Regeringens proposition 2020/21:186
| Kompletterande bestämmelser till EU:s | Prop. |
| cybersäkerhetsakt | 2020/21:186 |
Regeringen överlämnar denna proposition till riksdagen.
Stockholm den 29 april 2021
Stefan Löfven
Peter Hultqvist (Försvarsdepartementet)
Propositionens huvudsakliga innehåll
I propositionen föreslås en ny lag med kompletterande bestämmelser till EU:s cybersäkerhetsakt. I den föreslagna lagen finns kompletterande bestämmelser till EU:s cybersäkerhetsakt om bland annat nationell myndighet för cybersäkerhetscertifiering, tillsyn, sanktioner och förfarandet vid cybersäkerhetscertifiering.
Den nya lagen föreslås träda i kraft den 28 juni 2021.
1
Prop. 2020/21:186 Innehållsförteckning
2
9.2Ackreditering av organ för bedömning av
| överensstämmelse............................................................ | 44 | |
| 9.2.1 | Bestämmelser i EU:s cybersäkerhetsakt ......... | 44 |
| 9.2.2 | Gällande regelverk om ackreditering.............. | 45 |
9.2.3Kompletterande bestämmelser om
| ackreditering ................................................... | 45 |
9.2.4
| titel.................................................................. | 47 |
9.3Överlämnande av förvaltningsuppgifter till organ för
10.2Ärendehandläggning hos privata organ för
11.3Inget behov av ändringar i offentlighets- och
13.1Förslaget till lag med kompletterande bestämmelser
| till EU:s cybersäkerhetsakt .............................................. | 62 |
13.2Förslaget till lag om ändring i lagen (2021:000) med kompletterande bestämmelser till EU:s
15.2Förslaget till lag om ändring i lagen (2021:000) med
Prop. 2020/21:186
3
4
| 1 | Förslag till riksdagsbeslut | Prop. 2020/21:186 |
Regeringens förslag:
1.Riksdagen antar regeringens förslag till lag med kompletterande bestämmelser till EU:s cybersäkerhetsakt.
2.Riksdagen antar regeringens förslag till lag om ändring i lagen (2021:000) med kompletterande bestämmelser till EU:s cybersäkerhetsakt.
5
| Prop. 2020/21:186 2 | Lagtext |
Regeringen har följande förslag till lagtext.
2.1Förslag till lag med kompletterande bestämmelser till EU:s cybersäkerhetsakt
Härigenom föreskrivs följande.
Inledande bestämmelse
1 § Denna lag kompletterar Europaparlamentets och rådets förordning (EU) 2019/881 av den 17 april 2019 om Enisa (Europeiska unionens cybersäkerhetsbyrå) och om cybersäkerhetscertifiering av informations- och kommunikationsteknik och om upphävande av förordning (EU) nr 526/2013 (cybersäkerhetsakten).
Förordningen (EU) 2019/881 benämns i denna lag EU:s cybersäkerhetsakt.
Ord och uttryck i denna lag har samma betydelse som i EU:s cybersäkerhetsakt.
Nationell myndighet för cybersäkerhetscertifiering
2 § Den myndighet som regeringen bestämmer
1.är nationell myndighet för cybersäkerhetscertifiering enligt EU:s cybersäkerhetsakt, och
2.utövar tillsyn över att denna lag och föreskrifter som har meddelats i anslutning till lagen följs.
Ackreditering av organ för bedömning av överenstämmelse
3 § I artikel 60.1 i EU:s cybersäkerhetsakt och i bilagan till EU:s cybersäkerhetsakt finns bestämmelser om ackreditering av organ för bedömning av överensstämmelse i fråga om cybersäkerhetscertifiering.
I Europaparlamentets och rådets förordning (EG) nr 765/2008 av den
9 juli 2008 om krav för ackreditering och marknadskontroll i samband med saluföring av produkter och upphävande av förordning (EEG) nr 339/93 och i lagen (2011:791) om ackreditering och teknisk kontroll finns allmänna bestämmelser om ackreditering av organ för bedömning av överensstämmelse.
Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om krav för ackreditering av organ för bedömning av överensstämmelse enligt artikel 60 i EU:s cybersäkerhetsakt.
Tillsynsbefogenheter
4 § Vid tillsyn över att denna lag och föreskrifter som har meddelats i anslutning till lagen följs har den nationella myndigheten för
6
cybersäkerhetscertifiering de befogenheter som anges i artikel 58.8 i EU:s cybersäkerhetsakt.
5 § Den nationella myndigheten för cybersäkerhetscertifiering får besluta de förelägganden som behövs för tillsynen och för att EU:s cybersäkerhetsakt, genomförandeakter som har meddelats med stöd av EU:s cybersäkerhetsakt, denna lag och föreskrifter som har meddelats i anslutning till lagen ska följas.
Ett beslut om föreläggande får förenas med vite.
6 § Den nationella myndigheten för cybersäkerhetscertifiering får begära handräckning av Kronofogdemyndigheten för att få tillträde till andra lokaler än bostäder, och där genomföra utredningar i enlighet med artikel 58.8 d i EU:s cybersäkerhetsakt.
Vid handräckning tillämpas bestämmelserna i utsökningsbalken om verkställighet av förpliktelser som inte avser betalningsskyldighet, avhysning eller avlägsnande. Om den nationella myndigheten för cybersäkerhetscertifiering begär det, ska Kronofogdemyndigheten inte i förväg underrätta den som utredningen ska genomföras hos.
7 § Den nationella myndigheten för cybersäkerhetscertifiering får besluta att återkalla ett europeiskt cybersäkerhetscertifikat som har utfärdats av myndigheten eller av ett organ för bedömning av överensstämmelse i enlighet med artikel 56.6 i EU:s cybersäkerhetsakt, om certifikatet inte uppfyller kraven i cybersäkerhetsakten eller en europeisk ordning för cybersäkerhetscertifiering.
Administrativa sanktionsavgifter
8 § Den nationella myndigheten för cybersäkerhetscertifiering ska besluta att ta ut en sanktionsavgift av den som
1.har utfärdat en
iEU:s cybersäkerhetsakt trots att kraven enligt den europeiska ordning för cybersäkerhetscertifiering som gäller för
2.har lämnat oriktiga eller ofullständiga uppgifter av betydelse vid ansökan om cybersäkerhetscertifiering,
3.innehar ett europeiskt cybersäkerhetscertifikat och inte informerar, i enlighet med artikel 56.8 i EU:s cybersäkerhetsakt, den myndighet eller det organ som avses i artikel 56.7 om alla sårbarheter eller oriktigheter som upptäcks och som kan påverka överensstämmelsen med de säkerhetskrav som gäller för den certifierade
4.har utfärdat en
cybersäkerhetscertifikat och inte lämnar kompletterande säkerhetsinformation i enlighet med artikel 55 i EU:s cybersäkerhetsakt, om detta medför en ökad risk för sårbarhet eller skada,
5.bryter mot villkor för utfärdande, bibehållande, fortsättande eller förnyelse av europeiska cybersäkerhetscertifikat eller mot villkor för inskränkning eller utvidgning av tillämpningsområdet för certifiering,
Prop. 2020/21:186
7
Prop. 2020/21:186 6. överträder ett beslut om föreläggande enligt 5 § som innebär ett förbud, eller
7.använder ett europeiskt cybersäkerhetscertifikat som har återkallats enligt artikel 58.8 e i EU:s cybersäkerhetsakt.
9 § En sanktionsavgift ska bestämmas till lägst 10 000 kronor och högst 15 000 000 kronor.
10 § När sanktionsavgiftens storlek bestäms ska särskild hänsyn tas till
1.den skada eller risk för skada som har uppkommit till följd av överträdelsen,
2.om den som har begått överträdelsen tidigare begått en överträdelse,
och
3.den vinst som den avgiftsskyldige har gjort till följd av överträdelsen.
11 § Den nationella myndigheten för cybersäkerhetscertifiering får besluta att sätta ned eller avstå från att ta ut en sanktionsavgift om överträdelsen är ringa, om det finns särskilda skäl eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut avgiften.
12 § En sanktionsavgift får inte beslutas om överträdelsen omfattas av ett föreläggande om vite och överträdelsen ligger till grund för en ansökan om utdömande av vitet.
13 § En sanktionsavgift får endast beslutas om den som avgiften ska tas ut av har fått tillfälle att yttra sig inom två år från det att överträdelsen ägde rum.
Ett beslut om sanktionsavgift ska delges.
14 § Sanktionsavgiften tillfaller staten.
15 § En sanktionsavgift ska betalas till den nationella myndigheten för cybersäkerhetscertifiering inom 30 dagar från det att beslutet om att ta ut avgiften har fått laga kraft eller inom den längre tid som anges i beslutet.
Om sanktionsavgiften inte betalas inom föreskriven tid, ska myndigheten lämna den obetalda avgiften för indrivning.
Bestämmelser om indrivning finns i lagen (1993:891) om indrivning av statliga fordringar m.m. Vid indrivning får verkställighet ske enligt utsökningsbalken.
16 § En beslutad sanktionsavgift faller bort till den del beslutet om avgiften inte har verkställts inom fem år från det att beslutet fick laga kraft.
Tystnadsplikt
17 § Den som deltar i verksamhet som utförs av ett privat organ för bedömning av överensstämmelse i enlighet med EU:s cybersäkerhetsakt får inte obehörigen röja eller utnyttja det som han eller hon fått kännedom om under det att uppgifterna utfördes.
I det allmännas verksamhet tillämpas offentlighets- och sekretesslagen
8(2009:400).
Avgifter
18 § Den nationella myndigheten för cybersäkerhetscertifiering får ta ut avgifter för sin verksamhet enligt EU:s cybersäkerhetsakt och denna lag.
Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om sådana avgifter.
Ändring av beslut av privata organ för bedömning av överensstämmelse
19 § Ett privat organ för bedömning av överensstämmelse ska ändra ett beslut som det har meddelat, om
1.organet anser att beslutet är uppenbart felaktigt i något väsentligt hänseende på grund av att det har tillkommit nya omständigheter eller av någon annan anledning, och
2.beslutet kan ändras snabbt och enkelt och utan att det blir till nackdel för någon enskild.
Överklagande
20 § Beslut enligt EU:s cybersäkerhetsakt och enligt denna lag av den nationella myndigheten för cybersäkerhetscertifiering eller av organ för bedömning av överensstämmelse får överklagas till allmän förvaltningsdomstol.
Prövningstillstånd krävs vid överklagande till kammarrätten.
Denna lag träder i kraft den 28 juni 2021.
Prop. 2020/21:186
9
| Prop. 2020/21:186 2.2 | Förslag till lag om ändring i lagen (2021:000) |
| med kompletterande bestämmelser till EU:s | |
| cybersäkerhetsakt |
Härigenom föreskrivs att 3 § lagen (2021:000) med kompletterande bestämmelser till EU:s cybersäkerhetsakt ska ha följande lydelse.
Lydelse enligt förslaget i 2.1 Föreslagen lydelse
3 §
I artikel 60.1 i EU:s cybersäkerhetsakt och i bilagan till EU:s cybersäkerhetsakt finns bestämmelser om ackreditering av organ för bedömning
| av överensstämmelse i fråga om cybersäkerhetscertifiering. | |||||||||
| I Europaparlamentets och rådets | I Europaparlamentets och rådets | ||||||||
| förordning (EG) nr 765/2008 av | förordning (EG) nr 765/2008 av | ||||||||
| den | 9 juli | 2008 om | krav | för | den | 9 juli | 2008 | om krav | för |
| ackreditering | och | marknads- | ackreditering | och | upphävande | av | |||
| kontroll i samband med saluföring | förordning (EEG) nr 339/93 och i | ||||||||
| av produkter och upphävande av | lagen (2011:791) om ackreditering | ||||||||
| förordning (EEG) nr 339/93 och i | och teknisk kontroll finns allmänna | ||||||||
| lagen (2011:791) om ackreditering | bestämmelser om ackreditering av | ||||||||
| och teknisk kontroll finns allmänna | organ | för | bedömning | av | |||||
| bestämmelser om ackreditering av | överensstämmelse. | ||||||||
| organ | för | bedömning | av | ||||||
överensstämmelse.
Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om krav för ackreditering av organ för bedömning av överensstämmelse enligt artikel 60 i EU:s cybersäkerhetsakt.
Denna lag träder i kraft den 16 juli 2021.
10
| 3 | Ärendet och dess beredning | Prop. 2020/21:186 |
Den 17 april 2019 beslutade Europaparlamentet och rådet att anta förordningen (EU) 2019/881 om Enisa (Europeiska unionens säkerhetsbyrå) och om cybersäkerhetscertifiering av informations- och kommunikationsteknik och om upphävande av förordning (EU) nr 526/2013 (cybersäkerhetsakten).
Regeringen beslutade den 31 oktober 2019 att ge en särskild utredare i uppdrag att föreslå de anpassningar och kompletterande bestämmelser som EU:s cybersäkerhetsakt ger anledning till och överväga om det finns anledning att införa ytterligare krav för att skydda verksamhet som är av betydelse för Sveriges säkerhet (dir. 2019:73).
Utredningen, som tog namnet Cybersäkerhetsutredningen (Fö 2019:01), överlämnade den 30 september 2020 delbetänkandet EU:s cybersäkerhetsakt – kompletterande nationella bestämmelser om cybersäkerhetscertifiering (SOU 2020:58).
En sammanfattning av delbetänkandet finns i bilaga 2. Delbetänkandets lagförslag finns i bilaga 3.
Delbetänkandet har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 4. Remissvaren finns tillgängliga på regeringens webbplats (www.regeringen.se) och i Försvarsdepartementet (Fö2020/00954).
Lagrådet
Regeringen beslutade den 24 mars 2021 att inhämta Lagrådets yttrande över de lagförslag som finns i bilaga 5. Lagrådets yttrande finns i bilaga 6. Regeringen följer delvis Lagrådets förslag. Lagrådets synpunkter och förslag behandlas i avsnitten 7.2, 8.3, 8.6, 8.7, 9.2.4 och i författningskommentaren.
I förhållande till lagrådsremissen har dessutom vissa språkliga och redaktionella ändringar gjorts.
4EU:s cybersäkerhetsakt
4.1 Syfte och huvudsakligt innehåll
| Syftet med EU:s cybersäkerhetsakt är att säkerställa en väl fungerande inre | |
| marknad och samtidigt sträva efter att uppnå en hög nivå i fråga om | |
| cybersäkerhet, cyberresiliens och förtroende inom unionen. | |
| EU:s cybersäkerhetsakt reglerar dels Europeiska unionens cyber- | |
| säkerhetsbyrå (Enisa), dels ett ramverk för cybersäkerhetscertifiering. | |
| I fråga om Enisa regleras mål, uppgifter och organisatoriska frågor. | |
| Enisa ska främja spridningen av cybersäkerhetscertifiering i unionen, bl.a. | 11 |
Prop. 2020/21:186 genom att bidra till inrättandet och underhållandet av ramverket för cybersäkerhetscertifiering på unionsnivå. Bestämmelserna i den delen trädde i kraft den 27 juni 2019.
Europeiska kommissionen ska utarbeta löpande arbetsprogram för europeisk cybersäkerhetscertifiering där det fastställs strategiska prioriteringar för framtida europeiska ordningar för cybersäkerhetscertifiering. Enisa ska med hjälp av expertråd och i nära samarbete med Europeiska gruppen för cybersäkerhetscertifiering (ECCG) lämna förslag på europeiska certifieringsordningar. Syftet är att säkerställa en tillfredsställande nivå i fråga om cybersäkerhet för informations- och kommunikationsteknik (IKT) i unionen samt att undvika en fragmentering av den inre marknaden när det gäller certifieringsordningar i unionen. Skapandet av europeiska ordningar för cybersäkerhetscertifiering medför att certifikat som utfärdas enligt dessa certifieringsordningar blir giltiga och erkända i alla medlemsstater.
Genom ramverket möjliggörs en harmoniserad strategi på unionsnivå för europeiska ordningar för cybersäkerhetscertifiering, vilket skapar en digital inre marknad för
4.2Det europeiska ramverket för cybersäkerhetscertifiering
4.2.1Allmänt om det europeiska ramverket för cybersäkerhetscertifiering
Det europeiska ramverket för cybersäkerhetscertifiering innebär en möjlighet för tillverkare och leverantörer att upprätta en s.k.
om överensstämmelse eller ansöka om ett europeiskt cybersäkerhetscertifikat som intygar att en viss
En
I skäl 71 i EU:s cybersäkerhetsakt anges att de europeiska ordningarna för cybersäkerhetscertifiering bör bygga på vad som redan existerar på internationell och nationell nivå och, om så krävs, på tekniska specifikationer från forum och konsortier.
Vidare anges att certifieringsordningar som drivs av industrin eller andra privata organisationer inte bör ingå i cybersäkerhetsaktens tillämpningsområde.
Cybersäkerhetsakten ska inte påverka tillämpningen av unionsrätt som
innehåller särskilda bestämmelser om certifiering av
12
tjänster och
EU:s cybersäkerhetsakt ska inte heller påverka medlemsstaternas befogenheter i fråga om verksamhet som berör allmän säkerhet, försvar, nationell säkerhet och statens verksamhet på straffrättens område (artikel 2).
Cybersäkerhetscertifiering kan vara en kostsam process, vilket i sin tur kan leda till högre priser för kunder och konsumenter. Behovet av certifiering kan också variera beroende på i vilket sammanhang produkterna och tjänsterna ska användas och den snabba tekniska utvecklingen. Därför bör det – enligt EU:s cybersäkerhetsakt – vara frivilligt att använda en europeisk cybersäkerhetscertifiering, om inte annat föreskrivs i unionsrätten eller medlemsstaternas nationella rätt som antagits i enlighet med unionsrätten. På vissa områden kan det bli nödvändigt att i framtiden införa särskilda krav på cybersäkerhet och göra cybersäkerhetscertifiering obligatorisk för vissa
Kommissionen ska regelbundet följa upp vilka effekter antagna europeiska ordningar för cybersäkerhetscertifiering har på tillgången till säkra
I avsaknad av harmoniserad unionsrätt får medlemsstaterna införa nationella tekniska föreskrifter som föreskriver obligatorisk certifiering inom ramen för en europeisk ordning för cybersäkerhetscertifiering i enlighet med Europaparlamentets och rådets direktiv (EU) 2015/1535 om ett informationsförfarande när det gäller tekniska föreskrifter och i fråga om föreskrifter för informationssamhällets tjänster.
Medlemsstaterna får även använda europeisk cybersäkerhetscertifiering i samband med offentlig upphandling och inom ramen för Europaparlamentets och rådets direktiv 2014/24/EU om offentlig upphandling.
I syfte att säkerställa en harmonisering och undvika fragmentering upphör nationella ordningar eller förfaranden för certifiering av IKT- produkter,
Medlemsstaterna får inte heller införa nya nationella ordningar för cybersäkerhetscertifiering av
Prop. 2020/21:186
13
Prop. 2020/21:186
14
4.2.2Artiklar i EU:s cybersäkerhetsakt
Ett europeiskt ramverk för cybersäkerhetscertifiering
I artikel 46 i EU:s cybersäkerhetsakt anges att ett europeiskt ramverk för cybersäkerhetscertifiering ska inrättas för att förbättra förutsättningarna för den inre marknadens funktion genom att höja cybersäkerhetsnivån i unionen och möjliggöra en harmoniserad strategi på unionsnivå för europeiska ordningar för cybersäkerhetscertifiering i syfte att skapa en digital inre marknad för
Unionens löpande arbetsprogram för europeisk cybersäkerhetscertifiering
I artikel 47 anges att kommissionen ska offentliggöra unionens löpande arbetsprogram för europeisk cybersäkerhetscertifiering (nedan kallat unionens löpande arbetsprogram) i vilket strategiska prioriteringar ska fastställas för framtida europeiska ordningar för cybersäkerhetscertifiering. I unionens löpande arbetsprogram ska det särskilt ingå en förteckning över
Begäran om en europeisk ordning för cybersäkerhetscertifiering
Enligt artikel 48 får kommissionen begära att Enisa utarbetar ett förslag till certifieringsordning eller ser över en befintlig europeisk ordning för cybersäkerhetscertifiering på grundval av unionens löpande arbetsprogram. I vederbörligen motiverade fall får kommissionen eller europeiska gruppen för cybersäkerhetscertifiering begära att Enisa utarbetar ett förslag till certifieringsordning eller ser över en befintlig europeisk ordning för cybersäkerhetscertifiering som inte ingår i unionens löpande arbetsprogram.
Utarbetande, antagande och översyn av en europeisk ordning för cybersäkerhetscertifiering
I artikel 49 anges att efter en begäran från kommissionen i enlighet med artikel 48, ska Enisa utarbeta ett förslag till certifieringsordning som uppfyller de krav som anges i artiklarna 51, 52 och 54. Efter en begäran från europeiska gruppen för cybersäkerhetscertifiering i enlighet med artikel 48.2 får Enisa utarbeta ett förslag till certifieringsordning som uppfyller de krav som anges i artiklarna 51, 52 och 54. Vid utarbetande av ett förslag till certifieringsordning ska Enisa samråda med alla berörda intressenter genom en formell, öppen, transparent och inkluderande samrådsprocess. För varje förslag till certifieringsordning ska Enisa inrätta en för ändamålet särskilt tillsatt arbetsgrupp i enlighet med artikel 20.4 i syfte att tillhandahålla Enisa särskild rådgivning och sakkunskap. Enisa ska ha ett nära samarbete med europeiska gruppen för cybersäkerhetscertifiering. Europeiska gruppen för cybersäkerhetscertifiering ska ge Enisa bistånd och expertråd vid utarbetandet av förslagen till certifierings-
ordning och ska anta ett yttrande om förslaget till certifieringsordning. Prop. 2020/21:186 Med utgångspunkt i förslaget till certifieringsordning som Enisa lagt fram,
får kommissionen anta genomförandeakter för europeiska ordningar för cybersäkerhetscertifiering av
Webbplats om europeiska ordningar för cybersäkerhetscertifiering
I artikel 50 anges att Enisa ska underhålla en särskild webbplats med information om och offentliggörande av europeiska ordningar för cybersäkerhetscertifiering, europeiska cybersäkerhetscertifikat och
Säkerhetsmålsättningarna för europeiska ordningar för cybersäkerhetscertifiering
Enligt artikel 51 ska en europeisk ordning för cybersäkerhetscertifiering vara utformad för att, i tillämpliga fall, uppnå minst de säkerhetsmålsättningar som anges i artikeln.
Assuransnivåer för europeiska ordningar för cybersäkerhetscertifiering
I artikel 52 anges att en europeisk ordning för cybersäkerhetscertifiering får innehålla en eller flera av assuransnivåerna ”grundläggande”, ”betydande” och ”hög” för IKT- produkter,
Assuransnivån för en europeisk certifieringsordning utgör förtroendegrunden för att en
Assuransnivåerna avspeglar motsvarande stringens och djup i fråga om utvärdering av
15
Prop. 2020/21:186 En europeisk ordning för cybersäkerhetscertifiering kan ha flera utvärderingsnivåer beroende på hur stringent och djupgående utvärderingsmetoden är. Utvärderingsnivåer ska motsvara en av assuransnivåerna och vara kopplad till en lämplig kombination av assuranskomponenter. För samtliga assuransnivåer bör
Självbedömning av överensstämmelse
I artikel 53 anges att en europeisk ordning för cybersäkerhetscertifiering kan ge tillverkaren eller leverantören av
Komponenter i europeiska ordningar för cybersäkerhetscertifiering
I artikel 54 anges de komponenter som en europeisk ordning för cybersäkerhetscertifiering åtminstone ska innehålla. Av artikeln följer att föremålet och tillämpningsområdet för certifieringsordningen, inbegripet typen eller kategorierna av de
16
| Kompletterande cybersäkerhetsinformation för certifierade IKT- | Prop. 2020/21:186 |
| produkter, |
Iartikel 55 anges att tillverkaren eller leverantören av
Cybersäkerhetscertifiering
Iartikel 56 anges att
I artikel 56.4 anges att de organ för bedömning av överensstämmelse som avses i artikel 60 ska utfärda europeiska cybersäkerhetscertifikat i enlighet med artikeln som avser assuransnivå grundläggande eller betydande på grundval av de kriterier som ingår i den europeiska ordningen för cybersäkerhetscertifiering, som antagits av kommissionen i enlighet med artikel 49.
I artikel 56.5 anges att genom undantag från punkten 4, och i motiverade fall, får en europeisk ordning för cybersäkerhetscertifiering föreskriva att ett europeiskt cybersäkerhetscertifikat som är ett resultat av den ordningen får utfärdas endast av ett offentligt organ. Ett sådant organ ska vara en nationell myndighet för cybersäkerhetscertifiering som avses i artikel 58.1 eller ett offentligt organ som är ackrediterat som organ för bedömning av överensstämmelse i enlighet med artikel 60.1.
Av artikel 56.6 framgår att om en europeisk ordning för cybersäkerhetscertifiering som antagits enligt artikel 49 kräver assuransnivån hög, ska det europeiska cybersäkerhetscertifikatet enligt den ordningen endast utfärdas av en nationell myndighet för cybersäkerhetscertifiering eller, i följande fall, av ett organ för bedömning av överensstämmelse:
– Efter förhandsgodkännande av den nationella myndigheten för cybersäkerhetscertifiering för varje enskilt europeiskt cybersäkerhetscertifikat som utfärdats av ett organ för bedömning av överensstämmelse.
– Efter allmän delegering på förhand av uppgiften att utfärda ett sådant europeiskt cybersäkerhetscertifikat till ett organ för bedömning av överensstämmelse från den nationella myndigheten för cybersäkerhetscertifiering.
I artikel 56.9 anges att ett europeiskt cybersäkerhetscertifikat ska utfärdas för den period som fastställs i den europeiska ordningen för cybersäkerhetscertifiering och får förnyas under förutsättning att de relevanta kraven alltjämt uppfylls.
Av artikel 56.10 framgår att ett europeiskt cybersäkerhetscertifikat som utfärdats i enlighet med denna artikel ska erkännas i alla medlemsstater.
17
Prop. 2020/21:186
18
Nationella ordningar och certifikat för cybersäkerhetscertifiering
I artikel 57.1 anges att de nationella ordningarna för cybersäkerhetscertifiering och därtill hörande förfaranden, för
Av artikel 57.2 framgår att medlemsstaterna inte får införa nya nationella ordningar för cybersäkerhetscertifiering av de
Av artikel 57.3 framgår att befintliga certifikat som har utfärdats enligt nationella ordningar för cybersäkerhetscertifiering och som omfattas av en europeisk ordning för cybersäkerhetscertifiering ska förbli giltiga tills de löper ut.
Hänvisningar i nationell lagstiftning till nationella standarder som har upphört att ha verkan i och med att en europeisk ordning för cybersäkerhetscertifiering har trätt i kraft kan orsaka förvirring. Medlemsstaterna bör därför se till att antagandet av en europeisk ordning för cybersäkerhetscertifiering avspeglas i deras nationella lagstiftning (skäl 98).
Nationella myndigheter för cybersäkerhetscertifiering
I artikel 58.1 anges att varje medlemsstat ska utse en eller flera nationella myndigheter för cybersäkerhetscertifiering på sitt territorium eller, efter överenskommelse med en annan medlemsstat, utse en eller flera nationella myndigheter för cybersäkerhetscertifiering som är etablerade i denna andra medlemsstat som ansvariga för tillsynsuppgifterna i den utseende medlemsstaten.
Av artikel 58.2 följer att medlemsstaten ska underrätta kommissionen om vilka nationella myndigheter för cybersäkerhetscertifiering som utsetts. Om en medlemsstat utser mer än en myndighet ska den också informera kommissionen om vilka uppgifter som var och en av dessa myndigheter tilldelats.
Av artikel 58.3 följer att varje nationell myndighet för cybersäkerhetscertifiering ska, utan att det påverkar tillämpningen av artikel 56.5 a och 56.6, vara oberoende av de enheter som den utövar tillsyn över vad gäller dess organisation, beslut om finansiering, rättsliga struktur och beslutsfattande.
Av artikel 58.4 följer att medlemsstaterna ska säkerställa att den verksamhet som bedrivs av den nationella myndigheten för cybersäkerhetscertifiering i samband med utfärdande av europeiska cybersäkerhetscertifikat som avses i artiklarna 56.5 a och 56.6 är strikt avskild från deras uppgifter och ansvarsområden i förhållande till tillsynsverksamheten och att dessa verksamheter utförs oberoende av varandra.
