:none;margin: 113px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_84 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_84 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_84 #id_2 {border:none;margin: 49px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_85 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_85 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_85 #id_2 {border:none;margin: 49px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_85 #dimg1 {position:absolute;top:688px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_85 #dimg1 #img1 {width:415px;height:1px;}
#page_86 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_86 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 482px;overflow: hidden;}
#page_86 #id_2 {border:none;margin: 126px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_87 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_87 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_87 #id_2 {border:none;margin: 85px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_88 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_88 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_88 #id_2 {border:none;margin: 103px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_89 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_89 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_89 #id_2 {border:none;margin: 49px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_89 #dimg1 {position:absolute;top:322px;left:0px;z-index:-1;width:415px;height:402px;}
#page_89 #dimg1 #img1 {width:415px;height:402px;}
#page_90 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_90 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 482px;overflow: hidden;}
#page_90 #id_2 {border:none;margin: 96px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_91 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_91 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_91 #id_2 {border:none;margin: 49px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_91 #dimg1 {position:absolute;top:724px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_91 #dimg1 #img1 {width:415px;height:1px;}
#page_92 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_92 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_92 #id_2 {border:none;margin: 51px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_92 #dimg1 {position:absolute;top:564px;left:68px;z-index:-1;width:413px;height:177px;}
#page_92 #dimg1 #img1 {width:413px;height:177px;}
#page_93 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_93 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_93 #id_2 {border:none;margin: 32px 0px 0px 9px;padding: 0px;border:none;width: 539px;overflow: hidden;}
#page_93 #id_3 {border:none;margin: 111px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_93 #dimg1 {position:absolute;top:46px;left:1px;z-index:-1;width:413px;height:641px;}
#page_93 #dimg1 #img1 {width:413px;height:641px;}
#page_94 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_94 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 483px;overflow: hidden;}
#page_94 #id_2 {border:none;margin: 104px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_95 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_95 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_95 #id_2 {border:none;margin: 36px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_96 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_96 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 482px;overflow: hidden;}
#page_96 #id_2 {border:none;margin: 96px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_97 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_97 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_97 #id_2 {border:none;margin: 41px 0px 0px 403px;padding: 0px;border:none;width: 145px;overflow: hidden;}
#page_98 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_98 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_98 #id_2 {border:none;margin: 318px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_99 {position:relative; overflow: hidden;margin: 75px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_100 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_100 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_100 #id_2 {border:none;margin: 56px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_100 #dimg1 {position:absolute;top:146px;left:68px;z-index:-1;width:413px;height:156px;}
#page_100 #dimg1 #img1 {width:413px;height:156px;}
#page_101 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_101 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_101 #id_2 {border:none;margin: 45px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_101 #dimg1 {position:absolute;top:700px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_101 #dimg1 #img1 {width:415px;height:1px;}
#page_102 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_102 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_102 #id_2 {border:none;margin: 49px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_102 #dimg1 {position:absolute;top:724px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_102 #dimg1 #img1 {width:416px;height:1px;}
#page_103 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_103 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_103 #id_2 {border:none;margin: 31px 0px 0px 18px;padding: 0px;border:none;width: 530px;overflow: hidden;}
#page_103 #id_3 {border:none;margin: 67px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_104 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_104 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_104 #id_2 {border:none;margin: 47px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_104 #dimg1 {position:absolute;top:712px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_104 #dimg1 #img1 {width:416px;height:1px;}
#page_105 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_105 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_105 #id_2 {border:none;margin: 47px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_105 #dimg1 {position:absolute;top:712px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_105 #dimg1 #img1 {width:415px;height:1px;}
#page_106 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_106 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_106 #id_2 {border:none;margin: 37px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_107 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_107 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_107 #id_2 {border:none;margin: 151px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_108 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_108 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_108 #id_2 {border:none;margin: 101px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_109 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_109 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_109 #id_2 {border:none;margin: 51px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_109 #dimg1 {position:absolute;top:92px;left:1px;z-index:-1;width:413px;height:654px;}
#page_109 #dimg1 #img1 {width:413px;height:654px;}
#page_110 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_110 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 483px;overflow: hidden;}
#page_110 #id_2 {border:none;margin: 47px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_110 #dimg1 {position:absolute;top:712px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_110 #dimg1 #img1 {width:416px;height:1px;}
#page_111 {position:relative; overflow: hidden;margin: 46px 0px 66px 75px;padding: 0px;border: none;width: 549px;}
#page_111 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 549px;overflow: hidden;}
#page_111 #id_2 {border:none;margin: 49px 0px 0px 398px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_111 #dimg1 {position:absolute;top:724px;left:1px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_111 #dimg1 #img1 {width:415px;height:1px;}
#page_112 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_112 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_112 #id_2 {border:none;margin: 93px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_113 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_113 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_113 #id_2 {border:none;margin: 47px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_113 #dimg1 {position:absolute;top:712px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_113 #dimg1 #img1 {width:415px;height:1px;}
#page_114 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_114 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_114 #id_2 {border:none;margin: 122px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_115 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_115 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_115 #id_2 {border:none;margin: 46px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_116 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_116 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_116 #id_2 {border:none;margin: 38px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_116 #dimg1 {position:absolute;top:218px;left:68px;z-index:-1;width:413px;height:211px;}
#page_116 #dimg1 #img1 {width:413px;height:211px;}
#page_117 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_117 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_117 #id_2 {border:none;margin: 565px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_118 {position:relative; overflow: hidden;margin: 915px 0px 0px 0px;padding: 0px;border: none;width: 0px;height: 0px;}
#page_119 {position:relative; overflow: hidden;margin: 75px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_120 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_120 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_120 #id_2 {border:none;margin: 37px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_121 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_121 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_121 #id_2 {border:none;margin: 49px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_121 #dimg1 {position:absolute;top:712px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_121 #dimg1 #img1 {width:415px;height:1px;}
#page_122 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_122 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_122 #id_2 {border:none;margin: 58px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_123 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_123 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_123 #id_2 {border:none;margin: 49px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_123 #dimg1 {position:absolute;top:724px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_123 #dimg1 #img1 {width:415px;height:1px;}
#page_124 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_124 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 483px;overflow: hidden;}
#page_124 #id_2 {border:none;margin: 33px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_125 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_125 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_125 #id_2 {border:none;margin: 49px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_125 #dimg1 {position:absolute;top:724px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_125 #dimg1 #img1 {width:415px;height:1px;}
#page_126 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_126 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 483px;overflow: hidden;}
#page_126 #id_2 {border:none;margin: 51px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_127 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_127 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_127 #id_2 {border:none;margin: 43px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_128 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_128 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 482px;overflow: hidden;}
#page_128 #id_2 {border:none;margin: 32px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_128 #id_3 {border:none;margin: 48px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_128 #dimg1 {position:absolute;top:286px;left:68px;z-index:-1;width:413px;height:463px;}
#page_128 #dimg1 #img1 {width:413px;height:463px;}
#page_129 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_129 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_129 #id_2 {border:none;margin: 68px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_130 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_130 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_130 #id_2 {border:none;margin: 40px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_131 {position:relative; overflow: hidden;margin: 46px 0px 66px 75px;padding: 0px;border: none;width: 549px;}
#page_131 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 549px;overflow: hidden;}
#page_131 #id_2 {border:none;margin: 49px 0px 0px 398px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_131 #dimg1 {position:absolute;top:724px;left:1px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_131 #dimg1 #img1 {width:415px;height:1px;}
#page_132 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_132 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 482px;overflow: hidden;}
#page_132 #id_2 {border:none;margin: 42px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_133 {position:relative; overflow: hidden;margin: 46px 0px 66px 75px;padding: 0px;border: none;width: 549px;}
#page_133 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_133 #id_2 {border:none;margin: 42px 0px 0px 398px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_134 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_134 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_134 #id_2 {border:none;margin: 40px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_134 #dimg1 {position:absolute;top:146px;left:68px;z-index:-1;width:413px;height:606px;}
#page_134 #dimg1 #img1 {width:413px;height:606px;}
#page_135 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_135 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_135 #id_2 {border:none;margin: 34px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_135 #dimg1 {position:absolute;top:46px;left:1px;z-index:-1;width:413px;height:132px;}
#page_135 #dimg1 #img1 {width:413px;height:132px;}
#page_136 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_136 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 483px;overflow: hidden;}
#page_136 #id_2 {border:none;margin: 60px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_137 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_137 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_137 #id_2 {border:none;margin: 32px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_137 #id_3 {border:none;margin: 44px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_138 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_138 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 482px;overflow: hidden;}
#page_138 #id_2 {border:none;margin: 42px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_139 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_139 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_139 #id_2 {border:none;margin: 51px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_140 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_140 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_140 #id_2 {border:none;margin: 50px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_141 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_141 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_141 #id_2 {border:none;margin: 106px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_141 #dimg1 {position:absolute;top:553px;left:1px;z-index:-1;width:413px;height:138px;}
#page_141 #dimg1 #img1 {width:413px;height:138px;}
#page_142 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_142 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_142 #id_2 {border:none;margin: 51px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_142 #dimg1 {position:absolute;top:676px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_142 #dimg1 #img1 {width:416px;height:1px;}
#page_143 {position:relative; overflow: hidden;margin: 46px 0px 66px 75px;padding: 0px;border: none;width: 549px;}
#page_143 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_143 #id_2 {border:none;margin: 47px 0px 0px 398px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_143 #dimg1 {position:absolute;top:712px;left:1px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_143 #dimg1 #img1 {width:415px;height:1px;}
#page_144 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_144 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_144 #id_2 {border:none;margin: 105px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_145 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_145 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_145 #id_2 {border:none;margin: 655px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_146 {position:relative; overflow: hidden;margin: 915px 0px 0px 0px;padding: 0px;border: none;width: 0px;height: 0px;}
#page_147 {position:relative; overflow: hidden;margin: 75px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_148 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_148 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_148 #id_2 {border:none;margin: 49px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_148 #dimg1 {position:absolute;top:724px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_148 #dimg1 #img1 {width:416px;height:1px;}
#page_149 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_149 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_149 #id_2 {border:none;margin: 42px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_150 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_150 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_150 #id_2 {border:none;margin: 42px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_151 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_151 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_151 #id_2 {border:none;margin: 37px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_152 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_152 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_152 #id_2 {border:none;margin: 203px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_153 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_153 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_153 #id_2 {border:none;margin: 49px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_153 #dimg1 {position:absolute;top:724px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_153 #dimg1 #img1 {width:415px;height:1px;}
#page_154 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_154 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 483px;overflow: hidden;}
#page_154 #id_2 {border:none;margin: 42px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_155 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_155 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_155 #id_2 {border:none;margin: 42px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_156 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_156 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 482px;overflow: hidden;}
#page_156 #id_2 {border:none;margin: 42px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_157 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_157 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_157 #id_2 {border:none;margin: 69px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_158 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_158 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_158 #id_2 {border:none;margin: 49px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_158 #dimg1 {position:absolute;top:724px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_158 #dimg1 #img1 {width:416px;height:1px;}
#page_159 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_159 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_159 #id_2 {border:none;margin: 104px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_160 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_160 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_160 #id_2 {border:none;margin: 49px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_160 #dimg1 {position:absolute;top:724px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_160 #dimg1 #img1 {width:416px;height:1px;}
#page_161 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_161 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_161 #id_2 {border:none;margin: 49px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_161 #dimg1 {position:absolute;top:724px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_161 #dimg1 #img1 {width:415px;height:1px;}
#page_162 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_162 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_162 #id_2 {border:none;margin: 157px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_163 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_163 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_163 #id_2 {border:none;margin: 49px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_163 #dimg1 {position:absolute;top:207px;left:1px;z-index:-1;width:413px;height:175px;}
#page_163 #dimg1 #img1 {width:413px;height:175px;}
#page_164 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_164 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 483px;overflow: hidden;}
#page_164 #id_2 {border:none;margin: 42px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_165 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_165 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_165 #id_2 {border:none;margin: 78px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_166 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_166 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_166 #id_2 {border:none;margin: 48px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_166 #dimg1 {position:absolute;top:700px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_166 #dimg1 #img1 {width:416px;height:1px;}
#page_167 {position:relative; overflow: hidden;margin: 46px 0px 66px 75px;padding: 0px;border: none;width: 549px;}
#page_167 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 549px;overflow: hidden;}
#page_167 #id_2 {border:none;margin: 38px 0px 0px 398px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_167 #dimg1 {position:absolute;top:417px;left:2px;z-index:-1;width:413px;height:174px;}
#page_167 #dimg1 #img1 {width:413px;height:174px;}
#page_168 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_168 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_168 #id_2 {border:none;margin: 49px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_168 #dimg1 {position:absolute;top:724px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_168 #dimg1 #img1 {width:416px;height:1px;}
#page_169 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_169 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_169 #id_2 {border:none;margin: 35px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_170 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_170 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 483px;overflow: hidden;}
#page_170 #id_2 {border:none;margin: 42px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_171 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_171 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_171 #id_2 {border:none;margin: 66px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_171 #dimg1 {position:absolute;top:399px;left:1px;z-index:-1;width:413px;height:345px;}
#page_171 #dimg1 #img1 {width:413px;height:345px;}
#page_172 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_172 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 482px;overflow: hidden;}
#page_172 #id_2 {border:none;margin: 36px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_172 #dimg1 {position:absolute;top:46px;left:68px;z-index:-1;width:413px;height:511px;}
#page_172 #dimg1 #img1 {width:413px;height:511px;}
#page_173 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_173 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_173 #id_2 {border:none;margin: 40px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_174 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_174 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_174 #id_2 {border:none;margin: 50px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_175 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_175 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_175 #id_2 {border:none;margin: 41px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_175 #dimg1 {position:absolute;top:435px;left:1px;z-index:-1;width:413px;height:226px;}
#page_175 #dimg1 #img1 {width:413px;height:226px;}
#page_176 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_176 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_176 #id_2 {border:none;margin: 68px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_177 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_177 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_177 #id_2 {border:none;margin: 50px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_178 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_178 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_178 #id_2 {border:none;margin: 47px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_178 #dimg1 {position:absolute;top:543px;left:66px;z-index:-1;width:416px;height:169px;}
#page_178 #dimg1 #img1 {width:416px;height:169px;}
#page_179 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_179 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_179 #id_2 {border:none;margin: 49px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_179 #dimg1 {position:absolute;top:724px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_179 #dimg1 #img1 {width:415px;height:1px;}
#page_180 {position:relative; overflow: hidden;margin: 915px 0px 0px 0px;padding: 0px;border: none;width: 0px;height: 0px;}
#page_181 {position:relative; overflow: hidden;margin: 75px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_182 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_182 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 482px;overflow: hidden;}
#page_182 #id_2 {border:none;margin: 204px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_183 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_183 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_183 #id_2 {border:none;margin: 49px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_183 #dimg1 {position:absolute;top:98px;left:0px;z-index:-1;width:415px;height:614px;}
#page_183 #dimg1 #img1 {width:415px;height:614px;}
#page_184 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_184 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_184 #id_2 {border:none;margin: 49px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_184 #dimg1 {position:absolute;top:724px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_184 #dimg1 #img1 {width:416px;height:1px;}
#page_185 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_185 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_185 #id_2 {border:none;margin: 39px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_185 #dimg1 {position:absolute;top:469px;left:1px;z-index:-1;width:413px;height:157px;}
#page_185 #dimg1 #img1 {width:413px;height:157px;}
#page_186 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_186 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 483px;overflow: hidden;}
#page_186 #id_2 {border:none;margin: 150px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_187 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_187 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_187 #id_2 {border:none;margin: 49px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_187 #dimg1 {position:absolute;top:124px;left:0px;z-index:-1;width:415px;height:588px;}
#page_187 #dimg1 #img1 {width:415px;height:588px;}
#page_188 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_188 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_188 #id_2 {border:none;margin: 49px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_188 #dimg1 {position:absolute;top:712px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_188 #dimg1 #img1 {width:416px;height:1px;}
#page_189 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_189 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_189 #id_2 {border:none;margin: 48px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_189 #dimg1 {position:absolute;top:254px;left:0px;z-index:-1;width:415px;height:434px;}
#page_189 #dimg1 #img1 {width:415px;height:434px;}
#page_190 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_190 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_190 #id_2 {border:none;margin: 49px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_190 #dimg1 {position:absolute;top:75px;left:66px;z-index:-1;width:416px;height:649px;}
#page_190 #dimg1 #img1 {width:416px;height:649px;}
#page_191 {position:relative; overflow: hidden;margin: 46px 0px 66px 75px;padding: 0px;border: none;width: 549px;}
#page_191 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 549px;overflow: hidden;}
#page_191 #id_2 {border:none;margin: 49px 0px 0px 398px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_191 #dimg1 {position:absolute;top:724px;left:1px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_191 #dimg1 #img1 {width:415px;height:1px;}
#page_192 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_192 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_192 #id_2 {border:none;margin: 49px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_192 #dimg1 {position:absolute;top:724px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_192 #dimg1 #img1 {width:416px;height:1px;}
#page_193 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_193 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_193 #id_2 {border:none;margin: 49px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_193 #dimg1 {position:absolute;top:417px;left:0px;z-index:-1;width:415px;height:307px;}
#page_193 #dimg1 #img1 {width:415px;height:307px;}
#page_194 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_194 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_194 #id_2 {border:none;margin: 47px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_194 #dimg1 {position:absolute;top:700px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_194 #dimg1 #img1 {width:416px;height:1px;}
#page_195 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_195 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_195 #id_2 {border:none;margin: 48px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_195 #dimg1 {position:absolute;top:75px;left:0px;z-index:-1;width:415px;height:625px;}
#page_195 #dimg1 #img1 {width:415px;height:625px;}
#page_196 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_196 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_196 #id_2 {border:none;margin: 48px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_196 #dimg1 {position:absolute;top:326px;left:66px;z-index:-1;width:416px;height:374px;}
#page_196 #dimg1 #img1 {width:416px;height:374px;}
#page_197 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_197 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_197 #id_2 {border:none;margin: 49px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_197 #dimg1 {position:absolute;top:182px;left:0px;z-index:-1;width:415px;height:542px;}
#page_197 #dimg1 #img1 {width:415px;height:542px;}
#page_198 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_198 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_198 #id_2 {border:none;margin: 35px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_198 #dimg1 {position:absolute;top:149px;left:68px;z-index:-1;width:413px;height:192px;}
#page_198 #dimg1 #img1 {width:413px;height:192px;}
#page_199 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_199 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_199 #id_2 {border:none;margin: 49px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_199 #dimg1 {position:absolute;top:421px;left:0px;z-index:-1;width:415px;height:303px;}
#page_199 #dimg1 #img1 {width:415px;height:303px;}
#page_200 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_200 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_200 #id_2 {border:none;margin: 49px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_200 #dimg1 {position:absolute;top:311px;left:66px;z-index:-1;width:416px;height:413px;}
#page_200 #dimg1 #img1 {width:416px;height:413px;}
#page_201 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_201 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_201 #id_2 {border:none;margin: 379px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_201 #dimg1 {position:absolute;top:149px;left:1px;z-index:-1;width:413px;height:120px;}
#page_201 #dimg1 #img1 {width:413px;height:120px;}
#page_202 {position:relative; overflow: hidden;margin: 915px 0px 0px 0px;padding: 0px;border: none;width: 0px;height: 0px;}
#page_203 {position:relative; overflow: hidden;margin: 75px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_204 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_204 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 483px;overflow: hidden;}
#page_204 #id_2 {border:none;margin: 52px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_205 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_205 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_205 #id_2 {border:none;margin: 128px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_206 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_206 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_206 #id_2 {border:none;margin: 101px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_207 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_207 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_207 #id_2 {border:none;margin: 32px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_207 #id_3 {border:none;margin: 92px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_208 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_208 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_208 #id_2 {border:none;margin: 49px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_208 #dimg1 {position:absolute;top:724px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_208 #dimg1 #img1 {width:416px;height:1px;}
#page_209 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_209 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_209 #id_2 {border:none;margin: 46px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_209 #dimg1 {position:absolute;top:92px;left:1px;z-index:-1;width:413px;height:229px;}
#page_209 #dimg1 #img1 {width:413px;height:229px;}
#page_210 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_210 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_210 #id_2 {border:none;margin: 50px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_211 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_211 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_211 #id_2 {border:none;margin: 33px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_212 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_212 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_212 #id_2 {border:none;margin: 56px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_212 #dimg1 {position:absolute;top:437px;left:68px;z-index:-1;width:413px;height:299px;}
#page_212 #dimg1 #img1 {width:413px;height:299px;}
#page_213 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_213 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_213 #id_2 {border:none;margin: 32px 0px 0px 9px;padding: 0px;border:none;width: 539px;overflow: hidden;}
#page_213 #id_3 {border:none;margin: 76px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_213 #dimg1 {position:absolute;top:45px;left:1px;z-index:-1;width:413px;height:677px;}
#page_213 #dimg1 #img1 {width:413px;height:677px;}
#page_214 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_214 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_214 #id_2 {border:none;margin: 45px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_215 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_215 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_215 #id_2 {border:none;margin: 50px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_216 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_216 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 482px;overflow: hidden;}
#page_216 #id_2 {border:none;margin: 61px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_217 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_217 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_217 #id_2 {border:none;margin: 36px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_217 #dimg1 {position:absolute;top:311px;left:1px;z-index:-1;width:413px;height:138px;}
#page_217 #dimg1 #img1 {width:413px;height:138px;}
#page_218 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_218 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_218 #id_2 {border:none;margin: 177px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_219 {position:relative; overflow: hidden;margin: 75px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_219 #dimg1 {position:absolute;top:460px;left:1px;z-index:-1;width:413px;height:48px;}
#page_219 #dimg1 #img1 {width:413px;height:48px;}
#page_220 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_220 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_220 #id_2 {border:none;margin: 125px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_220 #dimg1 {position:absolute;top:75px;left:68px;z-index:-1;width:413px;height:66px;}
#page_220 #dimg1 #img1 {width:413px;height:66px;}
#page_221 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_221 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_221 #id_2 {border:none;margin: 63px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_221 #dimg1 {position:absolute;top:75px;left:1px;z-index:-1;width:413px;height:102px;}
#page_221 #dimg1 #img1 {width:413px;height:102px;}
#page_222 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_222 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_222 #id_2 {border:none;margin: 107px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_223 {position:relative; overflow: hidden;margin: 46px 0px 66px 75px;padding: 0px;border: none;width: 549px;}
#page_223 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_223 #id_2 {border:none;margin: 41px 0px 0px 398px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_224 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_224 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 482px;overflow: hidden;}
#page_224 #id_2 {border:none;margin: 59px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_225 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_225 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_225 #id_2 {border:none;margin: 42px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_226 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_226 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_226 #id_2 {border:none;margin: 40px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_227 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_227 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_227 #id_2 {border:none;margin: 44px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_228 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_228 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_228 #id_2 {border:none;margin: 49px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_228 #dimg1 {position:absolute;top:724px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_228 #dimg1 #img1 {width:416px;height:1px;}
#page_229 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_229 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_229 #id_2 {border:none;margin: 49px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_229 #dimg1 {position:absolute;top:146px;left:0px;z-index:-1;width:415px;height:578px;}
#page_229 #dimg1 #img1 {width:415px;height:578px;}
#page_230 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_230 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_230 #id_2 {border:none;margin: 98px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_230 #dimg1 {position:absolute;top:182px;left:68px;z-index:-1;width:413px;height:517px;}
#page_230 #dimg1 #img1 {width:413px;height:517px;}
#page_231 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_231 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_231 #id_2 {border:none;margin: 86px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_232 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_232 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_232 #id_2 {border:none;margin: 37px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_233 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_233 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_233 #id_2 {border:none;margin: 66px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_234 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_234 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_234 #id_2 {border:none;margin: 38px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_234 #dimg1 {position:absolute;top:218px;left:68px;z-index:-1;width:413px;height:66px;}
#page_234 #dimg1 #img1 {width:413px;height:66px;}
#page_235 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_235 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_235 #id_2 {border:none;margin: 44px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_236 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_236 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_236 #id_2 {border:none;margin: 66px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_236 #dimg1 {position:absolute;top:371px;left:68px;z-index:-1;width:413px;height:66px;}
#page_236 #dimg1 #img1 {width:413px;height:66px;}
#page_237 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_237 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_237 #id_2 {border:none;margin: 96px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_238 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_238 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_238 #id_2 {border:none;margin: 49px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_238 #dimg1 {position:absolute;top:75px;left:68px;z-index:-1;width:413px;height:66px;}
#page_238 #dimg1 #img1 {width:413px;height:66px;}
#page_239 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_239 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_239 #id_2 {border:none;margin: 33px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_239 #dimg1 {position:absolute;top:75px;left:1px;z-index:-1;width:413px;height:269px;}
#page_239 #dimg1 #img1 {width:413px;height:269px;}
#page_240 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_240 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 483px;overflow: hidden;}
#page_240 #id_2 {border:none;margin: 45px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_240 #dimg1 {position:absolute;top:700px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_240 #dimg1 #img1 {width:416px;height:1px;}
#page_241 {position:relative; overflow: hidden;margin: 46px 0px 66px 75px;padding: 0px;border: none;width: 549px;}
#page_241 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_241 #id_2 {border:none;margin: 168px 0px 0px 398px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_242 {position:relative; overflow: hidden;margin: 915px 0px 0px 0px;padding: 0px;border: none;width: 0px;height: 0px;}
#page_243 {position:relative; overflow: hidden;margin: 75px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_244 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_244 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_244 #id_2 {border:none;margin: 68px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_245 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_245 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_245 #id_2 {border:none;margin: 51px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_246 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_246 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_246 #id_2 {border:none;margin: 34px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_247 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_247 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_247 #id_2 {border:none;margin: 68px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_247 #dimg1 {position:absolute;top:315px;left:1px;z-index:-1;width:413px;height:283px;}
#page_247 #dimg1 #img1 {width:413px;height:283px;}
#page_248 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_248 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_248 #id_2 {border:none;margin: 49px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_248 #dimg1 {position:absolute;top:724px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_248 #dimg1 #img1 {width:416px;height:1px;}
#page_249 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_249 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_249 #id_2 {border:none;margin: 78px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_250 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_250 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_250 #id_2 {border:none;margin: 49px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_250 #dimg1 {position:absolute;top:712px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_250 #dimg1 #img1 {width:416px;height:1px;}
#page_251 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_251 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_251 #id_2 {border:none;margin: 49px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_251 #dimg1 {position:absolute;top:712px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_251 #dimg1 #img1 {width:415px;height:1px;}
#page_252 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_252 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_252 #id_2 {border:none;margin: 49px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_252 #dimg1 {position:absolute;top:724px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_252 #dimg1 #img1 {width:416px;height:1px;}
#page_253 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_253 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_253 #id_2 {border:none;margin: 49px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_253 #dimg1 {position:absolute;top:712px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_253 #dimg1 #img1 {width:415px;height:1px;}
#page_254 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_254 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_254 #id_2 {border:none;margin: 49px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_254 #dimg1 {position:absolute;top:712px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_254 #dimg1 #img1 {width:416px;height:1px;}
#page_255 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_255 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_255 #id_2 {border:none;margin: 60px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_256 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_256 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_256 #id_2 {border:none;margin: 66px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_257 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_257 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_257 #id_2 {border:none;margin: 42px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_257 #dimg1 {position:absolute;top:295px;left:1px;z-index:-1;width:413px;height:102px;}
#page_257 #dimg1 #img1 {width:413px;height:102px;}
#page_258 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_258 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_258 #id_2 {border:none;margin: 40px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_259 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_259 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_259 #id_2 {border:none;margin: 68px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_260 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_260 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_260 #id_2 {border:none;margin: 140px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_261 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_261 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_261 #id_2 {border:none;margin: 147px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_261 #dimg1 {position:absolute;top:380px;left:1px;z-index:-1;width:413px;height:66px;}
#page_261 #dimg1 #img1 {width:413px;height:66px;}
#page_262 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_262 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_262 #id_2 {border:none;margin: 58px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_262 #dimg1 {position:absolute;top:469px;left:68px;z-index:-1;width:413px;height:102px;}
#page_262 #dimg1 #img1 {width:413px;height:102px;}
#page_263 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_263 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_263 #id_2 {border:none;margin: 49px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_263 #dimg1 {position:absolute;top:724px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_263 #dimg1 #img1 {width:415px;height:1px;}
#page_264 {position:relative; overflow: hidden;margin: 915px 0px 0px 0px;padding: 0px;border: none;width: 0px;height: 0px;}
#page_265 {position:relative; overflow: hidden;margin: 75px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_266 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_266 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_266 #id_2 {border:none;margin: 50px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_267 {position:relative; overflow: hidden;margin: 46px 0px 66px 75px;padding: 0px;border: none;width: 549px;}
#page_267 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 549px;overflow: hidden;}
#page_267 #id_2 {border:none;margin: 58px 0px 0px 398px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_268 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_268 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_268 #id_2 {border:none;margin: 44px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_269 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_269 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_269 #id_2 {border:none;margin: 49px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_269 #dimg1 {position:absolute;top:676px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_269 #dimg1 #img1 {width:415px;height:1px;}
#page_270 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_270 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 482px;overflow: hidden;}
#page_270 #id_2 {border:none;margin: 42px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_271 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_271 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_271 #id_2 {border:none;margin: 68px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_272 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_272 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 483px;overflow: hidden;}
#page_272 #id_2 {border:none;margin: 60px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_273 {position:relative; overflow: hidden;margin: 46px 0px 66px 75px;padding: 0px;border: none;width: 549px;}
#page_273 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 549px;overflow: hidden;}
#page_273 #id_2 {border:none;margin: 49px 0px 0px 398px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_273 #dimg1 {position:absolute;top:724px;left:1px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_273 #dimg1 #img1 {width:415px;height:1px;}
#page_274 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_274 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 483px;overflow: hidden;}
#page_274 #id_2 {border:none;margin: 42px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_275 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_275 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_275 #id_2 {border:none;margin: 48px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_276 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_276 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 483px;overflow: hidden;}
#page_276 #id_2 {border:none;margin: 60px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_277 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_277 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_277 #id_2 {border:none;margin: 40px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_278 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_278 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_278 #id_2 {border:none;margin: 41px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_279 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_279 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_279 #id_2 {border:none;margin: 47px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_279 #dimg1 {position:absolute;top:712px;left:0px;z-index:-1;width:415px;height:1px;font-size: 1px;line-height:nHeight;}
#page_279 #dimg1 #img1 {width:415px;height:1px;}
#page_280 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_280 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 482px;overflow: hidden;}
#page_280 #id_2 {border:none;margin: 32px 0px 0px 66px;padding: 0px;border:none;width: 416px;overflow: hidden;}
#page_280 #id_3 {border:none;margin: 583px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_281 {position:relative; overflow: hidden;margin: 75px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_281 #dimg1 {position:absolute;top:251px;left:1px;z-index:-1;width:413px;height:66px;}
#page_281 #dimg1 #img1 {width:413px;height:66px;}
#page_282 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_282 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 482px;overflow: hidden;}
#page_282 #id_2 {border:none;margin: 529px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_283 {position:relative; overflow: hidden;margin: 75px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_284 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_284 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_284 #id_2 {border:none;margin: 63px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_285 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_285 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_285 #id_2 {border:none;margin: 112px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_286 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_286 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_286 #id_2 {border:none;margin: 34px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_287 {position:relative; overflow: hidden;margin: 46px 0px 66px 75px;padding: 0px;border: none;width: 549px;}
#page_287 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_287 #id_2 {border:none;margin: 60px 0px 0px 398px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_288 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_288 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_288 #id_2 {border:none;margin: 52px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_289 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_289 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_289 #id_2 {border:none;margin: 60px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_290 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_290 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_290 #id_2 {border:none;margin: 94px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_291 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_291 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_291 #id_2 {border:none;margin: 71px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_292 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_292 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_292 #id_2 {border:none;margin: 49px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_292 #dimg1 {position:absolute;top:724px;left:66px;z-index:-1;width:416px;height:1px;font-size: 1px;line-height:nHeight;}
#page_292 #dimg1 #img1 {width:416px;height:1px;}
#page_293 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_293 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_293 #id_2 {border:none;margin: 36px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_294 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_294 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_294 #id_2 {border:none;margin: 45px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_295 {position:relative; overflow: hidden;margin: 46px 0px 66px 75px;padding: 0px;border: none;width: 549px;}
#page_295 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 549px;overflow: hidden;}
#page_295 #id_2 {border:none;margin: 105px 0px 0px 398px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_296 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_296 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_296 #id_2 {border:none;margin: 137px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_297 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_297 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_297 #id_2 {border:none;margin: 118px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_298 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_298 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_298 #id_2 {border:none;margin: 36px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_299 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_299 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_299 #id_2 {border:none;margin: 97px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_300 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_300 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_300 #id_2 {border:none;margin: 33px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_301 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_301 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_301 #id_2 {border:none;margin: 33px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_302 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_302 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_302 #id_2 {border:none;margin: 119px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_303 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_303 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_303 #id_2 {border:none;margin: 51px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_304 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_304 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_304 #id_2 {border:none;margin: 39px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_305 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_305 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_305 #id_2 {border:none;margin: 33px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_306 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_306 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 482px;overflow: hidden;}
#page_306 #id_2 {border:none;margin: 32px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_306 #id_3 {border:none;margin: 425px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_307 {position:relative; overflow: hidden;margin: 46px 0px 66px 0px;padding: 0px;border: none;width: 624px;}
#page_307 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 624px;overflow: hidden;}
#page_307 #id_2 {border:none;margin: 37px 0px 0px 473px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_308 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_308 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_308 #id_2 {border:none;margin: 49px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_309 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_309 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_309 #id_2 {border:none;margin: 68px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_310 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_310 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_310 #id_2 {border:none;margin: 49px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_311 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_311 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 487px;overflow: hidden;}
#page_311 #id_2 {border:none;margin: 60px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_312 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_312 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_312 #id_2 {border:none;margin: 33px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_313 {position:relative; overflow: hidden;margin: 46px 0px 66px 75px;padding: 0px;border: none;width: 549px;}
#page_313 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 488px;overflow: hidden;}
#page_313 #id_2 {border:none;margin: 42px 0px 0px 398px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_314 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_314 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 482px;overflow: hidden;}
#page_314 #id_2 {border:none;margin: 34px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_315 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_315 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_315 #id_2 {border:none;margin: 50px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_316 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_316 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 483px;overflow: hidden;}
#page_316 #id_2 {border:none;margin: 60px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_317 {position:relative; overflow: hidden;margin: 46px 0px 66px 76px;padding: 0px;border: none;width: 548px;}
#page_317 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 548px;overflow: hidden;}
#page_317 #id_2 {border:none;margin: 106px 0px 0px 397px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_318 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_318 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_318 #id_2 {border:none;margin: 410px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_319 {position:relative; overflow: hidden;margin: 64px 0px 60px 55px;padding: 0px;border: none;width: 739px;}
#page_319 #dimg1 {position:absolute;top:955px;left:35px;z-index:-1;width:68px;height:1px;font-size: 1px;line-height:nHeight;}
#page_319 #dimg1 #img1 {width:68px;height:1px;}
#page_320 {position:relative; overflow: hidden;margin: 64px 0px 58px 55px;padding: 0px;border: none;width: 739px;}
#page_320 #dimg1 {position:absolute;top:918px;left:35px;z-index:-1;width:68px;height:1px;font-size: 1px;line-height:nHeight;}
#page_320 #dimg1 #img1 {width:68px;height:1px;}
#page_321 {position:relative; overflow: hidden;margin: 64px 0px 62px 55px;padding: 0px;border: none;width: 739px;}
#page_321 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 739px;overflow: hidden;}
#page_321 #id_2 {border:none;margin: 15px 0px 0px 35px;padding: 0px;border:none;width: 704px;overflow: hidden;}
#page_321 #dimg1 {position:absolute;top:979px;left:35px;z-index:-1;width:68px;height:1px;font-size: 1px;line-height:nHeight;}
#page_321 #dimg1 #img1 {width:68px;height:1px;}
#page_322 {position:relative; overflow: hidden;margin: 64px 0px 66px 55px;padding: 0px;border: none;width: 683px;}
#page_323 {position:relative; overflow: hidden;margin: 64px 0px 66px 55px;padding: 0px;border: none;width: 683px;}
#page_324 {position:relative; overflow: hidden;margin: 64px 0px 60px 55px;padding: 0px;border: none;width: 683px;}
#page_324 #dimg1 {position:absolute;top:967px;left:35px;z-index:-1;width:68px;height:1px;font-size: 1px;line-height:nHeight;}
#page_324 #dimg1 #img1 {width:68px;height:1px;}
#page_325 {position:relative; overflow: hidden;margin: 64px 0px 57px 55px;padding: 0px;border: none;width: 683px;}
#page_326 {position:relative; overflow: hidden;margin: 64px 0px 59px 55px;padding: 0px;border: none;width: 683px;}
#page_327 {position:relative; overflow: hidden;margin: 64px 0px 63px 55px;padding: 0px;border: none;width: 683px;}
#page_328 {position:relative; overflow: hidden;margin: 64px 0px 62px 55px;padding: 0px;border: none;width: 683px;}
#page_328 #dimg1 {position:absolute;top:917px;left:35px;z-index:-1;width:68px;height:1px;font-size: 1px;line-height:nHeight;}
#page_328 #dimg1 #img1 {width:68px;height:1px;}
#page_329 {position:relative; overflow: hidden;margin: 64px 0px 60px 55px;padding: 0px;border: none;width: 739px;}
#page_329 #dimg1 {position:absolute;top:907px;left:35px;z-index:-1;width:68px;height:1px;font-size: 1px;line-height:nHeight;}
#page_329 #dimg1 #img1 {width:68px;height:1px;}
#page_330 {position:relative; overflow: hidden;margin: 64px 0px 58px 55px;padding: 0px;border: none;width: 739px;}
#page_330 #dimg1 {position:absolute;top:918px;left:35px;z-index:-1;width:68px;height:1px;font-size: 1px;line-height:nHeight;}
#page_330 #dimg1 #img1 {width:68px;height:1px;}
#page_331 {position:relative; overflow: hidden;margin: 64px 0px 60px 55px;padding: 0px;border: none;width: 739px;}
#page_331 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 739px;overflow: hidden;}
#page_331 #id_2 {border:none;margin: 14px 0px 0px 36px;padding: 0px;border:none;width: 613px;overflow: hidden;}
#page_331 #dimg1 {position:absolute;top:967px;left:35px;z-index:-1;width:68px;height:1px;font-size: 1px;line-height:nHeight;}
#page_331 #dimg1 #img1 {width:68px;height:1px;}
#page_332 {position:relative; overflow: hidden;margin: 64px 0px 62px 55px;padding: 0px;border: none;width: 739px;}
#page_332 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 739px;overflow: hidden;}
#page_332 #id_2 {border:none;margin: 16px 0px 0px 36px;padding: 0px;border:none;width: 618px;overflow: hidden;}
#page_332 #dimg1 {position:absolute;top:967px;left:35px;z-index:-1;width:68px;height:1px;font-size: 1px;line-height:nHeight;}
#page_332 #dimg1 #img1 {width:68px;height:1px;}
#page_333 {position:relative; overflow: hidden;margin: 64px 0px 61px 55px;padding: 0px;border: none;width: 739px;}
#page_333 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 739px;overflow: hidden;}
#page_333 #id_2 {border:none;margin: 19px 0px 0px 35px;padding: 0px;border:none;width: 704px;overflow: hidden;}
#page_334 {position:relative; overflow: hidden;margin: 64px 0px 60px 55px;padding: 0px;border: none;width: 739px;}
#page_335 {position:relative; overflow: hidden;margin: 64px 0px 57px 55px;padding: 0px;border: none;width: 739px;}
#page_336 {position:relative; overflow: hidden;margin: 64px 0px 61px 55px;padding: 0px;border: none;width: 739px;}
#page_337 {position:relative; overflow: hidden;margin: 64px 0px 61px 55px;padding: 0px;border: none;width: 739px;}
#page_338 {position:relative; overflow: hidden;margin: 64px 0px 57px 55px;padding: 0px;border: none;width: 739px;}
#page_339 {position:relative; overflow: hidden;margin: 64px 0px 61px 55px;padding: 0px;border: none;width: 739px;}
#page_340 {position:relative; overflow: hidden;margin: 64px 0px 60px 55px;padding: 0px;border: none;width: 739px;}
#page_340 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 739px;overflow: hidden;}
#page_340 #id_2 {border:none;margin: 14px 0px 0px 36px;padding: 0px;border:none;width: 613px;overflow: hidden;}
#page_340 #dimg1 {position:absolute;top:967px;left:35px;z-index:-1;width:68px;height:1px;font-size: 1px;line-height:nHeight;}
#page_340 #dimg1 #img1 {width:68px;height:1px;}
#page_341 {position:relative; overflow: hidden;margin: 64px 0px 57px 55px;padding: 0px;border: none;width: 739px;}
#page_342 {position:relative; overflow: hidden;margin: 64px 0px 57px 55px;padding: 0px;border: none;width: 739px;}
#page_342 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 739px;overflow: hidden;}
#page_342 #id_2 {border:none;margin: 0px 0px 0px 35px;padding: 0px;border:none;width: 614px;overflow: hidden;}
#page_343 {position:relative; overflow: hidden;margin: 64px 0px 121px 55px;padding: 0px;border: none;width: 739px;}
#page_343 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 739px;overflow: hidden;}
#page_343 #id_2 {border:none;margin: 1px 0px 0px 197px;padding: 0px;border:none;width: 290px;overflow: hidden;}
#page_344 {position:relative; overflow: hidden;margin: 64px 0px 232px 55px;padding: 0px;border: none;width: 739px;height: 827px;}
#page_344 #dimg1 {position:absolute;top:826px;left:325px;z-index:-1;width:34px;height:1px;font-size: 1px;line-height:nHeight;}
#page_344 #dimg1 #img1 {width:34px;height:1px;}
#page_345 {position:relative; overflow: hidden;margin: 64px 0px 64px 55px;padding: 0px;border: none;width: 683px;}
#page_346 {position:relative; overflow: hidden;margin: 64px 0px 64px 55px;padding: 0px;border: none;width: 683px;}
#page_347 {position:relative; overflow: hidden;margin: 64px 0px 391px 55px;padding: 0px;border: none;width: 683px;}
#page_348 {position:relative; overflow: hidden;margin: 64px 0px 821px 0px;padding: 0px;border: none;width: 794px;height: 238px;}
#page_348 #dimg1 {position:absolute;top:237px;left:295px;z-index:-1;width:204px;height:1px;font-size: 1px;line-height:nHeight;}
#page_348 #dimg1 #img1 {width:204px;height:1px;}
#page_349 {position:relative; overflow: hidden;margin: 46px 0px 66px 0px;padding: 0px;border: none;width: 624px;}
#page_349 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 624px;overflow: hidden;}
#page_349 #id_2 {border:none;margin: 35px 0px 0px 473px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_350 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_350 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_350 #id_2 {border:none;margin: 59px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_351 {position:relative; overflow: hidden;margin: 46px 0px 66px 68px;padding: 0px;border: none;width: 556px;}
#page_351 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 495px;overflow: hidden;}
#page_351 #id_2 {border:none;margin: 44px 0px 0px 405px;padding: 0px;border:none;width: 151px;overflow: hidden;}
#page_352 {position:relative; overflow: hidden;margin: 46px 0px 66px 66px;padding: 0px;border: none;width: 558px;}
#page_352 #id_1 {border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 558px;overflow: hidden;}
#page_352 #id_2 {border:none;margin: 660px 0px 0px 66px;padding: 0px;border:none;width: 492px;overflow: hidden;}
#page_353 {position:relative; overflow: hidden;margin: 0px 0px 0px 0px;padding: 0px;border: none;width: 680px;height: 971px;}
#page_353 #id_1 {border:none;margin: 116px 0px 0px 104px;padding: 0px;border:none;width: 576px;overflow: hidden;}
#page_353 #id_2 {border:none;margin: 25px 0px 0px 109px;padding: 0px;border:none;width: 571px;overflow: hidden;}
#page_353 #id_2 #id_2_1 {float:left;border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 216px;overflow: hidden;}
#page_353 #id_2 #id_2_2 {float:left;border:none;margin: 1px 0px 0px 0px;padding: 0px;border:none;width: 355px;overflow: hidden;}
#page_353 #dimg1 {position:absolute;top:0px;left:0px;z-index:-1;width:680px;height:971px;}
#page_353 #dimg1 #img1 {width:680px;height:971px;}
#page_354 {position:relative; overflow: hidden;margin: 0px 0px 0px 0px;padding: 0px;border: none;width: 680px;height: 971px;}
#page_354 #id_1 {border:none;margin: 116px 0px 0px 160px;padding: 0px;border:none;width: 520px;overflow: hidden;}
#page_354 #id_2 {border:none;margin: 25px 0px 0px 160px;padding: 0px;border:none;width: 520px;overflow: hidden;}
#page_354 #id_2 #id_2_1 {float:left;border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 216px;overflow: hidden;}
#page_354 #id_2 #id_2_2 {float:left;border:none;margin: 0px 0px 0px 0px;padding: 0px;border:none;width: 304px;overflow: hidden;}
#page_354 #dimg1 {position:absolute;top:0px;left:0px;z-index:-1;width:680px;height:971px;}
#page_354 #dimg1 #img1 {width:680px;height:971px;}
#page_355 {position:relative; overflow: hidden;margin: 121px 0px 718px 104px;padding: 0px;border: none;width: 576px;}
.dclr {clear:both;float:none;height:1px;margin:0px;padding:0px;overflow:hidden;}
.ft0{font: 26px 'Arial';line-height: 32px;}
.ft1{font: italic 16px 'Times New Roman';line-height: 19px;}
.ft2{font: 12px 'Arial';line-height: 15px;}
.ft3{font: 11px 'Times New Roman';line-height: 16px;}
.ft4{font: 11px 'Times New Roman';line-height: 14px;}
.ft5{font: italic 11px 'Times New Roman';line-height: 13px;}
.ft6{font: 11px 'Times New Roman';line-height: 13px;}
.ft7{font: 25px 'Arial';line-height: 28px;}
.ft8{font: 15px 'Times New Roman';line-height: 18px;}
.ft9{font: italic 15px 'Times New Roman';line-height: 18px;}
.ft10{font: 15px 'Times New Roman';line-height: 17px;}
.ft11{font: bold 15px 'Arial';line-height: 18px;}
.ft12{font: 15px 'Times New Roman';margin-left: 19px;line-height: 18px;}
.ft13{font: 13px 'Times New Roman';line-height: 15px;}
.ft14{font: 15px 'Times New Roman';margin-left: 19px;line-height: 17px;}
.ft15{font: 1px 'Times New Roman';line-height: 1px;}
.ft16{font: bold 13px 'Arial';line-height: 16px;}
.ft17{font: 15px 'Times New Roman';margin-left: 27px;line-height: 18px;}
.ft18{font: bold 10px 'Arial';line-height: 12px;}
.ft19{font: bold 11px 'Arial';line-height: 14px;}
.ft20{font: 15px 'Times New Roman';margin-left: 27px;line-height: 17px;}
.ft21{font: 14px 'Times New Roman';line-height: 16px;}
.ft22{font: 1px 'Times New Roman';line-height: 3px;}
.ft23{font: 1px 'Times New Roman';line-height: 2px;}
.ft24{font: 15px 'Times New Roman';line-height: 0px;}
.ft25{font: 1px 'Times New Roman';line-height: 0px;}
.ft26{font: 1px 'Times New Roman';line-height: 0px;}
.ft27{font: bold 10px 'Arial';line-height: 5px;}
.ft28{font: bold 15px 'Arial';line-height: 0px;}
.ft29{font: bold 1px 'Arial';line-height: 0px;}
.ft30{font: 15px 'Times New Roman';margin-left: 170px;line-height: 0px;}
.ft31{font: 15px 'Times New Roman';margin-left: 20px;line-height: 18px;}
.ft32{font: 15px 'Times New Roman';margin-left: 20px;line-height: 17px;}
.ft33{font: bold 9px 'Arial';line-height: 11px;}
.ft34{font: 15px 'Times New Roman';margin-left: 12px;line-height: 18px;}
.ft35{font: bold 17px 'Arial';line-height: 19px;}
.ft36{font: 9px 'Times New Roman';line-height: 13px;position: relative; bottom: 6px;}
.ft37{font: 7px 'Times New Roman';line-height: 8px;position: relative; bottom: 4px;}
.ft38{font: 11px 'Times New Roman';line-height: 14px;}
.ft39{font: bold 15px 'Times New Roman';line-height: 17px;}
.ft40{font: bold 17px 'Arial';margin-left: 35px;line-height: 19px;}
.ft41{font: bold 15px 'Arial';line-height: 21px;}
.ft42{font: 9px 'Times New Roman';line-height: 12px;position: relative; bottom: 6px;}
.ft43{font: bold 15px 'Times New Roman';line-height: 18px;}
.ft44{font: 15px 'Times New Roman';margin-left: 4px;line-height: 18px;}
.ft45{font: italic 15px 'Times New Roman';line-height: 17px;}
.ft46{font: italic 15px 'Times New Roman';margin-left: 5px;line-height: 18px;}
.ft47{font: italic 15px 'Times New Roman';margin-left: 4px;line-height: 18px;}
.ft48{font: italic 15px 'Times New Roman';margin-left: 4px;line-height: 19px;}
.ft49{font: 15px 'Times New Roman';line-height: 19px;}
.ft50{font: italic 15px 'Times New Roman';margin-left: 3px;line-height: 18px;}
.ft51{font: italic 15px 'Times New Roman';margin-left: 3px;line-height: 19px;}
.ft52{font: italic 15px 'Times New Roman';line-height: 19px;}
.ft53{font: 15px 'Times New Roman';margin-left: 3px;line-height: 18px;}
.ft54{font: 15px 'Times New Roman';margin-left: 4px;line-height: 17px;}
.ft55{font: 15px 'Times New Roman';margin-left: 5px;line-height: 18px;}
.ft56{font: 15px 'Times New Roman';margin-left: 6px;line-height: 18px;}
.ft57{font: bold 16px 'Arial';line-height: 20px;}
.ft58{font: bold 15px 'Times New Roman';line-height: 19px;}
.ft59{font: italic 9px 'Times New Roman';line-height: 10px;position: relative; bottom: 6px;}
.ft60{font: 15px 'Times New Roman';margin-left: 3px;line-height: 17px;}
.ft61{font: italic 14px 'Times New Roman';line-height: 18px;}
.ft62{font: 25px 'Arial';margin-left: 46px;line-height: 30px;}
.ft63{font: 25px 'Arial';line-height: 30px;}
.ft64{font: 15px 'Arial';line-height: 17px;}
.ft65{font: 15px 'Times New Roman';margin-left: 12px;line-height: 19px;}
.ft66{font: 15px 'Times New Roman';margin-left: 12px;line-height: 17px;}
.ft67{font: 14px 'Times New Roman';line-height: 18px;}
.ft68{font: bold 15px 'Arial';margin-left: 25px;line-height: 18px;}
.ft69{font: bold 13px 'Arial';margin-left: 25px;line-height: 17px;}
.ft70{font: bold 13px 'Arial';line-height: 17px;}
.ft71{font: bold 15px 'Arial';margin-left: 35px;line-height: 21px;}
.ft72{font: 6px 'Times New Roman';line-height: 6px;}
.ft73{font: 11px 'Times New Roman';margin-left: 3px;line-height: 12px;}
.ft74{font: 11px 'Times New Roman';line-height: 12px;}
.ft75{font: 11px 'Times New Roman';margin-left: 3px;line-height: 14px;}
.ft76{font: 15px 'Times New Roman';margin-left: 8px;line-height: 18px;}
.ft77{font: 24px 'Arial';margin-left: 46px;line-height: 30px;}
.ft78{font: 24px 'Arial';line-height: 30px;}
.ft79{font: bold 15px 'Arial';margin-left: 35px;line-height: 20px;}
.ft80{font: bold 15px 'Arial';line-height: 20px;}
.ft81{font: 15px 'Times New Roman';margin-left: 8px;line-height: 19px;}
.ft82{font: 15px 'Times New Roman';margin-left: 11px;line-height: 17px;}
.ft83{font: 15px 'Times New Roman';margin-left: 11px;line-height: 18px;}
.ft84{font: 13px 'Times New Roman';line-height: 14px;}
.ft85{font: italic 13px 'Times New Roman';line-height: 14px;}
.ft86{font: italic 13px 'Times New Roman';line-height: 15px;}
.ft87{font: bold 13px 'Arial';margin-left: 25px;line-height: 16px;}
.ft88{font: 15px 'Times New Roman';margin-left: 8px;line-height: 17px;}
.ft89{font: italic 11px 'Times New Roman';line-height: 14px;}
.ft90{font: 24px 'Arial';margin-left: 46px;line-height: 29px;}
.ft91{font: 24px 'Arial';line-height: 29px;}
.ft92{font: 11px 'Times New Roman';margin-left: 3px;line-height: 13px;}
.ft93{font: 11px 'Times New Roman';line-height: 13px;}
.ft94{font: 15px 'Times New Roman';margin-left: 7px;line-height: 17px;}
.ft95{font: 15px 'Times New Roman';margin-left: 13px;line-height: 17px;}
.ft96{font: 15px 'Times New Roman';margin-left: 13px;line-height: 19px;}
.ft97{font: 15px 'Times New Roman';margin-left: 13px;line-height: 18px;}
.ft98{font: 15px 'Times New Roman';margin-left: 7px;line-height: 19px;}
.ft99{font: bold 15px 'Arial';margin-left: 30px;line-height: 18px;}
.ft100{font: 15px 'Times New Roman';margin-left: 7px;line-height: 18px;}
.ft101{font: 6px 'Times New Roman';line-height: 6px;position: relative; bottom: 4px;}
.ft102{font: 10px 'Times New Roman';line-height: 12px;}
.ft103{font: 7px 'Times New Roman';line-height: 8px;}
.ft104{font: 11px 'Times New Roman';margin-left: 2px;line-height: 13px;}
.ft105{font: 11px 'Times New Roman';margin-left: 2px;line-height: 14px;}
.ft106{font: italic 14px 'Times New Roman';line-height: 19px;}
.ft107{font: bold 17px 'Arial';margin-left: 35px;line-height: 21px;}
.ft108{font: bold 17px 'Arial';line-height: 21px;}
.ft109{font: 10px 'Times New Roman';margin-left: 3px;line-height: 13px;}
.ft110{font: 10px 'Times New Roman';line-height: 13px;}
.ft111{font: italic 11px 'Times New Roman';line-height: 13px;}
.ft112{font: 6px 'Times New Roman';line-height: 7px;position: relative; bottom: 4px;}
.ft113{font: bold 17px 'Arial';margin-left: 25px;line-height: 19px;}
.ft114{font: bold 15px 'Arial';margin-left: 25px;line-height: 20px;}
.ft115{font: bold 15px 'Arial';margin-left: 16px;line-height: 18px;}
.ft116{font: 13px 'Times New Roman';margin-left: 3px;line-height: 15px;}
.ft117{font: 24px 'Arial';margin-left: 32px;line-height: 30px;}
.ft118{font: bold 17px 'Arial';margin-left: 25px;line-height: 20px;}
.ft119{font: bold 17px 'Arial';line-height: 20px;}
.ft120{font: bold 8px 'Arial';line-height: 10px;}
.ft121{font: bold 14px 'Arial';line-height: 16px;}
.ft122{font: bold 13px 'Arial';margin-left: 16px;line-height: 17px;}
.ft123{font: bold 13px 'Arial';margin-left: 16px;line-height: 16px;}
.ft124{font: 11px 'Arial';line-height: 14px;}
.ft125{font: 13px 'Arial';line-height: 16px;}
.ft126{font: 1px 'Arial';line-height: 4px;}
.ft127{font: 17px 'Arial';line-height: 19px;}
.ft128{font: italic 13px 'Arial';line-height: 16px;}
.ft129{font: 23px 'Arial';line-height: 26px;}
.ft130{font: bold 13px 'Arial';line-height: 16px;}
.ft131{font: 7px 'Arial';line-height: 7px;position: relative; bottom: 4px;}
.ft132{font: 10px 'Arial';line-height: 13px;}
.ft133{font: 13px 'Arial';margin-left: 23px;line-height: 16px;}
.ft134{font: 13px 'Arial';margin-left: 23px;line-height: 15px;}
.ft135{font: 13px 'Arial';line-height: 15px;}
.ft136{font: 12px 'Arial';margin-left: 23px;line-height: 15px;}
.ft137{font: 11px 'Arial';margin-left: 23px;line-height: 14px;}
.ft138{font: 6px 'Arial';line-height: 6px;position: relative; bottom: 4px;}
.ft139{font: 4px 'Arial';line-height: 6px;position: relative; bottom: 4px;}
.ft140{font: 9px 'Arial';line-height: 13px;}
.ft141{font: 5px 'Arial';line-height: 6px;position: relative; bottom: 4px;}
.ft142{font: italic 11px 'Arial';line-height: 14px;}
.ft143{font: 11px 'Arial';margin-left: 16px;line-height: 14px;}
.ft144{font: 11px 'Arial';line-height: 13px;}
.ft145{font: 13px 'Arial';margin-left: 16px;line-height: 16px;}
.ft146{font: 11px 'Arial';margin-left: 16px;line-height: 15px;}
.ft147{font: 11px 'Arial';line-height: 15px;}
.ft148{font: italic 12px 'Arial';line-height: 14px;}
.ft149{font: 12px 'Arial';line-height: 14px;}
.ft150{font: italic 13px 'Arial';line-height: 15px;}
.ft151{font: 12px 'Arial';margin-left: 16px;line-height: 15px;}
.ft152{font: italic 12px 'Arial';line-height: 15px;}
.ft153{font: 12px 'Arial';margin-left: 16px;line-height: 14px;}
.ft154{font: 13px 'Arial';margin-left: 16px;line-height: 15px;}
.ft155{font: 11px 'Arial';margin-left: 6px;line-height: 14px;}
.ft156{font: 13px 'Arial';margin-left: 5px;line-height: 16px;}
.ft157{font: 13px 'Arial';margin-left: 16px;line-height: 14px;}
.ft158{font: 13px 'Arial';line-height: 14px;}
.ft159{font: 11px 'Arial';line-height: 12px;}
.ft160{font: bold 11px 'Arial';line-height: 14px;}
.ft161{font: 13px 'Arial';margin-left: 20px;line-height: 16px;}
.ft162{font: 13px 'Arial';margin-left: 7px;line-height: 16px;}
.ft163{font: 13px 'Arial';margin-left: 6px;line-height: 16px;}
.ft164{font: 13px 'Arial';margin-left: 8px;line-height: 16px;}
.ft165{font: 9px 'Arial';line-height: 12px;}
.ft166{font: 1px 'Arial';line-height: 1px;}
.ft167{font: 12px 'Arial';margin-left: 20px;line-height: 15px;}
.ft168{font: 13px 'Arial';margin-left: 20px;line-height: 15px;}
.ft169{font: italic 13px 'Arial';margin-left: 7px;line-height: 16px;}
.ft170{font: italic 13px 'Arial';margin-left: 7px;line-height: 15px;}
.ft171{font: italic 11px 'Arial';margin-left: 7px;line-height: 14px;}
.ft172{font: 13px 'Arial';margin-left: 9px;line-height: 16px;}
.ft173{font: 12px 'Arial';margin-left: 6px;line-height: 15px;}
.ft174{font: 11px 'Arial';margin-left: 20px;line-height: 14px;}
.ft175{font: 13px 'Arial';margin-left: 12px;line-height: 16px;}
.ft176{font: 12px 'Arial';margin-left: 11px;line-height: 15px;}
.ft177{font: 13px 'Arial';margin-left: 13px;line-height: 16px;}
.ft178{font: 13px 'Arial';margin-left: 11px;line-height: 16px;}
.ft179{font: 13px 'Arial';margin-left: 10px;line-height: 16px;}
.ft180{font: 13px 'Arial';margin-left: 14px;line-height: 16px;}
.ft181{font: 12px 'Arial';margin-left: 14px;line-height: 15px;}
.ft182{font: 11px 'Arial';margin-left: 20px;line-height: 15px;}
.ft183{font: 13px 'Arial';margin-left: 6px;line-height: 15px;}
.ft184{font: italic 9px 'Arial';line-height: 12px;}
.ft185{font: italic bold 11px 'Arial';line-height: 13px;}
.ft186{font: 13px 'Arial';margin-left: 7px;line-height: 15px;}
.ft187{font: italic 10px 'Arial';line-height: 13px;}
.ft188{font: 1px 'Arial';line-height: 7px;}
.ft189{font: 1px 'Arial';line-height: 6px;}
.ft190{font: 1px 'Arial';line-height: 14px;}
.ft191{font: 8px 'Arial';line-height: 10px;position: relative; bottom: 3px;}
.ft192{font: 1px 'Arial';line-height: 13px;}
.ft193{font: 1px 'Arial';line-height: 15px;}
.ft194{font: 1px 'Arial';line-height: 11px;}
.ft195{font: 1px 'Arial';line-height: 10px;}
.ft196{font: 7px 'Arial';line-height: 7px;position: relative; bottom: 3px;}
.ft197{font: 1px 'Arial';line-height: 5px;}
.ft198{font: 1px 'Arial';line-height: 8px;}
.ft199{font: 1px 'Arial';line-height: 12px;}
.ft200{font: 10px 'Arial';line-height: 12px;}
.ft201{font: 11px 'MS PGothic';line-height: 11px;}
.ft202{font: 1px 'Arial';line-height: 3px;}
.ft203{font: italic 15px 'Times New Roman';line-height: 17px;}
.ft204{font: 1px 'Times New Roman';line-height: 6px;}
.ft205{font: 15px 'Times New Roman';line-height: 17px;}
.ft206{font: 1px 'Times New Roman';line-height: 2px;}
.ft207{font: 1px 'Arial';line-height: 2px;}
.ft208{font: 25px 'Arial';line-height: 28px;}
.ft209{font: 10px 'Times New Roman';line-height: 12px;}
.ft210{font: 11px 'Times New Roman';margin-left: 2px;line-height: 13px;}
.ft211{font: 11px 'Times New Roman';margin-left: 6px;line-height: 14px;}
.ft212{font: 11px 'Times New Roman';margin-left: 2px;line-height: 14px;}
.ft213{font: 9px 'Times New Roman';line-height: 12px;}
.ft214{font: 10px 'Times New Roman';margin-left: 4px;line-height: 14px;}
.ft215{font: 10px 'Times New Roman';line-height: 14px;}
.ft216{font: 10px 'Times New Roman';line-height: 13px;}
.ft217{font: 11px 'Times New Roman';line-height: 15px;}
.p0{text-align: left;padding-right: 170px;margin-top: 0px;margin-bottom: 0px;}
.p1{text-align: left;margin-top: 459px;margin-bottom: 0px;}
.p2{text-align: left;margin-top: 1px;margin-bottom: 0px;}
.p3{text-align: left;margin-top: 34px;margin-bottom: 0px;}
.p4{text-align: left;margin-top: 0px;margin-bottom: 0px;}
.p5{text-align: left;padding-right: 204px;margin-top: 0px;margin-bottom: 0px;}
.p6{text-align: left;margin-top: 2px;margin-bottom: 0px;}
.p7{text-align: left;padding-right: 176px;margin-top: 15px;margin-bottom: 0px;}
.p8{text-align: left;margin-top: 14px;margin-bottom: 0px;}
.p9{text-align: left;margin-top: 15px;margin-bottom: 0px;}
.p10{text-align: justify;padding-right: 132px;margin-top: 151px;margin-bottom: 0px;}
.p11{text-align: justify;padding-right: 132px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p12{text-align: justify;padding-right: 133px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p13{text-align: justify;padding-right: 1px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p14{text-align: justify;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p15{text-align: justify;padding-right: 1px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p16{text-align: justify;padding-right: 133px;margin-top: 0px;margin-bottom: 0px;}
.p17{text-align: left;margin-top: 18px;margin-bottom: 0px;}
.p18{text-align: left;margin-top: 37px;margin-bottom: 0px;}
.p19{text-align: left;padding-left: 283px;margin-top: 1px;margin-bottom: 0px;}
.p20{text-align: left;padding-left: 292px;margin-top: 1px;margin-bottom: 0px;}
.p21{text-align: left;padding-left: 76px;margin-top: 0px;margin-bottom: 0px;}
.p22{text-align: left;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p23{text-align: right;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p24{text-align: left;padding-left: 14px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p25{text-align: justify;padding-left: 113px;padding-right: 171px;margin-top: 9px;margin-bottom: 0px;text-indent: -37px;}
.p26{text-align: left;padding-left: 113px;padding-right: 210px;margin-top: 10px;margin-bottom: 0px;text-indent: -37px;}
.p27{text-align: justify;padding-left: 76px;margin-top: 9px;margin-bottom: 0px;}
.p28{text-align: left;padding-left: 19px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p29{text-align: left;padding-left: 1px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p30{text-align: justify;padding-left: 170px;padding-right: 167px;margin-top: 0px;margin-bottom: 0px;text-indent: -57px;}
.p31{text-align: right;padding-right: 133px;margin-top: 44px;margin-bottom: 0px;}
.p32{text-align: justify;padding-left: 38px;margin-top: 0px;margin-bottom: 0px;}
.p33{text-align: right;padding-right: 13px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p34{text-align: left;padding-left: 1px;margin-top: 0px;margin-bottom: 0px;}
.p35{text-align: right;padding-right: 3px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p36{text-align: justify;margin-top: 0px;margin-bottom: 0px;}
.p37{text-align: right;padding-right: 1px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p38{text-align: justify;margin-top: 9px;margin-bottom: 0px;}
.p39{text-align: left;padding-left: 12px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p40{text-align: left;padding-left: 10px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p41{text-align: left;padding-left: 95px;padding-right: 155px;margin-top: 0px;margin-bottom: 0px;text-indent: -57px;}
.p42{text-align: justify;padding-left: 38px;margin-top: 32px;margin-bottom: 0px;}
.p43{text-align: justify;padding-left: 38px;padding-right: 178px;margin-top: 9px;margin-bottom: 0px;text-indent: -38px;}
.p44{text-align: left;padding-left: 6px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p45{text-align: left;padding-left: 38px;padding-right: 172px;margin-top: 10px;margin-bottom: 0px;text-indent: -38px;}
.p46{text-align: left;margin-top: 151px;margin-bottom: 0px;}
.p47{text-align: justify;padding-right: 132px;padding-top: 1px;margin-top: 12px;margin-bottom: 0px;}
.p48{text-align: justify;padding-right: 127px;margin-top: 44px;margin-bottom: 0px;}
.p49{text-align: left;padding-left: 403px;margin-top: 47px;margin-bottom: 0px;}
.p50{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 32px;margin-bottom: 0px;}
.p51{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p52{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p53{text-align: left;padding-left: 66px;margin-top: 34px;margin-bottom: 0px;}
.p54{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 13px;margin-bottom: 0px;}
.p55{text-align: left;margin-top: 31px;margin-bottom: 0px;}
.p56{text-align: left;margin-top: 13px;margin-bottom: 0px;}
.p57{text-align: justify;padding-right: 132px;margin-top: 12px;margin-bottom: 0px;}
.p58{text-align: justify;padding-right: 132px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p59{text-align: left;padding-left: 66px;margin-top: 31px;margin-bottom: 0px;}
.p60{text-align: justify;padding-left: 66px;padding-right: 75px;margin-top: 12px;margin-bottom: 0px;}
.p61{text-align: left;padding-left: 66px;margin-top: 35px;margin-bottom: 0px;}
.p62{text-align: justify;padding-left: 66px;padding-right: 75px;margin-top: 11px;margin-bottom: 0px;}
.p63{text-align: justify;padding-right: 132px;margin-top: 32px;margin-bottom: 0px;text-indent: 19px;}
.p64{text-align: left;margin-top: 35px;margin-bottom: 0px;}
.p65{text-align: justify;padding-right: 133px;margin-top: 12px;margin-bottom: 0px;}
.p66{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 19px;margin-bottom: 0px;}
.p67{text-align: justify;padding-right: 132px;margin-top: 11px;margin-bottom: 0px;}
.p68{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 12px;margin-bottom: 0px;}
.p69{text-align: justify;margin-top: 151px;margin-bottom: 0px;}
.p70{text-align: left;padding-left: 60px;padding-right: 168px;margin-top: 1px;margin-bottom: 0px;}
.p71{text-align: left;padding-left: 18px;margin-top: 8px;margin-bottom: 0px;}
.p72{text-align: left;margin-top: 36px;margin-bottom: 0px;}
.p73{text-align: justify;padding-right: 133px;margin-top: 13px;margin-bottom: 0px;}
.p74{text-align: left;margin-top: 12px;margin-bottom: 0px;}
.p75{text-align: justify;padding-right: 133px;margin-top: 1px;margin-bottom: 0px;text-indent: 18px;}
.p76{text-align: justify;padding-right: 132px;margin-top: 0px;margin-bottom: 0px;text-indent: 18px;}
.p77{text-align: justify;padding-right: 132px;margin-top: 24px;margin-bottom: 0px;}
.p78{text-align: left;padding-left: 403px;margin-top: 45px;margin-bottom: 0px;}
.p79{text-align: left;padding-left: 66px;margin-top: 13px;margin-bottom: 0px;}
.p80{text-align: left;margin-top: 32px;margin-bottom: 0px;}
.p81{text-align: left;padding-right: 132px;margin-top: 12px;margin-bottom: 0px;}
.p82{text-align: left;padding-left: 18px;margin-top: 1px;margin-bottom: 0px;}
.p83{text-align: justify;padding-right: 132px;margin-top: 1px;margin-bottom: 0px;text-indent: 18px;}
.p84{text-align: justify;padding-right: 133px;margin-top: 0px;margin-bottom: 0px;text-indent: 18px;}
.p85{text-align: justify;padding-left: 66px;margin-top: 32px;margin-bottom: 0px;text-indent: 19px;}
.p86{text-align: justify;padding-left: 66px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p87{text-align: justify;padding-left: 66px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p88{text-align: justify;padding-right: 132px;margin-top: 32px;margin-bottom: 0px;}
.p89{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 32px;margin-bottom: 0px;text-indent: 19px;}
.p90{text-align: justify;padding-left: 85px;margin-top: 0px;margin-bottom: 0px;}
.p91{text-align: left;padding-left: 85px;padding-right: 76px;margin-top: 0px;margin-bottom: 0px;}
.p92{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 0px;margin-bottom: 0px;}
.p93{text-align: left;padding-left: 66px;margin-top: 36px;margin-bottom: 0px;}
.p94{text-align: left;padding-left: 66px;margin-top: 12px;margin-bottom: 0px;}
.p95{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 18px;margin-bottom: 0px;}
.p96{text-align: justify;padding-right: 133px;margin-top: 32px;margin-bottom: 0px;}
.p97{text-align: justify;padding-right: 132px;margin-top: 18px;margin-bottom: 0px;}
.p98{text-align: justify;padding-left: 18px;margin-top: 0px;margin-bottom: 0px;}
.p99{text-align: justify;padding-left: 18px;margin-top: 1px;margin-bottom: 0px;}
.p100{text-align: justify;padding-left: 18px;margin-top: 2px;margin-bottom: 0px;}
.p101{text-align: justify;padding-right: 132px;margin-top: 19px;margin-bottom: 0px;}
.p102{text-align: left;padding-left: 66px;margin-top: 32px;margin-bottom: 0px;}
.p103{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 17px;margin-bottom: 0px;}
.p104{text-align: justify;padding-left: 85px;margin-top: 1px;margin-bottom: 0px;}
.p105{text-align: justify;padding-right: 133px;margin-top: 32px;margin-bottom: 0px;text-indent: 19px;}
.p106{text-align: justify;padding-right: 133px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p107{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 36px;margin-bottom: 0px;}
.p108{text-align: left;padding-left: 85px;margin-top: 0px;margin-bottom: 0px;}
.p109{text-align: justify;padding-left: 66px;padding-right: 75px;margin-top: 19px;margin-bottom: 0px;}
.p110{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 1px;margin-bottom: 0px;}
.p111{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 19px;margin-bottom: 0px;text-indent: 19px;}
.p112{text-align: left;padding-left: 66px;margin-top: 53px;margin-bottom: 0px;}
.p113{text-align: justify;padding-right: 132px;margin-top: 13px;margin-bottom: 0px;}
.p114{text-align: left;padding-left: 18px;margin-top: 0px;margin-bottom: 0px;}
.p115{text-align: justify;padding-left: 18px;padding-right: 186px;margin-top: 0px;margin-bottom: 0px;}
.p116{text-align: justify;padding-left: 66px;padding-right: 1px;margin-top: 32px;margin-bottom: 0px;}
.p117{text-align: justify;padding-left: 66px;padding-right: 1px;margin-top: 18px;margin-bottom: 0px;}
.p118{text-align: justify;padding-left: 66px;padding-right: 1px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p119{text-align: justify;padding-left: 66px;padding-right: 1px;margin-top: 20px;margin-bottom: 0px;}
.p120{text-align: justify;padding-left: 66px;margin-top: 18px;margin-bottom: 0px;}
.p121{text-align: justify;padding-left: 66px;padding-right: 1px;margin-top: 36px;margin-bottom: 0px;}
.p122{text-align: justify;padding-left: 1px;padding-right: 132px;margin-top: 32px;margin-bottom: 0px;}
.p123{text-align: left;padding-left: 1px;margin-top: 52px;margin-bottom: 0px;}
.p124{text-align: justify;padding-left: 1px;padding-right: 132px;margin-top: 13px;margin-bottom: 0px;}
.p125{text-align: left;padding-left: 1px;margin-top: 34px;margin-bottom: 0px;}
.p126{text-align: justify;padding-left: 1px;padding-right: 133px;margin-top: 13px;margin-bottom: 0px;}
.p127{text-align: left;padding-left: 1px;margin-top: 35px;margin-bottom: 0px;}
.p128{text-align: justify;padding-left: 1px;padding-right: 133px;margin-top: 12px;margin-bottom: 0px;}
.p129{text-align: justify;padding-left: 1px;padding-right: 133px;margin-top: 0px;margin-bottom: 0px;text-indent: 18px;}
.p130{text-align: justify;padding-right: 76px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p131{text-align: justify;padding-left: 19px;margin-top: 0px;margin-bottom: 0px;}
.p132{text-align: justify;padding-left: 19px;margin-top: 1px;margin-bottom: 0px;}
.p133{text-align: justify;padding-right: 76px;margin-top: 13px;margin-bottom: 0px;}
.p134{text-align: justify;padding-right: 76px;margin-top: 12px;margin-bottom: 0px;}
.p135{text-align: justify;padding-right: 76px;margin-top: 18px;margin-bottom: 0px;}
.p136{text-align: left;padding-left: 19px;margin-top: 24px;margin-bottom: 0px;}
.p137{text-align: justify;margin-top: 31px;margin-bottom: 0px;}
.p138{text-align: left;padding-left: 60px;padding-right: 132px;margin-top: 2px;margin-bottom: 0px;}
.p139{text-align: left;padding-left: 18px;margin-top: 12px;margin-bottom: 0px;}
.p140{text-align: left;padding-left: 66px;margin-top: 19px;margin-bottom: 0px;}
.p141{text-align: right;padding-right: 132px;margin-top: 13px;margin-bottom: 0px;}
.p142{text-align: left;padding-left: 66px;padding-right: 76px;margin-top: 32px;margin-bottom: 0px;}
.p143{text-align: left;padding-right: 133px;margin-top: 32px;margin-bottom: 0px;text-indent: 19px;}
.p144{text-align: left;padding-right: 133px;margin-top: 18px;margin-bottom: 0px;}
.p145{text-align: left;padding-left: 18px;margin-top: 24px;margin-bottom: 0px;}
.p146{text-align: justify;padding-left: 132px;margin-top: 31px;margin-bottom: 0px;}
.p147{text-align: left;padding-left: 193px;padding-right: 144px;margin-top: 2px;margin-bottom: 0px;}
.p148{text-align: left;padding-left: 132px;padding-right: 76px;margin-top: 10px;margin-bottom: 0px;text-indent: 19px;}
.p149{text-align: left;padding-left: 151px;margin-top: 23px;margin-bottom: 0px;}
.p150{text-align: right;padding-right: 76px;margin-top: 37px;margin-bottom: 0px;}
.p151{text-align: justify;padding-left: 132px;margin-top: 20px;margin-bottom: 0px;}
.p152{text-align: justify;padding-left: 132px;padding-right: 286px;margin-top: 1px;margin-bottom: 0px;}
.p153{text-align: justify;padding-left: 132px;margin-top: 0px;margin-bottom: 0px;}
.p154{text-align: left;padding-left: 132px;margin-top: 276px;margin-bottom: 0px;}
.p155{text-align: justify;padding-left: 60px;padding-right: 246px;margin-top: 0px;margin-bottom: 0px;text-indent: -60px;}
.p156{text-align: justify;margin-top: 148px;margin-bottom: 0px;}
.p157{text-align: justify;margin-top: 35px;margin-bottom: 0px;}
.p158{text-align: justify;padding-left: 18px;padding-right: 132px;margin-top: 5px;margin-bottom: 0px;text-indent: -18px;}
.p159{text-align: left;padding-left: 403px;margin-top: 69px;margin-bottom: 0px;}
.p160{text-align: justify;padding-left: 85px;padding-right: 76px;margin-top: 32px;margin-bottom: 0px;text-indent: -19px;}
.p161{text-align: justify;padding-left: 85px;padding-right: 76px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p162{text-align: justify;padding-left: 66px;margin-top: 6px;margin-bottom: 0px;}
.p163{text-align: left;padding-left: 66px;padding-right: 76px;margin-top: 20px;margin-bottom: 0px;}
.p164{text-align: left;padding-left: 85px;padding-right: 147px;margin-top: 0px;margin-bottom: 0px;}
.p165{text-align: justify;padding-left: 66px;margin-top: 35px;margin-bottom: 0px;}
.p166{text-align: justify;padding-left: 66px;padding-right: 75px;margin-top: 13px;margin-bottom: 0px;}
.p167{text-align: justify;padding-right: 127px;margin-top: 1px;margin-bottom: 0px;}
.p168{text-align: justify;padding-right: 133px;margin-top: 151px;margin-bottom: 0px;}
.p169{text-align: left;padding-left: 403px;margin-top: 48px;margin-bottom: 0px;}
.p170{text-align: justify;padding-left: 66px;margin-top: 19px;margin-bottom: 0px;text-indent: 19px;}
.p171{text-align: justify;padding-right: 132px;margin-top: 14px;margin-bottom: 0px;}
.p172{text-align: justify;padding-left: 18px;padding-right: 133px;margin-top: 8px;margin-bottom: 0px;text-indent: -18px;}
.p173{text-align: justify;padding-left: 18px;padding-right: 133px;margin-top: 9px;margin-bottom: 0px;text-indent: -18px;}
.p174{text-align: justify;padding-left: 18px;padding-right: 132px;margin-top: 8px;margin-bottom: 0px;text-indent: -18px;}
.p175{text-align: justify;padding-left: 18px;padding-right: 132px;margin-top: 7px;margin-bottom: 0px;text-indent: -18px;}
.p176{text-align: left;margin-top: 16px;margin-bottom: 0px;}
.p177{text-align: justify;padding-left: 18px;padding-right: 133px;margin-top: 10px;margin-bottom: 0px;text-indent: -18px;}
.p178{text-align: justify;padding-right: 132px;margin-top: 16px;margin-bottom: 0px;}
.p179{text-align: justify;padding-left: 66px;margin-top: 31px;margin-bottom: 0px;}
.p180{text-align: justify;padding-left: 127px;padding-right: 79px;margin-top: 35px;margin-bottom: 0px;text-indent: -61px;}
.p181{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 10px;margin-bottom: 0px;}
.p182{text-align: justify;padding-left: 66px;margin-top: 26px;margin-bottom: 0px;}
.p183{text-align: justify;padding-left: 85px;padding-right: 76px;margin-top: 10px;margin-bottom: 0px;text-indent: -19px;}
.p184{text-align: justify;padding-left: 66px;margin-top: 7px;margin-bottom: 0px;}
.p185{text-align: justify;padding-left: 66px;margin-top: 9px;margin-bottom: 0px;}
.p186{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 20px;margin-bottom: 0px;}
.p187{text-align: justify;padding-right: 71px;margin-top: 32px;margin-bottom: 0px;}
.p188{text-align: justify;padding-right: 71px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p189{text-align: justify;padding-right: 71px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p190{text-align: justify;padding-right: 72px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p191{text-align: left;padding-left: 127px;padding-right: 156px;margin-top: 34px;margin-bottom: 0px;text-indent: -61px;}
.p192{text-align: left;padding-left: 66px;margin-top: 11px;margin-bottom: 0px;}
.p193{text-align: left;padding-right: 133px;margin-top: 12px;margin-bottom: 0px;}
.p194{text-align: justify;margin-top: 8px;margin-bottom: 0px;}
.p195{text-align: justify;margin-top: 10px;margin-bottom: 0px;}
.p196{text-align: justify;padding-right: 132px;margin-top: 20px;margin-bottom: 0px;}
.p197{text-align: justify;padding-left: 66px;padding-right: 75px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p198{text-align: left;margin-top: 53px;margin-bottom: 0px;}
.p199{text-align: justify;margin-top: 34px;margin-bottom: 0px;}
.p200{text-align: justify;padding-left: 60px;padding-right: 202px;margin-top: 31px;margin-bottom: 0px;text-indent: -60px;}
.p201{text-align: justify;padding-left: 60px;margin-top: 0px;margin-bottom: 0px;}
.p202{text-align: justify;padding-left: 127px;padding-right: 134px;margin-top: 31px;margin-bottom: 0px;text-indent: -61px;}
.p203{text-align: justify;padding-left: 66px;padding-right: 18px;margin-top: 10px;margin-bottom: 0px;}
.p204{text-align: justify;padding-left: 66px;margin-top: 10px;margin-bottom: 0px;}
.p205{text-align: justify;padding-left: 66px;padding-right: 1px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p206{text-align: left;padding-right: 206px;margin-top: 32px;margin-bottom: 0px;}
.p207{text-align: justify;padding-right: 132px;margin-top: 25px;margin-bottom: 0px;}
.p208{text-align: justify;padding-left: 66px;padding-right: 75px;margin-top: 32px;margin-bottom: 0px;}
.p209{text-align: left;padding-left: 1px;margin-top: 32px;margin-bottom: 0px;}
.p210{text-align: justify;padding-left: 1px;padding-right: 132px;margin-top: 12px;margin-bottom: 0px;}
.p211{text-align: justify;padding-left: 1px;padding-right: 132px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p212{text-align: justify;padding-left: 1px;padding-right: 132px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p213{text-align: justify;padding-left: 66px;margin-top: 34px;margin-bottom: 0px;}
.p214{text-align: left;margin-top: 520px;margin-bottom: 0px;}
.p215{text-align: left;padding-left: 403px;margin-top: 46px;margin-bottom: 0px;}
.p216{text-align: left;padding-left: 66px;padding-right: 76px;margin-top: 32px;margin-bottom: 0px;text-indent: 19px;}
.p217{text-align: left;margin-top: 19px;margin-bottom: 0px;}
.p218{text-align: justify;padding-right: 133px;margin-top: 19px;margin-bottom: 0px;}
.p219{text-align: justify;padding-right: 132px;margin-top: 17px;margin-bottom: 0px;}
.p220{text-align: left;margin-top: 69px;margin-bottom: 0px;}
.p221{text-align: left;padding-left: 66px;margin-top: 18px;margin-bottom: 0px;}
.p222{text-align: justify;padding-left: 66px;margin-top: 36px;margin-bottom: 0px;}
.p223{text-align: justify;padding-left: 1px;padding-right: 132px;margin-top: 19px;margin-bottom: 0px;}
.p224{text-align: justify;padding-left: 1px;padding-right: 132px;margin-top: 18px;margin-bottom: 0px;}
.p225{text-align: justify;padding-right: 127px;margin-top: 32px;margin-bottom: 0px;}
.p226{text-align: justify;padding-left: 66px;margin-top: 32px;margin-bottom: 0px;}
.p227{text-align: justify;padding-right: 71px;margin-top: 18px;margin-bottom: 0px;}
.p228{text-align: left;padding-left: 66px;padding-right: 114px;margin-top: 14px;margin-bottom: 0px;}
.p229{text-align: justify;margin-top: 12px;margin-bottom: 0px;}
.p230{text-align: left;padding-left: 403px;margin-top: 71px;margin-bottom: 0px;}
.p231{text-align: justify;padding-left: 66px;margin-top: 53px;margin-bottom: 0px;}
.p232{text-align: justify;padding-right: 132px;margin-top: 71px;margin-bottom: 0px;}
.p233{text-align: justify;margin-top: 5px;margin-bottom: 0px;}
.p234{text-align: justify;padding-left: 85px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p235{text-align: justify;padding-left: 66px;margin-top: 19px;margin-bottom: 0px;}
.p236{text-align: left;padding-right: 111px;margin-top: 32px;margin-bottom: 0px;}
.p237{text-align: justify;padding-right: 71px;margin-top: 10px;margin-bottom: 0px;}
.p238{text-align: justify;padding-right: 72px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p239{text-align: justify;padding-left: 66px;padding-right: 75px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p240{text-align: left;padding-right: 162px;margin-top: 32px;margin-bottom: 0px;}
.p241{text-align: justify;padding-right: 132px;margin-top: 10px;margin-bottom: 0px;}
.p242{text-align: justify;padding-left: 9px;padding-right: 142px;margin-top: 19px;margin-bottom: 0px;}
.p243{text-align: justify;padding-left: 28px;padding-right: 142px;margin-top: 27px;margin-bottom: 0px;text-indent: -19px;}
.p244{text-align: justify;padding-left: 28px;padding-right: 142px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p245{text-align: left;margin-top: 40px;margin-bottom: 0px;}
.p246{text-align: left;margin-top: 25px;margin-bottom: 0px;}
.p247{text-align: justify;padding-left: 66px;margin-top: 18px;margin-bottom: 0px;text-indent: 19px;}
.p248{text-align: left;margin-top: 22px;margin-bottom: 0px;}
.p249{text-align: justify;padding-left: 76px;padding-right: 85px;margin-top: 20px;margin-bottom: 0px;}
.p250{text-align: justify;padding-left: 95px;padding-right: 85px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p251{text-align: left;padding-left: 19px;padding-right: 142px;margin-top: 0px;margin-bottom: 0px;}
.p252{text-align: justify;padding-left: 19px;padding-right: 142px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p253{text-align: justify;padding-right: 142px;margin-top: 16px;margin-bottom: 0px;}
.p254{text-align: justify;padding-left: 19px;padding-right: 142px;margin-top: 6px;margin-bottom: 0px;text-indent: -19px;}
.p255{text-align: justify;padding-left: 19px;padding-right: 142px;margin-top: 5px;margin-bottom: 0px;text-indent: -19px;}
.p256{text-align: justify;margin-top: 7px;margin-bottom: 0px;}
.p257{text-align: justify;padding-right: 142px;margin-top: 17px;margin-bottom: 0px;}
.p258{text-align: justify;padding-right: 142px;margin-top: 19px;margin-bottom: 0px;}
.p259{text-align: left;padding-left: 66px;padding-right: 18px;margin-top: 32px;margin-bottom: 0px;}
.p260{text-align: justify;padding-left: 66px;padding-right: 1px;margin-top: 12px;margin-bottom: 0px;}
.p261{text-align: left;padding-right: 121px;margin-top: 32px;margin-bottom: 0px;}
.p262{text-align: justify;padding-right: 71px;margin-top: 12px;margin-bottom: 0px;}
.p263{text-align: justify;padding-right: 148px;margin-top: 36px;margin-bottom: 0px;}
.p264{text-align: justify;padding-right: 72px;margin-top: 10px;margin-bottom: 0px;}
.p265{text-align: left;padding-left: 60px;padding-right: 236px;margin-top: 0px;margin-bottom: 0px;text-indent: -60px;}
.p266{text-align: justify;margin-top: 147px;margin-bottom: 0px;}
.p267{text-align: justify;padding-left: 60px;padding-right: 283px;margin-top: 35px;margin-bottom: 0px;text-indent: -60px;}
.p268{text-align: left;padding-right: 132px;margin-top: 11px;margin-bottom: 0px;}
.p269{text-align: justify;padding-left: 18px;margin-top: 6px;margin-bottom: 0px;}
.p270{text-align: justify;padding-left: 37px;padding-right: 133px;margin-top: 10px;margin-bottom: 0px;text-indent: -19px;}
.p271{text-align: left;padding-left: 403px;margin-top: 60px;margin-bottom: 0px;}
.p272{text-align: justify;padding-left: 104px;padding-right: 76px;margin-top: 32px;margin-bottom: 0px;text-indent: -19px;}
.p273{text-align: justify;padding-left: 76px;padding-right: 85px;margin-top: 18px;margin-bottom: 0px;}
.p274{text-align: justify;padding-left: 76px;padding-right: 85px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p275{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 24px;margin-bottom: 0px;}
.p276{text-align: justify;padding-left: 18px;padding-right: 132px;margin-top: 10px;margin-bottom: 0px;text-indent: -18px;}
.p277{text-align: justify;padding-right: 132px;margin-top: 83px;margin-bottom: 0px;}
.p278{text-align: justify;padding-left: 66px;padding-right: 76px;padding-top: 1px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p279{text-align: justify;padding-left: 85px;padding-right: 76px;margin-top: 7px;margin-bottom: 0px;text-indent: -19px;}
.p280{text-align: justify;padding-left: 85px;padding-right: 76px;margin-top: 6px;margin-bottom: 0px;text-indent: -19px;}
.p281{text-align: left;padding-left: 66px;padding-right: 76px;margin-top: 16px;margin-bottom: 0px;}
.p282{text-align: justify;padding-left: 85px;padding-right: 76px;margin-top: 5px;margin-bottom: 0px;}
.p283{text-align: justify;padding-left: 85px;padding-right: 76px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p284{text-align: left;padding-left: 104px;margin-top: 3px;margin-bottom: 0px;}
.p285{text-align: left;padding-left: 66px;margin-top: 87px;margin-bottom: 0px;}
.p286{text-align: justify;padding-right: 133px;margin-top: 7px;margin-bottom: 0px;}
.p287{text-align: left;margin-top: 7px;margin-bottom: 0px;}
.p288{text-align: justify;padding-right: 133px;margin-top: 8px;margin-bottom: 0px;}
.p289{text-align: left;margin-top: 8px;margin-bottom: 0px;}
.p290{text-align: left;padding-left: 85px;margin-top: 31px;margin-bottom: 0px;}
.p291{text-align: left;padding-left: 85px;padding-right: 76px;margin-top: 7px;margin-bottom: 0px;}
.p292{text-align: justify;padding-left: 66px;margin-top: 8px;margin-bottom: 0px;}
.p293{text-align: justify;padding-right: 133px;margin-top: 47px;margin-bottom: 0px;}
.p294{text-align: justify;padding-left: 60px;padding-right: 276px;margin-top: 31px;margin-bottom: 0px;text-indent: -60px;}
.p295{text-align: justify;padding-left: 9px;padding-right: 142px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p296{text-align: justify;padding-left: 9px;margin-top: 8px;margin-bottom: 0px;}
.p297{text-align: justify;padding-left: 28px;padding-right: 142px;margin-top: 9px;margin-bottom: 0px;text-indent: -19px;}
.p298{text-align: justify;padding-left: 28px;padding-right: 142px;margin-top: 16px;margin-bottom: 0px;text-indent: -18px;}
.p299{text-align: justify;padding-left: 9px;padding-right: 142px;margin-top: 0px;margin-bottom: 0px;}
.p300{text-align: justify;padding-left: 66px;padding-right: 1px;margin-top: 111px;margin-bottom: 0px;}
.p301{text-align: left;padding-left: 1px;margin-top: 102px;margin-bottom: 0px;}
.p302{text-align: justify;padding-left: 85px;padding-right: 76px;margin-top: 9px;margin-bottom: 0px;text-indent: -19px;}
.p303{text-align: justify;padding-right: 72px;margin-top: 21px;margin-bottom: 0px;}
.p304{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 22px;margin-bottom: 0px;}
.p305{text-align: left;padding-left: 60px;padding-right: 266px;margin-top: 0px;margin-bottom: 0px;text-indent: -60px;}
.p306{text-align: left;padding-left: 60px;padding-right: 236px;margin-top: 0px;margin-bottom: 0px;}
.p307{text-align: left;padding-left: 397px;margin-top: 48px;margin-bottom: 0px;}
.p308{text-align: justify;margin-top: 20px;margin-bottom: 0px;}
.p309{text-align: justify;margin-top: 0px;margin-bottom: 0px;}
.p310{text-align: left;padding-left: 66px;padding-right: 127px;margin-top: 11px;margin-bottom: 0px;}
.p311{text-align: left;padding-left: 18px;padding-right: 136px;padding-top: 1px;margin-top: 12px;margin-bottom: 0px;text-indent: -18px;}
.p312{text-align: left;padding-left: 19px;margin-top: 0px;margin-bottom: 0px;}
.p313{text-align: justify;padding-left: 19px;padding-right: 132px;margin-top: 9px;margin-bottom: 0px;text-indent: -19px;}
.p314{text-align: justify;padding-left: 19px;padding-right: 133px;margin-top: 7px;margin-bottom: 0px;text-indent: -19px;}
.p315{text-align: justify;padding-left: 19px;padding-right: 132px;margin-top: 7px;margin-bottom: 0px;text-indent: -19px;}
.p316{text-align: left;margin-top: 17px;margin-bottom: 0px;}
.p317{text-align: justify;padding-left: 85px;padding-right: 1px;margin-top: 32px;margin-bottom: 0px;text-indent: -19px;}
.p318{text-align: justify;padding-left: 85px;padding-right: 1px;margin-top: 27px;margin-bottom: 0px;text-indent: -19px;}
.p319{text-align: justify;padding-left: 66px;padding-right: 1px;margin-top: 17px;margin-bottom: 0px;}
.p320{text-align: left;padding-left: 66px;padding-right: 60px;margin-top: 35px;margin-bottom: 0px;}
.p321{text-align: justify;padding-left: 66px;padding-right: 1px;margin-top: 13px;margin-bottom: 0px;}
.p322{text-align: left;padding-right: 131px;margin-top: 34px;margin-bottom: 0px;}
.p323{text-align: justify;padding-right: 71px;margin-top: 11px;margin-bottom: 0px;}
.p324{text-align: left;padding-right: 74px;margin-top: 35px;margin-bottom: 0px;}
.p325{text-align: justify;padding-right: 71px;margin-top: 14px;margin-bottom: 0px;}
.p326{text-align: justify;padding-right: 76px;margin-top: 0px;margin-bottom: 0px;}
.p327{text-align: justify;margin-top: 13px;margin-bottom: 0px;}
.p328{text-align: justify;padding-left: 10px;padding-right: 85px;margin-top: 18px;margin-bottom: 0px;}
.p329{text-align: justify;padding-left: 10px;padding-right: 85px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p330{text-align: justify;padding-left: 10px;padding-right: 85px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p331{text-align: justify;padding-right: 132px;margin-top: 18px;margin-bottom: 0px;text-indent: 19px;}
.p332{text-align: left;padding-left: 1px;margin-top: 33px;margin-bottom: 0px;}
.p333{text-align: justify;padding-left: 1px;padding-right: 71px;margin-top: 19px;margin-bottom: 0px;text-indent: 19px;}
.p334{text-align: justify;padding-left: 1px;padding-right: 71px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p335{text-align: justify;padding-left: 76px;margin-top: 8px;margin-bottom: 0px;}
.p336{text-align: justify;padding-left: 76px;padding-right: 85px;margin-top: 17px;margin-bottom: 0px;}
.p337{text-align: justify;padding-left: 76px;padding-right: 85px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p338{text-align: justify;padding-left: 9px;padding-right: 142px;margin-top: 32px;margin-bottom: 0px;text-indent: 19px;}
.p339{text-align: justify;padding-left: 9px;padding-right: 142px;margin-top: 18px;margin-bottom: 0px;}
.p340{text-align: justify;padding-left: 66px;padding-right: 1px;margin-top: 32px;margin-bottom: 0px;text-indent: 19px;}
.p341{text-align: justify;padding-left: 66px;padding-right: 1px;margin-top: 19px;margin-bottom: 0px;text-indent: 19px;}
.p342{text-align: justify;margin-top: 6px;margin-bottom: 0px;}
.p343{text-align: justify;margin-top: 36px;margin-bottom: 0px;}
.p344{text-align: justify;padding-left: 9px;padding-right: 142px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p345{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 32px;margin-bottom: 0px;}
.p346{text-align: justify;padding-left: 19px;padding-right: 71px;margin-top: 32px;margin-bottom: 0px;text-indent: -18px;}
.p347{text-align: justify;padding-left: 19px;padding-right: 72px;margin-top: 8px;margin-bottom: 0px;text-indent: -18px;}
.p348{text-align: justify;padding-left: 1px;padding-right: 72px;margin-top: 36px;margin-bottom: 0px;}
.p349{text-align: justify;padding-left: 1px;padding-right: 72px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p350{text-align: justify;padding-left: 1px;padding-right: 71px;margin-top: 41px;margin-bottom: 0px;}
.p351{text-align: justify;padding-right: 71px;margin-top: 32px;margin-bottom: 0px;text-indent: 19px;}
.p352{text-align: left;padding-left: 397px;margin-top: 64px;margin-bottom: 0px;}
.p353{text-align: justify;padding-left: 66px;margin-top: 13px;margin-bottom: 0px;}
.p354{text-align: left;padding-left: 66px;margin-top: 27px;margin-bottom: 0px;}
.p355{text-align: left;padding-right: 133px;margin-top: 32px;margin-bottom: 0px;}
.p356{text-align: left;padding-left: 66px;padding-right: 207px;margin-top: 12px;margin-bottom: 0px;}
.p357{text-align: left;margin-top: 11px;margin-bottom: 0px;}
.p358{text-align: justify;padding-left: 60px;padding-right: 224px;margin-top: 13px;margin-bottom: 0px;text-indent: -60px;}
.p359{text-align: justify;padding-right: 128px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p360{text-align: justify;padding-left: 18px;padding-right: 132px;margin-top: 9px;margin-bottom: 0px;text-indent: -18px;}
.p361{text-align: justify;padding-left: 66px;padding-right: 76px;padding-top: 1px;margin-top: 31px;margin-bottom: 0px;}
.p362{text-align: left;padding-left: 66px;margin-top: 23px;margin-bottom: 0px;}
.p363{text-align: justify;padding-left: 85px;padding-right: 76px;margin-top: 4px;margin-bottom: 0px;}
.p364{text-align: justify;padding-left: 85px;padding-right: 76px;margin-top: 5px;margin-bottom: 0px;text-indent: 19px;}
.p365{text-align: justify;padding-left: 85px;padding-right: 76px;margin-top: 8px;margin-bottom: 0px;text-indent: 19px;}
.p366{text-align: left;padding-left: 66px;margin-top: 82px;margin-bottom: 0px;}
.p367{text-align: left;padding-right: 152px;margin-top: 32px;margin-bottom: 0px;}
.p368{text-align: left;margin-top: 95px;margin-bottom: 0px;}
.p369{text-align: justify;padding-left: 9px;padding-right: 142px;margin-top: 18px;margin-bottom: 0px;text-indent: 19px;}
.p370{text-align: justify;padding-right: 132px;margin-top: 22px;margin-bottom: 0px;}
.p371{text-align: justify;padding-right: 72px;margin-top: 32px;margin-bottom: 0px;}
.p372{text-align: justify;padding-left: 85px;padding-right: 76px;margin-top: 8px;margin-bottom: 0px;}
.p373{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 14px;margin-bottom: 0px;}
.p374{text-align: justify;padding-left: 66px;margin-top: 0px;margin-bottom: 0px;}
.p375{text-align: justify;padding-left: 1px;padding-right: 133px;margin-top: 32px;margin-bottom: 0px;}
.p376{text-align: justify;padding-left: 10px;padding-right: 142px;margin-top: 17px;margin-bottom: 0px;}
.p377{text-align: justify;padding-left: 10px;padding-right: 142px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p378{text-align: justify;padding-left: 1px;padding-right: 132px;margin-top: 24px;margin-bottom: 0px;}
.p379{text-align: justify;padding-left: 1px;padding-right: 133px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p380{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 18px;margin-bottom: 0px;text-indent: 19px;}
.p381{text-align: left;padding-left: 66px;margin-top: 26px;margin-bottom: 0px;}
.p382{text-align: left;padding-left: 9px;padding-right: 142px;margin-top: 17px;margin-bottom: 0px;}
.p383{text-align: justify;padding-left: 28px;padding-right: 142px;margin-top: 6px;margin-bottom: 0px;text-indent: -19px;}
.p384{text-align: justify;padding-left: 9px;padding-right: 142px;margin-top: 16px;margin-bottom: 0px;}
.p385{text-align: justify;padding-left: 76px;padding-right: 9px;margin-top: 32px;margin-bottom: 0px;text-indent: 19px;}
.p386{text-align: justify;padding-left: 76px;padding-right: 9px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p387{text-align: justify;padding-left: 76px;padding-right: 9px;margin-top: 19px;margin-bottom: 0px;text-indent: 19px;}
.p388{text-align: justify;padding-left: 66px;margin-top: 24px;margin-bottom: 0px;}
.p389{text-align: left;padding-right: 92px;margin-top: 32px;margin-bottom: 0px;}
.p390{text-align: justify;padding-right: 71px;margin-top: 19px;margin-bottom: 0px;text-indent: 19px;}
.p391{text-align: left;padding-right: 136px;margin-top: 35px;margin-bottom: 0px;}
.p392{text-align: justify;padding-right: 71px;margin-top: 9px;margin-bottom: 0px;}
.p393{text-align: left;padding-left: 9px;padding-right: 142px;margin-top: 18px;margin-bottom: 0px;}
.p394{text-align: justify;padding-left: 47px;padding-right: 144px;margin-top: 8px;margin-bottom: 0px;text-indent: -19px;}
.p395{text-align: justify;padding-left: 28px;padding-right: 142px;margin-top: 7px;margin-bottom: 0px;text-indent: -19px;}
.p396{text-align: right;padding-left: 66px;padding-right: 75px;margin-top: 32px;margin-bottom: 0px;}
.p397{text-align: justify;padding-left: 85px;padding-right: 76px;margin-top: 0px;margin-bottom: 0px;text-indent: -18px;}
.p398{text-align: justify;padding-left: 66px;padding-right: 75px;margin-top: 0px;margin-bottom: 0px;}
.p399{text-align: left;margin-top: 249px;margin-bottom: 0px;}
.p400{text-align: left;padding-left: 397px;margin-top: 32px;margin-bottom: 0px;}
.p401{text-align: justify;padding-left: 60px;padding-right: 165px;margin-top: 31px;margin-bottom: 0px;text-indent: -60px;}
.p402{text-align: justify;padding-right: 133px;margin-top: 24px;margin-bottom: 0px;}
.p403{text-align: justify;padding-right: 133px;padding-top: 1px;margin-top: 19px;margin-bottom: 0px;}
.p404{text-align: justify;margin-top: 24px;margin-bottom: 0px;}
.p405{text-align: left;padding-left: 66px;margin-top: 123px;margin-bottom: 0px;}
.p406{text-align: left;padding-left: 28px;margin-top: 1px;margin-bottom: 0px;}
.p407{text-align: justify;padding-left: 66px;padding-right: 1px;margin-top: 18px;margin-bottom: 0px;text-indent: 19px;}
.p408{text-align: justify;padding-left: 60px;padding-right: 188px;margin-top: 13px;margin-bottom: 0px;text-indent: -60px;}
.p409{text-align: justify;margin-top: 37px;margin-bottom: 0px;}
.p410{text-align: justify;padding-left: 66px;padding-right: 71px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p411{text-align: justify;padding-left: 66px;padding-right: 76px;padding-top: 1px;margin-top: 0px;margin-bottom: 0px;}
.p412{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 4px;margin-bottom: 0px;text-indent: 19px;}
.p413{text-align: justify;padding-left: 66px;margin-top: 38px;margin-bottom: 0px;}
.p414{text-align: left;padding-left: 9px;margin-top: 18px;margin-bottom: 0px;}
.p415{text-align: justify;margin-top: 155px;margin-bottom: 0px;}
.p416{text-align: justify;padding-right: 127px;margin-top: 0px;margin-bottom: 0px;}
.p417{text-align: left;padding-left: 76px;margin-top: 18px;margin-bottom: 0px;}
.p418{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 25px;margin-bottom: 0px;}
.p419{text-align: left;padding-left: 76px;padding-right: 85px;margin-top: 17px;margin-bottom: 0px;}
.p420{text-align: left;padding-left: 66px;margin-top: 24px;margin-bottom: 0px;}
.p421{text-align: left;padding-left: 1px;margin-top: 15px;margin-bottom: 0px;}
.p422{text-align: left;padding-left: 66px;margin-top: 15px;margin-bottom: 0px;}
.p423{text-align: justify;padding-left: 9px;padding-right: 142px;margin-top: 17px;margin-bottom: 0px;}
.p424{text-align: justify;padding-left: 9px;padding-right: 142px;margin-top: 37px;margin-bottom: 0px;}
.p425{text-align: left;margin-top: 29px;margin-bottom: 0px;}
.p426{text-align: justify;padding-left: 66px;margin-top: 98px;margin-bottom: 0px;}
.p427{text-align: justify;padding-right: 128px;margin-top: 42px;margin-bottom: 0px;}
.p428{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 21px;margin-bottom: 0px;}
.p429{text-align: justify;padding-left: 66px;margin-top: 40px;margin-bottom: 0px;}
.p430{text-align: justify;padding-right: 132px;margin-top: 42px;margin-bottom: 0px;}
.p431{text-align: left;margin-top: 47px;margin-bottom: 0px;}
.p432{text-align: justify;padding-left: 76px;padding-right: 85px;margin-top: 19px;margin-bottom: 0px;}
.p433{text-align: justify;padding-left: 66px;padding-right: 75px;margin-top: 24px;margin-bottom: 0px;}
.p434{text-align: justify;padding-left: 60px;padding-right: 188px;margin-top: 35px;margin-bottom: 0px;text-indent: -60px;}
.p435{text-align: left;margin-top: 24px;margin-bottom: 0px;}
.p436{text-align: left;padding-left: 76px;padding-right: 85px;margin-top: 19px;margin-bottom: 0px;}
.p437{text-align: left;padding-left: 76px;padding-right: 85px;margin-top: 18px;margin-bottom: 0px;}
.p438{text-align: justify;padding-right: 127px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p439{text-align: justify;padding-left: 60px;padding-right: 226px;margin-top: 35px;margin-bottom: 0px;text-indent: -60px;}
.p440{text-align: justify;margin-top: 11px;margin-bottom: 0px;}
.p441{text-align: justify;padding-right: 133px;margin-top: 11px;margin-bottom: 0px;}
.p442{text-align: left;padding-left: 397px;margin-top: 57px;margin-bottom: 0px;}
.p443{text-align: left;padding-left: 66px;padding-right: 1px;margin-top: 32px;margin-bottom: 0px;}
.p444{text-align: left;padding-left: 66px;padding-right: 1px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p445{text-align: justify;padding-left: 85px;padding-right: 1px;margin-top: 7px;margin-bottom: 0px;}
.p446{text-align: justify;padding-left: 66px;padding-right: 1px;margin-top: 16px;margin-bottom: 0px;}
.p447{text-align: left;padding-right: 163px;margin-top: 12px;margin-bottom: 0px;}
.p448{text-align: justify;padding-left: 60px;padding-right: 195px;margin-top: 0px;margin-bottom: 0px;}
.p449{text-align: left;padding-left: 66px;margin-top: 33px;margin-bottom: 0px;}
.p450{text-align: justify;padding-left: 66px;margin-top: 33px;margin-bottom: 0px;}
.p451{text-align: left;padding-left: 66px;margin-top: 131px;margin-bottom: 0px;}
.p452{text-align: justify;padding-left: 60px;padding-right: 169px;margin-top: 31px;margin-bottom: 0px;text-indent: -60px;}
.p453{text-align: justify;padding-left: 66px;padding-right: 70px;margin-top: 13px;margin-bottom: 0px;}
.p454{text-align: justify;padding-right: 75px;margin-top: 35px;margin-bottom: 0px;}
.p455{text-align: justify;padding-right: 71px;margin-top: 13px;margin-bottom: 0px;}
.p456{text-align: justify;padding-right: 142px;margin-top: 0px;margin-bottom: 0px;}
.p457{text-align: justify;padding-right: 142px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p458{text-align: justify;padding-left: 19px;padding-right: 142px;margin-top: 9px;margin-bottom: 0px;text-indent: -19px;}
.p459{text-align: justify;padding-right: 142px;margin-top: 18px;margin-bottom: 0px;}
.p460{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 11px;margin-bottom: 0px;}
.p461{text-align: justify;padding-left: 85px;margin-top: 9px;margin-bottom: 0px;text-indent: -19px;}
.p462{text-align: justify;padding-left: 85px;margin-top: 6px;margin-bottom: 0px;text-indent: -19px;}
.p463{text-align: justify;padding-left: 85px;margin-top: 27px;margin-bottom: 0px;text-indent: -19px;}
.p464{text-align: justify;padding-left: 9px;padding-right: 137px;margin-top: 19px;margin-bottom: 0px;}
.p465{text-align: justify;padding-left: 66px;padding-right: 75px;margin-top: 32px;margin-bottom: 0px;text-indent: 19px;}
.p466{text-align: left;padding-left: 127px;padding-right: 89px;margin-top: 35px;margin-bottom: 0px;text-indent: -61px;}
.p467{text-align: justify;padding-left: 60px;padding-right: 152px;margin-top: 0px;margin-bottom: 0px;text-indent: -60px;}
.p468{text-align: left;padding-left: 397px;margin-top: 38px;margin-bottom: 0px;}
.p469{text-align: justify;padding-left: 66px;padding-right: 75px;margin-top: 17px;margin-bottom: 0px;}
.p470{text-align: justify;padding-left: 85px;padding-right: 75px;margin-top: 10px;margin-bottom: 0px;text-indent: -19px;}
.p471{text-align: justify;padding-left: 1px;padding-right: 71px;margin-top: 32px;margin-bottom: 0px;}
.p472{text-align: justify;padding-left: 1px;padding-right: 72px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p473{text-align: justify;padding-left: 19px;padding-right: 71px;margin-top: 9px;margin-bottom: 0px;text-indent: -18px;}
.p474{text-align: justify;padding-left: 19px;padding-right: 72px;margin-top: 9px;margin-bottom: 0px;text-indent: -18px;}
.p475{text-align: justify;padding-left: 85px;margin-top: 32px;margin-bottom: 0px;text-indent: -19px;}
.p476{text-align: justify;padding-left: 66px;padding-right: 5px;margin-top: 32px;margin-bottom: 0px;}
.p477{text-align: justify;padding-left: 66px;padding-right: 5px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p478{text-align: justify;padding-left: 66px;padding-right: 5px;margin-top: 19px;margin-bottom: 0px;text-indent: 19px;}
.p479{text-align: left;padding-right: 71px;margin-top: 32px;margin-bottom: 0px;}
.p480{text-align: justify;padding-left: 18px;padding-right: 72px;margin-top: 8px;margin-bottom: 0px;text-indent: -18px;}
.p481{text-align: justify;padding-left: 18px;padding-right: 71px;margin-top: 8px;margin-bottom: 0px;text-indent: -18px;}
.p482{text-align: justify;padding-left: 18px;padding-right: 72px;margin-top: 7px;margin-bottom: 0px;text-indent: -18px;}
.p483{text-align: justify;padding-left: 18px;padding-right: 72px;margin-top: 27px;margin-bottom: 0px;text-indent: -18px;}
.p484{text-align: justify;padding-right: 71px;margin-top: 17px;margin-bottom: 0px;}
.p485{text-align: justify;padding-left: 127px;padding-right: 107px;margin-top: 35px;margin-bottom: 0px;text-indent: -61px;}
.p486{text-align: justify;padding-left: 66px;padding-right: 76px;padding-top: 1px;margin-top: 12px;margin-bottom: 0px;}
.p487{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 7px;margin-bottom: 0px;text-indent: 19px;}
.p488{text-align: left;padding-left: 66px;margin-top: 43px;margin-bottom: 0px;}
.p489{text-align: left;padding-right: 132px;margin-top: 32px;margin-bottom: 0px;text-indent: 19px;}
.p490{text-align: justify;padding-left: 18px;padding-right: 133px;margin-top: 7px;margin-bottom: 0px;}
.p491{text-align: left;padding-left: 18px;margin-top: 7px;margin-bottom: 0px;}
.p492{text-align: justify;padding-left: 18px;padding-right: 133px;margin-top: 8px;margin-bottom: 0px;}
.p493{text-align: justify;padding-left: 85px;padding-right: 76px;margin-top: 31px;margin-bottom: 0px;}
.p494{text-align: left;padding-left: 85px;margin-top: 7px;margin-bottom: 0px;}
.p495{text-align: justify;padding-left: 85px;padding-right: 76px;margin-top: 7px;margin-bottom: 0px;}
.p496{text-align: justify;padding-left: 66px;padding-right: 76px;margin-top: 16px;margin-bottom: 0px;}
.p497{text-align: justify;padding-right: 71px;margin-top: 18px;margin-bottom: 0px;text-indent: 19px;}
.p498{text-align: justify;padding-left: 66px;padding-right: 1px;margin-top: 28px;margin-bottom: 0px;}
.p499{text-align: justify;padding-left: 1px;padding-right: 71px;margin-top: 32px;margin-bottom: 0px;text-indent: 19px;}
.p500{text-align: left;padding-left: 397px;margin-top: 36px;margin-bottom: 0px;}
.p501{text-align: left;padding-right: 164px;margin-top: 36px;margin-bottom: 0px;}
.p502{text-align: left;padding-left: 85px;padding-right: 76px;margin-top: 8px;margin-bottom: 0px;}
.p503{text-align: justify;padding-left: 66px;padding-right: 75px;margin-top: 16px;margin-bottom: 0px;}
.p504{text-align: justify;padding-left: 60px;padding-right: 77px;margin-top: 35px;margin-bottom: 0px;text-indent: -60px;}
.p505{text-align: justify;padding-left: 9px;padding-right: 81px;margin-top: 17px;margin-bottom: 0px;}
.p506{text-align: justify;padding-left: 9px;padding-right: 81px;margin-top: 18px;margin-bottom: 0px;}
.p507{text-align: justify;padding-left: 9px;padding-right: 81px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p508{text-align: justify;padding-right: 72px;margin-top: 22px;margin-bottom: 0px;}
.p509{text-align: left;padding-left: 66px;margin-top: 22px;margin-bottom: 0px;}
.p510{text-align: justify;padding-left: 66px;margin-top: 17px;margin-bottom: 0px;}
.p511{text-align: justify;margin-top: 28px;margin-bottom: 0px;}
.p512{text-align: left;padding-left: 66px;margin-top: 41px;margin-bottom: 0px;}
.p513{text-align: justify;padding-right: 132px;margin-top: 1px;margin-bottom: 0px;}
.p514{text-align: justify;padding-left: 66px;margin-top: 21px;margin-bottom: 0px;}
.p515{text-align: justify;padding-right: 72px;margin-top: 19px;margin-bottom: 0px;text-indent: 19px;}
.p516{text-align: justify;padding-left: 60px;padding-right: 133px;margin-top: 35px;margin-bottom: 0px;text-indent: -60px;}
.p517{text-align: justify;padding-left: 60px;padding-right: 175px;margin-top: 35px;margin-bottom: 0px;text-indent: -60px;}
.p518{text-align: justify;padding-left: 127px;padding-right: 143px;margin-top: 35px;margin-bottom: 0px;text-indent: -61px;}
.p519{text-align: left;margin-top: 167px;margin-bottom: 0px;}
.p520{text-align: left;padding-left: 397px;margin-top: 39px;margin-bottom: 0px;}
.p521{text-align: justify;padding-left: 1px;margin-top: 35px;margin-bottom: 0px;}
.p522{text-align: justify;padding-left: 1px;padding-right: 132px;margin-top: 11px;margin-bottom: 0px;}
.p523{text-align: justify;padding-left: 1px;padding-right: 133px;margin-top: 1px;margin-bottom: 0px;text-indent: 19px;}
.p524{text-align: left;padding-left: 127px;padding-right: 92px;margin-top: 35px;margin-bottom: 0px;text-indent: -61px;}
.p525{text-align: left;padding-left: 66px;padding-right: 89px;margin-top: 12px;margin-bottom: 0px;}
.p526{text-align: left;padding-right: 208px;margin-top: 54px;margin-bottom: 0px;}
.p527{text-align: justify;padding-right: 132px;margin-top: 7px;margin-bottom: 0px;}
.p528{text-align: left;padding-left: 1px;margin-top: 22px;margin-bottom: 0px;}
.p529{text-align: justify;padding-left: 127px;padding-right: 146px;margin-top: 12px;margin-bottom: 0px;text-indent: -61px;}
.p530{text-align: left;padding-left: 60px;padding-right: 260px;margin-top: 35px;margin-bottom: 0px;text-indent: -60px;}
.p531{text-align: justify;padding-left: 60px;padding-right: 138px;margin-top: 151px;margin-bottom: 0px;text-indent: -60px;}
.p532{text-align: left;padding-left: 397px;margin-top: 72px;margin-bottom: 0px;}
.p533{text-align: left;padding-left: 60px;padding-right: 142px;margin-top: 151px;margin-bottom: 0px;text-indent: -60px;}
.p534{text-align: left;padding-left: 18px;padding-right: 248px;margin-top: 12px;margin-bottom: 0px;text-indent: -18px;}
.p535{text-align: left;padding-left: 397px;margin-top: 53px;margin-bottom: 0px;}
.p536{text-align: left;padding-left: 85px;margin-top: 1px;margin-bottom: 0px;}
.p537{text-align: justify;padding-left: 85px;padding-right: 76px;margin-top: 12px;margin-bottom: 0px;text-indent: -18px;}
.p538{text-align: justify;padding-left: 18px;padding-right: 132px;margin-top: 13px;margin-bottom: 0px;text-indent: -18px;}
.p539{text-align: justify;padding-right: 132px;margin-top: 0px;margin-bottom: 0px;}
.p540{text-align: justify;padding-left: 1px;padding-right: 66px;margin-top: 0px;margin-bottom: 0px;text-indent: 19px;}
.p541{text-align: right;padding-left: 66px;padding-right: 76px;margin-top: 13px;margin-bottom: 0px;}
.p542{text-align: justify;padding-right: 72px;margin-top: 17px;margin-bottom: 0px;text-indent: 19px;}
.p543{text-align: left;padding-left: 85px;padding-right: 96px;margin-top: 19px;margin-bottom: 0px;}
.p544{text-align: left;padding-left: 66px;margin-top: 60px;margin-bottom: 0px;}
.p545{text-align: justify;padding-left: 18px;padding-right: 133px;margin-top: 12px;margin-bottom: 0px;text-indent: -18px;}
.p546{text-align: left;padding-left: 1px;margin-top: 36px;margin-bottom: 0px;}
.p547{text-align: left;padding-left: 1px;margin-top: 12px;margin-bottom: 0px;}
.p548{text-align: justify;padding-right: 132px;margin-top: 2px;margin-bottom: 0px;text-indent: 19px;}
.p549{text-align: left;padding-left: 18px;padding-right: 141px;margin-top: 12px;margin-bottom: 0px;text-indent: -18px;}
.p550{text-align: left;padding-left: 18px;padding-right: 252px;margin-top: 13px;margin-bottom: 0px;text-indent: -18px;}
.p551{text-align: left;padding-left: 85px;padding-right: 95px;margin-top: 1px;margin-bottom: 0px;}
.p552{text-align: right;padding-left: 66px;padding-right: 75px;margin-top: 12px;margin-bottom: 0px;}
.p553{text-align: left;padding-left: 66px;margin-top: 0px;margin-bottom: 0px;}
.p554{text-align: left;margin-top: 33px;margin-bottom: 0px;}
.p555{text-align: right;padding-right: 132px;margin-top: 11px;margin-bottom: 0px;}
.p556{text-align: justify;padding-left: 18px;padding-right: 132px;margin-top: 0px;margin-bottom: 0px;text-indent: -18px;}
.p557{text-align: justify;padding-left: 18px;padding-right: 132px;margin-top: 11px;margin-bottom: 0px;text-indent: -18px;}
.p558{text-align: right;padding-right: 61px;margin-top: 0px;margin-bottom: 0px;}
.p559{text-align: left;padding-left: 76px;margin-top: 31px;margin-bottom: 0px;}
.p560{text-align: left;padding-left: 76px;margin-top: 150px;margin-bottom: 0px;}
.p561{text-align: left;padding-left: 76px;padding-right: 203px;margin-top: 1px;margin-bottom: 0px;}
.p562{text-align: left;padding-left: 76px;margin-top: 12px;margin-bottom: 0px;}
.p563{text-align: left;padding-left: 76px;margin-top: 36px;margin-bottom: 0px;}
.p564{text-align: justify;padding-left: 76px;padding-right: 133px;margin-top: 13px;margin-bottom: 0px;}
.p565{text-align: left;padding-left: 94px;margin-top: 0px;margin-bottom: 0px;}
.p566{text-align: justify;padding-left: 94px;padding-right: 132px;margin-top: 9px;margin-bottom: 0px;text-indent: -18px;}
.p567{text-align: justify;padding-left: 94px;padding-right: 133px;margin-top: 9px;margin-bottom: 0px;text-indent: -18px;}
.p568{text-align: left;padding-left: 76px;margin-top: 20px;margin-bottom: 0px;}
.p569{text-align: left;padding-left: 66px;padding-right: 112px;margin-top: 33px;margin-bottom: 0px;}
.p570{text-align: justify;padding-right: 132px;margin-top: 19px;margin-bottom: 0px;text-indent: 19px;}
.p571{text-align: left;padding-left: 337px;margin-top: 19px;margin-bottom: 0px;}
.p572{text-align: right;padding-right: 41px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p573{text-align: left;padding-left: 9px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p574{text-align: left;padding-left: 117px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p575{text-align: left;padding-left: 340px;margin-top: 38px;margin-bottom: 0px;}
.p576{text-align: left;padding-left: 297px;margin-top: 20px;margin-bottom: 0px;}
.p577{text-align: left;padding-left: 296px;margin-top: 49px;margin-bottom: 0px;}
.p578{text-align: left;padding-left: 150px;margin-top: 50px;margin-bottom: 0px;}
.p579{text-align: left;padding-left: 292px;margin-top: 7px;margin-bottom: 0px;}
.p580{text-align: left;padding-left: 319px;padding-right: 124px;margin-top: 6px;margin-bottom: 0px;text-indent: -249px;}
.p581{text-align: left;padding-left: 35px;margin-top: 23px;margin-bottom: 0px;}
.p582{text-align: left;padding-left: 35px;margin-top: 25px;margin-bottom: 0px;}
.p583{text-align: left;padding-left: 35px;margin-top: 24px;margin-bottom: 0px;}
.p584{text-align: justify;padding-left: 71px;padding-right: 90px;margin-top: 25px;margin-bottom: 0px;text-indent: -36px;}
.p585{text-align: justify;padding-left: 71px;padding-right: 90px;margin-top: 17px;margin-bottom: 0px;text-indent: -36px;}
.p586{text-align: justify;padding-left: 71px;padding-right: 85px;margin-top: 26px;margin-bottom: 0px;text-indent: -36px;}
.p587{text-align: justify;padding-left: 71px;padding-right: 85px;margin-top: 21px;margin-bottom: 0px;text-indent: -36px;}
.p588{text-align: left;padding-left: 35px;margin-top: 18px;margin-bottom: 0px;}
.p589{text-align: left;padding-left: 50px;padding-right: 85px;margin-top: 0px;margin-bottom: 0px;text-indent: -14px;}
.p590{text-align: justify;padding-left: 71px;padding-right: 85px;margin-top: 13px;margin-bottom: 0px;}
.p591{text-align: justify;padding-left: 71px;padding-right: 85px;margin-top: 35px;margin-bottom: 0px;text-indent: -36px;}
.p592{text-align: justify;padding-left: 71px;padding-right: 90px;margin-top: 31px;margin-bottom: 0px;text-indent: -36px;}
.p593{text-align: justify;padding-left: 35px;margin-top: 34px;margin-bottom: 0px;}
.p594{text-align: justify;padding-left: 71px;padding-right: 85px;margin-top: 0px;margin-bottom: 0px;}
.p595{text-align: justify;padding-left: 71px;padding-right: 85px;margin-top: 50px;margin-bottom: 0px;text-indent: -36px;}
.p596{text-align: left;padding-left: 50px;padding-right: 90px;margin-top: 16px;margin-bottom: 0px;text-indent: -14px;}
.p597{text-align: left;padding-left: 50px;padding-right: 90px;margin-top: 0px;margin-bottom: 0px;text-indent: -14px;}
.p598{text-align: justify;padding-left: 71px;padding-right: 90px;margin-top: 13px;margin-bottom: 0px;text-indent: -36px;}
.p599{text-align: justify;padding-left: 71px;padding-right: 85px;margin-top: 30px;margin-bottom: 0px;text-indent: -36px;}
.p600{text-align: justify;padding-left: 71px;padding-right: 85px;margin-top: 36px;margin-bottom: 0px;text-indent: -36px;}
.p601{text-align: justify;padding-left: 71px;padding-right: 85px;margin-top: 33px;margin-bottom: 0px;text-indent: -36px;}
.p602{text-align: justify;padding-left: 71px;padding-right: 85px;margin-top: 51px;margin-bottom: 0px;text-indent: -36px;}
.p603{text-align: left;padding-left: 71px;margin-top: 0px;margin-bottom: 0px;}
.p604{text-align: justify;padding-left: 71px;padding-right: 34px;margin-top: 12px;margin-bottom: 0px;}
.p605{text-align: justify;padding-left: 71px;padding-right: 29px;margin-top: 36px;margin-bottom: 0px;text-indent: -36px;}
.p606{text-align: justify;padding-left: 71px;padding-right: 29px;margin-top: 33px;margin-bottom: 0px;text-indent: -36px;}
.p607{text-align: justify;padding-left: 71px;padding-right: 29px;margin-top: 49px;margin-bottom: 0px;text-indent: -36px;}
.p608{text-align: justify;padding-left: 71px;padding-right: 34px;margin-top: 42px;margin-bottom: 0px;text-indent: -36px;}
.p609{text-align: justify;padding-left: 71px;padding-right: 29px;margin-top: 13px;margin-bottom: 0px;text-indent: -36px;}
.p610{text-align: justify;padding-left: 71px;padding-right: 29px;margin-top: 35px;margin-bottom: 0px;text-indent: -36px;}
.p611{text-align: justify;padding-left: 71px;padding-right: 29px;margin-top: 34px;margin-bottom: 0px;text-indent: -36px;}
.p612{text-align: justify;padding-left: 71px;padding-right: 29px;margin-top: 26px;margin-bottom: 0px;text-indent: -36px;}
.p613{text-align: justify;padding-left: 71px;padding-right: 34px;margin-top: 39px;margin-bottom: 0px;text-indent: -36px;}
.p614{text-align: justify;padding-left: 71px;padding-right: 34px;margin-top: 25px;margin-bottom: 0px;text-indent: -36px;}
.p615{text-align: justify;padding-left: 71px;padding-right: 29px;margin-top: 31px;margin-bottom: 0px;text-indent: -36px;}
.p616{text-align: justify;padding-left: 71px;padding-right: 34px;margin-top: 8px;margin-bottom: 0px;text-indent: -36px;}
.p617{text-align: justify;padding-left: 71px;padding-right: 29px;margin-top: 38px;margin-bottom: 0px;text-indent: -36px;}
.p618{text-align: justify;padding-left: 71px;padding-right: 29px;margin-top: 37px;margin-bottom: 0px;text-indent: -36px;}
.p619{text-align: justify;padding-left: 71px;padding-right: 34px;margin-top: 38px;margin-bottom: 0px;text-indent: -36px;}
.p620{text-align: justify;padding-left: 71px;padding-right: 34px;margin-top: 0px;margin-bottom: 0px;}
.p621{text-align: left;padding-left: 50px;padding-right: 34px;margin-top: 14px;margin-bottom: 0px;text-indent: -14px;}
.p622{text-align: justify;padding-left: 71px;padding-right: 29px;margin-top: 45px;margin-bottom: 0px;text-indent: -36px;}
.p623{text-align: justify;padding-left: 71px;padding-right: 34px;margin-top: 50px;margin-bottom: 0px;text-indent: -36px;}
.p624{text-align: justify;padding-left: 71px;padding-right: 34px;margin-top: 52px;margin-bottom: 0px;text-indent: -36px;}
.p625{text-align: justify;padding-left: 71px;padding-right: 29px;margin-top: 41px;margin-bottom: 0px;text-indent: -36px;}
.p626{text-align: justify;padding-left: 71px;padding-right: 34px;margin-top: 41px;margin-bottom: 0px;text-indent: -36px;}
.p627{text-align: justify;padding-left: 71px;padding-right: 34px;margin-top: 13px;margin-bottom: 0px;text-indent: -36px;}
.p628{text-align: justify;padding-left: 71px;padding-right: 29px;margin-top: 0px;margin-bottom: 0px;}
.p629{text-align: justify;padding-left: 71px;padding-right: 34px;margin-top: 35px;margin-bottom: 0px;text-indent: -36px;}
.p630{text-align: left;padding-left: 71px;padding-right: 34px;margin-top: 1px;margin-bottom: 0px;}
.p631{text-align: justify;padding-left: 71px;padding-right: 34px;margin-top: 32px;margin-bottom: 0px;text-indent: -36px;}
.p632{text-align: justify;padding-left: 71px;padding-right: 34px;margin-top: 24px;margin-bottom: 0px;text-indent: -36px;}
.p633{text-align: justify;padding-left: 71px;padding-right: 34px;margin-top: 36px;margin-bottom: 0px;text-indent: -36px;}
.p634{text-align: justify;padding-left: 71px;padding-right: 29px;margin-top: 30px;margin-bottom: 0px;text-indent: -36px;}
.p635{text-align: justify;padding-left: 71px;padding-right: 29px;margin-top: 13px;margin-bottom: 0px;}
.p636{text-align: justify;padding-left: 71px;padding-right: 29px;margin-top: 43px;margin-bottom: 0px;text-indent: -36px;}
.p637{text-align: justify;padding-left: 50px;padding-right: 34px;margin-top: 11px;margin-bottom: 0px;text-indent: -14px;}
.p638{text-align: justify;padding-left: 50px;padding-right: 29px;margin-top: 6px;margin-bottom: 0px;text-indent: -14px;}
.p639{text-align: justify;padding-left: 71px;padding-right: 85px;margin-top: 24px;margin-bottom: 0px;text-indent: -36px;}
.p640{text-align: justify;padding-left: 71px;padding-right: 90px;margin-top: 30px;margin-bottom: 0px;text-indent: -36px;}
.p641{text-align: left;padding-left: 35px;margin-top: 49px;margin-bottom: 0px;}
.p642{text-align: left;padding-left: 319px;margin-top: 19px;margin-bottom: 0px;}
.p643{text-align: left;padding-left: 267px;margin-top: 17px;margin-bottom: 0px;}
.p644{text-align: left;padding-left: 321px;margin-top: 29px;margin-bottom: 0px;}
.p645{text-align: left;padding-left: 260px;margin-top: 27px;margin-bottom: 0px;}
.p646{text-align: justify;padding-left: 35px;padding-right: 90px;margin-top: 28px;margin-bottom: 0px;}
.p647{text-align: justify;padding-left: 35px;margin-top: 26px;margin-bottom: 0px;}
.p648{text-align: justify;padding-left: 51px;padding-right: 90px;margin-top: 18px;margin-bottom: 0px;text-indent: -16px;}
.p649{text-align: justify;padding-left: 51px;padding-right: 90px;margin-top: 15px;margin-bottom: 0px;text-indent: -16px;}
.p650{text-align: justify;padding-left: 51px;padding-right: 90px;margin-top: 16px;margin-bottom: 0px;text-indent: -16px;}
.p651{text-align: left;padding-left: 50px;padding-right: 90px;margin-top: 10px;margin-bottom: 0px;text-indent: -14px;}
.p652{text-align: left;padding-left: 35px;margin-top: 0px;margin-bottom: 0px;}
.p653{text-align: justify;padding-left: 51px;padding-right: 90px;margin-top: 13px;margin-bottom: 0px;text-indent: -16px;}
.p654{text-align: right;padding-right: 6px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p655{text-align: left;padding-left: 3px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p656{text-align: justify;padding-left: 35px;padding-right: 90px;margin-top: 25px;margin-bottom: 0px;}
.p657{text-align: justify;padding-left: 35px;padding-right: 85px;margin-top: 23px;margin-bottom: 0px;}
.p658{text-align: justify;padding-left: 35px;padding-right: 90px;margin-top: 20px;margin-bottom: 0px;}
.p659{text-align: justify;padding-left: 35px;padding-right: 85px;margin-top: 25px;margin-bottom: 0px;}
.p660{text-align: left;padding-left: 321px;margin-top: 51px;margin-bottom: 0px;}
.p661{text-align: left;padding-left: 257px;margin-top: 25px;margin-bottom: 0px;}
.p662{text-align: left;padding-left: 282px;margin-top: 25px;margin-bottom: 0px;}
.p663{text-align: justify;padding-left: 35px;padding-right: 90px;margin-top: 26px;margin-bottom: 0px;}
.p664{text-align: justify;padding-left: 50px;padding-right: 90px;margin-top: 10px;margin-bottom: 0px;text-indent: -14px;}
.p665{text-align: justify;padding-left: 50px;padding-right: 85px;margin-top: 0px;margin-bottom: 0px;text-indent: -14px;}
.p666{text-align: justify;padding-left: 50px;padding-right: 90px;margin-top: 0px;margin-bottom: 0px;text-indent: -14px;}
.p667{text-align: left;padding-left: 321px;margin-top: 13px;margin-bottom: 0px;}
.p668{text-align: left;padding-left: 308px;margin-top: 28px;margin-bottom: 0px;}
.p669{text-align: left;padding-left: 35px;margin-top: 28px;margin-bottom: 0px;}
.p670{text-align: justify;padding-left: 42px;margin-top: 18px;margin-bottom: 0px;}
.p671{text-align: justify;padding-left: 58px;margin-top: 18px;margin-bottom: 0px;}
.p672{text-align: justify;padding-left: 74px;padding-right: 90px;margin-top: 18px;margin-bottom: 0px;text-indent: -16px;}
.p673{text-align: justify;padding-left: 74px;padding-right: 90px;margin-top: 16px;margin-bottom: 0px;text-indent: -16px;}
.p674{text-align: justify;padding-left: 58px;padding-right: 90px;margin-top: 14px;margin-bottom: 0px;text-indent: -16px;}
.p675{text-align: justify;padding-left: 58px;padding-right: 90px;margin-top: 18px;margin-bottom: 0px;text-indent: -16px;}
.p676{text-align: justify;padding-left: 58px;padding-right: 90px;margin-top: 16px;margin-bottom: 0px;text-indent: -16px;}
.p677{text-align: justify;padding-left: 42px;margin-top: 16px;margin-bottom: 0px;}
.p678{text-align: left;padding-left: 58px;padding-right: 90px;margin-top: 16px;margin-bottom: 0px;text-indent: -15px;}
.p679{text-align: justify;padding-left: 58px;padding-right: 90px;margin-top: 15px;margin-bottom: 0px;text-indent: -23px;}
.p680{text-align: justify;padding-left: 35px;margin-top: 17px;margin-bottom: 0px;}
.p681{text-align: justify;padding-left: 35px;margin-top: 18px;margin-bottom: 0px;}
.p682{text-align: justify;padding-left: 58px;padding-right: 85px;margin-top: 18px;margin-bottom: 0px;text-indent: -23px;}
.p683{text-align: justify;padding-left: 58px;padding-right: 90px;margin-top: 20px;margin-bottom: 0px;text-indent: -23px;}
.p684{text-align: left;padding-left: 14px;margin-top: 0px;margin-bottom: 0px;text-indent: -14px;}
.p685{text-align: justify;padding-left: 35px;margin-top: 13px;margin-bottom: 0px;}
.p686{text-align: justify;padding-left: 58px;padding-right: 90px;margin-top: 16px;margin-bottom: 0px;text-indent: -23px;}
.p687{text-align: justify;padding-left: 58px;padding-right: 90px;margin-top: 10px;margin-bottom: 0px;text-indent: -23px;}
.p688{text-align: justify;padding-left: 35px;margin-top: 16px;margin-bottom: 0px;}
.p689{text-align: left;padding-left: 190px;margin-top: 24px;margin-bottom: 0px;}
.p690{text-align: justify;padding-left: 35px;margin-top: 23px;margin-bottom: 0px;}
.p691{text-align: justify;padding-left: 35px;margin-top: 14px;margin-bottom: 0px;}
.p692{text-align: justify;padding-left: 35px;padding-right: 90px;margin-top: 16px;margin-bottom: 0px;}
.p693{text-align: justify;padding-left: 35px;padding-right: 90px;margin-top: 22px;margin-bottom: 0px;}
.p694{text-align: justify;padding-left: 35px;padding-right: 90px;margin-top: 21px;margin-bottom: 0px;}
.p695{text-align: justify;padding-left: 35px;padding-right: 90px;margin-top: 23px;margin-bottom: 0px;}
.p696{text-align: justify;padding-left: 35px;padding-right: 85px;margin-top: 20px;margin-bottom: 0px;}
.p697{text-align: left;padding-left: 35px;margin-top: 14px;margin-bottom: 0px;}
.p698{text-align: justify;padding-left: 51px;padding-right: 90px;margin-top: 19px;margin-bottom: 0px;text-indent: -16px;}
.p699{text-align: justify;padding-left: 51px;padding-right: 90px;margin-top: 17px;margin-bottom: 0px;text-indent: -16px;}
.p700{text-align: left;padding-left: 35px;padding-right: 85px;margin-top: 14px;margin-bottom: 0px;}
.p701{text-align: left;padding-left: 321px;margin-top: 60px;margin-bottom: 0px;}
.p702{text-align: left;padding-left: 288px;margin-top: 29px;margin-bottom: 0px;}
.p703{text-align: left;padding-left: 35px;padding-right: 90px;margin-top: 29px;margin-bottom: 0px;}
.p704{text-align: justify;padding-left: 35px;padding-right: 90px;margin-top: 17px;margin-bottom: 0px;}
.p705{text-align: left;padding-left: 317px;margin-top: 47px;margin-bottom: 0px;}
.p706{text-align: left;padding-left: 119px;margin-top: 19px;margin-bottom: 0px;}
.p707{text-align: left;padding-left: 161px;margin-top: 29px;margin-bottom: 0px;}
.p708{text-align: justify;padding-left: 51px;padding-right: 85px;margin-top: 13px;margin-bottom: 0px;text-indent: -16px;}
.p709{text-align: justify;padding-left: 35px;padding-right: 90px;margin-top: 15px;margin-bottom: 0px;}
.p710{text-align: justify;padding-left: 35px;padding-right: 90px;margin-top: 24px;margin-bottom: 0px;}
.p711{text-align: left;padding-left: 321px;margin-top: 49px;margin-bottom: 0px;}
.p712{text-align: left;padding-left: 170px;margin-top: 25px;margin-bottom: 0px;}
.p713{text-align: justify;padding-left: 35px;padding-right: 85px;margin-top: 26px;margin-bottom: 0px;}
.p714{text-align: justify;padding-left: 35px;margin-top: 24px;margin-bottom: 0px;}
.p715{text-align: left;padding-left: 35px;padding-right: 90px;margin-top: 0px;margin-bottom: 0px;}
.p716{text-align: justify;padding-left: 35px;padding-right: 85px;margin-top: 21px;margin-bottom: 0px;}
.p717{text-align: left;padding-left: 167px;margin-top: 21px;margin-bottom: 0px;}
.p718{text-align: left;padding-left: 35px;padding-right: 90px;margin-top: 19px;margin-bottom: 0px;}
.p719{text-align: justify;padding-left: 35px;padding-right: 90px;margin-top: 19px;margin-bottom: 0px;}
.p720{text-align: justify;padding-left: 35px;margin-top: 19px;margin-bottom: 0px;}
.p721{text-align: left;padding-left: 317px;margin-top: 44px;margin-bottom: 0px;}
.p722{text-align: left;padding-left: 266px;margin-top: 20px;margin-bottom: 0px;}
.p723{text-align: justify;padding-left: 35px;padding-right: 85px;margin-top: 22px;margin-bottom: 0px;}
.p724{text-align: justify;padding-left: 35px;padding-right: 90px;margin-top: 0px;margin-bottom: 0px;}
.p725{text-align: justify;padding-left: 35px;padding-right: 90px;margin-top: 18px;margin-bottom: 0px;}
.p726{text-align: left;padding-left: 316px;margin-top: 36px;margin-bottom: 0px;}
.p727{text-align: left;padding-left: 309px;margin-top: 13px;margin-bottom: 0px;}
.p728{text-align: left;padding-left: 317px;margin-top: 22px;margin-bottom: 0px;}
.p729{text-align: left;padding-left: 35px;margin-top: 13px;margin-bottom: 0px;}
.p730{text-align: justify;padding-left: 35px;margin-top: 31px;margin-bottom: 0px;}
.p731{text-align: left;padding-left: 35px;margin-top: 30px;margin-bottom: 0px;}
.p732{text-align: left;padding-left: 35px;margin-top: 31px;margin-bottom: 0px;}
.p733{text-align: justify;padding-left: 35px;margin-top: 30px;margin-bottom: 0px;}
.p734{text-align: justify;padding-left: 55px;padding-right: 90px;margin-top: 19px;margin-bottom: 0px;text-indent: -20px;}
.p735{text-align: justify;padding-left: 55px;padding-right: 85px;margin-top: 18px;margin-bottom: 0px;text-indent: -20px;}
.p736{text-align: justify;padding-left: 35px;margin-top: 20px;margin-bottom: 0px;}
.p737{text-align: justify;padding-left: 55px;padding-right: 90px;margin-top: 18px;margin-bottom: 0px;text-indent: -20px;}
.p738{text-align: justify;padding-left: 55px;padding-right: 90px;margin-top: 20px;margin-bottom: 0px;text-indent: -20px;}
.p739{text-align: left;padding-left: 35px;padding-right: 85px;margin-top: 20px;margin-bottom: 0px;}
.p740{text-align: justify;padding-left: 35px;padding-right: 90px;margin-top: 33px;margin-bottom: 0px;}
.p741{text-align: left;padding-left: 35px;padding-right: 90px;margin-top: 13px;margin-bottom: 0px;}
.p742{text-align: left;padding-left: 317px;margin-top: 48px;margin-bottom: 0px;}
.p743{text-align: left;padding-left: 302px;margin-top: 24px;margin-bottom: 0px;}
.p744{text-align: justify;padding-left: 51px;padding-right: 90px;margin-top: 14px;margin-bottom: 0px;text-indent: -16px;}
.p745{text-align: justify;padding-left: 35px;margin-top: 15px;margin-bottom: 0px;}
.p746{text-align: justify;padding-left: 51px;margin-top: 15px;margin-bottom: 0px;}
.p747{text-align: justify;padding-left: 51px;margin-top: 16px;margin-bottom: 0px;}
.p748{text-align: justify;padding-left: 71px;padding-right: 90px;margin-top: 15px;margin-bottom: 0px;text-indent: -20px;}
.p749{text-align: justify;padding-left: 35px;padding-right: 85px;margin-top: 13px;margin-bottom: 0px;}
.p750{text-align: left;padding-left: 317px;margin-top: 13px;margin-bottom: 0px;}
.p751{text-align: left;padding-left: 273px;margin-top: 22px;margin-bottom: 0px;}
.p752{text-align: left;padding-left: 315px;margin-top: 38px;margin-bottom: 0px;}
.p753{text-align: left;padding-left: 69px;margin-top: 14px;margin-bottom: 0px;}
.p754{text-align: left;padding-left: 261px;margin-top: 0px;margin-bottom: 0px;}
.p755{text-align: left;padding-left: 233px;margin-top: 22px;margin-bottom: 0px;}
.p756{text-align: justify;padding-left: 35px;padding-right: 90px;margin-top: 9px;margin-bottom: 0px;}
.p757{text-align: justify;padding-left: 35px;padding-right: 85px;margin-top: 19px;margin-bottom: 0px;}
.p758{text-align: left;padding-left: 256px;margin-top: 23px;margin-bottom: 0px;}
.p759{text-align: left;padding-left: 35px;padding-right: 90px;margin-top: 11px;margin-bottom: 0px;}
.p760{text-align: left;padding-left: 317px;margin-top: 39px;margin-bottom: 0px;}
.p761{text-align: left;padding-left: 287px;margin-top: 0px;margin-bottom: 0px;}
.p762{text-align: left;padding-left: 317px;margin-top: 23px;margin-bottom: 0px;}
.p763{text-align: left;padding-left: 233px;margin-top: 23px;margin-bottom: 0px;}
.p764{text-align: justify;padding-left: 35px;padding-right: 85px;margin-top: 24px;margin-bottom: 0px;}
.p765{text-align: left;padding-left: 35px;padding-right: 85px;margin-top: 16px;margin-bottom: 0px;}
.p766{text-align: justify;padding-left: 35px;padding-right: 90px;margin-top: 10px;margin-bottom: 0px;}
.p767{text-align: left;padding-left: 317px;margin-top: 50px;margin-bottom: 0px;}
.p768{text-align: left;padding-left: 260px;margin-top: 24px;margin-bottom: 0px;}
.p769{text-align: left;padding-left: 316px;margin-top: 39px;margin-bottom: 0px;}
.p770{text-align: left;padding-left: 204px;margin-top: 15px;margin-bottom: 0px;}
.p771{text-align: left;padding-left: 317px;margin-top: 25px;margin-bottom: 0px;}
.p772{text-align: left;padding-left: 299px;margin-top: 23px;margin-bottom: 0px;}
.p773{text-align: left;padding-left: 284px;margin-top: 23px;margin-bottom: 0px;}