Av artikel 58.7 framgår att nationella myndigheter för Prop. 2020/21:186 cybersäkerhetscertifiering bl.a. ska
–övervaka och kontrollera efterlevnaden av bestämmelserna i europeiska ordningar för cybersäkerhetscertifiering,
–övervaka
–kontrollera att tillverkare eller leverantörer av
–aktivt bistå och stödja de nationella ackrediteringsorganen med övervakning och kontroll av verksamhet som bedrivs av organen för bedömning av överensstämmelse i enlighet med denna förordning,
–övervaka och kontrollera den verksamhet som bedrivs av de offentliga organ som avses i artikel 56.5,
–i tillämpliga fall utfärda bemyndiganden för organ för bedömning av överensstämmelse i enlighet med artikel 60.3 och begränsa, tillfälligt upphäva eller återkalla befintliga bemyndiganden om organen för bedömning av överensstämmelse inte uppfyller kraven i cybersäkerhetsakten,
–behandla klagomål från fysiska eller juridiska personer avseende europeiska cybersäkerhetscertifikat som utfärdats av nationella myndigheter för cybersäkerhetscertifiering eller europeiska cybersäkerhetscertifikat som utfärdats av organ för bedömning av överensstämmelse i enlighet med artikel 56.6, eller avseende en
–lämna en årlig sammanfattande rapport om den verksamhet som bedrivits enligt leden b, c och d i denna punkt eller enligt punkt 8 till Enisa och europeiska gruppen för cybersäkerhetscertifiering,
–samarbeta med andra nationella myndigheter för cybersäkerhetscertifiering eller andra myndigheter, bl.a. genom att utbyta information om
–övervaka relevant utveckling på området cybersäkerhetscertifiering.
I artikel 58.8 anges de minimibefogenheter som varje nationell myndighet för cybersäkerhetscertifiering ska ha för att kunna fullgöra tillsyn över efterlevnaden av det europeiska ramverket för cybersäkerhetscertifiering.
Av artikel 58.9 framgår att nationella myndigheter för cybersäkerhetscertifiering ska samarbeta med varandra och med kommissionen, bl.a. genom att utbyta information, erfarenheter och god praxis när det gäller cybersäkerhetscertifiering och tekniska frågor som rör cybersäkerhet hos
19
Prop. 2020/21:186
20
Inbördes granskning
I artikel 59.1 anges att de nationella myndigheterna för cybersäkerhetscertifiering omfattas av inbördes granskning i syfte att uppnå likvärdiga standarder i hela unionen för
Av artikel 59.4 framgår att den inbördes granskningen ska utföras av minst två nationella myndigheter för cybersäkerhetscertifiering från andra medlemsstater och kommissionen och ska utföras minst vart femte år. Enisa får delta i den inbördes granskningen.
Organen för bedömning av överensstämmelse
Av artikel 60.1 framgår att organen för bedömning av överensstämmelse ska ackrediteras av det nationella ackrediteringsorgan som utsetts i enlighet med förordning (EG) nr 765/2008. Sådan ackreditering ska endast utfärdas under förutsättning att organet för bedömning av överensstämmelse uppfyller kraven i bilagan till EU:s cybersäkerhetsakt.
I artikel 60.2 anges att om ett europeiskt cybersäkerhetscertifikat utfärdas av en nationell myndighet för cybersäkerhetscertifiering enligt artikel 56.5 a och 56.6 ska certifieringsorganet hos den nationella myndigheten för cybersäkerhetscertifiering ackrediteras som ett organ för bedömning av överensstämmelse enligt punkten 1.
Av artikel 60.3 framgår att om de europeiska ordningarna för cybersäkerhetscertifiering innehåller särskilda eller ytterligare krav enligt artikel 54.1 f ska endast organ för bedömning av överensstämmelse som uppfyller dessa krav bemyndigas av den nationella myndigheten för cybersäkerhetscertifiering att utföra uppgifter inom ramen för sådana ordningar.
Av artikel 60.4 framgår att ackrediteringen som avses i punkten 1 ska utfärdas till organen för bedömning av överensstämmelse för en period på högst fem år och får förnyas på samma villkor under förutsättning att organet för bedömning av överensstämmelse fortfarande uppfyller kraven i denna artikel. Nationella ackrediteringsorgan ska vidta alla lämpliga åtgärder inom en rimlig tidsram för att begränsa, tillfälligt upphäva eller återkalla ackrediteringen av ett organ för bedömning av överensstämmelse som har utfärdats i enlighet med punkten 1 om villkoren för ackrediteringen inte har uppfyllts, eller inte längre uppfylls eller om åtgärder som vidtagits av organet för bedömning av överensstämmelse strider mot bestämmelserna i cybersäkerhetsakten.
Anmälan till kommissionen
I artikel 61.1 anges att de nationella myndigheterna för cybersäkerhetscertifiering till kommissionen ska anmäla de organ som har ackrediterats och, i tillämpliga fall, bemyndigade i enlighet med artikel 60.3 att utfärda europeiska cybersäkerhetscertifikat på angivna assuransnivåer enligt artikel 52.
Av artikel 61.2 följer att kommissionen, ett år efter ikraftträdandet av en europeisk ordning för cybersäkerhetscertifiering, ska offentliggöra en förteckning över de organ för bedömning av överensstämmelse som har anmälts.
Av artikel 61.4 följer att en nationell myndighet för cybersäkerhets- Prop. 2020/21:186 certifiering får lämna in en begäran till kommissionen om att stryka ett
organ för bedömning av överensstämmelse, som anmälts av den myndigheten, från den förteckning som avses i punkten 2.
Europeiska gruppen för cybersäkerhetscertifiering
Av artikel 62 följer att en europeisk grupp för cybersäkerhetscertifiering ska bildas. Gruppen ska bestå av företrädare för nationella myndigheter för cybersäkerhetscertifiering eller företrädare för andra berörda nationella myndigheter. Gruppen ska ha i uppgift att bl.a. ge råd till och bistå kommissionen i dess arbete för att säkerställa ett konsekvent genomförande och en konsekvent tillämpning av det europeiska ramverket för cybersäkerhetscertifiering, särskilt när det gäller frågor som rör unionens löpande arbetsprogram, cybersäkerhetscertifiering, strategisamordning och utarbetandet av de europeiska ordningarna för cybersäkerhetscertifiering.
Rätt att lämna in klagomål
I artikel 63.1 anges att fysiska och juridiska personer ska ha rätt att lämna in klagomål till utfärdaren av ett europeiskt cybersäkerhetscertifikat eller, när klagomålet rör ett europeiskt cybersäkerhetscertifikat som utfärdats av ett organ för bedömning av överensstämmelse som handlar i enlighet med artikel 56.6, till den berörda nationella myndigheten för cybersäkerhetscertifiering.
Rätt till ett effektivt rättsmedel
I artikel 64.1 anges att fysiska och juridiska personer ska ha rätt till effektiva rättsmedel avseende beslut fattade av den myndighet eller det organ som avses i artikel 63.1, och avseende underlåtenhet att vidta åtgärder med anledning av ett klagomål som lämnats in till den myndighet eller det organ som avses i artikel 63.1.
Sanktioner
I artikel 65 anges att medlemsstaterna ska fastställa regler om sanktioner vid överträdelser av det europeiska ramverket för cybersäkerhetscertifiering och europeiska certifieringsordningar, och ska vidta alla nödvändiga åtgärder för att se till att de tillämpas. Sanktionerna ska vara effektiva, proportionella och avskräckande.
5En ny lag införs
Regeringens förslag: En ny lag med kompletterande bestämmelser till EU:s cybersäkerhetsakt införs.
Ord och uttryck i den nya lagen ska ha samma betydelse som i EU:s cybersäkerhetsakt.
| Utredningens förslag överensstämmer med regeringens. | 21 |
| Prop. 2020/21:186 | Remissinstanserna: Sveriges advokatsamfund ifrågasätter att |
| ytterligare en fristående författning på informationssäkerhetsområdet | |
| införs. Övriga remissinstanser tillstyrker eller yttrar sig inte särskilt över | |
| utredningens förslag. | |
| Skälen för regeringens förslag: EU:s cybersäkerhetsakt är bindande i | |
| sin helhet och direkt tillämplig i varje medlemsstat. Den ger medlems- | |
| staterna rätt, men föreskriver även en skyldighet för dem, att vidta åtgärder | |
| för att säkerställa att regelverket i det europeiska ramverket för | |
| cybersäkerhetscertifiering införs och tillämpas på ett ändamålsenligt och | |
| effektivt sätt. En medlemsstat får dock inte vidta några åtgärder för att | |
| införliva de materiella bestämmelserna i det europeiska ramverket med | |
| nationell rätt. Det är endast om nationell rätt kan anses strida mot | |
| cybersäkerhetsakten, i de fall akten ger möjlighet eller föreskriver en | |
| skyldighet att vidta lagstiftningsåtgärder nationellt och om det behövs | |
| nationella åtgärder till stöd för regelverkets syfte, som ändringar i nationell | |
| rätt aktualiseras. Flera av artiklarna i EU:s cybersäkerhetsakt förutsätter att | |
| nationella kompletterande bestämmelser införs, bl.a. i fråga om utseende | |
| av nationell myndighet för cybersäkerhetscertifiering (artikel 58), rätten | |
| till ett effektivt rättsmedel (artikel 64) och sanktioner (artikel 65). | |
| Vissa av de kompletterande nationella bestämmelser som behöver | |
| införas, t.ex. de om sanktionsavgifter, förutsätter lagstöd. Genom EU:s | |
| cybersäkerhetsakt införs ett nytt regelverk för cybersäkerhetscertifiering. | |
| Något motsvarande regelverk på nationell nivå finns för närvarande inte. | |
| Regeringen anser därför, till skillnad mot Sveriges Advokatsamfund, att en | |
| ny lag bör införas. Som utredningen föreslår bör den nya lagen benämnas | |
| lag med kompletterande bestämmelser till EU:s cybersäkerhetsakt. | |
| Vissa av de bestämmelser som föreslås i den nya lagen bör hänvisa till | |
| artiklar i EU:s cybersäkerhetsakt, till exempel till artikel 58 som anger | |
| vilka befogenheter som den nationella myndigheten för cybersäkerhets- | |
| certifiering har. Hänvisningar till |
|
| eller dynamiska. En statisk hänvisning innebär att hänvisningen avser EU- | |
| rättsakten i en viss angiven lydelse. En dynamisk hänvisning innebär att | |
| hänvisningen avser |
|
| lydelsen. För att eventuella ändringar i EU:s cybersäkerhetsakt ska få | |
| omedelbart genomslag i Sverige är det lämpligt att hänvisningarna i den | |
| nya lagen är dynamiska. | |
| Flera av de ord och uttryck som används i EU:s cybersäkerhetsakt | |
| definieras i artikel 2 i cybersäkerhetsakten. Ord och uttryck som används | |
| i den nya lagen bör därför ha samma betydelse som i EU:s cyber- | |
| säkerhetsakt. |
22
| 6 | Nationell myndighet för | Prop. 2020/21:186 |
cybersäkerhetscertifiering
6.1Regeringen ska utse den nationella myndigheten för cybersäkerhetscertifiering
Regeringens förslag: Den myndighet som regeringen bestämmer ska vara nationell myndighet för cybersäkerhetscertifiering enligt EU:s cybersäkerhetsakt.
Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna yttrar sig inte särskilt över utredningens förslag. Skälen för regeringens förslag: Varje medlemsstat ska utse en eller
flera nationella myndigheter för cybersäkerhetscertifiering att utföra de uppgifter som anges i EU:s cybersäkerhetsakt. Det är därmed upp till varje medlemsstat att bestämma om en eller flera myndigheter ska utses. Som utredningen föreslår bör det i den nya lagen därför införas en bestämmelse som anger att den myndighet som regeringen bestämmer ska vara nationell myndighet för cybersäkerhetscertifiering.
| 6.2 | Försvarets materielverk bör vara nationell | |
| myndighet för cybersäkerhetscertifiering | ||
| Regeringens bedömning: Försvarets materielverk bör vara nationell | ||
| myndighet för cybersäkerhetscertifiering. | ||
| Utredningens bedömning överensstämmer med regeringens. | ||
| Remissinstanserna: Det stora flertalet remissinstanser tillstyrker eller | ||
| invänder inte mot utredningens bedömning. Några remissinstanser, | ||
| däribland Skatteverket, anser att Myndigheten för samhällsskydd och | ||
| beredskap bör vara nationell myndighet för cybersäkerhetscertifiering. | ||
| Skälen för regeringens bedömning: En viktig utgångspunkt vid | ||
| inrättandet av den nationella myndigheten för cybersäkerhetscertifiering | ||
| är att, som utredningen och flera remissinstanser framhåller, beakta de | ||
| krav på oberoende som EU:s cybersäkerhetsakt ställer. Det gäller | ||
| verksamhet som avser utfärdande av cybersäkerhetscertifikat och | ||
| verksamhet som innefattar tillsyn. Under förutsättning att kravet på | ||
| oberoende uppfylls finns inget hinder enligt EU:s cybersäkerhetsakt mot | ||
| att utse en myndighet att utföra samtliga uppgifter som åligger den | ||
| nationella myndigheten för cybersäkerhetscertifiering. | ||
| De uppgifter som den nationella myndigheten för cybersäkerhets- | ||
| certifiering ska ha innefattar sammantaget omvärldsbevakning av frågor | ||
| som rör cybersäkerhet och cybersäkerhetscertifiering av |
||
| internationella aktörer på området, ansvar för viss cybersäkerhets- | ||
| certifieringsverksamhet, främst på högsta assuransnivån och tillsynsansvar | ||
| över efterlevnaden av det europeiska ramverket för cybersäkerhets- | ||
| certifiering. | 23 | |
Prop. 2020/21:186 Försvarets materielverk bedriver verksamhet som kräver bred och djup kunskap och teknisk kompetens inom ramen för verksamhet som Sveriges nationella certifieringsorgan för
Regeringen bedömer, i likhet med utredningen, att Försvarets materielverk är den myndighet som är bäst lämpad och bör utses att utföra de uppgifter som åligger den nationella myndigheten för cybersäkerhetscertifiering.
För att säkerställa de krav på oberoende som EU:s säkerhetsakt ställer behöver vissa frågor om bl.a. myndighetens organisation och beslutsförfarande regleras. Detta kan lämpligen göras genom förordning.
6.3Avgiftsfinansierad verksamhet
| Regeringens | förslag: | Den | nationella | myndigheten | för | |
| cybersäkerhetscertifiering får ta ut avgifter för sin verksamhet enligt | ||||||
| EU:s cybersäkerhetsakt och den nya lagen. | ||||||
| Regeringen eller den myndighet regeringen bestämmer får meddela | ||||||
| föreskrifter om sådana avgifter. | ||||||
| Utredningens förslag överensstämmer med regeringens. | ||||||
| Remissinstanserna yttrar sig inte särskilt över utredningens förslag. | ||||||
| Skälen för regeringens förslag: Den nationella myndigheten för | ||||||
| cybersäkerhetscertifiering kommer att utfärda cybersäkerhetscertifikat | ||||||
| efter ansökan från den tillverkare eller leverantör som exempelvis vill få | ||||||
| en produkt certifierad enligt det europeiska ramverket för cybersäkerhets- | ||||||
| certifiering. Kostnader i den verksamheten bör bekostas av de tillverkare | ||||||
| och leverantörer som ansöker om ett europeiskt cybersäkerhetscertifikat. | ||||||
| I fråga om avgiftsfinansiering av kostnader för tillsyn har regeringen | ||||||
| tidigare uttalat att det bör beaktas att sådana avgifter ska motsvaras av en | ||||||
| tydlig motprestation från tillsynsorganets sida, stödja syftet med tillsynen | ||||||
| och ge incitament till avsedda beteenden hos tillsynsorganet och | ||||||
| objektansvariga samt vara enkla, lättbegripliga och förutsägbara för de | ||||||
| objektansvariga, se bl.a. propositionen Lag om sprängämnesprekursorer | ||||||
| och redovisning av krisberedskapens utveckling (prop. 2013/14:144 s. 94). | ||||||
| Regeringen bedömer att detta är uppfyllt i fråga om tillsynen över | ||||||
| regelverket om cybersäkerhetscertifiering. Tillsynsavgiften bör tas ut av | ||||||
| de aktörer vars verksamhet prövas eller är föremål för tillsynsåtgärd. | ||||||
| Möjligheten för den nationella myndigheten för cybersäkerhetscertifiering | ||||||
| att ta ut avgifter bör således omfatta alla berörda organ för bedömning av | ||||||
| överensstämmelse och innehavare av europeiska cybersäkerhetscertifikat | ||||||
| eller utfärdare av |
||||||
| 24 | myndigheten för cybersäkerhetscertifiering bör även få ta ut avgift för | |||||
tillsynsverksamhet enligt den nya lagen och föreskrifter som har meddelats Prop. 2020/21:186 i anslutning till lagen.
Som utredningen föreslår bör det i den nya lagen också införas ett bemyndigande för regeringen eller den myndighet regeringen bestämmer att få meddela föreskrifter om sådana avgifter.
Regeringen anser i likhet med utredningen att det inte bör införas någon författningsreglerad avgiftsfinansiering för verksamhet som bedrivs av privata organ för bedömning av överensstämmelse. Dessa organ bedriver verksamhet på en marknad och avgiften för utfärdande av ett cybersäkerhetscertifikat bör bestämmas i konkurrens mellan berörda aktörer.
7Tillsynsbefogenheter
7.1Rätt att få tillträde till lokaler och handräckning av Kronofogdemyndigheten
Regeringens förslag: Den nationella myndigheten för cybersäkerhetscertifiering får begära handräckning av Kronofogdemyndigheten för att få tillträde till andra lokaler än bostäder, och där genomföra utredningar i enlighet med artikel 58.8 d i EU:s cybersäkerhetsakt.
Vid handräckning ska bestämmelserna i utsökningsbalken om verkställighet av förpliktelser som inte avser betalningsskyldighet, avhysning eller avlägsnande tillämpas. Om den nationella myndigheten för cybersäkerhetscertifiering begär det, ska Kronofogdemyndigheten inte i förväg underrätta den som utredningen ska genomföras hos.
| Utredningens förslag överensstämmer i huvudsak med regeringens. | ||
| Remissinstanserna: Kronofogdemyndigheten och Transportstyrelsen | ||
| anser att utredningens lagförslag bör förtydligas så att det framgår med | ||
| stöd av vilka bestämmelser som Kronofogdemyndighetens biträde ska | ||
| lämnas. Transportstyrelsen anser också att det i bestämmelsen bör anges | ||
| att rätten till tillträde till lokal av integritetsskäl inte bör gälla om lokalen | ||
| utgör en bostad. Skatteverket ifrågasätter nödvändigheten att ge rätt till | ||
| tillträde med hjälp av Kronofogdemyndigheten i alla förekommande fall. | ||
| Svenska journalistförbundet anser att det bör införas en bestämmelse om | ||
| begränsning av den nationella myndigheten för cybersäkerhets- | ||
| certifierings rätt till tillgång till uppgifter som omfattas av journalisters | ||
| tystnadsplikt motsvarande det beslagsförbud | som finns i 27 kap. 2 § | |
| rättegångsbalken. | ||
| Skälen för regeringens förslag: Av | artikel 58.8 d i EU:s | |
| cybersäkerhetsakt följer att den nationella myndigheten för | ||
| cybersäkerhetscertifiering ska ha rätt att få tillgång till alla lokaler hos | ||
| organ för bedömning av överensstämmelse eller innehavare av ett | ||
| europeiskt cybersäkerhetscertifikat i syfte att genomföra utredningar i | ||
| enlighet med unionsrätten eller medlemsstaternas processrätt. | ||
| Tillsynsobjekten är tillverkare och leverantörer av |
||
| tjänster och |
||
| samt organ för bedömning av överensstämmelse. För att tillsyn ska kunna | 25 | |
Prop. 2020/21:186 bedrivas på ett effektivt sätt är det nödvändigt att den nationella myndigheten för cybersäkerhetscertifiering får vidta vissa undersökningar
| av de lokaler som de får tillträde till och till det som påträffas där. Alla | ||||
| sådana undersökningar måste dock begränsas till det som är nödvändigt | ||||
| för att tillsynen ska kunna genomföras och måste vara inriktade enbart på | ||||
| sådant som har relevans för tillsynen av efterlevnaden av bestämmelserna | ||||
| i EU:s cybersäkerhetsakt. Proportionalitetsprincipen ska beaktas innan | ||||
| myndigheten begär tillträde och gör undersökningar. | ||||
| Om verksamhetsutövaren vägrar att ge den nationella myndigheten för | ||||
| cybersäkerhetscertifiering tillträde till en lokal för bör den nationella | ||||
| myndigheten för cybersäkerhetscertifiering kunna begära biträde av | ||||
| Kronofogdemyndigheten för att få tillgång till en lokal för att kunna | ||||
| kontrollera handlingar, utrustning och verksamheten på plats. | ||||
| Som Kronofogdemyndigheten och Transportstyrelsen uppmärksammar | ||||
| bör det tydligt anges med stöd av vilka bestämmelser Kronofogde- | ||||
| myndighetens biträde ska lämnas och att rätten till tillträde till lokal av | ||||
| integritetsskäl inte bör gälla om lokalen utgör en bostad. Regeringen | ||||
| föreslår att lagtexten utformas i enlighet med detta. | ||||
| Skatteverket ifrågasätter nödvändigheten att ge rätt till tillträde med | ||||
| hjälp av Kronofogdemyndigheten i alla förekommande fall. | ||||
| Den nationella myndigheten för cybersäkerhetscertifiering måste i sin | ||||
| tillsynsverksamhet beakta proportionalitetsprincipen, som kommer till | ||||
| uttryck i bl.a. 5 § tredje stycket förvaltningslagen (2017:900). Det innebär | ||||
| att de åtgärder som myndigheten vidtar aldrig får vara mer långtgående än | ||||
| vad som behövs och får vidtas endast om det avsedda resultatet står i | ||||
| rimligt förhållande till de olägenheter som kan antas uppstå för den som | ||||
| åtgärden riktas mot. Regeringen anser därför inte att det finns anledning | ||||
| att i den föreslagna bestämmelsen införa ytterligare begränsningar i rätten | ||||
| att få tillträde till lokaler med biträde av Kronofogdemyndigheten. | ||||
| Svenska journalistförbundet anser att det bör införas en bestämmelse om | ||||
| begränsning av den nationella myndigheten för cybersäkerhets- | ||||
| certifierings rätt till tillgång till uppgifter som omfattas av journalisters | ||||
| tystnadsplikt motsvarande det beslagsförbud som finns i 27 kap. | 2 § | |||
| rättegångsbalken. | ||||
| Bestämmelser om s.k. källskydd i journalistisk verksamhet finns i bl.a. | ||||
| tryckfrihetsförordningen. Enligt | 1 kap. 1 § tredje stycket | tryckfrihets- | ||
| förordningen står det var och en fritt att meddela uppgifter och | ||||
| underrättelser i vilket ämne som helst till bl.a. journalister och tidnings- | ||||
| redaktioner för offentliggörande i tryckta skrifter m.m. En meddelare har | ||||
| rätt att vara anonym (3 kap. 1 § tryckfrihetsförordningen). Den som har | ||||
| tagit emot en uppgift för publicering har, med vissa undantag, tystnadsplikt | ||||
| beträffande meddelarens identitet (3 kap. 3 § tryckfrihetsförordningen). | ||||
| Den nationella myndigheten för cybersäkerhetscertifierings befogenheter | ||||
| avgränsas av att de endast får utövas för fullgörandet av de uppgifter som | ||||
| myndigheten har enligt EU:s cybersäkerhetsakt och den nya lagen. | ||||
| Regeringen anser att det inte finns något hinder mot att beakta nationella | ||||
| bestämmelser om t.ex. anonymitetsskydd, efterforskningsförbud och | ||||
| tystnadsplikt inom ramen för det europeiska systemet för cybersäkerhets- | ||||
| certifiering. Skyldigheten att tillhandahålla den nationella myndigheten | ||||
| för cybersäkerhetscertifiering | information begränsas | således | av | |
| 26 | tryckfrihetsförordningen och yttrandefrihetsgrundlagen. Eftersom | det | ||
följer redan av principen om att grundlag har företräde framför vanlig lag, Prop. 2020/21:186 behöver detta inte anges särskilt i den nya lagen.
7.2Befogenhet att besluta om förelägganden som får förenas med vite
Regeringens förslag: Den nationella myndigheten för cybersäkerhetscertifiering får besluta de förelägganden som behövs för att EU:s cybersäkerhetsakt, de genomförandeakter som har meddelats med stöd av EU:s cybersäkerhetsakt, den nya lagen och föreskrifter som har meddelats i anslutning till lagen ska följas.
Ett beslut om föreläggande får förenas med vite.
Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över utredningens förslag. Skälen för regeringens förslag: Enligt artikel 58.8 c i EU:s
cybersäkerhetsakt ska varje nationell myndighet för cybersäkerhetscertifiering ha rätt att vidta lämpliga åtgärder, i enlighet med nationell rätt, för att säkerställa att den som utfärdar en
Regeringen anser i likhet med utredningen att detta bör säkerställas genom att det i den nya lagen införs en ordning som innebär att den nationella myndigheten för cybersäkerhetscertifiering får besluta de förelägganden som behövs för att EU:s cybersäkerhetsakt, de genomförandeakter som har meddelats med stöd av EU:s cybersäkerhetsakt, den nya lagen och föreskrifter som har meddelats i anslutning till lagen ska följas. Vidare föreslås att sådana beslut om föreläggande ska få förenas med vite.
Enligt Lagrådet bör det klargöras om avsikten är att ett föreläggande ska kunna riktas mot någon som saluför en produkt som certifierad, trots att något certifikat inte finns. Regeringen konstaterar att artikel 58.8 c i EU:s cybersäkerhetsakt, som bestämmelsen i den nya lagen genomför, inte uttryckligen tar sikte på den situationen. Det bör lämpligen överlämnas till rättstillämpningen att avgöra om frågan faller inom tillämpningsområdet för den nu aktuella regleringen eller om det finns annan lagstiftning, t.ex. på konsumentskyddsområdet, som kan vara tillämplig.
7.3Omedelbar verkställighet och inhibition
Regeringens bedömning: Det behövs inte några särskilda bestämmelser om att beslut av den nationella myndigheten för cybersäkerhetcertifiering får verkställas omedelbart eller om inhibition av sådana beslut.
Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Förvaltningsrätten i Stockholm anser att det av
effektivitetsskäl bör övervägas att i den nya lagen införa en särskild
27
Prop. 2020/21:186 bestämmelse om att tillsynsmyndigheten får bestämma att ett beslut om föreläggande ska gälla omedelbart. Övriga remissinstanser yttrar sig inte särskilt över utredningens bedömning.
Skälen för regeringens bedömning: Om den nationella myndigheten för cybersäkerhetscertifiering konstaterar att det finns skäl att ingripa genom beslut om föreläggande kan det finnas behov att beslutet ska kunna verkställas omedelbart. Så kan exempelvis vara fallet om myndigheten beslutar att ett förfarande eller en verksamhet inte får fortsätta. Omedelbar verkställighet av ett sådant beslut kan förhindra eller minska sårbarheter och risken för skador. Även andra beslut av myndigheten kan behöva verkställas omedelbart. Skälet för detta kan vara att det annars finns en risk för att syftet med beslutet inte uppnås. Det gäller till exempel beslut som rör tillträde till lokaler för att genomföra undersökningar.
I 35 § förvaltningslagen finns bestämmelser om när en myndighets beslut får verkställas. Utgångspunkten är att ett beslut som får överklagas inom en viss tid får verkställas när överklagandetiden har gått ut, om beslutet inte har överklagats. Ett beslut får dock i vissa fall verkställas omedelbart. Det gäller till exempel om ett väsentligt allmänt eller enskilt intresse kräver det. Myndigheten ska dock först noga överväga om det finns skäl att avvakta med att verkställa beslutet på grund av att beslutet medför mycket ingripande verkningar för någon enskild, att verkställigheten inte kan återgå om ett överklagande av beslutet leder till att det upphävs, eller någon annan omständighet.
Regeringen anser att detta är en lämplig och effektiv ordning även i fråga om den nationella myndigheten för cybersäkerhetscertifierings beslut. Någon särskild bestämmelse av det slag som Förvaltningsrätten i Stockholm efterfrågar bör därför inte införas.
En domstol som ska pröva ett överklagande av ett förvaltningsbeslut som gäller omedelbart kan förordna att det överklagade beslutet tills vidare inte ska gälla, s.k. inhibition. Möjligheten till inhibition innebär att risken för att en aktör drabbas av skada på grund av ett felaktigt beslut av den nationella myndigheten för cybersäkerhetscertifiering minimeras. Bestämmelser om inhibition finns i 28 § förvaltningsprocesslagen (1971:291). Någon särskild bestämmelse om inhibition behöver därför inte tas in i den nya lagen.
| 7.4 | Tillsynsbefogenheter i övrigt | |
| Regeringens bedömning: Kompletterande bestämmelser om | ||
| tillsynsbefogenheter i övrigt behöver inte regleras i lag. | ||
| Utredningens bedömning överensstämmer i sak med regeringens. | ||
| Remissinstanserna yttrar sig inte särskilt över bedömningen. | ||
| Skälen för regeringens bedömning: Enligt artikel 58.8 i EU:s | ||
| cybersäkerhetsakt kan den nationella myndigheten för cybersäkerhets- | ||
| certifiering begära att utfärdare av en |
||
| innehavare av ett europeiskt cybersäkerhetscertifikat och organ för | ||
| bedömning av överensstämmelse ska lägga fram alla uppgifter som | ||
| myndigheten behöver för att kunna fullgöra sin uppgift (punkten a). | ||
| 28 | Myndigheten har också befogenhet att genomföra undersökningar, i form | |
av kontroller, av utfärdare av en
bedömning av överensstämmelse för att kunna verifiera överensstämmelse med bestämmelserna i det europeiska ramverket för cybersäkerhetscertifiering (punkten b).
Regeringen instämmer i utredningens bedömning att det inte behöver införas några kompletterande bestämmelser i lag om den nationella myndigheten för cybersäkerhetscertifierings befogenheter enligt bestämmelserna i artikel 58.8 a och b.
7.5Samma tillsynsbefogenheter med stöd av den nya lagen som enligt EU:s cybersäkerhetsakt
Regeringens förslag: Den nationella myndigheten för cybersäkerhetscertifiering ska ha de befogenheter som anges i artikel 58.8 i EU:s cybersäkerhetsakt även vid tillsynen över att den nya lagen och föreskrifter som har meddelats i anslutning till lagen följs.
Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över utredningens förslag. Skälen för regeringens förslag: Ett fungerande europeiskt system för
cybersäkerhetscertifiering förutsätter att nationella bestämmelser införs som kompletterar EU:s cybersäkerhetsakt. Tillsynen över regelverket bör lämpligen omfatta att såväl bestämmelserna i EU:s cybersäkerhetsakt som de kompletterande nationella bestämmelserna följs. För att tillsynsverksamheten ska kunna bedrivas på ett effektivt och ändamålsenligt sätt bör de befogenheter som den nationella myndigheten för cybersäkerhetscertifiering har enligt artikel 58.8 i EU:s cybersäkerhetsakt gälla även vid tillsyn enligt den nya lagen och föreskrifter som har meddelats i anslutning till lagen.
Regeringen föreslår i likhet med utredningen att en bestämmelse om detta förs in i den nya lagen.
7.6Återkallelse av europeiska cybersäkerhetscertifikat
| Regeringens | förslag: | Den | nationella | myndigheten | för | |
| cybersäkerhetscertifiering får besluta att återkalla ett europeiskt | ||||||
| cybersäkerhetscertifikat som har utfärdats av myndigheten eller av ett | ||||||
| organ för bedömning av överensstämmelse i enlighet med artikel 56.6 i | ||||||
| EU:s cybersäkerhetsakt, om certifikatet inte uppfyller kraven i akten | ||||||
| eller en europeisk ordning för cybersäkerhetscertifiering. | ||||||
| Utredningens förslag överensstämmer med regeringens. | ||||||
| Remissinstanserna yttrar sig inte särskilt över förslaget. | ||||||
| Skälen för regeringens förslag: Enligt artikel 58.8 e i EU:s | ||||||
| cybersäkerhetsakt får en nationell myndighet för cybersäkerhets- | ||||||
| certifiering, i enlighet med nationell rätt, återkalla europeiska cybersäker- | 29 | |||||
Prop. 2020/21:186 hetscertifikat som har utfärdats av den myndigheten eller organ för bedömning av överensstämmelse i enlighet med artikel 56.6, om sådana certifikat inte uppfyller kraven i akten eller en europeisk ordning för cybersäkerhetscertifiering.
Av artikel 56.4 framgår att de organ för bedömning av överensstämmelse som avses i artikel 60 får utfärda europeiska cybersäkerhetscertifikat i enlighet med vad som anges i artikeln och som avser assuransnivå ”grundläggande” eller ”betydande” Genom undantag från punkten 4, och när en europeisk ordning för cybersäkerhetscertifiering föreskriver det, får ett europeiskt cybersäkerhetscertifikat som är ett resultat av den ordningen utfärdas endast av ett offentligt organ. Ett sådant organ ska antingen vara en nationell myndighet för cybersäkerhetscertifiering som avses i artikel 58.1 eller ett offentligt organ som är ackrediterat som organ för bedömning av överensstämmelse i enlighet med artikel 60.1 (artikel 56.5).
Om en europeisk ordning för cybersäkerhetscertifiering som antagits enligt artikel 49 kräver assuransnivå ”hög” ska det europeiska cybersäkerhetscertifikatet endast utfärdas av en nationell myndighet för cybersäkerhetscertifiering eller, efter bemyndigande av den myndigheten, av ett organ för bedömning av överensstämmelse. Detta får ske först efter antingen ett förhandsgodkännande av myndigheten för varje enskilt europeiskt cybersäkerhetscertifikat eller efter en allmän delegering på förhand av uppgiften att utfärda ett sådant europeiskt cybersäkerhetscertifikat till organet för bedömning av överensstämmelse (artikel 56.6).
Som utredningen föreslår bör det i den nya lagen införas en bestämmelse som ger den nationella myndigheten för cybersäkerhetscertifiering rätt att återkalla cybersäkerhetscertifikat som myndigheten eller ett organ för bedömning av överensstämmelse som ackrediterats enligt artikel 60.1 har utfärdat och som inte längre uppfyller kraven i EU:s cybersäkerhetsakt eller en europeisk ordning för cybersäkerhetscertifiering.
Regeringen anser att det bör överlämnas till rättstillämpningen att utveckla närmare praxis i fråga om sådan återkallelse.
| 8 | Sanktioner | |
| 8.1 | Straffrättsliga sanktioner bör inte införas | |
| Regeringens bedömning: Det bör inte införas straffrättsliga sanktioner | ||
| för överträdelser av bestämmelserna i det europeiska ramverket för | ||
| cybersäkerhetscertifiering. | ||
| Utredningens bedömning överensstämmer med regeringens. | ||
| Remissinstanserna: Transportstyrelsen är tveksam till bedömningen | ||
| att det inte finns tillräckliga skäl att införa straffrättsliga sanktioner med | ||
| 30 | hänsyn | till att de produkter, tjänster och processer som omfattas av |
cybersäkerhetscertifiering kan förväntas utgöra kritiska komponenter för Prop. 2020/21:186 landets försvars- och krishanteringsförmåga. Övriga remissinstanser yttrar
sig inte särskilt över utredningens bedömning.
Skälen för regeringens bedömning: I artikel 58.8 f i EU:s cybersäkerhetsakt anges att varje nationell myndighet för cybersäkerhetscertifiering ska utdöma sanktioner i enlighet med nationell rätt och kräva att överträdelser av skyldigheterna i förordningen omedelbart upphör. Vidare föreskrivs i artikel 65 att medlemsstaterna ska fastställa regler om sanktioner för överträdelse av bestämmelserna i det europeiska ramverket för cybersäkerhetscertifiering och vidta alla nödvändiga åtgärder för att se till att de tillämpas. Sanktionerna ska vara effektiva, proportionella och avskräckande. Medlemsstaterna ska anmäla reglerna och åtgärderna samt ändringar av dessa utan dröjsmål till kommissionen.
EU:s cybersäkerhetsakt reglerar inte frågan om vilka typer av sanktioner som bör finnas eller i vilka fall som en sanktionsavgift bör tas ut av den som inte följer bestämmelserna i ramverket för cybersäkerhetscertifiering.
Kriminalisering som metod att förhindra överträdelse av olika normer i samhället bör användas med försiktighet och bör inte komma i fråga om det finns någon alternativ metod som är tillräckligt effektiv för att komma till rätta med det oönskade beteendet.
Regeringens förslag om den nationella myndigheten för cybersäkerhetscertifierings ansvar för tillsyn och befogenheter innebär att myndigheten får effektiva verktyg i arbetet med att motverka brister i fråga om cybersäkerhetscertifiering.
Mot den bakgrunden, och med hänsyn till möjligheten att införa administrativa sanktioner, anser regeringen – i likhet med utredningen – att det inte bör införas några bestämmelser som innebär straffrättsliga sanktioner vid överträdelser av det europeiska ramverket för cybersäkerhetscertifiering.
8.2Ett system med administrativa sanktionsavgifter
Regeringens förslag: Den nationella myndigheten för cybersäkerhetscertifiering ska kunna besluta om sanktionsavgifter för vissa överträdelser av EU:s cybersäkerhetsakt.
Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över utredningens förslag. Skälen för regeringens förslag: Ett system med administrativa
sanktionsavgifter används ofta för att enkelt och snabbt beivra regelöverträdelser. Sanktionsavgifter bör tas ut endast när det gäller lätt konstaterbara överträdelser för vilka utredningsinslaget är begränsat. Ansvaret är således vanligtvis strikt i dessa fall. Sanktionsavgifter bör drabba alla som överträder reglerna lika och avgiften bör vara anpassad till överträdelsen enligt schabloner.
Regeringen anser att införandet av en ordning med administrativa sanktionsavgifter för vissa överträdelser av EU:s cybersäkerhetsakt är
såväl lämpligt som ändamålsenligt. Som utredningen framhåller kan en
31
Prop. 2020/21:186 sådan ordning antas medföra såväl ökad följsamhet till som färre överträdelser av regelverket. En annan konsekvens av införandet av ett sanktionssystem bör också bli att konsumenternas förtroende för branschen på sikt kan öka, vilket ligger i det allmännas intresse.
En sådan ordning utgör också ett lämpligt komplement till den möjlighet att få besluta förelägganden, som får förenas med vite, som behandlas i avsnitt 7.2.
Regeringen föreslår därför, i likhet med utredningen, att det i den nya lagen införs bestämmelser om att den nationella myndigheten för cybersäkerhetscertifiering ska kunna besluta om sanktionsavgifter för vissa överträdelser av EU:s cybersäkerhetsakt.
8.3Överträdelser som ska leda till sanktionsavgift
Regeringens förslag: Sanktionsavgift ska tas ut av den som
1.har utfärdat en
2.har lämnat oriktiga eller ofullständiga uppgifter av betydelse vid ansökan om cybersäkerhetscertifiering,
3.innehar ett europeiskt cybersäkerhetscertifikat och inte informerar,
ienlighet med artikel 56.8 i EU:s cybersäkerhetsakt, den myndighet eller det organ som avses artikel 56.7 om alla sårbarheter eller oriktigheter som upptäcks och som kan påverka överensstämmelsen med de säkerhetskrav som gäller för den certifierade
4.har utfärdat en
5.bryter mot villkor för utfärdande, bibehållande, fortsättande eller förnyelse av europeiska cybersäkerhetscertifikat eller mot villkor för inskränkning eller utvidgning av tillämpningsområdet för certifiering,
6.överträder ett beslut av den nationella myndigheten för cybersäkerhetscertifiering om föreläggande som innebär ett förbud, eller
7.använder ett europeiskt cybersäkerhetscertifikat som blivit återkallat enligt artikel 58.8 e i EU:s cybersäkerhetsakt.
Utredningens förslag överensstämmer i huvudsak med regeringens. Remissinstanserna: Kammarrätten i Stockholm och Transportstyrelsen
anser att utredningens förslag i denna del är delvis oklart och bör förtydligas.
| Skälen för regeringens förslag | |||||
| Utgångspunkter | |||||
| Det europeiska ramverket för cybersäkerhetscertifiering utgörs av EU:s | |||||
| cybersäkerhetsakt | och de | europeiska | ordningar | för cybersäkerhets- | |
| 32 | certifiering som | kommer | att utfärdas | med stöd | av akten. Det är ett |
omfattade och komplext regelsystem. Som utredningen anför bör endast mer allvarliga, tydliga och avgränsade överträdelser leda till att den nationella myndigheten för cybersäkerhetscertifiering beslutar om sanktionsavgift. Utgångspunkterna vid övervägande av vilka överträdelser bör omfattas av sanktionsavgift bör i första hand vara syftet med regleringen, vikten av att bestämmelserna efterlevs och de skador som kan bedömas uppkomma vid överträdelser. Flertalet aktörer som kommer att vara verksamma på marknaden för cybersäkerhetscertifiering är vinstdrivande företag som verkar i konkurrens med varandra. Sanktionssystemet behöver därför också utformas på ett sätt som kan antas ge aktörerna tillräckliga skäl att följa de krav som uppställs och därmed undvika risken att drabbas av sanktionsavgift.
Regeringen delar utredningens bedömning att överträdelser av EU:s cybersäkerhetsakt och de skyldigheter som följer av en europeisk ordning för cybersäkerhetscertifiering ska – oavsett om det är fråga om en frivillig eller obligatorisk certifiering – kunna föranleda att en sanktionsavgift beslutas.
När det gäller frågan om vilka överträdelser som bör kunna föranleda beslut om sanktionsavgift, är det viktigt att det är tydligt vilka överträdelser som avses och vem en sanktionsavgift ska kunna tas ut av. Det europeiska ramverket för cybersäkerhetscertifiering innebär att det i de europeiska ordningarna för cyberhetsäkerhetscertifiering kommer att införas ytterligare och mer specifika bestämmelser som gäller vid certifiering av en produkt, tjänst eller process enligt den aktuella ordningen. De europeiska ordningarna för cybersäkerhetscertifiering kan därför förväntas bidra till en ökad tydlighet i fråga om de överträdelser som kan föranleda beslut om sanktionsavgift.
Regeringen anser därför inte att det finns skäl att justera utredningens lagförslag i denna del på det sätt som Kammarrätten i Stockholm och Transportstyrelsen efterfrågar.
Utfärdande av en
Tillverkaren eller leverantören av en
Prop. 2020/21:186
33
Prop. 2020/21:186 tillverkare eller leverantör som har utfärdat en
Enligt lagrådsremissens förslag skulle sanktionsavgift även tas ut om kraven enligt EU:s cybersäkerhetsakt inte är uppfyllda. Som Lagrådet påpekar motsvarar detta dock inte innehållet i artikel 53.2 i EU:s cybersäkerhetsakt. Lagtexten bör därför förtydligas och även justeras i sak i enlighet med Lagrådets förslag.
Bristande fullgörelse av uppgiftsskyldigheten
Den fysiska eller juridiska person som ansöker om att få sin produkt, tjänst eller process certifierad av ett organ för bedömning av överensstämmelse är skyldig att göra all information som krävs för att genomföra certifieringen tillgänglig (artikel 56.7). De uppgifter som tillverkaren eller leverantören lämnar ligger till grund för bedömningen om ett cybersäkerhetscertifikat ska utfärdas eller inte. Det förutsätts att de uppgifter som lämnas är korrekta. Felaktiga uppgifter eller underlåtelse att lämna uppgifter kan medföra att certifikat utfärdas på felaktiga grunder. De konsekvenser och risker som felaktigt utfärdade certifikat medför är desamma som vid felaktigt utfärdande av en
Förslaget i lagrådsremissen innehöll en hänvisning till artikel 56.7 i EU:s cybersäkerhetsakt och motsvarande europeisk ordning för cybersäkerhetscertifiering. Lagrådet, som uppmärksammar bl.a. att det i artikel 56.7 inte finns någon reglering av ansökan, anser att det saknas skäl att i aktuell bestämmelse föreskriva var ansökan om cybersäkerhetscertifiering regleras och lämnar ett förslag på justering av lagtexten. Regeringen följer Lagrådets förslag.
Innehavare av ett europeiskt cybersäkerhetscertifikat har vidare en skyldighet att informera den myndighet eller det organ som avses artikel
56.7om alla sårbarheter eller oriktigheter som upptäcks och som kan påverka överensstämmelsen med de säkerhetskrav som gäller för den certifierade
Även en tillverkare eller leverantör som har utfärdat en
34
Överträdelse av villkor
För att säkerställa ett enhetligt europeiskt system för cybersäkerhetscertifiering och uppnå syftet med en hög nivå av cybersäkerhet i unionen är det av avgörande betydelse att de villkor som uppställs enligt ramverket efterlevs, såsom villkor för utfärdande, bibehållande, fortsättande eller förnyelse av europeiska cybersäkerhetscertifikat samt villkor för utvidgning eller inskränkning av tillämpningsområdet för certifiering. De europeiska ordningarna för cybersäkerhetscertifiering som kommer att beslutas med stöd av EU:s cybersäkerhetsakt kan förväntas innehålla sådana villkor. En sanktionsavgift bör därför, som Lagrådet föreslår, kunna tas ut av den som bryter mot villkor för utfärdande, bibehållande, fortsättande eller förnyelse av europeiska cybersäkerhetscertifikat samt villkor för utvidgning eller inskränkning av tillämpningsområdet för certifiering.
Överträdelse av förbud
Enligt regeringens förslag ska den nationella myndigheten för cybersäkerhetscertifiering ha möjlighet att besluta förelägganden, som får förenas med vite (avsnitt 7.2). Sådana beslut om förelägganden kan riktas mot tillverkare, leverantörer och organ för bedömning av överensstämmelse.
Ett beslut om föreläggande som innebär ett förbud kan antas typiskt sett komma i fråga vid de allvarligaste fallen av bristande följsamhet av regelverket för cybersäkerhetscertifiering eller vid upprepade överträdelser. En sanktionsavgift bör därför kunna tas ut av den som överträder ett beslut om ett sådant förbud. En sanktionsavgift bör dock inte få beslutas om överträdelsen omfattas av ett föreläggande, som har förenats med vite och överträdelsen ligger till grund för en ansökan om utdömande av vitet. Lagtexten bör utformas i enlighet med detta.
Användande av cybersäkerhetscertifikat som har återkallats
Den nationella myndigheten för cybersäkerhetscertifiering ska ha befogenhet att, i enlighet med nationell rätt, besluta att återkalla ett cybersäkerhetscertifikat som har utfärdats av den nationella myndigheten för cybersäkerhetscertifiering eller av organ för bedömning av överenstämmelse i enlighet med artikel 56.6 om sådana certifikat inte uppfyller kraven EU:s cybersäkerhetsakt eller en europeisk ordning för cybersäkerhetscertifiering (artikel 58.8 e). Regeringens förslag innebär att den nationella myndigheten för cybersäkerhetscertifiering ska ha den befogenheten.
De cybersäkerhetscertifikat som får återkallas med stöd av bestämmelserna är sådana som har utfärdats av den nationella myndigheten för cybersäkerhetscertifiering eller av ett organ för bedömning av överensstämmelse med stöd av en europisk ordning för cybersäkerhetscertifiering som kräver assuransnivå hög. Det är angeläget att certifikat för varor, tjänster och processer som har återkallats inte fortsatt används på marknaden. Detta gör sig särskilt gällande i fråga om varor, tjänster och processer som har certifierats på assuransnivå hög eftersom det kan antas att sådana varor, tjänster och processer används i säkerhetskänslig verksamhet. En sanktionsavgift bör därför kunna tas ut
Prop. 2020/21:186
35
Prop. 2020/21:186 av en tillverkare eller leverantör som använder ett cybersäkerhetscertifikat som har återkallats.
Som Lagrådet anför bygger certifieringen inom unionen på att ett certifikat som har utfärdats av en behörig myndighet inom unionen gäller inom den inre marknaden. Därmed följer också att en återkallelse som en sådan myndighet beslutar innebär att certifikatet inte längre gäller inom denna marknad. Regeringen gör bedömningen att en sanktionsavgift enligt den nya lagen därför bör kunna tas ut av den som i Sverige använder ett certifikat som har återkallats av en nationell myndighet för cybersäkerhetscertifiering i en annan medlemsstat. Det bör överlämnas till rättstillämpningen att utveckla närmare praxis i fråga om återkallelse i en sådan situation.
Vem ska sanktionsavgiften tas ut av?
I EU:s cybersäkerhetsakt regleras inte närmare vilka som ska kunna drabbas av sanktioner. Sanktionsavgifter kan användas både mot juridiska och fysiska personer. Sanktionsavgift ska tas ut av den som gör sig skyldig till någon av de överträdelser som anges i lagen. En avgift kan därför tas ut av den som utfärdar en
8.4Beslut om sanktionsavgift i samtliga fall
Regeringens förslag: Det ska vara obligatoriskt att besluta om sanktionsavgift vid överträdelser av regelverket. Det ska gälla strikt ansvar vid sådana överträdelser.
Den nationella myndigheten för cybersäkerhetscertifiering ska besluta om sanktionsavgift.
Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Sveriges advokatsamfund anser att det inte finns
skäl att införa en ordning med strikt ansvar. Övriga remissinstanser instämmer i utredningens förslag eller yttrar sig inte särskilt över förslaget.
Skälen för regeringens förslag
Det ska gälla strikt ansvar för överträdelser
System med sanktionsavgifter bygger typiskt sett på principen om strikt ansvar. Strikt ansvar innebär att varken uppsåt eller oaktsamhet är ett krav för att ta ut sanktionsavgift. Det räcker att en bestämmelse har överträtts. Regeringen håller med utredningen om att det inte finns skäl att avvika från grundprincipen för sanktionsavgifter att ansvaret ska vara strikt. Det är framförallt den omständigheten att det inte behöver bevisas att ett visst handlande har varit avsiktligt eller avgöras hur oaktsamt handlandet varit som gör en sådan ordning effektiv. Det är också svårt att se att
överträdelser i normalfallet kan bero på annat än uppsåt eller oaktsamhet.
36
Regeringen anser alltså, i likhet med utredningen, men till skillnad från Prop. 2020/21:186 Sveriges advokatsamfund, att en ordning ska införas som innebär att
överträdelser av det europeiska ramverket för cybersäkerhetscertifiering bygger på strikt ansvar.
Det ska vara obligatoriskt att ta ut sanktionsavgift
En fråga är om det bör vara obligatoriskt att ta ut sanktionsavgift när en viss bestämmelse har överträtts. Sanktionsavgifter bör, som anförs ovan, tas ut endast till följd av lätt konstaterbara överträdelser för vilka utredningsinslaget är begränsat. Ansvaret är således vanligtvis strikt i dessa fall, men andra varianter förekommer. Som regeringen anför i propositionen Informationssäkerhet för samhällsviktiga och digitala tjänster bör tillsynsmyndighetens möjligheter till mer skönsmässiga bedömningar som utgångspunkt vara begränsade med hänsyn till behovet av likabehandling, objektivitet och proportionalitet (prop. 2017/18:205 s. 69 och 70). Regelverket om cybersäkerhetscertifiering kan dock vara komplext, och innebära en resurskrävande hantering för tillsynsmyndigheten. Regeringen anser i likhet med utredningen att övervägande skäl talar för att det på det nu aktuella området bör vara obligatoriskt att besluta om sanktionsavgift när förutsättningarna för detta är uppfyllda. Detta minskar utrymmet för skönsmässiga bedömningar av den nationella myndigheten för cybersäkerhetscertifiering och framstår även som mest ändamålsenligt vid mer allvarliga överträdelser av regelverket.
Den nationella myndigheten för cybersäkerhetscertifiering ska besluta om sanktionsavgift
Regeringen anser i likhet med utredningen att såväl ändamålsskäl som effektivitetsskäl talar för att det bör vara den nationella myndigheten för cybersäkerhetscertifiering som ska besluta om sanktionsavgift. Regeringen föreslår att bestämmelser om detta införs i den nya lagen.
| 8.5 | Ramarna för sanktionsavgiftens storlek | |
| Regeringens förslag: En sanktionsavgift ska bestämmas till lägst | ||
| 10 000 kronor och högst 15 000 000 kronor. | ||
| Utredningens förslag överensstämmer med regeringens. | ||
| Remissinstanserna: Skatteverket anser att sanktionsavgiftens storlek | ||
| bör baseras på aktörens förutsättningar i likhet med vad som gäller enligt | ||
| EU:s dataskyddsförordning. Övriga remissinstanser yttrar sig inte särskilt | ||
| över utredningens förslag. | ||
| Skälen för regeringens förslag: Sanktionsavgifter ska vara effektiva, | ||
| proportionerliga och avskräckande. Det finns flera tänkbara alternativ i | ||
| fråga om utformningen. Det kan t.ex. vara fråga om på förhand bestämda | ||
| belopp eller beloppsintervall, som gäller oavsett vem som begått | ||
| överträdelsen, eller som är kopplade till t.ex. årsomsättning i | ||
| näringsverksamhet. | ||
| Överträdelser av det europeiska ramverket för cybersäkerhets- | ||
| certifiering bedöms kunna påverka samhällsviktig verksamhet och även | 37 | |
Prop. 2020/21:186 leda till allvarlig skada för Sveriges säkerhet. Därför bör maximibeloppet sättas så högt att det får en tillräckligt avskräckande effekt.
Bestämmelserna i det europeiska ramverket för cybersäkerhetscertifiering kommer att omfatta såväl myndigheter som företag. Aktörerna kommer dock att skilja sig mycket från varandra vad gäller t.ex. storlek och ekonomiska förutsättningar. Detta innebär att vad som upplevs som en avhållande avgift av en aktör med måttliga ekonomiska resurser kan framstå som i det närmaste obetydlig för en aktör med stora resurser. Skillnaderna kommer att finnas mellan olika aktörer, när det gäller företag, i olika branscher och mellan företag inom samma bransch.
De aktörer som omfattas av bestämmelserna är både myndigheter, företag och enskilda. Regeringen anser därför inte att det är lämpligt att koppla sanktionsavgiften till aktörens förutsättningar såsom Skatteverket föreslår. Ett system med bestämda beloppsintervall är i stället att föredra (jfr bedömningen i prop. 2017/18:205 s. 70 och 71).
För att sanktionsavgifterna ska vara effektiva, proportionerliga och avskräckande bör intervallet för sanktionsavgiften vara förhållandevis stort. Den nationella myndigheten för cybersäkerhetscertifiering får då möjlighet att göra en nyanserad bedömning när avgiftens storlek ska bestämmas.
När det gäller bestämmandet av ett lämpligt beloppsintervall kan en jämförelse göras med de belopp som kan komma ifråga vid allvarliga överträdelser av bl.a. lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster, dvs. högst tio miljoner kronor. En sådan avgift har av regeringen bedömts utgöra en effektiv, proportionell och avskräckande sanktion mot allvarliga överträdelser (se prop. 2017/18:205 s. 71).
Mot denna bakgrund, och med beaktande av förekomsten av stora globala aktörer på
38
| 8.6 | Sanktionsavgiftens storlek i det enskilda fallet | Prop. 2020/21:186 |
| Regeringens förslag: När sanktionsavgiftens storlek bestäms ska | ||
| särskild hänsyn tas dels till den skada eller risk för skada som har | ||
| uppkommit till följd av överträdelsen, dels till om den som har begått | ||
| överträdelsen tidigare begått en överträdelse och dels till den vinst som | ||
| den avgiftsskyldige har gjort till följd av överträdelsen. | ||
| Den nationella myndigheten för cybersäkerhetscertifiering får besluta | ||
| att sätta ned eller avstå från att ta ut en sanktionsavgift om överträdelsen | ||
| är ringa, om det finns särskilda skäl eller om det annars med hänsyn till | ||
| omständigheterna skulle vara oskäligt att ta ut avgiften. | ||
| Utredningens förslag överensstämmer i huvudsak med regeringens. | ||
| Utredningens förslag innebär att särskild hänsyn ska tas till de kostnader | ||
| som har undvikits och inte, som regeringen föreslår, till den vinst som har | ||
| gjorts. | ||
| Remissinstanserna: Trafikverket anser att det bör förtydligas i vilken | ||
| utsträckning sanktionsavgifter kan åläggas vid upprepade förseelser. | ||
| Övriga remissinstanser yttrar sig inte särskilt över förslaget. | ||
| Skälen för regeringens förslag: När storleken på sanktionsavgiften ska | ||
| bestämmas i det enskilda fallet bör hänsyn tas till alla relevanta | ||
| omständigheter. Som utredningen anför är det inte möjligt att i den nya | ||
| lagen ange samtliga relevanta omständigheter som kan behöva beaktas i | ||
| enskilda fall. Den nya lagen bör i stället innehålla en bestämmelse som | ||
| anger sådana omständigheter som särskilt bör beaktas. | ||
| Regeringen instämmer i utredningens bedömning att särskild hänsyn bör | ||
| tas till den skada eller risk för skada som uppstått till följd av överträdelsen | ||
| och om den avgiftsskyldige tidigare begått en överträdelse. Utredningen | ||
| föreslår att särskild hänsyn också ska tas till de kostnader som har | ||
| undvikits till följd av överträdelsen. Regeringen anser dock att det är | ||
| lämpligare att i stället ta särskild hänsyn till den ekonomiska fördel som | ||
| överträdelsen har inneburit för den avgiftsskyldige. Liksom i lagen | ||
| (2007:528) om värdepappersmarknaden kan detta i lagtexten uttryckas så | ||
| att särskild hänsyn ska tas till den vinst som den avgiftsskyldige har gjort | ||
| till följd av överträdelsen. | ||
| En försvårande omständighet som bör beaktas särskilt vid bedömningen | ||
| av skadan eller risken för skada är om överträdelsen medför sårbarhet eller | ||
| risk för skada på bl.a. samhällsviktig verksamhet eller säkerhetskänslig | ||
| verksamhet. Värt att beakta särskilt är också om större konsumentskaror | ||
| drabbats av överträdelsen. Exempel på omständigheter som kan komma | ||
| att påverka beloppets storlek men inte behöver tas in i lagen är även hur | ||
| länge överträdelsen pågått. Om den avgiftsskyldige tidigare gjort sig | ||
| skyldig till överträdelse av lagen kan det bli aktuellt att beakta om | ||
| överträdelserna är likartade samt den tid som har gått mellan de olika | ||
| överträdelserna. Regeringen anser inte att det finns skäl att införa någon | ||
| begränsning i fråga om antalet sanktionsavgifter som får beslutas i fråga | ||
| om en viss aktör. Någon sådan bestämmelse som Trafikverket efterfrågar | ||
| föreslås därför inte. | ||
| Vissa omständigheter kan det finnas anledning att beakta i mildrande | ||
| riktning. I propositionen Effektiv bekämpning av marknadsmissbruk | ||
| gjordes exempelvis bedömningen att det förhållandet att en aktör aktivt | 39 | |
Prop. 2020/21:186 samarbetat med tillsynsmyndigheten för att komma till rätta med överträdelser kan vara en sådan omständighet samt om aktören snabbt har vidtagit rättelse (prop. 2016/17:22 s. 220 och 221).