.p774{text-align: left;padding-left: 314px;margin-top: 39px;margin-bottom: 0px;}
.p775{text-align: left;padding-left: 286px;margin-top: 14px;margin-bottom: 0px;}
.p776{text-align: left;padding-left: 317px;margin-top: 24px;margin-bottom: 0px;}
.p777{text-align: left;padding-left: 312px;margin-top: 23px;margin-bottom: 0px;}
.p778{text-align: left;padding-left: 286px;margin-top: 23px;margin-bottom: 0px;}
.p779{text-align: justify;padding-left: 35px;margin-top: 21px;margin-bottom: 0px;}
.p780{text-align: left;padding-left: 318px;margin-top: 23px;margin-bottom: 0px;}
.p781{text-align: left;padding-left: 275px;margin-top: 16px;margin-bottom: 0px;}
.p782{text-align: justify;padding-left: 35px;padding-right: 85px;margin-top: 12px;margin-bottom: 0px;}
.p783{text-align: justify;padding-left: 35px;padding-right: 90px;margin-top: 32px;margin-bottom: 0px;}
.p784{text-align: left;padding-left: 308px;margin-top: 16px;margin-bottom: 0px;}
.p785{text-align: left;padding-left: 35px;margin-top: 17px;margin-bottom: 0px;}
.p786{text-align: left;padding-left: 35px;padding-right: 90px;margin-top: 18px;margin-bottom: 0px;}
.p787{text-align: left;padding-left: 303px;margin-top: 16px;margin-bottom: 0px;}
.p788{text-align: left;padding-left: 313px;margin-top: 16px;margin-bottom: 0px;}
.p789{text-align: left;padding-left: 35px;margin-top: 44px;margin-bottom: 0px;}
.p790{text-align: center;padding-right: 134px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p791{text-align: center;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p792{text-align: left;padding-left: 76px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p793{text-align: left;padding-left: 320px;margin-top: 22px;margin-bottom: 0px;}
.p794{text-align: left;padding-left: 131px;padding-right: 124px;margin-top: 15px;margin-bottom: 0px;text-indent: -61px;}
.p795{text-align: left;padding-left: 35px;padding-right: 90px;margin-top: 23px;margin-bottom: 0px;}
.p796{text-align: justify;padding-left: 35px;margin-top: 11px;margin-bottom: 0px;}
.p797{text-align: justify;padding-left: 67px;padding-right: 90px;margin-top: 10px;margin-bottom: 0px;text-indent: -16px;}
.p798{text-align: justify;padding-left: 51px;margin-top: 12px;margin-bottom: 0px;}
.p799{text-align: justify;padding-left: 51px;margin-top: 13px;margin-bottom: 0px;}
.p800{text-align: justify;padding-left: 87px;padding-right: 90px;margin-top: 12px;margin-bottom: 0px;text-indent: -20px;}
.p801{text-align: justify;padding-left: 67px;margin-top: 10px;margin-bottom: 0px;}
.p802{text-align: justify;padding-left: 87px;padding-right: 90px;margin-top: 13px;margin-bottom: 0px;text-indent: -20px;}
.p803{text-align: justify;padding-left: 51px;margin-top: 10px;margin-bottom: 0px;}
.p804{text-align: justify;padding-left: 35px;margin-top: 12px;margin-bottom: 0px;}
.p805{text-align: justify;padding-left: 67px;margin-top: 12px;margin-bottom: 0px;}
.p806{text-align: justify;padding-left: 67px;margin-top: 11px;margin-bottom: 0px;}
.p807{text-align: justify;padding-left: 67px;padding-right: 90px;margin-top: 13px;margin-bottom: 0px;text-indent: -16px;}
.p808{text-align: right;padding-right: 34px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p809{text-align: right;padding-right: 11px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p810{text-align: left;padding-left: 54px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p811{text-align: left;padding-left: 7px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p812{text-align: center;padding-right: 89px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p813{text-align: center;padding-left: 27px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p814{text-align: right;padding-right: 54px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p815{text-align: left;padding-left: 26px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p816{text-align: right;padding-right: 4px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p817{text-align: left;padding-left: 5px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p818{text-align: left;padding-left: 13px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p819{text-align: left;padding-left: 28px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p820{text-align: right;padding-right: 7px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p821{text-align: left;padding-left: 74px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p822{text-align: left;padding-left: 46px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p823{text-align: left;padding-left: 372px;margin-top: 22px;margin-bottom: 0px;}
.p824{text-align: right;padding-right: 259px;margin-top: 15px;margin-bottom: 0px;}
.p825{text-align: justify;padding-left: 90px;margin-top: 25px;margin-bottom: 0px;}
.p826{text-align: justify;padding-left: 90px;margin-top: 12px;margin-bottom: 0px;}
.p827{text-align: justify;padding-left: 76px;padding-right: 132px;margin-top: 143px;margin-bottom: 0px;}
.p828{text-align: left;padding-left: 8px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p829{text-align: right;padding-right: 132px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p830{text-align: right;padding-right: 143px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p831{text-align: left;padding-left: 2px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p832{text-align: right;padding-right: 125px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p833{text-align: right;padding-right: 136px;margin-top: 0px;margin-bottom: 0px;white-space: nowrap;}
.p834{text-align: left;margin-top: 10px;margin-bottom: 0px;}
.p835{text-align: justify;padding-left: 6px;margin-top: 0px;margin-bottom: 0px;}
.p836{text-align: left;padding-left: 16px;padding-right: 25px;margin-top: 1px;margin-bottom: 0px;}
.p837{text-align: justify;padding-left: 6px;margin-top: 2px;margin-bottom: 0px;}
.p838{text-align: justify;padding-left: 16px;padding-right: 22px;margin-top: 3px;margin-bottom: 0px;text-indent: -10px;}
.p839{text-align: left;padding-left: 16px;padding-right: 49px;margin-top: 2px;margin-bottom: 0px;text-indent: -10px;}
.p840{text-align: left;padding-left: 16px;padding-right: 44px;margin-top: 1px;margin-bottom: 0px;text-indent: -10px;}
.p841{text-align: justify;padding-left: 5px;margin-top: 2px;margin-bottom: 0px;}
.p842{text-align: justify;padding-left: 16px;padding-right: 72px;margin-top: 2px;margin-bottom: 0px;text-indent: -9px;}
.p843{text-align: justify;padding-left: 16px;padding-right: 44px;margin-top: 2px;margin-bottom: 0px;}
.p844{text-align: left;padding-left: 16px;padding-right: 22px;margin-top: 2px;margin-bottom: 0px;text-indent: -10px;}
.p845{text-align: justify;padding-left: 16px;margin-top: 1px;margin-bottom: 0px;}
.p846{text-align: left;padding-left: 16px;padding-right: 26px;margin-top: 3px;margin-bottom: 0px;text-indent: -16px;}
.p847{text-align: justify;padding-left: 1px;margin-top: 2px;margin-bottom: 0px;}
.p848{text-align: justify;padding-left: 16px;padding-right: 54px;margin-top: 3px;margin-bottom: 0px;text-indent: -16px;}
.p849{text-align: justify;padding-left: 16px;padding-right: 44px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p850{text-align: justify;padding-left: 1px;margin-top: 1px;margin-bottom: 0px;}
.p851{text-align: justify;margin-top: 2px;margin-bottom: 0px;}
.p852{text-align: justify;margin-top: 3px;margin-bottom: 0px;}
.p853{text-align: justify;padding-left: 16px;padding-right: 20px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p854{text-align: justify;padding-left: 16px;padding-right: 33px;margin-top: 1px;margin-bottom: 0px;text-indent: -15px;}
.p855{text-align: justify;padding-left: 16px;margin-top: 2px;margin-bottom: 0px;}
.p856{text-align: left;padding-left: 16px;padding-right: 173px;margin-top: 0px;margin-bottom: 0px;text-indent: -16px;}
.p857{text-align: justify;padding-left: 16px;padding-right: 175px;margin-top: 1px;margin-bottom: 0px;text-indent: -15px;}
.p858{text-align: justify;padding-left: 16px;padding-right: 159px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p859{text-align: left;padding-left: 16px;padding-right: 158px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p860{text-align: justify;padding-left: 16px;padding-right: 227px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p861{text-align: justify;padding-left: 16px;padding-right: 180px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p862{text-align: justify;padding-left: 16px;padding-right: 187px;margin-top: 2px;margin-bottom: 0px;text-indent: -15px;}
.p863{text-align: left;padding-left: 16px;padding-right: 164px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p864{text-align: justify;padding-left: 16px;padding-right: 206px;margin-top: 3px;margin-bottom: 0px;text-indent: -16px;}
.p865{text-align: justify;padding-left: 16px;padding-right: 194px;margin-top: 1px;margin-bottom: 0px;}
.p866{text-align: left;padding-left: 16px;padding-right: 168px;margin-top: 3px;margin-bottom: 0px;text-indent: -16px;}
.p867{text-align: justify;padding-left: 16px;padding-right: 166px;margin-top: 0px;margin-bottom: 0px;text-indent: -16px;}
.p868{text-align: left;padding-left: 16px;padding-right: 170px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p869{text-align: justify;padding-left: 17px;padding-right: 46px;margin-top: 3px;margin-bottom: 0px;text-indent: -16px;}
.p870{text-align: left;padding-left: 17px;padding-right: 29px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p871{text-align: left;padding-left: 17px;padding-right: 33px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p872{text-align: left;padding-right: 16px;margin-top: 3px;margin-bottom: 0px;}
.p873{text-align: left;padding-left: 17px;padding-right: 59px;margin-top: 5px;margin-bottom: 0px;text-indent: -16px;}
.p874{text-align: left;padding-left: 17px;padding-right: 20px;margin-top: 3px;margin-bottom: 0px;text-indent: -16px;}
.p875{text-align: left;padding-left: 17px;padding-right: 20px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p876{text-align: left;padding-left: 17px;padding-right: 25px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p877{text-align: left;margin-top: 3px;margin-bottom: 0px;}
.p878{text-align: left;padding-left: 17px;padding-right: 34px;margin-top: 1px;margin-bottom: 0px;text-indent: -16px;}
.p879{text-align: left;padding-left: 17px;margin-top: 2px;margin-bottom: 0px;}
.p880{text-align: left;padding-left: 17px;padding-right: 64px;margin-top: 3px;margin-bottom: 0px;text-indent: -16px;}
.p881{text-align: left;padding-left: 17px;margin-top: 1px;margin-bottom: 0px;}
.p882{text-align: left;padding-left: 17px;padding-right: 15px;margin-top: 3px;margin-bottom: 0px;text-indent: -16px;}
.p883{text-align: left;margin-top: 4px;margin-bottom: 0px;}
.p884{text-align: left;padding-right: 48px;margin-top: 1px;margin-bottom: 0px;text-indent: 17px;}
.p885{text-align: left;padding-left: 17px;padding-right: 30px;margin-top: 3px;margin-bottom: 0px;text-indent: -16px;}
.p886{text-align: left;padding-left: 17px;padding-right: 105px;margin-top: 3px;margin-bottom: 0px;text-indent: -16px;}
.p887{text-align: left;padding-left: 17px;padding-right: 108px;margin-top: 1px;margin-bottom: 0px;text-indent: -16px;}
.p888{text-align: left;padding-left: 17px;padding-right: 135px;margin-top: 1px;margin-bottom: 0px;}
.p889{text-align: left;padding-left: 17px;padding-right: 99px;margin-top: 2px;margin-bottom: 0px;text-indent: -16px;}
.p890{text-align: left;padding-left: 17px;margin-top: 0px;margin-bottom: 0px;}
.p891{text-align: left;padding-left: 17px;padding-right: 169px;margin-top: 1px;margin-bottom: 0px;text-indent: -16px;}
.p892{text-align: left;padding-left: 17px;padding-right: 124px;margin-top: 3px;margin-bottom: 0px;text-indent: -16px;}
.p893{text-align: left;padding-left: 17px;padding-right: 105px;margin-top: 1px;margin-bottom: 0px;}
.p894{text-align: left;padding-right: 100px;margin-top: 1px;margin-bottom: 0px;text-indent: 17px;}
.p895{text-align: justify;padding-left: 17px;padding-right: 389px;margin-top: 0px;margin-bottom: 0px;text-indent: -16px;}
.p896{text-align: left;padding-left: 17px;padding-right: 401px;margin-top: 1px;margin-bottom: 0px;}
.td0{padding: 0px;margin: 0px;width: 396px;vertical-align: bottom;}
.td1{padding: 0px;margin: 0px;width: 19px;vertical-align: bottom;}
.td2{padding: 0px;margin: 0px;width: 23px;vertical-align: bottom;}
.td3{padding: 0px;margin: 0px;width: 373px;vertical-align: bottom;}
.td4{padding: 0px;margin: 0px;width: 363px;vertical-align: bottom;}
.td5{padding: 0px;margin: 0px;width: 15px;vertical-align: bottom;}
.td6{padding: 0px;margin: 0px;width: 379px;vertical-align: bottom;}
.td7{padding: 0px;margin: 0px;width: 18px;vertical-align: bottom;}
.td8{padding: 0px;margin: 0px;width: 62px;vertical-align: bottom;}
.td9{padding: 0px;margin: 0px;width: 317px;vertical-align: bottom;}
.td10{padding: 0px;margin: 0px;width: 306px;vertical-align: bottom;}
.td11{padding: 0px;margin: 0px;width: 415px;vertical-align: bottom;}
.td12{padding: 0px;margin: 0px;width: 67px;vertical-align: bottom;}
.td13{padding: 0px;margin: 0px;width: 43px;vertical-align: bottom;}
.td14{padding: 0px;margin: 0px;width: 319px;vertical-align: bottom;}
.td15{padding: 0px;margin: 0px;width: 16px;vertical-align: bottom;}
.td16{padding: 0px;margin: 0px;width: 305px;vertical-align: bottom;}
.td17{padding: 0px;margin: 0px;width: 0px;vertical-align: bottom;}
.td18{padding: 0px;margin: 0px;width: 375px;vertical-align: bottom;}
.td19{padding: 0px;margin: 0px;width: 22px;vertical-align: bottom;}
.td20{padding: 0px;margin: 0px;width: 313px;vertical-align: bottom;}
.td21{padding: 0px;margin: 0px;width: -3px;vertical-align: bottom;}
.td22{padding: 0px;margin: 0px;width: 27px;vertical-align: bottom;}
.td23{padding: 0px;margin: 0px;width: 370px;vertical-align: bottom;}
.td24{padding: 0px;margin: 0px;width: 312px;vertical-align: bottom;}
.td25{padding: 0px;margin: 0px;width: 374px;vertical-align: bottom;}
.td26{padding: 0px;margin: 0px;width: 81px;vertical-align: bottom;}
.td27{padding: 0px;margin: 0px;width: 311px;vertical-align: bottom;}
.td28{padding: 0px;margin: 0px;width: 24px;vertical-align: bottom;}
.td29{padding: 0px;margin: 0px;width: 392px;vertical-align: bottom;}
.td30{padding: 0px;margin: 0px;width: 308px;vertical-align: bottom;}
.td31{padding: 0px;margin: 0px;width: 26px;vertical-align: bottom;}
.td32{padding: 0px;margin: 0px;width: 366px;vertical-align: bottom;}
.td33{padding: 0px;margin: 0px;width: 85px;vertical-align: bottom;}
.td34{padding: 0px;margin: 0px;width: 393px;vertical-align: bottom;}
.td35{padding: 0px;margin: 0px;width: 59px;vertical-align: bottom;}
.td36{padding: 0px;margin: 0px;width: 304px;vertical-align: bottom;}
.td37{padding: 0px;margin: 0px;width: 354px;vertical-align: bottom;}
.td38{padding: 0px;margin: 0px;width: 449px;vertical-align: bottom;}
.td39{padding: 0px;margin: 0px;width: 38px;vertical-align: bottom;}
.td40{padding: 0px;margin: 0px;width: 298px;vertical-align: bottom;}
.td41{padding: 0px;margin: 0px;width: 388px;vertical-align: bottom;}
.td42{padding: 0px;margin: 0px;width: 32px;vertical-align: bottom;}
.td43{padding: 0px;margin: 0px;width: 357px;vertical-align: bottom;}
.td44{padding: 0px;margin: 0px;width: 68px;vertical-align: bottom;}
.td45{padding: 0px;margin: 0px;width: 325px;vertical-align: bottom;}
.td46{padding: 0px;margin: 0px;width: 410px;vertical-align: bottom;}
.td47{padding: 0px;margin: 0px;width: 77px;vertical-align: bottom;}
.td48{padding: 0px;margin: 0px;width: 206px;vertical-align: bottom;}
.td49{padding: 0px;margin: 0px;width: 211px;vertical-align: bottom;}
.td50{padding: 0px;margin: 0px;width: 141px;vertical-align: bottom;}
.td51{padding: 0px;margin: 0px;width: 400px;vertical-align: bottom;}
.td52{padding: 0px;margin: 0px;width: 87px;vertical-align: bottom;}
.td53{padding: 0px;margin: 0px;width: 202px;vertical-align: bottom;}
.td54{padding: 0px;margin: 0px;width: 212px;vertical-align: bottom;}
.td55{padding: 0px;margin: 0px;width: 215px;vertical-align: bottom;}
.td56{padding: 0px;margin: 0px;width: 153px;vertical-align: bottom;}
.td57{padding: 0px;margin: 0px;width: 332px;vertical-align: bottom;}
.td58{padding: 0px;margin: 0px;width: 155px;vertical-align: bottom;}
.td59{padding: 0px;margin: 0px;width: 422px;vertical-align: bottom;}
.td60{padding: 0px;margin: 0px;width: 65px;vertical-align: bottom;}
.td61{padding: 0px;margin: 0px;width: 117px;vertical-align: bottom;}
.td62{padding: 0px;margin: 0px;width: 356px;vertical-align: bottom;}
.td63{padding: 0px;margin: 0px;width: 131px;vertical-align: bottom;}
.td64{padding: 0px;margin: 0px;width: 183px;vertical-align: bottom;}
.td65{padding: 0px;margin: 0px;width: 291px;vertical-align: bottom;}
.td66{padding: 0px;margin: 0px;width: 196px;vertical-align: bottom;}
.td67{padding: 0px;margin: 0px;width: 457px;vertical-align: bottom;}
.td68{padding: 0px;margin: 0px;width: 30px;vertical-align: bottom;}
.td69{padding: 0px;margin: 0px;width: 140px;vertical-align: bottom;}
.td70{padding: 0px;margin: 0px;width: 360px;vertical-align: bottom;}
.td71{padding: 0px;margin: 0px;width: 127px;vertical-align: bottom;}
.td72{padding: 0px;margin: 0px;width: 340px;vertical-align: bottom;}
.td73{padding: 0px;margin: 0px;width: 147px;vertical-align: bottom;}
.td74{padding: 0px;margin: 0px;width: 218px;vertical-align: bottom;}
.td75{padding: 0px;margin: 0px;width: 269px;vertical-align: bottom;}
.td76{padding: 0px;margin: 0px;width: 443px;vertical-align: bottom;}
.td77{padding: 0px;margin: 0px;width: 44px;vertical-align: bottom;}
.td78{padding: 0px;margin: 0px;width: 404px;vertical-align: bottom;}
.td79{padding: 0px;margin: 0px;width: 83px;vertical-align: bottom;}
.td80{padding: 0px;margin: 0px;width: 108px;vertical-align: bottom;}
.td81{padding: 0px;margin: 0px;width: 448px;vertical-align: bottom;}
.td82{padding: 0px;margin: 0px;width: 39px;vertical-align: bottom;}
.td83{border-right: #000000 1px solid;padding: 0px;margin: 0px;width: 95px;vertical-align: bottom;}
.td84{border-right: #000000 1px solid;border-top: #000000 1px solid;border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 32px;vertical-align: bottom;}
.td85{padding: 0px;margin: 0px;width: 513px;vertical-align: bottom;}
.td86{padding: 0px;margin: 0px;width: 41px;vertical-align: bottom;}
.td87{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 96px;vertical-align: bottom;}
.td88{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 33px;vertical-align: bottom;}
.td89{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 513px;vertical-align: bottom;}
.td90{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 41px;vertical-align: bottom;}
.td91{padding: 0px;margin: 0px;width: 150px;vertical-align: bottom;}
.td92{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 404px;vertical-align: bottom;}
.td93{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 150px;vertical-align: bottom;}
.td94{padding: 0px;margin: 0px;width: 506px;vertical-align: bottom;}
.td95{padding: 0px;margin: 0px;width: 48px;vertical-align: bottom;}
.td96{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 506px;vertical-align: bottom;}
.td97{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 48px;vertical-align: bottom;}
.td98{padding: 0px;margin: 0px;width: 25px;vertical-align: bottom;}
.td99{padding: 0px;margin: 0px;width: 264px;vertical-align: bottom;}
.td100{padding: 0px;margin: 0px;width: 50px;vertical-align: bottom;}
.td101{padding: 0px;margin: 0px;width: 17px;vertical-align: bottom;}
.td102{padding: 0px;margin: 0px;width: 34px;vertical-align: bottom;}
.td103{padding: 0px;margin: 0px;width: 86px;vertical-align: bottom;}
.td104{padding: 0px;margin: 0px;width: 20px;vertical-align: bottom;}
.td105{padding: 0px;margin: 0px;width: 594px;vertical-align: bottom;}
.td106{padding: 0px;margin: 0px;width: 267px;vertical-align: bottom;}
.td107{padding: 0px;margin: 0px;width: 76px;vertical-align: bottom;}
.td108{padding: 0px;margin: 0px;width: 128px;vertical-align: bottom;}
.td109{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 34px;vertical-align: bottom;}
.td110{padding: 0px;margin: 0px;width: 88px;vertical-align: bottom;}
.td111{border-right: #000000 1px solid;padding: 0px;margin: 0px;width: 7px;vertical-align: bottom;}
.td112{padding: 0px;margin: 0px;width: 272px;vertical-align: bottom;}
.td113{padding: 0px;margin: 0px;width: 55px;vertical-align: bottom;}
.td114{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 35px;vertical-align: bottom;}
.td115{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 13px;vertical-align: bottom;}
.td116{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 40px;vertical-align: bottom;}
.td117{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 8px;vertical-align: bottom;}
.td118{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 43px;vertical-align: bottom;}
.td119{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 20px;vertical-align: bottom;}
.td120{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 116px;vertical-align: bottom;}
.td121{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 24px;vertical-align: bottom;}
.td122{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 132px;vertical-align: bottom;}
.td123{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 55px;vertical-align: bottom;}
.td124{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 32px;vertical-align: bottom;}
.td125{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 21px;vertical-align: bottom;}
.td126{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 1px;vertical-align: bottom;}
.td127{padding: 0px;margin: 0px;width: 35px;vertical-align: bottom;}
.td128{padding: 0px;margin: 0px;width: 13px;vertical-align: bottom;}
.td129{padding: 0px;margin: 0px;width: 40px;vertical-align: bottom;}
.td130{padding: 0px;margin: 0px;width: 8px;vertical-align: bottom;}
.td131{padding: 0px;margin: 0px;width: 33px;vertical-align: bottom;}
.td132{padding: 0px;margin: 0px;width: 116px;vertical-align: bottom;}
.td133{padding: 0px;margin: 0px;width: 156px;vertical-align: bottom;}
.td134{padding: 0px;margin: 0px;width: 21px;vertical-align: bottom;}
.td135{padding: 0px;margin: 0px;width: 1px;vertical-align: bottom;}
.td136{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 221px;vertical-align: bottom;}
.td137{border-right: #000000 1px solid;padding: 0px;margin: 0px;width: 83px;vertical-align: bottom;}
.td138{border-right: #000000 1px solid;padding: 0px;margin: 0px;width: 115px;vertical-align: bottom;}
.td139{padding: 0px;margin: 0px;width: 221px;vertical-align: bottom;}
.td140{border-right: #000000 1px solid;border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 42px;vertical-align: bottom;}
.td141{border-right: #000000 1px solid;border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 115px;vertical-align: bottom;}
.td142{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 317px;vertical-align: bottom;}
.td143{border-right: #000000 1px solid;padding: 0px;margin: 0px;width: 42px;vertical-align: bottom;}
.td144{padding: 0px;margin: 0px;width: 351px;vertical-align: bottom;}
.td145{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 64px;vertical-align: bottom;}
.td146{padding: 0px;margin: 0px;width: 98px;vertical-align: bottom;}
.td147{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 166px;vertical-align: bottom;}
.td148{padding: 0px;margin: 0px;width: 166px;vertical-align: bottom;}
.td149{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 190px;vertical-align: bottom;}
.td150{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 151px;vertical-align: bottom;}
.td151{padding: 0px;margin: 0px;width: 190px;vertical-align: bottom;}
.td152{padding: 0px;margin: 0px;width: 185px;vertical-align: bottom;}
.td153{padding: 0px;margin: 0px;width: 132px;vertical-align: bottom;}
.td154{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 341px;vertical-align: bottom;}
.td155{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 89px;vertical-align: bottom;}
.td156{padding: 0px;margin: 0px;width: 89px;vertical-align: bottom;}
.td157{border-right: #000000 1px solid;padding: 0px;margin: 0px;width: 123px;vertical-align: bottom;}
.td158{padding: 0px;margin: 0px;width: 296px;vertical-align: bottom;}
.td159{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 253px;vertical-align: bottom;}
.td160{padding: 0px;margin: 0px;width: 253px;vertical-align: bottom;}
.td161{padding: 0px;margin: 0px;width: 75px;vertical-align: bottom;}
.td162{padding: 0px;margin: 0px;width: 51px;vertical-align: bottom;}
.td163{border-right: #000000 1px solid;padding: 0px;margin: 0px;width: 44px;vertical-align: bottom;}
.td164{padding: 0px;margin: 0px;width: 377px;vertical-align: bottom;}
.td165{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 16px;vertical-align: bottom;}
.td166{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 45px;vertical-align: bottom;}
.td167{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 26px;vertical-align: bottom;}
.td168{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 90px;vertical-align: bottom;}
.td169{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 263px;vertical-align: bottom;}
.td170{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 54px;vertical-align: bottom;}
.td171{border-right: #000000 1px solid;padding: 0px;margin: 0px;width: 120px;vertical-align: bottom;}
.td172{border-right: #000000 1px solid;padding: 0px;margin: 0px;width: 89px;vertical-align: bottom;}
.td173{padding: 0px;margin: 0px;width: 263px;vertical-align: bottom;}
.td174{padding: 0px;margin: 0px;width: 54px;vertical-align: bottom;}
.td175{border-right: #000000 1px solid;border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 89px;vertical-align: bottom;}
.td176{padding: 0px;margin: 0px;width: 45px;vertical-align: bottom;}
.td177{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 287px;vertical-align: bottom;}
.td178{padding: 0px;margin: 0px;width: 287px;vertical-align: bottom;}
.td179{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 61px;vertical-align: bottom;}
.td180{border-right: #000000 1px solid;padding: 0px;margin: 0px;width: 136px;vertical-align: bottom;}
.td181{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 46px;vertical-align: bottom;}
.td182{padding: 0px;margin: 0px;width: 46px;vertical-align: bottom;}
.td183{border-right: #000000 1px solid;padding: 0px;margin: 0px;width: 135px;vertical-align: bottom;}
.td184{border-right: #000000 1px solid;padding: 0px;margin: 0px;width: 41px;vertical-align: bottom;}
.td185{padding: 0px;margin: 0px;width: 463px;vertical-align: bottom;}
.td186{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 14px;vertical-align: bottom;}
.td187{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 4px;vertical-align: bottom;}
.td188{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 42px;vertical-align: bottom;}
.td189{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 136px;vertical-align: bottom;}
.td190{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 303px;vertical-align: bottom;}
.td191{padding: 0px;margin: 0px;width: 14px;vertical-align: bottom;}
.td192{padding: 0px;margin: 0px;width: 4px;vertical-align: bottom;}
.td193{border-right: #000000 1px solid;padding: 0px;margin: 0px;width: 117px;vertical-align: bottom;}
.td194{padding: 0px;margin: 0px;width: 303px;vertical-align: bottom;}
.td195{padding: 0px;margin: 0px;width: 36px;vertical-align: bottom;}
.td196{border-right: #000000 1px solid;border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 135px;vertical-align: bottom;}
.td197{border-right: #000000 1px solid;padding: 0px;margin: 0px;width: 121px;vertical-align: bottom;}
.td198{padding: 0px;margin: 0px;width: 42px;vertical-align: bottom;}
.td199{padding: 0px;margin: 0px;width: 327px;vertical-align: bottom;}
.td200{padding: 0px;margin: 0px;width: 629px;vertical-align: bottom;}
.td201{padding: 0px;margin: 0px;width: 581px;vertical-align: bottom;}
.td202{padding: 0px;margin: 0px;width: 278px;vertical-align: bottom;}
.td203{padding: 0px;margin: 0px;width: 118px;vertical-align: bottom;}
.td204{padding: 0px;margin: 0px;width: 136px;vertical-align: bottom;}
.td205{border-left: #000000 1px solid;border-right: #000000 1px solid;border-top: #000000 1px solid;padding: 0px;margin: 0px;width: 158px;vertical-align: bottom;background: #d9d9d9;}
.td206{border-right: #000000 1px solid;border-top: #000000 1px solid;padding: 0px;margin: 0px;width: 266px;vertical-align: bottom;background: #d9d9d9;}
.td207{border-left: #000000 1px solid;border-right: #000000 1px solid;border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 158px;vertical-align: bottom;background: #d9d9d9;}
.td208{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 17px;vertical-align: bottom;background: #d9d9d9;}
.td209{border-right: #000000 1px solid;border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 249px;vertical-align: bottom;background: #d9d9d9;}
.td210{border-left: #000000 1px solid;border-right: #000000 1px solid;padding: 0px;margin: 0px;width: 158px;vertical-align: bottom;}
.td211{border-right: #000000 1px solid;padding: 0px;margin: 0px;width: 249px;vertical-align: bottom;}
.td212{border-left: #000000 1px solid;border-right: #000000 1px solid;border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 158px;vertical-align: bottom;}
.td213{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 17px;vertical-align: bottom;}
.td214{border-right: #000000 1px solid;border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 249px;vertical-align: bottom;}
.td215{border-right: #000000 1px solid;border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 266px;vertical-align: bottom;}
.td216{border-right: #000000 1px solid;padding: 0px;margin: 0px;width: 266px;vertical-align: bottom;}
.td217{border-left: #000000 1px solid;border-right: #000000 1px solid;border-top: #000000 1px solid;padding: 0px;margin: 0px;width: 158px;vertical-align: bottom;}
.td218{border-top: #000000 1px solid;padding: 0px;margin: 0px;width: 17px;vertical-align: bottom;}
.td219{border-top: #000000 1px solid;padding: 0px;margin: 0px;width: 5px;vertical-align: bottom;}
.td220{border-right: #000000 1px solid;border-top: #000000 1px solid;padding: 0px;margin: 0px;width: 243px;vertical-align: bottom;}
.td221{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 22px;vertical-align: bottom;}
.td222{border-right: #000000 1px solid;border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 243px;vertical-align: bottom;}
.td223{border-right: #000000 1px solid;padding: 0px;margin: 0px;width: 243px;vertical-align: bottom;}
.td224{border-right: #000000 1px solid;border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 248px;vertical-align: bottom;}
.td225{border-right: #000000 1px solid;padding: 0px;margin: 0px;width: 248px;vertical-align: bottom;}
.td226{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 5px;vertical-align: bottom;}
.td227{padding: 0px;margin: 0px;width: 5px;vertical-align: bottom;}
.td228{border-right: #000000 1px solid;padding: 0px;margin: 0px;width: 265px;vertical-align: bottom;}
.td229{border-right: #000000 1px solid;border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 265px;vertical-align: bottom;}
.td230{border-right: #000000 1px solid;border-top: #000000 1px solid;padding: 0px;margin: 0px;width: 249px;vertical-align: bottom;}
.td231{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 23px;vertical-align: bottom;}
.td232{border-bottom: #000000 1px solid;padding: 0px;margin: 0px;width: 6px;vertical-align: bottom;}
.td233{padding: 0px;margin: 0px;width: 6px;vertical-align: bottom;}
.td234{border-right: #000000 1px solid;border-top: #000000 1px solid;padding: 0px;margin: 0px;width: 265px;vertical-align: bottom;}
.tr0{height: 21px;}
.tr1{height: 38px;}
.tr2{height: 18px;}
.tr3{height: 19px;}
.tr4{height: 37px;}
.tr5{height: 28px;}
.tr6{height: 27px;}
.tr7{height: 14px;}
.tr8{height: 244px;}
.tr9{height: 0px;}
.tr10{height: 646px;}
.tr11{height: 252px;}
.tr12{height: 22px;}
.tr13{height: 708px;}
.tr14{height: 227px;}
.tr15{height: 26px;}
.tr16{height: 23px;}
.tr17{height: 17px;}
.tr18{height: 15px;}
.tr19{height: 4px;}
.tr20{height: 16px;}
.tr21{height: 32px;}
.tr22{height: 35px;}
.tr23{height: 34px;}
.tr24{height: 36px;}
.tr25{height: 29px;}
.tr26{height: 7px;}
.tr27{height: 6px;}
.tr28{height: 13px;}
.tr29{height: 11px;}
.tr30{height: 10px;}
.tr31{height: 25px;}
.tr32{height: 30px;}
.tr33{height: 31px;}
.tr34{height: 5px;}
.tr35{height: 8px;}
.tr36{height: 12px;}
.tr37{height: 3px;}
.tr38{height: 2px;}
.tr39{height: 20px;}
.t0{width: 415px;margin-left: 76px;margin-top: 148px;font: bold 15px 'Arial';}
.t1{width: 378px;margin-left: 113px;font: 13px 'Times New Roman';}
.t2{width: 378px;margin-left: 113px;font: 15px 'Times New Roman';}
.t3{width: 416px;margin-left: 75px;font: 15px 'Times New Roman';}
.t4{width: 321px;margin-left: 170px;font: 15px 'Times New Roman';}
.t5{width: 482px;font: bold 11px 'Arial';}
.t6{width: 378px;margin-left: 38px;font: 15px 'Times New Roman';}
.t7{width: 321px;margin-left: 95px;font: 15px 'Times New Roman';}
.t8{width: 928px;font: 15px 'Times New Roman';}
.t9{width: 415px;margin-left: 1px;margin-top: 29px;font: 15px 'Times New Roman';}
.t10{width: 856px;font: 15px 'Times New Roman';}
.t11{width: 563px;font: 15px 'Times New Roman';}
.t12{width: 416px;font: 15px 'Times New Roman';}
.t13{width: 416px;margin-top: 6px;font: 15px 'Times New Roman';}
.t14{width: 856px;margin-top: 29px;font: 15px 'Times New Roman';}
.t15{width: 563px;font: 15px 'Times New Roman';}
.t16{width: 487px;margin-left: 1px;font: bold 9px 'Arial';}
.t17{width: 321px;margin-left: 95px;font: 13px 'Times New Roman';}
.t18{width: 415px;margin-left: 1px;font: 15px 'Times New Roman';}
.t19{width: 487px;font: bold 9px 'Arial';}
.t20{width: 417px;margin-left: 66px;margin-top: 28px;font: 15px 'Times New Roman';}
.t21{width: 347px;margin-left: 66px;margin-top: 16px;font: bold 15px 'Times New Roman';}
.t22{width: 414px;margin-left: 66px;margin-top: 14px;font: 15px 'Times New Roman';}
.t23{width: 343px;margin-left: 66px;margin-top: 16px;font: bold 15px 'Times New Roman';}
.t24{width: 482px;margin-left: 66px;font: bold 11px 'Arial';}
.t25{width: 368px;margin-left: 132px;margin-top: 37px;font: 15px 'Times New Roman';}
.t26{width: 413px;margin-top: 15px;font: 15px 'Times New Roman';}
.t27{width: 342px;margin-top: 16px;font: bold 15px 'Times New Roman';}
.t28{width: 487px;margin-left: 1px;font: bold 8px 'Arial';}
.t29{width: 487px;font: bold 8px 'Arial';}
.t30{width: 683px;font: 11px 'Arial';}
.t31{width: 683px;font: 13px 'Arial';}
.t32{width: 614px;margin-left: 35px;margin-top: 9px;font: 13px 'Arial';}
.t33{width: 614px;margin-left: 35px;margin-top: 17px;font: 13px 'Arial';}
.t34{width: 343px;margin-left: 156px;margin-top: 21px;font: italic 9px 'Arial';}
.t35{width: 290px;font: italic 9px 'Arial';}
.t36{width: 683px;margin-left: 55px;font: 13px 'Arial';}
.t37{width: 426px;margin-left: 68px;margin-top: 19px;font: italic 15px 'Times New Roman';}
.t38{width: 425px;margin-left: 59px;margin-top: 29px;font: 15px 'Times New Roman';}
.t39{width: 487px;margin-left: 8px;font: bold 9px 'Arial';}
.t40{width: 426px;margin-top: 50px;font: 15px 'Times New Roman';}
</STYLE>
</HEAD>
<BODY>
<DIV id="page_1">
<DIV id="dimg1">
<INGENBILD zsrc="H5B3361x1.jpg/" id="img1">
</DIV>
<DIV class="dclr"></DIV>
<DIV id="id_1">
<P class="p0 ft0">Informationssäkerhet för samhällsviktiga och digitala tjänster</P>
<P class="p1 ft1">Betänkande av</P>
<P class="p2 ft1">Utredningen om genomförande av <NOBR>NIS-direktivet</NOBR></P>
<P class="p3 ft1">Stockholm 2017</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft2">SOU 2017:36</P>
</DIV>
</DIV>
<DIV id="page_2">
<P class="p5 ft3">SOU och Ds kan köpas från Wolters Kluwers kundservice. Beställningsadress: Wolters Kluwers kundservice, 106 47 Stockholm Ordertelefon: <NOBR>08-598 191 90</NOBR></P>
<P class="p4 ft4"><NOBR>E-post:</NOBR> kundservice@wolterskluwer.se</P>
<P class="p6 ft4">Webbplats: wolterskluwer.se/offentligapublikationer</P>
<P class="p7 ft4">För remissutsändningar av SOU och Ds svarar Wolters Kluwer Sverige AB på uppdrag av Regeringskansliets förvaltningsavdelning.</P>
<P class="p4 ft5">Svara på remiss – hur och varför</P>
<P class="p4 ft5">Statsrådsberedningen, SB PM 2003:2 (reviderad <NOBR>2009-05-02).</NOBR></P>
<P class="p4 ft6">En kort handledning för dem som ska svara på remiss.</P>
<P class="p4 ft4">Häftet är gratis och kan laddas ner som pdf från eller beställas på regeringen.se/remisser</P>
<P class="p8 ft4">Layout: Kommittéservice, Regeringskansliet</P>
<P class="p6 ft4">Omslag: Elanders Sverige AB</P>
<P class="p6 ft4">Tryck: Elanders Sverige AB, Stockholm 2017</P>
<P class="p9 ft4">ISBN <NOBR>978-91-38-24602-3</NOBR></P>
<P class="p6 ft4">ISSN <NOBR>0375-250X</NOBR></P>
</DIV>
<DIV id="page_3">
<P class="p4 ft7">Till statsrådet Anders Ygeman</P>
<P class="p10 ft8">Regeringen beslutade den 31 mars 2016 att utse en särskild utredare med uppdrag att föreslå hur Europaparlamentets och rådet direktiv (EU) 2016/1148 av den 6 juli 2016 om åtgärder för en hög gemen- sam nivå på säkerhet i nätverks- och informationssystem i hela unionen ska genomföras i svensk rätt.</P>
<P class="p11 ft8">Utredarens uppdrag har varit att föreslå hur direktivet ska genom- föras i svensk rätt. Detta har innefattat bland annat att föreslå hur direktivets krav på utpekande av myndigheter med ansvar för vissa funktioner ska genomföras, med inriktningen att Myndigheten för samhällsskydd och beredskap ges en samordnande roll på området men att andra myndigheters ansvar för tillsyn inom särskilda sektor- er ska fortsätta gälla, hur identifiering av och krav på leverantörer som omfattas av direktivet kan genomföras i ett samlat regelverk med beaktande av gällande bestämmelser, sektorsansvar och vad som är mest effektivt utifrån olika perspektiv, föreslå nödvändiga ändringar i offentlighets- och sekretesslagen (2009:400) för att känslig informa- tion i incidentrapporter ska kunna skyddas, och lämna nödvändiga författningsförslag.</P>
<P class="p12 ft8">Frågan om hur en nationell strategi för säkerhet i nätverk och informationssystem bör utformas har inte omfattats av uppdraget.</P>
<P class="p11 ft8">Lagmannen i Stockholms tingsrätt Stefan Strömberg förordnades att fr.o.m. den 2 maj 2016 vara särskild utredare.</P>
<P class="p11 ft8">Förordnade sakkunniga har under hela eller delar av utrednings- tiden varit rättssakkunnige Dan Leeman (Justitiedepartementet), kanslirådet Henrik Moberg (Socialdepartementet), rättssakkunniga Mia Persson (Försvarsdepartementet) och kanslirådet Jörgen Samuelsson (Näringsdepartementet).</P>
</DIV>
<DIV id="page_4">
<P class="p13 ft8">Som experter att biträda utredningen förordnades fr.o.m. den 5 oktober 2016 numera stf. avdelningschefen Mia Arblom (För- svarsmakten), numera avdelningsdirektören Henrik Christiansson (Säkerhetspolisen), numera enhetschefen Linda Ericson (Myndig- heten för samhällsskydd och beredskap), juristen <NOBR>Britt-Marie</NOBR> Jönson (Post- och telestyrelsen), informationssäkerhetsexperten Arvid Kjell (Försvarets Radioanstalt) och <NOBR>it-säkerhetschefen</NOBR> Josefine Östfeldt (Polismyndigheten) samt fr.o.m. den 23 november 2016 juristen Markus Lind (Datainspektionen).</P>
<P class="p14 ft8">Som ledamöter i en till utredningen knuten referensgrupp för- ordnades fr.o.m. den 5 oktober 2016 säkerhetschefen Per Ekegren (Livsmedelsverket), chefsjuristen Elisabeth Ekstrand (IIS), hand- läggaren Linda Eriksson (Statens Energimyndighet), säkerhetschefen Stefan Larsson <NOBR>(E-hälsomyndigheten),</NOBR> riskexperten Anders Lindgren (Finansinspektionen), juristen Markus Lind (Datainspektionen), säkerhetschefen Torbjörn Mellblom (Sjöfartsverket), näringspolitiske experten Pär Nygårds <NOBR>(IT-&Telekomföretagen),</NOBR> utredaren Margareta Palmqvist (Socialstyrelsen), verksjuristen Kim Reenaas (Elsäkerhets- verket), enhetschefen Gunilla Roos (Transportstyrelsen), enhets- chefen <NOBR>Per-Olof</NOBR> Ström (Trafikverket), förbundsjuristen Jeanna Thorslund (SKL) och enhetschefen Tina Stödberg (Affärsverket svenska kraftnät). Jeanna Thorslund entledigades den 26 oktober 2016 och samma dag förordnades i stället sektionschefen Jörgen Sandström (SKL). Tina Stödberg entledigades den 28 oktober 2016 och samma dag förordnades i stället <NOBR>it-säkerhetssamordnaren</NOBR> Satu Hallikainen (Affärsverket svenska kraftnät). Markus Lind entlediga- des den 23 november 2016 för att i stället förordnas som expert.</P>
<P class="p15 ft8">Som sekreterare anställdes den 2 maj 2016 byrådirektören Annette Norman och den 1 augusti 2016 numera rådmannen Malin Stensbäck.</P>
<P class="p13 ft8">Utredningen överlämnar härmed betänkandet <SPAN class="ft9">Informations- säkerhet för samhällsviktiga och digitala tjänster </SPAN>(SOU 2017:36). Experterna och de sakkunniga har i allt väsentligt ställt sig bakom utredningens överväganden och förslag. De särskilda ståndpunkter</P>
</DIV>
<DIV id="page_5">
<P class="p16 ft8">som enskilda experter och sakkunniga kan ha haft i olika frågor har berörts i texterna eller som möjliga alternativa bedömningar. Utred- ningens uppdrag är med detta slutfört.</P>
<P class="p17 ft10">Stockholm i april 2017</P>
<P class="p18 ft10">Stefan Strömberg</P>
<P class="p19 ft10">/ Annette Norman</P>
<P class="p20 ft10">Malin Stensbäck</P>
</DIV>
<DIV id="page_6">
</DIV>
<DIV id="page_7">
<P class="p21 ft7">Innehåll</P>
<TABLE cellpadding=0 cellspacing=0 class="t0">
<TR>
<TD colspan=2 class="tr0 td0"><P class="p22 ft11">Sammanfattning ................................................................</P></TD>
<TD class="tr0 td1"><P class="p23 ft11">15</P></TD>
</TR>
<TR>
<TD class="tr1 td2"><P class="p22 ft11">1</P></TD>
<TD class="tr1 td3"><P class="p24 ft11">Författningsförslag.....................................................</P></TD>
<TD class="tr1 td1"><P class="p23 ft11">23</P></TD>
</TR>
</TABLE>
<P class="p25 ft8"><SPAN class="ft10">1.1</SPAN><SPAN class="ft12">Förslag till lag (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och</SPAN></P>
<TABLE cellpadding=0 cellspacing=0 class="t1">
<TR>
<TD class="tr2 td4"><P class="p22 ft13">digitala tjänster........................................................................</P></TD>
<TD class="tr2 td5"><P class="p23 ft10">23</P></TD>
</TR>
</TABLE>
<P class="p26 ft8"><SPAN class="ft10">1.2</SPAN><SPAN class="ft12">Förslag till förordning (2018:000) om informationssäkerhet för vissa tillhandahållare av</SPAN></P>
<TABLE cellpadding=0 cellspacing=0 class="t2">
<TR>
<TD class="tr2 td4"><P class="p22 ft10">samhällsviktiga tjänster och digitala tjänster.........................</P></TD>
<TD class="tr2 td5"><P class="p23 ft10">37</P></TD>
</TR>
</TABLE>
<P class="p27 ft10"><SPAN class="ft10">1.3</SPAN><SPAN class="ft14">Förslag till förordning om ändring i offentlighets-</SPAN></P>
<TABLE cellpadding=0 cellspacing=0 class="t3">
<TR>
<TD class="tr3 td1"><P class="p22 ft15"> </P></TD>
<TD colspan=2 class="tr3 td6"><P class="p28 ft10">och sekretessförordningen (2009:641)..................................</P></TD>
<TD class="tr3 td7"><P class="p23 ft10">42</P></TD>
</TR>
<TR>
<TD class="tr4 td1"><P class="p29 ft11">2</P></TD>
<TD colspan=2 class="tr4 td6"><P class="p28 ft16">Utredningens uppdrag och arbete................................</P></TD>
<TD class="tr4 td7"><P class="p23 ft11">43</P></TD>
</TR>
<TR>
<TD class="tr5 td1"><P class="p29 ft10">2.1</P></TD>
<TD colspan=2 class="tr5 td6"><P class="p28 ft13">Bakgrund .................................................................................</P></TD>
<TD class="tr5 td7"><P class="p23 ft10">43</P></TD>
</TR>
<TR>
<TD class="tr6 td1"><P class="p29 ft10">2.2</P></TD>
<TD colspan=2 class="tr6 td6"><P class="p28 ft13">Utredningens uppdrag............................................................</P></TD>
<TD class="tr6 td7"><P class="p23 ft10">43</P></TD>
</TR>
<TR>
<TD class="tr5 td1"><P class="p22 ft10">2.3</P></TD>
<TD colspan=2 class="tr5 td6"><P class="p28 ft13">Utredningens arbete ...............................................................</P></TD>
<TD class="tr5 td7"><P class="p23 ft10">44</P></TD>
</TR>
<TR>
<TD class="tr6 td1"><P class="p22 ft10">2.4</P></TD>
<TD colspan=2 class="tr6 td6"><P class="p28 ft10">Betänkandets disposition och läsanvisning ...........................</P></TD>
<TD class="tr6 td7"><P class="p23 ft10">45</P></TD>
</TR>
<TR>
<TD class="tr4 td1"><P class="p22 ft11">3</P></TD>
<TD colspan=2 class="tr4 td6"><P class="p28 ft11"><NOBR>NIS-direktivet ...........................................................</NOBR></P></TD>
<TD class="tr4 td7"><P class="p23 ft11">47</P></TD>
</TR>
<TR>
<TD class="tr5 td1"><P class="p29 ft10">3.1</P></TD>
<TD colspan=2 class="tr5 td6"><P class="p28 ft13">Bakgrund och syfte .................................................................</P></TD>
<TD class="tr5 td7"><P class="p23 ft10">47</P></TD>
</TR>
<TR>
<TD class="tr6 td1"><P class="p22 ft10">3.2</P></TD>
<TD colspan=2 class="tr6 td6"><P class="p28 ft10">Medlemsstaternas skyldigheter enligt direktivet ..................</P></TD>
<TD class="tr6 td7"><P class="p23 ft10">49</P></TD>
</TR>
<TR>
<TD class="tr2 td1"><P class="p22 ft15"> </P></TD>
<TD class="tr2 td8"><P class="p28 ft10">3.2.1</P></TD>
<TD class="tr2 td9"><P class="p24 ft13">En nationell strategi.................................................</P></TD>
<TD class="tr2 td7"><P class="p23 ft10">50</P></TD>
</TR>
</TABLE>
<P class="p30 ft8"><SPAN class="ft10">3.2.2</SPAN><SPAN class="ft17">Identifiering av leverantörer av samhällsviktiga tjänster och upprättande av en förteckning</SPAN></P>
<TABLE cellpadding=0 cellspacing=0 class="t4">
<TR>
<TD class="tr2 td10"><P class="p22 ft10">över samhällsviktiga tjänster...................................</P></TD>
<TD class="tr2 td5"><P class="p23 ft10">50</P></TD>
</TR>
</TABLE>
<P class="p31 ft18">7</P>
</DIV>
<DIV id="page_8">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Innehåll</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p32 ft10"><SPAN class="ft10">3.2.3</SPAN><SPAN class="ft20">Säkerhets- och incidentrapporteringskrav för</SPAN></P>
<TABLE cellpadding=0 cellspacing=0 class="t6">
<TR>
<TD class="tr3 td13"><P class="p22 ft15"> </P></TD>
<TD class="tr3 td14"><P class="p24 ft10">leverantörer av samhällsviktiga tjänster och för</P></TD>
<TD class="tr3 td15"><P class="p22 ft15"> </P></TD>
</TR>
<TR>
<TD class="tr2 td13"><P class="p22 ft15"> </P></TD>
<TD class="tr2 td14"><P class="p24 ft10">leverantörer av digitala tjänster ..............................</P></TD>
<TD class="tr2 td15"><P class="p23 ft10">52</P></TD>
</TR>
<TR>
<TD class="tr2 td13"><P class="p33 ft10">3.2.4</P></TD>
<TD class="tr2 td14"><P class="p24 ft21">Tillsyn och sanktioner ............................................</P></TD>
<TD class="tr2 td15"><P class="p23 ft10">54</P></TD>
</TR>
<TR>
<TD class="tr2 td13"><P class="p33 ft10">3.2.5</P></TD>
<TD class="tr2 td14"><P class="p24 ft10">Nationell kontaktpunkt..........................................</P></TD>
<TD class="tr2 td15"><P class="p23 ft10">55</P></TD>
</TR>
<TR>
<TD class="tr2 td13"><P class="p33 ft10">3.2.6</P></TD>
<TD class="tr2 td14"><P class="p24 ft13"><NOBR>CSIRT-enheter........................................................</NOBR></P></TD>
<TD class="tr2 td15"><P class="p23 ft10">56</P></TD>
</TR>
<TR>
<TD class="tr2 td13"><P class="p33 ft10">3.2.7</P></TD>
<TD class="tr2 td14"><P class="p24 ft21">Samarbete på nationell nivå ....................................</P></TD>
<TD class="tr2 td15"><P class="p23 ft10">56</P></TD>
</TR>
</TABLE>
<P class="p32 ft10"><SPAN class="ft10">3.2.8</SPAN><SPAN class="ft20">En samarbetsgrupp för strategiskt samarbete</SPAN></P>
<TABLE cellpadding=0 cellspacing=0 class="t7">
<TR>
<TD class="tr3 td16"><P class="p22 ft10">och informationsutbyte ..........................................</P></TD>
<TD class="tr3 td15"><P class="p23 ft10">57</P></TD>
</TR>
</TABLE>
<P class="p32 ft10"><SPAN class="ft10">3.2.9</SPAN><SPAN class="ft20">Ett nätverk för enheter för hantering av</SPAN></P>
<TABLE cellpadding=0 cellspacing=0 class="t8">
<TR>
<TD class="tr3 td1"><P class="p22 ft15"> </P></TD>
<TD class="tr3 td6"><P class="p22 ft15"> </P></TD>
<TD class="tr3 td17"><P class="p22 ft22">it - säkerhetsincidenter (CSIRT - nätverk) ...............</P></TD>
<TD class="tr3 td7"><P class="p23 ft10">57</P></TD>
</TR>
<TR>
<TD class="tr5 td1"><P class="p22 ft10">3.3</P></TD>
<TD colspan=2 class="tr5 td6"><P class="p28 ft10">Undantag från <NOBR>NIS-direktivets</NOBR> tillämpningsområde ...........</P></TD>
<TD class="tr5 td7"><P class="p23 ft10">58</P></TD>
</TR>
<TR>
<TD class="tr6 td1"><P class="p22 ft10">3.4</P></TD>
<TD colspan=2 class="tr6 td6"><P class="p28 ft13">Personuppgifter ......................................................................</P></TD>
<TD class="tr6 td7"><P class="p23 ft10">62</P></TD>
</TR>
<TR>
<TD class="tr4 td1"><P class="p22 ft11">4</P></TD>
<TD colspan=2 class="tr4 td6"><P class="p28 ft11">Beskrivning av enheterna............................................</P></TD>
<TD class="tr4 td7"><P class="p23 ft11">65</P></TD>
</TR>
<TR>
<TD class="tr5 td1"><P class="p22 ft10">4.1</P></TD>
<TD colspan=2 class="tr5 td6"><P class="p28 ft13">Inledning .................................................................................</P></TD>
<TD class="tr5 td7"><P class="p23 ft10">65</P></TD>
</TR>
<TR>
<TD class="tr6 td1"><P class="p22 ft10">4.2</P></TD>
<TD class="tr6 td6"><P class="p28 ft10">Energi</P></TD>
<TD class="tr6 td17"><P class="p23 ft23">......................................................................................</P></TD>
<TD class="tr6 td7"><P class="p23 ft10">66</P></TD>
</TR>
<TR>
<TD class="tr6 td1"><P class="p22 ft10">4.3</P></TD>
<TD colspan=2 class="tr6 td6"><P class="p28 ft13">Transporter .............................................................................</P></TD>
<TD class="tr6 td7"><P class="p23 ft10">70</P></TD>
</TR>
<TR>
<TD class="tr5 td1"><P class="p22 ft10">4.4</P></TD>
<TD colspan=2 class="tr5 td6"><P class="p28 ft13">Bankverksamhet .....................................................................</P></TD>
<TD class="tr5 td7"><P class="p23 ft10">74</P></TD>
</TR>
<TR>
<TD class="tr6 td1"><P class="p22 ft10">4.5</P></TD>
<TD colspan=2 class="tr6 td6"><P class="p28 ft21">Finansmarknadsinfrastruktur ................................................</P></TD>
<TD class="tr6 td7"><P class="p23 ft10">74</P></TD>
</TR>
<TR>
<TD class="tr5 td1"><P class="p22 ft10">4.6</P></TD>
<TD colspan=2 class="tr5 td6"><P class="p28 ft21"><NOBR>Hälso- .................................................och</NOBR> sjukvårdssektorn</P></TD>
<TD class="tr5 td7"><P class="p23 ft10">76</P></TD>
</TR>
<TR>
<TD class="tr6 td1"><P class="p22 ft10">4.7</P></TD>
<TD colspan=2 class="tr6 td6"><P class="p28 ft10">Leverans ............................och distribution av dricksvatten</P></TD>
<TD class="tr6 td7"><P class="p23 ft10">76</P></TD>
</TR>
<TR>
<TD class="tr6 td1"><P class="p22 ft10">4.8</P></TD>
<TD colspan=2 class="tr6 td6"><P class="p28 ft13">Digital ...............................................................infrastruktur</P></TD>
<TD class="tr6 td7"><P class="p23 ft10">77</P></TD>
</TR>
<TR>
<TD class="tr4 td1"><P class="p22 ft11">5</P></TD>
<TD colspan=2 class="tr4 td6"><P class="p28 ft11">Genomförandet .......................................av direktivet</P></TD>
<TD class="tr4 td7"><P class="p23 ft11">79</P></TD>
</TR>
<TR>
<TD class="tr5 td1"><P class="p22 ft10">5.1</P></TD>
<TD colspan=2 class="tr5 td6"><P class="p28 ft21">Allmänna ......................................................utgångspunkter</P></TD>
<TD class="tr5 td7"><P class="p23 ft10">79</P></TD>
</TR>
<TR>
<TD class="tr8 td1"><P class="p22 ft15"> </P></TD>
<TD class="tr8 td6"><P class="p23 ft10">5.1.1 .........</P></TD>
<TD class="tr8 td17"><P class="p22 ft24">Genomförande av EU - direktiv i svensk rätt</P></TD>
<TD class="tr8 td7"><P class="p23 ft10">79</P></TD>
</TR>
<TR>
<TD class="tr9 td1"><P class="p22 ft25"> </P></TD>
<TD class="tr9 td6"><P class="p23 ft26">5.1.2 ...........................</P></TD>
<TD class="tr9 td17"><P class="p22 ft24">Utgångspunkter i NIS - direktivet</P></TD>
<TD class="tr9 td7"><P class="p23 ft26">80</P></TD>
</TR>
<TR>
<TD class="tr9 td1"><P class="p22 ft24">5.2</P></TD>
<TD colspan=2 class="tr9 td6"><P class="p22 ft24">Gällande ...........................................................................rätt</P></TD>
<TD class="tr9 td7"><P class="p23 ft26">82</P></TD>
</TR>
<TR>
<TD class="tr9 td1"><P class="p22 ft25"> </P></TD>
<TD class="tr9 td6"><P class="p23 ft26">5.2.1 .........................</P></TD>
<TD class="tr9 td17"><P class="p22 ft24">Lex specialis enligt NIS - direktivet</P></TD>
<TD class="tr9 td7"><P class="p23 ft26">82</P></TD>
</TR>
<TR>
<TD class="tr9 td1"><P class="p22 ft25"> </P></TD>
<TD class="tr9 td6"><P class="p23 ft26">5.2.2 ..................................................</P></TD>
<TD class="tr9 td17"><P class="p22 ft24">Nationell reglering</P></TD>
<TD class="tr9 td7"><P class="p23 ft26">83</P></TD>
</TR>
<TR>
<TD class="tr9 td1"><P class="p22 ft24">5.3</P></TD>
<TD colspan=2 class="tr9 td6"><P class="p22 ft24">En ny lag ..................................och en ny förordning införs</P></TD>
<TD class="tr9 td7"><P class="p23 ft26">89</P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_3">
<P class="p4 ft27">8</P>
</DIV>
</DIV>
<DIV id="page_9">
<DIV id="id_1">
<P class="p34 ft19">SOU 2017:36 Innehåll</P>
<TABLE cellpadding=0 cellspacing=0 class="t9">
<TR>
<TD class="tr0 td7"><P class="p22 ft10">5.4</P></TD>
<TD colspan=2 class="tr0 td18"><P class="p28 ft21">Den nya lagens tillämpningsområde......................................</P></TD>
<TD class="tr0 td19"><P class="p23 ft10">92</P></TD>
</TR>
<TR>
<TD class="tr6 td7"><P class="p22 ft10">5.5</P></TD>
<TD colspan=2 class="tr6 td18"><P class="p28 ft13">Den nya förordningen ............................................................</P></TD>
<TD class="tr6 td19"><P class="p23 ft10">98</P></TD>
</TR>
<TR>
<TD class="tr4 td7"><P class="p22 ft11">6</P></TD>
<TD colspan=2 class="tr4 td18"><P class="p28 ft16">Leverantörer av samhällsviktiga tjänster .......................</P></TD>
<TD class="tr4 td19"><P class="p23 ft11">99</P></TD>
</TR>
<TR>
<TD class="tr5 td7"><P class="p22 ft10">6.1</P></TD>
<TD colspan=2 class="tr5 td18"><P class="p28 ft13">Inledning..................................................................................</P></TD>
<TD class="tr5 td19"><P class="p23 ft10">99</P></TD>
</TR>
<TR>
<TD class="tr6 td7"><P class="p22 ft10">6.2</P></TD>
<TD colspan=2 class="tr6 td18"><P class="p28 ft10">Identifiering av leverantörer av samhällsviktiga tjänster ......</P></TD>
<TD class="tr6 td19"><P class="p23 ft10">99</P></TD>
</TR>
<TR>
<TD class="tr2 td7"><P class="p22 ft15"> </P></TD>
<TD class="tr2 td8"><P class="p28 ft10">6.2.1</P></TD>
<TD class="tr2 td20"><P class="p24 ft10">Förteckning över samhällsviktiga tjänster ...........</P></TD>
<TD class="tr2 td19"><P class="p23 ft10">100</P></TD>
</TR>
</TABLE>
<P class="p32 ft10"><SPAN class="ft10">6.2.2</SPAN><SPAN class="ft20">Vilka leverantörer tillhandahåller</SPAN></P>
<TABLE cellpadding=0 cellspacing=0 class="t10">
<TR>
<TD class="tr10 td1"><P class="p22 ft15"> </P></TD>
<TD class="tr10 td3"><P class="p22 ft15"> </P></TD>
<TD class="tr10 td21"><P class="p22 ft24">samhällsviktiga tjänster? ........................................</P></TD>
<TD class="tr10 td22"><P class="p23 ft10">109</P></TD>
</TR>
<TR>
<TD class="tr9 td1"><P class="p22 ft15"> </P></TD>
<TD class="tr9 td3"><P class="p22 ft24">6.2.3</P></TD>
<TD class="tr9 td21"><P class="p22 ft24">Samhällsviktig tjänst i flera länder i EU ...............</P></TD>
<TD class="tr9 td22"><P class="p23 ft26">116</P></TD>
</TR>
<TR>
<TD class="tr9 td1"><P class="p22 ft28">7</P></TD>
<TD colspan=2 class="tr9 td23"><P class="p22 ft28">Säkerhetskrav och incidentrapportering – leverantörer</P></TD>
<TD class="tr9 td22"><P class="p22 ft15"> </P></TD>
</TR>
<TR>
<TD class="tr9 td1"><P class="p22 ft15"> </P></TD>
<TD colspan=2 class="tr9 td23"><P class="p22 ft28">av samhällsviktiga tjänster........................................</P></TD>
<TD class="tr9 td22"><P class="p23 ft29">119</P></TD>
</TR>
<TR>
<TD class="tr9 td1"><P class="p22 ft24">7.1</P></TD>
<TD colspan=2 class="tr9 td23"><P class="p22 ft24">Inledning................................................................................</P></TD>
<TD class="tr9 td22"><P class="p23 ft26">119</P></TD>
</TR>
<TR>
<TD class="tr9 td1"><P class="p22 ft24">7.2</P></TD>
<TD colspan=2 class="tr9 td23"><P class="p22 ft24">Nuvarande reglering .............................................................</P></TD>
<TD class="tr9 td22"><P class="p23 ft26">120</P></TD>
</TR>
<TR>
<TD class="tr9 td1"><P class="p22 ft15"> </P></TD>
<TD class="tr9 td3"><P class="p22 ft24">7.2.1</P></TD>
<TD class="tr9 td21"><P class="p22 ft24">Säkerhetsåtgärder ...................................................</P></TD>
<TD class="tr9 td22"><P class="p23 ft26">120</P></TD>
</TR>
<TR>
<TD class="tr9 td1"><P class="p22 ft15"> </P></TD>
<TD class="tr9 td3"><P class="p22 ft24">7.2.2</P></TD>
<TD class="tr9 td21"><P class="p22 ft24">Incidentrapportering .............................................</P></TD>
<TD class="tr9 td22"><P class="p23 ft26">122</P></TD>
</TR>
<TR>
<TD class="tr9 td1"><P class="p22 ft24">7.3</P></TD>
<TD colspan=2 class="tr9 td23"><P class="p22 ft24"><NOBR>NIS-direktivet .......................................................................</NOBR></P></TD>
<TD class="tr9 td22"><P class="p23 ft26">128</P></TD>
</TR>
<TR>
<TD class="tr9 td1"><P class="p22 ft15"> </P></TD>
<TD class="tr9 td3"><P class="p22 ft24">7.3.1</P></TD>
<TD class="tr9 td21"><P class="p22 ft24">Säkerhetsåtgärder ...................................................</P></TD>
<TD class="tr9 td22"><P class="p23 ft26">128</P></TD>
</TR>
<TR>
<TD class="tr9 td1"><P class="p22 ft15"> </P></TD>
<TD class="tr9 td3"><P class="p22 ft24">7.3.2</P></TD>
<TD class="tr9 td21"><P class="p22 ft24">Incidentrapportering .............................................</P></TD>
<TD class="tr9 td22"><P class="p23 ft26">134</P></TD>
</TR>
<TR>
<TD class="tr9 td1"><P class="p22 ft15"> </P></TD>
<TD class="tr9 td3"><P class="p22 ft24">7.3.3</P></TD>
<TD class="tr9 td21"><P class="p22 ft24">Sanktioner ..............................................................</P></TD>
<TD class="tr9 td22"><P class="p23 ft26">141</P></TD>
</TR>
<TR>
<TD class="tr9 td1"><P class="p22 ft15"> </P></TD>
<TD class="tr9 td3"><P class="p22 ft24">7.3.4</P></TD>
<TD class="tr9 td21"><P class="p22 ft24">Standardisering och frivillig rapportering ............</P></TD>
<TD class="tr9 td22"><P class="p23 ft26">141</P></TD>
</TR>
<TR>
<TD class="tr9 td1"><P class="p22 ft28">8</P></TD>
<TD class="tr9 td3"><P class="p22 ft28">Tillsyn</P></TD>
<TD class="tr9 td21"><P class="p35 ft29">....................................................................</P></TD>
<TD class="tr9 td22"><P class="p23 ft29">147</P></TD>
</TR>
<TR>
<TD class="tr9 td1"><P class="p22 ft24">8.1</P></TD>
<TD colspan=2 class="tr9 td23"><P class="p22 ft24">Inledning................................................................................</P></TD>
<TD class="tr9 td22"><P class="p23 ft26">147</P></TD>
</TR>
<TR>
<TD class="tr9 td1"><P class="p22 ft24">8.2</P></TD>
<TD colspan=2 class="tr9 td23"><P class="p22 ft24">Allmänt ................................................................om tillsyn</P></TD>
<TD class="tr9 td22"><P class="p23 ft26">148</P></TD>
</TR>
</TABLE>
<P class="p36 ft24"><SPAN class="ft26">8.2.1</SPAN><SPAN class="ft30">Generella utgångspunkter för reglering</SPAN></P>
<TABLE cellpadding=0 cellspacing=0 class="t11">
<TR>
<TD class="tr11 td1"><P class="p22 ft15"> </P></TD>
<TD class="tr11 td8"><P class="p22 ft15"> </P></TD>
<TD class="tr11 td24"><P class="p22 ft24">om tillsyn ...............................................................</P></TD>
<TD class="tr11 td2"><P class="p23 ft26">148</P></TD>
</TR>
<TR>
<TD class="tr9 td1"><P class="p22 ft15"> </P></TD>
<TD class="tr9 td8"><P class="p22 ft24">8.2.2</P></TD>
<TD class="tr9 td24"><P class="p22 ft24">Annan reglering .....................................................</P></TD>
<TD class="tr9 td2"><P class="p23 ft26">149</P></TD>
</TR>
<TR>
<TD class="tr9 td1"><P class="p23 ft26">8.3</P></TD>
<TD colspan=2 class="tr9 td25"><P class="p22 ft24">Tillsyn enligt <NOBR>NIS-direktivet................................................</NOBR></P></TD>
<TD class="tr9 td2"><P class="p23 ft26">149</P></TD>
</TR>
<TR>
<TD class="tr9 td1"><P class="p22 ft15"> </P></TD>
<TD class="tr9 td8"><P class="p22 ft24">8.3.1</P></TD>
<TD class="tr9 td24"><P class="p22 ft24">Syftet med tillsyn enligt <NOBR>NIS-direktivet...............</NOBR></P></TD>
<TD class="tr9 td2"><P class="p23 ft26">149</P></TD>
</TR>
<TR>
<TD class="tr9 td1"><P class="p22 ft15"> </P></TD>
<TD class="tr9 td8"><P class="p22 ft24">8.3.2</P></TD>
<TD class="tr9 td24"><P class="p22 ft24">Befogenheter..........................................................</P></TD>
<TD class="tr9 td2"><P class="p23 ft26">150</P></TD>
</TR>
<TR>
<TD class="tr9 td1"><P class="p22 ft15"> </P></TD>
<TD class="tr9 td8"><P class="p22 ft24">8.3.3</P></TD>
<TD class="tr9 td24"><P class="p22 ft24">Samordning och informationsutbyte ...................</P></TD>
<TD class="tr9 td2"><P class="p23 ft26">151</P></TD>
</TR>
<TR>
<TD class="tr9 td1"><P class="p23 ft26">8.4</P></TD>
<TD colspan=2 class="tr9 td25"><P class="p22 ft24">System för tillsyn ..................................................................</P></TD>
<TD class="tr9 td2"><P class="p23 ft26">153</P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p4 ft27">9</P>
</DIV>
</DIV>
<DIV id="page_10">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Innehåll</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p32 ft10"><SPAN class="ft10">8.4.1</SPAN><SPAN class="ft20">Befintliga system för tillsyn när det gäller</SPAN></P>
<TABLE cellpadding=0 cellspacing=0 class="t12">
<TR>
<TD class="tr3 td26"><P class="p22 ft15"> </P></TD>
<TD class="tr3 td27"><P class="p37 ft10">säkerhetsåtgärder...................................................</P></TD>
<TD class="tr3 td28"><P class="p23 ft10">153</P></TD>
</TR>
<TR>
<TD class="tr2 td26"><P class="p33 ft10">8.4.2</P></TD>
<TD class="tr2 td27"><P class="p37 ft10">Nuvarande reglering i sektorerna.........................</P></TD>
<TD class="tr2 td28"><P class="p23 ft10">163</P></TD>
</TR>
<TR>
<TD colspan=2 class="tr6 td29"><P class="p37 ft10">8.5 Utredningens överväganden och förslag.............................</P></TD>
<TD class="tr6 td28"><P class="p23 ft10">163</P></TD>
</TR>
<TR>
<TD class="tr2 td26"><P class="p33 ft10">8.5.1</P></TD>
<TD class="tr2 td27"><P class="p37 ft10">En tillsynsmyndighet för varje sektor .................</P></TD>
<TD class="tr2 td28"><P class="p23 ft10">163</P></TD>
</TR>
<TR>
<TD class="tr2 td26"><P class="p33 ft10">8.5.2</P></TD>
<TD class="tr2 td27"><P class="p37 ft10">Tillsynsmyndigheter i Sverige ..............................</P></TD>
<TD class="tr2 td28"><P class="p23 ft10">167</P></TD>
</TR>
<TR>
<TD class="tr2 td26"><P class="p33 ft10">8.5.3</P></TD>
<TD class="tr2 td27"><P class="p37 ft10">Tillsyn m.m............................................................</P></TD>
<TD class="tr2 td28"><P class="p23 ft10">171</P></TD>
</TR>
</TABLE>
<P class="p32 ft10"><SPAN class="ft10">8.5.4</SPAN><SPAN class="ft20">Samordnad funktion mellan</SPAN></P>
<TABLE cellpadding=0 cellspacing=0 class="t12">
<TR>
<TD class="tr3 td1"><P class="p22 ft15"> </P></TD>
<TD class="tr3 td8"><P class="p22 ft15"> </P></TD>
<TD class="tr3 td30"><P class="p23 ft10">tillsynsmyndigheterna...........................................</P></TD>
<TD class="tr3 td22"><P class="p23 ft10">175</P></TD>
</TR>
<TR>
<TD class="tr2 td1"><P class="p22 ft15"> </P></TD>
<TD class="tr2 td8"><P class="p28 ft10">8.5.5</P></TD>
<TD class="tr2 td30"><P class="p23 ft10">Myndighetssamverkan m.m..................................</P></TD>
<TD class="tr2 td22"><P class="p23 ft10">178</P></TD>
</TR>
<TR>
<TD class="tr4 td1"><P class="p22 ft11">9</P></TD>
<TD colspan=2 class="tr4 td23"><P class="p28 ft11">Ingripanden och sanktioner.......................................</P></TD>
<TD class="tr4 td22"><P class="p23 ft11">181</P></TD>
</TR>
<TR>
<TD class="tr5 td1"><P class="p22 ft10">9.1</P></TD>
<TD colspan=2 class="tr5 td23"><P class="p23 ft13">Inledning ...............................................................................</P></TD>
<TD class="tr5 td22"><P class="p23 ft10">181</P></TD>
</TR>
<TR>
<TD class="tr5 td1"><P class="p22 ft10">9.2</P></TD>
<TD colspan=2 class="tr5 td23"><P class="p23 ft10">Allmänt om ingripanden vid tillsyn.....................................</P></TD>
<TD class="tr5 td22"><P class="p23 ft10">181</P></TD>
</TR>
</TABLE>
<P class="p38 ft10"><SPAN class="ft10">9.3</SPAN><SPAN class="ft14">Administrativa sanktioner eller straffrättsliga påföljder? .. 183</SPAN></P>
<TABLE cellpadding=0 cellspacing=0 class="t13">
<TR>
<TD class="tr12 td1"><P class="p23 ft10">9.4</P></TD>
<TD colspan=2 class="tr12 td3"><P class="p28 ft10">Vilka administrativa sanktioner ska införas? ......................</P></TD>
<TD class="tr12 td28"><P class="p23 ft10">185</P></TD>
</TR>
<TR>
<TD class="tr5 td1"><P class="p23 ft10">9.5</P></TD>
<TD colspan=2 class="tr5 td3"><P class="p28 ft10">Åtgärdsföreläggande i förening med vite............................</P></TD>
<TD class="tr5 td28"><P class="p23 ft10">185</P></TD>
</TR>
<TR>
<TD class="tr6 td1"><P class="p23 ft10">9.6</P></TD>
<TD colspan=2 class="tr6 td3"><P class="p28 ft13">Sanktionsavgift .....................................................................</P></TD>
<TD class="tr6 td28"><P class="p23 ft10">187</P></TD>
</TR>
<TR>
<TD class="tr2 td1"><P class="p22 ft15"> </P></TD>
<TD class="tr2 td8"><P class="p28 ft10">9.6.1</P></TD>
<TD class="tr2 td27"><P class="p24 ft10">Sanktionsavgift införs för överträdelser av</P></TD>
<TD class="tr2 td28"><P class="p22 ft15"> </P></TD>
</TR>
<TR>
<TD class="tr2 td1"><P class="p22 ft15"> </P></TD>
<TD class="tr2 td8"><P class="p22 ft15"> </P></TD>
<TD class="tr2 td27"><P class="p24 ft21">vissa bestämmelser i den nya lagen ......................</P></TD>
<TD class="tr2 td28"><P class="p23 ft10">187</P></TD>
</TR>
<TR>
<TD class="tr2 td1"><P class="p22 ft15"> </P></TD>
<TD class="tr2 td8"><P class="p28 ft10">9.6.2</P></TD>
<TD class="tr2 td27"><P class="p24 ft10">Sanktionsavgift och normgivning ........................</P></TD>
<TD class="tr2 td28"><P class="p23 ft10">189</P></TD>
</TR>
</TABLE>
<P class="p32 ft10"><SPAN class="ft10">9.6.3</SPAN><SPAN class="ft20">Tillsynsmyndigheten ska besluta om</SPAN></P>
<TABLE cellpadding=0 cellspacing=0 class="t6">
<TR>
<TD class="tr3 td13"><P class="p22 ft15"> </P></TD>
<TD class="tr3 td27"><P class="p24 ft13">sanktionsavgift ......................................................</P></TD>
<TD class="tr3 td28"><P class="p23 ft10">190</P></TD>
</TR>
<TR>
<TD class="tr2 td13"><P class="p33 ft10">9.6.4</P></TD>
<TD class="tr2 td27"><P class="p24 ft10">Sanktionsavgiftens storlek....................................</P></TD>
<TD class="tr2 td28"><P class="p23 ft10">190</P></TD>
</TR>
</TABLE>
<P class="p32 ft10"><SPAN class="ft10">9.6.5</SPAN><SPAN class="ft20">Sanktionsavgiftens bestämmande i det</SPAN></P>
<TABLE cellpadding=0 cellspacing=0 class="t12">
<TR>
<TD class="tr3 td26"><P class="p22 ft15"> </P></TD>
<TD class="tr3 td27"><P class="p37 ft10">enskilda fallet.........................................................</P></TD>
<TD class="tr3 td28"><P class="p23 ft10">193</P></TD>
</TR>
<TR>
<TD class="tr2 td26"><P class="p33 ft10">9.6.6</P></TD>
<TD class="tr2 td27"><P class="p37 ft10">Jämkning och eftergift..........................................</P></TD>
<TD class="tr2 td28"><P class="p23 ft10">195</P></TD>
</TR>
<TR>
<TD class="tr2 td26"><P class="p33 ft10">9.6.7</P></TD>
<TD class="tr2 td27"><P class="p37 ft10">Hinder mot sanktionsavgift .................................</P></TD>
<TD class="tr2 td28"><P class="p23 ft10">195</P></TD>
</TR>
<TR>
<TD class="tr3 td26"><P class="p33 ft10">9.6.8</P></TD>
<TD class="tr3 td27"><P class="p37 ft10">Förfarandet vid beslut om sanktionsavgift..........</P></TD>
<TD class="tr3 td28"><P class="p23 ft10">196</P></TD>
</TR>
<TR>
<TD class="tr2 td26"><P class="p33 ft10">9.6.9</P></TD>
<TD class="tr2 td27"><P class="p37 ft10">Betalning, indrivning och preskription................</P></TD>
<TD class="tr2 td28"><P class="p23 ft10">197</P></TD>
</TR>
<TR>
<TD colspan=2 class="tr6 td29"><P class="p37 ft10">9.7 Möjligheter till mindre ingripande åtgärder........................</P></TD>
<TD class="tr6 td28"><P class="p23 ft10">198</P></TD>
</TR>
</TABLE>
<P class="p38 ft10"><SPAN class="ft10">9.8</SPAN><SPAN class="ft14">Vitesförelägganden och sanktionsavgifter mot statliga</SPAN></P>
<TABLE cellpadding=0 cellspacing=0 class="t12">
<TR>
<TD class="tr3 td29"><P class="p37 ft10">myndigheter och kommuner ...............................................</P></TD>
<TD class="tr3 td28"><P class="p23 ft10">199</P></TD>
</TR>
<TR>
<TD class="tr5 td29"><P class="p37 ft10">9.9 Omedelbar verkställighet och inhibition ............................</P></TD>
<TD class="tr5 td28"><P class="p23 ft10">200</P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_3">
<P class="p4 ft18">10</P>
</DIV>
</DIV>
<DIV id="page_11">
<DIV id="id_1">
<P class="p34 ft19">SOU 2017:36 Innehåll</P>
<TABLE cellpadding=0 cellspacing=0 class="t14">
<TR>
<TD class="tr0 td31"><P class="p29 ft10">9.10</P></TD>
<TD colspan=2 class="tr0 td4"><P class="p39 ft13">Överklagande ........................................................................</P></TD>
<TD class="tr0 td22"><P class="p23 ft10">201</P></TD>
</TR>
<TR>
<TD class="tr4 td31"><P class="p29 ft11">10</P></TD>
<TD colspan=2 class="tr4 td4"><P class="p39 ft16">Leverantörer av digitala tjänster ................................</P></TD>
<TD class="tr4 td22"><P class="p23 ft11">203</P></TD>
</TR>
<TR>
<TD class="tr6 td31"><P class="p29 ft10">10.1</P></TD>
<TD colspan=2 class="tr6 td4"><P class="p39 ft13">Inledning................................................................................</P></TD>
<TD class="tr6 td22"><P class="p23 ft10">203</P></TD>
</TR>
<TR>
<TD class="tr5 td31"><P class="p29 ft10">10.2</P></TD>
<TD colspan=2 class="tr5 td4"><P class="p39 ft10"><NOBR>NIS-direktivets</NOBR> tillämpningsområde och definitioner .......</P></TD>
<TD class="tr5 td22"><P class="p23 ft10">203</P></TD>
</TR>
<TR>
<TD class="tr13 td31"><P class="p22 ft15"> </P></TD>
<TD class="tr13 td32"><P class="p39 ft10">10.2.1</P></TD>
<TD class="tr13 td21"><P class="p22 ft24">Definitioner ...........................................................</P></TD>
<TD class="tr13 td22"><P class="p23 ft10">203</P></TD>
</TR>
<TR>
<TD class="tr9 td31"><P class="p22 ft25"> </P></TD>
<TD colspan=2 class="tr9 td4"><P class="p22 ft24">10.2.2 Aktörer som inte omfattas av <NOBR>NIS-direktivet .....</NOBR></P></TD>
<TD class="tr9 td22"><P class="p23 ft26">205</P></TD>
</TR>
<TR>
<TD class="tr9 td31"><P class="p22 ft25"> </P></TD>
<TD colspan=2 class="tr9 td4"><P class="p22 ft24">10.2.3 Vad är en internetbaserad marknadsplats, en</P></TD>
<TD class="tr9 td22"><P class="p22 ft25"> </P></TD>
</TR>
<TR>
<TD class="tr9 td31"><P class="p22 ft25"> </P></TD>
<TD class="tr9 td32"><P class="p22 ft25"> </P></TD>
<TD class="tr9 td21"><P class="p22 ft24">internetbaserad sökmotor och molntjänster</P></TD>
<TD class="tr9 td22"><P class="p22 ft25"> </P></TD>
</TR>
<TR>
<TD class="tr9 td31"><P class="p22 ft25"> </P></TD>
<TD class="tr9 td32"><P class="p22 ft25"> </P></TD>
<TD class="tr9 td21"><P class="p22 ft24">i praktiken? ............................................................</P></TD>
<TD class="tr9 td22"><P class="p23 ft26">205</P></TD>
</TR>
<TR>
<TD class="tr9 td31"><P class="p22 ft25"> </P></TD>
<TD colspan=2 class="tr9 td4"><P class="p22 ft24">10.2.4 Nationell lagstiftning saknas i dag........................</P></TD>
<TD class="tr9 td22"><P class="p23 ft26">208</P></TD>
</TR>
<TR>
<TD class="tr9 td31"><P class="p22 ft25"> </P></TD>
<TD colspan=2 class="tr9 td4"><P class="p22 ft24">10.2.5 Vilka leverantörer av digitala tjänster ska</P></TD>
<TD class="tr9 td22"><P class="p22 ft25"> </P></TD>
</TR>
<TR>
<TD class="tr9 td31"><P class="p22 ft25"> </P></TD>
<TD class="tr9 td32"><P class="p22 ft25"> </P></TD>
<TD class="tr9 td21"><P class="p22 ft24">omfattas av den nya lagen? ....................................</P></TD>
<TD class="tr9 td22"><P class="p23 ft26">209</P></TD>
</TR>
<TR>
<TD class="tr9 td31"><P class="p22 ft24">10.3</P></TD>
<TD colspan=2 class="tr9 td4"><P class="p22 ft24">Säkerhetskrav och krav på incidentrapportering.................</P></TD>
<TD class="tr9 td22"><P class="p23 ft26">212</P></TD>
</TR>
<TR>
<TD class="tr9 td31"><P class="p22 ft25"> </P></TD>
<TD class="tr9 td32"><P class="p22 ft24">10.3.1</P></TD>
<TD class="tr9 td21"><P class="p22 ft24">NIS - direktivets krav ..............................................</P></TD>
<TD class="tr9 td22"><P class="p23 ft26">214</P></TD>
</TR>
<TR>
<TD class="tr9 td31"><P class="p22 ft25"> </P></TD>
<TD colspan=2 class="tr9 td4"><P class="p22 ft24">10.3.2 Vilka krav ska ställas i den nya lagen? ..................</P></TD>
<TD class="tr9 td22"><P class="p23 ft26">215</P></TD>
</TR>
<TR>
<TD class="tr9 td31"><P class="p22 ft24">10.4</P></TD>
<TD class="tr9 td32"><P class="p22 ft24">Tillsyn</P></TD>
<TD class="tr9 td21"><P class="p23 ft26">....................................................................................</P></TD>
<TD class="tr9 td22"><P class="p23 ft26">217</P></TD>
</TR>
<TR>
<TD class="tr9 td31"><P class="p22 ft24">10.5</P></TD>
<TD colspan=2 class="tr9 td4"><P class="p22 ft24">Sanktioner..............................................................................</P></TD>
<TD class="tr9 td22"><P class="p23 ft26">218</P></TD>
</TR>
<TR>
<TD class="tr9 td31"><P class="p22 ft24">10.6</P></TD>
<TD colspan=2 class="tr9 td4"><P class="p22 ft24">Information till andra medlemsstater och allmänheten</P></TD>
<TD class="tr9 td22"><P class="p22 ft25"> </P></TD>
</TR>
<TR>
<TD class="tr9 td31"><P class="p22 ft25"> </P></TD>
<TD colspan=2 class="tr9 td4"><P class="p22 ft24">samt frivillig .......................................incidentrapportering</P></TD>
<TD class="tr9 td22"><P class="p23 ft26">218</P></TD>
</TR>
<TR>
<TD class="tr9 td31"><P class="p22 ft28">11</P></TD>
<TD colspan=2 class="tr9 td4"><P class="p22 ft28">Nationell kontaktpunkt, <NOBR>CSIRT-enhet</NOBR></P></TD>
<TD class="tr9 td22"><P class="p22 ft25"> </P></TD>
</TR>
<TR>
<TD class="tr9 td31"><P class="p22 ft25"> </P></TD>
<TD colspan=2 class="tr9 td4"><P class="p22 ft28">och samarbetsgrupp ................................................</P></TD>
<TD class="tr9 td22"><P class="p23 ft29">219</P></TD>
</TR>
<TR>
<TD class="tr9 td31"><P class="p22 ft24">11.1</P></TD>
<TD colspan=2 class="tr9 td4"><P class="p22 ft24">Nationell ........................................................kontaktpunkt</P></TD>
<TD class="tr9 td22"><P class="p23 ft26">219</P></TD>
</TR>
<TR>
<TD class="tr9 td31"><P class="p22 ft25"> </P></TD>
<TD class="tr9 td32"><P class="p22 ft24">11.1.1 ................................................................</P></TD>
<TD class="tr9 td21"><P class="p22 ft24">Inledning</P></TD>
<TD class="tr9 td22"><P class="p23 ft26">219</P></TD>
</TR>
<TR>
<TD class="tr9 td31"><P class="p22 ft25"> </P></TD>
<TD colspan=2 class="tr9 td4"><P class="p22 ft24">11.1.2 .........................Nationell kontaktpunkt i Sverige</P></TD>
<TD class="tr9 td22"><P class="p23 ft26">219</P></TD>
</TR>
<TR>
<TD class="tr9 td31"><P class="p22 ft25"> </P></TD>
<TD colspan=2 class="tr9 td4"><P class="p22 ft24">11.1.3 ..............Den nationella kontakpunktens uppgift</P></TD>
<TD class="tr9 td22"><P class="p23 ft26">220</P></TD>
</TR>
<TR>
<TD class="tr9 td31"><P class="p22 ft25"> </P></TD>
<TD colspan=2 class="tr9 td4"><P class="p22 ft24">11.1.4 ...........Samarbetet mellan ansvariga myndigheter</P></TD>
<TD class="tr9 td22"><P class="p23 ft26">221</P></TD>
</TR>
</TABLE>
<P class="p36 ft24"><SPAN class="ft26">11.1.5</SPAN><SPAN class="ft30">Myndigheten för samhällsskydd och</SPAN></P>
<TABLE cellpadding=0 cellspacing=0 class="t15">
<TR>
<TD class="tr14 td33"><P class="p22 ft15"> </P></TD>
<TD class="tr14 td30"><P class="p22 ft24">beredskap ...............................................................</P></TD>
<TD class="tr14 td2"><P class="p23 ft26">221</P></TD>
</TR>
<TR>
<TD colspan=2 class="tr9 td34"><P class="p22 ft24">11.2 Enhet för hantering av <NOBR>it-säkerhetsincidenter</NOBR></P></TD>
<TD class="tr9 td2"><P class="p22 ft15"> </P></TD>
</TR>
<TR>
<TD colspan=2 class="tr9 td34"><P class="p22 ft24"><NOBR>(CSIRT-enhet)......................................................................</NOBR></P></TD>
<TD class="tr9 td2"><P class="p23 ft26">228</P></TD>
</TR>
<TR>
<TD class="tr9 td33"><P class="p22 ft24">11.2.1</P></TD>
<TD class="tr9 td30"><P class="p22 ft24">Inledning ................................................................</P></TD>
<TD class="tr9 td2"><P class="p23 ft26">228</P></TD>
</TR>
<TR>
<TD class="tr9 td33"><P class="p22 ft24">11.2.2</P></TD>
<TD class="tr9 td30"><P class="p22 ft24"><NOBR>CSIRT-enhet</NOBR> i Sverige ..........................................</P></TD>
<TD class="tr9 td2"><P class="p23 ft26">229</P></TD>
</TR>
<TR>
<TD class="tr9 td33"><P class="p22 ft24">11.2.3</P></TD>
<TD class="tr9 td30"><P class="p22 ft24"><NOBR>CSIRT-enhetens</NOBR> uppgift.......................................</P></TD>
<TD class="tr9 td2"><P class="p23 ft26">230</P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p4 ft27">11</P>
</DIV>
</DIV>
<DIV id="page_12">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Innehåll</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<TABLE cellpadding=0 cellspacing=0 class="t12">
<TR>
<TD class="tr0 td31"><P class="p22 ft15"> </P></TD>
<TD class="tr0 td35"><P class="p39 ft10">11.2.4</P></TD>
<TD class="tr0 td36"><P class="p40 ft13">Brottslig verksamhet.............................................</P></TD>
<TD class="tr0 td22"><P class="p23 ft10">234</P></TD>
</TR>
<TR>
<TD class="tr2 td31"><P class="p22 ft15"> </P></TD>
<TD class="tr2 td35"><P class="p39 ft10">11.2.5</P></TD>
<TD class="tr2 td36"><P class="p40 ft13"><NOBR>CSIRT-nätverket...................................................</NOBR></P></TD>
<TD class="tr2 td22"><P class="p23 ft10">236</P></TD>
</TR>
<TR>
<TD class="tr2 td31"><P class="p22 ft15"> </P></TD>
<TD colspan=2 class="tr2 td4"><P class="p39 ft10">11.2.6 Samarbetet mellan ansvariga myndigheter ..........</P></TD>
<TD class="tr2 td22"><P class="p23 ft10">238</P></TD>
</TR>
<TR>
<TD class="tr6 td31"><P class="p22 ft10">11.3</P></TD>
<TD colspan=2 class="tr6 td4"><P class="p39 ft13">Samarbetsgrupp ....................................................................</P></TD>
<TD class="tr6 td22"><P class="p23 ft10">238</P></TD>
</TR>
<TR>
<TD class="tr2 td31"><P class="p22 ft15"> </P></TD>
<TD class="tr2 td35"><P class="p39 ft10">11.3.1</P></TD>
<TD class="tr2 td36"><P class="p40 ft13">Inledning................................................................</P></TD>
<TD class="tr2 td22"><P class="p23 ft10">238</P></TD>
</TR>
<TR>
<TD class="tr2 td31"><P class="p22 ft15"> </P></TD>
<TD colspan=2 class="tr2 td4"><P class="p39 ft10">11.3.2 Företrädare för Sverige i samarbetsgruppen........</P></TD>
<TD class="tr2 td22"><P class="p23 ft10">239</P></TD>
</TR>
<TR>
<TD class="tr2 td31"><P class="p22 ft15"> </P></TD>
<TD class="tr2 td35"><P class="p39 ft10">11.3.3</P></TD>
<TD class="tr2 td36"><P class="p40 ft21">Samarbetsgruppens uppgifter...............................</P></TD>
<TD class="tr2 td22"><P class="p23 ft10">239</P></TD>
</TR>
<TR>
<TD class="tr4 td31"><P class="p22 ft11">12</P></TD>
<TD colspan=2 class="tr4 td4"><P class="p39 ft11">Sekretess................................................................</P></TD>
<TD class="tr4 td22"><P class="p23 ft11">243</P></TD>
</TR>
<TR>
<TD class="tr5 td31"><P class="p22 ft10">12.1</P></TD>
<TD colspan=2 class="tr5 td4"><P class="p39 ft13">Inledning ...............................................................................</P></TD>
<TD class="tr5 td22"><P class="p23 ft10">243</P></TD>
</TR>
<TR>
<TD class="tr6 td31"><P class="p22 ft10">12.2</P></TD>
<TD colspan=2 class="tr6 td4"><P class="p39 ft10">Behövs ett starkare skydd för uppgifter som ska</P></TD>
<TD class="tr6 td22"><P class="p22 ft15"> </P></TD>
</TR>
<TR>
<TD class="tr2 td31"><P class="p22 ft15"> </P></TD>
<TD colspan=2 class="tr2 td4"><P class="p39 ft10">rapporteras med anledning av en incident eller som ska</P></TD>
<TD class="tr2 td22"><P class="p22 ft15"> </P></TD>
</TR>
<TR>
<TD class="tr2 td31"><P class="p22 ft15"> </P></TD>
<TD colspan=2 class="tr2 td4"><P class="p39 ft10">tillhandahållas i samband med tillsyn? ................................</P></TD>
<TD class="tr2 td22"><P class="p23 ft10">247</P></TD>
</TR>
<TR>
<TD class="tr5 td31"><P class="p22 ft10">12.3</P></TD>
<TD colspan=2 class="tr5 td4"><P class="p39 ft10">Behövs en uppgiftsskyldighet för att information ska</P></TD>
<TD class="tr5 td22"><P class="p22 ft15"> </P></TD>
</TR>
<TR>
<TD class="tr2 td31"><P class="p22 ft15"> </P></TD>
<TD colspan=2 class="tr2 td4"><P class="p39 ft10">kunna delas mellan de svenska aktörerna?..........................</P></TD>
<TD class="tr2 td22"><P class="p23 ft10">257</P></TD>
</TR>
<TR>
<TD class="tr6 td31"><P class="p22 ft10">12.4</P></TD>
<TD colspan=2 class="tr6 td4"><P class="p39 ft10">Behövs nya bestämmelser för att uppgifter ska kunna</P></TD>
<TD class="tr6 td22"><P class="p22 ft15"> </P></TD>
</TR>
<TR>
<TD class="tr2 td31"><P class="p22 ft15"> </P></TD>
<TD colspan=2 class="tr2 td4"><P class="p39 ft10">lämnas till andra medlemsstater eller kommissionen? .......</P></TD>
<TD class="tr2 td22"><P class="p23 ft10">261</P></TD>
</TR>
<TR>
<TD class="tr5 td31"><P class="p22 ft10">12.5</P></TD>
<TD colspan=2 class="tr5 td4"><P class="p39 ft10">Hantering av information som mottagits från andra</P></TD>
<TD class="tr5 td22"><P class="p22 ft15"> </P></TD>
</TR>
<TR>
<TD class="tr2 td31"><P class="p22 ft15"> </P></TD>
<TD colspan=2 class="tr2 td4"><P class="p39 ft13">medlemsstater .......................................................................</P></TD>
<TD class="tr2 td22"><P class="p23 ft10">262</P></TD>
</TR>
<TR>
<TD class="tr4 td31"><P class="p22 ft11">13</P></TD>
<TD colspan=2 class="tr4 td4"><P class="p39 ft11">Konsekvensanalys....................................................</P></TD>
<TD class="tr4 td22"><P class="p23 ft11">265</P></TD>
</TR>
<TR>
<TD class="tr5 td31"><P class="p22 ft10">13.1</P></TD>
<TD colspan=2 class="tr5 td4"><P class="p39 ft10">Konsekvensutredningens innehåll.......................................</P></TD>
<TD class="tr5 td22"><P class="p23 ft10">265</P></TD>
</TR>
<TR>
<TD class="tr2 td31"><P class="p22 ft15"> </P></TD>
<TD class="tr2 td35"><P class="p39 ft10">13.1.1</P></TD>
<TD class="tr2 td36"><P class="p40 ft13">Regleringsalternativ...............................................</P></TD>
<TD class="tr2 td22"><P class="p23 ft10">266</P></TD>
</TR>
<TR>
<TD class="tr2 td31"><P class="p22 ft15"> </P></TD>
<TD colspan=2 class="tr2 td4"><P class="p39 ft10">13.1.2 Vem berörs av förslagen .......................................</P></TD>
<TD class="tr2 td22"><P class="p23 ft10">267</P></TD>
</TR>
<TR>
<TD class="tr6 td31"><P class="p22 ft10">13.2</P></TD>
<TD colspan=2 class="tr6 td4"><P class="p39 ft13">Ekonomiska konsekvenser...................................................</P></TD>
<TD class="tr6 td22"><P class="p23 ft10">268</P></TD>
</TR>
</TABLE>
<P class="p41 ft8"><SPAN class="ft10">13.2.1</SPAN><SPAN class="ft31">Konsekvenser för Myndigheten för samhällsskydd och beredskap, behöriga</SPAN></P>
<TABLE cellpadding=0 cellspacing=0 class="t6">
<TR>
<TD class="tr2 td37"><P class="p37 ft10">myndigheter och domstolar .................................</P></TD>
<TD class="tr2 td28"><P class="p23 ft10">268</P></TD>
</TR>
<TR>
<TD class="tr2 td37"><P class="p37 ft10">13.2.2 Konsekvenser för leverantörer .............................</P></TD>
<TD class="tr2 td28"><P class="p23 ft10">275</P></TD>
</TR>
</TABLE>
<P class="p32 ft10"><SPAN class="ft10">13.2.3</SPAN><SPAN class="ft32">Konsekvenser för konsumenter och andra</SPAN></P>
<TABLE cellpadding=0 cellspacing=0 class="t12">
<TR>
<TD class="tr3 td29"><P class="p37 ft10">användare ...............................................................</P></TD>
<TD class="tr3 td28"><P class="p23 ft10">277</P></TD>
</TR>
<TR>
<TD class="tr2 td29"><P class="p37 ft10">13.2.4 Samhällsekonomiska konsekvenser .....................</P></TD>
<TD class="tr2 td28"><P class="p23 ft10">277</P></TD>
</TR>
<TR>
<TD class="tr5 td29"><P class="p37 ft21">13.3 Övriga konsekvenser............................................................</P></TD>
<TD class="tr5 td28"><P class="p23 ft10">278</P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_3">
<P class="p4 ft18">12</P>
</DIV>
</DIV>
<DIV id="page_13">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t16">
<TR>
<TD class="tr7 td38"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td39"><P class="p22 ft33">Innehåll</P></TD>
</TR>
</TABLE>
<P class="p42 ft10"><SPAN class="ft10">13.3.1</SPAN><SPAN class="ft32">Förslagens konsekvenser för den kommunala</SPAN></P>
<TABLE cellpadding=0 cellspacing=0 class="t17">
<TR>
<TD class="tr3 td40"><P class="p22 ft13">självstyrelsen ..........................................................</P></TD>
<TD class="tr3 td2"><P class="p23 ft10">278</P></TD>
</TR>
</TABLE>
<P class="p32 ft10"><SPAN class="ft10">13.3.2</SPAN><SPAN class="ft32">Konsekvenser för brottsligheten och det</SPAN></P>
<TABLE cellpadding=0 cellspacing=0 class="t18">
<TR>
<TD class="tr3 td41"><P class="p23 ft10">brottsförebyggande arbetet...................................</P></TD>
<TD class="tr3 td22"><P class="p23 ft10">279</P></TD>
</TR>
<TR>
<TD class="tr2 td41"><P class="p23 ft10">13.3.3 Särskild hänsyn till små företag ............................</P></TD>
<TD class="tr2 td22"><P class="p23 ft10">279</P></TD>
</TR>
<TR>
<TD class="tr4 td41"><P class="p22 ft11">14 Ikraftträdande .........................................................</P></TD>
<TD class="tr4 td22"><P class="p23 ft11">281</P></TD>
</TR>
</TABLE>
<P class="p43 ft8"><SPAN class="ft10">14.1</SPAN><SPAN class="ft34">Förslaget till ny lag om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala</SPAN></P>
<TABLE cellpadding=0 cellspacing=0 class="t12">
<TR>
<TD class="tr3 td42"><P class="p22 ft15"> </P></TD>
<TD class="tr3 td43"><P class="p44 ft13">tjänster ...................................................................................</P></TD>
<TD class="tr3 td22"><P class="p23 ft10">281</P></TD>
</TR>
<TR>
<TD class="tr6 td42"><P class="p22 ft10">14.2</P></TD>
<TD class="tr6 td43"><P class="p44 ft13">Övrigt ....................................................................................</P></TD>
<TD class="tr6 td22"><P class="p23 ft10">281</P></TD>
</TR>
<TR>
<TD class="tr4 td42"><P class="p22 ft11">15</P></TD>
<TD class="tr4 td43"><P class="p44 ft11">Författningskommentar ............................................</P></TD>
<TD class="tr4 td22"><P class="p23 ft11">283</P></TD>
</TR>
</TABLE>
<P class="p45 ft8"><SPAN class="ft10">15.1</SPAN><SPAN class="ft34">Förslaget till lag (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och</SPAN></P>
<TABLE cellpadding=0 cellspacing=0 class="t12">
<TR>
<TD colspan=2 class="tr2 td34"><P class="p37 ft10">digitala tjänster......................................................................</P></TD>
<TD class="tr2 td2"><P class="p23 ft10">283</P></TD>
</TR>
<TR>
<TD class="tr4 td44"><P class="p22 ft11">Bilagor</P></TD>
<TD class="tr4 td45"><P class="p22 ft15"> </P></TD>
<TD class="tr4 td2"><P class="p22 ft15"> </P></TD>
</TR>
<TR>
<TD class="tr1 td44"><P class="p22 ft10">Bilaga 1</P></TD>
<TD class="tr1 td45"><P class="p37 ft21">Kommittédirektiv 2016:29 ...........................................</P></TD>
<TD class="tr1 td2"><P class="p23 ft10">307</P></TD>
</TR>
<TR>
<TD class="tr4 td44"><P class="p22 ft10">Bilaga 2</P></TD>
<TD class="tr4 td45"><P class="p37 ft13"><NOBR>NIS-direktivet...............................................................</NOBR></P></TD>
<TD class="tr4 td2"><P class="p23 ft10">319</P></TD>
</TR>
<TR>
<TD class="tr4 td44"><P class="p22 ft10">Bilaga 3</P></TD>
<TD class="tr4 td45"><P class="p37 ft13">Jämförelsetabell.............................................................</P></TD>
<TD class="tr4 td2"><P class="p23 ft10">349</P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">13</P>
</DIV>
</DIV>
<DIV id="page_14">
</DIV>
<DIV id="page_15">
<DIV id="dimg1">
<INGENBILD zsrc="H5B33615x1.jpg/" id="img1">
</DIV>
<P class="p4 ft7">Sammanfattning</P>
<P class="p46 ft35">Bakgrund</P>
<P class="p47 ft8">I juli 2016 antog Europaparlamentet och rådet <NOBR>NIS-direktivet<SPAN class="ft36">1</SPAN>.</NOBR> Direk- tivet fastställer åtgärder för att uppnå en hög gemensam nivå på säkerhet i nätverk och informationssystem inom unionen, i syfte att förbättra den inre marknadens funktion.</P>
<P class="p11 ft8">Direktivet innebär bland annat skyldigheter för vissa leverantörer av samhällsviktiga tjänster och vissa leverantörer av digitala tjänster att vidta säkerhetsåtgärder för att hantera risker samt förebygga och hantera incidenter i nätverk och informationssystem som de är be- roende av för att tillhandahålla tjänsterna. Leverantörerna ska också rapportera incidenter som har en betydande respektive avsevärd in- verkan på kontinuiteten i tjänsten.</P>
<P class="p11 ft8">För att en leverantör ska anses vara en sådan leverantör av sam- hällsviktiga tjänster som omfattas av direktivet krävs att leverantören bedriver verksamhet inom någon av de i direktivet särskilt utpekade enheterna. Enheterna finns inom sju angivna sektorer. Sektorerna omfattar energi, transport, bankverksamhet, finansmarknadsinfra- struktur, hälso- och sjukvård, leverans och distribution av dricks- vatten samt digital infrastruktur. Dessutom krävs att den tjänst som tillhandahålls är viktig för att upprätthålla kritisk samhällelig eller ekonomisk verksamhet, att tillhandahållandet av tjänsten är bero- ende av nätverk och informationssystem och att en incident skulle medföra en betydande störning vid tillhandahållandet av tjänsten. Medlemsstaterna är skyldiga att dels upprätta en förteckning över de tjänster på medlemsstatens territorium som är viktiga för att</P>
<P class="p48 ft38"><SPAN class="ft37">1 </SPAN>Europaparlamentets och rådets direktiv (EU) 2016/1148 av den 6 juli 2016 om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen.</P>
<P class="p49 ft18">15</P>
</DIV>
<DIV id="page_16">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Sammanfattning</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8">upprätthålla kritisk samhällelig eller ekonomisk verksamhet, dels identifiera de leverantörer som tillhandahåller sådana tjänster.</P>
<P class="p51 ft8">De leverantörer av digitala tjänster som omfattas av direktivet är sådana som tillhandahåller internetbaserade marknadsplatser, inter- netbaserade sökmotorer eller molntjänster. Dessa leverantörer ska inte identifieras på det sätt som gäller för leverantörer av samhälls- viktiga tjänster och omfattas av direktivet utan att någon bedöm- ning ska göras av om de är samhällsviktiga eller inte.</P>
<P class="p51 ft8">Medlemsstaterna ska enligt direktivet utse myndigheter med sär- skilda uppgifter på området, till exempel tillsynsmyndigheter, natio- nella kontaktpunkter och enheter för hantering av <NOBR>it-säkerhetsinci-</NOBR> denter <NOBR>(CSIRT-enheter).</NOBR> Medlemsstaterna ska också säkerställa att tillsynsmyndigheterna har befogenheter och medel för att kontrollera att leverantörerna uppfyller sina skyldigheter samt fastställa regler om sanktioner för överträdelse av de nationella bestämmelserna som antagits enligt direktivet.</P>
<P class="p51 ft8">Direktivet innehåller vidare en skyldighet för varje medlemsstat att anta en nationell strategi för säkerhet i nätverk och informations- system.</P>
<P class="p52 ft8">Medlemsstaterna ska senast den 9 maj 2018 anta och offentlig- göra de bestämmelser i lagar och andra författningar som är nödvän- diga för att följa direktivet. Bestämmelserna ska tillämpas från och med den 10 maj 2018.</P>
<P class="p53 ft35">Utredningens uppdrag</P>
<P class="p54 ft8">Utredningens uppdrag har varit att föreslå hur <NOBR>NIS-direktivet</NOBR> ska genomföras i svensk rätt. Detta har innefattat bland annat att före- slå hur direktivets krav på utpekande av myndigheter med ansvar för vissa funktioner ska genomföras, hur identifiering av och krav på leverantörer som omfattas av direktivet kan genomföras i ett samlat regelverk med beaktande av gällande bestämmelser, sektorsansvar och vad som är mest effektivt utifrån olika perspektiv, föreslå nöd- vändiga ändringar i offentlighets- och sekretesslagen (2009:400) för att känslig information i incidentrapporter ska kunna skyddas, och lämna nödvändiga författningsförslag.</P>
<P class="p52 ft8">Frågan om hur en nationell strategi för säkerhet i nätverk och informationssystem bör utformas har inte omfattats av uppdraget.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">16</P>
</DIV>
</DIV>
<DIV id="page_17">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td46"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td47"><P class="p22 ft33">Sammanfattning</P></TD>
</TR>
</TABLE>
<P class="p55 ft35">Utredningens förslag</P>
<P class="p56 ft11">Ett samlat regelverk – en ny lag och en ny förordning</P>
<P class="p57 ft8">Utredningen föreslår en ny lag och en ny förordning som till ut- formning och innehåll ligger nära <NOBR>NIS-direktivet.</NOBR> Regelverket ska tillämpas endast på sådana leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster som omfattas av direktivet. I den utsträckning det finns bestämmelser om säkerhetskrav eller incident- rapporteringskrav på de aktuella leverantörerna i annan lag som minst motsvarar bestämmelserna i den föreslagna lagen ska emellertid de bestämmelserna tillämpas. Om sådana krav finns i bindande <NOBR>EU-rätts-</NOBR> akter (lex specialis) ska den föreslagna lagen inte tillämpas alls.</P>
<P class="p11 ft8">Vissa företag och leverantörer är uttryckligen undantagna från direktivets tillämpningsområde. Dessa omfattas följaktligen inte heller av den föreslagna lagen. Detta innebär att regelverket inte ska tilläm- pas på företag som omfattas av kraven i artiklarna 13a och 13b i direktiv 2002/21/EG, dvs. tillhandahållare av ett allmänt kommuni- kationsnät eller en allmänt tillgänglig elektronisk kommunikations- tjänst. I <NOBR>NIS-direktivet</NOBR> anges dock internetknutpunkter uttryckligen som en sådan enhet som ska regleras enligt direktivet. Tillhandahål- lare av internetknutpunkter omfattas därför av den föreslagna lagen trots att de enligt svensk rätt anses som sådana företag som om- fattas av artiklarna 13a och 13b.</P>
<P class="p58 ft8">Regelverket ska inte heller tillämpas på leverantörer av betrodda tjänster som omfattas av kraven i artikel 19 i förordning (EU) nr 910/2014 (eIDAS).</P>
<P class="p11 ft8">Även verksamhet som är av betydelse för Sveriges säkerhet är undantagen från tillämpningsområdet. Detta innebär till exempel att verksamhet som omfattas av säkerhetsskyddslagen inte omfattas. In- cidenter som inträffar i sådan verksamhet ska därmed inte rappor- teras enligt bestämmelserna i den föreslagna lagen, utan även fort- sättningsvis rapporteras enligt 10 a § säkerhetsskyddsförordningen (1996:633).</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">17</P>
</DIV>
</DIV>
<DIV id="page_18">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Sammanfattning</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p59 ft11">Föreskrifter med förteckning över samhällsviktiga tjänster</P>
<P class="p60 ft8">För att leverantörer av samhällsviktiga tjänster ska kunna identifieras ska Myndigheten för samhällsskydd och beredskap meddela före- skrifter (förteckning) om vilka tjänster som är viktiga för att upp- rätthålla kritisk samhällelig eller ekonomisk verksamhet (samhälls- viktiga tjänster) för varje sektor som omfattas av <NOBR>NIS-direktivet.</NOBR></P>
<P class="p61 ft11">Identifiering av leverantörer av samhällsviktiga tjänster</P>
<P class="p62 ft8">Det är i likhet med vad som gäller enligt säkerhetsskyddslagstift- ningen verksamhetsutövaren som är ansvarig för att avgöra om denne omfattas av lagen. I detta syfte ska den som är ansvarig för en verk- samhet som tillhandahåller en samhällsviktig tjänst som finns upp- tagen i de föreskrifter (förteckning) som Myndigheten för samhälls- skydd och beredskap ska meddela, undersöka om tillhandahållandet av tjänsten är beroende av nätverk eller informationssystem och om en incident skulle medföra en betydande störning vid tillhanda- hållandet av tjänsten. Undersökningen ska dokumenteras. För att avgöra om en störning är betydande ska verksamhetsutövaren beakta vissa särskilda faktorer, bland annat det antal användare som är bero- ende av den aktuella tjänsten. Tillsynsmyndigheten får meddela före- skrifter om vilka sektorspecifika och sektoröverskridande faktorer som ska beaktas vid bedömningen av om en incident skulle med- föra en betydande störning.</P>
<P class="p61 ft11">Säkerhetskrav och incidentrapportering</P>
<P class="p60 ft8">Såväl leverantörer av samhällsviktiga tjänster som leverantörer av digitala tjänster ska vidta ändamålsenliga och proportionella tekniska och organisatoriska åtgärder för att hantera risker som hotar säker- heten i deras nätverk och informationssystem. De ska också vidta lämpliga åtgärder för att förebygga och minimiera den inverkan som incidenter som påverkar säkerheten i deras nätverk och informa- tionssystem har på de tjänster som tillhandahålls. Syftet med sist- nämnda åtgärder är att säkerställa kontinuiteten i tjänsterna.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">18</P>
</DIV>
</DIV>
<DIV id="page_19">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td46"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td47"><P class="p22 ft33">Sammanfattning</P></TD>
</TR>
</TABLE>
<P class="p63 ft8">Leverantörer av digitala tjänster ska själva utarbeta åtgärder för att hantera risker. De ska i det arbetet beakta vissa i lagen angivna faktorer. Leverantörer av samhällsviktiga tjänster ska i stället göra en riskanalys som ska ligga till grund för val av säkerhetsåtgärder. I analysen, som ska dokumenteras och uppdateras årligen, ska en åt- gärdsplan ingå. Tillsynsmyndigheten får också meddela föreskrifter om utformingen av säkerhetsåtgärderna. Leverantörer av samhälls- viktiga tjänster ska också bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete.</P>
<P class="p11 ft8">Både leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster ska utan onödigt dröjsmål rapportera incidenter till <NOBR>CSIRT-enheten</NOBR> (se nedan) vid Myndigheten för samhällsskydd och beredskap. Leverantörer av samhällsviktiga tjänster ska rapportera incidenter som har en betydande inverkan på kontinuiteten i tjänsten, medan leverantörer av digitala tjänster ska rapportera incidenter som har en avsevärd inverkan på tillhandahållandet av tjänsten. I lagen anges ett antal faktorer som framför allt ska beaktas vid bedömning- en av om incidenten har en sådan inverkan att den ska rapporteras.</P>
<P class="p11 ft8">Tillsynsmyndigheten får meddela närmare föreskrifter om faktorer som ska beaktas vid bedömningen av om en incident har betydande inverkan. Myndigheten för samhällsskydd och beredskap får med- dela föreskrifter om rapportering av incidenter och om förutsätt- ningarna för frivillig incidentrapportering.</P>
<P class="p64 ft11">Tillsyn</P>
<P class="p65 ft8">För varje sektor och för de digitala tjänster som omfattas av lagen ska en tillsynsmyndighet ansvara för att övervaka att regelverket följs. Följande myndigheter föreslås vara tillsynsmyndigheter.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">19</P>
</DIV>
</DIV>
<DIV id="page_20">
<DIV id="id_1">
<P class="p4 ft19">Sammanfattning SOU 2017:36</P>
<TABLE cellpadding=0 cellspacing=0 class="t20">
<TR>
<TD class="tr12 td48"><P class="p22 ft39">Sektor</P></TD>
<TD class="tr12 td49"><P class="p22 ft39">Tillsynsmyndighet</P></TD>
</TR>
<TR>
<TD class="tr15 td48"><P class="p22 ft10">Energi</P></TD>
<TD class="tr15 td49"><P class="p22 ft10">Statens energimyndighet</P></TD>
</TR>
<TR>
<TD class="tr12 td48"><P class="p22 ft10">Transporter</P></TD>
<TD class="tr12 td49"><P class="p22 ft10">Transportstyrelsen</P></TD>
</TR>
<TR>
<TD class="tr12 td48"><P class="p22 ft10">Bankverksamhet</P></TD>
<TD class="tr12 td49"><P class="p22 ft10">Finansinspektionen</P></TD>
</TR>
<TR>
<TD class="tr12 td48"><P class="p22 ft10">Finansmarknadsinfrastruktur</P></TD>
<TD class="tr12 td49"><P class="p22 ft10">Finansinspektionen</P></TD>
</TR>
<TR>
<TD class="tr12 td48"><P class="p22 ft10">Hälso- och sjukvård</P></TD>
<TD class="tr12 td49"><P class="p22 ft10">Inspektionen för vård och omsorg</P></TD>
</TR>
<TR>
<TD class="tr12 td48"><P class="p22 ft10">Leverans och distribution av</P></TD>
<TD class="tr12 td49"><P class="p22 ft10">Livsmedelsverket</P></TD>
</TR>
<TR>
<TD class="tr2 td48"><P class="p22 ft10">dricksvatten</P></TD>
<TD class="tr2 td49"><P class="p22 ft15"> </P></TD>
</TR>
<TR>
<TD class="tr12 td48"><P class="p22 ft10">Digital infrastruktur</P></TD>
<TD class="tr12 td49"><P class="p22 ft10">Post- och telestyrelsen</P></TD>
</TR>
</TABLE>
<TABLE cellpadding=0 cellspacing=0 class="t21">
<TR>
<TD class="tr12 td48"><P class="p22 ft39">Digitala tjänster</P></TD>
<TD class="tr12 td50"><P class="p22 ft39">Tillsynsmyndighet</P></TD>
</TR>
<TR>
<TD class="tr15 td48"><P class="p22 ft10">Digitala tjänster</P></TD>
<TD class="tr15 td50"><P class="p22 ft10">Post- och telestyrelsen</P></TD>
</TR>
</TABLE>
<P class="p66 ft8">Vid tillsyn ska leverantören tillhandahålla tillsynsmyndigheten den information som behövs för en bedömning av säkerheten i leveran- törens nätverk och informationssystem. Leverantörer av samhälls- viktiga tjänster är skyldiga att tillhandahålla även bevis för att säker- hetsprinciper har genomförts effektivt.</P>
<P class="p51 ft8">Beträffande leverantörer av digitala tjänster får tillsynsåtgärder vidtas bara i efterhand, när tillsynsmyndigheten har fått kännedom om att leverantören inte uppfyller säkerhetskraven eller kravet att incidentrapportera.</P>
<P class="p51 ft8">Tillsynsmyndigheten ska försöka få en leverantör som inte följer regelverket att rätta sig. Tillsynsmyndigheten får meddela föreläg- ganden, dels i syfte att få tillgång till viss information som behövs för tillsynen, dels för att få leverantören att följa regelverket. Ett före- läggande får förenas med vite.</P>
<P class="p52 ft8">Myndigheten för samhällsskydd och beredskap ska inom ramen för sitt nuvarande uppdrag ha en samlad bild av <NOBR>NIS-direktivets</NOBR> genomförande och tillämpning i Sverige genom att leda ett samarbets- forum där samtliga tillsynsmyndigheter ska ingå samt ta emot till- synsmyndighetens bedömning av brister i nätverk och informations- system. I bedömningen bör ingå brister som upptäcks vid tillsyn men även svårigheter vid tillämpning och tolkning av regelverket. Myn- digheten för samhällsskydd och beredskap ska vidare tillhandahålla tillsynsmyndigheterna det metodstöd för tillsyn som behövs för en effektiv tillsyn enligt det föreslagna regelverket.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">20</P>
</DIV>
</DIV>
<DIV id="page_21">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td46"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td47"><P class="p22 ft33">Sammanfattning</P></TD>
</TR>
</TABLE>
<P class="p55 ft11">Sanktionsavgift</P>
<P class="p65 ft8">Tillsynsmyndigheten ska besluta att sanktionsavgift ska tas ut av den som underlåter att incidentrapportera eller att vidta säkerhets- åtgärder. Vid bedömningen av avgiftens storlek ska tillsynsmyndig- heten ta särskild hänsyn till skada eller risk för skada som uppstått till följd av överträdelsen, om leverantören tidigare har begått en överträdelse samt de kostnader som leverantören har undvikit till följd av överträdelsen. Sanktionsavgiften får under vissa förhållan- den efterges helt eller delvis.</P>
<P class="p64 ft11">Nationell kontaktpunkt, samarbetsgrupp och <NOBR>CSIRT-enhet</NOBR></P>
<P class="p67 ft8">För att underlätta gränsöverskridande samarbete och för att möjlig- göra ett effektivt genomförande av <NOBR>NIS-direktivet</NOBR> ska det i varje medlemsstat finnas en <SPAN class="ft9">nationell gemensam kontaktpunkt</SPAN>. Den natio- nella kontaktpunkten ska ansvara för samordningen av frågor angå- ende nätverk och informationssystem och för gränsöverskridande samarbete på unionsnivå. Den nationella kontaktpunkten ska också lämna en sammanfattande rapport om antalet ingivna incidentrap- porter och om de rapporterade incidenternas art till samarbets- gruppen.</P>
<P class="p58 ft8"><SPAN class="ft9">Samarbetsgruppen </SPAN>syftar till att stödja och underlätta strategiskt samarbete mellan medlemsstaterna vad gäller säkerhet i nätverk och informationssystem. Gruppen ska bland annat utbyta bästa praxis i olika avseenden. Utöver företrädare för medlemsstaterna består gruppen av representanter från kommissionen och från Europeiska unionens byrå för nät- och informationssäkerhet (Enisa).</P>
<P class="p11 ft8">I varje medlemsstat ska det enligt <NOBR>NIS-direktivet</NOBR> också finnas en eller flera <SPAN class="ft9">enheter för hantering av </SPAN><NOBR><SPAN class="ft9">it-säkerhetsincidenter</SPAN></NOBR><SPAN class="ft9"> (CSIRT- enheter)</SPAN>. <NOBR>CSIRT-enheten</NOBR> ska bland annat övervaka incidenter på nationell nivå och tillhandahålla tidiga varningar m.m. till relevanta aktörer om risker och incidenter. <NOBR>CSIRT-enheten</NOBR> ska också delta i ett <NOBR>CSIRT-nätverk</NOBR> inom unionen.</P>
<P class="p11 ft8">Utredningens förslag innebär att Myndigheten för samhällsskydd och beredskap ska vara både nationell kontaktpunkt och CSIRT- enhet samt representera Sverige i samarbetsgruppen. Myndigheten för samhällsskydd och beredskap har redan i dag ett sådant uppdrag samt den struktur och kompetens som krävs för detta.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">21</P>
</DIV>
</DIV>
<DIV id="page_22">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Sammanfattning</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p59 ft11">Sekretess</P>
<P class="p68 ft8">Befintliga bestämmelser om sekretess omfattar uppgifter som ska rap- porteras och delas med anledning av incidenter samt tillhandahållas i samband med tillsyn. Det har inte framkommit några exempel på att den nuvarande regleringen är otillräcklig. Det finns därmed inte skäl att införa starkare sekretess för uppgifter som lämnas inom ramen för incidentrapporteringen.</P>
<P class="p51 ft8">Till följd av tillsynen kan tillsynsmyndigheterna emellertid få del av känsliga uppgifter om enskilds affärs- eller driftförhållande. För att sistnämnda uppgifter ska kunna skyddas behöver sekretessför- ordningen ändras så att sekretess för sådana uppgifter gäller i verk- samhet som består i tillsyn enligt det föreslagna regelverket.</P>
<P class="p61 ft35">Konsekvenser</P>
<P class="p54 ft8"><NOBR>NIS-direktivets</NOBR> genomförande kommer initialt att innebära kostna- der för de föreslagna tillsynsmyndigheterna. Kostnaderna kan till viss del, i vart fall på lång sikt, finansieras genom de samhällsekonomiska vinster som en hög gemensam nivå av säkerhet i nätverk och infor- mationssystem medför.</P>
<P class="p51 ft8">Utredningen föreslår att tillsynsmyndigheteras uppdrag enligt förslagen, i vart fall inledningsvis, ska vara anslagsfinansierade och för- delas på de utgiftsområden som respektive sektor tillhör. När det gäller kostnader för löpande tillsyn samt för kompetensförsörjning föreslår utredningen att Statskontoret ges i uppdrag att lämna ett förslag på genomförande och finansiering.</P>
<P class="p61 ft35">Ikraftträdande</P>
<P class="p54 ft8">Regelverket föreslås träda i kraft den 10 maj 2018, vilket är det datum som medlemsstaterna enligt <NOBR>NIS-direktivet</NOBR> ska tillämpa direktivets bestämmelser. För att lagen ska kunna tillämpas i enlighet med direk- tivet den dagen föreslår utredningen att vissa myndigheter dessför- innan ges i uppdrag att påbörja arbetet med myndighetsföreskrifter samt att vidta andra behövliga förberedelseåtgärder.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">22</P>
</DIV>
</DIV>
<DIV id="page_23">
<DIV id="dimg1">
<INGENBILD zsrc="H5B33623x1.jpg/" id="img1">
</DIV>
<P class="p4 ft7">1 Författningsförslag</P>
<P class="p69 ft35"><SPAN class="ft35">1.1</SPAN><SPAN class="ft40">Förslag till</SPAN></P>
<P class="p70 ft41">lag (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster</P>
<P class="p71 ft10">Härigenom föreskrivs<SPAN class="ft42">1 </SPAN>följande.</P>
<P class="p72 ft39">Inledande bestämmelse</P>
<P class="p73 ft8"><SPAN class="ft43">1 § </SPAN>Denna lag syftar till att uppnå en hög gemensam nivå på säker- het i nätverk och informationssystem inom den Europeiska unionen, för att förbättra den inre marknadens funktion.</P>
<P class="p11 ft8">Genom denna lag genomförs Europaparlamentets och rådets direktiv (EU) 2016/1148 av den 6 juli 2016 om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen <NOBR>(NIS-direktivet),</NOBR> utom vad gäller Sveriges skyldighet att anta en nationell strategi för säkerhet i nätverk och informationssystem.</P>
<P class="p64 ft39">Lagens tillämpningsområde</P>
<P class="p74 ft10"><SPAN class="ft39">2 § </SPAN>Denna lag gäller</P>
<P class="p75 ft8"><SPAN class="ft10">a)</SPAN><SPAN class="ft44">leverantörer av samhällsviktiga tjänster enligt definitionen i 7 § 3 som är etablerade på svenskt territorium.</SPAN></P>
<P class="p76 ft8"><SPAN class="ft10">b)</SPAN><SPAN class="ft44">leverantörer av digitala tjänster enligt definitionerna i 7 § 4 och 5 som har sitt huvudsakliga etableringsställe i Sverige eller har utsett</SPAN></P>
<P class="p77 ft38"><SPAN class="ft37">1 </SPAN>Jfr Europaparlamentets och rådets direktiv (EU) 2016/1148 av den 6 juli 2016 om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen, i den ursprungliga lydelsen.</P>
<P class="p78 ft18">23</P>
</DIV>
<DIV id="page_24">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Författningsförslag</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8">en företrädare som är etablerad här, dock inte mikroföretag eller små företag enligt definitionen i kommissionens rekommendation 2003/361/EG av den 6 maj 2003 om definitionen av mikroföretag samt små och medelstora företag.</P>
<P class="p53 ft39">Undantag från lagens tillämpningsområde</P>
<P class="p79 ft45">Elektronisk kommunikation</P>
<P class="p60 ft8"><SPAN class="ft43">3 § </SPAN>Lagen gäller inte för företag som omfattas av kraven i artiklarna 13a och 13b i Europaparlamentets och rådets direktiv 2002/21/EG av den 7 mars 2002 om ett gemensamt regelverk för elektroniska kom- munikationsnät och kommunikationstjänster (ramdirektiv), i lydel- sen enligt Europaparlamentets och rådets direktiv 2009/140/EG, utom företag som tillhandahåller internetknutpunkter.</P>
<P class="p61 ft45">Betrodda tjänster</P>
<P class="p68 ft8"><SPAN class="ft43">4 § </SPAN>Lagen gäller inte för leverantörer av betrodda tjänster som om- fattas av kraven i artikel 19 i Europaparlamentets och rådets förord- ning (EU) nr 910/2014 av den 23 juli 2014 om elektronisk identi- fiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv 1999/93/EG, i den ursprungliga lydelsen.</P>
<P class="p61 ft45">Avvikande bestämmelser i <NOBR>EU-rättsakter</NOBR> eller i annan författning</P>
<P class="p54 ft8"><SPAN class="ft43">5 § </SPAN>Finns bestämmelser i bindande <NOBR>EU-rättsakter</NOBR> om krav på att leverantörer av samhällsviktiga tjänster eller leverantörer av digitala tjänster ska säkerställa säkerheten i sina nätverk och informations- system eller rapportera incidenter så ska denna lag inte tillämpas förut- satt att verkan av kraven minst motsvarar verkan av skyldigheterna i denna lag.</P>
<P class="p51 ft8">Finns sådana bestämmelser i annan författning ska de bestämmel- serna tillämpas om kraven minst motsvarar verkan av skyldigheter- na i denna lag.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">24</P>
</DIV>
</DIV>
<DIV id="page_25">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td51"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td52"><P class="p22 ft33">Författningsförslag</P></TD>
</TR>
</TABLE>
<P class="p80 ft45">Sveriges säkerhet</P>
<P class="p81 ft8"><SPAN class="ft43">6 § </SPAN>Bestämmelserna i denna lag ska inte tillämpas på verksamhet som är av betydelse för Sveriges säkerhet.</P>
<P class="p64 ft39">Definitioner i lagen</P>
<P class="p74 ft10"><SPAN class="ft39">7 § </SPAN>I denna lag avses med</P>
<P class="p82 ft10">1. nätverk och informationssystem:</P>
<P class="p75 ft8"><SPAN class="ft10">a)</SPAN><SPAN class="ft44">ett elektroniskt kommunikationsnät enligt artikel 2 a i direk- tiv 2002/21/EG, i lydelsen enligt direktiv 2009/140/EG,</SPAN></P>
<P class="p76 ft8"><SPAN class="ft10">b)</SPAN><SPAN class="ft44">en enhet eller en grupp enheter som är sammankopplade eller hör samman med varandra, av vilka en eller flera genom ett program utför automatisk behandling av digitala uppgifter, eller</SPAN></P>
<P class="p76 ft8"><SPAN class="ft10">c)</SPAN><SPAN class="ft44">digitala uppgifter som lagras, behandlas, hämtas eller överförs med sådana hjälpmedel som omfattas av leden a och b för att de ska kunna drivas, användas, skyddas och underhållas,</SPAN></P>
<P class="p76 ft9"><SPAN class="ft10">2.</SPAN><SPAN class="ft46">säkerhet i nätverk och informationssystem: </SPAN><SPAN class="ft8">nätverk och infor- mationssystems förmåga att vid en viss tillförlitlighetsnivå motstå åtgärder som undergräver tillgängligheten, autenticiteten, riktigheten eller konfidentialiteten hos lagrade eller överförda eller behandlade uppgifter eller hos de besläktade tjänster som erbjuds genom eller är tillgängliga via dessa nätverk och informationssystem,</SPAN></P>
<P class="p83 ft9"><SPAN class="ft10">3.</SPAN><SPAN class="ft46">leverantör av samhällsviktiga tjänster: </SPAN><SPAN class="ft8">en enhet av en typ som avses i bilaga 2 till </SPAN><NOBR><SPAN class="ft8">NIS-direktivet</SPAN></NOBR><SPAN class="ft8"> och som tillhandhåller en tjänst som är viktig för att upprätthålla kritisk samhällelig eller ekonomisk verksamhet, tillhandhållandet av tjänsten är beroende av nätverk och informationssystem och en incident skulle medföra en betydande störning av tillhandahållandet av tjänsten,</SPAN></P>
<P class="p76 ft8"><SPAN class="ft10">4.</SPAN><SPAN class="ft47">digital tjänst</SPAN>: en tjänst i den mening som avses i artikel 1.1 b i Europaparlamentets och rådets direktiv (EU) 2015/1535 av den 9 september 2015 om ett informationsförfarande beträffande tek- niska föreskrifter och beträffande föreskrifter för informationssam- hällets tjänster, i den ursprungliga lydelsen, av en typ som anges i bilaga 3 till <NOBR>NIS-direktivet,</NOBR></P>
<P class="p84 ft8"><SPAN class="ft10">5.</SPAN><SPAN class="ft47">leverantör av digital tjänst: </SPAN>en juridisk person som tillhanda- håller en digital tjänst,</P>
<P class="p76 ft49"><SPAN class="ft10">6.</SPAN><SPAN class="ft48">incident: </SPAN>en händelse med en faktisk negativ inverkan på säker- heten i nätverk eller informationssystem,</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">25</P>
</DIV>
</DIV>
<DIV id="page_26">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Författningsförslag</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p85 ft8"><SPAN class="ft10">7.</SPAN><SPAN class="ft50">incidenthantering: </SPAN>alla förfaranden som stöder upptäckt, analys och begränsning av en incident och åtgärder mot en incident,</P>
<P class="p86 ft8"><SPAN class="ft10">8.</SPAN><SPAN class="ft50">risk: </SPAN>en rimligen identifierbar omständighet eller händelse med en potentiell negativ inverkan på säkerheten i nätverk eller informa- tionssystem,</P>
<P class="p86 ft8"><SPAN class="ft10">9.</SPAN><SPAN class="ft47">företrädare: </SPAN>en i unionen etablerad fysisk eller juridisk person som uttryckligen har utsetts att agera för en leverantör av digitala tjänster som inte är etablerad i unionen, till vilken en behörig natio- nell myndighet eller en <NOBR>CSIRT-enhet</NOBR> kan vända sig, i stället för till leverantören av digitala tjänster, i frågor som gäller de skyldigheter som leverantören av digitala tjänster har enligt denna lag,</P>
<P class="p86 ft8"><SPAN class="ft10">10.</SPAN><SPAN class="ft50">standard: </SPAN>en standard i den mening som avses i artikel 2.1 i Europaparlamentets och rådets förordning (EU) nr 1025/2012 av den 25 oktober 2012 om europeisk standardisering och om ändring av rådets direktiv 89/686/EEG och 93/15/EEG samt av Europa- parlamentets och rådets direktiv 94/9/EG, 94/25/EG, 95/16/EG, 97/23/EG, 98/34/EG, 2004/22/EG, 2007/23/EG, 2009/23/EG och 2009/105/EG samt om upphävande av rådets beslut 87/95/EEG och Europaparlamentets och rådets beslut 1673/2006/EG<SPAN class="ft9">, </SPAN>i den ursprung- liga lydelsen</P>
<P class="p86 ft8"><SPAN class="ft10">11.</SPAN><SPAN class="ft50">specifikation: </SPAN>en teknisk specifikation i den mening som av- ses i artikel 2.4 i förordning (EU) nr 1025/2012, i den ursprungliga lydelsen,</P>
<P class="p87 ft8"><SPAN class="ft10">12.</SPAN><SPAN class="ft50">internetknutpunkt (IXP): </SPAN>en nätfacilitet som möjliggör sam- mankoppling av mer än två oberoende autonoma system, främst i syfte att underlätta utbytet av internettrafik. En IXP tillhandahåller sammankoppling enbart för autonoma system och kräver inte att den internettrafik som passerar mellan två deltagande autonoma system passerar genom ett tredje autonomt system och ändrar inte heller trafiken eller påverkar den på något annat sätt,</P>
<P class="p86 ft8"><SPAN class="ft10">13.</SPAN><SPAN class="ft50">domännamnssystem (DNS): </SPAN>ett hierarkiskt, distribuerat namn- givningssystem i ett nätverk som hanterar domännamnsförfrågningar,</P>
<P class="p86 ft8"><SPAN class="ft10">14.</SPAN><SPAN class="ft50">leverantör av </SPAN><NOBR><SPAN class="ft9">DNS-tjänst:</SPAN></NOBR><SPAN class="ft9"> </SPAN>en enhet som tillhandahåller DNS- tjänster på internet,</P>
<P class="p86 ft9"><SPAN class="ft10">15.</SPAN><SPAN class="ft50">registreringsenhet för toppdomäner: </SPAN><SPAN class="ft8">en enhet som administre- rar och förvaltar registreringen av internetdomännamn under en spe- cifik toppdomän,</SPAN></P>
<P class="p86 ft52"><SPAN class="ft10">16.</SPAN><SPAN class="ft51">internetbaserad marknadsplats: </SPAN><SPAN class="ft49">en digital tjänst som gör det möjligt för konsumenter eller näringsidkare enligt definitionen i</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">26</P>
</DIV>
</DIV>
<DIV id="page_27">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td51"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td52"><P class="p22 ft33">Författningsförslag</P></TD>
</TR>
</TABLE>
<P class="p88 ft8">artikel 4.1 a respektive 4.1 b i Europaparlamentets och rådets direk- tiv 2013/11/EU av den 21 maj 2013 om alternativ tvistlösning vid konsumenttvister och om ändring av förordning (EG) nr 2006/2004 och direktiv 2009/22/EG (direktivet om alternativ tvistlösning), i den ursprungliga lydelsen, att ingå internetbaserade köpeavtal eller tjänste- avtal med näringsidkare antingen på webbplatsen för den internetbase- rade marknadsplatsen eller på en webbplats tillhörande en närings- idkare där datatjänster som tillhandahålls av en internetbaserad mark- nadsplats används,</P>
<P class="p76 ft8"><SPAN class="ft10">17.</SPAN><SPAN class="ft47">internetbaserad sökmotor: </SPAN>en digital tjänst som gör det möjligt för användare att göra sökningar på i princip alla webbplatser eller webbplatser på ett visst språk på grundval av en förfrågan om vilket ämne som helst i form av ett nyckelord, en fras eller annan inmat- ning och som returnerar länkar som innehåller information om det begärda innehållet,</P>
<P class="p76 ft8"><SPAN class="ft10">18.</SPAN><SPAN class="ft47">molntjänst: </SPAN>en digital tjänst som möjliggör tillgång till en skal- bar och elastisk pool av delbara dataresurser,</P>
<P class="p76 ft8"><SPAN class="ft10">19.</SPAN><NOBR><SPAN class="ft50">NIS-direktivet:</SPAN></NOBR><SPAN class="ft9"> </SPAN>Europaparlamentets och rådets direktiv (EU) 2016/1148 av den 6 juli 2016 om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen, i den ursprungliga lydelsen</P>
<P class="p84 ft8"><SPAN class="ft10">20.</SPAN><SPAN class="ft50">säkerhetsprinciper: </SPAN>styrande dokument, till exempel föreskrift- er och interna riktlinjer,</P>
<P class="p75 ft8"><SPAN class="ft10">21.</SPAN><NOBR><SPAN class="ft47">CSIRT-enhet:</SPAN></NOBR><SPAN class="ft9"> </SPAN>enhet för <NOBR>it-säkerhetsincidenter</NOBR> (Computer Security Incident Response Team)</P>
<P class="p64 ft39">Identifiering av leverantörer av samhällsviktiga tjänster</P>
<P class="p57 ft8"><SPAN class="ft43">8 § </SPAN>Den som är ansvarig för en verksamhet som tillhandahåller en tjänst som är viktig för att upprätthålla kritisk samhällelig eller ekono- misk verksamhet (samhällsviktig tjänst) ska undersöka om tillhanda- hållandet av tjänsten är beroende av nätverk eller informationssystem och om en incident skulle medföra en betydande störning vid till- handahållandet av tjänsten.</P>
<P class="p11 ft8">Följande sektoröverskridande faktorer ska beaktas när leveran- tören fastställer om en störning är betydande.</P>
<P class="p11 ft8">1. Det antal användare som är beroende av den tjänst som den berörda enheten tillhandahåller.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">27</P>
</DIV>
</DIV>
<DIV id="page_28">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Författningsförslag</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p89 ft8"><SPAN class="ft10">2.</SPAN><SPAN class="ft53">Hur beroende andra sektorer enligt bilaga 2 till </SPAN><NOBR>NIS-direktivet</NOBR> är av den tjänst som enheten tillhandahåller.</P>
<P class="p51 ft8"><SPAN class="ft10">3.</SPAN><SPAN class="ft44">Vilken inverkan incidenter skulle kunna ha på ekonomisk och samhällelig verksamhet eller allmän säkerhet, uttryckt i grad och var- aktighet.</SPAN></P>
<P class="p90 ft10"><SPAN class="ft10">4.</SPAN><SPAN class="ft54">Enhetens marknadsandel.</SPAN></P>
<P class="p52 ft8"><SPAN class="ft10">5.</SPAN><SPAN class="ft44">Hur stort geografiskt område som skulle kunna påverkas av en incident.</SPAN></P>
<P class="p51 ft8"><SPAN class="ft10">6.</SPAN><SPAN class="ft53">Enhetens betydelse för upprätthållandet av en tillräcklig tjänste- nivå, med beaktande av tillgången till alternativa sätt för att till- handahålla tjänsten.</SPAN></P>
<P class="p91 ft8">När det är lämpligt ska även sektorspecifika faktorer beaktas. Tillhandahålls tjänsten även i andra länder i den Europeiska union-</P>
<P class="p92 ft8">en ska den nationella kontaktpunkten samråda med motsvarande funktion i andra berörda länder innan beslut om identifiering fattas.</P>
<P class="p90 ft10">Undersökningen ska dokumenteras.</P>
<P class="p93 ft39">Utseende av företrädare för leverantör av digitala tjänster</P>
<P class="p68 ft8"><SPAN class="ft43">9 § </SPAN>En leverantör av digitala tjänster som erbjuder digitala tjänster i Sverige men som inte har sitt huvudsakliga etableringsställe inom Europeiska unionen ska utse en företrädare i något av de länder i unionen där tjänsterna erbjuds.</P>
<P class="p61 ft39">Säkerhetsåtgärder</P>
<P class="p94 ft45">Leverantörer av samhällsviktiga tjänster</P>
<P class="p54 ft8"><SPAN class="ft43">10 § </SPAN>Leverantörer av samhällsviktiga tjänster ska bedriva ett syste- matiskt och riskbaserat informationssäkerhetsarbete.</P>
<P class="p95 ft8"><SPAN class="ft43">11 § </SPAN>Leverantörer av samhällsviktiga tjänster ska vidta ändamåls- enliga och proportionella tekniska och organisatoriska åtgärder för att hantera risker som hotar säkerheten i nätverk och informations- system som de använder i sin verksamhet. Med beaktande av den senaste tekniska utvecklingen ska dessa åtgärder säkerställa en nivå på säkerheten i nätverk och informationssystem som är lämplig i förhållande till den föreliggande risken.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">28</P>
</DIV>
</DIV>
<DIV id="page_29">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td51"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td52"><P class="p22 ft33">Författningsförslag</P></TD>
</TR>
</TABLE>
<P class="p96 ft8"><SPAN class="ft43">12 § </SPAN>Leverantörer av samhällsviktiga tjänster ska vidta lämpliga åt- gärder för att förebygga och minimera verkningarna av incidenter som påverkar säkerheten i nätverk och informationssystem som an- vänds för att tillhandahålla sådana samhällsviktiga tjänster, i syfte att säkerställa kontinuiteten i dessa tjänster.</P>
<P class="p97 ft8"><SPAN class="ft43">13 § </SPAN>Leverantörer av samhällsviktiga tjänster ska göra en riskanalys som ska ligga till grund för val av säkerhetsåtgärder enligt 11 och 12 §§. I analysen ska ingå en åtgärdsplan. Analysen ska dokumente- ras och uppdateras årligen.</P>
<P class="p64 ft45">Leverantörer av digitala tjänster</P>
<P class="p57 ft8"><SPAN class="ft43">14 § </SPAN>Leverantörer av digitala tjänster ska utarbeta och vidta ända- målsenliga och proportionella tekniska och organisatoriska åtgärder för att hantera risker som hotar säkerheten i nätverk och informa- tionssystem som de använder när de tillhandahåller internetbaserade marknadsplatser, internetbaserade sökmotorer eller molntjänster inom unionen. Med beaktande av den senaste tekniska utvecklingen ska dessa åtgärder säkerställa en nivå på säkerheten i nätverk och in- formationssystem som är lämplig i förhållande till den föreliggande risken, varvid hänsyn ska tas till</P>
<P class="p98 ft10"><SPAN class="ft10">1.</SPAN><SPAN class="ft54">säkerheten i system och anläggningar,</SPAN></P>
<P class="p99 ft10"><SPAN class="ft10">2.</SPAN><SPAN class="ft54">incidenthantering,</SPAN></P>
<P class="p99 ft10"><SPAN class="ft10">3.</SPAN><SPAN class="ft54">hantering av driftskontinuitet,</SPAN></P>
<P class="p100 ft10"><SPAN class="ft10">4.</SPAN><SPAN class="ft54">övervakning, revision och testning och</SPAN></P>
<P class="p99 ft10"><SPAN class="ft10">5.</SPAN><SPAN class="ft54">efterlevnad av internationella standarder.</SPAN></P>
<P class="p101 ft8"><SPAN class="ft43">15 § </SPAN>Leverantörer av digitala tjänster ska vidta åtgärder för att före- bygga och minimera den inverkan som incidenter som påverkar säkerheten i deras nätverk och informationssystem har på internet- baserade marknadsplatser, internetbaserade sökmotorer och moln- tjänster som erbjuds inom unionen, i syfte att säkerställa kontinuite- ten i dessa tjänster.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">29</P>
</DIV>
</DIV>
<DIV id="page_30">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Författningsförslag</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p102 ft39">Incidentrapportering</P>
<P class="p94 ft45">Leverantörer av samhällsviktiga tjänster</P>
<P class="p68 ft8"><SPAN class="ft43">16 § </SPAN>Leverantörer av samhällsviktiga tjänster ska utan onödigt dröjs- mål rapportera incidenter som har en betydande inverkan på kon- tinuiteten i den samhällsviktiga tjänst som de tillhandahåller. Rap- porteringen ska göras till <NOBR>CSIRT-enheten.</NOBR></P>
<P class="p51 ft8">Rapporterna ska innehålla information som gör det möjligt för <NOBR>CSIRT-enheten</NOBR> att fastställa incidentens eventuella gränsöverskri- dande verkningar.</P>
<P class="p51 ft49">Rapportering ska inte medföra ökat ansvar för den rapporte- rande parten.</P>
<P class="p103 ft8"><SPAN class="ft43">17 § </SPAN>För att fastställa om en incident har en betydande inverkan på kontinuiteten i den samhällsviktiga tjänsten ska hänsyn framför allt tas till följande faktorer.</P>
<P class="p51 ft8"><SPAN class="ft10">1.</SPAN><SPAN class="ft44">Det antal användare som påverkas av störningen av den sam- hällsviktiga tjänsten.</SPAN></P>
<P class="p90 ft10"><SPAN class="ft10">2.</SPAN><SPAN class="ft54">Hur länge incidenten varar.</SPAN></P>
<P class="p104 ft10"><SPAN class="ft10">3.</SPAN><SPAN class="ft54">Hur stort geografiskt område som påverkas av incidenten.</SPAN></P>
<P class="p66 ft8"><SPAN class="ft43">18 § </SPAN>Är en leverantör av samhällsviktiga tjänster beroende av en tredjepartsleverantör av digitala tjänster för tillhandahållandet av en tjänst som är viktig för att upprätthålla kritisk samhällelig och eko- nomisk verksamhet, ska leverantören av samhällsviktiga tjänster rap- portera varje betydande inverkan på kontinuiteten i den samhälls- viktiga tjänsten till följd av en incident som påverkar leverantören av digitala tjänster.</P>
<P class="p61 ft45">Leverantörer av digitala tjänster</P>
<P class="p60 ft8"><SPAN class="ft43">19 § </SPAN>Leverantörer av digitala tjänster ska utan onödigt dröjsmål rapportera alla incidenter som har en avsevärd inverkan på tillhanda- hållandet av en internetbaserad marknadsplats, internetbaserad sök- motor eller molntjänst som de erbjuder inom unionen. Rapporte- ringen ska göras till <NOBR>CSIRT-enheten.</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">30</P>
</DIV>
</DIV>
<DIV id="page_31">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td51"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td52"><P class="p22 ft33">Författningsförslag</P></TD>
</TR>
</TABLE>
<P class="p105 ft8">Rapporterna ska innehålla information som gör det möjligt för <NOBR>CSIRT-enheten</NOBR> att fastställa vilken betydelse eventuell gränsöver- skridande inverkan har.</P>
<P class="p106 ft8">Rapportering ska inte medföra ökat ansvar för den rapporte- rande parten.</P>
<P class="p97 ft8"><SPAN class="ft43">20 § </SPAN>För att fastställa om en incident har en avsevärd inverkan ska hänsyn framför allt tas till följande faktorer.</P>
<P class="p84 ft8"><SPAN class="ft10">1.</SPAN><SPAN class="ft55">Det antal användare som påverkas av incidenten, framför allt användare som är beroende av tjänsten för att kunna tillhandahålla sina egna tjänster.</SPAN></P>
<P class="p98 ft10"><SPAN class="ft10">2.</SPAN><SPAN class="ft54">Hur länge incidenten varar.</SPAN></P>
<P class="p99 ft10"><SPAN class="ft10">3.</SPAN><SPAN class="ft54">Hur stort geografiskt område som påverkas av incidenten.</SPAN></P>
<P class="p99 ft10"><SPAN class="ft10">4.</SPAN><SPAN class="ft54">I vilken utsträckning incidenten stör tjänstens funktion.</SPAN></P>
<P class="p83 ft8"><SPAN class="ft10">5.</SPAN><SPAN class="ft55">I vilken utsträckning incidenten inverkar på den ekonomiska och samhälleliga verksamheten.</SPAN></P>
<P class="p11 ft8">Skyldigheten att rapportera en incident ska endast gälla om leve- rantören av digitala tjänster har tillgång till den information som behövs för att bedöma en incidents inverkan mot bakgrund av de faktorer som avses i första stycket.</P>
<P class="p64 ft39">Förpliktande att informera allmänheten om en incident</P>
<P class="p57 ft8"><SPAN class="ft43">21 § </SPAN>Efter samråd med den berörda leverantören av digitala tjänster får <NOBR>CSIRT-enheten,</NOBR> om det är lämpligt, förplikta leverantören att informera allmänheten om enskilda incidenter. En förutsättning för ett sådant förpliktande är att allmänheten behöver känna till inci- denten för att det ska vara möjligt att förhindra en incident eller åt- gärda en pågående incident eller om incidentens avslöjande på annat sätt omfattas av allmänintresset.</P>
<P class="p72 ft39">Tillsyn</P>
<P class="p65 ft8"><SPAN class="ft43">22 § </SPAN>Den myndighet som regeringen bestämmer ska vara nationell behörig myndighet.</P>
<P class="p11 ft8">Den nationella behöriga myndigheten ska utöva tillsyn över att denna lag och föreskrifter som meddelats i anslutning till lagen följs (tillsynsmyndighet).</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">31</P>
</DIV>
</DIV>
<DIV id="page_32">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Författningsförslag</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8"><SPAN class="ft43">23 § </SPAN>Tillsynsmyndigheten har rätt att i den utsträckning det behövs för tillsynen få tillträde till områden, lokaler och andra utrymmen, dock inte bostäder, där verksamhet som omfattas av denna lag be- drivs.</P>
<P class="p107 ft8"><SPAN class="ft43">24 § </SPAN>Tillsynsmyndigheten får förelägga den som står under tillsyn att tillhandahålla information i enlighet med 26 och 27 §§.</P>
<P class="p108 ft10">Ett föreläggande får förenas med vite.</P>
<P class="p109 ft8"><SPAN class="ft43">25 § </SPAN>Tillsynsmyndigheten har rätt att få verkställighet hos Krono- fogdemyndigheten av beslut som avser åtgärder enligt denna lag. Då gäller bestämmelserna i utsökningsbalken om verkställighet av för- pliktelser som inte avser betalningsskyldighet eller avhysning.</P>
<P class="p61 ft45">Leverantörer av samhällsviktiga tjänster</P>
<P class="p68 ft8"><SPAN class="ft43">26 § </SPAN>Vid tillsyn ska en leverantör av samhällsviktiga tjänster till- handahålla tillsynsmyndigheten</P>
<P class="p90 ft10"><SPAN class="ft10">1.</SPAN><SPAN class="ft54">den information som är nödvändig för att bedöma säkerheten</SPAN></P>
<P class="p110 ft8"><SPAN class="ft10">i</SPAN><SPAN class="ft56">leverantörens nätverk och informationssystem, inbegripet doku- menterade säkerhetsprinciper,</SPAN></P>
<P class="p51 ft8"><SPAN class="ft10">2.</SPAN><SPAN class="ft44">bevis för ett effektivt genomförande av säkerhetsprinciper, så- som resultaten av en säkerhetsrevision utförd av tillsynsmyndigheten eller en auktoriserad revisor och, i det senare fallet, att ge tillsynsmyn- digheten tillgång till resultaten, inklusive de underliggande bevisen, och</SPAN></P>
<P class="p111 ft8"><SPAN class="ft10">3.</SPAN><SPAN class="ft44">annan information som behövs vid bedömningen av om leve- rantören uppfyller sina skyldigheter.</SPAN></P>
<P class="p51 ft8">När tillsynsmyndigheten begär sådan information eller bevis ska den uppge syftet med begäran och precisera vilken information som krävs.</P>
<P class="p112 ft45">Leverantörer av digitala tjänster</P>
<P class="p60 ft8"><SPAN class="ft43">27 § </SPAN>Vid tillsyn ska en leverantör av digitala tjänster tillhandahålla tillsynsmyndigheten den information som behövs för en bedömning av säkerheten i leverantörernas nätverk och informationssystem, in- begripet dokumenterade säkerhetsprinciper.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">32</P>
</DIV>
</DIV>
<DIV id="page_33">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td51"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td52"><P class="p22 ft33">Författningsförslag</P></TD>
</TR>
</TABLE>
<P class="p96 ft8"><SPAN class="ft43">28 § </SPAN>Tillsynsåtgärder beträffande leverantörer av digitala tjänster får vidtas endast när tillsynsmyndigheten har fått kännedom om att leverantören inte uppfyller kraven i 14, 15 eller 16 §§.</P>
<P class="p3 ft39">Sanktioner och ingripanden</P>
<P class="p56 ft45">Underrättelse m.m.</P>
<P class="p57 ft8"><SPAN class="ft43">29 § </SPAN>Om tillsynsmyndigheten finner skäl att misstänka att en leve- rantör av samhällsviktiga tjänster inte följer lagen eller föreskrifter som har meddelats i anslutning till lagen, ska myndigheten under- rätta leverantören om detta förhållande och ge denne möjlighet att yttra sig inom skälig tid.</P>
<P class="p97 ft8"><SPAN class="ft43">30 § </SPAN>Om tillsynsmyndigheten konstaterar att en leverantör av sam- hällsviktiga tjänster eller en leverantör av digitala tjänster inte följer lagen eller föreskrifter som har meddelats i anslutning till lagen, ska tillsynsmyndigheten genom påpekanden eller liknande förfaranden försöka åstadkomma rättelse.</P>
<P class="p64 ft45">Föreläggande m.m.</P>
<P class="p113 ft8"><SPAN class="ft43">31 § </SPAN>Tillsynsmyndigheten får meddela de förelägganden som be- hövs för att leverantörer av samhällsviktiga tjänster och leveran- törer av digitala tjänster ska uppfylla de säkerhetskrav och krav på incidentrapportering som följer av denna lag och av föreskrifter som har meddelats i anslutning till lagen.</P>
<P class="p114 ft10">Ett föreläggande får förenas med vite.</P>
<P class="p72 ft45">Sanktionsavgift</P>
<P class="p65 ft8"><SPAN class="ft43">32 § </SPAN>Tillsynsmyndigheten ska besluta att sanktionsavgift ska tas ut av den som</P>
<P class="p84 ft8"><SPAN class="ft10">1.</SPAN><SPAN class="ft55">underlåter att vidta säkerhetsåtgärder enligt 11, 12, 14 eller 15 §§ eller</SPAN></P>
<P class="p115 ft8"><SPAN class="ft10">2.</SPAN><SPAN class="ft44">underlåter att incidentrapportera enligt 16 eller 19 §§. Avgiften tillfaller staten.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">33</P>
</DIV>
</DIV>
<DIV id="page_34">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Författningsförslag</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p116 ft8"><SPAN class="ft43">33 § </SPAN>Sanktionsavgiften ska bestämmas till lägst 5 000 kronor och högst 10 000 000 kronor.</P>
<P class="p117 ft8"><SPAN class="ft43">34 § </SPAN>När sanktionsavgiftens storlek bestäms ska hänsyn tas till samt- liga relevanta omständigheter. Särskild hänsyn ska tas till den skada eller risk för skada som uppstått till följd av regelöverträdelsen, om leverantören tidigare har begått en överträdelse samt de kostnader som leverantören undvikit till följd av överträdelsen.</P>
<P class="p117 ft8"><SPAN class="ft43">35 § </SPAN>Sanktionsavgiften får efterges helt eller delvis om överträdel- sen är ringa eller ursäktlig eller om det annars med hänsyn till om- ständigheterna skulle vara oskäligt att ta ut avgiften.</P>
<P class="p117 ft8"><SPAN class="ft43">36 § </SPAN>Tillsynsmyndigheten får inte ingripa med sanktionsavgift om överträdelsen omfattas av ett föreläggande om vite och överträdel- sen ligger till grund för en ansökan om utdömande av vitet.</P>
<P class="p117 ft8"><SPAN class="ft43">37 § </SPAN>Ett beslut om sanktionsavgift ska vara skriftligt och innehålla skälen för beslutet.</P>
<P class="p118 ft10">Innan tillsynsmyndigheten beslutar om sanktionsavgift ska den som beslutet kommer att riktas mot ges tillfälle att yttra sig.</P>
<P class="p119 ft8"><SPAN class="ft43">38 § </SPAN>Sanktionsavgift får inte beslutas om den som anspråket riktas mot inte har getts tillfälle att yttra sig inom två år efter överträdelsen.</P>
<P class="p117 ft8"><SPAN class="ft43">39 § </SPAN>Sanktionsavgiften ska betalas till tillsynsmyndigheten inom trettio dagar efter det att beslutet om sanktionsavgiften fått laga kraft eller den längre tid som anges i beslutet.</P>
<P class="p120 ft8"><SPAN class="ft43">40 § </SPAN>Ett beslut om sanktionsavgift får verkställas utan föregående dom eller utslag om avgiften inte har betalts inom den tid som anges i 39 §.</P>
<P class="p121 ft8"><SPAN class="ft43">41 § </SPAN>Om sanktionsavgiften inte betalas inom den tid som anges i 39 §, ska tillsynsmyndigheten lämna den obetalda avgiften för in- drivning.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">34</P>
</DIV>
</DIV>
<DIV id="page_35">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t16">
<TR>
<TD class="tr7 td51"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td52"><P class="p22 ft33">Författningsförslag</P></TD>
</TR>
</TABLE>
<P class="p122 ft8"><SPAN class="ft43">42 § </SPAN>En beslutad sanktionsavgift faller bort om beslutet om av- giften inte har verkställts inom fem år från det att beslutet fick laga kraft.</P>
<P class="p123 ft39">Gemensam nationell kontaktpunkt</P>
<P class="p124 ft8"><SPAN class="ft43">43 § </SPAN>Den myndighet som regeringen bestämmer ska vara gemensam nationell kontaktpunkt.</P>
<P class="p125 ft39">Enhet för hantering av <NOBR>it-säkerhetsincidenter</NOBR> <NOBR>(CSIRT-enhet)</NOBR></P>
<P class="p126 ft8"><SPAN class="ft43">44 § </SPAN>Den myndighet som regeringen bestämmer ska vara CSIRT- enhet.</P>
<P class="p127 ft39">Bemyndigande</P>
<P class="p128 ft8"><SPAN class="ft43">45 § </SPAN>Regeringen eller den myndighet som regeringen bestämmer får, beträffande leverantörer av samhällsviktiga tjänster, meddela före- skrifter om</P>
<P class="p129 ft8"><SPAN class="ft10">1.</SPAN><SPAN class="ft44">vilka sektorspecifika och sektoröverskridande faktorer som ska beaktas för att fastställa om en incident medför en betydande stör- ning vid identifiering av leverantörer av samhällsviktiga tjänster en- ligt 8 §,</SPAN></P>
<P class="p106 ft8"><SPAN class="ft10">2.</SPAN><SPAN class="ft44">ett systematiskt och riskbaserat informationssäkerhetsarbete enligt 10 §, och</SPAN></P>
<P class="p106 ft8"><SPAN class="ft10">3.</SPAN><SPAN class="ft44">vilka faktorer som ska användas för att avgöra om en incident har en betydande inverkan på kontinuiteten i en samhällsviktig tjänst enligt 17 § och därför medför krav på rapportering.</SPAN></P>
<P class="p64 ft39">Föreskrifter</P>
<P class="p56 ft45">Leverantörer av samhällsviktiga tjänster</P>
<P class="p57 ft8"><SPAN class="ft43">46 § </SPAN>Regeringen eller den myndighet regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen, beträffande leverantörer av sam- hällsviktiga tjänster, meddela föreskrifter om</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">35</P>
</DIV>
</DIV>
<DIV id="page_36">
<DIV id="dimg1">
<INGENBILD zsrc="H5B33636x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Författningsförslag</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p130 ft8"><SPAN class="ft10">1.</SPAN><SPAN class="ft44">vilka tjänster som är viktiga för att upprätthålla kritisk sam- hällelig eller ekonomisk verksamhet (samhällsviktiga tjänster),</SPAN></P>
<P class="p131 ft10"><SPAN class="ft10">2.</SPAN><SPAN class="ft54">utformningen av säkerhetsåtgärder som avses i 11 och 12 §§,</SPAN></P>
<P class="p132 ft10"><SPAN class="ft10">3.</SPAN><SPAN class="ft54">rapportering av incidenter som avses i 16 §, och</SPAN></P>
<P class="p132 ft10"><SPAN class="ft10">4.</SPAN><SPAN class="ft54">förutsättningarna för frivillig rapportering av incidenter.</SPAN></P>
<P class="p64 ft45">Leverantörer av digitala tjänster</P>
<P class="p133 ft8"><SPAN class="ft43">47 § </SPAN>Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen, beträffande leverantörer av digitala tjänster, meddela föreskrifter om</P>
<P class="p131 ft10"><SPAN class="ft10">1.</SPAN><SPAN class="ft54">rapportering av incidenter som avses i 19 § och</SPAN></P>
<P class="p132 ft10"><SPAN class="ft10">2.</SPAN><SPAN class="ft54">förutsättningarna för frivillig rapportering av incidenter.</SPAN></P>
<P class="p72 ft39">Överklagande m.m.</P>
<P class="p134 ft8"><SPAN class="ft43">48 § </SPAN>Tillsynsmyndigheten får bestämma att ett beslut om föreläg- gande enligt denna lag ska gälla omedelbart.</P>
<P class="p135 ft8"><SPAN class="ft43">49 § </SPAN>En myndighets beslut enligt denna lag eller enligt föreskrifter som meddelats i anslutning till lagen får överklagas till allmän för- valtningsdomstol. Prövningstillstånd krävs vid överklagande till kam- marrätten.</P>
<P class="p130 ft8">Kammarrättens avgörande i ett mål enligt denna lag får inte över- klagas.</P>
<P class="p136 ft10">Denna lag träder i kraft den 10 maj 2018.</P>
</DIV>
<DIV id="id_3">
<P class="p4 ft18">36</P>
</DIV>
</DIV>
<DIV id="page_37">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td51"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td52"><P class="p22 ft33">Författningsförslag</P></TD>
</TR>
</TABLE>
<P class="p137 ft35"><SPAN class="ft35">1.2</SPAN><SPAN class="ft40">Förslag till</SPAN></P>
<P class="p138 ft57">förordning (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster</P>
<P class="p139 ft10">Regeringen föreskriver följande.</P>
<P class="p64 ft39">Inledande bestämmelser</P>
<P class="p113 ft8"><SPAN class="ft43">1 § </SPAN>Denna förordning har samma syfte som lagen (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster och genomför tillsammans med lagen Europaparlamentets och rådets direktiv (EU) 2016/1148 av den 6 juli 2016 om åtgärder för en hög gemensam nivå på säkerhet i nät- verks- och informationssystem i hela unionen <NOBR>(NIS-direktivet),</NOBR> utom vad gäller Sveriges skyldighet att anta en nationell strategi för säker- het i nätverk och informationssystem.</P>
<P class="p97 ft8"><SPAN class="ft43">2 § </SPAN>De definitioner som anges i 7 § i lagen (2018:000) om informa- tionssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster har samma innebörd i denna förordning.</P>
<P class="p64 ft39">Identifiering av leverantörer av samhällsviktiga tjänster</P>
<P class="p57 ft8"><SPAN class="ft43">3 § </SPAN>Myndigheten för samhällsskydd och beredskap ska företräda Sverige i bilaterala och multilaterala samråd när en samhällsviktig tjänst tillhandahålls i ett eller flera andra länder i den Europeiska unionen enligt 8 § fjärde stycket lagen (2018:000) om informations- säkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster.</P>
<P class="p58 ft8">Tillsynsmyndigheten ska ges tillfälle att yttra sig före samråd och vid behov lämna stöd till Myndigheten för samhällsskydd och bered- skap.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">37</P>
</DIV>
</DIV>
<DIV id="page_38">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Författningsförslag</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p102 ft39">Säkerhetsåtgärder</P>
<P class="p68 ft8"><SPAN class="ft43">4 § </SPAN>Vid utformningen av säkerhetsåtgärder bör leverantörer av sam- hällsviktiga tjänster beakta europeiska eller internationellt accepte- rade standarder och specifikationer.</P>
<P class="p61 ft39">Tillsynsmyndigheter</P>
<P class="p68 ft8"><SPAN class="ft43">5 § </SPAN>Följande myndigheter är tillsynsmyndigheter enligt lagen (2018:000) om informationssäkerhet för vissa tillhandahållare av sam- hällsviktiga tjänster och digitala tjänster.</P>
<TABLE cellpadding=0 cellspacing=0 class="t22">
<TR>
<TD class="tr12 td53"><P class="p22 ft39">Sektor</P></TD>
<TD class="tr12 td54"><P class="p22 ft39">Tillsynsmyndighet</P></TD>
</TR>
<TR>
<TD class="tr15 td53"><P class="p22 ft10">Energi</P></TD>
<TD class="tr15 td54"><P class="p22 ft10">Statens energimyndighet</P></TD>
</TR>
<TR>
<TD class="tr12 td53"><P class="p22 ft10">Transporter</P></TD>
<TD class="tr12 td54"><P class="p22 ft10">Transportstyrelsen</P></TD>
</TR>
<TR>
<TD class="tr12 td53"><P class="p22 ft10">Bankverksamhet</P></TD>
<TD class="tr12 td54"><P class="p22 ft10">Finansinspektionen</P></TD>
</TR>
<TR>
<TD class="tr12 td53"><P class="p22 ft10">Finansmarknadsinfrastruktur</P></TD>
<TD class="tr12 td54"><P class="p22 ft10">Finansinspektionen</P></TD>
</TR>
<TR>
<TD class="tr16 td53"><P class="p22 ft10">Hälso- och sjukvård</P></TD>
<TD class="tr16 td54"><P class="p22 ft10">Inspektionen för vård och omsorg</P></TD>
</TR>
<TR>
<TD class="tr12 td53"><P class="p22 ft10">Leverans och distribution av</P></TD>
<TD class="tr12 td54"><P class="p22 ft10">Livsmedelsverket</P></TD>
</TR>
<TR>
<TD class="tr2 td53"><P class="p22 ft10">dricksvatten</P></TD>
<TD class="tr2 td54"><P class="p22 ft15"> </P></TD>
</TR>
<TR>
<TD class="tr12 td53"><P class="p22 ft10">Digital infrastruktur</P></TD>
<TD class="tr12 td54"><P class="p22 ft10">Post- och telestyrelsen</P></TD>
</TR>
</TABLE>
<TABLE cellpadding=0 cellspacing=0 class="t23">
<TR>
<TD class="tr12 td53"><P class="p22 ft39">Digitala tjänster</P></TD>
<TD class="tr12 td50"><P class="p22 ft39">Tillsynsmyndighet</P></TD>
</TR>
<TR>
<TD class="tr15 td53"><P class="p22 ft10">Digitala tjänster</P></TD>
<TD class="tr15 td50"><P class="p22 ft10">Post- och telestyrelsen</P></TD>
</TR>
</TABLE>
<P class="p140 ft10"><SPAN class="ft39">6 § </SPAN>Tillsynsmyndigheten ska</P>
<P class="p52 ft8"><SPAN class="ft10">1.</SPAN><SPAN class="ft44">samarbeta med Datainspektionen när den handlägger inciden- ter som medfört personuppgiftsincidenter och innan ett åtgärdsföre- läggande meddelas,</SPAN></P>
<P class="p90 ft10"><SPAN class="ft10">2.</SPAN><SPAN class="ft54">lämna stöd till representanten i samarbetsgruppen,</SPAN></P>
<P class="p52 ft8"><SPAN class="ft10">3.</SPAN><SPAN class="ft44">lämna vägledning till leverantörer av samhällsviktiga tjänster vid tillämpningen av lagen (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster och av denna förordning,</SPAN></P>
<P class="p51 ft8"><SPAN class="ft10">4.</SPAN><SPAN class="ft55">lämna upplysning till leverantörer av samhällsviktiga tjänster vid bedömningen av om annan lag eller bindande </SPAN><NOBR>EU-rättsakt</NOBR> ska</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">38</P>
</DIV>
</DIV>
<DIV id="page_39">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td51"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td52"><P class="p22 ft33">Författningsförslag</P></TD>
</TR>
</TABLE>
<P class="p96 ft8">tillämpas i stället för lagen (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster, och</P>
<P class="p106 ft8">5. samarbeta med och bistå tillsynsmyndigheter i andra länder i Europeiska unionen när det gäller tillsynen över leverantörer av digi- tala tjänster. Detta bistånd och samarbete får omfatta informations- utbyte mellan de berörda behöriga myndigheterna och begäranden om att tillsynsåtgärder enligt lagen (2018:000) om informationssäker- het för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster ska vidtas.</P>
<P class="p64 ft39">Gemensam nationell kontaktpunkt</P>
<P class="p65 ft8"><SPAN class="ft43">7 § </SPAN>Myndigheten för samhällsskydd och beredskap är gemensam nationell kontaktpunkt.</P>
<P class="p106 ft8">Myndigheten för samhällsskydd och beredskap ska för Sveriges del fullgöra de uppgifter som åligger den nationella kontaktpunkten enligt artiklarna 8 och 14.5 tredje stycket i <NOBR>NIS-direktivet,</NOBR> i den ur- sprungliga lydelsen.</P>
<P class="p11 ft8">Myndigheten för samhällsskydd och beredskap ska årligen lämna en sammanfattande rapport till den samarbetsgrupp den inrättats en- ligt <NOBR>NIS-direktivet</NOBR> om de incidentrapporter som mottagits. Av rap- porten ska framgå antalet mottagna incidentrapporter, incidenternas art och vidtagna säkerhetsåtgärder.</P>
<P class="p64 ft39"><NOBR>CSIRT-enhet</NOBR></P>
<P class="p141 ft8"><SPAN class="ft43">8 § </SPAN>Myndigheten för samhällsskydd och beredskap är <NOBR>CSIRT-enhet.</NOBR> Myndigheten för samhällsskydd och beredskap ska uppfylla krav- en och för Sveriges del fullgöra de uppgifter som åligger CSIRT- enheten enligt bilaga 1 till <NOBR>NIS-direktivet,</NOBR> i den ursprungliga lydelsen.</P>
<P class="p114 ft10">Myndigheten för samhällsskydd och beredskap</P>
<P class="p83 ft8"><SPAN class="ft10">1.</SPAN><SPAN class="ft44">ska ta emot de incidentrapporter som lämnas enligt 16 och 19 §§ lagen (2008:000) om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster,</SPAN></P>
<P class="p76 ft8"><SPAN class="ft10">2.</SPAN><SPAN class="ft55">ska informera andra berörda länder i Europeiska unionen om en incident som rapporterats av en leverantör av samhällsviktiga</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">39</P>
</DIV>
</DIV>
<DIV id="page_40">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Författningsförslag</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p142 ft8">tjänster har en betydande inverkan på kontinuiteten i samhällsviktiga tjänster i det landet,</P>
<P class="p51 ft8"><SPAN class="ft10">3.</SPAN><SPAN class="ft44">ska, om det är lämpligt, informera andra länder i Europeiska unionen som påverkats av en incident som rapporterats av en leve- rantör av digitala tjänster,</SPAN></P>
<P class="p51 ft8"><SPAN class="ft10">4.</SPAN><SPAN class="ft53">får informera allmänheten om enskilda incidenter efter samråd med den rapporterande leverantören,</SPAN></P>
<P class="p51 ft8"><SPAN class="ft10">5.</SPAN><SPAN class="ft53">ska när det är möjligt överlämna relevant information som kan bidra till en effektiv hantering av incidenten och det förebyggande arbetet till den rapporterande leverantören av samhällsviktiga tjänster,</SPAN></P>
<P class="p51 ft8"><SPAN class="ft10">6.</SPAN><SPAN class="ft53">ska skyndsamt uppmana leverantörer att anmäla incidenter som har sin grund i en brottslig gärning till polisen, och</SPAN></P>
<P class="p51 ft8"><SPAN class="ft10">7.</SPAN><SPAN class="ft44">ska skyndsamt överlämna de incidentrapporter som lämnats enligt 16 och 19 §§ lagen (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsviktiga och digitala tjänster till den tillsynsmyndighet som enligt 5 § denna förordning utövar tillsyn över den rapporterande leverantören.</SPAN></P>
<P class="p61 ft39">Myndigheten för samhällsskydd och beredskap</P>
<P class="p68 ft49"><SPAN class="ft58">9 § </SPAN>Myndigheten för samhällsskydd och beredskap ska lämna råd och stöd till tillsynsmyndigheterna vid utarbetandet av myndighets- föreskrifter.</P>
<P class="p102 ft39">Bemyndiganden</P>
<P class="p68 ft8"><SPAN class="ft43">10 § </SPAN>Myndigheten för samhällsskydd och beredskap får meddela föreskrifter om</P>
<P class="p52 ft8"><SPAN class="ft10">1.</SPAN><SPAN class="ft44">ett systematiskt och riskbaserat informationssäkerhetsarbete enligt 10 § lagen (2018:000) om informationssäkerhet för vissa till- handahållare av samhällsviktiga tjänster och digitala tjänster,</SPAN></P>
<P class="p51 ft8"><SPAN class="ft10">2.</SPAN><SPAN class="ft44">vilka tjänster som är viktiga för att upprätthålla kritisk sam- hällelig eller ekonomisk verksamhet (samhällsviktiga tjänster) för varje sektor som avses i bilaga 2 till </SPAN><NOBR>NIS-direktivet</NOBR> (förteckning). Före- skriften ska uppdaterast minst vartannat år,</P>
<P class="p90 ft10"><SPAN class="ft10">3.</SPAN><SPAN class="ft54">rapportering av incidenter, och</SPAN></P>
<P class="p104 ft10"><SPAN class="ft10">4.</SPAN><SPAN class="ft54">förutsättningarna för frivillig rapportering av incidenter.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">40</P>
</DIV>
</DIV>
<DIV id="page_41">
<DIV id="dimg1">
<INGENBILD zsrc="H5B33641x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td51"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td52"><P class="p22 ft33">Författningsförslag</P></TD>
</TR>
</TABLE>
<P class="p143 ft8">Tillsynsmyndigheterna ska ges tillfälle att yttra sig innan före- skrifter meddelas.</P>
<P class="p144 ft8"><SPAN class="ft43">11 § </SPAN>Tillsynsmyndigheten får, för sin sektor, meddela närmare före- skrifter om</P>
<P class="p84 ft8"><SPAN class="ft10">1.</SPAN><SPAN class="ft55">utformningen av säkerhetsåtgärder enligt 11 och 12 §§ lagen (2018:000) om informationssäkerhet för vissa tillhandahållare av sam- hällsviktiga tjänster och digitala tjänster,</SPAN></P>
<P class="p76 ft8"><SPAN class="ft10">2.</SPAN><SPAN class="ft55">sektorspecifika och sektoröverskridande faktorer för att fast- ställa om en incident medför en betydande störning vid identifier- ingen av leverantörer av samhällsviktiga tjänster, och</SPAN></P>
<P class="p76 ft8"><SPAN class="ft10">3.</SPAN><SPAN class="ft55">vilka faktorer som ska användas för att avgöra om en incident har en betydande inverkan på kontinuiteten i den samhällsviktiga tjänsten och därför medför krav på rapportering.</SPAN></P>
<P class="p106 ft8">Myndigheten för samhällsskydd och beredskap ska ges tillfälle att yttra sig innan föreskrifter meddelas.</P>
<P class="p145 ft10">Denna förordning träder i kraft den 10 maj 2018.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">41</P>
</DIV>
</DIV>
<DIV id="page_42">
<DIV id="dimg1">
<INGENBILD zsrc="H5B33642x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t24">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Författningsförslag</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p146 ft35"><SPAN class="ft35">1.3</SPAN><SPAN class="ft40">Förslag till</SPAN></P>
<P class="p147 ft41">förordning om ändring i offentlighets- och sekretessförordningen (2009:641)</P>
<P class="p148 ft8">Regeringen föreskriver att bilagan till offentlighets- och sekretess- förordningen (2009:641) ska ha följande lydelse.</P>
<P class="p149 ft10">Denna förordning träder i kraft den 10 maj 2018.</P>
<P class="p150 ft45">Bilaga<SPAN class="ft59">2</SPAN></P>
<TABLE cellpadding=0 cellspacing=0 class="t25">
<TR>
<TD class="tr12 td55"><P class="p22 ft10">Verksamheten består i</P></TD>
<TD class="tr12 td56"><P class="p22 ft10">Särskilda begränsningar i</P></TD>
</TR>
<TR>
<TD class="tr2 td55"><P class="p22 ft15"> </P></TD>
<TD class="tr2 td56"><P class="p22 ft10">sekretessen</P></TD>
</TR>
</TABLE>
<P class="p151 ft10"><SPAN class="ft10">–</SPAN><SPAN class="ft60">– – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – –</SPAN></P>
<P class="p152 ft61">151. tillsyn enligt lagen (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsvik- tiga tjänster och digitala tjänster</P>
<P class="p153 ft10"><SPAN class="ft10">–</SPAN><SPAN class="ft60">– – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – –</SPAN></P>
<P class="p154 ft38"><SPAN class="ft37">2 </SPAN>Senaste lydelse 2017:118.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">42</P>
</DIV>
</DIV>
<DIV id="page_43">
<P class="p155 ft63"><SPAN class="ft7">2</SPAN><SPAN class="ft62">Utredningens uppdrag och arbete</SPAN></P>
<P class="p156 ft35"><SPAN class="ft35">2.1</SPAN><SPAN class="ft40">Bakgrund</SPAN></P>
<P class="p113 ft8">I juli 2016 antog Europaparlamentet och rådet direktiv (EU) 2016/1148 om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen <NOBR>(NIS-direktivet).</NOBR> Direktivet innehåller bl.a. skyldigheter för varje medlemsstat att anta en nationell strategi för säkerhet i nätverk och informations- system och att utse myndigheter med särskilda uppgifter på detta område. Medlemsstaterna är enligt direktivet också skyldiga att iden- tifiera operatörer som bedriver samhällsviktig verksamhet inom sju sektorer och som är beroende av nätverk och informationssystem. Medlemsstaterna ska senast den 9 maj 2018 anta och offentliggöra de bestämmelser i lagar och andra författningar som är nödvändiga för att genomföra direktivet. Dessa bestämmelser ska tillämpas från och med den 10 maj 2018. Direktivet finns som bilaga 2.</P>
<P class="p157 ft35"><SPAN class="ft35">2.2</SPAN><SPAN class="ft40">Utredningens uppdrag</SPAN></P>
<P class="p113 ft49">Regeringen beslutade den 31 mars 2016 att utse en särskild utredare med uppdrag att föreslå hur <NOBR>NIS-direktivet</NOBR> ska genomföras i svensk rätt. I uppdraget ingår bl.a. att</P>
<P class="p158 ft8"><SPAN class="ft64">•</SPAN><SPAN class="ft34">föreslå hur direktivets krav på utpekande av myndigheter med ansvar för vissa funktioner ska genomföras, med inriktningen att Myndigheten för samhällsskydd och beredskap ges en samord- nande roll på området men att andra myndigheters ansvar för tillsyn inom särskilda sektorer ska fortsätta att gälla,</SPAN></P>
<P class="p159 ft18">43</P>
</DIV>