Att avgiftsskyldigheten bygger på strikt ansvar innebär att det bör finnas en möjlighet för den nationella myndigheten för cybersäkerhetscertifiering att kunna besluta om jämkning av sanktionsavgift. En bestämmelse som ger myndigheten utrymme att i vissa fall sätta ned eller helt avstå från att ta ut någon sanktionsavgift bör därför införas. Regeringen anser att jämkning bör kunna ske om överträdelsen är ringa, om det finns särskilda skäl eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut avgiften. Det kan exempelvis vara oskäligt att över huvud taget ta ut en avgift om den avgiftsskyldige redan har drabbats av en sanktionsavgift enligt något annat regelverk för i princip samma brist. Att regelverket har överträtts på ett sådant sätt att det varit närmast omöjligt för den avgiftsskyldige att upptäcka överträdelsen eller överträdelsen på annat sätt varit utom den avgiftsskyldiges kontroll, kan i undantagsfall göra överträdelsen ursäktlig och därför utgöra särskilda skäl för jämkning. Det kan också finnas grund för nedsättning när det rör sig om en bedömningsfråga, t.ex. vilka certifieringsåtgärder som är nödvändiga i ett visst sammanhang och berörd aktör trots en ingående granskning gjort en felaktig bedömning. Enligt regeringen kan det däremot inte anses oskäligt att ta ut en sanktionsavgift om överträdelsen exempelvis beror på att en aktör inte har känt till gällande rätt eller om överträdelsen har orsakats av försämrad ekonomi, tidsbrist eller bristande rutiner. Det bör överlämnas till rättstillämpningen att utveckla närmare praxis kring grunderna för jämkning.
Lagrådet anser att den föreslagna bestämmelsen om jämkning av sanktionsavgift i praktiken inte innebär något annat än ett integrerat moment i den bedömning som ligger till grund för ett beslut enligt bestämmelsen om sanktionsavgiftens storlek. Lagrådet lämnar därför ett förslag till justering av lagtexten i denna del, för att tydliggöra att det inte är fråga om ett särskilt beslut om nedsättning. Regeringen kan inte instämma i Lagrådets förslag, bl.a. eftersom det enligt regeringens mening skulle innebära en ändring i sak som inte är lämplig. Vidare finns det flera exempel på befintlig lagstiftning som har utformats på liknande sätt som enligt lagrådsremissens förslag utan att – såvitt känt – ha förorsakat tillämpningssvårigheter. Det framstår därför inte som ändamålsenligt att justera paragrafen med den förebild i fråga om utformningen som Lagrådet föreslår som alternativ.
Regeringen väljer därför att behålla lagrådsremissens förslag.
8.7Hinder mot sanktionsavgift
Regeringens förslag: En sanktionsavgift får inte beslutas om överträdelsen omfattas av ett föreläggande om vite och överträdelsen ligger till grund för en ansökan om utdömande av vitet.
Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över utredningens förslag.
40
Skälen för regeringens förslag: I det sjunde tilläggsprotokollet till den Prop. 2020/21:186 europeiska konventionen angående skydd för de mänskliga rättigheterna
och de grundläggande friheterna (Europakonventionen) och Europeiska unionens stadga om de grundläggande rättigheterna (EU:s rättighetsstadga) finns bestämmelser om rätten att inte bli lagförd eller straffad två gånger för samma brott (gärning), det s.k. dubbelbestraffningsförbudet. Begreppet straff i den mening som avses i Europakonventionen och EU:s rättighetsstadga anses omfatta vite, se propositionen Administrativa sanktioner på yrkesfiskets område (prop. 2007/08:107 s. 24) och propositionen Effektivare sanktioner för arbetsmiljö- och arbetstidsreglerna (prop. 2012/13:143 s. 69).
Om ett vite har dömts ut bör det därför inte vara möjligt att besluta om en sanktion – administrativ eller straffrättslig – för samma sak. Den avgörande tidpunkten för när sådant hinder uppkommer har ansetts vara när det inleds en domstolsprocess angående frågan om utdömande av vite (se prop. 2016/17:22 s. 228).
Ett beslut om föreläggande som har förenats vite bör därför inte hindra ett senare beslut om ingripande med sanktionsavgift så länge som den nationella myndigheten för cybersäkerhetscertifiering inte har ansökt om utdömande av vitet. När den nationella myndigheten för cybersäkerhetscertifiering har ansökt om utdömande av vitet bör myndigheten dock vara förhindrad att besluta om sanktionsavgift för en överträdelse som omfattas av vitesföreläggandet. En bestämmelse om detta bör tas in i den nya lagen.
Lagrådet väcker den mer principiella frågan om regleringen inte borde täcka också den situationen att frågan om vitesföreläggande aktualiseras efter ett beslut om att ta ut sanktionsavgift. Enligt regeringens mening motiverar den eventuella risken för en sådan tillämpning av det nu aktuella regelverket inte att innebörden av dubbelbestraffningsförbudet enligt Europakonventionen i en sådan situation behöver komma till särskilt uttryck i lagtexten.
8.8Förfarandet vid beslut om sanktionsavgift
Regeringens förslag: En sanktionsavgift ska endast få beslutas om den som avgiften ska tas ut av har fått tillfälle att yttra sig inom två år från det att överträdelsen ägde rum.
Ett beslut om sanktionsavgift ska delges.
Sanktionsavgiften ska betalas till den nationella myndigheten för cybersäkerhetscertifiering inom 30 dagar från det att beslutet om att ta ut avgiften har fått laga kraft eller inom den längre tid som anges i beslutet. Om sanktionsavgiften inte betalas inom denna tid, ska myndigheten lämna den obetalda avgiften för indrivning. Vid indrivning får verkställighet ske enligt utsökningsbalken.
En beslutad sanktionsavgift faller bort till den del beslutet om avgiften inte har verkställts inom fem år från det att beslutet fick laga kraft.
Sanktionsavgiften tillfaller staten.
Utredningens förslag överensstämmer med regeringens.
41
Prop. 2020/21:186 Remissinstanserna: Skatteverket anser att preskriptionstiden bör räknas från identifikationstillfället med hänsyn till att det kan ta tid innan överträdelser upptäcks eller identifieras. Övriga remissinstanser yttrar sig inte särskilt över utredningens förslag.
Skälen för regeringens förslag: Beslut om administrativa sanktionsavgifter är en ingripande åtgärd. I likhet med vad som gäller enligt bl.a. lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster bör sådana beslut därför delges den betalningsskyldige enligt delgivningslagen (2010:1932). Som utredningen föreslår bör en bestämmelse om detta tas in i den nya lagen.
Enligt lagen om informationssäkerhet för samhällsviktiga och digitala tjänster får sanktionsavgift inte beslutas om den som anspråket riktas mot inte har getts tillfälle att yttra sig inom två år från överträdelsen. I förarbetena till lagen angav regeringen att en sådan gräns bör finnas på grund av sanktionsavgiftens ingripande natur (prop. 2017/18:205 s. 74). En motsvarande reglering finns i 5 kap. 14 § lagen (2016:1306) med kompletterande bestämmelser till EU:s marknadsmissbruksförordning Samma skäl gör sig gällande i fråga om sanktionsavgift för överträdelser av det europeiska ramverket för cybersäkerhetscertifiering.
En bortre tidsgräns för när en sanktionsavgift får beslutas bör finnas och regeringen anser att två år är en rimlig sådan gräns. Som Skatteverket anför kan det ta viss tid innan överträdelser av det europeiska regelverket för cybersäkerhetscertifiering upptäcks. Regeringen anser dock inte att det finns skäl att i det här fallet göra en annan bedömning i fråga om från vilken tidpunkt preskriptionstiden ska börja löpa än den som lagstiftaren har gjort på andra liknande områden. En bestämmelse med motsvarande innebörd som i de nyss nämnda lagarna bör därför införas i den föreslagna lagen. Liksom i andra liknande fall bör bevisbördan för att kommunikation har genomförts ligga på tillsynsmyndigheten (se prop. 2017/18:205 s. 74).
För att regleringen om sanktionsavgifter ska bli tillräckligt handlingsdirigerande och effektiv bör en sanktionsavgift som den nationella myndigheten för cybersäkerhetscertifiering har beslutat kunna drivas in utan att det krävs något domstolsavgörande (3 kap. 1 § första stycket 6 utsökningsbalken). Det bör i den nya lagen införas bestämmelser om att betalning av sanktionsavgift ska ske till den nationella myndigheten för cybersäkerhetscertifiering inom 30 dagar från det att beslutet om sanktionsavgift vann laga kraft eller annars inom den längre tid som anges i beslutet. I lagen bör också regleras att myndigheten ska lämna den obetalda avgiften för indrivning om avgiften inte betalas inom denna tid.
Som utredningen föreslår bör en sanktionsavgift preskriberas i den utsträckning verkställighet inte har skett inom fem år.
Sanktionsavgiften bör tillfalla staten.
42
| 9 | Organ för bedömning av | Prop. 2020/21:186 |
överensstämmelse
9.1Bestämmelser i EU:s cybersäkerhetsakt
Cybersäkerhetscertifikat enligt EU:s cybersäkerhetsakt kan utfärdas av privata och offentliga organ för bedömning av överensstämmelse samt av den nationella myndigheten för cybersäkerhetscertifiering. Organen för bedömning av överensstämmelse ska ackrediteras av det nationella ackrediteringsorgan som utsetts i enlighet med förordning (EG) nr 765/2008. En sådan ackreditering ska endast utfärdas under förutsättning att organet för bedömning av överensstämmelse uppfyller kraven i bilagan till EU:s cybersäkerhetsakt. Av bilagan framgår bl.a. att ett organ för bedömning av överensstämmelse ska vara en juridisk person.
Utgångspunkten är att de organ för bedömning av överensstämmelse som avses i artikel 60 i EU:s cybersäkerhetsakt ska utfärda europeiska cybersäkerhetscertifikat som avser assuransnivå ”grundläggande” eller ”betydande” på grundval av de kriterier som ingår i en europeisk ordning för cybersäkerhetscertifiering (artikel 56.4). Genom undantag från den bestämmelsen, och i vederbörligen motiverade fall, får en europeisk ordning för cybersäkerhetscertifiering föreskriva att ett europeiskt cybersäkerhetscertifikat som är ett resultat av den ordningen endast kan utfärdas av ett offentligt organ för bedömning av överensstämmelse. Ett sådant organ ska vara nationell myndighet för cybersäkerhetscertifiering eller ett offentligt organ som är ackrediterat som ett organ för bedömning av överensstämmelse enligt artikel 60.1.
Om en europeisk ordning för cybersäkerhetscertifiering kräver assuransnivå ”hög” ska europeiska cybersäkerhetscertifikat enligt den ordningen endast utfärdas av en nationell myndighet för cybersäkerhetscertifiering eller, i följande fall, av ett organ för bedömning av överensstämmelse (artikel 56.6):
–Efter förhandsgodkännande av den nationella myndigheten för cybersäkerhetscertifiering för varje enskilt europeiskt cybersäkerhetscertifikat som utfärdats av ett organ för bedömning av överensstämmelse (artikel 56.6 a).
–Efter allmän delegering på förhand av uppgiften att utfärda ett sådant europeiskt cybersäkerhetscertifikat till ett organ för bedömning av överensstämmelse från den nationella myndigheten för cybersäkerhetscertifiering (artikel 56.6 b).
Om ett europeiskt cybersäkerhetscertifikat utfärdas av den nationella myndigheten för cybersäkerhetscertifiering enligt artiklarna 56.5 a och
56.6ska certifieringsorganet hos den nationella myndigheten för cybersäkerhetscertifiering ackrediteras som ett organ för bedömning av överensstämmelse (artikel 60.2).
Om de europeiska ordningarna för cybersäkerhetscertifiering innehåller särskilda eller ytterligare krav enligt artikel 54.1 f ska endast organ för bedömning av överensstämmelse som uppfyller dessa krav bemyndigas av
43
Prop. 2020/21:186 den nationella myndigheten för cybersäkerhetscertifiering att utföra uppgifter inom ramen för sådana ordningar (artikel 58.7 e och 60.3).
9.2Ackreditering av organ för bedömning av överensstämmelse
9.2.1Bestämmelser i EU:s cybersäkerhetsakt
Enligt artikel 60.1 ska organen för bedömning av överensstämmelse ackrediteras av det nationella ackrediteringsorgan som utsetts i enlighet med förordning (EG) nr 765/2008. En sådan ackreditering ska endast utfärdas under förutsättning att organet för bedömning av överensstämmelse uppfyller kraven i bilagan till EU:s cybersäkerhetsakt. Ackrediteringen ska utfärdas till organen för bedömning av överensstämmelse för en period på högst fem år och får förnyas på samma villkor under förutsättning att organet för bedömning av överensstämmelse fortfarande uppfyller kraven som anges i artikel 60.
I bilagan till EU:s cybersäkerhetsakt framgår de krav ska organen för bedömning av överensstämmelse ska uppfylla. Bland annat uppställs följande krav:
–Ett organ för bedömning av överensstämmelse ska inrättas i enlighet med nationell rätt och vara en juridisk person.
–Ett organ för bedömning av överensstämmelse ska vara ett tredjepartsorgan som är oberoende av den organisation eller de IKT- produkter,
–Organen för bedömning av överensstämmelse, deras högsta ledning och den personal som ansvarar för att utföra bedömningen av överensstämmelse får inte utgöras av den som konstruerar, tillverkar, levererar, installerar, köper, äger, använder eller underhåller den IKT- produkt,
–Organen för bedömning av överensstämmelse, deras högsta ledning och den personal som ansvarar för genomförandet av bedömningen av överensstämmelse får varken delta direkt i konstruktionen, tillverkningen, marknadsföringen, installationen, användningen eller underhållet av dessa
–Organen för bedömning av överensstämmelse, deras högsta ledning och den personal som ansvarar för genomförandet av bedömningen av överensstämmelse får inte delta i någon verksamhet som kan påverka deras objektivitet eller integritet i samband med den bedömningen av överensstämmelse. Det förbudet ska framför allt gälla konsulttjänster.
–Organen för bedömning av överensstämmelse ska också uppfylla de krav som anges i relevant standard som harmoniserats enligt förordning (EG) nr 765/2008 för ackreditering av organ för bedömning av överensstämmelse som utför certifiering av
44
Det ställs också krav på bl.a. kompetens och teknisk expertis hos organen Prop. 2020/21:186 för bedömning av överensstämmelse (se bilagan till EU:s cybersäker-
hetsakt).
9.2.2Gällande regelverk om ackreditering
Europaparlamentets och rådets förordning (EG) nr 765/2008 av den 9 juli 2008 om krav för ackreditering och marknadskontroll i samband med saluföring av produkter och upphävande av förordning nr 339/93 trädde i kraft den 1 januari 2010.
Bestämmelsen i artikel 60.1 i EU:s cybersäkerhetsakt om att organen för bedömning av överensstämmelse ska ackrediteras av det nationella ackrediteringsorgan som utsetts i enlighet med förordning (EG) nr 765/2008 innebär alltså att Swedac är den myndighet som ska ackreditera organ för bedömning av överenstämmelse enligt EU:s cybersäkerhetsakt.
9.2.3Kompletterande bestämmelser om ackreditering
Regeringens förslag: I den nya lagen ska det upplysningsvis anges att bestämmelser om ackreditering av organ för bedömning av överensstämmelse i fråga om cybersäkerhetscertifiering finns i artikel
60.1i EU:s cybersäkerhetsakt och i bilagan till cybersäkerhetsakten samt att det i förordning (EG) nr 765/2008 och i lagen (2011:791) om ackreditering och teknisk kontroll finns allmänna bestämmelser om ackreditering av organ för bedömning av överensstämmelse.
Regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om krav för ackreditering av sådana organ.
45
Prop. 2020/21:186
46
Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: De flesta remissinstanser yttrar sig inte särskilt
över förslaget. Styrelsen för ackreditering och teknisk kontroll (Swedac) anser att utredningens förslag innebär att Swedac och den nationella myndigheten för cybersäkerhetscertifiering kommer att ha tillsynsuppdrag som är delvis överlappande. Enligt Swedac bör förhållandet mellan tillsynsrollerna klargöras i det fortsatta arbetet.
Skälen för regeringens förslag
En upplysningsbestämmelse om vissa bestämmelser om ackreditering
I artikel 60.1 i EU:s cybersäkerhetsakt och i bilagan till cybersäkerhetsakten finns det bestämmelser om krav på ackreditering och att organen för bedömning av överensstämmelse ska vara ackrediterade enligt förordning (EG) nr 765/2008. Även de europeiska ordningarna för cybersäkerhetscertifiering som kommer att utfärdas som genomförande akter kan komma att innehålla bestämmelser om ackreditering. I förordningen (EG) nr 765/2008 och i lagen (2011:791) om ackreditering och teknisk kontroll finns allmänna bestämmelser om ackreditering av organ för bedömning av överensstämmelse. Detta innebär att det vid cybersäkerhetscertifiering enligt det europeiska ramverket kommer att finnas bestämmelser om ackreditering i flera
Ett normgivningsbemyndigande om krav för ackreditering
Det kan finnas behov av kompletterande bestämmelser avseende ackreditering enligt det europeiska ramverket för cybersäkerhetscertifiering. Som utredningen föreslår bör regeringen eller den myndighet som regeringen bestämmer därför få meddela föreskrifter om krav för ackreditering av organ för bedömning av överensstämmelse. Lagtexten bör utformas i enlighet med detta.
Gränsdragningen mellan tillsynsmyndigheternas ansvarsområden
Den nationella myndigheten för cybersäkerhetscertifiering har i uppgift att utöva tillsyn över efterlevnaden av regelverket för det europeiska systemet för cybersäkerhet. Uppgiften att utöva tillsyn omfattar även organen för bedömning av överensstämmelse. Den nationella myndigheten för cybersäkerhetscertifiering har t.ex. befogenhet att genomföra undersökningar, i form av kontroller, av organen för bedömning av överensstämmelse. Även Styrelsen för ackreditering och teknisk kontroll (Swedac) har i uppgift att bedriva tillsyn. Swedacs uppgifter och ansvar för såväl ackreditering som tillsyn av organ för bedömning av överensstämmelse framgår av gällande reglering om ackreditering i förening med de ytterligare krav som anges i EU:s cybersäkerhetsakt och kommande europeiska ordningar för cybersäkerhetscertifiering. Som Swedac uppmärksammar kan Swedacs och den nationella myndigheten för cybersäkerhetscertifierings tillsynsverksamhet i viss utsträckning komma att överlappa varandra. Myndigheterna behöver därför samverka och
samråda vid bedrivande av tillsyn. Detta framgår också delvis redan av Prop. 2020/21:186 EU:s cybersäkerhetsakt. I artikel 58.7 punkten e framgår nämligen att den
nationella myndigheten för cybersäkerhetscertifiering aktivt ska bistå och stödja det nationella ackrediteringsorganet med övervakning och kontroll av verksamhet som bedrivs av organen för bedömning av överensstämmelse. Det europeiska regelverket är därmed utformat med beaktande av de båda organens till del överlappande uppgifter i det här avseendet. Det finns också bestämmelser om samverkan i förvaltningslagen (8 §) och i myndighetsförordningen (2007:515).
Regeringen ser därför, till skillnad från Swedac, inte något behov av att reglera detta särskilt. Genom nära och effektiv samverkan mellan den nationella myndigheten för cybersäkerhetscertifiering och det nationella ackrediteringsorganet bör eventuella oklarheter i fråga om t.ex. gränsdragning mellan myndigheternas tillsynsområden kunna undvikas.
9.2.4
Regeringens förslag: Den nya lagen ändras så att upplysningsbestämmelsen i lagen om
Utredningen lämnar inte något förslag i denna del.
Skälen för regeringens förslag: Regeringens förslag som behandlas i avsnitt 9.2.3 innebär att det i den nya lagen upplysningsvis ska anges att bestämmelser om ackreditering av organ för bedömning av överensstämmelse i fråga om cybersäkerhetscertifiering finns i EU- förordningen (EG) nr 765/2008.
I artikel 39.1 i förordningen (EU) 2019/1020 om marknadskontroll och överensstämmelse för produkter anges att titeln till förordningen (EG) nr 765/2008 ska ersättas. Ändringen gäller från och med den 16 juli 2021. Anledningen är att bestämmelser om marknadskontroll i förordningen (EG) nr 765/2008 upphävs den 16 juli 2021 i samband med att förordningen (EU) 2019/1020 om marknadskontroll och överensstämmelse blir fullt tillämplig.
I lagrådsremissen föreslås att det görs en ändring i den nya lagen, så att
47
| Prop. 2020/21:186 9.3 | Överlämnande av förvaltningsuppgifter till |
| organ för bedömning av överensstämmelse |
Regeringens bedömning: I EU:s cybersäkerhetsakt finns bestämmelser som innebär att förvaltningsuppgifter, innefattande myndighetsutövning, överlämnas till privata organ för bedömning av överensstämmelse.
Det behövs inte några motsvarande bestämmelser i den nya lagen.
Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: De flesta remissinstanser yttrar sig inte särskilt
över utredningens bedömning i denna del. Tullverket anser dock att överlämnandet av förvaltningsuppgift till privata organ för bedömning av överensstämmelse uttryckligen bör regleras i den nya lagen.
Skälen för regeringens bedömning: Enligt 12 kap. 4 § andra stycket regeringsformen kan förvaltningsuppgifter överlämnas till juridiska personer och enskilda individer. Om förvaltningsuppgiften innefattar myndighetsutövning, får ett överlämnande göras endast med stöd av lag
I EU:s cybersäkerhetsakt finns bestämmelser om att de organ för bedömning av bestämmelse som avses i artikel 60 ska utfärda cybersäkerhetscertifikat på assuransnivå ”grundläggande” och ”betydande” (artikel 56.4). Organen för bedömning av överensstämmelse ska ackrediteras av det nationella ackrediteringsorganet under förutsättning att organet för bedömning av överensstämmelse uppfyller kraven i bilagan till cybersäkerhetsakten (artikel. 60.1). Av bilagan framgår att ett organ för bedömning av överensstämmelse ska vara en juridisk person. Ett organ för bedömning av överensstämmelse kan alltså vara såväl en offentligrättslig som privaträttslig aktör.
Om det i en europeisk ordning för cybersäkerhetscertifiering ställs krav på assuransnivå ”hög”, ska den nationella myndigheten för cybersäkerhetscertifiering utfärda cybersäkerhetscertifikat enligt den ordningen (artikel 56.6). Den nationella myndigheten för cybersäkerhetscertifiering kan dock på förhand delegera uppgiften till ett organ för bedömning av överensstämmelse. Vidare kan en europeisk ordning för cybersäkerhetscertifiering innehålla särskilda eller ytterligare krav (artikel
54.1f). I de fallen ska endast organ för bedömning av överensstämmelse som uppfyller dessa krav bemyndigas av den nationella myndigheten för cybersäkerhetscertifiering att utföra uppgifter inom ramen för sådana ordningar (artikel 60.3). Enligt artikel 58.7 e får en nationell myndighet för cybersäkerhetscertifiering i tillämpliga fall utfärda bemyndiganden enligt artikel 60.3 för organ för bedömning av överensstämmelse att utföra certifieringsuppgifter och begränsa, tillfälligt upphäva eller återkalla befintliga bemyndiganden om organet inte uppfyller kraven enligt EU:s cybersäkerhetsakt.
Som utredningen anför utgör ett cybersäkerhetscertifikat, särskilt när det är fråga om obligatorisk cybersäkerhetscertifiering, en förutsättning för att en tillverkare eller leverantör ska kunna tillhandahålla
48
Uppgiften för såväl privata som offentliga organ för bedömning av Prop. 2020/21:186 överensstämmelse att utfärda europeiska cybersäkerhetscertifikat regleras
i EU:s cybersäkerhetsakt. Regeringen anser i likhet med utredningen att artiklarna 56.4, 56.6, 58.7 e och 60.3 i EU:s cybersäkerhetsakt ger tillräckligt lagstöd för det överlämnande av förvaltningsuppgifter till privata organ för bedömning av överensstämmelse som regleringen i cybersäkerhetsakten innebär. Det finns därför inte något behov av motsvarande bestämmelser i den nya lagen.
10Handläggning och rättsmedel
10.1Myndigheternas handläggning av ärenden
Regeringens bedömning: I den mån det europeiska ramverket för cybersäkerhetscertifiering inte innehåller avvikande bestämmelser är förvaltningslagen tillämplig på berörda myndigheters handläggning av ärenden. Det behövs inga kompletterande nationella regler om ärendehandläggningen hos myndigheterna.
Utredningens bedömning överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över utredningens
bedömning.
Skälen för regeringens bedömning: Förvaltningslagen gäller för handläggning av ärenden hos förvaltningsmyndigheterna (1 §). Om en annan lag eller en förordning innehåller någon bestämmelse som avviker från förvaltningslagen, tillämpas den bestämmelsen (4 §). När det gäller det europeiska ramverket för cybersäkerhetscertifiering innebär detta att förvaltningslagen ska tillämpas om det inte finns avvikande bestämmelser i EU:s cybersäkerhetsakt och de genomförandeakter som beslutas med stöd av akten.
Regeringen anser i likhet med utredningen att det inte finns behov av kompletterande nationella bestämmelser om handläggningen av ärenden hos den nationella myndigheten för cybersäkerhetscertifiering eller ett offentligt organ för bedömning av överensstämmelse.
Frågan om vilka regler för handläggning som bör gälla i samband med klagomål enligt artiklarna 58.7 f och 63 behandlas i avsnitt 10.3.1.
10.2Ärendehandläggning hos privata organ för bedömning av överensstämmelse
Regeringens förslag: Ett privat organ för bedömning av överensstämmelse ska ändra ett beslut det har meddelat om organet anser att beslutet är uppenbart felaktigt i något väsentligt hänseende på grund av att det har tillkommit nya omständigheter eller av någon annan anledning, om det kan ske snabbt och enkelt och utan att det blir till
nackdel för någon enskild.
49
Prop. 2020/21:186 Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna yttrar sig inte särskilt över utredningens förslag. Skälen för regeringens förslag: Organ för bedömning av
överensstämmelse ska vara juridiska personer, t.ex. aktiebolag. En förutsättning för att en privat aktör ska få vara organ för bedömning av överensstämmelse är att organet ackrediteras av det nationella ackrediteringsorganet. De aktörer som önskar bli ackrediterade ska uppfylla flera krav, bl.a. krav på opartiskhet, tillhandahållande av beskrivningar av de förfaranden enligt vilka organen utför sina bedömningar i syfte att säkerställa insyn samt uppfylla de krav som anges i relevanta standarder enligt förordning (EG) nr 765 (se bilagan till EU:s cybersäkerhetsakt). De europeiska ordningarna för cybersäkerhetscertifiering ska vidare innehålla en rad komponenter som bl.a. kan förväntas ha inverkan på handläggningen av ärenden om cybersäkerhetscertifiering (se artikel 54 i EU:s cybersäkerhetsakt). Det finns vidare en möjlighet för en tillverkare eller leverantör att lämna in klagomål till organet för bedömning av överensstämmelse (se nedan). Det europeiska ramverket för cybersäkerhetscertifiering innehåller således en viss ordning för ärendehandläggning.
I artikel 41 i Europeiska unionens stadga om de grundläggande rättigheterna av den 7 december 2000, anpassad den 12 december 2007 i Strasbourg, förkortad rättighetsstadgan, slås vidare fast att var och en har rätt till god förvaltning. Denna rättighet omfattar bl.a. rätten till kommunikation, aktinsyn och motivering av beslut. Rätten till god förvaltning gäller enligt rättighetsstadgan bara i förhållande till unionens institutioner, organ och byråer. Som regeringen anför i propositionen En modern och rättssäker förvaltning – ny förvaltningslag framstår det som naturligt att utgå från att de allmänna unionsrättsliga principer som gäller i ärenden som handläggs av unionens institutioner och organ också gäller för medlemsstaternas myndigheter, när de handlägger ärenden på unionsrättens område (prop. 2016/17:180 s. 44).
De privata organen för bedömning av överensstämmelse utgör inte myndigheter i förvaltningslagens mening. Förvaltningslagen är därför inte tillämplig på organens handläggning av ärenden.
De privata organen för bedömning av överensstämmelse ska i utövandet av den verksamheten beakta allas likhet inför lagen samt iaktta saklighet och opartiskhet (jfr 1 kap. 9 § regeringsformen). Härutöver bör, som utredningen föreslår, organen för bedömning av överensstämmelse ha en skyldighet att i vissa fall ompröva ett tidigare beslut i ett ärende om certifiering. Det bör i den nya lagen införas en särskild bestämmelse om detta. En lämplig förebild för bestämmelsen kan vara 38 § förvaltningslagen om när en myndighet ska ändra ett beslut.