<DIV id="page_44">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Utredningens uppdrag och arbete</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p160 ft8"><SPAN class="ft64">•</SPAN><SPAN class="ft34">föreslå hur identifiering av och krav på aktörer som omfattas av direktivet kan genomföras i ett samlat regelverk med beaktande av gällande bestämmelser, sektorsansvar och vad som är mest effektivt utifrån olika perspektiv,</SPAN></P>
<P class="p161 ft49"><SPAN class="ft64">•</SPAN><SPAN class="ft65">föreslå nödvändiga ändringar i offentlighets- och sekretesslagen (2009:400) för att känslig information i incidentrapporter ska kunna skyddas, och</SPAN></P>
<P class="p162 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">lämna nödvändiga författningsförslag.</SPAN></P>
<P class="p163 ft8">Frågan om hur en nationell strategi för säkerhet i nätverk och infor- mationssystem bör utformas ingår inte i uppdraget.</P>
<P class="p164 ft8">Utredningens direktiv finns i sin helhet som bilaga 1. Uppdraget ska redovisas senast den 1 maj 2017.</P>
<P class="p165 ft35"><SPAN class="ft35">2.3</SPAN><SPAN class="ft40">Utredningens arbete</SPAN></P>
<P class="p166 ft8">Utredningens arbete har bedrivits på sedvanligt sätt med regelbund- na möten med sakkunniga och experter samt med deltagarna i en till utredningen knuten referensgrupp. Utredningen har haft sju proto- kollförda möten med expert- och sakkunniggruppen, varav ett i internatform. Därutöver har ett protokollfört möte hållits med en- dast de sakkunniga. Utredningen har också haft enskilda möten med deltagarna i referensgruppen. Vid mötet med Elsäkerhetsverket kon- staterades att verket inte berörs av <NOBR>NIS-direktivet.</NOBR> Utredningen och Elsäkerhetsverkets representant enades då om att Elsäkerhetsverket fortsättningsvis inte behövde vara representerat i referensgruppen. Elsäkerhetsverket har därför inte närvarat vid de två protokollförda möten som utredningen haft med referensgruppen i sin helhet. Ut- redningen har också sammanträffat med en representant från Energi- marknadsinspektionen, med företrädare för Inspektionen för vård och omsorg samt med representanter för Riksrevisionen. Utredning- en har vidare informerat sig om Läkemedelsverkets uppdrag när det gäller informationssäkerhet för medicintekniska produkter.</P>
<P class="p52 ft8">Utredningen har med hjälp främst av deltagarna i referensgrupp- en gjort en övergripande inventering av gällande rätt på det område som <NOBR>NIS-direktivet</NOBR> reglerar. Inventeringen finns tillgänglig i ärende dnr <NOBR>Komm2017/00542-1.</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">44</P>
</DIV>
</DIV>
<DIV id="page_45">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td57"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td58"><P class="p22 ft33">Utredningens uppdrag och arbete</P></TD>
</TR>
</TABLE>
<P class="p105 ft8">Utredningen har löpande hållit Regeringskansliet informerat om arbetet.</P>
<P class="p114 ft10">Utredningen har informerat sig om arbetet med betänkandena</P>
<P class="p167 ft61">Informations- och cybersäkerhet i Sverige <SPAN class="ft67">(SOU 2015:23), </SPAN>En ny säkerhetsskyddslag <SPAN class="ft67">(SOU 2015:25), </SPAN>En trygg dricksvattenförsörjning</P>
<P class="p16 ft8">(SOU 2016:32), om utredningen angående frågan om åtgärder för att öka Polismyndighetens tillgång till information om <NOBR>it-brottslig-</NOBR> het (Ds 2016:22), om Integritetskommitténs arbete (Ju 2014:09) och om Regeringskansliets arbete med en Strategi för informations- och cybersäkerhet.</P>
<P class="p157 ft35"><SPAN class="ft35">2.4</SPAN><SPAN class="ft40">Betänkandets disposition och läsanvisning</SPAN></P>
<P class="p113 ft8">Betänkandet inleds med en övergripande sammanfattning av inne- hållet i <NOBR>NIS-direktivet</NOBR> (kapitel 3). Därefter följer en beskrivning av de typer av enheter som finns angivna i bilaga 2 till <NOBR>NIS-direktivet.</NOBR> Enheterna kan beskrivas som de verksamheter som – om de tillhanda- håller samhällsviktiga tjänster vars tillhandahållande är beroende av nätverk och informationssystem – omfattas av direktivet. (kapitel 4). I kapitel 5 anges utgångspunkterna för genomförandet av direktiv- et. Utredningen kommer där till slutsatsen att <NOBR>NIS-direktivet</NOBR> bör genomföras i en ny lag och en ny förordning. I kapitlet behandlas också den föreslagna lagens tillämpningsområde. I kapitel 6 behand- las sedan begreppet samhällsviktiga tjänster. Kapitlen därefter behand- lar frågor om säkerhetskrav och incidentrapportering för leveran- törer av samhällsviktiga tjänster (kapitel 7), tillsyn (kapitel 8) samt ingripanden och sanktioner (kapitel 9). I kapitel 10 behandlas de leve- rantörer av digitala tjänster som anges i bilaga 3 till <NOBR>NIS-direktivet.</NOBR> Dessa leverantörer omfattas av direktivet även om de inte är samhälls- viktiga och regleras på ett mindre ingripande sätt än leverantörer av samhällsviktiga tjänster. I kapitel 11 redogörs för utredningens slut- sats att Myndigheten för samhällsskydd och beredskap ska anförtros rollen som nationell kontaktpunkt och <NOBR>CSIRT-enhet</NOBR> samt vara Sveriges representant i samarbetsgruppen enligt <NOBR>NIS-direktivet.</NOBR> Där finns också en beskrivning av Myndigheten för samhällsskydd och beredskaps uppdrag och verksamhet. I kapitel 12 behandlas frågor om sekretess. Kapitel 13 innehåller utredningens konsekvensanalys. Ikraftträdandet behandlas i kapitel 14. I det kapitlet föreslår utred-</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">45</P>
</DIV>
</DIV>
<DIV id="page_46">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Utredningens uppdrag och arbete</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p116 ft8">ningen att regeringen ska ge ett antal myndigheter i uppdrag att bland annat påbörja arbete med myndighetsföreskrifter inför lagens ikraftträdande. Slutligen följer en författningskommentar till de läm- nade författningsförslagen (kapitel 15).</P>
<P class="p86 ft8">Kommittédirektiven finns i sin helhet i bilaga 1. I bilaga 2 finns <NOBR>NIS-direktivet.</NOBR> Bilaga 3 innehåller en parallelluppställning över direk- tivets artiklar och de bestämmelser i gällande rätt eller i utredningens författningsförslag som genomför varje artikel.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">46</P>
</DIV>
</DIV>
<DIV id="page_47">
<P class="p4 ft7">3 <NOBR>NIS-direktivet</NOBR></P>
<P class="p168 ft8">Europaparlamentet och Europeiska rådet antog den 6 juli 2016 Europaparlamentets och rådets direktiv (EU) 2016/1148 om åtgär- der för en hög gemensam nivå på säkerhet i nätverks- och informa- tionssystem i hela unionen <NOBR>(NIS-direktivet).</NOBR> Direktivet ska vara genomfört i svensk rätt den 9 maj 2018.</P>
<P class="p106 ft8">Detta kapitel innehåller en övergripande beskrivning av de be- stämmelser i direktivet som är av störst betydelse för genomföran- det i svensk rätt. Mer detaljerade redogörelser för bestämmelserna finns i anslutning till de avsnitt som behandlar de specifika frågorna. Direktivet i sin helhet finns i bilaga 2.</P>
<P class="p157 ft35"><SPAN class="ft35">3.1</SPAN><SPAN class="ft40">Bakgrund och syfte</SPAN></P>
<P class="p113 ft8">Syftet med <NOBR>NIS-direktivet</NOBR> är att förbättra den inre marknadens funk- tion genom att skapa tillit och förtroende och fastställa åtgärder för att uppnå en hög gemensam nivå på säkerhet i nätverk och informa- tionssystem inom unionen (artikel 1.1 och skäl 31). I skälen till direk- tivet anges följande.</P>
<P class="p11 ft8">Nätverk och informationssystem och nätverks- och informa- tionstjänster spelar en viktig roll i samhället. Deras tillförlitlighet och säkerhet är grundläggande för ekonomisk och samhällelig verksam- het och i synnerhet för den inre marknadens funktion. Säkerhets- incidenter, som blir allt mer omfattande och vanliga och får allt större inverkan, utgör ett allvarligt hot mot nätverkens och informations- systemens funktion. Dessa system kan också bli mål för avsiktligt sabotage i syfte att skada dem eller förorsaka driftsavbrott. Sådana incidenter kan hindra genomförandet av ekonomisk verksamhet, generera omfattande ekonomiska förluster, undergräva användarnas förtroende och medföra allvarliga konsekvenser för unionens eko-</P>
<P class="p169 ft18">47</P>
</DIV>
<DIV id="page_48">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19"><NOBR>NIS-direktivet</NOBR></P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p116 ft8">nomi. Nätverk och informationssystem, i synnerhet internet, spelar en viktig roll genom att underlätta den gränsöverskridande rörlig- heten för varor, tjänster och personer. På grund av denna trans- nationella natur kan allvarliga störningar av dessa system, vare sig de är avsiktliga eller oavsiktliga och oberoende av var de förekommer, påverka enskilda medlemsstater och unionen som helhet. Säker- heten i nätverk och informationssystem är därför avgörande för att den inre marknaden ska fungera väl. (skäl <NOBR>1–3)</NOBR></P>
<P class="p86 ft8">För att främja diskussioner och utbyten av bästa praxis mellan medlemsstaterna, inbegripet utarbetandet av principer för ett sam- arbete vid <NOBR>it-relaterade</NOBR> kriser, bör en samarbetsgrupp inrättas. Sam- arbetsgruppen ska stödja och underlätta strategiskt samarbete mellan medlemsstaterna vad gäller säkerhet i nätverk och informations- system. Den ska bestå av företrädare för medlemsstaterna, kommis- sionen och Europeiska unionens byrå för nät- och informations- säkerhet (Enisa). För att gruppen ska vara effektiv och inkluderande är det viktigt att alla medlemsstater har en minimikapacitet och en strategi som säkerställer en hög nivå på säkerheten i nätverk och in- formationssystem på det egna territoriet. Dessutom bör säkerhets- och rapporteringskrav gälla för leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster, för att främja en riskhanterings- kultur och säkerställa att de allvarligaste incidenterna rapporteras. (skäl 4)</P>
<P class="p170 ft8">Medlemsstaternas befintliga kapacitet räcker inte för att säker- ställa en hög nivå på säkerheten i nätverk och informationssystem i unionen. Medlemsstaterna har mycket olika beredskapsnivåer, vilket har lett till skilda tillvägagångssätt i unionen. Resultatet blir olika skyddsnivåer för konsumenter och företag, vilket undergräver den allmänna nivån på säkerheten i nätverk och informationssystem i unionen. Avsaknaden av gemensamma krav för leverantörer av sam- hällsviktiga tjänster och leverantörer av digitala tjänster gör det i sin tur omöjligt att inrätta en övergripande och effektiv mekanism för samarbete på unionsnivå. Effektiva åtgärder för att lösa problemen vad gäller säkerhet i nätverk och informationssystem förutsätter där- för ett övergripande angreppssätt på unionsnivå, som omfattar en gemensam miniminivå för kapacitetsuppbyggnad och planering, ut- byte av information, samarbete och gemensamma säkerhetskrav för leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster. (skäl <NOBR>5–6)</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">48</P>
</DIV>
</DIV>
<DIV id="page_49">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td59"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td60"><P class="p22 ft33"><NOBR>NIS-direktivet</NOBR></P></TD>
</TR>
</TABLE>
<P class="p137 ft35"><SPAN class="ft35">3.2</SPAN><SPAN class="ft40">Medlemsstaternas skyldigheter enligt direktivet</SPAN></P>
<P class="p171 ft8">Direktivet fastställer åtgärder för att uppnå en hög gemensam nivå på säkerhet i nätverk och informationssystem inom unionen, i syfte att förbättra den inre marknadens funktion (artikel 1.1 och 1.2). Åt- gärderna innebär att medlemsstaterna ska</P>
<P class="p172 ft8"><SPAN class="ft64">•</SPAN><SPAN class="ft34">anta en nationell strategi för säkerhet i nätverk och informations- system (artikel 7),</SPAN></P>
<P class="p173 ft8"><SPAN class="ft64">•</SPAN><SPAN class="ft34">införa säkerhets- och incidentrapporteringskrav för leverantörer av samhällsviktiga tjänster och för leverantörer av digitala tjänster (artiklarna </SPAN><NOBR>14.1–3</NOBR> och <NOBR>16.1–3),</NOBR></P>
<P class="p174 ft8"><SPAN class="ft64">•</SPAN><SPAN class="ft34">utse nationella behöriga myndigheter, nationella kontaktpunkt- er och enheter för hantering av </SPAN><NOBR>it-säkerhetsincidenter</NOBR> (CSIRT- enheter) och reglera samarbetet dem emellan (artiklarna 8.1, 8.3, 9.1 och 10),</P>
<P class="p173 ft49"><SPAN class="ft64">•</SPAN><SPAN class="ft65">ingå i en samarbetsgrupp för strategiskt samarbete och informa- tionsutbyte (artikel 11) och</SPAN></P>
<P class="p175 ft49"><SPAN class="ft64">•</SPAN><SPAN class="ft65">ingå i ett nätverk för enheter för hantering av </SPAN><NOBR>it-säkerhetsinciden-</NOBR> ter <NOBR>(CSIRT-nätverk)</NOBR> (artikel 12).</P>
<P class="p176 ft10">Medlemsstaterna ska också, senast den 9 november 2018,</P>
<P class="p177 ft8"><SPAN class="ft64">•</SPAN><SPAN class="ft34">identifiera de leverantörer av samhällsviktiga tjänster som är etable- rade på deras territorium, och i det syftet</SPAN></P>
<P class="p174 ft49"><SPAN class="ft64">•</SPAN><SPAN class="ft65">upprätta en förteckning över tjänster som är viktiga för att upp- rätthålla kritisk samhällelig och/eller ekonomisk verksamhet (arti- kel 5.1, 5.3 och 5.2 a).</SPAN></P>
<P class="p178 ft8">När det gäller leverantörer av samhällsviktiga tjänster får medlems- staterna anta eller behålla bestämmelser som syftar till att uppnå en högre nivå på säkerheten i nätverk och informationssystem än vad direktivet kräver (artikel 3). För leverantörer av digitala tjänster får medlemsstaterna dock inte införa ytterligare säkerhets- eller rappor- teringskrav (artikel 16.10).</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">49</P>
</DIV>
</DIV>
<DIV id="page_50">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19"><NOBR>NIS-direktivet</NOBR></P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p179 ft11"><SPAN class="ft11">3.2.1</SPAN><SPAN class="ft68">En nationell strategi</SPAN></P>
<P class="p68 ft9"><SPAN class="ft8">I betänkandet </SPAN>Informations- och cybersäkerhet i Sverige – Strategi och åtgärder för säker information i staten <SPAN class="ft8">(SOU 2015:23) föreslås att regeringen ska anta en nationell strategi för statens informations- och cybersäkerhet. Betänkandet har remitterats och bereds för när- varande inom Regeringskansliet. Regeringen avser att prioritera detta arbete och bedömer att strategin bör kunna anpassas för att mot- svara direktivets krav på vad en nationell strategi för säkerhet i nät- verk och informationssystem ska innehålla. Frågan om hur en sådan strategi bör utformas omfattas enligt kommittédirektiven inte av utredarens uppdrag.</SPAN></P>
<P class="p180 ft11"><SPAN class="ft11">3.2.2</SPAN><SPAN class="ft68">Identifiering av leverantörer av samhällsviktiga tjänster och upprättande av en förteckning över samhällsviktiga tjänster</SPAN></P>
<P class="p181 ft8">En leverantör av samhällsviktiga tjänster definieras i direktivet som en offentlig eller privat enhet av en typ som avses i bilaga 2 till direk- tivet och som uppfyller vissa kriterier. Enheterna finns inom sju sektorer:</P>
<P class="p182 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">Energi, med delsektorerna elektricitet, olja och gas</SPAN></P>
<P class="p183 ft49"><SPAN class="ft64">•</SPAN><SPAN class="ft65">Transporter, med delsektorerna lufttransport, järnvägstransport, sjöfart och vägtransport</SPAN></P>
<P class="p184 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">Bankverksamhet</SPAN></P>
<P class="p185 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">Finansmarknadsinfrastruktur</SPAN></P>
<P class="p183 ft49"><SPAN class="ft64">•</SPAN><SPAN class="ft65">Hälso- och sjukvårdssektorn, med delsektor hälso- och sjuk- vårdsmiljöer (inklusive sjukhus och privata kliniker)</SPAN></P>
<P class="p184 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">Leverans och distribution av dricksvatten</SPAN></P>
<P class="p185 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">Digital infrastruktur</SPAN></P>
<P class="p186 ft8">Kriterierna innebär att leverantören, för att träffas av direktivets bestämmelser, ska tillhandahålla en tjänst som är viktig för att upp- rätthålla kritisk samhällelig eller ekonomisk verksamhet, att tillhanda- hållandet av tjänsten ska vara beroende av nätverk och informations-</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">50</P>
</DIV>
</DIV>
<DIV id="page_51">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td59"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td60"><P class="p22 ft33"><NOBR>NIS-direktivet</NOBR></P></TD>
</TR>
</TABLE>
<P class="p187 ft8">system samt att en incident skulle medföra en betydande störning vid tillhandahållandet av tjänsten. (artiklarna 4.4 och 5.2).</P>
<P class="p188 ft8">Medlemsstaterna bör enligt direktivet ansvara för att fastställa vilka enheter som uppfyller kriterierna för definitionen av leverantör av samhällsviktiga tjänster. I syfte att säkerställa ett enhetligt tillväga- gångssätt bör definitionen av leverantör av samhällsviktiga tjänster tillämpas konsekvent i alla medlemsstater. (skäl 19) Medlemsstater- na ska mot den bakgrunden senast den 9 november 2018 identifiera de enheter som utgör leverantörer av samhällsviktiga tjänster som är etablerade på deras territorium. För att en leverantör ska anses vara etablerad i en medlemsstat krävs att leverantören utför en faktisk och reell verksamhet med hjälp av en stabil struktur. Den rättsliga formen bör inte vara avgörande, oavsett om det är en filial eller ett dotterbolag med juridisk personlighet. (skäl 21)</P>
<P class="p188 ft8">För att kunna identifiera leverantörerna ska medlemsstaterna upp- rätta en förteckning över de tjänster som är viktiga för att upprätt- hålla kritisk samhällelig och/eller ekonomisk verksamhet (artikel 5.1, 5.2 a och 5.3). Syftet med förteckningen är alltså att urskilja de typer av samhällsviktiga <SPAN class="ft9">tjänster </SPAN>inom en viss sektor som det hänvisas till i direktivet och därmed skilja dem från de icke samhällsviktiga tjänster som en enhet med verksamhet inom en viss sektor kan ansvara för. Vid bedömningen av om en enhet tillhandahåller en tjänst som är viktig för att upprätthålla kritisk samhällelig eller ekonomisk verk- samhet, är det alltså tillräckligt att undersöka om enheten tillhanda- håller en tjänst som finns upptagen i förteckningen (skäl 20). För att leverantören sedan ska omfattas av direktivets krav gäller där- utöver att tillhandahållandet av tjänsten är beroende av nätverk och informationssystem och att en incident skulle medföra en betydan- de störning vid tillhandahållandet av tjänsten.</P>
<P class="p189 ft8">För att en leverantör ska omfattas av direktivets bestämmelser krävs alltså först och främst att leverantören tillhandahåller en tjänst som finns på förteckningen över samhällsviktiga tjänster. Om tjänst- en finns på förteckningen ska det i ett andra steg bedömas om leve- rantörens tillhandahållande av tjänsten är beroende av nätverk och informationssystem och om en incident skulle medföra en betydan- de störning vid tillhandahållandet av tjänsten.</P>
<P class="p190 ft49">Medlemsstaterna ska minst vartannat år efter den 9 maj 2018 se över och vid behov uppdatera förteckningen (artikel 5.5). Förteck- ningen ska senast den 9 november 2018 och därefter vartannat år</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">51</P>
</DIV>
</DIV>
<DIV id="page_52">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19"><NOBR>NIS-direktivet</NOBR></P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8">tillhandahållas kommissionen som ett led i kommissionens arbete med att bedöma genomförandet av direktivet. Även information om antalet leverantörer av samhällsviktiga tjänster i varje sektor som av- ses i bilaga 2 till direktivet samt en uppgift om deras betydelse för sektorn ska lämnas till kommissionen (artikel 5.7 <NOBR>b–c).</NOBR></P>
<P class="p191 ft70"><SPAN class="ft11">3.2.3</SPAN><SPAN class="ft69">Säkerhets- och incidentrapporteringskrav för leverantörer av samhällsviktiga tjänster och för leverantörer av digitala tjänster</SPAN></P>
<P class="p192 ft45">Leverantörer av samhällsviktiga tjänster</P>
<P class="p68 ft8">Medlemsstaterna ska säkerställa att leverantörer av samhällsviktiga tjänster <SPAN class="ft9">vidtar </SPAN>ändamålsenliga och proportionella tekniska och orga- nisatoriska åtgärder för att hantera risker som hotar säkerheten i nätverk och informationssystem som de använder i sin verksamhet. Leverantörerna ska också åläggas att vidta lämpliga åtgärder för att förebygga och minimera verkningarna av incidenter som påverkar säkerheten i nätverk och informationssystem som används för att tillhandahålla sådana samhällsviktiga tjänster, i syfte att säkerställa kontinuiteten i dessa tjänster. Medlemsstaterna ska också säkerställa att leverantörer av samhällsviktiga tjänster utan onödigt dröjsmål till den behöriga myndigheten eller <NOBR>CSIRT-enheten</NOBR> rapporterar in- cidenter som har en <SPAN class="ft9">betydande inverkan </SPAN>på <SPAN class="ft9">kontinuiteten </SPAN>i de sam- hällsviktiga tjänster som de tillhandahåller. För att fastställa om en incident har betydande inverkan ska hänsyn tas till vissa särskilt an- givna faktorer.</P>
<P class="p52 ft8">De samhällsviktiga tjänster som omfattas av direktivet finns inom sju olika sektorer vilka anges i bilaga 2 till direktivet. Sektorerna är energi, transporter, bankverksamhet, finsansmarknadsinfrastruktur, hälso- och sjukvårdssektorn, leverans och distribution av dricks- vatten samt digital infrastruktur. Inom sektorerna specificeras olika typer av enheter som bedriver verksamhet inom sektorerna. För att en leverantör ska omfattas av direktivet krävs att leverantören utgör en sådan enhet som anges i direktivet. Enheterna finns beskrivna kapitel 4 i betänkandet.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">52</P>
</DIV>
</DIV>
<DIV id="page_53">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td59"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td60"><P class="p22 ft33"><NOBR>NIS-direktivet</NOBR></P></TD>
</TR>
</TABLE>
<P class="p80 ft45">Leverantörer av digitala tjänster</P>
<P class="p193 ft8">De digitala tjänster som omfattas av direktivet anges i bilaga 3 till <NOBR>NIS-direktivet.</NOBR> Dessa är</P>
<P class="p194 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">internetbaserade marknadsplatser</SPAN></P>
<P class="p195 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">internetbaserade sökmotorer</SPAN></P>
<P class="p38 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">molntjänster</SPAN></P>
<P class="p196 ft8">Medlemsstaterna ska säkerställa att leverantörerna av dessa tjänster <SPAN class="ft9">utarbetar och vidtar </SPAN>ändamålsenliga och proportionella tekniska och organisatoriska åtgärder för att hantera risker som hotar säkerheten i nätverk och informationssystem som de använder när de tillhanda- håller tjänsterna inom unionen. Medlemsstaterna ska också säkerställa att leverantörer av digitala tjänster vidtar åtgärder för att förebygga och minimera den inverkan som incidenter som påverkar säkerheten i deras nätverk och informationssystem har på de angivna tjänster- na och som erbjuds inom unionen, i syfte att säkerställa kontinuite- ten i dessa tjänster. Medlemsstaterna ska därutöver säkerställa att leverantörer av digitala tjänster utan onödigt dröjsmål till den be- höriga myndigheten eller <NOBR>CSIRT-enheten</NOBR> rapporterar alla incidenter som har en <SPAN class="ft9">avsevärd inverkan </SPAN>på <SPAN class="ft9">tillhandahållandet </SPAN>av en tjänst som avses i bilaga 3 till <NOBR>NIS-direktivet</NOBR> och som de erbjuder inom union- en. För att fastställa om en incident har avsevärd inverkan ska hänsyn tas till vissa särskilt angivna faktorer. Kommissionen ska senast den 9 augusti 2017 anta genomförandeakter för att specificera faktorerna.</P>
<P class="p58 ft8">En leverantör av digitala tjänster ska omfattas av jurisdiktionen i den medlemsstat där leverantören har sitt huvudsakliga etablerings- ställe. En leverantör av digitala tjänster ska anses ha sitt huvudsak- liga etableringsställe i en medlemsstat om den har sitt huvudkontor i denna medlemsstat. En leverantör av digitala tjänster som inte är etablerad i unionen men som erbjuder sådana tjänster som avses i bi- laga 3 till direktivet inom unionen ska utse en företrädare i unionen. Företrädaren ska vara etablerad i en av de medlemsstater där tjänst- erna erbjuds. Leverantören av digitala tjänster ska anses omfattas av jurisdiktionen i den medlemsstat där företrädaren är etablerad.(arti- kel <NOBR>18.1–2)</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">53</P>
</DIV>
</DIV>
<DIV id="page_54">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19"><NOBR>NIS-direktivet</NOBR></P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p179 ft11"><SPAN class="ft11">3.2.4</SPAN><SPAN class="ft68">Tillsyn och sanktioner</SPAN></P>
<P class="p94 ft45">Nationella behöriga myndigheter (artikel 8.1)</P>
<P class="p68 ft8">Varje medlemsstat ska utse en eller flera nationella behöriga myn- digheter för säkerhet i nätverk och informationssystem, åtminstone för de sektorer och de tjänster som avses i bilaga 2 och 3 till direk- tivet. De behöriga myndigheterna ska övervaka tillämpningen av direktivet på nationell nivå.</P>
<P class="p61 ft45">Leverantörer av samhällsviktiga tjänster (artikel <NOBR>15.1–3)</NOBR></P>
<P class="p68 ft8">Medlemsstaterna ska säkerställa att de behöriga myndigheterna har de befogenheter och medel som de behöver för att bedöma om leve- rantörerna av samhällsviktiga tjänster uppfyller säkerhetskraven och kravet att incidentrapportera. De behöriga myndigheterna ska också ha de befogenheter och medel som krävs för att ålägga leverantörer- na att tillhandahålla den information som är nödvändig för att be- döma säkerheten i leverantörernas nätverk och informationssystem och bevis för ett effektivt genomförande av säkerhetsprinciper. Den behöriga myndigheten ska ha rätt att utfärda bindande anvisningar till leverantörerna om hur de ska avhjälpa de identifierade bristerna.</P>
<P class="p93 ft45">Leverantörer av digitala tjänster (artikel <NOBR>17.1–3)</NOBR></P>
<P class="p68 ft8">När det gäller leverantörer av digitala tjänster ska medlemsstaterna säkerställa att de behöriga myndigheterna vid behov vidtar åtgärder genom tillsynsåtgärder <SPAN class="ft9">i efterhand</SPAN>, när de har mottagit bevis på att en leverantör av digitala tjänster inte uppfyller direktivets krav. De behöriga myndigheterna ska ha de befogenheter och medel som krävs för att ålägga leverantörerna att tillhandahålla den information som behövs för en bedömning av säkerheten i deras nätverk och infor- mationssystem, och för att ålägga leverantörerna att åtgärda varje underlåtenhet att uppfylla direktivets krav.</P>
<P class="p197 ft8">Om en leverantör av digitala tjänster har sitt huvudsakliga etable- ringsställe eller en företrädare i en medlemsstat, men dess nätverk eller informationssystem är belägna i en eller flera andra medlems- stater, ska den behöriga myndigheten där det huvudsakliga etable- ringsstället eller företrädaren finns och de behöriga myndigheterna</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">54</P>
</DIV>
</DIV>
<DIV id="page_55">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td59"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td60"><P class="p22 ft33"><NOBR>NIS-direktivet</NOBR></P></TD>
</TR>
</TABLE>
<P class="p88 ft8">i de andra berörda medlemsstaterna samarbeta och vid behov bistå varandra. Samarbetet får omfatta informationsutbyte mellan de be- rörda behöriga myndigheterna och begäranden om att leverantör- erna ska tillhandahålla den information som behövs för tillsynen samt att de ska åläggas att åtgärda underlåtenhet att uppfylla direk- tivets krav.</P>
<P class="p198 ft45">Sanktioner (artikel 21)</P>
<P class="p57 ft8">Medlemsstaterna ska fastställa regler om sanktioner för överträdelse av de nationella bestämmelser som antagits enligt direktivet. Sank- tionerna ska vara effektiva, proportionella och avskräckande.</P>
<P class="p199 ft11"><SPAN class="ft11">3.2.5</SPAN><SPAN class="ft68">Nationell kontaktpunkt</SPAN></P>
<P class="p57 ft8">Varje medlemsstat ska utse en gemensam nationell kontaktpunkt för säkerhet i nätverk och informationssystem. Om en medlemsstat bara utser en behörig myndighet, ska den myndigheten också vara den nationella kontaktpunkten. Den nationella kontaktpunkten ska utöva en sambandsfunktion för att säkerställa gränsöverskridande samarbete mellan medlemsstaternas myndigheter och med de berörda myndigheterna i andra medlemsstater samt med samarbetsgruppen och <NOBR>CSIRT-nätverket.</NOBR></P>
<P class="p11 ft8">Medlemsstaterna ska säkerställa att de behöriga myndigheterna eller <NOBR>CSIRT-enheterna</NOBR> informerar de nationella kontaktpunkterna om incidentrapporter som lämnats in i enlighet med direktivet. Den nationella kontaktpunkten ska senast den 9 augusti 2018 och där- efter en gång om året lämna en sammanfattande rapport till sam- arbetsgruppen om de rapporter som mottagits, inklusive antalet mot- tagna incidentrapporter och de rapporterade incidenternas art, samt om vilka åtgärder som vidtagits (artikel 10.3). Rapporten bör vara anonymiserad, eftersom information om de rapporterande enheter- nas identitet inte krävs för utbyte av bästa praxis inom samarbets- gruppen (skäl 33).</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">55</P>
</DIV>
</DIV>
<DIV id="page_56">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19"><NOBR>NIS-direktivet</NOBR></P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p179 ft11"><SPAN class="ft11">3.2.6</SPAN><NOBR><SPAN class="ft68">CSIRT-enheter</SPAN></NOBR></P>
<P class="p60 ft8">Varje medlemsstat ska utse en eller flera enheter för hantering av it- säkerhetsincidenter <NOBR>(CSIRT-enheter).</NOBR> <NOBR>CSIRT-enheterna</NOBR> ska ansvara för hanteringen av incidenter och risker i enlighet med ett tydligt fastställt förfarande. De ska uppfylla vissa krav som finns angivna i bilaga 1 till direktivet, bl.a. när det gäller driftskontinuitet. CSIRT- enheterna ska täcka åtminstone de sektorer som avses i direktivets bilaga 2 och de tjänster som avses i bilaga 3 till direktivet. Medlems- staterna ska säkerställa att <NOBR>CSIRT-enheterna</NOBR> har de resurser som de behöver för att effektivt utföra sina uppgifter enligt punkt 2 i bilaga 1 till direktivet. Medlemsstaterna ska också säkerställa att deras CSIRT- enheter samarbetar på ett ändamålsenligt, effektivt och säkert sätt i det <NOBR>CSIRT-nätverk</NOBR> som avses i artikel 12. <NOBR>CSIRT-enheterna</NOBR> ska också ha tillgång till lämplig, säker och motståndskraftig kommunikations- och informationsinfrastruktur på nationell nivå. Med tanke på vikt- en av internationellt samarbete på området cybersäkerhet, bör CSIRT- enheterna kunna delta i internationella samarbetsnätverk utöver det <NOBR>CSIRT-nätverk</NOBR> som inrättas genom <NOBR>NIS-direktivet</NOBR> (skäl 34).</P>
<P class="p165 ft11"><SPAN class="ft11">3.2.7</SPAN><SPAN class="ft68">Samarbete på nationell nivå</SPAN></P>
<P class="p60 ft8">Om den behöriga myndigheten, den nationella kontaktpunkten och <NOBR>CSIRT-enheten</NOBR> i en medlemsstat är separata, ska de samarbeta när det gäller fullgörandet av skyldigheterna enligt direktivet. De incident- rapporter som lämnas in i enlighet med direktivet ska tas emot av antingen de behöriga myndigheterna eller <NOBR>CSIRT-enheterna.</NOBR> Om en medlemsstat beslutar att <NOBR>CSIRT-enheterna</NOBR> inte ska ta emot rapport- er ska <NOBR>CSIRT-enheterna,</NOBR> i den mån det är nödvändigt för att de ska kunna utföra sina uppgifter, beviljas tillgång till uppgifter om in- cidenter som rapporterats. Medlemsstaterna ska säkerställa att de behöriga myndigheterna eller <NOBR>CSIRT-enheterna</NOBR> informerar de natio- nella kontaktpunkterna om incidentrapporter som lämnats in.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">56</P>
</DIV>
</DIV>
<DIV id="page_57">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td59"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td60"><P class="p22 ft33"><NOBR>NIS-direktivet</NOBR></P></TD>
</TR>
</TABLE>
<P class="p200 ft11"><SPAN class="ft11">3.2.8</SPAN><SPAN class="ft68">En samarbetsgrupp för strategiskt samarbete och informationsutbyte</SPAN></P>
<P class="p67 ft8">Genom direktivet inrättas en samarbetsgrupp för att stödja och under- lätta strategiskt samarbete och utbyte av information mellan med- lemsstaterna och skapa förtroende och tillit. Samarbetsgruppen består av företrädare för medlemsstaterna, kommissionen och European Union Agency for Network and Information Security (Enisa). De närmare uppgifterna för samarbetsgruppen anges i artikel 11.3. Sam- arbetsgruppen ska bl.a. tillhandahålla strategisk vägledning för verk- samheten i <NOBR>CSIRT-nätverket</NOBR> (se nedan), utbyta bästa praxis om informationsutbyte angående incidentrapporteringen, med Enisas bistånd utbyta bästa praxis för medlemsstaternas identifiering av leverantörer av samhällsviktiga tjänster samt diskutera metoder för rapportering av incidentrapporter.</P>
<P class="p199 ft11"><SPAN class="ft11">3.2.9</SPAN><SPAN class="ft68">Ett nätverk för enheter för hantering</SPAN></P>
<P class="p201 ft11">av <NOBR>it-säkerhetsincidenter</NOBR> <NOBR>(CSIRT-nätverk)</NOBR></P>
<P class="p57 ft8">Genom direktivet inrättas ett nätverk för nationella <NOBR>CSIRT-kon-</NOBR> takter för att bidra till utvecklingen av förtroende och tillit mellan medlemsstaterna och för att främja snabbt och effektivt operativt samarbete. <NOBR>CSIRT-nätverket</NOBR> ska bestå av företrädare för medlems- staternas <NOBR>CSIRT-enheter</NOBR> och <NOBR>Cert-EU</NOBR> (incidenthanteringsorgani- sationen för EU:s institutioner, organ och kontor). Kommissionen ska delta i <NOBR>CSIRT-nätverket</NOBR> som observatör. Enisa ska tillhandahålla sekretariat och aktivt stödja samarbetet mellan <NOBR>CSIRT-enheterna.</NOBR> <NOBR>CSIRT-nätverkets</NOBR> närmare uppgifter anges i artikel 12.3. Nätverket ska bl.a. utbyta information om <NOBR>CSIRT-enheternas</NOBR> tjänster, verksam- het och samarbetskapacitet, på frivillig grund utbyta och tillgänglig- göra <NOBR>icke-konfidentiella</NOBR> uppgifter om enskilda incidenter, på begäran av en företrädare för en medlemsstats <NOBR>CSIRT-enhet</NOBR> diskutera och om möjligt utarbeta en samordnad åtgärd till följd av en incident som har upptäckts inom den medlemsstatens jurisdiktion, samt diskutera, utforska och identifiera ytterligare former av operativt samarbete.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">57</P>
</DIV>
</DIV>
<DIV id="page_58">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19"><NOBR>NIS-direktivet</NOBR></P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p202 ft41"><SPAN class="ft35">3.3</SPAN><SPAN class="ft71">Undantag från </SPAN><NOBR>NIS-direktivets</NOBR> tillämpningsområde</P>
<P class="p203 ft61">Företag som omfattas av kraven i artiklarna 13a och 13b i direktiv 2002/21/EG – tillhandahållare av allmänna kommunikationsnät och allmänt tillgängliga elektroniska kommunikationstjänster</P>
<P class="p204 ft8">Säkerhets- och rapporteringskraven enligt <NOBR>NIS-direktivet</NOBR> ska enligt artikel 1.3 inte tillämpas på företag som omfattas av kraven i artiklar- na 13a och 13b i Europaparlamentets och rådets direktiv 2002/21/EG av den 7 mars 2002 om ett gemensamt regelverk för elektroniska kom- munikationsnät och kommunikationstjänster (ramdirektivet).</P>
<P class="p205 ft8">Artikel 13a i ramdirektivet ställer krav på tillhandahållare av all- männa kommunikationsnät och allmänt tillgängliga elektroniska kom- munikationstjänster att bl.a. vidta lämpliga tekniska och organisato- riska åtgärder för att på ett tillfredsställande sätt skydda säkerheten för sina nät eller tjänster. Artikel 13b innehåller bestämmelser om tillämpning och genomförande. Bland annat anges att de nationella regleringsmyndigheterna ska ha befogenheter att utfärda bindande instruktioner samt att kräva att tillhandahållare av nät och tjänster tillhandahåller viss information och på egen bekostnad underkasta sig säkerhetsgranskningar.</P>
<P class="p205 ft8">Artiklarna har genomförts i svensk rätt genom 5 kap. 6 b och c §§ lagen (2003:389) om elektronisk kommunikation (LEK).</P>
<P class="p205 ft8">Av 5 kap. 6 b § LEK framgår bl.a. att den som tillhandahåller all- männa kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster ska vidta lämpliga tekniska och organisato- riska åtgärder för att säkerställa att verksamheten uppfyller rimliga krav på driftsäkerhet. De åtgärder som vidtas ska vara ägnade att skapa en säkerhetsnivå som, med beaktande av tillgänglig teknik och kost- naderna för att genomföra åtgärderna, är anpassad till risken för stör- ningar och avbrott.</P>
<P class="p118 ft8">I 5 kap. 6 c § LEK anges bl.a. att den som tillhandahåller ett all- mänt kommunikationsnät eller en allmänt tillgänglig elektronisk kom- munikationstjänst utan onödigt dröjsmål till tillsynsmyndigheten ska rapportera störningar eller avbrott av betydande omfattning. Post- och telestyrelsen (PTS) är tillsynsmyndighet och mottagare av inci- dentrapporter enligt denna reglering.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">58</P>
</DIV>
</DIV>
<DIV id="page_59">
<DIV id="dimg1">
<INGENBILD zsrc="H5B33659x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td59"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td60"><P class="p22 ft33"><NOBR>NIS-direktivet</NOBR></P></TD>
</TR>
</TABLE>
<P class="p206 ft45">Leverantörer av betrodda tjänster som omfattas av kraven i artikel 19 i förordningen (EU) nr 910/2014</P>
<P class="p57 ft8">Säkerhets- och rapporteringskraven enligt <NOBR>NIS-direktivet</NOBR> ska enligt artikel 1.3 inte tillämpas på leverantörer av betrodda tjänster som omfattas av kraven i artikel 19 i Europaparlamentets och rådets för- ordning (EU) nr 910/2014 av den 23 juli 2014 om elektronisk iden- tifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv 1999/93 EG (eIDAS- förordningen).</P>
<P class="p106 ft8">Med betrodda tjänster avses elektroniska underskrifter och stämp- lar, validering och bevarande av elektroniska underskrifter och stämp- lar, tjänster för rekommenderad elektronisk leverans och utfärdan- de av certifikat för autentisering av webbplatser.</P>
<P class="p58 ft8">Bestämmelserna i artikel 19 i <NOBR>eIDAS-förordningen</NOBR> innebär att alla tillhandahållare av betrodda tjänster ska vidta lämpliga tekniska och organisatoriska åtgärder för att hantera riskerna för säkerheten hos de betrodda tjänster som de tillhandahåller. Tillhandahållarna ska också underrätta tillsynsorganet om alla säkerhetsincidenter eller inte- gritetsförluster som i betydande omfattning påverkar den betrodda tjänst som tillhandahålls eller de personuppgifter som ingår i denna. PTS är tillsynsmyndighet för betrodda tjänster och mottagare av underrättelser om säkerhetsincidenter och integritetsförluster.<SPAN class="ft36">1</SPAN></P>
<P class="p64 ft45">Direktiv 2008/114/EG <NOBR>(ECI-direktivet)</NOBR></P>
<P class="p57 ft8"><NOBR>NIS-direktivet</NOBR> påverkar enligt artikel 1.4 inte tillämpningen av rådets direktiv 2008/114/EG av den 8 december 2008 om identifiering av, och klassificering som, europeisk kritisk infrastruktur och bedöm- ning av behovet att stärka skyddet av denna <NOBR>(ECI-direktivet).</NOBR></P>
<P class="p11 ft8"><NOBR>ECI-direktivet</NOBR> omfattar sektorerna energi och transport. Enligt direktivet ska medlemsstaterna inom de sektorerna identifiera och genom klassificering utse europeisk kritisk infrastruktur och be- döma behovet av att stärka skyddet av den. Med europeisk kritisk infrastruktur avses kritisk infrastruktur vars driftsstörning eller för-</P>
<P class="p207 ft38"><SPAN class="ft37">1 </SPAN>Lagen (2016:561) med kompletterande bestämmelser till EU:s förordning om elektronisk identifiering och förordningen (2016:576) med kompletterande bestämmelser till EU:s för- ordning om elektronisk identifiering.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">59</P>
</DIV>
</DIV>
<DIV id="page_60">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19"><NOBR>NIS-direktivet</NOBR></P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p208 ft8">störelse skulle få betydande konsekvenser för minst två medlems- stater. Sverige har hittills inte pekat ut någon europeisk kritisk infra- struktur på sitt territorium.</P>
<P class="p53 ft45">Direktiv 2011/93/EU</P>
<P class="p54 ft8"><NOBR>NIS-direktivet</NOBR> påverkar enligt artikel 1.4 inte tillämpningen av Europa- parlamentets och rådets direktiv 2011/93/EU av den 13 december 2011 om bekämpande av sexuella övergrepp mot barn, sexuell explo- atering av barn och barnpornografi samt om ersättande av rådets rambeslut 2004/68/RIF. Det direktivets syfte är att fastställa mini- miregler för brottsrekvisit och påföljder när det gäller sexuella över- grepp mot och sexuell exploatering av barn, barnpornografi och kon- taktsökning med barn för sexuella ändamål. Syftet är vidare att stärka åtgärderna för att förebygga sådana brott och förbättra skyd- det för dess offer.</P>
<P class="p112 ft45">Direktiv 2013/40/EU</P>
<P class="p68 ft8"><NOBR>NIS-direktivet</NOBR> påverkar enligt artikel 1.4 inte tillämpningen av Europa- parlamentets och rådets direktiv 2013/40/EU av den 12 augusti 2013 om angrepp mot informationssystem och om ersättande av rådets rambeslut 2005/222/RIF. Det direktivets mål är att närma medlems- staternas strafflagstiftning till varandra när det gäller angrepp mot informationssystem genom att fastställa minimiregler för brotts- rekvisit och påföljder. Syftet är också att främja förebyggandet av sådana brott och förbättra samarbetet mellan rättsliga och andra behöriga myndigheter.</P>
<P class="p61 ft45">Åtgärder till skydd för den nationella säkerheten m.m.</P>
<P class="p54 ft8">Direktivet påverkar inte medlemsstaternas åtgärder för att skydda sina väsentliga statliga funktioner, särskilt för att skydda den natio- nella säkerheten, inklusive åtgärder för skydd av information vars avslöjande medlemsstaterna anser strida mot sina väsentliga säker- hetsintressen, och för att upprätthålla lag och ordning, särskilt för att möjliggöra utredning, upptäckt och lagföring av brott (artikel 1.6).</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">60</P>
</DIV>
</DIV>
<DIV id="page_61">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t16">
<TR>
<TD class="tr7 td59"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td60"><P class="p22 ft33"><NOBR>NIS-direktivet</NOBR></P></TD>
</TR>
</TABLE>
<P class="p209 ft45">Sektorspecifik reglering/lex specialis</P>
<P class="p210 ft8">Om det i en sektorspecifik unionsrättsakt föreskrivs krav på att leve- rantörer av samhällsviktiga tjänster eller leverantörer av digitala tjänst- er antingen ska säkerställa säkerheten i sina nätverk och informations- system eller rapportera incidenter, ska enligt artikel 1.7 bestämmel- serna i den sektorspecifika unionsrättsakten tillämpas, förutsatt att verkan av kraven i fråga minst motsvarar verkan av skyldigheterna i <NOBR>NIS-direktivet.</NOBR> Medlemsstaterna bör då tillämpa bestämmelserna i sådana sektorspecifika unionsrättsakter, inklusive sådana som rör jurisdiktion, och bör inte genomföra identifieringsförfarandet för leverantörer av samhällsviktiga tjänster enligt definitionen i NIS- direktivet (skäl 9).</P>
<P class="p11 ft8">I <SPAN class="ft9">sjöfartssektorn </SPAN>omfattar säkerhetskraven för rederier, fartyg, hamnanläggningar, hamnar och sjötrafikinformationstjänster enligt unionsrättsakter all verksamhet, inbegripet radio- och telekommuni- kationssystem, datorsystem och nätverk. De obligatoriska förfaran- dena inbegriper rapportering av alla incidenter och bör därför anses utgöra lex specialis, i den mån dessa krav är åtminstone likvärdiga med motsvarande bestämmelser i NIS- direktivet (skäl 10).</P>
<P class="p211 ft8">Regleringen och tillsynen inom <SPAN class="ft9">banksektorn och sektorn för finans- marknadsinfrastrukturer </SPAN>har i hög grad harmoniserats på unionsnivå, genom användning av unionens primärrätt och sekundärrätt och standarder som utvecklats tillsammans med de europeiska tillsyns- myndigheterna. Inom bankunionen säkerställs tillämpningen och till- synen av dessa krav genom den gemensamma tillsynsmekanismen. För Sverige, som inte ingår i bankunionen, säkerställs detta av Finans- inspektionen. Inom tillsynspraxis på andra områden inom reglering- en av finanssektorn säkerställer Europeiska systemet för finansiell tillsyn också en hög grad av enhetlighet och konvergens. Även Euro- peiska värdepappers- och marknadsmyndigheten utövar direkt tillsyn över vissa enheter, nämligen kreditvärderingsinstitut och transak- tionsregister (skäl 12).</P>
<P class="p212 ft8">Operativ risk utgör en viktig del av reglering och tillsyn inom banksektorn och sektorn för finansmarknadsinfrastrukturer. Den omfattar all verksamhet, inbegripet nätverks och informations- systems säkerhet, integritet och motståndskraft. Kraven på dessa system, som ofta är mer långtgående än de som föreskrivs i NIS- direktivet, fastställs i ett antal unionsrättsakter. Krav på rapporte-</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">61</P>
</DIV>
</DIV>
<DIV id="page_62">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19"><NOBR>NIS-direktivet</NOBR></P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p142 ft8">ring av incidenter utgör vidare en del av normal tillsynspraxis inom finanssektorn och ingår ofta i tillsynshandböcker. (skäl 13)</P>
<P class="p213 ft35"><SPAN class="ft35">3.4</SPAN><SPAN class="ft40">Personuppgifter</SPAN></P>
<P class="p166 ft8">Behandling av personuppgifter enligt <NOBR>NIS-direktivet</NOBR> ska ske i enlig- het med Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om behandling av det fria flödet av sådana uppgifter (dataskyddsdirektivet). Dataskyddsdirektivet har genomförts i svensk rätt huvudsakligen genom personuppgiftslagen (1998:204) (PUL). Den 27 april 2016 beslutade EU om en förord- ning med en ny generell reglering för personuppgiftsbehandling inom EU – Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av person- uppgifter och om det fria flödet av sådana uppgifter och om upp- hävande av direktiv 95/46/EG (allmän dataskyddsförordning). För- ordningen kommer att ersätta det nuvarande dataskyddsdirektivet. Den är direkt tillämplig i medlemsstaterna men både förutsätter och möjliggör kompletterande nationella bestämmelser av olika slag. Data- skyddsförordningen kommer att utgöra grunden för generell per- sonuppgiftsbehandling inom EU, vilket innebär att bl.a. PUL måste upphävas. En särskild utredare har fått i uppdrag att föreslå de an- passningar och kompletterande författningsbestämmelser på generell nivå som förordning ger anledning till (dir. 2016:15). Ett delbetän- kande, <SPAN class="ft9">Brottsdatalag </SPAN>(SOU 2017:29), överlämnades den 5 april 2017. Uppdraget ska slutredovisas senast den 12 maj 2017.</P>
<P class="p52 ft8">Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på be- höriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straff- rättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF innehåller regler om skydd av personuppgifter när behöriga myndigheter behandlar sådana uppgifter vid brottsbekämpning, brottmålshantering eller straff- verkställighet. Direktivet ålägger medlemsstaterna att bl.a. föreskriva effektiva, proportionella och avskräckande sanktioner för överträ- delser av bestämmelser som antas enligt direktivet. Regeringen har i</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">62</P>
</DIV>
</DIV>
<DIV id="page_63">
<DIV id="dimg1">
<INGENBILD zsrc="H5B33663x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td59"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td60"><P class="p22 ft33"><NOBR>NIS-direktivet</NOBR></P></TD>
</TR>
</TABLE>
<P class="p88 ft8">mars 2016 tillsatt en utredning som ska föreslå hur direktivet ska genomföras i svensk rätt<SPAN class="ft36">2</SPAN>. Uppdraget ska slutredovisas senast den 30 september 2017.</P>
<P class="p106 ft8">Behandling av personuppgifter som utförs av unionens institu- tioner och organ enligt direktivet ska ske i enlighet med Europa- parlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutio- nerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter (artikel 2.2).</P>
<P class="p214 ft38"><SPAN class="ft37">2 </SPAN>Utredningen om 2016 års dataskyddsdirektiv, Ju 2016:06, dir. 2016:21.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">63</P>
</DIV>
</DIV>
<DIV id="page_64">
</DIV>
<DIV id="page_65">
<P class="p4 ft7">4 Beskrivning av enheterna</P>
<P class="p69 ft35"><SPAN class="ft35">4.1</SPAN><SPAN class="ft40">Inledning</SPAN></P>
<P class="p113 ft8">Utredningen har träffat företrädare för samtliga sektorer och gjort en övergripande inventering av nuvarande reglering när det gäller informationssäkerhet, incidentrapportering och tillsyn samt i vilken utsträckning sektorn, delsektorn och enheten gör risk- och sårbar- hetsanalyser, se ärende dnr <NOBR>Komm2017/00542-1.</NOBR> Inventeringen har med hänsyn till den tid som utredningen haft till sitt förfogande inte kunnat göras fullständig.</P>
<P class="p11 ft8">Deltagarna i referensgruppen samt företrädare för Inspektionen för vård och omsorg Datainspektionen, Läkemedelsverket och Energi- marknadsinspektionen har bidragit med underlag till inventeringen. Samtliga myndigheter och organisationer har beretts tillfälle att lämna synpunkter på utredningens beskrivning av respektive sektor. För några sektorer har referensgruppen också kunnat ge en ungefärlig bild av hur många leverantörer som skulle kunna anses tillhanda- hålla en samhällsviktig tjänst enligt <NOBR>NIS-direktivet.</NOBR></P>
<P class="p106 ft8">Utredningens bedömning är att den inventering som gjorts är till- räcklig för att få den övergripanden bilden av hur reglering, tillsyn m.m. ser ut inom respektive sektor för att kunna genomföra NIS- direktivet i svensk rätt.</P>
<P class="p58 ft8">Bestämmelser om säkerhetsåtgärder i nätverk och informations- system, risk- och säkerhetsanalyser och incidentrapportering finns redan i flera av de sektorer som omfattas av <NOBR>NIS-direktivet,</NOBR> både i nationella bestämmelser och i <NOBR>EU-rättsakter.</NOBR> Regleringen är emeller- tid inte heltäckande och i några fall är syftet med säkerhetsåtgärder- na och incidentrapporteringen ett annat än syftet i <NOBR>NIS-direktivet.</NOBR></P>
<P class="p11 ft8">Utgångspunkten för bedömningen av vilka samhällsviktiga tjänster och digitala tjänster som omfattas av den nya lagen är de typer av enheter som anges i bilaga 2 till <NOBR>NIS-direktivet.</NOBR></P>
<P class="p215 ft18">65</P>
</DIV>
<DIV id="page_66">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Beskrivning av enheterna</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p216 ft8">Följande enheter omfattas av <NOBR>NIS-direktivet</NOBR> inom respektive sek- tor i Sverige.</P>
<P class="p213 ft35"><SPAN class="ft35">4.2</SPAN><SPAN class="ft40">Energi</SPAN></P>
<P class="p79 ft11">Elektricitet</P>
<P class="p60 ft8"><SPAN class="ft9">• Elföretag </SPAN>enligt definitionen i artikel 2.35 i Europaparlamentets och rådets direktiv 2009/72/EG av den 13 juli 2009 om gemensam- ma regler för den inre marknaden för el och om upphävande av direk- tiv 2003/54/EG som bedriver ”leverans eller handel” enligt definition- en i artikel 2.19 i det direktivet.</P>
<P class="p95 ft8">Med elföretag avses varje fysisk eller juridisk person, med undantag för slutförbrukare, som bedriver åtminstone en av följande verksam- heter: produktion, överföring, distribution, leverans eller inköp av el och som ansvarar för kommersiella och tekniska arbetsuppgifter eller underhåll i samband med dessa verksamheter</P>
<P class="p51 ft8">Med leverans eller handel avses försäljning, inbegripet återför- säljning, av el till kunder.</P>
<P class="p51 ft8">Elföretag benämns elleverantörer och det finns cirka 200 sådana i Sverige (1 kap. 6 § ellagen [1997:857]).</P>
<P class="p95 ft9">• Systemansvariga för distributionssystemet <SPAN class="ft8">enligt definitionen i arti- kel 2.6 i Europaparlamentets och rådets direktiv 2009/72/EG av den 13 juli 2009 om gemensamma regler för den inre marknaden för el och om upphävande av direktiv 2003/54/EG.</SPAN></P>
<P class="p66 ft8">Med systemansvarig för distributionssystemet avses varje fysisk eller juridisk person som ansvarar för drift och underhåll och, vid behov, utbyggnad av distributionssystemet inom ett visst område och, i tillämpliga fall, dess sammanlänkningar till andra system och för att säkerställa att systemet på lång sikt kan uppfylla rimliga krav på distri- bution av el.</P>
<P class="p51 ft8">Dessa benämns elnätsföretag och bestämmelser om företag som bedriver nätverksamhet m.m. finns i 1 kap. 4 § och 3 kap. ellagen (1997:857). Det finns ca 160 elnätsföretag i Sverige.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">66</P>
</DIV>
</DIV>
<DIV id="page_67">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td23"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td61"><P class="p22 ft33">Beskrivning av enheterna</P></TD>
</TR>
</TABLE>
<P class="p88 ft9">• Systemansvariga för överföringssystemet <SPAN class="ft8">enligt definitionen i arti- kel 2.4 i Europaparlamentets och rådets direktiv 2009/72/EG av den 13 juli 2009 om gemensamma regler för den inre marknaden för el och om upphävande av direktiv 2003/54/EG.</SPAN></P>
<P class="p97 ft8">Med systemansvarig för överföringssystemet avses varje fysisk eller juridisk person som ansvarar för drift och underhåll och, vid behov, utbyggnad av överföringssystemet inom ett visst område och, i tillämpliga fall, dess sammanlänkningar till andra system och för att säkerställa att systemet på lång sikt kan uppfylla rimliga krav på över- föring av el.</P>
<P class="p11 ft8">I Sverige är Affärsverket svenska kraftnät, som förvaltar stam- nätet, systemansvarig för överföringssystemet (1 kap. 5 b § ellagen [1997:857]). Det bör anmärkas att systemansvarig för överförings- systemet i direktivets mening är någonting annat än systemansvarig myndighet enligt 8 kap. 1 § ellagen (prop. 2010/11:70 s. 57).</P>
<P class="p64 ft39">Olja</P>
<P class="p74 ft45">• Operatörer av oljeledningar</P>
<P class="p217 ft10">Det saknas operatörer av oljeledningar i Sverige.</P>
<P class="p218 ft52">• Operatörer av oljeproduktion, raffinaderier, bearbetningsanlägg- ningar, lagring och överföring</P>
<P class="p219 ft8">I Sverige finns fem raffinaderier och 21 depåer som kan komma att omfattas av <NOBR>NIS-direktivet.</NOBR></P>
<P class="p64 ft39">Gas</P>
<P class="p57 ft9">• Gashandelsföretag eller gashandlare <SPAN class="ft8">enligt definitionen i artikel 2.8 i Europaparlamentets och rådets direktiv 2009/73/EG av den 13 juli 2009 om gemensamma regler för den inre marknaden för naturgas och om upphävande av direktiv 2003/55/EG.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">67</P>
</DIV>
</DIV>
<DIV id="page_68">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Beskrivning av enheterna</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8">Med gashandelsföretag eller gashandlare avses varje fysisk eller juri- disk person som bedriver leveransverksamhet.</P>
<P class="p51 ft8">I Sverige finns cirka tio stycken aktörer som kan omfattas av NIS- direktivet.</P>
<P class="p95 ft9">• Systemansvariga för distributionssystemet <SPAN class="ft8">enligt definitionen i arti- kel 2.6 i Europaparlamentets och rådets direktiv 2009/73/EG av den 13 juli 2009 om gemensamma regler för den inre marknaden för natur- gas och om upphävande av direktiv 2003/55/EG.</SPAN></P>
<P class="p95 ft8">Med systemansvarig för distributionssystemet avses varje fysisk eller juridisk person som bedriver distributionsverksamhet och som an- svarar för drift och underhåll och, vid behov, utbyggnad av distri- butionssystemet inom ett visst område och, i tillämpliga fall, dess sam- manlänkningar till andra system och för att säkerställa att systemet på lång sikt kan uppfylla rimliga krav på gasdistribution.</P>
<P class="p51 ft8">I Sverige finns sex systemansvariga som kan omfattas av NIS- direktivet.</P>
<P class="p66 ft9">• Systemansvariga för överföringssystemet <SPAN class="ft8">enligt definitionen i arti- kel 2.4 i Europaparlamentets och rådets direktiv 2009/73/EG av den 13 juli 2009 om gemensamma regler för den inre marknaden för natur- gas och om upphävande av direktiv 2003/55/EG.</SPAN></P>
<P class="p95 ft8">Med systemansvarig för överföringssystemet avses varje fysisk eller juridisk person som bedriver överföringsverksamhet och som ansvar- ar för drift och underhåll och, vid behov, utbyggnad av överförings- systemet inom ett visst område och, i tillämpliga fall, dess samman- länkningar till andra system och för att säkerställa att systemet på lång sikt kan uppfylla rimliga krav på gastransporter.</P>
<P class="p108 ft10">I Sverige är Swedegas AB systemansvarig för överföringssystemet.</P>
<P class="p66 ft9">• Systemansvariga för lagringssystemet <SPAN class="ft8">enligt definitionen i artikel 2.10 i Europaparlamentets och rådets direktiv 2009/73/EG av den 13 juli 2009 om gemensamma regler för den inre marknaden för naturgas och om upphävande av direktiv 2003/55/EG.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">68</P>
</DIV>
</DIV>
<DIV id="page_69">
<DIV id="dimg1">
<INGENBILD zsrc="H5B33669x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td23"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td61"><P class="p22 ft33">Beskrivning av enheterna</P></TD>
</TR>
</TABLE>
<P class="p96 ft8">Med systemansvarig för lagringssystemet avses varje fysisk eller juri- disk person som bedriver lagringsverksamhet och som ansvarar för driften av en lagringsanläggning.</P>
<P class="p11 ft8">Med lagringsanläggning avses en anläggning som används för lag- ring av naturgas och som ägs och/eller drivs av ett naturgasföretag, inbegripet den del av en <NOBR>LNG-anläggning<SPAN class="ft36">1</SPAN></NOBR><SPAN class="ft36"> </SPAN>som används för lagring men undantaget den del som används för produktionsverksamhet, och undantaget anläggningar som uteslutande är förbehållna system- ansvariga för överföringssystemet när de utför sina uppgifter.</P>
<P class="p114 ft10">I Sverige finns en systemansvarig, Swedegas AB.</P>
<P class="p101 ft9">• Systemansvariga för en <NOBR>LNG-anläggning</NOBR> <SPAN class="ft8">enligt definitionen i arti- kel 2.12 i Europaparlamentets och rådets direktiv 2009/73/EG av den 13 juli 2009 om gemensamma regler för den inre marknaden för naturgas och om upphävande av direktiv 2003/55/EG.</SPAN></P>
<P class="p219 ft8">Med systemansvarig för en <NOBR>LNG-anläggning</NOBR> avses varje fysisk eller juridisk person som ägnar sig åt kondensering av naturgas eller im- port, lossning och återförgasning av LNG och som ansvarar för drift- en av en LNG anläggning.</P>
<P class="p58 ft8">Med <NOBR>LNG-anläggning</NOBR> avses en terminal som används för konden- sering av naturgas eller import, lossning och återförgasning av LNG, inklusive stödtjänster och den tillfälliga lagring som krävs för åter- förgasningsprocessen och efterföljande leverans till överföringssyste- met, men undantaget den del av en <NOBR>LNG-anläggning</NOBR> som används för lagring.</P>
<P class="p12 ft8">Det saknas systemansvariga för <NOBR>LNG-anläggningar</NOBR> i Sverige en- ligt definitionen i <NOBR>NIS-direktivet.</NOBR> De svenska <NOBR>LNG-anläggningarna</NOBR> är inte kopplade till överföringssystemet.</P>
<P class="p97 ft8"><SPAN class="ft9">• Naturgasföretag </SPAN>enligt definitionen i artikel 2.1 i Europaparlamen- tets och rådets direktiv 2009/73/EG av den 13 juli 2009 om gemen- samma regler för den inre marknaden för naturgas och om upp- hävande av direktiv 2003/55/EG.</P>
<P class="p220 ft38"><SPAN class="ft37">1 </SPAN>LNG=Liquid Natural Gas, dvs., flytande naturgas.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">69</P>
</DIV>
</DIV>
<DIV id="page_70">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Beskrivning av enheterna</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8">Med naturgasföretag avses varje fysisk eller juridisk person, med undantag för slutförbrukare, som bedriver åtminstone en av följan- de verksamheter: produktion, överföring, distribution, leverans, köp eller lagring av naturgas, inbegripet LNG, som ansvarar för kommer- siella och tekniska arbetsuppgifter och/eller underhåll i samband med dessa verksamheter.</P>
<P class="p51 ft8">Naturgasföretag är ett samlingsbegrepp och vissa av enheterna ovan ingår i begreppet vilket innebär att det i dag inte är möjligt att redovisa en exakt siffra på antalet enheter.</P>
<P class="p221 ft45"><SPAN class="ft10">• </SPAN>Operatörer av raffinaderier och bearbetningsanläggningar för naturgas<SPAN class="ft10">.</SPAN></P>
<P class="p222 ft35"><SPAN class="ft35">4.3</SPAN><SPAN class="ft40">Transporter</SPAN></P>
<P class="p79 ft39">Lufttransport</P>
<P class="p68 ft8"><SPAN class="ft9">• Lufttrafikföretag </SPAN>enligt definitionen i artikel 3.4 i Europaparla- mentets och rådets förordning (EG) nr 300/2008 av den 11 mars 2008 om gemensamma skyddsregler för den civila luftfarten och om upphävande av förordning (EG) nr 2320/2002.</P>
<P class="p95 ft8">Med lufttrafikföretag avse ett lufttransportföretag med giltig ope- rativ licens eller motsvarande.</P>
<P class="p51 ft49">I dag omfattas 31 stycken flygföretag men definitionen medför att även andra typer av flygverksamhet skulle kunna omfattas.</P>
<P class="p103 ft8"><SPAN class="ft9">• Flygplatsens ledningsenheter </SPAN>enligt definitionen i artikel 2.2 i Europa- parlamentets och rådets direktiv 2009/12/EG av den 11 mars 2009 om flygplatsavgifter, flygplatser enligt definitionen i artikel 2.1 i det direktivet, inbegripet de huvudflygplatser som förtecknas i avsnitt 2 i bilaga II till Europaparlamentets och rådets förordning (EU) nr 1315/2013 2013 av den 11 december 2013 om unionens riktlinjer för utbyggnad av det transeuropeiska transportnätet och om upp- hävande av beslut nr 661/2010/EU, och enheter som driver kring- liggande installationer vid flygplatser.</P>
<P class="p95 ft8">Med flygplatsens ledningsenhet avses den enhet som, tillsammans med annan verksamhet eller självständigt, i kraft av nationella lagar och andra författningar eller avtal har i uppdrag att administrera och</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">70</P>
</DIV>
</DIV>
<DIV id="page_71">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t16">
<TR>
<TD class="tr7 td23"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td61"><P class="p22 ft33">Beskrivning av enheterna</P></TD>
</TR>
</TABLE>
<P class="p122 ft8">förvalta flygplatsens eller flygplatsnätets infrastrukturer och sam- ordna och kontrollera den verksamhet som bedrivs av de olika aktörer som befinner sig på berörd flygplats eller inom berört flygplatsnät.</P>
<P class="p212 ft8">Med flygplats avses varje markområde som är särskilt inrättat för landning, start och manövrering av luftfartyg, inbegripet de närliggan- de anläggningar som kan behövas för flygtrafiken och för service till luftfartygen, samt de anläggningar som behövs för de kommersiella luftfartstjänsterna. Enligt avsnitt 2 i bilaga II till Europaparlamentets och rådets förordning (EU) nr 1315/2013 av den 11 december 2013 om unionens riktlinjer för utbyggnad av det transeuropeiska trans- portnätet och om upphävande av beslut nr 661/2010/EU är Arlanda huvudflygplats.</P>
<P class="p11 ft8">Ett antal svenska flygplatser med sina ledningsfunktioner skulle kunna omfattas. Kringliggande installationer bör vara enheter som krävs för att flygplatsen ska kunna hantera den trafik som den är av- sedd för men som inte är belägna inom flygplatsens område. Sådana installationer bör vara navigationshjälpmedel, övervakning och kom- munikation som används vid in- och utflygning.</P>
<P class="p223 ft9">• Operatörer inom trafikstyrning och <SPAN class="ft8">t</SPAN>rafikledning som tillhanda- håller flygkontrolltjänst <SPAN class="ft8">enligt definitionen i artikel 2.1 i Europaparla- mentets och rådets förordning (EG) nr 549/2004 av den 10 mars 2004 om ramen för inrättande av det gemensamma europeiska luft- rummet (”ramförordning”).</SPAN></P>
<P class="p224 ft8">Med flygkontrolltjänst avses en tjänst som tillhandahålls i syfte att förebygga kollisioner mellan luftfartyg, och mellan luftfartyg och ett hinder inom manöverområdet, samt påskynda och bibehålla ett väl- ordnat flygtrafikflöde.</P>
<P class="p212 ft8">Luftfartsverket, Aviation Capacity Resources (ACR), Arvidsjaurs flygplats (Afab) och Nuac HB är aktörer som omfattas av denna definition.</P>
<P class="p127 ft39">Järnvägstransport</P>
<P class="p128 ft8"><SPAN class="ft9">• Infrastrukturförvaltare </SPAN>enligt definitionen i artikel 3.2 i Europa- parlamentets och rådets direktiv 2012/34/EU av den 21 november 2012 om inrättande av ett gemensamt europeiskt järnvägsområde.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">71</P>
</DIV>
</DIV>
<DIV id="page_72">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Beskrivning av enheterna</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8">Med infrastrukturförvaltare avses varje organ eller företag som sär- skilt ansvarar för att anlägga, förvalta och underhålla järnvägsinfra- struktur, inklusive trafikledning, trafikstyrning och signalering. Infra- strukturförvaltarens uppgifter med avseende på järnvägsnät eller del av ett järnvägsnät får tilldelas olika organ eller företag. Järnvägsinfra- struktur är de anläggningar som finns förtecknade i bilaga I till direk- tiv 2012/34/EU.</P>
<P class="p51 ft8">Trafikverket är infrastrukturförvaltare för det statliga järnvägs- nätet.</P>
<P class="p95 ft8"><SPAN class="ft9">• Järnvägsföretag </SPAN>enligt definitionen i artikel 3.1 i direktiv 2012/34/EU, inbegripet tjänsteleverantörer enligt definitionen i arti- kel 3.12 i direktiv 2012/34/EU av den 21 november 2012 om inrät- tande av ett gemensamt europeiskt järnvägsområde.</P>
<P class="p95 ft8">Med järnvägsföretag avses varje offentligt eller privat företag med tillstånd i enlighet med direktiv 2012/34/EU vars huvudsakliga verk- samhet består i att tillhandahålla tjänster för transport av gods och/eller passagerare på järnväg med kravet att företaget måste till- handahålla dragkraft; detta gäller även företag som endast tillhanda- håller dragkraft.</P>
<P class="p51 ft8">Med tjänsteleverantör avses varje offentlig eller privat enhet som ansvarar för förvaltningen av en eller flera anläggningar för tjänster eller sådant tillhandahållande av en eller flera tjänster till järnvägs- företag som avses i punkterna <NOBR>2–4</NOBR> i bilaga II i direktiv 2012/34/EU.</P>
<P class="p93 ft39">Sjöfart</P>
<P class="p68 ft9">• Transportföretag som bedriver persontrafik och godstrafik på inre vattenvägar, till havs och längs kuster<SPAN class="ft8">, enligt definitionerna för sjö- transport i bilaga I till Europaparlamentets och rådets förordning (EG) nr 725/2004 av den 31 mars 2004 om förbättrat sjöfartsskydd på fartyg och i hamnanläggningar, exklusive de enskilda fartyg som drivs av dessa företag.</SPAN></P>
<P class="p221 ft10">Aktörer som omfattas är rederier och operatörer.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">72</P>
</DIV>
</DIV>
<DIV id="page_73">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td23"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td61"><P class="p22 ft33">Beskrivning av enheterna</P></TD>
</TR>
</TABLE>
<P class="p225 ft8"><SPAN class="ft9">• Ledningsenheter för hamnar </SPAN>enligt definitionen i artikel 3.1 i Europa- parlamentets och rådets direktiv 2005/65/EG av den 26 oktober 2005 om ökat hamnskydd, inbegripet deras hamnanläggningar enligt defi- nitionen i artikel 2.11 i förordning (EG) nr 725/2004 av den 31 mars 2004 om förbättrat sjöfartsskydd på fartyg och i hamnanläggningar, och enheter som sköter anläggningar och utrustning i hamnar.</P>
<P class="p97 ft8">Med hamn avsesett specificerat land- och vattenområde, med gränser som fastställts av den medlemsstat i vilken hamnen befinner sig, vilket består av sådana anläggningar och sådan utrustning som underlättar kommersiella sjöfartstransporter.</P>
<P class="p106 ft8">Med hamnanläggning avses en plats där samverkan mellan fartyg och hamn äger rum. Detta inkluderar, i tillämpliga fall, områden så- som ankarplatser, väntekajer och insegling från sjösidan.</P>
<P class="p106 ft8">Sverige har en annan organisation av hamnar än övriga Europa genom att det saknas så kallade hamnmyndigheter (Port authorities).</P>
<P class="p97 ft9">• Operatörer av sjötrafikinformationstjänster <SPAN class="ft8">enligt definitionen i arti- kel 3 o i Europaparlamentets och rådets direktiv 2002/59/EG av den 27 juni 2002 om inrättande av ett övervaknings- och informations- system för sjötrafik i gemenskapen och om upphävande av rådets direktiv 93/75/EEG.</SPAN></P>
<P class="p101 ft8">Med Sjötrafikinformationstjänst (VTS) avses en tjänst för att för- bättra sjötrafikens säkerhet och effektivitet och för att skydda miljön och som har förmåga att samverka med trafiken och hantera de trafik- situationer som uppstår inom sjötrafikinformationstjänstens område.</P>
<P class="p114 ft10">VTS utförs av Sjöfartsverket i nio <NOBR>VTS-områden.</NOBR></P>
<P class="p72 ft39">Vägtransport</P>
<P class="p57 ft8"><SPAN class="ft9">• Vägmyndigheter </SPAN>enligt definitionen i artikel 2.12 i kommissionens delegerade förordning (EU) 2015/962 av den 18 december 2014 om komplettering av Europaparlamentets och rådets direktiv 2010/40/EU vad gäller tillhandahållande av <NOBR>EU-omfattande</NOBR> realtidstrafikinfor- mationstjänster med ansvar för trafikstyrning och trafikledning.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">73</P>
</DIV>
</DIV>
<DIV id="page_74">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Beskrivning av enheterna</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8">Med vägmyndighet avses offentlig myndighet som ansvarar för plane- ring, kontroll eller förvaltning av vägar som omfattas av dess terri- toriella behörighet.</P>
<P class="p108 ft10">Vägmyndigheter är Trafikverket och kommuner.</P>
<P class="p66 ft9">• Operatörer av intelligenta transportsystem <SPAN class="ft8">enligt definitionen i arti- kel 4.1 i Europaparlamentets och rådets direktiv 2010/40/EU av den 7 juli 2010 om ett ramverk för införande av intelligenta transport- system på vägtransportområdet och för gränssnitt mot andra trans- portslag.</SPAN></P>
<P class="p107 ft8">Med intelligenta transportsystem eller ITS avses system i vilka in- formations- och kommunikationsteknik tillämpas på vägtransport- området, inklusive infrastruktur, fordon och användare, och för trafikledning och mobilitetshantering, samt för gränssnitt mot andra transportslag.</P>
<P class="p165 ft35"><SPAN class="ft35">4.4</SPAN><SPAN class="ft40">Bankverksamhet</SPAN></P>
<P class="p54 ft8"><SPAN class="ft9">• Kreditinstitut </SPAN>enligt definitionen i artikel 4.1 i Europaparlamen- tets och rådets förordning (EU) nr 575/2013 av den 26 juni 2013 om tillsynskrav för kreditinstitut och värdepappersföretag och om änd- ring av förordning (EU) nr 648/2012 (CRR).</P>
<P class="p95 ft8">Med kreditinstitut avses ett företag vars verksamhet består i att från allmänheten ta emot insättningar eller andra återbetalbara medel och att bevilja krediter för egen räkning.</P>
<P class="p51 ft49">I svensk lagstiftning motsvarar definitionen begreppet finansie- ringsrörelse i 4 § lagen (2004:297) om bank- och finansieringsrörelse (LBF).</P>
<P class="p226 ft35"><SPAN class="ft35">4.5</SPAN><SPAN class="ft40">Finansmarknadsinfrastruktur</SPAN></P>
<P class="p54 ft8"><SPAN class="ft9">• Operatörer av handelsplatser </SPAN>enligt definitionen i artikel 4.24 i Europaparlamentets och rådets direktiv 2014/65/EU av den 15 maj 2014 om marknader för finansiella instrument och om ändring av direktiv 2002/92/EG och av direktiv 2011/61/EU (MiFID II).</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">74</P>
</DIV>
</DIV>
<DIV id="page_75">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td23"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td61"><P class="p22 ft33">Beskrivning av enheterna</P></TD>
</TR>
</TABLE>
<P class="p187 ft8">Med handelsplats avses en reglerad marknad, en multilateral handels- plattform <NOBR>(MTF-plattform)</NOBR> eller en organiserad handelsplattform <NOBR>(OTF-plattform).</NOBR></P>
<P class="p188 ft8">En reglerad marknad definieras som ett multilateralt system som drivs och/eller leds av en marknadsoperatör, vilket sammanför eller underlättar sammanförandet av flera tredjeparters köp- och säljintress- en i finansiella instrument – inom systemet och i enlighet med dess <NOBR>icke-skönsmässiga</NOBR> regler – så att detta leder till ett kontrakt i fråga om finansiella instrument upptagna till handel enligt dess regler och/eller system, och som är auktoriserat och löpande verksamt och drivs i enlighet med bestämmelserna i avdelning III i MiFID II.</P>
<P class="p188 ft8">En <NOBR>MTF-plattform</NOBR> definieras som ett multilateralt system som drivs av ett värdepappersföretag eller en marknadsoperatör och som sammanför flera tredjeparters köp- och säljintressen i finansiella in- strument – inom systemet och i enlighet med <NOBR>icke-skönsmässiga</NOBR> regler – så att detta leder till ett kontrakt i enlighet med bestämmel- serna i avdelning II i MiFID II.</P>
<P class="p188 ft8">En <NOBR>OTF-plattform</NOBR> definieras som ett multilateralt system som inte är en reglerad marknad eller en <NOBR>MTF-plattform,</NOBR> och inom vilket flera tredjeparters köp- och säljintressen i obligationer, strukturerade finan- siella produkter, utsläppsrätter eller derivat kan interagera inom syste- met så att detta leder till ett kontrakt i enlighet med bestämmelser- na i avdelning II i MiFID II.</P>
<P class="p189 ft8">Termen system avser både rent tekniska system tillsammans med handelsregler och system enbart bestående av handelsregler, dvs. utan att det finns något tekniskt handelssystem (skäl 7 i MiFIR).</P>
<P class="p188 ft8">De företag som i dag har Finansinspektionens tillstånd att driva handelsplattformar i Sverige är Nasdaq Stockholm AB (First North), Nordic Growth Market NGM AB (Nordic MTF) och ATS Finans AB (Aktietorget).</P>
<P class="p227 ft8"><SPAN class="ft9">• Centrala motparter </SPAN>enligt definitionen i artikel 2.1 i Europaparla- mentets och rådets förordning (EU) nr 648/2012 av den 4 juli 2012 om <NOBR>OTC-derivat,</NOBR> centrala motparter och transaktionsregister.</P>
<P class="p227 ft8">Med central motpart avses en juridisk person som träder emellan mot- parterna i kontrakt som är föremål för handel på en eller flera finans- marknader och blir köpare till varje säljare och säljare till varje köpare.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">75</P>
</DIV>
</DIV>
<DIV id="page_76">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Beskrivning av enheterna</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p179 ft35"><SPAN class="ft35">4.6</SPAN><SPAN class="ft40">Hälso- och sjukvårdssektorn</SPAN></P>
<P class="p228 ft39">Hälso- och sjukvårdsmiljöer (inklusive sjukhus och privata kliniker)</P>
<P class="p60 ft8"><SPAN class="ft9">• Vårdgivare </SPAN>enligt definitionen i artikel 3 g i Europaparlamentets och rådets direktiv 2011/24/EU av den 9 mars 2011 om tillämpningen av patienträttigheter vid gränsöverskridande hälso- och sjukvård.</P>
<P class="p95 ft8">Med vårdgivare avses varje fysisk eller juridisk person eller varje annan entitet som lagligen bedriver hälso- och sjukvård på en medlemsstats territorium.</P>
<P class="p51 ft8">Med hälso- och sjukvård avses hälso- och sjukvårdstjänster som hälso- och sjukvårdspersonal tillhandahåller patienter i syfte att be- döma, bibehålla eller återställa deras hälsotillstånd, inbegripet förskriv- ning, utlämning och tillhandahållande av läkemedel och medicinska hjälpmedel enligt artikel 3 a.</P>
<P class="p165 ft35"><SPAN class="ft35">4.7</SPAN><SPAN class="ft40">Leverans och distribution av dricksvatten</SPAN></P>
<P class="p54 ft9">• Leverantörer och distributörer av dricksvatten <SPAN class="ft8">enligt definitionen i artikel 2.1 a rådets direktiv 98/83/EG av den 3 november 1998 om kvaliteten på dricksvatten, dock exklusive distributörer för vilka distribution av dricksvatten endast utgör en del av deras allmänna verksamhet, som består i distribution av andra förnödenheter och varor som inte anses utgöra samhällsviktiga tjänster.</SPAN></P>
<P class="p66 ft8">Med dricksvatten avses allt vatten som, antingen i sitt ursprungliga tillstånd eller efter beredning, är avsett för dryck, för matlagning, för beredning av livsmedel eller för andra hushållsändamål, oberoende av dess ursprung och oavsett om det tillhandahålls genom ett distri- butionsnät, från tankbil/tankbåt, i flaskor eller i behållare.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">76</P>
</DIV>
</DIV>
<DIV id="page_77">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td23"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td61"><P class="p22 ft33">Beskrivning av enheterna</P></TD>
</TR>
</TABLE>
<P class="p137 ft35"><SPAN class="ft35">4.8</SPAN><SPAN class="ft40">Digital infrastruktur</SPAN></P>
<P class="p8 ft45">• Internetknutpunkter (IXP)</P>
<P class="p101 ft8">Internetknutpunkter definieras i <NOBR>NIS-direktivet</NOBR> som en nätfacilitet som möjliggör sammankoppling av mer än två oberoende autonoma system, främst i syfte att underlätta utbytet av internettrafik. En internetknutpunkt tillhandhåller sammankoppling enbart för auto- noma system och kräver inte att den internettrafik som passerar mellan två deltagande autonoma system passerar genom ett tredje autonomt system och ändrar inte heller trafiken eller påverkar den på något annat sätt (artikel 4.13).</P>
<P class="p106 ft8">Det finns ett antal tillhandahållare av internetknutpunkter i Sverige, bl.a. Netnod, <NOBR>Sol-ix,</NOBR> STH IX, Norrnod, IXOR och GIX.</P>
<P class="p17 ft45">• Leverantörer av <NOBR>DNS-tjänster.</NOBR></P>
<P class="p101 ft8">Med domännamnssystem (DNS) avses enligt <NOBR>NIS-direktivet</NOBR> ett hierarkiskt, distribuerat namngivningssystem i ett nätverk som han- terar domännamnsförfrågningar. Med leverantör av <NOBR>DNS-tjänst</NOBR> av- ses en enhet som tillhandahåller <NOBR>DNS-tjänster</NOBR> på internet (artikel 4.14 och 4.15).</P>
<P class="p17 ft45">• Registreringsenheter för toppdomäner.</P>
<P class="p196 ft8">En registreringsenhet för toppdomäner definieras i <NOBR>NIS-direktivet</NOBR> som en enhet som administrerar och förvaltar registreringen av inter- netdomännamn under en specifik toppdomän (artikel 4.16).</P>
<P class="p106 ft8">I dag finns en nationell toppdomän för Sverige, .se, samt några toppdomäner, t.ex. toppdomänen .nu.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">77</P>
</DIV>
</DIV>
<DIV id="page_78">
</DIV>
<DIV id="page_79">
<P class="p4 ft7">5 Genomförandet av direktivet</P>
<P class="p69 ft35"><SPAN class="ft35">5.1</SPAN><SPAN class="ft40">Allmänna utgångspunkter</SPAN></P>
<P class="p229 ft11"><SPAN class="ft11">5.1.1</SPAN><SPAN class="ft68">Genomförande av </SPAN><NOBR>EU-direktiv</NOBR> i svensk rätt</P>
<P class="p57 ft8">Ett <NOBR>EU-direktiv</NOBR> är bindande med avseende på det resultat som ska uppnås men överlåter åt de nationella myndigheterna att bestämma form och tillvägagångssätt för genomförandet (artikel 288 i fördraget om Europeiska unionens funktionssätt). En medlemsstat behöver vid genomförandet inte använda sig av samma terminologi och syste- matik som i direktivet så länge det avsedda resultatet uppnås. Om direktivet är ett minimidirektiv har medlemsstaterna möjlighet att in- föra strängare regler än vad som följer av direktivet. Om bestämmel- serna däremot är fullharmoniserade (eller maximiharmoniserande) har medlemsstaterna inte rätt att införa kompletterande regler.</P>
<P class="p58 ft8">För att ett direktiv ska bli gällande i svensk rätt måste det genom- föras, dvs. införlivas i den svenska rättsordningen. Det är regering- en som ansvarar för att <NOBR>EU-rättsliga</NOBR> direktiv genomförs korrekt och i rätt tid. I den utsträckning det krävs lagändringar för att genom- föra hela eller delar av ett direktiv sker det i enlighet med den ordi- narie lagstiftningsprocessen, vilket innefattar sedvanlig remiss- och riksdagsbehandling. Om det i svensk rätt redan finns bestämmelser som motsvarar bestämmelserna i ett direktiv uppfylls kraven i direk- tivet och några lagstiftningsåtgärder behöver då inte vidtas.</P>
<P class="p11 ft8"><NOBR>EU-kommissionen</NOBR> bevakar att medlemsstaterna följer och i rätt tid genomför de regler som EU har beslutat om. Om kommissionen anser att svensk lagstiftning eller beslut från svenska myndigheter inte följer EU:s regler kan den inleda ett så kallat överträdelseförfarande mot Sverige. Ett sådant förfarande kan ytterst leda till böter eller vite för fördragsbrott.</P>
<P class="p230 ft18">79</P>
</DIV>
<DIV id="page_80">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Genomförandet av direktivet</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p179 ft11"><SPAN class="ft11">5.1.2</SPAN><SPAN class="ft68">Utgångspunkter i </SPAN><NOBR>NIS-direktivet</NOBR></P>
<P class="p94 ft45">Vilka aktörer omfattas av <NOBR>NIS-direktivet?</NOBR></P>
<P class="p68 ft8">För att en leverantör av samhällsviktiga tjänster ska omfattas av direk- tivet krävs att leverantören tillhandahåller tjänster inom någon av de i direktivet särskilt utpekade enheterna. Enheterna finns inom sju angivna sektorer. Sektorerna omfattar energi, transport, bankverk- samhet, finansmarknadsinfrastruktur, hälso- och sjukvård, leverans och distribution av dricksvatten samt digital infrastruktur. De aktu- ella enheterna finns beskrivna i kapitel 4. Därutöver reglerar direk- tivet vissa leverantörer av digitala tjänster. Dessa leverantörer och regleringen av dem behandlas i kapitel 10.</P>
<P class="p61 ft45">Minimidirektiv eller full harmonisering?</P>
<P class="p54 ft8">När det gäller samhällsviktiga tjänster får medlemsstaterna anta eller behålla bestämmelser som syftar till att uppnå en högre nivå på säker- heten i nätverk och informationssystem än vad som anges i NIS- direktivet. För leverantörer av digitala tjänster får medlemsstaterna emellertid inte införa ytterligare säkerhets- eller rapporteringskrav (artiklarna 3 och 16.10).</P>
<P class="p61 ft45">Lex specialis</P>
<P class="p60 ft8">Vissa ekonomiska sektorer regleras redan eller kan komma att reg- leras av sektorspecifika unionsrättsakter som inbegriper regler med anknytning till säkerheten i nätverk och informationssystem. Om det i en sådan unionsrättsakt föreskrivs krav på att leverantörer av sam- hällsviktiga tjänster eller leverantörer av digitala tjänster antingen ska säkerställa säkerheten i sina nätverk och informationssystem eller rap- portera incidenter, ska bestämmelserna i den sektorspecifika unions- rättsakten tillämpas, förutsatt att verkan av kraven i fråga minst motsvarar verkan av skyldigheterna i <NOBR>NIS-direktivet</NOBR> (artikel 1.7). I skälen till direktivet anges att medlemsstaterna då bör tillämpa be- stämmelserna i sådana sektorsspecifika unionsrättsakter, inklusive sådana som rör jurisdiktion, och inte genomföra identifieringsför- farandet för leverantörer av samhällsviktiga tjänster. Vid fastställan- det av om kraven på säkerhet i nätverk och informationssystem och</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">80</P>
</DIV>
</DIV>
<DIV id="page_81">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td62"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td63"><P class="p22 ft33">Genomförandet av direktivet</P></TD>
</TR>
</TABLE>
<P class="p88 ft8">rapportering av incidenter i sektorspecifika unionsrättsakter motsvarar kraven i <NOBR>NIS-direktivet,</NOBR> bör enligt direktivet endast bestämmelserna i relevanta unionsrättsakter och deras tillämpning i medlemsstater- na beaktas. (skäl 9)</P>
<P class="p3 ft45">Åtgärder för att skydda väsentliga statliga funktioner</P>
<P class="p113 ft8"><NOBR>NIS-direktivet</NOBR> påverkar inte medlemsstaternas åtgärder för att skydda sina väsentliga statliga funktioner. Det gäller särskilt åtgärder för att skydda den nationella säkerheten, inklusive åtgärder för skydd av information vars avslöjande medlemsstaterna anser strida mot sina väsentliga säkerhetsintressen och åtgärder för att upprätthålla lag och ordning, särskilt för att möjliggöra utredning, upptäckt och lagföring av brott. (artikel 1.6)</P>
<P class="p64 ft45">Övriga undantag</P>
<P class="p57 ft8">Bestämmelserna i <NOBR>NIS-direktivet</NOBR> ska inte tillämpas på företag som omfattas av kraven i artiklarna 13a och 13b i Europaparlamentets och rådets direktiv 2002/21/EG av den 7 mars 2002 om ett gemensamt regelverk för elektroniska kommunikationsnät och kommunikations- tjänster (ramdirektivet), eller på betrodda tjänster som omfattas av kraven i artikel 19 i Europaparlamentets och rådets förordning (EU) nr 910/2014 av den 23 juli 2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre mark- naden och om upphävande av direktiv 1999/93/EG. <NOBR>NIS-direktivet</NOBR> påverkar inte heller tillämpningen av rådets direktiv 2008/114/EG av den 8 december 2008 om identifiering av, och klassificering som, europeisk kritisk infrastruktur och bedömning av behovet att stärka skyddet av denna eller Europaparlamentets och rådets direktiv 2011/93/EU av den 13 december 2011 om bekämpande av sexuella övergrepp mot barn, sexuell exploatering av barn och barnpornografi samt om ersättande av rådets rambeslut 2004/68/RIF. En kortare redogörelse för dessa <NOBR>EU-rättsakter</NOBR> finns i avsnitt 3.3.</P>
<P class="p12 ft8">Beträffande leverantörer av digitala tjänster ska <NOBR>NIS-direktivets</NOBR> bestämmelser inte tillämpas på små företag eller mikroföretag enligt definitionen i kommissionens rekommendation 2003/361/EG av</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">81</P>
</DIV>
</DIV>
<DIV id="page_82">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Genomförandet av direktivet</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p142 ft8">den 6 maj 2003 om definitionen av mikroföretag samt små och medelstora företag.</P>
<P class="p213 ft35"><SPAN class="ft35">5.2</SPAN><SPAN class="ft40">Gällande rätt</SPAN></P>
<P class="p54 ft8">I dag finns bestämmelser om informationssäkerhet för nätverk och informationssystem i flera nationella regelverk. Det finns också sek- torer som regleras av sektorspecifika <NOBR>EU-rättsakter</NOBR> (lex specialis). Sjöfartssektorn, banksektorn och sektorn för finansmarknadsinfra- struktur är t.ex. i hög grad harmoniserade på unionsnivå. Även om- rådet för elektronisk kommunikation är i hög grad reglerat på EU- nivå.</P>
<P class="p231 ft11"><SPAN class="ft11">5.2.1</SPAN><SPAN class="ft68">Lex specialis enligt </SPAN><NOBR>NIS-direktivet</NOBR></P>
<P class="p94 ft45">Sjöfartssektorn</P>
<P class="p68 ft8">I sjöfartssektorn omfattar säkerhetskraven för rederier, fartyg, hamn- anläggningar, hamnar och sjötrafikinformationstjänster enligt unions- rättsakter all verksamhet, även radio- och telekommunikationssystem, datorsystem och nätverk. De obligatoriska förfarandena innefattar rapportering av alla incidenter. I <NOBR>NIS-direktivet</NOBR> anges att dessa krav bör anses utgöra lex specialis i den mån kraven är åtminstone lik- värdiga med kraven i <NOBR>NIS-direktivet.</NOBR> (skäl 10)</P>
<P class="p61 ft45">Banksektorn och sektorn för finansmarknadsinfrastruktur</P>
<P class="p68 ft8">Regleringen och tillsynen inom banksektorn och sektorn för finans- marknadsinfrastruktur har i hög grad harmoniserats på unionsnivå. Harmoniseringen har skett genom användning av unionens primär- rätt och sekundärrätt samt standarder som utvecklats tillsammans med de europeiska tillsynsmyndigheterna. I unionsrättsakterna utgör operativ risk en viktig del av reglering och tillsyn. Operativ risk om- fattar all verksamhet, även nätverks och informationssystems säker- het, integritet och motståndskraft. Kraven på dessa system är ofta mer långtgående än de som föreskrivs i <NOBR>NIS-direktivet.</NOBR> Krav på rap- portering av incidenter utgör vidare en del av normal tillsynspraxis inom finanssektorn. Dessa bestämmelser och krav bör enligt direk-</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">82</P>
</DIV>
</DIV>
<DIV id="page_83">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td62"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td63"><P class="p22 ft33">Genomförandet av direktivet</P></TD>
</TR>
</TABLE>
<P class="p96 ft8">tivet beaktas av medlemsstaterna vid tillämpningen av lex specialis. (skäl 12 och 13)</P>
<P class="p3 ft45">Digital infrastruktur</P>
<P class="p113 ft8">Inom sektorn digital infrastruktur ska bestämmelserna i <NOBR>NIS-direk-</NOBR> tivet tillämpas på enheten internetknutpunkter. Internetknutpunk- ter som flera aktörer kan ansluta sig till anses i svensk rätt som ett allmänt kommunikationsnät och omfattas av 5 kap. 6 b och c §§ lagen (2003:389) om elektronisk kommunikation (LEK). Bestämmel- serna genomför artiklarna 13a och 13b i Europaparlamentets och rådets direktiv 2002/21/EG av den 7 mars 2002 om ett gemensamt regelverk för elektroniska kommunikationsnät och kommunikations- tjänster (ramdirektivet). Artikel 13a i det direktivet ställer krav på tillhandahållare av allmänna kommunikationsnät och allmänt tillgäng- liga elektroniska kommunikationstjänster att <SPAN class="ft9">dels </SPAN>vidta lämpliga tek- niska och organisatoriska åtgärder för att på ett tillfredsställande sätt skydda säkerheten för sina nät eller tjänster, <SPAN class="ft9">dels </SPAN>meddela den be- höriga nationella regleringsmyndigheten om överträdelser av säker- heten eller integriteten som i betydande omfattning påverkade driften av nät och tjänster.</P>
<P class="p157 ft11"><SPAN class="ft11">5.2.2</SPAN><SPAN class="ft68">Nationell reglering</SPAN></P>
<P class="p67 ft8">I svensk rätt finns i dag ett flertal regelverk som ställer krav på in- formationssäkerhet utifrån olika förutsättningar. I säkerhetsskydds- lagstiftningen finns t.ex. bestämmelser om hantering av hemliga uppgifter och i förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap (kris- beredskapsförordningen, KBF) ges övergripande bestämmelser om informationssäkerhet och krav på <NOBR>it-incidentrapportering</NOBR> för statliga myndigheter. I lagen (2003:389) om elektronisk kommunikation (LEK) finns bestämmelser om krav på såväl säkerhetsåtgärder som incidentrapportering.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">83</P>
</DIV>
</DIV>
<DIV id="page_84">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Genomförandet av direktivet</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p102 ft45">Säkerhetsskyddslagstiftningen</P>
<P class="p68 ft8">I säkerhetsskyddslagen (1996:627) finns bestämmelser om säkerhets- skydd. Med säkerhetsskydd avses enligt 6 § skydd mot spioneri, sabo- tage och andra brott som kan hota rikets säkerhet, skydd i andra fall av uppgifter som omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400) och som rör rikets säkerhet, samt skydd mot terroristbrott enligt 2 § lagen (2003:148) om straff för terrorist- brott, även om brotten inte hotar rikets säkerhet.</P>
<P class="p51 ft8">Av 7 § säkerhetsskyddslagen framgår att säkerhetsskyddet ska förebygga att uppgifter som omfattas av sekretess och som rör rikets säkerhet (hemliga uppgifter) obehörigen röjs, ändras eller förstörs (informationssäkerhet) att obehöriga får tillträde till platser där de kan få tillgång till sådana uppgifter eller där verksamhet som har betydelse för rikets säkerhet bedrivs (tillträdesbegränsning) och att personer som inte är pålitliga från säkerhetssynpunkt deltar i verk- samhet som är av betydelse för rikets säkerhet (säkerhetsprövning). Säkerhetsskyddet ska även i övrigt förebygga terrorism.</P>
<P class="p52 ft8">Vid utformningen av informationssäkerhet ska enligt säkerhets- skyddslagen behovet av skydd vid automatisk informationsbehand- ling beaktas särskilt (9 §).</P>
<P class="p51 ft8">Det saknas definition av begreppet rikets säkerhet i säkerhets- skyddslagen. I stället ska myndigheter och andra som omfattas av säkerhetsskyddsförordningen (1996:633) undersöka vilka uppgifter i deras verksamhet som ska hållas hemliga med hänsyn till rikets säkerhet och vilka anläggningar som kräver ett säkerhetsskydd med hänsyn till rikets säkerhet eller skyddet mot terrorism. Resultatet ska dokumenteras i en säkerhetsanalys. (5 § säkerhetsskyddsförord- ningen)</P>
<P class="p51 ft8">Syftet med säkerhetsskyddslagen är framför allt att säkerhetsälla ett skydd för verksamheter där påverkan genom ett antagonistiskt angrepp skulle medföra allvarliga konsekvenser på nationell nivå.</P>
<P class="p51 ft8">En särskild utredare har haft i uppdrag att göra en översyn av säkerhetsskyddslagstiftningen och överlämnade betänkandet <SPAN class="ft9">En ny säkerhetsskyddslag </SPAN>(SOU 2015:25) i mars 2015. Betänkandet har re- missbehandlats och bereds för närvarande i Regeringskansliet. I be- tänkandet lämnas bl.a. förslag på en ny säkerhetsskyddslag. Lagen ska enligt förslaget tillämpas på verksamheter hos staten, kommuner, landsting och enskilda som är av betydelse för Sveriges säkerhet, eller</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">84</P>
</DIV>
</DIV>
<DIV id="page_85">
<DIV id="dimg1">
<INGENBILD zsrc="H5B33685x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td62"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td63"><P class="p22 ft33">Genomförandet av direktivet</P></TD>
</TR>
</TABLE>
<P class="p88 ft8">som omfattas av ett för Sverige i förhållande till annan stat eller mellanfolklig organisation förpliktande åtagande om säkerhetsskydd. Sådan verksamhet definieras enligt förslaget som säkerhetskänslig verksamhet. I betänkandet konstateras att de samhällssektorer som lyfts fram i Myndigheten för samhällsskydd och beredskaps (MSB) vägledning för identifiering av samhällsviktig verksamhet och kon- sekvensbedömning<SPAN class="ft36">1 </SPAN>även är relevanta för att identifiera särskilt skyddsvärd verksamhet, men att områdena inte är identiska. Som exempel på områden, verksamheter och funktioner som är av sådan karaktär att de skulle kunna omfattas av krav på skydd enligt säker- hetsskyddslagen anges i betänkandet följande: <SPAN class="ft36">2</SPAN></P>
<P class="p194 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">Centrala statsledningen</SPAN></P>
<P class="p195 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">Totalförsvaret</SPAN></P>
<P class="p38 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">Internationella relationer</SPAN></P>
<P class="p195 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">Rättsväsendet</SPAN></P>
<P class="p195 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">Skydd mot olyckor</SPAN></P>
<P class="p195 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">Hälso- och sjukvård</SPAN></P>
<P class="p38 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">Energiförsörjning</SPAN></P>
<P class="p195 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">Vattenförsörjning och avloppshantering</SPAN></P>
<P class="p195 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">Annan livsmedelsförsörjning</SPAN></P>
<P class="p38 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">Elektronisk kommunikation</SPAN></P>
<P class="p195 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">Finansiella tjänster</SPAN></P>
<P class="p195 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">Industri, forskning och utveckling</SPAN></P>
<P class="p38 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">Transporter och kommunikation</SPAN></P>
<P class="p195 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">Folkbokföring och socialförsäkring</SPAN></P>
<P class="p232 ft74"><SPAN class="ft72">1</SPAN><SPAN class="ft73">Myndigheten för samhällsskydd och beredskaps publikation Att identifiera samhällsviktig verksamhet – En metod för identifiering av samhällsviktig verksamhet och bedömning av tolerabel avbrottstid, publ.nr. MSB620, januari 2014.</SPAN></P>
<P class="p233 ft38"><SPAN class="ft72">2</SPAN><SPAN class="ft75">En ny säkerhetsskyddslag (SOU 2015:25) s. 294 f.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">85</P>
</DIV>
</DIV>
<DIV id="page_86">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Genomförandet av direktivet</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p226 ft8">Gemensamt för flera av dessa områden är att det inom dem finns skyddsvärda <NOBR>it-system</NOBR> för bl.a. ledning, styrning, reglering och över- vakning av samhällsviktiga funktioner.</P>
<P class="p86 ft8">I säkerhetskyddsförordningen ges bestämmelser till säkerhets- skyddslagen utom när det gäller riksdagen och dess myndigheter. Om en hemlig uppgift kan ha röjts ska detta skyndsamt anmälas till Säkerhetspolisen, om röjandet kan antas medföra men för rikets säker- het som inte endast är ringa (10 §). En myndighet ska också enligt 10 a §, till den myndighet som utövar tillsyn över säkerhetsskyddet, skyndsamt anmäla om det inträffat en <NOBR>it-incident</NOBR> i myndighetens informationssystem och</P>
<P class="p234 ft8"><SPAN class="ft10">1.</SPAN><SPAN class="ft76">incidenten allvarligt kan påverka säkerheten i ett informations- system där hemliga uppgifter behandlas i en omfattning som inte är ringa,</SPAN></P>
<P class="p234 ft8"><SPAN class="ft10">2.</SPAN><SPAN class="ft76">incidenten allvarligt kan påverka säkerheten i ett informations- system som särskilt behöver skyddas mot terrorism, eller</SPAN></P>
<P class="p234 ft8"><SPAN class="ft10">3.</SPAN><SPAN class="ft76">incidenten upptäckts genom stöd enligt 4 § förordningen (2007:937) med instruktion för Försvarets radioanstalt.</SPAN></P>
<P class="p235 ft8">Försvarsmakten är tillsynsmyndighet när det gäller Fortifikations- verket, Försvarshögskolan och de myndigheter som hör till Försvars- departementet. Säkerhetspolisen är tillsynsmyndighet när det gäller övriga myndigheter utom Justitiekanslern. Om incidenten ska rap- porteras till Försvarsmakten, ska den rapporterande myndigheten också skyndsamt informera Säkerhetspolisen. (10 a § och 39 § säker- hetsskyddsförordningen)</P>
<P class="p86 ft8">Säkerhetsskyddslagstiftningen skyddar alltså den nationella säker- heten. Den verksamhet som regleras där omfattas därmed inte av <NOBR>NIS-direktivet.</NOBR> Den rapportering av <NOBR>it-incidenter</NOBR> som myndigheter är skyldiga att göra enligt 10 a § säkerhetsskyddsförordningen ska med hänsyn till rikets säkerhet inte omfattas av ett nationellt regelverk till följd av <NOBR>NIS-direktivet.</NOBR> Sådana incidenter ska dock även fort- sättningsvis rapporteras enligt säkerhetsskyddsförordningen.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">86</P>
</DIV>
</DIV>
<DIV id="page_87">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td62"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td63"><P class="p22 ft33">Genomförandet av direktivet</P></TD>
</TR>
</TABLE>
<P class="p236 ft61">Förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap</P>
<P class="p237 ft8">Krisberedskapsförordningen syftar till att statliga myndigheter genom sin verksamhet ska minska sårbarheten i samhället och utveckla en god förmåga att hantera sina uppgifter under fredstida krissituationer och inför och vid höjd beredskap. I krisberedskapsförordningen finns bl.a. övergripande bestämmelser om informationssäkerhet för stat- liga myndigheter. Enligt 19 § ansvarar varje myndighet för att egna informationshanteringssystem uppfyller sådana grundläggande och särskilda säkerhetskrav att myndighetens verksamhet kan utföras på ett tillfredsställande sätt. Därvid ska behovet av säkra ledningssystem särskilt beaktas. Till stöd för arbetet med samhällets informations- säkerhet ska en myndighet vidare enligt 20 § till Myndigheten för samhällsskydd och beredskap (MSB) skyndsamt rapportera <NOBR>it-inci-</NOBR> denter som inträffat i myndighetens informationssystem och som allvarligt kan påverka säkerheten i den informationshantering som myndigheten ansvarar för eller i tjänster som myndigheten tillhanda- håller åt en annan organisation. En myndighet som tillhandahåller tjänster åt en annan organisation ska i samband med rapportering in- formera och vid behov samråda med den eller de uppdragsgivare som berörs av incidenten. Rapporteringsskyldigheten omfattar inte så- dana incidenter som ska rapporteras enligt 10 a § säkerhetsskydds- förordningen. Bestämmelsen i 20 § gäller för statliga myndigheter under regeringen med undantag av Regeringskansliet, kommittéväsen- det, Säkerhetspolisen, Försvarsmakten, Försvarets materielverk, För- svarets radioanstalt och Totalförsvarets forskningsinstitut (3 §).</P>
<P class="p238 ft8">MSB får meddela föreskrifter om sådana säkerhetskrav som avses i 19 § med beaktande av nationell och internationell standard. MSB får också, efter att ha gett Polismyndigheten, Säkerhetspolisen och Försvarsmakten tillfälle att yttra sig, meddela de ytterligare före- skrifter som behövs för verkställigheten av rapportering av <NOBR>it-inci-</NOBR> denter. (21 §)</P>
<P class="p238 ft8">Vissa av de statliga myndigheter som omfattas av förordningen kan komma att omfattas även av bestämmelserna i <NOBR>NIS-direktivet.</NOBR> Som utredningen konstaterar i avsnitt 7.3.2 innebär detta att myn- digheter kan bli skyldiga att rapportera incidenter enligt flera regel- verk.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">87</P>
</DIV>
</DIV>
<DIV id="page_88">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Genomförandet av direktivet</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p102 ft45">Lagen (2003:389) om elektronisk kommunikation</P>
<P class="p60 ft8">Den som tillhandahåller en allmänt tillgänglig elektronisk kommu- nikationstjänst är enligt lagen (2003:389) om elektronisk kommuni- kation (LEK) skyldig att vidta tekniska och organisatoriska åtgärder för att skydda uppgifter som behandlas i samband med tillhanda- hållande av tjänsten. Vilken säkerhetsnivå som ska uppnås beror på risken för en integritetsincident, tillgänglig teknik och kostnaderna för att genomföra åtgärderna. Sådana aktörer är också skyldiga att utan onödigt dröjsmål underrätta Post- och telestyrelsen (PTS) om integritetsincidenter. Med integritetsincident avses en händelse som leder till oavsiktlig eller otillåten utplåning, förlust eller ändring, eller otillåtet avslöjande av eller otillåten åtkomst till uppgifter som be- handlas i samband med tillhandahållandet av allmänt tillgängliga elek- troniska kommunikationstjänster. Om incidenten kan antas inverka negativt på de abonnenter eller användare som de behandlade upp- gifterna berör, eller om tillsynsmyndigheten begär det, ska även dessa underrättas utan onödigt dröjsmål. (6 kap. 1 och <NOBR>3–4</NOBR> a §§) PTS har utfärdat föreskrifter som innehåller mer detaljerade krav på säker- hetsåtgärder (PTSFS 2014:1).</P>
<P class="p239 ft8">Den som tillhandahåller allmänna kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster är skyldig dels att vidta lämpliga tekniska och organisatoriska åtgärder för att säker- ställa att verksamheten uppfyller rimliga krav på driftsäkerhet, dels att utan onödigt dröjsmål rapportera störningar eller avbrott av be- tydande omfattning till PTS (5 kap. 6 <NOBR>b–c</NOBR> §§). Av Post- och telestyrel- sens föreskrifter och allmänna råd om rapportering av störningar eller avbrott av betydande omfattning (PTSFS 2012:2) framgår på vilket sätt rapporteringsskyldigheten ska fullgöras och om undantag från skyldigheten. Genom bestämmelserna i 5 kap. 6 <NOBR>b–c</NOBR> §§ genom- förs, som framgått ovan, artiklarna 13a och 13b i Europaparlamen- tets och rådets direktiv 2002/21/EG av den 7 mars 2002 om ett gemensamt regelverk för elektroniska kommunikationsnät och kom- munikationstjänster (ramdirektivet). Säkerhets- och rapporterings- kraven i <NOBR>NIS-direktivet</NOBR> ska enligt artikel 1.3 inte tillämpas på före- tag som omfattas av de nu nämnda artiklarna.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">88</P>
</DIV>
</DIV>
<DIV id="page_89">
<DIV id="dimg1">
<INGENBILD zsrc="H5B33689x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td62"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td63"><P class="p22 ft33">Genomförandet av direktivet</P></TD>
</TR>
</TABLE>
<P class="p240 ft61">Informationssäkerhet för leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster enligt <NOBR>NIS-direktivet</NOBR></P>
<P class="p241 ft8">Av den övergripande inventering som utredningen har gjort med hjälp av bl.a. deltagarna i referensgruppen framgår att det endast i begrän- sad omfattning finns bestämmelser som direkt gäller informations- säkerhet för leverantörer av samhällsviktiga tjänster och digitala tjänster enligt <NOBR>NIS-direktivet.<SPAN class="ft36">3</SPAN></NOBR><SPAN class="ft36"> </SPAN>I vissa fall finns dock krav på säker- het som skulle kunna omfatta även informationssäkerhet. Som exem- pel kan nämnas mer allmänt formulerade bestämmelser om riskhan- tering eller bestämmelser med krav på driftsäkerhet eller kontinuitet i den tillhandahållna tjänsten.</P>
<P class="p157 ft35"><SPAN class="ft35">5.3</SPAN><SPAN class="ft40">En ny lag och en ny förordning införs</SPAN></P>
<P class="p242 ft8"><SPAN class="ft43">Förslag: </SPAN>Genomförandet av <NOBR>NIS-direktivet</NOBR> ska ske i en ny lag och en ny förordning. Den nya lagen och den nya förordningen ska heta</P>
<P class="p243 ft8"><SPAN class="ft64">•</SPAN><SPAN class="ft34">lagen (2018:000) om informationssäkerhet för vissa tillhanda- hållare av samhällsviktiga tjänster och digitala tjänster, respek- tive</SPAN></P>
<P class="p244 ft49"><SPAN class="ft64">•</SPAN><SPAN class="ft65">förordningen (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster</SPAN></P>
<P class="p245 ft45">Normgivning</P>
<P class="p65 ft8">I regeringsformen (RF) används beteckningen föreskrifter för rätts- regler som styr enskildas och myndigheters handlande. Föreskrifter beslutas av riksdagen genom lag och av regeringen genom förordning. Även förvaltningsmyndigheter och kommuner meddelar föreskrifter. Förvaltningsmyndigheters föreskrifter brukar benämnas myndighets- föreskrifter.</P>
<P class="p106 ft8">Föreskrifter som avser förhållandet mellan enskilda och det all- männa och som gäller skyldigheter för enskilda eller i övrigt avser</P>
<P class="p246 ft38"><SPAN class="ft37">3 </SPAN>Inventeringen finns tillgänglig i ärende dnr <NOBR>Komm2017/00542-1.</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">89</P>
</DIV>
</DIV>
<DIV id="page_90">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Genomförandet av direktivet</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p226 ft8">ingrepp i enskildas personliga eller ekonomiska förhållanden ska som huvudregel meddelas i lag. Detsamma gäller i fråga om föreskrifter som avser t.ex. befogenheter och åligganden för kommuner. Efter bemyndigande i lag kan dock sådana föreskrifter i många fall med- delas av regeringen i förordning eller, efter vidaredelegation, av en förvaltningsmyndighet eller en kommun. (8 kap. 3 och 9 §§ RF)</P>
<P class="p86 ft8">Utöver de fall då riksdagen i lag kan delegera föreskriftsrätt, finns det direkt stöd i regeringsformen för regeringen att meddela före- skrifter på vissa områden. Regeringen får bl.a. meddela föreskrifter om verkställighet av lag (8 kap. 7 § första stycket 1 RF). Sådana be- stämmelser kan fylla ut eller precisera lagbestämmelser. Exempel på verkställighetsföreskrifter är sådana som styr när och hur man ansöker om ett tillstånd som krävs enligt lag för att bedriva en viss verksam- het. En förutsättning för att verkställighetsföreskrifter ska kunna meddelas är att de inte tillför något väsentligt nytt i sak. Verkställig- hetsföreskrifter får t.ex. inte innebära att enskilda åläggs ytterligare skyldigheter. Verkställighetsföreskrifter får inte heller förändra inne- hållet i lagbestämmelsen. Däremot kan de tillföra vad som behövs för att lagen ska kunna tillämpas i praktiken.</P>
<P class="p87 ft8">Regeringen får även meddela sådana föreskrifter som inte enligt grundlag ska meddelas av riksdagen (8 kap. 7 § första stycket 2 RF). Denna föreskriftsrätt brukar kallas för regeringens restkompetens. Med stöd av restkompetensen kan regeringen meddela föreskrifter om t.ex. statliga förvaltningsmyndigheters organisation och arbetsupp- gifter. Även gynnande föreskrifter, som visserligen avser förhållandet mellan enskilda och det allmänna men som inte gäller skyldigheter eller ingrepp, faller in under restkompetensen. Sådana föreskrifter kan alltså meddelas av regeringen utan något stöd av bemyndigande i lag.</P>
<P class="p247 ft8"><NOBR>NIS-direktivet</NOBR> innebär skyldigheter för både enskilda och offent- liga aktörer. Ett genomförande av direktivet ska därmed ske huvud- sakligen i lag. Direktivet innebär emellertid också att myndigheter bör åläggas arbetsuppgifter. I vissa delar är det vidare lämpligt att möjliggöra för myndigheter att meddela närmare föreskrifter om hur skyldigheterna i direktivet ska uppfyllas. Sådana bestämmelser bör meddelas i förordning.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">90</P>
</DIV>
</DIV>
<DIV id="page_91">
<DIV id="dimg1">
<INGENBILD zsrc="H5B33691x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td62"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td63"><P class="p22 ft33">Genomförandet av direktivet</P></TD>
</TR>
</TABLE>
<P class="p80 ft45">Ett samlat regelverk</P>
<P class="p65 ft8">I kommittédirektiven anges att det i linje med regeringens ambition att verka för ett mer ändamålsenligt arbete med informationssäker- het inom statsförvaltningen bör utredas ifall <NOBR>NIS-direktivet</NOBR> bör genomföras i ett samlat regelverk om säkerhet för nätverk och in- formationssystem. Det gäller särskilt kraven på operatörer som be- driver samhällsviktig verksamhet och leverantörer av digitala tjänster.</P>
<P class="p11 ft8">Fördelarna med ett samlat regelverk är enligt utredningens mening att det blir tydligt för myndigheter, enskilda och tillsynsmyndigheten vilken reglering som finns när det gäller samhällsviktiga tjänster och digitala tjänster. <NOBR>NIS-direktivet</NOBR> reglerar en miniminivå vilket lämpar sig väl för en övergripande ramlagstiftning. Bestämmelser som be- höver anpassas till respektive sektor kan då regleras i myndighets- föreskrifter. Regleringen blir heltäckande och ingen tjänst riskerar att sakna reglering. Det blir också lättare att komplettera och ändra regelverket om ett sådant behov uppkommer. I <NOBR>NIS-direktivet</NOBR> be- tonas också vikten av att ta tillvara erfarenheter av tillämpningen från till exempel samordningsgruppen och <NOBR>CSIRT-nätverket.</NOBR></P>
<P class="p58 ft8">Nackdelarna med ett samlat regelverk är att myndigheter och enskilda i vissa fall kommer att behöva tillämpa olika regelverk för samma nätverk och informationssystem men med olika syften. För myndigheter och enskilda inom sektorer som omfattas även av andra <NOBR>EU-rättsakter</NOBR> finns också en risk för att det kan bli otydligt vilken reglering som gäller. I vissa <NOBR>EU-rättsakter</NOBR> på till exempel transport- området är avsikten att bestämmelser om säkerhet ska omfatta hela verksamheten, dvs. även nätverk och informationssystem.</P>
<P class="p11 ft8">Den inventering som utredningen har gjort av de nationella reg- lerna på området visar att det inom vissa sektorer finns ett mer ut- vecklat regelverk för informationssäkerhet än inom andra.<SPAN class="ft36">4 </SPAN>Det finns också skillnader mellan olika enheter inom samma sektor. Vissa bestämmelser tar inte heller direkt sikte på informationssäker- het utan syftar till att upprätthålla kontinuiteten i tjänsten utifrån andra aspekter eller till att analysera eller hantera risker mer allmänt. I de fall tillhandahållandet av en tjänst är beroende av nätverk eller informationssystem kan dessa system utgöra en sådan risk som bör beaktas när tillhandahållaren av tjänsten gör sin riskanalys, oavsett</P>
<P class="p248 ft38"><SPAN class="ft37">4 </SPAN>Inventeringen finns tillgänglig i ärende dnr <NOBR>Komm2017/00542-1.</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">91</P>
</DIV>
</DIV>
<DIV id="page_92">
<DIV id="dimg1">
<INGENBILD zsrc="H5B33692x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Genomförandet av direktivet</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8">om bestämmelsen är formulerad som en informationssäkerhets- bestämmelse eller inte. Beträffande de digitala tjänster som regleras av <NOBR>NIS-direktivet</NOBR> saknas i dag reglering helt.</P>
<P class="p51 ft8">Att införa kompletterande bestämmelser i befintliga regelverk för samtliga de sektorer och enheter som <NOBR>NIS-direktivet</NOBR> omfattar skulle innebära ett omfattande kartläggningsarbete av ett stort antal be- stämmelser, både nationella och i <NOBR>EU-rättsakter.</NOBR> En sådan reglering riskerar också att bli oöverskådlig och rörig, vilket är till nackdel inte minst för tillsynsmyndigheten.</P>
<P class="p197 ft8">Inom sektorn digital infrastruktur ska <NOBR>NIS-direktivet</NOBR> tillämpas på en relativt begränsad krets av enheter som är förhållandevis lätta att identifiera. Den svenska lagstiftningen på området är begränsad till två lagar, nämligen lagen (2003:389) om elektronisk kommuni- kation och lagen (2006:24) om nationella toppdomäner för Sverige på Internet. Utredningen har övervägt att särskilt beträffande re- gistreringsenheter för toppdomäner genomföra <NOBR>NIS-direktivet</NOBR> genom att föra in nya och kompletterade bestämmelser i befintligt regel- verk. Utredningen har dock kommit till slutsatsen att detta inte är lämpligt. En sådan lösning skulle bli onödigt komplicerad.</P>
<P class="p52 ft8">Vid genomförandet av <NOBR>NIS-direktivet</NOBR> bör man enligt utredningens mening sträva efter att åstadkomma en samlad lagstiftningsprodukt som till sin struktur ligger nära direktivet. Detta kommer att under- lätta tillämpningen inte minst mot bakgrund av att myndigheter och enskilda kan komma att omfattas av <NOBR>NIS-direktivet</NOBR> i flera med- lemsstater.</P>
<P class="p213 ft35"><SPAN class="ft35">5.4</SPAN><SPAN class="ft40">Den nya lagens tillämpningsområde</SPAN></P>
<P class="p249 ft8"><SPAN class="ft43">Förslag: </SPAN>Lagen (2018:000) om informationssäkerhet för vissa till- handahållare av samhällsviktiga tjänster och digitala tjänster ska tillämpas på</P>
<P class="p250 ft8"><SPAN class="ft64">•</SPAN><SPAN class="ft34">leverantörer av samhällsviktiga tjänster som är etablerade på svenskt territorium. Med leverantörer av samhällsviktiga tjänst- er avses en enhet av den typ som anges i bilaga 2 till NIS- direktivet och som tillhandhåller en tjänst som är viktig för att upprätthålla kritisk samhällelig eller ekonomisk verksamhet, tillhandhållandet av tjänsten är beroende av nätverks och in-</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">92</P>
</DIV>
</DIV>
<DIV id="page_93">
<DIV id="dimg1">
<INGENBILD zsrc="H5B33693x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td62"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td63"><P class="p22 ft33">Genomförandet av direktivet</P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p251 ft8">formationssystem och en incident skulle medföra en betydan- de störning av tillhandahållandet av tjänsten.</P>
<P class="p252 ft8"><SPAN class="ft64">•</SPAN><SPAN class="ft34">leverantörer av sådana digitala tjänster som anges i bilaga 3 till </SPAN><NOBR>NIS-direktivet</NOBR> och som har sitt huvudsakliga etableringsställe i Sverige eller har utsett en företrädare som är etablerad här, dock inte mikroföretag eller små företag enligt definitionen i kommissionens rekommendation 2003/361/EG.</P>
<P class="p253 ft49">Lagen (2018:000) om informationssäkerhet för vissa tillhanda- hållare av samhällsviktiga tjänster och digitala tjänster ska inte tillämpas på</P>
<P class="p254 ft49"><SPAN class="ft64">•</SPAN><SPAN class="ft65">företag som omfattas av kraven i artiklarna 13a och 13b i direk- tiv 2002/21/EG, utom företag som tillhandahåller internet- knutpunkter</SPAN></P>
<P class="p255 ft49"><SPAN class="ft64">•</SPAN><SPAN class="ft65">leverantörer av betrodda tjänster som omfattas av kraven i artikel 19 i förordning (EU) nr 910/2014</SPAN></P>
<P class="p256 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">leverantörer som omfattas av lex specialis enligt </SPAN><NOBR>NIS-direktivet</NOBR></P>
<P class="p195 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">verksamhet som är av betydelse för Sveriges säkerhet</SPAN></P>
<P class="p257 ft8">Om det finns bestämmelser i bindande <NOBR>EU-rättsakter</NOBR> om krav på att leverantörer av samhällsviktiga tjänster eller leverantörer av digitala tjänster ska säkerställa säkerheten i sina nätverk och in- formationssystem eller rapportera incidenter så ska den nya lagen inte tillämpas förutsatt att verkan av kraven minst motsvarar verk- an av skyldigheterna i den nya lagen. Finns sådana bestämmelser i annan författning ska de bestämmelserna tillämpas om kraven minst motsvarar verkan av skyldigheterna i den nya lagen.</P>
<P class="p258 ft8"><SPAN class="ft43">Bedömning: </SPAN>Lagen (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster ska tillämpas endast på sådana leverantörer av samhällsviktiga tjänst- er och leverantörer av digitala tjänster som omfattas av NIS- direktivet.</P>
</DIV>
<DIV id="id_3">
<P class="p4 ft18">93</P>
</DIV>
</DIV>
<DIV id="page_94">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Genomförandet av direktivet</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p259 ft45">Den nya lagen ska tillämpas endast på de leverantörer som omfattas av <NOBR>NIS-direktivet</NOBR></P>
<P class="p260 ft8"><NOBR>NIS-direktivet</NOBR> reglerar säkerheten i nätverk och informationssystem hos leverantörer av samhällsviktiga tjänster inom särskilt utpekade sektorer. Endast vissa typer av operatörer (enheter) inom sektorerna omfattas.</P>
<P class="p86 ft8">Utredningen kan konstatera att det i Sverige tillhandahålls sam- hällsviktiga tjänster även av operatörer som inte utgör enheter enligt <NOBR>NIS-direktivet.</NOBR> Ett sådant exempel är fjärrvärme. Vidare kan en leve- rantör av samhällsviktiga tjänster som omfattas av direktivet vara direkt eller indirekt beroende av tjänster och system som inte om- fattas.</P>
<P class="p118 ft8">Enligt utredningens mening kan det finnas behov av tydligare kravställning rörande informationssäkerhet även för verksamhet som inte omfattas av <NOBR>NIS-direktivet.</NOBR> Ett sådant behov skulle kunna till- godoses genom att den nya lagen utformas som en plattform och knutpunkt för samhällets informationssäkerhetsarbete i sin helhet. En mer övergripande lag skulle kunna vara till fördel för enhetlig- heten på området, ge mindre utrymme för olika tolkningar och bättre förutsättningar för aktörerna att överblicka regelverket. En sådan lös- ning skulle också ligga i linje med de rekommendationer Riksrevi- sionens lämnat i sin rapport <SPAN class="ft9">Informationssäkerheten i den civila stats- förvaltningen </SPAN>(RiR 2014:23).</P>
<P class="p205 ft8">Utredarens uppdrag är bl.a. att föreslå hur <NOBR>NIS-direktivet</NOBR> ska genomföras i svensk rätt. I detta ryms inte att ta ställning till hur hela samhällets informationssäkerhet bör regleras i ett bredare perspektiv. Mot bakgrund av att <NOBR>NIS-direktivet</NOBR> syftar till att reglera samhälls- viktiga tjänster ligger det i så fall närmare till hands att föreslå ett regelverk som omfattar även sådana leverantörer av samhällsviktiga tjänster som i och för sig inte utgör enheter enligt direktivet. Med hänsyn till den tidsram utredningen har att beakta bedömer utred- ningen emellertid inte att det är möjligt att föra fram ett sådant förslag. Utredningen har därför stannat vid att låta den nya lagen omfatta endast sådana leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster som omfattas av <NOBR>NIS-direktivet.</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">94</P>
</DIV>
</DIV>
<DIV id="page_95">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td62"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td63"><P class="p22 ft33">Genomförandet av direktivet</P></TD>
</TR>
</TABLE>
<P class="p80 ft45">Jurisdiktion</P>
<P class="p57 ft8">Den nya lagen ska tillämpas på leverantörer av samhällsviktiga tjänst- er som är etablerade på svenskt territorium (artikel 5.1) och på leverantörer av sådana digitala tjänster som anges i bilaga 3 till NIS- direktivet och som har sitt huvudsakliga etableringsställe i Sverige eller har utsett en företrädare som är etablerad här, se avsnitt 10.2.5.</P>
<P class="p64 ft45">Uttryckliga undantag m.m.</P>
<P class="p65 ft8">Som framgått ovan är vissa företag och leverantörer uttryckligen undantagna från <NOBR>NIS-direktivets</NOBR> tillämpningsområde. I den nya lagen bör det anges att lagen inte är tillämplig på dessa aktörer.</P>
<P class="p11 ft8">Beträffande direktiv 2002/21/EG konstaterar utredningen dock att i svensk rätt anses internetknutpunkter som sådana allmänna kommunikationsnät som omfattas av 5 kap. 6 b och c §§ LEK. Dessa bestämmelser genomför artiklarna 13a och 13b i direktiv 2002/21/EG. Med hänsyn till att internetknutpunkter är en av de enheter som uttryckligen ska regleras enligt <NOBR>NIS-direktivet</NOBR> bedömer utredning- en att undantaget för företag som omfattas av artiklarna 13a och 13b inte kan gälla internetknutpunkter. Det gäller oavsett om inter- netknutpunkter även enligt <NOBR>EU-rätten</NOBR> ska anses som ett allmänt kommunikationsnät eller inte. För att <NOBR>NIS-direktivet</NOBR> ska bli korrekt genomfört i svensk rätt bedömer utredningen att internetknutpunk- ter måste omfattas av den nya lagen. De kan inte undantas mot bakgrund av att de anses omfattas av den nationella lagstiftningen – oavsett om denna grundar sig på en <NOBR>EU-rättsakt.</NOBR> En annan sak är att internetknutpunkter kan anses omfattas av lex specialis enligt NIS- direktivet, se nedan.</P>
<P class="p58 ft8">Det bör också anges att lagen inte ska tillämpas på verksamhet som är av betydelse för Sveriges säkerhet. Lagen ska alltså inte tillämpas på sådan verksamhet som omfattas av säkerhetsskyddslagen. Den rapportering av <NOBR>it-incidenter</NOBR> som myndigheter är skyldiga att göra enligt 10 a § säkerhetsskyddsförordningen ska därmed även fortsätt- ningsvis rapporteras enligt säkerhetsskyddsförordningen och inte enligt den nya lagen.</P>
<P class="p11 ft49">Med verksamhet avses verksamhet inom de typer av enheter som anges i bilaga 2 och 3 till <NOBR>NIS-direktivet.</NOBR> Under utredningens arbete har det framförts att incidenter som upptäcks genom stöd som läm-</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">95</P>
</DIV>
</DIV>
<DIV id="page_96">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Genomförandet av direktivet</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p226 ft8">nas enligt 4 § förordningen (2007:937) med instruktion för Försvarets radioanstalt uttryckligen bör undantas från rapporteringsplikten enligt den nya lagen även om verksamheten till vilken stöd lämnas inte omfattas av säkerhetsskyddslagstiftningen. Utredningen be- dömer dock att i den utsträckning stödet enligt FRA:s instruktion innebär att verksamheten får del av uppgifter som omfattas av för- svarssekretess, får verksamheten betydelse för Sveriges säkerhet. Den nya lagen ska då inte tillämpas. En sådan tillämpning torde strida mot <NOBR>NIS-direktivets</NOBR> syfte, men inte mot dess lydelse. Tolkningen innebär också att den myndighet som får stöd av eller anlitar FRA ska vidta säkerhetsskyddsåtgärder enligt säkerhetsskyddslagen. Denna fråga gäller ytterst omfattningen och tillämpningen av säkerhets- skyddslagen och bör därför i första hand behandlas i ett annat sam- manhang. När det gäller enskilda aktörer kan det nämnas att det i betänkandet <SPAN class="ft9">En ny säkerhetsskyddslag </SPAN>(SOU 2015:25) föreslås att säkerhetsskyddslagen ska omfatta även sådana aktörer.</P>
<P class="p86 ft8">Att det inom en viss samhällssektor finns intressen som kräver skydd enligt säkerhetsskyddslagen innebär emellertid inte att all verk- samhet inom sektorn ska betraktas som så skyddsvärd att den träffas av säkerhetsskyddslagstiftningen. Verksamhet som inte omfattas av säkerhetsskyddslagen kan vara skyddsvärd utifrån andra perspektiv och omfattas av andra krav på skyddsåtgärder, t.ex. enligt NIS- direktivet. Ytterligare annan verksamhet kan vara sådan att det helt saknas behov av särskilt skydd. I skälen till <NOBR>NIS-direktivet</NOBR> anges som exempel flygplatser som tillhandahåller samhällsviktiga tjänster såsom skötsel av start- och landningsbanor, men också tjänster som inte kan betraktas som samhällsviktiga, t.ex. tillhandahållande av butiks- områden (skäl 22). Vilket behov av skyddsåtgärder som finns för en verksamhet får bedömas med hjälp av de avvägningar som sker inom ramen för säkerhetsanalys enligt säkerhetsskyddslagstiftningen eller enligt den riskanalys som utredningen föreslår att de leve- rantörer som omfattas av <NOBR>NIS-direktivet</NOBR> ska göra (se avsnitt 7.3.1).</P>
<P class="p87 ft8">I den nya lagen bör också anges att lagen inte ska tillämpas på små företag eller mikroföretag enligt definitionen i kommissionens rekommendation 2003/361/EG av den 6 maj 2003 om definitionen av mikroföretag samt små och medelstora företag.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">96</P>
</DIV>
</DIV>
<DIV id="page_97">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td62"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td63"><P class="p22 ft33">Genomförandet av direktivet</P></TD>
</TR>
</TABLE>
<P class="p261 ft45">Den nya lagen ska inte tillämpas på leverantörer som omfattas av lex specialis enligt <NOBR>NIS-direktivet</NOBR></P>
<P class="p262 ft8">Som framgått ovan ska bestämmelser i en unionsrättsakt om krav på säkerhetsåtgärder eller incidentrapportering tillämpas i stället för bestämmelserna i <NOBR>NIS-direktivet,</NOBR> förutsatt att verkan av kraven minst motsvarar verkan av skyldigheterna enligt <NOBR>NIS-direktivet.</NOBR> Detta innebär enligt utredningens mening att leverantörer som är skyldiga att vidta säkerhetsåtgärder och att incidentrapportera inte bör om- fattas av en nationell reglering till följd av <NOBR>NIS-direktivet</NOBR> om skyl- digheterna grundas på bestämmelser i unionsrättsakter. Sådana be- stämmelser finns som nämnts inom t.ex. sjöfartssektorn, bank- sektorn, sektorn för finansmarknadsinfrastruktur och sektorn för digital infrastruktur. Om de angivna kraven på dessa leverantörer motsvarar skyldigheterna enligt <NOBR>NIS-direktivet</NOBR> ska den nya lagen alltså inte tillämpas på leverantörerna. Det innebär t.ex. att identifierings- förfarandet för leverantörer av samhällsviktiga tjänster inte ska genomföras. Någon tillsyn av leverantörerna ska heller inte att ut- övas enligt den nya lagen. Inte heller ska incidentrapporteringen ske på det sätt som anges där.</P>
<P class="p263 ft61">Den nya lagens bestämmelser om krav på leverantörerna ska inte tillämpas om det i annan lag finns bestämmelser som minst motsvarar bestämmelserna i den nya lagen</P>
<P class="p264 ft8">För att ett direktiv ska anses korrekt genomfört krävs att det finns bestämmelser i nationell rätt som motsvarar direktivet. Finns redan sådana bestämmelser behöver några nya inte införas.</P>
<P class="p188 ft8">I svensk nationell rätt finns som nämnts endast i begränsad om- fattning bestämmelser som motsvarar bestämmelserna i <NOBR>NIS-direk-</NOBR> tivet. En stor del av den reglering som finns utgörs av myndighets- föreskrifter angående informationssäkerhet. Ofta är bakgrunden till och syftet med bestämmelserna något annorlunda än vad som gäller för <NOBR>NIS-direktivet.</NOBR> Tillsynen är inte heller ordnad på ett sådant sätt att <NOBR>NIS-direktivets</NOBR> bestämmelser uppfylls. Inom de flesta sektorer saknas också möjligheter att vidta tillräckliga sanktioner mot den som inte följer regelverket.</P>
<P class="p188 ft8">Utredningen har bedömt att <NOBR>NIS-direktivet</NOBR> så långt som möjligt bör genomföras i en ny och samlad lag. I den utsträckning det finns</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">97</P>
</DIV>
</DIV>
<DIV id="page_98">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Genomförandet av direktivet</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8">bestämmelser om krav på leverantörerna i annan lag som minst mot- svarar bestämmelserna i den nya lagen bör emellertid de bestäm- melserna kunna tillämpas. För att <NOBR>NIS-direktivet</NOBR> ska anses korrekt genomfört krävs dock att den nya lagens bestämmelser tillämpas i den utsträckning det saknas andra bestämmelser. Skulle det t.ex. finnas bestämmelser om krav på tekniska och organisatoriska åtgärder i en särskild lag, men saknas bestämmelser om t.ex. incidentrapportering, tillsyn eller sanktioner, bör den nya lagen tillämpas i dessa delar. Här finns alltså en skillnad gentemot vad som gäller för de leverantörer som omfattas av sådan reglering som i direktivet betecknas som lex specialis. För sådana leverantörer gäller som nämnts att den nya lagen inte ska tillämpas alls om de omfattas av krav på säkerhetsåtgärder eller incidentrapportering enligt någon annan <NOBR>EU-rättsakt</NOBR> och de kraven minst motsvarar verkan av skyldigheterna enligt <NOBR>NIS-direk-</NOBR> tivet.</P>
<P class="p165 ft35"><SPAN class="ft35">5.5</SPAN><SPAN class="ft40">Den nya förordningen</SPAN></P>
<P class="p54 ft8">För genomförandet av <NOBR>NIS-direktivet</NOBR> i svensk rätt krävs att olika myndigheter åläggs vissa arbetsuppgifter. Utredningen bedömer också att det är lämpligt att ett antal myndigheter bemyndigas att med- dela föreskrifter. I vilken utsträckning sådana bestämmelser ska tas in i lag respektive förordning behandlas löpande genom betänkandet.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">98</P>
</DIV>
</DIV>
<DIV id="page_99">
<P class="p265 ft78"><SPAN class="ft7">6</SPAN><SPAN class="ft77">Leverantörer av samhällsviktiga tjänster</SPAN></P>
<P class="p266 ft35"><SPAN class="ft35">6.1</SPAN><SPAN class="ft40">Inledning</SPAN></P>
<P class="p113 ft8">Enligt <NOBR>NIS-direktivet</NOBR> ska medlemsstaterna identifiera de offentliga och enskilda leverantörer som tillhandahåller samhällsviktiga tjänster inom ett antal särskilt utpekade enheter som finns inom sju olika sektorer, se kapitel 4.</P>
<P class="p11 ft8">För att omfattas av direktivets krav måste leverantören av den samhällsviktiga tjänsten vara etablerad i medlemsstaten (artikel 5.1). Med detta avses att leverantören måste bedriva en faktisk och reell verksamhet med hjälp av en stabil struktur i medlemsstaten (skäl 21). Den rättsliga formen för verksamheten är inte en avgörande faktorn.</P>
<P class="p267 ft80"><SPAN class="ft35">6.2</SPAN><SPAN class="ft79">Identifiering av leverantörer av samhällsviktiga tjänster</SPAN></P>
<P class="p268 ft8">Vid förfarandet för identifiering av leverantörer av samhällsviktiga tjänster ska det</P>
<P class="p172 ft8"><SPAN class="ft13">1.</SPAN><SPAN class="ft76">upprättas en förteckning över vilka tjänster som är viktiga för att upprätthålla kritisk samhällelig eller ekonomisk verksamhet (sam- hällsviktiga tjänster),</SPAN></P>
<P class="p172 ft49"><SPAN class="ft13">2.</SPAN><SPAN class="ft81">bedömas om de enheter som anges inom respektive sektorer och delsektorer uppfyller kriterierna nedan,</SPAN></P>
<P class="p269 ft10"><SPAN class="ft10">–</SPAN><SPAN class="ft82">tillhandahåller en samhällsviktig tjänst,</SPAN></P>
<P class="p270 ft8"><SPAN class="ft10">–</SPAN><SPAN class="ft83">tillhandahållandet är beroende av nätverk och informations- system samt</SPAN></P>
<P class="p271 ft18">99</P>
</DIV>
<DIV id="page_100">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336100x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Leverantörer av samhällsviktiga tjänster</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p272 ft8"><SPAN class="ft10">–</SPAN><SPAN class="ft83">en incident skulle medföra en betydande störning vid tillhanda- hållandet av tjänsten(artikel 5.2).</SPAN></P>
<P class="p213 ft11"><SPAN class="ft11">6.2.1</SPAN><SPAN class="ft68">Förteckning över samhällsviktiga tjänster</SPAN></P>
<P class="p273 ft8"><SPAN class="ft43">Förslag: </SPAN>Myndigheten för samhällsskydd och beredskap får med- dela föreskrifter om vilka tjänster som är viktiga för att upp- rätthålla kritisk samhällelig eller ekonomisk verksamhet (sam- hällsviktiga tjänster) för varje sektor som anges i bilaga 2 till <NOBR>NIS-direktivet</NOBR> (förteckning). Föreskriften ska uppdateras minst vartannat år.</P>
<P class="p274 ft8">Tillsynsmyndigheterna ska ges tillfälle att yttra sig innan före- skrifter meddelas.</P>
<P class="p275 ft8">Det första steget för att identifiera leverantörer av samhällsviktiga tjänster är att bedöma vilka tjänster som tillhandahålls av enheterna i bilaga 2 till <NOBR>NIS-direktivet</NOBR> som är viktiga för att upprätthålla kritisk samhällelig eller ekonomisk verksamhet, dvs. vad som utgör sam- hällsviktiga tjänster.</P>
<P class="p51 ft8">Varje medlemsstat ska upprätta en förteckning över dessa sam- hällsviktiga tjänster (artikel 5.3). Förteckningen ska ses över regel- bundet och minst vartannat år samt uppdateras vid behov (artikel 5.5). Förteckningen över samhällsviktiga tjänster bör omfatta alla sådana tjänster som tillhandahålls på en viss medlemsstats territorium och som uppfyller kraven enligt <NOBR>NIS-direktivet.</NOBR> Medlemsstaterna bör kunna lägga till nya tjänster i den befintliga förteckningen. Förteck- ningen över samhällsviktiga tjänster bör fungera som referenspunkt för medlemsstaterna och möjliggöra identifiering av leverantörer av samhällsviktiga tjänster (skäl 23).</P>
<P class="p239 ft8">Syftet med förteckningen är att hitta de typer av samhällsviktiga tjänster som kan finnas inom en viss sektor och därmed skilja dem från övriga tjänster som sektorn tillhandahåller. Den förteckning över samhällsviktiga tjänster som varje medlemsstat upprättar utgör också ett bidrag till bedömningen av lagstiftningspraxis inom varje medlemsstat med syftet att säkerställa en övergripande enhetlighet mellan medlemsstaternas bedömning av samhällsviktiga tjänster (skäl 23).</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">100</P>
</DIV>
</DIV>
<DIV id="page_101">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336101x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td36"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td64"><P class="p22 ft33">Leverantörer av samhällsviktiga tjänster</P></TD>
</TR>
</TABLE>
<P class="p63 ft8">Kravet på att upprätta en förteckning medför att begreppet samhällsviktig tjänst måste förklaras. Det måste också finnas en ut- pekad myndighet, med sådan kunskap om verksamheten i de olika sektorerna, att myndigheten kan bedöma vilka samhällsviktiga tjänster som tillhandahålls av såväl offentliga som enskilda aktörer.</P>
<P class="p3 ft39">Vad är en samhällsviktig tjänst?</P>
<P class="p73 ft8">Tjänster som omfattas av <NOBR>NIS-direktivet</NOBR> finns inom följande sek- torer och delsektorer.</P>
<P class="p194 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">Energi (elektricitet, olja, gas)</SPAN></P>
<P class="p173 ft49"><SPAN class="ft64">•</SPAN><SPAN class="ft65">Transporter (lufttransporter, järnvägstransporter, sjöfart, väg- transport)</SPAN></P>
<P class="p256 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">Bankverksamhet</SPAN></P>
<P class="p195 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">Finansmarknadsinfrastruktur</SPAN></P>
<P class="p276 ft8"><SPAN class="ft64">•</SPAN><SPAN class="ft34">Hälso- och sjukvård (hälso- och sjukvårdsmiljöer [inklusive sjuk- hus och privata kliniker])</SPAN></P>
<P class="p194 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">Leverans och distribution av dricksvatten</SPAN></P>
<P class="p195 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">Digital infrastruktur</SPAN></P>
<P class="p196 ft8">Sektorerna och enheterna beskrivs närmare i kapitel 4 och i ärende dnr <NOBR>Komm2017/00542-1.</NOBR></P>
<P class="p11 ft8">Begreppet samhällsviktiga tjänster förekommer inte i svensk lag- stiftning eller föreskrifter. I stället används andra närliggande begrepp som kritisk europeisk infrastruktur och samhällsviktig verksamhet. Det förstnämnda definieras i artikel 2 a i <NOBR>ECI-direktivet<SPAN class="ft36">1</SPAN>.</NOBR> Det senare återfinns i Myndighetens för samhällsskydd och beredskaps (MSB) föreskrifter om risk- och sårbarhetsanalyser, se nedan.</P>
<P class="p277 ft38"><SPAN class="ft37">1 </SPAN>Rådets direktiv 2008/114/EG av den 8 december 2008 om identifiering av, och klassi- ficering som, europeisk kritisk infrastruktur och bedömning av behovet att stärka skyddet av denna.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">101</P>
</DIV>
</DIV>
<DIV id="page_102">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336102x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Leverantörer av samhällsviktiga tjänster</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p102 ft45">Samhällsviktig verksamhet</P>
<P class="p68 ft8">Begreppet samhällsviktig verksamhet används bland annat i risk- och sårbarhetsanalysarbetet, vilket är en viktig del i krisberedskaps- arbetet och som syftar till att minska sårbarheten i samhället och utveckla en god förmåga att hantera sina uppgifter under fredstida krissituationer och inför och vid höjd beredskap.</P>
<P class="p278 ft8">Begreppet definieras i MSB:s föreskrifter och allmänna råd<SPAN class="ft36">2 </SPAN>om risk- och sårbarhetsanalyser som en verksamhet som uppfyller minst ett av följande villkor:</P>
<P class="p279 ft49"><SPAN class="ft64">•</SPAN><SPAN class="ft65">Ett bortfall av eller en svår störning i verksamheten kan ensamt eller tillsammans med motsvarande händelser i andra verksam- heter på kort tid leda till att en allvarlig kris inträffar i samhället.</SPAN></P>
<P class="p280 ft49"><SPAN class="ft64">•</SPAN><SPAN class="ft65">Verksamheten är nödvändig eller mycket väsentlig för att en redan inträffad kris i samhället ska kunna hanteras så att skadeverkning- arna blir så små som möjligt.</SPAN></P>
<P class="p281 ft8">I de allmänna råden till ovan nämnda föreskrifter beskrivs samhälls- viktig verksamhet enligt följande.</P>
<P class="p282 ft13">Med samhällsviktig verksamhet menas de verksamheter, anläggningar, noder, infrastrukturer och tjänster som upprätthåller den funktion som de ingår i och är verksamhet som är av avgörande betydelse för upprätt- hållandet av viktiga samhällsfunktioner. Endast verksamhet som absolut behövs för upprätthållandet av viktiga samhällsfunktioner vid allvarliga händelser eller kriser bör identifieras som samhällsviktig.</P>
<P class="p283 ft84">Samhällsviktig verksamhet kan vara av nationell, regional eller lokal betydelse.</P>
<P class="p283 ft13">Med samhällssektor avses i detta sammanhang de olika områden inom vilka viktiga samhällsfunktioner finns och samhällsviktig verksamhet kan identifieras.</P>
<P class="p283 ft84"><SPAN class="ft85">Viktig samhällsfunktion </SPAN>är ett samlingsbegrepp för de verksamheter som upprätthåller en viss funktionalitet. Varje sådan funktion ingår i en eller flera samhällssektorer och upprätthålls av en eller flera samhälls- viktiga verksamheter.</P>
<P class="p284 ft13">Exempel på viktiga samhällsfunktioner per samhällssektor.</P>
<P class="p285 ft38"><SPAN class="ft37">2 </SPAN>MSBFS 2015:5, MSBFS 2015:4, MSBFS 2016:7.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">102</P>
</DIV>
</DIV>
<DIV id="page_103">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td36"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td64"><P class="p22 ft33">Leverantörer av samhällsviktiga tjänster</P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p4 ft86">Energiförsörjning:</P>
<P class="p286 ft13">Produktion av el, distribution av el, produktion och distribution av fjärrvärme, produktion och distribution av bränslen och drivmedel.</P>
<P class="p176 ft86">Finansiella tjänster</P>
<P class="p286 ft13">Betalningar, tillgång till kontanter, centrala betalningssystemet, värde- pappershandel.</P>
<P class="p176 ft86">Handel och industri</P>
<P class="p287 ft13">Bygg- och entreprenadverksamhet, detaljhandel, tillverkningsindustri.</P>
<P class="p176 ft86">Hälso- och sjukvård samt omsorg</P>
<P class="p288 ft13">Akutsjukvård, läkemedels- och materielförsörjning, omsorg om barn, funktionshindrade och äldre, primärvård, psykiatri, socialtjänst, smitt- skydd för djur och människor.</P>
<P class="p9 ft86">Information och kommunikation</P>
<P class="p286 ft13">Telefoni (mobil och fast), internet, radiokommunikation, distribution av post, produktion och distribution av dagstidningar, webbaserad in- formation, sociala medier.</P>
<P class="p9 ft86">Kommunalteknisk försörjning</P>
<P class="p289 ft13">Dricksvattenförsörjning, avloppshantering, renhållning, väghållning.</P>
<P class="p176 ft86">Livsmedel</P>
<P class="p286 ft13">Distribution av livsmedel, primärproduktion av livsmedel, kontroll av livsmedel, tillverkning av livsmedel.</P>
<P class="p176 ft86">Offentlig förvaltning</P>
<P class="p286 ft13">Lokal ledning, regional ledning, nationell ledning, begravningsverk- samhet, diplomatisk och konsulär verksamhet.</P>
<P class="p176 ft86">Skydd och säkerhet</P>
<P class="p286 ft13">Domstolsväsendet, åklagarverksamhet, militärt försvar, kriminalvård, kustbevakning, polis, räddningstjänst, alarmeringstjänst, tullkontroll, gränsskydd och immigrationskontroll, bevaknings- och säkerhetsverk- samhet.</P>
<P class="p9 ft86">Socialförsäkringar</P>
<P class="p289 ft13">Allmänna pensionssystemet, sjuk- och arbetslöshetsförsäkringen.</P>
</DIV>
<DIV id="id_3">
<P class="p4 ft18">103</P>
</DIV>
</DIV>
<DIV id="page_104">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336104x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Leverantörer av samhällsviktiga tjänster</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p290 ft86">Transporter</P>
<P class="p291 ft13">Flygtransport, järnvägstransport, sjötransport, vägtransport, kollektiv- trafik.</P>
<P class="p103 ft8">Enligt 10 och 15 §§ förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap (KBF) ska myndigheternas planering för krisberedskap och höjd beredskap bedrivas i sex samverkansområden när det gäller ansvar för krisberedskap och bevakningsansvar avseende åtgärder inför och vid höjd beredskap. Dessa områden är</P>
<P class="p292 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">Teknisk infrastruktur</SPAN></P>
<P class="p185 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">Transporter</SPAN></P>
<P class="p204 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">Farliga ämnen</SPAN></P>
<P class="p204 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">Ekonomisk säkerhet</SPAN></P>
<P class="p204 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">Geografiskt områdesansvar</SPAN></P>
<P class="p185 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">Skydd, undsättning och vård</SPAN></P>
<P class="p186 ft8">I bilagan till KBF anges ett antal utpekade myndigheter som har särskilda uppgifter inom samverkansområdena.</P>
<P class="p61 ft45">Europeisk kritisk infrastruktur</P>
<P class="p68 ft8">Det internationella perspektivet är en viktig del i arbetet med skydd av samhällsviktig verksamhet. På <NOBR>EU-nivå</NOBR> bedrivs arbetet framför allt inom ramen för det europeiska programmet för skydd av kritisk infrastruktur (EPCIP).</P>
<P class="p197 ft8">Målet med arbetet inom EPCIP är att förbättra skyddet av kritisk infrastruktur inom EU. Terrorismhotet är en högt prioriterad fråga, men arbetet ska omfatta alla slags hot och risker. En av de viktigaste delarna i programmet är ett <NOBR>EU-direktiv</NOBR> från 2008 <NOBR>(ECI-direktivet<SPAN class="ft36">3</SPAN>)</NOBR> som reglerar arbetet inom området. Med kritisk infrastruktur avses anläggningar, system eller delar av dessa som är nödvändiga för att upprätthålla centrala samhällsfunktioner, hälsa, säkerhet, trygghet</P>
<P class="p95 ft38"><SPAN class="ft37">3 </SPAN>Rådets direktiv 2008/114/EG om identifiering av, och klassificering som europeisk kritisk infrastruktur och bedömning av behovet att stärka skyddet av denna.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">104</P>
</DIV>
</DIV>
<DIV id="page_105">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336105x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td36"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td64"><P class="p22 ft33">Leverantörer av samhällsviktiga tjänster</P></TD>
</TR>
</TABLE>
<P class="p88 ft8">och människors ekonomiska eller sociala välfärd (artikel 2 a). Direk- tivet omfattar energi- och transportsektorerna (artikel 3), och går huvudsakligen ut på att EU:s medlemsstater ska identifiera och utse europeisk kritisk infrastruktur, ECI.</P>
<P class="p11 ft8">MSB är utpekad nationell kontaktpunkt för arbetet med EPCIP- frågorna i Sverige. Affärsverket svenska kraftnät och Statens energi- myndighet identifierar och redovisar eventuell kritisk infrastruktur till MSB. Den nationella kontaktpunkten, MSB, ska samordna frågor kring skydd av kritisk infrastruktur i Sverige med andra medlems- stater och med <NOBR>EU-kommissionen.</NOBR></P>
<P class="p106 ft8">Sverige har hittills inte pekat ut någon europeisk kritisk infra- struktur på sitt territorium.</P>
<P class="p64 ft45">Risk- och sårbarhetsanalyser</P>
<P class="p67 ft8">Myndigheter, kommuner och landsting har en skyldighet att genom- föra risk- och sårbarhetsanalyser<SPAN class="ft36">4 </SPAN>i vilka bland annat samhällsviktig verksamhet och kritiska beroenden ska identifieras. Vidare ska be- dömas vilka konsekvenser ett bortfall eller en allvarlig störning i verk- samheten kan få. Statliga myndigheter, kommuner och landsting ska genomföra risk- och sårbarhetsanalyser inom sina respektive om- råden. Länsstyrelsen har därutöver ansvar för att identifiera samhälls- viktig verksamhet inom länet som är av regional betydelse.</P>
<P class="p58 ft8">Myndigheter med särskilt ansvar för krisberedskap (10 § KBF) och myndigheter som MSB beslutar om i enskilda fall ska vartannat år lämna en sammafattande redovisning av analysen till Regerings- kansliet och MSB. Landstingen rapporterar vart fjärde år till Social- styrelsen, MSB och till länsstyrelsen. Kommuner rapporterar vart fjärde år till länsstyrelsen.</P>
<P class="p58 ft8">Liknande krav på analyser finns också inom vissa områden t.ex. ellagen (1997:857) för elnätsföretag, lagen (2003:778) om skydd mot olyckor när det gäller farlig verksamhet och i elberedskapslagen (1997:288) för företag som producerar el, distribuerar el eller hand- lar med el. Dessa krav gäller även enskilda aktörer.</P>
<P class="p293 ft38"><SPAN class="ft37">4 </SPAN>8 § och 16 § 2 p. KBF och 2 kap. 1 § lagen (2006:644) om kommuners och landstings åtgärder inför och vid extraordinära händelser i fredstid och höjd beredskap.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">105</P>
</DIV>
</DIV>
<DIV id="page_106">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Leverantörer av samhällsviktiga tjänster</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p102 ft45">Slutsats</P>
<P class="p68 ft8">Vid bedömningen av om en tjänst är viktig för att upprätthålla kritisk samhällelig eller ekonomisk verksamhet, dvs. om tjänsten är sam- hällsviktig, kan stöd hämtas i de allmänna råd som beskriver sam- hällsviktig verksamhet. Även beskrivningar av identifierad europeisk kritisk viktig infrastruktur kan användas i identifieringsarbetet även om ingen sådan i dagsläget är utpekad i Sverige. Det är dock viktigt att vara medveten om de olika regelverkens utgångspunkter.</P>
<P class="p197 ft8"><NOBR>NIS-direktivets</NOBR> syfte är att förbättra den inre marknadens funk- tion genom att fastställa åtgärder för säkerhet i nätverk och infor- mationssystem. Det rör sig därför om tjänster som är viktiga för samhällets funktionalitet i sin helhet och där ett avbrott i tjänsten hindrar genomförandet av ekonomisk verksamhet, genererar om- fattande ekonomiska förluster, undergräver användarnas förtroende och medför allvarliga konsekvenser för landets och unionens eko- nomi.</P>
<P class="p52 ft8">Detta innebär att begreppet samhällsviktiga tjänster kan omfatta fler funktioner än de som absolut behövs för upprätthållandet av viktiga samhällsfunktioner vid allvarliga händelser eller kriser. Ut- redningen bedömer dock att det i de flesta fall kommer att röra sig om tjänster som tillhandahålls av enheter som verkar inom de sam- hällsviktiga verksamheterna.</P>
<P class="p61 ft39">Bedömningen av om en tjänst är en samhällsviktig tjänst</P>
<P class="p68 ft8">I avsnittet undersöks om det finns myndigheter och nätverk som redan i dag har kunskap och erfarenhet som kan ligga till grund för att bedöma om en tjänst är en samhällsviktig tjänst.</P>
<P class="p51 ft8">Myndigheter, landsting, kommuner och vissa enskilda gör i dag risk- och sårbarhetsanalyser i syfte att stärka sin egen och samhällets krisberedskap. Det finns således i dag en systematik för att identi- fiera samhällsviktig verksamhet för offentliga aktörer samt vissa en- skilda aktörer.</P>
<P class="p51 ft8">Inom vissa sektorer framgår det också redan av beskrivningen av enheten i bilaga 2 till <NOBR>NIS-direktivet</NOBR> vilken typ av tjänst som avses, till exempel sjötrafikinformationstjänst.</P>
<P class="p51 ft49">Flera myndigheter, bland annat inom expert- och referensgrup- pen, har uppgett till utredningen att de kan identifiera samhällsvik-</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">106</P>
</DIV>
</DIV>
<DIV id="page_107">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td36"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td64"><P class="p22 ft33">Leverantörer av samhällsviktiga tjänster</P></TD>
</TR>
</TABLE>
<P class="p187 ft8">tiga tjänster utifrån definitionerna av enheterna som anges i bilaga 2 till <NOBR>NIS-direktivet.</NOBR> Dessa myndigheter har bred kunskap och er- farenhet av verksamheten inom respektive sektor och delsektor. Detta bör tas tillvara i arbetet med att öka säkerheten i nätverk och informationssystem. De myndigheter som utredningen avser är Statens energimyndighet för energisektorn, Transportstyrelsen för transportsektorn, Finansinspektionen för sektorerna bankverksam- het och finansmarknadsinfrastruktur, Inspektionen för vård och om- sorg för hälso- och sjukvårdssektorn, Livsmedelsverket för sektorn leverans och distribution av dricksvatten samt Post- och Telestyrel- sen för sektorn digital infrastruktur. Dessa myndigheter föreslås också vara tillsynsmyndigheter i kapitel 8. Vid behov kan dessa myn- digheter inhämta synpunkter från andra myndigheter inom sektorn samt från befintliga nätverk inom området i arbetet med att iden- tifiera samhällsviktiga tjänster.</P>
<P class="p188 ft8">Det finns flera myndigheter som tar emot uppgifter om samhälls- viktig verksamhet enligt bestämmelserna för olika risk- och säker- hetsanalyser. MSB måste dock anses ha en central funktion när det gäller bedömningen av innehållet i risk- och sårbarhetsanalyser. Sedan MSB grundades har myndigheten årligen fått i regleringsbrevsupp- drag att redovisa en nationell bedömning av samhällets förmågor, risker, sårbarheter samt identifierade och genomförda åtgärder av- seende krisberedskapen. Enligt rapporten <SPAN class="ft9">Nationell risk- och förmåge- bedömning 2016</SPAN>, MSB1012, är underlaget till den nationella bedöm- ningen i huvudsak statliga myndigheters och kommuners risk- och sårbarhetsanalyser. I MSB:s uppdrag ingår också att stödja och sam- ordna arbetet med samhällets informationssäkerhet samt analysera och bedöma omvärldsutvecklingen inom området. Myndigheten har vidare en samordnande roll inom ramen för samhällets krisberedskap samt en central funktion i de nätverk som finns inom krisbered- skapsområdet, se avsnitt 11.1.5. MSB har också genom sina uppdrag ett etablerat kontaktnät med merparten av de aktörer som kommer att beröras av bestämmelserna i <NOBR>NIS-direktivet.</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">107</P>
</DIV>
</DIV>
<DIV id="page_108">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Leverantörer av samhällsviktiga tjänster</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p102 ft45">Slutsatser</P>
<P class="p68 ft8">Mot bakgrund av att detta är ett första steg för att bedöma om en tjänst är en samhällsviktig tjänst på en mer övergripande nivå finns det enligt utredningen inget behov av att införa en särskild analys. Denna kunskap finns redan på myndigheter med verksamhet inom de berörda sektorerna, tillsynsmyndigheterna.</P>
<P class="p51 ft8">MSB har genom sitt uppdrag redan i dag en övergripande känne- dom om den verksamhet inom vilka de flesta samhällsviktiga tjänst- erna bedöms finnas. MSB är också utsedd som nationell kontaktpunkt enligt <NOBR>NIS-direktivet</NOBR> med ett ansvar för samordning och gränsöver- skridande samarbete på unionsnivå. Det är därför mest naturligt att det är MSB som får ansvaret för att bedöma vilka tjänster som är att anse som samhällsviktiga.</P>
<P class="p51 ft8">I och med att MSB har fått ansvaret för att bedöma vilka tjänster som är att anse som samhällsviktiga ska MSB också ha ansvaret för upprätta och uppdatera en sådan förteckning över samhällsviktiga tjänster som anges i artikel 5.3.</P>
<P class="p239 ft8">Utredningen har övervägt i vilken form förteckningen ska upp- rättas. Den som tillhandhåller en samhällsviktig tjänst som finns på förteckningen ska undersöka om tjänsten är beroende av nätverk eller informationssystem och om en incident skulle medföra en betydan- de störning vid tillhandahållandet av tjänsten. Det innebär att för- teckningen måste finnas tillgänglig. Förteckningen ska också upp- dateras minst vartannat år. Eftersom förteckningen i sig inte får några direkta rättverkningar i form av krav på rapportering och säker- hetsåtgärder och då den riktar sig till en större krets anser utred- ningen att förteckningen bör meddelas i form av föreskrifter. Ett bemyndigande för MSB föreslås därför i den nya förordningen.</P>
<P class="p51 ft8">Tillsynsmyndigheterna tillsammans med andra myndigheter och nätverk har stor kunskap om verksamheten inom de olika sektorer- na som ska tas tillvara i arbetet med att identifiera de samhällsviktiga tjänsterna. Tillsynsmyndigheterna ska därför ges tillfälle att yttra sig innan föreskrifterna meddelas.</P>
<P class="p51 ft49">Utredningen föreslår också att MSB ska ansvara för ett sam- arbetsforum, se avsnitt 8.5.4.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">108</P>
</DIV>
</DIV>
<DIV id="page_109">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336109x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td36"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td64"><P class="p22 ft33">Leverantörer av samhällsviktiga tjänster</P></TD>
</TR>
</TABLE>
<P class="p294 ft16"><SPAN class="ft11">6.2.2</SPAN><SPAN class="ft87">Vilka leverantörer tillhandahåller samhällsviktiga tjänster?</SPAN></P>
<P class="p242 ft8"><SPAN class="ft43">Förslag: </SPAN>Det ska införas en bestämmelse om skyldighet för den som är ansvarig för en verksamhet som tillhandahåller en samhälls- viktig tjänst att undersöka om tillhandahållandet av tjänsten är beroende av nätverk eller informationssystem och om en incident skulle medföra en betydande störning vid tillhandahållandet av tjänsten. Undersökningen ska dokumenteras.</P>
<P class="p295 ft8">Följande sektoröverskridande faktorer ska beaktas när leve- rantören fastställer om en störning är betydande.</P>
<P class="p244 ft8"><SPAN class="ft10">1.</SPAN><SPAN class="ft76">Det antal användare som är beroende av den tjänst som den berörda enheten tillhandahåller.</SPAN></P>
<P class="p244 ft8"><SPAN class="ft10">2.</SPAN><SPAN class="ft76">Hur beroende andra sektorer enligt bilaga 2 till </SPAN><NOBR>NIS-direk-</NOBR> tivet är av den tjänst som enheten tillhandahåller.</P>
<P class="p244 ft8"><SPAN class="ft10">3.</SPAN><SPAN class="ft76">Vilken inverkan incidenter skulle kunna ha på ekonomisk och samhällelig verksamhet eller allmän säkerhet, uttryckt i grad och varaktighet.</SPAN></P>
<P class="p296 ft10"><SPAN class="ft10">4.</SPAN><SPAN class="ft88">Enhetens marknadsandel.</SPAN></P>
<P class="p297 ft8"><SPAN class="ft10">5.</SPAN><SPAN class="ft76">Hur stort geografiskt område som skulle kunna påverkas av en incident.</SPAN></P>
<P class="p244 ft8"><SPAN class="ft10">6.</SPAN><SPAN class="ft76">Enhetens betydelse för upprätthållandet av en tillräcklig tjänste- nivå, med beaktande av tillgången till alternativa sätt för att tillhandahålla tjänsten.</SPAN></P>
<P class="p298 ft8">När det är lämpligt ska även sektorspecifika faktorer beaktas. Regeringen eller den myndighet regeringen bestämmer får med-</P>
<P class="p299 ft8">dela föreskrifter om vilka sektorspecifika och sektoröverskri- dande faktorer som ska beaktas för att fastställa om en incident medför en betydande störning vid identifieringen av leverantör- er av samhällsviktiga tjänster.</P>
<P class="p295 ft8">Tillsynsmyndigheten ska lämna upplysning till leverantörer av samhällsviktiga tjänster vid bedömning av om annan lag eller bin- dande <NOBR>EU-rättsakt</NOBR> ska tillämpas i stället för lagen (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">109</P>
</DIV>
</DIV>
<DIV id="page_110">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336110x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Leverantörer av samhällsviktiga tjänster</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p116 ft8"><NOBR>NIS-direktivet</NOBR> ålägger medlemstaterna att senast den 9 november 2018 identifiera de leverantörer som tillhandahåller samhällsviktiga tjänster inom ett antal särskilt utpekade enheter och som är bero- ende av nätverk och informationssystem där en incident skulle med- föra en betydande störning (artikel 5).</P>
<P class="p205 ft8">Vid bedömningen av om en enhet tillhandahåller en samhällsvik- tig tjänst är det tillräckligt att undersöka om tjänsten finns upptagen i förteckningen över samhällsviktiga tjänster. Därefter ska bedömas om tjänsten är beroende av nätverk eller informationssystem samt om en incident skulle medföra betydande störning av tjänsten. Detta innebär att det utöver att tjänsten finns på förteckningen ställs ytter- ligare krav för att en leverantör ska kunna identifieras som en leve- rantör av en samhällsviktig tjänst.</P>
<P class="p86 ft8">Den samarbetsgrupp som inrättats genom <NOBR>NIS-direktivet</NOBR> ska verka för ett enhetligt tillvägagångssätt för identifieringen av leveran- törerna (artikel 5.6), se även avsnitt 11.3.3. En av samarbetsgrup- pens uppgifter är att, med Enisas<SPAN class="ft36">5 </SPAN>bistånd, utbyta bästa praxis för medlemsstaternas identifiering av leverantörer av samhällsviktiga tjänster, inklusive i samband med beroende, vad gäller risker och in- cidenter, som sträcker sig över gränser (artikel 11.3 l). Myndigheten för samhällsskydd och beredskap representerar Sverige i samarbets- gruppen, se avsnitt 11.3.2.</P>