Regeringen föreslår därför att ett privat organ för bedömning av överensstämmelse ska ändra ett beslut det har meddelat, om organet anser att beslutet är uppenbart felaktigt i något väsentligt hänseende på grund av att det har tillkommit nya omständigheter eller av någon annan anledning, om det kan ske snabbt och enkelt och utan att det blir till nackdel för någon enskild.
50
| 10.3 | Effektiva rättsmedel | Prop. 2020/21:186 |
10.3.1Rätten till klagomål
Regeringens bedömning: Det behövs inga särskilda bestämmelser om den enskildes rätt att ge in klagomål till utfärdaren av ett europeiskt cybersäkerhetscertifikat eller den nationella myndigheten för cybersäkerhetscertifiering. Det behövs inte heller några särskilda
bestämmelser om certifieringsorganens och myndighetens handläggning av sådana klagomål.
Utredningens bedömning överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över utredningens
bedömning.
Skälen för regeringens bedömning: Klagomål som rör EU- försäkringar av överensstämmelse, europeiska cybersäkerhetscertifikat utfärdade av nationella myndigheter för cybersäkerhetscertifiering och sådana certifikat som utfärdats av organ för bedömning av överensstämmelse i enlighet med artikel 56.6 (dvs. certifikat som avser högsta assuransnivån) ska ges in till den berörda nationella myndigheten för cybersäkerhetscertifiering. Klagomål ska i övriga fall lämnas till det organ för bedömning av överensstämmelse som har utfärdat det europeiska cybersäkerhetscertifikat som klagomålet avser (artikel 63.1).
Den nationella myndigheten för cybersäkerhetscertifiering eller det organ för bedömning av överensstämmelse som klagomålet lämnats till ska underrätta den klagande om hur förfarandet fortskrider och vilket beslut som fattats, och ska informera den klagande om effektiva rättsmedel enligt artikel 64 (artikel 63.2). Den nationella myndighetens uppgift att behandla klagomål regleras även i artikel 58.7 f. Av bestämmelsen följer att myndigheten i lämplig utsträckning ska undersöka det ärende som klagomålet gäller och inom rimlig tid underrätta anmälaren om utvecklingen och resultatet av utredningen.
När den nationella myndigheten för cybersäkerhetscertifiering handlägger klagomålsärenden är förvaltningslagen tillämplig, i den mån det europeiska ramverket inte innehåller avvikande bestämmelser. Som redogörs för ovan innehåller EU:s cybersäkerhetsakt vissa handläggningsregler som ska följas av såväl den nationella myndigheten för cybersäkerhetscertifiering som offentliga och privata organ för bedömning av överensstämmelse. Ytterligare förfaranderegler kan också tillkomma genom de europeiska ordningarna för cybersäkerhetscertifiering. Handläggningsförfarandet enligt cybersäkerhetsakten uppvisar likheter med bestämmelser i förvaltningslagen, t.ex. i fråga om utredningsansvar, skyndsamhetskrav och underrättelseskyldighet (jfr artiklarna 58.7 f och 63.2). Cybersäkerhetsakten ger också enskilda rätt till effektiva rättsmedel även avseende underlåtenhet att vidta åtgärder med anledning av ett klagomål (artikel 64.1 b). Frågan om överklagande behandlas närmare i nästa avsnitt.
Sammantaget gör regeringen i likhet med utredningen bedömningen att det inte finns behov av att införa kompletterande nationella bestämmelser om den nationella myndigheten för cybersäkerhetscertifierings eller ett
51
Prop. 2020/21:186 organ för bedömning av överensstämmelses handläggning av klagomål enligt EU:s cybersäkerhetsakt.
52
10.3.2Överklagande
Regeringens förslag: Beslut enligt EU:s cybersäkerhetsakt och den nya lagen av den nationella myndigheten för cybersäkerhetscertifiering eller av organ för bedömning av överensstämmelse ska få överklagas till allmän förvaltningsdomstol.
Prövningstillstånd ska krävas vid överklagande till kammarrätten.
Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Domstolsverket och Förvaltningsrätten i
Stockholm anser att frågan om forum vid överklagande av beslut bör övervägas ytterligare. Förvaltningsrätten i Stockholm uppmärksammar även frågan om partsställning vid överklagande av beslut som fattas av privaträttsliga subjekt. Lunds universitet anser att det bör framgå av lagtexten att det är den nationella myndighetens och organen för bedömning av överensstämmelses beslut som får överklagas.
Skälen för regeringens förslag: Enligt artikel 64.1 a i EU:s cybersäkerhetsakt ska enskilda ha rätt till effektiva rättsmedel avseende beslut som har fattats av den nationella myndigheten för cybersäkerhetscertifiering och organ för bedömning av överensstämmelse.
Enligt artikel 6.1 i Europakonventionen, som gäller som lag, gäller att var och en vid prövningen av hans eller hennes civila rättigheter ska vara berättigad till en rättvis och offentlig förhandling inom skälig tid och inför en opartisk domstol som har upprättats enligt lag.
Beslut om bl.a. cybersäkerhetscertifiering och sanktionsavgifter enligt EU:s cybersäkerhetsakt och den föreslagna lagen innefattar prövningar som faller inom tillämpningsområdet för artikel 6.1. En överprövning av sådana beslut måste därför vara förenlig med konventionens krav i fråga om domstolsprövning. Regeringen föreslår därför, i linje med Lunds universitets synpunkter, att det i lagen införs bestämmelser om överklagande som innebär att beslut enligt EU:s cybersäkerhetsakt och den nya lagen av den nationella myndigheten för cybersäkerhetscertifiering eller av organ för bedömning av överensstämmelse ska få överklagas till allmän förvaltningsdomstol.
I likhet med vad som allmänt gäller i fråga om överklagande av förvaltningsbeslut bör det krävas prövningstillstånd vid överklagande till kammarrätten. Detta bör anges i lagtexten.
Domstolsverket uppmärksammar att det kan förekomma uppgifter som är säkerhetsklassificerade enligt säkerhetsskyddslagen (2018:585) i ett överklagat ärende. Regeringen anser dock inte att de praktiska och ekonomiska skäl som myndigheten pekar på ger anledning att i detta lagstiftningsärende överväga särskilda forumregler för mål i domstol enligt det aktuella regelverket.
Utredningens lagförslag reglerar inte frågan om vilken ställning ett privat organ har vid ett överklagande till domstol. Som Förvaltningsrätten i Stockholm uppmärksammar finns det dock rättspraxis som ger stöd för att ett enskilt rättssubjekt i vissa fall kan ges motpartsställning även utanför
tillämpningsområdet för 7 a § förvaltningsprocesslagen (1971:291). Prop. 2020/21:186 Regeringen konstaterar att det inte finns beredningsunderlag för att
överväga en eventuell sådan reglering.
11Offentlighet och sekretess
11.1Utgångspunkter
Det europeiska ramverket för cybersäkerhetscertifiering ger möjlighet för tillverkare och leverantörer av
11.2Bestämmelser i EU:s cybersäkerhetsakt
Uppgiftsskyldighet
Av artikel 56.7 i EU:s cybersäkerhetsakt följer att den fysiska eller juridiska person som lämnar in sina
Innehavare av europeiska cybersäkerhetscertifikat är vidare skyldiga att rapportera nyupptäckta sårbarheter eller oriktigheter vilka rör säkerheten för cybersäkerhetscertifierad IKT till en nationell myndighet för cybersäkerhetscertifiering eller ett organ för bedömning av överensstämmelse. Myndigheten eller organet ska i sin tur överlämna mottagen information till den berörda nationella myndigheten för cybersäkerhetscertifiering (artikel 56.8).
53
Prop. 2020/21:186 En tillverkare eller leverantör ska också lämna kompletterande cybersäkerhetsinformation om en
54
Utfärdare av
Följaktligen kommer både den nationella myndigheten för cybersäkerhetscertifiering och organ för bedömning av överensstämmelse att i sina verksamheter hantera uppgifter om certifikatsökande, certifikatinnehavare och utfärdare av
Vidare har den nationella myndigheten för cybersäkerhetscertifiering en skyldighet att lämna uppgifter till andra nationella myndigheter för cybersäkerhetscertifiering, andra myndigheter och till kommissionen. Det följer av bestämmelserna i artiklarna
Genom artikel 59 inrättas ett system för inbördes granskning i syfte att uppnå likvärdiga standarder i hela unionen för europeiska cybersäkerhetscertifikat och
Konfidentialitet och tystnadsplikt
Bestämmelser om skydd för uppgifter hos organ för bedömning av överensstämmelse finns i punkten 16 i bilagan till EU:s cybersäkerhetsakt.
I denna punkt anges att ett organ som önskar bli ackrediterat ska bevara Prop. 2020/21:186 konfidentialitet och iaktta tystnadsplikt avseende all den information som
organen erhåller vid utförandet av bedömning av överensstämmelse i enlighet med det europeiska ramverket för cybersäkerhetscertifiering eller kompletterande nationella bestämmelser, utom i de fall då uppgifter måste lämnas enligt unionsrätten eller medlemsstaternas nationella rätt. Det ställs även krav på att organ för bedömning av överensstämmelse ska ha dokumenterade förfaranden som möter kraven på konfidentialitet och tystnadsplikt. Vidare anges att immateriella rättigheter ska skyddas.
I artikel 54.1 n i EU:s cybersäkerhetsakt anges också att en europeisk ordning för cybersäkerhetscertifiering ska innehålla bestämmelser om hur organ för bedömning av överensstämmelse i tillämpliga fall ska bevara sina uppgifter.
11.3Inget behov av ändringar i offentlighets- och sekretesslagen
Regeringens bedömning: Det finns inte något behov av ändringar i offentlighets- och sekretesslagen.
Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Förvaltningsrätten i Stockholm anser att det kan
finnas behov av att införa en uttrycklig bestämmelse om uppgiftsskyldighet som möjliggör ett utlämnande enligt 10 kap. 28 § offentlighets- och sekretesslagen. Även Skatteverket är inne på en liknande linje. Övriga remissinstanser yttrar sig inte särskilt över utredningens bedömning.
Skälen för regeringens bedömning
Utgångspunkter
Till följd av bestämmelserna om uppgiftsskyldighet i EU:s cybersäkerhetsakt kommer organ för bedömning av överensstämmelse och den nationella myndigheten för cybersäkerhetscertifiering att få tillgång till skyddsvärda uppgifter om såväl tillverkare och leverantörer som IKT- produkter,
Det finns ett behov av att säkerställa att dessa uppgifter åtnjuter ett fullgott skydd inom det europeiska systemet för cybersäkerhetscertifiering. Som redogörs för ovan finns bestämmelser om konfidentialitet och tystnadsplikt i EU:s cybersäkerhetsakt. I offentlighets- och sekretesslagen finns det ett flertal bestämmelser som kan vara tillämpliga på uppgifter hos ett offentligt organ för bedömning av överensstämmelse eller den nationella myndigheten för cybersäkerhets-
55
Prop. 2020/21:186
56
certifiering. Skyddet för uppgifter i de privata organen för överensstämmelses verksamhet behandlas i avsnitt 11.4.
Sekretess till skydd för enskilds personliga eller ekonomiska förhållanden
Enligt 30 kap. 23 § OSL gäller sekretess, i den utsträckning regeringen meddelar föreskrifter om det, i en statlig myndighets verksamhet som består i utredning, planering, prisreglering, tillståndsgivning, tillsyn eller stödverksamhet med avseende på produktion, handel, transportverksamhet eller näringslivet i övrigt
1.för uppgift om en enskilds affärs- eller driftförhållanden, uppfinningar eller forskningsresultat, om det kan antas att den enskilde lider skada om uppgiften röjs, och
2.för uppgift om andra ekonomiska eller personliga förhållanden än som avses i 1 för den som har trätt i affärsförbindelse eller liknande förbindelse med den som är föremål för myndighetens verksamhet.
Som utredningen uppmärksammar kan behov av sådan sekretess komma att aktualiseras i fråga om uppgifter som förekommer i
Enligt 31 kap. 12 § OSL gäller sekretess för vissa uppgifter i uppdragsverksamhet för enskilds räkning. Bestämmelsen kan vara tillämplig på uppgifter som ett offentligt organ för bedömning av överensstämmelse eller den nationella myndigheten för cybersäkerhetscertifiering får tillgång till när organet eller myndigheten utfärdar cybersäkerhetscertifikat efter ansökan från t.ex. ett aktiebolag.
Sekretess till skydd för allmänna intressen
Enligt 15 kap. 1 § OSL gäller sekretess för uppgifter som angår Sveriges förbindelser med en annan stat eller i övrigt rör en annan stat, mellanfolklig organisation, myndighet, medborgare eller juridisk person i annan stat eller statslös, om det kan antas att det skulle störa Sveriges mellanfolkliga förbindelser eller på annat sätt skada landet om uppgifterna röjs.
Enligt 15 kap. 1 a § första stycket OSL gäller sekretess för uppgift som en myndighet har fått från ett utländskt organ på grund av en bindande EU- rättsakt, om det kan antas att Sveriges möjlighet att delta i det internationella samarbete som avses i rättsakten försämras om uppgiften röjs. Motsvarande sekretess gäller enligt paragrafens andra stycke för uppgift som en myndighet har inhämtat i syfte att överlämna den till ett utländskt organ i enlighet med en sådan rättsakt eller ett sådant avtal som avses i första stycket. EU:s cybersäkerhetsakt är en sådan bindande EU- rättsakt som avses i 15 kap. 1 a § OSL.
Enligt regeringens bedömning kan bestämmelserna om utrikessekretess aktualiseras i fråga om uppgifter hos den nationella myndigheten för cybersäkerhetscertifiering som ska lämnas till eller som inkommit från andra medlemsstaters nationella myndigheter för cybersäkerhetscertifiering,
Enligt 15 kap. 2 § OSL gäller sekretess för uppgift som rör verksamhet Prop. 2020/21:186 för att försvara landet eller planläggning eller annan förberedelse av sådan
verksamhet eller som i övrigt rör totalförsvaret, om det kan antas att det skadar landets försvar eller på annat sätt vållar fara för rikets säkerhet om uppgiften röjs. Så kallad försvarssekretess kan exempelvis aktualiseras hos de offentliga organen för bedömning av överensstämmelse och hos den nationella myndigheten för cybersäkerhetscertifiering i den mån det förekommer uppgifter vars röjande medför att kritiska samhällsfunktioner äventyras och att verksamheter av betydelse för Sveriges säkerhet hotas.
Enligt 17 kap. 1 § OSL gäller sekretess för uppgift om planläggning eller andra förberedelser för sådan inspektion, revision eller annan granskning som en myndighet ska göra, om det kan antas att syftet med granskningsverksamheten motverkas om uppgiften röjas. Bestämmelsen kan t.ex. aktualiseras i den nationella myndigheten för cybersäkerhetscertifierings tillsynsverksamhet.
Enligt utredningen kan det bli aktuellt för ett organ för bedömning av överensstämmelse att använda tester och prov för att bedöma kunskapsnivå och tilldela status som evaluerare eller certifierare. I en sådan situation bör 17 kap. 4 § OSL kunna bli tillämplig. Enligt den bestämmelsen gäller sekretess för uppgift som ingår i eller utgör underlag för kunskapsprov eller psykologiskt prov under en myndighets överseende, om det kan antas att syftet med provet motverkas om uppgiften röjs.
Sekretessbrytande bestämmelser
Den nationella myndigheten för cybersäkerhetscertifiering, offentliga organ för bedömning av överensstämmelse och det nationella ackrediteringsorganet behöver kunna lämna sekretessbelagda uppgifter som myndigheterna hanterar i
En uppgift som omfattas av sekretess enligt offentlighets- och sekretesslagen får som utgångspunkt inte röjas för enskilda eller andra myndigheter (8 kap. 1 § OSL). För att tillgodose myndigheters behov av information och informationsutbyte i sin verksamhet finns flera undantag från huvudregeln om sekretess mellan myndigheter. Sådana sekretessbrytande bestämmelser och bestämmelser om undantag från sekretess finns huvudsakligen i 10 kap. OSL.
57
Prop. 2020/21:186 Enligt 10 kap 2 § OSL hindrar sekretess inte att en uppgift lämnas till en enskild eller till en annan myndighet, om det är nödvändigt för att den utlämnande myndigheten ska kunna fullgöra sin verksamhet. Bestämmelsen kan vara tillämplig i fall där någon av de övriga sekretessbrytande reglerna inte gäller, men ska tillämpas restriktivt (se prop. 1979/80:2 Del A s. 465 och 494).
Enligt 10 kap. 17 § OSL hindrar sekretess inte att en uppgift lämnas till en myndighet, om uppgiften behövs där för tillsyn över eller revision hos den myndighet där uppgiften förekommer. Får en myndighet i verksamhet som avser tillsyn eller revision en sekretessreglerad uppgift överförs sekretessen till den mottagande myndigheten om uppgiften inte ingår i ett beslut hos den mottagande myndigheten (11 kap. 1 § OSL). Det är inte bara uppgifter hos den kontrollerade myndigheten som skyddas. Om tillsyns- eller kontrollmyndigheten inhämtar sekretessbelagda uppgifter från någon annan myndighet än den som är föremål för tillsyn eller revision blir också dessa uppgifter sekretesskyddade. Bestämmelsen i 10 kap. 17 § OSL kan bli tillämplig som ett led i tillsynsverksamheten hos den nationella myndigheten för cybersäkerhetscertifiering i fråga om tillsyn över ett offentligt organ för bedömning av överensstämmelse.
Enligt den s.k. generalklausulen i 10 kap. 27 § OSL får en uppgift som omfattas av sekretess lämnas till en annan myndighet om det är uppenbart att intresset av att lämna uppgiften har företräde framför det intresse som sekretessen har att skydda. Generalklausulen kan inte tillämpas om utlämnandet strider mot lag eller förordning. Bestämmelsen är subsidiär i förhållande till andra sekretessbrytande bestämmelser och ska alltså inte tillämpas om någon annan sekretessbrytande bestämmelse kan tillämpas.
Enligt 10 kap. 28 § OSL hindrar inte sekretess att en uppgift lämnas till en annan myndighet, om uppgiftsskyldighet följer av lag eller förordning. Som redogörs för ovan innebär EU:s cybersäkerhetsakt, som ska jämställas med lag, en skyldighet för bl.a. offentliga organ för bedömning av överensstämmelse att lämna uppgifter till den nationella myndigheten för cybersäkerhetscertifiering. Regeringen anser därför, till skillnad från Förvaltningsrätten i Stockholm och Skatteverket, inte att det finns behov av att införa en bestämmelse om uppgiftsskyldighet för att möjliggöra utlämnande av uppgifter enligt 10 kap. 28 §.
Det finns således flera sekretessbrytande bestämmelser som kan tillämpas för att uppgifter som omfattas av sekretess ska kunna lämnas mellan myndigheter i samband med tillsyn och rapportering av sårbarheter. Bestämmelserna kan också vara tillämpliga i den nationella ackrediteringsorganets tillsynsverksamhet över offentliga organ för bedömning av överensstämmelse respektive när myndigheten får uppgifter i samband med ansökan om ackreditering.
De sekretessbrytande bestämmelserna i 10 kap.
58certifiering.
Regeringen gör sammantaget bedömningen att det inte finns något Prop. 2020/21:186 behov av att införa nya sekretessbrytande bestämmelser.
Det finns inte behov av några ändringar i offentlighets- och sekretesslagen
Sammanfattningsvis finns det flera sekretessbestämmelser i offentlighets- och sekretesslagen som kan aktualiseras i verksamheten hos offentliga organ för bedömning av överensstämmelse och den nationella myndigheten för cybersäkerhetscertifiering. Det har inte framkommit att det finns behov av att göra några ändringar i offentlighets- och sekretesslagen med anledning av EU:s cybersäkerhetsakt.
11.4En bestämmelse om tystnadsplikt ska införas
Regeringens förslag: Den som deltar i verksamhet som utförs av ett privat organ för bedömning av överensstämmelse i enlighet med EU:s cybersäkerhetsakt får inte obehörigen röja eller utnyttja det som han eller hon fått kännedom om under det att uppgifterna utfördes.
I det allmännas verksamhet tillämpas offentlighets- och sekretesslagen.
Utredningens förslag överensstämmer delvis med regeringens. Utredningen föreslår att det även ska införas en upplysningsbestämmelse om att den som bryter mot tystnadsplikten kan dömas för brott mot tystnadsplikten enligt 20 kap. 3 § brottsbalken.
Remissinstanserna yttrar sig inte särskilt över utredningens förslag. Skälen för regeringens förslag: Bestämmelserna om konfidentialitet
och tystnadsplikt i bilagan till EU:s cybersäkerhetsakt gäller för privata organ för bedömning av överensstämmelse. Till skillnad mot offentliga organ för bedömning av överensstämmelse och den nationella myndigheten för cybersäkerhetscertifiering omfattas inte de privata organens hantering av uppgifter av offentlighets- och sekretesslagen, eftersom den lagen, med vissa undantag, endast är tillämplig vid myndigheters hantering av handlingar.
Bestämmelser om tystnadsplikt för privata aktörer finns dock i vissa specialförfattningar. Tystnadsplikten är då ofta reglerad som ett förbud mot att obehörigen röja vissa uppgifter. En sådan bestämmelse finns t.ex. i 1 kap. 10 § lagen (2004:297) om bank- och finansieringsrörelse.
Författningsreglerad tystnadsplikt, oavsett om den följer av bestämmelser i offentlighets- och sekretesslagen eller av annan lag, utgör en inskränkning av yttrandefriheten enligt regeringsformen. Den som bryter mot tystnadsplikten kan dömas för brott mot tystnadsplikten enligt 20 kap. 3 § brottsbalken.
Som utredningen föreslår bör det i den nya lagen införas en bestämmelse om tystnadsplikt som innebär att den som deltar i verksamhet som utförs av ett privat organ för bedömning av överensstämmelse i enlighet med EU:s cybersäkerhetsakt inte obehörigen får röja eller utnyttja det som han eller hon fått kännedom om under det att uppgifterna utfördes.
59
Prop. 2020/21:186 En möjlighet för de privata organen för bedömning av överensstämmelse att bryta sekretessen i förhållande till behöriga nationella myndigheter, och då författning kräver att uppgifter lämnas, har intagits i bilagan till EU:s cybersäkerhetsakt. Detta undantag möjliggör nödvändigt informationsutbyte mellan organet i fråga och den nationella myndigheten för cybersäkerhetscertifiering. Att den föreslagna tystnadsplikten avgränsas med ett obehörighetsrekvisit innebär bl.a. att uppgifter kan lämnas ut med samtycke, till den nationella myndigheten för cybersäkerhetscertifiering eller annars som en följd av en skyldighet i lag eller författning.
Det bör också framgå av lagtexten att offentlighets- och sekretesslagen är tillämplig i det allmännas verksamhet. Till skillnad mot utredningen anser regeringen inte att det av lagtexten behöver framgå att den som bryter mot tystnadsplikten kan dömas för brott mot tystnadsplikten enligt 20 kap. 3 § brottsbalken. Utformningen av paragrafen i den här delen överensstämmer med motsvarande bestämmelse i 4 § lagen (2020:914) om tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter.
| 12 | Behandling av personuppgifter | |
| Regeringens bedömning: Befintlig reglering på personuppgifts- | ||
| området är tillräcklig för den personuppgiftsbehandling som kan | ||
| komma att utföras av den nationella myndigheten för | ||
| cybersäkerhetscertifiering, organ för bedömning av överensstämmelse | ||
| och det nationella ackrediteringsorganet. | ||
| Det behöver inte införas nya bestämmelser om behandling av | ||
| personuppgifter med anledning av EU:s cybersäkerhetsakt. | ||
| Utredningens bedömning överensstämmer i sak med regeringens. | ||
| Remissinstanserna yttrar sig inte särskilt över utredningens | ||
| bedömning. | ||
| Skälen för regeringens bedömning: I den verksamhet som den | ||
| nationella myndigheten för cybersäkerhetscertifiering, organ för | ||
| bedömning av överensstämmelse och det nationella ackrediteringsorganet | ||
| bedriver med stöd av EU:s cybersäkerhetsakt och den nya lagen kommer | ||
| myndigheterna och organen att behöva behandla personuppgifter. Den | ||
| nationella myndigheten för cybersäkerhetscertifiering kommer t.ex. att | ||
| behöva behandla organisationsnummer för enskild näringsverksamhet, | ||
| namn på fysiska företrädare och adress- och kontaktuppgifter inom ramen | ||
| för sin tillsyns- och certifieringsverksamhet. Organen för bedömning av | ||
| överensstämmelse kommer att behöva behandla motsvarande uppgifter | ||
| vid utfärdande av certifikat enligt det nya regelverket. Detsamma gäller | ||
| när ackrediteringsorganet beslutar om ackreditering av organ för | ||
| bedömning av överensstämmelse. | ||
| Europaparlamentets och rådets förordning (EU) 2016/679 av den | ||
| 27 april 2016 om skydd för fysiska personer med avseende på behandling | ||
| 60 | av personuppgifter och om det fria flödet av sådana uppgifter och om | |
upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), i det följande EU:s dataskyddsförordning, utgör grunden för generell personuppgiftsbehandling inom EU. EU:s cybersäkerhetsakt ska inte påverka tillämpningen av EU:s dataskyddsförordning (skäl 74).
Det innebär att EU:s dataskyddsförordning ska tillämpas i verksamhet hos den nationella myndigheten för cybersäkerhetscertifiering, organ för bedömning av överensstämmelse och det nationella ackrediteringsorganet. I svensk rätt kompletteras EU:s dataskyddsförordning av lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning.
Enligt EU:s cybersäkerhetsakt ska den fysiska eller juridiska person som lämnar in en
När det gäller frågan om rättslig grund för personuppgiftsbehandlingen bedömer regeringen att behandlingen är nödvändig för att dels utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel
6.1e i EU:s dataskyddsförordning), dels fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (artikel 6.1 c i EU:s dataskyddsförordning). De rättsliga grunderna är fastställda i EU:s cybersäkerhetsakt och den föreslagna lagen. De aktuella grunderna för behandlingen är således fastställda i unionsrätten och i den nationella rätten på det sätt som krävs enligt artikel 6.3 i EU:s dataskyddsförordning (jfr prop. 2017/18:105 s.
Vad gäller frågan om personuppgiftsbehandlingen är proportionerlig bör beaktas att de tillverkare och leverantörer som ansöker om cybersäkerhetscertifikat agerar yrkesmässigt. De uppgifter som kommer att behandlas är inte sådana känsliga personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning eller uppgifter om lagöverträdelser (artikel 10 i EU:s dataskyddsförordning). Det kommer främst vara fråga om kontaktuppgifter till företrädare för juridiska personer. Intrånget i de registrerades personliga integritet bedöms därför vara förhållandevis litet. Vid en avvägning mellan den registrerades personliga integritet och behovet av att personuppgiften behandlas framstår behandlingen som proportionerlig.
Prop. 2020/21:186
61
Prop. 2020/21:186 Regeringen bedömer att befintlig reglering i EU:s dataskyddsförordning, lagen med kompletterande bestämmelser till EU:s dataskyddsförordning och förordningen med kompletterande bestämmelser till EU:s dataskyddsförordning är tillräcklig för den personuppgiftsreglering som kan komma att utföras av den nationella myndigheten för cybersäkerhetscertifiering, organ för bedömning av överensstämmelse och det nationella ackrediteringsorganet. Det behöver således inte införas några nya bestämmelser om behandling av personuppgifter med anledning av EU:s cybersäkerhetsakt.
13Ikraftträdande- och övergångsbestämmelser
13.1Förslaget till lag med kompletterande bestämmelser till EU:s cybersäkerhetsakt
Regeringens förslag: Den nya lagen ska träda i kraft den 28 juni 2021.
Regeringens bedömning: Det behövs inga övergångsbestämmelser.
Utredningens förslag och bedömning överensstämmer med regeringens.
Remissinstanserna yttrar sig inte särskilt över utredningens förslag och bedömning.
Skälen för regeringens förslag och bedömning: Lagen med kompletterande bestämmelser till EU:s cybersäkerhetsakt bör träda i kraft samtidigt som bestämmelserna i EU:s cybersäkerhetsakt om cybersäkerhetscertifiering ska börja tillämpas, dvs. den 28 juni 2021.
Det finns inte behov av några övergångsbestämmelser.
13.2Förslaget till lag om ändring i lagen (2021:000) med kompletterande bestämmelser till EU:s cybersäkerhetsakt
Regeringens förslag: Lagen om ändring i lagen med kompletterande bestämmelser till EU:s cybersäkerhetsakt ska träda i kraft den 16 juli 2021.
Regeringens bedömning: Det behövs inga övergångsbestämmelser.
Utredningen lämnar inte något förslag i denna del.
Skälen för regeringens förslag och bedömning: Ändringen av titeln till
Det finns inte behov av några övergångsbestämmelser.
62
| 14 | Konsekvenser | Prop. 2020/21:186 |
| Regeringens bedömning: Förslagen innebär att Försvarets | ||
| materielverk får nya uppgifter, vilket bedöms innebära ökade kostnader | ||
| för myndigheten. | ||
| Förslagen innebär att Kronofogdemyndigheten och de allmänna | ||
| förvaltningsdomstolarna får något fler arbetsuppgifter. De kostnads- | ||
| ökningarna bedöms inte bli större än att de ryms inom befintliga anslag. | ||
| Förslagen medför vissa kostnader för företag och enskilda. | ||
| Utredningens bedömning överensstämmer med regeringens. | ||
| Remissinstanserna: Några remissinstanser efterfrågar en utförligare | ||
| konsekvensanalys. Domstolsverket bedömer att kostnadsökningen för | ||
| domstolarna inte kan hanteras inom befintliga ekonomiska ramar. | ||
| Skälen för regeringens bedömning | ||
| Konsekvenser för Försvarets materielverk | ||
| Regeringen gör bedömningen att Försvarets materielverk (FMV) bör utses | ||
| till nationell myndighet för cybersäkerhetscertifiering enligt EU:s | ||
| cybersäkerhetsakt. Det innebär att myndigheten får nya ansvarsområden | ||
| och flera nya uppgifter. | ||
| Uppgiften som nationell myndighet för cybersäkerhetscertifiering | ||
| kommer att medföra behov av resursförstärkning vid myndigheten, främst | ||
| i form av personalförstärkning. De nya ansvarsområdena och uppgifterna | ||
| medför ett ökat personalbehov inom FMV som beräknas uppgå till femton | ||
| årsarbetskrafter samt kostnader för bl.a. utbildning, resor, it och övrig | ||
| administration. De beräknade utgifterna för den nya verksamheten kan i | ||
| nuläget uppskattas till 20 000 000 kronor för 2022 och 30 000 000 kronor | ||
| för 2023 och framåt. | ||
| Myndighetens certifieringsverksamhet är för närvarande både anslags- | ||
| och avgiftsfinansierad. Motsvarande system bör införas när det gäller | ||
| finansieringen av den certifieringsverksamhet som ska bedrivas enligt | ||
| EU:s cybersäkerhetsakt. Möjligheten att ta ut avgifter ska avse kostnaden | ||
| för utfärdande av certifikat. | ||
| Myndighetens tillsynsverksamhet ska enligt regeringens förslag | ||
| avgiftsfinansieras genom att en tillsynsavgift tas ut av de aktörer vars | ||
| verksamhet prövas eller är föremål för en tillsynsåtgärd. Möjligheten för | ||
| FMV att ta ut tillsynsavgifter ska omfatta alla utfärdare av |
||
| om överensstämmelse, innehavare av europeiska cybersäkerhetscertifikat, | ||
| och organ för bedömning av överensstämmelse. | ||
| Regeringen avser att vid behov återkomma till riksdagen med förslag | ||
| om ökade medel för kommande år. | ||
| Konsekvenser för Styrelsen för ackreditering och teknisk kontroll | ||
| (Swedac) | ||
| Styrelsen för ackreditering och teknisk kontroll (Swedac) är nationellt | ||
| ackrediteringsorgan. Jämfört med de uppgifter myndigheten för | ||
| närvarande utför skiljer sig ansvaret enligt EU:s cybersäkerhetsakt åt | ||
| endast i mindre omfattning. Ackrediteringsverksamheten vid Swedac | 63 | |
Prop. 2020/21:186
64
finansieras av kundernas avgifter, som ska täcka samtliga kostnader för ackrediteringen. Eftersom verksamheten när det gäller ackreditering är avgiftsfinansierad bör denna verksamhet inte kräva ytterligare finansiella resurser.
Konsekvenser för Kronofogdemyndigheten
Bestämmelserna om sanktionsavgifter kan komma att öka antalet ärenden hos Kronofogdemyndigheten något. Även förslaget om att den nationella myndigheten för cybersäkerhetscertifiering ska få vända sig till Kronofogdemyndigheten och begära handräckning på plats vid vissa inspektioner kan leda till att Kronofogdemyndighetens hjälp behövs vid ett antal tillfällen men ökningen bedöms dock inte bli särskilt stor och förväntas inte påverka Kronofogdemyndighetens verksamhet mer än att konsekvenserna kan hanteras inom befintliga anslag för myndigheten.
Konsekvenser för domstolarna
Utredningens förslag om möjligheten att överklaga beslut som meddelas av organ för bedömning av överensstämmelse och av myndigheten för cybersäkerhetscertifiering innebär en ny reglering. En viss måltillströmning till allmän förvaltningsdomstol kan därför väntas. Det kan dock antas att överklaganden av beslut av organ för bedömning av överensstämmelse och den nationella myndigheten för cybersäkerhetscertifiering i frågor som avser certifiering inledningsvis kommer ske i begränsad omfattning.
Regeringen anser därför till skillnad från Domstolsverket att domstolarnas kostnadsökningar bör rymmas inom de befintliga anslagen.
Konsekvenser för näringslivet och företag
Införandet av det europeiska ramverket för cybersäkerhetscertifiering bedöms komma att påverka såväl företag som tillverkar och levererar angivna
Innehållet i de europeiska certifieringsordningarna, och hur väl svenska företagsprodukter m.m. motsvarar kraven i dessa ordningar, kan dock antas komma att påverka svenska företags konkurrenskraft.
Det nya regelverket förväntas på sikt bidra till ökad cybersäkerhet och en bättre fungerande marknad, vilket i förlängningen är till fördel för både ekonomiska aktörer och unionsmarknadens funktion. En effektiv tillsyn ökar även förutsättningarna för att företagare ska kunna konkurrera på lika villkor.
Konsekvenser för konsumenter och andra användare
Cybersäkerhetscertifiering är förenat med kostnader, vilket innebär att cybersäkerhetscertifierade konsumentprodukter och konsumenttjänster kan antas komma att avspegla sig i priset på sådana produkter och tjänster.
Konsekvenser för samhället
Syftet med det europeiska ramverket för cybersäkerhetscertifiering är att förbättra medborgarnas och företagens cybersäkerhet. EU:s cybersäker-
hetsakt kan anses ha positiva konsekvenser för hela samhället, eftersom Prop. 2020/21:186 syftet med certifieringsverksamheten enligt cybersäkerhetsakten är att
höja cybersäkerhetsnivån inom unionen och harmonisera europeiska system för cybersäkerhetscertifiering på unionsnivån.
Övriga konsekvenser
Förslagen bedöms inte påverka
–den kommunala självstyrelsen,
–brottsligheten och det brottsförebyggande arbetet,
–sysselsättning och offentlig service i olika delar av landet,
–jämställdheten mellan kvinnor och män, eller
–möjligheterna att nå de integrationspolitiska målen.
Förslagen bedöms inte heller i övrigt medföra några konsekvenser av betydelse.
15Författningskommentar
15.1Förslaget till lag med kompletterande bestämmelser till EU:s cybersäkerhetsakt
Inledande bestämmelse
1 § Denna lag kompletterar Europaparlamentets och rådets förordning (EU) 2019/881 av den 17 april 2019 om Enisa (Europeiska unionens cybersäkerhetsbyrå) och om cybersäkerhetscertifiering av informations- och kommunikationsteknik och om upphävande av förordning (EU) nr 526/2013 (cybersäkerhetsakten).
Förordningen (EU) 2019/881 benämns i denna lag EU:s cybersäkerhetsakt. Ord och uttryck i denna lag har samma betydelse som i EU:s cybersäkerhetsakt.
I paragrafen anges lagens innehåll. Övervägandena finns i avsnitt 5.
Av första stycket framgår att syftet med lagen är att komplettera EU:s förordning om Enisa (Europeiska unionens cybersäkerhetsbyrå) och om cybersäkerhetscertifiering av informations- och kommunikationsteknik (cybersäkerhetsakten). Lagen kompletterar EU:s cybersäkerhetsakt och kan därför inte tillämpas fristående från den. Hänvisningen till EU:s cybersäkerhetsakt är dynamisk. Det innebär att hänvisningen avser cybersäkerhetsakten i den vid varje tidpunkt gällande lydelsen.
Av andra stycket framgår att förordningen (EU) 2019/881 i lagen benämns EU:s cybersäkerhetsakt.
Tredje stycket innehåller en upplysning om att ord och uttryck i lagen har samma betydelse som i EU:s cybersäkerhetsakt. I artikel 2 i cybersäkerhetsakten finns definitioner.
| Nationell myndighet för cybersäkerhetscertifiering | |
| 2 § Den myndighet som regeringen bestämmer | |
| 1. är nationell myndighet för cybersäkerhetscertifiering | enligt EU:s |
| cybersäkerhetsakt, och | 65 |
Prop. 2020/21:186 2. utövar tillsyn över att denna lag och föreskrifter som har meddelats i anslutning till lagen följs.
Paragrafen reglerar nationell myndighet för cybersäkerhetscertifiering. Övervägandena finns i avsnitt 6.1, 6.2 och 7.5.
Enligt punkten 1 är den myndighet som regeringen bestämmer nationell myndighet för cybersäkerhetscertifiering enligt EU:s cybersäkerhetsakt.
Av punkten 2 framgår att den nationella myndigheten även utövar tillsyn över att denna lag och föreskrifter som har meddelats i anslutning till lagen följs.
Ackreditering av organ för bedömning av överensstämmelse
3 § I artikel 60.1 i EU:s cybersäkerhetsakt och i bilagan till EU:s cybersäkerhetsakt finns bestämmelser om ackreditering av organ för bedömning av överensstämmelse i fråga om cybersäkerhetscertifiering.
I Europaparlamentets och rådets förordning (EG) nr 765/2008 av den 9 juli 2008 om krav för ackreditering och marknadskontroll i samband med saluföring av produkter och upphävande av förordning (EEG) nr 339/93 och i lagen (2011:791) om ackreditering och teknisk kontroll finns allmänna bestämmelser om ackreditering av organ för bedömning av överensstämmelse.
Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om krav för ackreditering av organ för bedömning av överensstämmelse enligt artikel 60 i EU:s cybersäkerhetsakt.
I paragrafen finns bestämmelser om ackreditering av organ för bedömning av överensstämmelse. Övervägandena finns i avsnitt 9.2.
Första stycket innehåller en upplysning om att det i artikel 60.1 i EU:s cybersäkerhetsakt och i bilagan till EU:s cybersäkerhetsakt finns bestämmelser om ackreditering av organ för bedömning av överensstämmelse i fråga om cybersäkerhetscertifiering.
Andra stycket innehåller en upplysning om att ackreditering sker enligt förordning (EG) nr 765/2008 och lagen (2011:791) om ackreditering och teknisk kontroll, som kompletterar den förordningen.
Ackrediteringen ska enligt artikel 60.4 i EU:s cybersäkerhetsakt utfärdas till organen för bedömning av överensstämmelse för en period på högst fem år och får förnyas på samma villkor under förutsättning att organet för bedömning av överensstämmelse fortfarande uppfyller kraven i artikel 60 och i bilagan till EU:s cybersäkerhetsakt.
I 33 § lagen (2011:791) om ackreditering och teknisk kontroll finns bestämmelser om att regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om själva ackrediteringen.
Enligt tredje stycket får regeringen eller den myndighet som regeringen bestämmer meddela föreskrifter om krav för ackreditering av organ för bedömning av överensstämmelse enligt artikel 60 i EU:s cybersäkerhetsakt. Bestämmelsen ger stöd för att meddela de kompletterande föreskrifter som kan behövas för ackreditering av organ för bedömning av överensstämmelse enligt cybersäkerhetsaktens bestämmelser respektive kompletterande krav för att organen ska ackrediteras.
66
| Tillsynsbefogenheter | Prop. 2020/21:186 |
| 4 § Vid tillsyn över att denna lag och föreskrifter som har meddelats i anslutning | |
| till lagen följs har den nationella myndigheten för cybersäkerhetscertifiering de | |
| befogenheter som anges i artikel 58.8 i EU:s cybersäkerhetsakt. | |
| I paragrafen regleras de befogenheter den nationella myndigheten för | |
| cybersäkerhetscertifiering har vid tillsyn enligt lagen och föreskrifter som | |
| har meddelats i anslutning till lagen. Övervägandena finns i avsnitt 7.5. | |
| Av paragrafen framgår att de befogenheter som den nationella | |
| myndigheten för cybersäkerhetscertifiering har enligt artikel 58.8 i EU:s | |
| cybersäkerhetsakt även gäller vid tillsyn över att bestämmelserna i den nya | |
| lagen och föreskrifter som har meddelats i anslutning till lagen följs. I | |
| artikel 58.8 anges den nationella myndighetens tillsynsbefogenheter, t.ex. | |
| befogenheten att genomföra kontroller av innehavare av ett europeiskt | |
| cybersäkerhetscertifikat. | |
| 5 § Den nationella myndigheten för cybersäkerhetscertifiering får besluta de | |
| förelägganden som behövs för tillsynen och för att EU:s cybersäkerhetsakt, | |
| genomförandeakter som har meddelats med stöd av EU:s cybersäkerhetsakt, denna | |
| lag och föreskrifter som har meddelats i anslutning till lagen ska följas. | |
| Ett beslut om föreläggande får förenas med vite. |
I paragrafen regleras vissa tillsynsbefogenheter enligt lagen. Övervägandena finns i avsnitt 7.2.
I första stycket anges att den nationella myndigheten för cybersäkerhetscertifiering får besluta de förelägganden som behövs för tillsynen och för att EU:s cybersäkerhetsakt, genomförandeakter som har meddelats med stöd av EU:s cybersäkerhetsakt, denna lag och föreskrifter som har meddelats i anslutning till lagen ska följas.
Den nationella myndigheten för cybersäkerhetscertifierings möjlighet att besluta om föreläggande med vite utgör en sådan lämplig nationell åtgärd för att säkerställa efterlevnad av regelverket som avses i artikel
58.8c i EU:s cybersäkerhetsakt. Utfärdare av
I andra stycket anges att ett beslut om föreläggande får förenas med vite. Allmänna bestämmelser om vite finns i lagen (1985:206) om viten. Det är den nationella myndigheten för cybersäkerhetscertifiering som i varje enskilt fall ska bedöma om det är lämpligt att förena ett beslut om föreläggande med vite.
6 § Den nationella myndigheten för cybersäkerhetscertifiering får begära handräckning av Kronofogdemyndigheten för att få tillträde till andra lokaler än
67
Prop. 2020/21:186 bostäder, och där genomföra utredningar i enlighet med artikel 58.8 d i EU:s cybersäkerhetsakt.
Vid handräckning tillämpas bestämmelserna i utsökningsbalken om verkställighet av förpliktelser som inte avser betalningsskyldighet, avhysning eller avlägsnande. Om den nationella myndigheten för cybersäkerhetscertifiering begär det, ska Kronofogdemyndigheten inte i förväg underrätta den som utredningen ska genomföras hos.
I paragrafen finns bestämmelser om handräckning. Övervägandena finns i avsnitt 7.1.
I första stycket anges att den nationella myndigheten för cybersäkerhetscertifiering får begära handräckning av Kronofogdemyndigheten för att få tillgång till andra lokaler än bostäder och där genomföra utredningar i enlighet med artikel 58.8 d i EU:s cybersäkerhetsakt.
Av artikel 58.8 d i EU:s cybersäkerhetsakt följer att rätten för den nationella myndigheten för cybersäkerhetscertifiering att få tillgång till lokaler omfattar lokaler hos ett organ för bedömning av överensstämmelse och innehavare av ett europeiskt cybersäkerhetscertifikat. För det fall den nationella myndigheten för cybersäkerhetscertifiering vägras tillträde till en lokal för att genomföra utredningar i enlighet med EU:s cybersäkerhetsakt får myndigheten begära handräckning av Kronofogdemyndigheten. Begäran om handräckning får inte avse en lokal som utgör bostad. Rätten till tillträde till lokaler enligt artikel 58.8 d i EU:s cybersäkerhetsakt omfattar inte lokaler hos en utfärdare av en EU- försäkran om överensstämmelse. Begäran om handräckning av Kronofogdemyndigheten får inte avse sådana lokaler.
I andra stycket anges att bestämmelserna i utsökningsbalken om verkställighet av förpliktelser som inte avser betalningsskyldighet, avhysning eller avlägsnande tillämpas vid handräckning. Vidare anges att Kronofogdemyndigheten inte i förväg ska underrätta den som utredningen ska genomföras hos, om den nationella myndigheten för cybersäkerhetscertifiering begär det.
7 § Den nationella myndigheten för cybersäkerhetscertifiering får besluta att återkalla ett europeiskt cybersäkerhetscertifikat som har utfärdats av myndigheten eller av ett organ för bedömning av överensstämmelse i enlighet med artikel 56.6 i EU:s cybersäkerhetsakt, om certifikatet inte uppfyller kraven i cybersäkerhetsakten eller en europeisk ordning för cybersäkerhetscertifiering.
| Paragrafen reglerar återkallelse av europeiska cybersäkerhetscertifikat. | |
| Övervägandena finns i avsnitt 7.6. | |
| Av paragrafen följer att den nationella myndigheten för cyber- | |
| säkerhetscertifiering får återkalla europeiska cybersäkerhetscertifikat när | |
| de förutsättningar som anges i artikel 58.8 e föreligger. | |
| Ett beslut om återkallelse innebär att |
|
| en cybersäkerhetscertifierad |
|
| enligt EU:s cybersäkerhetsakt. En tillverkare eller leverantör som i strid | |
| mot angivna bestämmelser ändå tillhandahåller en sådan |
|
| regelverket som utgör grund för den nationella myndigheten för | |
| 68 | cybersäkerhetscertifiering att besluta om sanktionsavgift enligt 8 §. |
Som Lagrådet uppmärksammar kan tänkbara grunder för ett beslut om Prop. 2020/21:186 återkallelse av ett europeiskt cybersäkerhetscertifikat med stöd av
paragrafen vara att det har tillkommit nya normer på
Administrativa sanktionsavgifter
8 § Den nationella myndigheten för cybersäkerhetscertifiering ska besluta att ta ut en sanktionsavgift av den som
1.har utfärdat en
2.har lämnat oriktiga eller ofullständiga uppgifter av betydelse vid ansökan om cybersäkerhetscertifiering,
3.innehar ett europeiskt cybersäkerhetscertifikat och inte informerar, i enlighet med artikel 56.8 i EU:s cybersäkerhetsakt, den myndighet eller det organ som avses i artikel 56.7 om alla sårbarheter eller oriktigheter som upptäcks och som kan påverka överensstämmelsen med de säkerhetskrav som gäller för den certifierade
4.har utfärdat en
5.bryter mot villkor för utfärdande, bibehållande, fortsättande eller förnyelse av europeiska cybersäkerhetscertifikat eller mot villkor för inskränkning eller utvidgning av tillämpningsområdet för certifiering,
6.överträder ett beslut om föreläggande enligt 5 § som innebär ett förbud, eller
7.använder ett europeiskt cybersäkerhetscertifikat som har återkallats enligt artikel 58.8 e i EU:s cybersäkerhetsakt.
I paragrafen, som utformas enligt Lagrådets förslag, regleras sanktionsavgifter. Övervägandena finns i avsnitt 8.3.
I paragrafen anges de överträdelser av regelverket som kan föranleda att en sanktionsavgift ska tas ut av den som har gjort sig skyldig till överträdelsen. Strikt ansvar för överträdelser gäller. Det innebär att det inte krävs att det föreligger någon form av uppsåt eller vårdslöshet hos den som gjort sig skyldig till överträdelsen. Av 10 § framgår att den nationella myndigheten för cybersäkerhetscertifiering ska beakta olika försvårande och förmildrande omständigheter vid prövningen av avgiftens storlek.
Enligt punkten 1 ska den nationella myndigheten för cybersäkerhetscertifiering besluta att ta ut en sanktionsavgift av den som har utfärdat en
Av punkten 2 följer att en sanktionsavgift ska tas ut av den som har lämnat oriktiga eller ofullständiga uppgifter av betydelse vid ansökan om cybersäkerhetscertifiering. En förutsättning för att sanktionsavgift ska beslutas är att de uppgifter som har lämnats är av betydelse för prövningen och bedömningen av överensstämmelse.
69
Prop. 2020/21:186 Av punkten 3 följer att en sanktionsavgift ska tas ut av den som innehar ett europeiskt cybersäkerhetscertifikat och inte informerar, i enlighet med artikel 56.8 i EU:s cybersäkerhetsakt, den myndighet eller det organ som avses i artikel 56.7 om alla sårbarheter eller oriktigheter som upptäcks och som kan påverka överensstämmelsen med de säkerhetskrav som gäller för den certifierade
Av punkten 4 följer att en sanktionsavgift ska tas ut av den som har utfärdat en
Av punkten 5 följer att en sanktionsavgift ska tas ut av den som bryter mot villkor för utfärdande, bibehållande, fortsättande eller förnyelse av europeiska cybersäkerhetscertifikat eller mot villkor för inskränkning eller utvidgning av tillämpningsområdet för certifiering.
Av punkten 6 följer att en sanktionsavgift ska tas ut av den som överträder ett beslut om föreläggande enligt 5 § som innebär ett förbud.
Av punkten 7 följer att en sanktionsavgift ska tas ut av den som använder ett europeiskt cybersäkerhetscertifikat som har återkallats enligt artikel 58.8 e.
9 § En sanktionsavgift ska bestämmas till lägst 10 000 kronor och högst 15 000 000 kronor.
I paragrafen regleras sanktionsavgifternas storlek. Övervägandena finns i avsnitt 8.5.
Enligt paragrafen ska en sanktionsavgift bestämmas till lägst 10 000 kronor och högst 15 000 000 kronor. Hur avgiften ska bestämmas i det enskilda fallet regleras i 10 §. Det är den nationella myndigheten för cybersäkerhetscertifiering som beslutar om sanktionsavgiftens storlek.
10 § När sanktionsavgiftens storlek bestäms ska särskild hänsyn tas till
1.den skada eller risk för skada som har uppkommit till följd av överträdelsen,
2.om den som har begått överträdelsen tidigare begått en överträdelse, och
3.den vinst som den avgiftsskyldige har gjort till följd av överträdelsen.
I paragrafen regleras vilka omständigheter som särskilt ska beaktas när den nationella myndigheten för cybersäkerhetscertifiering bestämmer sanktionsavgiftens storlek. Övervägandena finns i avsnitt 8.6.
Av paragrafen framgår att särskild hänsyn ska tas till den skada eller risk för skada som uppstått till följd av överträdelsen, om den som har begått överträdelsen tidigare begått en överträdelse och den vinst som den avgiftsskyldige har gjort till följd av överträdelsen.
70
Vid bestämmande av storleken på sanktionsavgiften i det enskilda fallet Prop. 2020/21:186 bör hänsyn tas till alla relevanta omständigheter. I paragrafen anges sådana
omständigheter som särskilt bör beaktas.
11 § Den nationella myndigheten för cybersäkerhetscertifiering får besluta att sätta ned eller avstå från att ta ut en sanktionsavgift om överträdelsen är ringa, om det finns särskilda skäl eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut avgiften.
I paragrafen regleras jämkning av sanktionsavgift. Övervägandena finns i avsnitt 8.6.
Av paragrafen följer att den nationella myndigheten för cybersäkerhetscertifiering kan sätta ned sanktionsavgiften, helt eller delvis, om överträdelsen är ringa, om det finns särskilda skäl eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut avgiften.
Det kan exempelvis vara oskäligt att ta ut en avgift om den avgiftsskyldige redan har drabbats av en sanktionsavgift enligt något annat regelverk för i princip samma brist. Att regelverket har överträtts på ett sådant sätt att det varit närmast omöjligt för den avgiftsskyldige att upptäcka överträdelsen eller överträdelsen på annat sätt varit utom den avgiftsskyldiges kontroll, kan i undantagsfall göra överträdelsen ursäktlig och därför utgöra grund för jämkning. Det kan också finnas grund för jämkning när det rör sig om en bedömningsfråga, t.ex. vilka certifieringsåtgärder som är nödvändiga i ett visst sammanhang – och berörd aktör trots en gedigen granskning gjort en felaktig bedömning. Andra omständigheter att beakta i mildrande riktning kan vara att den avgiftsskyldige har samarbetat med den nationella myndigheten för cybersäkerhetscertifiering för att komma till rätta med överträdelsen eller skyndsamt har vidtagit rättelse för att minska skadan eller risken för skada.
Regleringen i 9 § om sanktionsavgifternas storlek hindrar inte ett beslut om jämkning som innebär att sanktionsavgift tas ut med ett belopp som är lägre än 10 000 kronor.
12 § En sanktionsavgift får inte beslutas om överträdelsen omfattas av ett föreläggande om vite och överträdelsen ligger till grund för en ansökan om utdömande av vitet.
I paragrafen regleras ett förbud mot beslut om sanktionsavgifter i vissa fall. Övervägandena finns i avsnitt 8.7.
Enligt paragrafen får en sanktionsavgift inte beslutas om överträdelsen omfattas av ett föreläggande om vite och överträdelsen ligger till grund för en ansökan om utdömande av vitet. Paragrafen syftar till att förhindra att samma överträdelse blir föremål för dubbla prövningar och sanktioner.
Om ett beslut om vitesföreläggande har meddelats och en domstolsprocess inletts om utdömande av vitet är den nationella myndigheten för cybersäkerhetscertifiering enligt bestämmelsen förhindrad att besluta om sanktionsavgift för samma överträdelse. Bestämmelsen hindrar inte att en överträdelse först kan bli föremål för ett vitesföreläggande och i ett senare skede beslut om sanktionsavgift, under förutsättning att någon ansökan om utdömande av vitet inte har gjorts.
71
Prop. 2020/21:186 13 § En sanktionsavgift får endast beslutas om den som avgiften ska tas ut av har fått tillfälle att yttra sig inom två år från det att överträdelsen ägde rum.
72
Ett beslut om sanktionsavgift ska delges.
I paragrafen regleras när en sanktionsavgift får beslutas och krav på delgivning. Övervägandena finns i avsnitt 8.8.
Första stycket innebär att om kommunikation enligt förvaltningslagen med den som avgiften ska tas ut av inte har gjorts inom två år från den dag då överträdelsen ägde rum, får en sanktionsavgift inte tas ut. Bevisbördan för att kommunikation har genomförts ligger på den nationella myndigheten för cybersäkerhetscertifiering.
Av andra stycket framgår att ett beslut om sanktionsavgift ska delges. Det innebär att myndigheten ska använda sig av de metoder för delgivning som regleras i delgivningslagen.
14 § Sanktionsavgiften tillfaller staten.
I paragrafen anges att en sanktionsavgift tillfaller staten. Övervägandena finns i avsnitt 8.8.
15 § En sanktionsavgift ska betalas till den nationella myndigheten för cybersäkerhetscertifiering inom 30 dagar från det att beslutet om att ta ut avgiften har fått laga kraft eller inom den längre tid som anges i beslutet.
Om sanktionsavgiften inte betalas inom föreskriven tid, ska myndigheten lämna den obetalda avgiften för indrivning.
Bestämmelser om indrivning finns i lagen (1993:891) om indrivning av statliga fordringar m.m. Vid indrivning får verkställighet ske enligt utsökningsbalken.
Paragrafen reglerar betalning och indrivning av sanktionsavgifter. Övervägandena finns i avsnitt 8.8.
16 § En beslutad sanktionsavgift faller bort till den del beslutet om avgiften inte har verkställts inom fem år från det att beslutet fick laga kraft.
Paragrafen reglerar preskription av sanktionsavgifter. Övervägandena finns i avsnitt 8.8.
Bestämmelsen innebär att betalning av beslutad avgift inte kan krävas efter det att fem år gått sedan beslutet fick laga kraft.
Tystnadsplikt
17 § Den som deltar i verksamhet som utförs av ett privat organ för bedömning av överensstämmelse i enlighet med EU:s cybersäkerhetsakt får inte obehörigen röja eller utnyttja det som han eller hon fått kännedom om under det att uppgifterna utfördes.
I det allmännas verksamhet tillämpas offentlighets- och sekretesslagen (2009:400).
I paragrafen finns bestämmelser om tystnadsplikt. Övervägandena finns i avsnitt 11.4.
Enligt första stycket får den som deltar i verksamhet som utförs av ett privat organ för bedömning av överensstämmelse i enlighet med EU:s
cybersäkerhetsakt inte obehörigen röja eller utnyttja det som han eller hon Prop. 2020/21:186 fått kännedom om under det att uppgifterna utfördes. Organ för bedömning
av överensstämmelse kan vara privaträttsliga aktörer, t.ex. ett aktiebolag. Tystnadsplikten innebär att personer som deltar i organet för bedömning av överensstämmelses verksamhet inte får avslöja eller utnyttja det han eller hon fått kännedom om under det att uppgifterna utfördes. Tystnadsplikten gäller såväl under som efter någons deltagande i verksamhet som omfattas av bestämmelsens tillämpningsområde. Den som bryter mot tystnadsplikten kan dömas för brott mot tystnadsplikten enligt 20 kap. 3 § brottsbalken.
I andra stycket finns en upplysning om att offentlighets- och sekretesslagen tillämpas i det allmännas verksamhet. Det allmännas verksamhet innefattar t.ex. den verksamhet som den nationella myndigheten för cybersäkerhetscertifiering och offentliga organ för bedömning av överensstämmelse bedriver.