<P class="p118 ft8">När medlemsstaterna identifierar operatörer i sjöfartssektorn, bör de ta hänsyn till befintliga och framtida internationella koder och riktlinjer som utvecklats särskilt av Internationella sjöfartsorganisa- tionen, i syfte att skapa ett enhetligt tillvägagångssätt för enskilda sjöfartsoperatörer.</P>
<P class="p86 ft8">När det finns <NOBR>EU-rättsakter</NOBR> som anses utgöra lex specialis bör dessa bestämmelser inklusive sådana som rör jurisdiktion tillämpas, och det bör inte genomföras något identifieringsförfarande för leve- rantörer av samhällsviktiga tjänster, se avsnitt 5.4.</P>
<P class="p300 ft38"><SPAN class="ft37">5 </SPAN>Europeiska unionens byrå för nät- och informationssäkerhet (European Union Agency för Network and Information Security, ENISA).</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">110</P>
</DIV>
</DIV>
<DIV id="page_111">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336111x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t16">
<TR>
<TD class="tr7 td36"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td64"><P class="p22 ft33">Leverantörer av samhällsviktiga tjänster</P></TD>
</TR>
</TABLE>
<P class="p209 ft39">Identifiering av leverantörer</P>
<P class="p210 ft8">Utredningen ska analysera hur direktivets krav på identifiering av leverantörer av samhällsviktiga tjänster ska genomföras i svensk rätt. Analysen bör enligt kommittédirektiven göras med utgångspunk- ten att det är verksamhetsutövaren som är ansvarig för att avgöra om denne omfattas av regelverket, vilket motsvarar vad som gäller enligt till exempel säkerhetsskyddslagen (1996:627).</P>
<P class="p212 ft8">Enligt 5 § säkerhetsskyddsförordningen (1996:633) ska myndig- heter och andra som säkerhetsskyddsförordningen gäller för under- söka vilka uppgifter i deras verksamhet som ska hållas hemliga med hänsyn till rikets säkerhet och vilka anläggningar som kräver ett säker- hetsskydd med hänsyn till rikets säkerhet eller skyddet mot terro- rism. Resultatet av undersökningen (säkerhetsanalys) ska dokumen- teras. I förslaget till ny säkerhetsskyddslag<SPAN class="ft36">6 </SPAN>föreslås att den som är ansvarig för säkerhetskänslig verksamhet ska se till att behovet av säkerhetsskydd för den egna verksamheten utreds i form av en säker- hetsskyddsanalys. Ett syfte med denna analys är att identifiera de allra känsligaste delverksamheterna.</P>
<P class="p12 ft8">Som framgår av avsnitt 6.2.1 gör myndigheter, kommuner och landsting risk- och sårbarhetsanalyser regelbundet för att stärka sin egen och samhällets krisberedskap genom att analysera om det finns sådan sårbarhet eller sådana hot och risker inom myndighetens an- svarsområde som synnerligen allvarligt kan försämra förmågan till verksamhet inom området.</P>
<P class="p127 ft45">Förteckning över samhällsviktiga tjänster</P>
<P class="p210 ft8">Förteckningen över samhällsviktiga tjänster bör meddelas i före- skriftsform, se avsnitt 6.2.1. MSB ska meddela föreskrifter om vilka tjänster som är viktiga för att upprätthålla kritisk samhällelig och/eller ekonomisk verksamhet, dvs. som bedöms vara samhällsviktiga.</P>
<P class="p301 ft89"><SPAN class="ft37">6 </SPAN>En ny säkerhetsskyddslag<SPAN class="ft38">, SOU 2015:25.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">111</P>
</DIV>
</DIV>
<DIV id="page_112">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Leverantörer av samhällsviktiga tjänster</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p102 ft45">Beroende av nätverk eller informationssystem</P>
<P class="p68 ft8">Leverantörer av sådana samhällsviktiga tjänster som finns upptagna på förteckningen som MSB meddelat i föreskriftsform ska under- söka om tillhandahållandet av tjänsten är beroende av nätverk eller informationssystem. Denna undersökning ska dokumenteras.</P>
<P class="p61 ft45">Betydande störning</P>
<P class="p68 ft8">Slutligen ska leverantörer av sådana samhällsviktiga tjänster som finns upptagna på förteckningen som MSB meddelat i föreskriftsform och som är beroende av nätverk eller informationssystem under- söka om en incident skulle medföra en betydande störning vid till- handahållandet av tjänsten. Denna undersökning ska dokumenteras.</P>
<P class="p51 ft8">I <NOBR>NIS-direktivet</NOBR> anges ett antal faktorer som ska beaktas när det fastställs vad som är en betydande störning. Utöver dessa sektor- överskridande faktorer kan det också finnas skäl att beakta sektor- specifika faktorer (artikel 6).</P>
<P class="p140 ft10">Följande sektoröverskridande faktorer ska beaktas.</P>
<P class="p302 ft8"><SPAN class="ft64">•</SPAN><SPAN class="ft34">Det antal användare som är beroende av den tjänst som den be- rörda enheten tillhandahåller.</SPAN></P>
<P class="p161 ft49"><SPAN class="ft64">•</SPAN><SPAN class="ft65">Hur beroende andra sektorer enligt bilaga 2 till </SPAN><NOBR>NIS-direktivet</NOBR> är av den tjänst som enheten tillhandahåller.</P>
<P class="p279 ft49"><SPAN class="ft64">•</SPAN><SPAN class="ft65">Vilken inverkan incidenter skulle kunna ha på ekonomisk och samhällelig verksamhet eller allmän säkerhet, uttryckt i grad och varaktighet.</SPAN></P>
<P class="p162 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">Enhetens marknadsandel.</SPAN></P>
<P class="p183 ft8"><SPAN class="ft64">•</SPAN><SPAN class="ft34">Hur stort geografiskt område som skulle kunna påverkas av en incident.</SPAN></P>
<P class="p161 ft49"><SPAN class="ft64">•</SPAN><SPAN class="ft65">Enhetens betydelse för upprätthållandet av en tillräcklig tjänste- nivå, med beaktande av tillgången till alternativa sätt för att till- handahålla tjänsten.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">112</P>
</DIV>
</DIV>
<DIV id="page_113">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336113x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td36"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td64"><P class="p22 ft33">Leverantörer av samhällsviktiga tjänster</P></TD>
</TR>
</TABLE>
<P class="p187 ft8">För att fastställa om en incident skulle medföra en betydande stör- ning vid tillhandahållandet av en samhällsviktig tjänst, bör medlems- staterna beakta ett antal olika faktorer, såsom antalet användare som är beroende av tjänsten för privata eller yrkesmässiga ändamål. Användningen av tjänsten kan vara direkt, indirekt eller ske genom förmedling. Vid bedömningen av en incidents eventuella inverkan på ekonomisk och samhällelig verksamhet eller allmän säkerhet, ut- tryckt i grad och varaktighet, bör medlemsstaterna också bedöma hur länge det sannolikt skulle ta tills avbrottet skulle börja ha en oacceptabel inverkan (skäl 27).</P>
<P class="p188 ft8">Medlemsstaterna ska även, i lämpliga fall, beakta sektorspecifika faktorer. När det gäller energileverantörer kan sådana faktorer om- fatta mängden eller andelen producerad nationell el, för oljeleveran- törer mängden olja per dag, för lufttransport, inbegripet flygplatser och lufttrafikföretag, järnvägstransport och kusthamnar andelen nationell trafikmängd och antalet passagerare eller lastningar per år, för bankverksamhet eller finansmarknadsinfrastrukturer deras bety- delse för systemet på grundval av samlade tillgångar eller förhållan- det mellan dessa tillgångar och BNP, för hälso- och sjukvårdssektorn antalet patienter som leverantören vårdar per år, för produktion, bearbetning och leverans av vatten, volym, antal och typer av använ- dare, inbegripet t.ex. sjukhus, offentlig sektor, organisationer och personer samt förekomsten av alternativa vattenkällor för samma geografiska område (skäl 28).</P>
<P class="p238 ft8">Ett stöd i arbetet med att fastställa när en störning är betydande är Myndigheten för samhällsskydd och beredskaps vägledningar<SPAN class="ft36">7 </SPAN>som bl.a. beskriver en modell för att bedöma acceptabel avbrottstid och bedömning av konsekvenser.</P>
<P class="p188 ft8">För att fastställa vad som ska anses vara en betydande störning utifrån de sektoröverskridande faktorerna krävs det enligt utred- ningens mening kunskap om verksamheten och om konsekvenser- na av en incident. Vikten av verksamhetskunskap blir dock ännu tydligare vid bedömning av och framtagande av sektorspecifika fak- torer. Det torde därför vara den myndighet som har kunskap om verksamhetsområdet som i första hand kan bedöma vad som ska anses vara en betydande störning.</P>
<P class="p303 ft38"><SPAN class="ft37">7 </SPAN>Vägledning för samhällsviktig verksamhet, MSB620, januari 2014 och Vägledning för risk- och sårbarhetsanalys, MSB245, april 2011.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">113</P>
</DIV>
</DIV>
<DIV id="page_114">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Leverantörer av samhällsviktiga tjänster</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p89 ft8">När det gäller bedömningen huruvida en incident medför en be- tydande störning i den samhällsviktiga tjänsten finnas ett bra under- lag eftersom myndigheter, landsting, kommuner m.fl. gör risk- och sårbarhetsanalyser med liknande bedömningar av konsekvenser och acceptabel avbrottstid m.m. Inför 2015 års risk- och sårbarhetsanalys- arbete fick också samtliga myndigheter som omnämns i bilagan till förordningen (2015:1052) om krisberedskap och bevakningsansva- riga myndigheters åtgärder vid höjd beredskap (KBF) i uppdrag av regeringen att särskilt beakta och analysera informationssäkerhet ur olika perspektiv. I dessa sammanställningar bör finnas uppgifter och bedömningar som kan utgöra underlag i arbetet med att fastställa om en störning är betydande.</P>
<P class="p51 ft8">I de fall det utifrån andra bestämmelser redan finns bedömningar avseende störningar i tillhandahållandet av tjänsten inom sektorn bör dessa givetvis användas i detta arbete.</P>
<P class="p197 ft8">Utredningens bedömning är att tillsynsmyndigheten ska utfärda närmare föreskrifter som behövs för att fastställa om en incident med- för en betydande störning.</P>
<P class="p51 ft8">Tillsynsmyndigheten ska stödja MSB i arbetet i den samarbets- grupp som inrättats genom <NOBR>NIS-direktivet</NOBR> och bistå MSB med in- formation om antalet leverantörer och eventuella befintliga tröskel- värden avseende betydande störning (artikel 5.7). I arbetet med att ta fram sektorspecifika faktorer har också samarbetsgruppen en viktig uppgift i att verka för att bedömningen blir enhetlig inom hela unionen, se avsnitt 11.3.3.</P>
<P class="p93 ft45">Omfattas leverantören av <NOBR>NIS-direktivet</NOBR> – lex specialis</P>
<P class="p68 ft8">I vissa fall är det otydligt i vilken utsträckning bestämmelserna i en <NOBR>EU-rättsakt</NOBR> motsvarar kraven i <NOBR>NIS-direktivet.</NOBR> I sådana fall ska till- synsmyndigheterna lämna upplysning till leverantörerna av samhälls- viktiga tjänster om annan lag eller bindande <NOBR>EU-rättsakt</NOBR> ska tillämpas i stället för den nya lagen. Detta gäller också när nya <NOBR>EU-rättsakter</NOBR> beslutas.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">114</P>
</DIV>
</DIV>
<DIV id="page_115">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td36"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td64"><P class="p22 ft33">Leverantörer av samhällsviktiga tjänster</P></TD>
</TR>
</TABLE>
<P class="p80 ft45">Slutsatser</P>
<P class="p57 ft8">Utredningen konstaterar att de flesta offentliga verksamhetsutövare inom de sektorer och delsektorer som anges i <NOBR>NIS-direktivet</NOBR> redan gör analyser utifrån liknande krav genom till exempel risk- och sår- barhetsanalyser som görs med stöd av krisberedskapsbestämmel- serna. När det gäller enskilda verksamhetsutövare görs risk- och sår- barhetsanalyser endast i begränsad omfattning inom till exempel energisektorn och finanssektorn.</P>
<P class="p11 ft8">Utredningen anser därför att det mest effektiva sättet att identi- fiera leverantörer av samhällsviktiga tjänster är att komplettera ett befintligt system. Det innebär att aktörer som är ansvariga för en verksamhet som tillhandahåller en sådan tjänst som anges i föreskrift- en om samhällsviktiga tjänster ska undersöka om tillhandahållandet av tjänsten är beroende av nätverk och informationssystem och om en incident skulle medföra en betydande störning vid tillhanda- hållandet av tjänsten</P>
<P class="p58 ft8">För de myndigheter och enskilda som redan i dag omfattas av ett krav på att göra risk- och säkerhetsanalyser kan, om det är lämp- ligt, identifieringen av leverantörer av samhällsviktiga tjänster ingå som en del i detta arbete. För andra aktörer blir kravet på en under- sökning en ny uppgift.</P>
<P class="p11 ft8">Utredningens bedömning är därför att det ska införas en bestäm- melse om skyldighet för aktörer som är ansvariga för en verksam- het som tillhandahåller en tjänst som anges i föreskriften om sam- hällsviktiga tjänster att undersöka om tillhandahållandet av tjänsten är beroende av nätverk och informationssystem och om en incident skulle medföra en betydande störning vid tillhandahållandet av tjänst- en. Undersökningen ska dokumenteras.</P>
<P class="p11 ft8">Under utredningens arbete har fråga uppkommit om vem som slutligen avgör vem som är en leverantör av en samhällsviktig tjänst i de fall tillsynsmyndigheten och den som tillhandahåller en samhälls- viktig tjänst har olika uppfattningar. I ett sådant fall kan tillsyns- myndigheten enligt utredningens uppfattning utfärda ett föreläggan- de eller vidta andra åtgärder som kan överklagas och därmed prövas av domstol.</P>
<P class="p11 ft49">Närmare bestämmelser om hur de sektoröverskridande kriteri- erna i artikel 6 samt, i lämpliga fall, sektorspecifika kriterier ska be- dömas, bör regleras i myndighetsföreskrifter som utfärdas av tillsyns-</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">115</P>
</DIV>
</DIV>
<DIV id="page_116">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336116x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Leverantörer av samhällsviktiga tjänster</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8">myndigheterna. Ett bemyndigande ska därför införas i den nya lagen. MSB ska ges tillfälle att yttra sig innan föreskrifterna meddelas.</P>
<P class="p51 ft8">I den nya förordningen föreslås att tillsynsmyndigheterna ska lämna upplysning till leverantörerna av samhällsviktiga tjänster vid bedömning av om annan lag eller annan bindande <NOBR>EU-rättsakt</NOBR> ska tillämpas i stället för den nya lagen.</P>
<P class="p213 ft11"><SPAN class="ft11">6.2.3</SPAN><SPAN class="ft68">Samhällsviktig tjänst i flera länder i EU</SPAN></P>
<P class="p273 ft8"><SPAN class="ft43">Förslag. </SPAN>Tillhandahålls tjänsten även i andra länder i den Euro- peiska unionen ska den nationella kontaktpunkten samråda med motsvarande funktion i andra berörda länder innan beslut om identifiering fattas.</P>
<P class="p274 ft8">Myndigheten för samhällsskydd och beredskap ska företräda Sverige i bilaterala och multilaterala samråd när en samhällsviktig tjänst tillhandahålls i ett eller flera andra länder i den Europeiska unionen.</P>
<P class="p274 ft49">Tillsynsmyndigheterna ska ges tillfälle att yttra sig före sam- rådet och vid behov lämna stöd till Myndigheten för samhälls- skydd och beredskap.</P>
<P class="p304 ft8">Tillhandahålls tjänsten i två eller flera medlemsstater ska dessa med- lemsstater samråda med varandra innan beslut om identifiering av leverantören fattas (artikel 5.4).</P>
<P class="p51 ft8">Om en enhet tillhandahåller en samhällsviktig tjänst i två eller flera medlemsstater, bör dessa medlemsstater vid identifieringsförfaran- det föra bilaterala eller multilaterala diskussioner med varandra. Denna samrådsprocess är avsedd att hjälpa medlemsstaterna att be- döma om leverantören i fråga är av kritisk betydelse när det gäller gränsöverskridande inverkan, varigenom varje berörd medlemsstat ges möjlighet att lägga fram sina synpunkter avseende riskerna med de tjänster som tillhandahålls. I denna process bör de berörda med- lemsstaterna beakta varandras synpunkter, och bör i detta avseende kunna begära bistånd från samarbetsgruppen, som har detta som en av sina uppgifter (artikel 11.3 l).</P>
<P class="p51 ft8">I den samarbetsgrupp som inrättats genom direktivet ska Sverige företrädas av MSB, se avsnitt 11.3. Mot bakgrund härav och efter- som utredningen föreslår att MSB ska ha det samordnande ansvaret</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">116</P>
</DIV>
</DIV>
<DIV id="page_117">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td36"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td64"><P class="p22 ft33">Leverantörer av samhällsviktiga tjänster</P></TD>
</TR>
</TABLE>
<P class="p187 ft8">att bedöma vilka tjänster som är att betrakta som samhällsviktiga är det enligt utredningen lämpligt att MSB ska ansvara för att samråda med andra medlemsstater innan man fattar beslut om att identifiera en leverantör av en samhällsviktig tjänst. En bestämmelse om detta föreslås i den nya förordningen.</P>
<P class="p190 ft8">Inför samrådet bör MSB ha kontakt med berörd tillsynsmyndig- het eftersom det i sektorerna redan finns upparbetade samverkans- kanaler med motsvarande myndigheter i Europa. Denna erfarenhet och kunskap inom sektorerna ska tas tillvara och tillsynsmyndig- heterna ska vid behov lämna stöd till MSB inför bilaterala samråd.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">117</P>
</DIV>
</DIV>
<DIV id="page_118">
</DIV>
<DIV id="page_119">
<P class="p305 ft91"><SPAN class="ft7">7</SPAN><SPAN class="ft90">Säkerhetskrav och incidentrapportering</SPAN></P>
<P class="p306 ft78">– leverantörer av samhällsviktiga tjänster</P>
<P class="p156 ft35"><SPAN class="ft35">7.1</SPAN><SPAN class="ft40">Inledning</SPAN></P>
<P class="p113 ft8">Den tekniska utvecklingen har skapat nya möjligheter för både offent- lig sektor, näringsliv och medborgare. Detta har lett till ökade krav på att information ska vara tillgänglig dygnet runt och oavsett var in- formationen finns. För att tillgodose dessa krav är nätverk och infor- mationssystem i allt större utsträckning sammankopplade eller bero- ende av varandra. Ökad funktionalitet och ömsesidiga beroenden har medfört att nya hot, risker och sårbarheter har introducerats, såsom brister i uppdatering, handhavandefel, tekniska fel, olyckor och brott.</P>
<P class="p106 ft8">Samhället måste fungera även vid störningar, olyckor, kriser och krig. För samhällets funktionalitet är det i många fall av avgörande betydelse att information är tillgänglig, riktig, att konfidentialiteten upprätthålls samt att den är spårbar. Eftersom information i de flesta fall hanteras i nätverk och informationssystem när det gäller sam- hällsviktiga tjänster är det av stor vikt att dessa är tillräckligt säkra. I många fall är också systemen helt avgörande för att kunna tillhanda- hålla tjänsten. Konsekvenserna av ett driftavbrott i nätverk och informationssystem kan bli stora och oöverskådliga. När en aktör med många kunder drabbas av driftstörningar kan konsekvenserna bli kännbara och oväntade på många håll samtidigt.</P>
<P class="p58 ft8">Det blir därför viktigt att leverantörer som tillhandahåller sam- hällsviktiga tjänster analyserar hot, risker och befintliga men även potentiella sårbarheter i nätverk och informationssystem som till- handahåller samhällsviktiga tjänster för att kunna vidta adekvata</P>
<P class="p307 ft18">119</P>
</DIV>
<DIV id="page_120">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Säkerhetskrav och incidentrapportering …</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8">säkerhetsåtgärder. Leverantörerna bör även identifiera vilka skade- konsekvenser ett driftavbrott medför.</P>
<P class="p197 ft8">Information om incidenter blir alltmer värdefull för allmänheten och företag för att kunna hantera och förebygga incidenter i den egna verksamheten. Redan i dag tillhandhålls information om incidenter på nationella webbplatser, till exempel www.cert.se. I <NOBR>NIS-direktivet</NOBR> föreslås att <NOBR>CSIRT-nätverket</NOBR> ska upprätthålla en webbplats där allmän information om allvarliga incidenter i unionen görs tillgänglig för allmänheten. Informationen ska dock vara särskilt inriktad på före- tags intressen och behov. <NOBR>CSIRT-enheter</NOBR> uppmuntras att på frivillig väg tillhandahålla information till denna webbplats. I vissa fall finns det säkerhetsskäl som medför att den information som görs tillgäng- lig bör vara begränsad. Det kan till exempel röra sig om säkerhets- brister som skulle kunna utnyttjas av en antagonist.</P>
<P class="p197 ft8">I detta kapitel behandlas kraven på leverantörer av samhällsviktiga tjänster. Kraven beträffande leverantörer av digitala tjänster behand- las i avsnitt 10.3.</P>
<P class="p165 ft35"><SPAN class="ft35">7.2</SPAN><SPAN class="ft40">Nuvarande reglering</SPAN></P>
<P class="p54 ft8">Samhällsviktiga tjänster tillhandhålls av statliga myndigheter, kom- muner, landsting samt privata aktörer på alla nivåer från lokalt till nationellt.</P>
<P class="p197 ft8">I många fall tillhandahåller en verksamhet både samhällsviktiga och icke samhällsviktiga tjänster. Luftfartssektorn tillhandahåller till exem- pel skötsel av start- och landningsbanor, men också tjänster som inte kan betraktas som samhällsviktiga, såsom butiksområden. Kraven på incidentrapportering och säkerhetskraven i <NOBR>NIS-direktivet</NOBR> omfattar endast sådana tjänster som är samhällsviktiga.</P>
<P class="p165 ft11"><SPAN class="ft11">7.2.1</SPAN><SPAN class="ft68">Säkerhetsåtgärder</SPAN></P>
<P class="p68 ft8">Leverantörer inom de sektorer som omfattas av <NOBR>NIS-direktivet</NOBR> om- fattas även av annan lagstiftning som rör säkerhetsåtgärder. Kraven på säkerhetsåtgärderna utgår från de förhållanden och skyddsbehov som råder inom respektive sektor. Ett exempel är krav på drift- säkerhet för tillhandahållare av elektroniska kommunikationsnät och elektroniska kommunikationstjänster. De aktörerna ska vidta tek-</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">120</P>
</DIV>
</DIV>
<DIV id="page_121">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336121x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td65"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td66"><P class="p22 ft33">Säkerhetskrav och incidentrapportering …</P></TD>
</TR>
</TABLE>
<P class="p88 ft8">niska och organisatoriska åtgärder för att säkerställa att verksam- heten uppfyller rimliga krav på driftsäkerhet<SPAN class="ft36">1</SPAN>. Syftet med bestäm- melsen är att bidra till effektiva elektroniska kommunikationer samt att skapa en grundläggande driftsäkerhetsnivå för dessa. Med drift- säkerhet avses främst upprätthållande av funktion och tillgänglighet, men även uthållighet vid extraordinära händelser. I Post- och tele- styrelsens föreskrifter om krav på driftsäkerhet (PTSFS 2015:2) förtydligas vilka åtgärder som tillhandahållaren ska vidta för att leva upp till lagens krav på en grundläggande driftsäkerhet. Det är bland annat regler om övergripande driftsäkerhetsarbete, dokumentation av tillgångar och förbindelser, riskanalys och konsekvensanalys, in- cidenthantering, kontinuitetsplanering, åtgärder efter riskbedöm- ning, åtgärder avseende åtkomst och behörighet och åtgärder avse- ende övervakning och beredskap.</P>
<P class="p11 ft8">Det finns också mer övergripande bestämmelser om säkerhets- åtgärder. Bestämmelser om tekniska och organisatoriska åtgärder när det gäller personuppgiftsbehandling finns i personuppgiftslagen (1998:204). Till exempel ska den som omfattas av personuppgifts- lagen och är personuppgiftsansvarig vidta lämpliga tekniska och orga- nisatoriska säkerhetsåtgärder för att skydda personuppgifterna (31 § personuppgiftslagen). Till tekniska åtgärder räknas saker som brand- väggar, krypteringsfunktioner och antivirus, medan organisatoriska åtgärder handlar om hur säkerhetsarbetet organiseras, styrs och följs upp med hjälp av rutiner, instruktioner och policyer. Generellt gäller att ju känsligare personuppgifterna är eller ju fler personupp- gifter som hanteras, desto mer omfattande bör säkerhetsåtgärderna vara. När man gör en lämplighetsbedömning, det vill säga bestämmer vilken säkerhetsnivå man ska ha, ska man tänka på att åtgärderna ska ge en säkerhetsnivå som är lämplig i förhållande till tillgänglig teknik, kostnaden för åtgärderna, om det finns några särskilda risker med behandlingen samt hur pass känsliga uppgifterna är. I Datainspek- tionens allmänna råd<SPAN class="ft36">2 </SPAN>finns en närmare beskrivning av säkerhetsåt- gärder.</P>
<P class="p12 ft8">I förordningen (2015:1052) om krisberedskap och bevaknings- ansvariga myndigheters åtgärder vid höjd beredskap (KBF) finns bestämmelser för statliga myndigheters informationssäkerhet som</P>
<P class="p308 ft93"><SPAN class="ft72">1</SPAN><SPAN class="ft92">5 kap. 6 b § lagen (2003:389)om elektronisk kommunikation.</SPAN></P>
<P class="p309 ft38"><SPAN class="ft72">2</SPAN><SPAN class="ft75">Säkerhet för personuppgifter, Datainspektionens allmänna råd, reviderad november 2008.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">121</P>
</DIV>
</DIV>
<DIV id="page_122">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Säkerhetskrav och incidentrapportering …</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p208 ft8">gäller om inte något annat följer av lag eller annan förordning. Varje myndighet ansvarar för att egna informationssystem uppfyller så- dana grundläggande och särskilda säkerhetskrav att myndighetens verksamhet kan utföras på ett tillfredsställande sätt. Behovet av säkra ledningssystem ska särskilt beaktas (19 § KBF). Myndigheten för samhällsskydd och beredskap (MSB) får meddela verkställighets- föreskrifter om säkerhetskraven. I MSB:s föreskrifter och allmänna råd om statliga myndigheters informationssäkerhet, MSBFS 2016:1, finns bestämmelser om ledningssystem för informationssäkerhet, krav på informationssäkerhetsarbetet, intern incidenthantering och kontinuitetshantering.</P>
<P class="p165 ft11"><SPAN class="ft11">7.2.2</SPAN><SPAN class="ft68">Incidentrapportering</SPAN></P>
<P class="p310 ft9">Incidentrapportering enligt förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap</P>
<P class="p181 ft8">För statliga myndigheter som omfattas av KBF gäller sedan den 1 april 2016 krav på att rapportera allvarliga <NOBR>it-incidenter</NOBR> (20 § KBF och MSB:s föreskrifter och allmänna råd om statliga myndigheters rapportering av <NOBR>it-incidenter,</NOBR> MSBFS 2016:2).</P>
<P class="p51 ft8">Statliga myndigheter är skyldiga att, till stöd för arbetet med sam- hällets informationssäkerhet, skyndsamt rapportera <NOBR>it-incidenter</NOBR> som inträffat i myndighetens informationssystem och som allvarligt kan påverka säkerheten i den informationshantering som myndigheten ansvarar för eller i tjänster som myndigheten tillhandahåller åt en annan organisation.</P>
<P class="p52 ft8">Rapportering ska ske till MSB (20 § KBF). En myndighet som tillhandahåller tjänster åt en annan organisation ska i samband med rapportering informera och vid behov samråda med den eller de upp- dragsgivare som berörs av incidenten.</P>
<P class="p51 ft8">Rapporteringsskyldigheten omfattar inte incidenter som ska rap- porteras till Säkerhetspolisen eller Försvarsmakten enligt 10 a § säker- hetsskyddsförordningen (1996:633). Exempel på sådana incidenter är incidenter i informationssystem där sekretessbelagda uppgifter som rör rikets säkerhet behandlas eller i system som särskilt behöver skyddas mot terrorism.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">122</P>
</DIV>
</DIV>
<DIV id="page_123">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336123x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td65"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td66"><P class="p22 ft33">Säkerhetskrav och incidentrapportering …</P></TD>
</TR>
</TABLE>
<P class="p105 ft8">Om det kan antas att en incident som rapporterats till MSB har sin grund i en brottslig gärning, ska MSB skyndsamt uppmana den rapporterande myndigheten att anmäla incidenten till polisen.</P>
<P class="p3 ft45">MSB:s tillämpningsföreskrifter</P>
<P class="p311 ft8">MSB har meddelat närmare föreskrifter rapportering av <NOBR>it-incidenter<SPAN class="ft36">3</SPAN>.</NOBR> De rapporteringspliktiga <NOBR>it-incidenterna</NOBR> utgöras av kategorierna</P>
<P class="p194 ft10"><SPAN class="ft10">1.</SPAN><SPAN class="ft94">störning i mjuk- eller hårdvara,</SPAN></P>
<P class="p38 ft10"><SPAN class="ft10">2.</SPAN><SPAN class="ft94">störning i driftmiljö,</SPAN></P>
<P class="p38 ft10"><SPAN class="ft10">3.</SPAN><SPAN class="ft94">informationsförlust eller informationsläckage,</SPAN></P>
<P class="p38 ft10"><SPAN class="ft10">4.</SPAN><SPAN class="ft94">informationsförvanskning,</SPAN></P>
<P class="p38 ft10"><SPAN class="ft10">5.</SPAN><SPAN class="ft94">hindrad tillgång till information,</SPAN></P>
<P class="p38 ft10"><SPAN class="ft10">6.</SPAN><SPAN class="ft94">säkerhetsbrist i en produkt,</SPAN></P>
<P class="p38 ft10"><SPAN class="ft10">7.</SPAN><SPAN class="ft94">angrepp,</SPAN></P>
<P class="p38 ft10"><SPAN class="ft10">8.</SPAN><SPAN class="ft94">handhavandefel,</SPAN></P>
<P class="p38 ft10"><SPAN class="ft10">9.</SPAN><SPAN class="ft94">oönskad eller oplanerad störning i kritisk infrastruktur, eller</SPAN></P>
<P class="p38 ft10"><SPAN class="ft10">10.</SPAN><SPAN class="ft54">annan plötslig oförutsedd händelse som lett till skada (3 §).</SPAN></P>
<P class="p101 ft8">Varje myndighet ska rapportera en <NOBR>it-incident</NOBR> senast 24 timmar efter det att myndigheten upptäckt incidenten (4 §). Rapporterna ska läm- nas till MSB via anvisade kontaktvägar (5 §).</P>
<P class="p312 ft10">En rapport ska innehålla</P>
<P class="p195 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft95">myndighetens namn,</SPAN></P>
<P class="p313 ft49"><SPAN class="ft64">•</SPAN><SPAN class="ft96">en beskrivning av </SPAN><NOBR>it-incidenten</NOBR> som även inkluderar en övergri- pande redovisning av händelseförlopp och vidtagna åtgärder,</P>
<P class="p314 ft49"><SPAN class="ft64">•</SPAN><SPAN class="ft96">den exakta eller uppskattade tidpunkten för när </SPAN><NOBR>it-incidenten</NOBR> inträffade,</P>
<P class="p315 ft8"><SPAN class="ft64">•</SPAN><SPAN class="ft97">när myndigheten upptäckte </SPAN><NOBR>it-incidenten</NOBR> och om den alltjämt pågår eller är avslutad,</P>
<P class="p316 ft38"><SPAN class="ft37">3 </SPAN>MBSFS 2016:2.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">123</P>
</DIV>
</DIV>
<DIV id="page_124">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Säkerhetskrav och incidentrapportering …</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p317 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">till vilken eller vilka kategorier enligt 3 § som </SPAN><NOBR>it-incidenten</NOBR> hör, samt</P>
<P class="p318 ft49"><SPAN class="ft64">•</SPAN><SPAN class="ft65">myndighetens initiala bedömning av </SPAN><NOBR>it-incidentens</NOBR> omfattning och konsekvenser, både faktiska och potentiella.</P>
<P class="p319 ft8">I rapporten ska om möjligt även anges bedömd sekretess för den information som rapporteras in. Om den rapporterande myndighet- en vid sin interna incidentutredning konstaterar att inrapporterade uppgifter om kategorier, omfattning och konsekvenser varit miss- visande eller felaktiga ska myndigheten komplettera eller korrigera sin rapport så snart som möjligt (6 §).</P>
<P class="p205 ft8">På begäran av MSB ska en rapporterande myndighet lämna upp- gifter som kompletterar rapporteringen. Sådana uppgifter ska lämnas snarast, om inget annat överenskommits med MSB (7 §).</P>
<P class="p205 ft8">En myndighet som inte kan lämna en rapport får i samråd med MSB lämna en preliminär rapport. Samråd ska ske innan tidsfristen för rapportering går ut. Rapporten ska innehålla den information som finns att tillgå vid inrapporteringstillfället samt när myndigheten upptäckte <NOBR>it-incidenten,</NOBR> om den fortfarande pågår eller är avslutad, samt vilken eller vilka kategorier som orsakat incidenten. Den full- ständiga rapporten ska i ett sådant fall lämnas senast två veckor från det att <NOBR>it-incidenten</NOBR> upptäcktes (8 §).</P>
<P class="p118 ft8">Om en myndighet överlåter en del av sin informationshantering till en icke statlig aktör ska myndigheten, i överlåtelseavtalet, se till att motparten åtar sig att rapportera <NOBR>it-incidenter</NOBR> i berörda system till myndigheten på ett sätt som motsvarar kraven enligt MSB:s före- skrifter. Myndigheten ska utan dröjsmål vidarebefordra en sådan rapport till MSB. Den skyldigheten gäller med avseende på avtal som träffas efter den 4 april 2016 (9 §).</P>
<P class="p205 ft8">En myndighet som har polisanmält en <NOBR>it-incident</NOBR> behöver inte lämna en rapport utan endast en kopia på polisanmälan (10 §).</P>
<P class="p86 ft8">MSB tog i samband med att obligatoriet infördes fram både metod- stöd och en kryptolösning för säker kommunikation. Myndigheten har därefter stegvis utvecklat funktionen för <NOBR>it-incidentrapportering,</NOBR> exempelvis pågår arbete med att ta fram ett tekniskt rapporterings- verktyg vilket kommer att underlätta det praktiska arbetet för de rapporterande myndigheterna. Verktyget beräknas kunna tillhanda- hållas under 2017. Det sker dessutom ett kontinuerligt arbete med att förbättra och förfina metodstödet för rapporteringen. MSB arbetar</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">124</P>
</DIV>
</DIV>
<DIV id="page_125">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336125x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td65"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td66"><P class="p22 ft33">Säkerhetskrav och incidentrapportering …</P></TD>
</TR>
</TABLE>
<P class="p96 ft8">aktivt i förhållande till rapporteringsskyldiga myndigheter för att underlätta tillämpningen av regelverket och säkerställa en hög rap- porteringsgrad.</P>
<P class="p106 ft8">Innan obligatoriet infördes hanterade MSB <NOBR>40–80</NOBR> incidenter per år som rapporterats in av olika aktörer i samhället, både privata och offentliga. Antalet inrapporterade incidenter har ökat från och med april 2016.</P>
<P class="p11 ft8">Av 244 rapporteringsskyldiga myndigheter har 77 myndigheter lämnat <NOBR>it-incidentrapporter</NOBR> till MSB under 2016. Åtta myndigheter har rapporterat fem eller fler incidenter. Den myndighet som rappor- terat flest har rapporterat 20 incidenter. Trettionio myndigheter har rapporterat endast en incident. Huvuddelen av dessa incidenter var av begränsad/okänd eller ej angiven betydelse för verksamhetsviktiga tjänster. De vanligaste incidentkategorierna är störning i driftmiljön och angrepp. Den vanligaste konsekvensen av de rapporterade inci- denterna är hindrande av tillgång till information. Sammanlagt har det under 2016 inkommit 214 incidentrapporter. Av dessa har 12 in- cidenter polisanmälts. Rapportflödet har varit relativt jämnt med runt 25 rapporter i månaden, bortsett från sommarmånaderna juli och augusti där antalet gick ner. Nedgången kan sannolikt till viss del förklaras av att färre användare är aktiva i systemen och att det sker mindre drift- och utvecklingsåtgärder i <NOBR>it-miljöer</NOBR> under sommar- en. Säkerhetspolisen har under 2016 fått in tre <NOBR>it-incidentrapporter</NOBR> enligt 10 a § säkerhetsskyddsförordningen. Försvarsmakten har inga uppgifter att lämna avseende rapporterade incidenter eftersom de under 2016 inte fått in några formella rapporter enligt 10 a § säker- hetsskyddsförordningen<SPAN class="ft36">4</SPAN>.</P>
<P class="p58 ft8">Där det kan antas att incidenten har sin grund i en brottslig gär- ning har MSB i enlighet med förordningen (20 § KBF) uppmanat den rapporterande myndigheten att anmäla incidenten till polisen. Upp- maningen sker enligt MSB dels genom ett automatsvar, dels genom personlig kontakt.</P>
<P class="p11 ft8">Informationsutbytet mellan Polismyndigheten och MSB regleras i en överenskommelse.</P>
<P class="p11 ft8">Det har visat sig att rapporteringsfrekvensen skiljer sig åt mellan olika myndigheter. Förklaringarna till den ojämna rapporteringen kan enligt MSB vara flera. Att en myndighet inte rapporterar kan bero</P>
<P class="p9 ft38"><SPAN class="ft37">4 </SPAN>MSB:s Årsrapport <NOBR>It-incidentrapportering</NOBR> 2016, dnr <NOBR>2016-6304-7.</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">125</P>
</DIV>
</DIV>
<DIV id="page_126">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Säkerhetskrav och incidentrapportering …</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p226 ft8">på att säkerheten är så god att några rapporteringspliktiga inciden- ter inte inträffar. Det kan emellertid även bero på att det finns så- dana säkerhetsbrister att incidenter, exempelvis intrång, inte upptäcks. Vissa myndigheter har framfört att tillämpliga sekretessregler för inrapporterade <NOBR>it-incidenter</NOBR> inte upplevs som tillräckligt heltäckande och att detta har bidragit till att incidenter inte rapporteras alls alter- nativt att rapporten innehåller endast knapphändig information om vad som hänt. MSB arbetar aktivt med att öka benägenheten att rapportera.</P>
<P class="p205 ft8">Utöver bestämmelserna i KBF finns ytterligare bestämmelser om rapporteringsskyldighet för incidenter, bland annat i lagen (2003:389) om elektronisk kommunikation, lagen (2007:528) om värdepappers- marknaden och i den kommande regleringen i direktiv (EU) 2015/2366 av den 25 november 2016 om betaltjänster på den inre marknaden, om ändring av direktiven 2002/65/EG, 2009/110/EG och 2013/36/EU samt förordning (EU) nr 1093/2010 och om upp- hävande av direktiv 2007/64/EG (det andra betaltjänstdirektivet).</P>
<P class="p320 ft45">Incidentrapportering enligt lagen (2003:389) om elektronisk kommunikation</P>
<P class="p321 ft8">Den som tillhandahåller ett allmänt kommunikationsnät eller en all- mänt tillgänglig elektronisk kommunikationstjänst är skyldig att utan onödigt dröjsmål rapportera störningar eller avbrott av betydande omfattning till Post- och telestyrelsen enligt 5 kap. 6 c § lagen (2003:389) om elektronisk kommunikation (LEK). Av Post- och telestyrelsens föreskrifter och allmänna råd om rapportering av stör- ningar eller avbrott av betydande omfattning (PTSFS 2012:2) fram- går på vilket sätt den skyldigheten ska fullgöras och om undantag från skyldigheten.</P>
<P class="p86 ft8">Den som tillhandahåller allmänt tillgängliga elektroniska kommu- nikationstjänster ska utan onödigt dröjsmål underrätta PTS om inte- gritetsincidenter. Med integritetsincident avses en händelse som leder till oavsiktlig eller otillåten utplåning, förlust eller ändring, eller otillåtet avslöjande av eller otillåten åtkomst till uppgifter som be- handlas i samband med tillhandahållandet av allmänt tillgängliga elek- troniska kommunikationstjänster. Om incidenten kan antas inverka negativt på de abonnenter eller användare som de behandlade upp-</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">126</P>
</DIV>
</DIV>
<DIV id="page_127">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td65"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td66"><P class="p22 ft33">Säkerhetskrav och incidentrapportering …</P></TD>
</TR>
</TABLE>
<P class="p187 ft8">gifterna berör, eller om tillsynsmyndigheten begär det, ska även dessa underrättas utan onödigt dröjsmål. (6 kap. 1 och 4 a §§ LEK).</P>
<P class="p322 ft9">Rapportering av händelser av väsentlig betydelse enligt lagen (2007:528) om värdepappersmarknaden.</P>
<P class="p323 ft8">En börs, dvs. ett svenskt företag som har fått tillstånd att driva en reglerad marknad, ska enligt lagen (2007:528) om värdepappersmark- naden identifiera och hantera de risker som kan uppstå i verksam- heten och ha säkra tekniska system (13 kap. 1 § tredje stycket 1 och 2). För bl.a. företag som ansöker om tillstånd att som börs driva en reglerad marknad eller en handelsplattform gäller Finansinspektion- ens föreskrifter (FFFS 2007:17) om verksamhet på marknadsplatser. Av föreskrifterna framgår att ett företag som ansöker om sådant tillstånd till sin ansökan ska bifoga en verksamhetsplan (1 a kap. 3 § 5 och 12 kap. 8 § värdepappersmarknadslagen). I verksamhetsplanen ska det också finnas en hänvisning till eventuella riktlinjer för han- tering av händelser av väsentlig betydelse, som företaget fastställt i enlighet med Finansinspektionens allmänna råd (FFFS 2013:11) om rapportering av händelser av väsentlig betydelse (1 a kap. 20 §).</P>
<P class="p324 ft45">Direktiv (EU) 2015/2366 av den 25 november 2016 om betaltjänster på den inre marknaden, om ändring av direktiven 2002/65/EG, 2009/110/EG och 2013/36/EU samt förordning (EU) nr 1093/2010 och om upphävande av direktiv 2007/64/EG.</P>
<P class="p325 ft8">I november 2015 antogs det andra betaltjänstdirektivet med syfte att bidra till att utveckla en <NOBR>EU-omfattande</NOBR> marknad för elektro- niska betalningar och till att skapa bättre förutsättningar för säkra och effektiva betalningar. Direktivet innehåller bl.a. bestämmelser som reglerar frågor om säkerhet och hantering av risker i samband med betaltjänstleverantörers kommunikation med betaltjänstanvän- dare, till exempel i fråga om en betalningstransaktion.</P>
<P class="p188 ft8">Av artikel 96.1 följer att betaltjänstleverantörer vid allvarliga ope- rativa eller säkerhetsincidenter utan onödigt dröjsmål ska underrätta den behöriga myndigheten i hemmedlemsstaten. Om incidenten på- verkar eller kan påverka betaltjänstanvändarnas ekonomiska intres- sen ska leverantören dessutom utan onödigt dröjsmål informera</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">127</P>
</DIV>
</DIV>
<DIV id="page_128">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336128x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Säkerhetskrav och incidentrapportering …</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p326 ft8">användarna om incidenten och om alla tillgängliga åtgärder som de kan vidta för att begränsa dess negativa effekter.</P>
<P class="p130 ft8">Enligt artikel 96.2 ska den behöriga myndigheten i hemmedlems- staten, efter att ha mottagit en underrättelse som avses i artikel 96.1, utan onödigt dröjsmål låta EBA och ECB ta del av relevanta upp- gifter om incidenten. Myndigheten ska också, efter att ha gjort en bedömning av incidentens relevans för andra berörda myndigheter i den medlemsstaten, informera dem om incidenten.</P>
<P class="p199 ft35"><SPAN class="ft35">7.3</SPAN><NOBR><SPAN class="ft40">NIS-direktivet</SPAN></NOBR></P>
<P class="p327 ft11"><SPAN class="ft11">7.3.1</SPAN><SPAN class="ft68">Säkerhetsåtgärder</SPAN></P>
<P class="p328 ft8"><SPAN class="ft43">Förslag: </SPAN>Leverantörer av samhällsviktiga tjänster ska bedriva ett systematisk och riskbaserat informationssäkerhetsarbete.</P>
<P class="p329 ft8">Leverantörer av samhällsviktiga tjänster ska vidta ändamåls- enliga och proportionella tekniska och organisatoriska åtgärder för att hantera risker som hotar säkerheten i nätverk och infor- mationssystem som de använder i sin verksamhet. Med beaktande av den senaste tekniska utvecklingen ska dessa åtgärder säkerställa en nivå på säkerheten i nätverk och informationssystem som är lämplig i förhållande till den föreliggande risken.</P>
<P class="p329 ft8">Leverantörer av samhällsviktiga tjänster ska vidta lämpliga åt- gärder för att förebygga och minimera verkningarna av inciden- ter som påverkar säkerheten i nätverk och informationssystem som används för att tillhandahålla sådana samhällsviktiga tjänster, i syfte att säkerställa kontinuiteten i dessa tjänster.</P>
<P class="p330 ft8">Leverantörer av samhällsviktiga tjänster ska göra en riskanalys som ska ligga till grund för val av säkerhetsåtgärder. I analysen ska ingå en åtgärdsplan. Analysen ska dokumenteras och upp- dateras årligen.</P>
<P class="p329 ft8">Regeringen eller den myndighet regeringen bestämmer får med- dela föreskrifter om ett systematiskt och riskbaserat informations- säkerhetsarbete och den närmare utformningen av säkerhets- åtgärder.</P>
<P class="p329 ft8">Myndigheten för samhällsskydd och beredskap ska lämna råd och stöd till tillsynsmyndigheterna vid utarbetandet av myndig- hetsföreskrifter.</P>
</DIV>
<DIV id="id_3">
<P class="p4 ft18">128</P>
</DIV>
</DIV>
<DIV id="page_129">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td65"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td66"><P class="p22 ft33">Säkerhetskrav och incidentrapportering …</P></TD>
</TR>
</TABLE>
<P class="p88 ft8">Med säkerhet i nätverk och informationssystem avses i <NOBR>NIS-direk-</NOBR> tivet systemens förmåga att vid en viss tillförlitlighetsnivå motstå åtgärder som undergräver tillgängligheten, autenticiteten, riktighet- en, eller konfidentialiteten hos lagrade, överförda eller behandlade uppgifter eller hos de besläktade tjänster som erbjuds genom eller är tillgängliga via dessa nätverk och informationssystem (artikel 4.2).</P>
<P class="p11 ft8">Nätverks och informationssystems tillförlitlighet och säkerhet är grundläggande för ekonomisk och samhällelig verksamhet och i synnerhet för den inre marknadens funktion. Systemen har en viktig roll för att underlätta gränsöverskridande rörlighet för varor, tjänster och personer. Genom <NOBR>NIS-direktivet</NOBR> införs gemensamma säkerhetskrav för leverantörer av samhällsviktiga tjänster i unionen.</P>
<P class="p106 ft8">Bestämmelser om säkerhetsåtgärder i nätverk och informations- system finns i flera av de sektorer som omfattas av <NOBR>NIS-direktivet</NOBR> både i nationella bestämmelser och i <NOBR>EU-rättsakter.</NOBR> Regleringen är emellertid inte heltäckande och i några fall är syftet med säkerhets- åtgärderna ett annat än det som anges i <NOBR>NIS-direktivet.</NOBR> Utredning- ens bedömning är därför att det måste införas bestämmelser med krav på säkerhetsåtgärder enligt <NOBR>NIS-direktivet.</NOBR></P>
<P class="p58 ft8">Om det i en sektorspecifik unionsrättsakt föreskrivs krav på att leverantörer av samhällsviktiga tjänster eller leverantörer av digitala tjänster antingen ska säkerställa säkerheten i sina nätverk och infor- mationssystem eller rapportera incidenter, ska bestämmelserna i den sektorspecifika unionsrättsakten tillämpas, förutsatt att verkan av kraven i fråga minst motsvarar verkan av skyldigheterna i <NOBR>NIS-direk-</NOBR> tivet (artikel 1.7). Angående denna princip om lex specialis, se av- snitt 5.4.</P>
<P class="p64 ft39">Riskhantering</P>
<P class="p57 ft8">Leverantörer av samhällsviktiga tjänster ska vidta ändamålsenliga och proportionella tekniska och organisatoriska åtgärder för att han- tera risker som hotar säkerheten i nätverk och informationssystem som de använder i sin verksamhet. Åtgärderna ska, med beaktande av den senaste tekniska utvecklingen, säkerställa en nivå på säker- heten i nätverk och informationssystem som är lämplig i förhållan- de till den föreliggande risken (artikel 14.1).</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">129</P>
</DIV>
</DIV>
<DIV id="page_130">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Säkerhetskrav och incidentrapportering …</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p89 ft8">Med risk avses i <NOBR>NIS-direktivet</NOBR> en rimlig identifierbar omstän- dighet eller händelse med en potentiell negativ inverkan på säker- heten i nätverk och informationssystem (artikel 4.9). Riskhantering omfattar åtgärder för att identifiera alla incidentrisker samt att ta fram åtgärder för att förebygga, upptäcka och hantera incidenter för att begränsa deras inverkan. Säkerheten i nätverk och informa- tionssystem omfattar lagrade, överförda och behandlade uppgifters säkerhet (skäl 46).</P>
<P class="p51 ft8">Den nationella strategi som ska antas enligt artikel 7 ska omfatta en riskbedömningsplan.</P>
<P class="p61 ft39">Incidenthantering</P>
<P class="p68 ft8">Leverantörer av samhällsviktiga tjänster ska också vidta lämpliga åtgärder för att förebygga och minimera verkningarna av incidenter som påverkar säkerheten i nätverk och informationssystem som används för att tillhandahålla sådana samhällsviktiga tjänster, i syfte att säkerställa kontinuiteten i dessa tjänster (artikel 14.2).</P>
<P class="p51 ft8">Med incidenthantering avses alla förfaranden som stöder upp- täckt, analys och begränsning av en incident och åtgärder mot en incident (artikel 4.8). I detta arbete är det viktigt att dra lärdom om incidenter som har inträffat. Det är därför viktigt att den rappor- terande leverantören får del av den ytterligare information som <NOBR>CSIRT-enheten</NOBR> fått eller upprättat om incidenten. Sådan informa- tion bidrar till en effektiv hantering av både pågående och framtida incidenter (artikel 14.5 andra stycket), se avsnitt 11.2.3.</P>
<P class="p61 ft39">Tekniska och organisatoriska åtgärder</P>
<P class="p166 ft8">Säkerhetsåtgärder för informationssäkerhet omfattar åtgärder inom det administrativa och tekniska säkerhetsområdet. Med teknisk säker- het brukar avses områdena <NOBR>it-säkerhet</NOBR> (data- och kommunikations- säkerhet) och fysisk säkerhet. I begreppet tekniska åtgärder ingår bl.a. skydd mot oönskad förändring, skydd mot obehörig insyn, att behöriga har åtkomst vid rätt tillfälle, skydd av personer, lokaler och utrustning av betydelse för informationssäkerhet samt skydd vid överföring av data. Skyddsåtgärderna ingår i det som brukar be- nämnas teknisk säkerhet. I begreppet organisatoriska åtgärder ingår</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">130</P>
</DIV>
</DIV>
<DIV id="page_131">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336131x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t16">
<TR>
<TD class="tr7 td65"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td66"><P class="p22 ft33">Säkerhetskrav och incidentrapportering …</P></TD>
</TR>
</TABLE>
<P class="p122 ft8">bl.a. att upprätta styrdokument, utforma rutiner, övervaka efter- levnad samt genomföra uppföljningar; det som brukar benämnas administrativ säkerhet<SPAN class="ft36">5</SPAN>.</P>
<P class="p212 ft8">Leverantören av den samhällsviktiga tjänsten är ansvarig för att säkerställa säkerheten i de nätverk och informationssystem som leve- rantören använder. Säkerhetskraven gäller för leverantören oavsett om denne sköter underhållet av sina nätverk och informationssystem internt eller lägger ut uppgifterna på entreprenad (skäl 52).</P>
<P class="p11 ft8">För att identifiera vilka tekniska och organisatoriska åtgärder som är relevanta för leverantörerna i de olika sektorerna är det nödvän- digt att känna till vad det är som ska skyddas, mot vad och i vilket syfte.</P>
<P class="p331 ft8">I den undersökning som leverantören gjort för att identifiera om den samhällsviktiga tjänst som leverantören tillhandahåller omfattas av bestämmelserna i den nya lagen framgår vilka nätverk och in- formationssystem som används för att tillhandahålla tjänsten, se av- snitt 6.2.2.</P>
<P class="p11 ft8">En förutsättning för att kunna vidta ändamålsenliga och propor- tionella säkerhetsåtgärder som är anpassade till riskerna är enligt ut- redningens mening att leverantören genomför en riskanalys. Leveran- törer som tillhandahåller samhällsviktiga tjänster ska därför beskriva och bedöma relevanta hot och risker som de föreslagna säkerhets- åtgärderna är tänkta att hantera. Analysen ska också beskriva och bedöma hur effektiva befintliga säkerhetsåtgärder är i förhållande till kända sårbarheter. Vidare bör leverantören identifiera poten- tiella sårbarheter. Det bör framgå av analysen vilka negativa kon- sekvenser en incident skulle kunna medföra. Denna riskanalys har därför ett annat syfte än risk- och sårbarhetsanalyser som görs med anledning av krisberedskap och höjd beredskap, se avsnitt 6.2.1. Analysen kan dock ingå som en del i andra liknande säkerhets- och riskanalyser som genomförs i leverantörens verksamhet.</P>
<P class="p211 ft8">Säkerhetsåtgärderna ska säkerställa en nivå på säkerheten i nät- verk och informationssystem som är lämplig i förhållande till den föreliggande risken. Säkerhetsåtgärder ska också förebygga och mini- mera verkningar av incidenter som påverkar säkerheten i syfte att säkerställa kontinuiteten i den samhällsviktiga tjänsten.</P>
<P class="p332 ft38"><SPAN class="ft37">5 </SPAN>Terminologi för informationssäkerhet, Teknisk rapport <NOBR>SIS-TR</NOBR> 50:2015.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">131</P>
</DIV>
</DIV>
<DIV id="page_132">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Säkerhetskrav och incidentrapportering …</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p85 ft8">De tekniska och organisatoriska åtgärder som leverantörer av samhällsviktiga tjänster ska vidta bör inte innebära krav på att någon särskild kommersiell informations- och kommunikations- teknisk produkt utformas, utvecklas eller tillverkas på ett visst sätt (skäl 51). Trots att hårdvarutillverkare och mjukvaruutvecklare varken är leverantörer av samhällsviktiga tjänster eller leverantörer av digitala tjänster, ökar deras produkter säkerheten i nätverk och informationssystem. De spelar därför en viktig roll när det gäller att göra det möjligt för leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster att skydda sina nätverk och in- formationssystem. Sådana hårdvaru- och mjukvaruprodukter om- fattas redan av befintliga bestämmelser om produktansvar (skäl 50).</P>
<P class="p86 ft8">När leverantören beslutar om vilka säkerhetsåtgärder som ska vidtas ska den senaste tekniska utvecklingen beaktas, dvs. samtliga tekniska lösningar som vid var tid finns tillgängliga på marknaden. Teknisk utveckling kan dels medföra att behovet av säkerhetsåtgärd- er förändras, dels innebära nya möjligheter att vidta effektiva säker- hetsåtgärder. Det innebär också att säkerhetskraven regelbundet måste ses över för att säkerställa en hög nivå av säkerhet i nätverk och informationssystem som används för att tillhandahålla sam- hällsviktiga tjänster. Har en incident inträffat bör det medföra att säkerhetsåtgärderna skyndsamt ses över. Underlåtenhet att vidta säkerhetsåtgärder kan medföra beslut om sanktionsavgift.</P>
<P class="p87 ft8">Bedömningarna i analysen ska ligga till grund för valet av säker- hetsåtgärder och ska också kunna användas som beslutsstöd för leverantörens prioriteringar och avvägningar mellan olika typer av säkerhetsåtgärder i förhållande till tjänstens funktionalitet samt finan- siella och administrativa konsekvenser. Behandlas personuppgifter är det också nödvändigt att försäkra sig om att skyddet för den per- sonliga integriteten upprätthålls enligt de bestämmelser som gäller för personuppgiftsbehandling.</P>
<P class="p86 ft8">Analysen ska dokumenteras och kompletteras med en åtgärds- plan. Analysen ska uppdateras årligen.</P>
<P class="p86 ft8">Riskanalysen bör också används som underlag när sektorsvisa myndighetsföreskrifter utformas.</P>
<P class="p86 ft8">En förutsättning för en väl anpassad säkerhet i nätverk och infor- mationssystem är att det bedrivs ett systematiskt och riskbaserat informationssäkerhetsarbete. Det är ett sätt för verksamhetens led- ning att på ett systematiskt sätt styra arbetet med informationssäker-</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">132</P>
</DIV>
</DIV>
<DIV id="page_133">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t16">
<TR>
<TD class="tr7 td65"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td66"><P class="p22 ft33">Säkerhetskrav och incidentrapportering …</P></TD>
</TR>
</TABLE>
<P class="p187 ft8">het i syfte att planera, genomföra, kontrollera, följa upp, utvärdera och förbättra säkerheten i verksamhetens informationshantering. En del i detta arbete är olika typer av analyser, till exempel verk- samhetsanalys, riskanalys och <NOBR>GAP-analys.</NOBR> Arbetet bör utgå från en godkänd europeisk eller internationell standard utan att ställa krav på att en viss standard måste användas. För att skapa en gemensam grund för leverantörer av samhällsviktiga tjänster anser utredningen att det ska införas ett krav på att leverantörer av samhällsviktiga tjänster bedriver ett systematiskt och riskbaserat informationssäker- hetsarbete samt att regeringen eller den myndighet regeringen be- stämmer ska få meddela föreskrifter om ett systematiskt informa- tionssäkerhetsarbete enligt den nya lagen. Föreskrifter om systema- tiskt och riskbaserat informationssäkerhetsarbete finns redan i dag för statliga myndigheter i Myndigheten för samhällsskydd och be- redskaps föreskrifter och allmänna råd om statliga myndigheters informationssäkerhet, MSBFS 2016:1, se avsnitt 7.2.1. Det bör där- för vara MSB som vid behov får utfärda generella föreskrifter om hur ett systematiskt informationssäkerhetsarbete för samtliga sektorer kan bedrivas.</P>
<P class="p333 ft8">Det har under utredningens arbete framförts att detta i stället borde göras av tillsynsmyndigheterna med vägledning från MSB. Utredningen menar dock, i och med att MSB redan föreskrivit om ett systematiskt och riskbaserat informationssäkerhetsarbete för statliga myndigheter, att det är mest effektivt om MSB föreskriver om en gemensam grund även på den nya lagens tillämpningsområde.</P>
<P class="p334 ft8">När det gäller föreskrifter för verksamheterna inom de sju olika sektorerna anser utredningen, mot bakgrund av att nätverk och in- formationssystem är en integrerad del av verksamheten, att det är den myndighet med kunskap om verksamheten som ska ha ansvaret för att utfärda föreskrifter. I den nya förordningen föreslås därför att tillsynsmyndigheten bemyndigas att meddela föreskrifter om ut- formningen av säkerhetsåtgärder. Viktiga underlag i föreskriftsarbet- et är riskanalysen, resultaten från tillsyn och de incidentrapporter som leverantörerna inom respektive sektor har lämnat till CSIRT- enheten. Som anges i avsnitt 11.2.6 ska tillsynsmyndigheten få del av samtliga incidentrapporter för sin sektor. I föreskriftsarbetet bör tillsynsmyndigheten vid behov inhämta synpunkter från andra myn- digheter som är verksamma inom sektorn samt från de nätverk som finns inom sektorerna. I den nya förordningen föreslås att MSB ska</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">133</P>
</DIV>
</DIV>
<DIV id="page_134">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336134x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Säkerhetskrav och incidentrapportering …</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p142 ft8">lämna stöd till tillsynsmyndigheterna i föreskriftsarbetet samt ges tillfälle att yttra sig över föreskrifterna innan de meddelas.</P>
<P class="p213 ft11"><SPAN class="ft11">7.3.2</SPAN><SPAN class="ft68">Incidentrapportering</SPAN></P>
<P class="p273 ft8"><SPAN class="ft43">Förslag: </SPAN>Leverantörer av samhällsviktiga tjänster ska utan onödigt dröjsmål rapportera incidenter som har en betydande inverkan på kontinuiteten i den samhällsviktiga tjänst de tillhandahåller. Rapporteringen ska göras till <NOBR>CSIRT-enheten</NOBR> (Myndigheten för samhällsskydd och beredskap).</P>
<P class="p274 ft8">För att fastställa om en incident har en betydande inverkan på kontinuiteten i den samhällsviktiga tjänsten ska hänsyn fram- för allt tas till följande faktorer.</P>
<P class="p250 ft8"><SPAN class="ft10">1.</SPAN><SPAN class="ft76">Det antal användare som påverkas av störningen av den sam- hällsviktiga tjänsten.</SPAN></P>
<P class="p335 ft10"><SPAN class="ft10">2.</SPAN><SPAN class="ft88">Hur länge incidenten varar.</SPAN></P>
<P class="p27 ft10"><SPAN class="ft10">3.</SPAN><SPAN class="ft88">Hur stort geografiskt område som påverkas av incidenten.</SPAN></P>
<P class="p336 ft8">Rapporterna ska innehålla information som gör det möjligt för <NOBR>CSIRT-enheten</NOBR> att fastställa incidentens eventuella gränsöver- skridande verkningar.</P>
<P class="p274 ft8">Rapportering ska inte medföra ökat ansvar för den rappor- terande parten.</P>
<P class="p337 ft8">Är en leverantör av samhällsviktiga tjänster beroende av en tredjepartsleverantör av digitala tjänster för tillhandahållandet av en tjänst som är viktig för att upprätthålla kritisk samhällelig och ekonomisk verksamhet, ska leverantören av samhällsviktiga tjänst- er rapportera varje betydande inverkan på kontinuiteten i den sam- hällsviktiga tjänsten till följd av en incident som påverkar leve- rantören av digitala tjänster.</P>
<P class="p274 ft8">Regeringen eller den myndighet regeringen bestämmer får med- dela föreskrifter om vilka faktorer som ska användas för att av- göra om en incident har betydande inverkan på kontinuiteten i en samhällsviktig tjänst och därför medför krav på rapportering, när incidentrapporteringen ska ske, på vilket sätt skyldigheten att rapportera incidenter ska fullgöras och incidentrapportens ut- formning.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">134</P>
</DIV>
</DIV>
<DIV id="page_135">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336135x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td65"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td66"><P class="p22 ft33">Säkerhetskrav och incidentrapportering …</P></TD>
</TR>
</TABLE>
<P class="p338 ft8">Tillsynsmyndigheterna ska ges tillfälle att yttra sig innan före- skrifter meddelas.</P>
<P class="p339 ft8"><SPAN class="ft43">Bedömning: </SPAN>Incidentrapporteringen bör ske efter att de första kritiska åtgärderna för att avhjälpa incidenten har vidtagits. På- verkar incidenten fler leverantörer eller är incidenten gränsöver- skridande bör rapporteringen ske snarast.</P>
<P class="p77 ft8">Leverantörer av samhällsviktiga tjänster ska, utan onödigt dröjsmål, till den behöriga myndigheten eller <NOBR>CSIRT-enheten</NOBR> rapportera in- cidenter som har en betydande inverkan på kontinuiteten i de sam- hällsviktiga tjänster som de tillhandahåller. Rapporterna ska innehålla information som gör det möjligt för den behöriga myndigheten eller <NOBR>CSIRT-enheten</NOBR> att fastställa incidentens eventuella gränsöver- skridande verkningar. Rapportering ska inte medföra ökat ansvar för den rapporterande parten. (artikel 14.3)</P>
<P class="p11 ft8">Bestämmelser om incidentrapportering finns i flera av de sektorer som omfattas av <NOBR>NIS-direktivet.</NOBR> Regleringen är emellertid inte hel- täckande och i några fall är syftet med incidentrapporteringen ett annat. Utredningens bedömning är därför att det måste införas be- stämmelser med krav på incidentrapportering enligt <NOBR>NIS-direktivet.</NOBR></P>
<P class="p64 ft39">Vem ska rapportera</P>
<P class="p57 ft8">Leverantörer av samhällsviktiga tjänster ska rapportera incidenter. Rapporteringskraven gäller för leverantören oavsett om leverantör- en sköter underhållet av sina nätverk och informationssystem internt eller lägger ut uppgifterna på entreprenad (skäl 52).</P>
<P class="p12 ft8">Ansvaret för incidentrapportering åligger den som identifierats som leverantör av samhällsviktiga tjänster.</P>
<P class="p106 ft8">Underlåtenhet att rapportera incidenter kan medföra beslut om sanktionsavgift.</P>
<P class="p64 ft39">När ska rapporteringen ske</P>
<P class="p65 ft8">Enligt <NOBR>NIS-direktivet</NOBR> ska rapportering av incidenter ske utan onö- digt dröjsmål (artikel 14.3). Någon närmare precisering anges inte i direktivet.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">135</P>
</DIV>
</DIV>
<DIV id="page_136">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Säkerhetskrav och incidentrapportering …</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p340 ft8">Incidentrapporteringen är en åtgärd för att förebygga och mini- mera verkningar av incidenter för att säkerställa kontinuiteten i de samhällsviktiga tjänsterna.</P>
<P class="p86 ft8">Att <NOBR>CSIRT-enheten</NOBR> ska underrättas utan onödigt dröjsmål när en incident som har en betydande inverkan på kontinuiteten i den samhällsviktiga tjänsten inträffat, betyder att den berörda leveran- tören som regel ska lämna underrättelsen så snart de uppgifter som ska lämnas finns tillgängliga. Samtidigt är det inte rimligt att leveran- tören, för att fullgöra sin underrättelseskyldighet, tvingas prioritera ned arbetet med att hantera den inträffade incidenten. <NOBR>CSIRT-en-</NOBR> heten bör därför underrättas så snart detta kan ske utan att störa sådant prioriterat arbete. Internt utredningsarbete kan ofta fordras för att leverantören ska kunna sammanställa samtliga uppgifter som ska lämnas till <NOBR>CSIRT-enheten.</NOBR> Utredningens bedömning är, mot bakgrund av direktivets syfte att säkerställa kontinuitet i de sam- hällsviktiga tjänsterna, att utgångspunkten bör vara att rapportering- en inte ska inverka negativt på arbetet med att avhjälpa incidenten. Rapporteringen bör därför ske efter att de första kritiska åtgärderna för att avhjälpa incidenten har vidtagits. Påverkar incidenten där- emot fler leverantörer eller är incidenten gränsöverskridande bör rapporteringen ske snarast för att konsekvenserna ska kunna be- gränsas.</P>
<P class="p341 ft8">En väl fungerande incidenthantering är en viktig del i det före- byggande informationssäkerhetsarbetet som skapar förutsättningar för att anpassa säkerhetsåtgärder allteftersom hot och risker för- ändras, se avsnitt 7.3.1. Det är därför viktigt att den rapporterande leverantören får återkoppling från <NOBR>CSIRT-enheten</NOBR> om relevant infor- mation som skulle kunna bidra till effektiv hantering av incidenten och det fortsatta förebyggande arbetet, se avsnitt 11.2.3.</P>
<P class="p205 ft8">Är incidenten gränsöverskridande ska andra berörda medlems- stater informeras i de fall incidenten har en betydande inverkan på kontinuiteten i samhällsviktiga tjänster i den medlemsstaten. I vissa fall kan det bli aktuellt att informera allmänheten för att det ska vara möjligt att förhindra en incident eller hantera en pågående incident, se avsnitt 11.2.3. I sådana fall torde det vara lämpligt att CSIRT- enheten dels underrättas i direkt anslutning till den inträffade in- cidenten om det som då är känt, dels erhåller fullständig informa- tion om händelsen vid ett senare tillfälle när samtliga uppgifter har sammanställts.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">136</P>
</DIV>
</DIV>
<DIV id="page_137">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td65"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td66"><P class="p22 ft33">Säkerhetskrav och incidentrapportering …</P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p11 ft8">Närmare bestämmelser om när rapporteringen ska ske får med- delas av regeringen eller den myndighet regeringen bestämmer. Utred- ningens bedömning är att MSB ska meddela föreskrifter om detta. Tillsynsmyndigheterna ska beredas tillfälle att yttra sig innan före- skrifter meddelas.</P>
<P class="p3 ft39">Vilka incidenter ska rapporteras?</P>
<P class="p113 ft8">Incidenter som rör Sveriges säkerhet ska inte rapporteras enligt den nya lagen. Sådana incidenter ska rapporteras enligt 10 a § säkerhet- skyddsförordningen (1996:633), se avsnitt 5.4. Är leverantören som tillhandahåller tjänsten tveksam om vilket regelverk som gäller för en inträffad incident bör Säkerhetspolisen eller Försvarsmakten kon- taktas. Även MSB och tillsynsmyndigheten kan lämna stöd vid denna typ av frågor.</P>
<P class="p11 ft8">Endast incidenter som har en betydande inverkan på kontinuitet- en i de samhällsviktiga tjänster som leverantören tillhandahåller ska rapporteras. Med en incident avses en händelse med en faktisk nega- tiv inverkan på säkerheten i nätverk och informationssystem (arti- kel 4.7). För att avgöra om en incident har en betydande inverkan ska hänsyn framför allt tas till följande faktorer (artikel 14.4):</P>
<P class="p172 ft49"><SPAN class="ft10">1.</SPAN><SPAN class="ft98">Det antal användare som påverkas av störningen av den sam- hällsviktiga tjänsten.</SPAN></P>
<P class="p342 ft10"><SPAN class="ft10">2.</SPAN><SPAN class="ft94">Hur länge incidenten varar.</SPAN></P>
<P class="p195 ft10"><SPAN class="ft10">3.</SPAN><SPAN class="ft94">Hur stort geografiskt område som påverkas av incidenten.</SPAN></P>
<P class="p101 ft8">Om leverantörer av samhällsviktiga tjänster är beroende av en tredje- partsleverantör av digitala tjänster för att tillhandahålla en tjänst som är viktig för att upprätthålla kritisk samhällelig och ekonomisk verksamhet, ska leverantörerna av samhällsviktiga tjänster rappor- tera varje betydande inverkan på kontinuiteten i de samhällsviktiga tjänsterna till följd av en incident som påverkar leverantören av digitala tjänster (artikel 16.5).</P>
<P class="p11 ft8">Endast händelser med en faktisk negativ inverkan på säkerheten i nätverk och informationssystem och som orsakat en betydande inverkan på kontinuiteten på tjänsten ska rapporteras. Kravet på att incidenten ska påverka kontinuiteten i tjänsten torde medföra att</P>
</DIV>
<DIV id="id_3">
<P class="p4 ft18">137</P>
</DIV>
</DIV>
<DIV id="page_138">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Säkerhetskrav och incidentrapportering …</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p226 ft8">incidenter som inverkar negativt på säkerheten i övrigt i nätverk och informationssystem inte behöver rapporteras. Det kan till exempel vara fråga om intrång i systemen som inte upptäckts och som inte heller syftar till att påverka kontinuiteten. Denna typ av incidenter kan för leverantörens del vara minst lika allvarliga och bör hante- ras inom ramen för det ordinarie systematiska informationssäker- hetsarbetet. För statliga myndigheter som omfattas kraven på it- incidentrapportering enligt 20 § KBF ska samtliga incidenter som allvarligt kan påverka säkerheten i informationshanteringen rappor- teras. Det bör därför vara möjligt att inom ramen för frivillig rapportering rapportera även andra incidenter än de som omfattas av den nya lagen, se avsnitt 7.3.4.</P>
<P class="p86 ft8">Bedömningen av vilka incidenter som har en betydande inverkan på kontinuiteten i de samhällsviktiga tjänsterna bör utgå från de ovan nämnda faktorerna samt de förhållanden som finns inom respektive sektor. Beroende på vilken sektor som avses kan faktorerna också tillmätas olika vikt. Utredningen menar att denna bedömning bäst görs av en myndighet med god kunskap om verksamheten och, i de fall det är möjligt, i samverkan med befintliga nätverk inom sek- torn. I de fall bestämmelser om driftsäkerhet finns för sektorn bör dessa användas som utgångspunkt i den utsträckning det är möjligt, t.ex. PTSFS 2015:2. Närmare föreskrifter om vilka faktorer som ska användas för att avgöra om en incident har betydande inverkan på kontinuiteten som medför krav på rapportering ska därför med- delas i myndighetsföreskrifter. Ett bemyndigande ska därför föras in i den nya lagen. Utredningens bedömning är att tillsynsmyndig- heten ska meddela sådana myndighetsföreskrifter. Det kan även finnas fördelar med att utforma faktorerna likartat inom de olika sektor- erna. Denna typ av frågor bör enligt utredningen diskuteras i det nationella samarbetsforum som utredningen föreslår och som ska ledas av MSB.</P>
<P class="p170 ft8">Den samarbetsgrupp som inrättats genom <NOBR>NIS-direktivet</NOBR> får ut- arbeta och anta riktlinjer om incidentrapportering och om vilka faktorer som ska användas för fastställandet av hur betydande en incidents inverkan är (artikel 14.7). MSB är Sveriges representant i samarbetsgruppen. I den utsträckning samarbetsgruppen utarbetar och antar riktlinjer för skyldigheten att rapportera incidenter och vilka faktorer som ska användas bör MSB lämna råd och stöd till tillsynsmyndigheten vid utarbetandet av myndighetsföreskrifter.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">138</P>
</DIV>
</DIV>
<DIV id="page_139">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td65"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td66"><P class="p22 ft33">Säkerhetskrav och incidentrapportering …</P></TD>
</TR>
</TABLE>
<P class="p96 ft8">MSB ska också ges tillfälle att yttra sig innan sådana föreskrifter meddelas.</P>
<P class="p106 ft8">Bedömningen av hur betydande en incidents inverkan är bör samordnas med förfarandet för fastställande om en störning är be- tydande när leverantörer av samhällsviktiga tjänster identifieras, se avsnitt 6.2.2.</P>
<P class="p64 ft39">Vem ska leverantörerna rapportera till?</P>
<P class="p65 ft8">Rapporteringen ska enligt <NOBR>NIS-direktivet</NOBR> ske till den behöriga myn- digheten eller <NOBR>CSIRT-enheten</NOBR> (artikel 14.3).</P>
<P class="p11 ft8">Statliga myndigheter rapporterar i dag vissa <NOBR>it-incidenter</NOBR> till i första hand MSB. Utredningen föreslår i avsnitt 11.2.2 att MSB ska ha funktionen som <NOBR>CSIRT-enhet.</NOBR> Behöriga myndigheter ska utöva tillsyn och utredningen föreslår att det ska utses en tillsynsmyndig- het för varje sektor, se avsnitt 8.5. I utredningsarbetet har diskuterats om incidentrapporteringen i stället bör ske till tillsynsmyndigheter- na eftersom rapporteringen är ett av de viktigaste verktygen i tillsyns- myndigheternas arbete med att granska regelefterlevnaden. Erfa- renheter från arbetet med incidentrapporter enligt lagen (2003:389) om elektronisk kommunikation är till exempel att tillsyn tillsammans med sanktionsmöjligheter är viktiga verktyg för att få till stånd en fungerande incidentrapportering, både när det gäller att incidenter rapporteras och att rapporternas innehåll blir tillfyllest. Flera till- synsmyndigheter har också redan i dag upparbetade rutiner för in- cidentrapportering. För att kunna bistå i hanteringen av en incident, varna andra som kan drabbas både nationellt och internationellt, analysera och återföra kunskap kring inträffade incidenter krävs en omfattande organisation och vissa tekniska lösningar. Mot bakgrund av <NOBR>CSIRT-enhetens</NOBR> roll och uppdrag avseende hantering av <NOBR>it-säker-</NOBR> hetsincidenter samt att det redan finns en etablerad nationell funk- tion för incidentrapportering på MSB är utredningens bedömning att incidentrapportering enligt <NOBR>NIS-direktivet</NOBR> ska göras till CSIRT- enheten vid MSB. Leverantörerna ska enligt utredningens mening inte vara skyldiga att rapportera incidenter till tillsynsmyndigheten. För att tillgodose det behov av information om incidenter som finns hos tillsynsmyndigheterna ska det i stället åligga <NOBR>CSIRT-enheten</NOBR> att skyndsamt överlämna de incidentrapporter som lämnats av leve-</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">139</P>
</DIV>
</DIV>
<DIV id="page_140">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Säkerhetskrav och incidentrapportering …</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p208 ft8">rantörerna till den tillsynsmyndighet som utövar tillsyn över den rapporterande leverantören, se avsnitt 11.2.6. Utformningen av rap- porteringsstöd och verktyg kopplade till rapportering enligt den nya lagen bör göras i samarbete med respektive tillsynsmyndighet. Rapporterna ska också vara ett underlag när sektorsvisa myndig- hetsföreskrifter utformas avseende tekniska och organisatoriska åt- gärder. För de tillsynsmyndigheter som också har ansvar enligt KBF finns även ett behov av incidentrapporterna för att uppfylla krav på rapportering och lägesbilder i sin sektor.</P>
<P class="p51 ft8">De nya bestämmelserna kan innebära att en leverantör måste rapportera samma incident till olika myndigheter men med olika syften, men så är fallet redan i dag för vissa leverantörer. Rappor- teringen enligt <NOBR>NIS-direktivet</NOBR> ersätter inte sådan rapporterings- skyldighet.</P>
<P class="p112 ft39">Rapportens innehåll och utformning</P>
<P class="p68 ft8">Rapporten ska innehålla uppgifter som gör det möjligt för CSIRT- enheten att fastställa om incidenten har gränsöverskridande verk- ningar (artikel 14.3). Enligt utredningens mening bör det också framgå om incidenten påverkar andra leverantörer i sektorn eller leverantörer i andra sektorer, se avsnitt 11.2.3. För att den natio- nella kontaktpunkten ska kunna fullgöra sin skyldighet enligt arti- kel 10.3 bör rapporten också innehålla en beskrivning av vad som har inträffat, omfattningen och konsekvenserna av incidenten, vilka åtgärder som vidtagits för att minimera verkningarna av incidenten samt vilka åtgärder som vidtagits för att förebygga liknande inciden- ter i framtiden. Det ska vidare framgå av rapporten om incidenten är en följd av en incident hos en leverantör av digitala tjänster (arti- kel 16.5).</P>
<P class="p52 ft8">Rapporten ska också kunna utgöra grund för tillsynsmyndig- hetens bedömning av om det finns anledning att vidta tillsynsåtgär- der till följd av den inträffade händelsen.</P>
<P class="p51 ft8">Rapporteringen får inte medföra ökat ansvar för den rapporte- rande parten utöver det som följer av <NOBR>NIS-direktivet</NOBR> (artikel 14.3). Det går därmed inte att ställa krav på att leverantören ska utreda händelsen åt <NOBR>CSIRT-enheten.</NOBR> I och med att rapporten är lämnad upphör leverantörens skyldigheter när det gäller incidentrapportering.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">140</P>
</DIV>
</DIV>
<DIV id="page_141">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336141x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td65"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td66"><P class="p22 ft33">Säkerhetskrav och incidentrapportering …</P></TD>
</TR>
</TABLE>
<P class="p63 ft8">För att inte ålägga leverantörerna en onödig administrativ börda bör rapporten i så stor utsträckning som möjligt utformas på sam- ma sätt som annan incidentrapportering. Vägledning bör hämtas från MSB:s föreskrifter och allmänna råd om statliga myndigheters rapportering av <NOBR>it-incidenter,</NOBR> MSBFS 2016:2. I den utsträckning det finns andra branschspecifika bestämmelser bör dessa beaktas vid utformningen av rapporten. Det kan även finnas krav från till- synsmyndigheterna på innehållet i rapporten eftersom den är ett vik- tigt verktyg för tillsynsverksamheten. Dock bör rapporteringen så långt det är möjligt utformas på samma sätt för samtliga sektorer. Bestämmelser om den närmare utformningen av rapporten bör med- delas i myndighetsföreskrifter. Ett bemyndigande ska därför föras in i den nya förordningen. Utredningens bedömning är att MSB ska meddela dessa föreskrifter. Tillsynsmyndigheterna ska ges tillfälle att yttra sig innan föreskrifterna om rapportens utformning utfärdas.</P>
<P class="p114 ft10">Se även avsnitt 12.2 om <NOBR>CSIRT-enhetens</NOBR> uppgifter.</P>
<P class="p343 ft11"><SPAN class="ft11">7.3.3</SPAN><SPAN class="ft68">Sanktioner</SPAN></P>
<P class="p67 ft8"><NOBR>NIS-direktivet</NOBR> ålägger medlemsstaterna att fastställa regler om sank- tioner för överträdelse av nationella bestämmelser som har antagits enligt direktivet och vidta alla nödvändiga åtgärder för att se till att de tillämpas. Sanktionerna ska vara effektiva, proportionella och av- skräckande. Frågan om sanktioner behandlas i kapitel 9.</P>
<P class="p157 ft11"><SPAN class="ft11">7.3.4</SPAN><SPAN class="ft99">Standardisering och frivillig rapportering</SPAN></P>
<P class="p339 ft8"><SPAN class="ft43">Förslag: </SPAN>Vid utformning av säkerhetsåtgärder bör leverantörer av samhällsviktiga tjänster beakta europeiska eller internationellt accepterade standarder och specifikationer.</P>
<P class="p344 ft8">Myndigheten för samhällsskydd och beredskap får meddela föreskrifter om förutsättningarna för frivillig rapportering. Till- synsmyndigheterna ska ges tillfälle att yttra sig innan föreskrift- erna meddelas.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">141</P>
</DIV>
</DIV>
<DIV id="page_142">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336142x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Säkerhetskrav och incidentrapportering …</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p102 ft39">Standardisering</P>
<P class="p68 ft8">För att främja en enhetlig tillämpning av säkerhetsåtgärder ska med- lemsstaterna, utan att föreskriva eller gynna användning av en viss typ av teknik, uppmuntra användningen av europeiska eller inter- nationellt accepterade standarder och specifikationer av relevans för säkerheten i nätverk och informationssystem.</P>
<P class="p197 ft8">Enisa ska i samarbete med medlemsstaterna utarbeta råd och riktlinjer för de tekniska områden som ska beaktas när det gäller säkerhetsåtgärder samt för redan befintliga standarder, inklusive med- lemsstaternas nationella standarder, som skulle kunna täcka dessa områden (artikel 19).</P>
<P class="p51 ft8">Med <SPAN class="ft9">standard </SPAN>avses en standard i den mening som avses i arti- kel 2.1 i förordning (EU) nr 1025/2012<SPAN class="ft36">6</SPAN>. Där definieras standard som en teknisk specifikation som antagits av ett erkänt standardise- ringsorgan för upprepad eller fortlöpande tillämpning, som inte är tvingande och som tillhör någon av följande typer:</P>
<P class="p302 ft8"><SPAN class="ft10">a)</SPAN><SPAN class="ft100">internationell standard: en standard som antagits av ett inter- nationellt standardiseringsorgan,</SPAN></P>
<P class="p161 ft8"><SPAN class="ft10">b)</SPAN><SPAN class="ft55">europeisk standard: en standard som antagits av en europeisk standardiseringsorganisation,</SPAN></P>
<P class="p161 ft8"><SPAN class="ft10">c)</SPAN><SPAN class="ft56">harmoniserad standard: en europeisk standard som antagits på grundval av kommissionens begäran för tillämpningen av unionens harmoniseringslagstiftning,</SPAN></P>
<P class="p161 ft8"><SPAN class="ft10">d)</SPAN><SPAN class="ft55">nationell standard: en standard som antagits av ett nationellt standardiseringsorgan.</SPAN></P>
<P class="p95 ft8">Med <SPAN class="ft9">specifikation </SPAN>avses en teknisk specifikation i den mening som avses i artikel 2.4 i förordning (EU) nr 1025/2012. Där definieras specifikation som ett dokument som föreskriver de tekniska krav som en produkt, process, tjänst eller ett system ska uppfylla och som fastställer ett eller flera av följande:</P>
<P class="p345 ft102"><SPAN class="ft101">6 </SPAN>Europaparlamentets och rådets förordning (EU) nr 1025/2012 av den 25 oktober 2012 om europeisk standardisering och om ändring av rådets direktiv 89/686/EEG och 93/15/EEG samt av Europaparlamentets och rådets direktiv 94/9/EG, 94/25/EG, 95/16/EG, 97/23/EG, 98/34/EG, 2004/22/EG, 2007/23/EG, 2009/23/EG och 2009/105/EG samt om upphävande av rådets beslut 87/95/EEG och Europaparlamentets och rådets beslut 1673/2006/EG.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">142</P>
</DIV>
</DIV>
<DIV id="page_143">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336143x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t16">
<TR>
<TD class="tr7 td65"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td66"><P class="p22 ft33">Säkerhetskrav och incidentrapportering …</P></TD>
</TR>
</TABLE>
<P class="p346 ft8"><SPAN class="ft10">a)</SPAN><SPAN class="ft56">De egenskaper som krävs av en produkt, exempelvis i fråga om kvalitetsnivåer, prestanda, interoperabilitet, miljöskydd, hälsa, säkerhet eller dimensioner, och inbegripet sådana krav som avser varubeteckning, terminologi, symboler, provning och provnings- metoder, förpackning, märkning eller etikettering samt förfaran- den för bedömning av överensstämmelse.</SPAN></P>
<P class="p347 ft8"><SPAN class="ft10">b)</SPAN><SPAN class="ft55">Produktionsmetoder och processer för de jordbruksprodukter som definieras i artikel 38.1 i </SPAN><NOBR>EUF-fördraget,</NOBR> för produkter av- sedda att konsumeras av människor eller djur samt läkemedel, liksom produktionsmetoder och processer för andra produkter om de påverkar dessa produkters egenskaper.</P>
<P class="p347 ft8"><SPAN class="ft10">c)</SPAN><SPAN class="ft56">De krav som ställs på en tjänst, inklusive kvalitetsnivåer, prestanda, interoperabilitet, miljöskydd, hälsa eller säkerhet, och inbegripet krav på leverantören om att ställa uppgifter till tjänstemot- tagarnas förfogande i enlighet med artikel </SPAN><NOBR>22.1–22.3</NOBR> i direktiv 2006/123/EG<SPAN class="ft36">7</SPAN>.</P>
<P class="p348 ft8">I och med att säkerhetsproblem som påverkar nätverk och infor- mationssystem är globala till sin natur behövs ett närmare internatio- nellt samarbete för att förbättra säkerhetstandarder och informa- tionsutbyte och för att främja ett gemensamt sätt att hantera säkerhetfrågor (skäl 43).</P>
<P class="p349 ft8">För att säkerställa en enhetlig tillämpning av säkerhetsåtgärder bör medlemsstaterna främja efterlevnad eller överensstämmelse med specificerade standarder för att garantera en hög nivå på säkerheten i nätverk och informationssystem på unionsnivå. Enisa bör bistå medlemsstaterna genom rådgivning och riktlinjer (skäl 66).</P>
<P class="p190 ft8">Kontaktpunkt mot Enisa i dessa frågor bör vara MSB. Detta bör ingå i uppdraget som företrädare i samarbetsgruppen. Detta på- verkar dock inte de befintliga samarbeten som Post- och telestyrel- sen och andra tillsynsmyndigheter har med Enisa.</P>
<P class="p190 ft8">I den nya förordningen ska det tas in en bestämmelse som att europeiska eller internationellt accepterade standarder och specifi- kationer bör beaktas vid utformningen av säkerhetsåtgärder.</P>
<P class="p350 ft38"><SPAN class="ft37">7 </SPAN>Europaparlamentets och rådets direktiv 2006/123/EG av den 12 december 2006 om tjänster på den inre marknaden.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">143</P>
</DIV>
</DIV>
<DIV id="page_144">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Säkerhetskrav och incidentrapportering …</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p89 ft8">MSB bör vid behov ta fram riktlinjer och vägledningar om tillämp- ning av standarder och specifikationer som kan användas för att utforma säkerhetssåtgärder. Tillsynsmyndigheterna ska stödja MSB i detta arbete genom att vid behov redovisa befintliga standarder och specifikationer eller behov av nya standarder och specifikationer.</P>
<P class="p53 ft39">Frivillig rapportering</P>
<P class="p166 ft8">Enheter som inte har identifierats som leverantörer av samhällsviktiga tjänster eller är leverantörer av digitala tjänster ska, på frivillig grund, ges möjlighet att rapportera incidenter som har en betydande in- verkan på kontinuiteten i de tjänster som de tillhandahåller eller andra incidenter. Vid behandlingen av rapporter ska medlemsstaterna agera i enlighet med det förfarande som fastställs för incidentrapportering för leverantörer av samhällsviktiga tjänster. Medlemsstaterna får ge behandling av obligatoriska rapporter företräde framför behandling av frivilliga rapporter. Frivilliga rapporter ska endast behandlas om behandlingen inte utgör en oproportionell eller orimlig börda för de berörda medlemsstaterna. En frivillig rapport får inte leda till att den rapporterande enheten åläggs skyldigheter som den inte skulle ha varit föremål för om den inte hade gett in rapporten. (artikel 20)</P>
<P class="p51 ft8">Rapportering ska endast ske om dessa enheter anser att det ligger i allmänhetens intresse att rapportera förekomsten av sådana inciden- ter till <NOBR>CSIRT-enheten</NOBR> (skäl 67).</P>
<P class="p51 ft8">Utredningens bedömning är att det kan finnas skäl att även andra leverantörer ska kunna rapportera incidenter enligt det förfarande som gäller för leverantörer av samhällsviktiga tjänster och digitala tjänster. Det skulle t.ex. kunna vara incidenter i nätverk och infor- mationssystem inom enheter som fjärrvärme eller tjänster i andra sektorer som bedöms som samhällsviktiga för svenskt vidkommande. Behandlingen av obligatoriska incidenterapporter ska dock ges före- träde. MSB föreslås få rollen som <NOBR>CSIRT-enhet</NOBR> och bör i denna egenskap även undersöka vilka samhällsviktiga tjänster som inte om- fattas av NIS- direktivet men där det kan vara relevant att ge möjlig- het till frivillig rapportering.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">144</P>
</DIV>
</DIV>
<DIV id="page_145">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td65"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td66"><P class="p22 ft33">Säkerhetskrav och incidentrapportering …</P></TD>
</TR>
</TABLE>
<P class="p351 ft8">Närmare föreskrifter om frivillig incidentrapportering bör där- för meddelas genom myndighetsföreskrifter enligt ett bemyndigande i den nya förordningen. Utredningens bedömning är att MSB ska meddela dessa. Tillsynsmyndigheterna ska ges tillfälle att lämna syn- punkter på föreskrifterna.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">145</P>
</DIV>
</DIV>
<DIV id="page_146">
</DIV>
<DIV id="page_147">
<P class="p4 ft7">8 Tillsyn</P>
<P class="p69 ft35"><SPAN class="ft35">8.1</SPAN><SPAN class="ft40">Inledning</SPAN></P>
<P class="p113 ft8">Varje medlemsstat ska enligt <NOBR>NIS-direktivet</NOBR> utse en eller flera natio- nella behöriga myndigheter för säkerhet i nätverk och informa- tionssystem för åtminstone de sektorer som avses i bilaga 2 och de tjänster som avses i bilaga 3 till <NOBR>NIS-direktivet.</NOBR> De behöriga myn- digheterna ska övervaka tillämpningen av direktivet på nationell nivå (artikel <NOBR>8.1–2).</NOBR></P>
<P class="p106 ft8">Utredningen ska lämna förslag på ett system för tillsyn i enlig- het med direktivets krav.</P>
<P class="p11 ft8">I kommittédirektiven anges att befintliga myndigheter bör behålla eller komplettera sina nuvarande roller. Myndigheten för samhälls- skydd och beredskap (MSB) bör, mot bakgrund av sitt ansvar att samordna arbetet med samhällets informationssäkerhet, få en sam- ordnande roll mellan tillsynsmyndigheterna i syfte att få en samlad bild över <NOBR>EU-direktivets</NOBR> genomförande och tillämpning i Sverige. Detta ska dock inte medföra något övertagande av sektorsmyndig- heternas ansvar för tillsyn över aktörer eller något mandat att styra hur dessa myndigheter ska använda sina resurser.</P>
<P class="p106 ft8">Utgångspunkten bör därför vara att tillsynsmyndigheterna inom de sektorer som omfattas av <NOBR>NIS-direktivet</NOBR> även fortsättningsvis har kvar ansvaret för att kontrollera att aktörerna följer respektive sek- tors regler om informationssäkerhet.</P>
<P class="p58 ft8">För de sektorer där det i dag saknas tillsyn över informationssäker- het behöver det övervägas vilken myndighet som kan anförtros den uppgiften. Inriktningen bör enligt kommittédirektiven vara att Post- och telestyrelsen (PTS) ges fortsatt och vid behov kompletterande ansvar för tillsyn av de digitala infrastrukturer som nämnas i bilaga 2 till <NOBR>NIS-direktivet.</NOBR></P>
<P class="p352 ft18">147</P>
</DIV>
<DIV id="page_148">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336148x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Tillsyn</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p179 ft35"><SPAN class="ft35">8.2</SPAN><SPAN class="ft40">Allmänt om tillsyn</SPAN></P>
<P class="p353 ft11"><SPAN class="ft11">8.2.1</SPAN><SPAN class="ft68">Generella utgångspunkter för reglering om tillsyn</SPAN></P>
<P class="p68 ft8">Vid genomförandet av <NOBR>NIS-direktivets</NOBR> bestämmelser om tillsyn finns det anledning att beakta de principiella bedömningar som gjorts i fråga om tillsyn. I regeringens skrivelse till riksdagen, <SPAN class="ft9">En tydlig, rättsäker och effektiv tillsyn</SPAN><SPAN class="ft36">1</SPAN>, redovisas generella bedömningar av hur en tillsyns- reglering bör vara utformad. Skrivelsen är avsedd att vara ett stöd och en vägledning vid bl.a. översyn av materiella regelverk av olika slag. I skrivelsen framhålls betydelsen av enhetlighet i fråga om offent- lig tillsyn. Det lämnas dock utrymme för att göra avsteg från de bedömningar som görs i skrivelsen. En utgångspunkt i skrivelsen är att begreppet tillsyn främst bör användas för verksamhet som avser självständig granskning för att kontrollera om tillsynsobjektet upp- fyller krav som följer av lagar och andra bindande föreskrifter. Ett grundläggande moment i tillsynen är därför enligt skrivelsen att till- synsorganet har författningsreglerade möjligheter att ingripa. Tillsyns- organen bör också ha rätt att av den objektsansvarige få del av de upplysningar eller handlingar som behövs för tillsynen. Likaså bör organet ha tillträdesrätt till utrymmen som används i den tillsyns- pliktiga verksamheten. Tillsynsorganen bör även ha möjlighet att be- gära biträde från Polismyndigheten och Kronofogdemyndigheten. Vidare bör tillsynsorganen ha möjlighet att ålägga den som är objekt- sansvarig ansvar för att utöva egen kontroll av sin verksamhet. Enligt skrivelsen bör samtliga ingripanden kunna överklagas. Ett viktigt skäl för att precisera tillsynsbegreppet anges vara att en tydlig definition gör det enklare att skilja granskandet från främjande verksamhet. Ett strikt avgränsat tillsynsbegrepp anges dock inte hindra att tillsyns- myndigheter även i fortsättningen kan ha till uppgift att arbeta främ- jande och förebyggande för att effektivt uppnå lagstiftningens mål. Det framhålls att det i allmänhet inte är lämpligt att tillsynsmyndig- heten ger råd om hur tillsynsobjekten ska agera i specifika ärenden. Ett skäl till det anges vara att det kan uppstå svårigheter, om till- synsmyndigheten tidigare lämnat mycket precisa råd i ärenden som sedan blir föremål för tillsyn. Samtidigt framhålls att inom vissa till- synsområden kan skäl tala för att, utöver upplysningar om gällande</P>
<P class="p354 ft38"><SPAN class="ft37">1 </SPAN>Skr. 2009/10:79, bet. 2009/10:FiU12.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">148</P>
</DIV>
</DIV>
<DIV id="page_149">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td67"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td68"><P class="p22 ft33">Tillsyn</P></TD>
</TR>
</TABLE>
<P class="p355 ft8">rätt, även rekommendationer och vägledning ska vara en del av till- synen.</P>
<P class="p199 ft11"><SPAN class="ft11">8.2.2</SPAN><SPAN class="ft68">Annan reglering</SPAN></P>
<P class="p57 ft8">Det finns bestämmelser i förvaltningslagen (1986:223) och myndig- hetsförordningen (2007:515) som ska beaktas av den som utövar tillsyn.</P>
<P class="p3 ft39">Förvaltningslagen</P>
<P class="p113 ft8">Varje myndighet ska lämna andra myndigheter hjälp inom ramen för den egna verksamheten 6 § förvaltningslagen.</P>
<P class="p64 ft39">Myndighetsförordningen</P>
<P class="p57 ft8">Myndigheten ska verka för att genom samarbete med myndigheter och andra ta tillvara de fördelar som kan vinnas för enskilda samt för staten som helhet (6 § andra stycket myndighetsförordningen).</P>
<P class="p11 ft8">Myndigheten ska se till att de kostnadsmässiga konsekvenserna be- gränsas när den begär in uppgifter eller utövar tillsyn (19 § myndig- hetsförordningen).</P>
<P class="p157 ft35"><SPAN class="ft35">8.3</SPAN><SPAN class="ft40">Tillsyn enligt </SPAN><NOBR>NIS-direktivet</NOBR></P>
<P class="p327 ft11"><SPAN class="ft11">8.3.1</SPAN><SPAN class="ft68">Syftet med tillsyn enligt </SPAN><NOBR>NIS-direktivet</NOBR></P>
<P class="p67 ft8">Det övergripande syftet med de åtgärder som fastställs i <NOBR>NIS-direk-</NOBR> tivet är att uppnå en hög gemensam nivå på säkerhet i nätverk och informationssystem inom unionen för att förbättra den inre mark- nadens funktion.</P>
<P class="p11 ft8">Syftet med åtgärden tillsyn är att kunna bedöma hur leverantör- erna av samhällsviktiga tjänster uppfyller säkerhetskraven och kraven på incidentrapportering samt bedöma vilka effekter direktivets krav får på säkerheten i nätverk och informationssystem.</P>
<P class="p12 ft8">När det gäller leverantörer av digitala tjänster ska tillsyn utövas i efterhand när tillsynsmyndigheten fått bevis på att leverantören inte</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">149</P>
</DIV>
</DIV>
<DIV id="page_150">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Tillsyn</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8">vidtagit de säkerhetsåtgärder som leverantören själv ställt upp som krav för att säkerställa att nivån på säkerheten är lämplig. Tillsyns- myndigheten ska på begäran av behöriga myndigheter i andra med- lemsstater kunna bistå med tillsynsåtgärder.</P>
<P class="p51 ft8">Resultatet från en tillsyn kan ligga till grund för sanktioner och förelägganden om att avhjälpa brister.</P>
<P class="p213 ft11"><SPAN class="ft11">8.3.2</SPAN><SPAN class="ft68">Befogenheter</SPAN></P>
<P class="p356 ft45">Tillsynsmyndigheternas rätt att utföra kontroller och kräva information</P>
<P class="p68 ft8">Tillsynsmyndigheterna ska ha de befogenheter och medel de behöver för att bedöma om leverantörer av samhällsviktiga tjänster uppfyller sina skyldigheter enligt artikel 14 i <NOBR>NIS-direktivet</NOBR> samt vilka effek- ter åtgärderna får på säkerheten i nätverk och informationssystem.</P>
<P class="p52 ft8">Tillsynsmyndigheterna ska också ha de befogenheter och medel som krävs för att ålägga leverantörer av samhällsviktiga tjänster att tillhandahålla</P>
<P class="p161 ft8"><SPAN class="ft10">a)</SPAN><SPAN class="ft100">den information som är nödvändig för att bedöma säkerheten i deras nätverk och informationssystem, inbegripet dokumenterade säkerhetsprinciper,</SPAN></P>
<P class="p161 ft8"><SPAN class="ft10">b)</SPAN><SPAN class="ft55">bevis för ett effektivt genomförande av säkerhetsprinciper, såsom resultaten av en säkerhetsrevision utförd av tillsynsmyndigheten eller en auktoriserad revisor och, i det senare fallet, att ge tillsyns- myndigheten tillgång till resultaten, inklusive de underliggande bevisen.</SPAN></P>
<P class="p95 ft8">När tillsynsmyndigheten begär sådan information eller sådana bevis ska den uppge syftet med begäran och precisera vilken information som krävs (artikel <NOBR>15.1–3).</NOBR></P>
<P class="p51 ft8">När det gäller leverantörer av digitala tjänster ska tillsynsmyndig- heten vid behov utöva tillsyn i efterhand när myndigheten mottagit bevis på att en leverantör inte uppfyllt kraven i artikel 16 i NIS- direktivet. Sådana bevis får läggas fram av en behörig myndighet i en annan medlemsstat där tjänsten tillhandahålls (artikel 17.1.) Till- synsmyndigheten har ingen allmän skyldighet att utöva tillsyn över leverantörer av digitala tjänster.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">150</P>
</DIV>
</DIV>
<DIV id="page_151">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td67"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td68"><P class="p22 ft33">Tillsyn</P></TD>
</TR>
</TABLE>
<P class="p63 ft8">Tillsynsmyndigheten ska ha de befogenheter och medel som krävs för att ålägga leverantörer av digitala tjänster att tillhandahålla den information som behövs för en bedömning av säkerheten i deras nätverk och informationssystem, inbegripet dokumenterade säker- hetsprinciper.</P>
<P class="p3 ft45">Åläggande att vidta åtgärder</P>
<P class="p113 ft8">Tillsynsmyndigheten ska kunna utfärda bindande anvisningar till leverantörer av samhällsviktiga tjänster om hur de ska avhjälpa iden- tifierade brister (artikel 15.3).</P>
<P class="p11 ft8">Tillsynsmyndigheten ska ha de befogenheter och medel som krävs för att ålägga leverantörer av digitala tjänster att åtgärda varje under- låtenhet att uppfylla kraven i artikel 16 (artikel 17.2). Frågan om förelägganden att vidta åtgärder behandlas i avsnitt 9.5.</P>
<P class="p64 ft45">Sanktioner</P>
<P class="p57 ft8"><NOBR>NIS-direktivet</NOBR> ålägger medlemsstaterna att fastställa regler om sank- tioner för överträdelse av nationella bestämmelser som har antagits enligt direktivet och vidta alla nödvändiga åtgärder för att se till att de tillämpas. Sanktionerna ska vara effektiva, proportionella och av- skräckande. Medlemsstaterna ska anmäla dessa regler och åtgärder till kommissionen senast den 9 maj 2018 samt utan dröjsmål eventu- ella ändringar som berör dem (artikel 21). Frågan om ingripanden och sanktioner behandlas i kapitel 9.</P>
<P class="p157 ft11"><SPAN class="ft11">8.3.3</SPAN><SPAN class="ft68">Samordning och informationsutbyte</SPAN></P>
<P class="p357 ft45">Samarbete på nationell nivå</P>
<P class="p113 ft8">Tillsynsmyndigheterna och den nationella kontaktpunkten (MSB) ska, när så är lämpligt och i överensstämmelse med nationell rätt, sam- råda och samarbeta med de relevanta nationella rättsvårdande myn- digheterna och Datainspektionen (artikel 8.6). Tillsynsmyndigheter- na ska vidare samarbeta med <NOBR>CSIRT-enheten</NOBR> (MSB) när det gäller fullgörandet av <NOBR>NIS-direktivet</NOBR> (artikel 10.1). Tillsynsmyndigheterna, nationell kontaktpunkt och <NOBR>CSIRT-enhet</NOBR> ska också samarbeta på</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">151</P>
</DIV>
</DIV>
<DIV id="page_152">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Tillsyn</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p208 ft8">ett effektivt och säkert sätt i samarbetsgruppen (artikel 8.5). Det innebär bland annat att tillsynsmyndigheterna ska lämna stöd till Sveriges representant i samarbetsgruppen, MSB, se avsnitt 11.3.</P>
<P class="p53 ft45">Krav på samordning med Datainspektionen</P>
<P class="p166 ft8">Säkerheten för personuppgifter undergrävs ofta till följd av incidenter. Tillsynsmyndigheterna ska därför ha ett nära samarbete med data- skyddsmyndigheterna innan de utfärdar anvisningar om hur inciden- ter ska avhjälpas om incidenten också medför personuppgiftsinci- denter Det innebär t.ex. att samarbeta och utbyta information om alla relevanta frågor för att hantera personuppgiftsincidenter till följd av incidenter. (artikel 15.4 och skäl 63)</P>
<P class="p51 ft8">Dataskyddsmyndigheter är i den nya lagen och den nya förord- ningen Datainspektionen. Frågan om samordning med Datainspek- tionen behandlas i avsnitt 9.5.</P>
<P class="p61 ft45">Informationsutbyte med tillsynsmyndigheter i andra medlemsstater</P>
<P class="p68 ft8">Om en leverantör av digitala tjänster har sitt huvudsakliga etable- ringsställe eller en företrädare i en medlemsstat, men dess nätverk och informationssystem är belägna i en eller flera andra medlemsstater, ska den tillsynsmyndigheten i den medlemsstat där det huvudsakliga etableringsstället eller företrädaren finns och de tillsynsmyndighe- terna i dessa andra medlemsstater samarbeta och vid behov bistå varandra. Detta bistånd och samarbete får omfatta informations- utbyte mellan de berörda tillsynsmyndigheterna och begäranden om att vidta tillsynsåtgärder (artikel 17.3). Frågan om informationsut- byte med tillsynsmyndigheter i andra medlemsstater behandlas i av- snitt 8.5.3.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">152</P>
</DIV>
</DIV>
<DIV id="page_153">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336153x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td67"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td68"><P class="p22 ft33">Tillsyn</P></TD>
</TR>
</TABLE>
<P class="p137 ft35"><SPAN class="ft35">8.4</SPAN><SPAN class="ft40">System för tillsyn</SPAN></P>
<P class="p358 ft11"><SPAN class="ft11">8.4.1</SPAN><SPAN class="ft68">Befintliga system för tillsyn när det gäller säkerhetsåtgärder</SPAN></P>
<P class="p357 ft39">Tillsyn enligt säkerhetsskyddslagstiftningen</P>
<P class="p73 ft8">Enligt säkerhetsskyddslagstiftningen finns två huvudansvariga till- synsmyndigheter, Säkerhetspolisen och Försvarsmakten, som i sam- råd med sektorsansvariga myndigheter (Affärsverket svenska kraft- nät, Post- och telestyrelsen, Transportstyrelsen och länsstyrelsen) även kan utöva tillsyn över sektorns myndigheter. Sektorsmyndig- heterna utövar också egen tillsyn sektorn. Samtliga tillsynsmyndig- heter har föreskriftsrätt.</P>
<P class="p11 ft8">Formerna för tillsynen av säkerhetsskyddet avviker i flera avse- enden från de redovisade principiella bedömningarna om hur tillsyn bör utformas. I tillsynsmyndigheternas uppgifter ligger bland annat att kontrollera att myndigheter och andra verksamheter som säker- hetsskyddslagen gäller för, följer reglerna om säkerhetsskydd och att säkerhetsskyddet är tillräckligt för den verksamhet som bedrivs. Tillsynen utövas bl.a. genom besök och uppföljning varvid eventu- ella brister och behov av åtgärder påpekas. Någon sanktion finns inte. Tillsynen utgår från att de verksamheter som berörs av lag- stiftningen samarbetar med de myndigheter som kontrollerar säker- hetsskyddet och självmant vidtar de åtgärder som rekommenderas. Säkerhetspolisens, Försvarsmaktens och de övriga tillsynsmyndig- heternas rådgivande och stödjande funktioner i fråga om säkerhets- skyddet är också tydligt uttalade.</P>
<P class="p359 ft8">I betänkandet <SPAN class="ft9">En ny säkerhetsskyddslag </SPAN>(SOU 2015:25) s. 476 ff. görs en analys avseende behovet av förändring när det gäller utform- ningen av tillsyn i säkerhetsskyddslagen. Att tillsynen av säkerhets- skyddet i viktiga avseenden avviker från principiella riktlinjer för hur tillsyn bör utformas skulle kunna tala för att en genomgripande förändring behövs. Det är dock viktigt, som också skrivelsen<SPAN class="ft36">2 </SPAN>ger ut- tryck för, att utgå från de förutsättningar som gäller för det speci- fika tillsynsområdet. I skrivelsen anförs att det inte går att bortse från att många tillsynsområden har väsentligt olika förutsättningar som påverkar hur tillsynsregelverket bör utformas för att effektivt</P>
<P class="p176 ft38"><SPAN class="ft37">2 </SPAN>Skr. 2009/10:79.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">153</P>
</DIV>
</DIV>
<DIV id="page_154">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Tillsyn</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p226 ft8">bidra till att de materiella reglerna efterlevs och intentionerna i regel- verken förverkligas. Faktorer som kan behöva vägas in är bland annat vem som bedriver den verksamhet som tillsynen avser, vilket slag av verksamhet som tillsynen riktas mot, vilka risker regelöverträdel- ser kan orsaka och hur det materiella regelverk som tillsynen avser är utformat. Vidare framhålls att det måste beaktas att tillsyn är kost- nadskrävande och orsakar störningar och påfrestningar för den som kontrolleras. Mot den bakgrunden betonas att det vid tillskapande eller översyn av regelverk för tillsyn även är väsentligt att överväga andra styrformer, till exempel ekonomiska incitament, information eller utvärdering, för att uppnå regelverkets mål.</P>
<P class="p205 ft8">En väsentlig faktor är vilka organ som bedriver den verksamhet som tillsynen avser. De verksamheter som berörs av tillsynen av säkerhetsskyddet utgörs främst av myndigheter och andra former av allmän verksamhet, bl.a. vissa företag med statligt ägande. Exem- pel på sådana företag som bedriver säkerhetskänslig verksamhet är Vattenfall, TeliaSonera och SOS Alarm. Andra enskilda företag be- rörs av tillsynen främst i egenskap av anbudsgivare och leverantörer. Det kan handla om till exempel företag inom säkerhets- och för- svarsmaterielområdet eller om företag som tillhandahåller it- och tele- kommunikationslösningar. Därutöver berörs också enskilda företag som bedriver verksamhet som är att anse som säkerhetskänslig, till exempel företag vars verksamhet har väsentlig betydelse för landets elförsörjning.</P>
<P class="p118 ft8">I fråga om enskilda verksamheter bör, enligt betänkandet, beaktas att för det fall att det rör sig om säkerhetsskyddad upphandling, så innebär avtalsförhållandet i sig att det finns ett incitament för en leverantör att leva upp till krav på säkerhetsskydd för att behålla sin position som leverantör på området. I förarbetena till säkerhets- skyddslagen tas också upp att det finns möjlighet att i säkerhets- skyddsavtalen ta in klausuler om skadestånd, vite och hävningsrätt.</P>
<P class="p205 ft8">Samhällsutvecklingen medför att säkerhetskänslig verksamhet i högre grad än tidigare bedrivs av enskilda. En rimlig slutsats, enligt betänkandet, bör kunna vara att omfattningen av enskilda verksam- hetsformer troligen kommer att öka inom tillsynsområdet men att det även i fortsättningen i avsevärd utsträckning handlar om tillsyn av myndigheter och andra offentliga organ. I fråga om enskilda verk- samheter måste vidare beaktas att en anledning till att de i högre grad berörs av säkerhetsskyddslagstiftningen är utvecklingen i fråga</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">154</P>
</DIV>
</DIV>
<DIV id="page_155">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td67"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td68"><P class="p22 ft33">Tillsyn</P></TD>
</TR>
</TABLE>
<P class="p187 ft8">om användandet av externa leverantörer. I sådana situationer finns som nämnts andra incitament än sanktioner vid tillsyn för att upp- fylla krav på säkerhetsskydd.</P>
<P class="p188 ft8">En annan faktor som tas upp i regeringens skrivelse och som kan påverka bl.a. vilka befogenheter tillsynsorganen behöver är vilket slag av verksamhet som tillsynen riktas mot. Det exemplifieras med de skilda förutsättningar som gäller vid tillsyn mot fysiska objekt, till exempel livsmedelslokaler och mer svårgreppbar verksamhet, till exempel försäkringsverksamhet. I fråga om säkerhetsskydd handlar det inte om ett homogent slag av verksamheter utan om verksam- heter av vitt skilda slag. Det underlättar inte ett utformande av lämpliga ingripandebefogenheter.</P>
<P class="p188 ft8">Ytterligare en annan faktor som tas upp i skrivelsen i fråga om styrning av ett regelverks efterlevnad är vilka risker regelöverträdel- ser kan orsaka. Regelöverträdelser som innebär risker för exempelvis människors liv och hälsa anges påverka såväl utformning av sank- tioner som behovet av en enhetlig tillsyn över hela landet. Det anges även kunna innebära att tillsynen i viss utsträckning ges en före- byggande inriktning. Säkerhetsskydd tar sikte på att förebygga all- varliga konsekvenser till följd av hot mot Sveriges säkerhet. En förebyggande inriktning är enligt betänkandet därför given. Av be- tydelse är också hur det materiella regelverk som lagstiftningen ska utövas från är utformat. Inom många tillsynsområden finns ett om- fattande och detaljerat materiellt regelverk som utgör grund för tillsynen. Vanligen råder heller ingen tvekan om vilka tillsynsobjek- ten är, dvs. vilka verksamheter som omfattas av det materiella regel- verket. För säkerhetsskyddet gäller enligt betänkandet det motsatta. Säkerhetsskyddslagen är utformad på ett sätt som ger den verksam- hetsansvarige ett stort ansvar och bedömningsutrymme i fråga om att såväl avgöra lagens tillämplighet som att bestämma hur ett för verksamheten väl anpassat säkerhetsskydd ska åstadkommas. Det innebär svårigheter i fråga om ingripandemöjligheter som förutsätter tydlighet och precision rörande de brister som behöver åtgärdas.</P>
<P class="p189 ft8">Ett annat förhållande som är viktigt att beakta enligt betänkan- det är att lagstiftningens karaktär medför att det finns ett stort behov av vägledning och stöd till de verksamheter som har att tillämpa säkerhetsskyddslagen. Särskilt i förhållande till enskilda är behovet av råd och stöd framträdande. Det behovet kommer antagligen inte att minska med en reformerad säkerhetsskyddslag. Mot den bak-</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">155</P>
</DIV>
</DIV>
<DIV id="page_156">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Tillsyn</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p179 ft8">grunden förefaller det rimligt att anta att lagens genomslag i relativt hög grad även i fortsättningen kan komma att vara beroende av att de myndigheter som har ett särskilt ansvar för säkerhetsskyddet på olika sätt kan vägleda och stödja de säkerhetskänsliga verksamheter- na i en tillräcklig omfattning. Flera av experterna i utredningen om säkerhetsskyddslagen framhöll att det är viktigt att tillsynen i fråga om säkerhetsskydd utgår från samverkan och ger utrymme för en dialog mellan myndighet och den verksamhet som berörs av till- synen. Det var också utredningens uppfattning att det överlag inom säkerhetsskyddsområdet är viktigt att det finns goda förutsättningar för samverkan mellan myndigheter och enskilda verksamheter. Om brister i säkerhetsskyddet skulle kunna medföra åtgärder som till exempel varningar och vitessanktionerade åtgärdsförelägganden, kan det också få till följd att benägenheten att på eget initiativ ta upp brister med den myndighet som kontrollerar säkerhetsskyddet kan påverkas negativt. Utredningen om säkerhetsskyddslagen såg en be- tydande risk att sådana inslag skulle kunna medföra att värdefullt erfarenhetsutbyte, till exempel i fråga om säkerhetshotande inciden- ter, mellan de verksamheter som kontrolleras och de myndigheter som utövar tillsynen motverkas.</P>
<P class="p87 ft8">Några av experterna i utredningen om säkerhetsskyddslagen fram- förde, utifrån erfarenheter av den nuvarande ordningen, att det finns en svårighet med att förena en rådgivande och kontrollerande roll. Sådana dubbla roller är svåra att undvika utan att göra stora förändringar av myndigheternas ansvar och uppgifter. Antagligen skulle motsättningen upplevas som större om säkerhetsskyddet för- ändrades mot sådana tillsynsformer där ingripandebefogenheter är i fokus. Det vore olyckligt med en utveckling mot att myndigheter som utövar tillsyn är så restriktiva i sin rådgivning att det innebär ett försämrat säkerhetsskydd.</P>
<P class="p170 ft8">Utredningen om säkerhetsskyddslagen anförde bland annat att formerna för tillsynen av säkerhetsskyddet avviker i väsentliga avse- enden från de generella riktlinjerna för hur offentlig tillsyn bör ordnas. Ingripandebefogenheter vid tillsyn är av betydelse. I dag finns inte sådana befogenheter i fråga om säkerhetsskyddet. Sammantaget gjorde utredningen om säkerhetsskyddslagen bedömningen att det för när- varande inte finns tillräckliga skäl för att förändra tillsynens inrikt- ning och genomförande. Något förslag om att införa sanktioner lämnades därför inte. Utredningen pekade dock på att det är ange-</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">156</P>
</DIV>
</DIV>
<DIV id="page_157">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td67"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td68"><P class="p22 ft33">Tillsyn</P></TD>
</TR>
</TABLE>
<P class="p88 ft8">läget att noga följa utvecklingen och inom en inte alltför avlägsen framtid följa upp frågan. I detta sammanhang nämns bl.a. NIS- direktivet. I betänkandet föreslås att grunddragen i den nuvarande tillsynsorganisationen behålls.</P>
<P class="p172 ft8"><SPAN class="ft64">•</SPAN><SPAN class="ft34">Säkerhetspolisen och Försvarsmakten har huvudansvaret för till- synen.</SPAN></P>
<P class="p360 ft8"><SPAN class="ft64">•</SPAN><SPAN class="ft34">När det gäller bolag, föreningar, stiftelser och enskilda närings- idkare utövas kontrollen av de säkerhetsskyddsstödjande myndig- heterna (Affärsverket svenska kraftnät för elförsörjningsverksam- het, Post- och telestyrelsen för verksamhet som avser elektronisk kommunikation, Transportstyrelsen för flygtransportverksamhet och i övrigt Myndigheten för samhällskydd och beredskap som också utövar kontroll över kommuner och landsting). Även på dessa områden kan dock säkerhetsskyddet kontrolleras av Säker- hetspolisen och Försvarsmakten. Kontrollen ska i så fall utföras i samråd med den primärt ansvariga myndigheten.</SPAN></P>
<P class="p101 ft8">Ett flertal myndigheter har således ett särskilt ansvar för säkerhets- skyddet. Det förhållandet i sig kan givetvis göra ansvar och roller otydliga. Utredningen om säkerhetsskyddslagens direktiv fann inte skäl för någon genomgripande förändring av den ordningen. Tvärt- om framhölls att det är viktigt att den samlade kompetens som finns hos de myndigheter som har till uppgift att kontrollera säker- hetsskyddet kan användas på ett effektivt sätt.</P>
<P class="p11 ft8">På samma sätt som i fråga om behovet av sanktioner anförde ut- redningen om säkerhetsskyddslagen att det var viktigt att frågan om tillsynsorganisation följs upp när en ny lag har varit i kraft en tid. Om sanktioner övervägs, är det inte självklart att tillsynen bör orga- niseras på samma sätt som i dag.</P>
<P class="p64 ft39">System enligt personuppgiftslagstiftningen</P>
<P class="p57 ft8">Det nu gällande dataskyddsdirektivet föreskriver att varje med- lemsstat ska ha en eller flera tillsynsmyndigheter som ska övervaka tillämpningen av de nationella bestämmelser som antagits till följd av direktivet. Tillsynsmyndigheten ska ha vissa angivna uppgifter och</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">157</P>
</DIV>
</DIV>
<DIV id="page_158">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336158x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Tillsyn</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p361 ft8">befogenheter. I Sverige är Datainspektionen denna myndighet<SPAN class="ft36">3</SPAN>. Datainspektionen har det övergripande, ansvaret för tillsynen över behandling av personuppgifter. Tillsynsuppdraget är brett och Data- inspektionen är behörig att utöva tillsyn över all personuppgifts- behandling. Tillsynen avser både sådan behandling som regleras av personuppgiftslagen och sådan som omfattas av särskilda registerlagar med avvikande eller kompletterande bestämmelser. Härutöver har några ytterligare myndigheter i uppdrag att utöva tillsyn över be- handling av personuppgifter inom vissa särskilt angivna områden, till exempel Säkerhets- och integritetsskyddsnämnden och <NOBR>Post-och</NOBR> telestyrelsen.</P>
<P class="p51 ft8">Utformningen av Datainspektionens behörighet innebär att det inte finns några ”luckor” i tillsynen över behandlingen av person- uppgifter. Det finns med andra ord inte någon personuppgiftsbe- handling som inte omfattas av någon myndighets tillsynsbefogenhet. Om inte någon annan myndighet utövar tillsyn kan Datainspektion- en alltid göra det. Datainspektionen avgör själv när det finns anled- ning att inleda ett tillsynsärende. Beslutet kan grunda sig på exempel- vis iakttagelser vid ett annat tillsynsärende, en beslutad tillsynsplan, ett tips från massmedia eller andra myndigheter och klagomål från enskilda. Tillsyn kan också initieras efter en anmälan från ett person- uppgiftsombud. Datainspektionen tar emot klagomål från enskilda som anser att de har varit föremål för en felaktig personuppgifts- behandling men är inte skyldig att inleda ett tillsynsärende på grund av en gjord anmälan. Alla som klagar får dock ett besked i någon form från Datainspektionen.</P>
<P class="p112 ft39">System inom transportsektorn</P>
<P class="p54 ft8">Transportstyrelsen har ansvaret för merparten av all normgivning, tillståndsgivning, tillsyn och registerhållning för de fyra trafikslagen. Transportstyrelsen inrättades den 1 januari 2009 samtidigt som Luft- fartsstyrelsen och Järnvägsstyrelsen lades ner.</P>
<P class="p51 ft8">Statens haverikommission har till uppgift att från säkerhetssyn- punkt utreda alla typer av allvarliga civila eller militära olyckor och tillbud, oavsett om de inträffar till lands, till sjöss eller i luften.</P>
<P class="p362 ft38"><SPAN class="ft37">3 </SPAN>2 a § förordningen (2007:975) med instruktion för Datainspektionen.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">158</P>
</DIV>
</DIV>
<DIV id="page_159">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td67"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td68"><P class="p22 ft33">Tillsyn</P></TD>
</TR>
</TABLE>
<P class="p80 ft45">En trafikslagsövergripande myndighet</P>
<P class="p57 ft8">Motiven för en trafikslagsövergripande myndighet angavs i prop. 2008/09:31 för det första vara vikten av att en effektiv och tillför- litligt genomförd tillsyn kan garanteras inom alla trafikslag. En för- utsättning för detta ansågs vara att det råder ett oberoende mellan det organ som utövar tillsynen och den verksamhet som tillsynen avser. För det andra konstaterades att tillsynen var splittrad och svåröverskådlig inom många områden. Det påpekades att det i bud- getpropositionen för 2008 framhölls att en väl fungerande tillsyn är avgörande för den rättssäkerhet som tillsammans med effektivitet och medborgarorientering ska vara utpekande för statsförvaltning- en. Vidare bedömdes att behovet av en optimal tillsyn ökade i takt med den ökade delegeringen av offentliga åtaganden, driften av offent- lig verksamhet i privat regi, avregleringen av flera marknader liksom Sveriges <NOBR>EU-medlemskap.</NOBR> Regeringen bedömde därför att en myn- dighet med ett samlat tillsynsansvar på ett avgörande sätt skulle kom- ma att bidra till en utveckling i enlighet med det nu sagda. Den tredje aspekten som beaktades var det faktum att dagens trans- porter och resor ofta sker med flera olika trafikslag inblandade. Likformighet och likabehandling mellan trafikslagen när det gäller tillsyn och normgivning – i den grad det är möjligt – ansågs därför vara önskvärda. I en samlad verksamhet, där jämförelser av erfaren- heter kan ske och nytta dras av resultaten, ansågs förutsättningarna för att uppnå dessa mål öka. Vidare bedömdes att effektivitet skulle uppnås även inom den administrativa verksamheten genom att denna skulle ske sammanhållet för en större myndighetskropp. Ett viktigt krav för att en korrekt och trovärdig tillsyn kan garanteras ansågs också vara att det råder ett oberoende mellan den organi- sation som utövar tillsyn och den verksamhet som tillsynen avser. Regeringens uttalade vidare att det var såväl lämpligt som effektivt att den myndighet som utfärdar föreskrifter inom ett område också har det ansvar och de befogenheter som behövs för att säkerställa att föreskrifterna får avsedd verkan. I utövandet av ansvaret och användandet av befogenheterna förmodades myndigheten därutöver tillägna sig erfarenheter som kan ligga till grund för utformningen av föreskrifterna.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">159</P>
</DIV>
</DIV>
<DIV id="page_160">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336160x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Tillsyn</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p89 ft8">Statskontoret, som fått i uppdrag att följa upp Trafikverkets och Transportstyrelsens verksamhet, har bl.a. anfört följande avseende renodling av roller<SPAN class="ft36">4</SPAN>.</P>
<P class="p363 ft84">Ett viktigt ledord bakom de senaste årens organisationsförändringar har varit renodling av roller och ansvar mellan transportmyndigheterna. An- svaret för tillsyn och normgivning har skilts från förvaltarrollen. Vidare har det inom den förvaltande rollen skett en renodling dels genom att produktionsverksamheten har avskilts från förvaltarrollen dels genom att Trafikverket har strävat efter att lägga över ett större åtagande på entreprenörer och konsulter.</P>
<P class="p364 ft84">Statskontoret kan konstatera att denna utveckling har både för- och nackdelar. Att ansvaret för tillsyn och normgivning har skilts från för- valtarrollen har inneburit bättre förutsättningar för en oberoende tillsyn och normgivning. Transportstyrelsen bör ha lättare än tidigare myn- digheter att verka fristående från de olika ”branschkrafterna” då myn- digheten inte själv har ansvar för förvaltningen av infrastrukturen. För Trafikverket innebär renodlingen av beställarrollen sannolikt att en mer effektiv infrastrukturproduktion kan organiseras.</P>
<P class="p365 ft13">För både Transportstyrelsen och Trafikverket innebär dock denna renodling utmaningar i olika avseenden. Som vi har beskrivit riskerar en alltför stark renodling av beställarrollen innebära att Trafikverket för- lorar kunskap över väg- och järnvägssystemet. Inom Transportstyrelsen finns det inte några strukturella motverkande krafter till det regler- ingsarbete som genomförs på det sätt som fanns tidigare. I de tidigare trafikverken, där de reglerande uppgifterna låg inom samma organisation som de förvaltande, fanns det en inbyggd ”naturlig broms” mot alltför ingripande reglering eftersom det kunde påverka myndigheternas för- valtande uppgifter.</P>
<P class="p102 ft39">System inom hälso- och sjukvården</P>
<P class="p68 ft8">Inspektionen för vård och omsorg (IVO) bildades den 1 juni 2013 och ansvarar för tillsyn över hälso- och sjukvård, hälso- och sjuk- vårdspersonal, socialtjänst och verksamhet enligt lagen (1993:387) om stöd och service till vissa funktionshindrade (LSS). IVO har också ansvar för viss tillståndsprövning. IVO har inget ansvar för norm- givning.</P>
<P class="p366 ft89"><SPAN class="ft37">4 </SPAN>På rätt väg? Uppföljning av Trafikverket och Transportstyrelsen <SPAN class="ft38">s.145, Statskontoret, 2015:14.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">160</P>
</DIV>
</DIV>
<DIV id="page_161">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336161x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td67"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td68"><P class="p22 ft33">Tillsyn</P></TD>
</TR>
</TABLE>
<P class="p367 ft45">En tillsynsmyndighet för bl.a. hälso- och sjukvård, <NOBR>LSS-verksamhet</NOBR> och socialtjänst</P>
<P class="p47 ft8">Enligt regeringens uppfattning<SPAN class="ft36">5 </SPAN>bör det finnas en tydlig gränslinje mellan å ena sidan kunskapsutveckling, bidragsgivning och norme- ring och å andra sidan tillsyn. En sådan åtskillnad ger störst tydlighet och oberoende och därmed legitimitet åt tillsynsarbetet. En själv- ständig tillsynsmyndighet ger också riksdag och regering bäst förut- sättningar att kunna styra tillsynens resurser via anslag till myndig- heten. Regeringen bedömde liksom Statskontoret att det inte finns några principiella eller andra hinder för att separera dessa två upp- gifter.</P>
<P class="p331 ft8">En fristående tillsynsmyndighet i form av IVO underlättar också för medborgarna att hitta rätt när de vill framföra klagomål eller anmäla brister som gäller såväl hälso- och sjukvård som socialtjänst och verksamhet enligt LSS. Den kan också bidra till att tillsynen ut- övas med mer långsiktig planering, tydligare prioriteringar, ett mer strategiskt inriktat arbete och att möjligheter till gemensamma be- slut och rapporter skapas, dvs. möjliggör en effektivare tillsyn.</P>
<P class="p11 ft8">En ny inspektionsmyndighet har enligt regeringens bedömning möjlighet att från början anpassa sina interna styrmodeller, uppfölj- ningssystem och ärendehanteringssystem till de stora ärendevoly- merna och sin myndighetsutövande roll. Att från början kunna utveckla en myndighetskultur som grundas på det lagreglerade till- synsuppdraget innebär enligt regeringens mening betydande fördelar. Detta skulle förbättra möjligheterna att inom myndigheten kunna utveckla en tydlig yrkesroll och utarbeta en strategi för kompetens- försörjningen.</P>
<P class="p106 ft8">IVO bör även bygga upp lämpliga samarbetsformer med huvud- männen så att inspektionens arbete på bästa möjliga sätt samspelar med huvudmännens kvalitetsansvar. Detta förutsattes kunna ske genom att ett effektivt kunskapsutbyte mellan IVO och Socialsty- relsen kan etableras.</P>
<P class="p368 ft38"><SPAN class="ft37">5 </SPAN>Prop. 2012/13:20 s. 94 ff.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">161</P>
</DIV>
</DIV>
<DIV id="page_162">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Tillsyn</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p102 ft39">Tillsyn enligt förslag av NISU 2014</P>
<P class="p68 ft9"><SPAN class="ft8">I betänkandet </SPAN>Informations- och cybersäkerhet i Sverige – Strategi och åtgärder för säker information i staten <SPAN class="ft8">(SOU 2015:23) föreslår NISU 2014 bland annat att tillsynen över den statliga sektorns in- formationssäkerhet bör samordnas och förstärkas. MSB ska enligt förslaget utöva tillsyn över myndigheternas informationssäkerhets- arbete. I betänkandet konstateras att ett en sådan tillsynsuppgift säkerligen kommer att kräva samverkan med myndigheter i det före- slagna myndighetsrådet. Det är vidare nödvändigt att samordning sker i förhållande till den tillsyn som utövas under säkerhetsskydds- lagen för att undvika överlappande tillsynsansvar. Vidare krävs sam- ordning med den tillsyn inom staten avseende informationssäker- het som sker genom sektorsansvariga myndigheters försorg.</SPAN></P>
<P class="p197 ft8">NISU 2014 anförde vidare att ett antal myndigheter vid sidan om Försvarsmakten, Säkerhetspolisen och sektorsmyndigheterna har tillsynsansvar inom informationssäkerhetsområdet, t.ex. Datainspek- tionen, Finansinspektionen och Strålsäkerhetsmyndigheten. Det är en krävande uppgift som ställer höga krav på expertkompetens. Till- synsansvaret omfattar alla aspekter av informationssäkerhet, allt från administrativ säkerhet till <NOBR>it-säkerhet</NOBR> och krypto. Det är inte rimligt att kräva eller förutsätta att den bredd och djup i kompetens som krävs ska finnas inom varje tillsynsmyndighet. Betydligt effektivare och mer rationellt vore om tillsynen genomförs i samverkan med en utpekad myndighet som har den djupa kompetens som krävs. Då skulle tillsynsmyndigheten ha ansvaret och kunskapen om föremålet för tillsyn, och samtidigt dra fördel av expertmyndighetens djupa fackkunskaper. Detta bidrar till kvalitet och stabilitet i tillsynen och en jämn tillämpning av informationssäkerhetskraven på tillsynsobjek- ten. En samordning av stöd till tillsynsverksamheten vore också effektivt sett till både ekonomi och säkerhet.</P>
<P class="p52 ft8">I betänkandet förslås att MSB ska utöva tillsyn samt utfärda före- skrifter.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">162</P>
</DIV>
</DIV>
<DIV id="page_163">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336163x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td67"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td68"><P class="p22 ft33">Tillsyn</P></TD>
</TR>
</TABLE>
<P class="p137 ft11"><SPAN class="ft11">8.4.2</SPAN><SPAN class="ft68">Nuvarande reglering i sektorerna</SPAN></P>
<P class="p193 ft8">Inom de sektorer som omfattas av <NOBR>NIS-direktivet</NOBR> finns olika system för tillsyn.</P>
<P class="p157 ft35"><SPAN class="ft35">8.5</SPAN><SPAN class="ft40">Utredningens överväganden och förslag</SPAN></P>
<P class="p229 ft11"><SPAN class="ft11">8.5.1</SPAN><SPAN class="ft68">En tillsynsmyndighet för varje sektor</SPAN></P>
<P class="p339 ft8"><SPAN class="ft43">Förslag: </SPAN>Den myndighet som regeringen bestämmer ska vara nationell behörig myndighet.</P>
<P class="p344 ft8">Den nationella behöriga myndigheten ska utöva tillsyn över att lagen och föreskrifter som meddelats i anslutning till lagen följs.</P>
<P class="p369 ft8">Det ska finnas en nationell behörig myndighet, tillsynsmyn- dighet, för varje sektor som utövar tillsyn.</P>
<P class="p344 ft49">Tillsynsmyndigheten ska lämna stöd till representanten i sam- arbetsgruppen.</P>
<P class="p370 ft8">Utredningen har i sina överväganden avseende systemet för tillsyn enligt <NOBR>NIS-direktivet</NOBR> utgått från regeringens generella bedömningar av hur en tillsynsreglering bör vara utformad (skr. 2009/10:79) samt från att befintliga tillsynsmyndigheter bör behålla sitt ansvar. I skälen till <NOBR>NIS-direktivet</NOBR> anges att medlemsstaterna bör kunna utse mer än en nationell behörig myndighet med ansvar för att utföra upp- gifter som rör säkerheten i de nätverk och informationssystem som används av leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster enligt <NOBR>NIS-direktivet</NOBR> (skäl 30). Medlemsstaterna bör vid behov kunna använda eller anpassa befintliga organisations- strukturer vid tillämpningen av direktivet (skäl 37).</P>
<P class="p58 ft8">I dag finns flera olika system för tillsyn inom de sektorer som omfattas av <NOBR>NIS-direktivet</NOBR> och verksamheterna inom sektorerna har i många fall flera olika tillsynsmyndigheter. Vissa tillsynsmyndig- heter utövar redan i dag tillsyn över säkerhet i nätverk och infor- mationssystem medan andra har en annan inriktning på tillsynen, se avsnitt 8.4.</P>
<P class="p106 ft8">Enligt skrivelsen (skr. 2009/10:79) bör man utgå från de förut- sättningar som gäller för det specifika tillsynsområdet. I skrivelsen</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">163</P>
</DIV>
</DIV>
<DIV id="page_164">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Tillsyn</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p226 ft8">anförs att det inte går att bortse från att många tillsynsområden har väsentligt olika förutsättningar som påverkar hur tillsynsregelverket bör utformas för att effektivt bidra till att de materiella reglerna efterlevs och att intentionerna i regelverken förverkligas. Faktorer som kan behöva vägas in är bland annat vem som bedriver den verk- samhet som tillsynen avser, vilket slag av verksamhet som tillsynen riktas mot, vilka risker regelöverträdelser kan orsaka och hur det materiella regelverk som tillsynen avser är utformat. Vidare framhålls att det måste beaktas att tillsyn är kostnadskrävande och orsakar störningar och påfrestningar för den som kontrolleras.</P>
<P class="p205 ft8">De verksamheter som kan komma att beröras av tillsyn enligt <NOBR>NIS-direktivet</NOBR> utgörs av statliga myndigheter, kommuner, landsting, statligt och kommunalt ägda bolag samt enskilda företag. När det gäller enskilda företag kan dessa vara etablerade i Sverige eller i en annan medlemsstat. En enhetlig tillsyn i vart fall inom respektive sektorer bör därför vara utgångspunkten.</P>
<P class="p205 ft8">En annan faktor som bör vägas in är vilket slag av verksamhet som tillsynen riktas mot. De enheter som finns inom de berörda sektorer och delsektorer finns inom sju olika verksamhetsområden. Det rör sig därför om verksamheter av vitt skilda slag såsom vård- givare, kreditinstitut och registreringsenheter för toppdomäner. Detta talar också för att ha en enhetlig tillsyn inom respektive sektor. Ytterligare en faktor som ska beaktas när man bedömer vilket system som lämpar sig bäst är vilka risker regelöverträdelser kan orsaka. NIS- direktivets syfte är att höja nivån av säkerhet i nätverk och infor- mationssystem för samhällsviktiga tjänster och digitala tjänster. Åt- gärderna ska hantera risker samt förebygga och minimera verkningar av incidenter. Det kan också röra sig om incidenter som har gräns- överskridande verkan. Tillsynen bör ha därför även ges en förebyg- gande inriktning.</P>
<P class="p341 ft8">Inom de sju sektorer som omfattas av <NOBR>NIS-direktivet</NOBR> finns stora skillnader i omfattning och utformning av det regelverk som tillsynen utövas utifrån. I dag saknas reglering avseende informationssäkerhet i vissa fall och i andra finns tydliga <NOBR>EU-rättsakter</NOBR> på området. Även om den nu föreslagna lagstiftningen utformas på ett enhetligt sätt kommer kraven på säkerhetsåtgärder inom de olika sektorerna att se olika ut beroende på vilken verksamhet som regleras. Detta kommer naturligtvis även att påverka utformningen av tillsynen. Kunskap om verksamheten inom området bör tillmätas stor betydelse men</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">164</P>
</DIV>
</DIV>
<DIV id="page_165">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td67"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td68"><P class="p22 ft33">Tillsyn</P></TD>
</TR>
</TABLE>
<P class="p371 ft8">även kunskap om informationssäkerhet är en viktig komponent för en tillsynsmyndighet.</P>
<P class="p190 ft8">Enligt utredningens mening bör därför utgångspunkten för till- synens utformning vara att det ska finnas en tillsynsmyndighet för varje sektor.</P>
<P class="p188 ft8">Ett system med en tillsynsmyndighet i varje sektor har naturligt- vis både för- och nackdelar. Det som talar för detta system är att en sådan tillsynsmyndighet har kunskap om både sektorn och dess reg- lering. Detta blir särskilt viktigt i de sektorer och delsektorer som redan i dag regleras av nationell lagstiftning eller <NOBR>EU-rättsakter</NOBR> och där en bedömning måste göras om <NOBR>NIS-direktivets</NOBR> krav redan är tillgodosedda genom befintlig reglering. Kunskap om verksamheten minskar också risken för att de krav på säkerhetsåtgärder som finns olika regelverk kommer att motverka varandra. Tillsynsmyndigheten är också redan etablerad inom sektorn och behöver ingen längre för- beredelsetid för att påbörja tillsynsverksamheten. En effektiv tillsyn kräver förtroende mellan tillsynsmyndighet och verksamhet vilket också finns i dag enligt uppgift från referensgruppens deltagare. Ett sådan förtroende bygger på långsiktiga relationer samt kunskap och förståelse för verksamheten.</P>
<P class="p188 ft8">Utredningen ser att det är en fördel att hålla samman normgivning och tillsyn. Leverantörerna omfattas i de flesta fall av såväl natio- nella regleringar som <NOBR>EU-rättsakter.</NOBR> Inom såväl transportsektorn som bank- och finansmarknadsinfrastruktursektorerna finns väl fun- gerande struktur med tillsyn och normgivning på en och samma myn- dighet. Eftersom informationssäkerhet är en del av verksamheten är det särskilt viktigt att erfarenheter från tillsyn och incidenter tas tillvara i föreskriftsarbetet på ett sätt som förbättrar den inre mark- nadens funktion.</P>
<P class="p189 ft8">Det som talar emot att utse flera tillsynsmyndigheter är att till- syn när det gäller säkerhet i nätverk och informationssystem kräver expertkunskap. I dag finns inte den bredd och djup i kompetens som krävs inom alla tillsynsmyndigheter. Utredningen anser att det inom de nu berörda sektorerna är viktigt att höja informationssäker- hetskompetensen och att det därför är rimligt att tillsynsmyndig- heterna skaffar den kompetens som krävs. Det kan innebära att man stärker den egna kompensen eller söker hjälp hos alternativt sam-</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">165</P>
</DIV>
</DIV>
<DIV id="page_166">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336166x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Tillsyn</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p361 ft8">arbetar med andra tillsynsmyndigheter.<SPAN class="ft36">6 </SPAN>Det samarbetsforum som leds av MSB fyller en viktig funktion för att utveckla och stärka kompetensen, se avsnitt 8.5.4. En annan lösning kan vara att anlita konsulter för vissa delar i en tillsyn. Försvarets radioanstalt (FRA) stödjer i dag flera tillsynsmyndigheter i deras tillsynsuppdrag. Det sker inom ramen för FRA:s uppdrag i vilket anges att FRA får lämna stöd till statliga myndigheter och statligt ägda bolag när det gäller informationssäkerhet.<SPAN class="ft36">7 </SPAN>Detta stöd är dock förbehållet verksamheter som hanterar information som bedöms vara känslig från säkerhets- synpunkt eller i ett säkerhets- och försvarspolitiskt avseende.</P>
<P class="p51 ft8">Det går också att argumentera för att välja ett system med en till- synsmyndighet som utövar tillsyn över <NOBR>NIS-direktivets</NOBR> tillämpning. Enligt utredningens mening finns dock i dag ingen självklar myndig- het som skulle kunna utses till en sådan tillsynsmyndighet. NISU 2014 föreslår att MSB ska få ett liknade ansvar när det gäller statliga myndigheter tillsammans med sektorsmyndigheterna. Även i ett så- dant system krävs dock samverkan. Samverkan behöver då ske med sektorsmyndigheterna och andra tillsynsmyndigheter. NISU 2014 hänvisar också till vad som anförs i Riksrevisionens rapport <SPAN class="ft9">Infor- mationssäkerheten i den civila statsförvaltningen </SPAN>(RiR 2014:23) när det gäller att agera i rollen som i tillsynsmyndighet. I rapporten ut- talas följande. <SPAN class="ft36">8</SPAN></P>
<P class="p372 ft13">MSB har ett omfattande uppdrag att stödja samhällets informations- säkerhet, men har inget uppdrag att utöva tillsyn. MSB är därför till stor del beroende av att aktörer lämnar uppgifter frivilligt. Den nät- verksstruktur som MSB delvis grundar sin informationsinhämtning på ger enligt Riksrevisionen en insyn i vilka problem och hot som finns mot samhället i stort. Sättet att inhämta informationen kan dock inne- bära svårigheter för MSB att agera mot myndigheter och företag som deltar i informationsutbytet, eftersom agerandet kan riskera förtro- endet och därmed grunden för informationsinsamlingen.</P>
<P class="p373 ft8">Utredningen konstaterar också att det med hänsyn till den korta tid som utredningen har till sitt förfogande samt att <NOBR>NIS-direktivet</NOBR> ska vara genomfört i svensk rätt senast den 9 maj 2018 inte är möjligt göra några större förändringar i det mandat som de befintliga till-</P>
<P class="p226 ft93"><SPAN class="ft103">6</SPAN><SPAN class="ft104">6 § förvaltningslagen (1986:223) och 6 § andra stycket myndighetsförordningen (2007:515).</SPAN></P>
<P class="p374 ft93"><SPAN class="ft103">7</SPAN><SPAN class="ft104">4 § förordningen (2007:937) med instruktion för Försvarets radioanstalt.</SPAN></P>
<P class="p374 ft38"><SPAN class="ft103">8</SPAN><SPAN class="ft105">Informationssäkerheten i den civila statsförvaltningen, RiR 2014:23 s. 43.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">166</P>
</DIV>
</DIV>
<DIV id="page_167">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336167x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t16">
<TR>
<TD class="tr7 td67"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td68"><P class="p22 ft33">Tillsyn</P></TD>
</TR>
</TABLE>
<P class="p375 ft8">synsmyndigheterna har, genom att utse en myndighet som utövar tillsyn över samtliga sektorer.</P>
<P class="p212 ft8">Utredningen har övervägt olika förslag och har funnit att ett system med en tillsynsmyndighet för varje sektor är mest ändamåls- enligt för en effektiv tillsyn enligt <NOBR>NIS-direktivet.</NOBR> Tillsynsmyndig- hetens kunskap om den verksamhet som är föremål för tillsynen och om annan närliggande reglering medför enligt utredningen att det föreslagna systemet bidrar till en effektiv tillsyn samtidigt som till- synsverksamheten på ett ändamålsenligt sätt bidrar till att höja nivån av säkerhet i nätverk och informationssystem i syfte att förbättra den inre marknadens funktion.</P>
<P class="p11 ft8">Tillsynsmyndigheterna, den nationella kontaktpunkten och <NOBR>CSIRT-enheten</NOBR> ska också samarbeta på ett effektivt och säkert sätt i samarbetsgruppen (artikel 8.5). Det innebär att tillsynsmyndigheter- na ska lämna stöd till Sveriges representant i samarbetsgruppen, MSB, se avsnitt 6.2.2, 7.3.2 och 11.3.3. Detta regleras i den nya för- ordningen som en uppgift för tillsynsmyndigheterna.</P>
<P class="p157 ft11"><SPAN class="ft11">8.5.2</SPAN><SPAN class="ft68">Tillsynsmyndigheter i Sverige</SPAN></P>
<P class="p376 ft8"><SPAN class="ft43">Förslag: </SPAN>Statens energimyndighet ska vara tillsynsmyndighet i energisektorn, Transportstyrelsen i transportsektorn, Finans- inspektionen i sektorerna för bankverksamhet och finansmark- nadsinfrastruktur, Inspektionen för vård och omsorg för hälso- och sjukvårdssektorn, Livsmedelsverket för sektorn leverans och distribution av dricksvatten samt Post- och telestyrelsen för sek- torn digital infrastruktur.</P>
<P class="p377 ft8">Post- och telestyrelsen ska vara tillsynsmyndighet för samtliga typer av digitala tjänster.</P>
<P class="p378 ft8">Medlemsstaterna ska utse en eller flera nationella behöriga myndig- heter som ska övervaka tillämpningen av <NOBR>NIS-direktivet</NOBR> på nationell nivå (artikel <NOBR>8.1–2).</NOBR> De nationella behöriga myndigheterna i Sverige ska utöva tillsyn över direktivets genomförande och tillämpning (tillsynsmyndigheter).</P>
<P class="p379 ft8">Nästa fråga blir då om det finns befintliga tillsynsmyndigheter inom de respektive sektorerna som är lämpliga att utöva tillsyn när det gäller säkerheten i nätverk och informationssystem.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">167</P>
</DIV>
</DIV>
<DIV id="page_168">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336168x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Tillsyn</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p89 ft8">Utredningen har gjort en översiktlig inventering av tillsynsansva- ret när det gäller informationssäkerhet inom de sektorer och del- sektorer som framgår av bilaga 2 till <NOBR>NIS-direktivet.<SPAN class="ft36">9</SPAN></NOBR><SPAN class="ft36"> </SPAN>Inventeringen har gjorts i samverkan med och kvalitetssäkrats av deltagarna i re- ferensgruppen m.fl. Utredningen konstaterar att det inte finns någon tydlig enhetlig struktur som är gemensam för samtliga sektorer. Inom vissa sektorer finns flera tillsynsmyndigheter med olika ansvar, i andra är ansvaret tydligt utpekat och för några enheter saknas till- synsmyndighet.</P>
<P class="p380 ft8">Utredningen har därför valt att utgå från de myndigheter som i dag har</P>
<P class="p161 ft49"><SPAN class="ft64">•</SPAN><SPAN class="ft65">ett tillsynsansvar i sektorn eller i närliggande sektorer även om det i dag inte omfattar tillsyn av informationssäkerhet,</SPAN></P>
<P class="p184 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">kunskap om verksamheten i sektorn,</SPAN></P>
<P class="p185 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">kunskap om sårbarheter, hot och risker inom sektorn,</SPAN></P>
<P class="p183 ft49"><SPAN class="ft64">•</SPAN><SPAN class="ft65">kunskap om befintliga och kommande </SPAN><NOBR>EU-rättsakter</NOBR> inom sektorn och</P>
<P class="p184 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">ansvar för att utfärda föreskrifter.</SPAN></P>
<P class="p186 ft8">En annan utgångspunkt har varit att tillsynsmyndigheten inte själv ska tillhandahålla tjänster som omfattas av <NOBR>NIS-direktivet.</NOBR></P>
<P class="p197 ft8">Utredningen har också utgått från de synpunkter som framförts av deltagarna i referensgruppen. Gruppen har framfört att en till- synsmyndighet bör ha god kunskap om <NOBR>NIS-direktivet,</NOBR> erfarenhet av tillsynsverksamhet, kompetens inom informationssäkerhetsområdet, branschkunskap, kunna granska både form och innehåll samt vara oberoende. En förutsättning för att tillsynsarbetet ska vara effektivt och också ha en förebyggande verkan är att tillsynsmyndigheten kan skapa förtroendefulla relationer.</P>
<P class="p51 ft8">Enligt <NOBR>NIS-direktivet</NOBR> ska säkerställas att tillsynsmyndigheterna upprätthåller informella och tillförlitliga kanaler för informations- utbyte (skäl 59).</P>
<P class="p51 ft8">Mot bakgrund av det som framkommit om befintliga tillsynsmyn- digheter inom sektorerna samt de krav som framförts av referens-</P>
<P class="p381 ft38"><SPAN class="ft37">9 </SPAN>Inventeringen finns tillgänglig i ärende dnr <NOBR>Komm2017/00542-1..</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">168</P>
</DIV>
</DIV>
<DIV id="page_169">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td67"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td68"><P class="p22 ft33">Tillsyn</P></TD>
</TR>
</TABLE>
<P class="p96 ft8">gruppen gör utredningen bedömningen att det finns lämpliga myn- digheter inom samtliga sektorer.</P>
<P class="p114 ft10">Utredningen föreslår att tillsynsansvaret fördelas enligt följande.</P>
<TABLE cellpadding=0 cellspacing=0 class="t26">
<TR>
<TD class="tr12 td53"><P class="p22 ft39">Sektor</P></TD>
<TD class="tr12 td49"><P class="p22 ft39">Tillsynsmyndighet</P></TD>
</TR>
<TR>
<TD class="tr15 td53"><P class="p22 ft10">Energi</P></TD>
<TD class="tr15 td49"><P class="p22 ft10">Statens energimyndighet</P></TD>
</TR>
<TR>
<TD class="tr12 td53"><P class="p22 ft10">Transporter</P></TD>
<TD class="tr12 td49"><P class="p22 ft10">Transportstyrelsen</P></TD>
</TR>
<TR>
<TD class="tr12 td53"><P class="p22 ft10">Bankverksamhet</P></TD>
<TD class="tr12 td49"><P class="p22 ft10">Finansinspektionen</P></TD>
</TR>
<TR>
<TD class="tr12 td53"><P class="p22 ft10">Finansmarknadsinfrastruktur</P></TD>
<TD class="tr12 td49"><P class="p22 ft10">Finansinspektionen</P></TD>
</TR>
<TR>
<TD class="tr12 td53"><P class="p22 ft10">Hälso- och sjukvård</P></TD>
<TD class="tr12 td49"><P class="p22 ft10">Inspektionen för vård och omsorg</P></TD>
</TR>
<TR>
<TD class="tr12 td53"><P class="p22 ft10">Leverans och distribution av</P></TD>
<TD class="tr12 td49"><P class="p22 ft10">Livsmedelsverket</P></TD>
</TR>
<TR>
<TD class="tr2 td53"><P class="p22 ft10">dricksvatten</P></TD>
<TD class="tr2 td49"><P class="p22 ft15"> </P></TD>
</TR>
<TR>
<TD class="tr12 td53"><P class="p22 ft10">Digital infrastruktur</P></TD>
<TD class="tr12 td49"><P class="p22 ft10">Post- och telestyrelsen</P></TD>
</TR>
</TABLE>
<TABLE cellpadding=0 cellspacing=0 class="t27">
<TR>
<TD class="tr12 td53"><P class="p22 ft39">Digitala tjänster</P></TD>
<TD class="tr12 td69"><P class="p22 ft39">Tillsynsmyndighet</P></TD>
</TR>
<TR>
<TD class="tr15 td53"><P class="p22 ft10">Digitala tjänster</P></TD>
<TD class="tr15 td69"><P class="p22 ft10">Post- och telestyrelsen</P></TD>
</TR>
</TABLE>
<P class="p101 ft8">På energiområdet är tillsynsansvaret uppdelat på flera olika myndig- heter. Såväl Energimarknadsinspektionen som Statens energimyndig- het är tillsynsmyndigheter och har etablerade kontaker med el- och gasbranscherna samt kunskap om verksamheten, sårbarheter, hot och risker inom energiområdet. Ingen av de myndigheterna har något utpekat ansvar för informationssäkerhet inom sektorn. Även Affärs- verket svenska kraftnät utövar tillsyn inom sektorn. Verket är dock även en enhet som omfattas av <NOBR>NIS-direktivet.</NOBR></P>
<P class="p58 ft8">Energimarknadsinspektionen har framfört att inspektionen bör bli tillsynsmyndighet för delsektorerna el och gas. Dessa delsektor- er finns ofta i samma koncern och med samma <NOBR>it-system</NOBR> vilket talar för att den som har ansvaret för el även bör ha samma ansvar för gas. Statens energimyndighet har anfört att en myndighet bör få ansvaret för samtliga delsektorer, el, gas och olja, samt att det bör vara Statens energimyndighet.</P>
<P class="p11 ft8">Ett samlat ansvar skulle ge bonuseffekter på andra områden t.ex. krisberedskapsarbetet, arbetet med det civila försvaret och säkerhet- skyddsarbetet. Utredningen anser att både Energimarknadsinspek- tionen och Statens energimyndighet skulle vara lämpliga tillsyns- myndigheter men att det mot bakgrund av tillsynsmyndighetens</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">169</P>
</DIV>
</DIV>
<DIV id="page_170">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Tillsyn</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p116 ft8">uppdrag enligt förslagen i den nya lagen med tillhörande förordning är lämpligast och mest kostnadseffektivt att en myndighet utses till tillsynsmyndighet för en sektor. Utredningen anser att Statens energi- myndighet bör vara tillsynsmyndighet för energisektorn.</P>
<P class="p205 ft8">Finansinspektionen och Transportstyrelsen är i dag tillsynsmyn- digheter med föreskriftsrätt inom de sektorer som omfattas av <NOBR>NIS-direktivet.</NOBR> Båda myndigheterna har kunskap om verksamheten samt sårbarheter, hot och risker inom sektorn.</P>
<P class="p86 ft8">IVO är i dag utpekad tillsynsmyndighet för hälso- och sjukvård och ska som en del av tillsynen pröva klagomål mot hälso- och sjukvården och dess personal när det gäller patientsäkerhet. Social- styrelsen har ansvaret för att utfärda föreskrifter i sektorn och har ett särskilt ansvar för krisberedskap samt är bevakningsansvarig myn- dighet enligt krisberedskapsförordningen. Socialstyrelsen har i dag inget tillsynsansvar. IVO utfärdar verkställighetsföreskrifter men sam- verkar med Socialstyrelsen när det gäller föreskriftsarbete som rör tillsynsområdet. Läkemedelsverket utövar tillsyn enligt bestämmel- serna om medicintekniska produkter. Dessa bestämmelser riktar sig mot tillverkaren av produkten.</P>
<P class="p118 ft8">Socialstyrelsen och Sveriges kommuner och landsting har anfört att IVO bör ha tillsynsansvaret enligt den nya lagen enligt den till- synsstruktur som finns inom sektorn. Utredningen anser att IVO, mot bakgrund av att IVO i dag är utpekad tillsynsmyndighet för sektorn, bör utses till tillsynsmyndighet enligt den nya lagen. Social- styrelsen bör inledningsvis bistå IVO med stöd i föreskriftsarbetet och när det gäller identifieringen av leverantörer som tillhandahåller samhällsviktiga tjänster. Eftersom det befintliga systemet för tillsyn inom hälso- och sjukvården har en gränslinje mellan å ena sidan kun- skapsutveckling, bidragsgivning och normering och å andra sidan tillsyn skulle ett alternativ kunna vara att Socialstyrelsen även när det gäller genomförandet av <NOBR>NIS-direktivet</NOBR> får det normerande an- svaret. Utredningen anser dock att fördelarna med ett enhetligt system och den viktiga samverkan mellan tillsyn, incidenthantering och normering medför att IVO bör vara tillsynsmyndighet.</P>
<P class="p86 ft8">Livsmedelsverket har i dag inget tillsynsansvar inom sektorn leve- rans och distribution av dricksvatten men har tillsynsansvar på andra områden. Verket har också en bred kunskap om säkerhetsarbete inom sektorn liksom kunskap om sårbarheter, hot och risker. Kom- munerna utövar offentlig kontroll över dricksvattenanläggningar och</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">170</P>
</DIV>
</DIV>
<DIV id="page_171">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336171x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td67"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td68"><P class="p22 ft33">Tillsyn</P></TD>
</TR>
</TABLE>
<P class="p88 ft8">kontrollen utövas av den nämnd som fullgör uppgifter inom miljö- och hälsoskyddsområdet. En kommun kan också vara en sådan en- het som omfattas av <NOBR>NIS-direktivet.</NOBR> Länsstyrelserna samordnar kom- munernas verksamhet i länet. Utredningen anser att en myndighet, Livsmedelsverket, ska ha tillsynsansvaret.</P>
<P class="p11 ft8">Post- och telestyrelsen (PTS) har tillsynsansvar enligt lagen om elektronisk kommunikation samt över vissa av de enheter som om- fattas av <NOBR>NIS-direktivet.</NOBR> PTS har också kunskap om verksamheten samt om sårbarheter, hot och risker inom sektorn. PTS bör därför utses till tillsynsmyndighet för hela sektorn digital infrastruktur samt digitala tjänster.</P>
<P class="p11 ft8">I de fall det finns överlappande tillsyn eller tillsyn utövas av två olika myndigheter med stöd av olika bestämmelser finns det inget hinder mot att tillsynen görs i samverkan för att den som är föremål för tillsynen inte ska åsamkas onödiga kostnader, störningar i verk- samheten eller andra påfrestningar.</P>
<P class="p157 ft11"><SPAN class="ft11">8.5.3</SPAN><SPAN class="ft68">Tillsyn m.m.</SPAN></P>
<P class="p382 ft8"><SPAN class="ft43">Förslag: </SPAN>Vid tillsyn ska en leverantör av samhällsviktiga tjänster tillhandahålla tillsynsmyndigheten</P>
<P class="p244 ft49"><SPAN class="ft10">1.</SPAN><SPAN class="ft81">den information som är nödvändig för att bedöma säkerheten i leverantörens nätverk och informationssystem, inbegripet dokumenterade säkerhetsprinciper</SPAN></P>
<P class="p383 ft8"><SPAN class="ft10">2.</SPAN><SPAN class="ft76">bevis för ett effektivt genomförande av säkerhetsprinciper, så- som resultaten av en säkerhetsrevision utförd av tillsynsmyn- digheten eller en auktoriserad revisor och, i det senare fallet, att ge den behöriga myndigheten tillgångtill resultaten, inklu- sive de underliggande bevisen.</SPAN></P>
<P class="p384 ft8">När tillsynsmyndigheten begär sådan information eller bevis ska den uppge syftet med begäran och precisera vilken information som krävs.</P>
<P class="p344 ft8">Tillsynsmyndigheten ska, i den utsträckning det behövs för tillsynen, ha tillträdesrätt till områden, lokaler och andra utrym- men, dock inte bostäder, där verksamhet som omfattas av lagen bedrivs.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">171</P>
</DIV>
</DIV>
<DIV id="page_172">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336172x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Tillsyn</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p385 ft8">Tillsynsmyndigheten ska få förelägga den som står under till- syn att tillhandahålla information i enlighet med skyldigheterna i lagen (2018:000) om informationssäkerhet för vissa tillhanda- hållare av samhällsviktiga tjänster och digitala tjänster. Beträffan- de leverantörer av samhällsviktiga tjänster ska sådant föreläggan- de få meddelas även när det gäller annan information som behövs vid bedömning av om leverantören uppfyller sina skyldigheter. Ett föreläggande ska få förenas med vite.</P>
<P class="p386 ft8">Tillsynsmyndigheten ska ha rätt att få verkställighet hos Kro- nofogdemyndigheten av beslut som avser åtgärder enligt lagen (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster. Då gäller bestämmel- serna i utsökningsbalken om verkställighet av förpliktelser som inte avser betalningsskyldighet eller avhysning.</P>
<P class="p386 ft8">Tillsynsmyndigheten ska samarbeta med och vid behov bistå behöriga myndigheter i andra medlemsstater när det gäller tillsyns- åtgärder mot leverantörer av digitala tjänster.</P>
<P class="p386 ft8">Tillsynsmyndigheten ska samarbeta med och bistå tillsynsmyn- digheter i andra länder i Europeiska unionen när det gäller till- synen över leverantörer av digitala tjänster. Detta bistånd och samarbete får omfatta informationsutbyte mellan de berörda be- höriga myndigheterna och begäranden om att tillsynsåtgärder beträffande leverantörer av digitala tjänster enligt den nya lagen ska vidtas.</P>
<P class="p387 ft8">Tillsynsmyndigheten ska lämna vägledning till leverantörerna av samhällsviktiga tjänster vid tillämpningen av lagen (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsvik- tiga tjänster och digitala tjänster och tillhörande förordning.</P>
<P class="p388 ft8">För att kunna utöva en effektiv tillsyn krävs att tillsynsmyndig- heten får tillgång till den information som behövs samt vid behov tillträde till lokal eller liknande. Bakgrunden till förslagen finns i avsnitt 8.3.</P>
<P class="p247 ft8">För att tillsynsmyndigheten ska kunna utöva en effektiv tillsyn och identifiera brister som behöver åtgärdas, både genom föreläg- ganden och genom nya föreskrifter, ska den ha tillgång till samtliga incidentrapporter för sin sektor. <NOBR>CSIRT-enheten</NOBR> ansvarar för att till respektive tillsynsmyndighet skyndsamt överlämna incidentrapport- erna, se avsnitt 11.2.6.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">172</P>
</DIV>
</DIV>
<DIV id="page_173">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td67"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td68"><P class="p22 ft33">Tillsyn</P></TD>
</TR>
</TABLE>
<P class="p389 ft45">Förelägganden att tillhandahålla information och tillträde till lokal eller liknande som behövs för tillsyn</P>
<P class="p262 ft8">Om en leverantör av samhällsviktiga tjänster inte samarbetar med tillsynsmyndigheten vid tillsynen bör tillsynsmyndigheten kunna meddela de förelägganden som behövs för att förmå leverantören att tillhandahålla information och ge tillträde till lokaler. Rätten till information och tillträde till lokaler bör givetvis endast avse sådan information och sådant tillträde som behövs i tillsynsverksamheten. För att inte åsamka den objektsansvarige större olägenheter än vad som behövs ska tillsynsmyndigheten precisera vilken information som avses samt uppge syftet med begäran. Ett beslut om föreläggande bör kunna förenas med vite. Besluten ska kunna överklagas, se av- snitt 9.10.</P>
<P class="p390 ft8">Om en leverantör av samhällsviktiga tjänster vägrar att ge till- synsmyndigheten tillträde till en lokal eller liknande för undersök- ning kan tvångsåtgärder behöva användas. Att vidta sådana åtgärder ligger inte inom tillsynsmyndighetens befogenheter. Det finns inte anledning att anta att det kommer finnas risk för hot eller handgrip- ligheter i samband med tillsynen enligt de aktuella bestämmelserna. De eventuella hinder som kan uppstå får i stället antas vara av fysiskt art. Det bör därför inte vara behövligt att förordna om att tillsyns- myndigheten ska ha möjlighet till biträde av Polismyndigheten. Till- synsmyndigheten bör i stället kunna begära biträde av Kronofogde- myndigheten.</P>
<P class="p190 ft8">Överväganden och förslag i dessa delar beträffande leverantörer av digitala tjänster finns i avsnitt 10.4.</P>
<P class="p188 ft8">Överväganden och förslag avseende tillsynsmyndighetens möjlig- het att meddela förelägganden om att vidta säkerhetsåtgärder och att incidentrapportera samt om samverkan med Datainspektionen finns i avsnitt 9.5.</P>
<P class="p391 ft106">Bistånd och samarbete med andra medlemsstater angående tillsynsåtgärder mot leverantörer av digitala tjänster</P>
<P class="p392 ft8">Om en leverantör av digitala tjänster har sitt huvudsakliga etable- ringsställe eller en företrädare i en medlemsstat, men dess nätverk och informationssystem är belägna i en eller flera andra medlems- stater, ska den behöriga myndigheten i den medlemsstat där det</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">173</P>
</DIV>
</DIV>
<DIV id="page_174">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Tillsyn</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8">huvudsakliga etableringsstället eller företrädaren finns och de be- höriga myndigheterna i dessa andra medlemsstater samarbeta och vid behov bistå varandra. Detta bistånd och samarbete får omfatta informationsutbyte mellan de berörda behöriga myndigheterna och begäranden om att leverantören av digitala tjänster ska tillhandahålla information eller åtgärda underlåtenhet att vidta säkerhetsåtgärder eller att incidentrapportera. (artikel 17.3). Tillsynsmyndighetens upp- gift i detta avseende bör regleras i förordning.</P>
<P class="p51 ft8">Tillsynsmyndighetens befogenhet att meddela förelägganden för att förmå leverantören att tillhandahålla information har behandlats ovan. Befogenheten att meddela förelägganden vid underlåtenhet att vidta säkerhetsåtgärder eller att incidentrapportera behandlas i avsnitt 9.5.</P>
<P class="p112 ft45">Tillsynsmyndighetens uppdrag i det förebyggande säkerhetsarbetet</P>
<P class="p60 ft8">Mot bakgrund av att syftet med <NOBR>NIS-direktivet</NOBR> är att höja nivån av säkerhet i nätverk och informationssystem anser utredningen att det förebyggande säkerhetsarbetet bör uppmärksammas. Den snabba tekniska utvecklingen, digitalisering, bristande kunskaper om infor- mationssäkerhet samt att det införs en ny reglering innebär att det finns ett stort behov av att leverantörerna kan få tillgång till rådgiv- ning i sitt säkerhetsarbete. Detta har också framhållits av deltagarna i referensgruppen som en viktig del i säkerhetsarbetet.</P>
<P class="p51 ft8">I MSB:s uppdrag ingår ett övergripande ansvar för samhällets informationssäkerhetsarbete, se avsnitt 11.1.5. MSB har bl.a. gett ut ett stort antal publikationer, vägledningar och allmänna råd till före- skrifter. På webbplatsen Informationssäkerhet.se finns stöd för systematiskt arbete med informationssäkerhet, lagar och regler, kom- petensutveckling samt aktuella rapporter och studier. Även CERT.se har en webbplats där det bl.a. finns övergripande information om obligatorisk <NOBR>it-incidentrapportering</NOBR> samt nyhetsrapportering.</P>
<P class="p52 ft8">Utöver den övergripande information och upplysningar som MSB ger finns behov av en mer anpassad rådgivning inom respektive sek- torer utifrån de förutsättningar och den reglering som gäller för sektorn. Utredningen anser att det är tillsynsmyndigheterna som är mest lämpade att ge denna typ av rådgivning. Det kan till exempel avse hur det systematiska informationssäkerhetsarbetet ska bedrivas</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">174</P>
</DIV>
</DIV>
<DIV id="page_175">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336175x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td67"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td68"><P class="p22 ft33">Tillsyn</P></TD>
</TR>
</TABLE>
<P class="p96 ft8">men också hur sektorsspecifika föreskrifter ska tillämpas. Rådgiv- ningen avseende systematiskt arbete bör utgå från det generella material som finns på webbsidan informationssäkerhet.se om inte det finns ett ledningssystem som tillämpas inom sektorn.</P>
<P class="p11 ft8">Både svårigheter att vara objektiv och att hålla isär tillsyn och råd- givning är skäl som talar emot att en och samma myndighet utövar rådgivning och tillsyn. Utredningen delar dock den uppfattning som framförs i betänkandet <SPAN class="ft9">En ny säkerhetsskyddslag </SPAN>(SOU 2015:25) att det går att hålla rådgivningen på en nivå där inte specifika säkerhets- åtgärder föreslås. Tillsynsmyndigheten kan i stället vara ett bollplank där olika åtgärder diskuteras. Då kan tillsynsmyndighetens erfaren- heter från hela sektorn tas tillvara liksom kunskap om sektorns reg- lering avseende informationssäkerhet. Utredningen ser inte att till- synsmyndigheternas ansvar för rådgivning enligt den nya lagen skapar några oklarheter. Ett liknade system finns inom säkerhetsskydds- området sedan många år tillbaka. Vidare bör eventuella otydligheter i lagstiftning och föreskrifter kunna hanteras i det samarbetsforum som utredningen föreslår, se avsnitt 8.5.4.</P>
<P class="p157 ft11"><SPAN class="ft11">8.5.4</SPAN><SPAN class="ft68">Samordnad funktion mellan tillsynsmyndigheterna</SPAN></P>
<P class="p393 ft8"><SPAN class="ft43">Bedömning: </SPAN>Myndigheten för samhällsskydd och beredskap ska inom ramen för sitt nuvarande uppdrag</P>
<P class="p244 ft8"><SPAN class="ft64">•</SPAN><SPAN class="ft34">ha en samlad bild av </SPAN><NOBR>NIS-direktivets</NOBR> genomförande och tillämp- ning i Sverige genom att</P>
<P class="p394 ft8"><SPAN class="ft21">–</SPAN><SPAN class="ft34">leda ett samarbetsforum där samtliga tillsynsmyndigheter ingår</SPAN></P>
<P class="p394 ft49"><SPAN class="ft21">–</SPAN><SPAN class="ft65">ta emot tillsynsmyndigheternas bedömningar av brister i nätverk och informationssystem m.m.</SPAN></P>
<P class="p395 ft8"><SPAN class="ft64">•</SPAN><SPAN class="ft34">tillhandahålla det metodstöd för tillsyn som behövs för en effektiv tillsyn enligt </SPAN><NOBR>NIS-direktivet.</NOBR></P>
<P class="p77 ft8">Utredningen har undersökt behovet av att ha en samordnande funk- tion mellan tillsynsmyndigheterna. Den samordnande funktionens uppgift skulle enligt kommittédirektiven vara att få en samlad bild över <NOBR>EU-direktivets</NOBR> genomförande och tillämpning i Sverige. För</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">175</P>
</DIV>
</DIV>
<DIV id="page_176">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Tillsyn</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8">att få denna bild skulle funktionen behöva få del av samtliga till- synsrapporter.</P>
<P class="p51 ft8">I samarbetsforumets uppgifter bör det ingå att diskutera tillsyns- metoder samt övrigt som forumet finner viktigt att samordna när det gäller säkerhet i nätverk och informationssystem.</P>
<P class="p53 ft45">Samlad bild av <NOBR>NIS-direktivets</NOBR> genomförande och tillämpning</P>
<P class="p166 ft8">När det gäller att få en samlad bild av direktivets genomförande och tillämpning i Sverige utifrån de tillsyner som genomförs är det enligt utredningens bedömning inte nödvändigt att ha tillgång till samtliga detaljer som finns i en tillsynsrapport. Det kan också ifrågasättas om det är lämpligt att samla samtliga tillsynsrapporter hos en myn- dighet, särskilt med hänsyn till kravet på konfidentialitet för vissa uppgifter i tillsynsrapporten. Delgivning av tillsynsrapporterna till en samordnande funktion kan också få negativa konsekvenser för till- synsmyndighetens möjligheter att upprätta förtroliga relationer med de enheter som omfattas av <NOBR>NIS-direktivet</NOBR> eftersom detta innebär att ytterligare en myndighet delges de eventuella brister och sårbar- heter som kommit fram i en tillsyn.</P>
<P class="p51 ft8">En samlad bild av <NOBR>NIS-direktivets</NOBR> genomförande och tillämp- ning i Sverige erhålls enligt utredningens mening bäst dels genom att MSB får i uppdrag att leda ett samarbetsforum där samtliga till- synsmyndigheter ingår, dels genom att tillsynsmyndigheterna vid behov lämnar en samlad bedömning av brister i informationssäker- het i nätverk och informationssystem och andra resultat som kan vara av intresse för tillämpningen av direktivet till MSB. I en samlad bedömning från sektorn kan resultaten från tillsyner analyseras och bearbetas till en nivå som är mer anpassad till syftet att få en samlad bild över <NOBR>NIS-direktivets</NOBR> genomförande och tillämpning i Sverige. Den samlade bedömningen kan också utgöra stöd i MSB:s före- byggande informationssäkerhetsarbete.</P>
<P class="p52 ft8">Information om brister som upptäcks vid tillsyn liksom svårig- heter vid tillämpning och tolkning av direktivet bör framgå av be- dömningen eftersom sådan information är viktig för MSB att känna till i sin roll som nationell kontakpunkt, <NOBR>CSIRT-enhet</NOBR> och repre- sentant i samarbetsgruppen. Det närmare innehållet i den informa-</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">176</P>
</DIV>
</DIV>
<DIV id="page_177">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td67"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td68"><P class="p22 ft33">Tillsyn</P></TD>
</TR>
</TABLE>
<P class="p96 ft8">tion som tillsynsmyndigheter ska lämna bör MSB och tillsynsmyn- digheterna komma överens om.</P>
<P class="p11 ft8">I uppdraget att leda ett samarbetsforum för samtliga tillsynsmyn- digheter bör ingå att uppmärksamma frågor kring tillsynsmetoder och annat som forumet finner viktigt att samordna när det gäller säkerhet i nätverk och informationssystem. Forumet kan t.ex. identi- fiera behovet av vägledningar och diskutera gemensamma frågor om föreskrifter, säkerhetsåtgärder och incidentrapporter m.m. Sam- arbetsforumets uppgifter bör också kunna förändras över tid utifrån tillsynsmyndigheternas och MSB:s behov. Ett väl fungerande sam- arbetsforum bygger på ett aktivt deltagande från både tillsynsmyn- digheterna och MSB. Mot bakgrund av att det kan finnas behov av diskussion och erfarenhetsutbyte om skiftande frågor bör inte heller deltagandet i gruppen begränsas till tillsynsmyndigheterna och MSB. Utredningen anser inte att uppdraget ska författningsregleras.</P>
<P class="p64 ft45">Metodstöd – tillsyn</P>
<P class="p57 ft8">För att få en enhetlig och effektiv tillsyn när det gäller <NOBR>NIS-direk-</NOBR> tivet bör tillsynsmyndigheterna i så stor utsträckning det är möjligt använda samma metod. Behov av samordning mellan tillsynsmyndig- heterna har också framkommit i diskussioner med deltagarna i refe- rensgruppen. MSB:s övergripande ansvar när det gäller samhällets informationssäkerhet och det arbete som MSB utför i dag har lyfts fram som ett bra exempel på sådant stöd.</P>
<P class="p58 ft8">Utredningen anser att MSB bör tillhandahålla ett sådant metod- stöd. Myndigheten har redan i dag har ett brett uppdrag att stödja samhällets informationssäkerhet och har också en väl uppbyggd nätverksstruktur, en övergripande bild av de problem och hot som finns i samhället samt tillgång till incidentrapporterna. MSB har också genom <NOBR>NIS-direktivet</NOBR> fått flera funktioner som kan ta tillvara erfa- renheter från tillsyn i andra medlemsstater.</P>
<P class="p11 ft8">Under utredningens arbete har frågan om den samordnande funk- tionen skulle kunna utformas som tillsynsvägledning lyfts fram. Begreppet används inom miljöområdet och definieras i 3 § miljö- tillsynsförordningen (2011:13) som utvärdering, uppföljning och samordning av operativ tillsyn samt stöd och råd till de operativa tillsynsmyndigheterna. Tillsynsvägledning ska ges i fråga om tillämp-</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">177</P>
</DIV>
</DIV>
<DIV id="page_178">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336178x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Tillsyn</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p396 ft8">ningen av miljöbalken, föreskrifter som meddelats med stöd av miljö- balken och <NOBR>EU-förordningar.</NOBR> Statskontoret har på uppdrag av reger- ingen analyserat den statliga tillsynsvägledningen på miljöområdet.<SPAN class="ft36">10 </SPAN>Utredningen kan konstatera att de centrala myndigheterna med tillsynsvägledningsansvar ska ge tillsynsvägledning inom vissa av sina expertområden, t.ex. ska Affärsverket svenska kraftnät ge tillsyns- vägledning i frågor om dammsäkerhet enligt 11 kap. miljöbalken (3 kap. miljötillsynsförordningen). Statskontorets utvärdering visar på att vägledningskompetensen brister och att kompetens som tidi- gare fanns centralt i dag är mer utspridd och decentraliserad. Stats- kontoret föreslår bl.a. att den frivilliga samverkan som i dag bedrivs</P>
<P class="p397 ft8">ska utvecklas inom samverkansorganet Miljösamverkan Sverige. Utredningens bedömning är att de tillsynsmyndigheter som ut-</P>
<P class="p398 ft8">redningen föreslår är de som närmast kan motsvara de centrala myn- digheterna med tillsynsvägledningsansvar. Att peka ut informations- säkerhet som ett sakområde skiljt från det område inom vilket tjänsten tillhandahålls skulle enligt utredningens bedömning snarare motverka <NOBR>NIS-direktivet</NOBR> syfte än att bidra till en hög gemensam nivå av säkerhet. Utredningen menar att tillsynsmyndigheterna besitter den djupa kunskap om verksamheten och om de risker och hot som finns i sektorn. Samtliga har också tillsynskompetens. Den sam- ordning och metodstöd som behövs för en enhetlig tillsyn bedöms inte motsvara det som avses med tillsynsvägledning och ges därför bäst i det samarbetsforum som utredningen föreslår.</P>
<P class="p165 ft11"><SPAN class="ft11">8.5.5</SPAN><SPAN class="ft68">Myndighetssamverkan m.m.</SPAN></P>
<P class="p273 ft8"><SPAN class="ft43">Bedömning: </SPAN>I de fall en tillsynsmyndighet inte har tillräcklig kom- petens avseende informationssäkerhet bör behovet av sådana resur- ser kunna tillgodoses genom myndighetssamverkan alternativt genom upphandling av resurser med rätt kompetens.</P>
<P class="p275 ft8">I utredningsarbetet har det påpekats av både deltagarna i referens- gruppen och av utredningens experter att det kan komma att krävas kvalificerad informationssäkerhetskompetens för att kunna utföra</P>
<P class="p103 ft38"><SPAN class="ft37">10 </SPAN>Vägledning till en bättre tillsyn, En utvärdering av tillsynsvägledningen på miljöområdet, 2014:17, Statskontoret.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">178</P>
</DIV>
</DIV>
<DIV id="page_179">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336179x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td67"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td68"><P class="p22 ft33">Tillsyn</P></TD>
</TR>
</TABLE>
<P class="p96 ft8">en effektiv tillsyn särskilt när det gäller att bedöma effekterna av de skyldigheter som åligger leverantörerna av samhällsviktiga tjänster.</P>
<P class="p11 ft8">Utredningens bedömning är att det kan bli svårt för samtliga till- synsmyndigheter att initialt upprätthålla en hög specialistkompetens. Utredningen anser dock att det inom de nu berörda sektorerna är viktigt att höja informationssäkerhetskompetensen och att det där- för är rimligt att tillsynsmyndigheterna skaffar den kompetens som krävs. Det kan innebära att man stärker den egna kompensen eller söker hjälp hos, alternativt samarbetar med, andra tillsynsmyndig- heter.<SPAN class="ft36">11 </SPAN>Det samarbetsforum som leds av MSB fyller en viktig funk- tion för att utveckla och stärka kompetensen och myndighetssam- arbetet, se avsnitt 8.5.4.</P>
<P class="p11 ft8">Utredningen anser vidare att myndighetssamarbete på detta om- råde stärker informationssäkerheten på ett bredare område än NIS- direktivets tillämpningsområde. Det bidrar också till en allmän kom- petenshöjning för både tillsynsmyndigheten och den myndighet som lämnar stöd när det gäller informationssäkerhet i samhällsviktiga tjänster och digitala tjänster. Det måste vidare anses ligga i samhällets intresse att använda den expertkompetens som finns på informa- tionssäkerhetområdet för kvalificerade uppgifter utanför den egna myndighetens uppdrag i den utsträckning det är möjligt.</P>
<P class="p58 ft8">En annan lösning kan vara att anlita en extern konsult eller revisor för att under ledning av tillsynsmyndigheten utföra vissa delar i en tillsyn.</P>
<P class="p399 ft38"><SPAN class="ft37">11 </SPAN>6 § förvaltningslagen (1986:223) och 6 § andra stycket myndighetsförordningen (2007:515).</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">179</P>
</DIV>
</DIV>
<DIV id="page_180">
</DIV>
<DIV id="page_181">
<P class="p4 ft7">9 Ingripanden och sanktioner</P>
<P class="p69 ft35"><SPAN class="ft35">9.1</SPAN><SPAN class="ft40">Inledning</SPAN></P>
<P class="p113 ft8">I kapitel 8 behandlas tillsynsmyndigheternas befogenheter. Befogen- heterna syftar till att säkerställa att berörda aktörer följer de bestäm- melser som antas enligt <NOBR>NIS-direktivet.</NOBR> Medlemsstaterna ska emel- lertid också fastställa regler om sanktioner till följd av överträdelser av bestämmelserna och vidta alla nödvändiga åtgärder för att se till att de tillämpas. Sanktionerna ska vara effektiva, proportionella och avskräckande. Medlemsstaterna ska anmäla dessa regler och åtgärder till kommissionen senast den 9 maj 2018 samt utan dröjsmål even- tuella ändringar som berör dem. (artikel 21) I detta avsnitt behand- las frågorna om hur bestämmelser om ingripanden och sanktioner bör utformas.</P>
<P class="p157 ft35"><SPAN class="ft35">9.2</SPAN><SPAN class="ft40">Allmänt om ingripanden vid tillsyn</SPAN></P>
<P class="p113 ft8">I regeringens skrivelse 2009/10:79, <SPAN class="ft9">En tydlig, rättssäker och effektiv tillsyn</SPAN>, redovisar regeringen generella bedömningar för hur en tillsyns- reglering bör vara utformad. När det gäller frågan om tillsyn och sanktioner anges i skrivelsen bland annat följande.</P>
<P class="p11 ft8">När en tillsynsmyndighet vid sin tillsyn konstaterar en brist be- höver myndigheten ha möjlighet att ingripa. Ett ingripande ska vara effektivt och tydligt. Det ska ha inte bara ha ett bestraffande syfte, utan också en framåtsyftande funktion och se till att regler följs i framtiden. Ingripandemöjligheterna bör utformas efter de särskilda förutsättningar som finns inom tillsynsområdet. Om författnings- reglerade möjligheter till ingripanden från tillsynsorganets sida saknas kan tillsynens effektivitet minska.</P>
<P class="p106 ft49">Sanktioner vid tillsyn bör vara proportionerliga i förhållande till de konstaterade bristerna. De olika möjligheter till sanktioner som</P>
<P class="p400 ft18">181</P>
</DIV>
<DIV id="page_182">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Ingripanden och sanktioner</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p226 ft8">är tillgängliga för ett tillsynsorgan bör därför kunna användas vid såväl mindre som mer allvarliga brister i en verksamhet. Ingripan- dena kan då anpassas till den enskilda situationen. Om det saknas möjlighet till mildare ingripanden kan detta leda till att inget ingri- pande sker trots en konstaterad brist, eftersom den som utövar tillsynen inte vill vidta en alltför ingripande åtgärd.</P>
<P class="p86 ft8">Exempel på ingripandemöjligheter är varning, åtgärdsföreläg- gande (som ska kunna förenas med vite), rättelse på den enskildes bekostnad, återkallelse av tillstånd eller att förbud mot fortsatt verk- samhet som inte kräver tillstånd samt sanktionsavgifter.</P>
<P class="p86 ft8">Det finns ingen rättslig definition av begreppet sanktion. Sank- tioner som beslutas av förvaltningsmyndighet i förvaltningsrättslig ordning brukar benämnas administrativa sanktioner. I betänkandet <SPAN class="ft9">Vad bör straffas? </SPAN>(SOU 2013:38) används begreppet administrativa sanktioner som samlad beteckning för sanktionsavgifter, vitesföre- lägganden och vitesförbud samt återkallelse av tillstånd. Beslut om sådana sanktioner kan överklagas till allmän förvaltningsdomstol.</P>
<P class="p86 ft8">I svensk rätt skiljs administrativa sanktioner från påföljder för och annan rättsverkan av brott. Sistnämnda frågor prövas i regel inom ramen för ett brottmål i allmän domstol, av åklagare genom strafföreläggande eller av polisman genom föreläggande av ordnings- bot. Ett brott definieras i svensk rätt som en gärning som är beskriv- en i lag eller annan författning och för vilken straff är föreskrivet. Att en gärning är straffbelagd kan uttryckas som att gärningen är kriminaliserad.</P>
<P class="p87 ft8">Både fysiska och juridiska personer kan bli föremål för admini- strativa sanktioner, men bara fysiska personer kan begå brott och dömas till en brottspåföljd. En näringsidkare kan emellertid i vissa fall åläggas företagsbot för brott som har begåtts i utövningen av näringsverksamheten (36 kap. 7 § brottsbalken).</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">182</P>
</DIV>
</DIV>
<DIV id="page_183">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336183x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td70"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td71"><P class="p22 ft33">Ingripanden och sanktioner</P></TD>
</TR>
</TABLE>
<P class="p401 ft108"><SPAN class="ft35">9.3</SPAN><SPAN class="ft107">Administrativa sanktioner eller straffrättsliga påföljder?</SPAN></P>
<P class="p382 ft8"><SPAN class="ft43">Förslag: </SPAN>Tillsynsmyndigheten ska kunna besluta om administra- tiva sanktioner för överträdelser av bestämmelser i den nya lagen.</P>
<P class="p393 ft8"><SPAN class="ft43">Bedömning: </SPAN>Det saknas anledning att införa bestämmelser om straffansvar för överträdelser av den nya lagen.</P>
<P class="p402 ft8">Åklagarutredningen behandlade i betänkandet <SPAN class="ft9">Ett reformerat åkla- garväsende </SPAN>(SOU 1992:61) vilka närmare kriterier som bör vara sty- rande för att en kriminalisering av ett visst beteende ska vara befogad. Kriterierna var följande.</P>
<P class="p194 ft10"><SPAN class="ft10">1.</SPAN><SPAN class="ft94">Ett beteende kan föranleda påtaglig skada eller fara.</SPAN></P>
<P class="p360 ft8"><SPAN class="ft10">2.</SPAN><SPAN class="ft100">Alternativa sanktioner står inte till buds, skulle inte vara rationella eller skulle kräva oproportionerligt höga kostnader.</SPAN></P>
<P class="p194 ft10"><SPAN class="ft10">3.</SPAN><SPAN class="ft94">En straffsanktion krävs med hänsyn till gärningens allvar.</SPAN></P>
<P class="p360 ft8"><SPAN class="ft10">4.</SPAN><SPAN class="ft100">Straffsanktionen ska utgöra ett effektivt medel för att motverka det icke önskvärda beteendet.</SPAN></P>
<P class="p172 ft8"><SPAN class="ft10">5.</SPAN><SPAN class="ft100">Rättsväsendet ska ha resurser att klara av den eventuellt ytterli- gare belastning som kriminaliseringen innebär.</SPAN></P>
<P class="p403 ft10">Regeringen och riksdagen ställde sig i allt väsentligt bakom dessa kriterier<SPAN class="ft42">1</SPAN>.</P>
<P class="p58 ft8">Därefter har straffrättsanvändningsutredningen i betänkandet <SPAN class="ft9">Vad bör straffas? </SPAN>(SOU 2013:38) övervägt vilka grundläggande krite- rier som ska vara uppfyllda för att kriminalisering ska övervägas<SPAN class="ft36">2</SPAN>. Ett av kriterierna är att det inte får finnas någon alternativ metod som är tillräckligt effektiv för att komma till rätta med det oönskade beteendet. De överväganden som enligt straffrättsanvändningsutred- ningen bör göras är bl.a. om beteendet kan motverkas tillräckligt effektivt med en regel som inte är repressiv, t.ex. en civilrättslig regel om skadestånd. Om det är nödvändigt att införa en repressiv hand-</P>
<P class="p404 ft93"><SPAN class="ft72">1</SPAN><SPAN class="ft92">Prop. 1994/95:23 s. 55 och bet. 1994/95:JuU2.</SPAN></P>
<P class="p309 ft38"><SPAN class="ft72">2</SPAN><SPAN class="ft75">S. 19 f.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">183</P>
</DIV>
</DIV>
<DIV id="page_184">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336184x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Ingripanden och sanktioner</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8">lingsdirigerande regel ska i första hand vite, sanktionsavgift eller återkallelse av tillstånd övervägas. Straff bör väljas i sista hand.</P>
<P class="p51 ft8">Även inom EU har kriterier för kriminalisering diskuterats och 2009 antogs <SPAN class="ft9">Rådets slutsatser om modellbestämmelser som vägledning för rådets överläggningar på det straffrättsliga området</SPAN><SPAN class="ft36">3</SPAN>. En av de slut- satserna är att straffrättsliga bestämmelser som regel ska användas enbart som en sista utväg. Om det verkar finnas behov av att anta nya straffrättsliga bestämmelser bör enligt en annan slutsats hänsyn tas till de straffrättsliga bestämmelsernas förväntade mervärde eller ändamålsenlighet i jämförelse med andra åtgärder och med beaktan- de av möjligheten att med rimliga insatser utreda och lagföra brottet, samt brottets svårighetsgrad och konsekvenser.</P>
<P class="p51 ft8">Målet med bestämmelserna i <NOBR>NIS-direktivet</NOBR> och den nya lagen är att uppnå en hög gemensam nivå på säkerhet i nätverk och in- formationssystem. För att uppnå detta är de aktörer som omfattas av bestämmelserna skyldiga att bl.a. vidta säkerhetsåtgärder och att rapportera incidenter. Syftet med regleringen uppnås enligt utred- ningens bedömning minst lika effektivt med hjälp av administrativa sanktioner som genom införandet av straffansvar. Härtill kommer att en förundersökning på det aktuella området är relativt resurs- krävande. Eventuella överträdelser av bestämmelserna är inte heller så allvarliga att de bör kriminaliseras. Det kan i detta sammanhang nämnas att den som uppsåtligen eller av oaktsamhet vid myndighets- utövning åsidosätter vad som gäller för uppgiften kan dömas för tjänstefel enligt 20 kap 1 § brottsbalken. En arbetstagare som åsido- sätter sina skyldigheter i anställningen kan också åläggas disciplin- påföljd, dvs. löneavdrag eller varning, för tjänsteförseelse enligt lagen (1994:260) om offentlig anställning.</P>
<P class="p52 ft8">Med hänsyn till det nu sagda anser utredningen att de sanktioner som bör komma i fråga för överträdelser av den nya lagens bestäm- melser bör vara av administrativt slag.</P>
<P class="p405 ft38"><SPAN class="ft37">3 </SPAN>Dok. 16542/3/09</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">184</P>
</DIV>
</DIV>
<DIV id="page_185">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336185x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td70"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td71"><P class="p22 ft33">Ingripanden och sanktioner</P></TD>
</TR>
</TABLE>
<P class="p137 ft35"><SPAN class="ft35">9.4</SPAN><SPAN class="ft40">Vilka administrativa sanktioner ska införas?</SPAN></P>
<P class="p171 ft8">Både sanktionsavgift och återkallelse av tillstånd är i huvudsak till- bakaverkande sanktioner som är handlingsdirigerande genom att verka avskräckande. Sanktionsavgifter kan också vara vinstbegränsande. Återkallelse av tillstånd kan även ses som en framåtriktad sanktion, i den mån återkallelsen syftar till att förhindra fortsatt bristande efterlevnad av ett regelverk. Vite är däremot alltid framåtsyftande. Det syftar till att tvinga fram ett önskat agerande eller att få ett på- gående oönskat agerande att upphöra. Först om den vitesålagde inte uppfyller en specificerad skyldighet döms vitet ut.</P>
<P class="p11 ft8">Merparten av de aktörer som omfattas av bestämmelserna i den nya lagen är inte beroende av tillstånd för att bedriva sin verksam- het. Varning eller återkallelse av tillstånd är alltså inte användbara ingripanden i de flesta fall. Med hänsyn till att ett övergripande syfte med bestämmelserna är att säkerställa kontinuiteten i samhällsviktiga tjänster är inte heller förbud mot fortsatt verksamhet ett lämpligt alternativ. De sanktioner som främst bör komma i fråga är enligt ut- redningens mening åtgärdsföreläggande som kan förenas med vite samt sanktionsavgifter.</P>
<P class="p157 ft35"><SPAN class="ft35">9.5</SPAN><SPAN class="ft40">Åtgärdsföreläggande i förening med vite</SPAN></P>
<P class="p242 ft8"><SPAN class="ft43">Förslag: </SPAN>Tillsynsmyndigheten får meddela de förelägganden som behövs för att leverantörer av samhällsviktiga tjänster och leve- rantörer av digitala tjänster ska uppfylla de säkerhetskrav och krav på incidentrapportering som följer av den nya lagen och av föreskrifter som har meddelats i anslutning till den.</P>
<P class="p344 ft8">Innan ett föreläggande meddelas ska tillsynsmyndigheten sam- verka med Datainspektionen.</P>
<P class="p406 ft10">Ett föreläggande får förenas med vite.</P>
<P class="p207 ft8">Utredningen har i avsnitt 8.5.3 bedömt att tillsynsmyndigheten ska få meddela förelägganden vid vite om att den som står under tillsyn ska tillhandahålla information som behövs för tillsynen.</P>
<P class="p106 ft8">Utredningen bedömer att tillsynsmyndigheten bör ha möjlighet att meddela åtgärdsförelägganden i enskilda fall även när det gäller säkerhetskrav och krav på incidentrapportering.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">185</P>
</DIV>
</DIV>
<DIV id="page_186">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Ingripanden och sanktioner</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p85 ft8">Enligt artikel 15.4 i <NOBR>NIS-direktivet</NOBR> ska tillsynsmyndigheten sam- arbeta med dataskyddsmyndigheter när den hanterar incidenter hos leverantörer av samhällsviktiga tjänster som medför personuppgifts- incidenter. Innan ett föreläggande mot en leverantör av samhälls- viktiga tjänster meddelas ska tillsynsmyndigheten därför samverka med Datainspektionen. Det bör t.ex. kontrolleras att ett krav på att vidta en viss säkerhetsåtgärd inte motverkar åtgärder till stöd för en säker personuppgiftsbehandling. En bestämmelse som reglerar denna samverkan bör tas in i förordning.</P>
<P class="p205 ft8">Mot bakgrund av <NOBR>NIS-direktivets</NOBR> krav på att det ska finnas effek- tiva, proportionella och avskräckande sanktioner bör åtgärdsföre- lägganden kunna förenas med vite.</P>
<P class="p205 ft8">När vite föreläggs, ska det enligt 3 § lagen (1985:206) om viten (viteslagen) fastställas till ett belopp som med hänsyn till vad som är känt om adressatens ekonomiska förhållanden och till omständig- heterna i övrigt kan antas förmå honom att följa det föreläggande som är förenat med vitet. Med omständigheterna i övrigt avses bl.a. kostnaderna för föreläggandets fullgörande och omfattningen av de åtgärder som krävs. Beloppet bör vidare bestämmas med hänsyn till hur angeläget det är att föreläggandet följs. Om föreläggandet avser att tillgodose ett betydelsefullt samhällsintresse kan ett högre belopp vara motiverat. Myndigheterna kan emellertid inom ramen för 3 § viteslagen bestämma hur högt eller lågt belopp som helst.</P>
<P class="p118 ft8">Vitet ska som huvudregel fastställas till ett bestämt belopp. Om det är lämpligt med hänsyn till omständigheterna, får vite dock en- ligt 4 § viteslagen föreläggas som löpande vite. Vitet bestäms då till ett visst belopp för varje tidsperiod av viss längd under vilken före- läggandet inte har följts eller, om föreläggandet avser en återkom- mande förpliktelse, för varje gång adressaten underlåter att fullgöra denna.</P>
<P class="p407 ft8">Om ett föreläggande inte följs kan myndigheten behöva upprepa föreläggandet. Det kan i dessa fall vara lämpligt att höja vitesbe- loppet.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">186</P>
</DIV>
</DIV>
<DIV id="page_187">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336187x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td70"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td71"><P class="p22 ft33">Ingripanden och sanktioner</P></TD>
</TR>
</TABLE>
<P class="p137 ft35"><SPAN class="ft35">9.6</SPAN><SPAN class="ft40">Sanktionsavgift</SPAN></P>
<P class="p408 ft11"><SPAN class="ft11">9.6.1</SPAN><SPAN class="ft68">Sanktionsavgift införs för överträdelser av vissa bestämmelser i den nya lagen</SPAN></P>
<P class="p382 ft8"><SPAN class="ft43">Förslag: </SPAN>Sanktionsavgift ska meddelas mot den som underlåter att vidta säkerhetsåtgärder eller att incidentrapportera enligt lagen.</P>
<P class="p406 ft10">Avgiften ska tillfalla staten.</P>
<P class="p77 ft8">En sanktionsavgift är en ekonomisk sanktion som vanligen riktar sig mot en konstaterad överträdelse av en författningsbestämmelse. Sanktionsavgifter anses inte ingå i det straffrättsliga systemet och det finns därför i princip inga krav på att avgiften ska utformas i enlighet med de allmänna principer som gäller för straffrätten.</P>
<P class="p12 ft8">Sanktionsavgifter kan vara ett alternativ till straff. Ett system med sanktionsavgifter används ofta för att åstadkomma ett enklare och snabbare beivrande av regelbrott. Många gånger ges därför en myndighet rätt att som första instans besluta om sanktionsavgifter.</P>
<P class="p106 ft8">En sanktionsavgift bör knyta an till ett enkelt, objektivt och lätt konstaterbart faktum. Sanktionsavgifter bedöms inte vara lämpliga när det krävs mer omfattande bedömningar för att avgöra om lag- stiftningen följs i det enskilda fallet<SPAN class="ft36">4</SPAN>.</P>
<P class="p11 ft8">Som huvudregel är det antingen en tillsynsmyndighet eller dom- stol, efter ansökan från tillsynsmyndigheten, som beslutar om uttag av sanktionsavgiften och dess storlek. Vanligtvis tillämpas ett strikt ansvar och vid fastställandet av avgiften används oftast schabloner. Sanktionsavgiften anses till följd av dessa omständigheter möjliggöra ett enklare, snabbare och effektivare beivrande av regelbrott jämfört med det straffrättsliga förfarandet.</P>
<P class="p11 ft8">Regleringen med en särskild avgift som tas ut av regelöverträdare har ansetts tillgodose unionsrättsliga krav på effektiva, proportioner- liga och avskräckande sanktioner<SPAN class="ft36">5</SPAN>.</P>
<P class="p58 ft8">Utformningen av en sanktionsavgift vid tillsyn bör enligt reger- ingens skrivelse 2009/10:79, <SPAN class="ft9">En tydlig, rättssäker och effektiv tillsyn</SPAN>, uppfylla de principer som angavs i förarbetena till bestämmelsen om</P>
<P class="p409 ft93"><SPAN class="ft72">4</SPAN><SPAN class="ft92">Prop. 1981/82:142.</SPAN></P>
<P class="p309 ft38"><SPAN class="ft72">5</SPAN><SPAN class="ft75">Se prop. 2004/05:158 s. 142 f., prop. 2005/06:140 s. 75 ff. och prop. 2006/07:65 s. 226 ff.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">187</P>
</DIV>
</DIV>
<DIV id="page_188">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336188x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Ingripanden och sanktioner</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p361 ft8">förverkande i 36 kap. 4 § brottsbalken<SPAN class="ft36">6</SPAN>. Enligt dessa principer bör sanktionsavgifter användas inom områden där regelöverträdelser är särskilt frekventa eller där det föreligger speciella svårigheter med att beräkna storleken av den vinst eller besparing som uppnås i det en- skilda fallet. Avgifter bör vidare endast förekomma inom speciella och klart avgränsade rättsområden där det relativt lätt kan fastställas om en överträdelse skett eller inte. Sanktionsavgifter bör kunna be- räknas utifrån parametrar som gör det möjligt att i förväg förutse och fastställa avgiftens storlek. Om avgiftsskyldigheten ska bygga på ett strikt ansvar bör förutsättas att det finns starkt stöd för en presumtion om att överträdelser inte kan förekomma annat än som en följd av uppsåt eller oaktsamhet. Det kan även behöva göras av- steg från principen om ett strikt ansvar.</P>
<P class="p410 ft8">I skrivelsen hänvisar regeringen vidare till tillsynsutredningens betänkande <SPAN class="ft9">Förslag om en tydligare och effektivare offentlig tillsyn</SPAN></P>
<P class="p411 ft10">(SOU 2004:100)<SPAN class="ft42">7</SPAN>. Där anges att sanktionsavgifter spelar en viktig roll inom de tillsynsområden där de förekommer och att avgifterna har en utformning som är specifikt avpassad till förhållandena inom respektive tillsynsområde. Det uttalas vidare att sanktionsavgifter bör ses som ett komplement till övriga ingripandemöjligheter.</P>
<P class="p412 ft8">Utredningen bedömer att sanktionsavgifter bör införas som ett komplement till möjligheten att meddela åtgärdsföreläggande när det gäller underlåtenhet att vidta säkerhetsåtgärder samt incident- rapportera.</P>
<P class="p52 ft8">Underlåtenhet att incidentrapportera är förhållandevis lätt att kon- statera, även om det beträffande incidentrapporteringen krävs en bedömning av om en incident haft en betydande inverkan på kon- tinuiteten i den tillhandahållna tjänsten.</P>
<P class="p51 ft8">När det gäller skyldigheten att vidta säkerhetsåtgärder kan det vara svårare att bedöma en eventuell underlåtenhet, bl.a. eftersom en aktörs skyldighet att vidta säkerhetsåtgärder är kopplad till den risk som hotar säkerheten. Mot bakgrund särskilt av syftet med reg- leringen är säkerhetsbrister emellertid oacceptabla. Det är därför av stor vikt att en så pass ingripande sanktionsmöjlighet som sanktions- avgift finns att tillgå.</P>
<P class="p413 ft93"><SPAN class="ft103">6</SPAN><SPAN class="ft104">Prop. 1981/82:142 s. 77.</SPAN></P>
<P class="p374 ft38"><SPAN class="ft103">7</SPAN><SPAN class="ft105">S. 190.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">188</P>
</DIV>
</DIV>
<DIV id="page_189">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336189x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td70"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td71"><P class="p22 ft33">Ingripanden och sanktioner</P></TD>
</TR>
</TABLE>
<P class="p63 ft8">Bestämmelsen bör vara obligatorisk, dvs. utformas så att tillsyns- myndigheten ska besluta om sanktionsavgift när förutsättningarna för det är uppfyllda. Med hänsyn till principer om likabehandling, objektivitet och proportionalitet bör tillsynsmyndighetens möjlig- heter till mer skönsmässiga bedömningar vara begränsade.<SPAN class="ft36">8 </SPAN>Tillsyns- myndigheten bör dock ha möjlighet att under vissa förutsättningar efterge sanktionsavgiften helt eller delvis, se avsnitt 9.6.6.</P>
<P class="p114 ft10">Sanktionsavgiften ska tillfalla staten.</P>
<P class="p157 ft11"><SPAN class="ft11">9.6.2</SPAN><SPAN class="ft68">Sanktionsavgift och normgivning</SPAN></P>
<P class="p414 ft10"><SPAN class="ft39">Förslag: </SPAN>Bestämmelser om sanktionsavgift ska tas in i lag.</P>
<P class="p207 ft8">Enligt 8 kap. 2 § första stycket 2 regeringsformen ska föreskrifter meddelas genom lag om de avser förhållandet mellan enskilda och det allmänna. Detta gäller under förutsättning att föreskrifterna gäller skyldigheter för enskilda eller i övrigt avser ingrepp i enskildas per- sonliga eller ekonomiska förhållanden. Enligt 3 § regeringsformen kan riksdagen bemyndiga regeringen att meddela föreskrifter enligt denna punkt. Föreskrifterna får dock inte avse annan rättsverkan av brott än böter.</P>
<P class="p11 ft8">I tidigare lagstiftningsärenden har det ansetts att sanktionsav- gifter kan jämställas med böter. Detta talar för att normgivningen ska ha lagform, men med möjlighet att bemyndiga regeringen att meddela närmare föreskrifter.<SPAN class="ft36">9 </SPAN>Utredningen bedömer mot denna bakgrund att bestämmelser om sanktionsavgift ska tas in i lag.</P>
<P class="p415 ft93"><SPAN class="ft72">8</SPAN><SPAN class="ft92">Wiweka </SPAN><NOBR>Warnling-Nerep,</NOBR> Sanktionsavgifter – särskilt i näringsverksamhet, s. 192 ff.</P>
<P class="p416 ft110"><SPAN class="ft72">9</SPAN><SPAN class="ft109">Wiweka </SPAN><NOBR>Warnling-Nerep,</NOBR> Sanktionavgifter – särskilt i näringsverksamhet, s. 116; Om sank- tionsavgifter vid överträdelser av import- och exportregleringar, prop. 1983/84:192 s. 44 och Sanktionsväxling – effektivare sanktioner på exportkontrollområdet, SOU 2014:83 s. 103.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">189</P>
</DIV>
</DIV>
<DIV id="page_190">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336190x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Ingripanden och sanktioner</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p179 ft11"><SPAN class="ft11">9.6.3</SPAN><SPAN class="ft68">Tillsynsmyndigheten ska besluta om sanktionsavgift</SPAN></P>
<P class="p417 ft10"><SPAN class="ft39">Förslag</SPAN>: Tillsynsmyndigheten ska besluta om sanktionsavgift.</P>
<P class="p418 ft8">Beslut om sanktionsavgift fattas som huvudregel av en tillsynsmyn- dighet eller av domstol efter ansökan från tillsynsmyndigheten.</P>
<P class="p51 ft8">Utredningen bedömer att det bör vara tillsynsmyndigheten som bestämmer om sanktionsavgift för överträdelse av sagda bestämmelser i den nya lagen ska tas ut i det enskilda fallet. Tillsynsmyndigheten bör också bestämma hur hög avgiften i så fall ska vara. En fördel med att myndigheten fattar beslutet är att handläggningen blir snab- bare eftersom inte flera myndigheter måste involveras i hanteringen. Det är vidare tillsynsmyndigheten som har bäst förutsättningar att bedöma om en aktör har underlåtit att följa regelverket. Tillsyns- myndigheten kommer att vara väl förtrogen med det regelverk som sanktioneras och ha goda förutsättningar att upptäcka regelöver- trädelser.</P>
<P class="p111 ft8">I detta sammanhang bör även nämnas den undersökning som krigsmaterielexportöversynskommittén har gjort av hur sanktions- avgifter fungerar i dag.<SPAN class="ft36">10 </SPAN>Kommittén konstaterar att användnings- frekvensen för sanktionsavgifter är betydligt högre hos de myndig- heter som själva kan fatta beslutet jämfört med hos de myndigheter som måste ansöka hos domstol. Av de sanktionsavgiftsbeslut som meddelas direkt av en myndighet är det enligt kommittén överlag få som överklagas till domstol och i de fall överklagande sker är ändringsfrekvensen också låg.</P>
<P class="p165 ft11"><SPAN class="ft11">9.6.4</SPAN><SPAN class="ft68">Sanktionsavgiftens storlek</SPAN></P>
<P class="p419 ft8"><SPAN class="ft43">Förslag: </SPAN>Sanktionsavgiften ska bestämmas till lägst 5 000 kr och som högst till 10 miljoner kr.</P>
<P class="p275 ft8">Sanktionsavgifter kan vara utformade som på förhand bestämda be- lopp, oavsett vem som begått överträdelsen, eller vara kopplade till årsomsättning i näringsverksamhet.</P>
<P class="p420 ft38"><SPAN class="ft37">10 </SPAN>Sanktionsväxling – effektivare sanktioner på exportkontrollområdet (SOU 2014:83) s. 104.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">190</P>
</DIV>
</DIV>
<DIV id="page_191">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336191x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t16">
<TR>
<TD class="tr7 td70"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td71"><P class="p22 ft33">Ingripanden och sanktioner</P></TD>
</TR>
</TABLE>
<P class="p63 ft8">De sanktioner som medlemsstaterna ska införa ska vara effektiva, proportionerliga och avskräckande. Den nya lagens bestämmelser kommer att omfatta såväl myndigheter som privata aktörer. Aktör- erna kommer att skilja sig mycket från varandra vad gäller t.ex. stor- lek och ekonomiska förutsättningar. Detta innebär att vad som upp- levs som en avskräckande avgift av en aktör med måttliga ekonomiska resurser kan framstå som i det närmaste obetydlig för en aktör med stora resurser. Skillnaderna kommer att finnas mellan aktörer i olika sektorer såväl som mellan aktörer inom samma sektor.</P>
<P class="p212 ft8">Med hänsyn främst till att vissa aktörer som omfattas av bestäm- melserna är myndigheter bedömer utredningen att det inte är lämp- ligt att koppla sanktionsavgiften till omsättning, utan att ett system med bestämda beloppsintervall är att föredra. För att uppfylla kravet på effektiva, proportionerliga och avskräckande sanktioner bör inter- vallet för sanktionsavgiften vara förhållandevis stort. Tillsynsmyn- digheten får då möjlighet att göra en nyanserad bedömning när av- giftens storlek ska bestämmas.</P>
<P class="p212 ft8">Vid bestämmandet av vilka beloppsintervall som bör gälla finns det skäl att titta på vad som gäller enligt andra regelverk.</P>
<P class="p211 ft8">Från och med den 25 maj 2018 ska EU:s medlemsstater tillämpa Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behand- ling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsför- ordning). Dataskyddsförordningen innehåller <NOBR>EU-gemensamma</NOBR> reg- ler för personuppgiftsbehandling och kommer att utgöra grunden för generell personuppgiftsbehandling inom EU. Förordningen kom- mer att ersätta den svenska personuppgiftslagen. En särskild utredare har fått i uppdrag att föreslå de anpassningar och kompletterande författningsbestämmelser på generell nivå som förordning ger anled- ning till<SPAN class="ft36">11</SPAN>. Uppdraget ska redovisas senast den 12 maj 2017.</P>
<P class="p212 ft8">Vid överträdelse av dataskyddsförordningen kan sanktionsavgift tas ut enligt två nivåer – en lägre nivå vid överträdelser som betrak- tas som mindre allvarliga och en högre nivå vid allvarligare över- trädelser och underlåtenhet att följa förelägganden eller beslut av tillsynsmyndigheten eller att på annat sätt bistå den. För de olika nivå- erna gäller maximibelopp på 10 miljoner euro respektive 20 miljoner</P>
<P class="p421 ft38"><SPAN class="ft37">11 </SPAN>Dataskyddsutredningen, Ju 2016:04, dir 2016:15.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">191</P>
</DIV>
</DIV>
<DIV id="page_192">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336192x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Ingripanden och sanktioner</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8">euro alternativt en procentsats av den totala globala årsomsättningen. Något minimibelopp anges inte.</P>
<P class="p51 ft8">Även Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att före- bygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF ålägger medlems- staterna att föreskriva effektiva, proportionella och avskräckande sanktioner för överträdelser av bestämmelser som antas enligt det direktivet. Direktivet innehåller regler om skydd av personuppgifter när behöriga myndigheter behandlar sådana uppgifter vid brottsbe- kämpning, brottmålshantering eller straffverkställighet. Regeringen har i mars 2016 tillsatt en utredning som ska föreslå hur direktivet ska genomföras i svensk rätt.<SPAN class="ft36">12 </SPAN>Ett delbetänkande, <SPAN class="ft9">Brottsdatalag </SPAN>(SOU 2017:29), överlämnades den 5 april 2017. Uppdraget ska slut- redovisas senast den 30 september 2017.</P>
<P class="p51 ft8">Inom svensk lagstiftning finns i dag sanktionsavgifter på bl.a. miljöområdet och arbetsmiljöområdet. De högsta respektive lägsta belopp som kan beslutas inom dessa områden är 1 000 respektive 1 miljon kr, dvs. långt ifrån de belopp som anges i dataskyddsför- ordningen. Ett annat exempel är att Finansinspektionen, enligt lagen (2004:297) om bank- och finansieringsrörelse, får besluta om sank- tionsavgift som ska fastställas till högst tio procent av kreditinsti- tutets omsättning alternativt två gånger den vinst som institutet har erhållit till följd av regelöverträdelsen eller två gånger de kostnader som institutet har undvikit till följd av regelöverträdelsen.</P>
<P class="p52 ft8">Ytterligare en jämförelse kan göras med de belopp som gäller för företagsbot. För sådan bot är minimibeloppet 5 000 kr och maximi- beloppet 10 miljoner kr. Utredningen om vissa frågor om företags- bot har emellertid i betänkandet <SPAN class="ft9">En översyn av lagstiftningen om företagsbot </SPAN>(SOU 2016:82), föreslagit att företagsboten ska kunna uppgå till 100 miljoner kronor. Förslaget lämnas mot bakgrund av att det enligt den utredningen är uppenbart att det finns situationer där ett belopp om 10 miljoner kronor framstår som ett alldeles för lågt belopp för att vara en tillräckligt kännbar sanktion. Det fram- hålls också att det faktum att motsvarande maximibelopp i flera</P>
<P class="p422 ft38"><SPAN class="ft37">12 </SPAN>Utredningen om 2016 års dataskyddsdirektiv, Ju 2016:06, dir. 2016:21.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">192</P>
</DIV>
</DIV>
<DIV id="page_193">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336193x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td70"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td71"><P class="p22 ft33">Ingripanden och sanktioner</P></TD>
</TR>
</TABLE>
<P class="p88 ft8">andra europeiska länder är avsevärt högre talar för att det svenska maximibeloppet är för lågt. Betänkandet bereds för närvarande i reger- ingskansliet.</P>
<P class="p106 ft8">Utredningen bedömer att det är rimligt att det lägsta belopp som kan beslutas i sanktionsavgift är 5 000 kr, dvs. vad som i dag utgör lägsta belopp vid åläggande av företagsbot.</P>
<P class="p11 ft8">För att sanktionsavgiften ska få en tillräckligt avskräckande effekt för alla aktörer som kommer att omfattas av den nya lagens bestäm- melser krävs att maximibeloppet sätts relativt högt. En för låg sank- tionsnivå kan t.ex. medföra att företag räknar in avgiften som en ren affärskostnad. Det är enligt utredningens menig emellertid inte aktuellt med belopp i den storleksordning som kommer att gälla för överträdelser av dataskyddsförordningen. Utredningen bedömer att beloppet i stället bör korrespondera med vad som i dag gäller i svensk rätt. Det är enligt utredningens mening rimligt att även maximi- beloppet motsvarar det belopp som högst kan åläggas genom före- tagsbot, dvs. 10 miljoner kr.</P>
<P class="p157 ft11"><SPAN class="ft11">9.6.5</SPAN><SPAN class="ft68">Sanktionsavgiftens bestämmande i det enskilda fallet</SPAN></P>
<P class="p423 ft8"><SPAN class="ft43">Förslag: </SPAN>När sanktionsavgiftens storlek bestäms ska hänsyn tas till samtliga relevanta omständigheter. Särskild hänsyn ska tas till den skada eller risk för skada som uppstått till följd av regelöver- trädelsen, om leverantören tidigare har begått en överträdelse samt de kostnader som leverantören undvikit till följd av över- trädelsen.</P>
<P class="p424 ft8"><SPAN class="ft43">Bedömning: </SPAN>Det ska inte krävas uppsåt eller oaktsamhet för att sanktionsavgift ska kunna tas ut.</P>
<P class="p77 ft8">Huvudregeln vid användande av sanktionsavgift är att avgiftsskyl- digheten ska bygga på strikt ansvar<SPAN class="ft36">13</SPAN>. Beträffande de aktuella över- trädelserna bedömer utredningen att det finns ett starkt stöd för en presumtion om att överträdelser inte kan förekomma annat än som en följd av uppsåt eller oaktsamhet. Utredningen bedömer därför</P>
<P class="p425 ft38"><SPAN class="ft37">13 </SPAN>Se t.ex. betänkandet <SPAN class="ft89">Vad bör straffas? </SPAN>SOU 2013:38 s. 544.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">193</P>
</DIV>
</DIV>
<DIV id="page_194">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336194x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Ingripanden och sanktioner</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8">att det inte finns anledning att frångå huvudregeln om strikt ansvar när det gäller den nya lagen.</P>
<P class="p51 ft8">Lagrådet har med hänvisning till huvudregeln om strikt ansvar uttalat att lagtext inte behöver innehålla någon upplysning om att uppsåt eller oaktsamhet inte krävs för att sanktionsavgift ska kunna dömas ut. En särskild angivelse av detta, som skett i ett antal lagar, riskerar enligt lagrådet att i stället för att vara klargörande skapa osäkerhet om vad som gäller närt någon sådan angivelse inte finns<SPAN class="ft36">14</SPAN>. Utredningen bedömer mot denna bakgrund att det inte behöver anges i lagtext att sanktionsavgift får tas ut även om en överträdelse inte har skett uppsåtligen eller av oaktsamhet.</P>
<P class="p51 ft8">När storleken på sanktionsavgiften ska bestämmas i det enskilda fallet bör hänsyn tas till alla relevanta omständigheter. Det är inte möjligt att i lagen ange samtliga relevanta omständigheter som kan behöva beaktas i enskilda fall. Utredningen bedömer dock att lagen bör innehålla en bestämmelse som anger omständigheter som sär- skilt ska beaktas. De omständigheter som är särskilt viktiga att beakta och som alltså bör tas in i lagen är enligt utredningens mening den skada eller risk för skada som uppstått till följd av överträdelsen, om aktören tidigare har begått en överträdelse samt de kostnader som aktören undvikit till följd av regelöverträdelsen.</P>
<P class="p52 ft8">Exempel på omständigheter som kan komma att påverka belop- pets storlek men som enligt utredningens mening inte behöver tas in i lagen är hur länge överträdelsen pågått. Om aktören tidigare gjort sig skyldig till överträdelse av lagen kan det bli aktuellt att beakta om överträdelserna är likartade samt den tid som har gått mellan de olika överträdelserna. Det kan också vara relevant att beakta be- stämmelsens betydelse för tillsynsområdet. Vissa omständigheter kan det finnas anledning att beakta i mildrande riktning. Att en aktör samarbetat med tillsynsmyndigheten för att komma till rätta med överträdelser kan vara en sådan omständighet<SPAN class="ft36">15</SPAN>.</P>
<P class="p426 ft111"><SPAN class="ft72">14</SPAN><SPAN class="ft92">Prop. 2012/13:55 – </SPAN>Ny lag om kontroll av ekologisk produktion <SPAN class="ft93">s. 139 ff.</SPAN></P>
<P class="p92 ft38"><SPAN class="ft72">15</SPAN><SPAN class="ft105">Jfr t.ex. 15 kap. lagen (2004:297) om bank- och finansieringsrörelse och prop. 2016/17:22 s. 220 f.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">194</P>
</DIV>
</DIV>
<DIV id="page_195">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336195x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td70"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td71"><P class="p22 ft33">Ingripanden och sanktioner</P></TD>
</TR>
</TABLE>
<P class="p137 ft11"><SPAN class="ft11">9.6.6</SPAN><SPAN class="ft68">Jämkning och eftergift</SPAN></P>
<P class="p339 ft8"><SPAN class="ft43">Förslag: </SPAN>Sanktionsavgiften får efterges helt eller delvis om över- trädelsen är ringa eller ursäktlig eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut avgiften.</P>
<P class="p77 ft8">Att avgiftsskyldigheten bygger på strikt ansvar innebär mot bak- grund av de krav som följer av Europakonventionen att det behöver finnas en möjlighet för tillsynsmyndigheten att underlåta att besluta om sanktionsavgift. Det bör därför införas en bestämmelse som ger tillsynsmyndigheten utrymme att jämka eller helt efterge avgiften i fall där det inte framstår som rimligt och proportionerligt att ta ut avgift. Tillsynsmyndigheten bör i det enskilda fallet göra en nyan- serad bedömning av om omständigheterna ger anledning till jämkning eller eftergift. Omständigheter som kan ha betydelse kan t.ex. vara överträdelsens allvarlighet och om aktören gjort rättelse. En annan situation som kan innebära att det framstår som oskäligt att besluta om sanktionsavgift är om en aktör drabbas av sanktionsavgift enligt något annat regelverk för i princip samma brist. Bestämmelser om säkerhetsåtgärder och sanktionsavgifter för den som bryter mot dessa bestämmelser finns t.ex. i den tidigare nämnda dataskyddsförord- ningen.<SPAN class="ft36">16 </SPAN>Det skulle också kunna uppstå situationer där en aktör på grund av avtal med t.ex. en underleverantör blir skyldig att betala skadestånd till följd av en brist som sanktioneras genom den nya lagens bestämmelser. Även i dessa fall skulle det kunna anses oskäligt att meddela beslut om sanktionsavgift.</P>
<P class="p343 ft11"><SPAN class="ft11">9.6.7</SPAN><SPAN class="ft68">Hinder mot sanktionsavgift</SPAN></P>
<P class="p423 ft8"><SPAN class="ft43">Förslag: </SPAN>Tillsynsmyndigheten får inte ingripa med sanktionsav- gift om överträdelsen omfattas av ett föreläggande om vite och överträdelsen ligger till grund för en ansökan om utdömande av vitet.</P>
<P class="p427 ft110"><SPAN class="ft112">16 </SPAN>Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">195</P>
</DIV>
</DIV>
<DIV id="page_196">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336196x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Ingripanden och sanktioner</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8">Regeringen har i flera lagstiftningsärenden konstaterat att begreppet straff i den mening som avses i Europakonventionen får anses om- fatta även t.ex. vite<SPAN class="ft36">17</SPAN>. Om ett vite har dömts ut bör det därför inte vara möjligt att besluta om en sanktion – administrativ eller straff- rättslig – för samma sak. Den avgörande tidpunkten för när sådant hinder uppkommer bör enligt vad regeringen nyligen uttalat anses vara när det inleds en domstolsprocess angående frågan om utdömande av vite. Ett föreläggande om vite bör därför inte hindra ett senare ingripande så länge som tillsynsmyndigheten inte har ansökt om ut- dömande av vitet. I den situationen bör dock tillsynsmyndigheten vara förhindrad att ingripa mot en överträdelse som omfattas av vitesföreläggandet<SPAN class="ft36">18</SPAN>. En bestämmelse om detta bör tas in i lagen.</P>
<P class="p165 ft11"><SPAN class="ft11">9.6.8</SPAN><SPAN class="ft68">Förfarandet vid beslut om sanktionsavgift</SPAN></P>
<P class="p336 ft8"><SPAN class="ft43">Förslag: </SPAN>Ett beslut om sanktionsavgift ska vara skriftligt och inne- hålla skälen för beslutet.</P>
<P class="p274 ft8">Innan tillsynsmyndigheten beslutar om sanktionsavgift ska den som beslutet kommer att riktas mot ges tillfälle att yttra sig.</P>
<P class="p274 ft49">Sanktionsavgift får inte beslutas om den som anspråket riktas mot inte har getts tillfälle att yttra sig inom två år efter överträ- delsen.</P>
<P class="p428 ft8">För att rimliga krav på rättssäkerhet ska tillgodoses ska ett beslut om sanktionsavgift inte kunna komma i fråga förrän omständigheterna kring överträdelsen har utretts och den som beslutet avser att gälla har fått möjlighet att ta del av utredningen i ärendet och yttra sig över den.<SPAN class="ft36">19 </SPAN>Aktörens möjlighet i detta avseende är en förutsättning för att relevanta omständigheter ska bli kända för tillsynsmyndig- heten och därmed för materiellt riktiga beslut och för förtroende för systemet.</P>
<P class="p111 ft8">Ett beslut om sanktionsavgift bör vara skriftligt och innehålla skälen för beslutet.</P>
<P class="p429 ft93"><SPAN class="ft72">17</SPAN><SPAN class="ft92">Prop. 2007/08:107 s. 24 och prop. 2012/13:143 s. 69.</SPAN></P>
<P class="p374 ft93"><SPAN class="ft72">18</SPAN><SPAN class="ft92">Prop. 2016/17:22 s. 228.</SPAN></P>
<P class="p374 ft38"><SPAN class="ft72">19</SPAN><SPAN class="ft75">Jfr </SPAN><NOBR>16–17</NOBR> §§ förvaltningslagen (1986:223).</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">196</P>
</DIV>
</DIV>
<DIV id="page_197">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336197x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td70"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td71"><P class="p22 ft33">Ingripanden och sanktioner</P></TD>
</TR>
</TABLE>
<P class="p63 ft8">Det bör finnas en bortre tidsgräns för när en sanktionsavgift får beslutas. Denna tid bör vara relativt kort. Utredningen anser att sanktionsavgift inte ska få beslutas om den som anspråket riktas mot inte har getts tillfälle att yttra sig inom två år från överträdelsen.</P>
<P class="p199 ft11"><SPAN class="ft11">9.6.9</SPAN><SPAN class="ft68">Betalning, indrivning och preskription</SPAN></P>
<P class="p339 ft8"><SPAN class="ft43">Förslag: </SPAN>Sanktionsavgiften ska betalas till tillsynsmyndigheten inom trettio dagar efter det att beslutet om sanktionsavgift fått laga kraft eller annars inom den längre tid som anges i beslutet.</P>
<P class="p344 ft8">En sanktionsavgift får verkställas utan föregående dom eller utslag om den är obetald och förfallen till betalning.</P>
<P class="p344 ft8">Om sanktionsavgiften inte betalas i tid ska tillsynsmyndig- heten lämna den obetalda avgiften för indrivning.</P>
<P class="p344 ft8">En beslutad sanktionsavgift faller bort om beslutet om avgift- en inte har verkställts inom fem år från det att beslutet fick laga kraft.</P>
<P class="p430 ft8">För att regleringen om sanktionsavgifter ska bli tillräckligt hand- lingsdirigerande och effektiv bör den avgift som tillsynsmyndigheten beslutat kunna drivas in utan att det krävs något domstolsavgörande. Av 3 kap. 1 § första stycket 6 utsökningsbalken (1981:774) följer att en förvaltningsmyndighets beslut får verkställas om det finns en särskild föreskrift om detta. Det bör alltså införas en bestämmelse i den nya lagen som anger att en sanktionsavgift får verkställas om den är obetald och förfallen till betalning.</P>
<P class="p58 ft8">Utredningen bedömer att betalning av sanktionsavgift bör ske till tillsynsmyndigheten inom trettio dagar från det att beslutet om sanktionsavgift vann laga kraft eller annars inom den längre tid som anges i beslutet. Om avgiften inte betalas inom denna tid bör till- synsmyndigheten lämna den obetalda avgiften för indrivning. <SPAN class="ft36">20</SPAN></P>
<P class="p11 ft8">I allmänhet gäller för den här typen av avgifter att de preskribe- ras i den utsträckning verkställighet inte har skett inom fem år. Utredningen bedömer att det saknas anledning att införa annan pre-</P>
<P class="p431 ft38"><SPAN class="ft37">20 </SPAN>Jfr t.ex. prop. 2016/17:22 s. 256 och prop. 2012/13:72 s. 30 f.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">197</P>
</DIV>
</DIV>
<DIV id="page_198">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336198x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Ingripanden och sanktioner</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p142 ft8">skriptionstid än den som i allmänhet används. Preskriptionstiden bör därför vara fem år.</P>
<P class="p213 ft35"><SPAN class="ft35">9.7</SPAN><SPAN class="ft40">Möjligheter till mindre ingripande åtgärder</SPAN></P>
<P class="p432 ft8"><SPAN class="ft43">Förslag: </SPAN>Om tillsynsmyndigheten finner skäl att misstänka att en leverantör av samhällsviktiga tjänster inte följer lagen eller före- skrifter som har meddelats i anslutning till lagen ska myndigheten underrätta leverantören om det och ge denne möjlighet att yttra sig inom skälig tid.</P>
<P class="p337 ft8">Om tillsynsmyndigheten konstaterar att en leverantör av sam- hällsviktiga tjänster eller en leverantör av digitala tjänster inte följer lagen eller föreskrifter som har meddelats i anslutning till lagen, ska myndigheten, genom påpekanden eller liknande förfa- randen försöka åstadkomma rättelse.</P>
<P class="p433 ft8">En tillsynsmyndighets grundläggande uppgift är att självständigt granska aktörer för att kontrollera om dessa uppfyller krav som följer av lagar och andra bindande föreskrifter, och vid behov fatta beslut om åtgärder som syftar till att åstadkomma rättelse av aktören. För att den nya lagens syfte – en höjd nivå av säkerhet i nätverk och informationssystem – ska uppnås på ett så effektivt sätt som möjligt anser utredningen att tillsynsmyndigheternas även bör ge vägledning i frågor som har samband med verksamheten. Tillsynsmyndigheter- na bör arbeta både främjande och förebyggande för att effektivt uppnå lagstiftningens mål. (jfr avsnitt 8.5).</P>
<P class="p51 ft8">Det är inte givet att kännbara sanktioner i alla lägen är det mest effektiva sättet att uppnå den nya lagens syfte. I de fall tillsynsmyn- digheten konstaterar att en leverantör av samhällsviktiga tjänster eller en leverantör av digitala tjänster gjort sig skyldig till en över- trädelse bör tillsynsmyndigheten, på lämpligt sätt, försöka förmå leverantören att vidta rättelse.</P>
<P class="p52 ft8">I de fall tillsynmyndigheten finner skäl att misstänka att en leve- rantör av samhällsviktiga tjänster överträder bestämmelserna, bör tillsynsmyndigheten underrätta leverantören om detta och ge denne tillfälle att yttra sig inom skälig tid. Vad som är skälig tid får avgöras efter omständigheterna i det enskilda fallet. Utöver möjligheten att lämna sina synpunkter får leverantören i och med underrättelsen</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">198</P>
</DIV>
</DIV>
<DIV id="page_199">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336199x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td70"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td71"><P class="p22 ft33">Ingripanden och sanktioner</P></TD>
</TR>
</TABLE>
<P class="p88 ft8">möjlighet att vidta åtgärder för att t.ex. leva upp till säkerhetskrav eller på andra sätt minska risker för incidenter. Att en leverantör vid- tar rättelse kan ha betydelse för vilket belopp som beslutas i sank- tionsavgift.</P>
<P class="p11 ft8">Tillsynsmyndigheten bör kunna utfärda föreläggande samt besluta om sanktionsavgift även om leverantören inte yttrar sig till följd av en underrättelse. Inte heller upprepade inlagor från leverantören bör kunna hindra myndigheten från att gå vidare i tillsynen. Att till- synsmyndigheten ska försöka förmå en leverantör att vidta rättelse är inte heller något hinder mot utfärdande av föreläggande eller be- slut om sanktionsavgift. Detta kan innebära att ett förfarande om meddelande av beslut om sanktionsavgift inleds eller föreläggande utfärdas parallellt med tillsynsmyndighetens åtgärder i syfte att förmå leverantören att rätta sig. Det bör dock vara upp till tillsynsmyn- digheten att avgöra när det är lämpligt att vidta de åtgärder som står till buds.</P>
<P class="p434 ft80"><SPAN class="ft35">9.8</SPAN><SPAN class="ft79">Vitesförelägganden och sanktionsavgifter mot statliga myndigheter och kommuner</SPAN></P>
<P class="p382 ft8"><SPAN class="ft43">Bedömning: </SPAN>Även statliga myndigheter och kommuner ska kunna föreläggas vite och meddelas sanktionsavgift.</P>
<P class="p77 ft8">Vitesförelägganden kan i vissa fall riktas även mot staten. I förarbe- tena till viteslagen uttalade departementschefen att det särskilt vad gäller det marknadsrättsliga fältet kan tänkas uppkomma situationer där staten i så utpräglad grad uppträder som privaträttsligt subjekt att det skulle te sig onaturligt om möjligheten att förelägga vite inte stod till buds. Som exempel angavs ett organ som ingår i den stat- liga organisationen och som bedriver affärsverksamhet i konkurrens med och på liknande sätt som privata företag, mot vilka viten kan riktas enligt de marknadsrättsliga reglerna.<SPAN class="ft36">21</SPAN></P>
<P class="p58 ft8">I rättspraxis har Miljööverdomstolen i ett mål angående föreläg- gande mot Banverket om bullerskyddsåtgärder uttalat att det inte fanns några rättsliga hinder mot att förelägga Banverket att vid vite</P>
<P class="p435 ft38"><SPAN class="ft37">21 </SPAN>prop. 1984/85:96 s. 99 f.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">199</P>
</DIV>
</DIV>
<DIV id="page_200">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336200x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Ingripanden och sanktioner</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8">vidta åtgärderna. Domstolen ansåg att Banverket i det sammanhanget närmast fick betraktas som affärsdrivande och att det principiellt inte fanns anledning att göra skillnad mellan Banverket och andra verksamhetsutövare och av det skälet låta bli att sätta ut vite.<SPAN class="ft36">22</SPAN></P>
<P class="p51 ft8">Frågan om sanktionsavgifter är en lämplig reaktion mot myn- digheter har också behandlats i betänkandet <SPAN class="ft9">Brottsdatalag </SPAN>(SOU 2017:29).</P>
<P class="p51 ft8">Utredningen bedömer med hänsyn till det anförda att vitesföre- lägganden och sanktionsavgifter enligt den nya lagen under motsva- rande förhållanden ska kunna meddelas även mot statliga myndig- heter och kommuner.</P>
<P class="p165 ft35"><SPAN class="ft35">9.9</SPAN><SPAN class="ft40">Omedelbar verkställighet och inhibition</SPAN></P>
<P class="p436 ft8"><SPAN class="ft43">Förslag: </SPAN>Tillsynsmyndigheten får bestämma att ett beslut om föreläggande ska gälla omedelbart.</P>
<P class="p437 ft8"><SPAN class="ft43">Bedömning: </SPAN>Bestämmelser om inhibition finns i förvaltnings- processlagen och behöver inte tas in i den nya lagen.</P>
<P class="p275 ft8">Om tillsynsmyndigheten har konstaterat att det finns skäl för att ingripa genom beslut om föreläggande finns det ofta ett behov av att beslutet blir gällande genast. Det kan då vara nödvändigt att be- slutet verkställs omedelbart. Samma sak gäller beträffande tillsyns- myndighetens beslut att förelägga en leverantör att lämna tillträde till lokaler och att lämna upplysningar, handlingar och liknande för att tillsynen ska kunna genomföras. I sådana fall kan det vara ange- läget att beslutet inte förhalas genom ett överklagande. Mot denna bakgrund bör tillsynsmyndigheten ha möjlighet att bestämma att dess beslut om föreläggande ska gälla omedelbart.</P>
<P class="p52 ft8">En domstol som ska pröva ett överklagande av ett förvaltnings- beslut som gäller omedelbart kan förordna att det överklagade be- slutet tills vidare inte ska gälla (s.k. inhibition). Möjligheten till inhi- bition innebär att risken för att en aktör drabbas av skada på grund av ett felaktigt beslut av en tillsynsmyndighet minimeras. Bestämmel-</P>
<P class="p381 ft38"><SPAN class="ft37">22 </SPAN>MÖD 2005:12</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">200</P>
</DIV>
</DIV>
<DIV id="page_201">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336201x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td70"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td71"><P class="p22 ft33">Ingripanden och sanktioner</P></TD>
</TR>
</TABLE>
<P class="p355 ft8">ser om inhibition finns i 28 § förvaltningsprocesslagen (1971:291) och behöver inte tas in i den nya lagen.</P>
<P class="p199 ft35"><SPAN class="ft35">9.10</SPAN><SPAN class="ft113">Överklagande</SPAN></P>
<P class="p242 ft8"><SPAN class="ft43">Förslag: </SPAN>Tillsynsmyndighetens beslut enligt den nya lagen eller föreskrifter som meddelats i anslutning till lagen ska kunna över- klagas till allmän förvaltningsdomstol. Prövningstillstånd ska krävas vid överklagande till kammarrätten.</P>
<P class="p295 ft8">Kammarrättens avgörande i ett mål enligt den nya lagen får inte överklagas.</P>
<P class="p77 ft8">En tillsynsmyndighets beslut om förelägganden och sanktionsav- gifter måste kunna överklagas. Även beslut om förelägganden som meddelas för att tillsynsmyndigheten ska kunna fullgöra tillsynen måste kunna överklagas (se avsnitt 8.5.3). Besluten ska kunna över- klagas till allmän förvaltningsdomstol. Prövningstillstånd ska krävas vid överklagande till kammarrätten.</P>
<P class="p114 ft10">Kammarrättens avgörande ska inte kunna överklagas.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">201</P>
</DIV>
</DIV>
<DIV id="page_202">
</DIV>
<DIV id="page_203">
<P class="p4 ft7">10 Leverantörer av digitala tjänster</P>
<P class="p69 ft35"><SPAN class="ft35">10.1</SPAN><SPAN class="ft113">Inledning</SPAN></P>
<P class="p73 ft8">Utöver operatörer som tillhandahåller samhällsviktiga tjänster reglerar direktivet säkerheten i nätverk och informationssystem hos sådana leverantörer av digitala tjänster som anges i bilaga 3 till direktivet. Dessa tjänster är internetbaserade marknadsplatser, internetbasera- de sökmotoror och molntjänster.</P>
<P class="p438 ft8">I detta kapitel beskrivs <NOBR>NIS-direktivets</NOBR> bestämmelser om leveran- törer av digitala tjänster med utgångspunkt främst i hur bestämmel- serna skiljer sig från dem som gäller för leverantörer av samhällsviktiga tjänster. När det gäller t.ex. ingripanden och sanktioner samt hur tillsynen ska organiseras är frågorna emellertid sammankopplade på ett sådant sätt att de bör behandlas i ett sammanhang. I dessa delar hänvisas därför till de avsnitt där respektive fråga behandlas.</P>
<P class="p439 ft80"><SPAN class="ft35">10.2</SPAN><NOBR><SPAN class="ft114">NIS-direktivets</SPAN></NOBR> tillämpningsområde och definitioner</P>
<P class="p440 ft11"><SPAN class="ft11">10.2.1</SPAN><SPAN class="ft115">Definitioner</SPAN></P>
<P class="p441 ft8">Definitionerna av internetbaserade marknadsplatser, internetbase- rade sökmotorer och molntjänster i <NOBR>NIS-direktivet</NOBR> är specifika för direktivet och påverkar inte andra instrument (skäl 55).</P>
<P class="p106 ft8">I <NOBR>NIS-direktivet</NOBR> definieras en <SPAN class="ft9">digital tjänst </SPAN>som en tjänst i den mening som avses i artikel 1.1 b i Europaparlamentets och rådets direktiv (EU) 2015/1535 av den 9 september 2015 om ett informa- tionsförfarande beträffande tekniska föreskrifter och beträffande föreskrifter för informationssamhällets tjänster av en typ som anges i bilaga 3 till direktivet. De kategorier av tjänster som anges i den</P>
<P class="p442 ft18">203</P>
</DIV>
<DIV id="page_204">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Leverantörer av digitala tjänster</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p443 ft8">bilagan är internetbaserade marknadsplatser, internetbaserade sök- motorer och molntjänster.</P>
<P class="p444 ft8">I artikel 1.1 b i direktiv (EU) 2015/1535 definieras digital tjänst enligt följande.</P>
<P class="p445 ft13">[A]lla informationssamhällets tjänster, det vill säga tjänster som vanligt- vis utförs mot ersättning på distans, på elektronisk väg och på indi- viduell begäran av en tjänstemottagare. I denna definition avses med</P>
<P class="p445 ft13"><SPAN class="ft13">i)</SPAN><SPAN class="ft116">på distans: tjänster som tillhandahålls utan att parterna är närvarande samtidigt,</SPAN></P>
<P class="p445 ft13"><SPAN class="ft13">ii)</SPAN><SPAN class="ft116">på elektronisk väg: en tjänst som sänds vid utgångspunkten och tas emot vid slutpunkten med hjälp av utrustning för elektronisk behand- ling (inbegripet digital signalkomprimering) och lagring av uppgifter, och som i sin helhet sänds, befordras och tas emot genom tråd, radio, optiska medel eller andra elektromagnetiska medel,</SPAN></P>
<P class="p445 ft13"><SPAN class="ft13">iii)</SPAN><SPAN class="ft116">på individuell begäran av en tjänstemottagare: en tjänst som till- handahålls genom överföring av uppgifter på individuell begäran.</SPAN></P>
<P class="p446 ft8">Med <SPAN class="ft9">leverantör av digitala tjänster </SPAN>avses i <NOBR>NIS-direktivet</NOBR> en juridisk person som tillhandhåller en digital tjänst (artikel 4.6).</P>
<P class="p86 ft8">En <SPAN class="ft9">internetbaserad marknadsplats </SPAN>är enligt <NOBR>NIS-direktivet</NOBR> en digital tjänst som gör det möjligt för konsumenter och/eller näringsidkare (enligt definitionen i artikel 4.1 a respektive 4.1 b Europaparlamen- tets och rådets direktiv 2013/11/EU av den 21 maj 2013 om alterna- tiv tvistlösning vid konsumenttvister och om ändring av förordning (EG) nr 2006/2004 och direktiv 2009/22/EG (direktivet om alterna- tiv tvistlösning) att ingå internetbaserade köpeavtal eller tjänsteavtal med näringsidkare antingen på webbplatsen för den internetbasera- de marknadsplatsen eller på webbplatsen tillhörande en närings- idkare där datatjänster som tillhandahålls av en internetbaserad mark- nadsplats används (artikel 4.17).</P>
<P class="p205 ft8">En <SPAN class="ft9">internetbaserad sökmotor </SPAN>är enligt <NOBR>NIS-direktivet</NOBR> en digital tjänst som gör det möjligt för användaren att göra sökningar på i princip alla webbplatser eller webbplatser på ett visst språk eller på grundval av en förfrågan om vilket ämne som helst i form av ett nyckelord, en fras eller annan inmatning och som returnerar länkar som innehåller information om det begärda innehållet (artikel 4.18)</P>
<P class="p118 ft8"><SPAN class="ft9">Molntjänster </SPAN>definieras i <NOBR>NIS-direktivet</NOBR> som en digital tjänst som möjliggör tillgång till en skalbar och elastisk pool av delbara data- resurser (artikel 4.19).</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">204</P>
</DIV>
</DIV>
<DIV id="page_205">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td72"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td73"><P class="p22 ft33">Leverantörer av digitala tjänster</P></TD>
</TR>
</TABLE>
<P class="p137 ft11"><SPAN class="ft11">10.2.2</SPAN><SPAN class="ft115">Aktörer som inte omfattas av </SPAN><NOBR>NIS-direktivet</NOBR></P>
<P class="p447 ft45">Mikroföretag och små företag samt hård- och mjukvarutillverkare omfattas inte</P>
<P class="p113 ft8">Bestämmelserna i <NOBR>NIS-direktivet</NOBR> ska inte tillämpas på mikroföretag eller små företag enligt definitionen i kommissionens rekommen- dation 2003/361/EG av den 6 maj 2003 om definitionen av mikro- företag samt små och medelstora företag (artikel 16.11). Enligt den rekommendationen är ett mikroföretag ett företag med färre än 10 anställda och en årsomsättning eller balansomslutning som unders- tiger två miljoner euro. Små företag definieras i rekommendationen som företag med färre än 50 anställda och en årsomsättning eller balansomslutning som inte överstiger 10 miljoner euro.</P>
<P class="p11 ft8">I <NOBR>NIS-direktivet</NOBR> anges att hårdvarutillverkare och mjukvaru- utvecklare spelar en viktig roll när det gäller att möjliggöra för leve- rantörer av både samhällsviktiga tjänster och digitala tjänster att skydda sina nätverk och informationssystem. De omfattas emeller- tid av redan befintliga bestämmelser om produktansvar och träffas inte av <NOBR>NIS-direktivet.</NOBR> (skäl 50)</P>
<P class="p64 ft45">Övriga undantag</P>
<P class="p65 ft8">Angående gränsdragningen mot säkerhetskänslig verksamhet, se kapitel 5.</P>
<P class="p199 ft11"><SPAN class="ft11">10.2.3</SPAN><SPAN class="ft115">Vad är en internetbaserad marknadsplats,</SPAN></P>
<P class="p448 ft11">en internetbaserad sökmotor och molntjänster i praktiken?</P>
<P class="p67 ft8">Vid bedömningen av vad som i praktiken utgör en internetbaserad marknadsplats, internetbaserad sökmotor eller en molntjänst kan led- ning hämtas från <NOBR>NIS-direktivets</NOBR> skäl samt från vedertagna stan- darder.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">205</P>
</DIV>
</DIV>
<DIV id="page_206">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Leverantörer av digitala tjänster</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p102 ft45">Internetbaserad marknadsplats</P>
<P class="p68 ft8">En internetbaserad marknadsplats ger enligt <NOBR>NIS-direktivet</NOBR> konsu- menter och näringsidkare möjlighet att ingå internetbaserade köpe- avtal eller tjänsteavtal med näringsidkare och är slutdestinationen för ingåendet av sådana avtal (skäl 15).</P>
<P class="p51 ft8">En näringsidkare som vill tillhandahålla sina varor och tjänster via internet kan göra detta genom en <NOBR>e-butik</NOBR> eller via en digital mark- nadsplats. Till skillnad från <NOBR>e-butiken</NOBR> är den digitala marknads- platsen en webbplats där kunden kan ta del av flera näringsidkares utbud på samma ställe. Marknadsplatsen kan på detta sätt jämföras med ett köpcentrum. Genom att använda sig av en marknadsplats kan näringsidkaren nå ut med sina varor och tjänster utan att be- höva marknadsföra sig på samma sätt som krävs för att kunderna ska hitta till den egna <NOBR>e-butiken.</NOBR></P>
<P class="p51 ft49">Som exempel på internetbaserade marknadsplatser kan nämnas amazon.com, etsy.com och blocket.se.</P>
<P class="p449 ft45">Internetbaserad sökmotor</P>
<P class="p54 ft8">En sökmotor kan beskrivas som ett dataprogram som söker igenom och på något sätt katalogiserar sidor och filer på internet.</P>
<P class="p51 ft8">En internetbaserad sökmotor gör det möjligt för användaren att göra sökningar på i princip alla webbplatser på grundval av en sök- ning inom vilket ämnesområde som helst. Den kan också vara in- riktad på webbplatser på ett visst språk. (skäl 16)</P>
<P class="p51 ft8">Exempel internetbaserade sökmotorer är google.com, yahoo.com och bing.com.</P>
<P class="p61 ft45">Molntjänster</P>
<P class="p68 ft8">Molntjänster är ett samlingsnamn för <NOBR>it-tjänster</NOBR> som ersätter program och lagringsutrymme i användarens egen dator och i stället erbjuder motsvarande funktioner i servrar via internet. Att ha sin informa- tion i ”molnet” innebär alltså att ha informationen i ”någon annans dator”.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">206</P>
</DIV>
</DIV>
<DIV id="page_207">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td72"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td73"><P class="p22 ft33">Leverantörer av digitala tjänster</P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p11 ft8">I <NOBR>NIS-direktivet</NOBR> (skäl 17) anges att molntjänster omfattar många olika verksamheter, som kan levereras enligt olika modeller. Vid tillämpningen av direktivet omfattar termen molntjänster sådana tjänster som medger åtkomst till en skalbar och elastisk pool av de- lbara dataresurser. Sådana dataresurser omfattar resurser såsom nät- verk, servrar eller annan infrastruktur, lagring, applikationer och tjänster. Termen skalbar avser dataresurser som leverantören av molntjänster fördelar på ett flexibelt sätt, oberoende av resursernas geografiska läge, för att hantera fluktuationer i efterfrågan. Termen elastisk pool används för att beskriva dataresurser som avsätts och utnyttjas beroende på efterfrågan för att tillgängliga resurser snabbt ska kunna utökas och minskas i takt med arbetsbördan. Termen delbar används för att beskriva dataresurser som tillhandahålls flera användare som delar en gemensam åtkomst till tjänsten där behand- lingen genomförs separat för varje användare, även om tjänsten till- handahålls från samma elektroniska utrustning.</P>
<P class="p11 ft8">SIS (Swedish Standards Institute) har definierat molnbaserade datortjänster som ”… ett koncept som möjliggör nätverksåtkomst till en skalbar och elastisk pool av delade fysiska eller virtuella resur- ser som via självbetjäning levereras och administreras på begäran”.</P>
<P class="p11 ft8">NIST (US National Institute for Standards and Technology) har definierat begreppet molntjänster som ”a model for enabling ubiquitous, convenient, <NOBR>on-demand</NOBR> network access to a shared pool of configurable computing resources (e.g., networks, servers, storage, applications, and services) that can be rapidly provisioned and released with minimal management effort or service provider interaction”. NIST anger också fem väsentliga egenskaper hos molntjänster:</P>
<P class="p38 ft10"><SPAN class="ft10">1.</SPAN><SPAN class="ft94">självbetjäning är möjlig när kunden behöver det,</SPAN></P>
<P class="p360 ft8"><SPAN class="ft10">2.</SPAN><SPAN class="ft100">åtkomst sker via nätet i olika klienter (exempelvis stationära dator- er, mobiltelefoner och surfplattor),</SPAN></P>
<P class="p194 ft10"><SPAN class="ft10">3.</SPAN><SPAN class="ft94">kunden delar leverantörens resurser med andra kunder,</SPAN></P>
<P class="p38 ft10"><SPAN class="ft10">4.</SPAN><SPAN class="ft94">prestanda anpassas till kundens behov för stunden, och</SPAN></P>
<P class="p360 ft8"><SPAN class="ft10">5.</SPAN><SPAN class="ft100">tjänsterna går att mäta, bl.a. i syfte att avgöra hur mycket kunden ska debiteras för tjänsten.</SPAN></P>
</DIV>
<DIV id="id_3">
<P class="p4 ft18">207</P>
</DIV>
</DIV>
<DIV id="page_208">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336208x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Leverantörer av digitala tjänster</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8">NIST anger vidare tre huvudsakliga typer av molntjänster; Infra- structure as a Service, Platform as a Service och Software as a Service. Tjänstetyperna beskriver tre olika funktionsområden och tjänster- na finns i olika tekniska lager. Leverantören tillhandahåller tekniska lösningar i olika utsträckning beroende på typ av tjänst.</P>
<P class="p51 ft8">Molntjänster kan tillhandahållas på fyra olika sätt; privata moln, partnermoln, publika moln och hybridmoln<SPAN class="ft36">1</SPAN>.</P>
<P class="p51 ft8"><SPAN class="ft9">Privata molntjänster </SPAN>bygger på en infrastruktur som är dedikerad åt endast en användare. Infrastrukturen kan hanteras av användaren själv eller av en annan aktör.</P>
<P class="p51 ft8"><SPAN class="ft9">Partnermoln</SPAN>, som ibland också kallas för gemenskapsmoln eller branschmoln, erbjuds till en begränsad och väldefinierad grupp av kunder. En särskild form av partnermoln är s.k. myndighetsmoln. Ett myndighetsmoln har skapats i t.ex. Storbritannien, för att möta särskilda behov av t.ex. säkerhet.</P>
<P class="p51 ft8"><SPAN class="ft9">Publika molntjänster </SPAN>ägs och hanteras av en molntjänstleverantör (tredje part) som säljer resurser till flera kunder i samma infrastruk- tur. Tjänster i publika moln är potentiellt tillgängliga för alla som så önskar. GoogleApps, iCloud och Dropbox är exempel på publika molntjänster.</P>
<P class="p51 ft49"><SPAN class="ft52">Hybridmoln </SPAN>avser en sammansättning av två eller flera molntyper som möjliggör kopplingar mellan olika tjänster och molntyper.</P>
<P class="p450 ft11"><SPAN class="ft11">10.2.4</SPAN><SPAN class="ft115">Nationell lagstiftning saknas i dag</SPAN></P>
<P class="p68 ft8">Leverantörer av internetbaserade marknadsplatser, internetbaserade sökmotorer eller molntjänster omfattas i dag inte av någon nationell lagstiftning motsvarande bestämmelserna i direktivet. Utredningen har i kapitel 5 bedömt att <NOBR>NIS-direktivet</NOBR> bör genomföras genom införandet av en ny lag.</P>
<P class="p451 ft38"><SPAN class="ft37">1 </SPAN>Molntjänster i staten – En ny generation av outsourcing, Pensionsmyndigheten.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">208</P>
</DIV>
</DIV>
<DIV id="page_209">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336209x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td72"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td73"><P class="p22 ft33">Leverantörer av digitala tjänster</P></TD>
</TR>
</TABLE>
<P class="p452 ft11"><SPAN class="ft11">10.2.5</SPAN><SPAN class="ft115">Vilka leverantörer av digitala tjänster ska omfattas av den nya lagen?</SPAN></P>
<P class="p423 ft8"><SPAN class="ft43">Förslag: </SPAN>En leverantör av digitala tjänster som erbjuder digitala tjänster i Sverige men som inte har sitt huvudsakliga etablerings- ställe inom Europeiska unionen ska utse en företrädare i något av de länder där tjänsterna erbjuds.</P>
<P class="p339 ft8"><SPAN class="ft43">Bedömning: </SPAN>En näringsidkare som tillhandahåller sina egna varor och tjänster på en webbplats <NOBR>(e-butik)</NOBR> är inte en leverantör av digitala tjänster i form av internetbaserad marknadsplats enligt <NOBR>NIS-direktivet</NOBR> och ska inte omfattas av lagen.</P>
<P class="p295 ft8">En aktör som använder sig av ett privat moln är inte en leve- rantör av digitala tjänster enligt <NOBR>NIS-direktivet</NOBR> och ska inte om- fattas av lagen.</P>
<P class="p77 ft8">I kapitel 5 kommer utredningen fram till att den nya lagen ska om- fatta endast sådana leverantörer som omfattas av <NOBR>NIS-direktivet,</NOBR> se avsnitt 5.4. Beträffande leverantörer av digitala tjänster ska den nya lagen alltså tillämpas på tillhandahållare av digitala tjänster i form av internetbaserade marknadsplatser, internetbaserade sökmotorer och molntjänster, med undantag av leverantörer som är mikroföretag eller små företag.</P>
<P class="p64 ft45">Jurisdiktion m.m.</P>
<P class="p57 ft8">För att en leverantör av en digital tjänst ska omfattas av <NOBR>NIS-direk-</NOBR> tivet krävs inte att den tillhandahållna tjänsten bedöms vara sam- hällsviktig. Till skillnad från vad som gäller beträffande leverantörer av samhällsviktiga tjänster är medlemsstaterna inte heller skyldiga att identifiera leverantörer av digitala tjänster.</P>
<P class="p11 ft8">För att en leverantör av digitala tjänster ska omfattas av lagstift- ningen i en medlemsstat krävs enligt <NOBR>NIS-direktivet</NOBR> att leverantören har sitt huvudsakliga etableringsställe i det landet. Det huvudsakliga etableringsstället ska anses vara där leverantören har sitt huvudkontor. Det krävs att leverantören utför en faktisk och reell verksamhet med hjälp av en stabil struktur för att den ska anses vara etablerad. Den rättsliga formen, dvs. om det är fråga om en filial eller ett dotter-</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">209</P>
</DIV>
</DIV>
<DIV id="page_210">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Leverantörer av digitala tjänster</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8">bolag, bör inte vara avgörande. Att nätverk och informationssystem är fysiskt belägna på en viss plats innebär inte att det är fråga om ett huvudsakligt etableringsställe. (skäl 64)</P>
<P class="p197 ft8">Om leverantören inte är etablerad i unionen, men erbjuder tjänster här, ska leverantören utse en företrädare i någon av de medlems- stater där tjänsterna erbjuds. Leverantören ska i de fallen omfattas av lagstiftningen i det land där företrädaren finns. För att fastställa om en leverantör av digitala tjänster erbjuder tjänster inom unionen bör det kontrolleras om det är uppenbart att leverantören planerar att erbjuda tjänster till personer i en eller flera medlemsstater. Att kontaktuppgifter eller en webbplats tillhörande leverantören är till- gängliga i unionen, eller att ett språk används som allmänt används i det tredjeland där leverantören är etablerad är inte tillräckligt för att fastställa en sådan avsikt. Företrädaren bör agera på leverantör- ens vägnar och det bör vara möjligt för behöriga myndigheter eller <NOBR>CSIRT-enheterna</NOBR> att kontakta företrädaren. Företrädaren bör utses uttryckligen genom en skriftlig fullmakt från leverantören av digitala tjänster att agera på dess vägnar med avseende på leverantörens skyldigheter enligt <NOBR>NIS-direktivet.</NOBR> (skäl 65)</P>
<P class="p52 ft8">Som tidigare nämnts anger <NOBR>NIS-direktivet</NOBR> att bestämmelserna om leverantörer av digitala tjänster inte ska tillämpas på mikroföretag eller små företag.</P>
<P class="p51 ft8">Bestämmelser som genomför <NOBR>NIS-direktivet</NOBR> i dessa delar ska in- föras i den nya lagen.</P>
<P class="p53 ft45">Den nya lagen ska inte tillämpas på jämförelsesajter</P>
<P class="p453 ft67">En <SPAN class="ft61">internetbaserad marknadsplats </SPAN>ger konsumenter och näringsidkare möjlighet att ingå internetbaserade köpeavtal eller tjänsteavtal med näringsidkare och är slutdestinationen för ingåendet av sådana avtal. Datatjänster som tillhandahålls av den internetbaserade marknads- platsen kan enligt direktivet inbegripa behandling av transaktioner, sammanställning av data eller profilering av användare. Applikations- butiker, som fungerar som onlinebutiker och möjliggör digital distri- bution av applikationer eller programvara från tredje part, ska betrak- tas som en typ av internetbaserad marknadsplats. Onlinetjänster som jämför priset på vissa varor eller tjänster från olika näringsidkare och sedan leder användaren vidare till den näringsidkare som valts</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">210</P>
</DIV>
</DIV>
<DIV id="page_211">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td72"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td73"><P class="p22 ft33">Leverantörer av digitala tjänster</P></TD>
</TR>
</TABLE>
<P class="p187 ft8">för köp av varan omfattas emellertid inte av begreppet. Sådana on- linetjänster, t.ex. pricerunner.se och prisjakt.nu, fungerar endast som mellanhand för tredjepartstjänster genom vilka ett avtal slutligen kan ingås. (skäl 15). Sistnämnda jämförelsesajter är inte heller att be- trakta som sådana <SPAN class="ft9">internetbaserade sökmotorer </SPAN>som omfattas av NIS- direktivet. Sökfunktioner som begränsas till innehållet på en särskild webbplats omfattas inte heller av direktivet. Det gäller oavsett om sökfunktionen tillhandahålls av en extern sökmotor. (skäl 16)</P>
<P class="p454 ft45">Den nya lagen ska inte tillämpas på näringsidkare som tillhandahåller egna varor och tjänster på en webbplats i egen regi <NOBR>(e-butiker)</NOBR> eller på användare av privata moln</P>
<P class="p455 ft8">Bakgrunden till regleringen avseende leverantörer av digitala tjänster är att många företag i unionen är beroende av leverantörer av digi- tala tjänster för att tillhandahålla sina tjänster. Eftersom vissa digitala tjänster skulle kunna utgöra en viktig resurs för sina användare, inklusive leverantörer av samhällsviktiga tjänster, och dessa använ- dare inte alltid har alternativ tillgängliga, har det bedömts att NIS- direktivet bör gälla också för leverantörer av sådana tjänster. För många företag är säkerheten, kontinuiteten och tillförlitligheten hos den typ av digitala tjänster som avses i <NOBR>NIS-direktivet</NOBR> av avgörande betydelse för att företaget ska fungera väl. En störning i en sådan digital tjänst kan hindra tillhandahållandet av andra tjänster som är beroende av den och därmed påverka viktig ekonomisk och sam- hällelig verksamhet i unionen. Sådana digitala tjänster skulle därför kunna vara av avgörande betydelse för att företag som är beroende av dem ska fungera väl och för dessa företags deltagande i den inre marknaden och den gränsöverskridande handeln inom unionen. Leverantörer av digitala tjänster som omfattas av <NOBR>NIS-direktivet</NOBR> är sådana som anses erbjuda digitala tjänster som många företag i unionen i allt högre grad är beroende av. (skäl 48)</P>
<P class="p189 ft8">Det står klart att tillhandahållare (leverantörer) av internetbaserade marknadsplatser där användaren (kunden) kan sluta avtal med ett flertal näringsidkare omfattas av bestämmelserna i <NOBR>NIS-direktivet.</NOBR> Detsamma gäller en leverantör som tillhandahåller molntjänster åt någon annan.</P>
<P class="p190 ft8">Det förekommer emellertid också att näringsidkare tillhandahåller varor och tjänster på webbplatser i egen regi genom <NOBR>e-butiker.</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">211</P>
</DIV>
</DIV>
<DIV id="page_212">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336212x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Leverantörer av digitala tjänster</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p89 ft8">När en aktör tillhandahåller egna varor eller tjänster genom en <NOBR>e-butik</NOBR> är det inte fråga om tillhandahållande av en digital tjänst i form av en internetbaserad marknadsplats. Näringsidkaren är inte en leverantör av en digital tjänst i <NOBR>NIS-direktivets</NOBR> mening, utan en an- vändare av webbplatsen i syfte att tillhandahålla andra varor och tjänster än digitala tjänster. En webbplats som drivs i egen regi till- handahålls inte heller av någon annan, varför det inte kan sägas vara fråga om en tjänst. En incident med effekter på en sådan aktörs webb- plats påverkar dessutom endast aktörens egen verksamhet och har ingen inverkan på andra aktörers möjligheter att tillhandahålla sina varor eller tjänster.</P>
<P class="p51 ft8">Samma resonemang kan appliceras på situationen med privata moln. En användare av privata moln är inte en leverantör av en digital tjänst och omfattas därmed inte av <NOBR>NIS-direktivets</NOBR> bestämmelser. Det gäller oavsett om infrastrukturen hanteras av användaren själv eller om användaren överlåtit det uppdraget till någon annan. I det sistnämnda fallet kan dock uppdragstagaren omfattas av bestäm- melserna såsom leverantör av en digital tjänst.</P>
<P class="p165 ft35"><SPAN class="ft35">10.3</SPAN><SPAN class="ft113">Säkerhetskrav och krav på incidentrapportering</SPAN></P>
<P class="p432 ft8"><SPAN class="ft43">Förslag: </SPAN>Leverantörer av digitala tjänster ska utarbeta och vidta ändamålsenliga och proportionella tekniska och organisatoriska åtgärder för att hantera risker som hotar säkerheten i nätverk och informationssystem som de använder när de tillhandahåller internetbaserade marknadsplatser, internetbaserade sökmotorer eller molntjänster inom unionen. Med beaktande av den senaste tekniska utvecklingen ska dessa åtgärder säkerställa en nivå på säkerheten i nätverk och informationssystem som är lämplig i förhållande till den föreliggande risken, varvid hänsyn ska tas till</P>
<P class="p27 ft10"><SPAN class="ft10">1.</SPAN><SPAN class="ft88">säkerheten i system och anläggningar,</SPAN></P>
<P class="p27 ft10"><SPAN class="ft10">2.</SPAN><SPAN class="ft88">incidenthantering,</SPAN></P>
<P class="p27 ft10"><SPAN class="ft10">3.</SPAN><SPAN class="ft88">hantering av driftskontinuitet,</SPAN></P>
<P class="p27 ft10"><SPAN class="ft10">4.</SPAN><SPAN class="ft88">övervakning, revision och testning och</SPAN></P>
<P class="p27 ft10"><SPAN class="ft10">5.</SPAN><SPAN class="ft88">efterlevnad av internationella standarder.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">212</P>
</DIV>
</DIV>
<DIV id="page_213">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336213x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td72"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td73"><P class="p22 ft33">Leverantörer av digitala tjänster</P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p456 ft8">Leverantörer av digitala tjänster ska vidta åtgärder för att före- bygga och minimera den inverkan som incidenter som påverkar säkerheten i deras nätverk och informationssystem har på inter- netbaserade marknadsplatser, internetbaserade sökmotorer och molntjänster och som erbjuds inom unionen, i syfte att säkerställa kontinuiteten i dessa tjänster.</P>
<P class="p457 ft8">Leverantörer av digitala tjänster ska utan onödigt dröjsmål rapportera alla incidenter som har en avsevärd inverkan på till- handahållandet av en internetbaserad marknadsplats, internetbase- rad sökmotor eller molntjänst till <NOBR>CSIRT-enheten</NOBR> (Myndigheten för samhällsskydd och beredskap). Rapporterna ska innehålla in- formation som gör det möjligt för <NOBR>CSIRT-enheten</NOBR> att fastställa vilken betydelse eventuell gränsöverskridande inverkan har.</P>
<P class="p457 ft8">Rapporteringen ska inte medföra ökat ansvar för den rappor- terande parten.</P>
<P class="p457 ft8">För att fastställa om en incident har en avsevärd inverkan ska hänsyn framför allt tas till följande faktorer.</P>
<P class="p252 ft49"><SPAN class="ft10">1.</SPAN><SPAN class="ft81">Det antal användare som påverkas av incidenten, framför allt användare som är beroende av tjänsten för att kunna tillhanda- hålla sina egna tjänster.</SPAN></P>
<P class="p342 ft10"><SPAN class="ft10">2.</SPAN><SPAN class="ft88">Hur länge incidenten varar.</SPAN></P>
<P class="p38 ft10"><SPAN class="ft10">3.</SPAN><SPAN class="ft88">Hur stort geografiskt område som påverkas av incidenten.</SPAN></P>
<P class="p38 ft10"><SPAN class="ft10">4.</SPAN><SPAN class="ft88">I vilken utsträckning incidenten stör tjänstens funktion.</SPAN></P>
<P class="p458 ft8"><SPAN class="ft10">5.</SPAN><SPAN class="ft76">I vilken utsträckning incidenten inverkar på den ekonomiska och samhälleliga verksamheten.</SPAN></P>
<P class="p253 ft8">Skyldigheten att rapportera en incident ska gälla endast om leve- rantören har tillgång till den information som behövs för att bedöma en incidents inverkan mot bakgrund av angivna faktorer.</P>
<P class="p457 ft8">Myndigheten för samhällsskydd och beredskap får meddela föreskrifter om rapportering av incidenter.</P>
<P class="p459 ft8"><SPAN class="ft43">Bedömning: </SPAN>Utredningens förslag i dessa delar kan komma att behöva justeras med hänsyn till ännu inte antagna genom- förandeakter.</P>
</DIV>
<DIV id="id_3">
<P class="p4 ft18">213</P>
</DIV>
</DIV>
<DIV id="page_214">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Leverantörer av digitala tjänster</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p179 ft11"><SPAN class="ft11">10.3.1</SPAN><NOBR><SPAN class="ft115">NIS-direktivets</SPAN></NOBR> krav</P>
<P class="p94 ft45">Säkerhetskrav</P>
<P class="p460 ft8">Leverantörer av digitala tjänster ska utarbeta och vidta tekniska och organisatoriska åtgärder för att hantera säkerhetsrisker i nätverk och informationssystem (artikel 16.1). De ska också vidta tekniska och organisatoriska åtgärder för att förebygga och minimera in- verkan av incidenter (artikel 16.2). Begreppet tekniska och organi- satoriska åtgärder behandlas i avsnitt 7.3.1.</P>
<P class="p52 ft8">De tekniska och organisatoriska åtgärder som leverantörerna ska utarbeta och vidta ska, med beaktande av den senaste tekniska ut- vecklingen, säkerställa en nivå på säkerheten i nätverk och informa- tionssystem som är lämplig i förhållande till den föreliggande risken, varvid hänsyn ska tas till a) säkerheten i system och anläggningar, b) incidenthantering, c) hantering av driftskontinuitet, d) övervak- ning, revision och testning och e) efterlevnad av internationella stan- darder. (artikel 16.1). Kommissionen ska anta genomförandeakter för att ytterligare specificera de element som avses. Genomförande- akterna ska antas i enlighet med det granskningsförfarande som avses i artikel 22.2 senast den 9 augusti 2017. (artikel 16.8)</P>
<P class="p93 ft45">Incidentrapportering</P>
<P class="p60 ft8">Leverantörer av digitala tjänster ska, liksom leverantörer av samhälls- viktiga tjänster, utan onödigt dröjsmål rapportera incidenter till den behöriga myndigheten eller <NOBR>CSIRT-enheten.</NOBR> För leverantörer av digitala tjänster gäller att alla incidenter som har en avsevärd inverkan på tillhandahållandet av en digital tjänst enligt direktivets bilaga 3 som de erbjuder inom unionen. Rapporterna ska innehålla information som gör det möjligt för den behöriga myndigheten eller CSIRT- enheten att fastställa vilken betydelse eventuell gränsöverskridande inverkan har. Rapportering ska inte medföra ökat ansvar för den rapporterande parten.</P>
<P class="p52 ft8">För att fastställa om en incident har en avsevärd inverkan ska hän- syn tas till vissa angivna faktorer, bl.a. det antal användare som på- verkas av incidenten, hur länge incidenten varar, hur stort geografiskt område som påverkas och i vilken utsträckning incidenten inverkar på den ekonomiska och samhälleliga verksamheten. Skyldigheten</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">214</P>
</DIV>
</DIV>
<DIV id="page_215">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td72"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td73"><P class="p22 ft33">Leverantörer av digitala tjänster</P></TD>
</TR>
</TABLE>
<P class="p88 ft8">att rapportera ska gälla endast om leverantören har tillgång till den information som behövs för att bedöma incidentens inverkan mot bakgrund av de angivna faktorerna. (artikel <NOBR>16.3–4)</NOBR></P>
<P class="p11 ft8">Kommissionen får anta genomförandeakter som fastställer format och förfaranden tillämpliga på rapporteringskrav. Sådana genom- förandeakter ska antas i enlighet med det granskningsförfarande som avses i artikel 22.2. (artikel 16.9)</P>
<P class="p199 ft11"><SPAN class="ft11">10.3.2</SPAN><SPAN class="ft115">Vilka krav ska ställas i den nya lagen?</SPAN></P>
<P class="p57 ft8"><NOBR>NIS-direktivets</NOBR> bestämmelser om säkerhetsåtgärder och incident- rapportering ser annorlunda ut för leverantörer av digitala tjänster jämfört med leverantörer av samhällsviktiga tjänster. När det gäller säkerhetsåtgärder ska medlemsstaterna se till att leverantörer av digi- tala tjänster bland annat utarbetar åtgärder för att hantera risker i nätverk och informationssystem. Till skillnad från vad som gäller för leverantörer av samhällsviktiga tjänster är det alltså leverantör- erna själva som ska identifiera dessa åtgärder.</P>
<P class="p11 ft8">Beträffande incidentrapporteringen ska leverantörer av digitala tjänster åläggas att rapportera incidenter som har en avsevärd inverkan på tillhandahållandet av tjänsten, medan leverantörer av samhälls- viktiga tjänster ska rapportera incidenter som har betydande inverk- an. Leverantörer av digitala tjänster är skyldiga att rapportera en incident endast om leverantören har tillgång till den information som behövs för att bedöma incidentens inverkan.</P>
<P class="p58 ft8">Rapportering ska inte medföra ökat ansvar för den rapporteran- de parten. Det går därmed inte att ställa krav på att leverantören ska utreda händelsen åt någon annan, t.ex. <NOBR>CSIRT-enheten.</NOBR> Leveran- törens skyldigheter beträffande rapporteringen upphör alltså i och med att rapporten har lämnats.</P>
<P class="p11 ft8">Enligt artikel 16.10 i <NOBR>NIS-direktivet</NOBR> får medlemsstaterna inte införa ytterligare säkerhets- eller rapporteringskrav för leverantörer av digitala tjänster utöver de som anges i direktivet. I skälen anges bl.a. att graden av risk för leverantörer av samhällsviktiga tjänster, som ofta är viktiga för att upprätthålla kritisk samhällelig och eko- nomisk verksamhet, i praktiken är högre än för leverantörer av digi- tala tjänster. Leverantörer av digitala tjänster bör fritt kunna vidta de åtgärder som de anser lämpliga för att hantera risker för säker-</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">215</P>
</DIV>
</DIV>
<DIV id="page_216">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Leverantörer av digitala tjänster</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p226 ft8">heten i sina nätverk och informationssystem. På grund av den gräns- överskridande arten bör dessa leverantörer omfattas av ett mer har- moniserat tillvägagångssätt på unionsnivå. Genomförandeakter bör underlätta i detta avseende. (skäl 49)</P>
<P class="p86 ft8">Bestämmelser som motsvarar <NOBR>NIS-direktivets</NOBR> bestämmelser om säkerhetskrav och incidentrapportering bör införas i den nya lagen.</P>
<P class="p86 ft8">Med hänsyn till att kommissionen senast den 9 augusti 2017 ska anta genomförandeakter för att specificera dels de element som ska ligga till grund för bedömningen av vilka tekniska och organisato- riska åtgärder som ska utarbetas och vidtas för att hantera risker i nätverk och informationssystem, dels de faktorer som ska ligga till grund vid bedömningen av om en incident har en avsevärd inverkan, kan utredningens förslag i dessa delar komma att behöva justeras. Samma sak gäller till följd av den möjlighet som kommissionen har att i genomförandeakter reglera format och förfaranden avseende incidentrapporteringen (artikel 16.9). I <NOBR>NIS-direktivets</NOBR> skäl 69 anges att kommissionen, när den antar genomförandeakter om säkerhets- kraven, uppmuntras att beakta</P>
<P class="p234 ft8"><SPAN class="ft64">•</SPAN><SPAN class="ft34">fysisk säkerhet och miljösäkerhet, funktionssäkerhet, kontroll av åtkomst till nätverks- och informationssystem samt nätverks- och informationssystemens integritet när det gäller systems och anläggningars säkerhet,</SPAN></P>
<P class="p461 ft49"><SPAN class="ft64">•</SPAN><SPAN class="ft65">incidenthanteringsförfaranden, kapacitet att upptäcka incidenter, incidentrapportering och kommunikation när det gäller incident- hantering,</SPAN></P>
<P class="p462 ft8"><SPAN class="ft64">•</SPAN><SPAN class="ft34">strategier för tjänstekontinuitet samt beredskapsplaner, kapacitet för katastrofberedskap när det gäller driftskontinuitetshantering och</SPAN></P>
<P class="p463 ft8"><SPAN class="ft64">•</SPAN><SPAN class="ft34">strategier för övervakning och loggning, beredskapsövningar, test- ning av nätverk och informationssystem, säkerhetsbedömningar och övervakning av efterlevnaden när det gäller övervakning, revision och testning.</SPAN></P>
<P class="p235 ft8">Antagandet av en genomförandeakt får till följd att svensk lagstift- ning som står i strid med genomförandeakten måste ändras i enlig- het med denna.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">216</P>
</DIV>
</DIV>
<DIV id="page_217">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336217x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td72"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td73"><P class="p22 ft33">Leverantörer av digitala tjänster</P></TD>
</TR>
</TABLE>
<P class="p63 ft8">Att regelverket för leverantörer av digitala tjänster inte innehåller mer långtgående eller specificerade säkerhetskrav hindrar inte att sådana krav kan ställas genom avtalsförpliktelser aktörerna emellan. Ett exempel på när detta kan aktualiseras är då offentliga förvalt- ningar använder tjänster som erbjuds av leverantörer av digitala tjänst- er, särskilt molntjänster (skäl 54).</P>
<P class="p11 ft8">Myndigheten för samhällsskydd och beredskap bör, till dess att eventuella genomförandeakter antas enligt artikel 16.9, få meddela föreskrifter om på vilket sätt skyldigheten att rapportera incidenter ska fullgöras och om incidentrapportens utformning. Skälen för detta utvecklas i avsnitt 7.3.2.</P>
<P class="p157 ft35"><SPAN class="ft35">10.4</SPAN><SPAN class="ft113">Tillsyn</SPAN></P>
<P class="p464 ft8"><SPAN class="ft43">Förslag: </SPAN>Tillsynsåtgärder beträffande leverantörer av digitala tjänst- er får vidtas endast när tillsynsmyndigheten har fått kännedom om att leverantören inte uppfyller de krav som lagen ställer.</P>
<P class="p344 ft8">Vid tillsyn ska en leverantör av digitala tjänster tillhandahålla tillsynsmyndigheten den information som behövs för en bedöm- ning av säkerheten i leverantörernas nätverk och informations- system, inbegripet dokumenterade säkerhetsprinciper.</P>
<P class="p77 ft8">När det gäller tillsyn över leverantörer av digitala tjänster ska den behöriga myndigheten inte ha någon allmän skyldighet att utöva tillsyn, vilket är en skillnad mot vad som gäller beträffande leveran- törer av samhällsviktiga tjänster. Bakgrunden är att leverantörer av digitala tjänster bör omfattas av mindre ingripande, reaktiv efter- handstillsyn som är anpassad till deras tjänsters och verksamheters art. Medlemsstaterna ska säkerställa att de behöriga myndigheterna vid behov vidtar åtgärder genom tillsynsåtgärder i efterhand, när de har mottagit bevis på att en leverantör av digitala tjänster inte upp- fyller kraven i <NOBR>NIS-direktivet.</NOBR> Sådana bevis får läggas fram av en be- hörig myndighet i en annan medlemsstat där tjänsten tillhandahålls. Tillsynsmyndigheten kan också få kännedom om att leverantören inte uppfyller kraven från leverantören av digitala tjänster själv, från en annan tillsynsmyndighet eller från en tjänsteanvändare, särskilt efter en incident (skäl 60). Även incidentrapporteringen till CSIRT- enheten kan leda till att tillsynsmyndigheten får sådana bevis.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">217</P>
</DIV>
</DIV>
<DIV id="page_218">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Leverantörer av digitala tjänster</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p465 ft8">De behöriga myndigheterna ska ha de befogenheter och medel som krävs för att ålägga leverantörer av digitala tjänster att a) till- handahålla den information som behövs för en bedömning av säker- heten i deras nätverk och informationssystem, inbegripet dokumen- terade säkerhetsprinciper, och b) åtgärda varje underlåtenhet att uppfylla kraven. (artikel <NOBR>17.1–17.2</NOBR> b)</P>
<P class="p51 ft8">Bestämmelser motsvarande <NOBR>NIS-direktivets</NOBR> bestämmelser bör tas in i den nya lagen.</P>
<P class="p51 ft8">Frågan om vilken myndighet som ska utöva tillsyn över leveran- törer av digitala tjänster samt tillsynsmyndighetens befogenheter behandlas i kapitel 8.</P>
<P class="p165 ft35"><SPAN class="ft35">10.5</SPAN><SPAN class="ft113">Sanktioner</SPAN></P>
<P class="p54 ft8"><NOBR>NIS-direktivet</NOBR> ålägger medlemsstaterna att fastställa regler om sank- tioner för överträdelse av nationella bestämmelser som har antagits enligt direktivet och vidta alla nödvändiga åtgärder för att se till att de tillämpas. Sanktionerna ska vara effektiva, proportionella och avskräckande. Medlemsstaterna ska anmäla dessa regler och åtgär- der till kommissionen senast den 9 maj 2018 samt utan dröjsmål even- tuella ändringar som berör dem. Frågan om sanktioner behandlas i kapitel 9.</P>
<P class="p466 ft80"><SPAN class="ft35">10.6</SPAN><SPAN class="ft114">Information till andra medlemsstater och allmänheten samt frivillig incidentrapportering</SPAN></P>
<P class="p460 ft8">Frågorna om skyldigheten att lämna information till andra medlems- stater och allmänheten om en incident (artikel <NOBR>16.6–7)</NOBR> samt frågan om frivillig incidentrapportering (artikel 20.1) behandlas i avsnitt 11.2.3 och 7.3.4.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">218</P>
</DIV>
</DIV>
<DIV id="page_219">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336219x1.jpg/" id="img1">
</DIV>
<P class="p467 ft78"><SPAN class="ft7">11</SPAN><SPAN class="ft117">Nationell kontaktpunkt, CSIRT- enhet och samarbetsgrupp</SPAN></P>
<P class="p266 ft35"><SPAN class="ft35">11.1</SPAN><SPAN class="ft113">Nationell kontaktpunkt</SPAN></P>
<P class="p327 ft11"><SPAN class="ft11">11.1.1</SPAN><SPAN class="ft115">Inledning</SPAN></P>
<P class="p441 ft8">Enligt <NOBR>NIS-direktivet</NOBR> ska det utses en gemensam nationell kontakt- punkt för säkerhet i nätverk och informationssystem. Rollen kan tilldelas en befintlig myndighet och om bara en behörig myndighet utses ska den behöriga myndigheten också vara gemensam kontakt- punkt (artikel 8.3).</P>
<P class="p12 ft8">Enligt kommittédirektiven ska Myndigheten för samhällsskydd och beredskap (MSB) anförtros rollen som nationell kontaktpunkt.</P>
<P class="p199 ft11"><SPAN class="ft11">11.1.2</SPAN><SPAN class="ft115">Nationell kontaktpunkt i Sverige</SPAN></P>
<P class="p393 ft8"><SPAN class="ft43">Förslag: </SPAN>Myndigheten för samhällsskydd och beredskap ska utses till nationell kontaktpunkt.</P>
<P class="p402 ft8">Syftet med <NOBR>NIS-direktivet</NOBR> är att förbättra den inre marknadens funktion genom att skapa tillit och förtroende. Därför måste den nationella kontaktpunkten kunna samarbeta effektivt med ekono- miska aktörer och ha en struktur som är förenlig med detta.</P>
<P class="p11 ft8">Mot bakgrund av det uppdrag som MSB har i dag på informa- tionssäkerhetsområdet samt den kompetens som finns inom myndig- heten kan det konstateras att MSB har den struktur som krävs för att samordna frågor angående säkerhet i nätverk informationssystem samt ansvara för kommunikation och gränsöverskridande samarbete i anslutning till detta, se avsnitt 11.1.5. MSB ska därför ha rollen som nationell kontaktpunkt.</P>
<P class="p468 ft18">219</P>
</DIV>
<DIV id="page_220">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336220x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Nationell kontaktpunkt, <NOBR>CSIRT-enhet</NOBR> och samarbetsgrupp</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p179 ft11"><SPAN class="ft11">11.1.3</SPAN><SPAN class="ft115">Den nationella kontakpunktens uppgift</SPAN></P>
<P class="p273 ft8"><SPAN class="ft43">Förslag: </SPAN>Myndigheten för samhällsskydd och beredskap ska full- göra de uppgifter som åligger den nationella kontaktpunkten enligt <NOBR>NIS-direktivet</NOBR> samt de uppgifter som regeringen bestämmer.</P>
<P class="p275 ft8">Den nationella kontaktpunkten ska underlätta gränsöverskridande samarbete och kommunikation samt göra det möjligt att genomföra <NOBR>NIS-direktivet</NOBR> på ett effektivt sätt. Den nationella kontaktpunkten ska ha ansvar för samordningen av frågor angående säkerhet i nätverk informationssystem och gränsöverskridande samarbete på unionsnivå.</P>
<P class="p51 ft8">Medlemsstaterna ska säkerställa att den nationella kontaktpunkt- en samarbetar på ett effektivt och säkert sätt i samarbetsgruppen (artikel 8.5), se avsnitt 11.3.</P>
<P class="p61 ft45">Sambandsfunktion</P>
<P class="p60 ft8">Den nationella kontaktpunkten ska utöva en sambandsfunktion för att säkerställa gränsöverskridande samarbete mellan medlemsstater- nas myndigheter och med de berörda myndigheterna i andra med- lemsstater samt med den samarbetsgrupp som inrättas genom NIS- direktivet, se avsnitt 11.3, och <NOBR>CSIRT-nätverket,</NOBR> se avsnitt 11.2.5 (artiklarna 11, 12 och 8.4). Den gemensamma nationella kontakt- punkten ska när det är lämpligt och förenligt med svensk rätt samråda och samarbeta med relevanta nationella rättsvårdande myndigheter och med dataskyddsmyndigheter (artikel 8.6).</P>
<P class="p93 ft45">Incidentrapportering</P>
<P class="p68 ft8">Den gemensamma nationella kontaktpunkten ska på begäran av <NOBR>CSIRT-enheten</NOBR> vidarebefordra incidentrapporter till gemensamma nationella kontaktpunkter i andra medlemsstater som påverkats av en incident hos en leverantör av samhällsviktiga tjänster (artikel 14.5).</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">220</P>
</DIV>
</DIV>
<DIV id="page_221">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336221x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td74"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td75"><P class="p22 ft33">Nationell kontaktpunkt, <NOBR>CSIRT-enhet</NOBR> och samarbetsgrupp</P></TD>
</TR>
</TABLE>
<P class="p137 ft11"><SPAN class="ft11">11.1.4</SPAN><SPAN class="ft115">Samarbetet mellan ansvariga myndigheter</SPAN></P>
<P class="p339 ft8"><SPAN class="ft43">Förslag: </SPAN>Myndigheten för samhällsskydd och beredskap ska år- ligen lämna en sammanfattande rapport till samarbetsgruppen om de incidentrapporter som mottagits. Av rapporten ska framgå antalet mottagna incidentrapporter, incidenternas art och vidtagna säkerhetsåtgärder.</P>
<P class="p402 ft8">Tillsynsmyndigheterna, den gemensamma nationella kontaktpunk- ten och <NOBR>CSIRT-enheten</NOBR> ska samarbeta när det gäller fullgörandet av <NOBR>NIS-direktivet</NOBR> (artikel 10.1).</P>
<P class="p11 ft8">Den gemensamma nationella kontaktpunkten ska senast den 9 augusti 2018, och därefter en gång om året, lämna en sammanfattan- de rapport till samarbetsgruppen om de rapporter som mottagits, inklusive antalet rapporter och de rapporterade incidenternas art, samt om vilka åtgärder som vidtagits i enlighet med artiklarna 14.3, 14.5, 16.3 och 16.6 (artikel 10.3).</P>
<P class="p58 ft8">Rapporten ska säkerställa att medlemsstaterna och kommissionen får information avseende incidentrapporteringen på ett ändamåls- enligt sätt. Den sammanfattande rapporten bör utöver uppgifter om antalet mottagna incidentrapporter samt information om de rappor- terade incidenternas art, även innehålla information om vilka typer av säkerhetsöverträdelser det rör sig om eller hur allvarliga eller lång- variga de varit. Rapporten bör vara anonymiserad för att bevara rap- porternas konfidentialitet och identiteten på leverantörer av sam- hällsviktiga tjänster och leverantörer av digitala tjänster, eftersom information om de rapporterande enheternas identitet inte krävs för utbyte av bästa praxis inom samarbetsgruppen. (skäl 33)</P>
<P class="p157 ft11"><SPAN class="ft11">11.1.5</SPAN><SPAN class="ft115">Myndigheten för samhällsskydd och beredskap</SPAN></P>
<P class="p67 ft8">Myndigheten för samhällsskydd och beredskaps uppdrag regleras i förordningen (2008:1002) med instruktion för Myndigheten för sam- hällskydd och beredskap.</P>
<P class="p11 ft8">Myndigheten för samhällsskydd och beredskap (MSB) har enligt 1 § ansvar för frågor om skydd mot olyckor, krisberedskap och civilt försvar, i den utsträckning inte någon annan myndighet har</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">221</P>
</DIV>
</DIV>
<DIV id="page_222">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Nationell kontaktpunkt, <NOBR>CSIRT-enhet</NOBR> och samarbetsgrupp</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p142 ft8">ansvaret. Ansvaret avser åtgärder före, under och efter en olycka eller en kris. Myndigheten ska</P>
<P class="p161 ft8"><SPAN class="ft64">•</SPAN><SPAN class="ft34">utveckla och stödja samhällets beredskap mot olyckor och kriser och vara pådrivande i arbetet med förebyggande och sårbarhets- reducerande åtgärder,</SPAN></P>
<P class="p161 ft49"><SPAN class="ft64">•</SPAN><SPAN class="ft65">arbeta med samordning mellan berörda aktörer i samhället för att förebygga och hantera olyckor och kriser,</SPAN></P>
<P class="p184 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">bidra till att minska konsekvenser av olyckor och kriser,</SPAN></P>
<P class="p204 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">följa upp och utvärdera samhällets krisberedskapsarbete, och</SPAN></P>
<P class="p302 ft49"><SPAN class="ft64">•</SPAN><SPAN class="ft65">se till att utbildning och övningar kommer till stånd inom myn- dighetens ansvarsområde.</SPAN></P>
<P class="p469 ft8">När det gäller förebyggande och förberedande arbete ska myndig- heten enligt 2 § i samverkan med myndigheter, kommuner, landsting, organisationer och företag identifiera och analysera sådana sårbar- heter, hot och risker i samhället som kan anses vara särskilt allvarliga. Myndigheten ska vidare tillsammans med de ansvariga myndigheter- na genomföra en övergripande planering av åtgärder som bör vidtas. Myndigheten ska värdera, sammanställa och rapportera resultatet av arbetet till regeringen.</P>
<P class="p52 ft8">När det gäller samordning och stöd vid olyckor och kriser ska myndigheten enligt 7 § ha förmågan att bistå med stödresurser i sam- band med allvarliga olyckor och kriser samt stödja samordningen av berörda myndigheters åtgärder vid en kris. Myndigheten ska se till att berörda aktörer vid en kris får tillfälle att</P>
<P class="p292 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">samordna krishanteringsåtgärderna,</SPAN></P>
<P class="p185 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">samordna information till allmänhet och media,</SPAN></P>
<P class="p470 ft49"><SPAN class="ft64">•</SPAN><SPAN class="ft65">effektivt använda samhällets samlade resurser och internationella förstärkningsresurser, och</SPAN></P>
<P class="p279 ft49"><SPAN class="ft64">•</SPAN><SPAN class="ft65">samordna stödet till centrala, regionala och lokala organ i fråga om information och lägesbilder.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">222</P>
</DIV>
</DIV>
<DIV id="page_223">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t16">
<TR>
<TD class="tr7 td74"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td75"><P class="p22 ft33">Nationell kontaktpunkt, <NOBR>CSIRT-enhet</NOBR> och samarbetsgrupp</P></TD>
</TR>
</TABLE>
<P class="p471 ft8">Myndigheten ska ha förmågan att bistå Regeringskansliet med under- lag och information i samband med allvarliga olyckor och kriser.</P>
<P class="p472 ft8">För uppföljning, utvärdering och lärande ska myndigheten en- ligt 10 § såväl områdesvis som på en övergripande samhällsnivå följa upp och utvärdera krisberedskapen och bedöma om vidtagna åt- gärder fått önskad effekt. Vidare ska myndigheten kunna göra en samlad bedömning av olycksutvecklingen och det säkerhetsarbete som är kopplat till den.</P>
<P class="p334 ft8">Myndigheten ska enligt 11 § se till att erfarenheter tas till vara från inträffade olyckor och kriser. Till stöd för detta ska myndig- heten tillhandahålla tvärsektoriella och samlade bilder och bedöm- ningar samt utveckla kompetens och metodik inom området som tillgodoser nationella, regionala och lokala behov.</P>
<P class="p188 ft8">När det gäller informationssäkerhet ska myndigheten enligt 11 a § stödja och samordna arbetet med samhällets informationssäkerhet samt analysera och bedöma omvärldsutvecklingen inom området. I detta ingår att lämna råd och stöd i fråga om förebyggande arbete till andra statliga myndigheter, kommuner och landsting samt företag och organisationer. Myndigheten ska årligen lämna en rapport till regeringen med en sammanställning av de incidenter som rappor- terats in till myndigheten enligt 20 § förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap (KBF). Inför sammanställning av rapporten ska myn- digheten inhämta upplysningar från Säkerhetspolisen och Försvars- makten om de incidenter som rapporterats in till de myndigheterna enligt 10 a § säkerhetsskyddsförordningen (1996:633). Myndigheten ska även rapportera till regeringen om förhållanden på informations- säkerhetsområdet som kan leda till behov av åtgärder inom olika nivåer och områden i samhället. Myndigheten ska enligt 11 b § an- svara för att Sverige har en nationell funktion med uppgift att stödja samhället i arbetet med att förebygga och hantera <NOBR>it-incidenter.</NOBR> Myndigheten ska i detta arbete</P>
<P class="p473 ft8"><SPAN class="ft64">•</SPAN><SPAN class="ft34">agera skyndsamt vid inträffade </SPAN><NOBR>it-incidenter</NOBR> genom att sprida information samt vid behov arbeta med samordning av åtgärder och medverka i arbetet som krävs för att avhjälpa eller lindra effek- ter av det inträffade,</P>
<P class="p474 ft49"><SPAN class="ft64">•</SPAN><SPAN class="ft65">samverka med myndigheter med särskilda uppgifter inom infor- mationssäkerhetsområdet, och</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">223</P>
</DIV>
</DIV>
<DIV id="page_224">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Nationell kontaktpunkt, <NOBR>CSIRT-enhet</NOBR> och samarbetsgrupp</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p475 ft8"><SPAN class="ft64">•</SPAN><SPAN class="ft34">vara Sveriges kontaktpunkt gentemot motsvarande funktioner i andra länder samt utveckla samarbetet och informationsutbytet med dessa.</SPAN></P>
<P class="p120 ft8">Myndigheten ska enligt 17 a § vara Sveriges kontaktpunkt för skydd av europeisk kritisk infrastruktur enligt artikel 10.1 i rådets direktiv 2008/114/EG av den 8 december 2008 om identifiering av, och klassi- ficering som, europeisk kritisk infrastruktur och bedömning av be- hovet att stärka skyddet av denna.</P>
<P class="p87 ft8">Myndigheten får med stöd av 21 § 1 KBF meddela föreskrifter som behövs för verkställigheten av 8 § KBF om risk- och sårbar- hetsanalyser. Enligt 19 § KBF ansvarar varje myndighet för att egna informationshanteringssystem uppfyller sådana grundläggande och särskilda säkerhetskrav att myndighetens verksamhet kan utföras på ett tillfredsställande sätt. Därvid ska behovet av säkra ledningssystem särskilt beaktas. Myndigheten får enligt 21 § 2 KBF meddela före- skrifter om sådana säkerhetskrav som avses i 19 § med beaktande av nationell och internationell standard. MSB har utfärdat uppdate- rade föreskrifter om statliga myndigheters systematiska informa- tionssäkerhetsarbete i april 2016. I de nya föreskrifterna skärptes kraven på myndigheterna på en rad punkter. Förändringen föranled- des av att en genomförd undersökning av statliga myndigheters in- formationssäkerhetsarbete påvisat brister. (MSB, En bild av myndig- heternas informationssäkerhet, 2014)</P>
<P class="p86 ft8">I april 2016 infördes ett krav i 20 § KBF på att statliga myndig- heter skyndsamt ska rapportera <NOBR>it-incidenter</NOBR> som inträffat i myn- dighetens informationssystem och som allvarligt kan påverka säker- heten i den informationshantering som myndigheten ansvarar för eller i tjänster som myndigheten tillhandhåller åt en annan organi- sation. Rapporteringen ska ske till MSB. Myndigheten får med stöd av 21 § 4 KBF, efter att ha gett Polismyndigheten, Säkerhetspolisen och Försvarsmakten tillfälle att yttra sig, meddela de ytterligare före- skrifter som behövs för verkställighet av 20 § första stycket KBF om rapportering av <NOBR>it-incidenter.</NOBR></P>
<P class="p87 ft8">Arbetet med informationssäkerhet bedrivs vid <SPAN class="ft9">avdelningen för utveckling av samhällskydd </SPAN>som inbegriper Verksamhet för cyber- säkerhet och skydd av samhällsviktig verksamhet. Verksamheten är indelad i fyra enheter.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">224</P>
</DIV>
</DIV>
<DIV id="page_225">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td74"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td75"><P class="p22 ft33">Nationell kontaktpunkt, <NOBR>CSIRT-enhet</NOBR> och samarbetsgrupp</P></TD>
</TR>
</TABLE>
<P class="p351 ft9">Enheten för verksamhetssamordning och strategisk analys <SPAN class="ft8">ansvarar för stöd avseende verksamhetens planering och uppföljning, budget- arbete samt rapportering. Enheten har det sammanhållande ansvaret för att samordna och stödja arbetet med remisser, uppdrag och ut- redningar samt </SPAN><NOBR><SPAN class="ft8">kommunikations-,</SPAN></NOBR><SPAN class="ft8"> forsknings- och studiefrågor, nationell och internationell samverkan. Enheten ansvarar också för att analysera och bedöma omvärldsutvecklingen på området. I detta arbete ingår den årliga rapporten till regeringen samt verksamhetens stöd till bl.a. myndighetens centrala analysprocess.</SPAN></P>
<P class="p188 ft9">Enheten för skydd av kritisk infrastruktur och cybersäkerhet <SPAN class="ft8">ska driva och hålla samman arbetet med skydd av samhällsviktig verk- samhet och ansvara för myndighetens uppgifter att vara Sveriges kontaktpunkt för skydd av europeisk kritisk infrastruktur. I detta ingår att stödja och utveckla samhällets arbete med kontinuitets- hantering och kritiska beroenden samt att arbeta med rymdväder- samordning. Enheten ska, med fokus på kritisk informationsinfra- struktur, lämna råd och stöd till tekniskt förebyggande arbete inom området till andra statliga myndigheter, kommuner och landsting samt företag och organisationer. Bland annat erbjuds vägledningar som stöd för säkerhet i industriella kontroll- och informations- system liksom tillgång till övningsverksamhet. Enheten svarar för myndighetens arbete med säkra kryptografiska funktioner för det civila samhället och för arbetet med myndighetens uppdrag vad avser eter- och medieberedskap. Enheten leder och samordnar arbetet med informationssäkerhet i myndighetens externa kommunikations- tjänster för ledning och samverkan så att den externa kravställning- en tillgodoses. Enheten ansvarar vidare för att analysera och bedöma omvärldsutvecklingen inom sitt område.</SPAN></P>
<P class="p189 ft9">Enheten för operativ cybersäkerhet och <NOBR>it-incidenthantering</NOBR> <SPAN class="ft8">ska upprätthålla funktionen </SPAN><NOBR><SPAN class="ft8">CERT-SE,</SPAN></NOBR><SPAN class="ft8"> som är en del av det internatio- nella nätverket av Computer Emergency Response Teams (CERT). Enheten ska vara den operativa kontaktpunkten gentemot motsva- rande funktioner i andra länder. Enheten ska säkerställa att verksam- heten i sin helhet kan agera skyndsamt vid inträffade </SPAN><NOBR><SPAN class="ft8">it-incidenter</SPAN></NOBR><SPAN class="ft8"> genom att sprida information samt vid behov samordna åtgärder och medverka i arbete som krävs för att avhjälpa eller lindra effek- ter av det inträffade. Enheten tar emot de rapporter som statliga myn- digheter lämnar in med anledning av den obligatoriska </SPAN><NOBR><SPAN class="ft8">it-incident-</SPAN></NOBR><SPAN class="ft8"> rapporteringen i 20 § KBF. Enheten har ansvar för att operativt stödja</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">225</P>
</DIV>
</DIV>
<DIV id="page_226">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Nationell kontaktpunkt, <NOBR>CSIRT-enhet</NOBR> och samarbetsgrupp</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p476 ft8">arbetet med <NOBR>it-säkerhet</NOBR> i de av myndighetens externa kommunika- tionstjänster för ledning och samverkan som kräver detta. Enheten ansvarar för webbplatsen CERT.se. Enheten ansvarar för att analy- sera och bedöma omvärldsutvecklingen inom sitt område. I detta ingår löpande omvärldsbevakning, att producera och delge anpassad information till relevanta aktörer.</P>
<P class="p86 ft9">Enheten för systematiskt informationssäkerhetsarbete <SPAN class="ft8">ska lämna råd och stöd om förebyggande informationssäkerhetsarbete till andra statliga myndigheter, kommuner och landsting samt företag och orga- nisationer. I detta ingår att lämna råd och stöd till statliga myndig- heter, kommuner och landsting i arbetet med risk- och sårbarhets- analyser samt kontinuitetshantering på området informationssäker- het. Enheten ansvarar för webbplatsen www.informationssäkerhet.se och förvaltar även det metodstöd som har tagits fram för att underlätta för organisationer att etablera ett systematiskt informa- tionssäkerhetsarbete i enlighet med </SPAN><NOBR><SPAN class="ft8">ISO-standarderna</SPAN></NOBR><SPAN class="ft8"> på området. Metodstödet, liksom en rad vägledningar och annat stöd, finns pub- licerat på www.informationssäkerhet.se. Webbplatsen är ett sam- arbetsprojekt mellan </SPAN><NOBR><SPAN class="ft8">SAMFI-myndigheterna.</SPAN></NOBR><SPAN class="ft8"> Enheten ansvarar för att analysera och bedöma omvärldsutvecklingen inom sitt område.</SPAN></P>
<P class="p477 ft8">Myndigheten deltar i nationella samarbeten på informationssäker- hetsområdet och driver ett antal forum i flera sektorer, i syfte att dela information mellan stat, näringsliv och andra relevanta organi- sationer avseende informationssäkerhetsaspekter (hälso- och sjuk- vård, finans, drift, telekom och SCADA). Myndigheten driver också mediernas beredskapsråd där målet är att medieföretagen kan förmed- la nyheter, samhällsinformation och viktigt meddelande till allmän- heten (VMA) i krissituationer och ytterst i krig. Myndigheten driver vidare ett nätverk för myndighetsansvariga i statliga myndigheter (SNITS) i syfte att stödja myndigheterna i deras arbete med infor- mationssäkerhet. Svenskt <NOBR>CERT-forum</NOBR> är ett annat forum som myn- digheten driver i syfte att bl.a. diskutera förhållningssätt runt aktuella <NOBR>it-säkerhetshändelser.</NOBR> Utöver de ovan nämnda forumen deltar myn- digheten i KIS (kommunnätverket, NIS (Landstingsnätverket) och SWITS som är ett forskningsnätverk. Myndigheten arbetar också med standardisering och ingår i en teknisk standardiseringskom- mitté.</P>
<P class="p478 ft49">Myndigheten har, i sin samordningsroll på informationssäker- hetsområdet, knutit till sig ett <SPAN class="ft52">informationssäkerhetsråd </SPAN>med bred</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">226</P>
</DIV>
</DIV>
<DIV id="page_227">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td74"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td75"><P class="p22 ft33">Nationell kontaktpunkt, <NOBR>CSIRT-enhet</NOBR> och samarbetsgrupp</P></TD>
</TR>
</TABLE>
<P class="p479 ft8">representation från både offentlig förvaltning och näringslivet. Infor- mationssäkerhetsrådet ska i huvudsak bistå myndigheten med</P>
<P class="p480 ft8"><SPAN class="ft64">•</SPAN><SPAN class="ft34">information om utvecklingstrender inom området informations- säkerhet, det vill säga skydd av information och säkring av infor- mationssystem,</SPAN></P>
<P class="p481 ft49"><SPAN class="ft64">•</SPAN><SPAN class="ft65">synpunkter på inriktning, prioritering och genomförande av MSB:s arbete inom området,</SPAN></P>
<P class="p482 ft8"><SPAN class="ft64">•</SPAN><SPAN class="ft34">kvalitetssäkring och trovärdighet till MSB:s arbete genom att vara rätt sammansatt och ha koppling till vitala samhällsfunktioner och</SPAN></P>
<P class="p483 ft49"><SPAN class="ft64">•</SPAN><SPAN class="ft65">att bidra till spridning av information om MSB:s arbete med in- formationssäkerhet i omvärlden.</SPAN></P>
<P class="p484 ft8"><SPAN class="ft9">SAMFI </SPAN>är en grupp bestående av myndigheter med särskilda upp- gifter inom området informationssäkerhet. Gruppen träffas sex gånger per år och syftet är att underlätta samarbetet genom informations- utbyte och samverkan. I gruppen ingår Försvarsmakten, Försvarets materielverk, Försvarets radioanstalt, Post- och telestyrelsen, Polis- myndigheten, Säkerhetspolisen och MSB. SAMFI bildades 2003 i samband med en framtagen strategi för samhällets informations- säkerhet. SAMFI verkar för säkra informationstillgångar i samhället avseende förmågan att upprätthålla önskad konfidentialitet, riktig- het och tillgänglighet samt genom informationsutbyte och samverkan stödja de medverkande myndigheternas arbete avseende samhällets informationssäkerhet i syfte att uppfylla visionen. Myndigheten har ansvaret för SAMFI.</P>
<P class="p188 ft8">Myndigheten deltar i internationella samarbeten som rör informa- tions- och cybersäkerhet, t.ex. policyutveckling, operativt samarbete och informationsdelning. MSB deltar i enlighet med kommittédirek- tiven i <NOBR>CSIRT-nätverket</NOBR> och samarbetsgruppen som etablerats med anledning av <NOBR>NIS-direktivet.</NOBR> MSB:s övriga internationella samarbete inbegriper bland annat samarbete mellan nordiska nationella CERT- funktioner och samarbete inom nätverket European Governmental CERT:s (EGC), samt internationell samverkan kring säkerhet i it- produkter, säkerhet i industriella informations- och styrsystem, cybersäkerhet i finansiella tjänster och standardisering kopplad till informationssäkerhet (ISO). Myndigheten deltar i den <NOBR>privat-offent-</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">227</P>
</DIV>
</DIV>
<DIV id="page_228">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336228x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Nationell kontaktpunkt, <NOBR>CSIRT-enhet</NOBR> och samarbetsgrupp</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8">liga plattformen för nät- och informationssäkerhet <NOBR>(NIS-plattformen)</NOBR> samt representerar Sverige i Natos planeringsgrupp för industriella resurser och kommunikationer (IRCSG). Myndigheten deltar också i internationell övningsverksamhet som exempelvis EU:s Cyber Europe, Natos Cyber Coalition och USA:s Cyber Storm. I flera av dessa övningar arrangerar MSB en nationell övning i anslutning till de nämnda övningarna med ytterligare deltagare.</P>
<P class="p485 ft35"><SPAN class="ft35">11.2</SPAN><SPAN class="ft113">Enhet för hantering av </SPAN><NOBR>it-säkerhetsincidenter</NOBR> <NOBR>(CSIRT-enhet)</NOBR></P>
<P class="p353 ft11"><SPAN class="ft11">11.2.1</SPAN><SPAN class="ft115">Inledning</SPAN></P>
<P class="p486 ft10">Varje medlemsstat ska utse en eller flera incidenthanteringsorgan, <NOBR>CSIRT-enheter<SPAN class="ft42">1</SPAN>,</NOBR> som ska ansvara för hanteringen av incidenter och risker i enlighet med ett tydligt fastställt förfarande. En CSIRT- enhet får inrättas inom en behörig myndighet som uppfyller kraven i bilaga 1 till <NOBR>NIS-direktivet.</NOBR> (artikel 9.1) <NOBR>CSIRT-enheten</NOBR> ska upp- fylla grundläggande krav för att garantera effektiv och kompatibel kapacitet att hantera incidenter och risker samt säkerställa ett effek- tivt samarbete på unionsnivå.</P>
<P class="p487 ft8">För att alla typer av leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster ska kunna dra nytta av sådan kapa- citet och sådant samarbete bör medlemsstaterna säkerställa att alla typer av leverantörer omfattas av en utsedd <NOBR>CSIRT-enhet.</NOBR></P>
<P class="p52 ft8">Genom <NOBR>NIS-direktivet</NOBR> har Europarlamentet och rådet inrättat ett nätverk för nationella <NOBR>CSIRT-enheter,</NOBR> <NOBR>CSIRT-nätverket</NOBR> (arti- kel 1.2 c).</P>
<P class="p197 ft8">Med tanke på vikten av internationellt samarbete på området cybersäkerhet, bör <NOBR>CSIRT-enheterna</NOBR> kunna delta i andra interna- tionella samarbetsnätverk utöver det <NOBR>CSIRT-nätverk</NOBR> som inrättats genom <NOBR>NIS-direktivet</NOBR> (skäl 34).</P>
<P class="p197 ft8"><NOBR>CSIRT-enheten</NOBR> ska ha tillgång till lämplig, säker och motstånds- kraftig kommunikations- och informationsinfrastruktur på nationell nivå (artikel 9.3).</P>
<P class="p488 ft38"><SPAN class="ft37">1 </SPAN>CSIRT=Computer Security Incident Response Team.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">228</P>
</DIV>
</DIV>
<DIV id="page_229">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336229x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td74"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td75"><P class="p22 ft33">Nationell kontaktpunkt, <NOBR>CSIRT-enhet</NOBR> och samarbetsgrupp</P></TD>
</TR>
</TABLE>
<P class="p489 ft8">Enligt kommittédirektiven bör Sveriges <NOBR>CSIRT-organisation</NOBR> finnas hos Myndigheten för samhällsskydd och beredskap.</P>
<P class="p199 ft11"><SPAN class="ft11">11.2.2</SPAN><NOBR><SPAN class="ft115">CSIRT-enhet</SPAN></NOBR> i Sverige</P>
<P class="p393 ft8"><SPAN class="ft43">Förslag: </SPAN>Myndigheten för samhällsskydd och beredskap ska utses till <NOBR>CSIRT-enhet.</NOBR></P>
<P class="p402 ft8">Kraven på <NOBR>CSIRT-enheten</NOBR> framgår av artikel 9 i <NOBR>NIS-direktivet</NOBR> samt i punkt 1 i bilaga 1 till direktivet. Det är bland annat krav på kom- munikationstjänster, säkerhet avseende lokaler och informations- system, driftskontinuitet och möjligheter till internationellt sam- arbete.</P>
<P class="p331 ft8">Myndigheten för samhällsskydd och beredskap (MSB) svarar för att Sverige har en nationell funktion med uppgift att stödja sam- hället i arbetet med att förebygga och hantera <NOBR>it-incidenter.</NOBR> Arbetet sker genom MSB:s <NOBR>CERT-verksamhet<SPAN class="ft36">2</SPAN></NOBR><SPAN class="ft36"> </SPAN>som har benämningen CERT- SE. Till <NOBR>MSB/CERT-SE:s</NOBR> uppgifter hör bland annat att agera skynd- samt vid inträffade <NOBR>it-incidenter</NOBR> genom att sprida information samt vid behov arbeta med samordning av åtgärder och medverka i arbetet som krävs för att avhjälpa eller lindra effekter av det inträffade samt samverka med myndigheter med särskilda uppgifter inom informa- tionssäkerhetsområdet. <NOBR>MSB/CERT-SE</NOBR> är Sveriges kontaktpunkt gentemot motsvarande funktioner i andra länder och mot den CERT- organisation som ansvarar för <NOBR>it-incidenthantering</NOBR> inom EU:s in- stitutioner, <NOBR>CERT-EU,</NOBR> och ska utveckla samarbetet och informa- tionsutbytet med dessa funktioner. Det är också <NOBR>MSB/CERT-SE</NOBR> som tar emot de rapporter som statliga myndigheter lämnar med an- ledning av den obligatoriska <NOBR>it-incidentrapporteringen</NOBR> (20 § KBF). I avvaktan på att ett tekniskt rapporteringsverktyg är driftssatt till- handahåller <NOBR>MSB/CERT-SE</NOBR> i dag en kryptolösning för säker kom- munikation vid överföring av <NOBR>it-incidentrapporterna.</NOBR> Rapporterings- verktyget är tänkt att tas i bruk under 2017.</P>
<P class="p12 ft8">Mot bakgrund av det uppdrag MSB har på informationssäker- hetsområdet och den kompetens som finns inom myndigheten be-</P>
<P class="p425 ft38"><SPAN class="ft37">2 </SPAN>Computer Emergency Response Team.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">229</P>
</DIV>
</DIV>
<DIV id="page_230">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336230x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Nationell kontaktpunkt, <NOBR>CSIRT-enhet</NOBR> och samarbetsgrupp</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8">dömer utredningen att MSB ska ha rollen som Sveriges CSIRT- enhet. <NOBR>MSB/CERT-SE</NOBR> har också tillgång till sådan lämplig, säker och motståndskraftig kommunikations- och informationsinfrastruk- tur som avses i <NOBR>NIS-direktivet</NOBR> (artikel 9.4).</P>
<P class="p213 ft11"><SPAN class="ft11">11.2.3</SPAN><NOBR><SPAN class="ft115">CSIRT-enhetens</SPAN></NOBR> uppgift</P>
<P class="p273 ft8"><SPAN class="ft43">Förslag: </SPAN>Myndigheten för samhällsskydd och beredskap ska full- göra de uppgifter som åligger <NOBR>CSIRT-enheten</NOBR> enligt <NOBR>NIS-direk-</NOBR> tivet och punkt 2 i bilaga 1 till <NOBR>NIS-direktivet.</NOBR></P>
<P class="p274 ft8"><NOBR>CSIRT-enheten</NOBR> ska ta emot de incidentrapporter som läm- nas enligt den nya lagen.</P>
<P class="p274 ft8"><NOBR>CSIRT-enheten</NOBR> ska informera den eller de andra berörda med- lemsstaterna, om en incident som rapporterats av leverantörer av samhällsviktiga tjänster har en betydande inverkan på kontinuite- ten i samhällsviktiga tjänster i den medlemsstaten.</P>
<P class="p274 ft8"><NOBR>CSIRT-enheten</NOBR> ska, om det är lämpligt, informera andra med- lemsstater som påverkats av en incident som rapporterats av en leverantör av digitala tjänster.</P>
<P class="p274 ft8">Efter samråd med den rapporterande leverantören av samhälls- viktiga tjänster får <NOBR>CSIRT-enheten</NOBR> informera allmänheten om enskilda incidenter. En förutsättning för detta är att allmänheten behöver känna till incidenten för att det ska vara möjligt att för- hindra en incident eller åtgärda en pågående incident.</P>
<P class="p337 ft8"><NOBR>CSIRT-enheten</NOBR> får, efter samråd med den berörda leverantören av digitala tjänster, förplikta leverantören av digitala tjänster att informera allmänheten om enskilda incidenter. En förutsättning för detta är att allmänheten behöver känna till incidenten för att det ska vara möjligt att förhindra en incident eller åtgärda en på- gående incident eller om incidentens avslöjande på annat sätt omfattas av allmänintresset.</P>
<P class="p274 ft8"><NOBR>CSIRT-enheten</NOBR> ska när det är möjligt överlämna relevant in- formation som kan bidra till en effektiv hantering av incidenten och det förebyggande arbetet till den rapporterande leverantören av samhällsviktiga tjänster.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">230</P>
</DIV>
</DIV>
<DIV id="page_231">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td74"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td75"><P class="p22 ft33">Nationell kontaktpunkt, <NOBR>CSIRT-enhet</NOBR> och samarbetsgrupp</P></TD>
</TR>
</TABLE>
<P class="p96 ft8">MSB svarar för att Sverige har en nationell funktion med uppgift att stödja samhället i arbetet med att förebygga och hantera <NOBR>it-inci-</NOBR> denter. Arbetet sker genom MSB:s <NOBR>CERT-verksamhet.</NOBR></P>
<P class="p106 ft8"><NOBR>CSIRT-enhetens</NOBR> uppgift anges i <NOBR>NIS-direktivet</NOBR> samt i punkt 2 i bilaga 1 till <NOBR>NIS-direktivet.</NOBR> Det är bland annat uppgifter som rör incidentrapporteringen, samverkan med privat sektor och gemensam praxis för att underlätta samarbete avseende incidenthantering.</P>
<P class="p11 ft8">Utredningen har i avsnitt 7.3.2 kommit fram till att CSIRT- enheten ska ta emot de incidentrapporter som upprättas till följd av <NOBR>NIS-direktivet.</NOBR></P>
<P class="p64 ft45">Ta emot incidentrapporter</P>
<P class="p57 ft8">Till <NOBR>CSIRT-enhetens</NOBR> uppgifter hör bland annat att ta emot rapporter om incidenter samt fastställa incidentens eventuella gränsöverskri- dande verkningar (artiklarna 14.3 och 16.3). Närmare bestämmelser om <NOBR>CSIRT-enhetens</NOBR> uppgifter i samband med incidentrapportering framgår av punkt 2 i bilaga 2 till <NOBR>NIS-direktivet.</NOBR></P>
<P class="p11 ft8">Närmare bestämmelser om när leverantörer av samhällsviktiga tjänster är skyldiga att rapportera incidenter samt vilka faktorer som ska användas för att fastställa om en incident har en betydande inverkan enligt artikel 14.4 får meddelas i myndighetsföreskrifter (artikel 14.7), se avsnitt 7.3.2.</P>
<P class="p11 ft8">Närmare bestämmelser om format och förfarande avseende rap- porteringskraven för leverantörer av digitala tjänster ska fastställas i genomförandeakter som antas av kommissionen (artikel 16.9). Med- lemsstaterna får inte införa ytterligare rapporteringskrav för leve- rantörer av digitala tjänster (artikel 16.10).</P>
<P class="p58 ft8"><NOBR>CSIRT-enheten</NOBR> kommer genom sitt uppdrag att hantera uppgifter om incidenter från leverantörer som tillhandahåller samhällsviktiga tjänster och digitala tjänster. Dessutom hanteras incidenter från stat- liga myndigheter. Uppgifterna tillsammans kan komma att ge infor- mation om sårbarheter i det svenska samhället som kan utgöra in- formation som är av betydelse för Sveriges säkerhet. Vilka krav på som ska ställas på hanteringen av uppgifterna bör bedömas i MSB:s säkerhetskyddsanalys.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">231</P>
</DIV>
</DIV>
<DIV id="page_232">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Nationell kontaktpunkt, <NOBR>CSIRT-enhet</NOBR> och samarbetsgrupp</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p102 ft45">Information till andra medlemsstater</P>
<P class="p68 ft8"><NOBR>CSIRT-enheten</NOBR> eller den behöriga myndigheten ska, mot bakgrund av informationen i rapporten från leverantören av den samhällsvik- tiga tjänsten, informera den eller de andra berörda medlemsstaterna, om incidenten har en betydande inverkan på kontinuiteten i samhälls- viktiga tjänster i den medlemsstaten. På begäran av <NOBR>CSIRT-enheten</NOBR> eller den behöriga myndigheten ska den gemensamma kontaktpunkt- en vidarebefordra rapporterna till gemensamma kontaktpunkter i andra medlemsstater som påverkats av incidenten (artikel 14.5).</P>
<P class="p51 ft8">När det gäller incidenter som rapporterats av leverantörer av digi- tala tjänster ska, om så är lämpligt, och särskilt om incidenten be- rör två eller flera medlemsstater, <NOBR>CSIRT-enheten</NOBR> eller den behöriga myndigheten informera andra medlemsstater som har påverkats (artikel 16.6).</P>
<P class="p51 ft8">Vid sådan rapportering ska <NOBR>CSIRT-enheten</NOBR> eller den behöriga myndigheten och den nationella kontaktpunkten, i enlighet med unionsrätten eller med nationell lagstiftning som är förenlig med unionsrätten, bevara nämnda leverantörs säkerhetsintressen och kom- mersiella intressen samt konfidentialiteten hos informationen i leve- rantörens rapport (artiklarna 14.5 och 16.6). När det gäller uppgifter om produkters sårbara aspekter ska dessa hållas strikt konfidentiella till dess lämpliga säkerhetslösningar har släppts (skäl 59), se kapitel 12.</P>
<P class="p52 ft8">Utredningen bedömer att <NOBR>CSIRT-enheten</NOBR> ska ha uppgiften att informera andra medlemsstater i samband med rapporterade inci- denter.</P>
<P class="p61 ft45">Information till leverantören</P>
<P class="p60 ft8">När omständigheterna tillåter ska den behöriga myndigheten eller <NOBR>CSIRT-enheten</NOBR> förse den rapporterande leverantören av samhälls- viktiga tjänster med relevant information om uppföljningen av rap- porten, såsom information som skulle kunna bidra till effektiv hantering av incidenten (artikel 14.5). En väl fungerande incident- hantering är en viktig del i det förebyggande informationssäkerhets- arbetet och skapar förutsättningar för att anpassa säkerhetsåtgärder allteftersom hot och risker förändras, se avsnitt 7.3.1.</P>
<P class="p51 ft49">Utredningen bedömer att uppgiften att förse leverantören med information ska anförtros <NOBR>CSIRT-enheten.</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">232</P>
</DIV>
</DIV>
<DIV id="page_233">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td74"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td75"><P class="p22 ft33">Nationell kontaktpunkt, <NOBR>CSIRT-enhet</NOBR> och samarbetsgrupp</P></TD>
</TR>
</TABLE>
<P class="p80 ft45">Information till allmänheten</P>
<P class="p57 ft8">Efter samråd med den rapporterande leverantören av samhällsvik- tiga tjänster får den behöriga myndigheten eller <NOBR>CSIRT-enheten</NOBR> in- formera allmänheten om enskilda incidenter, om allmänheten be- höver känna till dem för att det ska vara möjligt att förhindra en incident eller åtgärda en pågående incident (artikel 14.6).</P>
<P class="p11 ft8">Efter samråd med den berörda leverantören av digitala tjänster får den behöriga myndigheten eller <NOBR>CSIRT-enheten</NOBR> och, om så är lämpligt, <NOBR>CSIRT-enheter</NOBR> eller behöriga myndigheter i andra berörda medlemsstater, informera allmänheten om enskilda incidenter eller kräva att leverantören av digitala tjänster gör det, om allmänheten behöver känna till dem för att det ska vara möjligt att förhindra en incident eller åtgärda en pågående incident eller om incidentens av- slöjande på annat sätt omfattas av allmänintresset (artikel 16.7). Bestämmelsen innebär bl.a. att en leverantör av digitala tjänster kan förpliktas att uppfylla denna informationsskyldighet.</P>
<P class="p12 ft8">Utredningen bedömer att uppgiften att lämna information till allmänheten bör åligga <NOBR>CSIRT-enheten.</NOBR></P>
<P class="p11 ft8">Utredningen ser i och för sig inget hinder mot att <NOBR>CSIRT-enheten</NOBR> eller en behörig myndighet i en annan medlemsstat informerar all- mänheten i Sverige om inträffade incidenter så länge det inte är fråga om uppgifter som omfattas av sekretess. Situationen är en annan i det fall <NOBR>CSIRT-enheten</NOBR> eller en behörig myndighet i en annan med- lemsstat kräver att en leverantör av digitala tjänster under svensk jurisdiktion själv lämnar information enligt bestämmelsen. I dessa fall bör kravet mot leverantören framställas av den svenska CSIRT- enheten efter samråd inom <NOBR>CSIRT-nätverket</NOBR> eller med den behöriga myndigheten i den andra medlemsstaten.</P>
<P class="p11 ft8">En bestämmelse om att <NOBR>CSIRT-enheten</NOBR> får förplikta en leveran- tör av digitala tjänster att informera allmänheten om enskilda in- cidenter, om allmänheten behöver känna till dem för att det ska vara möjlighet att förhindra en incident eller åtgärda en pågående incident eller om incidentens avslöjande på annat sätt omfattas av allmän- intresset, bör införas i den nya lagen.</P>
<P class="p58 ft8">Vid offentliggörande av incidenter som rapporteras till CSIRT- enheten bör allmänhetens intresse av att få information om hot vägas mot eventuell renomméskada och kommersiell skada för de leve-</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">233</P>
</DIV>
</DIV>
<DIV id="page_234">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336234x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Nationell kontaktpunkt, <NOBR>CSIRT-enhet</NOBR> och samarbetsgrupp</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8">rantörer av samhällsviktiga tjänster och de leverantörer av digitala tjänster som rapporterar incidenter (skäl 59).</P>
<P class="p51 ft8"><NOBR>CSIRT-enheter</NOBR> som deltar i <NOBR>CSIRT-nätverket</NOBR> uppmanas att på frivillig grund tillhandahålla den information som ska offentliggöras på den webbplats som <NOBR>CSIRT-nätverket</NOBR> föreslås upprätta, utan att inkludera konfidentiell eller känslig information (skäl 40).</P>
<P class="p213 ft11"><SPAN class="ft11">11.2.4</SPAN><SPAN class="ft115">Brottslig verksamhet</SPAN></P>
<P class="p273 ft8"><SPAN class="ft43">Förslag: </SPAN><NOBR>CSIRT-enheten</NOBR> ska skyndsamt uppmana leverantörer av samhällsviktiga tjänster och digitala tjänster att anmäla inciden- ter som har sin grund i en brottslig gärning till polisen.</P>
<P class="p275 ft8">Incidenter kan vara en följd av brottslig verksamhet, vars förebyg- gande, utredning och lagföring stöds av samordning och samarbete mellan leverantörer av samhällsviktiga tjänster, leverantörer av digitala tjänster, behöriga myndigheter och rättsvårdande myndigheter. Om en incident misstänks ha samband med allvarlig brottslig verksam- het enligt unionsrätt eller nationell rätt, bör medlemsstaterna upp- muntra leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster att rapportera incidenter som misstänks vara av all- varlig brottslig art till de relevanta rättsvårdande myndigheterna. När så är lämpligt är det önskvärt att samordningen mellan behöriga myndigheter och rättsvårdande myndigheter i olika medlemsstater underlättas av Europeiska <NOBR>it-brottscentrumet</NOBR> (EC3) och Enisa. (skäl 62)</P>
<P class="p111 ft8">När det gäller statliga myndigheters incidentrapportering ska MSB, om det kan antas att incidenten har sin grund i en brottslig gärning, skyndsamt uppmana den rapporterande myndigheten att anmäla incidenten till polisen (20 § fjärde stycket KBF).</P>
<P class="p51 ft8">Frågan om hur polisens tillgång till information om vissa <NOBR>it-inci-</NOBR> denter ska öka har behandlats i departementspromemorian <SPAN class="ft9">Polisens tillgång till information om vissa </SPAN><NOBR><SPAN class="ft9">it-incidenter</SPAN></NOBR><SPAN class="ft9"> </SPAN>(Ds 2016:22). I pro- memorian förslås när det gäller statliga myndigheters incidentrappor- tering en skyldighet för MSB att lämna uppgift om sådana incidenter som rapporterats enligt 20 § första stycket KBF till Polismyndig- heten om det finns anledning att anta att incidenten har sin grund i en brottslig gärning. Alternativt framhålls en möjlighet att regeringen</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">234</P>
</DIV>
</DIV>
<DIV id="page_235">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td74"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td75"><P class="p22 ft33">Nationell kontaktpunkt, <NOBR>CSIRT-enhet</NOBR> och samarbetsgrupp</P></TD>
</TR>
</TABLE>
<P class="p96 ft8">genom myndighetsstyrning säkerställer att ett effektivt och ända- målsenligt informationssamarbete etableras mellan myndigheterna.</P>
<P class="p106 ft8">Det har kommit till utredningens kännedom att MSB och Polis- myndigheten nu har träffat en överenskommelse om informations- utbytet.</P>
<P class="p11 ft8">I departementspromemorian görs också bedömningen att varken bestämmelser om sekretess eller bestämmelser om behandling av per- sonuppgifter normalt utgör ett hinder mot att MSB lämnar infor- mation om rapporterade <NOBR>it-angrepp</NOBR> till Polismyndigheten. Vidare framgår att bestämmelserna om sekretess i de brottsbekämpande myndigheternas verksamhet och regelverket i övrigt ger myndigheter- na goda förutsättningar att skydda skyddsvärda uppgifter om it- incidenter under utredningen och i domstol vid ett eventuellt åtal.</P>
<P class="p11 ft8">Utredningens bedömning är att MSB, som föreslås vara CSIRT- enhet, skyndsamt ska uppmana leverantörer av samhällsviktiga tjänster och digitala tjänster att anmäla incidenten som har sin grund i en brottslig gärning till polisen. I kravet på att uppmana leverantören ingår, enligt utredningens uppfattning, att i samtliga fall där leveran- tören inte själv anmält incidenten till polisen kontakta leverantören och undersöka orsaken till att incidenten inte polisanmälts.</P>
<P class="p106 ft8">När det gäller polisens tillgång till information om incidenter som har sin grund i en brottslig gärning bör informationssamarbetet mellan MSB och Polismyndigheten hanteras på samma sätt som in- formation om incidenter som rapporteras av statliga myndigheter.</P>
<P class="p58 ft8">Utredningen anser att det är viktigt att alla <NOBR>it-incidenter</NOBR> som kan antas utgöra ett brott anmäls och utreds samt att individer som be- går denna typ av brott lagförs. I samband med tillkomsten av den bestämmelse som reglerar förutsättningarna för myndigheter att utan hinder av sekretess lämna information om misstänkta brott till brotts- utredande myndigheter, 10 kap. 24 § OSL, uttalas i förarbetena följande (prop. 1983/84:142 s. 19 och 21).</P>
<P class="p490 ft13">För att ett rättssamhälle skall fungera på ett tillfredsställande sätt fordras att samhället ingriper mot brott. Uppgiften att bekämpa brottsligheten ligger i första hand på polisen och åklagarna.</P>
<P class="p491 ft13">– – –</P>
<P class="p492 ft13">Brottsbekämpningen bygger […] inte enbart på polisens övervakande och brottsspanande verksamhet. En solidarisk medverkan från allmän- heten utgör en förutsättning för att brottsligheten skall kunna be- kämpas effektivt. Även insatser från andra myndigheter är betydelse-</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">235</P>
</DIV>
</DIV>
<DIV id="page_236">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336236x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Nationell kontaktpunkt, <NOBR>CSIRT-enhet</NOBR> och samarbetsgrupp</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p493 ft13">fulla. Andra myndigheter har i många fall en rätt och ibland t.o.m. en skyldighet att lämna ut uppgifter om brott till polis eller åklagare. Detta gäller inte sällan även om uppgifterna i övrigt är skyddade av sekretess.</P>
<P class="p494 ft13">– – –</P>
<P class="p495 ft13">Myndigheterna kan delta i kampen mot brottsligheten på många olika sätt. En betydelsefull form av medverkan består i att lämna uppgifter om brott till de direkt brottsbekämpande myndigheterna.</P>