Avgifter
18 § Den nationella myndigheten för cybersäkerhetscertifiering får ta ut avgifter för sin verksamhet enligt EU:s cybersäkerhetsakt och denna lag.
Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om sådana avgifter.
I paragrafen finns bestämmelser om avgifter. Övervägandena finns i avsnitt 6.3.
I första stycket anges att den nationella myndigheten för cybersäkerhetscertifiering får ta ut avgifter för sin verksamhet enligt EU:s cybersäkerhetsakt och den kompletterande lagen. Paragrafen innebär att tillsyns- och certifieringsverksamheterna vid den nationella myndigheten för cybersäkerhetscertifiering kan finansieras genom att avgifter tas ut av de aktörer som orsakar kostnaderna. Den nationella myndigheten för cybersäkerhetscertifiering bör kunna ta ut avgifter av utfärdare av EU- försäkran om överensstämmelse, organ för bedömning av överensstämmelse samt innehavare av europeiska cybersäkerhetscertifikat.
Enligt andra stycket får regeringen eller den myndighet som regeringen bestämmer meddela föreskrifter om sådana avgifter.
Ändring av beslut av privata organ för bedömning av överensstämmelse
19 § Ett privat organ för bedömning av överensstämmelse ska ändra ett beslut som det har meddelat, om
1.organet anser att beslutet är uppenbart felaktigt i något väsentligt hänseende på grund av att det har tillkommit nya omständigheter eller av någon annan anledning, och
2.beslutet kan ändras snabbt och enkelt och utan att det blir till nackdel för någon enskild.
Paragrafen reglerar ändring av beslut av privata organ för bedömning av överensstämmelse. Övervägandena finns i avsnitt 10.2.
Av paragrafen följer att privata organ för bedömning av överens-
stämmelse har en skyldighet att ändra ett beslut när beslutet är uppenbart
73
Prop. 2020/21:186 felaktigt på grund av nya omständigheter eller av någon annan anledning och beslutet kan ändras snabbt och enkelt utan att det blir till nackdel för någon enskild. Paragrafen har sin redaktionella förebild i 38 § förvaltningslagen.
Överklagande
20 § Beslut enligt EU:s cybersäkerhetsakt och denna lag av den nationella myndigheten för cybersäkerhetscertifiering eller av organ för bedömning av överensstämmelse får överklagas till allmän förvaltningsdomstol.
Prövningstillstånd krävs vid överklagande till kammarrätten.
I paragrafen, som utformas enligt Lagrådets förslag, regleras överklagande av beslut. Övervägandena finns i avsnitt 10.3.
I första stycket anges att beslut av den nationella myndigheten för cybersäkerhetscertifiering och organ för bedömning av överensstämmelse enligt EU:s cybersäkerhetsakt och denna lag får överklagas till allmän förvaltningsdomstol.
I fråga om förfarandet vid överklagande av beslut av organ för bedömning av överensstämmelse finns bestämmelser i lagen (1986:1142) om överklagande av beslut av enskilda organ med offentliga förvaltningsuppgifter.
Enligt andra stycket krävs det prövningstillstånd vid överklagande till kammarrätten.
15.2Förslaget till lag om ändring i lagen (2021:000) med kompletterande bestämmelser till EU:s cybersäkerhetsakt
3 § I artikel 60.1 i EU:s cybersäkerhetsakt och i bilagan till EU:s cybersäkerhetsakt finns bestämmelser om ackreditering av organ för bedömning av överensstämmelse i fråga om cybersäkerhetscertifiering.
I Europaparlamentets och rådets förordning (EG) nr 765/2008 av den 9 juli 2008 om krav för ackreditering och upphävande av förordning (EEG) nr 339/93 och i lagen (2011:791) om ackreditering och teknisk kontroll finns allmänna bestämmelser om ackreditering av organ för bedömning av överensstämmelse.
Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om krav för ackreditering av organ för bedömning av överensstämmelse enligt artikel 60 i EU:s cybersäkerhetsakt.
I paragrafen finns bestämmelser om ackreditering av organ för bedömning av överensstämmelse. Övervägandena finns i avsnitt 9.2.4.
Andra stycket ändras på så sätt att Europaparlamentets och rådets förordning (EG) nr 765/2008 anges med dess nya titel.
74
Prop. 2020/21:186
Bilaga 1
EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING (EU) 2019/881
av den 17 april 2019
om Enisa (Europeiska unionens cybersäkerhetsbyrå) och om cybersäkerhetscertifiering av informations- och kommunikationsteknik och om upphävande av förordning (EU) nr 526/2013 (cybersäkerhetsakten)
(Text av betydelse för EES)
75
Prop. 2020/21:186
Bilaga 1
76
Prop. 2020/21:186
Bilaga 1
77
Prop. 2020/21:186
Bilaga 1
78
Prop. 2020/21:186
Bilaga 1
79
Prop. 2020/21:186
Bilaga 1
80
Prop. 2020/21:186
Bilaga 1
81
Prop. 2020/21:186
Bilaga 1
82
Prop. 2020/21:186
Bilaga 1
83
Prop. 2020/21:186
Bilaga 1
84
Prop. 2020/21:186
Bilaga 1
85
Prop. 2020/21:186
Bilaga 1
86
Prop. 2020/21:186
Bilaga 1
87
Prop. 2020/21:186
Bilaga 1
88
Prop. 2020/21:186
Bilaga 1
89
Prop. 2020/21:186
Bilaga 1
90
Prop. 2020/21:186
Bilaga 1
91
Prop. 2020/21:186
Bilaga 1
ALLMÄNNA BESTÄMMELSER
Syfte och tillämpningsområde
Definitioner
92
Prop. 2020/21:186
Bilaga 1
93
Prop. 2020/21:186
Bilaga 1
ENISA (EUROPEISKA UNIONENS CYBERSÄKERHETSBYRÅ)
Mandat och mål
Mandat
Mål
94
Prop. 2020/21:186
Bilaga 1
Uppgifter
Utarbetande och genomförande av unionens politik och lagstiftning
95
Prop. 2020/21:186
Bilaga 1
Kapacitetsuppbyggnad
Operativt samarbete på unionsnivå
96
Prop. 2020/21:186
Bilaga 1
97
Prop. 2020/21:186
Bilaga 1
Marknad, cybersäkerhetscertifiering och standardisering
Kunskap och information
98
Prop. 2020/21:186
Bilaga 1
Medvetandehöjande åtgärder och utbildning
Forskning och innovation
Internationellt samarbete
99
Prop. 2020/21:186
Bilaga 1
Enisas organisation
Enisas struktur
S t y r e l s e
Styrelsens sammansättning
Styrelsens uppgifter
100
Prop. 2020/21:186
Bilaga 1
101
Prop. 2020/21:186
Bilaga 1
Styrelsens ordförande
Styrelsens sammanträden
Omröstningsbestämmelser för styrelsen
102
Prop. 2020/21:186
Bilaga 1
D i r e k t i o n
Direktion
V e r k s t ä l l a n d e d i r e k t ö r
Den verkställande direktörens ansvarsområden
103
Prop. 2020/21:186
Bilaga 1
104
| Prop. 2020/21:186 | |||||
| Bilaga 1 | |||||
E n i s a s r å d g i v a n d e g r u p p , i n t r e s s e n t g r u p p e n f ö r c y b e r s ä k e r h e t s c e r t i f i e r i n g o c h
n ä t v e r k f ö r n a t i o n e l l a k o n t a k t p e r s o n e r
Enisas rådgivande grupp
Intressentgruppen för cybersäkerhetscertifiering
105
Prop. 2020/21:186
Bilaga 1
Nätverk för nationella kontaktpersoner
V e r k s a m h e t
Samlat programdokument
106
Prop. 2020/21:186
Bilaga 1
Intresseförklaring
Öppenhet
Konfidentialitet
107
Prop. 2020/21:186
Bilaga 1
Tillgång till handlingar
Upprättande av Enisas budget och budgetens struktur
Upprättande av Enisas budget
108
Prop. 2020/21:186
Bilaga 1
Enisas budgets struktur
Genomförande av Enisas budget
109
Prop. 2020/21:186
Bilaga 1
Finansiella regler
Bedrägeribekämpning
110
Prop. 2020/21:186
Bilaga 1
Personal
Allmänna bestämmelser
Immunitet och privilegier
Verkställande direktör
Utstationerade nationella experter och annan personal
111
Prop. 2020/21:186
Bilaga 1
Allmänna bestämmelser för Enisa
Enisas rättsliga ställning
Enisas ansvar
Språkordning
Skydd av personuppgifter
112
Prop. 2020/21:186
Bilaga 1
Samarbete med tredjeländer och internationella organisationer
Säkerhetsbestämmelser om skydd av känsliga
säkerhetsskyddsklassificerade uppgifter
Överenskommelse om säte och villkor för verksamheten
Administrativ kontroll
RAMVERK FÖR CYBERSÄKERHETSCERTIFIERING
Ett europeiskt ramverk för cybersäkerhetscertifiering
113
Prop. 2020/21:186
Bilaga 1
$UWLNHO
Unionens löpande arbetsprogram för europeisk cybersäkerhetscertifiering
XQLRQHQV O|SDQGH DUEHWVSURJUDP
$UWLNHO
Begäran om en europeisk ordning för cybersäkerhetscertifiering
$UWLNHO
Utarbetande, antagande och översyn av en europeisk ordning för cybersäkerhetscertifiering
114
Prop. 2020/21:186
Bilaga 1
Webbplats om europeiska ordningar för cybersäkerhetscertifiering
Säkerhetsmålsättningarna för europeiska ordningar för cybersäkerhetscertifiering
115
Prop. 2020/21:186
Bilaga 1
Assuransnivåer för europeiska ordningar för cybersäkerhetscertifiering
116
Prop. 2020/21:186
Bilaga 1
Självbedömning av överensstämmelse
Komponenter i europeiska ordningar för cybersäkerhetscertifiering
117
Prop. 2020/21:186
Bilaga 1
118
Prop. 2020/21:186
Bilaga 1
Kompletterande cybersäkerhetsinformation för certifierade
Cybersäkerhetscertifiering
119
Prop. 2020/21:186
Bilaga 1
120
Prop. 2020/21:186
Bilaga 1
Nationella ordningar och certifikat för cybersäkerhetscertifiering
Nationella myndigheter för cybersäkerhetscertifiering
121
Prop. 2020/21:186
Bilaga 1
122
Prop. 2020/21:186
Bilaga 1
Inbördes granskning
Organ för bedömning av överensstämmelse
123
Prop. 2020/21:186
Bilaga 1
Anmälan
Europeiska gruppen för cybersäkerhetscertifiering
124
Prop. 2020/21:186
Bilaga 1
Rätt att lämna in klagomål
Rätt till ett effektivt rättsmedel
125
Prop. 2020/21:186
Bilaga 1
Sanktioner
SLUTBESTÄMMELSER
Kommittéförfarande
Utvärdering och granskning
Upphävande och succession
126
Prop. 2020/21:186
Bilaga 1
Ikraftträdande
127
Prop. 2020/21:186
Bilaga 1
KRAV SOM ORGANEN FÖR BEDÖMNING AV ÖVERENSSTÄMMELSE SKA UPPFYLLA
128
Prop. 2020/21:186
Bilaga 1
129
Prop. 2020/21:186 Bilaga 2
Sammanfattning av delbetänkandet
SOU 2020:58
Uppdraget
Europaparlamentets och rådets förordning (EU) 2019/881 av den 17 april 2019 om Enisa (Europeiska unionens cybersäkerhetsbyrå) och om cybersäkerhetscertifiering av informations- och kommunikationsteknik och om upphävande av förordning (EU) nr 526/2013 (cybersäkerhetsakten) trädde i kraft den 27 juni 2019. Förordningen började tillämpas direkt med undantag för vissa artiklar som kräver kompletterande bestämmelser på nationell nivå och som därför ska börja tillämpas först den 28 juni 2021. Det huvudsakliga syftet med förordningen är att uppnå en hög nivå i fråga om cybersäkerhet, cyberresiliens och förtroende inom unionen och säkerställa en väl fungerande inre marknad.
Utredningens uppdrag i denna första del har varit att föreslå de anpassningar och kompletterande nationella författningsbestämmelser som EU:s cybersäkerhetsakt ger anledning till och som behöver finnas på plats när förordningen i sin helhet börjar tillämpas den 28 juni 2021.
I uppdraget har ingått att överväga och föreslå vilken befintlig nationell myndighet som ska utses att fullgöra de uppgifter och tilldelas de ansvarsområden som följer av EU:s cybersäkerhetsakt, bl.a. uppdraget att utöva tillsyn över efterlevnaden av det europeiska ramverket för cybersäkerhetscertifiering. Det har även ingått att undersöka vilka kompletterande nationella bestämmelser, bl.a. processuella bestämmelser och bestämmelser om sanktioner, som förordningen kräver eller som det annars finns anledning att införa.
Utredningen kommer i slutbetänkandet att analysera och överväga om det bör införas krav på certifiering och godkännande av vissa produkter, tjänster och processer som ska användas i verksamheter som är av betydelse för Sveriges säkerhet. Denna del av uppdraget ska redovisas senast den 1 mars 2021.
Behovet av ökad cybersäkerhet
Digitaliseringen beskrivs som vår tids starkaste förändringsfaktor och innebär att en allt större andel av aktiviteterna i samhället är beroende av nätverk och informationssystem som används av myndigheter, organisationer, företag och privatpersoner. Den digitala utvecklingen ger stora möjligheter att förbättra och effektivisera människors vardag och olika verksamheter. Digitaliseringen har skapat nya former av kommunikation, datahantering och datalagring. I dag bygger många system för att hantera information huvudsakligen på digital informations- och kommunikationsteknik (IKT). Med den tilltagande digitaliseringen och globaliseringen, som ökar beroenden över
aktörer, ses som nödvändigt vid digitaliseringsprocesser för att samhället
130
| ska kunna fungera och utvecklas i linje med de mål som finns inom olika | Prop. 2020/21:186 | |||||
| politikområden. Samtidigt som allt fler länder utvecklar strategier, | Bilaga 2 | |||||
| doktriner och förmågor inom cyberområdet ökar förekomsten av | ||||||
| cyberattacker mot olika intressen och verksamheter. Hoten kan utgöras av | ||||||
| politiskt, ekonomiskt och brottsligt motiverade angrepp, men även | ||||||
| oavsiktliga | incidenter | som | påverkar | cybersäkerheten | ökar. | |
Cyberincidenterna kan störa tillhandahållandet av nödvändiga tjänster, exempelvis vatten, hälso- och sjukvård, elektricitet och mobila tjänster. Möjligheterna till påverkan i informationssystem i demokratiska valprocesser och desinformationskampanjer är också en utmaning. Beroende av digital infrastruktur och tjänster genom anslutna enheter och utbredd uppkoppling till internet skapar ökade sårbarheter vilket medför högre krav på informations- och cybersäkerhet. Genom att kontrollera och certifiera
EU:s cybersäkerhetsakt
EU:s cybersäkerhetsakt är uppdelad i två delar. Den första delen behandlar mål, uppgifter och organisatoriska frågor som rör Europeiska unionens cybersäkerhetsbyrå (Enisa). Den andra delen reglerar fastställandet av ett europeiskt ramverk för cybersäkerhetscertifiering. Kommissionen ska utarbeta löpande arbetsprogram för europeisk cybersäkerhetscertifiering där det fastställs strategiska prioriteringar för framtida europeiska ordningar för cybersäkerhetscertifiering. Enisa ska med hjälp av expertråd och i nära samarbete med den Europeiska gruppen för cybersäkerhetscertifiering (ECCG) lämna förslag på europeiska certifieringsordningar. Syftet är att säkerställa en tillfredsställande nivå i fråga om cybersäkerhet för informations- och kommunikationsteknik (IKT) i unionen samt att undvika en fragmentering av den inre marknaden när det gäller certifieringsordningar i unionen. Skapandet av europeiska ordningar för cybersäkerhetscertifiering kommer att medföra att certifikat som utfärdas enligt dessa certifieringsordningar blir giltiga och erkända i alla medlemsstater. Förutom att beskriva de säkerhetsmålsättningar som ska beaktas i utformningen av de europeiska ordningarna för cybersäkerhetscertifieringar, anger EU:s cybersäkerhetsakt vad minimiinnehållet i sådana ordningar bör vara.
Ny lag som kompletterar EU:s cybersäkerhetsakt
Utredningen föreslår att de kompletterande nationella bestämmelser till EU:s cybersäkerhetsakt som krävs ska samlas i en ny lag och en ny förordning. I lagen anges att regeringen ska utse en nationell myndighet för cybersäkerhetscertifiering och ges kompletterande bestämmelser om myndighetens befogenheter och möjlighet att besluta om sanktioner för överträdelser av regelverket samt vissa processuella bestämmelser.
131
Prop. 2020/21:186 Bilaga 2
En nationell myndighet för cybersäkerhetscertifiering
EU:s cybersäkerhetsakt ställer krav på att en eller flera nationella myndigheter för cybersäkerhetscertifiering utses av medlemsstaterna. Med utgångspunkt i att en sådan myndighet ska utses bland befintliga myndigheter, krav på kunskap och erfarenhet av informations- och kommunikationsteknologi (IKT) och att det nationella certifieringsorganet för
Det nationella certifieringsorganet vid myndigheten, CSEC, föreslås som ackrediterat organ för bedömning av överensstämmelse enligt artiklarna 56.5 och 56.6 i EU:s cybersäkerhetsakt. Det innebär att CSEC eller det ackrediterade organ för bedömning av överensstämmelse som bemyndigas ska ansvara för cybersäkerhetscertifiering på högsta assuransnivån. I syfte att säkerställa certifieringsorganets oberoende som ackrediterat organ för bedömning av överensstämmelse föreslås att det i författning anges att vid Försvarets materielverk ska finnas ett ackrediterat organ för bedömning av överensstämmelse enligt EU:s cybersäkerhetsakt. När chefen för det ackrediterade organet för bedömning av överensstämmelse utövar verksamhet enligt cybersäkerhetsakten är denne inte underställd myndighetschefen. Certifieringsorganets ekonomiska resurser bör beslutas i särskild ordning av regeringen.
Tillsyn
EU:s cybersäkerhetsakt anger att den nationella myndigheten för cybersäkerhetscertifiering ska övervaka och kontrollera efterlevnaden av bestämmelserna i det europeiska ramverket för cybersäkerhetscertifiering.
Utredningen föreslår att Försvarets materielverk som nationell myndighet för cybersäkerhetscertifiering ska fullgöra de tillsynsuppgifter som följer av EU:s cybersäkerhetsakt och får således de befogenheter som redan framgår av aktens bestämmelser.
Myndigheten ska behandla klagomål som rör en utfärdad
Myndigheten ska även bistå det nationella ackrediteringsorganet med övervakning och kontroll av verksamhet som bedrivs av organen för
132
bedömning av överensstämmelse i enlighet med cybersäkerhetsaktens bestämmelser.
Befogenheter
I EU:s cybersäkerhetsakt ges den nationella myndigheten för cybersäkerhetscertifiering vissa minimibefogenheter för att kunna fullgöra sina tillsynsuppgifter.
Utredningen föreslår vissa kompletterande bestämmelser om tillsynsbefogenheter. Myndigheten ska besluta de förelägganden som behövs för att EU:s cybersäkerhetsakt, de genomförandeakter som har meddelats med stöd av den förordningen, den nya lagen och föreskrifter som har meddelats i anslutning till lagen ska följas. Myndigheten kan förelägga en berörd aktör att lämna information eller vidta någon annan åtgärd. Myndigheten får även besluta om cybersäkerhetscertifikat och kan återkalla ett utfärdat certifikat. Myndigheten kan besluta att ett föreläggande ska gälla omedelbart. Ett beslut om föreläggande får förenas med vite. Myndigheten får även i syfte att genomföra en kontroll göra en undersökning i den berörda aktörens lokaler. Rätten till tillträde till lokal ska dock inte gälla bostäder. Myndigheten föreslås få rätt att få biträde av Kronofogdemyndigheten vid tillsyn. Regeringen eller den myndighet som regeringen bestämmer föreslås få meddela närmare föreskrifter om formerna för lämnandet av information, kontrollförfarandet vid undersökningar och utredningsförfarandet vid tillträde till lokaler.
Sanktioner
EU:s cybersäkerhetsakt anger att medlemsstaterna ska fastställa regler om sanktioner vid överträdelse av bestämmelserna i det europeiska ramverket för cybersäkerhetscertifiering. Sanktionerna ska vara effektiva, proportionella och avskräckande.
Utredningen föreslår att den nationella myndigheten för cybersäkerhetscertifiering får besluta att sanktionsavgift ska påföras den som utfärdar en
Avgiften ska tas ut även om överträdelsen inte skett uppsåtligen eller av oaktsamhet, dvs. ett strikt ansvar ska gälla. Om det finns särskilda skäl eller om det annars med hänsyn till omständigheterna skulle vara oskäligt
Prop. 2020/21:186 Bilaga 2
133
| Prop. 2020/21:186 | att ta ut sanktionsavgiften får avgiften sättas ned. Avgiften ska bestämmas |
| Bilaga 2 | till lägst 10 000 kronor och högst 15 miljoner kronor. |
Nationell strategi
Regeringen bör överväga att ta fram en nationell strategi för att tillvarata nationella intressen när det europeiska ramverket för cybersäkerhetscertifiering utvecklas. I arbetet bör berörda myndigheter, andra offentliga aktörer och näringslivet ges möjlighet att delta.
Samverkan
För att säkerställa att nationella intressen kan representeras och tillvaratas i arbetet med det europeiska ramverket för cybersäkerhetscertifiering ska det finns en adekvat nationell representation i Europeiska gruppen för cybersäkerhetscertifiering. Det ställer krav på en utbyggd och väl fungerande samverkan mellan berörda myndigheter, berörda näringslivsorganisationer och företag.
Konsekvenser
Utredningens förslag syftar till att uppfylla kraven i EU:s cybersäkerhetsakt och att bidra till ett ändamålsenligt och effektivt genomslag och tillämpning av det europeiska ramverket för cybersäkerhetscertifiering. Analysen av behovet av kompletterande nationella bestämmelser har dock försvårats av osäkerheten om det närmare innehållet i de framtida europeiska ordningarna för cybersäkerhetscertifiering (genomförandeakter).
Utredningen anser att det för närvarande inte är möjligt att överblicka vilka direkta konsekvenser som införandet av det europeiska ramverket för cybersäkerhetscertifiering kommer att medföra för den utpekade nationella myndigheten för cybersäkerhetscertifiering eller för andra aktörer som berörs av det angivna ramverket eftersom några genomförandeakter ännu inte antagits. Det går inte heller att bedöma i vilken omfattning som berörda aktörer kommer att använda sig av möjligheten till
Utredningen har vid utformningen av förslagen, bl.a. när det gäller uppgifter för och organisering av den nationella myndigheten för cybersäkerhetscertifiering, tagit hänsyn till de alternativ som kan förväntas vara mest ändamålsenliga och kostnadseffektiva. Myndighetens åligganden enligt EU:s cybersäkerhetsakt medför kostnader för administrativt arbete och för tillsyn, bl.a. medför nya befogenheter och sanktionsmöjligheter behov av att utbilda personal och ändra vissa
arbetsformer. Inledningsvis bedöms dock kostnaderna för detta vara
134
begränsade. Det nationella certifieringsorganet CSEC:s verksamhet föreslås fortsatt vara anslagsfinansierat för vissa grundläggande funktioner och fortsatt avgiftsfinansierat för uppdragen med cybersäkerhetscertifiering.
Utredningens förslag om kompletterande bestämmelser avseende myndighetens befogenheter och möjligheten att besluta om sanktionsavgift bedöms inte medföra några ekonomiska konsekvenser i sig.
De förslag till framför allt samverkan och samordning mellan berörda myndigheter som utredningen föreslår bedöms i kostnadsavseende vara marginella.
Det europeiska ramverket för cybersäkerhetscertifiering innebär i nuläget frivillig cybersäkerhetscertifiering. I framtiden kan emellertid användningen av europeisk cybersäkerhetscertifiering bli obligatorisk. En ekonomisk aktör beslutar om att tillhandahålla
Den nya lagen och övriga författningsändringar föreslås träda i kraft den 28 juni 2021.
Prop. 2020/21:186 Bilaga 2
135
Prop. 2020/21:186 Bilaga 3
Lagförslaget i delbetänkandet SOU 2020:58
Förslag till lag med kompletterande bestämmelser till EU:s cybersäkerhetsakt (cybersäkerhetsakten)
Härigenom föreskrivs följande.
Inledande bestämmelse
1 § Denna lag kompletterar Europaparlamentets och rådets förordning (EU) 2019/881 av den 17 april 2019 om Enisa (Europeiska unionens cybersäkerhetsbyrå) och om cybersäkerhetscertifiering av informations- och kommunikationsteknik och om upphävande av förordning (EU) nr 526/2013 (cybersäkerhetsakten), här benämnd EU:s cybersäkerhetsakt.
Termer och uttryck i denna lag har samma betydelse som i EU:s cybersäkerhetsakt.
Nationell myndighet för cybersäkerhetscertifiering
2 § Den myndighet som regeringen bestämmer är
1.nationell myndighet för cybersäkerhetscertifiering enligt EU:s cybersäkerhetsakt, och
2.utövar tillsyn över efterlevnaden av denna lag och föreskrifter som har meddelats i anslutning till lagen.
Ackreditering av organ för bedömning
3 § I Europaparlamentets och rådets förordning (EG) nr 765/2008 om krav för ackreditering och marknadskontroll i samband med saluföring av produkter och upphävande av förordning (EEG) nr 339/93 och i lagen (2011:791) om ackreditering och teknisk kontroll finns bestämmelser om ackreditering av organ för bedömning av överensstämmelse enligt artikel 60.1 i EU:s cybersäkerhetsakt.
Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om krav för ackreditering av organ för bedömning av överensstämmelse enligt artikel 60 i EU:s cybersäkerhetsakt.
Tillsynsbefogenheter och sanktioner
4 § Den nationella myndigheten för cybersäkerhetscertifiering har de befogenheter som anges i artikel 58.8 i EU:s cybersäkerhetsakt även vid tillsynen över efterlevnaden av denna lag och föreskrifter som har meddelats i anslutning till lagen.
5 § Den nationella myndigheten för cybersäkerhetscertifiering får besluta de förelägganden som behövs för att EU:s cybersäkerhetsakt, de genomförandeakter som har meddelats med stöd av den förordningen, denna lag och föreskrifter som har meddelats i anslutning till lagen ska
följas.
136
Ett beslut om föreläggande får förenas med vite.
Den nationella myndigheten för cybersäkerhetscertifiering har rätt att få biträde av Kronofogdemyndigheten för tillsyn i enlighet med artikel 58.8 d i EU:s cybersäkerhetsakt.
6 § Den nationella myndigheten för cybersäkerhetscertifiering får besluta att återkalla europeiska cybersäkerhetscertifikat som utfärdats av den myndigheten eller europeiska cybersäkerhetscertifikat som utfärdats av organ för bedömning av överensstämmelse i enlighet med artikel 56.6 i EU:s cybersäkerhetsakt, om sådana certifikat inte uppfyller kraven i akten eller en europeisk ordning för cybersäkerhetscertifiering.
7 § Den nationella myndigheten för cybersäkerhetscertifiering ska ta ut en sanktionsavgift av den som
1.utfärdar en
cybersäkerhetsakt och motsvarande europeisk ordning för cybersäkerhetscertifiering är uppfyllda,
2.lämnar oriktiga eller ofullständiga uppgifter vid ansökan om cybersäkerhetscertifieringen enligt artikel 56.7 i EU:s cybersäkerhetsakt och motsvarande europeisk ordning för cybersäkerhetscertifiering,
3.innehar ett europeiskt cybersäkerhetscertifikat och underlåter att i enlighet med artikel 56.8 i EU:s cybersäkerhetsakt informera den myndighet eller det organ som avses i artikel 56.7 om alla sårbarheter eller oriktigheter som upptäcks och som kan påverka överensstämmelsen med de säkerhetskrav som gäller för den certifierade
4.utfärdat en
5.bryter mot villkor för utfärdande, bibehållande, fortsättande och förnyelse av europeiska cybersäkerhetscertifikat samt villkor för inskränkning eller utvidgning av tillämpningsområdet för certifiering enligt EU:s cybersäkerhetsakt eller motsvarande europeisk ordning för cybersäkerhetscertifiering
6.överträder ett beslut om förbud enligt 5 §, eller
7.använder ett europeiskt cybersäkerhetscertifikat som blivit återkallat enligt artikel 58.8 e i EU:s cybersäkerhetsakt.
8 § En sanktionsavgift ska bestämmas till lägst 10 000 kronor och högst 15 000 000 kronor.
9 § När sanktionsavgiftens storlek bestäms ska särskild hänsyn tas till den skada eller risk för skada som uppstått till följd av överträdelsen, om den som begått överträdelsen tidigare begått en överträdelse och de kostnader som denne undvikit till följd av överträdelsen.