<P class="p496 ft8">Att <NOBR>it-brott</NOBR> inte beivras kan på sikt leda till stora kostnader och konsekvenser för samhället. Regeringen bör därför noga följa upp i vilken utsträckning leverantörerna själva anmäler incidenter som kan antas utgöra brott till polisen samt utvärdera hur informationsut- bytet mellan MSB och Polismyndigheten påverkar brottsbekämp- ningen när det gäller incidenter som rapporterats med stöd av den nya lagen.</P>
<P class="p231 ft11"><SPAN class="ft11">11.2.5</SPAN><NOBR><SPAN class="ft115">CSIRT-nätverket</SPAN></NOBR></P>
<P class="p273 ft8"><SPAN class="ft43">Bedömning: </SPAN>I MSB:s roll som Sveriges <NOBR>CSIRT-enhet</NOBR> ingår att delta i <NOBR>CSIRT-nätverket.</NOBR> MSB ska samarbeta i nätverket på ett ändamålsenligt, effektivt och säkert sätt.</P>
<P class="p275 ft8"><NOBR>CSIRT-nätverket</NOBR> ska bidra till utveckling av förtroende och tillit mellan medlemsstaterna och främja ett snabbt och effektivt opera- tivt samarbete (artikel 12.1).</P>
<P class="p51 ft8"><NOBR>CSIRT-nätverket</NOBR> ska bestå av företrädare för medlemsstaternas <NOBR>CSIRT-enheter</NOBR> och <NOBR>CERT-EU.</NOBR> Kommissonen ska delta i CSIRT- nätverket som observatör. Enisa (Europeiska unionens byrå för nät- och informationssäkerhet) ska tillhandahålla sekretariat och aktivt stödja samarbetet mellan <NOBR>CSIRT-enheterna.</NOBR> (artikel 12.2)</P>
<P class="p197 ft8"><NOBR>CSIRT-nätverket</NOBR> ska ha de uppgifter som följer av artikel <NOBR>12.3–5</NOBR> i <NOBR>NIS-direktivet.</NOBR></P>
<P class="p51 ft8"><NOBR>CSIRT-nätverket</NOBR> ska informera samarbetsgruppen om sin verk- samhet (artikel 12.2 g). Med avseende på den översyn som kommis- sionen ska göra ska <NOBR>CSIRT-nätverket,</NOBR> senast den 9 augusti 2018 och därefter med 1,5 års mellanrum, utarbeta en rapport med en bedöm- ning av erfarenheterna av det operativa samarbetet enligt artikel 12,</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">236</P>
</DIV>
</DIV>
<DIV id="page_237">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td74"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td75"><P class="p22 ft33">Nationell kontaktpunkt, <NOBR>CSIRT-enhet</NOBR> och samarbetsgrupp</P></TD>
</TR>
</TABLE>
<P class="p371 ft8">inklusive slutsatser och rekommendationer. Rapporten ska även överlämnas till samarbetsgruppen.</P>
<P class="p188 ft8">Information om incidenter blir allt mer värdefull för allmänheten och företag, särskilt för små och medelstora företag. I vissa fall till- handahålls sådan information redan via webbplatser på nationell nivå, på ett specifikt lands språk, och är främst inriktad på incidenter och händelser med en nationell dimension. Eftersom företag i allt större utsträckning bedriver gränsöverskridande verksamhet och medborgare använder onlinetjänster, bör information om incidenter tillhanda- hållas i samlad form på unionsnivå. <NOBR>CSIRT-nätverkets</NOBR> sekretariat uppmuntras att upprätta en webbplats eller upplåta utrymme åt en särskild sida på en befintlig webbplats, där allmän information om allvarliga incidenter i unionen görs tillgänglig för allmänheten. Infor- mationen ska vara särskilt inriktad på företags intressen och behov. (skäl 40)</P>
<P class="p497 ft8">Övningar där incidentscenarier simuleras i realtid är viktiga för att testa medlemsstaternas beredskap och samarbete när det gäller säkerhet i nätverk informationssystem. Övningsserien CyberEurope, som samordnas av Enisa med deltagande av medlemsstaterna är ett användbart verktyg för att testa och utarbeta rekommendationer för hur incidenthanteringen på unionsnivå bör förbättras med tiden. Med tanke på att medlemsstaterna för närvarande inte har någon skyldighet att vare sig planera eller delta i övningar, bör inrättandet av <NOBR>CSIRT-nätverket</NOBR> enligt <NOBR>NIS-direktivet</NOBR> göra det möjligt för med- lemsstaterna att delta i övningar på grundval av noggrann planering och strategiska val. Den samarbetsgrupp som inrättas enligt NIS- direktivet bör diskutera de strategiska besluten om övningar, särskilt men inte enbart, när det gäller övningarnas regelbundenhet och ut- formningen av scenarierna. MSB representerar Sverige i samarbets- gruppen. Enisa bör i enlighet med sitt mandat stödja anordnandet och genomförandet av unionsomfattande övningar genom att till- handahålla expertis och rådgivning till samarbetsgruppen och CSIRT- nätverket (skäl 42).</P>
<P class="p189 ft8">I MSB:s roll som Sveriges <NOBR>CSIRT-enhet</NOBR> ingår att delta i det <NOBR>CSIRT-nätverk</NOBR> som inrättats. MSB ska samarbeta i nätverket på ett ändamålsenligt, effektivt och säkert sätt (artikel 9.2).</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">237</P>
</DIV>
</DIV>
<DIV id="page_238">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336238x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Nationell kontaktpunkt, <NOBR>CSIRT-enhet</NOBR> och samarbetsgrupp</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p179 ft11"><SPAN class="ft11">11.2.6</SPAN><SPAN class="ft115">Samarbetet mellan ansvariga myndigheter</SPAN></P>
<P class="p273 ft8"><SPAN class="ft43">Förslag</SPAN>: <NOBR>CSIRT-enheten</NOBR> ska skyndsamt överlämna incident- rapporterna till den tillsynsmyndighet som utövar tillsyn över den rapporterande leverantören.</P>
<P class="p275 ft8">Tillsynsmyndigheten, den nationella kontaktpunkten och CSIRT- enheten ska samarbeta när det gäller fullgörandet av <NOBR>NIS-direktivet</NOBR> (artikel 10.1).</P>
<P class="p51 ft8"><NOBR>CSIRT-enheten</NOBR> ska informera den nationella kontaktpunkten om de incidentrapporter som lämnats in enligt <NOBR>NIS-direktivet</NOBR> samt de övriga uppgifter som den nationella kontaktpunkten behöver för sin rapportering till samarbetsgruppen. (artikel 10.3). Detta ankom- mer på MSB i rollen som både nationell kontaktpunkt och CSIRT- enhet.</P>
<P class="p111 ft8">Incidentrapporteringen är ett viktigt underlag för de tillsynsmyn- digheter som övervakar tillämpningen av den nya lagen. Det möjlig- gör både utövandet av en effektiv tillsyn och identifiering av brister som behöver åtgärdas genom t.ex. förelägganden och nya före- skrifter.</P>
<P class="p51 ft8">Mot bakgrund av att incidentrapporteringen ska göras till CSIRT- enheten behövs det en bestämmelse som reglerar skyldigheten för <NOBR>CSIRT-enheten</NOBR> att överlämna relevanta incidentraporter till respek- tive tillsynsmyndighet. När det är möjligt ska <NOBR>CSIRT-enheten</NOBR> också förse den rapporerande leverantören med annan relevant information.</P>
<P class="p165 ft35"><SPAN class="ft35">11.3</SPAN><SPAN class="ft113">Samarbetsgrupp</SPAN></P>
<P class="p353 ft11"><SPAN class="ft11">11.3.1</SPAN><SPAN class="ft115">Inledning</SPAN></P>
<P class="p460 ft8">Europaparlamentet och rådet inrättar genom <NOBR>NIS-direktivet</NOBR> en sam- arbetsgrupp i syfte att stödja och underlätta strategiskt samarbete och utbyte av information mellan medlemsstaterna och att utveckla förtroende och tillit mellan dem i syfte att uppnå en hög gemensam nivå på säkerheten i nätverk informationssystem i unionen (artik- larna 1.2 b och 11.1).</P>
<P class="p51 ft8">I kommittédirektiven anges att Myndigheten för samhällsskydd och beredskap (MSB) ska delta i den samarbetsgrupp som skapats.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">238</P>
</DIV>
</DIV>
<DIV id="page_239">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336239x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td74"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td75"><P class="p22 ft33">Nationell kontaktpunkt, <NOBR>CSIRT-enhet</NOBR> och samarbetsgrupp</P></TD>
</TR>
</TABLE>
<P class="p137 ft11"><SPAN class="ft11">11.3.2</SPAN><SPAN class="ft115">Företrädare för Sverige i samarbetsgruppen</SPAN></P>
<P class="p393 ft8"><SPAN class="ft43">Bedömning. </SPAN>Myndigheten för samhällsskydd och beredskap ska företräda Sverige i samarbetsgruppen.</P>
<P class="p402 ft8">Mot bakgrund av det uppdrag som MSB har i dag på informations- säkerhetsområdet samt den kompetens som finns inom myndighet ska MSB företräda Sverige i samarbetsgruppen.</P>
<P class="p157 ft11"><SPAN class="ft11">11.3.3</SPAN><SPAN class="ft115">Samarbetsgruppens uppgifter</SPAN></P>
<P class="p423 ft8"><SPAN class="ft43">Bedömning. </SPAN>Myndigheten för samhällsskydd och beredskap ska fullgöra de uppgifter som ankommer på den som företräder Sverige i samarbetsgruppen enligt <NOBR>NIS-direktivet</NOBR> samt de uppgifter som regeringen bestämmer.</P>
<P class="p77 ft8">Samarbetsgruppen ska ha de uppgifter som följer av artikel 11.3 i <NOBR>NIS-direktivet</NOBR> och ska utföra sina uppgifter på grundval av tvååriga arbetsprogram (artikel 11.1 och 11.3 andra stycket). Arbetspro- grammet med åtgärder som ska vidtas för att genomföra gruppens mål och uppgifter ska överensstämma med målen för <NOBR>NIS-direktivet.</NOBR> Arbetsprogrammen utarbetas av samarbetsgruppen och det första ska vara klart senast den 9 februari 2018.</P>
<P class="p58 ft8">Samarbetsgruppen består av företrädare för medlemsstaterna, kommissionen och Enisa (Europeiska unionens byrå för nät- och in- formationssäkerhet). När det är lämpligt får samarbetsgruppen bjuda in företrädare för de berörda parterna att delta i arbetet. Kommis- sionen tillhandhåller sekretariat. (artikel 11.2)</P>
<P class="p106 ft8">Förfarandet för samarbetsgruppens verksamhet framgår av genomförandeakter som ska antas av kommissionen (artikel 11.5).</P>
<P class="p11 ft8">Samarbetsgruppen ska också hjälpa medlemsstaterna att tillämpa ett enhetligt tillvägagångssätt i förfarandet för identifieringen av leverantörer av samhällsviktiga tjänster (artiklarna 5.6 och 11.3 l). För att samarbetsgruppen ska få information om incidenter ska den natio- nella kontaktpunkten lämna en sammanfattande rapport till sam- arbetsgruppen, se avsnitt 11.1.4. <NOBR>CSIRT-nätverket</NOBR> ska informera samarbetsgruppen om sin verksamhet samt delge rapport om erfaren- heter och samarbetet i <NOBR>CSIRT-nätverket,</NOBR> se avsnitt 11.2.5.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">239</P>
</DIV>
</DIV>
<DIV id="page_240">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336240x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Nationell kontaktpunkt, <NOBR>CSIRT-enhet</NOBR> och samarbetsgrupp</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p85 ft8">Eftersom de flesta nätverk och informationssystem drivs privat är det mycket viktigt med samarbete mellan offentlig och privat sektor. Leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster bör uppmuntras att upprätta egna informella sam- arbetsmekanismer för att säkerställa säkerheten i nätverk informa- tionssystem. Samarbetsgruppen bör vid behov kunna bjuda in berörda parter till diskussionerna. För att effektivt uppmuntra utbyte av in- formation och bästa praxis är det mycket viktigt att säkerställa att samarbetet inte leder till nackdelar för de leverantörer av samhälls- viktiga tjänster och leverantörer av digitala tjänster som deltar i så- dana utbyten. (skäl 35)</P>
<P class="p205 ft8">För att bygga upp kapacitet och kunskap bland medlemsstaterna bör samarbetsgruppen också fungera som ett instrument för utbyte av bästa praxis, diskussioner om medlemsstaternas kapacitet och beredskap och, på frivillig grund, bistå medlemmarna vid utvärde- ring av nationella strategier för säkerhet i nätverk informations- system, vid kapacitetsuppbyggnad och utvärderingar av övningar som avser säkerheten i nätverk informationssystem. (skäl 36)</P>
<P class="p205 ft8">Samarbetsgruppens och Enisas respektive uppgifter är beroende av och kompletterar varandra. Enisa bör generellt bistå samarbets- gruppen i utförandet av dess uppgifter i enlighet med Enisas mål en- ligt Europaparlamentets och rådets förordning (EU) nr 526/2013<SPAN class="ft36">3</SPAN>, nämligen att bistå unionens institutioner, organ och byråer samt medlemsstaterna med att genomföra de strategier som krävs för att uppfylla rättsliga och regleringsmässiga krav på säkerhet i nätverk informationssystem i befintliga och framtida unionsrättsakter. Enisa bör särskilt tillhandahålla bistånd på de områden som motsvarar dess egna uppgifter enligt förordning (EU) nr 526/2013, nämligen att analysera strategier för säkerhet i nätverk informationssystem, stödja anordnandet och genomförandet av övningar på unionsnivå som avser säkerhet i nätverk informationssystem samt utbyta infor- mation och bästa praxis vad gäller åtgärder för ökad medvetenhet och utbildning. Enisa bör också delta i utarbetandet av riktlinjer för sektorspecifika kriterier för fastställande av hur betydande en in- cidents inverkan är. (skäl 38)</P>
<P class="p498 ft38"><SPAN class="ft37">3 </SPAN>Europaparlamentets och rådets förordning (EU) nr 526/2013 av den 21 maj 2013 om Europeiska unionens byrå för nät- och informationssäkerhet (Enisa) och om upphävande av förordning (EG) nr 460/2004.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">240</P>
</DIV>
</DIV>
<DIV id="page_241">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t16">
<TR>
<TD class="tr7 td74"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td75"><P class="p22 ft33">Nationell kontaktpunkt, <NOBR>CSIRT-enhet</NOBR> och samarbetsgrupp</P></TD>
</TR>
</TABLE>
<P class="p499 ft8">I syfte att främja avancerad säkerhet i nätverk informationssystem bör samarbetsgruppen vid behov samarbeta med berörda unions- institutioner, <NOBR>-organ,</NOBR> och <NOBR>-byråer</NOBR> för att utbyta sakkunskap och bästa praxis samt ge råd om säkerhetsaspekter på nätverk informations- system som kan påverka deras arbete, samtidigt som befintliga arrangemang för utbyte av konfidentiell information respekteras. Vid samarbete med rättsvårdande myndigheter om säkerhetsaspekter på nätverk informationssystem som kan påverka deras arbete bör sam- arbetsgruppen respektera befintliga informationskanaler och etable- rade nätverk. (skäl 39)</P>
<P class="p334 ft8">Övningar där incidentscenarier simuleras i realtid är viktiga för att testa medlemsstaternas beredskap och samarbete när det gäller säkerhet i nätverk informationssystem. Övningsserien CyberEurope, som samordnas av Enisa med deltagande av medlemsstaterna är ett användbart verktyg för att testa och utarbeta rekommendationer för hur incidenthanteringen på unionsnivå bör förbättras med tiden. Med tanke på att medlemsstaterna för närvarande inte har någon skyldighet att vare sig planera eller delta i övningar, bör inrättandet av <NOBR>CSIRT-nätverket</NOBR> enligt <NOBR>NIS-direktivet</NOBR> göra det möjligt för med- lemsstaterna att delta i övningar på grundval av noggrann planering och strategiska val. Den samarbetsgrupp som inrättas enligt NIS- direktivet bör diskutera de strategiska besluten om övningar, särskilt men inte enbart när det gäller övningarnas regelbundenhet och ut- formningen av scenarierna. Enisa bör i enlighet med sitt mandat stödja anordnandet och genomförandet av unionsomfattande övningar genom att tillhandahålla expertis och rådgivning till samarbetsgrupp- en och CSIRT- nätverket. (skäl 42)</P>
<P class="p189 ft8">Mot bakgrund av samarbetsgruppens uppgifter kommer Sveriges företrädare, MSB, behöva samverka med övriga ansvariga myndig- heter enligt <NOBR>NIS-direktivet</NOBR> och övriga som berörs av <NOBR>NIS-direktivet.</NOBR> Det ankommer på MSB att fullgöra de uppgifter som följer av denna samverkan (artikel 8.5).</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">241</P>
</DIV>
</DIV>
<DIV id="page_242">
</DIV>
<DIV id="page_243">
<P class="p4 ft7">12 Sekretess</P>
<P class="p69 ft35"><SPAN class="ft35">12.1</SPAN><SPAN class="ft113">Inledning</SPAN></P>
<P class="p73 ft8">Utredaren ska ta ställning till om bestämmelserna i offentlighets- och sekretesslagen (2009:400) (OSL) innebär ett tillräckligt skydd för uppgifter som kan komma att rapporteras med anledning av en <NOBR>it-incident</NOBR> eller om nuvarande lagstiftning behöver ändras och vid sådant behov föreslå författningsändringar.</P>
<P class="p11 ft8">Utredaren ska vidare undersöka om det behövs en uppgiftsskyl- dighet för att uppgifter som följer av direktivet ska kunna delas mellan de svenska aktörer som träffas av direktivet och Myndigheten för samhällsskydd och beredskap (MSB) och vid behov föreslå författ- ningsändringar. Utredaren ska också ta ställning till behovet av för- fattningsändringar för att möjliggöra utbyte av andra uppgifter än sådana som rör rikets säkerhet med andra medlemsstater och kom- missionen och vid behov föreslå sådana ändringar.</P>
<P class="p11 ft8">De bestämmelser som av intresse är bestämmelser om sekretess till skydd främst för intresset av att förebygga eller beivra brott (18 kap. OSL), sekretess till skydd för det allmännas ekonomiska intresse (19 kap. OSL), sekretess till skydd för enskild i verksamhet som avser tillsyn m.m. i fråga om näringslivet (30 kap. OSL), bestämmelser om utlämnande (8 kap. OSL), sekretess till skydd för rikets säkerhet eller dess förhållande till andra stater eller mellanfolkliga organisationer (15 kap. OSL) och sekretessbrytande bestämmelser (10 kap. OSL).</P>
<P class="p64 ft45">Offentlighetsprincipen</P>
<P class="p113 ft8">Offentlighetsprincipen har olika beståndsdelar. Bestämmelserna i re- geringsformen (RF) om yttrande- och informationsfrihet gäller för dem som är verksamma hos det allmänna – de s.k. offentliga funk- tionärerna – lika väl som för medborgarna i allmänhet. I RF slås också</P>
<P class="p500 ft18">243</P>
</DIV>
<DIV id="page_244">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Sekretess</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8">principen om domstolsförhandlingars offentlighet fast. Tryckfrihets- förordningen (TF) innehåller å sin sida bestämmelser om – förutom tryckfriheten – allmänna handlingars offentlighet samt om den s.k. meddelarfriheten, som innebär stora möjligheter att lämna informa- tion för publicering i tidningar och andra tryckta skrifter. Såvitt gäller andra grundlagsskyddade medier än tryckta skrifter finns bestäm- melser om meddelarfrihet i yttrandefrihetsgrundlagen (YGL).</P>
<P class="p51 ft8">Med handling förstås enligt 2 kap. 3 § första stycket TF en fram- ställning i skrift eller bild eller en upptagning som kan läsas, avlyss- nas eller på annat sätt uppfattas endast med tekniskt hjälpmedel. En handling är allmän om den förvaras hos en myndighet och enligt 6 eller 7 §§ TF är att anse som inkommen till eller upprättad hos en myndighet.</P>
<P class="p51 ft8">Bestämmelserna om allmänna handlingars offentlighet finns i 2 kap. TF. Enligt 2 kap. 2 § andra stycket TF ska varje begränsning i rätten att ta del av allmänna handlingar anges noga i en särskild lag eller i en annan lag som den förstnämnda lagen hänvisar till. Den särskilda lag som åsyftas är OSL.</P>
<P class="p61 ft45">Bestämmelser om sekretess</P>
<P class="p68 ft8">Rätten att ta del av allmänna handlingar får enligt 2 kap. 2 § TF be- gränsas endast när det är påkallat med hänsyn till sju olika uppräk- nade intressen. Flertalet punkter avser det allmännas intressen, bl.a. det allmännas ekonomiska intresse (p. 5). Punkten 6 avser enskildas intressen, nämligen skyddet för enskilds personliga eller ekonomiska förhållanden.</P>
<P class="p239 ft8">Sekretess innebär ett förbud att röja en uppgift, oavsett om det sker genom utlämnande av en handling eller genom att röja uppgiften muntligen eller på något annat sätt (3 kap. 1 § OSL). Sekretessen inne- bär dels handlingssekretess, dels tystnadsplikt. Till den del sekretes- sen innebär tystnadsplikt innebär den en begränsning av yttrande- friheten enligt regeringsformen, och den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande fri- heterna. Förbudet att röja eller utnyttja en uppgift enligt OSL eller annan lagstiftning som OSL hänvisar till gäller för myndigheter. Det finns dock kompletterande bestämmelser om tystnadsplikt i en-</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">244</P>
</DIV>
</DIV>
<DIV id="page_245">
<DIV id="id_1">
<P class="p4 ft19">SOU 2017:36 Sekretess</P>
<P class="p88 ft8">skilda verksamheter, t.ex. 16 § elberedskapslagen (1997:288) och 6 kap. 12 § patientsäkerhetslagen (2010:659).</P>
<P class="p11 ft8">Sekretess gäller som huvudregel inte bara i förhållande till en- skilda utan också mellan myndigheter och inom en myndighet, om det där finns olika verksamhetsgrenar som är att betrakta som själv- ständiga i förhållande till varandra (8 kap. 1 och 2 §§ OSL). I vissa fall måste dock myndigheter kunna utbyta uppgifter för att kunna utföra sina uppgifter. Sekretessregleringen innehåller därför särskilda sekretessbrytande bestämmelser (10 kap. OSL). Dessa har utformats efter en intresseavvägning mellan myndigheternas behov av att utbyta uppgifter och det intresse som den aktuella sekretessbestämmelsen avser att skydda.</P>
<P class="p11 ft8">Sekretessens styrka bestäms i regel med hjälp av s.k. skaderekvisit. Man skiljer mellan raka och omvända skaderekvisit. Vid <SPAN class="ft9">raka skade- rekvisit </SPAN>är utgångspunkten att uppgifterna är offentliga och att sek- retess bara gäller om det kan antas att en viss skada uppkommer om uppgiften röjs. Det <SPAN class="ft9">omvända skaderekvisitet </SPAN>har den omvända ut- gångspunkten, dvs. det uppställer sekretess som huvudregel. Vid ett omvänt skaderekvisit gäller således sekretess om det inte står klart att uppgiften kan röjas utan att viss skada uppstår. En del bestäm- melser innehåller ett <SPAN class="ft9">kvalificerat rakt skaderekvisit</SPAN>, dvs. det krävs sär- skilt mycket för att sekretessen ska gälla. Sekretessen enligt en be- stämmelse kan även vara <SPAN class="ft9">absolut</SPAN>. Vid absolut sekretess ska uppgifter som omfattas av bestämmelsen hemlighållas oavsett skada. Någon skadeprövning ska inte göras i dessa fall.</P>
<P class="p501 ft45">Utbyte av uppgifter med krav på bevarande av konfidentialiteten enligt <NOBR>NIS-direktivet</NOBR></P>
<P class="p57 ft8">Utan att det påverkar tillämpningen av artikel 346 i fördraget om Europeiska unionens funktionssätt <NOBR>(EUF-fördraget)</NOBR> får information som är konfidentiell enligt unionsbestämmelser och nationella be- stämmelser, såsom bestämmelser om affärshemligheter, utbytas med kommissionen och andra relevanta myndigheter endast när sådant ut- byte är nödvändigt för att tillämpa <NOBR>NIS-direktivet.</NOBR> Den information som utbyts ska begränsas till vad som är relevant och proportionellt för ändamålet med utbytet. Vid sådant utbyte ska informationens konfidentialitet bevaras och säkerhetsintressen och kommersiella</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">245</P>
</DIV>
</DIV>
<DIV id="page_246">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Sekretess</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p142 ft8">intressen hos leverantörer av såväl samhällsviktiga tjänster som digi- tala tjänster skyddas. (artikel 1.5)</P>
<P class="p108 ft10">Av artikel 346 <NOBR>EUF-fördraget</NOBR> framgår följande.</P>
<P class="p502 ft13">1. Bestämmelserna i fördragen ska inte hindra tillämpningen av följan- de regler:</P>
<P class="p495 ft13"><SPAN class="ft13">a)</SPAN><SPAN class="ft116">Ingen medlemsstat ska vara förpliktad att lämna sådan information vars avslöjande den anser strida mot sina väsentliga säkerhetsintressen.</SPAN></P>
<P class="p495 ft13"><SPAN class="ft13">b)</SPAN><SPAN class="ft116">Varje medlemsstat får vidta åtgärder, som den anser nödvändiga för att skydda sina väsentliga säkerhetsintressen i fråga om tillverkning av eller handel med vapen, ammunition och krigsmateriel; sådana åtgärder får inte försämra konkurrensvillkoren på den inre marknaden vad gäller varor som inte är avsedda speciellt för militärändamål.</SPAN></P>
<P class="p495 ft13"><SPAN class="ft13">2.</SPAN><SPAN class="ft116">Rådet får på förslag från kommissionen genom enhälligt beslut ändra den lista som rådet den 15 april 1958 fastställde över varor på vilka bestämmelserna i punkt 1b ska tillämpas.</SPAN></P>
<P class="p503 ft9">Leverantörer av samhällsviktiga tjänster <SPAN class="ft8">ska rapportera incidenter som har en betydande inverkan på kontinuiteten i de samhällsviktiga tjänst- er de tillhandahåller till </SPAN><NOBR><SPAN class="ft8">CSIRT-enheten</SPAN></NOBR><SPAN class="ft8"> vid MSB. Mot bakgrund av informationen i rapporten ska </SPAN><NOBR><SPAN class="ft8">CSIRT-enheten</SPAN></NOBR><SPAN class="ft8"> informera andra be- rörda medlemsstater, om incidenten har en betydande inverkan på kontinuiteten i samhällsviktiga tjänster i den medlemsstaten. Därvid ska </SPAN><NOBR><SPAN class="ft8">CSIRT-enheten,</SPAN></NOBR><SPAN class="ft8"> i enlighet med unionsrätten eller med nationell lagstiftning som är förenlig med unionsrätten, bevara nämnda leveran- törs säkerhetsintressen och kommersiella intressen samt konfiden- tialiteten hos informationen i leverantörens rapport. (artikel 14.3 och 14.5). </SPAN><NOBR><SPAN class="ft8">CSIRT-enheten</SPAN></NOBR><SPAN class="ft8"> ska enligt den förordning som utredning- en föreslår också skyndsamt överlämna incidentrapporterna till den tillsynsmyndighet som utövar tillsyn över den rapporterande leve- rantören. När det är möjligt ska </SPAN><NOBR><SPAN class="ft8">CSIRT-enheten</SPAN></NOBR><SPAN class="ft8"> också förse den rapporterande leverantören med annan relevant information.</SPAN></P>
<P class="p51 ft8">Leverantören kan åläggas att tillhandahålla tillsynsmyndigheten information som är nödvändig för att bedöma säkerheten i nätverk och informationssystem, inklusive dokumenterade säkerhetsprin- ciper, liksom information om resultaten av en genomförd säkerhets- revision inklusive de underliggande dokumenten (artikel 15.2).</P>
<P class="p52 ft9">Leverantörer av digitala tjänster <SPAN class="ft8">ska rapportera incidenter som har en avsevärd inverkan på tillhandahållandet av tjänsten till CSIRT- enheten. Om det är lämpligt, och särskilt om incidenten berör två eller fler medlemsstater, ska </SPAN><NOBR><SPAN class="ft8">CSIRT-enheten</SPAN></NOBR><SPAN class="ft8"> informera andra med-</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">246</P>
</DIV>
</DIV>
<DIV id="page_247">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336247x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td76"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td77"><P class="p22 ft33">Sekretess</P></TD>
</TR>
</TABLE>
<P class="p187 ft8">lemsstater som påverkats. Därvid ska <NOBR>CSIRT-enheten,</NOBR> i enlighet med unionsrätten eller nationell lagstiftning som är förenlig med unions- rätten, bevara leverantören av digitala tjänsters säkerhetsintressen och kommersiella intressen samt den tillhandahållna informationens kon- fidentialitet (artikel 16.2 och 16.6).</P>
<P class="p190 ft8">Leverantören kan åläggas att tillhandahålla tillsynsmyndigheten information som är nödvändig för att bedöma säkerheten i nätverk och informationssystem inklusive dokumenterade säkerhetsprinciper (artikel 17.2).</P>
<P class="p504 ft80"><SPAN class="ft35">12.2</SPAN><SPAN class="ft114">Behövs ett starkare skydd för uppgifter som ska rapporteras med anledning av en incident eller som ska tillhandahållas i samband med tillsyn?</SPAN></P>
<P class="p505 ft8"><SPAN class="ft43">Förslag: </SPAN>En ny punkt ska införas i bilagan till offentlighets- och sekretessförordningen (2009:641): tillsyn enligt lagen (2018:000) om informationssäkerhet för vissa tillhandahållare av samhälls- viktiga tjänster och digitala tjänster.</P>
<P class="p506 ft8"><SPAN class="ft43">Bedömning: </SPAN>Skyddet för uppgifter som ska rapporteras och delas med anledning av incidenter samt tillhandahållas i samband med tillsyn enligt lagen (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster samt förordningen (2018:000) om informationssäkerhet för vissa till- handahållare av samhällsviktiga tjänster och digitala tjänster är tillgodosett genom bestämmelserna i OSL förutom när det gäller skyddet för enskilds affärs- eller driftförhållande.</P>
<P class="p507 ft49">Nuvarande sekretesskydd i 18 kap. 8 § 3 OSL är tillräckligt för att skydda uppgifter i incidentrapporteringen.</P>
<P class="p508 ft8">Leverantörer av samhällsviktiga tjänster och digitala tjänster är en- ligt <NOBR>NIS-direktivet</NOBR> skyldiga att rapportera incidenter. Det kan röra sig om uppgifter om namn och kontaktuppgifter på den som rappor- terat, beskrivning av incidenten, när den inträffat, uppgift om in- cidenten är pågående eller avslutad, vilken kategori incidenten tillhör samt bedömning av omfattning och konsekvenser av incidenten.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">247</P>
</DIV>
</DIV>
<DIV id="page_248">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336248x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Sekretess</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p89 ft8">Leverantörer av samhällsviktiga tjänster och digitala tjänster kan även behöva lämna känslig information om bl.a. säkerhets- och bevakningsåtgärder till tillsynsmyndigheten, såsom uppgifter om säkerheten i nätverk och informationssystem samt uppgifter om säkerhetsprinciper. Leverantörer av samhällsviktiga tjänster ska även tillhandahålla uppgifter om genomförda säkerhetsrevisoner.</P>
<P class="p51 ft8">Uppgifterna som rapporteras eller tillhandhålls kan även röra den rapporterande aktörens ekonomiska verksamhet.</P>
<P class="p197 ft8">Nedan följer en genomgång av bestämmelser i OSL som kan vara aktuella.</P>
<P class="p61 ft45">Sekretess till skydd för säkerhets- eller bevakningsåtgärd</P>
<P class="p68 ft8">I 18 kap. 8 § OSL finns bestämmelser om sekretess för olika brotts- förebyggande åtgärder som i huvudsak hänför sig till annan verk- samhet än polisens.</P>
<P class="p51 ft8">Vissa av åtgärderna syftar endast mera indirekt till att förebygga brott. De åtgärder som aktualiseras i samband med incidentrappor- teringen återfinns i punkterna 3 och 4. Bestämmelserna är tillämpliga både hos den myndighet som upprättar och skickar in en incident- rapport och hos den myndighet som tar emot rapporten. Motsvaran- de gäller när uppgifter tillhandahålls i samband med en tillsyn.</P>
<P class="p52 ft8">Sekretess gäller för uppgift som lämnar eller kan bidra till upp- lysning om säkerhets- eller bevakningsåtgärd, om det kan antas att syftet med åtgärden motverkas om uppgiften röjs och åtgärden avser telekommunikation eller system för automatiserad behandling av in- formation, (tredje punkten) eller behörighet att få tillgång till upp- tagning för automatiserad behandling eller annan handling (fjärde punkten) (18 kap. 8 § 3 och 4 OSL).</P>
<P class="p278 ft8">Som exempel på säkerhets- eller bevakningsåtgärder nämns i förarbetena<SPAN class="ft36">1 </SPAN>funktioner för användning av lösenord, loggning och kryptering, installation av brandväggar och antivirusprogram samt administrativa rutiner för t.ex. utdelning av lösenord eller bevakning av loggar och larm. Både uppgifter som direkt lämnar upplysningar om säkerhets- eller bevakningsåtgärder avseende sådana system och uppgifter som kan bidra till att lämna upplysningar om sådana åt-</P>
<P class="p509 ft38"><SPAN class="ft37">1 </SPAN>Prop. 2003/04:93 s 82 f.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">248</P>
</DIV>
</DIV>
<DIV id="page_249">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td76"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td77"><P class="p22 ft33">Sekretess</P></TD>
</TR>
</TABLE>
<P class="p187 ft8">gärder kan hemlighållas om det kan antas att syftet med de vidtagna åtgärderna motverkas om uppgifterna röjs. Som exempel på upp- gifter som kan bidra till att lämna upplysningar om säkerhets- eller bevakningsåtgärder nämns t.ex. i förarbetena uppgift om vilken typ och version av operativsystem som använts. Sådana uppgifter kan hemlighållas om t.ex. en viss version av ett operativsystem har visat sig ha svagheter som gör att det är lätt att olovligen ta sig in i syste- met trots de vidtagna skyddsmekanismerna. En uppgift om vilket operativsystem som används skulle i ett sådant fall indirekt innebära en anvisning för den datatekniskt kunnige om hur man kringgår de vidtagna skyddsåtgärderna. Beskrivningar av hur ett program fungerar i stora drag och vilka typer av uppgifter som bearbetas i ett program bör dock alltid kunna lämnas utan att det kan antas att vidtagna säkerhetsåtgärder motverkas.</P>
<P class="p188 ft8">Den för incidentrapporteringen mest relevanta sekretessbestäm- melsen är bestämmelsen i tredje punkten, angående system för auto- matiserad behandling av information. Med system för automatiserad behandling av information avses system där datorer, telekommuni- kation eller annan teknisk utrustning samverkar för att insamla, ordna, bearbeta, söka och distribuera information. Om en myndighets in- formationssystem har slutat att fungera eller om vissa svagheter i systemet har upptäckts och en incidentrapport lämnas till tillsyns- myndigheten eller till myndighet som tar emot rapporten kan upp- giften om vem som har lämnat rapporten utgöra en säkerhetsrisk, eftersom uppgiften innebär en upplysning om att den aktuella orga- nisationens säkerhetssystem är sårbart. Även en sådan uppgift kan falla under bestämmelsen under förutsättning att skaderekvisitet är uppfyllt.</P>
<P class="p238 ft8">Sekretessen enligt fjärde punkten, avseende uppgift om åtgärd som avser behörighet att få tillgång till upptagning för automatise- rad behandling eller annan handling, gäller i första hand uppgifter om behörighetskoder och behörighetsnycklar samt arrangemang och fördelning av dessa, däremot inte generellt program för hemliga upp- tagningar. Bestämmelsen gäller inte bara behörighet avseende upptag- ningar som utgör hemliga, allmänna handlingar i tryckfrihetsför- ordningens mening, utan gäller behörighet avseende alla typer av handlingar.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">249</P>
</DIV>
</DIV>
<DIV id="page_250">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336250x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Sekretess</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p102 ft45">Sekretess till skydd för chiffer, kod m.m.</P>
<P class="p68 ft8">Sekretess gäller för uppgift som lämnar eller kan bidra till upplys- ning om chiffer, kod eller liknande metod, om det kan antas att syftet med metoden motverkas om uppgiften röjs och metoden har till syfte att antingen underlätta befordran eller användning i allmän verksamhet av uppgifter utan att föreskriven sekretess åsidosätts, eller göra det möjligt att kontrollera om data i elektronisk form har förvanskats (18 kap. 9 § OSL). Sekretessen gäller oberoende av hos vilken myndighet uppgifterna finns. Inom ramen för <NOBR>it-incident-</NOBR> rapporteringen och en tillsyn eller säkerhetsrevision kan uppgifter om chiffer, kod eller liknande metoder som används av informations- säkerhetsskäl komma att hanteras i samband med en teknisk analys av en incident och i tillsynsarbetet.</P>
<P class="p61 ft45">Sekretess till skydd för det allmännas ekonomiska intresse</P>
<P class="p68 ft8">Sekretess gäller i en myndighets affärsverksamhet för uppgift om myndighetens affärs- eller driftförhållanden, om det kan antas att någon som driver likartad rörelse gynnas på myndighetens bekost- nad om uppgiften röjs. Under motsvarande förutsättning gäller sekre- tess hos en myndighet för uppgift om affärs- eller driftförhållanden hos bolag, förening, samfällighet eller stiftelse som driver affärsverk- samhet och där det allmänna genom myndigheten utövar ett bestäm- mande inflytande eller bedriver revision (19 kap. 1 § första stycket).</P>
<P class="p52 ft8">Med affärs- eller driftförhållanden avses förvärv, överlåtelser, upp- låtelser eller användning av egendom, tjänster eller annat. Vidare om- fattas affärshemligheter av mera allmänt slag, marknadsundersök- ningar, marknadsplaneringar, prissättningskalkyler och planer rörande reklamkampanjer. Nämnas kan också sådant som konstruktions- arbeten, utredningar av annat slag, prov, förhandlingar och andra affärshändelser.<SPAN class="ft36">2 </SPAN>Som exempel kan nämnas att Luftfartsverkets drift- handböcker har ansetts omfattas av sekretess.<SPAN class="ft36">3</SPAN></P>
<P class="p51 ft8">Av förarbetena till sekretesslagen framgår att bestämmelsen i första hand tar sikte på att skydda uppgifter hos de affärsdrivande verken men det nämns också att begreppet affärsverksamhet inte</P>
<P class="p510 ft93"><SPAN class="ft103">2</SPAN><SPAN class="ft104">Prop. 1979/80:2 del A s. 145.</SPAN></P>
<P class="p374 ft38"><SPAN class="ft103">3</SPAN><SPAN class="ft105">Kammarrätten i Jönköpings dom den 15 november 2011, mål nr </SPAN><NOBR>2662-11.</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">250</P>
</DIV>
</DIV>
<DIV id="page_251">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336251x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td76"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td77"><P class="p22 ft33">Sekretess</P></TD>
</TR>
</TABLE>
<P class="p88 ft8">får fattas alltför snävt. Enligt vad som uttalas i förarbetena är det utmärkande för affärsverksamhet i allmänhet att verksamheten be- drivs under krav på viss vinst eller åtminstone att den går ihop eko- nomiskt, låt vara att den kan vara delvis subventionerad. Det är vidare i allmänhet fråga om verksamhet som inte kan sägas bestå i fullgöran- de av förvaltningsuppgift i snäv bemärkelse.<SPAN class="ft36">4 </SPAN>Enligt vad regeringen uttalade i prop. 1992/93:43 s. 12 f. om ökad konkurrens i kom- munal verksamhet får de delar av kommunernas och landstingens verksamheter som är konkurrensutsatta anses utgöra annat än full- görande av förvaltningsuppgifter i snäv bemärkelse. Regeringen be- dömde att sekretessbestämmelsen därför torde kunna vara tillämplig på sådan konkurrensutsatt verksamhet hos kommunerna och lands- tingen.<SPAN class="ft36">5</SPAN></P>
<P class="p11 ft8">Får en myndighet en uppgift som är sekretessbelagd enligt 19 kap. 1 § från en annan myndighet blir 1 § tillämplig på uppgiften också hos den mottagande myndigheten under förutsättning att uppgiften inte ingår i ett beslut av den mottagande myndigheten.</P>
<P class="p64 ft45">Sekretess till skydd för enskilds affärs- eller driftförhållanden</P>
<P class="p57 ft8">Uppgifter kan även vara känsliga med hänsyn till leverantörernas eko- nomiska verksamhet. Utredningen ska analysera om det befintliga sekretesskyddet för uppgifter om enskilds affärs- och driftförhål- landen är tillräckligt.</P>
<P class="p58 ft8">Enligt 30 kap. 23 § OSL gäller sekretess i en statlig myndighets verksamhet som består i utredning, planering, prisreglering, tillstånds- givning, tillsyn eller stödverksamhet med avseende på produktion, handel, transportverksamhet eller näringslivet i övrigt, för uppgift om en enskilds affärs- eller driftförhållanden, uppfinningar eller forsk- ningsresultat, om det kan antas att den enskilde lider skada om upp- giften röjs (första punkten), och för uppgift om andra ekonomiska eller personliga förhållanden än som avses i första punkten för den som har trätt i affärsförbindelse eller liknande förbindelse med den som är föremål för myndighetens verksamhet (andra punkten). Be- stämmelsen ger inte i sig själv upphov till någon sekretess utan förut-</P>
<P class="p511 ft93"><SPAN class="ft72">4</SPAN><SPAN class="ft92">Prop. 1979/80:2 del A s. 144 f.</SPAN></P>
<P class="p309 ft38"><SPAN class="ft72">5</SPAN><SPAN class="ft75">Prop. 1993/94:188 sida 89.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">251</P>
</DIV>
</DIV>
<DIV id="page_252">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336252x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Sekretess</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8">sätter att regeringen föreskriver om sekretess. Regeringen har med stöd av första stycket meddelat föreskrifter om sekretess i 9 § offent- lighets- och sekretessförordningen (2009:641) (OSF) i den ut- sträckning som anges i bilagan till OSF. I p. 13 i bilagan anges bl.a. utredning, planering, tillsyn och stödverksamhet hos MSB, i p. 17 tillståndsgivning och tillsyn hos Transportstyrelsen, i p. 26 tillsyn enligt lagen (2012:806) om beredskapsplanering av olja eller enligt motsvarande äldre föreskrifter, p. 28 tillsyn enligt livsmedelslagen (2006:804) och livsmedelsförordningen (2006:813), p. 33 tillsyn en- ligt lagen (1993:584) om medicintekniska produkter, p. 58 tillsyn en- ligt patientsäkerhetslagen (2010:659) och p. 99 tillsyn hos Post- och telestyrelsen.</P>
<P class="p51 ft8">Begreppet affärs- eller driftförhållande har beskrivits ovan. Ordet tillsyn ska inte ges en alltför snäv tolkning utan får anses omfatta alla de fall där en myndighet har en övervakande eller styrande funk- tion i förhållande till näringslivet. Under begreppet tillsyn faller också sådan rådgivning som sker som ett led i en myndighets tillsynsverk- samhet.<SPAN class="ft36">6 </SPAN>Den typ av uppgifter som det i första hand handlar om att sekretessbelägga är enskildas affärs- och driftförhållanden, dvs. upp- gifter som typiskt sett kan vara av intresse för konkurrenter och som skulle skada verksamheten om de blev kända.</P>
<P class="p52 ft8">För sekretess i första punkten gäller rakt skaderekvisit och för andra punkten gäller absolut sekretess.</P>
<P class="p51 ft8">Sekretessen gäller oberoende av hos vilken myndighet uppgift- erna finns.</P>
<P class="p61 ft45">Försvars- och utrikessekretess</P>
<P class="p68 ft8">I 15 kap. <NOBR>1–2</NOBR> §§ OSL regleras utrikes- och försvarssekretessen samt sekretess i det internationella arbetet. Där finns regler om sekretess till skydd för Sveriges säkerhet och Sveriges förhållande till andra stater eller mellanfolkliga organisationer.</P>
<P class="p51 ft8">Utrikessekretess gäller uppgift som rör Sveriges förbindelser med en annan stat eller i övrigt rör annan stat, mellanfolklig organisation, myndighet, medborgare eller juridisk person i annan stat eller stats-</P>
<P class="p512 ft38"><SPAN class="ft37">6 </SPAN>Prop. 1979/80:2 del A s. <NOBR>235–236.</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">252</P>
</DIV>
</DIV>
<DIV id="page_253">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336253x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td76"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td77"><P class="p22 ft33">Sekretess</P></TD>
</TR>
</TABLE>
<P class="p88 ft8">lös, om det kan antas att det stör Sveriges mellanfolkliga förbindelser eller på annat sätt skadar landet om uppgiften röjs (15 kap. 1 § OSL).</P>
<P class="p11 ft8">Sekretess gäller för uppgift som en myndighet har fått från ett utländskt organ på grund av en bindande <NOBR>EU-rättsakt</NOBR> eller ett av EU ingånget eller av riksdagen godkänt avtal med en annan stat eller med en mellanfolklig organisation, om det kan antas att Sveriges möjlig- het att delta i det internationella samarbete som avses i rättsakten eller avtalet försämras om uppgiften röjs (15 kap 1 a § OSL). I denna bestämmelse regleras sekretess för uppgifter som har lämnats till eller inhämtats av en myndighet på grund av en bindande <NOBR>EU-rättsakt.</NOBR> Med bindande <NOBR>EU-rättsakt</NOBR> avses förordning, direktiv eller beslut.<SPAN class="ft36">7</SPAN></P>
<P class="p106 ft8">Försvarssekretess gäller uppgift som rör verksamhet för att för- svara landet eller planläggning eller annan förberedelse av sådan verk- samhet eller som i övrigt rör totalförsvaret, om det kan antas att det skadar landets försvar eller på annat sätt vållar fara för rikets säkerhet om uppgiften röjs. Förekommer sådana uppgifter, t.ex. upp- gifter om funktionssätt och säkerhet i system som har betydelse för samhällets försörjning eller infrastruktur, omfattas de av bestämmel- sen. Bestämmelsen gäller oberoende av hos vilken myndighet upp- gifterna finns (15 kap. 2 § OSL).</P>
<P class="p64 ft45">Behov av starkare sekretess i 18 kap. 8 § 3 OSL?</P>
<P class="p57 ft8">Bestämmelsen i 18 kap. 8 § 3 OSL är utrustad med ett s.k. rakt skaderekvisit. Vid införandet förordade dock flera remissinstanser i stället ett omvänt skaderekvisit.<SPAN class="ft36">8 </SPAN>I samband med att betänkandet</P>
<P class="p513 ft9">Informations- och cybersäkerhet i Sverige – Strategi och åtgärder för säker information i staten <SPAN class="ft8">(SOU 2015:23) remitterades pekade flera remissinstanser på att sekretesskyddet för aktuella uppgifter behöver ses över. MSB framförde i det sammanhanget att det kan finnas an- ledning att överväga möjligheten att föreskriva om absolut sekretess för </SPAN><NOBR><SPAN class="ft8">it-incidentrapporter.</SPAN></NOBR></P>
<P class="p106 ft8">Utredningen ska enligt kommittédirektiven analysera om det nuvarande sekretesskyddet i 18 kap. 8 § 3 OSL är tillräckligt för att skydda de uppgifter som ska rapporteras till MSB och övriga tillsyns-</P>
<P class="p511 ft93"><SPAN class="ft72">7</SPAN><SPAN class="ft92">Prop. 2012/13:192 s. 43.</SPAN></P>
<P class="p309 ft38"><SPAN class="ft72">8</SPAN><SPAN class="ft75">Prop. 2003/04:93 s. 78 f.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">253</P>
</DIV>
</DIV>
<DIV id="page_254">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336254x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Sekretess</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8">myndigheter eller om det finns behov av ett starkare sekretesskydd. Det som kan komma ifråga är att införa ett omvänt skaderekvisit eller absolut sekretess.</P>
<P class="p51 ft8">När bestämmelsen infördes gjorde regeringen bedömningen att ett rakt skaderekvisit innebär att skyddsvärda uppgifter får ett till- fredställande skydd samtidigt som insynen i myndigheternas verk- samhet inte inskränks mer än nödvändigt.<SPAN class="ft36">9</SPAN></P>
<P class="p51 ft8">Kammarrätten i Göteborg har prövat om uppgifter om <NOBR>it-inci-</NOBR> denter i incidentrapporter omfattas av sekretess enligt 18 kap. 8 § 3 OSL.<SPAN class="ft36">10 </SPAN>I samtliga avgöranden beslutade kammarrätten att inte lämna ut uppgifterna eftersom de bedömdes vara sådana att de lämnade eller kunde bidra till upplysning om säkerhets- eller bevakningsåtgärd och att det kunde antas att syfte med åtgärden motverkades om uppgifterna röjdes.</P>
<P class="p51 ft8">I skälen till <NOBR>NIS-direktivet</NOBR> (skäl <NOBR>40–41)</NOBR> konstateras att informa- tion om incidenter blir allt mer värdefull för allmänheten och företag, särskilt små och medelstora företag. I vissa fall tillhandahålls sådan information redan via webbplatser på nationell nivå, på ett specifikt lands språk, och är främst inriktad på incidenter och händelser med en nationell dimension. Eftersom företag i allt större utsträckning bedriver gränsöverskridande verksamhet och medborgare använder onlinetjänster, bör information om incidenter tillhandahållas i samlad form på unionsnivå. <NOBR>CSIRT-nätverkets</NOBR> sekretariat uppmuntras i direktivet att upprätta en webbplats eller upplåta utrymme åt en sär- skild sida på en befintlig webbplats, där allmän information om all- varliga incidenter i unionen görs tillgänglig för allmänheten. Infor- mationen ska vara särskilt inriktad på företags intressen och behov. <NOBR>CSIRT-enheter</NOBR> som deltar i <NOBR>CSIRT-nätverket</NOBR> uppmanas att på fri- villig grund tillhandahålla den information som ska offentliggöras på denna webbplats, utan att därvid inkludera konfidentiell eller känslig information. I fall då information anses vara konfidentiell enligt unionsbestämmelser och nationella bestämmelser om affärs- hemligheter, bör konfidentiell behandling säkerställas vid genom- förande av verksamhet och uppfyllande av mål enligt direktivet. Vid genomförandet av rapporteringsskyldigheterna bör <NOBR>CSIRT-enheter-</NOBR> na särskilt ta hänsyn till behovet av att hålla uppgifter om produkters</P>
<P class="p514 ft93"><SPAN class="ft103">9</SPAN><SPAN class="ft104">Prop. 2003/04:93 s. 82.</SPAN></P>
<P class="p374 ft38"><SPAN class="ft72">10</SPAN><SPAN class="ft75">Kammarrätten i Göteborg, mål nr </SPAN><NOBR>2972-16;</NOBR> <NOBR>5858-16</NOBR> och <NOBR>5032-16.</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">254</P>
</DIV>
</DIV>
<DIV id="page_255">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td76"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td77"><P class="p22 ft33">Sekretess</P></TD>
</TR>
</TABLE>
<P class="p371 ft8">sårbara aspekter strikt konfidentiella till dess att lämpliga säkerhets- lösningar släpps.(skäl 59)</P>
<P class="p188 ft8">För att det ska vara möjligt att vägra lämna ut en uppgift i en allmän handling måste det enligt svensk rätt finnas en sekretessbe- stämmelse som omfattar den aktuella uppgiften. Gör det inte det är uppgiften offentlig och ska lämnas ut. Finns det en sekretessbestäm- melse som uppgiften omfattas av ska myndigheten göra en skade- prövning. Det innebär att det ska ske en prövning av om uppgiften kan lämnas ut i just den aktuella situationen. Vid <SPAN class="ft9">raka skaderekvisit </SPAN>är utgångspunkten att uppgiften är offentlig och att sekretess bara gäller om det kan antas att en viss skada uppkommer om uppgiften röjs. Det <SPAN class="ft9">omvända skaderekvisitet </SPAN>har den omvända utgångspunk- ten, dvs. det uppställer sekretess som huvudregel. Vid ett omvänt skaderekvisit gäller således sekretess om det inte står klart att upp- giften kan röjas utan att viss skada uppstår. Omfattas uppgiften av <SPAN class="ft9">absolut sekretess </SPAN>saknas skaderekvisit och uppgiften får då inte lämnas ut oavsett skada. Någon skadeprövning behöver alltså inte göras i dessa fall. Det är alltid förbjudet att sprida uppgifter som omfattas av absolut sekretess. Det spelar ingen roll om en uppgift i och för sig bedöms som harmlös.</P>
<P class="p497 ft8">MSB:s erfarenhet från tillämpningen av 20 § KBF om krav på incidentrapportering för statliga myndigheter är att redan det faktum att en sekretessprövning ska ske utgör ett sådant osäkerhetsmoment för många aktörer att aktörerna underlåter att rapportera in incidenter eller rapporterar endast övergripande eller bristfällig information. Vissa myndigheter har uppgett till MSB att sekretessfrågan utgör ett problem för rapportering. Enligt MSB finns denna problematik i en ännu större utsträckning när det gäller privata aktörer. Dessa aktörer vill ha en garanti på förhand om att känsliga uppgifter inte kommer att lämnas ut. Avsaknaden av en sådan garanti utgör enligt MSB ett starkt hinder mot att rapportera incidenter. MSB bedömer att det inte är möjligt att lämna en sådan garanti utan regler om absolut sekretess.</P>
<P class="p515 ft8">I utredningens arbete har framkommit att det i ett tidigt skede inte alltid står klart att uppgifterna är säkerhetskänsliga. Röjs säker- hetskänsliga uppgifter kan det svårligen repareras i efterhand.</P>
<P class="p190 ft8">Det som nu sagts skulle kunna utgöra skäl för att införa absolut sekretess för aktuella uppgifter i incidentrapporteringen.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">255</P>
</DIV>
</DIV>
<DIV id="page_256">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Sekretess</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p102 ft39">Slutsatser</P>
<P class="p60 ft8">Utredningens bedömning är att befintliga bestämmelser om sekretess i OSL omfattar uppgifter som ska rapporteras och delas med an- ledning av incidenter samt tillhandahållas i samband med tillsyn.</P>
<P class="p51 ft8">När det gäller skyddet för enskilds affärs- eller driftförhållande ger däremot bestämmelsen i 30 kap. 23 § OSL i sig själv inte upphov till någon sekretess utan förutsätter att regeringen föreskriver om sekretess. Det ska därför införas en ny punkt i bilagan till OSF: till- syn enligt lagen (2018:000) om informationssäkerhet för vissa till- handahållare av samhällsviktiga tjänster och digitala tjänster.</P>
<P class="p51 ft8">När det gäller frågan om det finns skäl att införa starkare sekre- tess för uppgifter som omfattas av bestämmelserna i 18 kap. 8 § 3 OSL konstaterar utredningen det inte framförts något exempel på brister i tillämpningen som skulle kunna motivera en starkare sekre- tess. Tvärtom har de avgöranden som rör incidentrapportering visat att bestämmelsen tillämpats på det sätt som avsetts.</P>
<P class="p239 ft8">Det har framförts att det finns anledning att anta att vissa stat- liga myndigheter underlåter att följa bestämmelserna om <NOBR>it-incident-</NOBR> rapportering på grund av osäkerhet kring sekretessbestämmelsernas räckvidd. Det har också framförts att privata aktörer vill ha en garanti för att känsliga uppgifter inte kommer att lämnas ut av CSIRT- enheten.</P>
<P class="p51 ft8">Utredningen konstaterar att det alltid måste göras en bedöm- ning av om det finns någon sekretessbestämmelse som den aktuella uppgiften omfattas av. Det är därför omöjligt för <NOBR>CSIRT-enheten</NOBR> att lämna en garanti om att en uppgift inte ska lämnas ut. Det gäller oavsett om det införs absolut sekretess eller om nuvarande bestäm- melse lämnas oförändrad. Det har inte framkommit något exempel på uppgifter om incidenter som skulle innebära skada om de röjs men som i dag inte omfattas av någon sekretessbestämmelse.</P>
<P class="p51 ft8">Utredningen anser därför att bestämmelserna i 18 kap. 8 § 3 OSL innebär ett tillräckligt skydd för uppgifter som kan komma att rappor- teras vid en incident. Det saknas därför skäl att införa en bestäm- melse om omvänt skaderekvisit eller absolut sekretess.</P>
<P class="p52 ft8">Under utredningens arbete har det dock framkommit att det finns brister i kunskapen om offentlighets- och sekretesslagstiftning- en. Utredningen anser att detta bör kunna avhjälpas genom tydlig</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">256</P>
</DIV>
</DIV>
<DIV id="page_257">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336257x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td76"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td77"><P class="p22 ft33">Sekretess</P></TD>
</TR>
</TABLE>
<P class="p88 ft8">information till leverantörer som kommer att omfattas av det nya regelverket.</P>
<P class="p11 ft8">I vissa fall kan uppgifter som omfattas av 18 kap. 8 § 3 OSL även omfattas av försvarssekretess enligt 15 kap. 2 § OSL. Den föreslag- na lagen ska inte tillämpas på verksamhet som är av betydelse för Sveriges säkerhet. Det innebär att incidenter som rör Sveriges säker- het inte ska rapporteras enligt den föreslagna lagen, utan enligt 10 a § säkerhetskyddsförordningen (1996:633), se avsnitt 5.4. Se även av- snitt 11.2.3. angående aggregerade uppgifter.</P>
<P class="p516 ft80"><SPAN class="ft35">12.3</SPAN><SPAN class="ft114">Behövs en uppgiftsskyldighet för att information ska kunna delas mellan de svenska aktörerna?</SPAN></P>
<P class="p423 ft8"><SPAN class="ft43">Bedömning: </SPAN>Genom att det i lagen (2018:000) om informations- säkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster införs krav på leverantörerna att dels incident- rapportera, dels tillhandahålla uppgifter vid tillsyn, införs också en sekretessbrytande uppgiftsskyldighet.</P>
<P class="p77 ft8">Leverantörer av samhällsviktiga tjänster och digitala tjänster är en- ligt <NOBR>NIS-direktivet</NOBR> skyldiga att rapportera <NOBR>it-incidenter.</NOBR> Dessa ska rapporteras till MSB som föreslås bli <NOBR>CSIRT-enhet.</NOBR> Leverantörerna kan även behöva lämna annan känslig information om bl.a. säkerhets- och bevakningsåtgärder till tillsynsmyndigheten. I båda fallen kan det förekomma uppgifter om affärs- eller driftförhållanden.</P>
<P class="p11 ft8">Utredningen ska enligt kommittédirektiven analysera om det finns behov av bestämmelser om sekretessbrytande uppgiftsskyl- dighet för att berörda leverantörer ska kunna uppfylla sin rapporte- ringsskyldighet.</P>
<P class="p64 ft45">Allmänt</P>
<P class="p57 ft8">En grundläggande princip är att myndigheter är skyldiga att sam- arbeta och bistå varandra i den utsträckning som kan ske. Principen kommer till uttryck i bl.a. 6 § förvaltningslagen (1986:223). En pre- cisering av bestämmelsen finns i 6 kap. 5 § OSL, som innebär att en myndighet på begäran ska lämna uppgift som den förfogar över om</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">257</P>
</DIV>
</DIV>
<DIV id="page_258">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Sekretess</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8">inte uppgiften är sekretessbelagd, eller det skulle hindra arbetets be- höriga gång. Är någon sekretessbrytande bestämmelse tillämplig, även generalklausulen 10 kap. 27 § OSL, ska uppgiften lämnas ut en- ligt denna bestämmelse. En myndighets beslut att inte lämna ut en uppgift kan överklagas.</P>
<P class="p51 ft8">I många fall måste myndigheter kunna utbyta information för att kunna utföra sina uppgifter. För att tillgodose myndigheters be- hov av information och informationsutbyte i sin verksamhet finns flera undantag från huvudregeln om sekretess mellan myndigheter. Sådana sekretessbrytande bestämmelser och bestämmelser om undan- tag från sekretess finns i 10 kap. OSL. Sekretessbrytande bestämmel- ser finns även i andra författningar som OSL hänvisar till, eller som en uppgiftsskyldighet varvid 10 kap. 28 § OSL blir tillämplig. Nedan följer en redogörelse för de sekretessbrytande bestämmelser i OSL som är av intresse när det gäller förutsättningar att lämna ut upp- gifter om rapporterade <NOBR>it-incidenter,</NOBR> om säkerhets- och bevaknings- åtgärder och om affärs- och driftförhållanden.</P>
<P class="p61 ft45">Nödvändigt utlämnande</P>
<P class="p68 ft8">Sekretess enligt 10 kap. 2 § OSL hindrar inte att en uppgift lämnas till en enskild eller till en annan myndighet, om det är nödvändigt för att den utlämnande myndigheten ska kunna fullgöra sin verksam- het. Bestämmelsen kan vara tillämplig i fall där någon av de övriga sekretessbrytandereglerna inte gäller, men ska tillämpas restriktivt. En uppgift får lämnas ut med stöd av bestämmelsen bara när ut- lämnandet av uppgiften är en nödvändig förutsättning för att myn- digheten ska kunna fullgöra ett visst åliggande. Bara bedömningen att effektiviteten i myndighetens handlande sätts ned genom en föreskriven sekretess får inte leda till att sekretessen åsidosätts.</P>
<P class="p93 ft45">Tillsyn eller revision</P>
<P class="p68 ft8">Sekretess hindrar inte att en uppgift lämnas till en myndighet, om uppgiften behövs där för tillsyn över eller revision hos den myndig- het där uppgiften förekommer (10 kap. 17 §). Får en myndighet i verksamhet som avser tillsyn eller revision en sekretessreglerad upp- gift överförs sekretessen till den mottagande myndigheten om upp-</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">258</P>
</DIV>
</DIV>
<DIV id="page_259">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td76"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td77"><P class="p22 ft33">Sekretess</P></TD>
</TR>
</TABLE>
<P class="p88 ft8">giften inte ingår ett beslut hos den mottagande myndigheten (11 kap. 1 § OSL).</P>
<P class="p3 ft45">Generalklausulen</P>
<P class="p113 ft8">Enligt den s.k. generalklausulen (10 kap. 27 § OSL) får en sekretess- belagd uppgift lämnas till en annan myndighet om det är uppenbart att intresset av att lämna uppgiften har företräde framför det in- tresse som sekretessen har att skydda. Generalklausulen tillkom mot bakgrund av att sekretess inte bör hindra myndigheter från att utväxla uppgifter i situationer där intresset av att uppgifterna lämnas ut bör ha företräde framför intresset av att uppgifterna inte lämnas ut.</P>
<P class="p11 ft8">Generalklausulen kan inte tillämpas om utlämnandet strider mot lag eller förordning eller föreskrift som har meddelats med stöd av personsuppgiftslagen. Har det t.ex. i en lag föreskrivits att en viss myndighet för sin verksamhet på vissa villkor kan få ta del av även hemliga uppgifter hos en annan myndighet, kommer det givetvis inte på fråga att, när de angivna villkoren inte är uppfyllda, lämna ut upp- gifterna med stöd av generalklausulen i stället. Om det i en lag eller förordning uttömmande anges i vilka fall uppgifter får lämnas mellan myndigheter kan generalklausulen inte heller tillämpas i andra fall.</P>
<P class="p106 ft8">Bestämmelsen är subsidiär i förhållande till andra sekretessbry- tande bestämmelser och ska alltså inte tillämpas om någon annan sekretessbrytande bestämmelse kan tillämpas.</P>
<P class="p11 ft8">Möjligheten att utväxla sekretessbelagda uppgifter får utnyttjas mera sparsamt och med större försiktighet om informationen inte är sekretessbelagd hos den mottagande myndigheten. Detta gäller särskilt i fråga om uppgifter som är sekretessbelagda av hänsyn till enskildas intressen. Om den uppgift som överlämnandet gäller inte blir sekretessbelagd hos den mottagande myndigheten kan risken för att skada ska uppkomma vara så stor att uppgiften inte bör lämnas ut. Att sekretessen hos den mottagande myndigheten är något sva- gare än hos den utlämnande myndigheten har inte ansetts spela så stor roll i praktiken.</P>
<P class="p58 ft8">Vid prövningen av en utlämnandefråga enligt generalklausulen ska en avvägning göras mellan den mottagnade myndighetens behov av uppgifterna och det intresse som sekretesskyddet typiskt sett till-</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">259</P>
</DIV>
</DIV>
<DIV id="page_260">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Sekretess</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8">godoser. Ytterligare omständigheter som är av betydelse är uppgift- ernas art och i vilket syfte de ska användas.</P>
<P class="p51 ft8">Generalklausulen hindrar inte att utbyte av uppgifter mellan myn- digheter sker rutinmässigt även utan särskild författningsreglering, även om det i förarbetena uttalas att rutinmässigt uppgiftsutbyte i regel ska vara författningsreglerat. I de fall där ett rutinmässigt upp- giftslämnande inte är författningsreglerat men ändå kan anses till- räckligt motiverat måste den intresseavvägning som ska göras ske på förhand. Den behöver då inte avse prövning av individuella fall. Bedömningen kan i så fall göras på ett sätt som liknar den som ska ske i fråga om massuttag. I situationen med massuttag kan emeller- tid den berörde tjänstemannen av naturliga skäl inte bilda sig en uppfattning om den särskilda skaderisk som kan vara förbunden med en enskild uppgift. Å andra sidan har tjänstemannen alltid känne- dom om beställarens identitet och oftast också om beställarens avsikt med uppgifterna. Dessa kunskaper i förening med en bedömning av den skaderisk som typiskt sett är förbunden med uppgifter av det slag som avses med beställningen bör enligt förarbetsuttalanden i de allra flesta fall ge fullt tillräckligt underlag för bedömningen av om sekretessregleringen ska anses hindra ett utlämnande eller inte.</P>
<P class="p61 ft45">Sekretess vid uppgiftsskyldighet</P>
<P class="p68 ft8">Sekretess hindrar inte att en uppgift lämnas till en annan myndig- het, om uppgiftsskyldighet följer av lag eller förordning. Sekretess- brytande bestämmelser finns också i anslutning till berörda sekre- tessbestämmelser. (10 kap. 28 § OSL)</P>
<P class="p52 ft8">Genom 20 § förordningen (2015:1052) om krisberedskap och be- vakningsansvariga myndigheters åtgärder vid höjd beredskap (KBF) har en sådan uppgiftsskyldighet som avses i 10 kap. 28 § OSL införts. Myndigheterna kan alltså med stöd av förordningen överlämna de uppgifter som avses till MSB, även om uppgifterna omfattas av sek- retess hos myndigheterna.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">260</P>
</DIV>
</DIV>
<DIV id="page_261">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336261x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td76"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td77"><P class="p22 ft33">Sekretess</P></TD>
</TR>
</TABLE>
<P class="p80 ft45">Slutsatser</P>
<P class="p57 ft8">Utredningen konstaterar att det finns flera sekretessbrytande bestäm- melser som kan tillämpas för att uppgifter som omfattas av sekretess ska kunna delas mellan myndigheter i samband med tillsyn och incidentrapportering. Mot bakgrund av att direktivet omfattar sju olika sektorer är det svårt att överblicka vilken typ av uppgifter som kommer att omfattas av kravet att incidentrapportera. Efter- som enskilda inte omfattas av OSL:s bestämmelser om utlämnande måste det i den nya lagen finnas bestämmelser om krav på incident- rapportering och att tillhandahålla uppgifter vid tillsyn. Genom in- förandet av sådana bestämmelser införs också en sekretessbrytande uppgiftsskyldighet för de aktörer som omfattas av OSL.</P>
<P class="p517 ft119"><SPAN class="ft35">12.4</SPAN><SPAN class="ft118">Behövs nya bestämmelser för att uppgifter ska kunna lämnas till andra medlemsstater eller kommissionen?</SPAN></P>
<P class="p339 ft8"><SPAN class="ft43">Bedömning. </SPAN>De befintliga bestämmelserna i OSL tillgodoser NIS- direktivets krav på utlämnande av uppgifter till andra medlems- stater och till kommissionen.</P>
<P class="p77 ft8"><NOBR>NIS-direktivets</NOBR> bestämmelser om samarbete mellan medlemsstater- na kan innebära att information som helt eller delvis omfattas av sekretess behöver utlämnas till annan medlemsstat eller till kom- missionen. En förutsättning för ett sådant utlämnande är enligt 8 kap. 3 § OSL att utlämnandet sker i enlighet med särskilda föreskrifter i lag eller förordning, eller att uppgiften i motsvarande fall skulle få lämnas ut till en svensk myndighet och det enligt den utlämnande myndighetens prövning står klart att det är förenligt med svenska intressen att uppgiften lämnas till den utländska myndigheten eller den mellanfolkliga organisationen.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">261</P>
</DIV>
</DIV>
<DIV id="page_262">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336262x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Sekretess</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p102 ft45">Slutsatser</P>
<P class="p60 ft8">I den föreslagna förordningen anges att den gemensamma nationella kontaktpunkten (MSB) ska lämna uppgifter om incidenter till sam- arbetsgruppen och att <NOBR>CSIRT-enheten</NOBR> vid MSB ska informera andra medlemsstater om vissa incidenter. I <NOBR>CSIRT-nätverket</NOBR> ska sekretess- belagda uppgifter inte utbytas (artikel 12.3).</P>
<P class="p51 ft8">Utredningen bedömer att ett sådant utbyte av sekretessbelagda uppgifter som följer av <NOBR>NIS-direktivet</NOBR> kan göras med stöd av 8 kap. 3 § 1 och 2. Något behov av ytterligare reglering finns inte.</P>
<P class="p51 ft8">I de fall en leverantör felaktigt rapporterar incidenter som rör Sveriges säkerhet i enlighet med bestämmelserna i den föreslagna lagen ankommer det på <NOBR>CSIRT-enheten</NOBR> att uppmärksamma detta. Efter- som sådana incidenter inte omfattas av rapporteringsplikten i den föreslagna lagen ska de inte heller rapporteras till andra medlemsstater eller till kommissionen. Detsamma gäller uppgifter i incidentrap- porter som var för sig inte rör Sveriges säkerhet, men som tillsammans utgör en ny uppgift som rör Sveriges säkerhet (aggregerad infor- mation).</P>
<P class="p518 ft119"><SPAN class="ft35">12.5</SPAN><SPAN class="ft118">Hantering av information som mottagits från andra medlemsstater</SPAN></P>
<P class="p432 ft8"><SPAN class="ft43">Bedömning: </SPAN>De befintliga bestämmelserna om sekretess i OSL tillgodoser <NOBR>NIS-direktivets</NOBR> krav på konfidentialitet beträffande information som svenska myndigheter tar emot från andra med- lemsstater i den Europeiska unionen till följd av <NOBR>NIS-direktivets</NOBR> bestämmelser.</P>
<P class="p275 ft8">När det gäller incidentrapporter från leverantörer av samhällsviktiga tjänster ska den behöriga myndigheten eller <NOBR>CSIRT-myndigheten,</NOBR> mot bakgrund av informationen i rapporten, informera den eller de andra berörda medlemsstaterna, om incidenten har en betydande in- verkan på kontinuiteten i samhällsviktiga tjänster i den medlems- staten. Därvid ska den behöriga myndigheten eller <NOBR>CSIRT-enheten,</NOBR> i enlighet med unionsrätten eller med nationell lagstiftning som är förenlig med unionsrätten, bevara nämnda leverantörs säkerhets-</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">262</P>
</DIV>
</DIV>
<DIV id="page_263">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336263x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td76"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td77"><P class="p22 ft33">Sekretess</P></TD>
</TR>
</TABLE>
<P class="p96 ft8">intressen och kommersiella intressen samt konfidentialiteten hos in- formationen i leverantörens rapport (artikel 14.5).</P>
<P class="p11 ft8">Beträffande incidentrapporter från leverantörer av digitala tjänster ska den behöriga myndigheten eller <NOBR>CSIRT-enheten,</NOBR> om så är lämp- ligt, och särskilt om incidenten berör två eller flera medlemsstater, informera andra medlemsstater som påverkats. Därvid ska de behöriga myndigheterna, <NOBR>CSIRT-enheter</NOBR> och gemensamma kontaktpunkter, i enlighet med unionsrätten eller nationell lagstiftning som är för- enlig med unionsrätten, bevara leverantören av digitala tjänsters säker- hetsintressen och kommersiella intressen samt den tillhandahållna informationens konfidentialitet (artikel 16.6).</P>
<P class="p11 ft8">Sekretess gäller enligt 15 kap. 1 a § OSL för uppgift som en myn- dighet har fått från ett utländskt organ på grund av en bindande EU- rättsakt eller ett av EU ingånget eller av riksdagen godkänt avtal med en annan stat eller med en mellanfolklig organisation, om det kan antas att Sveriges möjlighet att delta i det internationella samarbete som avses i rättsakten eller avtalet försämras om uppgiften röjs. I bestämmelsen regleras sekretess för uppgifter som har lämnats till eller inhämtats av en myndighet på grund av en bindande <NOBR>EU-rättsakt.</NOBR> Med bindande <NOBR>EU-rättsakt</NOBR> avses förordning, direktiv eller beslut.<SPAN class="ft36">11</SPAN></P>
<P class="p64 ft45">Slutsatser</P>
<P class="p113 ft8">Utredningens bedömning är att information som tas emot till följd av bestämmelserna i <NOBR>NIS-direktivet</NOBR> omfattas av 15 kap. 1 a § OSL. Befintliga regler säkerställer därmed leverantörens säkerhetsintressen och kommersiella intressen samt konfidentialiteten hos information- en i leverantörens incidentrapport.</P>
<P class="p519 ft38"><SPAN class="ft37">11 </SPAN>Prop. 2012/13:192 s. 43.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">263</P>
</DIV>
</DIV>
<DIV id="page_264">
</DIV>
<DIV id="page_265">
<P class="p4 ft7">13 Konsekvensanalys</P>
<P class="p69 ft35"><SPAN class="ft35">13.1</SPAN><SPAN class="ft113">Konsekvensutredningens innehåll</SPAN></P>
<P class="p73 ft8">I utredningens uppdrag ingår att beskriva konsekvenserna av läm- nade förslag i enlighet med <NOBR>14–15</NOBR> a §§ i kommittéförordningen (1998:1474). När det gäller kostnadsökningar och intäktsminskning- ar för staten, kommuner eller landsting, ska kommittén föreslå en finansiering.</P>
<P class="p11 ft8">Eftersom utredningen lämnar författningsförslag ska konsekvens- utredningen också göras i enlighet med 6 och 7 §§ förordningen (2007:1244) om konsekvensutredning vid regelgivning.</P>
<P class="p106 ft8">Utredningen bedömer att följande områden inte berörs av för- slagen.</P>
<P class="p194 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">sysselsättning och offentlig service i olika delar av landet</SPAN></P>
<P class="p195 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">jämställdheten mellan kvinnor och män</SPAN></P>
<P class="p195 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">möjligheterna att nå de integrationspolitiska målen</SPAN></P>
<P class="p101 ft8">I regeringens budgetproposition 2016/17:1, utgiftsområde 6 s. 73 och 80 f. framförs följande när det gäller <NOBR>NIS-direktivet.</NOBR> Det krävs ett fortsatt arbete för att stärka informationssäkerheten i samhället där MSB har en viktig samordnande roll. För att hålla jämna steg med den digitala utvecklingen och skydda samhällsviktig verksamhet behöver alla aktörer i samhället fortlöpande stärka förmågan att förebygga och hantera <NOBR>it-incidenter.</NOBR> För aktörer som bedriver samhällsviktig verksamhet kommer genomförandet av <NOBR>NIS-direktivet</NOBR> att innebära höjda krav på en god informationssäkerhet, vilket i sin tur gynnar hela samhället. Det förändrade omvärldsläget gör att samhällets behov av informations- och cybersäkerhet har ökat påtagligt. Digitaliser- ingen i samhället har bland annat inneburit nya former av kommuni- kation, datahantering och datalagring, vilket medfört nya risker och</P>
<P class="p520 ft18">265</P>
</DIV>
<DIV id="page_266">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Konsekvensanalys</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p208 ft8">sårbarheter. För att den digitala utvecklingen ska kunna fortsätta på ett säkert sätt behöver alla aktörer, såväl privata som offentliga, mer aktivt arbeta med informations- och cybersäkerhet. Regeringen avser därför att utarbeta en nationell strategi som omhändertar olika per- spektiv för att kunna identifiera och möta utmaningar mot samhällets informations- och cybersäkerhet. Det är också av central betydelse att genomföra <NOBR>EU-direktivet</NOBR> om åtgärder för en hög gemensam nivå av säkerhet i nätverk och informationssystem <NOBR>(NIS-direktivet).</NOBR> Direk- tivet innebär bl.a. högre krav på enskilda aktörer som bedriver sam- hällsviktig verksamhet och som är beroende av informationssystem.</P>
<P class="p51 ft8"><NOBR>NIS-direktivets</NOBR> genomförande nämns även under utgiftsom- råde 22 s. 106.</P>
<P class="p165 ft11"><SPAN class="ft11">13.1.1</SPAN><SPAN class="ft115">Regleringsalternativ</SPAN></P>
<P class="p460 ft8">Utredningens huvudsakliga uppdrag har varit att genomföra NIS- direktivet genom att bland annat fastställa åtgärder för att uppnå en hög gemensam nivå på säkerhet i nätverk och informationssystem inom unionen i syfte att förbättra den inre marknadens funktion. Direktivet är bindande för medlemsstaterna med avseende på det re- sultat som ska uppnås och måste genomföras i nationell rätt oavsett kostnaderna.</P>
<P class="p52 ft8">Medlemsstaterna har mycket olika beredskapsnivåer när det gäller säkerhet i nätverk och informationssystem vilket lett till skilda till- vägagångssätt i unionen. Resultatet blir olika skyddsnivåer för konsu- menter och företag vilket undergräver den allmänna nivån på säkerhet i nätverk och informationssystem i unionen. Avsaknaden av gemen- samma krav gör det i sin tur omöjligt att inrätta en övergripande och effektiv mekanism för samarbete på unionsnivå. Effektiva åtgärder för att lösa problemen förutsätter ett övergripande angreppssätt på unionsnivå som omfattar en gemensam miniminivå för kapacitets- uppbyggnad och planering, utbyte av information, samarbete och gemensamma säkerhetskrav.</P>
<P class="p51 ft8">I vissa delar medger direktivet valmöjlighet vid genomförandet. När det gäller leverantörer av samhällsviktiga tjänster kan medlems- staterna anta eller behålla bestämmelser som syftar till att uppnå en högre nivå på säkerheten i nätverk och informationssystem. Med- lemsstaterna kan också utse en eller flera myndigheter för att över-</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">266</P>
</DIV>
</DIV>
<DIV id="page_267">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t28">
<TR>
<TD class="tr7 td78"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td79"><P class="p22 ft120">Konsekvensanalys</P></TD>
</TR>
</TABLE>
<P class="p122 ft8">vaka tillämpningen av <NOBR>NIS-direktivet</NOBR> på nationell nivå. <NOBR>NIS-direktivet</NOBR> ger också medlemsstaterna möjlighet att införa frivillig incident- rapportering.</P>
<P class="p125 ft45">Förslagen överensstämmer med <NOBR>EU-rätten</NOBR> m.m.</P>
<P class="p113 ft8">Den föreslagna regleringen är i princip uteslutande en konsekvens av Sveriges medlemskap i den Europeiska unionen. Regleringen över- ensstämmer med Sveriges skyldigheter som följer av anslutningen till den Europeiska unionen och går inte utöver dessa skyldigheter. För- slagen innehåller inga krav som syftar till att uppnå en högre nivå av säkerhet i nätverk och informationssystem än de som anges i NIS- direktivet. Utredningen har dock, enligt uppdraget i kommittédirek- tiven, föreslagit att det ska inrättas en samordnande funktion mellan tillsynsmyndigheterna. Även den föreslagna tidpunkten för ikraft- trädande följer direkt av <NOBR>NIS-direktivets</NOBR> bestämmelser. Effekten av om någon reglering inte kommer till stånd blir således att Sverige inte följer skyldigheterna enligt <NOBR>EU-rätten.</NOBR></P>
<P class="p521 ft11"><SPAN class="ft11">13.1.2</SPAN><SPAN class="ft115">Vem berörs av förslagen</SPAN></P>
<P class="p522 ft8">Lagen (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster med tillhörande för- ordning kommer att omfatta leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster oavsett i vilken form verksam- heten bedrivs. I dag tillhandahålls dessa tjänster av statliga myndig- heter, kommuner, landsting eller företag.</P>
<P class="p523 ft8">Användare av samhällsviktiga tjänster och digitala tjänster finns i hela samhället men konsekvenserna av ett bortfall i tjänsten beror på vem som är användare.</P>
<P class="p212 ft8">Ett antal myndigheter föreslås också få särskilda uppdrag till följd av <NOBR>NIS-direktivet.</NOBR> Enligt direktivet ska det utses behöriga myn- digheter (tillsynsmyndigheter), nationell kontaktpunkt och CSIRT- enhet. Sverige ska också utse representanter i den samarbetsgrupp som inrättats enligt <NOBR>NIS-direktivet</NOBR> samt deltagare i <NOBR>CSIRT-nätverket.</NOBR> Kommittédirektiven anger också att det ska finnas en samordnande funktion mellan tillsynsmyndigheterna.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">267</P>
</DIV>
</DIV>
<DIV id="page_268">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Konsekvensanalys</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p179 ft35"><SPAN class="ft35">13.2</SPAN><SPAN class="ft113">Ekonomiska konsekvenser</SPAN></P>
<P class="p373 ft8">Medlemsstaterna ska enligt <NOBR>NIS-direktivet</NOBR> säkerställa att de behöriga myndigheterna och de nationella kontaktpunkterna har tillräckliga resurser för att på ett effektivt sätt kunna utföra de uppgifter de till- delas och därigenom uppnå målen med direktivet (artikel 8.5).</P>
<P class="p51 ft8">I <NOBR>NIS-direktivet</NOBR> finns inga bestämmelser om hur åtgärderna ska finansieras.</P>
<P class="p51 ft8">Enligt kommittédirektiven ska utredningen bedöma de ekono- miska konsekvenserna av förslagen för enskilda och det allmänna. Leder förslagen till kostnadsökningar för det allmänna ska utred- ningen föreslå hur dessa ska finansieras.</P>
<P class="p524 ft70"><SPAN class="ft121">13.2.1</SPAN><SPAN class="ft122">Konsekvenser för Myndigheten för samhällsskydd och beredskap, behöriga myndigheter och domstolar</SPAN></P>
<P class="p525 ft43">Ekonomiska konsekvenser för Myndigheten för samhällsskydd och beredskap</P>
<P class="p460 ft8">Myndigheten för samhällsskydd och beredskap (MSB) föreslås vara nationell kontaktpunkt, <NOBR>CSIRT-enhet</NOBR> och ingå i <NOBR>CSIRT-nätverket.</NOBR> MSB föreslås också vara Sveriges representant i samarbetsgruppen.</P>
<P class="p197 ft8">Medlemsstaterna ska säkerställa att <NOBR>CSIRT-enheten</NOBR> har de resur- ser som behövs för att effektivt utföra sina uppgifter enligt bilaga 1 p. 2 till <NOBR>NIS-direktivet</NOBR> (artikel 9.2). <NOBR>CSIRT-enheten</NOBR> ska ha tillgång till lämplig, säker och moståndskraftig kommunikations- och infor- mationsinfrastruktur på nationell nivå (artikel 9.3). Den nationella kontaktpunkten bör enligt <NOBR>NIS-direktivet</NOBR> förses med de tekniska och finansiella resurser och personalresurser som den behöver för att på ett effektivt sätt kunna utföra de uppgifter som den tilldelas och därmed uppnå målen med direktivet. Eftersom syftet med direk- tivet är att förbättra den inre marknadens funktion genom att skapa tillit och förtroende, måste medlemsstaternas organ kunna samarbeta effektivt med ekonomiska aktörer och ha en struktur som är för- enlig med detta (skäl 31).</P>
<P class="p239 ft8">MSB har redan i dag uppdraget att ta emot och hantera statliga myndigheters incidentrapportering. I det uppdraget har också ingått att ta fram en säker kommunikations- och informationsstruktur samt tillhandhålla tjänster som att analysera inrapporterade incidenter och</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">268</P>
</DIV>
</DIV>
<DIV id="page_269">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336269x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t29">
<TR>
<TD class="tr7 td78"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td79"><P class="p22 ft120">Konsekvensanalys</P></TD>
</TR>
</TABLE>
<P class="p88 ft8">vid behov varna andra aktörer. Genom utredningens förslag kom- mer antalet incidenter som rapporteras att öka liksom kraven på MSB. Hur stor den ökningen kommer att bli är i dag svårt att bedöma liksom i vilken utsträckning en ökning medför behov av utökade resurser. Utredningens bedömning är att även om antalet rapporter ökar bör ökningen kunna finansieras inom befintliga budgetmedel.</P>
<P class="p11 ft8">MSB ska enligt utredningens förslag representera Sverige i sam- arbetsgruppen och leda ett samarbetsforum för tillsynsmyndigheter samt lämna olika former av stöd till tillsynsmyndigheterna. MSB ska vidare utfärda föreskrifter som behövs för arbetet med ett syste- matiskt och riskbaserat informationssäkerhetsarbete samt om tillämp- ningen av standarder och specifikationer vid utformningen av säker- hetsåtgärder. Dessa uppgifter ligger väl i linje med MSB:s nuvarande uppdrag. Detsamma gäller uppdraget att få en samlad bild genom att ta emot samlade bedömningar av tillsynsresultat m.m. från till- synsmyndigheterna. Utredningens bedömning är att stöd i form av metodutveckling avseende tillsyn, utbildning och informations- insatser till tillsynsmyndigheterna bör finansieras av medel från an- slaget 2:4 Krisberedskap för utgiftsområde 6.<SPAN class="ft36">1 </SPAN>Sådant stöd ryms under åtgärder för funktionalitet och kontinuitet i samhällsviktig verksamhet och samhällsviktig informationsinfrastruktur.<SPAN class="ft36">2 </SPAN>När det gäller övriga uppdrag anser utredningen att dessa i den utsträckning det inte anses ingå i Myndigheten för samhällsskydd och beredskaps nuvarande uppdrag, se avsnitt 11.1.5, ska finansieras inom utgifts- området.</P>
<P class="p526 ft39">Ekonomiska konsekvenser för behöriga myndigheter (tillsynsmyndigheterna)</P>
<P class="p57 ft8">Tillsynsmyndigheterna ska enligt <NOBR>NIS-direktivet</NOBR> ha tillräckliga re- surser för att på ett effektivt sätt kunna utföra tillsyn och uppnå målen med direktivet (artikel 8.5).</P>
<P class="p106 ft8">Medlemsstaterna ska säkerställa att tillsynsmyndigheterna har de befogenheter och medel de behöver för att bedöma huruvida leve-</P>
<P class="p527 ft74"><SPAN class="ft72">1</SPAN><SPAN class="ft73">Under vissa förutsättningar och under en begränsad period kan särskilda medel beviljas för att förstärka effekten av samhällets samlade krisberedskap eller den samlade förmågan att han- tera kriser. Riksdagen anslår därför årligen i bugetpropositionen för utgiftsområde 6 cirka en miljard kronor till sådana insatser genom anslag 2:4 Krisberedskap.</SPAN></P>
<P class="p233 ft38"><SPAN class="ft72">2</SPAN><SPAN class="ft75">Inriktning för att söka medel från anslag 2:4 Krisberedskap 2017, MSB dnr 2015:5690.</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">269</P>
</DIV>
</DIV>
<DIV id="page_270">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Konsekvensanalys</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p226 ft8">rantörer av samhällsviktiga tjänster uppfyller sina skyldigheter och effekterna därav på säkerheten i nätverk och informationssystem (artikel 14).</P>
<P class="p86 ft8">Medlemsstaterna ska också säkerställa att tillsynsmyndigheterna har de befogenheter och medel som krävs för att ålägga leverantörer av samhällsviktiga tjänster att tillhandahålla den information som är nödvändig för att bedöma säkerheten i deras nätverk och informa- tionssystem. Detta inbegriper dokumenterade säkerhetsprinciper samt att tillhandhålla bevis för ett effektivt genomförande av säkerhetsprinciper, såsom resultaten av en säkerhetsrevision utförd av den behöriga myndigheten eller en auktoriserad revisor. I det senare fallet innebär detta också att ge den behöriga myndigheten tillgång till resultaten, inklusive de underliggande bevisen (artikel <NOBR>15.1–2).</NOBR></P>
<P class="p86 ft8">Medlemsstaterna ska säkerställa att tillsynsmyndigheten vid be- hov vidtar åtgärder genom tillsynsåtgärder i efterhand, när de har mottagit bevis på att en leverantör av digitala tjänster inte uppfyller kraven i artikel 16. Tillsynsmyndigheterna ska ha de befogenheter och medel som krävs för att ålägga leverantörer av digitala tjänster att tillhandahålla den information som behövs för en bedömning av säkerheten i deras nätverk och informationssystem, inbegripet doku- menterade säkerhetsprinciper, och för att åtgärda varje underlåten- het att uppfylla kraven i artikel 16 (artikel 17.2).</P>
<P class="p87 ft8">Detta innebär enligt utredningens mening att tillsynsmyndig- heterna bör förses med de tekniska och finansiella resurser och per- sonalresurser som de behöver för att på ett effektivt sätt kunna utföra de uppgifter som de tilldelas och därmed uppnå målen med direktivet. Eftersom syftet med direktivet är att förbättra den inre marknadens funktion genom att skapa tillit och förtroende, måste medlemsstaternas organ kunna samarbeta effektivt med ekonomiska aktörer och ha en struktur som är förenlig med detta (skäl 31).</P>
<P class="p86 ft8">De föreslagna tillsynsmyndigheterna utövar redan i dag tillsyn av något slag men för några tillsynsmyndigheter innebär utredningens förslag ett nytt tillsynsområde, säkerhet i nätverk och informations- system.</P>
<P class="p86 ft8">Transportstyrelsen och Post- och telestyrelsen utfärdar före- skrifter och är tillsynsmyndigheter enligt säkerhetsskyddslagen, där en viktig del är informationssäkerhet. Post- och telestyrelsen utfär- dar föreskrifter och utövar tillsyn även enligt annan lagstiftning på området elektronisk kommunikation. Finansinspektionen utövar</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">270</P>
</DIV>
</DIV>
<DIV id="page_271">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t29">
<TR>
<TD class="tr7 td78"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td79"><P class="p22 ft120">Konsekvensanalys</P></TD>
</TR>
</TABLE>
<P class="p88 ft8">redan i dag tillsyn och utfärdar föreskrifter inom de områden som den föreslagna lagen omfattar. Inom de flesta sektorerna måste dock nya föreskrifter utfärdas och ett nytt system för tillsyn byggas upp alternativt arbetas in i befintligt. Vidare behöver ny kompetens utvecklas eller nyrekryteras. Dessutom bör leverantörer inom de olika sektorerna informeras om den nya lagstiftningen. Inom några sek- torer behöver tillsynsmyndigheten identifiera i vilken utsträckning lex <NOBR>specialis-bestämmelser</NOBR> ska tillämpas. Samtliga tillsynsmyndigheter har god kunskap om verksamheten i sin respektive sektor.</P>
<P class="p64 ft45">Kostnader tillsyn</P>
<P class="p57 ft8">Utredningens bedömning är att förslagen kommer att innebära ökade kostnader för tillsynsmyndigheterna. Hur stora kostnaderna blir är till viss del beroende av om den aktuella tillsynsmyndigheten redan i dag utövar en likartad tillsyn över leverantörerna. En annan viktig faktor är hur många leverantörer som kommer att bli föremål för tillsyn.</P>
<P class="p331 ft8">Utredningens bedömning är att oavsett antalet slutligt identi- fierade leverantörer uppkommer kostnader för att utfärda nya före- skrifter, bygga upp ett nytt system för tillsyn alternativt komplettera ett system som redan används, rekrytera eller utveckla ny kom- petens inom informationssäkerhetsområdet samt att utöva tillsyn. Vidare måste leverantörer inom de olika sektorerna informeras om det nya regelverket. Inom några sektorer behöver tillsynsmyndig- heten identifiera i vilken utsträckning lex <NOBR>specialis-bestämmelser</NOBR> ska tillämpas. Kostnaderna kommer därför bli högre i en initial fas. Ut- redningens bedömning är att samtliga tillsynsmyndigheters resurser bör förstärkas tillfälligt med två årsarbetskrafter under 2018.</P>
<P class="p58 ft8">Den löpande kostnaden för tillsyn och kostnaden för att besluta om administrativa sanktioner och åtgärdsförelägganden kommer till skillnad från de initiala kostnaderna att variera beroende på antalet leverantörer som kommer att omfattas av den nya lagens krav på tillsyn samt frekvensen i tillsynen.</P>
<P class="p11 ft8">Utredningen anser att kostnaderna till viss del, i vart fall på lång sikt, kan finansieras genom de samhällsekonomiska vinster som en hög gemensam nivå av säkerhet i nätverk och informationssystem</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">271</P>
</DIV>
</DIV>
<DIV id="page_272">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Konsekvensanalys</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p116 ft8">medför för respektive sektor, men att det inledningsvis måste till- föras medel.</P>
<P class="p205 ft8">Kostnader som kan uppkomma för tillsynsmyndigheterna för nationell samverkan ska finansieras inom befintlig budget. Det får anses ingå i myndigheters uppdrag att samverka med andra myndig- heter.</P>
<P class="p205 ft8">När det gäller tillsynsmyndigheternas kostnader för den löpande tillsynen och för att besluta om sanktioner och åtgärdsföreläggan- den är dessa, enligt utredningens mening, till stor del beroende av hur många leverantörer som kommer att omfattas av regelverket. Kost- naderna för ett tillsynsuppdrag som omfattar ett fåtal leverantörer blir avsevärt lägre än ett uppdrag som omfattar flera hundra leve- rantörer. Att i dag fastställa antalet leverantörer av samhällsviktiga tjänster är dock förenat med stora svårigheter bland annat på grund av att det saknas bedömning av om en incident skulle medföra en betydande störning i tjänstens kontinuitet och eftersom tröskelvär- den för de faktorer som ska användas för att göra denna bedömning ännu inte tagits fram för samtliga sektorer. Utredningen kan därför inte bedöma de framtida löpande kostnaderna för tillsyn och beslut om administrativa sanktioner samt åtgärdsförelägganden.</P>
<P class="p205 ft8">Utredningen föreslår att Myndigheten för samhällsskydd och be- redskap med stöd av tillsynsmyndigheterna ges i uppdrag att göra en uppskattning av hur många leverantörer av samhällsviktiga tjänster som finns inom varje sektor.</P>
<P class="p87 ft8">En annan faktor som inverkar på kostnaden för löpande tillsyn och beslut om administrativa sanktioner samt åtgärdsförelägganden är hur tillsynen genomförs samt vilken informationssäkerhetskom- petens som finns på tillsynsmyndigheten. Det är endast sådan utveck- ling och förstärkning av kompetens som föranleds av den föreslagna lagens genomförande som bör kostnadsberäknas. Utredningens upp- fattning är att samtliga tillsynsmyndigheter i dag granskar verksam- het som är beroende av nätverk och informationssystem och utgår därför att det redan finns viss kompetens inom informationssäker- hetsområdet. Det måste också beaktas att förstärkningen av kom- petens kommer andra områden, såsom samhällets krisberedskap och planering för höjd beredskap tillgodo. När det gäller kostnader för löpande tillsyn samt för kompetensförsörjning föreslår utredningen att Statskontoret ges i uppdrag att lämna ett förslag på genom- förande och finansiering.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">272</P>
</DIV>
</DIV>
<DIV id="page_273">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336273x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t28">
<TR>
<TD class="tr7 td78"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td79"><P class="p22 ft120">Konsekvensanalys</P></TD>
</TR>
</TABLE>
<P class="p209 ft45">Avgiftsfinansierad tillsyn</P>
<P class="p210 ft8">När det gäller finansiering av kostnader för att utöva tillsyn har ut- redningen övervägt en avgiftsfinansierad tillsyn. Av regeringens skri- velse, <SPAN class="ft9">En tydlig, rättssäker och effektiv tillsyn, </SPAN>framgår bl.a. att tillsyn i normalfallet bör finansieras genom avgifter.<SPAN class="ft36">3 </SPAN>Det kan dock inom vissa områden vara mer lämpligt att låta tillsynen finansieras via skatte- medel. Det kan exempelvis vara fallet när kostnaderna för att admi- nistrera ett avgiftsuttag bedöms som höga i relation till avgiften i övrigt. Det kan också finnas fördelningspolitiska och effektivitets- mässiga eller andra bärande motiv att låta tillsynen finansieras med skattemedel, särskilt inom områden där tillsynen riktas mot statligt och kommunalt finansierad verksamhet. En tillsynsavgift bör mot- svaras av en tydlig motprestation, uppfattas som rättvis samt inte vara konkurrenssnedvridande. Avgifterna bör vara lättbegripliga och förutsebara för de objektsansvariga och ge incitament till avsedda beteenden hos tillsynsorganen och de objektsansvariga.</P>
<P class="p58 ft8">Avgiftsfinansiering av tillsyn finns inom en rad olika områden och även inom de sektorer som omfattas av den föreslagna lagen. Inom transportsektorn tas bland annat ut avgift när det gäller yrkestrafik för tillsyn av den som har trafiktillstånd enligt taxitrafiklagen (2012:2111) och yrkestrafiklagen (2012:10), för tillsyn av sjöfartsskydd i hamn- anläggningar enligt lagen (2004:487) om sjöfartsskydd och tillsyn av hamnskydd i hamnar enligt lagen (2006:1209) om hamnskydd. Finansinspektionens kostnader för bland annat regelgivning och till- syn täcks av årliga avgifter enligt förordningen (2007:1135) om år- liga avgifter för finansiering av Finansinspektionens verksamhet.</P>
<P class="p212 ft9"><SPAN class="ft8">I betänkandet </SPAN>En översyn inom Sevesområdet – förslag till en för- stärkt organisation för att förebygga och begränsa följderna av allvar- liga kemikalieolyckor <SPAN class="ft8">(SOU 2013:14) görs i avsnitt 5 en genomgång av förutsättningarna för att avgiftsfinansiera tillsyn av Sevesoverk- samheter.</SPAN></P>
<P class="p212 ft8">När det gäller sådan verksamhet som omfattas av den föreslagna lagen är det i nuläget svårt att bedöma omfattningen av de tillsyner som ska genomföras. Sektorernas verksamhet skiljer sig åt liksom komplexiteten i de olika nätverken och informationssystemen. Den snabba tekniska utvecklingen liksom samhällets digitalisering kan få</P>
<P class="p528 ft38"><SPAN class="ft37">3 </SPAN>Regeringens skrivelse 2009/10:79, En tydlig, rättssäker och effektiv tillsyn, s. 19.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">273</P>
</DIV>
</DIV>
<DIV id="page_274">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Konsekvensanalys</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p226 ft8">stora effekter på tillsynsverksamhetens omfattning och innehåll. Den verksamhet som kommer att bli föremål för tillsyn finns inom staten, kommuner, landsting och enskild verksamhet och är till viss del skattefinansierad. Förutsättningar för en avgiftsfinansierad tillsyn är enligt utredningens mening att det är känt vilka leverantörer som omfattas och att kontroller sker hos samtliga leverantörer som be- talar tillsynsavgift. Av kapitel 6, 10 och 11 framgår att bedömningen av vilka leverantörer som omfattas är beroende av flera omständig- heter och att vilka leverantörer som omfattas kan variera över tid. Förteckningen över samhällsviktiga tjänster ska uppdateras årligen.</P>
<P class="p205 ft8">Vidare kommer inte samtliga leverantörer av den aktuella tjänsten att omfattas. Detta kan medföra att en avgiftsfinansierad tillsyn kan få en negativ påverkan på konkurrensen. När det gäller till exempel digitala tjänster kan en avgiftsfinansiering också påverka var leveran- tören etablerar sin verksamhet om finansieringen skiljer sig åt i de olika medlemsstaterna. I sektorer som regleras eller kan komma att regleras av andra <NOBR>EU-rättsakter,</NOBR> exempelvis finans- och sjöfarts- sektorn, ska den föreslagna lagen endast tillämpas i den utsträckning kraven på leverantörerna enligt <NOBR>EU-rättsakten</NOBR> inte motsvarar kraven i lagen.</P>
<P class="p407 ft8">Utredningen bedömer att det är svårt att bestämma en avgift som ska täcka de kostnader som uppstår innan leverantörerna av de sam- hällsviktiga tjänsterna och digitala tjänsterna har identifierats. Det är i nuläget svårt att både bedöma antalet leverantörer som kommer omfattas och komplexiteten i den verksamhet som ska granskas. Inom några sektorer görs redan i dag tillsyn och i vissa fall är den tillsynen avgiftsfinansierad. Utredningens förslag är därför att till- synsverksamheten, i vart fall inledningsvis, ska vara anslagsfinansierad och fördelas på de utgiftsområden som respektive sektor tillhör.</P>
<P class="p118 ft8">När leverantörer av samhällsviktiga tjänster och digitala tjänster har identifierats kan en ny utredning göras för att bedöma om det är möjligt att införa ett system med tillsynsavgifter som är förut- sägbara, konkurrensneutrala och står i proportion till motpresta- tionen. Det bör även vägas in i vilken utsträckning verksamheten är statligt eller kommunalt finansierad och att en avgift inte ska inne- bära höga administrativa kostnader för tillsynsmyndigheten eller för leverantörer som ska granskas. Vidare bör erfarenheterna från den avgiftsfinansierade livsmedelskontrollen tas tillvara. Statskontoret har i rapporten <SPAN class="ft9">Avgifter i livsmedelskontrollen, Förslag på en mer</SPAN></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">274</P>
</DIV>
</DIV>
<DIV id="page_275">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t29">
<TR>
<TD class="tr7 td78"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td79"><P class="p22 ft120">Konsekvensanalys</P></TD>
</TR>
</TABLE>
<P class="p96 ft8"><SPAN class="ft9">effektiv avgiftsfinansiering, </SPAN>2015:17, gjort en utvärdering av avgifts- finansieringen av den offentliga livsmedelskontrollen. I rapporten framhålls till exempel att avgiftsmodellen måste vara begriplig, tilläm- pas på ett enhetligt sätt och att kontroller faktiskt genomförs.</P>
<P class="p3 ft39">Ekonomiska konsekvenser för domstolar</P>
<P class="p113 ft8">Tillsynsmyndighetens beslut om förelägganden eller sanktionsavgift får överklagas till allmän förvaltningsdomstol vilket kan medföra en ökning av antalet mål där. Det bedöms dock i så fall endast bli fråga om ett fåtal ytterligare beslut som kommer under prövning i domstol, se avsnitt 9.6.3. De ekonomiska konsekvenserna för domstolarna bedöms därför kunna hanteras inom befintliga budgetramar.</P>
<P class="p157 ft11"><SPAN class="ft11">13.2.2</SPAN><SPAN class="ft115">Konsekvenser för leverantörer</SPAN></P>
<P class="p67 ft8">Utredningen har bedömt i vilken utsträckning förslagen påverkar kostnaderna för statliga myndigheter, kommuner, landsting och före- tag. För leverantörerna av samhällsviktiga tjänster och digitala tjänster är utredningens bedömning att konsekvenserna av förslagen sammantaget är positiva. Det förebyggande säkerhetsarbetet innebär att skadekonsekvenserna av en incident blir begränsade för den leve- rantör där incidenten inträffat men även för samhället i stort.</P>
<P class="p64 ft39">Ekonomiska konsekvenser för leverantörer</P>
<P class="p65 ft8">Leverantörerna finns inom sju olika sektorer samt inom tre typer av digitala tjänster.</P>
<P class="p58 ft8">Den föreslagna regleringens krav på säkerhetsåtgärder och inci- dentrapportering medför för de flesta leverantörer ingen större för- ändring jämfört med vad som gäller i dag även om det inom vissa sektorer inte finns några uttryckliga krav på säkerhetsåtgärder eller incidentrapportering. Utredningen anser att det i de fall det saknas bestämmelser måste anses ingå i uppdraget att tillhandahålla en sam- hällsviktig tjänst att också vidta grundläggande säkerhetsåtgärder för de nätverk och informationssystem som tjänsten är beroende av. Däremot kommer kravet att rapportera incidenter till <NOBR>CSIRT-en-</NOBR></P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">275</P>
</DIV>
</DIV>
<DIV id="page_276">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Konsekvensanalys</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p116 ft8">heten vara en ny uppgift för andra leverantörer än statliga myndig- heter.</P>
<P class="p205 ft8">För att undvika oproportionella finansiella och administrativa bördor för leverantörerna bör kraven enligt skälen i <NOBR>NIS-direktivet</NOBR> stå i proportion till den risk som det berörda nätverk och informa- tionssystemet utgör, med beaktande av den senaste tekniska utveck- lingen. När det gäller leverantörer av digitala tjänster gäller dessa krav inte för mikroföretag och små företag, se avsnitt 10.2.2.</P>
<P class="p205 ft8">Utredningens förslag kommer att ställa högre krav på dokumen- tation och administrativ hantering när det gäller identifiering av leve- rantörer av samhällsviktiga tjänster, bedömning av lämpliga säker- hetsåtgärder samt incidentrapportering. Förslagen om tillsyn kommer också att medföra administrativa kostnader för den leverantör som blir föremål för tillsyn.</P>
<P class="p86 ft8">Däremot kommer enhetliga regler, standardisering av säkerhets- krav, tillsyn och möjligheten att få upplysningar av tillsynsmyndig- heterna bidra till minskade kostnader både vad gäller teknik och personella resurser. Information om incidenter kommer genom direk- tivets genomförande att bli mer tillgänglig både allmänt och riktat till sektorer samt enskilda leverantörer. De erfarenheter som kan dras från inträffade incidenter både nationellt och inom unionen kommer att kunna användas i det förebyggande och systematiska informationssäkerhetsarbetet. En hög nivå av säkerhet i nätverk och informationssystem kommer att väsentligt minska både kostnader för och andra konsekvenser av en eventuell incident.</P>
<P class="p87 ft8">Vissa leverantörer kan också ha fått ersättning för säkerhetsåt- gärder som även kan främja säkerheten i samhällsviktiga tjänster enligt till exempel elberedskapslagen (1997:288) för att vidta bered- skapsåtgärder och förordningen (2003:396) om elektronisk kommu- nikation för att beakta totalförsvarets behov. Här bör nämnas att flera myndigheter även har tilldelats medel från anslaget 2:4 Kris- beredskap, utgiftsområde 6 i budgetpropositionen, för projekt som angränsar till de åtgärder som ska vidtas med stöd av den föreslagna lagen.</P>
<P class="p205 ft8">Utredningens bedömning är att förslagen inte kommer innebära några ekonomiska konsekvenser för leverantörer av samhällsviktiga och digitala tjänster. Kostnadsmässiga och andra konsekvenser av myndighetsföreskrifter som meddelas i anslutning till den nya lagen</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">276</P>
</DIV>
</DIV>
<DIV id="page_277">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t29">
<TR>
<TD class="tr7 td78"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td79"><P class="p22 ft120">Konsekvensanalys</P></TD>
</TR>
</TABLE>
<P class="p355 ft8">ska utredas enligt förordningen (2007:1244) om konsekvensutred- ning vid regelgivning.</P>
<P class="p199 ft11"><SPAN class="ft11">13.2.3</SPAN><SPAN class="ft115">Konsekvenser för konsumenter och andra användare</SPAN></P>
<P class="p57 ft8">Förslagen innebär krav på leverantörer av samhällsviktiga tjänster och digitala tjänster. Utredningen har konstaterat att det måste anses ingå i uppdraget att tillhandahålla en samhällsviktig tjänst att också vidta grundläggande säkerhetsåtgärder för de nätverk och informa- tionssystem som tjänsten är beroende av. I de fall sådana grundläg- gande åtgärder inte vidtagits kan det inte uteslutas att kostnader för säkerhetsåtgärder skulle kunna komma att avspegla sig i priset på sådana tjänster som inte skattefinansieras eller skattesubventioneras, t.ex. dricksvatten- och elförsörjning. Detta ska dock vägas mot de kostnader som kan uppkomma på grund av brister i säkerheten i nätverk och informationssystem.</P>
<P class="p157 ft11"><SPAN class="ft11">13.2.4</SPAN><SPAN class="ft115">Samhällsekonomiska konsekvenser</SPAN></P>
<P class="p67 ft8">Bakgrunden till <NOBR>NIS-direktivet</NOBR> är att nätverk och informationssystem spelar en allt viktigare roll i samhället. Deras tillförlitlighet och säker- het är grundläggande för ekonomisk och samhällelig verksamhet och i synnerhet för Sveriges och den inre marknadens funktion. Säker- hetsincidenter, som blir allt mer omfattande och vanliga får allt större inverkan, utgör ett allvarligt hot mot nätverkens och informations- systemens funktion. Systemen kan också bli föremål för avsiktligt sabotage i syfte att skada dem eller förorsaka driftsavbrott. Sådana incidenter kan hindra genomförandet av ekonomisk verksamhet, generera omfattande ekonomiska förluster, undergräva användar- nas förtroende och medför allvarliga konsekvenser för Sveriges och unionens ekonomi. Incidenterna kan också medföra allvarliga kon- sekvenser för invånarna i Sverige.</P>
<P class="p58 ft8">Nätverk och informationssystem, i synnerhet internet, spelar en viktig roll genom att underlätta både den gränsöverskridande rörlig- heten för varor, tjänster och personer och rörligheten för varor, tjänster och personer inom landet. På grund av denna transnationella natur kan allvarliga störningar av dessa system, vare sig de är avsikt- liga eller oavsiktliga och oberoende av var de förekommer påverka</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">277</P>
</DIV>
</DIV>
<DIV id="page_278">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Konsekvensanalys</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8">enskilda medlemsstater och unionen som helhet. Säkerheten i nätverk och informationssystem är därför avgörande för att den inre mark- naden och den svenska marknaden ska fungera väl.</P>
<P class="p51 ft8">Utredningens förslag syftar till att säkerställa kontinuiteten i samhällsviktiga tjänster och digitala tjänster vilket är till fördel för både företag, myndigheter, kommuner, landsting och konsumenter- na eftersom försörjningstryggheten ökar. Tillförlitliga nätverk och informationssystem skapar därför samhällsekonomiska vinster på både kort och lång sikt.</P>
<P class="p165 ft35"><SPAN class="ft35">13.3</SPAN><SPAN class="ft113">Övriga konsekvenser</SPAN></P>
<P class="p529 ft11"><SPAN class="ft11">13.3.1</SPAN><SPAN class="ft115">Förslagens konsekvenser för den kommunala självstyrelsen</SPAN></P>
<P class="p460 ft8">Det finns ett antal värden som kan tillgodoses genom kommunal självstyrelse. Det handlar främst om demokrativärden och effekti- vitetsvärden. Det avser beslutsfattande nära medborgarna, flexibilitet och effektivt resursutnyttjande, lokal och regional anpassning samt medborgarnas inflytande över beslut.</P>
<P class="p52 ft8">Följande frågor kan användas vid analysen av konsekvenser för den kommunala självstyrelsen.</P>
<P class="p161 ft8"><SPAN class="ft10">1.</SPAN><SPAN class="ft76">Har förslaget betydelse för den lokala demokratin – återverkar det på kommunalpolitikernas handlingsutrymme eller medborg- arnas möjlighet att utöva inflytande i systemet?</SPAN></P>
<P class="p161 ft8"><SPAN class="ft10">2.</SPAN><SPAN class="ft76">Påverkar förslaget uppgiftsfördelningen mellan staten och kom- munerna?</SPAN></P>
<P class="p161 ft8"><SPAN class="ft10">3.</SPAN><SPAN class="ft76">Innebär förslaget statlig regelstyrning eller tillsyn över kommunal verksamhet?</SPAN></P>
<P class="p161 ft8"><SPAN class="ft10">4.</SPAN><SPAN class="ft76">Innebär förslaget att man inom någon del av den kommunala verksamheten inför nya rättigheter för medborgarna? Föreslås domstolskontroll av den kommunala verksamheten?</SPAN></P>
<P class="p95 ft8">Det finns även lagstiftning som över huvud taget inte påverkar den kommunala självstyrelsen på det sätt som avses här. Vissa lagbestäm- melser berör kommuner och landsting i deras egenskap av arbets- givare, måltidsproducent, fastighetsägare etc. Här omfattas kommu-</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">278</P>
</DIV>
</DIV>
<DIV id="page_279">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336279x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t29">
<TR>
<TD class="tr7 td78"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td79"><P class="p22 ft120">Konsekvensanalys</P></TD>
</TR>
</TABLE>
<P class="p88 ft8">ner och landsting av samma lagstiftning som andra arbetsgivare, måltidsproducenter etc. Vidare måste kommuner och landsting kunna omfattas av säkerhetsföreskrifter m.m. av produktionsmässig karak- tär. I dessa situationer blir det inte aktuellt att göra en prövning av den föreslagna lagstiftningen utifrån de värden som den kommu- nala självstyrelsen är satt att värna.</P>
<P class="p11 ft8">Utredningens bedömning är att förslagen inte påverkar den kom- munala självstyrelsen på sätt som avses i 15 § kommittéförordning- en (1998:1474). Förslagen avser krav på säkerhetsåtgärder och it- incidentrapportering som omfattar kommuner och landsting i deras egenskap av tillhandahållare av en samhällsviktig tjänst på samma sätt som andra leverantörer av samhällsviktiga tjänster.</P>
<P class="p530 ft16"><SPAN class="ft11">13.3.2</SPAN><SPAN class="ft123">Konsekvenser för brottsligheten och det brottsförebyggande arbetet</SPAN></P>
<P class="p57 ft8">Utredningens förslag om krav på säkerhetssåtgärder och incident- rapportering förebygger både avsiktliga angrepp och s.k. hand- havandefel. Förslagen bör enligt utredningens mening leda till att <NOBR>it-relaterade</NOBR> brott förebyggs och förhindras.</P>
<P class="p58 ft8">Förslaget om att leverantörerna av samhällsviktiga och digitala tjänster ska uppmanas att anmäla incidenter som har sin grund i en brottslig gärning till polisen bör leda till att ett större antal <NOBR>it-brott</NOBR> utreds och beivras.</P>
<P class="p199 ft11"><SPAN class="ft11">13.3.3</SPAN><SPAN class="ft115">Särskild hänsyn till små företag</SPAN></P>
<P class="p57 ft8">Enligt artikel 16.11 i direktivet ska säkerhets- och rapporterings- kraven beträffande leverantörer av digitala tjänster inte tillämpas på mikroföretag eller små företag enligt definitionen i kommissionens rekommendation 2003/361/EG<SPAN class="ft36">4</SPAN>.</P>
<P class="p11 ft8">Mot bakgrund av att utredningen inte har identifierat vilka leve- rantörer som kommer omfattas av förslagen är det svårt att bedöma vilka konsekvenser de föreslagna reglerna kan komma att få för små företag. Krav på dokumentation och administration kan innebära</P>
<P class="p196 ft38"><SPAN class="ft37">4 </SPAN>Kommissionens rekommendation av den 6 maj 2003 om definitionen av mikroföretag samt små och medelstora företag.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">279</P>
</DIV>
</DIV>
<DIV id="page_280">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Konsekvensanalys</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p309 ft8">en större börda för små företag. Genom utredningens förslag att till- synsmyndigheterna ska lämna råd och upplysning till leverantörer- na inom den sektor över vilken de utövar tillsyn bedömer utred- ningen att de behov som små företag kan ha tillgodoses.</P>
<P class="p14 ft8">När det gäller konkurrensförmåga innebär <NOBR>NIS-direktivet</NOBR> att reg- lerna om säkerhet i nätverk och informationssystem för samhälls- viktiga tjänster och digitala tjänster blir enhetliga i hela unionen. Förslaget bör därför underlätta för alla typer av företag som vill verka på den inre marknaden och därmed förbättra konkurrensen.</P>
</DIV>
<DIV id="id_3">
<P class="p4 ft18">280</P>
</DIV>
</DIV>
<DIV id="page_281">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336281x1.jpg/" id="img1">
</DIV>
<P class="p4 ft7">14 Ikraftträdande</P>
<P class="p531 ft119"><SPAN class="ft35">14.1</SPAN><SPAN class="ft118">Förslaget till ny lag om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster</SPAN></P>
<P class="p339 ft8"><SPAN class="ft43">Förslag: </SPAN>Lagen (2018:000) om informationssäkerhet för vissa till- handahållare av samhällsviktiga tjänster och digitala tjänster ska träda i kraft den 10 maj 2018.</P>
<P class="p77 ft8">Enligt artikel 25 i <NOBR>NIS-direktivet</NOBR> ska medlemsstaterna senast den 9 maj 2018 anta och offentliggöra de lagar och andra författningar som är nödvändiga för att uppfylla direktivet. Vidare anges att be- stämmelserna ska tillämpas från och med den 10 maj 2018. Det är alltså nödvändigt att bestämmelserna träder i kraft den 10 maj 2018 och detta datum bör därför anges i lagen.</P>
<P class="p157 ft35"><SPAN class="ft35">14.2</SPAN><SPAN class="ft113">Övrigt</SPAN></P>
<P class="p113 ft8">Mot bakgrund av att det i flertalet sektorer krävs myndighetsföre- skrifter för att den föreslagna lagen ska kunna tillämpas enligt NIS- direktivet bör regeringen ge Myndigheten för samhällsskydd och beredskap (MSB) och tillsynsmyndigheterna i uppdrag att påbörja arbetet med myndighetsföreskrifter så att de kan träda ikraft sam- tidigt som lagen. Det bör också övervägas om berörda myndig- heters instruktioner behöver ändras.</P>
<P class="p106 ft8">MSB bör ges i uppdrag att påbörja identifiering och bedömning av samhällsviktiga tjänster. Föreskriften om samhällsviktiga tjänster bör meddelas senast den 10 maj 2018.</P>
<P class="p532 ft18">281</P>
</DIV>
<DIV id="page_282">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Ikraftträdande</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p85 ft8">MSB bör ges i uppdrag att vidta förberedelseåtgärder med an- ledning av kravet på incidentrapportering som träder i kraft den 10 maj 2018.</P>
<P class="p86 ft8">MSB bör ges i uppdrag att utforma och leda det samarbetsforum för tillsynsmyndigheterna som beskrivs i avsnitt 8.5.4.</P>
<P class="p86 ft8">MSB bör ges i uppdrag att ta fram vägledningar och riktlinjer för standarder och specifikationer.</P>
<P class="p86 ft8">Post- och telestyrelsen, Transportstyrelsen och Finansinspektion- en bör ges i uppdrag att utreda vilka enheter som omfattas av annan lag eller andra bindande unionsrättsakter med säkerhetskrav eller krav på incidentrapportering vars verkan minst motsvarar verkan av dessa skyldigheter i lagen.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">282</P>
</DIV>
</DIV>
<DIV id="page_283">
<P class="p4 ft7">15 Författningskommentar</P>
<P class="p533 ft80"><SPAN class="ft35">15.1</SPAN><SPAN class="ft114">Förslaget till lag (2018:000) om informationssäkerhet för vissa tillhandahållare av samhällsviktiga tjänster och digitala tjänster</SPAN></P>
<P class="p357 ft39">Inledande bestämmelser</P>
<P class="p74 ft45">1 §</P>
<P class="p534 ft8">Paragrafen genomför artikel 1.1 i <NOBR>NIS-direktivet.</NOBR> <SPAN class="ft9">Första stycket </SPAN>innehåller syftet med lagen.</P>
<P class="p11 ft8">Av <SPAN class="ft9">andra stycket </SPAN>framgår att genom lagen och de föreskrifter som avses komplettera lagen genomförs <NOBR>NIS-direktivet</NOBR> utom vad gäller en nationell strategi.</P>
<P class="p82 ft10">Bakgrunden till paragrafen behandlas i kapitel 3.</P>
<P class="p64 ft39">Lagens tillämpningsområde</P>
<P class="p56 ft45">2 §</P>
<P class="p65 ft8">Paragrafen genomför artiklarna 5.1, 16.11 och <NOBR>18.1–2</NOBR> i <NOBR>NIS-direk-</NOBR> tivet.</P>
<P class="p11 ft8">Under a) anges vilka leverantörer av samhällsviktiga tjänster som omfattas av lagen. Med etablerad avses att leverantören utför en faktisk och reell verksamhet med hjälp av en stabil struktur. Den rättsliga formen för en sådan struktur bör enligt skälen till <NOBR>NIS-direk-</NOBR> tivet inte vara den avgörande faktorn. Hur leverantörer av samhälls- viktiga tjänster ska identifieras beskrivs närmare i 8 § samt i 3 § för- ordningen.</P>
<P class="p106 ft8">Under b) anges vilka leverantörer av digitala tjänster som om- fattas av lagen. I motsats till vad som gäller för leverantörer av sam-</P>
<P class="p535 ft18">283</P>
</DIV>
<DIV id="page_284">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Författningskommentar</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8">hällsviktiga tjänster ska någon identifiering av leverantörer av digitala tjänster inte ske.</P>
<P class="p410 ft8">Lagen ska inte tillämpas på leverantörer av digitala tjänster som är mikroföretag eller små företag. Hårdvarutillverkare och mjukvaru- utvecklare omfattas av redan befintliga bestämmelser om produkt- ansvar och träffas inte heller av lagen. Näringsidkare som tillhanda- håller egna varor och tjänster på en webbplats <NOBR>(e-butik)</NOBR> eller aktörer som använder sig av privata moln är inte leverantörer av digitala tjänster enligt lagen. Lagen ska inte heller tillämpas på jämförelsesajter.</P>
<P class="p51 ft8">För att en leverantör av digitala tjänster ska omfattas av svensk jurisdiktion krävs att leverantören har sitt huvudsakliga etablerings- ställe i Sverige, eller har utsett en företrädare här. Det huvudsakliga etableringsstället ska anses vara där leverantören har sitt huvudkontor. Det krävs att leverantören utför en faktisk och reell verksamhet med hjälp av en stabil struktur för att den ska anses vara etablerad. Den rättsliga formen är inte avgörande. Att nätverk och informa- tionssystem är fysiskt belägna på en viss plats innebär inte att det är fråga om ett huvudsakligt etableringsställe. Om leverantören inte är etablerad i unionen, men erbjuder tjänster här, ska leverantören utse en företrädare i något av de länder i Europeiska unionen där tjänst- erna erbjuds. Leverantören ska i de fallen omfattas av lagstiftningen i det land där företrädaren finns. Företrädaren bör utses uttryck- ligen genom en skriftlig fullmakt från leverantören av digitala tjänster att agera på dess vägnar med avseende på leverantörens skyldigheter enligt <NOBR>NIS-direktivet</NOBR> (se 9 §).</P>
<P class="p536 ft10">Bakgrunden till paragrafen behandlas i kapitel 6 och avsnitt 10.2.5.</P>
<P class="p61 ft39">Undantag från lagens tillämpningsområde</P>
<P class="p79 ft45">Elektronisk kommunikation</P>
<P class="p94 ft45">3 §</P>
<P class="p537 ft8">Paragrafen genomför första ledet i artikel 1.3 i <NOBR>NIS-direktivet.</NOBR> Genom paragrafen undantas företag som omfattas av artiklarna</P>
<P class="p110 ft8">13a och 13b i Europaparlamentets och rådets direktiv 2002/21/EG av den 7 mars 2002 om ett gemensamt regelverk för elektroniska kommunikationsnät och kommunikationstjänster (ramdirektiv) från</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">284</P>
</DIV>
</DIV>
<DIV id="page_285">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td6"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td80"><P class="p22 ft33">Författningskommentar</P></TD>
</TR>
</TABLE>
<P class="p96 ft8">lagens tillämpningsområde, dock inte företag som tillhandahåller internetknutpunkter.</P>
<P class="p11 ft8">Säkerhets- och rapporteringskraven i <NOBR>NIS-direktivet</NOBR> ska enligt artikel 1.3 inte tillämpas på företag som omfattas av artiklarna 13a och 13b i ramdirektivet. Internetknutpunkter anses i svensk rätt som sådana allmänna kommunikationsnät som omfattas av 5 kap. 6 b och c §§ lagen (2003:389) om elektronisk kommunikation, som genom- för artiklarna. Med hänsyn till att internetknutpunkter är en av de enheter som uttryckligen ska regleras enligt <NOBR>NIS-direktivet</NOBR> ska undan- taget för företag som omfattas av artiklarna inte gälla tillhandahålla- re av internetknutpunkter. Undantaget i denna bestämmelse om- fattar alltså inte tillhandahållare av internetknutpunkter. Artiklarna 13a och 13b i ramdirektivet innehåller dock krav på säkerställande av säkerheten i nätverk och informationssystem samt på incident- rapportering. Om verkan av de kraven minst motsvarar verkan av skyldigheterna i denna lag ska bestämmelserna i ramdirektivet tilläm- pas enligt principen om lex specialis till följd av bindande <NOBR>EU-rätts-</NOBR> akter, se 5 § första stycket. Lagen blir i så fall inte tillämplig på tillhandahållare av internetknutpunkter.</P>
<P class="p82 ft10">Bakgrunden till paragrafen behandlas i avsnitt 5.4.</P>
<P class="p64 ft45">Betrodda tjänster</P>
<P class="p74 ft45">4 §</P>
<P class="p538 ft8">Paragrafen genomför andra ledet i artikel 1.3 i <NOBR>NIS-direktivet.</NOBR> Säkerhets- och rapporteringskraven i <NOBR>NIS-direktivet</NOBR> ska enligt</P>
<P class="p539 ft8">direktivets artikel 1.3 inte tillämpas på leverantörer av betrodda tjänst- er som omfattas av kraven i artikel 19 i Europaparlamentets och rådets förordning (EU) nr 910/2014 av den 23 juli 2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv 1999/93/EG. Genom paragrafen undantas dessa leverantörer från lagens tillämp- ningsområde.</P>
<P class="p114 ft10">Bakgrunden till paragrafen behandlas i avsnitt 5.4.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">285</P>
</DIV>
</DIV>
<DIV id="page_286">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Författningskommentar</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p102 ft45">Avvikande bestämmelser i <NOBR>EU-rättsakter</NOBR> eller i annan författning</P>
<P class="p94 ft45">5 §</P>
<P class="p94 ft10"><SPAN class="ft45">Första stycket </SPAN>genomför artikel 1.7 i <NOBR>NIS-direktivet.</NOBR></P>
<P class="p52 ft8">Stadgandet innebär att lagen inte ska tillämpas om det i en bin- dande <NOBR>EU-rättsakt</NOBR> finns bestämmelser om krav på säkerhetsåtgärder eller incidentrapportering vars verkan minst motsvarar verkan av skyl- digheterna enligt lagen (lex specialis). Det innebär t.ex. att identi- fieringsförfarandet för leverantörer av samhällsviktiga tjänster inte ska genomföras. Någon tillsyn av leverantörerna eller incidentrap- portering ska heller inte att ske enligt lagen. Bestämmelser som kan utgöra lex specialis finns t.ex. inom sjöfartssektorn, banksektorn, sektorn för finansmarknadsinfrastruktur och sektorn för digital infrastruktur.</P>
<P class="p52 ft8"><SPAN class="ft9">Andra stycket </SPAN>innebär att bestämmelser om säkerhetskrav eller krav på incidentrapportering i nationell lag, som inte grundas på EU- rättsakter, ska tillämpas i stället för lagens bestämmelser om kraven minst motsvarar skyldigheterna i lagen. För att <NOBR>NIS-direktivet</NOBR> ska anses korrekt genomfört krävs dock att lagens bestämmelser tilläm- pas i den utsträckning det saknas andra bestämmelser. Skulle det t.ex. finnas bestämmelser om krav på tekniska och organisatoriska åt- gärder i en särskild lag, men saknas bestämmelser om t.ex. incident- rapportering, tillsyn eller sanktioner, ska lagen tillämpas i sistnämnda delar.</P>
<P class="p108 ft10">Bakgrunden till paragrafen behandlas i avsnitt 5.4.</P>
<P class="p93 ft45">Sveriges säkerhet</P>
<P class="p94 ft45">6 §</P>
<P class="p79 ft10">Paragrafen genomför artikel 1.6 i <NOBR>NIS-direktivet.</NOBR></P>
<P class="p52 ft8">Genom paragrafen undantas verksamhet som är av betydelse för Sveriges säkerhet från lagens tillämpningsområde.</P>
<P class="p51 ft8"><NOBR>NIS-direktivet</NOBR> påverkar enligt artikel 1.6 inte medlemsstaternas åtgärder för att skydda sina väsentliga statliga funktioner, särskilt för att skydda den nationella säkerheten, inklusive åtgärder för skydd av information vars avslöjande medlemsstaterna anser strida mot sina väsentliga säkerhetsintressen och för att upprätthålla lag och ord- ning, särskilt för att möjliggöra utredning, upptäckt och lagföring</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">286</P>
</DIV>
</DIV>
<DIV id="page_287">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t16">
<TR>
<TD class="tr7 td6"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td80"><P class="p22 ft33">Författningskommentar</P></TD>
</TR>
</TABLE>
<P class="p471 ft8">av brott. När det gäller åtgärder för att upprätthålla lag och ordning finns inte sådan verksamhet inom de sektorer som enligt bilaga 2 till <NOBR>NIS-direktivet</NOBR> omfattas av direktivet.</P>
<P class="p540 ft8">Verksamhet som är av betydelse för Sveriges säkerhet regleras i säkerhetsskyddslagen (1996:627) och säkerhetsskyddsförordningen (1996:633). Enligt det regelverket åligger det den som ansvarar för en verksamhet att undersöka vilka uppgifter i verksamheten som ska hållas hemliga med hänsyn till rikets säkerhet (säkerhetsanalys, 5 § säkerhetsskyddsförordningen), och om verksamheten till följd av förekomsten av sådana uppgifter är av betydelse för Sveriges säkerhet.</P>
<P class="p188 ft8">Som exempel på hemliga uppgifter kan anges uppgifter som om- fattas av försvarssekretess. Försvarssekretess gäller för uppgift som rör verksamhet för att försvara landet eller planläggning eller annan förberedelse av sådan verksamhet eller som i övrigt rör totalförsvaret, om det kan antas att det skadar landets försvar eller på annat sätt vållar fara för rikets säkerhet om uppgiften röjs. Förekommer upp- gifter om funktionssätt och säkerhet i system som har betydelse för samhällets försörjning eller infrastruktur, omfattas de av bestäm- melsen om försvarssekretess. Bestämmelsen gäller oberoende av hos vilken myndighet uppgifterna finns. (15 kap. 2 § OSL)</P>
<P class="p334 ft8">Det innebär att incidenter i nätverk och informationssystem där det hanteras uppgifter som rör verksamhet eller uppgifter om säker- hetsåtgärder som omfattas av försvarssekretess inte ska rapporteras enligt denna lag. Detta gäller oavsett i vilken sektor incidenten in- träffar. I de fall en incident upptäcks genom 4 § förordningen (2007:937) med instruktion för Försvarets radioanstalt och detta innebär att en verksamhet får del av uppgifter som omfattas av för- svarssekretess, får verksamheten betydelse för Sveriges säkerhet. Be- stämmelser om rapportering av incidenter som rör Sveriges säkerhet finns i 10 a § säkerhetsskyddsförordningen.</P>
<P class="p238 ft8">Beträffande den aggregerade information som Myndigheten för samhällsskydd och beredskap kan komma att få i sin egenskap av mottagare av incidentrapporter bör myndigheten i sin säkerhets- analys undersöka om aggregerade uppgifter om incidenter inom en sektor eller för samtliga sektorer utgör en ny uppgift och i så fall om den rör Sveriges säkerhet.</P>
<P class="p190 ft8">Bakgrunden till paragrafen behandlas i kapitel 5, 12 och av- snitt 7.3.2.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">287</P>
</DIV>
</DIV>
<DIV id="page_288">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Författningskommentar</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p102 ft39">Definitioner i lagen</P>
<P class="p94 ft45">7 §</P>
<P class="p94 ft10">Paragrafen genomför artikel 4 i <NOBR>NIS-direktivet.</NOBR></P>
<P class="p239 ft8">Definitionen av säkerhet i nätverk och informationssystem i <SPAN class="ft9">punk- ten 2 </SPAN>har anpassats till etablerad svensk terminologi där begreppet integritet ersatts med begreppet riktighet. Det framgår också av den engelska versionen av <NOBR>NIS-direktivet</NOBR> att det utöver grundgreppen som definierar informationssäkerhet – tillgänglighet, riktighet och konfidentialitet – inte är integritet som avses utan autenticitet.</P>
<P class="p51 ft8">I <SPAN class="ft9">punkten 3 </SPAN>definieras begreppet leverantör av samhällsviktiga tjänster. De enheter som det hänvisas till kan vara både offentliga och enskilda aktörer.</P>
<P class="p52 ft8">Definitionerna i <SPAN class="ft9">punkterna </SPAN><NOBR><SPAN class="ft9">13–15</SPAN></NOBR><SPAN class="ft9"> </SPAN>används inte direkt i lagen eller förordningen utan endast indirekt genom hänvisning till bilaga 2 till <NOBR>NIS-direktivet.</NOBR></P>
<P class="p51 ft8">Beträffande definitionerna av internetbaserad marknadsplats, inter- netbaserad sökmotor och molntjänster i <SPAN class="ft9">punkterna </SPAN><NOBR><SPAN class="ft9">16–18</SPAN></NOBR><SPAN class="ft9"> </SPAN>anges i skälen till <NOBR>NIS-direktivet</NOBR> att definitionerna är specifika för direk- tivet och inte påverkar andra instrument.</P>
<P class="p51 ft8">Vidare anges i <SPAN class="ft9">punkten 19 </SPAN>att Europaparlamentets och rådets direktiv (EU) 2016/1148 av den 6 juli 2016 om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen benämns <NOBR>NIS-direktivet</NOBR> i lagen.</P>
<P class="p51 ft8">I <SPAN class="ft9">punkten 20 </SPAN>definieras begreppet säkerhetsprinciper (security policies) som används i 26 och 27 §§. Uppräkningen av styrande dokument är inte uttömmande men visar på att det ska vara en viss nivå på dokumenten.</P>
<P class="p108 ft10">I <SPAN class="ft45">punkten 21 </SPAN>definieras vad som i lagen avses med <NOBR>CSIRT-enhet.</NOBR></P>
<P class="p93 ft39">Identifiering av leverantörer av samhällsviktiga tjänster</P>
<P class="p94 ft45">8 §</P>
<P class="p541 ft8">Paragrafen genomför artiklarna <NOBR>5.1–2,</NOBR> 5.4 och <NOBR>6.1–2</NOBR> i <NOBR>NIS-direktivet.</NOBR> Verksamheter inom sektorer som finns upptagna som enheter i bilaga 2 till <NOBR>NIS-direktivet</NOBR> och som tillhandhåller en samhällsviktig tjänst ska enligt <SPAN class="ft9">första stycket </SPAN>undersöka om verksamheten är bero-</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">288</P>
</DIV>
</DIV>
<DIV id="page_289">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td6"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td80"><P class="p22 ft33">Författningskommentar</P></TD>
</TR>
</TABLE>
<P class="p187 ft8">ende av nätverk och informationssystem och om en incident skulle medföra en betydande störning vid tillhandahållandet av tjänsten.</P>
<P class="p188 ft8">Med samhällsviktig tjänst avses en tjänst som är viktig för sam- hällets funktionalitet i sin helhet och där ett avbrott i tjänsten hindrar genomförandet av ekonomisk verksamhet, genererar omfattande eko- nomiska förluster, undergräver användarnas förtroende och medför allvarliga konsekvenser för landets och unionens ekonomi. I 10 § 2 förordningen bemyndigas Myndigheten för samhällsskydd och bered- skap att i föreskrifter fastställa vilka tjänster som är viktiga för att upprätthålla kritisk samhällelig och ekonomisk verksamhet (samhälls- viktig tjänst). Myndigheten för samhällsskydd och beredskaps före- skrifter motsvarar det som i artikel 5.3 i <NOBR>NIS-direktivet</NOBR> benämns för- teckning. Föreskrifterna får inga direkta rättsverkningar i form av krav på rapportering eller säkerhetsåtgärder för den som tillhanda- håller en tjänst som finns på förteckningen. Däremot måste verksam- heter som tillhandahåller en tjänst som anges i föreskrifterna under- söka om verksamheten är en leverantör av en samhällsviktig tjänst enligt lagen.</P>
<P class="p542 ft8">För att fastställa vad som kan anses vara en betydande störning ska enligt <SPAN class="ft9">andra stycket </SPAN>beaktas ett antal sektorövergripande faktorer.</P>
<P class="p189 ft8">Sektorspecifika faktorer ska enligt <SPAN class="ft9">tredje stycket </SPAN>beaktas när det är lämpligt. Sådana faktorer kan när det gäller energileverantörer vara mängden eller andelen producerad nationell el, för oljeleverantörer mängden olja per dag, för lufttransport, inbegripet flygplatser och lufttrafikföretag, järnvägstransport och kusthamnar andelen nationell trafikmängd och antalet passagerare eller lastningar per år, för bank- verksamhet eller finansmarknadsinfrastrukturer deras betydelse för systemet på grundval av samlade tillgångar eller förhållandet mellan dessa tillgångar och BNP, för hälso- och sjukvårdssektorn antalet patienter som leverantören vårdar per år, för produktion, bearbet- ning och leverans av vatten, volym, antal och typer av användare, inbegripet t.ex. sjukhus, offentlig sektor, organisationer och personer samt förekomsten av alternativa vattenkällor för samma geografiska område.</P>
<P class="p189 ft8">Inom vissa sektorer finns internationella koder och riktlinjer som bör beaktas när leverantörer ska identifieras. Den samarbetsgrupp som inrättats genom <NOBR>NIS-direktivet</NOBR> ska enligt direktivet verka för en enhetlig tillämpning av faktorerna inom unionen.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">289</P>
</DIV>
</DIV>
<DIV id="page_290">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Författningskommentar</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p89 ft8">Tillhandahålls tjänsten även i ett eller flera andra länder i Euro- peiska unionen ska den nationella kontaktpunkten enligt <SPAN class="ft9">fjärde stycket </SPAN>samråda med motsvarande funktion i andra berörda länder innan ett beslut om identifiering fattas. Med motsvarande funktion avses nationella kontaktpunkter enligt <NOBR>NIS-direktivet.</NOBR> MSB företräder som nationell kontaktpunkt Sverige i bilaterala och multilaterala samråd i detta avseende.</P>
<P class="p51 ft8">Undersökningen ska enligt <SPAN class="ft9">femte stycket </SPAN>dokumenteras och inne- hålla bakgrund och resonemang som legat till grund för bedömning- en. Undersökningen är sådan information som leverantören ska tillhandahålla tillsynsmyndigheten enligt 26 § 1.</P>
<P class="p108 ft10">Bakgrunden till paragrafen behandlas i kapitel 6.</P>
<P class="p93 ft39">Utseende av företrädare för leverantörer av digitala tjänster</P>
<P class="p94 ft45">9 §</P>
<P class="p94 ft10">Paragrafen genomför artikel 18.2 i <NOBR>NIS-direktivet.</NOBR></P>
<P class="p52 ft8">En leverantör av digitala tjänster omfattas av jurisdiktionen i det land i den Europeiska unionen där leverantören har sitt huvudsak- liga etableringsställe. Det huvudsakliga etableringsstället ska anses vara där leverantören har sitt huvudkontor (se 2 § b). En leverantör som inte har huvudkontor inom Europeiska unionen, men erbjuder tjänster som omfattas av lagen där, ska utse en företrädare i något av de länder i unionen där tjänsten erbjuds. En företrädare är enligt definitionen i 7 § 9 en i unionen etablerad fysisk eller juridisk person som uttryckligen har utsetts att agera för en leverantör av digitala tjänster som inte är etablerad i unionen, till vilken en behörig nationell myndighet eller en <NOBR>CSIRT-enhet</NOBR> kan vända sig, i stället för till leverantören av digitala tjänster, i frågor som gäller de skyl- digheter som leverantören av digitala tjänster har enligt lagen. När en företrädare har utsetts omfattas leverantören av jurisdiktionen i det land där företrädaren finns. Företrädaren bör utses uttryckligen genom en skriftlig fullmakt från leverantören att agera på dess vägnar med avseende på leverantörens skyldigheter enligt <NOBR>NIS-direktivet.</NOBR></P>
<P class="p536 ft10">Bakgrunden till paragrafen behandlas i avsnitt 10.2.5.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">290</P>
</DIV>
</DIV>
<DIV id="page_291">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td6"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td80"><P class="p22 ft33">Författningskommentar</P></TD>
</TR>
</TABLE>
<P class="p80 ft39">Säkerhetsåtgärder</P>
<P class="p74 ft45">Leverantörer av samhällsviktiga tjänster</P>
<P class="p74 ft45">10 §</P>
<P class="p56 ft10">Paragrafen genomför artikel <NOBR>14.1–3</NOBR> i <NOBR>NIS-direktivet.</NOBR></P>
<P class="p58 ft8">En förutsättning för en väl anpassad säkerhet är att det bedrivs ett systematiskt och riskbaserat informationssäkerhetsarbete. Det innebär att arbetet ska bedrivas långsiktigt, kontinuerligt och syste- matiskt samt att arbetet bör ha en tydlig rollfördelning med särskilt utpekat ansvar. I arbetet bör europeiska och internationellt god- kända standarder beaktas.</P>
<P class="p11 ft8">Myndigheten för samhällsskydd och beredskap får meddela före- skrifter om ett systematiskt informationssäkerhetsarbete enligt 10 § 1 förordningen.</P>
<P class="p11 ft8">Styrdokument avseende det systematiska informationssäkerhets- arbetet är sådan information om säkerhetsprinciper som leverantören ska tillhandahålla tillsynsmyndigheten enligt 26 § 1.</P>
<P class="p114 ft10">Bakgrunden till paragrafen behandlas i avsnitt <NOBR>7.3.1–2</NOBR> och 7.3.4.</P>
<P class="p72 ft45">11 §</P>
<P class="p74 ft10">Paragrafen genomför artikel 14.1 i <NOBR>NIS-direktivet.</NOBR></P>
<P class="p58 ft8">Med säkerhet i nätverk och informationssystem avses systemens förmåga att vid en viss tillförlitlighetsnivå motstå åtgärder som under- gräver tillgängligheten, autenticiteten, riktigheten eller konfidentiali- teten hos lagrade, överförda eller behandlade uppgifter eller hos de besläktade tjänster som erbjuds genom eller är tillgängliga via dessa nätverk och informationssystem (7 § 2).</P>
<P class="p11 ft8">Med teknisk säkerhet brukar avses områdena <NOBR>it-säkerhet</NOBR> (data- säkerhet och kommunikationssäkerhet) och fysisk säkerhet. I be- greppet tekniska åtgärder ingår bl.a. skydd mot oönskad förändring, skydd mot obehörig insyn, att behöriga har åtkomst vid rätt tillfälle, skydd av personer, lokaler och utrustning av betydelse för informa- tionssäkerhet samt skydd vid överföring av data. Skyddsåtgärderna ingår i det som brukar benämnas teknisk säkerhet. I begreppet orga- nisatoriska åtgärder ingår bl.a. att upprätta styrdokument, utforma</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">291</P>
</DIV>
</DIV>
<DIV id="page_292">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336292x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Författningskommentar</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8">rutiner, övervaka efterlevnad samt genomföra uppföljningar, dvs. det som brukar benämnas administrativ säkerhet<SPAN class="ft36">1</SPAN>. De tekniska och organisatoriska åtgärder som leverantörer av samhällsviktiga tjänster ska vidta bör inte innebära krav på att någon särskild kommersiell informations- och kommunikationsteknisk produkt utformas, ut- vecklas eller tillverkas på ett visst sätt. För att säkerställa en enhetlig tillämpning av säkerhetsåtgärder bör leverantörerna beakta europeiska eller internationellt accepterade standarder och specifikationer vid utformningen av säkerhetsåtgärder.</P>
<P class="p51 ft8">Åtgärder för att hantera risker omfattar åtgärder för att identi- fiera alla incidentrisker och för att förebygga, upptäcka och hantera incidenter för att begränsa deras inverkan. Säkerheten i nätverk och informationssystem omfattar lagrade, överförda och behandlade uppgifters säkerhet. Begreppet risk definieras i 7 § 8.</P>
<P class="p51 ft8">Med den senaste tekniska utvecklingen avses att samtliga tekniska lösningar som vid var tid finns tillgängliga på marknaden beaktas. Teknisk utveckling kan dels medföra att behovet av säkerhetsåtgär- der förändras, dels innebära nya möjligheter att vidta effektiva säker- hetsåtgärder. Lämplig nivå beslutas av den verksamhetsansvarige med hänsyn till den föreliggande risken och de skadekonsekvenser som kan uppkomma. Beslutet ligger till grund för vilka säkerhets- åtgärder som ska vidtas under en viss period, se även 13 § om risk- analys.</P>
<P class="p543 ft8">Bestämmelser om standarder finns i 4 § förordningen. Bakgrunden till paragrafen behandlas i avsnitt 7.3.1 och 7.3.4.</P>
<P class="p61 ft45">12 §</P>
<P class="p537 ft8">Paragrafen genomför artikel 14.2 i <NOBR>NIS-direktivet.</NOBR> Säkerhetsåtgärderna i 11 § ska även omfatta åtgärder för att före-</P>
<P class="p92 ft8">bygga och minimera verkningar av incidenter i syfte att säkerställa kontinuiteten i tjänsten. När det gäller lämpliga åtgärder hänvisas till kommentaren till 11 §.</P>
<P class="p108 ft10">Bakgrunden till paragrafen behandlas i avsnitt 7.3.1.</P>
<P class="p544 ft38"><SPAN class="ft37">1 </SPAN>Terminologi för informationssäkerhet, Teknisk rapport <NOBR>SIS-TR</NOBR> 50:2015.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">292</P>
</DIV>
</DIV>
<DIV id="page_293">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td6"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td80"><P class="p22 ft33">Författningskommentar</P></TD>
</TR>
</TABLE>
<P class="p80 ft45">13 §</P>
<P class="p74 ft10">Paragrafen genomför artikel <NOBR>14.1–2</NOBR> i <NOBR>NIS-direktivet.</NOBR></P>
<P class="p58 ft8">Valet av säkerhetsåtgärder enligt 11 och 12 §§ ska grunda sig på en riskanalys. Analysen ska kunna användas som beslutsstöd för leverantörens prioriteringar och avvägningar mellan olika typer av säkerhetsåtgärder i förhållande till tjänstens funktionalitet, finan- siella och administrativa konsekvenser samt skyddet för den person- liga integriteten. Analysen kan ingå som en del i verksamhetens övriga risk- och säkerhetsanalysarbete. Analysen ska dokumenteras, upp- dateras årligen och innehålla en åtgärdsplan.</P>
<P class="p106 ft8">Riskanalysen är sådan information som leverantören ska tillhanda- hålla tillsynsmyndigheten enligt 26 § 1.</P>
<P class="p114 ft10">Bakgrunden till paragrafen behandlas i avsnitt 7.3.1.</P>
<P class="p72 ft45">Leverantörer av digitala tjänster</P>
<P class="p74 ft45">14 §</P>
<P class="p56 ft10">Paragrafen genomför artikel 16.1 i <NOBR>NIS-direktivet.</NOBR></P>
<P class="p58 ft8">Till skillnad från vad som gäller för leverantörer av samhällsviktiga tjänster ska leverantörer av digitala tjänster själva utarbeta de åtgärder som krävs enligt paragrafen. Tillsynsmyndigheten ska inte meddela några närmare föreskrifter i detta avseende. I stället ska kommis- sionen senast den 9 augusti 2017 anta genomförandeakter för att specificera de element som leverantörerna ska ta hänsyn till vid be- dömningen av vilka säkerhetsåtgärder som ska utarbetas och vidtas.</P>
<P class="p106 ft8">Begreppen tekniska och organisatoriska åtgärder och senaste tek- niska utvecklingen behandlas i kommentaren till 11 §.</P>
<P class="p11 ft8">Med incidenthantering avses enligt definitionen i 7 § 7 alla för- faranden som stöder upptäckt, analys och begränsning av en incident och åtgärder mot en incident.</P>
<P class="p114 ft10">Bakgrunden till paragrafen behandlas i avsnitt 10.3.</P>
<P class="p72 ft45">15 §</P>
<P class="p545 ft8">Paragrafen genomför artikel 16.2 i <NOBR>NIS-direktivet.</NOBR> Säkerhetsåtgärderna i 14 § ska även omfatta åtgärder för att före-</P>
<P class="p2 ft10">bygga och minimera verkningar av incidenter i syfte att säkerställa</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">293</P>
</DIV>
</DIV>
<DIV id="page_294">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Författningskommentar</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8">kontinuiteten i tjänsten. När det gäller lämpliga åtgärder hänvisas till kommentaren till 11 §.</P>
<P class="p108 ft10">Bakgrunden till paragrafen behandlas i avsnitt 10.3.</P>
<P class="p61 ft39">Incidentrapportering</P>
<P class="p79 ft45">Leverantörer av samhällsviktiga tjänster</P>
<P class="p94 ft45">16 §</P>
<P class="p94 ft10">Paragrafen genomför artikel 14.3 i <NOBR>NIS-direktivet.</NOBR></P>
<P class="p52 ft8">Paragrafens <SPAN class="ft9">första stycke </SPAN>anger vem som ska rapportera inciden- ter och när rapporteringen ska ske. Endast händelser med en faktisk negativ inverkan på säkerheten i nätverk och informationssystem och som orsakat en betydande inverkan på kontinuiteten på tjänsten ska rapporteras.</P>
<P class="p52 ft8">Ansvaret för rapportering åligger den verksamhet som identi- fierats som leverantör av en samhällsviktig tjänst.</P>
<P class="p51 ft8">Med utan onödigt dröjsmål avses att rapporteringen ska ske så snart de uppgifter som ska lämnas finns tillgängliga. Kravet på rap- portering ska inte inverka negativt på arbetet att avhjälpa incidenten. Rapportering bör därför ske efter att de första kritiska åtgärderna för att avhjälpa incidenten vidtagits. I de fall incidenten påverkar flera leverantörer eller är gränsöverskridanden bör rapportering ske snarast. Det innebär att en första rapportering kan komma att be- höva kompletteras när incidenten avhjälpts.</P>
<P class="p51 ft8">Myndigheten för samhällsskydd och beredskap får meddela när- mare föreskrifter om incidentrapportering.</P>
<P class="p51 ft8">Det kan finnas skäl för att även andra leverantörer än de som är rapporteringsskyldiga enligt denna lag ska kunna rapportera inciden- ter enligt ett system för frivillig rapportering. Myndigheten för sam- hällsskydd och beredskap får föreskriva om de närmare förutsätt- ningarna för sådan frivillig rapportering enligt 10 § 4 förordningen.</P>
<P class="p51 ft8">Incidenter som är av betydelse för Sveriges säkerhet ska inte rapporteras enligt denna lag. Sådana incidenter rapporteras i stället enligt 10 a § säkerhetskyddsförordningen (1996:633), se avsnitt 5.4.</P>
<P class="p52 ft8">I <SPAN class="ft9">andra stycket </SPAN>anges att ett krav på innehåll i rapporten är att det ska vara möjligt att fastställa om incidenten har gränsöverskridande verkningar. Närmare utformning av rapporterns innehåll meddelas</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">294</P>
</DIV>
</DIV>
<DIV id="page_295">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t16">
<TR>
<TD class="tr7 td6"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td80"><P class="p22 ft33">Författningskommentar</P></TD>
</TR>
</TABLE>
<P class="p88 ft8">i myndighetsföreskrifter, se 10 § 3 förordningen. Vid utformningen av rapporten bör även hänsyn tas till att den nationella kontakt- punkten ska lämna en sammanfattande rapport till kommissionen en gång om året. I rapporten ska bland annat ingå uppgifter om in- cidentens art och om vilka åtgärder som vidtagits (artikel 10.3). Vid rapporteringen bör inga personuppgifter behandlas utöver vad som krävs för administration av rapporten.</P>
<P class="p212 ft8"><NOBR>CSIRT-enheten</NOBR> får enligt <SPAN class="ft9">tredje stycket </SPAN>inte ställa några ytterligare krav på leverantören med anledning av rapporteringen av incidenten som t.ex. ytterligare utredning.</P>
<P class="p312 ft10">Bakgrunden till paragrafen behandlas i avsnitt 7.3.2 och 7.3.4.</P>
<P class="p546 ft45">17§</P>
<P class="p547 ft10">Paragrafen genomför artikel 14.4 i <NOBR>NIS-direktivet.</NOBR></P>
<P class="p12 ft8">Fastställandet av vilka incidenter som har en betydande inverkan på kontinuiteten i en samhällsviktig tjänst bör utgå från de faktorer som anges i bestämmelsen samt de förhållanden som finns inom re- spektive sektor. Beroende på vilken sektor som avses kan faktorer- na också ges olika vikt. Befintliga bestämmelser om kontinuitet och driftsäkerhet i sektorn bör kunna användas som en utgångspunkt i den utsträckning det är lämpligt.</P>
<P class="p58 ft8">Den samarbetsgrupp som inrättats genom <NOBR>NIS-direktivet</NOBR> får ut- arbeta och anta riktlinjer om incidentrapportering och vilka faktorer som ska användas för fastställandet av hur betydande en incidents inverkan är (artikel 14.7). Myndigheten för samhällsskydd och bered- skap är Sveriges representant i samarbetsgruppen och i den utsträck- ning samarbetsgruppen utarbetar och antar riktlinjer för skyldigheten att rapportera incidenter och vilka faktorer som ska användas bör Myndigheten för samhällsskydd och beredskap lämna råd och stöd till tillsynsmyndigheterna vid utarbetandet av myndighetsföreskrifter.</P>
<P class="p106 ft8">Fastställandet bör samordnas med förfarandet för fastställande av om en störning är betydande när leverantörer av samhällsviktiga tjänster identifieras.</P>
<P class="p312 ft10">Bakgrunden till paragrafen behandlas i avsnitt 6.2.2 och 7.3.2.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">295</P>
</DIV>
</DIV>
<DIV id="page_296">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Författningskommentar</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p102 ft45">18 §</P>
<P class="p94 ft10">Paragrafen genomför artikel 16.5 i <NOBR>NIS-direktivet.</NOBR></P>
<P class="p52 ft8">Till följd av bestämmelsen får <NOBR>CSIRT-enheten</NOBR> och tillsynsmyn- digheten kännedom om incidenter och eventuella brister i säkerheten hos leverantörer av digitala tjänster som påverkat samhällviktiga tjänster. Incidenten kan utgöra bevis för att en leverantör av digitala tjänster inte uppfyller kraven på säkerhet och därmed ligga till grund för tillsynsåtgärder.</P>
<P class="p51 ft8">Vid rapportering ska inga personuppgifter behandlas utöver vad som krävs för administration av rapporten.</P>
<P class="p108 ft10">Bakgrunden till paragrafen behandlas i avsnitt 7.3.2.</P>
<P class="p93 ft45">Leverantörer av digitala tjänster</P>
<P class="p94 ft45">19 §</P>
<P class="p79 ft10">Paragrafen genomför artikel 16.3 i <NOBR>NIS-direktivet.</NOBR></P>
<P class="p52 ft8">Med en incident avses enligt definitionen i 7 § 6 en händelse med en faktisk negativ inverkan på säkerheten i nätverk och informations- system. Angående begreppet utan onödigt dröjsmål, se kommenta- ren till 16 §.</P>
<P class="p51 ft8">Kommissionen får anta genomförandeakter som fastställer format och förfaranden tillämpliga på rapporteringen. Till dess att sådana genomförandeakter antagits meddelas närmare föreskrifter i detta avseende i myndighetsföreskrifter, se 10 § 3 förordningen.</P>
<P class="p51 ft8">Vid rapporteringen bör inga personuppgifter behandlas utöver vad som krävs för administration av rapporten.</P>
<P class="p51 ft8">Att rapporteringen inte ska medföra ökat ansvar för den som rapporterat innebär att det inte får ställas några ytterligare krav på leverantören med anledning av rapporteringen. Det är t.ex. inte tillåtet att begära att leverantören genomför ytterligare utredning om in- cidenten.</P>
<P class="p108 ft10">Bakgrunden till paragrafen behandlas i avsnitt 10.3.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">296</P>
</DIV>
</DIV>
<DIV id="page_297">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td6"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td80"><P class="p22 ft33">Författningskommentar</P></TD>
</TR>
</TABLE>
<P class="p80 ft45">20 §</P>
<P class="p74 ft10">Paragrafen genomför artikel 16.4 i <NOBR>NIS-direktivet.</NOBR></P>
<P class="p58 ft8">Bedömningen av om en incident har en avsevärd inverkan på till- handahållandet av tjänsten ska framför allt göras utifrån de faktorer som anges i paragrafens <SPAN class="ft9">första stycke</SPAN>. Till skillnad från vad som gäller för leverantörer av samhällsviktiga tjänster får tillsynsmyndigheten inte meddela föreskrifter i detta avseende. Kommissionen ska emeller- tid senast den 9 augusti 2017 anta genomförandeakter för att speci- ficera faktorerna.</P>
<P class="p11 ft8">Av paragrafens <SPAN class="ft9">andra stycke </SPAN>framgår att rapporteringsskyldig- heten gäller bara om leverantören har tillgång till den information som behövs för att bedöma en incidents inverkan mot bakgrund av de angivna faktorerna. Detta innebär inte att rapporteringsskyldig- heten bortfaller för det fall att någon av faktorerna är okända för leverantören. I vissa fall kan leverantören sakna möjlighet att ta reda på t.ex. antalet användare. Ett sådant exempel är när en molntjänst- leverantör agerar personuppgiftsbiträde. Det kan då finnas uppgifter lagrade hos leverantöreren som leverantören kan vara förhindrad att behandla för egen räkning.</P>
<P class="p82 ft10">Bakgrunden till paragrafen behandlas i avsnitt 10.3.</P>
<P class="p72 ft39">Förpliktande att informera allmänheten om en incident</P>
<P class="p74 ft45">21 §</P>
<P class="p65 ft8">Paragrafen genomför artikel 16.7 i <NOBR>NIS-direktivet</NOBR> såvitt gäller skyl- digheten för en leverantör att informera allmänheten om en incident.</P>
<P class="p359 ft8">Enligt <NOBR>NIS-direktivet</NOBR> får även behöriga myndigheter eller CSIRT- enheter i andra berörda länder i Europeiska unionen kräva att en leverantör av digitala tjänster under svensk jurisdiktion informerar allmänheten om en incident. I dessa fall får kravet mot leverantören framställas av den svenska <NOBR>CSIRT-enheten</NOBR> efter samråd inom CSIRT- nätverket eller med den behöriga myndigheten i det andra landet.</P>
<P class="p82 ft10">Bakgrunden till paragrafen behandlas i avsnitt 11.2.3.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">297</P>
</DIV>
</DIV>
<DIV id="page_298">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Författningskommentar</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p102 ft39">Tillsyn</P>
<P class="p94 ft45">22 §</P>
<P class="p94 ft10">Paragrafen genomför artikel <NOBR>8.1–2</NOBR> i <NOBR>NIS-direktivet.</NOBR></P>
<P class="p52 ft8">Syftet med åtgärden tillsyn är att kunna bedöma hur leveran- törerna uppfyller säkerhetskraven och kraven på incidentrappor- tering samt bedöma vilka effekter direktivets krav får på säkerheten i nätverk och informationssystem. Det innebär att tillsyn i form av självskattning eller kontroll av att relevant dokumentation finns på plats inte uppfyller direktivets krav.</P>
<P class="p51 ft8">Resultatet från en tillsyn kan ligga till grund för sanktioner och förelägganden om att avhjälpa brister.</P>
<P class="p52 ft8">I 5 § förordningen anges vilka myndigheter som är nationella be- höriga myndigheter, <SPAN class="ft9">tillsynsmyndigheter</SPAN>, och att det finns en till- synsmyndighet för varje sektor.</P>
<P class="p108 ft10">Bakgrunden till paragrafen behandlas i avsnitt 8.3.1 och <NOBR>8.5.1–2.</NOBR></P>
<P class="p61 ft45">23 §</P>
<P class="p54 ft8">Genom paragrafen genomförs artiklarna 15.1 och 17.2 a i NIS- direktivet.</P>
<P class="p51 ft8">Bestämmelsen ger tillsynsmyndigheten tillträde till områden, loka- ler och andra utrymmen, dock inte bostäder, i den utsträckning det krävs för att kunna utöva tillsyn.</P>
<P class="p108 ft10">Bakgrunden till paragrafen behandlas i avsnitt 8.5.3.</P>
<P class="p93 ft45">24 §</P>
<P class="p537 ft8">Paragrafen genomför artiklarna 15.2 och 17.2 a i <NOBR>NIS-direktivet.</NOBR> Tillsynsmyndigheten får enligt <SPAN class="ft9">första stycket </SPAN>förelägga en leve-</P>
<P class="p397 ft8">rantör att tillhandahålla information enligt 26 och 27 §§. Bestämmelsen kan också användas i de fall den som tillhanda-</P>
<P class="p92 ft8">håller en samhällsviktig tjänst inte anser sig omfattas av lagen. Genom att tillsynsmyndigheten utfärdar ett föreläggande som kan överkla- gas kan frågan om lagens tillämpningsområde prövas av domstol.</P>
<P class="p51 ft8">Ett beslut om föreläggande får enligt <SPAN class="ft9">andra stycket </SPAN>förenas med vite. Beslutet kan överklagas, se 49 §.</P>
<P class="p536 ft10">Bakgrunden till paragrafen behandlas i avsnitt 6.2.2 och 8.5.3.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">298</P>
</DIV>
</DIV>
<DIV id="page_299">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td6"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td80"><P class="p22 ft33">Författningskommentar</P></TD>
</TR>
</TABLE>
<P class="p80 ft45">25 §</P>
<P class="p545 ft8">Paragrafen genomför artiklarna 15.1 och 17.2 a i <NOBR>NIS-direktivet.</NOBR> Tillsynsmyndigheterna ska ha de befogenheter som de behöver</P>
<P class="p16 ft8">för att utöva tillsyn och bör därför vid behov kunna begära biträde av Kronofogdemyndigheten.</P>
<P class="p114 ft10">Bakgrunden till paragrafen behandlas i avsnitt 8.5.3.</P>
<P class="p72 ft45">Leverantörer av samhällsviktiga tjänster</P>
<P class="p74 ft45">26 §</P>
<P class="p357 ft10">Paragrafen genomför artikel 15.2 i <NOBR>NIS-direktivet.</NOBR></P>
<P class="p548 ft8">I paragrafens <SPAN class="ft9">första stycke </SPAN>anges i punkterna <NOBR>1–3</NOBR> vilken informa- tion som leverantören av samhällsviktiga tjänster ska tillhandahålla tillsynsmyndigheten för att tillsynsmyndigheten ska kunna utöva en effektiv tillsyn. Det kan vara fråga om risk- och säkerhetsanalyser, åtgärdsplaner, dokumenterade säkerhetsprinciper, genomförda säker- hetsrevisioner m.m.</P>
<P class="p58 ft8">I <SPAN class="ft9">andra stycket </SPAN>anges att tillsynsmyndigheten måste kunna uppge syftet med begäran och precisera vilken information som krävs. Bak- grunden till detta är att leverantören ska åsamkas så lite olägenheter som möjligt.</P>
<P class="p11 ft8">Dock måste leverantören alltid kunna beskriva hur det systema- tiska informationssäkerhetsarbetet ser ut för att tillsynsmyndigheten ska kunna få en uppfattning om hur informationssäkerhetsarbetet styrs och vilken information som är nödvändig för att kunna genom- föra tillsynen.</P>
<P class="p114 ft10">Bakgrunden till paragrafen behandlas i avsnitt 8.5.3.</P>
<P class="p72 ft45">Leverantörer av digitala tjänster</P>
<P class="p74 ft45">27 §</P>
<P class="p56 ft10">Paragrafen genomför artikel 17.2 a i <NOBR>NIS-direktivet.</NOBR></P>
<P class="p82 ft10">Bakgrunden till paragrafen behandlas i avsnitt 10.4.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">299</P>
</DIV>
</DIV>
<DIV id="page_300">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Författningskommentar</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p102 ft45">28 §</P>
<P class="p94 ft10">Paragrafen genomför artikel 17.1 i <NOBR>NIS-direktivet.</NOBR></P>
<P class="p52 ft8">Till skillnad mot vad som gäller beträffande leverantörer av sam- hällsviktiga tjänster ska tillsynsåtgärder beträffande leverantörer av digitala tjänster vidtas bara när tillsynsmyndigheten på något sätt fått kännedom om att leverantören inte uppfyller lagens krav. Till- synsmyndigheten kan få sådan kännedom genom t.ex. en tjänste- användare, andra tillsynsmyndigheter eller genom incidentrappor- teringen.</P>
<P class="p108 ft10">Bakgrunden till paragrafen behandlas i avsnitt 10.4.</P>
<P class="p449 ft39">Sanktioner och ingripanden</P>
<P class="p79 ft45">Underrättelse m.m.</P>
<P class="p94 ft45">29 §</P>
<P class="p460 ft8">Paragrafen är tillämplig endast på leverantörer av samhällsviktiga tjänster. Beträffande leverantörer av digitala tjänster får tillsynsmyn- digheten inte vidta några tillsynsåtgärder om den inte fått känne- dom om att leverantören inte följer regelverket.</P>
<P class="p51 ft8">Vad som är skälig tid enligt paragrafen får avgöras utifrån om- ständigheterna i det enskilda fallet. Att en leverantör av samhälls- viktiga tjänster inte yttrar sig hindrar inte tillsynsmyndigheten från att gå vidare i tillsynen.</P>
<P class="p108 ft10">Bakgrunden till paragrafen behandlas i avsnitt 9.7.</P>
<P class="p449 ft45">30 §</P>
<P class="p460 ft8">Paragrafen genomför artiklarna 15.3 och 17.2 b i <NOBR>NIS-direktivet</NOBR> och är tillämplig på både leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster.</P>
<P class="p51 ft8">Det är inte givet att kännbara sanktioner i alla lägen är det mest effektiva sättet att uppnå lagens syfte. I de fall tillsynsmyndigheten konstaterar att en leverantör av samhällsviktiga tjänster eller en leve- rantör av digitala tjänster gjort sig skyldig till en överträdelse bör till- synsmyndigheten, på lämpligt sätt, försöka förmå leverantören att vidta rättelse.</P>
<P class="p536 ft10">Bakgrunden till paragrafen behandlas i avsnitt 9.7.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">300</P>
</DIV>
</DIV>
<DIV id="page_301">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td6"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td80"><P class="p22 ft33">Författningskommentar</P></TD>
</TR>
</TABLE>
<P class="p80 ft45">Förelägganden m.m.</P>
<P class="p74 ft45">31§</P>
<P class="p549 ft8">Paragrafen genomför artiklarna 15.3, 17.2 b och 21 i <NOBR>NIS-direktivet.</NOBR> Bakgrunden till paragrafen behandlas i avsnitt 8.5.3 och 9.5.</P>
<P class="p64 ft45">Sanktionsavgift</P>
<P class="p74 ft45">32 §</P>
<P class="p550 ft8">Paragrafen genomför artikel 21 i <NOBR>NIS-direktivet.</NOBR> Avgiftsskyldigheten bygger på strikt ansvar.</P>
<P class="p106 ft8">Även statliga myndigheter och kommuner kan meddelas beslut om sanktionsavgift enligt lagen, se avsnitt 9.8.</P>
<P class="p114 ft10">Bakgrunden till paragrafen behandlas i avsnitt 9.6.</P>
<P class="p72 ft45">33 §</P>
<P class="p74 ft10">Paragrafen genomför artikel 21 i <NOBR>NIS-direktivet.</NOBR></P>
<P class="p58 ft8">Angivna lägsta och högsta belopp är desamma som de som i dag gäller för företagsbot.</P>
<P class="p114 ft10">Bakgrunden till paragrafen behandlas i avsnitt 9.6.4.</P>
<P class="p72 ft45">34 §</P>
<P class="p74 ft10">Paragrafen genomför artikel 21 i <NOBR>NIS-direktivet.</NOBR></P>
<P class="p58 ft8">Vid bestämningen av sanktionsavgiften i det enskilda fallet bör hänsyn tas till alla relevanta omständigheter. De omständigheter som anges i paragrafen bör särskilt beaktas. Uppräkningen är emellertid inte uttömmande. Utöver de i lagen angivna omständigheterna kan hänsyn behöva tas till hur länge överträdelsen pågått, om aktören tidi- gare har gjort sig skyldig till överträdelser av lagen, om överträdel- serna i så fall är likartade och hur lång tid som gått mellan överträ- delserna. Den överträdda bestämmelsens betydelse för tillsynsområdet kan också vara relevant. I mildrande riktning kan det vara aktuellt att beakta om leverantören har samarbetat med tillsynsmyndigheten för att komma till rätta med överträdelsen.</P>
<P class="p82 ft10">Bakgrunden till paragrafen behandlas i avsnitt 9.6.5.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">301</P>
</DIV>
</DIV>
<DIV id="page_302">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Författningskommentar</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p102 ft45">35 §</P>
<P class="p94 ft10">Paragrafen genomför artikel 21 i <NOBR>NIS-direktivet.</NOBR></P>
<P class="p52 ft8">Mot bakgrund av att avgiftsskyldigheten bygger på strikt ansvar måste det finnas en möjlighet för tillsynsmyndigheten att underlåta att besluta om sanktionsavgift. Tillsynsmyndigheten bör i det en- skilda fallet göra en nyanserad bedömning av om omständigheterna ger anledning till jämkning eller eftergift. Omständigheter som kan vara av betydelse kan vara överträdelsens allvarlighet och om leve- rantören gjort rättelse. En annan situation som kan innebära att det framstår som oskäligt att besluta om sanktionsavgift är om leveran- tören drabbas av sanktionsavgift enligt något annat regelverk för i princip samma brist. Det skulle också kunna uppstå situationer där en leverantör på grund av avtal med t.ex. en underleverantör blir skyldig att betala skadestånd till följd av en brist som sanktioneras genom lagens bestämmelser.</P>
<P class="p536 ft10">Bakgrunden till paragrafen behandlas i avsnitt 9.6.6.</P>
<P class="p61 ft45">36 §</P>
<P class="p79 ft10">Paragrafen genomför artikel 21 i <NOBR>NIS-direktivet.</NOBR></P>
<P class="p52 ft8">Om vite har dömts ut är det inte möjligt att besluta om sanktion för samma sak. Den avgörande tidpunkten för när sådant hinder uppkommer är när det inleds en domstolsprocess angående frågan om utdömande av vitet. Ett föreläggande om vite hindrar inte ett senare beslut om sanktionsavgift så länge tillsynsmyndigheten inte har ansökt om utdömande av vitet.</P>
<P class="p108 ft10">Bakgrunden till paragrafen behandlas i avsnitt 9.6.7.</P>
<P class="p93 ft45">37 §</P>
<P class="p94 ft10">Paragrafen genomför artikel 21 i <NOBR>NIS-direktivet.</NOBR></P>
<P class="p551 ft8">Paragrafen reglerar förfarandet vid beslut om sanktionsavgift. Bakgrunden till paragrafen behandlas i avsnitt 9.6.8.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">302</P>
</DIV>
</DIV>
<DIV id="page_303">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td6"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td80"><P class="p22 ft33">Författningskommentar</P></TD>
</TR>
</TABLE>
<P class="p80 ft45">38 §</P>
<P class="p74 ft10">Paragrafen genomför artikel 21 i <NOBR>NIS-direktivet.</NOBR></P>
<P class="p12 ft8">Paragrafen innebär att sanktionsavgift inte får beslutas om den som anspråket riktas mot inte har getts tillfälle att yttra sig inom två år från överträdelsen.</P>
<P class="p114 ft10">Bakgrunden till paragrafen behandlas i avsnitt 9.6.8.</P>
<P class="p72 ft45"><NOBR>39–42</NOBR> §§</P>
<P class="p74 ft10">Paragraferna genomför artikel 21 i <NOBR>NIS-direktivet.</NOBR></P>
<P class="p58 ft8">I paragraferna anges hur betalning av sanktionsavgift ska ske och att beslut om sanktionsavgift vid utebliven betalning får ske utan föregående dom eller utslag. Vidare anges att obetald avgift ska läm- nas för indrivning. Bestämmelser om indrivning av statliga fordringar finns i lagen (1993:891) om indrivning av statliga fordringar m.m. Slutligen stadgas att en beslutad avgift faller bort om beslutet inte har verkställts inom fem år från laga kraft.</P>
<P class="p114 ft10">Bakgrunden till paragraferna behandlas i avsnitt 9.6.9.</P>
<P class="p72 ft39">Gemensam nationell kontaktpunkt</P>
<P class="p56 ft45">43 §</P>
<P class="p74 ft10">Paragrafen genomför artikel 8.3 i <NOBR>NIS-direktivet.</NOBR></P>
<P class="p12 ft8">Myndigheten för samhällsskydd och beredskap är enligt 7 § för- ordningen gemensam nationell kontaktpunkt.</P>
<P class="p11 ft8">Den gemensamma kontaktpunktens uppgifter anges i 7 § förord- ningen.</P>
<P class="p114 ft10">Bakgrunden till paragrafen behandlas i avsnitt 11.1.</P>
<P class="p72 ft39">Enhet för hantering av <NOBR>it-säkerhetsincidenter</NOBR> <NOBR>(CSIRT-enhet)</NOBR></P>
<P class="p74 ft45">44 §</P>
<P class="p545 ft8">Paragrafen genomför artiklarna 9.1, 14.3 och 16.3 i <NOBR>NIS-direktivet.</NOBR> Myndigheten för samhällsskydd och beredskap är enligt 8 § för-</P>
<P class="p2 ft10">ordningen <NOBR>CSIRT-enhet</NOBR> i Sverige.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">303</P>
</DIV>
</DIV>
<DIV id="page_304">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Författningskommentar</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p216 ft8">Kraven på <NOBR>CSIRT-enheten</NOBR> och <NOBR>CSIRT-enhetens</NOBR> uppgift anges i 8 § förordningen samt i punkt 2 i bilaga 1 till <NOBR>NIS-direktivet.</NOBR></P>
<P class="p108 ft10">Bakgrunden till paragrafen behandlas i avsnitt 7.3.2 och 11.2.</P>
<P class="p61 ft39">Bemyndigande</P>
<P class="p79 ft45">45 §</P>
<P class="p552 ft8">Paragrafen genomför artiklarna 6 och <NOBR>14.1–2</NOBR> och 4 i <NOBR>NIS-direktivet.</NOBR> Bemyndigandet i <SPAN class="ft9">punkt 1 </SPAN>gör det möjligt att meddela föreskrifter om de sektorspecifika och sektorövergripande faktorer som ska be- aktas när det fastställs om en incident medför en betydande störning vid identifiering av leverantörer av samhällsviktiga tjänster. I 11 § för- ordningen bemyndigas tillsynsmyndigheten att, utifrån sina kunskaper om verksamheten och om konsekvenserna av en incident, meddela</P>
<P class="p553 ft10">föreskrifter i detta avseende.</P>
<P class="p239 ft8">I arbetet med att ta fram sektorspecifika faktorer har samarbets- gruppen en viktig uppgift att verka för att bedömningen blir enhetlig inom hela unionen (artikel 5.6). Myndigheten för samhällsskydd och beredskap företräder Sverige i samarbetsgruppen som inrättats genom <NOBR>NIS-direktivet</NOBR> och tillsynsmyndigheterna ska stödja Myndig- heten för samhällsskydd och beredskap med information om an- talet leverantörer och eventuella tröskelvärden.</P>
<P class="p52 ft8">Bemyndigandet i <SPAN class="ft9">punkt 2 </SPAN>gör det möjligt att meddela föreskrifter om ett systematiskt och riskbaserat informationssäkerhetsarbete. Detta är ett sätt för verksamhetens ledning att systematiskt styra arbetet med informationssäkerhet. Arbetet bör utgå från en godkänd nationell eller internationell standard. Föreskrifter om detta finns redan i dag för statliga myndigheter (MSBFS 2016:1).</P>
<P class="p197 ft8">Föreskrifter enligt paragrafen ska enligt 10 § förordningen med- delas av Myndigheten för samhällsskydd och beredskap. I beredning- en av föreskrifterna bör även beaktas bestämmelserna i förordningen (2007:1244) om konsekvensutredning vid regelgivning.</P>
<P class="p51 ft8">Bemyndigandet i <SPAN class="ft9">punkt 3 </SPAN>gör det möjligt att meddela föreskrifter om vilka faktorer som ska användas för att avgöra om en incident ska rapporteras. Enligt 11 § 3 förordningen får tillsynsmyndigheten meddela sådana föreskrifter. Bedömningen bör utgå från de faktorer som anges i 17 § samt de förhållanden som finns inom respektive sektor. Beroende på vilken sektor som avses kan faktorerna också</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">304</P>
</DIV>
</DIV>
<DIV id="page_305">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td6"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td80"><P class="p22 ft33">Författningskommentar</P></TD>
</TR>
</TABLE>
<P class="p88 ft8">tillmätas olika vikt. En incident är enligt 7 § 6 en händelse som har en faktisk inverkan på säkerheten i nätverk eller informationssystem. I den utsträckning samarbetsgruppen som inrättats enligt <NOBR>NIS-direk-</NOBR> tivet utarbetar och antar riktlinjer för vilka faktorer som ska an- vändas för att fastställa om en incident har en betydande inverkan bör Myndigheten för samhällsskydd och beredskap, som ingår i sam- arbetsgruppen, lämna råd och stöd i föreskriftsarbetet (artikel 14.7).</P>
<P class="p106 ft8">Kostnadsmässiga och andra konsekvenser av myndighetsföre- skrifter som meddelas i anslutning till lagen ska utredas enligt för- ordningen (2007:1244) om konsekvensutredning vid regelgivning.</P>
<P class="p114 ft10">Bakgrunden till paragrafen behandlas i avsnitt 6.2.2, 7.3.1 och 7.3.2.</P>
<P class="p554 ft39">Föreskrifter</P>
<P class="p74 ft45">Leverantörer av samhällsviktiga tjänster</P>
<P class="p56 ft45">46 §</P>
<P class="p555 ft8">Paragrafen genomför artiklarna 5.3, <NOBR>14.1–3</NOBR> och 20 i <NOBR>NIS-direktivet</NOBR> Bestämmelsen upplyser om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om samhälls- viktiga tjänster, säkerhetsåtgärder, rapportering av incidenter samt förutsättningarna för frivillig rapportering av incidenter. Sådana före-</P>
<P class="p556 ft8">skrifter finns i 10 § <NOBR>2–4</NOBR> och 11 § 1 i förordningen. Kostnadsmässiga och andra konsekvenser av myndighetsföre-</P>
<P class="p16 ft8">skrifter som meddelas i anslutning till lagen ska utredas enligt för- ordningen (2007:1244) om konsekvensutredning vid regelgivning.</P>
<P class="p106 ft8">Bakgrunden till paragrafen behandlas i avsnitt 6.2.1, 7.3.1, 7.3.2. och 7.3.4.</P>
<P class="p80 ft45">Leverantörer av digitala tjänster</P>
<P class="p56 ft45">47 §</P>
<P class="p557 ft8">Paragrafen genomför artiklarna 16.3 och 20 i <NOBR>NIS-direktivet</NOBR> Bestämmelsen upplyser om att regeringen eller den myndighet</P>
<P class="p539 ft8">som regeringen bestämmer kan meddela föreskrifter om rapportering av incidenter samt förutsättningarna för frivillig rapportering av incidenter. Sådana föreskrifter finns i 10 § <NOBR>3–4</NOBR> i förordningen.</P>
<P class="p114 ft10">Bakgrunden till paragrafen behandlas i avsnitt 10.3.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">305</P>
</DIV>
</DIV>
<DIV id="page_306">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Författningskommentar</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p4 ft39">Överklagande m.m.</P>
<P class="p74 ft45">48 §</P>
<P class="p134 ft8">Paragrafen innebär en möjlighet för tillsynsmyndigheten att i en- skilda fall bestämma att dess beslut om föreläggande ska gälla omedel- bart för att undvika att beslutet förhalas genom ett överklagande. Den som beslutet gäller har vid ett överklagande av ett sådant be- slut emellertid möjlighet att begära att beslutet tills vidare inte ska gälla, s.k. inhibition. Bestämmelser om inhibition finns i 28 § för- valtningsprocesslagen (1971:291).</P>
<P class="p312 ft10">Bakgrunden till paragrafen behandlas i avsnitt 9.9.</P>
<P class="p72 ft45">49 §</P>
<P class="p133 ft8">Paragrafen reglerar möjligheterna till överklagande av beslut enligt lagen.</P>
<P class="p312 ft10">Bakgrunden till paragrafen behandlas i avsnitt 9.10.</P>
</DIV>
<DIV id="id_3">
<P class="p4 ft18">306</P>
</DIV>
</DIV>
<DIV id="page_307">
<DIV id="id_1">
<P class="p558 ft19">Bilaga 1</P>
<P class="p559 ft7">Kommittédirektiv 2016:29</P>
<P class="p560 ft35">Genomförande av <NOBR>EU-direktiv</NOBR> om åtgärder</P>
<P class="p561 ft119">för en hög gemensam nivå av säkerhet i nätverk och informationssystem</P>
<P class="p562 ft10">Beslut vid regeringssammanträde den 31 mars 2016</P>
<P class="p563 ft39">Sammanfattning</P>
<P class="p564 ft8">En särskild utredare ska föreslå hur <NOBR>EU-direktivet</NOBR> om åtgärder för en hög gemensam nivå av säkerhet i nätverk och informationssystem ska genomföras i svensk rätt.</P>
<P class="p565 ft10">Utredaren ska bl.a.</P>
<P class="p566 ft8"><SPAN class="ft64">•</SPAN><SPAN class="ft34">föreslå hur direktivets krav på utpekande av myndigheter med ansvar för vissa funktioner ska genomföras, med inriktningen att Myndigheten för samhällsskydd och beredsskap (MSB) ges en samordnande roll på området men att andra myndigheters ansvar för tillsyn inom särskilda sektorer ska fortsätta att gälla,</SPAN></P>
<P class="p567 ft8"><SPAN class="ft64">•</SPAN><SPAN class="ft34">föreslå hur identifiering av och krav på aktörer som omfattas av direktivet kan genomföras i ett samlat regelverk med beaktande av gällande bestämmelser, sektorsansvar och vad som är mest effektivt utifrån olika perspektiv,</SPAN></P>
<P class="p567 ft8"><SPAN class="ft64">•</SPAN><SPAN class="ft34">föreslå nödvändiga ändringar i offentlighets- och sekretesslagen (2009:400) för att känslig information i incidentrapporter ska kunna skyddas, och</SPAN></P>
<P class="p335 ft10"><SPAN class="ft64">•</SPAN><SPAN class="ft66">lämna nödvändiga författningsförslag.</SPAN></P>
<P class="p568 ft10">Uppdraget ska redovisas senast den 1 maj 2017.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">307</P>
</DIV>
</DIV>
<DIV id="page_308">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Bilaga 1</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p102 ft39"><NOBR>EU-direktivet</NOBR> och motsvarande svenska regler</P>
<P class="p68 ft8">Direktivet innehåller bl.a. skyldigheter för varje medlemsstat att anta en nationell strategi för säkerhet i nätverk och informationssystem och att utse myndigheter med särskilda uppgifter på detta område. Medlemsstaterna blir vidare skyldiga att identifiera operatörer som bedriver samhällsviktig verksamhet inom sju sektorer och som är beroende av nätverk och informationssystem. Sektorerna omfattar energi, transport, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, leverans och distribution av dricksvatten och digital infrastruktur. Den aktuella sektorsindelningen innebär att kommunala verksamheter kan omfattas. För sådana aktörer innebär direktivet bl.a. att verksamheten kan komma att behöva anpassas för att uppnå en hög nivå av säkerhet i nätverk och informations- system och att <NOBR>it-incidenter</NOBR> av viss dignitet ska rapporteras till be- hörig myndighet. Direktivet bedöms träda i kraft under våren 2016. Medlemsstaterna är skyldiga att ha genomfört direktivet senast 21 månader därefter.</P>
<P class="p111 ft8">Frågor som berör informations- och cybersäkerhet och särskilt hur <NOBR>it-incidenter</NOBR> ska förebyggas och hanteras har tidigare varit aktu- ella i ett flertal utredningar. Riksrevisionen har i en rapport från november 2014 (RiR 2014:23) funnit brister i regeringens arbete med informationssäkerhetsfrågor inom den civila statsförvaltningen. Granskningen föranledde Riksrevisionen att lämna ett flertal rekom- mendationer till regeringen och dess myndigheter. Riksrevisionen påpekade särskilt att det finns ett behov av att utreda hur tillsynen över informationssäkerheten kan samlas och koordineras på ett bättre sätt än i dag. Även i betänkandena Informations- och cybersäker- het i Sverige (SOU 2015:23) och En ny säkerhetsskyddslag (SOU 2015:25) lämnas förslag på åtgärder inom informationssäkerhets- området.</P>
<P class="p380 ft8">Regeringen har konstaterat att delar av arbetet med informations- säkerhet i den civila statsförvaltningen inte har genomförts ända- målsenligt (skr. 2014/15:84). Som ett första steg för att förbättra sam- hällets förmåga att identifiera, begränsa och förhindra <NOBR>it-angrepp</NOBR> mot informationssystem i samhället, har regeringen tagit initiativ till ett system för obligatorisk <NOBR>it-incidentrapportering</NOBR> för statliga myn- digheter. De bestämmelser som införts i förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">308</P>
</DIV>
</DIV>
<DIV id="page_309">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td81"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td82"><P class="p22 ft33">Bilaga 1</P></TD>
</TR>
</TABLE>
<P class="p88 ft8">vid höjd beredskap och i säkerhetsskyddsförordningen (1996:633) innebär att alla statliga myndigheter från den 1 april 2016 ska rap- portera allvarliga <NOBR>it-incidenter</NOBR> till MSB eller, i vissa fall, till Säkerhets- polisen eller Försvarsmakten. Detta system utelämnar dock enskilda aktörer samt kommuner och landsting. Bestämmelser som rör it- incidentrapportering för enskilda aktörer finns i dag i begränsad ut- sträckning, t.ex. för de aktörer som omfattas av lagen (2003:389) om elektronisk kommunikation. Genomförandet av direktivet, som även omfattar andra aktörer än statliga myndigheter, i svensk rätt är där- för av stor betydelse för att uppnå en förbättrad informations- och cybersäkerhet i samhället.</P>
<P class="p64 ft39">Uppdraget att föreslå hur <NOBR>EU-direktivet</NOBR> ska genomföras</P>
<P class="p67 ft8">Det är viktigt att säkerställa en hög nivå av säkerhet för nätverk och informationssystem inom ett antal sektorer i Sverige i enlighet med <NOBR>EU-direktivet.</NOBR> Hänsyn ska också tas till behovet av att skydda Sveriges säkerhet, behovet av en fungerande brottsbekämpning och myndigheters och företags behov av att kunna skydda känsliga upp- gifter. Regelverket ska dock inte skapa en större administrativ börda för de enskilda aktörerna än nödvändigt för direktivets efterlevnad. Enkelhet, överskådlighet, konsekvens och kostnadseffektivitet ska eftersträvas.</P>
<P class="p12 ft8">Direktivet innebär ett antal långtgående skyldigheter för med- lemsstaterna i och med de krav som direktivet ställer på att varje medlemsstat ska ta fram en nationell strategi, peka ut myndigheter med särskilt ansvar enligt direktivet och identifiera och ställa krav på de aktörer som berörs av bestämmelserna.</P>
<P class="p58 ft8">I betänkandet Informations- och cybersäkerhet i Sverige (SOU 2015:23) föreslås att regeringen ska anta en nationell strategi för statens informations- och cybersäkerhet. Betänkandet har remitterats och bereds för närvarande inom Regeringskansliet. Regeringen av- ser att prioritera detta arbete och bedömer att strategin bör kunna anpassas för att motsvara direktivets krav på vad en nationell strategi för säkerhet i nätverk och informationssystemska innehålla. Frågan om hur en sådan strategi bör utformas omfattas således inte av ut- redarens uppdrag.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">309</P>
</DIV>
</DIV>
<DIV id="page_310">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Bilaga 1</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p102 ft45">Hur ska ansvarsfördelningen mellan myndigheter i Sverige se ut?</P>
<P class="p68 ft8">Direktivet ålägger medlemsstaterna att utse en eller flera behöriga myndigheter som utövar tillsyn över direktivets genomförande och tillämpning. En viktig åtgärd för att direktivet ska kunna tillämpas är att medlemsstaternas tillsynsmyndigheter ges tillräckliga befogen- heter för att kontrollera att aktörerna, dvs. operatörer som bedriver samhällsviktig verksamhet och leverantörer av digitala tjänster, följer direktivet. Myndigheterna ska därför enligt direktivet ha möjlighet att begära dels att aktörerna lämnar nödvändig information om säker- heten i sina nätverk och informationssystem, dels att de genomgår säkerhetsrevision. Medlemsstaterna ska också se till att tillsynsmyn- digheten har tillgång till effektiva och proportionerliga sanktioner. I medlemsstaterna ska det även finnas ett eller flera incidenthante- ringsorgan (s.k. CSIRT, Computer Security Incident Response Team) och en nationell kontaktpunkt för samarbetet med andra medlems- stater. Den nationella kontaktpunkten ska vara ansvarig för att sam- ordna frågor om säkerhet i nätverk och informationssystem enligt direktivet och fungera som kontaktpunkt i gränsöverskridande frågor på unionsnivå.</P>
<P class="p52 ft8">Direktivet ställer också krav på ett formaliserat samarbete mellan medlemsstaterna, bl.a. när en medlemsstat identifierar operatörer som bedriver samhällsviktig verksamhet även i annan medlemsstat. Genom direktivet inrättas också en samarbetsgrupp där representan- ter för medlemsstaterna ska delta och ett formellt samarbete mellan de nationella organisationerna för CSIRT. Samarbetsgruppen är tänkt att ha en strategisk funktion medan medlemsstaterna inom ramen för ett särskilt <NOBR>CSIRT-nätverk</NOBR> bl.a. ska kunna utbyta operativ infor- mation och diskutera specifika problem med koppling till inträffade <NOBR>it-incidenter.</NOBR></P>
<P class="p51 ft8">MSB har i dag ett särskilt uppdrag inom samhällets informations- säkerhet. Enligt MSB:s instruktion ansvarar myndigheten bl.a. för att stödja och samordna arbetet med samhällets informationssäker- het, i vilket ingår förebyggande arbete liksom även samordning och hantering vid inträffade <NOBR>it-incidenter.</NOBR> MSB svarar vidare för att Sverige har en nationell funktion med uppgift att stödja samhället i arbetet med att förebygga och hantera <NOBR>it-incidenter.</NOBR> Arbetet sker genom MSB:s <NOBR>CERT-verksamhet</NOBR> (Computer Emergency Response Team) och innebär därutöver att myndigheten är Sveriges kontakt-</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">310</P>
</DIV>
</DIV>
<DIV id="page_311">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td81"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td82"><P class="p22 ft33">Bilaga 1</P></TD>
</TR>
</TABLE>
<P class="p187 ft8">punkt gentemot motsvarande funktioner i andra länder, däribland <NOBR>CERT-EU.</NOBR> MSB har sedan funktionen fördes över till myndigheten från Post- och telestyrelsen fortsatt att bygga upp såväl kompetens som ett brett kontaktnät inom informationssäkerhetsområdet. Det finns flera myndigheter som utövar tillsyn över informationssäker- heten inom sina sektorer och som inom dessa områden är bemyn- digade att utfärda föreskrifter. Detta gäller exempelvis Post- och telestyrelsen, Svenska kraftnät och Finansinspektionen. Även Säker- hetspolisen och Försvarsmakten utfärdar föreskrifter om bl.a. infor- mationssäkerhet för verksamheter som omfattas av kraven i säker- hetsskyddslagen (1996:627). Den tillsyn som Säkerhetspolisen och Försvarsmakten genomför mot bakgrund av dessa föreskrifter faller utanför <NOBR>EU-direktivet</NOBR> eftersom det gäller nationell säkerhet. Detsam- ma gäller för elektroniska kommunikationstjänster, <NOBR>e-legitimationer</NOBR> och betrodda tjänster i enlighet med <NOBR>EU-direktivets</NOBR> artikel 1 (3).</P>
<P class="p188 ft8">Mot bakgrund av det uppdrag som MSB i dag har på informa- tionssäkerhetsområdet och den kompetens som finns inom myndig- heten bör Sveriges <NOBR>CSIRT-organisation</NOBR> finnas hos MSB och MSB anförtros rollen som nationell kontaktpunkt. Det innebär att det är till MSB som aktörerna ska rapportera <NOBR>it-incidenter</NOBR> i enlighet med <NOBR>EU-direktivets</NOBR> krav. Detta hindrar dock inte att aktörerna kan ha skyldighet att rapportera <NOBR>it-incidenter</NOBR> till den myndighet som har tillsynsansvar inom den aktuella sektorn. I MSB:s roll bör det också ingå att delta i <NOBR>CSIRT-nätverket</NOBR> och i den samarbetsgrupp som skapas.</P>
<P class="p189 ft8">Tillsynsmyndigheterna inom de sektorer som omfattas av direk- tivet bör även fortsättningsvis ha kvar ansvaret för att kontrollera att aktörerna följer respektive sektors regler om informationssäker- het. Det behöver analyseras om dessa myndigheters mandat behöver förändras för att uppfylla direktivets krav. För sådana aktörer som träffas av direktivet och där tillsyn över säkerheten i nätverk och informationssystem i dag saknas, behöver det övervägas vilken myn- dighet som kan anförtros uppgiften att utöva tillsyn. I avsaknad av andra myndigheter med tillsynsuppgifter inom den aktuella sektorn och inom informationssäkerhet, bör det utredas om MSB ska vara tillsynsmyndighet eller om uppgiften ska anförtros en myndighet med närliggande tillsynsuppgifter. Detta kan t.ex. övervägas inom olje- och gassektorn. Inriktningen bör vara att Post- och telestyrel-</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">311</P>
</DIV>
</DIV>
<DIV id="page_312">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Bilaga 1</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p50 ft8">sen ges fortsatt och vid behov kompletterande ansvar för tillsyn av de digitala infrastrukturer som nämns i <NOBR>EU-direktivets</NOBR> bilaga 2.</P>
<P class="p51 ft8">Då MSB redan i dag har ansvar för att samordna arbetet med samhällets informationssäkerhet bör MSB få en samordnande roll mellan tillsynsmyndigheterna. Utöver att vara CSIRT, nationell kon- taktpunkt och att delta i samarbetsgrupperna innebär denna roll att MSB behöver få del av tillsynsrapporter från andra sektorsmyndig- heter i syfte att få en samlad bild över <NOBR>EU-direktivets</NOBR> genomförande och tillämpning i Sverige. Detta medför dock inte något övertagande av sektorsmyndigheternas ansvar för tillsyn över aktörer eller något mandat att styra hur dessa myndigheter ska använda sina resurser.</P>
<P class="p51 ft8">Eftersom direktivet möjliggör för medlemsstaterna att skydda information som gäller nationell säkerhet är det av vikt att MSB och andra tillsynsmyndigheter, om de får del av information som om- fattas av säkerhetsskyddslagstiftningen, samverkar med Säkerhets- polisen eller Försvarsmakten.</P>
<P class="p108 ft10">Utredaren ska</P>
<P class="p302 ft49"><SPAN class="ft64">•</SPAN><SPAN class="ft65">föreslå hur MSB:s roll som </SPAN><NOBR>CSIRT-organisation,</NOBR> nationell kontakt- punkt och deltagare i de samarbetsnätverk som direktivet lägger grund för ska utformas och regleras, och</P>
<P class="p280 ft49"><SPAN class="ft64">•</SPAN><SPAN class="ft65">lämna förslag på ett system för tillsyn i enlighet med direktivets krav, där befintliga myndigheter behåller eller kompletterar sina nuvarande roller, men där MSB ges en samordnande funktion.</SPAN></P>
<P class="p569 ft45">Hur ska operatörer identifieras och vilka krav ska ställas på dem och leverantörer av digitala tjänster?</P>
<P class="p68 ft8">Direktivet ålägger medlemstaterna att identifiera de offentliga och enskilda operatörer som tillhandahåller samhällsviktiga tjänster inom ett antal särskilt utpekade sektorer och som är beroende av nätverk och informationssystem. Medlemsstaterna ska enligt direktivet in- föra regler som innebär att dessa aktörer ska vidta tekniska och orga- nisatoriska åtgärder för att hantera säkerhetsrisker i sina nätverk och informationssystem och att rapportera allvarliga <NOBR>it-incidenter.</NOBR></P>
<P class="p52 ft8">Vid sidan av operatörer som bedriver samhällsviktig verksamhet reglerar direktivet även på liknande sätt säkerheten i nätverk och informationssystem hos leverantörer av digitala tjänster, s.k. Digital Service Providers (DSP). I den kategorin ingår <NOBR>e-handelsplatser,</NOBR> sök-</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">312</P>
</DIV>
</DIV>
<DIV id="page_313">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t16">
<TR>
<TD class="tr7 td81"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td82"><P class="p22 ft33">Bilaga 1</P></TD>
</TR>
</TABLE>
<P class="p471 ft8">motorer och molntjänster. Gemensamt för dessa aktörer är att de tillhandahåller digitala tjänster över nationsgränserna och att en in- cident hos en sådan aktör skulle kunna medföra allvarlig påverkan på flera medlemsstaters samhällsviktiga verksamheter. Enligt direk- tivet ska alla leverantörer av digitala tjänster hanteras på samma sätt inom hela EU utifrån vad som är proportionerligt i förhållande till den risk som verksamheten kan utgöra. Medlemsstaterna är inte skyl- diga att identifiera leverantörer av digitala tjänster men däremot att se till att även dessa aktörer vidtar tekniska och organisatoriska åt- gärder för att hantera säkerhetsrisker mot nätverk och informations- system och att de rapporterar allvarliga <NOBR>it-incidenter</NOBR> till tillsynsmyn- digheten. Skyldigheten gäller enbart för den medlemsstat där en sådan aktör har sitt fasta etableringsställe eller en representant.</P>
<P class="p334 ft8">Det behöver mot denna bakgrund analyseras hur direktivets krav på identifiering av operatörer som bedriver samhällsviktig verksam- het och krav på aktörerna ska genomföras i svensk rätt. Analysen bör göras med utgångspunkten att det är verksamhetsutövaren som är ansvarig för att avgöra om denne omfattas av regelverket, vilket motsvarar vad som gäller enligt t.ex. säkerhetsskyddslagen (1996:627). I dag finns ett flertal regelverk som ställer krav på informationssäker- het utifrån olika förutsättningar. I linje med regeringens ambition att verka för ett mer ändamålsenligt arbete med informationssäker- het inom statsförvaltningen bör det utredas ifall direktivet, särskilt direktivets krav på operatörer som bedriver samhällsviktig verk- samhet och leverantörer av digitala tjänster, bör genomföras i ett samlat regelverk om säkerhet för nätverk och informationssystem.</P>
<P class="p189 ft8">Direktivet tillåter medlemsstaterna att skydda information som gäller nationell säkerhet och information som kan påverka möjlig- heten att upprätthålla lag och ordning särskilt i fråga om brotts- bekämpning. Det svenska systemet för obligatorisk <NOBR>it-incident-</NOBR> rapportering för statliga myndigheter har utformats på sådant sätt att <NOBR>it-incidenter</NOBR> i vissa särskilt säkerhetskänsliga system, inklusive incidenter som upptäckts genom stöd enligt 4 § förordningen (2007:937) med instruktion för Försvarets radioanstalt, i stället för till MSB ska rapporteras enligt säkerhetsskyddsförordningen till Säkerhetspolisen eller Försvarsmakten. Myndigheterna på försvars- området och försvarsindustrin omfattas inte av direktivets krav och dessa aktörers rapportering av <NOBR>it-incidenter</NOBR> ska med hänsyn till rikets säkerhet inte omfattas av den nya ordning som föreslås. Även it-</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">313</P>
</DIV>
</DIV>
<DIV id="page_314">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Bilaga 1</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p226 ft8">incidenter hos andra aktörer som har upptäckts genom stöd enligt 4 § förordningen (2007:937) med instruktion för Försvarets radio- anstalt (FRA) bör kunna undantas från direktivets tillämpning om rapporteringen innebär risk för att sekretesskyddade uppgifter om FRA:s förmåga röjs. Det kan även finnas andra aktörer som visser- ligen omfattas av direktivets krav men som ändå bör undantas från reglerna för att skydda information som gäller nationell säkerhet. <NOBR>It-incidenter</NOBR> som skulle röja information som gäller nationell säker- het kan dock även fortsättningsvis rapporteras enligt den ordning som från den 1 april 2016 gäller enligt säkerhetsskyddsförordningen.</P>
<P class="p86 ft8">Bestämmelser om informationssäkerhet i sektorsspecifika EU- rättsakter, som innehåller motsvarande eller mer långtgående krav, ska ha företräde framför de aktuella bestämmelserna i direktivet. Även detta bör beaktas i de överväganden som görs.</P>
<P class="p86 ft8">Enligt direktivet ska tillsynsmyndigheterna ha tillräckliga verktyg för att se till att regelverket efterlevs. I detta ligger ett sanktionssystem med effektiva och proportionerliga åtgärder. För svenskt vidkom- mande bör ett sådant system vara uppbyggt enligt den struktur som redan gäller i dag, dvs. att en tillsynsmyndighets beslut om sanktioner kan överklagas till allmän förvaltningsdomstol. Direktivet gör ingen åtskillnad mellan offentliga och enskilda aktörer. Frågan bör därför analyseras med utgångspunkt i att även offentliga aktörer, på lämp- ligt sätt, ska kunna åläggas sanktioner.</P>
<P class="p87 ft8">Utredaren ska, med beaktande av att direktivet inte hindrar medlemsstaterna från att skydda sina nationella säkerhetsintressen och de begränsningar som nämnts ovan,</P>
<P class="p234 ft8"><SPAN class="ft64">•</SPAN><SPAN class="ft34">föreslå hur operatörer som bedriver samhällsviktig verksamhet i Sverige ska identifieras,</SPAN></P>
<P class="p461 ft8"><SPAN class="ft64">•</SPAN><SPAN class="ft34">föreslå hur direktivets krav på både operatörer som bedriver samhällsviktig verksamhet och leverantörer av digitala tjänster bör genomföras i svensk rätt, och</SPAN></P>
<P class="p234 ft49"><SPAN class="ft64">•</SPAN><SPAN class="ft65">analysera och föreslå vilka bestämmelser om sanktioner som Sverige behöver införa.</SPAN></P>
<P class="p510 ft8">Direktivet hindrar inte medlemsstaterna från att anta mer långtgå- ende bestämmelser om säkerhet i nätverk och informationssystem än vad direktivet kräver. Det innehåller även bestämmelser om fri- villig rapportering av incidenter. Utredaren får lämna andra förslag</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">314</P>
</DIV>
</DIV>
<DIV id="page_315">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td81"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td82"><P class="p22 ft33">Bilaga 1</P></TD>
</TR>
</TABLE>
<P class="p88 ft8">denne anser nödvändiga och som ligger inom ramen för <NOBR>EU-direk-</NOBR> tivet eller dessa direktiv.</P>
<P class="p3 ft45">Medför direktivet behov av förändringar i sekretesskyddet?</P>
<P class="p113 ft8">Operatörer som bedriver samhällsviktig verksamhet och leverantörer av digitala tjänster är enligt direktivet skyldiga att bl.a. anmäla it- incidenter. Som tidigare nämnts bör sådana <NOBR>it-incidenter</NOBR> rapporte- ras till MSB som får ansvar för Sveriges <NOBR>CSIRT-verksamhet</NOBR> och, i förekommande fall, till aktuell sektorsmyndighet. Därigenom kan aktörerna behöva lämna känslig information om bl.a. säkerhets- och bevakningsåtgärder till tillsynsmyndigheten. En skyldighet att an- mäla <NOBR>it-incidenter</NOBR> införs den 1 april 2016 för statliga myndigheter genom en ny bestämmelse i förordningen (2015:1052) om kris- beredskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap. Den information som statliga myndigheter kommer att rapportera till MSB omfattas av sekretess enligt 18 kap. 8 § 3 offent- lighets- och sekretesslagen (OSL) om uppgifterna lämnar eller kan bidra till upplysning om säkerhets- eller bevakningsåtgärd, om det kan antas att syftet med åtgärden motverkas om uppgiften röjs och åtgärden avser telekommunikation eller system för automatiserad behandling av information. Det bör analyseras om det finns behov av bestämmelser om sekretessbrytande uppgiftsskyldighet för att be- rörda myndigheter ska kunna uppfylla sin rapporteringsskyldighet till MSB.</P>
<P class="p570 ft8">Bestämmelsen i 18 kap. 8 § 3 OSL är utrustad med ett s.k. rakt skaderekvisit. Vid införandet förordade dock flera remissinstanser i stället ett omvänt skaderekvisit (prop. 2003/04:92 s. 78 f.). I sam- band med att betänkandet Informations- och cybersäkerhet i Sverige (SOU 2015:23) remitterades pekade flera remissinstanser på att sek- retesskyddet för aktuella uppgifter behöver ses över. MSB framförde i det sammanhanget att det kan finnas anledning att överväga möj- ligheten att föreskriva om absolut sekretess för <NOBR>it-incidentrapporter.</NOBR> Det bör analyseras om det nuvarande sekretesskyddet är tillräckligt för att skydda de uppgifter som ska rapporteras till MSB och övriga tillsynsmyndigheter eller om det finns behov av ett starkare sek- retesskydd. Uppgifter kan även vara känsliga med hänsyn till den rapporterande aktörens ekonomiska verksamhet. Det bör även ana-</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">315</P>
</DIV>
</DIV>
<DIV id="page_316">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Bilaga 1</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p116 ft8">lyseras om det befintliga sekretesskyddet för uppgifter om enskilds affärs- och driftsförhållanden är tillräckligt.</P>
<P class="p205 ft8">Direktivets bestämmelser om samarbete mellan medlemsstaterna kan innebära att information som helt eller delvis omfattas av sekre- tess behöver utlämnas till annan medlemsstat eller kommissionen. En förutsättning för ett sådant utlämnande är enligt 8 kap. 3 § OSL att utlämnande görs i enlighet med särskilda föreskrifter i lag eller förordning, eller att uppgiften i motsvarande fall skulle få lämnas ut till en svensk myndighet och det enligt den utlämnande myndighetens prövning står klart att det är förenligt med svenska intressen att uppgiften lämnas till den utländska myndigheten eller den mellan- folkliga organisationen.</P>
<P class="p205 ft8">Som nämnts ovan ges medlemsstaterna enligt direktivet möjlig- het att skydda information som gäller nationell säkerhet eller som kan påverka möjligheten att upprätthålla lag och ordning särskilt i fråga om brottsbekämpning. Det innebär att Sverige behåller rätten att själv besluta om information som skyddas av sekretess enligt t.ex. 15 kap. 1 och 2 §§ OSL ska delas med andra medlemsstater eller om så inte ska ske. Motsvarande nationell beslutanderätt finns dock inte beträffande sådana uppgifter som endast omfattas av sekretess enligt 18 kap. 8 § 3 OSL. I dag finns ingen särskild föreskrift i lag eller för- ordning som medger utlämnande av information om <NOBR>it-incidenter</NOBR> till annan medlemsstat eller kommissionen. Det bör övervägas om det finns behov av sådana föreskrifter eller om sådana uppgifts- utbyten som följer av direktivet kan göras med stöd av 8 kap. 3 § första stycket 1 OSL, utan att information som rör rikets säkerhet lämnas ut.</P>
<P class="p170 ft8">En annan fråga som aktualiseras genom det aktuella direktivet är hur bestämmelserna i en svensk författning om säkerhet i nätverk och informationssystem kommer att förhålla sig till personuppgifts- lagstiftningen. Enligt direktivet ska detta inte påverka tillämpning- en av dataskyddsdirektivet 95/46/EG, vilket har genomförts i svensk rätt huvudsakligen genom personuppgiftslagen (1998:204). Inom kort förväntas EU besluta om en förordning som utgör en ny generell reglering för personuppgiftsbehandling inom EU. Förordningen kommer att ersätta det nuvarande dataskyddsdirektivet och innebär att bl.a. personuppgiftslagen måste upphävas. Det behöver därför också analyseras vilken personuppgiftsbehandling som direktivet</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">316</P>
</DIV>
</DIV>
<DIV id="page_317">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t19">
<TR>
<TD class="tr7 td81"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td82"><P class="p22 ft33">Bilaga 1</P></TD>
</TR>
</TABLE>
<P class="p355 ft8">kan komma ge upphov till och om det medför behov av författ- ningsändringar.</P>
<P class="p114 ft10">Utredaren ska därför</P>
<P class="p360 ft8"><SPAN class="ft64">•</SPAN><SPAN class="ft34">ta ställning till om bestämmelserna i offentlighets- och sekretess- lagen innebär ett tillräckligt skydd för sådana uppgifter som kan komma att rapporteras med anledning av en </SPAN><NOBR>it-incident</NOBR> eller om nuvarande lagstiftning behöver ändras och vid sådant behov föreslå författningsändringar,</P>
<P class="p172 ft8"><SPAN class="ft64">•</SPAN><SPAN class="ft34">undersöka om det behövs en uppgiftsskyldighet för att uppgifter som följer av direktivet ska kunna delas mellan de svenska aktörer som träffas av direktivet och MSB och vid behov föreslå för- fattningsändringar,</SPAN></P>
<P class="p360 ft8"><SPAN class="ft64">•</SPAN><SPAN class="ft34">ta ställning till behovet av författningsändringar för att möjlig- göra utbyte av andra uppgifter än sådana som rör rikets säkerhet med andra medlemsstater och kommissionen och vid behov före- slå sådana ändringar, och</SPAN></P>
<P class="p173 ft49"><SPAN class="ft64">•</SPAN><SPAN class="ft65">analysera vilken personuppgiftsbehandling som kan bli aktuell vid tillämpningen av direktivets bestämmelser och vid behov före- slå författningsändringar.</SPAN></P>
<P class="p554 ft39">Konsekvensbeskrivningar</P>
<P class="p57 ft8">Utredaren ska bedöma de ekonomiska konsekvenserna av förslagen för enskilda och det allmänna samt konsekvenserna i övrigt av för- slagen. Om förslagen kan förväntas leda till kostnadsökningar för det allmänna, ska utredaren föreslå hur dessa ska finansieras. I 14 kap. 3 § regeringsformen anges att en inskränkning av den kommunala självstyrelsen inte bör gå utöver vad som är nödvändigt med hänsyn till ändamålen. Det innebär att en proportionalitetsprövning ska göras under lagstiftningsprocessen. Om något av förslagen i betänkandet påverkar det kommunala självstyret ska därför, utöver dess kon- sekvenser, också de särskilda avvägningar som lett fram till förslagen särskilt redovisas.</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">317</P>
</DIV>
</DIV>
<DIV id="page_318">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t5">
<TR>
<TD class="tr7 td11"><P class="p22 ft19">Bilaga 1</P></TD>
<TD class="tr7 td12"><P class="p22 ft19">SOU 2017:36</P></TD>
</TR>
</TABLE>
<P class="p102 ft39">Arbetets bedrivande och redovisning av uppdraget</P>
<P class="p68 ft8">Utredaren ska löpande hålla Regeringskansliet (Justitiedepartementet) informerat om arbetet.</P>
<P class="p51 ft8">Vid genomförandet av uppdraget ska utredaren hålla sig infor- merad om arbetet med betänkandena Informations- och cyber- säkerhet i Sverige (SOU 2015:23) och En ny säkerhetsskyddslag (SOU 2015:25). Utredaren ska också hålla sig informerad om det arbete som bedrivs i Dricksvattenutredningen (L 2013:02) och av den utredare som bistår Justitiedepartementet med att utreda frågan om åtgärder för att öka Polismyndighetens tillgång till information om <NOBR>it-brottslighet.</NOBR></P>
<P class="p51 ft8">Under genomförandet av uppdraget ska utredaren, i den utsträck- ning som bedöms lämplig, också ha en dialog med och inhämta upp- lysningar från de myndigheter och andra organisationer som berörs av aktuella frågor.</P>
<P class="p536 ft10">Uppdraget ska redovisas senast den 1 maj 2017.</P>
<P class="p571 ft10">(Justitiedepartementet)</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">318</P>
</DIV>
</DIV>
<DIV id="page_319">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336319x1.jpg/" id="img1">
</DIV>
<TABLE cellpadding=0 cellspacing=0 class="t30">
<TR>
<TD class="tr17 td83"><P class="p572 ft124">19.7.2016</P></TD>
<TD class="tr18 td84"><P class="p573 ft124">SV</P></TD>
<TD class="tr17 td85"><P class="p574 ft125">Europeiska unionens officiella tidning</P></TD>
<TD class="tr17 td86"><P class="p22 ft2">L 194/1</P></TD>
</TR>
<TR>
<TD class="tr19 td87"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td88"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td89"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td90"><P class="p22 ft126"> </P></TD>
</TR>
</TABLE>
<P class="p575 ft127">I</P>
<P class="p576 ft128">(Lagstiftningsakter)</P>
<P class="p577 ft129">DIREKTIV</P>
<P class="p578 ft130">EUROPAPARLAMENTETS OCH RÅDETS DIREKTIV (EU) 2016/1148</P>
<P class="p579 ft130">av den 6 juli 2016</P>
<P class="p580 ft130">om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen</P>
<P class="p581 ft124">EUROPAPARLAMENTET OCH EUROPEISKA UNIONENS RÅD HAR ANTAGIT DETTA DIREKTIV</P>
<P class="p582 ft125">med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 114,</P>
<P class="p582 ft125">med beaktande av Europeiska kommissionens förslag,</P>
<P class="p583 ft125">efter översändande av utkastet till lagstiftningsakt till de nationella parlamenten,</P>
<P class="p582 ft125">med beaktande av Europeiska ekonomiska och sociala kommitténs yttrande (<SPAN class="ft131">1</SPAN>),</P>
<P class="p583 ft125">i enlighet med det ordinarie lagstiftningsförfarandet (<SPAN class="ft131">2</SPAN>), och</P>
<P class="p582 ft125">av följande skäl:</P>
<P class="p584 ft125"><SPAN class="ft132">(1)</SPAN><SPAN class="ft133">Nätverks- och informationssystem och nätverks- och informationstjänster spelar en viktig roll i samhället. Deras tillförlitlighet och säkerhet är grundläggande för ekonomisk och samhällelig verksamhet och i synnerhet för den inre marknadens funktion.</SPAN></P>
<P class="p585 ft135"><SPAN class="ft132">(2)</SPAN><SPAN class="ft134">Säkerhetsincidenter, som blir allt mer omfattande och vanliga och får allt större inverkan, utgör ett allvarligt hot mot nätverks- och informationssystemens funktion. Dessa system kan också bli mål för avsiktligt sabotage i syfte att skada dem eller förorsaka driftsavbrott. Sådana incidenter kan hindra genomförandet av ekonomisk verksamhet, generera omfattande ekonomiska förluster, undergräva användarnas förtroende och medföra allvarliga konsekvenser för unionens ekonomi.</SPAN></P>
<P class="p586 ft2"><SPAN class="ft132">(3)</SPAN><SPAN class="ft136">Nätverks- och informationssystem, i synnerhet internet, spelar en viktig roll genom att underlätta den gränsöver skridande rörligheten för varor, tjänster och personer. På grund av denna transnationella natur kan allvarliga störningar av dessa system, vare sig de är avsiktliga eller oavsiktliga och oberoende av var de förekommer, påverka enskilda medlemsstater och unionen som helhet. Säkerheten i nätverks- och informationssystem är därför avgörande för att den inre marknaden ska fungera väl.</SPAN></P>
<P class="p587 ft124"><SPAN class="ft132">(4)</SPAN><SPAN class="ft137">På grundval av de betydande framstegen inom det europeiska forumet för medlemsstaterna vad gäller att främja diskussioner och utbyten av bästa praxis, inbegripet utarbetandet av principer för ett europeiskt samarbete vid it- relaterade kriser, bör en samarbetsgrupp inrättas, bestående av företrädare för medlemsstaterna, kommissionen och Europeiska unionens byrå för nät- och informationssäkerhet (Enisa), som ska stödja och underlätta strategiskt</SPAN></P>
<P class="p588 ft124">(<SPAN class="ft138">1</SPAN>) EUT C 271, 19.9.2013, s. 133.</P>
<P class="p589 ft140">(<SPAN class="ft139">2</SPAN>) Europaparlamentets ståndpunkt av den 13 mars 2014 (ännu ej offentliggjord i EUT) och rådets ståndpunkt vid första behandlingen av den 17 maj 2016 (ännu ej offentliggjord i EUT). Europaparlamentets ståndpunkt av den 6 juli 2016 (ännu ej offentliggjord i EUT).</P>
</DIV>
<DIV id="page_320">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336320x1.jpg/" id="img1">
</DIV>
<TABLE cellpadding=0 cellspacing=0 class="t31">
<TR>
<TD class="tr17 td83"><P class="p22 ft125">L 194/2</P></TD>
<TD class="tr18 td84"><P class="p573 ft124">SV</P></TD>
<TD class="tr17 td78"><P class="p574 ft125">Europeiska unionens officiella tidning</P></TD>
<TD class="tr17 td91"><P class="p23 ft125">19.7.2016</P></TD>
</TR>
<TR>
<TD class="tr19 td87"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td88"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td92"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td93"><P class="p22 ft126"> </P></TD>
</TR>
</TABLE>
<P class="p590 ft124">samarbete mellan medlemsstaterna vad gäller säkerhet i nätverks- och informationssystem. För att denna grupp ska vara effektiv och inkluderande är det viktigt att alla medlemsstater har en minimikapacitet och en strategi som säkerställer en hög nivå på säkerheten i nätverks- och informationssystem på det egna territoriet. Dessutom bör säkerhets- och rapporteringskrav gälla för leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster, för att främja en riskhanteringskultur och säkerställa att de allvarligaste incidenterna rapporteras.</P>
<P class="p591 ft124"><SPAN class="ft132">(5)</SPAN><SPAN class="ft137">Den befintliga kapaciteten räcker inte för att säkerställa en hög nivå på säkerheten i nätverks- och informationssystem i unionen. Medlemsstaterna har mycket olika beredskapsnivåer, vilket har lett till skilda tillvägagångssätt i unionen. Resultatet blir olika skyddsnivåer för konsumenter och företag, vilket undergräver den allmänna nivån på säkerheten i nätverks- och informationssystem i unionen. Avsaknaden av gemensamma krav för leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster gör det i sin tur omöjligt att inrätta en övergripande och effektiv mekanism för samarbete på unionsnivå. Universitet och forskningscentrum har en avgörande roll att spela när det gäller att främja forskning, utveckling och innovation på dessa områden.</SPAN></P>
<P class="p592 ft135"><SPAN class="ft132">(6)</SPAN><SPAN class="ft134">Effektiva åtgärder för att lösa problemen vad gäller säkerhet i nätverks- och informationssystem förutsätter därför ett övergripande angreppssätt på unionsnivå, som omfattar en gemensam miniminivå för kapacitetsuppbyggnad och planering, utbyte av information, samarbete och gemensamma säkerhetskrav för leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster. Leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster är emellertid inte förhindrade att genomföra striktare säkerhetsåtgärder än de som föreskrivs i detta direktiv.</SPAN></P>
<P class="p593 ft125"><SPAN class="ft132">(7)</SPAN><SPAN class="ft133">Detta direktiv bör tillämpas på både leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster,</SPAN></P>
<P class="p594 ft2">så att alla relevanta incidenter och risker täcks. De skyldigheter som införs för leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster bör dock inte tillämpas på företag som tillhandahåller allmänna kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster i den mening som avses i Europaparlamentets och rådets direktiv 2002/21/EG (<SPAN class="ft138">1</SPAN>), vilka omfattas av de specifika krav på säkerhet och integritet som föreskrivs i det direktivet, och inte heller på leverantörer av betrodda tjänster i den mening som avses i Europaparlamentets och rådets förordning (EU) nr 910/2014 (<SPAN class="ft138">2</SPAN>), vilka omfattas av de säkerhetskrav som föreskrivs i den förordningen.</P>
<P class="p586 ft124"><SPAN class="ft132">(8)</SPAN><SPAN class="ft137">Detta direktiv bör inte påverka varje enskild medlemsstats möjlighet att vidta de åtgärder som är nödvändiga för att skydda dess väsentliga säkerhetsintressen, för att upprätthålla allmän ordning och säkerhet och för att möjliggöra utredning, upptäckt och lagföring av brott. Enligt artikel 346 i fördraget om Europeiska unionens funktionssätt </SPAN><NOBR>(EUF-fördraget)</NOBR> ska ingen medlemsstat vara förpliktad att lämna information vars avslöjande den anser strida mot sina väsentliga säkerhetsintressen. Rådets beslut 2013/488/EU (<SPAN class="ft141">3</SPAN>) och sekretessavtal, eller informella sekretessavtal såsom <SPAN class="ft142">Traffic Light Protocol</SPAN>, är relevanta i detta sammanhang.</P>
<P class="p591 ft124"><SPAN class="ft132">(9)</SPAN><SPAN class="ft137">Vissa ekonomiska sektorer regleras redan eller kan komma att regleras av sektorsspecifika unionsrättsakter som inbegriper regler med anknytning till säkerheten i nätverks- och informationssystem. När dessa unionsrättsakter innehåller bestämmelser med krav på säkerhet i nätverks- och informationssystem eller rapportering av incidenter, bör de bestämmelserna tillämpas, om de innehåller krav vilkas verkan minst motsvarar verkan av skyldigheterna i detta direktiv. Medlemsstaterna bör då tillämpa bestämmelserna i sådana sektorsspecifika unionsrättsakter, inklusive sådana som rör jurisdiktion, och bör inte genomföra identifieringsförfarandet för leverantörer av samhällsviktiga tjänster enligt definitionen i detta direktiv. Medlemsstaterna bör i detta sammanhang informera kommissionen om tillämpningen av sådana </SPAN><SPAN class="ft142">lex </SPAN><NOBR><SPAN class="ft142">specialis-</SPAN>bestämmelser.</NOBR> Vid fastställandet av huruvida kraven på säkerhet i nätverks- och informationssystem och rapportering av incidenter som ingår i sektorsspecifika unionsrättsakter motsvarar kraven i detta direktiv, bör endast bestämmelserna i relevanta unionsrättsakter och deras tillämpning i medlemsstaterna beaktas.</P>
<P class="p595 ft124"><SPAN class="ft124">(10)</SPAN><SPAN class="ft143">I sjöfartssektorn omfattar säkerhetskraven för rederier, fartyg, hamnanläggningar, hamnar och sjötrafikinforma tionstjänster enligt unionsrättsakter all verksamhet, inbegripet radio- och telekommunikationssystem, datorsystem och nätverk. De obligatoriska förfarandena inbegriper rapportering av alla incidenter och bör därför anses utgöra </SPAN><SPAN class="ft142">lex specialis</SPAN>, i den mån dessa krav är åtminstone likvärdiga med motsvarande bestämmelser i detta direktiv.</P>
<P class="p596 ft144">(<SPAN class="ft138">1</SPAN>) Europaparlamentets och rådets direktiv 2002/21/EG av den 7 mars 2002 om ett gemensamt regelverk för elektroniska kommunika tionsnät och kommunikationstjänster (ramdirektiv) (EGT L 108, 24.4.2002, s. 33).</P>
<P class="p589 ft132">(<SPAN class="ft141">2</SPAN>) Europaparlamentets och rådets förordning (EU) nr 910/2014 av den 23 juli 2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv 1999/93/EG (EUT L 257, 28.8.2014, s. 73).</P>
<P class="p597 ft124">(<SPAN class="ft138">3</SPAN>) Rådets beslut 2013/488/EU av den 23 september 2013 om säkerhetsbestämmelser för skydd av säkerhetsskyddsklassificerade <NOBR>EU-uppgifter</NOBR> (EUT L 274, 15.10.2013, s. 1).</P>
</DIV>
<DIV id="page_321">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336321x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t30">
<TR>
<TD class="tr17 td83"><P class="p572 ft124">19.7.2016</P></TD>
<TD class="tr18 td84"><P class="p573 ft124">SV</P></TD>
<TD class="tr17 td85"><P class="p574 ft125">Europeiska unionens officiella tidning</P></TD>
<TD class="tr17 td86"><P class="p22 ft2">L 194/3</P></TD>
</TR>
<TR>
<TD class="tr19 td87"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td88"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td89"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td90"><P class="p22 ft126"> </P></TD>
</TR>
</TABLE>
<P class="p598 ft125"><SPAN class="ft124">(11)</SPAN><SPAN class="ft145">När medlemsstaterna identifierar operatörer i sjöfartssektorn, bör de ta hänsyn till befintliga och framtida internationella koder och riktlinjer som utvecklats särskilt av Internationella sjöfartsorganisationen, i syfte att skapa ett enhetligt tillvägagångssätt för enskilda sjöfartsoperatörer.</SPAN></P>
<P class="p599 ft124"><SPAN class="ft124">(12)</SPAN><SPAN class="ft143">Regleringen och tillsynen inom banksektorn och sektorn för finansmarknadsinfrastrukturer har i hög grad harmoniserats på unionsnivå, genom användning av unionens primärrätt och sekundärrätt och standarder som utvecklats tillsammans med de europeiska tillsynsmyndigheterna. Inom bankunionen säkerställs tillämpningen</SPAN></P>
<P class="p594 ft124">och tillsynen av dessa krav genom den gemensamma tillsynsmekanismen. För medlemsstater som inte ingår i bankunionen säkerställs detta av medlemsstaternas relevanta banktillsynsmyndigheter. Inom tillsynspraxis på andra områden inom regleringen av finanssektorn säkerställer Europeiska systemet för finansiell tillsyn också en hög grad av enhetlighet och konvergens. Även Europeiska värdepappers- och marknadsmyndigheten utövar direkt tillsyn över vissa enheter, nämligen kreditvärderingsinstitut och transaktionsregister.</P>
<P class="p600 ft147"><SPAN class="ft124">(13)</SPAN><SPAN class="ft146">Operativ risk utgör en viktig del av reglering och tillsyn inom banksektorn och sektorn för finansmarknadsinfra strukturer. Den omfattar all verksamhet, inbegripet nätverks- och informationssystems säkerhet, integritet och motståndskraft. Kraven på dessa system, som ofta är mer långtgående än de som föreskrivs i detta direktiv,</SPAN></P>
<P class="p594 ft149">fastställs i ett antal unionsrättsakter, som inbegriper bestämmelser om behörighet att utöva verksamhet i kreditinstitut och om tillsyn av kreditinstitut och värdepappersföretag och bestämmelser om tillsynskrav för kreditinstitut och värdepappersföretag, vilka inbegriper krav avseende operativ risk, bestämmelser om marknader för finansiella instrument, vilka inbegriper krav avseende riskbedömning för värdepappersföretag och för reglerade marknader, bestämmelser om <NOBR>OTC-derivat,</NOBR> centrala motparter och transaktionsregister, vilka inbegriper krav avseende operativ risk för centrala motparter och transaktionsregister, och bestämmelser om förbättrad värdepappersavveckling i unionen och om värdepapperscentraler, vilka inbegriper krav avseende operativ risk. Dessutom utgör krav på rapportering av incidenter en del av normal tillsynspraxis inom finanssektorn och ingår ofta i tillsynshandböcker. Medlemsstaterna bör beakta dessa bestämmelser och krav vid tillämpningen av <SPAN class="ft148">lex specialis</SPAN>.</P>
<P class="p601 ft124"><SPAN class="ft124">(14)</SPAN><SPAN class="ft143">Såsom Europeiska centralbanken konstaterade i sitt yttrande av den 25 juli 2014 (</SPAN><SPAN class="ft141">1</SPAN>) påverkar detta direktiv inte den ordning för Eurosystemets tillsyn över betalnings- och avvecklingssystem som fastställs i unionsrätten. Det skulle vara lämpligt att de myndigheter som ansvarar för denna övervakning utbytte erfarenheter om frågor som rör säkerhet i nätverks- och informationssystem med de behöriga myndigheterna enligt detta direktiv. Detsamma gäller för medlemmar i Europeiska centralbankssystemet som står utanför euroområdet och som utövar sådan tillsyn över betalnings- och avvecklingssystem på grundval av nationella lagar och andra författningar.</P>
<P class="p600 ft124"><SPAN class="ft124">(15)</SPAN><SPAN class="ft143">En internetbaserad marknadsplats ger konsumenter och näringsidkare möjlighet att ingå internetbaserade köpeavtal eller tjänsteavtal med näringsidkare och är slutdestinationen för ingåendet av sådana avtal. Den bör inte omfatta onlinetjänster som endast fungerar som mellanhand för tredjepartstjänster genom vilka ett avtal slutligen kan ingås. Den bör därför inte omfatta onlinetjänster som jämför priset på vissa varor eller tjänster från olika näringsidkare och sedan leder användaren vidare till den näringsidkare som valts för köp av varan. Datatjänster som tillhandahålls av den internetbaserade marknadsplatsen kan inbegripa behandling av transaktioner, sammanställning av data eller profilering av användare. Applikationsbutiker, som fungerar som onlinebutiker och möjliggör digital distribution av applikationer eller programvara från tredje part, ska betraktas som en typ av internetbaserad marknadsplats.</SPAN></P>
<P class="p602 ft124"><SPAN class="ft124">(16)</SPAN><SPAN class="ft143">En internetbaserad sökmotor gör det möjligt för användaren att göra sökningar på i princip alla webbplatser på grundval av en sökning inom vilket ämnesområde som helst. Den kan också vara inriktad på webbplatser på ett visst språk. Definitionen av internetbaserad sökmotor enligt detta direktiv bör inte omfatta sökfunktioner som begränsas till innehållet på en särskild webbplats, oberoende av om sökfunktionen tillhandahålls av en extern sökmotor. Den bör inte heller omfatta onlinetjänster som jämför priset på vissa varor eller tjänster från olika näringsidkare och sedan leder användaren vidare till den näringsidkare som valts för köp av varan.</SPAN></P>
<P class="p600 ft124"><SPAN class="ft124">(17)</SPAN><SPAN class="ft143">Molntjänster omfattar många olika verksamheter, som kan levereras enligt olika modeller. Vid tillämpningen av detta direktiv omfattar termen </SPAN><SPAN class="ft142">molntjänster </SPAN>tjänster som medger åtkomst till en skalbar och elastisk pool av delbara dataresurser. Sådana dataresurser omfattar resurser såsom nätverk, servrar eller annan infrastruktur, lagring, applikationer och tjänster. Termen <SPAN class="ft142">skalbar </SPAN>avser dataresurser som leverantören av molntjänster fördelar på ett f lexibelt sätt, oberoende av resursernas geografiska läge, för att hantera f luktuationer i efterfrågan. Termen</P>
<P class="p603 ft125"><SPAN class="ft128">elastisk pool </SPAN>används för att beskriva dataresurser som avsätts och utnyttjas beroende på efterfrågan för att</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft124">(<SPAN class="ft138">1</SPAN>) EUT C 352, 7.10.2014, s. 4.</P>
</DIV>
</DIV>
<DIV id="page_322">
<TABLE cellpadding=0 cellspacing=0 class="t31">
<TR>
<TD class="tr17 td83"><P class="p22 ft125">L 194/4</P></TD>
<TD class="tr18 td84"><P class="p573 ft124">SV</P></TD>
<TD class="tr17 td78"><P class="p574 ft125">Europeiska unionens officiella tidning</P></TD>
<TD class="tr17 td91"><P class="p23 ft125">19.7.2016</P></TD>
</TR>
<TR>
<TD class="tr19 td87"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td88"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td92"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td93"><P class="p22 ft126"> </P></TD>
</TR>
</TABLE>
<P class="p604 ft135">tillgängliga resurser snabbt ska kunna utökas och minskas i takt med arbetsbördan. Termen <SPAN class="ft150">delbar </SPAN>används för att beskriva dataresurser som tillhandahålls f lera användare som delar en gemensam åtkomst till tjänsten där behandlingen genomförs separat för varje användare, även om tjänsten tillhandahålls från samma elektroniska utrustning.</P>
<P class="p605 ft2"><SPAN class="ft124">(18)</SPAN><SPAN class="ft151">En internetknutpunkts (IXP) uppgift är att koppla samman nätverk. En IXP tillhandahåller inte tillträde till nätverk och fungerar inte som transitleverantör eller transitförmedlare. En IXP tillhandahåller inte heller andra tjänster utan samband med sammankoppling, även om detta inte hindrar en </SPAN><NOBR>IXP-leverantör</NOBR> från att tillhandahålla andra tjänster. En IXP är till för att sammankoppla nätverk som är tekniskt och organisatoriskt separata. Termen <SPAN class="ft152">autonomt system </SPAN>används för att beskriva ett tekniskt fristående nätverk.</P>
<P class="p606 ft124"><SPAN class="ft124">(19)</SPAN><SPAN class="ft143">Medlemsstaterna bör ansvara för att fastställa vilka enheter som uppfyller kriterierna för definitionen av leverantör av samhällsviktiga tjänster. I syfte att säkerställa ett enhetligt tillvägagångssätt bör definitionen av leverantör av samhällsviktiga tjänster tillämpas konsekvent i alla medlemsstater. I detta syfte föreskriver detta direktiv en bedömning av de enheter som är verksamma i specifika sektorer och delsektorer, upprättandet av en förteckning över samhällsviktiga tjänster, beaktandet av en gemensam förteckning över sektorsöverskridande faktorer för fastställande av om en eventuell incident skulle medföra en betydande störning, en samrådsprocess med de berörda medlemsstaterna i de fall där enheter tillhandahåller tjänster i mer än en medlemsstat, och samarbetsgruppens stöd vid identifieringsförfarandet. I syfte att säkerställa att eventuella förändringar på marknaden återspeglas på ett korrekt sätt bör förteckningen över identifierade leverantörer regelbundet ses över av medlemsstaterna och vid behov uppdateras. Medlemsstaterna bör slutligen till kommissionen överlämna den information som är nödvändig för att bedöma i vilken utsträckning denna gemensamma metod har gjort det möjligt för medlemsstaterna att tillämpa definitionen konsekvent.</SPAN></P>
<P class="p607 ft149"><SPAN class="ft124">(20)</SPAN><SPAN class="ft153">Vid förfarandet för identifiering av leverantörer av samhällsviktiga tjänster bör medlemsstaterna, åtminstone för varje delsektor som avses i detta direktiv, bedöma vilka tjänster som måste betraktas som viktiga för att upprätthålla kritisk samhällelig och ekonomisk verksamhet samt huruvida de enheter som är förtecknade i de sektorer och delsektorer som avses i detta direktiv och tillhandahåller dessa tjänster uppfyller kriterierna för identifiering av leverantörer. Vid bedömning av huruvida en enhet tillhandahåller en tjänst som är viktig för att upprätthålla kritisk samhällelig eller ekonomisk verksamhet, är det tillräckligt att undersöka om enheten tillhandahåller en tjänst som finns upptagen i förteckningen över samhällsviktiga tjänster. Det bör dessutom påvisas att tillhandahållandet av den samhällsviktiga tjänsten är beroende av nätverks- och informationssystem. Slutligen bör medlemsstaterna, vid bedömning av huruvida en incident skulle medföra en betydande störning vid tillhandahållandet av tjänsten, beakta ett antal sektorsöverskridande faktorer samt, i lämpliga fall, sektorsspecifika faktorer.</SPAN></P>
<P class="p608 ft135"><SPAN class="ft124">(21)</SPAN><SPAN class="ft154">Vid identifiering av leverantörer av samhällsviktiga tjänster krävs det att leverantören utför en faktisk och reell verksamhet med hjälp av en stabil struktur för att den ska anses vara etablerad i en medlemsstat. Den rättsliga formen för en sådan struktur bör här, oavsett om det är en filial eller ett dotterbolag med juridisk personlighet, inte vara den avgörande faktorn.</SPAN></P>
<P class="p605 ft124"><SPAN class="ft124">(22)</SPAN><SPAN class="ft143">Det är möjligt att enheter verksamma inom de sektorer och delsektorer som avses i detta direktiv tillhandahåller både samhällsviktiga och icke samhällsviktiga tjänster. Inom luftfartssektorn tillhandahåller t.ex. f lygplatser tjänster som en medlemsstat kan anse vara samhällsviktiga, såsom skötseln av start- och landningsbanorna, men också ett antal tjänster som kan betraktas som icke samhällsviktiga, såsom tillhandahållande av butiksområden. Leverantörer av samhällsviktiga tjänster bör omfattas av de specifika säkerhetskraven endast när det gäller tjänster som anses vara samhällsviktiga. I syfte att identifiera leverantörer bör medlemsstaterna därför upprätta en förteckning över de tjänster som betraktas som samhällsviktiga.</SPAN></P>
<P class="p605 ft149"><SPAN class="ft124">(23)</SPAN><SPAN class="ft153">Förteckningen över tjänster bör omfatta alla de tjänster som tillhandahålls på en viss medlemsstats territorium och som uppfyller kraven enligt detta direktiv. Medlemsstaterna bör kunna lägga till nya tjänster i den befintliga förteckningen. Förteckningen över tjänster bör fungera som referenspunkt för medlemsstaterna och möjliggöra identifiering av leverantörer av samhällsviktiga tjänster. Syftet med förteckningen är att identifiera de typer av samhällsviktiga tjänster inom en viss sektor som det hänvisas till i detta direktiv och därmed skilja dem från de icke samhällsviktiga tjänster som en enhet med verksamhet inom en viss sektor kan ansvara för. Den förteckning över tjänster som varje medlemsstat upprättar skulle utgöra ett ytterligare bidrag till bedömningen av lagstift ningspraxis inom varje medlemsstat med syftet att säkerställa en övergripande enhetlighet mellan medlemsstaternas identifieringsförfaranden.</SPAN></P>
</DIV>
<DIV id="page_323">
<TABLE cellpadding=0 cellspacing=0 class="t30">
<TR>
<TD class="tr17 td83"><P class="p572 ft124">19.7.2016</P></TD>
<TD class="tr18 td84"><P class="p573 ft124">SV</P></TD>
<TD class="tr17 td85"><P class="p574 ft125">Europeiska unionens officiella tidning</P></TD>
<TD class="tr17 td86"><P class="p22 ft2">L 194/5</P></TD>
</TR>
<TR>
<TD class="tr19 td87"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td88"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td89"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td90"><P class="p22 ft126"> </P></TD>
</TR>
</TABLE>
<P class="p609 ft124"><SPAN class="ft124">(24)</SPAN><SPAN class="ft143">Om en enhet tillhandahåller en samhällsviktig tjänst i två eller f lera medlemsstater, bör dessa medlemsstater vid identifieringsförfarandet föra bilaterala eller multilaterala diskussioner med varandra. Denna samrådsprocess är avsedd att hjälpa dem att bedöma om leverantören i fråga är av kritisk betydelse när det gäller gränsöverskridande inverkan, varigenom varje berörd medlemsstat ges möjlighet att lägga fram sina synpunkter avseende riskerna med de tjänster som tillhandahålls. I denna process bör de berörda medlemsstaterna beakta varandras synpunkter, och bör i detta avseende kunna begära bistånd från samarbetsgruppen.</SPAN></P>
<P class="p610 ft124"><SPAN class="ft124">(25)</SPAN><SPAN class="ft143">Till följd av identifieringsförfarandet bör medlemsstaterna vidta nationella åtgärder för att fastställa vilka enheter som omfattas av skyldigheter när det gäller säkerhet i nätverks- och informationssystem. Detta skulle kunna uppnås genom upprättande av en förteckning över alla leverantörer av samhällsviktiga tjänster eller genom antagande av nationella bestämmelser, inbegripet objektivt mätbara kriterier, såsom leverantörens produktion eller antalet användare, som gör det möjligt att fastställa vilka enheter som omfattas av skyldigheter när det gäller säkerhet i nätverks- och informationssystem. De nationella åtgärderna, oavsett om de redan har vidtagits eller om de vidtas mot bakgrund av detta direktiv, bör omfatta alla rättsliga åtgärder, administrativa åtgärder och strategier som möjliggör identifiering av leverantörer av samhällsviktiga tjänster enligt detta direktiv.</SPAN></P>
<P class="p611 ft135"><SPAN class="ft124">(26)</SPAN><SPAN class="ft154">För att ge en indikation om betydelsen i förhållande till den berörda sektorn av de identifierade leverantörerna av samhällsviktiga tjänster, bör medlemsstaterna beakta dessa leverantörers antal och storlek, till exempel i form av marknadsandelar eller den mängd som produceras eller levereras, utan att vara förpliktade att lämna ut uppgifter som skulle avslöja vilka leverantörer som har identifierats.</SPAN></P>
<P class="p606 ft2"><SPAN class="ft124">(27)</SPAN><SPAN class="ft151">För att fastställa om en incident skulle medföra en betydande störning vid tillhandahållandet av en samhällsviktig tjänst, bör medlemsstaterna beakta ett antal olika faktorer, såsom antalet användare som är beroende av tjänsten för privata eller yrkesmässiga ändamål. Användningen av tjänsten kan vara direkt, indirekt eller ske genom förmedling. Vid bedömningen av en incidents eventuella inverkan på ekonomisk och samhällelig verksamhet eller allmän säkerhet, uttryckt i grad och varaktighet, bör medlemsstaterna också bedöma hur länge det sannolikt skulle ta tills avbrottet skulle börja ha en negativ inverkan.</SPAN></P>
<P class="p612 ft149"><SPAN class="ft124">(28)</SPAN><SPAN class="ft153">Utöver de sektorsöverskridande faktorerna bör också sektorsspecifika faktorer beaktas vid fastställelsen av huruvida en incident skulle medföra en betydande störning vid tillhandahållandet av en samhällsviktig tjänst. När det gäller energileverantörer kan sådana faktorer omfatta mängden eller andelen producerad nationell el, för oljeleverantörer mängden olja per dag, för lufttransport, inbegripet f lygplatser och lufttrafikföretag, järnvägstransport och kusthamnar andelen nationell trafikmängd och antalet passagerare eller lastningar per år, för bankverksamhet eller finansmarknadsinfrastrukturer deras betydelse för systemet på grundval av samlade tillgångar eller förhållandet mellan dessa tillgångar och BNP, för hälso- och sjukvårdssektorn antalet patienter som leverantören vårdar per år, för produktion, bearbetning och leverans av vatten, volym, antal och typer av användare, inbegripet t.ex. sjukhus, offentlig sektor, organisationer och personer) samt förekomsten av alternativa vattenkällor för samma geografiska område.</SPAN></P>
<P class="p613 ft125"><SPAN class="ft124">(29)</SPAN><SPAN class="ft145">För att uppnå och bibehålla en hög nivå på säkerheten i nätverks- och informationssystem bör alla medlemsstater ha en nationell strategi för säkerhet i nätverks- och informationssystem genom vilken fastställs de strategiska mål och konkreta politiska åtgärder som ska genomföras.</SPAN></P>
<P class="p614 ft135"><SPAN class="ft124">(30)</SPAN><SPAN class="ft154">Mot bakgrund av skillnaderna i nationella förvaltningsstrukturer och för att skydda befintliga sektorsspecifika arrangemang eller unionens tillsyns- och regleringsmyndigheter och undvika överlappning, bör medlemsstaterna kunna utse mer än en nationell behörig myndighet med ansvar för att utföra uppgifter som rör säkerheten i de nätverks- och informationssystem som används av leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster enligt detta direktiv.</SPAN></P>
<P class="p615 ft149"><SPAN class="ft124">(31)</SPAN><SPAN class="ft153">För att underlätta gränsöverskridande samarbete och kommunikation och för att göra det möjligt att genomföra detta direktiv på ett effektivt sätt måste varje medlemsstat, utan att det påverkar sektorsspecifika regleringsar rangemang, utse en nationell gemensam kontaktpunkt med ansvar för samordningen av frågor angående säkerhet i nätverks- och informationssystem och gränsöverskridande samarbete på unionsnivå. Behöriga myndigheter och gemensamma kontaktpunkter bör förses med de tekniska och finansiella resurser och personalresurser som de behöver för att på ett effektivt sätt kunna utföra de uppgifter som de tilldelas och därmed uppnå målen med detta direktiv. Eftersom syftet med detta direktiv är att förbättra den inre marknadens funktion genom att skapa tillit och förtroende, måste medlemsstaternas organ kunna samarbeta effektivt med ekonomiska aktörer och ha en struktur som är förenlig med detta.</SPAN></P>
</DIV>
<DIV id="page_324">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336324x1.jpg/" id="img1">
</DIV>
<TABLE cellpadding=0 cellspacing=0 class="t31">
<TR>
<TD class="tr17 td83"><P class="p22 ft125">L 194/6</P></TD>
<TD class="tr18 td84"><P class="p573 ft124">SV</P></TD>
<TD class="tr17 td78"><P class="p574 ft125">Europeiska unionens officiella tidning</P></TD>
<TD class="tr17 td91"><P class="p23 ft125">19.7.2016</P></TD>
</TR>
<TR>
<TD class="tr19 td87"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td88"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td92"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td93"><P class="p22 ft126"> </P></TD>
</TR>
</TABLE>
<P class="p616 ft135"><SPAN class="ft124">(32)</SPAN><SPAN class="ft154">Behöriga myndigheter eller enheter för hantering av </SPAN><NOBR>it-säkerhetsincidenter</NOBR> (<SPAN class="ft150">Computer Security Incident Response Teams</SPAN>, nedan kallade <NOBR><SPAN class="ft150">CSIRT-enheter</SPAN>)</NOBR> bör ta emot rapporter om incidenter. De gemensamma kontaktpunkterna bör inte direkt ta emot några rapporter om incidenter, såvida de inte också fungerar som behörig myndighet eller som en <NOBR>CSIRT-enhet.</NOBR> En behörig myndighet eller en <NOBR>CSIRT-enhet</NOBR> bör dock kunna ge den gemensamma kontaktpunkten i uppgift att vidarebefordra incidentrapporter till de gemensamma kontaktpunkterna i andra berörda medlemsstater.</P>
<P class="p617 ft124"><SPAN class="ft124">(33)</SPAN><SPAN class="ft143">För att säkerställa att medlemsstaterna och kommissionen får information på ett ändamålsenligt sätt bör den gemensamma kontaktpunkten lämna en sammanfattande rapport till samarbetsgruppen som bör vara anonymiserad för att bevara rapporternas konfidentialitet och identiteten på leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster, eftersom information om de rapporterande enheternas identitet inte krävs för utbyte av bästa praxis inom samarbetsgruppen. Den sammanfattande rapporten bör innehålla uppgifter om antalet mottagna incidentrapporter samt information om de rapporterade incidenternas art, såsom vilka typer av säkerhetsöverträdelser det rör sig om eller hur allvarliga eller långvariga de varit.</SPAN></P>
<P class="p617 ft124"><SPAN class="ft124">(34)</SPAN><SPAN class="ft143">Medlemsstaterna bör ha både den tekniska och organisatoriska kapacitet som krävs för att förebygga, upptäcka, vidta åtgärder mot och begränsa effekterna av incidenter och risker vad gäller nätverks- och informationssystem. Medlemsstater bör därför säkerställa att de har väl fungerande </SPAN><NOBR>CSIRT-enheter,</NOBR> även kallade <SPAN class="ft142">incidenthanteringsorgani sationer </SPAN>(<SPAN class="ft142">Computer Emergency Response Teams</SPAN>, Cert), som uppfyller grundläggande krav för att garantera effektiv och kompatibel kapacitet att hantera incidenter och risker och säkerställa ett effektivt samarbete på unionsnivå. För att alla typer av leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster ska kunna dra nytta av sådan kapacitet och sådant samarbete bör medlemsstaterna säkerställa att alla typer omfattas av en utsedd CSIRT- enhet. Med tanke på vikten av internationellt samarbete på området cybersäkerhet, bör <NOBR>CSIRT-enheterna</NOBR> kunna delta i internationella samarbetsnätverk utöver det <NOBR>CSIRT-nätverk</NOBR> som inrättas genom detta direktiv.</P>
<P class="p611 ft135"><SPAN class="ft124">(35)</SPAN><SPAN class="ft154">Eftersom de f lesta nätverks- och informationssystem drivs privat, är det mycket viktigt med samarbete mellan offentlig och privat sektor. Leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster bör uppmuntras att upprätta egna informella samarbetsmekanismer för att säkerställa säkerheten i nätverks- och informationssystem. Samarbetsgruppen bör vid behov kunna bjuda in berörda parter till diskussionerna. För att effektivt uppmuntra utbyte av information och bästa praxis är det mycket viktigt att säkerställa att samarbetet inte leder till nackdelar för de leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster som deltar i sådana utbyten.</SPAN></P>
<P class="p618 ft124"><SPAN class="ft124">(36)</SPAN><SPAN class="ft143">Enisa bör bistå medlemsstaterna och kommissionen genom att tillhandahålla expertis och rådgivning och underlätta utbytet av bästa praxis. Kommissionen bör samråda med Enisa vid tillämpningen av detta direktiv, och medlemsstaterna bör ha möjlighet att göra detta. För att bygga upp kapacitet och kunskap bland medlemsstaterna bör samarbetsgruppen också fungera som ett instrument för utbyte av bästa praxis, diskussioner om medlemsstaternas kapacitet och beredskap och, på frivillig grund, bistå medlemmarna vid utvärdering av nationella strategier för säkerhet i nätverks- och informationssystem, vid kapacitetsuppbyggnad och utvärderingar av övningar som avser säkerheten i nätverks- och informationssystem.</SPAN></P>
<P class="p619 ft125"><SPAN class="ft124">(37)</SPAN><SPAN class="ft145">Medlemsstaterna bör vid behov kunna använda eller anpassa befintliga organisationsstrukturer eller strategier vid tillämpningen av detta direktiv.</SPAN></P>
<P class="p610 ft124"><SPAN class="ft132">(38)</SPAN><SPAN class="ft143">Samarbetsgruppens och Enisas respektive uppgifter är beroende av och kompletterar varandra. Enisa bör generellt bistå samarbetsgruppen i utförandet av dess uppgifter i enlighet med Enisas mål enligt Europaparlamentets och rådets förordning (EU) nr 526/2013 (</SPAN><SPAN class="ft141">1</SPAN>), nämligen att bistå unionens institutioner, organ och byråer samt medlemsstaterna med att genomföra de strategier som krävs för att uppfylla rättsliga och regleringsmässiga krav på säkerhet i nätverks- och informationssystem i befintliga och framtida unionsrättsakter. Enisa bör särskilt tillhandahålla bistånd på de områden som motsvarar dess egna uppgifter enligt förordning (EU) nr 526/2013, nämligen att analysera strategier för säkerhet i nätverks- och informationssystem, stödja anordnandet och</P>
<P class="p620 ft135">genomförandet av övningar på unionsnivå som avser säkerhet i nätverks- och informationssystem samt utbyta information och bästa praxis vad gäller åtgärder för ökad medvetenhet och utbildning. Enisa bör också delta i utarbetandet av riktlinjer för sektorsspecifika kriterier för fastställande av hur betydande en incidents inverkan är.</P>
<P class="p621 ft124">(<SPAN class="ft138">1</SPAN>) Europaparlamentets och rådets förordning (EU) nr 526/2013 av den 21 maj 2013 om Europeiska unionens byrå för nät- och informationssäkerhet (Enisa) och om upphävande av förordning (EG) nr 460/2004 (EUT L 165, 18.6.2013, s. 41).</P>
</DIV>
<DIV id="page_325">
<TABLE cellpadding=0 cellspacing=0 class="t30">
<TR>
<TD class="tr17 td83"><P class="p572 ft124">19.7.2016</P></TD>
<TD class="tr18 td84"><P class="p573 ft124">SV</P></TD>
<TD class="tr17 td85"><P class="p574 ft125">Europeiska unionens officiella tidning</P></TD>
<TD class="tr17 td86"><P class="p22 ft2">L 194/7</P></TD>
</TR>
<TR>
<TD class="tr19 td87"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td88"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td89"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td90"><P class="p22 ft126"> </P></TD>
</TR>
</TABLE>
<P class="p609 ft124"><SPAN class="ft124">(39)</SPAN><SPAN class="ft143">I syfte att främja avancerad säkerhet i nätverks- och informationssystem bör samarbetsgruppen vid behov samarbeta med berörda unionsinstitutioner, </SPAN><NOBR>-organ,</NOBR> och <NOBR>-byråer</NOBR> för att utbyta sakkunskap och bästa praxis samt ge råd om säkerhetsaspekter på nätverks- och informationssystem som kan påverka deras arbete, samtidigt som befintliga arrangemang för utbyte av konfidentiell information respekteras. Vid samarbete med rättsvårdande myndigheter om säkerhetsaspekter på nätverks- och informationssystem som kan påverka deras arbete bör samarbetsgruppen respektera befintliga informationskanaler och etablerade nätverk.</P>
<P class="p622 ft149"><SPAN class="ft124">(40)</SPAN><SPAN class="ft153">Information om incidenter blir allt mer värdefull för allmänheten och företag, särskilt små och medelstora företag. I vissa fall tillhandahålls sådan information redan via webbplatser på nationell nivå, på ett specifikt lands språk, och är främst inriktad på incidenter och händelser med en nationell dimension. Eftersom företag i allt större utsträckning bedriver gränsöverskridande verksamhet och medborgare använder onlinetjänster, bör information om incidenter tillhandahållas i samlad form på unionsnivå. </SPAN><NOBR>CSIRT-nätverkets</NOBR> sekretariat uppmuntras att upprätta en webbplats eller upplåta utrymme åt en särskild sida på en befintlig webbplats, där allmän information om allvarliga incidenter i unionen görs tillgänglig för allmänheten. Informationen ska vara särskilt inriktad på företags intressen och behov. <NOBR>CSIRT-enheter</NOBR> som deltar i <NOBR>CSIRT-nätverket</NOBR> uppmanas att på frivillig grund tillhandahålla den information som ska offentliggöras på denna webbplats, utan att därvid inkludera konfidentiell eller känslig information.</P>
<P class="p623 ft125"><SPAN class="ft124">(41)</SPAN><SPAN class="ft145">I fall då information anses vara konfidentiell enligt unionsbestämmelser och nationella bestämmelser om affärshemligheter, bör konfidentiell behandling säkerställas vid genomförande av verksamhet och uppfyllande av mål enligt detta direktiv.</SPAN></P>
<P class="p618 ft149"><SPAN class="ft124">(42)</SPAN><SPAN class="ft153">Övningar där incidentscenarier simuleras i realtid är viktiga för att testa medlemsstaternas beredskap och samarbete när det gäller säkerhet i nätverks- och informationssystem. Övningsserien CyberEurope, som samordnas av Enisa med deltagande av medlemsstaterna är ett användbart verktyg för att testa och utarbeta rekommendationer för hur incidenthanteringen på unionsnivå bör förbättras med tiden. Med tanke på att medlemsstaterna för närvarande inte har någon skyldighet att vare sig planera eller delta i övningar, bör inrättandet av </SPAN><NOBR>CSIRT-nätverket</NOBR> enligt detta direktiv göra det möjligt för medlemsstaterna att delta i övningar på grundval av noggrann planering och strategiska val. Den samarbetsgrupp som inrättas enligt detta direktiv bör diskutera de strategiska besluten om övningar, särskilt men inte enbart när det gäller övningarnas regelbundenhet och utformningen av scenarierna. Enisa bör i enlighet med sitt mandat stödja anordnandet och genomförandet av unionsomfattande övningar genom att tillhandahålla expertis och rådgivning till samarbetsgruppen och CSIRT- nätverket.</P>
<P class="p624 ft125"><SPAN class="ft124">(43)</SPAN><SPAN class="ft145">I och med att säkerhetsproblem som påverkar nätverks- och informationssystem är globala till sin natur behövs ett närmare internationellt samarbete för att förbättra säkerhetsstandarder och informationsutbyte och för att främja ett gemensamt sätt att hantera säkerhetsfrågor.</SPAN></P>
<P class="p625 ft2"><SPAN class="ft124">(44)</SPAN><SPAN class="ft151">Ansvaret för att säkerställa säkerheten i nätverks- och informationssystemen vilar i hög grad på leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster. En riskhanteringskultur, som inbegriper riskbedömning och genomförande av säkerhetsåtgärder som är anpassade till riskerna, bör främjas och utvecklas genom ändamålsenliga krav i lagstiftning och frivillig branschpraxis. Att skapa trovärdiga och lika konkurrens villkor är också avgörande för att samarbetsgruppen och </SPAN><NOBR>CSIRT-nätverket</NOBR> ska fungera effektivt och för att säkerställa ett effektivt samarbete från alla medlemsstater.</P>
<P class="p625 ft125"><SPAN class="ft124">(45)</SPAN><SPAN class="ft145">Detta direktiv är tillämpligt endast på offentliga förvaltningar vilka identifieras som leverantörer av samhällsviktiga tjänster. Det är därför medlemsstaternas ansvar att säkerställa säkerheten i nätverks- och informationssystem som används av offentliga förvaltningar som inte omfattas av detta direktiv.</SPAN></P>
<P class="p626 ft125"><SPAN class="ft124">(46)</SPAN><SPAN class="ft145">Åtgärder för riskhantering omfattar åtgärder för att identifiera alla incidentrisker, för att förebygga, upptäcka och hantera incidenter och för att begränsa deras inverkan. Säkerheten i nätverks- och informationssystem omfattar lagrade, överförda och behandlade uppgifters säkerhet.</SPAN></P>
</DIV>
<DIV id="page_326">
<TABLE cellpadding=0 cellspacing=0 class="t31">
<TR>
<TD class="tr17 td83"><P class="p22 ft125">L 194/8</P></TD>
<TD class="tr18 td84"><P class="p573 ft124">SV</P></TD>
<TD class="tr17 td78"><P class="p574 ft125">Europeiska unionens officiella tidning</P></TD>
<TD class="tr17 td91"><P class="p23 ft125">19.7.2016</P></TD>
</TR>
<TR>
<TD class="tr19 td87"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td88"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td92"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td93"><P class="p22 ft126"> </P></TD>
</TR>
</TABLE>
<P class="p627 ft125"><SPAN class="ft124">(47)</SPAN><SPAN class="ft145">Behöriga myndigheter bör behålla rätten att anta nationella riktlinjer angående de omständigheter under vilka leverantörer av samhällsviktiga tjänster är skyldiga att rapportera incidenter.</SPAN></P>
<P class="p605 ft124"><SPAN class="ft124">(48)</SPAN><SPAN class="ft143">Många företag i unionen är beroende av leverantörer av digitala tjänster för att tillhandahålla sina tjänster. Eftersom vissa digitala tjänster skulle kunna utgöra en viktig resurs för sina användare, inklusive leverantörer av samhällsviktiga tjänster, och dessa användare inte alltid har alternativ tillgängliga, bör detta direktiv också gälla för leverantörer av sådana tjänster. För många företag är säkerheten, kontinuiteten och tillförlitligheten hos den typ av digitala tjänster som avses i detta direktiv av avgörande betydelse för att företaget ska fungera väl. En störning</SPAN></P>
<P class="p628 ft124"><SPAN class="ft124">i</SPAN><SPAN class="ft155">en sådan digital tjänst kan hindra tillhandahållandet av andra tjänster som är beroende av den och därmed påverka viktig ekonomisk och samhällelig verksamhet i unionen. Sådana digitala tjänster skulle därför kunna vara av avgörande betydelse för att företag som är beroende av dem ska fungera väl och för dessa företags deltagande</SPAN></P>
<P class="p620 ft125"><SPAN class="ft125">i</SPAN><SPAN class="ft156">den inre marknaden och den gränsöverskridande handeln inom unionen. Leverantörer av digitala tjänster som omfattas av detta direktiv är sådana som anses erbjuda digitala tjänster som många företag i unionen i allt högre grad är beroende av.</SPAN></P>
<P class="p611 ft124"><SPAN class="ft124">(49)</SPAN><SPAN class="ft143">Leverantörer av digitala tjänster bör säkerställa en säkerhetsnivå som är anpassad till graden av risk för de digitala tjänster som de tillhandahåller, med beaktande av den betydelse som deras tjänster har för verksamhet som bedrivs av andra företag inom unionen. Graden av risk för leverantörer av samhällsviktiga tjänster, som ofta är viktiga för att upprätthålla kritisk samhällelig och ekonomisk verksamhet, är i praktiken högre än för leverantörer</SPAN></P>
<P class="p628 ft135">av digitala tjänster. Säkerhetskraven för leverantörer av digitala tjänster bör därför vara lindrigare. Leverantörer av digitala tjänster bör fritt kunna vidta de åtgärder som de anser lämpliga för att hantera risker för säkerheten i deras nätverks- och informationssystem. Leverantörer av digitala tjänster bör, på grund av den gränsöver skridande arten, omfattas av ett mer harmoniserat tillvägagångssätt på unionsnivå. Genomförandeakter bör underlätta fastställandet och genomförandet av sådana åtgärder.</P>
<P class="p611 ft2"><SPAN class="ft124">(50)</SPAN><SPAN class="ft151">Trots att hårdvarutillverkare och mjukvaruutvecklare varken är leverantörer av samhällsviktiga tjänster eller leverantörer av digitala tjänster, ökar deras produkter säkerheten i nätverks- och informationssystem. De spelar därför en viktig roll när det gäller att göra det möjligt för leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster att skydda sina nätverks- och informationssystem. Sådana hårdvaru- och mjukvaruprodukter omfattas redan av befintliga bestämmelser om produktansvar.</SPAN></P>
<P class="p610 ft2"><SPAN class="ft124">(51)</SPAN><SPAN class="ft151">De tekniska och organisatoriska åtgärder som leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster åläggs bör inte innebära krav på att någon särskild kommersiell informations- och kommunika tionsteknisk produkt utformas, utvecklas eller tillverkas på ett visst sätt.</SPAN></P>
<P class="p605 ft2"><SPAN class="ft124">(52)</SPAN><SPAN class="ft151">Leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster bör säkerställa säkerheten i de nätverks- och informationssystem som de använder. Det rör sig framför allt om privata nätverks- och informationssystem som antingen förvaltas av deras interna </SPAN><NOBR>it-personal</NOBR> eller vilkas säkerhet har lagts ut på entreprenad. Säkerhets- och rapporteringskraven bör gälla för relevanta leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster, oavsett om de sköter underhållet av sina nätverks- och informationssystem internt eller lägger ut uppgifterna på entreprenad.</P>
<P class="p606 ft135"><SPAN class="ft124">(53)</SPAN><SPAN class="ft154">För att undvika oproportionella finansiella och administrativa bördor för leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster bör kraven stå i proportion till den risk som det berörda nätverks- och informationssystemet utgör, med beaktande av den senaste tekniska utvecklingen. När det gäller leverantörer av digitala tjänster, bör dessa krav inte gälla för mikroföretag och små företag.</SPAN></P>
<P class="p618 ft2"><SPAN class="ft124">(54)</SPAN><SPAN class="ft151">När offentliga förvaltningar i medlemsstaterna använder tjänster som erbjuds av leverantörer av digitala tjänster, särskilt molntjänster, är det möjligt att de från leverantörerna av dessa tjänster vill kräva ytterligare säkerhets åtgärder utöver dem som leverantörer av digitala tjänster vanligtvis skulle erbjuda i överensstämmelse med kraven i detta direktiv. De bör kunna göra detta genom avtalsförpliktelser.</SPAN></P>
<P class="p629 ft125"><SPAN class="ft124">(55)</SPAN><SPAN class="ft145">Definitionerna av internetbaserade marknadsplatser, internetbaserade sökmotorer och molntjänster i detta direktiv är specifika för det här direktivet och påverkar inte andra instrument.</SPAN></P>
</DIV>
<DIV id="page_327">
<TABLE cellpadding=0 cellspacing=0 class="t30">
<TR>
<TD class="tr17 td83"><P class="p572 ft124">19.7.2016</P></TD>
<TD class="tr18 td84"><P class="p573 ft124">SV</P></TD>
<TD class="tr17 td85"><P class="p574 ft125">Europeiska unionens officiella tidning</P></TD>
<TD class="tr17 td86"><P class="p22 ft2">L 194/9</P></TD>
</TR>
<TR>
<TD class="tr19 td87"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td88"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td89"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td90"><P class="p22 ft126"> </P></TD>
</TR>
</TABLE>
<P class="p609 ft2"><SPAN class="ft124">(56)</SPAN><SPAN class="ft151">Detta direktiv bör inte hindra medlemsstaterna från att anta nationella åtgärder som innebär krav på offentliga organ att säkerställa särskilda säkerhetskrav när de sluter avtal om molntjänster. Alla sådana nationella åtgärder bör tillämpas på det berörda offentliga organet och inte på leverantören av molntjänster.</SPAN></P>
<P class="p606 ft124"><SPAN class="ft124">(57)</SPAN><SPAN class="ft143">Med tanke på de avgörande skillnaderna mellan leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster, särskilt de förstnämndas direkta koppling till fysisk infrastruktur och de senares gränsöver skridande art, bör harmoniseringsnivån för dessa två grupper av enheter i detta direktiv differentieras. Medlemsstaterna bör kunna identifiera de relevanta leverantörerna av samhällsviktiga tjänster och införa strängare krav än de som fastställs i detta direktiv. Medlemsstaterna bör inte identifiera leverantörer av digitala tjänster, eftersom detta direktiv bör gälla för alla leverantörer av digitala tjänster som omfattas av dess tillämpningsområde. Dessutom bör detta direktiv och de genomförandeakter som antas enligt detsamma säkerställa en hög harmoniseringsnivå för leverantörer av digitala tjänster med avseende på säkerhets- och rapporteringskrav. Detta</SPAN></P>
<P class="p630 ft125">bör möjliggöra en enhetlig behandling av leverantörer av digitala tjänster i hela unionen, på ett sätt som står i proportion till leverantörernas art och den grad av risk de kan utsättas för.</P>
<P class="p631 ft125"><SPAN class="ft124">(58)</SPAN><SPAN class="ft145">Utan att det påverkar medlemsstaternas skyldigheter enligt unionsrätten bör detta direktiv inte hindra medlemsstaterna från att införa säkerhets- och rapporteringskrav för enheter som inte är leverantörer av digitala tjänster inom ramen för detta direktivs tillämpningsområde.</SPAN></P>
<P class="p632 ft135"><SPAN class="ft124">(59)</SPAN><SPAN class="ft154">Behöriga myndigheter bör säkerställa att de upprätthåller informella och tillförlitliga kanaler för informationsutbyte. Vid offentliggörande av incidenter som rapporteras till de behöriga myndigheterna bör allmänhetens intresse av att få information om hot vägas mot eventuell renomméskada och kommersiell skada för de leverantörer av samhällsviktiga tjänster och de leverantörer av digitala tjänster som rapporterar incidenter. Vid genomförandet av rapporteringsskyldigheterna bör behöriga myndigheter och </SPAN><NOBR>CSIRT-enheterna</NOBR> särskilt ta hänsyn till behovet av att hålla uppgifter om produkters sårbara aspekter strikt konfidentiella till dess att lämpliga säkerhetslösningar släpps.</P>
<P class="p610 ft124"><SPAN class="ft124">(60)</SPAN><SPAN class="ft143">Leverantörer av digitala tjänster bör omfattas av mindre ingripande, reaktiv efterhandstillsyn som är anpassad till deras tjänsters och verksamheters art. Den berörda behöriga myndigheten bör därför endast vidta åtgärder när den har mottagit bevis – till exempel från leverantören av digitala tjänster själv, från en annan behörig myndighet, inbegripet en behörig myndighet i en annan medlemsstat, eller från en tjänsteanvändare – för att en leverantör av digitala tjänster inte uppfyller kraven i detta direktiv, särskilt efter en incident. Den behöriga myndigheten bör därför inte ha någon allmän skyldighet att utöva tillsyn av leverantörer av digitala tjänster.</SPAN></P>
<P class="p633 ft125"><SPAN class="ft124">(61)</SPAN><SPAN class="ft145">Behöriga myndigheter bör ha de medel som de behöver för att kunna fullgöra sina förpliktelser, inbegripet befogenhet att inhämta tillräckligt med information för att bedöma nivån på säkerheten i nätverks- och informationssystem.</SPAN></P>
<P class="p614 ft158"><SPAN class="ft124">(62)</SPAN><SPAN class="ft157">Incidenter kan vara en följd av brottslig verksamhet, vars förebyggande, utredning och lagföring stöds av samordning och samarbete mellan leverantörer av samhällsviktiga tjänster, leverantörer av digitala tjänster, behöriga myndigheter och rättsvårdande myndigheter. Om en incident misstänks ha samband med allvarlig brottslig verksamhet enligt unionsrätt eller nationell rätt, bör medlemsstaterna uppmuntra leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster att rapportera incidenter som misstänks vara av allvarlig brottslig art till de relevanta rättsvårdande myndigheterna. När så är lämpligt är det önskvärt att samordningen mellan behöriga myndigheter och rättsvårdande myndigheter i olika medlemsstater underlättas av Europeiska </SPAN><NOBR>it-brottscentrumet</NOBR> (EC3) och Enisa.</P>
<P class="p626 ft125"><SPAN class="ft124">(63)</SPAN><SPAN class="ft145">Säkerheten för personuppgifter undergrävs ofta till följd av incidenter. I detta sammanhang bör behöriga myndigheter och dataskyddsmyndigheter samarbeta och utbyta information om alla relevanta frågor för att hantera personuppgiftsincidenter till följd av incidenter.</SPAN></P>
<P class="p634 ft124"><SPAN class="ft124">(64)</SPAN><SPAN class="ft143">Jurisdiktion över leverantörer av digitala tjänster bör tillkomma den medlemsstat där den berörda leverantören av digitala tjänster har sitt huvudsakliga etableringsställe i unionen, vilket i princip motsvarar den plats där leverantören har sitt huvudkontor i unionen. Det krävs att leverantören utför en faktisk och reell verksamhet med hjälp av en stabil struktur för att den ska anses vara etablerad. Den rättsliga formen för en sådan struktur bör här, oavsett om det är en filial eller ett dotterbolag med juridisk personlighet, inte vara den avgörande faktorn. Detta</SPAN></P>
</DIV>
<DIV id="page_328">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336328x1.jpg/" id="img1">
</DIV>
<TABLE cellpadding=0 cellspacing=0 class="t31">
<TR>
<TD class="tr17 td83"><P class="p22 ft125">L 194/10</P></TD>
<TD class="tr18 td84"><P class="p573 ft124">SV</P></TD>
<TD class="tr17 td78"><P class="p574 ft125">Europeiska unionens officiella tidning</P></TD>
<TD class="tr17 td91"><P class="p23 ft125">19.7.2016</P></TD>
</TR>
<TR>
<TD class="tr19 td87"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td88"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td92"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td93"><P class="p22 ft126"> </P></TD>
</TR>
</TABLE>
<P class="p635 ft2">kriterium bör inte vara avhängigt av om nätverks- och informationssystemen är fysiskt belägna på en viss plats; att sådana system finns och används innebär inte i sig att det rör sig om ett huvudsakligt etableringsställe och utgör därför inte ett kriterium för att fastställa det huvudsakliga etableringsstället.</P>
<P class="p625 ft147"><SPAN class="ft124">(65)</SPAN><SPAN class="ft146">En leverantör av digitala tjänster som inte är etablerad i unionen men erbjuder tjänster inom unionen bör utse en företrädare. I syfte att fastställa om en sådan leverantör av digitala tjänster erbjuder tjänster inom unionen bör det</SPAN></P>
<P class="p628 ft124">kontrolleras om det är uppenbart att leverantören av digitala tjänster planerar att erbjuda tjänster till personer i en eller f lera medlemsstater. Enbart den omständigheten att en webbplats tillhörande leverantören av digitala tjänster eller en mellanhand, eller en <NOBR>e-postadress</NOBR> och andra kontaktuppgifter, är tillgängliga i unionen, eller att ett språk används som allmänt används i det tredjeland där leverantören av digitala tjänster är etablerad, är inte tillräcklig för att fastställa en sådan avsikt. Emellertid kan faktorer som att det används ett visst språk eller en viss valuta som allmänt används i en eller f lera medlemsstater med möjligheten att beställa tjänster på detta andra språk, eller att kunder eller användare i unionen omnämns, göra det uppenbart att leverantören av digitala tjänster planerar att erbjuda tjänster inom unionen. Företrädaren bör agera på leverantören av digitala tjänsters vägnar och det bör vara möjligt för behöriga myndigheter eller <NOBR>CSIRT-enheterna</NOBR> att kontakta företrädaren. Företrädaren bör utses uttryckligen genom en skriftlig fullmakt från leverantören av digitala tjänster att agera på dess vägnar med avseende på leverantörens skyldigheter enligt detta direktiv, inklusive incidentrapportering.</P>
<P class="p636 ft124"><SPAN class="ft124">(66)</SPAN><SPAN class="ft143">Standardisering av säkerhetskrav är en marknadsdriven process. För att säkerställa en enhetlig tillämpning av säkerhetsstandarder bör medlemsstaterna främja efterlevnad eller överensstämmelse med specificerade standarder för att garantera en hög nivå på säkerheten i nätverks- och informationssystem på unionsnivå. Enisa bör bistå medlemsstaterna genom rådgivning och riktlinjer. Därför kan det vara lämpligt att utarbeta harmoniserade standarder, i enlighet med Europaparlamentets och rådets förordning (EU) nr 1025/2012 (</SPAN><SPAN class="ft141">1</SPAN>).</P>
<P class="p622 ft124"><SPAN class="ft124">(67)</SPAN><SPAN class="ft143">Enheter som inte omfattas av detta direktivs tillämpningsområde kan drabbas av incidenter med en betydande inverkan på de tjänster som de tillhandahåller. Om dessa enheter anser att det ligger i allmänhetens intresse att rapportera förekomsten av sådana incidenter till de berörda myndigheterna i medlemsstaterna, bör de kunna göra det på frivillig grund. Sådana rapporter bör behandlas av den behöriga myndigheten eller </SPAN><NOBR>CSIRT-enheten</NOBR> förutsatt att behandlingen inte utgör en oproportionell eller orimlig börda för de berörda medlemsstaterna.</P>
<P class="p613 ft135"><SPAN class="ft124">(68)</SPAN><SPAN class="ft154">För att säkerställa enhetliga villkor för genomförandet av detta direktiv bör kommissionen tilldelas genomförande befogenheter för att fastställa de förfaranden som krävs för samarbetsgruppens verksamhet och de säkerhets- och rapporteringskrav som är tillämpliga på leverantörer av digitala tjänster. Dessa befogenheter bör utövas i enlighet med Europaparlamentets och rådets förordning (EU) nr 182/2011 (</SPAN><SPAN class="ft131">2</SPAN>). När kommissionen antar genomförandeakter om de förfaranden som krävs för samarbetsgruppens verksamhet bör den ta största hänsyn till yttrandet från Enisa.</P>
<P class="p636 ft124"><SPAN class="ft124">(69)</SPAN><SPAN class="ft143">När kommissionen antar genomförandeakter om säkerhetskraven för leverantörer av digitala tjänster bör den ta största hänsyn till yttrandet från Enisa och samråda med berörda parter. Kommissionen uppmuntras dessutom att beakta följande exempel: när det gäller systems och anläggningars säkerhet: fysisk säkerhet och miljösäkerhet, funktionssäkerhet, kontroll av åtkomst till nätverks- och informationssystem samt nätverks- och informations systemens integritet; när det gäller incidenthantering: incidenthanteringsförfaranden, kapacitet att upptäcka incidenter, incidentrapportering och kommunikation; när det gäller driftskontinuitetshantering: strategier för tjänstekontinuitet samt beredskapsplaner, kapacitet för katastrofberedskap; när det gäller övervakning, revision och testning: strategier för övervakning och loggning, beredskapsövningar, testning av nätverks- och informationssystem, säkerhetsbedömningar och övervakning av efterlevnaden.</SPAN></P>
<P class="p622 ft2"><SPAN class="ft124">(70)</SPAN><SPAN class="ft151">Vid genomförandet av detta direktiv bör kommissionen på lämpligt sätt samarbeta med relevanta sektorskommittéer och organ som inrättas på unionsnivå inom de områden som omfattas av detta direktiv.</SPAN></P>
<P class="p637 ft159">(<SPAN class="ft138">1</SPAN>) Europaparlamentets och rådets förordning (EU) nr 1025/2012 av den 25 oktober 2012 om europeisk standardisering och om ändring av rådets direktiv 89/686/EEG och 93/15/EEG samt av Europaparlamentets och rådets direktiv 94/9/EG, 94/25/EG, 95/16/EG, 97/23/EG, 98/34/EG, 2004/22/EG, 2007/23/EG, 2009/23/EG och 2009/105/EG samt om upphävande av rådets beslut 87/95/EEG och Europaparlamentets och rådets beslut 1673/2006/EG (EUT L 316, 14.11.2012, s. 12).</P>
<P class="p638 ft140">(<SPAN class="ft139">2</SPAN>) Europaparlamentets och rådets förordning (EU) nr 182/2011 av den 16 februari 2011 om fastställande av allmänna regler och principer för medlemsstaternas kontroll av kommissionens utövande av sina genomförandebefogenheter (EUT L 55, 28.2.2011, s. 13).</P>
</DIV>
<DIV id="page_329">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336329x1.jpg/" id="img1">
</DIV>
<TABLE cellpadding=0 cellspacing=0 class="t30">
<TR>
<TD class="tr17 td83"><P class="p572 ft124">19.7.2016</P></TD>
<TD class="tr18 td84"><P class="p573 ft124">SV</P></TD>
<TD class="tr17 td94"><P class="p574 ft125">Europeiska unionens officiella tidning</P></TD>
<TD class="tr17 td95"><P class="p22 ft2">L 194/11</P></TD>
</TR>
<TR>
<TD class="tr19 td87"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td88"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td96"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td97"><P class="p22 ft126"> </P></TD>
</TR>
</TABLE>
<P class="p598 ft125"><SPAN class="ft124">(71)</SPAN><SPAN class="ft145">Detta direktiv bör med jämna mellanrum ses över av kommissionen i samråd med berörda parter, främst i syfte att avgöra behovet av ändringar med hänsyn till samhällsutvecklingen, den politiska utvecklingen, den tekniska utvecklingen eller ändrade marknadsvillkor.</SPAN></P>
<P class="p639 ft124"><SPAN class="ft124">(72)</SPAN><SPAN class="ft143">Utbytet av information om risker och incidenter inom samarbetsgruppen och </SPAN><NOBR>CSIRT-nätverket</NOBR> och uppfyllandet av kravet att rapportera incidenter till de behöriga nationella myndigheterna eller <NOBR>CSIRT-enheterna</NOBR> kan kräva behandling av personuppgifter. Sådan behandling bör ske i enlighet med Europaparlamentets och rådets direktiv 95/46/EG (<SPAN class="ft141">1</SPAN>) och Europaparlamentets och rådets förordning (EG) nr 45/2001 (<SPAN class="ft141">2</SPAN>). Vid tillämpningen av detta direktiv bör Europaparlamentets och rådets förordning (EG) nr 1049/2001 (<SPAN class="ft141">3</SPAN>) tillämpas där så är lämpligt.</P>
<P class="p640 ft125"><SPAN class="ft124">(73)</SPAN><SPAN class="ft145">Europeiska datatillsynsmannen har hörts i enlighet med artikel 28.2 i förordning (EG) nr 45/2001 och avgav ett yttrande den 14 juni 2013 (</SPAN><SPAN class="ft131">4</SPAN>).</P>
<P class="p586 ft124"><SPAN class="ft124">(74)</SPAN><SPAN class="ft143">Eftersom målet för detta direktiv, nämligen att uppnå en hög gemensam nivå på säkerheten i nätverks- och informationssystem i unionen, inte i tillräcklig utsträckning kan uppnås av medlemsstaterna utan snarare, på grund av åtgärdens verkningar, kan uppnås bättre på unionsnivå, kan unionen vidta åtgärder i enlighet med subsidiaritetsprincipen i artikel 5 i fördraget om Europeiska unionen. I enlighet med proportionalitetsprincipen i samma artikel går detta direktiv inte utöver vad som är nödvändigt för att uppnå detta mål.</SPAN></P>
<P class="p599 ft124"><SPAN class="ft124">(75)</SPAN><SPAN class="ft143">Detta direktiv respekterar de grundläggande rättigheterna och iakttar de principer som erkänns i Europeiska unionens stadga om de grundläggande rättigheterna, i synnerhet rätten till respekt för privatliv och kommunikationer, skydd av personuppgifter, näringsfriheten, rätten till egendom, rätten till ett effektivt rättsmedel och rätten att yttra sig. Detta direktiv bör genomföras i enlighet med dessa rättigheter och principer.</SPAN></P>
<P class="p641 ft124">HÄRIGENOM FÖRESKRIVS FÖLJANDE.</P>
<P class="p642 ft124">KAPITEL I</P>
<P class="p643 ft160">ALLMÄNNA BESTÄMMELSER</P>
<P class="p644 ft128">Artikel 1</P>
<P class="p645 ft130">Syfte och tillämpningsområde</P>
<P class="p646 ft125"><SPAN class="ft124">1.</SPAN><SPAN class="ft161">I detta direktiv fastställs åtgärder för att uppnå en hög gemensam nivå på säkerhet i nätverks- och informationssystem inom unionen, i syfte att förbättra den inre marknadens funktion.</SPAN></P>
<P class="p647 ft125"><SPAN class="ft124">2.</SPAN><SPAN class="ft161">Direktivet omfattar i detta syfte följande:</SPAN></P>
<P class="p648 ft125"><SPAN class="ft132">a)</SPAN><SPAN class="ft162">Det fastställer skyldigheter för alla medlemsstater att anta en nationell strategi för säkerhet i nätverks- och informationssystem.</SPAN></P>
<P class="p649 ft125"><SPAN class="ft124">b)</SPAN><SPAN class="ft163">Det inrättar en samarbetsgrupp i syfte att stödja och underlätta strategiskt samarbete och utbyte av information mellan medlemsstaterna och att utveckla förtroende och tillit mellan dem.</SPAN></P>
<P class="p650 ft125"><SPAN class="ft132">c)</SPAN><SPAN class="ft164">Det inrättar ett nätverk för enheter för hantering av </SPAN><NOBR>it-säkerhetsincidenter</NOBR> (nedan kallat <NOBR><SPAN class="ft128">CSIRT-nätverket</SPAN>)</NOBR> i syfte att bidra till utvecklingen av förtroende och tillit mellan medlemsstaterna och främja ett snabbt och effektivt operativt samarbete.</P>
<P class="p651 ft144">(<SPAN class="ft138">1</SPAN>) Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria f lödet av sådana uppgifter (EGT L 281, 23.11.1995, s. 31).</P>
<P class="p589 ft140">(<SPAN class="ft139">2</SPAN>) Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutio nerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter (EGT L 8, 12.1.2001, s. 1).</P>
<P class="p597 ft159">(<SPAN class="ft138">3</SPAN>) Europaparlamentets och rådets förordning (EG) nr 1049/2001 av den 30 maj 2001 om allmänhetens tillgång till Europaparlamentets, rådets och kommissionens handlingar (EGT L 145, 31.5.2001, s. 43).</P>
<P class="p652 ft124">(<SPAN class="ft138">4</SPAN>) EUT C 32, 4.2.2014, s. 19.</P>
</DIV>
<DIV id="page_330">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336330x1.jpg/" id="img1">
</DIV>
<TABLE cellpadding=0 cellspacing=0 class="t31">
<TR>
<TD class="tr17 td83"><P class="p22 ft125">L 194/12</P></TD>
<TD class="tr18 td84"><P class="p573 ft124">SV</P></TD>
<TD class="tr17 td78"><P class="p574 ft125">Europeiska unionens officiella tidning</P></TD>
<TD class="tr17 td91"><P class="p23 ft125">19.7.2016</P></TD>
</TR>
<TR>
<TD class="tr19 td87"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td88"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td92"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td93"><P class="p22 ft126"> </P></TD>
</TR>
</TABLE>
<P class="p653 ft125"><SPAN class="ft132">d)</SPAN><SPAN class="ft162">Det fastställer säkerhets- och rapporteringskrav för leverantörer av samhällsviktiga tjänster och för leverantörer av digitala tjänster.</SPAN></P>
<P class="p649 ft125"><SPAN class="ft165">e)</SPAN><SPAN class="ft164">Det fastställer skyldigheter för medlemsstaterna att utse nationella behöriga myndigheter, gemensamma kontaktpunkter och </SPAN><NOBR>CSIRT-enheter</NOBR> med uppgifter som har anknytning till säkerheten i nätverks- och informationssystem.</P>
<TABLE cellpadding=0 cellspacing=0 class="t32">
<TR>
<TD class="tr2 td1"><P class="p22 ft125">3.</P></TD>
<TD class="tr2 td12"><P class="p40 ft124">Säkerhets-</P></TD>
<TD class="tr2 td98"><P class="p22 ft125">och</P></TD>
<TD class="tr2 td99"><P class="p654 ft124">rapporteringskraven enligt detta direktiv ska inte</P></TD>
<TD class="tr2 td44"><P class="p22 ft2">tillämpas på</P></TD>
<TD class="tr2 td13"><P class="p654 ft124">företag</P></TD>
<TD class="tr2 td22"><P class="p22 ft125">som</P></TD>
<TD class="tr2 td100"><P class="p22 ft125">omfattas</P></TD>
<TD class="tr2 td101"><P class="p22 ft125">av</P></TD>
<TD class="tr2 td102"><P class="p22 ft124">kraven</P></TD>
</TR>
<TR>
<TD colspan=2 class="tr7 td103"><P class="p22 ft158">i artiklarna 13a</P></TD>
<TD class="tr7 td98"><P class="p655 ft158">och</P></TD>
<TD class="tr7 td99"><P class="p654 ft149">13b i direktiv 2002/21/EG eller på leverantörer</P></TD>
<TD class="tr7 td44"><P class="p22 ft158">av betrodda</P></TD>
<TD class="tr7 td13"><P class="p654 ft124">tjänster</P></TD>
<TD class="tr7 td22"><P class="p22 ft158">som</P></TD>
<TD class="tr7 td100"><P class="p22 ft158">omfattas</P></TD>
<TD class="tr7 td101"><P class="p22 ft158">av</P></TD>
<TD class="tr7 td102"><P class="p22 ft124">kraven</P></TD>
</TR>
<TR>
<TD colspan=4 class="tr20 td18"><P class="p22 ft125">i artikel 19 i förordning (EU) nr 910/2014.</P></TD>
<TD class="tr20 td44"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td13"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td22"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td100"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td101"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td102"><P class="p22 ft166"> </P></TD>
</TR>
</TABLE>
<P class="p656 ft125"><SPAN class="ft124">4.</SPAN><SPAN class="ft161">Detta direktiv påverkar inte tillämpningen av rådets direktiv 2008/114/EG (</SPAN><SPAN class="ft131">1</SPAN>) eller Europaparlamentets och rådets direktiv 2011/93/EU (<SPAN class="ft131">2</SPAN>) och 2013/40/EU (<SPAN class="ft131">3</SPAN>).</P>
<P class="p657 ft2"><SPAN class="ft124">5.</SPAN><SPAN class="ft167">Utan att det påverkar tillämpningen av artikel 346 i </SPAN><NOBR>EUF-fördraget</NOBR> får information som är konfidentiell enligt uni onsbestämmelser och nationella bestämmelser, såsom bestämmelser om affärshemligheter, utbytas med kommissionen och andra relevanta myndigheter endast när sådant utbyte är nödvändigt för att tillämpa detta direktiv. Den information som utbyts ska begränsas till vad som är relevant och proportionellt för ändamålet med utbytet. Vid sådant utbyte ska informationens konfidentialitet bevaras och säkerhetsintressen och kommersiella intressen hos leverantörer av såväl samhällsviktiga tjänster som digitala tjänster skyddas.</P>
<P class="p658 ft135"><SPAN class="ft124">6.</SPAN><SPAN class="ft168">Detta direktiv påverkar inte medlemsstaternas åtgärder för att skydda sina väsentliga statliga funktioner, särskilt för att skydda den nationella säkerheten, inklusive åtgärder för skydd av information vars avslöjande medlemsstaterna anser strida mot sina väsentliga säkerhetsintressen, och för att upprätthålla lag och ordning, särskilt för att möjliggöra utredning, upptäckt och lagföring av brott.</SPAN></P>
<P class="p659 ft2"><SPAN class="ft124">7.</SPAN><SPAN class="ft167">Om det i en sektorsspecifik unionsrättsakt föreskrivs krav på att leverantörer av samhällsviktiga tjänster eller leverantörer av digitala tjänster antingen ska säkerställa säkerheten i sina nätverks- och informationssystem eller rapportera incidenter, ska bestämmelserna i den sektorsspecifika unionsrättsakten tillämpas, förutsatt att verkan av kraven i fråga minst motsvarar verkan av skyldigheterna i detta direktiv.</SPAN></P>
<P class="p660 ft128">Artikel 2</P>
<P class="p661 ft130">Behandling av personuppgifter</P>
<P class="p647 ft125"><SPAN class="ft124">1.</SPAN><SPAN class="ft161">Behandling av personuppgifter enligt detta direktiv ska ske i enlighet med direktiv 95/46/EG.</SPAN></P>
<P class="p656 ft125">2. Behandling av personuppgifter som utförs av unionens institutioner och organ enligt detta direktiv ska ske i enlighet med förordning (EG) nr 45/2001.</P>
<P class="p660 ft128">Artikel 3</P>
<P class="p662 ft130">Minimiharmonisering</P>
<P class="p663 ft125">Utan att det påverkar tillämpningen av artikel 16.10 eller medlemsstaternas skyldigheter enligt unionsrätten får medlemsstaterna anta eller behålla bestämmelser som syftar till att uppnå en högre nivå på säkerheten i nätverks- och informationssystem.</P>
<P class="p664 ft144">(<SPAN class="ft138">1</SPAN>) Rådets direktiv 2008/114/EG av den 8 december 2008 om identifiering av, och klassificering som, europeisk kritisk infrastruktur och bedömning av behovet att stärka skyddet av denna (EUT L 345, 23.12.2008, s. 75).</P>
<P class="p665 ft140">(<SPAN class="ft139">2</SPAN>) Europaparlamentets och rådets direktiv 2011/93/EU av den 13 december 2011 om bekämpande av sexuella övergrepp mot barn, sexuell exploatering av barn och barnpornografi samt om ersättande av rådets rambeslut 2004/68/RIF (EUT L 335, 17.12.2011, s. 1).</P>
<P class="p666 ft124">(<SPAN class="ft138">3</SPAN>) Europaparlamentets och rådets direktiv 2013/40/EU av den 12 augusti 2013 om angrepp mot informationssystem och om ersättande av rådets rambeslut 2005/222/RIF (EUT L 218, 14.8.2013, s. 8).</P>
</DIV>
<DIV id="page_331">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336331x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t30">
<TR>
<TD class="tr17 td83"><P class="p572 ft124">19.7.2016</P></TD>
<TD class="tr18 td84"><P class="p573 ft124">SV</P></TD>
<TD class="tr17 td94"><P class="p574 ft125">Europeiska unionens officiella tidning</P></TD>
<TD class="tr17 td95"><P class="p22 ft2">L 194/13</P></TD>
</TR>
<TR>
<TD class="tr19 td87"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td88"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td96"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td97"><P class="p22 ft126"> </P></TD>
</TR>
</TABLE>
<P class="p667 ft128">Artikel 4</P>
<P class="p668 ft130">Definitioner</P>
<P class="p669 ft125">I detta direktiv avses med</P>
<P class="p670 ft128"><SPAN class="ft124">1.</SPAN><SPAN class="ft169">nätverks- och informationssystem</SPAN><SPAN class="ft125">:</SPAN></P>
<P class="p671 ft125"><SPAN class="ft132">a)</SPAN><SPAN class="ft162">ett elektroniskt kommunikationsnät enligt artikel 2 a i direktiv 2002/21/EG,</SPAN></P>
<P class="p672 ft125"><SPAN class="ft124">b)</SPAN><SPAN class="ft163">en enhet eller en grupp enheter som är sammankopplade eller hör samman med varandra, av vilka en eller f lera genom ett program utför automatisk behandling av digitala uppgifter, eller</SPAN></P>
<P class="p673 ft125"><SPAN class="ft132">c)</SPAN><SPAN class="ft164">digitala uppgifter som lagras, behandlas, hämtas eller överförs med sådana hjälpmedel som omfattas av leden a och b för att de ska kunna drivas, användas, skyddas och underhållas,</SPAN></P>
<P class="p674 ft135"><SPAN class="ft124">2.</SPAN><SPAN class="ft170">säkerhet i nätverks- och informationssystem</SPAN>: nätverks- och informationssystems förmåga att vid en viss tillförlitlig hetsnivå motstå åtgärder som undergräver tillgängligheten, riktigheten, integriteten eller konfidentialiteten hos lagrade eller överförda eller behandlade uppgifter eller hos de besläktade tjänster som erbjuds genom eller är tillgängliga via dessa nätverks- och informationssystem,</P>
<P class="p675 ft128"><SPAN class="ft124">3.</SPAN><SPAN class="ft169">nationell strategi för säkerheten i nätverks- och informationssystem</SPAN><SPAN class="ft125">: en ram med strategiska mål och prioriteringar för säkerhet i nätverks- och informationssystem på nationell nivå,</SPAN></P>
<P class="p676 ft125"><SPAN class="ft124">4.</SPAN><SPAN class="ft169">leverantör av samhällsviktiga tjänster</SPAN>: en offentlig eller privat enhet av en typ som avses i bilaga II vilken uppfyller kriterierna i artikel 5.2,</P>
<P class="p676 ft125"><SPAN class="ft124">5.</SPAN><SPAN class="ft169">digital tjänst</SPAN>: en tjänst i den mening som avses i artikel 1.1 b i Europaparlamentets och rådets direktiv (EU) 2015/1535 (<SPAN class="ft131">1</SPAN>) av en typ som anges i bilaga III,</P>
<P class="p677 ft125"><SPAN class="ft124">6.</SPAN><SPAN class="ft169">leverantör av digitala tjänster</SPAN>: en juridisk person som tillhandahåller en digital tjänst,</P>
<P class="p670 ft125"><SPAN class="ft124">7.</SPAN><SPAN class="ft169">incident</SPAN>: en händelse med en faktisk negativ inverkan på säkerheten i nätverks- och informationssystem,</P>
<P class="p675 ft125"><SPAN class="ft124">8.</SPAN><SPAN class="ft169">incidenthantering</SPAN>: alla förfaranden som stöder upptäckt, analys och begränsning av en incident och åtgärder mot en incident,</P>
<P class="p678 ft125">9. <SPAN class="ft128">risk</SPAN>: en rimligen identifierbar omständighet eller händelse med en potentiell negativ inverkan på säkerheten i nätverks- och informationssystem,</P>
<P class="p679 ft135"><SPAN class="ft124">10.</SPAN><SPAN class="ft170">företrädare</SPAN>: en i unionen etablerad fysisk eller juridisk person som uttryckligen har utsetts att agera för en leverantör av digitala tjänster som inte är etablerad i unionen, till vilken en behörig nationell myndighet eller en <NOBR>CSIRT-enhet</NOBR> kan vända sig, i stället för till leverantören av digitala tjänster, i frågor som gäller de skyldigheter som leverantören av digitala tjänster har enligt detta direktiv,</P>
<P class="p680 ft125"><SPAN class="ft124">11.</SPAN><SPAN class="ft169">standard</SPAN>: en standard i den mening som avses i artikel 2.1 i förordning (EU) nr 1025/2012,</P>
<P class="p681 ft125"><SPAN class="ft124">12.</SPAN><SPAN class="ft169">specifikation</SPAN>: en teknisk specifikation i den mening som avses i artikel 2.4 i förordning (EU) nr 1025/2012,</P>
<P class="p682 ft124"><SPAN class="ft124">13.</SPAN><SPAN class="ft171">internetknutpunkt (IXP)</SPAN>: en nätfacilitet som möjliggör sammankoppling av mer än två oberoende autonoma system, främst i syfte att underlätta utbytet av internettrafik; en IXP tillhandahåller sammankoppling enbart för autonoma system och kräver inte att den internettrafik som passerar mellan två deltagande autonoma system passerar genom ett tredje autonomt system och ändrar inte heller trafiken eller påverkar den på något annat sätt,</P>
<P class="p683 ft125"><SPAN class="ft124">14.</SPAN><SPAN class="ft169">domännamnssystem (DNS)</SPAN>: ett hierarkiskt, distribuerat namngivningssystem i ett nätverk som hanterar domännamnsförfrågningar,</P>
</DIV>
<DIV id="id_2">
<P class="p684 ft124">(<SPAN class="ft138">1</SPAN>) Europaparlamentets och rådets direktiv (EU) 2015/1535 av den 9 september 2015 om ett informationsförfarande beträffande tekniska föreskrifter och beträffande föreskrifter för informationssamhällets tjänster (EUT L 241, 17.9.2015, s. 1).</P>
</DIV>
</DIV>
<DIV id="page_332">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336332x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t31">
<TR>
<TD class="tr17 td83"><P class="p22 ft125">L 194/14</P></TD>
<TD class="tr18 td84"><P class="p573 ft124">SV</P></TD>
<TD class="tr17 td78"><P class="p574 ft125">Europeiska unionens officiella tidning</P></TD>
<TD class="tr17 td91"><P class="p23 ft125">19.7.2016</P></TD>
</TR>
<TR>
<TD class="tr19 td87"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td88"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td92"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td93"><P class="p22 ft126"> </P></TD>
</TR>
</TABLE>
<P class="p685 ft125"><SPAN class="ft124">15.</SPAN><SPAN class="ft169">leverantör av </SPAN><NOBR><SPAN class="ft128">DNS-tjänst</SPAN>:</NOBR> en enhet som tillhandahåller <NOBR>DNS-tjänster</NOBR> på internet,</P>
<P class="p686 ft125"><SPAN class="ft124">16.</SPAN><SPAN class="ft169">registreringsenhet för toppdomäner</SPAN>: en enhet som administrerar och förvaltar registreringen av internetdomännamn under en specifik toppdomän,</P>
<P class="p687 ft135"><SPAN class="ft124">17.</SPAN><SPAN class="ft170">internetbaserad marknadsplats</SPAN>: en digital tjänst som gör det möjligt för konsumenter och/eller näringsidkare enligt definitionen i artikel 4.1 a respektive 4.1 b i Europaparlamentets och rådets direktiv 2013/11/EU (<SPAN class="ft131">1</SPAN>) att ingå internetbaserade köpeavtal eller tjänsteavtal med näringsidkare antingen på webbplatsen för den internetbaserade marknadsplatsen eller på en webbplats tillhörande en näringsidkare där datatjänster som tillhandahålls av en internetbaserad marknadsplats används,</P>
<P class="p679 ft135"><SPAN class="ft124">18.</SPAN><SPAN class="ft170">internetbaserad sökmotor</SPAN>: en digital tjänst som gör det möjligt för användare att göra sökningar på i princip alla webbplatser eller webbplatser på ett visst språk på grundval av en förfrågan om vilket ämne som helst i form av ett nyckelord, en fras eller annan inmatning och som returnerar länkar som innehåller information om det begärda innehållet,</P>
<P class="p688 ft125"><SPAN class="ft124">19.</SPAN><SPAN class="ft169">molntjänster</SPAN>: en digital tjänst som möjliggör tillgång till en skalbar och elastisk pool av delbara dataresurser.</P>
<P class="p660 ft128">Artikel 5</P>
<P class="p689 ft130">Identifiering av leverantörer av samhällsviktiga tjänster</P>
<P class="p656 ft125"><SPAN class="ft124">1.</SPAN><SPAN class="ft161">Senast den 9 november 2018 ska medlemsstaterna, för varje sektor och delsektor som avses i bilaga II, identifiera de leverantörer av samhällsviktiga tjänster som är etablerade på deras territorium.</SPAN></P>
<P class="p690 ft125"><SPAN class="ft124">2.</SPAN><SPAN class="ft161">Kriterierna för identifiering av leverantörer av samhällsviktiga tjänster enligt artikel 4.4 ska vara följande:</SPAN></P>
<P class="p649 ft125"><SPAN class="ft132">a)</SPAN><SPAN class="ft162">En enhet tillhandahåller en tjänst som är viktig för att upprätthålla kritisk samhällelig och/eller ekonomisk verksamhet,</SPAN></P>
<P class="p691 ft125"><SPAN class="ft124">b)</SPAN><SPAN class="ft163">tillhandahållandet av denna tjänst är beroende av nätverks- och informationssystem, och</SPAN></P>
<P class="p688 ft125"><SPAN class="ft132">c)</SPAN><SPAN class="ft164">en incident skulle medföra en betydande störning vid tillhandahållandet av tjänsten.</SPAN></P>
<P class="p692 ft125"><SPAN class="ft124">3.</SPAN><SPAN class="ft161">Med avseende på tillämpningen av punkt 1 ska varje medlemsstat upprätta en förteckning över de tjänster som avses i punkt 2 a.</SPAN></P>
<P class="p693 ft125"><SPAN class="ft124">4.</SPAN><SPAN class="ft161">Med avseende på tillämpningen av punkt 1 gäller att om en enhet tillhandahåller en tjänst som avses i punkt 2 a i två eller flera medlemsstater, ska dessa medlemsstater samråda med varandra. Detta samråd ska äga rum innan ett beslut om identifiering fattas.</SPAN></P>
<P class="p694 ft125"><SPAN class="ft124">5.</SPAN><SPAN class="ft161">Medlemsstaterna ska regelbundet och minst vartannat år efter den 9 maj 2018 se över och vid behov uppdatera förteckningen över identifierade leverantörer av samhällsviktiga tjänster.</SPAN></P>
<P class="p695 ft125"><SPAN class="ft124">6.</SPAN><SPAN class="ft161">Samarbetsgruppens roll ska, i överensstämmelse med de uppgifter som anges i artikel 11, vara att hjälpa medlemsstaterna att tillämpa ett enhetligt tillvägagångssätt i förfarandet för identifiering av leverantörer av samhällsviktiga tjänster.</SPAN></P>
<P class="p696 ft2"><SPAN class="ft124">7.</SPAN><SPAN class="ft167">Med avseende på den översyn som avses i artikel 23 ska medlemsstaterna, senast den 9 november 2018 och därefter vartannat år, tillhandahålla kommissionen den information som är nödvändig för att kommissionen ska kunna bedöma genomförandet av detta direktiv, särskilt enhetligheten i medlemsstaternas tillvägagångssätt för identifiering av leverantörer av samhällsviktiga tjänster. Denna information ska omfatta åtminstone</SPAN></P>
<P class="p697 ft125">a) nationella åtgärder som gör det möjligt att identifiera leverantörer av samhällsviktiga tjänster,</P>
</DIV>
<DIV id="id_2">
<P class="p684 ft140">(<SPAN class="ft139">1</SPAN>) Europaparlamentets och rådets direktiv 2013/11/EU av den 21 maj 2013 om alternativ tvistlösning vid konsumenttvister och om ändring av förordning (EG) nr 2006/2004 och direktiv 2009/22/EG (direktivet om alternativ tvistlösning) (EUT L 165, 18.6.2013, s. 63).</P>
</DIV>
</DIV>
<DIV id="page_333">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t30">
<TR>
<TD class="tr17 td83"><P class="p572 ft124">19.7.2016</P></TD>
<TD class="tr18 td84"><P class="p573 ft124">SV</P></TD>
<TD class="tr17 td94"><P class="p574 ft125">Europeiska unionens officiella tidning</P></TD>
<TD class="tr17 td95"><P class="p22 ft2">L 194/15</P></TD>
</TR>
<TR>
<TD class="tr19 td87"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td88"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td96"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td97"><P class="p22 ft126"> </P></TD>
</TR>
</TABLE>
<P class="p685 ft125"><SPAN class="ft124">b)</SPAN><SPAN class="ft163">den förteckning över tjänster som avses i punkt 3,</SPAN></P>
<P class="p698 ft125"><SPAN class="ft132">c)</SPAN><SPAN class="ft164">det antal leverantörer av samhällsviktiga tjänster som har identifierats för varje sektor som avses i bilaga II samt en uppgift om deras betydelse för den sektorn,</SPAN></P>
<P class="p699 ft125"><SPAN class="ft132">d)</SPAN><SPAN class="ft162">tröskelvärden, om sådana finns, för att fastställa den relevanta leveransnivån med hänvisning till det antal användare som är beroende av tjänsten i enlighet med artikel 6.1 a eller till betydelsen av den specifika leverantören av samhällsviktiga tjänster i enlighet med artikel 6.1 f.</SPAN></P>
<P class="p700 ft2">I syfte att bidra till tillhandahållandet av jämförbar information får kommissionen, med största hänsyn till yttrandet från Enisa, anta lämpliga tekniska riktlinjer om parametrar för den information som avses i denna punkt.</P>
<P class="p701 ft128">Artikel 6</P>
<P class="p702 ft130">Betydande störning</P>
<P class="p703 ft125">1. När medlemsstaterna fastställer om en störning är betydande enligt artikel 5.2 c, ska de beakta åtminstone följande sektorsöverskridande faktorer:</P>
<P class="p680 ft125"><SPAN class="ft132">a)</SPAN><SPAN class="ft162">Det antal användare som är beroende av den tjänst som den berörda enheten tillhandahåller.</SPAN></P>
<P class="p681 ft125"><SPAN class="ft124">b)</SPAN><SPAN class="ft163">Hur beroende andra sektorer enligt bilaga II är av den tjänst som enheten tillhandahåller.</SPAN></P>
<P class="p698 ft125"><SPAN class="ft132">c)</SPAN><SPAN class="ft164">Vilken inverkan incidenter skulle kunna ha på ekonomisk och samhällelig verksamhet eller allmän säkerhet, uttryckt i grad och varaktighet.</SPAN></P>
<P class="p680 ft125"><SPAN class="ft132">d)</SPAN><SPAN class="ft162">Enhetens marknadsandel.</SPAN></P>
<P class="p681 ft125"><SPAN class="ft165">e)</SPAN><SPAN class="ft164">Hur stort geografiskt område som skulle kunna påverkas av en incident.</SPAN></P>
<P class="p698 ft125"><SPAN class="ft125">f)</SPAN><SPAN class="ft172">Enhetens betydelse för upprätthållandet av en tillräcklig tjänstenivå, med beaktande av tillgången till alternativa sätt för att tillhandahålla tjänsten.</SPAN></P>
<P class="p704 ft125">2. För att fastställa huruvida en incident skulle medföra en betydande störning ska medlemsstaterna även, i lämpliga fall, beakta sektorsspecifika faktorer.</P>
<P class="p705 ft124">KAPITEL II</P>
<P class="p706 ft160">NATIONELLA RAMAR FÖR SÄKERHETEN I NÄTVERKS- OCH INFORMATIONSSYSTEM</P>
<P class="p644 ft128">Artikel 7</P>
<P class="p707 ft130">Nationell strategi för säkerhet i nätverks- och informationssystem</P>
<P class="p663 ft135">1. Varje medlemsstat ska anta en nationell strategi för säkerhet i nätverks- och informationssystem som fastställer strategiska mål och lämpliga politiska åtgärder och lagstiftningsåtgärder för att uppnå och bibehålla en hög nivå på säkerheten i nätverks- och informationssystem och som täcker åtminstone de sektorer som avses i bilaga II och de tjänster som avses i bilaga III. Den nationella strategin för säkerhet i nätverks- och informationssystem ska i synnerhet omfatta följande:</P>
</DIV>
<DIV id="id_2">
<P class="p4 ft125">a) Målen och prioriteringarna i den nationella strategin för säkerhet i nätverks- och informationssystem.</P>
</DIV>
</DIV>
<DIV id="page_334">
<TABLE cellpadding=0 cellspacing=0 class="t31">
<TR>
<TD class="tr17 td83"><P class="p22 ft125">L 194/16</P></TD>
<TD class="tr18 td84"><P class="p573 ft124">SV</P></TD>
<TD class="tr17 td78"><P class="p574 ft125">Europeiska unionens officiella tidning</P></TD>
<TD class="tr17 td91"><P class="p23 ft125">19.7.2016</P></TD>
</TR>
<TR>
<TD class="tr19 td87"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td88"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td92"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td93"><P class="p22 ft126"> </P></TD>
</TR>
</TABLE>
<P class="p708 ft2"><SPAN class="ft124">b)</SPAN><SPAN class="ft173">En styrningsram för att uppnå målen och prioriteringarna i den nationella strategin för säkerhet i nätverks- och informationssystem, inklusive offentliga organs och andra berörda aktörers roller och ansvarsområden.</SPAN></P>
<P class="p680 ft125"><SPAN class="ft132">c)</SPAN><SPAN class="ft164">Identifiering av </SPAN><NOBR>beredskaps-,</NOBR> svars- och återhämtningsåtgärder, inklusive samarbete mellan offentlig och privat sektor.</P>
<P class="p650 ft125"><SPAN class="ft132">d)</SPAN><SPAN class="ft162">Uppgift om program för utbildning och åtgärder för ökad medvetenhet rörande den nationella strategin för säkerhet i nätverks- och informationssystem.</SPAN></P>
<P class="p649 ft125"><SPAN class="ft165">e)</SPAN><SPAN class="ft164">Uppgift om forsknings- och utvecklingsplaner rörande den nationella strategin för säkerhet i nätverks- och informationssystem.</SPAN></P>
<P class="p691 ft125"><SPAN class="ft125">f)</SPAN><SPAN class="ft172">En riskbedömningsplan för identifiering av risker.</SPAN></P>
<P class="p650 ft125"><SPAN class="ft132">g)</SPAN><SPAN class="ft162">En förteckning över de olika aktörer som deltar i genomförandet av den nationella strategin för säkerhet i nätverks- och informationssystem.</SPAN></P>
<P class="p709 ft125"><SPAN class="ft124">2.</SPAN><SPAN class="ft161">Medlemsstaterna får begära Enisas bistånd vid utarbetandet av nationella strategier för säkerhet i nätverks- och informationssystem.</SPAN></P>
<P class="p710 ft125"><SPAN class="ft124">3.</SPAN><SPAN class="ft161">Medlemsstaterna ska underrätta kommissionen om sina nationella strategier för säkerhet i nätverks- och informationssystem inom tre månader från deras antagande. Härvid får medlemstaterna utesluta delar av strategin som rör nationell säkerhet.</SPAN></P>
<P class="p711 ft128">Artikel 8</P>
<P class="p712 ft130">Nationella behöriga myndigheter och gemensam kontaktpunkt</P>
<P class="p713 ft2"><SPAN class="ft124">1.</SPAN><SPAN class="ft167">Varje medlemsstat ska utse en eller f lera nationella behöriga myndigheter för säkerhet i nätverks- och informationssystem (nedan kallad </SPAN><SPAN class="ft152">den behöriga myndigheten</SPAN>), åtminstone för de sektorer som avses i bilaga II och de tjänster som avses i bilaga III. Medlemsstaterna får tilldela en eller f lera befintliga myndigheter denna roll.</P>
<P class="p714 ft125"><SPAN class="ft124">2.</SPAN><SPAN class="ft161">De behöriga myndigheterna ska övervaka tillämpningen av detta direktiv på nationell nivå.</SPAN></P>
<P class="p656 ft135"><SPAN class="ft124">3.</SPAN><SPAN class="ft168">Varje medlemsstat ska utse en gemensam nationell kontaktpunkt för säkerhet i nätverks- och informationssystem (nedan kallad </SPAN><SPAN class="ft150">den gemensamma kontaktpunkten</SPAN>). Medlemsstaterna får tilldela en befintlig myndighet denna roll. Om en medlemsstat bara utser en behörig myndighet, ska denna behöriga myndighet också vara den gemensamma kontaktpunkten.</P>
<P class="p659 ft2"><SPAN class="ft124">4.</SPAN><SPAN class="ft167">Den gemensamma kontaktpunkten ska utöva en sambandsfunktion för att säkerställa gränsöverskridande samarbete mellan medlemsstaternas myndigheter och med de berörda myndigheterna i andra medlemsstater samt med den samarbetsgrupp som avses i artikel 11 och det </SPAN><NOBR>CSIRT-nätverk</NOBR> som avses i artikel 12.</P>
<P class="p659 ft124"><SPAN class="ft124">5.</SPAN><SPAN class="ft174">Medlemsstaterna ska säkerställa att de behöriga myndigheterna och de gemensamma kontaktpunkterna har tillräckliga resurser för att på ett effektivt sätt kunna utföra de uppgifter de tilldelas och därigenom uppnå målen med</SPAN></P>
<P class="p715 ft125">detta direktiv. Medlemsstaterna ska säkerställa att de utsedda företrädarna samarbetar på ett effektivt och säkert sätt i samarbetsgruppen.</P>
<P class="p695 ft125"><SPAN class="ft124">6.</SPAN><SPAN class="ft161">De behöriga myndigheterna och den gemensamma kontaktpunkten ska, när så är lämpligt och i överensstämmelse med nationell rätt, samråda och samarbeta med de relevanta nationella rättsvårdande myndigheterna och de nationella dataskyddsmyndigheterna.</SPAN></P>
<P class="p716 ft135"><SPAN class="ft124">7.</SPAN><SPAN class="ft168">Varje medlemsstat ska utan dröjsmål underrätta kommissionen om utnämningen av den behöriga myndigheten och den gemensamma kontaktpunkten och deras uppgifter samt alla senare ändringar. Varje medlemsstat ska offentliggöra utnämningen av den behöriga myndigheten och den gemensamma kontaktpunkten. Kommissionen ska offentliggöra förteckningen över utsedda gemensamma kontaktpunkter.</SPAN></P>
</DIV>
<DIV id="page_335">
<TABLE cellpadding=0 cellspacing=0 class="t30">
<TR>
<TD class="tr17 td83"><P class="p572 ft124">19.7.2016</P></TD>
<TD class="tr18 td84"><P class="p573 ft124">SV</P></TD>
<TD class="tr17 td94"><P class="p574 ft125">Europeiska unionens officiella tidning</P></TD>
<TD class="tr17 td95"><P class="p22 ft2">L 194/17</P></TD>
</TR>
<TR>
<TD class="tr19 td87"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td88"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td96"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td97"><P class="p22 ft126"> </P></TD>
</TR>
</TABLE>
<P class="p667 ft128">Artikel 9</P>
<P class="p717 ft130">Enheter för hantering av <NOBR>it-säkerhetsincidenter</NOBR> <NOBR>(CSIRT-enheter)</NOBR></P>
<P class="p658 ft135"><SPAN class="ft124">1.</SPAN><SPAN class="ft168">Varje medlemsstat ska utse en eller f lera </SPAN><NOBR>CSIRT-enheter</NOBR> som ska uppfylla kraven i punkt 1 i bilaga I, som täcker åtminstone de sektorer som avses i bilaga II och de tjänster som avses i bilaga III och som ansvarar för hanteringen av incidenter och risker i enlighet med ett tydligt fastställt förfarande. En <NOBR>CSIRT-enhet</NOBR> får inrättas inom en behörig myndighet.</P>
<P class="p694 ft125"><SPAN class="ft124">2.</SPAN><SPAN class="ft161">Medlemsstaterna ska säkerställa att </SPAN><NOBR>CSIRT-enheterna</NOBR> har de resurser som de behöver för att effektivt utföra sina uppgifter enligt punkt 2 i bilaga I.</P>
<P class="p718 ft125">Medlemsstaterna ska säkerställa att deras <NOBR>CSIRT-enheter</NOBR> samarbetar på ett ändamålsenligt, effektivt och säkert sätt i det <NOBR>CSIRT-nätverk</NOBR> som avses i artikel 12.</P>
<P class="p719 ft125"><SPAN class="ft124">3.</SPAN><SPAN class="ft161">Medlemsstaterna ska säkerställa att deras </SPAN><NOBR>CSIRT-enheter</NOBR> har tillgång till lämplig, säker och motståndskraftig kommunikations- och informationsinfrastruktur på nationell nivå.</P>
<P class="p719 ft125"><SPAN class="ft124">4.</SPAN><SPAN class="ft161">Medlemsstaterna ska underrätta kommissionen om sina </SPAN><NOBR>CSIRT-enheters</NOBR> uppgifter samt om huvudinslagen i deras incidenthanteringsförfarande.</P>
<P class="p720 ft125"><SPAN class="ft124">5.</SPAN><SPAN class="ft161">Medlemsstaterna får begära Enisas bistånd vid inrättandet av nationella </SPAN><NOBR>CSIRT-enheter.</NOBR></P>
<P class="p721 ft128">Artikel 10</P>
<P class="p722 ft130">Samarbete på nationell nivå</P>
<P class="p723 ft2"><SPAN class="ft124">1.</SPAN><SPAN class="ft167">Om den behöriga myndigheten, den gemensamma kontaktpunkten och </SPAN><NOBR>CSIRT-enheten</NOBR> i en och samma medlemsstat är separata, ska de samarbeta när det gäller fullgörandet av skyldigheterna enligt detta direktiv.</P>
<P class="p716 ft124"><SPAN class="ft124">2.</SPAN><SPAN class="ft174">Medlemsstaterna ska säkerställa att antingen de behöriga myndigheterna eller </SPAN><NOBR>CSIRT-enheterna</NOBR> mottar incidentrapporter som lämnas in i enlighet med detta direktiv. Om en medlemsstat beslutar att <NOBR>CSIRT-enheterna</NOBR> inte ska motta rapporter ska <NOBR>CSIRT-enheterna,</NOBR> i den mån det är nödvändigt för att de ska kunna utföra sina uppgifter, beviljas</P>
<P class="p724 ft125">tillgång till uppgifter om incidenter som rapporterats av leverantörer av samhällsviktiga tjänster enligt artikel 14.3 och 14.5, eller av leverantörer av digitala tjänster enligt artikel 16.3 och 16.6.</P>
<P class="p719 ft125">3. Medlemsstaterna ska säkerställa att de behöriga myndigheterna eller <NOBR>CSIRT-enheterna</NOBR> informerar de gemensamma kontaktpunkterna om incidentrapporter som lämnats in i enlighet med detta direktiv.</P>
<P class="p725 ft135">Den gemensamma kontaktpunkten ska senast den 9 augusti 2018, och därefter en gång om året, lämna en sammanfattande rapport till samarbetsgruppen om de rapporter som mottagits, inklusive antalet rapporter och de rapporterade incidenternas art, samt om vilka åtgärder som vidtagits i enlighet med artiklarna 14.3, 14.5, 16.3 och 16.6.</P>
<P class="p726 ft124">KAPITEL III</P>
<P class="p727 ft160">SAMARBETE</P>
<P class="p728 ft128">Artikel 11</P>
<P class="p576 ft130">Samarbetsgrupp</P>
<P class="p693 ft125">1. För att stödja och underlätta strategiskt samarbete och utbyte av information mellan medlemsstaterna och skapa förtroende och tillit, och i syfte att uppnå en hög gemensam nivå på säkerheten i nätverks- och informationssystem i unionen, inrättas härmed en samarbetsgrupp.</P>
</DIV>
<DIV id="page_336">
<TABLE cellpadding=0 cellspacing=0 class="t31">
<TR>
<TD class="tr17 td83"><P class="p22 ft125">L 194/18</P></TD>
<TD class="tr18 td84"><P class="p573 ft124">SV</P></TD>
<TD class="tr17 td78"><P class="p574 ft125">Europeiska unionens officiella tidning</P></TD>
<TD class="tr17 td91"><P class="p23 ft125">19.7.2016</P></TD>
</TR>
<TR>
<TD class="tr19 td87"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td88"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td92"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td93"><P class="p22 ft126"> </P></TD>
</TR>
</TABLE>
<P class="p729 ft125">Samarbetsgruppen ska utföra sina uppgifter på grundval av tvååriga arbetsprogram enligt punkt 3 andra stycket.</P>
<P class="p730 ft125"><SPAN class="ft124">2.</SPAN><SPAN class="ft161">Samarbetsgruppen ska bestå av företrädare för medlemsstaterna, kommissionen och Enisa.</SPAN></P>
<P class="p731 ft125">När så är lämpligt får samarbetsgruppen bjuda in företrädare för de berörda parterna att delta i arbetet.</P>
<P class="p732 ft125">Kommissionen ska tillhandahålla sekretariatet.</P>
<P class="p733 ft125"><SPAN class="ft124">3.</SPAN><SPAN class="ft161">Samordningsgruppen ska ha följande uppgifter:</SPAN></P>
<TABLE cellpadding=0 cellspacing=0 class="t33">
<TR>
<TD class="tr0 td104"><P class="p22 ft125">a)</P></TD>
<TD class="tr0 td105"><P class="p22 ft125">Tillhandahålla strategisk vägledning för verksamheten i det <NOBR>CSIRT-nätverk</NOBR> som inrättas enligt artikel 12.</P></TD>
</TR>
<TR>
<TD class="tr21 td104"><P class="p22 ft125">b)</P></TD>
<TD class="tr21 td105"><P class="p22 ft2">Utbyta bästa praxis om informationsutbyte angående incidentrapportering enligt artiklarna 14.3, 14.5, 16.3</P></TD>
</TR>
<TR>
<TD class="tr20 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td105"><P class="p22 ft125">och 16.6.</P></TD>
</TR>
</TABLE>
<P class="p734 ft125"><SPAN class="ft132">c)</SPAN><SPAN class="ft175">Utbyta bästa praxis mellan medlemsstaterna och, i samarbete med Enisa, bistå medlemsstaterna med kapacitets uppbyggnad för att säkerställa säkerheten i nätverks- och informationssystem.</SPAN></P>
<P class="p735 ft2"><SPAN class="ft132">d)</SPAN><SPAN class="ft176">Diskutera medlemsstaternas förmåga och beredskap samt utvärdera, på frivillig grund, nationella strategier för säkerhet i nätverks- och informationssystem och </SPAN><NOBR>CSIRT-enheternas</NOBR> effektivitet och identifiera bästa praxis.</P>
<P class="p736 ft125"><SPAN class="ft165">e)</SPAN><SPAN class="ft175">Utbyta information och bästa praxis vad gäller åtgärder för ökad medvetenhet och utbildning.</SPAN></P>
<P class="p734 ft125"><SPAN class="ft125">f)</SPAN><SPAN class="ft177">Utbyta information och bästa praxis om forskning och utveckling vad gäller säkerhet i nätverks- och informationssystem.</SPAN></P>
<P class="p737 ft125"><SPAN class="ft132">g)</SPAN><SPAN class="ft178">Vid behov utbyta erfarenheter om frågor som rör säkerhet i nätverks- och informationssystem med unionens berörda institutioner, organ och byråer.</SPAN></P>
<P class="p737 ft125"><SPAN class="ft124">h)</SPAN><SPAN class="ft179">Diskutera de standarder och specifikationer som avses i artikel 19 med företrädare för de relevanta europeiska standardiseringsorganen.</SPAN></P>
<P class="p681 ft125"><SPAN class="ft124">i)</SPAN><SPAN class="ft180">Samla in information om bästa praxis vad gäller risker och incidenter.</SPAN></P>
<P class="p720 ft125"><SPAN class="ft124">j)</SPAN><SPAN class="ft180">Årligen studera de sammanfattande rapporter som avses i artikel 10.3 andra stycket.</SPAN></P>
<P class="p738 ft125"><SPAN class="ft124">k)</SPAN><SPAN class="ft178">Diskutera arbetet med övningar som avser säkerhet i nätverks- och informationssystem och utbildning, inklusive det arbete som utförs av Enisa.</SPAN></P>
<P class="p735 ft2"><SPAN class="ft124">l)</SPAN><SPAN class="ft181">Med Enisas bistånd utbyta bästa praxis för medlemsstaternas identifiering av leverantörer av samhällsviktiga tjänster, inklusive i samband med beroende, vad gäller risker och incidenter, som sträcker sig över gränser.</SPAN></P>
<P class="p720 ft125"><SPAN class="ft124">m)</SPAN><SPAN class="ft162">Diskutera metoder för rapportering av incidentrapporter enligt artiklarna 14 och 16.</SPAN></P>
<P class="p739 ft124">Samarbetsgruppen ska, senast den 9 februari 2018 och därefter vartannat år, utarbeta ett arbetsprogram med åtgärder som ska vidtas för att genomföra dess mål och uppgifter, som ska överensstämma med målen för detta direktiv.</P>
<P class="p740 ft125"><SPAN class="ft124">4.</SPAN><SPAN class="ft161">Med avseende på den översyn som avses i artikel 23 ska samarbetsgruppen, senast den 9 augusti 2018 och därefter med 1,5 års mellanrum, utarbeta en rapport med en bedömning av erfarenheterna av det strategiska samarbetet enligt den här artikeln.</SPAN></P>
<P class="p713 ft147"><SPAN class="ft124">5.</SPAN><SPAN class="ft182">Kommissionen ska anta genomförandeakter i vilka fastställs de förfaranden som krävs för samarbetsgruppens verksamhet. Dessa genomförandeakter ska antas i enlighet med det granskningsförfarande som avses i artikel 22.2.</SPAN></P>
</DIV>
<DIV id="page_337">
<TABLE cellpadding=0 cellspacing=0 class="t30">
<TR>
<TD class="tr17 td83"><P class="p572 ft124">19.7.2016</P></TD>
<TD class="tr18 td84"><P class="p573 ft124">SV</P></TD>
<TD class="tr17 td94"><P class="p574 ft125">Europeiska unionens officiella tidning</P></TD>
<TD class="tr17 td95"><P class="p22 ft2">L 194/19</P></TD>
</TR>
<TR>
<TD class="tr19 td87"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td88"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td96"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td97"><P class="p22 ft126"> </P></TD>
</TR>
</TABLE>
<P class="p741 ft125">Vid tillämpningen av första stycket ska kommissionen senast den 9 februari 2017 förelägga den kommitté som avses i artikel 22.1 det första utkastet till genomförandeakt.</P>
<P class="p742 ft128">Artikel 12</P>
<P class="p743 ft130"><NOBR>CSIRT-nätverk</NOBR></P>
<P class="p710 ft125"><SPAN class="ft124">1.</SPAN><SPAN class="ft161">För att bidra till utvecklingen av förtroende och tillit mellan medlemsstaterna och för att främja snabbt och effektivt operativt samarbete inrättas härmed ett nätverk för nationella </SPAN><NOBR>CSIRT-enheter.</NOBR></P>
<P class="p693 ft125"><SPAN class="ft124">2.</SPAN><NOBR><SPAN class="ft161">CSIRT-nätverket</SPAN></NOBR> ska bestå av företrädare för medlemsstaternas <NOBR>CSIRT-enheter</NOBR> och <NOBR>Cert-EU.</NOBR> Kommissionen ska delta i <NOBR>CSIRT-nätverket</NOBR> som observatör. Enisa ska tillhandahålla sekretariatet och aktivt stödja samarbetet mellan CSIRT- enheterna.</P>
<P class="p736 ft125"><SPAN class="ft124">3.</SPAN><NOBR><SPAN class="ft161">CSIRT-nätverket</SPAN></NOBR> ska ha följande uppgifter:</P>
<P class="p688 ft125"><SPAN class="ft132">a)</SPAN><SPAN class="ft162">Utbyta information om </SPAN><NOBR>CSIRT-enheternas</NOBR> tjänster, verksamhet och samarbetskapacitet.</P>
<P class="p744 ft135"><SPAN class="ft124">b)</SPAN><SPAN class="ft183">På begäran av en företrädare för en </SPAN><NOBR>CSIRT-enhet</NOBR> från en medlemsstat som kan komma att påverkas av en incident, utbyta och diskutera ej kommersiellt känsliga uppgifter rörande incidenten och dithörande risker; en <NOBR>CSIRT-enhet</NOBR> från en medlemsstat kan dock neka att bidra till diskussionen om det finns en risk för att det skulle skada utredningen av incidenten.</P>
<P class="p745 ft125"><SPAN class="ft132">c)</SPAN><SPAN class="ft164">På frivillig grund utbyta och tillgängliggöra </SPAN><NOBR>icke-konfidentiella</NOBR> uppgifter om enskilda incidenter.</P>
<P class="p649 ft125"><SPAN class="ft132">d)</SPAN><SPAN class="ft162">På begäran av en företrädare för en medlemsstats </SPAN><NOBR>CSIRT-enhet,</NOBR> diskutera och om möjligt utarbeta en samordnad åtgärd till följd av en incident som har upptäckts inom den medlemsstatens jurisdiktion.</P>
<P class="p653 ft125"><SPAN class="ft165">e)</SPAN><SPAN class="ft164">Stödja medlemsstaterna i hanteringen av gränsöverskridande incidenter på grundval av deras frivilliga ömsesidiga bistånd.</SPAN></P>
<P class="p691 ft125"><SPAN class="ft125">f)</SPAN><SPAN class="ft172">Diskutera, utforska och identifiera ytterligare former av operativt samarbete, inklusive med avseende på</SPAN></P>
<P class="p746 ft125"><SPAN class="ft125">i)</SPAN><SPAN class="ft177">kategorier av risker och incidenter,</SPAN></P>
<P class="p746 ft125"><SPAN class="ft125">ii)</SPAN><SPAN class="ft179">tidiga varningar,</SPAN></P>
<P class="p747 ft125"><SPAN class="ft125">iii)</SPAN><SPAN class="ft162">ömsesidigt bistånd,</SPAN></P>
<P class="p748 ft125"><SPAN class="ft125">iv)</SPAN><SPAN class="ft162">principer och metoder för samordning, när medlemsstaterna vidtar åtgärder mot gränsöverskridande risker och incidenter.</SPAN></P>
<P class="p653 ft125"><SPAN class="ft132">g)</SPAN><SPAN class="ft162">Informera samarbetsgruppen om sin verksamhet och om ytterligare former av operativt samarbete som diskuterats enligt led f samt begära vägledning i sistnämnda avseende.</SPAN></P>
<P class="p744 ft125"><SPAN class="ft124">h)</SPAN><SPAN class="ft163">Diskutera lärdomar från övningar som avser säkerhet i nätverks- och informationssystem, inklusive från sådana som organiserats av Enisa.</SPAN></P>
<P class="p685 ft125"><SPAN class="ft124">i)</SPAN><SPAN class="ft179">På begäran av en enskild </SPAN><NOBR>CSIRT-enhet,</NOBR> diskutera den enhetens kapacitet och beredskap.</P>
<P class="p650 ft125"><SPAN class="ft124">j)</SPAN><SPAN class="ft179">Utfärda riktlinjer för att underlätta konvergens mellan operativ praxis med avseende på tillämpningen av bestämmelserna i denna artikel om operativt samarbete.</SPAN></P>
<P class="p749 ft147"><SPAN class="ft124">4.</SPAN><SPAN class="ft182">Med avseende på den översyn som avses i artikel 23 ska </SPAN><NOBR>CSIRT-nätverket,</NOBR> senast den 9 augusti 2018 och därefter med 1,5 års mellanrum, utarbeta en rapport med en bedömning av erfarenheterna av det operativa samarbetet enligt denna artikel, inklusive slutsatser och rekommendationer. Rapporten ska även föreläggas samarbetsgruppen.</P>
<P class="p690 ft125"><SPAN class="ft124">5.</SPAN><NOBR><SPAN class="ft161">CSIRT-nätverket</SPAN></NOBR> ska fastställa sin arbetsordning.</P>
</DIV>
<DIV id="page_338">
<TABLE cellpadding=0 cellspacing=0 class="t31">
<TR>
<TD class="tr17 td83"><P class="p22 ft125">L 194/20</P></TD>
<TD class="tr18 td84"><P class="p573 ft124">SV</P></TD>
<TD class="tr17 td78"><P class="p574 ft125">Europeiska unionens officiella tidning</P></TD>
<TD class="tr17 td91"><P class="p23 ft125">19.7.2016</P></TD>
</TR>
<TR>
<TD class="tr19 td87"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td88"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td92"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td93"><P class="p22 ft126"> </P></TD>
</TR>
</TABLE>
<P class="p750 ft128">Artikel 13</P>
<P class="p751 ft130">Internationellt samarbete</P>
<P class="p657 ft2">Unionen får i enlighet med artikel 218 i <NOBR>EUF-fördraget</NOBR> ingå internationella avtal med tredjeländer eller internationella organisationer, och därvid tillåta och organisera deras deltagande i vissa av samarbetsgruppens verksamheter. Sådana avtal ska beakta behovet av att säkerställa ändamålsenligt skydd av uppgifter.</P>
<P class="p752 ft124">KAPITEL IV</P>
<P class="p753 ft160">SÄKERHET I NÄTVERKS- OCH INFORMATIONSSYSTEM SOM ANVÄNDS AV LEVERANTÖRER AV</P>
<P class="p754 ft160">SAMHÄLLSVIKTIGA TJÄNSTER</P>
<P class="p728 ft128">Artikel 14</P>
<P class="p755 ft130">Säkerhetskrav och incidentrapportering</P>
<P class="p719 ft135"><SPAN class="ft124">1.</SPAN><SPAN class="ft168">Medlemsstaterna ska säkerställa att leverantörer av samhällsviktiga tjänster vidtar ändamålsenliga och proportionella tekniska och organisatoriska åtgärder för att hantera risker som hotar säkerheten i nätverks- och informationssystem som de använder i sin verksamhet. Med beaktande av den senaste tekniska utvecklingen ska dessa åtgärder säkerställa en nivå på säkerheten i nätverks- och informationssystem som är lämplig i förhållande till den föreliggande risken.</SPAN></P>
<P class="p657 ft147"><SPAN class="ft124">2.</SPAN><SPAN class="ft182">Medlemsstaterna ska säkerställa att leverantörer av samhällsviktiga tjänster vidtar lämpliga åtgärder för att förebygga och minimera verkningarna av incidenter som påverkar säkerheten i nätverks- och informationssystem som används för att tillhandahålla sådana samhällsviktiga tjänster, i syfte att säkerställa kontinuiteten i dessa tjänster.</SPAN></P>
<P class="p725 ft135"><SPAN class="ft124">3.</SPAN><SPAN class="ft168">Medlemsstaterna ska säkerställa att leverantörer av samhällsviktiga tjänster utan onödigt dröjsmål till den behöriga myndigheten eller </SPAN><NOBR>CSIRT-enheten</NOBR> rapporterar incidenter som har en betydande inverkan på kontinuiteten i de samhällsviktiga tjänster som de tillhandahåller. Rapporterna ska innehålla information som gör det möjligt för den behöriga myndigheten eller <NOBR>CSIRT-enheten</NOBR> att fastställa incidentens eventuella gränsöverskridande verkningar. Rapportering ska inte medföra ökat ansvar för den rapporterande parten.</P>
<P class="p690 ft125"><SPAN class="ft124">4.</SPAN><SPAN class="ft161">För att avgöra om en incident har en betydande inverkan ska hänsyn framför allt tas till följande faktorer:</SPAN></P>
<P class="p691 ft125"><SPAN class="ft132">a)</SPAN><SPAN class="ft162">Det antal användare som påverkas av störningen av den samhällsviktiga tjänsten.</SPAN></P>
<P class="p745 ft125"><SPAN class="ft124">b)</SPAN><SPAN class="ft163">Hur länge incidenten varar.</SPAN></P>
<P class="p691 ft125"><SPAN class="ft132">c)</SPAN><SPAN class="ft164">Hur stort geografiskt område som påverkas av incidenten.</SPAN></P>
<P class="p756 ft135">5. Mot bakgrund av informationen i rapporten från leverantören av den samhällsviktiga tjänsten ska den behöriga myndigheten eller <NOBR>CSIRT-enheten</NOBR> informera den eller de andra berörda medlemsstaterna, om incidenten har en betydande inverkan på kontinuiteten i samhällsviktiga tjänster i den medlemsstaten. Därvid ska den behöriga myndigheten eller <NOBR>CSIRT-enheten,</NOBR> i enlighet med unionsrätten eller med nationell lagstiftning som är förenlig med unionsrätten, bevara nämnda leverantörs säkerhetsintressen och kommersiella intressen samt konfidentialiteten hos informationen i leverantörens rapport.</P>
<P class="p710 ft125">När omständigheterna tillåter ska den behöriga myndigheten eller <NOBR>CSIRT-enheten</NOBR> förse den rapporterande leverantören av samhällsviktiga tjänster med relevant information om uppföljningen av rapporten, såsom information som skulle kunna bidra till effektiv hantering av incidenten.</P>
<P class="p757 ft124">På begäran av den behöriga myndigheten eller <NOBR>CSIRT-enheten</NOBR> ska den gemensamma kontaktpunkten vidarebefordra rapporter enligt första stycket till gemensamma kontaktpunkter i andra medlemsstater som påverkats av incidenten.</P>
<P class="p710 ft125">6. Efter samråd med den rapporterande leverantören av samhällsviktiga tjänster får den behöriga myndigheten eller <NOBR>CSIRT-enheten</NOBR> informera allmänheten om enskilda incidenter, om allmänheten behöver känna till dem för att det ska vara möjligt att förhindra en incident eller åtgärda en pågående incident.</P>
</DIV>
<DIV id="page_339">
<TABLE cellpadding=0 cellspacing=0 class="t30">
<TR>
<TD class="tr17 td83"><P class="p572 ft124">19.7.2016</P></TD>
<TD class="tr18 td84"><P class="p573 ft124">SV</P></TD>
<TD class="tr17 td94"><P class="p574 ft125">Europeiska unionens officiella tidning</P></TD>
<TD class="tr17 td95"><P class="p22 ft2">L 194/21</P></TD>
</TR>
<TR>
<TD class="tr19 td87"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td88"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td96"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td97"><P class="p22 ft126"> </P></TD>
</TR>
</TABLE>
<P class="p749 ft147">7. Behöriga myndigheter som agerar tillsammans inom samarbetsgruppen får utarbeta och anta riktlinjer för under vilka omständigheter leverantörer av samhällsviktiga tjänster är skyldiga att rapportera incidenter, inklusive riktlinjer om vilka faktorer som ska användas för att fastställa om en incident har betydande inverkan enligt punkt 4.</P>
<P class="p742 ft128">Artikel 15</P>
<P class="p758 ft130">Genomförande och efterlevnad</P>
<P class="p695 ft125"><SPAN class="ft124">1.</SPAN><SPAN class="ft161">Medlemsstaterna ska säkerställa att de behöriga myndigheterna har de befogenheter och medel de behöver för att bedöma huruvida leverantörer av samhällsviktiga tjänster uppfyller sina skyldigheter enligt artikel 14 och effekterna därav på säkerheten i nätverks- och informationssystem.</SPAN></P>
<P class="p658 ft125"><SPAN class="ft124">2.</SPAN><SPAN class="ft161">Medlemsstaterna ska säkerställa att de behöriga myndigheterna har de befogenheter och medel som krävs för att ålägga leverantörer av samhällsviktiga tjänster att tillhandahålla</SPAN></P>
<P class="p653 ft125"><SPAN class="ft132">a)</SPAN><SPAN class="ft162">den information som är nödvändig för att bedöma säkerheten i deras nätverks- och informationssystem, inbegripet dokumenterade säkerhetsprinciper,</SPAN></P>