10 § Den nationella myndigheten för cybersäkerhetscertifiering får besluta att sätta ned eller avstå från att ta ut en sanktionsavgift om överträdelsen är ringa eller om det finns särskilda skäl eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut avgiften.
Prop. 2020/21:186 Bilaga 3
137
Prop. 2020/21:186 Bilaga 3
138
11 § En sanktionsavgift får inte beslutas om överträdelsen omfattas av ett föreläggande om vite och överträdelsen ligger till grund för en ansökan om utdömande av vitet.
12 § En sanktionsavgift får endast beslutas om den som avgiften ska tas ut av fått tillfälle att yttra sig inom två år från det att överträdelsen ägde rum.
Ett beslut om sanktionsavgift ska delges.
13 § En sanktionsavgift ska betalas till den nationella myndigheten för cybersäkerhetscertifiering inom 30 dagar från det att beslutet om att ta ut avgiften har fått laga kraft eller inom den längre tid som anges i beslutet.
Om sanktionsavgiften inte betalas inom den tid som anges i första stycket, ska myndigheten lämna den obetalda avgiften för indrivning.
Bestämmelser om indrivning finns i lagen (1993:891) om indrivning av statliga fordringar m.m.
Vid indrivning får verkställighet ske enligt utsökningsbalken. En sanktionsavgift tillfaller staten.
14 § En beslutad sanktionsavgift faller bort till den del beslutet om avgiften inte har verkställts inom fem år från det att beslutet fick laga kraft.
Tystnadsplikt
15 § Den som deltar i verksamhet som utförs av ett privat organ för bedömning av överensstämmelse i enlighet med EU:s cybersäkerhetsakt får inte obehörigen röja eller utnyttja det som han eller hon fått kännedom om under det att uppgifterna utfördes.
Den som bryter mot tystnadsplikten kan dömas för brott mot tystnadsplikten enligt 20 kap. 3 § brottsbalken.
I det allmännas verksamhet tillämpas offentlighets- och sekretesslagen (2009:400).
Avgifter
16 § Den nationella myndigheten för cybersäkerhetscertifiering får ta ut avgifter för sin verksamhet enligt EU:s cybersäkerhetsakt och denna lag.
Regeringen eller den myndighet som regeringen bestämmer får meddela förskrifter om avgiftssystemets utformning enligt första stycket.
Omprövning hos privata organ för bedömning av överensstämmelse
17 § Finner ett privat organ för bedömning av överensstämmelse att ett beslut som det meddelat är uppenbart oriktigt på grund av nya omständigheter eller av någon annan anledning ska organet ändra beslutet, om det kan ske snabbt och enkelt och utan att det blir till nackdel för någon enskild.
Överklagande
18 § Beslut enligt EU:s cybersäkerhetsakt och denna lag får överklagas till allmän förvaltningsdomstol. Även beslut av ett privat organ för
bedömning av överensstämmelse enligt dessa författningar får överklagas till allmän förvaltningsdomstol.
Prövningstillstånd krävs vid överklagande till kammarrätten.
Denna lag träder i kraft den 28 juni 2021.
Prop. 2020/21:186 Bilaga 3
139
Prop. 2020/21:186 Bilaga 4
Förteckning över remissinstanserna (delbetänkandet SOU 2020:58)
Remissvar har lämnats av Bolagsverket, Domstolsverket, Fortifikationsverket, Försvarets materielverk, Försvarets radioanstalt, Försvarsmakten, Försäkringskassan, Förvaltningsrätten i Stockholm, Inspektionen för strategiska produkter, Integritetsskyddsmyndigheten, Internetstiftelsen, Justitiekanslern, Kammarkollegiet, Kammarrätten i Stockholm, Kommerskollegium, Konkurrensverket, Konsumentverket, Kronofogdemyndigheten, Kungl. Tekniska högskolan, Kustbevakningen, Luftfartsverket, Lunds universitet (Juridiska fakulteten), Länsstyrelsen i Skåne län, Länsstyrelsen i Stockholms län, Länsstyrelsen i Västra Götalands län, Myndigheten för digital förvaltning, Myndigheten för samhällsskydd och beredskap, Polismyndigheten, Post- och telestyrelsen, Regelrådet, Riksarkivet, Riksrevisionen, RISE Research Institutes of Sweden AB, Skatteverket, Småföretagarnas Riksförbund, Statens servicecenter, Statistiska centralbyrån, Statskontoret, Stockholms universitet (Juridiska fakulteten), Styrelsen för ackreditering och teknisk kontroll, Svenska Journalistförbundet, Sveriges advokatsamfund, Sveriges Kommuner och Regioner, Säkerhets- och försvarsföretagen, Säkerhetspolisen, Totalförsvarets forskningsinstitut, Trafikverket, Transportstyrelsen, Tullverket, Upphandlingsmyndigheten, Verket för innovationssystem, Vetenskapsrådet/SUNET och Åklagarmyndigheten.
Innovationsföretagen, It- och telekomföretagen, Näringslivets regelnämnd, Riksdagens ombudsmän SKL Kommentus, Svensk Handel, Svenskt Näringsliv, Sveriges Standardiseringsförbund och Teknikföretagen har avstått från att lämna synpunkter på förslagen i delbetänkandet eller har inte svarat på remissen.
Synpunkter har även lämnats av Energiföretagen, Huawei, Svenska statsnätsföreningen och Vattenfall AB.
140
Lagrådsremissens lagförslag
Regeringen har följande förslag till lagtext.
Förslag till lag med kompletterande bestämmelser till EU:s cybersäkerhetsakt
Prop. 2020/21:186 Bilaga 5
Härigenom föreskrivs följande.
Inledande bestämmelse
1 § Denna lag kompletterar Europaparlamentets och rådets förordning (EU) 2019/881 av den 17 april 2019 om Enisa (Europeiska unionens cybersäkerhetsbyrå) och om cybersäkerhetscertifiering av informations- och kommunikationsteknik och om upphävande av förordning (EU) nr 526/2013 (cybersäkerhetsakten), här benämnd EU:s cybersäkerhetsakt.
Ord och uttryck i denna lag har samma betydelse som i EU:s cybersäkerhetsakt.
Nationell myndighet för cybersäkerhetscertifiering
2 § Den myndighet som regeringen bestämmer
1.är nationell myndighet för cybersäkerhetscertifiering enligt EU:s cybersäkerhetsakt, och
2.utövar tillsyn över att denna lag och föreskrifter som har meddelats i anslutning till lagen följs.
Ackreditering av organ för bedömning av överenstämmelse
3 § I artikel 60.1 i EU:s cybersäkerhetsakt och i bilagan till EU:s cybersäkerhetsakt finns bestämmelser om ackreditering av organ för bedömning av överensstämmelse i fråga om cybersäkerhetscertifiering.
I Europaparlamentets och rådets förordning (EG) nr 765/2008 av den
9 juli 2008 om krav för ackreditering och marknadskontroll i samband med saluföring av produkter och upphävande av förordning (EEG) nr 339/93 och i lagen (2011:791) om ackreditering och teknisk kontroll finns allmänna bestämmelser om ackreditering av organ för bedömning av överensstämmelse.
Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om krav för ackreditering av organ för bedömning av överensstämmelse enligt artikel 60 i EU:s cybersäkerhetsakt.
Tillsynsbefogenheter
4 § Vid tillsyn över att denna lag och föreskrifter som har meddelats i anslutning till lagen följs har den nationella myndigheten för cybersäkerhetscertifiering de befogenheter som anges i artikel 58.8 i EU:s cybersäkerhetsakt.
141
Prop. 2020/21:186 Bilaga 5
142
5 § Den nationella myndigheten för cybersäkerhetscertifiering får besluta de förelägganden som behövs för tillsynen och för att EU:s cybersäkerhetsakt, genomförandeakter som har meddelats med stöd av EU:s cybersäkerhetsakt, denna lag och föreskrifter som har meddelats i anslutning till lagen ska följas.
Ett beslut om föreläggande får förenas med vite.
6 § Den nationella myndigheten för cybersäkerhetscertifiering får begära handräckning av Kronofogdemyndigheten för att få tillträde till andra lokaler än bostäder, för att genomföra utredningar i enlighet med artikel 58.8 d i EU:s cybersäkerhetsakt.
Vid handräckning tillämpas bestämmelserna i utsökningsbalken om verkställighet av förpliktelser som inte avser betalningsskyldighet, avhysning eller avlägsnande. Om den nationella myndigheten för cybersäkerhetscertifiering begär det, ska Kronofogdemyndigheten inte i förväg underrätta den som utredningen ska genomföras hos.
7 § Den nationella myndigheten för cybersäkerhetscertifiering får besluta att återkalla ett europeiskt cybersäkerhetscertifikat som har utfärdats av myndigheten eller av ett organ för bedömning av överensstämmelse i enlighet med artikel 56.6 i EU:s cybersäkerhetsakt, om certifikatet inte uppfyller kraven i cybersäkerhetsakten eller en europeisk ordning för cybersäkerhetscertifiering.
Administrativa sanktionsavgifter
8 § Den nationella myndigheten för cybersäkerhetscertifiering ska besluta att ta ut en sanktionsavgift av den som
1.utfärdar en
2.lämnar oriktiga eller ofullständiga uppgifter av betydelse vid ansökan om cybersäkerhetscertifiering enligt artikel 56.7 i EU:s cybersäkerhetsakt och motsvarande europeisk ordning för cybersäkerhetscertifiering,
3.innehar ett europeiskt cybersäkerhetscertifikat och inte informerar, i enlighet med artikel 56.8 i EU:s cybersäkerhetsakt, den myndighet eller det organ som avses i artikel 56.7 om alla sårbarheter eller oriktigheter som upptäcks och som kan påverka överensstämmelsen med de säkerhetskrav som gäller för den certifierade
4.har utfärdat en
5.bryter mot villkor för utfärdande, bibehållande, fortsättande och förnyelse av europeiska cybersäkerhetscertifikat eller mot villkor för inskränkning eller utvidgning av tillämpningsområdet för certifiering enligt EU:s cybersäkerhetsakt eller motsvarande europeisk ordning för cybersäkerhetscertifiering,
| 6. överträder ett beslut om föreläggande enligt 5 § som innebär ett | Prop. 2020/21:186 |
| förbud, eller | Bilaga 5 |
7.använder ett europeiskt cybersäkerhetscertifikat som har återkallats enligt artikel 58.8 e i EU:s cybersäkerhetsakt.
9 § En sanktionsavgift ska bestämmas till lägst 10 000 kronor och högst 15 000 000 kronor.
10 § När sanktionsavgiftens storlek bestäms ska särskild hänsyn tas till
1.den skada eller risk för skada som har uppkommit till följd av överträdelsen,
2.om den som har begått överträdelsen tidigare begått en överträdelse,
och
3.den vinst som den avgiftsskyldige har gjort till följd av överträdelsen.
11 § Den nationella myndigheten för cybersäkerhetscertifiering får besluta att sätta ned eller avstå från att ta ut en sanktionsavgift om överträdelsen är ringa, om det finns särskilda skäl eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut avgiften.
12 § En sanktionsavgift får inte beslutas om överträdelsen omfattas av ett föreläggande om vite och överträdelsen ligger till grund för en ansökan om utdömande av vitet.
13 § En sanktionsavgift får endast beslutas om den som avgiften ska tas ut av har fått tillfälle att yttra sig inom två år från det att överträdelsen ägde rum.
| Ett beslut om sanktionsavgift ska delges. | |
| 14 § Sanktionsavgiften tillfaller staten. | |
| 15 § En sanktionsavgift ska betalas till den nationella myndigheten för | |
| cybersäkerhetscertifiering inom 30 dagar från det att beslutet om att ta ut | |
| avgiften har fått laga kraft eller inom den längre tid som anges i beslutet. | |
| Om sanktionsavgiften inte betalas inom föreskriven tid, ska | |
| myndigheten lämna den obetalda avgiften för indrivning. | |
| Bestämmelser om indrivning finns i lagen (1993:891) om indrivning av | |
| statliga fordringar m.m. Vid indrivning får verkställighet ske enligt | |
| utsökningsbalken. | |
| 16 § En beslutad sanktionsavgift faller bort till den del beslutet om | |
| avgiften inte har verkställts inom fem år från det att beslutet fick laga kraft. | |
| Tystnadsplikt | |
| 17 § Den som deltar i verksamhet som utförs av ett privat organ för | |
| bedömning av överensstämmelse i enlighet med EU:s cybersäkerhetsakt | |
| får inte obehörigen röja eller utnyttja det som han eller hon fått kännedom | |
| om under det att uppgifterna utfördes. | |
| I det allmännas verksamhet tillämpas offentlighets- och sekretesslagen | |
| (2009:400). | 143 |
Prop. 2020/21:186 Bilaga 5
144
Avgifter
18 § Den nationella myndigheten för cybersäkerhetscertifiering får ta ut avgifter för sin verksamhet enligt EU:s cybersäkerhetsakt och denna lag.
Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om sådana avgifter.
Ändring av beslut av privata organ för bedömning av överensstämmelse
19 § Ett privat organ för bedömning av överensstämmelse ska ändra ett beslut som det har meddelat, om
1.organet anser att beslutet är uppenbart felaktigt i något väsentligt hänseende på grund av att det har tillkommit nya omständigheter eller av någon annan anledning, och
2.beslutet kan ändras snabbt och enkelt och utan att det blir till nackdel för någon enskild.
Överklagande
20 § Beslut av den nationella myndigheten för cybersäkerhetscertifiering och organ för bedömning av överensstämmelse enligt EU:s cybersäkerhetsakt och denna lag får överklagas till allmän förvaltningsdomstol.
Prövningstillstånd krävs vid överklagande till kammarrätten.
Denna lag träder i kraft den 28 juni 2021.
Förslag till lag om ändring i lagen (2021:000) med kompletterande bestämmelser till EU:s cybersäkerhetsakt
Härigenom föreskrivs att 3 § lagen (2021:000) med kompletterande bestämmelser till EU:s cybersäkerhetsakt ska ha följande lydelse.
| Lydelse enligt förslaget i 2.1 | Föreslagen lydelse |
Prop. 2020/21:186 Bilaga 5
3 §
I artikel 60.1 i EU:s cybersäkerhetsakt och i bilagan till EU:s cybersäkerhetsakt finns bestämmelser om ackreditering av organ för bedömning
| av överensstämmelse i fråga om cybersäkerhetscertifiering. | |||||||||
| I Europaparlamentets och rådets | I Europaparlamentets och rådets | ||||||||
| förordning (EG) nr 765/2008 av | förordning (EG) nr 765/2008 av | ||||||||
| den | 9 juli | 2008 om | krav | för | den | 9 juli | 2008 | om krav | för |
| ackreditering | och | marknads- | ackreditering | och | upphävande | av | |||
| kontroll i samband med saluföring | förordning (EEG) nr 339/93 och i | ||||||||
| av produkter och upphävande av | lagen (2011:791) om ackreditering | ||||||||
| förordning (EEG) nr 339/93 och i | och teknisk kontroll finns allmänna | ||||||||
| lagen (2011:791) om ackreditering | bestämmelser om ackreditering av | ||||||||
| och teknisk kontroll finns allmänna | organ | för | bedömning | av | |||||
| bestämmelser om ackreditering av | överensstämmelse. | ||||||||
| organ | för | bedömning | av | ||||||
överensstämmelse.
Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om krav för ackreditering av organ för bedömning av överensstämmelse enligt artikel 60 i EU:s cybersäkerhetsakt.
Denna lag träder i kraft den 16 juli 2021.
145
Prop. 2020/21:186 Bilaga 6
146
Lagrådets yttrande
Utdrag ur protokoll vid sammanträde
Närvarande: F.d. justitierådet Eskil Nord samt justitieråden
Kompletterande bestämmelser till EU:s cybersäkerhetsakt
Enligt en lagrådsremiss den 24 mars 2021 har regeringen (Försvarsdepartementet) beslutat inhämta Lagrådets yttrande över förslag till
1.lag med kompletterande bestämmelser till EU:s cybersäkerhetsakt,
2.lag om ändring i lagen (2021:000) med kompletterande bestämmelser till EU:s cybersäkerhetsakt.
Förslagen har inför Lagrådet föredragits av rättssakkunniga Karin Byström.
Förslagen föranleder följande yttrande.
Förslaget till lag med kompletterande bestämmelser till EU:s cybersäkerhetsakt
3 §
Bestämmelsen i andra stycket i paragrafen ger upplysning om att det i en
I lagrådsremissen föreslås att ändringen av ordalydelsen i bestämmelsen ska ske genom en ändringslag (förslag 2.2 i lagrådsremissen). Ändringslagen reglerar således endast ett namnbyte på en
När det gäller en ändring av förevarande slag skulle en mer ändamålsenlig ordning kunna vara att ändringen genomförs i form av en övergångsbestämmelse till den nya lagen. I 3 § andra stycket i den nya lagen kan den bestämmelse som föreslås i ändringslagen tas in. I övergångsbestämmelserna kan därefter föreskrivas ”Bestämmelsen i 3 § andra stycket har fram till 16 juli 2021 följande lydelse” och följas av den lydelse som föreslås i 3 § andra stycket i den nya lagen i lagrådsremissen. Ändringslagen blir härigenom överflödig.
5 §
Enligt förslagen i lagrådsremissen ska den nationella myndigheten för cybersäkerhetscertifiering ha möjlighet att med stöd av denna paragraf besluta om förelägganden mot tillverkare, leverantörer och organ för
bedömning av överensstämmelse. Ett sådant föreläggande kan avse också förbud. I 8 § 6 finns en anslutande bestämmelse som anger att en sanktionsavgift ska kunna tas ut av den som överträder ett beslut om föreläggande som innebär ett förbud.
Ett föreläggande kan alltså riktas mot och en avgift tas ut av en tillverkare eller en leverantör som innehar ett certifikat och av något skäl har meddelats ett förbudsföreläggande. Det framgår emellertid inte om avsikten också är att ett föreläggande ska kunna riktas mot någon som saluför en produkt som certifierad, trots att något certifikat inte finns. Syftet med EU:s cybersäkerhetsakt är enligt artikel 1 bl.a. att säkerställa en väl fungerande inre marknad (inom den aktuella sektorn). Det är sannolikt att det syftet inte uppnås om regleringen omfattar endast leverantörer som innehar certifikat och som av någon anledning förelagts ett förbud, men inte omfattar dem som inte har något certifikat men ändå saluför en produkt som certifierad.
Enligt Lagrådets mening bör denna fråga klargöras i det fortsatta lagstiftningsarbetet.
7 §
Av bestämmelsen framgår att den nationella myndigheten för cybersäkerhetscertifiering får återkalla ett certifikat som har utfärdats av myndigheten eller, i vissa fall, av ett organ för bedömning av överensstämmelse. För att ett certifikat ska kunna återkallas fordras att ”certifikatet inte uppfyller kraven i cybersäkerhetsakten eller en europeisk ordning för cybersäkerhetscertifiering”. Vad som avses med detta, dvs. att certifikatet inte uppfyller nyss nämnda krav, framstår som mycket oklart. Någon ledning ges inte i författningskommentaren till bestämmelsen.
En möjlig tolkning är att bestämmelsen tar sikte på den situationen att det har tillkommit nya normer på
I tillägg är det näraliggande att fråga sig om inte ett certifikat borde kunna återkallas om det visar sig att en viss produkt, tjänst eller process som har certifierats inte uppfyller de krav som ställs för att erhålla certifikatet. Det framstår emellertid – eftersom lagtexten tar sikte på själva certifikatets överensstämmelse med vissa angivna normer – som mycket tveksamt om lagtexten kan anses omfatta ett sådant fall.
Oklarheterna går visserligen tillbaka på den bestämmelse i EU:s cybersäkerhetsakt (artikel 58.8 e) som mer eller mindre ordagrant har förts över till paragrafen. Det bör dock i den fortsatta beredningen utvecklas i författningskommentaren hur regleringen ska förstås. Något hinder på EU- rättslig grund mot att åtminstone i huvudsak ange regeringens bedömning av vad paragrafen är avsedd att omfatta kan inte anses finnas. Tvärtom synes detta vara nödvändigt för att åstadkomma en rimlig stabilitet i rättstillämpningen.
Prop. 2020/21:186 Bilaga 6
147
Prop. 2020/21:186 Bilaga 6
8 §
I paragrafen regleras när den nationella myndigheten för cybersäkerhetscertifiering ska besluta att ta ut en sanktionsavgift.
Punkt 1 gäller det fall då någon har utfärdat en
1.har utfärdat en
Enligt punkt 2 ska sanktionsavgift tas ut av den som lämnat oriktiga eller
ofullständiga uppgifter av betydelse vid ansökan om cybersäkerhetscertifiering enligt artikel 56.7 i EU:s cybersäkerhetsakt och motsvarande europeisk ordning för cybersäkerhetscertifiering. I artikel
56.7finns emellertid inte någon reglering av ansökan och det är inte heller klart om sådana bestämmelser kommer att tas in i de europeiska ordningarna. Även i denna punkt är det oklart vad som avses med
”motsvarande europeisk ordning”. Enligt Lagrådets mening saknas emellertid skäl att i aktuell bestämmelse föreskriva var ansökan om cybersäkerhetscertifiering regleras och föreslår därför att bestämmelsen ges följande lydelse.
2.har lämnat oriktiga eller ofullständiga uppgifter av betydelse vid ansökan om cybersäkerhetscertifiering,
I punkt 5 föreslås att sanktionsavgift ska få tas ut av den som bryter mot villkor för utfärdande, bibehållande, fortsättande och förnyelse av europeiska cybersäkerhetscertifikat eller mot villkor för inskränkning eller utvidgning av tillämpningsområdet för certifiering enligt EU:s cybersäkerhetsakt eller motsvarande europeisk ordning för
| cybersäkerhetscertifiering. Även i denna bestämmelse, liksom i övriga | |
| punkter i paragrafen där uttrycket förekommer, är det oklart vad | |
| ”motsvarande europeisk ordning” syftar på. Men inte heller här finns skäl | |
| att ha koppling till cybersäkerhetsakten eller de europeiska ordningarna. | |
| Bestämmelsen kan därför avslutas med orden ”tillämpningsområdet för | |
| certifieringen”. Därutöver bör bestämmelsen ändras på så sätt att | |
| uppräkningen av villkor i första ledet bör sammanbindas med ”eller” i | |
| stället för ”och”. | |
| 148 | Beträffande punkten 6 se Lagrådets synpunkter under 5 §. |
| Punkten 7 ger den nationella myndigheten möjlighet att ta ut en avgift | Prop. 2020/21:186 |
| av den som använder ett återkallat certifikat. Det framstår som klart att | Bilaga 6 |
| detta gäller gentemot den som i Sverige använder ett certifikat som | |
| återkallats av den nationella myndighet som regeringen kommer att | |
| bestämma enligt 2 §. Men det framgår inte vad som gäller i den situationen | |
| att en tillverkare eller leverantör på den svenska marknaden använder ett | |
| certifikat som återkallats av en behörig myndighet i någon annan | |
| medlemsstat. | |
| Certifieringen inom unionen bygger på att ett certifikat som utfärdats av | |
| en behörig myndighet inom unionen gäller inom den inre marknaden. | |
| Därmed följer också att en återkallelse som en sådan myndighet beslutar | |
| innebär att certifikatet inte längre gäller inom denna marknad. | |
| Eftersom kravet i punkt 7 för att avgift ska kunna tas ut endast är att ett | |
| certifikat har återkallats med stöd av angiven artikel i cybersäkerhetsakten, | |
| förefaller det sannolikt att även certifikat som återkallats av ett annat lands | |
| myndighet kan omfattas av punkten, men frågan bör belysas i det fortsatta | |
| lagstiftningsarbetet. | |
| 10 och 11 § | |
| I 10 § anges vad som särskilt ska beaktas vid bestämmande av en | |
| sanktionsavgifts storlek. Av 11 § framgår vidare att myndigheten får | |
| ”besluta att sätta ned eller avstå från att ta ut en sanktionsavgift” under | |
| vissa förutsättningar. | |
| Det som i den sistnämnda paragrafen anges som ett ”beslut att sätta ned” | |
| avgiften är i praktiken inget annat än ett integrerat moment i den | |
| bedömning som ligger till grund för ett beslut om sanktionsavgiftens | |
| storlek enligt 10 §. Vid tillämpning av 10 § är det fråga om en bedömning | |
| där man kan beakta omständigheter som går i såväl skärpande som | |
| mildrande riktning. Vid den bedömningen måste i mildrande riktning | |
| sådana omständigheter som tas upp i 11 § − att överträdelsen är ringa och | |
| att det finns ”särskilda skäl” − kunna beaktas (jfr s. 69 i lagrådsremissen | |
| där det framgår att uppräkningen i 10 § inte är avsedd att vara uttömmande | |
| och att myndigheten vid bestämmande av sanktionsavgiftens storlek bör | |
| beakta samtliga relevanta omständigheter). Det förhållandet att fråga inte | |
| är om ett särskilt beslut om nedsättning bör på ett bättre sätt återspeglas i | |
| lagtexten. | |
| Motsvarande problem uppstår inte i de fall det blir aktuellt att besluta | |
| om att helt avstå från att ta ut en sanktionsavgift, eftersom det när ett sådant | |
| beslut fattas inte behövs någon bedömning av sanktionens storlek. | |
| En möjlighet att komma till rätta med det nu beskrivna problemet är att | |
| utforma 11 § på följande sätt. | |
| Den nationella myndigheten för cybersäkerhetscertifiering får besluta att avstå från | |
| att ta ut en sanktionsavgift om överträdelsen är ringa, om det finns särskilda skäl | |
| eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut | |
| avgiften. Om det inte bedöms finnas skäl att avstå från att ta ut sanktionsavgift ska | |
| nu nämnda omständigheter i stället beaktas vid bestämmande av avgiftens storlek. | |
| Om detta förslag inte kan godtas kan den variant som används i bl.a. 32 § | |
| lagen (2018:1174) om informationssäkerhet för samhällsviktiga och | |
| digitala tjänster utgöra ett alternativ. Där används lokutionen att | 149 |
Prop. 2020/21:186 Bilaga 6
sanktionsavgiften ”får efterges helt eller delvis” i stället för att myndigheten ”får besluta att sätta ned eller avstå”. Men också detta alternativ är problematiskt eftersom det innebär att den omständigheten att överträdelsen är ringa (vilket otvetydigt är en omständighet som måste kunna beaktas enligt 10 §) framställs som ett skäl för att delvis efterge sanktionsavgiften, när det i själva verket är en integrerad del av bedömningen av hur stor sanktionsavgiften ska vara.
Lagrådets förslag bygger på förutsättningen att ”beslut att sätta ned” avgiften inte uteslutande tar sikte på att göra det möjligt att gå under den miniminivå, 10 000 kr, som anges i 9 §. Det framstår emellertid som osannolikt att så skulle vara fallet, men det framgår inte klart av remissen. Huruvida 11 § överhuvudtaget avses ge en möjlighet att bestämma sanktionsavgiften till ett belopp som understiger 10 000 kr framgår inte heller av remissen. Det bör klargöras i det fortsatta lagstiftningsarbetet.
12 §
Av paragrafen följer att det är möjligt att påföra en sanktionsavgift för en viss gärning även om gärningen omfattas av ett vitesföreläggande, under förutsättning att en ansökan om utdömande av vitet inte har gjorts. Bestämmelsen anger emellertid inte att påförandet av en sådan avgift hindrar en efterföljande ansökan om utdömande av vite. Som Lagrådet har noterat i sitt yttrande över lagrådsremissen Anpassningar till EU:s förordningar om medicinteknik – del 2, förekommer bestämmelser som är utformade på detta sätt i lagstiftningsfloran. Lagrådet vill dock även i detta ärende uppmärksamma den mer principiella frågan om regleringen inte borde täcka också den sist nämnda situationen.
20 §
Bestämmelsen i första stycket i paragrafen bör justeras så att det blir klart att ”enligt EU:s cybersäkerhetsakt och enligt denna lag” även syftar på beslut av den nationella myndigheten. Lagrådet föreslår att bestämmelsen ges följande lydelse.
Beslut enligt EU:s cybersäkerhetsakt och enligt denna lag av den nationella myndigheten för cybersäkerhetscertifiering eller av organ för bedömning av överensstämmelse får överklagas till allmän förvaltningsdomstol.
Förslaget till lag om ändring i lagen med kompletterande bestämmelser till EU:s cybersäkerhetsakt
Om Lagrådets förslag om en övergångsbestämmelse till 3 § lagen med kompletterande bestämmelser till EU:s cybersäkerhetsakt godtas, ska förevarande förslag till ändringslag utgå.
150
Prop. 2020/21:186
Försvarsdepartementet
Utdrag ur protokoll vid regeringssammanträde den 29 april 2021
Närvarande: statsminister Löfven, ordförande, och statsråden Bolund, Johansson, Baylan, Hultqvist, Andersson, Damberg, Shekarabi, Ygeman, Linde, Ekström, Eneroth, Dahlgren, Nilsson, Ernkrans, Lindhagen, Lind, Hallberg, Nordmark, Micko, Stenevi, Olsson Fridh
Föredragande: statsrådet Hultqvist
Regeringen beslutar proposition Kompletterande bestämmelser till EU:s cybersäkerhetsakt
151