<P class="p653 ft125"><SPAN class="ft124">b)</SPAN><SPAN class="ft163">bevis för ett effektivt genomförande av säkerhetsprinciper, såsom resultaten av en säkerhetsrevision utförd av den behöriga myndigheten eller en auktoriserad revisor och, i det senare fallet, att ge den behöriga myndigheten tillgång till resultaten, inklusive de underliggande bevisen.</SPAN></P>
<P class="p759 ft125">När den behöriga myndigheten begär sådan information eller sådana bevis ska den uppge syftet med begäran och precisera vilken information som krävs.</P>
<P class="p694 ft125"><SPAN class="ft124">3.</SPAN><SPAN class="ft161">Efter att ha bedömt information eller resultat av säkerhetsrevisioner enligt punkt 2, får den behöriga myndigheten utfärda bindande anvisningar till leverantörerna av samhällsviktiga tjänster om hur de ska avhjälpa de identifierade bristerna.</SPAN></P>
<P class="p719 ft125"><SPAN class="ft124">4.</SPAN><SPAN class="ft161">Den behöriga myndigheten ska ha ett nära samarbete med dataskyddsmyndigheter när den åtgärdar incidenter som medför personuppgiftsincidenter.</SPAN></P>
<P class="p760 ft124">KAPITEL V</P>
<P class="p753 ft160">SÄKERHET I NÄTVERKS- OCH INFORMATIONSSYSTEM SOM ANVÄNDS AV LEVERANTÖRER AV</P>
<P class="p761 ft160">DIGITALA TJÄNSTER</P>
<P class="p762 ft128">Artikel 16</P>
<P class="p763 ft130">Säkerhetskrav och incidentrapportering</P>
<P class="p764 ft124">1. Medlemsstaterna ska säkerställa att leverantörer av digitala tjänster utarbetar och vidtar ändamålsenliga och proportionella tekniska och organisatoriska åtgärder för att hantera risker som hotar säkerheten i nätverks- och informationssystem som de använder när de tillhandahåller sådana tjänster som avses i bilaga III inom unionen. Med beaktande av den senaste tekniska utvecklingen ska dessa åtgärder säkerställa en nivå på säkerheten i nätverks- och informationssystem som är lämplig i förhållande till den föreliggande risken, varvid hänsyn ska tas till</P>
<P class="p680 ft125"><SPAN class="ft132">a)</SPAN><SPAN class="ft162">säkerheten i system och anläggningar,</SPAN></P>
<P class="p745 ft125"><SPAN class="ft124">b)</SPAN><SPAN class="ft163">incidenthantering,</SPAN></P>
<P class="p691 ft125"><SPAN class="ft132">c)</SPAN><SPAN class="ft164">hantering av driftskontinuitet,</SPAN></P>
<P class="p745 ft125"><SPAN class="ft132">d)</SPAN><SPAN class="ft162">övervakning, revision och testning,</SPAN></P>
<P class="p745 ft125"><SPAN class="ft165">e)</SPAN><SPAN class="ft164">efterlevnad av internationella standarder.</SPAN></P>
</DIV>
<DIV id="page_340">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336340x1.jpg/" id="img1">
</DIV>
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t31">
<TR>
<TD class="tr17 td83"><P class="p22 ft125">L 194/22</P></TD>
<TD class="tr18 td84"><P class="p573 ft124">SV</P></TD>
<TD class="tr17 td78"><P class="p574 ft125">Europeiska unionens officiella tidning</P></TD>
<TD class="tr17 td91"><P class="p23 ft125">19.7.2016</P></TD>
</TR>
<TR>
<TD class="tr19 td87"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td88"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td92"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td93"><P class="p22 ft126"> </P></TD>
</TR>
</TABLE>
<P class="p749 ft147"><SPAN class="ft124">2.</SPAN><SPAN class="ft182">Medlemsstaterna ska säkerställa att leverantörer av digitala tjänster vidtar åtgärder för att förebygga och minimera den inverkan som incidenter som påverkar säkerheten i deras nätverks- och informationssystem har på de tjänster som avses i bilaga III och som erbjuds inom unionen, i syfte att säkerställa kontinuiteten i dessa tjänster.</SPAN></P>
<P class="p659 ft2"><SPAN class="ft124">3.</SPAN><SPAN class="ft167">Medlemsstaterna ska säkerställa att leverantörer av digitala tjänster utan onödigt dröjsmål till den behöriga myndigheten eller </SPAN><NOBR>CSIRT-enheten</NOBR> rapporterar alla incidenter som har en avsevärd inverkan på tillhandahållandet av en tjänst som avses i bilaga III och som de erbjuder inom unionen. Rapporterna ska innehålla information som gör det möjligt för den behöriga myndigheten eller <NOBR>CSIRT-enheten</NOBR> att fastställa vilken betydelse eventuell gränsöverskridande inverkan har. Rapportering ska inte medföra ökat ansvar för den rapporterande parten.</P>
<P class="p690 ft125"><SPAN class="ft124">4.</SPAN><SPAN class="ft161">För att fastställa om en incident har en avsevärd inverkan ska hänsyn framför allt tas till följande faktorer:</SPAN></P>
<P class="p650 ft125"><SPAN class="ft132">a)</SPAN><SPAN class="ft162">Det antal användare som påverkas av incidenten, framför allt användare som är beroende av tjänsten för att kunna tillhandahålla sina egna tjänster.</SPAN></P>
<P class="p691 ft125"><SPAN class="ft124">b)</SPAN><SPAN class="ft163">Hur länge incidenten varar.</SPAN></P>
<P class="p688 ft125"><SPAN class="ft132">c)</SPAN><SPAN class="ft164">Hur stort geografiskt område som påverkas av incidenten.</SPAN></P>
<P class="p680 ft125"><SPAN class="ft132">d)</SPAN><SPAN class="ft162">I vilken utsträckning incidenten stör tjänstens funktion.</SPAN></P>
<P class="p688 ft125"><SPAN class="ft165">e)</SPAN><SPAN class="ft164">I vilken utsträckning incidenten inverkar på den ekonomiska och samhälleliga verksamheten.</SPAN></P>
<P class="p765 ft147">Skyldigheten att rapportera en incident ska endast gälla om leverantören av digitala tjänster har tillgång till den information som behövs för att bedöma en incidents inverkan mot bakgrund av de faktorer som avses i första stycket.</P>
<P class="p713 ft2"><SPAN class="ft124">5.</SPAN><SPAN class="ft167">Om en leverantör av samhällsviktiga tjänster är beroende av en tredjepartsleverantör av digitala tjänster för tillhandahållandet av en tjänst som är viktig för att upprätthålla kritisk samhällelig och ekonomisk verksamhet, ska leverantören av samhällsviktiga tjänster rapportera varje betydande inverkan på kontinuiteten i de samhällsviktiga tjänsterna till följd av en incident som påverkar leverantören av digitala tjänster.</SPAN></P>
<P class="p657 ft2"><SPAN class="ft124">6.</SPAN><SPAN class="ft167">Om så är lämpligt, och särskilt om den incident som avses i punkt 3 berör två eller f lera medlemsstater, ska den behöriga myndigheten eller </SPAN><NOBR>CSIRT-enheten</NOBR> informera andra medlemsstater som påverkats. Därvid ska de behöriga myndigheterna, <NOBR>CSIRT-enheter</NOBR> och gemensamma kontaktpunkter, i enlighet med unionsrätten eller nationell lagstiftning som är förenlig med unionsrätten, bevara leverantören av digitala tjänsters säkerhetsintressen och kommersiella intressen samt den tillhandahållna informationens konfidentialitet.</P>
<P class="p696 ft135"><SPAN class="ft124">7.</SPAN><SPAN class="ft168">Efter samråd med den berörda leverantören av digitala tjänster får den behöriga myndigheten eller </SPAN><NOBR>CSIRT-enheten</NOBR> och, om så är lämpligt, myndigheterna eller <NOBR>CSIRT-enheterna</NOBR> i andra berörda medlemsstater, informera allmänheten om enskilda incidenter eller kräva att leverantören av digitala tjänster gör det, om allmänheten behöver känna till dem för att det ska vara möjligt att förhindra en incident eller åtgärda en pågående incident eller om incidentens avslöjande på annat sätt omfattas av allmänintresset.</P>
<P class="p663 ft125"><SPAN class="ft124">8.</SPAN><SPAN class="ft161">Kommissionen ska anta genomförandeakter för att ytterligare specificera de element som avses i punkt 1 och de faktorer som anges i punkt 4 i denna artikel. Dessa genomförandeakter ska antas i enlighet med det gransknings förfarande som avses i artikel 22.2 senast den 9 augusti 2017.</SPAN></P>
<P class="p716 ft147"><SPAN class="ft124">9.</SPAN><SPAN class="ft182">Kommissionen får anta genomförandeakter som fastställer format och förfaranden tillämpliga på rapporteringskrav. Dessa genomförandeakter ska antas i enlighet med det granskningsförfarande som avses i artikel 22.2.</SPAN></P>
<P class="p663 ft125"><SPAN class="ft124">10.</SPAN><SPAN class="ft161">Utan att det påverkar tillämpningen av artikel 1.6 får medlemsstaterna inte införa ytterligare säkerhets- eller rapporteringskrav för leverantörer av digitala tjänster.</SPAN></P>
<P class="p695 ft125"><SPAN class="ft124">11.</SPAN><SPAN class="ft161">Kapitel V ska inte tillämpas på mikroföretag och små företag enligt definitionen i kommissionens rekommendation 2003/361/EG (</SPAN><SPAN class="ft131">1</SPAN>).</P>
</DIV>
<DIV id="id_2">
<P class="p684 ft124">(<SPAN class="ft138">1</SPAN>) Kommissionens rekommendation 2003/361/EG av den 6 maj 2003 om definitionen av mikroföretag samt små och medelstora företag (EUT L 124, 20.5.2003, s. 36).</P>
</DIV>
</DIV>
<DIV id="page_341">
<TABLE cellpadding=0 cellspacing=0 class="t30">
<TR>
<TD class="tr17 td83"><P class="p572 ft124">19.7.2016</P></TD>
<TD class="tr18 td84"><P class="p573 ft124">SV</P></TD>
<TD class="tr17 td94"><P class="p574 ft125">Europeiska unionens officiella tidning</P></TD>
<TD class="tr17 td95"><P class="p22 ft2">L 194/23</P></TD>
</TR>
<TR>
<TD class="tr19 td87"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td88"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td96"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td97"><P class="p22 ft126"> </P></TD>
</TR>
</TABLE>
<P class="p750 ft128">Artikel 17</P>
<P class="p758 ft130">Genomförande och efterlevnad</P>
<P class="p659 ft124"><SPAN class="ft124">1.</SPAN><SPAN class="ft174">Medlemsstaterna ska säkerställa att de behöriga myndigheterna vid behov vidtar åtgärder genom tillsynsåtgärder i efterhand, när de har mottagit bevis på att en leverantör av digitala tjänster inte uppfyller kraven i artikel 16. Sådana bevis får läggas fram av en behörig myndighet i en annan medlemsstat där tjänsten tillhandahålls.</SPAN></P>
<P class="p656 ft125"><SPAN class="ft124">2.</SPAN><SPAN class="ft161">Vid tillämpning av punkt 1 ska de behöriga myndigheterna ha de befogenheter och medel som krävs för att ålägga leverantörer av digitala tjänster att</SPAN></P>
<P class="p744 ft125"><SPAN class="ft132">a)</SPAN><SPAN class="ft162">tillhandahålla den information som behövs för en bedömning av säkerheten i deras nätverks- och informationssystem, inbegripet dokumenterade säkerhetsprinciper, och</SPAN></P>
<P class="p685 ft125"><SPAN class="ft124">b)</SPAN><SPAN class="ft163">åtgärda varje underlåtenhet att uppfylla kraven i artikel 16.</SPAN></P>
<P class="p766 ft135">3. Om en leverantör av digitala tjänster har sitt huvudsakliga etableringsställe eller en företrädare i en medlemsstat, men dess nätverks- och informationssystem är belägna i en eller flera andra medlemsstater, ska den behöriga myndigheten i den medlemsstat där det huvudsakliga etableringsstället eller företrädaren finns och de behöriga myndigheterna i dessa andra medlemsstater samarbeta och vid behov bistå varandra. Detta bistånd och samarbete får omfatta informationsutbyte mellan de berörda behöriga myndigheterna och begäranden om att de tillsynsåtgärder som avses i punkt 2 ska vidtas.</P>
<P class="p767 ft128">Artikel 18</P>
<P class="p768 ft130">Jurisdiktion och territorialitet</P>
<P class="p764 ft2">1. Vid tillämpningen av detta direktiv ska en leverantör av digitala tjänster anses omfattas av jurisdiktionen i den medlemsstat där leverantören har sitt huvudsakliga etableringsställe. En leverantör av digitala tjänster ska anses ha sitt huvudsakliga etableringsställe i en medlemsstat om den har sitt huvudkontor i denna medlemsstat.</P>
<P class="p694 ft135">2. En leverantör av digitala tjänster som inte är etablerad i unionen men som erbjuder sådana tjänster som avses i bilaga III inom unionen ska utse en företrädare i unionen. Företrädaren ska vara etablerad i en av de medlemsstater där tjänsterna erbjuds. Leverantören av digitala tjänster ska anses omfattas av jurisdiktionen i den medlemsstat där företrädaren är etablerad.</P>
<P class="p695 ft125">3. Att leverantören av digitala tjänster utser en företrädare ska inte påverka eventuella rättsliga åtgärder mot leverantören av digitala tjänster själv.</P>
<P class="p769 ft124">KAPITEL VI</P>
<P class="p770 ft160">STANDARDISERING OCH FRIVILLIG RAPPORTERING</P>
<P class="p771 ft128">Artikel 19</P>
<P class="p772 ft130">Standardisering</P>
<P class="p764 ft147"><SPAN class="ft124">1.</SPAN><SPAN class="ft182">För att främja en enhetlig tillämpning av artiklarna 14.1, 14.2, 16.1 och 16.2 ska medlemsstaterna, utan att föreskriva eller gynna användning av en viss typ av teknik, uppmuntra användningen av europeiska eller internationellt accepterade standarder och specifikationer av relevans för säkerheten i nätverks- och informationssystem.</SPAN></P>
<P class="p695 ft125"><SPAN class="ft124">2.</SPAN><SPAN class="ft161">Enisa ska i samarbete med medlemsstaterna utarbeta råd och riktlinjer för de tekniska områden som ska beaktas när det gäller punkt 1 samt för redan befintliga standarder, inklusive medlemsstaternas nationella standarder, som skulle kunna täcka dessa områden.</SPAN></P>
</DIV>
<DIV id="page_342">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t31">
<TR>
<TD class="tr17 td83"><P class="p22 ft125">L 194/24</P></TD>
<TD class="tr18 td84"><P class="p573 ft124">SV</P></TD>
<TD class="tr17 td78"><P class="p574 ft125">Europeiska unionens officiella tidning</P></TD>
<TD class="tr17 td91"><P class="p23 ft125">19.7.2016</P></TD>
</TR>
<TR>
<TD class="tr19 td87"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td88"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td92"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td93"><P class="p22 ft126"> </P></TD>
</TR>
</TABLE>
<P class="p750 ft128">Artikel 20</P>
<P class="p773 ft130">Frivillig rapportering</P>
<P class="p710 ft125"><SPAN class="ft124">1.</SPAN><SPAN class="ft161">Utan att det påverkar tillämpningen av artikel 3 får enheter som inte har identifierats som leverantörer av samhällsviktiga tjänster och som inte är leverantörer av digitala tjänster, på frivillig grund, rapportera incidenter som har en betydande inverkan på kontinuiteten i de tjänster som de tillhandahåller.</SPAN></P>
<P class="p725 ft135"><SPAN class="ft124">2.</SPAN><SPAN class="ft168">Vid behandlingen av rapporter ska medlemsstaterna agera i enlighet med det förfarande som fastställs i artikel 14. Medlemsstaterna får ge behandling av obligatoriska rapporter företräde framför behandling av frivilliga rapporter. Frivilliga rapporter ska endast behandlas om behandlingen inte utgör en oproportionell eller orimlig börda för de berörda medlemsstaterna.</SPAN></P>
<P class="p693 ft125">En frivillig rapport får inte leda till att den rapporterande enheten åläggs skyldigheter som den inte skulle ha varit föremål för om den inte hade gett in rapporten.</P>
<P class="p774 ft124">KAPITEL VII</P>
<P class="p775 ft160">SLUTBESTÄMMELSER</P>
<P class="p776 ft128">Artikel 21</P>
<P class="p777 ft130">Sanktioner</P>
<P class="p693 ft135">Medlemsstaterna ska fastställa regler om sanktioner för överträdelse av nationella bestämmelser som har antagits enligt detta direktiv och vidta alla nödvändiga åtgärder för att se till att de tillämpas. Sanktionerna ska vara effektiva, proportionella och avskräckande. Medlemsstaterna ska till kommissionen anmäla dessa regler och åtgärder senast den 9 maj 2018 samt utan dröjsmål eventuella ändringar som berör dem.</P>
<P class="p742 ft128">Artikel 22</P>
<P class="p778 ft130">Kommittéförfarande</P>
<P class="p710 ft125"><SPAN class="ft124">1.</SPAN><SPAN class="ft161">Kommissionen ska biträdas av kommittén för säkerhet i nätverks- och informationssystem. Denna kommitté ska vara en kommitté i den mening som avses i förordning (EU) nr 182/2011.</SPAN></P>
<P class="p779 ft125"><SPAN class="ft124">2.</SPAN><SPAN class="ft161">När det hänvisas till denna punkt ska artikel 5 i förordning (EU) nr 182/2011 tillämpas.</SPAN></P>
<P class="p742 ft128">Artikel 23</P>
<P class="p780 ft130">Översyn</P>
<P class="p657 ft147"><SPAN class="ft124">1.</SPAN><SPAN class="ft182">Kommissionen ska senast den 9 maj 2019 lämna en rapport till Europaparlamentet och rådet, där den bedömer enhetligheten i medlemsstaternas tillvägagångssätt vid identifieringen av leverantörer av samhällsviktiga tjänster.</SPAN></P>
<P class="p764 ft124"><SPAN class="ft124">2.</SPAN><SPAN class="ft174">Kommissionen ska regelbundet se över hur detta direktiv fungerar och rapportera resultaten till Europaparlamentet och rådet. I detta syfte och för att ytterligare främja det strategiska och operativa samarbetet ska kommissionen beakta rapporterna från samarbetsgruppen och </SPAN><NOBR>CSIRT-nätverket</NOBR> om de erfarenheter som förvärvats på strategisk och operativ</P>
</DIV>
<DIV id="id_2">
<P class="p309 ft125">nivå. I sin översyn ska kommissionen också bedöma förteckningarna i bilagorna II och III samt enhetligheten i identifieringen av leverantörer av samhällsviktiga tjänster och tjänster i de sektorer som avses i bilaga II. Den första rapporten ska lämnas senast den 9 maj 2021.</P>
</DIV>
</DIV>
<DIV id="page_343">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t30">
<TR>
<TD class="tr17 td83"><P class="p572 ft124">19.7.2016</P></TD>
<TD class="tr18 td84"><P class="p573 ft124">SV</P></TD>
<TD class="tr17 td94"><P class="p574 ft125">Europeiska unionens officiella tidning</P></TD>
<TD class="tr17 td95"><P class="p22 ft2">L 194/25</P></TD>
</TR>
<TR>
<TD class="tr19 td87"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td88"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td96"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td97"><P class="p22 ft126"> </P></TD>
</TR>
</TABLE>
<P class="p750 ft128">Artikel 24</P>
<P class="p781 ft130">Övergångsbestämmelser</P>
<P class="p704 ft125"><SPAN class="ft124">1.</SPAN><SPAN class="ft161">Utan att det påverkar tillämpningen av artikel 25 och i syfte att erbjuda medlemsstaterna ytterligare möjligheter till lämpligt samarbete under införlivandeperioden, ska samarbetsgruppen och </SPAN><NOBR>CSIRT-nätverket</NOBR> börja utföra sina uppgifter enligt artikel 11.3 respektive 12.3 senast den 9 februari 2017.</P>
<P class="p782 ft124"><SPAN class="ft124">2.</SPAN><SPAN class="ft174">Under perioden från och med den 9 februari 2017 till och med den 9 november 2018 ska samarbetsgruppen, i syfte att hjälpa medlemsstaterna att tillämpa ett enhetligt tillvägagångssätt i förfarandet för identifiering av leverantörer av samhällsviktiga tjänster, diskutera förfarandet för, innehållet i och typen av nationella åtgärder som möjliggör identifiering av leverantörer av samhällsviktiga tjänster inom en särskild sektor i enlighet med de kriterier som anges i artiklarna 5 och 6. Samarbetsgruppen ska på begäran av en medlemsstat också diskutera medlemsstatens utkast till specifika nationella åtgärder som möjliggör identifiering av leverantörer av samhällsviktiga tjänster inom en särskild sektor i enlighet med de kriterier som anges i artiklarna 5 och 6.</SPAN></P>
<P class="p783 ft125"><SPAN class="ft124">3.</SPAN><SPAN class="ft161">Senast den 9 februari 2017 ska medlemsstaterna vid tillämpning av denna artikel säkerställa att de är korrekt företrädda i samarbetsgruppen och </SPAN><NOBR>CSIRT-nätverket.</NOBR></P>
<P class="p776 ft128">Artikel 25</P>
<P class="p784 ft130">Införlivande</P>
<P class="p765 ft2">1. Medlemsstaterna ska senast den 9 maj 2018 anta och offentliggöra de bestämmelser i lagar och andra författningar som är nödvändiga för att följa detta direktiv. De ska genast underrätta kommissionen om detta.</P>
<P class="p785 ft125">De ska tillämpa dessa bestämmelser från och med den 10 maj 2018.</P>
<P class="p765 ft124">När en medlemsstat antar dessa bestämmelser ska de innehålla en hänvisning till detta direktiv eller åtföljas av en sådan hänvisning när de offentliggörs. Närmare föreskrifter om hur hänvisningen ska göras ska varje medlemsstat själv utfärda.</P>
<P class="p786 ft125">2. Medlemsstaterna ska till kommissionen överlämna texten till de centrala bestämmelser i nationell rätt som de antar inom det område som omfattas av detta direktiv.</P>
<P class="p762 ft128">Artikel 26</P>
<P class="p787 ft130">Ikraftträdande</P>
<P class="p785 ft125">Detta direktiv träder i kraft den tjugonde dagen efter det att det har offentliggjorts i <SPAN class="ft128">Europeiska unionens officiella tidning</SPAN>.</P>
<P class="p771 ft128">Artikel 27</P>
<P class="p788 ft130">Adressater</P>
<P class="p785 ft125">Detta direktiv riktar sig till medlemsstaterna.</P>
<P class="p789 ft125">Utfärdat i Strasbourg den 6 juli 2016.</P>
<TABLE cellpadding=0 cellspacing=0 class="t34">
<TR>
<TD class="tr0 td106"><P class="p790 ft184">På Europaparlaments vägnar</P></TD>
<TD class="tr0 td107"><P class="p791 ft184">På rådets vägnar</P></TD>
</TR>
<TR>
<TD class="tr20 td106"><P class="p790 ft124">M. SCHULZ</P></TD>
<TD class="tr20 td107"><P class="p791 ft124">I. KORČOK</P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<TABLE cellpadding=0 cellspacing=0 class="t35">
<TR>
<TD class="tr0 td108"><P class="p22 ft128">Ordförande</P></TD>
<TD class="tr0 td102"><P class="p22 ft166"> </P></TD>
<TD class="tr0 td108"><P class="p792 ft184">Ordförande</P></TD>
</TR>
<TR>
<TD class="tr22 td108"><P class="p22 ft166"> </P></TD>
<TD class="tr23 td109"><P class="p22 ft166"> </P></TD>
<TD class="tr22 td108"><P class="p22 ft166"> </P></TD>
</TR>
</TABLE>
</DIV>
</DIV>
<DIV id="page_344">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336344x1.jpg/" id="img1">
</DIV>
<TABLE cellpadding=0 cellspacing=0 class="t31">
<TR>
<TD class="tr17 td83"><P class="p22 ft125">L 194/26</P></TD>
<TD class="tr18 td84"><P class="p573 ft124">SV</P></TD>
<TD class="tr17 td78"><P class="p574 ft125">Europeiska unionens officiella tidning</P></TD>
<TD class="tr17 td91"><P class="p23 ft125">19.7.2016</P></TD>
</TR>
<TR>
<TD class="tr19 td87"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td88"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td92"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td93"><P class="p22 ft126"> </P></TD>
</TR>
</TABLE>
<P class="p793 ft142">BILAGA I</P>
<P class="p794 ft160">KRAV PÅ ENHETER FÖR HANTERING AV <NOBR>IT-SÄKERHETSINCIDENTER</NOBR> (<SPAN class="ft185">COMPUTER SECURITY INCIDENT RESPONSE TEAMS</SPAN>, NEDAN KALLADE <NOBR><SPAN class="ft185">CSIRT-ENHETER</SPAN>)</NOBR> SAMT DERAS UPPGIFTER</P>
<P class="p795 ft125">Kraven på <NOBR>CSIRT-enheter</NOBR> samt deras uppgifter ska på ett lämpligt och entydigt sätt fastställas och stödjas genom nationell politik och/eller lagstiftning. Följande ska ingå:</P>
<P class="p796 ft125"><SPAN class="ft2">1.</SPAN><SPAN class="ft163">Krav på </SPAN><NOBR>CSIRT-enheter</NOBR></P>
<P class="p797 ft135"><SPAN class="ft132">a)</SPAN><NOBR><SPAN class="ft186">CSIRT-enheterna</SPAN></NOBR> ska säkerställa en hög nivå på tillgången till sina kommunikationstjänster genom att undvika felkritiska systemdelar (<SPAN class="ft150">single points of failure</SPAN>) och ska kunna kontaktas och kontakta andra när som helst och på flera olika sätt. Kommunikationskanalerna ska dessutom vara tydligt specificerade och välkända för användargruppen och samarbetspartner.</P>
<P class="p798 ft125"><SPAN class="ft124">b)</SPAN><NOBR><SPAN class="ft163">CSIRT-enheternas</SPAN></NOBR> lokaler och de informationssystem som de använder sig av ska vara belägna på säker plats.</P>
<P class="p799 ft125"><SPAN class="ft132">c)</SPAN><SPAN class="ft162">Driftskontinuitet:</SPAN></P>
<P class="p800 ft125"><SPAN class="ft125">i)</SPAN><NOBR><SPAN class="ft177">CSIRT-enheter</SPAN></NOBR> ska ha ett ändamålsenligt system för handläggning och dirigering av ansökningar, så att överlämnanden underlättas.</P>
<P class="p801 ft125"><SPAN class="ft125">ii)</SPAN><NOBR><SPAN class="ft179">CSIRT-enheter</SPAN></NOBR> ska ha tillräckligt med personal för att ständigt vara tillgängliga.</P>
<P class="p802 ft125"><SPAN class="ft125">iii)</SPAN><NOBR><SPAN class="ft162">CSIRT-enheter</SPAN></NOBR> ska förlita sig på en infrastruktur med säkerställd kontinuitet. Därför måste systemen ha inbyggd redundans och reservlokaler finnas tillgängliga.</P>
<P class="p803 ft125"><SPAN class="ft124">d)</SPAN><NOBR><SPAN class="ft163">CSIRT-enheter</SPAN></NOBR> ska om de så önskar ha möjlighet att delta i internationella samarbetsnätverk.</P>
<P class="p804 ft125"><SPAN class="ft2">2.</SPAN><NOBR><SPAN class="ft163">CSIRT-enheters</SPAN></NOBR> uppgifter</P>
<P class="p799 ft125"><SPAN class="ft132">a)</SPAN><NOBR><SPAN class="ft162">CSIRT-enheters</SPAN></NOBR> uppgifter ska omfatta minst följande:</P>
<P class="p805 ft125"><SPAN class="ft125">i)</SPAN><SPAN class="ft177">Övervakning av incidenter på nationell nivå.</SPAN></P>
<P class="p800 ft125"><SPAN class="ft125">ii)</SPAN><SPAN class="ft179">Tillhandahållande av tidiga varningar, larm, meddelanden och informationsspridning till relevanta aktörer om risker och incidenter.</SPAN></P>
<P class="p806 ft125"><SPAN class="ft125">iii)</SPAN><SPAN class="ft162">Åtgärder till följd av incidenter.</SPAN></P>
<P class="p805 ft125"><SPAN class="ft125">iv)</SPAN><SPAN class="ft162">Tillhandahållande av dynamisk risk- och incidentanalys och situationsmedvetenhet.</SPAN></P>
<P class="p805 ft125"><SPAN class="ft125">v)</SPAN><SPAN class="ft178">Deltagande i </SPAN><NOBR>CSIRT-nätverket.</NOBR></P>
<P class="p798 ft125"><SPAN class="ft124">b)</SPAN><NOBR><SPAN class="ft163">CSIRT-enheter</SPAN></NOBR> ska bygga upp samarbetsrelationer med den privata sektorn.</P>
<P class="p807 ft125"><SPAN class="ft132">c)</SPAN><SPAN class="ft162">För att underlätta samarbete ska </SPAN><NOBR>CSIRT-enheter</NOBR> främja antagandet och användningen av gemensam eller standardiserad praxis för</P>
<P class="p801 ft125"><SPAN class="ft125">i)</SPAN><SPAN class="ft172">förfaranden för hantering av incidenter och risker,</SPAN></P>
<P class="p805 ft125"><SPAN class="ft125">ii)</SPAN><SPAN class="ft163">klassificeringssystem för incidenter, risker och information.</SPAN></P>
</DIV>
<DIV id="page_345">
<TABLE cellpadding=0 cellspacing=0 class="t31">
<TR>
<TD colspan=3 class="tr17 td110"><P class="p808 ft124">19.7.2016</P></TD>
<TD class="tr17 td111"><P class="p22 ft166"> </P></TD>
<TD class="tr18 td84"><P class="p809 ft124">SV</P></TD>
<TD class="tr17 td13"><P class="p22 ft166"> </P></TD>
<TD class="tr17 td104"><P class="p22 ft166"> </P></TD>
<TD colspan=3 class="tr17 td112"><P class="p810 ft125">Europeiska unionens officiella tidning</P></TD>
<TD class="tr17 td102"><P class="p22 ft166"> </P></TD>
<TD class="tr17 td113"><P class="p22 ft166"> </P></TD>
<TD class="tr17 td42"><P class="p22 ft166"> </P></TD>
<TD class="tr17 td13"><P class="p22 ft166"> </P></TD>
<TD colspan=3 class="tr17 td113"><P class="p811 ft2">L 194/27</P></TD>
</TR>
<TR>
<TD class="tr19 td114"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td115"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td116"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td117"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td88"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td118"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td119"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td120"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td121"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td122"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td109"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td123"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td124"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td118"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td125"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td126"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td88"><P class="p22 ft126"> </P></TD>
</TR>
<TR>
<TD class="tr24 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr24 td128"><P class="p22 ft166"> </P></TD>
<TD class="tr24 td129"><P class="p22 ft166"> </P></TD>
<TD class="tr24 td130"><P class="p22 ft166"> </P></TD>
<TD class="tr24 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr24 td13"><P class="p22 ft166"> </P></TD>
<TD class="tr24 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr24 td132"><P class="p22 ft166"> </P></TD>
<TD colspan=2 class="tr24 td133"><P class="p812 ft187">BILAGA II</P></TD>
<TD class="tr24 td102"><P class="p22 ft166"> </P></TD>
<TD class="tr24 td113"><P class="p22 ft166"> </P></TD>
<TD class="tr24 td42"><P class="p22 ft166"> </P></TD>
<TD class="tr24 td13"><P class="p22 ft166"> </P></TD>
<TD class="tr24 td134"><P class="p22 ft166"> </P></TD>
<TD class="tr24 td135"><P class="p22 ft166"> </P></TD>
<TD class="tr24 td131"><P class="p22 ft166"> </P></TD>
</TR>
<TR>
<TD class="tr25 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr25 td128"><P class="p22 ft166"> </P></TD>
<TD class="tr25 td129"><P class="p22 ft166"> </P></TD>
<TD class="tr25 td130"><P class="p22 ft166"> </P></TD>
<TD class="tr25 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr25 td13"><P class="p22 ft166"> </P></TD>
<TD class="tr25 td104"><P class="p22 ft166"> </P></TD>
<TD colspan=3 class="tr25 td112"><P class="p813 ft160">TYPER AV ENHETER ENLIGT ARTIKEL 4.4</P></TD>
<TD class="tr25 td102"><P class="p22 ft166"> </P></TD>
<TD class="tr25 td113"><P class="p22 ft166"> </P></TD>
<TD class="tr25 td42"><P class="p22 ft166"> </P></TD>
<TD class="tr25 td13"><P class="p22 ft166"> </P></TD>
<TD class="tr25 td134"><P class="p22 ft166"> </P></TD>
<TD class="tr25 td135"><P class="p22 ft166"> </P></TD>
<TD class="tr25 td131"><P class="p22 ft166"> </P></TD>
</TR>
<TR>
<TD class="tr6 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td115"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td116"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td117"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td88"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td118"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td119"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td120"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td121"><P class="p22 ft166"> </P></TD>
<TD colspan=3 class="tr15 td136"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td124"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td118"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td125"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td126"><P class="p22 ft166"> </P></TD>
<TD class="tr6 td131"><P class="p22 ft166"> </P></TD>
</TR>
<TR>
<TD class="tr2 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td128"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td129"><P class="p22 ft166"> </P></TD>
<TD colspan=3 class="tr2 td137"><P class="p814 ft132">Sektor</P></TD>
<TD class="tr2 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td138"><P class="p815 ft124">Delsektor</P></TD>
<TD class="tr2 td28"><P class="p22 ft166"> </P></TD>
<TD colspan=3 class="tr2 td139"><P class="p574 ft124">Typ av enhet</P></TD>
<TD class="tr2 td42"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td13"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td134"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td135"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td131"><P class="p22 ft166"> </P></TD>
</TR>
<TR>
<TD class="tr26 td127"><P class="p22 ft188"> </P></TD>
<TD class="tr27 td115"><P class="p22 ft189"> </P></TD>
<TD class="tr27 td116"><P class="p22 ft189"> </P></TD>
<TD class="tr27 td117"><P class="p22 ft189"> </P></TD>
<TD class="tr27 td88"><P class="p22 ft189"> </P></TD>
<TD class="tr27 td140"><P class="p22 ft189"> </P></TD>
<TD class="tr27 td119"><P class="p22 ft189"> </P></TD>
<TD class="tr27 td141"><P class="p22 ft189"> </P></TD>
<TD class="tr27 td121"><P class="p22 ft189"> </P></TD>
<TD colspan=6 class="tr27 td142"><P class="p22 ft189"> </P></TD>
<TD colspan=2 class="tr26 td102"><P class="p22 ft188"> </P></TD>
</TR>
<TR>
<TD colspan=2 class="tr0 td95"><P class="p816 ft125">1.</P></TD>
<TD class="tr0 td129"><P class="p655 ft125">Energi</P></TD>
<TD class="tr0 td130"><P class="p22 ft166"> </P></TD>
<TD class="tr0 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr0 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr0 td104"><P class="p817 ft125">a)</P></TD>
<TD class="tr0 td138"><P class="p22 ft125">Elektricitet</P></TD>
<TD class="tr0 td28"><P class="p817 ft125">—</P></TD>
<TD colspan=8 class="tr0 td144"><P class="p22 ft2">Elföretag enligt definitionen i artikel 2.35 i Europaparlamentets</P></TD>
</TR>
<TR>
<TD class="tr7 td127"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td128"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td129"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td130"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td131"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td143"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td104"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td138"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td28"><P class="p22 ft190"> </P></TD>
<TD colspan=8 class="tr7 td144"><P class="p22 ft158">och rådets direktiv 2009/72/EG (<SPAN class="ft191">1</SPAN>) som bedriver ”leverans el</P></TD>
</TR>
<TR>
<TD class="tr20 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td128"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td129"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td130"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td138"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td28"><P class="p22 ft166"> </P></TD>
<TD colspan=8 class="tr20 td144"><P class="p22 ft125">ler handel” enligt definitionen i artikel 2.19 i det direktivet</P></TD>
</TR>
<TR>
<TD class="tr7 td127"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td128"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td129"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td130"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td131"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td143"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td104"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td138"><P class="p22 ft190"> </P></TD>
<TD class="tr28 td121"><P class="p22 ft192"> </P></TD>
<TD colspan=3 class="tr28 td136"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td124"><P class="p22 ft192"> </P></TD>
<TD colspan=2 class="tr28 td145"><P class="p22 ft192"> </P></TD>
<TD colspan=2 class="tr7 td102"><P class="p22 ft190"> </P></TD>
</TR>
<TR>
<TD class="tr15 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td128"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td129"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td130"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td138"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td28"><P class="p817 ft125">—</P></TD>
<TD colspan=3 class="tr15 td139"><P class="p22 ft124">Systemansvariga för distributionssystemet</P></TD>
<TD class="tr15 td42"><P class="p29 ft125">enligt</P></TD>
<TD colspan=4 class="tr15 td146"><P class="p808 ft2">definitionen</P></TD>
</TR>
<TR>
<TD class="tr18 td127"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td128"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td129"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td130"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td131"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td143"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td104"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td138"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td28"><P class="p22 ft193"> </P></TD>
<TD colspan=3 class="tr18 td139"><P class="p22 ft135">i artikel 2.6 i direktiv 2009/72/EG</P></TD>
<TD class="tr18 td42"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td13"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td134"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td135"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td131"><P class="p22 ft193"> </P></TD>
</TR>
<TR>
<TD class="tr7 td127"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td128"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td129"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td130"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td131"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td143"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td104"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td138"><P class="p22 ft190"> </P></TD>
<TD class="tr28 td121"><P class="p22 ft192"> </P></TD>
<TD colspan=3 class="tr28 td136"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td124"><P class="p22 ft192"> </P></TD>
<TD colspan=2 class="tr28 td145"><P class="p22 ft192"> </P></TD>
<TD colspan=2 class="tr7 td102"><P class="p22 ft190"> </P></TD>
</TR>
<TR>
<TD class="tr15 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td128"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td129"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td130"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td138"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td28"><P class="p817 ft125">—</P></TD>
<TD colspan=3 class="tr15 td139"><P class="p22 ft124">Systemansvariga för överföringssystemet</P></TD>
<TD class="tr15 td42"><P class="p22 ft125">enligt</P></TD>
<TD colspan=4 class="tr15 td146"><P class="p808 ft2">definitionen</P></TD>
</TR>
<TR>
<TD class="tr18 td127"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td128"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td129"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td130"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td131"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td143"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td104"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td138"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td28"><P class="p22 ft193"> </P></TD>
<TD colspan=3 class="tr18 td139"><P class="p22 ft135">i artikel 2.4 i direktiv 2009/72/EG</P></TD>
<TD class="tr18 td42"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td13"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td134"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td135"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td131"><P class="p22 ft193"> </P></TD>
</TR>
<TR>
<TD class="tr18 td127"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td128"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td129"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td130"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td131"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td143"><P class="p22 ft193"> </P></TD>
<TD class="tr7 td119"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td141"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td121"><P class="p22 ft190"> </P></TD>
<TD colspan=2 class="tr7 td147"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td123"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td124"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td118"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td125"><P class="p22 ft190"> </P></TD>
<TD class="tr18 td135"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td131"><P class="p22 ft193"> </P></TD>
</TR>
<TR>
<TD class="tr15 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td128"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td129"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td130"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td104"><P class="p817 ft125">b)</P></TD>
<TD class="tr15 td138"><P class="p29 ft125">Olja</P></TD>
<TD class="tr15 td28"><P class="p817 ft125">—</P></TD>
<TD colspan=2 class="tr15 td148"><P class="p22 ft125">Operatörer av oljeledningar</P></TD>
<TD class="tr15 td113"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td42"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td13"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td134"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td135"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td131"><P class="p22 ft166"> </P></TD>
</TR>
<TR>
<TD class="tr18 td127"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td128"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td129"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td130"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td131"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td143"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td104"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td138"><P class="p22 ft193"> </P></TD>
<TD colspan=3 class="tr7 td149"><P class="p22 ft190"> </P></TD>
<TD colspan=4 class="tr7 td150"><P class="p22 ft190"> </P></TD>
<TD colspan=2 class="tr18 td102"><P class="p22 ft193"> </P></TD>
</TR>
<TR>
<TD class="tr15 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td128"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td129"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td130"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td138"><P class="p22 ft166"> </P></TD>
<TD colspan=3 class="tr15 td151"><P class="p817 ft125">— Operatörer av oljeproduktion,</P></TD>
<TD colspan=6 class="tr15 td152"><P class="p808 ft124">raffinaderier, bearbetningsan</P></TD>
</TR>
<TR>
<TD class="tr18 td127"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td128"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td129"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td130"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td131"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td143"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td104"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td138"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td28"><P class="p22 ft193"> </P></TD>
<TD colspan=3 class="tr18 td139"><P class="p22 ft135">läggningar, lagring och överföring</P></TD>
<TD class="tr18 td42"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td13"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td134"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td135"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td131"><P class="p22 ft193"> </P></TD>
</TR>
<TR>
<TD class="tr7 td127"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td128"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td129"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td130"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td131"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td143"><P class="p22 ft190"> </P></TD>
<TD class="tr28 td119"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td141"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td121"><P class="p22 ft192"> </P></TD>
<TD colspan=6 class="tr28 td142"><P class="p22 ft192"> </P></TD>
<TD colspan=2 class="tr7 td102"><P class="p22 ft190"> </P></TD>
</TR>
<TR>
<TD class="tr15 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td128"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td129"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td130"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td104"><P class="p817 ft125">c)</P></TD>
<TD class="tr15 td138"><P class="p22 ft125">Gas</P></TD>
<TD class="tr15 td28"><P class="p817 ft125">—</P></TD>
<TD colspan=8 class="tr15 td144"><P class="p22 ft125">Gashandelsföretag eller gashandlare enligt definitionen i</P></TD>
</TR>
<TR>
<TD class="tr7 td127"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td128"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td129"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td130"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td131"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td143"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td104"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td138"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td28"><P class="p22 ft190"> </P></TD>
<TD colspan=8 class="tr7 td144"><P class="p22 ft158">artikel 2.8 i Europaparlamentets och rådets direktiv</P></TD>
</TR>
<TR>
<TD class="tr3 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td128"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td129"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td130"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td138"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td28"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td153"><P class="p22 ft125">2009/73/EG (<SPAN class="ft191">2</SPAN>)</P></TD>
<TD class="tr3 td102"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td113"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td42"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td13"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td134"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td135"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td131"><P class="p22 ft166"> </P></TD>
</TR>
<TR>
<TD class="tr29 td127"><P class="p22 ft194"> </P></TD>
<TD class="tr29 td128"><P class="p22 ft194"> </P></TD>
<TD class="tr29 td129"><P class="p22 ft194"> </P></TD>
<TD class="tr29 td130"><P class="p22 ft194"> </P></TD>
<TD class="tr29 td131"><P class="p22 ft194"> </P></TD>
<TD class="tr29 td143"><P class="p22 ft194"> </P></TD>
<TD class="tr29 td104"><P class="p22 ft194"> </P></TD>
<TD class="tr29 td138"><P class="p22 ft194"> </P></TD>
<TD class="tr30 td121"><P class="p22 ft195"> </P></TD>
<TD colspan=3 class="tr30 td136"><P class="p22 ft195"> </P></TD>
<TD class="tr30 td124"><P class="p22 ft195"> </P></TD>
<TD colspan=2 class="tr30 td145"><P class="p22 ft195"> </P></TD>
<TD colspan=2 class="tr29 td102"><P class="p22 ft194"> </P></TD>
</TR>
<TR>
<TD class="tr15 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td128"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td129"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td130"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td138"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td28"><P class="p817 ft125">—</P></TD>
<TD colspan=3 class="tr15 td139"><P class="p22 ft124">Systemansvariga för distributionssystemet</P></TD>
<TD class="tr15 td42"><P class="p29 ft125">enligt</P></TD>
<TD colspan=4 class="tr15 td146"><P class="p808 ft2">definitionen</P></TD>
</TR>
<TR>
<TD class="tr18 td127"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td128"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td129"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td130"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td131"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td143"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td104"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td138"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td28"><P class="p22 ft193"> </P></TD>
<TD colspan=3 class="tr18 td139"><P class="p22 ft135">i artikel 2.6 i direktiv 2009/73/EG</P></TD>
<TD class="tr18 td42"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td13"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td134"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td135"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td131"><P class="p22 ft193"> </P></TD>
</TR>
<TR>
<TD class="tr7 td127"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td128"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td129"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td130"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td131"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td143"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td104"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td138"><P class="p22 ft190"> </P></TD>
<TD class="tr28 td121"><P class="p22 ft192"> </P></TD>
<TD colspan=3 class="tr28 td136"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td124"><P class="p22 ft192"> </P></TD>
<TD colspan=2 class="tr28 td145"><P class="p22 ft192"> </P></TD>
<TD colspan=2 class="tr7 td102"><P class="p22 ft190"> </P></TD>
</TR>
<TR>
<TD class="tr15 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td128"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td129"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td130"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td138"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td28"><P class="p817 ft125">—</P></TD>
<TD colspan=3 class="tr15 td139"><P class="p22 ft124">Systemansvariga för överföringssystemet</P></TD>
<TD class="tr15 td42"><P class="p22 ft125">enligt</P></TD>
<TD colspan=4 class="tr15 td146"><P class="p808 ft2">definitionen</P></TD>
</TR>
<TR>
<TD class="tr20 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td128"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td129"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td130"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td138"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td28"><P class="p22 ft166"> </P></TD>
<TD colspan=3 class="tr20 td139"><P class="p22 ft125">i artikel 2.4 i direktiv 2009/73/EG</P></TD>
<TD class="tr20 td42"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td13"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td134"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td135"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td131"><P class="p22 ft166"> </P></TD>
</TR>
<TR>
<TD class="tr7 td127"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td128"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td129"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td130"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td131"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td143"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td104"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td138"><P class="p22 ft190"> </P></TD>
<TD colspan=7 class="tr28 td154"><P class="p22 ft192"> </P></TD>
<TD colspan=2 class="tr7 td102"><P class="p22 ft190"> </P></TD>
</TR>
<TR>
<TD class="tr15 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td128"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td129"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td130"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td138"><P class="p22 ft166"> </P></TD>
<TD colspan=9 class="tr15 td18"><P class="p817 ft2">— Systemansvariga för lagringssystemet enligt definitionen i arti</P></TD>
</TR>
<TR>
<TD class="tr18 td127"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td128"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td129"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td130"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td131"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td143"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td104"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td138"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td28"><P class="p22 ft193"> </P></TD>
<TD colspan=2 class="tr18 td148"><P class="p22 ft2">kel 2.10 i direktiv 2009/73/EG</P></TD>
<TD class="tr18 td113"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td42"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td13"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td134"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td135"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td131"><P class="p22 ft193"> </P></TD>
</TR>
<TR>
<TD class="tr7 td127"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td128"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td129"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td130"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td131"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td143"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td104"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td138"><P class="p22 ft190"> </P></TD>
<TD class="tr28 td121"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td122"><P class="p22 ft192"> </P></TD>
<TD colspan=2 class="tr28 td155"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td124"><P class="p22 ft192"> </P></TD>
<TD colspan=2 class="tr28 td145"><P class="p22 ft192"> </P></TD>
<TD colspan=2 class="tr7 td102"><P class="p22 ft190"> </P></TD>
</TR>
<TR>
<TD class="tr15 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td128"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td129"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td130"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td138"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td28"><P class="p817 ft125">—</P></TD>
<TD class="tr15 td153"><P class="p22 ft2">Systemansvariga för en</P></TD>
<TD colspan=2 class="tr15 td156"><P class="p22 ft124"><NOBR>LNG-anläggning</NOBR></P></TD>
<TD class="tr15 td42"><P class="p22 ft125">enligt</P></TD>
<TD colspan=4 class="tr15 td146"><P class="p808 ft2">definitionen</P></TD>
</TR>
<TR>
<TD class="tr18 td127"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td128"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td129"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td130"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td131"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td143"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td104"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td138"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td28"><P class="p22 ft193"> </P></TD>
<TD colspan=3 class="tr18 td139"><P class="p22 ft135">i artikel 2.12 i direktiv 2009/73/EG</P></TD>
<TD class="tr18 td42"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td13"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td134"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td135"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td131"><P class="p22 ft193"> </P></TD>
</TR>
<TR>
<TD class="tr18 td127"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td128"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td129"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td130"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td131"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td143"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td104"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td138"><P class="p22 ft193"> </P></TD>
<TD colspan=7 class="tr7 td154"><P class="p22 ft190"> </P></TD>
<TD colspan=2 class="tr18 td102"><P class="p22 ft193"> </P></TD>
</TR>
<TR>
<TD class="tr15 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td128"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td129"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td130"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td138"><P class="p22 ft166"> </P></TD>
<TD colspan=9 class="tr15 td18"><P class="p817 ft125">— Naturgasföretag enligt definitionen i artikel 2.1 i direktiv</P></TD>
</TR>
<TR>
<TD class="tr18 td127"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td128"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td129"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td130"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td131"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td143"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td104"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td138"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td28"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td153"><P class="p22 ft135">2009/73/EG</P></TD>
<TD class="tr18 td102"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td113"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td42"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td13"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td134"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td135"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td131"><P class="p22 ft193"> </P></TD>
</TR>
<TR>
<TD class="tr7 td127"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td128"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td129"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td130"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td131"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td143"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td104"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td138"><P class="p22 ft190"> </P></TD>
<TD colspan=7 class="tr28 td154"><P class="p22 ft192"> </P></TD>
<TD colspan=2 class="tr7 td102"><P class="p22 ft190"> </P></TD>
</TR>
<TR>
<TD class="tr15 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td128"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td129"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td130"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td138"><P class="p22 ft166"> </P></TD>
<TD colspan=9 class="tr15 td18"><P class="p817 ft125">— Operatörer av raffinaderier och bearbetningsanläggningar för</P></TD>
</TR>
<TR>
<TD class="tr18 td127"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td128"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td129"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td130"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td131"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td143"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td104"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td138"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td28"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td153"><P class="p22 ft135">naturgas</P></TD>
<TD class="tr18 td102"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td113"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td42"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td13"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td134"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td135"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td131"><P class="p22 ft193"> </P></TD>
</TR>
<TR>
<TD class="tr18 td127"><P class="p22 ft193"> </P></TD>
<TD class="tr7 td115"><P class="p22 ft190"> </P></TD>
<TD colspan=2 class="tr7 td97"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td88"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td140"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td119"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td141"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td121"><P class="p22 ft190"> </P></TD>
<TD colspan=6 class="tr7 td142"><P class="p22 ft190"> </P></TD>
<TD colspan=2 class="tr18 td102"><P class="p22 ft193"> </P></TD>
</TR>
<TR>
<TD colspan=2 class="tr31 td95"><P class="p816 ft125">2.</P></TD>
<TD colspan=4 class="tr31 td157"><P class="p655 ft125">Transporter</P></TD>
<TD class="tr31 td104"><P class="p817 ft125">a)</P></TD>
<TD class="tr31 td138"><P class="p22 ft125">Lufttransport</P></TD>
<TD class="tr31 td28"><P class="p817 ft125">—</P></TD>
<TD colspan=8 class="tr31 td144"><P class="p22 ft125">Lufttrafikföretag enligt definitionen i artikel 3.4 i Europaparla</P></TD>
</TR>
<TR>
<TD class="tr3 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td128"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td129"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td130"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td138"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td28"><P class="p22 ft166"> </P></TD>
<TD colspan=5 class="tr3 td158"><P class="p22 ft125">mentets och rådets förordning (EG) nr 300/2008 (<SPAN class="ft191">3</SPAN>)</P></TD>
<TD class="tr3 td134"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td135"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td131"><P class="p22 ft166"> </P></TD>
</TR>
<TR>
<TD class="tr29 td127"><P class="p22 ft194"> </P></TD>
<TD class="tr29 td128"><P class="p22 ft194"> </P></TD>
<TD class="tr29 td129"><P class="p22 ft194"> </P></TD>
<TD class="tr29 td130"><P class="p22 ft194"> </P></TD>
<TD class="tr29 td131"><P class="p22 ft194"> </P></TD>
<TD class="tr29 td143"><P class="p22 ft194"> </P></TD>
<TD class="tr29 td104"><P class="p22 ft194"> </P></TD>
<TD class="tr29 td138"><P class="p22 ft194"> </P></TD>
<TD class="tr30 td121"><P class="p22 ft195"> </P></TD>
<TD colspan=4 class="tr30 td159"><P class="p22 ft195"> </P></TD>
<TD class="tr30 td118"><P class="p22 ft195"> </P></TD>
<TD class="tr30 td125"><P class="p22 ft195"> </P></TD>
<TD class="tr29 td135"><P class="p22 ft194"> </P></TD>
<TD class="tr29 td131"><P class="p22 ft194"> </P></TD>
</TR>
<TR>
<TD class="tr15 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td128"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td129"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td130"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td138"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td28"><P class="p817 ft125">—</P></TD>
<TD colspan=4 class="tr15 td160"><P class="p22 ft124">Flygplatsens ledningsenheter enligt definitionen</P></TD>
<TD class="tr15 td13"><P class="p22 ft125">i artikel</P></TD>
<TD class="tr15 td134"><P class="p23 ft125">2.2</P></TD>
<TD class="tr15 td135"><P class="p22 ft166"> </P></TD>
<TD class="tr15 td131"><P class="p22 ft166"> </P></TD>
</TR>
<TR>
<TD class="tr7 td127"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td128"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td129"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td130"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td131"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td143"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td104"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td138"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td28"><P class="p22 ft190"> </P></TD>
<TD colspan=8 class="tr7 td144"><P class="p22 ft149">i Europaparlamentets och rådets direktiv 2009/12/EG (<SPAN class="ft196">4</SPAN>), f lyg</P></TD>
</TR>
<TR>
<TD class="tr7 td127"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td128"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td129"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td130"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td131"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td143"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td104"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td138"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td28"><P class="p22 ft190"> </P></TD>
<TD colspan=8 class="tr7 td144"><P class="p22 ft158">platser enligt definitionen i artikel 2.1 i det direktivet, inbegri</P></TD>
</TR>
<TR>
<TD class="tr7 td127"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td128"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td129"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td130"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td131"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td143"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td104"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td138"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td28"><P class="p22 ft190"> </P></TD>
<TD colspan=8 class="tr7 td144"><P class="p22 ft158">pet de huvudflygplatser som förtecknas i avsnitt 2 i bilaga II</P></TD>
</TR>
<TR>
<TD class="tr7 td127"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td128"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td129"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td130"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td131"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td143"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td104"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td138"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td28"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td153"><P class="p22 ft149">till Europaparlamentets</P></TD>
<TD class="tr7 td102"><P class="p818 ft158">och</P></TD>
<TD class="tr7 td113"><P class="p24 ft158">rådets</P></TD>
<TD colspan=2 class="tr7 td161"><P class="p817 ft158">förordning</P></TD>
<TD colspan=3 class="tr7 td113"><P class="p808 ft124">(EU)</P></TD>
</TR>
<TR>
<TD class="tr7 td127"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td128"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td129"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td130"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td131"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td143"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td104"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td138"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td28"><P class="p22 ft190"> </P></TD>
<TD colspan=8 class="tr7 td144"><P class="p22 ft158">nr 1315/2013 (<SPAN class="ft191">5</SPAN>), och enheter som driver kringliggande in</P></TD>
</TR>
<TR>
<TD class="tr20 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td128"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td129"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td130"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td138"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td28"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td153"><P class="p22 ft124">stallationer vid f lygplatser</P></TD>
<TD class="tr20 td102"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td113"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td42"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td13"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td134"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td135"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td131"><P class="p22 ft166"> </P></TD>
</TR>
<TR>
<TD class="tr7 td127"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td128"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td129"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td130"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td131"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td143"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td104"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td138"><P class="p22 ft190"> </P></TD>
<TD class="tr28 td121"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td122"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td109"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td123"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td124"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td118"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td125"><P class="p22 ft192"> </P></TD>
<TD class="tr7 td135"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td131"><P class="p22 ft190"> </P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="page_346">
<TABLE cellpadding=0 cellspacing=0 class="t31">
<TR>
<TD colspan=2 class="tr17 td162"><P class="p22 ft125">L 194/28</P></TD>
<TD class="tr17 td163"><P class="p22 ft166"> </P></TD>
<TD class="tr18 td84"><P class="p809 ft124">SV</P></TD>
<TD class="tr17 td13"><P class="p22 ft166"> </P></TD>
<TD class="tr17 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr17 td31"><P class="p22 ft166"> </P></TD>
<TD colspan=3 class="tr17 td164"><P class="p819 ft125">Europeiska unionens officiella tidning</P></TD>
<TD colspan=3 class="tr17 td110"><P class="p23 ft125">19.7.2016</P></TD>
</TR>
<TR>
<TD class="tr19 td114"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td165"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td166"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td88"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td118"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td119"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td167"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td168"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td121"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td169"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td170"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td126"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td88"><P class="p22 ft126"> </P></TD>
</TR>
<TR>
<TD class="tr2 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr17 td165"><P class="p22 ft166"> </P></TD>
<TD class="tr17 td166"><P class="p22 ft166"> </P></TD>
<TD class="tr17 td88"><P class="p22 ft166"> </P></TD>
<TD class="tr17 td118"><P class="p22 ft166"> </P></TD>
<TD class="tr17 td119"><P class="p22 ft166"> </P></TD>
<TD class="tr17 td167"><P class="p22 ft166"> </P></TD>
<TD class="tr17 td168"><P class="p22 ft166"> </P></TD>
<TD class="tr17 td121"><P class="p22 ft166"> </P></TD>
<TD class="tr17 td169"><P class="p22 ft166"> </P></TD>
<TD class="tr17 td170"><P class="p22 ft166"> </P></TD>
<TD class="tr17 td126"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td131"><P class="p22 ft166"> </P></TD>
</TR>
<TR>
<TD class="tr2 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td15"><P class="p22 ft166"> </P></TD>
<TD colspan=3 class="tr2 td171"><P class="p814 ft124">Sektor</P></TD>
<TD class="tr2 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td31"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td172"><P class="p22 ft124">Delsektor</P></TD>
<TD class="tr2 td28"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td173"><P class="p574 ft124">Typ av enhet</P></TD>
<TD class="tr2 td174"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td135"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td131"><P class="p22 ft166"> </P></TD>
</TR>
<TR>
<TD class="tr26 td127"><P class="p22 ft188"> </P></TD>
<TD class="tr27 td165"><P class="p22 ft189"> </P></TD>
<TD class="tr27 td166"><P class="p22 ft189"> </P></TD>
<TD class="tr27 td88"><P class="p22 ft189"> </P></TD>
<TD class="tr27 td140"><P class="p22 ft189"> </P></TD>
<TD class="tr27 td119"><P class="p22 ft189"> </P></TD>
<TD class="tr27 td167"><P class="p22 ft189"> </P></TD>
<TD class="tr27 td175"><P class="p22 ft189"> </P></TD>
<TD colspan=3 class="tr27 td154"><P class="p22 ft189"> </P></TD>
<TD colspan=2 class="tr26 td102"><P class="p22 ft188"> </P></TD>
</TR>
<TR>
<TD class="tr0 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr0 td15"><P class="p22 ft166"> </P></TD>
<TD class="tr0 td176"><P class="p22 ft166"> </P></TD>
<TD class="tr0 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr0 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr0 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr0 td31"><P class="p22 ft166"> </P></TD>
<TD class="tr0 td172"><P class="p22 ft166"> </P></TD>
<TD colspan=5 class="tr0 td18"><P class="p817 ft125">— Operatörer inom trafikstyrning och trafikledning som tillhan</P></TD>
</TR>
<TR>
<TD class="tr7 td127"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td15"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td176"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td131"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td143"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td104"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td31"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td172"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td28"><P class="p22 ft190"> </P></TD>
<TD colspan=4 class="tr7 td144"><P class="p22 ft158">dahåller f lygkontrolltjänst enligt definitionen i artikel 2.1 i Eu</P></TD>
</TR>
<TR>
<TD class="tr3 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td15"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td176"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td31"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td172"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td28"><P class="p22 ft166"> </P></TD>
<TD colspan=4 class="tr3 td144"><P class="p22 ft125">ropaparlamentets och rådets förordning (EG) nr 549/2004 (<SPAN class="ft191">6</SPAN>)</P></TD>
</TR>
<TR>
<TD class="tr18 td127"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td15"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td176"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td131"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td143"><P class="p22 ft193"> </P></TD>
<TD class="tr7 td119"><P class="p22 ft190"> </P></TD>
<TD colspan=2 class="tr7 td141"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td121"><P class="p22 ft190"> </P></TD>
<TD colspan=2 class="tr7 td142"><P class="p22 ft190"> </P></TD>
<TD colspan=2 class="tr18 td102"><P class="p22 ft193"> </P></TD>
</TR>
<TR>
<TD class="tr32 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td15"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td176"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td104"><P class="p817 ft125">b)</P></TD>
<TD colspan=2 class="tr32 td138"><P class="p29 ft125">Järnvägstransport</P></TD>
<TD class="tr32 td28"><P class="p817 ft125">—</P></TD>
<TD colspan=4 class="tr32 td144"><P class="p22 ft125">Infrastrukturförvaltare enligt definitionen i artikel 3.2 i Europa</P></TD>
</TR>
<TR>
<TD class="tr3 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td15"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td176"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td31"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td172"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td28"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td173"><P class="p22 ft2">parlamentets och rådets direktiv 2012/34/EU (<SPAN class="ft196">7</SPAN>)</P></TD>
<TD class="tr3 td174"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td135"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td131"><P class="p22 ft166"> </P></TD>
</TR>
<TR>
<TD class="tr18 td127"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td15"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td176"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td131"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td143"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td104"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td31"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td172"><P class="p22 ft193"> </P></TD>
<TD colspan=2 class="tr7 td177"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td170"><P class="p22 ft190"> </P></TD>
<TD colspan=2 class="tr18 td102"><P class="p22 ft193"> </P></TD>
</TR>
<TR>
<TD class="tr32 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td15"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td176"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td31"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td172"><P class="p22 ft166"> </P></TD>
<TD colspan=2 class="tr32 td178"><P class="p817 ft125">— Järnvägsföretag enligt definitionen i artikel 3.1</P></TD>
<TD colspan=3 class="tr32 td110"><P class="p808 ft125">i direktiv</P></TD>
</TR>
<TR>
<TD class="tr7 td127"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td15"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td176"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td131"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td143"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td104"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td31"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td172"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td28"><P class="p22 ft190"> </P></TD>
<TD colspan=4 class="tr7 td144"><P class="p22 ft158">2012/34/EU, inbegripet tjänsteleverantörer enligt definitionen</P></TD>
</TR>
<TR>
<TD class="tr20 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td15"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td176"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td31"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td172"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td28"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td173"><P class="p22 ft125">i artikel 3.12 i direktiv 2012/34/EU</P></TD>
<TD class="tr20 td174"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td135"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td131"><P class="p22 ft166"> </P></TD>
</TR>
<TR>
<TD class="tr2 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td15"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td176"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr17 td119"><P class="p22 ft166"> </P></TD>
<TD colspan=2 class="tr17 td141"><P class="p22 ft166"> </P></TD>
<TD class="tr17 td121"><P class="p22 ft166"> </P></TD>
<TD colspan=2 class="tr17 td142"><P class="p22 ft166"> </P></TD>
<TD colspan=2 class="tr2 td102"><P class="p22 ft166"> </P></TD>
</TR>
<TR>
<TD class="tr33 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr33 td15"><P class="p22 ft166"> </P></TD>
<TD class="tr33 td176"><P class="p22 ft166"> </P></TD>
<TD class="tr33 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr33 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr33 td104"><P class="p817 ft125">c)</P></TD>
<TD colspan=2 class="tr33 td138"><P class="p22 ft125">Sjöfart</P></TD>
<TD class="tr33 td28"><P class="p817 ft125">—</P></TD>
<TD colspan=4 class="tr33 td144"><P class="p22 ft125">Transportföretag som bedriver persontrafik och godstrafik på</P></TD>
</TR>
<TR>
<TD class="tr7 td127"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td15"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td176"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td131"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td143"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td104"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td31"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td172"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td28"><P class="p22 ft190"> </P></TD>
<TD colspan=4 class="tr7 td144"><P class="p22 ft158">inre vattenvägar, till havs och längs kuster, enligt definitio</P></TD>
</TR>
<TR>
<TD class="tr7 td127"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td15"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td176"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td131"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td143"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td104"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td31"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td172"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td28"><P class="p22 ft190"> </P></TD>
<TD colspan=4 class="tr7 td144"><P class="p22 ft158">nerna för sjötransport i bilaga I till Europaparlamentets och</P></TD>
</TR>
<TR>
<TD class="tr7 td127"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td15"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td176"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td131"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td143"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td104"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td31"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td172"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td28"><P class="p22 ft190"> </P></TD>
<TD colspan=4 class="tr7 td144"><P class="p22 ft158">rådets förordning (EG) nr 725/2004 (<SPAN class="ft191">8</SPAN>), exklusive de enskilda</P></TD>
</TR>
<TR>
<TD class="tr18 td127"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td15"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td176"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td131"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td143"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td104"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td31"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td172"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td28"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td173"><P class="p22 ft135">fartyg som drivs av dessa företag</P></TD>
<TD class="tr18 td174"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td135"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td131"><P class="p22 ft193"> </P></TD>
</TR>
<TR>
<TD class="tr3 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td15"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td176"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td31"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td172"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td121"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td169"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td170"><P class="p22 ft166"> </P></TD>
<TD colspan=2 class="tr3 td102"><P class="p22 ft166"> </P></TD>
</TR>
<TR>
<TD class="tr32 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td15"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td176"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td31"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td172"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td28"><P class="p817 ft125">—</P></TD>
<TD class="tr32 td173"><P class="p22 ft2">Ledningsenheter för hamnar enligt definitionen i</P></TD>
<TD colspan=3 class="tr32 td110"><P class="p808 ft2">artikel 3.1</P></TD>
</TR>
<TR>
<TD class="tr7 td127"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td15"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td176"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td131"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td143"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td104"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td31"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td172"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td28"><P class="p22 ft190"> </P></TD>
<TD colspan=4 class="tr7 td144"><P class="p22 ft158">i Europaparlamentets och rådets direktiv 2005/65/EG (<SPAN class="ft191">9</SPAN>), in</P></TD>
</TR>
<TR>
<TD class="tr7 td127"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td15"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td176"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td131"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td143"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td104"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td31"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td172"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td28"><P class="p22 ft190"> </P></TD>
<TD colspan=4 class="tr7 td144"><P class="p22 ft158">begripet deras hamnanläggningar enligt definitionen i arti</P></TD>
</TR>
<TR>
<TD class="tr7 td127"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td15"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td176"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td131"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td143"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td104"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td31"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td172"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td28"><P class="p22 ft190"> </P></TD>
<TD colspan=4 class="tr7 td144"><P class="p22 ft158">kel 2.11 i förordning (EG) nr 725/2004, och enheter som skö</P></TD>
</TR>
<TR>
<TD class="tr20 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td15"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td176"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td31"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td172"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td28"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td173"><P class="p22 ft125">ter anläggningar och utrustning i hamnar</P></TD>
<TD class="tr20 td174"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td135"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td131"><P class="p22 ft166"> </P></TD>
</TR>
<TR>
<TD class="tr2 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td15"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td176"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td31"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td172"><P class="p22 ft166"> </P></TD>
<TD colspan=3 class="tr17 td154"><P class="p22 ft166"> </P></TD>
<TD colspan=2 class="tr2 td102"><P class="p22 ft166"> </P></TD>
</TR>
<TR>
<TD class="tr32 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td15"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td176"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td31"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td172"><P class="p22 ft166"> </P></TD>
<TD colspan=5 class="tr32 td18"><P class="p817 ft125">— Operatörer av sjötrafikinformationstjänster enligt definitionen</P></TD>
</TR>
<TR>
<TD class="tr18 td127"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td15"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td176"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td131"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td143"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td104"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td31"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td172"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td28"><P class="p22 ft193"> </P></TD>
<TD colspan=4 class="tr18 td144"><P class="p22 ft135">i artikel 3 o i Europaparlamentets och rådets direktiv</P></TD>
</TR>
<TR>
<TD class="tr2 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td15"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td176"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td31"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td172"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td28"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td173"><P class="p22 ft125">2002/59/EG (<SPAN class="ft191">10</SPAN>)</P></TD>
<TD class="tr2 td174"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td135"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td131"><P class="p22 ft166"> </P></TD>
</TR>
<TR>
<TD class="tr18 td127"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td15"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td176"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td131"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td143"><P class="p22 ft193"> </P></TD>
<TD class="tr7 td119"><P class="p22 ft190"> </P></TD>
<TD colspan=2 class="tr7 td141"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td121"><P class="p22 ft190"> </P></TD>
<TD colspan=2 class="tr7 td142"><P class="p22 ft190"> </P></TD>
<TD colspan=2 class="tr18 td102"><P class="p22 ft193"> </P></TD>
</TR>
<TR>
<TD class="tr33 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr33 td15"><P class="p22 ft166"> </P></TD>
<TD class="tr33 td176"><P class="p22 ft166"> </P></TD>
<TD class="tr33 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr33 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr33 td104"><P class="p817 ft125">d)</P></TD>
<TD colspan=2 class="tr33 td138"><P class="p29 ft125">Vägtransport</P></TD>
<TD class="tr33 td28"><P class="p817 ft125">—</P></TD>
<TD colspan=4 class="tr33 td144"><P class="p22 ft125">Vägmyndigheter enligt definitionen i artikel 2.12 i kommissio</P></TD>
</TR>
<TR>
<TD class="tr7 td127"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td15"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td176"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td131"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td143"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td104"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td31"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td172"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td28"><P class="p22 ft190"> </P></TD>
<TD colspan=4 class="tr7 td144"><P class="p22 ft158">nens delegerade förordning (EU) 2015/962 (<SPAN class="ft191">11</SPAN>) med ansvar för</P></TD>
</TR>
<TR>
<TD class="tr18 td127"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td15"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td176"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td131"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td143"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td104"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td31"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td172"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td28"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td173"><P class="p22 ft135">trafikstyrning och trafikledning</P></TD>
<TD class="tr18 td174"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td135"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td131"><P class="p22 ft193"> </P></TD>
</TR>
<TR>
<TD class="tr3 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td15"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td176"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td31"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td172"><P class="p22 ft166"> </P></TD>
<TD colspan=3 class="tr2 td154"><P class="p22 ft166"> </P></TD>
<TD colspan=2 class="tr3 td102"><P class="p22 ft166"> </P></TD>
</TR>
<TR>
<TD class="tr32 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td15"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td176"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td31"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td172"><P class="p22 ft166"> </P></TD>
<TD colspan=5 class="tr32 td18"><P class="p817 ft125">— Operatörer av intelligenta transportsystem enligt definitionen</P></TD>
</TR>
<TR>
<TD class="tr7 td127"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td15"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td176"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td131"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td143"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td104"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td31"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td172"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td28"><P class="p22 ft190"> </P></TD>
<TD colspan=4 class="tr7 td144"><P class="p22 ft158">i artikel 4.1 i Europaparlamentets och rådets direktiv</P></TD>
</TR>
<TR>
<TD class="tr3 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td15"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td176"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td31"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td172"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td28"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td173"><P class="p22 ft125">2010/40/EU (<SPAN class="ft191">12</SPAN>)</P></TD>
<TD class="tr3 td174"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td135"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td131"><P class="p22 ft166"> </P></TD>
</TR>
<TR>
<TD class="tr18 td127"><P class="p22 ft193"> </P></TD>
<TD class="tr7 td165"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td166"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td88"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td140"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td119"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td167"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td175"><P class="p22 ft190"> </P></TD>
<TD colspan=3 class="tr7 td154"><P class="p22 ft190"> </P></TD>
<TD colspan=2 class="tr18 td102"><P class="p22 ft193"> </P></TD>
</TR>
<TR>
<TD colspan=2 class="tr32 td162"><P class="p820 ft125">3.</P></TD>
<TD colspan=3 class="tr32 td171"><P class="p22 ft125">Bankverksamhet</P></TD>
<TD class="tr32 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td31"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td172"><P class="p22 ft166"> </P></TD>
<TD colspan=5 class="tr32 td18"><P class="p817 ft2">Kreditinstitut enligt definitionen i artikel 4.1 i Europaparlamentets</P></TD>
</TR>
<TR>
<TD class="tr3 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td15"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td176"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td31"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td172"><P class="p22 ft166"> </P></TD>
<TD colspan=2 class="tr3 td178"><P class="p817 ft125">och rådets förordning (EU) nr 575/2013 (<SPAN class="ft191">13</SPAN>)</P></TD>
<TD class="tr3 td174"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td135"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td131"><P class="p22 ft166"> </P></TD>
</TR>
<TR>
<TD class="tr18 td127"><P class="p22 ft193"> </P></TD>
<TD colspan=2 class="tr7 td179"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td88"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td140"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td119"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td167"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td175"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td121"><P class="p22 ft190"> </P></TD>
<TD colspan=2 class="tr7 td142"><P class="p22 ft190"> </P></TD>
<TD colspan=2 class="tr18 td102"><P class="p22 ft193"> </P></TD>
</TR>
<TR>
<TD class="tr32 td127"><P class="p22 ft166"> </P></TD>
<TD colspan=4 class="tr32 td180"><P class="p22 ft125">4. <NOBR>Finans-marknads-in</NOBR></P></TD>
<TD class="tr32 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td31"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td172"><P class="p22 ft166"> </P></TD>
<TD class="tr32 td28"><P class="p817 ft125">—</P></TD>
<TD colspan=4 class="tr32 td144"><P class="p22 ft125">Operatörer av handelsplatser enligt definitionen i artikel 4.24</P></TD>
</TR>
<TR>
<TD class="tr3 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td15"><P class="p22 ft166"> </P></TD>
<TD colspan=3 class="tr3 td171"><P class="p22 ft125">frastruktur</P></TD>
<TD class="tr3 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td31"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td172"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td28"><P class="p22 ft166"> </P></TD>
<TD colspan=4 class="tr3 td144"><P class="p22 ft125">i Europaparlamentets och rådets direktiv 2014/65/EU (<SPAN class="ft191">14</SPAN>)</P></TD>
</TR>
<TR>
<TD class="tr18 td127"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td15"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td176"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td131"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td143"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td104"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td31"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td172"><P class="p22 ft193"> </P></TD>
<TD colspan=3 class="tr7 td154"><P class="p22 ft190"> </P></TD>
<TD colspan=2 class="tr18 td102"><P class="p22 ft193"> </P></TD>
</TR>
<TR>
<TD class="tr33 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr33 td15"><P class="p22 ft166"> </P></TD>
<TD class="tr33 td176"><P class="p22 ft166"> </P></TD>
<TD class="tr33 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr33 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr33 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr33 td31"><P class="p22 ft166"> </P></TD>
<TD class="tr33 td172"><P class="p22 ft166"> </P></TD>
<TD colspan=5 class="tr33 td18"><P class="p817 ft125">— Centrala motparter enligt definitionen i artikel 2.1 i Europa</P></TD>
</TR>
<TR>
<TD class="tr2 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td15"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td176"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td104"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td31"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td172"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td28"><P class="p22 ft166"> </P></TD>
<TD colspan=4 class="tr2 td144"><P class="p22 ft125">parlamentets och rådets förordning (EU) nr 648/2012 (<SPAN class="ft191">15</SPAN>)</P></TD>
</TR>
<TR>
<TD class="tr18 td127"><P class="p22 ft193"> </P></TD>
<TD class="tr7 td165"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td166"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td88"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td140"><P class="p22 ft190"> </P></TD>
<TD colspan=2 class="tr7 td181"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td175"><P class="p22 ft190"> </P></TD>
<TD colspan=3 class="tr7 td154"><P class="p22 ft190"> </P></TD>
<TD colspan=2 class="tr18 td102"><P class="p22 ft193"> </P></TD>
</TR>
<TR>
<TD colspan=2 class="tr33 td162"><P class="p820 ft125">5.</P></TD>
<TD colspan=3 class="tr33 td171"><P class="p22 ft2">Hälso- och sjukvårds-</P></TD>
<TD colspan=2 class="tr33 td182"><P class="p817 ft125">Hälso-</P></TD>
<TD class="tr33 td172"><P class="p655 ft125">och sjukvårds</P></TD>
<TD colspan=5 class="tr33 td18"><P class="p817 ft125">Vårdgivare enligt definitionen i artikel 3 g i Europaparlamentets</P></TD>
</TR>
<TR>
<TD class="tr7 td127"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td15"><P class="p22 ft190"> </P></TD>
<TD colspan=3 class="tr7 td171"><P class="p22 ft158">sektorn</P></TD>
<TD colspan=2 class="tr7 td182"><P class="p817 ft158">miljöer</P></TD>
<TD class="tr7 td172"><P class="p655 ft158">(inklusive sjuk</P></TD>
<TD colspan=2 class="tr7 td178"><P class="p817 ft158">och rådets direktiv 2011/24/EU (<SPAN class="ft191">16</SPAN>)</P></TD>
<TD class="tr7 td174"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td135"><P class="p22 ft190"> </P></TD>
<TD class="tr7 td131"><P class="p22 ft190"> </P></TD>
</TR>
<TR>
<TD class="tr18 td127"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td15"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td176"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td131"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td143"><P class="p22 ft193"> </P></TD>
<TD colspan=3 class="tr18 td183"><P class="p817 ft2">hus och privata kliniker)</P></TD>
<TD class="tr18 td28"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td173"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td174"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td135"><P class="p22 ft193"> </P></TD>
<TD class="tr18 td131"><P class="p22 ft193"> </P></TD>
</TR>
<TR>
<TD class="tr3 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td165"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td166"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td88"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td140"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td119"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td167"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td175"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td121"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td169"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td170"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td135"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td131"><P class="p22 ft166"> </P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="page_347">
<TABLE cellpadding=0 cellspacing=0 class="t30">
<TR>
<TD colspan=4 class="tr17 td174"><P class="p23 ft124">19.7.2016</P></TD>
<TD class="tr17 td184"><P class="p22 ft166"> </P></TD>
<TD class="tr18 td84"><P class="p809 ft124">SV</P></TD>
<TD class="tr17 td13"><P class="p22 ft166"> </P></TD>
<TD colspan=3 class="tr17 td185"><P class="p821 ft125">Europeiska unionens officiella tidning</P></TD>
<TD colspan=3 class="tr17 td95"><P class="p22 ft2">L 194/29</P></TD>
</TR>
<TR>
<TD class="tr19 td114"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td126"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td186"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td187"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td188"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td88"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td118"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td189"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td121"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td190"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td186"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td126"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td88"><P class="p22 ft126"> </P></TD>
</TR>
<TR>
<TD class="tr2 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td135"><P class="p22 ft166"> </P></TD>
<TD class="tr17 td186"><P class="p22 ft166"> </P></TD>
<TD class="tr17 td187"><P class="p22 ft166"> </P></TD>
<TD class="tr17 td188"><P class="p22 ft166"> </P></TD>
<TD class="tr17 td88"><P class="p22 ft166"> </P></TD>
<TD class="tr17 td118"><P class="p22 ft166"> </P></TD>
<TD class="tr17 td189"><P class="p22 ft166"> </P></TD>
<TD class="tr17 td121"><P class="p22 ft166"> </P></TD>
<TD class="tr17 td190"><P class="p22 ft166"> </P></TD>
<TD class="tr17 td186"><P class="p22 ft166"> </P></TD>
<TD class="tr17 td126"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td131"><P class="p22 ft166"> </P></TD>
</TR>
<TR>
<TD class="tr2 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td135"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td191"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td192"><P class="p22 ft166"> </P></TD>
<TD colspan=3 class="tr2 td193"><P class="p814 ft124">Sektor</P></TD>
<TD class="tr2 td183"><P class="p822 ft124">Delsektor</P></TD>
<TD class="tr2 td28"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td194"><P class="p574 ft124">Typ av enhet</P></TD>
<TD class="tr2 td191"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td135"><P class="p22 ft166"> </P></TD>
<TD class="tr2 td131"><P class="p22 ft166"> </P></TD>
</TR>
<TR>
<TD colspan=2 class="tr26 td195"><P class="p22 ft188"> </P></TD>
<TD class="tr27 td186"><P class="p22 ft189"> </P></TD>
<TD colspan=2 class="tr27 td181"><P class="p22 ft189"> </P></TD>
<TD class="tr27 td88"><P class="p22 ft189"> </P></TD>
<TD class="tr27 td140"><P class="p22 ft189"> </P></TD>
<TD class="tr27 td196"><P class="p22 ft189"> </P></TD>
<TD colspan=3 class="tr27 td154"><P class="p22 ft189"> </P></TD>
<TD colspan=2 class="tr26 td102"><P class="p22 ft188"> </P></TD>
</TR>
<TR>
<TD colspan=3 class="tr0 td100"><P class="p654 ft125">6.</P></TD>
<TD colspan=4 class="tr0 td197"><P class="p29 ft124">Leverans och distribu</P></TD>
<TD class="tr0 td183"><P class="p22 ft166"> </P></TD>
<TD colspan=5 class="tr0 td18"><P class="p817 ft125">Leverantörer och distributörer av dricksvatten enligt definitionen</P></TD>
</TR>
<TR>
<TD class="tr7 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr7 td135"><P class="p22 ft166"> </P></TD>
<TD class="tr7 td191"><P class="p22 ft166"> </P></TD>
<TD colspan=4 class="tr7 td197"><P class="p29 ft158">tion av dricksvatten</P></TD>
<TD class="tr7 td183"><P class="p22 ft166"> </P></TD>
<TD colspan=5 class="tr7 td18"><P class="p817 ft149">i artikel 2.1 a i rådets direktiv 98/83/EG (<SPAN class="ft196">17</SPAN>), dock exklusive distri</P></TD>
</TR>
<TR>
<TD class="tr7 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr7 td135"><P class="p22 ft166"> </P></TD>
<TD class="tr7 td191"><P class="p22 ft166"> </P></TD>
<TD class="tr7 td192"><P class="p22 ft166"> </P></TD>
<TD class="tr7 td198"><P class="p22 ft166"> </P></TD>
<TD class="tr7 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr7 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr7 td183"><P class="p22 ft166"> </P></TD>
<TD colspan=5 class="tr7 td18"><P class="p817 ft158">butörer för vilka distribution av dricksvatten endast utgör en del</P></TD>
</TR>
<TR>
<TD class="tr7 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr7 td135"><P class="p22 ft166"> </P></TD>
<TD class="tr7 td191"><P class="p22 ft166"> </P></TD>
<TD class="tr7 td192"><P class="p22 ft166"> </P></TD>
<TD class="tr7 td198"><P class="p22 ft166"> </P></TD>
<TD class="tr7 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr7 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr7 td183"><P class="p22 ft166"> </P></TD>
<TD colspan=5 class="tr7 td18"><P class="p817 ft149">av deras allmänna verksamhet, som består i distribution av andra</P></TD>
</TR>
<TR>
<TD class="tr7 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr7 td135"><P class="p22 ft166"> </P></TD>
<TD class="tr7 td191"><P class="p22 ft166"> </P></TD>
<TD class="tr7 td192"><P class="p22 ft166"> </P></TD>
<TD class="tr7 td198"><P class="p22 ft166"> </P></TD>
<TD class="tr7 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr7 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr7 td183"><P class="p22 ft166"> </P></TD>
<TD colspan=5 class="tr7 td18"><P class="p817 ft158">förnödenheter och varor som inte anses utgöra samhällsviktiga</P></TD>
</TR>
<TR>
<TD class="tr20 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td135"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td191"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td192"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td198"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td183"><P class="p22 ft166"> </P></TD>
<TD colspan=2 class="tr20 td199"><P class="p817 ft125">tjänster</P></TD>
<TD class="tr20 td191"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td135"><P class="p22 ft166"> </P></TD>
<TD class="tr20 td131"><P class="p22 ft166"> </P></TD>
</TR>
<TR>
<TD colspan=2 class="tr27 td195"><P class="p22 ft189"> </P></TD>
<TD class="tr34 td186"><P class="p22 ft197"> </P></TD>
<TD colspan=2 class="tr34 td181"><P class="p22 ft197"> </P></TD>
<TD class="tr34 td88"><P class="p22 ft197"> </P></TD>
<TD class="tr34 td140"><P class="p22 ft197"> </P></TD>
<TD class="tr34 td196"><P class="p22 ft197"> </P></TD>
<TD class="tr34 td121"><P class="p22 ft197"> </P></TD>
<TD class="tr34 td190"><P class="p22 ft197"> </P></TD>
<TD class="tr34 td186"><P class="p22 ft197"> </P></TD>
<TD class="tr27 td135"><P class="p22 ft189"> </P></TD>
<TD class="tr27 td131"><P class="p22 ft189"> </P></TD>
</TR>
<TR>
<TD colspan=3 class="tr3 td100"><P class="p654 ft125">7.</P></TD>
<TD colspan=4 class="tr3 td197"><P class="p29 ft125">Digital infrastruktur</P></TD>
<TD class="tr3 td183"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td28"><P class="p817 ft125">—</P></TD>
<TD class="tr3 td194"><P class="p22 ft125">Internetknutpunkter</P></TD>
<TD class="tr3 td191"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td135"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td131"><P class="p22 ft166"> </P></TD>
</TR>
<TR>
<TD class="tr26 td127"><P class="p22 ft188"> </P></TD>
<TD class="tr26 td135"><P class="p22 ft188"> </P></TD>
<TD class="tr26 td191"><P class="p22 ft188"> </P></TD>
<TD class="tr26 td192"><P class="p22 ft188"> </P></TD>
<TD class="tr26 td198"><P class="p22 ft188"> </P></TD>
<TD class="tr26 td131"><P class="p22 ft188"> </P></TD>
<TD class="tr26 td143"><P class="p22 ft188"> </P></TD>
<TD class="tr26 td183"><P class="p22 ft188"> </P></TD>
<TD class="tr27 td121"><P class="p22 ft189"> </P></TD>
<TD class="tr27 td190"><P class="p22 ft189"> </P></TD>
<TD class="tr27 td186"><P class="p22 ft189"> </P></TD>
<TD class="tr26 td135"><P class="p22 ft188"> </P></TD>
<TD class="tr26 td131"><P class="p22 ft188"> </P></TD>
</TR>
<TR>
<TD class="tr3 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td135"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td191"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td192"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td198"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td183"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td28"><P class="p817 ft125">—</P></TD>
<TD class="tr3 td194"><P class="p22 ft125">Leverantörer av <NOBR>DNS-tjänster</NOBR></P></TD>
<TD class="tr3 td191"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td135"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td131"><P class="p22 ft166"> </P></TD>
</TR>
<TR>
<TD class="tr26 td127"><P class="p22 ft188"> </P></TD>
<TD class="tr26 td135"><P class="p22 ft188"> </P></TD>
<TD class="tr26 td191"><P class="p22 ft188"> </P></TD>
<TD class="tr26 td192"><P class="p22 ft188"> </P></TD>
<TD class="tr26 td198"><P class="p22 ft188"> </P></TD>
<TD class="tr26 td131"><P class="p22 ft188"> </P></TD>
<TD class="tr26 td143"><P class="p22 ft188"> </P></TD>
<TD class="tr26 td183"><P class="p22 ft188"> </P></TD>
<TD class="tr27 td121"><P class="p22 ft189"> </P></TD>
<TD class="tr27 td190"><P class="p22 ft189"> </P></TD>
<TD class="tr27 td186"><P class="p22 ft189"> </P></TD>
<TD class="tr26 td135"><P class="p22 ft188"> </P></TD>
<TD class="tr26 td131"><P class="p22 ft188"> </P></TD>
</TR>
<TR>
<TD class="tr3 td127"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td135"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td191"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td192"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td198"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td131"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td143"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td183"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td28"><P class="p817 ft125">—</P></TD>
<TD class="tr3 td194"><P class="p22 ft125">Registreringsenheter för toppdomäner</P></TD>
<TD class="tr3 td191"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td135"><P class="p22 ft166"> </P></TD>
<TD class="tr3 td131"><P class="p22 ft166"> </P></TD>
</TR>
<TR>
<TD colspan=2 class="tr35 td195"><P class="p22 ft198"> </P></TD>
<TD class="tr26 td186"><P class="p22 ft188"> </P></TD>
<TD class="tr26 td187"><P class="p22 ft188"> </P></TD>
<TD class="tr26 td188"><P class="p22 ft188"> </P></TD>
<TD class="tr26 td88"><P class="p22 ft188"> </P></TD>
<TD class="tr26 td140"><P class="p22 ft188"> </P></TD>
<TD class="tr26 td196"><P class="p22 ft188"> </P></TD>
<TD colspan=3 class="tr26 td154"><P class="p22 ft188"> </P></TD>
<TD colspan=2 class="tr35 td102"><P class="p22 ft198"> </P></TD>
</TR>
<TR>
<TD colspan=3 class="tr20 td100"><P class="p37 ft124">(<SPAN class="ft196">1</SPAN>)</P></TD>
<TD class="tr20 td192"><P class="p22 ft166"> </P></TD>
<TD colspan=9 class="tr20 td200"><P class="p22 ft124">Europaparlamentets och rådets direktiv 2009/72/EG av den 13 juli 2009 om gemensamma regler för den inre marknaden för el</P></TD>
</TR>
<TR>
<TD colspan=3 rowspan=2 class="tr31 td100"><P class="p37 ft124">(<SPAN class="ft196">2</SPAN>)</P></TD>
<TD class="tr28 td192"><P class="p22 ft192"> </P></TD>
<TD colspan=6 class="tr28 td201"><P class="p22 ft144">och om upphävande av direktiv 2003/54/EG (EUT L 211, 14.8.2009, s. 55).</P></TD>
<TD class="tr28 td191"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td135"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td131"><P class="p22 ft192"> </P></TD>
</TR>
<TR>
<TD class="tr36 td192"><P class="p22 ft199"> </P></TD>
<TD colspan=9 class="tr36 td200"><P class="p22 ft159">Europaparlamentets och rådets direktiv 2009/73/EG av den 13 juli 2009 om gemensamma regler för den inre marknaden för na</P></TD>
</TR>
<TR>
<TD colspan=3 rowspan=2 class="tr31 td100"><P class="p37 ft124">(<SPAN class="ft196">3</SPAN>)</P></TD>
<TD class="tr28 td192"><P class="p22 ft192"> </P></TD>
<TD colspan=6 class="tr28 td201"><P class="p22 ft144">turgas och om upphävande av direktiv 2003/55/EG (EUT L 211, 14.8.2009, s. 94).</P></TD>
<TD class="tr28 td191"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td135"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td131"><P class="p22 ft192"> </P></TD>
</TR>
<TR>
<TD class="tr36 td192"><P class="p22 ft199"> </P></TD>
<TD colspan=9 class="tr36 td200"><P class="p22 ft159">Europaparlamentets och rådets förordning (EG) nr 300/2008 av den 11 mars 2008 om gemensamma skyddsregler för den civila</P></TD>
</TR>
<TR>
<TD colspan=3 rowspan=2 class="tr31 td100"><P class="p37 ft124">(<SPAN class="ft196">4</SPAN>)</P></TD>
<TD class="tr28 td192"><P class="p22 ft192"> </P></TD>
<TD colspan=6 class="tr28 td201"><P class="p22 ft144">luftfarten och om upphävande av förordning (EG) nr 2320/2002 (EUT L 97, 9.4.2008, s. 72).</P></TD>
<TD class="tr28 td191"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td135"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td131"><P class="p22 ft192"> </P></TD>
</TR>
<TR>
<TD class="tr36 td192"><P class="p22 ft199"> </P></TD>
<TD colspan=6 class="tr36 td201"><P class="p22 ft200">Europaparlamentets och rådets direktiv 2009/12/EG av den 11 mars 2009 om f lygplatsavgifter (EUT L 70, 14.3.2009, s. 11).</P></TD>
<TD class="tr36 td191"><P class="p22 ft199"> </P></TD>
<TD class="tr36 td135"><P class="p22 ft199"> </P></TD>
<TD class="tr36 td131"><P class="p22 ft199"> </P></TD>
</TR>
<TR>
<TD colspan=3 class="tr28 td100"><P class="p37 ft144">(<SPAN class="ft196">5</SPAN>)</P></TD>
<TD class="tr28 td192"><P class="p22 ft192"> </P></TD>
<TD colspan=9 class="tr28 td200"><P class="p22 ft144">Europaparlamentets och rådets förordning (EU) nr 1315/2013 av den 11 december 2013 om unionens riktlinjer för utbyggnad av</P></TD>
</TR>
<TR>
<TD colspan=3 rowspan=2 class="tr31 td100"><P class="p37 ft124">(<SPAN class="ft196">6</SPAN>)</P></TD>
<TD class="tr28 td192"><P class="p22 ft192"> </P></TD>
<TD colspan=6 class="tr28 td201"><P class="p22 ft144">det transeuropeiska transportnätet och om upphävande av beslut nr 661/2010/EU (EUT L 348, 20.12.2013, s. 1).</P></TD>
<TD class="tr28 td191"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td135"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td131"><P class="p22 ft192"> </P></TD>
</TR>
<TR>
<TD class="tr36 td192"><P class="p22 ft199"> </P></TD>
<TD colspan=9 class="tr36 td200"><P class="p22 ft159">Europaparlamentets och rådets förordning (EG) nr 549/2004 av den 10 mars 2004 om ramen för inrättande av det gemensamma</P></TD>
</TR>
<TR>
<TD colspan=3 rowspan=2 class="tr31 td100"><P class="p37 ft124">(<SPAN class="ft196">7</SPAN>)</P></TD>
<TD class="tr28 td192"><P class="p22 ft192"> </P></TD>
<TD colspan=6 class="tr28 td201"><P class="p22 ft144">europeiska luftrummet (”ramförordning”) (EUT L 96, 31.3.2004, s. 1).</P></TD>
<TD class="tr28 td191"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td135"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td131"><P class="p22 ft192"> </P></TD>
</TR>
<TR>
<TD class="tr36 td192"><P class="p22 ft199"> </P></TD>
<TD colspan=9 class="tr36 td200"><P class="p22 ft159">Europaparlamentets och rådets direktiv 2012/34/EU av den 21 november 2012 om inrättande av ett gemensamt europeiskt järn</P></TD>
</TR>
<TR>
<TD class="tr28 td127"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td135"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td191"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td192"><P class="p22 ft192"> </P></TD>
<TD colspan=5 class="tr28 td202"><P class="p22 ft144">vägsområde (EUT L 343, 14.12.2012, s. 32).</P></TD>
<TD class="tr28 td194"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td191"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td135"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td131"><P class="p22 ft192"> </P></TD>
</TR>
<TR>
<TD colspan=3 class="tr36 td100"><P class="p37 ft159">(<SPAN class="ft196">8</SPAN>)</P></TD>
<TD class="tr36 td192"><P class="p22 ft199"> </P></TD>
<TD colspan=9 class="tr36 td200"><P class="p22 ft159">Europaparlamentets och rådets förordning (EG) nr 725/2004 av den 31 mars 2004 om förbättrat sjöfartsskydd på fartyg och i ham</P></TD>
</TR>
<TR>
<TD class="tr28 td127"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td135"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td191"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td192"><P class="p22 ft192"> </P></TD>
<TD colspan=5 class="tr28 td202"><P class="p22 ft144">nanläggningar (EUT L 129, 29.4.2004, s. 6).</P></TD>
<TD class="tr28 td194"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td191"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td135"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td131"><P class="p22 ft192"> </P></TD>
</TR>
<TR>
<TD colspan=3 class="tr36 td100"><P class="p37 ft159">(<SPAN class="ft196">9</SPAN>)</P></TD>
<TD class="tr36 td192"><P class="p22 ft199"> </P></TD>
<TD colspan=9 class="tr36 td200"><P class="p22 ft159">Europaparlamentets och rådets direktiv 2005/65/EG av den 26 oktober 2005 om ökat hamnskydd (EUT L 310, 25.11.2005,</P></TD>
</TR>
<TR>
<TD colspan=3 rowspan=2 class="tr31 td100"><P class="p37 ft124">(<SPAN class="ft196">10</SPAN>)</P></TD>
<TD class="tr28 td192"><P class="p22 ft192"> </P></TD>
<TD colspan=3 class="tr28 td203"><P class="p22 ft144">s. 28).</P></TD>
<TD class="tr28 td204"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td28"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td194"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td191"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td135"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td131"><P class="p22 ft192"> </P></TD>
</TR>
<TR>
<TD class="tr36 td192"><P class="p22 ft199"> </P></TD>
<TD colspan=9 class="tr36 td200"><P class="p22 ft159">Europaparlamentets och rådets direktiv 2002/59/EG av den 27 juni 2002 om inrättande av ett övervaknings- och informationssys</P></TD>
</TR>
<TR>
<TD class="tr28 td127"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td135"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td191"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td192"><P class="p22 ft192"> </P></TD>
<TD colspan=6 class="tr28 td201"><P class="p22 ft144">tem för sjötrafik i gemenskapen och om upphävande av rådets direktiv 93/75/EEG (EGT L 208, 5.8.2002, s. 10).</P></TD>
<TD class="tr28 td191"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td135"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td131"><P class="p22 ft192"> </P></TD>
</TR>
<TR>
<TD colspan=3 class="tr36 td100"><P class="p37 ft159">(<SPAN class="ft196">11</SPAN>)</P></TD>
<TD class="tr36 td192"><P class="p22 ft199"> </P></TD>
<TD colspan=9 class="tr36 td200"><P class="p22 ft159">Kommissionens delegerade förordning (EU) 2015/962 av den 18 december 2014 om komplettering av Europaparlamentets och rå</P></TD>
</TR>
<TR>
<TD class="tr28 td127"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td135"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td191"><P class="p22 ft192"> </P></TD>
<TD class="tr28 td192"><P class="p22 ft192"> </P></TD>
<TD colspan=9 class="tr28 td200"><P class="p22 ft144">dets direktiv 2010/40/EU vad gäller tillhandahållande av <NOBR>EU-omfattande</NOBR> realtidstrafikinformationstjänster (EUT L 157, 23.6.2015,</P></TD>
</TR>
<TR>
<TD colspan=3 rowspan=2 class="tr31 td100"><P class="p37 ft124">(<SPAN class="ft196">12</SPAN>)</P></TD>
<TD class="tr36 td192"><P class="p22 ft199"> </P></TD>
<TD colspan=3 class="tr36 td203"><P class="p22 ft159">s. 21).</P></TD>
<TD class="tr36 td204"><P class="p22 ft199"> </P></TD>
<TD class="tr36 td28"><P class="p22 ft199"> </P></TD>
<TD class="tr36 td194"><P class="p22 ft199"> </P></TD>
<TD class="tr36 td191"><P class="p22 ft199"> </P></TD>
<TD class="tr36 td135"><P class="p22 ft199"> </P></TD>
<TD class="tr36 td131"><P class="p22 ft199"> </P></TD>
</TR>
<TR>
<TD class="tr28 td192"><P class="p22 ft192"> </P></TD>
<TD colspan=9 class="tr28 td200"><P class="p22 ft144">Europaparlamentets och rådets direktiv 2010/40/EU av den 7 juli 2010 om ett ramverk för införande av intelligenta transportsys</P></TD>
</TR>
<TR>
<TD colspan=3 rowspan=2 class="tr31 td100"><P class="p37 ft124">(<SPAN class="ft196">13</SPAN>)</P></TD>
<TD class="tr36 td192"><P class="p22 ft199"> </P></TD>
<TD colspan=6 class="tr36 td201"><P class="p22 ft159">tem på vägtransportområdet och för gränssnitt mot andra transportslag (EUT L 207, 6.8.2010, s. 1).</P></TD>
<TD class="tr36 td191"><P class="p22 ft199"> </P></TD>
<TD class="tr36 td135"><P class="p22 ft199"> </P></TD>
<TD class="tr36 td131"><P class="p22 ft199"> </P></TD>
</TR>
<TR>
<TD class="tr28 td192"><P class="p22 ft192"> </P></TD>
<TD colspan=9 class="tr28 td200"><P class="p22 ft144">Europaparlamentets och rådets förordning (EU) nr 575/2013 av den 26 juni 2013 om tillsynskrav för kreditinstitut och värdepap</P></TD>
</TR>
<TR>
<TD colspan=3 rowspan=2 class="tr31 td100"><P class="p37 ft124">(<SPAN class="ft196">14</SPAN>)</P></TD>
<TD class="tr36 td192"><P class="p22 ft199"> </P></TD>
<TD colspan=6 class="tr36 td201"><P class="p22 ft159">persföretag och om ändring av förordning (EU) nr 648/2012 (EUT L 176, 27.6.2013, s. 1).</P></TD>
<TD class="tr36 td191"><P class="p22 ft199"> </P></TD>
<TD class="tr36 td135"><P class="p22 ft199"> </P></TD>
<TD class="tr36 td131"><P class="p22 ft199"> </P></TD>
</TR>
<TR>
<TD class="tr28 td192"><P class="p22 ft192"> </P></TD>
<TD colspan=9 class="tr28 td200"><P class="p22 ft144">Europaparlamentets och rådets direktiv 2014/65/EU av den 15 maj 2014 om marknader för finansiella instrument och om ändring</P></TD>
</TR>
<TR>
<TD colspan=3 rowspan=2 class="tr31 td100"><P class="p37 ft124">(<SPAN class="ft196">15</SPAN>)</P></TD>
<TD class="tr36 td192"><P class="p22 ft199"> </P></TD>
<TD colspan=6 class="tr36 td201"><P class="p22 ft159">av direktiv 2002/92/EG och av direktiv 2011/61/EU (EUT L 173, 12.6.2014, s. 349).</P></TD>
<TD class="tr36 td191"><P class="p22 ft199"> </P></TD>
<TD class="tr36 td135"><P class="p22 ft199"> </P></TD>
<TD class="tr36 td131"><P class="p22 ft199"> </P></TD>
</TR>
<TR>
<TD class="tr28 td192"><P class="p22 ft192"> </P></TD>
<TD colspan=9 class="tr28 td200"><P class="p22 ft144">Europaparlamentets och rådets förordning (EU) nr 648/2012 av den 4 juli 2012 om OTC<SPAN class="ft201">‑</SPAN>derivat, centrala motparter och transak</P></TD>
</TR>
<TR>
<TD colspan=3 rowspan=2 class="tr31 td100"><P class="p37 ft124">(<SPAN class="ft196">16</SPAN>)</P></TD>
<TD class="tr36 td192"><P class="p22 ft199"> </P></TD>
<TD colspan=5 class="tr36 td202"><P class="p22 ft159">tionsregister (EUT L 201, 27.7.2012, s. 1).</P></TD>
<TD class="tr36 td194"><P class="p22 ft199"> </P></TD>
<TD class="tr36 td191"><P class="p22 ft199"> </P></TD>
<TD class="tr36 td135"><P class="p22 ft199"> </P></TD>
<TD class="tr36 td131"><P class="p22 ft199"> </P></TD>
</TR>
<TR>
<TD class="tr28 td192"><P class="p22 ft192"> </P></TD>
<TD colspan=9 class="tr28 td200"><P class="p22 ft144">Europaparlamentets och rådets direktiv 2011/24/EU av den 9 mars 2011 om tillämpningen av patienträttigheter vid gränsöverskri</P></TD>
</TR>
<TR>
<TD colspan=3 rowspan=2 class="tr25 td100"><P class="p37 ft124">(<SPAN class="ft196">17</SPAN>)</P></TD>
<TD class="tr36 td192"><P class="p22 ft199"> </P></TD>
<TD colspan=5 class="tr36 td202"><P class="p22 ft159">dande hälso- och sjukvård (EUT L 88, 4.4.2011, s. 45).</P></TD>
<TD class="tr36 td194"><P class="p22 ft199"> </P></TD>
<TD class="tr36 td191"><P class="p22 ft199"> </P></TD>
<TD class="tr36 td135"><P class="p22 ft199"> </P></TD>
<TD class="tr36 td131"><P class="p22 ft199"> </P></TD>
</TR>
<TR>
<TD class="tr17 td192"><P class="p22 ft166"> </P></TD>
<TD colspan=6 class="tr17 td201"><P class="p22 ft124">Rådets direktiv 98/83/EG av den 3 november 1998 om kvaliteten på dricksvatten (EGT L 330, 5.12.1998, s. 32).</P></TD>
<TD class="tr17 td191"><P class="p22 ft166"> </P></TD>
<TD class="tr17 td135"><P class="p22 ft166"> </P></TD>
<TD class="tr17 td131"><P class="p22 ft166"> </P></TD>
</TR>
<TR>
<TD class="tr19 td127"><P class="p22 ft126"> </P></TD>
<TD class="tr37 td126"><P class="p22 ft202"> </P></TD>
<TD class="tr37 td186"><P class="p22 ft202"> </P></TD>
<TD class="tr37 td187"><P class="p22 ft202"> </P></TD>
<TD class="tr37 td188"><P class="p22 ft202"> </P></TD>
<TD class="tr37 td88"><P class="p22 ft202"> </P></TD>
<TD class="tr37 td118"><P class="p22 ft202"> </P></TD>
<TD class="tr37 td189"><P class="p22 ft202"> </P></TD>
<TD class="tr37 td121"><P class="p22 ft202"> </P></TD>
<TD class="tr37 td190"><P class="p22 ft202"> </P></TD>
<TD class="tr37 td186"><P class="p22 ft202"> </P></TD>
<TD class="tr19 td135"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td131"><P class="p22 ft126"> </P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="page_348">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336348x1.jpg/" id="img1">
</DIV>
<TABLE cellpadding=0 cellspacing=0 class="t36">
<TR>
<TD class="tr17 td83"><P class="p22 ft125">L 194/30</P></TD>
<TD class="tr18 td84"><P class="p573 ft124">SV</P></TD>
<TD class="tr17 td78"><P class="p574 ft125">Europeiska unionens officiella tidning</P></TD>
<TD class="tr17 td91"><P class="p23 ft125">19.7.2016</P></TD>
</TR>
<TR>
<TD class="tr19 td87"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td88"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td92"><P class="p22 ft126"> </P></TD>
<TD class="tr19 td93"><P class="p22 ft126"> </P></TD>
</TR>
</TABLE>
<P class="p823 ft142">BILAGA III</P>
<P class="p824 ft160">TYPER AV DIGITALA TJÄNSTER ENLIGT ARTIKEL 4.5</P>
<P class="p825 ft125"><SPAN class="ft2">1.</SPAN><SPAN class="ft163">Internetbaserad marknadsplats.</SPAN></P>
<P class="p826 ft125"><SPAN class="ft2">2.</SPAN><SPAN class="ft163">Internetbaserad sökmotor.</SPAN></P>
<P class="p826 ft125"><SPAN class="ft2">3.</SPAN><SPAN class="ft163">Molntjänster.</SPAN></P>
</DIV>
<DIV id="page_349">
<DIV id="id_1">
<P class="p558 ft19">Bilaga 3</P>
<P class="p559 ft7">Jämförelsetabell</P>
<P class="p827 ft8">Jämförelsetabell – en sammanställning av bestämmelserna i NIS- direktivet och motsvarande bestämmelser i den föreslagna lagen och i den föreslagna förordningen.</P>
<TABLE cellpadding=0 cellspacing=0 class="t37">
<TR>
<TD class="tr12 td205"><P class="p828 ft203">Artikel i <NOBR>NIS-direktivet</NOBR></P></TD>
<TD colspan=2 class="tr12 td206"><P class="p44 ft203">Bestämmelse i lagen eller förordningen</P></TD>
</TR>
<TR>
<TD class="tr27 td207"><P class="p22 ft204"> </P></TD>
<TD class="tr27 td208"><P class="p22 ft204"> </P></TD>
<TD class="tr27 td209"><P class="p22 ft204"> </P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p829 ft205">1.1</P></TD>
<TD class="tr2 td101"><P class="p816 ft205">1</P></TD>
<TD class="tr2 td211"><P class="p22 ft205">§ lagen</P></TD>
</TR>
<TR>
<TD class="tr38 td212"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td213"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td214"><P class="p22 ft206"> </P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p829 ft205">1.2</P></TD>
<TD class="tr2 td101"><P class="p44 ft205">–</P></TD>
<TD class="tr2 td211"><P class="p22 ft15"> </P></TD>
</TR>
<TR>
<TD class="tr38 td212"><P class="p22 ft206"> </P></TD>
<TD colspan=2 class="tr38 td215"><P class="p22 ft206"> </P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p829 ft205">1.3</P></TD>
<TD colspan=2 class="tr2 td216"><P class="p44 ft205"><NOBR>3–4</NOBR> §§ lagen</P></TD>
</TR>
<TR>
<TD class="tr38 td212"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td213"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td214"><P class="p22 ft206"> </P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p828 ft205"><NOBR>1.4–5</NOBR></P></TD>
<TD class="tr2 td101"><P class="p44 ft205">–</P></TD>
<TD class="tr2 td211"><P class="p22 ft15"> </P></TD>
</TR>
<TR>
<TD class="tr38 td212"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td213"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td214"><P class="p22 ft206"> </P></TD>
</TR>
<TR>
<TD class="tr39 td212"><P class="p829 ft205">1.6</P></TD>
<TD class="tr39 td213"><P class="p816 ft205">6</P></TD>
<TD class="tr39 td214"><P class="p22 ft205">§ lagen</P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p829 ft205">1.7</P></TD>
<TD class="tr2 td101"><P class="p816 ft205">5</P></TD>
<TD class="tr2 td211"><P class="p22 ft205">§ första stycket lagen</P></TD>
</TR>
<TR>
<TD class="tr38 td212"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td213"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td214"><P class="p22 ft206"> </P></TD>
</TR>
<TR>
<TD class="tr39 td212"><P class="p830 ft205">2</P></TD>
<TD class="tr39 td213"><P class="p44 ft205">–</P></TD>
<TD class="tr39 td214"><P class="p22 ft15"> </P></TD>
</TR>
<TR>
<TD class="tr39 td212"><P class="p830 ft205">3</P></TD>
<TD class="tr39 td213"><P class="p44 ft205">–</P></TD>
<TD class="tr39 td214"><P class="p22 ft15"> </P></TD>
</TR>
<TR>
<TD class="tr0 td212"><P class="p830 ft205">4</P></TD>
<TD class="tr0 td213"><P class="p816 ft205">7</P></TD>
<TD class="tr0 td214"><P class="p22 ft205">§ lagen</P></TD>
</TR>
<TR>
<TD class="tr39 td212"><P class="p829 ft205">5.1</P></TD>
<TD class="tr39 td213"><P class="p816 ft205">2</P></TD>
<TD class="tr39 td214"><P class="p22 ft205">§ a och 8 § lagen</P></TD>
</TR>
<TR>
<TD class="tr39 td212"><P class="p829 ft205">5.2</P></TD>
<TD class="tr39 td213"><P class="p816 ft205">8</P></TD>
<TD class="tr39 td214"><P class="p22 ft205">§ första stycket lagen</P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p829 ft205">5.3</P></TD>
<TD colspan=2 class="tr2 td216"><P class="p44 ft205">46 § 1 lagen</P></TD>
</TR>
<TR>
<TD class="tr3 td210"><P class="p22 ft15"> </P></TD>
<TD colspan=2 class="tr3 td216"><P class="p44 ft205">10 § 2 förordningen</P></TD>
</TR>
<TR>
<TD class="tr38 td212"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td213"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td214"><P class="p22 ft206"> </P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p829 ft205">5.4</P></TD>
<TD class="tr2 td101"><P class="p816 ft205">8</P></TD>
<TD class="tr2 td211"><P class="p22 ft205">§ fjärde stycket lagen</P></TD>
</TR>
<TR>
<TD class="tr0 td212"><P class="p22 ft15"> </P></TD>
<TD class="tr0 td213"><P class="p816 ft205">3</P></TD>
<TD class="tr0 td214"><P class="p22 ft205">§ första stycket förordningen</P></TD>
</TR>
<TR>
<TD class="tr0 td212"><P class="p829 ft205">5.5</P></TD>
<TD colspan=2 class="tr0 td215"><P class="p44 ft205">10 § 2 förordningen</P></TD>
</TR>
<TR>
<TD class="tr39 td212"><P class="p829 ft205">5.6</P></TD>
<TD class="tr39 td213"><P class="p44 ft205">–</P></TD>
<TD class="tr39 td214"><P class="p22 ft15"> </P></TD>
</TR>
<TR>
<TD class="tr39 td212"><P class="p829 ft205">5.7</P></TD>
<TD class="tr39 td213"><P class="p44 ft205">–</P></TD>
<TD class="tr39 td214"><P class="p22 ft15"> </P></TD>
</TR>
<TR>
<TD class="tr39 td212"><P class="p829 ft205">6.1</P></TD>
<TD class="tr39 td213"><P class="p816 ft205">8</P></TD>
<TD class="tr39 td214"><P class="p22 ft205">§ andra stycket och 45 § 1 lagen</P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p829 ft205">6.2</P></TD>
<TD class="tr2 td101"><P class="p816 ft205">8</P></TD>
<TD class="tr2 td211"><P class="p22 ft205">§ tredje stycket och 45 § 1 lagen</P></TD>
</TR>
<TR>
<TD class="tr3 td210"><P class="p22 ft15"> </P></TD>
<TD colspan=2 class="tr3 td216"><P class="p44 ft205">11 § 2 förordningen</P></TD>
</TR>
<TR>
<TD class="tr38 td212"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td213"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td214"><P class="p22 ft206"> </P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">349</P>
</DIV>
</DIV>
<DIV id="page_350">
<DIV id="id_1">
<P class="p4 ft19">Bilaga 3 SOU 2017:36</P>
<TABLE cellpadding=0 cellspacing=0 class="t38">
<TR>
<TD class="tr0 td217"><P class="p830 ft10">7</P></TD>
<TD class="tr0 td218"><P class="p44 ft10">–</P></TD>
<TD class="tr0 td219"><P class="p22 ft15"> </P></TD>
<TD class="tr0 td220"><P class="p22 ft15"> </P></TD>
</TR>
<TR>
<TD class="tr38 td212"><P class="p22 ft206"> </P></TD>
<TD colspan=2 class="tr38 td221"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td222"><P class="p22 ft206"> </P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p811 ft10"><NOBR>8.1–2</NOBR></P></TD>
<TD colspan=2 class="tr2 td19"><P class="p44 ft10">22</P></TD>
<TD class="tr2 td223"><P class="p831 ft10">§ lagen</P></TD>
</TR>
<TR>
<TD class="tr12 td212"><P class="p22 ft15"> </P></TD>
<TD class="tr12 td213"><P class="p44 ft10">5</P></TD>
<TD colspan=2 class="tr12 td224"><P class="p22 ft10">§ förordningen</P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p811 ft10"><NOBR>8.3–4</NOBR></P></TD>
<TD colspan=2 class="tr2 td19"><P class="p44 ft10">43</P></TD>
<TD class="tr2 td223"><P class="p831 ft10">§ lagen</P></TD>
</TR>
<TR>
<TD class="tr3 td210"><P class="p22 ft15"> </P></TD>
<TD class="tr3 td101"><P class="p44 ft10">7</P></TD>
<TD colspan=2 class="tr3 td225"><P class="p22 ft10">§ förordningen</P></TD>
</TR>
<TR>
<TD class="tr38 td212"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td213"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td226"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td222"><P class="p22 ft206"> </P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p811 ft10">8.5</P></TD>
<TD class="tr2 td101"><P class="p44 ft10">–</P></TD>
<TD class="tr2 td227"><P class="p22 ft15"> </P></TD>
<TD class="tr2 td223"><P class="p22 ft15"> </P></TD>
</TR>
<TR>
<TD class="tr38 td212"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td213"><P class="p22 ft206"> </P></TD>
<TD colspan=2 class="tr38 td224"><P class="p22 ft206"> </P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p811 ft10">8.6</P></TD>
<TD class="tr2 td101"><P class="p44 ft10">6</P></TD>
<TD colspan=2 class="tr2 td225"><P class="p22 ft10">§ 1 och 8 § 6 förordningen</P></TD>
</TR>
<TR>
<TD class="tr39 td210"><P class="p22 ft15"> </P></TD>
<TD colspan=3 class="tr39 td228"><P class="p44 ft10">Framgår även av 6 § förvaltningslagen</P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p22 ft15"> </P></TD>
<TD colspan=3 class="tr2 td228"><P class="p44 ft10">(1986:223) och 6 § andra stycket myn-</P></TD>
</TR>
<TR>
<TD class="tr39 td212"><P class="p22 ft15"> </P></TD>
<TD colspan=3 class="tr39 td229"><P class="p44 ft10">dighetsförordningen (2007:515)</P></TD>
</TR>
<TR>
<TD class="tr39 td212"><P class="p811 ft10">8.7</P></TD>
<TD class="tr39 td213"><P class="p44 ft10">–</P></TD>
<TD class="tr39 td226"><P class="p22 ft15"> </P></TD>
<TD class="tr39 td222"><P class="p22 ft15"> </P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p811 ft10">9.1</P></TD>
<TD colspan=2 class="tr2 td19"><P class="p44 ft10">44</P></TD>
<TD class="tr2 td223"><P class="p831 ft10">§ lagen</P></TD>
</TR>
<TR>
<TD class="tr3 td210"><P class="p22 ft15"> </P></TD>
<TD class="tr3 td101"><P class="p44 ft10">8</P></TD>
<TD colspan=2 class="tr3 td225"><P class="p22 ft10">§ förordningen</P></TD>
</TR>
<TR>
<TD class="tr38 td212"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td213"><P class="p22 ft206"> </P></TD>
<TD colspan=2 class="tr38 td224"><P class="p22 ft206"> </P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p811 ft10"><NOBR>9.2–3</NOBR></P></TD>
<TD class="tr2 td101"><P class="p44 ft10">8</P></TD>
<TD colspan=2 class="tr2 td225"><P class="p22 ft10">§ andra stycket förordningen</P></TD>
</TR>
<TR>
<TD class="tr38 td212"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td213"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td226"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td222"><P class="p22 ft206"> </P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p811 ft10"><NOBR>9.4–5</NOBR></P></TD>
<TD class="tr2 td101"><P class="p44 ft10">–</P></TD>
<TD class="tr2 td227"><P class="p22 ft15"> </P></TD>
<TD class="tr2 td223"><P class="p22 ft15"> </P></TD>
</TR>
<TR>
<TD class="tr38 td212"><P class="p22 ft206"> </P></TD>
<TD colspan=3 class="tr38 td229"><P class="p22 ft206"> </P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p811 ft10">10.1</P></TD>
<TD colspan=3 class="tr2 td228"><P class="p44 ft10">Framgår redan av 6 § förvaltningslagen</P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p22 ft15"> </P></TD>
<TD colspan=3 class="tr2 td228"><P class="p44 ft10">(1986:223) och 6 § andra stycket myn-</P></TD>
</TR>
<TR>
<TD class="tr39 td212"><P class="p22 ft15"> </P></TD>
<TD colspan=3 class="tr39 td229"><P class="p44 ft10">dighetsförordningen (2007:515)</P></TD>
</TR>
<TR>
<TD class="tr39 td212"><P class="p811 ft10">10.2</P></TD>
<TD class="tr39 td213"><P class="p44 ft10">8</P></TD>
<TD colspan=2 class="tr39 td224"><P class="p22 ft10">§ tredje stycket 1 förordningen</P></TD>
</TR>
<TR>
<TD class="tr0 td212"><P class="p811 ft10">10.3</P></TD>
<TD class="tr0 td213"><P class="p44 ft10">7</P></TD>
<TD colspan=2 class="tr0 td224"><P class="p22 ft10">§ tredje stycket förordningen</P></TD>
</TR>
<TR>
<TD class="tr3 td212"><P class="p811 ft10">11</P></TD>
<TD class="tr3 td213"><P class="p44 ft10">–</P></TD>
<TD class="tr3 td226"><P class="p22 ft15"> </P></TD>
<TD class="tr3 td222"><P class="p22 ft15"> </P></TD>
</TR>
<TR>
<TD class="tr0 td212"><P class="p811 ft10">12</P></TD>
<TD class="tr0 td213"><P class="p44 ft10">–</P></TD>
<TD class="tr0 td226"><P class="p22 ft15"> </P></TD>
<TD class="tr0 td222"><P class="p22 ft15"> </P></TD>
</TR>
<TR>
<TD class="tr39 td212"><P class="p811 ft10">13</P></TD>
<TD class="tr39 td213"><P class="p44 ft10">–</P></TD>
<TD class="tr39 td226"><P class="p22 ft15"> </P></TD>
<TD class="tr39 td222"><P class="p22 ft15"> </P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p811 ft10">14.1</P></TD>
<TD colspan=3 class="tr2 td228"><P class="p44 ft10">10, 11, 13 §§, 45 § 2 och 46 § 2 lagen</P></TD>
</TR>
<TR>
<TD class="tr3 td210"><P class="p22 ft15"> </P></TD>
<TD colspan=2 class="tr3 td19"><P class="p44 ft10">10</P></TD>
<TD class="tr3 td223"><P class="p831 ft10">§ 1 och 11 § 1 förordningen</P></TD>
</TR>
<TR>
<TD class="tr38 td212"><P class="p22 ft206"> </P></TD>
<TD colspan=3 class="tr38 td229"><P class="p22 ft206"> </P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p811 ft10">14.2</P></TD>
<TD colspan=3 class="tr2 td228"><P class="p44 ft10">10, 12, 13 §§, 45 § 2 och 46 § 2 lagen</P></TD>
</TR>
<TR>
<TD class="tr12 td212"><P class="p22 ft15"> </P></TD>
<TD colspan=2 class="tr12 td221"><P class="p44 ft10">10</P></TD>
<TD class="tr12 td222"><P class="p831 ft10">§ 1 och 11 § 1 förordningen</P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p811 ft10">14.3</P></TD>
<TD colspan=3 class="tr2 td228"><P class="p44 ft10">10, 16, 44 §§ och 46 § 3 lagen</P></TD>
</TR>
<TR>
<TD class="tr3 td210"><P class="p22 ft15"> </P></TD>
<TD colspan=2 class="tr3 td19"><P class="p44 ft10">10</P></TD>
<TD class="tr3 td223"><P class="p831 ft10">§ 3 förordningen</P></TD>
</TR>
<TR>
<TD class="tr38 td212"><P class="p22 ft206"> </P></TD>
<TD colspan=2 class="tr38 td221"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td222"><P class="p22 ft206"> </P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p811 ft10">14.4</P></TD>
<TD colspan=2 class="tr2 td19"><P class="p44 ft10">17</P></TD>
<TD class="tr2 td223"><P class="p831 ft10">§ och 45 § 3 lagen</P></TD>
</TR>
<TR>
<TD class="tr0 td212"><P class="p22 ft15"> </P></TD>
<TD colspan=2 class="tr0 td221"><P class="p44 ft10">11</P></TD>
<TD class="tr0 td222"><P class="p831 ft10">§ 3 förordningen</P></TD>
</TR>
<TR>
<TD class="tr3 td210"><P class="p811 ft10">14.5</P></TD>
<TD class="tr3 td101"><P class="p44 ft10">7</P></TD>
<TD colspan=2 class="tr3 td225"><P class="p22 ft10">§ andra stycket, 8 § tredje stycket 2</P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p22 ft15"> </P></TD>
<TD colspan=3 class="tr2 td228"><P class="p44 ft10">och 5 förordningen, 15 kap. 1 a § offent-</P></TD>
</TR>
<TR>
<TD class="tr39 td212"><P class="p22 ft15"> </P></TD>
<TD colspan=3 class="tr39 td229"><P class="p44 ft10">lighets- och sekretesslagen (2009:400)</P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">350</P>
</DIV>
</DIV>
<DIV id="page_351">
<DIV id="id_1">
<TABLE cellpadding=0 cellspacing=0 class="t39">
<TR>
<TD class="tr7 td81"><P class="p22 ft19">SOU 2017:36</P></TD>
<TD class="tr7 td82"><P class="p22 ft33">Bilaga 3</P></TD>
</TR>
</TABLE>
<TABLE cellpadding=0 cellspacing=0 class="t40">
<TR>
<TD class="tr0 td217"><P class="p832 ft10">14.6</P></TD>
<TD class="tr0 td218"><P class="p816 ft10">8</P></TD>
<TD colspan=2 class="tr0 td230"><P class="p22 ft10">§ tredje stycket 4 förordningen</P></TD>
</TR>
<TR>
<TD class="tr38 td212"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td213"><P class="p22 ft206"> </P></TD>
<TD colspan=2 class="tr38 td214"><P class="p22 ft206"> </P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p828 ft10">14.7</P></TD>
<TD class="tr2 td101"><P class="p44 ft10">6</P></TD>
<TD colspan=2 class="tr2 td211"><P class="p22 ft10">§ 2, 9 § och 11 § 3 förordningen</P></TD>
</TR>
<TR>
<TD class="tr38 td212"><P class="p22 ft206"> </P></TD>
<TD colspan=3 class="tr38 td215"><P class="p22 ft206"> </P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p828 ft10"><NOBR>15.1–2</NOBR></P></TD>
<TD colspan=3 class="tr2 td216"><P class="p44 ft10"><NOBR>23–26</NOBR> §§ lagen</P></TD>
</TR>
<TR>
<TD class="tr38 td212"><P class="p22 ft206"> </P></TD>
<TD colspan=3 class="tr38 td215"><P class="p22 ft206"> </P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p828 ft10">15.3</P></TD>
<TD colspan=3 class="tr2 td216"><P class="p44 ft10"><NOBR>30–31</NOBR> §§ lagen</P></TD>
</TR>
<TR>
<TD class="tr38 td212"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td213"><P class="p22 ft206"> </P></TD>
<TD colspan=2 class="tr38 td214"><P class="p22 ft206"> </P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p828 ft10">15.4</P></TD>
<TD class="tr2 td101"><P class="p44 ft10">6</P></TD>
<TD colspan=2 class="tr2 td211"><P class="p22 ft10">§ 1 förordningen</P></TD>
</TR>
<TR>
<TD class="tr38 td212"><P class="p22 ft206"> </P></TD>
<TD colspan=2 class="tr38 td231"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td222"><P class="p22 ft206"> </P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p828 ft10">16.1</P></TD>
<TD colspan=2 class="tr2 td2"><P class="p44 ft10">14</P></TD>
<TD class="tr2 td223"><P class="p29 ft10">§ lagen</P></TD>
</TR>
<TR>
<TD class="tr38 td212"><P class="p22 ft206"> </P></TD>
<TD colspan=2 class="tr38 td231"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td222"><P class="p22 ft206"> </P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p828 ft10">16.2</P></TD>
<TD colspan=2 class="tr2 td2"><P class="p44 ft10">15</P></TD>
<TD class="tr2 td223"><P class="p29 ft10">§ lagen</P></TD>
</TR>
<TR>
<TD class="tr38 td212"><P class="p22 ft206"> </P></TD>
<TD colspan=3 class="tr38 td215"><P class="p22 ft206"> </P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p828 ft10">16.3</P></TD>
<TD colspan=3 class="tr2 td216"><P class="p44 ft10">19 och 44 §§ och 47 § 1 lagen</P></TD>
</TR>
<TR>
<TD class="tr12 td212"><P class="p22 ft15"> </P></TD>
<TD colspan=2 class="tr12 td231"><P class="p44 ft10">10</P></TD>
<TD class="tr12 td222"><P class="p29 ft10">§ 3 förordningen</P></TD>
</TR>
<TR>
<TD class="tr39 td212"><P class="p828 ft10">16.4</P></TD>
<TD colspan=2 class="tr39 td231"><P class="p44 ft10">20</P></TD>
<TD class="tr39 td222"><P class="p29 ft10">§ lagen</P></TD>
</TR>
<TR>
<TD class="tr39 td212"><P class="p828 ft10">16.5</P></TD>
<TD colspan=2 class="tr39 td231"><P class="p44 ft10">18</P></TD>
<TD class="tr39 td222"><P class="p29 ft10">§ lagen</P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p828 ft10">16.6</P></TD>
<TD class="tr2 td101"><P class="p44 ft10">8</P></TD>
<TD colspan=2 class="tr2 td211"><P class="p22 ft10">§ tredje stycket 3 förordningen,</P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p22 ft15"> </P></TD>
<TD colspan=3 class="tr2 td216"><P class="p44 ft10">15 kap. 1 a § offentlighets- och</P></TD>
</TR>
<TR>
<TD class="tr39 td212"><P class="p22 ft15"> </P></TD>
<TD colspan=3 class="tr39 td215"><P class="p44 ft10">sekretesslagen (2009:400)</P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p828 ft10">16.7</P></TD>
<TD colspan=2 class="tr2 td2"><P class="p44 ft10">21</P></TD>
<TD class="tr2 td223"><P class="p29 ft10">§ lagen</P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p22 ft15"> </P></TD>
<TD class="tr2 td101"><P class="p44 ft10">8</P></TD>
<TD colspan=2 class="tr2 td211"><P class="p22 ft10">§ tredje stycket 4 förordningen</P></TD>
</TR>
<TR>
<TD class="tr38 td212"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td213"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td232"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td222"><P class="p22 ft206"> </P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p828 ft10"><NOBR>16.8–10</NOBR></P></TD>
<TD class="tr2 td101"><P class="p44 ft10">–</P></TD>
<TD class="tr2 td233"><P class="p22 ft15"> </P></TD>
<TD class="tr2 td223"><P class="p22 ft15"> </P></TD>
</TR>
<TR>
<TD class="tr38 td212"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td213"><P class="p22 ft206"> </P></TD>
<TD colspan=2 class="tr38 td214"><P class="p22 ft206"> </P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p828 ft10">16.11</P></TD>
<TD class="tr2 td101"><P class="p44 ft10">2</P></TD>
<TD colspan=2 class="tr2 td211"><P class="p22 ft10">§ b lagen</P></TD>
</TR>
<TR>
<TD class="tr38 td212"><P class="p22 ft206"> </P></TD>
<TD colspan=2 class="tr38 td231"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td222"><P class="p22 ft206"> </P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p828 ft10">17.1</P></TD>
<TD colspan=2 class="tr2 td2"><P class="p44 ft10">28</P></TD>
<TD class="tr2 td223"><P class="p29 ft10">§ lagen</P></TD>
</TR>
<TR>
<TD class="tr38 td212"><P class="p22 ft206"> </P></TD>
<TD colspan=2 class="tr38 td231"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td222"><P class="p22 ft206"> </P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p828 ft10">17.2 a</P></TD>
<TD colspan=2 class="tr2 td2"><P class="p44 ft10">23</P></TD>
<TD class="tr2 td223"><P class="p29 ft10">§, 24 § första och tredje stycket,</P></TD>
</TR>
<TR>
<TD class="tr39 td212"><P class="p22 ft15"> </P></TD>
<TD colspan=3 class="tr39 td215"><P class="p44 ft10">25 och 27 §§ lagen</P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p828 ft10">17.2 b</P></TD>
<TD colspan=3 class="tr2 td216"><P class="p44 ft10"><NOBR>30–31</NOBR> §§ lagen</P></TD>
</TR>
<TR>
<TD class="tr38 td212"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td213"><P class="p22 ft206"> </P></TD>
<TD colspan=2 class="tr38 td214"><P class="p22 ft206"> </P></TD>
</TR>
<TR>
<TD class="tr39 td212"><P class="p828 ft10">17.3</P></TD>
<TD class="tr39 td213"><P class="p44 ft10">6</P></TD>
<TD colspan=2 class="tr39 td214"><P class="p22 ft10">§ 5 förordningen</P></TD>
</TR>
<TR>
<TD class="tr39 td212"><P class="p828 ft10">18.1</P></TD>
<TD class="tr39 td213"><P class="p44 ft10">2</P></TD>
<TD colspan=2 class="tr39 td214"><P class="p22 ft10">§ b lagen</P></TD>
</TR>
<TR>
<TD class="tr39 td212"><P class="p828 ft10">18.2</P></TD>
<TD class="tr39 td213"><P class="p44 ft10">2</P></TD>
<TD colspan=2 class="tr39 td214"><P class="p22 ft10">§ b och 9 § lagen</P></TD>
</TR>
<TR>
<TD class="tr0 td212"><P class="p828 ft10">18.3</P></TD>
<TD class="tr0 td213"><P class="p44 ft10">–</P></TD>
<TD class="tr0 td232"><P class="p22 ft15"> </P></TD>
<TD class="tr0 td222"><P class="p22 ft15"> </P></TD>
</TR>
<TR>
<TD class="tr39 td212"><P class="p828 ft10">19.1</P></TD>
<TD class="tr39 td213"><P class="p44 ft10">4</P></TD>
<TD colspan=2 class="tr39 td214"><P class="p22 ft10">§ förordningen</P></TD>
</TR>
<TR>
<TD class="tr39 td212"><P class="p828 ft10">19.2</P></TD>
<TD class="tr39 td213"><P class="p44 ft10">–</P></TD>
<TD class="tr39 td232"><P class="p22 ft15"> </P></TD>
<TD class="tr39 td222"><P class="p22 ft15"> </P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p828 ft10"><NOBR>20.1–2</NOBR></P></TD>
<TD colspan=2 class="tr2 td2"><P class="p44 ft10">46</P></TD>
<TD class="tr2 td223"><P class="p29 ft10">§ 4, 47 § 2 lagen</P></TD>
</TR>
<TR>
<TD class="tr3 td210"><P class="p22 ft15"> </P></TD>
<TD colspan=2 class="tr3 td2"><P class="p44 ft10">10</P></TD>
<TD class="tr3 td223"><P class="p29 ft10">§ 4 förordningen</P></TD>
</TR>
<TR>
<TD class="tr38 td212"><P class="p22 ft206"> </P></TD>
<TD colspan=3 class="tr38 td215"><P class="p22 ft206"> </P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p828 ft10">21</P></TD>
<TD colspan=3 class="tr2 td216"><P class="p44 ft10"><NOBR>31–42</NOBR> §§ lagen</P></TD>
</TR>
<TR>
<TD class="tr38 td212"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td213"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td232"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td222"><P class="p22 ft206"> </P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p828 ft10">22</P></TD>
<TD class="tr2 td101"><P class="p44 ft10">–</P></TD>
<TD class="tr2 td233"><P class="p22 ft15"> </P></TD>
<TD class="tr2 td223"><P class="p22 ft15"> </P></TD>
</TR>
<TR>
<TD class="tr38 td212"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td213"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td232"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td222"><P class="p22 ft206"> </P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p828 ft10">23</P></TD>
<TD class="tr2 td101"><P class="p44 ft10">–</P></TD>
<TD class="tr2 td233"><P class="p22 ft15"> </P></TD>
<TD class="tr2 td223"><P class="p22 ft15"> </P></TD>
</TR>
<TR>
<TD class="tr38 td212"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td213"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td232"><P class="p22 ft206"> </P></TD>
<TD class="tr38 td222"><P class="p22 ft206"> </P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">351</P>
</DIV>
</DIV>
<DIV id="page_352">
<DIV id="id_1">
<P class="p4 ft19">Bilaga 3 SOU 2017:36</P>
<TABLE cellpadding=0 cellspacing=0 class="t38">
<TR>
<TD class="tr0 td217"><P class="p833 ft10">24</P></TD>
<TD class="tr0 td234"><P class="p44 ft10">–</P></TD>
</TR>
<TR>
<TD class="tr38 td212"><P class="p22 ft207"> </P></TD>
<TD class="tr38 td229"><P class="p22 ft207"> </P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p833 ft10">25</P></TD>
<TD class="tr2 td228"><P class="p44 ft10">–</P></TD>
</TR>
<TR>
<TD class="tr38 td212"><P class="p22 ft207"> </P></TD>
<TD class="tr38 td229"><P class="p22 ft207"> </P></TD>
</TR>
<TR>
<TD class="tr2 td210"><P class="p833 ft10">26</P></TD>
<TD class="tr2 td228"><P class="p44 ft10">–</P></TD>
</TR>
<TR>
<TD class="tr38 td212"><P class="p22 ft207"> </P></TD>
<TD class="tr38 td229"><P class="p22 ft207"> </P></TD>
</TR>
<TR>
<TD class="tr39 td212"><P class="p833 ft10">27</P></TD>
<TD class="tr39 td229"><P class="p44 ft10">–</P></TD>
</TR>
</TABLE>
</DIV>
<DIV id="id_2">
<P class="p4 ft18">352</P>
</DIV>
</DIV>
<DIV id="page_353">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336353x1.jpg/" id="img1">
</DIV>
<DIV class="dclr"></DIV>
<DIV id="id_1">
<P class="p4 ft208">Statens offentliga utredningar 2017</P>
<P class="p834 ft125">Kronologisk förteckning</P>
</DIV>
<DIV id="id_2">
<DIV id="id_2_1">
<P class="p835 ft6"><SPAN class="ft209">1.</SPAN><SPAN class="ft210">För Sveriges landsbygder</SPAN></P>
<P class="p836 ft4"><SPAN class="ft209">–</SPAN><SPAN class="ft211">en sammanhållen politik för arbete, hållbar tillväxt och välfärd. N.</SPAN></P>
<P class="p837 ft4"><SPAN class="ft209">2.</SPAN><SPAN class="ft212">Kraftsamling för framtidens energi. M.</SPAN></P>
<P class="p838 ft4"><SPAN class="ft209">3.</SPAN><SPAN class="ft212">Karens för statsråd och statssekreterare. Fi.</SPAN></P>
<P class="p839 ft4"><SPAN class="ft209">4.</SPAN><SPAN class="ft212">För en god och jämlik hälsa. En utveckling av det folkhälsopolitiska ramverket. S.</SPAN></P>
<P class="p840 ft4"><SPAN class="ft209">5.</SPAN><SPAN class="ft212">Svensk social trygghet i en globaliserad värld. Del 1 och 2. S.</SPAN></P>
<P class="p841 ft4"><SPAN class="ft4">6.</SPAN><SPAN class="ft212">Se barnet! Ju.</SPAN></P>
<P class="p842 ft6"><SPAN class="ft213">7.</SPAN><SPAN class="ft210">Straffprocessens ramar och domstolens beslutsunderlag</SPAN></P>
<P class="p843 ft4">i brottmål – en bättre hantering av stora mål. Ju.</P>
<P class="p844 ft4"><SPAN class="ft209">8.</SPAN><SPAN class="ft212">Kunskapsläget på kärnavfallsområdet 2017. Kärnavfallet – en fråga i ständig förändring. M.</SPAN></P>
<P class="p835 ft6"><SPAN class="ft209">9.</SPAN><SPAN class="ft210">Det handlar om oss.</SPAN></P>
<P class="p845 ft4"><SPAN class="ft209">–</SPAN><SPAN class="ft212">unga som varken arbetar eller studerar. U.</SPAN></P>
<P class="p846 ft4"><SPAN class="ft209">10.</SPAN><SPAN class="ft212">Ny ordning för att främja god sed och hantera oredlighet i forskning. U.</SPAN></P>
<P class="p847 ft4"><SPAN class="ft209">11.</SPAN><SPAN class="ft212">Vägskatt. Volym 1 och 2. Fi.</SPAN></P>
<P class="p848 ft4"><SPAN class="ft209">12.</SPAN><SPAN class="ft212">Att ta emot människor på flykt. Sverige hösten 2015. Ju.</SPAN></P>
<P class="p849 ft4"><SPAN class="ft209">13.</SPAN><SPAN class="ft212">Finansiering av infrastruktur med privat kapital? Fi.</SPAN></P>
<P class="p850 ft6"><SPAN class="ft209">14.</SPAN><SPAN class="ft210">Migrationsärenden</SPAN></P>
<P class="p845 ft4">vid utlandsmyndigheterna. Ju.</P>
<P class="p851 ft6"><SPAN class="ft209">15.</SPAN><SPAN class="ft210">Kvalitet och säkerhet</SPAN></P>
<P class="p845 ft4">på apoteksmarknaden. S.</P>
<P class="p852 ft4"><SPAN class="ft209">16.</SPAN><SPAN class="ft212">Sverige i Afghanistan </SPAN><NOBR>2002–2014.</NOBR> UD.</P>
<P class="p853 ft215"><SPAN class="ft213">17.</SPAN><SPAN class="ft214">Om oskuldspresumtionen och rätten att närvara vid rättegången. Genomförande av EU:s oskuldspresumtionsdirektiv. Ju.</SPAN></P>
<P class="p851 ft4"><SPAN class="ft209">18.</SPAN><SPAN class="ft212">En nationell strategi för validering. U.</SPAN></P>
<P class="p854 ft6"><SPAN class="ft209">19.</SPAN><SPAN class="ft210">Uppdrag: Samverkan. Steg på vägen mot fördjupad lokal samverkan</SPAN></P>
<P class="p855 ft4">för unga arbetslösa. A.</P>
</DIV>
<DIV id="id_2_2">
<P class="p856 ft4"><SPAN class="ft209">20.</SPAN><SPAN class="ft212">Tillträde för nybörjare – ett öppnare och enklare system för tillträde till högskoleutbildning. U.</SPAN></P>
<P class="p857 ft4"><SPAN class="ft209">21.</SPAN><SPAN class="ft212">Läs mig! Nationell kvalitetsplan för vård och omsorg om äldre personer. Del 1 och 2. S.</SPAN></P>
<P class="p858 ft4"><SPAN class="ft209">22.</SPAN><SPAN class="ft212">Från värdekedja till värdecykel – så får Sverige en mer cirkulär ekonomi. M.</SPAN></P>
<P class="p851 ft4"><SPAN class="ft209">23.</SPAN><SPAN class="ft212">digitalforvaltning.nu. Fi.</SPAN></P>
<P class="p859 ft4"><SPAN class="ft209">24.</SPAN><SPAN class="ft212">Ett arbetsliv i förändring – hur påverkas ansvaret för arbetsmiljön? A.</SPAN></P>
<P class="p860 ft4"><SPAN class="ft209">25.</SPAN><SPAN class="ft212">Samlad kunskap – stärkt handläggning. S.</SPAN></P>
<P class="p861 ft4"><SPAN class="ft209">26.</SPAN><SPAN class="ft212">Delningsekonomi. På användarnas villkor. Fi.</SPAN></P>
<P class="p862 ft4"><SPAN class="ft209">27.</SPAN><SPAN class="ft212">Vissa frågor inom fastighets- och stämpelskatteområdet. Fi.</SPAN></P>
<P class="p863 ft4"><SPAN class="ft209">28.</SPAN><SPAN class="ft212">Ett nationellt centrum för kunskap om och utvärdering av arbetsmiljö. A.</SPAN></P>
<P class="p851 ft4"><SPAN class="ft209">29.</SPAN><SPAN class="ft212">Brottsdatalag. Ju</SPAN></P>
<P class="p864 ft4"><SPAN class="ft209">30.</SPAN><SPAN class="ft212">En omreglerad spelmarknad. Del 1 och 2. Fi.</SPAN></P>
<P class="p850 ft6"><SPAN class="ft209">31.</SPAN><SPAN class="ft210">Stärkt konsumentskydd</SPAN></P>
<P class="p845 ft4">på bostadsrättsmarknaden. Ju.</P>
<P class="p851 ft6"><SPAN class="ft209">32.</SPAN><SPAN class="ft210">Substitution i Centrum</SPAN></P>
<P class="p865 ft4">– stärkt konkurrenskraft med kemikaliesmarta lösningar. M.</P>
<P class="p851 ft4"><SPAN class="ft209">33.</SPAN><SPAN class="ft212">Stärkt ställning för hyresgäster. Ju.</SPAN></P>
<P class="p866 ft4"><SPAN class="ft209">34.</SPAN><SPAN class="ft212">Ekologisk kompensation – Åtgärder för att motverka nettoförluster av biologisk mångfald och ekosystem- tjänster, samtidigt som behovet av markexploatering tillgodoses. M.</SPAN></P>
<P class="p867 ft4"><SPAN class="ft209">35.</SPAN><SPAN class="ft212">Samling för skolan. Nationell strategi för kunskap och likvärdighet. U.</SPAN></P>
<P class="p868 ft4"><SPAN class="ft209">36.</SPAN><SPAN class="ft212">Informationssäkerhet för samhällsviktiga och digitala tjänster. Ju.</SPAN></P>
</DIV>
</DIV>
</DIV>
<DIV id="page_354">
<DIV id="dimg1">
<INGENBILD zsrc="H5B336354x1.jpg/" id="img1">
</DIV>
<DIV class="dclr"></DIV>
<DIV id="id_1">
<P class="p4 ft208">Statens offentliga utredningar 2017</P>
<P class="p834 ft125">Systematisk förteckning</P>
</DIV>
<DIV id="id_2">
<DIV id="id_2_1">
<P class="p4 ft124">Arbetsmarknadsdepartementet</P>
<P class="p869 ft4">Uppdrag: Samverkan. Steg på vägen mot fördjupad lokal samverkan för unga arbetslösa. [19]</P>
<P class="p870 ft4">Ett arbetsliv i förändring – hur påverkas ansvaret för arbetsmiljön? [24]</P>
<P class="p871 ft4">Ett nationellt centrum för kunskap om och utvärdering av arbetsmiljö. [28]</P>
<P class="p316 ft124">Finansdepartementet</P>
<P class="p872 ft4">Karens för statsråd och statssekreterare. [3] Vägskatt. Volym 1 och 2. [11]</P>
<P class="p873 ft4">Finansiering av infrastruktur med privat kapital? [13]</P>
<P class="p6 ft4">digitalforvaltning.nu. [23]</P>
<P class="p874 ft4">Delningsekonomi. På användarnas villkor. [26]</P>
<P class="p875 ft4">Vissa frågor inom fastighets- och stämpel- skatteområdet. [27]</P>
<P class="p876 ft4">En omreglerad spelmarknad. Del 1 och 2. [30]</P>
<P class="p316 ft124">Justitiedepartementet</P>
<P class="p877 ft4">Se barnet! [6]</P>
<P class="p878 ft6">Straffprocessens ramar och domstolens beslutsunderlag i brottmål</P>
<P class="p879 ft4">– en bättre hantering av stora mål. [7]</P>
<P class="p880 ft4">Att ta emot människor på flykt. Sverige hösten 2015. [12]</P>
<P class="p2 ft6">Migrationsärenden</P>
<P class="p881 ft4">vid utlandsmyndigheterna.[14]</P>
<P class="p882 ft216">Om oskuldspresumtionen och rätten att närvara vid rättegången. Genomförande av EU:s oskuldspresumtionsdirektiv. [17]</P>
<P class="p883 ft4">Brottsdatalag. [29]</P>
<P class="p6 ft6">Stärkt konsumentskydd</P>
<P class="p884 ft217">på bostadsrättsmarknaden. [31] Stärkt ställning för hyresgäster. [33]</P>
<P class="p885 ft4">Informationssäkerhet för samhällsviktiga och digitala tjänster. [36]</P>
</DIV>
<DIV id="id_2_2">
<P class="p4 ft124">Miljö- och energidepartementet</P>
<P class="p877 ft4">Kraftsamling för framtidens energi. [2]</P>
<P class="p886 ft4">Kunskapsläget på kärnavfallsområdet 2017. Kärnavfallet – en fråga i ständig förändring. [8]</P>
<P class="p887 ft4">Från värdekedja till värdecykel – så får Sverige en mer cirkulär ekonomi. [22]</P>
<P class="p2 ft6">Substitution i Centrum</P>
<P class="p888 ft4">– stärkt konkurrenskraft med kemikaliesmarta lösningar. [32]</P>
<P class="p889 ft4">Ekologisk kompensation – Åtgärder för att motverka nettoförluster av biologisk mångfald och ekosystemtjänster, sam- tidigt som behovet av markexploatering tillgodoses. [34]</P>
<P class="p176 ft124">Näringsdepartementet</P>
<P class="p6 ft4">För Sveriges landsbygder</P>
<P class="p890 ft6">– en sammanhållen politik för</P>
<P class="p890 ft4">arbete, hållbar tillväxt och välfärd. [1]</P>
<P class="p17 ft124">Socialdepartementet</P>
<P class="p891 ft6">För en god och jämlik hälsa. En utveckling av det</P>
<P class="p879 ft4">folkhälsopolitiska ramverket. [4]</P>
<P class="p892 ft4">Svensk social trygghet i en globaliserad värld. Del 1 och 2.[5]</P>
<P class="p2 ft6">Kvalitet och säkerhet</P>
<P class="p881 ft4">på apoteksmarknaden. [15]</P>
<P class="p6 ft6">Läs mig! Nationell kvalitetsplan</P>
<P class="p893 ft4">för vård och omsorg om äldre personer. Del 1 och 2. [21]</P>
<P class="p6 ft4">Samlad kunskap – stärkt handläggning. [25]</P>
<P class="p17 ft124">Utbildningsdepartementet</P>
<P class="p6 ft6">Det handlar om oss.</P>
<P class="p881 ft4">– unga som varken arbetar eller studerar. [9]</P>
<P class="p6 ft6">Ny ordning för att främja god sed</P>
<P class="p894 ft217">och hantera oredlighet i forskning. [10] En nationell strategi för validering [18]</P>
</DIV>
</DIV>
</DIV>
<DIV id="page_355">
<P class="p895 ft4">Tillträde för nybörjare – ett öppnare och enklare system för tillträde till hög skoleutbildning. [20]</P>
<P class="p4 ft6">Samling för skolan.</P>
<P class="p896 ft4">Nationell strategi för kunskap och likvärdighet. [35]</P>
<P class="p17 ft124">Utrikesdepartementet</P>
<P class="p6 ft4">Sverige i Afghanistan <NOBR>2002–2014.</NOBR> [16]</P>
</DIV>
</BODY>
</HTML>
H5B336sou_2017__36.pdf2092235pdfInformationssäkerhet för samhällsviktiga och digitala tjänsterhttps://data.riksdagen.se/fil/AB95884D-9647-45FE-B4D4-DD3C3F313177